Ich mach wohl 2FA fürs CCP aber kein SCP-Login-via-CCP.
Was die Authentifzierung angeht - schau mal nach meinen Gehversuchen…
Beiträge von darkstar
-
-
Wenn das unterschieden werden hätte sollen, hätte man nicht „eingehender Dstenverkehr“ oder „ausgehender Datenverkehr“ geschrieben sondern nur „Datenverkehr“.
-
Ich habe gerade die Firewall deaktiviert, und jetzt funktioniert wieder alles.
Ich kann ja die Firewall wieder aktivieren, und die Mails Ports freigeben oder? (=Wie mache ich das) ?
Genau.
Du kannst den Netcup Mail-Block löschen (rechts oben im Screenshot). Hab ich genau so gemacht.
-
Poste doch mal einen Screenshot, was im SCP bei dem Server unter Firewall steht - dann kann man sagen, ob es überhaupt an NC liegt oder eher in Deinem Bereich, sprich auf Deinem Server.
-
Eine Frage - wenn ich bei innix eine domain im account habe für einen Kunden - ich bin als admin eingetragen und der Kunde als owner (registrant) - wie bekommt der Kunde die domain in seine Gewalt wenn mir etwas passiert?
Hängt prinzipiell von der TLD ab.
Bei der .deNIC z.B. via
-
The original rDNS hostname is forward assigned to the IP of your VPS, but normally it is only a temporary setting and should be changed to the real hostname set by you for your VPS. For (sending) mailservers that‘s essential, because receiving mailservers check if the IP of the sender matches the presented hostname. If IP 1.2.3.4 (your vps) presents as myhost.kuddelmuddel.de, a reverse DNS-Check will show, that this should be yyyy.happyserv.de and reject the email.
-
Wenn das bereits bezahlt ist fehlt da nur noch die Bereitstellung.
Damit Du eine realistische Erwartung an die Zeitschiene hast, bei mir ging das bei der Erstbestellung etwa so:Tag 1: 17:02 Bestellung
Tag 1: 18:25 Zugangsdaten CCP und Rechnung (Vorauszahlung), direkt per SEPA-Eilüberweisung bezahlt (Fa. hat kein Paypal/Kreditkarte)
Tag 2: 09:50 Ihr Server wurde bereitgestellt / Zugangsdaten SCP
eine zeitgleiche 2. Bestellung des gleichen Produkts (noch ohne Kundennummer) wurde nicht ausgeführt sondern in Absprache storniert und ich hab dann nochmal eingeloggt aus dem CCP heraus bestellt. Und dann nochmal der gleiche Prozess.
Meint: Da gibt es zum einen Batchläufe und irgendwo dazwischen arbeiten trotz aller Automatisierung noch Menschen.
-
Aus dem CCP-Screenshot geht nur hervor, dass Du KEINE Produkte hast.
Welches Produkt hast Du denn gekauft?
Hat die Identitätsüberprüfung denn schon stattgefunden?
Hast Du schon eine Rechnung für die erste Rate bekommen und auch beglichen (Kreditkarte, Paypal, ggf.auch SEPA)? -
Zunächst die gute Nachricht: Netcup hat das Problem inzwischen still und heimlich behoben, der Server ist jetzt von extern erreichbar, ohne dass ich irgendetwas geändert habe.
Zu den Einwänden:
Zum RIPE/ARIN-Punkt: Das ist tatsächlich ein valider Hinweis, 159.0.0.0/8 ist ARIN-verwalteter Adressraum, und RIPE Stat hat dort eingeschränkte Sicht. Das Tool war nicht optimal gewählt. Der eigentliche Beweis war der Traceroute: Deutsche Telekom brach bei Hop 2 mit „Zielnetz nicht erreichbar" ab, also weit vor meinem Server.
Zur Diagnose allgemein: Es war kein Zahlendreher, keine Firewall. Die IP-Konfiguration auf dem Server war korrekt, Gateway per ARP erreichbar, outbound HTTP funktionierte. Und ich war nicht allein: Im Thread „vps offline, no reply to tickets" hatten mindestens zwei weitere neue Nutzer exakt dasselbe Symptom, IPv4 von außen nicht erreichbar, IPv6 funktioniert.
Dass Netcup es kommentarlos und ohne Ticket-Antwort gefixt hat bestätigt die Diagnose besser als jedes Tool.
Erstmal gut, dass das jetzt funktioniert. Ob Netcup daran überhaupt etwas „still und heimlich“ gemacht hat ist für mich nicht klar, es kann auch die Telekom (2. Hop bei der Telekom…) oder jeder Provider dazwischen sein.
Wenn outbound http funktioniert (wohin?), dann laufen ja Pakete zum vserver hin und zurück, d.h. es gibt ein funktionierendes Routing, nur möglicherweise nicht überall hin & zurück.
Für mich liest sich das eher nach einer Konnektivitätsstörung auf einem bestimmten Routingpfad. Warum (Konfigurationsthemen, falsches BGP-Announcement, defekte Linecard etc.) muss jemand anderes beantworten. -
Der zugewiesene IP-Block (/22) wird nicht ins öffentliche Internet geroutet.
Ich kann das noch nicht ganz einordnen, daher eine ernsthafte Frage:
a) DIR persönlich hat man einen /22-IP-Block zugewiesen?
b) Ist Dir bewusst, dass es insgesamt 5 RIRs (also sowas wie RIPE) gibt?
RIPE Stat dürfte sich nur auf von RIPE vergebene IPs beziehen, den Rest kennt RIPE nicht.
Besser wäre es, Du schaust mal bzgl. AS197540 (netcup), ob Du da das Netz findest. Oder gleich bei Anexia…
https://www.peeringdb.com/org/8155Es wäre hilfreich, eine IP-Adresse oder zumindest den Block zu erfahren, irgendwas in den 1024 Adressen wird ja erreichbar sein (zumindest der Router).
Das bedeutet, der Block ist weltweit unsichtbar – kein einziger Internetanbieter kennt den Weg dorthin. Über die RIPE Stat API lässt sich das schwarz auf weiß belegen. Ich frage mich, wie viele andere Kunden auf IPs aus diesem Block sitzen und sich wundern warum ihr Server nicht erreichbar ist.
Ich glaube erstmal nicht, dass dem so ist bzw. dass das nicht eine andere Ursache hat. 1000 Kunden wären sonst ziemlich disconnected und unzufrieden. Tippe eher auf Zahlendreher in der IP-Konfiguration, ggf. auch Firewall-Themen.
Über 24 Stunden später: der Server noch immer nicht nutzbar. Und der Support? Komplettes Schweigen – trotz zugesicherter Antwortzeit.
Mach doch einfach mal ein einfaches Traceroute und poste ggf. das Ergebnis, kannst gerne den Anfang weglassen…
Das bringt mich zu meiner Frage an die Community: Lohnt sich der kostenpflichtige Premium-Supportlevel bei Netcup überhaupt? Hat jemand damit bessere Erfahrungen gemacht – oder ist das genauso ein Griff ins Leere?
Das lohnt schon um nachzuweisen, dass Du etwas für die damit zugesicherter höhere Verfügbarkeit zumindest vertraglich getan hast. Allein eine E-Mail-Antwort a la „Rufen Sie uns an - Wir rufen zurück“ fixt Dir nicht den Rechner.
-
Damit habe ich kein Probem. Aber wenn man sich den Link von ckd durchliest bleibt danach, zumindest bei mir, das Gefühl als ob das noch sehr in den Kinderschuhen steckt
Kinderschuhe sicherlich nicht. Kommt ja von Kopano (seit 2017) ab, das lief aber noch über Connector auf Outlook-Seite.
Die Connector-Installation braucht man nun schon seit 2024 (?) nicht mehr, es läuft jetzt nativ mit Outlook, das Ding sieht von außen aus wie ein Exchange-Server. Und das funktioniert (zumindest mit Caching) sauber. Ernsthaftestes Thema bei mir sind noch sync-Fehlermeldungen (bei mehreren geöffneten Postfächern).
Ich hab das auf Appliance-Basis seit etwa Februar 2025, mein erstes SUSE/*.rpm-System seit über 20 Jahren.
ckd gibt es auch im Grommunio-Forum, mich auch mit einer 76 hinter dem Nutzernamen.Der Debian-Fork ist erst seit Ende letzten Jahres wieder in den Grommunio-Repositories und es brauchte jemand, der damit erstmal umgeht (der soll jetzt Teil des Teams sein). Das Thema ist gelegentlich, dass irgendwelche Dependency-Pakete nicht existieren, i.d.R. bezieht sich das auf das Basis-System, sowohl bei Debian als auch bei Suse. Bisher habe ich damit immer umgehen können, worst case hat man ein paar Tage gewartet. Man sollte daher neben der großen Installation immer auch eine kleine zum Testen haben, denn meistens ist die Supported-Edition einfach nur langsamer, d.h. wenn da erstmal der Wurm drin ist, dann ist der Fehler bei Community schneller wieder raus. Allerdings sind die Probleme in der Community auch schneller drin.
Anyway, wenn es Probleme gab, dann auf der Outlook-/Abruf-Seite, nicht beim Empfang von Mails (postfix/dovecot sind rock solid).
Zur not geht es dann statt mit Outlook mit Apple Mail (und Exchange-Konto), sonst immer noch per grommunio-web oder man darf den nginx (pardon gromox-httpd) neu starten.
Ansonsten folgt man Umbenennungen von Parametern in der Konfiguration, ich selbst hab mir noch Spamhaus DQS-RBL dazukonfiguriert und die rSpamd a.k.a. grommunio-antispam-Config getuned. -
Update bei Debian mit APT und bei Suse mit Zypper.
So schön die Weboberfläche auch ist, das ist kein System für Anfänger und hin und wieder brauchst du die Shell.Debian wäre mir tatsächlich lieber, aber letztes Jahr gabs es das noch nicht wirklich. Da ist IMHO auch ein Entwickler dazugekommen, der sich um die *.deb-Pakete kümmert.
Vielleicht migriere ich beim nächsten großen Upgrade das Ganze auf Debian.
-
Ich hab bei mir privat auch Exchange durch Grommunio (Community Edition) ersetzt, derzeit 5 Postfächer.
Hat hin und wieder seine Macken, ist aber für mich in der Administration sogar einfach nachvollziehbar als ein Exchange.
Und die Hardware-Anforderungen sind ein Träumchen: 4 Cores und bei mir 8 GB RAM (nix 256 GB Minimum wie bei Exchange on premise). Läuft gemütlich als VM auf einer Synology im heimischen Rack (ich hab feste IP zuhause). -
Ich hab noch kein captcha verwendet und bisher keinen Ärger mit Bots gehabt aber ich bau auch nur kleine unbedeutende Seiten.
Ernsthafte Frage, weil ich gerne Tracking-freie Websites habe:
Wie machst Du das z.B. mit Kontaktformularen?
Rechenaufgabe? -
SCP-Probleme hatte ich so bisher nicht.
Was ich dank Corosync/Pacemaker manchmal merke sind kurze Netzwerksausfälle, wo meine RS sich dann gerne gegenseitig fencen möchten. Und das trotz 2 Ringen (public und vlan sowie quorum. Da versuche ich mich aber erstmal im Timeout/Monitoring-optimieren (kann ja sein, dass da eine der beiden VMs umgezogen wird.
Auch das mit UEFI keine Snapshots im laufenden Betrieb möglich sein sollen leuchtet mir nicht ein. Wäre wichtiger als ein neues SCP-UI.
Bestellungen sind tatsächlich suboptimal.2 einzelne Bestellungen (2 gleiche RS2000) am Anfang bevor nur ein Kundenaccount existierte. Aus der einen Bestellung wurde was, die andere wurde durch NC storniert und sollte nochmals nach Login im SCP bestellt werden.
Vielleicht Bestellprozess nicht auf der Homepage sondern erst Account samt Prüfung/Freischaltung, dann nur vom SCP aus bestellen.
Eventuell Deposit-Möglichkeit fürs Kundenkonto - dann unterbleibt das mit den Klecker-Überweisungen bei Neubestellungen. Würde sicher auch die offenbar vorhandene außereuropäische Kundschaft freuen und wahrt die Interessen von Netcup.
-
Bei den Rootservern kann man sich doch höhere Verfügbarkeit (99,5% auf 99,9%) und Prio-Support im Fall des Falles kaufen. Gilt übrigens nach meinem Verständnis für alle Kundenverträge, d.h. man zahlt einmal - egal ob 1 oder 100 Server.
https://www.netcup.com/de/server/root-server/root-server-service-level-a
Ich hab mir damit zumindest vertraglich eine Leistung zu einem sensationellen Kurs eingekauft - gebraucht habe ich das bisher nicht.
Ich kann aber auch verstehen, wenn es das so für Webhosting nicht gibt. Hab da schlicht die Erfahrung, dass Server nicht erreichbar häufig nur fehlerhaftes Password bedeutet oder die Suche nach irgendwelchen Wunsch-PHP-Bibliotheken - oder buggy Skripte mit Lücken wie Scheunentor.
Das ufert aus und ist größtenteils ursächlich nicht auf Serverseite zu verorten oder nicht dringlich.Ich konzipiere, installiere und administriere gerne auch komplexe Infrastruktur. Aber mit Enduser-Problemen - am Besten noch mit einer völlig idiotischen KI-Analyse unterfüttert - fühle ich mich regelrecht missbraucht.
Und ich verspreche hoch und heilig, dass ich den Notfall-Support auch nicht belästigen muss, wenn auf nur _einem_ meiner Rootserver ein Ausfall auftritt - dafür gibt es Redundanz.
-
Sind die offiziellen Repositories von Debian im aktuellen Umfeld schnell genug?
Ich denke zB daran, dass lange Zeit super alte phpmyadmin Versionen ausgespielt wurden.Hier gehts eigentlich um die Basics des Betriebssystems, da sind sudo, systemd, busybox, basefiles, aber auch ssh etc. dabei und auch dovecot und proftpd.
Das ist bei stable und oldstable schnell genug und man kümmert sich auch um die Securityfixes.Dagegen würde ich in meiner Umgebung nicht auf die Idee kommen, PHP-Skripte wie Roundcube oder PHPMyAdmin über Debian zu installieren. Zumal das in ein eigenes Verzeichnis installiert, was nicht wirklich mit Hostingpanel etc. zusammenläuft. Also höchstens um die Dependencies aufs System zu ziehen und dann wieder deinstallieren.
Aber für den Zugriff von außen immer gleich manuell oder halt über das Hostingpanel installieren und dann manuell aktualisieren.
-
Auch bei mir der Wunsch nach Dropdown-Menü für die Serverauswahl.
Wenn schon nicht an der Seite, dann doch dort, wo jetzt der Servername steht.
Zusätzliche Frage beim Durchklicken:
Werden eigentlich die IP-Adressen im IP-Filter für den API-Zugriff nicht migriert? -
Ihr wisst ja: Tags für die User, nachts für die Systeme.
Das Mega-Debian-Update (Mega weil sonst nur einstellige Anzahl Pakete) gab es doch schon zum Sonntagmittag.
Bei mir waren das 60 Packages auf bookworm und 66 bzw. 72 auf trixie.
Jede Menge CVEs für durchaus übliche Pakete, aber kein Kernel dabei. Mal die Liste für einen Webhosting-Server unter bookworm:awstats 7.8-3+deb12u2
base-files 12.4+deb12u14
bash 5.2.15-2+b13
busybox 1:1.35.0-4+deb12u1+b1
composer 2.5.5-1+deb12u4
distro-info-data 0.58+deb12u7
dovecot-core 1:2.3.19.1+dfsg1-2.1+deb12u5
dovecot-imapd 1:2.3.19.1+dfsg1-2.1+deb12u5
dovecot-pop3d 1:2.3.19.1+dfsg1-2.1+deb12u5
dovecot-sieve 1:2.3.19.1+dfsg1-2.1+deb12u5
dpkg 1.21.23
dpkg-dev 1.21.23
grub2-common 2.06-13+deb12u2
grub-common 2.06-13+deb12u2
grub-efi-amd64 2.06-13+deb12u2
grub-efi-amd64-bin 2.06-13+deb12u2
grub-efi-amd64-signed 1+2.06+13+deb12u2
libc6 2.36-9+deb12u14
libc6-dev 2.36-9+deb12u14
libcap2 1:2.66-4+deb12u3+b1
libcap2-bin 1:2.66-4+deb12u3+b1
libc-bin 2.36-9+deb12u14
libc-dev-bin 2.36-9+deb12u14
libc-devtools 2.36-9+deb12u14
libc-l10n 2.36-9+deb12u14
libdpkg-perl 1.21.23
libglib2.0-0 2.74.6-2+deb12u9
libglib2.0-data 2.74.6-2+deb12u9
libnss-systemd 252.39-1~deb12u2
libpam-systemd 252.39-1~deb12u2
libpython3.11 3.11.2-6+deb12u7
libpython3.11-dev 3.11.2-6+deb12u7
libpython3.11-minimal 3.11.2-6+deb12u7
libpython3.11-stdlib 3.11.2-6+deb12u7
libssl3 3.0.20-1~deb12u1
libsystemd0 252.39-1~deb12u2
libsystemd-shared 252.39-1~deb12u2
libudev1 252.39-1~deb12u2
libxslt1.1 1.1.35-1+deb12u4
locales 2.36-9+deb12u14
openssh-client 1:9.2p1-2+deb12u10
openssh-server 1:9.2p1-2+deb12u10
openssh-sftp-server 1:9.2p1-2+deb12u10
openssl 3.0.20-1~deb12u1
proftpd-basic 1.3.8+dfsg-4+deb12u5
proftpd-core 1.3.8+dfsg-4+deb12u5
proftpd-mod-crypto 1.3.8+dfsg-4+deb12u5
proftpd-mod-wrap 1.3.8+dfsg-4+deb12u5
python3.11 3.11.2-6+deb12u7
python3.11-dev 3.11.2-6+deb12u7
python3.11-minimal 3.11.2-6+deb12u7
qemu-guest-agent 1:7.2+dfsg-7+deb12u18+b2
sed 4.9-1+deb12u1
sudo 1.9.13p3-1+deb12u4
systemd 252.39-1~deb12u2
systemd-sysv 252.39-1~deb12u2
systemd-timesyncd 252.39-1~deb12u2
tzdata 2026b-0+deb12u1
udev 252.39-1~deb12u2
xsltproc 1.1.35-1+deb12u4
Die Infomail von apticron war ganze 29 kb groß... -
Ich verstehe, dass hier einige sind, für die ein selbstbetriebener Mailserver overkill ist.
Und wenn man keine Ahnung hat - bitte nicht versuchen, einen solchen zu betreiben.
Ein wenig Erfahrung ist schon ganz brauchbar - oder man hat jemand in der Hinterhand, der die Grundeinrichtung übernimmt und bei Fragen zur Verfügung steht.
Ich hatte 1994 tatsächlich per Gateway eine Internet-Mailadresse samt eigener Subdomain.
Als ich 1998 meinen ersten in den USA gemieteten VServer (ganze 200 MB unter BSD) betrieb und die dort eingehenden Mails noch per Polling abgeholt und per XP (Mailprogramm) gelesen/geschrieben habe, da genügt die Prüfung auf einen korrekten Reverse-DNS-Eintrag.Nicht jede Lösung, die in der Vergangenheit wirksam war, funktioniert heute noch. Die Anforderungen ändern sich auch.
Nichts davon hat mit SMTP als solches zu tun.Grundsätzlich hatte ich nach Umstellung auf Netcup-Rootserver genau 2 Probleme beim E-Mail-Versand:
a) die Netcup-Firewall, die mir keine ausgehenden Mails erlaubt hat (es hat eine Weile gedauert, bis ich den Fehler nicht mehr auf meinem Server gesucht habe) - das ist aber ein Problem, dass sich 50 cm vor dem Bildschirm befand
b) T-Online, die keine Mails von Mailservern annehmen, die nicht whitelisted sind. Das ist Standard und begegnet mir immer wieder, wenn ich einen Mailserver in Betrieb nehme. T-Online ist da weltweit einzigartig. Also schreibt man eine kurze Mail, ggf. mit Referenz auf die vorherige IP des Mailservers, und nach ein paar Stunden gibt es auch eine freundliche Antwort und die Mails laufen wieder.Ansonsten blocke ich IPs nach 2 fehlerhaften Logins bei ssh / postfix / dovecot, mindestens 1 h + random, im Wiederholungsfall bis 5 Wochen.
Das gibt zwar hin und wieder Trouble mit einzelnen Usern, wo sich jemand beim Accounteinrichten vertippt hat und alles hinter demselben Router blockt, aber das wird dann relativ schnell gelöst.
Die iptables-Liste ist mittlerweile stattlich und es lassen sich ganze Netzbereiche erkennen, die versuchen, Passwörter zu knacken.
Beispiel auf einem der Mailserver aktuell:
ssh = 165 Einträge
postfix = 515 Einträge
postfix-sasl = 38 Einträge
dovecot = 9 Einträge
Ich entnehme dem; das Hauptinteresse ist Spam, danach ein Account auf meinem Server.Dazu kommt rspamd - damit muss man sich laufend beschäftigen, das immer wieder anpassen. Das tue ich vor allem auf einem Grommunio-Mailserver zuhause und kopiere dann alles unter local.d auf 2 weitere Mailserver bei Netcup (samt Restart des rspamd auf den Servern).
Spamassassin samt Bayes ist dank optimiertem Spam im KI-Zeitalter mittlerweile für die Tonne.Ich habe kein Problem, auch mal Google-/Microsoft-/Salesforce-Mailbereiche zu sperren. Große Provider lassen schließlich auch viel Spam zu.
Tatsächlich spielen neben dem Blacklist-Sender-Domain.map mit diversen top-Level-Domains der neueren Art spielt insbesondere bad_gapps.map eine Rolle, d.h. Apps/Cloudsysteme, deren Mailserver nicht vollständig konfiguriert sind und noch den Default-Eintrag tragen.---
gappssmtp.com
onmicrosoft.com
1e100.net
test-google-a.com
---DNSWL-Geschichten, sprich gekaufte Reputation für große Marketing-Newsletter-Versender kommt hier meist auch nicht mehr an. Da hat einfach jemand zu viel Geld um unbedingt seine Mails zustellen zu lassen. Und das sind gerade Email-Marketing-Firmen.
Einzelne Mailadressen oder Domains spielen dagegen - mit wenigen Ausnahmen - kaum eine Rolle, das kommt dann auch eher von mir persönlich als von Usern. Das betrifft dann höchstens Adresslistenanbieter (von Messen/Konferenzen), wo schon die Teilnehmerzahl nicht stimmt oder irgendwelche Softwarelösungen, die mir monatlich seit Jahren sämtlichen Mitarbeitern angeboten werden - selbst wenn der ganze Betrieb dafür keine Verwendung hat und man das auch mitgeteilt hat.
Insgesamt hat sich noch niemand beschwert, dass Mails nicht angekommen wären, die man dringend erwartet.
