Monat: November 2016

Nach bewegten zwei Wochen endlich wieder ein Update! Eine Vorschau auf die kommende Advents-Aktion, Infos zu Let’s Encrypt und unsere Traffic-Filterung sind wesentlichen Themen der letzten Woche:

Wir haben die Filterung und das Routing von ausgehendem Traffic auf dem Webspace grundlegend überarbeitet. Die ausgehende Netzwerk-Anbindung vom Freespace wird immer wieder für DDoS-Angriffe, Portscans oder SQL-Injections „benutzt“. Schon vor Ewigkeiten haben wir deshalb UDP-Traffic komplett gesperrt und nur eine Liste von freigeschalteten Ports ist mit Rate-Limits (z.B. 50 Pakete/s je Port) erlaubt. Zudem gab es eine Sperrliste von IPs für TCP-Verbindungen, meist nach Beschwerden der IP-„Besitzer“. 2014 haben wir dann die Architektur unseres Webspace wesentlich verändert und konnten seitdem nicht mehr nachvollziehen, welcher User-Account einzelne Pakete verschickt hat. Pakete konnten wir nur noch an einem Router abgreifen, der diese Information nicht mehr kannte. Um das wieder zu ermöglichen mussten wir unsere Filter- und Routing-Lösung deutlich anpassen. Der ausgehende Traffic wird nun über ein eigenes Gateway gerouted. Zudem haben wir die Filterung des Traffics direkt zur Quelle, in die Webspace-LXC-Container verlagert, um dort auch die User-ID abgreifen zu können. Damit sind wir nun wieder in der Lage, insbesondere Portscans und UDP-DDoS einem Account zuzuordnen und den Account zu sperren, statt nur Traffic zum Ziel zu filtern.

Let’s Encrypt hat am 17.11. ein Update ihrer Zertifizierungsstellen-Software ausgerollt und dabei unsere Anbindung an Let’s Encrypt beeinflusst. Es war uns nicht mehr möglich, für Domainnamen zu verifizieren dass wir berechtigt sind, Zertifikate auszustellen. Für Domainnnamen, wo dies bereits nachgewiesen wurde, gab es keine Einschränkungen. Die Ursache war letztendlich einfach: in der von uns benutzten Bibliothek wurde ein selbst-signiertes Zertifikat ausgestellt, wie es die Protokoll-Spezifikation vorschreibt. Die neue Software von Let’s Encrypt konnte dieses Zertifikat nicht mehr einlesen, wenn sie während der Verifizierung zu unseren Web-Servern verbinden wollte. Es stellte sich heraus, dass dieses Zertifikat keine Seriennummer enthielt und der neue Zertifikatsparser zwingend eine Seriennummer erfordert. Einen ähnlichen Bug, damals fehlte die X509-Version, hatten wir bereits im August entdeckt und gefixt. Auch für diesen Bug haben wir unseren Patch für die Bibliothek eingereicht. Let’s Encrypt hat zu dem Problem ebenfalls eine Advisory herausgegeben.

Am Wochenende ist der erste Advent und wir starten die Adventszeit direkt mit einer großen Domain-Aktion! Am Sonntag beginnen wir mit saftigen Rabatten für ausgewählte Top-Level-Domains und die Domains eines deutschen Bundeslandes gibt es für wenige Tage sogar komplett kostenlos (für das erste Jahr)! Es lohnt sich also, Sonntag bei uns reinzuschauen! An den nächsten Adventssonntagen wird es zudem Gewinnspiele geben, in denen wir unter anderem lima-city-Merchandise verlosen!

Wir posten Freitag Nachmittags einen kleinen Rückblick auf die Woche. Auch nächste Woche tut sich bestimmt wieder einiges, also: kiek mol wedder rin!

Schon wieder ist eine Woche vorbei – übrigens lohnt sich jetzt ein Blick auf den Kalender: Weihnachten kommt jetzt immer schneller näher (obwohl die Zeit objektiv angeblich immer gleich schnell vergeht), jetzt Geschenke zu besorgen spart später eine Menge Stress 😉 . Wir haben übrigens schon „Geschenke“ besorgt, es gibt in der Vorweihnachtszeit nämlich das ein oder andere zu gewinnen, aber dazu mehr in den nächsten Wochen! Auch diese Woche wir wir fleißig:

Wir haben final DKIM für alle Domains ausgerollt, die bei uns registriert sind und unsere Nameserver benutzen. Damit können Empfänger von E-Mails und auch deren Mail-Server, z.B. als Teil des Spam-Filters, über eine kryptografische Signatur prüfen, dass eine E-Mail von einem Absender kommt, dessen kryptografischer Schlüssel vorher per DNS veröffentlicht wurde. Derzeit veröffentlichen wir per DNS einen Schlüssel für unseren Mail-Server, der die E-Mails transparent signiert. Alle E-Mails, die per Webmail oder SMTP (von authentifizierten Benutzern, also mit Benutzername+Passwort) an unseren Mail-Server geliefert werden, werden automatisch signiert. Die meisten Spam-Filter sehen eine erfolgreich geprüfte Signatur als Signal für „kein Spam“. Weitere Domain Keys können natürlich jederzeit per DNS eingetragen werden. Google/Gmail beispielsweise zeigt dann ein „Schloss-Symbol“ neben der E-Mail an und zeigt in der E-Mail-Ansicht ein „Signiert von mustermann.de“.

In der Verwaltung haben wir einen Filter für E-Mail-Postfächer und -Weiterleitungen hinzugefügt, so dass lange Listen nun schneller und „instant“ durchsucht werden können. Zudem ist die Liste etwas optisch verbessert worden, so dass das Postfach bzw. die E-Mail-Adresse schneller zu erkennen ist.

Außerdem haben wir eine Möglichkeit zum Ausgleich von offenen Beträgen auch per PayPal, Kreditkarte etc. statt nur per Banküberweisung hinzugefügt. Unter „Bestellungen“ wird im Tab „Rechnungen“ nun der Saldo und bei negativem Saldo ein Button zum Ausgleich mit den gewohnten Zahlungsmethoden angezeigt.

Beim phpMyAdmin haben wir die bisherige Eingabe von Datenbank-Benutzername und Datenbank-Passwort durch einen Single-Sign-On ersetzt. Beim Aufruf des phpMyadmin auf https://pma.lima-city.de/ wird nun auf die Datenbank-Verwaltung weitergeleitet, wo ein Button „in phpMyAdmin anmelden“ zu finden ist. Mit einem Klick auf diesen Button wird die Anmeldung zum phpMyAdmin automatisch durchgeführt.

Genug aus dem Maschinenraum, und nun ab in’s Wochenende! Wir posten Freitag Nachmittags einen kleinen Rückblick auf die Woche. Auch nächste Woche tut sich bestimmt wieder einiges, also: kiek mol wedder rin!

Thank god it’s Friday! Heute gibt’s am Ende zusätzlich ein paar News aus dem Maschinenraum, aber first things first:

Für das Premium-Paket kann nun der Speicherplatz von 10 GB bis 100 GB selber eingestellt werden. Bei der Buchung und beim Ändern (wo auch Preis und Abrechnungszeitraum mit Wirkung zur nächsten Abrechnung geändert werden können) des Premim-Vertrags kann also nun auch der Speicherplatz flexibel festgelegt werden. Wenn der Speicherplatz mehr als 10 GB betragen soll wird ein entsprechender Mindestpreis verlangt, also bspw. für 30 GB sind es 6 € Mindestpreis pro Monat (3 x 10GB á 2,00 € = 6,00 €). Der Speicherplatz ist im übrigen eine Soft-Quota, die Hard-Quota ist 10% mehr (wobei diese „Zugabe“ auf 2 GB gedeckelt ist).

Zudem haben wir in PHP den Zugriff auf /dev/urandom erlaubt, was u.a. in ownCloud eine Warnung verschwinden lässt. Auch das GMP-Modul (GNU Multiple Precision), eine Mathematik-Erweiterung mit beliebiger Präzision, ist dazugekommen.

Außerdem haben wir das Erzeugen von Backups auf den Premium-Servern verbessert. Die Backups werden nun von einem Snapshot des Dateisystems statt vom Dateisystem selber kopiert, damit das Backup in sich konsistent ist (z.B. bei Dateisystem-Caches wichtig). Außerdem packen wir die MySQL-Backups nun nicht mehr mit gzip sondern mit dem wunderbaren zstd von Facebook, einem neuen Kompressionsalgorithmus mit exzellenten Kompressionsraten und -zeiten. Für den Benutzer ändert sich dadurch allerdings nichts, da der Backup-Server daraus eine .zip-Datei macht, die mit allen „handelsüblichen“ Programmen gelesen werden kann. Der Storage-Server freut sich aber trotzdem über mehr Platz auf der Festplatte 😉

Zudem gab es die üblichen Bugfixes, aber auch intern haben wir einige größere Verbesserungen umgesetzt, die man nicht „von außen“ bemerken kann. Beispielweise haben wir das Deployment unserer Verwaltung von capistrano auf mina umgestellt und damit die Zeit für ein Deployment der App von ca. 90-120 Sekunden auf 30 Sekunden verkürzt. Das heißt dass Code, der gerade „frische entwickelt“ ist nun zwar nur eine Minute schneller online ist, aber wenn man darauf wartet ein Problem zu lösen kann das eine Ewigkeit sein 😉 Übrigens hat unser CI-Server mittlerweise schon 1.166 mal Code automatisch getestet und dann auf die Produktionssysteme geschoben – und das nur für die Webseite www.lima-city.de, andere Teilprojekte gar nicht mitgezählt! Und wo wir schon bei Zahlen sind: wir haben derzeit 988 Testfälle, mir denen der Build-Server die Anwendung vor jedem „Go Live“ testet.

Genug aus dem Maschinenraum, und nun ab in’s Wochenende! Wir posten Freitag Nachmittags einen kleinen Rückblick auf die Woche. Auch nächste Woche tut sich bestimmt wieder einiges, also: kiek mol wedder rin!