Posts by KosMos

Wenn du zwei verschiedene Generationen buchst, müsste die ja dann auf verschiedenen Servern laufen. Sind ja dann unterschiedliche CPUs.

In gewissen Grenzen schon, denn ich verwalte ja auch noch die Clients, heißt Patchmanagement und zusätzliche, leistungsstarke Endpoint Protection mit zentralem Management. Die Software wird auch entsprechend so eingestellt, dass beispielsweise nur bestimmte Programme ins Internet kommunizieren dürfen, sogenanntes Applikationswhitelisting.

Mehrere Netzbereiche sind auch möglich, interessant wäre noch, wie man Repututation wiederherstellen kann. Klar kann ich irgendwo Anträge stellen, aber es gibt ja scheinbar unendlich viele Listen und noch die Anbieter selbst, die irgendwelche IP-Adressen blocken.

Ich könnte mir vorstellen, dass man da bei riesigen Unternehmen wie z.B. youtoube kaum Chancen hat, allein schon der Aufwand einen Ansprechpartner zu finden.

Quote from Hille

Was genau ist den jetzt dein Problem ? Hier wurden doch Möglichkeiten genannt, um deine Probleme / Fragen zu lösen.

Mögliche Konzepte um die eingangs beschriebene Problematik zu minimieren. Ein dezentrales Konzept als Lösung kommt für mich nicht in Frage, wenn sinnvolle Alternativen existieren. Trotzdem darf ich zu Beginn nicht auf die falsche Architektur setzen, denn im schlimmsten Fall müsste ich bei z.B. 100 Kunden die Geräte tauschen. Daher kann man noch gut über die ip probematik diskutieren.

Zur minimierung der Problematik insgesamt würde es wahrscheinlich auch schon helfen, wenn man sich ein ganzes 24er Netz anmietet mit guter Reputation, da ja scheinbar häufiger in irgendwelchen Datenbanken pauschal größere Netzbereiche eingetragen werden.

Ich dachte eher an leasing eines 24er Netzes für 100-150 Euro rum, jedoch muss der Anbieter eigenes Routing akzeptieren.

Aber da bin ich eigentlich auch noch weit entfernt, erst einmal klein anfangen. Ich denke bis 25 Standorte probiere ich es zunächst einmal mit einer ipv4 Adresse und kann ja schnell ne alternative zubuchen evtl. jedem Standard noch eine feste IPv6.

Einige wenige Captchas sind eigentlich auch egal.

Was habe ich noch für Optionen um die Problematik zu minimieren?

Ich könnte ein eigenes Klasse-C-Netz (24 subnetz) mieten und dann zusätzlich dedizierte Hardware. Das würde das Problem wahrscheinlich minimieren, wobei auch die Adressen auf irgendwelchen Listen stehen könnten, sind ja gebraucht, aber private Adressen theoretisch auch.

Kennst du gute rootserver Anbieter, welche ein eigenes Netz zulassen und idealerweise in Deutschland angesiedelt sind?

Ein dezentrales setup bedeutet deutlich höhere Hardwarekosten und höherer Administrationsaufwand sowie je nach Produkt auch höhere Lizenzkosten.

Nicht zu unterschätzen ist auch die höhere Ausfallwahrscheinlichkeit. Ein schlanker openwrt Router läuft auch zuverlässiger.

Ja, das klingt plausibel, aber technisch gesehen sollte es, bei gleichen Voraussetzungen, eigentlich keinen Unterschied machen, ob ich nun Datacenter IP A (Netcup) oder Datacenter IP B (Netcup) benutze, wenn wir davon ausgehen, dass beide von Netcup stammen und keine IP auf irgendeiner Blacklist stehen.

In Bezug auf die IP-Adressen können die Dienste (Webseiten) nur feststellen, wem die IP gehört (Netcup) und auf welchen Blacklisten die Adresse gelistet ist.

Die weiteren Faktoren müssten dann das Verhalten erklären (Captchaanfragen). Das sind dann wohl Analysen vom Userverhalten z.B. kommen 100 gleichzeitige Anfragen von der IP zu meinem Dienst (Youtoube, google etc) oder welcher Browser wird genutzt, welche History etc.

Da die Userseite ist bei meinem Konzept eignetlich unproblematisch ist, da nur Businesskunden und keine Downloader, Cracker etc. wie es beispielsweise bei NordVPN der Fall ist, sollte ich mein Konzept so umsetzen können. Wenn ich falsch liege, kläre mich auf.

Quote from darkstar

Einer meiner RS dient auch als VPN-Server.

Zum einen gehen dort mehrere S2S-Tunnel hin, d.h. es vernetzt so die privaten Netze eigener Standorte und ich hab so auch Zugriff auf das VLAN, um meine anderen RS zu erreichen und muss nicht über die Public Interfaces.

Zum anderen habe ich, nachdem ein Apple-IOS-Update wieder den Zugriff über meinen heimischen Bintec-Router zerschossen hat, derzeit darüber auch eine VPN-Einwahl und auch das Surfen ist darüber dann für den IP-Adressbereich der VPN-Einwahl-IPs möglich.

Das führt dann dazu, dass bei aktiviertem VPN z.B. Youtube mich als Bot sieht und ich mich anmelden soll. Schalte ich das VPN aus funktioniert alles wieder normal.

Problem sind Geolocation-DBs, die das entsprechend ASN dem RZ zuordnen. Man kann versuchen, das manuell zu ändern (bei irgendeinem gab es ein Formular) und einen speziellen Eintrag für den Standort der IP zu setzen. Das hat bei einem der Anbieter auch geklappt, bei Youtube aber nichts geändert.

Irgendwie wäre es für solche Anwendungen gut, auch spezifisch IP-Adressen zu bekommen, die als Access in Geo-IP registriert sind. Natürlich kann das zu Einschränkungen beim direkten Email-Versand führen, aber man kann nicht alles haben.

Display More

Vielen Dank für deinen Erfahrungsbericht, hast du dann nur vereinzelt das Problem bei YouToube gehabt oder musst du bei jedem Video ein Captcha lösen? Ich hatte damals sowas wie NordVPN genutzt und da war es teilweise bei jeder aktualisierung der Internetseite so, dass direkt ein neues Captcha eingegeben werden muss. Ich gehe mal davon aus, dass das bei RZ-Ips nicht so schlimm ist.

Wahrscheinlich kommen die meisten Probleme nur deshalb zustande wegen der Problematik, dass ASNs von Rechenzentren pauschal als weniger Vertrauenswürdig eingestuft werden? Sind deine IPs auf irgendeiner Blackliste, wahrscheinlich nicht?

Wenn es nur ein "ASN wird nicht vertraut Problem ist", dann funktionieren ja auch NAT-Setups problemlos und ich kann mir die exklusive IP je Kunde sparen.

Das ist sehr interessant, vielen Dank Hille. Ab und an ein Captcha ist in Ordnung.

Was ich aktuell bemerkt habe, das ccp ist von der netcup vps IP nicht erreichbar

Ich habe seit Jahren irgendwie nur mit psychologen zutun und deren tolle TI-Anbindung durfte ich auch von Anfang an Administrieren

Selbstständigkeit mit IT-Support ne handvoll Kunden und auch beruflich in einer Universität, wo die dann Weiterbildung machen, damit se mal ne Praxis eröffnen können.

Deswegen sind Erfahrungen ultra wichtig für mich. Aktuell benutze ich seit ner Woche auch meine VPS-IP und habe keinerlei Probleme.

Genau diese Art der Meldungen wären extrem lästig, teilweise kommen die dann bei jedem Aufruf der betreffenden Seite und machen das System dadurch undbrauchbar.

ich glaube das TKG ist für mich nicht so kompliziert oder übersehe ich etwas? Kennst du dich da gut aus NAN?

- Anmeldung mit einfachem Formular mit 2-3 Angaben

- jeder Kunde eine exit-ip für Abusehandling nicht schlecht und zur Vermeidung von Captchaprüfungen

- Sicherheitskonzept und Auskunfspflichten bei Vorfällen bekomme ich hin.

- Vernünftige Definitionen meiner Logpolitik um DSGVO-konform zu bleiben (Zweck, Löschintervalle etc.)

Ich bin trotzdem noch für weitere Langzeitetfahrungen von alleinnutzern einer rz-IP dankbar.

Die Gesetze kann man eventuell auch sammeln.

Mit dem TKG habe ich mir nun den Abend versaut und grob recherchiert. Die Frage ist halt bin ich da wirklich Meldepflichtig? Dort steht:

"Wer gewerblich öffentliche Telekommunikationsnetze betreibt oder gewerblich öffentlich zugängliche Telekommunikationsdienste erbringt, paar Ausnahmen...." ist Meldepflichtig. "

Habe ich mit der Struktur wirklich einen öffentlich zugänglichen Telekommunikationsdienst"? Ich zweifle da noch ein wenig dran. Der Dienst wird von mir konfiguriert und ist der öffentlichkeit nicht zugänglich. Das müsste ich noch prüfen.

Ansonsten ist ElektroG und VerpackG problemlos für mich.

Na vll. mache ich es doch dezentral mit zentralem Management, wenn das mit den RZ-IPs mal klappt und mal nicht, ist das ja auch nicht gut, kostet halt mehr Hardware, erspart mir TKG.

Wahrscheinlich kommt ElektroG mit WEEE noch auf mich zu, da es in Deutschland kaum passende Hardware gibt und VerpackG, weil ich dem Kunden die Ware in nem Karton schicke und der Karton muss ja in deutschland von jedem Händler erneut bezahlt werden, aber das kenne ich schon.

Deutschland versinkt im Irrsinn mit seinen Gesetzen.

Die Chinesen machen es richtig mit den EU-Stores, da können dann privatleute zoll und steuerfrei einkaufen, nur die Businessleute können mit der Chinarechnung nichts anfangen.

Quote from Mordor

Ich betreibe ein eigenes VPN, über das ich einen Großteil meines Internet-Traffics abwickle.

Ein normales surfen ist damit nicht möglich.
Die Einschränkungen sind zwar meistens umgehbar, aber deutlich merkbar.

Das gilt für Cloudflare (fast immer Captcha), Reddit (vollständige Sperre), Youtube (nur mit Anmeldung nutzbar), Amazon (gelegentliche Sperren und zusätzliche Accountverifikation), ...

tl!dr:
Funktioniert, aber man benötigt öfter mal Alternativen (anderes VPN, oder VPN abschalten).

Das ist sehr interessant, nutzt du die IP denn alleine oder hängen da mehrere Leute hinter der ipv4 ?

Ich kann nicht alle Gesetze kennen und es gibt bestimmt immer irgendwelche Gesetze, auf die man im Leben nicht gekommen wäre.

Am Ende ist es ja eher so, wo kein Kläger da kein Richter.

Du willst wahrscheinlich auf das TKG hinaus und die Auskunftspflichten, wenn ein Kunde mit seinem "meinem" Internetanschluss mist baut. Das könnte ich technisch natürlich einfach umsetzen, indem ich rotierende Logs verwende und mit Kettenhashwerten arbeite.

Edit: Es wäre natürlich suboptimal wenn ich dann noch weiteren ISP-Pflichten nachkommen müsste.

Quote from NaN

Mehr als über die praktischen Aspekte von verschiedenen Arten von IP-Adressen würde ich mir an deiner Stelle über die rechtlichen Risiken Gedanken machen. Lass deine Kunden lieber ihren eigenen Anschluss benutzen. Wenn ich "zentral alles im Blick" lese, bekomme ich nervöse Zuckungen. Das erweckt bei mir nicht den Eindruck, als wäre dir die Bedeutung dessen, was du vorhast, bewusst.

Also ich setze auf gmbh vll. zu Beginn UG, setze Securitymaßnahmen nach dem Stand der Technik um bzw. sogar noch leicht drüber und eine Vermögensschadenhaftpflicht in Kombination mit Betriebshaftpflicht ist auch geplant.

Es hat Kostengründe, ein kleiner openwrt-Router kostet wesentlich weniger in Kombination mit einer zentralisierten Firewall, als jedem Standort eine Firewall zu verpassen und das Remotemanagement von 100 Firewalls ist auch wesentlich komplexer als von einer Firewall. Ich hoste die eventuell sogar auf einem richtigen Rootserver mit z.B. ProxMox und Standort Deutschland.

Wenn jemand richtig Ahnung hat und seine Freizeit gerne für mich opfern möchte, so darf er mein Konzept gerne beurteilen evtl. suche ich ja später sogar noch Leute für den IT-Support. Es geht um Managed-Security für Arztpraxen, wobei ich bei Psychotherapeuten beginne.

Ich Dokumentiere sauber und das ist auch Essentiell.

Vielen Dank für eure Erfahrungen, wichtig ist mir ein zentrales Konzept, die Standorte verbinden sich dann über wireguard.

Man könnte natürlich auch jedem Kunden eine eigene ipv4 zuweisen und entsprechende Regeln setzen. Es wäre nur doof, wenn ich das hoch skaliere, dass dann Kunden anfangen und sich darüber beschweren, dass Dienste nicht richtig funktionieren.

Beim zentralisieren Ansatz kann ich auch mal schnell das Produkt wechseln, ohne an 100 Standorten die Firewalls austauschen zu müssen und ich habe zentral alles im Blick.

Ich wollte einmal in die Runde fragen, ob irgendjemand seinen vServer bzw. KVM-Rootserver als Exit-IP für seinen privaten Internetanschluss oder Businessanschluss nutzt.

Kann es da sein, dass eventuell viele Dienste grundsätzlich IPs blockieren, wenn Sie von einem Rechenzentrum stammen oder das deswegen ständig Captchas eingegeben werden müssen?

Wer hat damit Erfahrungen in der Praxis? Reicht es aus, wenn die genutzten IPs beispielsweise clean sind d.H. ohne Blacklisteinträge oder ist es undenkbar, dass solche Adressen im Privaten oder Firmenumweld genutzt werden als Exit-IP ?

Ich freue mich auf eure Kommentare, speziell geht es um die Umsetzung eines Securitykonzeptes mit tentraler Firewall ohne TLS-Inpektion, wodurch ja dann mehrere angebundene Kunden die rechenzentrum IPs nutzen. Das Konzept ist aber zunächst egal und soll nicht Thema werden, nur Erfahrungen bezüglich der Nutzung von Rechenzentrum ips im privaten Umfeld.

Also die ganzen Verzeichnisse habe ich auch in meinem Webhosting z.B. .ssh etc etc. Die Dateien gehören Root und sind doch dann nicht unser Problem, wir haben eh nur eingeschränkte Rechte über SSH.

.ssh -> die zwei Dateien sind absolut normal, einmal public-key und einmal private-key. Die werden für den ssl handshake zwingend gebraucht.

Der Server signiert mit seinem privatekey eine Nachricht und schickt die zusammen mit dem öffentlichen key zum Client und der Client entschlüsselt die Nachricht dann wieder mit dem öffentlichen key. Damit authentifiziert sich der Server gegenüber dem Client. Anders könntest du keine Verbindung via ssh aufbauen. Die Authentifizierung Client gegenüber Server läuft dann über Passwort oder ebenfalls ein Keypaar.

Nachtrag:

oder auch nicht

Das ist kein vollständiger MITM break.

# SSL-Bump
ssl_bump peek step1
ssl_bump splice all

Dein Kommentar hilft daher nicht weiter, aber danke trotzdem. Ich brauche einen squid Profi, der sich mal die konfig ansehen soll.