Beiträge von Zierleiste

Ist das schon ein G12 Rootserver? Dann Firewall prüfen, siehe https://helpcenter.netcup.com/de/wiki/server/firewall

Danke, diese feste Beziehung war mir nicht klar.

daq4th Dass KVM eingesetzt wird, steht ja auf der netcup-Webseite deutlich dabei: https://www.netcup.com/de/server/root-server, mir ging es da mehr um das Detail "QEMU".

Zitat von KB19

Unerwünschte Pakete mit RFC1918-Adressen

Entsprechende Firewall-Regeln evaluiere ich gerade auf unserer Testumgebung und werde sie dann sukzessive auf unsere netcup-Server ausrollen.

Nachtrag: Interessanter Artikel zum Thema "Martians Among Us: Observing Private or Reserved IPs on the Public Internet": https://arxiv.org/html/2501.16805v1

Ich konnte keine offizielle Doku dazu finden, lediglich die Info, dass KVM für Rootserver benutzt wird. QEMU vermute ich, da das Paket qemu-guest-agent installiert wird bzw. im SCP auch ein Hinweis darauf erscheint, wenn der Server nicht läuft. Wenn Du einen Link hast, wo netcup das offiziell dokumentiert hat, dann würde ich mich über das Teilen freuen.

KB19 Da hast Du mir ja schönen "Lesestoff" gegeben!

Gegen das IP-Spoofing sollte es eigentlich schon im Hypervisor entsprechende Maßnahmen geben, siehe beispielsweise:

https://debiandev.de/aktuelles/prox…indern-qemu-kvm und

https://pve.proxmox.com/pve-docs/chapter-pve-firewall.html#pve_firewall_ipfilter_section

Wobei offen ist, ob ein Rootserver bei netcup wirklich auf KVM / QEMU basiert und die o.g. Einstellungen aus dem SCP korrekt angewendet werden.

Wie sich das bei einem vServer verhält, wäre dann eine weitere Frage. Vielleicht könnten die Moderatoren dazu ein Feedback geben.

Unabhängig davon sollte man sich als Betreiber eines Servers natürlich nicht (nur) auf externe Sicherheitsmaßnahmen verlassen, sondern auch eigene Sicherheitsmaßnahmen treffen. IP-Spoofing ist darüber hinaus nicht das einzige Thema, das relevant ist.

Danke, sehr interessant!

Bei VPN sieht die netcup-Firewall ja nur den (meistens UDP)-Traffic mit den Adressen der VPN-Endpunkte, nicht aber den Traffic innerhalb des Tunnels. Was könnte man also bzgl. VPN noch sinnvoll filtern?

P.S.: Den ersten Satz deiner Antwort könntest Du noch etwas „aufräumen“.

In einem anderen Thema zur Konfiguration der Firewall wurde vorgeschlagen, die eigenen IP-Adressen (IPv4/IPv6) des Servers in den Regeln bei den Destination(s) bzw. Source(s) (IPs / Netzwerke) einzutragen.

Ist das nicht überflüssig? Schließlich gilt die Firewall ja explizit für ein bestimmtes Interface bei dem MAC-Adresse und IP-Adressen feststehen. Mal abgesehen von speziellen Konfigurationen, bei denen mehrere IPv4 bzw. IPv6-Adressen auf dem selben Interface liegen (gibt es das bei netcup überhaupt?) scheint mir das im Allgemeinen überspezifiziert zu sein.

In Kap. 4 heißt es "Trifft die oberste Regel zu, werden die darunterliegenden Regeln ignoriert."

Sollte es nicht besser heißen "Trifft eine Regel zu, werden die darunterliegenden Regeln ignoriert."?

"Die oberste" bezeichnet ja eine absolute Position, ich denke aber, dass das hier nicht gemeint ist, sondern "die erste Regel, die zutrifft, wird angewendet und die darunterliegenden Regeln werden ignoriert." (In der GUI im SCP heißt es "Regeln werden von oben nach unten angewendet".)

Es könnte an der Stelle in der Doku außerdem klar gestellt werden, ob und dass dies auch für die impliziten Regeln gilt.

Interessant, da ist Wikipedia dann abweichender Meinung: https://de.wikipedia.org/wiki/Policy

In der Dokumentation zur Firewall sind mir Rechtschreibfehler aufgefallen. Gibt es einen direkten Weg, das zu kommunizieren?

Am schwerwiegensten ist m. E. der falsche Plural des Wortes "Policy": Korrekt wäre "Policies" - das zieht sich quer durch die Doku bis hin zum SCP.

Das bezieht sich auf die Doku mit Stand vom 18.12.2025.

Im Whitepaper zu WireGuard, Kap. 2.1 (siehe https://www.wireguard.com/papers/wireguard.pdf) findet sich folgender Satz:

Note that the listen port of peers and the source port of packets sent are always the same, adding much simplicity, while also ensuring reliable traversal behind NAT.

Wird damit nicht klar festgelegt, dass WireGuard sich hier anders verhält?

Wenn‘s etwas aus der EU (Frankreich) sein darf, kann ich https://updown.io empfehlen.

Ähnlicher Thread: https://forum.netcup.de/administration…iert-ihn-nicht/

Ich würde die 2FA im CCP deaktivieren und dann neu einrichten. Als App nehme ich nur noch die Standard App "Passwörter" von Apple, die unterstützt mit "Codes" die übliche TOTP-Authentifizierung und man braucht keine zusätzliche App mehr.

Die Option beginnt mit zwei Minuszeichen, kannst Du mal deinen vollständigen Aufruf zeigen? Siehe auch hier https://linux.die.net/man/1/rsync

Vielleicht mit der Option —rsync-path=/pfad-to-rsync.

Danke - beim Suchen nach "Mitbewerber" oder "Konkurrenz" gab es keine Treffer, aber jetzt habe ich die Stelle gefunden: nicht erlaubt ... Andere (Web) Hosting-Anbieter namentlich nennen. So bleibt es wenigstens unterhaltsam.

OT: Gibt's hier im Forum eigentlich eine Regelung, dass man Mitbewerber nicht beim Namen nennen darf? Diese Rebus-artigen Umschreibungen sind ja manchmal nicht gerade naheliegend. /OT

Ging es bei der Frage von hoedlmoser nicht um UDP (ss ... -u statt -t)?

Vielleicht hilft Dir diese Idee: https://forum.netcup.de/netcup-anwendu…ain/#post254722