@H6G
Wahrscheinlich reden wir aneinander vorbei. Du benutzt Google Workspace, hast dort deine TLD angebunden und signierst bei jedem Versand die Mails mit einer gültigen DKIM-Signatur über die Google-Server.
Was du nicht kannst, ist Nachrichten mit der Adresse info@netcup.de über Google Workspace zu versenden. Selbst wenn das aus irgendwelchen Gründen funktionieren sollte, hättest du trotzdem keine gültige DKIM-Signatur. 😀
Spammer verwenden bevorzugt Adressen, die nicht durch diese Maßnahmen geschützt sind.
Sofern der Empfangende Mailserver SPF und DKIM Prüfungen umsetzt, werden solche Mails entweder auf Systemebene verworfen oder die Verarbeitung bis zur Klärung gestoppt. Mein Mailserver schiebt beispielsweise Nachrichten ohne SPF und DKIM in Quarantäne. Da antwortet auch kein Autoresponder. 😀
Ich kann für die Abenserdomain example.net eine gültige DKIM Signatur mit der Signaturdomain gappsmtp.com aufbringen.
Ehrlich gesagt, verstehe ich nicht, was du damit meinst. Der von dir beschriebene Weg wird aber scheitern, solange du keinen Zugriff auf die DNS-Verwaltung der Domain und/oder den Key-Server hast.
Zitat von H6GEdit: steht sogar im RFC drinne:
Zitat
DKIM separates the question of the identity
of the Signer of the message from the purported author of the
message.
Auch hier verstehe ich deinen Einwand nicht. Das Zitat hast du außerdem aus seinem Kontext getrennt.
DomainKeys Identified Mail (DKIM) permits a person, role, or organization that owns the signing domain to claim some responsibility for a message by associating the domain with the message. This can be an author's organization, an operational relay, or one of their agents. DKIM separates the question of the identity of the Signer of the message from the purported author of the message. Assertion of responsibility is validated through a cryptographic signature and by querying the Signer's domain directly to retrieve the appropriate public key. Message transit from author to recipient is through relays that typically make no substantive change to the message content and thus preserve the DKIM signature.
https://www.omgwiki.org/dido/doku.php?id=dido:public:ra:xapend:xapend.b_stds:tech:ietf:6376
DKIM beweist erstmal nichts, ohne den entsprechenden DMARC Eintrag, und schützt damit nicht vor gefälschtem Backscatter.
Selbstverständlich validiert DKIM die Absenderdomäne über ein Signaturverfahren. Stimmt die Signatur nicht, sortiert mein Mailserver die Nachricht aus. Mit DMARC kann der Domaininhaber mitteilen, was mit der Nachricht im Fall eines DKIM Fehlschlages passieren soll und dass er über wirksame und fehlgeschlagene Signaturprüfungen informiert werden möchte. Diesen Wünschen kann sich der Admin des empfangenden Mailservers annehmen oder auch nicht.
Dem Problem mit den Backscattern kann (wird) doch mit SPF und DKIM Validierung ein Riegel vorgeschoben? Ein gefälschter Absender wird frühzeitig wegsortiert, noch bevor der Mailserver die Nachricht dem Benutzer zuzustellen versucht oder per Autoresponder geantwortet wird. 🙂
Krass, dass die Verzinsung derart hoch ist. Danke für die Aufklärung und den Link zu dem Zinsrechner!
Mir sind die unter „IV. Zinsen“ genannten Summen nicht klar. Ausgehend von den Forderungen ergibt sich bei einer Verzinsung von 5 % für den Zeitraum von 376 Tagen eine deutlich geringere Summe.
Kann es sein, dass du noch Win7 benutzt? Die abgerundeten Ecken und der Aero Glass Style deuten zumindest darauf hin. Falls ja, dann ist das definitiv ein Problem.
Eine andere Möglichkeit wäre, die Migration der Postfächer mit dem kostenlosen MailStore Home durchzuführen. Das Programm holt zuverlässig alle Mails aus sämtlichen Mailservern und schiebt diese auf den gewünschten Zielserver. Nach Abschluss gibt es Protokolle, anhand deren man überprüfen kann, dass auch wirklich alles übertragen wurde.
Zitat von dancgnJain, also Wildcart-Zertifikate gehen definitiv. Irgendwie.
Wildcard Zertifikate funktionieren zwar, werden aber nicht ohne weiteres automatisch verlängert. Stichwort DNS-Challenge. Keine Ahnung, ob man das Verfahren im Nginx Proxy Manager konfigurieren kann, Netcup müsste das aber wegen DNS-API durchaus unterstützen. Check das mal in deiner Konfiguration.
Zitat von dancgnAlso beim docker-Container in der config.json einen Eintrag für jede sub?
Ja, genau so.
Hi,
let's encrypt Zertifikate musst du für jede Domain und Subdomain beantragen. Bei Verwendung von DynDNS musst du die Aktualisierung der IP-Adresse ebenfalls für jede Domain und Subdomain einstellen. Der von dir verwendete ddns-updater unterstützt offenbar Netcup, also sollte das eigentlich möglich sein.
Muss ich z.B. diese Pfade hier unbedingt so ablegen:
- ./config:/config:rw
- /lib/modules:/lib/modules:rw
Oder kann ich das nicht auch mit in die "Struktur" packen?
Wenn, wie in deinem Beispiel, in dem Docker-Container ein Ordner /config und /lib/modules existiert, würde ich das der Übersicht wegen auch so mit in die dauerhaften Volumes mit übernehmen.
Um bei dem Beispiel mit dem Verzeichnis /docker für Ablage der Volumes zu bleiben:
- /docker/meinedockeranwendung/config:/config:rw
- /docker/meinedockeranwendung/lib/modules:/lib/modules:rwIn dem Fall sind die Ordner /config und /lib/modules im Pfad /docker/meinedockeranwendung/ zu finden.
Du kannst das ganze aber auch nach deinen Vorstellungen abändern:
- /docker/meinedockeranwendung/ordner1:/config:rw
- /docker/meinedockeranwendung/ordner2:/lib/modules:rwIn dem Beispiel werden die Daten von /config in /ordner1 und /lib/modules in /ordner2 gespeichert, wobei /ordner1 und /ordner2 wiederum im Pfad /docker/meinedockeranwendung/ zu finden sind.
Damit speicherst du die Dateien in zwei verschiedenen Ordnern (Adguard1 / Adguard2). Das kann man schon so machen, ist aber doch eher unübersichtlich. Aus meiner Sicht ist es besser, wenn alles in einem Ordner mit dem Namen Adguard liegen würde.
- Adguard/conf:/opt/adguardhome/conf:rw
- Adguard/work:/opt/adguardhome/work:rwWenn du mehrere Container betreibst und diese Struktur weiterführen möchtest, würde ich das Ganze noch in einem übergeordneten Verzeichnis ablegen. Das übergeordnete Verzeichnis könnte "docker" heißen.
- /docker/Adguard/conf:/opt/adguardhome/conf:rw
- /docker/Adguard/work:/opt/adguardhome/work:rwBei mehreren Containern hätte man dann eine bessere Übersicht über die gespeicherten Daten.
/docker
/Adguard
/conf
/work
/docker
/unterordner1
/unterordner2
/docker1
/docker2Für die persistenten Daten meiner Docker-Container habe ich eine Ordnerstruktur /data/docker/docker_volumes/ im root angelegt. Dort speichere ich je nach Container in weitere Unterverzeichnisse. Für AdGuard ist das bei mir /data/docker/docker_volumes/adguard/.
In der Compose habe ich für Adguard folgende Pfade angegeben:
- /data/docker/docker_volumes/adguard/work:/opt/adguardhome/work
- /data/docker/docker_volumes/adguard/conf:/opt/adguardhome/conf
Für ein Backup (ich benutze dafür restic) starte ich die Container einmal neu, damit auch die aktuellsten Daten in die persistenten Volumes geschrieben werden.
docker stop $(docker ps -q)
docker start $(docker ps -a -q)
Was mir aber im Geo-Blocking Zusammenhang einfällt: wie läuft es denn dann mit Systemupdates oder speziellen Dingen wie letsencrypt.
Mit geoip-shell kannst du das Geo-Blocking umsetzen. Du kannst das Script auch ganz einfach nur für Port 22 konfigurieren, damit andere Dienste wie gewohnt weiter funktionieren. Läuft hier, neben fail2ban, auf mittlerweile 7 Servern.
https://github.com/friendly-bits/geoip-shell
Noch kurz zu fail2ban: In der Standardeinstellung wird eine erkannte IP nur für 10 Minuten blockiert. Ich stelle immer eine Bannzeit von 24 Stunden bei 3 Fehlversuchen ein.
Bud Krass, danke für die Rückmeldung. Dann werde ich das mal im Hinterkopf behalten. 👍
Wenn man den SSH Port entsprechend ändert, haben die Logs auch nichts zu tun.
Ernst gemeinte Frage: bringt das denn auch dauerhaft etwas? Ich meine, in Zeiten von Censys und Shodan ist das eigentlich nur eine Frage der Zeit, bis du wieder in entsprechenden Listen auftauchst? Zumindest die Bots bedienen sich solcher Tools und haben nach meiner Beobachtung wahrscheinlich auch interne target lists. Ich habe hier durch das Forum vor kurzem ein Script zum Geoblocking gefunden, das ist bisher das Einzige, was hier sehr zuverlässig hilft. Whitelist auf DE für SSH und die Zugriffe sind von täglich 400–800 auf maximal 3 zurückgegangen. Bisher hatte ich auch Crowdsec und diverse IP-Listen ausprobiert, die ich über ipset eingebunden hatte.
Sehe ich genauso wie NaN, mach dich damit nicht verrückt. Was du bereits umgesetzt hast, ist gut! Wenn du dann noch dein System aktuell hältst, bist du auf der sicheren Seite. 🙂
Wie kommst du auf Bladeserver?
Hast recht, das Gerät auf Ebay ist kein Bladeserver. Sah für mich auf den ersten Blick so aus. 🙂
Rein schon von der Lautstärke ist ein Bladeserver nichts für zu Hause. Wenn du dafür einen geeigneten Raum im Keller hast, ist das aber sicher machbar. Mir persönlich wäre der Stromverbrauch für so ein Gerät zu hoch.
