Server mit Migrationshintergrund

Dieser Post soll allen als Warnung dienen, die einen Rootserver gemietet haben. Es kann einem passieren, dass der Provider beschließt, daß die alte Hardware zuviel Strom frisst, und er die Server der Kunden virtualisieren möchte.

Zustimmung des Kunden

Ein normaler Provider würde dann einen Brief schreiben. Oder vielleicht auch eine Email. Dann auf Antwort warten, und wenn der Kunde sein OK gibt und vielleicht noch einen Terminwunsch äussern darf (nicht während der Produktpräsentation z.B.) wird die Migration durchgeführt oder auch nicht.

Alles andere ist eine einseitige Vertragsänderung die unmittelbar Sonderkündigungsrecht des Kunden zur Folge hat.

Handeln ohne Zustimmung?

Bei einem meiner Provider war das leider nicht so. Ich erhielt eine Email, in der man die neue Virtualisierungslösung anpries und dass man wegen Erneuerung von Hardware meinen Server gerne migrieren würde. Das ist für mich Konjunktiv.

Das Problem war nur, dass ich diese Email eine Woche lang nicht zur Kenntnis genommen habe, weil Thunderbird der Meinung war, sie nicht anzeigen zu müssen. Alles halb so schlimm, könnte man meinen, die Nachricht war ja im Konjunktiv, und kein vernünftiger Provider würde einen Kundenserver nehmen, runterfahren, die Festplatte ausbauen, die Daten kopieren, auf ein Storage mit den Daten aller anderen Kunden legen...

Nun, genau das hat dieser Provider aber getan. Er hat nicht auf eine Antwort gewartet und einfach mal so die Festplatte ausgebaut und in einer Stunde Downtime die Daten kopiert.

Gemerkt habe ich es, weil Nagios gemeckert hat, dass der Server down ist.

Als ich nach etwas Suchen dann feststellte, dass mir Thunderbird Mails unterschlägt, fand ich nach einem Index-Rebuild auch die Email, die auf diese Migration "hinwies", bzw. mich eigentlich darauf hinwies, dass man das gerne tun würde, dieses Migrieren

Was ist 'Ausspähen von Daten'?

Auf meine Email hin, dass ich hier einen Fall von "Ausspähen von Daten" sehe und nicht damit einverstanden bin, dass man einfach meine Daten kopiert, erhielt ich dann gegen 16:09 eine Email, in der man mich fragt, ob ich mit einer Rückmigration auf die alte Hardware einverstanden sei. Diesmal war das sogar als Frage formuliert!

Lernresistent? Könnte man meinen.

Ja, nur leider sehe ich im Syslog, dass der Server um 17:05 und 17:10 rebootet. Es wurde wieder keine Antwort abgewartet - diesmal nicht mal eine Stunde lang - und es wurde erneut ohne Absprache mit den Daten hantiert. Die gehosteten Webseiten waren damit mal wieder nicht erreichbar. Und der Nameserver und Mailserver auf der Kiste auch nicht.

Dieser Zustand wurde leider auch 3 Stunden lang nicht besser. Obwohl ssh irgendwann wieder ging. Des Rätsels Lösung: Sie haben beim Rückmigrieren das Routing verbockt. Nach einer Email an die Notfall-Hotline war das aber dann wenigstens in Rekordzeit behoben - unter 10 Minuten.

got root?

Ich habe nach diesem Vorfall unmittelbar einen anderen Hoster gesucht.

Der neue Server war schließlich am Mittwoch einsatzbereit, im Verlauf des Tages habe ich dann einiges an Domains umziehen dürfen, darunter diverse CMS-Systeme, den Mailserver und den Nameserver für eine zweistellige Zahl an Domains und alle Nutzer und Kunden über die neuen IPs bzw. Nameserver informieren müssen, damit sie ihre DNS-Zonen ggf. anpassen.

finally?

Zwischendurch habe ich dann noch Kontakt zu einem Anwalt aufgenommen, um mir die rechtliche Situation mal ein bisschen genauer darlegen zu lassen.

Nun, die Kündigung beim Provider folgt zum 01.12.2010 - der alte Server ist nun endgültig platt. Genullt. Ob der Provider noch eine Kopie der Daten irgenwo im Backup hat - wer weiss....

Ach, ich mag sie, die Fahrer von DHL...

nicht: Danke für das Foto, JonWon...

RANT: Wer darf heutzutage eigentlich Mailserver betreiben?

Mir platzt hier gleich die Hutschnur. Man ist mal eine Woche zum Entspannen (und wegen einer Tagung)) aufs Land gefahren, und dann ist man andauernd am Server fixen. Arrgh.

Ein Drama in drei Akten

Dass einer meiner Server am Sonntag (natürlich während des gemütlichen Abendessens bei der Familie) wegen zu wenig RAM ausstieg ist ja meine Schuld, aber was dann gestern und heute sonst noch passierte muss ich einfach mal loswerden.

1. Akt: Die Uni

Gestern Abend hatte die Uni Probleme. Ausnahmslos alle Emails wurden mit einem permanenten Fehler abgewiesen:

 ...
 host localhost [127.0.0.1]: 
   550-Mailbox unknown. Either there is no mailbox associated with this
   550-name or you do not have authorization to see it.
   550 5.1.1 User unknown

Das ist natürlich genial für Mailinglisten - von denen fliegt man dann in der Regel runter - aber auch, wenn man wie ich bei seinem Hoster diese Adresse angegeben hat (weil unabhängig von den Systemen die man dort hosted) und dann die Rechnung oder Trafficabrechnung einen User unknown rauswirft.

Natürlich war gestern der Monatserste und natürlich hat mein Hoster mir versucht an diesem Tag die Rechnung und die Trafficabrechnung zu schicken. Die Trafficabrechnung ist angekommen. Die Rechnung (noch?) nicht.

2. Akt: Der Ticketversender

Ich bin diese Woche weggefahren, weil ich am Donnerstag zu einer Tagung will. Dazu braucht man natürlich ein Ticket. Und wie bekommt man das? Richtig, über einen Dienstleister. Dazu meldet man sich dort an, bezahlt das Ticket und wartet auf das pdf mit dem Ticket.

Und wartet. Und wartet. Und schreibt eine Email an den Support.

Denn: zum Passwort ändern auf der Plattform muss man eine Email bestätigen, aber die kommt ebenfalls nicht an.

Nun bekam ich dann heute eine html-only Email, dass das Ticket nochmal versendet wurde. Aber es kam nicht an, dafür füllte sich mein Maillog:

postfix/smtp[18334]: connect to mail2.amiando.com[213.183.6.102]:25: Connection refused
postfix/smtpd[18137]: NOQUEUE: reject: RCPT from mail.amiando.com[195.71.125.161]: 
  450 4.1.7 <no-reply@mail.amiando.com>: Sender address rejected: unverified address:
      Address verification in progress; from=<no-reply@mail.amiando.com>
      to=<xxxxx@XXXXXXXXX> proto=ESMTP helo=<lnxp-1930.srv.mediaways.net>

Die HTML-Mail löste bei mir leichte Übelkeitsgefühle aus, aber als ich den Eintrag im maillog auswertete wurde mir irgendwie schlecht.

Diese Leute versenden Emails und wundern sich, dass sie als SPAM erkannt wird?

Fassen wir mal zusammen:

Die Email ist HTML-Only, die Absenderadresse existiert nicht, so dass sie bei Fehlzustellungen nichts davon bemerken - deren System wird es also immer wieder versuchen, an eine nicht-funktionierende Adresse von einer ebenfalls nicht-funktionierenden Adresse aus mails zu versenden. Damit macht man sich bei den postmastern, die diese Bounces bekommen, so richtig beliebt.

Dann meldet sich der Mailserver mit dem Namen lnxp-1930.srv.mediaways.net obwohl er laut DNS eigentlich mail.amiando.com heissen sollte. Noch ein SPAM-Kriterium.

Und zur Kröhnung schreiben sie einen Mailserver in ihre Zone, dessen SMTP-Port Verbindungen ablehnt.

3. Akt: Services die verbinden...

Mit dem Spruch wirbt eine andere Firma für ihre Dienste. Leider scheint es damit nich so weit her zu sein. Ich bekomme hier jedenfalls Emails von der Adresse www-data@int3.web.int.fra.privatnetz.org

Mein Mailserver scheitert dann laut syslog aber daran, wenn er versucht mails an die IP 10.1.1.100 zuzustellen.

Die haben doch allerernstes sowohl hostnamen mit privaten IPs in ihrem DNS, als auch MX-Records die auf private IPs zeigen! Stümper! Das ist 'pollution of the public namespace' was den DNS angeht und auch sonst einfach nur kaputt.

Und dann wundern sich Leute, warum ich NAT und Masquerading hasse!

Das Ergebnis ist dasselbe wie oben: Sie werden niemals Fehlermeldungen erhalten und vielfach als SPAMMER erkannt werden.

Fazit

Ich frage mich langsam echt, ob wir einen Internet-Führerschein brauchen - für Diensteanbieter!

bzip2 vs. gzip und gvfs im Allgemeinen

Eben bin ich mal wieder über einige Kleinigkeiten gestolpert, die einfach nur ärgerlich sind.

Ein paar wirklich kleine Bugs, aber trotzdem unendlich nervig!

Gnome bindet Samba-Freigaben (also Windows-Freigaben) innerhalb des virtuellen Dateisystems ~/.gvfs innerhalb des Homes des Nutzers ein. Soweit so gut.

Erster Akt: Zugriff!

Man könnte ja annehmen, dass Gnome dann auch transparent Zugriff darauf erlaubt. Wenn ich ein Terminal starte, kann ich in das Verzeichnis wechseln und mit normalen Kommandozeilentools auf die Freigaben schreiben. Alles toll.

Aber in Gnome tauchen diese Freigaben im normalen Datei-öffnen Dialog nicht auf. Entsprechend auch nicht in Firefox, Galeon, Epiphany. Wie soll denn ein Endnutzer jetzt auf einfache Weise einen Download auf dem Share speichern? Vielleicht übersehe ich auch was, aber sowas ist einfach nur ärgerlich. Nicht nur weil das unter Windows ohne Probleme funktioniert.

Navigiert man manuell nach ~/.gvfs/ klappt es aber...

Zweiter Akt: Verknüpfungen

Wer es aus Windows kennt, versucht es auch unter Linux. Hat man nach viel Suchen die richtige Freigabe auf dem richtigen Server gefunden, zieht man die Freigabe aus der Netzwerkumgebung auf den Desktop und hat fortan eine Verknüpfung mit dem Share, die beim Doppelklick wiederhergestellt wird.

Nicht so bei unserem Lieblingsfrickelbetriebssystem mit Gnome. Zuerst beschwert es sich, dass die Freigabe kein normaler Ordner ist. Ach! Dann legt es auf dem Desktop einen leeren Ordner mit dem Namen der Freigabe an. Toll! Wie soll denn ein Endbenutzer jetzt auf die Idee kommen, dass alles was er in diesem Ordner speichert eben nicht auf dem Server landet?!

Nun gut, versuchen wir Rechtsklick auf den Freigabenamen in der Netzwerkumgebung, dann Verknüpfung erstellen. Ooops. Ich habe auf der obersten Ebene des Servers ja keine Schreibrechte, also Fehlerdialog, Verknüpfung kann nicht angelegt werden. Leider erfolgt auch keine Möglichkeit wie bei Windows (sic!) die Verknüpfung statt dessen direkt und automatisch auf dem Desktop anlegen zu lassen. Ergo: Verknüpfungen erzeugt man manuell, indem man einen Starter mit dem Ziel nautilus smb://server/ anlegt.

Wie soll denn ein Endbenutzer....

Wenn man viel Glück hat geht das auch meistens. Oft habe ich aber wie unter Windows nur leere Servereinträge, bekomme skurrile dbus-Fehlermeldungen, kann das Netzwerk nicht durchsuchen, etc. Ja, iptables ist leer und auf ACCEPT.

Dritter Akt: Auf der Kommandozeile ist alles besser?

Nein, nicht wirklich.

Bei dem Gnomefs ist z.B. die Funktion fchmod nicht implementiert. Und das führt zu unnötigen Fehlern.

Situation: Auf dem Share liegt eine Datei, die wir komprimieren wollen.

Also Kommandozeile, cd ~/.gvfs/sharename ; bzip2 file - und wir bekommen einen netten IO-Error um die Ohren gehauen. Vorher hat bzip2 das File übrigens ordnungsgemäß komprimiert. Komplett. Und wieder aufs Share geschrieben. Dann gelöscht.

Das gleiche Experiment mit gzip: Es wird auch ein Fehler geworfen, das File wird aber korrekt abgelegt und die Quelle gelöscht.

Welches Verhalten ist nun besser? gzip, der die Rechte nicht setzt und dem es egal ist, oder bzip2, dass die Datei einmal übers Netz zieht, komprimiert, schreibt und zurücksendet und dann löscht?

Was mich aber am meisten wundert: warum wird das fchmod erst NACH dem Schreiben der Nutzdaten gemacht?

Die Krönung des ganzen: Der Mode, den bzip2 hier übergeben will, unterscheidet sich nicht vom Mode, den die Datei auch so schon hat, wenn sie neu angelegt wird -.-

Fazit: Alle doof außer Mutti!

Erinnert mich irgendwie an George Orwell...

„Bei allem Positiven, das die Online-Welt bietet, wird das Internet zunehmend als Medium für die Vorbereitung und die Ausführung abweichenden Verhaltens, bis hin zur Durchführung krimineller Taten genutzt.“

Das obige Zitat stammt nicht etwa aus einem Roman wie 1984 sondern aus einer offiziellen Pressemitteilung des BDK - des Bund Deutscher Kriminalbeamter.

Ich finde solche Gedankengänge jedenfalls sehr verstörend. Demnächst dann: Wer sich abweichend verhält, wird einstweilig erschossen... Hatten wir so etwas ähnliches nicht schon einmal?

Auch aufschlussreich ist das Folgende:

„Aufgrund ungefilterter Internetzugänge sind aber auch Inhalte wie Pornographie, Pädophilie, Islamismus, Rechts- und Linksextremismus, Terror und vieles mehr für Kinder und Jugendliche frei verfügbar.“

Nun, Kinder und Jugendliche haben auch ungefiltert Zugriff auf die Zigaretten und den Alkohol im elterlichen Haus. Sogar an Küchenmesser und Äxte kommen sie. Man könnte noch diverse andere Gefahren aufzählen, bis zum Fremden im Park der sie belästigt oder entführt. Trotzdem fordert niemand, dass der Staat jedem Heranwachsenden einen Streifenpolizisten zur Seite stellt, der aufpasst, dass die Eltern nichts falsch machen. Es ist verdammt nochmal die Verantwortung der Erziehungsberechtigten, dafür zu sorgen, dass Kinder eben nicht vor dem Computer geparkt werden. Aufgabe der Schule sollte es sein, Medienkompetenz zu vermitteln.

Sehe nur ich das so, dass es bedenklich ist, wenn der Staat sich in die Erziehung der Kinder einmischt und sich zur Aufgabe macht, diese vor allem zu schützen, was seiner Meinung nach schädlich ist?

Gleichzeitig soll hier die Internetzensur wohl mal wieder zum Schutz der Kinder salonfähig gemacht werden. Wenn man einen ungefilterten Zugang vom Provider haben will, kann man das vermutlich bekommen. Aber ich vermute, das traut sich dann keiner, weil oben genannte Dinge will er ja ohnehin nicht abrufen - sich verdächtig machen erst recht nicht.

In diesem Sinne werde ich mich jetzt weiter abweichend verhalten und mit meinem abweichenden Betriebssystem diesen Post beenden und nachher abweichend von der Mehrheit mit dem Rad in die Uni fahren...

easyjet: was kann man alles falsch machen?

Eine Bekannte schrieb mir, beim Buchen von Flügen per easyJet kämen Zertifikatsfehler. Was das denn zu bedeuten habe?

Das Zertifikat für https://www.easyjet.de ist nur für www.easyjet.com gültig. Nungut, kann passieren. Versuchen wir denen das mal zu sagen... Pustekuchen. Ein Kontaktformular haben die auf ihrer Seite gar nicht. Najaah, schauen wir mal im whois, da wird doch - nein, Fehlanzeige, keine Telefonnummern oder Emailadressen im whois. Nur eine Postadresse in London. Hach, raten wir ne mailadresse per telnet auf port 25:

$ dig mx easyjet.de +short
10 mxhost-2.vi.net.
5 mxhost-1.vi.net.

los gehts:

$ nc mxhost-1.vi.net  25
220 mxhost-1.vi.net ESMTP Postfix
HELO mail.xxxxxxxxxxx.net
250 mxhost-1.vi.net
MAIL FROM: <postmaster@xxxxxxxxxxx.net>
250 2.1.0 Ok
RCPT TO: <webmaster@easyjet.de>
554 5.7.1 <webmaster@easyjet.de>: Relay access denied

wat?! Der für die Domain zuständige MTA weigert sich dorthin zu relayen?

Dann kann und will ich ihnen auch nicht mehr helfen...

Die betreiben da unter easyjet.de Flugbuchungen, aber weder ihr SSL-Zertifikat funktioniert, noch ihr Mailsystem?! Super!

Aber das passt zu den Buchungsmails die sie verschicken. Multipart mit text und html-Teil. Aber: Der Text-Teil ist komplett leer, im html-Teil stehen dann die Buchungsdaten.

Demokratie in Deutschland...

"Ein unkontrolliertes, geheimes Gremium erstellt unter umgehung aller Gewaltenteilung und aushebelung der Unschuldsvermutung, nur stichprobenartig kontrollierte geheime Listen von geheimen Seiten, die mittels eines geheimen Verfahrens umgesetzt werden. Kontrolle ist illegal, Bekanntmachen ist illegal, umgehen zur Kontrolle ist illegal. Danach fragen macht verdächtig, versehentlicht darauf landen macht verdächtig, dagegen sein macht verdächtig." Quelle: Heise-Forum

Natürlich ist das Gesetz keine Zensur, noch nicht, weil noch werden angeblich nur illegale Inhalte gefiltert. Eine umfassende Kontrolle findet jedoch nicht statt, und wer sagt denn, dass die Liste, die das BKA an die Kontrollorgane weitergibt, identisch mit der ist, die an die Provider geschickt wird. Immerhin ist es vorgesehen, dass die Liste sich alle paar Stunden ändern kann. Da hat man halt kurz nach dem Versenden an die Kontrollorgane die Liste schon wieder geändert und sich leider in der Version vertan

Aber in Deutschland ist ja auch mittlerweile normal, dass im Parlament Aussprachen nur noch schriftlich stattfinden, ohne dass die Redebeiträge gehalten werden. Wenn es dann doch mal sogenannte Debatten gibt, finden diese auch mal nachts um halb vier statt, und ein Agrarausschuss entscheidet über IT-Themen.

Der einzelne Parlamentarier fühlt sich dem Fraktionszwang verpflichtet und stimmt dann auch mal "mit Bauchschmerzen" für ein Gesetz, dass er für falsch hält. Danach hat der Parlamentatier auch noch die Stirn, dies zu sagen, verbunden damit, er gehe ja ohnehin davon aus, dass das Bundesverfassungsgericht das Gesetz stoppt.

Dann haben wir noch eine spezielle Ministerin, die von ihr selbst in Auftrag gegebene Gutachten als "unterirdisch" bezeichnet und dieses sowie alle Experten schlicht ignoriert.

Andere Minister vergeben den Auftrag Gesetze zu machen dafür gleich ganz an ausländische Anwaltkanzleien oder haben in ihrem Ministerium Angestellte, mit eigenem Büro, die von der Industrie bezahlt werden und an den Gesetzen mitarbeiten, die dann für diese Industrie gelten. Natürlich nur, um den Sachverstand zu nutzen, den diese mitbringen, und einen lebendigen Austausch zwischen Wirtschaft und Politik zu ermöglichen.

Fazit: Ich fühle mich jedenfalls derzeit verkauft und verraten von diesen sogenannten Volksvertretern und werde meine Kreuze entsprechend setzen.

Andererseits: Vielleicht habe ich das auch nur falsch verstanden, Staubsaugervertreter setzen sich ja auch nicht für die Rechte von Staubsaugern ein...

Zwischenruf und Nachdenkliches zum Urlaub

Bevor es ein paar Tage Urlaub gibt, sind mir doch noch ein paar Dinge über den Schirm gelaufen, die mich beschäftigen.

Zum Einen der Zwischenruf von Hans-Ulrich Jörges im Stern.

Er spricht mir in so vielen Punkten aus der Seele. Wenn ich mir ansehe, dass in diesem Land Gesetze nicht mehr im Parlament verhandelt, sondern dort lediglich noch die Reden schriftlich zu Protokoll gegeben werden, wenn ich höre, dass man der Fraktionsdisziplin wegen für das Gesetz stimmt, aber nur mit Bauchschmerzen, aber man ja ohnehin davon ausgeht, dass das Verfassungsgericht das Gesetz für nichtig erklärt - da frage ich mich schon, was aus unserer Demokratie geworden ist.

Dann kommt auch noch ein so genanannter Spitzenkandidat aus Sachsen, der Herr Thomas Jurk, daher und verkündet, dass er über dem Grundgesetz steht, und das ja nicht für alle gelten könne.

Übrigens meinte das auch unser Verteidigungsminister beim Thema des Abschiessens von Passagierflugzeugen. Man würde sich schon einen Piloten suchen, der den Befehl ausführt. Dies verstößt aber gegen das Urteil des Verfassungsgerichts.

Gleichzeitig werden Milliarden in die Autoindustrie geblasen um vor der Wahl ein Strohfeuer zu entfachen, damit es ja nicht vor der Wahl zu einem Kollaps kommt. Was die Banken an Steuergeldern verbrannt haben, darüber möchte ich gar nicht erst nachdenken - aber schön, dass sie alle schon wieder Gewinn erwirtschaften und Boni zahlen können. Nun, die Manager haben ja auch erfolgreich neues Geld aquiriert - von daher, chapeau!

Aber was mich wirklich aufregt ist, wie dreist man belogen wird. Wieder und wieder aus dem Hause unserer Familienministerin Zensursula von der Leyen.

Diesmal blamiert sie uns zwar nicht bei den Indern, so dass es keine Entschuldigung an die Indische Botschaft geben muss, nein, diesmal vertritt sie die Meinung, dass man auch mal darüber nachdenken könne andere Inhalte im Internet ebenfalls zu verstoppschildern.

Getreu dem Motto was schert mich heut mein Geschwätz von Gestern. Toll!

Gleichzeitig frage ich mich immer wieder, was die ganzen Kinder eigentlich unbeaufsichtigt im Internet machen, die man hier in Chatrooms und Social Networks vor irgendwas schützen muss.

Immerhin lassen die Erziehungsberechtigten die Kinder hier mir einem Kriegsinstrument unbeaufsichtigt alleine!

Das Internet ist von Wissenschaftlern für die Wissenschaft ersonnen und später durch das Militär weiterentwickelt worden.

Aber im Ernst: Kann man wenn man unter 18 Jahre alt ist einen eigenen Internetanschluss bekommen? Geht das ohne volle Geschäftsfähigkeit? Nein? Ach! Wie also kommen die 8-12 Jährigen dann ins Internet - wer missachtet da seine Aufsichtspflicht?