Macht halt wie gesagt Null unterschied ob der Server Dual Homed ist oder Du Port 445 freigibst. bei der nächsten Samba Lücke ist der Angreifer so oder so im Server/Management VLAN. Von daher einfach fürs Management nen zweites NIC, SSH drauf binden, fertig.
Jagut, da behelfe ich mir ja, indem ich einfach sftp/sshfs nutze und Samba schon vor über nem halben Jahr rausgeschmissen habe.
Afaik geht es mir da auch um die outbound Kommunikation. In meinem GSB gibt es z.B. auch nur extrem limitierte Möglichkeiten, outbound zu kommunizieren - gebe ich dem Server jetzt noch eine NIC ins Admin VLAN, darf der Server überall mit allem reden - vor Allem in Richtung Internet.
Jetzt könnte ich eher die Clients multi-homed bauen. Das geht am PC neben dem Rack noch, aber spätestens beim Laptop im WLAN machts dann wieder weniger Spaß.
Langlebiges und reparierbares Design, damit wird geworben. Und dann zwei fest verbaute Kupfer 10G Ports. Warum? Warum nicht SFP+ und dann wie der Kunde möchte Fibre oder Kupfer Gbics dazu verkauft?
Ich sehe gerne ein, dass ich Krümelk...ker bin. Aber sowas offensichtliches? O.o
schaffst ja nichtmal ein RAID irgendwas mit HDDs des Dir 1 GByte/sec liefert
Wenn du solche Leistungen willst, willst du auch vermutlich eher NVMe M.2/U.2 SSDs statt HDDs haben. Oder mindestens nen fetten Cache mit diesen SSDs vor deinen HDDs.
Und 445/tcp ist in jedem Fall ungefiltert aus dem Client VLAN erreichbar. Macht also null Sinn da ne Firewall zwischen zu stellen.
Wenn du multi-homed baust, dann ja. Das macht in dem Falle auch schon eher Sinn - aber bei multi-homed verlässt man halt auch wieder den Bereich der sauberen Abschottung voneinander.
Das kommt auch immer ein bisschen auf den Use Case an. Bei einer LAN Party macht das auf jeden Fall Sinn. Aber im HomeLab wo zumindest für mich Sicherheit vor Performance kommt, ist das nochmal was anderes.
Hinsichtlich Firewall.. ist da nicht seine Internetanbindung mehr oder weniger das Cap für einen Angreifer?
Das ja, aber das meinte ich gar nicht mal.
Wenn du mehrere VLANs hast, wozwischen du routest, hast du da quasi automatisch auch eine Firewall dazwischen. Denn sonst kannst du ja nicht wirklich einschränken, wer mit wem reden darf und könntest gelinde gesagt auch die VLANs weg lassen.
Eine Firewall untersucht ja afaik alle Pakete und vergleicht gewisse Header und Eigenschaften derer gegen deine in den Firewallregeln festgelegten Vorgaben ab. Das passiert meistens in der CPU, was sehr unperformant und langsam ist. Es gibt noch spezielle Technologien wie bspw. FastTrack bei Mikrotik, wo man z.B. die Stateful Packet Inspection in die ASICs auslagern kann, was extrem schnell ist. Funktioniert da aber auch nur bei IPv4.
Aber afaik: umso mehr Hardwarebeschleunigung man hat, desto teurer ist am Ende das Gerät. Und bei 40GbE... halleluja. Selbst wenn es in der CPU passiert, die Pakete kommen ja alle nacheinander, das ist ja nicht einmal sauber auf mehrere CPU Threads parallelisierbar.
Solange der Fileserver im selben VLAN ist, wie das Endgerät, welches darauf zugreift, ist die Welt in Ordnung. Aber das will man ja i.d.R. gar nicht.
Inhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.
Durch die Aktivierung der externen Inhalte erklären Sie sich damit einverstanden, dass personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu haben wir in unserer Datenschutzerklärung zur Verfügung gestellt.
Hmm. Kann man schon machen. Aber sobald mehrere VLANs, Routing und Firewalling dazu kommen, beginnt der Spaß. Firewalle mal 40 Gbit...
Ich habe bei mir mehrere VLANs (Admin VLAN, Guest VLAN, DMZ, GSB, Arbeit, ADS-B, ...). Dazwischen steht einzig und allein ein Mikrotik CCR-2004-16G-2S+.
Rechner ist im Admin VLAN, Fileserver im GSB... alles geht durch die Firewall. Der CCR mit ca. 375€ Anschaffungspreis packt ca. 10Gbit/s Firewallleistung. Aber vermutlich auch nur per IPv4 mit FastTrack - das habe ich allerdings nie bis zum Anschlag ausprobiert. Ich komme zum Glück mit 1 GBit/s Kupfer gut hin und da geht auch IPv6 Firewalling ohne Hardware Offloading ohne Probleme.
Nvm - ich glaube der Typ hat sich beim Thema Firewalling ziemlich verschätzt.
btw - Thema Lüftermodding beim o.g. CCR - selbes Problem, die default Lüfter sind doof. Also genau die selben Noctuas eingebaut und mir fast die Platine gegrillt. Der Grund war einfach: die Kisten haben zwar klassische 4 Pin Header, steuern aber nicht per PWM. Nur per Spannung - und das ist auch nicht händisch nachregelbar. Der CCR gibt bei mir meistens 6 Volt raus, die Noctuas laufen aber erst bei ca. 7-8 Volt an. Jetzt habe ich äquivalente Lüfter von Noiseblocker mit niedrigeren Anlaufströmen verbaut und naja... die sind besser als die Original verbauten, aber glücklich bin ich damit nicht. Ich hoffe Mikrotik implementiert das bald alles als steuer- und regelbar, sodass ich da wieder Noctuas einbauen kann.
Delphi war da ja schon etwas neuer (Weiterentwicklung) von Object Pascal.
Achja, stimmt, mein Fehler. Das war schon Object Pascal. Lazarus ebenfalls. Aber im Kern war es schon noch Pascal.
Gebe aber ehrlich zu, dass ich mich mit dieser Sprache nie wirklich gut anfreunden konnte. Also ich konnte es und alles, aber Spaß hat das eher nicht gemacht.
Vor meinem Umzug vor zwei Jahren habe ich 250 kg nur Serverhardware zum Recyclinghof gebracht... und immer noch genug Mist hier, aber es dünnt sich aus seitdem.
Für brauchbares Zeug, was man loswerden möchte, kann ich euch diese Telegram Gruppe hier empfehlen: https://t.me/serverboerse
Oder falls man mal was braucht.
Aber auf eigene Gefahr, da kommt schnell der Horder durch.
Vielleicht ein kleiner Tipp - DMARC Reporting. Microsoft macht das, man mag es kaum glauben.
Dadurch bekommt man regelmäßig einen JSON Dump für seine Domain(s), mit Informationen über den Status bzgl. SPF/DMARC und DKIM. Aktuell steht meine Mailbüchse beim roten H und ich kann einwandfrei bei MS zustellen, aber ich denke, dass das ein guter Weg sein könnte, um herauszufinden, wo es evtl. hakt oder was MS auszusetzen hat.
Hier wird noch geschrieben, vorher die VirtIO Treiber zu installieren? Auf der 2K19 VM? aber Hyper-V hat ja gar keine VirtIO Geräte und so wie ich es sehe kann ich in den Hyper-V Einstellungen auch kein solches Gerät hinzufügen?
Natürlich nicht. Aber die Umgebung hier bei Netcup - wenn du dann deinen Server erstmal ohne richtige Festplattentreiber und ohne Netzwerktreiber bootest, wirst du sehr viel Spaß haben.
Ich hatte den managend Server hier bei Netcup auch mal im Blick, da ich immer wieder E-Mails an Kunden nicht schreiben konnte, da die Netcup E-Mail Server gerne mal auf Blacklisten landen. Laut Support werden aber auch bei den managed Servern die E-Mails über Gateways verschickt. D.h. das Problem besteht dann weiterhin genauso wie beim Webspace. Das war die Aussage vom Support!
Das Problem ist, dass in aller Regel gleich komplette Netze gesperrt werden und dann z.T. auch die Gateways Probleme haben. Ganz so einfach ist das auch nicht. Netcup macht halt grundsätzlich schon immer Port 25 outbound auf und das ist ein großes Problem. Das rote H hat das besser unter Kontrolle, wobei es da jetzt auch nicht 100% problemlos ist.
Falls du die Root Server meinst - die sind nicht dediziert. Die haben nur (angeblich) im Gegensatz zu VPS nicht überbuchte CPUs. Wobei das mit den nicht überbuchten CPUs auch schon ein paar mal aufgeweicht wurde, weshalb ich da eher zu weniger überbucht neige.
Ich denke ja. Wir kaufen auf Arbeit von einem anderen Provider managed Server ein und da heißt managed bis Oberkante Betriebssystem, ab da ist dann alles unser Problem.
Denk halt auch mal realistisch - der man. PS 2000 kommt 44€ im Monat. So nach meiner Kenntnis kostet ein guter Admin im Verkauf bei einer großen Firma ~100€/Stunde. Jetzt ziehst du noch HW-Kosten und Gewinnmarge ab und stellst fest, dass da grob überschlagen maximal 10-20 Minuten pro Monat jemand Zeit dafür hat, ohne dass dein Provider Verlust macht. Dann stellst du dir die Frage, was man in dem Zeitfenster pro Monat so reißen kann und... ja. Brauche ich denke ich nicht weiter erklären.
So - meine Icinga2 Check Plugins habe ich nun soweit fertig refactored, allerdings noch nicht in den Master Branch gemerged.
Ich suche nach wie vor noch Tester und so - neu dazugekommen ist heute noch ein Plugin für einen Updatecheck eines PiHole und die Dokumentation ist nun auch weitaus umfangreicher.
Das Plugin würdest du dann auf dem Jitsi Server selbst mit ./check_jitsi.py -d localhost -p 8080 --noTls aufrufen. Wenn du Schwellwerte definieren willst, musst du die entsprechenden Parameter noch mitgeben (siehe ./check_jitsi.py -h).
Wir haben hier doch bestimmt Icinga2/Nagios Nutzer, oder?
Ich habe ja schon länger nen Pool an eigenen Plugins, die ich aktuell mal grundlegend überarbeite. Bis auf das Disk I/O Plugin und detailliertere Doku bin ich da auch mittlerweile fertig.
Delphi war da ja schon etwas neuer (Weiterentwicklung) von Object Pascal.
