Vorgestern? Echt jetzt?
Ich habe vor 5 Tagen, um genau zu sein am Sonntag den 18. Dezember um 14:47 ein Ticket eröffnet, und mir wurde 4 Tage später, also gestern, am Donnerstag, den 14:39 folgendes geantwortet:
Der Support hat direkt neben der Tastatur eine rote Warnlampe, die geht an, wenn ein Benutzer im Forum über 500 Beiträge hat - dann bekommt er Premium Support 
Dir fehlen nur noch 7 Beiträge, dann kommst du auch in den Genuss 
Ich nehme mal an, dass du so einen oder ähnlichen Test auch an deinem RS schon durchgeführt haben wirst. Kann das sein?
Nein, nur eine Schlussfolgerung meinerseits.
Wo hast du denn sowas gelesen?
Gar nicht gelesen. IMHO => In my humble opinion => Meiner bescheidenen Meinung nach.
Ich habe ein bisschen Erfahrung mit Virtualisierung und vermute, dass es so ist, nach Feeling wie sich die Server in der Verwendung verhalten.
da viel zu aufwendig und die vServer auch bei Bedarf mal schnell live auf einen anderen Host migriert werden können sollen.
Je Host führt man eine Datenbank, welche Kerne frei sind und welche belegt. Du brauchst ja nur die Info für Kern x und dazu, wie viele Kerne benutzt werden.
Alles scriptbar / programmgesteuert möglich, die Pinningeinstellungen zu treffen.
Es gibt eh eine Datenbank welcher Server auf welchem Host läuft - und Netcup hat hier sowieso alles custom, von Interface bis hin zum Routing.
Das noch um die Kernzuweisungen zu erweitern, halte ich für nicht aufwendig.
Ein Pinning wäre die einfachste Möglichkeit die VM Kerne ohne Eingriff vom Scheduler ohne Steal zu betreiben.
Bei einem preemtive Kernel wären sonst die Steal Statistiken höher.
Hallo liebes Netcup Team,
ich wünsche Euch und der Community ein frohes Fest, einen fleißigen Weihnachtsmann und ruhige Festtage.
Danke [netcup] Christina R. [netcup] Claudia H. und [netcup] Lars S. für Eure Arbeit im Forum und für das tolle Weihnachts-Paket.
Bleibt Gesund und gemeinsam hoffen wir auf ein unaufgeregteres Forum im nächsten Jahr.
Ist halt nur blöd, wenn man auf seinen bestellten Server wartet und er wegen sowas jetzt erstmal blockiert ist.
Dann verwendest du die Zufriedenheitsgarantie missbräuchlich.
So viel man an der Standortlotterie auch kritisieren kann, ist es dennoch nicht in Ordnung die Zufriedenheitsgarantie dafür zu nutzen, einen bestimmten Standort zu bekommen.
Bei Produkten mit Lotterie kann man idR. einen Standort gegen Aufpreis auswählen.
Die Zufriedenheitsgarantie wird nur kulant angeboten - Netcup muss das nicht anbieten.
Jemand ne Ahnung wann diese dann wie getaktet werden?
Die eingesetzte Technik bzw. Software/ Einstellungen wären schon interessant.
Am Ende ist es wie zu Hause: du hast 10 Programme, du weißt aber nicht, welches Programm jetzt gerade auf dem Kern mit 5 GHz läuft.
Das entscheidet alleine das Betriebssystem.
Bei Netcup läuft ein Linux, wie Prozesse auf dem Prozessor ein- und ausgegliedert werden, entscheidet der Scheduler.
Der sorgt dafür, dass Prozesse nicht verhungern und möglichst fair verteilt werden. Im Linux Kernel gibt es unterschiedliche Scheduler.
Welcher hier genau mit welchen Einstellungen verwendet wird, ist Betriebsgeheimnis.
Dann gibt es noch den Govenor - dieser entscheidet zusammen mit dem CPU Microcode, welcher Kern auf welcher Frequenz laufen soll.
Hier spielen Energiespareinstellungen und Thermal Throttle eine Rolle - bei Netcup ist anzunehmen, dass beide Faktoren keinen Einfluss nehmen.
Näheres dazu hier: https://wiki.archlinux.org/title/CPU_freq…aling_governors
Auch die genaue Einstellung ist Betriebsgeheimnis.
Zu guter Letzt gibt es noch KVM / qemu selbst.
Du kannst für jeden einzelnen virtuellen Kern und für die I/O Threads entscheiden, auf welchem physikalischen Kern diese fest gepinnt sein sollen, oder ob sie springen dürfen. Jeder Sprung hat natürlich Registerwechsel zur Folge, gepinnte Kerne sind besser für die Performance.
Auch hier: Betriebsgeheimnis. IMHO werden bei den RootServern die CPU Kerne gepinnt. Bei VPS wahrscheinlich nicht.
Anschließend kann ich nur sagen: ob ein virtueller Kern mit dem Basis- oder Boosttakt läuft ist Glückssache und lässt sich nicht auslesen.
Man könnte es mit folgendem Gedankenexperiment jedoch messen: Du schreibst ein Programm in Assembler, bei dem du für eine gewisse Anweisung genau weißt, wie viele Taktzyklen diese Anweisung auf dem Prozessor in einer KVM Maschine benötigt. Anschließend misst du, wie lange diese Anweisung braucht um ausgeführt zu werden. Anhand dieser beiden Informationen kannst du dir den genauen Takt errechnen.
Ich war unterwegs, da draußen
Als ob wir Kellerkinder raus gehen würden.
Ich betreibe einen Asterisk in meinem Heimnetz und erlaube nur den SIP-Servern von Vodafone-Kabel und von sipgate auf meine Asterisk-Instanz vom Internet her zuzugreifen.
Würde ich nicht empfehlen den, oder einen SIP Port für das externe Profil in der Firewall freizugeben.
Bei mir sind eingehend nur related, established und NAT Verbindungen erlaubt.
Sipgate kommt sehr gut mit Firewalls klar, bei der Telekom muss man ab und an ein Option Paket schicken, damit die Firewall offen bleibt.
Invites kommen ohne weiteres mit related, established durch, da durch das Register für den Endpunkt die Firewall eingerichtet wurd.
UPnP deaktivieren.
basierend auf einem Blogeintrag (im Repo verlinkt), habe ich hier mal ein kleines Script erstellt:
Finde ich sehr interessant, danke.
Das Problem was ich sehe, bei jeder Verbindungsanfrage wird die Bash im Userspace gestartet, um das Script zu interpretieren.
Der Linux Kernel hat eine integrierte Firewall, die soetwas viel schneller behandeln kann im Kernelspace.
Für größere Blocklisten im Kernel gibt es zudem https://wiki.archlinux.org/title/Ipset
Ich würde Länderlisten in ipset laden und kann per iptables das Ganze für mehrere Dientste, oder das ganze System sperren.
Im Blogeintrag steht zudem:
Update January 2019: Maxmind have officially dropped all support for the widely used
geoiplookupbinary and GeoIP Country (v1) database that it used.
Somit bist du nicht auf eine Datenbank angewiesen, sondern kannst per Cronjob dir andere Länderlisten von z.B. github ziehen.
Vorschlag: https://github.com/firehol/blocklist-ipsets
sonst gäbe es ja die beiden Threads auch gar nicht.
Naja, die Threads gibt es, weil irgendwer oder irgendein Script eine E-Mail an abuse@netcup.de geschickt hat, mit dem Inhalt:
xyz.example.net ist Böse.
Kann per se erstmal jeder machen. Daher sollte es keine Policy sein, die Accounts erstmal zu sperren, sondern evtl. 24h auf eine Stellungnahme zu warten.
Ist die unbefriedigend oder nach 24h nicht vorhanden, kann immernoch gesperrt werden.
Dienste, die im Internet für die anonyme Nutzung erreichbar sind, dienen aber auch nicht der IT Sicherheit und laden zum Missbrauch ein
Es kann gute Gründe für eine anonyme Nutzung geben. Klar, kann jeder über das Freifunk Netz Bombendrohungen verschicken - das sollte aber kein Argument sein, keine anonymen Dienste mehr anzubieten.
Das ist alles und imho nicht zu viel verlangt.
Fair.
Einmal wollen alle, dass gewartet wird, bis ein echter Schaden entstanden ist, und auf der anderen Seite rufen alle, warum nicht früher reagiert wurde, wenn ein echter Schaden entstanden ist.
Denkt mal drüber nach. Die kommenden Tage sollten ja Zeit dafür bieten. Ich finde diese Doppelmoral bedenklich.
Vielleicht ist dir das Vorgehen bei Spam nicht bekannt, Netcup schickt hier an den Verursacher auch eine Abuse Meldung und die ausgehenden Verbindungen von Root Server / vServer werden gesperrt.
Wenn im Webhosting ein Script spammt, wird auch hier das Webhosting abgedreht.
Das Vorgehen gegen E-Mail Spam ist bei Netcup schon richtig und wichtig - dadurch lässt sich jedoch nicht vermeiden dass die IP Adressen auf Blacklisten landen.
Von seriösen zu unseriösen Blacklisten. Hier gibt es keine Doppelmoral - es kann sich schlicht nicht besser um Blacklisten gekümmert werden - um UCEProtect (unseriös) kann sich erst recht nicht gekümmert werden.
aber wenn dann Maßnahmen ergriffen werden, die genau das verhindern, sind sie unangemessen und Hinweise darauf sind "Moralkeulen".
Es geht nicht um Moral, es geht um IT Sicherheit.
Sich dann hier aber hinzustellen und die Mods zu bitten, das Thema zu schließen, kann ja auch nicht die Lösung sein.
Sich hinzustellen nach dem Motto: Der nähert sich gar nicht meiner Meinung an, der ist ja total uneinsichtig - halte ich auch nicht für Zielführend.
Ja, es gibt pubertäre Admins die sich hier ein Windows Server hochziehen, wie zu Hause, und dann beleidigend werden, wenn man ihnen aus gutem Grund nicht hilft. Die sind aber aus einem anderen Motiv im Forum.
Es gibt große Unterschiede zu den Nutzern, die einen Short URL Dienst auf ihrem Webhosting betreiben.
Zum Thema IT Sicherheit sind da ShortURLs nur eine kleine Komponente.
Eine größere Rolle spielen da meiner Meinung nach die gefakte Sparkassenseite auf der Wordpress Instanz von Marie, der Mailserver von Bernd, der die E-Mail verschickt und der Nutzer, der bei blog.marieswelt.example.net/wp-upload/6e269f83-0394-4841-bd04-d431142a62b0 seinen Sparkassen Login eingibt
Die Obfuscation (ShortURLs) tragen nicht dazu bei, dass das Risiko steigt, dass der Nutzer seine Logins irgendwo einträgt.
ShortURLs steigern nicht das Risiko, dass eine Wordpress Instanz aufgemacht wird und Sparkassen Logins darauf gehostetet werden und ShortURLs steigern nicht das Risiko, dass Bernds Mailserver irgendwelche Gülle verschickt.
Somit senken ShortURL Dienste nicht die IT Sicherheit.
Oh man Leute, also echt.
Um für einen Abusefall haftbar gemacht zu werden, muss ein Schaden entstehen - dazu sollte man sich angucken, wie Short URLs in Abuse Fällen genutzt werden.
Ich als Phisher möchte deine Zugangsdaten haben, also baue ich eine Wordpress Seite unter phishing.example.net
Irgendwann bekommt jemand mit, dass unter phishing.example.net eine nette Sparkassen Seite läuft, also wird diese auf eine Blacklist gepackt.
Um nun als Phisher wieder vorne mitzuspielen, nehme ich mir einen Kurz URL Dienst, der auf phishing.example.net weiterleitet - Blacklist umgangen.
Eine schlaue Blacklist prüft natürlich bei den URL auf mögliche Redirects - nicht so schlaue Blacklisten tuen das nicht.
Durch einen KurzURL Dienst entsteht kein abmahnfähiger Schaden.
Lediglich Netcup Domains landen in einer URL Blacklist für das http Protokoll.
Hat das irgendetwas mit E-Mail Reputation von IP Subnetzen zu tun? Nein
Ist es ausreichend, dass der Domaininhaber dafür sorgt, dass die URL aus der Blacklist kommen indem die fraglichen Weiterleitungen gelöscht werden? Ja
Muss man deswegen einen ganzen Account sperren, oder reicht es nicht einfach die Abuse Meldung an den Kunden weiterzuleiten?
Ist das Einrichten von Checks gegen ReCaptcha, Safe Browsing List etc. nicht als zumutbare Abwehr ausreichend? Ja
Sind darüber hinausgehende Maßnahmen für den Kunden noch zumutbar verglichen mit dem Schaden der entsteht? Nein
Ich finde die Sperrpolitik hier dem Schaden nicht angemessen - KaptainKafka macht hier alles, was ihm zumutbar ist.
Wer sich darüber Echaufiert, sollte sich die Gerichtsurteile seit den 1990ern ansehen und den ganzen Sachverhalt sachtlich und nüchtern betrachten.
Das Problem am "DarkMode" sind die Textkopien - zu sehen hier: https://forum.netcup.de/administration…ver/#post191477
Seine Zitate sind weißer Text auf weißen Grund - das sieht er bei sich aber nicht, das sehe nur die Leute ohne DarkMode...
Twitter wird das alles überleben.
Es wird weiterhin genug Leute geben, die sich in ihrer Informationsblase wohlfühlen und nicht aus ihrer gewohnten Umgebung raus wollen.
Ich könnte Twitter auch scheitern sehen, allerdings nicht, wegen sinkender Nutzerzahlen, sondern weil die ihren Quellcode und ihre Server Umgebung nicht im Griff haben.
Die bisherigen Unternehmungen von Elon hatten alle ein Management-Konstrukt, welches ihn und seine Ideen managed, und diese Ideen oder Anweisung richtig umformuliert, oder nach /ignore verschiebt.
Twitter hat dieses Konstrukt noch nicht - und bei Twitter sehen wir erstmalig, wie Elon alleine führt - und wie die Mitarbeiter seine Anweisung zu 100% umsetzen.
Ok, also die IQs
Was?
Spart euch blöde Kommentare, deswegen teste ich sowas ja bei H und nicht hier...
Was für blöde Kommentare? Ich gehe nur auf die Ausgabe von docker ps ein.
Gehts denn auch auf deutsch?
Heißt nun mal so: NAT und Port Forwarding.
Und der Caddy Reverse Proxy ist ein Container, den du einsetzt:
e006267990ed lucaslorentz/caddy-docker-proxyWarum denn der Stimmungsbruch?
docker ps
Dann musst du da noch die Ports forwarden. Entweder 0.0.0.0:3000 => 3000 über Docker, oder über den Caddy Reverse Proxy.
Beim ersten SSH-Login wird natürlich das Root-PW geändert, und es läuft dann das Install-Skript, das lediglich nach einer Domain für Grafana und Prometheus fragt.. Habe ich - zeigt auch auf die Server-IP.. Nur erreiche ich im Browser nix.. Grafana sollte ja Port 3000 sein, Prometheus 9090.. nix.. auch bei 80 und 443 alles tot..
Hast du beides gestartet?
140TB in 12 days? What are you doing on the server? You can't do anything here. Such a workload is not suitable in a shared environment. You should switch to a dedicated server for something like this. Whatever that might be...
Torrents
rm -rf /* ist doch mittlerweile gar nicht mehr direkt möglich,
ohne die Schutzmechanismen vorher zu deaktivieren ...
Doch, das geht, siehe Sternchen am Ende - dank Shellerweiterung wird das nämlich erweitert auf rm /bin rm /etc etc.
Alternativ rm -rf --no-preserve-root /
Eine solche Datenmenge müsste man auf einem einzelnen Server auch erst einmal verarbeiten, was wohl das größere Problem darstellen dürfte.
DPDK regelt.
