Hallo Ingo, Am 28.10.2018 um 16:53 schrieb Ingo Hiller: OK, das verstehe ich. d.h. 1. die feste IP zuweisen (statt DHCP), dann in der Fritzbox für diese IP den SSH-Port "erlauben". Oder bedeutet "Portfreigabe", dass jede Anfrage, die über Port 22 an die Fritzbox kommt, an den angegebenen Rechner weitergeleitet wird? Was in dem Fall meine weitere Frage beantworten würde, wie ich von meinem SSH-Client aus den SSH-Server hinter der Fritzbox adressieren kann. Klar. Hier geht es nur um die Praktikabilität, die Ähnlichkeit des Desktops mit dem gewohnten Windows 7 und die Ähnlichkeit des Desktops und Systems mit /meinem/ Rechner (zwecks Vergleichbarkeit mündlicher Beschreibungen ...). Verstehe ich das richtig (nach der Webseite), dass NoMachine vergleichbar ist mit TeamViewer? Die Webseite sieht ziemlich schick aus und verspricht viel. Trotzdem würde ich mich möglicherweise etwas wohler fühlen, wenn das Ganze mit "nativen" und nicht-kommerziellen MItteln gelöst werden könnte. Das werde ich aber nochmal in einer Antwort auf Andreas' mail bedenken. Gruß Urs -- Urs Liska Glümerstr. 5 79102 Freiburg +49(0)179-4642905 ul(a)openlilylib.org

Am 28.10.2018 um 18:00 schrieb Ralf Mattes: Wenn was so einfach wäre? Ich kann schon Geräten in meinem Netzwerk eine feste (lokale) IP zuweisen. Die Fritzbox bekommt eine dynamische IP zugewiesen, die (AFAIK) einmal täglich durch neues Verbinden mit dem Zugangspunkt aktualisiert wird. Durch Dynamisches DNS kann man eine feste Adresse dynamisch der jeweils aktuellen IP-Adresse zuweisen. Es gibt diverse Anbieter, die das kostenlos anbieten, aber AVM bietet es (wie Andreas sagt) selbst an. Ich nutze das auch, um von unterwegs auf die FritzBox zugreifen zu können. Natürlich bietet das eine Angriffsfläche - aber mein Server steht ja auch mit einer bekannten IP im Netz ... Ich muss zugeben, dein folgender Vorschlag klingt nicht unbedingt weniger kompliziert ... Ja. Klingt konzeptuell attraktiv, ich weiß aber nicht wirklich, wie ich da vorgehen müsste. Das heißt: * Auf meinem Webserver läuft ein VPN-Server * Beide PCs verbinden sich mit diesem als Netzwerk (was heißt das genau, wie mache ich das, wenn beide PCs hinter einem Router hängen?). Das müssen sie automatisch beim Hochfahren machen. * Die beiden PCs "sehen" sich als Mitglieder eines privaten Netzwerks * Ich kann dann eine Verbindung über die "lokale" IP herstellen, entweder über VNC oder auch über SSH? (Ich möchte auf jeden Fall nicht nur den Remote-Desktop haben, sondern auch den "einfachen" SSH-Login. Um den Rechner zu warten, möchte ich nicht "sichtbar" mit der Maus herumfahren.) Ist das korrekt? Falls ja, nach welchen Programmen/Technologien muss ich suchen, um genauere Anleitungen zu finden? Herzliche Grüße Urs Mach ich, sie muss ihr schönes Haus aufgeben und zieht nächste Woche um ... -- Urs Liska Glümerstr. 5 79102 Freiburg +49(0)179-4642905 ul(a)openlilylib.org

* Uwe Kleine-König: " Re: SSH- und grafischer Zugang hinter Router" (Sun, 28 Oct 2018 21:59:00 +0100): Hallo Uwe, Ich weiß zwar nichts Näheres über wireguard, aber die Gründe stehen hier: https://bugs.debian.org/849308 Wer will, kann sich das scheinbar aus unstable ziehen. Liebe Grüße, Mathias -- Mathias Behrle ✧ Debian Developer PGP/GnuPG key availabable from any keyserver, ID: 0xD6D09BE48405BBF6 AC29 7E5C 46B9 D0B6 1C71 7681 D6D0 9BE4 8405 BBF6

Ich werfe auch mal einen Hut in den Ring :) Ich habe das Problem mit der Fernwartung bei meinen Eltern mittels teamviewer gelöst. Das ist für die private Anwendung frei ist und ohne irgendwelche Useraccounts oder so klarkommt. Man hat kein Problem mit dynamischen IPs und NAT/Router-Firewalling, da die Programme auf Server und Client (eigentlich macht teamviewer keinen Unterschied) über einen zentralen Server vermittelt werden. Und wenn die Eltern das nur auf Zuruf starten, gibt es keine offenen Ports, um die man sich Sorgen machen muss. Einziger Nachteil: es ist keine FOSS Lösung. Urs Liska wrote (at 2018-10-28 18:15 +0100): -- Mit freundlichem Gruß / With kind regards Holger Klawitter -- listen <at> klawitter <dot> de

Hallo zusammen, ich gebe jetzt auch mal meinen Senf dazu. Vielleicht bringt es ja was: Thema Distro für Umsteiger: Würde ich auch ganz klar Linux Mint mit Mate Desktop empfehlen. Das Look & Feel kommt Win sehr nahe und die Integration ist wirklich sehr weit fortgeschritten. Halte ich daher für sehr geeignet und vermutlich aktuell den besten Kandidaten. Thema Remote-Support: Hier auch meine Empfehlung zu x2go (ist der opensource Nachfolger von freenx). Der kann auch  notfalls das Spiegeln einer bereits laufenden Session und läuft standardmäßig über ssh. Performance ist echt gut (auch bei schmalen Verbindungen). Es gibt Clients quasi für jedes OS. Ich selbst betreiebe das ohne VPN, rein mit Port-Forwarding auf 22. Womit wir auch schon zum Sicherheitssaspekt kommen: Port-Forwarding ist nicht unbedingt das Problem. Die Frage ist eher, wie sicherst Du das in Deinem Netz (also am Rechner Deiner Mutter) ab. Problem wird dann nämlich sein, dass jede ssh-Anfrage auf dem Rechner Deiner Mutter ankommt und man dort seelenruhig alles Mögliche veranstalten kann, wenn man sich vorher nicht auf böse Buben einstellt. Aber zum Glück gibt's auch dafür sinnvolle Ansätze. Zuerst solltest Du die ssh-Authentifizierung per ssh-Schlüssel einrichten (schau mal im Wiki der ubuntuusers nach) und Dein Schlüsselpaar sicher (also verschlüsselt) als Backup bei Dir sichern. Wenn das funktioniert (ist keine große Sache, der Wiki-Beitrag ist sehr gut ausgeführt), die Passwort-Authentifizierung per ssh am Rechner Deiner Mutter deaktivieren (molto importante!). Ab dann kannst Du Dich nur noch per ssh-Schlüssel (oder lokal vor Ort) am Rechner Deiner Mutter anmelden. Jetzt hättest Du schon mal den größten Teil geschafft. Abschließend kann man noch drüber nachdenken, ob man dem ssh-Zugang zusätzlich mit fail2ban einen "Türsteher" zur Seite stellt. Der kann die ssh-Logins überwachen und ab einer definierbaren Anzahl von Fails die Quell-IP des Anfragenden für eine konfigurierbare Zeit sperren. (Cave: damit kann man sich anfangs gern auch mal selbst aussperren). Klingt vermutlich alles etwas viel und kompliziert, ist es aber nicht. Wenn das alles läuft, bist Du trotzdem noch komplett mit freien opensource-Komponenten unterwegs, verwendest LX-Standard-Techniken und bist nicht auf proprietäre Software angewiesen. Wie gesagt, so ein sehr ähnliches Setup läuft bei mir schon seit vielen Jahren und hat auch einige größere Systemupdates unbeschadet überstanden. HTH, Gruß Jörg. Von: Urs Liska &lt;ul(a)openlilylib.org&gt; Gesendet: Sonntag, 28. Oktober 2018 17:15 An: flug(a)lug-freiburg.de Betreff: Re: SSH- und grafischer Zugang hinter Router Hallo Andreas, Am 28.10.2018 um 17:29 schrieb Andreas Delleske: *An sich* würde ich das für eine Erst-Umsteigerin auch empfehlen, denn ich glaube, dass Mint noch etwas besser integriert ist als Debian mit Cinnamon. Andererseits denke ich, dass ein mit meinem identisches System (also Paketrepository und Update-Stand, Desktop etc.) doch einiges für sich hat. Sehe ich es richtig, dass ich auf dem Zielrechner einen VNC-Server und auf meinem Rechner einen VNC-Client brauche? Gibt es hier Tipps oder Meinungen zum Unterschied zwischen den Distributionslösungen (evtl. auch Desktop-Standard-Tools und andere wie z.B. bei Dateimanagern) und (kostenlosen) kommerziellen Angeboten wie TeamViewer oder NoMachine? Das ist mir nicht ganz klar, wie das geht. Also den SSH-Port habe ich freigeschaltet bzw. weitergeleitet. Muss ich dann einfach in den jeweiligen (Programm/Verbindungs-)Einstellungen des VNC-Servers und -Clients einstellen, dass eine SSH-Verbindung verwendet werden soll? Oder gehört da noch mehr dazu? Ja, das weiß ich, ich habe den entsprechenden Link auf ihre Fritzbox schon als Favorit im Browser gespeichert. Ich nehme an die SSH-Verbindung würde entsprechen funktionieren? Ja, klar. OK, hatte ich auch vage so verstanden. Gut, eine Sorge weniger ... Gruß Urs --   Urs Liska Glümerstr. 5 79102 Freiburg +49(0)179-4642905 ul(a)openlilylib.org

Hi Urs, Das ist ein Argument :) Genau. Ein VPN würde Dich ja noch nciht auf ihren Desktop sehen lassen. Ich bekomme immer Bauschmerzen bei Sachen wie Teamviever etc. wo mannicht weiß was der Code so alles macht, wenn es bei Linux überhaupt anständig integriert ist. VNC ist ein bißchen verstaubt was die Konfiguration angeht aber läuft. Ich hatte vergessen zu schreiben daß ich den ssh-Port auf jeden Fall NACH AUSSEN nicht als 22 sichtbar machen würde, da wird viel versucht einzubrechen. Setzen den Port z.B. auf 19988 oder so und schalte beim ssh-Client den Login mit Passwort aus, nachdem Du vorher natürlich ein ssh- Schlüsselpaar mit anständig bits erzeugt hast (2048?) Der Zugriff wäre dann halt ssh -p 19988 ... Dann gibt es Howtos drüber wie man zusätzlich zur ssh - shell noch VNC drüber tunnelt. Wenn das zu kompliziert ist (kann ich verstehen) könntest Du auch den Port 5900 (ich glaube TCP und UDP, nicht aicher) nur dann über die Fritzbox öffnen wenn Du ihn auch brauchst und auf den Tunnel verzichten. Auch hier gilt wieder Portnummer in der Fritzbox verschieben. Was meinst Du mit entsprechend? Ich würde sagen VPN ist das falsche Werkzeug für den Fall. Es geht Dir ja nciht um Detaiübertragungen mit SMB (Windows), Dateien kannst Du auch mit rsync / ssh übertragen. Schönen Gruß Andreas

Am Mittwoch, 31. Oktober 2018 23:23 CET, Urs Liska &lt;ul(a)openlilylib.org&gt; schrieb: Idee einer direkten Verbindung (also über SSH) war mir etwas Für eine "direkte" Verbindung brauchst Du aber einen adressierbaren Host. Bekommst Du den (ohne kräftigen Aufpreis) von Deinem Provider? Nein, das ist dann doch etwas verkürzt. OpenVPN-Verbindungen sind deutlich einfacher über längere Zeit am Laufen zu halten. Du kannst da auch (weil das richtige Netze sind auch deutlich mehr drüber laufen lassen (der Netzwerkdrucker spinnt: sprich ihn von Deinem Rechner aus an etc.). Vieleicht vertehe ich da etwas nicht, aber da brauchst Du doch auch auf zumindest einer Seite (dem VPN-Server) eine feste IP-Adresse. Ja, das kannst Du alles. Deshalb hatte ich ja einen VPN-Server auf Deinem Webserver (feste IP, schon vorhanden) vorgeschlagen. Gruss RalfD

Am Mittwoch, 31. Oktober 2018 23:23 CET, Urs Liska &lt;ul(a)openlilylib.org&gt; schrieb: Kleiner Nachtrag zur Kompexität einer OpenVPN-Serverlösung: Ich habe gerade mal bei meinem Frankfurter Setup nachgesehen, da beschränkt sich die Cpnfig (ohne Kommentare) auf 23 Zeilen. Bei mir gibt's dann noch pro Client eine kleine Config - damit kann man jedem Client nicht nur eine persistente IP zuweisen sondern auch optional eigene Routen setzen oder den DNS konfigurieren etc. Gruss RalfD

Am Donnerstag, 01. November 2018 12:09 CET, Andreas Delleske &lt;delleske(a)vauban.de&gt; schrieb: Das kann ich so nicht bestätigen. Meine VPNs laufen extrem stabil mit _einer_ festen IP-Adresse (Server ist stabil). Soweit ich das sehe ist OpenVPN nicht dafür gedacht die externe IP des Servers im laufenden Betrieb zu ändern. Das macht ja durchaus Sinn wenn man bedenkt was da "unter der Haube" geschieht: da werden Routen auf's Interface verändert, Firewall- und NAT-Regeln müssen angepasst werden etc. Keine Form von DynDNS kann eine statische IP ersetzen. Das vergisst man leicht weil inzwischen Provider die Verbindungen sehr lange offen halten und u.U. sogar beim Reconnect die selbe externe IP vergeben. Verlassen würde ich mich darauf aber nicht. Schon garnicht bei Systemen die ich in "Krisensituationen" nutzten will/muss. Gruss RalfD