Du kannst eine Regel auch soweit einschränken, dass als source Port 53 nur dann akzeptiert wird, wenn die Pakete gleichzeitig an eine bestimmte IP gehen.
Müsste dann so heißen:
iptables -A INPUT -p tcp --sport 53 -d xx.xx.xx.xx -j ACCEPT
iptables -A INPUT -p udp --sport 53 -d xx.xx.xx.xx -j ACCEPTYou should try to use LetsEncrypt. It is for free and does all the magic stuff for your. Froxlor has also a very good integration of LetsEncrypt built in.
Mal eine doofe Frage... Wieso baut man (und wozu) Server-Applikationen auf Android-Basis? Das ist ... neu.
Moin,
es gibt noch das Kommando "hostname $newHostname" (Details: man hostname).
Ich habe zum Ändern des Server-Namens sowohl die Dateien /etc/hostname, /etc/hosts geändert als auch diesen Befehl ausgeführt, klappt bei mir,
Eine vielleicht doofe Frage an den Rest der Community: Betreibt netcup auch Container-basierte VMs? Bei denen (bei einem anderen Anbieter) wurde der Hostname auch immer wieder resettet, egal was man gemacht hat. Habe mir letztendlich ein eigenes init-Script dafür geschrieben. Bei KVM-basierten VMs sollte das aber eigentlich nicht auftreten.
DKIM nutzt auch DNS.
Allgemein: Vergesst die E-Mails, meiner Meinung nach ist DNSSEC erstmal immer ne gute Idee. Ist ein Angriffsvektor weniger, den man auflässt.
Generell ist das Thema Sicherheit bei Serverbetrieb - egal ob Ubuntu oder Windows - nicht zu vernachlässigen. Was da zählt ist Fachkenntnis, nicht zuletzt die vom verwendeten Betriebssystem. Du wirst also nicht drumherum kommen, dich intensiv damit auseinanderzusetzen, wie der Betrieb, je nach verwendetem OS, aussehen sollte.
Die Frage "wie sicher ist das" zeigt, dass du anscheinend bisher keine Erfahrung bzw. Wissen über das Thema hast. Von daher würde ich dir erstmal dazu raten, viel zu lesen und auf einer lokalen VM zu testen, bis dein Wissen ausreichend für nen öffentlichen Betrieb ist.
Ich kann bei meinen Domains (habe mehere .net und noch mehr anderslautende Domains) keinerlei Probleme feststellen. Die Nameserver selbst stehen allerdings außerhalb von NetCup.
Handelt es sich bei euch um bei NetCup gehostete (in Bezug auf DNS) Domains oder allgemein?
das ist nicht das Problem. Das Problem ist das wir dann an gefakte Absender Bestätigungen senden, was nicht sein darf. Aus diesem Grund versenden wir aktuell keine automatischen Bestätigungen.
Verstehe ich ehrlich gesagt nicht ganz.
Fall 1: (Fake-)E-Mail-Adresse ist im CCP nicht bekannt. Keiner bekommt eine Rückmeldung.
Fall 2: (Fake-)E-Mail-Adresse ist im CCP bekannt, Absender ist aber nicht der dazu passende Kunde. Dazu müsste ein Spam-Versender erst mal die E-Mail-Adresse kennen, mit der ein Kunde registriert ist. Ohne persönlichen Kontakt zum jeweiligen Kunden ist das schon recht unwahrscheinlich. Was passiert im worst case: (echter) Kunde bekommt eine Benachrichtigung über eine eingegangene Fake-Nachricht. Aus dem Bauch heraus würde ich sagen, dass das eher selten vorkommt, und damit der Nutzen die "Kosten" (inclusive nerviger Spam-Mail an den Kunden) höher ist. Eventuell auch als Opt-In-Option im CCP einstellbar, ob man ne Benachrichtigung über eingegangene Tickets möchte oder nicht.
Btw: Mit DKIM etc. sollte sich eigentlich recht gut ausschließen lassen, dass jemand erfolgreich einen ehrlichen Absender nachahmt. Also vorher ein paar Spam-Checks und wenn die alle ok melden sehe ich da recht wenig Probleme. (Ist aber nur meine Meinung, weitere Meinungen erwünscht!)
Viele Grüße
Matthias
Wer wäre dagegen wenn wir Supportanfragen künftig nur noch über das CCP annehmen?
Ich finde den Weg über E-Mail auch sehr praktisch - und würde mir auch da eine entsprechende Bestätigung wünschen. Einen Support komplett ohne (echte) E-Mails fänd ich sehr schade. Dadurch steigt die Komplexität, wenn man Support brauch, erst mal deutlich an. Vor allem wenn man unterwegs ist, ein Problem hat - eine E-Mail ist da schnell geschrieben, für meinen Geschmack ist das CCP zu mobile-unfreundlich dafür.
Thema Spam: Was wäre mit Greylisting und einer Whiteliste für bereits im CCP hinterlegten E-Mail-Adressen? Dann dauert es eben ein paar Minuten länger, bis eine Support-Anfrage von nicht-Kunden aufschlägt. Richtig akut dringende Fälle sollten hier nicht zu erwarten sein (ansonsten: Telefon). Für Kunden wäre diese Wartezeit dann weg.
Falls das noch nicht der Fall ist (ich hatte bisher keine Notwendigkeit, ein Support-Ticket aufzumachen, daher einfach mal ins Blaue): Die nächste Möglichkeit wäre, die Ticketnummer-Bestätigung erst rauszuschicken, wenn die Support-Anfrage "angenommen" wurde (Spam-Anfragen werden eben nicht angenommen, sondern direkt gelöscht). Dann weiß der Kunde, dass die Mail da ist, dass irgendwer irgendetwas damit tut, und kann sich ggf. darauf beziehen.
Außerdem gibt es so viele gute Spam-Bekämpfungs-Mechanismen inzwischen... einfach als Vorbild nehmen.
Ist das ein selbstinstalliertes Froxlor oder das aus dem Netcup-Image? Welcher FTP-Daemon ist konfiguriert? Welche Konfiguration ist für den hinterlegt?
Viele Grüße
Matthias
netcup, gibts eine Chance, dass ihr so ein Angebot demnächst nochmal bringt? 
Habe das damals leider verpasst...
Solange der entsprechende Befehl im PATH enthalten ist, sollte relativ funktionieren, wenn nicht, musst du eben den absoluten Pfad nehmen. Warum probierst dus nicht einfach aus?
Absoluter Pfad wäre m.E. aber in jedem Fall zu bevorzugen, selbst wenn beides funktioniert.
Nicht hier, da teilweise Konkurrenz zu Netcup. Einfach mal googlen. Was du suchst, ist "Secondary DNS" bzw. "Slave DNS". Halt als Dienst, nicht das Konzept als solches.
Moin,
wenn es eh public ist und du dir den Schuh mit dem Impressum nicht anziehen möchtest, könntest du auch GitHub nutzen, oder?
Viele Grüße
Matthias
Moin,
ich habe jahrelang selbst eigene Nameserver betrieben. Allerdings lohnt sich der Aufwand kaum, außerdem gibt es genug kostenfreie und kostenpflichtige Services, die einem für echt günstiges Geld eine wirklich gute Infrastruktur zur Verfügung stellen. Teilweise auch mit API, da fühlt es sich dann fast wie ein eigener Nameserver an. Letztendlich habe ich meine eigene Infrastruktur aufgegeben, da die Kosten und der Aufwand höher waren als einfach einen solchen Anbieter zu nehmen. Mit dem richtigen Domain-Anbieter bekommt man sogar gratis sehr gute DNS-Umgebungen dazu.
Was es auch gibt: Du stellst den Master und mietest dir die Slaves dazu.
Für die Software: Bind ist zwar der Klassiker, aber ich persönlich bin ein Fan von dynamischeren Backends als Dateien. Bei mir war immer PowerDNS im Einsatz, welcher auch für DNSSEC ein paar nette Funktionen bereithält.
Moin,
von welcher Datei aus wird denn /etc/apache2/apache2.key referenziert? Irgendwo in der Konfiguration muss ja noch dadrauf verwiesen werden.
Viele Grüße
Matthias
Eine weitere Möglichkeit: An welcher IP "lauscht" der Service? Services können sich auch auf bestimmte IPs beschränken, und wenn der nur auf 127.0.0.1 (localhost) hört kannst du von anderen IPs nicht darauf zugreifen. Such mal nach einer Einstellung, die irgendwas mit den Wörtern "listen", "address" o. Ä. zu tun hat.
Kannst du die Docker-Container per ping vom Hostsystem aus erreichen?
Ich hatte ebenfalls ein Mail-Problem mit Outlook.com bzw. generell Microsoft-Domains - allerdings ein anderes als hier beschrieben. Da ich nicht weiß, ob euch das wirklich hilft, einfach mal für die, dies interessiert der Link: https://mlohr.com/outlook-com-smtp-sender-delisting/. Ich hatte das damals extra in nem Blogpost dokumentiert - vielleicht hilft es ja dem ein oder anderen.
Moin,
könntest du bitte die Frage nochmal neu formulieren? Ist "Provider" NetCup oder ein externer Domain-Anbieter? Ist "xxx.de" das gleiche wie "Original Domain"? Was heißt für dich "umziehen"? Beschreib bitte einfach mal (getrennt) den Ist-Zustand und den Soll-Zustand, dann können wir hier auch etwas zielgerichteter antworten.
Viele Grüße
Matthias