Beiträge von SiebenG

Passed zum WE mal wieder ein ganz großer Hammer: Ein Guest-to-Host KVM Escape per VirtIO.

https://lore.kernel.org/linux-cve-announce/2026101533-CVE-2026-99999-beee@gregkh/T/#u

Und hier ein paar Details: https://pwn.ai/blog/pwnescape

Da gibt's wohl bei Netcup am Wochenende eine Reboot-Party

Fixes für Debian bislang nur für unstable (https://security-tracker.debian.org/tracker/CVE-2026-99999)

Edit: Debian stable ist jetzt gepatched.

Zitat von xzero

Wird so eine migration angekündigt oder wie läuft das ab? Man würde ja sicher merken wenn der Server ausgeschaltet wird.

Bei mir kam nach dem Upgrade folgende Email:

um die Stabilität Ihres Systems weiterhin kontinuierlich gewährleisten zu können, war es dringend nötig, Ihren Server v*** - RS 500 SAS G7SEa1 12M auf ein anderes Wirtssystem zu verschieben.

Wir haben dies zum Schutz Ihrer Daten und zur Gewährleistung des regulären Betriebs Ihres Servers durchgeführt. Die Migration wurde gerade mit dem Neustart Ihres Servers abgeschlossen.

Wir empfehlen grundsätzlich, Snapshots zu entfernen, wenn diese nicht benötigt werden. Im Regelfall erlaubt uns dies, Ihren Server live umzuziehen, so dass kein Neustart erforderlich ist. In Ausnahmefällen ist es dennoch notwendig, dass wir einen solchen durchführen, dann informieren wir Sie selbstverständlich zuvor, so wie in diesem Fall.

In der Regel versuchen wir außerdem, Sie über einen solchen Migrationsvorgang mit Neustart auch im Voraus zu informieren. Leider war dies im aktuellen Fall aufgrund der Dringlichkeit nicht möglich.

Vielen Dank für Ihr Verständnis

---

Der Umzug erfolgte von einem konkreten Prozessortyp (Xeon irgendwas), wie bei RS üblich auf einen KVM generischen EPYC Rome, wie bei den VPS üblich.

Zitat von Olivetti

Man muss aber beachten, daß desec DNSSEC voraussetzt.
Deshalb auch Frage #6.

Nicht unbedingt. Dyndns lässt sich dort auch komplett ohne eigene Domain nutzen mit deren Domain (dann eigene Domain über CNAMEs) bzw. wenn man dort nur eine Domain hat, geht's auch one DNSSEC -- das muss man dann nur aktivieren, wenn man da noch eine zweite Domain anlegen möchte...

Zitat von ulf8000

mich würde interessieren, warum ihr euren VPS verschlüsseln wollt ?

Klar: ihr wollte eure Daten schützen. Aber vor wem ?

- netcup kommt theoretisch dran, da ihr ja das Passwort über das SCP mal eingegeben habt

- Einbrecher im OS kommen an die Daten dran, da ja hier alles bereits entschlüsselt lesbar ist

In welchem Szenario macht hier Verschlüsselung Sinn ?

Ich betreibe auch FDE. Ich finde es eher besser, die Frage zu stellen, warum jemand seinen VPS *nicht* verschlüsseln sollte. Es geht ja nicht nur um Netcup, sondern auch um z.b. einen gehackten Node, einen beschlagnahmten Server, einen anderen Kunden, der einen der ganzen kürzlich aufgetauchten zero-days mal ausprobiert um aus kvm auszubrechen, etc. Mehr Sicherheit ist nie verkehrt, auch wenn ich Netcup vollständig vertraue.

Dein Passwort musst Du nicht über das SCP eingeben, das geht ja auch per SSH. Und falls Du den VPS nur über die Konsole installiert bekommst, kannst ja bei LUKS auch immer noch die Passphrases ändern. Mit einem qemu-guest-agent macht FDE natürlich kein Sinn, aber den musst ja nicht installieren.

Theoretisch kann Netcup/ ein Angreifer mit root auf einem Node dann natürlich noch deinen encryption Key aus dem RAM auslesen, das ist aber schon aufwändiger und aus meiner Sicht deutlich unwahrscheinlicher...

Ich würde hier ebenfalls deSEC empfehlen. Die wissen, was sie machen. Zumindest falls ipv6 vernünftig funktionieren soll (prefix ersetzen und Host nicht; /64+zusätzliche IP für den Router, wie bei einigen deutschen Providern üblich). Falls nur v4 benötigt, kann man es tatsächlich auch selbst betreiben...

Das ist sehr seltsam. Manchmal ist die Traffic Anzeige ein bisschen hinterher, aber wenn das länger so bleibt, einfach mal ein Ticket aufmachen, das sollte nicht so sein.

Kannst ja auch mal vnstat installieren und mal schauen, was dein vps tatsächlich an Traffic macht.

Zitat von sross

Is there a way to see tickets we have raised raised? I can't seem to find any page for this data. If there is no way for customers to see their historical support tickets etc is Netcup going to modernise their support ticket system? Thanks

Both answers are to be found in post #1 of this thread: No, Yes.

Ein vTPM gibt es bei Netcup nicht, auch nicht in neueren Produkten oder RS

Du müsstest mal suchen (oder die KI deines Vertrauens befragen) wie man das umgeht. ich kenne die Problematik von W11, ich dachte server 2025 braucht gar kein TPM(?)

Ich nehme an, Du meinst die Image-Funktionalität im SCP?

Die Idee mit dem Image Backup könnte zu einem Problem werden, falls die Festplatten unterschiedliche Größen haben (wovon auszugehen ist bei gen 9.5/12.5.) Vom kleineren Storage auf den größeren hast Du kein Problem (außer nicht genutzter Speicherplatz), aber in die andere Richtung wirds ggf. problematisch..

Daher ist der rsync vermutlich eine bessere Idee, wobei man das vermutlich im Rettungssystem machen sollte, sonst kann es manchmal komische Fehlermeldungen/Warnungen wegen device files geben.

Wie ich das mal gemacht habe in einer ähnlichen Situation (Umzug zwischen zwei Hostern, aber verschlüsselte Partitionen): auf dem Zielsystem Partitionen genauso angelegt wie auf dem Quellsystem und dann mit dd die einzelnen Partitionen (EFI, boot, daten) im Rettungssystem kopiert. Klappt natürlich nur, wenn dein teurer temporärer Server nicht weniger Plattenplatz hat als der aktuelle.

Sowohl im rsync als auch im dd Fall nicht vergessen, dass ggf. die Netzwerkkonfiguration im Rettungssystem nach dem Kopieren angepasst werden muss.

Zitat von Leo Lam

Ich habe einen RS 1000 G12 ip iv 12M MNZ in Manassas. Dabei handelt es sich meines Wissens nach nicht um einen Aktionsserver wie z. B. meinen anderen ADV25-Server.

Laut diesem Beitrag können bestehende RS 1000 G12 weiterhin zu einem RS 2000 G12 zu den bisherigen Konditionen upgegradet werden.

Ja, das ist ein Aktionsserver.

Aktionsserver können nie geupgraded werden, das geht nur mit regulär gekauften Servern, war schon immer so.

Diese können auch nur entlang der Produktlinie geupgraded werden, G11->G12 geht auch nicht, nur G11 RS1000 -> G11- RS2000.

Zitat von ASS

Es ist alles völlig korrekt.

Sage ich doch. Alles korrekt, aber unschön. Ich frage nach www und bekomme eine Antwort, die Infos enthält, nach denen ich nicht wirklich gefragt habe.

Wenn ich Dich nach dem Weg zum Bahnhof frage, und Du sagst mir "gibt hier im Ort keinen" ist das eine korrekte Antwort und das, was ich erwarte.

Wenn Du mir neben der Info, dass es keinen gibt, aber auch erklärst, wo der denn in der nächstgrößeren Stadt ist und wie genau ich da hinkommen, dann ist das auch "völlig korrekt", interessiert mich aber nicht.

Zitat von ASS

Einen extra A Record setzt man da nur im Notfall, wenn man die andren Sachen explizit ausschließen will...

Genau! Beispielsweise hat man einen NS record doch in der Regel für example.com veröffentlicht, aber nicht für www.example.com. Wenn man das nicht möchte, besser kein CNAME von www -> zone apex

Du hast in Deiner Zone Apex auch NS oder TXT Einträge (spf, Google verification,...).

Setzt Du einen CNAME von www auf die Zone Apex, bekommst auch Antworten, wenn Du z.B. eine NS/TXT Abfrage auf www machst. Ist unschön, aber technisch kein Problem.

Mein RS in Nürnberg netzt gerade nicht mehr

Noch jemand ein ähnliches Problem?

Geht wieder, war nur wenige Minuten offline.

Ich habe dafür kleine Sktipte für uptime kuma mit Push-Monitor, ich mags einfach

Habe ich mir auch mal vor einiger Zeit mit Hilfe von KI zusammengebastelt, so sieht es aus, falls für jemand hilfreich. Die Skripte einfach per cron aufrufen (Ausgabe nach dev/null, da einige echo's drin haben zum debuggen).

DNSSEC (delv muss installiert sein):

#!/bin/bash

DOMAIN="example.com"
RESOLVER="9.9.9.9" # Quad9 unterstützt DNSSEC-Validierung streng
PUSH_URL="https://kuma.example.com/api/push/TOKEN?status=up&msg=OK"

# DNSSEC-Validierung via delv durchführen
# Sucht nach dem Indikator "; fully validated" in der Ausgabe
OUTPUT=$(delv @"$RESOLVER" "$DOMAIN" +multi +dnssec 2>&1)

if echo "$OUTPUT" | grep -q "; fully validated"; then
    # Erfolg: Sende Signal an Uptime Kuma
    curl -s "$PUSH_URL" > /dev/null
    echo "DNSSEC für $DOMAIN erfolgreich validiert."
else
    # Fehler: Skript bricht ab, Kuma erhält keinen Push und geht "Down"
    echo "FAIL: DNSSEC-Validierung für $DOMAIN fehlgeschlagen!"
    echo "$OUTPUT"
    exit 1
fi

DANE (danetool muss installiert sein):

#!/bin/bash

DOMAIN="mail.example.com"
KUMA_URL="https://kuma.example.com/api/push/TOKEN"

# DANE-Prüfung über STARTTLS auf Port 25 ausführen
# danetool gibt bei Erfolg 0 zurück, bei Fehlern einen Wert > 0
danetool --check "$DOMAIN" --proto tcp --port 25 --starttls-proto=smtp > /tmp/dane_result.txt 2>&1
STATUS=$?

if [ $STATUS -eq 0 ]; then
    # Erfolg: Kuma mit "up" signalisieren
    curl -s "${KUMA_URL}?status=up&msg=DANE+and+DNSSEC+valid" > /dev/null
    echo "Okay: "$STATUS
else
    # Fehler: Letzte Zeile des Fehlers auslesen und an Kuma senden ("down")
    ERROR_MSG=$(tail -n 1 /tmp/dane_result.txt | tr ' ' '+')
    echo "Error: "$ERROR_MSG
    curl -s "${KUMA_URL}?status=down&msg=DANE+Error:+${ERROR_MSG}" > /dev/null
fi

MTS-STS:

#!/bin/bash

DOMAIN="example.com"
MX_HOST="mail.example.com"  
KUMA_URL="https://kuma.example.com/api/push/TOKEN"
# ---------------------

# 1. DNS TXT-Eintrag prüfen
echo "[1/3] Prüfe DNS TXT-Eintrag (_mta-sts.$DOMAIN)..."
DNS_CHECK=$(dig +short TXT _mta-sts."$DOMAIN" | grep "v=STSv1")

if [ -z "$DNS_CHECK" ]; then
    echo "-> ERROR: Kein '_mta-sts' TXT-Eintrag im DNS gefunden!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+Kein+_mta-sts+TXT-Eintrag+im+DNS+gefunden." > /dev/null
    exit 1
fi
echo "-> OK: DNS TXT-Eintrag vorhanden ($DNS_CHECK)."

# 2. HTTPS Policy-Datei herunterladen
echo "[2/3] Rufe Policy-Datei ab (https://mta-sts.$DOMAIN/.well-known/mta-sts.txt)..."
POLICY_CONTENT=$(curl -sSf "https://mta-sts.${DOMAIN}/.well-known/mta-sts.txt" 2>&1)
CURL_STATUS=$?

if [ $CURL_STATUS -ne 0 ]; then
    echo "-> ERROR: Policy-Datei über HTTPS nicht erreichbar oder HTTP-Fehler!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+Policy-Datei+ueber+HTTPS+nicht+erreichbar." > /dev/null
    exit 1
fi
echo "-> OK: Datei erfolgreich heruntergeladen."

# 3. Inhalt der Policy validieren
echo "[3/3] Validiere den Inhalt der Policy-Datei..."

# Prüfen, ob der Modus auf "enforce" oder "testing" steht
if ! echo "$POLICY_CONTENT" | grep -qE "mode:[[:space:]]*(enforce|testing)"; then
    echo "-> ERROR: Kein gültiger Modus (mode: enforce/testing) in der Datei gefunden!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+Kein+gueltiger+mode+(enforce/testing)+in+Datei." > /dev/null
    exit 1
fi

 Prüfen, ob Ihr Mailserver als erlaubter MX gelistet ist
if ! echo "$POLICY_CONTENT" | grep -qF "mx: $MX_HOST"; then
    echo "-> ERROR: Der MX-Host '$MX_HOST' ist in der Policy-Datei nicht als 'mx:' erlaubt!"
    echo "Sende Status 'down' an Uptime Kuma."
    curl -s "${KUMA_URL}?status=down&msg=MTA-STS+Error:+MX-Host+${MX_HOST}+nicht+in+der+Policy+erlaubt." > /dev/null
    exit 1
fi

# Wenn alle Prüfungen bestanden wurden
echo "SUCCESS: Alle MTA-STS-Prüfungen bestanden! Sende Status 'up' an Uptime Kuma."
curl -s "${KUMA_URL}?status=up&msg=MTA-STS+vollstaendig+validiert" > /dev/null

Besten Dank, funktioniert jetzt

Warum kann ich dieses Forum nicht abbestellen? Die zwei Unterforen sind abbestellt, aber sobald hier jemand postet werde ich immer benachrichtigt...

1000168346.jpg

Ich habe unter Linux 2.7Gbits im upstream und 2.3 im downstream, sowohl mit IPv4 als auch v6 nach Amsterdam.

Standort Nürnberg.

Mein Monitoring zeigt seit dem 28.7. ab 22 Uhr bis jetzt deutlich erhöhte ipv6 ping Zeiten an (80ms anstatt 15ms im ping max) und jetzt gerade einen down alert mit 100% packet loss in Nürnberg, war aber nur wenige Sekunden.

Hat jemand ähnliches beobachtet?

Auf einem Fileserver kann ich das ja noch (ein bisschen) verstehen, aber wer auf einem Mailserver den AV-Scanner als root laufen lässt, hat's wirklich nicht anders verdient, falls was passiert...