Beiträge von terence

  • Netcup und Nextcloud - OCC Problem

    Ich weiß leider nicht, wie Du die Berechtigungen anpassen kannst, da der Webhosting-Benutzer das nicht darf, aber bei mir sieht es wie folgt aus. Mein Benutzer hat also die Berechtigung, php auszuführen. Ich verwende PHP nicht und habe daher sicher auch nichts an irgendwelchen Standardeinstellungen geändert.


    bash-5.1$ ls -l /usr/local/php83/bin/php

    -rwxr-xr-x 258 root root 62473568 Dec 16 16:37 /usr/local/php83/bin/php

  • Wünsche für die netcup-Firewall

    Nachdem ich nun erste Schritte mit der neuen Firewall gemacht habe, hier ein paar Dinge, die ich mir noch wünschen würde. Vermutlich wird da noch mehr kommen. ;)

    1. Wiki: Abschnitt "Feste Regeln", in dem aufgeführt wird, welche "unsichtbaren" Regeln es gibt, wie z. B. die Regel, Traffic zu/von den netcup-DNS-Servern zu erlauben.
      Das mit den DNS-Servern steht jetzt im Abschnitt "Standard-Policys", aber eine Trennung zwischen "Standard-Policys" und "Feste Regeln" fände ich hilfreich, weil man Standard-Policys ändern (und wiederherstellen) kann.
    2. SCP: Wenn man eine Policy ändert, erscheint beim Speichern ein Hinweis darauf, wieviele Server von der Änderung betroffen sind. Hier wäre eine Liste der Servernamen total super. Oder man zeigt die Serverliste direkt unterhalb der Policy-Regeln an - dann sieht man sie schon vorher, was sogar noch besser wäre.
    3. SCP: Eine Übersichtsseite, auf der man sieht, auf welchen Servern welche Policys verwendet werden und ob die Firewall aktiv ist. Die Namen der Policys würden mir an der Stelle genügen (ohne Regeln). Aktuell muss man jeden Server einzeln aufrufen und auf die Firewall-Seite gehen, um zu sehen, was los ist.

  • Ab sofort: Firewall für netcup vServer verfügbar

    Zitat von Zierleiste

    ...UDP 53 nicht erforderlich ist, wenn die DNS-Server von netcup verwendet werden...

    Danke für den Hinweis! Da hatte es bei mir nicht geklickt als ich das gelesen habe. Ich habe die DNS-Regeln daher gleich wieder bei mir rausgeschmissen. :)

    Meiner Meinung nach könnte man das noch klarer machen, indem man den ersten Satz im u. g. Abschnitt "Standard Policys" in einen eigenen Abschnitt "Feste Regeln" verlagert. Dort könnte dann auch erklärt werden, was es sonst noch für unsichtbare Regeln gibt. So gäbe es dann eine klare Trennung zwischen Standard-Policys, die man löschen und wiederherstellen kann und den festen Regeln, die man nicht verändern kann.

    Zitat

    Standard-Policys

    Die Standard-Firewall enthält nicht bearbeitbare Regeln, die obligatorischen Traffic erlauben. So ist zum Beispiel der DNS-Traffic zu den netcup DNS-Servern immer erlaubt. Außerdem sind standardmäßig Regeln eingestellt, die beispielsweise E-Mail-Spamming verhindern sollen. Diese kannst du jedoch einsehen und bei Bedarf entfernen.

    ...

    Willst du deine Standard-Policys wiederherstellen, klicke unter Firewall auf Default Policys wiederherstellen...

  • IP-V6 ist doof!

    Zitat von Marschi

    Wie siehts mit DNSSEC aus?

    Soweit ich weiß, nutzt das auch die Telekom mit 464XLAT im Mobilfunk mit eigenen NAT64 Gateway.

    Bei meinem Setup verwendet unbound DNSSEC und sollte daher keine IPv6-Adresse erzeugen, wenn der A-Record nicht validiert werden kann.
    Wie es bei nat64.net oder Telekom damit aussieht, weiß ich nicht.

  • VPS Lite G12s Standorte

    Zitat von oliver.g

    Ich überlege gerade einen VPS Lite meinem Serverfundus hinzuzufügen. Hätte diesen aber gerne nur im VLAN verfügbar...

    Ich würde die IPv6-Option nehmen. Dann bist Du flexibel und kannst wie von fvbor vorgeschlagen, ein VPN zwischen verschiedenen Standorten aufspannen oder wenn Du einen Server in Nürnberg bekommst, das WAN-Interface im OS deaktivieren. Oder es aktiviert lassen und es z. B. für NTP verwenden (und alles andere in der Firewall blockieren - außer DNS, weil NTP das auch verwendet). Und vielleicht willst Du den Server später ja auch mal für was anderes benutzen.

  • IP-V6 ist doof!

    Zitat von NaN

    IPv6 ist so gut, dass man es sogar als einziges Protokoll verwenden kann, wenn man es mit NAT64 auf IPv4 übersetzt... Was haltet ihr von der neuen kaiserlichen Garderobe? Fantastisch, oder?

    Mein Internetanschluß verwendet einen DS-Lite-Tunnel und hat daher nur eine öffentliche IPv6-Adresse. IPv4-Traffic muss also so oder so irgendwie übersetzt werden. Da bevorzuge ich NAT64 gegenüber AFTR+CGNAT.

  • IP-V6 ist doof!

    Zitat von gem

    Was verwendest Du?

    Hatte ich noch vergessen: Alternativ zum eigenen NAT64-Gateway kann man natürlich auch eins von den öffentlichen verwenden, sofern man dem Anbieter vertraut. Dazu muss man einfach nur die entsprechenden DNS-Server eintragen, die für IPv4-only Domains dann IPv6-Adressen generieren, welche zum NAT64-Gateway führen.

    Das sieht beispielsweise so aus:

    Code
    # Ohne DNS64:
 ➤ host github.com
github.com has address 140.82.121.3

# Mit DNS64 von nat64.net
 ➤ host github.com 2a01:4f9:c010:3f02::1
github.com has address 140.82.121.4
github.com has IPv6 address 2a01:4f8:c2c:123f:64:5:8c52:7904
github.com has IPv6 address 2a00:1098:2b::1:8c52:7904
github.com has IPv6 address 2a01:4f9:c010:3f02:64:0:8c52:7904

    Dies ist die Web-Seite: https://nat64.net

    Dort gibt es auch eine Übersicht anderer Provider: https://nat64.net/public-providers

  • IP-V6 ist doof!

    Zitat von gem

    Was verwendest Du?

    Das ist eine Standardinstallation von OpenBSD ohne weitere Drittsoftware. Läuft auf einem Piko G11s.
    Meine Client-Rechner verbinden sich via Wireguard mit dem Server. NAT64 macht der Paketfilter pf und für DNS64 ist unbound zuständig.

  • IP-V6 ist doof!

    Zitat von gem

    ... nur mal so als Datenpunkt... ich hatte eigentlich vor (testweise) für einige Zeit den Spieß umzudrehen und IPv6 only aus Client-Sicht zu betrachten.

    Ich habe recht schnell (subjektiv) den Eindruck gewonnen, dass das Internet ohne CGNAT ziemlich zusammegeschrumpft ist...

    Mir war nicht bewusst, wie viele - auch prominente - Dienste im Internet IPv4 only sind... vom Wetterbericht, über Banken, Versicherungen bis hin zu Steam & Co...

    Ja, das ist ein spannendes Experiment. :)
    Meine Rechner Zuhause laufen seit einem oder zwei Jahren IPv6-only. Das geht aber nur, weil ich bei netcup ein NAT64-Gateway aufgesetzt habe, damit ich IPv4-only-Seiten erreichen kann. YouTube hat zum Glück IPv6, so dass die Videos keinen Umweg nehmen müssen. :) Dito die Mediatheken von ZDF und ARD. Irgendwelche Applikationen, die fest verdrahtete IPv4-Adressen verwenden, sind mir noch nicht untergekommen, soll es aber geben. Das ist dann doof und sollte von den Entwicklern gefixt werden.

    Zitat von sudoNoSleep

    was gaebe es noch was nicht mehr gehen koennte?

    Hier gibt's eine Liste dazu... https://whynoipv6.com/

  • Wie filtert man Multicast-Traffic mit der netcup-Firewall?

    Zitat von Fen

    Ich werde den Serverbetreiber mal anschreiben und ihn darauf hinweisen. Zwar macht mir der Traffic in der Praxis nichts aus, anderen aber vielleicht schon, da er vermutlich auf das Trafficvolumen angerechnet wird.

    Sollte sowas nicht eigentlich standardmäßig von netcup rausgefiltert werden? Ich finde es ja auch komisch, dass mein IPv6-only-Server IPv4-Traffic bekommt. Würde ich nun auch nicht unbedingt erwarten.