Beiträge von uboot21

  • Proxmox boot SSD Raid (ZFS) ersetzen

    Die Anleitung ist schon korrekt, zumindest wenn du mindestens ein zfs mirror raid hast kannst du im laufenden Betrieb die Platte austauschen und gegen eine neu ersetzen. Dem System ist es da egal ob es eine boot Platte oder die für die VM ist.


    zpool replace -f <pool> <old device> <new device>


    Ganz genau beschrieben steht es in der Proxmox Anleitung, ohne CLI nur mit Knopfdruck wird es aber leider nicht gehen.


    Proxmox VE Administration Guide


    PS: unter Punkt 3.9.6

    Changing a failed device

  • Site-to-Site VPN hinter IPv6 (CG-NAT)

    Zitat von abuaz01

    Muss noch etwas an der Firewall geändert werden?

    Firewall muss ja nur der Port des Wireguard und evtl port 22 für ssh geöffnet sein.

    Du musst aber eine static route anlegen (mal mit deinem entsprechendem Betriebssystem googlen) damit der Server weiß das das Netz von Site A nach Site B durchgereicht werden soll, und umgekehrt auch. Also das zb 192.168.2.0/24 über den Wireguard Port der zum Zielnetz führt geroutet wird (Wireguard hat ja sein eigenes Netzwerk), auch muss auf dem Server das port Forwarding für IP4 aktiviert sein.

  • Site-to-Site VPN hinter IPv6 (CG-NAT)

    Ich empfehle hier von Ionos (oder anderem Anbieter) ein Linux vps xs System für 1€ pro Monat mit eigenem Root Zugang, 1gbit Geschwindigkeit und unbegrenzt Traffic.

    Dort ein wireguard Server einrichten der Traffic zum Nächstem weiterleitet.

    Mit der neuen Funktion von unifi einen wireguard clienten einzurichten sich mit dem Server verbinden in den jeweiligen Controllern eine Weiterleitung des Traffic in die anderen Netze einrichten

    Hiermit könnte man auch einen externen Zugang aufbauen um zb mit nginx Reverse Proxy Webseiten auf beide Netzwerke umzuleiten. Je nach Setup würde ich dann aber zu einem größerem Server greifen, für wireguard reicht der kleinste. Es sollte aber auf Traffic und Durchsatz geachtet werden.


    PS: das betrifft alle Site to Site Aufbauten, die Netze auf beiden Seiten müssen unterschiedlich sein, sonst kann man sie nicht Routen (also nicht auf beiden Seiten zb 192.168.1.0/24 vergeben)

  • Reverse Proxy mit Synology NAS

    Zitat von jkasten

    schon an den Grundlagen scheitert

    Wenn man sein Setup ansieht: Mit Fallback über LTE wird das nichts mit Unifi eigenen Bordmitteln, da die feste IP auf einen anderen Anbieter wechselt.

    Man muss bei solchen Setup grundsätzlich von Reverse Proxy auf einen Reverse DNS Tunnel wechseln -> Ob dieser selber gehostet wird, gekauft wird oder mit Cloudflare geregelt wird ist da eigentlich uninteressant.

  • Reverse Proxy mit Synology NAS

    Hallo,

    wenn ich das alles so lese, weiß ich ab und zu nicht warum man es sich so kompliziert macht mit DYNDNS, IPv6 usw.

    Ich möchte hier mal eine Lanze brechen für Cloudflare, auch weil es viele Probleme für mich gelöst hat die ich vorher durch eigene Lösungen zwar realisieren konnte aber nun wesentlich einfacher alles gestalten kann. (vielleicht mach ich hierzu auch mal einen Wiki Eintrag wenn es für jemanden interessant ist).


    Es handelt sich hierbei um einen Reverse Proxy DNS Tunnel -> Selbst wenn sich zu Hause die IP ändert, selbst wenn du 2 Internetanbieter mit Fallback nutzt, dein zu Hause fragt immer bei Cloudflare an und tunnelt Anfragen zu Dir "Reverse" durch.

    -> Wer Angst hat das die Daten über einen fremden Anbieter zu leiten sollte hier nicht weiter lesen, es gibt auch komplexere Lösungen.


    Was muss man machen (PS: alles ist kostenlos):

    - Bei Cloudflare anmelden und registrieren.

    - Bei "Zero Trust" von Cloudflare regstrieren und Token erstellen

    - (Optional kann man hier auch eine Authentifizierung erstellen, ich habe selber Authelia laufen welches dort eingerichtet ist -> Mit Authelia kann man für bestimmte Webseiten eine eigene Benutzerauthentifizierung (für alle Seiten) mit 2FA einrichten -> Das wäre ein zusätzlicher Schutz für private Webseiten wo fremde kein Zugriff drauf haben sollen)

    - Deine Domain bei Cloudflare registrieren -> Hier wird nicht die Domain umgezogen, die bleibt bei deinem Provider, aber du sagst bei deinem Provider das Cloudflare ab nun auch die DNS auflösen soll und nicht mehr dein Domain Provider

    Während des Setup bekommst du die DNS Server genannt welche du bei deinem Provider eintragen musst. (Das kann schon mal einen Tag dauern bis der das umsetzt.

    Danach geht es bei Cloudflare weiter, evtl. fügst du vorhandene DNS Umleitungen (EMail, Webseiten) deines Domain Providers direkt auch in Cloudflare ein

    - Unter Zero Trust kannst du nun Webseiten hinzufügen, dazu registrierst du verschiedene "Tunnel", zb. habe ich einen Tunnel auf meinen Server zu Hause und einen für einen Tunnel auf einen Hetzner Server geleitet.

    - Um deinen PC (Linux, Raspberry, Proxmox) oder deine NAS (Synoloy Docker) für Reverse Proxy vorzubereiten gibt es von Cloudflare verschiedene Installationslösungen. Meine Empfehlung: Einen Docker Container aufsetzen, Cloudflare bietet den "Command" inkl deines Token direkt an, also z.b. über SSH in die Synology einloggen, den Conatiner starten, schon läuft es. Alternativ bietet sich hier Portainer auch prima an um das zu verwalten.

    Auf der Webseite von Cloudflare wird der Tunnel sofort "grün" und man kann anfangen eigene Webseiten (inkl. Subdomain) dort anzulegen, als Ziel nimmst du jede IP und jeden Port der in deinem Netzwerk von dem Gerät aus zuzugreifen ist (Meist hat die Synology ja bereits Rechte um verschiedene Geräte zu erreichen)

    (Optional kann man nun auch unter Applikation die oben genannte Zugangskontrolle für jede Webseite hinzuschalten)


    Fertig ist das Setup and Forget system.

    Egal ob deine IP sich ändert, ob du 2 parallele Internetverbindungen nutzt oder mit über einen DualStack vom Internet getrennt bist oder du nur IPv6 hast, Deine Seite ist immer erreichbar. Man kann optional unter Cloudflare noch einstellen, von welchen Ländern der Zugriff erlaubt ist und monatliche Statistiken betrachten

  • Aufbau meines Netzwerks... Trennung mit smarten Geräten wie Shellys

    Ich nutze jede Menge shelly, allerdings nur über mqtt Anbindung bzw über das webinterface


    Als erstes solltest du versuchen die weboberfläche mal über den Browser zu erreichen (zb http://192.168.30.20)

    -> falls das geht, läuft der shelly korrekt, Zugriffsrechte im Netzwerk sind auch korrekt.

    –> falls nicht hast du was falsch eingestellt, ist dein zusätzliches IoT wlan auch korrekt auf das IoT VLAN Netzwerk erstellt, etc.


    Um dich mit der App auf den shelly zu verbinden hilft oft (bei allen IoT) nur ein Trick. Der automatische netzwerkscan erfolgt oft nur im selben Netzwerk wie dein Gerät wovon du aus suchst. Also verbinde dich kurz mit dem IoT wlan in das IoT Netzwerk und suche die Geräte

    Nachdem sie gefunden wurden, deaktiviere den Zugang zum IoT wlan wieder in deinem Gerät und verbinde dich zum Standard wlan deiner mobilen Geräte

    Danach sind die shelly auch über die App zu erreichen

  • WiFimann Speedtests Übersicht UDM-PRO

    Da scheint es einen kleinen bug zu geben, habe es soeben versucht zu reproduzieren


    Wenn du über das webinterface auf die udm pro gehst und dir die Liste anzeigen lässt, geh oben rechts mal auf das Kalender Symbol. Da war bei mir Daten anzeigen seit dem 01/01/1970 vor ausgewählt. Die Anzahl der anzuzeigenden Daten scheint aber begrenzt zu sein. Wenn man den Zeitraum oben verkürzt (zb. Ab 03/01/2023), dann werden auch neuere Daten korrekt angezeigt.

  • Alternatives Fernwartungs Tool/ Remote Desktop

    BlackSpy


    Also ich benutze den Docker-Compose und das Image von

    ghcr.io/ylianst/meshcentral:latest


    Docke-compose und .env (Environment Datei) findest du hier:

    MeshCentral/docker at master · Ylianst/MeshCentral
    A complete web-based remote monitoring and management web site. Once setup you can install agents and perform remote desktop session to devices on the local…
    github.com


    Dabei wähle ich den Compose mit der MongoDB


    Ich habe viele Installations Möglichkeiten durch, ohne Docker direkt im Linux von der Homepage, mit Docker, hier mit dieser habe ich mir meinen eigenen Portainer Stack zusammen gebastelt und es lässt sich Problemlos einbinden. Es muss halt lokal auf dem Docker Server die Dateistruktur erzeugt werden für die lokalen Dateien.

    Die .env Datei könnte man auch in den Docker Compose einarbeiten, je nachdem was man bevorzugt -> Da ich meine Docker-Compose im Portainer automatisch als Stack vom eigenen Github lade, bevorzuge ich diese Strategie. Man kann den Docker Compose auf github ändern und der Docker Container aktualisiert sich selber!


    Nach dem ersten Start wird eine Datei mit Namen config.json angelegt, diese ist noch anzupassen, insbesondere mit der eigenen FQDN.


    Noch ein Hinweis -> Wer einen Reverse Proxy einsetzt muss folgendes beachten, die Umleitung auf den Meshcentral muss entweder von ausserhalb geschehen, oder die Domain muss auch von innerhalb des Netzwerkes erreichbar sein, sprich DNS over NAT muss aufgelöst werden. (Das betrifft ALLE internen Server und hat nichts mit Meshcentral zu tun, ich will es nur vermerkt haben, weil hier viele scheitern ...)


    Wenn du damit nicht zurecht kommst, kannst du auch den Compose File von Typhonragewind versuchen, eine gute Anleitung findest du hier:

    MeshCentral - UPDATE - an Open Source, Self Hosted Remote Machine Management and Access tool
    If you have been looking for a self-hosted, open source, free way to do remote support for yourself, your family, your friends, your business, or anything…
    shownotes.opensourceisawesome.com


    Falls du fragen hast, melde dich gerne

  • Alternatives Fernwartungs Tool/ Remote Desktop

    Zitat von kleinp

    Ich brauch halt den unbeaufsichtigten Zugriff.

    Also MeshCentral bietet mehrere Optionen an,

    Diese kann man getrennt einstellen für den Terminal Zugang, den Desktop Zugang oder einfach um Files zu verschieben/herunterzuladen (ähnlich wie FTP)

    Diese sind:

    - Benutzer benachrichtigen

    - Einverständnis einholen

    - Datenschutzleiste einblenden während man drauf ist

    Oder halt gar nichts davon aktivieren (stummer Beobachter/Akteur)


    Diese Einstellungen ordnet man Gruppen zu, so hab ich mehrere Gruppen für unterschiedliche Szenarien und dort die Rechner einsortiert, passender weise habe ich die Gruppen entsprechend benannt damit man schnell sieht mit welchem TYP der Remote geöffnet wird

  • Alternatives Fernwartungs Tool/ Remote Desktop

    Bin seit Jahren mit meshcentral super zufrieden

    Unter Windows durch die nicht offizielle Software etwas umständlich zu installieren, aber das betrifft ja jede Software, nicht nur die Client Software von meshcentral

    Auch aus Sicht der Sicherheitseinstellungen super, mit 2FA, Gruppen, Usern usw

    Nutze das sehr viel, einmal sieht man schnell welche Server online sind, kann sich überall Remote ausschalten oder in Linux auf das cli zugreifen

  • Fragen zu Firewall-Regeln 2.0 by DEFCON

    Zitat von Mosconi

    Mit einem anderen Scan sieht er doch noch, ob ein Client da ist oder nicht.

    Bin mir nicht sicher, Es kann sein das du das ICMP Protokoll explizit sperren musst auf LAN Local um das Pingen zu verhindern. Der Zugang sollte bereits über deine Regel geblockt sein.

    Ansonsten: Da du nicht schreibst womit du prüfst, es wäre auch möglich das dein Programm einen Puffer hat und nur davon ausgeht das die Clients noch da sind.