News In eigener Sache: Das neue Server-Setup von ComputerBase (2021)

[ebird]

Na würde ich nicht sagen. Ipv6 ist eigentlich nur für Netzwerker relevant. Gibt sehr viel in der IT, die damit nichts zu tun haben

Naja jeder ITler sollte sich über IPv6 Gedanken machen. Aber so einige machen sich ja gar keine Gedanken.
Wie oft konnte ich schon durch ändern von IP Adressen und/oder hinzufügen von Routen aus dem Gast Netzwerk ins Steuerungs- oder Verwaltungsnetz wechseln. Es werden VPN Verbindungen per Deep Packet Inspection gedroppt, aber sowas nicht bedacht.
Oder bei einem infizierten Netzwerk ein SYN Port Scan vom Kassensystem als Anti Virus Aktivität erklärt oder die 2000 SYN Requests in einer Sekunde vom Client Rechnern auf Steuerungsanlagen als normales Netzwerkgeschehen abgetan. Und da habe ich ein persönliches Gespräch gesucht.
Oder die Frage nach einem vLAN für ein Steuernetz mit einem Subnetz beantwortet.
Aber Hauptsache HTTP/HTTPS Traffic wird grundsätzlich geblockt und über Proxies kontrolliert.
Der tödliche Ransomware Angriff auf das Krankenhaus war ebenfalls nur möglich, da sämtliche Netze zusammengeschatlet waren.
Man muss sich einfach nur mal unter https://www.shodan.io/ anschauen, wie viele Cisco Anlagen mit Standard Passwort am Netz hängen. Die offenen Industrieanlagen sind wenigstens mittlerweile durch einen Login "geschützt".

Ergänzung (3. Dezember 2021)

Mein Provider (A1 Telekom Austria) stellt mir an meinem Festnetzanschluss zu Hause nicht einmal eine IPv6 Adresse zur Verfügung.

Das muss in deinen Router deaktiviert sein. Ich kann mir nicht vorstellen, dass ein großer ISP noch kein IPv6 unterstützt. Laut Google hat A1 damit schon 2014 angefangen.

 

[foo_1337]

Bei A1 kommt es stark darauf an, welches Produkt man von denen hat, siehe z.B. auch hier + Kommentare: https://kofler.info/ipv6-eine-leidensgeschichte-aus-oesterreich/
Im Mobilfunkbereich gibt's das schon lange, ja.. aber nicht für iOS Geräte

 

[Autokiller677]

Na würde ich nicht sagen. Ipv6 ist eigentlich nur für Netzwerker relevant. Gibt sehr viel in der IT, die damit nichts zu tun haben

Den Spruch "It's always DNS" gibt's nicht umsonst. Solange man nicht gerade an Systemen komplett ohne Netzwerk bastelt, sind ein paar ganz grundlegende Kenntnisse um mal einen DNS-Record zu checken eigentlich in jedem Bereich der IT hilfreich.

Natürlich muss nicht jeder in die Tiefen von Netzwerktopologien, Routing und co. durchsteigen.

 

[LukS]

Das muss in deinen Router deaktiviert sein. Ich kann mir nicht vorstellen, dass ein großer ISP noch kein IPv6 unterstützt. Laut Google hat A1 damit schon 2014 angefangen.

Im Mobilfunk, ja. Da verwenden sie es schon länger. Für Festnetzkunden gibt es aber immer noch kein IPv6. Das Firmwareupdate für meinen A1 Router, welches IPv6 zur Verfügung stellen soll, ist bei mir erst vor ca. 4 Monaten gekommen. Trotzdem passiert beim anhaken für das aktivieren von IPv6 am Router genau gar nichts. Ich hab seit diesen 4 Monaten am Router aktiviert das er IPv6 verwenden soll und bisher keine IPv6 Adresse gesehen.

 

[Skysnake]

Natürlich muss nicht jeder in die Tiefen von Netzwerktopologien, Routing und co. durchsteigen.

Will ich auch nicht abstreiten, gibt aber eben doch auch genug Leute die mit Netzen genau nichts zu tun haben, und dann ist es auch ok, wenn Sie sich da nicht auskennen.

Das ist ja auch genau das was ich vorher gesagt habe. Ein Netzwerker MUSS sich damit auskennen, oder zumindest wissen, das es dort Problemfelder gibt.

 

[xexex]

Ich kann mir nicht vorstellen, dass ein großer ISP noch kein IPv6 unterstützt.

Siehe zum Beispiel Unitymedia/Vodafone West. Sobald du dort eine feste IPv4 Adresse beantragst, wird der Anschluss IPv4 Only geschaltet. Sind vielleicht nur Ausnahmen, aber vor allem bei Altverträgen bekommst du IPv6 nur auf Nachfrage.

 

[BrollyLSSJ]

Den Spruch "It's always DNS" gibt's nicht umsonst.

Den hatte ich quasi auch schon gehört und ist oft auch selbst verschuldetes Leiden (bei Fehlern) und wurde gerne auch von Leuten gebracht, die Ihre eigene lokale hosts Datei gepflegt haben und sich dann wunderten, dass DNS nicht richtig geht, weil ein Windows früher (vermutlich immer noch) die lokale hosts Datei bevorzugt und erst danach DNS abfragt. Denn die Systeme waren auch immer ohne Domäne (entweder abgesperrter Bereich oder ein Linux ohne Domänenjoin) und DNS wurde auch nicht immer angefordert und auch nicht aktualisiert, wenn mal was geändert wurde, weil es ja die lokale hosts Datei gibt. Ging dann sogar soweit, dass die Leute dann per Tools die hosts Datei auf weitere Systeme verteilt hatten und das teilweise auch nicht sauber ging. Ist also auch nicht immer DNS dran schuld (außer man zählt die hosts Datei zum DNS dazu) ;-).

So zumindest meine Erfahrung in der Firma, wo ich arbeite. Aber zum Glück schon länger her, weil man die Leute doch vom DNS überzeugen konnte.

 

[ebird]

Bei A1 kommt es stark darauf an, welches Produkt man von denen hat, siehe z.B. auch hier + Kommentare: https://kofler.info/ipv6-eine-leidensgeschichte-aus-oesterreich/
Im Mobilfunkbereich gibt's das schon lange, ja.. aber nicht für iOS Geräte

Das ist ja erschreckend wie mies das ganze ist. 20% würde ich noch als nichts bezeichnen. Und Deutschland mit 46% auf Platz vier noch vor der USA auf Platz 9 in der Akamai Statistik ist ja einfach nur traurig.

Google sollte da wirklich alles was nicht mit IPv6 aus dem Index werfen, dann würde sich ganz schnell ganz viel tun. Allen voran würde ich www.spiegel.de, www.stern.de und www.bild.de rausschmeißen, oder wenigstens um 10 Seiten nach hinten.

16 IP Adressen kosten 32Euro im Monat und für einen kleinen Dedicated Server mit 64GiB RAM und 512GiB Raid-1 NVMe Speichen bekommt man schon für 40Euro. Das ist absolut unverhältnismäßig. Ich würde am liebsten alles auf IPv6 only umstellen. Leider geht es nicht überall. Und das ganze nur, da irgendwelche Unfähigkeiten nicht in die Pötte kommen.

 

[foo_1337]

Google sollte da wirklich alles was nicht mit IPv6 aus dem Index werfen, dann würde sich ganz schnell ganz viel tun. Allen voran würde ich www.spiegel.de, www.stern.de und www.bild.de rausschmeißen, oder wenigstens um 10 Seiten nach hinten.

Das geile daran ist ja, dass alle 3 hinter 3rd Party CDN sind. Beide genutzten CDN bieten V6 an, auch wenn das Origin nur v4 kann. Sie müssten also nichtmal groß was umbauen...

 

[ebird]

Das geile daran ist ja, dass alle 3 hinter 3rd Party CDN sind. Beide genutzten CDN bieten V6 an, auch wenn das Origin nur v4 kann. Sie müssten also nichtmal groß was umbauen...

Das stimmt nicht ganz. Sie müssten müssen den Dropdown von IPv4 auf IPv4+IPv6 ändern und dann noch auf Speichern drücken.

 

[ripa]

Bisher war Computerbase immer mein Ping Test Ziel. Seit dem "Umzug" hat sich der Ping zu euch mehr als verdoppelt. Von durchschnittlich 6ms auf 15ms

 

[Skysnake]

Google sollte da wirklich alles was nicht mit IPv6 aus dem Index werfen, dann würde sich ganz schnell ganz viel tun. Allen voran würde ich www.spiegel.de, www.stern.de und www.bild.de rausschmeißen, oder wenigstens um 10 Seiten nach hinten.

Ich würde am liebsten alles auf IPv6 only umstellen. Leider geht es nicht überall. Und das ganze nur, da irgendwelche Unfähigkeiten nicht in die Pötte kommen.

Dir ist aber schon klar, dass das ein ziemlich zweischneidiges Schwert ist? Mit ipv6 hast du nur noch 50% der Routingeinträge im Vergleich zu ipv4. Bei uns wären das z.B. "nur" noch 8000 statt 16.000. Für die meisten mag das egal sein aber auf jeden Fall nicht für die Provider und Netzknoten.

Den hatte ich quasi auch schon gehört und ist oft auch selbst verschuldetes Leiden (bei Fehlern) und wurde gerne auch von Leuten gebracht, die Ihre eigene lokale hosts Datei gepflegt haben und sich dann wunderten, dass DNS nicht richtig geht, weil ein Windows früher (vermutlich immer noch) die lokale hosts Datei bevorzugt und erst danach DNS abfragt. Denn die Systeme waren auch immer ohne Domäne (entweder abgesperrter Bereich oder ein Linux ohne Domänenjoin) und DNS wurde auch nicht immer angefordert und auch nicht aktualisiert, wenn mal was geändert wurde, weil es ja die lokale hosts Datei gibt. Ging dann sogar soweit, dass die Leute dann per Tools die hosts Datei auf weitere Systeme verteilt hatten und das teilweise auch nicht sauber ging. Ist also auch nicht immer DNS dran schuld

Es gibt schon auch gute Gründe dafür eine Hosts Datei zu pflegen. Ohne muss halt bei jedem unbekannten hostname nachgeschaut werden. Klar, du musst das erst mal nur einmal machen und kannst dann machen, aber wie lange Cached du denn bitte? Im HPC Umfeld geht das dann mal gerne auf 24h, weil man ansonsten bei richtig großen Jobs einen Effekt sieht. Mal kleines Beispiel. Eine Stunde hat 3600s, bei nem etwas größeren System mir 3600 Knoten hast du im Schnitt jede s mehrere Requests bei nur 1h caching. Nehmen wir mal an der Request steht 0.1ms. Klar, das ist an sich nicht viel pro Request und pro Server, aber wenn an einem feingranularem großen Problem über die ganze Maschine gearbeitet wird, dann bleibt das Gluster über die gesamte Zeit die ein node braucht für den Request einfach stehen. Und das sind dann in einer Stunde halt dann mal schnuffige 0.36s pro Stunde die das gesamte Cluster steht, wenn jeder nur eine IP nicht aufgelöst bekommt. Du wirst aber eher 10-100 IPs haben. Also 3.6-36s die das gesamte Cluster steht. Das sind also bei dem Beispielcluster also effektiv 3.6-36 nodes weniger pro Stunde die was sinnvolles machen und stattdessen nur auf DNS lookups warten....

Und jetzt überleg dir mal ne wirklich große Maschine wie Fugaku....

Da wird dir schlecht wenn du dran denkst was da weggeworfen wird an Ressourcen. Und rate mal, die IPs ändern sich in den 5 Jahren die man sonst Ding betreibt quasi nie. Wenn es richtig blöd läuft ändern sie sich zwei mal. Da kann man schon Die Zeit in die Pflege einer lokalen Hosts Datei stecken oder meinst du nicht?

außer man zählt die hosts Datei zum DNS dazu) ;-).

Ja beim sssd ist das ein Bestandteil der DNS Kette und du kannst dir sogar überlegen in welcher Reihenfolge das gemacht werden soll. Also ob zuerst oder zuletzt in die Datei geschaut werden soll.

So zumindest meine Erfahrung in der Firma, wo ich arbeite. Aber zum Glück schon länger her, weil man die Leute doch vom DNS überzeugen konnte.

Ja DNS hat seine Vorzüge und macht einem an einigen Stellen das Leben viel einfacher, aber an anderen auch sehr viel schwerer und wie oben gezeigt ist es nicht immer kostenlos.

 

[Steffen]

Bisher war Computerbase immer mein Ping Test Ziel. Seit dem "Umzug" hat sich der Ping zu euch mehr als verdoppelt. Von durchschnittlich 6ms auf 15ms

Das dürfte dasselbe Problem sein wie das von @ebird gemeldete (https://www.computerbase.de/forum/t...p-von-computerbase-2021.2055561/post-26315324). 23M ist dran. Wer ist dein Provider?

 

[ebird]

Dir ist aber schon klar, dass das ein ziemlich zweischneidiges Schwert ist? Mit ipv6 hast du nur noch 50% der Routingeinträge im Vergleich zu ipv4. Bei uns wären das z.B. "nur" noch 8000 statt 16.000. Für die meisten mag das egal sein aber auf jeden Fall nicht für die Provider und Netzknoten.

Also mehr als 20 Jahre sollten eigentlich ausreichend gewesen sein sich auf IPv6 vorzubereiten.

[[text über gott, die welt und dns entfernt, auch wenn es nicht richtig zitiert ist]]

Und jetzt überleg dir mal ne wirklich große Maschine wie Fugaku....

Vor allem wenn man bedenkt, dass man die hosts Datei manuell aktualisieren muss. Auch die Vergabe der Maschinennamen stellt sich immer wieder so schwierig dar. Es ist ja gar nicht so einfach die Maschinen zu benennen ::affe, ::e5el usw. Die Ideen gehen mir schon mal aus. Was da für Zeiten drauf gehen, bis alleine so ein Rack mit Namen ausgestattet ist. Da wäre es vielleicht praktisch, wenn man sich so ein Schema wie ::raum:reihe:zeile:maschine oder ähnliches zu Hilfe nehmen könnte. Aber das sind ja alles nur nicht realisierbare Wünsche.

 

[Gnarfoz]

Ja beim sssd ist das ein Bestandteil der DNS Kette und du kannst dir sogar überlegen in welcher Reihenfolge das gemacht werden soll. Also ob zuerst oder zuletzt in die Datei geschaut werden soll.

Das geht auch ohne sssd einfach in der nsswitch.conf.

Vor allem wenn man bedenkt, dass man die hosts Datei manuell aktualisieren muss.

Datei einmal machen, per Ansible o.ä. verteilen, bei Updates dasselbe. Ist ein gelöstes Problem.

 

[BrollyLSSJ]

Es gibt schon auch gute Gründe dafür eine Hosts Datei zu pflegen. Ohne muss halt bei jedem unbekannten hostname nachgeschaut werden.

Nicht, wenn man DNS vernünftig nutzt. Die DNS werden von Windows Systemen automatisch abgeglichen und im Zweifel aktualisiert. Deswegen gibt es ja den default mäßig gesetzten Haken "Publish to DNS" beim Netzwerkadapter in Windows. Und auch bei jeden Reboot wird der A Record im DNS erneut gesetzt.

Da wird dir schlecht wenn du dran denkst was da weggeworfen wird an Ressourcen. Und rate mal, die IPs ändern sich in den 5 Jahren die man sonst Ding betreibt quasi nie. Wenn es richtig blöd läuft ändern sie sich zwei mal. Da kann man schon Die Zeit in die Pflege einer lokalen Hosts Datei stecken oder meinst du nicht?

Wie gesagt, bei Windows Systemen passiert das automatisch. Ich kenne das Interwall nicht, aber wenn sich die IP im System ändert, wird automatisch der DNS Eintrag aktualisiert. Dafür ist der Haken "Publish to DNS" ja da. Die Probleme in der Vergangenheit waren halt da, weil die Kollegen mit Ihren Linux Systemen keinen DNS angefordert hatten und auch nicht beim IP Wechsel Bescheid gegeben haben.

Wie gesagt, seit dem bei Linux auch entsprechend korrekt DNS Einträge angefordert werden hatten wir keine Probleme mehr. Ich kann aber, wie gesagt, nur so aus dem Umfeld sprechen. Riesige Super Rechner haben wir nicht. Nur Umgebungen mit mehreren Hunderten Servern und Tausenden Clients.

Vor allem wenn man bedenkt, dass man die hosts Datei manuell aktualisieren muss.

Jo, wurde bei uns per Software Verteilung gelöst, zumindest die Verteilung. Wenn der entsprechende Bereich aber die Datei selber vorm ausrollen nicht aktualisiert hatte, nützt das natürlich auch nichts. Kam bei uns auch schon vor. Ich bin daher froh, dass DNS aktivi ist.

 

[Autokiller677]

Sehe ich wie @BrollyLSSJ. Ich kenne für normalen Betrieb keine Gründe mehr, irgendwo IPs manuell zu setzen. Korrekt konfiguriertes DNS & DHCP regeln das sinnvoll. Wenn man irgendwo dauerhaft eine fixe IP braucht kann man das in jedem guten DHCP mit der persistent Option regeln.

Fixe IPs stelle ich nur noch ein, wenn ich mich direkt mit irgendeiner Maschinenkomponente verbinde. Aber da ist dann auch nur da LAN-Kabel zwischen, kein Router und nix.

 

[ebird]

Datei einmal machen, per Ansible o.ä. verteilen, bei Updates dasselbe. Ist ein gelöstes Problem.

Jo, wurde bei uns per Software Verteilung gelöst, zumindest die Verteilung. Wenn der entsprechende Bereich aber die Datei selber vorm ausrollen nicht aktualisiert hatte, nützt das natürlich auch nichts. Kam bei uns auch schon vor. Ich bin daher froh, dass DNS aktivi ist.

Das ist mir schon klar - es war Polemik, da bei sehr großen Systemen die Latenz als Argument gegen DNS aufgeführt wurde. Wobei ich mich frage, was wohl länger dauert, eine Hostsdatei mit 60000 Einträgen, die auch mal gut 2-10MiB haben kann, einzulesen und zu verarbeiten oder einen DNS Server abzufragen.

 

[ripa]

Das dürfte dasselbe Problem sein wie das von @ebird gemeldete (https://www.computerbase.de/forum/t...p-von-computerbase-2021.2055561/post-26315324). 23M ist dran. Wer ist dein Provider?

Provider ist O2

 

[foo_1337]

Provider ist O2

O2 hat leider nicht so viele POPs in D. Wenn es dumm läuft, ist der BRAS in HH, der Wohnort aber südlich von HH. Dann geht der Kram erst nach HH und dann nach FRA (in diesem Fall). Daher, wie sieht es bei anderen FRA only Zielen aus? z.B. heise.de? Und zeig mal bitte nen traceroute

Ergänzung (4. Dezember 2021)

Dir ist aber schon klar, dass das ein ziemlich zweischneidiges Schwert ist? Mit ipv6 hast du nur noch 50% der Routingeinträge im Vergleich zu ipv4. Bei uns wären das z.B. "nur" noch 8000 statt 16.000. Für die meisten mag das egal sein aber auf jeden Fall nicht für die Provider und Netzknoten

Hmm? Ich habe aktuell in der Full Table knapp 900k ipv4 Prefixe und knapp 150k ipv6 Prefixe. Vor einigen Jahren mussten wir daher schon das TCAM auf den routern "umkonfigurieren". Aber ich verstehe deinen Punkt nicht. Wir müssen eh v4 und v6 parallel Bereitstellen. Und ganz ehrlich: Fast jeder von uns wünscht sich seit Jahren ein schnelleres Umstellen auf v6. Facebook z.B. ist intern im DC seit Jahren schon auf v6 only geswitched. Es ist alles kein großes Problem, man muss es nur wollen bzw. auch machen. Leider gibt es genug "Admins", die keine Ahnung davon haben, sich gerne IP Adressen im Kopf merken und all solche Dinge. Daher geht es auch so schleppend voran.