Beiträge von darkstar

Zitat von SarpeTronic

Die Adressen und Ports stehen dort oben, da gibt es nicht zu raten.

Die Anlage funktioniert zu 100% wenn ich die Firewall ausschalte.

Also muss die Firewall spezielle Einstellungen benötigen, welche ich bisher übersehe.

Ich verstehe nur mit den von Dir angegebenen Regeln nicht einmal, warum dort irgendwas NICHT durchkommen sollte.
Es sind ja bei Dir ausschließlich ACCEPT-Regeln.

Ich hab bei mir ja auch die NETCUP-Firewall an, nicht eine Firewall-Policy definiert und es gibt nur die Standard-ICMP- und ALLOW-ALL-Blöcke. Damit erreicht man alles auf den Servern, unabhängig davon, ob die Firewall ein- oder ausgeschaltet ist.

Die Firewall pro Server ist ja das Ergebnis einer Zusammenstellung von Firewall-Policies in einer von Dir weitestgehend bestimmten Reihenfolge, die von oben nach unten abgearbeitet wird. Ich vermute daher, dass es eine DROP-Policy vor dem systemseitigen ACCEPT-ALL-Block am Ende gibt.
Daher nochmal die Frage: Ist dem so? Welche Policy-Überschriften stehen in der Server-bezogenen Firewall in welcher Reihenfolge?

Bei mir gibt es nur

netcup Ping allow

Implizite Regeln

Was gibt es bei Dir?

Du müsstest da eine Art DROP ALL-Policy definiert haben, damit da überhaupt irgendwas geblockt wird.
Ist Deine VOIP-Firewall-Policy überhaupt Teil der Firewall des Servers?
Steht diese in der Firewall des Server ÜBER der VOIP-Policy oder danach?

Kannst Du bitte Deine Ports 5060/5061 und 10.000-20.000 checken, vielleicht mal mit einem einfachen
"netstat -a|grep LISTEN"?
Welche Ports lauschen da und haben vielleicht eine wichtige Funktion?

Es tut mir leid, aber mit den Angaben von Dir würde bei mir weder der SIP-Trunk funktionieren noch sich eines meiner Endgeräte mit der Telefonanlage verbinden können.

Ich rate mal, dass Du Asterisk verwendest, darauf deutet 10.000-20.000 hin.

Für das was Du brauchst genügen

VOIP RTP Incoming UDP 0.0.0.0 any Telefonanlagen-IP IP:10000-20000
VOIP SIP Incoming UDP 0.0.0.0 any Telefonanlagen-IP:5060-5076

ssh incoming tcp 0.0.0.0 any Telefonanlagen-IP 22

Https incoming tcp 0.0.0.0 any Telefonanlagen-IP 443 oder 80

Drop tcp / Udp an das Ende

Das Ganze mal 2 für ipv6.

Das ist sicherlich alles richtig Aber wahrscheinlich nicht ausreichend um zu funktionieren.
Daher würde ich an Deiner Stelle noch über den Sip-Trunk und das Provisioning deiner Endgeräte nachdenken. Dafür fehlen halt sämtliche Angaben. Ohne Provisioning haben Deine Endgeräte keine Telefonnummer und wissen auch nicht, dass sie Port 10000 benutzen sollen etc.

Und bevor Du Dich daran festbeißt - läuft bei Dir lokal irgendeine iptables/nftables-Config, z.B. sowas wie ufw?

Du machst da IMHO zum Start eine Riesenliste für alles Mögliche.
Erstmal ipv4 zum laufen bekommen, dann mit ipV6 nachziehen.

Was genau läuft nicht?
Der Trunk zum Provider?
Die Anmeldung Deiner Telefone?

Kannst Du bitte mal VOIP-System, SIP-Provider und ggf. ein genutztes Telefon nennen?
Willst Du die Telefone per Public IP mit deiner Anlage verbinden oder soll das eventuell in ein VPN?

Ich hab zwar meine Telefonanlage (eine Auerswald 5500R) im heimischen LAN bzw. per VPN (mit fester IPv4 nach außen…)

Die ist aber u.a. für einen Rufnummernblock (ich verwalte darüber verschiedene Rufnummern) auch per SIP-Trunk via SIPGate Trunking angebunden, für einzelne Rufnummern aber auch anders.

Dafür braucht es bzgl. VOIP genau diese Einträge

Deny all incoming

Allow all outgoing (würde ich erstmal genau so zulassen)

VOIP RTP Incoming UDP 0.0.0.0 Telefonanlagen-IP IP:5004-5020
VOIP SIP Incoming UDP 0.0.0.0 Telefonanlagen-IP:5060-5076
VOIP Provisioning Incoming TCP 0.0.0.0 Telefonanlagen-IP:4433

Alles andere ist dann Thema „andere Server-Dienste“, also als Basis erstmal SSH und so dann auch deine Admin-Weboberfläche.

Den Eintrag, wo meinefomain.de als Host drin steht würde ich direkt löschen - es sei denn Du willst meinedomain.de.meinedomain.de aufrufen.

und www soll dann per CNAME auf den Hostnamen bei hosttiger? Weiß der Host dort, dass er auch auf http://www.deinedomain.de hören soll?

Zitat von ASS

Ist nicht der Sinn eines Zweitpasses der, dass man den erxten zuhause lassen kann?

Noch viel lernen Du musst, junger Padawan
Es gibt noch andere sinnvolle Nutzungen.
Manchmal ist der eine Pass kurz vor Ablauf, hat aber noch das noch länger als der Pass gültige Arbeitsvisum und mit dem anderen wird gereist weil ausreichend lang genug gültig. Oder du brauchst Dein altes chinesisches Visum zwecks dortiger Datenverknüpfung (jede neue Passnummer ist sonst ein neuer Mensch...)
Oder du willst halt sicherstellen, dass ein bestimmter Pass nur für bestimmte Länder genutzt wird, d.h. du hast auf dem Landweg dann beide im Einsatz. Die betreffenden Länder (nicht nur der Iran) stempeln dann auch nicht sondern es gibt ein Einlegeblatt.

Zitat von ASS

Ah, also Stasi? Da waren dann aber 2 Pässe etwas wenig...

Mensch, zur Wiedervereinigung war ich erst 14, bekam aber meinen 2ten DDR-Pass zusammen mit dem Perso noch vor der Wiedervereinigung, der war dann bis 31.12.1995 gültig.

Zitat von aRaphael

"Tut mir leid, Sie dürfen nicht ausreisen. Ihre Papiere sind nicht in Ordnung"

Bei der Ausreise geht es darum, dass niemand Gesuchtes das Land - womöglich sogar mit einem geklauten Pass verlässt, deshalb gehst Du auch bei einem Nicht-EU-Flug durch die Passkontrolle oder den Automaten, wenn Du den Schengenraum verlässt - das ist also weltweit so und nicht exklusiv Iran.

Ich brauchte übrigens, bevor ich zum Bundesbürger fusioniert wurde, für alles außer Tschechoslowakei auch noch Ausreisevisa.

Zitat von ASS

Na die wissen doch eh, wer du bist, wenn du die Karte kaufst.

Da hast Du reichlich viel Vertrauen in die Leistungsfähigkeit von Einreisedatenbanken und womöglich sogar in gut verkäufliche und ganz eindeutige Dinge wie Biometrie oder irgendwelche DNA-Analysen.

Im Iran hätte es allerdings gereicht, wenn man in der Lage gewesen wäre, den Namen bei der Ausstellung des Visums richtig zu erfassen. Deutsche Umlaute, falscher Vokal… und das hat bis zur Ausreise niemanden gestört. Die Nummer des dort verwendeten Zweitpasses (6 Jahre Gültigkeit) ist auch nirgendwo sonst jemals wieder aufgetaucht.

Anderes Beispiel China: Eine Telefonnummer, ein persönliches Bankkonto, eine ID, ein Pass, ein Account für das COVID-System. Den Pass hinterlegt man dann auch an der Wache, wenn man in einen Betrieb muss und bekommt einen Besucherausweis, beim Verlassen lief das wieder umgedreht. Also alles 1:1-Verknüpfungen…

Was meinst Du, wie aufgeregt mancher wurde weil in der Passtasche noch 1 weiterer Pass steckte…

Zitat von ASS

Da weisst du auch, wozu man die ganze KI wirklich benutzt...

Irgendeinen Selektor braucht auch die KI. Die suchen noch lange nach den Daten in den Paketen selbst bevor sie überhaupt verstehen dass irgendeine Eigenschaft der Pakete selbst die Information ist.

Zitat von ASS

Als was arbeitest du nochmal gleich, Agent 00352?

Ganz kalt Und dabei lasse ich es jetzt auch in einem öffentlichen Forum.

Zitat von heppel

Z.B. versucht Chinas "Great Firewall" VPN-Verbindungen zu blockieren. Ebenso die Zensoren diverser anderer autoritaerer Regierungen.

Mal ne kurze Liste aus eigener Erfahrung:
China, Turkmenistan, Irak, Iran, Oman, Vereinigte Arabische Emirate, Türkei, im Umfeld von Wahlen auch Indonesien.
Belarus und Nordkorea verbieten auch VPN, wo ich zuletzt (Mai 1986) von Kyiv aus ein paar Tage in Minsk war, gab es noch kein Internet. Und Nordkorea verbietet nicht nur VPN sondern da ist der Zugriff auf IPs außerhalb Nordkoreas bereits ein Problem.
Gibt sicherlich noch mehr Länder, die das gerne so machen würden, wo man es aber technisch nicht hinbekommen.
Das ist aber die Liste, die ich gerade in den Kopf bekam.

In China, Oman, Iran, UAE und Türkei habe ich ohne größere Probleme VPN genutzt, IPSec oder PPTP.
Wichtig: ich habe immer eigene Router und keine VPN-Dienste genutzt, der IP-Adressen werden gerne null-gerouted.

Im Iran war VPN die einzige Chance, überhaupt eine halbwegs stabile DNS-Auflösung zu bekommen. Dafür brauchte allerdings niemand einen Ausweis/Pass, als ich dort in einem Shop die SIM-Karte gekauft habe.
In China war es ein wenig tageszeitabhängig, aber was immer gut funktionierte war der Einsatz ausländischer SIMs mit chinesischer Telefonnummer (sowas gibt es, IMHO aus irgendwelchen Firmenverträge, ich hatte da dann eine Schweizer IP). Die 2 SIMs gab es 2021 auch im braunen Umschlag in die Quarantäne-Unterkunft, auch ohne Pass.

Für das so von mir selbst betitelte Show-Health-Code-Device (ein chinesisches Android-Handy) hab ich mich natürlich mit lange Anstehen im China Telecom Store registrieren müssen, Pass inklusive. Jeder nur eine Telefonnummer.

Das Thema „entdecken“ liegt eher an den Firewalls. Wenn da jemand sich die Pakete / Sessions anschaut, entdeckt man durchaus Dinge, die über andere Protokolle laufen. Ist aber letztlich eine Frage der Leistungsfähigkeit einer solchen Auswertung.
Die einen blocken Domains im DNS, die nächsten blockieren bestimmte IPs, der nächste geht auch auf Protokoll und irgendwann schaut man sich die Pakete an und vielleicht ist irgendwann mal an solchen zentralen Providergateways jemand in der Lage Datenströme im Zusammenhang abzugreifen.

Was die wenigsten verstehen: ich kann auch mit einem schlichten Ping Informationen übermitteln. Z.B. allein durch dei Variierung der Paketlänge. Und als verbindungsloses Protokoll auch ohne jede Session.. Z.B. eine bestimmte Sequenz Paketlängen, damit ein VPN-Server überhaupt antwortet, vielleicht tages- und uhrzeitabhängig. Und dann 256 verschiedene Paketlängen für die byteweise Datenübermittlung.
Man kann sowas auch als Gateway für Emails nutzen. Das ist dann so, als würde man einen SMTP-Server per telnet manuell füttern.
So kann man auch ein iphone ohne „Mail“ und irgendwelche anderen Apps lassen, aber PingLite und RDP / Windows-Client installieren. Dann Ping-Sequenz an VPN-Server, VPN-Server weiß, dass er antworten soll, dann die sonst leicht als nicht funktionierend zu demonstrierende VPN-Verbindung aktivieren, RDP starten - Arbeiten wie zuhause. So gut wie keine Daten auf dem iphone.

Weiß eigentlich jemand, was da heute, 03.07.2026, noch in Bearbeitung ist?

IMG_0504.jpg

Meine VMs laufen ja, dennoch haben Paketverluste im Cluster zumindest Alarmmeldungen zur Folge, diesmal am 01.07. um 23:12 wegen Paketverlusten <60 sec im VLAN.

Was Begriffe angeht:

Den Begriff „Beistrich“ habe ich das erste Mal in einer Mail von Netcup gelesen.

Auch wenn ich in einem Haushalt mit einem ehemaligen Mitglied der „Forschungsgruppe Orthographie“ und darüber auch des „Internationalen Arbeitskreises für Orthographie“ (BRD, DDR, Österreich, Schweiz) aufgewachsen bin, so musste ich nachschlagen, dass ein landläufig „Komma“ genanntes Satzzeichen gemeint war.

Das mit den Verkehrstrennungsgebieten im Fluss hat schon Sinn. Aber Brücken für Kabel? Was soll schon schief gehen?

Gibt es eigentlich in Wien keine Düker? Bzw. nutzt man diese nicht auch für Kabeltrassen?

Aber das ist doch der neue Login-Screen vom SCP - und ja, der kommt auch bei der Erst-Authentifizierung an der REST-API. Und anschließend kommt was mit Rechte zuweisen.
Von 2FA sehe ich da jedenfalls noch nichts…

Nur um sicherzugehen:
Was meinst Du mit „früher“? Länger als 7,5 Wochen?

Die REST-API ist als Beta erst im Oktober 2025 im Parallelbetrieb zur alten SOAP-API in Dienst gegangen und hat letztere erst am 01.05.2026 vollständig ersetzt, d.h. die SOAP-API wurde abgeschaltet.

Zitat von webdesignheld

ich will die header sehen und wann die mails fallengelassen werden ohne ... ach, kann ich das im postfix log sehen? ...

Du bekommst zumindest die Ablehnungscodes und kannst dann schauen, was zu tun ist.
Vorheriger Test mit mxtoolbox ist zu empfehlen.

Ansonsten mal einen gepflegten Blick in mailq werfen (staut sich was oder ist leer?)

Zitat von webdesignheld

ich hab jetzt nur wegen meinem mailserver email accounts bei t-online und gmx und gmail angelegt

Verstehe ich nicht. Warum machste das denn?

Vielleicht noch ein paar mögliche Stolperstellen:

- Du machst das mit den Skripten selbst schon vom Server aus?

- Was steht bei Dir im SCP unter API/REST-API Einstellungen (IP-Filter)? Deine primäre Server-IP?

- die User-ID, die Du später zur Zusammenarbeit mit der REST-API brauchst, ist nicht der User-Code (das ist die SCP-Benutzername), die device-ID der v*-Name von Netcup

Mal als möglicher Workaround:

Du kannst ja den Token nach einmaliger Authentifizierung immer wieder verwenden (IMHO 30 Tage gültig wenn kein weiterer Login). Dafür genügt eigentlich das „—whoami“, das auf Basis der Authentifizierung den Kundennamen und Kundennummer ausgibt.

Bei mir wird ja bei vorhandenem Token nach Authentifizierung die Authebtifizierung dann so nicht mehr gebraucht…

Kannst Du mal das Login-via-CCP temporär abschalten (der direkte Login unter servercontrolpanel.de sollte dann wieder funktionieren), dann die Authentifizierung an der REST-API durchführen samt Token speichern und dann Login-via-CCP wieder anschalten?

Zitat von webdesignheld

Ich hab keine 2FA und an das SCP komme ich nur über das CCP, aber was ist denn eine API?

Eine Schnittstelle, womit Du das Ganze ganz ohne SCP steuern kannst.

Ich lass mit dem verlinkten Skript z.B. vom Server aus das Routing für die Virtual IP anpassen (also auf die richtige IP).

Das ist eine Teil eines hübschen Active/Passive-Setups, d.h. eine größere Wartung wirkt sich nur durch das Schwenken der Ressourcen sehr kurz aus. Auch bei einem Totalausfall eines Rootservers / Hostsystems habe ich per drbd sämtliche Daten auf dem 2ten Rootserver direkt online verfügbar und kann diesen ggf. aktiv setzen. Die ganze Cluster-Kommunikation läuft über VLAN, über Public-IP gibt es zumindest für den Cluster einen 2ten IP-Ring.

Ich kann übrigens auch einen anderen (oder auch den aktuellen) Server fencen, d.h. per REST-API ausschalten…
Bevor das aber wirklich automatisch läuft und damit Split-Brain-Geschichten verhindert muss erstmal SEHR sicher sein, dass es zu keinen Störungen kommt, die auf Rootserver-Ebene wie eine Nichterreichbarkeit - gleichzeitig über public und vlan-Ring - aussehen. Auf alle Fälle sollten beide Rootserver nicht auf demselben System liegen.

Ich mach wohl 2FA fürs CCP aber kein SCP-Login-via-CCP.
Was die Authentifzierung angeht - schau mal nach meinen Gehversuchen…

Thema

Howto REST-API nutzen

Moin zusammen,

ich bin neu bei Netcup und hab derzeit 2 nagelneue RS 2000 G12 Rootserver sowie ein VLAN mit 1 GBit.

Beide rootserver sind frisch aus Datenübernahmegründen noch mit einem Debian bookworm installiert worden und haben eine DRBD-Partition, d.h. das wird ein active-passive-Setup.

Das schwenken der IP und des DRBD samt Filesystem klappt serverseitig schon gut, allerdings muss noch das Routing Netcup-seitig angepasst werden und die Rest API scheint eine solche Funktion zu bieten.

Gibt es…

darkstar

23. Februar 2026 um 16:59

Wenn das unterschieden werden hätte sollen, hätte man nicht „eingehender Dstenverkehr“ oder „ausgehender Datenverkehr“ geschrieben sondern nur „Datenverkehr“.