Eigene CA betreiben – Schritt 4 (Zertifikate für die Server erzeugen und installieren)

Nachdem wir in Teil 2 bzw. Teil 3 unser Root-Zertifikat auf den Clients installiert haben, kommen wir nun zum eigentlichen Zweck des Ganzen. Wir erzeugen für unseren Webserver ein Zertifikat und binden es ein, so dass die aufrufenden Clients eine verschlüsselte und sichere Verbindung bekommen.

„Eigene CA betreiben – Schritt 4 (Zertifikate für die Server erzeugen und installieren)“ weiterlesen

Debian/Ubuntu apt-get "Signaturen ungültig"

Ich verwende bei einigen Softwarepaketen wie z.B, MariaDB oder MongoDB nicht die Standard-Repositories des Betriebssystems, sondern die Repositories der Softwarehersteller selbst, da diese deutlich öfter aktualisiert werden.

Bei einem routinemäßigen apt-get update erscheint dann manchmal die Fehlermeldung „Die folgenden Signaturen waren ungültig: EXPKEYSIG“

„Debian/Ubuntu apt-get "Signaturen ungültig"“ weiterlesen

Eigene CA betreiben – Schritt 3 (Root-Zertifikat per GPO auf den Clients installieren)

Im Teil 2 habe ich beschrieben wie man das erstellte Root-Zertifikat manuell auf den Clients installiert. Während das bei ein paar Clients sicherlich noch gut machbar ist, ist dieser Weg bei einigen hundert oder tausenden Clients natürlich viel zu zeitaufwändig. Wir haben in unserer Firma eine Active Directory-Infrastruktur und nutzen eine entsprechende GPO (Gruppenrichtlinie) um unser Root-Zertifikat auf den Client-Rechnern zu installieren.

„Eigene CA betreiben – Schritt 3 (Root-Zertifikat per GPO auf den Clients installieren)“ weiterlesen

Verschlüsselte Wechselfestplatte einrichten

Ich sichere meine wichtigsten Daten regelmäßig auf einer Wechselfestplatte, die ich außer Haus bei meinen Schwiegereltern lagere. So bin ich auch im absoluten Katastrophenfall (Brand, Wasserschaden, etc.) in der Lage auf alle Dokumente zuzugreifen. Dennoch möchte ich nicht, dass meine Daten auf der Wechselfestplatte quasi öffentlich zugänglich sind. Daher verschlüssele ich die Festplatte, so dass sie nur mit dem richtigen Schlüssel ihre Daten hergibt.

„Verschlüsselte Wechselfestplatte einrichten“ weiterlesen

Eigene CA betreiben – Schritt 2 (Root-Zertifikat auf den Clients installieren)

Im ersten Teil habe ich mir ein Root-Zertifikat erstellt, welches ich dazu nutzen möchte selbst erstellte Zertifikate für interne Webserver zu beglaubigen. Damit dieses funktioniert, muss ich aber zunächst einmal den Clients beibringen, dass sie unserem Root-Zertifikat – und damit auch allen damit beglaubigten Zertifikaten – vertrauen.

Je nach verwendetem Betriebssystem ist der Vorgang mehr oder weniger kompliziert.

„Eigene CA betreiben – Schritt 2 (Root-Zertifikat auf den Clients installieren)“ weiterlesen

Eigene CA betreiben – Schritt 1 (eigene CA erstellen)

Wir betreiben hier verschiedene Webserver, die nur internen Zwecken dienen, aber die Daten dennoch verschlüsselt ausliefern. Nun ist es ziemlich nervig bei jedem Aufruf diese „Diese Seite ist nicht sicher“-Warnung wegklicken zu müssen. Außerdem besteht die Gefahr, dass die User sich daran gewöhnen, dass diese Warnmeldung kommt und die auch dann missachten, wenn echt mal Gefahr droht.

Wir müssen also gültige Zertifikate für diese Server ausstellen, damit die SSL/TLS verschlüsselte Übertragung per https ohne Fehlermeldung funktioniert. Während das bei extern erreichbaren Webservern ja recht einfach ist, dürfte es schwierig werden eine CA (certificate authority) zu finden, die einem ein Zertifikat für die Domain firma.local ausstellt.

Wir müssen also unsere lokale CA gründen, den Rechnern in der Windows-Domain beibringen dieser CA zu vertrauen und dann von unserer internen CA Zertifikate für diverse Server erstellen lassen und installieren.

Klingt nach viel Arbeit – ist es leider auch – aber nicht so kompliziert wie es eigentlich klingt, fangen wir einfach mal an.

„Eigene CA betreiben – Schritt 1 (eigene CA erstellen)“ weiterlesen

Debian – Update von Stretch (9) auf Buster (10)

Wir pflegen hier einige Server, die auf Debian stable (im Moment Version Stretch 9.6) laufen. Leider sind einige Softwarepakete in stable mittlerweile doch recht alt und wir bekommen Probleme mit Abhängigkeiten. Also ist es an der Zeit diese Server auf Debian Buster upzudaten.

Das ganze läuft recht unspektakulär. Als erstes bringen wir unser bestehendes Debian Stretch mal auf den aktuellen Stand.

„Debian – Update von Stretch (9) auf Buster (10)“ weiterlesen

Software Raid – Festplatte ersetzen

Ich habe hier beschrieben wie unter Ubuntu ein Software Raid installiert wird. Das funktioniert soweit auch ganz prima, allerdings schickten mir die Smarttools heute morgen diese Mail:

This message was generated by the smartd daemon running on:

   host name:  kameraserver
   DNS domain: [Empty]

The following warning/error was logged by the smartd daemon:

Device: /dev/sde [SAT], 8 Offline uncorrectable sectors

Device info:
ST2000VX008-2E3164, S/N:W5232Z6R, WWN:5-000c50-09b8c9bf7, FW:CV12, 2.00 TB

For details see host's SYSLOG.

You can also use the smartctl utility for further investigation.
Another message will be sent in 24 hours if the problem persists.

So wie aussieht, scheint /dev/sde also so langsam den Geist aufzugeben. Besser ich ersetze sie jetzt gegen eine neue Festplatte. Aber wie mache ich das?

„Software Raid – Festplatte ersetzen“ weiterlesen

Ubuntu – Software Raid erstellen

Wir haben in der Firma eine Videoüberwachung des Außengeländes mit einem Dutzend Kameras. Die aufgezeichneten Videos werden für ein paar Tage gespeichert. Allerdings sind die dabei anfallenden Datenmengen und Transferraten so groß, dass eine einzelne Platte überfordert wäre. Normalerweise bevorzuge ich ja Hardware Raid, aber wir haben gerade keinen Raid-Controller da und für den Anwendungszweck ist ein Software Raid vollkommen ok.

Die Ausgangslage

Ich habe zur Abwechslung mal keinen virtuellen Server, sondern richtiges Blech. Es handelt sich um ein älteres Serverboard INTEL S1200BTL mit 8GB RAM und einer kleinen SSD für das Betriebssystem sowie 5 SATA-Platten á 2TB für unser Software RAID. Als Betriebssystem ist ein Ubuntu 16.04LTS installiert.

„Ubuntu – Software Raid erstellen“ weiterlesen