Ist meine Nextcloud sicher vor Hackerangriffen?

[linux-helmut]

@wwe

Ich habe das Gefühl dass du die Begriffe CNAME und subdomain nicht ganz verstanden hast. IP Adressen sind komplet unabhängig vom DNS und oft sind die IPs der residential Kunden sogar per DNS reverse lookup auf den 1. Blick erkennbar - mit etwas Glück kann man sogar die Region/Stadt erkennen.

Dann solltest du dir mal einen Provider suchen, der dich bei deiner “Sicherheit” unterstützt.

Sehr wohl weis ich Subdomain und CNAME zu unterscheiden. Mein System hinter dem Router hatte eine DynDNS die verschleiert wurde. Die Techniken dahinter werde ich dir als “erfahrenen ITler” bestimmt nicht erklären müssen. Da dort auch Mailserver drüber liefern, welche sich nicht als IP mit DynDNS zu erkennen gaben, lief das System jahrelang sehr gut.

Alle Domains und Subdomain, welche auf das heimische System “zeigten”, arbeiteten mit einer festen IP. Alles weitere dahinter wirst du sicherlich aus deinem IT Leben selber kennen.

Nun gut, da wir hier auf unterschiedlichen Wissenständen diskutieren, belassen wir es dabei.

[bb77]

@linux-helmut

Sehr wohl weis ich Subdomain und CNAME zu unterscheiden. Mein System hinter dem Router hatte eine DynDNS die verschleiert wurde.

Was wird da verschleiert? Der DNS Record zeigt am Ende des Tages auf eine IP Adresse, egal ob es ein CNAME Record ist, der auf einen DynDNS-Record zeigt oder ein A Record, der direkt auf die IP zeigt. Und diese IP hat normalerweise sogar einen PTR Record, wenn sie in einem Residential-Range eines ISPs liegt, sowas wie: XXX-XXX-XXX-XXX.dynamic.deinisp.de. Du verschleierst hier also gar nichts, ausser du nutzt zusätzlich einen Dienst wie Cloudflare Tunnels, oder deinen eigenen Proxy auf einem VPS.

Auch ist jedes Zertifikat für eine Subdomain, das du bei Let’s Encrypt beziehst, öffentlich auffindbar. Wenn du also keine Rückschlüsse auf die Dienste zulassen willst, die du hostest, musst du Wildcardzertifikate beziehen, und nicht eines pro Subdomain.

Die Möglichkeit Wildcardzertifikate zu beziehen ist ja einer der grossen Vorteile der DNS Challenge, neben dem bereits genannten, dass man keine Ports öffnen muss. Allerdings geht das dann eher schon ein wenig in die “Security by Obscurity”-Kategorie…

@linux-helmut

Also bei mir hat Certbot mit DNS-01 viele Jahre hervorragend funktioniert. Auch läßt sich die Existenz der DynDNS verbergen.

Wie gesagt, mein DNS hat keine API, also muss ich die Zertifikate manuell erneuern, wenn ich die DNS Challenge verwenden will. Habe da aber ein paar Ideen, wie ich das in Zukunft allenfalls automatisieren kann. Und ja klar, ich könnte einfach mein DNS zu einem der unterstützten Provider umziehen, aber das entspricht nicht meiner Idee von self-hosting und einem dezentralen Internet, und ich bin sehr “picky” wenn es um externe Provider geht. ;-p

@linux-helmut

Alle Domains und Subdomain, welche auf das heimische System “zeigten”, arbeiteten mit einer festen IP. Alles weitere dahinter wirst du sicherlich aus deinem IT Leben selber kennen.

Wie soll das gehen, wenn ich keine feste IP an meinem Internetanschluss habe? …ausser ich leite alles über einen externen Proxy, den ich entweder auf einem VPS “selber” hoste, oder über einen Dienst wie Cloudflare.

@linux-helmut

Die Techniken dahinter werde ich dir als “erfahrenen ITler” bestimmt nicht erklären müssen.

Wäre aber interessant zu wissen wie du das im Detail löst.

@linux-helmut

Da dort auch Mailserver drüber liefern, welche sich nicht als IP mit DynDNS zu erkennen gaben, lief das System jahrelang sehr gut.

Einen Mailserver betreibe ich auch, der läuft allerdings direkt auf einem VPS, und nicht bei mir zuhause, eben weil ich zuhause nur eine dynamische IP habe.

Und ja ich weiss es gibt Mittel und Wege auch das zum laufen zu kriegen, aber auch da bräuchte es wieder einen externen Proxy und einen Tunnel nach Hause oder einen Relay Server auf einem VPS für ausgehende Mails.

Oder einen Business Internetanschluss mit fixen IPs, wäre natürlich auch noch eine Möglichkeit, was aber vorallem bei den billigen Businesspaketen auch nicht immer hilft mit dem Mailserver, weil diese fixen IPs sich häufig in den selben IP Ranges befinden wie die dynamischen Residential IPs, und diese IP Ranges grossflächig in diversen Block- und Spamlisten geführt werden, aus denen man sie dann ersteinmal rauskriegen muss.