Beiträge von CmdrXay

Hay,

noch einmal ein Nachtrag - ich habe ja nicht berücksichtigt, dass es sich offensichtlich nicht um Einbruchsversuche handelt, sondern um "normale" und vermeitlich korrekte Anrufversuche. Insofern ist mein Geschreibsel leider nicht anwendbar und man müsste von Hand-Zu-Fuß sperren. Sorry.

Allerdings müssen auch Anrufer einen SIP-Absender stellen und diesen kann man dann im Extremfall per Dailplan und Tastendruck in eine sich selbst ergänzende Blacklist eintragen (sofern freepbx das Ergänzen von Dialplänen zulässt). Das birgt natürlich die Gefahr, auch zulässige Anrufer auszuschließen, z.B. wenn jemand eine korrekte deutsche Rufnummer als Absender mißbraucht.

Sofern man nur "normale" Telefonanrufe erwartet (von Festnetznummern oder Mobilrufnummer z.B.) sollte man den Wählplan schon eingehend entsprechend einschränken und nicht alle Anrufe generell annehmen (sondern nur das, was numerisch kommt, CALLERID(num) aufdröseln), sowie auswerten, ob tatsächlich ein konkretes Wählziel angegeben wurde (nicht "_." annehmen, sondern "_49640862070XX" am Beispiel meiner Nummer oder konkreter "4964086207010" für eine dedizierte Durchwahl) und alles in einen richtigen Context schmeißen (nicht "default" oder "public"). Aber das kann die Stelle sein, in der man gerne freepbx einsetzt, weil das nicht so kompliziert ist.

CU, Peter.

Hay,

Nachtrag: Selbst wenn durch das durchrotieren der IP-Adressen fail2ban vielleicht nicht korrekt anschlägt, sammelt es verdächte IP-Adressen, so wie bei mir. Ich schaue mir dann regelmäßig das fail2ban log an und wenn ich Muster erkenne, sperre ich die dann mit iptables manuell.

CU, Peter.

Hay,

ich weiß nicht, wie nativ man freepbx konfigurieren kann. Da freepbx auf Asterisk aufsetzt, würde ich so vorgehen - dabei gehe ich halbwegs von einer Standardinstallation aus, z.B. bezüglich der Pfade, außerdem setze ich die Asterisk 13 certified ein:

a) Security Log einschalten

/etc/logger.conf unter [logfiles]

security => security

Das erzeugt nach dem reload eine Datei /var/log/asterisk/security, dort versammeln sich Einträge wie (meine IP ausge-x-t)

[2017-09-17 07:25:13] SECURITY[2594] res_security_log.c: SecurityEvent="InvalidPassword",EventTV="2017-09-17T07:25:13.139+0200",Severity="Error",Service="SIP",EventVersion="2",AccountID="900972597719697",SessionID
="0x7f41e0076f88",LocalAddress="IPV4/UDP/xxx.xxx.xxx.xxx/5060",RemoteAddress="IPV4/UDP/155.94.65.20/5094",Challenge="1f957968",ReceivedChallenge="1f957968",ReceivedHash="0a19ca99e6c0ad6a6119fe1c0a54d395"

Das schöne daran ist, man braucht keinen Wireshark o.ä. mehr, die IP-Adressen stehen alle drin (IPV4/IDP/155.94.65.20 in dem Beispiel).

Auf dieses Security-Log kann man nun den fail2ban loslassen.

bei mir steht z.B. in /etc/fail2ban/filter.d/asterisk.conf diese Zeile in den failregex drin:

failregex = SECURITY\[.*\] .* SecurityEvent="InvalidPassword".*RemoteAddress="IPV4/UDP/<HOST>/.*".*

Die Zeile matched die obige Logfilezeile schön heraus und diese IP bekommt dann einen Strike verpasst Nach 5 Strikes innerhalb einer bestimmten Zeit wird diese IP bei mir gebannt und (wenn ich will) nach einer gewissen Zeit wieder frei gegeben.

Dialer sind grundsätzlich nicht verboten, aber es gibt Regeln - in GB in "Gesetzesform", hier eher implizit durch die Regulierungsbehörde. Die Regeln sind aber auf der einen sehr kompliziert, auf der anderen Seite kümmert das einen zentralchinesischen Hackern nicht... deswegen Selbstschutz z.B. a la fail2ban. Für größere Installationen reicht fail2ban nicht, da nimmt man eher einen vorgelagerten Proxy (inkl. "SIP-Firewall") wie Kamailio, der haut auch 1 Mio illegale Anrufe am Tag weg XD

CU, Peter.

Hay,

keine Reaktion ist auch eine Reaktion.

Ich persönlich werde genau dann sauer, wenn ich zu einer Reaktion genötigt werden oder sogar, wenn ich mich nur dazu genötigt fühle.

Ich habe eine Domain die einige Leute (früher) unbedingt haben wollen, die ich aber nicht abgeben wollte. Wenn man einmal, wie es mir passiert ist, einen Psychopathen auf der Gegenseite hatte, der lernt: Ignoranz ist ganz befreiend. Denn eine Absage ist für den das Signal, dass man kommunizieren möchte ("N.e.i.n."=Noch ein Impus notwendig), also schreibe ich schnell mal eine Antwort mit "Warum denn nicht? Ab wieviel könnten wir denn reden?" und irgendwann ist es einfach nur lästig. Lieber tot stellen, dann geht das schneller vorbei als bis die Gegenseite kapiert, dass man nur höflich ist und das "NEIN" weiterhin gilt.

Bitte, nicht böse sein. Aber wenn jetzt hier thematisiert wird, wie man jemanden möglichst dazu zwingen kann, doch zumindest eine "nette Antwort" oder "Absage" zu schreiben, damit man wenigstens eine Reaktion hat, dann ist das genau dies: lästig, stalking. Und wie eingangs beschrieben: Deine Reaktion hast Du. Nicht zu antworten ist nur bedingt unhöflich, auf eine Antwort zu bestehen, aber sehr wohl...

CU, Peter

Hay,

bei einem anderen Hoster habe ich auch Domains bestellt und die liegen dort (und so lange sich beim Domain-Reselling nichts bewegt, bleiben die auch dort... hint, hint...). Da ging es aber umgekehrt. Ich habe einen DNS gemietet, deswegen kann ich mir auch Domains bestellen. Auf den DNS habe ich vollen Zugriff, wobei es mir dort tatsächlich reichen würde, einen A-Eintrag für www zu haben und einen MX.

Einziger Weg ginge dann, einen eigenen Nameserver hier z.B. auf einem Rootserver zu betrieben und die NS-Einträge der Domain dann hierher zeigen zu lassen, so hast die komplette Verfügungsgewalt über den zone-Eintrag. Doch wenn * schon nicht geht, werden die beim NS sicher nicht plötzlich alle Freiheiten gestatten

CU, Peter

Hay,

Zitat von Marentis

Gibt es bekannte Probleme bei Verwendung einer externen Domain und des Lets Encrypt Plugins?

Ich erhalte lediglich den Fehler, dass das Authorization Token nicht gefunden werden konnte (klassischer 404).

Bei manueller Überprüfung des Folders ist dieses allerdings ordentlich angelegt worden.

Download per Browser funktioniert genauso wenig und ergibt ebenfalls lediglich den Fehler 404.

vielleicht ein Rewrite durch eine .htaccess im Verzeichnis (oder einem darüberliegendem)? Wenn man ein CMS installiert hat, möchte dies die http-Anfrage möglicherweise umleiten und dann stimmt der Pfad nicht mehr - oder auch ein Plugin wie z.B. RealURL-Extension bei typo3.

CU, Peter

Hay,

ich weiß nicht, wo Ihr schaut, aber ich sehe jeden einzelnen DNS-Record. Auch bei dig @8.8.8.8...

dig @root-dns.netcup.net ANY _sip._tls.impress-ev.de

; <<>> DiG 9.9.5-3ubuntu0.15-Ubuntu <<>> @root-dns.netcup.net ANY _sip._tls.impress-ev.de
; (2 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 43271
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 6

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;_sip._tls.impress-ev.de.       IN      ANY

;; ANSWER SECTION:
_sip._tls.impress-ev.de. 86400  IN      SRV     100 1 443 sipdir.online.lync.com.

;; AUTHORITY SECTION:
impress-ev.de.          86400   IN      NS      second-dns.netcup.net.
impress-ev.de.          86400   IN      NS      third-dns.netcup.net.
impress-ev.de.          86400   IN      NS      root-dns.netcup.net.

;; ADDITIONAL SECTION:
root-dns.netcup.net.    2494    IN      A       46.38.225.225
third-dns.netcup.net.   2993    IN      A       188.68.63.68
third-dns.netcup.net.   6456    IN      AAAA    2a03:4001:0:106::3f44
second-dns.netcup.net.  2993    IN      A       37.221.199.199
second-dns.netcup.net.  6456    IN      AAAA    2a03:4000:2:24b::c7c7

;; Query time: 1 msec
;; SERVER: 46.38.225.225#53(46.38.225.225)
;; WHEN: Wed Sep 06 16:22:32 CEST 2017
;; MSG SIZE  rcvd: 280

Oder habe ich das Grundproblem nicht verstanden?

CU, Peter

Hay,

obwohl ich auch für alles Zertifikate habe und Mailtransfer vom Desktop genau so funktioniert, hat es bei meinem Tablet (Samsung Galaxy Tab A 2016 mit Android 7) auch erst geklappt, als ich auf "alle Zertifikate" gestellt habe. Insofern kann ich "funktionieren sollten alle" zwar unterstreichen, aber nicht verfizieren

Vielleicht fehlt im Android das Cert der passenden CA? Kein Bock da nachzuforschen, Hauptsache es geht

CU, Peter

Hay,

ich persönlich setze auch bevorzugt Piwik ein - für eine kleine private Webseite wäre es überdimensioniert, aber wenn es Firmenwebseiten, große Webseiten oder sogar Webshops sein sollen, dann ist es ziemlich genial (sofern man von google analytics unabhängig sein möchte).

Das Tool hat für mich einen sehr wichtigen Vorteil: Ich installiere es einmal auf meine zentrale Webpräsenz und lasse damit alle meine Webseiten zählen, egal unter welcher Domain oder bei welchem Hoster, alles wandert zu mir in eine gemeinsame Statistik (die ich natürlich auch nach Domains getrennt auswerten kann).

CU, Peter

Hay,

wenn Du den Eingang ins Postfach (auf dem Server selbst, nicht über den Client) sofort siehst, Du aber nicht benachrichtigt wirst, muss Du auf andere Antworten warten

Bei mir war aber auch immer eine Verzögerung vom Anzeigen im Logfile bis zur Auslieferung ins Postfach zu verspüren, 1-3 Minuten. Zuerst habe ich mich gewundert, da z.B. bei [selbst-zensur] sofort ausgeliefert wurde. Aber logisch lag es an mir, da ich den Server auf greylisting gestellt habe, d.h. der Eingang wird mit einer 450 Antwort verzögert und erst beim zweiten Versuch wirklich ins Postfach zugestellt wird, daher die Verzögerung bei mir.

CU, Peter

Hay,

und Du kannst es nochmal schwieriger machen - mein Nutzer, der sich root-Rechte nehmen kann, darf sich nur mit Keyfile anmelden, welches wiederum mit einer umfangreichen Passphrase geschützt ist.

Und trotzdem ist nach erfolgreichem Login noch einmal su für root-Rechte notwendig - mit nochmal Kennwort.

Und dann nochmals fail2ban drüber, wobei ich die Logfile-Hygiene durch die Blockierung nach 5 Erfolgversuchen fast noch mehr schätze als das Blocken an sich . Ist halt nervig, wenn man was schraubt und das syslog durchscrollt, weil jemand gerade sein Hackerscript laufen hat, welches alle potenziellen Standarduser und die beliebesten Namen durchprobiert...

CU, Peter

Hi Muso,

Du hast Mail.

CU, Peter

Hay gunnarh,

lol - ich würde ja gerne einen Screenshot während einer Bestellung machen, aber ich habe noch einen seit 14 Tagen unbeantworteten Thread im Reseller-Bereich, bevor ich zig Domains rüberziehe. Ich dachte aber, ich hätte den Punkt auch schon beim Transfer gesehen, kann mich aber irren.

Ok, Dein Szenario ist jetzt klarer, da habe ich nur auf ein paar Hotwords geschaut das hat natürlich mit der TTL nichts zu tun.

Allerdings gibt es in dem Zusammenhang noch eine weitere wichtige Information, die mir bislang noch nicht beantwortet wurde. Ich hatte den Eindruck, dass trotz Anlegen eines kompletten DNS-Eintrages während des Transfers diese Einträge nur verspätet berücksichtigt wurden. Die Domains lösten nach Transfer zuerst auf 46.xxx.xxx.xxx IP-Adressen auf (="Diese Domain wurde geparkt", z.B. wie meine http://www.schichtforum.de / das ist gewollt, andere sollten direkt auf meinen Server). Erst nachdem ich noch einmal in den ccp ging und die (vorhanden) DNS Einträge noch einmal gespeichert habe, ging es nach ein paar Stunden. Ob es auch so nach einer gewissen Zeit sowieso funktioniert hätte oder es mein nochmaliges Speichern war, kann ich jetzt allerdings nicht sagen.

CU, Peter

Hay,

Zitat von Georg

Soweit ich weiß, werden bei Domainbestellungen (auch Transfer) standardmäßig die netcup Nameserver eingetragen. Dass eine Eintragung von eigenen NS-Servern im Bestellprozess möglich ist, ist mir nicht bekannt. Vielleicht ist dies für Reseller möglich?

Meinst Du das? Die üblichen DNS Einträge können z.B. bei der Bestellung der Domain schon angelegt werden, dazu gibt es noch diese Option:

Läuft so in meinem ccp, habe ich aber nicht benutzt, ich nutze die netcup domainserver.

Beim Umzug jedenfalls sollte die TTL auf dem ursprünglichen Server vorab (2-3 Tage vorher) möglichst klein gewählt werden, falls möglich. Dann geht der Übergang zum Zeitpunkt des Wechsels schneller und selbst wenn der Wechsel eine kurze Outage erzeugt, bleibt diese minimal und muss nicht erst über 48h propagiert werden.

CU, Peter

Hay,

die Frage root oder nicht finde ich schon berechtigt.

Bevor ich meinen ersten Root-Server gemietet habe, habe ich fleißig an eigenen und dann an meinen firmeneigenen Servern in einem abgesicherten Netz geübt, bis ich den ersten mal Richtung Internet exponiert habe.

Das Problem ist halt, wenn man sich schon grundlegend nicht mit der Verwaltung und mit Internet-Kerntechnologien auskennt, dann ist man eine potenzielle Gefahr für andere - so ein Server oder ein Dienst ist schnell mal von unbekannten Dritten übernommen und mein root-Server wird z.B. wegen eines nicht konfigurierten SMTP-Relays deswegen vollgespammt und vielleicht trifft eine Mail mit einem wannacry-Ableger dann einen meiner User. Oder Du betreibst eine Webseite, vielleicht sogar mittels Wordpress oder Drupal, auf dem nicht abgesicherten Server und plötzlich bist Du eine Phishing-Site oder verkauftst für andere verschreibungspflichtige Medikamente für den "großen Zeh"

Was ich damit sagen möchte: Unabhängig vom IST-Stand ist JETZT der passende Zeitpunkt, sich intensiv damit auseinander zu setzen.

CU, Peter

Hay,

super, danke. Liegt auf dem Lesestack

CU, Peter

Hay,

da mittlerweile wieder vier Wochen ins Land gegangen sind, frage ich mal vorsicht an, wie die weitere Planung zu reseller-Preisen ausschaut?

Ich müsste im Oktober ein paar Domains umziehen (idealerweise natürlich hierher), ich muss noch ca. 10-20 für Kunden neu anlegen und habe selbst noch eine lange Liste, was ich gerne hier hätte, damit mein Server auch mal eine Load >0.04 entwickelt

Im Moment lege ich nur an, was absolut notwendig ist, und ich bin mir nicht sicher, ob das im Sinne des Reseller-Programmes ist Schließlich sollte ich theoretisch irgendwann auch mal noch einen zweiten oder dritten Server buchen, sobald der erste platzt.

Ferner gehe ich natürlich davon aus (bitte bestätigen oder negieren), dass jetzt bereits bestehende Domains (zumindest die mit Standardpreisplan) auf Resellerpreise umgewandelt werden.

Danke im voraus für eine Antwort.

CU, Peter

Hay,

sorry - wenn man was aus dem Kopf schreibt. Bei mir ging das domainfile im bind und ccp durcheinander...

Natürlich im ccp, danke killerbees19...

@ - für die Domain als solche

* - für jede beliebige Subdoman

dns.PNG

also

@ {IP Server 2}

* {IP Server 1}

CU, Peter

Hay,

Zitat von m_ueberall

fail2ban keine IPv6-Adressen sperren kann... ("Meta-Fail"? )

ja, so ist es, habe ich nicht erwähnt - weil ich auf dem Auge leicht blind bin

Zum einen sind die meisten meiner Dienste nur per IPv4 erreichbar (den Bug umgehe ich aktiv, indem ich meine RegEx nur auf IPv4 getrimmt habe) und zum anderen hatte ich bei denen, die für IPv6 offen sind, bislang noch keinen einzigen Angriff...sollte man sich mal drauf vorbreiten und ich bin voll der guten Hoffnung, dass die Leute von fail2ban das in den Griff bekommen toitoitoi.

CU, Peter

Hay,

wieso "drauflegen"? - netztopologisch gesehen ist das Problem identisch mit dem ursprünglich gefragten, also ist die Lösung dieselbe nur mit anderen IP-Adressen. Außer dass man den "static" Eintrag weglassen muss und die Domain mit der server2 Adresse eintragen muss.

Also

beispiel.de A {IP Server2}

* A {IP Server 1}

CU, Peter