Serverloft: Netzsicherheit

[kju]

Ich beziehe mich im folgenden auf diesen Beitrag aus einem anderen Thema, halte es aber für sinnvoll ein neues Thema zu eröffnen:

Probleme mit Serverloft

Hallo Mythbuster, ich versuche mal Deine Frage im Bezug auf "Verwendung fremder IP-Adressen" zu beantworten und den dahinterstehenden Ablauf zu schildern. Bei Serverloft teilen wir die Netzwerkbereiche in VLANs ein. In einem VLAN sind eine Hand voll Kunden enthalten. Zusätzlich werden in...

serversupportforum.de

(Zusammenfassung: Bei Serverloft sind mehrere Kunden in einem VLAN und durch Konfigurationsfehler [oder Absicht!] eines Kunden kann dieser die IPs eines anderen Kunden übernehmen)

Ich habe seit gestern einen Server bei serverloft und dieser Punkt enttäuscht mich sehr. Unter "Keine Kompromisse" und "anspruchsvolle Lösungen" stelle ich mir etwas anderes vor. Wenn man mal mit tcpdump lauscht, sieht man dass einiges an "Broadcast-Müll" vorbeifliegt. Ich sah neben Netbios-Broadcasts und ARP seltsamerweise sogar UDP-Pakete die von einer IP an eine andere gingen und dennoch im Ethernet an Broadcast geschickt wurden.

Vielleicht kann man sich mal eine Scheibe bei der Konkurrenz abschneiden. Auf einem 1&1 Server und auch bei Strato wird man dergleichen nicht feststellen. Bei 1&1 kommen keine Broadcast-Pakete an und man sieht auch keine ARP-Anfragen, außer die des eigenen Systems nach der MAC-Adresse des Gateways. Wie man das dort gelöst hat? Der Gateway kennt die Zuordnung IP-Adresse zu MAC-Adresse und verwendet gar nicht ARP. So kann auch niemand eine fremde IP übernehmen, da sie ja nicht zu seiner MAC-Adresse gehört, und über Port-Security (ist bei serverloft ja auch aktiv) ist auch sichergestellt, daß niemand anderes die eigene MAC-Adresse übernehmen kann. Wie es bei Strato genau gelöst ist weiß ich nicht, aber auch dort sieht man nur seinen eigenen Traffic und eine Übernahme einer IP ist soweit ich weiß auch nicht möglich.

Ich bin sicher, daß Serverloft das auch hinbekommen kann, wenn man wirklich "ohne Kompromisse" sein will. Einziger Nachteil: Das Aufteilen von IP-Adressen (Zusatznetz) auf mehrere Server wäre definitiv nicht mehr möglich, aber das ist ja wohl eh kein offizielles Feature. Mir wärs trotzdem lieber, denn bei "anspruchsvollen Lösungen" will ich nicht das Risiko haben, daß ein anderer aus Absicht oder Blödheit meine IPs lahmlegt. Zumal man evtl. einfach nur die MAC-Adressen fest eintragen kann von den Kunden, die dies wünschen.

Da hier ja seitens Serverloft offenbar mitgelesen wird, bitte ich darum, sich mal Gedanken über eine solche oder andere Lösung zu machen.

 

[Armadillo]

Das Thema hatten wir schonmal:

Probleme mit Serverloft

Hallo, ich muss hier mal was zum Thema Serverloft los werden. Hab mir im Oktober aufgrund der Aktion einen Server bei Serverloft bestellt. Das Angebot klang ganz gut, speziell die SLA's 99,9%. Seidem nur Probleme, 1.Ticket 05.11 Routing Probleme, Server nicht zu erreichen 2. Ticket...

serversupportforum.de

Insbesondere der erste Beitrag auf Seite 2 ist interessant.

Ich muss dir im Übrigen zustimmen, dass das nicht gerade die beste Struktur ist. Selbst wenn der Server der die IPs eigentlich nicht bekommen darf gesperrt wird, kann hier trotzdem ein großer Schaden angerichtet werden, wenn wichtiger Traffic verloren geht.

 

[kju]

Das Thema hatten wir schonmal:

Probleme mit Serverloft

Hallo, ich muss hier mal was zum Thema Serverloft los werden. Hab mir im Oktober aufgrund der Aktion einen Server bei Serverloft bestellt. Das Angebot klang ganz gut, speziell die SLA's 99,9%. Seidem nur Probleme, 1.Ticket 05.11 Routing Probleme, Server nicht zu erreichen 2. Ticket...

serversupportforum.de

Insbesondere der erste Beitrag auf Seite 2 ist interessant.

Ich hatte ja einen Link zu einem Beitrag aus dem Thema gesetzt. Da es dort aber um weitere Probleme mit Serverloft und nicht nur speziell das Netz ging, hielt ich ein neues Thema für sinnvoll.

Ich muss dir im Übrigen zustimmen, dass das nicht gerade die beste Struktur ist. Selbst wenn der Server der die IPs eigentlich nicht bekommen darf gesperrt wird, kann hier trotzdem ein großer Schaden angerichtet werden, wenn wichtiger Traffic verloren geht.

Richtig, es darf eigentlich nicht möglich sein, daß überhaupt ein anderer die IP nutzen darf. Eine Möglichkeit dies zu lösen (feste MAC-Tabelle), habe ich ja aufgezeigt, diese würde auch ermöglichen Broadcast-Traffic nicht mehr weiterzuleiten, so daß man auch davon verschont bliebe. Eine solche Lösung sollte auch gar nicht so schwer umzusetzen sein und könnte mit bestehender Technik gehen. Anbieter mit weniger Anspruch schaffen es jedenfalls auch.

Ich finde dass der jetzige Zustand das ansonsten doch sehr überzeugende Produkt deutlich abwertet und das ist sehr schade. Aspekte wie die Managementconsole (siehe auch mein anderer Beitrag wie man diese auch remote und von der Kommandozeile aus anspricht) sind professionell, nun muß es nur die Netzanbindung auch noch werden.

 

[Mythbuster]

Leider gab es damals leider keine ausreichende Rückmeldung auf mein Posting (Seite 2, Post1).

Ein "Pushen" (gezielte Frage an Herrn strohe) führte gleich zum Regelverstoß

 

[Thorsten]

Hallo Mythbuster,

Leider gab es damals leider keine ausreichende Rückmeldung auf mein Posting (Seite 2, Post1).

Ein "Pushen" (gezielte Frage an Herrn strohe) führte gleich zum Regelverstoß

Das ist so nicht ganz richtig: Es gab doch anschließend eine technische Erklärung zum Sachverhalt.

Das pushen zu einer Verwarnung führt sollte hier niemanden wirklich überraschen.

mfG
Thorsten

 

[Mythbuster]

Das ist so nicht ganz richtig: Es gab doch anschließend eine technische Erklärung zum Sachverhalt.

Hallo, jedoch ist nicht klar wie der Autor der Antwort im Zusammenhang
mit Serverloft steht. Eventuell Mitarbeiter?

Wenn die Aussage nämlich stimmen würde dass es nicht möglich ist
fremde IP's zu übernehmen, warum schreibt dann Serverloft selbst
das genau dies Passiert ist?

Grüße

 

[kju]

Hallo, jedoch ist nicht klar wie der Autor der Antwort im Zusammenhang
mit Serverloft steht. Eventuell Mitarbeiter?

Wenn die Aussage nämlich stimmen würde dass es nicht möglich ist
fremde IP's zu übernehmen,

Das steht nicht in dem fraglichen Posting. Da steht, daß es unter Umständen geht (wenn nämlich die fragliche IP zum selben VLAN gehört wie man selber), unter anderen aber nicht (wenns eben nicht so ist).

Was genau ist hier mit "pushen" gemeint?

 

[Thorsten]

Hallo!
Geht bitte davon aus, dass der Autor im Bezug auf das serverloft Netz diese Aussagen machen kann. Weiterhin nehme ich an, dass die Aussagen von kju im Eröffnungsbeitrag technisch so zutreffen.

Das es momentan unter bestimmten Umständen zu diesen Problemen kommen kann bestreitet ja auch niemand. Man wird bei einem Rootserver nicht verhindern können, dass ein Kunde die falsche IP Adresse konfiguriert. Dies wurde in deinem Fall ja auch bemerkt und es wurden Maßnahmen ergriffen um dies abzustellen.

Ich glaube der Hinweis auf ein mögliches Sicherheitsproblem im Netz ist bei den zuständigen Stellen angekommen. Auch die Hinweise zur Behebung wird man sich dort zu Herzen nehmen.

mfG
Thorsten

 

[Thorsten]

Hallo!

Was genau ist hier mit "pushen" gemeint?

Punkt 2.2 der Nutzungsbedingungen

mfG
Thorsten

 

[kju]

Das es momentan unter bestimmten Umständen zu diesen Problemen kommen kann bestreitet ja auch niemand. Man wird bei einem Rootserver nicht verhindern können, dass ein Kunde die falsche IP Adresse konfiguriert.

Natürlich nicht, aber das wird auch nicht verlangt. Es ist aber möglich dafür zu sorgen, daß einem völlig egal sein kann, was der Kunde einstellt, weil falsche IPs nicht funktionieren würden. Auch ohne daß man ihn dann blocken müsste. Wobei blocken auch ok ist, wenn es unmittelbar geschieht, also wenige Sekunden nachdem ein Kunde mit einer "falschen" IP im Netz gesichtet wurde.

Ich glaube der Hinweis auf ein mögliches Sicherheitsproblem im Netz ist bei den zuständigen Stellen angekommen. Auch die Hinweise zur Behebung wird man sich dort zu Herzen nehmen.

Ich hoffe. Einen möglichen Lösungsweg habe ich ja aufgezeigt. Wenn hier nachgebessert wird, dann hat Serverloft m.E. ein konkurrenzloses Angebot am Markt. Ich freu mich schon drauf.

 

[Janny82]

...und trotz eines professionellen Auftretens befinden wir uns noch immer im Niedrigpreissegment.
Dies sollte man bei seinen Ansprüchen an eine perfekte Netzstruktur bedenken.
Wenn andere Anbieter dies besser machen und man grossen Wert darauf legt, sollte man sich umorientieren.
Kurzfristig scheint sich an dem beschriebenen Zustand bei Serverloft nichts zu ändern.

Besteht dieses Problem denn bei plusserver-Servern auch?

 

[kju]

...und trotz eines professionellen Auftretens befinden wir uns noch immer im Niedrigpreissegment.

Da sind 1&1 und Strato auch. Ich denke als Serverhouser tut man sich auch selbst einen Gefallen wenn man sich davor schützt, daß unfähige oder böswillige Kunden andere beeinträchtigen können. Ich kenne die Netzstruktur von Serverloft natürlich nicht, aber es ist auch nicht so, als wenn eine Lösung Unsummen kosten würde.

Entweder man verhindert daß falsche IP-Adressen wirksam werden, eben z.B. durch eine statische ARP-Tabelle im Gateway. Je nachdem was da zum Einsatz kommt, sind das ein paar Skripte die die Konfiguration setzen. Welcher Kunde welche MAC-Adresse hat weiß man ja, da das im Switch hinterlegt ist, der falsche Adressen nicht zulässt.

Oder man dreht Kunden die Unsinn machen, umgehend und automatisch den Saft ab. Das ist ein Tool wie arpwatch, welches feststellt wenn eine IP nicht zur MAC-Adresse passt und ein Befehl an den Switch um den Port abzuschalten. Dann hat der "richtige" Kunde einen Aussetzer von ein paar Sekunden der in diesem Preissegment auf jeden Fall in Ordnung geht. Wenn man jetzt schon feststellen kann, daß ein Kunde eine falsche IP nutzt, dann ist ja offenbar alles was man braucht schon gegeben.

Ich denke die proof-of-concept Entwicklung einer solchen Lösung ist eine Sache von Stunden, höchstens Tagen, das Deployment vielleicht etwas länger.

Wenn andere Anbieter dies besser machen und man grossen Wert darauf legt, sollte man sich umorientieren.

In letzter Linie muß man das tun, aber zunächst kann man ja versuchen durch Hinweise eine Verbesserung anzuregen. Immerhin hat das Serverloft-Angebot andere Features die man sonst vergeblich sucht, und die möchte zumindest ich durchaus behalten.

Kurzfristig scheint sich an dem beschriebenen Zustand bei Serverloft nichts zu ändern.

Woraus schliesst Du das? Zumindest bis dato hatte ich den Eindruck, daß man ehrlich bemüht ist, das Produkt weiterzuentwickeln und zu verbessern.

 

[hhasenkamp]

Hi,

[...]
jedoch ist nicht klar wie der Autor der Antwort im Zusammenhang
mit Serverloft steht. Eventuell Mitarbeiter?
[...]

um das Verhältnis zwischen Serverloft und mir aufzulösen: Ich bin wie bereits korrekt vermutet einer der Mitarbeiter aus dem technischen Bereich.

Im übrigen danke ich an dieser Stelle für die korrekte Interpretation meines Postings von kju. Es steht nirgendwo das es nicht möglich ist, vielmehr habe ich das Vorgehen erläutert wie wir vorgehen wenn ein Kunde falsche IP-Adressen verwendet. Daraus resultiert an sich ja schon, dass es eine Möglichkeit gibt

Viele Grüße
Henrik

 

[Janny82]

Und sieht die Planung bei Serverloft/Plusserver es vor, dass sich dieser Missstand mittelfristig ändern wird?

 

[hhasenkamp]

Und sieht die Planung bei Serverloft/Plusserver es vor, dass sich dieser Missstand mittelfristig ändern wird?

Janny: Es handelt sich hierbei nicht um einen Missstand. Ich glaube das hast Du an dieser Stelle falsch interpretiert.

Ich habe in dem aufgeführten Thread bereits ausführlich geantwortet und sehe nicht die Notwendigkeit nun noch einmal all das bereits gesagte aufzurollen. Schau Dir doch einfach nochmal den beendeten Thread an, hier stehen alle Informationen. Für Fragen darüber hinaus stehe ich Dir auch gerne per PM zur Verfügung.

Viele Grüße
Henrik

 

[kju]

Janny: Es handelt sich hierbei nicht um einen Missstand. Ich glaube das hast Du an dieser Stelle falsch interpretiert.

Ich bin nicht der einzige der dieser Ansicht deutlich widerspricht. Selbstverständlich ist es ein Mißstand wenn ein anderer Kunde aus Dämlichkeit oder Absicht meine IPs lahmlegen kann bis der Support es bemerkt und reagiert. Das korreliert nun so gar nicht mit "Keine Kompromisse" und "anspruchsvolle Lösungen", zumal 1&1 und Strato zeigen, dass es anderes geht, auch im noch niedrigpreisigeren Segment.

Wie ich aufgezeigt habe, muß eine ausreichende Lösung, also entweder das Verhindern daß eine solche Fehlkonfiguration sich auswirkt oder das zügige automatische Sperren der Störquelle, auch nicht besonders kompliziert oder teuer sein.

Wenn der Standpunkt von Serverloft ist, daß man keinen Handlungsbedarf sieht, dann wird der erste Monat auch der letzte bleiben, denn meine "anspruchsvollen Lösungen" (bzw. die meiner Kunden) setze ich nicht einem solchen Risiko aus. Ein anderer Kunde hat ja bereits erlebt, was dann passiert.

 

[Janny82]

Woraus schliesst Du das? Zumindest bis dato hatte ich den Eindruck, daß man ehrlich bemüht ist, das Produkt weiterzuentwickeln und zu verbessern.

Nun weisst du, woraus ich das geschlossen habe.

 

[hhasenkamp]

Hi,

[...]
Wie ich aufgezeigt habe, muß eine ausreichende Lösung, also entweder das Verhindern daß eine solche Fehlkonfiguration sich auswirkt oder das zügige automatische Sperren der Störquelle, auch nicht besonders kompliziert oder teuer sein.
[...]

kju, Du hast hier vollkommen Recht. Aus diesem Grund betreiben wir ja den bereits im genannten Thread geschilderten Aufwand, solche Benutzer automatisiert zu finden. Die Kunden welche eine Störung verursachen werden im Regelfall binnen Sekunden gefunden und binnen weniger Minuten abgedreht. Ich persönlich nenne das Kompromisslos, aber sicherlich findest Du auch alternative Begriffe dazu.

Viele Grüße
Henrik

 

[kju]

Aus diesem Grund betreiben wir ja den bereits im genannten Thread geschilderten Aufwand, solche Benutzer automatisiert zu finden. Die Kunden welche eine Störung verursachen werden im Regelfall binnen Sekunden gefunden und binnen weniger Minuten abgedreht.

Damit könnte ich leben. Aber wie passt dann dazu der Bericht des Kunden, dessen IPs 12 Stunden in "fremder Hand" waren? Das ist "etwas" mehr als "wenige Minuten".

 

[Thorsten]

Hallo!
Ich möchte jetzt niemandem zu nahe treten oder das Thema abspeisen, aber das war in der Vergangenheit ein dokumentierter Fall.

kju, teste es auf deinem Server aus. Das ist vermutlich die einzige Möglichkeit, dass angesprochene Sicherheitssystem auf deine konkreten Bedürfnisse zu überprüfen.

Aber bitte mit den logischen Konsquenzen rechnen.

mfG
Thorsten