Networking

Alt und neu Früher war alles besser - oder zumindest: anders. Um ein Cisco IOS(-XE) Gerät bequem über Nacht einzuspiele genügte es, die Bootvariable auf das neue Image zeigen zu lassen und mit reload in oder reload at einen Neustart des Gerätes zu planen. Das direkte Laden des Imagefiles nennt Cisco mittlerweile den Bundle Mode. Mit Einführung des Install-Modes werden die Images nicht mehr direkt geladen, sondern im Vorfeld entpackt. Das soll den Bootvorgang beschleunigen und die Belegung des Arbeitsspeichers verringern. Allerdings gibt es keine eingebaute Methode, den fälligen Neustart durch das Update in die Nachtstunden zu verlegen. Man müsste also die Installation des Updates in der Nacht starten - ziemlich unkomfortabel, wenn man eine Flotte an Geräten updaten will. ...

Voraussetzungen und Ziel Ziel dieses Setups ist es, einen Cisco Router als Spoke per VPN an eine Fortigate (Hub) anzuschalten. Dies soll unabhängig vom Internetzugang des Spokes möglichst immer funktionieren, d.h. auch wenn dieser eine dynamische IPv4 WAN-Adresse hat und auch, wenn der Router hinter einem Internetzugang mit CGNAT hängt. Letzteres ist beispielsweise bei Mobilfunkzugängen die Regel. Da reines GRE nicht CGNAT-fähig ist, wird der Tunnel mit IPSEC geschützt, sodass die Tunnelverbindung über in UDP enkapsuliert wird. Das funktioniert dann auch mit CGNAT. ...

Neuere Fritzboxmodelle von AVM (z.B. die 7590) werden werksseitig mit einem Passwort für die Weboberfläche versehen, das auf einem Aufkleber an der Box oder einem beigelegten Zettel aufgedruckt ist. Hat man beides nicht mehr und musste die Box auf Werkseinstellungen zurücksetzen, kommt man nicht mehr auf die Weboberfläche. Mit den folgenden Schritten ist es aber möglich, das Passwort auszulesen. Benötigt wird ein PC mit installiertem FTP Client. dem PC eine feste IP im Fritzbox Standardnetz vergeben (z.B. 192.168.178.2/24) Fritzbox vom Strom trennen und per LAN mit PC verbinden Fritzbox an Strom anschließen nachdem Netzwerkaktivität losgeht (relativ schnell nach Herstellung der Stromversorung der Fall): ftp 192.168.178.1 im CMD/Bash ausführen Username & Passwort = adam2 Webgui Passwort in der FTP Shell auslesen mit: quote GETENV webgui_pass

Froxlor ist eine in PHP geschriebene und unter der GPL veröffentlichte Servermanagementanwendung, die das Betreiben von Hostingservern vereinfacht. Einmal eingerichtet lassen sich Hostings (vordergründig Webhosting und Mailhosting, Details s. auf der Homepage von Froxlor) bequem per Webinterface anlegen und verwalten. Was die Wahl des Serverbetriebssystems angeht, hat man die Wahl zwischen diversen Linuxdistributionen. Am besten unterstützt werden Debian und seine Derivate. Aber auch Centos und Arch Linux stehen zur Auswahl. Außerdem hat man die Wahl, welche Serversoftware eingesetzt werden soll. Beim Webserver beispielsweise zwischen Apache, nginx und Lighttpd. ...

Der eingebaute IKEv2 VPN Client von Windows 10 unterstützt von Haus aus lediglich Verbindungen, die auf DH-Group 2 setzen. Das ist heutzutage nicht mehr zeitgemäß. Möchte man eine sicherere Verbindung einrichten (wie beispielsweise hier beschrieben), so kann man sich die Powershell zu Nutze machen. Dabei ist es notwendig, dass die Verbindung nicht über die grafische Oberfläche eingerichtet wird, sondern direkt auf der Powershell. Wenn man einen VPN Server nach dem oben verlinkten Artikel aufgesetzt hat, lautet der notwendige Befehl für die Client-Verbindung: ...

Wer im Internet surft hinterlässt Spuren. Webserver loggen Zugriffe und speichern die IP Adressen des Clients, sowie u.a. Datum, Uhrzeit, Browser und angefragte URL. Internetprovider wiederum speichern mitunter die IP Adressen ihrer Kunden. So lässt sich theoretisch nachvollziehen, welcher Kunde wann wohin surft. Wer seine Privatsphäre bewahren will kann daher die Dienste eines VPN Providers nutzen. Dadurch sieht beispielsweise der Webserver nicht mehr die IP Adresse des eigenen Anschlusses, sondern die des VPN Providers. Außerdem kann der ISP nicht verfolgen, wohin zugegriffen wurde, da dies ebenfalls über eine verschlüsselte Verbindung über den VPN Provider läuft. Letztlich muss man allerdings dem VPN Provider vertrauen. Viele werben damit, keine Logdateien zu speichern. So auch der Anbieter NordVPN, dessen Dienst für dieses Beispiel herangezogen wird. Grundsätzlich sollte die Anleitung auch auf andere VPN Provider anwendbar sein, sofern sie OpenVPN unterstützen. ...

Sofern die Option Packet Capture im Menü der Fortigate nicht erscheint, kann man den Sniffer mit folgendem Link direkt aufrufen: https://[ IP_der_Fortigate ]/ng/page/p/firewall/sniffer/ Alternativ lässt sich auch via CLI sniffen, allerdings bekommt man dann kein schönes .pcap File heraus. Der Befehl dazu lautet: diagnose sniffer packet < interface > [ filter ] < interface >: das Interface, auf dem man sniffen möchte, “any” für alle, [ filter ] : optionale Angabe von Filtern, um die Ausgabe übersichtlich zu halten

Datei vom Router zu einem entfernten FTP-Server senden: file copy /var/tmp/logs.tgz ftp://username@***.**.***.**/logs.tgz

Kurze Zusammenfassung der Einstellungen für pfSense und Android. VPN Serverkonfiguration VPN –> IPsec –> Mobile Clients Mobile Client Support aktivieren User Authentication: Local Database Group Authentication: None Virtual Address Pool: beliebigen, nicht verwendeten Pool benutzen Virtual IPv6 Address Pool: ebenfalls beliebigen, nicht verwendeten Pool verwenden (bei Bedarf) pfSense unterstützt derzeit nicht das Vermischen von IPv4 und IPv6 im VPN Tunnel. D.h., dass zu einer IPv4 Gegenstelle auch nur IPv4 Traffic getunnelt werden kann und analog bei einer IPv6 Gegenstelle nur IPv6 getunnelt werden kann. Alle anderen Einstellungen nach Bedarf. ...

Die Fritzbox ermöglicht die Installation eines eigenen SSL Zertifikates, das das von der Box selbst generierte Zertifikat ersetzt. Ein Zertifikat gibt es z.B. bei Let’s Encrypt über den Onlinedienst sslforfree.com.Nachdem man dort seine Domain verifiziert hat (im Falle der Fritzbox muss man das über die DNS-Validierung machen, da man auf der Box ja keine eigene Datei im Webserver hinterlegen kann), erhält man das Zertifikat zum Download. Es kommt in drei Teilen: dem Zertifikat selbst (.crt), dem privaten Schlüssel (.key) und dem Zwischenzertifikat. Das Zwischenzertifikat braucht man nicht. ...