On Tue, 10 Aug 2021 14:07:49 +0200 Werner Franke wrote:

Apache: Vom Internet soll eigentlich nur Web-Seiten über https erreichbar sein.

Der Apache ist jedoch auch für cgi-bin/Perl konfiguriert. Das brauche ich aber nur im Intranet. Kann man irgendwie verhindern, dass er auf diesbezügliche Anfragen aus dem Internet antwortet bzw. irgendwie reagiert ?

Das cgi-bin Zeugs nur für http konfigurieren aber nicht für https?

Ich gehe mal davon aus, dass Nextcloud kein Perl braucht. Wenn sowas wie Container keine Option (oder Overkill) ist, würde ich mit IP-based virtual hosting arbeiten. Auf dem Linux-Server richtest Du ein IP-Alias und in der Apache-Konfiguration virtual-host-Konfigurationen für jede IP-Adresse ein. "Default" wird deaktiviert. Die eine IP-Adresse und somit die damit verbundene virtual-Host-Konfig ist per Port-Forward über die Fritzbox von außen erreichbar und dort richtest Du die Nextcloud-Konfiguration ein. Die andere ist nicht von außen erreichbar und dort richtest Du Deine perl-Applikation ein. Am besten gibst Du beiden noch einen eigenen Namen im internen DNS-Server, so vorhanden. Wenn Du Letencrypt verwendest, dann bietet er Dir bei der initialen Einrichtung beide vhost-Konfigs an und da musst Du halt nur die für externen Zugriff auswählen. Hinsichtlich ssh solltest Du nur public key authentication erlauben. Bei "root" vielleicht gar kein ssh-Login erlauben und stattdessen über persönliche Accounts als Zwischenstation arbeiten. Wenn Du intern unbedingt weiterhin mit Passwort arbeiten willst oder sonstwie ssh-Restriktionen auf externe Zugriffe beschränken willst, wird's etwas aufwendiger, geht aber im Prinzip auch. Einen schönen Überblick über die unerlaubten Zugriffe liefert Dir Logwatch. Da siehst Du auch, welche User "bekannt" sind und man sieht auch erfolgreiche ssh-Logins, die vielleicht gar nicht erwünscht waren. Das failed-Login-Rauschen reduziert man z.B. über denyhosts - z.B. drei vergebliche Login-Versuche und die IP wird für mehrere Tage auf tcp-Level gesperrt. Andere nehmen fail2ban, welches auch für http/https geeignet ist. Gruß, Tobias.

Hi Tobias, Am 10.08.21 um 19:53 schrieb Tobias Crefeld:

On Tue, 10 Aug 2021 14:07:49 +0200 Werner Franke wrote:

...

Apache: Vom Internet soll eigentlich nur Web-Seiten über https erreichbar sein.

Der Apache ist jedoch auch für cgi-bin/Perl konfiguriert. Das brauche ich aber nur im Intranet. Kann man irgendwie verhindern, dass er auf diesbezügliche Anfragen aus dem Internet antwortet bzw. irgendwie reagiert ?

Das cgi-bin Zeugs nur für http konfigurieren aber nicht für https?

Ich gehe mal davon aus, dass Nextcloud kein Perl braucht. Nein, Nextcloud braucht das nicht, aber ich habe eine kleine Anwendung gemacht und mit Perl kenne ich mich am Besten aus.

Wenn sowas wie Container keine Option (oder Overkill) ist, würde ich mit IP-based virtual hosting arbeiten. Auf dem Linux-Server richtest Du ein IP-Alias und in der Apache-Konfiguration virtual-host-Konfigurationen für jede IP-Adresse ein. "Default" wird deaktiviert. Die eine IP-Adresse und somit die damit verbundene virtual-Host-Konfig ist per Port-Forward über die Fritzbox von außen erreichbar und dort richtest Du die Nextcloud-Konfiguration ein. Die andere ist nicht von außen erreichbar und dort richtest Du Deine perl-Applikation ein. Am besten gibst Du beiden noch einen eigenen Namen im internen DNS-Server, so vorhanden. Wenn Du Letencrypt verwendest, dann bietet er Dir bei der initialen Einrichtung beide vhost-Konfigs an und da musst Du halt nur die für externen Zugriff auswählen.

Soweit ich das oben verstehe soll der Server also 2 verschiedene IPs haben, oder ist das nur in der Apache Konfig? Einen DNS Server habe ich aber nicht. Nur die Fritzbox bzw die hosts-files. Ich habe im Büro zwar einen Apache (2.2) betreut und der hatte auch mehrere vhosts, aber was man da so angeben kann weiss ich nicht. Ich war froh dass es dann so wie ich es konfiguriert hatte, funktioniert hat. Gibt es irgendwo ein Beispiel für sowas ?

Hinsichtlich ssh solltest Du nur public key authentication erlauben. Bei "root" vielleicht gar kein ssh-Login erlauben und stattdessen über persönliche Accounts als Zwischenstation arbeiten.

SSH ist nur mit key erlaubt und für root gar nicht.

Wenn Du intern unbedingt weiterhin mit Passwort arbeiten willst oder sonstwie ssh-Restriktionen auf externe Zugriffe beschränken willst, wird's etwas aufwendiger, geht aber im Prinzip auch.

Einen schönen Überblick über die unerlaubten Zugriffe liefert Dir Logwatch. Da siehst Du auch, welche User "bekannt" sind und man sieht auch erfolgreiche ssh-Logins, die vielleicht gar nicht erwünscht waren. Das failed-Login-Rauschen reduziert man z.B. über denyhosts - z.B. drei vergebliche Login-Versuche und die IP wird für mehrere Tage auf tcp-Level gesperrt. Andere nehmen fail2ban, welches auch für http/https geeignet ist.

vielen Dank,

Hallo! Am Dienstag, 10. August 2021, 14:07:49 CEST schrieb Werner Franke:

Apache: Vom Internet soll eigentlich nur Web-Seiten über https erreichbar sein.

Das richtet doch das Nextcloud Setup eh automatisch so ein, oder?

Der Apache ist jedoch auch für cgi-bin/Perl konfiguriert. Das brauche ich aber nur im Intranet. Kann man irgendwie verhindern, dass er auf diesbezügliche Anfragen aus dem Internet antwortet bzw. irgendwie reagiert ?

Die Require Direktive kann bspw. verwendet werden, um Anfragen nur von intern zuzulassen. Die kannst du auf beliebige virtuelle oder physische Verzeichnisse setzen. Ein Require braucht es immer, ohne gibt es keinen Zugriff. Typischerweise ist Require all granted gesetzt. Also alles erlaubt. Du kannst aber dennoch ein Unterverzeichnis auf interne Zugriffe beschränken mit bspw. Require ip 10.0.1.0/24 für ein Subnetz. Weitere Details dazu in den Apache Docs: https://httpd.apache.org/docs/2.4/mod/mod_authz_core.html#require

Das cgi-bin Zeugs nur für http konfigurieren aber nicht für https?

Wenn ohnehin nur von intern Zugriff möglich ist, bleibt es dir überlassen http zu verwenden. Grüße Richard

On 13.08.21 19:57, Werner Franke wrote:

Am 10.08.21 um 14:44 schrieb Ulf Volmer:           AllowOverride all       Options +ExecCGI -Includes +FollowSymLinks       AddHandler cgi-script .cgi .pl       <RequireAll>         #--------------------------------------- Nicht ueber's Internet     #         Require all granted     Require not ip 192.168.178.1       </RequireAll>     </Directory>

Das geht zwar jetzt, aber ich bekomme ein "Access forbidden!"

Das ist das zu erwartende Verhalten, ja.

Also sieht man vom Internet aus, das da was ist, man nur nicht darf. Grund weiter zu bohren...

Besser wäre es aber, wenn nur bei richtigen URLs und nur wenn der Zugriff erlaubt ist, eine Reaktion kommt. Sonst

Seite wurde nicht gefunden

Geht das ?

Ich wüsste jetzt nicht, wie. Also ohne eine WAF oder so. Viele Grüße Ulf

On 11.11.21 18:37, Werner Franke wrote:

---- Scanning URL: https://wfr1dns.spdns.org:30443/ ---- + https://werner.spdns.org:40443/cgi-bin (CODE:403|SIZE:7573)

+ https://werner.spdns.org:40443/git (CODE:403|SIZE:7573)

+ https://werner.spdns.org:40443/phpMyAdmin (CODE:403|SIZE:7573)

Meine DocumentRoot ist "/srv/www/htdocs"

root@hpserver (-bash) ll /srv/www/htdocs drwxr-xr-x  2 root root 4,0K  1. Nov 18:28 cgi-bin -rw-rw-r--  1 root root   45 17. Dez 2020  .htusers drwxr-xr-x 14 root root 4,0K  1. Okt 04:05 nextcloud drwxr-xr-x  9 root root 4,0K  1. Nov 18:25 phpMyAdmin

root@hpserver (-bash) ll /srv/www drwxr-xr-x 2 root root 4,0K  1. Nov 18:28 cgi-bin -rw-rw-r-- 1 root root   17  1. Nov 17:11 .htaccess drwxr-xr-x 5 root root 4,0K 11. Nov 18:22 htdocs

root@hpserver (-bash) more .htaccess Options -Indexes

dirb geht eine Liste von Verzeichnisnamen durch, die er dann schlicht durchprobiert. Das Abschalten der Indexierung hilft Dir hier also nicht. Aber Du bekommst ja ein 403 (Forbidden), also alles gut.

Wenn ja, was könnte helfen ?

Hänge eine zweite Apache Instanz (oder einen nginx) als Reserve Proxy vor Deinen Apache und sorge dafür, dass nur dieser aus dem Internet erreichbar ist. Viele Grüße Ulf