Beiträge von darkstar

Zitat von snalci

ich habe von Amazon folgende Mail erhalten:

<?xml version="1.0"?> <feedback> <version>0.1</version> <report_metadata> <org_name>AMAZON-SES</org_name> <email>postmaster@amazonses.com</email> <report_id>c7deaee3-db39-4e9e-9eb9-6e0ccf6dd2ae</report_id> <date_range> <begin>1778630400</begin> <end>1778716799</end> </date_range> </report_metadata> <policy_published> <domain>xyz.de</domain> <adkim>r</adkim> <aspf>r</aspf> <p>none</p> <sp>none</sp> <pct>100</pct> <fo>0</fo> </policy_published> <record> <row> <source_ip>18.156.205.64</source_ip> <count>1</count> <policy_evaluated> <disposition>none</disposition> <dkim>fail</dkim> <spf>fail</spf> </policy_evaluated> </row> <identifiers> <envelope_from>bindermail.de</envelope_from> <header_from>xyz.de</header_from> </identifiers> <auth_results> <spf> <domain>xyz.de</domain> <result>softfail</result> </spf> </auth_results> </record>

Das heisst für mich SPF und DKIM sind fehlerhaft. Warum? Ich habe in den Einträgen, die seitens Netcup gemacht worden sind, nichts geändert.

Was muss ich nun machen?

Nix. Du hast irgendwo das DMARC-Reporting im DNS-Eintrag aktiv (rua=mailto:reports@example.com)

Und Amazon schickt Dir jetzt einen Report, dass da eine Mail gekommen ist, die nicht in Ordnung war.

Schau mal nach, ob diese Mail von Dir selbst oder von jemandem kam, der einfach Deine Mail-Adresse benutzt hat.

Zitat von aderrose

Does anybody know if it is possible to use the additional IP's as an outbound address? From what I understand (which may well be wrong) the additional IP's forward to the original vServer IP, so any services running on the server will see the original IP not the additional address.

Use eth0:1 for the additional IP on the same interface, its just the correct way and you would not need an additional routing.
Generally, the services, which are reachable under that IP would answer with that IP when the connection goes to that additional IP.
If you have something like postfix, which you want to sent with the addtional IP, you have to define it on service level, in postfix’s case it is main.cf:
smtp_bind_address = xx.xx.xx.xx

(and keep in mind - you have also to define the correct hostname with myorigin and myhostname…)

Zitat von Schnurp

https://www.computerbase.de/news/internet/…ten-lahm.97210/

Statusseite der denic auch down

Klar, wenn alles mit .de nicht funktioniert, was nicht noch im Cache war…

Aus der Praxis: Es fehlt das Stromkabel.

Zitat von KosMos

Ja, das klingt plausibel, aber technisch gesehen sollte es, bei gleichen Voraussetzungen, eigentlich keinen Unterschied machen, ob ich nun Datacenter IP A (Netcup) oder Datacenter IP B (Netcup) benutze, wenn wir davon ausgehen, dass beide von Netcup stammen und keine IP auf irgendeiner Blacklist stehen.

In Bezug auf die IP-Adressen können die Dienste (Webseiten) nur feststellen, wem die IP gehört (Netcup) und auf welchen Blacklisten die Adresse gelistet ist.

Technisch wird es immer spannend, wenn GeoIP-Datenbanken die Ip-Adresse "anreichern". Kannst das ja mal mit einer Deiner IPs ausprobieren.

GeoIP databases demo | MaxMind

Es gibt das sehr generelle Einträge für viele IP-Adressen, ich konnte auch auch für "meine" VPN-IP-Adresse einen speziellen Eintrag /32 setzen lassen.
Leider gibt es relativ viele solcher Datenbanken und das hat für YT nicht gereicht.
Manchmal betreiben große Website-Betreiber eigene GeoIP-Datenbanken und manchmal haut auch einfach ein Website-Betreiber große Netzsegmente in seine persönliche Blockliste wenn ihn irgendwelche Bots aus diesem großen Segment heraus zu sehr geärgert haben.

Ich war es nun 25 Jahre gewohnt, in einem Umfeld praktisch ohne Privatnutzer im RZ zu agieren, mit sehr großen Nachbarn.
Das ist schon definitiv anders... Auch wesentlich weniger Scans auf Sicherheitslücken und kannte das Bot-Problem bisher so nicht. Ich war aber auch für meine Netzsegmente als Besitzer eingetragen, nicht der Provider. Das klappt natürlich so mit den Einzel-IPs bei Netcup nicht.

Zitat von KosMos

Vielen Dank für deinen Erfahrungsbericht, hast du dann nur vereinzelt das Problem bei YouToube gehabt oder musst du bei jedem Video ein Captcha lösen?

Wahrscheinlich kommen die meisten Probleme nur deshalb zustande wegen der Problematik, dass ASNs von Rechenzentren pauschal als weniger Vertrauenswürdig eingestuft werden? Sind deine IPs auf irgendeiner Blackliste, wahrscheinlich nicht?

Wenn es nur ein "ASN wird nicht vertraut Problem ist", dann funktionieren ja auch NAT-Setups problemlos und ich kann mir die exklusive IP je Kunde sparen.

NAT funktioniert problemlos.

Was YouTube haben will ist ein Login, kein Captcha.

Meine IPs sind soweit ich weiß nicht auf einer Blacklist und zumindest meiner VIP vertraut auch die Telekom als legitimer Email-Sender.

Dafür wirkt mein F2B langsam. Die ersten IPs haben sich für 2 Wochen Sperre qualifiziert… irgendeinen User hat das jedenfalls bisher nicht betroffen…

Zitat von ASS

Wieso "müssen" bei Wind die Windräder abgeschaltet werden "weil sonst die Netze zusammenbrechen", bei Solar klappt es aber problemlos?

Klappt technisch nicht problemlos und kostet die Netzbetreiber auch Geld - zur Not gehts auf den Shunt Reactor.

Technisch sinnvoll ist auch eine Regelung von Solar, allerdings hat man mit Rücksicht auf viele Eigenheim-Solarbesitzer bisher darauf verzichtet - denn das Equipment dafür kostet auch Geld.

Zitat von ASS

Auffällig ist immer, das Wind genau bei 0€ Börsenpreis bleibt, der Solarstrom aber darunter geht...

SDLWindV - SystemDienstLeister Wind Verordnung. Da darf und kann gesteuert abgeregelt, bei Solar ist das im Wesentlichen ungeregelt.

Ich bin mir allerdings aktuell nicht sicher, ob auch große Freiflächenanlagen mit mehreren 100MW mittlerweile auch abgeregelt werden müssen. Eine Diskussion dazu gab es auf alle Fälle mal, was daraus geworden ist, weiß ich leider nicht.

Einer meiner RS dient auch als VPN-Server.

Zum einen gehen dort mehrere S2S-Tunnel hin, d.h. es vernetzt so die privaten Netze eigener Standorte und ich hab so auch Zugriff auf das VLAN, um meine anderen RS zu erreichen und muss nicht über die Public Interfaces.

Zum anderen habe ich, nachdem ein Apple-IOS-Update wieder den Zugriff über meinen heimischen Bintec-Router zerschossen hat, derzeit darüber auch eine VPN-Einwahl und auch das Surfen ist darüber dann für den IP-Adressbereich der VPN-Einwahl-IPs möglich.

Das führt dann dazu, dass bei aktiviertem VPN z.B. Youtube mich als Bot sieht und ich mich anmelden soll. Schalte ich das VPN aus funktioniert alles wieder normal.

Problem sind Geolocation-DBs, die das entsprechend ASN dem RZ zuordnen. Man kann versuchen, das manuell zu ändern (bei irgendeinem gab es ein Formular) und einen speziellen Eintrag für den Standort der IP zu setzen. Das hat bei einem der Anbieter auch geklappt, bei Youtube aber nichts geändert.

Irgendwie wäre es für solche Anwendungen gut, auch spezifisch IP-Adressen zu bekommen, die als Access in Geo-IP registriert sind. Natürlich kann das zu Einschränkungen beim direkten Email-Versand führen, aber man kann nicht alles haben.

Zitat von andreas.

Proxmox ist nicht nur dazu da, um VM´s auf Dedicated Server zu nutzen, sondern wird hier von einigen Kunden auch dazu genutzt, um LXC´s innerhalb eines VPS / RS zu betreiben.

Stimmt, da gab es noch in neueren Proxmox-Version die LXC-Container. Hab ich nur so nie genutzt, bevorzuge eigenständige VMs.

Ich habe jahrelang Proxmox auf eigener Hardware gehabt aber würde nie versuchen, das selbst auf virtuellen Servern zu installieren (der RS ist ein VPS mit garantierten Ressourcen). denn es macht keinen Sinn KVM im KVM genested laufen zu lassen.

Zu Deinem Problem:

Du hast nicht zusätzlich eine weitere Netzwerkkarte (eth1) eingebaut bekommen sondern die zusätzliche IP landet auf der Netzwerkkarte eth0.

Das ist dann nicht eth1 sondern eth0:1.

Zitat von ckd

Der Flaschenhals ist die Verschluesselung von IPsec, weniger die Hardware. Der realistische Durchsatz liegt bei etwa -- oder besser gesagt, "nur" 75 MBit.

Exakt das ist das Thema. CPU rödelt auf den Routern bei 99% Auslastung weil über den Tunnel Backups laufen.
Daher geht es schon primär um mehr CPU-Leistung. Und um Router, die vielleicht tatsächlich mit mehr als einem Core umgehen können und die S2S-Verschlüsselung nicht nur auf einem Core abarbeiten… Meint: auch mit einer 192 Core-CPU kann man da erstaunlich schlechte Ergebnisse erzielen.

Zitat von ckd

Vergleich doch mal die Hardware gaengiger Firewallprodukte, dort wird der IPsec Passthrough fast immer mit angegeben, i. d. R. zwischen 50 und 100 MBit, je nach Verschluesselungsalgorithmus und sonstigen Sicherheitsfeatures. Ist wie bei einem Proxy auch, wenn IPS/IDS, Virenscanner usw. dazwischengeschaltet werden.

Das weiß ich ja und da bin ich ja mit 50 MBit down längst, da gehen mit Kompression auch mal 7-8 MB/s drüber. Da ist aber Ende der Fahnenstange - nicht nur für das VDSL sondern vor allem auch für die CPU des Routers. Mir geht es da eher um Faktor 20 bis 200. Natürlich i.d.R. verteilt aber im Maximum auch auf einer Verbindung bis 1 GBit/s oder 10 Gbit/s.

Zitat von ckd

Luefterlose Hardware gibt es en masse, selbst Cisco bietet mit der CBS 250 Reihe luefterlose managed Switches fuer das Buero an. Anbieter wie Protectli bieten dann die Hardware fuer den Proxmox Hypervisor / Hardware Firewall / Linux Server, ebenfalls passiv gekuehlt. Ein kleiner Luefter direkt ueber der passiv gekuehlten Hardware in einem kleinen Netzwerkschrank bewirkt dann wahre Wunder. In meinem Buero ist es schon seit Jahren fluesterleise, keine aktiven Komponenten mehr.

Protectli ist schonmal ein Ansatz, da sieht man auch etliche Modelle mit real 1GBit+-Durchsatz, bei knapp über 4 GBit ist mit IPSec (5 GBit mit Wireguard) aber definitiv auch mit dem größten Gerät Schluss.

Schließe mich mal an:
Viele schnelle Ports haben mittlerweile viele.
Aber gibt es da auch etwas, was real (annähernd) 1 GBit/s über einen IPSec-S2S-Tunnel schiebt?
Womöglich auch noch lüfterlos?
Vielleicht auch bis 10 GBit/s?

Derzeit werkeln hier noch Bintec RS123, aber die bewegen sich schon bei (noch) 50 MBit down/20MBit up VDSL@home + compression bei 99% CPU-Last… Im Büro habe ich dagegen für sehr schmales Geld 100 MBit synchron mit fester IPV4 und kann das auch in den GBit-Bereich ausbauen, da RZ im Haus. Was mir allerdings dank Routerschwäche nichts nutzen wird.

Zitat von live

Die Ausreden der Geschäftsleitung auf mögliche Preissenkungen sagen schon alles. Wie es auch bei den Strompreisen nicht passiert ist, werden die Preise nie mehr sinken. Das ehrlich anzusprechen passiert nicht.

Man hätte es einfacher haben können, wie folgendes Beispiel eines Mitbewerbers nach ca. 22 Jahren Vertragslaufzeit zeigt (übrigens ist dort keine Computerhardware gemietet):
---
Sehr geehrte Damen und Herren,
wir möchten Sie heute über eine bevorstehende Preisanpassung unseres Rechenzentrumsdienstleisters informieren.
Unser Lieferant für Ihre Rechenzentrums-Dienstleistungen hat uns mitgeteilt, dass zum 01. Juli 2026 eine moderate Preiserhöhung von 5,5 % auf bestimmte Leistungen vorgenommen wird. Hintergrund sind gestiegene Kosten bei Dienstleistungen, Lieferanten sowie Produkt und Lizenzkosten.

Was bedeutet das für Sie?
— Die Anpassung um 5,5 % erfolgt automatisch zum 01.07.2026.
— Alle weiteren Rahmenbedingungen Ihres Vertrags bleiben bestehen.
— Auf Ihr vertragliches Sonderkündigungsrecht verweisen wir an dieser Stelle.

Wir stehen Ihnen selbstverständlich für Rückfragen gerne zur Verfügung. Wenn Sie ein persönliches Gespräch wünschen oder weitere Informationen benötigen, melden Sie sich jederzeit bei uns.

Vielen Dank für Ihr Vertrauen und die gute Zusammenarbeit.
---

Man hätte auch bei NETCUP nur über gestiegene Kosten bei Dienstleistungen, Lieferanten und Produkt- und Lizenzkosten schreiben können.
Ende der Durchsage.

Ansonsten gilt IMHO bei Verbrauchern: 2 Jahre max. initiale Vertragslaufzeit, danach 1 Monat Kündigungsfrist. Und das gilt wechselseitig und ist seit dem 01.04.2022 maßgeblich. Und als Firma sind mir 12-Monatsrabatte erstmal egal, ich schließe grundsätzlich monatlich ab. Ist ungemein hilfreich bei Anpassungen/Upgrades etc.
Irgendwelche Abrechnungsperioden haben damit nichts zu tun - bei entstehenden Differenzen muss aber eine Abrechnung erfolgen. Und natürlich besteht ein Sonderkündigungsrecht bei Preiserhöhungen im Vertrag.

Wenn NETCUP aus praktischen Gründen (gerne auch als kundenfreundlich verkauft - ist es zwar auch, trifft aber nicht den Kern) auf eine Preiserhöhung innerhalb des laufenden Abrechnungszeitraums verzichtet, so muss man keine Differenzen abrechnen - denn die Erstellung solcher Abrechnungen ist auch Aufwand.

Zitat von extremmichi

ssh lässt sich gut über geoip filtern.

da wird schonmal 90% weggefiltert.

https://tecadmin.net/allow-server-access-based-on-country/

Ist ne Idee (ich vermute aus Perspektive eines flächenmäßig sehr großen Landes), führt aber IMHO nur bei sehr speziell eingeschränkter Anwesenheit der ssh-Nutzer (bzw. des ssh-Nutzers) zum Ziel. So sehr bin ich nun doch nicht in Deutschland verwurzelt, dass ich mit GeoIP aller Sorgen ledig wäre…

Hier mal eine Auswertung der IP-Adressen aus einer aktuellen Blockliste für ssh nach GeoIP (die letzten 24 h eines einzelnen Servers, auf dem noch keine Daten liegen):

1. Nix (bis auf Senegal und Ecuador), wo ich noch nicht war.

2. Wenn ich die Prozentzahlen der Länder addiere, wo ich selbst noch in diesem Monat sein werde, so bin ich bei ca. 30%. Da ist pauschales GeoIP-Blocking keine gute Idee.

3. Auffällig sind Rumänien und Niederlande (es riecht nach der Cloud eines großen französischen Anbieters), das lässt sich aber auf wenige IP-Netze eingrenzen, dazu China und Russland - und dann bin ich in Summe knapp über der 50%-Schwelle.

4. die mit 1,59%/1 testende IP pro Land nehme ich nicht wirklich so wichtig.

Zitat von TBT

Das stimmt, aber ja doch vor allem SSH. Ja, Mailserver werden auch permanent angebaggert, hab ich auf meinem eigenen Mailserver gesehen. Hier kann man mit f2b in der Tat was machen.

Spätestens bei dem Wordpress Thema bräuchte es aber dann schon eine WAF. Und eine solche ist ja doch etwas selten. Bin da gerade auf https://github.com/bunkerity/bunkerweb gestoßen, evtl mal ansehen und die eigene Umgebung noch besser absichern.

WAF ist aber nach meinem Verständnis rein http/https… das wäre noch ein weiterer Ansatz. Die kritischen Sachen sind hier eher geknackte Mailaccounts (also smtp/imap/pop3 und das zugehörige SASL - also wenn das jemand schafft.

ich hatte mal plötzlich ne Mailqueue bis sonstwo bloß weil jemand lange genug auf einem Useraccount rumprobiert hat. Und jede Menge Probleme mit der Reputation - erstmal finden/beheben/mailq aufräumen und dann erstmal über eine andere IP senden… brauch ich nicht wirklich

F2B schickt nun bei mir so einen Bot Minimum 3h auf die Bank, im Wiederholungsfall verdoppelt sich die Zeitstrafe automatisch auf bis zu 5 Wochen…

Webseiten sind hier zwar durchaus in php - aber kein WP etc. - das meiste ist eher hausgemacht. Insofern können die rootkit-Kameraden auch gleich ohne Antwort bleiben…

Zitat von TBT

Wenn, ja wenn. Wenn der Server nicht mehr voll unter Kontrolle ist (weil gehackt), ist er eben nicht mehr voll unter Kontrolle. Und der User weiß ggfalls nichts davon.

Argument verstanden… soll ja User geben die sich einen vserver mieten - noch vor dem Internet-Führerschein

Zitat von TBT

Aber wieso F2B überhaupt benötigen/verwenden, wenn man schlicht auch - noch sicherer - SSH Zugang von außen mit der Firewall und einer VPN Lösung komplett unterbinden kann? Ich sag nicht, dass die NC Firewall alles abfangen kann (sie ist keine WAF), aber zumindest für SSH ist sie - für mich - eine feine Sache.

Es ist ja nicht nur SSH, es gibt ja jede Menge Anmeldeversuche per Postfix/Dovecot etc. - irgendwelche Rootkit/Wordpress-Plugin-Suchen (ich will hier jetzt kein error.log ausbreiten) - kurz auf jeden verdammten Port der da irgendwo im Netz steht. Und dummerweise sind die Ports auch für legitimen Traffic (absichtlich!) da.

Zitat von Hille

Das passiert aber alles auf OS Ebene. Als Vorfilter ist die NC Firewall schon sinnvoll.

Ich denke, es gibt 2 Ebenen:

a) die Protokoll/Port-Ebene - das kann ich mit der NC-Firewall machen - oderbauch mit Tools lokalen Tools wie ufw - in dieser Hinsicht aber Vorteil NC-Firewall, weil dieser Traffic garnicht erst beim Server landet. Im Prinzip tut es aber auch eine gute Konfiguration der Services mit Prüfung was da so läuft, also ss -tulpn

Wenn Die NC-Firewall hat da dann einen Sinn, wenn die Konfiguration nicht fertig ist und über irgendwelche vorkonfigurierten Automatismen plötzlich und unerwartet ein Dienst hochkommt, der auf 0.0.0.0 hört und das direkt Probleme machen kann. Hatte neulich ein strongswan was ein dhcp automatisch mitbrachte…

b) die Ebene der Zugriffsversuche auf durchaus gewollte Dienste, d.h. da wo z.B. fail2ban arbeitet. Da hat die NC-Firewall derzeit keine Funktion… Es sei denn man baut einen REST-API-Client. Die Frage ist dann nur, ob es nicht Sinn macht, dass dann jeder seine Config selber pflegt oder ob man nicht auch eine gemeinsame Blocklist pflegen kann. Wenn ich mir anschauen, wie sehr systematisch aus bestimmten Netzen wie 2:57.120/121/122.* allein ssh gescannt wird, mit postfix-sasl geht es dann weiter usw.

Wenn man unsicher ist, ob man so legitimen Traffic blockt kann man sich auch ein paar vserver lite als honeypot hinpacken, die dann eine Reihe offene Ports mit gängigen Diensten darstellen, ohne dass etwas dahinter wäre bzw. z.B. ein Postfix überhaupt senden könnte…

Ich brauche normalerweise keine externe Firewall wenn ich einen Debian-Server selber voll unter Kontrolle habe.
Und für nervende Gäste gibt es Fail2ban. Allerdings ist für viele die Konfiguration nicht so einfach - und wann man dann noch Abuse-Reports schicken möchte sind viele inhaltlich oder zeitlich überfordert.

Derzeit bekommen alle eigenen Server per banaction mitgeteilt wenn bei einem der eigenen Server ein Gast auffällig wurde und an blocklist.de fürs Abuse arbeite ich derzeit. Es ist nämlich gefühlt echt viel im Netcup-Netzen.

Es wäre z.B. schick, auch der Firewall direkt Nachricht zu geben und nicht erst auf Server-Ebene zu blocken…

Das geht zwar prinzipiell schon per REST-API, mich würde aber auch dafür eine Art Schwarmintelligenz interessieren - d.h. viele Server lassen Fail2ban reporten an eine Blocklist und die Firewall bindet dann so eine Blocklist ein, z.B. erst wenn x verschiedene Server den gleichen nervenden Gast gemeldet haben die IP >nul-routed…

Ich hoffe, die Idee wurde deutlich…

Stimmt, der Howto-Thread war einfach für die ersten Gehversuche mit der REST-API gut…

Ich hab natürlich auch bei der ganzen Konfigurierei fleißig Doku geschrieben/Notizen gemacht, das muss ich aber noch ein wenig sortieren.

Kann noch bis Ende April dauern, jetzt ist erstmal Daten umziehen, eventuelle Probleme fixen und Ende nächste Woche Tour ins alte RZ und alte Hardware abbauen.

Zitat von terence

Ich habe gerade gesehen, daß auf der folgenden Seite ganz unten noch der SOAP-Webservice erwähnt wird, statt der REST-API.

https://www.netcup.com/de/server/kvm-server-erweiterungen

Und dabei gibt es so ein schönes Skript dafür…

Beitrag

RE: Howto REST-API nutzen

Soooo, jetzt wird bei --list-servers auch der Nickname angezeigt. Der Nickname ist nur zur Info gedacht, kann also bei assign nicht als Referenz genutzt werden, da nicht eineindeutig.

Bei --list-vips werden jetzt nur noch die VirtualIPs angezeigt, nicht die zusätzlichen IPs (editable: false). Ich denke, man in solchen Fällen auch über das SCP die zusätzliche IP zuordnen und braucht dafür nicht ein Skript, dass eigentlich für Failover-Situationen gedacht ist.

darkstar

23. März 2026 um 13:17

Mittlerweile läuft das bei mir auch im Pacemaker/Corosync-Setup mit, d.h. ich kann die Ressourcen in einem Active/Passive-Cluster verschieben…

Ich habe inzwischen auch noch eine selbstgebaute netcup_fence-Lösung sowie die nötigen Einbindungen…