[HaBo]

woistwalter · 02.07.10, 01:23

Hallo Nachtschwärmer

Habe mal einen neuen Thread gemacht für mein aktuelles Projekt.

Ich habe einen PC:

AMD mit rund 2GH
2 Giga Ram
Asus M2N-SLI Deluxe
HDD rund 8 TB

Dieser wurde heute mit Ubuntu Server ausgestattet um diesen als Server für Multimedia Daten zu betreiben.

Die Grundidee sieht etwa so aus:

Filme, Musik, Ebooks, Progs, Tools, ect. (Hab ne Dreambox als Server, vielleicht liesse sich da auch was machen.) Überal verfügbar zu haben. Das heisst ich hätte da zugriff und noch jemand. Das sollte auch so bleiben.

Von einem anderen Thread habe ich mitgenommen, dass SSH2 und SCP eine möglichkeit wären. Was durch die AES Verschlüsslung, keinen Root zugang und das Fail2ban wenn jemand versucht einzudringen. Dazu sollte auf dem Ubuntu ein VLC Installiert werden um den Server auch als VLC Server am laufen zu haben. So könnten sogar HD-Filme gestreamt werden.

Meine Grössten Probleme oder Fragen sehen so aus:

Sicherheit auf dem Ubuntu evt. mit Software?

Meine Leitung...habe 20MB down und 1 MB up.

Somit würde das bedeuten wenn man per SSH zugreift, kann man nur Downloaden und nicht Streamen. Hab ich das richtig verstanden? Somit wäre VLC was.....oder habt ihr alternativen?

Betreffend der Idee die Dreambox darüber zu streamen zu lassen....hat jemand sowas am laufen?

Wie würde die Sache mit Dyndns aussehen? Port öffnen, neuen Service aufschalten und im Router eintragen damit sowas funktionieren würde?

An was habe ich bis jetzt nicht gedacht? Seht ihr Lücken oder habt Anregungen dazu....dann bitte ich darum

Gruss
walter

GrafZahl · 02.07.10, 01:49

einen SSHd der am inet hängt, sichserst du am zuverlässigsten in dem du die passwort authentifizierung abschaltest ... wer einen bruteforce angriff auf einen 2048 bit rsa schlüssel durchführen möchte hat definitiv langeweile und/oder keine ahnung ...

willst du wirklich passwort auth, aber der sshd soll nicht bei einem portscan gefunden werden, wäre portknocking eine alternative siehe z.b. knockd

HaBo Ads

Inliferty · 02.07.10, 10:37

Also Port Knocking halte ich eher für übertrieben und ich hatte ehrlich gesagt bis jetzt nur Probleme damit.
Würde eher einen VPN Server verwenden und SSH nur von internen IPs erlauben + Password/Zertifikat.

Was mir an deiner Stelle viel mehr Sorgen machen würde ist der Upstream.
Bei solchen Datenraten könnte es gerade noch funktionieren eine Mp3 zu streamen.
Also zu deiner Grundidee:
Filme - Streamen: Xvid vielleicht (qualitativ besseres zB. DVD: Nein), Downloaden: Mit viel Geduld
Musik - Streamen: Mp3s ja (qualitativ besseres zB. FLAC: Nein), Downloaden: Ja
Ebooks - Ja
Progs - Da du natürlich keine illigal gedownloadeden Programme sharst wird es sich natürlich um Freeware handeln und die kannst du immer im Internet downloaden

Tools - Ja
HD-Stream: Nein auf garkeinen Fall

MfG
Inliferty

beavisbee · 02.07.10, 16:29

Absicherung:
also ich würde da gar nicht sooo paranoid vorgehen.

Wie schon im anderen Thread geschrieben:

man kann in der ssh-Config den root-Login direkt verbieten und nur ganz bestimmte User erlauben (eben z.B. nur die 2 User-Accounts, die du für dich und die zweite Person anlegst)
und aus eigener Erfahrung von meinem Root-Server kann ich sagen, dass mind. 90% aller Bruteforce-Angriffe auf sshd mit user=root gefahren werden...
um die System-Last, die durch ständige Bruteforce-Attacken entstehen kann, zu minimieren, würde ich einfach (wie schon im anderen Thread geschrieben) fail2ban installieren und der ist AFAIK sogar per Default schon so eingestellt, dass er ssh überwacht und nach 5 falschen Versuchen die Angreifer-IP für 5 Minuten sperrt
und wieder aus eigener Erfahrung mit meinem Root-Server: die meisten Bots ziehen, sowie der Server für sie nicht mehr erreichbar ist, weiter und versuchen ihr Glück bei 'nem anderen Server - die 5 Minuten-Sperre reicht also vollkommen aus.

deine Streaming-Vorhaben:
da ist Inliferty glaube ich nichts mehr hinzuzufügen.

Dyndns:
hast du schon 'nen Account?
Wenn nein: Account bei dyndns.org anlegen, Daten im Router eintragen, fertig.
Wenn ja: einfach die weiteren Ports freigeben und dann kannst du über die schon existierende dyndns-Adresse auch deinen Server ansprechen.
und wie das mit dem Port-Forwarding funktioniert, weißt du ja schon von deiner Dreambox
Was noch zu beachten wäre:
Wenn du z.B. schon 'nen Port 22 von der Dreambox nach außen freigibst und willst auch den Port 22 von deinem Server nach außen freigeben, dann musst du natürlich als öffentlichen Port 'nen anderen nehmen.

Beispiel:
meine-domain.dyndns.org:22 --> IP_VON_DREAMBOX:22
meine-domain.dyndns.org:2222 --> IP_VON_SERVER:22

weitere Hinweise zu Router-Config:
du solltest drauf achten, dass der Router auch ständig im Netz ist und nicht nach paar Min. Inaktivität die Verbindung trennt.

GrafZahl · 02.07.10, 17:58

Zitat:

Zitat von Inliferty

Also Port Knocking halte ich eher für übertrieben und ich hatte ehrlich gesagt bis jetzt nur Probleme damit.

knockd ist wirklich simpel ...

Code:

[opencloseSSH]
       sequence      = 1234,5678,9101
       seq_timeout   = 15
       tcpflags      = syn
       start_command = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -m state --state NEW -j ACCEPT
       cmd_timeout   = 10
       stop_command  = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -m state --state NEW -j ACCEPT

zusammen mit einem -j ACCEPT auf related,established ist das völlig ausreichend einen ssh port versteckt zu nutzen ...

innerhalb von 15 sekunden müssen in reihenfolge die tcp ports 1234, 5678 und 9101 je ein SYN paket von dir bekommen ...

dann werden für 10 sekunden neue verbindungen auf port 22 von deiner ip akzeptiert ...

installation mit apt

paket generator für windows und linux ist dabei

woistwalter · 02.07.10, 23:27

Sorry aber dachte, dass der andere Thread im falschen Forum ist =(

Eigentlich wäre soweit alles i.o

SSH2 ohne Root zugriff und faild2ban....

Jetzt habe ich nur noch das riesen Problem, dass ich eine Lösung betreffend dem Upload finden muss...Evt. Hosting oder was für dienste könnten für sowas genutz werden.

Hab angefragt was ne Leitung mit 5MB Upload....und ja...rund 500 Euro im Monat ist es mir dann auch nicht wert.

Gibt es dazu eine alternative oder bin ich verdammt dies nicht so hinzubekommen wie ursprünglich gedacht?

gruss
walter

beavisbee · 03.07.10, 00:27

Zitat:

Zitat von woistwalter

Jetzt habe ich nur noch das riesen Problem, dass ich eine Lösung betreffend dem Upload finden muss...

Na wenn der SSHd läuft und von außen erreichbar ist, hast du vom Windows-Client aus auch die Möglichkeit, mit WinSCP drauf zuzugreifen:

Host: deine-domain.dyndns.org
Protokoll: SCP/SFTP
Port: 22

und dann eben mit deinem User und Passwort einloggen und schon kannst du Daten auf dem Server lesen und schreiben (entsprechend den gegebenen Datei-Rechten)

Von 'nem Linux-Client aus kannst du mit sshfs auch ein Verzeichnis von dem Server direkt lokal mounten.

woistwalter · 21.07.10, 14:26

Hallo liebe Gemeinde

Kehre mit einer frohen Kunde zurück!!

Das Projekt „Server“ war leider eine Weile auf Eis gelegt, weil ich das Problem hatte, dass die Bandbreite ungenügend war. Eine Business-Leitungen ab 500 Euro ist erhältlich, aber unverhältnismässig .

Nun habe ich einen Anbieter gefunden welcher folgendes Angebot unterbreitet:

100MB Down-Stream

8MB Up-Stream

Preislich bei 50 Euro p.m

Finde ich sehr human und ist genau das, was ich gesucht habe...

Nun hätte ich diese Leitung und möchte mein Ziel weiterverfolgen und Sound, Filme (HD), Dokus, Progs unter Freunden bereitzustellen (3 Leute)

Streaming und zum Download.

Also im Thread weiter oben wurde mir SSH-Tunnel empfohlen was ich als interessante Variante sehe. Download kein Problem, wie sieht es mit Streaming aus? Der Klient müsste ja auch SSH unterstützen was für einen Mediaplayer schwierig wird. Wie könnte ich ein Stream für Mediaplayer realisieren? (VLC auf dem Server laufen lassen evt) oder was könnt ihr mir noch empfehlen.

Weiter frage ich mich ob gleichzeitiges Streamen verschiedener Inhalte möglich ist. BSP: HD-Film1, HD-Film2, Divx1 und Download eines Files.....

Bin für jegliche Tipps oder Ideen dankbar um das zum laufen zu bringen.

Gruss
woistwalter

Empfehlung

02.07.10, 01:23	#1 (permalink)
woistwalter Registriert seit: 23.06.10 Likes: 0	Serverbetrieb möglich? Idee? Hallo Nachtschwärmer Habe mal einen neuen Thread gemacht für mein aktuelles Projekt. Ich habe einen PC: AMD mit rund 2GH 2 Giga Ram Asus M2N-SLI Deluxe HDD rund 8 TB Dieser wurde heute mit Ubuntu Server ausgestattet um diesen als Server für Multimedia Daten zu betreiben. Die Grundidee sieht etwa so aus: Filme, Musik, Ebooks, Progs, Tools, ect. (Hab ne Dreambox als Server, vielleicht liesse sich da auch was machen.) Überal verfügbar zu haben. Das heisst ich hätte da zugriff und noch jemand. Das sollte auch so bleiben. Von einem anderen Thread habe ich mitgenommen, dass SSH2 und SCP eine möglichkeit wären. Was durch die AES Verschlüsslung, keinen Root zugang und das Fail2ban wenn jemand versucht einzudringen. Dazu sollte auf dem Ubuntu ein VLC Installiert werden um den Server auch als VLC Server am laufen zu haben. So könnten sogar HD-Filme gestreamt werden. Meine Grössten Probleme oder Fragen sehen so aus: Sicherheit auf dem Ubuntu evt. mit Software? Meine Leitung...habe 20MB down und 1 MB up. Somit würde das bedeuten wenn man per SSH zugreift, kann man nur Downloaden und nicht Streamen. Hab ich das richtig verstanden? Somit wäre VLC was.....oder habt ihr alternativen? Betreffend der Idee die Dreambox darüber zu streamen zu lassen....hat jemand sowas am laufen? Wie würde die Sache mit Dyndns aussehen? Port öffnen, neuen Service aufschalten und im Router eintragen damit sowas funktionieren würde? An was habe ich bis jetzt nicht gedacht? Seht ihr Lücken oder habt Anregungen dazu....dann bitte ich darum Gruss walter

02.07.10, 01:49	#2 (permalink)
GrafZahl Member of Honour Registriert seit: 28.05.10 Likes: 190	einen SSHd der am inet hängt, sichserst du am zuverlässigsten in dem du die passwort authentifizierung abschaltest ... wer einen bruteforce angriff auf einen 2048 bit rsa schlüssel durchführen möchte hat definitiv langeweile und/oder keine ahnung ... willst du wirklich passwort auth, aber der sshd soll nicht bei einem portscan gefunden werden, wäre portknocking eine alternative siehe z.b. knockd __________________ Code: :(){ :\|:& };: Veritas Aequitas

02.07.10, 16:29	#4 (permalink)
beavisbee Member of Honour Registriert seit: 22.02.07 Likes: 75	Absicherung: also ich würde da gar nicht sooo paranoid vorgehen. Wie schon im anderen Thread geschrieben: man kann in der ssh-Config den root-Login direkt verbieten und nur ganz bestimmte User erlauben (eben z.B. nur die 2 User-Accounts, die du für dich und die zweite Person anlegst) und aus eigener Erfahrung von meinem Root-Server kann ich sagen, dass mind. 90% aller Bruteforce-Angriffe auf sshd mit user=root gefahren werden... um die System-Last, die durch ständige Bruteforce-Attacken entstehen kann, zu minimieren, würde ich einfach (wie schon im anderen Thread geschrieben) fail2ban installieren und der ist AFAIK sogar per Default schon so eingestellt, dass er ssh überwacht und nach 5 falschen Versuchen die Angreifer-IP für 5 Minuten sperrt und wieder aus eigener Erfahrung mit meinem Root-Server: die meisten Bots ziehen, sowie der Server für sie nicht mehr erreichbar ist, weiter und versuchen ihr Glück bei 'nem anderen Server - die 5 Minuten-Sperre reicht also vollkommen aus. deine Streaming-Vorhaben: da ist Inliferty glaube ich nichts mehr hinzuzufügen. Dyndns: hast du schon 'nen Account? Wenn nein: Account bei dyndns.org anlegen, Daten im Router eintragen, fertig. Wenn ja: einfach die weiteren Ports freigeben und dann kannst du über die schon existierende dyndns-Adresse auch deinen Server ansprechen. und wie das mit dem Port-Forwarding funktioniert, weißt du ja schon von deiner Dreambox Was noch zu beachten wäre: Wenn du z.B. schon 'nen Port 22 von der Dreambox nach außen freigibst und willst auch den Port 22 von deinem Server nach außen freigeben, dann musst du natürlich als öffentlichen Port 'nen anderen nehmen. Beispiel: meine-domain.dyndns.org:22 --> IP_VON_DREAMBOX:22 meine-domain.dyndns.org:2222 --> IP_VON_SERVER:22 weitere Hinweise zu Router-Config: du solltest drauf achten, dass der Router auch ständig im Netz ist und nicht nach paar Min. Inaktivität die Verbindung trennt.

21.07.10, 14:26	#8 (permalink)
woistwalter Themenstarter Registriert seit: 23.06.10 Likes: 0	Hallo liebe Gemeinde Kehre mit einer frohen Kunde zurück!! Das Projekt „Server“ war leider eine Weile auf Eis gelegt, weil ich das Problem hatte, dass die Bandbreite ungenügend war. Eine Business-Leitungen ab 500 Euro ist erhältlich, aber unverhältnismässig . Nun habe ich einen Anbieter gefunden welcher folgendes Angebot unterbreitet: 100MB Down-Stream 8MB Up-Stream Preislich bei 50 Euro p.m Finde ich sehr human und ist genau das, was ich gesucht habe... Nun hätte ich diese Leitung und möchte mein Ziel weiterverfolgen und Sound, Filme (HD), Dokus, Progs unter Freunden bereitzustellen (3 Leute) Streaming und zum Download. Also im Thread weiter oben wurde mir SSH-Tunnel empfohlen was ich als interessante Variante sehe. Download kein Problem, wie sieht es mit Streaming aus? Der Klient müsste ja auch SSH unterstützen was für einen Mediaplayer schwierig wird. Wie könnte ich ein Stream für Mediaplayer realisieren? (VLC auf dem Server laufen lassen evt) oder was könnt ihr mir noch empfehlen. Weiter frage ich mich ob gleichzeitiges Streamen verschiedener Inhalte möglich ist. BSP: HD-Film1, HD-Film2, Divx1 und Download eines Files..... Bin für jegliche Tipps oder Ideen dankbar um das zum laufen zu bringen. Gruss woistwalter Geändert von woistwalter (26.07.10 um 10:09 Uhr)

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

02.07.10, 10:37	#3 (permalink)
Inliferty Registriert seit: 05.10.05 Likes: 5	Also Port Knocking halte ich eher für übertrieben und ich hatte ehrlich gesagt bis jetzt nur Probleme damit. Würde eher einen VPN Server verwenden und SSH nur von internen IPs erlauben + Password/Zertifikat. Was mir an deiner Stelle viel mehr Sorgen machen würde ist der Upstream. Bei solchen Datenraten könnte es gerade noch funktionieren eine Mp3 zu streamen. Also zu deiner Grundidee: Filme - Streamen: Xvid vielleicht (qualitativ besseres zB. DVD: Nein), Downloaden: Mit viel Geduld Musik - Streamen: Mp3s ja (qualitativ besseres zB. FLAC: Nein), Downloaden: Ja Ebooks - Ja Progs - Da du natürlich keine illigal gedownloadeden Programme sharst wird es sich natürlich um Freeware handeln und die kannst du immer im Internet downloaden Tools - Ja HD-Stream: Nein auf garkeinen Fall MfG Inliferty

02.07.10, 23:27	#6 (permalink)
woistwalter Themenstarter Registriert seit: 23.06.10 Likes: 0	Sorry aber dachte, dass der andere Thread im falschen Forum ist =( Eigentlich wäre soweit alles i.o SSH2 ohne Root zugriff und faild2ban.... Jetzt habe ich nur noch das riesen Problem, dass ich eine Lösung betreffend dem Upload finden muss...Evt. Hosting oder was für dienste könnten für sowas genutz werden. Hab angefragt was ne Leitung mit 5MB Upload....und ja...rund 500 Euro im Monat ist es mir dann auch nicht wert. Gibt es dazu eine alternative oder bin ich verdammt dies nicht so hinzubekommen wie ursprünglich gedacht? gruss walter


HaBo Ads HaBOT

[HaBo]

Serverbetrieb möglich? Idee?