Bisher hat Confixx (und somit die Mailserver) zwischen “Soft-Quota” und “Hard-Quota” unterschieden: liegen im Postfach mehr Daten, als das Soft-Quota zulässt, passiert zuerst nichts. Wird in den nächsten sieben Tagen nichts gelöscht, so dass der Wert konstant überschritten bleibt, so blockiert der Mailserver neue Mails komplett. Neue eMails werden somit vorübergehend abgewiesen, bis entweder wieder Platz geschaffen wird oder die Nachrichten nach fünf Tagen in der Queue an den Absender zurückgeschickt werden.

Eine Überschreitung des Hard-Quotas ist niemals möglich, so dass Nachrichten selbst dann nicht gespeichert werden, wenn durch das Speichern der Nachricht das Quota-Limit überschritten wird – ähnlich wie bei einer längerfristigen Überschreitung der Soft-Quota.

Zukünftig existiert nur noch das Hard-Quota: das Soft-Quota bewirkte lediglich eine kurzzeitige Überschreitung, so dass auf lange Sicht pro Postfach nur der im Soft-Quota definierte Speicherplatz verwendet werden konnte.

Somit vereinfacht sich die Verwendung der Mail-Quota-Funktionen, da tatsächlich der zugewiesene Speicherplatz komplett genutzt werden kann und keine Verwirrung über die Bezeichnungen mehr herrscht.

Auch die Benachrichtigung über die Speicherplatzauslastung wurde verbessert. Bisher wurde einmal täglich durch Confixx der Speicherplatzverbrauch ausgelesen und in der Datenbank hinterlegt. Auf Grund dieser Daten wurde dann um 07:00 Uhr eine Nachricht an alle versendet, die mehr als 95% Speicherplatz belegt haben. War zu diesem Zeitpunkt das Postfach aber schon so voll, dass die Info-Nachricht nicht gespeichert werden kann, so erhielt der Kunde keine Information darüber, dass sein Postfach bereits voll ist.

Nun erfolgt die Benachrichtigung über neue Nachrichten direkt durch die Dovecot-Mailserver: zu dem Zeitpunkt, an dem mehr als 80% (bzw. 90% bzw. 95%) Auslastung des festgelegten Speicherplatzes besteht, wird automatisch eine Nachricht erzeugt, die auf die Probleme hinweist. Diese Nachricht wird nicht mehr über die Mailserver zugestellt, sondern direkt in das Postfach geschrieben, weshalb die Zustellung immer möglich ist, auch wenn eigentlich bereits mehr als 100% belegt sind. Auch erfolgt die Benachrichtigung nicht verzögert durch einen Cronjob, sondern wirklich dann, wenn der Speicherplatz belegt wird.

In der neu gestalteten Warn-eMail wird explizit darauf hingewiesen, wie die Speicherplatzauslastung entstehen kann sowie was dagegen getan werden kann.

Ein weiterer Vorteil des neuen Quota-Handlings sind die neuen Informationsmöglichkeiten. Anstatt der einmal täglichen Aktualisierungen in der Datenbank durch einen Cronjob, hinterlegt der Dovecot-Mailserver nun sofort bei Eintreffen oder Löschen einer Nachricht den neuen Speicherplatzverbrauch, welcher dann sofort im Confixx eingesehen werden kann (eMail -> Mail-Quota).

Zusätzlich soll erneut darauf hingewiesen werden, dass der aktuelle Speicherplatz jederzeit auch im Mailclient einsehbar ist, soweit dieser die Quota-Funktionen unterstützt: Thunderbird zeigt beispielsweise in den Eigenschaften des Posteingangs einen eigenen Reiter mit “Quota” an, welcher dann die auch im RoundCube aufgeführten Speicherplatzdaten zeigt.

Wir hoffen, die Änderungen bringen die erhofften Verbesserungen und freuen uns auch weiterhin über jegliche Rückmeldungen oder Kritik.

Genaue Ursachen über Ursache oder Angriffsvektor sind noch nicht bekannt.

19:17 Uhr: Anstatt das bestehende System neu zu installieren, ziehen wir alle Kundenseiten auf einen neuen Server um. Diese Maßnahme sollte zwar eigentlich nachts stattfinden, durch die Komprimitierung des Servers ziehen wir dies vor.

20:51 Uhr: Der Transfer der Webseiten auf das neue System ist abgeschlossen, alle Datenbanken wurde ebenfalls wieder eingespielt. Da der Angreifer aber alle Index-Dateien sowie Bilder ausgetauscht hat, läuft aktuell die Wiederherstellung der Kunden-Webseiten aus dem Backup. Durch den Server-Wechsel haben alle Webseiten auf dem Server “mars” eine neue IP-Adresse erhalten. Bei einem “ping” auf die Domain muss eine IP angezeigt werden, die mit “62.146.15.” beginnt. Weitere Informationen zu “ping” finden Sie in unserem Wiki.

21:12 Uhr: Das Mailsystem ist wieder online, FTP-Zugriff ebenfalls. Die Wiederherstellung der Webseiten aus dem Backup dauert derzeit noch an.

01:10 Uhr: Auf Grund von Problemen an der BackupPC-Software müssen alle vom Hack betroffenen Webs einzeln zurückgespielt werden – was nicht automatisiert möglich ist. Die Störung der Webseiten dauert also noch an.

02:53 Uhr: Die Wiederherstellung der Kunden-Webseiten ist abgeschlossen, in Kürze erhalten alle betroffenen Kunden einen Newsletter mit weiteren Informationen.

03:55 Uhr: ns2.as-dns.de ist wieder online, Rundmail wurde verschickt. Gleichzeitig die Sicherheit auf mars/venus punktuell erhöht – weitere Maßnahmen sind erst nach Einsicht in die (nur geringfügig) vorhandenen Log-Dateien möglich.

11:39 Uhr: der Weg des Angreifers ist nun nachvollzogen:

• Upload einer PHP-Shell via FTP, das Passwort des Kunden-Accounts wurde vermutlich extern ausgespäht: der Kunde wurde inzwischen gesperrt
• Verwenden eines Kernel-Exploits, um die Rechte des System-Accounts “root” zu erlangen: leider ermöglichte der eingesetzte Kernel den Exploit und war nicht dagegen geschützt
• Ausführen eines “Defacement”-Skriptes, um die ebenfalls hochgeladene index.html auf alle Accounts zu übertragen: dies geht soweit, dass die Partition, die die Dovecot-Indizes zur Performance-Steigerung enthält, ebenfalls überschrieben wurde
• Löschen aller auffindbaren Log-Files und Rückschlüsse auf den Angreifer

Da wir jedoch zusätzliche Logs führen, die speziell geschützt sind, sowie das Skript des Angreifers nur Log-Dateien in einem bestimmten Schema gelöscht hat, konnten wir den Weg wie oben beschrieben einigermaßen nachvollziehen. Der Angreifer hat dabei eine IP-Adresse eines türkischen DSL-Anbieters verwendet, wodurch Strafanzeige o.ä. unsinnig ist – der Täter kann niemals ermittelt werden.

In der Vergangenheit mussten in der Regel mehrere Tage Wartezeit in Kauf genommen werden, bis die Überleitung der Verwaltung einer .de-Domain von einem Provider auf einen anderen vollständig abgeschlossen war. Ab dem 2. Februar 2010 können Domaininhaber nun nicht nur mit der generellen Beschleunigung des Providerwechselverfahrens rechnen, sondern auch auf dessen erhöhte Sicherheit und Effizienz zählen. Denn zu diesem Termin stellt DENIC als zentrale Registrierungsstelle für Domains unterhalb der Top Level Domain .de die Abwicklung zum Wechseln des verwaltenden Providers, die während eines Übergangszeitraums seit Dezember 2008 mittels zweier alternativer Verfahren möglich war, endgültig auf die modernere der beiden Methoden um.

Abgelöst wird das nun auslaufende Providerwechselprozedere, das einen höheren manuellen und damit größeren Zeitaufwand erforderte, künftig durch ein bereits seit Dezember 2008 im Parallelbetrieb aktives Verfahren. Dieses beruht auf einem individuellen Passwort, der sog. AuthInfo, das bei dem neuen Verfahren als authentisierende Information dient. Das Providerwechsel-Passwort erhält der Domaininhaber von seinem bisherigen Provider, der es gleichzeitig verschlüsselt bei DENIC hinterlegt. Mit diesem Passwort wendet der Domaininhaber sich dann für die weitere Abwicklung an seinen neuen Provider. Nach erfolgreicher Passwortüberprüfung bei DENIC wird der Providerwechsel ohne weitere Wartezeit durchgeführt.

Neben dem so erzielten Sicherheitszuwachs eröffnet das neue Verfahren als weiteren Vorteil die Möglichkeit, den exakten Zeitpunkt eines Providerwechsels im Voraus festzulegen und somit die mit der Domain verbundenen Services durch den neuen Provider termingenau einzurichten.

Auch im TRANSIT-Verfahren für Domains, deren Verwaltung vom bisherigen Provider wegen Unstimmigkeiten mit dem Domaininhaber oder auch aus Insolvenzgründen aufgegeben wurde, unterstützt DENIC ab dem Stichtag 2. Februar ausschließlich die neue passwortbasierte Providerwechselmethode.

Konkret bedeutet dies für Sie als Kunde bzw. Domain-Inhaber von DE-Domain(s) beim Transfer der Domain zu einem neuen Provider:

• Kündigen Sie die Domain beim bisherigen Provider schriftlich
• Fordern Sie die oben genannte AuthInfo beim bisherigen Provider an, falls dieser diese nicht automatisch versendet
• Teilen Sie dem neuen Provider diese AuthInfo mit. Diese muss binnen 30 Tagen verwendet werden!
• Dieser führt dann den Domain-Transfer zum geeigneten Zeitpunkt (nachts, Wochenende oder wann gewünscht) durch
• Ist die AuthInfo korrekt, wird der Transfer sofort durchgeführt und die Domain zukünftig durch den neuen Provider verwaltet
• Ist die AuthInfo falsch, kann der Transfer logischerweise nicht durchgeführt werden
• Bis der Domain-Transfer auch bei den Nutzern “sichtbar” wird, können 1-3 Stunden vergehen: die Nameserver (der DENIC / der Internet-Provider) werden erst verzögert aktualisiert.

Bei Fragen zum neuen Verfahren stehen wir für Kunden und Interessenten gerne zur Verfügung.

Leider sorgte dieser Server in den letzten 7 Tagen für weniger Schlaf als gewohnt, der RAID-Controller hatte einen Defekt. Dieser wurde am Mittwoch getauscht – seit dem auch keine weiteren Probleme mehr.

Heute dann die vorerst letzte Bestellung durch uns: ein weiterer Server für den Eigenbedarf, welcher im Laufe der nächsten Wochen den letzten produktiv genutzten Mietserver ersetzen wird.

Genauere Informationen gehen direkt per Newsletter an die betroffenen Kunden bzw. wird es einen eigenen Blog-Beitrag geben

Mein Dank geht an dieser Stelle an die gesamte Thomas Krenn AG – für den sehr guten Kontakt zu Vertrieb und Technik in den letzten drei Jahren, qualitativ einwandfreie Hardware und für die sehr gute Bearbeitung von insgesamt vier RMA-Fällen (drei defekte Festplatten in zwei Servern sowie oben angesprochener RAID-Controller)!

Dec 22 16:42:45 terra postfix/smtpd[8378]: NOQUEUE: reject: RCPT from unknown[109.96.20.156]: 554 5.7.1 <webmaster@swipe.de>: Relay access denied; from=<webmaster@swipe.de> to=<webmaster@swipe.de> proto=ESMTP helo=<[109.96.20.156]>

Da hat der  Domain-Inhaber nach dem Wechsel des Servers wohl vergessen, die IP-Adressen für die Domain anzupassen.

Tja, wäre für uns eine weitere nutzbare Domain – wenn man wollen würde

P.S.: sollte der Webmaster/Admin-C/Owner-C der genannten Domain diesen Eintrag finden: bitte die DNS-Einträge abändern. Danke.

Diese eMail erreichte Sie am gestrigen 22.12.2009, die Orginal-Nachricht finden Sie auch hier.

Weihnachtsgrüße

Weihnachten steht vor der Türe, Neujahr ist nicht mehr weit – somit endet ein erfolgreiches Jahr 2009.

Uns bleibt nur noch, Ihnen und Ihren Kollegen, Familien und Freunden geruhsame Weihnachtstage sowie einen guten Rutsch nicht nur in das neue Jahr 2010, sondern für das gesamte Jahrzehnt zu wünschen.

Wir freuen uns darauf, Ihnen auch weiterhin in der gewohnten Qualität zur Verfügung stehen zu können.

Wartungsarbeiten

Im Zuge unseres derzeitigen Expansionskurses müssen wir die bisher genutzten IP-Adressen unserer Webhosting-Serversysteme anpassen.

Diese Anpassung erfolgt ausschließlich nachts bzw. am Wochenende/Feiertagen, womit die Änderungen für Sie unbemerkt stattfinden werden.

Für Sie als Anwender ändert sich nichts, die Domain-Namen bleiben weiterhin unverändert.

Bei Fragen stehen wir natürlich jederzeit zur Verfügung.

Über den aktuellen Status unserer Server können Sie sich immer auf folgender Webseite informieren:

http://serverstatus.aditsystems.de/

Wir bitten um Verständnis und verbleiben

Mit freundlichen Grüßen,
Ihr Team von ADIT Systems

Ab heute, Dienstag, 22.12.2009, 15.00 Uhr (UTC+1) sind nun wieder .CN ASCII Neuregistrierungen im System möglich. Es gilt jedoch einiges zu beachten:

Bitte beachten

Für .CN Neuregistrierungen müssen seit dem 21.12.2009 Dokumente eingereicht werden. Dies hat innerhalb von fünf Kalendertagen NACH dem Registrierungs-datum zu erfolgen. Diese Zeitspanne wird aber erheblich verkürzt, da CNNIC bis zu drei Werktage braucht, um die Unterlagen zu kontrollieren.

Die Gesamtlaufzeit dieses Auditings darf dennoch nicht mehr als fünf Kalendertage (KEINE WERKTAGE!) in Anspruch nehmen. Die Registrierung von .CN-Domains für Privatpersonen ohne Firma ist nur sehr bedingt möglich (Geschäftsnachweis erforderlich).

Vorab Dokumente beschaffen

Folgende Dokumente müssen vorab vorliegen:

• Kopie des Geschäftsnachweises des Registranten (z.B. Handelsregisterauszug oder Gewerbeanmeldung)
• Kopie des Ausweises des Registranten (z.B. Pass, Personalausweis, Führerschein)

.CN-Registrierung

Für jede .CN-Registrierung wird bei uns im System ab 22.12.2009, 15.00 Uhr (UTC+1) automatisch ein Formblatt vorausgefüllt und per E-Mail an uns gesendet.

Dieses Formblatt muss vom Registranten unterschrieben, gestempelt und mit den o.g. Dokumenten an uns geschickt werden – und zwar ausschließlich per Fax oder per E-Mail (PDF-Datei). Andere Dateiformate oder abgeänderte Daten können leider NICHT akzeptiert werden!

Um eine .CN-Domain zu registrieren, sind also letztlich für jede einzelne Domain drei Dokumente an InterNetX zu senden:

• Kopie der Geschäftsnachweises des Registranten
• Ausweiskopie des Registranten
• PDF-Registrierungsformblatt (vom Registranten unterschrieben und gestempelt)

Wir werden voraussichtlich sieben Arbeitstage nach der Bestellung über den Status der Bestellung informiert.

Kontaktdaten

Bitte nutzen Sie die folgenden Kontaktdaten bei InterNetX für Ihre Unterlagen:

• E-Mail: domain-support@internetx.com
• Fax: +49-941-59579-050

Keine Mehrfachnennungen in einem Dokument erlaubt

CNNIC erlaubt KEINE Mehrfachbestellungen von Domains in den Dokumenten.

Für jede einzelne .CN-Bestellung müssen immer alle drei Dokumente (Kopie Geschäftsnachweis, Ausweiskopie, PDF-Registrierungs-Dokument) eingereicht werden. Aus diesem Grund ist es nötig, bei jeder Registrierung und auch bei jeder Ablehnung auf Grund eines fehlerhaften Formulares alle Dokumente genau durchzusehen.

Spracherfordernis

Sprachliche Vorgaben dazu gibt es von CNNIC nicht. So werden z.B. auch Unterlagen in deutscher Sprache akzeptiert.

Unbedingt Zeitraum beachten

Schicken Sie uns die angeforderten Dokumente/Formulare nicht in der entsprechend korrekten Form innerhalb eines Arbeitstages zurück, kann es zu einer Abweisung der Bestellung durch die Registry kommen.

Bitte beachten Sie Wochenenden und Feiertage sowie die Zeitverschiebung zu CNNIC in China!

Keine Erfolgsgarantie – Gebühren werden in jedem Fall fällig

Wir können keine Garantie auf Erfolg für Ihre Bestellung übernehmen.

Wir haben keinerlei Einfluss auf die Kontrollen der Registry. Die Domaingebühren werden in jedem Fall fällig und sind nicht erstattungsfähig.

Anstatt hier erneut auf Software zu setzen, die u.U. mühsam an die eigenen Bedürfnisse angepasst wird, erfolgte direkt die Neuentwicklung der kompletten DNS-Verwaltung.

Somit steht unseren DNS-Kunden ein neues Interface zu Verfügung, das u.a. folgende Eigenschaften enthält:

• komplett mit objekt-orientierter Programmierung (OOP) nach MVC-Prinzipien umgesetzt
• Einsatz von Smarty als Template-Engine
• Einbindung des allgemeinen Webdesigns für unsere Webseiten
• AJAX-Autocomplete-Suche mit Sprung zur gesuchten Zone
• AJAX-Sortierung der DNS-Einträge
• Vorlagen können nun auch in bestehende DNS-Zonen importiert werden, anstatt ausschließlich bei neuen Zonen
• Gezielte Suche nach DNS-Einträgen mit Editier/Lösch-Möglichkeit
• Massen-Update von DNS-Einträgen (Ersetzung von IP-Adressen o.ä.)
• SOAP-API, die die gleiche Code-Basis nutzt
• Nameserver-Test-Funktion, um die Rückgabe der Nameserver zu prüfen
• Web-Whois

Durch den modularen Aufbau können nun jederzeit weitere Funktionen ergänzt werden. Das so erstellte “Framework” wird später auch eingesetzt, um weitere Kunden-Bereiche, die bisher von externer Software angeboten werden, zu ersetzen.

Das Interface ist wie bereits gewohnt unter folgender Adresse erreichbar:

https://admin.as-dns.de/

Angedacht ist außerdem, die Funktionen des bisher von InterNetX genutzten Domain-Robot direkt in unser DomainControlPanel (DCP) zu integrieren und somit Kunden unter einer einzigen Oberfläche alle benötigten Funktionen zu bieten.

Wem Fehler oder ähnliches am neuen Interface auffallen, möge bitte uns diese mitteilen. Gerne gesehen sind außerdem Anfragen nach neuen Funktionen, welche soweit wie möglich umgesetzt werden.

Die wichtigsten sind bereits im Handbuch von Zabbix aufgeführt:

• Performance-Gewinn durch neues Caching
• Verbessertes Pulling der Daten von den lokalen Agents
• neue Discovery-Features: Hosts in definierbaren IP-Ranges automatisiert in Zabbix einfügen
• JSON-API, um Remote auf alle Objekte zuzugreifen
• Balken-Graphen im Frontend
• komplett verbesserte Graphen-Anzeige (Zeitlinie, Zoom, …)
• Interaktive Erstellung von Übersichten
• u.v.m.

Der Performance-Gewinn ist wirklich beachtlich: unser Monitoring-Server arbeitete mit Zabbix 1.6 auf Load 0.4, seit dem Upgrade auf Zabbix 1.8 nun bei gleicher Aufgabe Load 0.2.

Das wichtigste neue Feature dürfte jedoch der Wartungs-Modus sein: nun können für Hosts/Host-Gruppen Wartungsfenster definiert werden. Innerhalb dieser Wartungsfenster ausgelöste Trigger werden nun nicht mehr verarbeitet – ist ein Server auf Grund von Wartungsarbeiten am Router nicht erreichbar, werden SMS erst versandt, wenn die Störung auch nach Ende der Wartungsarbeiten noch andauert.

Heise berichtet lediglich, Daten seien “auf den Servern” verloren gegangen, bei Fefe finden sich weitere Informationen:

Und am letzten Dienstag, sagt die Mail, hat sich dann deren Storage spontan desintegriert. Da waren 800 TB Daten drauf.

Anstatt endlos großer Storage-Systeme, bei deren Crash dann alle Daten weg sind, setzen wir derzeit auf einzelne Server, die für sich unabhängig sind – lediglich die Backups werden auf einem Server aufbewahrt.

Ob dies in Zukunft auch so bleibt, oder ob der Einsatz von SAN/NAS auf Grund der besseren Skalierbarkeit, Datenzugriffsmöglichkeiten und der (Netzwerk-)Performance doch mehr Sinn macht, wird sich noch zeigen.

Ab dem heutigen 22.09.2009 wird der konsolenbasierte WHOIS über whois.denic.de ausschließlich technische Informationen anzeigen und keine Daten mehr über Domaininhaber.

Informationen darüber, wem eine Domain gehört, sind somit nur noch über den webbasierten Whois auf DENIC.de möglich.

Meiner Meinung nach eine überfällige Maßnahme, um persönliche Daten – was Domain-Inhaber-Daten nun mal sind – vor der automatisierten Verarbeitung zu schützen.

Zuvor wurden im Whois-Output auch lediglich Name und Anschrift angezeigt, nicht aber eMail-Adresse oder Telefonnummer.

Andere TopLevelDomains wie .COM, .NAME, .NET oder .INFO zeigen die kompletten Daten an, inklusive aller weiteren Kontaktmöglichkeiten, wie sich hier zeigt:

• http://whois.domaintools.com/aditsystems.de
• http://whois.domaintools.com/aditsystems.com

Insofern: weiter so, DENIC!

Der neue Switch ist ein 3com Baseline Switch 2924-SFP-Plus, wodurch wir nun Server mit 1 Gigabit anbinden können.

Housing-Kunden, denen die bisherige 100MBit-Verbindung nicht ausreicht, können uns gerne kontaktieren, Upgrades sind ohne Ausfall der Netzwerkkonnektivität möglich.

Bisher übernahm ein Server, der im gleichen Rack wie die restlichen Systeme steht, diese Aufgabe – sollte es aber zu einem Ausfall der Netzwerk-Verbindung oder gar der Stromversorgung kommen (was in den letzten 2 Jahren nicht passierte), könnte dieser Server keine Nachrichten absetzen, im Extremfall bleibt der Ausfall also unbemerkt.

Der neue Server befindet sich in einem externen Rechenzentrum, und ist somit bei eventuellen Störungen im Haupt-Rechenzentrum nicht betroffen.

Damit dieser Server auch zukünftigen Belastungen stand hält, haben wir die Hardware wie folgt gewählt:

• Intel Quad Core Xeon-CPU
• 8GB Arbeitsspeicher
• schnelle SAS-Festplatten im RAID1
• redundante Netzteile

Vielen Dank an dieser Stelle an die Thomas Krenn AG für die äußerst schnelle Bereitstellung des Servers!

gültig bis 30.09.2009:

• .IM, .CO.IM, .COM.IM, .NET.IM, .ORG.IM: 12 Monate für 3,00EUR

gültig bis 08.10.2009:

• .ASIA: 24 Monate für 24,00EUR

gültig bis 31.12.2009:

• .MOBI: 12 Monate für 15,00EUR
• .PRO: 12 Monate für 22,50EUR

(Preise inkl. 19% MwSt. gültig für neue Domain-Registrierungen bis zum angegebenen Datum, nach Ablauf der 12 Monate gilt wieder der reguläre Preis)

DotAsia schenkt jedem Registranten, der eine .ASIA-Domain – mit einer
Mindestlaufzeit von 24 Monaten und einer maximalen Laufzeit von 10 Jahren –
neu registriert, einen stylischen .ASIA 2 GB USB Stick im Miniformat!
Eine coole Aktion, die Ihren Kunden garantiert gefallen und Ihnen viele
.ASIA-Registrierungen bringen wird!

.ASIA 2 GB USB Sticks bekommen – so einfach geht’s!
—————————————————-
Sobald ein Registrant eine .ASIA-Domain registriert hat, erhält er eine
Bestätigungsmail von DotAsia. Dann loggt er sich bei www.freeb.asia mit
Domain-Code und Domain-Namen ein und gibt seine Lieferadresse an. DotAsia
wird dann den 2 GB USB-Stick direkt an die angegebene Adresse schicken.