Rudi

Rudi ist unser VM-Host: Direkt tut er nicht viel, aber er bietet Raum für VMs, die von den Mitgliedern selber verwaltet werden. Dafür hängt er mit seinen 2 LAN-Ports sowohl im Mitgliedernez als auch in der DMZ.

VM beantragen

Wenn du eine VM einrichten willst, wende dich an einen der Admins (siehe die Übersicht über unsere Systeme). Der Admin wird folgende Angaben benötigen:

• Gewünschte Distribution inkl. Version (bevorzugt werden Debian stable/testing sowie Ubuntu LTS, aber auf Wunsch ist quasi alles möglich)
• Gewünschte Menge RAM
• Gewünschte Festplattenkapazität (Rudi hat momentan nur eine SSD, hier also bitte sparsam sein)
• Gewünschtes Netz: Mitgliedernetz (durch Nina vor der bösen weiten Welt geschützt), oder DMZ Ein Zugang in beide Netze wird aus Sicherheitsgründen nicht gewährt.

Bitte beachte, dass du für die VM selber verantwortlich bist! Das bezieht sich auf das Einspielen von Sicherheitsupdates sowie jegliche weitere, administrative Tätigkeiten.

Besondere Regeln für Maschinen in der DMZ

Für VMs in der DMZ gelten zum Schutz vor Angreifern weitere Einschränkungen:

• Es muss eine Firewall für IPv4 und IPv6 eingerichtet sein
• SSH-Logins für root müssen deaktiviert sein (/etc/ssh/sshd_config: "PermitRootLogin no")
• Passwortbasierte SSH-Logins müssen deaktiviert sein (/etc/ssh/sshd_config: "PasswordAuthentication no")

Vermutlich wirst du außerdem eine DynDNS-Domain haben wollen. Falls du eine Webseite hosten willst, muss auf dem Brückenkopf ein Proxy für dich eingerichtet werden. Und falls du E-Mails verschicken willst, geschieht dies ebenfalls über den Brückenkopf.

Firewall-Beispielkonfiguration

Hier ein Beispiel für eine Ferm-Konfiguration, die nur SSH zu lässt (den Port musst du an deine VM anpassen):

# -*- shell-script -*-
#
#  Configuration file for ferm(1).
#

domain (ip ip6) {
    chain OUTPUT policy ACCEPT;
    chain FORWARD policy DROP;

    chain INPUT {
        policy DROP;

        # connection tracking
        mod state state INVALID DROP;
        mod state state (ESTABLISHED RELATED) ACCEPT;
        # allow local packets
        interface lo ACCEPT;
        # allow ICMP
        proto icmp ACCEPT;

        # allow SSH connections
        proto tcp dport 22 ACCEPT;
    }
}

Schreibe das nach /etc/ferm/ferm.conf und installiere es mit ferm --interactive /etc/ferm/ferm.conf.

Zugang

Falls die VM im Mitgliedernetz hängt, ist sie nur von dort erreichbar: Also via LAN oder über das 2.4 GHz WLAN.

Maschinen in der DMZ sind auch vom Gastnetzwerk erreichbar, sowie (falls eine Portweiterleitung eingerichtet wurde) von außen.

VMs

Die VMs sind alle als System gelistet, samt ihrer Admins.