Beiträge von m_ueberall

    Wenn ich ein Cluster aus drei VPS200 hätte und ein VPS200 Proxy: könnte ich theoretisch nicht z.B. Stündlich einen der drei Clusteeserver Herunterfahren (also den MySQL Service) und so das backup machen? Oder wäre das Backup dann auch unter Umständen inkosistent? Wäre ja eigentlich sehr einfach auf diese Art :D

    Das habe ich doch eigentlich genau in einem meiner vorherigen Beiträge diskutiert? Ja, kommt darauf an, ja (selbst die Erstellung physikalischer Backups funktioniert auf modernen Dateisystemen dank der von ihnen unterstützten Snapshots sogar quasi "in Nullzeit"; diese Snapshots können dann "in Ruhe" woandershin gesichert und ggf. lokal wieder gelöscht werden).

    VLAN ist nicht verschlüsselt. Birgt das kein Sicherheitsrisiko?

    Hängt grundsätzlich von den eigenen Anforderungen an die Geheimhaltung ab. Ein Cloud-vLAN ist ja ein logisch abgeschottetes internes Netzwerk. Wer sich Zugang auf ein Netcup-Hostsystem verschafft, kann ggf. auf die KVM-vServer und die Kommunikation zugreifen, das ist richtig. In diesem Moment besteht aber auch eine Chance auf Vollzugriff auf alle Daten der dortigen vServer inklusive der Dateisysteme auf welchen etwa eine Mailboxkopie liegt (wenn man einen Snapshot inklusive Speicherabzug erstellen kann, hilft ggf. auch eine Verschlüsselung der letztgenannten nichts). Das muss aber erst einmal gelingen, und Netcup dürfte ein professionelles Interesse haben, dass dies nicht geschieht. (Und wir sind ja hier auch nicht bei [zensiert]...) :)

    Wie in einem der o.g. Posts erwähnt, kann man aber ggf. auch die Verschlüsselung außerhalb von Dovecot durch Verwendung eines Mesh-VPNs gewährleisten, was Geschwindigkeitsvorteile und Vorteile bei der einheitlichen Konfiguration bringt (das ist nicht zu unterschätzen, da die Parameter bei allen Anwendungen, die TLS-Verbindungen unterstützen, irgendwie voneinander abweichen), abgesehen von potentiellen zusätzlichen Funktionen spezialisierter Programme (Beispiel: rechner-spezifische Schlüssel, so dass man etwa den VPN-Zugriff von Mobilgeräten bei Verlust selektiv unterbinden kann, ohne alle Rechner mit einem neuen globalen Passwort zu versehen).

    Ich habe auf dem Testserver ein Selbstsigniertes Zertifikat drauf.

    Ein selbstsiginiertes Zertifikat sollte kein grundsätzliches Hindernis darstellen, aber als Anregung: Beispielsweise unter Verwendung des Cloud-vLANs könnte man ggf. auf die Verschlüsselung bei der Synchronisierung auch verzichten:

    Code
    service doveadm {
        inet_listener {
            ssl = no
        }
    }

    Müsste das dsync livetime Synchronisieren, also wenn ich es im ordner cur auf Server 1 habe, müsste es auch bereits in Ordner curr auf Server 2 sein?

    Wäre toll, diese Funktionalität wurde m.W. auf den offiziellen Dovecot-Wiki-Seiten auch mal erwähnt, aber niemals implementiert (nutze selbst noch v2.2.33.2 unter Ubuntu, allerdings aus dem offiziellen Dovecot-Community-Repository) – standardmäßig (ohne eigene Klimmzüge, von welchen ich abrate!) muss man ein paar Minuten warten.

    Sagt mal, wenn nen Kollege quasi webspace inkl. DB benötigt, welche Rechte gebe ich da am besten, dass er via ssh auf den Server zugreifen kann und nicht zwingend an ftp gebunden ist.

    Lese und schreibrechte in /var/www/blabla

    SQL müsste ich dann wahrwchelich die DB anlegen und ihm User und pw geben.

    Wie bietet man am besten die Möglichkeit Software, wenn benötigt zu installieren, nur eben wenn möglich nicht global.

    "Installation von Software" bei gleichzeitiger Kontrolle über die DB und den Webauftritt nach aussen schreit eigentlich nach einer LXD/LXC-basierten Lösung (generell: nested virtualization). Er könnte dort selbst mit Webserver-Komponenten frei schalten, wenn man einen "reverse proxy" auf dem Gastsystem "davorsetzt". Die DB kann hierbei wahlweise innerhalb oder ausserhalb des Containers liegen, für welchen er ssh-Zugriff hat.

    • Ein Konsistentes MariaDB10.3 Backup erreiche ich mit mariabackup mit der SST Methode. Dies erreiche ich sowohl bei einem einzelserver als auch bei einem Cluster.

    Anlagemäßig die meines Wissens mit Abstand sicherste Möglichkeit, zumal alles aus von einem Hersteller kommt. "Konsistent" bezieht sich hier jedoch (natürlich) auf den einzelnen Knotenzustand/lokale Transaktionen – wenn aus irgendeinem Grund die Kommunikation mit anderen Knoten abgerissen ist, heißt dies nicht, dass komplexe logische DB-Operationen, die ggf. gerade auf einem anderen Knoten oder im Extremfall via Load-Balancing auf mehreren Knoten verteilt ablaufen, vollständig erfasst werden, wenn ein Online-Snapshot (insbesondere nur von einem der n verfügbaren Knoten) erstellt wird.

    Um dem obigen ("applikationsseitigen") Problem zu begegnen, wäre bei komplexeren/zeitkritischen Anwendungen eine Analyse anzustellen, inwiefern man als zusätzlichen Schutz vor "Teilmodifikationen" während eines längerdauernden Online-Backups die Datenbank doch zwingend in den read-only-Modus versetzt (siehe diese Diskussion). Ein weiterer Ansatzpunkt wäre die explizite Sicherung aller Knoten und die Ausnutzung der Verfügbarkeit von inkrementellen Backups (laufen schneller als ein vollständiges Backup), welche man an die Erstellung des initialen Backups anhängen könnte... (nicht zwangsweise, aber in Kombination zumindest ansatzweise paranoid – was jedoch in diesem Fall nicht zwingend negativ aufzufassen sein muss).

    Will man explizit sicherstellen, dass die Rück-Einspielung eines SSTs funktioniert, geht das eigentlich nur über einen direkten Test mit einer Temporärinstanz.

    Ein zuvor beiläufig erwähnter Ansatz, um den momentanen Zustand des Gesamt-Clusters ohne jegliche Downtime zu sichern (physisches Backup), wäre die gleichzeitige Erstellung eines ZFS-Snapshots auf allen Knoten (und zwar wirklich so gleichzeitig wie möglich, d.h., im Optimalfall liegen die Daten aller Knoten im selben Pool); dies funktioniert natürlich auch mit nur einem Knoten.

    • Der einzige Vorteil den ich mit einem Cluster erreichen würde wäre eine Ausfallsicherheit wenn ein Server ausfällt da die DB trotzdem noch erreichbar ist und funktioniert.

    Neben der Ausfallsicherheit (ein nicht zu unterschätzender Vorteil) ist IMHO hier immer auch ein mögliches Load-Balancing (im vorliegenden Fall: mittels MaxScale) und die einfache Möglichkeit der Skalierung zu sehen (Vorbreitungen dafür wurden ja bereits getroffen, Konfigurationsänderungen sind minimal).

    Was im Cluster-Modus theoretisch als Nachteil anzusehen ist (bei einem "Ein-Knoten-Cluster"), wäre das in diesem Modus zwangsweise per Design zum Tragen kommende "cluster-wide optimistic locking".

    [...] Persona Xtrabackup mit MariaDB10.3 nicht kompatibel [...]

    Das ist korrekt, vgl. u.a. https://severalnines.com/blog/database-…cona-xtrabackup – generell sollte man mariabackup hier immer den Vorzug gegenüber XtraBackup geben, wenn man neuere MariaDB-Features ab v10.1 verwendet.

    Sowohl mariabackup als auch mysqldump lassen sich auch für einen SST (State Snapshot Transfer) verwenden – auch manuell (https://mariadb.com/kb/en/manual-s…th-mariabackup/), während dessen Ablauf der Zustand des "Donor"-Knotens bei der blockierenden Variante temporär eingefroren wird: https://mariadb.com/kb/en/library/…apshot-transfer.

    Eine Alternative für ein physisches Backup wäre die Erstellung eines Snapshots bei Verwendung des ZFS-Dateisystems (atomare Aktion!)

    Ich frage mich ja noch ob ein Backup mittels mysqlbackup Inkonsistent sein kann.

    Ich selbst habe mit "mysqlbackup" bislang nicht gearbeitet (nutze selbst ein MariaDB-Cluster, welches den Befehl standardmäßig nicht kennt), kann also nicht sagen, inwiefern dies ein Ersatz oder ein "Frontend" für mysqldump ist. Allerdings kann ich die folgenden Links zu diesem Thema empfehlen, welche auf Ansätze verweisen, mit welchen sich konsistente Online-Backups erstellen lassen:

    Ein paar kurze Anmerkungen zur Anregung:

    - Hängt sicherlich von der Auslastung einzelner Dienste und deren konkreter Kombination ab, aber normalerweise (und als Anhaltspunkt, weil Du einen schon sehr kleinen VPS 200 erwähnst für Deine Zwecke) sollte es bei einem anständig dimensionierten Rechnerknoten kein Problem sein, die genannten Dienste zu kombinieren. Diese lassen sich in eigenen Containern auch voneinander abschotten.

    - Für die Synchronisierung zweier Mailserver (Multi-Master-Betrieb, zwei gleichberechtigte MX-Einträge) verwende ich kein DBRD, sondern das Dovecot-eigene "dsync"

    - Nutzt man verteilte Datenbanken und/oder verteilte Dateisysteme (also hier: keine gespiegelten Block-Devices wie bei DBRD), sollte man in der Regel darauf achten, eine ungerade Anzahl von Knoten einzusetzen (ermöglicht eine Mehrheitsentscheidung als Absicherung bei Inkonsistenzen)

    Hallo,

    Als Anregung: Ich würde es begrüßen, wenn es neben dem angekündigten regulären Angebot eines VPS mit (750GB-)SAS-Platte auch ein RS-Pendant geben würde, welches vom CPU-/HDD-Platz her zwischen den Storage- und den derzeitigen Root-Servern liegen würde (also ein "RS 1000 G8" mit zusätzlichem Plattenplatz und ggf. Optane-Unterstützung); letzteres würden sich nach heutigem Stand auch mit dem "Service Level A+" kombinieren lassen und somit zusätzlich von den vorgenannten Produkten abheben. Ggf. für den Einen oder Anderen als (größerer) Mailserver-/GlusterFS-/Datenbank-Knoten interessant – lies: in diesem Fall häufig paarweise geordert und längerfristig genutzt.

    Hmm... Da könnten dann komische Dinge entstehen:

    + Becher mit 99,9% Mindestverfügbarkeit

    + Becher für 0,17 Euro / Monat bei 12 Monaten Mindestlaufzeit

    + ....

    Netcup-Cup-as-a-Service dürfte von den Grobmotorikern unter uns dankend angenommen werden… Auslieferung der, äh, Ersatzteile via Same-Day-Lieferdienst?

    doch das heisst es, weil es keinen Validator in irgendeiner Form mehr gibt;

    Da stimmt so auch nicht. Der DNSSEC-TLSA-Validator (s.u.) funktioniert auch ohne offiziellen Support immer noch mit Google Chrome (und sollte ggf. auch mit Chromium verwendbar sein, allerdings nicht getestet; u.U. könnte er dann mittelfristig auch noch mit einer Microsoft-Variante von Chromium laufen). Was Mail-Zertifikate anbelangt, so gibt es da bspw. für ältere Thunderbird-Versionen das Tool "Great Dane". Die jeweiligen Quellcodes sind frei verfügbar, man könnte also Anpassungen an andere Applikationen vornehmen oder sich Anregungen holen, wenn man die doch recht detaillierten RFC-Vorgaben selbst umsetzen will; und es ist nicht so, dass es keine kommerziellen Lösungen gäbe, die sich analog einkaufen/anpassen ließen.

    dnssec-tlsa-validator.png

    PS: mainziman : Ein "walter.h@mathemainzel.org" nutzt laut Mailingliste nach eigenen Angaben die ältere DNSSEC-TLSA-Validator-Version noch mit einem Firefox-Fork…

    Weiß jemand was Hoster wie ST***O davon haben, die zu limitieren?

    Je nach Dateisystem ist die Anzahl der inodes ja i.d.R. statisch. Kann sein, dass man sichergehen wollte, dass sich die Kunden nicht ins Gehege kommen oder so. Oder man wollte einen Anreiz schaffen, dass Kunden bei Bedarf zusätzlich zahlen.

    Das bekommt man mit einem eigenen Server aber hin, also no Problem. Siehe z.B. >> https://www.kuketz-blog.de/certbot-lets-e…uer-mailserver/

    Das sind ganz offensichtlich Äpfel und Birnen im Kontext von SMIMEA/OPENPGPKEY, welche der Signierung des *Inhalts* dienen, nicht der Absicherung des Transports. (Ein selbsterstelltes Führungszeugnis oder andere unbeglaubigte Dokumente werden von Vertragspartnern ja auch nicht anerkannt, nur weil es ihnen von einer Sicherheitsfirma in meinem Auftrag überreicht wird.)