Videokonferenzen selbst hosten

Fang doch einfach mit einem kleinen Server an und upgrade bei Problemen. 
Normalerweise geht das innerhalb von Minuten ohne Neuinstallation, nur 
Downgrades sind in der Regel nicht so einfach möglich.

Bei Jitsi hängt die Last auf dem Server stark davon ab, wo der Server im 
Verhältnis zu den Clients steht (Peering) und davon, wie die Clients 
angebunden sind (Internetprovider, Router etc.). Im Idealfall hast du 
auf dem Server kaum Traffic, weil die Clients die großen Datenmengen 
direkt untereinander austauschen. Im schlechtesten Fall hast du von 
jedem Client den vollen Datenstrom auf dem Server.

Ich würde halt darauf achten einen Hoster zu wählen, der einigermaßen 
zuverlässig die beworbene Leistung liefert und nicht den letzten 
Billigheimer nehmen, der seine Kisten völlig überbucht.

Korrektur: Die Last hängt natürlich nicht vom Standort des Servers bzw. 
dessen Peerings ab, aber die Performanz des Ganzen.

VID schrieb:
> kennt (self-host, open-source)

Uploadgeschwindigkeit? Nicht jeder im Lande kann aus den Vollen 
schöpfen.

kru schrieb:
> Fang doch einfach mit einem kleinen Server an und upgrade bei Problemen.
> Normalerweise geht das innerhalb von Minuten ohne Neuinstallation, nur
> Downgrades sind in der Regel nicht so einfach möglich.

Danke für den Tipp! Ist das ohne weiteres möglich, die Konfiguration 
jederzeit zu ändern? Ich möchte das System zu Ostern bereits im Einsatz 
haben...

kru schrieb:
> Ich würde halt darauf achten einen Hoster zu wählen, der einigermaßen
> zuverlässig die beworbene Leistung liefert und nicht den letzten
> Billigheimer nehmen, der seine Kisten völlig überbucht.

Ich habe mir den Hoster ipax.at ins Auge gefasst...
Die Server stehen dann in Wien. (Ich bin aus Österreich, von daher 
stehen die nicht weit weg von mir...)

oszi40 schrieb:
> Uploadgeschwindigkeit? Nicht jeder im Lande kann aus den Vollen
> schöpfen.

100MBit/s laut Ipax.

VID schrieb:
> Wie stark sollte man einen Jitsi Server
>
> A. Für eine Konferenz mit nur 3 Teilnehmern (HD-Video + Audio)
>
> B. Für eine Konferenz mit ca. 10 Teilnehmern (HD-Video + Audio)
>
> C. Für eine Konferenz mit ca. 35 Teilnehmern (SD-Video + Audio)

Für jede Konferenz musst du einen Fachinformatiker oder 
Informatikstudenten einstellen, der deine Unfähigkeit, mit technische 
Aufgaben zu bewältigen und Anforderungen zu recherchieren, wettmacht.

Die Herangehensweise erinnert mich an Hoteliers, die WiFi-Repeater
nur in vorhandene Steckdosen platzieren und sich dann ueber
Beschwerden aufregen.

Habe soeben erfahren, dass mittlerweile das performantere 
jitsi-videobridge2 stabil ist.
Hat vielleicht jemand Erfahrung damit? Habe gelesen, dass man damit 
Konferenzen über 100 Teilnehmer fahren kann.

VID schrieb:
> Habe gelesen, dass man damit
> Konferenzen über 100 Teilnehmer fahren kann.

Wer kann, der kann.

VID schrieb:
> C. Für eine Konferenz mit ca. 35 Teilnehmern (SD-Video + Audio)

Du bist als Geschäftsinhaber und suchst eine Lösung für deine Firma?

Nano schrieb:
> Du bist als Geschäftsinhaber und suchst eine Lösung für deine Firma?

Für eine Firma ist es nicht, aber wenn du eine gute open-source Lösung 
hast, würde es mich trotzdem freuen.

VID schrieb:
> Nano schrieb:
>> Du bist als Geschäftsinhaber und suchst eine Lösung für deine Firma?
>
> Für eine Firma ist es nicht, aber wenn du eine gute open-source Lösung
> hast, würde es mich trotzdem freuen.

Ich kenne leider auch nur Jitsi.
Ich würde aber mal bei den Entwicklern oder deren Userbereich 
nachfragen, was für Leistung so ein Jitsi Server benötigt. Die haben 
sicherlich Erfahrungswerte und können dir verlässlichere Informationen 
dazu geben.

Denke daran, dass du für deinen Server voll haftest. Ich würde dir daher 
zu einem Managed Server raten, der wird wenigstens 24 h von 
professionellen Admins gepflegt und im Haftungsfall trifft es dann den 
Hostinganbieter und nicht dich.
Vielleicht gibt es auch Unternehmen, die sich auf Jitsi Server 
spezialisiert haben.

Nano schrieb:
> Denke daran, dass du für deinen Server voll haftest. Ich würde dir daher
> zu einem Managed Server raten, der wird wenigstens 24 h von
> professionellen Admins gepflegt und im Haftungsfall trifft es dann den
> Hostinganbieter und nicht dich.
> Vielleicht gibt es auch Unternehmen, die sich auf Jitsi Server
> spezialisiert haben.

Es geht mir auch um den Lerneffekt.
Wenn man SSH gut absichert (Schlüsseldatei+Passwort, kein Root-Login, 
fail2ban), die automatischen Updates aktiviert (alle, inkl Kernel 
Livepatch), die ungenutzten Ports mit UFW sperrt und alle paar Tage mal 
schaut, ob alles noch passt, dann dürfte es ja kein Problem sein, oder?
Selbst wenn eine Schwachstelle in einer Software ausgenutzt werden würde 
(die ich ja immer am aktuellsten Stand halte), wäre ich ja nicht Schuld 
daran, nicht?

VID schrieb:
> Es geht mir auch um den Lerneffekt.

So etwas macht man Zuhause im eigenen LAN.

> Wenn man SSH gut absichert (Schlüsseldatei+Passwort, kein Root-Login,
> fail2ban), die automatischen Updates aktiviert (alle, inkl Kernel
> Livepatch), die ungenutzten Ports mit UFW sperrt und alle paar Tage mal
> schaut, ob alles noch passt, dann dürfte es ja kein Problem sein, oder?
> Selbst wenn eine Schwachstelle in einer Software ausgenutzt werden würde
> (die ich ja immer am aktuellsten Stand halte), wäre ich ja nicht Schuld
> daran, nicht?

Gegen zeroday Lücken hilft nur, das System rund um die Uhr zu überwachen 
und auf darauf entdeckte Merkwürdigkeiten entsprechend zu reagieren.

Neben zeroday Lücken kann es aber auch passieren, dass eine 
Sicherheitslücke gemeldet wird, es aber noch keinen Patch gibt, sondern 
nur einen Workaround. Dann müsstest du den Workaround manuell umsetzen, 
damit dein Rechner wieder sicher ist. In der Zeit ist er angreifbar.

Bezüglich der Schuldfrage ist das eben sehr dünnes Eis. Man könnte dir 
bspw. Fahrlässigkeit vorwerfen, wenn du nur alle paar Tage nach dem 
Rechner schaust.
Und grundsätzlich bist bei einer Klage erst einmal du der Betroffene.
Bei Urheberrechtsverletzungen von normalen DSL Anschlüssen aus ist das 
ja auch so.
Als Privatperson haftest du eben mit deinem Privatvermögen und die 
Betroffenen wollen wahrscheinlich Geld sehen, wenn dein Server deren 
Serverdienst lahm legt.

VID schrieb:
> und Tipps

man
https://github.com/jitsi/jitsi-meet/wiki
https://www.howtoforge.de/anleitung/so-erstellen-sie-ihren-eigenen-videokonferenzserver-mit-jitsi-meet-auf-ubuntu-1804-lts/

Für sein tun ist man selbst verantwortlich.

Ok, was würdet ihr dann noch machen, um Fahrlässigkeit auszuschließen?

Gibt es z.B. irgendwelche empfehlenswerte Tools, um Bösewichte 
rechtzeitig zu erkennen und den Server dann sofort herunterzufahren?

Wo muss man sich registrieren, um solche Workarounds mitzubekommen?

(Ich könnte den Server auch nur dann einschalten, wenn ich es gerade 
verwende, das senkt das Risiko schon mal...)

VID schrieb:
> um Fahrlässigkeit auszuschließen?

Betrieb ausreichend überwachen um Auffälligkeiten frühzeitig zu 
erkennen. Ohne Erfahrung würde mir vieles nicht gleich auffallen. 
Deswegen lieber als Trittbrettfahrer bereits funktionierende Lösungen 
nutzen.

Ok, wo kann man sich denn einen managed Jitsi-Server mieten?

Hallo Kai!

Vielen, vielen herzlichen Dank für deine Nachricht!

Deine Worte haben mich wieder ein bisschen ermuntert, nicht ganz so 
schnell zu glauben, dass Server nichts für mich wären.

Aber wohl eher nicht diesmal, denn der Dienst, den du verlinkt hast, ist 
echt super! Du hast mein Osterfest gerettet. Habe in null-komma-nichts 
einen Jitsi-Server gratis bekommen. Das ist toll! Wahrscheinlich sogar 
wesentlich leistungsfähiger, als das, was ich aufgesetzt hätte. Und 
länger, als einen Monat hätte ich meinen sowieso auch nicht behalten.

Und falls die Krise noch länger andauert, trau ich mich vielleicht doch 
wieder ein bisschen an den Server dran!

Danke nochmals und bleib gesund! Alles Gute!

VID schrieb:
> Ok, was würdet ihr dann noch machen, um Fahrlässigkeit auszuschließen?

Professionelle Hosting Betreiber überwachen managed Server 24 h 7 Tage 
die Woche, als Privatperson kannst du das logischerweise nicht schaffen, 
man muss schließlich auch mal schlafen.


> Gibt es z.B. irgendwelche empfehlenswerte Tools, um Bösewichte
> rechtzeitig zu erkennen und den Server dann sofort herunterzufahren?

Zum Überwachen gibt es Monitorsoftware, sowie Intrusion Detection 
Systeme (IDS). Das mindeste wäre eine E-Mail Benachrichtigung an dich 
selbst.


> Wo muss man sich registrieren, um solche Workarounds mitzubekommen?

Abbonniere den CERT Newsletter beim CERT-Bund. Du musst dich dazu 
registrieren, das kostet nichts, das ist ein Angebot des Bundesamt für 
Sicherheit in der Informationstechnik (BSI).
Sobald du dich registriert hast, kannst du auf deren Webseite 
einstellen, über welche Software und welches System du 
Sicherheitsinformationen erhalten willst. Es gibt nicht für jede 
Software einen Nachrichtendienst, aber die wichtigste Software ist 
dabei.

Die Meldungen landen dann in deinem E-Mail Postfach.
Das Aufkommen der Meldungen ist je nach dem über was du alles 
benachrichtigt werden willst recht hoch. Am Donnerstag bekam ich bspw. 
11 Sicherheitsmeldungen über diverse Software über die ich eine 
Benachrichtiung eingerichtet habe.
Richte dir also in deinem E-Mail Programm einen separaten Ordner mit 
Filter ein in dem du die Meldungen des BSI verschiebst, dann mischst 
sich das nicht mit deinen anderen Mails.

https://www.cert-bund.de/register

Die Meldungen solltest du lesen, da steht dann drin, ob es schon Patches 
gibt und welche Gefahr bei der Sicherheitslücke besteht, womit man dann 
einschätzen kann ob überhaupt Handlungsbedarf besteht. Eine 
Sicherheitslücke für die man lokalen Zugang braucht ist bspw. etwas 
anderes, als eine, die sich vom Netz aus nutzen lässt.

Wie man Workaraounds macht, dazu solltest du selber drauf kommen bzw. in 
der Lage dazu sein, bei Meldungen die Microsoftprodukte betreffen steht 
üblicherweise in der Meldung noch ein Link zu Microsoft für weitere 
Informationen bezüglich der Sicherheitslücke und da steht dann 
gegebenenfalls auch ein Workaround dabei.
Wenn du selber drauf kommen musst, dann kann das z.b. so laufen:
Wenn bspw. ein Dienst, der auf deinem Server läuft, anfällig ist und 
noch kein Update erhalten hat, dann könntest du ihn als Workaround 
herunterfahren bis Updates verfügbar sind. Manchmal genügt es auch 
bestimmte Funktionen des Dienstes abzuschalten, wenn die 
Sicherheitslücke nur solche Funktionen betrifft.
Wenn du eine Linux Distribution verwendest, die schlecht gepflegt wird. 
Z.B. Ubuntu Server bei den universe und multiverse Paketen, dann musst 
und solltest du die Pakete selber updaten um die Sicherheitslücken durch 
eine neuere Version, in der diese gefixt wurde, zu beheben.
Ich persönlich würde Debian nehmen.

Hast du Software, die vom CERT-Bund nicht abgedeckt wird, dann kann es 
sinnvoll sein, bei der Projektwebseite der Software nachzusehen, ob sie 
eine eigene Security Announcement Mailingliste hat.
Wenn ja, dann trag dich da ein, dann kriegst du Informationen über 
Sicherheitslücken mit.

Manche Distributionen bieten ebenfalls Security Announcement 
Mailinglisten an.

Z.b. für Debian:
https://www.debian.org/security/

Der Debian Security Tracker kann ebenfalls hilfreich sein:
https://security-tracker.debian.org/tracker/


> (Ich könnte den Server auch nur dann einschalten, wenn ich es gerade
> verwende, das senkt das Risiko schon mal...)

Ja oder du schaltest die Dienste erst dann ein, wenn du sie benötigst 
und machst den Server ansonsten komplett mit entsprechenden Firewall 
Filterregeln dicht.
Wenn dann aber eine Sicherheitslücke im Kernel bspw. im Code der 
Firewall ist, solltest du dennoch handeln.

Sperre dich aber nicht aus. Wenn der Server irgendwo bei einem Hoster 
steht, brauchst du natürlich weiterhin ssh Zugriff.
ssh kann man mit Ban2Fail einschränken.
Ebenfalls macht es Sinn mit der Firewall Anfragen von IP Adressen aus 
anderen Ländern für den ssh Zugang zu sperren.
Noch besser wäre ein Kontrollserver mit fester IP Adresse, dann könntest 
du den ssh Zugriff auf dessen IP beschränken, so dass nur dieser sich 
einloggen kann.
Du selbst müsstest dich dann zuerst im Kontrollserver einloggen und von 
dort dann auf deinem anderen richtigen Server wo deine Dienste laufen.


Beachte bitte auch, dass du etwas davon verstehen solltest, wie ein 
Netzwerk und seine Protokolle funktionieren. Du musst bspw. wissen, 
welche Ports welcher Dienst benötigt, das ist wichtig für die 
Firewallregeln.
Auch solltest du wissen, wie DNS und IP routing funktioniert. Wie man 
ein Zertifikat für deine Domain bekommt und einrichtet usw..


Ich rate dir weiterhin zu einem managed server, der kostet zwar etwas 
mehr, aber mit dem kannst du dann wenigstens beruhigt schlafen.

Nano schrieb:
> VID schrieb:
>> Ok, was würdet ihr dann noch machen, um Fahrlässigkeit auszuschließen?
>
> Professionelle Hosting Betreiber überwachen managed Server 24 h 7 Tage
> die Woche, als Privatperson kannst du das logischerweise nicht schaffen,
> man muss schließlich auch mal schlafen.

Jetzt habe ich doch noch etwas vergessen.
Beachte bitte auch, dass man auch mal für ein paar Tage krank werden 
kann oder sonst irgendwie sich nicht um den Server kümmern kann. (Z.B. 
Urlaub).
Dann braucht man jemanden, der sich um den Server kümmert.

Kai M. schrieb:
> Also ich finde die Reaktionen hier tlw. sehr übertrieben. Wenn Du das
> wie oben beschrieben mit SSH,kein root,fail2ban,Ufw, Updates machst,
> gehörst Du zu den oberen 10% der Leute, die root server mieten. Und das
> Nutzen eines root-Logins ist ebenfalls nicht verboten.

So entstehen Botnetze. Die gleichen Admins erfahren dann über ihren 
Server, der zum Bot wurde, dann meist erst etwas, wenn Dritte, die vom 
Botnetz angegriffen wurden, betroffen sind.

Und man findet immer wieder solche Server, weil es genau solche Admins 
gibt.

Nano schrieb:
> Sperre dich aber nicht aus. Wenn der Server irgendwo bei einem Hoster
> steht, brauchst du natürlich weiterhin ssh Zugriff.
> ssh kann man mit Ban2Fail einschränken.

Korrektur, ich meinte natürlich fail2ban.

Nano schrieb:
> Jetzt habe ich doch noch etwas vergessen.
> Beachte bitte auch, dass man auch mal für ein paar Tage krank werden
> kann oder sonst irgendwie sich nicht um den Server kümmern kann. (Z.B.
> Urlaub).
> Dann braucht man jemanden, der sich um den Server kümmert.

Puh, bin ich froh, dass ich kein Informatiker bin!

Hallo, ich hätte mal zwei grundsätzliche Verständnisfragen zu Jitsi:

1. Ist es möglich, dass über eine 'Jitsi Meet'-Server-Instanz mehrere 
getrennte Gespräche parallel geführt werden?
   Also z.B. Teilnehmer a, b und c zusammen sowie d und e

2. Wird vom Jitsi-Server-Administrator eine Art Teilnehmer-Listen auf 
dem Server erstellt und die authentifizierten Teilnehmer können dann 
unabbängig jederzeit Gespräche untereinander führen?

1. Ja.

2. Ich weiß nicht, ob ich deine Frage richtig interpretiere, aber es ist 
so:
Wenn du Jitsi installierst, kann erstmal jeder die Seite aufrufen und 
dort eine Konferenz starten. Den Link gibt er weiter und mit diesem Link 
kann auch jeder rein. Man kann ein Passwort setzen, dann kommt man nur 
mit Link UND Passwort in diese Konferenz.

Wenn man will, kann man es einstellen, dass man Benutzername und 
Passwort braucht, um Konferenzen zu starten. (Weitere Teilnehmer können 
trotzdem mit dem Link alleine, oder mit Link+Meetingpasswort, wenn man 
eines gesetzt hat, rein)

Ich denke, dass es möglich ist, auch mehrere Administratoren anzulegen, 
sodass mehrere Personen, alle mit eigenem Account, Konferenzen starten 
können.

Wenn eine Jitsi-Konferenz mit mehreren Personen stattfindet, benötigt 
man auf dem Server eine Bridge. Das ist quasi ein intelligenter 
Multiplexer.

Spätestens dann muss man bei einem guten Hostern sein, insbesondere wenn 
die Gesprächspartner bei der Telekom bzw. bei Unitymedia (LibertyGlobal) 
sind. Beide Anbieter sind dafür bekannt, ihre Interconnections komplett 
überlaufen zu lassen.

Bei Streaming endet das im fürchterlichen Ruckelkino aufgrund des 
Packetloss und Jitters.

Ich lege euch hier Anbieter nahe, welche gut angebunden sind.. z.B. 
Hetzner (hat mittlerweile einen DTAG Transit), OVH, Netcup, etc.