Voraussetzungen

• Eine Synology NAS mit DSM (DiskStation Manager).
• Eine dynamische öffentliche IP-Adresse (keine CG-NAT!).
• Einen DynDNS-Dienstanbieter, z. B. Synology (Synology.me), No-IP, Dynu, DuckDNS oder andere.
• Zugriff auf euren Router, um Portfreigaben einzurichten falls ihr Zertifikate für Webdienste benötigt.
• Einen Synology Account für die Nutzung von Synology's DynDNS Service

DynDNS-Adresse auf der Synology NAS einrichten

Vorkehrungen: falls ihr Zertifikate für Webdienste wie zum Beispiel die eigene WordPress Seite, oder einer Nextcloud auf der Syno benötigt, müsst ihr ein Portfowarding einrichten und Ports 80 und 443 auf die Synology weiterleiten. Für die reine Zertifikatsbeantragung müsst ihr nur Port 443 weiterleiten.

Schritt 1: DynDNS-Dienstanbieter auswählen

1. Meldet euch auf eurer Synology NAS im DSM-Webinterface an.
2. Öffnet die Systemsteuerung.
3. Geht zu Externer Zugriff → DDNS.
4. Klickt auf Hinzufügen.

Schritt 2: DynDNS-Konfiguration ausfüllen

1. Dienstanbieter wählen: Wählt einen Anbieter aus der Liste (z. B. Synology, No-IP, DYNDNS, FreeDNS).
2. Hostname: Wählt eine freie Adresse (z. B. meinserver.synology.me oder meinserver.freedns.com).
3. Benutzername / E-Mail: Eure Zugangsdaten für den DynDNS-Dienst falls ihr nicht den von Synology nehmen wollt.
4. Passwort / API-Schlüssel: Euer Passwort oder API-Token (je nach Anbieter unterschiedlich).
5. Externe IP-Adresse: Wird automatisch erkannt.
6. Letsencrypt Zertifikat beantragen: für Webdienste wie die Nextcloud (für VPN nicht benötigt)
7. Häkchen bei „Herzschlag senden“ setzen, falls erwünscht (für Benachrichtigung, falls die Verbindung zum DynDNS Dienst unterbrochen worden ist).
8. Klickt auf Verbindung testen und falls ihr mit dem DynDNS Service verbunden seid, auf OK.

Falls die Adresse nicht frei ist, bekommt ihr sofort eine Fehler-Meldung. Versucht es dann mit einer anderen Subdomain. Für die Beantragung einer eines Letsencrypt Zertifikates muss ein Portfowarding eingerichtet sein.

Danach habt ihr einen Eintrag mit der Adresse in eurer Liste:

Diese Adresse könnt ihr jetzt zum Beispiel in eure OpenVPN Client Konfiguration einfügen, damit eurer Client immer mit der richtigen IP Adresse verbunden wird.

Zertifikat im Nachhinein beantragen

Habt ihr bei der Einrichtung kein Letsencrypt Zertifikat beantragt, oder einen anderen Provider als Synology genommen, könnt ihr dass im Nachhinein auch noch tun, falls ihr die Domain auch für einen Webdienst verwenden wollt.

Klickt dazu in der linken Leiste auf Sicherheit, und geht danach auf Zertifikat. Klickt hier auf Hinzufügen.

Ihr werdet danach durch den Assistenten geleitet. Wählt Neues Zertifikat hinzufügen, danach Zertifikat von Letsencrypt beantragen. Nun Legt ihr die Domain fest, (muss die exakt die selbe sein wie die DynDNS Domain, gebt eure Email an, und legt falls gewünscht gleich ein Wildcard Zertifikat an (nur für Synology Domains) damit ihr das Zertifikat für alle synology.me Subdomains verwenden könnt.

Klickt danach auf Fertig. Falls alles klappt, erscheint das Zertifikat danach in eurer Zertifikatsverwaltung. Ihr könnt, bzw müsst das Zertifikat dann einer Serverdomain, zum Beispiel dem WordPress Webserver zuordnen. Dieser muss natürlich dann die selbe Domain haben, wie der, für der euer Zertifikat ausgestellt worden ist.

Nun sind wir auch schon fertig und benötigen keine weitere Konfiguration.

Fazit

Mit DynDNS + Portweiterleitung + SSL könnt ihr sicher von überall auf eure Synology NAS zugreifen. Falls euer Internetanbieter CG-NAT verwendet, solltet ihr stattdessen auf IPv6, einen eigenen VPN oder einen Reverse-Proxy setzen um eure Dienste direkt im eigenen Netzwerk zu erreichen.

The post DynDNS Adresse für Synology NAS einrichten appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Anforderungen

Wireguard installieren

Das Tutorial basiert wie bereits erwähnt auf dem Vorgänger-Artikel welchen ihr hier findet. Installiert euch einen Wireguard Server wie beschrieben, und richtet euch, für euren Dienst eine Konfiguration ein. Auf dem zu erreichenden Dienst, muss natürlich der Wireguard Client ebenso installiert sein, und erfolgreich mit dem Wireguard Server verbunden sein.

Ports öffnen

Ausserdem müssen natürlich die entsprechenden Ports, die ihr öffnen möchtet, in der Firewall des VPS Server geöffnet werden.

Zwischen Socat oder iptables auswählen

Ihr könnt bei solchen Diensten theoretisch und praktisch einfach iptables verwenden, da die Dienste immer einen anderen Port verwenden.

Einfach und praktisch ist aber auch ein bidirektionaler Relay Dienst wie Socat.

Nginx funktioniert hier nicht, da es auf der Anwendungsschicht (Layer 7 im OSI-Modell) arbeitet, und es deshalb nur mit Anwendungsprotokollen umgehen kann, die auf HTTP oder HTTPS basieren. Protokolle wie FTP oder SSH arbeiten jedoch auf der Transportschicht (Layer 4) und verwenden kein HTTP, wodurch Nginx solche Verbindungen nicht versteht.

Was ist iptables und Konfigurations-Beispiel anhand SSH/sFTP

iptables ist ein Kommandozeilenwerkzeug zur Konfiguration der Netfilter-Firewall im Linux-Kernel. Es arbeitet auf Layer 3/4 (Netzwerk- und Transportschicht) und ermöglicht Routing, Paketfilterung und NAT (Network Address Translation).

Anwendungsfälle von iptables

• Weiterleitung von Ports und Diensten.
• Paketfilterung und Zugangsbeschränkungen.
• NAT und Routing über verschiedene Netzwerke.

Beispiel: SFTP-Weiterleitung mit iptables

Für Verbindungen mit SSH/SFTP müsst ihr Anfragen auf einen anderen Port als 22 weiterleiten, da der Port 22 bereits durch eure Verbindung zur VPS benötigt wird. Ihr könnt z.B Port 8022 des VPS an einen internen Server (10.7.0.2:22) weiterleiten. Mit iptables würde das zum Beispiel so aussehen:

iptables -t nat -A PREROUTING -p tcp --dport 8022 -j DNAT --to-destination 10.7.0.2:22
iptables -t nat -A POSTROUTING -j MASQUERADE

Erklärung:

• PREROUTING: Leitet eingehende Anfragen (Port 8022) an den internen Server weiter.
• DNAT: Destination NAT ändert das Ziel der Anfrage.
• POSTROUTING/MASQUERADE: Stellt sicher, dass Rückantworten über den VPS laufen.

Vorteile von iptables

1. Leichtgewichtig und performant: Läuft direkt im Kernel.
2. Persistent: Regeln bleiben bestehen, wenn sie mit Tools wie iptables-persistent gespeichert werden.
3. Flexibel: Unterstützt alle TCP/UDP-Protokolle und bietet viele Optionen (z. B. Port-Translation, SNAT/DNAT).

Nachteile von iptables

1. Komplexität: Erfordert Kenntnisse der Netzwerkebene.
2. Keine Protokollanalyse: Arbeitet nur mit Ziel-IP und -Port, keine Layer-7-Analyse.
3. Keine einfache Fehlerbehebung: Fehlkonfigurationen können schwierig zu diagnostizieren sein.

Was ist socat und Konfigurations-Beispiel Anhand sFTP/SSH

socat ist ein vielseitiges Werkzeug, das Verbindungen auf Layer 4 herstellt. Es agiert wie ein "Schweizer Taschenmesser" für Netzwerke und kann Verbindungen zwischen Ports, Sockets und Streams herstellen.

Anwendungsfälle von Socat

• Direkte Weiterleitung von Diensten (z. B. SSH, SFTP, HTTP, etc.).
• Einfaches Prototyping von Netzwerklösungen.
• Erstellen eines TCP/UDP-Proxies.

Beispiel: SFTP-Weiterleitung mit Socat

Angenommen, der interne Server mit SFTP oder SSH läuft auf 10.7.0.2:22 und ihr möchtet ihn über den VPS auf Port 8022 zugänglich machen:

socat TCP-LISTEN:8022,reuseaddr,fork TCP:10.7.0.2:22

Erklärung

• TCP-LISTEN:8022: Öffnet Port 8022 auf dem VPS.
• reuseaddr: Erlaubt, dass der Port mehrfach verwendet werden kann.
• fork: Erlaubt mehrere parallele Verbindungen.
• TCP:10.7.0.2:22: Weiterleitung an den internen SFTP-Server.

Vorteile von Socat

1. Einfach zu konfigurieren: Ein einzelnes Kommando reicht aus.
2. Flexibel: Unterstützt nicht nur TCP und UDP, sondern auch andere Protokolle wie Unix-Sockets.
3. Kein Root-Zugriff erforderlich: Kann von normalen Benutzern gestartet werden (sofern der Port > 1024 ist).

Nachteile von Socat

1. Nicht persistent: Läuft nicht automatisch nach einem Neustart weiter, es sei denn, wir nutzen systemd oder einen Daemon.
2. Keine Protokollanalyse: Arbeitet auf Layer 4 und bietet keine Funktionen wie Load-Balancing oder SSL-Terminierung.
3. Performance: Weniger effizient bei hohen Lasten im Vergleich zu iptables.

Socat systemd Service aufsetzen

Wie bereits beschrieben, muss socat dauerhaft laufen, damit es die Verbindungen jederzeit weiterleiten kann. Dazu erstellen wir ein systemd Service, welches wir bei Bedarf aktivieren, und auch wieder einfach deaktivieren könnten. Für unsere SSH Verbindung zum Client erstellen wir beispielsweise folgenden Eintrag. Zuerst erstellen wir eine systemd Service:

sudo nano /etc/systemd/system/socat-ssh.service

Darin kommt folgender Inhalt:

[Unit]
Description=Socat SSH Forwarding
After=network.target

[Service]
ExecStart=/usr/bin/socat TCP-LISTEN:8022,reuseaddr,fork TCP:10.7.0.2:22
Restart=always

[Install]
WantedBy=multi-user.target

Den Dienst starten wir mit:

sudo systemctl daemon-reload
sudo systemctl enable socat-ssh.service
sudo systemctl start socat-ssh.service

Stoppen können wir den Dienst, und damit auch die Verbindungen sofort wieder mit:

sudo systemctl stop socat-ssh.service

Weitere Dienste weiterleiten

Um weitere Dienste weiterleiten zu können zum Beispiel einen eigenen öffentlichen DNS Server erstellt ihr neue iptable Rules, oder für socat ganz einfach einen neuen systemd Service mit den angepassten Ports. Ein DNS Server zum Beispiel muss direkt via Port 53 erreichbar sein, also müsste der Systemd Service dementsprechend aussehen:

[Unit]
Description=Socat DNS UDP Forwarder
After=network.target

[Service]
ExecStart=/usr/bin/socat -T15 -u UDP-LISTEN:53,reuseaddr,fork UDP:10.7.0.2:53
Restart=always

[Install]
WantedBy=multi-user.target

Für IP Tables sehe das so aus:

iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination 10.7.0.2:53
iptables -t nat -A POSTROUTING -p udp --dport 53 -j MASQUERADE

Fazit

Die Herausforderung, Dienste hinter einem DS Lite-Anschluss (Dual-Stack Lite) im Internet verfügbar zu machen, lässt sich effektiv lösen, indem ein VPS (Virtual Private Server) als Brücke genutzt wird. Dabei ist WireGuard eine ausgezeichnete Wahl, um eine sichere Verbindung zwischen eurem lokalen Netzwerk und dem VPS herzustellen. Für die eigentliche Weiterleitung der Dienste gibt es mehrere Ansätze, darunter iptables und socat, die je nach Anwendungsfall Vor- und Nachteile haben:

Mit WireGuard als Tunnel und den vielseitigen Werkzeugen wie iptables oder socat könnt ihr nahezu jeden Dienst hinter einem DSLite-Anschluss verfügbar machen. Die Wahl zwischen iptables und socat hängt von euren spezifischen Anforderungen ab: Effizienz und Stabilität mit iptables oder Flexibilität und Einfachheit mit socat. Beide Optionen bieten robuste Lösungen, um die Einschränkungen eines DS-Lite-Netzwerks effektiv zu umgehen.

The post SSH, sFTP oder FTP Dienste hinter DS Lite verfügbar machen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

In diesem Tutorial lernt ihr, wie man Tor auf Ubuntu, Linux Mint und Debian installiert und wie man Telegram Desktop über das Tor-Netzwerk verwendet, um eure Privatsphäre zusätzlich zu schützen. Mit dieser Konfiguration könnt ihr Nachrichten verschicken, ohne dass eure IP-Adresse direkt offengelegt wird. Dies bietet zusätzlichen Schutz vor Überwachung und möglichen Angriffen auf eure Daten.

Vorteile der Nutzung von Tor

• Anonymität: Eure IP-Adresse wird verschleiert, sodass ihr im Internet verborgener bleibt.
• Sicherheit: Da euer Datenverkehr verschlüsselt durch verschiedene Knotenpunkte geleitet wird, wird es extrem schwierig, euch zu verfolgen.
• Zensur umgehen: Tor ermöglicht es euch, auf Inhalte zuzugreifen, die in einem Land möglicherweise zensiert oder blockiert sind.

Lasst uns jetzt damit beginnen, Tor zu installieren und für Telegram Desktop zu konfigurieren.

Tor auf Ubuntu, Mint und Debian installieren

Tor kann in allen drei Linux-Distributionen (Ubuntu, Linux Mint und Debian) über die offiziellen Repositories installiert werden.

Schritt 1: System aktualisieren

Bevor ihr mit der Installation beginnt, stelle sicher, dass euer System auf dem neuesten Stand ist. Öffnet das die Konsole, auch Terminal genannt. Gebt folgenden Befehl ein:

sudo apt update && sudo apt upgrade

Schritt 2: Das Tor-Repository hinzufügen (optional)

Falls ihr die neuste Tor Version wollt, müsst ihr das offizielle Tor-Repository hinzufügen. Wer sich mit einer älteren Version zufrieden gibt, überspringt den Punkt, und geht gleich zu Schritt 3.

• Öffnet das Terminal und fügt den GPG-Schlüssel für das Tor-Repository hinzu:

sudo apt install gnupg2

curl https://deb.torproject.org/torproject.org/keys/archivist.gpg | sudo gpg --dearmor -o /usr/share/keyrings/tor-archive-keyring.gpg

Füge das Tor-Repository zu eurer sources.list-Datei hinzu:

echo "deb [signed-by=/usr/share/keyrings/tor-archive-keyring.gpg] https://deb.torproject.org/torproject.org bullseye main" | sudo tee /etc/apt/sources.list.d/tor.list

Ersetzt bullseye durch den Codenamen eurer Distribution. Nehmt jammy fur Ubuntu 22.04, oder bookworm für Debiab 12.x. Für Ubuntu 24.04 und Linux Mint Cinnamon 22 gibt es aktuell kein Tor-Repos. Hier kann man aktuell noch die jammy Repos verwenden, welche auf Ubuntu 24.04 und Mint 22 funktionieren.

Fügt den entsprechenden GPG Schlüssel hinzu:

wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | sudo tee /usr/share/keyrings/tor-archive-keyring.gpg >/dev/null

Installiert nun die neuste Version von Tor:

sudo apt update && sudo apt install tor deb.torproject.org-keyring

Schritt 3: Tor installieren

Wer nicht immer die neuste Version jedes Programmes haben muss, und keine Lust auf Befehlszeite hat, kann sich Tor auch über die Systempakete installieren. Aktualisiert die Paketquellen und installiert Tor:

sudo apt update && sudo apt install tor

Danach ist Tor bereits installiert, und auch aktiviert und hört auf lokale Verbindungen auf Port 9050.

Überprüfen, ob Tor auch wirklich rennt, könnt ihr mit:

sudo systemctl status tor

Die korrekte Ausgabe wäre:

Telegram mit Tor verbinden

Als nächstes müssen wir nun Telegram nun so konfigurieren, dass es sich mit dem Tor-Server verbindet, um mit den Telegram Servern zu kommunizieren, dafür könnt ihr gleich mal in die Einstellungen gehen:

Danach geht ihr auf Advanced/Erweitert und danach auf Connection Type/Verbindungsart:

Hier wählt ihr jetzt eigenen Proxy hinzufügen und gebt die Daten wie folgt ein:

Verbindungstyp/Protokoll: SOCKS5 (Das Proxy-Protokoll fürs Netzwerk)
Serveradresse: 127.0.0.1 (das ist die lokale Adresse des Rechners)
Port: 9050 (Der Tor Port)

Benutzer und Passwort müsst ihr nicht angeben. Bestätigt mit Speichern. Nun verbindet sich Telegram zur erst mit dem lokalen Tor Server, welcher sich wiederum mit dem Onion Netzwerk verbindet. Ihr seid nun über das Tornetzwerk mit den Telegram Servern verbunden.

Hinweis: Anrufe werden per Standard nicht über das Tornetzwerk getunnelt, dafür müsst ihr die Option Proxy für Anrufe verwenden. Hier sei gesagt, dass dies nicht immer unterbrechungsfrei funktioniert, das das Tor Netzwerk eher langsam ist.

Es ist völlig normal dass die Chats teilweise etwas länger laden, vor allem merkt ihr es aber bei Bildern und Videos. Hier benötigt es einiges mehr Zeit, bis diese geladen werden.

Fazit

Die Nutzung von Telegram über das Tor-Netzwerk bietet eine zusätzliche Schicht an Sicherheit und Anonymität. Während Telegram bereits Ende-zu-Ende-Verschlüsselung nur in den Secret Chats verwendet, schützt der Einsatz von Tor vor der Offenlegung der eigenen IP-Adresse und bietet somit Schutz vor Tracking und Zensur. Dies ist besonders nützlich in Ländern mit strengen Internetkontrollen oder für Nutzer, die ihre Online-Privatsphäre erhöhen möchten. Allerdings sollte man bedenken, dass die Nutzung von Tor die Verbindungsgeschwindigkeit beeinträchtigen kann. Insgesamt ist die Kombination von Telegram und Tor ein effektiver Schritt für alle, die mehr Kontrolle über ihre digitale Privatsphäre wünschen.

Möchtet ihr dem Tor-Entwicklern etwas spenden? Dann schaut mal hier vorbei. Keine Ahnung von Ports, Protokollen und Verbindungstypen? Hier gibt es etwas Lesematerial.

The post Telegram über Tor auf Linux nutzen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist das Problem bei einem DS-lite Anschluss

Ein DS-Lite-Anschluss (Dual-Stack Lite) ist eine Technologie, die von Internet Service Providern (ISPs) verwendet wird, um die Übergangsphase vom alten IPv4-Protokoll zum neuen IPv6-Protokoll zu erleichtern. Diese Technologie wird vor allem bei privaten Internetanschlüssen eingesetzt, bei denen die ISPs den IPv4-Adressmangel umgehen müssen.

Wie funktioniert DS-Lite?

Bei DS-Lite erhaltetihr eine native IPv6-Adresse für euer Heimnetzwerk. Eure Geräte kommunizieren primär über IPv6. Da das Internet jedoch noch nicht vollständig auf IPv6 umgestellt ist und viele Dienste noch auf IPv4 basieren, benötigen eure Geräte weiterhin Zugriff auf IPv4. Dafür wird bei DS-Lite ein sogenannter „AFTR“ (Address Family Transition Router) verwendet. Dieser Router übernimmt die Übersetzung und leitet den IPv4-Verkehr über eine gemeinsame IPv4-Adresse, die von mehreren Kunden gleichzeitig genutzt wird (Carrier-Grade NAT, CGNAT).

Problem: Keine öffentliche IPv4-Adresse

Das Hauptproblem bei DS-Lite ist, dass ihr keine eigene, öffentliche IPv4-Adresse erhaltet. Stattdessen teilt ihr euch eine IPv4-Adresse mit vielen anderen Kunden eures ISPs. Dies führt zu folgenden Einschränkungen:

1. Kein direktes Port Forwarding:
   Da ihr keine eigene öffentliche IPv4-Adresse habt, könnt ihr keine eingehenden Verbindungen direkt zu eurem Heimnetzwerk weiterleiten. Das bedeutet, dass ihr keine Server oder Dienste (wie einen Webserver, FTP-Server oder VPN-Server) direkt im Internet verfügbar machen könnt.
2. Schwierigkeiten bei der Erreichbarkeit:
   Da die IPv4-Adresse, die ihr nutzt, nicht exklusiv ist, können keine eingehenden Verbindungen direkt zu eurem Anschluss geroutet werden. Wenn ihr beispielsweise einen Webserver betreiben möchtet, kann niemand von außen auf diesen zugreifen, weil euer Router keinen direkten IPv4-Zugang hat.
3. CGNAT (Carrier-Grade NAT):
   Bei DS-Lite befindet sich dein Heimnetzwerk hinter einem CGNAT, der von eurem ISP verwaltet wird. CGNAT ist eine große NAT-Instanz, die den IPv4-Verkehr von vielen Kunden gleichzeitig verarbeitet. Dies bedeutet, dass alle eingehenden Verbindungen an dieselbe IPv4-Adresse gehen, und es gibt keinen Mechanismus, um sie an euren spezifischen Router weiterzuleiten.

Warum sind Dienste im Internet nicht aussetzbar?

Wenn ihr einen Dienst (wie einen Webserver oder eine VPN-Verbindung) öffentlich zugänglich machen möchtet, muss dieser Dienst über das Internet erreichbar sein. Dafür benötigt ihr eine öffentliche IP-Adresse, die speziell eurem Router zugewiesen ist. Bei DS-Lite ist dies nicht der Fall, da:

• Nur IPv6 öffentlich erreichbar: euer Heimnetzwerk erhält eine öffentlich erreichbare IPv6-Adresse, aber viele Dienste und Nutzer im Internet verwenden noch IPv4 und können daher nicht ohne Weiteres auf euren Dienst zugreifen.
• Eingehende IPv4-Verbindungen sind blockiert: Ohne eine öffentliche IPv4-Adresse können keine Verbindungen von außen über IPv4 zu eurem Netzwerk hergestellt werden. Selbst wenn ein IPv6-Dienst öffentlich erreichbar ist, könnten Nutzer, die nur über IPv4 erreichbar sind, diesen Dienst nicht nutzen.

Wir schauen uns jetzt eine Möglichkeit an, wie ihr trotz DS-Lite Anschluss, eure Dienste dem Internet zugänglich machen könnt!

Voraussetzungen um Dienste hinter DS-Lite Anschlüssen verfügbar zu machen

1. VPS mit öffentlicher IPv4-Adresse: Ein externer Server mit einer öffentlichen IPv4-Adresse (z.B. bei Hetzner, Ionos, DigitalOcean).
2. Portfreigabe auf dem VPS: Der Wireguard Port 51820 und der Httpsport 443 muss in den Firewalleinstellungen des Servers freigegeben werden.
3. Dienst im Heimnetzwerk: Zum Beispiel ein Webserver oder Nextcloud, der über das lokale Netzwerk läuft. Ein ein SSL Zertifikat ist auf dem lokalen Server nicht notwendig. Dieser Dienst muss auch über einen Webserver auf einen Port 80 lauschen.

Schritt 1: Wireguard auf dem öffentlichen Server installieren

Leider können wir WG-Easy aus diesem Tutorial nicht verwenden, da es aus irgendeinem Grund einfach nicht funktionieren will, die Clients vom Host aus zu erreichen, deshalb wählen wir eine andere Installationsmethode, die aber genau so einfach ist. Wir installieren uns den Wireguard Road-Warrior Installer, der uns Wireguard komplett installiert, und auch in der Lage ist, Clients einzurichten. Den Link zum Road Warrior Installer gibts es hier.

Erstellt euch einen Ordner für den Download des Scripts und wechselt in den Ordner:

mkdir ~/wireguard-installer
cd wireguard-installer

Ladet euch den Installer herunter mit:

wget https://git.io/wireguard -O wireguard-install.sh

Ausführen könnt ihr den Installer mit

bash wireguad-install.sh

Die Installation startet, und ihr werdet nach der IP-Adresse gefragt, nehmt natürlich die öffentliche IP Adresse des Servers, meisstens ist das die 1:

Als nächstes werdet ihr nach dem Port gefragt, bestätigt einfach mit Enter um den Standard Wireguard Port zu verwenden 51820:

Als nächstes könnt ihr bereits einen ersten Client einrichten, hier könnt ihr bereits eine Konfiguration für einen Dienst eurer Wahl erstellen und danach den DNS Server für die Namensauflösung festlegen. AdGuard ist hier eine gute Wahl:

Der Wireguard Server wird installiert, und ihr erhaltet zugleich den QR Code für euren ersten Client (z.B für ein Smartphone) und auch eine Konfigurationsdatei, welche im angegebenen Pfad gespeichert wird:

Weitere WireGuard-Clients konfigurieren

Führt den Script einfach erneut aus, und wählt Add Client:

Schritt 2: Heimserver (Dienst) mit WireGuard verbinden

WireGuard auf dem Heimserver installieren

Zuerst müsst ihr natürlich Wireguard auch auf dem Webserver installieren:

Für Debian/Ubuntu:

sudo apt update && sudo apt install wireguard -y

Konfigurationsdatei einrichten

Erstellt eine neue Konfigurationsdatei auf dem Heimserver, die könnt ihr je nach Dienst benennen wie ihr wollt:

sudo nano /etc/wireguard/webserver.conf

Füge den Inhalt der Konfigurationsdatei ein, den ihr vom Wireguard Installer erhalten habt.

Beispiel:

[Interface] PrivateKey = <Dein_Privatkey> 
Address = x.x.x.x/24 

[Peer] 
PublicKey = <Öffentlicher_Schlüssel_von_wg-easy> 
Endpoint = <DEINE_SERVER_IP>:51820 
AllowedIPs = 0.0.0.0/0, ::/0 
PersistentKeepalive = 25

Speichert die Datei mit strg+o und beendet mit strg+x

WireGuard starten

Aktiviert und startet den Wireguard-Tunnel. Es reicht wenn ihr den Anfang der Konfigurationsdatei angebt:

sudo wg-quick up webserver 

sudo systemctl enable wg-quick@example-webserver

Teste die Verbindung, indem ihr z.B. das Gateway des externen Server anpingt:

ping 10.8.0.1

Habt ihr einen Ping, seid ihr erfolgreich verbunden:

Schritt 3: Nginx als Reverse Proxy auf dem VPN-Server einrichten

Nginx installieren (falls noch nicht geschehen):

sudo apt install nginx -y

Nginx konfigurieren:

Erstelle eine neue Nginx-Konfigurationsdatei für deinen Dienst: sudo nano /etc/nginx/sites-available/dein-dienst

Beispielkonfiguration für einen HTTPS-Proxy:

server {
    listen 80;
    server_name deine-domain.de;

    location / {
        proxy_pass http://10.8.0.2:80;  # IP des Dienstes im Heimnetzwerk
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Ersetzt deine-domain.de durch euren Domainnamen und die IP-Adresse 10.8.0.2 durch die IP des Heimservers im VPN-Netzwerk. Diese findet ihr auch in der Client-Konfigurationsdatei.

Nginx aktivieren:

Aktiviert die neue Konfiguration:

sudo ln -s /etc/nginx/sites-available/dein-dienst /etc/nginx/sites-enabled/

Testet die Konfiguration:

sudo nginx -t

Startet Nginx neu:

sudo systemctl restart nginx

Jetzt installieren wir uns noch Certbot, für die Anforderung, und Verwaltung der SSL Zertifikate:

sudo apt install certbot python3-certbot-nginx -y

Danach beantragt ihr ein Zertifikat mit dem Befehl:

sudo certbot --nginx -d deine-domain.de

Ersetzt deine-domain.ch mit eurer tatsächlichen Domain!

Schritt 4: Firewall-Regeln konfigurieren (optional)

Falls erforderlich, könnt ihr mit iptables sicherstellen, dass der Traffic zwischen mehreren Clients (also einem Webserver, und einem anderem Dienst auf einem anderen Server im Wireguard Netzwerk) nicht möglich ist, das geht mit folgendem Befehl:

iptables -I FORWARD -i wg0 -o wg0 -j REJECT

Das stellt sicher, dass der Traffic zwischen euren Servern unterbunden wird, und die Dienste somit zueinander isoliert sind.

Firewall-Regeln sichern:

Installiert zuerst die das Programm um iptable Konfigurationen zu sichern:

sudo apt-get install iptables-persistent

und speichert die Regel mit:

sudo netfilter-persistent save

Damit bleiben die hinzugefügten Regeln auch nach einem Neustart aktiv.

Schritt 5: Zugriff testen

Dienst aufrufen

Ruft von einem externen Gerät die Domain auf, die auf den Nginx-Server zeigt (https://deine-domain.de). Der Verkehr sollte nun über den Wireguard-Server an den Heimdienst weitergeleitet werden wobei der Reverse Proxy Config auf dem Wireguard Server die SSL Terminierung vornimmt, und den Traffic über Port 80 an den Client weiterleitet.

Fehlerbehebung

Wenn der Zugriff nicht funktioniert, überprüft die WireGuard-Verbindung (sudo wg show), oder die Nginx-Logs (/var/log/nginx/error.log), und eure Firewall-Einstellungen.

Pingt vom Wireguard-Server die Clients an, die müssen auch eine Antwort liefern:

#auf dem Wireguard Server:

ping 10.8.0.2

Fazit

Mit diesem Setup habt ihr einen Webdienst oder einen Webserver, der hinter einem DS-Lite-Anschluss läuft, über das Internet verfügbar gemacht. Das externe VPS fungiert als Brücke und leitet den Verkehr sicher über WireGuard und Nginx an euer Heimnetzwerk weiter.

The post Webdienste hinter DS Lite verfügbar machen mit Wireguard appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Voraussetzungen

• Server: Auf dem Server sollte Tor installiert sein.
• Client: Auf deinem lokalen Rechner muss Tor und torsocks installiert sein, ebenso wie ein SSH-Client.

Installation und Einrichtung von Tor auf dem Server

Zunächst müsst ihr sicherstellen, dass Tor auf eurem Server installiert ist. Die Installation unterscheidet sich je nach Betriebssystem.

Für Debian/Ubuntu-basierte Systeme:

sudo apt-get update
sudo apt-get install tor

Für CentOS/RHEL-basierte Systeme:

sudo yum install epel-release
sudo yum install tor

Tor konfigurieren, um einen Hidden Service einzurichten

Nachdem Tor installiert ist, müsst ihr es so konfigurieren, dass es einen Hidden Service für SSH anbietet.

1. Tor-Konfigurationsdatei bearbeiten: Die Konfigurationsdatei für Tor befindet sich normalerweise unter /etc/tor/torrc. Öffnet die Datei in einem Texteditor eurer Wahl:

sudo nano /etc/tor/torrc

2. Hidden Service einrichten: Fügt folgende Zeilen am Ende der Datei hinzu:

HiddenServiceDir /var/lib/tor/hidden_service/
HiddenServicePort 22 127.0.0.1:22

Diese Konfiguration sorgt dafür, dass Tor einen Hidden Service erstellt, der Verbindungen auf Port 22 (SSH) annimmt und diese an den lokalen SSH-Server weiterleitet.

3. Tor neu starten: Nachdem ihr die Datei gespeichert habt, müsst ihr den Tor-Dienst neu starten, damit die Änderungen wirksam werden:

sudo systemctl restart tor

Onion-Adresse herausfinden

Nach dem Neustart von Tor wird eine Onion-Adresse für euren SSH Hidden Service generiert. Diese Adresse findet ihr in der Datei /var/lib/tor/hidden_service/hostname.

Um die Adresse anzuzeigen, führe folgenden Befehl aus:

cat /var/lib/tor/hidden_service/hostname

Ihr solltet eine Ausgabe erhalten, die in etwa so aussieht:

abcde12345.onion

SSH über Tor vom Client aus nutzen

Jetzt, wo der Hidden Service läuft und ihr die Onion-Adresse habt, könnt ihr von einem lokalen Rechner aus eine SSH-Verbindung herstellen.

1. Tor auf dem Client starten: Stelle sicher, dass der Tor-Dienst auf eurem Client-Rechner läuft. Unter Linux könnt ihr Tor in der Regel mit folgendem Befehl installieren und starten:

sudo apt-get install tor torsocks
sudo systemctl start tor
sudo systemctl enable tor

2. SSH über Tor verwenden: Um die SSH-Verbindung über Tor herzustellen, verwendet den torsocks Befehl, der den SSH-Client durch das Tor-Netzwerk leitet:

torsocks ssh username@abcde12345.onion

Ersetzt username durch euren Benutzernamen und abcde12345.onion durch die zuvor ermittelte Onion-Adresse.

Sicherheitsüberlegungen

• Passwortauthentifizierung deaktivieren: Es wird empfohlen, die Passwortauthentifizierung auf dem SSH-Server zu deaktivieren und stattdessen nur SSH-Schlüssel zu verwenden, um die Sicherheit zu erhöhen. Wie ihr eine SSH Schlüssel Authentifizierung einrichtet, erfahrt ihr hier.

Troubleshooting

Falls die Verbindung nicht funktioniert, überprüft folgende Punkte:

• Läuft Tor auf dem Server und dem Client?
• Ist die SSH-Konfiguration korrekt?
• Hasbt ihr die richtige Onion-Adresse verwendet?
• Kann der SSH-Dienst auf dem Server tatsächlich auf Port 22 angesprochen werden?

Zusammenfassung

Indem ihr einen Hidden Service für SSH auf eurem Server einrichtet, könnt ihr sicherstellen, dass euer Server über das Tor-Netzwerk erreichbar ist, ohne dass ihr auf Portforwarding angewiesen seid. Dies bietet auch zusätzliche Sicherheit, da euer Server im Tor-Netzwerk verborgen bleibt und nur über die spezielle Onion-Adresse erreichbar ist.

The post Server über Tor erreichen mit SSH und Torsocks appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Hier ist eine detaillierte Erklärung, wie WiFi-Tracking funktioniert:

Grundlagen des WiFi-Trackings

1. Erkennung von MAC-Adressen: Jedes Gerät, das mit WiFi kommuniziert, hat eine einzigartige Media Access Control (MAC)-Adresse. Diese Adresse wird vom Gerät gesendet, wenn es nach verfügbaren Netzwerken sucht. WiFi-Tracker erfassen diese MAC-Adressen, um Geräte zu identifizieren.
2. Signalstärke und Standortbestimmung: Durch die Messung der Signalstärke eines Geräts an verschiedenen Zugangspunkten (Access Points) kann dessen Standort relativ genau bestimmt werden. Je mehr Access Points ein Signal empfangen, desto präziser ist die Lokalisierung.
3. Datenanalyse: Die gesammelten Daten werden analysiert, um Bewegungsmuster zu erkennen. Diese Analyse kann in Echtzeit oder über einen bestimmten Zeitraum hinweg erfolgen, um Trends und Verhaltensmuster zu erkennen.

Anwendungsbereiche

• Einzelhandel: Geschäfte verwenden WiFi-Tracking, um die Bewegungen von Kunden zu verfolgen und die Anordnung von Produkten und Regalen zu optimieren. Es hilft auch bei der Analyse der Stoßzeiten und der Aufenthaltsdauer von Kunden.
• Veranstaltungen: Auf Messen und großen Events wird WiFi-Tracking genutzt, um den Besucherstrom zu überwachen und Engpässe zu identifizieren.
• Städtische Planung: Städte verwenden diese Technologie, um den Verkehr und die Bewegung von Personen in öffentlichen Bereichen zu analysieren und so die Infrastruktur zu verbessern.

Datenschutz und Sicherheit

WiFi-Tracking wirft auch Fragen zum Datenschutz auf, da es ohne ausdrückliche Zustimmung der Nutzer erfolgt. Um die Privatsphäre zu schützen, gibt es verschiedene Ansätze:

• Anonymisierung: Die MAC-Adressen werden anonymisiert, sodass keine direkte Identifikation von Personen möglich ist.
• Opt-out-Möglichkeiten: Nutzer können sich in einigen Fällen von der Erfassung ihrer Daten abmelden. (Eher aufwändig da man zu dem Acesspoint Betreiber gehen und die Abmeldung einzeln benantragen müsste)
• Datenschutzrichtlinien: Unternehmen und Organisationen, die WiFi-Tracking einsetzen, müssen oft strenge Datenschutzrichtlinien einhalten, um die Informationen der Nutzer zu schützen.

Technologische Entwicklungen

Moderne Geräte und Betriebssysteme bieten zunehmend Funktionen, um die Erkennung und Verfolgung durch WiFi-Tracking zu erschweren. Dazu gehört die zufällige Änderung von MAC-Adressen, wenn das Gerät nach Netzwerken sucht (MAC-Spoofing). Dies ist bei modernen Androiden aber eher scheinheilig gelösst worden. Die MAC randomisierung erfolgt leider per Network, und nicht per Connection.

Wie kann ich mich wirklich dagegen schützen?

• Wenn ihr das Haus verlasst, deaktiviert WLAN UND zudem den WLAN Netzwerkscan. Dies heisst je nach Android Version WLAN-Scan, über öffentliche Netzwerke informieren oder verbirgt sich hinter der Funktion WLAN autmatisch aktivieren. Schaut in den WLAN Netzwerk-Einstellungen nach der entsprechenden Funktion.
• WiFi-Randomzier oder andere Schutzmechanismen gegen das WLAN-Tracking sind leider nur bedingt dazu geeignet, um Schutz zu bieten. Besser ist es noch immer, die WiFi-Schnittstelle zu deaktivieren. Das gilt auch für iOS-Geräte.
• Für alle, die oft vergessen, das WiFi manuell zu deaktivieren, könnten die beiden Apps WiFi Automatic und Smarter Wi-Fi Manager aus dem F-Droid Store interessant sein. Beide bieten unterschiedliche Ansätze, um das WLAN-Management zu vereinfachen, und sind definitiv einen Blick wert.

GrapheneOS und CalyxOS Nutzer benötigen Wifi Automatic nicht, den es kann direkt in den WLAN Einstellungen eingestellt werden, ab wann sich eurer WLAN deaktiviert, solltet ihr ausser Haus gehen:

Für WiFi Automatic empfehlen wir folgende Anpassungen: Deaktiviert die Option „Schalte WLAN aus… wenn kein Netzwerk in Reichweite ist“. Im dicht besiedelten Gegegenden sind immer WLAN-Netzwerke vorhanden, was bedeutet, dass eure WiFi-Schnittstelle nie abgeschaltet würde. Zudem solltet ihr überlegen, ob das WLAN automatisch aktiviert wird, wenn ihr euer Gerät entsperrt. Ihr könnt auch festlegen, nach wie vielen Minuten das WLAN deaktiviert wird, sobald das Display ausgeschaltet ist.

Bei Smarter Wi-Fi Manager solltet ihr beim ersten Start der App den „Location Management Type“ auf „TOWERS“ setzen. Dadurch wird die Standortbestimmung anhand der Mobilfunkmasten genutzt, um zu entscheiden, wann das WLAN eingeschaltet wird. Diese Methode ist standardmäßig aktiv und kann dazu führen, dass das WLAN in einem größeren Bereich eingeschaltet bleibt, abhängig von der Dichte der Mobilfunkmasten in eurer Umgebung.

Fazit

WiFi-Tracking ist eine mächtige Technologie mit vielen Anwendungsmöglichkeiten, aber sie erfordert auch ein sensibles Management der erfassten Daten, um die Privatsphäre der Nutzer zu wahren. WLAN Tracking ist eine perfide, rechtlich eigentlich umstrittene Methode, da ihr als Smartphoner Nutzer überhaupt nicht gefragt werdet, ob ihr diesem Tracking zustimmen wollt oder nicht.

Mit diesen einfach Tipps, könnt ihr euch dem WLAN Tracking entziehen, und eure Privatsphäre etwas weiter schützen. Lust auf weitere Privacy Tipps? Dann schaut mal hier vorbei!

Interessiert ihr euch für Privacy optimierte Smartphones? Besucht doch mal unseren Shop!

The post WLAN / WIFI Tracking unterbinden appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Grundlagen der YubiKey-Authentifizierung

YubiKeys sind physische Sicherheitsschlüssel, die von Yubico entwickelt wurden, um eine starke Zwei-Faktor-Authentifizierung und Passwort-Management-Lösungen zu bieten. Für die SSH-Authentifizierung nutzen YubiKeys Protokolle wie FIDO U2F, FIDO2 oder das proprietäre Yubico OTP, um eine sichere Authentifizierung zu gewährleisten. In diesem Kontext konzentrieren wir uns auf die Nutzung von FIDO-basierten Schlüsseln (z.B. ed25519-sk oder ecdsa-sk), die in OpenSSH ab Version 8.2 unterstützt werden.

Vorteile der Nutzung von YubiKeys für SSH

• Physische Sicherheit: Der private Schlüssel verlässt niemals den YubiKey, was das Risiko einer Exfiltration minimiert.
• Benutzerfreundlichkeit: Authentifizierung erfolgt durch Einstecken des YubiKeys und ggf. Berühren, ohne lange Passwörter eingeben zu müssen.
• Portabilität: Der YubiKey ist ein kleines, tragbares Gerät, das leicht zwischen verschiedenen Systemen getragen werden kann.

Kompatible Yubikeys

Die Kompatibilität eines YubiKeys mit bestimmten Funktionen, insbesondere der SSH-Authentifizierung mittels FIDO U2F oder FIDO2 (für sk-ssh-ed25519 oder ecdsa-sk Schlüssel), hängt vom spezifischen Modell und der Firmware-Version des YubiKeys ab. Zum Zeitpunkt meines letzten Wissensstands (April 2023) unterstützen die meisten aktuellen YubiKey-Modelle diese Funktionalität, aber es gibt einige Unterschiede in den Featuresets je nach Modell. Hier ist eine Übersicht über die gängigen YubiKey-Modelle und ihre Unterstützung für SSH-Authentifizierung:

YubiKey 5 Serie

• YubiKey 5 NFC
• YubiKey 5C
• YubiKey 5 Nano
• YubiKey 5C Nano
• YubiKey 5Ci

Diese Modelle unterstützen eine breite Palette von Protokollen, einschließlich FIDO U2F, FIDO2, Smart Card (PIV), OATH-TOTP, OATH-HOTP, und OpenPGP. Sie sind vollständig kompatibel mit der Nutzung von SSH-Schlüsseln, die eine FIDO-basierte Authentifizierung erfordern.

YubiKey 4 Serie

Die YubiKey 4 Serie (einschließlich YubiKey 4, YubiKey 4 Nano, und YubiKey 4C) unterstützt OpenPGP, PIV, OATH-TOTP/HOTP, und FIDO U2F. Während sie für U2F-basierte Authentifizierung geeignet sind, unterstützen sie nicht FIDO2, was für einige neuere SSH-Authentifizierungsmethoden erforderlich sein kann.

YubiKey FIDO U2F und Security Key by Yubico

Diese Modelle sind auf die Unterstützung von FIDO U2F beschränkt und sind für U2F-basierte Authentifizierungszwecke gedacht. Der "Security Key by Yubico" unterstützt auch FIDO2, was ihn für moderne SSH-Authentifizierungsmechanismen geeignet macht.

YubiKey Bio

Der YubiKey Bio bietet Unterstützung für FIDO2 und ermöglicht die biometrische Authentifizierung. Er ist für die Nutzung mit FIDO2-basierten Anwendungen, einschließlich SSH-Authentifizierung, konzipiert und bietet eine zusätzliche Sicherheitsebene durch Fingerabdruckerkennung.

Prüfung der Kompatibilität

Um die spezifische Kompatibilität eines YubiKeys zu prüfen, ist es wichtig, die neuesten Produktbeschreibungen auf der offiziellen Yubico-Website zu konsultieren oder die Dokumentation für das spezifische Modell zu überprüfen. Die Unterstützung für bestimmte Protokolle kann sich mit neuen Firmware-Releases ändern, daher ist es ratsam, auch nach Firmware-Updates zu suchen, die zusätzliche Funktionalitäten einführen oder bestehende verbessern.

Vorbereitungen Yubikey

Damit der Yubikey für SSH verwendet werden kann, muss er mit dem YubiKey Manager eingerichtet sein. Die Einrichtung ist super simple. Alles was ihr tun müsst, ist den Pincode für Fido2 Authentifzierungen zu aktivieren. Dies wird für Funktion zur SSH Authentifikation benötigt. Installiert euch den YubiKey Manager mit apt install yubikey-manager oder über die offizielle Seite hier zu finden.

Steckt euren YubiKey ein, und setzt einen Pin:

Konfiguration des SSH-Servers

Voraussetzungen: Stelle sicher, dass sowohl der Client als auch der Server OpenSSH 8.2 oder neuer verwenden. Installiert bei Bedarf Updates.

Serverseitige Konfiguration: Bearbeite die SSHD-Konfigurationsdatei (/etc/ssh/sshd_config) auf dem Server, um die Nutzung von FIDO-Schlüsseln zu ermöglichen. Öffnet die Datei mit sudo nano /etc/ssh/sshd_config

Ändert die entsprechenden Zeilen folgendermassen ab:

PubkeyAuthentication yes

Starte den SSH-Dienst neu, um die Änderungen zu übernehmen:

sudo systemctl restart sshd

Generierung eines SSH-Schlüsselpaares mit YubiKey

1. Schlüsselerzeugung: Auf dem Client-System generiert ihr einen neuen SSH-Schlüssel mit dem Befehl ssh-keygen, wobei -t ecdsa-sk oder -t ed25519-sk als Schlüsseltyp spezifiziert wird, je nach YubiKey-Unterstützung.

ssh-keygen -t ed25519-sk -O resident -O application=ssh:KeyName -O verify-required

Ersetzt KeyName mit einer Bezeichnung für den Schlüssel, z.B Yubi-SSH-Schlüssel.

Für ältere Yubkeys mit einer Firmware unter 5.2.3 ist folgender Befehel zu verwenden:

ssh-keygen -t ecdsa-sk -O resident -O application=ssh:KeyName -O verify-required

Es werden 2 neue Dateien in ~/.ssh/ generiert:

• id_ed25519_sk.pub
• id_ed25519_sk

Oder bei der älteren Firmware:

• id_ecdsa_sk.pub
• id_ecdsa_sk

2. Übertragung des öffentlichen Schlüssels: Fügt den öffentlichen Schlüssel (id_ecdsa_sk.pub) zum ~/.ssh/authorized_keys File auf dem Server hinzu:

ssh-copy-id -i ~/.ssh/id_ed25519_sk.pub user@host

bzw. für die ältere Yubikeys:

ssh-copy-id -i ~/.ssh/id_ecdsa_sk.pub user@host

Falls ein zweites Schlüsselpaar mit einem zweiten YubiKey erzeugt wurden ist, befindet sich dieser auch in der Datei id_ed25519_sk.pub oder der id_ecdsa_sk

Ersetzt user und host mit dem login und der IP eures Servers. Ihr werdet aufgefordert eures Passwort einzugeben. Danach wird der Schlüssel auf dem Server kopiert.

Nutzung des YubiKeys für SSH-Verbindungen

SSH-Agent: Füge den privaten Schlüssel zum SSH-Agent hinzu, um eine nahtlose Authentifizierung zu ermöglichen. Dies ist erforderlich, damit der Key sofort geladen wird. Ansonsten müsstet ihr das Gerät erst neu starten damit der Key registriert wird.

ssh-add ~/.ssh/id_ed25519_sk

bzw:

ssh-add ~/.ssh/id_ecdsa_sk

SSH-Verbindung: Verbindet euch wie gewohnt mit dem SSH-Server. Wenn alles korrekt konfiguriert ist, fordert der YubiKey erst den PIN an, und dann euch zur Berührung auf, um die Authentifizierung abzuschließen.

Sollte dies geklappt haben. Loggt euch nochmals auf dem Server ein. Öffnet wie am Anfang die Datei /etc/ssh/sshd_config und ändert die Zeile:

#PasswordAuthentication yes

zu

PasswordAuthentication no

ab. Das verhindert schlussendlich, dass man sich am Server mit einem Passwort anmelden kann. Bitte überprüft vorher nochmals, ob die Authentifizierung mit dem YubiKey auch wirklich funktioniert!

Sicherheitshinweise und Best Practices

• Physische Sicherheit: Bewahrt den YubiKey an einem sicheren Ort auf und vermeidet es, ihn unbeaufsichtigt zu lassen.
• Softwareaktualität: Haltet sowohl die Client- als auch die Server-Software stets aktuell, um von den neuesten Sicherheitsverbesserungen zu profitieren.
• Backup-Schlüssel: Ein YubiKey sollte niemals alleine verwendet werden. Verliert ihr den YubiKey, ist der Zugang zu euren Servern nicht mehr so einfach möglich. Legt euch einen Ersatzschlüssel zu. Die meissten bieten eine KVM Konsole an, mit dem ihr euch direkt via der Website des Hosters im Notfall mit dem Server verbinden lässt.

Fazit

Die Nutzung eines YubiKeys zur Absicherung von SSH-Zugängen bietet eine erhebliche Verbesserung der Sicherheit durch die Kombination von etwas, das der Benutzer weiß (z.B. ein Passwort), mit etwas, das der Benutzer besitzt (der YubiKey). Diese Methode schützt effektiv vor einer Reihe von Angriffsvektoren, einschließlich Phishing und Keylogging, und sollte in Umgebungen, in denen Sicherheit von höchster Bedeutung ist, in Betracht gezogen werden.

The post Server SSH Zugang mit YubiKey absichern appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist Wireguard

WireGuard ist eine moderne VPN (Virtual Private Network) Software, die für ihre Einfachheit, hohe Sicherheitsstandards und schnelle Performance bekannt ist. Im Vergleich zu anderen VPN-Protokollen wie OpenVPN oder IPSec, setzt WireGuard auf einen schlankeren Ansatz, was sowohl die Implementierung als auch die Wartung vereinfacht.

Das Protokoll zielt darauf ab, VPN-Technologien zu vereinfachen und zu beschleunigen. Es wurde ursprünglich für den Linux-Kernel entwickelt, ist aber mittlerweile für die meisten Betriebssysteme verfügbar, einschließlich Windows, macOS, BSD, iOS und Android. WireGuard verwendet moderne Kryptografie-Techniken und bietet eine sichere Ende-zu-Ende-Verschlüsselung.

Vorteile von Wireguard gegenüber openVPN und ipSec

Einfachheit und Benutzerfreundlichkeit: Eines der Hauptziele von WireGuard ist es, einfacher zu konfigurieren und zu verwenden zu sein als andere VPN-Lösungen. Die Konfigurationsdateien sind für Menschen lesbar und leicht verständlich, was die Einrichtung und Wartung erheblich vereinfacht.

Sicherheit: WireGuard verwendet state-of-the-art Kryptografie-Protokolle und -Algorithmen, wie zum Beispiel Curve25519 für Schlüsselaustausch, ChaCha20 für Verschlüsselung, Poly1305 für Authentifizierung und BLAKE2s für Hashing. Diese Auswahl an modernen, sicheren Technologien hilft, potenzielle Sicherheitslücken zu minimieren.

Leistung und Effizienz: WireGuard ist für seine hohe Performance und geringen Latenzzeiten bekannt. Es ist deutlich schneller als ältere VPN-Protokolle, vor allem aufgrund seines minimalistischen Designs und der effizienten Verschlüsselungsmethoden. Dies macht es besonders vorteilhaft für mobile Anwendungen, wo Ressourcen begrenzt sind.

Cross-Plattform-Unterstützung: Wie bereits erwähnt, unterstützt WireGuard eine Vielzahl von Betriebssystemen, was es zu einer flexiblen Lösung für unterschiedliche Geräte und Anwendungen macht.

IP-Routing und Roaming: WireGuard unterstützt nahtloses Roaming zwischen verschiedenen Netzwerkverbindungen. Das bedeutet, dass zum Beispiel ein Mobiltelefon, das von einer Wi-Fi-Verbindung zu einer mobilen Datenverbindung wechselt, die VPN-Verbindung nicht verliert. Dies ist besonders nützlich für Nutzer, die ständig unterwegs sind.

Transparenz und Open Source: Da WireGuard Open Source ist, kann der Code von jedem eingesehen, überprüft und verbessert werden. Dies fördert Transparenz und Sicherheit durch eine breite Community-Unterstützung

Vorausetzungen

Ihr benötigt zuerstmal einen Rechner, das kann ein Linux Rechner zuhause sein, der läuft und online bleibt, wenn ihr unterwegs seid, oder auch ein kleiner Server in einem Rechenzentrum z.B bei Ionos oder Hetzner sein. Wichtig ist dass ein einigermassen aktuelles Debian in der Version 11/12, oder ein Ubuntu ab der Version 20.04 bis 22.04 auf dem Server läuft. In einem Rechenzentrum könnt ihr die günstigere Versionen mit 2 CPU Kernen und 4GB RAM nehmen. Verschiedene Angebote könnt ihr euch z.B hier bei IONOS anschauen:

https://www.ionos.de/server/vps

Wie bereits erwähnt, reicht ein Server dieser grösse aus, damit sich ihr und eure Familienmitlieder oder Freunde sich mit eurem eigenen VPN verbinden können, und da die Server bei IONOS, oder in Rechenzentrem allgemein an sehr schnelle Interverbindungen angebunden sind, müsst ihr euch auch keine Sorgen, z.B beim Streaming machen.

Bei einem Rechner zuhause sollte dieser auch mindestens über 2 CPU Kerne verfügen, 4GB RAM besitzen, benötigt jedoch praktischen keinen Festplattenspeicher. Zuhause seid ihr an die Internetgeschwindigkeit eurer Leitung gebunden, heisst also wenn ihr eine Bambusleitung habt, ist unterwegs auch nicht mit viel Geschwindkeit zu rechnen, da der gesammte Datenverkehr zu euch nach hause getunnelt wird, und dann auch WLAN oder 5G Geschwindkeiten deutlich ausgebremst werden.

Server im Rechenzentrum

Das vorgehen einen VPS Server zu mieten ist wirklich einfach. Die meissten Provider führen euch bei einem mit wenigen Klicks durch die Bestellung und die Konfiguration (Betriebssystem Ubuntu 20.04/22.04 oder Debian 11/12 nehmen) Ihr benötigt keinen anderen Schmarn abwählen keine Addons, und keine zusätzlichen Optionen, einfach registrieren und Kreditkartendaten angeben, konfigurieren, IP Adresse ausindig machen, und sich mit dem gegebenen Daten per SSH verbinden.

Der Login geschieht über die öffentliche IP des Servers, z.B mit Putty von einem Windows Rechner aus, oder normal über das Terminal eures Linux Rechners.

Die Logindaten eures Servers findet ihr meisst auch auf der Server-Übersicht.

Firewall Konfiguration

Damit der Wireguard VPN Server funktioniert, müsst ihr in den Firewall Einstellungen eures Servers den entsprechenden Port freigeben, über der Wireguard kommuniziert. Dieser Port ist 51820 UDP.

Für eine verschlüsselte Verbindung zum Userinterface, die wir nachher einrichten, benötigen wir zudem noch den Port 443 TCP.

Die Firewall-Einstellungen findet ihr meisst im Bereich Netzwerk/Firewall-Richtlinien. Bei Ionos sieht das z.B so aus:

Stellt sicher das der Port 51820 als UDP konfiguriert ist. Die Einstellungen im Rechenzentrum sind bereits schon abgeschlossen. Stellt sicher das ihr eure öffentliche IP, und das Passwort notiert habt:

Betrieb zuhause

Habt ihr keine fixe IP Adresse, wäre eine Domain bei einem DynDNS Provider sinnvoll, da es sein kann, das die IP Adresse sich bei einem kurzen Verbindungsabruchs des Modems, oder ein unerwarteter Neustart, sich eure öffentliche IP Adresse ändern könnte. In diesem Tutorial erfahrt ihr, wie ehr euch eine DynDNS Adresse einrichtet, um bei einem Wechsel der IP Adresse trotzdem den VPN weiter verwenden könnt. Da die Gefahr aber relativ gering ist, dass ihr eine neue IP Adresse bekommt, kann das bei einem kurzen Trip eher vernachlässigt werden. Ist ein Ausfall nicht unbedingt kritisch, könnt ihr die öffentliche IP Adresse eures Heimanschluss bei der Installation von Wireguard verwenden.

Beim Betrieb zuhause, muss der Linux Rechner einfach online bleiben, bis ihr wieder zuhause seid. Stellt also sicher dass der Schlafmodus deaktiviert ist. Da der Rechner zuhause eine LAN IP hat, müssen wir ein Portfowarding erstellen. Wie das funktioniert, erfahrt Ihr in diesem Beitrag hier! Stellt sicher, dass Ihr den Port 52180 UDP an die entsprechende interne IP des Rechners, auf dem Wireguard läuft, weitergeleitet wird. Habt ihr eine Firewall auf dem Linux Rechner am laufen, stellt sicher das der benannte Port ebenso freigegeben worden ist.

Den Port 52181 müsst ihr zuhause ebenso nicht weiterleiten, da ihr euch lokal und intern mit eurem Wireguard Server verbinden könnt und somit Zugriff auf euer lokales Netzwerk habt.

Wireguard Installation

Loggt euch auf eurer VPS via SSH ein, oder öffnet euer Terminal auf eurem lokalen Rechner, falls ihr den Wireguard Server zuhause betreibt. Die Installation ist sehr simple. Wir verwenden ein fertiges Docker-Image, welches alles fertig einrichtet. Nur die IP Adressen müssen wir anpassen.

Zuerst installieren wir uns Docker. Docker ist eine Plattform für das Containerisieren von Anwendungen, wodurch diese mit ihren Abhängigkeiten in Containern verpackt und leicht zwischen Umgebungen portiert werden können. Es vereinfacht die Entwicklung, den Versand und die Ausführung von Software. Es bringt quasi alles mit, was den Betrieb von Wireguard notwendig macht und wird entsprechend konfiguriert abgeliefert.

Wir updaten unser System mit apt update und installieren Docker mit apt install docker.io

Nun kommt ein grössere Befehl, welche wir uns vorher anpassen müssen:

docker run -d \
  --name=wg-easy \
  -e WG_HOST=<DEINE_SERVER_IP> \
  -e PASSWORD=<DEIN_ADMIN_PASSWORT> \
  -v ~/.wg-easy:/etc/wireguard \
  -p 51820:51820/udp \
  -p 51821:51821/tcp \
  --cap-add=NET_ADMIN \
  --cap-add=SYS_MODULE \
  --sysctl="net.ipv4.conf.all.src_valid_mark=1" \
  --sysctl="net.ipv4.ip_forward=1" \
  --restart unless-stopped \
  weejewel/wg-easy

Beim Server im Rechenzentrum nehmt ihr die öffentliche IP des Servers, beim Betrieb zuhause nehmt Ihr entweder die öffentliche IP Adresse eures Routers, oder die DynDNS Domain, falls ihr eine erstellt habt. Bitte stellt sicher, dass ihr ein ausreichend starkes Passwort verwendet.

Danach kopiert ihr den ganzen angepassten Absatz in eure Konsole und schickt den Befehl einmal ab. Docker installiert nun den Container mit Wireguard und konfiguriert euch eurer Gerät entsprechend für die Nutzung und erledigt alle entsprechenden Netzwerkeinstellungen. Mit dem Befehl docker ps könnt ihr überprüfen, ob der Container nun auch bereits läuft:

Webzugriff Absichern und Konfiguration der Clients

Webzugriff auf dem öffentlichen Server mit SSL Zertifkat absichern

Damit wir sicher auf das Web-UI zugreifen können, sichern wie die Verbindung zuerst noch mit Nginx, und einem selbstsignierten Zertifikat ab.

Wir installieren uns Nginx zuerst mit:

sudo apt install nginx

und erstellen uns einen Ordner für unsere selbstsignierten Zertifikate:

sudo mkdir -p /etc/nginx/ssl

Danach erstellen wir uns das Zertifikat und einen zusätzlichen Diffie-Hellmann Schlüssel für den sicheren Schlüsselaustausch:

# Erstellen des Zertifikates:

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout /etc/nginx/ssl/selfsigned.key \
  -out /etc/nginx/ssl/selfsigned.crt

# Erstellen des Diffie-Hellmann Schlüssels:

sudo openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048

Jetzt erstellen wir eine Nginx Konfiguration, damit die Anfrage über unser SSL Zertifikat an das WebUI gesendet werden kann:

sudo nano /etc/nginx/sites-available/wg-easy.conf

und platzieren darin folgenden Inhalt:

server {
    listen 443 ssl;
    server_name _;

    ssl_certificate /etc/nginx/ssl/selfsigned.crt;
    ssl_certificate_key /etc/nginx/ssl/selfsigned.key;
    ssl_dhparam /etc/nginx/ssl/dhparam.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    location / {
        proxy_pass http://127.0.0.1:51821;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    error_page 497 https://$host$request_uri;
}

server {
    listen 80;
    server_name _;

    return 301 https://$host$request_uri;
}

Wir speichern die Datei mit strg+o und beenden mit strg+x. Jetzt platzieren wir noch einen Link in den Ordner sites-enabled:

sudo ln -s /etc/nginx/sites-available/wg-easy.conf /etc/nginx/sites-enabled/

Die Konfiguration können wir testen mit:

sudo nginx -t

und wenn keine Fehler ausgegeben werden, starten wir Nginx neu mit:

sudo systemctl reload nginx

Jetzt können wir im Browser https://1.2.3.4 (IP mit eurer Server-IP ersetzen) eingeben, und landen auf der Web-UI mit einer verschlüsselten Verbindung:

Webzugriff auf dem Wireguard Server zuhause absichern

Müsst ihr nicht, da ihr euch direkt mit Wireguard in euer Netzwerk Tunnel könnt, und danach auf das Web-UI zugreifen könnt.

Die Profile richtet ihr euch am besten direkt zuhause auf dem Wireguard Home Server ein. Dazu gebt ihr direkt auf dem Server im Browser http://localhost:51821 ein und landet auf dem Web Interface. Falls ihr auf einem anderen Rechner im LAN auf das Wireguard Interface zugreifen wollt, gebt ihr http://ip_des_wireguardservers:51821 ein.

Zugänge auf dem Wireguard Interface einrichten

Loggt euch mit eurem Passwort ein. Dann seid ihr auch schon auf der ziemlich übersichtlichen und einfach gehaltenen Bedienungszentrale, die eigentlich nur aus einer Seite besteht.

Hier könnt ihr ganz einfach mehrere Konten anlegen, die ihr euren Geräten zuteilt. Wichtig ist, dass ein Profil nur einmal verwendet werden kann, es also nicht mit anderen Benutzern geteilt werden kann. Das liegt daran dass sich ein Endgerät über eine Public/Privatekey am Server registriert, und die Verbindung damit sichert. Ein Profil kann also nicht auf 2 Geräten verwendet werden. Ihr könnt aber beinahe unbegrenzt Konten erstellen wie ihr Lustig seid. Klickt dazu einfach auf New Client, gebt dem Gerät einen Namen, und wiederhollt das solange wie ihr Accounts benötigt:

In der Übersicht seht ihr danach eure Clients. Rechts findet ihr Optionen wie das aktivieren/deaktivieren des Profils, die QR Anzeige, Möglichkeiten den Client wieder zu entfernen oder diese manuelle Konfiguration für den Client herunterzuladen. Wichtig hierbei ist der QR Code für das Smartphone und die Konfigurationsdatei für den Laptop falls ihr damit Unterwegs seid.

Smartphone, Windows und Linux Client einrichten

Smartphone Client

Für euer Android oder iPhone benötigt ihr nichts anderes als die App WG Tunnel von F-Droid oder die App Wireguard von Aurora. Diese installiert ihr wie gewohnt, und gebt der App Netzwerkberechtigungen falls Ihr CalyxOS oder GrapheneOS verwendet. Beim ersten öffnen erlaubt ihr der App als VPN agieren zu dürfen.

Alles was ihr tun müsst, ist mit dem plus Symbole einen neuen Tunnel zu erstellen, und den QR Code eures Profils abzufotografieren:

Mit der App Wireguard verhält es sich genau gleich, die iPhone App ist ähnlich einfach zu bedienen. Am Schluss müsst ihr nur mit dem Schieberregler oben den VPN aktivieren oder wieder deaktiveren.

Linux Client

Auf dem Linux Laptop, geht die Einrichtung von Wireguard einfach via Konsole am schnellsten. Öffnet eure Konsole und installiert Wireguard mit sudo apt install wireguard, danach startet ihr schnell euren Rechner neu. Als nächstes öffnet ihr eurer Terminal erneut, und legt mit sudo nano /etc/wireguard/laptop.conf eine neue Konfiguration an. Der Name Laptop kann hierbei geändert werden, je nach euren Geräten. Ladet euch die Wireguard Konfiguration herunter, öffnet sie, und platziert den kompletten Inhalt in diese Datei. Speichert sie mit STRG+o und beendet mit STRG+x

Die Verbindung stellt ihr ganz einfach mit folgendem Befehl her, wobei Laptop auf den Namen eurer Konfigurationsdatei anzupassen ist.

wg-quick up laptop

Wireguard stellt die Verbindung dann super schnell her, und ihr seid mit eurem VPN verbunden. Mit

wg-quick down laptop

Beendet ihr die Verbindung wieder.

Windows Client

Ladet euch den Windows Client hier herunter und installiert diesen auf eurem Rechner. Startet anschliessend das Programm. Ihr findet links unten den Button Tunnel hinzufügen oder Add Tunnel . Klickt diesen und wählt anschliessend Tunnel aus Datei hinzufügen. Wählt die Konfigurations-Datei aus, die ihr vom Wireguard Server heruntergeladen habt.

Anschliessend bekommt ihr rechts eine Übersicht der Verbindung. Klickt auf Aktivieren oder Activate, und der Windows Rechner wird sich mit eurem Wireguard Server verbinden.

WG-Easy Server updaten

Falls ihr eine Update Benachrichtigung bekommt, könnt ihr auf dem Server folgende Befehle ausführen:

docker stop wg-easy
docker rm wg-easy
docker pull weejewel/wg-easy

Danach führt ihr den Docker Run Befehl mit der Konfiguration von oben wieder aus und seid wieder am Start.

Abschluss

Wir haben nun endlich unseren eigenen VPN Server in Betrieb und können gewisse Geolokale Einschränkungen umgehen, uns sicher in fremden WLANs, zum Beisiel in öffentlichen Bereichen, aufhalten und vielen Schnüfflern erfolgreich verbergen, and welchem Ort wir gerade unterwegs sind. Wir haben auch ein Tutorial geschrieben wie man einen eigen openVPN Server bei sich zuhaue betreibt. Wer lieber openVPN verwendet, kann dieses Tutorial auch auf einer VPS in einen Rechenzentrum anwenden.

Lest doch noch unseren Artikel, wie man einen VPN richtig verwenden sollte, und auf was zu achten ist, falls ihr euch mehr über das Thema informieren wollt.

The post Schnell und einfach einen Wireguard VPN betreiben appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist tcpdump

tcpdump ist ein mächtiges Werkzeug zur Netzwerkanalyse, das häufig auf Unix-ähnlichen Betriebssystemen eingesetzt wird. Es ermöglicht Benutzern, den Datenverkehr, der über Netzwerke fließt, zu erfassen und zu analysieren. Hier sind einige Schlüsselelemente von tcpdump:

• Datenverkehr erfassen: tcpdump kann den gesamten Netzwerkverkehr auf einer Schnittstelle erfassen, was es zu einem nützlichen Werkzeug für die Netzwerkdiagnose und -überwachung macht.
• Filterfunktionen: Eines der Hauptmerkmale von tcpdump ist seine Fähigkeit, den Netzwerkverkehr nach verschiedenen Kriterien zu filtern, wie IP-Adressen, Portnummern und Protokolltypen. Diese Filter helfen dabei, spezifische Informationen aus einem großen Strom von Netzwerkdaten herauszufiltern.
• Paketanalyse: tcpdump zeigt die Header von Paketen im Netzwerkverkehr an, was nützlich ist, um Probleme zu diagnostizieren, die Sicherheit zu überprüfen oder einfach den Netzwerkverkehr zu verstehen.
• Vielseitigkeit: Es wird auf einer Vielzahl von Systemen verwendet und ist standardmäßig auf vielen Linux-Distributionen und macOS installiert. Es kann sowohl in kleinen als auch in großen Netzwerkumgebungen eingesetzt werden.
• Kommandozeilenwerkzeug: Als Kommandozeilenwerkzeug bietet es Flexibilität und kann in Skripte für automatisierte Aufgaben integriert werden.

Es ist besonders wertvoll für Systemadministratoren, Netzwerkingenieure und Sicherheitsfachleute, da es tiefe Einblicke in den Netzwerkverkehr bietet und bei der Identifizierung von Netzwerkproblemen, der Überwachung von Sicherheitsbedrohungen und der Leistungsoptimierung hilft.

Grundlagen von tcpdump

Auf den meisten Linux-Distributionen und auf macOS ist tcpdump bereits vorinstalliert. Falls es nicht installiert ist, könnt Ihr es über den Paketmanager Eurer Distribution installieren (z.B. sudo apt install tcpdump auf Debian basierten Systemen).

1. Berechtigungen: Um tcpdump zu verwenden, benötigt Ihr in der Regel Root-Berechtigungen. Ihr könnt tcpdump als Root ausführen oder sudo verwenden, um es mit erhöhten Berechtigungen zu starten.
2. Schnittstellen auflisten: Bevor Ihr tcpdump verwendest, ist es hilfreich, die verfügbaren Netzwerkschnittstellen auf deinem System zu kennen. Das könnt Ihr mit tcpdump -D machen.
3. Einfacher Start: Der einfachste Weg, tcpdump zu starten, ist der Befehl sudo tcpdump. Damit beginnt tcpdump, Pakete auf der Standard-Schnittstelle zu erfassen und anzuzeigen.

Für was brauche Ich tcpdump

1. Fehlerdiagnose im Netzwerk: Wenn Ihr Verbindungsprobleme habt, könnt Ihr tcpdump verwenden, um zu sehen, ob Pakete ankommen oder wo sie verloren gehen.
2. Sicherheitsüberprüfungen: Überprüft, ob unerwarteter oder verdächtiger Verkehr in Eurem Netzwerk vorhanden ist.
3. Leistungsanalyse: Verwendet tcpdump, um Engpässe oder ungewöhnliche Muster im Netzwerkverkehr zu identifizieren.

Die Ausabe von tcpdump einfach erklärt

Wenn Ihr als Neuling eine Ausgabe von tcpdump seht, kann sie zunächst etwas überwältigend wirken. Hier ist eine einfache Erklärung der grundlegenden Informationen, die Ihr in einer typischen tcpdump-Ausgabe finden werdet:

1. Zeitstempel: Zu Beginn jeder Zeile steht der Zeitstempel. Er zeigt Euch genau an, wann das Paket erfasst wurde. Das ist nützlich, um zu sehen, wann etwas im Netzwerk passiert ist.
2. Protokoll: Hier steht, welches Netzwerkprotokoll das Paket verwendet, wie z.B. IP, TCP, UDP usw. Dies gibt Euch eine Vorstellung davon, welche Art von Kommunikation stattfindet.
3. Quelle und Ziel: Jedes Paket hat eine Quelladresse und eine Zieladresse. Bei einem TCP/UDP-Paket sind dies Kombinationen aus IP-Adresse und Portnummer (z.B. 192.168.1.2.80). Die Quelle ist der Ursprung des Pakets, das Ziel ist, wohin es geht.
4. Flags: Bei TCP-Paketen seht Ihr oft Flags wie SYN, ACK, PSH usw. Diese Flags geben den Status der Verbindung oder die Art der Nachricht an (z.B. eine Verbindungsanfrage, eine Bestätigung oder ein Hinweis, die Daten sofort zu verarbeiten).
5. Sequenz- und Bestätigungsnummern: Diese Nummern sind wichtig in der TCP-Kommunikation. Sie helfen dabei, die Reihenfolge der Pakete zu organisieren und sicherzustellen, dass alle Daten korrekt übertragen werden.
6. Fenstergröße: Dies ist ein Teil des Flusskontrollmechanismus in TCP. Es zeigt an, wie viel Daten der Empfänger bereit ist, zu einem bestimmten Zeitpunkt zu akzeptieren.
7. Optionen: Hier findet Ihr zusätzliche Einstellungen oder Informationen, die für spezielle Zwecke verwendet werden, wie z.B. für die Verbesserung der Leistung oder die Sicherheit.
8. Länge: Am Ende seht Ihr die Länge des Pakets. Dies sagt Euch, wie viele Daten in diesem spezifischen Paket transportiert werden.

Diese Elemente zusammengenommen geben Euch eine Übersicht darüber, wie Daten zwischen Computern oder Geräten in deinem Netzwerk übertragen werden. Jedes Element spielt eine Rolle im Gesamtprozess der Datenübertragung und hilft dabei, das Netzwerk zu verstehen und zu überwachen.

DNS Auflösung der IP Adressen deaktiveren

Um DNS-Auflösungen in der Ausgabe von tcpdump zu deaktivieren, sodass IP-Adressen nicht in Hostnamen umgewandelt werden, verwendet Ihr die Option -n. Wenn tcpdump ohne diese Option läuft, versucht es standardmäßig, IP-Adressen in lesbare Hostnamen umzuwandeln, was manchmal nicht erwünscht ist, besonders wenn Ihr an den tatsächlichen IP-Adressen interessiert seid oder die DNS-Auflösung die Ausgabe verlangsamt.

Der Befehl sieht folgendermaßen aus:

sudo tcpdump -n

Durch Hinzufügen von -n werden die IP-Adressen und Portnummern direkt angezeigt, ohne dass sie in Hostnamen oder Dienstnamen umgewandelt werden. Dies ist besonders nützlich, wenn Ihr genaue Informationen über die Netzwerkverbindungen benötigt oder wenn du die Leistung von tcpdump in einem Netzwerk mit vielen DNS-Abfragen verbessern möchtet.

Netzwerkinterface auswählen

Um in tcpdump ein spezifisches Netzwerkinterface anzugeben, das für die Paketerfassung verwendet werden soll, fügt Ihr einfach den Namen des Interfaces in deinen tcpdump-Befehl ein. Die Syntax dafür ist:

sudo tcpdump -i [Interface-Name]

Hier sind die Schritte, um dies zu tun:

1. Findet den Namen des Interfaces: Zuerst müsst Ihr den Namen des Netzwerkinterfaces herausfinden, das Ihr überwachen möchtet. Dies könnt Ihr tun, indem Ihr ifconfig (auf älteren Systemen) oder ip addr (auf neueren Linux-Systemen) verwendet. Auf macOS könnt Ihr ifconfig ohne Argumente verwenden, um eine Liste der Interfaces zu erhalten. Alternativ könnt Ihr auch den tcpdump eigenen Befehl tcpdump -D verwenden.
2. Verwende das Interface in tcpdump: Nachdem Ihr den Namen des Interfaces habt, verwendet ihn im tcpdump-Befehl. Zum Beispiel, wenn Euer Interface eth0 heißt, würdet Ihr schreiben: sudo tcpdump -i eth0 Dieser Befehl startet tcpdump und erfasst den Netzwerkverkehr, der über eth0 läuft.
3. Kombiniere mit anderen Optionen: Ihr könnt den Interface-Parameter auch mit anderen tcpdump-Optionen kombinieren, um Eure Überwachung weiter anzupassen. Zum Beispiel, um den HTTP-Verkehr (Port 80) auf dem Interface eth0 zu überwachen, würdet Ihr schreiben: sudo tcpdump -i eth0 port 80

Diese Methode ermöglicht es Euch, gezielt den Verkehr eines bestimmten Netzwerkinterfaces zu analysieren, was besonders nützlich ist, wenn Ihr mehrere Netzwerkschnittstellen auf Eurem Gerät habt und Ihr Euch nur für eine bestimmtes interessiert.

Habt Ihr nur ein Interface, müsst Ihr keine Interfaceangaben verwenden.

Filter verwenden (Source, Destination und Port)

tcpdump bietet leistungsstarke Filter, um nur bestimmte Arten von Netzwerkverkehr zu erfassen:

Diese Optionen sind nützlich, um den Netzwerkverkehr zu filtern und sich auf Pakete zu konzentrieren, die von einer bestimmten Quelle kommen oder an ein bestimmtes Ziel gesendet werden.

Filtern nach Quell-IP

Um den Netzwerkverkehr zu erfassen, der von einer bestimmten IP-Adresse stammt, verwendet Ihr die src-Option. Zum Beispiel:

sudo tcpdump src 192.168.1.117

Dieser Befehl zeigt alle Pakete an, die von der IP-Adresse 192.168.1.117 gesendet werden.

Filtern nach Ziel-IP

Wenn Ihr den Verkehr sehen möchtet, der an eine bestimmte IP-Adresse gerichtet ist, nutzt Ihr die dest-Option. Zum Beispiel:

sudo tcpdump dst 192.168.1.20

Hier werden alle Pakete angezeigt, die an die IP-Adresse 192.168.1.20 gesendet werden.

Kombinieren von Quell- und Ziel-Filtern

Ihr könnt src und dst auch kombinieren, um den Verkehr zwischen zwei spezifischen IP-Adressen zu sehen. Zum Beispiel:

sudo tcpdump src 192.168.1.10 and dst 192.168.1.20

Dieser Befehl zeigt den Verkehr an, der von der IP-Adresse 192.168.1.10 an die IP-Adresse 192.168.1.20 gesendet wird.

Filtern nach Quell-Port

Ihr könnt auch den Quell-Port für den Verkehr filtern. Zum Beispiel:

sudo tcpdump src port 80

Dieser Befehl zeigt den gesamten Verkehr an, der von Port 80 (in der Regel HTTP-Verkehr) ausgeht.

Filtern nach Ziel-Port

Ähnlich wie bei der Quell-Port-Filterung kannst du auch den Ziel-Port filtern. Zum Beispiel:

sudo tcpdump dst port 443

Hier werden alle Pakete angezeigt, die an Port 443 (in der Regel HTTPS-Verkehr) gerichtet sind.

Diese Beispiele demonstrieren, wie Ihr tcpdump benutzen könnt, um spezifische Aspekte des Netzwerkverkehrs zu beobachten. Es ist ein unglaublich mächtiges Werkzeug für die Netzwerkanalyse und kann angepasst werden, um eine Vielzahl von Situationen zu erfassen und zu untersuchen.

Nach Source, Destination und Port gleichzeitig filtern

Um in tcpdump gleichzeitig nach einer Ziel-IP (dst) und einem Port zu filtern, kombiniertt Ihr einfach die entsprechenden Filterbedingungen. Hier ist ein weiteres Beispiel, wie Ihr das machen könnt:

sudo tcpdump "dst 192.168.1.100 and port 80"

In diesem Befehl:

• dst 192.168.1.100 filtert den Verkehr, der an die IP-Adresse 192.168.1.100 gerichtet ist.
• port 80 filtert den Verkehr, der auf Port 80 (typischerweise HTTP-Verkehr) läuft.
• and ist der logische Operator, der beide Bedingungen kombiniert.

Das bedeutet, dass dieser Befehl alle Pakete anzeigt, die an die IP-Adresse 192.168.1.100 auf Port 80 gesendet werden. Du kannst die IP-Adresse und den Port natürlich an deine spezifischen Anforderungen anpassen.

Hier ein Beispiel wie ich Pakete Filtere, die von meinem Webserver kommen und auf Port 443 eingehen wenn ich z.B. eine Seite bei mir aufrufe:

Der gleiche Befehl mit der -n Option um die DNS Auflösung zu deaktivieren:

Flaggen und weitere Optionen

In tcpdump könnt Ihr neben den einfachen src und dst Optionen auch fortgeschrittenere Filter mithilfe von Flags nutzen, um Daten noch gezielter zu filtern. Hier sind einige wichtige Flags, die Ihr in tcpdump verwenden könnt:

TCP-Flags

TCP-Flags sind hilfreich, um bestimmte Arten von TCP-Verkehr zu identifizieren:

• SYN (syn): Filtert SYN-Pakete, die verwendet werden, um eine TCP-Verbindung zu initiieren. Beispiel: tcpdump 'tcp[tcpflags] & (tcp-syn) != 0'
• ACK (ack): Filtert ACK-Pakete, die Bestätigungen im TCP-Handshake-Prozess sind. Beispiel: tcpdump 'tcp[tcpflags] & (tcp-ack) != 0'
• FIN (fin): Filtert FIN-Pakete, die anzeigen, dass eine Seite der Verbindung beendet wird. Beispiel: tcpdump 'tcp[tcpflags] & (tcp-fin) != 0'
• RST (rst): Filtert RST-Pakete, die verwendet werden, um eine Verbindung zurückzusetzen. Beispiel: tcpdump 'tcp[tcpflags] & (tcp-rst) != 0'
• URG (urg): Filtert URG-Pakete, die auf dringende Daten hinweisen. Beispiel: tcpdump 'tcp[tcpflags] & (tcp-urg) != 0'
• PSH (psh): Filtert PSH-Pakete, die anzeigen, dass die Daten sofort übermittelt werden sollen. Beispiel: tcpdump 'tcp[tcpflags] & (tcp-push) != 0'

Kombinieren von Flags

Ihr könnt auch mehrere Flags kombinieren, um spezifische Arten von TCP-Verkehr zu identifizieren. Zum Beispiel, um SYN-ACK-Pakete zu filtern, die Teil des TCP-Handshake-Prozesses sind:

tcpdump 'tcp[tcpflags] == tcp-syn|tcp-ack'

Protokollfilter

• Filtern nach Protokoll: Neben TCP könnt Ihr auch nach anderen Protokollen wie UDP oder ICMP filtern. Zum Beispiel: tcpdump icmp oder tcpdump udp.

Netzwerk- und Subnetz-Filter

• Filtern nach Netzwerk/Subnetz: Ihr könnt auch Verkehr von oder zu einem ganzen Netzwerk oder Subnetz filtern. Beispiel: tcpdump net 192.168.1.0/24

Kombinieren mit logischen Operatoren

• Logische Operatoren: Verwendet and, or, und not (bzw. &&, ||, !) um komplexe Filter zu erstellen. Beispiel: tcpdump "src 192.168.1.10 and (dst port 80 or dst port 443)"

Diese fortgeschrittenen Filtertechniken ermöglichen es Euch, den Netzwerkverkehr sehr spezifisch zu analysieren und sind besonders nützlich in komplexen Netzwerken oder bei der Fehlersuche. Wichtig: der genaue Syntax für diese Filter kann je nach Betriebssystem und tcpdump-Version leicht variieren.

Fortgeschrittene Nutzung

1. Pakete in eine Datei schreiben, einfache Methode: Anstatt die Pakete direkt anzuzeigen, könnt Ihr sie in einer Datei speichern, um sie später zu analysieren. Verwendet dazu sudo tcpdump > meinelogdatei.log. Diese Art des Speicherns enthält aber nur einfache Ausgaben wie Ihr sie direkt auf der Befehlszeile seht.
2. Pakete in eine Datei schreiben, komplexe Methode: Der Befehl sudo tcpdump -w meine_datei.pcap speichert die erfassten Pakete im .pcap-Format (Packet Capture Format), welches ein Standardformat für Netzwerkverkehrsanalysen ist.Die .pcap-Datei enthält die Rohdaten der Netzwerkpakete, einschließlich aller Header-Informationen und Payloads, sofern sie nicht durch Filteroptionen ausgeschlossen wurden.
3. Pakete aus einer Datei lesen: Um die gespeicherten Pakete zu analysieren, verwende sudo tcpdump -r meinedatei.pcap.
4. Anzahl der zu erfassenden Pakete begrenzen: Mit der Option -c kannst du die Anzahl der zu erfassenden Pakete begrenzen, z.B. sudo tcpdump -c 100.

Weitere Tipps

• Achtet darauf, dass Ihr tcpdump verantwortungsvoll und gesetzeskonform einsetzt, besonders in Netzwerken, die Ihr nicht selber verwaltet.
• tcpdump kann sehr viele Daten generieren, also seid vorsichtig bei der Verwendung in großen oder stark ausgelasteten Netzwerken. Ohne Filter kann eine Datei schnell hunderte MB gross werden falls Ihr vergesst das Loging abzubrechen
• Es gibt viele weitere Optionen und Filter, die tcpdump bietet. Für eine vollständige Liste könnt Ihr die Manpage mit man tcpdump aufrufen.

Ich hoffe, dieses Tutorial gibt Euch einen guten Überblick und hilft Euch dabei, tcpdump effektiv zu nutzen! Wenn Ihr spezifische Fragen habt, schreibt sie in die Kommentare!

The post Netzwerkverkehr mit tcpdump überwachen und analysieren appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen

Ihr benötigt nur Eure WebDav Adresse. Diese findet Ihr auf Eurer Nextcloud im Dateien-Explorer. Öffnet den Explorer und scrollt links ganz nach unten. Dort unten findet Ihr unter Dateien-Einstellungen:

Weitere Vorbereitungen müssen nicht getroffen werden.

Auf Linux einbinden

Die Einbindung auf Linux basierten System ist sehr einfach. Das Protokol WebDav wird von Haus aus unterstützt. Öffnet Euren Dateien-Explorer und naviert zum Tab Netzwerk. Dort findet Ihr jetzt oben eine Adresseleiste in der Ihr eine Serveradresse eingeben könnt. Auf einem Linuxclient muss nichts anderes als das Protoll voran geschrieben werden. Eure Adresse lautet dann also webdavs://cloud.deinedomain.ch
Das s am Ende von Webdav steht für SSL, also https , die Variante ohne SSL wäre einfach webdav://

Danach werdet Ihr nach Euren Logindaten gefragt, gebt hier Eure Nextcloud Logindaten ein.

Klickt Ihr rechts mit einem rechtsklick ins Leere, könnt Ihr ausserdem den Zugang permant in Eure Netzwerk hinzufügen in dem Ihr auf zu Orte Hinzufügen. Das wars schon, wie Ihr seht, habt Ihr nun all Eure Daten in Euren Dateien-Explorer eingebunden.

Auf Windows einbinden

Auf Windows ist die Sache auch relativ einfach, man muss sich etwas mehr durch wirre Fenster klicken, aber das Prinizip ist das selbe: Öffnet den Windows-Explorer mit den Tasten Windows + E.Klickt mit der rechten Maustaste auf Dieser PC und wählt den Eintrag Netzwerkadresse hinzufügen aus. Bestätigt mit Weiter.

Wählt die Option aus: Eine benutzerdefinierte Netzwerkadresse auswählen und klickt auf Weiter. Gebt nun die WebDAV-Server-Adresse ein. Diese beginnt mit http:// oder https://.
Aus Sicherheitsgründen solltet ihr die SSL-verschlüsselte URL mit https nutzen. Dies entspricht webdavs auf unserem Linux Client.

Gebt danach den zugehörigen Benutzernamen und das Passwort ein.Nach Bestätigung erscheint der Nextcloud-Speicher bei Euch im Windows-Explorer unter Dieser PC. Die Einrichung ist nun auch unter Windows betriebsbereit. Ihr könnt nun direkt Daten in Euren Explorer werfen und habt diese auf Eurer Nextcloud verfügbar.

Auf Mac Einbinden

Im Mac fügt Ihr eine neue Server Adresse hinzu, fügt den kompletten Link der Nextcloud dort ein, und gebt annschliessend Eure Anmeldedaten ein. Danach habt Ihr sie auch im Mac Explorer:

1. Wählt im Finder auf dem Mac „Gehe zu“ > Mit Server verbinden.
2. Gebt die Adresse des Servers in das Feld „Serveradresse“ ein.Für die WebDAV-Serveradresse gilt folgendes Format: https://servername.com/pfad/
3. Klickt auf Verbinden.

Nachteile von WebDAV

• Wenn Ihr im WebDAV-Verzeichnis nur einen kleinen Teil einer großen Datei ändert, wird immer die gesamte Datei zum Server hochgeladen. Ausserdem wird die Datei, bevor Ihr sie bearbeiten könnt, zuerst komplett heruntergeladen.
• Wird das Hochladen einer Datei unterbrochen, muss die Datei erneut von Neuem hochgeladen werden.
• WebDAV ist deutlich langsamer als FTP, sFTP und NFS.

WebDAV auf unserem Nextcloud Server verwenden

Damit ihr WebDAV, CalDAV und CardDAV Clients mit unserem Server verbinden könnt, müsst ihr für diesen Zugang App Passwörter festlegen. Dieses Apppasswort wird dann genutzt, um euch zum Beispiel mit einem DAV kompatiblen Client mit der Nextcloud zu verbinden. Dies ist bei uns so, da wir KeyCloak als Authentication Provider nutzen, und nicht die interne Nextcloud Datenbank.

Ich hoffe Euch Eurer Arbeiten mit der Cloud etwas leichter gemacht zu haben. Falls Ihr Fragen habt, schreibt sie in die Kommentare!

The post Nextcloud direkt via WebDav in Linux und Windows einbinden appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen

Zuerst ein paar allgemeine Vorbereitungen. Stellt sicher das die Dateien nicht grösser als 20GB sind, ansonsten kommt es zu Upload Problemen. Sind einzelne Daten grösser als 20GB, passit Eure upload_max_filesize und post_max_file in der php.ini Eurer PHP Version entsprechend an.

USB-Stick vorbereiten

• Stelle sicher, dass der USB-Stick im richtigen Format (z.B. FAT32, NTFS, exFAT) vorliegt, das von deinem Betriebssystem unterstützt wird. Ich empfehle hier eigentlich direkt nur NTFS zu benutzen damit es nicht zur Freigabeproblemen kommt und Ihr auch von einem Windows Rechner die Daten auf den Stick packen könnt.
• Verbindet den USB-Stick mit Eurem Computer oder Server, auf dem Ihr Zugriff auf die Nextcloud-Instanz habt.

Server mit Desktop

Habt Ihr einen Server auf dem eine GUI läuft bzw ein Desktop installiert ist, ist die Sache relativ einfach

Zugriff auf Nextcloud

• Öffnet einen Webbrowser und geht zur Nextcloud-Webinterface-URL deiner lokalen Nextcloud-Instanz. Ihr könnt mit localhost oder http://ipdessercers direkt auf die auf dem Server laufende Instanz zugreifen.
• Meldet Euch mit Euren Zugangsdaten an.

Dateien vom USB-Stick auf den Computer übertragen

• Öffnet den Datei-Explorer Eures Betriebssystems.
• Navigiert zum USB-Stick und wählt die Dateien aus, die Ihr hochladen möchtet.
• optional: Kopiert die Dateien in einen temporären Ordner auf deinem Computer, um den Upload-Vorgang zu vereinfachen.

Dateien in Nextcloud hochladen

• Geht im Nextcloud-Webinterface zum Ordner, in den Ihr die Dateien hochladen möchtet.
• Nutze die Upload-Funktion (oft ein „+“-Symbol oder ein „Hochladen“-Button) im Nextcloud-Webinterface, um die Dateien von deinem Computer auszuwählen und zu übertragen.
• Wartet, bis der Upload-Vorgang abgeschlossen ist.

Wichtige Schritt für Proxmox-Nutzer oder Virtual Machine Manager Nutzer

• Wenn die Nextcloud-Instanz in einer VM oder einem Container auf einem Proxmox-Host läuft, ist es nötig, den USB-Stick direkt an die VM/Container durchzureichen.
• Hierfür müsst Ihr Euch auf dem Proxmox-Host einloggen, zum Beispiel über SSH oder das Proxmox-Webinterface.
• Geht auf die Virtuelle Maschine auf der Nextcloud läuft.
• Füge den USB-Stick als Hardware in den VM/Container-Einstellungen hinzu.
• Nach der Durchreichung könnt Ihr den USB-Stick innerhalb der VM/Container-Umgebung wie eine lokale Ressource verwenden.

Server ohne Desktop

Läuft auf der Nextcloud ein Ubuntu Server müsst Ihr den Stick vorher an ein entsprechendes Verzeichnis mounten. Auf einem reinen Server Betriebssystem geschieht dies nicht automatisch.

Öffnet die Konsole und loggt Euch auf dem Nextcloud Server ein. Identifziert den Laufwerksbuchstaben des USB Sticks mit lsblk:

Erstellt Euch einen Einhängepunkt, wo Ihr den Stick mounten könnt. Z.B unter /media. Dort kann ein Ordner erstellt werden Beispielsweise mit dem Namen usbstick:

sudo mkdir /media/usbstick

Gebt dem Nextcloud Webserver Berechtigungen, den Ordner nutzen zu dürfen:

sudo chown -R www-data:www-data /media/usbstick
sudo chmod -R 775 /media/usbstick/

Danach mountet Ihr das USB Laufwerk mit der korrekten Bezeichnung sdb1 wie im Screenshot zusehen mit dem erstellen Verzeichnis. Bitte stellt sicher dass Ihr die Partitionsbezeichnung nehmt, das ist immer die Bezeichnung mit der Zahl dahinter, z.B hier sdb1

sudo mount /dev/sbd1 /media/usbstick

Nextcloud Instanz USB Stick einhängen

In der Nextcloud Instanz müssen wir nun auf den Stick zugreifen können. Das geht mit der app external Storage. Installiert Euch die App unter der Kategorie Apps und geht danach in die Verwaltungseinstellungen. Scrollt ganz nach unten, und geht in die App external Storgage im Admin Bereich, und nicht im persönlichen Bereich. Fügt einen lokalen Datenträger hinzu mit dem Pfad /media/usbstick

Geht nun die die Dateienverwaltung, und under lokal findet Ihr die Dateien auf dem USB Stick. Diese könnt Ihr nun mit Rechtsklick kopieren und in einen Ordner Eurer Wahl legen.

Nachbereitung

• Nachdem der Upload abgeschlossen ist, könnt Ihr die Dateien im Nextcloud-Interface verwalten, teilen oder bearbeiten, je nach Bedarf.
• Denke daran, den USB-Stick sicher zu entfernen, sowohl aus dem Betriebssystem als auch aus der VM/Container-Konfiguration, falls du Ihr ihn durchgereicht habt.

Es ist wichtig zu beachten, dass die spezifischen Schritte variieren können, je nachdem, wie die Nextcloud-Instanz und der Proxmox-Host konfiguriert sind. Sollten Probleme auftreten, kann es hilfreich sein, die Dokumentation deiner spezifischen Nextcloud-Version sowie von Proxmox zu konsultieren.

The post Daten per USB Stick auf Nextcloud Server hochladen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die Methode um unseren Home Ordner auf einer NAS zu sichern, haben wir bereits mal hier kennen gelernt. Hier ging es aber eher um ein Backup des Home Ordners inkl. aller Dokumente. Wollt ihr einfach Systemeinstellungen und die Programme sichern, haben wir hier eine etwas angepasste Variante. Das bietet sich z.B bei und nach der Neuinstallation des Systems an.

Voraussetzungen

Die Vorausetzungen für das Backup sind eigentlich sehr einfach, ihr benötigt:

• Ein USB Stick oder eine externe Festplatte mit genügend Speicherkapazität
• Das BackUp Tool Borg mit der Benutzeroberfläche Vorta
• Das neue System sollte den selben Unterbau haben, hattet ihr ein Ubuntu System, dann sollte es anschliessend auch wieder Ubuntu sein.
• Ein aktuelles System mit allen Updates.

Datenträger vorbereiten

Formatiert euch den Datenträger mit ext4 oder ntfs und vergebt dem Gerät einen eindeutigen Namen. Wie das genau funktioniert, erfahrt ihr hier. Legt euch auf dem USB-Stick oder auf der externen Festplatte einen Ordner mit dem Namen Backup an. Hier sind wir bereits fertig, weitere Vorbereitungen müssen nicht getroffen werden.

Programme sichern

Wir sichern nicht direkt die Programme da dies unter Linux unnötig ist, und die reinen Installationen keine Konfiguration der Programme enthält. Was wir sichern, ist eine Liste aller installierten Programme und separat die Konfigurationen unserer Programme, damit anschliessend alle Apps und Programme so eingerichtet sind, wie sie vorher waren. Alle Konfigurationen und Einstellungen werden unter Linux standardmässig im Home Order gespeichert.

Wir erstellen zuerst eine Liste aller Programme, speichern diesen in eine Text Datei, welche wir verwenden können, um danach auf dem frisch installierten Gerät alle Programme in dieser Liste automatisch wieder zu installieren. Es werden alle Programme gesichert, die ihr aktuell auf dem System installiert habt.

Wir updaten alle Programme und erstellen gleich eine Liste mit dem Befehl:

sudo apt update && sudo apt upgrade -y && dpkg --get-selections > /home/Benutzername/Dokumente/paketliste.txt

Ersetzt Benutzername mit eurem Benutzernamen! Diese Datei sichern wir uns z.B auf dem USB Stick.

Installation von Borg bzw Vorta

Die Insallation ist sehr einfach. Öffnet das Terminal und gebt folgenden Befehl ein:

sudo apt install vorta

Anwendungseinstellungen mit Borg / Vorta sichern

Öffnet das Programm Vorta. Im ersten Reiter Repository wählen wir ein Sicherungsziel. Legt hier mittels dem Plus Symbol und Neues Repository ein neues Sicherungsziel an. Dies ist bei uns der eingerichtete Datenträger. Der befindet sich immer in System-Ordner media.

Vergebt ein Passwort und wählt Hinzufügen. Für eine unverschlüsselte Sicherung könnt ihr auch im Tab Erweitert ein unverschlüsseltes Backup erstellen --> Verschlüsselung --> Unverschlüsselt

Zu sichernde Verzeichnisse

Die meisten Programme speichern ihre Einstellungen im Home-Verzeichnis des Nutzers, normalerweise in versteckten Ordnern (die mit einem Punkt . beginnen). Ihr könnt das gesamte Home-Verzeichnis sichern, um sicherzustellen, dass keine wichtigen Dateien verloren gehen, oder auch nur die wichtigsten Ordner in den die Einstellungen enthalten sind:

• ~/.config/: Hier befinden sich die meisten Konfigurationsdateien für Anwendungen, die die XDG-Standardverzeichnisse verwenden.
• ~/.local/share/: Dieser Ordner enthält Daten und Konfigurationen, die lokal gespeichert werden, einschließlich einiger Programmeinstellungen und Anwendungsdaten.
• ~/.cache/: Enthält zwischengespeicherte Daten. Dieser Ordner ist nicht unbedingt notwendig, aber es kann sinnvoll sein, ihn zu sichern, wenn ihr bestimmte Programme vollständig wiederherstellen möchtet.
• Versteckte Dateien und Ordner: Viele Programme legen ihre Einstellungen direkt im Home-Verzeichnis in versteckten Dateien (z.B. .bashrc, .vimrc) oder Ordnern (z.B. .mozilla, .thunderbird) ab.
• /etc/: Enthält Konfigurationsdateien für das System und viele Programme. Wenn ihr spezifische Programme sichern möchtet, kannst du gezielt die entsprechenden Unterverzeichnisse sichern.
• /var/: In manchen Fällen speichern Programme Daten in /var, zum Beispiel Datenbanken oder Webserver.

Geht in den nächsten Reiter Quellen, und fügt mit dem Plus Symbol wie im Beispiel zu sehen eure Quellen hinzu. Der Screenshot gilt nur als Beispiel. Auf eurer Konfiguration sind natülich je nach Wunsch weitere Ordner enthalten.

Den Ordner /etc könnt Ihr einfach aus der Liste auswählen. Die Ordner .config oder auch zum Beispiel .thunderbird oder .mozilla müsst ihr in der Liste unten im Pfad selber hinzufügen da er in der Listenansicht versteckt ist. Fügt hier die Ordner der Programme hinzu die gesichert werden sollen. Checkt dazu im Terminal mit ls -la welche Programme eigene versteckte Ordner angelegt haben:

Wollt ihr weitere Quellen hinzufügen. z.B eure Dokumente, könnt ihr dass natürlich hier auch tun, und einfach die gewünschten Ordner hinzufügen.

Um die Sicherung zu starten, wählt unten dann einfach Datensicherung starten aus und das Tool sichert alle Daten auf euren Datenträger.

Wiederherstellung eurer Programme

Auf dem frisch installierten System könnt ihr nun den USB Stick anhängen, und mit folgenden Befehl all eure Programme wieder hinzufügen und installieren. Kopiert dafür vorher die Paketlisten-Text Datei vom USB-Stick in den Dokumenten Ordner auf eurem Linux System, und führt folgenden Befehl im Terminal aus:

sudo dpkg --set-selections < /home/Benutzername/Dokumente/paketliste.txt && sudo apt-get dselect-upgrade

Damit wird euer System wieder mit allen Programmen ausgestattet, die vorher auf dem alten System vorhanden waren.

Wiederherstellung der Konfigurationen

Installiert euch zunächst erstmal wieder as Backup Tool Borg / Vorta, danach öffnet ihr das Programm. Jetzt fügt ihr mit dem Plus Symbol ein bestehendes Repository hinzu. Wählt den Ordner auf dem USB Stick aus in unserem Falle den Ordner backup

Das Repo wird mit dem Button Add hinzugefügt.

Als nächstes gehen wir in den Reiter Archive und machen uns an die eigentliche Wiederherstellung der Konfigurationen.

Dazu wählen wir unser Archiv aus, und benutzen die Entpacken Funktion. Wir können danach auswählen, wohin die enthaltenen Dateien entpackt werden. Wir wählen dazu direkt die Ordner, in dem die Daten auch vorher gesichert worden sind.

Im nächsten Feld wählen wir z.B den Ordner /etc und entpacken diesen auch gleich direkt in den Ordner /etc auf dem System:

Wählt OK und der Ordner vom Datenträger wird in den vorgesehenen Ordner entpackt. Macht das selbe mit dem Home Ordner. Im Home Ordner sind sämtliche Ordner enthalten, die ihr zusätzlich angegeben habt, wie zum Beispiel .config, .mozilla und etc.

Danach wäre die Sicherung auch bereits schon vollständig wiederhergestellt. Startet das System zur Sicherheit kurz neu. Eure Programme sollten nun die Einstellungen haben, die sie vorher auf eurem alten System auch hatten.

Jetzt können wir auf unserem neuen System weiterarbeiten, wie als wäre garnichts gewesen und das nur mit kostenfreien Open-Source basierten Tools und einigen Befehlen auf der Kommandozeile.

Ich hoffe ich habe euch mit dem Artikel "Linux Programme und Einstellungen sichern und wiederherstellen" etwas weiterhelfen können. Habt ihr Fragen oder Anliegen? Schreibt sie in die Kommentare!

The post Linux Programme & Einstellungen sichern und wiederherstellen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist ein VPN

Ein Virtual Private Network (VPN) ist ein Netzwerktool, das eine verschlüsselte Verbindung zwischen einem Benutzergerät und einem VPN-Server herstellt. Diese Verschlüsselung schützt die Daten des Benutzers vor neugierigen Blicken und ermöglicht es, im Internet zu surfen, als ob man sich physisch am Standort des VPN-Servers befindet.

Ein VPN arbeitet durch die Einrichtung eines sicheren Tunnels und leitet den Internetverkehr des Benutzers durch diesen verschlüsselten Tunnel, was Euch in erster Linie erstmal nur einen zusätzlichen Schutz bietet. Es ist jedoch wichtig zu wissen, dass VPNs alleine nicht vor allen Online-Bedrohungen schützen können und am besten in Kombination mit anderen Sicherheitsmaßnahmen verwendet werden sollten.

Warum die Benutzung eines VPNs keine Garant für Anonymität ist

VPNs bieten zwar einen zusätzlichen Datenschutzschicht, garantieren aber keine absolute Anonymität.

Erstens können einige VPN-Anbieter Protokolle über Benutzeraktivitäten führen und diese unter bestimmten Umständen offenlegen.

Zweitens, obwohl VPNs die IP-Adresse des Benutzers verbergen, können andere Techniken wie Browser- und Device-Fingerprinting verwendet werden, um individuelle Profile von Benutzern zu erstellen. Diese Techniken sammeln einzigartige Merkmale von Browsern und Geräten, um Benutzer über verschiedene Websites hinweg zu verfolgen. Auf detailiertere Erklärungen kommen wir dann weiter unten des Artikels.

Drittens könnten fortgeschrittene Netzwerkanalysetechniken in der Lage sein, VPN-Verkehr zu erkennen und möglicherweise zu korrelieren. Um ganz genau zu zu sein, die IP Adresse spielt heutzutage sogar eine eher untergeordnete Rolle. Der Datenverkehr ist zwar von Eurem Gerät und den Server des VPN Anbieters verschlüsselt und somit nicht einsehbar, jedoch kann der VPN Anbieter z.B. selbst all Eure Daten auf dem Server und nach der VPN Entschlüsselung einsehen, analyisieren und verarbeiten.

Damit ist es dann auch schon aus mit der sogenannten Anonymität: Sollte der Datenverkehr für Werbezwecke, Analysen und gar Ermittlungen für Behörden relevant werden, liegt man vor diesen Instanzen wie ein offenes Buch auf dem Schreibtisch.

Anonymität bei bestimmten VPN Diensten

NordVPN zum Beispiel ist immer wieder in diverse Skandale verwickelt, speichert Eure Emails, verkauft diese an Werbe und Analyse Unternehmen, und stopft die eigene App voll mit Trackern. Der Anbieter jedoch schwelgt sich in Unschuld, gibt nicht zu dass er Eure Daten verkauft und verspricht Euch weiter vollmündig dass Eure Privatsspähre ihnen wichtig ist.

Die Suchfunktion bietet Euch da viele Quellen wie es um die Anonymität der VPN Anbieter wirklich steht.

Browser und Geräte Fingerprinting

Warum VPNs alleine nicht für Anonymität sorgen: Ein detailierter Blick

Ein Virtual Private Network (VPN) wird oft als Mittel zur Erhöhung der Anonymität und des Datenschutzes im Internet angepriesen. Während VPNs zweifelsohne hilfreich sind, indem sie den Internetverkehr zusätzlich verschlüsseln und die IP-Adresse des Benutzers verschleiern, garantieren sie alleine noch keine Anonymität. Browser- und Device-Fingerprinting spielen dabei die entscheidende Rolle.

Grenzen von VPNs

VPNs verbergen zwar Eure tatsächliche IP-Adresse, sie können jedoch nicht verhindern, dass Websites und Dritte andere eindeutige Merkmale und Daten sammeln, die Eure Online-Aktivitäten zugeordnet werden können. Einige VPN-Dienste können auch Protokolle führen oder unter bestimmten Umständen Informationen offenlegen, insbesondere wenn sie rechtlichen Anforderungen unterliegen.

Browser-Fingerprinting

Browser-Fingerprinting ist eine Methode, bei der Informationen über Euren Browser (z.B. Version, installierte Plugins, Schriftarten, Bildschirmauflösung) erfasst werden, um einen einzigartigen "Fingerabdruck" zu erstellen. Dieser Fingerabdruck ist oft spezifisch genug, um Benutzer über verschiedene Websites hinweg zu verfolgen, selbst wenn sie VPNs verwenden. So können Werbenetzwerke und Tracking-Unternehmen ein Profil Eurer Online-Aktivitäten erstellen, unabhängig davon, ob Eure IP-Adresse durch ein VPN verdeckt wird. Mehr zum Thema Fingerprinting könnt Ihr hier lesen.

Device-Fingerprinting

Ähnlich wie beim Browser-Fingerprinting sammelt das Device-Fingerprinting Daten über Euer Gerät, wie Betriebssystem, Hardware-Spezifikationen und sogar Akkustatus. Diese Daten können dann kombiniert werden, um ein individuelles Profil Eures Geräts zu erstellen. Selbst wenn Ihr regelmäßig Eure IP-Adresse ändert, kann dieses eindeutige Geräteprofil dazu beitragen, Euch im Web zu identifizieren.

Kombination von Techniken

In der Praxis kombinieren viele Tracking-Unternehmen sowohl Browser- als auch Device-Fingerprinting, um noch genauere Benutzerprofile zu erstellen. Wenn Ihr eine Website besucht, können Skripte im Hintergrund laufen, die eine Vielzahl von Daten erfassen. Diese Daten können dann aggregiert werden, um ein umfassendes Bild Eurer Online-Identität zu erstellen, welches weit über die von einem VPN verborgene IP-Adresse hinausgeht.

Die Richtige Anwendung eines VPN

Der Sinn und Zweck zur Nutzung eines VPNs sollte sowieso ein anderer sein, den VPN wurde eigentlich dazu entwickelt, Mitarbeitern von Geschäften einen sicheren Zugang in das eigene Firmennetz zu ermöglichen, und somit interne Dienste, Geräte, Datenbanken und etc von extern zu nutzen oder bzw. damit zu arbeiten.

Deshalb sollte die Nutzung eines VPNs eigentlich auch für Private Anwender prioritär auf dieser Basis geschehen. Nutzt Ihr  einen externen VPN Anbieter, kann dieser mit Euren Daten theoretisch machen was er will!

Auf Eurem Router einen VPN Client einzurichten, der ständig mit einem VPN Dienst verbunden ist, ist also Unsinn und trägt praktisch nichts zur Privatsspäre bei. Ein sinnvoller verwendungszweck wäre z.B ein VPN Client auf einem Router, der sich mit Eurem Firmennetzwerk verbindet und Ihr agieren könnt, als wärt Ihr in der Firma selbt.

Empfehlung

Um die Anonymität von VPN Diensten steht es also nicht so gut wie gedacht. Deshalb empfehlen wir VPNs eigentlich nur für den eigentlich entwickelten Zweck, Zugriff auf Euer Netzwerk, und Schutz vor Hackern in öffentlichen WLANs zum Beispiel im Ausland. Ausserdem können damit bestimmte Zensurtechniken, die auf Geolocations basieren, umgangen werden. Weitere Anwendungsszenarien sind auch der Zugriff auf geoeingeschränkte Dienste, um z.B auf eine Mediathek zuzugreifen die in anderen Ländern nicht angesehen werden kann. Einen eigenen VPN Server aufzusetzen ist garnicht mal so schwierig! Wie man sich auf einem eigenen Gerät, auf Basis von Linux, einen eigenen VPN Server mit OpnVPN als Client konfiguriert, erfahrt Ihr in diesem Artikel!

Dafür benötigt Ihr keinen Privacy Router der Eure IP Adresse hinter einem VPN versteckt, da dies praktisch nichts der versprochenen Anonymität beiträgt, und der Sinn und Zweck dahinter ist, Euch das Geld aus der Tasche zu ziehen. Ausserdem könnt Ihr wie gesagt einen VPN, mit ein wenig Geduld und etwas Interesse auch selber auf einem Linux Rechner Eurer Wahl installieren.

Ich möchte Euch mit solchen Themen oder Klarstellungen nicht verunsichern, jedoch ist es mir eine wichtige Angelegenheit falsche und Irreführende Aussagen, die vor allem aktuell bei prvcy.world kursieren, zu wiederlegen. Nur ein gut informierter Benutzer ist ein sicherer Nutzer!

Habt Ihr Fragen? Hat Euch der Artikel "Bin Ich mit einem VPN anonym?" gefallen? Wollt Ihr weitere Infos zu anderen Themen? Schreibt es in die Kommentare!

The post Bin Ich mit einem VPN anonym? appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

PuTTY ist ein freies und weit verbreitetes Programm, das es ermöglicht, Netzwerkverbindungen zu anderen Systemen über verschiedene Protokolle herzustellen. PuTTY kann hier gratis heruntergeladen werden.

Die wichtigsten Funktionen und Eigenschaften von PuTTY

1. SSH-Client: Eines der Hauptmerkmale von PuTTY ist die Fähigkeit, Secure Shell (SSH)-Verbindungen zu Servern herzustellen. Das ermöglicht eine verschlüsselte Verbindung zu einem entfernten Server und sichere Datenübertragung.
2. Telnet: Neben SSH kann PuTTY auch als Telnet-Client verwendet werden, obwohl dies heutzutage weniger gebräuchlich ist, da Telnet im Vergleich zu SSH nicht sicher ist.
3. Raw & Rlogin: PuTTY unterstützt auch andere Netzwerkprotokolle wie Raw und Rlogin.
4. Serial-Verbindung: Mit PuTTY kann man auch serielle Verbindungen herstellen, was nützlich ist, wenn man sich beispielsweise direkt mit Hardware wie Routern oder Switches verbinden muss.
5. Portabler Client: PuTTY erfordert keine Installation. Das Programm kann als portable Anwendung auf einem USB-Stick gespeichert und von dort aus gestartet werden.
6. Anpassung: Es bietet eine Vielzahl von Anpassungsoptionen, einschließlich der Auswahl von Schriftarten, Farben und anderen Darstellungsoptionen.
7. Key Generator: PuTTY beinhaltet auch "PuTTYgen", ein Werkzeug zur Erzeugung von SSH-Schlüsselpaaren.
8. SFTP-Client: Ein weiteres zugehöriges Programm, "PSFTP", ermöglicht SFTP-Verbindungen (Secure File Transfer Protocol) für sichere Dateiübertragungen.

PuTTY wurde ursprünglich für Windows entwickelt, aber es gibt Portierungen und ähnliche Programme für viele andere Betriebssysteme.

Putty Infos und Einstellungen

Sicherheitswarnung Dialogfenster

Wenn Ihr das erste Mal eine Verbindung zu einem Server herstellt, werdet Ihr wahrscheinlich ein PuTTY-Sicherheitswarnungs-Dialogfenster sehen, welches darüber informiert, dass der Host-Schlüssel des Servers nicht in der Registry gespeichert ist. Das aufploppen dieses Fensters ist völlig normal, ausser wenn dies bei einem Server auftritt, mit dem Ihr bereits zuvor verbunden wart, dann könnte dies bedeuten, dass jemand versucht, Eure Verbindung anzugreifen und Euer Passwort mittels einer Man-in-the-Middle-Attacke zu stehlen.

Klickt auf Yes bei Eurer ersten Verbindung zu Eurem Server. Klickt auf keinen Fall Yes falls Ihr bereits mit dem Server verbunden wart, und wartet bis Ihr Euch absolut sicher seid dass die Verbindung wirklich mit dem Zielrechner geschieht!

Konfigurationsoptionen und gespeicherte Profile

Das anfängliche Konfigurationsfenster enthält viele Optionen. Die meisten davon sind im normalen Gebrauch nicht erforderlich.

Port

Das Portfeld gibt den TCP/IP-Port an, mit sich dem verbunden werden soll. Für SSH ist dies der Port, auf dem der SSH-Server läuft. Normalerweise kann er auf Port 22 belassen werden. Sollte es aus irgendeinem Grund notwendig sein, sich mit einer anderen Portnummer zu verbinden, ändert einfach den Wert auf den gewünschten Port. Der Server muss natürlich entsprechend konfiguriert werden.

Verbindungstyp

Die Auswahl des Verbindungstyps muss fast nie angepasst werden. Lasst es einfach auf SSH. SSH ist ein sicheres, verschlüsseltes Kommunikationsprotokoll, das darauf ausgelegt ist, Euer Passwort und Eure Daten optimal zu schützen.

Raw-Verbindungen könnten von Entwicklern verwendet werden, um einen TCP/IP-Socket für Tests zu verbinden (z. B. bei der Entwicklung einer Netzwerkanwendung, die auf einem TCP/IP-Port lauscht).

Telnet ist ein altes Legacy-Protokoll, das fast nie verwendet wird, es sei denn, Ihr verwaltet Geräte, die älter als 10 Jahre sind. Telnet ist nicht sicher. Passwörter werden im Klartext über das Netzwerk gesendet. Angreifer können leicht Klartextkommunikation abhören und Benutzernamen und Passwörter stehlen. Rlogin ist ein weiteres Legacy-Protokoll mit ähnlichen Problemen.

Serial bezieht sich auf einen seriellen Port, einen weiteren alten Kommunikationsmechanismus zum Verbinden von Computern mit Peripheriegeräten. Die meisten PCs haben heutzutage keine seriellen Anschlüsse mehr, sie werden jedoch manchmal noch zur Steuerung von physischen Geräten, Messgeräten, Maschinen oder Kommunikationsgeräten verwendet. Ein weiterer Verwendungszweck für serielle Ports ist das Debuggen von Betriebssystemen oder eingebetteter Software.

Laden, speichern oder löschen einer gespeicherten Sitzung

In diesem Abschnitt könnt Ihr Eure Einstellungen als benannte Profile speichern. Schreibt einfach den Namen Eures neuen Profils in das Feld "Gespeicherte Sitzungen" und klickt auf Speichern, um ein neues Profil zu erstellen. Der Hostname und Eure anderen Einstellungen werden im Profil gespeichert.

Gespeicherte Profile erscheinen im größeren Feld darunter. Anfangs wird es nur "Standard-Einstellungen" enthalten. Die von Euch gespeicherten Profile werden dort aufgelistet. Wählt ein Profil aus und klickt auf Load, um ein zuvor gespeichertes Profil zu verwenden. Wählt ein Profil aus und klickt auf delete, um ein nicht mehr benötigtes Profil zu löschen.

Fenster bei Beenden schließen

Die Einstellung "Close window on exit" gibt an, ob das Terminalfenster automatisch geschlossen werden soll, wenn die Verbindung beendet wird. Es besteht selten ein Bedarf, es von dem Standardwert "Only on clean exit" zu ändern.

Linke Fensterkonfigurationsoptionen

Weitere Optionen findet Ihr im linken Fenster unter Categorie. Wählt eine Kategorie aus der Liste aus, und die rechte Fensterseite ändert sich, um die Konfigurationsoptionen für diese Kategorie anzuzeigen. Die anfänglich gezeigten Optionen gehören zur Kategorie Sitzung.

Nur die relevanteren Optionen werden hier beschrieben. Es gibt viele Optionen, und die meisten davon verwendet man praktisch nie.

Terminal-Optionen

Die Optionen in dieser Kategorie beeinflussen die Terminal-Emulation und Tastaturbelegungen. Sie sind weitgehend selbsterklärend und werden hier jetzt nicht behandelt. Kaum jemand muss dies ändern. Einige Personen ändern möglicherweise, wie das Klingelzeichen klingt; Personen, die exotische Betriebssysteme verwenden, könnten ändern, was durch das Backspace- oder Löschzeichen gesendet wird.

Fensteroptionen

Die Fensteroptionen beeinflussen das Aussehen und Verhalten des Terminalfensters. Ihr könnt auch festlegen, wie Zeichen bei der Ausgabe übersetzt werden und Schriften und Farben für das Fenster auswählen.

Verbindungsoptionen

Von den Verbindungsoptionen können die Datenoptionen nützlich sein. Der Automatische Login-Benutzername gibt den Benutzer an, mit dem sich angemeldet werden soll, sodass der Name nicht jedes Mal eingegeben werden muss. Die Proxy-Optionen sind für Heimanwender selten nützlich, können jedoch in Unternehmen erforderlich sein, die ausgehende Internetverbindungen ohne Verwendung eines SOCKS-Proxys oder ähnlicher Mechanismen nicht zulassen.

Die Kategorien Telnet, Rlogin und Serial enthalten nur Optionen für diese Protokolle, und nur kaum jemand muss diese Einstellungen ändern.

Die SSH-Optionen sind jedoch wichtig und für einige Personen nützlich. Der normale Benutzer muss sich jedoch keine Gedanken darüber machen. Wenn Ihr jedoch die öffentliche Schlüsselauthentifizierung verwenden möchtet, dann sind die Einstellungen erforderlich. Beachtet, dass Ihr die SSH-Optionen öffnen müsst, indem Sie auf das kleine [+] -Symbol klickt.

Key Exchange, Host-Schlüssel und Verschlüsselungsoptionen

Die Host-Schlüssel oder Verschlüsselungsoptionen müssen quasi ebenso nie berührt werden. Sie alle haben vernünftige Standardwerte, und die meisten Anwender wissen nicht genug über Kryptographie, um bessere Werte auszuwählen. Überspringt also diese Optionen, es sei denn, Ihr wisst, was Ihr tut.

Authentifizierungsoptionen - öffentliche Schlüsselauthentifizierung

Der Auth-Unterbaum enthält einige Optionen, die nützlich sein können. Wenn auf Auth geklickt wird, wird eine Seite mit dem Titel Optionen zur Steuerung der SSH-Authentifizierung angezeigt. Um die öffentliche Schlüsselauthentifizierung zu aktivieren, generiert einfach einen SSH-Schlüssel mit dem PuTTYGen und klicken dann auf die Schaltfläche Browse im Fenster Credentials und wählt Euren PrivateKey aus den Ihr mit PuTTYGen generiert habt. Stellt sicher dass der PublicKey auch auf dem Server hinzugefügt worden ist, ansonsten nützen Euch die Einstellungen Euch hier nicht viel.

Active Directory-Authentifizierung (GSSAPI / Kerberos)

Eine der interessanten Funktionen von PuTTY ist die Unterstützung für das Active Directory Single Sign-On. Technisch gesehen verwendet es das Kerberos-Protokoll über eine Programmierschnittstelle namens GSSAPI. Im SSH-Protokoll wird der Mechanismus GSSAPI-Authentifizierung genannt. Unternehmensbenutzer, die die Kerberos-Authentifizierung verwenden (z. B. über Centrify oder Quest Authentication Services alias Vintela), möchten vielleicht die Single-Sign-On-Fähigkeit nutzen. Andere Benutzer müssen sich keine Gedanken machen. Die Einstellungen für die GSSAPI-Authentifizierung findet Ihr im Bereich SSH / Auth. Beachtet, dass Ihr den Auth-Bereich erneut erweitern müssen, indem Ihr auf das [+] -Symbol klickt, um die GSSAPI-Optionen zu sehen.

X11-Weiterleitungsoptionen

X11 ist ein Protokoll und System zum Ausführen von grafischen Anwendungen unter Unix und Linux. Es unterstützt das Ausführen von grafischen Anwendungen remote über ein Netzwerk ohne zusätzliche Konfiguration. Das benötigt Ihr praktisch nicht.

Verbindung zum Server herstellen

Der Text war jetzt ziemlich lang, aber die Anwendung ist denoch sehr einfach. Alles was Ihr tun müsst ist im Verbindungsfeld die öffentliche IP Adresse Eures Server eingeben, sicherstellen dass der Port korrekt ist und dann auf auf Open klicken.

Zuvor speichert Ihr die aktuelle Konfiguration mit Save im Unteren Feld und gebt dem ganzen einen eindeutigen Namen, damit müsst Ihr die IP Adresse später nicht nochmal eingeben. Ihr könnt wie in der Funktionsübersicht erklärt Benutzernamen und den PrivateKey für diese Sessions ebenso festlegen. Alle Einstellungen werden somit in Euer Profil gespeichert.

Nachdem Ihr auf Open geklickt habt, gebt Eure fehlenden Daten ein und schon seid Ihr mit dem Server verbunden!

Ihr könnt nun ganz normal Euren Server verwalten, Einstellungen tätigen und Konfigurationen ändern wie als währt Ihr im Linux Terminal mit dem Server verbunden. Wollt Ihr auch mit dem Smartphone SSH Verbindungen durchführen? Dann schaut mal hier vorbei!

Wie immer hoffe ich dass der Artikel Mit Windows und Putty SSH Verbindungen aufbauen Euch gefallen habt, schreibt Fragen, falls Ihr welche habt, in die Kommentare!

The post Mit Windows und Putty SSH Verbindungen aufbauen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Wie es im die Anonymität von VPN aussieht, könnt Ihr hier in diesem Artikel nachlesen. Mit einem eigenen VPN Server habt Ihr die volle Kontrolle, könnt Euch in öffentlichen Netzwerken sinnvoll schützen, und Reisetätigkeiten vor Eurem Provider verbergen. Ausserdem kommt Ihr mit Eurem VPN in Eures eigene Netzwerk zuhause, und könnt, falls Ihr Dienste am Laufen habt, diese unterwegs kontrollieren ohne diese direkt dem Internet auszusetzen.

Was genau ist nochmals ein VPN

Ein VPN (Virtual Private Network) ist ein Netzwerktool, das eine sichere und verschlüsselte Verbindung zwischen einem Gerät (z.B. einem Computer) und einem Netzwerk (oftmals einem Unternehmensnetzwerk, aber auch ein privates Netzwerk) über das öffentliche Internet herstellt. Es ermöglicht das sichere Senden und Empfangen von Daten so, als ob sich das Gerät direkt im privaten Netzwerk befinden würde.

Hauptzwecke von VPNs sind:

1. Zugriff auf Ressourcen in einem privaten Netzwerk: Benutzerkönnen von überall auf der Welt auf internen Ressourcen wie interne Webseiten, Datenbanken oder Fileserver zugreifen, als wären sie physisch im Büro.
2. Sicherheit und Datenschutz: Da die Daten zwischen dem Gerät und dem Netzwerk verschlüsselt sind, können Außenstehende diese Daten nicht leicht abfangen oder einsehen. Dies ist besonders wichtig, wenn man öffentliche Wi-Fi-Netzwerke oder unsichere Internetverbindungen nutzt.
3. Geoblocking umgehen: Einige Nutzer verwenden VPNs, um ihre Internetverbindung über Server in anderen Ländern laufen zu lassen und so geografische Beschränkungen von Inhalten zu umgehen.
4. Online-Anonymität: VPNs können dazu beitragen, die Privatsphäre des Benutzers zu schützen, indem sie seine IP-Adresse verbergen und den Internetverkehr verschleiern. Die Betonung liegt auf können.

Im geschäftlichen Kontext wird VPN hauptsächlich genutzt, um den Mitarbeitern einen sicheren Zugriff auf das Unternehmensnetzwerk von außerhalb des Büros zu ermöglichen. Es ermöglicht ihnen den Zugang zu internen Tools, Daten und Anwendungen, die sie für ihre Arbeit benötigen, ohne die Sicherheit der Unternehmensdaten zu gefährden.

In unserem Falle benutzen wir VPN um Zugang zu unserem Privaten Netzwerk herzustellen und um von dort aus in das Internet zu gehen. Bei reinem IP Tracking sieht es dann so aus, als währt Ihr immer zuhause. Aufsetzen werden wir unseren eigenen VPN Linux Server auch gena aus diesen Gründen.

Vorausetzungen für den eigenen VPN Server mit Linux Systemen

Erreichbarkeit & Firewall

Als erstes muss der Linux Rechner natürlich online sein um eine Verbindung herzustellen. Dafür reicht auch ein kleinere Rechner aus, der wenig Strom zieht. Ein Laptop der im WLAN ist, oder eine NUC mit ein. Der Standby muss deaktiviert sein solange Ihr den VPN verwenden wollt. Ausserdem muss der Port, über den Open VPN läuft freigegeben sein. Habt Ihr eine frische Linux Installation, ist noch keine Firewall aktiv.

DynDNS Adresse

Da die meissten keine fixe IP Adresse haben, ist eine DynDNS Adresse empfehlenswert. Es wäre blöd wenn Eurer Provider unterwegs Euch die IP Adresse wechselt, und Ihr Euch nicht mehr mit Eurem Netzwerk verbinden könnt.
Nutzer mit fixer IP Adresse brauchen kein DynDNS. Wir Ihr eine DynDNS Adresse einrichtet, erfahrt Ihr hier.

Portweiterleitung

Eine Portweiterleitung an Euren Rechner, auf dem OpenVPN läuft, muss eingerichtet sein. Der Port für VPN Verbindungen ist in der Regel 1194, es können aber auch andere Ports verwendet werden, sie dürfen einfach auf dem Rechner nicht von anderen Diensten, zB einer Nextcloud verwendet werden.
Wer auch seinen VPN Traffic verstecken will, benutzt Port 443 mit dem Protokoll TCP, damit is der Traffic beinahe nicht mehr von normallem Web Traffic zu unterscheiden und es der VPN Server kann auch hinter sehr strengen Firewallumgebungen, oder in Ländern mit starken Überwachungstendenzen versteckt werden. Länder die Deep Packet Inspection Firewalls benutzen, erkennen aber auch OpenVPN Traffic über Port 443 und dem TCP Protokoll. Ein Artikel zur Einrichtung einer Portweiterleitung findet Ihr in diesem Artikel.

Richtet für den normalen Gebrauch eine Weitereitung an Euren VPN Rechner über Port 1194 mit dem Protokoll UDP ein.

oder

Richtet für sehr restriktive Umgebungen eine Weiterleitung an Euren VPN Rechner über Port 443 mit de Protokoll TCP ein.

Open VPN Installation und Einrichtung unter Linux für den eigenen VPN Server

Die Installation eines VPN Servers ist nicht trivial und eine sehr komplexe Sache, wir benötigen Server und Client Zertifikate, eine Certificate Authority welche die Zertifikate signiert, Profile mit Zertifikaten und vieles mehr. Wer mal genau durchlesen will, wie sowas im Detail funktioniert, schaut sich die manuelle Einrichtung eines VPN Servers an, damit man mal sieht was dahinter steckt.

Wir benutzen aber ein Script der das alles für uns tut. Den Skript könnt Ihr Euch vorher hier anschauen.

Herunterladen könnt wir uns den Script mit:

wget https://git.io/vpn -O openvpn-install.sh

den Script machen wir ausführ und lassen Ihn direkt danach laufen:

sudo chmod +x openvpn-install.sh && sudo bash openvpn-install.sh

Wer sich den Script vorher noch lokal anschauen will, lässt den zweiten Befehl weg und öffnet den Script vorher noch mit

nano openvpn-install.sh

Ihr werdet zuerst auch gleich nach den Grundeinstellungen gefragt:

Der Installer merkt dass Ihr hinter einer Network Translation (NAT) mit Port Forwarding sitzt, deshalb hier als erstes die richige IP Adresse eingeben auf dem der Server läuft. Als nächstes gebt Ihr die DynDNS Adresse an die Ihr eingerichtet habt. Hier wählt Ihr das Protokol aus dass Ihr im Port Forwarding ausgewählt habt. Bei Nutzung des Standardports 1194 drückt Ihr einfach Enter, ansonsten Euren spezifischen Port angeben.

Nun könnt Ihr den DNS Server angeben der verwendet werden soll, Ihr könnt mit Nummer den akuell genutzten DNS Server auf Eurem Rechner verwenden. Danach können wir schon unseren ersten Client erstellen und Ihm einen Namen geben. In diesem Falle einfach Android. Anschliessend mit irgendeiner Taste bestätigen. Der Installer erledigt die Einrichtung läuft eine Weile und erstellt alle notwendigen Zertifikate inkl Schlüsselgenerierungen.

Zusätzliche Einstellungen für den eigenen Linux Open VPN Server

Die Client Zertifikate befinden sich im root Ordner Eures Rechners. Wir öffnen diese Datei kurz mit

nano /root/Android.ovpn

Und fügen diese Zeile ein:

push "redirect-gateway def1"

Speichert mit strg+o und beendet mit strg+x

Die Datei können wir uns danach irgendwo in unser Homeverzeichnis kopieren zum Beispiel mit

cp /root/Android.ovpn /home/Benutzer/openvpnclients/

Die Datei gehört „root“ und ich bitte Euch nichts an den Eigentumsberechtigungen zu ändern. Das dient der Sicherheit, auch sollte diese Datei nirgends öffentlich verfügbar sein, sie gehört in keine öffentliche Cloud und auch nirgendwohin anders. Mit dieser Konfiguration hat ein fremder vollen Zugriff auf Eurer Netzwerk und kann darin tun und lassen was er will. Nach dem Einfügen in einen Client lösche ich diese Datei meisst sofort wieder! Eine Kopie habt Ihr immer im root Verzeichnis und könnt diese von dort wieder hervorholen falls Ihr sie wieder braucht.

Schickt Euch die Datei am besten über eines UBS-Stick oder einer Bluetooth Verbindung an das Smartphone, Euren Linux oder Windows Laptop. Geht natürlich auch im Heimnetzwerk über Gemeinsame Ordner auf der NAS.

Weitere Clients hinzufügen

Um weitere Clients hinzuzufügen führt Ihr den Script an der richtigen Stelle einfach nochmals mit

sudo bash openvpn-install.sh

aus, und wählt Add a new Client

Mit Revoke an exisiting client könnt Ihr Clients entfernen, und mit Remove OpenVPN könnt Ihr dass ganze Zeug auch wieder von der Platte schmeissen.

Einrichtung der Clients für die VPN Server Verbindung

Android Client

Für Android braucht Ihr nichts weiter als die App OpenVPN vom AuroraStore oder von F-Droid herunter zu laden und zu installieren.
Öffnet die App, drückt auf das gelbe Plus Symbol unten Links, wählt im nächsten Fenster Upload File aus und drückt auf Next und bestätigt mit OK

Mit dem Schieberregler könnt Ihr die Verbindungen nun aktivieren. Bestätigt die OpenVPN Verbindungsanfrage vom Android System.

Windows Client

Ladet den OpenVPN Client hier herrunter und installiert Euch das Programm an einen Ort Eurer Wahl. Öffnet die Applikation unten im Systemtray und klickt auf Verbinden und danach auf Datei importieren. Wählt Eure OpenVPN Datei aus. Danach erscheint ein neuer Eintrag, hier könnt Ihr dann Euer Profil auswählen.

Nach kurzer Zeit sollte Ihr auch schon verbunden sein.

Linux Client

Der Networkmanager der meissten Distros wie Ubuntu, Kubuntu, Mint und etc können von Haus aus mit OpenVPN umgehen, eine zusätzliche Installation ist nicht notwendig. Hier geht hier ganz einfach in den Netzwerkmanager und fügt mit dem Plus Symbol eine neue Verbindung hinzu. Scrollt ganz nach unten um eine VPN Verbindung zu importieren. Der Netzwerkmanager erkennt die Konfiguration und richtet Euch alles ein.

Am Schluss, verbindet Euch einfach zusätzlich mit der OpenVPN Verbindung. Die aktuelle Netzwerkverbindung muss natürlich aktiviert bleiben.

iOS Client

Für iOS gibt es auch einen OpenVPN Client, der ist von der Bedienung genau gleich wie der Android Client. Einfach Profil hinzufügen, verbinden und fertig!

Wichtige Hinweise

Ich möchte nochmals darauf aufmerksam machen dass OpenVPN ein mächtiges Werkzeug ist um Verbindungen in das eigene Netzwerk zu erstellen, ebenso mächtig ist es, wenn die Datei ausversehen in falsche Hände gerät. Aufgrund der einfachkeit halber habe ich auf eine Passwort und Benutzernamen Einrichtung hier verzichtet. Dies würde eine zusätzliche Sicherheitsebene darstellen da ein Findling dann zusätzlich zu der Datei noch den Benutzernamen und das Passwort kennen müsste. Die Benutzernamen und Passworteinrichtung tätigen wir zusammen dann in einem kommenden Artikel. Die Authentifizierung über Client-Server Zertifikate ist aber eine sehr sehr sichere Verbindung und quasi nicht hackbar.

Ich hoffe der Beitrag hat Euch gefallen. Viel Spass und seid immer vorsichtig. Falls Ihr Fragen habt, lasst es mich wissen und schreibt sie in die Kommentare!

The post Eigenen VPN Server mit Linux aufsetzen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

So funktioniert DNS

Stellt euch vor, ihr möchtet die Webseite www.example.com in eurem Webbrowser öffnen:

1. Euer Computer fragt den DNS-Resolver eures Internetanbieters, welche IP-Adresse zu „www.example.com“ gehört.
2. Falls der Resolver die Antwort nicht kennt, fragt er einen Root-DNS-Server.
3. Der Root-Server weist den Resolver an den DNS-Server für die Top-Level-Domain (TLD) „.com„.
4. Der „.com“-DNS-Server verweist dann an den spezifischen DNS-Server für „example.com„.
5. Der DNS-Server für „example.com“ antwortet mit der IP-Adresse der Webseite.
6. Euer Computer stellt nun eine Verbindung zu dieser IP-Adresse her und ruft die Webseite auf.

DNS und Zensur

Die zentrale Rolle von DNS im Internet macht es zu einem Ziel für Zensur. indem bestimmte Domains oder Auflösungen manipuliert oder blockiert werden, können Regierungen oder andere Organisationen euch den Zugriff auf bestimmte Websites verwehren. Auch in Europa wird immer wieder versucht, Zensur durchzusetzen in dem Pläne geschaffen werden Provider zu Massnahmen zu verpflichten bestimmte Sperrlisten zu verwenden. Das bekannteste Beispiel ist das Zugangserschwerungsgesetz von 2010/2011, welches von der äusserst legitimen Frau von der Leyen besonders vorangetrieben worden ist. In der Türkei sind solche Massnahmen gang und gäbe.

Bei den Kollegen vom Privacy Handbuch gibts dazu mehr zu lesen.

Nehmen wir an eine Regierung möchte den Zugriff auf www.forbiddennews.com verhindern. Sie könnte den nationalen Internetanbietern befehlen, diese Domain für euch nicht korrekt aufzulösen oder sie auf eine falsche IP-Adresse (oder eine „Seite gesperrt“-Nachricht) umzuleiten. Das passiert ganz einfach indem die Domain nicht mit der richtigen IP Adresse hinterlegt wird, sondern eine Umleitung eingerichtet wird die auf eine staatliche Seite verweist.

DNS-Spoofing

Zusätzlich zur Zensur kann DNS auch für Spoofing-Attacken ausgenutzt werden. Bei einem DNS-Spoofing-Angriff werden euch gefälschte DNS-Antworten gesendet, um euch auf eine andere, möglicherweise bösartige Webseite umzuleiten.

Ein Angreifer möchte, dass ihr, wenn ihr www.meinebank.ch besuchen wollt, stattdessen auf seine bösartige Seite umgeleitet werdet. Er könnte dies tun, indem er den Datenverkehr manipuliert und eine falsche IP-Adresse als Antwort für www.meinebank.ch liefert. Ihr würdet dann zu der bösartigen Webseite des Angreifers geleitet werden, obwohl ihr die echte Bankdomain eingegeben habt. Das ist möglich da traditionell der komplette DNS Verkehr unverschlüsselt über Port 53 gesendet wird. Das bedeutet dass die Anfragen gelesen werden können, und der Angreifer die Möglichkeit hat die Daten in den Anfragen zu manipulieren.

Wie hilft nun die DNS Verschlüsselung gegen Zensur und Angriffe

DNS over TLS Verschlüsselung

DNS über TLS (DoT) bietet mehrere Vorteile gegenüber dem herkömmlichen DNS-Protokoll da die Verbindungen über TLS vollständig verschlüsselt werden.

• Verschlüsselung: Das offensichtlichste und wichtigste Merkmal von DoT ist die Verschlüsselung. DoT verschlüsselt die Kommunikation zwischen eurem Computer (oder einem anderen Client-Gerät) und dem DNS-Server. Dies schützt eure DNS-Anfragen und Antworten vor Man-in-the-Middle-Angriffen und verhindert, dass Dritte den Inhalt eurer DNS-Kommunikation ausspionieren können.
• Datenschutz: Da eure DNS-Anfragen verschlüsselt sind, können Dritte (wie euer Internetdienstanbieter oder jemand, der den Netzwerkverkehr überwacht) nicht sehen, welche Websites ihr besuchen möchten. Das bedeutet nicht, dass sie nicht sehen können, zu welcher IP-Adresse ihr letztendlich eine Verbindung herstellt, aber sie können nicht sehen, welche Domain ihr ursprünglich aufgelöst habt.
• Integrität & Authentizität: Neben der Verschlüsselung gewährleistet DoT auch die Integrität der übertragenen Daten. Das bedeutet, dass ihr sicher sein könnt, dass die DNS-Antworten, die ihr erhaltet, tatsächlich von dem DNS-Server stammen, mit dem ihr kommuniziert, und nicht manipuliert wurden.
• Reduziert DNS-Spoofing-Risiken: Durch die Authentizität und Integrität, die DoT bietet, wird das Risiko von DNS-Spoofing-Angriffen, bei denen ein Angreifer falsche DNS-Antworten sendet, um den Verkehr umzuleiten, erheblich reduziert.
• Allgemeine Erhöhung der Sicherheit: DoT ist Teil eines breiteren Trends hin zu einer allgemeinen Verschlüsselung des Internets. Genauso wie HTTPS das normale HTTP ergänzt hat, um den Webverkehr zu sichern, ergänzt DoT das herkömmliche DNS, um den DNS-Verkehr zu sichern.

Trotz dieser Vorteile gibt es auch einige Herausforderungen und Überlegungen im Zusammenhang mit DoT:

• Kompatibilität: Nicht alle DNS-Resolver und nicht alle Netzwerke unterstützen DoT. In einigen Netzwerken könnte DoT sogar blockiert werden.
• Serververtrauen: Auch wenn ihr DNS-Verkehr verschlüsselt ist, vertraut ihr immer noch dem DNS-Resolver, den ihr verwendet (z. B. Cloudflare, Google, Quad9 usw.), dass er eure Anfragen korrekt und vertraulich behandelt.
• Port-Blockierung: DoT verwendet Port 853. Einige Netzwerke blockieren diesen Port, was DoT unbrauchbar machen könnte.

Einschränkungen

Wichtig ist, dass DoT zwar die DNS-Anfragen verschlüsselt, aber nicht verhindert, dass ein Netzwerkadministrator oder Internetanbieter den tatsächlichen Zielverkehr (die IP-Adressen, zu denen ihr eine Verbindung herstellt) sieht. Zudem kann ein repressiver Regulator oder ISP den DoT-Verkehr insgesamt blockieren, indem er den für DoT spezifischen Port (853) sperrt.

Hier kommen DNS Server ins Spiel, die eine No-Logging Mentalität versprechen. Da gibt es einige Anbieter die eure Privatsspähre wirklich schützen wollen. Später dazu mehr.

DNS über HTTPS (DoH) Verschlüsselung

Eine weitere Methode ist Dns over HTTPS oder DoH genannt. Im Gegensatz zu DNS over TLS bietet er gewisse Nachteile, sie unten.

Eigenschaften

1. Versteckter Verkehr: Da DoH den HTTPS-Port 443 verwendet, sieht es aus wie normaler Webverkehr. Das macht es schwieriger für Netzwerkbetreiber, diesen speziellen DNS-Verkehr zu identifizieren und zu blockieren.
2. Kompatibilität mit Webinfrastrukturen: DoH kann vorhandene Webinfrastrukturen nutzen, wie Web-Server und Content-Delivery-Netzwerke (CDNs), um die Auflösung zu beschleunigen und näher am Benutzer zu liefern.
3. Einbindung in Webbrowser: Große Webbrowser wie Firefox und Chrome unterstützen DoH, was die Einführung für Endbenutzer erleichtert.

Herausforderungen

• Potenzieller Umgehung von Unternehmensrichtlinien: In Unternehmensumgebungen kann DoH dazu führen, dass Unternehmens-DNS-Richtlinien oder Filter umgangen werden.
• Zentralisierung: Da nur wenige große Anbieter DoH-Dienste anbieten, besteht die Gefahr einer Zentralisierung des DNS-Systems, was zu weniger Diversität und möglicherweise zu Kontrollpunkten führt.

Nachteile gegenüber DNS over TLS Verschlüsselung

Aufgrund der Art und Weise wie DNS over HTTPS funktioniert, gibt es auch einige Nachteile worunter die Privatsspähre schlussendlich leidet. Server könnten HTTP-Auth-Header, E-Tags und SSL-Session-ID für das Tracking verwenden oder HTTP-Header wie User-Agent, Accept-Language, Referer und etc. für das Finger­printing des Browsers nutzen. 

Vergleich zu DNS over TLS Verschlüsselung

1. Transport: DoT verwendet dedizierten Port (853) für verschlüsselte DNS-Anfragen, während DoH DNS-Anfragen über den HTTPS-Port (443) sendet.
2. Erkennbarkeit: DoT-Verkehr kann leichter als DNS-Verkehr identifiziert werden, da er einen spezifischen Port verwendet. DoH hingegen verschleiert DNS-Anfragen als normalen HTTPS-Verkehr.
3. Implementierung: DoH ist hauptsächlich für Webbrowser konzipiert, während DoT in der Regel systemweit auf Betriebssystemebene implementiert ist.
4. Infrastruktur: DoH kann von der bestehenden Webinfrastruktur profitieren, während DoT spezifischere Implementierungen erfordert.

DNSSEC (DNS Security Extensions)

DNSSEC bietet Authentifizierung und Integrität für den DNS-Datenverkehr, stellt jedoch keine Vertraulichkeit her (es verschlüsselt den Verkehr nicht). DNSSEC ermöglicht die Sicherstellung, das auch wirklich der angefragte DNS antwortet, und nicht irgendein anderer.

Vorteile gegenüber Zensur und Manipulation:

1. Integrität: Mit DNSSEC könnt Ihr sicher sein, dass die DNS-Antworten, die Ihr erhaltet, authentisch sind und von der legitimen Quelle stammen. Dies verhindert DNS-Spoofing-Attacken, bei denen DNS-Antworten manipuliert werden könnten, um Euch zu täuschen oder auf eine falsche Webseite umzuleiten.
2. Authentizität: DNSSEC stellt sicher, dass Ihr mit dem tatsächlichen DNS-Server kommuniziert und nicht mit einem böswilligen Akteur.

Einschränkungen

Obwohl DNSSEC Manipulationen verhindert, verschlüsselt es den Verkehr nicht, sodass Dritte immer noch sehen können, welche Domains Ihr aufruft. Zudem setzt DNSSEC eine weitreichende Implementierung voraus: Sowohl der DNS-Resolver als auch die Domain müssen DNSSEC unterstützen. DNSSEC ist aber mit DNS over TLS kombinierbar.

Kommen wir nun zum praktischen Teil unseres Berichts:

DNS Verschlüsselung und DNSSEC auf Linux, Android und Windows

Glücklicherweise beherrschen alle neueren Linux Distros DNS over TLS, DNS over HTTPS und die DNSSec Validierung. Die Einrichtung ist auch relativ einfach. Vorbereitung müssen nur in der Wahl des DNS Server des Vertrauens getätigt werden. Dazu verweisse ich auf den Artikel ebenfalls vom Privacy-Handbuch.

Falls möglich würde ich immer zu DNS over TLS tendieren da es schnellerer und sicherer ist.

Liste vertraulicher DNS Server

free-dns.yourdevice.ch (unser eigener Server)
62.2.188.238
Servername für Android DNS over TLS: free-dns.yourdevice.ch

Digitale Gesellschaft aus der Schweiz
185.95.218.42
185.95.218.43
Servername für Androids DNS over TLS: dns.digitale-gesellschaft.ch

Freifunk München aus Deutschland
5.1.66.255
185.150.99.255
Servername für Androids DNS over TLS: dot.ffmuc.net

Censurfridns Denmark aus Dänemark
91.239.100.100
89.233.43.71
Servername für Androids DNS over TLS:
anycast.uncensoreddns.org für IP Adresse 1
unicast.uncensoreddns.org für IP Adresse 2

Es gibt noch weitere professionell betreute DNS Server die Werbung und bestimmte Seiten blockieren, Infos dazu findet Ihr oben im verlinkten Privacy-Handbuch.

Einrichtung Linux Ubuntu/Debian Distros

Zuerst sei gesagt, die Änderungen des DNS Servers über das User Interface möglich ist, jedoch dort kein DNS over TLS zur Verfügung steht. Leider muss man das heutzutage immer noch über die Kommandozeile machen. Wer kein DNS over TLS benötigt. Kann in den Netzwerkeinstellungen unter IPv4 eurer Distro auch einfach die IP Adresse unseres DNS Servers eintragen:

Bitte danach die Verbindung neu starten (Disconnect und Reconnect)

Um DNS über TLS (DoT) und DNSSec auf einem Ubuntu-Rechner zu aktivieren, gibt es verschiedene Möglichkeiten. Eine gängige Methode ist die Verwendung von systemd-resolved, das in allen neueren Linux und Debian Distros enthalten ist.

Öffnet eure Konsole und bearbeitet die Datei resolved.conf im systemd Verzeichnis mit

nano /etc/systemd/resolved.conf

Wir nehmen exemplarisch den DNS Server von Digitale Gesellschaft und benutzen deren beide IP Adressen. Wir setzen einen Fallback DNS Server falls die ersten beiden Server nicht erreichbar sind. Die Einstellungen setzen wir folgt:

[Resolve]
DNS=185.95.218.42 185.95.218.43
ServerName=dns.digitale-gesellschaft.ch
FallbackDNS= 5.1.66.255
Domains=~.
#LLMNR=no
#MulticastDNS=no
DNSSEC=yes
DNSOverTLS=yes
#Cache=yes
#DNSStubListener=yes
#ReadEtcHosts=yes

Lasst den Rest wie es ist und speichert die Datei mit strg+o und beendet mit strg+x

Damit die Änderungen wirksam werden, startet den systemd-resolved Service neu mit:

sudo systemctl restart systemd-resolved

Überprüft die Einstellungen mit:

resolvectl status

Im Output müssten eure DNS Server inklusive der DNS over TLS Einstellungen enthalten sein.

Hinweis für Wi-Fi Hotspots

Im allgemeinen werden verschlüsselte DNS Anfragen in öffentlichen Hotspots mit Capitative Portals zum Beispiel U-Bahnen, Hotels und etc nicht akzeptiert. Die Seiten zum anmelden lassen sich nicht aufrufen. Grundsätzlich würde ich solche Hotspots meiden bei dem eine Anmeldung erforderlich ist. Hotspots die einen WLAN Passwort zu Verfügung stellen haben diese Eigenschaft nicht.

Wer mit seinem Laptop unterwegs einen Wi-Fi Hotspot mit Anmeldeportal nutzen möchte, muss den DNS-Server des Hotspot Betreibers verwenden und die lokale DNSSEC Validierung abschalten.

Dazu oben in der systemd/resolved.conf die DNS Server rückgängig machen indem man kurzerhand alles auskommentiert:

[Resolve]
#DNS=185.95.218.42 185.95.218.43
#ServerName=dns.digitale-gesellschaft.ch
#FallbackDNS= 5.1.66.255
#Domains=~.
#LLMNR=no
#MulticastDNS=no
#DNSSEC=yes
#DNSOverTLS=yes
#Cache=yes
#DNSStubListener=yes
#ReadEtcHosts=yes

und danach mit sudo systemctl restart systemd-resolved den Service neustarten.

Bei Android Smartphones und iPhones besteht dieses Problem nicht.

DNS over TLS Verschlüsselung auf Android Smartphones

Auf dem Android Smartphone ist die Einrichtung sehr einfach.

Geht dazu einfach die die Einstellungen, dann Netzwerk und Internet und scrollt nach untem zum Punkt Privates DNS
Aktiviert den Punkt Hostnamen des privaten DNS-Anbieters und gebt den Hostnamen des DNS Servers ein den ihr verwenden möchtet. (Siehe Liste oben)

Klickt danach auf Speichern und fertig seid Ihr auf eurem Android Smartphone!

Windows geht seine eigenen Wege

Windows geht wieder mal eigene Wege und hat den DNS over TLS Support seit einigen Builds komplett fallen gelassen, ich merkte dies gerade als ich den Artikel schrieb, aktuelle Infos finde ich dazu keine. Auch DNSSec wird nicht unterstützt. Die Windows Dokumentation spricht zwar noch von experimentellem DNS over TLS Support, aber seit den neusten Builds ist aber nur noch DNS over HTTPS via netsh verfügbar, und dass auch nur bei bestimmten Servern. Deshalb nutzen wir das Tool Simple DNSCrypt herunter welches uns etwas mehr Spielraum gewehrt. Ihr findet das Tool auf der Seite auch gleich unten mit dem Button download.msi x64 installer herunterladen könnt.

Nachteil auch hier: DNS over TLS wird nicht unterstützt, das Tool verwendet DNS over HTTPS, eine leicht langsamere Variante verschlüsselter DNS Protokolle mit einem leichtem Overhead. Installieren wir uns das Tool und schauen was es kann.

Im Hauptmenü legt man zunächst die grundsätzliche Konfiguration fest. Neben der Auswahl des IP-Protokolltyps IPv6 und IPv4 könnt ihr für die Nutzung der DNS-Resolver zusätzliche Einstellungen und Kriterien wählen. Wer DNS-Server mit Filter für Adblocker, Tracking oder Erwachsenen-Content nutzen möchte, deaktiviert die Option „Nur Server ohne Filter“. Ein Klick auf „einstellungen anwenden“ sorgt dafür, dass Simple DNSCrypt mit den gewünschten Optionen betrieben wird.

Damit Simple DNSCrypt als Dienst in Windows funktioniert, schiebt man den Regler neben „DNSCrypt Dienst“ nach rechts. Wichtig: unter „Netzwerkkarten“ muss man die Netzwerkkarte auswählen für die Simple DNSCrypt aktiviert werden soll.

Im Abschnitt Resolver legt ihr fest ob die Auswahl der DNS-Resolver nach den in der Grundkonfiguration festgelegten Parametern automatisch oder manuell erfolgen soll. Standardmäßig ist die automatische Auswahl aktiv. Wir nehmen die manuelle Variante und wählen wieder unseren DNS Server Digitale Gesellschaft aus der Schweiz aus.

Die erweiterten Einstellungen können so belassen werden wie sie sind. Die Variante ist relativ einfach und die Einstellungen sind bereits getätigt. Ihr könnt ausserdem oben rechts in den Einstellungen des Tools wählen dass der Dienst automatisch bei jedem Windows Start geladen werden soll. Dafür einfach auf da kleine Zahnrad oben in der Arbeitsleiste klicken und Simple DNS minimiert starten auswählen.

Test ob die DNS Verschlüsselung auf Linux, Android und Windows Geräten funktioniert

Auf der Seite https://www.dnsleaktest.com/ könnt ihr testen welche DNS Server bei Anfragen kontaktiert werden. Klickt auf den Standard Test, der reicht in den meisten fällen aus.

Sollten hier andere DNS Server auftauchen solltet ihr schauen ob Ihr alles richtig eingestellt habt. Startet eure Geräte zudem neu um den DNS Cache bzw DNS Einstellungen zu resetten.

Jetzt haben wir wenigstens eine gesicherte DNS Verbindung auf unserem Windows Rechner. Falls ich Methoden finde, wie man DNS over TLS in Windows aktiviert, werde ich das natürlich hier nachreichen. Vorerst sind wir aber fertig und haben unsere Privatsspähre und Informationssfreiheit ein bisschen mehr gefestigt mit der DNS Verschlüsselung auf Linux, Android und Windows Geräten.

Habt ihr Fragen zum Thema DNS Verschlüsselung auf Linux, Android und Windows Geräten? Schreibt sie in die Kommentare!

The post DNS Verschlüsselung auf Linux, Android und Windows appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist Webdav

WebDAV steht für "Web Distributed Authoring and Versioning". Es ist eine Erweiterung des HTTP-Protokolls, die es euch ermöglicht, Webinhalte direkt zu bearbeiten und zu verwalten. Dies macht WebDAV zu einem nützlichen Tool für die Zusammenarbeit und Dateiverwaltung in einem Webumfeld.

Wofür ist es gut?

1. Datei-Upload und -Download: Ihr könnt Dateien von einem Webserver herunterladen und darauf hochladen, ähnlich wie bei FTP.
2. Dateiverwaltung: Ihr können könnt und Verzeichnisse erstellen, löschen und umbenennen.
3. Mehrbenutzer-Bearbeitung: WebDAV unterstützt das Sperren von Ressourcen, was verhindert, dass mehrere Benutzer gleichzeitig dieselbe Datei bearbeiten und Konflikte entstehen.
4. Versionierung: Es kann in Kombination mit anderen Systemen, wie z.B. DeltaV, verwendet werden, um Versionierungsfunktionalitäten für Webressourcen bereitzustellen.

Protokolle/Ports:

• Protokoll: WebDAV erweitert das HTTP-Protokoll, daher verwendet es HTTP-Methoden wie GET, POST, PUT, aber fügt auch eigene Methoden wie PROPFIND, PROPPATCH, MKCOL, COPY, MOVE und LOCK hinzu.
• Ports: Da es auf HTTP (und HTTPS) basiert, verwendet WebDAV in der Regel den Standard-HTTP-Port 80 und den Standard-HTTPS-Port 443. Es kann jedoch auf anderen Ports konfiguriert werden, wenn dies vom Serveradministrator so festgelegt wird.

Viele moderne Betriebssysteme und Anwendungen bieten eingebaute Unterstützung für WebDAV, wodurch Benutzer Netzwerkfreigaben und Online-Speicherdienste auf eine Weise nutzen können, die sie von lokalen Dateisystemen gewohnt sind.

Voraussetzungen um Nextcloud direkt in Android einbinden zu können

Methode 1: via DAVx5 und SAF fähigen File Explorer

Ihr benötigt natürlich ein Android Smartphone, eine funktionierende Nextcloud welche über das Internet erreichbar ist, und einen Dateienexplorer der das Android’s Storage Access Framework (SAF) unterstützt. Aktuell funktioniert das auf allen Lineage, Graphene und CalyxOS Phones out of the box. Dazu natürlich noch die App DAVx5. DAVx5 empfiehlt sich denoch, da ihr damit auch Kontakte und euren Kalender mit kompatiblen Apps synchronisieren könnt.

Methode 2: Mit Material Files und direktem WebDAV Zugang ohne DAVx5

Falls ihr keinen SAF fähigen File Explorer auf eurem Smartphone mit Standard Android habt, könnt ihr mal den Material Files Explorer aus dem F-Droid Store ausprobieren. Dort kann dann man einfach Speicher hinzufügen und die Option Externen Speicher auswählen. Hier wählt man einfach WebDAV-Server hinzufügen aus.

Als Host gebt ihr die Domain der Nextcloud ein, als Pfad /remote.php/dav/files/xy. Der Port ist 443

Für Material Files benötigt ihr wie bereits erwähnt, kein vorher aufgesetzten WebDAV Zugang via DAVx5

WebDAV Zugangsdaten von der Nextcloud holen

Öffnet als erstes eure Nextcloud und geht mal direkt in den Dateienexplorer, links im Arbeitsbereich scrollt Ihr ganz nach unten und klickt auf Dateien Einstellungen.

Kopiert euch die WebDAV Adresse heraus.

Methode 1: DAVx5

Öffnet für Methode 1 als nächstes die App DAVx5 auf eurem Android Phone. Habt Ihr sie frisch installiert, gebt der App erstmal die nötigen Berechtigungen die sie braucht. Auf dem Homescreen könnt Ihr dann auf die 3 Striche oben Links klicken, und danach auf WebDAV Zugänge klicken. Klickt hier unten rechts auf das Plus Symbol.

Gebt im nächsten Fenster einen Anzeigenamen für den Zugang ein und im nächsten Feld die WebDAV Adresse eurer Nextcloud. Die Anmeldedaten sind die Daten aus eurer Nextcloud. Klickt danach auf Einhängen.

Methode 2: Material Files Explorer

Für Methode 2 öffnet ihr einfach den Material Files Explorer, geht oben links auf das Hamburger Menu, wählt Speicher hinzufügen aus, und wählt danach WebDAV-Server:

Bestätigt danach mit Speichern.

Dateienexplorer mit WebDAV Nextcloud Zugang

In eurem Dateienexplorer erscheint nun der Zugang zu eurer Nextcloud als WebDAV Speicherplatz. Material Files kennzeichneten den Zugang einfach mit dem Namen, dem ihr dem DAV Zugang gegeben habt. Ihr könnt nun immer, wenn ihr Dateien im Explorer verschieben wollt, dies als Zielort auswählen. Einige Notizapps erlauben beispielsweise die direkte Wahl des Speicherorts. Dort könnt Ihr dann einfach den WebDAV Zugang nehmen und direkt Dokumente, Notizen und Co. in eurer Cloud speichern.

Klickt ihr auf den Zugang habt ihr auch direkten Zugang zu euren Ordner in der Cloud. Damit müsst Ihr nicht immer Dinge per Nextcloud App downloaden, verschieben oder Hochladen. Das geht nun direkt über den Dateienexplorer auf eurem Smartphone.

Damit wäre die Einrichtung auch schon getätigt. Ich hoffe euch wie immer mit diesem kleinen Tutorial das Leben mit OpenSource Software etwas leichter gemacht zu haben, habt ihr Fragen, schreibt sie in die Kommentare!

The post Nextcloud direkt in Android einbinden appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist CrowdSec?

CrowdSec ist ein Open-Source und leichtgewichtiger Malware-Scanner und Response-System, der eine Gemeinschaft von Nutzern dabei unterstützt, sich gegenseitig vor schädlichen IP-Adressen zu schützen. Es verwendet eine Behavioral-Analyse kombiniert mit einer gemeinsamen Datenbank von bekannten Angreifer-IPs, um Angriffe in Echtzeit zu identifizieren und zu blockieren.

Vorteile von CrowdSec

• Gemeinschaftsgesteuert: Jeder, der CrowdSec verwendet, trägt zur Erkennung und Meldung bösartiger Aktivitäten bei, wodurch die gesamte Gemeinschaft profitiert.
• Modularität: Mit seinen Bouncers und Plugins kann es leicht in viele andere Anwendungen und Systeme integriert werden.
• Skalierbar: Es kann sowohl auf kleinen als auch auf großen Systemen effizient arbeiten.
• Kostenlos und Open Source: Dies ermöglicht eine breite Anpassung und Gemeinschaftsbeteiligung.

Installation um den Server mit CrowdSec absichern zu können

Stellt zuerst sicher das curl installiert ist. Das geht mit:

apt install curl

Wir installieren CrowdSec direkt über deren Repositories damit wir stehts die aktuellsten Versionen erhalten:

#Ubuntu/Mint

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash

#bei Debian lasst ihr das sudo weg

Für die meisten Linux-Distributionen können wir CrowdSec danach einfach installieren mit:

sudo apt update && sudo apt install crowdsec

Konfiguration von Crowdsec um den Server absichern zu können

Konfigurationen benötigt CrowdSec für eine Standardanwendung keine. Wir benötigen aber sogenannte Bouncer die die eigentliche Arbeit erledigen. Die CrowdSec Installation übernimmt nur die Regelanalyse, die Ausführung bei einem Regelmatch übernehmen die Bouncer

Bouncers auf dem Server installieren

Bouncers sind Plugins, die mit CrowdSec arbeiten, um böswillige Anfragen in Echtzeit zu blockieren. Es gibt Bouncers für verschiedene Dienste wie Nginx, Apache, PHP und etc.

Wir installieren uns den Standard Firewall-Bouncer für eine Nextcloud oder einen Standard-Webserver.

sudo apt install crowdsec-firewall-bouncer-iptables

Zusätzlich kann, wie bereits erwähnt, zum Beispiel der Nginx Webserver mit Crowdsec abgesichert werden. Installation dazu wäre:

sudo apt install nginx lua5.1 libnginx-mod-http-lua luarocks gettext-base lua-cjson

sudo apt install crowdsec-nginx-bouncer

PHP könnte zum beispiel ebenfalls zusätzlich abgesichert werden. Crowdsec bietet eine Menge spezialisierte Bouncer die für verschiedenste Komponenten abgestimmt sind. Schaut hier vorbei für die verschiedensten Bouncer und deren Konfiguration:

https://docs.crowdsec.net/u/bouncers/intro

Überwachung und Management des CrowdSec Servers

Mit dem Befehl cscli können wir die Aktivitäten auf Unserem Server überwachen, uns bösartige IPs anzeigen lassen, und diese bei Bedarf manuell blockieren oder freigeben.

Um uns anzeigen zu lassen, welche Angriffe bereits stattgefunden haben, können wir das mit dem Befehl cscli decisions list:

Hier seht ihr eine Übersicht der bereits eingetretenen Regeln. Die erste Zeile zeigt die ID der Rule, die zweite dass Regeln von CrowdSec angeschlagen haben, die dritte die IP des Angreifers, danach die genaue Regel, Aktion, Ursprungsland, Provider, wie viele Versuche stattgefunden haben und wann die Regel wieder abläuft.

Einige Befehle für unsere CrowdSec um den Server besser absichern zu können

sudo cscli decisions delete --all
löscht alle aktuellen Blockierungen

sudo cscli decisions delete --id 74 -
löscht nur eine bestimmte ID

sudo cscli decisions add --ip 1.2.3.4 --duration 24h --reason "web bruteforce"
erstellt eine neue Regel um eine bestimmte IP für 24 Stunden mit der Begründung web Bruteforce zu blockieren

sudo cscli decisions add --range 1.2.3.0/24 --reason "web bruteforce"
erstellt eine neue Regel um eine bestimmte IP Range für 24 Stunden mit der Begründung web Bruteforce zu blockieren

sudo cscli decisions add -i 1.2.3.4
erstellt eine einfache Regel die eine bestimmte IP permanent blockiert

Updates

Mit einem einfach apt update && apt upgrade halten wir unseren CrowSec inklusive aller Systemupdates auf dem neusten Stand.

Fazit

CrowdSec bietet euch eine effektive, gemeinschaftsbasierte Lösung zur Verbesserung der Sicherheit eurer Server. Durch die einfache Installation, Konfiguration und die Unterstützung einer aktiven Gemeinschaft, kann eurer Server somit einfach gegen eine Vielzahl von Bedrohungen geschützt werden. Wenn ihr euren Server oder eure Anwendung sicherer machen möchten, ist es sinnvoll, CrowdSec in eure Sicherheitsstrategie zu integrieren.

Habt ihr Fragen, stellt sie in die Kommentare!

The post Mit CrowdSec Server absichern appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

In einem anderen Beitrag habt Ihr gelernt, wie Ihr eine Nextcloud auf einer Synology NAS installieren könnt, schaut doch mal hier vorbei.

 Wieso APCu & Redis Cache für Nextcloud 27 einrichten

Der Unterschied in der Geschwindigkeit zwischen einem Nextcloud-Server ohne Cache und einem mit Cache ist enorm. Insbesondere wenn die Anzahl der Dateien und Ordner steigt und mehr Multimedia-Dateien auf den Server gelangen, wird das Caching immer wichtiger, um Geschwindigkeit und Leistung zu erhalten. APCu wird zunächst einen Großteil des Cachings übernehmen, während Redis für das File Locking zuständig ist. Diese beide Caching Methoden stehen heute im Mittelpunkt dieses Blogbeitrags

Was ist der ACPu Cache

• APCu (Alternative PHP Cache User) ist ein PHP-Modul, das die Ausführungszeit von PHP-Code beschleunigt, indem es bereits kompilierten PHP-Code im Speicher speichert. Dadurch wird die Notwendigkeit, den Code bei jedem Seitenaufruf erneut zu kompilieren, beseitigt.
• Verbesserte Leistung: APCu verringert die Last auf dem Server und verbessert die Antwortzeiten, da es den Zugriff auf den Speicher für häufig verwendete Daten erleichtert.
• Ressourceneffizienz: Da APCu Daten im Speicher speichert, spart es Ressourcen, die sonst für Datenbankanfragen oder Dateisystemoperationen verwendet würden.

Was ist ein Redis Cache

• Redis (Remote Dictionary Server) ist ein im Arbeitsspeicher residierender Datenspeicher, der zum Cachen von Daten und als Message Broker verwendet werden kann.
• Verbesserte Leistung: Redis kann verwendet werden, um Dateilocking und Transaktionsdateien für Nextcloud zu handhaben. Das kann helfen, die Leistung zu steigern, indem Konflikte bei gleichzeitigen Zugriffen auf dieselben Daten verhindert werden.
• Skalierbarkeit: Redis ist hochgradig skalierbar und kann auch in verteilten Systemen eingesetzt werden, was es ideal für große Nextcloud-Installationen macht.
• Persistenz: Obwohl Redis hauptsächlich im Speicher arbeitet, bietet es auch Möglichkeiten zur Persistenz, d.h. es kann Daten auf der Festplatte speichern, was eine zusätzliche Sicherheitsebene bietet.

ACPu Caching für Nextcloud 27 einrichten

Die Einrichtung des ACPu Caches ist eigentlich relativ einfach. Wir benötigen nur das entsprechende PHP-Modul welches diese Aufgabe erledigt. Das ist ganz einfach mit diesem Befehl zu installieren:

apt install php8.1-apcu php8.1-opcache

Bitte ersetzt 8.1 mit der Version dir Ihr tatsächlich benutz

Aktiviert die Module mit:

Jetzt müssen wir noch sicherstellen dass APCu für PHP CLI aktiviert ist. Wir öffnen dafür die php.ini in /etc/php/8.1/cli/

Ersetzt 8.1 mit der PHP Version die Ihr benutzt!

Wir fügen dafür einfach apc.enable_cli=1 an oberster Stelle ein:

Danach gehen wir in unsere Nextcloud Konfigurationsdatei, das geht mit:

sudo nano /var/www/nextcloud/config/config.php

Jetzt fügen wir folgende Zeile hinzu:

'memcache.local' => '\OC\Memcache\APCu',

Die Zeile könnt Ihr einfügen wo Ihr wollt. Am besten setzt Ihr die bei einer neuen Installation ganz ans Ende damit Ihr immer im Überblick habt was Ihr so hinzufügt.

Speichert die Datei mit ctrl+o ab und beendet mit ctrl+x

Anschliessend müsste der ACPu Cache bereits aktiviert sein.

Redis Cache für das File Locking installieren und konfigurieren

Den Redis Cache zu installieren und konfigurieren gestaltet sich als etwas aufwendiger, folgt einfach den Anweisungen ganz genau, dann sollte alles problemlos laufen. Zuerst installieren wir uns den Redis Server und das entsprechende PHP-Modul, das geht mit:

sudo apt install redis-server php8.1-redis

Zuerst öffnen wir die Redis Konfigurationsdatei, diese befindet sich in /etc/redis/redis.conf

sudo nano /etc/redis/redis.conf

Nun suchen wir den Eintrag Port und ändern 6379 auf 0 ab

Danach unkommentieren wir die folgenden Einträge und ändern sie entsprechend ab:

unixsocket /var/run/redis/redis-server.sock
unixsocketperm 770

Am Schluss sollte das so ausehen:

Speichert und beendet das ganze, jetzt ändern wir noch die Berechtigungen entsprechend ab und fügen Redis zur www-data bzw der Apache Gruppe hinzu, indem wir folgenden Befehl in die Konsole eingeben:

sudo usermod -a -G redis www-data

Nun starten wir noch den Apache Webserver neu mit:

sudo service apache2 restart

und starten den Redis Server neu mit:

sudo systemctl restart redis-server.service

Anschliessend müssen wir unseren Nextcloud Konfiguration anpassen in dem wir folgendes nach unserem oberen APCu Eintrag hinzufügen:

'memcache.locking' => '\OC\Memcache\Redis',
  'filelocking.enabled' => 'true',
  'redis' => 
  array (
    'host' => '/var/run/redis/redis-server.sock',
    'port' => 0,
    'timeout' => 0.0,
  ),

Damit der Redis Server immer bei einem Neustart des Systems ebenso startet, aktivieren wir den Service dauerhaft mit:

sudo systemctl enable redis-server

Jetzt starten wir unseren Server noch kurz neu mit systemctl reboot und danach sollte uns unsere Nextcloud mit einem schönen grünen Haken belohnen:

Jetzt ist unsere Nextcloud mit einem vollwertigem Caching System ausgestattet und das arbeiten mit der Cloud ist um einiges angenehmer. Daten können nun dank Redis nicht mehr ausversehen von anderen überschrieben werden. Falls Ihr mehr über erweitertes Caching erfahren wollt, lohnt es sich die offizielle Nextcloud Dokumentation einzusehen:

https://docs.nextcloud.com/server/latest/admin_manual/configuration_server/caching_configuration.html

Ich hoffe Euch die Erfahrungen mit Eurer Nextcloud nun etwas verbessert zu haben, habt Ihr Fragen, schreibt sie in die Kommentare!

The post APCu & Redis Cache für Nextcloud 27 appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Installationsprozess

Die Installation der Connect Bot App ist sehr einfach. Ihr könnt sie direkt aus dem F-Droid Store oder hier auf Euer Android-Gerät herunterladen. Nach der Installation könnt Ihr Eure Serverdetails eingeben, einschließlich Hostname/IP, Benutzername und Passwort. Alternativ könnt Ihr auch einen öffentlichen SSH-Schlüssel zur Authentifizierung verwenden. Die App ermöglicht es Euch, mehrere Server zu speichern und zu verwalten, was besonders nützlich ist, wenn Ihr mehrere Maschinen betreut.

Warum mit Android Smartphone SSH Verbindungen aufbauen

Connect Bot erweist sich im Alltag als äußerst nützlich. Mit ihr könnt Ihr Euch von überall aus auf Eurem Android-Smartphone in Euren Server einloggen und auf die Kommandozeile zugreifen. Sie ermöglicht es Euch, problemlos Dateien zu übertragen, Prozesse zu überwachen, Systemupdates zu installieren und vieles mehr. Die App verfügt über eine intuitive Benutzeroberfläche und bietet Funktionen wie Syntaxhervorhebung und Befehlsvervollständigung, die Euch bei Eurer Arbeit unterstützen.

Einrichtung um mit Eurem Android Smartphone SSH Verbindungen aufbauen zu können

Kurzer Überblick zur App. Auf dem Homescreen findet Ihr einer Übersicht all Eurer Remote-Server mit denen Ihr Euch verbinden könnt. Diese müssen wir natürlich erst einmal erstellen. Davor erledigen wir erst einmal ein paar kleine Einstellungen die das Arbeiten etwas erleichtert. Geht zuerst mal auf die 3 Punkte oben rechts und klickt auf Einstellungen.

Für längere und grössere Arbeit erhöhen wir den Bildlaufpuffer erstmal auf 256, danach könnt Ihr etwas weiter runter scrollen zum Abschnitt Tastatur und aktiviert am besten Zusatztasten immer sichtbar. Damit umgehen wir ein paar Renderbugs und haben die Zusatztasten immer griffbereit. Das wären auch schon alle Einstellungen die wir hier erledigen können.

Optional: Anmeldung über SSH Public-Key

Ihr könnt Euch auch optional mit einem SSH Public-Key anmelden. Damit entfällt die Passworteingabe während des Logins. Dafür müssen wir erst einmal ein Schlüsselpaar erstellen. Klickt nochmals auf die 3 Punkte oben rechts und danach auf Pubkeys verwalten. Klickt auf das kleine Plus Symbol in der oberen Leisten.
Gebt den Schlüssel einen Namen, wählt RSA aus und als Bitlänge 2048. Bitte richter Euch ein Passwort für Euren PublicKey ein, ansonsten kann sich damit jeder, der Zugriff auf Eurer Handy und die App hat, ohne Passwort auf Euren Servern einrichten. Das wäre quasi wie als würdet Ihr eine Bankkarte ohne PinCode verwenden.

Der Schlüssel kann automatisch beim starten der App geladen werden. Ausserdem kann ausgewählt werden, ob explizit nachgefragt werden soll, ob dieser Schlüssel beim späteren SSH Login verwendet werden soll. Klickt bei entsprechenden Einstellung danach auf Erzeugen. Wischt ein paar mal über den Bildschirm um einen zufälligen Schlüssel zu erstellen.

Damit der Schlüssel benutzt werden kann, muss er entsperrt sein. Klickt in der Schlüsselübersicht auf den erstellen Key und entsperrt Ihn mit Eurem Passwort. Jetzt ist der Schlüssel einsatzbereit. Wie wir Ihn benutzten, erfahrt Ihr weiter unten.

Host hinzufügen mit Connect Bot

Geht wieder zurück auf Euer Startmenü und klickt unten rechts auf das Plus Symbol. Ein neues Fenster öffnet sich. Die Einstellungen sind eigentlich sehr einfach:

Als erstes gebt Ihr Euren Benuternamen, gefolgt von der Remote IP Adresse ein. Beim Namen könnt Ihr dem Host bzw dem Eintrag eine Bezeichung geben, das dient der Übersicht bei mehreren Einträgen nachher. Optional: falls Ihr einen Pubkey verwenden wollt, könnt Ihr hier auch gleich den entsprechenden PubKey auswählen und hinterlegen. Wählt dafür den entsprechenden Key unter Verwende pubkey Authentisierung aus.

Weitere Einstellungen sind nicht nötig. Habt Ihr alles, könnt Ihr oben auf das Plus Symbol klicken und den Host hinzufügen.

Anwendung des Connect Bot Clients

Nun ist es an der Zeit die erste Verbindung aufzubauen. Dies geschieht erstmal über da normale Passwort. Klickt für die erste Verbindung einfach auf den Host, und gebt Euer Serverpasswort ein, sobald Ihr danach gefragt werdet. Auf die Frage ob Ihr dem Host vertrauen wollt, bestätigt mit Ja

Bei PubKey Nutzung: lasst Euch nicht von der Fehlermeldung irritieren dass die PubKey Authentisierung nicht erfolgreich war. Das ist normal, wir müssen unseren Key natürlich zuerst auf den Server hochladen.

Habt Ihr Euch verbunden, seid Ihr bereits auf der Remote-Konsole und könnt anfangen Euren Server zu ärgern, zum abstürzen zu bringen oder

Ihr könnt nun ganz normal Eure Befehle in die Konsole hämmern, den Server neustarten, oder Änderungen an Konfigurationen vornehmen. Für Tastenbefehle steht Euch nun die Tastenleiste zur verfügung. Die Erste Taste ist die STRG oder CTRL Taste. Damit könnt Ihr Kombinationen erzeugen. Um im z.B den Nano Editor zu verlassen, oder Konsolenbefehle zu unterbrechen könnt Ihr auf STRG drücken, und danach die ensprechende Taste auf der Android Tastatur. (STRG+x) oder (STRG+c). Das nächste Kürzel ist die normale Esc Taste, danach kommt die Autoverfolständigen für Ordner oder Dateinamen wenn die ersten Buchstaben bereits eingegeben worden sind, genau wie auf der normalen PC Tastatur --> Tabulator Taste. Mit den Pfeiltasten könnt Ihr durch Dateien und Editoren navigieren. Die Leiste lässt sich scrollen, und Ihr findet weitere rechts alle mögliche Tasten der normalen PC-Tastatur.

SSH-Pubkey einfügen

Wollen wir unseren PublicKey nun auf den Server einfügen, geht das folgendermassen. Geht auf die Keyverwaltung von Connect Bot und drückt lange auf den entsprechenden Eintrag. Wählt Öffentlichen Schlüssel kopieren aus. Danach geht Ihr zurück in die Konsole des entsprechenden Hosts, auf dem der Key eingefügt werden soll. Die Key könnt Ihr nun mit folgendem Befehl einfügen:

echo "euer Key" >> .ssh/authorized_keys

Entfernt die Anführungszeichen aus dem Befehl. Passt auf beim Einfügen des Keys. Der kopierte Key enthält die Bezeichnung Eures Keys. Entfernt diesem aus der Eingabe:

Das Pixel 7 bei mir im Beispiel muss entfernt werden. Drückt danach auf die Enter Taste. Der Key wurde hinzugefügt. Stellt sicher dass Ihr Euch im Homeverzeichnis (~#) befindet.
Nun könnt Ihr Euch ohne Passwort beim nächsten mal auf Eurem Server anmelden. Stellt sicher, das der Key in der Schlüsselverwaltung entsperrt ist.

Ihr könnt nun beliebig viele Hosts hinzufügen und Euch auf Euren Servern schnell und einfach anmelden. Sehr nützlich falls Ihr verschiedene Nextcloud oder Matrix-Synapse Server, oder sonstige Dienste verwaltet.

Ich hoffe Euch mit der Anleitung ein klein wenig mehr Erleichterung in Eurer Serververwaltung beisteuern können, habt Ihr Fragen? Stellt sie in die Kommentare!

The post Mit Android Smartphone SSH Verbindungen aufbauen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Funktion von Rsync

Rsync nutzt ein einzigartiges Delta-Transfer-Algorithmus, um die Menge der übertragenen Daten zu minimieren. Das Tool vergleicht die Quell- und Zieldateien und überträgt nur die Abschnitte, die sich geändert haben. Dieser inkrementelle Ansatz kann erhebliche Bandbreiten- und Zeitersparnisse gegenüber traditionelleren Methoden bieten, die komplette Dateien kopieren.

Rsync kann sowohl lokal (auf demselben Gerät oder im selben Netzwerk) als auch remote (über das Internet) verwendet werden. Es unterstützt auch den Transfer über verschlüsselte Kanäle mit SSH.

Vorausetzungen um mit Rsync Daten zwischen Rechnern zu synchronisieren

Um Rsync zu verwenden, muss es auf jedem beteiligten Computer installiert sein. Die meisten Unix-ähnlichen Betriebssysteme haben es bereits vorinstalliert. Bei Windows muss ein Software wie Cygwin verwendet werden, um Unix-ähnliche Befehle auszuführen.

Rsync selbst verwendet standardmäßig den TCP-Port 873 für die Kommunikation. Wenn ihr Rsync auf einem Server bereitstellt, müsst ihr sicherstellen, dass dieser Port in der Firewall offen ist, damit Rsync ordnungsgemäß funktioniert.

Es ist wichtig zu beachten, dass während Rsync selbst einige grundlegende Sicherheitsmaßnahmen bietet (wie die Verwendung von "chroot" zur Begrenzung des Zugriffs auf das Zielsystem), die Daten während der Übertragung nicht verschlüsselt werden. Dies bedeutet, dass Rsync allein für die Übertragung sensibler Daten über unsichere Netzwerke (wie das Internet) nicht ideal ist.

Zum Glück kann Rsync nahtlos mit SSH (Secure Shell) integriert werden, um eine sichere, verschlüsselte Verbindung zu erstellen. SSH verwendet standardmäßig den TCP-Port 22. Wenn ihr Rsync über SSH verwendet, werden alle Daten, die übertragen werden, verschlüsselt, was bedeutet, dass sie während der Übertragung nicht abgefangen oder gelesen werden können.

Übertragt ihr Daten verschlüsselt mit dem ssh Befehl, muss nur der Port 22 offen sein.

Flags und deren Funktion

Rsync hat eine Vielzahl von Flags, die das Verhalten der Dateiübertragung steuern. Hier sind einige der gebräuchlichsten:

• -v: Verbose Mode. Gibt ausführliche Informationen über den Transfer.
• -a: Archive Mode. Behält Dateiberechtigungen, -eigenschaften und -zeitstempel bei.
• -z: Kompression. Komprimiert die Daten während der Übertragung.
• -h: Human-readable. Zeigt die Dateigröße in einer für Menschen lesbaren Format an.
• -r: Rekursiv. Kopiert auch die Unterverzeichnisse der ausgewählten Verzeichnisse.
• --delete: Löscht Dateien im Zielverzeichnis, die nicht im Quellverzeichnis vorhanden sind.
• -P: Kombination aus --partial (behält unterbrochene Dateiübertragungen bei) und --progress (zeigt den Fortschritt während der Übertragung).

Anwendung und Beispiele

Interne Netzwerkübertragung

Angenommen, wir haben zwei Computer im selben Netzwerk: "ComputerA" und "ComputerB", und wir möchten ein Verzeichnis namens "MeinVerzeichnis" von ComputerA nach ComputerB kopieren. Der Befehl auf ComputerA könnte so aussehen:

rsync -azv /pfad/zum/MeinVerzeichnis/ benutzer@192.168.0.50:/ziel/pfad/

In diesem Befehl steht -azv für Archivmodus, Kompression und ausführliche Ausgabe. Der / am Ende von /pfad/zum/MeinVerzeichnis/ ist wichtig, da er angibt, dass der Inhalt des Verzeichnisses und nicht das Verzeichnis selbst kopiert werden soll.

Dateiübertragung zu einem Server mit einer öffentlichen IP

Um eine Datei an einen Server mit einer öffentlichen IP zu senden, benötigen wir die IP-Adresse des Servers sowie einen Benutzernamen und ein Passwort für den Server. Hier ist ein Beispiel:

rsync -azv /pfad/zum/MeineDatei.txt benutzer@123.45.67.89:/ziel/pfad/

In diesem Beispiel ist 123.45.67.89 die IP-Adresse des Servers.

Verschlüsselte Datenübertragung

Um Rsync über SSH zu verwenden, fügt einfach die -e ssh-Option zu Eurem Rsync-Befehl hinzu. Hier ist ein Beispiel:

rsync -azve ssh /pfad/zum/verzeichnis/ benutzer@123.45.67.89:/ziel/pfad/

In diesem Beispiel würde Rsync eine SSH-Verbindung zum Server unter der IP-Adresse 123.45.67.89 herstellen und dann die Daten über diese sichere Verbindung übertragen.

Daten ziehen

Rsync kann auch verwendet werden, um Dateien von einem Remote-Server zu "ziehen", anstatt sie zu "schieben". Dies ist besonders nützlich, wenn wir Dateien von einem Server herunterladen möchten, auf den wir Zugriff haben.

Angenommen, Ihr möchtet eine Datei oder ein Verzeichnis von einem Remote-Server auf Euren lokalen Computer kopieren. In diesem Fall wäre der Befehl umgekehrt.

Wenn Ihr eine Datei von einem Server mit der öffentlichen IP 123.45.67.89 herunterladen möchtet, würde der Befehl so aussehen:

rsync -azv benutzer@123.45.67.89:/pfad/zum/MeineDatei.txt /lokaler/pfad/

In diesem Fall ist /pfad/zum/MeineDatei.txt der Pfad zur Datei auf dem Remote-Server, und /lokaler/pfad/ ist der Pfad, in dem die Datei auf Eurem lokalen Computer gespeichert werden soll.

Wenn Ihr ein gesamtes Verzeichnis von einem Server herunterladen möchtet, könnt Ihr den Befehl leicht modifizieren, indem Ihr den Pfad zum Verzeichnis angebt und sicherstellt, dass Ihr den / am Ende des Pfads beibehaltet:

rsync -azv benutzer@123.45.67.89:/pfad/zum/verzeichnis/ /lokaler/pfad/

In diesem Fall wird der Inhalt des Verzeichnisses auf dem Remote-Server in den lokalen Pfad kopiert.

Wie zuvor steht -azv für Archivmodus, Kompression und ausführliche Ausgabe. Die Option -a ist besonders wichtig, wenn Ihr Verzeichnisse kopiert, da sie sicherstellt, dass Metadaten wie Berechtigungen und Zeitstempel beibehalten werden.

Daten ziehen mit erhöhten Rechten auf dem Remote-Server

Manchmal befinden sich die Dateien auf dem Remote-Server in Verzeichnissen, auf die nur der Root-Benutzer Zugriff hat. In solchen Fällen könnt Ihr Rsync mit erhöhten Rechten auf dem Remote-Server ausführen, indem Ihr die --rsync-path-Option verwendet:

rsync -azv --rsync-path="sudo rsync" benutzer@123.45.67.89:/pfad/zum/geschützten/verzeichnis/ /lokaler/pfad/

Der Parameter --rsync-path="sudo rsync" sorgt dafür, dass Rsync auf dem Remote-Server mit sudo-Rechten ausgeführt wird. Dies ist besonders nützlich beim Kopieren von System-Verzeichnissen oder Dateien, die dem Root-Benutzer gehören.

Wichtig: Der Benutzer auf dem Remote-Server muss sudo-Rechte haben, damit dies funktioniert. In manchen Fällen müsst Ihr das Passwort eingeben oder die sudo-Konfiguration anpassen.

Beispiel für das Ziehen einer Bitcoin-Blockchain:

sudo rsync -azv --rsync-path="sudo rsync" admin@192.168.0.121:/mnt/hdd/bitcoin/blocks/ /lokaler/pfad/blocks/

Rsync Optionen

Die Optionen wie --progress oder --delete können einfach hinter die Flags gesetzt werden. Möchtet Ihr immer eine Fortschrittsanzeige angezeigt bekommen, setzt --progress hinter die Flaggen. In diesem Fall wie folgt:

rsync -azve ssh --progress benutzer@123.45.67.89:/pfad/zum/verzeichnis/ /lokaler/pfad/

Weitere nützliche Optionen:

• --append-verify: Setzt unterbrochene Übertragungen fort und überprüft die bereits übertragenen Daten
• --delete: Löscht Dateien im Zielverzeichnis, die im Quellverzeichnis nicht mehr existieren
• -x: Überschreitet keine Dateisystem-Grenzen (nützlich bei gemounteten Verzeichnissen)

Fazit

Rsync ist ein sehr gutes Tool, das sowohl die Effizienz als auch die Sicherheit von Dateiübertragungen erheblich verbessern kann. Durch seine vielfältigen Optionen und Einstellungen ist es für eine Vielzahl von Szenarien geeignet, von einfachen Dateikopien bis hin zu komplexen Backup- und Synchronisationsaufgaben.

Ich hoffe, Euch Rsync etwas näher gebracht zu haben. Habt Ihr Fragen zur Anwendung, schreibt sie in die Kommentare!

The post Mit Rsync Daten zwischen Rechnern synchronisieren appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Nextcloud ist ein Open-Source-Projekt, das Benutzern die Möglichkeit bietet, ihre eigene Cloud-Speicherlösung zu erstellen. Die Nextcloud-App für Android-Geräte ist eine Erweiterung dieses Projekts und bietet Benutzern die Möglichkeit, ihre Nextcloud-Instanz von unterwegs aus zu nutzen. In diesem Bericht werden wir uns mit der Einrichtung und den Funktionen dieser App befassen.

Einrichtung der Nextcloud App für Android

Die Installation der Nextcloud-App für Android ist ein einfacher Prozess, herrunterladen könnt Ihr die App aus dem Aurora Store oder von vom F-Droid Store

Öffnet den Aurora oder F-Droid Store auf Eurem Android-Gerät.

1. Sucht nach "Nextcloud" und tippt auf das entsprechende Suchergebnis.
2. Tippt auf "Installieren", um den Download und die Installation zu starten.
3. Nach der Installation öffnet die Nextcloud-App und Ihr werden aufgefordert, Eure Nextcloud-Serveradresse einzugeben. Gebt die URL Eurer Nextcloud-Instanz ein und tippt auf "Verbinden".
4. Gebt Eure Nextcloud-Benutzerdaten (Benutzername und Passwort) ein und tippt auf "Anmelden".
5. Optional könnt Ihr einen Kontonamen festlegen, der nur auf Eurem Gerät angezeigt wird, um verschiedene Nextcloud-Konten zu unterscheiden, wenn Ihr mehrere habt.

Jetzt ist Eure Nextcloud-App bereits eingerichtet und bereit für die Verwendung!

Beachtet dass die F-Droid keine Benachichtigungen versendet, sobald es Updates oder Neuigeiten aus Eurer Nextcloud gibt. Dies liegt daran das alle Apps aus dem F-Droid Store keine Push Notifications über Google Server unterstützen.

Funktionen der Nextcloud App

Die Nextcloud-App für Android bietet eine Vielfalt von Funktionen, die es Euch ermöglicht, das Beste aus Eurer Nextcloud-Instanz herauszuholen, egal wo Ihr seid.

• Datei-Upload und Download: Ihr könnt Dateien von Eurem Android-Gerät auf Eure Nextcloud-Instanz hochladen oder Dateien von Eurer Nextcloud-Instanz auf Ihr Gerät herunterladen.
• Automatischer Foto-Upload: Diese Funktion ermöglicht es Euch, Fotos automatisch von Eurem Android-Gerät auf Eure Nextcloud-Instanz hochzuladen. Ihr könnt Ordner auswählen die regelmässig synchronisiert werden können, und den Speicherort auf Eurer Nextcloud Instanz festelegen. Die Autoupload Einstellungen findet Ihr in den Einstelungen der App. Werden neue Ordner auf dem Smartphone erstellt, merkt das Nextcloud und fragt Euch ob Ihr den neuen Ordner synchronisieren möchtet.
• Dateiverwaltung: Ihr könnt Dateien und Ordner erstellen, umbenennen, verschieben und löschen. Darüber hinaus könnt Ihr Dateien und Ordner teilen und die Freigabeeinstellungen verwalten.
• Offline-Zugriff: Ihr könnt Dateien für den Offline-Zugriff markieren. Diese Dateien werden auf Eurem Gerät gespeichert und können ohne Internetverbindung geöffnet werden.
• Aktivitäts-Feed: Hier seht Ihr die jüngsten Aktivitäten in Eurer Nextcloud-Instanz.
• Integration mit anderen Apps: Die Nextcloud-App kann mit anderen Android-Apps interagieren, sodass Ihr Dateien direkt aus anderen Apps heraus öffnen oder speichern könnt.
• Benachrichtigungen: Ihr könnt Benachrichtigungen für bestimmte Ereignisse erhalten, z. B. wenn eine Datei geteilt wird oder wenn eine neue Datei in einem geteilten Ordner hinzugefügt wird.

Die Auto Upload Einstellungen

Die App bietet euch in den Einstellungen/Automatisches Hochladen die Funktion Eure Photos oder Daten, die darin Landen, direkt auf Eure Nextcloud zu sichern. Öffnet dazu die Funktion und wählt die Ordner aus, die Ihr synchronsieren möchtet. Klickt auf die 3 Punkte neben dem Ordner und klickt auf Einrichten

Ihr findet Ihr die Einstellungen für das automatische Hochladen. Der Erste Eintrag ist der Speicherort auf dem Smartphone. Mit dem zweiten könnt Ihr auswählen wo die Bilder oder Dateien in der Nextcloud genau gespeichert werden. Desweuteren könnt Ihr die Einstellungen verfeinern, indem Ihr einstellt, wann und womit die Daten hochgeladen werden. Ich würde bei Fotos Einstellungen wählen die das Hochladen nur bei WLAN und evt nur während des Ladens  erlauben, bei wichtigen Dokumenten zum Beispiel jederzeit und sofort auch über das Handynetz.

Das Teilen von Dokumenten und Bildern

Nextcloud erlaubt Euch das plattformübergreifende Teilen von Dateien, Dokumenten und Bildern. Geht dazu einfach in auf Alle Dateien und navigiert zum Ordner oder zur Datei Eurer Wahl. Klickt auf den Teilen Button. Ihr könnt nun wählen ob die Datei mit einer externen App geteilt werden soll, oder ob Ihr Daten intern mit anderen Benutzern teilen wollt. Ordner selber können nur Intern geteilt werden, einzelne Datei intern sowie extern.

Internes Teilen

Im ersten Feld könnt Ihr die zu teilenden Dateien direkt mit einem Eurer Benutzer teilen. Ihr könnt dabei verschiedene Berechtigungen setzen, was der andere Benutzer mit den Daten anstellen darf. Ihr könnt z.B. festlegen ob der Benutzer die Datei weiter teilen darf, ob er die Datei online bearbeiten darf oder ob er auch weitere Dokumente in den geteilten Ordner hochladen darf oder nicht.

Im zweiten Feld könnt Ihr einen Link erstellen lassen, den Ihr an eine person Eurer Wahl schicken könnt. Diese können dann nur die Datei betrachten, der Download darf eingeschränkt werden. Es können Ablaufdaten gesetzt werden und vieles mehr. Jeder der den Link hat, kann dann auf diese Datei mit den getätigten Einstellungen, zugreifen.

Die Nextcloud-App für Android bietet Euch also eine leistungsstarke und flexible Möglichkeit, Eure Nextcloud-Instanz zu verwalten und auf Eure Dateien zuzugreifen, wo immer Ihr eine Internetverbindung habt. Ebenso erlaubt der Offline-Zugriff Euch, produktiv zu bleiben, auch wenn Ihr einmal nicht online sein solltet.

Zusatzfunktionen und Erweiterungen

Neben den bereits genannten Funktionen bietet Nextcloud eine Reihe von zusätzlichen Apps und Erweiterungen, die die Funktionalität noch weiter erhöhen können. Zum Beispiel:

• Kalender und Kontakte: Mit den entsprechenden Nextcloud-Apps könnt Ihr Eure Kontakte und Kalender verwalten und mit Eurem Android-Gerät synchronisieren. Beispielsweise mit dem Etar Kalender oder mit der Kontakteapp von Smartphone Betriebbsystemen wie Calyx OS, eOS oder anderen auf Privatspähre ausgelegte Betriebbsysteme. Ein App für Euren Kalender währe zum Beispiel der Etar Kalender.
• Notizen und Aufgaben: Mit den Notizen- und Aufgaben-Apps könnt Sie Eure Notizen und Aufgabenlisten in Euren Nextcloud-Instanz verwalten und synchronisieren. Bespielsweise mit der Memo App Orgzly
• Talk: Nextcloud Talk ist eine App für sichere Kommunikation. Ihr  könnt Textnachrichten senden, Sprach- und Videoanrufe tätigen und Bildschirme teilen.
• OnlyOffice und Collabora: Diese Apps ermöglicht es Euch, Office-Dokumente direkt in Ihrem Webbrowser zu bearbeiten und mit anderen zusammenzuarbeiten.

Bitte beachtet, dass einige dieser Funktionen erfordern, dass die entsprechenden Apps auf Eurer Nextcloud-Instanz installiert sind. Interessiert Ihr Euch für eine Nextcloud Instanz, schaut Euch unsere HomeServer an oder mietet Euch eine Nextcloud Instanz bei uns auf dem Server!

Fazit

Die Nextcloud-App für Android bietet eine Fülle von Funktionen, die es Benutzern ermöglichen, das Beste aus ihrer Nextcloud-Instanz zu machen, unabhängig davon, wo sie sich befinden. Mit den Funktionen zum Hoch- und Herunterladen von Dateien, zum automatischen Hochladen von Fotos, zur Dateiverwaltung und zum Offline-Zugriff, sowie der Integration mit anderen Android-Apps und der Möglichkeit, Benachrichtigungen zu erhalten, ist die Nextcloud-App für Android ein unverzichtbares Tool für jeden Nextcloud-Benutzer. Mit den zusätzlichen Apps und Erweiterungen kann die Funktionalität sogar noch weiter ausgebaut werden, sodass die Möglichkeiten nahezu unbegrenzt sind.

Ich hoffe der Artikel Einführung und Einrichtung Nextcloud für Android hat Euch gefallen, falls Ihr Fragen habt, schreibt sie in die Kommentare!

The post Einführung und Einrichtung Nextcloud für Android appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die Konfiguration einer eigenen Nextcloud Instanz, welche zudem aus dem Netz, und im LAN erreichbar sein soll, benötigt einiges an Konfiguration und Einstellungen. Auch müssen die Clients, bzw Eure Smartphones  und Laptops DNS seitig leicht angepasst werden, da bestimmte Router keine NAT-Reflection können und Domainanfragen aus dem LAN an Eure eigene Domain ins leere laufen. Warum das so ist, würde hier den Rahmen sprengen, mit entsprechenden Firewalls lässt sich sowas lösen, jedoch haben das nur die wenigstens. Swisscom Router können NAT-Loopback / NAT Reflection, Sunrise und UPC Router hingegen nicht. Deshalb beinhaltet diese Einrichtung auch die Nutzung eines internen eigenen DNS Servers, der dieses Problem umgeht.

Vorbereitungen um Nextcloud auf Eurer Synology mit DSM 7.2 zu installieren

Bevor wir anfangen können, kontrolliert ob die Web Station läuft bzw. installiert sind, wenn Ihr das noch nicht getan habt. Außerdem benötigt ihr SSH-Zugriff auf Eure NAS (auf Windows könnt Ihr das z.B. mit Putty tun).

Stellt sicher dass SSH unter Terminal / SNMP aktiviert ist und dass unter dem Tab Sicherheit der SSH Port 22 freigeben ist:

Installiert folgende Pakete im Paket Zentrum:

• PHP 8.0 oder höher
• Apache (2.4)
• MariaDB 10
• phpmyadmin
• DNS Server (optional)

Öffnet MariaDB 10 im Packetzentrum der Synology und setzt den Haken bei TCP/IP-Verbindung aktivieren.

DynDNS Adresse einrichten und Portweiterleitung erstellen

Als nächstes müssen wir uns eine DynDNS Domain erstellen und eine Adresse festlegen, mit die Nextcloud erreichbar sein soll. Wählt dafür einen aussagekräftigen Namen. Wie das geht, erfahrt ihr hier zum Beispiel in diesem Beitrag:

Dynamischen DNS Eintrag erstellen

Eine DynDNS Addresse lässt sich auch auf der Synology direkt erstellen. Dafür müssen die die von Synology vorgegebenen Top-Level-Domains verwendet werden.

Eine Anleitung dazu findet ihr hier.

Portweiterleitung erstellen

Damit Ihr die Nextcloud aus dem Internet erreichen könnt, muss die Anfrage direkt an Eure Synology NAS geschickt werden, und zwar an die Ports 443 und 80. Diese müssen auf die IP Adresse Eurer Synology zeigen. Wie das geht erfahrt Ihr ebenso in einer unserer Beiträge:

Portweiterleitungen Erstellen

DNS Server erstellen (optional)

Dies dienst dazu dass eure Domain bzw. eure Nextcloud Instanz auch innerhalb eures Netzwerks erreichbar ist. Bestimmte Router generieren Probleme, falls ihr auf eine Domain zugreifen wollt, die sich im eigenen Netzwerk befindet. Im bestenfall können wir somit mit der Domain unsere Nextcloud auch im Heimnetz erreichen. In dem verlinkten Beitrag, erfahrt Ihr wie Ihr einen DNS Server erstellt:

DNS Server auf Synology NAS erstellen

Könnt ihr in der Anleitung später eurer Domain nicht aufrufen, und es kommt "Webseite nicht erreichbar", berherrscht eurer Router Hairpinning nicht, und es muss ein DNS Server betrieben werden.

Freigegebener Ordner in DSM 7.2 auf der Synology NAS erstellen

Legt einen neuen geteilten Ordner an, der als Ablageplatz für die Daten dient. Standardmäßig werden die Daten von Nextcloud im data-Ordner unter /web/Nextcloud abgelegt. Allerdings empfiehlt Nextcloud aus Gründen der Sicherheit, den Speicherort außerhalb des /web-Ordners zu positionieren. Dies erleichtert zudem eine zukünftige Aktualisierung von Nextcloud. Keine andere User sollte Zugang zu dem geteilten Ordner haben und als Administrator solltet Ihr dort nur Änderungen durchführen, die Eure Nextcloud-Installation betrifft. Solche Änderungen sollten jedoch als root über Putty durchgeführt werden, da sonst die Besitzverhältnisse geändert werden und Nextcloud keinen Zugriff mehr auf den Ordner oder die Dateien hat. Den geteilten Ordner erstellt man über DSM > Systemsteuerung > Geteilter Ordner, da DSM einen über Putty erstellten Ordner nicht erkennt und man diesen beispielsweise nicht über Hyper Backup sichern kann.

Den data-Ordner in der DS nutzen

Generell sollte nur Nextcloud Daten im data-Ordner ändern können. Würdet Ihr Dateien über die DS bzw. nicht über die Cloud hinzufügen oder Ändern würde Nextcloud das nicht mitbekommen da sie die Daten nicht lesen kann aufgrund der der Rechteverwaltung von Linux/Unix Systemen. Solltet Ihr, Eure Dateien oder einen bestimmten Ordner auch außerhalb von Nextcloud bearbeiten wollen, so müsst ihr diesen als externen Speicher einfügen.

Erstellt einen neuen Freigegebenen Order auf Eurer Synology. Nennt den Ordner z.B nextclouddata. Eine Verschlüsselung darf nicht aktiviert werden, den ansonsten kann Nextcloud die Daten nicht mehr lesen. Ein Verschlüsselung sollte nur direkt über die Nextcloud aktiviert werden. Das werden wir mal in einem weiteren Beitrag in einiger Zeit anschauen.

Verbindet euch via SSH auf Linux Rechnern, oder PuTTY für Windows mit eurer DS. Loggt euch als Administrator ein, indem ihr euer Login und euer Passwort eingebt. Um die Befehle als root auszuführen gebt sudo –i ein und drückt Enter. Gebt erneut euer Administratorpasswort ein. Gebt folgende 2 Befehle ein, damit Nextcloud, bzw. der User des Webservers auch auf diesen zugreifen darf:

chown -R http:http /volume1/nextclouddata

chmod -R 770 /volume1/nextclouddata

Nextcloud herunterladen

Ladet euch das Nextcloud Packet hier herrunter: https://nextcloud.com/install/#instructions-server

Nehmt hier das Archive und klickt auf Get Zip File, ladet es Euch auf Eure Synology herrunter und packet es auf in den Web Ordner Eurer Synology.

Danach wird das ganze Archive in einen neuen Ordner nextcloud entpackt. Entpackt den Inhalt des neu erstellten Ordners in den Basis Nextcloud Ordner. Alle einzelnen Daten müssen danach im im Pfad web/nextcloud sein!

Loggt euch nochmals mit SSH oder Putty ein und gebt als sudo folgende Befehle ein:

chown -R http:http /volume1/web/nextcloud/

chmod -R 750 /volume1/web/nextcloud/

Das setzt die Berechtigungen so, damit die Installation möglich ist, und der Webserver auf die Daten zugreifen kann.

PHP-Profil für Nextcloud erstellen

Ich empfehle die Verwendung eines virtuellen Hosts (DSM 7.1) bzw eines Webdienstes (DSM 7.2) für Eure Cloud. Nextcloud lässt sich dadurch besser absichern, macht hinterher weniger Probleme und außerdem könnt ihr dann ein individuelles PHP-Profil verwenden. Ohne virtuellen Host verwenden alle Webseiten und -anwendungen den selben Webserver und das selbe PHP-Profil, das kann zu Konflikten in der Konfiguration führen. Ausserdem ist es die Vorrausetzung dafür, dass Ihr Euren Dienst aus dem Internet erreichen könnt.

Öffnet die Web Station und erstellt unter Skript-Spracheinstellungen ein neues Profil.

1. Vergebt einen Namen und eine Beschreibung zum Beispiel Nextcloud PHP-Profil
2. Wählt PHP 8.0, 8.1 oder 8.2 aus jenachdem was ihr installiert habt, aus.
3. Aktiviert “PHP-Cache aktivieren”.
4. Aktiviert “PHP open_basedir benutzerspezifisch anpassen” und tragt /tmp:/var/services/tmp:/var/services/web:/volume1/nextclouddata ein
5. Geht in die Erweiterungen und aktiviert folgende Erweiterungen: bcmath, bz2, curl, ftp, gd, gmp, iconv, imagick, intl, mysqli, openssl, pdo_mysql, posix, sodium, ssh2, sysvsem, zip, zlib
6. Belasst die FPM-Einstellungen so wie sie sind.
7. Als nächstes müssen wir die Kerneinstellungen festlegen damit Nextcloud optimal funktionieren kann. Sucht im Suchfeld nach den angegeben Einstellungen, und passt die Einstellungen entsprechend an:
   
   memory_limit= 1024M
   upload_max_filesize= 4G (Die maximale Grösse der Dateien die hochgeladen werden können)
   post_max_size= 128M
   opcache.enable= 1
   apc.enable_cli = 1
   opcache.enable_cli= 1
   opcache.interned_strings_buffer= 64
   opcache.max_accelerated_files= 32531
   opcache.memory_consumption= 512
   opcache.save_comments= 1
   opcache.revalidate_freq= 240

Klickt auf Speichern und beendet den PHP Einrichtungsassistenten.

Stellt sicher das im Reiter Webdienst beim Standardserver Apache Ausgewählt ist, und des PHP8.0 Default Profile

Webdienst erstellen

Jetzt wäre der Zeitpunkt den Webserver zu konfigurieren.
Wählt dazu in der Web Station Webdienst und geht oben auf Erstellen. Nehmt die Einstellungen wie folgt vor. Wählt als Dienst PHP8.0 oder je nachdem was ihr installiert habt, und wählt das zuvor erstellte PHP Profil aus.

Als nächstes legt weitere Einstellungen wie folgt fest. Nehmt den Apache Webserver und setzt das Timeout auf 600 Sekunden. Das stellt sicher, das längerer Installationen später nicht abbrechen.

Wählt als Dokument-Root den Nextcloud-Ordner /web/nextcloud.

Webportal erstellen

Geht dazu auf den Reiter Webportal und legt die Einstellungen wie folgt fest:

• Wählt den Dienst, den wir vorher als Webdienst konfiguriert haben, also wieder Nextcloud.
• Tragt den Hostnamen ein, unter dem Ihr Eure Nextcloud erreichen wollt. (Der Hostname muss existieren und bei DynuDNS eingetragen sein und auf Eure Öffentliche IP verweisen. Die Portweiterleitung muss auf Eure Synology zeigen.
• Wählt die Ports, für die der virtuelle Host gilt (im Normalfall 80/443).
• Aktiviert unbedingt “HSTS”, das sorgt dafür, dass alle http-Zugriffe auf eure Cloud auf https umgeleitet werden. Dafür ist aber ein gültiges SSL-Zertifikat notwendig, das für die verwendete Domain ausgestellt wurde. Ein gültiges SSL Zertifikat erstellen wir nach der Installation von Nextcloud

Datenbank für Nextcloud erstellen

Verwendet aus Sicherheitsgründen einen eigenen Benutzer für die Nextcloud-Datenbank. Dieser sollte nur Zugriff auf die Nextcloud-Datenbank haben und nicht auf andere Datenbanken oder gar volle Admin-Rechte.

Öffnet phpMyAdmin auf Eurer Diskstationcund meldet Euch als root mit Eurem Synology Passwort an.

Anschliessend befinden wir uns im Datenbankmenü von phpmyadmin. Wir müssen nun einen Benutzer und eine Datenbank für unsere Nextcloud erstellen. Bitte beachtet dass alle Schritte korrekt ausgeführt werden, ansonsten bekommen wir später Probleme bei der Installation von Nextcloud.

Anschliessen legen wir einen Benutzernamen fest, z.B nextcloudadmin, wählt als nächstes beim Hostname Lokal aus und dahinter muss localhost stehen. Legt bitte ein sicheres Passwort fest, am besten mit einem Passwortgenerator. Weiter unten gebt Ihr dem Benutzer die Globalen Rechte. Es müssen alle Haken gesetzt werden. Anschliessen scrollt weiter unten und klickt auf OK. Ist auf dem Screenshot hier nicht zu sehen.

Geht als nächstes auf den Reiter Datenbank, hier erstellen wir nun eine Datenbank für unsere Nextcloud Installation. Wählt einen entsprechenden Namen, z.B nextclouddatenbank, wählt utf8_general_ci und bestätigt anschliessend mit Anlegen.

Als nächstes müssen wir die Datenbank anpassen. Geht auf Benutzerkonten, wählt Datenbank und danach unsere erstellen nextclouddatenbank. Drückt auf OK

Hier geben wir dem Benuter nextcloudadmin auf unserem localhost nun alle Berechtigungen für unsere nextclouddatenbank. Wählt hier einfach Alle auswählen, und bestätigt mit OK

Die Arbeiten in phpmyadmin sind nun abgeschlossen. Der Benutzer ist angelegt, und die Datenbank für Nextcloud entsprechen konfiguriert. Als nächstes können wir mit der Installation weiterfahren.

Installationsassistenten der Nextcloud 27 ausführen

Nun geht es darum die Nextcloud 27 auf Eurer Synology mit DSM 7.2 zu installieren. Öffnet Nextcloud im Browser. Verwendet dabei die Adresse, die ihr für den virtuellen Host angegeben habt (z.b. testcloud.yourdevice.ch), habt ihr keinen virtuellen Host konfiguriert, oder den DNS Server noch nicht entsprechend eingerichtet, verwendet die IP Adresse der Diskstation, gefolgt vom Nextcloud-Verzeichnis (z.b. 192.168.x.x/nextcloud) Die Adresse die Ihr hier benutzt wird während der Installation als vertrauenswürdige Domain eingetragen. Wollt ihr Nextcloud von anderen Domains aus erlauben müssen wir diese später in der config.php der Nextcloud Instanz eintragen. Das ist der Fall wenn ihr z.B. die Cloud später über eine eigene Domain bzw. DynDNS erreichen wollt, aber bei der Installation den lokalen Namen oder die lokale IP der DiskStation benutzt.

Wir benutzten den Domain Namen den wir für unsere Synology erstellt haben. Dieser muss im DNS Server hinterlegt sein, ansonsten können wir die Nextcloud nur mit IP/nextcloud erreichen.

Gebt einen Benutzernamen und ein Passwort für den Nextcloud-Admin ein (der NC-Admin hat nichts mit dem Admin der DiskStation zu tun). Unter Speicher & Datenbank > Datenverzeichnis ist standardmäßig /volume1/web/nextcloud/data eingetragen, gebt den Pfad zum freigegebenen Ordner an, den ihr vorhin angelegt habt. Das wäre /volume1/nextclouddata

Im Abschnitt “Datenbank” tragt ihr den Datenbank-Benutzer sowie den Datenbank-Namen ein, die wir im vorherigen Abschnitt angelegt habt. Für die Datenbankdomain ist “localhost” voreingetragen. Falls Nextcloud beim bestätigen meckert dass die Datenbank nicht erreichbar ist, gebt localhost:3306 ein. Klickt danach auf Installieren.

Solltet Ihr plötzlich vor einem Bildschirm stehen der Euch sagt, Seite nicht auffindbar, dann schaut Euch oben den Browserlink an, es kann sein, dass Ihr falsch weiter geleitet werdet. In diesemfall setzt die IP Adresse der NAS oder Eure Domain vor den Link der Euch der Browser mit nicht erreichbar anzeigt. Danach sollte es weitergehen. Wählt im nächsten Schritt empfohlene Apps Installieren aus.

Danach sollte die Installation erfolgreich abgeschlossen sein. Fertig sind wir aber leider immer noch nicht 🙂

HTTPS Aktivieren / Cache Einstellen / Weitere Nextcloud Optimierungen

Nach Installation befindet Ihr Euch auf dem Dashboard Eurer Nextcloud. Rechts oben seht Ihr einen Buchstaben, Eures Namenskürzel, klickt darauf und geht anschliessend auf die Administratoreneinstellungen. Nextcloud wird Euch nun anzeigen was noch nicht funtkioniert. Darum kümmern wir uns jetzt. Die "/well-known Probleme verschwinden, sobald wir die Seite über https und dem korrekten Zertifikat anbrowsen.

HTTPS aktivieren / SSL Zertifikat abrufen

Damit wir die Nextcloud über eine gesicherte Verbindung über das Internet erreichen können müssen wir uns vorher uns noch ein SSL Zertifikat erstellen. Das können wir bequem über sie Diskstation erledigen. Die Vorraussetzung dafür ist, dass die Portweiterleitungen in Eurem Router korrekt eingerichtet worden sind.

Geht in die Einstellungen Euer Synology NAS, wählt das Menü Sicherheit und dann auf Zertifikat. Hier erstellen wir uns mit Hinzufügen ein neues SSL Zertifikat. Wählt den ersten Punkt und danach auf Weiter.

Wählt auf der nächsten Seite Zertifikat von LetsEncrypt abrufen aus und klickt auf weiter.

Danach wählt Ihr hier nun Euren Namen aus, den Ihr bei DynuDNS und im Webportal der Diskstation festgelegt haben. Klickt danach auf Fertig. Euer SSL Zertifikat wird nun erstellt. Solltet Ihr hier von der DS einen Fehler bekommen, habt Ihr entweder bei der Portweiterleitung einen Fehler gemacht, oder einem Tippfehler im Webportal beim Hostnamen. Überprüft Eure Einstellungen hier dann bitte nochmals genau.

Jetzt weisen wir dass Zertifikat noch unserem Webportal zu. Wählt das Zertifikat aus, und klickt auf Einstellungen. Weisst das Zertifikat Eurem WebPortal hinzu:

Bravo! Mit dem SSL Zertifikat sind wir nun auch bereits fertig! Ihr könnt nun die Seite über die Domain direkt anbrowsen und müsst nun nicht mehr die IP Adresse der Synology verwenden. Ausserdem ist die Verbindung nun direkt verschlüsselt.

Cache einstellen / Telefonregion und weitere Optimierungen

Nun kommt wieder etwas Kommandozeile zum Einsatz. Öffnet Eure Konsole und loggt Euch wieder auf der Syno via SSH ein. Erhaltet Rootrechte mit sudo -i

Wir bearbeiten nun die Konfigurationsdatei der Nextcloud. Das geht einfach mit diesem Befehl

vi /volume1/nextcloud/config/config.php

startet den Bearbeitungsmodus mit Alt+i

Wir fügen nun unsere Domain hinzu, konfigurieren einen einfachen Cache, fügen die Telefonregion hinzu. Mehr brauchen wir erstmal nicht. Tätigt die Einstellungen wie im Screenshot. Lasst alles andere wie es ist!
Testcloud Eintrag ist auf Eure Domain anzupassen

Hier die Einstellungen zum kopieren:

'memcache.local' => '\OC\Memcache\APCu',
'default_phone_region' => 'CH',
'default_locale' => 'de_CH',

Achtet auf die korrekten Einträge unter Array, wie beschrieben muss Eure Domain, und Eure IP Adresse der NAS eingetragen sein. Das unterscheidet sich, jenachdem wie Ihr die Installation von Nextcloud durchgeführt habt.

Beachtet das die Zeichenabstände und die Kommas alle da sind!

Beendet den Bearbeitungsmodus mit der ESC Taste, speichert ab indem Ihr :w eingebt und beendet anschliessend mit :q

Testet nun Eure Nextcloud, geht in die Admininstratoren-Einstellungen und ladet die Seite neu. Habt Ihr einen Serverfehler, habt Ihr was in der config.php falsch gemacht. Überprüft die Einstellungen!

Email Einstellungen

Ihr seht dass Eure Nextcloud noch meckert, dass keine Email Einstellungen hinterlegt sind. Darum kümmern wir uns jetzt. Geht in Euren Nextcloud Einstellungen auf die Grundeinstellungen, scrollt nach unten zum Email Server
Gebt hier nun einem Email-Server ein den Ihr verwendet. Das kann eine Hotmail, G-Mail (hoffentlich nicht) oder Eure bluewin/swisscom Adresse sein. Welche Server Einstellungen verwendet werden, hängt von Eurem Email-Provider ab. In der Regel findet Ihr die, wenn Ihr nach den Mail-Einstellungen Eures Providers sucht. Aktiviert SSL/TLS , gebt Eure Mail Adresse ein, danach Servername und Port und unten Haken bei Identifzierung erforderlich setzen und Zugangsdaten eingeben.

Sendet eine Testmail mit E-Mail senden. Sollte anschliessend erfolgreich dastehen, und Ihr die Email bekommen haben, funktioniert alles. Bei manchmen Providern muss SSL/TLS deaktiviert werden. Fall das auch nicht geht, versucht es mit 25 anstatt dem Port 587

Wenn das geklappt hat, sind wir nun auch endlich fertig! Ruft Eure Administratoreneinstellungen auf, und wenn Ihr alles richtig gemacht habt, dann werdet Ihr mit einem schönen grünen Haken belohnt!

Weitere Einstellungen

Damit Ihr aus dem LAN-Netzwerk via Domainname, und nicht der IP zugreifen könnt. Muss jedes Gerät, welches Nextcloud mit der Domain nutzen möchte, den DNS Server Eurer Synology verwenden. Habt Ihr den DNS Eintrag in den DHCP Einstellungen Eures Routers tätigen können, sind die manuellen Einstellungen jeder Geräte nicht notwendig. Lest dazu nochmals unseren Beitrag über die DNS Konfiguration auf einer Synology NAS.

Gebt dazu die IP Adresse der Synology auf dem jeweiligen Gerät ein, welches Nextcloud mit der Domain Nutzen soll.

Android --> WLAN Einstellungen

Linux --> WLAN Einstellungen --> IPv4 --> andere DNS-Server verwenden

Windows --> Adaptereinstellungen --> IPv4 --> Einstellungen --> DNS

Hier unten Use the Follwing DNS Server mit Eurem DNS Ersetzen, und als zweites zum Beispiel 1.1.1.1 verwenden. Bitte nehmt diese DNS Server nicht als Beispiel, ich hatte kein Windows zur Hand und hab ein Screenshot aus dem Internet geklaut. Mir würde es niemals einfallen 8.8.8.8 zu verwenden 🙂 Bitte tragt als erstes also schön die IP Adresse Eurer Synology ein.

Es gibt noch weitere Einstellungen und Optimierungen, z.B einen Redis Cache einzubauen, das wird aber in der Regel erst bei grösseren Instanzen benötigt, und verhindert das Datein überschrieben werden, wenn Änderungen daran geschehen. Somit wird verhindert dass 2 Personen, die an Freigegeben Dateien Arbeiten, irgendwas ausversehen überschreiben und die Änderungen verloren gehen, bzw die Datei unbrauchbar wird weil beim anderen Benutzer beim Speichern etwas abstürzt. Das sind aber Dinge, in denen wir uns mal in einem weiteren Beitrag kümmern können.

Mitlerweile seid Ihr bestimmt total am Ende, aber Ihr habt sicher einiges gelernt im Umgang mit Eurem Netzwerk, habt einige PHP Einstellungen kennen gelernt und habt nun stolz eine eigene Nextcloud 27 auf Eurer Synology NAS mit DSM 7.2 installieren können. Bitte beachtet, dass die Synology's nicht dafür gemacht worden sind, Nextcloud 100% fehlerfrei laufen zu lassen, deshalb kann es sein, das hin und wieder mal Fehler auftreten. Gröbere Probleme habe ich aber noch nicht entdeckt.

Ich hoffe der Beitrag hat Euch gefallen, habt Ihr fragen, stellt sie in die Kommentare!

The post Nextcloud auf Synology DSM 7.2 installieren appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Ausserdem kann es sinnvoll sein, einen eigenen DNS Server zu wenden, sollte man einen Router verwenden, der bestimmte Funktionen wie NAT Reflection / NAT Loopback nicht berrscht. Damit sind Dienste, die unter einer öffentlichen Domain erreichbar sind, ärgerlicherweise nicht im eigenen Netzwerk erreichbar. Das betrifft teilweise UPC und Sunrise Router. Solltet Ihr Probleme haben, Eure Dienste, die aus dem Internet erreichbar sind, nicht im eigenen LAN ansteuern zu können, müsst Ihr ebenfalls auf einen eigenen DNS Server zurückgreifen.

Als jemand, der sich schon lange mit Netzwerken beschäftigt, nutze ich seit langem einen DNS-Server bzw einen DNS-Resolver in meinem eigenen Netzwerk und könnte nicht mehr ohne ihn auskommen. Für Außenstehende mag das alles ziemlich kompliziert klingen, aber das ist es überhaupt nicht. Tatsächlich stellt das Synology NAS-System einen eigenen DNS-Server zur Verfügung, der zusätzlich auf dem System installiert werden kann. In diesem Artikel zeige ich Euch, wie Ihr diese Installation Schritt für Schritt durchführen könnt.

Ich selber benutzte den DNS Resolver meiner pfSense, das um einiges mächtiger ist, was den Funktionsumfang betrifft, aber für kleinere Heimanwender reicht der DNS Server der Synology bestens aus.

Was ist DNS?

Zunächst einmal sollten wir klären, was DNS eigentlich ist! DNS steht für "Domain Name Server". Jeder von uns interagiert tagtäglich mit DNS-Servern, oft ohne sich dessen bewusst zu sein! Glaubt Ihr das nicht? Überlegt Euch einmal, wie oft Ihr täglich die Suchmaschine oder irgendwelche Webseiten aufruft. Ohne DNS müssten wir anstelle von yourdevice.ch die IP-Adresse unseres Servers in unseren Browser eingeben. Es ist deutlich einfacher, yourdevice.ch zu tippen, nicht wahr? 🙂 Natürlich gibt es noch mehr Webseiten ausser unserer 🙂 Dieses einfache Beispiel zeigt die Bedeutung von DNS-Servern.

Im Internet gibt es unzählige DNS-Server, deren Hauptaufgabe darin besteht, uns die umfangreichen IP-Adressen in einfache Namen zu übersetzen. Die bekanntesten DNS-Server werden von Google selbst betrieben und sind unter den Adressen 8.8.8.8 und 8.8.4.4 erreichbar.

An dieser Stelle gehe ich bewusst nicht tiefer auf den technischen Aufbau von DNS ein, damit keine Verwirrung entsteht. Wollt Ihr Euch weiter über die Funktion eines DNS Servers informieren, könnt Ihr das z.B. hier tun!

Installation und Konfiguration

Die Einrichtung beginnt mit der Installation des Pakets "DNS Server" auf Eurer Synology NAS. Klicktdafür auf das Hauptmenü und öffnet das Paketzentrum. Gebt in der Suchleiste des Paketzentrums den Begriff "DNS" ein und startet die Suche mit der Enter-Taste. Daraufhin wird Euch das Paket DNS Server angezeigt, das Ihr durch Klicken auf den Installations-Button auf Eurem Gerät installieren könnt. Je nach Ihrer Konfiguration werdet Ihr gefragt, auf welchem Zielvolumen die Installation durchgeführt werden soll. Nach Abschluss der Installation ist der DNS Server im Hauptmenü der Diskstation sichtbar.

Auflösung & Einstellungen

Zuerst beschäftigen wir uns mit den allgemeinen Einstellungen des DNS-Servers, beginnend mit dem Punkt "Auflösung". Ein DNS-Server kann nur Anfragen für Domänen auflösen, für die er als Eigentümer festgelegt ist und Domains deren IP Adressen er kennt. Deshalb würden Eure internen DNS-Anfragen reibungslos funktionieren, jedoch nicht solche an Domains wie beispielsweise computerbase.de. Daher muss in den Auflösungseinstellungen der Auflösungsdienst und die Weiterleitungen (Forwarder) aktiviert werden. Unter Forwarder 1 & 2 tragen wir dann den von uns bevorzugten DNS-Server ein. In meinem Beispiel verwende ich die beiden Cloudflare DNS-Server 1.1.1.1 und 1.0.0.1

Das läuft dann ungefähr so: Ihr tippt, beispielsweise computerbase.de in Euren Browser, der Browser sendet die Frage an den hinterlegten DNS Server, in unserem Beispiel unseren eigenen DNS Server auf der Synology. Für computerbase.de ist keine IP Adresse hinterlegt, als forwarded er die Anfrage an den DNS Server von Cloudflare welche die Anfragen an die entsprechenden DNS Server weiterleitet die für diese Domain verantwortlich sind.

Die Weiterleitungsrichtlinie sollte auf "Nur weiterleiten" eingestellt werden. In einigen Situationen kann es ratsam sein, die Option "Quell-IP Dienst beschränken" zu aktivieren. Dadurch dürfen nur registrierte Adressen unseren DNS-Server verwenden. Wir belassen es aber so, wie es jetzt ist.

Als nächstes widmen wir uns den Parametern unter Einstellungen. In kleinen Netzwerken könnt Ihr bedenkenlos die vordefinierten Einstellungen übernehmen. Ebenso könnt Ihr euch überlegen ob die TTL mit 86400 Sekunden, was genau 24 Stunden entspricht, verändert. Dadurch aktualisiert Euer DNS Server erst nach einem Tag den lokalen Eintrag auf Eurem System.

Zone erstellen & konfigurieren

Zum Anlegen einer Zone wechselt Ihr auf Zonen im Menü. Eine Zone bezieht sich immer auf einen Teil des Namensraumes einer Domäne. Eine Domäne ist Beispielsweise yourdevice.ch. Wenn Eure Diskstation zuständig für eine Domäne ist muss diese beim erstellen Master Zone gewählt werden. Alternativ gibt es noch die Slave und Forwarder Zone.

Master Zone

Die Master Zone beschreibt die Primäre Zone und beinhaltet alle Informationen zum Domainnamen. Der Master ist immer als zentraler Knoten bzw. führendes System zu sehen.

Slave Zone

Bei einer Slave Zone handelt es sich um eine Kopie einer vorhanden Master Zone. Eine Slave Zone wird immer dann zum Einsatz verwendet, wenn Bereits ein DNS Server im Netzwerk vorhanden ist. Angenommen ihr betreibt ein Netzwerk über mehrere Standorte, dann macht es kein Sinn, wenn alle DNS Anfragen zuerst zwischen den Standorten versendet werden. Dadurch wird die Netzwerkverbindung unnötig belastet, sowie die Anfragen haben eine Verzögerung bei der Beantwortung. Fairerweise muss ich an dieser Stelle erwähnen, dass der Endanwender diese Verzögerung wahrscheinlich niemals bemerket.

Forward Zone

Geht auf Zonen und klickt auf Erstellen. Legt eine Foward Zone an und gebt Eure Domain ein. Habt Ihr eine Domain von DynDNS, könnt Ihr hier diese Eintragen. Es darf nur die Domain eingetragen werden, keine Subdomain oder sonstwas. Der Primäre DNS Server ist Eure Synology. Hier als die IP Adresse Eurer Synology Eintragen.

Mittels einer Forward Zone können alle Anfragen an eine bestimmte Adresse Weitergeleitet werden. Klickt anschliessend auf Speichern.

In meinem Beispiel lege ich die Master freeddns.org an, welche ich für den internen sowie externen Gebrauch verwende.

Hier muss unter Domainname der Name Eurer Domäne eingetragen werden, welche Ihr verwendet möchtet, in meinem Fall ist es freeddns.org. Da es sich hierbei ausschließlich um eine Interne Domäne handelt und diese nicht extern erreichbar ist, trage ich die IP-Adresse der NAS unter Master DNS Server ein. Die restlichen Einstellungen lassen wir beim Standard und bestätigen alle mit dem Button „Speichern“.

Ressourceneinträge erstellen

Nachdem alles gespeichert ist erscheint die Zone freeddns.org in der Synology DNS Server Übersicht. Mit einem doppelklick auf die Zonen werden alle bereits existierenden Ressourceneinträge angezeigt. Standardmäßig wird ein Nameservereintrag (NS) und ein Hosteintrag (A) automatisch mit der Erstellung angelegt.

Info

Beim Anlegen von Ressourceneinträgen müsst ihr immer darauf achten, welchen Typ ihr überhaupt benötigt. Aus diesem Grund habe ich die gängigsten Typen in der folgenden Tabelle aufgeschlüsselt. Auf die Typen MX, SPF, SRV, CAA & TXT habe ich bewusst verzichtet, da diese normalerweise im Heimnetzwerk nicht zum tragen kommen.

Ganz klassisch möchte ich meine Test Nextcloud Beispielsweise über den Namen deinecloud.freeddns.org erreichen. Dazu doppelklicke wie erwähnt auf die Zone freeddns.org. Klickt auf den Button „Erstellen“ und mit einem Klick darauf erscheint die Auswahl der Typen. In meinem Fall ist es ein klassischer Typ A Eintrag. Daraufhin erscheint ein weiteres PopUp Fenster worin der künftige Name, welchen ihr in der Browserzeile eingeben müsst, eingetragen werden muss. Ebenso die IP-Adresse des Geräts und den TTL belassen wir bei 86400 Sekunden.

Mit dem Klick auf „Speichern“ wird der Eintrag im Synology DNS Server erstellt. Da unsere Cloud Bespielsweise auf der Synology läuft, geben wir hier die Adresse der Synology ein. Läuft Eure Cloud auf einem anderen Dienst, wird die IP Adrese dieses Gerätes hier eingetragen.

Habt Ihr das erledigt, klickt auf Speichern. Ihr habt nun Eurem DNS erklärt, dass alle Geräte, Dienste, oder der Browser, der deinecloud.freeddns.org auflösen wollen, an die IP Adresse des entsprechendes Servers weitergeleitet werden sollen.

DNS Server eintragen & weitere Anpassungen

Nachdem Ihr alle Einstellungen im Synology DNS-Server vorgenommen habt, muss Euer Laptop, Computer, Tablet oder jedes andere Gerät, das Ihr verwendet, seine Anfragen nur noch an Eurer NAS senden. Dazu muss die NAS als DNS-Server in Euren Netzwerkeinstellungen eingetragen werden. Typischerweise wird der DNS-Server über den DHCP-Server verteilt. Für alle, die noch nie von diesem Begriff gehört haben: Der DHCP-Server verteilt Eure internen IP-Adressen an die Geräte, sodass ihr diese nicht manuell eingeben müsst.

Idealerweise tragt ihr nun die DNS-Adresse in den DHCP Servers Eures Router ein, damit dieser den DNS-Server an all eure Geräte weitergeben kann. Auf diese Weise müsst ihr die einzelnen Geräte nicht manuell konfigurieren. Dies funktioniert meines Wissens nur mit Swisscom-Routern. Dort gibt es beim DHCP-Server den Bereich DNS. Tragt hier die IP eurer Synology ein.

Wenn ihr einen Router von der UPC habt, müsst ihr alle DNS-Einträge auf den Geräten selbst festlegen. Hier ist eine grobe Vorgehensweise dafür:

Android --> WLAN Einstellungen

Linux --> WLAN Einstellungen --> IPv4 --> andere DNS-Server verwenden

Windows --> Adaptereinstellungen --> IPv4 --> Einstellungen --> DNS

Hier unter Use the following DNS server müsst Ihr die IP Eurer Synology eintragen, als zweites könnt Ihr einen Fallback DNS Server verwenden, z.B 1.1.1.1

Nun habt Ihr gelernt wie man mit einem DNS Server eine Domain direkt für eine IP Adresse vergeben kann. Habt Ihr weitere Dienste. z.B einen Webserver auf dem WordPress läuft, könnt Ihr neuen Euren Server direkt mit der Domain anbrowsen. Normalerweise macht man sowas aber mit einer eigenen Domain, und keiner DynDNS Domain, da die wenigsten aber eine eigene Domain, und eine Fixe öffentliche IP Adresse besitzen, behelfen wir uns damit.

Damit haben wir nun geklärt, wie man einen eigenen DNS Server auf einer Synology NAS zum laufen bringt. Demnächst kommt noch ein Artikel, wie wir das ganze auf einer klassischen Linux Installation erledigen, da nicht alle eine Synology besitzen.

Falls Ihr wissen wollt warum DNS Einstellungen wichtig sind, erfahrt Ihr hier.

Habt Ihr Fragen, stellt sie in die Kommentare!

The post DNS Server auf Synology DSM 7.2 appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen

Um ein Zugriff über eine immer wechselnde IP Adresse zu ermöglichen brauchen wir ein Domain, genauer gesagt eine Dienst der eure wechselnden IP Adressen automatisch an eure Domainadresse verlinkt. Das geht über DynDNS.

Bei DynuDNS können wir uns eine Domain erstellen, die wir nachher brauchen und von aussen auf den gewisse Internet Server oder Dienste zuzugreifen. Erstellt euch also einen Account hier und loggt euch anschliessend ein.
Im Control Panel wählt als nächstes den DDNS Service und erstellt euch eine Adresse. Als Host wählt ihr z.B euren Namen, und als Top Level Domain einen belieben Anbieter. Ich habe mir z.B die Adresse mario.hofmann.freeddns.org ausgewählt. Wählt dann anschliessend den Button „Add“ aus. Das kann auch z.B meinenextcloud.freeddns.org sein

Im Nächsten Feld befindet ihr euch nun in eurer Domainübersicht. Tätigt die Einstellung wie wie folgt, und setzt eure eigene IP Adresse in das Feld IPv4 Adresse. Eure aktuelle IP findet Ihr rechts oben, oder über den Service Wie ist meine IP

Als nächstes geht ihr rechts auf den Eintrag „DNS Records“ und checkt ob euch DynDNS bereits einen korrekten A-Rekord eintragt gesetzt hat. Aussehen sollte es so:

Falls kein Eintrag da ist, könnt ihr oben einen erstellen. „Node Name“ leer lassen, „Type“: ipv4, „TTL“ könnt ihr so lassen, IPv4 Adresse ist eure aktuelle IP Adresse, Group könnt leer lassen. Anschliessend mit Add DNS Record übernehmen.

DynDNS Client installieren

Damit das ganze funktioniert, muss ein Client auf dem Gerät installiert sein, auf welchem die Domain läuft. Der client überprüft, ob sich die IP Adresse geändert hat, und schickt es dann über eine API an DynuDNS. Das geht ziemlich einfach mit ddclient.

Instaliert euch ddclient auf dem Linux Server mit

apt install ddclient

sudo apt install libio-socket-ssl-perl

Bei neueren ddclient Versionen werdet ihr durch einen Assistenten geleitet. Wählt, hier einfach einen anderen Provider aus, und im nächsten Fenster das Protokol dyndns2.

Die Server Adresse wäre api.dynu.com, gebt Benutzername und Passwort an. Verwendet den web-basierten IP-Ermittlungsdienst. Anschliessend könnt ihr die registrierten Domains angeben.

Öffnet danach die Konfiguration mit

sudo nano /etc/ddclient.conf

und checkt die Konfiguration, sie sollte in etwa so aussehen:

# ddclient Konfiguration für DynuDNS
#
# /etc/ddclient.conf
daemon=120                                              # Alle 120 Sekunden checken
syslog=yes                                              # Logs an syslog
mail=root                                               # Alle Mails an root
mail-failure=root                                       # Mail an root bei Fehlern
pid=/var/run/ddclient.pid                               # PID als Datei.
ssl=yes                                                 # SSL verwenden
use=web, web=checkip.dynu.com/, web-skip='IP Address'   # aktuelle IP holen
server=api.dynu.com                                     # IP updaten.
protocol=dyndns2                        
login=Benutzername                                      # Dein Benutzername.
password=Deinpasswort                                   # Dein Passwort or MD5/SHA256 vom Passwort

#DynDNS Domains
MYDOMAIN.DYNU.COM                                       # Domain Liste
MYDOMAIN2.DYNO.COM

Ersetzt Benutzername und Deinpasswort mit euren DynuDNS Login Details, und fügt dann unten eure Domains hinzu. Es können auch mehrere Subdomains hinzugefügt werden. Benutzt jeweils dafür eine neue Zeile.

Startet den Dienst neu, falls ihr änderungen getätigt habt mit:

sudo systemctl restart ddclient

Abschluss

Voila, ihr habt nun eure eigene Domain, welche automatisch jedesmal auf eure neue IP Adresse zeigt, sobald diese sich ändert.

Benutzt diesen Beitrag immer dann, wenn wir Dienste aus dem Internet erreichbar machen wollt. Habt ihr Fragen? Dann stellt sie in die Kommentare!

Weitere Anleitungen zu ddclient und dynudns findet ihr hier:

https://www.dynu.com/DynamicDNS/IPUpdateClient/DDClient

The post DynDNS Eintrag erstellen bei dynamischer IP appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Internetwerbung spielt eine bedeutende Rolle bei der Finanzierung von Dienstleistungen, birgt jedoch auch erhebliche Herausforderungen. Nicht nur können Anzeigen gelegentlich dazu führen, dass Webseiten nur schwer nutzbar sind, sondern es gab auch wiederholt Vorfälle, bei denen schädlicher Code über Anzeigen verbreitet wurde und dadurch Computer infiziert wurden.

Um diesem Problem entgegenzuwirken, gibt es traditionell Werbeblocker wie uBlock Origin oder AdGuard. Allerdings erfordert die Einrichtung und Konfiguration dieser Blocker separate Schritte für jeden verwendeten Browser. Insbesondere auf Smartphones gestaltet sich die effiziente Blockierung von Werbung oft schwierig. Auf Android-Geräten muss beispielsweise häufig auf einen alternativen Browser ausgewichen werden, da Google Chrome (noch) keine entsprechenden Erweiterungen zulässt. Obwohl Apple auf iPhone und iPad Werbeblocker für den Safari-Browser erlaubt, werden Anzeigen in Apps oder alternativen Browsern nicht unterbunden.

Was ist der Pi-Hole

Pi-Hole ist eine supereinfache Lösung, um praktisch alle Arten von Werbung mit nur einer Installation zu blockieren. Es handelt sich dabei um ein Open-Source-Programm, das den Raspberry Pi in einen DNS-Server verwandelt. Der Clou besteht darin, dass sämtliche Inhalte automatisch gefiltert werden, wenn ein entsprechend konfiguriertes Gerät - sei es ein PC, Smartphone oder Tablet - über einen Raspberry Pi mit Pi-Hole surft. Dadurch kann Pi-Hole nicht nur Werbung blockieren, sondern auch den Zugriff auf infizierte Websites verhindern oder nicht-jugendfreie Inhalte sperren. Dies kann entweder individuell für jedes Gerät oder für das gesamte Netzwerk erfolgen.

Gibt es Nachteile bei der Nutzung eines Pi-Hole Werbeblockers

Obwohl die Nutzung von Pi-Hole viele Vorteile bietet, können auch einige praktische Nachteile auftreten. Es ist möglich, dass bestimmte Websites nicht mehr funktionieren, wenn sie über Pi-Hole aufgerufen werden. Zudem kann der Umweg über den Raspberry Pi zu einer geringfügigen Verzögerung beim Laden von Webseiten führen. Es können auch Probleme bei der Kommunikation mit Geräten im Netzwerk auftreten, je nachdem welchen Router man verwendet. Da die Lösungen für diese Probleme oft sehr spezifisch sind, empfehle ich den Besuch des deutschsprachigen Forums, das sich mit Pi-Hole-Problemen befasst. Das Forum Ihr unter folgender Adresse erreichen:
https://discourse.pi-hole.net/c/bugs-problems-issues/deutschsprachige-hilfe

Pi-Hole einrichten: Die Voraussetzungen

Pi-Hole verlangt im Grunde nichts anderes als einen beliebigen Raspberry Pi, auf dem bereits ein kompatibles Linux (etwa Raspbian oder Ubuntu) läuft.

Pi-Hole arbeitet recht effizient und braucht daher nicht allzu viel Rechenpower. Theoretisch reicht bereits ein Raspberry Pi 3, das System kommt dann  jedoch aber bereits schnell an seine Grenzen, und die Nutzung des Pi's ist danach ziemlich eingeschränkt. Dazu kann es dann umso mehr zu Verzögerungen beim Surfen kommen, werden auf dem Pi 3 parallel noch andere Sachen ausgeführt. Ich würde Euch deshalb vorschlagen auf einen aktuellen Raspberry Pi 4 mit 4GB RAM zu setzen.

Nicht unbedingt nötig, aber praktisch ist die Einrichtung des SSH-Zugriffs auf den Pi. So könnt Ihr Pi-Hole komfortabel von einem anderen PC im Netzwerk installieren. Stellt sicher dass auf Eurem Raspberry Pi der SSH Zugriff möglich ist.

Öffnet dafür über das Startmenü von Raspbian das Menü Einstellungen - Raspberry-Pi-Konfiguration. In diesem Menü wechselt Ihr auf den Reiter Schnittstellen und stellen den Punkt SSH auf Aktiviert um. Nach einem Klick auf Ok müsst Ihr den Raspberry Pi einmalig neu starten, um den SSH-Zugriff zu aktivieren.

Pi-Hole installieren

Es wird vorausgesetzt, dass Ihr bereits ein Betriebssystem auf Ihrem Raspberry Pi eingerichtet habt. Die Installation von Pi-Hole erfolgt über das Terminal des Linux-Betriebssystems auf dem Raspberry Pi. In unserem Beispiel führen wir eine Remote-Installation des Systems über eine SSH-Verbindung durch. Ihr könnt Pi-Hole jedoch auch direkt auf dem Raspberry Pi installieren. In beiden Fällen lautet der Terminal-Befehl für die Installation:

curl -sSL https://install.pi-hole.net | bash

Der Pi startet nun den Download und die Installation von Pi-Hole. Das kann unter anderem eine Weile dauern. Gebt dem Gerät seine liebe Zeit, hollt Euch einen Kaffee oder geht aufs Klo.

Nachdem der Download abgeschlossen ist, startet ein automatisierter Einrichtungsassistent. Zunächst wählt Ihr das Netzwerkinterface aus, über das der Raspberry Pi online gehen soll. Es wird empfohlen, den Mini-Computer direkt über Ethernet mit dem Router zu verbinden.

Danach wählt einen DNS-Anbieter aus, über den Pi-Hole Eure Webanfragen auflösen soll. Falls Ihr mit den vorgegebenen Optionen nicht zufrieden seid, könnt Ihr über die Option "Custom" einen eigenen DNS-Anbieter festlegen. Einfach etwas weiter nach unten scrollen, danach seht Ihr den Eintrag Custom.

Ähnlich wie bei Adblockern für Webbrowser beruht die Werbefilterung von Pi-Hole auf von Nutzern verwalteten Filterlisten. Pi-Hole wird mit einer Reihe von Standardlisten geliefert, die in der Regel eine gute Abdeckung bieten. Um eine effektive Werbeblockierung zu gewährleisten, empfiehlt es sich, die Filterung sowohl für das IPv4- als auch für das IPv6-Protokoll zu aktivieren und hierbei die Standardeinstellungen beizubehalten.

Um sicherzustellen, dass Pi-Hole als zuverlässiger DNS-Server fungiert, ist es wichtig, dass der Raspberry Pi über eine feste IP-Adresse verfügt. Dies kann entweder über Euren Router oder direkt in den Einstellungen von Pi-Hole festgelegt werden. Wählt einfach die Option "Yes" aus, um die aktuelle IP-Adresse zu übernehmen, über die Ihr später auf Pi-Hole zugreifen möchtet.

Als nächsten Schritt wird Pi-Hole Euch fragen, ob Ihr die Weboberfläche und den dazugehörigen Webserver installieren möchtet. Es wird dringend empfohlen, diese Option mit der Standardantwort zu bestätigen,  da Ihr sonst später alle Änderungen und Einstellungen des Pi-Holes über das Terminal erledigen müsst. Bestätigt die vorherigen Schritte jeweils mit den Standardantworten und wartet, bis Pi-Hole die Einrichtung abgeschlossen hat. Nach dem Neustart zeigt Pi-Hole eine Zusammenfassung der Daten an. Besonders wichtig ist der Punkt "Your Admin Webpage login password is…". Dieses Passwort benötigt Ihr, um Euch später in das Pi-Hole-Webinterface einzuloggen. Notiert Euch das Passwort!

Pi-Hole als DNS-Server einrichten

Nach der Installation läuft Pi-Hole automatisch auf dem Raspberry Pi. Um nun die Werbefilterung zu aktivieren, müsst Ihr den Pi-Hole-Pi als DNS-Server verwenden. Die meissten Router ermöglichen es einen eigenen DNS Server zu verwenden, bei Swisscom geht das auf alle Fälle, bei der normalen Gigabox der UPC geht das hingegen nicht. Informationen dazu, wie Ihr die DNS Einstellungen auf Eurem Router ändert, findet Ihr im Web oder in der Anleitung Eures Routers. Die Einstellung ist auch meisst ohne Anleitung einfach zu finden. Die Einstellung nennt sich meisst ganz einfach DNS, DNS Server oder DNS Namensauflösung. Tragt Sie dort die IPv4- und IPv6-Adresse des Raspberry Pi als DNS-Server ein. Nach dieser Konfiguration werden alle Geräte, die mit dem Router verbunden sind, werbefrei surfen können.

Falls der Router keinen DNS Server Änderungen zulässt, müssen die Geräte einzeln einestellt werden und den auf den Geräten den Pi manuell als DNS-Server festlegen. Der Weg dahin hängt vom jeweiligen Betriebssystem ab. Bei Windows 11 finden Ihr die Einstellungen beispielsweise mit einer Suche nach Netzwerkstatus und Auswahl von Adapteroptionen ändern im Windows-Startmenü. Hier Klickt Ihr mit der rechten Maustaste auf die genutzte Netzwerkverbindung, wählt Eigenschaften und ändert per Doppelklick die Einstellungen für Internetprotokoll, Version 4 und Version 6 auf die Pi-Adressen um. Auf einem iPhone findet die entsprechenden Optionen in den WLAN-Einstellungen. Tippt auf die entsprechende Verbindung, wählt DNS konfigurieren und gebt die entsprechenden IP-Adressen ein. Unter Linux geht das in den Netzwerkeinstellungen in der entsprechenden Verbindung mit der Einstellung anderer DNS Server

Pi-Hole: Konfiguration anpassen

Sobald der Datenverkehr über Pi-Hole geleitet wird, solltet Ihr keine Online-Werbung mehr sehen können. Dennoch kann es sinnvoll sein, die Konfiguration des Servers anzupassen. Gebt dazu entweder die IP-Adresse des Pi-Hole gefolgt von "/admin" in die URL-Leiste ein z.B. 192.168.1.84/admin oder ruft die Seite über http://pi-hole/admin auf. Achtung https funktioniert hier nicht. Meldet Euch mit dem zuvor notierten Passwort an. Über das Menü auf der linken Seite könnt Ihr verschiedene Funktionen ändern, wie beispielsweise den Pi-Hole-Blocker vorübergehend deaktivieren ("Disable"). Im Bereich "Settings" findet Ihr verschiedene Einstellungsoptionen sowie die IP-Adressen des Pi-Hole.

Möchtet Ihr die Filterung für bestimmte Seiten deaktivieren, um beispielsweise gute Online-Inhalte durch die Akzeptanz von Werbung zu unterstützen, könnt Ihr dies im Bereich Whitelist erledigen. Tragt hier einfach die Domain ein, also beispielsweise computerbase.de oder was auch immer ein, und klickt danach auf Add. Im Bereich "Blocklist" könnt Ihr auf Wunsch noch weitere Blocklisten konfigurieren, die Ihr in diversen Online-Foren finden könnt.

Mehr Information und Listen findet Ihr hier im Forum https://discourse.pi-hole.net/

Habt Ihr Fragen zum Pi-Hole und der Einrichtung? Schreibt sie in die Kommentare!

The post Pi-Hole auf dem Raspberry Pi 4 einrichten appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Wir schauen uns 3 Methoden an, mit der wir Dateien zwischen den beiden Rechnern austauschen können:

• Drag & Drop Methode
• Gemeinsamer Ordner mit den Guest Addition Tools
• FTP Methode mit einer NAS

Mit der Drag & Drop Methode könnte Ihr Dateien zwischen den Fenstern hin und her verschieben, eignet sich für kleinere Arbeiten und wenn nur ab und zu Dateien verschoben werden müssen. Die Methoden Gemeinsamer Ordner eignen sich gleichermassen wie die FTP Methode für viele Dokumente und häufiges verschieben von Datein und Ordnern.

Vorbereitungen und Anforderungen

Auf Eurem Linux Rechner muss eine virtuelle Maschine mit Windows bereits eingerichtet und lauffähig sein. Wie Ihr Ihr einen virtuellen Windows Rechner unter Linux erstellt, erfahrt Ihr z.B hier in dieser Anleitung.

Für die Drag & Drop Methode und den Gemeinsamen Ordner benötigt Ihr eine Erweiterung die in der virtuellen Maschine selber installiert werden muss. Diese Nennt sich VirtualBox Guest Additions und fügt weitere Funktionen in der Bedienung der virtuellen Maschine hinzu. Ladet Euch die Guest Additions hier herrunter.

Geht in Eure virtuelle Maschine und klickt oben im Fenster auf Gerät, danach auf optische Laufwerke und hier auf Abbild hinzufügen. Hier wählt Ihr die herruntergelade ISO aus. Nun habt Ihr das Abild in Eurer virtuellen Maschine als CD hinzugefügt.

Wählt die VboxWindowsAdditions aus und installiert die Anwendung auf Eurer virtuellen Maschine. Nun seid Ihr für die beiden Methoden Drag & Drop und Gemeinsamen Ordner gerüstet

.

Für die FTP Methode benötigt Ihr folgende Vorbereitungen: Damit Euer Windows Rechner in Eurem LAN gefunden werden kann, und sich z.B mit einem FTP Server auf einer NAS verbinden kann, muss die Netzwerkverbindung der virtuellen Window Machine im Modus Netzwerkbrücke ausgeführt werden. Geht dazu in den Einstellungen Eurer virtuellen Machine, auf Netzwerk, und wählt anstelle von NAT die Netzwerkbrücke aus. Für die Methoden Drag & Drop und Gemeinsamer Ordner via die Guest Additions muss bzw kann die Netzwerkverbindung auf NAT verbleiben.

Ihr benötigt für die FTP Methode ein Ordner auf Eurer NAS der als Austausch Eurer Dateien dienen soll, zudem muss FTP eingerichtet sein und problemlos funktionieren.

Drag & Drop Methode

Die Guesst Additions sind bereits installiert, das einzige was Ihr nun tun müsst, ist die Option Drag & Drop aktivieren. Das macht Ihr in den Einstellungen der virtuellen Maschine. Klickt oben in der Leiste der virtuellen Maschine auf Maschine, dann auf Ändern und danach ändert Ihr in den Einstellungen Allgemein/Erweitert die gemeinsame Zwischenablage und Drag & Drop auf bidrektional.

Das heisst Ihr könnten nun Dateien ganz einfach zwischen den beiden Fenstern hin und herschieben, also vom Bildschirm Eurer virtuellen Maschine auf den Desktop oder Explorer Eurers Linux Hosts und umgekehrt. Die Gemeinsame Zwischenablage ermöglicht, dass per rechtsklick kopierte Elemente auch auf dem anderen Gerät mit einem Rechtsklick abgelegt werden kann.

Gemeinsamer Ordner Methode

Mit dieser Methode könnt Ihr ein bestehenden Ordner auf Eurem Linux Rechner direkt als Netzlaufwerk in den Windows Explorer einbinden. Möglich machen dass auch die installierten Guest Additions von VirtualBox.
Wählt oder erstellt Euch einen Ordner der als Gemeinsamer Ordner auf beiden Geräten dienen soll. Ihr könnt natürlich auch ganz einfach den Dokumentenordner Eures Linux Rechners nehmen. Geht nun auf die Windows Maschine und klickt oben in der Leiste auf Geräte und dort auf Gemeinsame Ordner.

Im nächsten Fenster wählt Ihr Euch nun einen Ordner aus, der auf der virtuellen Maschine bereit gestellt wird. Klickt rechts auf das Symbol mit dem Grünen Plus Zeichen und dem Ordner. Wählt im ersten Feld den Pfad Eures Ordners auf dem Linux Rechner aus. Gebt im nächsten Feld dem Ordner einen Namen, dies wird der Name auf der virtuellen Maschine sein. Lasst das letzte Feld leer. Wählt zudem Automatisch Einbinden und Permanent erzeugen aus. Klickt danach auf OK. Nun habt Ihr einen Einbindepunkt zwischen den beiden Geräten erstellt.

Im Windows Explorer taucht der Ordner nun in der Netzwerkumgebung auf.

FTP Ordner z.B auf einer NAS

Habt Ihr eine NAS, könnt Ihr natürlich eine FTP Verbindung via FTP mit Eurer NAS erstellen. Das geht nativ über den Windows Explorer. Es benötigt keine weiteren Tools. Öffnet dazu den Windows Explorer und geht mit einem Rechtsklick auf den Reiter Netzwerk und klickt auf Netzlaufwerk hinzufügen.

Im neuen Fenster wählt Ihr die Option Verbindung mit einer Website herstellen... um eine Verbindung mit Eurer NAS herzustellen.

Klickt Euch durch den Assistenten. Fügt anschliessend Eure FTP Adresse ein. Diese Lautet bei einer NAS mit FTP Verbindung ftp://xxx.xxx.x.xxx/
Im nächsten Fenster deaktiviert Ihr die Anonyme Anmeldung und gebt den Benutzernamen Eurer NAS ein, bestätigt. In einem weiteren Schritt könnt Ihr der Verbindung einen Namen geben, z.B. NAS. Im nächsten Schritt öffnet sich ein weiteres Fenster, gebt Eurer Passwort ein für die NAS ein. Drückt auf Anmelden.

Anschliessend sollte die FTP Verbindung eingerichtet sein. Das Fenster zu Beginn könnt Ihr nun schliessen.

Fertig, nun habt Ihr ein FTP Laufwerk und könnt Eure Arbeiten direkt auf Eure NAS Laden und von Eurem Linux Rechner auch darauf zugreifen.

Nun Habt Ihr 3 Methoden kennen gelernt wie Ihr besser Eure Arbeit zwischen den Geräten organisieren könnt. Die Drag & Drop Methode und Methode Gemeinsamer Ordner eignet sich auch, falls Ihr dem Windows Client keine Internetverbindung geben möchtet, um z.B das versenden von Nutzungsdaten zu verhindern.

Falls Ihr Eure Daten nicht über eine unverschlüsselte FTP Verbindung im LAND Verbinden wollt, könnt Ihr Euch auch WinSCP auf dem Windows Client installieren, und nach der Anleitung hier nachzulesen, mit SFTP verbinden.

Ich hoffe Euch dem Artikel das Arbeiten zwischen Euren Geräten etwas vereinfacht zu haben. Habt Ihr Fragen, schreibt sie in die Kommentare!

The post Gemeinsamer Ordner auf virtuellem Windows PC appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

VLAN Grundlagen

Ein Virtual Local Area Network funktioniert, indem es Netzwerkgeräte, wie Switches und Router, so konfiguriert, dass sie Datenpakete an bestimmte Gruppen von Geräten weiterleiten. Jedes VLAN hat eine eindeutige Kennung, die als VLAN-ID bezeichnet wird. Datenpakete, die zwischen VLANs übertragen werden, erhalten einen sogenannten VLAN-Tag, der die Zugehörigkeit zum jeweiligen VLAN angibt. Somit können Switches und Router Pakete gezielt an die richtigen Empfänger weiterleiten.

Ein VLAN ist ein virtuelles Netzwerk, das ein physisches Netzwerk in mehrere logische Netzwerke unterteilt, während ein separates LAN (Local Area Network) aus zwei oder mehr unabhängigen physischen Netzwerken besteht. Beide Konzepte dienen dazu, Netzwerkressourcen zu organisieren und den Datenverkehr zu steuern. In einem VLAN kann ein physiches Netzwerk in tausende virtuelle Netzwerke aufgeteilt werden. Der Hauptunterschied zwischen VLANs und separaten LANs liegt in der Art der Netzwerktrennung. Während VLANs eine logische Trennung innerhalb eines gemeinsamen physischen Netzwerks ermöglichen, erfordern separate LANs physische Trennung und zusätzliche Hardware.

Anwendungsbeispiel Unternehmen

Nehmen wir an, in einem Unternehmen gibt es drei Abteilungen: Verwaltung, Marketing und IT. Die Firma möchte die Kommunikation zwischen den Abteilungen kontrollieren, um den Datenverkehr und die Sicherheit zu optimieren. Dazu werden für jede Abteilung separate VLANs eingerichtet. Geräte der Verwaltung werden dem VLAN 10, Geräte des Marketings dem VLAN 20 und Geräte der IT dem VLAN 30 zugeordnet. Nun kann der Netzwerkadministrator Regeln festlegen, die den Datenverkehr zwischen den VLANs steuern. Beispielsweise kann er erlauben, dass nur das IT-VLAN auf sensible Daten der Verwaltung zugreifen kann, während das Marketing-VLAN darauf beschränkt bleibt, nur auf bestimmte Ressourcen zuzugreifen.

Anwendungsbeispiel im Privatbereich: Smart Home

VLANs können auch im Privatbereich, beispielsweise in einem Smart Home, eingesetzt werden, um die Netzwerkstruktur und -sicherheit zu verbessern. In einem Smart Home sind zahlreiche vernetzte Geräte wie Smart TVs, Heizungssteuerungen, Überwachungskameras und Sprachassistenten miteinander verbunden. Hier kann ein Virtual Local Area Network dazu beitragen, die Kommunikation zwischen diesen Geräten zu organisieren und potenzielle Sicherheitsrisiken zu minimieren.

Um ein VLAN in einem Smart Home einzurichten, benötigt man zunächst einen Managed Switch und einen Router, der VLAN-fähig ist. Anschließend können die Geräte den entsprechenden VLANs zugeordnet werden. Zum Beispiel kann man folgende Aufteilung vornehmen:

• VLAN 10: Heimkino- und Unterhaltungssysteme (Smart TVs, Spielkonsolen, Streaming-Geräte)
• VLAN 20: Heimautomation (Beleuchtung, Heizungssteuerung, Türschlösser)
• VLAN 30: Sicherheitssysteme (Überwachungskameras, Alarmanlagen)
• VLAN 40: Computer und mobile Geräte (PCs, Laptops, Smartphones, Tablets)

Durch die Trennung der Geräte in verschiedene VLANs wird verhindert, dass ein potenziell unsicheres Gerät auf andere Geräte im Netzwerk zugreifen kann. Zum Beispiel könnten Sicherheitslücken in einem Smart TV dazu führen, dass ein Angreifer auf persönliche Daten auf einem PC zugreift, wenn diese Geräte im selben Netzwerksegment sind.

Der Netzwerkadministrator kann zudem Regeln für die Kommunikation zwischen den VLANs festlegen, um den Datenverkehr besser zu kontrollieren. Beispielsweise kann er den Zugriff von Heimkino- und Unterhaltungssystemen auf Heimautomation und Sicherheitssysteme einschränken, um eine unnötige Belastung des Netzwerks zu vermeiden und die Sicherheit zu erhöhen.

Insgesamt trägt die Verwendung von VLANs in einem Smart Home dazu bei, die Netzwerkstruktur besser zu organisieren und potenzielle Sicherheitsrisiken zu reduzieren. Dabei sollte jedoch beachtet werden, dass VLANs allein nicht ausreichen, um ein Netzwerk vollständig abzusichern. Es ist weiterhin wichtig, auf regelmäßige Updates der Gerätesoftware und die Einhaltung von Sicherheitsbestimmungen zu achten.

Hardwareanforderungen

Um VLANs einzurichten, ist spezielle Hardware erforderlich. Zunächst müssen die Switches im Netzwerk VLAN-fähig sein, d.h. sie müssen in der Lage sein, VLAN-Tags zu erkennen und Pakete entsprechend weiterzuleiten. Solche Switches werden als "Managed Switches" bezeichnet. Darüber hinaus ist für die Kommunikation zwischen den VLANs ein Layer-3-Switch oder Router erforderlich, der in der Lage ist, Routing-Entscheidungen auf Basis der VLAN-IDs zu treffen.

Sicherheit von VLANs

VLANs bieten eine erhöhte Sicherheit, indem sie den Datenverkehr zwischen Netzwerksegmenten isolieren. Da jedes VLAN unabhängig voneinander arbeitet, ist es schwieriger für Angreifer, sich Zugang zu anderen Netzwerksegmenten zu verschaffen. Allerdings sind VLANs allein kein Allheilmittel für die Netzwerksicherheit. Administratoren müssen weiterhin auf die Implementierung von Sicherheitsbestimmungen, wie Firewalls, Intrusion Detection Systems (IDS) und regelmäßige Sicherheitsüberprüfungen achten, um ein sicheres Netzwerk zu gewährleisten.

Fazit

Virtual Local Area Networks sind ein leistungsfähiges Werkzeug zur Verbesserung der Netzwerkstruktur, Flexibilität und Sicherheit. Durch die Trennung von Netzwerksegmenten können Anwender den Datenverkehr besser kontrollieren und den Zugriff auf sensible Informationen einschränken. Bei der Implementierung von VLANs müssen jedoch die erforderlichen Hardwarekomponenten und Sicherheitsmaßnahmen berücksichtigt werden. Insgesamt bieten VLANs eine effektive Lösung für die Organisation und Optimierung von Netzwerken in verschiedenen Anwendungen, Branchen und Umgebungen.

Es ist wichtig, stets auf dem Laufenden zu bleiben und sich über neue Entwicklungen und Best Practices in Bezug auf VLANs und Netzwerksicherheit zu informieren. Durch kontinuierliche Weiterbildung und Anpassung an die sich entwickelnden Bedrohungslandschaften können Netzwerkadministratoren dafür sorgen, dass ihre Netzwerkinfrastrukturen sicher und effizient bleiben.

Wollte Ihr mehr zum Thema Netzwerk und Protokolle wissen? Besucht diesen Beitrag hier.

Ich hoffe Euch das Thema VLAN mit diesem Beitrag etwas näher gebracht zu haben. Falls Ihr Fragen habt, schreibt sie in die Kommentare!

The post Was ist ein VLAN - Anwendung und Beispiele appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Funktionen von Rethink Firewall

• Open-Source: Rethink Firewall ist ein Open-Source-Projekt, das den Benutzern Transparenz und Vertrauen bietet, da der Quellcode einsehen und überprüft werden kann.
• Kein Root-Zugriff erforderlich: Die App benötigt keinen Root-Zugriff auf dem Gerät und ist somit für eine größere Anzahl von Benutzern leicht zugänglich.
• Individuelle App-Steuerung: Rethink Firewall ermöglicht es den Benutzern, den Internetzugriff für jede einzelne App auf ihrem Gerät zu steuern und einzuschränken.
• Filterregeln: Die App bietet erweiterte Filterregeln, mit denen Benutzer den Netzwerkverkehr basierend auf IP-Adressen, Ports oder Domain-Namen steuern können.

Einrichtung von Rethink Firewall

Download und Installation: Rethink Firewall kann aus dem offiziellen GitHub-Repository oder dem F-Droid Store heruntergeladen und auf Eurem Android-Gerät installiert werden. Nach der Installation müsst Ihr der App die erforderlichen Berechtigungen erteilen, damit sie den Netzwerkverkehr überwachen und steuern kann. Zuerst richten wir die App so ein, das der Systemeigene DNS Dienst verwendet wird, um Anfragen ins Internet aufzulösen. Wir besprechen die Funktion und Einrichtung bald in einem eigenen Beitrag, da dies hier den Rahmen sprengen würde. Klickt dafür zuerst unten auf Configure und danach auf DNS. Stellt sicher dass der System DNS ausgewählt ist.

Klickt danach wieder auf unten auf die Startseite und aktiviert mit Start die Firewall. Gebt nun der App die Berechtigungen eine VPN Einrichtung durchzuführen damit die Einstellungen eingerichtet werden können.

Bedienung von ReThink Firewall

Wählt auf dem Hauptbildschirm die Einstellungen für die Apps oben links zu finden. Hier zeigt Euch Rethink Firewall eine Liste der auf Ihrem Gerät installierten Apps an. Jede App hat zwei Buttons, einen für mobile Daten und einen für WLAN. Um den Zugriff auf mobile Daten und WLAN steuern klickt Ihr auf das jeweilige Symbol für die entsprechende Netzwerkverbindung. Deaktiviert Ihr WLAN z.B hat die App via WLAN keine Verbindung zum Internet in allen WLAN Netzwerken, vorteilhaft um zum Beispiel E-Banking Apps in öffentlichen LAN Netzwerken zu schützen.

Erweiterte Filterregeln erstellen

Die Erweiterten Filterregeln sind etwas für PowerUser, Ihr könnt damit bestimmte IP Adressen und auch ganze Domänen blockieren, oder auch bestimmte Ports schliessen oder öffnen. Um erweiterte Filterregeln zu erstellen, geht auf Configure, danach auf Firewall und klickt unten auf Eintrag Rules. Nun habt Ihr die Auswahl zwischen Domain oder IP Blocking. Wollt Ihr z.B Netflix auf Eurem Handy blockieren oder was auch immer, gebt Ihr die Domäne an (z.B netflix.ch) und wählt Blockieren aus.

Protokolle einsehen

RetThink Firewall bietet auch die Möglichkeit, den Netzwerkverkehr der Apps in Echtzeit zu überwachen. Tippt dafür auf den Reiter Statistiken, Hier seht Ihr, welche Apps sich mit welchen IP Adressen verbinden, wie oft sie das tun, und welche Apps auch häufig Anfragen senden welche von Euch blockiert werden. Damit kann auch die ein oder andere Spy App enlarvt werden, die eigentlich keine Anfragen an das Internet tun sollte, z.B Taschenlampen Apps..

DNS-Funktion und Einstellung von Rethink Firewall

Die Domain Name System (DNS)-Funktion ist ein weitere nützliche Funktion von Rethink Firewall, das Benutzern hilft, ihre Privatsphäre und Sicherheit zu erhöhen. DNS ist ein System, das Domain-Namen in IP-Adressen übersetzt, damit Geräte und Server im Internet miteinander kommunizieren können. Durch die Anpassung der DNS-Einstellungen in Rethink Firewall könnt Ihr Eure Privatsspähre besser schützen. DNS Verbindung können auch verschlüsselt über DNS over HTTPS oder DNSCrypt versendet werden um Man-in-the-middle Attacken zu verhindern. Den Einstellungen und Funktionen widmen wir uns aber bald in einem seperaten Beitrag da dies hier den Rahmen sprengen würden.

Fazit

Insgesamt bietet ReThink Firewall eine zuverlässige und leistungsstarke Lösung, um den Netzwerkverkehr auf Android-Geräten zu überwachen und zu kontrollieren. Mit einer benutzerfreundlichen Oberfläche und umfangreichen Funktionen ist die App ideal für diejenigen, die ihre Online-Sicherheit und Privatsphäre schützen möchten, ohne auf komplizierte technische Kenntnisse angewiesen zu sein.

Habt Ihr Fragen oder Anregungen zum Thema, schreibt sie in die Kommentare!

The post Android Open Source Firewall ReThink appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Einleitung

In diesem Leitfaden konzentrieren wir uns auf die Einrichtung von SSH-Schlüsseln zum sicheren Login auf unseren Servern. SSH-Schlüssel bieten eine einfache, und sehr sichere Möglichkeit des Logins an eurem Server. Einige Erfahrungen habt ihr damit eventuel hier in diesem Artikel bereits gemacht. Ich empfehle diese Methode vor allem für Server die sicherheitskritische Daten beinhalten.

Es gibt verschiedene Methoden, um sich bei einem SSH-Server zu authentifizieren. Die grundlegendste davon ist die Passwort-Authentifizierung. Sie ist einfach anzuwenden, meisst aber nicht die sicherste. Das liegt daran dass die Verarbeitungsleistung von Attacken mit Skripten das brute-forcen von Passwörter heute sehr hoch ist. Hartnäckige Angreifer können bei viel Geduld ein nicht sicher gewähltes Passwort auch schonmal in kurzer Zeit knacken.

SSH-Schlüsselpaare sind zwei kryptografisch sichere Schlüssel, die zur Authentifizierung eines Clients gegenüber einem SSH-Server verwendet werden können. Jedes Schlüsselpaar besteht aus einem öffentlichen Schlüssel und einem privaten Schlüssel. Der öffentliche Schlüssel wird aus dem privaten Schlüssel errechnet, diesen kann man auf einem Server ablegen, der Server überprüft dann, ob der Client in der Lage ist, sich mit dem dazugehörigen privaten Schlüssel zu authentifizieren.

Es gibt noch andere Methoden um zusätzliche Sicherheit (fail2ban usw.) hinzuzufügen, vor allem wenn man nur einfache Passwörter verwendet, abeheute konzentrieren wir uns auf das Login mit einem SSH-Schlüsselpaar.

Einrichtung / Vorbereitungen

Die meissten Linux Distributionen kommen bereits mit  openSSH vorinstalliert und benötigen meisst keine weitere Einrichtung bzw Erzeugung eines Schlüsselpaars, da einer bereits vom System erstellt worden ist. Habt ihr euch bereits schonmal via SSH irgendwo eingeloggt, habt ihr bereits ein Schlüsselpaar welcher sich in einem geheimen Verzeichnis befindet.

Überprüft zuerst einmal ob ihr bereits über einen Schlüssel verfügt. Das geht ganz einfach indem ihr ohne sudo folgendes in die Konsole eingebt:

cat ~/.ssh/id_rsa.pub

Habt ihr eine Ausgabe mit vielen verrückten Buchstaben, habt ihr bereits ein SSH-Schlüsselpaar! Habt ihr keine Ausgabe, erstellen wir uns ein neues Schlüsselpaar. Das geht mit:

ssh-keygen -t 2048

Das Tool fragt euch nun, ob ihr euren Privaten Schlüssel mit einer Passphrase schützen möchtet. Das könnt ihr tun und eine zusätzliche Sicherheitsebene hinzufügen. Bei einem zukünftigen Login über ein Keypaar wird dann zusätzlich zur Keyabfrage gleich noch das Passwort für den privaten Schlüssel abgefragt. In dem meissten Fällen und im privaten Gebrauch, ist eine Passphrase nicht nötig. Entscheidet Euch für eine Variante und bestätigt eure Entscheidung. Falls kein Passwort erwünscht, lasst die Anfrage leer und bestätigt mit Enter. Anschliessend wird das Schlüsselpaar im Ordner /home/BENUTZERNAME/.ssh/ erstellt.

Kopieren des Schlüssel auf euren Server

Jetzt müssen wir unseren öffentlich Schlüssel noch auf unseren Server hochladen. Dafür gibt es zwei einfache Methoden. Eine automatische, und eine manuelle Methode.

SSH-Copy-ID Methode

Fangen wir mit der automatischen Methode an. Diese nennt sich SSH-Copy-ID und ist ein Standardwerkzeug, um öffentliche Schlüssel auf wure Server zu übertragen. Diese setzt vorraus, dass eine Passwortanmeldung auf wurem gewünschten Server möglich ist und funktioniert.

Um das Utility zu verwenden, müssen wir also den Benutzernamen, das Passwort und die IP Adresse haben Die Syntax lautet: ssh-copy-id benutzername@IPAdresse, beispielsweise also

ssh-copy-id mario@xxx.xxx.xx.xxx

Habt ihr euch bereits mit dem Server verbunden, kommt keine Anfrage ob wir dem Host vertrauen wollen, falls Ihr euch doch das erste mal auf dem Server einloggt, bestätigt mit yes

Das Tool durchsucht nun kurz die ID eures Rechners, und fragt dann natürlich nach dem Passwort des Servers, gebt es unsichtbar ein und bestätigt.

Anschliessen bekommt ihr eine Meldung, falls der Schlüssel erfolgreich hinzugefügt worden ist:

Manuelle Methode

Falls auf dem Server SSH-Copy-ID gesperrt ist, oder nicht richtig funktioniert können wir das ganze manuel mit einem einzigen Befehl machen. der Syntax dazu lautet:

cat ~/.ssh/id_rsa.pub | ssh BENUTZER@IPAdresse mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys

Dabei ist nur BENUTZER und IPAdresse mit euren Daten des Hosts zu ersetzen.

Anschliessend kommt wieder die Passwortabfrage des Servers. Gebt euer Passwort ein und bestätigt die Eingabe.
Anschliessend kommt keine Meldung wie bei SSH-Copy-ID! Eine Ausgabe ohne Fehler ist eine erfolgreiche Eingabe.

Falls ihr euren Public-Key nun erfolgreich auf eurem Server abgelegt habt, könnt ihr euch anschliessend nur mit "ssh benutzer@IPAdress" auf eurem Server anmelden. Der Server registriert, dass ihr den privaten Schlüssel des hinterlegten Keys habt, und authentifziert euch als sicheren Benutzer.

Passwort-Login auf dem Server deaktivieren

Nun könnt ihr euch zwar via public-key Authentication mit eurer ID sicher anmelden, die Passworteingabe auf eurem Server ist aber immer noch für andere Clients möglich, und die Türen für Angriffe sind weiterhin offen. Damit das nicht mehr möglich ist, deaktivieren wir die Passwort gestützte Anmeldung auf dem Server.

Dazu öffnen wir auf dem Remote-Host bzw auf dem Server die SSH Konfigurationsdatei. Das geht mit:

sudo nano /etc/ssh/sshd_config

Sucht nach dem Eintrag #PasswortAuthentication yes

kommentiert den Eintrag aus und ändert yes zu no

Speichert die Datei mit strg+o ab und beendet mit strg+x

Damit die Einstellungen geladen werden, müssen wir den SSHd-Service kurz neu starten, das geht mit:

sudo systemctl restart sshd

Anschliessend ist die Passwortgestützte Eingabe deaktiviert. Nur noch Rechner mit einem Schlüsselpaar können sich beim Server anmelden. Bitte stellt unbedingt sicher dass euer Login via SSH-Key funktioniert. Ansonsten wirds nun schwierig mit der Anmeldung 🙂

Zusätzliches

Damit haben wir nun eine weitere Sicherheitsebene beim Thema Login hinzugefügt. Das ganze geht natürlich auch mit einer Passphrase für den SSH-Key beim erstellen des Keys. Die Vorteile einer Passphrase sind folgende:

• Der private SSH-Schlüssel (der Teil, der mit einer Passphrase geschützt werden kann) wird niemals im Netzwerk offengelegt. Die Passphrase wird nur zur Entschlüsselung des Schlüssels auf dem lokalen Rechner verwendet. Das bedeutet, dass netzwerkbasiertes Brute-Forcing gegen die Passphrase nicht möglich ist.
• Der private Schlüssel wird innerhalb eines eingeschränkten Verzeichnisses aufbewahrt. Der SSH-Client erkennt keine privaten Schlüssel, die nicht in diesem Verzeichnis aufbewahrt werden. Der Schlüssel selbst muss bzw hat ebenfalls eingeschränkte Berechtigungen haben (Lese- und Schreibrechte nur für den Eigentümer) die überprüft werden. Das bedeutet, dass andere Benutzer auf dem System nicht herumschnüffeln können.
• Jeder Angreifer, der hofft, die Passphrase des privaten SSH-Schlüssels zu knacken, muss bereits Voll-Zugriff auf das System haben. Sollte der Hacker sich bereits in dieser Position befinden, kann die Passphrase den Angreifer daran hindern, sich sofort auf eurem anderen Servern anzumelden. Dies gibt euch hoffentlich Zeit zur Erstellung und Implementierung eines neuen SSH-Schlüsselpaares und zum Entfernen des Zugriffs des kompromittierten Schlüssels.

Abschluss

Ihr dürft auf keinen Fall den Schlüssel mit einem anderen, bzw einem neuen Key-Pair ersetzen, ansonsten funktioniert die Anmeldung auf euren Servern nicht mehr! Auch müsst ihr die Schlüssel sichern, falls ihr vorhabt euer System neu zu installieren, den bei einem neu installiertem System, habt ihr auch wieder neue Keys! Es ist Ratsam auf einem verschlüsseltem USB Stick ein Kopie der Schlüssel aufzubewahren, falls das System aus irgenwelchen Gründen beschädigt, bzw. unbrauchbar wird! Ohne euren Privatekey kommt ihr ansonsten nicht mehr auf eure Server!

Nun sind wir auch schon am Schluss des heutigen Artikels und haben einige Grundlagen bzgl. SSH kennen gelernt. Wer mehr zum Thema SSH erfahren möchte, der kann sich hier schlau machen.

Ich hoffe der Artikel "sicher per SSH einloggen" hat euch heute gefallen. Falls Ihr Fragen habt, schreibt sie in die Kommentare!

The post Sicher per SSH einloggen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen und Vorraussetzungen

• Ihr benötigt dafür ein auf Ubuntu / Debian basierendes Betriebssystem.
• Desweiteren benötigt Ihr Telegram auf dem Smartphone oder auf dem Desktop.
• und natürlich etwas Konsolenkenntnisse 🙂

Öffnet Telegram vorzugsweise für die Einrichtung auf dem Desktop. Ladet Euch bei Telegram die aktuellste Version herrunter, entpackt sie, und öffnet den Messenger. Da es sich um ein Appimage handelt, muss der Messenger nicht installiert werden.

Sucht nach Botfather im Suchfeld und startet einen Chat mit Botfather. Botfather ist das Telegram tool zum eröffnen neuer Bots. Schreibt dem Botfather eine Nachricht mit dem Inhalt:

/newbot

Danach fragt Euch Botfather nach einen Bezeichnung und einem Username für den neuen Bot. Gebt deshalb einmal eine Bezeichnung und einen Username nach Wahl mit der Endung _bot z.B:

updater
homeservermario_bot

Anschliessend bekommt Ihr einige Infos zu Eurem eigenen Bot:

Der Bot wurde also erfolgreich erstellt. Wir benötigen als nächstes noch die ID unseres neuen Bots, das machen wir indem wir unserem eigenen Bot eine Nachricht schicke, Öffnet einen Chat mit Eurem Bot (erste Markierung im Screenshot) und schickt Ihm eine erste Nachricht mit dem Inhalt /start und danach irgendeine Nachricht. Inhalt ist egal. Anschliessend öffnet Ihr Euren Webbrowser und gebt folgenden Link ein:

https://api.telegram.org/botDEIN-TOKEN/getUpdates

Ersetzt DEIN-TOKEN mit dem Key aus der Botnachricht von Botfather (zweite Markierung). Bot muss natürlich stehen bleiben!

Euer Browser zeigt Euch dann folgenden Inhalt an:

Notiert euch den Wert ID unter chat!

Server / Rechner konfigurieren

Loggt Euch auf Eurem Rechner oder Server, auf dem Ihr Nachrichten erhalten wollt ein.

Erstellt einen neuen Ordner mit:

sudo mkdir /opt/scripts

Erstellt eine neue Datei darin mit:

sudo nano /opt/scripts/telegram_updater.sh

Fügt danach folgenden Inhalt in die Datei ein:

#!/bin/sh 
URL="https://api.telegram.org/botDEIN-TOKEN/sendMessage" 

UPDATE=$(apt update | tail -n 1) 
HOSTNAME=$(hostname -f) 
TEXT="Updates für ($HOSTNAME): $UPDATE" 
curl -s -m 10 -d "chat_id=CHAT_ID&disable_web_page_preview=1&text=$TEXT" $URL > /dev/null

Ersetzt DEIN-TOKEN mit Eurem eigenen Token und das grosse geschriebene CHAT-ID weiter unten mit der Chat ID welche Ihr Euch aufgeschrieben habt! Speichert die Datei mit strg+o und beendet mit strg+x

Macht die Datei ausführbar mit:

sudo chmod +x /opt/scripts/telegram_updater.sh

Testet den Script mit:

sudo bash /opt/scripts/telegram_updater.sh

Ihr solltet nun bei erfolgreicher Einrichtung eine Nachricht von Eurem Bot erhalten haben.

Als nächstes stellen wir nun einen Interval zum ausführen des Skripts, das geht mit:

sudo crontab -e

Anschliessend fügt Ihr folgendes ganz unten mit hinzu:

0 0 * * * /opt/scripts/telegram_updater.sh

Nun erhaltet Ihr jeden Tag um Mitternacht eine Nachricht ob neue Updates verfügbar sind.

Ihr könnt die Zahlen auch abändern und selber festlegen wann Ihr benachrichtigt werdet. Dazu müsst Ihr die ersten beiden Zahlen abändern. Dazu muss man nur wissen dass die erste Zahl die Minuten sind, die zweite Zahl die Stunden und die dritte Zahl die Tage im Monat sind. Beispiel:

Benachrichtigung jeden Tag um 18:00

0 18 * * * /opt/scripts/telegram_updater.sh

Benachrichtigung jeden Tag um 21:30

30 21 * * * /opt/scripts/telegram_updater.sh

Benachrichtigung jeden Tag um 14:45

45 14 * * * /opt/scripts/telegram_updater.sh

Benachrichtigung alle 3 Tage um 20:00

0 20 */3 * * /opt/scripts/telegram_updater.sh

Speichert mit strg+o und beendet mit strg+x

Nun sollte ein Intervall mit der von Euch festgelegten Zeit durchlaufen. Falls Ihr keine Lust mehr auf die Nachrichten habt, entfernt Ihr den skript mit:

sudo rm /opt/scripts/telegram_updater.sh

Ihr könnt mit dem Token und der ID Skripts auf jedem Eurer Server oder Rechner erstellen. Ihr müsst einfach den Skript wie beschrieben auf den anderen Rechner hinzufügen. Auf Telegram seht Ihr dann, für welchen Rechner (Hostname) die Nachricht gilt. Ich hoffe Ihr habt Spass mit Eurem Telegram Linux Update Bot!

Falls Ihr Fragen habt, schreibt sie in die Kommentare!

The post Telegram Linux Update Bot appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Einen Eigenbau finde Ich persönlich spannender, man kann sich zwar für ca 300€ eine fertige pfsense Box kaufen, darin läuft aber meisst völlig veraltete Hardware, und es besteht keine Möglichkeit zum Aufrüsten, falls später doch mal mit pfBlocker oder IDS/IPS experimentiert werden möchte. Für 300 bis 350CHF bekommt man im Augenbau deutlich stärkere Hardware, und falls einem die Leistung zu einem späteren Zeitpunkt nicht mehr reicht, kann ohne Aufwand der Hauptrozessor oder der Arbeitsspeicher aufgerüstet werden.

Die Hardware für Eure pfSense & opnSense Firewall

CPU

Als Prozessor langt in den meissten Fällen eine aktuelle 2-Kern CPU. Als Sockel kann ruhig auf die vorherige CPU Sockel Generation LGA1200 zurückgegriffen werden, der ist viel günstiger als der Sockel LGA1700 und bietet ausreichend Aufrüstmöglichkeiten, falls man später eine schnellere CPU möche. Meine Empfehlung wäre hier für eine Dual-Core CPU der Intel Pentium G6500 oder die 4-Kern CPU Intel Core i3-10105. Mehr ist absolut nicht notwendig. Selbst meine G6500 langweilt sich in meiner aktuellen pfsense die meisste Zeit nur herrum.

• Pentium G6500
• Core i3 10105

RAM

Beim RAM hängt das ganze auch etwas vom Anwendungszweck ab. Betreibt man kein pfBlocker und kein IDS/IPS, reichen sogar schon 2GB Arbeitspeicher aus. Ich würde aber 4GB empfehlen da Arbeitspeicher nichts mehr kostet.
Ich fülle selbst mit pfBlocker und mehreren Blockinglisten keine 4GB aus. Wer zusätzlich später mal noch IDS/IPS ausprobieren möchte, dem empfehle Ich gleich 8GB RAM. Unten zwei Empfehlungen für 4GB und 8GB Arbeitsspeicher.

• G-Skill Aegis 4GB DDR 2400
• 2x 4GB G-Skill Aegis DDR 2400

Mainboard

Beim RAM kann man das günstigste nehmen was man so findet. Auch die günstigsten Boards bieten für eine Firewall genug Anschlüsse und Funktionen. Ich empfehle hier das günstige aber gute Asrock H510M im mATX Format. Wir bauen dass ganze auch anschliessend auch in ein mATX Gehäuse ein, um das ganze auch etwas kompakter zu gestalten.

• Asrock H510M-HVS

Festplatte

Da SSDs mitlerweile extrem günstig sind, verbauen wir eine SSD und keine HDD, das tut den Ohren gut, und spart auch noch Strom. Eine Firewall benötigt in erster Linie keinen Festplattenspeicher, sondern einfach nur Arbeitspeicher bei zusätzlichen Funktionen. Eine 64GB SSD würde vollkommen ausreichen, falls Ihr noch ein älteres Model rumliegen habt, könnt Ihr auch diese nehmen. Wir greifen auf die Intenso 128GB SSD zurück. Die kostet kaum etwas und ist ausreichend schnell.

• Intenso 128GB SSD

Netzteil

Beim Netzteil würden theoretisch 200Watt für das ganze System ausreichen. Damit wir etwas Reserve haben nehmen wir uns ein etwas stärker dimensioniertes Netzteil. LC-Power bietet hier einige günstige aber zuverlässige Netzteil in der Office Reihe an. Das Netzteil wird kaum beansprucht, deshalb muss hier auch kein nonplus Ultra Netzteil verbaut werden. Wer trotzdem mehr für ein effizientieres Netzteil bezahlen will, den habe ich ein Netzteil von beQuiet herrausgesucht.

• LC-Power Office 350W
• beQuiet Power 9 400W

Gehäuse

Beim Gehäuse ist die Auswahl riesig, und es kommt etwas auf den Geschmack drauf an, wie und wo Ihr die Firewall integrieren möchtet. Wer die Firewall unter dem Tisch stehen hat, und kaum anschaut, muss auch keine Unmengen an Geld dafür ausgeben. Ich habe euch mal 3 Gehäuse zusammengestellt in unterschiedlichen Formaten.

• HTPC Gehäuse - Intertech JX 500
• Cube Gehäuse - Chieftec UK 02B
• MiniTower - Intertech H 606

Netzwerkkarte

Bei der Netzwerkkarte kommt es ein wenig darauf an was ihr alles mit der Firewall anstellen möchtet, und wieviel physiche Netzwerke Ihr erstellen wollt. Mit VLAN könnt Ihr auch mit einem Netzwerkanschluss beinahe grenzenlos Netzwerke erstellen. Wer doch lieber 2 Netzwerkanschlüsse möchtem nimmt eine Duale Netzwerkkarte. Unten 2 Empfehlungen.

• Intel I210 T1
• Intel I340 T2

Hinweis:

Ich würde bei den Netzwerkkarten einmal Tutti oder Ricardo in anspruch nehmen, dort finden sich solche Netzwerkkarten massenweise und teilweise für den halben Preis. Ich selber habe eine I340-T4 für 60Franken dort geschossen. Achtet einfach darauf dass Ihr für Low-Profile Gehäuse auch eine Low-Profile Slotblende erhaltet. Haltet Euch wenn möglich von günstigen Low-End Netzwerkkarten von unbekannten Herstellern zurück. Oftmals kommt es vor, das der Linux Kernel der pfSense solche Netzwerkarten nicht erkennt. Deshalb am besten eine Intel Netzwerkkarte nehmen!

Im Grunde könnt Ihr die Hardware gestalten wie Ihr möchtet, wichtige ist einfach, dass Sockel, RAM und Mainboard zueinander passen. Der Aufbau gestaltet sich natürlich als Laie schwierig, für jemand der einen PC schomal zusammengebaut hat, ist dies aber kein Problem. Später könnt Ihr dann ganz einfach gewisse Komponenten wie RAM oder die CPU schnell austauschen. Dabei muss nichts neu installiert werden.

Mehr Komponenten benötigt Ihr nicht. Alle Kabel um die Komponenten zum konnektieren sind beim Mainboard mit enthalten. Falls Ihr beim Zusammenbau Probleme habt, schreibt mir einen Kommentar oder eine Mail!

Ich hoffe euch mit diesem kleinen Artikel ''pfSense & opnSense Hardware Empfehlung''etwas geholfen zu haben und viel Spass beim zusammenbauen!

The post pfSense & opnSense Hardware Empfehlung appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die meisten Router vergeben für Geräte im Netzwerk nach Möglichkeit immer die gleiche IP-Adresse. Das ist bei einer NAS durchaus von Vorteil: Sowohl der Zugriff auf das System im Browser als auch über Mobil-Apps oder andere Anwendungen wird einfacher, wenn sich die Adresse nicht ändert. Um eben diese Änderung dauerhaft auszuschließen, lohnt es sich, für die NAS eine fixe IP-Adresse einzurichten.

Synology NAS Einstellungen

Loggt Euch In Eure Synology NAS ein und geht als erstes mal in die Systemsteuerung.

Links wählt hier den Reiter Netzwerk aus, und im Menü Netzwerk dann in der Arbeitsleiste oben den Reiter Netzwerkschnittstelle. Hier sind eure LAN Anschlüsse aufgelistet. Eure Verbindung ist anfänglich noch auf DHCP eingestellt und bekommt eine eigene IP Adresse von eurem Router zugewiesen.

Wählt den verbunden LAN Anschluss aus und wählt darüber den Button Bearbeiten.

Ein neues Fenster öffnet sich.

Im reiter IPv4 wählen wir nun manuelle Konfiguration verwenden aus. Hier tragen wir nun unsere Netzwerkinformationen ein.

• IP Adresse --> Tragt hier die IP Adresse ein. Ihr könnt die Adresse eintragen die Ihr bereits verwendet
• Subnetzmaske --> Tragt hier die Subnetzmaske ein. Habt Ihr nichts am Netzwerk geändert, lautet die Standardmase 255.255.255.0
• Gateway --> die IP Adresse eures Routers, in dem meissten Fällen 192.168.0.1
• DNS Server --> hier könnt Ihr z.B die DNS Adresse von Cloudflare verwenden (1.1.1.1)
• Standard Gateway --> setzt hier unbedingt den Haken

Lass alles weitere wie es ist. Drückt danach auf OK und bestätigt die Veränderungen.

Hinweise

Beim wechseln der IP Adresse ist die Synology danach natürlich nur noch mit der neuen IP erreichbar.
Das Gateway ist immer die erste Adresse in Eurem Netzwerk. Habt Ihr ein Netzwerk beispielsweise mit 192.168.9.x ist die Gateway Adresse natürlich auch 192.168.9.1

Damit habt Ihr nun sichergestellt, dass Eure Synology auch wirklich immer dieselbe IP Adresse bekommt und sich kein anderes Gerät sich die Adresse wegschnappt.

Ich hoffe Euch mit dem Artikel etwas geholfen zu haben. Falls Ihr Fragen habt, schreibt sie in die Kommentare!

The post IP Adresse Synology NAS fixieren appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Vorbereitungen

Eure Synology NAS muss im Netzwerk eine feste IP Adresse besitzen. Wie das genau funktioniert, erfahrt Ihr z.B hier in dieser Anleitung.

Der Standardordner, der von Active Backup erstellt wird, kann von Haus aus nicht komprimiert werden. Erstellt Euch also, falls ihr das Backup komprimieren möchtet, einen neuen Freigegebenen Ordner auf einem Laufwerk Eurer Wahl und aktiviert den Datenintegritätsschutz. Die Einstellungen für ein Sicherungsziel könnte in der Übersicht dann z.B so aussehen:

Papierkorb braucht man in einem Sicherhungsordner nicht. Verschlüsselung kann, falls man diese wünscht später in der BackUp Aufgabe selber erstellt werden. Sichtbarkeit im Netzwerk könnt Ihr deaktiveren damit niemand Im Netzwerk ausversehen irgendwelche BackUps löscht. Das Standardsicherungsziel von Active Back-Up könnt Ihr getrost, nach Installation der Software in der Übersicht eurer freigegeben Ordner wieder löschen.

Danach müssen wir Active Back-Up for Business auf unserer Synology NAS installieren. Geht dafür in das Packet Zentrum der NAS und ladet euch die Software herrunter.

Installiert die Software auf einem Laufwerk Eurer Wahl und stellt sicher dass die Software danach ausgeführt wird. Als nächstes müssen wir uns die Client Software für unseren Windows PC herrunterladen. Diese gibt es bei Synology direkt im Download Zentrum zum herrunterladen. Wählt hier bei einem aktuellen Betriebssystem und einigermassen aktueller Hardware die 64bit Variante aus. Die Installation ist sehr einfach und selbsterklärend.

Start nach der Installation den Active Back-Up Client auf eurem Windows PC und tragt im ersten Aufruf Eure Synology NAS Daten ein, wie die LAN IP Adresse, euren Benutzernamen und euer Passwort ein.

Synology wird Euer Zertifikat anschliessend als unsicher bezeichen. Dass ist völlig normal wenn wir uns über eine interne IP Adresse im eigenen Netzwerk verbinden. Seid nicht verunsichert und bestätigt die Warnung und akzeptiert die Warnung. Am Schluss bekommt Ihr noch eine Zusammenfassung, bestätigt Eure Eingaben und klickt anschliessend auf OK

Sicherungsaufgabe in Active Back-Up for Business erstellen

Nachdem alles vorbereitet wurden ist, ist es an der Zeit die erste Sicherungsaufgabe zu erstellen. Öffnet dazu Active BackUp for Business. Verschaffen wir uns einen Überblick:

Links sehen wir den Übersichtsbereich. Wie bereits erwähnt lassen sich mit Actice BackUp alle möglichen Sachen sichern. Von der eigenen Synology NAS bin hin zur virtuellen Maschine. Wir sichern in diesem Artikel erstmal nur eine Windows PC. Dafür gehen wir auf den Reiter PC. Wir sehen hier rechts unseres Gerät, auf welchem wir den BackUp Client installiert haben. Information zum gesicherten Ziel findet Ihr hier ebenfalls. Wählt das zu sichernde Gerät aus und erstellten mit Aufgabe erstellen einen neuen Task.

Sicherungsaugabe Einstellungen

Widmen wir uns den Sicherungseinstellungen. Im ersten Fenster können bereits eine Menge Einstellungen festgelegt werden. Wir können der Aufgabe einen Namen geben, und festlegen was genau gesichert werden soll. Active BackUp kann das gesammte Gerät, inkl allen daran angeschlossenen Platten gesichert werden. Es kann z.B aber auch nur die Windows Partittion (System-Volumen) oder auch nur einzelne Platten auf dem Rechner mit Benutzerdefiniertes Volumen bestimmt werden. Habt Ihr z.B eine Partition mit wichtigen Daten, Dokumenten und Bildern, kann z.B auch nur diese gesichert werden.

Weiter Einstellungen wie die Datenübertragung kann bestimmt werden. Habt Ihr grosse Ordner zu sichern kann z.B mit der Einstellung Datenübertragungskomprimierung der zu sichernde Inhalt bei der Übertragung komprimiert werden, oder falls Ihr wünscht, kann die Übertragung auch mit der Datenübertragungsverschlüsselung die Übertragung selbst komplett verschlüsselt werden. Aber Achtung, hier damit ist nur die Art der Datenübertragung gemeint, Wollt Ihr die Daten auf dem der Synology selber noch komprieren oder verschlüsseln, muss das in den nächsten Schritten noch festgelegt werden.

Die Energieeinstellungen sollten aktiviert werden, falls Ihr sehr grosse Datenmengen übertragen müsst. Damit stellt Ihr sicher, dass Euer Windows Rechner während dem BackUp nicht pltözlich schlafen geht. Habt Ihr alles, könnt Ihr mit Weiter zum nächsten Fenster springen. Hier wählen wir nun den zuvor erstellten freigegebenen Ordner aus.

Nach der Auswahl des Zielordners können wir nun Einstellungen für die Daten auf dem Ziel festlegen. Habt Ihr wenig Speicherplatz zur Verfügung, kann das gesammte BackUp komprimiert werden, dass kann 10-30% Platz sparen, oder auch nun das komplette BackUp mit einem Passwort verschlüsseln. Bitte bewahrt euer Passwort auf. Habt Ihr eures Passwort verloren, ist euer BackUp verloren.

In einem weiteren Schritt kann die Aufgabe zeitlich definiert werden, hier könnt Ihr euch einstellen was Ihr wollt. Wollt ein grosses Bilderarchiv sichern, welches sich nicht sehr oft ändert, könnt Ihr z.B eine Sicherung nur einmal wöchentlich Planen. Wichtige Dokumente die sich täglich ändern hingegen z.B einmal am Tag oder 3x wöchentlich Montag, Mitwwoch und Freitag. Euer Windows PC wird sich dann auf der Synology NAS regelmässig sichern.

Im nächsten Fenster könnt Ihr einstellen, wie mit den Sicherungen umgegangen wird. Es empfiehlt sich aufgrund Speicherplatzbegrenzung natürlich irgendwann die BackUps auszusortieren. Hier könnten wir z.B festlegen, dass nur die letzen 10 Sicherungen aufbewahrt werden.

Im nächsten Fenster könnt Ihr dann Eure Einstellungen nochmals Überprüfen, und falls alles richtig ist, die Aufgabe dann defintiv erstellen. Auch werdet Ihr gefragt, ob Ihr gleich eine erste Sicherung erstellen wollt. Hier könnt Ihr, sofern Ihr das wollt, gleich eure erste Sicherung erstellen.

Wiederherstellung eines gesicherten Ordners oder Volumen

In der Übersicht unserer Windowsgeräte können wir nun unser Windowsgerät auswählen und mit via Wiederherstellen ein Datei oder einen Ordner wiederherstellen.

Es öffnet sich nun das Wiederherstellungstool. Links findet Ihr die Übersicht Eurer Geräte, und oben in der Arbeitsleiste könnt Ihr dann auch gleich noch den Task wechseln, falls Ihr mehrere Aufgaben für bestimmte Laufwerke oder Ordner erstellt habt. ganz unten befindet sich die Zeitachse. Habt Ihr bereits mehrere Sicherungen, könnt Ihr hier in der Zeitachse auch eine beliebige Version des BackUps wiederherstellen.

Um einem Ordner wiederherzustellen. öffnet links dasd gewünschte Laufwerk, und wählt im mitleren Bereich einen Ordner aus, welcher wiederhergestellt werden muss. Es können natürlich auch mehrere Ordner ausgewählt werden. Klickt auf den Ordner. Hier könnt auswählen ob Ihr den Ordner komplett auf dem System wiederherstellen wollt, oder ob Ihr Ihn einfach downloaden wollt. Es können auch nur Unterordner wiederhergestellt werden. Probiert es erstmal an einem weniger wichtigen Ordner aus, und bekommt ein Gefühl dafür, wie das ganze funktioniert.

Habt Ihr einen Ordner ausgewählt, wird Euch der Wiederherstellungsassistent durch die Wiederherstellung führen. Das ganze funktioniert wirklich sehr einfach und zuverlässig.

Komplette Systemwiederherstellung

Eine komplette Systemherstellung ist mit Active BackUp natürlich auch möglich. Es kann ein komplettes Systemabbild erstellt werden, und mit einem RecoveryTool von Synology komplett wiederhergestellt werden. Das ist z.B dann nützlich falls euer System komplett abgeschmiert ist, und Ihr alles neu installieren müsst. So eine Wiederherstellung ist aber nicht auf einem neuem Gerät zu empfehlen, da Treiber, Programme und etc ebenso wiederhergestellt werden, das führt unweigerlich zu schwerem Problemen da auf einem neuen Geräte andere Komponenten mit anderen Treibern installiert sind.

Eine komplette Systemwiederherstellung benötigt auch etwas mehr Erfahrung im Umgang mit tieferligenden Systemkomponenten und würde hier komplett den Rahmen sprengen. Falls Ihr Euch mal einlesen wollt, könnt Ihr das hier tun.

Nun haben wir gelernt wie wir mit Active BackUp for Business einen Windows Rechner wunderbar bequem und einfach sichern und wiederherstellen können.

Ich hoffe Euch mit dem Beitrag Windows PC auf Synology NAS sichern etwas weitergeholfen zu haben. Falls Ihr Fragen habt, schreibt sie in die Kommentare.

The post Windows PC auf Synology NAS sichern appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Warum Virenschutz für Linux wichtig ist

Obwohl Linux weniger anfällig für Viren ist als andere Betriebssysteme, ist es nicht völlig immun. Linux-Systeme können immer noch infiziert werden, besonders wenn sie für Web- oder E-Mail-Server verwendet werden. Zudem kann ein Linux-Computer, der mit Windows-Computern in einem Netzwerk verbunden ist, als Vektor für die Verbreitung von Viren dienen. Daher ist es wichtig, den Virenschutz auf Linux-Systemen ernst zu nehmen.

Für Wem ist ein Virenschutz eher weniger wichtig

Für manche Benutzer ist ein Virenschutz möglicherweise weniger wichtig, abhängig von der Art der Systemnutzung und dem Risikoniveau. Ein Virenschutz könnte für folgende Benutzergruppen weniger wichtig sein:

• Offline-Nutzer: Wenn ein Computer nicht mit dem Internet verbunden ist und der Datenaustausch mit anderen Geräten streng kontrolliert wird, ist das Risiko einer Infektion durch Malware deutlich reduziert. In solchen Fällen könnte ein Virenschutz weniger wichtig sein.
• Erfahrene Linux-Benutzer: Benutzer, die über umfangreiches Wissen über Linux und Sicherheitspraktiken verfügen, könnten in der Lage sein, ihr System effektiv vor Bedrohungen zu schützen, ohne auf Antivirensoftware angewiesen zu sein. Diese Benutzer halten ihre Systeme auf dem neuesten Stand, verwenden restriktive Berechtigungen und sind aufmerksam bei der Verwendung von Software aus unbekannten Quellen.
• Temporäre oder Testsysteme: Wenn ein Linux-System nur für temporäre oder Testzwecke verwendet wird und keine sensiblen Daten gespeichert werden, könnte ein Virenschutz weniger wichtig sein. In solchen Fällen ist das Risiko eines möglichen Datenverlusts oder -diebstahls geringer.
• Isolierte Systeme: Systeme, die in einer gut gesicherten Umgebung betrieben werden und keinen direkten Zugang zum Internet oder zu anderen potenziell unsicheren Netzwerken haben, könnten ein geringeres Risiko für Malware-Infektionen aufweisen.

Trotzdem ist es wichtig zu beachten, dass auch in diesen Situationen ein gewisses Risiko besteht. Angesichts der wachsenden Bedrohungslandschaft ist es immer ratsam, Vorsicht walten zu lassen und grundlegende Sicherheitsmaßnahmen zu ergreifen, um Ihr System und Ihre Daten zu schützen.

Gängige Linux-Sicherheitspraktiken

Bevor wir uns speziell mit Virenschutzsoftware befassen, sollten einige grundlegende Sicherheitspraktiken beachtet werden, um Linux-Systeme zu schützen:

• Regelmäßige Updates: Stellt sicher, dass Euer System und alle installierten Programme auf dem neuesten Stand sind. Updates beheben oft Sicherheitslücken, die von Schadsoftware ausgenutzt werden können.
• Verwendet starke Passwörter: Wählen Sie Passwörter, die schwer zu erraten sind, und verwenden Sie verschiedene Passwörter für verschiedene Konten.
• Begrenzt die Verwendung von Root-Rechten: Vermeiden Sie die Anmeldung als Root-Benutzer, es sei denn, es ist absolut notwendig. Führen Sie stattdessen Programme mit eingeschränkten Berechtigungen aus.
• Deaktiviert nicht benötigte Dienste: Verringert Sie die Angriffsfläche Eures Systems, indem Ihr nicht benötigte Dienste und Anwendungen deaktiviert.

Antivirensoftware für Linux

Es gibt mehrere Antivirenprogramme, die speziell für Linux entwickelt wurden. Einige der bekanntesten sind:

• ClamAV: Ein Open-Source-Antivirenprogramm, das sich besonders gut für E-Mail-Server eignet. ClamAV scannt Dateien und E-Mail-Anhänge auf Viren und andere Schadsoftware.
• Sophos: Eine professionelle Sicherheitslösung, die einen kostenlosen Antivirenschutz für Linux anbietet. Sophos bietet Echtzeitschutz und regelmäßige Updates seiner Virendefinitionen.
• Comodo Antivirus for Linux: Eine weitere professionelle Lösung, die Echtzeitschutz, On-Demand-Scans und regelmäßige Updates bietet.

Wie man Antivirensoftware auf Linux installiert und verwendet

Die Installation und Verwendung von Antivirensoftware auf Linux variiert je nach Programm. In der Regel könnt Ihr jedoch die folgenden Schritte ausführen, um eine Antivirensoftware zu installieren und zu verwenden:

• Wählt Euch ein Antivirenprogramm aus der oben genannten Liste oder recherchiert nach weiteren Optionen, die Euren Anforderungen entsprechen. Ladet Euch das Installationspaket von der offiziellen Website des Anbieters herunter oder installiert es über den Paketmanager Ihres Betriebssystems (z.B. apt-get, yum oder pacman).
• Führt die Installationsanweisungen des jeweiligen Anbieters aus. Dies kann die Ausführung von Befehlen im Terminal oder das Befolgen von Schritt-für-Schritt-Anleitungen in einer grafischen Benutzeroberfläche beinhalten.
• Aktualisiert Euch die Virendefinitionen der Software, falls dies nicht automatisch erfolgt. Dies kann in der Regel durch Ausführen eines Befehls im Terminal oder durch Klicken auf eine Schaltfläche in der grafischen Benutzeroberfläche erreicht werden.
• Führt einen vollständigen Systemscan durch, um sicherzustellen, dass Ihr System frei von Viren und Schadsoftware ist. Dies kann je nach Größe Ihrer Festplatte und der Anzahl der Dateien einige Zeit in Anspruch nehmen.
• Aktiviert Euch den Echtzeitschutz, falls dies von der gewählten Antivirensoftware unterstützt wird. Dies stellt sicher, dass alle neu heruntergeladenen oder erstellten Dateien automatisch auf Viren überprüft werden.
• Plant regelmäßige Systemscans, um sicherzustellen, damit Euer System weiterhin geschützt bleibt. Die Häufigkeit der Scans hängt von Euren persönlichen Vorlieben und dem Risiko ab, dem Euer System ausgesetzt ist.

Bekannte Linux-Malware und häufige Infektionswege

Obwohl die Anzahl der Viren und Malware, die speziell auf Linux abzielen, im Vergleich zu Windows geringer ist, gibt es dennoch einige bekannte Bedrohungen. Hier sind einige Beispiele für Linux-Malware und wie sie sich verbreiten:

• Mirai: Ein Botnet, das hauptsächlich IoT-Geräte (Internet of Things) und Linux-Server infiziert. Mirai verbreitet sich, indem es nach Geräten sucht, die über das Internet zugänglich sind und schwache oder Standardpasswörter verwenden. Nach der Infektion kann Mirai Distributed-Denial-of-Service (DDoS)-Angriffe durchführen.
• Linux.Encoder: Eine Ransomware, die Linux-Systeme infiziert und Dateien verschlüsselt, um Lösegeld zu erpressen. Linux.Encoder verbreitet sich häufig über Webserver-Schwachstellen, insbesondere bei Systemen, die nicht regelmäßig gepatcht werden.
• Rex: Ein Linux-Trojaner, der sowohl DDoS-Angriffe ausführen als auch Kryptowährungen schürfen kann. Rex verbreitet sich durch das Ausnutzen von Schwachstellen in Content-Management-Systemen wie WordPress und Drupal.
• Ebury: Eine Backdoor, die hauptsächlich Linux-Server infiziert und es Angreifern ermöglicht, unbefugten Zugang zum System zu erhalten. Ebury verbreitet sich oft durch kompromittierte SSH-Anmeldedaten und kann auch verwendet werden, um Spam zu versenden.

Die häufigsten Infektionswege für Linux-Malware sind:

• Schwachstellen in Software und Betriebssystem: Angreifer nutzen oft Sicherheitslücken in Anwendungen oder im Betriebssystem selbst, um Malware einzuschleusen. Daher ist es wichtig, Ihr System und Ihre Software stets auf dem neuesten Stand zu halten.
• Phishing-Angriffe: Wie bei anderen Betriebssystemen können auch Linux-Benutzer Opfer von Phishing-Angriffen werden, bei denen sie dazu verleitet werden, schädliche E-Mail-Anhänge zu öffnen oder auf bösartige Links zu klicken.
• Schwache oder gestohlene Anmeldeinformationen: Angreifer können schwache Passwörter ausnutzen oder gestohlene Anmeldeinformationen verwenden, um Zugang zu Linux-Systemen zu erhalten und Malware zu installieren.

Um sich vor diesen Bedrohungen zu schützen, ist es wichtig, die in diesem Bericht genannten grundlegenden Sicherheitspraktiken zu befolgen, wie z.B. regelmäßige Updates, starke Passwörter, begrenzte Verwendung von Root-Rechten und den Einsatz von Antivirensoftware.

Fazit

Linux mag zwar als sichereres Betriebssystem gelten, dennoch ist es rat, sich vor Viren und Schadsoftware zu schützen. Durch die Einhaltung grundlegender Sicherheitspraktiken und die Verwendung von Antivirensoftware könnt Ihr Euer Linux-System effektiv vor Bedrohungen schützen. Denkt daran, regelmäßig Updates durchzuführen, starke Passwörter zu verwenden und nicht benötigte Dienste zu deaktivieren, um Euer System weiterhin sicher und stabil zu halten.

Ich hoffe Euch ein wenig Licht ins dunkle gebracht zu haben um man für Linux einen Virenschutz benötigt. Habt Ihr Fragen, schreibt sie in die Kommentare!

The post Braucht Linux einen Virenschutz appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

In diesem Artikel möchte ich Euch zeigen wie Ihr parallel eine WLAN Verbindung zu eine Router aufbauen und einen Hotspot für weitere Geräte betreiben könnt.

Schritt 1 - WLAN Adapter überprüfen

Zuerst müssen wir überprüfen, ob der genutzte WLAN Adapter überhaupt 2 Verbindungen parallel aufbauen und betreiben kann.
Öffnet die Konsole und gebt folgenden Befehl ein

sudo iw list

Sucht nach dem Eintrag "valid interface combinations". Der Eintrag befindet sich irgendwo im letzten Drittel der Ausgabe welche ziemlich lang sein kann. Der Adapter muss mindestens zwei Kanäle haben und die Funktion AP = Accesspoint beherschen.

Mein Screenshot dazu:

Mein AX210 Intel WLAN Adapter hat 2 Kanäle und unterstützt die AP Funktion

Schritt 2 - Wifi Hotspot App installieren

Als nächstes müssen wir das Tool Linux Wifi Hotspot installieren. Das geht mit folgenden Befehlen die Ihr in die Kommandozeile eingeben müsst.

Als erstes müssen die Abhängigkeiten und das Packet installieren. Das geht mit:

sudo apt install -y libgtk-3-dev build-essential gcc g++ pkg-config make hostapd libqrencode-dev libpng-dev

Als nächstes müssen wir folgende Befehle einzeln in die Konsole eingeben:

git clone https://github.com/lakinduakash/linux-wifi-hotspot
cd linux-wifi-hotspot
sudo make
sudo make install

Linux Wifi Hotspot verwenden

Anschliessend sollte Linux Wifi Hotspot korrekt installiert sein. Starten können wir es nun ganz einfach über das Startmenü via Suche. Sucht einfach nach Linux Wifi Hotspot. Ihr könnt Euch auch eine Verknüpfung auf den Desktop für die App erstellen.

In der App könnt Ihr nun im Feld SSID dem Hotspot einen Namen geben. Password steht natürlich für das Passwort den Hotspots. Wählt hier immer ein sicheres Passwort.

Das Wifi Interface und das Internet Interface müssen die selben sein, da der Adapter ja beide Kanäle parallel betreibt.

Weiter unten in der Kategorie "Advanced" könnt Ihr noch die Frequenz auf 2.4GHZ oder 5GHZ festlegen. Weitere Einstellungen müsst Ihr nicht tätigen.

Anschliessend könnt Ihr mit "Create Hotspot" den Accesspoint eröffnen. Ihr könnt ausserdem mit "Open QR" Euch den QR Code des Hotspots anzeigen lassen und diesen mit Eurem Smartphone scannen um Euch direkt zu verbinden.
Nun habt Ihr Internetzugriff über den Laptop, und könnt weitere Geräte mit dem Laptop verbinden welchen dann ebenfalls Internetzugang erhalten.

Ich hoffe der Artikel WLAN Hotspot mit Linux erstellen hat Euch gefallen und dass Ihr die Funktion sinnvoll nutzen könnt. Bei Fragen, schreibt diese wie immer gerne in die Kommentare!

The post WLAN Hotspot mit Linux erstellen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Eine Firewall vergleicht erst einmal die Absender und Ziel IP Adressen und prüft genutzte Dienste ob sie das tun was sie tun sollen, und mit Kontakten kommunziert, die erlaubt und freigegeben worden sind. Sie überprüft dabei den kontinuierlichen Datenverkehr und beschränkt dabei unerlaubte Netzwerkzugriffe von außen anhand selber festgelegter Regeln.

Je nachdem, wo die Software installiert ist, wird zwischen zwei Arten von Firewall unterschieden: Der Hardware- und der Software-Firewall. Bei einer Hardware-Firewall ist die Software auf einem separatem Gerät und nicht auf dem zu schützenden selbst installiert. Es kontrolliert meistens nicht nur ein konkretes System, sondern ist für ein ganzes Netzwerk zuständig.

Die Hardware-Firewall scannt dabei die Verbindung zwischen zwei Netzen. Das können zum Beispiel das eigene LAN (also das Heim- oder Firmennetz) und das WAN (Wide Area Network), dem Internet sein.

Eine Hardware basiertes Gerät befindet sich zwischen verschiedenen Netzwerken (LAN und WAN) und beschränkt den Datenverkehr. Das LAN soll vor Angriffen geschützt werden.

Der Begriff „Hardware-Firewall“ ist im korrekten Sinne nicht ganz richtig: Es gibt keine System, welche ausschließlich auf Hardware basiert. Der wesentliche Bestandteil jeder Firewall ist eine Softwarelösung. Hinter dem Begriff versteckt sich vielmehr der Fakt, dass die Firewall auf einem eigenen Gerät, und nicht auf dem zu überwachenden System läuft. Dies hat den Vorteil dass das Gerät nur eine Aufgabe hat, und zwar das Netzwerk zu schützen, und es somit durch diese Einzige Aufgabe, insgesamt weniger Angriffsfläche bietet. Es handelt sich bei Hardware-Firewalls um externe Geräte. Als Firewall-Appliance bezeichnet man ein komplett fertiges und sofort einsetzbares System, was sowohl aus Hard- und Software besteht.

Anders als die Hardware-Firewall arbeitet die Software-Firewall auf dem zu schützenden System selbst und nicht auf einem separaten System, das Netzwerke oder Netzwerksegmente miteinander verbindet. Die Software Version beschränkt den Zugriff des PCs oder mobilen Geräts, auf dem sie installiert ist, auf das lokale Netz und das Internet. Software-Firewalls können unter Umständen auch auf dem zu schützenden Gerät installierten Anwendungen davon abhalten, eine Verbindung mit dem Netzwerk oder dem Internet herzustellen. Ist eine Softwarefirewall kompromitiert, ist das Gerät und die andere Software darauf ebenfalls gefährdet.

Hardware vs. Software?

Hardware- und Software-Firewall haben unterschiedliche Funktionen und Einsatzgebiete. Beide Typen können für eine erweiterte Sicherheit als Ergänzung zueinander eingesetzt werden. Eine der beiden Varianten kann die jeweils andere nicht vollständig ersetzen. Man kann deswegen auch nicht sagen, dass einer der beiden Typen pauschal besser als der andere ist.

Dennoch ist festzustellen, dass in den Bereichen, in denen sich die Funktion von Hardware- und Software-Firewall decken, die Hardware-Firewall zuverlässiger ist und damit im direkten Vergleich – wo er denn möglich ist – besser abschneidet. Der Grund dafür ist, dass es sich bei der Hardware-Variante um ein deutlich spezifischeres Gerät handelt, das ausschließlich für eine erhöhte Netzwerksicherheit konzipiert wurde.

Da die Hardware-Firewall physisch von den zu schützenden Computersystemen getrennt ist, ist sie nicht so einfach wie die Software Variante zu deaktivieren oder zu manipulieren. Hebeln Schadprogramme Software-Firewalls aus, fällt der komplette Schutz des entsprechenden Systems weg.

Hardware-Firewall: Funktionen

Für einen wirksamen Schutz und die erhöhte Internetsicherheit, sind Hardware basierte Geräte dabei normalerweise fähig, den Datenverkehr auf Basis von Ziel- und Absenderadressen, Ports und Protokollen zu erfassen und zu analysieren. Einige der zentralen Funktionen sind:

• ein Paketfilter inklusive Port- und Protokollfilter (Quell-IP- und Ziel-IP-Adressen) für die einfache Filterung von Datenpaketen. Der Paketfilter entspricht der Grundfunktion von externen Firewalls.
• die Möglichkeit, mit Stateful Inspection (aus dem Englischen für „zustandsorientierte Paketüberprüfung“) Pakete unterschiedlichen Verbindungsstatus zuzuordnen. Die zustandsgesteuerte Filterung baut auf der Paketfilterung auf, wertet dabei aber weitere Verbindungsdaten aus.
• die Anpassung von Netzwerkadressen im Übergang zwischen dem internen und dem externen Netz mittels Proxy und Network Address Translation (NAT) bzw. der Netzwerkadressübersetzung. NAT ermöglicht die gleichzeitige Verwendung einer öffentlichen IP-Adresse durch mehrere Hosts.

Oft fungiert die Firewall auch als zentraler Endpunkt für Verbindungen ins virtuelle private Netzwerk (VPN). VPN-Verbindungen erlaufen Geräten aus dem Internet, beispielsweise Arbeitsnotebooks oder Diensthandys von Angestellten im Home Office oder auf Montage, eine verschlüsselte Verbindung in das interne Netzwerk aufzubauen.

Ich hoffe Euch in diesem kurzen Artikel, die Funktionen etwas näher gebracht zu haben. Habt Ihr Fragen, stellt sie gerne in die Kommentare!

The post Was ist eine Firewall appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was genau ist OpenPGP und wie funktioniert es?

PGP baut auf einem gegenseitigem Vertrauensmodell auf. Die Teilnehmern tauschen ihren öffentlichen Schlüssel gegenseitig aus um gegenseitig die Identität und Vertrauenswürdigkeit zu bestätigen.
PGP bzw. OpenPGP ist ein Standard zur Verschlüsselung von E-Mails und Authentifizierung der Absender, der wohl am Besten funktioniert und am einfachsten einzurichten ist. Allerdings erfordert er ein wenig Einarbeitung und muss von den jeweiligen Kommunikationspartnern aktiv genutzt werden. Leider ist deswegen PGP nur wenig verbreitet.

Vorrausetzungen um Emails mit OpenPGP zu verschlüsseln

Um OpenPGP benutzen zu können müssen alle Teilnehmer also einen OpenPGP fähigen Email-Client benutzen. Am weit verbreitesten ist Das OpenSource Email Programm Thunderbird. Thunderbird enhält seit Version 78 eine komplett integrierte OpenPGP Funktion die das damalige Add-On Enigmail ersetzt. Mit Thunderbird können alle Email-Konten mit einem eigenen PGP Schlüssel ausgestattet werden. Den öffentliche Schlüssel, den die anderen Teilnehmer benötigen um Eure Emails verschlüsseln und empfangen zu können, könnt Ihr automatisch an Eure Emails anhängen oder diese beim versenden der Email an den entsprechenden Teilnehmer hinzufügen. Es spielt keine Rolle ob Ihr Thunderbird auf Windows oder Linux benutzt, die Verschlüsslung ist natürlich nicht abhängig vom Betriebssystem.

Einrichtung um Emails mit OpenPGP zu verschlüsseln

Um die OpenPGP-Funktionalität in Thunderbird nutzen zu können, müsst Ihr in den Konten-Einstellungen von Thunderbird unter dem Menüpunkt „Ende-zu-Ende-Verschlüsselung“ ein sogenanntes „persönliches Schlüsselpaar“ für Eure E-Mail-Adresse erzeugen. Solltet Ihr OpenPGP bereits mit einer anderen Software verwenden, könnt Ihr auch ein vorhandenes Schlüsselpaars auch einfach importieren. Es ist auch möglich ein Schlüsselpar mit GnuPGP zu erstellen.

Wählt Eurer Konto im linken Bereich aus und drückt auf das Zahnradsymbol unten links. Ein neues Fenster öffnet sich in dem Ihr wieder unten links die „Konten-Einstellung“ auswählt. Nun gelangt Ihr in die Kontenübersicht Eures Thunderbird Email-Clients.

Wählt nun den Punkt „End-zu-End Verschlüsselung“ aus. In neuem Fenster könnt Ihr als nächstes den Punkt „Schlüssel“ hinzufügen auswählen. Bei mir exisitiert bereits ein Schlüssel, lasst Euch davon nicht irritieren.

Im nächsten Schritt wählt Ihr „Einen neuen OpenPGP Schlüssel generieren“ aus. Klickt nun auf Weiter. Im nächsten Fenster definieren wir die Schlüsselstärke und deren Eigenschaften. Ihr könnt z.B auswählen ob der Schlüssel nur eine begrenzte Zeit gültig ist, oder ob der Schlüssel unbegrenzt gültig ist. Die Schlüsseleigenschaften könnt Ihr bei RSA belassen, und die Schüsselgrösse bei 3072. Nun könnt ihr Euch den Schlüssel rechts unten generieren.

Weitere Einstellungen

In den Einstellungen weiter unten können wir noch ein paar Feinheiten einstellen. Zum Beispiel sollten Nachrichten nicht standardmässig verschlüsselt werden, da die meissten Eurer Kontakte wahrscheinlich kein OpenPGP verwenden. Stellt also sicher das die Nachrichten nicht standardmässig verschlüsselt sind. Scrollt nach unten zum Punkt „Senden von Nachrichten – Standardeinstellungen“. Stellt sicher dass Ihr „Verschlüsselung für neue Nachrichten nicht verwenden“ ausgewählt habt. Später beim versenden könnt Ihr die Nachrichten einzeln verschlüsseln, bei Empfängern die OpenPGP ebenso verwenden.

Weiter unten könnt Ihr zudem Eure Nachrichten digital unterschreiben. Damit kann der Absender feststellen, dass die Nachricht defintiv von Euch ist. Weiter unten könnt Ihr weitere Einstellungen vornehmen.

Wie Ihr wisst, muss Euer Gegenüber euren öffentlichen PGP Schlüssel besitzen, damit sie Eure Emails empfangen und entschlüsseln können. Deshalb stellen wir Thunderbird so ein, dass Euer öffentlicher PGP Schlüssel Euren Emails automatisch hinzugefügt wird. Mit diesem Schlüssel können nur Mails entschlüsselt werden, die Eure Empfänger von Euch bekommen. Der Schlüssel kann nicht verwendet werden, um Mails auf Eurem Account zu entschlüsseln oder zu lesen. Der private Schlüssel bleibt immer bei Euch auf eurem Thunderbird Account und kann nicht versendet werden.

Wählt also folgende Einstellungen aus:

Habt Ihr die Grundeinstellungen so angewendet, kommen wir als nächstes zum Punkt versenden von Emails.

Verschlüsselte Emails mit OpenPGP versenden

Wollt Ihr nun eine Email versenden, habt Ihr nun die Möglichkeit die Nachrichten zu verschlüsseln. Damit Ihr eine verschlüsselte Nachricht an Euren Kontakt versenden könnt, müsst Ihr aber den öffentlichen Schlüssel Eures Kontakts erhalten haben. Lasst Euch dazu den Schlüssel zukommen. Der Schlüssel ist als Anhang enthalten und kann direkt mit der Schlüsselverwaltung hinzugefügt werden. Klickt auf die Datei mit der Endung „asc“ und Ihr könnt den Schlüssel via Schlüsselverwaltung der Emailadresse eures Kontakt zuordnen. Thunderbird erkennt beim öffnen der Datei dass es sich um einen OpenPGP Schlüssel handelt. Importiert den Schlüssel und akzeptiert diesen.
Habt Ihr den Schlüssel gespeichert, könnt Ihr nun dem Kontakt eine verschlüsselte Nachricht zukommen lassen. Ihr könnt dazu ganz einfach neben dem „Senden“ Button die Verschlüsselung auswählen und aktivieren. Habt Ihr kein Schlüssel des Kontakts, gibt es eine Wahrnung seitens Thunderbird und die Verschlüsselung ist nicht möglich.

Eure Kontakte erhalten bei unverschlüsselten Nachrichten automatisch Euren öffentlichen PGP Schlüssel, falls Ihr Option „Automatisch Schlüssel anhängen“ ausgewählt habt, ansonsten könnt Ihr jetzt jedesmal im Menüpunkt „OpenPGP“ auswählen dass der Schlüssel mitgeschickt wird.

Verschlüsselte Emails erhalten

Verschlüsselte Emails werden automatisch entschlüsselt. Ihr braucht keine weiteren Vorkehrungen treffen. Die Nachricht wird anfänglich ohne Titel angezeigt, öffnet Ihr diese, und habt Ihr den Schlüssel Eures Kontakts, wird die Mail anschliessend entschlüsselt angezeigt.

Wollt Ihr auch wissen wie Ihr SMS mit OpenPGP verschlüsseln könnt, dann schaut doch ma hier vorbei!

Nun haben wir gelernt wie wir relativ einfach, aber sehr sicher Emails mit Thunderbird und OpenPGP verschlüsseln könnt. Ich hoffe der Artikel hat Euch gefallen, falls Ihr Fragen habt, schreibt es in die Kommentare.

The post Emails mit OpenPGP verschlüsseln appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Was ist überhaupt eine SSD?

SSD steht für Solid State Disk und ist die Bezeichnung für ein Speichermedium welches seine Daten, nicht wie Festplatten auf Magnetplatten speichert, sondern vereinfach gesagt auf Speicherchips, ähnlich wie ein USB Speicher Stick. Eine SSD ist jedoch deutlich schneller als ein USB Stick da die SSD über einen ausgeklügelten Speichercontroller verfügt, und die Speicherchips mehrfach parallel angesprochen werden können. Der Speicher in einer SSD wird überlicherweise als Flashspeicher bezeichnet. Er ist komplett lautlos, benötigt zudem etwas weniger Energie als eine Festplatte, und punktet durch deutlich schneller Zugriffszeiten. Eine moderne NAS Festplatte aus der Iron Wolf Serie von Seagate z.B kann mit ca 200MB/Sek schreiben, eine SSD schafft in 2.5Zoll Format locker 500MB/Sek, Zudem sind die Zugriffszeiten im Nanosekundenbereich, anstatt wie bei Festplatten im Milisekundenbereich. Daraus ergeben sich vor allem bei kleineren Daten ein enormer Geschwindigkeitsvorteil.

Das hört sich doch als deutlich bessere Alternative an und eine SSD sollte unbedingt in ein NAS?!

NAS mit SSD? Nein, weil...

Ein NAS-Server ist im Grunde gekommen ein kleiner PC, der aus einen Verbund mehreren Festplatten besteht. Die Aufgabe des kleinen Rechners ist es, Speicherplatz für die Computer und Geräte im Heimnetz bereit zu stellen: Videos, Bilder, Musik, Dokumente, und jede Menge Dateien. SSDs sind wie bereits besprochen viel schneller als Festplatten.

SSDs im NAS sind meistens sinnlos und jetzt erfahrt Ihr auch warum!

Es kommt auf die Geschwindigkeit der Übertragung im Netzwerk an, nicht auf die der Festplatte/SSD

Viele SSDs erreichen wie bereits gelesen Lese- und Schreibgeschwindigkeiten um die 500 MB/s. Das gilt vor allem bei großen Dateien. Eine Festplatte ist eher um die 120 bis 200 MB/s schnell. Nun könnte man auf die Idee kommen, deswegen SSDs ins NAS zu bauen, da sie ja viel schneller sind als Festplatten.

ABER: Dabei vergisst man schnell, dass in einem normalen Netzwerk meisst nicht das NAS oder die Festplatte der limitierende Faktor ist, sonder schlicht und einfach die Netzwerkgeschwindigkeit. Das NAS ist mit einem Router, und oder einem Switch verbunden, und ein normaler Router oder Switch schafft meisst nur um die 1GBit/sek. Die meissten Geräte wie Laptops oder PCs, bzw Geräte über WLAN verbindungen sind an dieses Limit gebunden. Es müssen also die Übertragungssgeschwindigkeiten des Ethernet-LAN beziehungsweise WLAN beachtet werden.

Bei vielen arbeitet das Netzwerk zu Hause mit maximal 1 GBit/sek.

Einen aktuellen Router und Computer vorausgesetzt, habt Ihr also ein Netzwerk mit einer Übertragungsrate von maximal 1 Gbit/s. Das sind umgerechnet also 125 MB pro Sekunde an Datenübertragung – wohlgemerkt bei einer LAN-Kabelverbindung UND unter Idealbedingungen, welche praktisch nie erreicht werden. Bei einer schnellen WIFI6 Verbindung mit WLAN Standard 802.11ax kommt Ihr auf eine Übertragungsgeschwindigkeit von theoretischen 2.4Gbit, aber der Accesspoint ist meisst auch nur über ein LAN Kabel mit 1gbit/sek an den Router angeschlossen. In der Praxis sind es bei WIFI6 und AX Standard auch nur um die 100MB/Sek und auch nur dann wenn Ihr 100% Signalrate habt und das Gerät keine 3 Meter vom WLAN Router oder Accesspoint entfernt ist. WIFI5 und 802.11ac kommt dagegen praktisch nur auf höchtens 60MB/Sek.

Egal wie schnell eure neue SSD also ist, die Geschwindigkeit wird bei der Übertragung der Daten auf die Netzwerkgeräte immer durch Euer Gbit Netzwerk gebremst. Nach der obigen Tabelle würde also eine SSD im NAS mit etwa 500 MB/s bei einer LAN-Verbindung doch nur maximal mit  117 MB/s übertragen; und wenn Euer Router die Daten ans Smartphone oder Tablet per WLAN-ac sendet, dann sind es maximal sogar nur 60 MB/s. Bei kleinen Dateien sinkt die Geschwindigkeit oft noch weiter ab. Das Potential einer SSD im NAS würde nur beim Kopieren oder Lesen von kleinen Dateien genutzt, allerdings nur in einem vernachlässigbaren Ansatz.

SSDs sind zu teuer und haben weitere Nachteile für NAS-Speicherplatz

Mittlerweile gibt es auch SSD relativ günstig zu kaufen, Ihr könnt Euch also auch SSDs in Euer NAS einbauen, wenn ihr günstig an SSDs ausgekommt. Allerdings werden SSDs weiterhin durch die Übertragungsgeschwindigkeit im Netzwerk auf einfache Festplatten-Geschwindigkeit ausgebremst. Festplatten haben ausserdem eine deutlich längere Lebenszeit als SSDs und können bei Sachgerechter Lagerung Jahrzehnte überdauern. SSD Speicher leiden vor allem unter vielen Schreibvorgängen und verschleissen mit der Zeit, Ein defekte SSD lässt sich kaum retten, eine Festplatte hingegen schon, wenn kein Plattenschaden besteht. Eine Festplatte verschleisst beim Schreiben von Daten nicht.

Hinweise und Tipps

• Eine Festplatte ist bei besonders bei einer Disziplin wahrlich kein Leistungsmonster, nämlich dann wenn viele winzig kleine Daten im Kilobyte Bereich geschrieben und gelesen werden müssen. Da fällt eine Festplatte schonmal auf unter 10MB/Sek ab was bei grösseren Übertragungen von mehreren Gigabyte Stunden dauern kann. Habt Ihr also wirklich viele kleine Daten in grösseren Mengen, packt die Daten zuerst in ein Zip-Archiv und schiebt das Archiv dann auf die NAS, der Schreibvorgang ist dann beinahe so schnell wie bei einer einzigen grossen Datei.
  
• Wenn Ihr hingegen ein kabelgebundenes 10-Gbit-Netzwerk haben solltet, dann spürt Ihr auch die SSD-Geschwindigkeit. Dabei muss aber jedes Gerät, jeder Router und jeder Switch im Netzwerk 10-Gbit Geschwindikeiten beherschen. Die Anschaffungskosten für entsprechende Netzwerkadapter und Karten ist meisst leider momentan noch um den Faktor 2-4x teurer, da kommt bei allen Geräten einiges zusammen.
  
• Lass Backups und Grössere Übertragungen über die Nacht laufen oder zu Zeit wo es niemanden im Netzwerk stört
  
• Falls Ihr für einen bestimmten Anwendungsbereich die schnelleren Zugriffszeiten der SSD, und die hohe Schreib und Lesegeschwindigkeit bei kleineren Daten unbedingt benötigt, könnt Ihr ja nur einen Slot Eurer NAS mit einer SSD besetzen.

Ich hoffe Euch mit diesem Input etwas Klarheit in die Thematik gebracht zu haben. Habt Ihr trotzdem noch Fragen zum Thema SSD in NAS Geräten? Stellt sie gerne in die Kommentare!

The post SSD in einer NAS sinnvoll? appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Welchen Voraussetzungen gelten für den Datenaustausch über ein Netzwerkprotokoll?

Die Grundlage für eine erfolgreichen Aufbau der Verbindung ist natürlich dass die verschiedenen Netzwerkgeräte das selbe Protokoll verwenden. Häufig gibt es mehrere Versionen eines Protokolles, bzw modernere Versionen davon. Am besten benutzen beide Geräte die selbe Version. Falls eine neuere Version benutzt wird, sollte vorher sichergestellt werden dass die Versionen untereinander kompatible sind.

Ist ein Netzwerkprotokoll dasselbe wie ein Internetprotokoll?

Ja und Nein. Die Internetprotokollfamilie stellt einen Teilbereich der Netzwerkprotokolle dar und legt unter anderem die Richtlinien für die Adressierung beim Routing fest.

Definition: Was ist ein Netzwerkprotokoll und welche Aufgabe hat es?

Netzwerk-Protokolle dienen der Kommunikation zwischen Netzwerkgeräten und der gezielten Reglung der Daten und Packete. Sie beschreiben Aufgaben (z.B. die Paket-Adressierung und den Transport), verhindern externe Eingriffe und unbefugten Zugriff auf die Anwendung und die Daten und legen fest, wie und in welchem Format die Daten zu übertragen sind und auf welchem Weg sie von der Quelle zum Ziel kommen.

Netzwerkprotokolle arbeiten in der Regel im auf Schicht 3 des OSI Modells

Das OSI-Layer 3 (Vermittlungsschicht) kümmert sich zum grössten Teil unter anderem auch um das Routing im Netzwerk. Es gibt aber auch Protokolle, die entsprechend Ihrer Aufgaben anderen Schichten zugeordnet sind (z.B. für den Austausch auf Hardware- oder Anwendungsebene). Austausch auf der Hardware wäre zum Beispiel der OSI-Layer 2. Die Funktionen und Aufgaben sind hierarchisch strukturiet, das heisst sie bauen aufeinander auf.

Damit eine fehlerfreie Kommunikation möglich ist, müssen die Geräte und Anwendungen das selbe Protokoll verwenden und die Versionen unteinander kompatibel sein. Im grossen und ganzen braucht es für die Kommuniation immer eine Zusammenarbeit von mehreren Netzwerkprotokollen. Die unterschiedlichen Netzwerkprotokolle sind jeweils für verschiedene Aufgaben zuständig. Die Verständigung erfolgt dann über die bestimmte Bediengungen, die dem betreffenden Paket meisst im Header eines Packets zu finden sind. Der Header eines jeden Datenpackets enthält zum Beispiel die IP Adresse. (von,zu) Protokolle, Grösse, Packettyp.

Welche Arten von Netzwerkprotokollen gibt es?

Datenverbindung zwischen Netzwerkgäten sind meisst kaum gleich oder auf ein Netzwerkprotokol beschränkt. Abhängig von der Art des Netzwerkes, der benutzten Geräte oder Systeme sowie der Hierarchie und Anzahl der Kommunikationsteilnehmer, dem Anwendungsfall und auch auf der Ebene der Sicherheit, gibt es eine Vielzahl unterschiedlicher Netzwerkprotokolle.

• Unicast-Protokolle versenden Daten und Informationen an jeweils einzelne Empfänger. Multicast-Protokolle hingegegen versenden gleichzeitig an mehrere und Broadcast-Protokolle die an verschiedene Stationen senden können.
  
• Bei Simplex-Protokollen gibt es nur ein Gerät dass die Rolle des Senders übernimmt, während auf der anderen Seite nur ein Empfänger steht. Die Kommunikation ist also in eine Richtung eingeschränkt. Vollduplex-Protokolle ermöglichen im Gegensatz dazu einen gleichzeitigen Datenaustausch alle Richtungen.

Auch definieren die Protokollrichtlinien den Weg des Datenstroms und die Synchronisierung (synchron oder asynchron).

Das zusammenspiel dieser Regeln und Protokolle ermöglicht es Endgeräten wie Smartphones oder Tablets die Interaktion über das IP-Netzwerk.

Darrüber hinaus gibt es verbindungsorientierte oder verbindungslose Netzwerk-Protokolle. Bei Verbindungsorientierten Protokollen gibt es bei der Kommunikation die Phasen Verbindungsaufbau, Datenübertragung und Verbindungsabbau. Eine verbindungslose Kommunikation startet direkt mit der Datenübertragung ohne dass das Empfängergerät seine Bereitschaft zuerst signalisiert hat.

Neben den standardisierten Netzwerkprotokollen gibt es auch proprietäre (herstellerspezifische) Protokolle, deren Einsatz auf bestimmte Produkte, Geräte, Netzwerkumgebungen oder Betriebssystem beschränkt ist. Diese Protokolle sind in der Regel auf bestimmte Geräte beschränkt, und nicht kompatiblen mit freien Standardprotkollen.

Die wichtigsten Netzwerkprotokolle im Überblick

TCP/IP (Transmission Control Protocol / Internet Protocol)

TCP und IP sind die Grundbausteine der modernen Internetkommunikation. Vom Anzeigen einer Webseite über den Browser bis hin zum Versenden und Empfangen von Emails haben wir ständig damit zu tun. Spannend zu wissen: TCP/IP wurde ursprünglich für das US-Verteidigungsministerium entwickelt und steht mittlerweile als Überbegriff für eine Protokollfamilie.

Im OSI Schichtmodell ist TCP/IP auf Layer 3 und Layer 4 (Vermittlungsschicht und Transportschicht) angesiedelt.

Auch ICMP (Internet Control Message Protocol) oder UDP (User Datagram Protocol) zählen zur TCP/IP-Protokollfamilie.

Die Transportschicht (TCP) baut auf der Internetschicht auf und kümmert sich um einen verlässlichen Datenstrom zwischen den Empfänger und Versender der unterschiedlichen Netzwerkteilnehmer. Überprüft wird auch die Integrität der Daten und stellt deren Reihenfolge mit Hilfe von Sequenznummern sicher. Daten werden in Packete unterteilt, bekommen eine Nummer und werden beim Empfangen überprüft und regisitriert ob alle Datenpackete auch wirklich da sind.

Über die Internetschicht IP wird mit Hilfe der zugeordnetenen IP Adressen sichergestellt dass das richtige Ziel erreicht wird.

TCP/IP erkennt und vermeidet eine Überlastung des Netzwerkes und erkennt und behebt Datenverluste automatisch. Es fordert automatisch verlorene Packete erneuert an. Es steht allen gängigen Betriebsystem wie Windows oder Linux zur Verfügung.

DHCP (Dynamic Host Configuration Protocol)

Das DHCP Netzwerkprotokoll kümmert sich darum, jedem Teilnehmer des Netzwerks automatisch eine IP Adresse zuzuweisen und übermittelt zudem zusätzliche Information wie zum Beispiel Standard Gateway, die verwendete Netzwerkmaske, den verwendeten DNS Server und auch wie lange das Gerät die IP Adresse verwenden darf (Lease-Time). Ohne das DHCP Protokoll müsstet Ihr also jedes einzelne Gerät im Netzwerk händisch konfigurieren und die oben genannten Informationen eingeben, damit eine Verbindung zum Netzwerk und dem Internet möglich ist.

Damit DHCP richtig funktionieren kann, muss der DHCP Server im gleichen Subnetz wie die teilnehmenden Geräte sein. Gibt es verschiedene Netzwerke, muss dafür jeweils auch ein eigener DHCP Server eingerichtet werden. In der Regel übernimmt diese Aufgabe der heimische Router, meisst lässt sich damit aber nur ein einziger Netzwerkbereich definieren, und häufig dazu noch ein Gastnetzwerk für fremde WLAN Geräte.

Der DHCP Server weisst den Geräten Ihre IP Adressen zu welche sie für eine bestimmte Zeit nutzen dürfen. In der Regel erkennt der DHCP Server durch die MAC Adressen des Geräts, die Geräte wieder und weisst Ihnen die selbe IP Adresse wieder zu, ist diese aber bereits besetzt, gibt es eine neue IP Adresse. Die automatische DHCP Konfiguration eignet sich somit schlecht für Geräte die einen festen Dienst zur Verfügung stellen und die eine feste IP Adresse benötigen. Sollte sich die IP Adresse einmal ändern, ist das Gerät dann nicht mehr verfügbar, und definierte Netzwerkregeln, Firewallrules und etc. greifen nicht mehr richtig.

Die DHCP Zuweissung kann wie beschrieben automatisch, aber auch manuel erfolgen (meisst in den fortgeschrittenen Einstellungs des Routers zu finden.

DNS (Domain Name System)

Das Domain Name System (DNS) ist ein dezentralisiertes Namenssystem für Geräte, die mit dem Internet oder einem privaten Netzwerk verbunden sind. Es übersetzt menschenlesbare Domänennamen, wie www.example.com, in die numerischen, maschinenlesbaren IP-Adressen, die zur Lokalisierung und Identifizierung von Geräten in einem Netzwerk verwendet werden.

DNS hat zwei Hauptaufgaben:

• Namensauflösung: Wenn ein Benutzer einen menschenlesbaren Domainnamen in seinen Webbrowser eingibt, kontaktiert der Computer den DNS-Server, um die zugehörige IP-Adresse zu ermitteln. Sobald die IP-Adresse bekannt ist, kann der Computer eine Verbindung zum entsprechenden Server herstellen.
  
• Lastverteilung und Redundanz: DNS ermöglicht auch die Verteilung von Internetverkehr auf mehrere IP-Adressen, um die Last zu verteilen oder eine höhere Verfügbarkeit zu erreichen. Zum Beispiel könnte der Domainname www.example.com auf mehrere IP-Adressen verweisen, die zu verschiedenen Servern führen. Dies wird häufig bei Websites verwendet, die hohe Besucherzahlen haben.

DNS arbeitet im Anwendungsschichtprotokoll des Internet-Protokoll-Stacks. Die Standardports, die für DNS verwendet werden, sind Port 53 sowohl für das Transmission Control Protocol (TCP) als auch für das User Datagram Protocol (UDP). In der Regel wird UDP für DNS-Anfragen verwendet, weil es weniger Overhead hat und schneller ist. TCP wird hauptsächlich für Zonentransfers zwischen Servern und bei Antworten, die die UDP-Paketgröße von 512 Bytes überschreiten, verwendet.

Verschlüsseltes DNS ist eine Methode, um die Privatsphäre und Sicherheit von DNS-Abfragen zu erhöhen. Traditionelle DNS-Abfragen sind unverschlüsselt, was bedeutet, dass sie von Dritten abgefangen, gelesen oder sogar manipuliert werden können. Verschlüsselte DNS-Protokolle adressieren diese Probleme, indem sie die zwischen Ihrem Gerät und dem DNS-Server gesendeten Daten verschlüsseln. Es gibt drei Haupttypen von verschlüsseltem DNS: DNS over HTTPS (DoH), DNS over TLS (DoT) und DNSCrypt.

DNS over HTTPS (DoH)

DoH schickt DNS-Anfragen über HTTPS (Port 443), ein Protokoll, das traditionell für sichere Webkommunikation genutzt wird. Es verschlüsselt den DNS-Datenverkehr und versteckt ihn im normalen Web-Datenverkehr, was es schwierig macht, ihn zu blockieren oder zu manipulieren.

DNS over TLS (DoT)

DoT ist ein weiteres Protokoll, das die DNS-Anfragen verschlüsselt. Es nutzt TLS (Transport Layer Security), das gleiche Protokoll, das HTTPS für seine Sicherheit nutzt, aber es verwendet seinen eigenen Port (Port 853), was es von regulärem HTTPS-Verkehr unterscheidet.

DNSCrypt

DNSCrypt ist ein Protokoll, das die Kommunikation zwischen einem Client und einem DNS-Server verschlüsselt. Im Gegensatz zu DoH und DoT, die auf bekannten Web-Sicherheitsprotokollen aufbauen, wurde DNSCrypt speziell für die Verschlüsselung von DNS entwickelt. Es hat nicht die gleiche breite Akzeptanz oder Unterstützung wie DoH und DoT gefunden.

Die Nutzung von verschlüsseltem DNS kann die Privatsphäre und Sicherheit verbessern, indem es verhindert, dass Dritte Ihre DNS-Anfragen lesen oder manipulieren. Allerdings ist es wichtig zu beachten, dass es nur einen Teil Ihres Online-Verkehrs sichert. Um einen vollständigen Schutz zu erreichen, sollte verschlüsseltes DNS in Kombination mit anderen Sicherheitsmaßnahmen, wie VPNs und sicheren Browser-Praktiken, verwendet werden.

SMB (Server Message Block)

Server Message Block (SMB) ist ein Netzwerkprotokoll, das hauptsächlich für die Bereitstellung von gemeinsam genutzten Zugriffen auf Dateien, Drucker und andere Netzwerkressourcen in lokalen Netzwerken (LANs) verwendet wird. Ursprünglich wurde es von IBM entwickelt, aber es wurde vor allem durch Microsoft populär gemacht, das es in seine Windows-Betriebssysteme integriert hat.

SMB wird häufig in Büroumgebungen eingesetzt, um Benutzern den Zugriff auf gemeinsame Ressourcen innerhalb eines Netzwerks zu ermöglichen. Mit SMB können Benutzer Dateien auf einem anderen Computer im Netzwerk öffnen, ändern und erstellen, als wären sie lokal auf ihrem eigenen Computer gespeichert. Darüber hinaus ermöglicht SMB auch die gemeinsame Nutzung von Druckern und anderen Peripheriegeräten.

Im Laufe der Jahre wurden verschiedene Versionen von SMB entwickelt. SMBv1, die ursprüngliche Version, wurde wegen bekannter Sicherheitsprobleme weitgehend aufgegeben. SMBv2 und SMBv3 sind die neuesten Versionen und enthalten eine Reihe von Verbesserungen in Bezug auf Leistung und Sicherheit.

Die Ports, die von SMB verwendet werden, hängen von der genauen Konfiguration ab, aber hier sind die häufigsten:

• Port 445: Dies ist der Hauptport, der von modernen SMB-Versionen (SMBv2 und SMBv3) für direkte TCP/IP-Kommunikation verwendet wird. Dieser Port ermöglicht sowohl die Übertragung von SMB-Daten als auch von SMB-Direktiven (Befehle).
• Ports 137, 138 und 139: Diese Ports wurden von älteren Versionen von SMB (insbesondere SMBv1) in Verbindung mit dem NetBIOS-Netzwerkprotokoll verwendet. Port 137 wurde für NetBIOS-Namensdienste, Port 138 für NetBIOS-Datagrammdienste und Port 139 für NetBIOS-Sitzungsdienste verwendet.

Um die Sicherheit zu erhöhen, sollte die Verwendung von SMBv1 vermieden und stattdessen SMBv2 oder SMBv3 verwendet werden. Darüber hinaus sollte der Zugriff auf SMB-Ports sorgfältig kontrolliert und beschränkt werden, um das Risiko von unerwünschten Verbindungen zu minimieren.

FTP / SFTP / FTPS (File Transfer Protocol / Secure File Transfer Protocol / File Transfer Protocol over SSL)

FTP (File Transfer Protocol) ist das bekannteste Protokoll für den Dateiaustausch im Internet und wird in der Regel für Dateienarchive genutzt. Die Erstellung und das Löschen von Verzeichnisse ist damit möglich, die Bearbeitung der Daten durch authorisierte Konten sind über das Internet machbar. Authentifizierung und Transfer erfolgen jedoch unverschlüsselt über den Port 21. Der Zugriff ist auch ohne Konto auf dem Internetserver möglich (Anonymous FTP), erfolgt in der Regel aber mittels Benutzername und Kennwort.

Neben FTP existiert mit SFTP (Secure File Transfer Protocol) über die Secure Shell (SSH) laufende Alternative, mit der sich Dateien sicher und verschlüsselt auf andere Systeme im eigenen Netzwerk, sowie über das Internet übertragen lassen. Der Verbindungsaufbau erfolgt standardmäßig über Port 22 und Befehle und Daten sind verschlüsselt. Es können auch andere Ports verwendet werden. Auf diese Weise werden sensible Informationen nicht im Klartext über das Netzwerk geschickt und lassen sich somit auch nicht hacken. SFTP verwendet die gleichen Befehlessätze wie das herkömmliche FTP.

Für die Nutzung von SFTP ist eine Authentifizierung des Clients am Server erforderlich. Dazu verwendet man in der Regel ein spezielles Programm, einen sogenannten SFTP-Client (z.B. FileZilla).

Für FTP Übertragung kann man zusätzlich noch eine sicherere Verbindung einrichten und zwar über das FTPS Protokoll. Bei FTPS (File Transfer Protocol over SSL) erfolgen der Verbindungsaufbau und der Datentransfer über SSL/TLS. Hierbei unterscheidet man zwischen zwei Arten:

• Im expliziten Modus fordert der Client eine sichere Verbindung vom Server an und beide akzeptieren gegenseitig die Verschlüsselung.
• Im Gegensatz dazu ist das Aushandeln einer Verbindung im impliziten Modus nicht zwingend erforderlich bzw. gar nicht erlaubt. Erhält der Client nach der Anfrage keine Antwort vom Server, wird die Verbindung abgelehnt

HTTP/HTTPS (Hypertext Transfer Protocol / Hypertext Transfer Protocol Secure)

Ohne HTTP (Hypertext Transfer Protocol) geht im World Wide Web rein gar nichts. Es läuft standardmäßig über den Port 80 und übermittelt Daten von den Webserver zu eurem Browser und umgekehrt. Es beschränkt sich aber nicht ausschließlich auf Webseiten, sondern wird auch als allgemeines Datenübertragungsprotokoll für verschiedene andere Anwendungen eingesetzt.

Für die verschlüsselten Übertragung gibt es seit nun einiger Zeit HTTPS (Hypertext Transfer Protocol Secure) welches standardmässig über den Port 443 läuft. Erkennen könnt Ihr HTTPS über das Schlosssymbol links im Browseradressfeld. Eine Authentifzierung Mittels Zertifikat ist erforderlich, allerdings muss sich dabei in der Regel nur der angefragte Webserver mittels Zertifikat ausweisen. Die Verbindungen sind End-to-End verschlüsselt.

Als Transportprotokoll verwendet HTTP (genau wie FTP) TCP/IP. Es existiert in den Versionen 1.0 und 1.1, und als neueste Version in der Version HTTP2.0, die sich hinsichtlich Ihrer Funktionalität unterscheiden. Während HTTP1.0 die Verbindung direkt nach Abschluss der Datenübertragung beendet, kann man diese in Version 1.1 über den Eintrag „keep-alive“ im Header aufrechterhalten. Zudem ist HTTP1.1. auch in der Lage, abgebrochene Verbindungen wieder aufzunehmen. HTTP2 ist eine Weiterentwicklung des Internetprotokolls HTTP1.1. Während das Grundkonzept das gleiche geblieben ist, reduziert HTTP2 die Ladezeiten von Webseiten sowie den Protokoll-Overhead, bietet Webmastern die Möglichkeit, Anfragen zu priorisieren, und ermöglicht den sogenannten Server-Push.

rsync (remote synchronisation)

Rsync nutzt ein einzigartiges Delta-Transfer-Algorithmus, um die Menge der übertragenen Daten zu minimieren. Das Tool vergleicht die Quell- und Zieldateien und überträgt nur die Abschnitte, die sich geändert haben. Dieser inkrementelle Ansatz kann erhebliche Bandbreiten- und Zeitersparnisse gegenüber traditionelleren Methoden bieten, die komplette Dateien kopieren.

Rsync kann sowohl lokal (auf demselben Gerät oder im selben Netzwerk) als auch remote (über das Internet) verwendet werden. Es unterstützt auch den Transfer über verschlüsselte Kanäle mit SSH.

Um Rsync zu verwenden, muss es auf jedem beteiligten Computer installiert sein. Die meisten Unix-ähnlichen Betriebssysteme haben es bereits vorinstalliert. Bei Windows muss ein Software wie Cygwin verwendet werden, um Unix-ähnliche Befehle auszuführen.

Rsync selbst verwendet standardmäßig den TCP-Port 873 für die Kommunikation. Wenn Ihr Rsync auf einem Server bereitstellt, müsst Ihr sicherstellen, dass dieser Port in der Firewall offen ist, damit Rsync ordnungsgemäß funktioniert.

Es ist wichtig zu wissen dass während Rsync selbst einige grundlegende Sicherheitsmaßnahmen bietet (wie die Verwendung von "chroot" zur Begrenzung des Zugriffs auf das Zielsystem), die Daten während der Übertragung nicht verschlüsselt werden. Dies bedeutet, dass Rsync allein für die Übertragung sensibler Daten über unsichere Netzwerke (wie das Internet) nicht ideal ist.

Zum Glück kann Rsync nahtlos mit SSH (Secure Shell) integriert werden, um eine sichere, verschlüsselte Verbindung zu erstellen. SSH verwendet standardmäßig den TCP-Port 22. Wenn Ihr Rsync über SSH verwendet, werden alle Daten, die übertragen werden, verschlüsselt, was bedeutet, dass sie während der Übertragung nicht abgefangen oder gelesen werden können.

SMTP (Simple Mail Transfer Protocol)

SMTP wird hautpsächlich zum Verschicken und Weiterleiten von E-Mails verwendet und gehört ebenfalls zur Internetprotokollfamilie. Es arbeitet auf Schicht 7 (Anwendungsschicht) des OSI-Modells und nutzt standardmäßig den Port 25.

Ein SMTP-Server kann entweder im eigenen lokalen Netzwerk oder extern (z.B. über einen Provider) zur Verfügung gestellt werden. Die weitere Übermittlung im Internet erfolgt dann über sogenannte MTAs (Mail Transfer Agents). Die verständigen sich auch untereinander wieder über SMTP.

Bei der Abholung btw dem herunterladen von E-Mails habt Ihr die Wahl zwischen POP3 oder IMAP. Versendet wird aber ausschließlich über SMTP

In Sachen Sicherheit hat SMTP allerdings einige signifikante Nachteile. So werden beispielsweise zum einen keine Versandbestätigungen für Nachrichten zurückgeliefert. Geht eine E-Mail verloren, erfahren das also weder Sender noch Empfänger. Zudem ist das Protokoll textbasiert und die Kommunikation der SMTP-Server untereinander erfolgt im Klartext. Die Verbindung ist unverschlüsselt, das bedeutet, dass eine Mail, wenn sie angefangen wird, klar lesbar ist.

SMTP gibt es aber auch in einer gesicherten und verschlüsslten Variante und zwar über SMTP over SSL/TLS. Hierfür wird Port 587 benötigt. Ob ein Email Provider die Verschlüsslung der Übertragung unterstützt, steht meisstens bei den Konfigurationshilfen über freie Email Programme. Das bedeutet aber nicht, dass eure Emails verschlüsselt auf den Servern eures Emailanbieters liegen. Bei Google und den grossen Datenkraken liegen die Mails unverschlüsselt auf den Server und werden auch bekanntermassen von Google ausgewertet. Google hat zwar versprochen dies nicht mehr zu tun, diese Behauptung ist aber mehr als fraglich.

IMAP/POP 3

IMAP und POP3 sind zwei Protokolle, die für das Abrufen von E-Mails aus einem Posteingang auf einem Server verwendet werden. Beide wurden entwickelt, um auf verschiedene Art und Weise mit E-Mails umzugehen.

POP3 (Post Office Protocol 3):

POP3 ist ein einfaches Protokoll, das eine einmalige Verbindung zum E-Mail-Server herstellt, neue Nachrichten abruft und auf dem Gerät des Benutzers speichert. Nach dem Abruf werden die Nachrichten normalerweise vom Server gelöscht, es sei denn, es wurde anders konfiguriert.

Die unverschlüsselte Variante von POP3 verwendet den Port 110. Für die verschlüsselte Variante, POP3S, wird Port 995 verwendet.

IMAP (Internet Message Access Protocol):

IMAP ist ein fortschrittlicheres Protokoll, das eine ständige Verbindung zum E-Mail-Server aufrechterhält und eine Echtzeit-Synchronisation zwischen verschiedenen Geräten ermöglicht. Das bedeutet, dass wenn Ihr eine E-Mail auf einem Gerät lest, diese als gelesen auf all Euren anderen Geräten markiert wird.

Die unverschlüsselte Variante von IMAP verwendet den Port 143. Für die verschlüsselte Variante, IMAPS, wird Port 993 verwendet.

Vorteile von IMAP gegenüber POP3:

• Mehrere Geräte: Da IMAP die Nachrichten auf dem Server speichert und Änderungen synchronisiert, könnt Ihr Eure E-Mails auf mehreren Geräten konsistent halten. Dies ist sehr praktisch in unserer heutigen, immer stärker vernetzten Welt.
  
• Serverseitige Organisation: Mit IMAP könnt Ihr Ihre E-Mails in Ordner auf dem Server sortieren. Diese Organisation ist dann auf all Ihren Geräten sichtbar.
  
• Kein vollständiger Download erforderlich: IMAP kann die Header der E-Mail-Nachrichten (wie Betreff, Absender usw.) herunterladen, ohne den gesamten Inhalt der Nachricht herunterladen zu müssen. Das spart Bandbreite und Zeit, insbesondere bei großen Anhängen.
  
• Zugriff auf ältere Nachrichten: Da POP3 normalerweise Nachrichten vom Server löscht, nachdem sie heruntergeladen wurden, habt Ihr keinen Zugriff auf ältere Nachrichten, wenn Eurer Gerät verloren geht oder abstürzt. Mit IMAP bleiben alle Nachrichten auf dem Server, solange sie nicht gelöscht werden.
  
• Suche auf dem Server: Mit IMAP könnt Ihr den gesamten Inhalt Eurer Mailbox auf dem Server durchsuchen, ohne die Nachrichten herunterladen zu müssen.

Während IMAP in vielen Fällen vorteilhafter ist, kann POP3 immer noch nützlich sein, wenn Ihr nur ein einziges Gerät für den E-Mail-Zugriff verwendet und/oder eine sehr begrenzte Server-Speicherkapazität habt.

SSH (Secure Shell)

SSH (Secure Shell) ist ein Netzwerkprotokoll, das eine sichere Methode bietet, um Netzwerkdienste über ein ungesichertes Netzwerk zu betreiben. SSH bietet starke Passwort- und Public-Key-Authentifizierung, sichere Datenkommunikation, sichere X11-Verbindungen und bietet auch sichere TCP/IP- und X11-Portweiterleitungen. Mit SSH verbindet Ihr Euch zu lokaken oder remote Servern und ist die der Standard in der Serververwaltung.

SSH verwendet normalerweise den TCP-Port 22. Der Port kann jedoch konfiguriert werden, um eine andere Nummer zu verwenden, um zusätzliche Sicherheit zu bieten.

Die SSH-Authentifizierung mit öffentlichen Schlüsseln ist ein sicherer Weg zur Authentifizierung, der Passwörter ersetzen kann. Hier ist eine einfache Erklärung, wie es funktioniert:

1. Zuerst generiert der Benutzer auf seinem lokalen Computer ein Schlüsselpaar, bestehend aus einem öffentlichen und einem privaten Schlüssel.
2. Der öffentliche Schlüssel wird dann auf den Remote-Server kopiert und zur authorized_keys-Datei hinzugefügt, die sich normalerweise im .ssh-Verzeichnis des Benutzerkontos auf dem Server befindet.
3. Wenn der Benutzer versucht, sich über SSH anzumelden, sendet der Server eine Herausforderung, die nur mit dem privaten Schlüssel beantwortet werden kann.
4. Der Client beantwortet diese Herausforderung mit dem privaten Schlüssel. Der Server prüft die Antwort, indem er sie mit dem öffentlichen Schlüssel vergleicht. Wenn die Antwort korrekt ist, wird der Benutzer authentifiziert und die Verbindung hergestellt.

Wichtig ist, dass der private Schlüssel niemals den lokalen Computer des Benutzers verlässt und auch nie über das Netzwerk gesendet wird, was diese Methode sehr sicher macht. Darüber hinaus ist der private Schlüssel oft durch ein Passwort geschützt, was einen zusätzlichen Schutz bietet, falls der Schlüssel gestohlen wird.

WebDAV

WebDAV steht für "Web Distributed Authoring and Versioning". Es ist eine Erweiterung des HTTP-Protokolls, die es Benutzern ermöglicht, Webinhalte direkt zu bearbeiten und zu verwalten. Dies macht WebDAV zu einem nützlichen Tool für die Zusammenarbeit und Dateiverwaltung in einem Webumfeld.

Wofür ist es gut?

• Datei-Upload und -Download: Benutzer können Dateien von einem Webserver herunterladen und darauf hochladen, ähnlich wie bei FTP

• Dateiverwaltung: Benutzer können Dateien und Verzeichnisse erstellen, löschen und umbenennen.
  
• Mehrbenutzer-Bearbeitung: WebDAV unterstützt das Sperren von Ressourcen, was verhindert, dass mehrere Benutzer gleichzeitig dieselbe Datei bearbeiten und Konflikte entstehen.
  
• Versionierung: Es kann in Kombination mit anderen Systemen, wie z.B. DeltaV, verwendet werden, um Versionierungsfunktionalitäten für Webressourcen bereitzustellen.

Protokolle/Ports

• Protokoll: WebDAV erweitert das HTTP-Protokoll, daher verwendet es HTTP-Methoden wie GET, POST, PUT, aber fügt auch eigene Methoden wie PROPFIND, PROPPATCH, MKCOL, COPY, MOVE und LOCK hinzu.
  
• Ports: Da es auf HTTP (und HTTPS) basiert, verwendet WebDAV in der Regel den Standard-HTTP-Port 80 und den Standard-HTTPS-Port 443. Es kann jedoch auf anderen Ports konfiguriert werden, wenn dies vom Serveradministrator so festgelegt wird.

Viele moderne Betriebssysteme und Anwendungen bieten eingebaute Unterstützung für WebDAV, wodurch Benutzer Netzwerkfreigaben und Online-Viele moderne Betriebssysteme und Anwendungen bieten eingebaute Unterstützung für WebDAV, wodurch Benutzer Netzwerkfreigaben und Online-Speicherdienste auf eine Weise nutzen können, die sie von lokalen Dateisystemen gewohnt sind.

Abschluss

Ich hoffe der Artikel Netzwerkprotokolle Definition und Übersicht hat Euch gefallen. Nun haben wir die wichtigsten Protokolle die es zu kennen gilt mal kennen gelernt und grob angeschnitten. Für tiefere Kenntnisse gibt es weitere detailierte Informationen im Internet zu finden. Nun sind vielleicht einige Fragezeichen weg und beim konfigurieren eures Netzwerks kommen euch die einen oder anderen Zahlen und Begriffe nun etwas weniger fremd vor.

Habt Ihr Fragen Thema Netzwerkprotokolle Defintion und Übersicht, schreibt es gerne in die Kommentare!

The post Netzwerkprotokolle Definition & Übersicht appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Wie Ihr in diesem Artikel bereits gelesen habt, sind die Werbeversprechen einiger VPN Anbieter teilweise eine freche Lüge. Der Kuketz Blog hat dazu ebenso einige interessante Details aufgedeckt. Nord-VPN zum Beispiel wirbt mit vollständiger Anonymität, verkauft aber eure Email Adressen und trackt euch sogar mit der Smartphone App. Grotesker geht es garnicht. Deshalb möchte ich euch zeigen wie Ihr mit eurer Synology einen eigenen VPN Server einrichten könnt, mit dem ihr euch mit eurem Smartphone, Windows oder Linux Rechner ganz einfach verbinden könnt.

Für was brauche ich eigentlich einen eigenen VPN Server

Dafür gibt es verschiedene Szenarien. Der eigene VPN Server dient vorrangig dazu, euch mit euren eigenen Dienste oder Geräten zuhause auf eine sichere Art und Weise zu verbinden. Wollt ihr euch mit eurer NAS verbinden, den Status checken, oder unterwegs etwas konfigurieren, geht das am besten mit einem VPN Zugang. Ihr könnt euch natürlich mit den Hersteller-eigenen Zugangsportalen verbinden, diese schliesse ich persönlich jedoch immer als erstes, weil es quasi weitere unnötige Eintrittspforten in euer System darstellt. Hacker und Angreife spezialisieren sich meisst auf diese Tore und Portale, und sie stellen ein unnötiges Sicherheitsrisiko da, welches man ganz einfach verhindern kann, in dem an diese Eintrittspforten einfach schliesst.

Die VPN Verbindung ist verschlüsselt und nicht manipulierbar. Sitzt ihr in einem Internet Cafe oder in einem WLAN vom Hotel aus, und loggt euch über öffentliche WLANs in euer Heimnetz ein, ist dies eine deutlich sicherer als direkt Verbindungen via SSH auf einen Server.

Vorbereitungen

Zu aller erst müssen wir natürlich wieder eine Portweiterleitung für euren zukünftigen VPN Server erstellen. Wie das geht, habt Ihr bereits in diesem Artikel erfahren.
VPN benutzt den Port 1194 auf dem Protokol UDP, welchen ihr an eure Synology NAS weiterleiten müsst. Die Synology NAS muss auch über eine feste IP Adresse verfügen. Das geht entweder über das Synology NAS Interface, oder über euren Router.

Firewalleinstellungen

Geht als nächstes in eure Synology Firewall und fügt eine neue Regel hinzu, Ihr könnt eine einfach eine eigene Regel erstellen. Öffnet die Firewall wie im Screenshot unter Sicherheit/Firewall -> Regeln bearbeiten. Klickt auf Benutzerdefiniert und erstellt euch wie im Screenshot eine Erlaubnis für den Port 1194 auf dem Protokoll UDP

Bestätigt alles mit OK und klickt am Schluss auf Übernehmen.

Einrichtung dynamische DNS Adresse

Als nächstes müssen wir eine dynamische DNS Adresse erstellen. Das brauchen wir, da Privatanwender zuhause meisst keine fixe IP Adresse besitzen. Sollte sich die IP Adresse eures Routers ändern, habt, Ihr später keinen Zugriff mehr auf eurem Server zuhause. Deshalb erstellen wir uns eine dynamische DNS Adresse welche sich automatisch aktuallsiert und die Dienste an die veränderte IP Adresse schickt.

Geht dazu auf in den Synology Systemeinstellungen links auf den Reiter "Externer Zugriff", danach auf DDNS und klickt auf hinzufügen. Wählt als Serviceanbieter Synology und wählt euch eine Domain aus. Als Subdomain könnt ihr einen Namen Eurer Wahl hinterlegen. Beispielsweise "vpnAccessLAN". Es ist möglich dass einige Namen nicht funktionieren da möglicherweise schon besetzt. Falls die Einrichtung fehlschlägt, benutzt einfach einen andere Subdomain.

Verknüpft das ganze mit eurem Synology Konto, und entfernt den Haken bei Zertifikat bei Letsencrypt erhalten und als Standard festlegen. Heartbeat aktivieren könnt ihr ebenso weg lassen. Diese brauchen wir bei einer VPN Verbindung nicht.

Falls ihr die Domain auf verwenden wollt, um eure Synology vom Internet zuzugreifen, setzt den Haken für das Letsencrypt Zertifikat erhalten. Damit dies klappt, muss ein Portfowarding von eurem Router eingerichtet sind, und Port 80, muss auf die Synology IP zeigen.

Testet vorher die Verbindung und schaut ob die Adresse frei ist. Danach könnt Ihr auf OK bestätigen. Die Einrichtung kann eine kurze Zeit dauern. Falls sie fehlschlägt, testet wie bereits eine andere Subdomain. Habt Ihr eine gültige Adresse bekommen, notiert euch diese Adresse. Diese brauchen wir später zur Konfiguration.

Installation und Einrichtung VPN Server

Ladet euch als nächstes auf eurer Synology den VPN Server herunter, den findet Ihr im Packet Zentrum. Sucht nach VPN und installiert euch den VPN Server.

Nachdem ihr dem Server installiert habt, könnt ihr in auch gleich öffnen. Alle Vorbereitungen sind soweit bereits getroffen.

Konfiguration des eigenen VPN Servers

Wir benutzen für unseren Zugang das Protokoll OpenVPN, Das Protokoll ist kompatibel mit den gängigsten Apps, und die Profile können nachher ganz einfach in euer Smartphone, oder euren Linux bzw, Windows Rechner importiert werden.

Klickt also auf OpenVPN im in der linken Spalte und aktiviert zu aller erst mal den Dienst.

Hier können wir erst mal ein paar Einstellung überprüfen. Die Dynamische IP Adresse stellt das virtuelle Netzwerk da, welches der VPN Server in eurem Netzwerk erstellt. Ihr bekommt also eine IP Adresse aus diesem Bereich zugeteilt und könnt von diesem virtuellen Netzwerk auf euer LAN Netzwerk zugreifen. Lasst die Einstellung hier am besten wie sie sind. Ihr könnt natürlich auch einen anderen Adressraum benutzen. Der Adressraum sollte sich einfach nicht mit eurem eigenen LAN Netzwerk überschneiden.

Die Maximale Anzahlung Verbindung könnt Ihr ebenso festlegen wie, die Anzahl gleichzeitiger Verbindungen mit einem Konto. Stellt sicher, das Port 1194 und das Protokol UDP ausgewählt sind. Die Sicherheits- und Verschlüsslungseinstellungen könnt Ihr belassen wie sie sind. Stellt zudem sicher, dass Ihr den Haken bei "Clients den Server-Lan Zugriff erlauben" setzt, ansonsten habt ihr keinen Zugriff auf die anderen Geräte in eurem LAN Netzwerk.

Die Einstellung sind soweit erledigt. Als nächstes klickt Ihr auf Übernehmen. Danach findet Ihr an unterster Stelle den Button Konfigurationsdateien exportieren. Diese benötigen wir für die Konfiguration des Clients.

Konfiguration der OpenVPN Verbindung

Ladet euch die Datei runter, entpackt sie und öffnet sie mit einem gängig Texteditor. Hier müssen wir ein paar Einstellungen vornehmen.

Ersetzt als erstes den Eintrag unter "remote" mit der Domain die ihr euch oben via DDNS erstellt habt. Achtet auf eine korrekte schreibweisse. Dahinter muss der Port 1194 stehen.

ihr könnt theoretisch euren gesamten Datenverkehr eurer VPN Verbindung über euren Server leiten. Das bietet sich zum Beispiel an, wenn ihr mit der IP eures Heimanschlusses ins Netz gehen wollt, oder einfach dem WLAN mit dem ihr euch verbindet habt, nicht traut. Wählt Ihr diese Option, sieht es auch für euren Internetprovider, und alle anderen die euch tracken so aus, als würdet ihr zuhause sein. Bedenkt allerdings dass dies eure Verbindung verlangsamen kann, da wie gesagt, der gesamte Datenverkehr eures Clients über den VPN Server geleitet wird. Um die Funktion zu aktivieren, kommentiert den Eintrag einfach aus und entfernt das Raute/Doppelkreuz Symbol vor redirect-gateway def1. Ihr könnt zudem noch einen eigenen DNS Server angeben, falls ihr zuhause einen eigenen DNS Server betreibt.

Ihr müsst dann den Eintrag dhcp-option DNS auch auskommentieren und hinter DNS, die IP eures gewünschten DNS Servers einsetzen.

Das waren erst mal alle Einstellungen in der VPN Konfigurationsdatei. Speichert die Datei ab und schickt sie an das Gerät auf dem ihr die VPN Verbindung eingehen wollt.

Clients mit Synology VPN verbinden

Damit der Beitrag nicht zu lang wird, findet Ihr demnächst in den Kategorien Linux, Windows und Android eigene Beiträge, wie ihr euch mit den entsprechenden Geräten mit dem VPN Server verbindet. Wir sind hier erst einmal fertig 🙂

Habt ihr Fragen? Stellt sie gerne in die Kommentare!

The post Eigenen VPN Server mit Synology einrichten appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Eine Portweiterleitung ist ist die Weiterleitung bestimmter Daten für Dienste oder Services die auf bestimmten Rechnern bei euch zuhause laufen. Standardmässig blockt eine Firewall alle eingehenden Daten und Packete die quasi unangemeldet reinkommen. Anfragen aus dem Internet können somit nicht einfach so auf eure Rechner im Netz treffen, auch wenn das Ziel bekannt wäre. Habt Ihr Ihr beispielsweise einen sFTP Server zuhause stehen, und wollt von aussen über das Internet darauf zugreifen, funktioniert dass ohne bestimmte Regeln in der Firewall nicht einfach so.

Dienste werden zudem immer mit Eurer öffentlichen IP Adresse angesprochen, Ihr könnt nicht einfach die LAN IP Adresse des Gerätes eintragen da LAN Adressen unter einem bestimmten Format laufen, und dieses Format im lokalen Netzwerk benutzt wird. Deshalb muss immer die öffentlicher IP angegeben. Der Router schickt dann die Anfragen, bei gesetzer Route, an das richtige Gerät weiter. Hier kommt dann Portfowarding oder die Portweiterleitung ins Spiel.

Wie Ihr das Auf UPC/Sunrise und Swisscom Router einrichtet, erfahrt Ihr im nächsten Abschnitt.

Modems sollten vom Interface ähnlich sein wie die UPC Modems. Auf Fritzboxmodems heisst die Option genau gleich wie auf allen anderen Modems, sucht einfach etwas in den Einstellungen, diese Grundfunktion hat quasi jeder Router mit on Board. Habt Ihr ganz andere Modems, läuft es immer gleich, nur sie die Einstellungen an unterschiedlichen Einstellungen in Englisch heisst das ganze dann Portfowarding.

Swisscom Modem und die Portweiterleitung

Mithilfe dieser Einstellungen könnt Ihr die Port-Erweiterung aktivieren: 

Gebt in Eurem Internet-Browser http://internetboxIP oder häufig einfach 192.168.0.1 ein und loggt Euch mit Eurem Internet-Box Admin Passwort ein.

Wechselt in den Experten-Modus und geht via den Menüpunkt Netzwerk auf das Register Port-Weiterleitung

Die Port-Weiterleitung kann anschliessend automatisch oder manuell konfiguriert werden.

Automatische Konfiguration

Die automatische Konfiguration von Portweiterleitungs-Regeln durch Geräte im Heimnetzwerk, wird oft von modernen Spielkonsolen oder IP-Kameras verwendet. Der Vorteil ist, dass diese Geräte alle benötigten Ports automatisch öffnen, ohne dass Ihr etwas konfigurieren müsst. Um automatische Konfigurationen zu ermöglichen, muss im Web-Portal unter Netzwerk > Einstellungen > Portweiterleitung die Funktion UPnP IGD aktiviert sein.

UPnP Portweiterleitung muss dann aber auf dem entsprechenenden Gerät aktiviert bzw gestartet werden. Die Konfiguration geschieht also auf dem Gerät selber welches die entsprechende Weiterleitung benötigt.

Manuelle Konfiguration

Eure individuelle Port-Weiterleitungen könnt Ihr im Web-Portal der Internet-Box konfigurieren. Sobald Ihr in den Expertenmodus wechselt, findet Ihr unter dem Menu Portweiterleitung die Konfigurationsmöglichkeiten. Mit Regel hinzufügen könnt Ihr neue Portweiterleitungen pro Gerät einrichten. Für jeden Port oder Portbereich muss eine separate Regel erstellt werden. Ergänzt dazu die Felder mit den entsprechenden Informationen.

Wollt Ihr zum Beispiel einen sFTP Dienst auf eurer NAS erreichen, müsst ihr als Ziel die LAN Adresse der NAS eingeben. Als lokalen Port gebt ihr den Port an, den ihr für den Dienst eingerichtet habt. Als Protokol nimmt man zum grössten Teil immer TCP, schaut aber vorher nach, welches Protokol Euer gewünschter Dienst benötigt.

UPC Modem zum Beispiel Giga Connext Box

Öffnet die Standard IP Adresse Eures Modems (192.168.0.1) und gebt die Logindaten die Ihr für euer Modem bekommen habt, bei manchen Modems stehen die Login Daten auf dem Boden des Gerätes.

Geht anschliessend in die erweiterten Einstellungen auf den Reiter Sicherheit und klickt auf Portweiterleitung.

Automatische Port Weiterleitung

Aktiviert hier einfach die Funktion UPnP um die automatische Konfiguration über die Geräte vornehmen zu lassen.
Zum Beispiel könnt Ihr dann die Regeln auf einer Synology NAS unter "Routerkonfiguration" die Portweiterleitung automatisch einrichten lassen.

Manuelle Port Weiterleitung

Klickt nun auf eine neue Regel erstellen. Als Zieladresse gebt ihr wieder die IP eures Geräts an, der den Dienst übernimmt. Port Range lokal bei beiden den gleiche Port, und bei Extern ebenso angeben. Protokol dann je nach Dienst wieder TPC oder UDP. Klickt auf Bestätigen und überprüft Eure Regel.

Habt ihr für das Gerät 192.168.0.99 den Port 2100 freigegeben, muss das wie im Screenshot unten aussehen.

Nun könnt Ihr mit Eurer Öffentlichen IP Adresse den Dienst auf dem konfiguriertem Gerät erreichen.

Wollt Ihr weiteres über Dienst, Ports und Protokolle wissen? Dann schaut hier vorbei!

Habt Fragen zum Thema Portweiterleitungen auf Swisscom oder UPC Modem erstellen, schreibt es in die Kommentare!

The post Port Weiterleitung für Dienste erstellen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Der Grundsatz für ein gutes Back sind Drei Datenkopien, zwei Medien, ein externes Backup. Das ist der Kern des 3-2-1-Prinzips. Geprägt wurde das Konzept, das heute als goldene Regel jeder Datensicherungstrategie gilt, von dem US-amerikanischen Fotografen Peter Krogh. Wie dieses Konzept genau aus?

Weltweit gingen gemäß dem Breach Level Index, in den ersten sechs Monaten 2018 rund 4,5 Milliarden Datensätze verloren und damit um 133 Prozent mehr als im vergleichbaren Vorjahreszeitraum. Welche Ursachen gibt es? Die Ursachen hierfür sind vielschichtig und reichen von Hard- oder Softwarefehler über menschliche Nachlässigkeit bis hin zu Datenschutzverletzungen. Dies ist meisst das Ergebnis vorsätzlicher Insider-Angriffe oder externer Cyberattacken.

Laut Zahlen des Branchenverband Bitkom sind auch deutsche und Schweizer Unternehmen hiervon stark betroffen. Jede zweite Firma verzeichnete in den Jahren 2016 und 2017 Datenverluste. Schlägt dabei jeder verloren gegangene Datensatz mit im Schnitt knapp 150 Euro zu Buche, wie aus einer beim Ponemon-Institut beauftragten IBM-Studie mit dem Titel „Cost of Data Breach 2017“, hervorgeht, kann schnell eine hübsche Summe zusammenkommen.

Eine BackUp ohne Datenschutzmaßnahmen geht nicht

Im Hinblick darauf, dass sich in der digitalisierten Geschäftswelt die umfassende Verfügbarkeit von Unternehmensdaten und der unterbrechungsfreie Zugriff auf diese zu einer überlebenswichtigen Notwendigkeit für Firmen jeder Größenordnung entwickelt hat, ist deren Schutz entscheidender denn je. Hinzu kommt, dass die hierfür geltenden gesetzlichen Bestimmungen und Vorgaben angezogen haben und die mangelnde Einhaltung harsche Konsequenzen nach sich ziehen kann.

Insofern sind Unternehmen stärker denn je gefordert, dass Risiko eines Datenverlustes so gering wie möglich zu halten. Hier kommt wiederum die 3-2-1-Regel ins Spiel, die auf Peter Krogh zurückgeht. Zur ersten Gruppe zählte der ausgewiesene Digital-Asset-Management- (DAM) Experte selbst, was vermutlich den Ausschlag für das von ihm aufgestellte und übergreifend übernommene Backup-Prinzip gab. Dieses beruht auf drei Grundpfeilern.

1. Ein gutes BackUp hat mindestens drei Datenkopien

Damit im Worst Case nichts verloren geht, sollten Anwender mindestens drei Kopien von ihren Daten erstellen. Dabei sollten die Originale von Produktivdaten einmal primär gespeichert sein und von diesen zudem Backups angefertigt werden.

Warum reicht eine Sicherung nicht aus? Dass lässt sich anhand statistischer Ausfallwahrscheinlichkeiten beantworten. Diese liegt bei eins zu zehntausend, sobald Originaldaten und deren Sicherung auf zwei unterschiedlichen Systemen mit gleichen Eigenschaften aufbewahrt werden. Dies liegt daran, dass die Wahrscheinlichkeit, dass diese aus unterschiedlichen Gründen und damit unabhängig voneinander ausfallen, jeweils 1/100 beträgt. Damit gilt für die Berechnung des oben angeführten Ergebnisses folgende Formel: 1/100 * 1/100 = 1/10.000.

Kommt ein weiteres Backup auf einem dritten System hinzu, bedeutet dies, dass die Wahrscheinlichkeit eines gleichzeitigen Ausfalls aller drei Geräte auf 1/1.000.000 abnimmt. Insofern sinkt mit jeder Backup-Kopie, das Risiko von Datenverlusten in Folge eines Ausfalls. Allerdings sollte eine oder mehrere Sicherungskopien, nicht am gleichen physischen Standort wie die Originale aufbewahrt werden. Nur so lässt sich sicherstellen, dass Daten auch im Disaster-Recovery-Fall schnell bereitgestellt werden können und der Geschäftsbetrieb dadurch nahezu unterbrechungsfrei weiterläuft.

2. Speicherung der Daten auf mindestens zwei verschiedenen Medien

Verschiedene Speichertechnologien weisen unterschiedliche Fehleranfälligkeiten und sich daraus ergebende Ausfallwahrscheinlichkeiten auf. Indem Daten und deren Kopien auf unterschiedlichen Speichern aufbewahrt werden – in diesem Zusammenhang spricht man auch von einem Medienbruch – lässt sich somit die Eventualität eines Datenverlusts verringern.

Empfehlenswert ist in diesem Zusammenhang erneut verschiedene Speicherorte für primäre Daten und deren Backup zu wählen sowie darauf zu achten, dass die genutzten Alternativen über integrierte Schutzfunktionen und –verfahren verfügen.

3. Eine Backup-Kopie an einem externen Standort

Ganz klar: Befinden sich alle Daten am gleichen Standort und sind physisch nicht voneinander getrennt, gehen sie im Katastrophenfall vermutlich für immer verloren. Daher sollte ein Backup stets extern aufbewahrt werden. Dies kann je nach inviduell festgelegter Strategie auf Disk, Band, in der Cloud etc. sein.

Auch 3-2-1 will geplant sein

Die Anwendung der 3-2-1-Regel für ein gutes und sicheres BackUp setzt eine Reihe von Überlegungen voraus. Beispielsweise, was genau soll wie oft gesichert werden, mit welchen Mitteln und auf welchen Systemen sollen die Backups gespeichert werden, wie werden Offsite-Kopien gehandhabt? Ebenso sollten Verantwortlichkeiten und Zuständigkeiten geklärt werden. Selbstverständlich lässt sich zudem die Zahl der zu erstellenden Kopien, verwendeten Speichermedien und Offsite-Standorte an denen Backups aufbewahrt nach Datenschutzanforderungen beliebig variieren. So kann aus 3-2-1 auch 6-4-2 werden.

Ich hoffe Euch die Grundregeln eines Backups etwas näher gebracht zu haben, habt Ihr Fragen, schreibt sie in die Kommentare!

The post Was ist ein gutes BackUp appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Zwar gibt es schnellere, extra auf grosse Datenmengen ausgelegte spezial Protokolle wie NFS, doch für den Heimgebrauch über ein Gigabit Netzwerk ist das FTP oder sFTP Protokol mehr als ausreichend. Habt Ihr den sFTP Dienst auf ihre Linux Rechner installiert, könnt ihr folgendermassen darauf zugreifen. Wollt ihr wissen was es für weitere Netzwerkprotokolle gibt? Geht in die Infozentrale und scrollt runter zu Netzwerkprotokolle.

Vorbereitung der Synology NAS

Öffnet auf eurer Synology die Systemsteuerung und geht im Reiter Konnektivität auf die Einstellung "Dateidienste"

Klickt oben im Reiter auf den Dienst FTP, und scrollen sie ganz nach unten. Aktiviert sFTP und  wählt den Portbeispielsweise den 88 (Normalerweise wird Port 22 genommen, aber auch sicherheitstechnischen Gründen nehmen wir hier einen anderen Port, auch damit andere Dienste wie SSH ja ihren eigenen Standartport ungestört verwenden können.

Lasst alle Einstellungen so wie sie sind. Geht als nächstens im Linken Menü auf den Reiter "Sicherheit" und wählt dan oben den Punkt "Firewall. Aktiviert die Firewall", falls Ihr es nicht schon gemacht habt. Klickt danach auf "neue Regel bearbeiten"

Wählt als nächstes den Punkt "Erstellen" und nehmt die Option "Benutzerdefiniert"
Im Nächsten Feld definiert Ihr die Einstellungen wie im Bild ersichlich (Typ = Port des Zielordners; Protokol = TCP; Port = 88)

Vergewissert Euch am Schluss das Eure Synology NAS eine fixe IP Adresse in Ihrem Netzwerk hat. Dies sollte bei einer NAS sowieso der Fall sein. Wenn nicht, weist Ihr Euer NAS über das DHCP Menü Ihres Routers ein feste IP zu. Ihr könnt eure Synology NAS auch über die Systemsteuerung/Konnektivität, dann Netzwerkschnittstelle/IPv4 eine manuele Konfiguration verwenden. Beispielsweise wie im folgenden Bild.

IP Adresse (eure gewünschte IP)
Subnetzmaske (Standardmase 255.255.255.0)
Gateway (IP Ihres Routers)
DNS Server (1.1.1.1 für den DNS Server von Cloudflare)

Mein Netzwerk hat einen eigenen DNS Server deshalb steht bei mir meine IP bei DNS-Server. Wenn ihr keinen DNS Server habt, benutzt einen beliebigen.

Die Einstellungen für die Synology NAS sind nun erledigt.

Hinzufügen des Servers auf dem Linux Rechner

Auf dem Linux Rechner öffnet nun den Dolphin Browser. Klickt links unter Fremdgerät auf Netzwerk. Wählt oben beim Button "Remote" "sftp" aus.

Anschliessend gebt oben in der Netzwerksuche die Serveradresse euer Synology NAS ein. In meinem Fall wäres das sftp://192.168.0.54:88
88 steht für den Port den wir auf der Synology für sftp ausgewählt haben. Bestätigt mit Enter. Gebt anschliessend den Benutzernamen und das Passwort eurer Synology NAS ein.

Ihr solltet nun in Hauptverzeichnis Eurer Synology NAS sein. Ihr können rechts ins Feld einen Rechtsklick tätigen, und das Hauptverzeichnis unter Fremdgeräte hinzufügen.

Nun habt Ihr Direktzugriff auf Eure Synology NAS und könnt nach belieben Dateien austauschen, bearbeiten, löschen oder verschieben.

Habt ihr noch Fragen? Stellt sie einfach in den Kommentaren

The post Linux Rechner mit Synology NAS verbinden ohne Windows SMB Dienst appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Ausgangspunkt

Im Folgenden wird von dieser Situation ausgegangen:

• Das /home-Verzeichnis liegt auf der Systempartition.
• Eine leere Partition im ext4-Format steht zur Verfügung. Wenn dies nicht der Fall ist, muss man zunächst eine solche Partition erstellen.

Stellt sicher dass die Partition nicht eingehängt ist und kein Schlüsselsymbol vorhanden ist. Die Festplatte muss für jeden zugänglich sein Öffnen sie dafür einen Partitionsmanager Ihrer Wahl, wählen sie die Partition aus, klickt darauf mit einem rechtsklick und wählt "aushängen"

Um ungewollte Nebeneffekte zu vermeiden, muss man sich nun aus der grafischen Oberfläche (GNOME, KDE, Xfce etc.) abmelden, und mit Strg + Alt + F3 zu einer Virtuelle-Konsole wechseln. Dort meldet man sich mit dem üblichen Benutzernamen und Passwort an.

Neue Linux Partition als Home Speicherplatz einbinden

Mit fdisk -l erhalten sie einen Überblick aller vorhandenen Disk & Partition in Ihrem System. Sucht Sie Euch die Partition die neu als /Home Speicherort gelten soll herraus und notiert Euch den Pfad. Auf meinem Testsystem wäre das die 1.82TB Synology Festplatte. Diese hat den Pfad /dev/sda Der Pfad der Partition wäre bei mir also /dev/sda1

Bindet die Festplatte an einem neu erstellten Einhängepunkt ein in dem Ihr folgende Befehle eingebt:

sudo mkdir "/mnt/tmp" 

und danach:

sudo mount /dev/sda1 /mnt/tmp

Jetzt können wir noch noch sämtliche Dateien im originalen Homeverzeichnis in den neuen temporär angelegten Anhängepunkt kopieren indem wir den Befehl

sudo cp /home/* /mnt/tmp 

ausführen. Jetzt werden alle Dateien in den temporären Anhängepunkt kopiert. Habt ihr noch keine Datein im Ordner Home, könnt ihr den Schritt natürlich überspringen.

Jetzt können wir den temporären Anhängepunkt testweise in den vorgesehenen Endpunkt einbinden in dem wir

sudo mount /dev/sda1 /home

Als nächstes überprüfen wir, ob das mounten geklappt hat, indem wir den Befehl "du -sh /home; mount|grep /home" eingeben. Die Ausgabe müsste ungefähr so aussehen: 2.5g steht für den Speicherverbrauchs des Home Ordners

Alten Home Anhängepunkt löschen und neue Partition verwenden

 Nun kann das alte /Home verzeichnis ausgehängt und gelöscht werden. Das machen wir mit den Befehlen
umount /home und anschliessend rm -rf /home/*

Leider mountet ein Linux System eine eingefügte Partition nicht automatisch in den /Home Ordner des Benutzers, und müsste quasi jedesmal wiederholt werden. Damit uns das erspart werden, tragen wir noch die Partition in die Datei etc/fstab ein. Diese sagt dem System wo sie Partition beim start einbinden muss. Zuerst müssen wir aber noch die UUID der Partition herrausfinden. Das machen wir mit dem befehl blkid

Die UUID der Partition die eingebunden werden soll, lautet in diesem Beispiel:
b181d4fe-106c-4171-aa6a-663288d3fe65

Diese ID müssen wir nun in die Datei fstab einpflegen. Wir öffnen die Datei mit de Befehl

nano /etc/fstab

und fügen folgende Zeile am Ende da Datei ein:

# /dev/sda5

UUID=b181d4fe-106c-4171-aa6a-663288d3fe65  /home   ext4   defaults   0 2

Das ganze muss dann so aussehen:

Das ganze Speichern wir ab mit "ctrl+o" und beenden mit "ctrl+x"

Nun können wir die virtuelle Konsole schliessen mit Ctrl + Alt + F3 und den Computer neu starten. Jetzt sollten alle Ordner vorhanden sein, und der Speicherort ist jetzt die hinzugefügte Partiton. Überprüfen könnt ihr das indem ihr im Dolphin Explorer unten links die Festplatte auswählt, und deren Inhalt überprüft.

Wie Ihr Euren Home Ordner auf eine NAS sichert erfahrt Ihr hier in diesem Beitrag.

Ich hoffe der Beitrag Home Ordner Verzeichnis auf Linux umziehen  hat Euch gefallen, habt Ihr Fragen, schreibt sie in die Kommentare!

The post Home Order auf Linux umziehen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Leider unterstützt der Windows Explorer kein verschlüsseltes FTP Protokoll, und somit müssen wir auf ein separates Opensource Programm zurückgreifen. Den Download finden ihr ganz unten.

Auf eurem Windows Rechner sind erstmals keine Firewalleinstellungen notwendig da ihr am Windows Rechner als Client agiert.

WinSCP

Ladet die App  WinSCP herunter und installiert sie an einen beliebigen Ort. Wählt während der Installation den Aufbau des Userinterfaces der App. Wählt hierfür am besten "Commander" aus damit ihr im selben Fenster der App einen parallelen Explorer angezeigt haben wollt, welcher euren Windows Rechner darstellt. Damit könnt Ihr dann quasi von links nach rechts und umgekehrt eure Daten verschieben. Wählt "Explorer" falls ihr nur die Sitzung am Server dargestellt haben wollt. Damit könnt ihr dann per Drag & Drop Dateien aus eurem Windows Explorer in den Explorer der Applikation verschieben und umgekehrt.

Einrichtung

Habt ihr die App geöffnet gehts folgendermassen weiter: direkt beim Start könnt Ihr eine neue Sitzung starten.

Tragt hier nun eure sFTP Benutzerdaten vom Linux Server ein mit der IP Adresse für den LAN Zugriff. Belasst die Portnumer bei 22 oder je nachdem was ihr auf eurem sFTP Server eingerichtet habt. Speichert zudem mit dem Speichern Button die Anmeldung als Standard ab, damit werdet ihr immer sofort mit dem Server verbunden. Bei der ersten Verbindung werdet ihr gefragt ob ihr den Server vertrauen und ob ihr ihn in die Liste vertrauenswürdiger Geräte hinzufügen möchtet. Bestätigt diese Anfrage natürlich mit Ja.

Anwendung

Jetzt seid Ihr im /Home Verzeichnis eures Linux Servers. Nun könnt ihr Dateien nach belieben, löschen, hinzufügen oder hin und her verschieben. Ich habe die Explorer Version gewählt und kann so nun Daten aus dem Windowsexplorer direkt in den gewünschten Ordner des Linux Servers verschieben.

Nun habt ihr auch von eurem Windows Rechner Zugriff auf euren Linux sFTP Server und könnt auf Dateien, Ordner und Dokumenten zugreifen und habt sie immer verfügbar.

Habt Ihr Fragen? Stellt sie gerne unten in die Kommentare!

Downloads

WinSCP-5.21.5-SetupHerunterladen

The post Mit Windows auf Linux sFTP Server zugreifen appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

In dieser Anleitung zeige Ich Euch, wie Ihr einen sFTP Server einrichtet, und Euch mit dem Smartphone darauf via LAN und Internet damit verbindet.

Vorbereitungen um Linux sFTP Server mit Smartphone zu verbinden

Da wir im Systeverzeichnissen Änderungen vornehmen, müssen wir root Rechte haben, ansonsten dürfen wir bei jeder Änderung immer "sudo" und unser Passwort eingeben auch wenn wir den Befehl mit sudo starten.
Falls Ihr nicht immer das Passwort eingeben wollt: führt zuerst den Befehl sudo -i aus. Damit habet Ihr für diese Sitzung root Rechte.

Einrichtung um mit sFTP  Server via LAN zu verbinden

Schritt 1 SSH auf Linux Rechner installieren

Da sFTP über SSH läuft, müssen wir zuerst SSH auf dem Linux Server installieren.
Das macht ihr mit folgendem Befehl:

sudo apt install ssh

Dazu noch den openssh-server mit:

sudo apt install openssh-server

Schritt 2 SSHD Konfiguration für Linux sFTP Benutzergruppen ändern

Nachdem ihr SSH installiert habt müssen wir die Datei sshd_config bearbeiten. Das machen wir indem wir den Befehl nano /etc/ssh/sshd_config ausführen. Navigiert zum Ende der Datei und fügt folgendes hinzu:

Match group sftp
ChrootDirectory /home
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp

Möchtet Ihr Euren eigenen Benutzer der Gruppe hinzufügen, als Euch als Benutzer, dann fügt am Ende die Zeile hinzu und ersetzt <benutzername> mit Eurem Benutzernamen.

AllowUsers <benutzername>

Die obige Konfiguration ermöglicht der sftp-Benutzergruppe den Zugriff auf Euer Home-Verzeichnisse über sFTP. Allerdings darf nicht auf die normale SSH-Shell zugegriffen werden. Speichert mit "ctrl+o" und bestätigt mit der Enter Taste. Beendet nano mit "ctrl+x"

Damit die Änderung wirksam werden müsst Ihr den SSH Service neu starten. Das erledigt Ihr mit dem Befehl sytemctl restart ssh

Schritt 3 Eine sFTP Benutzergruppe und Benutzer anlegen

Falls Ihr nur Euch als Benutzer hinzufügen möchtet, reicht es die Zeile AllowUsers wie oben beschrieben hinzuzufügen. Möchtet Ihr mehreren Benutzern Zugriff auf verschiedene Unterordner erlauben, geht wie folgt vor:

Damit wir einen Login für unsere App später haben müssen wir zuerst Benutzergruppe und einen Benutzer erstellen. Mit dem Befehl addgroup sftp erstellen wir in der Konsole eine sFTP Benutzergruppe

Alle Benutzer die einen sFTP Account haben sollen fügen wir jetzt der sFTP Gruppe hinzu. Das geht wie folgt.

useradd -m benutzer1 -g sftp

Als nächsten setzen wir ein Passwort für den eben erstellten benutzer1, das geht wie folgt mit dem Befehl passwd benutzer1
Wählt ein sicheres Passwort aus und bestätigt es.
Der neu erstellte Benutzer hat allerdings noch keine Rechte und kommt garnicht in den  Home Ordner hinein, damit Benutzer1 auf seinen Ordner zugriff hat, aber auf die anderen nicht erteilen wir die Rechte wie folgt:

chmod 700 /home/benutzer1/

Der benutzer1 hat nun Zugriff auf sein Verzeichnis benutzer1/

Auf andere Ordner darf er aber nicht zugreifen, ebenso so dürfen andere sFTP Nutzer nicht auf sein Verzeichnis zugreifen.

Die Einrichtung für den Zugriff über das eigene LAN ist bereits abgeschlossen.

Einrichtung um mit den Linux sFTP  Server via Internet zu verbinden

Damit der Zugriff über das Internet funktioniert, braucht Ihr eine feste IP Adresse, dies haben in der Regel aber die wenigsten, falls Ihr einen normalen Internetanschluss habt, besitzt Ihr keine feste IP Adresse. Die IP Adresse wechselt in der Regel von Zeit zu Zeit und verhindert beim Wechsel den Zugriff auf den sFTP Server.

Um ein Zugriff über eine immer wechselnde IP Adresse zu ermöglichen brauchen wir ein Domain, genauer gesagt eine Dienst der jedesmal auf Eure neue IP Adresse verlinkt und automatisch die neue IP übernimmt, sobald sich diese ändert. Das geht über DynDNS.

Bei DynuDNS können wir uns eine Domain erstellen, die wir nachher brauchen und von aussen auf den sFTP Server zuzugreifen. Erstellt Euch also einen Account hier und loggt Euch anschliessend ein.
Im Control Panel wählt als nächstes den DDNS Service und erstellt Euch eine Adresse. Als Host wählt Ihr z.B Euren Namen, und als Top Level Domain einen belieben Anbieter. Ich habe mir z.B die Adresse mario.hofmann.freeddns.org ausgewählt. Wählt dann anschliessend den Button "Add" aus.

Im Nächsten Feld befindet Ihr Euch nun in Eurer Domainübersicht. Tätigt die Einstellung wie wie folgt, und setzt Eure eigene IP Adresse in das Feld IPv4 Adresse. Eure aktuelle IP findet ihr rechts oben, oder über den Service Wie ist meine IP

Als nächstes geht Ihr rechts auf den Eintrag "DNS Records" und checkt ob Euch DynDNS bereits einen korrekten A-Rekord eintragt gesetzt hat. Aussehen sollte es so:

Falls kein Eintrag da ist, könntihr oben einen erstellen. "Node Name" leer lassen, "Type": ipv4, "TTL" könnt ihr so lassen,

IPv4 Adresse Eure aktuelle IP Adresse, Group könnt leer lassen. Anschliessend mit Add DNS Record übernehmen.
Voila, Ihr habt nun eure eigene Domain die automatisch jedesmal auf eure neue IP Adresse zeigt, sobald diese sich ändert.

 Die Anleitung gibt es auch hier als Beitrag.

Portweiterleitung am Router für den sFTP Service

Öffnet Euer Router Menu und erstellt dort eine Portweiterleitungsregel die den Port 22 auf die interne IP Adresse Eures Linux verweisst. Habt Ihr einen HomeServer von uns, wäre das die Adresse 192.168.0.50
Wie ihr solch eine Regel erstellen könnt, hängt natürlich immer vom Router ab. Im Internet finden sich viele Anleitungen zu eurem Router, leider kann ich hier keine Anleitung geben da es sehr viele Router Modelle gibt. Wichtig ist, dass Port 22 auf die interne Adresse Eures Servers zeigt und als TCP konfiguriert ist. Bei mir sieht das in etwa so aus:

Bei mir hat der Server die Adresse 192.168.0.194. Falls Ihr ein anderes Gerät bzw einen anderen Server mit einer anderen Adresse habt, achtet darauf dass die Adresse des Servers fixiert ist.

Eine genauere Anleitung der Portweiterleitung findet Ihr auch hier in diesem Beitrag.

Firewall Regel auf dem Linux Server erstellen

Öffnet die Konsole und gebt folgendes ein um die Firewall zu aktivieren falls nicht schon getan:
sudo ufw enable
Als nächstes erlaubt Ihr den Zugriff via Port 22 indem ihr folgendes eingebt: sudo ufw allow 22

Zugriff via cx Dateiexplorer für Euer Smartphone

Ladet Euch die App cx Datei Exlorer aus dem Playstore oder Aurora Store herrunter und öffnet die App.
Geht danach auf den Reiter "Netzwerk" in der Mitte und wählt den Blaue Button "Neuer Speicherort"

Fügt die IP Adresse Eures Servers für den Zugriff via LAN hinzu und tragt die Daten des Benutzers ein, den wir im sFTP Setup erstellt haben und drücket auf OK. Wichtig dabei ist, dass Ihr Euch dabei im LAN befindet, und nicht wie bei mir auf dem Screenshot via Mobilfunk eingeloggt seid.

Danach solltet Ihr Euch im Home Ordner Eures Servers befinden.

Geht wieder zurück auf den Reiter Netzwerk und fügt einen neuen Speicherort hinzu.

Tragt nun Eure erstellte Domain inkl Benutzer und Passwort ein. Damit dies funktioniert, Ihr müsst mit dem Mobilfunknetz verbunden sein. Im Eigenen Netzwerk kann zu Problemen führen, vor allem bei Sunrise oder UPC Routern da diese eine bestimmte Funktion nicht unterstützen. Bei Swisscomroutern kann auf die Domain auch im eigenen LAN Netzwerk zugegriffen werden.

Ihr solltet nun wieder mit eurem Home Ordner des Linux Servers verbunden sein.
Mit der App könnt ihr nun Dateien hin und her kopieren, löschen und herrunterladen.

Bei Euch wird natürlich nur der Benutzer1 angezeigt, und Euer Administrator Konto. Mit diesem könnt Ihr Euch natürlich auch via sFTP anmelden. Der  aktuell eingeloggte Nutzer hat natürlich nur auf sein Benutzerkonto Zugriff. Der Administrator ebenso nur Zugriff auf sein eigenes Konto.

Nun haben wir es endlich geschaft und Ihr kleiner voll verschlüsselter sFTP Server ist eingerichtet.

Habt ihr Fragen? Schickt doch einen Kommentar ab und stellt Eure Fragen!

The post Linux sFTP Server mit Smartphone verbinden appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Die Cookies jedes Containers können sich auch nicht mehr gegenseitig abfragen, es wird schwieriger für Tracking Unternehmen Ihren Browser Verlauf aufzuzeichen.

Zudem ist es sowieso immer ratsam, eure beruflichen Nutzung des Internets, oder auch das Nutzen eines e-Banking Services, von euren privaten Sitzungen fern zu halten.

Installation

Installieren könnt ihr das Addon über die Suche in den Firefox Addons.

Anwendung

Wie bereits beschrieben erstellt das Add-On bereits 4 Kategorien, die ihr auch einfach in der Tab Verwaltung des Add-Ons umändern bzw umbenennen könnt. Habt ihr nun das Add-On installiert geht es am einfachsten, wenn ihr zunehmend alle Internetseiten die sie von Zeit zu Zeit besuchen, einzeln in die Kategorien einordnet. Das könnt ihr machen indem ihr im Suchfenster des Browser rechts auf das Extension Symbol klickt, und die entsprechende Kategorie auswählt. Die Internetseite öffnet sich jetzt im neuen Container. Wenn ihr die Seite das nächste mal besucht, wird euch das Add-On nochmals fragen, ob ihr diese Seite in diese Container öffnen wollt. Dies bestätigt ihr dann einfach mit Ja und wählt die Option "Meine Entscheidung für diese Webseite merken"

Fertig ist das Setup des Add-Ons

Habt ihr noch Fragen zum Multi Account Container für  euren Firefox Browser? Nur zu, haut es in die Kommentare!

The post Multi Account Containers für Firefox appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Ich stelle euch eine Methode vor, wie ihr eure Daten vor neugieren Mitarbeitern, und dem Anbieter selbst schützt, und verschlüsselt ablegt. Möglich ist das mit einer Applikation namens Cryptomator.

Cryptomator selbst ist eine quelloffene OpenSource App deren Software von mehreren hunderten Experten aus der Open Source-Community eingesehen und geprüft wird.

Installation

Die Software könnt ihr unten im Link herrunterladen. Wählt euer Betriebssystem für den Download aus. Während der Installation bestätigt das License Agreement, klickt zweimal auf „next“ und zu guter Letzt auf „finish“. Meldet ich die Firewall beim ersten Start, erlaubt der App die Nutzung des Internets.

Tresor anlegen

Die App arbeitet mit einem sogenannten Software Tresor der als Netzwerklaufwerk eingebunden werden kann. Erstellt zu erst einen persönlichen Tresor mit dem Plus zeichen, dann "neuen Tresor erstellen" und gebt den Tresor anschliessend einen Namen der Bezug auf die verwendeten Cloudanbieter hat, z.B "Adobe Tresor"

Danach öffnet sich ein Fenster wo ihr den Speicherort des Tresors auswählen könnt. Klickt "Durchsuchen" worauf sich der Linux oder Windows Explorer öffnet, worin ihr nun zum Beispiel euer Dropbox, Onedrive oder Adobe Cloud Ordner auswählen könnt. Der Order mit dem Namen Adobe Tresor wurde nun direkt in Ihrem Cloud Ordner erstellt.

Anschliessend wählt ein ausreichen starkes Passwort und wählt ob ihr eine Wiederhestellungsphrase bei Verlust des Passworts erstellen wollt. Bestätigt und entsperrt im nächsten Schritt euren Tresor. Der Tresor wurde erstellt und geöffnet.

Wenn ihr euch nun den Explorer anschaut, merkt ihr das Cryptomator ein neues Laufwerk mit diesem Namen "Adobe Tresor"  erstellt hat. Hier könnt ihr nun sämtliche Dateien und Photos, Dokumente und etc ablegen, welche automatisch verschlüsselt werden und direkt in euren Adobe/Cloud Ordner liegen. Eure ganzen Dateien könnt ihr nun direkt in diesen Tresor schieben. Voila, ihr habt eine verschlüsselte Cloud!

Ein Problem ergibt sich leider aus der ganzen Sachen, möchtet ihr nun Unterwegs auf Ihren Ordner zugreifen, findet ihr nun natürlich eine verschlüsselte Datei vor die ihr mit der Cloud App selber nicht öffnen könnt. Auch nicht mit dem Passwort da der Ordner direkt nicht sichtbar ist. Dazu benötigt ihr die Cryptomator Android App, die aber zum jetzigen Stand ca 12Fr kostet. Mit dieser könnt in der App selber auf Ihren Cloud Anbieter zugreifen und den nun sichtbaren Tresor öffnen.

Wenn ihr das Geld nicht ausgeben wollt, könnt ihr Dateien in den normalen Cloud Bereich schieben, und dann später am Rechner Zuhause auf dem Cryptomator installiert ist, die Dateien in den verschlüsselten Ordner schieben.

Möchtet ihr Cryptomator auf einem zweiten Rechner benutzen, installiert die App einfach dort, und wählt nun "Tresor öffnen" aus. In eurem Cloud Ordner befindet sich die Datei vault.cryptomator, wählt diese aus und gebt euer Passwort ein. Nun steht euch das Laufwerk ebenso auf dem zweiten Rechner zu Verfügung. Mit dem Notebook unterwegs geht das natürlich auch.

Fazit

Ein super einfache App die in wenigen Minuten eingerichtet ist, ihr könnt natürlich die App als reinen Tresor für eurewichtigen Dateien Zuhause benutzen. Dafür benutzt ihr einfach ein Ordner Ihrer Wahl ausserhalb eures Cloudspeichers. Nun kann kein Anbieter und kein Neugieriger Mitarbeiter mehr eure Dateien durchstöbern 🙂

Habt ihr Fragen? Stellt sie gerne unten in die Kommentare!

Download

https://cryptomator.org/de/

The post Daten in der Cloud verschlüsseln appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.

Warum Privatsspähre Addons für den Firefox Browser

Datenschutz-Add-ons für den Firefox-Browser bieten eine Vielzahl von Vorteilen, um das Online-Erlebnis zu optimieren und zu sichern. Sie erhöhen nicht nur den Datenschutz, indem sie vor unerwünschtem Tracking und dem Sammeln persönlicher Daten schützen, sondern sie reduzieren auch die Menge an personalisierter Werbung, die Nutzern online angezeigt wird.   Das Ergebnis ist oft ein schnelleres Browsen, da viele unnötige Elemente blockiert werden, was wiederum den Bandbreitenverbrauch verringert. Zusätzlich können sie einen Schutz vor Malware bieten, indem sie potenziell schädliche Scripts identifizieren und blockieren oder den Nutzer vor ihnen warnen.

Diese Tools fördern auch ein erhöhtes Bewusstsein für Online-Tracking, da sie oft Informationen über die Anzahl der blockierten Tracker bereitstellen.   Das Risiko der Profilierung durch Unternehmen wird minimiert, da die Möglichkeiten zur Erstellung umfangreicher Profile über das Online-Verhalten eines Benutzers eingeschränkt werden. Dies gibt den Benutzern mehr Kontrolle und Autonomie darüber, welche Daten sie mit Websites teilen möchten. Das Browsing-Erlebnis wird auch angenehmer, da viele Ablenkungen wie Pop-ups und unnötige Werbeanzeigen blockiert werden. Und für diejenigen, die mobile Geräte verwenden, kann das Blockieren von Werbung und anderen Ressourcen sogar die Akkulaufzeit verlängern, indem der Energieverbrauch von Browser-Tabs reduziert wird.

Wie Installiere ich Plugins

Klickt auf eurem Firefox Browser rechts oben auf die Installieren könnt ihr die Browserextensions ganz leicht über die Erweiterungen vom Firefox Browser.

Klickt auf die 3 Striche und wählt die Option "Addons und Themes" Danach sucht die entsprechenden Addons, installiert und aktiviert sie. Falls der Browser euch fragt ob die Addons auch im Inkognitio Modus aktiv sein dürfen, bestätigt ihr dieses natürlich mit Ja.

Sucht dann in der Leisten oben nach den entsprechenden Extensions:

Privacy Badger

Privacy Badger ist ein kostenloses Firefox-Plugin, das vom Electronic Frontier Foundation (EFF) entwickelt wurde. Sein Hauptziel ist es, die Online-Privatsphäre der Benutzer zu schützen, indem es das unaufgeforderte Tracking durch Werbenetzwerke und andere Dritte verhindert.

Im Gegensatz zu traditionellen Adblockern, die auf vordefinierten Listen basieren, lernt Privacy Badger aktiv, welche Tracker es blockieren soll, indem es das Verhalten von Drittanbietern auf den von dir besuchten Websites analysiert. Wenn das Plugin feststellt, dass ein Element einer Seite dich ohne deine Zustimmung zu verfolgen scheint, wird es automatisch blockiert. Das Ergebnis ist ein personalisierterer und effektiverer Schutz der Privatsphäre. Privacy Badger bietet auch zusätzliche Funktionen wie das Blockieren von Tracking-Cookies und das Schützen vor unsichtbaren Trackern, was es zu einem starken Werkzeug für diejenigen macht, die ihre Online-Aktivitäten privat halten möchten.

https://addons.mozilla.org/de/firefox/addon/privacy-badger17/?utm_source=addons.mozilla.org&utm_medium=referral&utm_content=search

uBlock Origin

uBlock Origin ist ein leistungsstarkes und effizientes Browser-Plugin für Firefox, das als Adblocker und allgemeiner Inhaltsfilter dient. Es wurde von Raymond Hill entwickelt und ist besonders bekannt für seine geringe Beanspruchung der Systemressourcen und seine hohe Anpassbarkeit.

Das Hauptmerkmal von uBlock Origin ist die Fähigkeit, Werbung, Pop-ups und andere aufdringliche Inhalte auf Webseiten zu blockieren, was zu einer schnelleren und störungsfreien Browser-Erfahrung führt. Neben der Werbeblockierung bietet uBlock Origin auch Schutz vor Tracking und Malware, was die Sicherheit und Privatsphäre der Nutzer verbessert.

Einer der größten Vorteile von uBlock Origin gegenüber anderen Adblockern ist seine Flexibilität. Benutzer können eigene Filterlisten hinzufügen oder deaktivieren und sogar spezifische Elemente auf Webseiten auswählen, die sie blockieren möchten. Das Plugin kommt mit einer Reihe vordefinierter Filterlisten, die eine breite Palette an unerwünschten Inhalten abdecken, und Benutzer können leicht zusätzliche Listen nach ihren Bedürfnissen hinzufügen.

Im Vergleich zu anderen Adblockern ist uBlock Origin für seine strikte Datenschutzpolitik und das Fehlen jeglicher "akzeptabler Werbung" bekannt, was bedeutet, dass es keine Zahlungen von Werbetreibenden akzeptiert, um bestimmte Anzeigen durchzulassen. Diese strenge Haltung hat es bei Nutzern, die Wert auf Privatsphäre und Unabhängigkeit legen, sehr beliebt gemacht.

https://github.com/gorhill/uBlock#ublock-origin

Local CDN

LocalCDN ist eine Webbrowser-Erweiterung, die Content Delivery Networks emuliert, um eure Privatsphäre zu erhöhen. Die Erweiterung fängt den Datenverkehr ab und ersetzt unterstützte CDNs durch eine lokale Ressource. All dies geschieht automatisch, so dass keine vorherige Konfiguration erforderlich ist.

Unterschiede zwischen LocalCDN und Decentraleyes:
LocalCDN enthält eine große Sammlung von Frameworks und weiteren nützlichen Funktionen

https://www.localcdn.org/

Firstparty Isolation

First Party Isolation, auch bekannt als Cross-Origin Identifier Unlinkability, ist ein Konzept aus dem Tor-Browser. Die Idee ist, jede Quelle der Browseridentifikation mit der Domain in der URL-Leiste (der ersten Partei) zu verschlüsseln.

Dadurch wird jeder Zugriff auf Identifikatoren zwischen der Verwendung auf der Website selbst und durch Dritte getrennt. Betrachtet es als das Blockieren von Cookies von Drittanbietern, aber umfassender. Hier sind die Implementierungsdetails von Firefox zur First Party Isolation.

https://github.com/mozfreddyb/webext-firstpartyisolation

Smart Referer

Google und andere Analysefirmen können mit dem HTTP Referer eurer Anfragen ziemlich leicht identifzieren und analysieren wie euer täglicher Internetverlauf ausschaut, da im HTTP Referer Informationen enthalten sind mit welchen Link ihr auf den jeweiligen nächste Internetseiten gelandet seid.

Mittels Smart Referer wird der ursprüngliche HTTP-Referer so umgeschrieben, dass der jeweilige Empfänger daraus keine verwertbaren Informationen extrahieren kann. Systembedingt übermittelt euer Browser die IP-Adresse an die Server von Google – allerdings kann Google mit Smart Referer nun nicht mehr einordnen, von welcher Seite der Aufruf bzw. die Einbindung der JavaScript-Ressource erfolgte.

https://www.kuketz-blog.de/firefox-smart-referer-firefox-kompendium-teil6/

ClearURLs

Dieses Add-on entfernt die Tracking-Felder von allen URLs die von eurem Browser besucht werden. Große (und kleine) Webseiten nutzen Elemente in URLs, um eure Online-Aktivitäten zu verfolgen. In diesem Beispiel werden die "utm" Felder zum tracken einer Werbekampagne verwendet, welche von einem Tracking-Tool von Google benötigt werden. Dieses und ähnliche Tracking-Tools befinden sich auf vielen Internetseiten um zielgerichtetere Werbung, durch ausspionieren/tracken der Surfgewohnheiten der Nutzer, zu erreichen.

https://docs.clearurls.xyz/1.23.0/

Empfehlungen

Weitere Browser Alternativen und OpenSource Software findet Ihr hier!

Das war es mit dem Artikel die besten Privatspähre Addons für Euren Firefox Browser. Habt ihr Fragen? Oder Kennt ihr weitere gute Addons? Schreibt es gerne in den Kommentaren!

The post Die besten Extensions für den Firefox Browser appeared first on yourdevice.ch - Deine Anlaufstelle für Linux, OpenSource Software und Co.