Beiträge von Synonym

ok, mit Framebrecher

Also bei mir ist leider mehr über die Bildersuche ..... Die Conversion geht bei den Besuchern aber gegen NULL, wenn man mal das Klauen von Bilder nicht mit einrechnet.

Zitat

ich sehe mich als Wissenschaftler; Da ist GoTT unlogisch

god is a dj.... es lebe die musik.... mann kann es nicht verstehen, man kann es aber fühlen ....

Also das kennt man ja: crawl-66-249-78-90.googlebot.com

Aber was ist denn das bitte?
rate-limited-proxy-66-249-91-31.google.com

So, Mail ist raus..... Ist aber schon erschreckend und irgendwie erstaunlich... Man beachte mal die Zeiten, in denen die DNS-Anfragen raus gingen, bzw. die Abstände...

08:58:00.738297
08:58:00.738330
08:58:00.738406
08:58:00.738411
08:58:00.738414
08:58:00.738417
08:58:00.738420
08:58:00.738423
08:58:00.738427
08:58:00.738429
08:58:00.738431
08:58:00.738459
08:58:00.738462
08:58:00.738464
08:58:00.738466
08:58:00.738468
08:58:00.738469

Dagegen ist Formel1 eine Schnecke.

Wenn ich dann aber bedenke, dass bei FB so viele sind, die von nicht funktionierend DNS schreiben, keinen Seitenaufbau, keine Verbindung zu internen Diensten etc, dann, ich glaube ich brauche ein :beer:, ne, doch lieber ein *** Link veraltet ***, oder ein Bier im Grab, nennt sich dann Dunkles oder wie ?

Ja, hast leicht lachen... Tippe nun schon seit einer Stunde an der Mail für die Abuse-Abteilung. Mensch, das habe ich schon oft gemacht, aber nicht wegen mir als Störfaktor ... :cry::autsch:

So, wieder einen Schritt weiter. Ich Depp müsste mich erschießen, aufhängen und dann von einer Klippe schmeißen .... Ich hatte einen offenen DNS-Port und somit einen OpenDNS am Laufen und das seit ca. 4 Wochen :wall:

Das ganze nur, weil ich diese ständigen Timeouts aus dem anderen Thread umgehen wollte, was aber nichts brachte, daher der andere Thread. Installiert hatte ich das schon vorher und weiß der Geier, 30 oder 40 Dokumentationen zu gelesen, auch direkt von Debian und Ubuntu!

Was lernt man daraus? Eigentlich nichts neues, nur das, was man eigentlich schon weiß. Verlasse Dich NIE auf andere und prüfe alles 10x nach :grummel: In keiner Doku, noch nicht mal im der man vom Paket oder in der sehr ausführlich beschriebenen config-Datei steht, dass man mit der Installation sofort einen öffentlichen DNS-Forwarder laufen hat, mit keinem einzigen Wort. Dass der öffentlich kann wusste ich. Da das aber keiner schreibt, dass er es sofort ist, ging ich schlicht davon aus, dass der wie alle erst mal sehr strikt per default eingestellt ist und man das per Config erweitern kann. Nein! Man muss es per Config minimieren. :diablo:

Und ja, für die unbekannten Probleme und Dienstausfälle bin ich wohl teilweise mitverantwortlich, zumindest hörte sich die letzte Antwort so an, auch die, die eine andere Nutzerin bekommen hat. Kannst Dir ja ausrechnen, wie viele Anfragen das gewesen sein müssen, wenn da durchschnittlich 30MB/s durchliefen...... Syno macht Hoster kaputt ..... :kilroy:

Hm, bin einen Schritt weiter, naja, nicht wirklich, aber die Richtung kenne ich jetzt wohl, oder vielleicht. War gerade als Hausmeister wieder mal Stunden weg und kaum zurück, kam eine Mail von der Abuse-Abteilung, dass mein Server geblacklistet wurde. Grund: "Ihr Server ist aufgrund zu vieler Anfragen an unseren DNS-Server aufgefallen".

Das könnte natürlich auch der hohe eingehende Traffik sein, nur ein Log für DNS-Anfragen habe ich nicht, oder doch? Wo wäre das denn?

P.S: ich nutze kein Bind!

Nee Alex, sehe in den Logs leider gar nichts. Dachte ja, da müssten welche sein die riesig sind, aber nee. Und auch gestern, genau an der Stelle wo der Spuk vorbei war war nichts zu entdecken. Ich meine, wenn man vorher mit 35MBit beschossen wird (eingehend) und danach dann regulär wieder um die 500KBit sind, dann sollte man ja was sehen können. Aber nein. Und im iftop war auch nichts zu erkennen. Der Einzige, der mich da mit maximal 400KB befeuert hat war mein eigener Datenbankserver, also normal. Wo aber die restlichen 34,6MBit sein sollen, keine Ahnung.

Jetzt aktuell habe ich auch wieder was drauf, aber ganz minimal, das kann schon immer gewesen sein. Kommt aus Russland, Griechenland, Belgien, Ungarn und einem deutschen Server. Zusammen sind das aber nur 60KBit/sek, die die da senden, also kein Problem.

FTP ist nicht drauf, nur SSH.

Es läuft SSH, Apache, Postfix, Dovecot, MySQL, mehr nicht.

Sagt mal, wie kann man denn den Netzwerk-Traffik sicher aufzeichnen und auswerten? Bzw. nachträglich aufspüren? Habe heute eine Mail von meinem Hoster bekommen und war, nachdem ich die schon gelöscht hatte, doch sehr erschrocken, also wiederhergestelt. Die Mail ist der Traffik bis zum aktuellen Tag im Monat, also eine, die man 10 Jahre lang für alle Server bekommt und irgendwann einfach nur noch überfliegt.

Heute aber... Aktuell genutzt: 3,7 TB.

Bitte? 3,7 TB... Das waren immer GB.... bei einem Server, der nur Webserver ist und vielleicht 20 Bilder hat? Normalerweise hat der Server an die 0,8 bis 1,2 GB im Monat, komplett, eingehend und ausgehend. Selbst mein Fileserver, der mehr als 100.000 Bilder ausliefert, kommt nur auf ca. 400GB.

So, also ab ins Controlpanel, Netzwerkauslastung angesehen und einen Schock bekommen. In der Tat, da läuft was komisches. Begonnen so ca. Mittag vom 16.1. Seit dem ansteigend, manchmal auch fallend, Tendenz aber steigend. Heute waren es alleine 180GB an eingehenden Traffik. gestern 260, vorgestern 190. Also, ab auf den Server. Top angesehen, alles normal. Serverauslastung, normal. htop installiert, ja Alex, dieses bunte Teil, nichts entdeckt. Dann iftop installiert, auch nichts gefunden. Wollte dann einen tcpdump machen, dann war der Spuk vorbei.

Nur, ich finde rein gar nichts. Es wird ja alles geloggt, also muss doch irgendwo was zu finden sein, ein Log, das extrem groß ist oder so. Aber nichts.... Die Logs sind alle normal.

Hat einer einen Tipp?

Als Anmerkung: Ladezeit der Seiten. Eine war extrem schlecht, weit über 40 Sekunden, die anderen aber weiterhin bei unter 1 Sekunde. Verstehe ich irgendwie auch nicht wirklich, ist ja der gleiche Webserver.

Welchen denn?

Habe mir das gestern Abend noch überlegt, denn Du hattest auf der free-ssl.org erst ein Zertifikat für die Domain selbst, und dann jetzt eines für alle Domains. Kann es sein, dass Du das jetzige selbst erstellt hast mit --standalone und das vorher per ISP? Wäre sogar denkbar, dass es durch die Mischung aus ISP und manuell und die "Umleitung" vom ISP durch die ganzen Symlinks zu Problemen kommt und der Server teilweise gar nicht mehr weiß, welches Zertifikat nun wann raus soll. Du hast wahrscheinlich auch mehrere Zertifikate und eine Domain wird da in verschiedenen vorkommen. So wie ich das gesehen habe nutzt ISP auch nicht nur Symlinks, sondern kopiert die Zertifikate in echt wo anders hin. Gut möglich also, dass letsencrypt das Zertifikat am eigentlichen Ort löscht, wenn Du manuell ein neues ausstellst, das alte kopierte von ISP aber noch da ist.

letsencrypt-auto --webroot -w /pfad/ -d free-ssl.org

erstellt ein Zertifikat für einen vhosts

letsencrypt-auto --webroot -w /pfad/ -d free-ssl.org -w /pfad2/ -d alex-sucht-frau.de

erstellt zwei einzelne Zertifikate und

letsencrypt-auto --standalone -d free-ssl.org -d alex-sucht-frau.de

erstellt ein Zertifikat, das für beide Hosts gilt.

--standalone unterscheidet nicht mehr nach dem Docroot, denn es betreibt einen eigenen temporären Webserver und leitet alle Domänen, die auf dem Server zeigen, in den gleichen vHost. Und in diesem temporären vhost wird die acme-challenge ausgeführt.

So [USER="49"]Alex07[/USER] , ich bin glaube ich einen Schritt weiter... Bin gerade im Bereich SNI vs. SAN unterwegs.

Letsencrypt, sowohl als --apache als auch --webroot legt Einzelzertifikate an. Das liegt daran, dass das --apache -Modul automatisch die vHosts einzeln durchgeht und als Docroot verwendet und man für --webroot ja auch manuell den jeweiligen Docroot angeben muss. Für jeden Docroot wird dann ein Zertifikat erstellt. Alternativnamen sind nur die, die auch auf den gleichen Host zeigen.

Für ein SAN-Zertifikat, also mehrere verschiedene Hosts mit einem Zertifikat muss man --standalone oder --manuell nutzen und dazu den vorhandenen Webserver stoppen.

ferienunterkunft-bodensee.de nutzt ein Einzelzertifikat
fewo-theissen.de nutzt ein Einzelzertifikat

ferienunterkunft-italien.de und
ferienunterkunft-oesterreich.de und
ferienunterkunft-spanien.de nutzen ein SAN-Zertifikat.

Alle Domänen liegen auf dem gleichen Server. Das SAN und auf der gleichen IP wie Bodensee und Theissen. Die Seiten werden nicht weitergeleitet, sind ja nur ein Test, also beim Aufrufen immer *** Link veraltet ***. voranstellen.

Aktuell melden die Domänen mit dem SAN auch einen Fehler bei alten Browsern, da die eben kein SNI können und die Einzelzertifikate bzw. die Domänen damit in der Rangliste vorne liegen. Schalte ich jedoch die beiden Einzelzertifikate von Bodensee und Theissen ab, dann funktionieren die anderen drei Domänen ohne SNI-Warnung.

Nur, was ist nun besser?

Einzelzertifikate kann man direkt erzeugen und einbinden, ohne den Webserver zu stoppen. Auch kann man einfach eine Domain entfernen oder eine neue hinzufügen, ohne für alle neue Zertifikate zu erstellen. Dafür hat man lauter einzelne und muss die einzeln updaten. Da es SNI nutzt funktionieren Android 2.3.7 und IE8/WinXP nicht.

SAN ist schneller in der Einrichtung und man muss nur eines aktualisieren. Man hat nur ein Zertifikat für alle Seiten. Da es kein SNI nutzt funktionieren auch Android 2.3.7 und IE8/WinXP. Man muss aber den Webserver stoppen. Fügt man eine neue Domain hinzu oder zieht eine auf einen anderen Server, dann muss man ein neues SAN erstellen. Macht man das nicht, dann geht der renew nicht. Es müssen alle aufgeführten Domänen auf dem Server erreichbar sein. Fehlt eine, dann schlägt die ganze Zertifikatsaustellung fehl.

Debian? Kann ich sagen, soll mit Debian 7 und Debian 8 gehen. Kann ich auch bestätigen, geht auf beiden (manuelle Installation, nicht mit --apache). Das offizielle Paket kommt aber erst mit Debian 9, also gegen Ende Dez. 2016

Was meinst Du mit den Limits? Welche sind das genau, die Du da schreibst. Das Limit für die Ausstellung von Zertifikaten liegt nämlich bei 5 pro Domain binnen 7 Tagen. Dazu zählt auch renew.

Mach nicht zu viele auf, das bringt nichts. Verschieben und strukturieren kann man später immer noch.

Daher frage ich, denn Dein ISP-Modul hätte die cli.ini anlegen müssen und dort wird definiert, was genutzt wird zur Erstellung der Zertifikate. Unter anderem auch der "schweigen"-Modus oder das "nicht Nachfragen", was man für den renew braucht.

Wenn ich das Script aber richtig deute, dann müsste das Dir für jede Domain ein eigenes Zertifikat anlegen. Wobei bei einer Domain alle zugehörigen Subs mit dazu gehören. So ein Kombizertifikat mit allen Domänen scheint da irgendwie nicht möglich, oder ich finde es nicht.

$this->_exec("/root/.local/share/letsencrypt/bin/letsencrypt auth -a webroot --email postmaster@$domain --domains $lddomain --webroot-path $webroot");

Mich wundert nur etwas der Aufruf von "/root/.local/share/letsencrypt/bin/letsencrypt", dann laut letsencrypt soll man den nicht verwenden, der wäre nur was für Entwickler.

Mal eine bölde Frage zwischendurch. Hattest Du eigentlich eine /etc/letsencrypt/cli.ini ?? Bei mir war da keine vorhanden, musste die selbst anlegen.

Also wenn die cli.ini stimmt, dann nutzt der --webroot. Seltsam aber, dass dort 4096 bit steht, Dein Zertifikat aber 2048 hat ?

Ich meine, ob man für domain1.de, domain2.de und domain3.de drei Zertifikate bekommt oder nur eines liegt ja unter anderem auch am Aufruf von letsencrypt-auto. Gibt man dort nur einen Pfad an, was bei -standalone z.B. möglich ist oder eventuell auch bei Deinem ISP-Modul, dann wird ein Zertifikat für alle Domänen erstellt. Bei der Prüfung greift der dann auf den temporären vhosts zu, auf den alle Domänen zeigen.

Nutzt man aber -webroot mit unterschiedlichen Pfaden zu den vHosts, dann werden gleichzeitig drei Zertifikate ausgestellt.

Edit: Post hat sich überschnitten

Also ja, der Fullchain wird immer angelegt. Die Frage damals war ja, ob er auch genutzt wird bei Dir In gewissen Konstellationen muss man den Fullchain verwenden.

Bei den anderen Dingen stehe ich nun etwas ratlos da. Ich lese überall ISPCONFIG, aber weder Du noch ich wissen, was die Software überhaupt macht und wie die letsencrypt anspricht.

"Die Zertifikate die ich ausgestellt habe, die sollten ja für die Domains die ich ausgewählt habe gelten. Jetzt gibt es das Problem ( vielleicht auch weil ich damit etwas expirimentiert habe ) das die Zertifikate unterschiedlich sind, was die aber nicht sein sollten."
Was heißt denn "unterschiedlich"?

"Die Zertifikate die ich ausgestellt habe, die sollten ja für die Domains die ich ausgewählt habe gelten."
Du meinst also ein Zertifikat für alle Domänen zusammen, oder?

Dann frag! Vielleicht sind das ja die gleichen Fragen, die ich auch habe

Wegen dem Update.... Wenn ich das richtig verstanden habe, dann muss man nicht neu mit git clonen. Ein Aufruf von letsencryt reicht aus, das updatet sich selbst.

z:b. einfach auch mit: ./letsencrypt-auto --version --debug

Bei mir ist kommt dann:

Updating letsencrypt and virtual environment dependencies...
Requesting root privileges to run with virtualenv: /root/.local/share/letsencrypt/bin/letsencrypt --version --debug
letsencrypt 0.3.0

Ja, das Android ist alt, keine Frage, aber das ist zumindest bei meinen Nutzern noch zu 7% in Verwendung.Zudem scheint es allgemein noch beachtet zu werden denn es wird auch von GlobalSign bei der "Handshake Simulation" berücksichtigt. Danach kommt erst wieder Android 4.0.4.

Das Problem mit dem Android 2.3.7 ist, dass es kein SNI unterstützt, genauso wie Windows XP. Daher die Frage nach Deiner Konstellation. Ich habe ja auch mehrere Domänen auf einer IP, ich habe aber Einzelzertifikate. Und da geht die Seite.

CN: https://beispiel.rocks/beispiel.rocks…ucht-frau.de%22
DNS-Name: https://beispiel.rocks/beispiel.rocks…ucht-frau.de%22
DNS-Name: https://beispiel.rocks/beispiel.rocks…k-online.org%22
DNS-Name: alex-sucht-frau.de
DNS-Name: statistik-online.org
DNS-Name: free-ssl.org
DNS-Name: https://beispiel.rocks/beispiel.rocks/www.free-ssl.org%22

Genau das wäre eine meiner nächsten Fragen gewesen, was wohl besser ist. Ein Zertifikat für den ganzen Server mit allen Domänen drinnen oder für jeden vHost ein eigenes. Letztes mache ich derzeit. Warum weiß ich nicht so genau, aber ich stelle es mir einfacher vor, wenn mal eine Domain weg geht oder eine neue kommt. Dann muss man nicht das Zertifikat für alle ändern, sondern einfach ein neues für die neue Domain erstellen. Andererseits muss man dann aber auch alle erneuern und nicht nur eines, wenn die 90 Tage erreicht sind.