Beiträge von frank_m

  • Das längste Thema

    Zitat von mainziman

    wie funktioniert es denn auf nationaler Ebene?

    Im Moment gar nicht, wie man spätestens seit der xha***er und Quad9 Diskussion sieht.

    Zitat von mainziman

    kannst einfach zur Polizei gehen, Anzeige erstatten, und gegen den Inhaber der IP wird ermittelt,

    und so schnell kann der gar nicht schauen wird dessen Host vom Netz genommen;

    So schnell geht das auch nicht, und das ist dann auch ein durch Judikative und Exekutive sanktionierter Zugriff. Das ist was anderes, als ein kommerziell agierendes und gewinnorientiertes Privatunternehmen.

    Zitat von mainziman

    was ist daran jetzt so schlimm wenn das über die Landesgrenze analog funktioniert?

    Schlimm wäre das nicht, wenn es eine Art internationale Gerichtsbarkeit gäbe, die als unabhängige Instanz darüber wacht. Aber wie wahrscheinlich ist das, dass es die mal gibt und sich alle Staaten nach ihr richten?

    Zitat von mainziman

    weil momentan kannst nämlich brausen gehen; Du musst das hinnehmen, dass Mister X auf den Cayman Islands

    gegen Dein System Portscans veranstaltet wie er lustig ist ...

    Nein, muss ich eben nicht. Denn genau dafür bieten mit diese Blacklisten die geeigneten Werkzeuge. Was ich auf mein System lasse, entscheide ich selber. Das ist aber was anderes, als wenn mir von übergeordneter Stelle diktiert wird, was ich zulassen kann, und was nicht. Und die Entscheidung darüber möchte ich nicht einem privatwirtschaftlich organisierten Unternehmen überlassen.

  • Das längste Thema

    Um Gottes Willen, alles, nur das nicht. Der weltumspannenden Zensur wären keine Grenzen mehr gesetzt. Der Traum aller Diktatoren.

    Nee, Nee, das ist schon ganz gut so. Allein schon die Aktualisierung einer solchen "Organisation" wäre zum Scheitern verurteilt, und zwar sowohl beim Ein- als auch beim Austragen.

  • Das längste Thema

    ping6 scheitert bei mir auch, obwohl ich sonst keine Probleme mit dem Forumzugriff habe. Das hat glaube ich nichts mit MSS zu tun. MSS ist nur bei TCP Verbindungen relevant.

    Ping scheitert wahrscheinlich, weil der Server ICMPv6 blockt. Das wiederrum könnte auch eine Erkläring für die MSS Probleme sein, denn die End-to-End Aushandlung von MSS ist auf ICMPv6 angewiesen.

  • Das längste Thema

    Ich würde MSS Clamping nicht auf die end-user Applikationen reduzieren. Das Problem entsteht, wenn ICMPv6 Nachrichten nicht durchkommen. Entweder werden sie nicht vom Server generiert, oder sie werden auf dem Weg zum Client geblockt.

    Sorry, da war ich ungenau. Es betrifft beide Richtungen. ICMPv6 Nachrichten müssen bi-direktional sauber durchkommen.

  • Problem mit VPNC unter Debian

    Als Erstes fällt auf, dass das TAP Device die Subnetzmaske 255.255.255.255 hat, obwohl es im Script mit 255.255.255.0 gesetzt werden soll (jedenfalls in dem auf der Webseite). Auch die Broadcast Adresse 0.0.0.0 finde ich merkwürdig an der Stelle.

    Dann: Gibt es iptables Regeln, die die Kommunikation verhindern oder nicht erlauben?

    Generell finde ich es merkwürdig, hier ein TAP Device zu benutzen. Der Grund, dass es mit ip und iptables besser zurechtkommt, halte ich für nicht stichhaltig. Damit hatte ich nie ein Problem.

    Letzter Punkt: Du müsstest mal mit tcpdump herausfinden, mit welcher Quelladresse dein Server die Pakete in den Tunnel schickt. Am Ende verwendet er die Adresse von eth0 oder so, das wird dann natürlich nicht funktionieren.

  • Temporary failure resolving 'de.archive.ubuntu.com'

    Ich kenne mich leider mit DNSSEC nicht genug aus. Was führt denn da zum Scheitern der Abfrage? Wenn die Anfrage auf de.archive.ubuntu.com scheitert, dann sehe ich das im Log bei mir lokal:

    Code
    Mar  5 10:39:17 serv0 systemd-resolved[2865966]: DNSSEC validation failed for question tudos.de IN DNSKEY: no-signature
Mar  5 10:39:17 serv0 systemd-resolved[2865966]: DNSSEC validation failed for question ubuntu.mirror.tudos.de IN A: no-signature
Mar  5 10:39:17 serv0 systemd-resolved[2865966]: DNSSEC validation failed for question ubuntu.mirror.tudos.de IN SOA: no-signature
Mar  5 10:39:17 serv0 systemd-resolved[2865966]: DNSSEC validation failed for question ubuntu.mirror.tudos.de IN AAAA: no-signature

    Welcher Server auf dem Weg ist es denn? Mein lokaler Resolver? Oder der Nameserver von "tudos.de"? Oder irgendwas dazwischen?

  • Temporary failure resolving 'de.archive.ubuntu.com'

    Ich hab heute mit unbound in einem lxd Container herumgespielt, einfach um ein bisschen Erfahrung damit zu sammeln. Ich hab es u.a. auf dem Host Betriebssystem als Nameserver eingerichtet, also der RS fragt seinen Container nach der Namensauflösung.

    Und siehe da: Das Problem mit "Temporary failure resolving 'de.archive.ubuntu.com'" tritt dann ebenfalls auf. Deshalb hab ich mir gedacht, schaue ich mir das mal näher an.

    Folgendes hab ich dann herausgefunden: nutzt man "archive.ubuntu.com" anstatt "de.archive.ubuntu.com", dann funktioniert alles problemlos. Ebenso hilft es, einen anderen DNS Server zu verwenden, z.B. google oder cloudflare. Aber das wussten wir ja schon.

    Aber weiter:

    Rufe ich auf meinem RS "dig de.archive.ubuntu.com" auf, dann scheitert der Aufruf.

    Rufe ich "dig @10.42.42.208 de.archive.ubuntu.com", dann funktioniert es - obwohl der gleiche Nameserver gefragt wird. =O

    Dann hab ich systemd-resolved deaktiviert und den Nameserver direkt in die resolv.conf eingefügt. Ergebnis: Funktioniert.

    Es muss also was mit systemd-resolved zu tun haben. Da hab ich mir dann die Konfiguration näher angesehen und vor allem unser aller Lieblingsthema: DNSSEC. Ich hab DNSSEC von "allow-downgrade" auf "no" gestellt. Und siehe da: Es funktioniert sofort.

    Also ist es ein offenbar ein DNSSEC Problem. Nur bin ich jetzt mit meinem Latein am Ende. Wo suche ich weiter? Was kann ich noch testen?