Stora ownCloud/Nextcloud-tråden

@enoch85: Ah, där var den! Satt och letade igår, men hittade bara för dina färdiga VM's. Tackar!

@enoch85: Vad tycker du, Rsync eller ZFS send/receive för backups? Båda ZFS pooler består bara av 1 disk, så det kommer inte vara någon extra prestanda utöver vad filsystemet erbjuder i sig.

@enoch85: Ja, snapshots är ju såklart lockande. Speciellt när jag kommer ha andra användare på systemet som kan tänkas råka ta bort egna filer osv. Jag får nog testa lite innan jag går live.

Detta är bara för backupen på plats. Jag ska även sätta upp en lösning off-site, där är jag lite mer vilsen. Rsync till en rpi med USB-disk är ju ett alternativ. Har även läst lite om program som Borg, som stöds av Openmediavault, vilket också låter smidigt.

P.g.a. rpi's begränsningar tänker du då? Kör man bara inkrementella backuper så ska det väl inte vara någon större fara. Kör du backuper direkt ifrån NC-servern, eller ifrån din primära backup-server?

Jag kommer ju lägga NC-servern i ett screenat nätverk och det mest logiska är väl då att köra backupen direkt ifrån den, även över SSH.

@enoch85: Efter att ha spenderat dagen med att härda mina VLAN och installera SSH-nycklar så kör jag nu, äntligen, igång installation!

8 tilldelade Ryzen-kärnor och 8GB RAM, ska bli spännande om det lirar bättre än sist. Hur blir det med ZFS nu, kommer det äta upp all RAM för mig? Ska jag skicka in ett par GB till?

EDIT: Verkar inte ha fått nån redirect på port 80. Är det bäst att lägga en direkt i routern via port forward eller bör jag göra det i nc-servern med iptables?

Löste sig visst när certifikatet installerades.

Är det säkert att installera php-imagick än?

Jo, vanliga Ryzen är väl riktade till vanliga konsument-datorer. Men de ger bra prestanda per krona och duger gott till lite hemlabbande. Så länge jag har ordentliga backups så är down-time inte ett problem. Sett att de är poppis på Reddit bl.a.

Ok, då fortsätter jag utan php-imagick. Det måste ju va närmare ett halvår sedan det upptäcktes att det utgjorde en risk?

@enoch85: Vart kan jag ta bort den motd som följer med scriptet?

@enoch85: Tackar!

Håller på och grejar med backupen via ZFS, men tror nog jag får ge mig på den. Jag kommer inte på nåt bra och säkert sätt att skicka snaps från DMZ till mitt säkrade nätverk utan att det blir överdrivet krångligt och/eller osäkert.

@enoch85: Jo, som det är nu så är mitt DMZ isolerat ifrån det vanliga nätverket på så vis att kontakt inte får skapas DMZ->VLAN 1, men VLAN->DMZ är ok. Vanliga ZFS send/rcv kräver ju att datorn som har filsystemet ska initiera kontakten för överföring, vilket då inte fungerar. Jag testade med SSH Port Forward för att komma runt detta, men det blev inte riktigt bra och utgör en säkerhetsrisk.

Du har inga förslag på verktyg för detta annars? Kollar just nu på ZFS Utilities som verkar kunna använda "pull" istället för "push".

EDIT: Verkar ha hittat svaret i syncoid. Ser ut att fungera riktigt bra

@enoch85: Absolut, alla är vi våra egna ingenjörer Jag övervägde såklart att helt enkelt öppna en port mot det säkrade nätet, men jag gillade verkligen idén med en-vägs-kommunikation. Annars kommer jag noja över alla möjliga sorters attacker (även om man måste in på nextcloud-maskinen först för att kunna utnyttja det). Har läst kurser i nätverkssäkerhet på högskola, men har väldigt liten praktisk erfarenhet i hur det är att hosta saker öppet mot nätet. Jag har installera Security Onion för att jag har tänkt ordna lite övervakning, men jag har inte fått igång det riktigt än. Inte heller helt säker på vart jag behöver övervaka, så måste labba vidare lite med det.

Btw, jag upptäckte att SSL inte täcker "www.domän.se", bara om man besöker "domän.se". Hittade detta, tänkte kolla om det är nåt du testat? https://www.a2hosting.com/kb/security/ssl/using-www-and-non-w...

Ska man göra det riktigt säkert med port-öppningar ska man inspektera paketen som går där så att trafiken är den man räknat med. Men det kräver såklart mycket mer av brandväggen, och backup med mycket data blir många paket att inspektera. Backupen måste hinna klart i tid och inte påverka de som använder internet/nätverket

Den regeln är inget konstigt. På alla webbsidor mot internet vill man bara ha ett namn med eller utan www för tex. sökmotoroptimering och då kör man liknande rader i apache. Den regeln skickar i ditt fall bara besökaren vidare. Du måste dock vända/skriva om regeln du länkade.

Ok, så nåt sånt här då? Jag tänker att det borde vara bättre att vara så specifik som möjligt.

RewriteEngine on
RewriteCond %{HTTPS} on
RewriteCond %{HTTP_HOST} ^www\.domän\.se [NC]
RewriteRule ^(.*)$ https://domän\.se [R="301,L"]

Nåt säger mig att det inte är att bara slänga in i .htaccess hur som helst sen..

EDIT: Testade att lägga in, men när jag försökte uppdatera htaccess med occ så återställdes filen.

RewriteEngine on
RewriteCond %{HTTPS} on
RewriteCond %{HTTP_HOST} ^www\.domän\.se [NC]
RewriteRule ^(.*)$ https://domän\.se [R="301,L"]

Jag är lite osäker på andra raden, dels vad du tänker att den har för syfte och vad den gör. Kan vara så att den övervakar den filen från ändringar. Lägg den i apache istället, i filen som ligger i mappen "sites-available"

Adderar du ett cname blir det ingen redirect. I adressfältet kommer det stå den adress man skrev och även host-headern till servern. Certifikatet måste då gälla för båda fqdn. Det krävs en redirect, en del DNS-leverantörer kan bistå med den tjänsten annars är det enkelt att göra i sin egen webbserver

SSH-nycklar är så klart på plats.

Behöver kunna nå både med och utan www för att jag har användare som lär bli förvirrade annars, hehe.

Ingen aning vad andra raden gör, jag satte ihop nåt så gott jag kunde med lite lös efterforskning. Ska kolla upp att lägga i apache istället!
Skickades från m.sweclockers.com

Ok, det kan ju vara fördelaktigt också! Jag ska experimentera lite när jag har tid att sätta mig.

Btw, har noterat att tids-zonen verkar vara fel på min NC-installation. Är det säkert att ändra den i efterhand, eller kommer det påverka certifikatet eller så?

@enoch85: Nu ska vi se här. Har suttit och kollat på detta en stund, men vet inte riktigt om jag förstår hur du menar att det ska se ut. Såhär ser det ut i DNS-inställningar just nu:

@ A 7200 <IP>
www A 7200 <IP>
www.domän.se CNAME 7200 domän.se.

Jag testade att lägga till den nedersta raden, men den verkar inte ha löst problemet med att www.domän.se ger fel i webbläsaren. De andra två var standard för min leverantör.