Ich komm blanko
Roberto, singst Du uns auch was vor?
Beiträge von hoedlmoser
-
-
Nur die Komfortfunktionen mit Broadcasts (z.B. mDNS) funktionieren nicht, wenn die Geräte in verschiedenen Netzen sind.
der WAF ist halt auch null wenn der drucker erst mit ip adresse konfiguriert werden muss und nicht automagisch gefunden wird.
IOT Spielzeuge aber gerne ihre Daten im HomeAssistant abgeben.
dann den HA zusätzlich ins IoT-VLAN hängen. falls zur administration notwendig kann man sich dann ja bei bedarf ins IoT-VLAN-WLAN mit dem smartphone einbuchen.
selbiges könnte man zb auch mit druckern machen, diese in ein VLAN einsperren und über einen CUPS im normalen VLAN verfügbar machen.
wenns aber wirklich nur ums nach hause telefonieren geht, warum nicht per DHCP statische IPs verteilen und die dann in der firewall ausgehend sperren? oder in einem pi-hole die phösen domains blocken?
ich halte es pragmatisch, auf alles was man so normalen zugriff haben will kommt ins normale VLAN (drucker, scanner, mufu, nas, brüllwürfel, …), das ganze IoT gelumpe auf das die mitbewohner keinen direkten zugriff haben sollen in ein eigenes (kameras, sensoren, heizungssteuerung, …).
-
jede(r) andere nimmt Container her. Weil sie schlicht praktisch sind. Normative Kraft des Faktischen.
shyze muss gut sein, millionen fliegen können nicht irren.
-
tunnel mode ipv6ip / 6to4 ?
vielleicht, wissen wir nicht, hat er ja nichtmal in seinem sermon beschrieben.
wäre aber umständlich, ginge ja viel einfacher wenigstens eine ULA ans interface zu pappen.
-
Es wäre jetzt echt nicht gut hier Zeilen reinzuschreiben, welche stumpf übernommen werden könnten.
den unterschied zwischen konfiguration (wireguard config) und ergebnis (traceroute) vermagst Du offensichtlich nicht zu erkennen.
ich wäre wirklich daran interessiert wie man IPv6 über einen IPv4 tunnel drüberbekommt. leider kamen von Dir dbzgl weder stichhaltige beweise
noch entsprechende config snippets. -
Bin an dieser Stelle jetzt raus.
schade, ich hätte noch gerne Deine IPv6 routingkünste in einem IPv4 tunnel anhand eines traceroutes gesehen.
-
Warum zerbreche ich mir dann eigentlich den Kopf, wenn es von Netcup eine einfache Lösung gibt -
Wo und wie und für was bekommt man das?
stand im zweiten post:
Eine wirklich saubere Lösung erreichst du nur mit einem zusätzlichen IPv6 Subnetz, welches auf deinen Server geroutet wird.
-
Du vermisst da etwas?
Address = 10.1.1.2/32, fd32::/128genau, bzw besser so etwas:
Code[Interface] Address = 192.168.7.1/24,fd42:42:42::1/64magst Du vielleicht bitte mal einen traceroute von Deinem client zu einem container zeigen?!
-
Beide VPN haben auf jeder Seite eine IPv4 10.xxx. Für das was da drüber geht vollkommen irrelevant.
nein, wenn die tunnelendpunkte kein IPv6 haben kannst da kein IPv6 drüberrouten!
-
Der VPN ist über eine IPv6 erreichbar. Im Tunnel wird ein 10er Netz genutzt. Alles hinter dem VPN, also das was ich erreichen möchte, liegt wieder im /64er vom Host.
Du tunnelst also IPv6 über IPv4? echt jetzt?
welche IPv6 hat Dein VPN-client? aber selbst wenn Du zwei IPv6 netze übern tunnel zusammenschaltest brauchst im tunnel wenigstens eine IPv6 ULA, mit einem 10er IPv4 wird das nicht funktionieren.
-
mehr vor- und nacharbeiten.
hm? Du installierst am zielsystem ein komplettes OS.
-
Letztes Jahr
Backup
echt, jährliches backup auf basis von images? ihr solltet dringlich eure backup strategie überarbeiten!
-
So mache ich das seit einiger Zeit:
ich mach das direkt auf kalte, leere speicherzellen so: https://forum.netcup.de/administration…6446#post216446
-
irgendwie auf explicit hängen geblieben
mit yes würdest Dir imho also-notify ersparen.
Wieso fragtest du wegen den Repos?
mein ansatz ist so konservativ wie möglich zu sein. also immer versuchen die pakete ausm distributions repo zu installieren und nur fremdrepos wenn was fehlt (generell oder ein bestimmtes feature in einer neueren version). und wenn schon fremde quellen dann ein repo, damit ist dann gewährleistet dass man mindestens die wichtigsten security updates fast automatisch hat.
ein mysql/mariadb erwarte ich aus den distributions repos in funktionierend.
-
notify explicit;
warum nicht einfach yes?
Installieren und absichern der MariaDB Instanz
warum nicht aus den Ubuntu repos?
PowerDNS mit MySQL Backend installiert
warum aus den Ubuntu repos?
-
nur wie sage ich bind das er der master für den powerdns ist
im zonefile selbst muss der powerdns als NS drinnen stehen. in der zone config brauchst notify yes und allow-transfer entsprechend.
https://www.zytrax.com/books/dns/ch7/xfer.html#notify
https://www.zytrax.com/books/dns/ch7/xfer.html#allow-transfer
fragt mich jetzt nur nicht wo es hinkte
Du könntest die stellen die ich oberhalb erwähnte hier zur veranschaulichung posten.
-
das zauberwort heißt autoprimary bzw supermaster.
-
Redundanz existiert offenbar doch.
liest sich nach worst-case. zwei hauptleitungsstörungen und ein leerer hochbehälter
-
Ist das bei der Wasserversorgung üblich?
ja! hier 7000 einwohner gemeinde gibts zwei brunnen mit hochbehälter, mehrere drucksteigerungsanlagen, mit jeweils mehreren pumpen und dieselnotstromaggregaten.
da ist sicher nie die ganze gemeinde trocken, wenn dann nur einzelne stränge.
-
Das hat NaN doch bereits geschrieben
nein, mir gehts hier um die unterscheidung von drop und reject.
unberechtigt versucht auf einen Serverdienst von mir zuzugreifen
es gibt so viele arten von falschkonfiguration auf client seite (zb falscher port), da muß man die nicht noch in die offene heugabel mit einem timeout laufen lassen.
Portscanning durchführt,
der so vielfach gefürchtete portscan. ist vollkommen egal ob du dessen packerle verwirfst oder freundlicherweise mit einer unzustellbarkeitsmeldung beantwortest, hab das kurz getestet wie der nmap auf drop und reject reagiert. ein status filtered ist auch bei drop sehr schnell ermittelt, lediglich bei UDP gestaltet sich das schwieriger. aber eigentlich will der phöse portscanner ja gar nicht wissen was closed oder filtered ist, er bekommt von den offenen ports sowieso eine antwort auf layer 7 und kann dann in seine vulnerabilities datenbank sehen um zu wissen mit welcher attacke er weitermacht.
Code
Alles anzeigenaccept 25/tcp open smtp 123/udp open ntp reject # scan done in 300 ms 25/tcp filtered smtp # ICMP tcp port smtp unreachable 123/udp closed ntp # ICMP udp port ntp unreachable reject w tcp reset # scan done in 300 ms 25/tcp closed smtp # Flags [R.] drop # scan done in 700 ms 25/tcp filtered smtp # timeout 123/udp open|filtered ntp # timeout accept, not listening 25/tcp closed smtp # Flags [R.] 123/udp closed ntp # ICMP udp port ntp unreachable node down # scan done in 4 seconds 25/tcp filtered smtp # timeout 123/udp open|filtered ntp # timeoutbei 'node down' hätte ich mir übrigens ein 'no route to host' oder ähnliches vom gateway erwartet, aber ist bei netcup wohl nicht so implementiert.
[...] Wireguard: Das verhält sich genau wie eine "drop" Firewall, wenn die andere Seite den Key nicht kennt. Dann wird einfach gar keine Antwort geschickt. Wenn sich auch deine übrigen UDP-Ports taub stellen, kann ein Portscanner nicht unterscheiden, ob und auf welchem Port etwas ist oder nicht.
das ist in der tat genial. aber wieviele andere protokolle kennen wir die sich so verhalten? immerhin setzt das ein wissen voraus, vulgo pre-shared-key.
Ein anderer Grund, der meiner Meinung nach für das Abschalten der ICMP-Antworten spricht, ist, dass diese Antworten an die unauthentifizierte IP-Adresse der anderen Seite geschickt werden, also an eine von einem Angreifer frei wählbare Adresse. Damit ist zwar keine Amplification drin, aber Kleinvieh macht auch Mist.
damit reißt du auf der gegenstelle nichtmal einen prozess auf. also das ist weniger als kleinvieh, das ist eher eine mücke.
Der Unterschied zwischen reject und drop ist nicht groß und vielleicht eine Frage persönlicher Präferenz.
das magst du persönlich so sehen.
aber wenn du mal am troubleshooten einer IP connectivity bist, dann bist du froh wenn du auf basis der rückmeldung sagen kannst wo das problem liegt: ICMP - firewall, welche? siehe IP source des ICMP packerle; reset - layer 7.
gut zusammengefasst ist der unterschied zwischen drop und reject auch hier http://www.chiark.greenend.org.uk/~peterb/network/drop-vs-reject tl;dr drop bringt keinen vorteil, lediglich den nachteil daß auf einen timeout gewartet werden muß.
