Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- ubuntu:24-04_server_install [2026/02/04 13:22] – [Reaktivierung von ifupdown] Sebastian Hetzel
+++ ubuntu:24-04_server_install [2026/03/07 22:16] (aktuell) – [Geo-Filtering] Sebastian Hetzel
@@ Zeile 32: / Zeile 32: @@
 **aptitude**
-<code>
+<code |bash>
-# apt-get install aptitude
+apt-get install aptitude
 </code>
 **VIMnox**
-<code>
+<code |bash>
-# aptitude install vim-nox
+aptitude install vim-nox
 </code>
 **Midnight Commander**
-<code>
+<code |bash>
-# aptitude install mc
+aptitude install mc
 </code>
 **Net-Tools (ifconfig, etc.)**
-<code># aptitude install net-tools</code>
+<code |bash>aptitude install net-tools</code>
 ===== Timezone =====
@@ Zeile 53: / Zeile 53: @@
 Aktuell eingestellte Zeitzone:
-<code>
+<code |bash>
-# timedatectl
+timedatectl
                Local time: Sun 2020-10-11 11:00:01 UTC
            Universal time: Sun 2020-10-11 11:00:01 UTC
@@ Zeile 66: / Zeile 66: @@
 Zeitzone umstellen:
-<code>
+<code |bash>
-# timedatectl list-timezones|grep Berlin
+timedatectl list-timezones|grep Berlin
 Europe/Berlin
-# timedatectl set-timezone Europe/Berlin
+timedatectl set-timezone Europe/Berlin
-# timedatectl
+timedatectl
                Local time: Sun 2020-10-11 13:02:31 CEST
            Universal time: Sun 2020-10-11 11:02:31 UTC
@@ Zeile 103: / Zeile 103: @@
 Momentane Systemzeit ansehen:
-<code>
+<code |bash>
 timedatectl
 </code>
-<code>
+<code |bash>
                       Local time: So 2018-11-25 11:26:59 CET
                   Universal time: So 2018-11-25 10:26:59 UTC
@@ Zeile 116: / Zeile 116: @@
 </code>
-<code>
+<code |bash>
 systemctl restart  systemd-timesyncd
 systemctl status  systemd-timesyncd
@@ Zeile 179: / Zeile 179: @@
 Der Interface-Name wird über den nachfolgenden Befehl ermittelt.
-<code>
+<code |bash>
 ip link
@@ Zeile 229: / Zeile 229: @@
 Variante ohne systemd-resolved:
-<code>
+<code |bash>
 systemctl disable systemd-resolved.service
 systemctl stop systemd-resolved.service
@@ Zeile 237: / Zeile 237: @@
 Nun die resolv.conf erstellen.
-<code>
+<code |bash>
 rm /etc/resolv.conf
 vi /etc/resolv.conf
@@ Zeile 247: / Zeile 247: @@
 </file>
-<code>chattr +i /etc/resolv.conf</code>
+<code |bash>chattr +i /etc/resolv.conf</code>
-<code>
+<code |bash>
 systemctl disable systemd-networkd-wait-online.service
 systemctl stop systemd-networkd-wait-online.service
@@ Zeile 255: / Zeile 255: @@
 </code>
-<code>
+<code |bash>
 reboot
 </code>
-===== Netzwerkkonfiguration =====
-**Beispiel:**
+===== Hostname =====
-<file |/etc/network/interfaces>
+<code |bash>
-# The loopback network interface
+hostnamectl set-hostname hostname.meine-domaene.de
-auto lo
+vi /etc/hosts
-iface lo inet loopback
+</code>
-# The primary network interface
+<file |/etc/hosts>
+# Your system has configured 'manage_etc_hosts' as True.
+# As a result, if you wish for changes to this file to persist
+# then you will need to either
+# a.) make changes to the master file in /etc/cloud/templates/hosts.debian.tmpl
+# b.) change or remove the value of 'manage_etc_hosts' in
+#     /etc/cloud/cloud.cfg or cloud-config from user-data
+#
+.0.1.1 hostname.meine-domaene.de hostname
+.0.0.1 localhost
-auto eth0
+# The following lines are desirable for IPv6 capable hosts
-iface eth0 inet6 static
+::1 localhost ip6-localhost ip6-loopback
-        address 1b2c:3d4e:0:0:0:0:0:123
+ff02::1 ip6-allnodes
-        netmask 64
+ff02::2 ip6-allrouters
-        dns-nameservers 2620:fe::fe 2606:4700:4700::1111
+</file>
-        pre-up echo 0 > /proc/sys/net/ipv6/conf/eth0/autoconf
-        pre-up echo 0 > /proc/sys/net/ipv6/conf/eth0/accept_ra
-        post-up /sbin/ip -6 route add default via 1b2c:3d4e:0:0:0:0:0:1
-iface eth0 inet static
+===== Firewall =====
-        address 174.255.120.12
-        netmask 255.255.255.0
-        network 174.255.120.0
-        broadcast 174.255.120.255
-        gateway 174.255.120.1
-        dns-nameservers 9.9.9.9 1.1.1.1
-auto eth0:smtp
+==== Erklärung / Vorwort ====
-iface eth0:smtp inet6 static
-        address 1b2c:3d4e:0:0:0:0:0:124
-        netmask 64
-iface eth0:smtp inet static
+<note important>Ich nutze iptables zum Erstellen der Regeln, weil ich mir in der Vergangenheit Skripte dafür geschrieben habe. Ubuntu nutzt aber mittlerweile **nftables**, so dass iptables im Kompatibilitätsmodus läuft. Das bedeutet, dass iptables genutzt werden kann, aber alles Regeln nach nftables intern umgesetzt wird.</note>
-        address 174.255.120.110
-        netmask 255.255.255.0
-        broadcast 174.255.120.255
-</file>
+Was bedeutet das für die Bedienung des Systems?
-<code>reboot</code>
+<note warning>Um das aktuell angewandte Ruleset zu sehen, muss unter nftables nachgeschaut werden!
+</note>
-===== Firewall =====
+<code |bash>
+nft list tables
+</code>
 ==== Installation ====
 Die Pakete "''iptables-persistent''" und "''netfilter-persistent''" stehen in direkter Abhängigkeit und müssen daher beide installiert werden.
-<code>
-apt-get update
-aptitude install iptables-persistent netfilter-persistent
-</code>
 Ubuntu kommt von Hause aus mit dem Paket ''ufw'', ebenfalls eine auf iptables-basierende Firewall. Den Job übernimmt nun netfilter-persistent, daher deinstalliere ich es:
-<code>
+<code |bash>
 aptitude purge ufw
 </code>
+Die Installation von iptables-persistent erfolgt dann so:
+<code |bash>
+apt-get update
+aptitude install iptables-persistent netfilter-persistent
+</code>
 ==== Konfiguration / Regelwerk ====
@@ Zeile 345: / Zeile 342: @@
 Dummerweise schreibt iptables das syslog voll, welches somit unübersichtlich wird. Mit Hilfe des rsyslogd leite ich die Ausgaben in eine eigene Datei um:
-<code>vi /etc/rsyslog.d/25-iptables.conf</code>
+<code |bash>vi /etc/rsyslog.d/25-iptables.conf</code>
-Damit dieser Weg funktioniert, habe ich mittels des Parameters --log-prefix  von iptables der Ausgabe das Präfix "IPT:" hinzugefügt. Das könnnen wir uns als Filter zur Nutze machen.
+Damit dieser Weg funktioniert, habe ich mittels des Parameters --log-prefix  von iptables der Ausgabe das Präfix "iptables" hinzugefügt. Das könnnen wir uns als Filter zur Nutze machen.
 <file | /etc/rsyslog.d/25-iptables.conf>
-:msg,contains,"IPT:" -/var/log/iptables.log
+:msg,contains,"iptables" -/var/log/iptables.log
 & ~
 </file>
@@ Zeile 356: / Zeile 353: @@
 Beim ersten Mal muss die Datei erstellt werden und mit Rechten für den rsyslogd versehen werden.
-<code>
+<code |bash>
 touch /var/log/iptables.log
 chown syslog.adm /var/log/iptables.log
@@ Zeile 363: / Zeile 360: @@
 Die Änderungen werden erst nach einem Dienstneustart übernommen.
-<code>service rsyslog restart</code>
+<code |bash>service rsyslog restart</code>
 Das Logfile wird schnell groß und sollter daher rotiert werden:
@@ Zeile 381: / Zeile 378: @@
 </file>
+==== Geo-Filtering ====
+=== Ziel ===
+  * nur Deutschland (DE) darf zugreifen
+  * Ports 80 und 443 auf IP1
+  * Port 2233 auf IP2
+  * bestehende nftables Regeln bleiben erhalten
+=== xt_geoip installieren ===
+<code |bash>
+apt update
+apt install xtables-addons-common xtables-addons-dkms
+</code>
+Kernelmodul
+<code |bash>
+modprobe xt_geoip
+lsmod | grep geoip
+</code>
+Zielordner für die Datenbanken
+<code |bash>
+mkdir -p /usr/share/xt_geoip
+</code>
+Skript zur automatischen Aktualisierung der Datenbanken
+<file |bash geoip_update.sh>
+#!/bin/bash
+LIB_DIR=/usr/libexec/xtables-addons
+BASE_DIR=/usr/share/xt_geoip
+cd $LIB_DIR  || exit 1;
+$LIB_DIR/xt_geoip_dl  || exit 1;
+perl $LIB_DIR/xt_geoip_build -D $BASE_DIR  || exit 1;
+</file>
+Das Skript über die Crontab automatisiert aufrufen lassen.
+Das vorhandene Regelwerk aktualisieren!
+<code |bash>
+vi /etc/iptables/rules.v4
+vi /etc/iptables/rules.v6
+netfilter-persistent reload
+</code>
 ===== "Mini" Postfix =====
 Der MTA Postfix soll nur dazu dienen Mails zu versenden. So können Informationen, zum Beispiel an den Admin, vom System versendet werden oder Webseiten können mit Ihren Benutzern kommunizieren, wenn beispielsweise ein Passwort zurückgesetzt werden soll.