Newsgroup: it.comp.os.linux.iniziare
Titolo: Linux in Hosting....

Ciao,
Vorrei installare il crm Odoo in hosting.
 
Da quanto ne so dovrei acquistare uno spazio disco in hosting sulla 
quale installare ubuntu versione 20.04.
 
Ho visto su Aruba ;
 
https://bit.ly/3KbQOnw
 
 
Ma un 1 GB di RAM x far funzionare ODOO non e' poco ?
 
Ci sono delle alternative valide ad Aruna ?
Grazie

 Ci sono delle alternative valide ad Aruna ?
 
quante ne vuoi. amazon ec2, digital ocean, hetzner, ionos, solo per citare 
quelle che mi vengono in mente al volo.
 

 
 
A me interesserebbe qualcuno che spieghi passo-passo come fare per 
creare la vps ed installare software come Linux e altro come Odoo
 
Con l' assistenza magari in italiano.
 
Puo' essere una richiesta banale ma non ho mai avuto un servizio hosting 
quindi preferirei essere sicuro.
 
Grazie 1000
 
 
 

 creare la vps ed installare software come Linux e altro come Odoo
 
creare un vps con uno qualsiasi di questi provider è solo questione di 
pochi click e partono già con il sistema operativo installato (sono 
immagini cloud).
per quanto riguarda l'installazione di questo odoo c'è già una guida passo 
passo: 
 
https://www.odoo.com/documentation/15.0/administration/install/
 
install.html#prepare
 
certo devi essere in grado di seguirla, perché altrimenti non c'è 
spiegazione che tenga. l'alternativa è che qualcuno la faccia per te.
 
inoltre per quanto sia semplice tirare su un serverino sul cloud la sua 
gestione richiede poi un minimo di competenze da amministratore di 
sistema. per intendersi, non è roba per chi è completamente acerbo e 
chiede su icoli di essere seguito passo-passo. per esempio, hai nozioni di 
networking e sai configurare un firewall? perché lì ce l'hai in gestione 
te. sai come accedere in sicurezza via ssh ad una macchina su internet? 
sai come difenderti dagli attacchi che cominceranno dieci minuti dopo che 
l'hai acceso? sai come rendere privato almeno l'accesso amministrativo con 
una vpn punto-punto?
 

 una vpn punto-punto?
 
Mi infilo... Non che mi serva al momento, ma conosci per caso per
eseprienza diretta un documento cui il neofita può far riferimento?
Non dico neofita livello zero, ma neofita sul tema specifico (appunto
sicurezza legata alla gestione server remoto). Meglio se in Italiano
ma va be' anche in inglese è ok...
Con una googolata se ne troveranno enne, si sa, ma vista la risposta
che hai dato magari ne hai avuto a che fare direttamente e sai dare
un'indicazione un po' più "informata" di google.

 un'indicazione un po' più "informata" di google.
 
un documento non saprei, ma probabilmente facendo ricerche puntuali come 
"securing ssh" si ottengono buoni articoli come questo:
https://www.cyberciti.biz/tips/linux-unix-bsd-openssh-server-best-
 
practices.html
 
non tutto ha ragionevolmente senso: quando hai disabilitato l'accesso root 
da remoto, forzata l'autenticazione con chiave pubblica/privata e 
configurato fail2ban per mitigare il brute force sei ragionevolmente 
tranquillo.
 
per tagliare la testa al toro puoi installare una vpn come wireguard che 
ti consente di chiudere la porta ssh su internet e accederci solo via 
indirizzo privato, come descritto qui:
https://www.sartimarco.it/installare-una-vpn/
 
 
 

 
 
Qualcosa so pero' cerchero' di approfondire, d' altronde se non provo a 
realizzare direttamente  le cose faccio fatica ad imparare... :-(
 
Grazie 1000 x l' aiuto
 

 
https://www.sartimarco.it/installare-una-vpn/
 
 
Stavo leggendo questo tutorial e mi e`
sorto un dubbio...
 
Esordisce dicendo:
 
"Tuttavia resta sempre quel piccolo
tarlo nella mente che vi ricorda in
continuazione 'hai il servizio SSH
esposto a tutto il mondo' e che non
vi fa dormire fra due cuscini."
 
Il che ci sta tutto.
 
Pero poi, quando spiega come configurare
"wireguard" c'e`:
 
"Controllate il firewall sia interno del
VPS che quello del vostro cloud provider
che avrete applicato, la porta 51820 dovrà
essere aperta al traffico in ingresso."
 
Quindi uno chiude la 22 ed apre, in questo
esempio, la 51820?
 
Dove sarebbe la sicurezza aggiunta?
 
Assumendo che la sicurezza delle chiavi sia la
stessa, avere "ssh" o "wireguard" cosa cambia?
 
bye,
 
-- 
 
piergiorgio

 prendere un vps.
 
Perdonate la domanda cretina, se prendo un vps, configuro password degli 
utenti, un accesso tramite wireguard ed il firewall, l'azienda che mi 
fornisce la VM puo' accedere al file system? la mia privacy e' tutelata? 
Non che io abbia chissa' quali segreti da nascondere, pero' mi 
piacerebbe che le mie informazioni siano al sicuro.

 piacerebbe che le mie informazioni siano al sicuro.
 
In generale, oltre il problema specifico,
sarebbe il caso di crittografare i dati
*prima* di metterli in un qualunque posto
remoto, cloud od altro.
 
Direi che chi ha sottomano il sistema puo`
forme moltissime cose.
 
bye,
 
-- 
 
piergiorgio


Devi fidarti, possono fare lo snapshot della macchina e farci quello che vogliono, e' ovvio che non puoi metterci niente di cui non
accetti la possibilita' che un terzo ci dia un okkiata.
 
una soluzione potrebbe essere  un server in housing  che e' nettamente piu' costoso, anche perche' per ovvie ragioni di sicurezza ci
puoi piazzare solo HW certificato(niente pc assemblati da sottoscala), anche se  puoi blindare l'HW non sara' mai tutto al 100%
sotto il tuo controllo.

 sotto il tuo controllo.
 
il server in housing costa troppo. io vorrei metterci sopra un'istanza 
di Bookstack, un wiki che uso per documentazione soprattutto tecnica, 
tuttalpiu' valuterei la crittografia del disco come dice Giorgio.

 Vorrei installare il crm Odoo in hosting. 
 
 
quello che ti consiglio, se non sei mai andato di vps e odoo, e' di fare un bel po' di prove su VM su macchina locale, prima di comprare un vps, in modo che tu sappia quanta ram, disco, cpu ti serve (odoo oltretutto da configurare non e' uno scherzo, almeno non lo e' stato per me).
io fino a poco tempo fa avevo un vps aruba, il minimo del minimo, per i miei usi hobbistici andava piu' che bene.
per un uso "pro" io sinceramente non ti consiglio ne' di mettere su un vps, ne' un hosting, io andrei di cloud, ci sono aziende che offrono odoo a un tot al mese, e ti dimentichi il discorso backup (o meglio, un backup fallo comunque che non sbagli, anche se il "grosso" del lavoro tocca poi a loro e non a te), aggiornamenti, update di sistema e roba simile.
Se vuoi invece avere il controllo tu e se accedi a odoo solo dalla tua lan privata, ti consiglio a quel punto di comprarti un serverino, configurartelo in maniera da esporre solo ed esclusivamente le porte che ti servono (e anche agli IP che ti servono, quindi niente che arrivi dal router), e ti togli buona parte dei problemi di sicurezza.


Il buon vecchio 
https://en.wikipedia.org/wiki/Port_knocking
  non lo prendiamo in considerazione ?
Oltre ovviamente a una porta non standard che non fa mai male.
 
Giulia
 

 Oltre ovviamente a una porta non standard che non fa mai male.
 
Oddio, allora tanto varrebbe mettere
"sshd" su 51820, che e` possibile,
in un modo o nell'altro.
 
bye,
 
-- 
 
piergiorgio

 per un uso "pro" io sinceramente non ti consiglio ne' di mettere su un vps, ne' un hosting, io andrei di cloud, ci sono aziende che offrono odoo a un tot al mese, e ti dimentichi il discorso backup (o meglio, un backup fallo comunque che non sbagli, anche se il "grosso" del lavoro tocca poi a loro e non a te), aggiornamenti, update di sistema e roba simile.
 
Ok, ma avere Odoo in Cloud e' come averlo in hosting-vps ? Cioe' posso 
agire sulle directory, caricare moduli OCA oppure sono limitato ?
 
Grazie
 

 "wireguard" cosa cambia?
 
come che cambia scusa? se hai una macchina a cui devi accedere da remoto 
in ssh preferisci metterla dietro una vpn o esporla direttamente?
 

 in un modo o nell'altro.
 
ma assolutamente no!
 

 in ssh preferisci metterla dietro una vpn o esporla direttamente?
 
La mia domanda e`:
 
Che differenza c'e` tra avere la porta 22
esposta all'esterno, oppure la porta 51820?
 
Per lo scopo, "ssh" si comporta, e si puo`
anche configurare, esattamente come VPN.
 
A meno che tu non spieghi esattamente quale
sia la differenza e perche` VPN sia piu`
sicuro di VPN.
 
bye,
 
-- 
 
piergiorgio

 in ssh preferisci metterla dietro una vpn o esporla direttamente?
 
E tanto per dirne una:
 
https://www.terminalbytes.com/sshuttle-vpn-over-ssh-vpn-alternative/
 
 
bye,
 
-- 
 
piergiorgio

 
 
E perche`?
 
Inutile che scrivi "no" e poi non spieghi.
 
Siamo su "iniziare", le spiegazioni sarebbero
il nocciolo del NG.
 
bye,
 
-- 
 
piergiorgio

 sicuro di VPN.
 
"ssh" non VPN, il secondo...
 
bye,
 
-- 
 
piergiorgio

 VPN sia piu` sicuro di VPN.
 
beh ragionaci: ssh è la porta d'ingresso al server, ti torna? se la esponi 
a internet l'attaccante potrà tentare di sfondarla direttamente mentre se 
la metti dietro una vpn l'attaccante dovrà *prima* sfondare la vpn poi 
*anche* la porta d'ingresso.
se riesci a violare wireguard (*) ancora di fatto non sei entrato da 
nessuna parte.
 
(*) che poi sì, wireguard è molto più difficilmente attaccabile by design.
 


utile, ma è un'altra cosa.
 

 
 
 
E nemmeno quello è garanzia totale, perché se non hai il controllo fisico
dell'hardware, chi lo ha ci può fare quel che vuole. Chi si ricorda il caso
Autistici di una quindicina d'anni fa? La polizia è andata dall'housing, si è
fatta dire dov'era il server, e ci ha fatto quel che ha voluto. I proprietari
l'hanno saputo parecchio tempo dopo:
https://it.wikinews.org/wiki/La_polizia_indaga_sui_server_di_Autistici.org
 
 
"...da oltre un anno, la polizia postale aveva copiato i dati presenti sul
proprio server, prelevando i certificati di sicurezza e vanificando così la
protezione offerta dal protocollo SSL"
 
Se non vuoi tenerti il server in casa, devi decidere di chi fidarti  e che cosa
puoi/vuoi mettergli in mano.

 protezione offerta dal protocollo SSL"
 
Gli hanno spento il server e copiato i contenuti e non si sono accorti di nulla,
insomma anche li pirla i sysadmin, considerando che era un server molto delicato
e gia' all' epoca era possibile  prendere alcune contromisure .
 
Giulia
 

 e gia' all' epoca era possibile  prendere alcune contromisure .
 
Ad esempio?

 Parole sante.
 
sì, ma esiste comunque la crittografia. che puoi impostare a vari livelli 
a seconda di cosa vuoi proteggere e da chi.
serve un certo knowledge ma chi ha necessità si può difendere.

 disco durante il downtime.
 
eh ho capito. ma si spegne il server e non te ne accorgi? "normale 
blackout" in una server farm?
e comunque stiamo parlando di problemi di un altro ordine di grandezza. 
per cominciare, un server sul territorio italiano per come la penso io 
anche no. 
 

 (*) che poi sì, wireguard è molto più difficilmente attaccabile by design.
 
OK, chiaro, quindi e` una questione
di "strati" di sicurezza.
 
Thanks!
 
bye,
 
-- 
 
piergiorgio

 (*) che poi sì, wireguard è molto più difficilmente attaccabile by design.
 
Sottoscrivo in pieno.
 

 anche no. 
 
Dipende. Sei esperto di sistemi giuridici esteri e sei in grado di fare una
scelta ragionata? All'estero può essere anche peggio. Preferisco di gran lunga
vedermela con la magistratura italiana che combattere una richiesta di
estradizione negli USA per qualche fantasiosa violazione del Patriot Act, o
altre amenità di altri paesi anche più pericolosi. Dubito che l'ambasciata
ecuadoregna darebbe asilo a me. Personalmente, se non è un sito su Peppa Pig,
più in là di San Marino non andrei.

rootkit wrote on 1/17/22 1:16 PM:

Dici di dare all'hosting un server con full disk encryption? Sì, è una strada,
ma dovrai andare lì ogni volta che hai bisogno di un riavvio. Ci può stare.


dm-crypt e' del 2004 (kernel 2.6 troppo  a ridosso?) almeno le partizioni con i dati delicati potevano tentare di proteggerle,
oltre ovviamente  a sigillare(con dei sigilli) fisicamente la macchina,usare l'apposita fuzione del bios anti intrusione(che sui
server funzionava gia' bene all'epoca).
Gli investigatori erano piu' interessati a certificati ssl che ai dati locali ,da quello che leggo, per poter intercettare il
traffico, anche li da invalidare dopo un sospetto "incidente".
 
Giulia
 
 

 se non è un sito su Peppa Pig, più in là di San Marino non andrei.
 
a parte che non parlo dei provider usa che personalmente evito perché ho 
ben presente il cloud act, ci sono provider europei, francesi e tedeschi, 
che sono nella piena giurisdizione ue (anche per il gdpr) e per di più 
anche ben migliori di aruba sotto tutti i punti di vista.
 

 anche ben migliori di aruba sotto tutti i punti di vista.
 
Le rogne che devi subire se sei indagato all'estero sono parecchie di più, e di
conseguenza immagino anche i costi. Te la senti di venire estradato a Lione o
Stoccarda ed affrontare lì un processo, invece di farlo da casa tua? Il "riparo
geografico" dalle rogne legali è una pia illusione. Se l'FBI convince un giudice
a Chattanooga Tennessee che da te è partita qualche porcheria, poco importa di
dove sia il tuo provider. Se possono identificarti, la nostra polpost sarà ben
lieta di collaborare, e alla bisogna prelevarti.

 collaborare, e alla bisogna prelevarti.
 
guarda, al di la di tutto un caso come quello che hai riportato è avvenuto 
in italia e difficilmente sarebbe avvenuto in un altro paese europeo. cioè 
che le autorità si presentino da un provider, sequestrino un server e che 
il proprietario (che beninteso non è cosa nostra ne qualche organizzazione 
terroristica) lo venga a sapere un anno dopo è un atto abbastanza barbaro 
che, lo dico con amarezza, fra i paesi dell'ue può avvenire solo qui. 
purtroppo il rapporto delle istituzioni italiane con la rete è questo. 
personalmente nel cloud ho tre stupidaggini in croce ma visto che 
all'estero (in ue) ci sono provider cloud che costano meno, più affidabili 
e con più scelta scelgo l'estero senza dubbio alcuno.
 
per dire, ovh anni fa hanno ospitato wikileaks e si sono opposti eccome 
alle richieste delle autorità usa.
 
poi giustamente ognuno valuta con il proprio metro.

 Sono stato indagato e condivido pienamente la disistima per la magistratura.
 
E si puo` dire perche`?
Giusto per curiosita`...
 
bye,
 
-- 
 
piergiorgio

 in italia e difficilmente sarebbe avvenuto in un altro paese europeo.
 
quoto.
 
bye
 
 
-- 
"S'io m'intuassi, come tu t'inmii." - Dante - Paradiso IX,81

 Giusto per curiosita`...
 
Nessun problema. Gestivo un exit node Tor, e sono venuti ad indagare me e
un'altra manciata di persone per una porcheria fatta da chissà chi. Conclusione:
archiviato. Manco arrivato a processo, ma uno stipendio abbondante l'ho dovuto
girare all'avvocato. Sentiti ringraziamenti alla capra ignorante che mi ha
indagato a vanvera.
 
Ecco la perla giuridica:
https://i.ibb.co/b2gBgDn/archiviazione.png
 

 
https://i.ibb.co/b2gBgDn/archiviazione.png
 
 
Molto interessante.
 
Mi raccontava un collega che e` successa una
cosa simile qui in Germania diversi anni fa.
 
In pratica la polizia ha sequestrato server
ed arrestato persone con qualche accusa di
reato in internet.
 
Solo che (alcuni di) questi erano TOR exit
node e quindi non responsabili.
 
Sempre il collega mi diceva che, in quella
occasione, il giudice ha bastonato la polizia
e da, quel momento, sono molto piu` cauti in
questo genere di operazioni.
 
bye,
 
-- 
 
piergiorgio

 ma dovrai andare lì ogni volta che hai bisogno di un riavvio. Ci può stare.
 
Se pero` la pass la metti da tastiera
devi stare attento che non vi sia un
keylogger HW.
 
Quindi, o si usa un metodo di mitigazione
(2~3 caratteri a caso, selezione di tali
caratteri, primo carattere della pass, e
cosi` via...), oppure si usa qualcosa di
esterno, magari il boot da USB stick.
Nell'ipotesi che sia piu` difficile fare
un logging di tutti lo stick via USB...
 
bye,
 
-- 
 
piergiorgio

 ma dovrai andare lì ogni volta che hai bisogno di un riavvio. Ci può stare.
 
se devi dare un server completo, per ovviare al problema prendi un hp con ilo o equivalenti.
anche la connessione a ilo e' su ssh e https.