Beiträge von v3savCDids

Ich denke dies wird zumindest auf den alten VM-Guests nicht umgesetzt, da es die Änderung des CPU-Models erforderlich macht.

Nachfolgend sind die Möglichkeiten unter Libvirt aufgelistet:

# grep -A 2 -i -e ibrs -e ibpb -e stibp -e ssbd /usr/share/libvirt/cpu_map.xml 
    <feature name='stibp'>
      <cpuid eax_in='0x07' ecx_in='0x00' edx='0x08000000'/>
    </feature>
--
    <feature name='ssbd'>
      <cpuid eax_in='0x07' ecx_in='0x00' edx='0x80000000'/>
    </feature>
--
    <feature name='ibpb'>
      <cpuid eax_in='0x80000008' ebx='0x00001000'/>
    </feature>
    <feature name='virt-ssbd'>
      <cpuid eax_in='0x80000008' ebx='0x02000000'/>
    </feature>
--
    <model name='Nehalem-IBRS'>
      <model name='Nehalem'/>
      <feature name='spec-ctrl'/>
--
    <model name='Westmere-IBRS'>
      <model name='Westmere'/>
      <feature name='spec-ctrl'/>
--
    <model name='SandyBridge-IBRS'>
      <model name='SandyBridge'/>
      <feature name='spec-ctrl'/>
--
    <model name='IvyBridge-IBRS'>
      <model name='IvyBridge'/>
      <feature name='spec-ctrl'/>
--
    <model name='Haswell-noTSX-IBRS'>
      <model name='Haswell-noTSX'/>
      <feature name='spec-ctrl'/>
--
    <model name='Haswell-IBRS'>
      <model name='Haswell'/>
      <feature name='spec-ctrl'/>
--
    <model name='Broadwell-noTSX-IBRS'>
      <model name='Broadwell-noTSX'/>
      <feature name='spec-ctrl'/>
--
    <model name='Broadwell-IBRS'>
      <model name='Broadwell'/>
      <feature name='spec-ctrl'/>
--
    <model name='Skylake-Client-IBRS'>
      <model name='Skylake-Client'/>
      <feature name='spec-ctrl'/>
--
    <model name='Skylake-Server-IBRS'>
      <model name='Skylake-Server'/>
      <feature name='spec-ctrl'/>
--
    <model name='EPYC-IBPB'>
      <model name='EPYC'/>
      <feature name='ibpb'/>
    </model>
  </arch>

Ohne Wechsel auf eine CPU wie SandyBridge-IBRS ist der VM-Guest immernoch gegenüber Spectre v2 anfällig:

# tail /sys/devices/system/cpu/vulnerabilities/*
==> /sys/devices/system/cpu/vulnerabilities/l1tf <==
Mitigation: PTE Inversion

==> /sys/devices/system/cpu/vulnerabilities/meltdown <==
Mitigation: PTI

==> /sys/devices/system/cpu/vulnerabilities/spec_store_bypass <==
Mitigation: Speculative Store Bypass disabled via prctl and seccomp

==> /sys/devices/system/cpu/vulnerabilities/spectre_v1 <==
Mitigation: Load fences, __user pointer sanitization

==> /sys/devices/system/cpu/vulnerabilities/spectre_v2 <==
Vulnerable: Retpoline without IBPB

Mit IBRS CPU erhalte ich in den VM Guests:

# tail /sys/devices/system/cpu/vulnerabilities/*
==> /sys/devices/system/cpu/vulnerabilities/l1tf <==
Mitigation: PTE Inversion

==> /sys/devices/system/cpu/vulnerabilities/meltdown <==
Mitigation: PTI

==> /sys/devices/system/cpu/vulnerabilities/spec_store_bypass <==
Mitigation: Speculative Store Bypass disabled via prctl and seccomp

==> /sys/devices/system/cpu/vulnerabilities/spectre_v1 <==
Mitigation: Load fences, __user pointer sanitization

==> /sys/devices/system/cpu/vulnerabilities/spectre_v2 <==
Mitigation: Full retpoline

Ich denke, dass auch aus denselben Gründen ein großer Netcup Konkurrent nur seine neuen CX vServer abgehärtet hat (Google: "Cloud / Virtuelle Server (VQ/VX/CX)").

BTW, alle Code-Beiträge stammen von meinen eigenen vServern, gehostet auf meinem eigenen dedizierten Server.

Zitat von [netcup] Felix

also Bedingung für die Kulanz wäre schon, dass die gesamte Bestellung wie von Ihnen gewünscht wurde ausgeführt wird.

Guten Tag,
OK. Dann wird die 1. Bestellung wie von Ihnen vorgeschlagen komplett inkl. IPv6 Failover "reaktiviert". Ich werde nach meinem 4. und 5. Server-Setup (Setup 1 und 2 für beide RS 1000; Setup 3 für RS 2000; Setup 4 und 5 wieder für beide RS 1000) die Zufriedenheitsgarantie für den RS 2000 in Anspruch nehmen, da ich keine 3 Server benötige. Ich bitte hierfür um Verständnis.

Mit freundlichen Grüßen,
v3savCDids

Sehr geehrter Herr Felix Preuß,

ich möchte noch nachtragen, dass bitte nur die IPv6 Failover aus der 1. Bestellung "reaktiviert" wird, sodass letztendlich nur die Bestellposten zu Failover IPv4 und IPv6 aus der 1. Bestellung gültig sind. Die Rootserver wurden in der Zwischenzeit im Rahmen der Zufriedenheitsgarantie gekündigt, was auch so bleiben soll.

Mit freundlichen Grüßen,
v3savCDids

Sehr geehrter Herr Felix Preuß,

vielen Dank für die Kulanzangebot, welches ich hiermit annehme. Bis auf diese Problematik kann ich die Server nur empfehlen :).

Mit freundlichen Grüßen,
v3savCDids

Zitat von Georg

Ich gehe mal davon aus, dass jeder "Bestellposten", als einzelner unabhängiger Bestellvorgang angesehen wird. So ganz sicher bin ich mir aber nicht.

Dann müsste es getrennte Bestellnummern geben. Dem ist aber nicht so.

Dass die Produkte Rootserver und Failover-IP nicht alleine sondern in Kombination genutzt werden und man sich im Laufe einer Bestellung eine Konfiguration zusammenstellt, die bei Wegfall eines Bestellposten möglicherweise keinen Sinn ergibt, sollte dem Netcup Team schon klar sein. Failover-IPs werden durch Rootserver genutzt, Domains evtl. in Webhosting Paketen. Wer kauft sich schon einen einzelnen Server mit einer Failover IP.

Zitat von Georg

Wenn ich das jetzt richtig verstanden habe ist ein Failover IPv6 Subnet für dich Voraussetzung für den Einsatz der anderen drei genannten Produkte. Was spricht dagegen, wie von 'killerbees19' erwähnt, das Alternativprodukt ("Failover-IPv6-Subnet") zu bestellen?

Wenn ich gewusst hätte, was für Probleme Netcup mir bereitet, wäre ich bei der ersten Konfiguration (2 RS 1000 SSD Rootserver, IPv4 und IPv6 Failover) geblieben und hätte die zusätzliche Gebühr für das IPv6 Failover bezahlt. Es hat mich nur geärgert, dass nicht mit offenen Karten gespielt wird. Ich sah mich daher im Recht und bin davon ausgegangen, dass man so kulant ist, mir die erste Bestellung zu stornieren. Daher habe ich den RS 2000 SSD Rootserver in der Zwischenzeit bestellt, da ich sowieso zwischen einem performanteren Rootserver und 2 "schwächeren" Rootserver inkl. Failover schwankte und über das Wochenende ohne weitere Verzögerungen meinen Server aufsetzen wollte. Nun stehe ich da mit einem performanteren Rootserver und einer Failover IPv4.

Zitat von killerbees19

Das ist aber eine dynamische Liste, die automatisch generiert wird. Und den Link des gefundenen Produktes musst Du manuell in die Adressleiste des Browsers kopiert haben. Insofern ist es keine normale Seite, die man einfach anklickt. Wie geschrieben ist das auch schon die einzige Sache, die ich Dir "anlaste". Netcup selbst habe ich durchaus auch kritisiert…

Es spricht nichts dagegen eine dynamische Liste zu verwenden. Die dort gelisteten Produkte sind "aktive Produkte", keine Produkte im Teststatus oder dergleichen. Als technikaffine Kunden spricht IMHO nichts dagegen uns sowas vorzusetzen.

Generell gehören vor Vertragsabschluss alle Karten auf den Tisch. Dass das Produkt nicht für alle Kunden verfügbar ist, gehört in die Produktbeschreibung.

Zitat von Georg

Schau mal hier: netcup Labs

Das habe ich mittlerweile schon selbst ergoogelt. Schön wäre, wenn eines der Maßnahmen bei Produkterstellung umgesetzt worden wäre:
a) Produktbeschreibung mit Hinweis "Achtung!!! Nutzung nur im Rahmen unseres Programms Netcup Labs (siehe netcup Labs)"
b) Streichen aus der XML oder Hinweis, dass es kein aktives Produkt ist
ODER
c) Bestelldurchführung nach dem Prinzip "grant all or nothing"

Zitat von Georg

Ich verstehe nicht ganz, welches Produkt du widerrufen möchtest und warum. IPv4, IPv6? Ist das Produkt "Failover-IPv6-Subnet nclabs" nicht 'kostenlos' bzw. du 'bezahlst' mit deinem Feedback? Mich verwundert es, dass du es einfach über den Link bestellen konntest.

Ich habe bestellt:
1x IPv6 Failover Subnet nclabs über Link in XML
1x IPv4 Failover Adresse
2x RS 1000 SSD Rootserver

Das IPv6 Failover Subnet nclabs wurde nicht gewährt, da, wie sich im nachheinein herausstellte, dieses Produkt nicht für Normalkunden freigeschaltet ist, was in der Produktbeschreibung nirgends erwähnt ist. Nichtdestotrotz wurde die Bestellung für alle anderen oben aufgelisteten Bestellposten durchgeführt. Die Rootserver habe ich im Rahmen der Zufriedenheitsgarantie gekündigt und aufgrund der Probleme mit der ersten Bestellung den RS 2000 SSD Rootserver bestellt, den ich nun ohne Failover betreibe. Jetzt stellt sich heraus, dass ich für die IPv4 Failover Adresse immernoch zu zahlen habe.

Zitat von killerbees19

Dass Dir ncLabs nichts sagen muss, stimmt schon. Aber wer sich Produktlinks aus einer unformatierten XML-Datei holt, ist meiner Einschätzung nach schon ein wenig selbst schuld, wenn einfach drauf los bestellt wird…

1. Die Liste wurde vom Geschäftsführer selbst veröffentlicht, sodass ich auf deren Qualität vertraut habe.
2. Die gelisteten Produkte wurden als "aktive Produkte" vom Geschäftsführer bezeichnet.
3. Ich habe nicht blind drauflos bestellt, sondern mir die Produktbeschreibung genau durchgelesen.

Nachtrag:

Im Forum habe ich mir bisher (vor der Bestellung) nur die Produktliste angeschaut.

Ich habe soeben ein Google Suche mit "site:http://www.netcup.de nclabs" durchgeführt:

https://www.google.de/search?q=site%3Awww.netcup.de+nclabs&oq=site%3Awww.netcup.de+nclabs&gs_l=serp.3...0.0.0.121370.0.0.0.0.0.0.0.0..0.0....0...1..64.serp..0.0.0.BGTtrdd9_n8

Nirgends wird der Begriff "nclabs" auf der Seite netcup GmbH - Ihr Partner fuer Webhosting, vServer, Server, managed Server, Domains, Groupware, SSL-Zertifikate, Software, Servermanagement uvm. erläutert. Ich kenne nur diese Webseite von Netcup sowie die Webseite http://www.netcup-sonderangebote.de/, da diese von https://www.netcup.de verlinkt wird.

IMHO, gehören derartige Einschränkungen in die Produktbeschreibung.

Hallo *,

ich habe ein Problem mit dem Netcup Support aufgrund einer Bestellung, die in Folge einer meiner Ansicht unvollständigen Produktbeschreibung getätigt wurde. Nachfolgend sind die beiden letzten Schreiben aus dem E-Mail Verkehr aufgelistet, die den Kern des Problems, denke ich ausreichend beschreiben. Hinzuzufügen ist, dass die beiden Rootserver im Rahmen der Zufriedenheitsgarantie gekündigt wurden.

Mein letztes Schreiben:

Sehr  geehrter ...,




ich bin über den folgenden Link auf das "Failover-IPv6-Subnet nclabs" 
gestoßen und habe es zusammen mit 2x RS-1000 und 1x IPv4 Failover 
bestellt. In dem Foreneintrag werden die gelisteten Produkte als 
"aktiven Produkte" bezeichnet.




https://forum.netcup.de/netcup-intern/produkte/4818-uebersicht-ueber-netcup-produkte-per-xml/




Wie Sie aus den Anhängen entnehmen können, wird die Bestellung des 
"Failover-IPv6-Subnet nclabs" von Ihrer Webseite angenommen, ohne darauf 
hinzuweisen, dass das Produkt für Normalkunden nicht gedacht ist. Der 
Marketingbegriff "nclab" war mir bisher nicht bekannt. Ich bin davon 
ausgegangen, dass es irgendeine kryptische Artikelbezeichnung ist wie 
sie bei dem Produkt "RS 2000 SSD G7SEa1 12M" vorzufinden ist, welches 
wiederum ganz normal bestellt werden kann.




Wenn auf diese Einschränkung im Bestellverlauf hingewiesen worden wäre, 
hätte ich die Bestellung in dieser Form nicht getätigt. Denn ich wollte 
die beiden Rootserver per IPv4 und IPv6 im Dual-Stack Failover-Modus 
betreiben.




Aufgrund der genannten Probleme habe ich mittlerweile den "RS 2000 SSD 
G7SEa1 12M" bestellt und im Betrieb, sodass für die zuvor bestellte 
Konfiguration und somit für das immernoch aktive IPv4 Failover kein 
Bedarf besteht.




Aufgrund der aus meiner Sicht unzureichenden Informationspolitik seitens 
Netcup.de, bitte ich Sie das IPv4 Failover kostenfrei zu stornieren. Ich 
empfehle zudem, dass zu den "nclabs" Produkten ein Hinweis bezüglich der 
Einschränkung eingeblendet wird. Oder Sie könnten die Bestellungen nach 
dem Prinzip "grant all or nothing" annehmen, d.h. falls ein 
Bestellposten nicht gewährt werden kann wird die Bestellungdurchführung 
abgebrochen und es erfolgt die Rücksprache mit dem Kunden.




Mit freundlichen Grüßen,
...

Und die Antwort:

Guten Tag Herr ...,







nach Rücksprache mit unserer Geschäftsführung teilen wir Ihnen mit, dass wie bereits im heutigen Telefonat und der vorhergehenden Nachricht erklärt, optionale/persönliche Artikel wie bspw. Domains und IP-Adressen vom Widerruf ohne Ausnahme ausgeschlossen sind.




Danke für Ihr Verstehen.




 
Mit freundlichen Grüßen




...




netcup Team

Nachfolgende Bilder belegen, dass der Bestellprozess irreführend ist, da in der Produktbeschreibung nicht auf die Einschränkung hingewiesen wird:

[Blockierte Grafik: https://i.imgur.com/ty3H6zj.png]

[Blockierte Grafik: https://i.imgur.com/xTJtTLJ.png]

[Blockierte Grafik: https://i.imgur.com/SOU4pdG.png]

[Blockierte Grafik: https://i.imgur.com/6HsH5Eu.png]

[Blockierte Grafik: https://i.imgur.com/htUHsCu.png]