Beiträge von Chris M.

Zitat von KB19

Ich werfe das einmal unkommentiert hier rein: OpenCloud - Name conflict

Wirft ein anderes Licht auf die Gepflogenheiten von Firmen.

Ich hab das Zeug für die Familie und Freunde im Einsatz sind knapp 40 User Privat (inkl. turn und dem Backend) habe aber bereits die Tage angefangen rocketchat inkl turn und jitsi in betrieb zu nehmen (und das funzt echt gut; keine anrufe mehr wo nach 1xmal klingeln nix mehr geht).

Für die Files und Backups muss ich mir noch was überlegen, maybe seafile oder was anderes keine ahnung.

ich finds spitze (obwohl Elke noch keine Antwort geliefert hat) das ihr euch schon den Kopf zerbrecht wo das Problem liegen kann...

Ist ein dickes + für die Community

Elke Grutkamp hier kriegst du hilfe, wenn nicht melde dich 🙂

Zitat von engine

Was ich sagen wollte ist, dass man zwar eine Mindestverfügbarkeit angeben kann, die Frage aber ist, was passiert wenn diese nicht eingehalten wird. Bei Azure oder so kriegst du halt Credits, nur bringen die halt auch nichts, wenn z.b die Gutschrift Hausnummer 100 Euro ausmacht, weil der Service eine Stunde stand, wenn deswegen aber z.B etwas nicht produziert werden konnte, was Hausnummer 1000 Euro wert ist in der Zeit.

SLAs sind hat immer so eine Geschichte im speziellen mit den (großen) Providern wie MS, Google, AWS etc.

Wenn du mal gefragt wirst was überhaupt dein Business Case ist weißt du was ich meine

Klar können 5 Minuten off ein Problem darstellen (kommt auf die Redundanz an)

Um meinen Senf an den Threadersteller dazuzugeben, an Anexia wenden.

ich betreibe auch eigene dns server,ich lasse es drauf ankommen denn > ich wünsche mir eine erklärung

Ganz ehrlich eine private person war noch nie (kritis) oder ähnliches.

Lasst uns das vorher klären bitte, werde dazu jemand kundigen konsuliteren.

So wie das da steht is es ein disaster für alle die private DNS Server betreiben...

Mit nem RS/VPS in MNZ warum nicht? (ist ja dein VPN Service)

In die Runde:

Wie würden das grosse Firmen/Konzerne regeln? (da werden Feeds, Logs etc Stichwort SIEM aggregiert und blocklists genauso eingesetzt).

Was ich damit sagen will, jeder ist für den Schutz seiner Infrastruktur verantwortlich und damit ist es auch gesagt.

hi,

Lets ask a bit different.

How can you authenticate yourself?

BR

Chris

du kannst domains (ja auch mit glue etc) nur dann zuverlässig transferieren ohne dnssec.

Die dnssec chain spielt da dann eine grosse rolle.

BG

Chris

Ich denke da ist jeder selber dafür zuständig, wenn du den Server überträgst sollte der leer sein.

Man betreibt Ressourcen im inet das sollte nicht vergessen werden...

gute idee, und kann mir bitte jemand ein /22 auf meinen vps500 routen.

Ich würde für alle 3 DNS Server die IPs (Glue) eintragen und KEINE DNSSEC Einträge bis die Delegation durch ist.

Hatte es auch schon das NS Delegation einfach hing und nix ging bis die IPs dabei eingetragen waren (der Müll ist das nun bei Netcup die Einträge in einer Queue hängen könnten wenn da kein response zurückkommt, also vielleicht Support benötigt)

Auch wenn du für den ns1 und ns3 keine glue Records brauchst und man denkt es sei alles standardisiert, ich hab lernen müssen das dem nicht immer so ist.

Zitat von MyMattes

So wie immer - für irgendwas müssen Rechtsanwälte ja gut sein. Aber ernsthaft: Schadensersatzansprüche sind in Prozessen oder aussergerichtlich immer Ermessenssache, im Zweifelsfall unter Einschaltung von Gutachtern. Im ursprünglichen Posting ging es um den Betrieb eines Servers ohne Firewall ... hier dürfte ziemlich schnell grobe Fahrlässigkeit unterstellt werden.

Bleibt die Frage, wie hoch das Risiko ist, dass jemand im Falle eines Hackerangriffs den (fahrlässigen) Betreiber eines dafür genutzten Bots o. ä. anklagt. Meiner Ansicht nach eher gering, aber es sollte schon im Interesse der Allgemeinheit sein, Server "state-of-the-art" abzusichern: Letztlich schaden Malware-Attacken und Spams allen Empfängern - und wenn sie nur Zeit kosten.

Sicheren Systembetrieb im offenen Netz zu üben, ist einfach eine dumme Idee.

Ich habe in nun bald 27 jahren RZ Erfahrung (auch als Security) noch nie erlebt das eine Privatperson zur Rechenschaft gezogen worden wäre.

Viel eher stellt sich die Frage warum die eigenen Maßnahmen "den Fall" nicht mitigieren konnten.

Wenn also hier jemand aufn Deckel kriegt sind es die Profis und niemand anderer.

Ganz umsonst sind halt Feed A/B und die Gesamtkapazität per Rack nicht.

Wenn du einen (oder beide) der Feeds (auch wenn wenig) überstrapazierst wirst du halt keine Redundanz mehr haben.

Passiert öfter als man denkt.

Servus,

natürlich kann man bei einem managed Server jederzeit den (Notfall)Support kontaktieren.

Wenn es tatsächlich ein DoS auf den Server ist wird das auch der OnCall Engineer lösen (müssen).

Managed=nicht deine Zuständigkeit was Betrieb des Servers anbelangt AUßER der Content (deine Shops whatever...).

Ne kaputte Shopsoftware draufklatschen und den Support anschreiben wäre halt nicht das gelbe vom Ei.

Sehe ich in dem Fall aber nicht, ganz klar Support.

Stimmt, auf der einen Seite wären es viele Queries, auf der anderen is es aber das die Resolver seitens Spamhaus als public eingestuft werden (was 127.255.255.254 als response aussagt).

Die Seite wurde oben schon gepostet, hier is es beschrieben:

https://www.spamhaus.org/resource-hub/dnsbl/using-our-public-mirrors-check-your-return-codes-now./#127.255.255.252-or-typing-error-in-dnsbl-name

Die Netcup DNS Resolver sind auf deren Liste gelandet als public resolver (muss heute Nacht passiert sein).

Zumindest 46.38.225.230 und 46.38.252.230

DNS response ist 127.255.255.254 aka du nicht

Cloudflare, Google funktionieren genauso wenig, kann man sich also sparen.

Zitat von Skulduggery

Nur mal so aus fachlicher Sicht, du weißt was du da planst?

Ich betreibe zwar bei mir intern einen redundanten PowerDNS Auth, PowerDNS Rec, dnsdist, PDNS-Admin Stack, aber ich weiß auch das das Zeug niemals die Welt sehen sollte. Nicht weil es nicht toll funktioniert sondern, weil DNS einfach so unglaublich komplex ist, und ich jetzt mal mutmaße das du genauso wenig Operational Knowledge im public Betrieb zu sowas hast wie ich. Ausser du beabsichtigst das nur Intern zu verwenden, dann kannst du das eigentlich auch auf bestehende Server einfach drauf werfen und gut ist. PowerDNS Auth reicht für sowas z.B. vollkommen aus und braucht keine Ressourcen da ist sogar dein piko Server schon absolut overkill.

Mein Stack ist ein alpine linux virt mit docker compose und braucht ohne den PDNS-Admin vielleicht <256Mb Arbeitsspeicher.

So wie ich es verstehe möchte sich Nighlander seine eigenen public (hoffentlich "nur" authoritative) DNS aufsetzen.

Was man natürlich beachten sollte ist, dass man relativ schnell bei einer amplification attack dabei sein kann oder selbst Ziel (blackholed wird und damit keine neuen Freunde gefunden hat).

Für zumindest bind gibt es ein meiner Meinung nach gutes best practice sheet als Anfang https://kb.isc.org/docs/bind-best-practices-authoritative

(Natürlich sollte man sich vorher mit DNS beschäftigen, weiß aber keiner ob nicht doch Erfahrung da ist :))

Zum Teil is es auch gar kein sammeln sondern ein Verteilen der Services.

Halte ich auch zu nem großen Teil so (auf einer Kiste z.B Webservices, DNS, NFS etc. zu haben schmeckt halt nicht...)