Beiträge von DaSch22

  • Das längste Thema

    Zitat von geekmonkey

    Aktuell nutzen wir die Steckdose im Keller um den Wagen bequem zu laden, … bleibt die Tür natürlich auf … wer ne Idee wie man die Tür dennoch sichern könnte? Wollte jetzt kein Vorhängeschloss an ne Brandschutztür schrauben - zumal nicht unser Eigentum.

    Andere Option wäre durch die Wand nach außen Bohren und quasi Strom durchschleifen nach Außen und von außen neben die Tür ne Steckdose setzen… müsste ich aber auch Vermieter oder Hausverwaltung fragen …

    Würde am liebsten die Tür irgendwie verriegeln und nen Spalt offen lassen - wäre so am einfachsten - habe nur keine Idee 😅

    Wallboxen kommen noch - aber erst irgendwann Ende des Jahres 😅

    Meiner Meinung nach würde ich das vorerst lassen.

    So wie Du geschrieben hast, gibt es momentan keinen Weg ohne diverse Vorschriften zu verletzen.

    Ich würde mir diese Fragen stellen:

    - Brandschutztür offen, durch Kabel blockiert. Wozu sind Brandschutztüren nochmal gut?

    - Ist das Laden eines "Elektroauto" aktuell überhaupt in der Gebäudeversicherung abgedeckt?

    - Durch eine Brandschutzwand bohren, vielleicht noch ohne anschließende fachgerechte Versiegelung.

    Aber hey. Falls die Hütte abfackelt, ist es ja anderer Leute Eigentum/Geld, welches in Rauch aufgeht.

  • Das längste Thema

    Zitat von Bodensee

    In dem Bereich habe ich auch einen Server und mich schon damals direkt nach dem Kauf über die Listung in der PBL gewundert... War bei meinem Anwendungsfall aber nicht so sehr von Bedeutung, dass ich mich direkt darum gekümmert hätte - jetzt, wo das Thema jedoch wieder aufkommt, würde ich mich da mal anschließen. Danke Virinum!

    Was ich damals auf die Schnelle rausfinden konnte:

    Für mich wie erwähnt kein Must-have, doch andere User würden sich sicher sehr freuen, wenn netcup das für uns machen würde.

    Korrigiert mich bitte, falls ich irgendwas falsch verstanden habe - vielleicht gibt es tatsächlich auch Gründe gegen ein Delisting, die ich übersehen habe...

    Ohne Delistung bekommst Du ganz schnell eine Rückmeldung deines Mailservers, das er Mails nicht versenden kann.

    Ich habe das Delisting der PBL für meine IP Adresse gemacht und danach noch keine Probleme mit Versand feststellen können. Mal schauen was nach einem Jahr passiert. Ob die den Mailservice auf meinem Server checken, habe ich nicht sehen können. Habe meine hostmaster E-Mail Adresse angeben, die E-Mail bestätigt und gut war es. Gehe nicht davon aus, das es ein Problem gewesen wäre, wenn die angegebene E-Mail nicht auf meinem Mailserver gehostet gewesen wäre.

    Code
    NOTE: Exclusions are only valid for 1 year. If your IP gets listed on another Spamhaus Blocklist, it will automatically be relisted on the PBL.

Removal procedure
If you are not using normal email software but instead are running a mail server and you are the owner of a Static IP address in the range xx.xx.xx.xx/xx and you have a legitimate reason for operating a mail server on this IP, you can automatically remove (suppress) your static IP address from the PBL database.

    Ja, generell wäre es schöner, wenn das Subnetz nicht in der Liste wäre.

  • Home-VPN

    Zitat von H6G

    ...

    Was ich deinem Beitrag entnehme: wir kaufen uns jetzt alle ein QNAP oder Synology NAS und bauen uns den Scheiß nicht mehr selbst, um ein bisschen was zu lernen?

    P.S.: für die Virtualisierungsgeschichten auf meiner Workstation nutze ich Virt-Manager als GUI. Bei weitem nicht perfekt und ab und an muss man in die libvirt-XML rein.

    Wer sich die Hardware weiter zusammenbasteln möchte, kann das gern machen, aber ich bastel lieber mit meiner eigentlichen Testumgebung rum, anstatt die Zeit für den "Träger" meiner Testumgebung zu verbrauchen.

    Das Gefrikkel mit Einzelkomponenten für ein NAS habe ich mir schon lange von Hals geschafft. Habe seit 15 Jahren nur noch QNAP Hardware mit Intel CPU. Erst 4-Slot (RAID5), jetzt nur noch 2-Slot (RAID1). Synology ist von der Hardware her auch nicht schlecht. Eben alles recht kompakt.

    Ja deren ganzer GUI Kram incl. APPS wird immer nerviger, aber ich stelle das Ding nicht ins Internet und außer Fileshare und Virtualisierung (Docker) macht es bei mir nichts. Rest des Zeugs ist deaktiviert und meine Firewall droppt Pakete vom NAS die mein Netz verlassen wollen.

    Somit habe ich ein halbwegs performantes NAS mit 8GB RAM, 5-7 Docker Clients am laufen, mit 2x 1TB HDDs bei 20-30 Watt.

    Das NAS läuft meist 5-6 Jahre, dann fliegt es raus. Bei der Beschaffung beteiligt sich das F..amt und der Verkauf geht über Kleinanzeigen auch immer schnell. Somit sind die Kosten sehr überschaubar. Würde mal sagen, das NAS kostet mich über die 5 Jahre effektiv vielleicht 200€ (ohne Strom). Ist das teuer?

  • Domaineinträge: Gültigkeit = "no"?

    Zitat von floh79

    Och nö... *facepalm* natürlich geht das nicht mit MX und CNAME gleichzeitig für den selben Host... :wacko:

    CNAME-Record, den ich schlicht vergessen habe, habe ich jetzt entfernt und jetzt funktionierts. Vielen Dank!

    Viele Grüße

    Floh

    Ich sach ja. Immer bis zum Ende lesen. :pinch:

    Oder hatte ich das zu umständlich erklärt?

    Aber wenn es jetzt passt. :)

  • nftables basic config + dropped package logging

    Zitat von frank_m

    Dafür gibts ja ipset. Kann auch mit großen Listen schnell und performant umgehen.

    Die Kombination aus ipset Blocklisten von bekannten Anbietern und dem Verlagern des SSH Ports führt bei mir zu 0, wirklich NULL SSH Login Versuchen. Darüber hinaus ist nur zertifikatsbasierte Anmeldung möglich.

    Blöde Frage.

    Wenn ihr ipset nutzt, dann verwendet ihr aber noch iptables https://www.netfilter.org/projects/ipset/index.html , oder?

    Mit der Verwendung von nftables kann man Listen doch direkt laden/verwenden.

  • Wordpress Seite auf FTP Server kopieren

    Ich würde sagen auf dem neuen Linux Server einlogen und die Daten von der alten Seite downloaden.

    Code
    sftp --help

usage: sftp [-46AaCfNpqrv] [-B buffer_size] [-b batchfile] [-c cipher]
          [-D sftp_server_command] [-F ssh_config] [-i identity_file]
          [-J destination] [-l limit] [-o ssh_option] [-P port]
          [-R num_requests] [-S program] [-s subsystem | sftp_server]
          destination

    Wenn Du WinSCP auf deinem PC nutzt, dann machen die Daten halt einen Umweg. ServerALT -> PC -> ServerNeu.

    Bei der Menge eher nicht sinnvoll.

  • Domaineinträge: Gültigkeit = "no"?

    Zitat von floh79

    Verständnisfrage. Ist das auf das Eintrag für host.****.** bezogen? Ich habe testhalber mit anderen Testdomain die Einstellungen abgebildet, allerdings ist in der MX-Record die URL von der Domain (also nicht Subdomain), und dort ist ein A-Record (also kein CNAME) eingetragen. Selbst dann steht in der MX-Zeile ebenfalls "no" unter Gültigkeit. Oder zählt @ als Alias? :/

    Oder meinst Du eher, daß ich in der MX-Record explizit IP-Adresse statt Hostnamen (der mit A-Record) eintragen soll? Laut definition dürfte das ok sein.

    Code
    The domain name used as the value of a NS resource record, or part of   the value of a MX resource record must not be an alias.  Not only is   the specification clear on this point, but using an alias in either   of these positions neither works as well as might be hoped, nor well   fulfills the ambition that may have led to this approach.  This   domain name must have as its value one or more address records.

    Lese ich so, das in der gesamten "Kette" kein Alias, in dem Fall kein CNAME enthalten sein darf. @ scheint kein Alias, sondern nur Platzhalter zu sein.

    Siehst Du auch hier: https://www.netcup-wiki.de/wiki/Domains_CCP#MX-Records

    So sollte es sein:

    Code
    Richtig:
HOST    Type    Destination
host    A       IPv4
host    AAAA    IPv6
sys     MX      host.example.de

Falsch:
HOST    Type    Destination
host    CNAME   srv.example.de
sys     MX      host.example.de

    Bedeutet natürlich, wenn es schon einen HOST Wert host mit Type CNAME gibt, das dieser entfernt werden muss. Oder du nimmst einen anderen HOST Wert Name für A und AAAA und passt den MX Destination Wert an.

  • Domaineinträge: Gültigkeit = "no"?

    Zitat von floh79
    Code
    Destination für sys MX : host.****.** 
Destination für sys TXT: v=spf1 a mx include:host.****.** include:****.****.** ~all
Destination für sys TXT: v=DMARC1; p=reject; rua=mailto:dmarc-reports@****.**; ruf=mailto:forensic-reports@****.**; pct=100

    Für host.****.** existiert ein gültiger CNAME Eintrag der seit Jahren genutzt wird. Übersehe ich da einen Fehler?

    MX Eintrag:

    Darf nicht auf einen CNAME zeigen, sondern einen A Eintrag. Hier zu lesen:

    https://www.rfc-editor.org/rfc/rfc2181#section-10.3

    Code
    Currently those will be A records, however in the future other record   types giving addressing information may be acceptable.  It can also   have other RRs, but never a CNAME RR.

    DMARC Eintrag:

    Muss einen Wert _dmarc enthalten. Aber ob dies für eine Subdomain geht. So wie ich das lese wäre die Subdomain wohl Rekursiv enthalten.

    https://www.rfc-editor.org/rfc/rfc9091.html#name-example

    Code
    ...The maintainer of a list of such a PSD structure would include entries for both of these subdomains,..

    SPF Eintrag:

    SPF geht für Subdomains, aber vielleicht ist das bei Netcup im DNS nicht mit abgebildet und schlägt deshalb fehl. Habe damit aber noch nicht rumgespielt.

    https://www.rfc-editor.org/rfc/rfc4408#section-3.1

  • Das längste Thema

    Au weia, Herr P im Hause K ist Gestern wohl auf der Tastatur eingeschlafen, oder hat die Dame aus dem A-Amt in Berlin wieder etwas von sich gegeben? =O

    putin-klingelt.png

    Code
    2023-Jan-27
--------------------- iptables firewall Begin ------------------------
Listed by source hosts:
Denied 8038 packets on interface xxx

2023-Jan-26
--------------------- iptables firewall Begin ------------------------
Listed by source hosts:
Denied 2687 packets on interface xxx

    Tags zuvor waren es nur die üblichen Verdächtigen.

    biden-klingelt.png

    Mein armer Server...

    Der macht doch nur in Mail. Ganz ohne Leitwartensoftware für Isar-2.

  • nftables basic config + dropped package logging

    Zitat von LebakaasSemme

    Meine Frage(n):
    Wie kann ich erkennen, dass die beiden Pakete auch gedropped wurden?

    Kann ich mein nftables Ruleset anpassen, dass nur die gedroppten Pakete geloggt werden und ggf. ein Prefix "NFT Drop-In" (für die Input Chain), "NFT Drop-Out" (für die Output Chain) und "NFT Drop-Fwd" (für die Forward Chain) hinzufügen?

    Kann man dann accepted Pakete auch iwie kennzeichnen?

    Zudem wäre es angenehm, wenn man im nftables Ruleset meine Home-IP anhand des dyndns hostnames auflösen könnte... aber da hab ich noch nichts dazu ergoogeln können. ändert sich zwar selten die IP, aber trotzdem müsste ich mich, aktuell bei Änderung, über das SCP einloggen und via VNC-Konsole die IP im Ruleset ändern.

    Gedroppte Pakete (global) im Syslos loggen, mach ich am Ende der Input chain so:

    Diese im Syslog auftauchenden Einträge kannst Du dann auch mit Fail2ban weiter "verarbeiten".

    DDNS in nftables habe ich mich noch nicht mit befasst, aber accepted Pakete kannst Du über counter listen lassen.

    Beispiel:

    Sieht in nftables dann so aus:

    Code
    # nft list counters
table inet filter {
    counter cnt_ssh_IN {
        packets 8 bytes 424
    }
}

  • Wie benennt ihr eure Server?

    Zitat von H6G

    Zeitersparnis für Client Patch Management und Software Rollouts ausrechnen und in Mannstunden präsentieren.

    Wenn die Software gut ist, hat sie einen Remote Desktop gleich mit dabei. Spart man sich TeamViewer Lizenzen.

    Ich bin zum Glück aus diesen endlos Diskussion raus. Das Leben ist jetzt entspannter.

  • Wie benennt ihr eure Server?

    In der heutigen Zeit mit Virtualisierung sollte die Diensteverteilung auf mehrere Hosts wohl nicht mehr das Problem sein, außer man muss Lizenzen an M.. zahlen.

    Ja, ich kenne aber auch noch die Zeiten, wo alles mögliche auf dem DC lief. Da war jeder Reboot eine Lotterie.

    Zitat von KB19

    Dafür muss man sich aber auch erst einmal auf allen Servern einloggen ?(

    (Wenn man einen bestimmten Dienst sucht.)

    Genau das ist das Problem. Außer man gibt an alle Admins/Dienstleister die root/Admin Accounts raus (ja, netstat geht auch mit normalem User).

    Fand ich immer nicht so toll. Aber wenn der lokale Firmenadmin Freitag Mittag Feierabend machen wollte. Dann hies es nur. Du machst das schon und schönes Wochenende.

    Zitat von H6G

    Hat man im "Mehr" Mann Betrieb nicht eine Server Management Software?, wo dann auch die Patchstände zu erkennen sind?

    Da kommt dann die Antwort. Wie, sowas etwa auch noch kaufen...

  • Wie benennt ihr eure Server?

    Zitat von iKameo

    Ich benenne meine Systeme nach Sternensystemen

    Mag bei Umgebungen im "Ein" Mann Betrieb funktionieren.

    Ich bin immer erfreut beim Kunden auf solche Phantasienamen zu treffen.

    Frage dann immer nach der beglaubigten Übersetzungsliste "Name -> Systemdienste".

    Danach verzögert sich der Arbeitsbeging meist etwas...

    "Sprechende" Bezeichnungen - woraus man auf den darauf laufenden Service schließen kann - sind in Umgebungen mit mehreren Admins und noch Dienstleistern, eigentlich ein Muss.