Server mit Migrationshintergrund

Dieser Post soll allen als Warnung dienen, die einen Rootserver gemietet haben. Es kann einem passieren, dass der Provider beschließt, daß die alte Hardware zuviel Strom frisst, und er die Server der Kunden virtualisieren möchte.

Zustimmung des Kunden

Ein normaler Provider würde dann einen Brief schreiben. Oder vielleicht auch eine Email. Dann auf Antwort warten, und wenn der Kunde sein OK gibt und vielleicht noch einen Terminwunsch äussern darf (nicht während der Produktpräsentation z.B.) wird die Migration durchgeführt oder auch nicht.

Alles andere ist eine einseitige Vertragsänderung die unmittelbar Sonderkündigungsrecht des Kunden zur Folge hat.

Handeln ohne Zustimmung?

Bei einem meiner Provider war das leider nicht so. Ich erhielt eine Email, in der man die neue Virtualisierungslösung anpries und dass man wegen Erneuerung von Hardware meinen Server gerne migrieren würde. Das ist für mich Konjunktiv.

Das Problem war nur, dass ich diese Email eine Woche lang nicht zur Kenntnis genommen habe, weil Thunderbird der Meinung war, sie nicht anzeigen zu müssen. Alles halb so schlimm, könnte man meinen, die Nachricht war ja im Konjunktiv, und kein vernünftiger Provider würde einen Kundenserver nehmen, runterfahren, die Festplatte ausbauen, die Daten kopieren, auf ein Storage mit den Daten aller anderen Kunden legen...

Nun, genau das hat dieser Provider aber getan. Er hat nicht auf eine Antwort gewartet und einfach mal so die Festplatte ausgebaut und in einer Stunde Downtime die Daten kopiert.

Gemerkt habe ich es, weil Nagios gemeckert hat, dass der Server down ist.

Als ich nach etwas Suchen dann feststellte, dass mir Thunderbird Mails unterschlägt, fand ich nach einem Index-Rebuild auch die Email, die auf diese Migration "hinwies", bzw. mich eigentlich darauf hinwies, dass man das gerne tun würde, dieses Migrieren

Was ist 'Ausspähen von Daten'?

Auf meine Email hin, dass ich hier einen Fall von "Ausspähen von Daten" sehe und nicht damit einverstanden bin, dass man einfach meine Daten kopiert, erhielt ich dann gegen 16:09 eine Email, in der man mich fragt, ob ich mit einer Rückmigration auf die alte Hardware einverstanden sei. Diesmal war das sogar als Frage formuliert!

Lernresistent? Könnte man meinen.

Ja, nur leider sehe ich im Syslog, dass der Server um 17:05 und 17:10 rebootet. Es wurde wieder keine Antwort abgewartet - diesmal nicht mal eine Stunde lang - und es wurde erneut ohne Absprache mit den Daten hantiert. Die gehosteten Webseiten waren damit mal wieder nicht erreichbar. Und der Nameserver und Mailserver auf der Kiste auch nicht.

Dieser Zustand wurde leider auch 3 Stunden lang nicht besser. Obwohl ssh irgendwann wieder ging. Des Rätsels Lösung: Sie haben beim Rückmigrieren das Routing verbockt. Nach einer Email an die Notfall-Hotline war das aber dann wenigstens in Rekordzeit behoben - unter 10 Minuten.

got root?

Ich habe nach diesem Vorfall unmittelbar einen anderen Hoster gesucht.

Der neue Server war schließlich am Mittwoch einsatzbereit, im Verlauf des Tages habe ich dann einiges an Domains umziehen dürfen, darunter diverse CMS-Systeme, den Mailserver und den Nameserver für eine zweistellige Zahl an Domains und alle Nutzer und Kunden über die neuen IPs bzw. Nameserver informieren müssen, damit sie ihre DNS-Zonen ggf. anpassen.

finally?

Zwischendurch habe ich dann noch Kontakt zu einem Anwalt aufgenommen, um mir die rechtliche Situation mal ein bisschen genauer darlegen zu lassen.

Nun, die Kündigung beim Provider folgt zum 01.12.2010 - der alte Server ist nun endgültig platt. Genullt. Ob der Provider noch eine Kopie der Daten irgenwo im Backup hat - wer weiss....

Ein Sommernachtsgewitter

bzip2 vs. gzip und gvfs im Allgemeinen

Eben bin ich mal wieder über einige Kleinigkeiten gestolpert, die einfach nur ärgerlich sind.

Ein paar wirklich kleine Bugs, aber trotzdem unendlich nervig!

Gnome bindet Samba-Freigaben (also Windows-Freigaben) innerhalb des virtuellen Dateisystems ~/.gvfs innerhalb des Homes des Nutzers ein. Soweit so gut.

Erster Akt: Zugriff!

Man könnte ja annehmen, dass Gnome dann auch transparent Zugriff darauf erlaubt. Wenn ich ein Terminal starte, kann ich in das Verzeichnis wechseln und mit normalen Kommandozeilentools auf die Freigaben schreiben. Alles toll.

Aber in Gnome tauchen diese Freigaben im normalen Datei-öffnen Dialog nicht auf. Entsprechend auch nicht in Firefox, Galeon, Epiphany. Wie soll denn ein Endnutzer jetzt auf einfache Weise einen Download auf dem Share speichern? Vielleicht übersehe ich auch was, aber sowas ist einfach nur ärgerlich. Nicht nur weil das unter Windows ohne Probleme funktioniert.

Navigiert man manuell nach ~/.gvfs/ klappt es aber...

Zweiter Akt: Verknüpfungen

Wer es aus Windows kennt, versucht es auch unter Linux. Hat man nach viel Suchen die richtige Freigabe auf dem richtigen Server gefunden, zieht man die Freigabe aus der Netzwerkumgebung auf den Desktop und hat fortan eine Verknüpfung mit dem Share, die beim Doppelklick wiederhergestellt wird.

Nicht so bei unserem Lieblingsfrickelbetriebssystem mit Gnome. Zuerst beschwert es sich, dass die Freigabe kein normaler Ordner ist. Ach! Dann legt es auf dem Desktop einen leeren Ordner mit dem Namen der Freigabe an. Toll! Wie soll denn ein Endbenutzer jetzt auf die Idee kommen, dass alles was er in diesem Ordner speichert eben nicht auf dem Server landet?!

Nun gut, versuchen wir Rechtsklick auf den Freigabenamen in der Netzwerkumgebung, dann Verknüpfung erstellen. Ooops. Ich habe auf der obersten Ebene des Servers ja keine Schreibrechte, also Fehlerdialog, Verknüpfung kann nicht angelegt werden. Leider erfolgt auch keine Möglichkeit wie bei Windows (sic!) die Verknüpfung statt dessen direkt und automatisch auf dem Desktop anlegen zu lassen. Ergo: Verknüpfungen erzeugt man manuell, indem man einen Starter mit dem Ziel nautilus smb://server/ anlegt.

Wie soll denn ein Endbenutzer....

Wenn man viel Glück hat geht das auch meistens. Oft habe ich aber wie unter Windows nur leere Servereinträge, bekomme skurrile dbus-Fehlermeldungen, kann das Netzwerk nicht durchsuchen, etc. Ja, iptables ist leer und auf ACCEPT.

Dritter Akt: Auf der Kommandozeile ist alles besser?

Nein, nicht wirklich.

Bei dem Gnomefs ist z.B. die Funktion fchmod nicht implementiert. Und das führt zu unnötigen Fehlern.

Situation: Auf dem Share liegt eine Datei, die wir komprimieren wollen.

Also Kommandozeile, cd ~/.gvfs/sharename ; bzip2 file - und wir bekommen einen netten IO-Error um die Ohren gehauen. Vorher hat bzip2 das File übrigens ordnungsgemäß komprimiert. Komplett. Und wieder aufs Share geschrieben. Dann gelöscht.

Das gleiche Experiment mit gzip: Es wird auch ein Fehler geworfen, das File wird aber korrekt abgelegt und die Quelle gelöscht.

Welches Verhalten ist nun besser? gzip, der die Rechte nicht setzt und dem es egal ist, oder bzip2, dass die Datei einmal übers Netz zieht, komprimiert, schreibt und zurücksendet und dann löscht?

Was mich aber am meisten wundert: warum wird das fchmod erst NACH dem Schreiben der Nutzdaten gemacht?

Die Krönung des ganzen: Der Mode, den bzip2 hier übergeben will, unterscheidet sich nicht vom Mode, den die Datei auch so schon hat, wenn sie neu angelegt wird -.-

Fazit: Alle doof außer Mutti!

Erinnert mich irgendwie an George Orwell...

„Bei allem Positiven, das die Online-Welt bietet, wird das Internet zunehmend als Medium für die Vorbereitung und die Ausführung abweichenden Verhaltens, bis hin zur Durchführung krimineller Taten genutzt.“

Das obige Zitat stammt nicht etwa aus einem Roman wie 1984 sondern aus einer offiziellen Pressemitteilung des BDK - des Bund Deutscher Kriminalbeamter.

Ich finde solche Gedankengänge jedenfalls sehr verstörend. Demnächst dann: Wer sich abweichend verhält, wird einstweilig erschossen... Hatten wir so etwas ähnliches nicht schon einmal?

Auch aufschlussreich ist das Folgende:

„Aufgrund ungefilterter Internetzugänge sind aber auch Inhalte wie Pornographie, Pädophilie, Islamismus, Rechts- und Linksextremismus, Terror und vieles mehr für Kinder und Jugendliche frei verfügbar.“

Nun, Kinder und Jugendliche haben auch ungefiltert Zugriff auf die Zigaretten und den Alkohol im elterlichen Haus. Sogar an Küchenmesser und Äxte kommen sie. Man könnte noch diverse andere Gefahren aufzählen, bis zum Fremden im Park der sie belästigt oder entführt. Trotzdem fordert niemand, dass der Staat jedem Heranwachsenden einen Streifenpolizisten zur Seite stellt, der aufpasst, dass die Eltern nichts falsch machen. Es ist verdammt nochmal die Verantwortung der Erziehungsberechtigten, dafür zu sorgen, dass Kinder eben nicht vor dem Computer geparkt werden. Aufgabe der Schule sollte es sein, Medienkompetenz zu vermitteln.

Sehe nur ich das so, dass es bedenklich ist, wenn der Staat sich in die Erziehung der Kinder einmischt und sich zur Aufgabe macht, diese vor allem zu schützen, was seiner Meinung nach schädlich ist?

Gleichzeitig soll hier die Internetzensur wohl mal wieder zum Schutz der Kinder salonfähig gemacht werden. Wenn man einen ungefilterten Zugang vom Provider haben will, kann man das vermutlich bekommen. Aber ich vermute, das traut sich dann keiner, weil oben genannte Dinge will er ja ohnehin nicht abrufen - sich verdächtig machen erst recht nicht.

In diesem Sinne werde ich mich jetzt weiter abweichend verhalten und mit meinem abweichenden Betriebssystem diesen Post beenden und nachher abweichend von der Mehrheit mit dem Rad in die Uni fahren...

Mein Bild der Berliner Polizei...

...hat heute einen weiteren, diesmal sehr heftigen Knacks bekommen.

Anlass ist ein Video - dessen Inhalt ich kaum glauben mag.

Zu sehen ist eine Gruppe Polizisten und einige Demonstranten. Einer der Demonstranten will wohl gerade eine Anzeige gegen einen der Polizisten aufgeben, weil er bei der Festnahme eines anderen Demonstranten seiner Meinung nach zu brutal vorgeganden ist.

Das Ergebnis für diesen Demonstanten: Mindestens eine gebrochene Nase - und zwar nicht für den Festgenommenen, sondern für den, der die Anzeige aufgeben will - denn plötzlich wird er, schon im Gehen, von zwei Polizisten festgehalten und ein dritter schlägt ihm mit der Faust und mit voller Wucht in das Gesicht. Hält man das Video an, stellt sich bei mir der Eindruck ein, der Zuschlagende würde auch noch grinsen und das Zuschlagen genießen.

Ich finde das unerträglich!

Video: http://www.lawblog.de/index.php/archives/2009/09/12/mustergultiger-einsatz-ii/

Zynischerweise fand dies am Rande der Demonstration 'Freiheit statt Angst' statt - bei den Bildern bekommt dann auch Angst - vor dem Staat bzw. seinen Organen.

Leider deckt sich das aber mit meinen 'Erlebnissen' mit der Berliner Polizei, was die Begleitung von Demonstrationen angeht. Sonst sind alle Beamten immer höflich und korrekt gewesen.

Bei einer der Demos der Studentenproteste an der TU habe ich gesehen, wie einer der Polizisten uns Studenten angepöbelt und beleidigt hat, die Faust in die Höhe gestreckt hat und unsere Slogans als 'blah blah' abgetan hat (durch Zeichensprache). Sowas trägt natürlich unheimlich zu einem freundlichen Miteinander bei - zumal das direkt am Beginn passierte, ohne dass bis dahin was wesentliches passiert ist. Später setzen diese Beamten es sich dann auch in den Kopf, mit ihrer Wanne mitten durch den Demonstrationszug fahren zu müssen, so dass es notwendig war die Demonstranten die davor liefen zur Seite zu schubsen. Das war mein erstes 'negatives' Erlebnis.

Das zweite durfte ich vor meiner Haustür sehen, als 5-6 Polizisten auf Grund einer Verwechslung auf einen Demo einen Einzelnen aus dem Zug zerrten und danach mit Pfefferspray um sich sprühten. Es sei erwähnt, dass der Demonstrant nicht mal die Chance hatte zu reagieren, weil er vorher nicht angesprochen wurde doch bitte mitzukommen: Es rannten sofort die oben erwähnten 5-6 Polizisten in kompletter Kampfmontur auf ihn zu - was natürlich Reaktionen bei Umstehenden auslöst - in diesem Fall die Polizisten zu filmen und in Richtung Hausecke zu folgen.

Als sporadischer Demonstrationsteilnehmer muss ich sagen, bin ich geschockt und frage mich, was man in so einer Situation machen kann, denn jede Form der Einmischung ist von Widerstand gegen die Beamten bis hin zu versuchter oder vollzogener Gefangenenbefreiung sanktioniert oder endet eben im Krankenhaus.

Zwischenruf und Nachdenkliches zum Urlaub

Bevor es ein paar Tage Urlaub gibt, sind mir doch noch ein paar Dinge über den Schirm gelaufen, die mich beschäftigen.

Zum Einen der Zwischenruf von Hans-Ulrich Jörges im Stern.

Er spricht mir in so vielen Punkten aus der Seele. Wenn ich mir ansehe, dass in diesem Land Gesetze nicht mehr im Parlament verhandelt, sondern dort lediglich noch die Reden schriftlich zu Protokoll gegeben werden, wenn ich höre, dass man der Fraktionsdisziplin wegen für das Gesetz stimmt, aber nur mit Bauchschmerzen, aber man ja ohnehin davon ausgeht, dass das Verfassungsgericht das Gesetz für nichtig erklärt - da frage ich mich schon, was aus unserer Demokratie geworden ist.

Dann kommt auch noch ein so genanannter Spitzenkandidat aus Sachsen, der Herr Thomas Jurk, daher und verkündet, dass er über dem Grundgesetz steht, und das ja nicht für alle gelten könne.

Übrigens meinte das auch unser Verteidigungsminister beim Thema des Abschiessens von Passagierflugzeugen. Man würde sich schon einen Piloten suchen, der den Befehl ausführt. Dies verstößt aber gegen das Urteil des Verfassungsgerichts.

Gleichzeitig werden Milliarden in die Autoindustrie geblasen um vor der Wahl ein Strohfeuer zu entfachen, damit es ja nicht vor der Wahl zu einem Kollaps kommt. Was die Banken an Steuergeldern verbrannt haben, darüber möchte ich gar nicht erst nachdenken - aber schön, dass sie alle schon wieder Gewinn erwirtschaften und Boni zahlen können. Nun, die Manager haben ja auch erfolgreich neues Geld aquiriert - von daher, chapeau!

Aber was mich wirklich aufregt ist, wie dreist man belogen wird. Wieder und wieder aus dem Hause unserer Familienministerin Zensursula von der Leyen.

Diesmal blamiert sie uns zwar nicht bei den Indern, so dass es keine Entschuldigung an die Indische Botschaft geben muss, nein, diesmal vertritt sie die Meinung, dass man auch mal darüber nachdenken könne andere Inhalte im Internet ebenfalls zu verstoppschildern.

Getreu dem Motto was schert mich heut mein Geschwätz von Gestern. Toll!

Gleichzeitig frage ich mich immer wieder, was die ganzen Kinder eigentlich unbeaufsichtigt im Internet machen, die man hier in Chatrooms und Social Networks vor irgendwas schützen muss.

Immerhin lassen die Erziehungsberechtigten die Kinder hier mir einem Kriegsinstrument unbeaufsichtigt alleine!

Das Internet ist von Wissenschaftlern für die Wissenschaft ersonnen und später durch das Militär weiterentwickelt worden.

Aber im Ernst: Kann man wenn man unter 18 Jahre alt ist einen eigenen Internetanschluss bekommen? Geht das ohne volle Geschäftsfähigkeit? Nein? Ach! Wie also kommen die 8-12 Jährigen dann ins Internet - wer missachtet da seine Aufsichtspflicht?

freenode - fail

In seinem Blog berichtet Martin über freenode, und zeigt recht lustig, wieso man mit Wortfiltern nicht wirklich weit kommt, bei Zensur.

Auch wenn ich freenode sogar ein wenig verstehe, weil sich zuviele Scriptkids da draussen mit 'lustigen hostnamen' einen Schabernack erlauben. Sei's drum.

Auch einige Schulen haben da schon so ihre Erfahrungen, wenn sie das böse Wort Sex filtern, und sich die Schüler dann nicht mehr über die Laufbahn der Pädagogen informieren können, weil das Wort Staatsexamen leider auch geblockt wird.

Ich finde, Martin sollte freenode mal vorschlagen, den Hostnamen des irc-servers zu ändern. Wenn ich nach wolfe google, finde ich da recht eindeutige Verweise auf eine Filmproduktion namens wolfevideo. Ob das nicht zu obszön ist?

Internetfilterei

Es hat ja wirklich lange gedauert.

Nachdem Frau von der Leyen im Moment ganz massive Probleme damit hat, die Provider zur Unterschrift eines illegalen Vertrages zu überreden und selbst Frau Zypries da mittlerweile ganz heftige Bedenken hat, dass das mit noch geltendem Recht zu vereinbaren ist, kommt hier nun schon die nächste Forderung:

Web-Filter gegen 'Killerspiele'

Petke verlangte auch ein Verbot für Videospiele, die Gewalt verherrlichen. Allem Anschein nach seien die jugendlichen und heranwachsenden Amokläufer gleichzeitig Konsumenten dieser von Gewalt beherrschten Spiele. "Diese Machwerke gehören verboten." Das Verbot müsse auch im Internet durchgesetzt werden, wobei die betreffenden Dienstleister in der Pflicht stünden. "Die Zeit der Ausflüchte ist vorbei. Wir brauchen entsprechende Web-Filter, die von den Internet- Providern betrieben werden." Quelle: Heise-Newsticker.

Vielleicht sollte der Herr einfach mal nach China auswandern, da hat er dann sein wohlbehütetes kleines "Internet"

Das sind dieselben, die auch illegales Glücksspiel filtern wollen, eine Sendezeitbegrenzung für Erotikangebote im Internet durchsetzen (kein Scherz! Die gibt es! Nur in Deutschland!).

Vielleicht sollten wir das Internet einfach mal einen Tag lang komplett abschalten, sozusagen als Ausblick auf das maximal gefilterte Netz, damit er sieht, wie gefährlich es ist mit DNS und Routingtabellen rumzuspielen und ein ohnehin verdammt komplexes System noch instabiler zu machen.

Sven Petke ist übrigens exakt die Art von Politiker die ich nicht mag: Er ist ein Berufspolitiker. Er hat laut Vita auf seiner Webseite nicht ein einziges Mal ausserhalb der Politik gearbeitet. Nach dem Studium kam direkt ein Job im Ministerium und der Eintritt in die Partei.

Es ist übrigens DER Sven Petke...

ddos - Mittäter und Opfer (Update)

Tja, so kanns gehen. Eben noch rege ich mich darüber auf, dass mein Hoster manitu von einer ddos heimgesucht wird, schon darf ich feststellen, dass einer meiner Nameserver an einer anderen Distributed Denial of Service Attacke munter mitgewirkt hat. grmpf.

Aufgefallen ist mir das ganze per munin:

Okay, zwei/drei Anfragen pro Sekunde sind nicht viel, nur sieht man leider dadurch im Graphen den Rest nicht mehr. Ausserdem könnte der Angreifer ja auf die Idee kommen, auch mal mehr Requests zu schicken. Aber was will der eigentlich von mir - und wie ist er auf meinen Server gekommen?! Und zwei Anfragen - wo soll hier der DOS sein? Und warum fragt der ständig nach den Nameservern der '.'-Zone?

Was soll also der 'Mist'?

Des Rätsels Lösung: Natürlich bin ich nicht das Opfer, das war mir eigentlich klar, aber es ist fast noch schlimmer: Ich Mein Nameserver ist Mittäter und die scheinbaren Angreifer sind die tatsächlichen Opfer.

Jemand im Internet schickt gerade an massiv vielen Nameserver diese Anfragen mit gefälschtem Absender. Das Ergebnis: Nameserver die nicht ganz korrekt konfiguriert sind antworten dann freigiebig mit der Liste aller Root-Nameserver.

Bei wirklich großen Nameservern fallen diese Anfragen vermutlich nicht mal auf, weil sie im Hintergrundrauschen untergehen, so dass nur wenige Admins den Missbrauch ihrer Systeme überhaupt bemerken werden.

(Die Liste der Root-Nameserver gibt es hier oder beim Nameserver Eures Vertrauens per $ dig . NS @nameserver. )

Warum ist das nun ein Problem? Ganz einfach: der Angreifer schickt ein paket mit 40 bytes los, das Opfer erhält aber eine Antwort, die um ein vielfaches größer ist. Die Nameserver fungieren also als Verstärker des Angriffs. Schade eigentlich.

Selbst ein korrekt konfigurierter Nameserver, der die Anfrage ablehnt, antwortet noch mit der Ablehung, trägt also immernoch ein bischen zum DOS bei.

Gegenmassnahmen?

Es sind mehrere denkbar:

Einerseits haben die Anfragen alle denselben Inhalt und sind daher alle 40 byte groß. In 40 byte kann man auch sonst kaum eine sinnvolle Anfrage unterbringen, also kann man alles was per udp auf port 53 ankommt und weniger als 45 byte Größe hat blocken. Damit antwortet man sogar nicht mal mehr mit der Ablehnung und die Anfragen sind aus den logs. Man sollte nur seinen Provider und primäre/sekundäre Nameserver der eigenen Domains whitelisten, für den Fall, dass der Angreifer mal diese als neues Ziel definiert.

Dann könnte man ein rate-limit per IP einführen, so dass bei mehr als 20 Anfragen in 20 Sekunden der port 53 für diesen Host für einige Zeit gesperrt wird. Auch hier: Whitelisten nicht vergessen.

Oder man kann regelmässig seine Logs durchgehen, wer denn nun schon wieder soviele Anfragen produziert, und dann diese IP's für port 53 sperren.

Achja, und ganz wichtig: Das Secure BIND Template umsetzen und die default policy der BIND-Installation unter debian ändern, damit man auf die Anfragen nicht die Liste liefert² ;)

In dem Template werden übrigens Views für verschiedene Hostgruppen definiert. Sehr schick - und ich habe auch endlich welche in meinen Configs definiert. Wollte ich schon lange machen.

Damit kann man unterschiedlichen Hostgruppen per acl unterschiedlich antworten. Also z.B. allen hosts aus dem Firmennetz die privaten Adressen und Namen auflösen und mit demselben Nameserver von aussen diese Anfragen nicht erlauben oder eine komplett andere Antwort geben.

Damit könnte man auch mit einem einzigen Nameserver ein Wlan derart gestalten, dass alle noch nicht authentifizierten Benutzer auf die Anmeldeseite gelangen, wo sie einen vpn-Client herunterladen können und später - ohne Ändern der resolv.conf¹ - mit der IP die sie innerhalb des VPN's haben korrekte Namensauflösung vom Nameserver erhalten. (Aber das ist ein anderes Thema...)

---

¹ Es ist sehr eklig, denn der DHCP-Client im Wlan andere Nameserver einträgt, als der VPN-Tunnel braucht, dann kloppen sich DHCP-Client und VPN-Client nämlich schön darum, wem die resolv.conf gehört. Läuft die DHCP-Lease ab, trägt der DHCP-Client 'seine' DNS-Server ein und man landet wieder nur auf der Startseite für das WLAN mit dem Hinweis, man solle sein VPN aktivieren. Arrrgh.

² Einer meiner anderen Nameserver, der auf ein minimales gentoo aufsetzt, hat interessanterweise diese Anfragen von Anfang an refused, obwohl die Konfiguration nicht wesentlich von der auf dem debian abwich. Grummel.

---

Nachtrag: Wirksame Gegenmassnahme

Tja, auf die Einfachsten Dinge kommt man zum Schluss: Offenbar sehen die Anfragen ja immer identisch aus, also kann man einfach die Anfrage als solche blocken:

 iptables -I INPUT -i eth0 -p udp  --destination-port 53 \
       -m string --algo kmp --from 30 --hex-string "|010000010000000000000000020001|" -j DROP

und fertig ist die Laube... Ab Position 30 fängt der eigentliche Query an.

0100 - standard Query mit Recursion (1)
0001 - Eine einzelne Frage ist enthalten

Gegen Ende dann:

0002 - NS wird angefragt
0001 - Class IN

The superfluous first post

   Blog myblog = com.blogger.createBlog("superfluousandsparse");
   Post firstpost=new BlogPost();
   firstpost.setTitle("The superfluous first post");
   //TODO: Fix the recursion....
   firstblog.setContent("Blog myblog = com.blogger.createBlog(\"superfluousand....");
   myblog.publish(firstpost);