V-Server Konfiguration

[JTK222]

Heyho o/

Also, ich betreibe bereits seit einigen Monaten (bzw. habe es bis jetzt) einen V-Server mit 2 Discord Bots,
einem Webserver und ab und an einem kleinen Minecraft Server für private zwecke.
Mir ist aufgefallen dass seit einiger zeit der web traffic immens gestiegen ist. (Also nicht wirklich allzu viel, aber so um die 10GB am tag, vielleicht etwas mehr)
Mich hat es stutzig gemacht weil ich bis dato eig. nie über die 500MB am tag gekommen bin.
Ich habe mir aber auch nie wirklich gedanken um die Sicherheit gemacht, was wohl ein großer Fehler war.
(Also root user und co. waren deaktiviert hatte ein langes PW für einen anderen account usw.) aber dass war es dann auch schon.

Nun möchte ich dass ganze aber mal vernünftig angehen. Und den server neu Aufsetzen, so dass alles mehr oder weniger sicher ist.
Auch aus dem Grund dass ich da zukünftig ein paar mehr Sachen hosten möchte.
Daher wollte ich hier mal fragen ob mir vielleicht jemand einige Guides empfehlen könnte für folgende dinge
(so dass auch keine Sicherheits Lücken entstehen, die meisten Guides behandeln dass nämlich nicht)

• Ich möchte einen Simplen Webserver (falls möglich nginx)
• Dazu eine Datenbank, die von Java Programmen als auch über den Webserver genutzt werden soll.
• Einen kleinen Minecraft server der für die Validierung des Minecraft accounts dient.
  (Es soll Forge genutzt werden, ich weiß nicht ob dadurch sicherheits lücken entstehen können)
• Ein privater Minecraft server zum spielen mit Freunden
• Wieder 1-2 Discord bots (geschrieben in Java)
• Desweiteren möchte ich den Webserver auch gleich als FTP server für ein Maven repository nutzen.

Ich würde mich sehr freuen wenn ihr ein paar guides kennt die erklären was man Sicherheitstechnisch bei all diesen Dingen zu beachten hat.

Vielen dank im voraus o7 - JTK222

 

[Chrisliebär❤️]

• Ich möchte einen Simplen Webserver (falls möglich nginx)

Spricht nichts dagegen. Installieren und vergessen. Sofern du PHP dazu brauchst php-fpm oder wie das heißt und entsprechend deiner Distribution installieren. Man kann da auch mit mehreren fpm Instanzen arbeiten, sofern man mehr Isolation will.

• Dazu eine Datenbank, die von Java Programmen als auch über den Webserver genutzt werden soll.

Ich vermute du meinst damit MySQL. Solltest aber MariaDB installieren, die MySQL Community Entwicklung ist komplett zu MariaDB umgezogen und ich glaub das nutzt Debian/Ubuntu inzwischen auch.

Einen kleinen Minecraft server der für die Validierung des Minecraft accounts dient.
(Es soll Forge genutzt werden, ich weiß nicht ob dadurch sicherheits lücken entstehen können)

Können bestimmt. Vor allem fremde Plugins sind natürlich DAS Angriffsziel schlechthin. Eigener Benutzer für den Server versteht sich von selbst.

Ein privater Minecraft server zum spielen mit Freunden

Siehe darüber.

Wieder 1-2 Discord bots (geschrieben in Java)

Eigener Benutzer. Möglichkeit zum Missbrauch besteht natürlich, man muss schon guten Code schreiben, wenn er öffentlich erreichbar ist. Gerade bei Discord Bots würde ich auch darauf achten was diese können und ob es Rate-Limiting oder ähnliches gibt. Bedenke, dass jeder User, der mit dem Bot interagieren kann den Bot missbrauchen kann, z.B. indem er ihn ständig Bilder runterladen lässt oder ähnliches.

Desweiteren möchte ich den Webserver auch gleich als FTP server für ein Maven repository nutzen.

Dafür würd ich abraten. Maven Repository kann man auch über HTTP(S) ausliefern. Für den Upload empfehl ich SFTP, also File Transfer über die SSH Verbindung. FTP braucht man einfach für nichts und eigentlich jeder FTP Client kann auch SFTP.


Ansonsten solltest du noch folgendes in Erwägung ziehen.

• SSH Port verschieben. Der Standardport wird permanent von Bots abgescannt. Das sorgt dafür, dass dein Log voll mit Loginversuchen ist und man darin quasie nichts mehr findet. Ein alternativer Port erhöht zwar nicht direkt die Sicherheit, aber verringert einfach das Grundrauschen deutlich, so dass es einfacher ist Loginversuche nachzuvollziehen.
• Außerdem natürlich root-Login komplett verhindern. Rootrechte besorgt man sich nach dem Login über su oder sudo
• Login per Passwort abschalten und nur noch Login über Keyauth zulassen.
• Einige Leute installieren auch noch fail2ban. Das ist ein Python Skript, dass Logfiles scannt und verdächte Aktionen (z.B. fehlgeschlagene Loginversuche) erkennt und die entsprechende IP für einige Zeit sperrt. Würde ich persönlich nicht nutzen, denn es erhöht die Sicherheit nicht und legt zudem eigene Regeln in den iptables an, was sehr verwirrend werden kann, sollte man diese nutzen wollen. Außerdem arbeitet es nicht unbedingt ressourcenschonend.
• Firewall kann man einrichten, aber ist irgendwie egal für die meisten Fälle. Dienste, die nicht von außen erreichbar sein sollen, sollten direkt auf localhost horchen und nicht auf allen Interfaces. Ggf. mit netstat checken. Wo kein Dienst läuft braucht man auch keine Firewall, von daher Geschmackssache.

 

[JTK222]

Spricht nichts dagegen. Installieren und vergessen. Sofern du PHP dazu brauchst php-fpm oder wie das heißt und entsprechend deiner Distribution installieren. Man kann da auch mit mehreren fpm Instanzen arbeiten, sofern man mehr Isolation will.

Gut zu wissen dass es da out of the box wohl nicht zu viel zu beachten gibt.

Ich vermute du meinst damit MySQL. Solltest aber MariaDB installieren, die MySQL Community Entwicklung ist komplett zu MariaDB umgezogen und ich glaub das nutzt Debian/Ubuntu inzwischen auch.

Welche Datenbank ist mir da eigentlich egal, ich bin Flexibel, ich habe vor alle system die ich nutzen möchte selbst zu schreiben.

Können bestimmt. Vor allem fremde Plugins sind natürlich DAS Angriffsziel schlechthin. Eigener Benutzer für den Server versteht sich von selbst.
Siehe darüber.

Nein, es wird ein 1 mod server, diesen werde ich auch selbst schreiben.
(Er wird lediglich dazu dienen zu bestätigen dass der Minecraft account einem selbst gehört)
Und bei dem Privat server soll es sich lediglich um einen Vanilla server handeln.

Eigener Benutzer. Möglichkeit zum Missbrauch besteht natürlich, man muss schon guten Code schreiben, wenn er öffentlich erreichbar ist. Gerade bei Discord Bots würde ich auch darauf achten was diese können und ob es Rate-Limiting oder ähnliches gibt. Bedenke, dass jeder User, der mit dem Bot interagieren kann den Bot missbrauchen kann, z.B. indem er ihn ständig Bilder runterladen lässt oder ähnliches.

Danke, an rate limiting habe ich bis jetzt nicht gedacht, soll aber auch nix komplexes werden, also so viele Möglichkeiten zum missbrauch wird es denke ich nicht geben.

Dafür würd ich abraten. Maven Repository kann man auch über HTTP(S) ausliefern. Für den Upload empfehl ich SFTP, also File Transfer über die SSH Verbindung. FTP braucht man einfach für nichts und eigentlich jeder FTP Client kann auch SFTP.

Das meinte ich eigentlich auch, mache es momentan bereits so. Kenne mich halt leider mit den ganzen Bezeichnungen nicht aus.
(Habe in Kommunikations Technik in der schule leider einen Alkoholiker als Lehrer erwischt D

Und zum ganzen rest vielen dank für die Tipps!
An dass meiste hätte ich nicht gedacht, vor allem sagt mit Keyauth im moment gar nichts D: (werde mich da mal einlesen)
Daran den SSH port umzustellen hätte ich auch nicht gedacht.