Beiträge von mainziman

    IPv6 ist nicht unvollständig oder fehlerhaft - die Umsetzung durch die Provider ist unvollständig oder fehlerhaft.

    das widerspricht sich; Provider tun auch nur das, was in den RFCs verbockt ist;

    und ja Du hast Recht NAT ist keine Firewall, aber ein Konzept,

    mit einem sehr guten Abfallprodukt;

    welches im Vergleich zu einer echten Firewall sehr robust ist;

    Wir beziehen im Wohnheim vom LRZ einen statischen /48 Prefix und können damit intern wunderbar und unbegrenzt arbeiten - so wie es sein sollte.

    klar so ist es auch sinnvoll; und damit bringst Du mich auf das nächste nicht unproblematische;

    man sperrt bei IPv6 keine einzelnen IPv6-Adressen sondern gleich ganze Prefixe;

    und wenn da einer von euch Mist baut, ist der ganze Prefix gesperrt; findest das dann auch toll?;)

    NAT wird immer als Sicherheitsfeature missverstanden.

    es ist auch ein Sicherheitsfeature; das ist nun mal so;

    sagen wir es mal anders: das SIcherheitsfeature ist ein Abfallprodukt, welches man gerne gleich mit verwendet;

    vgl. Nebenwirkungen von Medikamenten die man eigentlich nicht will;

    (Viagra ist eigentlich das Ergebnis der Nebenwirkung eines Herzpräparates)

    Nur weil mein Rechner global adressierter ist, muss meine Firewall noch lange keinen beliebigen Traffic von außen durchlassen.

    das ist vom Grundsatz mal richtig,

    nur bei IPv6 genügt ein Fehler und dem ist so; bei IPv4 mit NAT einfach unmöglich;

    Und wenn die 65.000 Ports auf der öffentlichen NAT IP langsam knapp werden, dann ist jeder Admin froh über die Endgeräte, die in den Antworten direkt adressierbar sind.

    Denkfehler! dann hat der Admin nicht verstanden ein ordentliches Sicherheitskonzept durchzusetzen. ohne einem ordentlichen Sicherheitskonzept nützt Dir eine ordentliche Firewall auch nichts - um in deinem Jargon zu bleiben und was auch immer Du als ordentliche Firewall verstehst;

    Wer schon mal 25 Portweiterleitungen einrichten musste, um Kameras von außen erreichbar zu machen

    jetzt musst nur noch erklären wieso etwas das man als Hochsicherheit betrachtet vom Internet aus erreichbar sein soll?;)

    genau das soll es ja eben nicht sein, dass unbefugten ein Zugriff auf eine (Überwachungs-)Kamera ermöglicht wird;:D

    Das einzige, was ich bislang vermisse, ist eine flexible Prefix Länge bei SLAAC.

    Fehler im Standard; das wurde sehr bald besiegelt dass dem so ist mit einem /64; (Stichwort EUI-64)

    Nein, natürlich nicht, da hat IPv6 auch gar nichts verloren. IP ist Schicht 3,

    die Geschichte mit den Link-Localen IPv6 Adressen fe80::/10 suggeriert einem aber was anderes ...

    Aber mal ehrlich: Wer außer Infrastrukturbetreibern braucht mehr als /48?

    jedes Unternehmen, welches bei IPv4 hinter einem NAT alle Mglkt.en aus RFC1918 ausgeschöpft hat, würd ich mal sagen ...

    Die Herangehensweise ist natürlich völlig anders,

    genau das ist aber das Problem; das physikalische Netzwerk ist aber das selbe und die Anforderungen auch;

    und NAT ist kein Klimmzug, sondern hat seinen Snn;

    und ehrlich würdest Du ein Unternehmen, z.B. eine Bank so konfigurieren,

    dass jeder Client direkt vom Internet aus erreichbar ist?

    nur weil es mit IPv6 geht - der vielen Adressen sei Dank - heißt es nicht, dass es auch Sinn macht;

    bei mir ist beim Tunnelendpunkt bei einem Hosting-Provider schluss;

    verwende sogar ein /64 aus RFC 4193, weil es einfach keinen Sinn macht,

    dass die ganze Welt bei meinem Router zu Hause direkt anklopft;

    und perryflynn hat es auch angesprochen; DDNS ist bei IPv6 kompletter Quark,

    obwohl bei nicht fixenm/statischem Prefix eine Notwendigkeit;

    nein nicht jedes Ding macht sein eigenes DDNS des muss zentral z.B. vom Router aus gesteuert werden

    und genau da scheitert es ...

    Was es schwierig macht, ist die fehlende Unterstützung oder mangelhafte Umsetzung vor allem in vielen SoHo Produkten. Das ist dann gefühlte Mehrbelastung, das kann man aber kaum dem Standard anlasten.

    doch einiges davon muss man dem Standard anlasten, IPv6 ist aus Sicht heute - dem fast zu Ende gehenden Jahr 2021 - immer noch unvollständig;

    und teilweise sogar fehlerhaft;

    od. will mir jetzt jemand erklären, IPv6 hat sich sogar um den Layer 1 Gedanken gemacht;

    das wäre der Oberquark;

    ich bin auch zufrieden mit IPv6 so wie ich es momentan habe, aber Fehler kannst da mehr als genug machen;

    bei IPv4 schaffst des gar nicht derartiges falsch zu machen;

    alleine das mit den Prefixen gefriert mir den Grinser ein;

    wie käme man auf die Idee z.B. ein /60 zu vergeben?

    würdest gleich in Richtung /48 gehen dann kannst gleich IPv8 designen,

    weil Dir die Adressen ausgehen, so schnell kannst gar nicht schauen :D

    Wäre schon echt lustig, wenn Google auf IPv6 only umstellen würde.

    dann sind genau die Firmen weg vom Fenster, die es bis heute nicht auf die Reihe bekommen haben ein Sicherheitskonzept durchzusetzen;

    ein Proxy ist hier das mindeste; weil damit juckt dich des genau NULL, einfach eine IPv6 auf'm Proxy 'raufschalten und weiter gehts, das wars;

    im LAN braucht des niemand;

    hab' ich selbst sogar jahrelang gemacht, einfach per IPv4 bis zum Proxy und dort gings dann wahlweise mit IPv4 od. IPv6 weiter;

    und ich mach das heute immer noch so, auf der Firewall ist die direkte Verbindung zu diesen Ports blockiert: 25, 80 und 443

    und in Firmenumgebungen würde ich noch anraten auch noch 20, 21, 22, 23, 110, 143, 465, 587, 993, 995 zu sperren

    und die verdächtigen 137, 138, 139 und 445 sowieso

    überlegenswert sind auch noch 389, 636 sowie 554, 873 und 992

    https://www.heise.de/news/Gericht-D…en-6288818.html

    Die Implikationen dessen sind nicht gut.

    doch die sind schon gut, es heißt quasi, dass der Webseitenbetreiber von

    www.website.de es gefälligst zu unterlassen hat irgendwelches Zeugs von 3rd Party einzubinden,

    ohne vorher den Client um Erlaubnis zu bitten/fragen;

    und ohne Erlaubnis ist es dann ein Failure by Design;

    meine Rede seit x Jahren;

    schließlich steht im Katastrophenfall der Betreiber dessen SSL-Zert. f. mich als User direkt sichtbar ist

    gerade, wenn irgend so ein eingebundenes Zeugs Malware verbreitet.

    m_ueberall genau darauf wollt ich hinaus, eine Domain welche man f. den Mailversand verwendet hat mit dem was im Hintergrund,

    A/AAAA-Records f. den Mailserver selbst bzw. im rDNS f. die Rückwärtsauflsg. eigentlich gar nichts zu tun;

    es können beliebig viele Domains alle den selben Mailserver verwenden, und brauchen dabei keinen einzigen A/AAAA-Record im DNS beinhalten;

    einzig DKIM, DMARC, ... als CNAME ist hinreichend; bei SPF gehts etwas anders, z.B. @ IN TXT "v=spf1 redirect=_spf.example.com"

    (das mit dem Impressum von T-Online stell ich mir dann interessant vor, ist sowas wie die Schuhgröße beim T-shirt-Versand)

    es ist zwar nett, wenn man mehrere Domains hat, dass man bei allen einen A/AAAA-Record z.B. mail IN A 1.2.3.4  im DNS hat,

    und dann bei allen Domains einen MX-Record wie z.B. @ IN MX 10 mail

    nur kann das nur bei einer Domain vollkommen korrekt sein, ich würde beim Abliefern von Mails auch folgendes checken:

    stellt sich der Mailserver, der da beim MX genannt wird auch mit dem Namen korrekt vor?

    ich hab bei mir genau aus diesem Grund eine sogenannte Infrastruktur-Domain, und bei allen Domains einfach folgenden MX-Record im DNS

    @ IN MX 10 mx01.infrastructure-domain.tld.

    3. Irgendeine Subdomain der Maildomain muss auf die IP verweisen, also a und aaaa record vorhanden sein. Bzw. Reverse IP muss auf die tld auflösen.

    das passt nicht;

    spätestens wenn man mehrere Domains hat, ist das sogar unmöglich;

    Das ist so ein Telekom Ding. Die akzeptieren rDNS nur, wenn es auch den passenden Forward Record gibt.

    würd ich auch ... und zusätzlich den HELO-Namen validieren;

    Ein Forum ist meist kleiner und überschaubarer.

    ja das stimmt so lange die Zahl der User nicht die magische Grenze von ein paar Tausend übersteigt;

    weil dann is es unerheblich ob es jetzt 103, 104, 105, 106, od. gleich mehr als 109 sind;

    Nicht jeder mag bei Facebook, Instagram oder Twitter alles von sich preisgeben.

    das stimmt, aber die Große Masse gibt da bereits Dinge von sich preis,

    welche ich nicht mal in irgendeiner Form ins Netz stellen würde,

    nichtmal in ein Forum;

    Hast Du dafür gesorgt, dass die Suchmaschinen nicht zu Inhalten kommen,

    zu welche man nur mittels Anmeldung kommt?

    ich finde es immer wieder lustig und mittlerweile auch nervig, wenn man bei der Recherche

    auf 403-Seiten landet, wenn man mehr lesen will als das Schnippel, welches die Suchmaschine präsentiert;

    Wo siehst du das konkrete Problem beim Austausch der Riegel?

    grundsätzlich gar nicht, aber bei dem "Ja, problemlos" habe ich so meine Zweifel;

    machen die sich wirklich einen Termin aus, wo Du den Server vorher sauber 'runterfährst,

    dann Dein Ok gibst, die dann die RAM-Riegel tauschen

    und dann den Server hochfahren und Dir die Kontrolle wieder geben?

    klar dass für Dich ein Neuaufsetzen nicht in Frage kommt,

    aber dass die der Einfachheit halber hergehen den Server per ACPI abdrehen

    und die Platte in ein anderes Blech mit ECC geben, würde ich nicht ausschließen ...

    Hot-Swap Platten/SSDs findet man häufiger als Hot-Swap RAM;

    wie m_ueberall es erwähnt hat, dass das ganze natürlich von der Gesamthardware Chipsatz und CPU abhängt,

    ob ECC RAMs überhaupt unterstützt werden; schau mal nach welcher Chipsatz hier zum Einsatz kommt,

    und welche CPU, und dann lies in den Specs nach, ob sowohl die CPU als auch der Chipsatz ECC-RAMs unterstützen;

    (beim Chipset in meinem PC beispielsweise würden ECC-RAMs zwar unterstützt werden,

    aber weil die CPU keinen ECC-Support hat, habe ich auch keine ECC-RAMs)