Gelöst: Kein Webmin-Zugriff auf MySQL-Dienst

[Matthiasss]

Hallo hallo,

bin jetzt auch Debianer und habe nach erfolgreichem Aufsetzen auch gleich ein erstes Problem(chen).

Habe bei Hetzner einen Server gemietet, über den Kundenbereich Debian installiert, per Webmin einen Benutzer angelegt, einen virt. Host angelegt und eine HTML-Seite zum Laufen gebracht. Soweit so gut.

Nun sollte es an MySQL gehen, über Webmin ist es aber nicht erreichbar (Access denied). Per Konsole habe ich getestet ob der Dienst läuft. Hier das Ergebnis:

Code: Alles auswählen

root@Debian-86-jessie-64-LAMP ~ # /etc/init.d/mysql reload
[....] Reloading mysql configuration (via systemctl): mysql.serviceJob for mysql.service failed. See 'systemctl status mysql.service' and 'journalctl -xn' for details.
 failed!
root@Debian-86-jessie-64-LAMP ~ # /etc/init.d/mysql start
[ ok ] Starting mysql (via systemctl): mysql.service.
root@Debian-86-jessie-64-LAMP ~ # /etc/init.d/mysql status
● mysql.service - LSB: Start and stop the mysql database server daemon
   Loaded: loaded (/etc/init.d/mysql)
   Active: active (running) since Thu 2016-12-08 20:48:43 CET; 9s ago
  Process: 2083 ExecStop=/etc/init.d/mysql stop (code=exited, status=0/SUCCESS)
  Process: 2240 ExecStart=/etc/init.d/mysql start (code=exited, status=0/SUCCESS)
   CGroup: /system.slice/mysql.service
           ├─2267 /bin/sh /usr/bin/mysqld_safe
           └─2615 /usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/mysql --plugin-dir=/usr/...

Dec 08 20:48:43 Debian-86-jessie-64-LAMP mysql[2240]: Starting MySQL database server: mysqld ..
Dec 08 20:48:43 Debian-86-jessie-64-LAMP mysql[2240]: Checking for tables which need an upg...re
Dec 08 20:48:43 Debian-86-jessie-64-LAMP mysql[2240]: not closed cleanly..
Dec 08 20:48:43 Debian-86-jessie-64-LAMP systemd[1]: Started LSB: Start and stop the mysql ...n.
Hint: Some lines were ellipsized, use -l to show in full.
root@Debian-86-jessie-64-LAMP ~ #

Also "loaded" und "running" über den Befehl "/etc/init.d/mysql status" hört sich an als würde der Dienst laufen. Gebe ich "/usr/bin/mysql" ein, erreiche ich den MySQL-Monitor. Auch nicht schlecht.

Aber ich möchte gern per Webmin zugreifen, das klappt aber nicht, selbst wenn ich die Zugangsdaten neu definiere.

In der Konfi sind u.a. eingetragen:

Pfad zum mysql-Befehl: /usr/bin/mysql
Pfad zu MySQL-Bibliotheken: /usr/local/mysql/lib
Verbinde zu MySQL-Host: Localhost
MySQL-Port zu welchem verbunden wird: Standard
MySQL Socket-Datei: Vorgabe
MySQL Konfigurationsdatei: /etc/mysql/my.cnf

Hat jemand einen Tipp für mich?

Vielleicht eine nötige Info: Heute habe ich die Module geupdatet, MySQL war auch darunter.

Danke und Gruß
Matthias

[DeletedUserReAsG]

Könntest du den Titel bitte anpassen? Dieses ist kein MySQL-Problem – du solltest schreiben, dass es sich um ein Webmin-Problem handelt.

[letzter3]

Das könnte durchaus ein MySQL-Problem sein, wenn nämlich
- webmin von extern zugreift
- die Konsole auf dem Server gestartet wurde
- in der my.conf der Zugriff von extern verboten wurde (was sowohl standard als auch sinnvoll ist).

[whisper]

Öffentlicher Server und Webmin?

WO ist das Popcorn?

[DeletedUserReAsG]

Das könnte durchaus ein MySQL-Problem sein, wenn nämlich
- webmin von extern zugreift

Jo, genau dann ist’s ein Webminproblem. Wenn der Threadstarter wirklich Unterstützung will, und tatsächlich nicht zum Trollen gekommen ist, sollte er zumindest mehr Infos liefern.

[Matthiasss]

Guten Morgen,

danke für Eure Antworten, ich versuche Euch zu folgen, da ich anfänger in der Materie bin. Ich arbeite zum ersten Mal mit einer Konsole, dafür habe ich Putty von meinem W10-Rechner aus benutzt.

@letzter3: Ok, ich versteh Dich so: Da es Standard ist, dass extern nicht auf die my.cnf zugegriffen werden darf, schafft es auch Webmin nicht.

@whisper: Was an meinem Server ist öffentlich? Kannst Du da bitte konkreter werden?

Hier weitere Infos:

Code: Alles auswählen

Connection id:          47
Current database:
Current user:           root@localhost
SSL:                    Not in use
Current pager:          stdout
Using outfile:          ''
Using delimiter:        ;
Server version:         5.5.53-0+deb8u1 (Debian)
Protocol version:       10
Connection:             Localhost via UNIX socket
Server characterset:    latin1
Db     characterset:    latin1
Client characterset:    utf8
Conn.  characterset:    utf8
UNIX socket:            /var/run/mysqld/mysqld.sock
Uptime:                 11 hours 19 min 10 sec

Welche weiteren Infos könnten helfen?

Gruß Matthias

[Matthiasss]

Ok, habe mir selbst helfen können.

Ich habe nach dieser Anleitung (https://www.cyberciti.biz/tips/recover- ... sword.html) das Passwort neu gesetzt und dann in der Modulkonfi nachgetragen.

Danke

[uname]

Ein paar Punkte:

a.) Server im Internet
Gemeint ist, dass der Server aus dem Internet erreichbar ist und gewisse Dienste angeboten werden. Hierzu zählt nicht die MySQL-Datenbank, aber vielleicht Webmin.
Du kannst mal schauen. Poste bitte nicht das Ergebnis bzw. keine weltweiten IP-Adressen:

Code: Alles auswählen

netstat -tulpen

b.) Webmin
Die Anwendung Webmin ist bei Debian schon vor Jahren aus Sicherheitsgründen aus den Paketquellen geflogen. Wenn man Webmin nutzt, dann bitte nur per SSH-Local-Port-Forwarding. Solltest du es so nutzen ist es in Ordnung. Aber Webmin führt nur dazu, dass du über Linux nichts lernt. Wie bei Windows wird dir mit einer GUI alles vorgekaut. Sinnvoll ist Webmin nicht.

c.) vorinstallierte Serverversion
der Name "Debian-86-jessie-64-LAMP" deutet an, dass du diese Konfiguration beim automatischen Aufsetzen von Hetzner gewählt hast. Persönlich rate ich davon ab. Am besten ist es ein minmal lauffähiges System installieren zu lassen und dann die zusätzlichen Komponenten wie Apache2, MySQL, PHP selbst zu installieren. Auch hier lernt man mehr. Dokumentiere alle Anpassungen falls du mal neu installieren musst.

d.) sysVinit vs. systemd
Du nutzt teilweise veraltete Befehle. Beschäftige dich mit sysVinit und systemd

e.) Testsystem zuhause
Du kannst auf jedem beliebigen Rechner (gerne 10 Jahre alt) ein Debian Jessie installieren und die Serverdienste wie SSH, Apache2, MySQL, PHP installieren. Ob du nebenbei eine GUI (Gnome, KDE, Xfce, ...) installierst oder nicht ist vollkommen egal. So kannst du zuhause das testen, was du auf deinem Server nutzt. Alternativ kannst du z.B. auch einen Raspberry Pi oder ähnlichen Ein-Platinen-Rechner verwenden.

[whisper]

Wenn man einen Server im Internet zur Schau stellt, ist das "öffentlich"
Oder hat man zu deinem Server nur Zugang via VPN?
Popcorn deshalb, weil die überwiegene Anzahl von Usern in diesem Forum zu Recht den Kopf schütteln, wenn jemand eine Weboberfläche zum Administrieren eines Servers, der im Internet erreichbar ist, ablehnt.

[Matthiasss]

Ok, werde ich mir durch den Kopf gehen lassen. Einen Home-Rechner zum Testen ist auf jeden Fall sinnvoll, da stimme ich Dir zu. Danke.

[Matthiasss]

Popcorn deshalb, weil die überwiegene Anzahl von Usern in diesem Forum zu Recht den Kopf schütteln, wenn jemand eine Weboberfläche zum Administrieren eines Servers, der im Internet erreichbar ist, ablehnt.

Hää? Ich lehne ja nicht ab, falls Du Deinen Satz überhaupt so meinst. Und vielleicht lässt Du mich einfach mal im Thema ankommen oder gibst mal sinnvolle Hinweise wie z.B. uname. Wenn Du Anfänger nicht magst, warum interessiert Dich dieser Thread dann überhaupt?

[DeletedUserReAsG]

Die Sache ist, dass von Anfängern betriebene Server oft genug aufgemacht und als Ausgangspunkt für Angriffe gegen die Kisten anderer User oder auch „nur“ als Spamschleudern missbraucht werden. Deswegen wird es hier absolut nicht gerne gesehen, wenn jemand als Anfänger einen öffentlich erreichbaren Server holt, und noch weniger schön ist’s dann, wenn dieser sich auf „Administrationsoberflächen“ verlässt, die a) sich in der Vergangenheit selbst als Angriffspunkt erwiesen haben, b) den Anfänger davon abhalten, sich tatsächlich mit der Administration eines Servers ansich zu beschäftigen (á la „Was muss ich wissen, wie das mit den Konfigurationsdateien und Logs und so funktioniert, ich hab’ doch einen Button⸘“) und c) teils ziemlich tief ins System eingreifen, so dass Standardverfahrensweisen bei Fehlersuchen und beim Absichern nicht mehr funktionieren.

Ist in der Regel nicht persönlich gemeint, aber die Ansicht, dass jemand, der auf Webmin angewiesen ist, erstmal keinen öffentlich erreichbaren Server betreiben, sondern zunächst lokal üben sollte, teile ich mit vielen anderen hier.

[uname]

Vielleicht zur Erklärung:
Webmin ist nicht nur eine unsichere Anwendung, sondern widerspricht den ursprünglichen Grundgedanken einer ordentlichen Server-Adminstration. Hierfür muss man wahrscheinlich einige Jahrzehnte in der UNIX/Linux-Geschichte zurück gehen. Es lohnt sich auch für jüngere Anwender sich mit den Ursprüngen auseinander zu setzen.
Früher war es mal so, dass man für eine Administration sowohl bei MS-DOS als auch bei UNIX/Linux ein gewissen IT-Sachverstand brauchte. Hierfür hat man Bücher (damals noch aus Papier) gelesen. Irgendwann kam jemand auf die Idee alles bunt und klickbar zu gestalten. Einen Befehl zu wissen ist eine Sache. Durch irgendwelche Menübäume zu gehen kann jedes Kind. Klar, dass jedoch das Wissen fehlt und es somit zu Problemen kommt. Windows ist ein schönes Beispiel wo der Anwender nichts mehr weiß geschweige denn kontrolliert.

Genauso verhält es sich bei Webmin. Webmin ist ein Werkzeug, um kein UNIX/Linux-Wissen aufzubauen. Nicht mehr und nicht weniger. Natürlich nutzt man heute automatische Abläufe, um IT zu automatisieren. Aber für deinen kleinen Spielserver wäre es weit besser, wenn du lernen würdest, wie man z.B. Benutzer von Hand anlegt.

So könnte es sein, dass du die Befehle "useradd" oder "adduser" findest. Mit "which useradd" bzw. "which adduser" findest du den Pfad zum Programm. Auch könntest du dich wundern, warum "useradd" zum Paket passwd gehört. "adduser" jedoch zum Paket adduser. Über "useradd --help" oder "adduser --help" gibt es evtl. Hilfe. Auch kannst du dir zu den Paketen wiederum alle enthaltenen Programme anschauen (dpkg -L passd bzw. dpk -L adduser). Hierdurch findest du weitere Programme und neue Ideen.
Wenn dir das zu langweilig wird kannst du dir mal alle Programme in /usr/sbin, /sbin, /usr/bin und /bin anschauen. Das ist so einiges. Alleine das Paket coreutils bietet einige interessante Programme um das Linux-Wissen zu vertiefen. Wenn du weiter nur klicken willst gehe besser zurück zu Windows.

Aber insgesamt ist die Debian-Paketstruktur überall einheitlich. Du kannst mit dem sinnlosen Beispiel der Benutzeranlage viel lernen. Bei Webmin lernst du nichts. Du musst für dich selbst entscheiden ob du eine flache oder steile Lernkurve verfolgen willst. Lese einfach hier im Forum mit. Da gibt es einige Anreize. Einfach die Probleme anderer nachvollziehen. Schneller kannst du gar nicht IT-Wissen aufbauen.

[Blackbox]

Uns würde der genaue Fehler und natürlich deine Lösung brennend interessieren.
Danke!

[Matthiasss]

Werde mir Eure Hinweise nochmal durch den Kopf gehen lassen. Obwohl ich mich frage, warum mir Hetzner dann einen in Euren Augen unsicheren Server verkauft.Hmmm...

Der Fehler lag in meinen Augen darin, dass das MySql-Passwort nicht mit dem Root-Passwort übereinstimmte. Daher konnte das in der Modulkonfi hinterlegte Passwort nicht wirken. Nachdem ich das MySql-Passwort des Root-Users per Konsole korrigiert hatte, lief es wieder.

[DeletedUserReAsG]

Der Fehler lag in meinen Augen darin, dass das MySql-Passwort nicht mit dem Root-Passwort übereinstimmte.

In meinen Augen wäre es ein Fehler, wenn MySQL- und Root-Passwort übereinstimmen würden.

Obwohl ich mich frage, warum mir Hetzner dann einen in Euren Augen unsicheren Server verkauft.

Sie verkaufen dir gar nichts. Sie vermieten dir die Hardware und bauen auf Wunsch ein aus eigener Kraft lauffähiges System drauf. Dein Job ist es, das deinen Bedürfnissen anzupassen und abzusichern. Ich persönlich halte es für eine gute Praxis, nach dem Übernehmen einer solchen Maschine erstmal alles wegzumachen (mit dd if=/dev/zero of=/dev/sd[abcd…] – dann weiß man gleich, ob die HDDs okay sind) und ein den eigenen Ansprüchen entsprechendes System von Grund auf neu aufzusetzen.

[Blackbox]

Der Fehler lag in meinen Augen darin, dass das MySql-Passwort nicht mit dem Root-Passwort übereinstimmte.

Das Kennwort der Datenbank sollte immer unterschiedlich, zum Kennwort des Root-Kontos sein!

Ich schließe mich meinen Vorpostern an, du solltest mit deinem Kenntnisstand keinen Server betreiben, der am Internet hängt.
Hetzner hat dir keinen unsicheren Server verkauft - zumindest nicht unsicherer, als bei anderen Hostern - , sondern du hast mit deiner Ahnungslosigkeit den Server erst unsicher gemacht (konfiguriert).

Bei dieser Gelegenheit gibt es wie immer von mir, meine zwei Lieblingsseiten zum Thema.
Viielleicht fällt dir durch die Links auf, wie grob fahrlässig du dich verhältst?

• http://www.krawallursache.de/verschiede ... kein-plan/
• http://serverzeit.de/tutorials/admins-haften

[Matthiasss]

Laut Hetzner ist das MySql-Passwort bei der Auslieferung das gleiche wie das Root-Passwort. Aus urinstinktiver Logik habe ich es bei dieser Gelegenheit gleich in ein anderes geändert. Womit also verhalte ich mich GROB fahrlässig? Dadurch, dass ich das Teil miete (ich weiß, dass ich da nichts kaufe, danke) und nicht sofort die Platte formatiere? Ist das Euer Ernst? Ehrlich?

Was GENAU an diesem Server ist seit der Auslieferung an mich unsicher (außer die vorhandene Installation von Webmin)? Möchte jemand die IP wissen und mir zeigen wie einfach es ist, den derzeitigen Stand zu hacken? Kein Problem, danach kann ich ja immer noch die Platte formatieren, wenn Euch das beruhigt. Also ganz ehrlich: Wer möchte? Wer mir eine txt-Datei mit seinem Mitgliedsnamen ins Root-Verzeichnis legt, bekommt von mir eine Belohnung per PayPal.

[DeletedUserReAsG]

Dadurch, dass ich das Teil miete (ich weiß, dass ich da nichts kaufe, danke) und nicht sofort die Platte formatiere? Ist das Euer Ernst? Ehrlich?

Dadurch, dass du so ein Teil mietest, obwohl dir augenscheinlich das Grundlagenwissen dazu fehlt, und dadurch, dass du Webmin drauf hast (solange du nicht schreibst, dass es so konfiguriert ist, dass es nur von innen, also via ssh-Tunnel o.ä. erreichbar ist, gehe ich davon aus, dass es öffentlich erreichbar ist – und das ist nunmal grob fahrlässig). Im Ernst. Echt. Ehrlich. Fällt’s dir so schwer, Kritik anzunehmen?

Leider habe ich kein PayPal, und werde mir das für den Gegenwert einer Packung Kekse auch nicht holen. Auch bedarf es der Schriftform (also so richtig auf Papier, mit Unterschrift und so), um da einigermaßen rechtssicher agieren zu können.

Aber die IP kannste trotzdem mal geben – sobald die dann in meinen Logs als potentiell angreifend auftaucht, weiß ich ja, von wem ich ’ne kostenpflichtige Unterlassungserklärung anfordern kann …

[uname]

So schlimm sind v- und root-Server auch nicht. Millionen von Windows-Spamschleudern haben heute auch VDSL-Anbindung und werden über C&C-Server ferngesteuert. Somit alles gut.

[DeletedUserReAsG]

Kein ordentlicher Mailprovider nimmt heute noch Mails von Dialup-Verbindungen an. Ein gemieteter Server mit fester IP ist mehr wert, als tausend Dialup-Zombies.

Ich sag’s mal so: mittlerweile stehen ganze Ranges von Serverprovidern in Blacklists, gerade weil es zuviele Leute gibt, die meinen, mit einem oder zwei Klicks ist die Kiste administriert, deren Server dann Spam oder sonstiges mit 100MBit/s raushaut, und die das noch nicht mal merken – weil keiner ihnen von Logs und netstat und top und dem ganzen Kram erzählt hat, und ihr Webmin/Plesk/wasauchimmerfür’nMüll das nicht anzeigt!

[TRex]

Jetzt beruhigt euch alle mal wieder - wärs so einfach, nen Server grundlegend zu kapern, wär jeder zweite offen. In der Realität dauerts etwas, bis eine Sicherheitslücke bekannt wird. Die wird dann in den dunklen Ecken des Internets gehandelt und irgendwann (mit etwas Hoffnung sehr schnell nach Erstnutzung) von den Entwicklern gefixt.

Lieblingsspielzeug (den http-logs meiner Kiste nach) scheint phpmyadmin zu sein, weil es von Noobs mit chmod 777 nach /var/www entpackt und nie wieder aktualisiert wird... da funktionieren dann auch noch die Exploits von 2012.. und gegen so ein Vorgehen helfen auch keine Securitypatches gegen 0days mehr. Sollte Matthiasss also in 6-12 Monaten immer noch auf seiner Kiste das ursprüngliche tar.gz von heute dort auf Port 1000 lauschen lassen, dann haben wir eventuell ne Kiste, wo wir unsere Usernamen ablegen können. Heute können wir nur freundlich mahnen, das nicht zu tun.

[DeletedUserReAsG]

ICH BIN RUHIG!!k

[scnr]

[BenutzerGa4gooPh]

Beim Lesen des Threads stellt sich mir die Frage, warum Hetzner webmin überhaupt zulässt (könnte ja auch von Hetzner geblockt werden) bzw. sogar Webmin vorkonfiguriert. TRex' AW wäre eine Erklärung: Richtig konfigurieren, dann okay?
(Unabhängig davon verstehe ich die Argumente der Vorredner.)

[TRex]

TRex AW wäre eine Erklärung: Richtig konfigurieren, dann okay?

Definiere "richtig": kein Zugriff von außen (sondern nur über SSH-Forwarding gegen localhost) wäre okay. Absicherung via basic auth wäre auch okay (gegeben sei ein ausreichendes Passwort...). Regelmäßige Aktualisierung wäre wohl auch noch in Ordnung. Wenn das Paket aber nicht einmal im repo ist, dann kann man letzteres nicht ordentlich durchziehen.