Hat dazu jemand Infos? Ist das ein komplett anderer Anbieter? Ist der ähnlich Vertrauenswürdig wie LE selbst? Die Website ist irgendwie fishy...
Eine kurze Diskussion darüber hatten wir schon Anfang April (Seite 1836 bis 1837)
Ich würde ZeroSSL mit Stand heute nicht verwenden. Ich sehe da keinen Vorteil.
mainziman € 36,30 im Monat (inkl. SIP-Festnetz) 
Keine Einrichtungsgebühr, keine jährliche Servicepauschale, nur einmalig € 10 für die Rufnummernportierung. Hätte ich mich mit der alten ADSL-Bandbreite zufrieden gegeben, wären es sogar unter € 20 gewesen. Das tolle ADSL-Paket kostete bei A1 stolze € 31 je Monat, allerdings noch ohne Indexanpassung.
Wenn man einmalig 300 bis 400 Euro in die Hand nimmt, kann man bei DSL mittlerweile auch 4-Draht Bonding-Anschlüsse bestellen. Die laufen dann aber immer ohne VPlus/G.Fast. Also nur ca. doppelter VDSL-Speed. Das wären hier bei mir wohl realistisch 250/75 Mbit über Kupfer. Aber dafür müsste natürlich eine zweite Telefonleitung eingezogen werden. Und man müsste einen sauteuren 300/30 Tarif buchen, der als Bondingvariante nie in Aktion ist. Da könnte man auch gleich Kabel nehmen bzw. einleiten lassen, auch wenn es ein geteiltes Medium ist...
Die erwähnten Unlimited-Mobiltarife kann man spätestens seit Corona in die Tonne treten. Vor 1,5 bis 3 Jahren lief ein 50/10 Tarif (€ 25; Wertkarte) einer A1-Discountmarke immer am Anschlag und wurde sichtbar alle 2 Sekunden auf das gebuchte Tempo gedrosselt. Egal ob UMTS oder LTE, Fullspeed zu jeder Tageszeit. Seit Corona erreicht man teilweise nicht einmal mehr 4 Mbit. Der Upload ist jedoch stabil. Das 3-Netz bzw. Magenta kannst hier sowieso schon lange vergessen.
Aktuell habe ich noch ein Monatspaket mit einem 30/8 Tarif (€ 20; Wertkarte) im A1 Netz aktiv. Das Ding hat mittlerweile eine völlig andere Nutzungsklasse als die alten Tarife. In der Nacht am WE bricht der Speed hier gleich noch mehr ein. Völlig unbrauchbar mittlerweile, selbst die Latenz ist oftmals ein Horror. Und das 50 Meter neben dem Handymasten mit ≥95% Empfangsstärke. Die Funkzellen sind komplett überlastet. Wenn man irgendwo keine kabelgebundene Alternative hat ist es natürlich besser als nichts.
Und nebenbei bemerkt schafft es A1 seit mindestens 3 Jahren nicht, dass deren CGN--Mobilfunk-Gateways öffentliche IPv4-Adressen von Festnetz oder Mobilanschlüssen zuverlässig erreichen. Die haben auf irgendwelchen alten Legacy-Systemen ein Problem, sodass es ein Glücksspiel ist, ob man auf einem neueren System landet und die Pakete somit ankommen. Bestätigt durch die Technik und offenbar nicht lösbar. Einen Mobilvertrag haben sie mir deshalb sogar aus Kulanz fristlos aufgelöst.
also hast du keine zwei PPP Zugangsdaten?
Exakt, nur einmal für die statischen Adressen.
Gibt es denn zwei unterschiedliche Leitungsgeschwindigkeiten oder sind Geschwindigkeiten Portbasiert mit der DSL Verbindung zum MSAN / DSLAM geregelt?
Ich gehe mal davon aus, dass das portbasiert über die DSL-Verbindung geregelt ist. 
| DSLAM-Datenrate Max. | kbit/s | 156752 | 20904 |
| DSLAM-Datenrate Min. | kbit/s | 1024 | |
| Leitungskapazität | kbit/s | 131530 | 40364 |
| Aktuelle Datenrate | kbit/s | 131141 | 20903 |
| Min Effektive Datenrate | kbit/s | 128232 | 20901 |
| Nahtlose Ratenadaption | an | aus |
(Der Tarif hätte 150/20 Mbit, aber soviel gibt die Leitung in der Empfangsrichtung nicht her.)
Weißt du wie dieses Feature heißt und bei welchen Providern man sowas bekommt?
Naja, die alternativen Provider nutzen hier in AT seit knapp drei Jahren die sogenannte "virtuelle Entbündelung" von A1.
A1 (ehemals Telekom Austria) ist der Platzhirsch, wenn es um Telefonleitungen geht. Seit dem großflächigen ARU/VDSL (Vectoring) Ausbau dürfen alternative Provider nicht mehr selbst im Wählamt entbündeln, das muss alles über A1 laufen. Soweit ich das mitbekommen habe, wurden sie von der RTR aber dazu verdonnert, ihr Netz trotzdem für alternative Provider zu öffnen und Konditionen anzubieten, die den Mitbewerbern konkurrenzfähige (= günstigere) Produkte ermöglichen.
Der alternative Provider bestellt selbst den Anschluss bei A1 und hat dann sein eigenes VLAN auf der (V)DSL-Leitung, in dem er (bzw. der Kunde) theoretisch anstellen kann, was er will. Das landet über irgendwelche Tunneltechnologien direkt auf der Infrastruktur des Providers. Bei diesem Anbieter heißt das, dass standardmäßig alles über DHCP(v6) läuft. Für die Kunden mit statischer IP (bzw. bei Bedarf auch für die anderen) gibt es PPPoE mit Zugangsdaten. Das leitet die FRITZ!Box einfach durch, also Passthrough bzw. Relay. Bei Bedarf könnte man natürlich auch nur PPPoE verwenden und auf den Rest verzichten.
Routerzwang gibt es theoretisch keinen (Stichwort allerdings Modem-Whitelist von A1), die ausgelieferten FRITZ!Boxen sind nicht kastriert, die SIP-Zugangsdaten ("Festnetztelefonie") bekommt man ohne zu betteln und statische IP-Adressen sind auch bei Privatkundentarifen möglich. Dazu funktionierendes IPv6 mit mehr als einem lächerlichen /64. Alles Dinge, die man bei A1 vergeblich sucht und maximal um deutlich mehr Geld im Businessbereich findet.
In Anbetracht der Tatsache, dass ein Tochterunternehmen der ANX Holding ebenfalls am österreichischen DSL-Markt aktiv ist, schreibe ich jetzt mal nicht, bei welchem Provider ich gelandet bin. Ich sage nur soviel, dass er VLAN 31 verwendet und faktisch keine Mindestvertragsdauer hat.
Was hast du da gebastelt?
Tinyproxy in einer (OpenWrt) VM, die als Uplink in jenem VLAN hängt, das bei der FRITZ!Box an Port 4 (Gastnetzwerk) landet. (Der wiederum über den Switch auf 10 Mbit limitiert ist.)
Die FRITZ!Box ist quasi mein neues Modem des neuen DSL-Providers. Mein eigener Router wählt sich über PPPoE ein und bekommt darüber eine statische IPv4-Adresse und ein statisches /60 Subnetz. Die FRITZ!Box selbst darf sich über DHCP aber trotzdem eine CGN-Adresse sowie ein dynamisches /60 Subnetz vom Provider holen. Und genau diese CGN-Verbindung nutze ich dann für das "Gastnetzwerk". Das könnte man sich z.B. mit einem Vigor-Modem auch selbst bauen, aber irgendwie gefällt mir die FRITZ!Box bei dieser eingeschränkten Nutzung durchaus.
Fazit: Lieber mit einer IP bei YouTube aufdampfen, die von tausenden Kunden verwendet wird. Bei einer statischen IP riskiere ich lieber keinen Bann. Und Tor wird noch schneller ausgesperrt. Bei der CGN-IP dürfte es jetzt mit einer Sleeptime von 120 Sekunden ohne zwischenzeitliches CAPTCHA (Error 403 bzw. 429) laufen.
/me erstellt endlich mal ein "Backup" seiner YouTube Music Likes Playlist 
Da werden jetzt zwar einige Duplikate und unnötige Dateien dabei sein, aber die sortiere ich später aus…
aRaphael Ergänzung: Bei IPv6 eventuell noch "DAD" und "RA" bzw. die Autokonfiguration deaktivieren. Sonst dauert es manchmal unnötig lange.
Die Nameserver von netcup können aber nur genutzt werden, wenn die Domain über netcup registriert wurde.
Was jedoch geht: Einzelne Records (z.B. A/AAAA) auf einen Server bei netcup zeigen lassen. Das muss dann aber trotzdem auf dem Nameserver des anderen Anbieters passieren.
aRaphael Einfach eine statische Netzwerkkonfiguration für das zweite Interface (eth1 bzw. ens6) hinterlegen?
Wenn die angebundenen Server nur untereinander kommunizieren sollen, brauchst Du nicht mal einen Gateway angeben. Also einfach ein privates IPv4-Subnetz und eventuell ein IPv6-ULA aussuchen, fertig.
Danke, ist ein praktisches Tool!
Das war jedoch unspektakulär, da es genau die Unbound-Konfiguration ausspuckt:
rst.x1188.rs.dns-oarc.net.
rst.x1198.x1188.rs.dns-oarc.net.
rst.x1204.x1198.x1188.rs.dns-oarc.net.
"1.2.3.4 DNS reply size limit is at least 1204"
"1.2.3.4 sent EDNS buffer size 1232"Seltsamerweise kann ich aktuell (über Unbound) keine Probleme mehr feststellen. 
Mit deaktiviertem IPv6 gab es (unter bestimmten Voraussetzungen) die geschilderten Probleme. Mit aktivem IPv6 hat er mir aber das Log zugemüllt, wenn IPv6 nicht verfügbar war. Letzteres habe ich jetzt mal mit einer weiteren Defaultroute (Metric 2048) gelöst, die immer existiert. Scheinbar hat er sich am standardmäßigen EACCES verschluckt, bei EHOSTUNREACH ist bei nicht verfügbarem IPv6 wieder Ruhe.
Aber ich könnte wetten, dass die IPv4-Probleme bei den DNS-Root-Servern irgendwann wieder auftauchen. Weiß der Geier, warum ich das jetzt nicht mehr reproduzieren kann. Einerseits bin ich froh, aber ich traue dem Frieden noch nicht ganz.
Ich habe die Unbound Problematik jetzt doch noch einmal debuggt, weil ich sie auch anders zuverlässig reproduzieren kann…
Über IPv4 antworten die *.root-servers.net offenbar nicht auf meine UDP-Anfragen: dig @193.0.14.129 . NS
IP (tos 0x0, ttl 64, id 24915, offset 0, flags [none], proto UDP (17), length 68)
1.2.3.4.55571 > 193.0.14.129.53: [udp sum ok] 63676+ [1au] NS? . ar: . OPT UDPsize=1232 (40)Über TCP gibt es keine Probleme. Fordere ich etwas anderes an, bekomme ich jedoch eine Antwort: dig @193.0.14.129 netcup.de NS
IP (tos 0x0, ttl 64, id 48178, offset 0, flags [none], proto UDP (17), length 78)
1.2.3.4.51826 > 193.0.14.129.53: [udp sum ok] 19818+ [1au] NS? netcup.de. ar: . OPT UDPsize=1232 (50)Wirklich lustig daran ist aber, dass ich das nur über DSL (PPPoE) reproduzieren kann! Über das Mobilfunknetz läuft es einwandfrei. Alle getesten Anschlüsse haben eine öffentliche IPv4-Adresse. Die UDP-Ports sind prinzipiell in alle Richtungen erreichbar. Mit tcpdump fällt mir auch nichts Besonderes auf. Der einzige Unterschied ist die MTU, die bei PPPoE 1492 ist. Mit der UDPsize herumzuspielen bringt wohl nichts. Ich bin aber auch kein DNS-Experte.
Irgendwelche Tipps, was ich noch versuchen könnte? Mir würde es schon mal reichen, wenn dig eine Antwort bekommt. 
OpenWrt & Unbound: Geil, das sollte doch eigentlich alles vorkonfiguriert OOTB laufen. Sogar direkt in LuCI integriert. 
Die Realität: Ja, läuft eh. Nur leider spinnt Unbound sporadisch nach einem Neustart rum und lässt sich ohne Neustart des Systems nicht mehr dazu überreden, zu antworten. Die generierte Konfiguration sieht allerdings unspektakulär aus. 
Ich konfiguriere das jetzt einfach selbst über die unbound.conf und verwende Unbound als Upstreamserver in Dsnmasq. Irgendwo ist da der Hund drinnen, ich will das nicht mehr weiter debuggen…
Wie handhabt ihr persönlich eigentlich das Thema DNS im Heimnetzwerk? Was ist euer Upstream Server? Vom ISP? Von einem großen Anbieter? Von einem verteilten Community Netzwerk? Verschlüsselt oder nicht?
Ich habe in den letzten Jahren immer auf dnscrypt-proxy und einen großen Anbieter gesetzt. Jetzt liebäugle ich aber langsam damit, gleich unbound am Router zu verwenden. Auf einigen vServern verwende ich den schon jahrelang. Klar, die letzte Meile wäre dadurch nicht mehr verschlüsselt und ich dampfe direkt mit meiner IP bei den NS der jeweiligen Domains auf. Aber irgendwie ist es verlockend, gleich alles selbst aufzulösen inkl. DNSSEC. Auf die Verschlüsselung kann ich Zuhause getrost verzichten. Wenn da jemand mitliest bzw. mitloggt, könnte er das auch bei SNI u.ä. Dingen machen. (ESNI existiert doch sowieso fast nur am Papier.)
Wie wird dabei zugegriffen? Über FTP? HTTP? Ist da irgendein serverseitiges (PHP) Script dazwischen involviert? Ohne mehr Details kann man da unmöglich Tipps zum eingrenzen der Ursache geben.
PMG verwendet (wie PVE) Debian als Basis. Die Firewall kann also einfach über SSH konfiguriert werden, falls PMG kein entsprechendes Feature in der GUI mitbringt. Rebootfest wird es dann mit dem Packet netfilter-persistent.
PVE davor zu schalten wird da keinen Mehrwert haben. Das verkompliziert es nur und erhöht den Wartungsaufwand. Außerdem funktioniert das nicht ohne Nested Virtualization, was früher maximal gegen Aufpreis angeboten wurde. (Aktueller Stand bei Rootserver G9 unbekannt.)
Was ist mit der Warnmeldungen passiert? Noch immer da? Oder anderer Wortlaut?
Eventuell wäre es sinnvoll, wenn man mal bei den Entwicklern auf GitHub nachfragt, was für Version 22 (oder 23) wirklich geplant ist. Nicht, dass doch noch irgendein Update nachgeschoben wird oder es eine Funktion betrifft, deren Fehlfunktion man nicht so schnell bemerkt.
(Disclaimer: Ich habe V22 noch nirgends getestet. Aktuell keine Zeit für solche Spielereien.)
Valkyrie Pffff, jede VM bekommt ein echtes VLAN!!!!!!111elf 
(Und jede VM dann ein eigenes Hostsystem. LOL.)
btw: Das JavaScript-Webinterface des D-Link Billig-Switches stirbt, wenn man es über einen Hostnamen aufruft. Das verträgt nur IPv4-Adressen. Okay...
Jetzt habe ich fast schon geglaubt, dass der erwähnte D-Link Switch ein Klumpat10 ist, als ich bei einem VLAN mit einer PPPoE-Session nach einigen Sekunden immer plötzlich 50-100% Packet Loss hatte. 
Die PPPoE-Session brach aber nicht ab und blieb nach wie vor aufgebaut. 
Die wirkliche Ursache: Ich habe zuvor das "Rate Limit" Feature ausprobiert und nicht mehr daran gedacht, dass es auf allen Ports aktiv ist. Kein Wunder, dass ich da Probleme bekomme, wenn das noch immer auf 8 kbps steht. Limit deaktiviert und schon läuft es ohne Probleme. 
Ich glaube ich gehe lieber schlafen. Hab sowieso Kopfschmerzen 
sind bei Dir unterm Bett sämtliche Maulwurf-Orgs vernetzt?
oder wieso kommts dass ma soviele VLANs hat?
Teilweise einfach nur temporäre Tests, die dann doch länger aktiv bleiben. 
Wirklich brauchen würde ich wohl nur 5-7. Der nur sporadisch genutzte LTE-Uplink hat z.B. auch ein eigenes VLAN. Dadurch kann ich das LTE-Modem problemlos ganz woanders platzieren, ohne dass etwas stört.
Gunah Der GS108T (v2!) macht diesbezüglich auch keine Probleme bei 10-20 VLANs. Aber der ist auch aus der alten ProSafe-Serie und somit "Smart Managed Pro". Mit 60-90 Euro (bzw. 25-30 gebraucht) halt nicht mehr der allergünstigste am Markt. Da wäre der D-Link für irgendwelche Spielereien natürlich sehr nett, wenn man dabei sowieso nicht alle Features des GS108T braucht. Mehr als maximal eine handvoll VLANs werde ich da kaum drauf schalten.
(Der GS108Tv2 hat eigentlich nur einen wirklichen Bug, über den ich in einem Jahrzehnt gestolpert bin: Wenn man einen Port händisch auf 100 Mbit setzt, verwirft er selbst bei wenig Traffic wie verrückt Pakete und erzeugt alle unmöglichen Fehler.)
