Selfhosting & Cloud on Bernhard Steindl – IT-Security & Infrastruktur

Timeout in Nextcloud richtigsetzen (Online-Updater 504 Gateway Timeout)

Sat, 17 Apr 2021 21:15:07 +0000

Ich hatte schon länger das Problem, dass bei mir der Nextcloud-Online-Updater nicht einwandfrei durchgelaufen ist. Jetzt habe ich das ganze mal gelöst:

In der nginx-config von der Nextcloud direkt habe ich beim php-location-block folgendes eingetragen:

fastcgi_read_timeout 300;

Damit dauert es 5 Minuten, bevor PHP ein Timeout schießt (da geht sich das Update dann meistens aus). Durch die angegebene Direktive dauert es 5 Minuten, bevor nginx aufhört, auf eine Antwort vom FastCGI-Socket zu warten. (Danke an einen aufmerksamen Leser für die Info!)

Nextcloud-Online-Updater hängen geblieben – Lösung

Sat, 17 Apr 2021 21:09:14 +0000

Heute ist mir der Nextcloud Online-Updater hängengeblieben. Dies macht sich dadurch bemerkbar, dass zB vom Webinterface behauptet wird, dass Step 4 currently in Progress ist, und er eigentlich herunterladen sollte, aber man keine Netzwerkaktivität feststellen kann.

Das Problem lässt sich ziemlich einfach beheben: Einfach im data-Ordner der Nextcloud den Ordner updater-IRGENDWAS suchen und diesen löschen. Danach kann man im Webinterface wieder von vorne anfangen

Links und Credit

(https://help.nextcloud.com/t/stuck-on-update-process-step-5-is-currently-in-process-please-reload-this-page-later/58371/)

Zammad auf Debian mit externem NGINX Reverse-Proxy aufsetzen

Mon, 29 Mar 2021 06:44:24 +0000

Die Installation ist ziemlich einfach: Elasticsearch installieren, Zammad installieren, Elasticsearch konfigurieren, fertig (siehe Link unten).

Bei mir ist dann noch ein Problem mit HTTPS (Token-Error) aufgetreten, das ließ sich folgendermaßen lösen:

Bei jedem X-Forwarded-Proto statt $scheme https reinschreiben:

server {
        listen 80;
        server_name zammad.example.com;
        return 301 https://$server_name$request_uri;
}
server {
        listen 443 ssl;

        server_name zammad.example.com;

        # SSL
        ssl_certificate /etc/letsencrypt/live/zammad.example.com/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/zammad.example.com/privkey.pem;
        ssl_trusted_certificate /etc/letsencrypt/live/zammad.example.com/fullchain.pem;

    access_log /var/log/nginx/zammad.access.log;
    error_log  /var/log/nginx/zammad.error.log;

    client_max_body_size 50M;

    location ^~ / {
        proxy_http_version 1.1;
        proxy_set_header Host $http_host;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";
        proxy_set_header CLIENT_IP $remote_addr;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto https; 
# siehe https://community.zammad.org/t/fresh-install-3-2-x-csrf-token-verification-failed/3080/32v
        proxy_read_timeout 300;
        proxy_pass http://IP.OF.ZAMMAD.MACHINE/;

    }
        include _general.conf;
}

Links und Credit

https://docs.zammad.org/en/latest/install/debian.html

standardnotes selbst hosten

Mon, 29 Mar 2021 06:42:04 +0000

Ich habe mir eine Standard-Notes-Instanz zuhause selbst aufgesetzt, so einfach wie das ist nur selten etwas: Einfach die Anleitungen (siehe unten) befolgen, einmal eine nginx-Instanz auf der Docker-VM, einmal eine nginx-Instanz auf dem Reverse-Proxy (falls ihr einen eigenen habt), und die Sache läuft.

Links und Credit

https://docs.standardnotes.org/self-hosting/docker
https://docs.standardnotes.org/self-hosting/https-support

Volltextsuche in Nextcloud – Elasticsearch installieren

Mon, 13 Apr 2020 08:51:03 +0000

Es ist ja kein Geheimnis, dass wir die Nextcloud einsetzen. Da sich diese in den letzten Jahren immer weiter füllt, wird das Suchen und Finden von Dateien immer schwieriger. Hier gibt es eine tolle Möglichkeit, auch in den Dateien zu suchen, nämlich Elasticsearch. Dies ist auch schnell installiert, wie man in diesem Video und in diesem Guide sehen kann.

Links und Credit

https://youtu.be/lAmBlfB9S0k https://decatec.de/home-server/volltextsuche-in-nextcloud-mit-ocr/

Zwei Zeilen und ein Halleluja

Mon, 20 Jan 2020 19:08:40 +0000

Manchmal is wiakle zum Giftn. Zum Beispiel, wenn einem die Nextcloud seit dem Update auf 17 mal wieder ein bisserl herumspinnt.

Wenn man analysiert, fällt einem der CSP-Header am Kopf

Nun, was ist CSP? Hier geht es um die Ausführung von JavaScript, welches von einem Webbrowser ausgeführt werden soll und eine ziemlich große Angriffsfläche bietet. Daher hat man das mittels eines experimentellen Header „hinpfuscht“, welcher bis heute kein offizieller Standard ist.

Gitlab CE mit nginx-Reverse-Proxy aufsetzen

Mon, 13 Jan 2020 11:09:26 +0000

Hier die nginx Reverse-Proxy-Config für gitlab-ce

server {
        listen 80;
        listen [::]:80;
        server_name DEINE_URL;
        return 301 https://$server_name$request_uri;}

server {
    listen 443 ssl http2; 
    listen [::]:443 ssl http2; # OCSP Stapling fetch OCSP records from URL in ssl_certificate and cache them
    server_name DEINE_URL; 

    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_certificate /etc/letsencrypt/live/git.itkfm.at/fullchain.pem; 
    ssl_certificate_key /etc/letsencrypt/live/git.itkfm.at/privkey.pem; 

    resolver 9.9.9.9;
    ssl_ecdh_curve prime256v1;
    add_header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload;";
        # Server should determine the ciphers, not the client
        ssl_prefer_server_ciphers on;

        # SSL session handling
        ssl_session_timeout 24h;
        ssl_session_cache shared:SSL:50m;
        
        add_header X-Content-Type-Options nosniff;
        add_header X-XSS-Protection "1; mode=block";
        add_header X-Robots-Tag none;
        add_header X-Download-Options noopen;
        add_header X-Permitted-Cross-Domain-Policies none;
        
        location / {
            proxy_pass https://DEINE_IP:443;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Bitwarden Self-Hosting mit nginx-Reverse-Proxy aufsetzen

Sat, 11 Jan 2020 14:21:19 +0000

⚠️ Veralteter Artikel: Dieser Beitrag stammt aus dem Jahr 2020 und ist technisch überholt. Versionen, Befehle und Vorgehensweisen entsprechen möglicherweise nicht mehr dem aktuellen Stand.

Weil Keepass doch ein wenig schwierig zu nutzen ist auf allen Endgeräten, habe ich mich nach einer Alternative umgsehen und bin auf Bitwarden gestoßen. Das Interessante an Bitwarden ist, dass man sich seinen dafür benötigten Server selbst hosten kann. Hier nun ein kleiner Überblick, wie man sich den Server hinter einem nginx Reverse-Proxy installieren kann.

Nextcloud-CalDav mit Thunderbird 60.x

Fri, 15 Nov 2019 07:34:57 +0000

⚠️ Veralteter Artikel: Dieser Beitrag stammt aus dem Jahr 2019 und ist technisch überholt. Versionen, Befehle und Vorgehensweisen entsprechen möglicherweise nicht mehr dem aktuellen Stand.

Update: Der einfachere Weg ist, auf Thunderbird 67 mit der neueren Lightning-Version upzudaten, welche die untenstehenden Probleme behebt.

Leider gibt es nach wie vor Probleme mit Thunderbird 60 beim Synchronisieren der Nextcloud-Kalender. Diese äußern sich dadurch, das sich der Kalender zwar ohne Probleme hinzufügen lässt, aber ohne irgendeine Fehlermeldung einfach keine EInträge synchronisiert. Es gibt zum Glück einen Workarround:

WordPress aus dem Wartungsmodus befreien

Thu, 14 Nov 2019 18:04:15 +0000

Gerade hatte ich den Fall, das WordPress nach einem Gutenberg-Update im Wartungsmodus festhing. Dies äußert sich dadurch, dass die Website nur mehr anzeigt: „Wegen Wartungsarbeiten ist diese Website kurzzeitig nicht verfügbar“

Die Lösung dafür ist denkbar einfach: Einfach aus dem Webserver-Verzeichnis die Datei „.maintenance“ löschen.

Links und Credit

https://www.sir-apfelot.de/wordpress-meldung-wartungsarbeiten-22862/

Invoice-Ninja selber hosten mit nginx-Reverse-Proxy

Mon, 26 Aug 2019 11:49:52 +0000

⚠️ Veralteter Artikel: Dieser Beitrag stammt aus dem Jahr 2019 und ist technisch überholt. Versionen, Befehle und Vorgehensweisen entsprechen möglicherweise nicht mehr dem aktuellen Stand.

InvoiceNinja ist ein Tool, um als Unternehmen seine Kunden und Rechnungen zu verwalten. Hier kurz die verwendete Konfiguration, um InvoiceNinja hinter einem nginx-Reverse-Proxy selbst zu hosten.

Im ersten Schritt habe ich die Anleitung von InvoiceNinja verwendet, um die Applikation unter Debian aufzusetzen.

InvoiceNinja .env Config:

Bookstack mit nginx Reverse-Proxy betreiben & E-Mail konfigurieren

Mon, 26 Aug 2019 11:41:30 +0000

Bei Bookstack handelt es sich um eine Anwendung, die eine Dokumentenverwaltung bereitstellt. Leider ist die Doku sehr spärlich ausgeführt, warum ich hier nun kurz zusammenfasse, wie die Applikation hinter einem nginx Reverse-Proxy betreibbar ist.

Die Applikation selbst habe ich mit dem Installationsscript für Ubuntu-Server installiert.

Um E-Mail erfolgreich zu konfigurieren, muss man die Datei „/var/www/bookstack/.env“ bearbeiten, damit sie folgende Einträge enthält:

# Application key
# Used for encryption where needed.
# Run `php artisan key:generate` to generate a valid key.
APP_KEY=censored

# Application URL
# Remove the hash below and set a URL if using BookStack behind
# a proxy, if using a third-party authentication option.
# This must be the root URL that you want to host BookStack on.
# All URL's in BookStack will be generated using this value.
APP_URL=https://your.domain.net

# Database details
DB_HOST=localhost
DB_DATABASE=bookstack
DB_USERNAME=bookstack
DB_PASSWORD=censored

# Mail system to use
# Can be 'smtp', 'mail' or 'sendmail'
MAIL_DRIVER=smtp

MAIL_FROM=test@test.at
MAIL_FROM_NAME=Your Bookstack Server

# SMTP mail options
MAIL_HOST=test.mail.at
MAIL_PORT=465
MAIL_USERNAME=test@test.at
MAIL_PASSWORD=censored
MAIL_ENCRYPTION=ssl

# A full list of options can be found in the '.env.example.complete' file.

Im Reverse-Proxy muss die Config folgendermaßen aussehen:

Kurze Beitragsansicht auf Startseite – Twenty Fifteen Theme WordPress

Tue, 02 Apr 2019 08:11:14 +0000

Es hat mich schon länger genervt, das auf der Startseite immer die kompletten Blogposts angezeigt wurden… Das ging doch sehr zu lasten der Übersicht. Nun habe ich einen Weg gefunden, wie sich das Theme modifizieren lässt, damit nur ein Ausschnitt des Artikels gezeigt wird.

In der content.php-Datei des Themes muss folgender Codeteil ersetzt werden:


		<?php
			/* translators: %s: Name of current post */
			the_content( sprintf(
				__( 'Continue reading %s', 'twentyfifteen' ),
				the_title( '', '', false )
			) );

			wp_link_pages( array(
				'before'      => '' . __( 'Pages:', 'twentyfifteen' ) . '',
				'after'       => '',
				'link_before' => '',
				'link_after'  => '',
				'pagelink'    => '' . __( 'Page', 'twentyfifteen' ) . ' %',
				'separator'   => ', ',
			) );
		?>
	<!-- .entry-content -->

Durch:

SFTP-Zugang einrichten (zB Webhosting)

Mon, 01 Apr 2019 10:56:36 +0000

Will man als Webhoster seinen Kunden einen SFTP-Zugang bieten, lässt sich dieser wie folgt einrichten:

Zuerst wird der User angelegt:

adduser kunde1

Damit der User keinen Zugriff auf die Shell hat, nehmen wir ihm mit folgendem Kommando die Rechte dafür ab:

usermod -s /bin/false kunde1

Nun beschränken wir den Kunden im Dateisystem. Wir nehmen den Ordner „/var/www/kunde1“ als Beispiel

chown root:root /var/www/kunde1
chmod 755 /var/www/kunde1

Jetzt hätte eigentlich der Webserver keinen Zugriff mehr auf den Ordner, was nicht Sinn der Sache ist… Ich empfehle, hier nochmals einen Unterordner zu machen, in dem dann der Inhalt der Website liegt. Im Ordner /var/www/kunde1 hat der Kunde selbst keine Rechte.

mailcow-Backup über Borg

Mon, 11 Feb 2019 21:09:29 +0000

Andre Peters bietet mit seiner mailcow eine umfassende Groupware-Lösung an. Nochmals vielen Dank für seinen Beitrag an die Open-Source-Welt!

Ich sichere die meisten unserer Server mittels borg. Damit sichere ich nicht das komplette System, sondern nur relevante Teile. Das sind im Falle der mailcow natürlich nur alle Daten.

Das Backup-Script basiert stark auf dem des mailcow-Urhebers, mit dem Unterschied, dass die Mails nicht ge-„tar“-t, sondern einfach nur in ein anderes Verzeichnis kopiert werden, damit das inkrementelle Backup mittels Borg nur die Änderungen eines Tages abbildet.

Aus dem Browser scannen und auf Nextcloud hochladen

Sun, 10 Feb 2019 10:22:10 +0000

Hier habe ich ein Bash-Script zusammengestellt, dass es ermöglicht, von einem Scanner mittels dem sane-backend-Befehl scanimage ein Dokument zu scannen und dieses dann als PDF auf eine Nextcloud-Instanz mittels WebDAV hochzuladen.

Notwendige Pakete:

apt install libtiff-tools imagemagick sane-utils

Leider ist in imagemagick ein Bug, der es erfordert, dass in der /etc/ImageMagic-6/policy.xml die Zeile

durch

zu ersetzen. Danach sollte das Script einwandfrei funktionieren. Außerdem könnt ihr in dieser File die memory-limits usw erhöhen oder auskommentieren, damit ihr kein Problem bei größeren Scans bekommt.

Collabora-Server in LXC laufen lassen – Nextcloud 15

Wed, 06 Feb 2019 11:53:42 +0000

⚠️ Veralteter Artikel: Dieser Beitrag stammt aus dem Jahr 2019 und ist technisch überholt. Versionen, Befehle und Vorgehensweisen entsprechen möglicherweise nicht mehr dem aktuellen Stand.

UPDATE: sollte sich nach einem Kernel-Update der Docker-Dämon nicht mehr starten lassen, dann folgenden Befehl probieren:

rm /var/lib/docker/aufs -rf

Danach den Dämon neu starten, dann sollte ein Neustart des Containers wieder funktionieren! UPDATE ENDE

Mit Nextcloud Version 15 gibt es nun eine neue und sehr interessante Funktion, mit der sich direkt im Webinterface der Self-Hosting-Cloud, und auch der dazugehörigen App, Dokumente, Tabellenkalkulationen und Präsentationen in unterschiedlichsten Dateiformaten ansehen und bearbeiten lassen. Dazu reicht es allerdings nicht, die Funktion in der Nextcloud zu aktivieren, sondern es wird ein weiterer Dienst benötigt, der wie folgt mit Docker aufzusetzen ist:

WordPress-Migration auf neuen Server – eine Leidensgeschichte

Wed, 06 Feb 2019 11:33:29 +0000

Aufgrund von internen Umstrukturierungen der IT mussten wir nun diesen Blog auf einen neuen Server mit einem neuen Domain-Namen (blog.e9a.at anstatt e9a.at) umsiedeln. Normalerweise verläuft so etwas bei uns relativ problemlos, wir haben das auch schon ein paar mal gemacht. Allerdings war es für uns ein Novum, eine WordPress-Instanz über die Kommandozeile zu migrieren. Und wie sich herausstellen sollte, kann es mit WordPress durchaus wilde Komplikationen geben. Vor allem, wenn man es sich zur Aufgabe macht, das ganze mit nginx und mit einem Reverse-Proxy laufen zu lassen. Hier nun eine Anweisung, wie wir schließlich ans Ziel gekommen sind, und welche Steine WordPress uns in den Weg gelegt hat.

Von Linux-Terminal auf Nextcloud mittels WebDAV uploaden

Thu, 20 Dec 2018 13:02:03 +0000

Um Daten von einem Linux-Server auf eine Nextcloud hochzuladen, kann das Tool curl benutzt werden. Dieser Artikel beschreibt die dafür benötigten Paramter: https://www.qed42.com/blog/using-curl-commands-webdav

Ein Beispiel für die Nextcloud würde folgendermaßen aussehen:

curl --user 'username:password' -T filename.log 'https://cloud.nextcloud.xyz/remote.php/webdav/'

Links und Credit

https://www.qed42.com/blog/using-curl-commands-webdav

ghost.org mit Nginx-Reverse-Proxy auf anderem Server

Thu, 20 Dec 2018 10:41:41 +0000

Heute habe ich das erste Mal eine Ghost-Instanz zuhause aufgesetzt. Der Reverse-Proxy hat mir dabei ein wenig Kopfschmerzen bereitet. Schlussendlich bin ich bei folgender Lösung gelandet:

Diese Anleitung bis zu „ghost install“ befolgen: https://docs.ghost.org/install/ubuntu/

Beim Hostnamen geben wir unsere URL mit https an

Alle Parameter so weit eingeben, bis die Frage kommt: Nginx installieren? Wir wollen Nginx nicht auf dieser Instanz, deshalb hier mit Nein beantworten.

Auch SSL wollen wir nicht hier haben, sondern am Reverse-Proxy, deshalb ebenfalls mit Nein