In den letzten Tagen ist mir bei der Bereitstellung von Docker-Diensten auf meinem Server etwas ziemlich Merkwürdiges aufgefallen. Ursprünglich wollte ich lediglich über den Kurznamen crowdsec auf meinen Container-Dienst zugreifen. Nach einigem Hin und Her stellte ich jedoch fest, dass der Traffic den Container gar nicht erst erreichte, sondern stattdessen an die IP-Adresse 46.38.243.234 weitergeleitet wurde.
Ich habe sofort die resolv.conf des Servers überprüft und die Ursache gefunden: Die von Netcup via DHCP konfigurierte Search-Domain search ultrasrv.de. Da mein interner Dienst zufällig ebenfalls crowdsec heißt, versuchte der Linux-Resolver bei der Verarbeitung dieses Kurznamens vorrangig die Suchdomäne anzuhängen. Das Ergebnis: Meine lokale Anfrage wurde automatisch zu crowdsec.ultrasrv.de vervollständigt.
Wie es der Zufall will, lautet der Hostname des Servers unter der IP 46.38.243.234 tatsächlich ebenfalls crowdsec, weshalb der Datenverkehr direkt auf diesem mir unbekannten Server landete. Anfangs vermutete ich einen offiziellen CrowdSec-Dienst von Netcup, aber die IP ist nicht pingbar und auf Port 8080 wird kein Dienst angeboten.
Ich bin mir unsicher, ob hier lediglich jemand anderes seinem Server denselben Namen gegeben hat oder ob es sich um einen bewussten Streich oder gar einen "Honeypot" bzw. "Honeybadger" handelt. Fest steht jedoch: Es hat meine interne Docker-Namensauflösung effektiv abgefangen. Ich denke, es wäre für alle sinnvoll, die eigenen CrowdSec-Setups (oder andere Dienste mit kurzen Namen) auf ähnliche Probleme zu überprüfen.
