Beiträge von CmdrXay

Hay,

das ist alles sehr unpräzise, Du musst mehr Infos sammeln. Wenn diese Fehler regelmäßig vorkommen, dann gibt es in der Regel ein Muster, das man herausfinden muss. Ich würde mich auch erstmal davon lösen, dass nginx oder haproxy das Problem verursachen, sondern erst mal einen normalen Windows-Troubleshoot lostreten. Der mag sich dann schließlich auf diese Programme verengen, aber aufgrund des unklaren Fehlerbildes würde ich nichts ausschließen.

Ich würde die Ereignisanzeige mal genau im Auge behalten, selbst normale Info-Einträge können weiter helfen. Insbesondere sollte man sich ganz genau ansehen, was kurz vor dem Bluescreen passiert ist, vielleicht auch ein Ressourcenmonitoring parallel laufen lassen. Und so seltsam es klingt: Du hast hier ein nicht-Server-OS auf einem Server - da würde ich mal mit einem chkdisk kräftig reintreten, nicht dass das Filesystem einen Fehler hat.

Also die Klassiker: "sfc /sannow" (kann ja auch ne Systemdatei sein) und "chkdsk /f" (fürs Filesystem).

Eine Alternative - sofern Du Dir den Ausfall erlauben kannst - wäre auch mal über einen Tag memtest laufen zu lassen oder andere Lasttest (Prime etc.), denn abgesehen von faulen Treibern kann es auch faule Hardware sein. Da sind meine Hauptverdächtigen Speicher und CPU. Das sollte dann aber ein dediziertes System sein, sonst werden sich Deine Mitbewohner freuen

CU, Peter

Hay,

sofern der Server "Docker-Container" kann (wie z.B. mein RS8000), würde ich empfehlen, einen Docker mit Java einzusetzen. Das wäre mE die ideale Ergänzung mit Managed Server, weil man dann auf der einen Seite den Server selbst verwalten lassen kann und zum anderen "nur" noch die Aufgabe hat, die Java-Umgebung sauber zu halten. Ist alles eine Frage, wieviele Kosten und wie viel Arbeit man investieren (oder verteilen ) möchte

CU, Peter

Hay,

natürlich. Läuft bei mir auf verschiedenen Servern, auch hier bei Netcup. Beispielsweise https://webmail.pkleemann.de/

Lets Encrypt Certifikat mit webmail-Domain beantragen, https-Umleitung rein, irgendwo in den E-Mail-Einstellung war noch was mit "Zertifkat für webmail aussuchen", mehr weiß ich jetzt auch nicht mehr, ist schon eine zeitlang her Am Anfang musste ich noch eine extra webmail-Subdomain anlegen um dafür ein Cert zu bekommen, das ist aber jetzt Vergangenheit.

P.S.: Mit Plesk jedenfalls. Per Hand gehts natürlich auch ...

CU, Peter

Hay,

jedenfalls bei ssh den root abklemmen und nur mit Keys & sicherer Passphrase arbeiten.

Ergänzend - so läuft es bei mir - fail2ban installieren.

Das ist ein Logfile-Beobachter, den man mit regulären Ausdrücken auf Einbruchsversuche trimmen kann und man kann auch die Sensitivität einstellen. Wenn jemand sich z.B. innerhalb von 10 Minuten 5x erfolglos per ssh einloggen wird, wird die IP gesperrt und zwar für eine ganze Woche (ist gusto, wie lange). Man kann auch Einträge whitelisten (zum Beispiel indem man einen bestimmten User whitelistet - sollte natürlich nicht ausgerechnet root sein), so dass man sich selbst eine Lücke offen lässt. fail2ban läuft bei mir auf ssh, postfix und asterisk-Logfiles (plus andere empfindliche Dienste). Wenn man schon bei ssh-Hackversuchen wach wird... Ihr könnt Euch gar nicht vorstellen, was abgeht, wenn jemand da draußen im wilden weiten Netz einen offenen SIP-Port findet, da gibt es mehr Angriffsvektoren als nur ein Login

Nachteil von fail2ban... wenn jemand mit großer Bandbreite angreift (deswegen vielleicht in Kombination mit dem obigem Vorschlag), sind schon 200 Loginversuche durchgelaufen, bis fail2ban die IP sperrt...

CU, Peter

Hay,

"xn--test@"? Kann es sein, dass auch im Username selbst ein Umlaut ist? Das würde ich auf jeden Fall dringenst vermeiden, auch wenn es grundsätzlich zulässig ist! Hier sollte man Praktikabilität unbedingt über Schönheit stellen. Und wenn Dir auffällt, was das Forum aus der Mailadresse macht... klickbar ist alles ab test@, das xn-- vorher ist nicht klickbar bzw. unter dem automatisch generierten Link liegt schon hier nur die unvollständige Adresse!

Siehe als schnelle Referenz mal hierher, das ist zwar nur ein relativ kurzer Stackoverflow-Beitrag, aber enthält alle relevanten Infos und auch weitere Links.

https://stackoverflow.com/questions/1512…e-local-part-of

Und nur mal als Gedanke am Rande... angenommen, Du möchtest Leute aus allen Teilen der Welt ansprechen. Wüsste ein Nordamerikaner, wie er Dich unter günstereinkaufen@example.com kontaktieren kann, wenn er das ü nicht auf seiner Tastatur findet Dieses Argument gilt natürlich sowohl für alles vor- wie hinter dem @-Zeichen

CU, Peter

Hay,

Hast Du Zugriff auf einen Webmailer bei Deiner Domain? Mal da versuchen, ob die Daten grundsätzlich korrekt sind.

Schon mal mit punycode-Domains versucht?

Mit Umlaut-Domains gibt es immer noch Probleme. Wenn beide Domains grundsätzlich gleich sind (also wie Schäfer.de und Schaefer.de), würde ich nur die ohne Umlaute wirklich bedienen (also als Konto in Outlook anlegen) und alles auf der Umlaut-Mailadresse forwarden auf die ohne Umlaute. Es ist lächerlich, dass wir uns im UTF-Zeitalter mit so etwas herumschlagen müssen.

Das ist ein Workaround und keine wirkliche Lösung.

CU, Peter.

Hay,

danke & super, dass Du die Lösung mitteilst.

Ergänzend: Für sichern und restaurieren ist iptables-persistent da, aber wenn zwei Tools dieselbe Konfiguration bearbeiten, gibt es natürlich Zweideutigkeiten. Allerdings sollte iptables-persistent beim Herunterfahren die Regeln in /etc/iptables/rules.v4 bzw .v6 speichern, sonst würde das ja keinen Sinn machen . Also sollte auch MIT beiden Tools die iptables identisch sein beim reboot, weil iptables wirklich nichts anderes macht als speichern und laden. Ich stehe auf Kriegsfuß mit systemd, deswegen weiß ich nicht, wie das dort geht, aber mit sysVinit fehlte vermutlich der K-Eintrag im passenden /etc/rcx.d-Verzeichnis. Möglich, dass den ufw entfernt hat. Hätte dann aber den S-Eintrag auch entfernen müssen.

CU, Peter

Hay,

es gibt auch einen Grund, warum der Anbieter [selbstzensur] Server mit aktuellen NVIDIA-Grafikkarten anbietet... Wobei ich es auch dort schon in Zweifel ziehe, dass es sich lohnt, auch wenn zig tausend Shader Kerne rechnen. Es "lohnt" sich wahrscheinlich nur, wenn jemand anderer die Kosten dafür übernimmt und dieser andere nichts davon weiß oder mitbekommt (z.B. ein IT Mitarbeiter mit Zugang zum Firmenserverraum, schon hier aufgetreten und ganz schnell gefeuert).

CU, Peter

Hay,

irgendwie raffe ich das eigentliche Problem immer noch nicht. Zumindest ausgehend müsste Postfix das schon in der Standardinstallation können, sofern er für Deine Domain senden darf (z.B. ptr Einträge in DNS). Das authentifizierte Login (Dein UserA@domain.tld) ist eben nur fürs Login auf den Postfix, die Mails werden unverändert durchgereicht (also ohne Manipulation von "from:" und "to:") und verteilt, außer Du legst zB. mittels transport rewrite etwas anderes fest. Vielleicht ist das auch zu einfach...

Es geht doch nur um ausgehende E-Mail? Jedenfalls Deiner Beschreibung nach. Eingehend wirds (aber nur leicht) komplizierter (siehe: http://edoceo.com/howto/postfix-gateway).

Da ich leider keine Möglichkeiten habe, das nachzustellen, bin ich ab dem Moment raus

CU, Peter

Hay,

ich sehe gerade, ich habe vermutlich etwas mißverstanden. Es sollen (wenn ich es jetzt verstanden habe) alle User durch einen einzigen Useraccount geschickt werden. Bei mir sind selbstverständlich alle externen Accounts eins zu eins mit internen Accounts verknüpft und beide auf beiden Servern als Mailnutzer angelegt, das ist natürlich etwas anderes, sorry confusing you.

CU, Peter

Hay,

für mich sieht es nicht so aus, als ob die Lösung unbedingt im Postfix/Froxlor zu suchen wäre - sondern vielleicht in diesem Exchange-Ersatz Kerio als ersten Mailhop.

Die Mitarbeiter bei mir haben eigene E-Mail-Adressen, senden aber auch über diverse abweichende Domains auch generischen E-Mail-Adressen (info@, support@ z.B.) ab. Insofern fühlt sich das so an, wie Dein Setup. Zudem habe ich leider auch noch smtp-Mailer, die keine Verschlüsselung können und da ich am Postfix des Providers nichts machen kann (wird nicht hier über meinen Netcup-Server verschickt), übersetzt bei mir ein interner Postfix alle internen Accounts sauber in externe E-Mail-Adressen (sender_canonical.cf und sasl_auth.cf für die Verschlüsselung nach außen) und schickt die dann über die Einzelnaccounts des Providers.

Natürlich ist es verständlich, dass Du diverse Gründe hast, Kerio einzusetzen und niemand wird aufgrund eines Forentypen (wie mich) das ändern wollen Aber vielleicht lässt sich ein entsprechendes Mapping ähnlich dazu in Kerio eintragen - wobei ich die Software leider nicht kenne, um dort Tipps geben zu können.

CU, Peter

Hi,

wie die anderens schon geschrieben haben, gibst Du wenige Informationen - "geht nicht" reicht nicht. Was ist in den http-Logs zu finden? Nginx als Proxy? Schafft der vielleicht das durchreichen an den Apache nicht?

Ich würde erstmal in Plesk nachschauen, ob die Services alle da sind (apache, nginx) und diese neu starten. Wenn das nicht geht, den Server mal neu starten.

Ich arbeite in einer Hotline und "nichts geändert" ist dort die meist genutzte Aussage. Dass sich Dinge manchmal von selbst ändern, hat man nicht auf dem Radar (zB automatische Updates sind eingeschaltet, neues Update kommt, schaltet Dienste einfache ab und schon ist es passiert). Und manchmal ändern sich Dinge, indem man eben einfach nichts tut - z.B. wichtige Updates einspielt, Festplatte aufräumt etc. Das muss hiermit alles nichts zu tun haben, vielleicht ist es wirklich nur ein nicht laufender Service und jemand hat in den Hostingeinstellung (nginx Caching ist ein Favorit dafür) "nichts (wichtiges) geändert".

So, genug des blabla, jetzt kommen wir mal zum Entscheidenden, ich habe frecherweise mal einen nmap von Deinem Server gemacht:

nmap berliner-sound.com

Starting Nmap 6.40 ( http://nmap.org ) at 2017-07-23 16:50 CEST
Nmap scan report for berliner-sound.com (188.68.38.241)
Host is up (0.00036s latency).
rDNS record for 188.68.38.241: v22017064713450519.megasrv.de
Not shown: 989 closed ports
PORT     STATE SERVICE
21/tcp   open  ftp
22/tcp   open  ssh
25/tcp   open  smtp
53/tcp   open  domain
106/tcp  open  pop3pw
110/tcp  open  pop3
143/tcp  open  imap
465/tcp  open  smtps
993/tcp  open  imaps
995/tcp  open  pop3s
8443/tcp open  https-alt

Nmap done: 1 IP address (1 host up) scanned in 30.02 seconds

Wenn kein http-Port bedient wird, kommt da auch nichts als Webseite ... Firewall zu oder Dienst ist nicht oben. Sobald Du dieses Problem gelöst hast, funktioniert Deine Webseite auch wieder. BTW: Wenn Dein sogenannter "Programmierer" das nicht rausbekommen konnte... aber ich innerhalb von 2 Minuten... sollte das bei Dir dringend einen Gedankengang auslösen...

Cu, Peter

Hay,

ich springe mal kurz bei, ich glaube es erkannt zu haben.

Die 46.38.243.234 IPs, die in Deinem DNS eingetragen sind, sind offensichtlich Standard-IPs von Netcup (Die "Feigenblatt" Seite ... "Diese Domain wurde geparkt"). Die kenne ich, habe ich auch drin nach Neubestellung einer Domain, wenn ich keinen DNS-Eintrag angelegt habe.

Dein V-Server hat eine IP-Adresse erhalten (Du hast Mails von Netcup bekommen, in der diese drin steht). Statt der 46er IPs in obiger Maske trägst Du erst einmal in den DNS die von Deinem V-Server ein, DNS-Record speichern. Dauert dann bis zu 48 Stunden, bis sich der Eintrag herumgesprochen hat, also nicht ungeduldig werden. Sobald Du auf Deinem PC in der Eingabeaufforderung "nslookup http://www.deinedomain.de" eingibst und die IP-Adresse vom V-Server kommt, ist diese Änderung zumindest bis zu Deinem Internet-Provider vorgedrungen.

Jetzt musst Du auf Deinem V-Server einen virtuellen Host anlegen. Entweder mit Plex (sofern vorhanden) einfach die Domain anlegen oder einen virtuellen Webhost-Eintrag in die Konfiguration vom apache oder nginx anlegen - je nachdem, welchen Du betreibst. Ist das getan, ist Deine Domain mit der richtigen IP verfügbar und Dein Server liefert auf dem richtigen Namen Deine Webseite aus.

Bis hierhin ist alles Basic-Level und diese Hürde musst Du einfach nehmen, wenn Du ernsthaft einen vServer betreiben möchtest.

Dieses Details musst Du Dir selbst erarbeiten, einen Freund fragen - oder jemanden beauftragen, der sich damit auskennt, das ist auch eine Alternative.

Als erster Anker - falls Du Ubuntu (oder vergleichbare Linux-Varianten) laufen hast und den Apache benutzt - hilft Dir dieses vielleicht weiter: https://wiki.ubuntuusers.de/Apache/Virtual_Hosts/

Mit Plex ist es easy, falls Du das hast. Einfach Domain in der Plexoberfläche anlegen und schonmal fettisch.

Aus der Lehre mit den anderen, die Dir schon etwas geschrieben haben: Tiefer oder ausführlicher werde ich auch nicht, in diesem Text sind alle Begriffe drin, mit denen Du per http://lmgtfy.com/ weiterkommst.

Und als weiterführender Hinweis: Wenn das geschafft ist, beschäftige Dich mal mit den Stichpunkten "mx record", "dmarc1", "spf" um den DNS-Eintrag so hinzubekommen, dass die Welt auch E-Mails von Deinem Server bekommen kann... äh... will.

CU, Peter

Hay,

Trunks sind vergleichbar mit Anlagenanschluß. Normale VOIP-Kanäle sind vergleichbar mit Mehrgeräteanschlüssen. Beides kann man auf eine Asterisk terminieren lassen. Oftmals sogar kann ein Kanal/Trunk gleichzeitig auf mehrere Asterisken terminieren.

Also:

1) Es muss kein SIP-Trunk sein. SIP-Trunks sind bei vielen Rufnummern oder bei vielen gleichzeitigen Gesprächen interessant. Wenn man einfach mal ein paar Rufnummer braucht, gibt es z.B. bei Sipgate kostenlose Rufnummern - für ausgehende Telefonate braucht man allerdings ein Monatspaket, kostet Geld. Einfache Rufnummern sind einfacher zu konfigurieren als SIP-Trunks und günstiger.

2) Bei Sipgate gibt es natürlich auch Trunks. Ich habe einen 2er Trunk und einen 10er Trunk von Sipgate. Außerdem einen weiteren größeren Trunk von sipup.eu, deren SIP-Gatenway ist sogar auf einem Netcup-Server gehostet - ich habe unter 1 ms Latenz dahin.

3) Auf meinem Netcup-Server (RS 8000 SAS G7 SE NC) habe ich spaßeshalber für ein Projekt mal Rufnummern eines Mobilfunkproviders per SIP terminieren lassen und gemessen, was der so aushält. 4.500 parallele Telefonate waren kein Problem - mit kleinen Reserven. Habe das Projekt dann in der Cloud des weltgrößten Anbieters zuende gebaut, 50.000 parallele Mobil- und Festnetz-Telefonate.

4) Derzeit läuft hier auf meinem Server hier eine Asterisk mit SIP-Trunk, es sind zwei VOIP-Telefone in meinem Homeoffice angeschlossen, ein weiteres VOIP-Telefon im Büro und mein Tablet zählt mit zoiper über LTE als weiteres Telefon. Ist noch etwas wenig (meine Installationen sind meist etwas größer lol), aber das ist auch nicht meine Hauptasterisk (die in meinem Serverraum steht - 24 Xeon Cores und 128GB Ram und nativ an zwei PMXer von T-Systems angeschlossen - plus SIP-Trunks als Backup), sondern die zum "Spielen".

5) Entweder Ihr bindet die externen Geräte über OpenVPN an (und den Port 5060 nur für localhost öffnen) oder sichert den Server mit z.B. fail2ban und iptables ordentlich ab. Und nicht vergessen, für die Endgeräte ordentlich sichere Passworte zu setzen und die Asterisk richtig dicht zu machen, dabei den Dialplan nicht vergessen. Falsch konfigurierte Extensions können das komplette Routing zerstören. Ab dem Zeitpunkt, ab dem Ihr Port 5060 offen habt, kommen die Einbruchsversuche und ein SIP-Telefon mit Login 10 und Passwort 10... viel Spaß mit der nächsten Telefonrechnung...

CU, Peter

Hi,

Zitat von scbawik

.. und warte nun seit fast zwei Monaten zumindest auf eine ETA...

Aha, schau mal da, ein Wartungsfenster

Hoffen wir das Beste. Wobei mir die Templates eindeutig vorgehen. Die haben immerhin [selbstzensur], [selbstzensur] und sogar [selbstzensur]. Zugegeben, die TTL einzubauen ist weniger Arbeit, die Templates schon eher mehr Arbeit, haben aber weniger Auswirkungen auf die Stabilität der DNS-Server, dafür große Vorteile beim Komfort.

So spaßeshalber mal eine Anekdote... ich baue auch Telefonsysteme, gerne mal etwas größer. Ein Kunde möchte im Peak 50.000 Telefonate (parallel) beantworten. War an sich kein großes Problem, ließ sich beim führenden Clouddienstleister [selbstzensur] einrichten. Der Telefonprovider schickt die Telefonate per SIP an eine feste IP-Adresse, der Loadbalancer bekommt das SIP-Protokoll nicht richtig hin (oder besser gesagt, bei [selbstzensur] kann man sich nicht darauf verlassen, dass die Loadbalancer eine feste IP haben). Also habe ich den Telefonprovider gebeten, ob er nicht statt eine IP einen FQDN nehmen könnte, wir machen dann ein primitive Lastverteilung über den DNS. "Ja, klar, kein Problem." Ich war mir nicht so sicher. Meiner Nachfrage, ob er mindestens 400.000 DNS-Anfragen innerhalb einer Minute verkraften könne, folgte dann ein riesiges Rumgeheule...

CU, Peter

Hallo allerseits,

abgesehen davon, dass ich mir natürlich völlig aufgeregt eine Resellerpreisliste erhoffe (ich möchte mindestens noch 10 Domains umziehen und noch ein paar mehr neu anlegen), habe ich folgende Verbesserungsvorschläge für den NCC, der auch die Attraktivität für Reseller erhöhen würde:

Templates für DNS. Wenn man die notwendigen Einträge macht (bis hin zu dmarc- und spf-Einträgen), kommt man grundsätzlich auf acht bis zehn Standardeinträge, was bei der Neuanlage von mehreren Domains mittels Templates enorme Kopier- und Tipparbeit sparen würde. Alfahosting bietet z.B. solche Templates an. Superpraktisch. Trotz der Vorteile bezüglich z.B. rbl's möchte ich mir das Setup eines eigenen DNS sparen und den Netcup DNS-nutzen.

Außerdem habe ich nirgends gesehen, dass man die TTL für seine DNS-Einträge einstellen kann. Habe ich bei [NAMEENTFERNT] (lol, warum ist das ein zensiertes Wort?) und [NAMEENTFERNT]. Für gewisse Zwecke (Vorbereitung eines Serverumzugs oder Domaintransfers oder für Tests/Subdomains) ist es mal nützlich, zeitweise mit einer kürzeren TTL zu arbeiten.

CU, Peter

Aha. Danke für die Auskunft.

Ich ging davon aus, das wäre ein Reseller-Preis und habe meine Kunden schon heiß gemacht. Dann lasse ich die anderen Domains wohl woanders... warum Arbeit damit machen und nachher mehr bezahlen?

Mit freundlichen Grüßen

Peter Kleemann

Hallo,

Nachtrag zur Info - die onlineschichtplan.de ist jetzt per nslookup korrekt abrufbar...hat sich möglicherweise gerade zufällig zu diesemZeitpunkt gelöst.

CU, Peter

Hallo Netcup-Team,

danke für Teilnahme als Reseller.

Zwei Punkte:

1) Ich habe zwei Domains testweise übertragen und bekam die ermäßigten Konditionen angezeigt und in der Domainübersicht stehen sie auch so. Heute wollte ich weitere Domains nachziehen und plötzlich steht da immer wieder die 5,00 Euro, weswegen ich den Vorgang erst einmal abgebrochen habe (siehe Anhang). Wie kommts? Oder wo hängts? Ich muss dringend mindestens noch eine Nachziehen, weil die bald ausläuft.

2) wenn ich beim Bestellen einer Domain bereits DNS-Einträge auf meinen Server anlege (jedenfalls bei den beiden Domains, eine neu beantragte und eine transferierte), wurde bei DNS-Abfragen immer die 46er-IP des netcup DNS ausgespuckt bis ich im CCP nach Transfer noch einmal die DNS-Einträge nachträglich neu extra gespeichert habe. Wobei der DNS-Eintrag der zweiten Domain noch nicht komplett verteilt ist und ich noch die alte Namensauflösung bekomme. Aber im DENIC ist bereits der Netcup-Nameserver gelistet und wenn ich diesen direkt abfrage, kommt nichts... obwohl die Einträge seit gestern als gültig angezeigt werden, siehe Anhang 2&3.

Cu, Peter