[netcup] Sarah G. Zum Thema DNS:
Bei Verwendung der netcup-DNS-Server werden keine Firewall-Regeln für DNS benötigt, richtig?
Das Beispiel in der Hilfe dient für den Betrieb eines eigenen DNS-Servers und nicht für die Verwendung externer DNS-Server wie beispielsweise 1.1.1.1?
Beides sollte man vielleicht in der Hilfe erläutern.
Doch, auch für 1.1.1.1 oder ähnliches brauchst du entsprechende Firewall-Regeln. Wie es mit den internen aussieht kann ich dir nicht beantworten.
Das wäre dann vielleicht auch etwas, was man in den Standardregelsatz aufnehmen könnte. Das dürfte dann ja jeden DNS-Verkehr betreffen. 🤔
Sehe ich auch so, denn selbst ein lokaler Resolver hat - wie du sagst - einen Upstream und der schlägt dann fehl, wenn die entsprechenden Ports nicht freigegeben sind.
UDP mit Port 53 als Zielport hatte ich ja, sonst könnte ich meinen DNS nicht erreichen. Aber es fehlte UDP mit Port 53 als Quelle. Ohne läuft es nicht.
Genau, hatte ich mich falsch ausgedrückt.
Puh, das mit DNS ist eine böse Falle. Ich musste die hier auch Eingehend VON Port 53 TCP/UDP erlauben, damit der lokale DNS wieder auflösen konnte. Klar, auf dem Papier spricht man intern mit dem DNS. Dieser fragt im Hintergrund aber nach draußen. Müsste das dann nicht alle DNS-Requests betreffen, sobald man irgendeine eingehende Regel definiert? Weil dann ja die implizierte Regeln eingehend auf DROP ANY schaltet?
Es reicht UDP 53 IN, TCP sollte ja dank stateful funktionieren - so hab ichs gelöst. Zusätzlich hab ichs noch auf die IPs meiner beiden externen Resolver eingegerenzt.
So nun läuft das Ganze, mal gucken. Prinzipiell begrüsse ich das Firewall-Feature aber sehr, das hat mir gefehlt!
Naja, die Regeln werden von oben nach unten abgearbeitet. Sowie eine Regel greift, werden die restlichen nicht mehr ausgewertet. Das was du eingehend explizit erlauben willst, müsste dann vor den impliziten Regeln stehen?!? Oder interpretiere ich das falsch?
Na wenn der aRaphael auch eine Regel einbaut die alles blockt von jeder IP zu jeder IP, dann ist ja klar, dass das gesamte Internet jetzt tot ist!
Na, passt schon. Das Problem lag am UDP, das das explizit erlaubt werden muss (für DNS)
Spannend, gerade getestet, bei mir geht es noch. Sowohl meine eigenen Resolver über das Cloud VLAN als auch 1.1.1.1. Hast du die "impliziten Regeln" rausgenommen?
Nope, die sollen bleiben. Ausgehend alles erlauben, aber eingehend alle verwerfen, ausser was ich erlaube.
Geht bei euch die DNS-Auflösung noch mit externen Nameservern? Bei mir geht z.B. 1.1.1.1 nicht mehr, time out. Vermutlich ist das eine stateless Firewall und man muss den eingehenden Traffic von 1.1.1.1 auf UDP & TCP Port 53 zulassen?
EDIT: Ich hatte recht, wenn man externe Nameserver verwendet (am Beispiel von Cloudflare) muss man Source IP 1.1.1.1/32, Source Port 53 UDP & TCP auf Any zulassen, sonst funktioniert die Namensauflösung nicht...
warum willst du noch isos einbinden?
ipxe > chain http://boot.netboot.xyz
Andere ISO die es dort nicht gibt? Brauchte ich auch schon…
Bin ich der Einzige, dessen Root Server in Wien zwei mal für ca. 10 Minuten weg war? Ca. 11.06 und 11:27
Naja, wenn du ein Remotebackup mit 4 TB hochlädst, dann gehen 3 TB mit Fullspeed (meiner Meinung nach) und nach 24 Stunden kannst du die restlichen 1 TB mit Fullspeed hochladen, nicht bereits nach einer Stunde? Aber was weiss ich...
Du musst natürlich den Port auch mit ufw allow 22/tcp bzw ufw allow ssh erlauben, bevor du die Firewall aktivierst, damit der SSH Port danach funktioniert? Ausserdem solltest du noch ufw deny incoming und ufw allow outgoing durchführen. Und falls du IPv6 nutzt, sollte das auch in /etc/default/ufw mit yes aktiviert sein.
Why would you need a firewall on Netcup level by software ( not hardware) if you manage the system yourself and the firewall here is software wise the same?
If you have risk managing things like docker, use virtualization and manage FW rules between the hosts
As long firewalls are not hardware based for me it makes no sense to have them in the SCP/outside my RS/VPS
It does make sense, because even if it's software based (most firewalls are software based, they are just adapted to the specific hardware by the way) you have an additional layer, in case you made an error on your own vps regarding the firewall rules. Almost all cloud providers (not so many vps providers) provide a firewall for their cloud servers.
Stichworte im Kontext: Zone Walking, NSEC3.
Kannte ich noch gar nicht. Danke!
Wozu denkst du es denn zu brauchen?
Wie definierst du denn "alle Einträge"?
Die gibt nämlich das obige garnicht aus.
Da fehlt ja z.B. www. oder server. oder cloud. etc.
Das Obige gibt dir nur alle Eintragungstypen eines einzelnen angefragten Hostnamens.
Geht meines Wissens auch nicht, sonst müssten Pentester keine DNS Enumeration machen, um auf etwaige vergessene Subdomains zu stossen.
dig any netcup.com @`dig +short SOA netcup.com | cut -d' ' -f1`Geht aber bei netcup.de auch nicht, eventuell hat KB19 recht 
Wenn das bei anderen Cloud-Anbietern – sind das wirklich Massenhoster im vergleichbaren Preissegment? – explizit vertraglich festgehalten ist, wird es sicherlich auch in die Kalkulation einfließen (müssen!).
Natürlich nicht. Ich habe dabei verschiedene Modelle gesehen. Die einen, die es garantieren und die anderen, die die Option anbieten (rotes H) aber es nicht vertraglich festlegen.
Genau das wird aber das Problem sein.
Selbst wenn man die VMs bei der Bestellung auf verschiedenen Host hat, so wäre nicht garantiert, dass das auch so bleibt.
Es wird nicht zu vermeiden sein, dass VMs hin und wieder auf andere Hosts verschoben werden.
Nennt sich Anti-Affinity und machen andere Cloudprovider, selbst beim Verschieben bleibt gewährleistet, dass die Nodes unterschiedlich sind.
Hallo zusammen,
weiß jemand von euch, warum ich bei der Installation von Ubuntu 14.04 oder 16.04 einen Blackscreen bekomme, sobald ich nach dem Booten der Installations-ISO die Option „Ubuntu Server installieren“ bestätige?
Produkt: RS 1000 G11
Ich bedanke mich im Voraus für eure Rückmeldungen!
Gruß
Gibt es einen Grund, wieso du 14.04 oder 16.04 installieren willst? Die sind End of Life und erhalten keine Updates mehr. Just sayin'
Naja, sowas versichert dann halt nur Lloyds. Da kostet dann der Server halt entsprechend paar Tausend Euro im Monat statt 11 oder 12. Letztlich sind wir hier im Consumerbereich, von netcup PRO vielleicht abgesehen. Ich nehme an, das mit der halben Welt ist auch nicht ganz so ernstzunehmen, sonst bekäme ich Angstzustände bei nur 2 Systemen auf dem selben Planeten.
Ich seh‘ das auch nicht so, nur die Chefetage 
