Beiträge von eripek

Zitat von H6G

WTF https://www.duden.de/rechtschreibung/pressieren

Wenn meine Ausdrucksweise nicht konveniert, muß ich wohl den Schreibstil konformieren, nicht wahr?

BTW: socat ist einfach das bessere netcat.

Zitat von perryflynn

So, mein IP API Projekt [1] ist nun offiziell PHP-frei. Ich habe das Backend durch eine .NET Core Anwendung ausgetauscht welche jetzt ein Request in zirka 0,3ms bearbeiten kann. NGINX Caching konnte ich gänzlich ausschalten, Rate Limiting ist so weit angehoben worden, dass man fleißig F5 drücken kann, ohne in einen Status 500 zu kommen.

[...]

[1]: http://ip.anysrc.net/index.html

Yeah! Eine Auffälligkeit: Wenn man den https-Link in SSL is so cool (eher TLS...) bereits angeklickt hat, ist einem die Coolness ja bereits bekannt.

Zitat von joas

Echt klasse, dass es so schnell umgesetzt wurde. Das ist es, was ich so sehr an netcup liebe.

Ich wollt gerade sagen: lange bitten muss bei solchen Dingen aber nicht +1

Danke an alle Beteiligten an dem Thread!

Zitat von RHA

Ich darf seit Kurzem auch wieder "Connection lost" auf meinem TS3-Server feststellen. Leider (oder auch zum Glück) passiert dies nur hin und wieder, aber mehrmals täglich und in unterschiedlichen Zeitabständen (30min - 3h). Durch die zeitlichen Abstände, und da ich kein weiteres Muster zu Providern oder andrem feststellen konnte, war mir eine weitere Diagnose noch nicht möglich. Ich werde mal versuchen eine MTR zu erstellen, in welchem dann mal ein "Connection lost" enthalten ist, oder in welchem besser die Verbindung gerade unterbrochen ist.

IPv6 ist bei mir definitiv nicht aktiviert.

Gibt's irgendein snmp-basiertes Monitoring auf dem Server? Ist der Server/sind die Prozessoren dediziert oder virtuell/shared? Greift eventuell eine Flooding-Protection oder ein Rate Limit der Firewall?

Zitat von killerbees19

Tja, da braucht sich das Notariat nicht wundern, wenn die E-Mails bei mir nicht ankommen…

Code

450 4.7.1 <*****.*****.local>: Helo command rejected: Host not found;

Wie erkläre ich denen das jetzt verständlich, dass sich deren technischer Partner einmal RFC5321 durchlesen sollte, besonders was ein FQDN ist?

Vor allem, von welcher Adresse aus erkläre ich denen das? Zu meinen Mailservern werden die erneut nichts senden können…

Edit: Normalerweise würde ich ja den technischen Partner direkt kontaktieren, aber das geht leider nicht. Der Mailserver ist offenbar Inhouse und das Subnetz von A1 auf deren Namen eingetragen. Ich habe somit keine Ahnung, wer das betreut.

Ist das eine der Freuden, die uns die DSGVO da beschert, oder will das NOC keinen Kundenkontakt? Ich lache mich ja jedes mal krumm und schief, wenn ein Telekommunikationsdiensteanbieter mit an der Serviceline ausrichten lässt, er könne die Mitarbeiter in seinen Verkaufsstellen telefonisch nicht erreichen.

Ad Notar: jeder Notar in .at hat noch ein Faxgerät. Been there, done that.

Zitat von vmk

Vielleicht würde ja ein Ticket schneller funktionieren, eripek .

Es pressiert ja nicht, es interessiert mich nur. Wahrscheinlich schwitzen die netcup-Mitarbeiter ohnehin wegen der Vorbereitung des Adventkalenders, der zugehörigen Dienstpläne, der Provisionierung...

Zitat von janxb

Domain ist bei netcup registriert.

DNS-Zone der Domain wird bei Cloudflare verwaltet.

Cloudflare DNS-Server sind bei netcup als authoritative Nameserver eingetragen.

Cloudflare sagt mir: Um DNSSEC zu machen, trage die folgenden Werte bei deinem Registrar ein: [..]

Netcup verwaltet als Registrar die DNSSEC Records, unterstützen aber den Algo. nicht, der von Cloudflare zur Signierung genutzt wird.

Mangels .com bei nc kann ich nur anhand meiner .eu antworten: Das Eintragen von autoritativen Nameservern unter Verwendung von DNSSEC steht jedenfalls bei .eu auch mit Algo 13/14 zur Verfügung. D.h. die Nameserver unterstützen das grundsätzlich. .com und CF unterstützten es auch.

Mail an Support? Möglicherweise hat man die Einführung auch nur verschoben, weil jetzt ohnehin das neue CCP hätte starten sollen...

Zitat von vmk

@eripek: Die https://www.netcup-labs.de/ ist wohl verwaist. Hatte ich aber auch schon vor ein Tagen erwähnt. Blätter hier einfach mal ein paar Seiten zurück im Thread

Darum hab ich Felix ja deswegen angestupst. Verwaiste Seiten sind nicht so ideal als PR.

[netcup] Felix P.: Wie aktuell ist eigentlich ncLabs noch? Die Website hat relativ alte Ankündigungen, die Hosting-Produkte scheinen neueren Datums zu sein. Die Domain des Website kennt für @ und www noch keinen AAAA. Ist das für Euch überhaupt noch relevant?

Ich stelle einfach einmal eine Behauptung in den Raum, völlig aus dem Bauch heraus:

Der Kommentar ist wahrscheinlich unzutreffend und daher unqualifiziert, weil ich mit Teamspeak nicht arbeite und Drei in .at AFAIK kein IPv6 für Kundenanschlüsse beherrscht:

IPv6 aktiviert und Zuteilung des Gateways auf dem Server erfolgt via radvd/autoconfig. Statische Defaultroute auf ::1 schon probiert?

Die Traceroute-endet-vor-dem-Lasthop-Problematik gilt vermutlich nur bei UDP(+ICMP)-Traceroute. Ein reines ICMP-Traceroute oder ein TCP-Traceroute auf den Serverport würde vermutlich Antworten liefern.

Elliptic Curve DSA zu unterstützen, kann kein Schaden sein. Hier generelle Infos dazu: https://de.wikipedia.org/wiki/Elliptic_Curve_DSA.

Hier eine Liste der DNSSEC-Algorithmenliste bei IANA: https://www.iana.org/assignments/dn…g-numbers.xhtml

Anzumerken wäre, dass Algorithmus 13 basierend auf RFC6605 momentan noch „standards track“, aber gerade nicht „proposed standard“ ist.

Trotzdem ist das Anliegen unterstützenswert - ich geb einmal einen Daumen rauf.

Was mir nicht klar ist, ist, dass für .eu etwa im CCP sehr wohl 3,5,6,7,8,10,13,14 unterstützt werden. Warum sollte das bei .com nicht funktionieren?

https://www.cloudflare.com/dns/dnssec/ecdsa-and-dnssec/

Zitat von VVV

Wie kann ich dieses Überbleibsel finden und entfernen, damit der Start nicht immer so lange dauert?

swapon -s würde die aktivierten Swaps nach ihrem Devicenamen anzeigen.

SuSE hab ich vor Jahren aufgegeben. Ich könnte mir aber vorstellen, dass das Service unter /lib/systemd/system/sysinit.target.wants/dev-* liegt.

find /lib/systemd/ -name "*dev-*"

Außerdem würde ich mit

systemctl --state=failed

schauen, ob nicht noch ein Service hängt.

Ein wenig off-topic zur Swap-Problematik an sich:
Ich habe mir unter Debian eine /etc/systemd/system/zram-swap.service angelegt. Die hat folgenden Inhalt:

[Unit]
Description=Activate zram swap device
After=systemd-modules-load.service
#zram module must be loaded (e.g. put it into /etc/modules)
ConditionPathExists=/sys/module/zram

[Service]
#the zram device to be used
Environment=ZRAM_DEVICE=0

#the size of the zram swap disk in bytes (K,M,G suffix allowed)
Environment=ZRAM_DISKSIZE=500M

#the swap priority
Environment=ZRAM_SWAP_PRIO=20

Type=oneshot
RemainAfterExit=yes

ExecStart=/bin/sh -c "echo 1 > /sys/block/zram$ZRAM_DEVICE/reset"
ExecStart=-/bin/sh -c "echo $(nproc --all) > /sys/block/zram$ZRAM_DEVICE/max_comp_streams"
ExecStart=/bin/sh -c "echo $ZRAM_DISKSIZE > /sys/block/zram$ZRAM_DEVICE/disksize"
ExecStart=/sbin/mkswap /dev/zram${ZRAM_DEVICE}
ExecStart=/sbin/swapon -p ${ZRAM_SWAP_PRIO} /dev/zram${ZRAM_DEVICE}
ExecStop=/sbin/swapoff /dev/zram${ZRAM_DEVICE}
ExecStop=/bin/sh -c "echo 1 > /sys/block/zram$ZRAM_DEVICE/reset"

[Install]
WantedBy=multi-user.target

Den Tip habe ich irgendwo ergoogelt, es ist nicht auf meinem Mist gewachsen. Zusätzlich musste ich das Modul zram laden. Was macht mir das?

Auf einem Multicore-Server mit ausreichendem, aber begrenztem Speicher nehme ich 500MB vom RAM und lasse vom Kernel komprimieren. Die so entstandene im Zugriff priorisierte Ramdisk entlastet unter der Annahme, dass die CPUs nicht immer ausgelastet sind so das System von den in der Latenz größeren Schreibzugriffen auf die Platte. Zusätzlich gibt es die herkömmlichen Swappartition. Auf embedded Systems wie OpenWRT kann man das auch machen, aber da sehe ich öfter korrumpierte Speicherbereiche - es arbeitet auf MIPS-Architekturen nicht so wirklich gut. Bei einer Ein-CPU-Maschine geht das von der Performance eher nach Hinten los. Bei Root-Servern mit zwei dedizierten Kernen und SATA-Platte kann eventuell mal darüber nachdenken. Auch bei Systemen mit SSD halte ich es für sinnvoll, weil Schreibzugriffe eher begrenzend auf die Lebensdauer derselben wirken. Wenn man lustig ist, verzichtet man auf die dedizierte Swap-Partition und nimmt dynamischen Swap mittels swapspace. Aber bitte nicht von und auf der / Partition (!).

Die richtige Einstellung in KVM, wie einige von Euch schon festgestellt haben ist nicht Virtio (das liefert die vdX-Devices und kann kein trim), sondern SCSI mit dem Submodell SCSI-Virtio. Damit hat Euer Gastsystem eine SCSI-Schnittstelle zur Verfügung, das der Hypervisior mittels virtio an den Treiber des Hosts weiterreicht. Das sollte auch von der Performance her ideal sein.

Zitat von joas

Das ist das Problem, die Version aus dem Repo von nginx.org wurde mit noch mit dem Paket openssl 1.1.0f kompiliert, daher keine TLS1.3 Unterstützung.

Wenn du aber nginx mit TLS1.3 Unterstützung brauchst, dann nimm das Paket von deb.sury.org/nginx-mainline/. Diese Version wurde mit openssl 1.1.1 kompiliert.

nginx Version aus dem nginx.org Repo:

Code

nginx version: nginx/1.15.7
built by gcc 6.3.0 20170516 (Debian 6.3.0-18+deb9u1) 
built with OpenSSL 1.1.0f  25 May 2017 (running with OpenSSL 1.1.1  11 Sep 2018)

nginx Version aus dem deb.sury.org/nginx-mainline/ :

Code

nginx version: nginx/1.15.6
built with OpenSSL 1.1.1  11 Sep 2018 (running with OpenSSL 1.1.1a  20 Nov 2018)

Gegenbericht - Die folgenden Pakete - obwohl gegen 1.1.0f kompiliert, liefern TLSv1.3

deb http://nginx.org/packages/debian/ stretch nginx

deb-src http://nginx.org/packages/debian/ stretch nginx

benutzte Cipherlist: TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-256-GCM-SHA384:TLS13-AES-128-GCM-SHA256:EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384

Nur TLSv1.2 und TLSv1.3 - auch Qualys ssltest ist zufrieden.

# nginx -V

nginx version: nginx/1.14.1

built by gcc 6.3.0 20170516 (Debian 6.3.0-18+deb9u1)

built with OpenSSL 1.1.0f 25 May 2017 (running with OpenSSL 1.1.1 11 Sep 2018)

TLS SNI support enabled

configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-g -O2 -fdebug-prefix-map=/data/builder/debuild/nginx-1.14.1/debian/debuild-base/nginx-1.14.1=. -specs=/usr/share/dpkg/no-pie-compile.specs -fstack-protector-strong -Wformat -Werror=format-security -Wp,-D_FORTIFY_SOURCE=2 -fPIC' --with-ld-opt='-specs=/usr/share/dpkg/no-pie-link.specs -Wl,-z,relro -Wl,-z,now -Wl,--as-needed -pie'

Ich würde einmal sagen, dass auch kleinere Updates bei PHP aus Sicht der Applikationen nicht ganz so featurestabil sind, weswegen u.a. Plesk ältere, gewartete Versionen mit ausliefert, denn es kann sonst passieren, dass irgendeine Gallery, eine Forensoftware oder ein Shop, die vom Nutzer für bestimmte Features gepatcht wurden, wobei der Patch keinen kurzen Wartungszyklus hat, sonst einfach nicht mehr laufen.

Der Gedanke dabei ist ein Mittelweg zwischen Featurestabilität und Sicherheit. Ist nicht schön, aber notwendig.

Wem mit obiger Liste nicht gedient ist, hier noch ein paar Programmiersprachen, die abseits des Mainstreams existieren:

https://t3n.de/news/10-programmiersprachen-dich-550400/

Zitat von kerberos

Tja, was man nicht alles in der Küche findet.....

Kürbiskernöl.jpg

Dieser Thread enthielt Produktplatzierungen. Mit freundlicher Unterstützung des Steiermarktourismus.

Notiz an mich selbst: Ich stelle gerade fest: Was man nicht im Hirn hat, hat man im längsten Thread.

TLS1.3 Nginx - ein Rätsel mit einem großen Fragezeichen.

Einen TLS 1.3 Quicktest habe ich hier gefunden: https://www.cdn77.com/tls-test - geht schneller als der Qualys, der beim Warten eine Qual is.

Danke für die Rückmeldung. Der Schlüssel war „Fehlerbehebung durch Zeitablauf”?

Zitat von Cictani

Was meinst Du mit rangeklatscht wirkende Objektorientierung? Da gibt es deutlich schlimmeres z. B. PHP, auch Java ist weniger Objektorientiert.

Wie wäre es, hier im Thread ein paar Referenzimplementierungen des Netcup-Cup-Objektcodes in den diversen Sprachen umzusetzen? Hyper Text Coffee Pot Control Protocol bitte nicht vergessen. Vielleicht möchte jemand einen Preis dafür nominieren?