FeM Blog - Artikel mit Tag Technik

Artikel mit Tag Technik

Samstag, 30. Januar 2016

Prevent DoS attacks from a Bluecoat proxy using HAProxy

We provide shared hosting for a huge number of non-profit organizations located at our university. We have been using haproxy and multiple web-nodes for load balancing and reliability ever since our service is used by more and more organizations.

Over the last few weeks we have observed that one of our hosted websites (medienbewusst.de) regularly comes under DoS attacks. This is incredibly annoying and we have now started to investigate this issue in more detail.

All requests are generated by one or multiple-source ip address(es), which always belong to the network of a single company. The attack pattern is almost always identical: First there is a request by a well-known User-Agent (e.g. Firefox 38), which is followed by more than 1500 requests in approximately 3 or 4 minutes, to name one example. These all have the same User-Agent: "Mozilla/4.0 (compatible;)".



::ffff:1.2.3.4 - - [26/Jan/2016:14:47:55 +0100] "GET /fernsehen/20130531/programmtipps-fur-juni-2013.html HTTP/1.1" 200 70439 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:38.0) Gecko/20100101 Firefox/38.0"
::ffff:1.2.3.4 - - [26/Jan/2016:14:47:56 +0100] "GET /2015/08 HTTP/1.1" 200 58606 "-" "Mozilla/4.0 (compatible;)"
::ffff:1.2.3.4 - - [26/Jan/2016:14:47:56 +0100] "GET /cms/favicon.ico HTTP/1.1" 404 63555 "-" "Mozilla/4.0 (compatible;)"
::ffff:1.2.3.4 - - [26/Jan/2016:14:47:56 +0100] "GET /2014/03 HTTP/1.1" 200 57874 "-" "Mozilla/4.0 (compatible;)"
::ffff:1.2.3.4 - - [26/Jan/2016:14:47:56 +0100] "GET /fernsehen/20130531/medienbewusst.de%20& HTTP/1.1" 404 63583 "-" "Mozilla/4.0 (compatible;)"
::ffff:1.2.3.4 - - [26/Jan/2016:14:47:56 +0100] "GET /2014/06 HTTP/1.1" 200 58581 "-" "Mozilla/4.0 (compatible;)"
::ffff:1.2.3.4 - - [26/Jan/2016:14:47:56 +0100] "GET /2015/06 HTTP/1.1" 200 58251 "-" "Mozilla/4.0 (compatible;)"

After talking to a technician, who is responsible for one of these company networks, it turned out that the company uses proxy appliances build by Blue Coat. Their proxy seemingly prefetches the whole webpage really fast, which causes a DoS in association with the used content management system. Users in blogs and forums report that this is typical for Blue Coat proxies and the requests can be identified by the HTTP-Header "HTTP_X_BLUECOAT_VIA" next to the User-Agent.

We now prohibit the requests on our HAProxy-Loadbalancers with the following configuration:

frontend web-1 ... # Block Bluecoat proxy prefetch requests with User-Agent and special HTTP header acl blocked_ua hdr_sub(user-agent) -i Mozilla/4.0\ (compatible;) acl blocked_proxy hdr_cnt(X-BlueCoat-Via) gt 0 use_backend blocked-proxy-ua if blocked_ua blocked_proxy ... backend blocked-proxy-ua mode http errorfile 503 /etc/haproxy/errors/503_blocked_proxy_ua.txt

File /etc/haproxy/errors/503_blocked_proxy_ua.txt
HTTP/1.0 503 Service Unavailable Cache-Control: no-cache Connection: close Content-Type: text/html <html> <head> <title>503 - Service Unavailable</title> </head> <body> <h1>Your request was blocked.</h1> The proxy you are using prefetches the whole webpage with a very high rate per second. To prevent this DoS attack your request was blocked. <br /> Please contact your IT Administrator. </body> </html>

Sources:
https://www.webmasterworld.com/search_engine_spiders/3749904.htm
http://johannburkard.de/blog/www/spam/Mozilla-4-0-compatible.html

Geschrieben von Marcel Pennewiß um 21:25 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: apache, dos, haproxy, proxy, technik, webhosting

Sonntag, 26. April 2015

Neuer Backup-Server für die FeM

In den letzten Monaten war im Technik-Team der Gedanke gereift, dass zumindest der Ältere unserer beiden Backup-Server in Jahre gekommen ist, und so langsam einmal ersetzt werden sollte. Zudem war er auch vom Energieverbrauch her (bedingt durch den Pentium 4-Prozessor) nicht mehr sinnvoll weiterzubetreiben.

Da das Problem durch Abwarten offensichtlich nicht zu lösen war, wurde ein neuer Backup-Server bestellt, und am 15.4.2015 in einem Betriebsraum im Haus L verbaut. Im Unterschied zum vorherigen Backup-System, der mit einem Gentoo-Linux betrieben wurde, läuft auf dem neuen Server ein FreeBSD, so dass ZFS als Dateisystem benutzt werden kann. Der neuen Server stellt ca. 7 TB Speicherplatz mit doppelter Parität zur Verfügung, was bedeutet, dass von den 6 Datenplatten zwei ausfallen dürfen, ohne dass Daten verloren gehen. Bisher liefern der Mail-Server, der Jabber-Server und die AdminDB ihre Backups per SSH und FTP auf dem System ein. Wenn im Laufe der nächsten Wochen alle Dienste migriert sind, wird der alte Backup-Server abgeschaltet.

Der neue Backupserver (oben), der Vorgänger (Mitte), die zugehörige USV (unten)

Noch ein paar Daten und Fakten zum neuen System:

CPU: Intel Xeon E3-1231 v3

RAM: 16 GiB ECC DDR3

Betriebssystem-HDD: 2x 160 GB (gespiegelt)

Daten-HDD: 6x 2 TB (RAIDZ2)

Netto-Speicherkapazität: 7 TB

Betriebsystem: FreeBSD 10.1

Admins: Bammes, Michael

Geschrieben von Michael Pfeiffer in Technik um 21:04 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: 2015, admindb, betriebsraum, jabber, technik

Mittwoch, 4. März 2015

Zuse-Uplink-Migration am 24.02.2015

Pünktlich zu Heiligabend am 24.12.2014 war unser Switch im Zuse-NSP (Cisco WS-C3750G-24) ausgefallen. Dieser stellte den Uplink für alle vom Internet aus erreichbaren FeM-Dienste (Websites, E-Mail, Jabber, ...) zur Verfügung, welche damit nicht erreichbar waren. Bedingt durch die Feiertage konnten wir erst am 29.12. den defekten Switch durch eine spontane Leihgabe des Rechenzentrums ersetzen. Für uns ein Grund mehr, die schon länger fällige Migration in einen anderen Netzbereich des RZs anzugehen.

Am 24.02. um 13:00 wurde dann der Leih-Switch wieder ausgebaut und an das Rechenzentrum zurückgegeben. Die Server im Zuse-NSP wurden umgepatcht und stecken nun direkt auf einer Linecard eines Cisco 4500 des RZs. Dadurch steigt auch die Geschwindigkeit der Anbindung unserer Server von 1 Gigabit auf 2x10 Gigabit. Zeitgleich mussten auch im Medienlabor 2 einige Server, die IP-Addressen aus demselben Subnetz besitzen, migriert werden. Um 13:28 waren die Dienste im Großen und Ganzen wieder verfügbar, und kurz darauf waren auch alle verbleibenden Ruckler beseitigt.

Beteiligte: Bammes, Texec, Pegro, Rafi, Meineeiner, Michael

Hier stecken die Server noch auf dem geliehenen Switch...

Umpatchen auf das Patchpanel.

Ohne Plan is nix... (Bammes und Texec)

Männer, die auf Server starren... (Pegro, Meineeiner, Bammes)

Geschrieben von Michael Pfeiffer in Technik um 15:31 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: 2015, technik, zuse

Freitag, 17. Oktober 2014

FeM-WLAN Ausbauplanung

Nachdem ein Teil der AccessPoints nun geliefert ist, schreitet der Ausbau voran.

Aktuell ist Haus P vollständig, im Haus I sind noch 2, im Haus H noch 4 und im Haus K noch 23 AccessPoints zu installieren; diese sind auch als Nächstes für den Ausbau eingeplant.

Voraussetzung für den Ausbau mit FeM-WLAN sind freie LAN-Kabel und die Unterstützung von Strom-über-LAN (POE). Im Haus A, C, D, E, Q, CJD ist POE verfügbar, allerdings fehlen noch Kabel. Im Haus B, L und N sind Kabel verfügbar, aber noch kein POE - was sich jedoch nachrüsten ließe.

Daneben gibt es an ausgewählten Standorten (beispw. in den Clubs) bereits jetzt FeM-WLAN zu empfangen.

Wenn du also Interesse hast, den Ausbau beispw. in deinem Block zu beschleunigen, dann komm doch einfach mal vorbei.

Donnerstags in ungeraden Wochen um 20:30 Uhr im Haus L, Eingang 6d, im Keller.

Geschrieben von Michael Braun in Technik um 14:23

Tags für diesen Artikel: technik, wlan, wohnheime

Mittwoch, 7. Mai 2014

FeM-WLAN Ausbau

Der WLAN-Ausbau auf dem Campus schreitet voran. Nach und nach werden die AccessPoints geliefert, die Software installiert und die Geräte verbaut.

Dafür sind wir auf eure Mithilfe angewiesen, da die AccessPoints in den Fluren der WGs installiert werden sollen! Wir werden euch daher in den kommenden Zeit bei Bedarf persönlich ansprechen oder anschreiben, sofern in eurer WG ein AccessPoint installiert werden soll.

Derzeit ist das Haus I an der Reihe. Außerdem gibt es in den Studentenclubs, im Keller des Haus A, im Interclub, im Haus P, im FeM-Office sowie bei einigen Administratoren bereits FeM-WLAN.

Geschrieben von Michael Braun in Technik um 18:58

Tags für diesen Artikel: technik, wlan

Sonntag, 15. Dezember 2013

DNS ReBind-Protection mit ISC BIND

Seit einigen Jahren ist der sogenannte DNS-"ReBind"-Angriff bekannt. Dabei wird ausgenutzt, dass im DNS unerwartete IP-Adressen eingetragen sind, und kann dazu genutzt werden, beispielsweise eine Firewall oder andere Zugriffskontroll-Maßnahmen zu umgehen. Datails dazu unter [1] oder [2] und anderen.

In der Folge kann es ratsam sein, dagegen schützende Filter im lokalen DNS Server einzurichten. Eine andere Möglichkeit besteht darin, den Filter im Browser einzurichten - beispielsweise mit der Firefox-Erweiterung NoScript und ihrem Feature Application Boundary Enforcer (ABE).

"DNS ReBind-Protection mit ISC BIND" vollständig lesen

Geschrieben von Michael Braun um 21:33

Tags für diesen Artikel: sicherheit, technik

Freitag, 13. Dezember 2013

WPA-PSK - warum eigentlich nur für Heimnutzer?

WPA-PSK wird nur für Heimnutzer empfohlen, da alle Geräte an einem AccessPoint das gleiche Passwort verwenden - was im Kontext großer Organisationen jedoch nur unzureichende Sicherheit bietet.

So kann jeder Teilnehmer einen eigenen AccessPoint aufsetzen, welcher mit allen anderen Geräten eine Verbindung aufbaut (AP Impersonation), da jeder Teilnehmer das gemeinsame Geheimnis kennt. Dies kann zur Überwachung und Man-In-The-Middle Angriffen genutzt werden.

Weiterhin muss bei Änderungen der Gruppe der Berechtigten allen Teilnehmern ein neues Passwort mitgeteilt werden

und es kann über die verwendeten Zugangsdaten nicht mehr rekonstruiert werden, welcher Nutzer ein bösartiges Gerät genutzt hat.

Für größere Organisationen wird daher WPA-EAP empfohlen, welches neben unbestreitbaren Vorteilen jedoch auch Nachteile hat. Der größte Nachteil ist in meinen Augen, dass beim Einsatz von TTLS-PAP Passwörter ausspioniert werden können sowie AP-Impersonation möglich ist, sofern auf dem Gerät das CA-Zertifikat nicht eingerichtet wurde (oder der Angreifer ein gültiges Server-Zertifikat besitzt). Der Einsatz von TTLS empfiehlt sich jedoch, wenn die Nutzeridentität gegenüber dem AP-Netzbetreiber anonym bleiben soll.

Weniger bekannt ist die Möglichkeit, WPA-PSK mit geräte-spezifischen Zugangsdaten zu betreiben. Dabei wird auf dem AccessPoint jedem Client ein eigenes Passwort zugeordnet, die Identifikation erfolgt anhand der MAC-Adresse des Gerätes. Eine solche Konfiguration wird beispielsweise von hostapd unterstützt, welches in neueren Versionen die WPA-Passphrase auch mittels RADIUS (Tunnel-Passwort Attribut) abfragen kann sowie mehrere Passwörter je Gerät (beispielsweise für mehrere Nutzer) unterstützt. Weiterhin ist es auch möglich, den gleichen Satz Passwörer für alle MAC-Adressen zu erlauben - und so die Vorregistrierung der Geräte überflüssig zu machen und doch nutzerspezifische Passwörter zu verwenden. Nicht implementiert - aber prinzipiell möglich - wäre es sogar, weitere Einstellungen (beispw. VLAN) abhängig von der verwendeten Passphrase anzupassen.

Vorteile:

Keine Fehlkonfiguration am Client möglich - es wird nur die Passphrase für WPA-PSK benötigt.
Automatischer Schutz vor AP-Impersonation und damit ggf. verbundenem Passwortausspionieren, Netzwerküberwachung und Man-In-The-Middle angriffen.

Der vielleicht wichtigste Nachteil dabei ist jedoch, dass das Passwort (im Klartext) an jeden der AccessPoints übermittelt werden muss - ein kompromitierter AccessPoint also die WLAN-Zugangsdaten ausspionieren könnte.

Die hostapd-Implementierung für die Übertragung des PSK mittels RADIUS einschließlich der Unterstützung mehrerer PSKs je Gerät ist übrigens im Rahmen des FeM WLAN Projektes entstanden.

Geschrieben von Michael Braun in Technik um 11:29

Tags für diesen Artikel: sicherheit, technik, wlan

Donnerstag, 14. November 2013

Großer Netzumbau am Uplink-Switch

Gerbi stellt das Netz ab

Am Dienstag, dem 12.11.2013 trafen sich gegen 07:00 verschlafene FeM-Aktive um den großen angekündigten Netzumbau zu zelebrieren.
Nach etwas koffeinhaltigem Heiß- und zuckerhaltigem Kaltgetränk begab sich die Gruppe zum Haus M, um dem FeM-Netz um 07:30 durch das Herunterfahren von c-fem-1 (dem zentralen Router, aka "der cisco") den temporären Garaus zu machen.
Während die eine Hälfte nun damit beschäftigt war, den Ist-Zustand der Kabelage zu dokumentieren und dann den Cisco abzunabeln, bereitete ein weiteres Team den neuen Netzwerkschrank durch kleine Umbauten auf den Einbau des Routers vor.

Cisco im Landeanflug

Nach einer gefühlten Ewigkeit (gemessen: 1h10m) stand der Router an seinem neuen Platz, der Uplink ins Rechenzentrum nebst der ersten Verbindungen steckte und alles starrte gebannt die Konsole des Routers an.
Nach dem obligatorischen Umstecken (lechts und rings kann man nicht verwechseln!) konnte dann als erster Meilenstein das Studentenwerk wieder ans Netz genommen werden.

Pegro experminentiert mit innovativer Lichtwellen-Technologie

Zeitgleich zum Stecken der weiteren Verbindungen zum Cisco spaltete sich ein kleiner Trupp ab, um in den Betriebsräumen in den Wohnheimblöcken die nötige Steck- und Konfigurationsarbeit zu leisten.
Gegen 10:50 war die Arbeit im Haus M getan und gemeinsam wurden, unterbrochen von einer Mittagspause in der Mensa, in den letzten Blöcken die Uplinks konfiguriert und gesteckt. Leider gab es hier verschiedenste Fehlerquellen (kaputte Fasern zwischen den Häusern, fehlkonfigurierte Switche), was zu weiteren Wegen zwischen den Betriebsräumen führte. Gegen 16:00 stellte sich dann jedoch ein gewisser Erfolg ein und wir konnten schlussendlich in das FeM-Office zurückkehren.
Wieder bei koffeinhaltigen Heiß- und zuckerhaltigen Kaltgetränken wurde dann die getane Arbeit im Wiki dokumentiert und der Arbeitseinsatz beendet.

Hebbet trägt Verantwortung!

Was wurde erreicht:

-Wohnheim H, E, L und P mit 10 Gigabit/s angeschlossen (vorher 1Gigabit/s)
-Wohnheim I mit 3 Gigabit/s angeschlossen (vorher 1Gigabit/s)
-Leute (ohne Internet) zur direkten sozialen Interaktion gebracht
-Leute (ohne Internet) zum Lesen eines Buches gebracht
-Leute (ohne Internet) mit Frischluft vergiftet
-Leute (ohne Internet) zum Lernen gebracht

Der Cisco wieder bei der Arbeit

Geschrieben von Bernhard Hammes in Technik um 15:41 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: cisco, technik

Freitag, 25. Oktober 2013

Anbindung Professor-Philippow-Str. schreitet voran

Das Glaskabel zur Anbindung des neuen Gebäudes ist nun schon seit einigen Wochen verlegt. Leider haben wir immernoch keinen konkreten Termin, wann das Glaskabel angeschlossen werden kann. Da für dieses Anschließen (auch Spleißen oder Aufpatchen genannt) teure Spezialtechnik benötigt wird, können wir es leider auch nicht so ohne weiteres selber machen.

Das Technikteam hat sich daher dazu entschlossen, das neue Gebäude übergangsweise per Funk anzuschließen. Die dafür notwendigen Arbeiten sind für den kommenden Montag, den 28. Oktober geplant. Sofern alles gut geht, gibt es danach dort FeM-Net. Natürlich arbeiten wir weiter mit Hochdruck daran, dass das Glaskabel angeschlossen wird.

Update: Wegen des Unwetters ist der Anschluss leider noch nicht erfolgt. Wir arbeiten aber daran.

Update: Der Anschluss des Glaskabels wird voraussichtlich am kommenden Freitag, den 1. November 2013, erfolgen.

Geschrieben von Michael Braun in Technik um 09:35

Tags für diesen Artikel: ProPhi, Technik

Dienstag, 11. Dezember 2012

MySQL- und PostgreSQL-Backup per SSH leichtgemacht...

Unzählige Tipps & Tricks kursieren im Internet, wie man denn am besten von einem Server auf dem man SSH-Zugriff einen Dump einer MySQL-Datenbank erstellt. Spätestens wenn man dies regelmäßig tun will kommt man an ein paar vernünftig strukturieren Skriptzeilen nicht vorbei.

Ein ähnliches Problem stellte sich bei der Erneuerung der Infrastruktur unseres Webhostings. Wir haben einen Backup-Server, der sich das Daten-Backup nächtlich vom Webserver abholt. Doch wie macht man nun am besten die Dumps von einem der MySQL-Master-Systeme? Da diese in einem internenen Management-Netz stehen hätte man natürlich einfach nativ mit einem MySQL oder PostgreSQL-Client vom Backupserver darauf zugreifen können, hätte sich dann aber trotzdem was skripten müssen, dass keinen kompletten Dump, sondern einzelne Dumps der Datenbanken erstellt. Letztere waren die Bedingung ans Restore - wenn jemand seine einzelne Datenbank restauriert haben möchte ist ein kompletter Dump mit mehreren Gigabyte nicht unbedingt der Weisheit letzter Schluss Und die Clients wollte man auch nicht zwingend auf dem Backupserver...

Nach anfänglich 2 getrennten Skripten für MySQL und PostgreSQL wurde irgendwann der Entschluss gefasst, dass jetzt mal ordentlich zu machen. Entstanden ist daraus sql-ssh-backup - mittlerweile in Version 1.8 - ein Tool um komfortabel MySQL- oder PostgreSQL-Dumps per SSH zu erstellen. Dabei verwenden wir die auf den zu sichernden Systemen vorhandenen Datenbank-Tools (mysqldump, pgdump) und leiten die Daten gesichert auf den Backupserver. Diese werden anschließend grundlegend geprüft und bei Bedarf gepackt. Im Laufe der Zeit hat dann die ein oder andere Erweiterung noch Einzug gehalten und für neue Ideen, Patches oder Fehlerberichte sind wir immer offen. Diese kann man gern an webserver@fem.tu-ilmenau.de senden.

Die Features in der Übersicht:

Dump für MySQL und PostgreSQL via SSH

benötigt kein MySQL/PostgreSQL auf dem Backup-Server

sichere Übertragung/Nutzung der Datenbank-Zugangsdaten möglich

Einzel- oder Gesamtsicherung aller Datenbanken

Sicherung einzelner Datenbanken

Kompression der Dumps mit bzip2/xz (MySQL) oder PosgreSQL-Dump-Format möglich

mehrere Backups täglich möglich (Verzeichnisstruktur enthält dann Uhrzeit)

automatische Bereinigung von alten Backups

Das unter der GPL-2 lizensierte Skript steht im FeM-Subversion zur Verfügung:
http://subversion.fem.tu-ilmenau.de/repository/fem-overlay/trunk/app-backup/sql-ssh-backup/files/

Und für die Freunde eines "Copy'n'Paste"-HowTo gibt es eine ausführliche Anleitung in unserem Wiki, die auch erklärt, wie der Backup-Nutzer angelegt wird und welche Datenbank-Rechte er benötigt:
http://wiki.fem.tu-ilmenau.de/public/technik/howto/sql-ssh-backup

Viel Spaß damit.

Geschrieben von Marcel Pennewiß in Technik um 17:48 | Kommentare (0) | Trackbacks (0)

Tags für diesen Artikel: datenbanken, software, technik, web, webhosting

FeM

Suche

Kategorien

Getaggte Artikel

Archive

Blog abonnieren

Impressum

Verwaltung des Blogs