Xinux Wiki - Benutzerbeiträge [de]

Neues von Claude

2026-11-02T12:35:43Z

Thomas.will@claude: Neue Animation: OPNsense Grundkonfiguration

Diese Seite sammelt Seiten, Animationen und Quizze, die mit Unterstützung von '''Claude''' (KI-Assistent von Anthropic) entstanden oder überarbeitet wurden. Neueste zuerst. Wie bei jeder Quelle gilt: Inhalte bitte prüfen, Fehler werden laufend korrigiert.

=02.11.2026=
*Animation [https://xinux.org/opnsense-grundkonfiguration.html OPNsense-Grundkonfiguration]: vom Werkszustand zu eigenen Netzen – Verwaltung zuerst absichern (eigene Ports für WebGUI und SSH), WAN-Interface, Interfaces zuweisen (LAN/SERVER/DMZ), Source NAT ohne Zugriff auf fremde Kurs-DMZs, Firewall-Regeln mit Alias für die eigene Werkstation, Weg zu anderen DMZs über eine eigene Route, Name und Zertifikat, Fehlerbilder. Ergänzt die bestehenden Module [[OPNsense Regeln]] und [[OPNsense NAT]] um den vorausgehenden Einstieg. Dazu die Seite [[OPNsense Grundkonfiguration]] um den Animations-Link ergänzt.

=31.10.2026=
*Animation [https://xinux.org/netzwerk-kennzahlen.html Netzwerk-Kennzahlen]: Latenz (RTT, physikalische Untergrenze, ihre vier Bestandteile), Bandbreite vs. Durchsatz (ideal, geteilt, Paketverlust), Jitter mit Jitter-Puffer und QoS, alle vier im Vergleich, Fehlerbilder. Neu aufgebaut im aktuellen Stil (dunkles Theme, Schritt-Dramaturgie, einfach/ausführlich) auf Basis einer vorhandenen Einzelseite im alten, hellen Stil.
*Animation [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen]: Reihenfolge von oben nach unten, erste passende Regel gewinnt, Floating vs. Interface-Regeln, Anti-Lockout und Default-Regeln, der Klassiker „zu allgemeine Regel blockiert die speziellere“, Log und Hits, Fehlerbilder. Dazu die Seite [[OPNsense Regeln]].
*Animation [https://xinux.org/opnsense-nat.html OPNsense NAT richtig verstehen]: Outbound NAT (Automatic/Hybrid/Manual), Port Forward mit automatischer Firewall-Regel, NAT Reflection und Split DNS, 1:1 NAT, Reihenfolge NAT vs. Filter je Richtung, Fehlerbilder. Seite [[OPNsense NAT]] inhaltlich ergänzt (vorher nur ein kurzer Binat-Hinweis).
*Animationen Nginx in drei Stufen (auf Hinweis von Thomas: ein einzelnes Modul stieg didaktisch mitten im Thema ein, jetzt Einstieg → erweitert → fortgeschritten):
** [https://xinux.org/nginx-grundkonfiguration.html Nginx: Grundkonfiguration] (Einstieg): Installation und Dienst, Verzeichnisstruktur, der erste Server-Block, sicher ändern (nginx -t vor reload), mehrere Sites per server_name, Fehlerbilder.
** [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy] (erweitert): statisch vs. Backend, Location-Matching-Grundprinzip, proxy_pass und die vollständige Forwarded-Header-Kette.
** [https://xinux.org/nginx-load-balancing.html Nginx: Load Balancing] (fortgeschritten): die Location-Matching-Falle (Regex schlägt Prefix ohne <code>^~</code>), mehrere Backends und Verteilstrategien, passives Ausfallverhalten, Rate Limiting mit 429, Fehlerbilder 403/404/413/502/504.
*Zwei neue Wiki-Seiten, Lücken aus dem ursprünglichen Nginx-Durchgang geschlossen: [[Nginx Lets Encrypt und Certbot]] (automatisierte TLS-Zertifikate, Abgrenzung zu den bestehenden manuellen Zertifikats-Seiten) und [[Nginx Absichern und Betreiben]] (Security Hardening, Basic Auth/IP-Beschränkung, Logging, Performance, Hochverfügbarkeit, Deployment-Checkliste). Dazu [[Nginx Reverse Proxy und Load Balancing]] um „Erweitertes Routing“ (SPA-Fallback, Named Location, map) ergänzt.

=30.10.2026=
*Seite [[BigBlueButton installieren]]: BigBlueButton 4.0 mit Greenlight auf Ubuntu 24.04 Schritt für Schritt aufbauen (DNS mit IPv4 und IPv6, Firewall, Installationsskript, Prüfung, Administrator, Grenzen bei IPv6), mit Beispielwerten zum Nachbauen.
*Animation [https://xinux.org/geschichte-unix-linux.html Linux Grundlagen: Geschichte von Unix und Linux]: von Multics und der Geburt von Unix über C, den Zerfall in viele Varianten, GNU und den Linux-Kernel bis zu Open Source, Distributionen und der Frage, wo Linux läuft.

=29.10.2026=
*Animation [https://xinux.org/datenstrom-programme.html Linux Grundlagen: Datenstrom-Programme]: die Werkzeuge wc, cut, tr, sort, grep und sed einzeln erklärt und am Ende zu einer Kette mit der Pipe verbunden.
*Animation [https://xinux.org/vim-einfuehrung.html Linux Grundlagen: vim Einführung]: die Modi von vi und vim (Kommando-, Eingabe-, Ex- und Visual-Modus), Bewegen, Bearbeiten mit dem Puffer, Speichern und Ersetzen im Exmodus und der Visual-Modus.
*Animation [https://xinux.org/benutzer-gruppen.html Linux Grundlagen: Benutzer und Gruppen]: /etc/passwd, das Passwort-Problem mit der Lösung /etc/shadow und /etc/group.
*Animation [https://xinux.org/kommandolokalisierung.html Linux Grundlagen: Kommandolokalisierung]: wie die Shell ein Kommando findet (Pfad, Hashtabelle, Alias, Funktion, Built-in, PATH), der Alias bei ls und which und type.
*Animation [https://xinux.org/pipes-umleitung.html Linux Grundlagen: Ein- und Ausgabe, Pipes]: die drei Standardkanäle, Umleiten mit <, > und >>, Fehlerkanal getrennt oder zusammengelegt, und die Pipe.
*Animation [https://xinux.org/prozesse.html Linux Grundlagen: Prozesse]: Programm und Prozess, Eltern und Kinder (pstree), fork und exec, Signale mit kill und die Rechte des Prozesses.
*Animation [https://xinux.org/inodes-links.html Linux Grundlagen: INodes und Links]: Name, Inode und Inhalt, was im Inode steht, zwei Namen für dieselbe Datei (Hardlink und Link Count), was rm tut und die Grenzen des Hardlinks bis zum Softlink.
*Animation [https://xinux.org/dateiarten.html Linux Grundlagen: Dateiarten]: das erste Zeichen von ls -l, normale Datei und Verzeichnis, Block- und Character-Devices mit Major und Minor, Named Pipe, Socket und Softlink, jeweils mit dem Beispiel aus dem Terminal.
*Animation [https://xinux.org/berechtigungen.html Linux Grundlagen: Berechtigungen]: das Rechtefeld mit 4, 2 und 1, chmod oktal und symbolisch, r, w und x bei Dateien und bei Verzeichnissen, die Prüfreihenfolge, umask, das User-SBIT am Beispiel von passwd und /etc/shadow, das Gruppen-SBIT im Projektordner und das Sticky-Bit in /tmp.

=28.10.2026=
*Animation [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach]): neu im aktuellen Stil, mit dem Konzept (TLS-Terminierung, Layer 7, passiv oder aktiv), normaler Anfrage, SQL-Injection, dem Aufbau mit SPOE und der Härtung mit firewalld und SELinux
*Animationen zu OpenVPN, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/openvpn.html OpenVPN mit Benutzeranmeldung (Linux)] ([https://xinux.org/openvpn-einfach.html einfach]): Verbindungsaufbau mit Zertifikat und PAM-Anmeldung, Server-Konfiguration, Start und Roadwarrior-Client
**[https://xinux.org/opnsense-openvpn.html OpenVPN auf der OPNsense] ([https://xinux.org/opnsense-openvpn-einfach.html einfach]): Anmeldung gegen das Active Directory, CA und Server-Zertifikat, Static Key, Instanz, Regeln und Client-Export
*Animation [https://xinux.org/opnsense-multiwan.html OPNsense Multi-WAN: zwei Provider] ([https://xinux.org/opnsense-multiwan-einfach.html einfach]): zwei Leitungen, Gateways und Monitor-IPs, Gatewaygruppe (Failover und Lastverteilung), Policy Routing und der klassische Regelfehler, NAT, DNS, Ausfall und Tests
*Animation [https://xinux.org/suricata-regeln.html Suricata-Regeln lesen und schreiben] ([https://xinux.org/suricata-regeln-einfach.html einfach]): Suricata inline am Interface der OPNsense, eine Regel lesen (Aktion, Header, Optionen), alert oder drop, eigene Regeln einbinden und die Beispielregeln mit ihren Tests
*Animation [https://xinux.org/apt-xz.html APT und der xz-Angriff] ([https://xinux.org/apt-xz-einfach.html einfach]): erst was einen Advanced Persistent Threat ausmacht, dann der echte Fall der Hintertür in xz/liblzma mit Vorgeschichte 2005 bis 2024, Technik, Entdeckung und Lehren
*Animation [https://xinux.org/grub2-boot.html GRUB2 Bootvorgang] ([https://xinux.org/grub2-boot-einfach.html einfach]): neu im aktuellen Stil, drei Wege (post-MBR gap, BIOS Boot Partition mit GPT, UEFI mit Shim), farbige Pfeile von der Firmware bis systemd, die initrd mountet das Root-Dateisystem
*Animationen zu Firewall und Angriffen, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/xss.html Cross-Site-Scripting (XSS)] ([https://xinux.org/xss-einfach.html einfach]): das Prinzip, reflektiertes, gespeichertes und DOM-basiertes XSS im Vergleich, ein einfacher Filter und seine Umgehung, Schutz durch Zeichenreferenzen
**[https://xinux.org/opnsense-ha.html OPNsense Hochverfügbarkeit] ([https://xinux.org/opnsense-ha-einfach.html einfach]): CARP, Failover, pfsync für die Zustände, XMLRPC für die Konfiguration, Aufbau, Test, KEA HA für DHCP im Cluster und Fehlersuche (28.10. ergänzt)
**[https://xinux.org/opnsense-bridge-firewall.html Layer-2-Firewall: die Filterbrücke] ([https://xinux.org/opnsense-bridge-firewall-einfach.html einfach]): Firewall im Kabel ohne neue Adressen, Tunables, Bridge, Regeln in zwei Stufen, IDS/IPS auf der Brücke
**[https://xinux.org/opnsense-ad-login.html OPNsense: Anmeldung mit dem Active Directory] ([https://xinux.org/opnsense-ad-login-einfach.html einfach]): LDAPS, Dienstkonto, memberOf-Gruppe, lokale Gruppe mit Rechten, Test und Notzugang
*Animation [https://xinux.org/wireguard.html WireGuard] ([https://xinux.org/wireguard-einfach.html einfach]): Tunnel als Netzwerk-Interface, Schlüsselpaar pro Gerät, AllowedIPs als Routing und Filter, Handshake, Keepalive hinter NAT, Einrichtung auf der OPNsense in fünf Schritten und Fehlerbilder
*Animation [https://xinux.org/logikgatter-cmos.html Logikgatter auf dem Chip (CMOS)]: wie Gatter aus Transistoren gebaut sind (PMOS oben, NMOS unten), NOT, NAND und NOR als Grundgatter, AND, OR, XOR als Makros, Komplexgatter, Transistoren zählen, selbst ausprobieren; Fortsetzung zur Animation [https://xinux.org/logikgatter.html Logikgatter]

=26.10.2026=
*Animationen zu TLS und Zertifikaten, neu aufgebaut und jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/tls-1.2-handshake.html TLS 1.2 Handshake] ([https://xinux.org/tls-1.2-handshake-einfach.html einfach]): Nachricht für Nachricht, mit der Sicht eines Mitlesers, Cipher Suite, Schlüsselableitung, Forward Secrecy, Tickets und Härtung
**[https://xinux.org/tls-1.3-handshake.html TLS 1.3 Handshake] ([https://xinux.org/tls-1.3-handshake-einfach.html einfach]): ein Umlauf, Schlüsseltreppe, verschlüsselter Server-Flug, 0-RTT, KeyUpdate und hybrider Schlüsselaustausch gegen Quantencomputer
**[https://xinux.org/zertifikat.html PKI: Zertifikate] ([https://xinux.org/zertifikat-einfach.html einfach, ohne Widerruf]): CA und Trust Store, Antrag und Signatur, Kette, Aufbau einer Hierarchie aus Root und Zwischen-CA, die Prüfung im Client, Widerruf mit CRL und OCSP, Widerruf in der Kette bis zur kompromittierten Zwischen-CA, kurze Laufzeiten, ACME und Certificate Transparency
*[[Proxmox Backup Server Wartung]]: Prüfen und Aufräumen mit Verify-, Prune- und Garbage-Collection-Job, in der richtigen Reihenfolge, mit Weboberfläche und Kommandozeile, Stolperfallen und Aufgaben
*Animationen zu Proxys, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/transparenter-proxy.html Transparenter Proxy mit SSL-Bump] ([https://xinux.org/transparenter-proxy-einfach.html einfach]): Umleitung per Firewall-Markierung und nftables, Squid mit intercept, HTTPS aufbrechen mit eigener CA, Virenprüfung über ICAP und ClamAV, Fehlerbilder
**[https://xinux.org/proxy.html Proxy-Konzepte] ([https://xinux.org/proxy-einfach.html einfach]): neu aufgebaut, Forward, Reverse, Application und Circuit Level Proxy Schritt für Schritt, SSL-Bump mit EICAR-Test und Vergleich der Arten
*Animation [https://xinux.org/opnsense-ipsec-site2site.html OPNsense Site-to-Site IPsec] ([https://xinux.org/opnsense-ipsec-site2site-einfach.html einfach]): erst alle Werte in einem Planungsblatt ausfüllen und als CSV speichern (auch mit mehreren Netzen je Standort), dann Seite für Seite in OPNsense eintragen: Pre-Shared Key, Connection, Authentifizierung, Children, Firewall-Regeln, Status und Fehlersuche

=25.10.2026=
*[[Ifupdown2 in der Praxis]]: Installation, die wichtigsten Befehle (<code>ifreload</code>, <code>ifquery --check</code>) und ein echter Praxisfall mit Proxmox-SDN (nicht deklarierte Adresse auf einer VLAN-Bridge aufgespürt und sauber nachgetragen)

=22.10.2026=
*[[Kernel kompilieren Vorgang Debian]]: Animation [https://xinux.org/kernel-kompilieren.html Kernel kompilieren] (Quellcode, alte Konfiguration, Zertifikats- und Debug-Falle, menuconfig, make -j, Installieren, Neustart, Aufräumen) und eine [https://xinux.org/kernel-kompilieren-einfach.html einfache Version]
*[[Letsencrypt DNS Verification RFC2136]]: DNS-Challenge mit dem Certbot-Plugin und eigenem BIND (TSIG-Schlüssel, <code>update-policy</code>, Erneuerung per Timer), als Ergänzung zum Weg mit Hook-Skript
*[[Xfs]]: Animation [https://xinux.org/xfs-praxis.html XFS in der Praxis] – Allocation Groups bauen jetzt in zwei Schritten auf (erst vier gleiche Bereiche, dann das Innenleben)

=21.10.2026=
;Kursstruktur Cyber Security
*[[Cybersec1 Struktur]] und [[Cybersec2 Struktur]]: je eine Woche, in Blöcken mit Ziel, Theorie und Praxis, dazu die Abdeckung aller Lernziele ([[Cyber Security Gesamtstruktur|Übersicht]])
*[[Firewalls und Virtualisierung]]: Firewall als VM, Bridges und VLANs, Ost-West-Verkehr, Proxmox-Firewall, Risiken bei geteiltem Host
;Angriffsvektoren, aufgeräumt mit Theorie → Praxis
*[[Schadsoftware/Malware]], [[Botnetze]], [[DDoS-Angriffe]]
*Animation: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS] (Infektion, C&C über Port 443, Botnetz, DDoS)
;Weiteres
*[[Docker Caddy]]: Caddy, Uptime Kuma und HedgeDoc mit Docker auf Debian, Logs so abgelegt, dass sie später überwacht werden können
*[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]]: an die Theorieseite angeglichen (Themen von Anhang A, KRITIS-Nachweis, BSI-Standard 200-4)
*Quiz: [https://xinux.org/fdisk-quiz.html fdisk und MBR] (10 Fragen, mit Erklärung zu jeder Antwort)

=20.10.2026=
*[[Modulo]]: überarbeitet mit dem Uhr-Beispiel (12-Stunden-Uhr und Bänder), Animation [https://xinux.org/modulo.html Modulo]
*Animation [https://xinux.org/logikgatter.html Logikgatter]: AND, OR, NOT, NAND, NOR, XOR und XNOR als Schaltung, Symbol und Wahrheitstabelle

=Oktober 2026, davor=
;Samba
*[[Linux - Samba]], [[Linux - Samba Lab]], [[Samba Neuerungen]]
;systemd
*[[Systemd Lernpfad]] mit den drei Stufen [[Systemd Stufe 1 Basic]], [[Systemd Stufe 2 Fortgeschritten]], [[Systemd Stufe 3 Security]] und Bausteinen, z. B. [[Systemd Baustein Mounts]] und [[Systemd Baustein Netzwerk]]

OPNsense Grundkonfiguration

2026-11-02T12:35:19Z

Thomas.will@claude: Animations-Link ergänzt

= OPNsense Grundkonfiguration – vom Werkszustand zu eigenen Netzen =

* Animation: [https://xinux.org/opnsense-grundkonfiguration.html OPNsense-Grundkonfiguration] ([https://xinux.org/opnsense-grundkonfiguration-einfach.html einfach]), mit abgesicherter Verwaltung, WAN-Interface, eigenen Netzen, NAT ohne Zugriff auf fremde DMZs, Firewall-Regeln mit Alias, Weg zu anderen DMZs über eine eigene Route, Name und Zertifikat, Fehlerbilder

=System: Settings: Administration=
(x) Enable HTTP Strict Transport Security
TCP port 4444
(x) Disable web GUI redirect rule
(x) Disable DNS Rebinding Checks
(x) Enable Secure Shell
(x) Permit root user login
(x) Permit password login
SSH PORT 2222
=System: Gateway: Configuration=
WANGW 192.168.HS.254
Interface: WAN
(x) Upstream Gateway

=Interfaces: WAN=
( ) Block bogon networks
( ) Block private networks
IPv4 Configuration Type: Static IPv4
192.168.HS.2XX/24
GW: WANGW

=Interfaces: Assignments=
em2: DMZ
em3: SERVER
=Interfaces: SERVER=
Enable (x)
IPv4 Configuration Type: Static IPv4
IPv4 address: 10.0.10.1/24
=Interfaces: DMZ=
Enable (x)
IPv4 Configuration Type: Static IPv4
IPv4 address: 10.88.2xx.1/24

=Services: Dnsmasq DNS & DHCP=
DHCP Range: 172.17.2xx.100 bis 172.17.2xx.200
=Interfaces: LAN=
Enable (x)
IPv4 Configuration Type: Static IPv4
IPv4 address: 172.17.2xx.1/24
=Hinweis=
;Am Client DHCP Adresse neubeziehen

=Firewall=
==Firewall: Settings: Advanced==
Disable reply-to: (x) Disable reply-to on WAN rules

==Firewall: NAT: Source NAT==
Mode: Manual Source NAT rule generation
{| class="wikitable"
! Interface !! Version !! Protocol !! Source !! Port !! Destination !! Port !! Translate Source IP !! Translate Source Port !! Description
|-
| WAN || IPv4 || * || LAN network || * || * || * || Interface address || * || LAN ins Internet
|-
| WAN || IPv4 || * || DMZ network || * || ! 10.88.0.0/16 || * || Interface address || * || DMZ ins Internet, kein NAT zu den anderen DMZs
|-
| WAN || IPv4 || * || SERVER network || * || * || * || Interface address || * || SERVER ins Internet
|}

==Firewall: Aliases==
{| class="wikitable"
! Parameter !! Wert
|-
| Enabled || (x)
|-
| Name || HOST
|-
| Type || Host(s)
|-
| Content || 192.168.HS.XX
|-
| Statistics || ( )
|-
| Description || Arbeitsstation des Teilnehmers
|}

==Firewall: Rules==
Alle Regeln mit '''Action: Pass''' und '''Direction: in''', Interface '''WAN'''.
{| class="wikitable"
! Interface !! Version !! Protocol !! Source !! Port !! Destination !! Port !! Gateway !! Description
|-
| WAN || IPv4 || TCP || HOST || * || WAN address || 2222 || * || SSH auf die Firewall
|-
| WAN || IPv4 || TCP || HOST || * || WAN address || 4444 || * || WebGUI
|-
| WAN || IPv4 || ICMP || * || * || * || * || * || Ping generell von Aussen
|-
| LAN || IPv4 || * || LAN network || * || * || * || * || LAN to any
|-
| DMZ || IPv4 || * || DMZ network || * || * || * || * || DMZ to any
|-
| SERVER || IPv4 || * || SERVER network || * || * || * || * || SERVER to any
|}

=System: Gateways: Configuration=
{| class="wikitable"
! Parameter !! Wert
|-
| Name || DNSGW
|-
| Interface || WAN
|-
| Address Family || IPv4
|-
| Priority || 255
|-
| IP Address || 192.168.HS.88
|-
| Upstream Gateway || ( )
|}

=System: Routes: Configuration=
{| class="wikitable"
! Parameter !! Wert
|-
| Disabled || No
|-
| Network Address || 10.88.0.0/16
|-
| Gateway || DNSGW - 192.168.4.88
|-
| Description || UNSERE DMZs
|}
=Systemnamen setzen=
==System: Settings: General==
*Hostname: opnsense
*Domain: it213.xinmen.de
=Zertifikat einpflegen=
;Zertifikat holen
*wget https://web.samogo.de/certs/it2XX.xinmen.de.tgz
;Entpacken
*tar -xvzf it2*.xinmen.de.tgz
;Zertifikat
fullchain.pem
;Private Schlüssel
privkey.pem
;Hostname IP Test
*host opnsense.it2XX.xinmen.de
opnsense.it2XX.xinmen.de has address 192.168.HS.2XX
==System: Trust: Certificates==
*+
**Import existing Certificate
**Description: star.it2XX.xinmen.de
;Certificate data
Hier muss der Inhalt von fullchain.pem rein.
;Private key data
Hier muss der Inhalt von privakey.pem rein.
;Dann sichern
==System: Settings: Administration==
*SSL Certificate: star.it2XX.xinmen.de
===Dann Zertifikat testen===
*https://opnsense.it2XX.xinmen.de:4444/

WAF

2026-10-31T15:17:48Z

Thomas.will@claude: Umsetzungsseiten (Debian/Rocky) verlinkt, historischer Ansatz benannt

= Web Application Firewall (WAF) – TLS-Terminierung und Layer-7-Inspektion =
{{#drawio:waf1}}
* Animation: [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach])

== Allgemeines Konzept ==
* Ein Client greift per HTTPS auf einen Webdienst zu
* Der HTTPS-Datenstrom wird nicht direkt zum Webserver geleitet
* Stattdessen befindet sich eine Web Application Firewall (WAF) zwischen Client und Webserver
* Die WAF fungiert als TLS-Verschlüsselungsendpunkt
* Die TLS-Verbindung des Clients endet an der WAF

== TLS-Terminierung ==
* Die WAF nimmt die eingehende HTTPS-Verbindung vom Client entgegen
* Die verschlüsselte Verbindung wird auf der WAF entschlüsselt
* Der HTTP-Datenstrom liegt nun innerhalb der WAF im Klartext vor
* Erst jetzt ist eine Analyse auf Anwendungsebene möglich

== Inhaltsanalyse auf Anwendungsebene ==
* Nach der Entschlüsselung erfolgt eine Prüfung des HTTP-Datenstroms
* Analysiert werden z. B.:
** HTTP-Header
** URI und Parameter
** Cookies
** POST-Daten
** JSON- oder XML-Payloads
* Die Analyse erfolgt auf Layer 7 des OSI-Modells
* Ziel ist die Erkennung von Angriffsmustern auf Webanwendungen

== Weiterleitung an das Backend ==
* Nach erfolgreicher Prüfung wird der Request an den Webserver weitergeleitet
* Die Weiterleitung kann erfolgen über:
** HTTP (internes Netz)
** HTTPS (Re-Verschlüsselung)
* Der Webserver selbst erhält nur bereits geprüfte Anfragen

== Sicherheitsgewinn ==
* Der Webserver ist nicht direkt aus dem Internet erreichbar
* Die Analyse erfolgt vor der Verarbeitung durch die Anwendung
* Angriffe auf Anwendungsebene können vorab erkannt und blockiert werden
* Die WAF übernimmt die Rolle eines sicherheitsrelevanten Layer-7-Gateways

== Umsetzung ==

Aktueller Ansatz: HAProxy terminiert TLS, Coraza (OWASP CRS) prüft über SPOE.
*[[WAF mit HAProxy und Coraza]] (Debian)
*[[WAF mit HAProxy und Coraza Rocky]] (Rocky Linux, mit SELinux- und firewalld-Besonderheiten im Vergleich zu Debian)

Älterer Ansatz, noch in bestehenden Umgebungen anzutreffen: Nginx mit ModSecurity, siehe [[Modsecurity]].

Modsecurity

2026-10-31T15:17:30Z

Thomas.will@claude: Status-Hinweis historisch ergaenzt, Blocklist-Link korrigiert

'''Historisch:''' Diese Seiten zeigen den WAF-Aufbau mit Nginx und ModSecurity. Der aktuelle Ansatz ist [[WAF mit HAProxy und Coraza]] ([[WAF mit HAProxy und Coraza Rocky|Rocky-Variante]] mit SELinux/firewalld) — siehe [[WAF]]. ModSecurity bleibt dokumentiert, weil es in bestehenden Umgebungen noch vorkommt.

*[[Modsecurity Erklärung]]
*[[Nginx mit Modsecurity]]
*[[Nginx mit Modsecurity Rocky]]
*[[Nginx mit Modsecurity Whitelists]]
*[[Nginx mit Modsecurity und Blocklist Policy]]

Reverse Proxy

2026-10-31T15:17:12Z

Thomas.will@claude: Aktuell vs. historisch getrennt, Coraza ergaenzt, neue Nginx-Module verlinkt

*[[Reverse Proxy Grundlagen]]
*[[Webproxy mit nginx für HTTP und X.509 Zertifikate]]
*[[Nginx Grundkonfiguration]] (Animation)
*[[Nginx Reverse Proxy und Load Balancing]] (Animation)

'''WAF, aktueller Ansatz (HAProxy + Coraza):'''
*[[WAF]]
*[[WAF mit HAProxy und Coraza]] (Debian)
*[[WAF mit HAProxy und Coraza Rocky]] (Rocky, mit SELinux/firewalld)

'''WAF, historisch (Nginx + ModSecurity):'''
*[[Modsecurity]]
*[[Nginx mit Modsecurity]]
*[[Nginx mit Modsecurity Rocky]]

Nginx

2026-10-31T15:16:56Z

Thomas.will@claude: Tippfehler-Link korrigiert, ModSecurity als historisch markiert, neue Module ergaenzt

*[[Nginx Grundlagen]]
*[[Nginx Basis]]
*[[Nginx Individuelle Seiten]]
*[[Nginx HTTP Standard Seite]]
*[[Nginx HTTPS Standard Seite]]
*[[Nginx IPs]]
*[[Nginx Zertifikate]]
*[[Nginx HTTPS Virtueller Host]]
*[[Nginx HTTP auf HTTPS weiterleiten]]
*[[Nginx HTTPS inklusive Client Zertifikat]]
*[[Nginx Client Zertifikat mit 2FA]]
*[[Nginx Webproxy für HTTPS]]
*[[Nginx mit Modsecurity]] (historisch, siehe [[Reverse Proxy]] für den aktuellen WAF-Ansatz mit HAProxy/Coraza)
*[[Nginx mit Modsecurity und Blocklist Policy]] (historisch)
*[[Nginx php]]
*[[Nginx Beispielwebsite]]
*[[Nginx Beispielproxy]]
*[[Nginx Grundkonfiguration]] (Animation)
*[[Nginx Reverse Proxy und Load Balancing]]
*[[Nginx Lets Encrypt und Certbot]]
*[[Nginx Absichern und Betreiben]]

Nginx Grundkonfiguration

2026-10-31T15:16:47Z

Thomas.will@claude: Neue Seite: fehlte, war aber schon von drei Seiten verlinkt

Einstieg in Nginx: Installation, Verzeichnisstruktur, der erste Server-Block und wie man Änderungen übernimmt, ohne den Dienst lahmzulegen. Vertiefung in [[Nginx Reverse Proxy und Load Balancing]]. Dazu die Animation [https://xinux.org/nginx-grundkonfiguration.html Nginx: Grundkonfiguration] ([https://xinux.org/nginx-grundkonfiguration-einfach.html einfach]).

== Installation ==

<pre>
# Debian/Ubuntu
sudo apt install nginx

# Rocky/RHEL (ggf. vorher epel-release)
sudo dnf install nginx
</pre>

<pre>
sudo systemctl enable --now nginx
sudo systemctl status nginx
</pre>

'''Erster Verdacht bei "geht nicht von außen":''' Nginx läuft und antwortet lokal, trotzdem kommt von einem anderen Rechner nichts an – meist blockiert die lokale Firewall (<code>ufw</code>, <code>firewalld</code>) Port 80/443, nicht Nginx selbst.

== Verzeichnisstruktur ==

{| class="wikitable"
! Pfad !! Zweck
|-
| <code>/etc/nginx/nginx.conf</code> || Hauptkonfiguration, lädt die anderen Dateien per <code>include</code>
|-
| <code>/etc/nginx/conf.d/*.conf</code> bzw. <code>sites-available</code>/<code>sites-enabled</code> || eingebundene Server-Blöcke – <code>sites-*</code> nur bei Debian/Ubuntu üblich, bei Rocky/RHEL meist direkt <code>conf.d</code>
|-
| <code>/var/www/html</code> || Standard-Webroot, per <code>root</code> frei änderbar
|-
| <code>/var/log/nginx/access.log</code>, <code>error.log</code> || erster Blick bei jeder Störung
|}

<code>sudo nginx -T</code> gibt die komplette, tatsächlich geladene Konfiguration aus.

== Der erste Server-Block ==

<pre>
server {
listen 80;
server_name example.com;
root /var/www/html;
index index.html;

location / {
try_files $uri $uri/ =404;
}
}
</pre>

<code>try_files $uri $uri/ =404;</code> prüft erst die Datei, dann das Verzeichnis, sonst eine 404-Antwort. Fehlt die Index-Datei und ist kein passender <code>location</code>-Block da, antwortet Nginx mit <b>403 Forbidden</b> (kein Directory Listing erlaubt) oder <b>404</b> – nicht mit einer Meldung über die fehlende Datei selbst.

== Sicher ändern ==

<pre>
sudo nginx -t && sudo systemctl reload nginx
</pre>

<code>nginx -t</code> prüft nur die Syntax, ohne etwas zu verändern. <code>systemctl reload</code> übernimmt eine gültige Konfiguration ohne Verbindungsabbruch – anders als <code>restart</code>, der den Dienst kurz komplett beendet: Bei einem Tippfehler in der Konfiguration kommt er danach nicht mehr hoch, und die Seite ist für alle weg. Das <code>&&</code> sorgt dafür, dass bei einem Syntaxfehler gar nicht erst neu geladen wird.

== Mehrere Sites ==

Mehrere <code>server</code>-Blöcke können denselben Port teilen. <code>server_name</code> entscheidet anhand des <b>Host</b>-Headers, welcher Block zuständig ist – nicht die Reihenfolge im Config.

<pre>
server {
listen 80;
server_name a.example.com;
root /srv/a;
}
server {
listen 80;
server_name b.example.com;
root /srv/b;
}
</pre>

'''Wichtig:''' <code>server_name</code> erzeugt keinen DNS-Eintrag. Ohne passenden DNS-Eintrag, der auf diesen Server zeigt, landet eine Anfrage nie hier. <code>listen 80 default_server;</code> fängt alle Anfragen ohne passenden <code>server_name</code> auf.

== Fehlerbilder ==

{| class="wikitable"
! Symptom !! Ursache !! Erster Schritt
|-
| Seite lädt gar nicht || Dienst nicht gestartet oder Firewall blockiert Port || <code>systemctl status nginx</code>, dann Firewall-Regeln prüfen
|-
| 403 Forbidden || Dateirechte oder kein Index, kein Directory Listing erlaubt || Rechte und Vorhandensein der Index-Datei prüfen
|-
| 404 Not Found || falscher <code>root</code> oder Datei liegt woanders || <code>root</code> im richtigen <code>server</code>-Block prüfen
|-
| Dienst nach Änderung ganz weg || <code>restart</code> statt <code>reload</code> bei fehlerhafter Konfiguration || vor jedem Reload: <code>nginx -t</code>
|-
| Änderung an <code>sites-available</code> wirkt nicht || Symlink in <code>sites-enabled</code> fehlt (Debian-Familie) || <code>ln -s ../sites-available/datei sites-enabled/datei</code>
|}

== Links ==

* [https://nginx.org/en/docs/ offizielle Nginx-Dokumentation]
* [[Nginx Grundlagen]]
* [[Nginx Reverse Proxy und Load Balancing]]
* Animation: [https://xinux.org/nginx-grundkonfiguration.html Nginx: Grundkonfiguration]

Nginx mit Modsecurity Erweitert

2026-10-31T15:15:56Z

Thomas.will@claude: Weiterleitung: Duplikat, konsolidiert in Nginx mit Modsecurity

#WEITERLEITUNG [[Nginx mit Modsecurity]]

Waf - Nginx mit Modsecurity und Blocklist

2026-10-31T15:15:46Z

Thomas.will@claude: Weiterleitung: konsolidiert, einheitliches Namensschema

#WEITERLEITUNG [[Nginx mit Modsecurity und Blocklist Policy]]

Nginx mit Modsecurity und Blocklost Policy

2026-10-31T15:15:45Z

Thomas.will@claude: Weiterleitung: Tippfehler im Titel, konsolidiert

#WEITERLEITUNG [[Nginx mit Modsecurity und Blocklist Policy]]

Nginx mit Modsecurity und Blocklist Policy

2026-10-31T15:15:41Z

Thomas.will@claude: Neue saubere Seite statt zweier Fast-Duplikate (Tippfehler Blocklost und Waf-Praefix bereinigt)

== Was machen wir ==

Diese Anleitung zeigt den Aufbau einer Web Application Firewall mit NGINX und ModSecurity v3 mit einer '''praxistauglichen Blocklist-Strategie'''.

== Voraussetzungen ==
* Ubuntu 24.04 oder Debian 13
* Funktionierendes Backend (z. B. http://127.0.0.1:8080)
* TLS-Zertifikate (<code>/etc/ssl/own.crt</code>, <code>/etc/ssl/own.key</code>)

== Installation ==
<syntaxhighlight lang="bash">
sudo apt update
sudo apt install nginx libmodsecurity3 libnginx-mod-http-modsecurity git -y

sudo mkdir -p /etc/nginx/modsec/custom-rules
</syntaxhighlight>

== OWASP Core Rule Set installieren ==
<syntaxhighlight lang="bash">
cd /etc/nginx/modsec
sudo git clone https://github.com/coreruleset/coreruleset.git
sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf
</syntaxhighlight>

== Blocklist erstellen ==
<syntaxhighlight lang="bash">
sudo tee /etc/nginx/modsec/blocked_uris.txt > /dev/null <<EOF
/admin
/wp-admin
/administrator
/backup
/config
/database
/phpmyadmin
/mysql
/server-status
/.env
/.git
/wp-login.php
/login-bypass
EOF
</syntaxhighlight>

== ModSecurity konfigurieren ==
*Datei <code>/etc/nginx/modsec/modsecurity.conf</code>
<syntaxhighlight lang="bash">
sudo tee /etc/nginx/modsec/modsecurity.conf > /dev/null <<EOF
SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess Off

SecAuditEngine RelevantOnly
SecAuditLog /var/log/nginx/modsec_audit.log
SecAuditLogParts ABIJDEFHZ

SecTmpDir /tmp/
SecDataDir /tmp/

# Zuerst CRS – wirkt auf ALLE Requests
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
Include /etc/nginx/modsec/coreruleset/rules/*.conf

# Danach unsere Security Policy (Blocklist)
Include /etc/nginx/modsec/custom-rules/security-policy.conf
EOF
</syntaxhighlight>

== Security Policy (Blocklist) ==
Datei: <code>/etc/nginx/modsec/custom-rules/security-policy.conf</code>

Was nicht durch die Blocklist oder den CRS geblockt wird, passiert durch – ein explizites Erlauben ist nicht notwendig.

<syntaxhighlight lang="bash">
sudo tee /etc/nginx/modsec/custom-rules/security-policy.conf > /dev/null <<EOF
# Security Policy: Blocklist + Default-Allow

# Kritische Pfade explizit blockieren (Phase 1)
SecRule REQUEST_URI "@pmFromFile /etc/nginx/modsec/blocked_uris.txt" \
"id:1999,phase:1,deny,status:403,log,msg:'Blocked path detected: %{MATCHED_VAR}'"
EOF
</syntaxhighlight>

== NGINX-Snippet ==
Datei: <code>/etc/nginx/modsec/main.conf</code>
<syntaxhighlight lang="bash">
sudo tee /etc/nginx/modsec/main.conf > /dev/null <<EOF
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/modsecurity.conf;
EOF
</syntaxhighlight>

== Logging ==
<syntaxhighlight lang="bash">
# Log-Format ergänzen (/etc/nginx/nginx.conf im http{}-Block)
sudo sed -i '/http {/a\\tlog_format waf_combined '\''$remote_addr - $remote_user [$time_local] '\''\n\t\t\t\t\t'\''"$request" $status $body_bytes_sent '\''\n\t\t\t\t\t'\''ModSecID=$request_id Host="$host" URI="$request_uri"'\'';' /etc/nginx/nginx.conf

# Log-Dateien anlegen
sudo touch /var/log/nginx/modsec_audit.log
sudo chown www-data:adm /var/log/nginx/modsec_audit.log
sudo chmod 640 /var/log/nginx/modsec_audit.log
</syntaxhighlight>

== NGINX-Site konfigurieren ==
Datei: <code>/etc/nginx/sites-available/default</code>
<syntaxhighlight lang="bash">
sudo tee /etc/nginx/sites-available/default > /dev/null <<EOF
server {
listen 80;
server_name _;
return 301 https://\$host\$request_uri;
}

server {
listen 443 ssl;
server_name _;

ssl_certificate /etc/ssl/own.crt;
ssl_certificate_key /etc/ssl/own.key;

access_log /var/log/nginx/access.log waf_combined;
error_log /var/log/nginx/error.log warn;

include /etc/nginx/modsec/main.conf;

location / {
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host \$host;
proxy_set_header X-Real-IP \$remote_addr;
proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for;
}
}
EOF
</syntaxhighlight>

== Fehlerseite ==
<syntaxhighlight lang="bash">
sudo tee /var/www/html/403.html > /dev/null <<EOF
<html>
<head><title>403 Forbidden</title></head>
<body>
<h1>Zugriff verweigert</h1>
<p>Deine Anfrage wurde von der Web Application Firewall blockiert.</p>
</body>
</html>
EOF
</syntaxhighlight>

== Aktivierung ==
<syntaxhighlight lang="bash">
sudo nginx -t
sudo systemctl reload nginx
</syntaxhighlight>

== Testbeispiele ==
{| class="wikitable"
! Methode !! URI !! Erwartung
|-
| GET || / || 200 OK
|-
| GET || /admin || 403 Forbidden
|-
| GET || /wp-admin || 403 Forbidden
|-
| POST || /upload || 200 OK (wenn erlaubt)
|}

== Audit-Log verfolgen ==
<syntaxhighlight lang="bash">
sudo tail -f /var/log/nginx/modsec_audit.log
</syntaxhighlight>

== Ergebnis ==
* CRS schützt vor typischen Angriffen auf alle Requests
* Blocklist blockiert explizit kritische Pfade
* Default-Allow ermöglicht normale Seiten-Nutzung
* Minimaler Wartungsaufwand durch Blocklist-Ansatz

Nginx mit Modsecurity zusammen Whitelists

2026-10-31T15:15:19Z

Thomas.will@claude: Weiterleitung: Duplikat, konsolidiert in Nginx mit Modsecurity Whitelists

#WEITERLEITUNG [[Nginx mit Modsecurity Whitelists]]

Nginx mit Modsecurity mit Whitelists

2026-10-31T15:15:19Z

Thomas.will@claude: Weiterleitung: Duplikat, konsolidiert in Nginx mit Modsecurity Whitelists

#WEITERLEITUNG [[Nginx mit Modsecurity Whitelists]]

Cybersec1 Struktur

2026-10-31T15:15:06Z

Thomas.will@claude: Link auf konsolidierte Rocky-Coraza-Seite aktualisiert

= Cybersec1: Struktur =
Eine Woche, für sich abgeschlossen. Leitfrage: '''Wie kommt der Angreifer herein, und wie halte ich ihn an der Grenze auf?'''
*Roter Faden ist der Workshop mit der OPNsense. Pro Block wenig Theorie, dann die passenden OPNsense-Kapitel.
*Lehrumgebung: [[Cyber Security I. Netzplan]] · [[Cyber Security I. - Was wollen wir praktisch tun]]

= 1 Angriffsvektoren =
;Ziel
*Wissen, womit wir es zu tun haben, bevor wir uns schützen.
;Theorie
*[[Schadsoftware/Malware]]
*[[Botnetze]]
*[[DDoS-Angriffe]]
*[[Backdoor]]
*[[Advanced Persistent Threats (APTs)]]
;Praxis
*Lab aufsetzen: [[OPNsense Installation]], [[OPNsense Grundkonfiguration]], [[OPNsense Import der Maschinen]]
*Animation als Einstieg/Recap: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS]

= 2 Firewall-Grundlagen =
;Ziel
*Paketfilter, Stateful Firewall, Client-Firewall und IDS/IPS unterscheiden und einordnen.
;Theorie
*[[Statische Paketfilter und Zugriffslisten]]
*[[Dynamische Paketfilter und stateful Firewalls]]
*[[Client-Firewalls]]
*[[IDS/IPS]]
*Animationen: [https://xinux.org/firewall-konzept.html Firewall-Konzept], [https://xinux.org/stateful-vs-stateless-firewall.html Stateful vs. Stateless]
;Praxis
*Regelwerk in der OPNsense, [[OPNsense Netz Scan]], [[OPNsense Logging]]

= 3 Zugang, Authentifizierung und Verschlüsselung =
;Ziel
*Proxies, Anmeldung an der Firewall und VPN mit Zertifikaten aufbauen.
;Theorie
*[[Proxies|Generic Proxies und Application Layer Gateways]]
*[[Authentifizierung an der Firewall, AD Integration]]
*[[Zertifikate und Kryptografische Protokolle (SSH, SSL, IPSec)]]
;Praxis
*[[OPNsense Active Directory MemberOf]]
*[[OPNsense site2site IPSEC]], [[OPNsense OpenVPN]], [[OPNsense Wireguard]]
*[[OPNsense Squid ClamAV]]

= 4 Webanwendungen und WAF =
;Ziel
*Angriffe auf Webanwendungen verstehen und mit einer WAF abwehren.
;Theorie
*[[Cross-Site-Skripting (XSS), SQL Einschleusung, Cookie-Poisonning]]
*[[Application Firewalls – passiv vs aktiv]] und [[WAF]]
;Praxis
*[[OPNsense HAProxy Einrichtung]]
*[[WAF mit HAProxy und Coraza Rocky]]

= 5 IDS und IPS =
;Ziel
*Einen Angriff erkennen und blockieren.
;Theorie
*[[IPS Technologien (HIPS, NIPS, PIPS)]]
;Praxis
*[[OPNsense Suricata]]

= 6 Architektur und Verfügbarkeit =
;Ziel
*Netze sinnvoll aufteilen und die Firewall ausfallsicher machen.
;Theorie
*[[Firewall Topologien|DMZ Konzepte]]
*[[Hochverfügbarkeit und Lastenverteilung - Netzwerk und Firewall]]
*[[Firewalls und Virtualisierung]]
*[[Layer-2 Firewalls]] und [[Transparente Firewalls]]
*[[Firewalls und IPv6]]
;Praxis
*[[OPNsense HA KIT]], [[OPNsense 2 Provider]], [[OPNsense Layer 2 Firewall]], [[OPNsense IPv6]]
*'''Hinweis zum Ablauf:''' HA und Multi-WAN werden am Kursende jeweils '''neu aufgebaut''', jeweils nur mit dem einen Thema und auf frisch geklonten Firewalls aus dem ausgegebenen OPNsense-Template. Reste aus früheren Übungen (NAT, Regeln, Bridges, VPN) würden sonst die Ergebnisse verfälschen.

= Abdeckung der Lernziele =
{| class="wikitable"
! Lernziel !! Block
|-
| Gängige Angriffsvektoren: Schadsoftware, Botnetze, DDoS, Backdoor, APT || 1
|-
| Firewalls, IDS und IPS: Arbeitsweisen, Zugangssicherung, Zusammenwirken, Konzepte || 2, 5
|-
| Statische und dynamische Paketfilter, Client-Firewalls || 2
|-
| Generic Proxies und ALG, Authentifizierung und AD, Zertifikate und kryptografische Protokolle || 3
|-
| Application Firewalls passiv vs. aktiv, WAF, XSS, SQL-Einschleusung, Cookie-Poisoning, Command Injection || 4
|-
| IPS-Technologien (HIPS, NIPS, PIPS) || 5
|-
| Hochverfügbarkeit und Lastenverteilung, Firewalls und Virtualisierung, Layer-2 und transparente Firewalls, IPv6, DMZ || 6
|-
| Übungen zu Szenarien in bereitgestellter Lehrumgebung || alle Blöcke
|}

[[Kategorie:Cybersecurity]]

OPNsense Cyber Security

2026-10-31T15:15:06Z

Thomas.will@claude: Link auf konsolidierte Rocky-Coraza-Seite aktualisiert

= Übersicht der Fähigkeiten einer OPNsense =
=='''Lesen bevor wir anfangen'''==
=='''VirtualBox – OPNsense Netzwerkkarte (Empfehlung)'''==
* Adaptertyp: '''Intel PRO/1000 MT Desktopr (82545EM)'''
* Promiscuous-Modus:
** '''verweigern (deny)''' für normales Routing/NAT
** '''zulassen (Allow All)''' bei HA/CARP, Bridge-Mode, Port-Mirror/Sniffing, IPS/Suricata mit Netmap
* (Alle OPNsense-Adapter konsistent konfigurieren; Storage-Controller: '''SATA (AHCI)''')
=Bug fix=
<pre>
Schritte in OPNsense GUI

Einloggen ins Webinterface (als root/Admin).

Menü: System → Einstellungen → Networking

Dort siehst du drei Häkchen zu Hardware-Offloading:

Hardware Checksum Offloading

Hardware TCP Segmentation Offloading (TSO)

Hardware Large Receive Offloading (LRO)

Alle drei deaktivieren (Häkchen rausnehmen).

Unten Save klicken und OPNsense neu starten (oder wenigstens die Interfaces reloaden).
</pre>

Firewall: Settings: Advanced
Disable reply-to (x) Disable reply-to on WAN rules

== ausfallsichere Firewall ==
* Stateful-Firewall, welche Pakete anhand der Verbindungsinformation filtert
* Intrusion Detection and Prevention System (IDS/IPS)
* Virtuelle IP-Addressen für Load-Balancing
* Synchronisation der Konfiguration zu Slave-Nodes über CARP

== VPN ==
* IPsec-, OpenVPN-, und WireGuard-Support
* Site-to-site and remote access VPN
* SSL/TLS VPN for secure remote access

== Proxy ==
* Squid-Proxy zur Kontrolle der besuchten Webseiten: Whitelist, Blacklist, Nutzerkonto...
* Reverse-Proxy mit zentraler SSL-Terminierung durch HA-Proxy

== zentrale Benutzerverwaltung ==
* LDAP-, Active Directory-, und RADIUS-Integration
* Captive Portal für Gastzugänge

== Logging ==
* Jeder Dienst führt ein Log über vergangene Aktivitäten und mögliche Fehler
* Visualisierung der Statistiken in Echtzeit
* Möglichkeiten zur Berichterstattung

== Open Source ==
* Support für das installieren von Plugins und deren Integration in die Weboberfläche
* OPNsense ist ein Open-Source Projekt mit einer sehr aktiven Community
* Updates kommen regulär und man kann eigene

= Kapitel =
*[[OPNsense Allgemein]]
*[[OPNsense Specs]]
*[[OPNsense Installation]]
*[[OPNsense Grundkonfiguration]]

*[[OPNsense Import der Maschinen]]
*[[OPNsense Netz Scan]]
*[[OPNsense Active Directory MemberOf]]
*[[OPNsense site2site IPSEC mit Bildern]]
*[[OPNsense site2site IPSEC]]
*[[OPNsense Route based (VTI) PSK setup]]
*[[OPNsense Wireguard]]
*[[OPNsense OpenVPN]]
*[[OPNsense HAProxy]]
*[[OPNsense HAProxy Einrichtung]]
*[[OPNsense Suricata]]
*[[OPNsense Logging]]
*[[OPNsense Transparenter Proxy]]
*[[OPNsense Multiwan]]
*[[OPNsense Konsole]]
*[[OPNsense Squid ClamAV]]
*[[OPNsense HA KIT]]
*[[OPNsense IPv6]]
*[[OPNsense Cyber Security Weiteres]]
[[Kategorie:OPNsense]]

=WAF=
*[[SELinux Einfach erklärt]]
*[[WAF]]
*[https://labs.xinux.net/waf-haproxy-coraza.html waf-haproxy-coraza]
*[[WAF mit HAProxy und Coraza Rocky]]

= Verwandte Themen =
* [[FreeBSD Cheatsheet]]
*[[Beispiel Aufgaben]]

= Links =
* [https://docs.opnsense.org/ offizielle OPNsense Dokumentation].

Cyber Security I.

2026-10-31T15:15:05Z

Thomas.will@claude: Link auf konsolidierte Rocky-Coraza-Seite aktualisiert

=Grundlegendes=
*[[Thomas Will]]
*[[Cybersec1 Struktur]]
= Aktueller Kurs: Etherpad =
*'''URL:''' https://etherpad.xinux.net/p/8420
* '''User:''' kit01 bis kit12
* '''Pass:''' 123Start$

*[[Zeiten I.]]
*[[Zeiten II.]]
*[[Cyber Security I. - Was wollen wir praktisch tun]]
*[[Cyber Security I. Netzplan]]
*[[Cyber Security I. Punkte]]

=Gängige Angriffsvektoren=
*[[Schadsoftware/Malware]]
*[[Botnetze]]
*[[DDoS-Angriffe]]
*[[Backdoor]]
*[[Advanced Persistent Threats (APTs)]]
*[[Cross-Site-Skripting (XSS), SQL Einschleusung, Cookie-Poisonning]] (11)

=Firewalls und IDS/IPS=
*[[IDS/IPS]]
*[[Statische Paketfilter und Zugriffslisten]]
*[[Dynamische Paketfilter und stateful Firewalls]]
*[[Client-Firewalls]]
*[[Proxies|Generic Proxies und Application Layer Gateways]]
*[[Authentifizierung an der Firewall, AD Integration]]
*[[Zertifikate und Kryptografische Protokolle (SSH, SSL, IPSec)]]
*[[Application Firewalls – passiv vs aktiv]] und Sonderform [[WAF]]
*[[Hochverfügbarkeit und Lastenverteilung - Netzwerk und Firewall]]
*[[Firewalls und Virtualisierung]]
*[[Layer-2 Firewalls]]
*[[Transparente Firewalls]]
*[[Firewalls und IPv6]]
*[[IPS Technologien (HIPS, NIPS, PIPS)]]
*[[Firewall Topologien|DMZ Konzepte]]

=Workshop OPNsense Cyber Security=
= Kapitel =
*[[OPNsense Allgemein]]
*[[OPNsense Specs]]
*[[OPNsense Installation]]
*[[OPNsense Grundkonfiguration]]
*[[OPNsense Regeln]]
*[[OPNsense NAT]]

*[[OPNsense Import der Maschinen]]
*[[OPNsense Netz Scan]]
*[[OPNsense Active Directory MemberOf]]
*[[OPNsense site2site IPSEC mit Bildern]]
*[[OPNsense site2site IPSEC]]
*[[OPNsense Route based (VTI) PSK setup]]
*[[OPNsense Wireguard]]
*[[OPNsense OpenVPN]]
*[[OPNsense HAProxy]]
*[[OPNsense HAProxy Einrichtung]]
*[[OPNsense Suricata]]
*[[OPNsense Logging]]
*[[OPNsense Transparenter Proxy]]
*[[OPNsense 2 Provider]]
*[[OPNsense Konsole]]
*[[OPNsense Squid ClamAV]]
*[[OPNsense HA KIT]]
*[[OPNsense IPv6]]
*[[OPNsense Layer 2 Firewall]]
*[[OPNsense Cyber Security Weiteres]]
*[[OPNsense SNMP]]
[[Kategorie:OPNsense]]

=WAF=
*[[SELinux Einfach erklärt]]
*[[WAF]]
*[https://labs.xinux.net/waf-haproxy-coraza.html waf-haproxy-coraza]
*[[WAF mit HAProxy und Coraza Rocky]]

= Verwandte Themen =
* [[FreeBSD Cheatsheet]]
*[[Beispiel Aufgaben]]

= Links =
* [https://docs.opnsense.org/ offizielle OPNsense Dokumentation].


=Misc=
*[[Cybersecurity Acronyms and Meanings]]
*[[Microsoft Zertifizierungsstelle]]
[[Kategorie:Cybersecurity]]

Linux - Security und Firewall

2026-10-31T15:15:05Z

Thomas.will@claude: Link auf konsolidierte Rocky-Coraza-Seite aktualisiert

=Wer bin ich?=

*[[Thomas Will]]

= Anmeldedaten für VMs =
* Benutzer: kit
* Passwort: kit
* Benutzer: root
* Passwort: radler

=Themen=
* [[Linux - Security und Firewall Plan Themen]]

=Praxis=
* [[Zeiten I.]]





* [[Linux Basic Cheatsheet]]
* [[Linux Cheatsheet]]

= Plan =
*[[Linux - Security und Firewall Plan|Plan]]


=IT-Sicherheit=
*[[Definition und historische Aspekte anhandgängiger Beispiele]]

= VM Vorlage =
*[[VM Vorlage Linux - Security und Firewall Labor]]
*[[Fertiges Debian Template]]
*[[Fertiges Rocky Template]]

= Router Firewall =
*[[NAT]]
*[[Linux - Netzwerk und Serveradminstration Firewall Debian|Firewall Debian]]
*[[Linux - Netzwerk und Serveradminstration Firewall Rocky|Firewall Rocky]]
*[[LSUF Connectivity Tests|Connectivity Tests]]
= DNS für das Labor einrichten =
*[[DNS für das Labor einrichten - Linux - Security und Firewall Labor]]
*[[DNS Linux - Netzwerk und Serveradministration - Debian]]


= DHCP =
*[[DHCP Kea - Security und Firewall Labor]]
*[[DHCP|Vetiefung DHCP]]

=Ssh jump-host=
*[[Ssh jump-host]]

=Client eintrichten=
*[[Client - Security und Firewall Labor]]

= Webserver =
*[[Webserver - Security und Firewall Labor]]

=Mail Appliance=
*[[Integration der Mail Apliance]]
=SMB Server=
*[[smb.it2XX.int]]

=LDAP Server=
*[[ldap.it2XX.int]]

=Exkurs: Vertiefung Netzwerk- und SecurityTools=
*[[ss]]
*[[nmap Linux - Security und Firewall|nmap]]
*[[tcpdump Linux - Netzwerk und Serveradminstration|tcpdump]]
*[[wireshark]]

=Aufgabe=
*[[Netzwerkanalyse und Firewall-Planung]]

=Firewall=
*[[Firewall Allgemein|Firewall Vertiefung]]
*[[nftables firewall]]
*[[iptables firewall]]
*[[ip/nftables|Vertiefung ip/nftables]]

=Strongswan IPSEC=
*[[Strongswan IPSEC Linux - Security und Firewall Labor]]
*[[Vertiefung IPsec]]

=Wireguard=
*[[Wireguard Server for Roadwarrior]]

= [[Openvpn Grundlagen|OpenVPN]] =
*[[Openvpn Grundlagen]]
*[[OPENVPN with User-Authentication]]
*[[OPENVPN Linux Client]]
*[[OPENVPN Gnome Client]]
*[[Openvpn|Vertiefung Openvpn]]

= Hostzugriff absichern =
*[[Hostzugriff absichern Linux - Security und Firewall Labor]]

= Verschlüsselung =
*[[Verschlüsselung]]
*[[PKI kleines Projekt]]

= Remotezugriff mit [[:Kategorie:SSH|SSH]] =
*[[OpenSSH Paket]]
*[[Remotezugriff mit - Linux - Security und Firewall Labor]]
*[[ssh|ssh Vertiefung]]

= [[Suricata]] =
*[[IDS/IPS]]
*[[Suricata Grundlagen]]
*[[Suricata IPS]]
*[[Suricata IDS]]

=Crowdsec=
*[[Crowdsec Grundsätzliches]]
*[[Crowdsec Einordnung]]
*[[Problem SSH Brutforce Attacke]]
*[[Crowdsec Installation und Handling]]
*[[Crowdsec SSH Bruteforce Beispiel]]
*[[Debugging CrowdSec SSH-Bruteforce]]

=Minimale, gehärtete Distribution=
*[[SELinux Einfach erklärt]]
*[[selinux mit Rocky]]
*[[WAF]]
*[https://labs.xinux.net/waf-haproxy-coraza.html waf-haproxy-coraza]
*[[WAF mit HAProxy und Coraza Rocky]]

=Härtung=
*[[systemd Hardening Workshop]]


= Fail2ban für SSH/SFTP einrichten =
*[[Was ist Fail2ban]]
*[[Fail2ban für SSH/SFTP einrichten]]
*[[Fail2ban|Vertiefung Fail2ban]]

= VLAN =
*[https://hedgedoc.xinux.net/p/IhqRUW6ip#/ VLAN Sicherheit]
*[https://hedgedoc.xinux.net/p/PovsMA7po#/ 802.1x]
*[[VLAN mit Linux und Cisco Nexus]]
*[[VLAN mit Linux und Open vSwitch]]
*[[VLAN|Vertiefung VLAN]]

= Proxy Konzepte =
*[[Proxies|Vertiefung Proxies]]
== Bastionhost==
*[[Bastionhost]]
==Squid==
*[[Squid-Kit]]
== SOCKS Proxy ==
*[[SOCKS Proxy]]
== Reverse Proxy ==
*[[Reverse Proxy]]

=Bridge Firewall=
*[[Nftables und layer2 Firewall]]
*[[Suricata Bridge Firewall]]

= HIDS =
*[[HIDS - Linux - Security und Firewall Labor]]
*[[HIDS - Neue Techniken]]

= [[Was ist GSM|Greenbone]] Security/Vulnerability Manager (''Hacking & Security'' Seite 161) =
*[[GSM Linux - Security und Firewall Labor]]
*[[Security Manager]]

= Portscanning =
*[[Portscanning Grundlagen]]
*[[nmap bestpractice]]
*[[Vertiefung Portscanning]]
=Theorie=
*[[Definition und historische Aspekte anhandgängiger Beispiele]]

=Tiefergehende Themen=
*[[Linux - Security und Firewall Weiteres]]

=Misc=
*[[Themen Linux - Security und Firewall]]
*[[Viren- und Rootkit-Scanner]]

WAF mit HAProxy und Coraza Rocky 5103

2026-10-31T15:14:38Z

Thomas.will@claude: Weiterleitung: konsolidiert in WAF mit HAProxy und Coraza Rocky

#WEITERLEITUNG [[WAF mit HAProxy und Coraza Rocky]]

WAF mit HAProxy und Coraza Rocky Cybersec

2026-10-31T15:14:38Z

Thomas.will@claude: Weiterleitung: konsolidiert in WAF mit HAProxy und Coraza Rocky

#WEITERLEITUNG [[WAF mit HAProxy und Coraza Rocky]]

WAF mit HAProxy und Coraza Rocky

2026-10-31T15:14:37Z

Thomas.will@claude: Konsolidiert: Rocky-Coraza-Fassung als kanonische Seite (bisher drei Fast-Duplikate)

== WAF-Demo: HAProxy mit Coraza auf Rocky Linux ==

* Animation: [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach])

WAF mit HAProxy und Coraza (OWASP CRS) vor web.it2XX.xinmen.de, TLS-Terminierung auf waf.it2XX.xinmen.de.

==Maschine==
*Wir klonen das Rocky Template

==Vorgaben==
{| class="wikitable"
! Einstellung !! Wert
|-
| '''Name''' || waf.it2XX.xinmen.de
|-
| '''IP-Adresse''' || 10.88.2XX.5/24
|-
| '''Gateway''' || 10.88.2XX.1
|-
| '''Nameserver''' || 1.1.1.1
|-
| '''Search-Domain''' || it2XX.xinmen.de
|-
| '''Benutzername''' || kit
|-
| '''Benutzerpasswort''' || kit
|-
| '''Administrator''' || root
|-
| '''Administratorpasswort''' || radler
|-
| '''Netz''' || DMZ
|}

==Einstellungen==
;Selbterklärend
*rocky-setup.sh -f waf.it2XX.xinmen.de -a 10.88.2XX.5/24 -g 10.88.2XX.1 -n 1.1.1.1

==Zertifikate besorgen==
*wget https://xinux.de/downloads/script/get-cert.sh
*sudo bash get-cert.sh

== Topologie ==
* waf.it2XX.xinmen.de (10.88.2XX.5) – HAProxy terminiert TLS auf Port 443, coraza-spoa läuft lokal auf 127.0.0.1:9000
* web.it2XX.xinmen.de (10.88.2XX.2) – bestehender Backend-Webserver, TLS auf Port 443

== HAProxy installieren ==
*dnf install -y haproxy git

== Zertifikat auf dem Reverse Proxy vorbereiten ==
;Beschreibung
HAProxy erwartet Zertifikat und Key als eine gemeinsame PEM-Datei.

*cat /etc/ssl/own.crt /etc/ssl/own.key > /etc/haproxy/own-combined.pem
*chmod 600 /etc/haproxy/own-combined.pem

==Härtung SELinux-Kontext setzen==
*semanage fcontext -a -t cert_t "/etc/haproxy/own-combined\.pem"
*restorecon -v /etc/haproxy/own-combined.pem

== Härtung mit firewalld (revproxy) ==
*firewall-cmd --permanent --add-service=https
*firewall-cmd --reload

;Kontrolle
*firewall-cmd --list-services

== Härtung mit SELinux (revproxy) ==
;Kontrolle der Kontexte
*semanage port -l | grep http_port_t
*ls -Z /etc/haproxy/own-combined.pem
unconfined_u:object_r:'''cert_t''':s0 /etc/haproxy/own-combined.pem

== Härtung - Haproxy ausgehende Verbindungen erlauben ==
*setsebool -P haproxy_connect_any on
*systemctl restart haproxy

== Coraza (coraza-spoa) installieren ==
;coraza-spoa Binary installieren
*dnf install -y golang git
*git clone --depth=1 https://github.com/corazawaf/coraza-spoa /usr/local/src/coraza-spoa
*cd /usr/local/src/coraza-spoa
*go run mage.go build
*cp build/coraza-spoa /usr/local/bin/coraza-spoa
*chmod +x /usr/local/bin/coraza-spoa

;OWASP Core Rule Set und Basisregeln laden
*mkdir -p /etc/coraza-spoa
*git clone --depth=1 https://github.com/coreruleset/coreruleset /etc/coraza-spoa/coreruleset
*curl -L -o /etc/coraza-spoa/coraza.conf https://raw.githubusercontent.com/corazawaf/coraza/main/coraza.conf-recommended
*cp /etc/coraza-spoa/coreruleset/crs-setup.conf.example /etc/coraza-spoa/crs-setup.conf

;Coraza-Konfiguration
*vim /etc/coraza-spoa/config.yaml
<pre>
# /etc/coraza-spoa/config.yaml
bind: 127.0.0.1:9000
log_level: info
log_file: /dev/stdout
log_format: console

applications:
- name: revproxy
log_level: info
log_file: /dev/stdout
log_format: console
directives: |
Include @coraza.conf-recommended
Include /etc/coraza-spoa/crs-setup.conf
Include /etc/coraza-spoa/coreruleset/rules/*.conf
SecRuleEngine On
response_check: false
transaction_ttl_ms: 5000
</pre>

;systemd-Unit
*vim /etc/systemd/system/coraza-spoa.service
<pre>
# /etc/systemd/system/coraza-spoa.service
[Unit]
Description=Coraza SPOA für HAProxy
After=network.target

[Service]
ExecStart=/usr/local/bin/coraza-spoa -config /etc/coraza-spoa/config.yaml
Restart=on-failure

[Install]
WantedBy=multi-user.target
</pre>

*systemctl daemon-reload
*systemctl enable --now coraza-spoa

== HAProxy-Konfiguration ==
;Konfiguration
*vim /etc/haproxy/haproxy.cfg
<pre>
# /etc/haproxy/haproxy.cfg
global
log /dev/log local0
maxconn 2000

defaults
mode http
timeout connect 5s
timeout client 30s
timeout server 30s
errorfile 403 /etc/haproxy/errors/403-waf.http

frontend fe_web
bind 10.88.2XX.5:443 ssl crt /etc/haproxy/own-combined.pem
filter spoe engine coraza config /etc/haproxy/coraza.cfg
http-request deny deny_status 403 if { var(txn.coraza.action) -m str deny }
default_backend backend_web

backend backend_web
server web01 10.88.2XX.2:443 check ssl verify none

backend coraza-spoa
mode tcp
option spop-check
server spoa1 127.0.0.1:9000 check
</pre>

== SPOE-Konfiguration für Coraza ==
*vim /etc/haproxy/coraza.cfg
<pre>
[coraza]
spoe-agent coraza-agent
messages coraza-req
option var-prefix coraza
option set-on-error error
timeout hello 2s
timeout idle 2m
timeout processing 500ms
use-backend coraza-spoa
log global

spoe-message coraza-req
args app=str(revproxy) src-ip=src src-port=src_port dst-ip=dst dst-port=dst_port method=method path=path query=query version=req.ver headers=req.hdrs body=req.body
event on-frontend-http-request
</pre>

== Eigene Fehlerseite ==
*mkdir -p /etc/haproxy/errors
*vim /etc/haproxy/errors/403-waf.http
<pre>
HTTP/1.1 403 Forbidden
Content-Type: text/html

<html><body><h1>Anfrage blockiert</h1><p>Diese Anfrage wurde von der Web Application Firewall abgelehnt.</p></body></html>
</pre>
*haproxy -c -f /etc/haproxy/haproxy.cfg
*systemctl restart haproxy
*systemctl enable --now haproxy

== Test ==
*curl -ik https://waf.it2XX.xinmen.de/
*curl -ik "https://waf.it2XX.xinmen.de/?id=1' OR '1'='1"

Erste Anfrage: Status 200 von web.it2XX.xinmen.de. Zweite Anfrage: 403-Fehlerseite, web.it2XX.xinmen.de wird nicht erreicht.

Neues von Claude

2026-10-31T14:15:42Z

Thomas.will@claude: Zwei neue Nginx-Seiten: Lets Encrypt, Absichern und Betreiben

Diese Seite sammelt Seiten, Animationen und Quizze, die mit Unterstützung von '''Claude''' (KI-Assistent von Anthropic) entstanden oder überarbeitet wurden. Neueste zuerst. Wie bei jeder Quelle gilt: Inhalte bitte prüfen, Fehler werden laufend korrigiert.

=31.10.2026=
*Animation [https://xinux.org/netzwerk-kennzahlen.html Netzwerk-Kennzahlen]: Latenz (RTT, physikalische Untergrenze, ihre vier Bestandteile), Bandbreite vs. Durchsatz (ideal, geteilt, Paketverlust), Jitter mit Jitter-Puffer und QoS, alle vier im Vergleich, Fehlerbilder. Neu aufgebaut im aktuellen Stil (dunkles Theme, Schritt-Dramaturgie, einfach/ausführlich) auf Basis einer vorhandenen Einzelseite im alten, hellen Stil.
*Animation [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen]: Reihenfolge von oben nach unten, erste passende Regel gewinnt, Floating vs. Interface-Regeln, Anti-Lockout und Default-Regeln, der Klassiker „zu allgemeine Regel blockiert die speziellere“, Log und Hits, Fehlerbilder. Dazu die Seite [[OPNsense Regeln]].
*Animation [https://xinux.org/opnsense-nat.html OPNsense NAT richtig verstehen]: Outbound NAT (Automatic/Hybrid/Manual), Port Forward mit automatischer Firewall-Regel, NAT Reflection und Split DNS, 1:1 NAT, Reihenfolge NAT vs. Filter je Richtung, Fehlerbilder. Seite [[OPNsense NAT]] inhaltlich ergänzt (vorher nur ein kurzer Binat-Hinweis).
*Animationen Nginx in drei Stufen (auf Hinweis von Thomas: ein einzelnes Modul stieg didaktisch mitten im Thema ein, jetzt Einstieg → erweitert → fortgeschritten):
** [https://xinux.org/nginx-grundkonfiguration.html Nginx: Grundkonfiguration] (Einstieg): Installation und Dienst, Verzeichnisstruktur, der erste Server-Block, sicher ändern (nginx -t vor reload), mehrere Sites per server_name, Fehlerbilder.
** [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy] (erweitert): statisch vs. Backend, Location-Matching-Grundprinzip, proxy_pass und die vollständige Forwarded-Header-Kette.
** [https://xinux.org/nginx-load-balancing.html Nginx: Load Balancing] (fortgeschritten): die Location-Matching-Falle (Regex schlägt Prefix ohne <code>^~</code>), mehrere Backends und Verteilstrategien, passives Ausfallverhalten, Rate Limiting mit 429, Fehlerbilder 403/404/413/502/504.
*Zwei neue Wiki-Seiten, Lücken aus dem ursprünglichen Nginx-Durchgang geschlossen: [[Nginx Lets Encrypt und Certbot]] (automatisierte TLS-Zertifikate, Abgrenzung zu den bestehenden manuellen Zertifikats-Seiten) und [[Nginx Absichern und Betreiben]] (Security Hardening, Basic Auth/IP-Beschränkung, Logging, Performance, Hochverfügbarkeit, Deployment-Checkliste). Dazu [[Nginx Reverse Proxy und Load Balancing]] um „Erweitertes Routing“ (SPA-Fallback, Named Location, map) ergänzt.

=30.10.2026=
*Seite [[BigBlueButton installieren]]: BigBlueButton 4.0 mit Greenlight auf Ubuntu 24.04 Schritt für Schritt aufbauen (DNS mit IPv4 und IPv6, Firewall, Installationsskript, Prüfung, Administrator, Grenzen bei IPv6), mit Beispielwerten zum Nachbauen.
*Animation [https://xinux.org/geschichte-unix-linux.html Linux Grundlagen: Geschichte von Unix und Linux]: von Multics und der Geburt von Unix über C, den Zerfall in viele Varianten, GNU und den Linux-Kernel bis zu Open Source, Distributionen und der Frage, wo Linux läuft.

=29.10.2026=
*Animation [https://xinux.org/datenstrom-programme.html Linux Grundlagen: Datenstrom-Programme]: die Werkzeuge wc, cut, tr, sort, grep und sed einzeln erklärt und am Ende zu einer Kette mit der Pipe verbunden.
*Animation [https://xinux.org/vim-einfuehrung.html Linux Grundlagen: vim Einführung]: die Modi von vi und vim (Kommando-, Eingabe-, Ex- und Visual-Modus), Bewegen, Bearbeiten mit dem Puffer, Speichern und Ersetzen im Exmodus und der Visual-Modus.
*Animation [https://xinux.org/benutzer-gruppen.html Linux Grundlagen: Benutzer und Gruppen]: /etc/passwd, das Passwort-Problem mit der Lösung /etc/shadow und /etc/group.
*Animation [https://xinux.org/kommandolokalisierung.html Linux Grundlagen: Kommandolokalisierung]: wie die Shell ein Kommando findet (Pfad, Hashtabelle, Alias, Funktion, Built-in, PATH), der Alias bei ls und which und type.
*Animation [https://xinux.org/pipes-umleitung.html Linux Grundlagen: Ein- und Ausgabe, Pipes]: die drei Standardkanäle, Umleiten mit <, > und >>, Fehlerkanal getrennt oder zusammengelegt, und die Pipe.
*Animation [https://xinux.org/prozesse.html Linux Grundlagen: Prozesse]: Programm und Prozess, Eltern und Kinder (pstree), fork und exec, Signale mit kill und die Rechte des Prozesses.
*Animation [https://xinux.org/inodes-links.html Linux Grundlagen: INodes und Links]: Name, Inode und Inhalt, was im Inode steht, zwei Namen für dieselbe Datei (Hardlink und Link Count), was rm tut und die Grenzen des Hardlinks bis zum Softlink.
*Animation [https://xinux.org/dateiarten.html Linux Grundlagen: Dateiarten]: das erste Zeichen von ls -l, normale Datei und Verzeichnis, Block- und Character-Devices mit Major und Minor, Named Pipe, Socket und Softlink, jeweils mit dem Beispiel aus dem Terminal.
*Animation [https://xinux.org/berechtigungen.html Linux Grundlagen: Berechtigungen]: das Rechtefeld mit 4, 2 und 1, chmod oktal und symbolisch, r, w und x bei Dateien und bei Verzeichnissen, die Prüfreihenfolge, umask, das User-SBIT am Beispiel von passwd und /etc/shadow, das Gruppen-SBIT im Projektordner und das Sticky-Bit in /tmp.

=28.10.2026=
*Animation [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach]): neu im aktuellen Stil, mit dem Konzept (TLS-Terminierung, Layer 7, passiv oder aktiv), normaler Anfrage, SQL-Injection, dem Aufbau mit SPOE und der Härtung mit firewalld und SELinux
*Animationen zu OpenVPN, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/openvpn.html OpenVPN mit Benutzeranmeldung (Linux)] ([https://xinux.org/openvpn-einfach.html einfach]): Verbindungsaufbau mit Zertifikat und PAM-Anmeldung, Server-Konfiguration, Start und Roadwarrior-Client
**[https://xinux.org/opnsense-openvpn.html OpenVPN auf der OPNsense] ([https://xinux.org/opnsense-openvpn-einfach.html einfach]): Anmeldung gegen das Active Directory, CA und Server-Zertifikat, Static Key, Instanz, Regeln und Client-Export
*Animation [https://xinux.org/opnsense-multiwan.html OPNsense Multi-WAN: zwei Provider] ([https://xinux.org/opnsense-multiwan-einfach.html einfach]): zwei Leitungen, Gateways und Monitor-IPs, Gatewaygruppe (Failover und Lastverteilung), Policy Routing und der klassische Regelfehler, NAT, DNS, Ausfall und Tests
*Animation [https://xinux.org/suricata-regeln.html Suricata-Regeln lesen und schreiben] ([https://xinux.org/suricata-regeln-einfach.html einfach]): Suricata inline am Interface der OPNsense, eine Regel lesen (Aktion, Header, Optionen), alert oder drop, eigene Regeln einbinden und die Beispielregeln mit ihren Tests
*Animation [https://xinux.org/apt-xz.html APT und der xz-Angriff] ([https://xinux.org/apt-xz-einfach.html einfach]): erst was einen Advanced Persistent Threat ausmacht, dann der echte Fall der Hintertür in xz/liblzma mit Vorgeschichte 2005 bis 2024, Technik, Entdeckung und Lehren
*Animation [https://xinux.org/grub2-boot.html GRUB2 Bootvorgang] ([https://xinux.org/grub2-boot-einfach.html einfach]): neu im aktuellen Stil, drei Wege (post-MBR gap, BIOS Boot Partition mit GPT, UEFI mit Shim), farbige Pfeile von der Firmware bis systemd, die initrd mountet das Root-Dateisystem
*Animationen zu Firewall und Angriffen, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/xss.html Cross-Site-Scripting (XSS)] ([https://xinux.org/xss-einfach.html einfach]): das Prinzip, reflektiertes, gespeichertes und DOM-basiertes XSS im Vergleich, ein einfacher Filter und seine Umgehung, Schutz durch Zeichenreferenzen
**[https://xinux.org/opnsense-ha.html OPNsense Hochverfügbarkeit] ([https://xinux.org/opnsense-ha-einfach.html einfach]): CARP, Failover, pfsync für die Zustände, XMLRPC für die Konfiguration, Aufbau, Test, KEA HA für DHCP im Cluster und Fehlersuche (28.10. ergänzt)
**[https://xinux.org/opnsense-bridge-firewall.html Layer-2-Firewall: die Filterbrücke] ([https://xinux.org/opnsense-bridge-firewall-einfach.html einfach]): Firewall im Kabel ohne neue Adressen, Tunables, Bridge, Regeln in zwei Stufen, IDS/IPS auf der Brücke
**[https://xinux.org/opnsense-ad-login.html OPNsense: Anmeldung mit dem Active Directory] ([https://xinux.org/opnsense-ad-login-einfach.html einfach]): LDAPS, Dienstkonto, memberOf-Gruppe, lokale Gruppe mit Rechten, Test und Notzugang
*Animation [https://xinux.org/wireguard.html WireGuard] ([https://xinux.org/wireguard-einfach.html einfach]): Tunnel als Netzwerk-Interface, Schlüsselpaar pro Gerät, AllowedIPs als Routing und Filter, Handshake, Keepalive hinter NAT, Einrichtung auf der OPNsense in fünf Schritten und Fehlerbilder
*Animation [https://xinux.org/logikgatter-cmos.html Logikgatter auf dem Chip (CMOS)]: wie Gatter aus Transistoren gebaut sind (PMOS oben, NMOS unten), NOT, NAND und NOR als Grundgatter, AND, OR, XOR als Makros, Komplexgatter, Transistoren zählen, selbst ausprobieren; Fortsetzung zur Animation [https://xinux.org/logikgatter.html Logikgatter]

=26.10.2026=
*Animationen zu TLS und Zertifikaten, neu aufgebaut und jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/tls-1.2-handshake.html TLS 1.2 Handshake] ([https://xinux.org/tls-1.2-handshake-einfach.html einfach]): Nachricht für Nachricht, mit der Sicht eines Mitlesers, Cipher Suite, Schlüsselableitung, Forward Secrecy, Tickets und Härtung
**[https://xinux.org/tls-1.3-handshake.html TLS 1.3 Handshake] ([https://xinux.org/tls-1.3-handshake-einfach.html einfach]): ein Umlauf, Schlüsseltreppe, verschlüsselter Server-Flug, 0-RTT, KeyUpdate und hybrider Schlüsselaustausch gegen Quantencomputer
**[https://xinux.org/zertifikat.html PKI: Zertifikate] ([https://xinux.org/zertifikat-einfach.html einfach, ohne Widerruf]): CA und Trust Store, Antrag und Signatur, Kette, Aufbau einer Hierarchie aus Root und Zwischen-CA, die Prüfung im Client, Widerruf mit CRL und OCSP, Widerruf in der Kette bis zur kompromittierten Zwischen-CA, kurze Laufzeiten, ACME und Certificate Transparency
*[[Proxmox Backup Server Wartung]]: Prüfen und Aufräumen mit Verify-, Prune- und Garbage-Collection-Job, in der richtigen Reihenfolge, mit Weboberfläche und Kommandozeile, Stolperfallen und Aufgaben
*Animationen zu Proxys, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/transparenter-proxy.html Transparenter Proxy mit SSL-Bump] ([https://xinux.org/transparenter-proxy-einfach.html einfach]): Umleitung per Firewall-Markierung und nftables, Squid mit intercept, HTTPS aufbrechen mit eigener CA, Virenprüfung über ICAP und ClamAV, Fehlerbilder
**[https://xinux.org/proxy.html Proxy-Konzepte] ([https://xinux.org/proxy-einfach.html einfach]): neu aufgebaut, Forward, Reverse, Application und Circuit Level Proxy Schritt für Schritt, SSL-Bump mit EICAR-Test und Vergleich der Arten
*Animation [https://xinux.org/opnsense-ipsec-site2site.html OPNsense Site-to-Site IPsec] ([https://xinux.org/opnsense-ipsec-site2site-einfach.html einfach]): erst alle Werte in einem Planungsblatt ausfüllen und als CSV speichern (auch mit mehreren Netzen je Standort), dann Seite für Seite in OPNsense eintragen: Pre-Shared Key, Connection, Authentifizierung, Children, Firewall-Regeln, Status und Fehlersuche

=25.10.2026=
*[[Ifupdown2 in der Praxis]]: Installation, die wichtigsten Befehle (<code>ifreload</code>, <code>ifquery --check</code>) und ein echter Praxisfall mit Proxmox-SDN (nicht deklarierte Adresse auf einer VLAN-Bridge aufgespürt und sauber nachgetragen)

=22.10.2026=
*[[Kernel kompilieren Vorgang Debian]]: Animation [https://xinux.org/kernel-kompilieren.html Kernel kompilieren] (Quellcode, alte Konfiguration, Zertifikats- und Debug-Falle, menuconfig, make -j, Installieren, Neustart, Aufräumen) und eine [https://xinux.org/kernel-kompilieren-einfach.html einfache Version]
*[[Letsencrypt DNS Verification RFC2136]]: DNS-Challenge mit dem Certbot-Plugin und eigenem BIND (TSIG-Schlüssel, <code>update-policy</code>, Erneuerung per Timer), als Ergänzung zum Weg mit Hook-Skript
*[[Xfs]]: Animation [https://xinux.org/xfs-praxis.html XFS in der Praxis] – Allocation Groups bauen jetzt in zwei Schritten auf (erst vier gleiche Bereiche, dann das Innenleben)

=21.10.2026=
;Kursstruktur Cyber Security
*[[Cybersec1 Struktur]] und [[Cybersec2 Struktur]]: je eine Woche, in Blöcken mit Ziel, Theorie und Praxis, dazu die Abdeckung aller Lernziele ([[Cyber Security Gesamtstruktur|Übersicht]])
*[[Firewalls und Virtualisierung]]: Firewall als VM, Bridges und VLANs, Ost-West-Verkehr, Proxmox-Firewall, Risiken bei geteiltem Host
;Angriffsvektoren, aufgeräumt mit Theorie → Praxis
*[[Schadsoftware/Malware]], [[Botnetze]], [[DDoS-Angriffe]]
*Animation: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS] (Infektion, C&C über Port 443, Botnetz, DDoS)
;Weiteres
*[[Docker Caddy]]: Caddy, Uptime Kuma und HedgeDoc mit Docker auf Debian, Logs so abgelegt, dass sie später überwacht werden können
*[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]]: an die Theorieseite angeglichen (Themen von Anhang A, KRITIS-Nachweis, BSI-Standard 200-4)
*Quiz: [https://xinux.org/fdisk-quiz.html fdisk und MBR] (10 Fragen, mit Erklärung zu jeder Antwort)

=20.10.2026=
*[[Modulo]]: überarbeitet mit dem Uhr-Beispiel (12-Stunden-Uhr und Bänder), Animation [https://xinux.org/modulo.html Modulo]
*Animation [https://xinux.org/logikgatter.html Logikgatter]: AND, OR, NOT, NAND, NOR, XOR und XNOR als Schaltung, Symbol und Wahrheitstabelle

=Oktober 2026, davor=
;Samba
*[[Linux - Samba]], [[Linux - Samba Lab]], [[Samba Neuerungen]]
;systemd
*[[Systemd Lernpfad]] mit den drei Stufen [[Systemd Stufe 1 Basic]], [[Systemd Stufe 2 Fortgeschritten]], [[Systemd Stufe 3 Security]] und Bausteinen, z. B. [[Systemd Baustein Mounts]] und [[Systemd Baustein Netzwerk]]

Nginx Zertifikate

2026-10-31T14:15:25Z

Thomas.will@claude: Verweis auf Lets-Encrypt-Seite ergaenzt

==Zertifikate vorbereiten für nginx==

'''Verzeichnisse anlegen'''
*mkdir -p /etc/nginx/csr
*mkdir -p /etc/nginx/ssl
*export DOM="it113.int"

'''CSR und Key für revproxy.it113.int'''
*export HOSTNAME="revproxy"
*openssl req -new -nodes -newkey rsa:2048 -keyout /etc/nginx/csr/$HOSTNAME.$DOM.key -out /etc/nginx/csr/$HOSTNAME.$DOM.csr -subj "/CN=$HOSTNAME.$DOM"

'''CSR und Key für braun.it113.int'''
*export HOSTNAME="braun"
*openssl req -new -nodes -newkey rsa:2048 -keyout /etc/nginx/csr/$HOSTNAME.$DOM.key -out /etc/nginx/csr/$HOSTNAME.$DOM.csr -subj "/CN=$HOSTNAME.$DOM"

'''CSR und Key für lila.it113.int'''
*export HOSTNAME="lila"
*openssl req -new -nodes -newkey rsa:2048 -keyout /etc/nginx/csr/$HOSTNAME.$DOM.key -out /etc/nginx/csr/$HOSTNAME.$DOM.csr -subj "/CN=$HOSTNAME.$DOM"

'''CSR und Key für weiss.it113.int'''
*export HOSTNAME="weiss"
*openssl req -new -nodes -newkey rsa:2048 -keyout /etc/nginx/csr/$HOSTNAME.$DOM.key -out /etc/nginx/csr/$HOSTNAME.$DOM.csr -subj "/CN=$HOSTNAME.$DOM"
==Zum signieren an die CA schicken==
*Und warten bis sie zurückgeschickt werden.

'''Hinweis'''
*Die Dateien *.key und *.crt werden nach der Signierung nach /etc/nginx/ssl/ verschoben

== Siehe auch ==
*Für öffentlich erreichbare Server mit echter Domain: [[Nginx Lets Encrypt und Certbot]] (automatisiert statt manuell)

Nginx Grundlagen

2026-10-31T14:15:11Z

Thomas.will@claude: Weiterfuehrend: neue Seiten ergaenzt

== Einleitung ==

=== Was ist Nginx? ===

* Webserver, Reverse Proxy und Load Balancer in einem
* Erstveröffentlichung 2004 von Igor Sysoev (russischer Entwickler)
* Ziel: das sogenannte C10k-Problem lösen – 10.000 gleichzeitige Verbindungen mit einem Server bedienen
* Heute einer der meistgenutzten Webserver weltweit

=== Architekturprinzip ===

* Klassisches Modell (Apache): ein Prozess oder Thread pro Verbindung
* Nginx-Modell: ereignisgesteuert, nicht-blockierend
* Ein Worker-Prozess verwaltet tausende Verbindungen gleichzeitig
* Speicher- und CPU-Bedarf wächst nicht proportional zur Verbindungszahl

=== Typische Einsatzbereiche ===

; Webserver
: Liefert statische Inhalte direkt aus dem Dateisystem; dynamische Inhalte werden per FastCGI/uWSGI an Backend-Prozesse weitergereicht (z. B. PHP-FPM)

; Reverse Proxy
: Nimmt Anfragen entgegen und leitet sie an Backend-Dienste weiter; TLS-Terminierung, Caching und Header-Manipulation zentral an einer Stelle

; Load Balancer
: Verteilt Anfragen auf mehrere Backend-Instanzen (Round-Robin, Least-Connections, IP-Hash)

=== Prozessmodell ===

* Ein Master-Prozess: liest Konfiguration, bindet Ports, verwaltet Worker
* Mehrere Worker-Prozesse: erledigen die eigentliche Arbeit
* Worker-Anzahl typischerweise gleich CPU-Kerne
* I/O-Modell: <code>epoll</code> unter Linux, <code>kqueue</code> unter BSD

=== Nginx vs. Apache – Kurzüberblick ===

{| class="wikitable"
! Kriterium !! Nginx !! Apache
|-
| Verbindungsmodell || ereignisgesteuert || prozess-/threadbasiert
|-
| Statische Inhalte || sehr effizient || solide
|-
| Dynamische Inhalte || via FastCGI/Proxy || nativ (mod_php etc.)
|-
| Konfiguration || zentral, hierarchisch || verteilt (.htaccess möglich)
|-
| Typischer Einsatz || Proxy, CDN-Edge, hoher Traffic || Shared Hosting, Legacy-Setups
|}

== Weiterführend ==

* [[Nginx Grundkonfiguration]] (Animation, Einstieg): Installation, Verzeichnisstruktur, erster Server-Block, sicher ändern, mehrere Sites.
* [[Nginx Reverse Proxy und Load Balancing]]: Location-Matching-Reihenfolge, proxy_pass und Header, Load Balancing, Caching, Rate Limiting, erweitertes Routing, Fehlerbilder. Dazu die Animationen [https://xinux.org/nginx-reverse-proxy.html Reverse Proxy] und [https://xinux.org/nginx-load-balancing.html Load Balancing].
* [[Nginx Lets Encrypt und Certbot]]: automatisierte TLS-Zertifikate für öffentlich erreichbare Server.
* [[Nginx Absichern und Betreiben]]: Security Hardening, Authentifizierung, Logging, Performance, Hochverfügbarkeit.

Nginx Reverse Proxy und Load Balancing

2026-10-31T14:14:53Z

Thomas.will@claude: Erweitertes Routing ergaenzt, Links auf neue Seiten

Vertiefung zu [[Nginx Grundlagen]]: Location-Matching, Reverse Proxy, Load Balancing, Caching und Rate Limiting – mit den typischen Fehlerbildern. Dazu die Animationen [https://xinux.org/nginx-grundkonfiguration.html Nginx: Grundkonfiguration] (Einstieg), [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy] (erweitert) und [https://xinux.org/nginx-load-balancing.html Nginx: Load Balancing] (fortgeschritten).

== Location-Matching: welche Regel gewinnt ==

Nginx wählt die passende <code>location</code> '''nicht''' nach der Reihenfolge im Config, sondern nach festen Regeln:

# '''Exact Match''' (<code>location = /pfad</code>) – trifft nur exakt, gewinnt sofort
# '''Prefix Match''' – der '''längste''' passende Prefix gewinnt
# Ist der Prefix mit <code>^~</code> markiert, '''stoppt''' hier die Prüfung – keine Regex mehr
# sonst: alle '''Regex-Locations''' (<code>~</code> case-sensitive, <code>~*</code> case-insensitive) der Reihe nach, die '''erste passende gewinnt''' – und zwar über dem Prefix
# ohne Regex-Treffer: Fallback auf den längsten Prefix aus Schritt 2

=== Der Klassiker: Regex schlägt Prefix ===

<pre>
location /download/ {
limit_rate 500k; # Downloads drosseln
}
location ~* \.(zip|iso)$ {
limit_rate 5m; # war für andere Zwecke gedacht
}
</pre>

Eine Anfrage nach <code>/download/archiv.zip</code> passt auf beide Blöcke. Da der Prefix '''kein''' <code>^~</code> hat, gewinnt die Regex-Regel – die Datei wird entgegen der Absicht '''nicht''' gedrosselt. Lösung: den Prefix mit <code>^~</code> markieren, dann gewinnt er garantiert gegen jede Regex:

<pre>
location ^~ /download/ {
limit_rate 500k; # gilt jetzt für alles unter /download/
}
</pre>

== Reverse Proxy: proxy_pass und Header ==

<pre>
location / {
proxy_pass http://127.0.0.1:3000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
</pre>

Ohne diese Header sieht die Backend-App nur Nginx selbst (<code>127.0.0.1</code>) als Quelle – Client-IP, ursprünglicher Host und Protokoll gehen verloren. '''Wichtig:''' Eine App darf <code>X-Forwarded-For</code> nur von bekannten, kontrollierten Proxys vertrauen, sonst lässt sich der Header von jedem fälschen, der die App direkt erreicht.

Für WebSockets zusätzlich:

<pre>
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
</pre>

== Load Balancing ==

<pre>
upstream app_backend {
server 10.0.0.11:3000;
server 10.0.0.12:3000;
}
server {
location / {
proxy_pass http://app_backend;
}
}
</pre>

=== Verteilmethoden ===

{| class="wikitable"
! Methode !! Verhalten
|-
| weighted round robin (Default) || reihum, optional mit Gewicht je Server (<code>weight=3</code>)
|-
| <code>least_conn</code> || an den Server mit den wenigsten aktiven Verbindungen
|-
| <code>ip_hash</code> || gleiche Client-IP landet immer beim gleichen Server (Session-Affinität ohne gemeinsamen Session-Speicher, aber ungleich verteilt bei NAT/Firmennetz)
|}

=== Ausfall eines Backends ===

<pre>
upstream app_backend {
server 10.0.0.11:3000 max_fails=3 fail_timeout=30s;
server 10.0.0.12:3000;
}
</pre>

Das freie Nginx erkennt einen Ausfall nur '''passiv''': Erst wenn echte Anfragen fehlschlagen, zählt das. Nach <code>max_fails</code> Fehlschlägen wird der Server für <code>fail_timeout</code> ausgeschlossen. Aktive, regelmäßige Health-Checks gibt es nur in kommerziellen oder Drittanbieter-Erweiterungen – bis <code>max_fails</code> erreicht ist, können einzelne Anfragen mit 502/504 beim Client landen.

== Caching ==

<pre>
# im http-Kontext
proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=appcache:10m max_size=1g inactive=30m;

# in der proxied location
location / {
proxy_pass http://app_backend;
proxy_cache appcache;
proxy_cache_valid 200 10m;
add_header X-Cache-Status $upstream_cache_status always;
}
</pre>

<code>X-Cache-Status</code> zeigt im Antwort-Header <code>HIT</code>/<code>MISS</code>/<code>BYPASS</code> – praktisch zur Fehlersuche. '''Vorsicht:''' Cache-Keys, Bypass-Regeln und Autorisierung sauber planen, sonst landen personalisierte Antworten (z. B. mit fremden Session-Daten) versehentlich im gemeinsamen Cache.

== Rate Limiting ==

<pre>
# im http-Kontext: Zone definieren
limit_req_zone $binary_remote_addr zone=reqs:10m rate=5r/s;

# im server- oder location-Block: anwenden
limit_req zone=reqs burst=10 nodelay;
limit_req_status 429;
</pre>

<code>burst=10 nodelay</code> lässt kurze Spitzen bis 10 Anfragen sofort durch, statt sie zu verzögern. Wird die Rate dauerhaft überschritten, antwortet Nginx selbst mit <b>429 Too Many Requests</b> – das Backend bekommt die Anfrage gar nicht erst zu sehen.

== Erweitertes Routing ==

=== SPA-Fallback ===

<pre>
location / {
try_files $uri $uri/ /index.html;
}
</pre>

Für Single-Page-Applications: Existiert die angeforderte Datei nicht, liefert Nginx stattdessen <code>index.html</code> aus – das clientseitige Routing im Browser übernimmt den Rest.

=== Named Location ===

<pre>
location / {
try_files $uri @backend;
}
location @backend {
proxy_pass http://127.0.0.1:3000;
}
</pre>

Eine Named Location (<code>@name</code>) ist nur intern erreichbar, nie direkt über eine URL – praktisch als Fallback-Ziel für <code>try_files</code>.

=== map-Direktive ===

<pre>
map $http_upgrade $connection_upgrade {
default upgrade;
"" close;
}
</pre>

<code>map</code> erzeugt im <code>http</code>-Kontext eine neue Variable in Abhängigkeit vom Wert einer anderen – hier für den WebSocket-Header <code>Connection</code> genutzt (siehe Abschnitt „Reverse Proxy: proxy_pass und Header“).

== Fehlerbilder ==

{| class="wikitable"
! Code !! Ursache !! Erster Schritt
|-
| 403 || Dateiberechtigungen oder <code>deny all</code> || Dateirechte/Besitzer prüfen, passende location
|-
| 404 || falscher <code>root</code> oder falscher Pfad || <code>root</code>/<code>alias</code> im richtigen location-Block prüfen
|-
| 413 || Anfrage größer als <code>client_max_body_size</code> || Limit gezielt erhöhen, nicht pauschal abschalten
|-
| 502 || Backend nicht erreichbar oder liefert ungültige Antwort || Backend-Prozess/Port prüfen, <code>error.log</code> lesen
|-
| 504 || Backend antwortet, aber zu langsam || <code>proxy_read_timeout</code> prüfen, Backend-Performance klären
|}

Nach jeder Config-Änderung zuerst <code>sudo nginx -t</code>, dann erst <code>systemctl reload nginx</code> – ein Syntaxfehler legt sonst beim nächsten Neustart den ganzen Dienst lahm.

== Links ==

* [https://nginx.org/en/docs/ offizielle Nginx-Dokumentation]
* [[Nginx Grundlagen]]
* [[Nginx Lets Encrypt und Certbot]]
* [[Nginx Absichern und Betreiben]]
* Animationen: [https://xinux.org/nginx-grundkonfiguration.html Grundkonfiguration] · [https://xinux.org/nginx-reverse-proxy.html Reverse Proxy] · [https://xinux.org/nginx-load-balancing.html Load Balancing]

Nginx Lets Encrypt und Certbot

2026-10-31T14:14:26Z

Thomas.will@claude: Neue Seite: Lets Encrypt und Certbot

Automatisierte TLS-Zertifikate für öffentlich erreichbare Nginx-Server mit [[Nginx Grundlagen|Let's Encrypt]] und Certbot. Ergänzt [[Nginx Zertifikate]]/[[Nginx https]] (dort: manuell/selbstsigniert).

== Voraussetzungen ==

* ein öffentlicher DNS-Eintrag zeigt bereits auf diesen Server (<code>server_name</code> allein erzeugt keinen DNS-Eintrag, siehe [[Nginx Grundkonfiguration]])
* Domainkontrolle
* die HTTP-01-Challenge braucht einen von außen erreichbaren Port 80 (oder eine andere unterstützte Challenge-Methode, z. B. DNS-01)

== Installation (Debian/Ubuntu) ==

<pre>
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.com
</pre>

Certbot erkennt den passenden <code>server</code>-Block automatisch, trägt <code>listen 443 ssl;</code> sowie <code>ssl_certificate</code>/<code>ssl_certificate_key</code> ein und bietet an, Port 80 automatisch auf HTTPS weiterzuleiten.

== Erneuerung ==

<pre>
sudo certbot renew --dry-run
</pre>

Prüft, ob die automatische Erneuerung funktionieren würde, ohne ein echtes Zertifikat auszustellen (zählt nicht gegen die Let's-Encrypt-Rate-Limits). Das Paket richtet normalerweise selbst einen Timer oder Service dafür ein:

<pre>
systemctl list-timers | grep certbot
</pre>

== Prüfen ==

<pre>
curl -I https://example.com
</pre>

Zusätzlich das Ablaufdatum im Blick behalten – Zertifikate von Let's Encrypt gelten 90 Tage, die automatische Erneuerung greift normalerweise rechtzeitig vorher.

== Vorsicht ==

* Zertifikate nie für Domains beantragen, die man nicht kontrolliert (Rate Limits bei Let's Encrypt, Missbrauchsrisiko)
* Port 80 muss während Ausstellung <b>und</b> Erneuerung erreichbar sein – eine Firewall-Regel, die ihn sperrt, lässt die automatische Erneuerung still scheitern, bis das Zertifikat irgendwann abgelaufen ist
* Bei mehreren <code>server</code>-Blöcken: <code>certbot --nginx</code> ohne <code>-d</code> fragt interaktiv nach, mit <code>-d</code> einen oder mehrere Hostnamen gezielt angeben

== Unterschied zu den bestehenden Zertifikats-Seiten ==

[[Nginx Zertifikate]], [[Nginx https]] und [[Nginx Client Zertifikat]] behandeln manuell erzeugte bzw. selbstsignierte Zertifikate und mTLS – passend für interne Testumgebungen ohne öffentliche Domain. Let's Encrypt/Certbot ist der Weg für öffentlich erreichbare Server mit echter Domain: automatisiert, kostenlos, mit automatischer Erneuerung statt manueller Pflege.

== Links ==

* [https://certbot.eff.org/ offizielle Certbot-Dokumentation]
* [[Nginx Grundlagen]]
* [[Nginx Grundkonfiguration]]

Nginx Absichern und Betreiben

2026-10-31T14:14:18Z

Thomas.will@claude: Neue Seite: Hardening, Logging, Performance, HA

Betrieb absichern: Security Hardening, Authentifizierung, Logging, Performance und Hochverfügbarkeit. Baut auf [[Nginx Grundkonfiguration]] und [[Nginx Reverse Proxy und Load Balancing]] auf.

== Security Hardening ==

<pre>
server_tokens off;
</pre>

Verbirgt die Nginx-Version in Fehlerseiten und im <code>Server</code>-Header – erschwert gezieltes Suchen nach bekannten Schwachstellen einer bestimmten Version. Ersetzt kein Patchen: Nginx und Betriebssystem trotzdem aktuell halten.

<pre>
location /internal/ {
deny all;
}
</pre>

Sperrt einen Pfad komplett, unabhängig von jeder Authentifizierung.

=== Security-Header ===

<pre>
add_header X-Content-Type-Options nosniff always;
add_header Referrer-Policy strict-origin-when-cross-origin always;
</pre>

<code>Strict-Transport-Security</code> (HSTS) erst setzen, wenn wirklich <b>alle</b> betroffenen Hosts dauerhaft über HTTPS erreichbar sind – sonst sperrt sich der Browser selbst von einem eventuell nötigen HTTP-Fallback aus, und das lässt sich nicht kurzfristig zurücknehmen.

== Authentifizierung und Zugriffsschutz ==

=== Basic Auth ===

<pre>
htpasswd -c /etc/nginx/.htpasswd admin
</pre>

(Paket <code>apache2-utils</code> bzw. <code>httpd-tools</code>, je nach Distribution)

<pre>
location /admin/ {
auth_basic "Restricted";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://127.0.0.1:3000;
}
</pre>

Passwort-Datei außerhalb des Webroots halten, Basic Auth nur über HTTPS einsetzen – sonst gehen die Zugangsdaten im Klartext über die Leitung.

=== IP-Beschränkung ===

<pre>
location / {
allow 192.0.2.0/24;
deny all;
}
</pre>

Hinter einem vorgeschalteten Proxy vorher sicherstellen, dass die echte Client-IP überhaupt ankommt (siehe [[Nginx Reverse Proxy und Load Balancing]]) – sonst greift die Beschränkung auf die falsche, immer gleiche Proxy-Adresse.

== Logging und Monitoring ==

<pre>
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
</pre>

<pre>
sudo tail -f /var/log/nginx/error.log
sudo journalctl -u nginx -n 50
</pre>

=== Nützliche Variablen in Log-Formaten ===

{| class="wikitable"
! Variable !! Bedeutung
|-
| <code>$remote_addr</code> || Client-IP
|-
| <code>$request</code> || komplette HTTP-Anfragezeile
|-
| <code>$status</code> || HTTP-Statuscode der Antwort
|-
| <code>$request_time</code> || Verarbeitungszeit insgesamt
|-
| <code>$upstream_response_time</code> || Zeit, die allein das Backend gebraucht hat
|}

=== stub_status ===

<pre>
location = /nginx_status {
stub_status;
allow 127.0.0.1;
deny all;
}
</pre>

Braucht das Modul <code>ngx_http_stub_status_module</code> (in den meisten Distributionspaketen bereits enthalten) und sollte – wie hier gezeigt – nicht öffentlich erreichbar sein.

== Performance ==

<pre>
worker_processes auto;
events {
worker_connections 1024;
}
sendfile on;
keepalive_timeout 65s;
gzip on;
</pre>

<code>worker_connections</code> zählt auch Verbindungen zum Backend mit, nicht nur zum Client – das tatsächliche Limit hängt zusätzlich vom Betriebssystem und offenen Dateideskriptoren (<code>ulimit</code>) ab. Beim Tunen immer eine Einstellung nach der anderen ändern und mit realistischer Last messen (zuerst eine Baseline, dann vergleichen), nicht mehrere Werte gleichzeitig.

== Hochverfügbarkeit ==

Mehrere Backends hinter einer Nginx (siehe [[Nginx Reverse Proxy und Load Balancing]]) beseitigen nicht den einzelnen Nginx-Proxy selbst als Ausfallpunkt. Für echte Redundanz: zwei Nginx-Instanzen plus ein externer Mechanismus davor (DNS-Round-Robin oder eine virtuelle IP), und bei zustandsbehafteten Anwendungen ein gemeinsamer Session-Speicher (z. B. Redis) statt lokaler Sitzungen.

== Vor dem Produktiveinsatz ==

* DNS, Backend-Erreichbarkeit, Firewall-Regeln und Zertifikat vorher geprüft
* Konfiguration vor jeder Änderung gesichert, <code>nginx -t</code> vor jedem <code>reload</code>
* Admin-Zugriff eingeschränkt, Rate Limits gesetzt
* Monitoring für Latenz, 4xx/5xx-Quote und Zertifikatsablauf eingerichtet
* Rollback getestet, bevor er wirklich gebraucht wird

== Links ==

* [https://nginx.org/en/docs/ offizielle Nginx-Dokumentation]
* [[Nginx Grundlagen]]
* [[Nginx Grundkonfiguration]]
* [[Nginx Reverse Proxy und Load Balancing]]

Nginx Reverse Proxy und Load Balancing

2026-10-31T13:58:06Z

Thomas.will@claude: Links auf die drei Nginx-Animationen angepasst

Vertiefung zu [[Nginx Grundlagen]]: Location-Matching, Reverse Proxy, Load Balancing, Caching und Rate Limiting – mit den typischen Fehlerbildern. Dazu die Animationen [https://xinux.org/nginx-grundkonfiguration.html Nginx: Grundkonfiguration] (Einstieg), [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy] (erweitert) und [https://xinux.org/nginx-load-balancing.html Nginx: Load Balancing] (fortgeschritten).

== Location-Matching: welche Regel gewinnt ==

Nginx wählt die passende <code>location</code> '''nicht''' nach der Reihenfolge im Config, sondern nach festen Regeln:

# '''Exact Match''' (<code>location = /pfad</code>) – trifft nur exakt, gewinnt sofort
# '''Prefix Match''' – der '''längste''' passende Prefix gewinnt
# Ist der Prefix mit <code>^~</code> markiert, '''stoppt''' hier die Prüfung – keine Regex mehr
# sonst: alle '''Regex-Locations''' (<code>~</code> case-sensitive, <code>~*</code> case-insensitive) der Reihe nach, die '''erste passende gewinnt''' – und zwar über dem Prefix
# ohne Regex-Treffer: Fallback auf den längsten Prefix aus Schritt 2

=== Der Klassiker: Regex schlägt Prefix ===

<pre>
location /download/ {
limit_rate 500k; # Downloads drosseln
}
location ~* \.(zip|iso)$ {
limit_rate 5m; # war für andere Zwecke gedacht
}
</pre>

Eine Anfrage nach <code>/download/archiv.zip</code> passt auf beide Blöcke. Da der Prefix '''kein''' <code>^~</code> hat, gewinnt die Regex-Regel – die Datei wird entgegen der Absicht '''nicht''' gedrosselt. Lösung: den Prefix mit <code>^~</code> markieren, dann gewinnt er garantiert gegen jede Regex:

<pre>
location ^~ /download/ {
limit_rate 500k; # gilt jetzt für alles unter /download/
}
</pre>

== Reverse Proxy: proxy_pass und Header ==

<pre>
location / {
proxy_pass http://127.0.0.1:3000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
</pre>

Ohne diese Header sieht die Backend-App nur Nginx selbst (<code>127.0.0.1</code>) als Quelle – Client-IP, ursprünglicher Host und Protokoll gehen verloren. '''Wichtig:''' Eine App darf <code>X-Forwarded-For</code> nur von bekannten, kontrollierten Proxys vertrauen, sonst lässt sich der Header von jedem fälschen, der die App direkt erreicht.

Für WebSockets zusätzlich:

<pre>
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
</pre>

== Load Balancing ==

<pre>
upstream app_backend {
server 10.0.0.11:3000;
server 10.0.0.12:3000;
}
server {
location / {
proxy_pass http://app_backend;
}
}
</pre>

=== Verteilmethoden ===

{| class="wikitable"
! Methode !! Verhalten
|-
| weighted round robin (Default) || reihum, optional mit Gewicht je Server (<code>weight=3</code>)
|-
| <code>least_conn</code> || an den Server mit den wenigsten aktiven Verbindungen
|-
| <code>ip_hash</code> || gleiche Client-IP landet immer beim gleichen Server (Session-Affinität ohne gemeinsamen Session-Speicher, aber ungleich verteilt bei NAT/Firmennetz)
|}

=== Ausfall eines Backends ===

<pre>
upstream app_backend {
server 10.0.0.11:3000 max_fails=3 fail_timeout=30s;
server 10.0.0.12:3000;
}
</pre>

Das freie Nginx erkennt einen Ausfall nur '''passiv''': Erst wenn echte Anfragen fehlschlagen, zählt das. Nach <code>max_fails</code> Fehlschlägen wird der Server für <code>fail_timeout</code> ausgeschlossen. Aktive, regelmäßige Health-Checks gibt es nur in kommerziellen oder Drittanbieter-Erweiterungen – bis <code>max_fails</code> erreicht ist, können einzelne Anfragen mit 502/504 beim Client landen.

== Caching ==

<pre>
# im http-Kontext
proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=appcache:10m max_size=1g inactive=30m;

# in der proxied location
location / {
proxy_pass http://app_backend;
proxy_cache appcache;
proxy_cache_valid 200 10m;
add_header X-Cache-Status $upstream_cache_status always;
}
</pre>

<code>X-Cache-Status</code> zeigt im Antwort-Header <code>HIT</code>/<code>MISS</code>/<code>BYPASS</code> – praktisch zur Fehlersuche. '''Vorsicht:''' Cache-Keys, Bypass-Regeln und Autorisierung sauber planen, sonst landen personalisierte Antworten (z. B. mit fremden Session-Daten) versehentlich im gemeinsamen Cache.

== Rate Limiting ==

<pre>
# im http-Kontext: Zone definieren
limit_req_zone $binary_remote_addr zone=reqs:10m rate=5r/s;

# im server- oder location-Block: anwenden
limit_req zone=reqs burst=10 nodelay;
limit_req_status 429;
</pre>

<code>burst=10 nodelay</code> lässt kurze Spitzen bis 10 Anfragen sofort durch, statt sie zu verzögern. Wird die Rate dauerhaft überschritten, antwortet Nginx selbst mit <b>429 Too Many Requests</b> – das Backend bekommt die Anfrage gar nicht erst zu sehen.

== Fehlerbilder ==

{| class="wikitable"
! Code !! Ursache !! Erster Schritt
|-
| 403 || Dateiberechtigungen oder <code>deny all</code> || Dateirechte/Besitzer prüfen, passende location
|-
| 404 || falscher <code>root</code> oder falscher Pfad || <code>root</code>/<code>alias</code> im richtigen location-Block prüfen
|-
| 413 || Anfrage größer als <code>client_max_body_size</code> || Limit gezielt erhöhen, nicht pauschal abschalten
|-
| 502 || Backend nicht erreichbar oder liefert ungültige Antwort || Backend-Prozess/Port prüfen, <code>error.log</code> lesen
|-
| 504 || Backend antwortet, aber zu langsam || <code>proxy_read_timeout</code> prüfen, Backend-Performance klären
|}

Nach jeder Config-Änderung zuerst <code>sudo nginx -t</code>, dann erst <code>systemctl reload nginx</code> – ein Syntaxfehler legt sonst beim nächsten Neustart den ganzen Dienst lahm.

== Links ==

* [https://nginx.org/en/docs/ offizielle Nginx-Dokumentation]
* [[Nginx Grundlagen]]
* Animationen: [https://xinux.org/nginx-grundkonfiguration.html Grundkonfiguration] · [https://xinux.org/nginx-reverse-proxy.html Reverse Proxy] · [https://xinux.org/nginx-load-balancing.html Load Balancing]

Neues von Claude

2026-10-31T13:57:41Z

Thomas.will@claude: Nginx-Modul in drei Stufen aufgeteilt (Einstieg/erweitert/fortgeschritten)

Diese Seite sammelt Seiten, Animationen und Quizze, die mit Unterstützung von '''Claude''' (KI-Assistent von Anthropic) entstanden oder überarbeitet wurden. Neueste zuerst. Wie bei jeder Quelle gilt: Inhalte bitte prüfen, Fehler werden laufend korrigiert.

=31.10.2026=
*Animation [https://xinux.org/netzwerk-kennzahlen.html Netzwerk-Kennzahlen]: Latenz (RTT, physikalische Untergrenze, ihre vier Bestandteile), Bandbreite vs. Durchsatz (ideal, geteilt, Paketverlust), Jitter mit Jitter-Puffer und QoS, alle vier im Vergleich, Fehlerbilder. Neu aufgebaut im aktuellen Stil (dunkles Theme, Schritt-Dramaturgie, einfach/ausführlich) auf Basis einer vorhandenen Einzelseite im alten, hellen Stil.
*Animation [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen]: Reihenfolge von oben nach unten, erste passende Regel gewinnt, Floating vs. Interface-Regeln, Anti-Lockout und Default-Regeln, der Klassiker „zu allgemeine Regel blockiert die speziellere“, Log und Hits, Fehlerbilder. Dazu die Seite [[OPNsense Regeln]].
*Animation [https://xinux.org/opnsense-nat.html OPNsense NAT richtig verstehen]: Outbound NAT (Automatic/Hybrid/Manual), Port Forward mit automatischer Firewall-Regel, NAT Reflection und Split DNS, 1:1 NAT, Reihenfolge NAT vs. Filter je Richtung, Fehlerbilder. Seite [[OPNsense NAT]] inhaltlich ergänzt (vorher nur ein kurzer Binat-Hinweis).
*Animationen Nginx in drei Stufen (auf Hinweis von Thomas: ein einzelnes Modul stieg didaktisch mitten im Thema ein, jetzt Einstieg → erweitert → fortgeschritten):
** [https://xinux.org/nginx-grundkonfiguration.html Nginx: Grundkonfiguration] (Einstieg): Installation und Dienst, Verzeichnisstruktur, der erste Server-Block, sicher ändern (nginx -t vor reload), mehrere Sites per server_name, Fehlerbilder.
** [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy] (erweitert): statisch vs. Backend, Location-Matching-Grundprinzip, proxy_pass und die vollständige Forwarded-Header-Kette.
** [https://xinux.org/nginx-load-balancing.html Nginx: Load Balancing] (fortgeschritten): die Location-Matching-Falle (Regex schlägt Prefix ohne <code>^~</code>), mehrere Backends und Verteilstrategien, passives Ausfallverhalten, Rate Limiting mit 429, Fehlerbilder 403/404/413/502/504.

=30.10.2026=
*Seite [[BigBlueButton installieren]]: BigBlueButton 4.0 mit Greenlight auf Ubuntu 24.04 Schritt für Schritt aufbauen (DNS mit IPv4 und IPv6, Firewall, Installationsskript, Prüfung, Administrator, Grenzen bei IPv6), mit Beispielwerten zum Nachbauen.
*Animation [https://xinux.org/geschichte-unix-linux.html Linux Grundlagen: Geschichte von Unix und Linux]: von Multics und der Geburt von Unix über C, den Zerfall in viele Varianten, GNU und den Linux-Kernel bis zu Open Source, Distributionen und der Frage, wo Linux läuft.

=29.10.2026=
*Animation [https://xinux.org/datenstrom-programme.html Linux Grundlagen: Datenstrom-Programme]: die Werkzeuge wc, cut, tr, sort, grep und sed einzeln erklärt und am Ende zu einer Kette mit der Pipe verbunden.
*Animation [https://xinux.org/vim-einfuehrung.html Linux Grundlagen: vim Einführung]: die Modi von vi und vim (Kommando-, Eingabe-, Ex- und Visual-Modus), Bewegen, Bearbeiten mit dem Puffer, Speichern und Ersetzen im Exmodus und der Visual-Modus.
*Animation [https://xinux.org/benutzer-gruppen.html Linux Grundlagen: Benutzer und Gruppen]: /etc/passwd, das Passwort-Problem mit der Lösung /etc/shadow und /etc/group.
*Animation [https://xinux.org/kommandolokalisierung.html Linux Grundlagen: Kommandolokalisierung]: wie die Shell ein Kommando findet (Pfad, Hashtabelle, Alias, Funktion, Built-in, PATH), der Alias bei ls und which und type.
*Animation [https://xinux.org/pipes-umleitung.html Linux Grundlagen: Ein- und Ausgabe, Pipes]: die drei Standardkanäle, Umleiten mit <, > und >>, Fehlerkanal getrennt oder zusammengelegt, und die Pipe.
*Animation [https://xinux.org/prozesse.html Linux Grundlagen: Prozesse]: Programm und Prozess, Eltern und Kinder (pstree), fork und exec, Signale mit kill und die Rechte des Prozesses.
*Animation [https://xinux.org/inodes-links.html Linux Grundlagen: INodes und Links]: Name, Inode und Inhalt, was im Inode steht, zwei Namen für dieselbe Datei (Hardlink und Link Count), was rm tut und die Grenzen des Hardlinks bis zum Softlink.
*Animation [https://xinux.org/dateiarten.html Linux Grundlagen: Dateiarten]: das erste Zeichen von ls -l, normale Datei und Verzeichnis, Block- und Character-Devices mit Major und Minor, Named Pipe, Socket und Softlink, jeweils mit dem Beispiel aus dem Terminal.
*Animation [https://xinux.org/berechtigungen.html Linux Grundlagen: Berechtigungen]: das Rechtefeld mit 4, 2 und 1, chmod oktal und symbolisch, r, w und x bei Dateien und bei Verzeichnissen, die Prüfreihenfolge, umask, das User-SBIT am Beispiel von passwd und /etc/shadow, das Gruppen-SBIT im Projektordner und das Sticky-Bit in /tmp.

=28.10.2026=
*Animation [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach]): neu im aktuellen Stil, mit dem Konzept (TLS-Terminierung, Layer 7, passiv oder aktiv), normaler Anfrage, SQL-Injection, dem Aufbau mit SPOE und der Härtung mit firewalld und SELinux
*Animationen zu OpenVPN, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/openvpn.html OpenVPN mit Benutzeranmeldung (Linux)] ([https://xinux.org/openvpn-einfach.html einfach]): Verbindungsaufbau mit Zertifikat und PAM-Anmeldung, Server-Konfiguration, Start und Roadwarrior-Client
**[https://xinux.org/opnsense-openvpn.html OpenVPN auf der OPNsense] ([https://xinux.org/opnsense-openvpn-einfach.html einfach]): Anmeldung gegen das Active Directory, CA und Server-Zertifikat, Static Key, Instanz, Regeln und Client-Export
*Animation [https://xinux.org/opnsense-multiwan.html OPNsense Multi-WAN: zwei Provider] ([https://xinux.org/opnsense-multiwan-einfach.html einfach]): zwei Leitungen, Gateways und Monitor-IPs, Gatewaygruppe (Failover und Lastverteilung), Policy Routing und der klassische Regelfehler, NAT, DNS, Ausfall und Tests
*Animation [https://xinux.org/suricata-regeln.html Suricata-Regeln lesen und schreiben] ([https://xinux.org/suricata-regeln-einfach.html einfach]): Suricata inline am Interface der OPNsense, eine Regel lesen (Aktion, Header, Optionen), alert oder drop, eigene Regeln einbinden und die Beispielregeln mit ihren Tests
*Animation [https://xinux.org/apt-xz.html APT und der xz-Angriff] ([https://xinux.org/apt-xz-einfach.html einfach]): erst was einen Advanced Persistent Threat ausmacht, dann der echte Fall der Hintertür in xz/liblzma mit Vorgeschichte 2005 bis 2024, Technik, Entdeckung und Lehren
*Animation [https://xinux.org/grub2-boot.html GRUB2 Bootvorgang] ([https://xinux.org/grub2-boot-einfach.html einfach]): neu im aktuellen Stil, drei Wege (post-MBR gap, BIOS Boot Partition mit GPT, UEFI mit Shim), farbige Pfeile von der Firmware bis systemd, die initrd mountet das Root-Dateisystem
*Animationen zu Firewall und Angriffen, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/xss.html Cross-Site-Scripting (XSS)] ([https://xinux.org/xss-einfach.html einfach]): das Prinzip, reflektiertes, gespeichertes und DOM-basiertes XSS im Vergleich, ein einfacher Filter und seine Umgehung, Schutz durch Zeichenreferenzen
**[https://xinux.org/opnsense-ha.html OPNsense Hochverfügbarkeit] ([https://xinux.org/opnsense-ha-einfach.html einfach]): CARP, Failover, pfsync für die Zustände, XMLRPC für die Konfiguration, Aufbau, Test, KEA HA für DHCP im Cluster und Fehlersuche (28.10. ergänzt)
**[https://xinux.org/opnsense-bridge-firewall.html Layer-2-Firewall: die Filterbrücke] ([https://xinux.org/opnsense-bridge-firewall-einfach.html einfach]): Firewall im Kabel ohne neue Adressen, Tunables, Bridge, Regeln in zwei Stufen, IDS/IPS auf der Brücke
**[https://xinux.org/opnsense-ad-login.html OPNsense: Anmeldung mit dem Active Directory] ([https://xinux.org/opnsense-ad-login-einfach.html einfach]): LDAPS, Dienstkonto, memberOf-Gruppe, lokale Gruppe mit Rechten, Test und Notzugang
*Animation [https://xinux.org/wireguard.html WireGuard] ([https://xinux.org/wireguard-einfach.html einfach]): Tunnel als Netzwerk-Interface, Schlüsselpaar pro Gerät, AllowedIPs als Routing und Filter, Handshake, Keepalive hinter NAT, Einrichtung auf der OPNsense in fünf Schritten und Fehlerbilder
*Animation [https://xinux.org/logikgatter-cmos.html Logikgatter auf dem Chip (CMOS)]: wie Gatter aus Transistoren gebaut sind (PMOS oben, NMOS unten), NOT, NAND und NOR als Grundgatter, AND, OR, XOR als Makros, Komplexgatter, Transistoren zählen, selbst ausprobieren; Fortsetzung zur Animation [https://xinux.org/logikgatter.html Logikgatter]

=26.10.2026=
*Animationen zu TLS und Zertifikaten, neu aufgebaut und jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/tls-1.2-handshake.html TLS 1.2 Handshake] ([https://xinux.org/tls-1.2-handshake-einfach.html einfach]): Nachricht für Nachricht, mit der Sicht eines Mitlesers, Cipher Suite, Schlüsselableitung, Forward Secrecy, Tickets und Härtung
**[https://xinux.org/tls-1.3-handshake.html TLS 1.3 Handshake] ([https://xinux.org/tls-1.3-handshake-einfach.html einfach]): ein Umlauf, Schlüsseltreppe, verschlüsselter Server-Flug, 0-RTT, KeyUpdate und hybrider Schlüsselaustausch gegen Quantencomputer
**[https://xinux.org/zertifikat.html PKI: Zertifikate] ([https://xinux.org/zertifikat-einfach.html einfach, ohne Widerruf]): CA und Trust Store, Antrag und Signatur, Kette, Aufbau einer Hierarchie aus Root und Zwischen-CA, die Prüfung im Client, Widerruf mit CRL und OCSP, Widerruf in der Kette bis zur kompromittierten Zwischen-CA, kurze Laufzeiten, ACME und Certificate Transparency
*[[Proxmox Backup Server Wartung]]: Prüfen und Aufräumen mit Verify-, Prune- und Garbage-Collection-Job, in der richtigen Reihenfolge, mit Weboberfläche und Kommandozeile, Stolperfallen und Aufgaben
*Animationen zu Proxys, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/transparenter-proxy.html Transparenter Proxy mit SSL-Bump] ([https://xinux.org/transparenter-proxy-einfach.html einfach]): Umleitung per Firewall-Markierung und nftables, Squid mit intercept, HTTPS aufbrechen mit eigener CA, Virenprüfung über ICAP und ClamAV, Fehlerbilder
**[https://xinux.org/proxy.html Proxy-Konzepte] ([https://xinux.org/proxy-einfach.html einfach]): neu aufgebaut, Forward, Reverse, Application und Circuit Level Proxy Schritt für Schritt, SSL-Bump mit EICAR-Test und Vergleich der Arten
*Animation [https://xinux.org/opnsense-ipsec-site2site.html OPNsense Site-to-Site IPsec] ([https://xinux.org/opnsense-ipsec-site2site-einfach.html einfach]): erst alle Werte in einem Planungsblatt ausfüllen und als CSV speichern (auch mit mehreren Netzen je Standort), dann Seite für Seite in OPNsense eintragen: Pre-Shared Key, Connection, Authentifizierung, Children, Firewall-Regeln, Status und Fehlersuche

=25.10.2026=
*[[Ifupdown2 in der Praxis]]: Installation, die wichtigsten Befehle (<code>ifreload</code>, <code>ifquery --check</code>) und ein echter Praxisfall mit Proxmox-SDN (nicht deklarierte Adresse auf einer VLAN-Bridge aufgespürt und sauber nachgetragen)

=22.10.2026=
*[[Kernel kompilieren Vorgang Debian]]: Animation [https://xinux.org/kernel-kompilieren.html Kernel kompilieren] (Quellcode, alte Konfiguration, Zertifikats- und Debug-Falle, menuconfig, make -j, Installieren, Neustart, Aufräumen) und eine [https://xinux.org/kernel-kompilieren-einfach.html einfache Version]
*[[Letsencrypt DNS Verification RFC2136]]: DNS-Challenge mit dem Certbot-Plugin und eigenem BIND (TSIG-Schlüssel, <code>update-policy</code>, Erneuerung per Timer), als Ergänzung zum Weg mit Hook-Skript
*[[Xfs]]: Animation [https://xinux.org/xfs-praxis.html XFS in der Praxis] – Allocation Groups bauen jetzt in zwei Schritten auf (erst vier gleiche Bereiche, dann das Innenleben)

=21.10.2026=
;Kursstruktur Cyber Security
*[[Cybersec1 Struktur]] und [[Cybersec2 Struktur]]: je eine Woche, in Blöcken mit Ziel, Theorie und Praxis, dazu die Abdeckung aller Lernziele ([[Cyber Security Gesamtstruktur|Übersicht]])
*[[Firewalls und Virtualisierung]]: Firewall als VM, Bridges und VLANs, Ost-West-Verkehr, Proxmox-Firewall, Risiken bei geteiltem Host
;Angriffsvektoren, aufgeräumt mit Theorie → Praxis
*[[Schadsoftware/Malware]], [[Botnetze]], [[DDoS-Angriffe]]
*Animation: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS] (Infektion, C&C über Port 443, Botnetz, DDoS)
;Weiteres
*[[Docker Caddy]]: Caddy, Uptime Kuma und HedgeDoc mit Docker auf Debian, Logs so abgelegt, dass sie später überwacht werden können
*[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]]: an die Theorieseite angeglichen (Themen von Anhang A, KRITIS-Nachweis, BSI-Standard 200-4)
*Quiz: [https://xinux.org/fdisk-quiz.html fdisk und MBR] (10 Fragen, mit Erklärung zu jeder Antwort)

=20.10.2026=
*[[Modulo]]: überarbeitet mit dem Uhr-Beispiel (12-Stunden-Uhr und Bänder), Animation [https://xinux.org/modulo.html Modulo]
*Animation [https://xinux.org/logikgatter.html Logikgatter]: AND, OR, NOT, NAND, NOR, XOR und XNOR als Schaltung, Symbol und Wahrheitstabelle

=Oktober 2026, davor=
;Samba
*[[Linux - Samba]], [[Linux - Samba Lab]], [[Samba Neuerungen]]
;systemd
*[[Systemd Lernpfad]] mit den drei Stufen [[Systemd Stufe 1 Basic]], [[Systemd Stufe 2 Fortgeschritten]], [[Systemd Stufe 3 Security]] und Bausteinen, z. B. [[Systemd Baustein Mounts]] und [[Systemd Baustein Netzwerk]]

Nginx Grundlagen

2026-10-31T13:45:25Z

Thomas.will@claude: Verweis auf neue Vertiefungsseite ergänzt

== Einleitung ==

=== Was ist Nginx? ===

* Webserver, Reverse Proxy und Load Balancer in einem
* Erstveröffentlichung 2004 von Igor Sysoev (russischer Entwickler)
* Ziel: das sogenannte C10k-Problem lösen – 10.000 gleichzeitige Verbindungen mit einem Server bedienen
* Heute einer der meistgenutzten Webserver weltweit

=== Architekturprinzip ===

* Klassisches Modell (Apache): ein Prozess oder Thread pro Verbindung
* Nginx-Modell: ereignisgesteuert, nicht-blockierend
* Ein Worker-Prozess verwaltet tausende Verbindungen gleichzeitig
* Speicher- und CPU-Bedarf wächst nicht proportional zur Verbindungszahl

=== Typische Einsatzbereiche ===

; Webserver
: Liefert statische Inhalte direkt aus dem Dateisystem; dynamische Inhalte werden per FastCGI/uWSGI an Backend-Prozesse weitergereicht (z. B. PHP-FPM)

; Reverse Proxy
: Nimmt Anfragen entgegen und leitet sie an Backend-Dienste weiter; TLS-Terminierung, Caching und Header-Manipulation zentral an einer Stelle

; Load Balancer
: Verteilt Anfragen auf mehrere Backend-Instanzen (Round-Robin, Least-Connections, IP-Hash)

=== Prozessmodell ===

* Ein Master-Prozess: liest Konfiguration, bindet Ports, verwaltet Worker
* Mehrere Worker-Prozesse: erledigen die eigentliche Arbeit
* Worker-Anzahl typischerweise gleich CPU-Kerne
* I/O-Modell: <code>epoll</code> unter Linux, <code>kqueue</code> unter BSD

=== Nginx vs. Apache – Kurzüberblick ===

{| class="wikitable"
! Kriterium !! Nginx !! Apache
|-
| Verbindungsmodell || ereignisgesteuert || prozess-/threadbasiert
|-
| Statische Inhalte || sehr effizient || solide
|-
| Dynamische Inhalte || via FastCGI/Proxy || nativ (mod_php etc.)
|-
| Konfiguration || zentral, hierarchisch || verteilt (.htaccess möglich)
|-
| Typischer Einsatz || Proxy, CDN-Edge, hoher Traffic || Shared Hosting, Legacy-Setups
|}

== Weiterführend ==

* [[Nginx Reverse Proxy und Load Balancing]]: Location-Matching-Reihenfolge, proxy_pass und Header, Load Balancing, Caching, Rate Limiting, Fehlerbilder. Dazu die Animation [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy & Load Balancing].

Nginx Reverse Proxy und Load Balancing

2026-10-31T13:45:10Z

Thomas.will@claude: Neue Seite: Location-Matching, Load Balancing, Caching, Rate Limiting

Vertiefung zu [[Nginx Grundlagen]]: Location-Matching, Reverse Proxy, Load Balancing, Caching und Rate Limiting – mit den typischen Fehlerbildern. Dazu die Animation [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy & Load Balancing].

== Location-Matching: welche Regel gewinnt ==

Nginx wählt die passende <code>location</code> '''nicht''' nach der Reihenfolge im Config, sondern nach festen Regeln:

# '''Exact Match''' (<code>location = /pfad</code>) – trifft nur exakt, gewinnt sofort
# '''Prefix Match''' – der '''längste''' passende Prefix gewinnt
# Ist der Prefix mit <code>^~</code> markiert, '''stoppt''' hier die Prüfung – keine Regex mehr
# sonst: alle '''Regex-Locations''' (<code>~</code> case-sensitive, <code>~*</code> case-insensitive) der Reihe nach, die '''erste passende gewinnt''' – und zwar über dem Prefix
# ohne Regex-Treffer: Fallback auf den längsten Prefix aus Schritt 2

=== Der Klassiker: Regex schlägt Prefix ===

<pre>
location /download/ {
limit_rate 500k; # Downloads drosseln
}
location ~* \.(zip|iso)$ {
limit_rate 5m; # war für andere Zwecke gedacht
}
</pre>

Eine Anfrage nach <code>/download/archiv.zip</code> passt auf beide Blöcke. Da der Prefix '''kein''' <code>^~</code> hat, gewinnt die Regex-Regel – die Datei wird entgegen der Absicht '''nicht''' gedrosselt. Lösung: den Prefix mit <code>^~</code> markieren, dann gewinnt er garantiert gegen jede Regex:

<pre>
location ^~ /download/ {
limit_rate 500k; # gilt jetzt für alles unter /download/
}
</pre>

== Reverse Proxy: proxy_pass und Header ==

<pre>
location / {
proxy_pass http://127.0.0.1:3000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
</pre>

Ohne diese Header sieht die Backend-App nur Nginx selbst (<code>127.0.0.1</code>) als Quelle – Client-IP, ursprünglicher Host und Protokoll gehen verloren. '''Wichtig:''' Eine App darf <code>X-Forwarded-For</code> nur von bekannten, kontrollierten Proxys vertrauen, sonst lässt sich der Header von jedem fälschen, der die App direkt erreicht.

Für WebSockets zusätzlich:

<pre>
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
</pre>

== Load Balancing ==

<pre>
upstream app_backend {
server 10.0.0.11:3000;
server 10.0.0.12:3000;
}
server {
location / {
proxy_pass http://app_backend;
}
}
</pre>

=== Verteilmethoden ===

{| class="wikitable"
! Methode !! Verhalten
|-
| weighted round robin (Default) || reihum, optional mit Gewicht je Server (<code>weight=3</code>)
|-
| <code>least_conn</code> || an den Server mit den wenigsten aktiven Verbindungen
|-
| <code>ip_hash</code> || gleiche Client-IP landet immer beim gleichen Server (Session-Affinität ohne gemeinsamen Session-Speicher, aber ungleich verteilt bei NAT/Firmennetz)
|}

=== Ausfall eines Backends ===

<pre>
upstream app_backend {
server 10.0.0.11:3000 max_fails=3 fail_timeout=30s;
server 10.0.0.12:3000;
}
</pre>

Das freie Nginx erkennt einen Ausfall nur '''passiv''': Erst wenn echte Anfragen fehlschlagen, zählt das. Nach <code>max_fails</code> Fehlschlägen wird der Server für <code>fail_timeout</code> ausgeschlossen. Aktive, regelmäßige Health-Checks gibt es nur in kommerziellen oder Drittanbieter-Erweiterungen – bis <code>max_fails</code> erreicht ist, können einzelne Anfragen mit 502/504 beim Client landen.

== Caching ==

<pre>
# im http-Kontext
proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=appcache:10m max_size=1g inactive=30m;

# in der proxied location
location / {
proxy_pass http://app_backend;
proxy_cache appcache;
proxy_cache_valid 200 10m;
add_header X-Cache-Status $upstream_cache_status always;
}
</pre>

<code>X-Cache-Status</code> zeigt im Antwort-Header <code>HIT</code>/<code>MISS</code>/<code>BYPASS</code> – praktisch zur Fehlersuche. '''Vorsicht:''' Cache-Keys, Bypass-Regeln und Autorisierung sauber planen, sonst landen personalisierte Antworten (z. B. mit fremden Session-Daten) versehentlich im gemeinsamen Cache.

== Rate Limiting ==

<pre>
# im http-Kontext: Zone definieren
limit_req_zone $binary_remote_addr zone=reqs:10m rate=5r/s;

# im server- oder location-Block: anwenden
limit_req zone=reqs burst=10 nodelay;
limit_req_status 429;
</pre>

<code>burst=10 nodelay</code> lässt kurze Spitzen bis 10 Anfragen sofort durch, statt sie zu verzögern. Wird die Rate dauerhaft überschritten, antwortet Nginx selbst mit <b>429 Too Many Requests</b> – das Backend bekommt die Anfrage gar nicht erst zu sehen.

== Fehlerbilder ==

{| class="wikitable"
! Code !! Ursache !! Erster Schritt
|-
| 403 || Dateiberechtigungen oder <code>deny all</code> || Dateirechte/Besitzer prüfen, passende location
|-
| 404 || falscher <code>root</code> oder falscher Pfad || <code>root</code>/<code>alias</code> im richtigen location-Block prüfen
|-
| 413 || Anfrage größer als <code>client_max_body_size</code> || Limit gezielt erhöhen, nicht pauschal abschalten
|-
| 502 || Backend nicht erreichbar oder liefert ungültige Antwort || Backend-Prozess/Port prüfen, <code>error.log</code> lesen
|-
| 504 || Backend antwortet, aber zu langsam || <code>proxy_read_timeout</code> prüfen, Backend-Performance klären
|}

Nach jeder Config-Änderung zuerst <code>sudo nginx -t</code>, dann erst <code>systemctl reload nginx</code> – ein Syntaxfehler legt sonst beim nächsten Neustart den ganzen Dienst lahm.

== Links ==

* [https://nginx.org/en/docs/ offizielle Nginx-Dokumentation]
* [[Nginx Grundlagen]]
* Animation: [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy & Load Balancing]

Neues von Claude

2026-10-31T13:44:00Z

Thomas.will@claude: Nginx Reverse-Proxy-Animation ergänzt

Diese Seite sammelt Seiten, Animationen und Quizze, die mit Unterstützung von '''Claude''' (KI-Assistent von Anthropic) entstanden oder überarbeitet wurden. Neueste zuerst. Wie bei jeder Quelle gilt: Inhalte bitte prüfen, Fehler werden laufend korrigiert.

=31.10.2026=
*Animation [https://xinux.org/netzwerk-kennzahlen.html Netzwerk-Kennzahlen]: Latenz (RTT, physikalische Untergrenze, ihre vier Bestandteile), Bandbreite vs. Durchsatz (ideal, geteilt, Paketverlust), Jitter mit Jitter-Puffer und QoS, alle vier im Vergleich, Fehlerbilder. Neu aufgebaut im aktuellen Stil (dunkles Theme, Schritt-Dramaturgie, einfach/ausführlich) auf Basis einer vorhandenen Einzelseite im alten, hellen Stil.
*Animation [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen]: Reihenfolge von oben nach unten, erste passende Regel gewinnt, Floating vs. Interface-Regeln, Anti-Lockout und Default-Regeln, der Klassiker „zu allgemeine Regel blockiert die speziellere“, Log und Hits, Fehlerbilder. Dazu die Seite [[OPNsense Regeln]].
*Animation [https://xinux.org/opnsense-nat.html OPNsense NAT richtig verstehen]: Outbound NAT (Automatic/Hybrid/Manual), Port Forward mit automatischer Firewall-Regel, NAT Reflection und Split DNS, 1:1 NAT, Reihenfolge NAT vs. Filter je Richtung, Fehlerbilder. Seite [[OPNsense NAT]] inhaltlich ergänzt (vorher nur ein kurzer Binat-Hinweis).
*Animation [https://xinux.org/nginx-reverse-proxy.html Nginx: Reverse Proxy & Load Balancing]: Request-Pfad statisch vs. Backend, Location-Matching (Exact/Prefix/Regex, die Falle ohne <code>^~</code>) am Fallbeispiel, proxy_pass und Forwarded-Header, mehrere Backends mit Verteilmethoden, passives Ausfallverhalten, Rate Limiting mit 429, Fehlerbilder 403/404/413/502/504.

=30.10.2026=
*Seite [[BigBlueButton installieren]]: BigBlueButton 4.0 mit Greenlight auf Ubuntu 24.04 Schritt für Schritt aufbauen (DNS mit IPv4 und IPv6, Firewall, Installationsskript, Prüfung, Administrator, Grenzen bei IPv6), mit Beispielwerten zum Nachbauen.
*Animation [https://xinux.org/geschichte-unix-linux.html Linux Grundlagen: Geschichte von Unix und Linux]: von Multics und der Geburt von Unix über C, den Zerfall in viele Varianten, GNU und den Linux-Kernel bis zu Open Source, Distributionen und der Frage, wo Linux läuft.

=29.10.2026=
*Animation [https://xinux.org/datenstrom-programme.html Linux Grundlagen: Datenstrom-Programme]: die Werkzeuge wc, cut, tr, sort, grep und sed einzeln erklärt und am Ende zu einer Kette mit der Pipe verbunden.
*Animation [https://xinux.org/vim-einfuehrung.html Linux Grundlagen: vim Einführung]: die Modi von vi und vim (Kommando-, Eingabe-, Ex- und Visual-Modus), Bewegen, Bearbeiten mit dem Puffer, Speichern und Ersetzen im Exmodus und der Visual-Modus.
*Animation [https://xinux.org/benutzer-gruppen.html Linux Grundlagen: Benutzer und Gruppen]: /etc/passwd, das Passwort-Problem mit der Lösung /etc/shadow und /etc/group.
*Animation [https://xinux.org/kommandolokalisierung.html Linux Grundlagen: Kommandolokalisierung]: wie die Shell ein Kommando findet (Pfad, Hashtabelle, Alias, Funktion, Built-in, PATH), der Alias bei ls und which und type.
*Animation [https://xinux.org/pipes-umleitung.html Linux Grundlagen: Ein- und Ausgabe, Pipes]: die drei Standardkanäle, Umleiten mit <, > und >>, Fehlerkanal getrennt oder zusammengelegt, und die Pipe.
*Animation [https://xinux.org/prozesse.html Linux Grundlagen: Prozesse]: Programm und Prozess, Eltern und Kinder (pstree), fork und exec, Signale mit kill und die Rechte des Prozesses.
*Animation [https://xinux.org/inodes-links.html Linux Grundlagen: INodes und Links]: Name, Inode und Inhalt, was im Inode steht, zwei Namen für dieselbe Datei (Hardlink und Link Count), was rm tut und die Grenzen des Hardlinks bis zum Softlink.
*Animation [https://xinux.org/dateiarten.html Linux Grundlagen: Dateiarten]: das erste Zeichen von ls -l, normale Datei und Verzeichnis, Block- und Character-Devices mit Major und Minor, Named Pipe, Socket und Softlink, jeweils mit dem Beispiel aus dem Terminal.
*Animation [https://xinux.org/berechtigungen.html Linux Grundlagen: Berechtigungen]: das Rechtefeld mit 4, 2 und 1, chmod oktal und symbolisch, r, w und x bei Dateien und bei Verzeichnissen, die Prüfreihenfolge, umask, das User-SBIT am Beispiel von passwd und /etc/shadow, das Gruppen-SBIT im Projektordner und das Sticky-Bit in /tmp.

=28.10.2026=
*Animation [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach]): neu im aktuellen Stil, mit dem Konzept (TLS-Terminierung, Layer 7, passiv oder aktiv), normaler Anfrage, SQL-Injection, dem Aufbau mit SPOE und der Härtung mit firewalld und SELinux
*Animationen zu OpenVPN, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/openvpn.html OpenVPN mit Benutzeranmeldung (Linux)] ([https://xinux.org/openvpn-einfach.html einfach]): Verbindungsaufbau mit Zertifikat und PAM-Anmeldung, Server-Konfiguration, Start und Roadwarrior-Client
**[https://xinux.org/opnsense-openvpn.html OpenVPN auf der OPNsense] ([https://xinux.org/opnsense-openvpn-einfach.html einfach]): Anmeldung gegen das Active Directory, CA und Server-Zertifikat, Static Key, Instanz, Regeln und Client-Export
*Animation [https://xinux.org/opnsense-multiwan.html OPNsense Multi-WAN: zwei Provider] ([https://xinux.org/opnsense-multiwan-einfach.html einfach]): zwei Leitungen, Gateways und Monitor-IPs, Gatewaygruppe (Failover und Lastverteilung), Policy Routing und der klassische Regelfehler, NAT, DNS, Ausfall und Tests
*Animation [https://xinux.org/suricata-regeln.html Suricata-Regeln lesen und schreiben] ([https://xinux.org/suricata-regeln-einfach.html einfach]): Suricata inline am Interface der OPNsense, eine Regel lesen (Aktion, Header, Optionen), alert oder drop, eigene Regeln einbinden und die Beispielregeln mit ihren Tests
*Animation [https://xinux.org/apt-xz.html APT und der xz-Angriff] ([https://xinux.org/apt-xz-einfach.html einfach]): erst was einen Advanced Persistent Threat ausmacht, dann der echte Fall der Hintertür in xz/liblzma mit Vorgeschichte 2005 bis 2024, Technik, Entdeckung und Lehren
*Animation [https://xinux.org/grub2-boot.html GRUB2 Bootvorgang] ([https://xinux.org/grub2-boot-einfach.html einfach]): neu im aktuellen Stil, drei Wege (post-MBR gap, BIOS Boot Partition mit GPT, UEFI mit Shim), farbige Pfeile von der Firmware bis systemd, die initrd mountet das Root-Dateisystem
*Animationen zu Firewall und Angriffen, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/xss.html Cross-Site-Scripting (XSS)] ([https://xinux.org/xss-einfach.html einfach]): das Prinzip, reflektiertes, gespeichertes und DOM-basiertes XSS im Vergleich, ein einfacher Filter und seine Umgehung, Schutz durch Zeichenreferenzen
**[https://xinux.org/opnsense-ha.html OPNsense Hochverfügbarkeit] ([https://xinux.org/opnsense-ha-einfach.html einfach]): CARP, Failover, pfsync für die Zustände, XMLRPC für die Konfiguration, Aufbau, Test, KEA HA für DHCP im Cluster und Fehlersuche (28.10. ergänzt)
**[https://xinux.org/opnsense-bridge-firewall.html Layer-2-Firewall: die Filterbrücke] ([https://xinux.org/opnsense-bridge-firewall-einfach.html einfach]): Firewall im Kabel ohne neue Adressen, Tunables, Bridge, Regeln in zwei Stufen, IDS/IPS auf der Brücke
**[https://xinux.org/opnsense-ad-login.html OPNsense: Anmeldung mit dem Active Directory] ([https://xinux.org/opnsense-ad-login-einfach.html einfach]): LDAPS, Dienstkonto, memberOf-Gruppe, lokale Gruppe mit Rechten, Test und Notzugang
*Animation [https://xinux.org/wireguard.html WireGuard] ([https://xinux.org/wireguard-einfach.html einfach]): Tunnel als Netzwerk-Interface, Schlüsselpaar pro Gerät, AllowedIPs als Routing und Filter, Handshake, Keepalive hinter NAT, Einrichtung auf der OPNsense in fünf Schritten und Fehlerbilder
*Animation [https://xinux.org/logikgatter-cmos.html Logikgatter auf dem Chip (CMOS)]: wie Gatter aus Transistoren gebaut sind (PMOS oben, NMOS unten), NOT, NAND und NOR als Grundgatter, AND, OR, XOR als Makros, Komplexgatter, Transistoren zählen, selbst ausprobieren; Fortsetzung zur Animation [https://xinux.org/logikgatter.html Logikgatter]

=26.10.2026=
*Animationen zu TLS und Zertifikaten, neu aufgebaut und jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/tls-1.2-handshake.html TLS 1.2 Handshake] ([https://xinux.org/tls-1.2-handshake-einfach.html einfach]): Nachricht für Nachricht, mit der Sicht eines Mitlesers, Cipher Suite, Schlüsselableitung, Forward Secrecy, Tickets und Härtung
**[https://xinux.org/tls-1.3-handshake.html TLS 1.3 Handshake] ([https://xinux.org/tls-1.3-handshake-einfach.html einfach]): ein Umlauf, Schlüsseltreppe, verschlüsselter Server-Flug, 0-RTT, KeyUpdate und hybrider Schlüsselaustausch gegen Quantencomputer
**[https://xinux.org/zertifikat.html PKI: Zertifikate] ([https://xinux.org/zertifikat-einfach.html einfach, ohne Widerruf]): CA und Trust Store, Antrag und Signatur, Kette, Aufbau einer Hierarchie aus Root und Zwischen-CA, die Prüfung im Client, Widerruf mit CRL und OCSP, Widerruf in der Kette bis zur kompromittierten Zwischen-CA, kurze Laufzeiten, ACME und Certificate Transparency
*[[Proxmox Backup Server Wartung]]: Prüfen und Aufräumen mit Verify-, Prune- und Garbage-Collection-Job, in der richtigen Reihenfolge, mit Weboberfläche und Kommandozeile, Stolperfallen und Aufgaben
*Animationen zu Proxys, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/transparenter-proxy.html Transparenter Proxy mit SSL-Bump] ([https://xinux.org/transparenter-proxy-einfach.html einfach]): Umleitung per Firewall-Markierung und nftables, Squid mit intercept, HTTPS aufbrechen mit eigener CA, Virenprüfung über ICAP und ClamAV, Fehlerbilder
**[https://xinux.org/proxy.html Proxy-Konzepte] ([https://xinux.org/proxy-einfach.html einfach]): neu aufgebaut, Forward, Reverse, Application und Circuit Level Proxy Schritt für Schritt, SSL-Bump mit EICAR-Test und Vergleich der Arten
*Animation [https://xinux.org/opnsense-ipsec-site2site.html OPNsense Site-to-Site IPsec] ([https://xinux.org/opnsense-ipsec-site2site-einfach.html einfach]): erst alle Werte in einem Planungsblatt ausfüllen und als CSV speichern (auch mit mehreren Netzen je Standort), dann Seite für Seite in OPNsense eintragen: Pre-Shared Key, Connection, Authentifizierung, Children, Firewall-Regeln, Status und Fehlersuche

=25.10.2026=
*[[Ifupdown2 in der Praxis]]: Installation, die wichtigsten Befehle (<code>ifreload</code>, <code>ifquery --check</code>) und ein echter Praxisfall mit Proxmox-SDN (nicht deklarierte Adresse auf einer VLAN-Bridge aufgespürt und sauber nachgetragen)

=22.10.2026=
*[[Kernel kompilieren Vorgang Debian]]: Animation [https://xinux.org/kernel-kompilieren.html Kernel kompilieren] (Quellcode, alte Konfiguration, Zertifikats- und Debug-Falle, menuconfig, make -j, Installieren, Neustart, Aufräumen) und eine [https://xinux.org/kernel-kompilieren-einfach.html einfache Version]
*[[Letsencrypt DNS Verification RFC2136]]: DNS-Challenge mit dem Certbot-Plugin und eigenem BIND (TSIG-Schlüssel, <code>update-policy</code>, Erneuerung per Timer), als Ergänzung zum Weg mit Hook-Skript
*[[Xfs]]: Animation [https://xinux.org/xfs-praxis.html XFS in der Praxis] – Allocation Groups bauen jetzt in zwei Schritten auf (erst vier gleiche Bereiche, dann das Innenleben)

=21.10.2026=
;Kursstruktur Cyber Security
*[[Cybersec1 Struktur]] und [[Cybersec2 Struktur]]: je eine Woche, in Blöcken mit Ziel, Theorie und Praxis, dazu die Abdeckung aller Lernziele ([[Cyber Security Gesamtstruktur|Übersicht]])
*[[Firewalls und Virtualisierung]]: Firewall als VM, Bridges und VLANs, Ost-West-Verkehr, Proxmox-Firewall, Risiken bei geteiltem Host
;Angriffsvektoren, aufgeräumt mit Theorie → Praxis
*[[Schadsoftware/Malware]], [[Botnetze]], [[DDoS-Angriffe]]
*Animation: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS] (Infektion, C&C über Port 443, Botnetz, DDoS)
;Weiteres
*[[Docker Caddy]]: Caddy, Uptime Kuma und HedgeDoc mit Docker auf Debian, Logs so abgelegt, dass sie später überwacht werden können
*[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]]: an die Theorieseite angeglichen (Themen von Anhang A, KRITIS-Nachweis, BSI-Standard 200-4)
*Quiz: [https://xinux.org/fdisk-quiz.html fdisk und MBR] (10 Fragen, mit Erklärung zu jeder Antwort)

=20.10.2026=
*[[Modulo]]: überarbeitet mit dem Uhr-Beispiel (12-Stunden-Uhr und Bänder), Animation [https://xinux.org/modulo.html Modulo]
*Animation [https://xinux.org/logikgatter.html Logikgatter]: AND, OR, NOT, NAND, NOR, XOR und XNOR als Schaltung, Symbol und Wahrheitstabelle

=Oktober 2026, davor=
;Samba
*[[Linux - Samba]], [[Linux - Samba Lab]], [[Samba Neuerungen]]
;systemd
*[[Systemd Lernpfad]] mit den drei Stufen [[Systemd Stufe 1 Basic]], [[Systemd Stufe 2 Fortgeschritten]], [[Systemd Stufe 3 Security]] und Bausteinen, z. B. [[Systemd Baustein Mounts]] und [[Systemd Baustein Netzwerk]]

Neues von Claude

2026-10-31T10:23:48Z

Thomas.will@claude: Netzwerk-Kennzahlen ergänzt

Diese Seite sammelt Seiten, Animationen und Quizze, die mit Unterstützung von '''Claude''' (KI-Assistent von Anthropic) entstanden oder überarbeitet wurden. Neueste zuerst. Wie bei jeder Quelle gilt: Inhalte bitte prüfen, Fehler werden laufend korrigiert.

=31.10.2026=
*Animation [https://xinux.org/netzwerk-kennzahlen.html Netzwerk-Kennzahlen]: Latenz (RTT, physikalische Untergrenze, ihre vier Bestandteile), Bandbreite vs. Durchsatz (ideal, geteilt, Paketverlust), Jitter mit Jitter-Puffer und QoS, alle vier im Vergleich, Fehlerbilder. Neu aufgebaut im aktuellen Stil (dunkles Theme, Schritt-Dramaturgie, einfach/ausführlich) auf Basis einer vorhandenen Einzelseite im alten, hellen Stil.
*Animation [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen]: Reihenfolge von oben nach unten, erste passende Regel gewinnt, Floating vs. Interface-Regeln, Anti-Lockout und Default-Regeln, der Klassiker „zu allgemeine Regel blockiert die speziellere“, Log und Hits, Fehlerbilder. Dazu die Seite [[OPNsense Regeln]].
*Animation [https://xinux.org/opnsense-nat.html OPNsense NAT richtig verstehen]: Outbound NAT (Automatic/Hybrid/Manual), Port Forward mit automatischer Firewall-Regel, NAT Reflection und Split DNS, 1:1 NAT, Reihenfolge NAT vs. Filter je Richtung, Fehlerbilder. Seite [[OPNsense NAT]] inhaltlich ergänzt (vorher nur ein kurzer Binat-Hinweis).

=30.10.2026=
*Seite [[BigBlueButton installieren]]: BigBlueButton 4.0 mit Greenlight auf Ubuntu 24.04 Schritt für Schritt aufbauen (DNS mit IPv4 und IPv6, Firewall, Installationsskript, Prüfung, Administrator, Grenzen bei IPv6), mit Beispielwerten zum Nachbauen.
*Animation [https://xinux.org/geschichte-unix-linux.html Linux Grundlagen: Geschichte von Unix und Linux]: von Multics und der Geburt von Unix über C, den Zerfall in viele Varianten, GNU und den Linux-Kernel bis zu Open Source, Distributionen und der Frage, wo Linux läuft.

=29.10.2026=
*Animation [https://xinux.org/datenstrom-programme.html Linux Grundlagen: Datenstrom-Programme]: die Werkzeuge wc, cut, tr, sort, grep und sed einzeln erklärt und am Ende zu einer Kette mit der Pipe verbunden.
*Animation [https://xinux.org/vim-einfuehrung.html Linux Grundlagen: vim Einführung]: die Modi von vi und vim (Kommando-, Eingabe-, Ex- und Visual-Modus), Bewegen, Bearbeiten mit dem Puffer, Speichern und Ersetzen im Exmodus und der Visual-Modus.
*Animation [https://xinux.org/benutzer-gruppen.html Linux Grundlagen: Benutzer und Gruppen]: /etc/passwd, das Passwort-Problem mit der Lösung /etc/shadow und /etc/group.
*Animation [https://xinux.org/kommandolokalisierung.html Linux Grundlagen: Kommandolokalisierung]: wie die Shell ein Kommando findet (Pfad, Hashtabelle, Alias, Funktion, Built-in, PATH), der Alias bei ls und which und type.
*Animation [https://xinux.org/pipes-umleitung.html Linux Grundlagen: Ein- und Ausgabe, Pipes]: die drei Standardkanäle, Umleiten mit <, > und >>, Fehlerkanal getrennt oder zusammengelegt, und die Pipe.
*Animation [https://xinux.org/prozesse.html Linux Grundlagen: Prozesse]: Programm und Prozess, Eltern und Kinder (pstree), fork und exec, Signale mit kill und die Rechte des Prozesses.
*Animation [https://xinux.org/inodes-links.html Linux Grundlagen: INodes und Links]: Name, Inode und Inhalt, was im Inode steht, zwei Namen für dieselbe Datei (Hardlink und Link Count), was rm tut und die Grenzen des Hardlinks bis zum Softlink.
*Animation [https://xinux.org/dateiarten.html Linux Grundlagen: Dateiarten]: das erste Zeichen von ls -l, normale Datei und Verzeichnis, Block- und Character-Devices mit Major und Minor, Named Pipe, Socket und Softlink, jeweils mit dem Beispiel aus dem Terminal.
*Animation [https://xinux.org/berechtigungen.html Linux Grundlagen: Berechtigungen]: das Rechtefeld mit 4, 2 und 1, chmod oktal und symbolisch, r, w und x bei Dateien und bei Verzeichnissen, die Prüfreihenfolge, umask, das User-SBIT am Beispiel von passwd und /etc/shadow, das Gruppen-SBIT im Projektordner und das Sticky-Bit in /tmp.

=28.10.2026=
*Animation [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach]): neu im aktuellen Stil, mit dem Konzept (TLS-Terminierung, Layer 7, passiv oder aktiv), normaler Anfrage, SQL-Injection, dem Aufbau mit SPOE und der Härtung mit firewalld und SELinux
*Animationen zu OpenVPN, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/openvpn.html OpenVPN mit Benutzeranmeldung (Linux)] ([https://xinux.org/openvpn-einfach.html einfach]): Verbindungsaufbau mit Zertifikat und PAM-Anmeldung, Server-Konfiguration, Start und Roadwarrior-Client
**[https://xinux.org/opnsense-openvpn.html OpenVPN auf der OPNsense] ([https://xinux.org/opnsense-openvpn-einfach.html einfach]): Anmeldung gegen das Active Directory, CA und Server-Zertifikat, Static Key, Instanz, Regeln und Client-Export
*Animation [https://xinux.org/opnsense-multiwan.html OPNsense Multi-WAN: zwei Provider] ([https://xinux.org/opnsense-multiwan-einfach.html einfach]): zwei Leitungen, Gateways und Monitor-IPs, Gatewaygruppe (Failover und Lastverteilung), Policy Routing und der klassische Regelfehler, NAT, DNS, Ausfall und Tests
*Animation [https://xinux.org/suricata-regeln.html Suricata-Regeln lesen und schreiben] ([https://xinux.org/suricata-regeln-einfach.html einfach]): Suricata inline am Interface der OPNsense, eine Regel lesen (Aktion, Header, Optionen), alert oder drop, eigene Regeln einbinden und die Beispielregeln mit ihren Tests
*Animation [https://xinux.org/apt-xz.html APT und der xz-Angriff] ([https://xinux.org/apt-xz-einfach.html einfach]): erst was einen Advanced Persistent Threat ausmacht, dann der echte Fall der Hintertür in xz/liblzma mit Vorgeschichte 2005 bis 2024, Technik, Entdeckung und Lehren
*Animation [https://xinux.org/grub2-boot.html GRUB2 Bootvorgang] ([https://xinux.org/grub2-boot-einfach.html einfach]): neu im aktuellen Stil, drei Wege (post-MBR gap, BIOS Boot Partition mit GPT, UEFI mit Shim), farbige Pfeile von der Firmware bis systemd, die initrd mountet das Root-Dateisystem
*Animationen zu Firewall und Angriffen, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/xss.html Cross-Site-Scripting (XSS)] ([https://xinux.org/xss-einfach.html einfach]): das Prinzip, reflektiertes, gespeichertes und DOM-basiertes XSS im Vergleich, ein einfacher Filter und seine Umgehung, Schutz durch Zeichenreferenzen
**[https://xinux.org/opnsense-ha.html OPNsense Hochverfügbarkeit] ([https://xinux.org/opnsense-ha-einfach.html einfach]): CARP, Failover, pfsync für die Zustände, XMLRPC für die Konfiguration, Aufbau, Test, KEA HA für DHCP im Cluster und Fehlersuche (28.10. ergänzt)
**[https://xinux.org/opnsense-bridge-firewall.html Layer-2-Firewall: die Filterbrücke] ([https://xinux.org/opnsense-bridge-firewall-einfach.html einfach]): Firewall im Kabel ohne neue Adressen, Tunables, Bridge, Regeln in zwei Stufen, IDS/IPS auf der Brücke
**[https://xinux.org/opnsense-ad-login.html OPNsense: Anmeldung mit dem Active Directory] ([https://xinux.org/opnsense-ad-login-einfach.html einfach]): LDAPS, Dienstkonto, memberOf-Gruppe, lokale Gruppe mit Rechten, Test und Notzugang
*Animation [https://xinux.org/wireguard.html WireGuard] ([https://xinux.org/wireguard-einfach.html einfach]): Tunnel als Netzwerk-Interface, Schlüsselpaar pro Gerät, AllowedIPs als Routing und Filter, Handshake, Keepalive hinter NAT, Einrichtung auf der OPNsense in fünf Schritten und Fehlerbilder
*Animation [https://xinux.org/logikgatter-cmos.html Logikgatter auf dem Chip (CMOS)]: wie Gatter aus Transistoren gebaut sind (PMOS oben, NMOS unten), NOT, NAND und NOR als Grundgatter, AND, OR, XOR als Makros, Komplexgatter, Transistoren zählen, selbst ausprobieren; Fortsetzung zur Animation [https://xinux.org/logikgatter.html Logikgatter]

=26.10.2026=
*Animationen zu TLS und Zertifikaten, neu aufgebaut und jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/tls-1.2-handshake.html TLS 1.2 Handshake] ([https://xinux.org/tls-1.2-handshake-einfach.html einfach]): Nachricht für Nachricht, mit der Sicht eines Mitlesers, Cipher Suite, Schlüsselableitung, Forward Secrecy, Tickets und Härtung
**[https://xinux.org/tls-1.3-handshake.html TLS 1.3 Handshake] ([https://xinux.org/tls-1.3-handshake-einfach.html einfach]): ein Umlauf, Schlüsseltreppe, verschlüsselter Server-Flug, 0-RTT, KeyUpdate und hybrider Schlüsselaustausch gegen Quantencomputer
**[https://xinux.org/zertifikat.html PKI: Zertifikate] ([https://xinux.org/zertifikat-einfach.html einfach, ohne Widerruf]): CA und Trust Store, Antrag und Signatur, Kette, Aufbau einer Hierarchie aus Root und Zwischen-CA, die Prüfung im Client, Widerruf mit CRL und OCSP, Widerruf in der Kette bis zur kompromittierten Zwischen-CA, kurze Laufzeiten, ACME und Certificate Transparency
*[[Proxmox Backup Server Wartung]]: Prüfen und Aufräumen mit Verify-, Prune- und Garbage-Collection-Job, in der richtigen Reihenfolge, mit Weboberfläche und Kommandozeile, Stolperfallen und Aufgaben
*Animationen zu Proxys, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/transparenter-proxy.html Transparenter Proxy mit SSL-Bump] ([https://xinux.org/transparenter-proxy-einfach.html einfach]): Umleitung per Firewall-Markierung und nftables, Squid mit intercept, HTTPS aufbrechen mit eigener CA, Virenprüfung über ICAP und ClamAV, Fehlerbilder
**[https://xinux.org/proxy.html Proxy-Konzepte] ([https://xinux.org/proxy-einfach.html einfach]): neu aufgebaut, Forward, Reverse, Application und Circuit Level Proxy Schritt für Schritt, SSL-Bump mit EICAR-Test und Vergleich der Arten
*Animation [https://xinux.org/opnsense-ipsec-site2site.html OPNsense Site-to-Site IPsec] ([https://xinux.org/opnsense-ipsec-site2site-einfach.html einfach]): erst alle Werte in einem Planungsblatt ausfüllen und als CSV speichern (auch mit mehreren Netzen je Standort), dann Seite für Seite in OPNsense eintragen: Pre-Shared Key, Connection, Authentifizierung, Children, Firewall-Regeln, Status und Fehlersuche

=25.10.2026=
*[[Ifupdown2 in der Praxis]]: Installation, die wichtigsten Befehle (<code>ifreload</code>, <code>ifquery --check</code>) und ein echter Praxisfall mit Proxmox-SDN (nicht deklarierte Adresse auf einer VLAN-Bridge aufgespürt und sauber nachgetragen)

=22.10.2026=
*[[Kernel kompilieren Vorgang Debian]]: Animation [https://xinux.org/kernel-kompilieren.html Kernel kompilieren] (Quellcode, alte Konfiguration, Zertifikats- und Debug-Falle, menuconfig, make -j, Installieren, Neustart, Aufräumen) und eine [https://xinux.org/kernel-kompilieren-einfach.html einfache Version]
*[[Letsencrypt DNS Verification RFC2136]]: DNS-Challenge mit dem Certbot-Plugin und eigenem BIND (TSIG-Schlüssel, <code>update-policy</code>, Erneuerung per Timer), als Ergänzung zum Weg mit Hook-Skript
*[[Xfs]]: Animation [https://xinux.org/xfs-praxis.html XFS in der Praxis] – Allocation Groups bauen jetzt in zwei Schritten auf (erst vier gleiche Bereiche, dann das Innenleben)

=21.10.2026=
;Kursstruktur Cyber Security
*[[Cybersec1 Struktur]] und [[Cybersec2 Struktur]]: je eine Woche, in Blöcken mit Ziel, Theorie und Praxis, dazu die Abdeckung aller Lernziele ([[Cyber Security Gesamtstruktur|Übersicht]])
*[[Firewalls und Virtualisierung]]: Firewall als VM, Bridges und VLANs, Ost-West-Verkehr, Proxmox-Firewall, Risiken bei geteiltem Host
;Angriffsvektoren, aufgeräumt mit Theorie → Praxis
*[[Schadsoftware/Malware]], [[Botnetze]], [[DDoS-Angriffe]]
*Animation: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS] (Infektion, C&C über Port 443, Botnetz, DDoS)
;Weiteres
*[[Docker Caddy]]: Caddy, Uptime Kuma und HedgeDoc mit Docker auf Debian, Logs so abgelegt, dass sie später überwacht werden können
*[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]]: an die Theorieseite angeglichen (Themen von Anhang A, KRITIS-Nachweis, BSI-Standard 200-4)
*Quiz: [https://xinux.org/fdisk-quiz.html fdisk und MBR] (10 Fragen, mit Erklärung zu jeder Antwort)

=20.10.2026=
*[[Modulo]]: überarbeitet mit dem Uhr-Beispiel (12-Stunden-Uhr und Bänder), Animation [https://xinux.org/modulo.html Modulo]
*Animation [https://xinux.org/logikgatter.html Logikgatter]: AND, OR, NOT, NAND, NOR, XOR und XNOR als Schaltung, Symbol und Wahrheitstabelle

=Oktober 2026, davor=
;Samba
*[[Linux - Samba]], [[Linux - Samba Lab]], [[Samba Neuerungen]]
;systemd
*[[Systemd Lernpfad]] mit den drei Stufen [[Systemd Stufe 1 Basic]], [[Systemd Stufe 2 Fortgeschritten]], [[Systemd Stufe 3 Security]] und Bausteinen, z. B. [[Systemd Baustein Mounts]] und [[Systemd Baustein Netzwerk]]

OPNsense Regeln

2026-10-31T08:27:38Z

Thomas.will@claude: Filtern genauer erklärt: Feld/Methode/[+], UND/ODER, nur erstes Paket je Zustand

= OPNsense Regeln – Reihenfolge, Floating und Fehlerbilder =

* Animation: [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen] ([https://xinux.org/opnsense-regeln-einfach.html einfach]), mit Reihenfolge, Floating vs. Interface, Default-Regeln, Log/Hits und Fehlerbildern

== Grundprinzip ==

* Jedes Interface (LAN, WAN, OPT1, …) hat einen eigenen Reiter unter Firewall → Rules
* Eine Regel gilt für Verkehr, der an genau diesem Interface ankommt
* Regeln werden von oben nach unten geprüft
* Die erste passende Regel entscheidet, danach wird nicht weiter geprüft (intern „quick“)

== Aktionen ==

* Pass – lässt das Paket durch
* Block – verwirft ohne Antwort
* Reject – verwirft mit Antwort (TCP: RST, ICMP: unreachable)

== Der Klassiker: falsche Reihenfolge ==

* Beispiel: eine Block-Regel für einen einzelnen PC steht unter der breiten „Default allow LAN to any“-Regel
* Die breite Regel passt zuerst → Pass → Stopp
* Die Block-Regel darunter wird nie erreicht (Hits bleibt bei 0)
* Lösung: spezifische Regeln vor allgemeine Regeln stellen

== Floating Rules vs. Interface-Regeln ==

* Interface-Regeln: gelten nur für ein Interface, immer „quick“
* Floating Rules: gelten für mehrere Interfaces/Richtungen gleichzeitig
* Floating Rules zeigen die quick-Checkbox:
** angehakt → erste passende Regel gewinnt
** abgewählt → letzte passende Regel gewinnt (klassisches pf-Verhalten)
* Verarbeitungsreihenfolge: zuerst Floating Rules mit quick, danach die Regeln des passenden Interface-Reiters

== Was von Anfang an da ist ==

* Anti-Lockout-Regel: unsichtbare automatische Regel, erlaubt Zugriff auf GUI/SSH am LAN-Interface (System → Settings → Administration zum Abschalten)
* Default allow LAN to any: wird beim Ersteinrichten angelegt, für den Produktivbetrieb meist zu großzügig
* WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung

== Fehlersuche: Live Log, Filter, Analyse ==

* Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View (standardmäßig aus, sonst bei viel Verkehr schnell unübersichtlich)
* Jede Zeile der Live View zeigt: Zeit, Interface, Richtung (in/out), Aktion, Quelle:Port, Ziel:Port und die Regel (Label), die gegriffen hat
* Filtern: oben links eine Bedingung bauen aus Feld (z. B. Label, Quelle, Ziel – ''host'' und ''port'' treffen dabei Quelle UND Ziel), Methode (''contains'', ''is'', ''is not'', ''does not contain'') und Wert, mit dem Button '''[+]''' zur Ansicht hinzufügen
* Mehrere Bedingungen kombinierbar: Voreinstellung UND (alle müssen zutreffen), umschaltbar auf ODER (z. B. mehrere Hosts gleichzeitig im Blick behalten)
* Wichtig: die Live View zeigt nur Verkehr, der gegen eine Regel MIT Log-Häkchen lief, und bei einer neuen Verbindung nur das erste Paket, das den Zustand anlegt – nicht jedes einzelne Paket. Für jedes Paket: Interfaces → Diagnostics → Packet Capture
* Analyse: die Spalte „Regel“ zeigt, WELCHE Regel wirklich getroffen hat – im Beispiel von oben steht beim nicht gesperrten PC „Pass / allow (Default allow LAN to any)“ statt „Block“, das bestätigt sofort die Diagnose aus dem Abschnitt „Der Klassiker“
* Nach dem Korrigieren der Reihenfolge zeigt dieselbe Verbindung „Block / block (eigene Regel)“ – das Log bestätigt live, dass die Korrektur wirkt
* Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird
* Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)

== Fehlerbilder ==

* Regel wirkt nicht, keine Fehlermeldung → allgemeinere Regel greift zuerst → spezifische Regel nach oben, Hits prüfen
* Pass-Regel wirkt gar nicht → falscher Interface-Reiter → Richtung/Interface prüfen
* Management-Zugriff plötzlich weg → Anti-Lockout deaktiviert, eigene Regel fehlerhaft → über die Konsole wieder herein
* Floating-Regel verhält sich unerwartet → quick abgewählt → quick anhaken
* Testlabor mit privaten Adressen am WAN ohne Verkehr → Block private networks/Bogon aktiv → gezielt abschalten

== Links ==

* [https://docs.opnsense.org/manual/firewall.html offizielle OPNsense-Dokumentation: Firewall]

[[Kategorie:OPNsense]]

Cyber Security I.

2026-10-31T08:23:55Z

Thomas.will@claude: OPNsense Regeln + NAT in die Kapitelliste aufgenommen

=Grundlegendes=
*[[Thomas Will]]
*[[Cybersec1 Struktur]]
= Aktueller Kurs: Etherpad =
*'''URL:''' https://etherpad.xinux.net/p/8420
* '''User:''' kit01 bis kit12
* '''Pass:''' 123Start$

*[[Zeiten I.]]
*[[Zeiten II.]]
*[[Cyber Security I. - Was wollen wir praktisch tun]]
*[[Cyber Security I. Netzplan]]
*[[Cyber Security I. Punkte]]

=Gängige Angriffsvektoren=
*[[Schadsoftware/Malware]]
*[[Botnetze]]
*[[DDoS-Angriffe]]
*[[Backdoor]]
*[[Advanced Persistent Threats (APTs)]]
*[[Cross-Site-Skripting (XSS), SQL Einschleusung, Cookie-Poisonning]] (11)

=Firewalls und IDS/IPS=
*[[IDS/IPS]]
*[[Statische Paketfilter und Zugriffslisten]]
*[[Dynamische Paketfilter und stateful Firewalls]]
*[[Client-Firewalls]]
*[[Proxies|Generic Proxies und Application Layer Gateways]]
*[[Authentifizierung an der Firewall, AD Integration]]
*[[Zertifikate und Kryptografische Protokolle (SSH, SSL, IPSec)]]
*[[Application Firewalls – passiv vs aktiv]] und Sonderform [[WAF]]
*[[Hochverfügbarkeit und Lastenverteilung - Netzwerk und Firewall]]
*[[Firewalls und Virtualisierung]]
*[[Layer-2 Firewalls]]
*[[Transparente Firewalls]]
*[[Firewalls und IPv6]]
*[[IPS Technologien (HIPS, NIPS, PIPS)]]
*[[Firewall Topologien|DMZ Konzepte]]

=Workshop OPNsense Cyber Security=
= Kapitel =
*[[OPNsense Allgemein]]
*[[OPNsense Specs]]
*[[OPNsense Installation]]
*[[OPNsense Grundkonfiguration]]
*[[OPNsense Regeln]]
*[[OPNsense NAT]]

*[[OPNsense Import der Maschinen]]
*[[OPNsense Netz Scan]]
*[[OPNsense Active Directory MemberOf]]
*[[OPNsense site2site IPSEC mit Bildern]]
*[[OPNsense site2site IPSEC]]
*[[OPNsense Route based (VTI) PSK setup]]
*[[OPNsense Wireguard]]
*[[OPNsense OpenVPN]]
*[[OPNsense HAProxy]]
*[[OPNsense HAProxy Einrichtung]]
*[[OPNsense Suricata]]
*[[OPNsense Logging]]
*[[OPNsense Transparenter Proxy]]
*[[OPNsense 2 Provider]]
*[[OPNsense Konsole]]
*[[OPNsense Squid ClamAV]]
*[[OPNsense HA KIT]]
*[[OPNsense IPv6]]
*[[OPNsense Layer 2 Firewall]]
*[[OPNsense Cyber Security Weiteres]]
*[[OPNsense SNMP]]
[[Kategorie:OPNsense]]

=WAF=
*[[SELinux Einfach erklärt]]
*[[WAF]]
*[https://labs.xinux.net/waf-haproxy-coraza.html waf-haproxy-coraza]
*[[WAF mit HAProxy und Coraza Rocky Cybersec]]

= Verwandte Themen =
* [[FreeBSD Cheatsheet]]
*[[Beispiel Aufgaben]]

= Links =
* [https://docs.opnsense.org/ offizielle OPNsense Dokumentation].


=Misc=
*[[Cybersecurity Acronyms and Meanings]]
*[[Microsoft Zertifizierungsstelle]]
[[Kategorie:Cybersecurity]]

OPNsense Regeln

2026-10-31T08:23:31Z

Thomas.will@claude: Live Log, Filter und Analyse ergänzt

= OPNsense Regeln – Reihenfolge, Floating und Fehlerbilder =

* Animation: [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen] ([https://xinux.org/opnsense-regeln-einfach.html einfach]), mit Reihenfolge, Floating vs. Interface, Default-Regeln, Log/Hits und Fehlerbildern

== Grundprinzip ==

* Jedes Interface (LAN, WAN, OPT1, …) hat einen eigenen Reiter unter Firewall → Rules
* Eine Regel gilt für Verkehr, der an genau diesem Interface ankommt
* Regeln werden von oben nach unten geprüft
* Die erste passende Regel entscheidet, danach wird nicht weiter geprüft (intern „quick“)

== Aktionen ==

* Pass – lässt das Paket durch
* Block – verwirft ohne Antwort
* Reject – verwirft mit Antwort (TCP: RST, ICMP: unreachable)

== Der Klassiker: falsche Reihenfolge ==

* Beispiel: eine Block-Regel für einen einzelnen PC steht unter der breiten „Default allow LAN to any“-Regel
* Die breite Regel passt zuerst → Pass → Stopp
* Die Block-Regel darunter wird nie erreicht (Hits bleibt bei 0)
* Lösung: spezifische Regeln vor allgemeine Regeln stellen

== Floating Rules vs. Interface-Regeln ==

* Interface-Regeln: gelten nur für ein Interface, immer „quick“
* Floating Rules: gelten für mehrere Interfaces/Richtungen gleichzeitig
* Floating Rules zeigen die quick-Checkbox:
** angehakt → erste passende Regel gewinnt
** abgewählt → letzte passende Regel gewinnt (klassisches pf-Verhalten)
* Verarbeitungsreihenfolge: zuerst Floating Rules mit quick, danach die Regeln des passenden Interface-Reiters

== Was von Anfang an da ist ==

* Anti-Lockout-Regel: unsichtbare automatische Regel, erlaubt Zugriff auf GUI/SSH am LAN-Interface (System → Settings → Administration zum Abschalten)
* Default allow LAN to any: wird beim Ersteinrichten angelegt, für den Produktivbetrieb meist zu großzügig
* WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung

== Fehlersuche: Live Log, Filter, Analyse ==

* Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View (standardmäßig aus, sonst bei viel Verkehr schnell unübersichtlich)
* Jede Zeile der Live View zeigt: Zeit, Interface, Richtung (in/out), Aktion, Quelle:Port, Ziel:Port und die Regel (Label), die gegriffen hat
* Filtern: nach jedem dieser Felder möglich, auch kombiniert – Interface, Richtung, IP-Version, Protokoll, Quelle, Ziel, Aktion
* Analyse: die Spalte „Regel“ zeigt, WELCHE Regel wirklich getroffen hat – im Beispiel von oben steht beim nicht gesperrten PC „Pass / allow (Default allow LAN to any)“ statt „Block“, das bestätigt sofort die Diagnose aus dem Abschnitt „Der Klassiker“
* Nach dem Korrigieren der Reihenfolge zeigt dieselbe Verbindung „Block / block (eigene Regel)“ – das Log bestätigt live, dass die Korrektur wirkt
* Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird
* Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)

== Fehlerbilder ==

* Regel wirkt nicht, keine Fehlermeldung → allgemeinere Regel greift zuerst → spezifische Regel nach oben, Hits prüfen
* Pass-Regel wirkt gar nicht → falscher Interface-Reiter → Richtung/Interface prüfen
* Management-Zugriff plötzlich weg → Anti-Lockout deaktiviert, eigene Regel fehlerhaft → über die Konsole wieder herein
* Floating-Regel verhält sich unerwartet → quick abgewählt → quick anhaken
* Testlabor mit privaten Adressen am WAN ohne Verkehr → Block private networks/Bogon aktiv → gezielt abschalten

== Links ==

* [https://docs.opnsense.org/manual/firewall.html offizielle OPNsense-Dokumentation: Firewall]

[[Kategorie:OPNsense]]

Neues von Claude

2026-10-31T08:17:07Z

Thomas.will@claude: OPNsense Regeln + NAT ergänzt

Diese Seite sammelt Seiten, Animationen und Quizze, die mit Unterstützung von '''Claude''' (KI-Assistent von Anthropic) entstanden oder überarbeitet wurden. Neueste zuerst. Wie bei jeder Quelle gilt: Inhalte bitte prüfen, Fehler werden laufend korrigiert.

=31.10.2026=
*Animation [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen]: Reihenfolge von oben nach unten, erste passende Regel gewinnt, Floating vs. Interface-Regeln, Anti-Lockout und Default-Regeln, der Klassiker „zu allgemeine Regel blockiert die speziellere“, Log und Hits, Fehlerbilder. Dazu die Seite [[OPNsense Regeln]].
*Animation [https://xinux.org/opnsense-nat.html OPNsense NAT richtig verstehen]: Outbound NAT (Automatic/Hybrid/Manual), Port Forward mit automatischer Firewall-Regel, NAT Reflection und Split DNS, 1:1 NAT, Reihenfolge NAT vs. Filter je Richtung, Fehlerbilder. Seite [[OPNsense NAT]] inhaltlich ergänzt (vorher nur ein kurzer Binat-Hinweis).

=30.10.2026=
*Seite [[BigBlueButton installieren]]: BigBlueButton 4.0 mit Greenlight auf Ubuntu 24.04 Schritt für Schritt aufbauen (DNS mit IPv4 und IPv6, Firewall, Installationsskript, Prüfung, Administrator, Grenzen bei IPv6), mit Beispielwerten zum Nachbauen.
*Animation [https://xinux.org/geschichte-unix-linux.html Linux Grundlagen: Geschichte von Unix und Linux]: von Multics und der Geburt von Unix über C, den Zerfall in viele Varianten, GNU und den Linux-Kernel bis zu Open Source, Distributionen und der Frage, wo Linux läuft.

=29.10.2026=
*Animation [https://xinux.org/datenstrom-programme.html Linux Grundlagen: Datenstrom-Programme]: die Werkzeuge wc, cut, tr, sort, grep und sed einzeln erklärt und am Ende zu einer Kette mit der Pipe verbunden.
*Animation [https://xinux.org/vim-einfuehrung.html Linux Grundlagen: vim Einführung]: die Modi von vi und vim (Kommando-, Eingabe-, Ex- und Visual-Modus), Bewegen, Bearbeiten mit dem Puffer, Speichern und Ersetzen im Exmodus und der Visual-Modus.
*Animation [https://xinux.org/benutzer-gruppen.html Linux Grundlagen: Benutzer und Gruppen]: /etc/passwd, das Passwort-Problem mit der Lösung /etc/shadow und /etc/group.
*Animation [https://xinux.org/kommandolokalisierung.html Linux Grundlagen: Kommandolokalisierung]: wie die Shell ein Kommando findet (Pfad, Hashtabelle, Alias, Funktion, Built-in, PATH), der Alias bei ls und which und type.
*Animation [https://xinux.org/pipes-umleitung.html Linux Grundlagen: Ein- und Ausgabe, Pipes]: die drei Standardkanäle, Umleiten mit <, > und >>, Fehlerkanal getrennt oder zusammengelegt, und die Pipe.
*Animation [https://xinux.org/prozesse.html Linux Grundlagen: Prozesse]: Programm und Prozess, Eltern und Kinder (pstree), fork und exec, Signale mit kill und die Rechte des Prozesses.
*Animation [https://xinux.org/inodes-links.html Linux Grundlagen: INodes und Links]: Name, Inode und Inhalt, was im Inode steht, zwei Namen für dieselbe Datei (Hardlink und Link Count), was rm tut und die Grenzen des Hardlinks bis zum Softlink.
*Animation [https://xinux.org/dateiarten.html Linux Grundlagen: Dateiarten]: das erste Zeichen von ls -l, normale Datei und Verzeichnis, Block- und Character-Devices mit Major und Minor, Named Pipe, Socket und Softlink, jeweils mit dem Beispiel aus dem Terminal.
*Animation [https://xinux.org/berechtigungen.html Linux Grundlagen: Berechtigungen]: das Rechtefeld mit 4, 2 und 1, chmod oktal und symbolisch, r, w und x bei Dateien und bei Verzeichnissen, die Prüfreihenfolge, umask, das User-SBIT am Beispiel von passwd und /etc/shadow, das Gruppen-SBIT im Projektordner und das Sticky-Bit in /tmp.

=28.10.2026=
*Animation [https://xinux.org/waf-haproxy-coraza.html WAF: HAProxy mit Coraza] ([https://xinux.org/waf-haproxy-coraza-einfach.html einfach]): neu im aktuellen Stil, mit dem Konzept (TLS-Terminierung, Layer 7, passiv oder aktiv), normaler Anfrage, SQL-Injection, dem Aufbau mit SPOE und der Härtung mit firewalld und SELinux
*Animationen zu OpenVPN, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/openvpn.html OpenVPN mit Benutzeranmeldung (Linux)] ([https://xinux.org/openvpn-einfach.html einfach]): Verbindungsaufbau mit Zertifikat und PAM-Anmeldung, Server-Konfiguration, Start und Roadwarrior-Client
**[https://xinux.org/opnsense-openvpn.html OpenVPN auf der OPNsense] ([https://xinux.org/opnsense-openvpn-einfach.html einfach]): Anmeldung gegen das Active Directory, CA und Server-Zertifikat, Static Key, Instanz, Regeln und Client-Export
*Animation [https://xinux.org/opnsense-multiwan.html OPNsense Multi-WAN: zwei Provider] ([https://xinux.org/opnsense-multiwan-einfach.html einfach]): zwei Leitungen, Gateways und Monitor-IPs, Gatewaygruppe (Failover und Lastverteilung), Policy Routing und der klassische Regelfehler, NAT, DNS, Ausfall und Tests
*Animation [https://xinux.org/suricata-regeln.html Suricata-Regeln lesen und schreiben] ([https://xinux.org/suricata-regeln-einfach.html einfach]): Suricata inline am Interface der OPNsense, eine Regel lesen (Aktion, Header, Optionen), alert oder drop, eigene Regeln einbinden und die Beispielregeln mit ihren Tests
*Animation [https://xinux.org/apt-xz.html APT und der xz-Angriff] ([https://xinux.org/apt-xz-einfach.html einfach]): erst was einen Advanced Persistent Threat ausmacht, dann der echte Fall der Hintertür in xz/liblzma mit Vorgeschichte 2005 bis 2024, Technik, Entdeckung und Lehren
*Animation [https://xinux.org/grub2-boot.html GRUB2 Bootvorgang] ([https://xinux.org/grub2-boot-einfach.html einfach]): neu im aktuellen Stil, drei Wege (post-MBR gap, BIOS Boot Partition mit GPT, UEFI mit Shim), farbige Pfeile von der Firmware bis systemd, die initrd mountet das Root-Dateisystem
*Animationen zu Firewall und Angriffen, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/xss.html Cross-Site-Scripting (XSS)] ([https://xinux.org/xss-einfach.html einfach]): das Prinzip, reflektiertes, gespeichertes und DOM-basiertes XSS im Vergleich, ein einfacher Filter und seine Umgehung, Schutz durch Zeichenreferenzen
**[https://xinux.org/opnsense-ha.html OPNsense Hochverfügbarkeit] ([https://xinux.org/opnsense-ha-einfach.html einfach]): CARP, Failover, pfsync für die Zustände, XMLRPC für die Konfiguration, Aufbau, Test, KEA HA für DHCP im Cluster und Fehlersuche (28.10. ergänzt)
**[https://xinux.org/opnsense-bridge-firewall.html Layer-2-Firewall: die Filterbrücke] ([https://xinux.org/opnsense-bridge-firewall-einfach.html einfach]): Firewall im Kabel ohne neue Adressen, Tunables, Bridge, Regeln in zwei Stufen, IDS/IPS auf der Brücke
**[https://xinux.org/opnsense-ad-login.html OPNsense: Anmeldung mit dem Active Directory] ([https://xinux.org/opnsense-ad-login-einfach.html einfach]): LDAPS, Dienstkonto, memberOf-Gruppe, lokale Gruppe mit Rechten, Test und Notzugang
*Animation [https://xinux.org/wireguard.html WireGuard] ([https://xinux.org/wireguard-einfach.html einfach]): Tunnel als Netzwerk-Interface, Schlüsselpaar pro Gerät, AllowedIPs als Routing und Filter, Handshake, Keepalive hinter NAT, Einrichtung auf der OPNsense in fünf Schritten und Fehlerbilder
*Animation [https://xinux.org/logikgatter-cmos.html Logikgatter auf dem Chip (CMOS)]: wie Gatter aus Transistoren gebaut sind (PMOS oben, NMOS unten), NOT, NAND und NOR als Grundgatter, AND, OR, XOR als Makros, Komplexgatter, Transistoren zählen, selbst ausprobieren; Fortsetzung zur Animation [https://xinux.org/logikgatter.html Logikgatter]

=26.10.2026=
*Animationen zu TLS und Zertifikaten, neu aufgebaut und jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/tls-1.2-handshake.html TLS 1.2 Handshake] ([https://xinux.org/tls-1.2-handshake-einfach.html einfach]): Nachricht für Nachricht, mit der Sicht eines Mitlesers, Cipher Suite, Schlüsselableitung, Forward Secrecy, Tickets und Härtung
**[https://xinux.org/tls-1.3-handshake.html TLS 1.3 Handshake] ([https://xinux.org/tls-1.3-handshake-einfach.html einfach]): ein Umlauf, Schlüsseltreppe, verschlüsselter Server-Flug, 0-RTT, KeyUpdate und hybrider Schlüsselaustausch gegen Quantencomputer
**[https://xinux.org/zertifikat.html PKI: Zertifikate] ([https://xinux.org/zertifikat-einfach.html einfach, ohne Widerruf]): CA und Trust Store, Antrag und Signatur, Kette, Aufbau einer Hierarchie aus Root und Zwischen-CA, die Prüfung im Client, Widerruf mit CRL und OCSP, Widerruf in der Kette bis zur kompromittierten Zwischen-CA, kurze Laufzeiten, ACME und Certificate Transparency
*[[Proxmox Backup Server Wartung]]: Prüfen und Aufräumen mit Verify-, Prune- und Garbage-Collection-Job, in der richtigen Reihenfolge, mit Weboberfläche und Kommandozeile, Stolperfallen und Aufgaben
*Animationen zu Proxys, jeweils in einer einfachen und einer ausführlichen Fassung:
**[https://xinux.org/transparenter-proxy.html Transparenter Proxy mit SSL-Bump] ([https://xinux.org/transparenter-proxy-einfach.html einfach]): Umleitung per Firewall-Markierung und nftables, Squid mit intercept, HTTPS aufbrechen mit eigener CA, Virenprüfung über ICAP und ClamAV, Fehlerbilder
**[https://xinux.org/proxy.html Proxy-Konzepte] ([https://xinux.org/proxy-einfach.html einfach]): neu aufgebaut, Forward, Reverse, Application und Circuit Level Proxy Schritt für Schritt, SSL-Bump mit EICAR-Test und Vergleich der Arten
*Animation [https://xinux.org/opnsense-ipsec-site2site.html OPNsense Site-to-Site IPsec] ([https://xinux.org/opnsense-ipsec-site2site-einfach.html einfach]): erst alle Werte in einem Planungsblatt ausfüllen und als CSV speichern (auch mit mehreren Netzen je Standort), dann Seite für Seite in OPNsense eintragen: Pre-Shared Key, Connection, Authentifizierung, Children, Firewall-Regeln, Status und Fehlersuche

=25.10.2026=
*[[Ifupdown2 in der Praxis]]: Installation, die wichtigsten Befehle (<code>ifreload</code>, <code>ifquery --check</code>) und ein echter Praxisfall mit Proxmox-SDN (nicht deklarierte Adresse auf einer VLAN-Bridge aufgespürt und sauber nachgetragen)

=22.10.2026=
*[[Kernel kompilieren Vorgang Debian]]: Animation [https://xinux.org/kernel-kompilieren.html Kernel kompilieren] (Quellcode, alte Konfiguration, Zertifikats- und Debug-Falle, menuconfig, make -j, Installieren, Neustart, Aufräumen) und eine [https://xinux.org/kernel-kompilieren-einfach.html einfache Version]
*[[Letsencrypt DNS Verification RFC2136]]: DNS-Challenge mit dem Certbot-Plugin und eigenem BIND (TSIG-Schlüssel, <code>update-policy</code>, Erneuerung per Timer), als Ergänzung zum Weg mit Hook-Skript
*[[Xfs]]: Animation [https://xinux.org/xfs-praxis.html XFS in der Praxis] – Allocation Groups bauen jetzt in zwei Schritten auf (erst vier gleiche Bereiche, dann das Innenleben)

=21.10.2026=
;Kursstruktur Cyber Security
*[[Cybersec1 Struktur]] und [[Cybersec2 Struktur]]: je eine Woche, in Blöcken mit Ziel, Theorie und Praxis, dazu die Abdeckung aller Lernziele ([[Cyber Security Gesamtstruktur|Übersicht]])
*[[Firewalls und Virtualisierung]]: Firewall als VM, Bridges und VLANs, Ost-West-Verkehr, Proxmox-Firewall, Risiken bei geteiltem Host
;Angriffsvektoren, aufgeräumt mit Theorie → Praxis
*[[Schadsoftware/Malware]], [[Botnetze]], [[DDoS-Angriffe]]
*Animation: [https://xinux.org/botnet-ddos.html Vom Bot zum DDoS] (Infektion, C&C über Port 443, Botnetz, DDoS)
;Weiteres
*[[Docker Caddy]]: Caddy, Uptime Kuma und HedgeDoc mit Docker auf Debian, Logs so abgelegt, dass sie später überwacht werden können
*[[Informationssicherheits-Managementsysteme (ISMS) Weiteres]]: an die Theorieseite angeglichen (Themen von Anhang A, KRITIS-Nachweis, BSI-Standard 200-4)
*Quiz: [https://xinux.org/fdisk-quiz.html fdisk und MBR] (10 Fragen, mit Erklärung zu jeder Antwort)

=20.10.2026=
*[[Modulo]]: überarbeitet mit dem Uhr-Beispiel (12-Stunden-Uhr und Bänder), Animation [https://xinux.org/modulo.html Modulo]
*Animation [https://xinux.org/logikgatter.html Logikgatter]: AND, OR, NOT, NAND, NOR, XOR und XNOR als Schaltung, Symbol und Wahrheitstabelle

=Oktober 2026, davor=
;Samba
*[[Linux - Samba]], [[Linux - Samba Lab]], [[Samba Neuerungen]]
;systemd
*[[Systemd Lernpfad]] mit den drei Stufen [[Systemd Stufe 1 Basic]], [[Systemd Stufe 2 Fortgeschritten]], [[Systemd Stufe 3 Security]] und Bausteinen, z. B. [[Systemd Baustein Mounts]] und [[Systemd Baustein Netzwerk]]

OPNsense NAT

2026-10-31T08:16:23Z

Thomas.will@claude: Inhalt ergänzt (vorher nur Binat-Stub) + Animation verlinkt

= OPNsense NAT =

* Animation: [https://xinux.org/opnsense-nat.html OPNsense NAT richtig verstehen] ([https://xinux.org/opnsense-nat-einfach.html einfach]), mit Outbound NAT, Port Forward, NAT Reflection, 1:1 NAT und Fehlerbildern

== Grundprinzip ==

* Private Adressen (RFC 1918) sind im Internet nicht routbar
* NAT übersetzt Adressen unterwegs und merkt sich die Zuordnung für den Rückweg

== Outbound NAT (Source NAT) ==

* Automatisch ab Werk: jeder ausgehende Verkehr wird auf die WAN-Adresse übersetzt
* Der Rückweg läuft über den Zustand (State): Port ↔ interner Client
* Firewall → NAT → Outbound, Betriebsarten:
** Automatic – Voreinstellung, Regeln für alle internen Netze automatisch
** Hybrid – automatische Regeln bleiben, eigene kommen zusätzlich dazu
** Manual – alles selbst anlegen (Vorsicht: vergessene Netze haben kein Internet mehr)
** Disable – keine Übersetzung (wenn ein vorgeschaltetes Gerät schon NAT macht)

== Port Forward (Destination NAT) ==

* Leitet Anfragen von außen auf WAN-IP:Port an einen internen Server weiter
* Firewall → NAT → Port Forward
* Erzeugt normalerweise automatisch eine passende Firewall-Regel (Filter rule association)
* Ohne diese Regel: Übersetzung greift, das Paket wird danach trotzdem verworfen

== NAT Reflection ==

* Problem: ein LAN-Client ruft die öffentliche Adresse/den Hostnamen des eigenen Servers auf
* Ohne Reflection kommt die Anfrage nicht zurück (Hairpin-Problem)
* Lösung 1: NAT Reflection aktivieren (Firewall → Settings → Advanced oder je Port Forward)
* Lösung 2 (sauberer): Split DNS – interner Name zeigt für LAN-Clients direkt auf die interne Adresse

== 1:1 NAT ==

* Bildet eine ganze öffentliche Adresse dauerhaft auf einen internen Host ab, in beide Richtungen
* Braucht trotzdem eine eigene Firewall-Regel – 1:1 NAT übersetzt nur, erlaubt nichts

== Reihenfolge: NAT vs. Filter ==

* Eingehend (Port Forward, 1:1): erst NAT, dann Filter → die Firewall-Regel muss die übersetzte (interne) Zieladresse treffen, nicht die öffentliche
* Ausgehend (Outbound NAT): erst Filter, dann NAT → die Firewall-Regel sieht noch die originale (private) Quelladresse

== Fehlerbilder ==

* Port Forward von außen erreichbar, von innen nicht → NAT Reflection fehlt → Reflection aktivieren oder Split DNS
* Port Forward kommt gar nicht an → „Filter rule association: None“ gewählt → Firewall-Regel selbst anlegen
* Nach Wechsel auf Manual: ein Netz hat kein Internet mehr → automatische Outbound-Regel fehlt → ergänzen
* Doppeltes NAT hinter einem ISP-Router/Modem → dort zusätzlich weiterleiten oder Bridge-Modus
* 1:1 NAT übersetzt, Verkehr wird trotzdem geblockt → eigene Firewall-Regel fehlt

== Binat (historisches Beispiel) ==

*Vom Provider zugeteiltes Netz
**172.16.232.0/24
*Privates DMZ Netz
**192.168.232.0/24
*WAN Interface
**em0
*pfctl Regel
**binat on em0 inet from 192.168.232.0/24 to any -> 172.16.232.0/24

[[Datei:Opnsense-nat1.png]]

[[Kategorie:OPNsense]]

OPNsense Regeln

2026-10-31T08:16:23Z

Thomas.will@claude: Neue Seite mit Animation: OPNsense-Regeln

Linux - Shell Programmierung (Bash)

2026-10-31T07:58:49Z

Thomas.will@claude: Link auf Zeiten I./II. umgestellt

=Grundlegendes=
*[[Thomas Will]]
*[[Zeiten I.]]
*[[Zeiten II.]]
=Einführung=
* [[Die Geschichte der Shells]]
* [[Unterschiede zwischen den Shells]]
* [[Skript-Aufbau und -Aufruf]]
* [[Kommentare]]
* [[Exit-Status]]
* [[Fehlerkanal, Fehlersuche]]

=Wichtige Kommandos=
* [[clear]]
* [[echo]]
* [[sleep]]
* [[expr]]
* [[bc]]

=Erweiterte Shell-Substitutionen=
* [[Variablen-Substitutionen]]
* [[Kommando-Substitutionen]]
* [[Arithmetische Substitutionen]]

=Shell-, Umgebungs- und vordefinierte Variablen=
* [[Shell-Variablen]]
* [[Umgebungsvariablen]]
* [[Vordefinierte Variablen]]

=Parameter und deren Übergabe in Shell Scripts=
* [[Positionsparameter]]
* [[Parameterübergabe an Skripte]]

=Kontrollstrukturen zur Ablaufsteuerung=
* [[Vergleiche]]
* [[Verzweigungen]]
* [[Schleifen]]
* [[Vorzeitiger Abbruch]]
=Zwischen Aufgabe=
* [[Zwischen Aufgabe Bash]]

=Kommando-Kombinationen=
* [[Kommando-Listen]]
* [[Kommando-Trenner]]
* [[Kommando-Gruppierung]]
* [[Line continuation]]

=Funktionen zur Strukturierung von Scripten=
* [[Definition und Aufruf]]
* [[Rücksprung]]
* [[Parameter-Übergabe]]
* [[Werte-Rückgabe]]
* [[Source-Operator]]

=Signalbehandlung=
* [[Signalbehandlung]]

=Hintergrund-/Kind-Prozesse=
* [[Hintergrundprozesse]]

=Here-Documents=
* [[Here-Documents]]

=Prozess- und Job-Management=
* [[Prozessmanagement]]
* [[Job-Management]]

=Einfache Datenmanipulation mit Sed=
* [[Sed Grundlagen]]
* [[Sed Beispiele]]

=Komplexe Datenmanipulation und Bearbeitung mit Awk=
* [[Awk Grundlagen]]
* [[Awk Beispiele]]

=Integration von Sed, Awk und Shell Scripting=
* [[Integration von Sed, Awk und Shell Scripting]]

=Übungen und Beispielprogramme=
* [[Übungen]]
* [[Beispielprogramme]]

=Zeitgesteuertes Ausführen von Skripten mit at und cron=
* [[at vs. cron]]
* [[at]]
* [[cron]]
=Aufgaben=
*[[Aufgaben Linux - Shell Programmierung (Bash)]]
=Skripte=
*[[Compliance Skripte]]

Grundlegende Sicherheitsaspekte in IP-Netzen

2026-10-31T07:58:49Z

Thomas.will@claude: Link auf Zeiten I./II. umgestellt

=Grundlegendes=
*[[Thomas Will]]
*[[Zeiten I.]]
*[[Zeiten II.]]

*[[Angriffsmethoden]]
*[[Plan Grundlegende Sicherheitsaspekte in IP-Netzen]]
*[[Symmetrische / Asymmetrische Kryptografie]]
*[[Kryptografische Protokolle - SSH, SSL, IPSec]]
*[[Authentisierung und digitale Zertifikate]]
*[[Angriffsmöglichkeiten und Abwehrtechniken]]
*[[Virenarten, Spyware]]
*[[Leistungsmerkmale einer professionellen Firewall-Lösung]]
*[[Sicherheitsrisiken]]
*[[Zugangssicherungen in modernen Netzwerken]]
*[[Praktische Windows-Demos zu Sicherheitsaspekten]]

Linux - Erweiterte Netzwerk- und Serveradministration für Fortgeschrittene

2026-10-31T07:58:48Z

Thomas.will@claude: Link auf Zeiten I./II. umgestellt

=Der Plan=
*[[Thomas Will]]
*[[Zeiten I.]]
*[[Zeiten II.]]
*[[Linux - Erweiterte Netzwerk- und Serveradministration für Fortgeschrittene Punkte]]
*[[Linux - Erweiterte Netzwerk- und Serveradministration für Fortgeschrittene Plan|Plan]]
*[[Der rote Faden - Linux - Erweiterte Netzwerk- und Serveradministration für Fortgeschrittene]]

=Templates=
*[[Debian Template]]
*[[Grafische Client als Debian Template]]
*[[Rocky Template]]

=Firewall=
*[[firwall 5105]]

=Verschlüsselung=
*[[Verschlüsselung]]

=DNS Konzept=
*[[DNSSEC]]
*[[Pseudo top level domain Basics]]
*[[Pseudo top level domain von Basics zu DNSSEC]]
*[[Linux - Netzwerk und Serveradminstration DNS|Pseudo second level domain Basics]]
*[[Pseudo second level domain von Basics zu DNSEC]]

*[[Vetrauenskette bei DNSSEC im LAB]]
*[[Vetrauenskette bei DNSSEC]]

=DHCP=
*[[kea-dhcp-5105|kea-dhcp]]
=Client=
*[[client-5105|client]]
=CA=
*[https://hedgedoc.xinux.net/p/izbJ-45Dc#/ TLS Vortrag]
*[[PKI-Lab mit Root-CA und Teilnehmer-CA]]
*[[Apache2 TLS]]

*[[Zertifikat erstellen 5105|Zertifikat erstellen]]

=Mailserver, Mail Transfer Agents und Mailgateways=
*[[Überblick MTAs (Exim, Postfix, Sendmail)]]
*[[Konfiguration MTA und Email-Versand]]
*[[Grundlagen Email (SMTP, POP3, IMAP, MIME, etc.)]]
*[[Überblick und Konfiguration Sendmail, Postfix, Dovecot]]
*[[Inhaltsfilterung und Virenschutz]]
*[[Spam Erkennung und spamassassin oder rspamd]]

=Webserver Apache und Webproxy Squid=
*[[Web Development Acronyms: A Convenient Reference List]]
*[[Apache – Konfiguration und Betrieb]]
*[[HTTPS (SSL) aktivieren]]
*[[dynamische Webseiten mit PHP und MySQL]]
*[[Squid-Kit]]

=Datenbankserver MySQL / MariaDB=
*[[SQL]]
*[[Vergleich MySQL / MariaDB]]
*[[Konfiguration und Betrieb]]
*[[Verwalten von MySQL/MariaDB per client]]

=CA=
*[[Nginx]]
*[[Normaler Proxy vs. Reverse Proxy]]
*[[Webproxy mit nginx für HTTP und X.509 Zertifikate]]
*[[CA Implementieren mit easyRSA Server und Clientzertifikate HTTPS]]
*[[Mininaler HTTPS Webserver]]

=Serverressourcen verwalten=
*[[Monitoring und Diagnose (CPU, RAM, etc)]]
=Log-Dateien und logrotate=
*[[Konfiguration von logrotate]]
*[[Autom. Versand von Log-Dateien per Email]]
*[[Logwatch]]

=Exkurse=
*[[Roundcube Installation]]
*[[Postfix Mailgateway]]

=Zertifikat=
*[[LENSF Erstellen eine CSR]]
*[[openssl-cheat-sheet]]

=Aufgaben=
*[[Einfach Anwendung mit Mariadb, Apache und PHP]]
*[[LENSF DHCP Serverinstallation]]
*[[LENSF Workstation]]
*[[LENSF Verteilen des CACERTS]]
*[[LENSF Einbauen der CERTS in Postfix und Dovecot]]
*[[LENSF Mailclient]]
*[[LENSF Weitere Maildomains]]
*[[LENSF Tabellen]]
*[[LENSF Apache2 Aufgabe]]

Cyber Security II.

2026-10-31T07:58:48Z

Thomas.will@claude: Link auf Zeiten I./II. umgestellt

=Grundlegendes=

[[Datei:Cyber-security-2-1.png|500px]]
*[[Thomas Will]]
*[[Cybersec2 Struktur]]
= Aktueller Kurs: Etherpad =
;Austausch
*'''URL:''' https://etherpad.xinux.net/p/8421
* '''User:''' kit01 bis kit12
* '''Pass:''' 123Start$
;Download
*http://host200:8000
;Zeiten
*[[Zeiten I.]]
*[[Zeiten II.]]
;Themen
*[[Cyber Security II. - Was wollen wir praktisch tun]]
*[[Cyber Security II. Netzplan]]
*[[Cyber Security II. Punkte]]

=Todo=
*[[Internet der Dinge (IoT)]]
*[[MQTT]]
*[[Industrie 4.0 (Sicherheit vernetzter Systeme)]]
*[[Einheitliche Kommunikation (plattformbasierte Bündelung von Apps, Effizienz)]]
*[[Cloud-Sicherheit]]
*[[Cyber-Risiken (Phishing, Ransomeware)]]
*[[Spionage, Sabotage, Missbrauch]]
*[[Massen- vs. Speerangriffe]]
*[[Fortgeschrittenen persistente Bedrohungen (APT)]]
*[[Informationssicherheits-Managementsysteme (ISMS)]]
*[[Sicherheitsinformations- und Ereignisverwaltung (SIEM) vorstellen, erklären und demonstrieren]]
*[[Team zur Reaktion auf Computersicherheitsvorfälle]]
*[[Cybersicherheits-/Schwachstellenbewertung]]
*[[Vulnerability Scanner Ablauf]]
*[[Abgrenzung zum Penetration Test]]
*[[Penetrationstests unter Linux]]
*[[Firewalls der nächsten Generation]]
**[[WAF]]
*[[Angriff mit hydra und Abwehr mit Crowdsec]]
*[[Erkennung und Verhinderung von Eindringlingen]]
*[[Identitätsbasierter Zugriff und Profilerstellung]]
*[[Übungen zu Szenarien in einer für die Teilnehmenden bereitgestellten Lehrumgebung]]
*[[Sicherheitsbewusstsein vertiefen und Haltungsbewertung]]
*[[Kali Purple Home]]
*[[Wenn ein Angreiffer in ihrem Netz ist]]
*[[Verantwortung]]
*[[Wireshark 8421]]

=Links=
;Cyber Bedrohung am Beispiel des Ukraine Krieg
*https://www.youtube.com/watch?v=Yjogm9ejcPQ
;Mobile Verification Toolkit
*https://docs.mvt.re/en/latest/
;Patchen von Androidgeräten
*https://opensource.srlabs.de/projects/snoopsnitch
;Wlan Router
*https://www.gl-inet.com/products/gl-e750/
;Wireless Geographic Logging Engine
*https://www.wigle.net/
;Surveillance under Surveillance
*https://sunders.uber.space/
;Feldjäger testen VIRTUAL REALITY für Häuserkampf
*https://www.youtube.com/watch?v=m3JOjHmaBSA
;Firehol
*https://firehol.org/
;ADHD Tools Usage Document
*https://adhdproject.github.io/#!index.md

=Crowdsec=
*https://www.crowdsec.net/
*[[Crowdsec]]
=IDS mit Evebox=
*[[Suricate IDS mit Evebox]]

Analyse und Monitoring von Netzwerken

2026-10-31T07:58:47Z

Thomas.will@claude: Link auf Zeiten I./II. umgestellt

=Grundlegendes=
*[[Thomas Will]]
*[[Analyse und Monitoring von Netzwerken - Skript]]
*[[Zeiten I.]]
*[[Zeiten II.]]
*[[Analyse und Monitoring von Netzwerken Tools]]

=Login-Daten=
*User: kit
*Pass: kit
*User:root
*Pass: radler
*User Administrator
*Pass: 123Start$

=Topics=
*Schwachstellensuche und -analyse
**Portscanning
**Gefahren des Netzwerks
**Informationsbeschaffung- Erweiterungen
*Monitoring
**Netzwerkmonitoring (Grundlagen/Tools)
**Remotemanagement
*Protokollierung und Dokumentation
**Einführung in Netzwerkdokumentation mit MS Visio
**Physisische Topologie
**Logische Topologie

=Wiederholungen=
*[https://hedgedoc.xinux.net/p/P5arEQ4Ya#/ TCP/IP Wiederholung]
*[https://hedgedoc.xinux.net/p/MOWbNtvMi#/ VLANs Wiederholung]

=Vorüberlegungen=
* [[Stichpunkte IT-Sicherheit]]
* [[Schritte für einen Basis-Sicherheitscheck]]
* [[IT-Grundschutz Literatur]]

=Protokollierung und Dokumentation=
*[[Physikalische Topologie]]
*[[Logische Topologie]]
*[[Netzwerkerfassung]]
*[[Media:Netz-und-Hardware-erfassung.xlsx]]
*[[Einführung in Netzwerkdokumentation mit MS Visio]]
*[[Hardware-Inventarisierung]]

=Schwachstellensuche und -analyse=
*[[Gefahren des Netzwerks]]
*[[Angriffe und Schwachstellen]]
*[[Portscanning]]
*[[Sicherheit Begriffe]]
*[[Informationsbeschaffung- Erweiterung]]
*[[Cisco Discovery Protocol]]

=Monitoring=
*[[Verschlüsselung]]
*[[Monitoring Logindaten]]
*[[NETZWERK TOOLS]]
*[[Netzwerkmonitoring (Grundlagen/Tools)]]
*[[Netzwerkmonitoring]]
*[[SNMP Server]]
*[[Hardware-Inventarisierung]]
*[[Remotemanagement]]
*[[Microsoft Powershell]]

=Hostsystem Modifikationen=
*[[Powershell Nat]]
*[[Powershell Route]]
*[[Powershell Netzwerk]]

=Verschiedenes=
*[[Schwachstellen vorbeugen: Patch-Management]]
*[[Configuration Management Database]]
*[[Datei:windows_dashboard.json]]

=Misc=
*[[Labor 1]]
*[[Labor 2]]
*[[Labor 3]]
*[[Labor 4]]

=Neues Konzept=
*[[Analyse und Monitoring von Netzwerken Neues Konzept]]


=Trouble Shooting=
*[[kali Repository Key out of date]]
*[[Windows Server 2012 bevorzugt nicht die DHCP]]
*[[npf]]
*[[Windows fährt automatisch herunter]]
*[[GNS3 Netzwerk ist instabil]]
*https://github.com/GNS3/gns3-gui/issues/2542
=Hints=
*[[1111 Hints]]

Linux - Erweiterte Systemadministration für Fortgeschrittene

2026-10-31T07:58:39Z

Thomas.will@claude: Link auf Zeiten I. umgestellt

=Allgemein=
*[[Thomas Will]]
*[[Zeiten I.]]
*[[Passwörter]]
=Links=
*[[Linux - Erweiterte Systemadministration für Fortgeschrittene]]
*[http://host200:8000 Downloads]
*[https://etherpad.xinux.net/p/5104 Austausch]
*[https://labs.xinux.net/ Labs]

=Ziele=
*[[Ziele - Linux - Erweiterte Systemadministration für Fortgeschrittene]]
=Aufgabe=
*[[Einrichten der Systeme - Erweiterte Systemadministration für Fortgeschritten]]

=Aufbau und Management des Dateisystems=
*[[Linux-Dateisystem]]
*[[Linux Dateisystem Aufbau]]
*[[Linux fdisk]]
*[[gdisk]]

=Die Dateisysteme ext4, btrfs und xfs=
*[[Ext4, btrfs und xfs - Eigenschaften, Konfiguration und Reparatur]]
=Mounten, Quotas und andere Tools=
*[[mount, umount und /etc/fstab]]
*[[Storage Tools die man kennen sollte]]
*[[Disk Quotas]]

=Software-RAID=
*[[mdadm|RAID-Level, Konfiguration, Pflege]]
=LVM: Professionelles Storage-Management=
*[[LVM|LVM: Aufbau, Konfiguration, Pflege]]
=Abschluss Dateisysteme=
*[[Projekt RAID, LVM, Dateisystem]]

=Cron-Jobs=
*[[Cron]]

=Verschiedenes=
*[[Bootmanager für Fortgeschrittene]]
*[[Disaster Recovery: Rettung in der Not]]
*[[Rettungssysteme erstellen]]
*[[Aufgaben Bootmanager und Rettungssystem]]
*[[Log-Dateien verwalten]]
*[[User-Authentisierung mit PAM]]

=Systemdiagnose=
*[[Kernel – Variablen]]
*[[Das /proc – Verzeichnis]]
*[[IDE- und SCSI-Geräte überwachen und steuern]]
=Systemanpassungen=
*[[Komponenten des Kernels]]
*[[Kernel-Boot-Parametern]]
*[[Wo liegt der Kernel?]]
*[[Integration des neuen Kernels]]
*[[Kernel kompilieren]]
*[[Patchen und Anpassen des Kernels]]
*[[Software übersetzen und in das Paketmanagement integrieren]]
*[[Hardware integrieren und anpassen]]
*[[Gerätetreiber]]

=Weiteres=
*[[Live Patches]]
*[[B-Tree Dateisystem]]
*[[Journaling Dateisysteme]]
=Todo=
*[[Kernel – Variablen]]
*[[Das /proc – Verzeichnis]]
*[[IDE- und SCSI-Geräte überwachen und steuern]]
*[[Log-Dateien verwalten]]
*[[User-Authentisierung mit PAM]]
*[[LVM|LVM: Aufbau, Konfiguration, Pflege]]

Verwaltung RedHat basierter Distributionen

2026-10-31T07:58:39Z

Thomas.will@claude: Link auf Zeiten I. umgestellt

<div style="margin-left: 20px;">
[[Datei:rocky-logo.svg|rechts|500px]]
</div>
</div>
=Der Plan=
*[[Thomas Will]]
*[[Zeiten I.]]
*[[Verwaltung RedHat basierter Distributionen Punkt|Punkte]]
*[[Verwaltung RedHat basierter Distributionen Plan|Plan]]
*[[Verwaltung RedHat basierter Distributionen Der rote Faden|Der rote Faden ]]
*[[Verwaltung RedHat basierter Distributionen Plan]]
*[[Verwaltung RedHat basierter Distributionen Zeitplan]]
*[[Red Hat Specials]]

=RedHat=
*[[RedHat Die Geschichte]]

=Installation=
*[[Rocky Server]]
*[[Rocky Template]]
*[[Anpassen des Rocky Templates]]
*[[Grafische Client als Rocky Template]]


=Die Rechner=
*[[Rocky fw|fw]]
*[[Rocky ns|ns]]
*[[Rocky www|www]]
*[[Rocky Repo auf www]]
*[[Rocky ldap|ldap]]
*[[Rocky client|client]]
*[[Rocky container|container]]

=Spezielles=
*[[xfs]]
*[[lvm]]
*[[SELinux Praxis]]
*[[/etc/sysconfig]]
*[[Systemd Einführung]]
*[[ssh jump-host]]
*[[Rocky Sicherheitsprofile]]

=Workshops=
*[[Systemd mit Rocky]]
*[[Konfigurationsmanagement: Warum Ansible?]]
*[[Ansible mit Rocky]]
*[[nmcli mit Rocky]]
*[[nmtui mit Rocky]]
*[[rpm/dnf mit Rocky]]
*[[selinux mit Rocky]]
*[[firewalld mit Rocky]]
*[[Lokales Repository (Rocky Linux 9)]]
*[[Kickstart Rocky Linux 9]]

Linux Grundlagen Rest

2026-10-31T07:58:38Z

Thomas.will@claude: Link auf Zeiten I. umgestellt

* [[Thomas Will]]
* [[Zeiten I.]]
* [[Prozesse]]
* [[Das /proc Grundlagen]]
* [[/sys Grundlagen]]
* [[Hardware ermitteln]]
* [[Linux Dateisystem Aufbau]]
* [[Festplatte und Dateisysteme verwalten]]
* [[Aufgabe Festplatte Dateisysteme]]
* [[Cron]]
* [[Logfiles und Logrotate]]
* [[Kernel]]
* [[Linux Modul Handling]]
* [[Shared Libraries (Linux-Grundlagen)]]
* [[CUPS]]
* [[Grub2]]
* [[Bootmenü und Rettungssystem]]
* [[Netzwerkkonfiguration und SSH]]
* [[Netzwerk – praktische Anwendung]]

Linux - Einsatz in heterogenen Netzen

2026-10-31T07:58:38Z

Thomas.will@claude: Link auf Zeiten I. umgestellt

=Vorstellung=
*[[Thomas Will]]
*[[Zeiten I.]]
*[[Linux - Einsatz in heterogenen Netzen Feedback]]

=Vorgehensweise=
*[[Linux - Einsatz in heterogenen Netzen Plan]]
*[[Linux - Einsatz in heterogenen Netzen Leitfaden]]
=Praxis=
*[[LAB Linux in heterogenen Netzen]]

=Theorie und Konzeption von Netzen, Schwachstellenanalyse=
*[[OSI-Modell, TCP/IP]]
*[[Layer-2 und Layer-3]]
*[[Vor und Nachteiler verschiedener Systeme]]
*[[IT Grundschutzkatalog]]
*[[Betriebssystemübergreifende Analysemethoden]]
*[[Präventives Erkennen von Sicherheitslücken]]
*[[Linux vs. Bundesclient/GPOs]]
*[[Authetifizierungsarten am Beispiel ssh]]

=Sicherheitsaspekte bei den verschiedenen Diensten=
*[[DHCP Sicherheitsaspekte]]
*[[DNS Sicherheitsaspekte]]
*[[Router/Gateway Sicheheitsaspekte]]
*[[Proxy/Mailgateway Sicherheitsaspekte]]
*[[Datenbanken Sicherheitsaspekte]]
*[[Domaincontroller Sicherheitsaspkete]]
*[[Webserver Sicherheitsaspekte]]
*[[Mailserver Sicherheitsaspekte]]
*[[Kerberos Sicherheitsaspekte]]

=Angriffsmöglichkeiten (Einführung zur Absicherung)=
*[[Thematik der Angriffsszenarien]]
*[[Wie werden Schwachstellen ausgenutzt.]]
*[[Wie werden Zugriffsbeschränkungen umgangen und/oder „geknackt“]]
=Aktuelle Bedrohungsszenarien und Schwachstellen=
*[[Laufzeitumgebungen]]
*[[Malicious Software (Viren, Würmer, Trojaner und Co.)]]

=Exkurs=
*[[Verschlüsselung, Zertifikate, IPsec, VPN, PGP, GPG, Diffie-Hellmann, SSL]]

Cyber Security I.

2026-10-31T07:58:37Z

Thomas.will@claude: Link auf Zeiten I./II. umgestellt

=Grundlegendes=
*[[Thomas Will]]
*[[Cybersec1 Struktur]]
= Aktueller Kurs: Etherpad =
*'''URL:''' https://etherpad.xinux.net/p/8420
* '''User:''' kit01 bis kit12
* '''Pass:''' 123Start$

*[[Zeiten I.]]
*[[Zeiten II.]]
*[[Cyber Security I. - Was wollen wir praktisch tun]]
*[[Cyber Security I. Netzplan]]
*[[Cyber Security I. Punkte]]

=Gängige Angriffsvektoren=
*[[Schadsoftware/Malware]]
*[[Botnetze]]
*[[DDoS-Angriffe]]
*[[Backdoor]]
*[[Advanced Persistent Threats (APTs)]]
*[[Cross-Site-Skripting (XSS), SQL Einschleusung, Cookie-Poisonning]] (11)

=Firewalls und IDS/IPS=
*[[IDS/IPS]]
*[[Statische Paketfilter und Zugriffslisten]]
*[[Dynamische Paketfilter und stateful Firewalls]]
*[[Client-Firewalls]]
*[[Proxies|Generic Proxies und Application Layer Gateways]]
*[[Authentifizierung an der Firewall, AD Integration]]
*[[Zertifikate und Kryptografische Protokolle (SSH, SSL, IPSec)]]
*[[Application Firewalls – passiv vs aktiv]] und Sonderform [[WAF]]
*[[Hochverfügbarkeit und Lastenverteilung - Netzwerk und Firewall]]
*[[Firewalls und Virtualisierung]]
*[[Layer-2 Firewalls]]
*[[Transparente Firewalls]]
*[[Firewalls und IPv6]]
*[[IPS Technologien (HIPS, NIPS, PIPS)]]
*[[Firewall Topologien|DMZ Konzepte]]

=Workshop OPNsense Cyber Security=
= Kapitel =
*[[OPNsense Allgemein]]
*[[OPNsense Specs]]
*[[OPNsense Installation]]
*[[OPNsense Grundkonfiguration]]

*[[OPNsense Import der Maschinen]]
*[[OPNsense Netz Scan]]
*[[OPNsense Active Directory MemberOf]]
*[[OPNsense site2site IPSEC mit Bildern]]
*[[OPNsense site2site IPSEC]]
*[[OPNsense Route based (VTI) PSK setup]]
*[[OPNsense Wireguard]]
*[[OPNsense OpenVPN]]
*[[OPNsense HAProxy]]
*[[OPNsense HAProxy Einrichtung]]
*[[OPNsense Suricata]]
*[[OPNsense Logging]]
*[[OPNsense Transparenter Proxy]]
*[[OPNsense 2 Provider]]
*[[OPNsense Konsole]]
*[[OPNsense Squid ClamAV]]
*[[OPNsense HA KIT]]
*[[OPNsense IPv6]]
*[[OPNsense Layer 2 Firewall]]
*[[OPNsense Cyber Security Weiteres]]
*[[OPNsense SNMP]]
[[Kategorie:OPNsense]]

=WAF=
*[[SELinux Einfach erklärt]]
*[[WAF]]
*[https://labs.xinux.net/waf-haproxy-coraza.html waf-haproxy-coraza]
*[[WAF mit HAProxy und Coraza Rocky Cybersec]]

= Verwandte Themen =
* [[FreeBSD Cheatsheet]]
*[[Beispiel Aufgaben]]

= Links =
* [https://docs.opnsense.org/ offizielle OPNsense Dokumentation].


=Misc=
*[[Cybersecurity Acronyms and Meanings]]
*[[Microsoft Zertifizierungsstelle]]
[[Kategorie:Cybersecurity]]

VoIP Grundlagen

2026-10-31T07:58:37Z

Thomas.will@claude: Link auf Zeiten I. umgestellt

=Allgemein=
*[[Thomas Will]]
*[[Zeiten I.]]
*[[Ablauf]]

=Abschnitt 1=
==Einführung in VoIP==
*[[VoIP Geschichte]]
*[[Grundlagen der IP-Telefonie]]
*[[Unterschiede zwischen herkömmlicher Telefonie und VoIP]]
*[[Vorteile und Herausforderungen von VoIP]]
*[[Enum]]
*[[Vergleich H.323 SIP]]
*[[SIP/RTP Nat Problematik]]
*[[RTP]]
;Praxisteil
*[[Installation Wireshark]]
;Praxisteil

==SIP (Session Initiation Protocol)==
*[[SIP Basics]]
*[[SIP Grundlagen]]
*[[SIP Adresse]]
*[[SIP Netzwerkelemente]]
*[[SIP Architektur]]
*[[SIP Kommunikation]]
*[[SIP Proxy oder Redirect Modus]]
;Praxisteil
*[[Erste Schritte Softphone]]
;Praxisteil
*[[SIP-Trunking]]
*[[SIP Provider]]
==SIP==
*[[SIP Verbindungsaufbau]]
*[[SIP vs. SDP]]
*[[SIP/RTP Nat]]
;Praxisteil
*[[Integration von Debian in Hyper-V]]
*[[Hyper-V Switch ändern]]
;Praxisteil

=Abschnitt 2=
==Codecs==
*[[Sprachcodierung bei VoIP]]
*[[Audio Codecs]]
*[[Kenndaten SIP User Agent]]
;Praxisteil
[[Softphone Codec Auswahl]]
;Praxisteil

==Einführung in Asterisk==
*[[Asterisk Geschichte]]
*[[Installation und Konfiguration von Asterisk]]
*[[Asterisk Linux]]
* [[Asterisk console]]
;Praxisteil
* [[Asterisk Plan]]
* [[Asterisk Hello World]]
* [[Asterisk dial]]
* [[Asterisk mit 2 Teilnehmern nur intern]]
* [[Asterisk Aufgabe]]
* [[Asterisk register]]
* [[Asterisk große Infrastruktur modifiziert]]
* [[Asterisk Confbridge]]
* [[Asterisk Voice Mail]]
* [[Asterisk callfile]]
* [[Text in Anruf Asterisk]]
;Praxisteil
*[[VoIP Telefonanbindungen]]
*[[Asterisk externer Provider]]
==Wireshark==
*[[Wireshark mit SIP/RTP]]
==Netz==
*[[SIP/RTP Nat Reale Szenarien]]

=Konferenz=
[[Translator und Mixer]] Buch Seite 180

==Asterisk-Konfiguration und Codecs==
*[[Einrichtung von Codecs für die Audio]]
*[[Konferenzschaltungen]]

=Abschnitt 3=
==H.323==
*[[Grundlagen von H.323]]
*[[Signalisierung von H.323]]
*[[Signalisierung nach H.225]]
*[[Komponenten und deren Funktionen (Gateways, Gatekeeper, Terminals, etc.)]]
==Misc==
*[[Jitter]]
*[[Delay]]

==VoIP-Sicherheit und -QoS==
*[[Grundlagen der VoIP-Sicherheit (Verschlüsselung, Authentifizierung, Firewalls)]]
*[[VoIP und QoS]]
*[[Maßnahmen zur Verbesserung der Sicherheit und Qualität in VoIP-Netzwerken]]
*[[VoIP-Interoperabilität und Netzwerkintegration]]

Technik der Netze - Netzwerkdienste und Protokolle als Basis der Optimierung

2026-10-31T07:58:36Z

Thomas.will@claude: Link auf Zeiten I. umgestellt

= Allgemeines =

* [[Robin Will]]
* [[Benutzer:Linkai.zhang|Linkai Zhang]]
* [[Zeiten I.]]
* [[1106 - Plan]]
* [[1106 - Netzplan]]
* [[1106 - Website]]

=Auffrischung und Vertiefung der Kenntnisse in den LAN-Technologien=

* [[ISO/OSI-Referenzmodell]]
* [[LAN-Technologien]]
* [[Protokolle und Dienste]]

=Vertiefung der Kenntnisse TCP/IP=
* [[IP-Header-Aufbau, Fragmentierung, ARP, Fehlerüberwachung im IP]]
* [[UDP-Header-Aufbau, und TCP-Header-Aufbau]]
* [[Network Address Translation]]
* [[IP-Adressieung - Subnetting / Supernetting (Wiederholung und Auffrischung)]]
* [[Routing Protokolle]]

=TCP/IP Dienste (Theorie + Praxis)=
* [[DHCP]]
* [[DNS]]
* [[WINS]]
* [[SMTP]]
* [[SMTP-Mailpit]]
* [[HTTP]]
* [[RAS]]
* [[SNMP]]
* [[IPsec]]
* [[NAP]]
* [[ILL]]

=Ablauf und Probleme eines Datendialogs=
*[[Datendialog]]

=Analyse und Fehlersuche in Windows Netzen=
*[[Analyse und Fehlersuche in Windows Netzen]]

=Analysetechnik=
* [[Protokollanalyse in Theorie und Praxis]]

=Aufgaben=
*[[Aufgaben 1106]]