Beiträge von HBSO GmbH

Zitat von Hille

Normalerweise müsste der Server nach einem Kernel Update neu gestartet werden. Allerdings bin ich mir nicht sicher, ob das die Uptime beeinflusst

So sehe ich das auch. Soweit ich das noch im Kopf habe, kann man Dienste, Module, Schnittstellen, etc. im laufenden Betrieb neu starten (was die Uptime nicht beeinflusst). Aber ein richtiges Kernel-Update erfordert einen Neustart. Soweit mein (alter) Wissensstand.

Ich habe einfach mal ne Mail an den Service geschickt. Die können mir bestimmt sagen, wie das alles funktioniert

Die Bewertungen sagen ja schon einiges über das Modul aus

Aber als "Managed Server Besitzer" bin ich KEIN ADMIN des Servers - ich sehe also nicht, ob dieses Modul installiert ist.

Und ich selbst habe bei diesem Server nichts dazugebucht.

Ich kann also gerade mal Plesk User anlegen und das wars.

Evtl. hat netcup KernelCare installiert und verlässt sich da voll drauf, aber - wie gesagt - kann ich das nicht sagen.

Die aktuell laufende Kernel-Version spricht aber nicht unbedingt für Updates.

Hi

nur eine Frage, ob das "schlimm" ist.

Unser managed private Server ist schon seit über 700 Tagen "up" - Soll das so sein?
Dachte immer, dass bei zB Sicherheitsupdates auch ein Linux neu gestartet werden muss?

Und die Meldung "Neue KVM Version verfügbar! Bitte den Server aus- und wieder einschalten um von den neusten Verbesserungen zu profitieren." steht auch schon seit locker 6 Monaten im Servercontrolpanel.

Ich hatte zwar schon (im Rahmen eines Tickets) nach einem Neustart gefragt - aber das wurde einfach ignoriert.

Vielen Dank

Damit weiß ich, was Schuld ist

Habe das ja schon durch Löschen von 80% der Konten aus Thunderbird erledigt.

Ticket kann geschlossen werden, wobei es mir immer noch schleierhaft ist.

3 Accounts haben durch eine fehlerhafte Anmeldung die "recidive" Sperre ausgelöst - ok

Thunderbird stoppt aber den Mail-Abruf bei einer Fehlermeldung vom Server und fragt nochmal nach dem Passwort --> ist nicht passiert

Thunderbird hatte keinen Anmeldefehler im Log stehen

Weder auf dem Server noch in Thunderbird wurden irgendwelche Passwörter in den letzten (min.) 180 Tagen geändert

Ich werde also sukzessive die Accounts wieder dazufügen und dann mal sehen

Was wir wissen: Ein abgelaufenes Zertifikat löst keinen Fehler aus und stellt man eine Domain auf "Gesperrt" in Plesk, dann wird ein LE-Zertifikat nicht mehr erneuert und man kann in Plesk auch kein LE-Zertifikat erstellen.

Ich erwarte vom Service nicht (mehr) viel

Und zu LE muss ich gestehen, dass ich die Zertifikate mal vor 2 Jahren oder so aktiviert habe und damals (denke ich) über das WebInterface von Plesk.

Dann wird ja verlangt, dass Du irgendwo irgendwie n ACME hinterlegst und alles ist gut

Aber dieses "LetsEncrypt" Symbol in Plesk ist nirgends mehr zu finden

Da muss ich aber wohl (leider) den Service befragen wo das hin ist.

Ich versteh nur nicht, dass noch niemand solch ein /zumindest ähnlich geartetes) Problem hatte.

Aber ok - ich bin auch nur sporadisch in Foren unterwegs

Vlt findet sich noch ein "Leidensgenosse"

Ich habe halt mal das Geld für einen VPN-Dienst investiert. So kann ich das mit der Sperre umgehen.

Ich blicke es eben nur nicht, warum Fail2Ban mich 5 mal hintereinander abwatscht (das gibt dann recidive).

Passwörter und/oder falsche Accounts können es auch nicht gewesen sein, denn da hätte sich Thunderbird gemeldet oder es stünde was im Thunderbird-Log.

Und vor allem: Wie bekomme ich ein LetsEncrypt Zertifikat (mit Auto-Verlängerung) in meine Domain?

Ja ich kann nicht auf die Logs zugreifen. Auch nicht irgendwie auf fail2Ban oder sonstwas.

Nein - auch auf Rückfrage keine Antwort was der Grund für "recidive" war. Keine Log-Auszüge und nix

Ich warte jetzt eben mal, ob mir die IP wieder um die Ohren fliegt

Oder aber es geht wieder und dann lag es wohl doch an den 3 Domains mit den seit 180 Tagen abgelaufenen Zertifikaten.

Könnte ja aber sein, dass hier jemand schon ein ähnliches Problem hatte.

Vor 2 oder 3 Jahren hatte ich mal das Problem, dass meine IP gesperrt wurde, weil ne Cam versucht hat mit falschem Passwort Daten per FTP hochzuladen.

Da war die erste Antwort "Wir sperren keine IPs"

Notfall-Support ja eh, weil es Sonntag war

Ich konnte es ja insofern eingrenzen, dass dieser Rechner eine VPN-Adresse X hatte und alle anderen Rechner mit der IP Adresse Y ins Netz gingen.

Nachdem dann Adresse X auch gesperrt war, konnte es nur dieser Rechner gewesen sein.

Dass es irgendwie mit Zertifikaten und/oder LE zusammenhängt ist ja nur eine Vermutung - aber da muss seitens des managed Server durch netcup eine Änderung in den letzten 7 Tagen erfolgt sein.

Ich teste jetzt halt mal IP-Adressen durch (via VPN).

Problem ist, dass ich auch einen gmx-Account abrufen muss und die viele VPN-IPs blockieren. Das nervt und verzögert halt alles etwas.

Problem ist ja, dass ich komplett ausgesperrt war (also auch kein Webmail).

Aber da nichts geändert wurde (auch Passwörter nicht) und der Rechner NUR für Thunderbird benutzt wird, kann auch kein SSH-Key (oder falsche Anmeldung an Plesk, oä) das Problem sein.

Im Thunderbird Log würde auch ein falsches Passwort angezeigt werden als Fehler. Bei einer gescheiterten Anmeldung blockiert Thunderbird sofort und bringt die Meldung, dass das Passwort falsch ist.

Dort war aber nur "Abruf ... Abruf ... Abruf ... Kein Zugriff"

Kann es auch nicht mehr nachvollziehen, weil ich jetzt die Zertifikate gelöscht habe und hinterher festgestellt habe, dass Letsencrypt via Plesk nicht mehr möglich ist (da hat der Service noch nicht drauf reagiert - auf diese Frage wegen Letsencrypt)

Netterweise wurde die VPN-IP auch gewhitelisted, nachdem ich schon eine neue IP hatte

Kurz gesagt:

Das Problem muss der Mail-Abruf (via Thunderbird) gewesen sein, obwohl in den letzten 180 Tagen alles funktionierte und die letzten 180 Tage an KEINER Einstellung etwas geändert wurde.

Hi Leute

vlt hat jemand eine Idee:

Sonntag (27.10.24) komme ich nicht mehr auf meinen managed Server. Kein Plesk, kein Webmail, keine Webseite auf dem Server kann aufgerufen werden.

Dachte erstmal, dass es wieder eine DoS-Attack ist (so geschehen vor ca. 8 Wochen) und rufe den Notfall-Support an.

Ergebnis: meine IP (von der ich die Seiten aufrufe) ist gesperrt - schnellste Lösung: Whitelisten - alles geht

Montag (28.10.) wieder gesperrt - Anruf bei der Hotline - Ergebnis (in eigenen Worten): "Wir können nicht so managed Server - ist jemand anders zuständig - bitte Mail schreiben"

Langes nun kurz: FritzBox hat seit Montag Nacht neue IP und die war dann auch gesperrt.

Vor lauter Frust mir einen VPN-Dienst zugelegt und mit anderer IP-Adresse probiert. Auch die war nach kurzer Zeit gesperrt.

Lapidare Antwort irgendwann per Mail: Ja wegen "recidive" sind die IPs gesperrt im Fail2Ban

Auf die Frage WIE das zustande kommt (müssen ja 5 Fehler vorher in 10 Minuten von meiner IP passiert sein), kam nur ein virtuelles Schulterzucken.

Durch den VPN Trick konnte ich auf einen Rechner eingrenzen, der das Chaos verursacht hat.

Auf dem läuft Thunderbird (in der neuesten Version) und fragt immer wieder verschiedenste Mail-Accounts ab (ca. 20 Accounts). Es werden aber (ausser beim Start) nie alle Accounts gleichzeitig abgefragt.

An der Konfiguration von Thunderbird, dem lokalen Rechner und den Mail-Accounts auf dem managed Server wurde min. 1 Jahr nichts geändert!

Durch etwas Stochern ins Blaue (da ich ja nicht die eigentlichen Fail2Ban-Urachen kannte) fiel mir auf, dass bei ca. 10 Accounts (3 Domains) das LetsEncrypt-Zertifikat schon über 180 Tage abgelaufen ist!?

OK - der Fehler hätte dann ja schon vorher auftreten müssen.

Status der Domains bei Plesk: "Gesperrt"

Also wenn ich das Zertifikat jeweils mit einrechne, dann ist am ganzen System mindestens 180 Tage nichts geändert worden und seit 5 Tagen tickt Fail2Ban aus

Managed Server heißt ja, das ich nicht an die Logs komme und auch keine Einstellungen machen kann.

Ich habe da also jetzt 2 Fragen:

1. Wie kann das Aussperren (scheinbar nur durch Mailabrufe) zustande kommen?

2. Wieso ist in Plesk bei Zertifikaten die "LetsEncrypt"-Option weg? Ich kann also kein Zertifikat mehr erstellen lassen und selbsterstellte Zertifikate - da flippen Chrome Firefox und Thunderbird total aus

Ich habe in Thunderbird jetzt bis auf 5 Accounts alle rausgelöscht und taste mich langsam vor, indem ich pro Tag je einen Account dazu mache.

Würde ich die eigentlichen Verursacher kennen, könnte ich mir die Arbeit sparen

Bis jetzt keine Zugriffe aus Russland mehr - haben (hoffentlich) aufgegeben

Die "eigenen" Zugriffe auf die logo.png kann ich mir halt nicht erklären, weil die (jetzt weniger) einfach so ohne einen Anlass auftauchen.

Kein vorheriger Aufruf rechtfertigt das Laden des Bildes

Das ist aber kein Fall für den Support, da das nicht den Server lahmlegt

Knackpunkt war die russische IP

Fail2Ban werde ich mal vorschlagen, dass das aktiviert wird.

Mal sehen ob der Server morgen früh noch läuft

So siehste - kleines Update

nach dem DB-Neustart geht alles wieder und ich sehe gestern seit ca. 22:30 übelste Zugriffe (Apache-Log)

40 je Sekunde

83.97.73.12 versucht es mit SQL-Injection

185.228.137.250 ruft nur 20mal pro Sekunde die logo.png auf

ab 23:30 nur noch die 83.97.73.12 mit 2-5 Injection-Versuchen je Sekunde

Warum eine netcup-IP 20x pro Sekunde die logo.png aufruft ist mir auch schleierhaft

Das Rätsel ist also gelöst und ich versuche erstmal softwareseitig die IPs zu blockieren

Zitat von H6G

So wie ich das sehe, hat HBSO GmbH das ganze am SCP abgelesen.

Zumindest bei meinen Servern habe ich im SCP eine Scalenbeschriftung von M-OP/s (Mega Operations per Second) - keine Ahnung wie man hier einen Anschlag festlegen kann oder das auch nur Ansatzweise auf CPU Utilisation umrechnen könnte.

Nur das noch

Ich schließe das Ganze mal

Ich ziehe gerade 2 Shops woanders hin um (gestern zum Glück Dumps runtergeladen) und wenn der Server wieder läuft kann ich die ApacheLogs (die müsste man über Plesk bekommen) ansehen.

Übrigens hatte ich um ein Reboot gebeten, weil man den Server eh neu starten soll (wegen neuer KVM)

Und alles was ich bekam war ein Neustart des DB-Dienstes

Und gestern hat wenigstens jemand auf die Mail (nach 9 Stunden) reagiert.

Erstmal zum Thema "ein nicht vorhandenes Problem..."

Die Frage war eindeutig: Es hört sich nach DOS-Angriff an - aber wie findet man auf einem managed Server raus, wo das Problem ist?

Von kritischen Systemen war nie die Rede, sonst hätte ich die 40€ schon investiert.

Aber nun zurück zum Problem:

Plesk Zugriffszahlen kann ich leider gar nicht mehr sehen, da ich nicht mehr an Plesk rankomme - aber sehr viel sinnvolle Zahlen oder Logs sehe ich da leider nicht (rein aus dem Gedächtnis)

Logs habe ich nur im SCP einen Eintrag aus 2023 was mit Migration..

Sonst sehe ich eben nur CPU-Last, die am Anschlag ist - durchgehend seit heute Nacht

Wenn ich wieder drankomme, kann ich schauen, wieviel User auf die Shops zugegriffen haben

Jetzt der Reveal zum obigen Thema:

Hatte gleiches Spam-Problem bei einem vServer und da wurde ohne Nachfrage sofort ein Delisting beantragt. Ergebnis: Läuft

Das ist aber schon 6 Monate her

Der o.g. Fall ist einen Monat her und eine Bitte nach Delisting wurde mit "Microsoft ist Schuld" abgetan.

Und JA: Ich habe auf den "alten" Fall hingewiesen (mit Ticketnummer)

-----------------

Aber ich sehe gerade in der Statistik, dass CPU-Usage vorgestern um ca 00:30 / 01:00 voll hochging und heute Nacht ca 00:00 / 00:30

Laufen da nicht Tasks von netcup im RZ zu der Zeit?

Zitat von Bud

Korrigiere mich wenn ich falsch liege, aber in deinem anderen Thema beschwertest du dich über den inkompetenten Support eines orangenen Mitbewerbers, welcher auch genau dafür bekannt ist.

Stelle diesen bitte nicht auf eine Ebene mit netcup, danke.

Das Zitat, um das es geht:

Beispiel: ein großer Provider S*** lehnt Mails als Spam ab (von einem Userkonto unter Plesk erstellt) und der Support sagt ernsthaft, dass Microsoft dran Schuld ist.

Kann man evtl. missverstehen, aber ich vergleiche auf keinen Fall die Support-Qualität von X mit Y

Ich schreibe von einer Mail (xy at netcupserver) an (ab at s***server) und die Mail kommt zurück mit "Bitte kein Spam"

Die Mail war eine reine Kontaktaufnahme ohne Anhänge oder ähnliches und ohne "bad words"

Daraufhin war die Antwort des netcup-Supports, dass Microsoft Schuld ist und sie nix machen können.

Edit: Sorry das Wichtigste wieder vergessen

Das war ein Beispiel, wie der Support Dinge auslegt. Statt ein Delisting der IP zu beantragen (manche Provider haben ja ihre eigenen BL), kommt eben so eine Aussage.

Wie ich sagte, habe ich schon schlechte Erfahrung mit dem Support gemacht (aber "nur" wg. Kompetenz).

Wenn ich den Server neu starten könnte wäre ja die halbe Miete.

Ich traue der Kulanz nicht, weil es wie gesagt ein DOS sein könnte und das dann nicht in der "Verantwortung von netcup" liegt.

Werde aber nachher wohl doch in den saueren Apfel beißen.

Meine Frage zwischen den Zeilen aber ist auch: "Wie kriege ich raus, wer für die vielen Connections verantwortlich ist?"

Gestern hatte ich das Problem schonmal und nachdem ein Neustart des DB-Servers endlich mal erfolgte konnte man wieder arbeiten.

Bis ca 9:00 heute morgen - dann wieder das identische Problem.

Plesk fliegt mir bei jedem Klick um die Ohren jetzt sogar mit einem "Type error" und "o.useQuery(...).data is undefined"

Es wurde seit min. 4 Wochen nichts geändert oder geupdatet oder sonstwas

Es hört sich nach DOS-Angriff an - aber wie findet man auf einem managed Server raus, wo das Problem ist?

Und wie ich schon sagte, kann mir der Notfall-Support ja immer "Eigenverschulden" unterstellen und 40€ in Rechnung stellen.

Blöde Situation

Hat jemand Ideen?

Anhänge sind Screens von den Fehlern gestern (is heute identisch). Shop zB liefert:

WARNING(2): "mysqli_connect(): (HY000/1040): Too many connections"

Unable to connect to database server!

Zitat von ThomasChr

Notfallsupport? Und hat wohl nix gekostet, oder?

Email um 09:45

DB-Neustart 18:33

Hat nix gekostet - hab ja nicht angerufen