Posts by MeisterYoda

  • DNS-Änderung über CCP-API — zu lange bis aktiv

    Ich glaube die Nameserver werden alle ca. 15 Minuten oder so rekonfiguriert. Achtung das hat nichts mit der TTL im Sinne von DNS zu tun.

    Da es geht es nur darum, ab wann die Nameserver die neue Konfiguration, die im CCP eingekippt wurde, beziehen und damit für neue Anfragen ausliefern.

    Dh. je nachdem wie "lucky" du zeitlich bist (je nach dem wie du das Zeitfenster gerade erwischst), kann es bis zu grob 15 Minuten dauern, selbst wenn du eine TTL von 0 hättest.

  • Nested Virtualization für Root Server

    Quote from tab

    Wieviel Ressourcen sollte denn so ein Proxmox-Server ungefähr mindestens haben, damit das sinnvoll ist? Mit viertel vCores wird das ja wohl keinen großen Sinn machen. Naja, ich bemühe mal eine Suchmaschine dazu. Trotzdem würden mich da praktische Erfahrungen interessieren. Macht es z.B. irgendeinen Sinn, aus einem 4C/4GB Server z.B. sozusagen 4 pikos zu machen? ^^

    An sich realistisch ist finde ich ab so ca. 8GB RAM, da Proxmox selbst ja auch schon ca. ~2GB+ (je nach Anzahl VMs) benötigt. Ab 2 "dedicated" vCPUs kann man das sinnvoll nutzen, kleinere VMs laufen ja auch mit je 1GB RAM und 1vCPU (z.B. mein PowerDNS Resolver). Aber klar, je mehr Ressourcen desto besser, hängt ja immer bisschen vom Anwendungsfall ab ^^ Für mich gehts auch weniger um das Ausmaxxen der (CPU)-Ressourcen als viel mehr um die Verwaltungsoberfläche und Features die Proxmox bietet inkl. der Flexibilität & Segmentierung. Ich kann halt ähnlich wie bei einem Dedicated Server einfach unterschiedlichste OSe, wie Linux, Windows oder auch BSD (z.B. opnSense) innerhalb einer gebuchten Maschine hosten und dort die jeweiligen Ressourcen auch flexibel zuteilen und kann selbst vernünftig z.B. mit eigen gebauten VLANs & OpnSense segmentieren, ohne auf den Provider (z.B. irgendwelche buchbaren VLANs etc.) an sich angewiesen zu sein. Und das ganze halt ohne die Kosten eines "echten" Dedicated Blech-Servers sowie auch der Vorteile bei gebuchten virtuellen Root-Servern bei Hardware-Ausfällen.

  • Nested Virtualization für Root Server

    Muss mich hier ebenfalls anschließen, auch ich hätte gerne das SVM Flag zurück.

    Bis dahin muss ich mit meinem größeren Haupt-Server leider bei einem anderen Provider bleiben und Netcup kommt maximal für eine kleine Backup/Test-Setups infrage. Nested KVM mit Proxmox möchte ich einfach nicht mehr missen, allein schon der diversen Verwaltungstools die Proxmox mit bereitstellt wegen.

    Beim anderen Provider läuft mein nested Proxmox-Setup seit einigen Jahren lang ohne jegliche Probleme 100% stabil. Machbar ist es also.

  • Frage zum Cloud VLAN Free: Mehrfach/unbegrenzt buchbar?

    Quote from TBT

    Nö, nur darauf hinweisen, dass etwas einfacher, günstiger und performanter geht als dieser doch etwas komplexe Weg mit zig VPSes und Free VLANs.

    Quote from TBT

    Hol Dir einen, stärkeren Rechner, nutze Docker für die Separierung und schalte die Netcup Firewall ein. Ist günstiger, performanter (nicht auf 100Mbit pro VPS begrenzt) und besser zu verwalten und zu sichern (nur eine Kiste).

    In meinem Fall leider nicht möglich, das ist an sich ein komplexeres Setup mit insgesamt 4 Firewalls (4 Standorten), Netcup ist nur einer davon. Es wird u.a. Wireguard & BGP genutzt, daher ist zwingend eine "eigene" opnSense FW nötig. Abgesehen davon schätze ich die security-Vorteile von Vollvirtualisierung gegenüber Docker. Bei den anderen Standorten stehen physische Server bzw. ein Anbieter, der nested KVM explizit ermöglicht, da ist das dann natürlich einfacher ohne free vlans einfach mit z.B. proxmox umzusetzen. Auf ein eigen betriebenes VXLAN hätte ich dagegen keine Lust, das wäre tatsächlich overkill :D

  • Proxmox auf vServer oder RootServer

    Bei sowohl VMs als auch bei Root-Servern bei Netcup ist VM-X/AMD-V deaktiviert und entsprechend Vollvirtualisierung nicht möglich. LXC läuft allerdings. Es gibt allerdings Provider, die das erlauben. Ob das Flag aktiviert ist oder nicht findet man gut durch das Skript yabs (yet another benchmark skript) raus, einfach den Servernamen in Kombination mit yabs googlen und er zeigt aus Tests anderer User an ob VM-x bzw. AMD-v aktiviert ist.

  • Frage zum Cloud VLAN Free: Mehrfach/unbegrenzt buchbar?

    Hallo liebe Community, ich hätte obige Frage zum Produkt Cloud VLAN Free. Ist das pro Account auf 1 Bestellung limitiert oder kann das theoretisch unbegrenzt oft bestellt werden?

    Hintergrund ist folgender Plan:

    1 Haupt-VM mit opnSense als Firewall & Router

    X weitere VMs, die jeweils via 1 separaten Cloud VLAN Free mit der Haupt-VM verbunden wären. Pro VM 1 separates VLAN, um diese in sich auch noch einmal zu separieren. Entsprechend müsste ich pro "Dienst-VM" ein weiteres Cloud VLAN Free buchen. Eine Alternative wäre evlt. die Nutzung von 802.1Q Tags innerhalb eines einzigen Cloud VLAN Free, wie dieser Post suggeriert: Nested VLANs scheinen zu funktionieren - erlaubt?

    Aber mehrere Cloud VLAN Free hätten natürlich noch den Vorteil, dass die 100 Mbit/s mehrfach (dh. pro Dienst-VM separat) voll nutzbar wären und nicht von mehreren VMs geteilt würden.


    VG

    Michael

  • DNS Redundanz

    Zur geographischen Redundanz der Netcup DNS Server kann ich wenig sagen - die DNS API funktioniert aber soweit zuverlässig, nutze ich selbst seit Jahren für acme.sh.

    Allerdings solltest du es bei Domains, die über Netcup DNS Server ausgeliefert werden, vermeiden DNSSEC zu aktivieren. Das gab bei mir vor 2 Jahren mal ein böses Ende und die komplette Domain samt aller Subdomains war mehrmals offline und konnte nur durch Eingriff durch den Support wieder instand gesetzt werden (SERVFAIL). Keine Ahnung ob das Feature immer noch verbuggt ist, aber ich meide es seither.

    Langfristig werde ich mir aber ein paar VPS mieten und dort selbst ein PowerDNS bereitstellen, dann hat man auch die volle Kontrolle über den Dienst, inkl. der Schlüsselverwaltung bzgl. DNSSEC :)

  • VM resettet sich

    Quote from lulatsch66

    Wo bekommt man denn sonst noch virtuelle Systeme auf KVM-Basis mit dedizierten Cores? Wo Proxmox im Cluster funktioniert ... Ich kenne das sonst nur mit Hardware-basierten Maschinen.

    Beim Sieger (Platz 1) des diesjährigen Host Tests in der Kategorie vServer (also virtuelle Root-Server). ;)

    Ich selbst habe schon dort hin umgezogen, da neben einer garantierten Bandbreite von 1 Gbit/s (mit Spike darüber) auch nested KVM (sprich VMX/SVM) für vernünftige full Virtualization ohne Aufpreis möglich ist, und es immer wieder extrem günstige Sonderangebote gibt.

  • Das längste Thema

    Nachtrag: Übrigens ist es auch bei IPv4 falsch, alle ICMP zu blocken. Genau aus diesem Grund funktioniert zB. das Path MTU discovery nicht zuverlässig, weil es zu viele fehlerhaft konfigurierte Firewalls im Netz gibt....

  • Das längste Thema

    Quote from Ente-Dank

    Hab gerade gelernt dass ipv6 ohne nd-* kram in der Firewall plötzlich kaputt ist, dinge über die man sie nie Gedanken macht solange man ipv4 only fährt..

    Ja, man muss einen großen Bereich von ICMP zulassen. Habe mir mal die Mühe gemacht die Types, die man zulassen sollte, per RFC zu erarbeiten (gleiches gilt natürlich auch für die Forwarding chain):

  • Das längste Thema

    Quote from mainziman

    Du sagtest ja was von Wohnheim und so; also ein Studentenheim; und hast Du bei IPv4 eine eigene od. bist Du da im NAT mit den anderen?

    ich bin jetzt davon ausgegangen, dass bei IPv4 jeder seine eigene IPv4 hat aber bei IPv6 teilt ihr euch einen Prefix ...

    mit 'Mist' bauen, etwas Phantasie; SPAM-Versand, Malware-Verbreitung - es muss nicht Absicht sein, kann auch unwissentlich geschehen;

    Wir haben einen recht komplexen Anschluss, also im Prinzip beides. Grundsätzlich teilen sich alle Bewohner ausgehend einen Pool aus ca. 500 public IPv4 Adressen per CG-Nat, wir haben aber auch noch ein /30ger Netz anliegen für Serverhosting, unfiltered NAT etc. Das CG-Nat fängt nach außen gehende Portscans etc. durchaus ab. Spam Versand ist auch nicht möglich, da Port 25 geblockt ist.

    Aber abgesehen davon: Der Kernaussage stimme ich halt nicht zu: Wer ein /48 Prefix blockt, kann auch ein /24ger IPv4 Prefix blocken. ;)

  • Das längste Thema

    Quote from mainziman

    klar so ist es auch sinnvoll; und damit bringst Du mich auf das nächste nicht unproblematische;

    man sperrt bei IPv6 keine einzelnen IPv6-Adressen sondern gleich ganze Prefixe;

    und wenn da einer von euch Mist baut, ist der ganze Prefix gesperrt; findest das dann auch toll?;)

    was meinst du konkret damit? Wie soll man "Mist" bauen, sodass man wo gesperrt wird? Außerdem - was ist der Unterschied zu IPv4? Da sperrst du halt nach der gleichen Logik die einzelne IP Adresse, das ist rein das gleiche.

  • Das längste Thema

    Quote

    und NAT ist kein Klimmzug, sondern hat seinen Snn;

    und ehrlich würdest Du ein Unternehmen, z.B. eine Bank so konfigurieren,

    dass jeder Client direkt vom Internet aus erreichbar ist?

    NAT ist keine Firewall.

    Quote

    doch einiges davon muss man dem Standard anlasten, IPv6 ist aus Sicht heute - dem fast zu Ende gehenden Jahr 2021 - immer noch unvollständig;

    und teilweise sogar fehlerhaft;

    IPv6 ist nicht unvollständig oder fehlerhaft - die Umsetzung durch die Provider ist unvollständig oder fehlerhaft. Fehlerhaft bei dem Serverprovider mit den zwei einsen und unvollständig hier bei Netcup (mit Blick auf den Leitsatz: der Kunde sollte sich niemals eingeschränkt fühlen und über so Krücken wie NAT nachdenken müssen). Darüber hinaus haben sämtliche DSL Provider, inklusive des großen T IPv6 fehlerhaft implementiert: so etwas wie dynamische Prefixe ist erst der Ursprung allen Übels und war nie vorgesehen.

    Wir beziehen im Wohnheim vom LRZ einen statischen /48 Prefix und können damit intern wunderbar und unbegrenzt arbeiten - so wie es sein sollte. Damit entfällt dann auch Murks wie NAT reflection etc.