Ein Fehler und die lehre daraus

Vor 2 oder einer Woche habe ich einen Artikel veröffentlicht: Ein Jahr Home-Lab – wie sich das bei mir entwickelt hat. Damals war ich noch stolz darauf, wie reibungslos alles lief. Bis ich einen dicken Fehler entdeckte – und der zeigt mal wieder: Selbst erfahrene Linux-Admins sind nicht fehlerfrei.

Was passiert war?

Ich hatte auf meinem Heimserver eine Fediverse-Instanz am Laufen. Die FRITZ!Box war so konfiguriert, dass die Firewall für diesen Server deaktiviert war und die Portfreigaben offen standen. Klar, ich hatte die unkomplizierte Firewall von Debian (UFW) eingerichtet und korrekt konfiguriert. Aber Docker – das freche Ding – hat sich eigenmächtig Ports geöffnet. (Was ich nicht bedacht hatte – aber normal ist) Plötzlich ging der Upload-Traffic durch die Decke: 40 Mbit/s wurden dauerhaft genutzt, und ich hatte keine Ahnung, wohin die Daten flossen.

Erst als ich die Firewall der FRITZ!Box wieder aktivierte und die Freigaben manuell steuerte sowie den S3-Storage deaktivierte, hörte der Spuk auf. Mein Verdacht: Es lag an der S3-Synchronisation mit meiner Fediverse-Instanz, so meine Vermutung. Dort lief ein Storage für die Benutzerdaten die regelmäßig Daten mit meiner Fediverse-Instanz fedihub.space abgleicht – löscht, hinzufügt, synchronisiert. Irgendwas ist da schiefgelaufen, und Docker hat fleißig Daten ins Nirvana gepumpt. Zum Glück habe ich keine anderen Nutzer auf dem Server bis auf 2 Bots. Nun speichere ich lieber wieder alles lokal auf dem Server.

Wer war der Übeltäter?

Der Hauptprozess lief, der den Traffic verursachte, laut iftop dem Nutzer root unter – ja, genau, Root. Und der zugehörige PID? Ein Fragezeichen. Aber aufgrund der Docker Prozesse die liefen konnte ich Nextcloud und andere Dienste ausschließen, so blieb nur Sharkey übrig. Als ich dann die Instanz stoppte ging auch der Traffic zurück.

Die Lehre daraus?

Selbst wenn man denkt, alles im Griff zu haben: Vertraut keiner Software blind. Nicht mal Docker. Und vor allem: Nutzt die Hardware-Firewall! Bei Hetzner gibt es die Möglichkeit, eine zusätzliche Firewall vorzuschalten – und das sollte man auch tun. Ein Klick mehr, aber ein ganzer Haufen Ärger weniger.

Resümee

Man lernt nie aus. Selbst nach Jahren mit Linux und Servern können dumme Fehler passiert. Aber Hey – hab die Lücke geschlossen und die Fehler ausgemerzt.

Und ihr? Checkt eure Firewall-Regeln, daheim oder beim Hoster. Wenn ihr bei Hetzner hostet: Hardware-Firewall aktivieren. Kostet nichts, rettet aber Nerven.