Beiträge von NaN

  • DNS bei deSEC - wie geht das mit DNSSEC?

    Zitat von DocMAX

    Wieso muss ich denn zu Desec hin?

    Du bist in einem Thema, in dem es darum geht. DS (Delegation Signer) Records braucht man, wenn eine Domain oder Subdomain an einen anderen Nameserver delegiert wird und DNSSEC verwendet werden soll. Wenn es um die Domain selbst geht, muss der Server, der diese Domain delegiert, den DS Record haben. Das ist der von der Registry, nicht der von Netcup. Um den DS-Record bei der Registry kümmert sich Netcup

    Wenn du eine Subdomain von einer Domain, deren DNS bei Netcup gehostet wird, mit DNSSEC delegieren möchtest, musst du einen DS Record bei Netcup eintragen. Nur dafür brauchst du einen Eintrag in der Liste, wo du auch einen Hostnamen angeben musst.

    @ für den Host macht keinen Sinn, denn den DS-Record für die Domain selbst verwaltet Netcup. Wenn du andere Nameserver (z.B. die im Thementitel angegebenen von Desec.io) für die ganze Domain verwenden möchtest, wird der DS-Record zusammen mit den anderen Informationen für die Delegation von der Registry zum anderen DNS-Hoster in einem anderen Formular eingetragen.

  • Zugriff per SSH

    Kann ich bestätigen: SSH per Key von Webhosting zu VPS geht. Was nicht geht ist Agent Forwarding oder das Webhosting als Jumphost zu verwenden (keine Portweiterleitungen).

  • Subdomain per CNAME auf andere Domain

    Wenn die DuckDNS Adresse mit HTTPS funktioniert, hast du dir ein Zertifikat für die DuckDNS Adresse geholt. Wenn du für dieses Zertifikat nicht deine Subdomain (die mit dem CNAME) als Alternativnamen angegeben hast und auch kein separates Zertifikat für deine Domain geholt hast, dann will der Browser beim Aufruf mit deiner Domain ein Zertifikat für diese Domain sehen und bekommt vom Server eins für die DuckDNS Adresse gezeigt: Das mag er dann nicht.

    CNAME Einträge sind keine Weiterleitungen. Der Browser verbindet sich mit dem Namen der Subdomain, indem er die IP-Adresse dazu abfragt. Der DNS-Resolver folgt dem CNAME und gibt dem Browser die IP, aber das ist dann die IP für deine Subdomain. Wenn der Browser die Verbindung zu der IP aufbaut, sagt er dem Server, dass er TLS für deine Subdomain machen möchte, und später, wenn das geklappt hat, dass er die Webseite für deine Subdomain haben will. Die DuckDNS-Adresse taucht nirgendwo auf.

  • Zugriff per SSH

    Hast du in Putty ein "Remote command" eingetragen oder sonstige Änderungen an der SSH-Konfiguration gemacht? Die Shell ist ziemlich eingeschränkt und hat nur einen stark reduzierten Umfang an Befehlen installiert.

  • Frage zum Datenschutz

    Vielleicht kann irgendjemand die Daten mit externen Daten verknüpfen und irgendwas zuordnen, aber ich kann das nicht. Wenn mich mal jemand so was fragt, bekommt er diese Antwort: "Der von Ihnen angegebenen Identifikation konnten keine gespeicherten oder verarbeiteten personenbezogenen Daten zugeordnet werden."

  • Frage zum Datenschutz

    Da die IP-Adressen in den Logfiles als personenbezogene bzw. personenbeziehbare Daten gewertet werden, speicherst und verarbeitest du Daten, durch die du der DSGVO unterworfen bist (bzw. lässt sie speichern und verarbeiten, also hallo Auftragsdatenverarbeitungsvereinbarung). Damit gelten eben alle Rechte für die Betroffenen, die sich daraus ergeben. "Kommt nicht in Frage" kennt das Gesetz nicht. Du musst deine Prozesse entsprechend anpassen, so dass sie den Anforderungen des Gesetzes genügen. Um eine Auskunft, Berichtigung, Sperrung und Löschung bestimmter Daten durchführen zu können, müsstest du sicher feststellen können, welche Daten das sind. Du kannst ja nicht irgendwem Auszüge der Logfiles mit den IP-Adressen von jemand anderem schicken. Wie dir jemand nachweisen soll, durch welche IP-Adresse er wann identifiziert war, und dass das niemand anderen z.B. durch CGNAT betraf, ist mir auch ein Rätsel. Wie gesagt: Datenschutz ad absurdum geführt. The only winning move is not to play. Die DSGVO ist völliger Blödsinn, aber leider geltende Rechtslage.

  • Wo finde ich meine Mail Zugangsdaten?

    Ich habe in einem brandneuen Webhostingpaket nachgeschaut: Die Spalte mit dem i ist da und führt zu den Informationen. Vielleicht musst du einen Adblocker deaktivieren und ähnliche Störfaktoren ausschalten.

    Nebenbei bemerkt: Netcup konfiguriert das so normal, dass man das eigentlich blind einstellen kann. Du brauchst nur den Namen des Servers. Alles andere kannst du auf Anhieb richtig raten:

    SMTP über TLS auf Port 465 ist immer ein guter Start und führt hier direkt zum Erfolg. Port 25 verwenden Mailserver untereinander, also für unauthentifiziertes SMTP. Da kannst du Relaying komplett vergessen und z.B. mit einer dynamischen IP-Adresse gar nicht erst ankommen. Port 2525 ist kein Standard und war auch nie einer. Den gibt es, weil Port 25 als Port unter 1024 auf Unix-Systemen nur mit Root-Rechten zu öffnen ist, und weil manche ISPs Port 25 ausgehend sperren. M.a.W., das ist Gebastel. Bleibt noch Port 587, SMTP-Submission. Das ist ein Klartextprotokoll, das per STARTTLS auf Verschlüsselung umgestellt werden kann. Das war mal die Empfehlung, aber inzwischen ist das nur noch unnötig wackelig. Eine kleine Fehlkonfiguration, eine übersehene Maßnahme gegen Downgrade-Angriffe, und schon gehen das Passwort und die Mail unverschlüsselt durch die Leitung. Also nimmt man vernünftigerweise immer SMTP-over-TLS auf Port 465, und wirklich nur, wenn das nicht geht, etwas anderes.

    Da der Localpart auf einem Server, der mehrere Maildomains bedient, nicht eindeutig ist, ist der Benutzername praktisch immer die Email-Adresse. Eine Alternative wären generierte Benutzernamen, aber wozu der Aufwand? Auch die Usernamen für den Mailserver sind bei Netcup, wie man es erwartet, nämlich die Email-Adressen.

    IMAP und POP3 über TLS sind auch da, wo man sie erwartet. Username und Passwort wie bei SMTP.

    Also: Was du wirklich brauchst sind die Emailadresse, das Passwort und der Servername (ggf für Inbound und Outbound verschieden, aber hier nicht). Der Rest ist eh klar.

  • Was muss ich beachten, wenn ich einen Server für ein Gewerbe hoste ?

    Zitat von einfachpeer

    Es soll ein Mailcow Webserver mit einer Website für Terminbuchungen sein.

    Du brauchst also Emailadressen und eine Website mit einem Script. Das ist kein Grund für einen Server. Mailserver sind notorisch schwierig und arbeitsintensiv, wenn sie zuverlässig Email zustellen sollen. Das will man nur dann selbst machen, wenn man eine konkrete und unabdingbare Anforderung hat, die nicht zu erfüllen ist, wenn man mit üblichen Mailaccounts arbeitet, wie sie alle Webhoster und eine ganze Menge spezielle Mailprovider anbieten. Im Normalfall passt man lieber die Anforderungen etwas an die vorhandenen Dienste an, als den großen Schritt zu einem eigenen Mailserver zu machen. Mailserver "lohnen" sich erst ab einer gewissen Größe und sie funktionieren auch erst dann richtig, weil man mit zu wenig Mailverkehr nirgendwo ernst genommen wird.

  • Frage zum Datenschutz

    Zitat von ThomasG.

    Nach meinem Verständniss, ist die einzige Instanz, die Daten verarbeitet netcup selbst. Habe ich da etwas übersehen? Oder reicht es in diesem Fall

    In den Webhostingpaketen ist das Logging nicht abstellbar. Mein persönliches, nicht von Rechtslehre gestörtes Verständnis ist: In diesem Fall muss deine Datenschutzerklärung nur darüber aufklären, wer was wie lange speichert und verarbeitet und zu welchem Zweck das geschieht, und da du eine Datenschutzerklärung brauchst, muss die auch gewisse Pflichtangaben enthalten.

    Das ist viel Text, den niemand außer ein paar Bots liest, die nach Abmahngelegenheiten suchen. Die DSGVO ist ein Versuch, Datenschutz lächerlich zu machen und darüber letztendlich abzuschaffen, was man auch daran sieht, dass ohne den kleinsten Versuch, echte Missstände abzustellen, weiter überall munter alles gespeichert und verarbeitet wird und allen ins Gesicht gelogen wird, dass das erforderlich ist oder ein berechtigtes Interesse besteht.

    In dem Sinne: Danke, dass du die Daten gar nicht erst erhebst, und die Bitte an Netcup, eine Möglichkeit zu schaffen, das Logging komplett abzuschalten.

  • Probleme GMX und Web.de

    Da die Policy DKIM für die From-Domain verlangt und du als Weiterleiter mangels privatem Schlüssel diese Signatur nicht erzeugen kannst, bliebe dir nur, den Absender auf dich zu ändern und die Mail mit deinem Key zu signieren, also quasi eine neue Email mit dem fremden Inhalt in deinem Namen zu verschicken. Dann besteht natürlich das Risiko, dass du für fragwürdige dir zugesandte Emails zur Verantwortung gezogen wirst, weil du als Absender darin stehst. Das passiert meines Wissens aber auch ohne DKIM, wenn du viel Müll forwardest.

    Nebenbemerkung: Ich bin immer wieder erschüttert, wie leicht vollständig korrekte echte Emails abgelehnt werden, wenn man nicht durch alle Antispam-Reifen springt, die irgendein Admin irgendwo von einer Empfehlung zu einer Pflicht befördert.

  • Domain umleiten

    Das gilt natürlich nur für den Webmail Service von Netcup. Deinen eigenen Webmailer kannst du aufsetzen, wie du möchtest. Das geht auch ohne die spezielle Funktion der mail Subdomain. So kannst du die anders umleiten und musst sie dann aber auch aus dem MX-Eintrag für deine Domain rausnehmen. Einfacher wäre aber, eine andere Subdomain zu verwenden. Wie wäre es mit email.domain.example, oder post.domain.example?

    Edit: wieder zu langsam

  • Sieve-Filter, alle eingehenden Mails (außer die von 2 Adressen) als "unzustellbar" beantworten - geht das?

    Spammer verwenden bevorzugt Adressen, die nicht durch diese Maßnahmen geschützt sind. Die sollte man trotzdem nicht so belästigen. Mails, auch Fehlermails und andere automatische Antworten, verschickt man nur an Adressen, die man kennt oder verifiziert hat. Wenn man eine Email ablehnen will, dann tut man das, bevor man sie angenommen hat. Nach dem SMTP Dialog ist sie das Problem des Empfängers.

    Wenn sich das so liest, als wäre das eine Frage von Nettigkeit: Nein, dabei geht es darum, ob man über Netcup auch morgen noch Email verschicken kann, ohne in Spamfiltern zu landen. Backscatter landet auch in Spamfallen.

  • Sieve-Filter, alle eingehenden Mails (außer die von 2 Adressen) als "unzustellbar" beantworten - geht das?

    Das kannst du, solltest du aber nicht. Das Problem, das dadurch entsteht, nennt sich "Backscatter". Zu dem Zeitpunkt der Ablehnung hat der Mailserver die Mail schon angenommen, kann sie also nicht mehr so ablehnen, dass er keine Antwort schicken muss. Wenn Mails direkt bei der Einlieferung abgelehnt werden, schickt der einliefernde Mailserver die Fehlermeldung zum Absender. Im Gegensatz zu dem muss der Netcup-Mailserver auf bestimmte Informationen in der Mail vertrauen, die gefälscht sein können, und dann geht die Fehlermeldung möglicherweise (Normalfall bei Spam) an unbeteiligte fremde Adressen. Das gleiche gilt für Abwesenheitsnachrichten und andere Autoresponder: sieht wie eine gute Idee aus, ist es aber nicht.

    Netcup hat leider keine White-/Blacklist, die vor der Annahme der Email greift. Dir bleibt also nur das Wegsortieren oder Löschen, aber davon bekommt der Absender nichts mit. Vielleicht reicht das ja.