Ideen für den Anfang mit Proxmox

[sdettmer]

Ja, ich weiß, aber die hat man doch immer noch? Eine .vimrc funktioniert auch heute noch unter BSD genauso wie unter Linux, MacOS X oder einen der letzten propietären Unixe. Für deren Funktion ist es doch egal, ob die Anwendungen ihr Zeug in ~/.vimrc oder ~/.local/.vimrc ablegen. Genausowie wie es für die Funktion des Browsercaches egal ist, wo genau der nun liegt.

Ja schon, aber weil man (früher wegen Netscape, heute wegen allem Möglichen) kein NFS Home mehr hat, muss man halt anders arbeiten. Für mich passt es am besten, dass mein ~ ein Git Repo ist, für andere passt bestimmt was anderes.

Breaking changes und obskure Datenbankformate (das von Netscape war schlimmer als die von dir genannten und eine Eigenentwicklung morkdb hieß das und war noch sehr lange auch in Mozilla und Thunderbird drin) sind natürlich Mist, aber die haben doch nichts mit Poettering und Co zu tun, das kann doch auch so bei einer Anwendung mal passieren?

Heute kannst Du an einem systemd Linux meines Wissens nach keine zwei lokalen Sessions mehr machen. Also zwei Grafikkarten, zwei Tastaturen usw und zwei Benutzer gleichzeitig, das kommt heute durcheinander, weil die Freedesktop-Bewegung der Meinung ist, es gibt nur PCs, also *personal* computer (keine multi-user). Ein lokaler Desktopbenutzer kann z.b. das Netzwerk konfigurieren. Auf einem Laptop ist das für WLAN, ja selbst für OpenVPN prima (und ich finde gut, dass es dafür was gibt - ich hab ja auch ein paar Laptops). Irgendwann seit systemd ist es aber nur noch so möglich. Das systemd Team, ich glaube, sogar Herr Poettering persönlich, sagte dazu treffend "systemd kann man nicht forken, wir sind so mächtig, wir ändern schneller und verteilter, als ihr nachziehen könnt" und das ist leider richtig. Das finde ich doof. Gut, ich habe aktuell keinen Linux-Server, wo ich (wie ganz früher mal) 4 Grafikkarten für 4 Arbeitsplätze drin habe (ich hätte nicht mal ein Mainboard dafür), aber wenn man z.B. kaum noch sowas simples wie einen eigenen DNS resolver oder routing scripts oder was auch immer so bauen kann, dass es mit einem normalen Linux (also so eine übliche Distribution, wobei alle "Großen" ja systemd haben), dann machen das auch wenige und es gibt entsprechende Software einfach nicht mehr. Es gibt dann keine andere resolver. Oder DHCP clients etc. Wenn man es versucht, hat man schnell viele komische Probleme, da geht hier was nicht richtig und da was nicht, Bugs reports bei systemd brauchst für sowas auch gar nicht einkippen ("works as designed"). Damit ist sowas kaum wartbar und Monokultur entsteht (ähnliche Probleme sehe ich auch bei Wayland, da geht halt nur ein User pro Gerät und "iss so", "works as designed", wobei Wayland eigentlich ja "nur" eine Spec für die Anzeige von Bitmaps ist und überhaupt nicht verbietet, all das zu machen, ja, man könnte Wayland in X11 rendern und vermutlich gibt es irgendwo einen Prototypen dafür ).

Das Problem dabei ist, dass in diversen heutigen Netzen (zum Beispiel Uninetzen, die NFS für die Homeverzeichnisse nehmen) diverse Systeme drin sind, wo prinzipiell nicht vertrauenswürdige Leute lokale Admins sind

Dann ist es IMHO kaputt.
NFS (Not For Security) macht IMHO keinen Sinn, wenn ich nicht vertrauenswürdigen Admins oder Geräten darauf Zugriff gebe. Ich darf auch niemand nicht vertrauenswürdigen an meine (unverschlüsselte) SSD ranlassen.
(NFS ist damit so ein "perimeter-gesicherter" Kram, auch wenn die Zone sehr klein ist (je ein LAN oder so). Das passt in irgendwelche zero trust IMHO einfach nicht rein. Dafür ist es relativ einfach, kann viele Benutzer und der NFS Server muss die nicht mal kennen. Manchmal funktioniert es sogar mit locking)

oder Shellzugriff auf NFS-Clientsysteme haben. Sprich: Sobald die dort einen root-Zugriff haben (sei es weil sie eh die Rechte haben oder weil sie eine Lücke ausnutzen) können sie

ja klar
Die Leute sind IMHO dabei kein Problem (wenn Du jemand im Team hast, der sowas macht, schmeißt ihn halt raus und spielst die Backups ein), sondern Angreifer, die Zugriff auf die Konten von Leuten haben (wobei heute der Zugriff aufs Mailpostfach meistens so oder so vollständige Accountübernahmen ermöglicht)

auch jedes auf dem Client lesbare NFS-Share auslesen, auch für die Daten, wo ihnen eigentlich die Rechte fehlen, weil ein root halt immer ein adduser plus su $userid machen kann. Man merkt da einfach das Alter von NFS, in den 1980ern (als das bei Sun zunächst für interne Zwecke entwickelt wurde) und auch frühen 1990ern war es ja grundsätzlich eine valide Annahme, dass nur die Netzwerkadmins (da identisch mit den Admins der im Netzwerk vorhandenen Server und sonstigen Geräte) auf die Weise sich einen Zugriff verschaffen können und die hatten den ja sowieso schon.

Das ist mit CIFS/SMB unter Windows aber genauso, das wissen nur nicht so viele, aber da kann sich ein Administrator SeDiskOperator oder SeBackupOperator (aus dem Kopf) geben (bzw. hat schon) und kann alles machen (allerdings nicht mit explorer.exe, daher wissen das manche gar nicht). Auch kann ein Administrator über \\host\C$ (SMB) remote winlogin.exe tauschen usw. Ein Administrator kann auch Terminalsessions übernehmen und so weiter. Und mimikatz kann ein Administrator natürlich auch nutzen.

Je nach Szenario kann NFS natürlich trotzdem seinen Sinn haben, etwa als Storage für ProxmoxVE (damit wir nicht mehr ganz so schlimm off topic sind *g*), aber da würde ich dass dan nso einrichten, dass über ein eigenes dezidiertes Netzwerk läuft,

Genau (und da müsste man IPv6+IPSec nehmen, oder dedizierte Links, und fürs Management LAN auch, aber sieht man in der Praxis vermutlich eher selten und IPSec kann auch wirklich nervig sein).

wo sonst keiner reinkommt außer eben den PVE-Hosts plus der NFS-Server. Würde man ja für die ZFS-Storage-Replikation oder Ceph im IRegelfall ja auch machen (also mit dezidierten Netzwerk fürs Storage arbeiten). Aber andere Rechner, die VMS/LXCs etc kriegen da dann auf gar keinen Fall den Zugriff.

(na ja, kommt drauf an, was man will und braucht, ich habe hier z.B. VMs, die an NAS rankommen, es direkt mounten, um ihre Jobergebnislogfiles abzulegen, geben tuts immer alles )