Beiträge von m_ueberall

Zitat von frank_m

Das ist merkwürdig, da wir in den letzten Tagen mehrere Berichte über Mastodon bei netcup hatten, an verschiedenen Stellen. Demnach scheint die Anleitung nicht so schlecht zu sein.

Es kommt wohl auch darauf an, welche Hilfe man hat ; hier sind zwei Live-Videos, bei welchen eine Installation „auf die Schnelle“ versucht wurde (zugegebenermaßen in einer anderen Umgebung als einer Netcup-KVM-Instanz, was aber auch aufzeigt, dass es mit einer laufenden Instanz im Erfolgsfall allein nicht getan ist, vgl. Themen wie Routing, Absicherung, Backup):

• Externer Inhalt youtu.be

  Inhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.

  Alle externen Inhalte anzeigen

  Durch die Aktivierung der externen Inhalte erklären Sie sich damit einverstanden, dass personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu haben wir in unserer Datenschutzerklärung zur Verfügung gestellt.
  (hat es geschafft, mag aber die Dokumentation „nicht sonderlich“)
• Externer Inhalt youtu.be

  Inhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.

  Alle externen Inhalte anzeigen

  Durch die Aktivierung der externen Inhalte erklären Sie sich damit einverstanden, dass personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu haben wir in unserer Datenschutzerklärung zur Verfügung gestellt.
  (war wirklich nicht glücklich mit der Dokumentation)

Wer sich mit Mastodon beschäftigen will, lernt trotz der zahlreich vorkommenden Kraftausdrücke(!) sicherlich bei beiden Videos etwas (die man durchaus von vorne anschauen kann).

Zitat von Valkyrie

Das erinnert mich daran wie ich damals eine USV von Arbeit mitnehmen dürfte und sie natürlich sofort in mein Rack integrieren wollte, weil Neukauf war mir viel zu teuer, dafür, dass der Strom vielleicht einmal alle 2-5 Jahre kurz weg ist. Nachdem sie dann aber voll geladen war und scheinbar einen Eigenverbrauch von 60W hatte, konnte ich den Einsatz nicht mehr wirklich rechtfertigen

Das war bei mir auch ein wichtiges Kriterium. Ich habe mir sagen lassen, dass beispielsweise ältere APC-Modelle, die man üblicherweise neben den Desktop-PC stellt*, or­dent­lich Strom schlucken (>20W); obige Modelle sind aber deutlich genügsamer, für mein Modell sind es über den Daumen wohl 10–11W, was ich noch für ver­tret­bar hal­te. Wie viel weniger die kleineren Modelle der Serie verbrauchen, kann ich nicht sagen.

* Wir reden hier aber auch von einem gebrauchten willhaben.at-Schnäppchen, welches bei Einsatz mit einem älteren PC wohl noch merkbare Leistungsreserven bot

Zitat von tab

Danke für die Empfehlung und deinen Erfahrungsbericht. Jedenfalls beginne ich mittlerweile zu realisieren, dass sich meine ursprünglichen Preisvorstellungen (+- 150,- € pro Gerät) wohl nicht mit vernünftiger Qualität unter einen Hut bringen lassen werden.

Das ist nicht ganz unrealistisch; kommt auf das Gerät an, und ob Du ggf. einen Mengenrabatt aushandeln kannst – Wenn wir von einzelnen kleinen PCs (NUC?) sprechen, könnte sollte eine CP550EPFCLCD (500VA/350W) ausreichen. Allerdings muss man fairerweise alle x Jahre (1<x<5!) einen Akkuwechsel einpreisen.

Ganz wichtig: Die USV darf zu keinem Zeitpunkt überlastet werden (nicht vergessen, dass man bei neuen USB-Hubs [x]xxW abgreifen kann, wenn man da Peripherie dransteckt, weswegen neuere Mini-Rechner mit „Maxi“-Netzteilen kommen).

Zitat von tab

Ich überlege gerade, mir eine USV zuzulegen. […]

Habt ihr da eigene Erfahrungen/Empfehlungen? Sich auf Rezensionen bei Amazon & Co oder teils unseriöse "Testseiten" zu verlassen ist immer so eine Sache ...

Ich habe mittlerweile seit ca. 15 Monaten eine CyberPower CP1500EPFCLCD im Einsatz, vergleiche meine alten Beiträge hier und hier im Forum. Mit Rück­mel­dung auf meine damalige Frage zur Software-Verfügbarkeit wurde ich auf das architekturunabhängige, Java-basierte "PowerPanel Business" verwiesen, welches zu­frie­den­stel­lend funktioniert (wie auch die Hardware, wobei man natürlich regelmäßig wie bei nicht täglich eingesetzten Festplatten spätestens alle paar Monate einen Funk­tions­test durchführen sollte).

Mittel­fristig will ich die Software unter Linux (es gibt mittlerweile wohl auch rudimentäre NUT-Treiber für Linux/Windows) allerdings durch eine MQTT-basierte, mit et­was fle­xi­ble­ren Regeln versehene Eigenlösung (vgl. beispielsweise hier – Node-RED) ersetzen, da mehrere AMD64-/ARM64-Geräte 'dranhängen, die in un­ter­schied­li­chen Rei­hen­fol­gen ab­ge­schal­tet werden können sollen.

Zitat von snax

[…] Das ist jetzt das zweite Mal dieses Jahr(!), dass eine bei netcup liegende Domain diesen Fehler hat. […]

Man kann sich entweder im Kundenforum beschweren (besserer Adressat wäre der Support) oder man wird selbst aktiv. Schnuecks hat ja eine Lösung (die ich selbst auch seit etlichen Monaten problemlos verwende) aufgezeigt: „Mix-and-match“ – Netcup als Registrar, deSEC (kein Mitbewerber) für den öffentlichen Teil der DNS-Infrastruktur. Harmoniert perfekt, und solange man keine SMIMEA-/OPENPGPKEY-Einträge hat, erledigt beispielsweise dnscontrol deren Transfer.

Ich selbst nutze monit, um Unbound-Instanzen nach Möglichkeit wiederzubeleben (ginge wohl auch mit Systemd-Bordmitteln) und dnsdist, um Last­ver­teilung/Aus­fall­si­cherung und selektive Ausnahmen für Auflösungen (am heimischen Desktop etwa für Homebanking-Domänen und generell für die lokale Auflösung von "vpn-thishost." o. ä.) zu realisieren. Inwiefern man dnsdist in die obige Umgebung bekommt, kann ich allerdings nicht sagen.

Ich würde empfehlen, eine solche Instanz unbedingt in einen Container zu stecken, damit man die Datenflüsse unter Kontrolle hat (etwa mittels LXD, womit man auch Docker-Container im Container bändigen kann). In diesem Video sieht man zumindest, was da alles ausgerollt wird und dass die im Netz verfügbaren Anleitungen genau gelesen und angepasst werden müssen.

Zitat von aRaphael

Danke für die Rückmeldung.

Kann ich davon ausgehen, dass diese alle mit den normalen Updates (über apt upgrade) eingespielt werden?

Fürs Protokoll: Wenn die Ausgabe von apt policy openssl Zeilen mit „jammy-updates“ und „jammy-security“ enthält, dann schon.

Zitat von aRaphael

(P.S: debcvescan hatte ich schonmal versucht auf Ubuntu 22.04 zu installieren. Ging nicht. Und ich hatte auch weder Zeit noch Lust da länger zu suchen, woran es lag )

cd /tmp; wget https://github.com/devmatic-it/debcvescan/releases/download/v0.1.28/debcvescan_0.1.28_linux_amd64.deb; apt install ./debcvescan_0.1.28_linux_amd64.deb; debcvescan scan funktioniert hier einwandfrei.

Zitat von aRaphael

Hmmm... […] Version "OpenSSL 3.0.2 15 Mar 2022"

Muss ich da nun tätig werden? Oder kann ich davon ausgehen, dass die Sachen inzwischen in den offiziellen Repos und im netcup-Image gefixt sind?

Solange die Security-Updates installiert sind (vgl. https://launchpad.net/ubuntu/+source….0.2-0ubuntu1.7), sollte das in Ordnung gehen.

Ist natürlich schade, dass

1. neuere Upstream-Versionen der 3.x-Version nicht zumindest mit Verzögerung bereitgestellt werden (wodurch man sich bisweilen durch eigene Repositories selbst behelfen muss) und
2. man bei Patches die gemeldete Versionsnummer/das Veröffentlichungsdatum nicht zumindest mit einer Ergänzung versieht, welche einen Patchlevel/Problemkorrekturen direkt ausgeben*

*hier empfiehlt sich debcvescan [github.com] für Debian/Ubuntu

dobrev : Vielleicht als Gegenfrage: Auf welche CPU-Flags kommt es denn hier an?

Zitat von Homwer

Wenn du aber raus willst - dann wird die primäre Adresse genutzt.

Das ist die Vorgabe, welche sich natürlich übersteuern/ändern lässt. curl beispielsweise macht das auf Applikationsebene mithilfe der "--interface"-Option, welcher die zu verwendende Ausgangs-IP-Adresse übergeben werden kann; ip route nutzt hier das optionale "src"-Attribut.

Zitat von Mardos

Ja, der obere Eintrag ist inklidierte IPv4 Adresse. Warum dies bei einer /22 umsonst anonymisiert sein soll weiß ich nicht - aber ich werde gerne eines besseren belehrt

Weil jeder, der diese Art der Konfiguration kennt, weiß, was in der ersten Zeile für eine IP-Adresse stehen muss (nämlich die, welche in den nachfolgenden Zeilen als "Gateway" genannt ist). Anders formuliert: Als Daumenregel sind alle weiteren Stellen eines einmal anonymisierten Details analog zu anonymisieren, was oben unterblieben ist.

Zitat von Mardos

Ja, ich kann hier die zusätzlichen IPs hinzufügen, aber wie trage ich dann den Gateway der 5 zusätzlichen IPs ein, wenn "gateway4" nur einen einzigen Eintrag vorsieht?

Gar nicht. Obige Datei anpassen, mit netplan try temporär aktivieren, einen Dienst (ggf. iperf3) testweise unter Verwendung einer der neuen IP-Adressen ausprobieren, und, wenn es wie erwartet funktioniert, die Änderung permanent übernehmen.

Zitat von Mardos

[…] weil die zusätzlichen IPv4 Adressen haben laut SCP einen eigenen Gateway […]

Kann es sein, dass das gezeigte eigene Gateway identisch ist mit der der KVM ursprünglich zugeordneten IP-Adresse, welche auf der linken oberen Seite (dann umsonst) anonymisiert wurde? Das ist nämlich üblich so (zumindest ist das bei allen eigenen RS der Fall).

Im Verzeichnis /etc/netplan sollte eine Konfigurationsdatei liegen, welche man dann ähnlich folgendem Aufbau ergänzen kann:

---
network:
  version: 2
  renderer: networkd
  ethernets:
    ens3:
      dhcp4: false
      dhcp6: false
      addresses:
        - 89.58.AAA.AAA/22
        - 188.XXX.XXX.XXX/32
        - 46.YYY.YYY.YYY/32
        - 37.ZZZ.ZZZ.ZZZ/32
[…]

Zitat von Moepius

Damit war gemeint, dass ich das als Platzhalter nutze, um meine Domain zu zensieren. Im Record, das ich abgespeichert habe steht an dieser Stelle meine Domain.

Das habe ich schon verstanden. Da kommt aber gar kein Domainname hin in das Formularfeld. Der vorgeschlagene vollständige Namen ist technisch auch korrekt, aber da wird nicht auf die Besonderheit der verwendeten Nectup-DNS-Konfigurationsschnittstelle (CCP) eingegangen (das ist von Anbieter zu Anbieter verschieden).

Zitat von Moepius

"meinedomain" ist nur Platzhalter, da steht aktuell meine richtige Domain

Und das ist falsch, an dieser Stelle stehen nämlich allenfalls nur die Unterdomänen. Die Domäne selbst wird immer automatisch ergänzt.

(Der obige Eintrag wäre aktuell unter dig +short -t TXT _acme-challenge.meinedomain.de.meinedomain.de abrufbar.)

Wenn man sich den Netcup-Wiki-Eintrag zu den DNS-Einstellungen durchliest, findet sich diese Erklärung auch bei Beispielen, allerdings nicht optimal formuliert.

Zitat von nan0

m_ueberall wer verwendet denn bleeding-edge software?

Viele, welche komplexe existierende Container nutzen oder die neueste Software haben müssen.

Mal sehen, wie schnell die betroffenen Linux-Distributionen diesmal reagieren …

Solange diese Vorfälle dazu führen, dass Administratoren mehr Zeit auf Konfigurationsmanagement/Fallback-Szenarien verwenden (können), hat das auch etwas Gutes.

Jetzt geht's los, jetzt geht's los… („Operational information about the recently announced vulnerability in OpenSSL 3“)

EDIT1: (Docker-)Container-Installationen nicht vergessen!

EDIT2: Alternativliste mit analysierten Anwendungen/Umgebungen [docs.google.com]

EDIT3: OpenSSL Security Advisory [01 November 2022]: X.509 Email Address 4-byte Buffer Overflow (CVE-2022-3602) / X.509 Email Address Variable Length Buffer Overflow (CVE-2022-3786)

Zitat

Pre-announcements of CVE-2022-3602 described this issue as CRITICAL.

Further analysis based on some of the mitigating factors described above have led this to be downgraded to HIGH. Users are still encouraged to upgrade to a new version as soon as possible.

Zitat von tab

[…] Da sind ja praktisch Reseller-Features, insofern wird es im Reseller Webhosting möglich sein oder natürlich auch auf einem RS/VPS.

Die obenerwähnte „Proxylösung“ ist im Wesentlichen auch nur ein „Reseller-Paket für Arme“, deren Aufwand und Nutzen in der Regel – wenn man nicht auf existierende Lösungen zurückgreifen kann, um die gewollte (dennoch nicht-notwendigerweise wasserfeste) „Separierung“ zu erreichen – in keinem akzeptablen Verhältnis (verglichen zur Buchung eines zweiten Pakets) stehen dürften.

Zitat von Rettungsfuzzy

Ja, das weiß ich schon..., aber genau diese Möglichkeit(en) soll der Kollege für diese 2 Domains selber haben...

Sprich Er soll diese beiden selbständig verwalten können, ohne die anderen verwalten zu können...

Dann hilft beispielsweise eine „Proxylösung“. Via Netcup-DNS-API lässt sich ja eine Änderung ohne CCP-Zugriff realisieren. Und über eine geschützte Webschnittstelle lassen sich die gewünschten Einträge in einem vordefinierten Format dann vom Kollegen übergeben. Der eigenverwaltete Dienst säubert die Einträge von allem, was sich nicht auf die beiden Domänen bezieht und nutzt den eigenen API-Schlüssel (den der Kollege nicht sieht) zur Aktivierung. Das wäre quasi eine „Inhouse-Lösung“, die allerdings meines Wissens nicht ohne „selbstgestrickte“ Teilkomponenten auskommt.

Eine Alternative bei Domänen bestünde darin, die Verwaltung für diese von Netcup auf deSEC zu übertragen und dort ein gemeinsames Konto einzurichten (auch in diesem Falle wäre obige „Proxylösung“ weiterhin realisierbar, aber nicht mehr zwingend erforderlich, weil es dort eine browserbasierte Schnittstelle gibt). IMHO mit dem geringsten Aufwand verbunden.

There are a lot of tools that can help you with

• keeping track of your logs (e.g., logcheck, tenshi)
• running audits (e.g., chkrootkit, lynis)
• hiding services you don't usually want to access outside a VPN anyway (e.g., knock)
• checking whether your host might be the target of port scans (e.g., psad).

Depending on the OS/distribution, you might want to check whether live kernel updates are available (e.g., Ubuntu Livepatch Service).