Posts by fuerni

  • vlan, firewall beides notwendig? (Heimnetzwerk)

    Je nach den Anforderungen der Produkte und den Möglichkeiten der mitgelieferten Apps kann man unterschiedliche Lösungen umsetzen.

    Ein Netzwerk ohne Firewall zu betreiben, ist heutzutage wohl nicht mehr denkbar, und auch kaum möglich. Schon der einfachste Router hat eine Firewall integriert.

    Zusätzlich zu Firewall, Router und VLAN würde ich noch folgende Techniken berücksichtigen: Private VLAN und Port/AP-Isolation.


    Grundsätzlich wäre es kein Problem, für jede Anwendung ein eigenes VLAN zu erstellen: Eines für Drucker, eines fürs Energiemanagement, eines fürs Soundsystem etc. Das Problem sind aber meist die mitgelieferten Apps. Diese bieten oft nicht die Möglichkeit, Geräte per Hostname oder IP-Adresse hinzuzufügen sondern suchen per Broadcast (IPv4)/Multicast (IPv6) ausschließlich im selben IP-Netz nach Geräten (Broadcast Domain). Jedoch ist jedes VLAN auch ein eigenes IP-Netz. Somit kann das Handy im VLAN 1 die Lautsprecher im VLAN 2 nicht automatisch finden. Beim Drucker ist das normal kein Problem, den kann man manuell per Hostname hinzufügen, aber viele IoT-Apps unterstützen das nicht. Ich hatte das Problem beispielsweise bei meinen Fernsehern. Anderes Subnetz → keine Kommunikation möglich.


    Wenn man nur Geräte hat, welche nicht untereinander kommunizieren müssen, sondern lediglich mit den Smartphones/PCs, würde Port-Isolation bzw. Access Point Isolation genügen. Port Isolation nutzt man bei kabelgebundenen Netzwerken (Switches): Aktiviert man für mehrere Geräte Port-Isolation, können diese nicht untereinander kommunizieren, sondern nur mit Geräten, bei denen Port-Isolation nicht aktiviert ist. Somit kann die PV-Anlage (Isolation aktiviert) nicht mit dem Drucker (Isolation aktiviert) kommunizieren und umgekehrt, beide aber mit dem PC (Isolation deaktiviert).

    Problematisch wird es, wenn man nun Geräte hat, die zwar untereinander kommunizieren dürfen, aber nicht mit Geräten in einer anderen Gruppe. Wenn beispielsweise die Lautsprecher untereinander kommunizieren dürfen, und auch mit dem Handy, aber nicht mit dem Drucker.

    Hierfür kann man Private VLANs (PVLAN) einsetzen. Diese sind Untergruppen von VLANs und haben kein eigenes IP-Netz. Sie können innerhalb des eigenen PVLANs kommunizieren, nicht aber mit anderen PVLANs.


    Je nach Hersteller werden diese Bezeichnungen leider etwas unterschiedlich verwendet. Also besser genau in der Doku nachlesen, was damit gemeint ist. Manchmal ist Port Isolation und PVLAN dasselbe, manchmal nicht. Ich selbst nutze OPNsense mit VLANs und Cisco Switches PVLANs und Port Isolation. Allerdings liegen die User-Endgeräte bei mir in einem eigenen VLAN; ich nutze keine Apps, die das manuelle Hinzufügen nicht unterstützen. Und PVLANs nutze ich für die Switch-übergreifende Port Isolation, sodass alle Nicht-Endgeräte in einem eigenen VLAN sein können. Also ein etwas anderes Szenario als du es hast.

    Unsicher bin ich mir, inwieweit PVLANs von Access Points unterstützt werden. Wenn alles per Kabel angebunden ist, würde es klappen, aber ob das auch mit WLAN geht, bin ich mir nicht sicher.


    Ein gänzlich anderer Lösungsweg wäre zu versuchen, alle Gerätegruppen in ein eigenes VLAN zu stecken und die Broadcasts/Multicasts irgendwie weiterzuleiten. Ob und wie das funktionieren würde, da bin ich leider überfragt.


    Das alles ist natürlich ein großer Aufwand. Ob der dafürsteht oder nicht, kannst nur du selbst entscheiden. Ausgelegt sind Consumer-Produkte meist darauf, dass alles im selben IP-Netz/VLAN ist, und somit funktionieren sie dann eben am besten. Wenn dir das zu heikel ist, du aber keinen all zu großen Aufwand betreiben willst, dann finde ich den Vorschlag von frank_m super. Ansonsten: Dich in die von mir genannten Techniken einlesen, Hardware anschaffen, und viel ausprobieren. Oder auf Consumer-IoT-Geräte verzichten und Business-Geräte kaufen. 😉

  • netcup Rechnungslegung

    Quote from aRaphael

    Ich hätte gerne die Möglichkeit einer Sammelrechnung pro Quartal. :)

    Ja, volle Zustimmung. Eine Sammelrechnung pro Quartal oder Halbjahr wäre super. Denn jede Rechnung erzeugt auf beiden Seiten Verwaltungsaufwand: Zahlungskosten, Buchungsaufwand, Dokumentenablage etc., besonders für Unternehmen.

    Alternativ könnte man auch die Möglichkeit bieten, die Abrechnungsperiode von (einzelnen) Produkten kundenseitig freiwillig zu erhöhen, z. B. von einem Monat auf 3 oder 12 Monate, nicht aber die Mindestvertragslaufzeit.

  • Shopware 6 - möglich bei netcup?

    Hast du tatsächlich bei Dokumentenstamm im WCP nur /public eingetragen?


    Ich denke, du solltest hier /mein-shop.de/httpdocs/public oder /mein-shop.de/public eintragen, je nach deinem Ordnerverzeichnis.

    Oder hast du deinen Shopware Installer in das "Basisverzeichnis", also auf die höchste Ebene, hochgeladen?

  • Wo ist Hanna? Ein Online Escape Game

    Coole Idee.
    Für den ersten Polizeieinsatz brauchte ich einen Hinweis. Kam nicht auf die Idee, diesen Namen einzugeben. Vielleicht hab ich aber auch einfach zu schnell aufgegeben. Der Rest ging dann innerhalb weniger Minuten, aber vielleicht auch, weil ich bereits alles genau durchgelesen hatte.


    Ein kleiner Tippfehler ist mir aufgefallen in gps.php, da fehlt ein Buchstabe bei für: "Wir haben leider eine schlechte Nachricht fü Euch."

    Die Großschreibung von "Euch" usw. finde ich auch nicht mehr wirklich zeitgemäß.

    Und noch einer /hannah/ beim Klick auf den Gratis-Button: "nachträglichen Kauf eine Codes freuen", da fehlt das s bei "eines"


    Chat und Blog sind vom Design her sehr schön gestaltet. Beim Spiel-Interface fehlen mir teilweise Abstände und es ist etwas zu sehr Standard-Bootstrap. Da könnte man also noch etwas Kreativität einfließen lassen.

    Und eventuell beim Chat noch echte Unicode-Emojis. ?

  • Das längste Thema

    Quote from mainziman

    hat jemand eine Ahnung, ob der Teil, den ich beim Englischen rot eingerahmt habe, hier tatsächlich etwas ist,

    das man einfach nur im Englischen Win10 hat, oder hab ich irgendwas übersehen, dass man das abdrehen kann?


    Also bei meinen drei deutschen Win 10 2004 Installationen fehlt der "Help from the web" Teil auch. Englische habe ich aktuell keine.

    Seltsam das ganze. Eventuell gibt es die verlinkten Webseiten nur auf Englisch? Könntest ja mal anklicken und dir die Seiten ansehen, ob man da die Sprache ändern kann.

  • RS 1000 G9 oder genügt ein VPS 1000 G9

    Wenn deine externen Clients eine statische öffentliche IP-Adresse haben, spricht im Prinzip nichts dagegen, dass du den Zugriff direkt erlaubst. Aber Achtung: Es erfolgt keine weitere Authentifizierung, freigegebene IP-Adressen haben vollen Zugriff auf deinen Storage-Space.


    Welches Anwendungsszenario möchtest du mit der Freigabe für deinen PC abdecken? Nur lesender Zugriff? Oder lesend und schreibend? Möglichkeiten gäbe es viele: Webdav, SFTP, FTPS, Nextcloud, SMB via VPN ... Je nach Anwendungsszenario eben.


    Allerdings musst du bedenken, dass der Storage-Space externer Speicher für deinen Server ist und mit der Performance von einer lokalen SSD nicht mithalten kann. Sofern dir also 320 GB reichen, würde ich dir einfach ein Upgrade auf einen VPS 2000 G9 empfehlen. Mehr Performance zum gleichen/ähnlichen Preis, und weniger zu konfigurieren.

  • Apache Reverse Proxy ändert POST-Body? Mailcow UI Problem

    Hallo liebe Netcup-Community,


    ich war gerade dabei ein Issue bei Mailcow-Dockerized zu erstellen, da die UI hängen blieb, wenn man beim Ändern des Passwortes eines nimmt, welches ein = enthält.

    Nun musste ich leider feststellen, dass es bei direktem Zugriff auf den Mailcow-nginx problemlos funktioniert. Versuche ich es aber über den Apache Reverse Proxy, liefert der Mailcow-nginx auf den API-POST-Request einen 404-Fehler.


    Habt ihr vielleicht eine Idee, woran das liegen könnte?

    Ich verwende eine Apache VHost Config wie in https://mailcow.github.io/mail…/firststeps-rp/#apache-24 empfohlen.

    Die UI sendet einen POST-Request mit einem typischen GET-Query-String als Body, wobei der relevante attr-Parameter ein (URL-encoded) JSON enthält.
    Und dieser Request wird vom Mailcow nginx mit 404 beantwortet, wenn die Anfrage durch den Apache (v2.4.38-3, Debian Buster) geht - sie kommt nicht in der verantwortlichen PHP-Datei an.


    Was läuft hier falsch? =O

  • Neuinstallation auf einer VM (Win Server 2012 R2)

    Hallo Mikebazz,


    wenn der Netzwerk-Adapter nicht erscheint, solltest du im Geräte-Manager unter "Andere Geräte" ein Gerät haben mit einem gelben Dreieck mit Rufzeichen.

    Dafür kannst du dann per Rechtsklick die Treiber installieren.


    Falls die von Netcup zur Verfügung gestellte DVD nicht die erforderlichen Treiber enthält, kannst du diese auch bei Fedora herunterladen: https://docs.fedoraproject.org…rtio-win-direct-downloads

    Sollte die "Stable virtio-win iso" nicht funktionieren, kannst du es noch mit der Latest versuchen.


    Die DVD kannst du auch direkt unter Windows laden und mounten/entpacken - musst du nicht über das SCP machen.

    Im Unterordner NetKVM findest du für diverse Windows-Versionen die notwendigen Netzwerktreiber.


    Viel Erfolg,

    Fürni

  • Spam erfolgreich bekämpfen: ISPConfig vs Mailcow

    Liebe Community,


    ich betreibe seit einigen Jahren einen eigenen Mailserver, bisher auf Basis von ISPConfig (Postfix, Dovecot, Spamassasin, Postgrey).


    Bei den normalen Postfächern habe ich kaum Spam, aber in Postfächern, deren E-Mail-Adresse im Internet steht (Homepage, Firmenverzeichnisse etc.) kommt täglich Spam herein, den der Spamfilter nicht erkennt. Meist handelt es sich um die Themen Erotik, Medikamente, Kredit/Darlehen und Bitcoin.


    Folgende Einstellungen habe ich in ISPConfig getroffen, trotzdem kommt der genannte Spam fast täglich durch.

    • Greylisting aktiviert
    • Spamfilter Richtlinie "Normal"
    • Realtime Blackhole Listen:
      • ix.dnsbl.manitu.net
      • cbl.abuseat.org
      • bl.spamcop.net
      • zen.spamhaus.org
      • b.barracudacentral.org


    Nun habe ich im Forum öfter von Mailcow gelesen, und da ich gerade den Server umziehe, bin ich am überlegen, ob ich nicht statt der in ISPConfig verwalteten Maildienste auf Mailcow setze.

    Was habt ihr für Erfahrungen? Bekommt man mit Mailcow Spam besser in Griff? Oder gehört mein Postfix/ISPConfig nur besser konfiguriert?

    Oder klappt das bei öffentlichen Adressen sowieso nicht und ich bräuchte kommerziellen Spamschutz?


    Bitte um eure Meinung - Danke schon mal!

  • Debain Buster kommt voraussichtlich am 6.7.2019

    Hat jemand Erfahrung mit frischen Debian-stable-Versionen bzw. mit Buster?

    Ich hab eine Empfehlung gelesen, dass man ein halbes Jahr mit der Installation warten sollte - aber irgendwie glaube ich das nicht ganz.


    Ich möchte im Juli/August einen neuen Server einrichten (Web, Mail, MySQL, Docker) mit ISPConfig.

    Sollte ich da gleich auf Buster setzen oder sind da einige Kinderkrankheiten zu erwarten, und deshalb besser noch Stretch?

    Mein aktueller Server wird nämlich Ende August gekündigt.

  • Kernel hung_task_timeout: Läuft hier eine Software Amok oder liegts am Host-System?

    Hallo,


    mein RS 1000 SAS G7SE läuft seit fast 2 Jahren problemlos. Seit Anfang Juni meldet mir mein Monitoring allerdings alle paar Tage ein HTTPS-Timeouts auf eine PHP-Website mit lokaler Datenbankanbindung.

    Im Kernel-Log finde ich zu diesem Zeitpunkt folgendes:

    Und bei den Statistiken im SCP habe ich einen Peak in allen Diagrammen (CPU, Festplatte IOPS [Read], Netzwerk PPS [RX+TX], Netzwerk Bytes [TX]).


    Liegt das an meinem System (dreht da eine Software durch), ist das ein Angriff oder gibt es da ein Problem an meinem Host?


    Ich hoffe, jemand kann mir hier einen Tipp geben - danke schonmal.

  • Das längste Thema

    Quote from mainziman

    klar als VM ist man angreifbar, meinte natürlich so richtig Offline sprich, einfach das Kabel zum ISP ziehen ...

    je nach Gegner reicht das ziehen des Kabels zum ISP aber nicht. Ist aber bestimmt der erste und wichtigste Schritt.

    Jedoch sollte da gar kein Kabel zum PC gehen, sowie auch jegliche Strahlung und Schall verhindert werden.

    Sprich Strom vom Akku, und das ganze in einem schallgedämmten Bleicontainer.


    Als Restrisiko sehe ich dann noch Vibrationen von dem Container und die Raumtemperatur.


  • Das längste Thema

    Quote from mainziman

    wenn das Angriffspotential da ist, dann ist man nur dann auf der sicheren Seite, wenn man Offline ist;;)

    nicht unbedingt. Gibt auch dafür einige Angriffsmöglichkeiten. ;)

    Und falls "offline" eine VM im Rechenzentrum ohne Netzwerkzugriff ist, sowieso.