|
Samstag, 29. September 2007
Ja, ich bekenne, ich benutze für diesen Server gern automatische Updates. Das hat Vor- aber natürlich auch Nachteile.
Die Vorteile liegen auf der Hand: Sofern der dem Auto-Update zugrundeliegende Diensteanbieter ordentlich arbeitet, hat man so immer ein gepatchtes System, und damit eine weit geringere Anfälligkeit für böse Buben, und das, ohne sich darüber große Gedanken zu machen. Man spart einfach eine Menge Zeit, die ich als Familienvater, Netzwerkadministrator und Rollenspieler gut woanders brauchen kann.
Der Nachteil, den man (hüstel) heute morgen auch hier begutachten konnte, ist, dass die Dienststabilität nicht unbedingt so hoch ist wie bei regelmäßigen manuellen Updates.
Was ist heute morgen hier geschehen? Nun, mein automatisches Update gradete die Mysql-Installation up. ("Gradete up" - ist das ein deutsches Wort? Jetzt schon.) Dies führte aus Gründen, die sich der Ratio wahrscheinlich nur auf Umwegen erschließen, dazu, dass ein Verzeichnis umbenannt wurde, in das mysql gern mal schreibt, nämlich mein bisheriges tmpdir.
Folglich konnte mysql nicht tun, was es wollte, nämlich in das tmpdir schreiben (klar, das existierte schließlich nicht mehr unter diesem Namen), und das Blog sah für beinahe 8 Stunden etwas, nun, wenig aussagekräftig aus. Bis ich es dann bemerkte.
Das kann eben passieren, wenn man Automaten alles überlässt. Vernetztes Denken liegt ihnen nicht, und wenn die Menschen hinter dem Autoupdate Fehler begehen (was, wie gesehen, eben vorkommt), dann braucht es einen Menschen vorne, der den Server wieder zum Rennen bringt.
Für Server, die richtig Geld verdienen sollen, würde ich Autoupdates aus genau diesem Grund nur dann empfehlen, wenn ein Admin für jeden Updatevorgang zu teuer ist - aber für meinen eigenen ist diese Minderung der Stabilität ein Preis, den ich für die Zeitersparnis zu zahlen bereit bin.
Dienstag, 25. September 2007
(Den Titel dieses Blogeintrags stelle man sich von Freddy Mercury gesungen vor.)
Heute ist etwas seltsames geschehen. Zum ersten Mal, seit ich diesen Server betreibe, hat es einen unerklärlichen Crash gegeben. Um 11:30:47 fiel das System einfach aus, und konnte von mir auch mit dem Strato-Serverkonfigurationsinterface nicht wieder reanimiert werden. Letzten Endes half nur, die Mitarbeiter des Rechenzentrums in Karlsruhe zu bitten, das Problem lokal zu lösen - was ich bereits um 12:30, als ich das Problem bemerkte, tat.
Auf eine Rückantwort warte ich noch, aber insgesamt hat der Ausfall offenbar fast 5 Stunden (von 11:30 bis 16:13) gedauert.
Ich bin ja mit Strato im Allgemeinen recht zufrieden, aber das war dann doch sehr langwierig... ich bin jedenfalls gespannt auf die Ursache.
Update:
Ich erhielt folgende total aussagekräftige Email:
Sehr geehrter Herr Heinscher,
wir mchten Sie mit dieser E-Mail ber den Bearbeitungsstand Ihres Troubleticket informieren.
Ihr Server wurde berprft und der Fehler beim Booten behoben. Sie knnen Ihren Server nun wieder wie gewohnt nutzen.
Der Server ist im Normalmodus erreichbar. Sie knnen nun wieder mit Ihren Zugangsdaten auf den Server zugreifen.
Bitte entschuldigen Sie die Verzgerung.
Fr weitere Fragen stehen wir Ihnen selbstverstndlich gerne zur Verfgung.
Aus organisatorischen Grnden ist auf diese Nachricht keine direkte Rckantwort mglich. Sofern Sie uns antworten mchten, verwenden Sie bitte das Kontaktformular unter der Adresse http://www.strato.de/full/kontakt. Vielen Dank fr Ihr Verstndnis.
Mit freundlichen Gren
E. Kaiser
Customer Care
Naja. Was will man für €8,90 im Monat erwarten.
Freitag, 21. September 2007
Folgende Maßnahmen würde ich beim Aufbau eines Netzes niemals empfehlen:
- Zuweisungen von Zugriffsrechten anhand von Adressbereichen innerhalb der selben DMZ (das ist nun wirklich leicht auszuhebeln, man weist sich als böser Bube einfach eine andere IP zu).
- Von außen erreichbare Server in "inneren" DMZ's (im Gegensatz zu einer DMZ im Grenzbereich zum "Außen").
- Mehr als zwei Paketfilter zwischen zwei beliebigen eigenen Netzen.
- Routing-Konstrukte, die für das stabile Funktionieren erfordern, dass man Änderungen immer an mehr als einem Ort zugleich durchführen muss, um asymmetrisches Routing zu vermeiden (irgendwer vergisst so etwas immer, und dann hat man wieder gesunkene Stabilität).
Mir fiele sicher noch sehr viel mehr ein, aber irgendwie war mir danach, ausgerechnet diese Punkte aufzuschreiben... 
Schönes Wochenende, liebe Leser!
Mittwoch, 19. September 2007
Christian hatte gestern noch eine Idee, wie man dem bekannten Regelwerkwachstumsphänomen ein wenig Einhalt gebieten könnte:
Jede Paketfilterregel die etwas erlaubt, merkt sich, wie häufig es tatsächlich benutzt wird. Wird es für sagen wir mal zwei Wochen nicht benutzt, wird die Regel inaktiv geschaltet und zur Löschung vorgemerkt. Wird das Fehlen für einen Monat nicht bemerkt, wird die Regel komplett aus der laufenden Konfiguration genommen und abschliessend dem Admin zwecks Archivierung per Email zugesandt.
Diese Idee hat natürlich einen gewissen Reiz. Mit frei konfigurierbaren Timern für "inaktiv schalten" und "endgültig entfernen" würde das ein bekanntes Problem relativ zuverlässig lösen. Andererseits erhöht so ein Mechanismus wiederum die Komplexität des Subsystems "Firewall", wenn auch nur wenig.
Nach dem Lesen von Christians Beitrag fiel mir ein, wie man das mit - zum Beispiel - einer Cisco PIX oder ASA und unter Verwendung eines Unix- oder Linux-Servers (den man ja für den Betrieb zum Beispiel eines Nagios sowieso braucht) schon heute zumindest teilweise realisieren könnte. Man bräuchte im Grunde nur ein Login-Skript verfassen, welches eben jene Schritte ausführt, und zwar mittels eines einfachen regelmäßigen
show access-list | include (hitcnt=0)
clear access-list NAME counters
Auf dem das Skript ausführenden Server ließe sich eine Datenbank (oder auch eine einfache Textdatei; die heutzutage überhand nehmende Vorliebe, auf jedes Problem ohne Rücksicht auf Verluste mit einer relationalen Datenbank zu schießen, teile ich nicht) führen, welche die Veränderung dieser Ausgabe über die letzten n Male dokumentiert und vergleicht - kommt ein Eintrag dann zu oft und ununterbrochen in der Liste vor, erfolgt ein Hinweis an die Administratoren, sowie das Setzen eines Flags. Ändert sich dann nichts, wird die betreffende Regel schließlich entfernt, wie von Christian vorgeschlagen.
Oder zumindest wäre das so einfach, wenn nicht, seufz, die Ausgabe von "show access-list" sich von der Ausgabe eines "show running-config | include access-list" so nervtötend unterscheiden würde, sobald man Gruppen auf seiner Pix oder ASA benutzt (also praktisch immer)... unter Berücksichtigung dieser Tatsache müsste man das Skript schon um die vollständigen Ausgaben von "show access-list" und "show running-config | include access-list" erweitern und es diese Daten umständlich vergleichen lassen. Was wiederum genug Arbeit wäre, um die Realisierung des Ganzen in weitere Ferne rücken zu lassen. Erstmal.
Dienstag, 18. September 2007
Zum Netzwerkdesign gibt es wohl fast mehr Philosophien als zu beinahe jeder anderen Frage (außer vielleicht der einen nach dem Leben, dem Universum und dem ganzen Rest). Das ist im Grunde sehr verwunderlich, da die Technik, so vielseitig sie auch sein mag, im Kern so komplex nun auch wieder nicht ist. Trotzdem kommt es immer wieder vor, dass zwei gegebene Netzwerkadministratoren höchst unterschiedliche Auffassungen darüber haben, wie ein zu einer gegebenen Aufgabenstellung passendes Netzwerk aussehen soll. Wie das kommt, ist bestimmt ein interessantes Thema, aber heute nicht meins. Ich will mich hier darauf beschränken, meine eigene Philosophie darzulegen.
Im Grunde lassen sich meiner Meinung nach die Anforderungen an ein gegebenes Computernetzwerk folgendermaßen zusammenfassen:
"Netzwerkdesignphilosophie" vollständig lesen
Sonntag, 16. September 2007
Herr Greenspan hat enthüllt, dass es beim Irak-Krieg um den amerikanischen Zugriff auf das irakische Öl ging. Man rechnet gar mit tumultartigen Szenen in Washington.
Das ist eine schockierende Nachricht, die uns alle aufs Tiefste unvorbereitet trifft. Nicht wahr.
Sonntag, 16. September 2007
Ich bin ja einer von diesen Leuten, die proprietärer (im Gegensatz zu freier, also kostenloser, quellcodeoffener) Software nicht viel abgewinnen können, was sicher zum Teil auch ideologische Gründe haben mag. Aber es gibt Erfahrungen, die lassen das auch fachlich angeraten erscheinen.
Cisco Secure ACS ist ein Produkt von Cisco, dass einen kombinierten TACACS- und RADIUS-Server sowie ein Webinterface zu Verwaltung von Benutzeraccounts beinhaltet. Ich hatte kürzlich Gelegenheit, eine größere der Absonderlichkeiten eben jenes Webinterfaces bei der Version 3.3.4.12 für Windows kennen zu lernen. Und das kam so:
Alles begann mit einem lange fälligen Update von 3.1.
"Absurditäten mit Cisco Secure ACS" vollständig lesen
Dienstag, 11. September 2007
Marnems Sicht der Dinge schreibt etwas, das mir schon an vielen Menschen aufgefallen ist, die von ihrer Wahrnehmung des 11. September 2001 erzählen:
Ich konnte nicht weinen. Ich war entsetzt. Ich wusste, die Welt würde nun eine andere sein.
Wie gesagt, Marnem ist nicht der Einzige mit solch einer Wahrnehmung, bei weitem nicht. Ich finde das höchst merkwürdig. Was war denn geschehen?
Ein paar Irre hatten Flugzeuge erobert und sie in ein paar Gebäude gestürzt, dabei sich selbst und die Leben von etwas mehr als 3.000 Artgenossen ausgelöscht und sich dabei möglicherweise eingebildet, sie hätten den Islam verstanden.
Ja, das ist tragisch und traurig, und ein Verbrechen.
Aber was bitte ist denn daran besonders? Habt ihr alle keine Menschheitsgeschichte gelesen? Habt ihr nicht begriffen, was das heisst, "Welt-Krieg"?!? 3.000 Tote, ach Gottchen. Das schlürfen all die vergangenen (und teilweise fast gegenwärtigen) Massenmörder dieser Welt zur Mittagspause. Und davon soll die Welt plötzlich eine andere sein?
Gut, das andere war ja alles nur Geschichte, das könnte schon recht abstrakt sein, und womöglich wurdet Ihr erst durch die Live-Fernsehbilder sensibilisiert, mag ja sein. Aber es ist ja nicht so, als sei seit dem die Zeit stehen geblieben!
Besitzt Ihr nicht genug Vorstellungskraft, Euch auch nur eine Sekunde lang auszumalen, was das Tsunamibeben von 2004 mit seinen 230.000 Toten im Vergleich dazu unter unseren Artgenossen angerichtet hat?!? Was es heisst, wenn die amerikanischen Reaktionen auf jene ach so außergewöhnlichen Taten bereits zehnmal so viele Leute umgebracht haben (und das sind noch die allerfreundlichsten Schätzungen)?
Für mich mutet dieses, man verzeihe mir die direkten Worte, Gefasel von den ach so außergewöhnlichen Anschlägen geradezu wie eine Verhöhnung all der anderen Toten an. Bitte, achtet die vielen anderen Opfer der Weltgeschichte etwas mehr. Setzt sie nicht durch unpassende Superlative herab. Sie haben wenigstens das verdient.
Montag, 10. September 2007
Wir stellen fest: Die CDU/CSU ist nur noch für eingefleischte Katholiken wählbar (also auch nicht für Herrn Beckstein).
Nichts gegen Katholiken, das sind größtenteils anständige Leute. Doch so eine dümmliche Provokation muss doch nun wirklich nicht sein, Herr Pofalla.
Telepolis schreibt dazu ganz brauchbares, finde ich.
Montag, 10. September 2007
Vor einiger Zeit hatte ich über eine vornehmlich neue, aber einfache Idee zur Effizienzsteigerung von Solarzellen geschrieben.
Nun erfahre ich aus einer Fachzeitschrift, die mir meine Eltern nach der Lektüre überließen, dass sowas ganz und gar nicht neu oder spektakulär ist: Es gibt sogar schon jede Menge marktreife Produkte... Auch hier.
Natürlich, ich fand die Idee ja auch im Rückblick offensichtlich. Andere offenbar nicht nur im Rückblick. 
Donnerstag, 6. September 2007
Soso, Herr Beckstein. Sie wollen also Konvertiten zum Islam überprüfen, um Terroristen zu identifizieren. Irgendwelche Sorgen vor einer "Islamisierung" Deutschlands spielen selbstverständlich keine Rolle dabei.
Nun, lieber Herr Beckstein, ich kann mir nicht helfen, aber vielleicht wäre das damals, vor 1500 Jahren, als in diesen Landstrich das letzte Mal so ein neumodischer Kram von Religion importiert wurde, auch eine ganz, ganz tolle Idee gewesen.
Stellen Sie sich das mal vor: Da werden irgendwelche Stinkstiefel einfach Christ, anstatt den (zugegeben, blutrünstigen und auch sonst irgendwie unsympathischen) Göttern der Altvorderen zu huldigen. Und es werden immer mehr! Was tun die Stammesoberen, der Logik des Herrn Beckstein folgend? Genau. Sie überprüfen jeden Konvertiten, ob er womöglich gefährlich ist. Nur der Sicherheit wegen. Wer weiß, was solche finsteren fremdländischen Monotheisten im Schilde führen! Auf diese Weise wird der neue Glaube in eine etwas unsympathische Ecke gedrängt, und die Veränderung der einheimischen Kultur durch so eine extrem fremdartige Religion wird verhindert. Es gelingt, die gekreuzte Gefahr zu bannen. Na gut, wir haben dann weiterhin jeden Frühling Menschenopfer, aber das ist ja freiwillig und sowieso alter Brauch und daher für Konservative akzeptabel.
Die Idee ist aber auch nur deshalb sympathisch, weil es dann wahrscheinlich keine CSU gäbe.
Wohin sich, lieber Herr Beckstein, die Kultur unseres Landes entwickelt, vermag niemand zu sagen. Ich hoffe ja, es werden irgendwann alle vernünftig und daher Atheisten, aber wer stattdessen Hindu, Moslem, Christ, Shintoist oder Jude werden oder bleiben will, der hat meinen Segen, auch wenn ihn der wahrscheinlich eher nicht so interessiert. Und wenn meine Kinder und Kindeskinder eines Tages alle Moslems geworden sein sollten, dann wäre das okay so. Veränderung wäre okay. Das wäre nämlich nichts neues, und auch kein Endzustand.
Es mag ja sein, dass ein paar Irre sich Moslems nennen und gefährlich sind. Gefährliche irre Christen gab es aber auch, und wirklich nicht wenige. Deswegen setze ich Euch aber trotzdem keinem Generalverdacht aus. Bitte, seien Sie doch so nett und tun Sie anderen den gleichen Gefallen.
Und wenn Sie wieder mal eine ganz, ganz tolle Idee haben: Halten Sie den Mund, bevor Sie das mit drei normalen Menschen im kleinsten und vertraulichen Kreis besprochen haben, von denen besser mindestens einer kein Unionsmitglied sein sollte.
Dienstag, 4. September 2007
Die Times schreibt, dass es dem Herrn Bush doch Ernst ist mit dem Angriff auf den Iran. Warum nur kann ich das nicht unglaubwürdig finden?
Seufz. Also schlimm. Nehmen wir es als wahrscheinlichen Fakt hin, dass es einen US-Angriff auf den Iran geben wird, und dass es bis dahin nur noch wenige Monate dauern wird. Was heisst das konkret für uns Mitteleuropäer?
Zunächst mal wird dann der Ölpreis diesen Winter wahrscheinlich über 100 Dollar pro Barrel kosten. Wer schlau ist, deckt sich noch mal ein. Ich bin offenbar nicht schlau, sondern faul. (Und ich habe eine Gasheizung und fahre ein sparsames Auto.) Wenn wir Glück haben, wird es eine üble Konjunkturdelle geben, haben wir jedoch Pech, kriegen wir eine (hoffentlich kurze) Rezession, autofreie Sonntage und dergleichen.
Dann wird der Iran übel verwüstet werden, aber, anders als der Irak 1991, durchaus richtig echt zurückschießen. Mit Glück werden sie der Welt vorführen, dass auch ein US-Flugzeugträger nicht unverwundbar ist, womöglich gar einen im arabischen Meer versenken, wo er dann in 2000 Metern Tiefe vor sich hin leuchtet. Einige Tausend Seeleute der US Navy finden in diesem Fall wahrscheinlich den Tod. Haben die Iraner allerdings Pech und sind überraschenderweise überrascht, dann sind die Toten ganz auf ihrer Seite. Wahrscheinlich wird diese erste Phase der Auseinandersetzung irgendwo dazwischen stattfinden, mit viel zu vielen jämmerlich verreckten Artgenossen auf beiden Seiten.
Dann werden Landstriche im Iran mehr oder weniger unbewohnbar werden, wenn die Reaktoren, die angeblich der Stein des Anstoßes sein sollen, zerstört sind.
Und dann beginnt der Krieg im Mittleren Osten, der wahrscheinlich entweder in der Einführung der Wehrpflicht in den USA mündet oder mit einer amerikanischen Niederlage und einem dann hastigen Rückzug aus der Region endet. Eine Million Menschen könnten dabei verloren gehen, wenn wir Glück haben, "nur" hunderttausend, die meisten davon keine Amerikaner. Aber den Schlag einfach hinnehmen werden die Iraner ganz sicher nicht. Nicht unter Ahmadinedschadh.
Außerdem wird unsere Bundesregierung möglicherweise erwägen, Herrn Bush in irgend einer Form behilflich zu sein, dabei gegen das Grundgesetz verstoßen und dafür natürlich nicht zur Rechenschaft gezogen werden, weil es der Bundesanwaltschaft wieder einmal gefallen wird, nicht zu ermitteln oder dem Bundesverfassungsgericht, wieder einmal eine Hirnverrenkung hinzulegen, die den Wortlaut der Verfassung gegen ihren Geist auszulegen erlaubt. Die Amerikaner werden also, wie schon 2003, unseren Luftraum und Basen in unserem Land für ihre Aggression benutzen, und unsere logistische Hilfe wo es nur geht erhalten. Wenn wir Glück haben, wird der Iran das Völkerrecht nicht so eng auslegen und uns trotzdem nicht als Kriegsgegner betrachten. Aber verlassen würde ich mich darauf nicht.
Aber vielleicht ist die Times ja einfach falsch informiert, und es stimmt, dass niemand so unglaublich dumm wäre, einen solchen Angriff zu befehlen. Die Hoffnung stirbt zuletzt.
|
