Posts by H6G

Quote from foto-andreas

* max ICMP 1450 sowohl ins Internet als auch ins vLAN

1472 gehen explizit nicht?

Quote from foto-andreas

Firewalls sind aus

Ganz sicher kein iptables, nftables oder UFW laufen?

Docker ohne Firewall gehen doch gar nicht, oder?

Wie schaut es da wirklich aus, was sind deine Policies?

Quote from foto-andreas

Aber:

Mag an der ARP Tabelle liegen, dem würde ich erstmal keine Bedeutung zuweisen, da die Requests ins öffentliche Netz immer durch das Gateway gehen, und da steht die MAC Adressse bereits in der ARP Tabelle. Zum VLAN muss diese erst durch den Kernel aufgebaut werden.

Quote from foto-andreas

Neu aufsetzen probiere ich dann auch gleich mal...

Sonst bleib doch einfach bei einem Thread. Das Thema über mehrere Posts zu verfolgen macht echt keinen Spaß!

Quote from foto-andreas

Gleiches Problem bei uns.

Hast du die Firewall überprüft?

Welche Payloadsize geht bei dir über ICMP maximal durch?

Quote from frank_m

TTL nicht bedacht?

Unwahrscheinlich. Wahrscheinlich Record nicht bearbeitet oder verwechselt.

Bildschirmfoto zu 2024-12-04 15-06-04.png

Quote from goerdi

ich probiere grad meine DANE validierung aus und auf

https://dane.sys4.de/smtp/virgo.hoerst.net

kommt

virgo.hoerst.net. 86400 IN AAAA 2a0a:4cc0:c0:33c:c8a2:c3ff:fe93:ccda ist nicht 2a0a:4cc0:c0:33c:741d:20ff:fe2c:108e - evtl. ein DNS Problem?

Quote from goerdi

Probier mal einer https oder smtp (25)

https funktioniert, kommt aber Zertifikatsfehler (mta-sts), http funktioniert (Ubuntu Apache Standardseite)

Bildschirmfoto zu 2024-12-04 14-56-52.png

smtp funktioniert

Bildschirmfoto zu 2024-12-04 14-57-55.png

Quote from miednr

Was mich interessiert: Wie handhabt ihr das? Und seid ihr mit der Lösung (beides auf einem Server) zufrieden?

Ich habe sowohl Google Workspace, Mailbox.org und betreibe ein eigenes E-Mail Cluster mit mehreren Mailservern zwecks Ausfallsicherheit.

Diese Mailserver laufen auf dem gleichen Netcup Servern, wie auch stark frequentierte Webserver - allerdings getrennt durch LXC Container zur Isolation. Der Server ist vergleichbar mit einem RS 8000 (16 Kerne, 64 GiB RAM), der langweilt sich aber die meiste Zeit. Abgesehen von der Größe der Festplatte / SSD hätte hier auch RS 1000 oder 2000 ausgereicht. Hier sind weder Sicherheit, noch Performance, noch Skalierbarkeit ein Problem.

Der zweite Mailserver läuft noch aus historischen Gründen auf einem VPS Ostern S OST20 mit 2 Kernen und 8 GiB RAM.

Generell brauchen Mailserver kaum Leistung. Der meiste Leistungsverbrauch kommt durch den Spamfilter bzw. Virenfilter zusammen, wenn eine E-Mail gesendet oder empfangen wird.

Quote from miednr

Du hast vorhin kurz "Ja" geantwortet auf die Frage, ob Redis "installiert/freigegeben" werden muss durch den Support. Also jetzt erfahre ich hier auch noch, dass Redis nicht installiert ist.

Naja, wenn es erst durch den Support installiert werden muss ist Redis folglich bisher noch nicht installiert.

Am Ende ist es eine nackte Linux Installation mit einem Plesk System oben 'drauf. Beide haben idR Redis nicht vorinstalliert, es muss erst durch den Systemadministrator installiert werden.

Quote from miednr

Wird der Support eine solche Installation auf Anfrage vornehmen?

Für jegliche Änderungen, die du nicht selbst im Webinterface durchführen kannst, ist der Support der richtige Ansprechpartner.

Generell sind hier im Forum sehr wenig Personen unterwegs, die einen Managed Server haben und so technisch versiert sind um deine Fragen zufriedenstellend zu beantworten.

Abgesehen von Konzepten (siehe E-Mail Server Diskussion), ist der Support immer der richtigere Ansprechpartner.

Einige Sachen lassen sich sicherlich auch kurz am Telefon lösen.

Quote from miednr

Mit einer zusätzlichen IP könnte man den Mailserver von der Website trennen, was die Sicherheit erhöhen würde.

Das sehe ich tatsächlich nicht. Das klingt eher nach Security thru Obscurity, welches an und für sich keine Security ist - zumal man die entsprechende Adresse rausfinden kann, bedeutet nur etwas mehr Aufwand. (Meistens reicht ja die Abfrage des MX Records)

Eine Isolation zwischen den Diensten findet dadurch nicht statt.

Insofern würde ich sagen: herausgeschmissenes Geld.

Wenn dir die Ziele für einen dedizierten Mailserver wichtig sind, würde ich eher darauf setzen. Ggf. sogar einen entsprechenden Mailprovider wählen (Mailbox.org, Office 365 etc. etc.)

Alles eine Frage deiner Anforderungen.

Welches Ziel möchtest du damit erreichen?

Quote from miednr

z. B. Redis oder andere In-Memory-Datenbanken.

Die sind in aller Regel nicht vorinstalliert.

Quote from miednr

Muss der Support den Dienst erst installieren und/oder freigeben?

Ja.

Quote from dodeka

Auch hier verstehe ich deinen Einwand nicht. Das Zitat hast du außerdem aus seinem Kontext getrennt.

Das ist nicht aus dem Kontext gerissen - Signing Domain muss nicht mit der Absenderdomain übereinstimmen.

Quote from dodeka

Ehrlich gesagt, verstehe ich nicht, was du damit meinst. Der von dir beschriebene Weg wird aber scheitern, solange du keinen Zugriff auf die DNS-Verwaltung der Domain und/oder den Key-Server hast.

Ich kann dort jede Signing Domain eingeben, die ich möchte - selbstverständlich auch eine Domain, für die ich Zugriff zur DNS-Verwaltung habe.

Hier einmal ein Beispiel von einer echten Mail:

Return-Path: <mail@h6g.de>
Delivered-To: ******
Received: from lambda.h6g-server.net
    by lambda.h6g-server.net with LMTP
    id mNxkDv1pT2dApA8Ackk3ow
    (envelope-from <mail@h6g.de>)
    for <******>; Tue, 03 Dec 2024 20:28:45 +0000
Received: from mail-ed1-x535.google.com (mail-ed1-x535.google.com [IPv6:2a00:1450:4864:20::535])
    by lambda.h6g-server.net (Postfix) with ESMTPS id A81D380338
    for <******>; Tue,  3 Dec 2024 20:28:42 +0000 (UTC)
ARC-Authentication-Results: i=1;
    lambda.h6g-server.net;
    dkim=pass header.d=h6g-de.20230601.gappssmtp.com header.s=20230601 header.b="Ts/HkODx";
    dmarc=none;
    spf=pass (lambda.h6g-server.net: domain of mail@h6g.de designates 2a00:1450:4864:20::535 as permitted sender) smtp.mailfrom=mail@h6g.de
Received: by mail-ed1-x535.google.com with SMTP id 4fb4d7f45d1cf-5d0c098c870so322143a12.1
        for <******>; Tue, 03 Dec 2024 12:28:42 -0800 (PST)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=h6g-de.20230601.gappssmtp.com; s=20230601; t=1733257714; x=1733862514; darn=******;
        h=content-transfer-encoding:subject:from:to:content-language
         :user-agent:mime-version:date:message-id:from:to:cc:subject:date
         :message-id:reply-to;
        bh=tUcmPKCWwFcvuGNvp7M+An4wU1gC3l4Br6h9LkHoqzc=;
        b=Ts/HkODxj56NrPqyNUZox1tzNjCxqkNpCW+Lgyea9fU7cbQ9k+y4ii/gCrEsEYS69p
         2WGesX6BaRIAHkx/L5N/MIG5UEBM4NCm133r1Upm98cnJWncvL2eKJ8cXIbpZ2x7sf78
         r7XtOBqp72/7ee1TA6/xig1iAgoyEGzC3pgoU0AvkC1tl2zEgH6XN+gn83sicxuPHoh7
         Jf076TjQlN0S/2cZ8iQhSxzgrFWceTPygOcnzbkdL+IV7M16jqr32xO3uR+r/Rz+zy/a
         w0wLazxkADCetZMfB8DBUdMNnV2R75QQh4bob+EakgKatYiOqkfRnX4TI4VjApJktgMQ
         ePvg==
Message-ID: <19b28ee0-9e17-40e3-b4d0-460187e4fe2b@h6g.de>
Date: Tue, 3 Dec 2024 21:28:32 +0100
MIME-Version: 1.0
User-Agent: Mozilla Thunderbird
Content-Language: en-US
To: <******>
From: <mail@h6g.de>

Die DKIM Signatur beweist nur, dass Google diese E-Mail verschickt hat.

Es beweist nicht, dass h6g.de eine legitime Absenderdomain ist.

Und genau so wie Google diese E-Mail in Namen von gappsmtp.com signiert, kann dort auch jede andere Domain herhalten. Absender ist in jedem Fall h6g.de.

Ich könnte zusätzlich noch mit h6g.de signieren, muss ich aber nicht. Die DKIM Signatur ist in jedem Fall gültig und scheitert offensichtlich nicht.

Quote from Linewalker

Ich habe in über 20 Jahren noch nie die MTU ändern müssen. Der Plan ist ja, die Server zu "verstecken".

Das VLAN sollte eigentlich eine MTU von 1500 Bytes unterstützen. Jumbo Frames (9000 Bytes) funktionieren hier nicht.

PathMTU regelt eigentlich den Rest, aber nur, wenn die Interfaces sauber konfiguriert sind.

Quote from turum

To enhance your communication practices, you might consider the following best practices commonly used by customer-focused organizations:

I'm confused... - or this this written by ChatGPT?

Quote from turum

Implement an SLA (Service Level Agreement): Setting clear expectations for response times can reassure customers that their concerns are being addressed within a defined timeframe. Even if the resolution might take longer, knowing when to expect an update makes a significant difference.

Quote from Netcup Support Page

Our response promise

If we receive your ticket before 5pm CET on german weekdays (Mon-Fri), we promise to respond to your request the same day.

Requests from outside Europe are processed within 24 hours due to the time difference.

That's a clear expectation for a response time.

Quote from turum

Automated Updates: Sending periodic updates on the status of open tickets, even if there is no immediate resolution, can show customers that their cases are still actively being worked on.

Usually if the ticket gets forwarded to another departent you get a message about this. I've experienced this often myself.

Quote from turum

Proactive Engagement: In situations like these, leveraging forums, newsletters, or even social media to proactively inform customers about delays and steps being taken to resolve them can significantly improve perceptions of your brand.

https://www.netcup-status.de/2024/11/verzoegerungen-in-der-ticketbearbeitung-2/

Quote from turum

Dedicated Emergency Line: For critical cases, consider providing an expedited support channel to address urgent issues promptly.

Same Support Page, just scroll down.

Quote from Netcup Support Page

Emergency Support

Is your web account or server unavailable? Do you suspect a technical failure or malfunction? At netcup, we understand that a smooth online presence is crucial. If you encounter irregularities in the accessibility of your web account or server, we offer you transparent information about possible disruptions. Visit our page netcup malfunctions to view current reports on technical failures and find out whether the malfunction is already known. If not, you can reach one of our technicians around the clock directly via this telephone number: +49 721 754 0 755 5

Quote from dodeka

Selbstverständlich validiert DKIM die Absenderdomäne über ein Signaturverfahren.

Ich kann für die Abenserdomain example.net eine gültige DKIM Signatur mit der Signaturdomain gappsmtp.com aufbringen. DKIM validiert nicht die Abenderdomain.

Edit: steht sogar im RFC drinne:

Quote

DKIM separates the question of the identity

of the Signer of the message from the purported author of the

message.

Quote from dodeka

Dem Problem mit den Backscattern kann (wird) doch mit SPF und DKIM Validierung ein Riegel vorgeschoben? Ein gefälschter Absender wird frühzeitig wegsortiert, noch bevor der Mailserver die Nachricht dem Benutzer zuzustellen versucht oder per Autoresponder geantwortet wird.

Die Bounce Adresse kann sich sowohl vom From Header, als auch vom SMTP From Header unterscheiden, so kann SPF umgangen werden.

DKIM beweist erstmal nichts, ohne den entsprechenden DMARC Eintrag, und schützt damit nicht vor gefälschtem Backscatter.

Quote from Fishburn

Brauch ich dafür einen vollwertigen Root-Server?

Eher einen dedizierten Server.

Quote from X-Nightmare-X

Braucht man dafür nicht ne GPU?

Ja, QEMU bringt aber eine direkt mit, meistens Cirrus oder QXL Emulation.

Quote from Paul

Hast du die Seite mal neu geladen? Ich bekomme das Angebot ganz normal angezeigt

Jetzt ja, aber kurz nach 12 war es nicht zu sehen.