[GUIDE] Kako jeftino hostati website kod sebe doma na Raspberry Pi-ju

[dada-as]

Autor Neo-ST

Ti kao kolega cryptaš bi trebao znati da coini nisu na "mreži kao ovaj web", već na blockchainu, a keyevi mogu biti na mreži (ako je netko dovoljno glup ih tamo držat, umjesto na hw walletu)

Ja nebi mirno spavao sa ovim nacinom hostanja weba i sheranjem interneta s uredjajima koji imaju bilo kakve veze s cryptom.

[strikoo]

Cekaj, Neo, jos te nisu hakovali ?

[Neo-ST]

Autor strikoo

Cekaj, Neo, jos te nisu hakovali ?

Pokušavaju, ali implementirao sam najbolju zaštitu koju ni NSA ne može probiti.
Isključio sam RPI.
Šalu na stranu, u Skynetu vidim točno koje portove snifaju (80 predvodi) i odakle (USA trenutno).

[Neo-ST]

Originalni post editiran, dodane sigurnosne postavke. Hvala svima ovdje koji su doprinijeli tome.

[Neo-ST]

Nešto sam sjebo sa prijašnjom instalacijom eksperimentirajući, i uglavnom da ne duljim, završio sam sa ponovnom instalacijom svega iz početka
Sad sam došao do zadnjeg koraka, vađenje SSL certifikata.
Pratio iste upute koje sam i sam pisao u prvom postu i koje su radile prvi puta, ali sad više neće pa neće.

Dobijem ovo kada bi certbot trebao izdati certifikat:




Probao sam sva "rješenja" na internetu, ali nijedno ne pomaže.
Ovo šta certbot izbaci da je možda firewall problem, nije ni to, jer sam pogasio sve firewalle i pokušao ponovo, pa opet neće (također provjerio jesu li pogašeni).

Probao i mijenjati permissions za ovaj direktorij po nekim uputstvima s neta, ali ni to ne pomaže.

Nekoliko puta sam već do sada pokušavao razna rješenja, čak restore konfiguracije prije instalacije snapd-a i certbota, pa sve nanovo, ali nakon svakog 5. pokušaja me sustav banira na 1h.

Ja ne znam više šta napraviti, a pogotovo mi nije jasno kako je ista procedura prvi put savršeno uspjela, a sad neće. Ima tko ideju ?

[strikoo]

jesi probao napraviti port forward porta 80 prema rpi ?

EDIT:
vjerojatno su te hakirali

[dada-as]

Ruter rekt.

Za vise info sheraj logove, provjeri apache settings unutra su ti fileovi koje certbot kreira i koristi, vjerojatno je doslo do konfuzije buduci si prije imao settingse koji rade, a sad nanovo si napravio i imas koji ne rade. To moras uskladiti.

Jesi obrisao sve staro vezano za SSL? Ako nisi onda probaj u tom smjeru popravljat.

[tomek@vz]

Autor strikoo

jesi probao napraviti port forward porta 80 prema rpi ?

EDIT:
vjerojatno su te hakirali

Ako nemas nista konstruktivno pridonjeti raspravi i problemu ne trollaj. Covjek se potrudio nesto konstruktivno napraviti i dokumentirat za ostale i usput uci a ti tako.

@Neo-ST > Cekiraj Logove.

P.S.- zbog ovakvih stvari vec u ovoj fazi je pametno koristiti snapshotove (LVM/BTRFS) i/ili radit backup rsnapshotom barem.

[spiderhr]

certbot ide do Debiana 10 i Testing, možda je RPI baziran na novijoj verziji pa neće proći


Znam da meni na D11 nije htio proći a na D12 nisam ni probao. Tak i tak VPS koji imam služi za učenje pa mi svejedno jel me haknu ili ne.

[dada-as]

Da i na kraju te ne haknu, nego ako te i haknu haknu te na temelju gluposti a ne da je netko brutoforceao SU.

Slicno radim i ja, jedinu zastitu koju imam je SSH Key i to je vise nego dovoljno. Imao sam i ja slicne probleme s letsencrypt, pogotovo jer sam radio slicne stvari, dodavao domene u isti pa se sve posemerilo. No ovdje je moguce da ga sve ove silne zastite koje je postavio lockaju i jos pogotovo kada se radi o ruteru koji nije namjenjen u ove svrhe. bez logova je nemoguce bilo sto konkretnije reci.

p.s. 2 godine me nisu haknuli plus je moja domena lako dostupna pa ako i ima ovdje hakera mogu probati, plus nisam azurirao wordpress sto je daleko veci vulnerability nego bilo sto drugo. Slobodno haknete jer inak ide destroy na ovom serveru.

[spiderhr]

Ma za učenje si uzem VPS gdje ne moram kemijati s ruterom.
A i nisu nešto cijene za neki VPS od 1 cpu, 1 gb rama i 15-20 gb ssd-a

[tomek@vz]

...no comment...

[spiderhr]

Autor tomek@vz

...no comment...

Za koji komentar?

[strikoo]

Autor tomek@vz

Ako nemas nista konstruktivno pridonjeti raspravi i problemu ne trollaj. Covjek se potrudio nesto konstruktivno napraviti i dokumentirat za ostale i usput uci a ti tako.

@Neo-ST > Cekiraj Logove.

P.S.- zbog ovakvih stvari vec u ovoj fazi je pametno koristiti snapshotove (LVM/BTRFS) i/ili radit backup rsnapshotom barem.

a ti nadi smisao za humor. i dalje stojim kod toga da nije forwardao port 80

[xlr]

Mozda mu je ostao upaljen proxy na cloudflareu.

[johnsmith]

Svaka cast za upute, medjutim, koliko sam brzinski pogledao - jel moguce da nitko nije spomenuo blazeni carrier grade nat (CGNAT)?
Ovisno o provideru, moguce da imate 10.x ili 100.x WAN adresu u ruteru i onda se mozete pozdraviti sa otvaranjem portova na ruteru buduci imate CGNAT (dupli nat, jedan kod providera, drugi na ruteru). Nista strasno, ili zivite s tim (prije ili kasnije kak se svi boje ipv6, zavrsiti cemo svi na cgnatu. ISP nije duzan dati javni ip, to je njihova "dobra volja" ) ili koristite recimo cloudflare tunel.

Cloudflare tuneli, su kul jer:
- rjesavaju ssl (nema natezanja s certbotom) - bukvalno mozete konfigurirati tunel tipa https://pero.com a doma ga vrtite na http:// i nikom nista kad CF radi terminaciju
- koriste ionako cloudflare CDN
- cak i uz javnu adresu, nikakve portove ne treba otvarati (plus za cgnat)
- niti nije potreban dyndns client, sve ide kroz tunel, samo se domena doda na CF
- sve se bazira na "tunel endpointu" kojeg dignete na svojoj mrezi, moze i na tom rpi ili bilo gdje da moze pristupiti recimo web serveru ili sto se zeli tunelirati

Mislim da je ovdje Chuck lijepo pokrio https://www.youtube.com/watch?v=ey4u7OUAF3c

Sto se glupog WP tice, obavezno gore staviti wordfence i odvojiti 5min za konf i pokretanje, te dodati minimum Disable XMLRPC plugin.

[dbL]

Autor johnsmith

Svaka cast za upute, medjutim, koliko sam brzinski pogledao - jel moguce da nitko nije spomenuo blazeni carrier grade nat (CGNAT)?
Ovisno o provideru, moguce da imate 10.x ili 100.x WAN adresu u ruteru i onda se mozete pozdraviti sa otvaranjem portova na ruteru buduci imate CGNAT (dupli nat, jedan kod providera, drugi na ruteru). Nista strasno, ili zivite s tim (prije ili kasnije kak se svi boje ipv6, zavrsiti cemo svi na cgnatu. ISP nije duzan dati javni ip, to je n