One more superfluous and sparse blog

U-Pad: Mikrofoneingan als Line-In

2011-10-30T19:27:00.003+01:00

Wer kennt das nicht, da hat man eine USB-Soundkarte gekauft, weil der Eingang des Notebooks zu nah an der Festplatte vorbei geführt wird (sic!) und dann kann man an der Soundkarte kein Linepegen anlegen.

Nun, für diesen Fall möchte man ein Dämpfungsglied bauen. Ohne zu sehr auf die Details einzugehen, was die Anpassung angeht, hier ein einfacher Schaltplan um ein Mikrofoneingang zu einem Line-In zu machen.

Obacht: Dies ist für XLR, also symmetrische Signale, gedacht.

       ___ 7500
 o)---|___|-----o--------(o 
       R1       |                mit 2x7.5 und 1x150
LINE           | | 150     MIC   ergibt sich ein Teiler
 IN            |_| R3      OUT   verhältnis von 
       ___      |                15000:150 = 100:1 = -40dB
 o)---|___|-----o--------(o      Bitte 
       R2  7500                  Metallschichtwiderstände
                                 verwenden, die Rauschen nicht.

Für asymmetrische Signale sollte ein normaler Spannungsteiler funktionieren:

         ___15000
 o)-----|___|----o-----(o
                 |
                | | 150
IN              |_|          OUT
                 |
 o)--------------o-----(o

postfix: IP-Adresse des Absenders verbergen

2011-07-31T12:08:00.004+02:00

Nach langer Zeit gibt es heute mal wieder einen kleinen Post aus der Sysadmin-Ecke.

Die Ausgangslage

Ein Benutzer liefert seine Emails mit Authentifizierung bei einem durch mich betriebenen Mailserver ein, der für die entsprechende Domain zuständig ist.

In den Headern dieser Mail wird nun die IP-Adresse auftauchen, von der aus die Email eingeliefert wurde. Dies kann die IP zu Hause sein, die von einem Bekannten oder die von einer Institution. Postet derjenige häufiger auf Mailinglisten kann man so schon ein Profil erstellen und bekommt auf jeden Fall heraus, dass er z.B. Emails von der Uni aus sendet, etc.

Dies möchte man nun verhindern - und das funktioniert mit postfix Bordmitteln sogar relativ einfach.

Mehr Information ist am Ende doch weniger

Zunächt müssen wir die entsprechenden Header erkennen können. Da bei allen nicht-authentifizierten Emails die IP-Adresse des einliefernden MTA im Header unverändert erhalten bleiben soll, schon um Spammer identifizieren zu können ohne extra in die Logs schauen zu müssen, brauchen wir einen Weg, die passenden Received:-Header zu erkennen. Dies erreichen wir, indem wir dem postfix sagen, dass er den Benutzernamen des Absenders auf dem Mailserver in den Header einfügen soll. Dies geschieht über die Anweisung smtpd_sasl_authenticated_header = yes in der Datei main.cf des postfix.

Unser header sieht nun ungefähr so aus:

Received: from [192.168.101.150] (guest123.guest.example.org [192.0.43.10])
  (using TLSv1 with cipher DHE-RSA-CAMELLIA256-SHA (256/256 bits))
 (No client certificate requested)
 (Authenticated sender: username)
 by mail.somedomain.tld (Postfix) with ESMTPSA id 32A59B1C032
 for ; Thu, 30 Jun 2011 12:36:07 +0200 (CEST)

Die hervorgehobene Zeile ist neu hinzugekommen und ermöglicht es uns im zweiten Schritt nach genau diesen Headern zu suchen.

pcre ftw!

postfix bietet dafür die Möglichkeit der header_checks. Damit kann man mittels (perl) regular expressions auf den Headern der Email arbeiten und Zeilen einfügen, Zeilen ändern und eigentlich vor allem Aktionen auslösen wie das Aufhalten einer Email, Abweisen, Weiterleiten, etc.

Wir benutzen diese Möglichkeiten, um auf der oben gezeigten Received:-Zeile ein paar Ersetzungen vorzunehmen.

Dazu stellen wir zunächst sicher, dass die main.cf des Postfix auch header checks aktiviert hat:

 smtpd_sasl_authenticated_header = yes
 ...
 header_checks      =  pcre:/etc/postfix/header_checks
 mime_header_checks =  pcre:/etc/postfix/header_checks

Nun koennen wir in der angegebenen Datei header_checks mit folgender Zeile das Umschreiben aktivieren:

/^Received:\ from (.*)\(.*\)(.*)\(Authenticated\ sender:\ .*\)(.*by mail\.somedomain\.tld.*)$/U  REPLACE Received: from $1 (Remote IP hidden) $2(Sender was authenticated on somedomain.tld) $3

Hinweis: Die Zeile ist relativ lang, beim Kopieren aufpassen sie komplett zu erwischen. Wichtig ist die Option U an der Regex, diese schaltet sie auf ungreedy. Siehe man pcre_table.

Der Name des Mailservers taucht hier nochmal auf, damit ich die Original-IP bei extern eingelieferten Emails nicht verwerfe - das kann zum Identifizieren von Spammern helfen, auch wenn die Header oft gefälscht sind.

Im Ergebnis sieht der Header der Email nun aus wie folgt:

Received: from [192.168.101.150]  (Remote IP hidden) 
 (using TLSv1 with cipher DHE-RSA-CAMELLIA256-SHA (256/256 bits))
 (No client certificate requested)
 (Sender was authenticated at somedomain.tld) 
 by mail.somedomain.tld (Postfix) with ESMTPSA id A36241184685
 for ; Fri, 29 Jul 2011 20:23:31 +0200 (CEST)

Wenn man die private IP auch noch entfernen möchte, kann man sich jetzt natürlich einen weiteren Header-check überlegen, der auf '\[.*\].*Remote IP hidden' triggert und diese ersetzt. Das kann im Einzelfall notwendig werden, wenn kaputte Antispam-Maßnahmen anderer Empfänger solche Emails ablehnen.

Wenn man misstrauisch ist fügt man ausserdem noch eine Zeile hinzu, die jedes Vorkommen von '(Authenticated sender: ...)' mit etwas belanglosem ersetzt, falls man unter allen Umständen die internen Nutzernamen geheim halten will.

Effizienter Desktop mit fluxbox

2011-02-06T20:48:00.004+01:00

Nach langer Zeit mal wieder ein kleines Posting von mir. Diesmal zum Thema Organisation des Desktops bzw. Windowmanagers

Vor zwei Tagen bin ich auf der Suche nach einem neuen Windowmanager auf Anregung von Seba auf fluxbox umgestiegen. Flott, schlank, stark konfigurierbar. Auch wenn ich nach wie vor ein paar Gimmicks vermisse, habe ich Features entdeckt, die ich glaube ich nicht mehr missen will.

Dinge die ich vermisse

Der System-Monitor von Gnome war doch ganz praktisch. Man konnte in einem Panel die CPU-Auslastung sehen und den Speicherverbrauch. Aktuell habe ich nur die CPU-Auslastung beider CPUs ohne Unterscheidung in Nice, System und IO-Wait. Die wmaker-Docks sind mir zu groß und außerdem nicht im Panel. Ein 'swallow' wie damals beim fvwm2 wäre toll, um Anwendungen in das Panel einzubinden.

Die Arbeitsflächen lassen sich nicht zweidimensional anordnen, d.h. ich kann immer nur nach links und rechts, nicht nach oben und unten wechseln. Das war aber relativ effizient, um schnell zwischen Anwendungen zu wechseln. Eine Sache der Gewöhnung, hoffe ich.

Das Killer-Feature

Eines der Killer-Features schlechthin ist aber die Möglichkeit, beliebige Aktionen, per MacroCommand auch mehrere, auf Tastaturshortcuts zu legen.

Nicht nur, dass man damit Dinge wie das Maximieren oder Umschalten der Arbeitsflächen anpassen kann, man kann auch neue Funktionalität schaffen, zum Beispiel einer Anwendung eine Tastenkombination zuordnen und sie nur dann starten wenn sie noch nicht läuft.

Aktuell ist mein fluxbox nun so konfiguriert, dass Programme wie Firefox, Thunderbird, etc. eine Tastenkombination haben, die entweder auf die Arbeitsfläche mit der Anwendung umschaltet und sie anzeigt oder aber eine Dialogbox aufpoppt mit der Frage, ob sie gestartet werden soll. Zusätzlich ist den Anwendungen eine Arbeitsfläche und Größe fest zugeordnet, auf der sie starten sollen.

Läuft die Anwendung also noch nicht, startet sie unsichtbar auf ihrer Arbeitsfläche und ich kann dann später dorthin umschalten, sobald sie bereit ist.

Gerade das Umschalten zum Instant-Messenger oder Mediaplayer und wieder zurück zum Browser oder der IDE ist damit sehr schnell möglich.

Hinweis: Eventuell klappt das nur mit der aktuellen git-Version von fluxbox, da NextWindow unter Umständen nicht alle Workspaces durchsucht.

Hier die relevanten Auszüge:

~/.fluxbox/keys:

Mod4 C :Reconfigure
Mod4 F :If {Some Matches (class=Iceweasel)} {NextWindow (class=Iceweasel)}  {Exec ~/.fluxbox/bin/fbexec.sh iceweasel}
Mod4 G :If {Some Matches (class=Gmpc)     } {NextWindow (name=gmpc) (class=Gmpc)} {Exec ~/.fluxbox/bin/fbexec.sh gmpc }
Mod4 M :If {Some Matches (class=Icedove)  } {NextWindow (class=Icedove) } {Exec ~/.fluxbox/bin/fbexec.sh icedove}
Mod4 P :If {Some Matches (class=Pidgin)   } {NextWindow (class=Pidgin)  } {Exec ~/.fluxbox/bin/fbexec.sh pidgin }
Mod4 R :If {Some Matches (class=RSSOwl)   } {NextWindow (class=RSSOwl)  } {Exec ~/.fluxbox/bin/fbexec.sh ~/bin/RSSOwl.sh}

Anm: Mod4 ist die 'Windows'-Taste. Die Werte für class habe ich der apps-Datei entnommen, die fluxbox automatisch erweitert, wenn man mit der rechten Maustaste auf eine Titelleiste klickt und 'Remember' anklickt um Attribute wie den Workspace der Anwendung zu speichern. Alternativ geht auch xprop oder wmctl -l ~/.fluxbox/apps:

...
[app] (name=Navigator) (class=Iceweasel) (role=browser)
  [Workspace]   {5}
  [Dimensions]  {1198 682}
  [Position]    (UPPERLEFT)     {0 80}
[end]
...

~/.fluxbox/bin/fbexec.sh:

#!/bin/sh

#timeout returnes 0 (success) thus we have to use || here:
xmessage -center -buttons 'yes:1,no:0'  -timeout 5 "about to exec $@" || exec "$@"

Fight global freezing!

2010-12-19T21:19:00.003+01:00

Hier wird natürlich nicht versucht, Berlin eisfrei zu bekommen. Das Gebäude gehört (wohl) zu den Klimatechnikern, die Wärmetauscher für Lehrzwecke brauchen...

Server mit Migrationshintergrund

2010-11-28T00:40:00.004+01:00

Dieser Post soll allen als Warnung dienen, die einen Rootserver gemietet haben. Es kann einem passieren, dass der Provider beschließt, daß die alte Hardware zuviel Strom frisst, und er die Server der Kunden virtualisieren möchte.

Zustimmung des Kunden

Ein normaler Provider würde dann einen Brief schreiben. Oder vielleicht auch eine Email. Dann auf Antwort warten, und wenn der Kunde sein OK gibt und vielleicht noch einen Terminwunsch äussern darf (nicht während der Produktpräsentation z.B.) wird die Migration durchgeführt oder auch nicht.

Alles andere ist eine einseitige Vertragsänderung die unmittelbar Sonderkündigungsrecht des Kunden zur Folge hat.

Handeln ohne Zustimmung?

Bei einem meiner Provider war das leider nicht so. Ich erhielt eine Email, in der man die neue Virtualisierungslösung anpries und dass man wegen Erneuerung von Hardware meinen Server gerne migrieren würde. Das ist für mich Konjunktiv.

Das Problem war nur, dass ich diese Email eine Woche lang nicht zur Kenntnis genommen habe, weil Thunderbird der Meinung war, sie nicht anzeigen zu müssen. Alles halb so schlimm, könnte man meinen, die Nachricht war ja im Konjunktiv, und kein vernünftiger Provider würde einen Kundenserver nehmen, runterfahren, die Festplatte ausbauen, die Daten kopieren, auf ein Storage mit den Daten aller anderen Kunden legen...

Nun, genau das hat dieser Provider aber getan. Er hat nicht auf eine Antwort gewartet und einfach mal so die Festplatte ausgebaut und in einer Stunde Downtime die Daten kopiert.

Gemerkt habe ich es, weil Nagios gemeckert hat, dass der Server down ist.

Als ich nach etwas Suchen dann feststellte, dass mir Thunderbird Mails unterschlägt, fand ich nach einem Index-Rebuild auch die Email, die auf diese Migration "hinwies", bzw. mich eigentlich darauf hinwies, dass man das gerne tun würde, dieses Migrieren

Was ist 'Ausspähen von Daten'?

Auf meine Email hin, dass ich hier einen Fall von "Ausspähen von Daten" sehe und nicht damit einverstanden bin, dass man einfach meine Daten kopiert, erhielt ich dann gegen 16:09 eine Email, in der man mich fragt, ob ich mit einer Rückmigration auf die alte Hardware einverstanden sei. Diesmal war das sogar als Frage formuliert!

Lernresistent? Könnte man meinen.

Ja, nur leider sehe ich im Syslog, dass der Server um 17:05 und 17:10 rebootet. Es wurde wieder keine Antwort abgewartet - diesmal nicht mal eine Stunde lang - und es wurde erneut ohne Absprache mit den Daten hantiert. Die gehosteten Webseiten waren damit mal wieder nicht erreichbar. Und der Nameserver und Mailserver auf der Kiste auch nicht.

Dieser Zustand wurde leider auch 3 Stunden lang nicht besser. Obwohl ssh irgendwann wieder ging. Des Rätsels Lösung: Sie haben beim Rückmigrieren das Routing verbockt. Nach einer Email an die Notfall-Hotline war das aber dann wenigstens in Rekordzeit behoben - unter 10 Minuten.

got root?

Ich habe nach diesem Vorfall unmittelbar einen anderen Hoster gesucht.

Der neue Server war schließlich am Mittwoch einsatzbereit, im Verlauf des Tages habe ich dann einiges an Domains umziehen dürfen, darunter diverse CMS-Systeme, den Mailserver und den Nameserver für eine zweistellige Zahl an Domains und alle Nutzer und Kunden über die neuen IPs bzw. Nameserver informieren müssen, damit sie ihre DNS-Zonen ggf. anpassen.

finally?

Zwischendurch habe ich dann noch Kontakt zu einem Anwalt aufgenommen, um mir die rechtliche Situation mal ein bisschen genauer darlegen zu lassen.

Nun, die Kündigung beim Provider folgt zum 01.12.2010 - der alte Server ist nun endgültig platt. Genullt. Ob der Provider noch eine Kopie der Daten irgenwo im Backup hat - wer weiss....

Ach, ich mag sie, die Fahrer von DHL...

2010-11-22T22:27:00.004+01:00

nicht: Danke für das Foto, JonWon...

RANT: Wer darf heutzutage eigentlich Mailserver betreiben?

2010-11-02T12:40:00.005+01:00

Mir platzt hier gleich die Hutschnur. Man ist mal eine Woche zum Entspannen (und wegen einer Tagung)) aufs Land gefahren, und dann ist man andauernd am Server fixen. Arrgh.

Ein Drama in drei Akten

Dass einer meiner Server am Sonntag (natürlich während des gemütlichen Abendessens bei der Familie) wegen zu wenig RAM ausstieg ist ja meine Schuld, aber was dann gestern und heute sonst noch passierte muss ich einfach mal loswerden.

1. Akt: Die Uni

Gestern Abend hatte die Uni Probleme. Ausnahmslos alle Emails wurden mit einem permanenten Fehler abgewiesen:

 ...
 host localhost [127.0.0.1]: 
   550-Mailbox unknown. Either there is no mailbox associated with this
   550-name or you do not have authorization to see it.
   550 5.1.1 User unknown

Das ist natürlich genial für Mailinglisten - von denen fliegt man dann in der Regel runter - aber auch, wenn man wie ich bei seinem Hoster diese Adresse angegeben hat (weil unabhängig von den Systemen die man dort hosted) und dann die Rechnung oder Trafficabrechnung einen User unknown rauswirft.

Natürlich war gestern der Monatserste und natürlich hat mein Hoster mir versucht an diesem Tag die Rechnung und die Trafficabrechnung zu schicken. Die Trafficabrechnung ist angekommen. Die Rechnung (noch?) nicht.

2. Akt: Der Ticketversender

Ich bin diese Woche weggefahren, weil ich am Donnerstag zu einer Tagung will. Dazu braucht man natürlich ein Ticket. Und wie bekommt man das? Richtig, über einen Dienstleister. Dazu meldet man sich dort an, bezahlt das Ticket und wartet auf das pdf mit dem Ticket.

Und wartet. Und wartet. Und schreibt eine Email an den Support.

Denn: zum Passwort ändern auf der Plattform muss man eine Email bestätigen, aber die kommt ebenfalls nicht an.

Nun bekam ich dann heute eine html-only Email, dass das Ticket nochmal versendet wurde. Aber es kam nicht an, dafür füllte sich mein Maillog:

postfix/smtp[18334]: connect to mail2.amiando.com[213.183.6.102]:25: Connection refused
postfix/smtpd[18137]: NOQUEUE: reject: RCPT from mail.amiando.com[195.71.125.161]: 
  450 4.1.7 <no-reply@mail.amiando.com>: Sender address rejected: unverified address:
      Address verification in progress; from=<no-reply@mail.amiando.com>
      to=<xxxxx@XXXXXXXXX> proto=ESMTP helo=<lnxp-1930.srv.mediaways.net>

Die HTML-Mail löste bei mir leichte Übelkeitsgefühle aus, aber als ich den Eintrag im maillog auswertete wurde mir irgendwie schlecht.

Diese Leute versenden Emails und wundern sich, dass sie als SPAM erkannt wird?

Fassen wir mal zusammen:

Die Email ist HTML-Only, die Absenderadresse existiert nicht, so dass sie bei Fehlzustellungen nichts davon bemerken - deren System wird es also immer wieder versuchen, an eine nicht-funktionierende Adresse von einer ebenfalls nicht-funktionierenden Adresse aus mails zu versenden. Damit macht man sich bei den postmastern, die diese Bounces bekommen, so richtig beliebt.

Dann meldet sich der Mailserver mit dem Namen lnxp-1930.srv.mediaways.net obwohl er laut DNS eigentlich mail.amiando.com heissen sollte. Noch ein SPAM-Kriterium.

Und zur Kröhnung schreiben sie einen Mailserver in ihre Zone, dessen SMTP-Port Verbindungen ablehnt.

3. Akt: Services die verbinden...

Mit dem Spruch wirbt eine andere Firma für ihre Dienste. Leider scheint es damit nich so weit her zu sein. Ich bekomme hier jedenfalls Emails von der Adresse www-data@int3.web.int.fra.privatnetz.org

Mein Mailserver scheitert dann laut syslog aber daran, wenn er versucht mails an die IP 10.1.1.100 zuzustellen.

Die haben doch allerernstes sowohl hostnamen mit privaten IPs in ihrem DNS, als auch MX-Records die auf private IPs zeigen! Stümper! Das ist 'pollution of the public namespace' was den DNS angeht und auch sonst einfach nur kaputt.

Und dann wundern sich Leute, warum ich NAT und Masquerading hasse!

Das Ergebnis ist dasselbe wie oben: Sie werden niemals Fehlermeldungen erhalten und vielfach als SPAMMER erkannt werden.

Fazit

Ich frage mich langsam echt, ob wir einen Internet-Führerschein brauchen - für Diensteanbieter!

uBoot für DockStar

2010-10-18T03:47:00.004+02:00

Wie versprochen geht es weiter mit Artikeln zum DockStar

Um einen eigenen uBoot zu übersetzen bedarf es nicht viel...

Crosscompiler/Toolchain für Arm
uBoot-Quellen
patches für uBoot für den Dockstar
meine Anpassungen für Speicher und LEDs

Wer das alles nicht möchte, kann auch einfach das fertige Binary laden, muss dann aber mit den Standardoptionen leben oder die Optionen im Flash anpassen. Meine Version des u-Boot gibt es hier. Vorsicht: Es scheint nicht jeder Kernel damit zu booten. Bitte vorher testen!

Die Toolchain bekommt man nach der Anleitung hier und dann geht es bei ahsoftware weiter mit dem uBoot.

Am Ende gibt es dann noch die Anpassungen für LED's und Speicher von mir:

In der Datei board/Marvell/sheevaplug/sheevaplug.h kann man sich aussuchen, wie man die LED's beim Einschalten gesetzt haben will. Folgende Zeilen schalten einfach die orange LED ein, um den Bootvorgang zu signalisieren:

#define SHEEVAPLUG_OE_LOW        (~(0))           /* This is for DockStar:                    */
#define SHEEVAPLUG_OE_HIGH       (~( (1 << 15) )) /* output enable gpio47 (32+15) = orange,   */
                                                  /*               gpio46 (32+14) = green led */
#define SHEEVAPLUG_OE_VAL_LOW    (1 << 29)        /* USB_PWEN low                             */
#define SHEEVAPLUG_OE_VAL_HIGH    0               /* output low => led on - thus we switch on */
                                                  /* the yellow one above.                    */

Viel wichtiger ist jedoch das korrekte Konfigurieren des Speichers, damit das später startende Linux nicht versucht, auf den nicht vorhandenen Speicher zuzugreifen.

Die Option hierzu findet sich in der Definition des Konfigurationsabbilds der CPU in der Datei board/Marvell/sheevaplug/kwbimage.cfg. Dort gilt es die DATA-Definition an der Adresse 0xFFD01504 zu ändern:

DATA 0xFFD01504 0x07FFFFF1     # CS[0]n Size Register - 07=128MB for DockStar

Wer nun noch eine komfortable Eingabeaufforderung im Bootloader haben will, editiert noch schnell die Datei include/configs/sheevaplug.h und fügt die folgenden Zeilen ein:

#define CONFIG_SYS_HUSH_PARSER
#define CONFIG_AUTO_COMPLETE
#define CONFIG_SYS_PROMPT_HUSH_PS2 "> "
#define CONFIG_CMDLINE_EDITING

Schliesslich wollte ich noch die Standard-Boot-Optionen anpassen:

 #define CONFIG_BOOTCOMMAND \
         "${x_bootcmd_usb}; "    \
         "setenv bootargs ${x_bootargs} ${x_bootargs_root}; echo cmdline: ${bootargs} ; "    \
         "run x_bootload_kernel m_usb_boot;" \
         "reset" /* If loading from USB failed we just reset, my experience was that the second time the device will be found */

[...]
 #define CONFIG_EXTRA_ENV_SETTINGS \
       "x_bootargs=console=ttyS0,115200 mtdparts="CONFIG_MTDPARTS \
       "x_bootargs_root=root=/dev/sda1 ro rootdelay=5\0" \
       "x_bootload_kernel=ext2load usb 0:1 0x800000 /boot/uImage\0" \
       "m_usb_boot=if ext2load usb 0:1 0x1100000 /boot/uInitrd; then bootm 0x800000 0x1100000;else bootm 0x800000;fi;\0" \
        "x_bootcmd_usb=usb start\0"

Damit sucht der u-Boot auf dem usb-stick nach einem uImage und uInitrd und bootet, falls vorhanden, auch mit Initrd.

Flashen des uBoot

Die heikelste Operation ist das Flashen des uBoot. Zum Testen empfiehlt es sich, mit dem vorhandenen Bootloader den neuen uBoot per Netz oder usb-Stick in den Speicher zu laden und direkt anzuspringen (Dazu das bin-file benutzen). Wer seinen eigenen uBoot flashen will sollte unbedingt daran denken, nicht versehentlich das binary sondern immer das Bootfile (kwb) zu flashen.

Ich erledige das bequem mit der seriellen Konsole und einem tftp-Server:

setenv ipaddr 10.1.1.17 ; setenv serverip 10.1.1.1 ; tftp 0x6400000 u-boot.kwb
nand erase 0x0 0x40000
nand write 0x6400000 0x0 0x40000
reset

Und wenn man Glück hatte, braucht man nicht so wie ich einen JTAG-Adapter...

Mein Dockstar lebt wieder...

2010-10-18T02:34:00.004+02:00

So. Es ist wieder einmal passiert. Ich habe mir Hardware zum Spielen gekauft.

Diesmal: Ein FreeAgent DockStar Network Adapter von Seagate.

Das Schätzchen hat 128MB Ram und 256MB Flash on Board, eine nette ARM CPU, Gigabit-Netzwerk und 4 USB-Ports. Details finden sich zu Hauf im Netz.

Was mich besonders interessiert hat, war die in der CPU vorhandene Crypto-Unit, die sha1, md5 und aes in Hardware berechnen kann.

Linuxkernel

Leider ist es mit der Unterstützung dieser Einheit im offiziellen Kernel noch nicht so wahnsinnig weit - bisher wird das ganze nur rudimentär angesprochen (z.B. kein DMA), so dass es nicht wirklich Spaß macht, das ganze zu nutzen. (1-2MB/s Gewinn)

Etwas mehr verspricht hier ein Kernel des Herstellers - und voilá, GPL-sei-dank gibt es da auch was passendes. Oder naja, etwas das man für passend halten kann.

Vorweg: Ja, ich habe den Kernel letztlich übersetzt bekommen, man darf nur nicht so wahnsinnig sein, und an der config großartig Dinge ändern wollen - weil dann knallt es. Und zwar richtig mit Compiler-Fehlern und Syntax-Errors in den Kernelquellen.

Letztlich habe ich jedenfalls 15MB/sec von einer verschlüsselten USB-Platte lesen können statt 6-7 ohne Hardwareunterstützung.

Details zum Kernel folgen, sobald ich einen stabilen build habe und das dokumentieren kann. Ausserdem will ich die LEDs aus dem Kernel heraus ansprechen können, die GPIO-Konfiguration habe ich im Prinzip bereits.

uBoot - der Bootloader

Damit ich dieses System bequemer booten kann, wollte ich dann einen neuen uBoot bauen.

Die Cross-compiler-chain war ja schon von kernel vorhanden - sollte also alles kein Problem sein. Dachte ich.

Die Konfiguration des DockStar unterscheidet sich leider etwas von der des Sheeva-Plugs. So ist nur die Hälfte des Rams vorhanden, ausserdem sind die beiden LEDs an andere GPIO-Pins angeschlossen.

Kaputtgeflasht

Was mir letztlich das Genick brach war aber ein dummer Fehler: Ich habe das uBoot-Binary direkt in den Flash des DockStar gebrannt - statt des kwb-Images, das die Hardwarekonfiguration enthält.

Letztlich habe ich nun 4 verschiedene Jtag-Adapter hier gehabt, davon zwei selbstgebaute. Der letzte, ein wiggler, funktionierte schließlich - wenn auch nur mit 50kHz statt 500. (Kabellänge)

Folgende Fallen begeneten mir dabei:

74HC244 falschrum im Sockel. Gute Heizwirkung, der Chip hats überlebt, mein Zeigefinger auch...
Kabel zu lang und zu wenig abgeschirmt
Ein funktionierender DockStar hat das JTAG deaktiviert und ist zum Testen ungeeignet!

Vor allem der letzte Punkt mit dem funktionierenden DockStar hat mich etliche Stunden gekostet. Aber wer rechnet schon damit -.-

Ausblick

Die folgenden Posts werden ausführlich das Wiederbeleben des DockStars, die korrekte Konfiguration des Bootloaders für diese Plattform und die Konfiguration des Kernels enthalten.

Der Bootloader kann hier jedenfalls schon die LED's ansprechen, dem Kernel werde ich das wohl auch noch beibringen. TODO's sind aber noch die Konfiguration des Speichers im uBoot.

Vorlesungsverzeichnis der TU-Berlin (Backup)

2010-10-10T01:44:00.004+02:00

Die Freitagsrunde hat sich wieder die Freiheit genommen, eine Kopie des Vorlesungsverzeichnisses der TU-Berlin anzulegen, falls die Server überlastet sein sollten. Bitte weitersagen.

Das Vorlesungsverzeichnis für das Wintersemester 2010/2011 findet sich nun auch hier: offizielles Vorlesungsverzeichnis der TU-Berlin (Kopie).

In den Ordnern sind jeweils die pdf-Versionen der Fakultäten abgelegt. Auf oberster Ebene auch nochmal ein Archiv als zip und tarfile.

Update: Ja, das Backup des Vorlesungsverzeichnis ist in den letzten Jahren rege genutzt worden, weil der Typo3 doch ab und zu ausfällt und das lsf-web einfach überlastet ist. Und ich hoffe dass dieser Eintrag jetzt auch genügend Stichworte für die Google-Trefferliste hat ;o). Die billigen Tricks wie finden sie HIER mehr über TU-Berlin Vorlesungsverzeichnis oder Backup Vorlesungsverzeichnis TU Berlin lasse ich mal weg...öhm - wait... mist ;)

md-raids aus USB-Platten und automatische Checks...

2010-09-05T01:14:00.005+02:00

Falls ihr externe USB-Platten als Raid einsetzt, werdet ihr wissen, dass es mitunter Tage dauern kann, bis ein Rebuild oder Check des Raids komplett ist:

md4 : active raid5 sdc[0] sdf[3] sde[2] sdd[1]
      2930287488 blocks level 5, 64k chunk, algorithm 2 [4/4] [UUUU]
      [>....................]  check =  0.9% (8861912/976762496) finish=1374.5min speed=11735K/sec

Falls ihr euch nun wundert, warum das Raid an einem Sonntag Abend auf einem Debian System sehr träge reagiert und 50% der CPU durch einen Thread mit dem Namen md4_raid5 belegt sind, empfehle ich euch mal den Cronjob des mdadm anzusehen.

Dieser läuft am ersten Sonntag jedes Monats und prüft das Raid auf Konsistenz. Einerseits recht nützlich kann es aber auch störend sein - dauert es doch wie gesagt relativ lange. Zudem gibt es unter Debian bei manchen Installationen einen Bug, so dass der Cronjob jeden Sonntag läuft.

Um einen laufenden Check abzubrechen genügt ein:

/usr/share/mdadm/checkarray -x --all

Der Cronjob ist in der /etc/cron.d/mdadm definiert.

Komplett deaktivieren ist aber auch unschön, weil es das Erkennen von Fehlern auf dem Raid verhindert. Bei Mirror-Raids ist das Fatal, beim Ausfall einer Platte in einem Raid5 ebenfalls, weil dann unter Umständen keine reduntenten Informationen zum Wiederherstellen vorhanden sind.

Ein HDR-Experiment

2010-08-01T15:08:00.002+02:00

Ein Sommernachtsgewitter

2010-07-24T11:24:00.001+02:00

How to disable AAAA queries for IPv6 / configure your resolver

2010-05-28T00:19:00.005+02:00

Today I stumbled upon a very nasty behaviour of glibc - again.

On a host which has no access to IPv6 at all and no module-support in the kernel, it seems the connect() call fails when there is a AAAA record in place for a remote server.

This means I cannot wget a webpage if an AAAA record exists for the page, etc.

You will find many solutions on how to 'disable IPv6' - but they all miss the resolver in glibc, the part that is behind the 'gethostbyname' call.

I like to disable AAAA DNS-queries for IPv6 completely - and the solution is easy:

#cat /etc/resolv.conf 
options no-inet6
nameserver ...
nameserver ...

Just documenting it here, because the manpage does not document the 'no'-Feature and searching for this on google was not helpful at all.

bzip2 vs. gzip und gvfs im Allgemeinen

2010-05-18T11:43:00.007+02:00

Eben bin ich mal wieder über einige Kleinigkeiten gestolpert, die einfach nur ärgerlich sind.

Ein paar wirklich kleine Bugs, aber trotzdem unendlich nervig!

Gnome bindet Samba-Freigaben (also Windows-Freigaben) innerhalb des virtuellen Dateisystems ~/.gvfs innerhalb des Homes des Nutzers ein. Soweit so gut.

Erster Akt: Zugriff!

Man könnte ja annehmen, dass Gnome dann auch transparent Zugriff darauf erlaubt. Wenn ich ein Terminal starte, kann ich in das Verzeichnis wechseln und mit normalen Kommandozeilentools auf die Freigaben schreiben. Alles toll.

Aber in Gnome tauchen diese Freigaben im normalen Datei-öffnen Dialog nicht auf. Entsprechend auch nicht in Firefox, Galeon, Epiphany. Wie soll denn ein Endnutzer jetzt auf einfache Weise einen Download auf dem Share speichern? Vielleicht übersehe ich auch was, aber sowas ist einfach nur ärgerlich. Nicht nur weil das unter Windows ohne Probleme funktioniert.

Navigiert man manuell nach ~/.gvfs/ klappt es aber...

Zweiter Akt: Verknüpfungen

Wer es aus Windows kennt, versucht es auch unter Linux. Hat man nach viel Suchen die richtige Freigabe auf dem richtigen Server gefunden, zieht man die Freigabe aus der Netzwerkumgebung auf den Desktop und hat fortan eine Verknüpfung mit dem Share, die beim Doppelklick wiederhergestellt wird.

Nicht so bei unserem Lieblingsfrickelbetriebssystem mit Gnome. Zuerst beschwert es sich, dass die Freigabe kein normaler Ordner ist. Ach! Dann legt es auf dem Desktop einen leeren Ordner mit dem Namen der Freigabe an. Toll! Wie soll denn ein Endbenutzer jetzt auf die Idee kommen, dass alles was er in diesem Ordner speichert eben nicht auf dem Server landet?!

Nun gut, versuchen wir Rechtsklick auf den Freigabenamen in der Netzwerkumgebung, dann Verknüpfung erstellen. Ooops. Ich habe auf der obersten Ebene des Servers ja keine Schreibrechte, also Fehlerdialog, Verknüpfung kann nicht angelegt werden. Leider erfolgt auch keine Möglichkeit wie bei Windows (sic!) die Verknüpfung statt dessen direkt und automatisch auf dem Desktop anlegen zu lassen. Ergo: Verknüpfungen erzeugt man manuell, indem man einen Starter mit dem Ziel nautilus smb://server/ anlegt.

Wie soll denn ein Endbenutzer....

Wenn man viel Glück hat geht das auch meistens. Oft habe ich aber wie unter Windows nur leere Servereinträge, bekomme skurrile dbus-Fehlermeldungen, kann das Netzwerk nicht durchsuchen, etc. Ja, iptables ist leer und auf ACCEPT.

Dritter Akt: Auf der Kommandozeile ist alles besser?

Nein, nicht wirklich.

Bei dem Gnomefs ist z.B. die Funktion fchmod nicht implementiert. Und das führt zu unnötigen Fehlern.

Situation: Auf dem Share liegt eine Datei, die wir komprimieren wollen.

Also Kommandozeile, cd ~/.gvfs/sharename ; bzip2 file - und wir bekommen einen netten IO-Error um die Ohren gehauen. Vorher hat bzip2 das File übrigens ordnungsgemäß komprimiert. Komplett. Und wieder aufs Share geschrieben. Dann gelöscht.

Das gleiche Experiment mit gzip: Es wird auch ein Fehler geworfen, das File wird aber korrekt abgelegt und die Quelle gelöscht.

Welches Verhalten ist nun besser? gzip, der die Rechte nicht setzt und dem es egal ist, oder bzip2, dass die Datei einmal übers Netz zieht, komprimiert, schreibt und zurücksendet und dann löscht?

Was mich aber am meisten wundert: warum wird das fchmod erst NACH dem Schreiben der Nutzdaten gemacht?

Die Krönung des ganzen: Der Mode, den bzip2 hier übergeben will, unterscheidet sich nicht vom Mode, den die Datei auch so schon hat, wenn sie neu angelegt wird -.-

Fazit: Alle doof außer Mutti!

Erinnert mich irgendwie an George Orwell...

2010-04-07T11:22:00.004+02:00

„Bei allem Positiven, das die Online-Welt bietet, wird das Internet zunehmend als Medium für die Vorbereitung und die Ausführung abweichenden Verhaltens, bis hin zur Durchführung krimineller Taten genutzt.“

Das obige Zitat stammt nicht etwa aus einem Roman wie 1984 sondern aus einer offiziellen Pressemitteilung des BDK - des Bund Deutscher Kriminalbeamter.

Ich finde solche Gedankengänge jedenfalls sehr verstörend. Demnächst dann: Wer sich abweichend verhält, wird einstweilig erschossen... Hatten wir so etwas ähnliches nicht schon einmal?

Auch aufschlussreich ist das Folgende:

„Aufgrund ungefilterter Internetzugänge sind aber auch Inhalte wie Pornographie, Pädophilie, Islamismus, Rechts- und Linksextremismus, Terror und vieles mehr für Kinder und Jugendliche frei verfügbar.“

Nun, Kinder und Jugendliche haben auch ungefiltert Zugriff auf die Zigaretten und den Alkohol im elterlichen Haus. Sogar an Küchenmesser und Äxte kommen sie. Man könnte noch diverse andere Gefahren aufzählen, bis zum Fremden im Park der sie belästigt oder entführt. Trotzdem fordert niemand, dass der Staat jedem Heranwachsenden einen Streifenpolizisten zur Seite stellt, der aufpasst, dass die Eltern nichts falsch machen. Es ist verdammt nochmal die Verantwortung der Erziehungsberechtigten, dafür zu sorgen, dass Kinder eben nicht vor dem Computer geparkt werden. Aufgabe der Schule sollte es sein, Medienkompetenz zu vermitteln.

Sehe nur ich das so, dass es bedenklich ist, wenn der Staat sich in die Erziehung der Kinder einmischt und sich zur Aufgabe macht, diese vor allem zu schützen, was seiner Meinung nach schädlich ist?

Gleichzeitig soll hier die Internetzensur wohl mal wieder zum Schutz der Kinder salonfähig gemacht werden. Wenn man einen ungefilterten Zugang vom Provider haben will, kann man das vermutlich bekommen. Aber ich vermute, das traut sich dann keiner, weil oben genannte Dinge will er ja ohnehin nicht abrufen - sich verdächtig machen erst recht nicht.

In diesem Sinne werde ich mich jetzt weiter abweichend verhalten und mit meinem abweichenden Betriebssystem diesen Post beenden und nachher abweichend von der Mehrheit mit dem Rad in die Uni fahren...

Scrollen mit dem Touchpad...

2010-04-02T11:15:00.006+02:00

Kleiner Tipp am Rande: Wer sich wie ich darüber ärgert, dass nach einem Update des X-Servers bzw. des synaptic Touchpad-Treibers das scrollen per Touchpad nur noch an der rechten Seite des touchpads funktioniert und nicht mehr, wenn man zwei Finger auf das Touchpad legt, kann das alte Verhalten schnell durch Aufruf des 'synclient' wiederherstellen.

Die Konfiguration erfolgt bei aktuellen xorg-Versionen ja nicht mehr in der xorg.conf...

Bei der Gelegenheit habe ich auch gleich das vertikale Scrollen aktiviert und Klicks und Doppelklicks eingeschaltet:

   #Scrollen in alle Richtungen gleichzeitig:
   synclient VertTwoFingerScroll=1
   synclient HorizTwoFingerScroll=1
   #Klicken mit linker Taste:
   synclient TapButton1=1
   #Meine default-Werte:
   synclient MaxTapTime=180
   synclient MaxDoubleTapTime=180

Das obige snippet habe ich jetzt einfach in meine .xinitrc eingebaut, fertig.

1. Nachtrag: Die Freude hält sich in Grenzen - nach einem Suspend to RAM muss man das kleine Script nochmal ausführen, damit das Touchpad konfiguriert ist. Offenbar sichert der synaptics-Treiber den Status nicht korrekt bzw. stellt ihn nach dem Aufwachen nicht wieder korrekt her. *grr*

Eduroam soll in Zukunft weiter kein Geld kosten!

2010-04-01T04:08:00.006+02:00

Man ist ja einiges gewöhnt, was Ideen der Uni angeht, Geld zu sparen. In einigen Hochschulen sieht man die Studierenden offensichtlich nur als Kostenfaktoren, die den Forschungsbetrieb behindern. Die logische Konsequenz: Die Einführung von Studiengebühren.

In Berlin ist das zum Glück noch nicht der Fall - aber auch hier wächst der Kostendruck unaufhaltsam - die TU soll in den kommenden Jahren Millionen einsparen.

Vergangenes Jahr gab es an einigen Hochschulen schon die Idee, die Stromentnahme für Notebooks nur noch gegen Bezahlung zu ermöglichen, weil der Stromverbrauch durch die mitgebrachte Technik offenbar so hoch war, dass die Hochschule 'in den Ruin' getrieben werde. Wer mag kann ja mal ausrechnen, was 50 Notebooks mit 50 Watt in 2 Stunden an Kosten verursachen...

~~An der TU gibt es aber eine ganz neue Idee.~~

Hier steht, eduroam solle demnächst Geld kosten. Klar, WLAN an der Uni ist ja Luxus. Warum auch nicht, bei 30.000 Studierenden kommen da sicher ganz nette Summen zusammen, die angeblich in den Ausbau des Netzes gesteckt werden sollen.

Man darf gespannt sein...

Update: Insbesondere interessiert mich, wer auf diesen Aprilscherz reingefallen ist ;o)

Präsentationen mit LaTeX und... pdfPres!

2010-03-30T23:57:00.005+02:00

Wer so wie ich Fan von LaTeX ist, wird sich über dieses Programm freuen:

pdfPres zeigt die aktuelle Folie, die letzte und die folgende sowie Notizen an. Die Folien sind als pdf Datei vorhanden, die Notizen werden in einer xml-Datei gehalten. Der Clou ist aber, dass ein zweites Fenster nur die aktuelle Folie anzeigt, so dass man dieses auf den zweiten Desktop schieben kann und so per Beamer dem Publikum zeigt.

Außerdem kann man in seiner Vorschau blättern ohne das Publikum durch Folienwechsel zu verwirren.

Download per git von http://github.com/vain/pdfPres/

Presenter-Keyodes mappen

2010-03-22T10:40:00.004+01:00

Was tun, wenn die Software zum Blättern die Cursortasten 'Links' und 'Rechts' verlangt, der Presenter aber nur die Bild auf und Bild ab Tasten als Keycodes sendet?

Die Frage wurde mir vorhin in einem telefonischen Notruf 5 Minuten vor Beginn einer Präsentation gestellt... Damit es beim nächsten Mal schneller geht hier die Doku.

Nun, zunächst sucht man per xev die Keycodes der betreffenden Tasten und xmodmap -pr die Namen der Zieltasten.

Man erhält dann sowas:

Taste	Keycode	Name in X
Bild auf	112	Prior
Bild ab	117	Next
Links	113	Left
Rechts	114	Right

Und nun mappen wir fröhlich die Tasten um:
Bild auf soll Cursor links werden:
xmodmap -e "keycode 112 = Left"
Bild ab soll Cursor rechts werden:
xmodmap -e "keycode 117 = Right"

Und wenn man Ersatz für die Cursortasten will:
Links soll Bild auf werden:
xmodmap -e "keycode 113 = Prior"
Rechts soll Bild ab werden:
xmodmap -e "keycode 114 = Next"

Unter OpenWRT per DHCP den NTP announcen

2010-03-12T16:26:00.004+01:00

Wer sich wundert, warum die Rechner zu Hause den NTP-Server des eigenen Routers einfach nicht benutzen wollen, sollte mal per tcpdump nachsehen, ob die DHCP-Option 42 auch gesendet wird... Wenn nicht muss man auf dem Router in der /etc/config/dhcp das Schlüsselwort dhcp_option benutzen:

config dhcp lan
        option interface        lan
        option start            100        
        option limit            150
        option leasetime        1h
        list dhcp_option '42,10.1.1.1'

Hier wird den Clients im LAN mitgeteilt, dass man 10.1.1.1 als NTP-Server nutzen will...

IO-Durchsatz und kernel neuer 2.6.28

2010-03-09T20:24:00.003+01:00

Kurze Notiz: Wer auch wie ich das Problem hatte, dass manche Anwendungen wie liferea das gesamte System einfrieren lassen, wenn sie ein bischen IO machen (eine sqlite-db nutzen z.B.) kann ich ein downgrade auf Kernel 2.6.28, z.B. 2.6.28-gentoo-r5, empfehlen. Seitdem ich von 2.6.33 umgestiegen bin, kann ich wieder Multitasking machen und liferea benötigt keine 20-30 Sekunden pro Artikel(!) zum Darstellen, wenn mal ein Bild enthalten ist. Auch insgesamt ist das System wesentlich responsibler geworden und damit wieder benutzbar. Das Problem als solches stellte sich durch 80-90% iowait dar - so dass ich trotz Dualcores nicht mehr arbeiten konnte, weil der IO Scheduler das System schlicht und einfach komplett lahmgelegt hat. Ich hoffe das wird mal wieder besser *seufz*

TU-Berlin: Sicherheitswettbewerb der AG-Rechnersicherheit

2010-03-04T13:27:00.004+01:00

Die AG-Rechnersicherheit hat parallel zu ihrer Präsenz auf der CeBit einen Wettbewerb gestartet, an dem nun jeder per Internet teilnehmen kann um sein Wissen im Bereich der IT-Security zu testen... Dabei gibt es neben einfachen Fragen auch einige praktische Knobeleien zu lösen. Wer mitmachem möchte, sollte natürlich die Spielregeln lesen und das Anmeldeformular ausfüllen. Ansonsten sei jedem ein Besuch auf der CeBit am Stand B39 in Halle 9 ans Herz gelegt.

Zensierte Mediathek/unvollständige Nachrichten

2009-12-07T16:12:00.006+01:00

Schöne neue Welt - oder - warum sich mir bei dem Thema GEZ-Gebühr für Computer die Nackenhaare sträuben.

Ich wollte mich heute in unserem ~~unabhängigen öffentlich-rechlichem~~ Staatsfernsehen über die Geschehnisse des gestrigen Tages informieren.

Dies wollte ich bei unserem Zweiten Deutschen Fernsehen tun, deren neueste Mediathek-Version ja sogar endlich unter Linux funktioniert.

Nachdem die Nachrichten ja schon bei der Berichterstattung zur Leichtathletik-WM zensiert worden waren (man besitzt keine Rechte an den Bildern zur 'Ausstrahlung' im Internet) ist mir heute endgültig die Hutschnur geplatzt.

Bei Zeitpunkt 12:28 - mitten in einem Bericht zur Bombardierung der Tanklaster - kommt folgende Einblendung:

Ich fühle mich ehrlich gesagt verarscht, gerade weil immer nach den Nachrichten der Hinweis kommt, man könne sie ja im Internet nochmal sehen, wenn man sie verpasst hat.

Diese Einblendung wird ermöglicht durch Ihre Rundfunkgebühren - TOLL.

Wer selber nachsehen will kann dies hier tun. Aber dran denken: Die Sendung ist nur begrenzte Zeit verfügbar - auch wenn sie von unserem Geld bezahlt ist.

Ich habe über das Kontaktformular mal um Informationen gebeten, insbesondere wie das mit der Forderung nach vollen GEZ-Gebühren für PCs zusammengehen soll.

Things you don't want to see when creating a filesystem...

2009-11-09T12:57:00.003+01:00

Wo wir schon beim Thema sind. Habe eben ein altes kernel-log auf meinem nas gefunden:

BUG: unable to handle kernel NULL pointer dereference at 00000004
IP: [] mempool_free+0xe/0x97
*pde = 00000000 
Oops: 0000 [#1] PREEMPT 
Modules linked in: xfs raid456 async_xor async_memcpy async_tx xor md_mod dock container video output wmi ohci_hcd nfsd auth_rpcgss exportfs ac battery ipv6 nfs lockd nfs_acl sunrpc loop parport_pc parport floppy pcspkr rtc i2c_i801 i2c_core rng_core button intel_agp agpgart evdev ext3 jbd mbcache cbc dm_crypt crypto_blkcipher dm_mirror dm_snapshot dm_mod ide_generic ide_cd_mod cdrom ide_disk sd_mod usb_storage dc395x 3c59x mii scsi_mod piix ide_core ehci_hcd uhci_hcd usbcore thermal processor fan

Pid: 27646, comm: md0_raid5 Not tainted (2.6.25.1 #3)
EIP: 0060:[] EFLAGS: 00010286 CPU: 0
EIP is at mempool_free+0xe/0x97
EAX: cf5f15a0 EBX: 00000000 ECX: c15f7990 EDX: 00000000
ESI: 00000000 EDI: cf5f15a0 EBP: 00000000 ESP: cf77be20
 DS: 007b ES: 007b FS: 0000 GS: 0000 SS: 0068
Process md0_raid5 (pid: 27646, ti=cf77a000 task=cf484b00 task.ti=cf77a000)
Stack: ...
Call Trace:
 [] return_io+0x2b/0x33 [raid456]
 [] handle_stripe5+0x488/0xdf9 [raid456]
[...]

Der Bug war übrigens reproduzierbar, wenn man versuchte auf einem gerade im Aufbau befindlichen Raid5 einen LUKS-Container anzulegen und darin dann das Filesystem zu erzeugen.

Things you don't want to see when checking a filesystem...

2009-11-09T09:51:00.003+01:00

Out of memory: kill process 3641 (xfs_check) score 20034 or a child
Killed process 3642 (xfs_db)

# xfs_check /dev/sda1
Segmentation fault.

*aargh* 1 GB RAM (davon >700MB frei) sollten meiner Meinung nach für ein fsck auf xfs reichen. Und egal wie kaputt das Dateisystem ist, von einem Superblock mit invaliden Daten sollte es keinen Segfault geben.

Heute ist Bundestagswahl: Geh Wählen!

2009-09-27T13:47:00.004+02:00

Ein kurzer Reminder an alle: Heute, am 27.09.2009, ist Bundestagswahl Wer nicht wählen geht, darf sich hinterher nicht beschweren! Ansonsten gilt (nach GBO) für die Wahl dasselbe wie für den Zahnarzt: Geht man zu lange nicht hin, wird's braun. In diesem Sinn: Beweg Dich und geh zur Bundestagswahl! ... damit sie sich noch wünschen wir wären nur politikverdrossen!

Mein Bild der Berliner Polizei...

2009-09-12T23:30:00.005+02:00

...hat heute einen weiteren, diesmal sehr heftigen Knacks bekommen.

Anlass ist ein Video - dessen Inhalt ich kaum glauben mag.

Zu sehen ist eine Gruppe Polizisten und einige Demonstranten. Einer der Demonstranten will wohl gerade eine Anzeige gegen einen der Polizisten aufgeben, weil er bei der Festnahme eines anderen Demonstranten seiner Meinung nach zu brutal vorgeganden ist.

Das Ergebnis für diesen Demonstanten: Mindestens eine gebrochene Nase - und zwar nicht für den Festgenommenen, sondern für den, der die Anzeige aufgeben will - denn plötzlich wird er, schon im Gehen, von zwei Polizisten festgehalten und ein dritter schlägt ihm mit der Faust und mit voller Wucht in das Gesicht. Hält man das Video an, stellt sich bei mir der Eindruck ein, der Zuschlagende würde auch noch grinsen und das Zuschlagen genießen.

Ich finde das unerträglich!

Video: http://www.lawblog.de/index.php/archives/2009/09/12/mustergultiger-einsatz-ii/

Zynischerweise fand dies am Rande der Demonstration 'Freiheit statt Angst' statt - bei den Bildern bekommt dann auch Angst - vor dem Staat bzw. seinen Organen.

Leider deckt sich das aber mit meinen 'Erlebnissen' mit der Berliner Polizei, was die Begleitung von Demonstrationen angeht. Sonst sind alle Beamten immer höflich und korrekt gewesen.

Bei einer der Demos der Studentenproteste an der TU habe ich gesehen, wie einer der Polizisten uns Studenten angepöbelt und beleidigt hat, die Faust in die Höhe gestreckt hat und unsere Slogans als 'blah blah' abgetan hat (durch Zeichensprache). Sowas trägt natürlich unheimlich zu einem freundlichen Miteinander bei - zumal das direkt am Beginn passierte, ohne dass bis dahin was wesentliches passiert ist. Später setzen diese Beamten es sich dann auch in den Kopf, mit ihrer Wanne mitten durch den Demonstrationszug fahren zu müssen, so dass es notwendig war die Demonstranten die davor liefen zur Seite zu schubsen. Das war mein erstes 'negatives' Erlebnis.

Das zweite durfte ich vor meiner Haustür sehen, als 5-6 Polizisten auf Grund einer Verwechslung auf einen Demo einen Einzelnen aus dem Zug zerrten und danach mit Pfefferspray um sich sprühten. Es sei erwähnt, dass der Demonstrant nicht mal die Chance hatte zu reagieren, weil er vorher nicht angesprochen wurde doch bitte mitzukommen: Es rannten sofort die oben erwähnten 5-6 Polizisten in kompletter Kampfmontur auf ihn zu - was natürlich Reaktionen bei Umstehenden auslöst - in diesem Fall die Polizisten zu filmen und in Richtung Hausecke zu folgen.

Als sporadischer Demonstrationsteilnehmer muss ich sagen, bin ich geschockt und frage mich, was man in so einer Situation machen kann, denn jede Form der Einmischung ist von Widerstand gegen die Beamten bis hin zu versuchter oder vollzogener Gefangenenbefreiung sanktioniert oder endet eben im Krankenhaus.

Wir brauchen dringend Internetsperren, denn wir haben zu wenig Ermittler!

2009-09-02T16:12:00.005+02:00

Langsam wird es deutlich: Die Politik hat offenbar kein Interesse, wirksam gegen Delikte aus dem Bereich der Kinderpornographie vorzugehen.

Woher ich diese Erkenntnis diesmal ziehe? Aus einem Artikel der Netzeitung.

Zitat: "In Sachsen-Anhalt müssen Verfahren wegen des Verdachts auf Kinderpornographie eingestellt werden, weil kein Personal zur fristgerechten Sichtung der Beweismittel da ist."

Randnotiz: Der Ministerpräsident des Landes ist Wolfgang Böhmer (CDU), ein Parteigenosse unserer Familienministerin...

Dort liegen Datenträger seit 3 Jahren zur Auswertung. Wie sollen so Hintermänner gefasst werden?

Und was bedeutet das für möglicherweise unschuldig Verdächtigte?

Sämtliche Hardware wird bei einer Durchsuchung beschlagnahmt. Alle Datenträger sind weg.

In der Praxis heisst das heute, dass man als moderner Mensch in seiner Existenz gefährdet sein kann, nicht nur wenn man sein Geld mit dieser IT verdient.

Die Steuererklärung könnte ich zum Beispiel nicht mehr machen, denn alle von mir geschriebenen Rechnungen liegen nur digital vor, abenso wie die Kalkulationen der letzen Jahre. Das Finanzamt schätzt mich also.

An mein Onlinebanking komme ich auch erstmal nicht, der Rechner ist ja weg, man muss sich also einen Ersatz beschaffen.

Alle Studienunterlagen auf dem Rechner (auch Diplomarbeit, Hausaufgaben, Klausurvorbereitung) sind nicht mehr zugreifbar, Dokumente des Arbeitgebers nicht verfügbar, Programmierprojekte, Quellcode, alles weg.

Und das für mehrere Jahre, wenn man nicht auf Herausgabe der Datenträger klagt.

Für echte Täter andererseits bedeutet es, dass sie möglicherweise gar nicht belangt werden, Spuren vernichten können, die Hintermänner niemals ermittelt werden.

Man fügt also unschuldigen unermesslichen Schaden zu und gefährdet sie in ihrer Existenz, während Täter unter Umständen für die eigentlichen Taten nicht belangt werden.

Welche Spuren können nach 3 Jahren bei diesen Delikten denn noch gesichert werden? Und um mit unserer Familienministerin von der Leyen zu sprechen: In diesen 3 Jahren gehen die schrecklichen Verbrechen an den Kindern doch weiter, denn es handelt sich um dokumentierten Kindesmissbrauch!

Aber wir brauchen dringend Stoppschilder? Wir brauchen fähige Ermittler! DRINGEND!

Webseiten automatisch vor Überlast schützen am Beispiel einer MediaWiki-Seite

2009-08-30T22:49:00.011+02:00

Das Szenario: Man ist stolzer Betreiber eines eigenen Servers auf dem ein Wiki läuft. Plötzlich berichtet Heise über das eigene Projekt oder man wird von einer anderen der großen Nachrichten-Portale verlinkt und plötzlich geht auf dem Server gar nichts mehr. Selbst der Zugriff per SSH um zu schauen was los ist funktioniert nicht mehr richtig und alle Nagios-Instanzen schlagen Alarm.

Damit es zu diesem Szenario nicht kommt, gibt es natürlich verschiedene Ansätze. Von redundant vorgehaltenen Servern, die per DNS Round-Robin angesprochen werden, über Loadbalancer auf Routingbasis, etc.

Viele dieser Maßnahmen sind aber entweder recht kostspielig oder haben den Nachteil nicht so gut mit soetwas wie einem Wiki zusammenzuarbeiten.

Es gibt aber eine weitere Möglichkeit, die den Dienst http://coralcdn.org benutzt.

Coral Content Distribution Network

Das Coral Content Distribution Network funktioniert transparent durch das Anhängen einer Domain des Dienstes an eine beliebige Webadresse. So wird aus www.google.de ganz schnell die gecachte Version, wenn man statt dessen www.google.de.nyud.net aufruft.

An dieser Stelle vielen Dank an rbu für den Hinweis auf Coral!

Doch wie kann man diesen Dienst benutzen, um ein Wiki bei Überlast des Servers noch einigermassen erreichbar zu halten?

Ein eigener Host für Coral

Zunächst habe ich zum Testen einen weiteren Virtual Host für das Wiki aufgesetzt, so dass ich dort Einstellungen machen kann, ohne das Wiki unbrauchbar zu machen.

Ausserdem hat das den Vorteil, dass ich https-Zugriffe verhindern bzw. umlenken kann, die über Coral natürlich nicht richtig funktionieren.

Und, noch etwas, dieser Virtual Host soll später vielleicht mal auf einen weiteren Rechner umziehen und kann so noch mehr Last abfedern, indem er statische Dateien wie Bilder direkt aus seinem Cache ausliefert.

Dieser VHost hört auf den originellen Namen cache.meinedomain.tld.

Folgende Parameter wurden (zusätzlich) gesetzt:


      #Dies soll ein Proxy werden, also Zugriff auf
      #folgende Seiten per proxy erlauben:

      <Proxy proxy:http://wiki.meinedomain.tld/ >
            Order deny,allow
            Allow from all
      </Proxy>

      ProxyVia On
      ProxyRequests Off

      #Diese Seite liefern wir auf / aus:
      ProxyPass / http://wiki.meinedomain.tld/
      ProxyPassReverse / http://wiki.meinedomain.tld/

      #Ausserdem Cachen wir auf der Festplatte
      CacheRoot /var/cache/apache2
      CacheDirLevels 2
      CacheDirLength 10
      CacheMinFileSize 10
      CacheMaxFileSize 2000000
      CacheEnable disk /
      CacheEnable disk http://wiki.meinedomain.tld/
      CacheEnable disk proxy:http://wiki.meinedomain.tld/

      #Die Cookies wollen wir nicht mit speichern...
      CacheDefaultExpire 3600
      CacheIgnoreHeaders Set-Cookie

      # Bis hier war das nur die (optionale) proxy-Konfiguration
      # kommen wir nun zum LoadBalancer

      RewriteEngine on
      RewriteCond %{HTTP_USER_AGENT} !^CoralWebPrx
      RewriteCond %{QUERY_STRING} !(^|&)coral-no-serve$
      RewriteMap    lb      prg:/var/www/loadbalance.sh
      RewriteCond   ${lb:%{REQUEST_URI}|NULL} !^NULL
      RewriteRule   ^(.*)$ ${lb:$1|%1}           [P,L]

Der zweite Block definiert ein shellscript als Entscheidungshilfe für das Ziel eines Redirects, wenn der Request nicht von dem coral-webproxy kam. Diese Ausnahme müssen wir konfigurieren, da wir sonst den Coral-Server auf sich selbst umlenken würden.

Und dieses Script ist auch schon das Geheimnis.

Das Redirect-Script

Das folgende Script wird vom apache sofort beim Start geforkt und erhält auf stdin fortan die angefragte URL und kann auf stdout dann ausgeben, wohin denn der Request umgelenkt werden soll.

Damit kann man nun nach eigenem Ermessen Paramter suchen, die für einen Redirect sorgen sollen.

Ich nehme hier das maximum von zweien der Load-Werte, so dass bei zuviel Ansturm die Besucher umgelenkt werden und mit Abflauen des Ansturms (die Besucher bleiben dann ja auf dem Proxy) auch wieder neue Besucherrequests angenommen werden.

Ein wenig zusammengehackt und sicherlich nicht die schnellste Implementierung, aber es erfüllt erstmal seinen Zweck, sollte aber durch ein C-Programm ersetzt werden, welches ein _wenig_ effizienter implementiert ist.

#!/bin/bash

loadbalancer="cache.meinedomain.tld.nyud.net";

while read LINE; do
 load="$(awk '{gsub("\\.",""); if ($1>$2){ print $1} else { print $2 }  }'< /proc/loadavg)"
 if [ "$load" -gt "$(cat /var/www/maxload.conf)" ]; then
   logger -t "loadbalance-cache" "redirecting due to load=$load. request: $LINE"
   printf "http://%s/%s\n" "${loadbalancer}" "${LINE}"
 else
   printf "NULL\n"
 fi
done

In der Datei /var/www/maxload.conf habe ich testweise einfach die Zahl 550 eingetragen, so dass ab einer Load größer 5.5 ein Redirect erfolgt.

Konfiguration des Wikis

Bei Zugriffen über den Proxy muss das Wiki read-only arbeiten. Dafür gibt es mehrere Gründe:

Zum Einen sollen nicht die privaten Previews eines Benutzers gecached werden, zum anderen redirecten wir ja wegen hoher Last - und ein Edit eines Artikels wird sicherlich nicht zum Senken der Last beitragen.

Dazu gibt es einen Codeblock in der LocalSettings.php des Wikis:

if ( preg_match( "/^CoralWebPrx/", $_SERVER['HTTP_USER_AGENT']) > 0
    || preg_match( "/coral-no-serve$/", $_SERVER['QUERY_STRING']) > 0) {

 $wgReadOnly="<span style=\"background-color:yellow;\">Das Wiki ist aus Lastgründen read-only. Du greifst daher gerade über ein Cache auf eine gespeicherte Version zu.</span>";
}

Dadurch verlieren wir zwar auch die PageHits-Zählung im Wiki, aber über einen Proxy werden diese ohnhin nicht mehr korrekt gezählt.

Konfiguration des Wiki-Hosts

Nachdem alles getestet ist und funktioniert, können wir bei Überlast alle Requests auf den Wikiserver direkt auf die cache-Variante von Coral lenken. Dies machen wir mit einigen Zeilen in der Definition des Virtual Hosts:

RewriteEngine on
RewriteMap    lbwiki      prg:/var/www/wiki.meinedomain.tld/loadbalance.sh

Folgende Regeln fügen wir nun an die .htaccess des Wikis an. Das muss geschehen, da wir dort noch andere Rewrite-Regeln definiert haben.

# Alle requests des coral-proxies auf den cache lenken,
# requests von unserem Cache nicht auf unser Cache umlenken.
RewriteCond %{REMOTE_ADDR} !^127.0.0.1$
RewriteCond %{REMOTE_ADDR} !^IP.DES.EIGENEN.PROXIES$
RewriteCond %{HTTP_USER_AGENT} ^CoralWebPrx
RewriteRule   ^(.*)$ http://cache.meinedomain.tld/$1           [R,L]

RewriteCond %{REMOTE_ADDR} !^127.0.0.1$
RewriteCond %{REMOTE_ADDR} !^IP_DES_CACHES$
RewriteCond %{QUERY_STRING} (^|&)coral-no-serve$
RewriteRule   ^(.*)$ http://cache.meinedomain.tld/$1           [R,L]


#Folgender Block prueft ob die load zu hoch ist und
#redirected dann auf den gecachten cache...
#RewriteMaps muessen global in der vhost konfig gemacht werden.
RewriteCond %{REMOTE_ADDR} !^127.0.0.1$
RewriteCond %{REMOTE_ADDR} !^IP_DES_CACHES$
RewriteCond %{HTTP_USER_AGENT} !^CoralWebPrx
RewriteCond %{QUERY_STRING} !(^|&)coral-no-serve$
RewriteCond   ${lbwiki:%{REQUEST_URI}|NULL} !^NULL
RewriteRule   ^(.*)$ ${lbwiki:$1|%1}           [R,L]

Wichtig ist hier, dem LoadBalancer einen anderen Namen zu geben.

Wir benutzen für diesen Artikel wieder dasselbe script, so dass direkt auf den Host cache.meinedomain.tld.nyud.net verwiesen wird.

Der erste Block ist eher 'Kosmetik' und verhindert, dass man auf wiki.meinedomain.tld über Coral zugreifen kann.

easyjet: was kann man alles falsch machen?

2009-08-29T02:18:00.005+02:00

Eine Bekannte schrieb mir, beim Buchen von Flügen per easyJet kämen Zertifikatsfehler. Was das denn zu bedeuten habe?

Das Zertifikat für https://www.easyjet.de ist nur für www.easyjet.com gültig. Nungut, kann passieren. Versuchen wir denen das mal zu sagen... Pustekuchen. Ein Kontaktformular haben die auf ihrer Seite gar nicht. Najaah, schauen wir mal im whois, da wird doch - nein, Fehlanzeige, keine Telefonnummern oder Emailadressen im whois. Nur eine Postadresse in London. Hach, raten wir ne mailadresse per telnet auf port 25:

$ dig mx easyjet.de +short
10 mxhost-2.vi.net.
5 mxhost-1.vi.net.

los gehts:

$ nc mxhost-1.vi.net  25
220 mxhost-1.vi.net ESMTP Postfix
HELO mail.xxxxxxxxxxx.net
250 mxhost-1.vi.net
MAIL FROM: <postmaster@xxxxxxxxxxx.net>
250 2.1.0 Ok
RCPT TO: <webmaster@easyjet.de>
554 5.7.1 <webmaster@easyjet.de>: Relay access denied

wat?! Der für die Domain zuständige MTA weigert sich dorthin zu relayen?

Dann kann und will ich ihnen auch nicht mehr helfen...

Die betreiben da unter easyjet.de Flugbuchungen, aber weder ihr SSL-Zertifikat funktioniert, noch ihr Mailsystem?! Super!

Aber das passt zu den Buchungsmails die sie verschicken. Multipart mit text und html-Teil. Aber: Der Text-Teil ist komplett leer, im html-Teil stehen dann die Buchungsdaten.

Demokratie in Deutschland...

2009-08-28T16:08:00.003+02:00

"Ein unkontrolliertes, geheimes Gremium erstellt unter umgehung aller Gewaltenteilung und aushebelung der Unschuldsvermutung, nur stichprobenartig kontrollierte geheime Listen von geheimen Seiten, die mittels eines geheimen Verfahrens umgesetzt werden. Kontrolle ist illegal, Bekanntmachen ist illegal, umgehen zur Kontrolle ist illegal. Danach fragen macht verdächtig, versehentlicht darauf landen macht verdächtig, dagegen sein macht verdächtig." Quelle: Heise-Forum

Natürlich ist das Gesetz keine Zensur, noch nicht, weil noch werden angeblich nur illegale Inhalte gefiltert. Eine umfassende Kontrolle findet jedoch nicht statt, und wer sagt denn, dass die Liste, die das BKA an die Kontrollorgane weitergibt, identisch mit der ist, die an die Provider geschickt wird. Immerhin ist es vorgesehen, dass die Liste sich alle paar Stunden ändern kann. Da hat man halt kurz nach dem Versenden an die Kontrollorgane die Liste schon wieder geändert und sich leider in der Version vertan

Aber in Deutschland ist ja auch mittlerweile normal, dass im Parlament Aussprachen nur noch schriftlich stattfinden, ohne dass die Redebeiträge gehalten werden. Wenn es dann doch mal sogenannte Debatten gibt, finden diese auch mal nachts um halb vier statt, und ein Agrarausschuss entscheidet über IT-Themen.

Der einzelne Parlamentarier fühlt sich dem Fraktionszwang verpflichtet und stimmt dann auch mal "mit Bauchschmerzen" für ein Gesetz, dass er für falsch hält. Danach hat der Parlamentatier auch noch die Stirn, dies zu sagen, verbunden damit, er gehe ja ohnehin davon aus, dass das Bundesverfassungsgericht das Gesetz stoppt.

Dann haben wir noch eine spezielle Ministerin, die von ihr selbst in Auftrag gegebene Gutachten als "unterirdisch" bezeichnet und dieses sowie alle Experten schlicht ignoriert.

Andere Minister vergeben den Auftrag Gesetze zu machen dafür gleich ganz an ausländische Anwaltkanzleien oder haben in ihrem Ministerium Angestellte, mit eigenem Büro, die von der Industrie bezahlt werden und an den Gesetzen mitarbeiten, die dann für diese Industrie gelten. Natürlich nur, um den Sachverstand zu nutzen, den diese mitbringen, und einen lebendigen Austausch zwischen Wirtschaft und Politik zu ermöglichen.

Fazit: Ich fühle mich jedenfalls derzeit verkauft und verraten von diesen sogenannten Volksvertretern und werde meine Kreuze entsprechend setzen.

Andererseits: Vielleicht habe ich das auch nur falsch verstanden, Staubsaugervertreter setzen sich ja auch nicht für die Rechte von Staubsaugern ein...

Zwischenruf und Nachdenkliches zum Urlaub

2009-08-03T23:56:00.005+02:00

Bevor es ein paar Tage Urlaub gibt, sind mir doch noch ein paar Dinge über den Schirm gelaufen, die mich beschäftigen.

Zum Einen der Zwischenruf von Hans-Ulrich Jörges im Stern.

Er spricht mir in so vielen Punkten aus der Seele. Wenn ich mir ansehe, dass in diesem Land Gesetze nicht mehr im Parlament verhandelt, sondern dort lediglich noch die Reden schriftlich zu Protokoll gegeben werden, wenn ich höre, dass man der Fraktionsdisziplin wegen für das Gesetz stimmt, aber nur mit Bauchschmerzen, aber man ja ohnehin davon ausgeht, dass das Verfassungsgericht das Gesetz für nichtig erklärt - da frage ich mich schon, was aus unserer Demokratie geworden ist.

Dann kommt auch noch ein so genanannter Spitzenkandidat aus Sachsen, der Herr Thomas Jurk, daher und verkündet, dass er über dem Grundgesetz steht, und das ja nicht für alle gelten könne.

Übrigens meinte das auch unser Verteidigungsminister beim Thema des Abschiessens von Passagierflugzeugen. Man würde sich schon einen Piloten suchen, der den Befehl ausführt. Dies verstößt aber gegen das Urteil des Verfassungsgerichts.

Gleichzeitig werden Milliarden in die Autoindustrie geblasen um vor der Wahl ein Strohfeuer zu entfachen, damit es ja nicht vor der Wahl zu einem Kollaps kommt. Was die Banken an Steuergeldern verbrannt haben, darüber möchte ich gar nicht erst nachdenken - aber schön, dass sie alle schon wieder Gewinn erwirtschaften und Boni zahlen können. Nun, die Manager haben ja auch erfolgreich neues Geld aquiriert - von daher, chapeau!

Aber was mich wirklich aufregt ist, wie dreist man belogen wird. Wieder und wieder aus dem Hause unserer Familienministerin Zensursula von der Leyen.

Diesmal blamiert sie uns zwar nicht bei den Indern, so dass es keine Entschuldigung an die Indische Botschaft geben muss, nein, diesmal vertritt sie die Meinung, dass man auch mal darüber nachdenken könne andere Inhalte im Internet ebenfalls zu verstoppschildern.

Getreu dem Motto was schert mich heut mein Geschwätz von Gestern. Toll!

Gleichzeitig frage ich mich immer wieder, was die ganzen Kinder eigentlich unbeaufsichtigt im Internet machen, die man hier in Chatrooms und Social Networks vor irgendwas schützen muss.

Immerhin lassen die Erziehungsberechtigten die Kinder hier mir einem Kriegsinstrument unbeaufsichtigt alleine!

Das Internet ist von Wissenschaftlern für die Wissenschaft ersonnen und später durch das Militär weiterentwickelt worden.

Aber im Ernst: Kann man wenn man unter 18 Jahre alt ist einen eigenen Internetanschluss bekommen? Geht das ohne volle Geschäftsfähigkeit? Nein? Ach! Wie also kommen die 8-12 Jährigen dann ins Internet - wer missachtet da seine Aufsichtspflicht?

freenode - fail

2009-07-13T23:02:00.004+02:00

In seinem Blog berichtet Martin über freenode, und zeigt recht lustig, wieso man mit Wortfiltern nicht wirklich weit kommt, bei Zensur.

Auch wenn ich freenode sogar ein wenig verstehe, weil sich zuviele Scriptkids da draussen mit 'lustigen hostnamen' einen Schabernack erlauben. Sei's drum.

Auch einige Schulen haben da schon so ihre Erfahrungen, wenn sie das böse Wort Sex filtern, und sich die Schüler dann nicht mehr über die Laufbahn der Pädagogen informieren können, weil das Wort Staatsexamen leider auch geblockt wird.

Ich finde, Martin sollte freenode mal vorschlagen, den Hostnamen des irc-servers zu ändern. Wenn ich nach wolfe google, finde ich da recht eindeutige Verweise auf eine Filmproduktion namens wolfevideo. Ob das nicht zu obszön ist?

Wer braucht noch Streetview?

2009-06-16T02:10:00.001+02:00

Bei diesem Ausschnitt aus Google-Maps frage ich mich schon, wer da noch Google Streetview braucht?

Internetsperren für "Online-Gewaltspiele" gefordert

2009-06-11T15:45:00.003+02:00

Heise: CDU-Bundestagsabgeordneter erwägt Internetsperren für Online-Gewaltspiele

Wie kommen die eigentlich immer auf diesen Trichter, alles sperren zu müssen?

Und vor allem, wem kann man eigentlich glauben? Zypries will bei Urheberrechtsverletzungen sperren, Hessen bei Glücksspiel, andere bei Nazi-Seiten, andere bei denen von Linken Gruppen, etc...

Haben die Angst?

Vielleicht hilft ja Wikipedia?

Thomas Strobl ist Mitglied der Heidelberger Studentenverbindung Alte Leipziger Landsmannschaft Afrania. Seit 1996 ist er mit Christine Schäuble, der Tochter des CDU-Politikers Wolfgang Schäuble, verheiratet.

Wir haben es also nicht nur mit Lobbyismus zu tun, einem, bei dem Firmen Personal in Ministerien entsenden um dort 'beratend' an Gesetzesentwürfen zu arbeiten, wir haben es nicht nur damit zu tun, dass Ehegattinnen die Position ihres eigenen Vereins über den Wirtschaftminister von und zu Guttenberg 'einbringen', sprich das Gesetz erarbeiten, nein, wir haben es auch an anderen Stellen mit deutlich sichtbarer Vetternwirtschaft zu tun.

Ich finde ja, man sollte ein Verbot einführen, dass Personen die über weniger als 3 Ecken miteinander verwandt oder verschwägert sind nicht zusammen in den Bundestag dürfen oder so...

Aber einen Schießstand in einer Hauptschule einrichten für den Schützenverein, das geht!

arghl!

Kategorie: Lesenswert!

2009-06-04T11:55:00.006+02:00

Da ich im Moment keine Zeit habe, sei hier auf einen sehr erschreckend-aufklärenden Artikel hingewiesen:

http://blog.handelsblatt.de/indiskretion/eintrag.php?id=2141

Zum Einen erwähnt er einen Blogeintrag, der ebenfalls den Generationenkonflikt näher beleuchtet, zum Anderen hilft er, einige der Vorgänge der letzten Monate (Jahre?) zu erklären - auf erschreckende Weise, wie ich finde!

Der betroffene "Chefretter" von Guttenberg et. al.

2009-05-24T14:08:00.008+02:00

Man kann sich schon wundern, wie schnell die Regierung einen neuen Wirtschaftsminister gefunden hat. Wie aus dem Nichts war er da, niemand kannte ihn vorher, selbst die Zeitungsredaktionen waren darauf angewiesen ihre dürftigen Informationen aus der Wikipedia zu beziehen.

Und so wundert es nicht, dass unserem Wirtschafsminister ein Vorname angedichtet wird, und auch sonst einige ungeprüfte Fakten über ihn verbreitet werden.

Es scheint aber so, als würde auch unser Wirtschaftsminister selbst nicht mit offenen Karten spielen. Guttenberg selbst hat in Interviews stets von seinen "Erfahrungen im Familienunternehmen" gesprochen - und einige echte Journalisten haben sich tatsächlich die Mühe gemacht, die dpa-Meldung mal nachzurecherchieren.

Bei ihren Nachforschungen stellten sie dann fest, dass weder das Wirtschaftsministerium noch die CSU Auskunft geben konnte, um welches Unternehmen es sich handelt. Man bekam vom Wirtschaftsministerium sogar die Adresse einer Baustofffirma gleichen Namens genannt, deren Geschäftsführer aber wohl Christoph Frhr. von Guttenberg und eben nicht Karl-Theodor zu Guttenberg ist.

Was die Journalisten jedoch herausfanden ist, dass es durchaus eine GmbH gibt, deren Geschäftsführer unser Wirtschaftsminister war. Dieses Familienunternehmern mit ca. 3 Angestellten hatte jedoch lediglich die "Verwaltung des eigenen Vermögens" als Zweck.

Es ist schon verwunderlich, warum man in der CSU nicht wenigstens einen echten Unternehmer zum Wirtschaftsminister machen konnte.

Das Video der Sendung ZAPP (NDR) findet sich bei YouTube unter dem Titel: Die peinliche Wahrheit über Wirtschaftsminister Guttenberg!

Ahnungslos, aber betroffen...

Seine Rolle im Aufbau der deutschen Zensurinfrastruktur ist auch alles andere als rühmlich. Er verkündet doch tatsächlich öffentlich:

Es macht mich schon sehr betroffen, wenn pauschal der Eindruck entstehen sollte, dass es Menschen gibt, die sich gegen die Sperrung von kinderpornographischen Inhalten sträuben. Das ist nun wirklich eines der wichtigsten Vorhaben in vielerlei Hinsicht. (Karl-Theodor zu Guttenberg, u.a. ausgestrahlt in der Tagesschau)

Ich muss sagen: Mich macht es nicht nur betroffen sondern wütend, wie schlecht beraten dieser Minister hier offenbar wurde. Er hat selbst offenbar den Text der Online-Petition nicht ein einziges Mal gelesen, sonst wüsste er, dass es eben keinen Grund gibt, wegen der Meinung von mittlerweile 90000 Menschen in diesem Land betroffen zu reagieren.

Es ist schon erschreckend, dass ein Politiker betroffen reagiert, wenn er damit konfrontiert wird, dass Bürger eine andere Meinung vertreten als er selbst.

Aber schauen wir doch einmal kurz die Verwandschaftsverhältnisse an.

Familiärer Lobbyismus

Verheiratet ist Herr von Guttenberg mit Stephanie Gräfin von Bismarck-Schönhausen, der Präsidentin der deutschen Dependance des Vereins „Innocence in Danger“.

Dieser Verein ist es auch, der die Mär von den 23 Millionen (dort übrigens Dollar) Umsatz der sogenannten Kinderporno-Industrie verbreitet. Dafür gibt es keinerlei Belege. Auch nicht im Familienministerium, dass nur die Auskunft gibt, zu derartigen Zahlen lägen keine Erkenntnisse vor. Interessant, oder?

Auch fordert dieser Verein noch strengere Gesetzte zur Zensur des Internets, um den "Jugendschutz" im Internet voll durchzusetzen.

Nun frage ich mich: Welcher Internetserviceprovider in Deutschland schließt bitte mit nur eingeschränkt geschäftsfähigen Personen einen Vertrag ab? Wie kommen die ganzen Kinder und Minderjährigen denn bitte 'ins Internet'?

Sind es nicht etwa Eltern, Betreuer, Lehrer und andere, die Kinder und Jugendliche unbeaufsichtigt das Internet nutzen lassen? Ist es ein Wunder, dass bei Abwesenheit von Aufsicht, Aufklärung und Erziehung Dinge schieflaufen?

Es geht nicht um die Kinder!

Wer ernsthaft den Jugendschutz im Internet durchsetzen will möge bitte ersteinmal dafür sorgen, dass:

Kinder nicht mehr durch Zigarettenrauch geschädigt werden
Beratungsstellen und Notunterkünfte genügend Geld erhalten
Jugendtreffs nicht geschlossen werden müssen
Jugendliche eine Ausbildung erhalten und einen Job, auch wenn es "nur" ein Staatsbetrieb ist, der ohne Gewinn arbeitet
Medienkompetenz in Schulen unterrichtet wird
Polizei und Ermittler vernünftig geschult werden und genügend Geld erhalten

Leider gibt es mit diesen Forderungen ein Problem: Sie kosten erstens Geld und sind zweitens nicht Wahlkampftauglich. Ausserdem dauert es mitunter, bis Effekte zu sehen sind.

Würde es Frau von der Leyen tatsächlich um den Schutz von Kindern gehen, hätte sie die letzen Jahre vielleicht einfach mal an den internationalen Konferenzen zu diesem Thema selbst teilnehmen sollen. Man hätte die Zeit auch nutzen können, um eine europaweite Zusammenarbeit beim Abschalten entsprechender Webseiten zu vereinbaren.

Es ist mir mir unbegreiflich, wie ein Verein wie Carechild auf einer Liste, die nach Aussage der Behörden selbst mittlerweile zwei Jahre alt sein soll, noch eine zweistellige Zahl von Webadressen finden konnte, die kinderpornographisches Material enthielten und deren Betrieb aus der EU erfolgte, auch aus Deutschland!

Der Staat als Dulder von Kindesmissbrauch?

Dies bedeutet: Ein Staat hat Kenntnis darüber, dass dort möglicherweise noch Kinder missbraucht werden, gibt sich jedoch damit zufrieden, dass die eigenen Bürger dies nicht sehen müssen. Er unterlässt es jedoch, das Land in dem der Server physikalisch steht zu informieren, was dort geschieht. Meiner Meinung nach müsste man hier den Ersteller der Liste wegen unterlassener Hilfeleistung und Begünstigung einer Straftat belangen, aber ich bin kein Jurist.

Übrigens: Verwendet man auf einer satirischen Webseite ein Logo eines Bundesministeriums, wird die Seite innerhalb einer Woche geschlossen, indem der Provider angeschrieben wird!

Ein interessantes Video, wieder von Zapp, zur PR von Frau von der Leyen:ZAPP: Von der Leyen - Viel Show und wenig Konkretes

Schade eigentlich. Man könnte mit ein wenig gutem Willen und einem Bruchteil der Bankenrettungsfonds tatsächlich viel für die Kinder erreichen.

Falsches Spiel

Ein weiterer Aufreger sind die falschen Zahlen, mit denen operiert wird. Nicht nur, dass man das Thema Kinderpornographie nicht vernunftig diskutieren kann, weil mann immer sofort in die Ecke gestellt wird, man sei ja ein Unterstützer von Kindesmissbrauch, nein, es werden auch bewusst falsche und völlig übertriebene Zahlen benutzt.

So erfolgte angeblich ein Anstieg von über 100% bei den Fällen von Kinderpornographie. Jeder der nur ein wenig Ahnung von Statistiken hat, sollte jetzt laut aufschreien. Was ist passiert, damit es diesen enormen Anstieg geben konnte?

Nun, das eine ist, dass mehr Fälle in die Statistik gekommen sind, weil mehr Ermittelt wurde. Das andere ist jedoch, dass hier Äpfel mit Birnen verglichen werden. Denn der Anstieg der Fallzahlen bezieht sich lediglich auf die Anzahl der Ermittlungsverfahren.

Es ist ja noch nicht einmal klar, um wieviele Verdächtige es hier geht, weil bei der Operation Himmel und anderen zunächst nur IP-Adressen ermittelt wurden. Dabei können durchaus eine bis 10 unterschiedliche Adressen zu einem einzelnen Verdächtigen führen.

Und der nächste Skandal ist, dass von diesen Verfahren wohl über 90% eingestellt wurden, da man den Verdächtigen nichts nachweisen konnte, oder weil sie nicht bewusst auf diese Seiten gelangt sind, die hier überwacht wurden.

Auch hier antwortet das Familienministerium übrigens auf eine Anfrage von Herrn Tauss, es lägen keinerlei Erkenntnisse vor, wieviele Ermittlungsverfahren eingeleitet, abgeschlossen, eingestellt oder mit einem Verfahren fortgesetzt wurden.

Daraus kann man nur folgern, dass das Familienministerium diese Zahlen gar nicht wissen möchte!

Verdrehte Fakten, fehlende Erkenntnisse

Die weiteren Argumente des Familienministeriums werden in einem Gastbeitrag in der Zeit übrigens sehr schön zerlegt.

Die fehlenden Zahlen des Familienministeriums können übrigens, inklusive dem Antwortschreiben, auf der Webseite von Herrn Tauss nachgelesen werden: Der Bundesregierung liegen keine Erkenntnisse vor.

Man fühlt sich für Dumm verkauft

Mich als durchschnittlich intelligenten, hoffentlich aufgeklärten Bürger, macht es mittlerweile fassungslos und wütend zugleicht, mit welch fadenscheinigen Argumenten hier Privatinteressen von Politikern zu Lasten einer Nation durchgedrückt werden sollen.

Es scheint tatsächlich einen neuen Generationenkonflikt zu geben, und zwar gleich in beiden Richtungen.

Der doppelte Generationenkonflikt

Diejenigen, die heute als Politiker die Interessen des Volkes vertreten sollen, sind durch die Bank Berufspolitiker. Was einerseits im Sinne einer professionalisierung des Betriebs durchaus wünschenswert sein kann, hat jedoch tatsächlich fatale Folgen für das Tagesgeschäft.

Über Jahre musste diese Elite sich in den Parteien hocharbeiten, stets darauf Bedacht sich keine Feinde zu machen, die Parteilinie zu vertreten, nicht zu stark negativ aufzufallen, es allen Recht zu machen. Dies erzeugt Politiker ohne eigene Meinung, ohne Rückrat.

Diese Politiker sind ihren Gönnern verpflichtet, die sie zu dem gemacht haben, was sie sind. Sie haben oft kein echtes weiteres Standbein, sind auf die Politik und die damit verbundenen Posten als Einkommensquelle angewiesen.

Adenauer würde sich im Grabe umdrehen, dessen bin ich mir sicher.

Während es hier also einen Generationenkonflikt gewissermaßen nach Oben gibt, haben die Entwicklungen der letzten Jahre außerdem eine Spaltung nach unten vollzogen.

Neudeutsch wird hier von den "digital natives", den digitalen Ureinwohnern gesprochen.

Es sind jene, die mit dem Internet als neues Medium aufgewachsen sind, jene, die eine Unterhaltung via IRC als ebenso echt und persönlich empfinden wie andere ein Telefonat.

Die Generation der "Internetausdrucker" hingegen sieht das Internet vornehmlich als Gefahr für die Seele des Menschen. So wie die Gegner der Dampflock der Meinung waren, ein Mensch käme zu Tode, bewege er sich mit höheren Geschwindigkeiten, damals also 30 Stundenkilometer, fort.

Diese Generation sieht im Internet lediglich ein Mittel zum Daten und Informationsaustausch, wenn überhaupt.

Krass fällt dies auf, wenn man sich die Folge der Kinderreporter ansieht, in der unsere Justizministerin sich nicht erinnern kann, was ein Browser ist - gut, muss sie auch nicht. Wirklich nicht, aber entlarvend fand ich die Arroganz, mit der eines der Kinder gefragt wurde, ob es denn auch eine eigene Homepage habe, und stolz davon berichtete, dass dies der Fall sein. Das Gesicht des Herrn Struck ist in diesem Moment wirklich sehenswert. (für die Ungeduldigen bei 2:13) siehe hier.

Dieser Bericht der Kinderreporter kann einem wirklich die Augen öffnen, wie stark die Nutzung des Mediums Internet sich unterscheidet und wie unterschiedlich es wahrgenommen wird.

Die neue Arroganz der Obrigkeit

Dabei stehe ich nicht auf dem Standpunkt, dass Frau Zypries die verschiedenen Browser aufzählen können muss, aber ich verachte die Arroganz, mit welcher die Kinderreporter hier behandelt werden, und diese zieht sich mittlerweile durch weite Teile der Politik.

Für mich gipfelt sie bisher in den Äusserungen des Herrn Wiefelspütz, der sich vielfach zu Schade ist, dem Untertan zu antworten. Man darf dann lesen:

mir gefällt der Ton Ihrer Frage nicht. Es fehlt Ihnen an Respekt. Suchen sie sich einen anderen Gesprächspartner. (Wiefelspütz auf abgeordnetenwatch.de)

Dem vorangegangen war eine Anfrage, die Herr Wiefelspütz recht "drollig", man könnte auch sagen typisch arrogant, beantwortet hatte, welche wiederum die folgende, als respektlos empfundene, Nachfrage eines Bürgers auslöste:

Sehr geehrter Herr Dr. Wiefelspütz,
gehe ich recht in der Annahme, dass Wahlkampf aggressiv macht, oder entspricht es Ihrer allgemeinen Auffassung von Demokratie, dass man als innenpolitischer Sprecher der SPD Bundestagsfraktion Menschen, die sich mit ihren Fragen und Ängsten an Sie wenden, anpöbeln und mit unsachlichen Äußerungen wie "DNS, TLD, GAGA, GOGO, TRALAFITTI oder was?" zum Narren halten sollte, anstatt, wie man es von einem Volksvertreter erwarten würde, auf deren Fragen und Argumente einzugehen?

Aber gut, der Bürger, den er ja vertreten soll, ist ihm wohl egal:

"das Gesetzgebungsverfahren werde durch die Petition "nicht beeinträchtigt". Zwar sei es "das gute Recht" eines jeden, Bürgerbegehren einzureichen. Die Maßstäbe der Internet-Gemeinde seien aber "teilweise undifferenziert"."

Aha. Wiefelspütz wurde dann gebeten, diese Äußerung doch mal näher zu erläutern, darauf seine Einlassung:

der Kölner Stadtanzeiger hat mich korrekt zitiert. Ich habe dem nichts hinzuzufügen.
Meine Erklärungen gegenüber der Presse erläutere ich nicht, weil ich mich klar, deutlich und allgemeinverständlich ausdrücke.

Fazit

Ich kann mich eigentlich nur noch dem Tagesspiegel anschließen: Der Staat wird zum Problem: Peng Du bist tot!.

Auf die Politikverdrossenheit folgt der Ekel.

Warum Filter nichts bringen.

2009-05-23T17:33:00.003+02:00

Warum Filter nichts bringen sieht man sehr schön an dem Service "http://www.jugendschutzprogramm.de/" - der sich als International, EU-Unterstützt und ICRA-Konform zeigt. Folgende Ergebnisse erhielt ich gerade:

Die Seite linux.com ist bereits in unserem Filter enthalten und wird als 'Default ab 14' eingestuft.
Die Seite google.com wird von uns für unbedenklich gehalten.
Die Seite bild.de wird von uns für unbedenklich gehalten.
Die Seite gentoo.org ist bereits in unserem Filter enthalten und wird als 'Default ab 14' eingestuft.
Die Seite gentoo.de ist bereits in unserem Filter enthalten und wird als 'Default ab 14' eingestuft.
Die Seite guug.de ist bereits in unserem Filter enthalten und wird als 'Standard gesperrt' eingestuft.
Die Seite blog.fefe.de ist bereits in unserem Filter enthalten und wird als 'Standard gesperrt' eingestuft.

Mir scheint, da will jemand nicht, dass unsere Jugend sich über alternative Betriebssysteme informiert. Lieber das nette Mädchen von Seite 3 auf bild.de ansehen, als etwa die Seiten der German Unix User Group oder gentoo.

60 Jahre Grundgesetz!

2009-05-23T02:21:00.003+02:00

Quelle: http://blog.pantoffelpunk.de

Deshalb am 23.05.09 dem Aufruf von MOGIS folgen: Das Grundgesetz lesen. Ich bin dabei, und ihr?

Nur ein kleiner Umbau...

2009-05-20T15:48:00.005+02:00

Warum muss Murphy eigentlich so grausam sein?

Ich habe ein externes AIT1 Laufwerk ausgegraben sowie ein AIT2-Laufwerk. Nun dachte ich mir, die Laufwerke sind ja beide gehäusetechnisch kompatibel, sogar die Dipswitches sind an derselben Stelle, also baue ich das AIT2-Laufwerk in das externe Gehäuse ein und hänge es an meinen Fileserver. Weil: Backup ist wichtig!¹

Nachdem der Umbau beendet war wollte ich die Frontblende des Gehäuses wieder einsetzen. Tja, passt nicht, denn bei dem AIT2 Laufwerk handelte es sich wohl um eines, dass in einer Lib zum Einsatz gekommen war, jedenfalls hatte es erstens keine Klappe vor dem Slot und war zweitens etwa 4 mm zu breit. Egal, zum Testen reichts erstmal - jedenfalls wenn man das richtige SCSI-Kabel findet...

Okay, nachdem das Kabel gefunden war (ein internes zwar und bestimmt zu lang, aber egal, denn zum Testen reichts erstmal...) konnte das Laufwerk in Betrieb genommen werden. Ergebnis: läuft

Nächster Schritt: Einbauen

Also heute frisch ans Werk, das Laufwerk gehört in den Server, dann ist es nicht mehr so laut, weil kein eigener Lüfter, und ausserdem ist dann weniger Geraffel und Kabelsalat im Schrank - und das Gehäuse konnte ich ja eh nicht zumachen.

Bei der Gelegenheit wollte ich auch mal schauen welcher RAM im Server verbaut ist - weil das ist definitiv zu wenig im Moment.

Also flux alle Kabel getrennt, Server aus dem Rack gezogen, *uffissderschwer*, aufgemacht, Ram ausgebaut, Riegel verglichen. Natürlich hat man keinen Kompatiblen Riegel hier und es steht auch nicht drauf was für welcher das ist, also nachher mal Google bemühen - Ramriegel neben das Notebook.

Kommen wir zum Laufwerk. Das Gehäuse wird flink zerlegt, Laufwerk raus und zum Server getragen. Nun, das Laufwerk hat zwar die Höhe eines 5 1/4 Laufwerkes, aber nicht die Breite. Gut, Einbauschienen hängen hier auch noch an einer alten SCSI Platte im Schrank, das passt schon - leider erst beim dritten Versuch.

So langsam werde ich leicht genervt, denn jetzt geht das Suchen nach SCSI Kabeln und Adaptern los - intern ist nur noch ein 50 pol. Flachbandstecker am SCSI Controller frei, das Laufwerk hätt aber gerne ein 68 pol. Anschluss. Nach einigem Suchen und dem Auffinden von 10 Stück IDE-Kabeln findet sich schliesslich alles ein.

Also Laufwerk ist eingebaut, Deckel drauf, Klappe zu - Klappe zu?! *arrgh*

Das Laufwerk ist 0,5 cm zu lang, bzw, schaut vorne aus dem Gehäuse raus.. *heul*

Egal zum testen.... also die linke Frontklappe abgebaut, Server ins Rack, und los.

Jetzt noch die Kabel anschliessen, vor allem die USB *AUTSCH*!

Meister, warum is da Saft drauf?

Hmm. Warum bekomme ich am USB-Kabel der externen Festplatte nen Stromschlag?

Mal verifizieren. *AUTSCH* - okay, da ist Strom drauf... Messgerät!

Oh, interessant: 219 Volt, 50 Herz. 20mA gegen Erde, keine Phasenverschiebung. Nur woher kommt das? Die USV ist aus, primär ist ein Schalter in der Steckdosenleiste, der ist aus, dahinter ein Verteiler, ebenfalls mit Schalter, dann die Festplatte. Alles aus. Eigentlich.

Kaltgerätekabel von der USV abgezogen: keine Spannung. Aha, daher weht der Wind?

Also mal das Voltmeter in richtung USV verschoben. An beiden äußeren Pins des Kaltgeräteausgangs liegen 219 Volt gegen Erde. Yay!

Ich hab also mal wieder den Jackpot geknackt: Der Schalter in der Steckdose schaltet also ganz offensichtlich nur einpolig ab - und natürlich, bei einer Chance von 50:50, schaltet der NICHT die Phase ab. Warum auch. Und dann sind da wohl noch irgendwelche Y-Kondensatoren in dem Schaltznetzteil der Festplatte, die sie, mangels Erde weil Eurostecker, wohl gegen die USB-Masse gesetzt haben. *seufz*

Gut, also Stecker um 90 Grad drehen und weitermachen, Zweipoliger Trenner kommt dann morgen.

Also Kabel ran und los.

pieeeeeep

Hmm. Warum piept der jetzt?

Moment, da war doch noch was - aaah, der RAM liegt noch auf dem Schreibtisch.

Ich brauch jetzt erstmal nen Kaffee!

Nach dem Kaffee werde ich wohl das Laufwerk wieder ausbauen, dafür den Ram einbauen, das AIT1 Gehäuse mit einer kleinen Trennscheibe bearbeiten und das Laufwerk da wieder einbauen. *nerv*

¹ Ein Raid ist nett, aber kein Backup, ein Fehler beim mdadm und alles ist weg - wenn man nicht wie ich Glück hat und nur 20 GB verliert, weil man den Rebuild abgebrochen hat. Details vielleicht in einem späteren Post ;)

Suche: Fehlermeldungen, ausführliche

2009-05-15T12:25:00.006+02:00

(ohne Worte)

gpg: SHA1 durch SHA256 ersetzen

2009-05-09T10:00:00.012+02:00

Es ist wieder einmal Zeit, einem alten Freund Lebewohl zu sagen.

Wir trauern um
SHA1
*1995 †2009

Viele Jahre hat SHA1 uns stets dabei unterstützt, unsere Nachrichten unverändert ans Ziel zu bringen. Als Nachfolger von SHA0, der viel zu früh von uns gegangen ist, gab uns SHA1 wieder Zuversicht. Doch letzlich mussten wir lernen, dass nichts von Dauer ist.

SHA1 - Du wirst stets unvergessen bleiben.

Die Beisetzung findet im engsten Kreise statt. Wir bitten von Beileidsbekundungen am Grab Abstand zu nehmen. Statt Blumen bitten wir um die Umstellung Ihrer Applikationen auf stärkere Hashverfahren.

In tiefer Trauer,
die Internetgemeinde.

Mehr Informationen gibts hier.

Aus diesem Artikel habe ich auch den Hinweis entnommen, wie man in GnuPG die Hash-Algorithmen 'umstellt':

Zunächst sollte man dafür sorgen, dass alle Nachrichten, die man selbst signiert, nicht mehr mir SHA1 signiert werden. Dazu fügt man an die Datei gpg.conf im .gnupg Verzeichnis ~~zwei~~ drei Zeilen an:

cat >>~/.gnupg/gpg.conf <<EOF
personal-digest-preferences SHA256
cert-digest-algo SHA256
default-preference-list SHA512 SHA384 SHA256 SHA224 AES256 AES192 AES CAST5 ZLIB BZIP2 ZIP Uncompressed
EOF

Danach teilt man noch den Gesprächspartnern mit, dass man gerne mehr Sicherheit hätte, indem man die Vorgaben seines Schlüssels ändert:

$ gpg --edit-key $KEYID
[...]
> setpref SHA512 SHA384 SHA256 RIPEMD160 SHA224 AES256 AES192 AES CAST5 ZLIB BZIP2 ZIP Uncompressed
> save

und den geänderten Schlüssel wieder veröffentlicht:

$ gpg --keyserver keys.gnupg.net --send-key $KEYID

PS: Die 'Vorschau' von Blogger saugt :( PPS: SHA-1 wird immer ale eine der letzten enthalten sein, weil der RFC das verlangt, aber wichtig ist die Reihenfolge - es ist dann nur noch Fallback. Update: Wie das Update des Originalartikels habe ich "default-preference-list" hinzugefügt, damit neue keys gleich entsprechend erstellt werden.

obfuscated bash contest...

2009-05-08T18:29:00.003+02:00

Guess what this (bash) one-liner does:

bc <<< `tar -c /tmp/a /tmp/b  2>/dev/null | xxd | \
awk '{print $10}' | tr -d '\n' | \
sed -n 's|^.*[0-9]\{7\}\.[0-9]\{7\}\.[0-9]\{7\}\.000000\
00000\.\(.*\)\.[0-9]\{6\}.*[0-9]\{7\}\.[0-9]\{7\}\.[0-9]\{7\}\.000000\
00000\.\([0-9]\{11\}\)\.[0-9]\{6\}.*$|\1 - \2|p' `

In my case it just printed -5... ;o)

Zensursulas PR

2009-05-07T23:46:00.005+02:00

Ein wirklich sehenswerter Bericht, wie unsere Bundesmutter mit der Presse agiert. Wirklich sehr gefallen hat mit der Auftritt von unser aller Justiz-Zypresse kurz nach Position 4:30.

zum Video

Im Moment sind es übrigens 49.606 Mitzeichner bei der Petition gegen die Einführung von Internetzensur in Deutschland die, unter dem falschen Vorwand Kinder schützen zu wollen, eingeführt werden soll.

Frau Zypries überlegt offenbar schon, diese Möglichkeiten bei Delikten gegen 'geistiges Eigentum' anzuwenden, in Hessen möchte man Glücksspielseiten sperren, und die ersten Forderungen jegliche Gewaltdarstellungen zu sperren kamen auch schon. Wo war doch gleich der Unterschied zu China?

Nicht vergessen: MITZEICHNEN. JETZT.

Und nicht bei 50.000 aufhören, sondern weitermachen!

PS: jetzt schon (49.652)

BOSCH - beeindruckender Service!

2009-04-29T01:27:00.004+02:00

Ich bin beeindruckt. Whow!

Am Montag bei Bosch über ein Webformular auf der Webseite nach einer Bedienungsanleitung zu einem alten Faxgerät gefragt. Am Dienstag drauf ist sie in der INBOX!

Aus der Kopie der Anfrage:

Gesendet: Montag, 27. April 2009 14:34
An: BCC DE (ST-CC/OPM8-Mb); BCC DE (ST-CC/OPM8-Mb)
Betreff: Anfrage per Kontakt-Funktion // Rückrufwunsch: Betriebsanleitung FAX-TEL 267 gesucht

Am 28.04.2009 04:51 (!) erhalte ich CC die Weiterleitung meines Anliegens an avaya, die wohl die Manuals haben.

Die Antwort:

Date: Tue, 28 Apr 2009 15:41:00 +0200
Subject: AW: Anfrage per Kontakt-Funktion // Rückrufwunsch: Betriebsanleitung FAX-TEL 267 gesucht

Sehr geehrter Herr ......,

anbei übersende ich Ihnen die gewünschte Bedienungsanleitung zu dem Gerät „FAX-TEL 267“.

Für weitere Fragen stehen wir Ihnen gerne zur Verfügung.

Das nenne ich mal Service! Da können sich einige eine Scheibe von Abschneiden!

Nicht nur, dass die Anfrage innerhalb von 25,5 Stunden vollständig bearbeitet ist, allein die Tatsache, einem nicht mal Kunden die Anleitung zu schicken! In der Anleitung ist noch von der BRD die Rede - das Gerät ist viele Jahre vom Markt verschwunden - ich habe es nicht mal selber gekauft, und die schicken mir die Anleitung!!!

/me ist sprachlos!

Internetzensur bei Kabel Deutschland

2009-04-22T10:53:00.003+02:00

Das Kabel Deutschland mit zu den Zensurprovidern gehört, war ja klar, wenn man sich ansieht, wer da im Aufsichtsrat sitzt.

Auf meine Anfrage, wie das denn nun mit den Sperren läuft und auf welcher Rechtsgrundlage sie das machen wollen, habe ich nach 3 Wochen immerhin die Antwort, dass sie es an eine andere Abteilung weitergeleitet haben.

Die brauchen also allen Ernstes 3 Wochen für das Weiterleiten einer E-Mail.

Mein Faxgerät funktioniert übrigens immer noch nicht am KD-Anschluss, Telefonate klappen oft auch nur in eine Richtung, häufig ist besetzt, ohne dass der Angerufene telefoniert. Und das obwohl es VoIP mit ihrer Hardware über deren Kabelnetz ist - Bandbreite also nicht das Problem ist.

Übrigens: Die Zweckbindung der Zensur wurde aus dem heute eingebrachten Gesetzesentwurf gestrichen. Das BKA soll also beliebige Seiten auf die Sperrlisten setzen können. Nachprüfen ob die Sperre gerechtfertigt ist ist darf man nicht - weil man sich ja beim Zugriff evtl. schon strafbar macht.

Nachtrag:

Es ist natürlich nicht bei dieser kleinen Änderung geblieben. Laut Heise soll nun auch ermittelt werden, wenn man wiederholt auf die Stoppseite gelangt, und dann nachweisen müssen, dass es ein Versehen war oder eine automatische Weiterleitung. Ich bin gespannt wie das gehen soll.

Und schliesslich sollen die Provider verpflichtet werden 'mindestens' eine 'DNS-Sperre' einzurichten. Man darf gespannt sein, was da in Zukunft also alles versehentlich mit weggefiltert wird.

STOPP!

2009-04-19T02:17:00.003+02:00

unter CC-Lizenz, Quelle: blog.autisma.net

'Kinderpornosperre' in 27 Sekunden 'umgehen'

2009-03-28T11:20:00.002+01:00

Einfach um zu zeigen wie schwachsinnig die Pläne unserer Regierung sind hat jemand ein kleines Video gedreht. Es zeigt, wie man innerhalb von 27 Sekunden(!) die geforderten Sperren mit Stoppseiten etc. umgehen kann. Viel Spaß: Internetsperre in 27 Sekunden umgehen

Unter Linux geht es natürlich noch schneller:

  $ echo "nameserver 193.254.184.230" > /etc/resolv.conf

oder

  $ sudo bash -c 'echo "nameserver 193.254.184.230" > /etc/resolv.conf'

Die Zensur wird in Deutschland wieder salonfähig!

2009-03-25T18:59:00.003+01:00

Der medienpolitische Sprecher der CDU/CSU-Bundestagsfraktion, Wolfgang Börnsen, und der Justiziar der Union, Günter Krings, begrüßten zudem im Vorfeld einer aktuellen Stunde zur Bekämpfung von Kinderpornographie im Parlament am Donnerstag, dass das Eckpunktepapier auf rechtliche Spitzfindigkeiten verzichte und den einzig vertretbaren Weg weise: "Im Internet haben die Schänder keinen Platz." Auch im Cyberspace habe die Freiheit ihre Grenzen, hinterfragten sie zugleich indirekt einen auf Kinderpornographie begrenzten Ansatz: Auch Rassismus und Gewaltverherrlichung, Volksverhetzung oder Nazi-Propaganda dürften im Netz nicht geduldet werden. Quelle: Heise mal wieder.

Genau, und Gewaldarstellungen muss man auch filtern, und alles böse. Weil wenn man das Böse nicht sieht, ist es nicht da!

Neben dem Originalartikel bei Heise kann ich jedem nur empfehlen die Pressemittelung der FITUG zu lesen!

Bald Internetzensur bei Kabel Deutschland?

2009-03-23T15:41:00.005+01:00

Sehr geehrte Damen und Herren,
mit entsetzen musste ich heute eine Meldung zur Kenntnis nehmen, nach der Kabel Deutschland angeblich einer willkürlichen Sperrung von Webseiten anhand einer Liste des BKA zugestimmt haben soll:

"In der Internet-Branche stoßen die Pläne von der Leyens für eine freiwillige Vereinbarung nicht auf allzu große Unterstützung; zuletzt berichtete der "Kölner Stadt-Anzeiger", dass sich mehrere deutsche Internet-Provider gegen den Plan sperrten, kinderpornografische Seiten im Zuge einer solchen Vereinbarung zu blockieren. Die Gespräche mit Vodafone und Kabel Deutschland seien positiv verlaufen, berichtet das Blatt unter Berufung auf einen internen Vermerk des Innenministeriums."

Quelle: http://www.heise.de/newsticker/Bundesregierung-Keine-Internet-Zensur-aber-Web-Sperren-gegen-Kinderporno--/meldung/134976

Bitte teilen Sie mir mit:

ob dieser Bericht den Tatsachen entspricht

auf welcher Rechtsgrundlage Sie derartige Massnahmen durchführen wollen

wie Sie die Sperren technisch realisieren wollen

wie Sie die Einhaltung des Datenschutzes in Bezug mit den 'Stopp-Seiten' realisieren wollen

ob Sie ausschliessen können, dass auch Inhalte wie 'Glücksspielseiten' und 'Killerspiele' gefiltert werden, wie vermehrt gefordert wurde.

Ich weise Sie schon jetzt darauf hin, dass ich vermutlich von meinem Recht einer Vertragskündigung Gebrauch machen werde, sollten Sie diese Massnahmen an meinem Anschluss durchführen. Entweder in Form eines Sonderkündigungsrechts wegen einseitiger Änderung des Vertrages oder wegen Nichterbringung von Leistung.

Mit freundlichen Grüßen,

Bundestrojaner jetzt auch zur normalen Strafverfolgung

2009-03-21T13:23:00.003+01:00

Die Regierungskoalition will künftig die heimliche Online-Durchsuchung auch für die Aufklärung schwerer Verbrechen erlauben. [...] Wolfgang Bosbach, der stellvertretende Vorsitzende der CDU/CSU-Bundestagsfraktion, sagte gegenüber dem Blatt, dass noch in dieser Legislaturperiode eine Änderung der Strafprozessordnung vorgenommen werden solle. Ein entsprechender Entwurf der Bundesjustizministerin Brigitte Zypries (SPD) läge bereits vor. Quelle: Heise Online

Da sind ja die beiden Namen, die bei mir wieder alle Alarmglocken angehen lassen zusammen: Zypries und Bosbach.

Ich erinnere mich noch an die Aussagen, dass man ja den Bundestrojaner ausschliesslich gegen Terroristen einsetzen werde, und das auch nur in wenigen Ausnahmefällen im Jahr. Aber Frau 'Was war noch mal ein Browser' Zypries und Herr 'Killerspiele verbieten' Bosbach scheinen da ganz offensichtlich anderer Meinung zu sein.

Ich möchte in diesem Zusammenhang noch auf das Urteil des Bundesverfassungsgerichts zur "Vertraulichkeit und Integrität informationstechnischer Systeme" erinnern.

Ich gehe mal davon aus, dass es auch hier wieder einen Streit bis zur BVerfG gebe wird. Alleine die Tatsache dass dieser schöne Trojaner selbst zum Manipulieren von Daten eingesetzt werden kann (unde soll!) macht die damit gewonnenen Erkenntnisse wertlos in Strafverfahren.

Dazu der Hinweis: Es wurde tatsächlich als eine der Funktionen beschrieben, dass man Daten auf dem System ändern müsse, um z.B. Rezepte von Sprengstoffen gegen wirkungslose Rezepuren auszutauschen. Da freue ich mich schon, dass mal der Bundestrojaner auf den Rechner eines Unernehmens kommt, der Sprengstoffe herstellt. Das wird ne Gaudi, wenn deren Rezepte nicht mehr funktionieren.

Ich denke dann noch an den Polizisten, der Leute erpresst hat, man habe auf ihrem Rechner kinderpornographisches Material gefunden - der hatte die Namen seiner Opfer offenbar aus dem Polizeisystem.

Aber beim Bundestrojaner wird das alles ja nicht passieren.

Wenn es nicht so traurig wäre, würde ich mich jetzt ja freuen, dass bisher so ziemlich alle meine Voraussagen in dieser Richtung eingetreten sind. Als nächstes wird der Bundestrojaner dann in Fällen von kinderpornographie-Verdacht eingesetzt, wetten?

Und wenn einer in einem Internetforum einen Amoklauf androht muss man doch auch rausbekommen, wer das ist - Bundestrojaner.

Und bei einer Ehrverletzenden anonymen Eintragung in einem Blog!!! - Bundestrojaner...

Internetfilterei

2009-03-16T10:02:00.005+01:00

Es hat ja wirklich lange gedauert.

Nachdem Frau von der Leyen im Moment ganz massive Probleme damit hat, die Provider zur Unterschrift eines illegalen Vertrages zu überreden und selbst Frau Zypries da mittlerweile ganz heftige Bedenken hat, dass das mit noch geltendem Recht zu vereinbaren ist, kommt hier nun schon die nächste Forderung:

Web-Filter gegen 'Killerspiele'

Petke verlangte auch ein Verbot für Videospiele, die Gewalt verherrlichen. Allem Anschein nach seien die jugendlichen und heranwachsenden Amokläufer gleichzeitig Konsumenten dieser von Gewalt beherrschten Spiele. "Diese Machwerke gehören verboten." Das Verbot müsse auch im Internet durchgesetzt werden, wobei die betreffenden Dienstleister in der Pflicht stünden. "Die Zeit der Ausflüchte ist vorbei. Wir brauchen entsprechende Web-Filter, die von den Internet- Providern betrieben werden." Quelle: Heise-Newsticker.

Vielleicht sollte der Herr einfach mal nach China auswandern, da hat er dann sein wohlbehütetes kleines "Internet"

Das sind dieselben, die auch illegales Glücksspiel filtern wollen, eine Sendezeitbegrenzung für Erotikangebote im Internet durchsetzen (kein Scherz! Die gibt es! Nur in Deutschland!).

Vielleicht sollten wir das Internet einfach mal einen Tag lang komplett abschalten, sozusagen als Ausblick auf das maximal gefilterte Netz, damit er sieht, wie gefährlich es ist mit DNS und Routingtabellen rumzuspielen und ein ohnehin verdammt komplexes System noch instabiler zu machen.

Sven Petke ist übrigens exakt die Art von Politiker die ich nicht mag: Er ist ein Berufspolitiker. Er hat laut Vita auf seiner Webseite nicht ein einziges Mal ausserhalb der Politik gearbeitet. Nach dem Studium kam direkt ein Job im Ministerium und der Eintritt in die Partei.

Es ist übrigens DER Sven Petke...

CeBIT - ich komme...

2009-03-02T18:39:00.002+01:00

So. Nun fahre ich also auch mal zur CeBIT. Der größten Computermesse überhaupt. Da arbeiten bestimmt nur Profis. Die besten der Besten und so...

Nur leider schaffen es diese Experten nicht, eine RFC-konforme Email zu bauen, das regt mich ja schon wieder auf:

Im Subject haben sie es ja noch hinbekommen, mit dem Encoding. Nur leider im Body nicht.

Es könnte natürlich an der Frickelsoftware liegen, die sie da benutzen ;)

X-Mailer: Microsoft CDO for Exchange 2000
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.3790.4133

Der Body ist dann jedenfalls latin1, 8bit, ohne Encoding-Angabe:

Content-Type: text/plain
Content-Transfer-Encoding: 8bit

Naja, wenigstens kein html...

Zischen und Zirpen aus den Lautsprechern.

2009-02-23T11:59:00.004+01:00

Ich hatte die letzen Wochen immer wieder ein Problem: Sobald gnome gestartet wurde, war ein ununterbrochenes Zirpen und Zischen aus den Lautsprechern zu hören.

Sobald man den esd gekillt hatte, wurde es still. Wollte man wieder Musik wiedergeben, fing das Gezische wieder an. Soweit so nervig, vor allem, wenn man Podcasts einer Vorlesung bearbeiten will.

Was zwischendurch ein paar Mal geholfen hatte, war alsaconfig aufzurufen. Ich habe die Probleme letztlich auf ein Kernelupdate geschoben, und mir nicht soviel weitere Gedanken gemacht.

Gestern habe ich dann wieder mal ein Kernelupdate gemacht, mit dem Ergebnis, dass die komischen Geräusche der Soundkarte auch mit alsaconfig nicht mehr wegzubekommen waren.

Schliesslich fand ich per Zufall die Lösung des Rätsels, als ich nach und nach versuchte, die Kernelmodule zu entladen, die ein 'snd' im Namen trugen. Bei zweien davon weigerte sich der kernel beharrlich. Eines davon: snd_pcsp.

Nachdem ich im Gnome-Lautstärkeregler dann eine Einstellung für eine Basisfrequenz gefunden habe und bei einer Änderung das Gezirpe die Tonhöhe ebenfalls änderte, wusste ich, was mir hier vorgespielt wird...

Alsa hat seit einiger Zeit eine Emulation zur Soundausgabe über die normalen, alten PC-Speaker. Dummerweise klappt das auf meiner Hardware nicht so besonders, so dass ständig Nebengeräusche entstehen. Aaarghhh

Hiermit sei derüber gebloggt, eventuell finden andere Opfer dann einen Eintrag per Google, der ihnen hilft ;)

Technische Daten für die googlesuche:

  00:1b.0 0403: 8086:284b (rev 03)
  00:1b.0 Audio device: Intel Corporation 82801H (ICH8 Family) HD Audio Controller (rev 03)
  snd_intel8x0m,snd_intel8x0,snd_ac97_codec,snd_hda_intel,snd_pcm,snd_timer

ddos - Mittäter und Opfer (Update)

2009-02-15T16:00:00.014+01:00

Tja, so kanns gehen. Eben noch rege ich mich darüber auf, dass mein Hoster manitu von einer ddos heimgesucht wird, schon darf ich feststellen, dass einer meiner Nameserver an einer anderen Distributed Denial of Service Attacke munter mitgewirkt hat. grmpf.

Aufgefallen ist mir das ganze per munin:

Okay, zwei/drei Anfragen pro Sekunde sind nicht viel, nur sieht man leider dadurch im Graphen den Rest nicht mehr. Ausserdem könnte der Angreifer ja auf die Idee kommen, auch mal mehr Requests zu schicken. Aber was will der eigentlich von mir - und wie ist er auf meinen Server gekommen?! Und zwei Anfragen - wo soll hier der DOS sein? Und warum fragt der ständig nach den Nameservern der '.'-Zone?

Was soll also der 'Mist'?

Des Rätsels Lösung: Natürlich bin ich nicht das Opfer, das war mir eigentlich klar, aber es ist fast noch schlimmer: ~~Ich~~ Mein Nameserver ist Mittäter und die scheinbaren Angreifer sind die tatsächlichen Opfer.

Jemand im Internet schickt gerade an massiv vielen Nameserver diese Anfragen mit gefälschtem Absender. Das Ergebnis: Nameserver die nicht ganz korrekt konfiguriert sind antworten dann freigiebig mit der Liste aller Root-Nameserver.

Bei wirklich großen Nameservern fallen diese Anfragen vermutlich nicht mal auf, weil sie im Hintergrundrauschen untergehen, so dass nur wenige Admins den Missbrauch ihrer Systeme überhaupt bemerken werden.

(Die Liste der Root-Nameserver gibt es hier oder beim Nameserver Eures Vertrauens per $ dig . NS @nameserver. )

Warum ist das nun ein Problem? Ganz einfach: der Angreifer schickt ein paket mit 40 bytes los, das Opfer erhält aber eine Antwort, die um ein vielfaches größer ist. Die Nameserver fungieren also als Verstärker des Angriffs. Schade eigentlich.

Selbst ein korrekt konfigurierter Nameserver, der die Anfrage ablehnt, antwortet noch mit der Ablehung, trägt also immernoch ein bischen zum DOS bei.

Gegenmassnahmen?

Es sind mehrere denkbar:

Einerseits haben die Anfragen alle denselben Inhalt und sind daher alle 40 byte groß. In 40 byte kann man auch sonst kaum eine sinnvolle Anfrage unterbringen, also kann man alles was per udp auf port 53 ankommt und weniger als 45 byte Größe hat blocken. Damit antwortet man sogar nicht mal mehr mit der Ablehnung und die Anfragen sind aus den logs. Man sollte nur seinen Provider und primäre/sekundäre Nameserver der eigenen Domains whitelisten, für den Fall, dass der Angreifer mal diese als neues Ziel definiert.

Dann könnte man ein rate-limit per IP einführen, so dass bei mehr als 20 Anfragen in 20 Sekunden der port 53 für diesen Host für einige Zeit gesperrt wird. Auch hier: Whitelisten nicht vergessen.

Oder man kann regelmässig seine Logs durchgehen, wer denn nun schon wieder soviele Anfragen produziert, und dann diese IP's für port 53 sperren.

Achja, und ganz wichtig: Das Secure BIND Template umsetzen und die default policy der BIND-Installation unter debian ändern, damit man auf die Anfragen nicht die Liste liefert² ;)

In dem Template werden übrigens Views für verschiedene Hostgruppen definiert. Sehr schick - und ich habe auch endlich welche in meinen Configs definiert. Wollte ich schon lange machen.

Damit kann man unterschiedlichen Hostgruppen per acl unterschiedlich antworten. Also z.B. allen hosts aus dem Firmennetz die privaten Adressen und Namen auflösen und mit demselben Nameserver von aussen diese Anfragen nicht erlauben oder eine komplett andere Antwort geben.

Damit könnte man auch mit einem einzigen Nameserver ein Wlan derart gestalten, dass alle noch nicht authentifizierten Benutzer auf die Anmeldeseite gelangen, wo sie einen vpn-Client herunterladen können und später - ohne Ändern der resolv.conf¹ - mit der IP die sie innerhalb des VPN's haben korrekte Namensauflösung vom Nameserver erhalten. (Aber das ist ein anderes Thema...)

¹ Es ist sehr eklig, denn der DHCP-Client im Wlan andere Nameserver einträgt, als der VPN-Tunnel braucht, dann kloppen sich DHCP-Client und VPN-Client nämlich schön darum, wem die resolv.conf gehört. Läuft die DHCP-Lease ab, trägt der DHCP-Client 'seine' DNS-Server ein und man landet wieder nur auf der Startseite für das WLAN mit dem Hinweis, man solle sein VPN aktivieren. Arrrgh.

² Einer meiner anderen Nameserver, der auf ein minimales gentoo aufsetzt, hat interessanterweise diese Anfragen von Anfang an refused, obwohl die Konfiguration nicht wesentlich von der auf dem debian abwich. Grummel.

Nachtrag: Wirksame Gegenmassnahme

Tja, auf die Einfachsten Dinge kommt man zum Schluss: Offenbar sehen die Anfragen ja immer identisch aus, also kann man einfach die Anfrage als solche blocken:

 iptables -I INPUT -i eth0 -p udp  --destination-port 53 \
       -m string --algo kmp --from 30 --hex-string "|010000010000000000000000020001|" -j DROP

und fertig ist die Laube... Ab Position 30 fängt der eigentliche Query an.

0100 - standard Query mit Recursion (1)
0001 - Eine einzelne Frage ist enthalten

Gegen Ende dann:

0002 - NS wird angefragt
0001 - Class IN

DHL - (k)ein Update

2009-02-07T16:15:00.006+01:00

Offenbar hat DHL zur Zeit etwas größere interne Probleme. Wundert mich ja alles nicht, wenn ich so darüber nachdenke, wie oft ich kleinere und größere Katastrophen mit ~~der Deutschen Post~~ DHL erlebt habe. (siehe z.B. hier)

Aktuell berichtet der Hostblogger über seltsame Anrufe von DHL, in denen DHL nachfragt, ob bestimmte Sendungen tatsächlich angekommen sind ~~oder die Paketboten sie sich unter den Nagel gerissen hat~~.

Ich werde mich in den kommenden Tagen wohl doch noch daran machen, einen Brief an die Innenrevision von DHL zu senden, der sich stark an die von DHL selbst genutzen Textbausteine ihrer automatisch generierten Antworten anlehnt ;)

Vielleicht ~~ändert sich ja doch mal was~~ wird das mit denselben hohlen Phrasen beantwortet...

Letztlich gilt für DHL die Binsenweisheit: You get what you pay for!

Wer als Paketdienst über Jahre hinweg sogar den Transport der Pakete von und zu den eigenen Filialen an Subunternehmer auslagert, die natürlich mit Dumpinglöhnen abgespeist werden, darf sich nicht wundern, wenn Unterschriften gefälscht, Pakete geleehrt oder schlicht Pakete sehr unsanft behandelt werden.

Unqualifizierte Spammer

2009-01-23T22:40:00.002+01:00

Gutes Personal ist schwer zu finden...

Die Spammer sind jedenfalls auch nicht mehr das, was sie mal waren:

Received: from [222.130.153.142] (helo=RHVNFQA)
 by mail.tu-berlin.de (exim-4.69/mailfrontend-d) with esmtp
 id 00000-000000-00¹; Thu, 22 Jan 2009 14:33:23 +0100
Subject: [?var=cssubj]
X-Envelope-From: <wrappingg4@teleios-systems.com>
X-Priority: 3
Date: Thu, 22 Jan 2009 21:32:46 +0800
Content-transfer-encoding: 7bit
To: <XXXXXXXXXXXXXX²@tu-berlin.de>
From: [?var=TAGMAILFROM]

...

Testen die ihre Software nicht, oder warum steht da im Betreff und im From noch der Name der Variable im Template?

Es sollte schon auffallen, dass im From sogar das @ fehlt. Am besten finde ich aber bei diesen Spams jene, bei denen sogar der Spamtext nur den Variablennamen enthält

Wie bei jeder Software gilt also: testen, testen, testen!

¹,²: von mir geändert...

Gemütlichkeitsdrohungen!

2009-01-23T15:32:00.004+01:00

Ich bin im IRC auf einen Bericht zu automatisch übersetzter scareware hingewiesen worden.

In dem Zusammenhang habe ich dann mal versucht herauszufinden, was eine Gemütlichkeitsandrohung wohl ist. Es scheint sich um googles deutsches Wort für "privacy threat" zu handeln. Jedenfalls übersetzt Google:

>RFID travel cards' privacy threat => RFID reisen die Gemütlichkeitsdrohung von Karten

Bei der Suche bin ich dann auf diese Seite hier gestossen. Mal im Ernst: Was hat man eigentlich davon, diese so dermassen verkorksten Übersetzungen zu lesen, wenn man kein Englisch kann? Selbst mir fällt es schwer zu verstehen, wass das im Original geheissen haben könnte, und ich behaupte mal der Sprache mächtig zu sein.

Es lohnt sich aber auf jeden Fall die Seite mal zu besuchen, hier einige der besten Stilblüten:

Das Versionszielen, nehmen Sie zwei
Microsoft kehrt Version um, die Verzug ins Visier nimmt
Leichte Firefox-Schläge: Handlung!
Auf der Sicherheit stirbt Windows '98 mit einem Wimmern, nicht einem Schlag
Für gedrängte E-Mails ausgegebene 5 Milliarden $?!
Stiefellager tut Linux
...hat jetzt Linux zum Stiefelcampinglager hinzugefügt.
RFID reisen die Gemütlichkeitsdrohung von Karten
Alle Bit auf dem Deck!
Wir sind als als Lattenschlag zufrieden, Webentwerfer, CSS Sausen, Mikroformat-Händler, ...
Nicht der Standardschalter Ihres Vaters

In diesem Sinne, schönen Freitag ;)

nur ein Monat...

2009-01-20T13:24:00.005+01:00

19.12.2008: Bundesrat nickt BKA-Gesetz endgültig ab

20.01.2009: BKA-Chef will Bundestrojaner auch gegen organisierte Kriminalität einsetzen

Im Februar dann gegen alle per EDV begangene Taten, wie üble Nachrede in einem Forum?

DHL-Update: Zweites Paket auch nicht zugestellt!

2009-01-20T12:49:00.005+01:00

Es gibt Neuigkeiten zu meinem Versuchen, von DHL ein Paket zugestellt zu bekommen.

Damals hatte ich schon ein Update zum zweiten Teil dieser Geschichte geschrieben.

Nachricht via eBay

Diese Woche hat mir dann die Verkäuferin meines eBay-Artikels geschrieben. Der bestellte Scanner ist nach zwei Monaten im Paketzentrum an sie zurückgekommen. Angeblich würde die angegebene Packstation nicht mehr existieren. Also das Kontaktformular von DHL funktioniert ja echt klasse.

Mir hat bei meiner Nachfrage damals DHL mitgeteilt, das Paket sei in ihrem System nicht mehr nachweisbar - ich solle einen Nachforschungsauftrag durch den Absender veranlassen. Nun also bekommt der Absender das zurück. Warum man es dann nicht mir zustellen kann, frage ich mich dann allerdings doch - schliesslich sind auch meine Kontaktdaten im System vorhanden, und man könnte im Zweifel den Absender einfach mal fragen, ob die Adresse stimmt. grummel.

Die angegebene Packstation existiert übrigens noch. Jedenfalls steht da ein großer gelb-roter Kasten rum. Ich habe ausserdem mit exakt der selben Anschrift zwei Pakete zu Weihnachten erhalten. Sicherheitshalber habe ich nach der Mitteilung aber doch mal den Packstationfinder bemüht.

DHL hat die Packstation offenbar umbenannt!

Ich fass' es ja nicht. Meine Packstation 201¹ findet man nicht mehr - nun heisst sie 281¹. Einfach so. Kein Hinweis per SMS, keiner per Post, per Mail. Nix. Aber Sendungen an die 201¹ sind bisher angekommen.

Das allerbeste aber kommt zum Schluss...

Die Online-Sendungsverfolgung

Den 26.11. und den 29.12. finde ich ja am besten.

DHL scheint von ihren Kunden hellseherische Fähigkeiten zu verlangen, denn woher soll ich denn wissen, dass ein seit dem 26.11. im System nicht mehr nachweisbaren Paket, angeblich ab dem 22.12. in einer Filiale auf micht wartet? Und in welcher Filiale? Und warum nicht in der Packstation? Und warum habe ich keine Email und keine SMS erhalten und keine Karte im Briefkasten?!

AAarrghh!

Hier der gesamte Auszug, bevor DHL die Sendungsnummer recycled.

Fazit: Ich hätte doch nach Rüdersdorf fahren sollen um mein Paket selbst zu suchen...

Sendungsnummer    xxxxxxxxxxxxxxx

Details  Details
Produkt / Service:      DHL PAKET- Rücksendung
Empfänger:              XXXXXXX                  <- Der eBay-Verkäufer

Status:         Die Sendung wurde ausgeliefert.

Status von:     06.01.09 13:16

Verlauf Ihrer Sendung
Sendung oder Daten erhalten Transport Bearbeitung In Zustellung Zugestellt

Datum/Uhrzeit   Status  Beschreibung

24.11.08 17:12  Sendung in Filiale/Agentur eingeliefert
                Der Kunde hat die Sendung in der Filiale/Agentur
                eingeliefert.

24.11.08 20:18  Einlieferungs-Paketzentrum
                Die Sendung wurde im Einlieferungs-Paketzentrum bearbeitet.

25.11.08 04:55  Paketzentrum
                Die Sendung wurde im Paketzentrum bearbeitet.

25.11.08 05:05  Paketzentrum
                Die Sendung wurde im Paketzentrum bearbeitet.

25.11.08 05:31  Zustell-Paketzentrum    15 Rüdersdorf

25.11.08 05:31  Zustell-Paketzentrum    15 Rüdersdorf

26.11.08 08:58  Zustellbasis
                Die Sendung wurde in der Zustellbasis bearbeitet.

29.12.08 08:20  Abholung Filiale/Agentur
                Der Empfänger hat die Sendung innerhalb der siebentägigen
                Lagerfrist nicht in der Filiale abgeholt.

30.12.08 19:14  Paketzentrum
                Die Sendung wurde im Paketzentrum bearbeitet.

05.01.09 18:45  Einlieferungs-Paketzentrum
                Die Sendung wurde im Einlieferungs-Paketzentrum bearbeitet.

06.01.09 05:07  Zustell-Paketzentrum
                34 Staufenberg

06.01.09 08:24  Zustellbasis
                Die Sendung wurde in der Zustellbasis bearbeitet.

06.01.09 13:16  Zustellung
                Die Sendung wurde ausgeliefert.

¹ Name von der Redaktion geändert ;)

große pdf-Dateien mittels gimp und LaTeX verkleinern

2009-01-09T08:13:00.009+01:00

Alles fing damit an, dass ich 10 Seiten Unterlagen von einer Bekannten kopiert haben wollte. Sie wohnt nicht in Berlin, also auf den Kopierer werfen ging nicht so einfach.

Sie hat aber einen Scanner und eine Software, die aus den Scans offenbar zusammenhängende pdf-Dateien erzeugen kann. Soweit so gut.

Als ich das pdf dann von ihrem Webspace gezogen habe, wurde ich ob der Größe der Datei schon einmal stutzig - war die Datei doch 38 Megabyte groß.

Ausserdem hatten die Scans schwarze Ränder - sowas mag ich beim Ausdruck nicht haben.

Erster Versuch

Man ist ja erfinderisch, also was tut man, richtig, man importiert das pdf erstmal in gimp und sagt, dass man keine einzelnen Ebenen pro Seite sondern eigene Bilder pro Seite haben will.

Mein Notebook knallte daraufhin seine 2GB Ram und 1GB SWAP zu und die CPU (Dualcore, 2,4 GHz) war auch beschäftigt. Gut, also war das keine gute Idee, alles auf einmal zu öffnen...

# killall gimp

Zweiter Versuch

Gut, versuchen wir es nur mit Seite 1 und 2. Klappt, wunderbar. Mist, 100 dpi sind zu wenig, da kann man nichts mehr lesen. Also nochmal mit 600 dpi.

krrrzzzsss Ah - er swappt. grummel...

Auch wenn wieder 1,2GB meines Arbeitsspeichers von gimp belegt waren, konnte ich die Bilder erfolgreich im Kontrast anpassen, gerade rotieren, schwarze Ränder abschneiden und die Palette von RGB auf schwarz-weiss ändern.

Das ganze als png gespeichert und aus gimp ausgedruckt. Die Druckjobs hatten alle unter 500kb.

Mein HP Laserjet 2200 (Postscriptfähig) brauchte dazu dann aber doch pro Seite 13(!) Minuten. *argh*

Das habe ich auch durchgezogen und 130 Minuten lang Seiten gewendet, weil doppelseitig drucken geht bei Einzelseiten nicht sooo gut.

Dritter Versuch

Heute morgen hatte ich dann eine hervorragende Idee: Latex kann doch Grafiken einbinden und ein pdf erzeugen!

Eine kurze Nachfrage im IRC channel #latex auf freenode ergab den Tipp, die png-Dateien nach pdf umzuwandeln und dann als einzelne Seiten einzubinden. Klappte via 'pdfpages' super!

Die Umwandlung habe ich dann sogar per Webinterface gemacht, es waren keine kritischen Unterlagen. Danke nochmal tlhiv ;) (URL: http://www.tlhiv.org/rast2vec/)

Die resultierende pdf-Datei hatte dann noch 2,2MB und war innerhalb von 3 Minuten gedruckt. Komplett, alle 10 Seiten. Und dafür hab ich die Nacht durchgemacht (unter Anderem) - aargh

Für alle, die es interessiert, hier ein Beispiel LaTeX-Schnipsel dazu:

\documentclass[a4paper,10pt]{report}
\usepackage[utf8]{inputenc}
    \usepackage[pdftex]{color}
    \usepackage[pdftex]{graphicx}
\pdfcompresslevel9
\newcommand{\checkpage}
{
\thispagestyle{empty}
} 
\usepackage[T1]{fontenc}
\usepackage{pdfpages}
\pagestyle{empty}
\begin{document}
\setlength{\topmargin}{-0.5cm}
\includepdf[pagecommand={\thispagestyle{empty}}]{p1.pdf}
\includepdf[pagecommand={\thispagestyle{empty}}]{p2.pdf}
\end{document}

Niedersachsens Innenminister...

2008-12-15T20:23:00.004+01:00

Nach Meinung von Niedersachsens Innenminister Uwe Schünemann (CDU) sollen Internet-Provider künftig ihre Kunden vertraglich dazu verpflichten, eine Filter-Software zu installieren, die den Zugang zu kinderpornografischen Inhalten blockiert. Er werde die rund 75 Provider in Niedersachsen, die Endkunden versorgen, schriftlich dazu auffordern, die Filterpflicht in neue Verträge aufzunehmen und bestehende entsprechend zu ändern. Die Provider sollen dann erkennen können, ob die Filtersoftware beim Kunden aktiv ist, und diesem andernfalls den Zugang zum Internet verwehren. [Heisenews, 15.12.08]

Angesichts dieser Forderung: Was ist die Anforderung, um Innenminister zu werden?

Wenn das ja von irgendeinem Hinterbänkler gekommen wäre, der sich profilieren will/muß, aber nein, das stammt von einem Innenminister eines Bundeslandes! In Deutschland, nicht etwa in China!

Muss ich dieses Programm dann auch auf Handy, iPhone, dvbt-Receiver, WII, BlueRay-Laufwerk, Internetradio, Kühlschrank 'aufspielen'?

Reicht es, wenn das Programm in einem Virtuellen Rechner läuft, der Provider kann das gerne prüfen, er erreicht es ja dann.

Wie ist das mit Firmennetzen, was ist mit anderen Architekturen? Die schaffen ja nicht mal eine palttformunabhängige Elster

*Autsch* - Mein Drang auszuwandern ist wieder so stark wie lange nicht!

Man müsste mal eine Erhebung machen, wieviele Fachkräfte mittlwerweile nach abgeschlossener, teurer, Ausbildung ausgewandert sind. Ich kenne mittlerweile einige!

DHL-Zwischenstand: Einmal verloren, einmal retour.

2008-12-05T01:29:00.004+01:00

DHL hat geantwortet. Sie wissen auch nicht wo mein mein Ebay bestellter Scanner ist.

Sehr geehrte Kundin, sehr geehrter Kunde, 

vielen Dank für Ihre E-Mail.

Wir bedauern Ihnen mitteilen zu müssen, dass Ihr DHL Paket mit dem Identcode xxxxxxxxxxxx 
seit dem 26.11.2008 nicht mehr in unserem System nachweisbar ist. 
Um für Sie genau zu klären, wo sich Ihre Sendung im Moment befindet,
 würden wir gerne eine Nachforschung einleiten. 
[...]

Nett formuliert. Das Paket ist nicht mehr nachweisbar. Nur warum zum Teufel forschen Die nicht einfach von sich aus schon mal nach?! Die haben es doch auch von sich aus verloren. *AAAARG*

Kleiner Knüller für alle Programmierer, in der Mail von DHL steht noch folgende Zeile:

 Sendungsstatus: null

Dem habe ich eigentlich nichts weiter hinzuzufügen!

DHL stellt nicht zu - gleich zweimal.

2008-12-02T23:42:00.007+01:00

Es musste ja so kommen...

Nach 5 nervigen E-Mails an und 5 nervigen E-Mails vom amazon Kundenservice und einem Anruf dort habe ich den status quo wieder hergestellt.

[Übrigens, wenn man eine Telefonflatrate fürs Festnetz hat, sollte man bei der für das Ausland angegebenen deutschen Festnetznummer von amazon anrufen: 0941 - 78 87 88 ]

Die Bestellung ist storniert, der Betrag wird mir gutgeschrieben. Die Details erspare ich Euch, nur soviel: Wenn man schon ein Ticket aufmacht, weil man sich bei der Hausnummer geirrt hat, wieviel Sinn macht es wohl, die Ersatzlieferung an genau dieselbe Adresse zu senden?

Die Vorgeschichte findet sich hier.

DHL ist mittlerweile der Meinung, der Empfänger sei unbekannt verzogen. Das haben sie bemerkt, nachdem sie ein paar Tage eine erfolgreiche Zustellung im System hatten. Großes Kino!

Natürlich hat mich DHL nicht kontaktiert, bevor sie das Paket an amazon zurücksenden, wie auch, sie hatten ja nur meine Handynummer in einem offenen Ticket im Ticketsystem zu genau dieser Sendung. Da fragt man sich schon, wozu die eine Sendungsverfolgung mit Kontaktformular haben.

Und ja, ich habe zweimal angerufen, und beim zweiten Mal mir die Handynummer vorlesen lassen - sie war korrekt. Und ja, der Anruf erfolgte mehrere Tage vor der Rücksendung.

Noch'n Paket

Heute dann die zweite Ernüchterung. Ich warte seit über einer Woche auf ein Paket einer Ebay-Auktion. Ein Scanner für einen Euro. Die Verkäuferin tut mir mittlerweile echt leid.

Erst war sie krank und hat daher auf meine Mail nicht so schnell reagieren können und das Paket auch erst 2 Tage nach der Auktion losgeschickt, dann muss sie sich von mir noch ~~anmotzen~~ die Frage gefallen lassen, warum die Sendung nach einer Woche noch nicht da ist und ich melde den Konflikt schliesslich noch bei Ebay. Und nun stellen wir anhand der Sendungsnummer fest, dass das Paket seit über einer Woche in einem Paketzentrum vor sich hin dümpelt, vermutlich weil es vom Laster gefallen ist oder dergleichen.

Übrigens: Man kann auch die mit einem Punkt getrennten 'Sendungsnummern', die eigentlich keine offiziellen Sendungsnummern von DHL sind, in das Feld 'Sendungsnummer' eingeben, das System von DHL findet dann die passende 10-stellige echte Sendungsnummer.

Haben die bei DHL keinen Alarm, wenn sich der Zustand einer Sendung über eine Woche lang nicht ändert?!

Status:              Die Sendung wurde in der Zustellbasis bearbeitet.
Status von:          26.11.08 08:58
Nächster Schritt:    Die Sendung wird dem Empfänger voraussichtlich heute zugestellt.

Aaargh!

HOWTO: eigener primärer DNS mit BIND und Schlund

2008-11-26T10:49:00.008+01:00

Vergangenen Freitag ging durch die einschlägigen Medien die Meldung über eine DDOS-Attacke auf InternetX, die einen Ausfall bzw. die Nicht-Erreichbarkeit ihrer Nameserver zur Folge hatte.

Die Nameserver vonInternetX werden z.B. von Schlund genutzt um die Domains ihrer Kunden darauf 'abzulegen'.

Auch ich bin ein Kunde von Schlund, alle meine Domains habe ich über das Webinterface 'gekauft' und bisher auch darüber die Nameserver ns9.schlundtech.de und ns10.schlundtech.de 'konfiguriert', sprich meine RR's dort eingetragen.

Vergangenen Freitag konnte ich meine Domains dann allesamt nicht mehr auflösen. Etwas Recherche brachte zum Vorschein, dass die Nameserver von Schlund zwar wie DENIC vorschreibt in unterschiedlichen 'Class C-Netzen' liegen, aber in einem gemeinsamen AS.

Seit der Einführung von CIDR (im Jahr 1993!) existieren aber diese Netzklassen so nicht mehr. Wichtig ist spätestens seit dem, dass die Nameserver in unterschiedlichen autonomen Systemen (AS) liegen, da beim Ausfall des Routings zu einem AS dann immer noch der andere Nameserver erreichbar ist.

Nun gut, ich habe mich also am Samstag endlich daran gemacht, meinen eigenen BIND aufzusetzen. Alle Schritte, und die Einstellungen im Schlund-Interface, will ich beispielhaft im Folgenden dokumentieren. Ich konfiguriere einen primären und einen sekundären Nameserver und nutze den ns10 von Schlund als weiteren sekundären Nameserver.

Die 6 Schritte zum eigenen authoritativen Nameserver

Namen und IP-Adressen der Nameserver in die Zone eintragen (nur die A-Records)
sekundären BIND aufsetzen
primären BIND aufsetzen
Zonefiles schreiben
Testen ob die Zone beim sekundären Nameserver ankommt
Schlundtech konfigurieren

Das Szenario für dieses Beispiel

Es gibt zwei Server, 192.0.2.101 und 192.0.2.102, die als primärer und sekundärer Nameserver für die Domain example.org eingerichtet werden sollen. Für dieses Beispiel benutzen wir natürlich reservierte Namen und Adressen.

Namen und IP-Adressen in die Zone eintragen

DNS ist je nach Kofiguration ein recht träges System. Man weiss auch nie, welche Admins ihre Caches nicht im Griff haben, und auch nach Ablauf der TTL noch veraltete Daten ausliefern. Es ist daher immer gut, Änderungen die man später braucht, möglichst früh einzutragen und, wenn möglich, die TTL zu verringern. Auf das Verringern der TTL und ähnliches verzichten wir hier der Einfachheit aber mal, weil das Webinterface von Schlund da ein wenig unübersichtlich ist. Der von Schlund so genannte SOA-Level bleibt auf 'Empfohlene Einstellungen'.

Als erstes tragen wir die A-Records für unsere Nameserver ein.

ns01.example.org.   IN A 192.0.2.101
ns02.example.org.   IN A 192.0.2.102

Bitte bei Bind auf den Punkt am Ende der Namen achten oder die Domain und den Punkt weglassen. Bei Schlund: Entsprechend der vorhandenen Einträge machen - ich glaube ohne Punkt und ohne Domain ist korrekt.

Danach sollte man bei seinem Server-Hoster dafür sorgen, dass das Reverse-Lookup der IP-Adresse die oben angegebenen Namen liefert.

Jetzt können wir gemütlich einen Kaffee trinken gehen...nein, im Ernst, je nachdem wie paranoid man ist sollte man etwas warten, mindestens bis die Zeit für das negative Cachen abgelaufen ist. Da wir aber den ns10 weiter in Betrieb lassen kann es nur zu Verzögerungen beim Auflösen unserer Domain kommen, aber nicht zum Totalausfall, sofern ns10 noch zu erreichen ist.

Den sekundären BIND aufsetzen

Wir gehen davon aus, dass nach einem emerge -av net-dns/bind oder einem apt-get install bind9 der BIND installiert ist.

Die Konfiguration ist eigentlich ganz einfach - leider weichen bei Gentoo und Debian die Pfade ein wenig voneinander ab sowie das Konzept der Konfiguration.

Während bei Gentoo alles in einer Datei steht, teilt Debian die named.conf mittels include-Anweisungen in drei Dateien auf.

Wir gehen beim Sekundären mal von Debian aus...

In der Datei /etc/bind/named.conf müssen wir unter Debian nichts weiter für unser Beispiel einfügen, da diese zwei anderen Dateien inkludiert.

Man kann aber allerdings darüber nachdenken, den rootservern von .com und .net zu verbieten, nicht-registrierte Domains auf Suchseiten umzulenken:

 zone "com" { type delegation-only; };
 zone "net" { type delegation-only; };

In der Datei

named.conf.options

ändern wir am meisten, siehe Komentare in den Zeilen, es sollte selbsterklärend sein. Die folgende Datei ist 'komplett':

acl myown-servers  {        
        127.0.0.1;        
        # Hinweis: hier alle eigenen Server/Netze eintragen, 
        # die den Server als normalen DNS benutzen dürfen.
        # Kann auch leer sein.
};

acl secondaries {
        62.116.163.100; # InternetX/Schlund
        62.116.162.121; # InternetX/Schlund
        192.0.2.102;    # unser sekundärer (dieser host selbst)
        127.0.0.1;
};

options {
        directory "/var/cache/bind";;
        forwarders {
                             # wenn wir selber auflösen wollen:
                192.0.2.14;  # erster Nameserver des ISP
                192.0.2.15;  # zweiter Nameserver des ISP
        };

        listen-on-v6 { none; }; # wird hier IPv6 aktiviert, müssen
                                # in den ACLs die Adressen auch in der
                                # alternativen Schreibweise erscheinen.

        listen-on { 127.0.0.1; 192.0.2.102;}; # logisch...

        transfer-source 192.0.2.102; # von dieser Adresse 
                                     # machen wir Zonentransfers
        version "get lost";
        allow-transfer {"none";};
        allow-recursion {myown-servers;}; 
        notify no;
        auth-nxdomain no;    # conform to RFC1035
};

Nun folgen noch die Zonendefinitionen in der Datei named.conf.local:

zone "example.org" in{
  type slave;
  file "slv/example.org.slave";
  masters {192.0.2.101;};
};

Danach das slv-Verzeichnis verlinken und eine leere Datei anlegen, in die bind schreiben darf:

  # cd /etc/bind
  # ln -s /var/cache/bind/slv slv
  # touch slv/example.org.slave
  # chown bind:bind slv/example.org.slave

Das slv-Verzeichnis habe ich angelegt, um nicht immer überlegen zu müssen, ob ich auf meinem Debian oder meinem Gentoo-Server eingeloggt bin.

Damit ist der Sekundäre Nameserver Einsatzbereit und kann so bleiben. Wir laden die Zone nicht neu, das erledigt der Server nachher hoffentlich von alleine, wenn er das Notify von unserem primären Nameserver erhält.

Bei Hosts mit mehr als einer IP-Adresse sind die Quelladressen anzugeben, weil der primäre Nameserver sonst u.U. keine Zonentransfers erlaubt.

primären BIND aufsetzen

Mein primärer Nameserver läuft auf einem aktellen Gentoo, daher hier ein leicht anderer Ansatz, wir schreiben alles in eine Datei und müssen den Symlink für das slv-Verzeichnis nicht anlegen.

Nach einem emerge -av net-dns/bind editieren wir die /etc/bind/named.conf:

ACHTUNG: In der Originaldatei sind schon einige Zonen definiert, diese bleiben erhalten, ausserdem hat dieser Server nur eine IP-Adresse, daher müssen wir die Anaben zu den Quelladressen wie bei unserem Secondary oben nicht machen. In der folgenden Konfiguration sind nur Änderungen und Erweiterungen zur Originalversion der Datei aufgeführt:

acl myown-servers  {        
        127.0.0.1;
        ...;        #hier also wieder alle unseren server 
};
acl secondaries {
        62.116.163.100; # InternetX/Schlund
        62.116.162.121; # InternetX/Schlund
        192.0.2.102;    # unser sekundärer
        127.0.0.1;
};
options {
        directory "/var/bind";

        // uncomment the following lines to turn on DNS forwarding,
        // and change the forwarding ip address(es) :
        forward first;
        forwarders {
                DNS1;   # erster DNS unseres ISP
                DNS2;   # zweiter DNS unseres ISP
        };

        listen-on-v6 { none; };
        listen-on { 127.0.0.1; 192.0.2.101;};

        pid-file "/var/run/named/named.pid";
        max-journal-size 50k;
        version "get lost";
        allow-transfer {"none";};
        allow-recursion {myown-servers;};
};

zone "COM" { type delegation-only; };
zone "NET" { type delegation-only; };

zone "example.org" IN {
        type master;
        file "pri/example.org.zone";
        allow-transfer { secondaries; };
        notify yes;  #bei Änderungen die secundaries informieren
};

Wir haben die Konfiguration des Dienstes geschafft, nun müssen wir ihm noch die Daten geben, die er verteilen soll.

Zonefiles schreiben

Jetzt kommt der unangenehmste Teil der Arbeit, das manuelle Kopieren aller Einträge aus dem Schlund-Webinterface in eine Zonendatei.

Das wichtigste zuerst: Bei jeder Änderung der Zone muss die serial hochgezählt werden, sonst wird die Zone nicht auf die sekundären Server kopiert. Ausserdem muss das Retry-Interval größer als 30 Minuten sein, sonst nimmt Schlund die Zone nicht an. Und immer auf die Punkte am Ende der Hostnamen achten, ohne Punkt wird die Domain eingesetzt!

Wir legen nun im Unterverzeichnis pri das Zonenfile pri/example.org.zone an:

$ORIGIN example.org.
$TTL 2d    ; 172800 secs default TTL for zone
@             IN      SOA   ns01.example.org. hostmaster.example.org. (
                        2008112601 ; se = serial number
                        12h        ; ref = refresh
                        35m        ; ret = update retry
                        3w         ; ex = expiry
                        3h         ; min = minimum
                        )
              IN      NS      ns01.example.org.
              IN      NS      ns10.schlundtech.de.
              IN      NS      ns02.example.org.
              IN      TXT     "v=spf1 a mx ?all"
              IN      MX  10  mail1.example.org.
              IN      MX  20  mail2.example.org.
              IN      A       192.0.2.100
ns01          IN      A       192.0.2.101
ns02          IN      A       192.0.2.102
www           IN      CNAME   example.org.

Das ORIGIN der ersten Zeile definiert für den Rest der Datei, welche Domain wir da eigentlich vor uns haben. Ab der dritten Zeile findet sich der SOA-Eintrag, in dem der primäre Nameserver angegeben ist und eine Emailadresse des zuständigen Admins. Hier: hostmaster@example.org, das @ wird durch einen Punkt ersetzt. Es folgt die serial number, die bei jeder Änderung erhöht werden muß. Es empfiehlt sich das Datum und einen Zähler mit der Zahl der Änderung an diesem Tag zu nutzen. Die serial darf kein Zeichen länger sein, da sie sonst von Bind nicht angenommen wird.

Es folgen dann eine ganze Reihe von Timeouts und Intervallen, das Beispiel passt schon so...

Weiter unten in der Zone sind die Nameserver der Domain angegeben. Das ist wichtig. Bei uns stehen die Nameserver sogar noch in derselben Domain, für die sie auch zuständig sind. Daher müssen wir nachher in das Webinterface bei Schlund noch zusätzlich die IP-Adressen der Server angeben.

In dieser Zone sind auch gleich Beispiele für einen SPF-Record, Nameserver und einen CNAME für den WWW-Host, der auf den A-Record der Domain zeigt.

Wir können nun den bind auch beim Systemstart hochfahren lassen und starten:

 # rc-update add named default
 # /etc/init.d/named start

Damit sollte der primäre Nameserver fertig sein

Testen ob die Zone beim sekundären Nameserver ankommt

Wir loggen uns nun wieder bei unserem eben konfigurierten Sekundären Nameserver ein und schauen nach, ob die Zonendatei nun Daten enthält.

Wenn alles gut gegangen ist, hat der primäre Nameserver beim Starten unseren Secondaries ein Notify geschickt und sie zu einem Zonentransfer animiert. Der Server von Schlund ignoriert das Notify, da er unseren primären Nameserver ja noch nicht kennt.

Sollte die Zone noch leer sein, kann man vom sekundäen Server aus mit dem Utility dig mal einen Zonentransfer versuchen und dabei die Logausgaben des primären Nameservers anschauen.

  dig axfr example.org  @ns01.example.org

Hat man mehrere IP-Adressen hilft -b IP weiter.

Bei Änderungen an den Zonen muß der BIND nicht neu gestartet werden. Das Kommando rndc hilft weiter:

rndc reload

Schlundtech konfigurieren

Nachdem man die eigenen Server konfiguriert hat und alles funktioniert(!), kann man sich an das Webinterface von Schlund wagen.

Als Einrichtungsart unter 'DNS-Einstellungen und Weiterleitungen' wählt man 'nur zweiter Nameserver' und auf dem ersten Registerblatt 'Domain-Einstellungen' gibt man bei den Nameservern ein:

 ns01.example.org      192.0.2.101
 ns10.schlundtech.de
 ns02.example.org      192.0.2.102

Bei Nameservern, die in der Domain liegen, die sie auch verwalten, ist die Angabe der IP-Adresse essentiell!

Sobald man auf 'Domain aktualisieren' klickt, sollte ein Zonentransfer vom primären DNS starten...

Um Fehlermeldungen zu lesen, die beim Zonentransfer auftreten können, muss man sich vom Webinterface abmelden, neu anmelden und auf der Startseite in der History klicken.

Der ns10 von Schlund erlaubt übrigens wohl gar keine Transfers.

Wenn alles gut geganten ist, kann man im whois seine Nameserver bewundern und bei einem dig nach den Nameservern der Domain die Additional-Records sehen, welche die IP-Adressen enthalten. Man sollte beim dig natürlich einen Nameserver vom ISP nehmen, nicht seinen eigenen, der funktioniert ja ;)

$ dig ns example.org
[...]
;; ANSWER SECTION:
example.org.  34422 IN NS ns01.example.org.
example.org.  34422 IN NS ns02.example.org.
example.org.  34422 IN NS ns10.schlundtech.de.

;; ADDITIONAL SECTION:
ns01.example.org. 34265 IN A 192.0.2.101
ns02.example.org. 34265 IN A 192.0.2.102
ns10.schlundtech.de. 2167 IN A 62.116.163.100

Bei allem Debugging mit AS'en und Nameservern, etc, ist die Webseite von robtex sehr praktisch, da sie Graphen für AS-Zuordnungen und DNS-Einträge zeichnen kann.

VoIP'st Du schon oder telefonierst Du noch?

2008-11-25T03:48:00.001+01:00

Vielleicht kommt dem Einen oder der Anderen folgende Situation bekannt vor?

Ich: Hallo Schatz, ich wollte Dich fragen ob ich Dir was zu Essen mitbringen soll...
Mein Schatz: Hallo - hallo, hörst Du mich?
Ich: ESSEN MITBRINGEN, ASIATE, Hallo? kannst Du mich hören?!
Mein Schatz: Hallo? grummelgrummelmotz*klick*

Und das, nachdem ich es erst vergeblich auf der einen Leitung versucht hatte (besetzt), dann auf der anderen (schlicht tot nach dem Wählen der Nummer), auf dem Handy und dann wieder auf der ersten Leitung. Mein Schatz war nachvollziehbarerweise genervt...

Damals bei Meucci, Reis, Bell et al kann es auch nicht viel anders gewesen sein...

Da dies nun schon mehrfach vorgekommen ist, habe ich eine Störung bei KabelDeutschland aufgegeben - satte drei Wochen nach Inbetriebnahme des Anschlusses.

Als Kontakt gebe ich meine Handynummer an. Wo rufen sie natürlich an? Auf dem gestörten Anschluß...

Die Installation der Hausanlage

Das dies alles unter keinem guten Stern steht, wurde schon bei der Neuinstallation des Kabelfernsehanschlusses deutlich. Dazu musste ein Kabelkanal vom Keller bis in den 10. Stock gelegt werden. Das hat einen gesamten Tag gedauert. Zwischen den Arbeitsschritten waren jeweils einige Minuten bis Stunden Pause, da sie immer nacheinander in allen 10 Wohnungen durchgeführt wurden:

Begutachten, ob jemand zu Hause ist und die Ecke im Wohnzimmer begehen, wo der Kanal hin soll
Mit einer großen HILTI die Löcher bohren, mit dem Azubi der den Staubsauger bedienen darf im Schlepptau.
An-die-Wand-schrauben des Kabelkanals.
4 Antennenkabel durchziehen
festellen dass das nicht geht weil man das ganz alte DDR-Kabel getroffen hat
nachbohren und Loch durchstossen, dabei die Tapete einreißen
nochmal saugen
neue Antennendosen setzen (natürlich nicht an die Stelle, wo die alte war!
Löcher mit Silikon zuspritzen, fehlende Stücke der Fußleiste mit Silikon ersetzen und abgerissene Tapete an der Decke mit Silikon festkleben
Kabelkanal schliessen, dabei darauf achten, dass der Kunde nicht sieht, dass er gerissen ist

Für den Kunden (mich) bleibt dann noch:

Dreck unter dem Sofa auch wegsaugen
das weiche Silikon wenigstens annähernd der Form der fehlenden Fußleiste nachempfinden
eine Woche später den Riß im Kabelkanal entdecken
bemerken, dass der Kabelkanal an der Decke nicht bündig mit dieser endet

Bestellen des Anschlusses

Mit kleineren Pannen ging es natürlich weiter, konnte ja nicht anders sein ;)

Ich hatte mich also dazu entschieden, der Telekom den Rücken zu kehren...

Was ist das einfachste so einen Intenetanschluß zu bekommen? Klar, in einen Laden fahren, wo Kundenberater der gewünschten Firma rumspringen. Also auf zum Alex.

Nachdem dann einer der 'Kundenberater' auch mal Zeit für mich hatte, kurz die Situation erklärt: Die Mindestlaufzeit des Telekomvertrages ist in 2 Monaten vorbei - ich will wechseln, was soll ich tun.

Und da passiert es, er rät mir dazu, den Vertrag bei der Telekom zu kündigen und den Wunsch einer Portierung zu KabelDeutschland in die Kündigung zu schreiben, weil sonst eventuell die Kündigungsfrist schon abgelaufen ist.

Was macht man als Kunde da? Man tut wie einem gesagt wird. Großer Fehler! In allen, wirklich allen FAQ's und Hinweisseiten von KabelDeutschland steht Kündigen Sie keinesfalls selbst! - Toll! Super Berater.

Der Support...

Ein paar Tage nach meiner Unterschrift kam dann auch die Bestätigung per Post.

In den Unterlagen habe ich eine Angabe vermisst: Die bisherige Telefonnummer, die übernommen werden sollte!

Immerhin sind die Defaults im Vertrag ok: 0900 Sperre ist Standard, kein Eintrag im Telefonbuch, etc.

Also eine Email an den Support geschrieben, in der ich wissen wollte, ob sie denn meine Nummer im System haben, die ich portiert haben will. Außerdem der Hinweis, dass ich auf Anraten des Kundenberaters selbst schon gekündigt habe. Keine Reaktion.

Ein paar Tage später nochmal hingeschrieben, alles erklärt und nach der Portierung gefragt. Schließlich kam eine Email die aus Textbausteinen bestand, die mir erklären wie das Webinterface funktioniert (das ich als Neukunde noch nicht nutzen kann) und das ich nicht selber kündigen soll. Der letzte Absatz der Email besagte, bei Wünschen und Anregungen solle ich mich doch melden. Das tat ich auch, mit einem Wunsch: "Bitte lesen Sie meine Email!"

Dies hatte dann immerhin den Effekt, dass beim dritten Versuch eine Antwort zu erhalten auch eine Antwort auf meine Frage eintrudelte. Einen Tag später kam dann auch die Antwort auf meine allererste Email an den Support. Die Antwort bestand wieder nur aus Textbausteinen, wie beim ersten mal. Setzen, sechs!

Irrungen und Wirrungen...

Zu allem Überfluss hatte der Kundenberater den Wechsel etwa 4 Wochen zu früh terminiert, so dass ich 2 Monate hätte doppelt zahlen müssen. Dies ist dann einer Sachbearbeiterin bei KabelDeutschland aufgefallen, als sie mich auf dem Handy zwecks Terminvereinbarung anrief. Wir einigten uns also darauf, dass wir die Umstellung um 4 Wochen nach hinten schieben. War in meinem Interesse, der Telekomvertrag lief ja noch so lange.

Ein paar Tage später - ich steh im Supermarkt an der Kasse - ruft mich Kabel Deutschland an und fragt, warum ich denn den Vertrag wiederrufen hätte. WTF?!

Offenbar war der Eintrag, das um 4 Wochen zu verschieben, falsch in der Datenbank gelandet. Gut. Also dies mal eben richtiggestellt.

Noch mehr Chaos

Schliesslich wird ein Technikertermin vereinbart, zur Installation des Kabelmodems. Ich hatte den ganzen Tag frei und freute mich auf Bandbreite im Überfluss.

Es regnet wie aus Kübeln. Ab 8 Uhr soll ich mich für den Techniker bereithalten. *gähn*

Schließlich klingelt es und zwei Techniker stehen vor der Tür. Um ein Kabelmodem zu installieren. Nagut. Vielleicht müssen sie noch woanders hin und haben mich nur zwischengeschoben...

Was mich beeindruckt: Das sind die ersten Handwerker/Techniker, die sich Überschuhe über ihre nassen Schuhe ziehen, bevor sie meine Wohnung betreten! Whow!

Während der Eine langsam anfängt, den Karton mit dem Kabelmodem auszupacken, schließt der Andere sein Messgerät an die Kabeldose an und stellt erstaunt fest, dass da kein Signal drauf ist. Ja, meine ich, wir haben ja auch kein Kabelfernsehen.

Also gut, ab in den Keller. Kellerschlüssel hab ich, da mich das außerdem interessiert und ich weiss, wo der Verteilerkasten hängt, traben wir zusammen runter.

Die Schlüsselfrage

Der Techniker holt seinen großen Schlüsselbund mit 20-30 Schlüsseln und fängt an, einen nach dem anderen auszuprobieren. Keiner passt. Auch nicht der, der laut Dokumentation passen sollte. Noch ein Durchgang, es passt immer noch keiner.

Also wird in der Firma angerufen und nach einem Zentralschlüssel gefahndet, nachdem man im Auto auch keine passenden Schlüssel findet.

Die Techniker sind erstmal wieder weg. Schlüssel holen.

*aarghh* Ich koch erstmal Kaffee!

Kabelsalat

Nach zirka einer halben Stunde klingelt es wieder an der Tür.

Hurra, meine Techniker sind wieder da. Also ab in den Keller, schliesslich will ich in den Verteiler schauen.

Der Zentralschlüssel passt...nicht. WAS?! Hat da einer am Schloss rumgefummelt?! Wenn das Schloss kaputt ist wird das heute nix mehr. *seufz*

Beim dritten Anlauf und mit viel Gefühl am Anfang und sanftem Druck geht der Kasten schliesslich auf. (Du musst doch nur den Nippel durch die Lasche... jaja)

So, was sehen wir: Laut Beschriftung ist unsere Wohnung angeschlossen. Moment, was?!

Nachdem wir uns die anderen Verteiler angesehen haben stelle ich fest, dass die Monteure das Haus von der falschen Seite aus durchgezählt haben. Aufgang 1 ist Aufgang 6, Aufgang 2 ist Aufgang 5. Daraus folgt: Aufgang 3 ist Aufgang 4. Leider haben sie das bei allen ausser diesem mittleren Kasten verbessert. Grrrr.

Doch auch mit dieser Erkenntnis kommen wir nicht weiter: Die Wohnung ist angeschlossen.

Also die Beschriftung nochmal genau angesehen - aaahhh, sie fängt mit 0 an. Das Erdgeschoss ist 0, und nicht 1 wie im Aufzug beschriftet (und an den Türen und Briefkästen)

Ergebnis: Nimm die Wohnungsnummer und zieh 101 ab, dann hast Du die Kabelbeschriftung.

Das Kabel wird feierlich eingesteckt. Juhu, Internet!

Ach halt, das Kabelmodem...

Hallo hallo, ist da wer?

Also schnell hoch in die Wohnung, den beiden ebenfalls sichtlich frustrierten Technikern nen Kaffee angeboten, den sie gerne nahmen.

Während ich den Kaffee hole machen sich die beiden also wieder am Anschluss zu schaffen.

Ergebnis: Es rauscht und knattert zwar aus dem Testempfänger, aber für das Kabelmodem reichen die Pegel bei weitem nicht.

Für mich bedeutet das: Die machen intern einen Wartungsauftrag auf, ich muss mich gedulden bis ein Techniker die Anlage neu eingestellt hat.

Der zweite Anlauf

Mittlerweile sind ein paar Tage vergangen, ich rufe bei KabelDeutschland an, was mit dem neuen Termin ist, wann die Anlage neu eingestellt ist, mittlerweile ist der Vertrag mit der Telekom 2 Tage vor dem Ablaufen.

Man teil mir mit, im System würde ein Technikertermin stehen, am 1.10. zwischen 8 und 16 Uhr. Die Hotlinerin findet die Uhrzeit ebenso wie ich etwas großzügig angegeben und gibt mir die Nummer der lokal zuständigen Firma.

Mein Anruf dort ergibt, dass die für Technikertermine zuständige Dame nicht mehr im Hause sei und man den Termin auch nicht näher eingrenzen könne. Mein Einwand, der erste Termin sei auf eine halbe Stunde genau abgesprochen gewesen wird ignoriert.

Am nächsten Tag ist die zuständige Dame wieder nicht direkt erreichbar, da sie in einem Gespräch ist. grmpf. Ich verwickle die Hotlinerin so lange in ein Gespräch bis die andere frei ist. Ha!

Endlich bin ich richtig - mein Gegenüber meint, das sei ja mal wieder typisch KabelDeutschland, die Pferde scheu zu machen, natürlich würde man mit den Kunden einen genauen Termin vereinbaren, die 8-16 Uhr stünden nur dafür, dass man noch keine Absprache mit dem Kunden getroffen habe. Der Techniker würde sich noch heute bei mir melden um den Termin abzuklären.

10 Minuten später ruft mich die Dame von eben an und klärt mit mir den Termin ab. TILT.

Internet, Telefon, bitte ...!

Der Techniker ist da. Diesmal ein anderer, und alleine.

Seine Ausrüstung ist moderner. Notebook und volldigitaler Kabelanalyzer.

Eben diesen hängt er ans Kabel und misst das Spektrum. Das Signal ist zu schwach. (ach!)

Er geht in den Keller und schraubt am Verstärker - ich erkläre ihm die falsche Beschriftung der Kabel, er ist verwirrt. Das Signal ist zu schwach.

Nach einigem Probieren meint er, wenn das Signal jetzt nicht reicht, müsse die gesamte Hausanlage überprüft werden. Er schliesst das Modem an, ohne auf die Messergebnisse Rücksicht zu nehmen. Das Modem synchronisiert sich!

Vielleicht hätte ich aber doch mißtrauisch werden sollen, als er meinte, das Signal des Rückkanals sei zu schwach, aber da "das Internet" geht, würde der Rest auch funktionieren. Er hat mir sogar noch in seinem Browser mit einer Webseite (die ganz tolle Tachometer für Up- und Downloadrate hatte) gezeigt, dass ich 20/1 MBit/s habe. Ich hab dann doch noch mal mit iperf gemessen - kam sogar dasselbe raus ;)

Er meinte, er hätte den Verstärker im Keller jetzt voll aufgedreht, und wenn das nicht reicht, wäre die Hausanlage kaputt. Die ist aber erst ein halbes Jahr alt.

Ich ahne vorsorglich schon mal nichts Gutes, wegen der aktuellen Störungsmeldung.

Xen und falsche tcp-checksums

2008-11-24T20:22:00.005+01:00

Das Wichtigste zuerst - bei Problemen mit tcp-Checksums:

 # ethtool -K eth0  rx off tx off

und wenn sich das Teil beschwert, es könne das für rx nicht ändern:

 # ethtool -K eth0  tx off

Der Hintergrund:

Ich betreibe einen kleinen Xen-Server mit 2 virtuellen Maschinen als Router und Arbeitsgruppenserver. Heute wollte ich eine dritte Maschine installieren, ein Debian.

Das erste Problem: Nach dem debootstrap habe ich im chroot brav ein aptitude gemacht und diverse Dienste installiert die ich brauchte. Großer Fehler! Debian startet die nämlich dann auch sofort - was in einem chroot auf einer laufenden dom0 super toll kommt.

Das Ergebnis waren jedenfalls diverse Prozesse wie apache, ssh und postfix die da so halb am laufen waren. Leider wusste ich natürlich nicht, welche innerhalb und welche ausserhalb des chroot liefen. Also: reboot.

Nach den Dateisystemchecks (..has not been checked for 208 days...) schien auch alles zu laufen.

Leider falsch gedacht: einer der virtuellen Server machte nur Probleme. Ich konnte mich zwar einloggen, aber der Apache antwortete nur sporadisch, der irc-bouncer kam nicht ins Netz und ich konnte mich nicht mit dem Bouncer verbinden.

Was macht man also: wireshark

Die Wireshark-Katastrophe

Mein erster Gedanke: Huch - warum ist denn da soviel rot?

Ah - checksum offloading. Offenbar kann die Netzwerkkarte in meinem neuen Notebook die tcp-Checksumme in Hardware berechnen. Die Folge ist aber, dass die Pakete keine gültige Checksumme haben, bevor ich sie an die Karte sende. Also deaktiviere ich das mal schnell...

 $ ethtool -K eth0  rx off tx off

Gut. Neuer Versuch. Immer noch alles rot. *grummel*

Vielleicht auf dem xen-server dasselbe machen. Mist, die Netzwerkkarten unterstützen das nicht. also liegt es nicht daran. Hmmm. Ausserdem müssten dann doch beide domU's spinnen...?

Nach etlichen Reboots der nicht funktionierenden domU einfach mal das ethtool in der domU installiert und gestartet:

# ethtool -k eth0
Offload parameters for eth0:
Cannot get device rx csum settings: Operation not supported
Cannot get device udp large send offload settings: Operation not supported
rx-checksumming: off
tx-checksumming: on
[...]

Hmm - warum steht da on?

Ende gut, alles gut...

Ich hatte dann natürlich versucht rx und tx gleichzeitig auf off zu setzen, weil ich den Befehl noch im Buffer hatte. Da aber rx nicht von der 'Hardware' unterstützt wurde schlug der gesamte Aufruf fehl. Die Lösung: das tx einzeln setzen!

 # ethtool -K eth0  tx off

Das Ergebnis: Im Wireshark verschwand das rot - und der bouncer konnte sich wieder mit den IRC-Servern verbinden. puh!

Ergebnis: ein paar ausgerissene Haare, einige Erkenntnisse mehr und drei Stunden verlorene Arbeitszeit :(

Nur weg vom rosa Riesen...

2008-11-23T21:56:00.000+01:00

Alles begann damit, dass die Telekom uns mit Anrufen nervte, die uns zum neuen Call&Surf Comfort überreden wollten.

Auch nach dem dritten Anruf, den ich immer mit der Bitte diese Versuche doch zu unterlassen beendet hatte, war mein Interesse an den neuen Tarifen nicht sonderlich gewachsen. Dies hatte mehrere Gründe.

Einer davon: Ich mag nicht offensichtlich belogen werden, schon gar nicht von einem Unternehmen, dessen Kunde ich bin...

Ich: Was habe ich denn von dem neuen Tarif
Telekom: Sie bekommen 6 MBits Downstream statt 2.
Ich: Aha, tauschen Sie dann hier die Hausverkabelung und den DSLAM aus? In diesem Haus geht nicht mehr als 2MBit.
Telekom: Achso, ja, das tut mit leid. Sie können aber alle Hotspots kostenlos nutzen!
Ich: Toll - habe ich bisher nie gebraucht, werde ich nicht brauchen. Was gibt noch?
Telekom: Sie bezahlen eine geringere Grundgebühr.
Ich: Ah - interessant - und wo ist der Haken?
Telekom: (Sinngemäß): Es gibt keinen - Sie haben nur Vorteile!
Ich: Wie ist denn die Mindestlaufzeit des neuen Vertrages?
Telekom: 24 Monate
Ich: Sehen Sie, und genau deshalb will ich den nicht. In 3 Monaten endet meine bisherige Mindestlaufzeit und dann kündige ich!
Telekom ...
Ich: Achja, und können Sie bitte endlich aufhören mich mit diesen Telefonanrufen zu nerven? *klick*

Soso, es ändert sich nix und alles wird besser. Klar.

Da die Hausverkabelung wie oben schon erwähnt nicht mehr hergibt, kam nur Internet per Kabelanschluss in Frage, aber das ist eine andere Geschichte...

Muss ich noch erwähnen, dass nach der Kündigung, in der ich die technischen (zu langsam, Kabel zu alt), finanziellen (ihr seid zu teuer) und politischen (ihr nervt mich mit Werbeanrufen) Gründe meiner Kündigung dargelegt hatte und jede Art von Rückwerbeversuchen untersagt hatte noch 3 Anrufe und 2 Briefe bei mir aufschlugen? Unter anderem auch mit dem Angebot für einen 'maßgeschneiderten' Tarif.

Keinem der Anrufer lag natürlich auch nur ein Schnipsel Text aus meiner Kündigung vor - sonst hätten sie sich die Frage nach den Gründen der Kündigung sparen können.

Die schönste Stilblüte war der erste Brief. Tenor: Sie schreiben, dass Sie kündigen wollen - das machen wir jetzt aber mal nicht sondern erst nächste Woche - vielleicht wollen Sie es sich noch einmal anders überlegen?

Einer der Anrufe war aber lustig. Eine sehr freundliche weibliche Stimme hat mich nach den Gründen der Kündigung gefragt. Wir haben dann ca. 10 Minuten telefoniert. Unter anderem habe ich meinem Gegenüber erklärt, wie man Online Fotos bestellen kann. Komilitonen meinten, ich hätte versuchen sollen die Call-Center Agentin zu Kabeldeutschland zu überreden...:P

Was ist eigentlich so schwer daran, bei einer ausführlich begründeten Kündigung diese zur Kenntnis zu nehmen, auszuführen und vorher die Gründe in das Freitextfeld in die Kundendatenbank zu schreiben?

DHL stellt fast immer zu, irgendwie...

2008-11-22T02:59:00.012+01:00

grrr - wofür bezahlt man eigentlich "Verpackung und Versand: EUR 2,52" wenn man danach hinterhertelefonieren muß, wo das Paket eigentlich gelandet ist?

Laut Paketverfolgung ist die Sendung bei einem "Angehörigen oder Nachbarn" abgegeben worden. Komisch nur: Es war erstens jemand zu Hause und zweitens keine Benachrichtigungskarte im Briefkasten. Gut, ich hab mich in der Hausnummer um 1,5 vertan - aber dann hätte es ja gar nicht zugestellt werden dürfen - und nicht irgendwo abgegeben werden.

Hinzu kommt: Der in der Sendungsverfolgung genannte Name ist in der Nachbarschaft nicht zu finden und ~~die Post~~ DHL hat im Moment auch keine Ahnung wo sie Sendung ist. Sie wollen mal den Fahrer kontaktieren. Toll. Warum hat der außer dem Namen der Beglückten Entgegennehmerin nicht einfach auch die Adresse in seinen elektronischen Assistenten gehackt? Und warum brauchen die dafür schon 3 Tage?

Die zuständige Fachabteilung würde sich bei mir melden - heißt es. Wenn nicht soll ich bei Amazon Bescheid geben, die wüssten schon was man da macht. Diese Erkenntnis hat mich jetzt schonmal mindesten einen Euro 'Nachporto' in Form von Telefongebühren für die 0180'er Nummer gekostet. Grummel.

Update: Jetzt steht auf der DHL-Seite: "Zustellungsart: andere anwesende Personen". Soso, nichts mehr von Nachbarn oder Angehörigen....

Update2: hier

The superfluous first post

2008-11-22T01:57:00.001+01:00


   Blog myblog = com.blogger.createBlog("superfluousandsparse");
   Post firstpost=new BlogPost();
   firstpost.setTitle("The superfluous first post");
   //TODO: Fix the recursion....
   firstblog.setContent("Blog myblog = com.blogger.createBlog(\"superfluousand....");
   myblog.publish(firstpost);