Wenn der wie auch immer realisierte Abgleich von Terminen und Co. bei einem mobilen Geräte (Smartphone, Tablet) nicht mehr funktioniert, kann das einige Gründe haben.

Vor ein paar Tagen rief ein Kunde an und meldete, das neuere Termine nicht mehr auf seinem iPhone abgeglichen werden. Ein erster Blick aus der Ferne auf den verwendeten MDaemon Email Server, speziell die Verbindungsstati und das Protokoll von ActiveSync offenbarten zunächst keinerlei Probleme.

Der Dienst ist online, das iPhone aktuell verbunden, soweit keine Spur von Schwierigkeiten. Nach kurzer Rücksprache stellte sich zunächst heraus, das die Firmware auf dem iPhone nicht aktuell war. Der Kunde versprach eine baldige Installation.

Es folgten ein paar Tage Stille bis das wir ein erneutes Telefonats, diesmal wegen eines anderen Anliegens hatten. Auf Nachfrage kam dann heraus, das auch das Update der Firmware nicht möglich war. Kurzum: Beide Probleme, fehlender Abgleich und fehlgeschlagene Update-Installation, hingen damit zusammen, das schlicht kein Speicherplatz mehr auf dem iPhone frei war.

Der Kunde löschte seiner Aussage nach um die 60.000 Bilder und siehe da, alles läuft wieder.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Arbeitet man via VPN und darüber findet zudem eine Namensauflösung via DNS statt, kann dies gut als auch schlecht sein.

Im Idealfall und das gilt für nahezu alle unseren Kunden gibt es keinerlei Schwierigkeiten. Ganz gleich ob aus dem Homeoffice oder von unterwegs aus kann eine VPN-Verbindung hergestellt werden und man kann wie gewohnt mit z.B. „\\srv01“ oder im Browser mit „https:\\intranet.local“ die Unternehmensressourcen aufrufen.

Auf meiner Seite sieht das allerdings etwas anders aus: Bin ich per VPN mit dem Kunden verbunden, so findet die Namensauflösung über den Kunden-eigenen DNS-Server statt. Dies führt wiederum dazu, das ein Teil meiner eigenen Ressourcen nicht mehr erreichbar ist.

Um das Ganze besser zu verdeutlichen ein Beispiel:

LAN:

hostname.domain.tld - <Lokale IP-Adresse im LAN>

Internet:

hostname.domain.tld - <Öffentliche IP-Adresse>

Kurzum: Split DNS. An und für sich ein guter Weg, in der Kombi mit dem Kunden-VPN und dessen DNS allerdings problematisch.

Ohne die VPN-Verbindung wird der FQDN zur lokalen IP-Adresse aufgelöst und alles ist gut. Mit der VPN-Verbindung wird der FQDN dann allerdings zur öffentlichen IP-Adresse aufgelöst und das führt dann dazu, das die Anfragen von meinem PC über unser Gateway raus ins Internet gehen und dann an der WAN-Schnittstelle ankommen. Die Firewall verwirft dann diese Datenpakete.

Macht ja auch irgendwie keinen Sinn aus dem LAN ins Internet und dann auf die öffentliche IP zu wollen, soweit also durchaus nachvollziehbar. Wie aber kann man dieses Dilemma nun lösen? Es gibt mehrere mögliche Ansätze:

• Nicht nur DNS sondern auch das Gateway via VPN umleiten.
• Die private IP-Adresse als Host A-Eintrag im öffentlichen DNS zusätzlich zum Host A-Eintrag mit der öffentlichen IP-Adresse hinzufügen.
• Sofern es die Firewall hergibt „NAT Reflection“ aktivieren. pfSense kann dies wie hier beschrieben: Accessing Port Forwards from Local Networks
• Die DNS-Server-Abfrage-Reihenfolge am Computer ändern.

Letzteres gelingt über das Ändern der Schnittstellen-Metrik der Netzwerk-Interfaces. Einen sehr schönen Beitrag dazu findet man hier:

Windows OS Hub – DNS Resolution via VPN Not Working on Windows 10

Via Powershell mittels

Get-NetIPInterface | Sort-Object Interfacemetric

sieht die Ausgangslage so aus:

ifIndex InterfaceAlias AddressFamily NlMtu(Bytes) InterfaceMetric Dhcp ConnectionState PolicyStore
------- -------------- ------------- ------------ --------------- ---- --------------- -----------
60 LAN-Verbindung IPv4 1500 5 Disabled Disconnected ActiveStore
4 OpenVPN Wintun IPv4 1500 5 Disabled Disconnected ActiveStore

Wie man sieht haben die LAN-Schnittstelle und das virtuelle VPN-Interface die gleiche Metrik (5). Bei aktiver VPN-Verbindung wird allerdings direkt der DNS-Server des Kunden angesprochen.

Die Änderung der Metrik kann über die grafische Oberfläche in den Eigenschaften von IPv4 bzw. IPv6 erfolgen. Hier zeigt sich zumindest Windows 10 etwas zickig. Via Powershell werden andere Metriken dargestellt als via „ncpa.cpl“ (Netzwerkverbindungen aus der Systemsteuerung). Letztlich führte nur das Ändern der Metriken via Powershell zum Ziel, via GUI konnte man machen was man wollte, es wurde nur teilweise übernommen.

In der Powershell wird die Metrik wie folgt geändert:

 Set-NetIPInterface -InterfaceIndex 4 -InterfaceMetric 120

Die Änderung greift sofort, auch bei bestehender Verbindung.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Einer unserer Kunden hat vor kurzem einen weiteren Standort eröffnet. Damit mit der Zentrale kommuniziert werden kann, kommt ein Site-to-Site VPN auf Basis von SSL-VPN (OpenVPN) zum Einsatz. An allen Standorten werden Securepoint UTMs eingesetzt.

Gleich vorweg muss ich sagen, das ich mit Avaya-Anlagen an und für sich nichts zu tun habe. Wir haben nur zwei Kunden die Diese verwenden und die nachfolgenden Zeilen beruhen auf der Erfahrung bei diesem Projekt.

Avaya IP-Telefone finden ihre Telefonanlage entweder per Provisioning Service vom Hersteller, via DHCP-Option „242“ oder manuell durch die Angabe des HTTP-Servers.

Für ersteres hat unser Kunden kein Konto, beim Zweiten stößt man leider auf das Problem, das in der Securepoint UTM nur eine vordefinierte Liste an DHCP-Optionen verfügbar ist. In der Wunschbox gibt es dazu bereits ein paar Treffer:

Freie Konfiguration DHCP Optionen

DHCP Optionen

Der dritte Weg über die manuelle Angabe des HTTP-Servers bei der Einrichtung des IP-Telefons führt dann letztlich zum Ziel. Damit dies gelingt, muss man allerdings im HTTP-Proxy eine Ausnahme definieren, andernfalls klappt der Abruf der Konfiguration durch die IP-Telefone nicht:

• Zu „Firewall – Portfilter – Netzwerkobjekte“ wechseln.
• Auf „+ Objekt hinzufügen“ klicken.
• Bei Name z.B. „Telefonanlage“ eintragen und bei „Host“ die IP-Adresse des Telefonanlage eintragen.
• Das Netzwerkobjekt speichern.
• Zu „Anwendungen – HTTP-Proxy – Transparenter Modus“ wechseln.
• Auf „+ Transparente Regel hinzufügen“ klicken.
• Bei „Typ“ „Exclude“ auswählen.
• Bei „Quelle“ das Netz auswählen, in dem sich die Telefone befinden.
• Bei „Ziel“ das zuvor erstellte Netzwerkobjekt auswählen.
• Diese Regel und die Änderung speichern.

Noch besser ist es (imho) die Telefone zunächst im Netz der Telefonanlage zu Provisionieren und erst dann am entfernten Standort einzusetzen.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Split DNS ist eine feine Möglichkeit um z.B. den Zugriff auf den Mailserver sowohl von intern, also dem LAN, als auch aus dem Internet unter dem gleichen FQDN zu ermöglichen.

Im Rahmen eines Kunden-Projekts war dies für einen entfernten Standort notwendig. Sowohl Outlook als auch die Smartphones sollten sich via MDaemon Connector und ActiveSync sich verbinden können. Da es eine Standortvernetzung (S2S) gibt musste am entfernten Standort in der UTM das Split DNS eingestellt werden.

• Zu „Anwendungen – Nameserver – Zonen“ wechseln.
• Auf „+ Forward-Zone hinzufügen“ klicken.
• Als Namen die Domäne („<domain.tld>“) eintragen.
• Bei „Nameserver Hostname:“ „localhost“ eingeben.
• Die Angabe von „Nameserver IP-Adresse“ ist optional und bleibt in diesem Fall leer.
• Die neu erstellte Zone bearbeiten.
• Auf „+ Eintrag hinzufügen“ klicken.
• Bei „Namen“ den Hostname ohne Domäne eintragen.
• Bei „Typ“ „A“ auswählen.
• Im Feld „Wert“ die lokale IP-Adresse des Ziel-Servers eingeben.

Im Portfilter muss der DNS-Verkehr (zum Ziel) zugelassen sein.

Wichtiger Hinweis:

Vorsicht bei der Verwendung von DDNS-Adressen (SPDNS & Co.), sofern diese auch für die S2S-Verbindung genutzt wird. In einem solchen Fall wird der Tunnel nicht mehr erfolgreich aufgebaut. Im Protokoll findet man folgenden Eintrag:

Recursive routing detected, drop tun packet to [AF_INET]<IP aus dem Split DNS>:1195

Sowieso besser ist es bei der Konfiguration der VPN-Verbindung statische öffentliche IP-Adressen zu verwenden. Ist dies nicht möglich, dann unterschiedliche DDNS-Adressen für Split DNS und VPN benutzen.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Reine VDSL-Modems gibt es leider recht wenige, zwei Vertreter dieser Gattung sind die Modelle VMG1312-B30A & VMG3006-D70A von Zyxel.

Bei professionellen Routern aus dem Business-Bereich sind in der Regel keine VDSL-Modems integriert, dies macht Sinn, kommen im geschäftlichen Bereich eine Vielzahl von unterschiedlichen Zugangsmedien wie VDSL, Glasfaser sowie Kabel oder LTE zum Einsatz.

Möchte man nun beispielsweise eine Securepoint UTM, pfSense oder OPNsense an einem VDSL-Anschluss betreiben besteht eine weniger optimale Möglichkeit darin, diese hinter einen ggf. vorhandenen VDSL-Router wie eine AVM FRITZ!Box anzuschließen. Besser ist es allerdings, wenn der jeweilige professionelle Router direkt für den Internetzugang verantwortlich ist. Hier kommen nun VDSL-Modems oder Geräte die im Bridge-Modus betrieben werden können ins Spiel.

Die Unterschiede zwischen den beiden Vertretern von Zyxel liegen in der Hauptsache bei der möglichen Maximalgeschwindigkeit:

• VMG1312-B30A: VDSL bis max. 100 Mbit/s Download bzw. 45 Mbit/s Upload
• VMG3006-D70A: VDSL bis max. 300 Mbit/s Download bzw. 300 Mbit/s Upload

Selbstverständlich gibt es noch mehr Unterschiede, im Rahmen dieses Beitrag soll es allerdings rein um die Nutzung als VDSL-Modem gehen.

Das erstgenannte Modell ist bereits längere Zeit auf dem Markt und hat sich bislang als sehr zuverlässig bewährt. Mit dem VMG3006-D70A gibt es nun im weitesten Sinne eine aktualisierte Variante, allerdings gibt es hinsichtlich des Anschlusses etwas zu beachten.

Im Gegensatz zum Vorgängermodell findet die Einwahl sowie Verwaltung nicht über einen LAN-Anschluss statt! Die Schnittstelle „LAN1“ wird ausschließlich für den Zugriff auf das Web-Interface verwendet, während die Schnittstellen „LAN2“ bis „LAN4“ für die Einwahl (PPPoE) verwendet werden.

Daraus ergibt sich: Wenn man z.B. zwecks Status-Prüfung, Firmware-Update oder im Fehlerfall auf das Log zugreifen möchte, muss man entweder an „LAN1“ einen Computer anschließen oder als einfachste Möglichkeit dem Modem eine IP-Adresse aus dem LAN geben und „LAN1“ mit dem Switch verbinden. Besser ist es allerdings „LAN1“ mit einem verwalteten Switch zu verbinden und in ein eigenes VLAN einzubinden, auf das nur die Administratoren Zugriff haben.

Darüber hinaus gilt zu beachten das im Auslieferzustand beim VMG1312-B30A die VLAN-ID 7 vorkonfiguriert ist, beim VMG3006-D70A ist das wiederum nicht der Fall. In beiden Geräten kann man dies ändern oder man muss in seinem Router auf die Vorgaben entsprechend achten. Am Beispiel der Securepoint UTM wäre das beim Einrichten des Internetzugangs via Assistent dann die Auswahl „DSL“ (ohne VLAN-ID 7 in der UTM) oder „VDSL“ (mit VLAN-ID 7 in der UTM).

Links:

Zyxel VMG1312-B30A

Telekom – Hilfe – Zyxel VMG 1312-B30A

Zyxel VMG3006-D70A

Telekom – Hilfe – Zyxel VMG3006-D70A

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Um sich vor Spam zu schützen oder selbst nicht auf einer Sperrliste zu gelangen gibt es einige Maßnahmen die man ergreifen kann. Wer eine eigene E-Mail-Domäne verwendet muss in Sachen SPF, DKIM und DMARC selbst Hand anlegen. Am Beispiel der beiden Anbieter Ionos by 1&1 sowie ALL-INKL zeige ich nachfolgend auf an welchen Stellen was einzutragen ist und wie man das Ganze testet.

Die Reihenfolge der einzelnen oben genannten Techniken ist relevant, denn das Eine baut auf dem Anderen auf. Zumindest ist SPF und DKIM Voraussetzung für DMARC.

Ionos by 1&1

Ionos bietet über mehrere Seiten bzw. Stellen hinweg Informationen zu den genannten Techniken (siehe die Links und Quellen am Ende dieses Beitrags). Alle notwendigen Schritte werden im Kundencenter vorgenommen.

SPF

• Auf „Domains & SSL“ klicken.
• Bei der gewünschten Domain bei Aktionen (Zahnrad-Symbol) „DNS“ auswählen.
• Auf „Record hinzufügen“ klicken und „SPF (TXT)“ auswählen.
• Der „Hostname“ kann so belassen werden. Im Feld „Wert“ folgendes einfügen und speichern:

  v=spf1 include:_spf.perfora.net include:_spf.kundenserver.de ~all

In der Vorschau kann man erkennen, was nun konkret „zusammengebaut“ wird. Ein Beispiel:

meinedomain.de 3600 IN TXT "v=spf1 include:_spf.perfora.net include:_spf.kundenserver.de ~all"

Damit ist der SPF-Eintrag gesetzt.

DKIM

Ionos selbst bietet kein Tool an um den Wert des DKIM-Eintrags erzeugen zu können. In der Hilfe verweist man auf den EasyDMARC – DKIM Record Generator. Ironisch mutet dabei folgende Aussage in der Ionos-Hilfe an: „Die meisten E-Mail-Provider nehmen Ihnen diese Arbeit ab.“ Ja, ok, aber dieser Anbieter offenbar nicht.

Als weiteres kommt erschwerend hinzu, das Ionos für die eigenen Mailserver kein DKIM unterstützt, Nutzer die ihre Postfächer direkt dort haben bleiben also außen vor!

Betreibt man einen eigenen Mailserver wie z.B. MDaemon müssen dort die DKIM-Schlüssel erzeugt werden. Im DNS der betreffenden Domäne wird dann der öffentliche DKIM-Schlüssel eingetragen.

• Auf „Domains & SSL“ klicken.
• Bei der gewünschten Domain bei Aktionen (Zahnrad-Symbol) „DNS“ auswählen.
• Auf „Record hinzufügen“ klicken und „TXT“ auswählen.
• Bei „Hostname“ den Selektor + die Erweiterung „._domainkey“, z.B. „MDaemon._domainkey“ eintragen.
• Im Feld Wert ist zwingend „v=DKIM1;p=<Öffentlicher Schlüssel>“ einzutragen.
• Den Record speichern.

DMARC

Auch für die Erzeugung des DMARC-Eintrags bietet Ionos kein eigenes Tool an und verweist auf den EasyDMARC – DMARC Record Generator.

Man macht alle notwendigen und gewünschten Angaben und erzeugt den Wert. Anbei ein Screenshot:

Bei Ionos pflegt man die Daten dann wie folgt ein:

• Auf „Domains & SSL“ klicken.
• Bei der gewünschten Domain bei Aktionen (Zahnrad-Symbol) „DNS“ auswählen.
• Auf „Record hinzufügen“ klicken und „TXT“ auswählen.
• Bei „Hostname“ „_dmarc“ eintragen.
• Als Wert die Ausgabe aus dem Generator einfügen.

ALL-INKL

All-inkl macht es einem einfach auf die relevanten Informationen zuzugreifen und diese einzupflegen. Im KAS gibt es den Menüpunkt „Hilfe / FAQ“ über dessen Suchfeld man bequem nach den genannten Techniken suchen kann. Als Ergebnis erhält man Beschreibungen samt Erklärungen sowie Links zu den passenden Stellen. Der Zugriff auf diese Inhalte ist selbstverständlich auch ohne Anmeldung und über die Homepage möglich. Über’s KAS hat man es etwas schneller und einfacher.

SPF

Um den SPF-Eintrag anlegen zu können geht man wie folgt vor:

• Am KAS anmelden.
• Auf „Tools – DNS-Einstellungen“ klicken.
• Die betreffende Domain bearbeiten.
• Auf „neuen DNS-Eintrag erstellen“ klicken.
• Bei „Typ“ „SPF (TXT)“ auswählen.
• Bei „Data“  „v=spf1 mx a ?all“ einfügen.

Das war’s für den SPF dann auch schon.

DKIM

Im Gegensatz zu Ionos kann man bei ALL-INKL für den dortigen Mailserver den DKIM-Schlüssel ganz einfach erzeugen lassen:

• Im KAS auf „Domain“ klicken.
• Die betreffende Domain bearbeiten.
• Bei „DKIM Signierung“ aktiviert auswählen.

Die DKIM-Schlüssel werden erzeugt und man sieht kurze Zeit später in den DNS-Einstellungen der Domain den dazugehörigen Eintrag.

Selbstverständlich kann man auch den öffentlichen DKIM-Schlüssel seines eigenen (lokalen) Mailserver eintragen:

• Im KAS auf „Tools – DNS-Einstellungen“ klicken.
• Die betreffende Domain bearbeiten.
• Auf „neuen DNS-Eintrag erstellen“ klicken.
• Bei „Typ“ „TXT (DKIM)“ auswählen.
• Bei „Name“ den Selektor + die Erweiterung „._domainkey“, z.B. „MDaemon._domainkey“ eintragen.
• Bei „Data“ „v=DKIM1;p=<Öffentlicher Schlüssel>“ einfügen.

DMARC

• Im KAS auf „Tools – DNS-Einstellungen“ klicken.
• Die betreffende Domain bearbeiten.
• Auf „neuen DNS-Eintrag erstellen“ klicken.
• Bei „Typ“ „TXT “ auswählen.
• Bei „Hostname“ „_dmarc“ eintragen.
• Als Wert die Ausgabe aus den im Ionos-Abschnitt genannten Generator einfügen oder das Beispiel von All-inkl für die eigenen Bedürfnisse anpassen:

  v=DMARC1; p=reject; rua=mailto:mail@ihre-domain.de; ruf=mailto:mail@ihre-domain.de; adkim=s; aspf=r

Tests

Zum Testen der neuen Einstellungen kann man auf die Dienste von mxtoolbox.com zurückgreifen. Konkret geht es dabei um die E-Mail-Adresse „ping@tools.mxtoolbox.com“, wo man nach kurzer Zeit einen Bericht per Mail zurückerhält oder diesen auf der Homepage unter

https://mxtoolbox.com/deliverability

abrufen kann. Im Idealfall sieht der relevante Teil des Berichts dann so aus:

Weitere detaillierte Abfragen sind unter

EasyDMARC – SPF Record Lookup

EasyDMARC – DKIM Record Lookup

EasyDMARC – DMARC Record Lookup

möglich. Ein kompletter Bericht unter

EasyDMARC

angefordert werden. Zusätzlich kann man noch den Header der versendeten E-Mails analysieren:

MxToolbox – Email Header Analyzer

Fazit

Ein Allheilmittel gegen Spam oder das man selbst auf einer Blacklist landet sind diese Möglichkeiten nicht. Ein Stück weit mehr Schutz und Sicherheit stellen sie dennoch dar und spätestens wenn bei einem Empfänger den man erreichen muss, die eigenen Mails abgewiesen werden oder im dortigen Spam-Ordner landen sollte man reagieren.

Die gezeigten Werte lassen sich weiter anpassen, siehe dazu die nachfolgenden Links und Quellen. Persönlich finde ich macht es einem Ionos by 1&1 etwas schwieriger, ALL-INKL bringt das Ganze schneller und übersichtlicher auf den Punkt. Funktionieren tut es letztlich bei beiden.

Links und Quellen:

Ionos – SPF-Record verstehen und anwenden

Fehler in der Dokumentation:

„ping.tools.mxtoolbox.com“ ist definitiv keine E-Mail-Adresse, sondern eine URL. Offenbar wurde der erste Punkt und das @ vertauscht. Die richtige E-Mail-Adresse lautet also: „ping@tools.mxtoolbox.com“.

Ionos – Spam-Versand vermeiden mit SPF-Record

Ionos – DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit

rapidmail – DKIM-Key für IONOS erstellen – So geht´s!

Global Cyber Alliance – DKIM setup for 1&1 Ionos

Ionos – DMARC: Missbrauch der Mail-Domäne rechtzeitig erkennen

ALL-INKL – DNS-Werkzeuge: SPF

ALL-INKL – DNS-Werkzeuge: DKIM (bei Versand über unsere Mailserver)

ALL-INKL – DNS-Werkzeuge: DKIM (bei Versand über externe Mailserver)

ALL-INKL – DNS-Werkzeuge: DMARC

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Hat man für seinen E-Mail-Versand SPF, DKIM und eben DMARC konfiguriert, erhält man ggf. verschiedene Berichte.

An die im DMARC-Eintrag festgelegten E-Mail-Adressen werden Rückmeldungen wie z.B. zu Fehlern oder dem allgemeinen Status gesendet. Bei diesen Berichten handelt es sich letztlich um *.xml-Dateien die als *.gz-Datei gepackt sind.

Nun kann man mit jedem Text-Editor diese Berichte (nach dem entpacken) betrachten, einfacher und schöner zu lesen sind sie allerdings mit entsprechenden Tools. Da gäbe es z.B. den

MXToolBox – Dmarc Report Analyzer

oder den

EasyDMARC – DMARC XML Report Analyzer

Man lädt schlicht die *.xml-Datei hoch und bekommt einen Augenblick später eine entsprechend aufbereitete Form dargestellt. Bei MXToolBox sieht das z.B. wie folgt aus:

Manchmal kommt es leider vor, das die Berichte bei MXToolBox nicht analysiert werden können (Fehlermeldung: „There was an error while loading your report aggregates“), in einem solchen Fall dann schlicht auf ein anderes Tool zurückgreifen.

Bei EasyDMARC stellt sich eine Analyse so dar:

Wie man sieht, sind in diesem Beispiel E-Mail-Server von Ionos by 1&1 involviert und sämtliche Prüfungen waren erfolgreich.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Seit dem Update bzw. Upgrade auf die aktuellen pfSense-Versionen Plus 21.02 oder CE 2.5.0 bekommt man es evtl. mit dem Problem zu tun, das der DNS Resolver-Dienst „unbound“ abstürzt.

Diese Situation tritt offenbar nicht bei allen Installationen auf. Bei der Handvoll CE-Installationen die ich betreue ist bislang nur eine auffällig geworden. Womöglich hängt es damit zusammen, für wie viele Schnittstellen bzw. Netze die jeweilige pfSense zuständig ist, das ist allerdings reine Spekulation.

Man versucht offenbar die Ursache einzugrenzen und sofern ich das richtig verstanden habe gibt es wohl bereits ein Paket das man aktualisieren könnte:

netgate – Forum – unbound signal 11 on pfsense 21.02-RELEASE (amd64)

netgate – Forum – Unbound crashes periodically with signal 11

netgate – Forum – 2.5.0 DNS Service stopping randomly

Wer keine ungetesteten Pakete einspielen möchte, kann sich dadurch behelfen, das die Erweiterung „Service-Watchdog“ (Via „System – Package-Manager“) installiert und (unter „Services – Service Watchdog“) so eingerichtet wird das „unbound“ automatisch neu gestartet wird:

Hat man Benachrichtigungen (unter „System – Advanced – Notifications“) eingestellt, bekommt man die Neustarts zudem mitgeteilt:

Notifications in this message: 1
================================

19:29:00 Service Watchdog detected service unbound stopped. Restarting unbound (DNS Resolver)

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Damit das Alerting Center einer Securepoint UTM erfolgreich Berichte und Alarme zustellen kann, sind nur eine Handvoll an Einstellungen notwendig.

Voraussetzungen

Allen voran muss eine globale E-Mail-Adresse unter „Netzwerk – Servereinstellungen“ hinterlegt sein. Als nächstes muss entweder ein Smarthost (wenn man keinen eigenen Mailserver betreibt) oder ein Mailrelay konfiguriert sein. In der Firewall muss SMTP zugelassen werden.

Tipp: Wer z.B. von einer Außenstelle via S2S-VPN und bei konfigurierten SMTP-Relay zum Mailserver in der Zentrale versenden möchte, sollte unter

Anwendungen - Mailrelay - Allgemein

die ausgehende IP-Adresse auf die der UTM konfigurieren, andernfalls kommt es zu einem Timeout.

Den Versand testen

Damit man nicht auf den eingestellten Zeitpunkt zum Versand eines Berichts warten muss, kann man via „Log“ nach Auswahl von „Nur Meldungen des Alerting Centers anzeigen“ auf „Bericht versenden“ klicken. Gibt es keine aktuellen Meldungen, dann bei „Seit:“ einen längeren Zeitraum auswählen.

Troubleshooting

Ebenfalls im Log nach der Auswahl von „Nur Applikations- und Kernelmeldungen anzeigen“ kann man über die Filterung nach „postfix“ die Protokollzeilen des Versand oder etwaige Fehler beobachten.

Via ssh und als root kann man über den Befehl

mailq

die Warteschlange einsehen und ein erneutes Versenden mit

postqueue -f

erzwingen.

Quellen:

Securepoint – Forum – Smarthost Test ?

Florian’s Blog – Postfix: Kleines Mailqueue Howto

Securepoint – Wiki – UTM – Mailrelay

Securepoint – Wiki – UTM – Alerting Center

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Es gibt einige Stellen wo base64-Daten zum Einsatz kommen, die bekannteste ist wohl die gute alte E-Mail.

Um eben mal schnell Daten von oder zum base64-Format zu bringen gibt es zahlreiche Tools und Hilfsmittel, eines davon ist das gleichnamige portable Tool Base64 von Samuel Lucas.

• Einfach herunterladen und ausführen.
• Im oberen Feld den Text einfügen und anschließend über die gewünschte Schaltfläche de-/kodieren.

Persönlich nutze ich dieses Tool recht gerne um base64-kodierte E-Mails die z.B. in der Defekt- oder Quarantäne-Warteschlange des MDaemon Email Servers sind lesen zu können, ohne gleich auf ein E-Mail-Programm wie Outlook zurückgreifen zu müssen.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Es ist nun eine Woche her das mir folgendes passiert ist:

Bei einem Kunden wurde ein LANCOM-Router der durch die Deutsche Telekom gestellt wurde durch eine Securepoint UTM RC300 ersetzt. Kurz nach dem Tausch kam dann das erste Feedback, dass das Telefon nicht mehr funktionieren würde. Dieser Kunde hat eine Avaya IP Office-PBX im Einsatz (nicht von aus, ich kenne mich damit nicht aus und habe mit dieser Anlage auch nichts zu tun).

Der erste Gedanke war natürlich das es am Portfilter liegen könnte, allerdings war zu diesem Zeitpunkt alles quasi noch auf Durchzug (Any-Regeln) gestellt, da im ersten Schritt der Kunde zunächst wieder online und erst im Nachgang Schritt-für-Schritt die Sicherheit hochgeschraubt werden sollte.

Dem Avaya-Admin fiel zunächst auf, das der SIP-Trunk bei der Deutschen Telekom nicht mehr registriert. Um der Sache auf den Grund zu gehen hatte ich mich mittlerweile per ssh als root mit der Securepoint UTM verbunden um mir mittels tcpdump anzusehen was da verkehrstechnisch passiert, nachdem im Log nichts zu finden war.

Hier zeigte sich schnell, das die Telefonanlage lediglich DNS-Abfragen gegenüber der UTM tätigte, sonst passierte nichts weiter:

tcpdump -i eth1 host 192.168.2.18
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 262144 bytes
11:45:41.053710 IP 192.168.2.18.domain > 192.168.2.1.domain: 13705+ SRV? _sip._tcp.reg.sip-trunk.telekom.de. (52)
11:45:41.053843 IP 192.168.2.1.domain > 192.168.2.18.domain: 13705 3/4/6 SRV n-ipr-a01.edns.t-ipnet.de.:5060 20 0, SRV d-ipr-a02.edns.t-ipnet.de.:5060 30 0, SRV n-ipr-a02.edns.t-ipnet.de.:5060 10 0 (403)
11:46:11.073928 IP 192.168.2.18.domain > 192.168.2.1.domain: 13706+ SRV? _sip._tcp.reg.sip-trunk.telekom.de. (52)
11:46:11.074070 IP 192.168.2.1.domain > 192.168.2.18.domain: 13706 3/4/6 SRV d-ipr-a02.edns.t-ipnet.de.:5060 30 0, SRV n-ipr-a02.edns.t-ipnet.de.:5060 10 0, SRV n-ipr-a01.edns.t-ipnet.de.:5060 20 0 (403)

Wie man sieht fragt die Avaya nach den Service Records für den SIP-Trunk und bekommt sogar eine Antwort, das Ganze wiederholt sich dann endlos, es finden keine weiteren Anfragen statt. Man kann das Ganze zudem mit mehr Details beobachten, das Ergebnis sieht dann wie folgt aus:

tcpdump -i eth1 host 192.168.2.18 -vv

17:07:00.233245 IP (tos 0x0, ttl 99, id 26991, offset 0, flags [none], proto UDP (17), length 80)
192.168.2.18.domain > 192.168.2.1.domain: [udp sum ok] 13731+ SRV? _sip._tcp.reg.sip-trunk.telekom.de. (52)

17:07:00.233372 IP (tos 0x0, ttl 64, id 11121, offset 0, flags [none], proto UDP (17), length 431)
192.168.2.1.domain > 192.168.2.18.domain: [bad udp cksum 0x8710 -> 0xe118!] 13731 q: SRV? _sip._tcp.reg.sip-trunk.telekom.de.
3/4/6 _sip._tcp.reg.sip-trunk.telekom.de. SRV d-ipr-a02.edns.t-ipnet.de.:5060 30 0, _sip._tcp.reg.sip-trunk.telekom.de. SRV n-ipr-a02.edns.t-ipnet.de.:5060 10 0, _sip._tcp.reg.sip-trunk.telekom.de. SRV n-ipr-a01.edns.t-ipnet.de.:5060 20 0
ns: telekom.de. NS dns1.telekom.de., telekom.de. NS dns2.telekom.de., telekom.de. NS secondary006.dtag.net., telekom.de. NS pns.dtag.de.
ar: pns.dtag.de. A 194.25.0.125, dns1.telekom.de. A 194.25.225.19, dns2.telekom.de. A 194.25.225.3, secondary006.dtag.net. A 195.244.245.25, pns.dtag.de.

AAAA 2003:40:8000::100, secondary006.dtag.net. AAAA 2a00:fa8:3:0:100:0:6:1 (403)

Soweit wie ich es beurteilen kann ist alles da. Um sicher zu gehen, das in Sachen VoIP einem nichts durch die Lappen geht zusätzlich noch mit

tcpdump -i wan0 port 5060

geschaut. Das Ganze zusätzlich zudem mit dem eth1-Internface (LAN) wiederholt, bei beiden gähnende Leere. Die Avaya versucht noch nicht mal irgendetwas zu registrieren.

Per Zufall bzw. weil dies Teils des Projekts war fiel dann von einem neuen entfernten Standort (S2S) auf, das die Telefonanlage zudem nicht auf Ping-Anfragen (icmp-echo-request) reagiert. Im lokalen Netz klappt das noch, aber sobald irgendwie Routing ins Spiel kommt ist Feierabend.

Auch das lies sich wunderbar per tcpdump beobachten:

Ping-Test via VPN (keine Antwort von der PBX):

13:22:17.219406 IP 10.1.1.250 > 192.168.2.18: ICMP echo request, id 1, seq 150, length 40
13:22:22.173170 IP 10.1.1.250 > 192.168.2.18: ICMP echo request, id 1, seq 151, length 40
13:22:27.162525 IP 10.1.1.250 > 192.168.2.18: ICMP echo request, id 1, seq 152, length 40
13:22:32.166314 IP 10.1.1.250 > 192.168.2.18: ICMP echo request, id 1, seq 153, length 40

Ping-Test Lokal/LAN:

13:24:29.670160 IP 192.168.2.1 > 192.168.2.18: ICMP echo request, id 48401, seq 0, length 64
13:24:29.673185 IP 192.168.2.18 > 192.168.2.1: ICMP echo reply, id 48401, seq 0, length 64
13:24:30.670179 IP 192.168.2.1 > 192.168.2.18: ICMP echo request, id 48401, seq 1, length 64
13:24:30.673078 IP 192.168.2.18 > 192.168.2.1: ICMP echo reply, id 48401, seq 1, length 64
13:24:31.670202 IP 192.168.2.1 > 192.168.2.18: ICMP echo request, id 48401, seq 2, length 64
13:24:31.672980 IP 192.168.2.18 > 192.168.2.1: ICMP echo reply, id 48401, seq 2, length 64
13:24:32.670227 IP 192.168.2.1 > 192.168.2.18: ICMP echo request, id 48401, seq 3, length 64
13:24:32.671892 IP 192.168.2.18 > 192.168.2.1: ICMP echo reply, id 48401, seq 3, length 64
13:24:33.670250 IP 192.168.2.1 > 192.168.2.18: ICMP echo request, id 48401, seq 4, length 64
13:24:33.672798 IP 192.168.2.18 > 192.168.2.1: ICMP echo reply, id 48401, seq 4, length 64

Da machte sich dann Ratlosigkeit breit. Also mit dem Securepoint-Support in Verbindung gesetzt, dieser bestätigte dann den Verdacht bis hierhin das die Avaya

• a) nur DNS-Abfragen vornimmt und
• b) kein Routing mehr macht bzw. nicht mit dem Gateway kommuniziert.

Der Vollständigkeit halber sei erwähnt, das wir in der Zwischenzeit schon mehrfach alles neu gestartet hatten, ohne das sich irgendetwas geändert hat. Dem Avaya-Admin fiel zudem auf, das die Anlage versuchte den Trunk gegenüber „pns.dtag.de“ also der IP-Adresse „194.25.0.125“ und weiteren zu registrieren, also quasi alle möglichen Telekom-Server abklapperte außer die eigentlichen für den SIP-Trunk zuständigen. Interessanterweise sah man davon nichts via tcpdump. Das Klang dann danach, das diese Anfragen die Anlage schon gar nicht verlassen haben, folglich irgendetwas intern schon falsch abbiegt.

Ein Vorschlag von mir an den Avaya-Admin war dann, doch mal die IP-Konfiguration in der PBX neu einzutragen, in der Hoffnung das dies den wie auch immer gearteten Knoten löst. Durchgeführt wurde dies leider nicht. An dieser Stelle war ich dann zunächst raus, da wie bereits erwähnt ich mit Avaya nichts zu tun habe.

Gute 24 Stunden später meldete sich dann vom Telefonanlagen-Lieferanten der Support beim Kunden-eigenen Avaya-Admin. Der Erzählung nach schaute man sich das Ganze an und änderte letztlich den DNS-Eintrag in der Telefonanlage von der IP-Adresse der UTM auf den Google-DNS-Server „8.8.8.8“. Daraufhin registrierte die Anlage den SIP-Trunk und sie reagiert auch wieder auf Pings von außerhalb des LANs. Kurzum: Es läuft wieder.

Via tcpdump kann man zudem, wenn gerade ein Gespräch geführt wird, ebenfalls mehr „Leben“ sehen:

...
13:39:20.472452 IP <Hostname>.dip0.t-ipconnect.de.12892 > 192.168.2.18.46750: UDP, length 172
13:39:20.479478 IP 192.168.2.18.46750 > <Hostname>.dip0.t-ipconnect.de.12892: UDP, length 172
...

Für mich sieht das danach aus das die Änderung des DNS-Servers in der Avaya den IP-Stack wieder in die Spur gebracht hat, im Grunde also der Effekt den ich mit dem Vorschlag die IP-Konfiguration nochmal einzutragen erzielen wollte. Ich glaube nicht, das es an den DNS-Daten liegt. Da der jetzige Zustand, sprich DNS-Abfragen am Domänencontroller und der UTM vorbei, nicht bleiben soll haben wir vereinbart das wir dieses Thema nochmal in Ruhe angehen.

Ich habe ja schon so einige Router in meinem IT-Leben ausgetauscht, aber sowas ist mir bis dato noch nicht begegnet. Das man ggf. am Regelwerk etwas nachstellen muss ist klar, aber das ein Netzwerk-Gerät quasi ganz aussteigt und das über Neustarts hinweg ist mir neu.

Vielleicht gibt es ja hier Avaya-kundige Kollege*innen mit einer Idee dazu, was da passiert sein könnte.

Links:

Securepoint – Forum – Avaya PBX mit Telekom-SIP-Trunk registriert nicht (mehr)

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Kommen wir doch mal zu einem gänzlich untechnischen Thema und zwar dem Bauen, Spielen und Sammeln mit Klemm- oder Noppensteinen.

Da fühlt an sich doch gleich in die Kindheit zurückversetzt, wenn man mit L…-Bausteinen etwas machen kann. Ja wie, kein Name? Warum?

Der eine oder andere hat es evtl. mitbekommen, zumindest auf YouTube oder anderen Kanälen: Die dänische Firma die mit einem L beginnt und deren Namen für so viele gleichbedeutend mit Klemm- und Noppenbausteinen steht, geht leider erneut juristisch gegen diverse YouTuber und Blogger vor.

Mich betrifft das (bislang) nicht, dennoch mache mir jetzt mal einen Spaß daraus und schreibe nur noch „Die Firma deren Namen nicht genannt werden darf“. Klingt so ein wenig nach Harry Potter, oder?

Jedenfalls angetriggert durch dieses Ereignis und weil bald Ostern vor der Tür steht sowie die Neugierde einen umtreibt bin ich mal ein wenig auf die Suche gegangen, was es denn da noch so gibt.

Dass das Patent für die Klemm-/Noppenbausteine der „Firma deren Namen nicht genannt werden darf“ vor einer Weile ausgelaufen ist hatte ich mitbekommen, ebenso das es seitdem viele Alternativen am Markt gibt. Genau genommen haben andere Hersteller bei uns in der Familie schon unlängst Einzug gehalten. Sei es von Clementoni Constuction Challange (Galileo)-Sets oder Modelle von Cobi.

Ich hatte mich jetzt erstmal ein wenig bei BlueBrixx umgesehen und prompt ein paar Dinger bestellt. Sozusagen als Einstieg und für mal schnell zwischendurch wurde am Vortag der Red Alert 3 von Kazi gebaut:

Wie bei einem schwedischem Möbelhaus sind ein paar Teile übrig geblieben. Der Aufbau als solches ging schnell und gut von der Hand, mit einer Ausnahme:

Die Stifte der Flammenwerfer sind schlicht zu kurz, damit das Alles halten kann. Daher habe ich einfach die Mittelteile (sehen aus wie Räder) weg gelassen. Laune gemacht hat das Ganze dennoch und tut der Sache keinen Abbruch.

Das nächste Set, irgendwie passend zur aktuellen Mars-Rover „Perseverance“-Euphorie, steht ebenfalls schon in den Startlöchern:

Das sind dann schon mal ein paar Teile mehr, ich bin ja mal gespannt.

(Vorläufiges) Schlusswort

Konkurrenz belebt das Geschäft heißt es. Manche sehen das anders und statt sich auf die eigenen Stärken zu konzentrieren wird leider versucht die Mitbewerber klein zu halten. Bloß nicht selber kreativ werden könnte man auch sagen.

Als Ungut empfinde ich wie viele andere ebenso, das man nicht einfach erstmal miteinander spricht, bevor man die „Anwaltskeule“ heraus holt oder den Klappstuhl (frei nach „Der Schuh des Manitu“) ausgräbt.

Nun gut, es ist wie es ist, leider und auch schade, aber (!) es gibt ja wie erwähnt jede Menge Alternativen und da gibt es so manches zu entdecken. Umschauen lohnt sich!

Und nein, diese Zeilen sollen jetzt kein Diss oder Bashing gegen die „Firma deren Namen nicht genannt werden darf“ sein. Ich verdanke den Dänen viele schöne und kreative Stunden in meiner Kindheit und gebe das gerne an meine drei Neffen weiter. Wenngleich zugegebenermaßen das L… bei den Bausteinen nun weggelassen wird. Schließlich möchte man ja nicht alle Klemmbausteine oder Noppensteine von unterschiedlichen Herstellern in einen Topf werfen.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Im Zuge eines Projekts setzen wir unter anderem auf Produkte von Ubiquiti, konkret ging es dabei um Switche und Access Points, für deren Konfiguration der UniFi Controller benötigt wird.

Nun hat man gleich mehrere Möglichkeiten den Controller zu realisieren. Direkt vom Hersteller gibt es die Cloud Keys in unterschiedlichen Ausführungen. Der einfachste ist momentan nicht lieferbar und der nächst größere ist dann für kleine Umgebungen evtl. schon zu viel des Guten. Glücklicherweise bietet Ubiquiti seine Software zur Installation auf Windows und Linux an, man hat also freie Wahl. So könnte man sich auch an einem Offsite-Setup versuchen, für eine Handvoll Geräte allerdings evtl. nicht gerade sinnvoll und soweit ich bislang erfahren habe auch nicht ganz ohne in Sachen Einrichtung und Betrieb.

Zurück zum Thema: Bei dem genannten Projekt gibt es an diesem Standort keinen Server auf dem der Controller eingerichtet werden könnte, da zudem Platz sowie Strom und Kosten gespart werden sollte wurde auf einen Raspberry Pi 3 Model B+ zurückgegriffen.

Eine sehr gute Anleitung zur Installation findet sich hier:

Ubiquiti – Community – [Step-By-Step Tutorial/Guide] Raspberry Pi with UniFi Controller and Pi-hole from scratch (headless)

Allerdings habe ich es dann doch etwas anders gemacht. Zum einen wurde zu Rasbian samt Desktop gegriffen, auf das via VPN zugegriffen werden kann. Der Hintergedanke dabei war, das man im Supportfall mehr Möglichkeiten hat, wie sich zeigen sollte war das eine gute Idee, dazu später mehr.

Die eigentliche Installation erfolgte erstmal Raspi-typisch:

Raspberry Pi – Install Raspberry Pi OS using Raspberry Pi Imager

Raspberry Pi – SSH (Secure Shell)

Raspberry Pi – TCP/IP networking (Feste IP-Adresse)

Da mir der RealVNC Server nicht zusagt (keine kommerzielle Nutzung, erst aktiv nach der Benutzeranmeldung) wurde auf x11vnc zurückgegriffen:

Elektronik Kompendium – VNC-Server auf dem Raspberry Pi einrichten (X11VNC)

Damit nach dem Einschalten des Raspberry Pi’s nicht direkt zum Desktop durchgestartet wird, die automatische Anmeldung deaktiviert:

Da vor Ort kein Display angeschlossen ist und nicht auf die Minimal-Auflösung zurückgesprungen wird, diese manuell festgelegt:

Dann den Controller installiert:

sudo apt-get install openjdk-8-jre-headless -y
sudo apt-get install haveged -y
sudo apt-get install apt-transport-https -y
echo 'deb https://www.ui.com/downloads/unifi/debian stable ubiquiti' | sudo tee /etc/apt/sources.list.d/100-ubnt-unifi.list
sudo wget -O /etc/apt/trusted.gpg.d/unifi-repo.gpg https://dl.ui.com/unifi/unifi-repo.gpg
sudo apt-get update && sudo apt-get install unifi -y

Und natürlich weiter eingerichtet.

Damit der Raspberry Pi ähnlich wie der Cloud Key mittels PoE am Switch mit Spannung versorgt wird, wurde schlicht auf einen PoE-Splitter gesetzt:

Dieser wurde übrigens bei BerryBase erworben.

Hinweis: Diese PoE-Splitter mit USB-Anschluss gibt es in unterschiedlichen Ausführungen, gemeint ist unterschiedlichen USB-Steckern (Micro, Type-C). Darauf muss geachtet werden, damit dieser zum eigenen Raspi passt.

Nachdem soweit alles lief, wurde noch ein Backup der SD-Karte angefertigt:

Raspberry Pi Starter Kits – How to Clone/Backup Raspberry Pi SD Card on Windows, Linux, and MacOS

Zum Abschluss noch ein Schwank aus dem Support:

Schneller als erwartet und gedacht musste auf den Desktop des Raspi’s zugegriffen werden. Es gab dabei kein Problem mit der UniFi-Umgebung, sondern es musste ein bestimmter Zugriff auf eine entfernte Ressource (Site-to-site VPN) über einen Browser getestet und Netzwerk-seitig beobachtet werden.

Soweit bin ich mir dieser Lösung sehr zufrieden, der Controller läuft gut und die Reaktionszeit im Web-Interface passt. Der Desktop des Raspi’s half dann schon im Support-Fall und es bleiben dennoch Ressourcen für weitere Dinge übrig.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Wie in einem anderen Beitrag beschrieben wurde ein Ubiquiti Unifi Controller auf einem Raspberry Pi installiert und läuft seitdem. Damit nun die automatisch erstellten Datensicherungen im Falle eines Ausfalls der SD-Karte nicht verloren sind, sollten diese auf einen (entfernten) Windows-Server synchronisiert werden.

Mein Mittel der Wahl für solche Jobs ist WinSCP, das sich ganz wunderbar automatisieren lässt. Kurz und knackig sieht das Skript wie folgt aus:

@echo off

rem Konfiguration

 rem Arbeitsverzeichnis festlegen

 set WorkingDir=C:\UniFi-Controller-Backup
 cd %WorkingDir%

rem RaspberryPi

 set host=<IP-Adresse-des-Raspberry-Pi>
 set type=scp
 set username=pi
 set password=<Kennwort>

rem WinSCP-Skript erstellen

 echo option batch abort > script.txt
 echo option confirm off >> script.txt
 echo open %type%://%username%:%password%@%host% >> script.txt
 echo synchronize local -resumesupport=on -delete %WorkingDir%\backup /var/lib/unifi/backup >> script.txt
 echo close >> script.txt
 echo exit >> script.txt

rem WinSCP ausfuehren

 del /q winscp.log

 WinSCP\WinSCP.com /script=script.txt /log=winscp.log > winscp-console.log

 if %errorlevel%==1 echo Fehler bei "WinSCP" > error.txt & exit

rem Aufraeumen

 del /q script.txt

Wichtig: Damit man auf das Datenverzeichnis des UniFi Controllers zugreifen kann, muss man zunächst die Berechtigungen anpassen. Es genügt ein lesender Zugriff, der am Beispiel des pi-Benutzers wie folgt erteilt wird:

sudo usermod -a -G unifi pi

Es wird also schlicht der Benutzer „pi“ der Gruppe „unifi“ hinzugefügt. Ab der nächsten Anmeldung via ssh, scp, usw. kann man auf den Pfad zugreifen.

Apropos Pfade (nur zur Info):

„/usr/lib/unifi/data“ ist ein Link zu „/var/lib/unifi“.

Ein paar Erklärungen:

Beim Aufruf der WinSCP.com werden tatsächlich zwei Protokolle geschrieben. Für auf die Schnelle mal nachschauen finde ich die Konsolenausgabe praktischer. Für Details, vor allem im Fehlerfall, ist dann das eigentliche Log interessanter.

Im Fehlerfall wird eine Datei „error.txt“ erstellt, auf deren Vorhandensein z.B. mit Monitoring-Tools geprüft werden und in Folge alarmiert werden kann. Man könnte an dieser Stelle auch ein smtpsend.exe einbauen um direkt eine Mail zu erhalten.

Quellen:

datamate – SPEICHERPFAD DES UNIFI CONTROLLER BACKUPS ÄNDERN

findanyanswer – Where are UniFi controller backups stored?

How-to Geek – Add a User to a Group (or Second Group) on Linux

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Von einem Batch-Skript aus lassen sich eine oder mehrere Zeilen bzw. ganze Ausgaben in die Zwischenablage kopieren.

Die Hilfe dazu sieht so aus:

C:\Windows\system32>clip /?

CLIP

Beschreibung:
Leitet die Ausgabe von Befehlszeilenprogrammen in die
Windows-Zwischenablage um.
Diese Textausgabe kann in andere Programme eingefügt werden.

Parameterliste:
/? Zeigt diese Hilfe an.

Beispiele:
DIR | CLIP Erstellt eine Kopie des aktuellen Verzeichnis-
inhalts in der Windows-Zwischenablage.

CLIP < README.TXT Erstellt eine Textkopie von readme.txt
in der Windows-Zwischenablage.

Einfach mittels Pipe lassen sich Werte, Texte, usw. übergeben:

echo Test | clip

„Test“ lässt sich dann z.B. mittels „Strg + V“ in Notepad oder sonstwo einfügen.

Mehrere Zeilen können so übergeben werden:

(echo Erste Zeile
echo Zweite Zeile
)|clip

Die Zwischenablage kann man mit

echo off | clip

leeren.

Um z.B. eine Variable in die Zwischenablage zu kopieren und nach einer einer gewissen Zeit wieder zu entfernen kann man wie folgt vorgehen:

@echo off

rem Die Zwischenablage leeren

 echo off | clip

rem Die Variable in die Zwischenablage kopieren

 echo %Variable%|clip

rem Pause

 timeout /t 15

rem Die Zwischenablage leeren

 echo off | clip

Quelle:

scunster.co.uk – Send text to Windows clipboard from a batch file

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Wie schreibt man eigentlich eine Rezension über ein Buch? Ein seltsamer Anfang für einen Buchtipp, dennoch passend, denn zum vorliegenden Exemplar von Einstieg in Kali Linux kam ich durch eine Anfrage vom Herausgeber.

Diese freute mich sehr, denn vom mitp-Verlag hatte ich im Laufe der Jahre schon das eine oder andere Werk gelesen. Grundsätzlich hat mir immer gefallen, das die jeweiligen Bücher gut geschrieben waren, die jeweiligen Themen leicht zu lesen und der Stoff gut umsetzbar ist. Kurz und knackig: Passt!

Anmerkung: Nachfolgend gehe ich hauptsächlich auf das vorliegende Buch ein und ergänze ein paar Kleinigkeiten. Dieser Beitrag basiert zudem auf Kali Linux 2020.4. Leider habe ich aufgrund persönlicher Umstände viel Länger für diese Rezension und das Lesen des Buches benötigt als ursprünglich angenommen.

Was ist eigentlich Kali Linux?

Diese Frage lässt sich recht einfach beantworten: Kali Linux ist quasi DIE Linux-Distribution für IT-Sicherheitsexperten und alle die es werden wollen. Sozusagen unter einem Dach findet man sämtliche gängigen Tools um Schwachstellen aufzuspüren.

Einstieg in Kali Linux von Jürgen Ebner ist im November 2020 in der 2. überarbeiteten Auflage erschienen. Das Buch richtet sich an alle Interessierten in Sachen Penetration-Testing & Ethical Hacking, kurzum: An alle denen etwas an IT-Sicherheit liegt, ihre Systeme und Netze auf Lücken und Schwächen abklopfen und sich mit dem Thema vertraut machen möchten.

Einstieg und Aufbau

Zu Beginn erfährt man etwas über die Herkunft und Abstammung von Kali Linux, zudem erhält man einen Grundkurs in Sachen Linux. Dadurch ist dieses Werk selbst für Linux-Einsteiger geeignet. Der Schreibstil lässt sich gut lesen und das Erlernte leicht in die Praxis umsetzen.

Der Autor führt einen durch die Installation und Ersteinrichtung des Systems und besticht an dieser Stelle bereits mit hilfreichen Tipps wie der Einrichtung der Treiber für Nvidia-Grafikkarten. Selbst für den Fall das es Schwierigkeiten bei der Installation gibt, werden gleich mögliche Hilfen zur Fehlerbehebung mitgegeben.

Das Anlegen einer Tastenkombination zum Öffnen des Terminals, den man zukünftig häufig benötigen wird entfällt, da statt Gnome mittlerweile Xfce zum Einsatz kommt und direkt in der Menüleiste eine Verknüpfung zum Terminal als auch die Tastenkombination „Strg + Alt + T“ bereits vorhanden sind.

Tipp: Die vordefinierten Tastenkombinationen findet man unter „Einstellungen – Tastatur – Tastenkürzel für Anwendungen“. Unter Xfce lautet die Befehlszeile zum Aufrufen des Terminals „exo-open –launch TerminalEmulator“.

Erste Schritte

Nach der erfolgreichen Installation geht es an die Grundeinrichtung des Systems, auch hier nach wie vor Einsteigerfreundlich beschrieben wie man beispielsweise die Netzwerkkonfiguration vornimmt oder Benutzer und Gruppen anlegt.

Hinweis: Die Anmeldung an XFCE entspricht nicht mehr der Kombination „root/toor“, sondern es wird der Benutzer verwendet, den man bei der Installation angelegt hat.

Im Terminal kann man die Befehle mit vorangestelltem „sudo“ als root ausführen oder man wird mittels „sudo su“ selbst zu root. Über die „Linux-Basics“ hinaus geht ein kurzer Abriss über PostgreSQL und den Apache Webserver.

Spannend wird es ab dem Punkt „4.3 Hacking-Labor einrichten“ (S. 119 ff), eann nun wird es langsam ernst, wenn auch „nur“ in einer isolierten Test-Umgebung. Hilfreich sind die Hinweise auf geeignete Übungsziele wie ein ungepatchtes eigens zum Testen eingerichtetes Windows, auch wenn Windows XP an dieser Stelle etwas angestaubt wirkt oder Spezial-Distributionen wie beispielsweise Metasploitable.

Tipp: Für die Nutzung von Metasploitable unter Hyper-V kann die vorliegenden virtuelle Maschine aus dem VMware-Format mit Tools wie z.B. StarWind V2V/P2V Converter oder dem Befehl „VBoxmanage“ von VirtualBox konvertiert werden. Für VirtualBox sieht der Befehl wie folgt aus:

VBoxmanage.exe clonehd "D:\Hyper-V\Metasploitable2-Linux\Metasploitable.vmdk" "D:\Hyper-V\Metasploitable2-Linux\Metasploitable.vhd" -format VHD

Wichtig: Unter Hyper-V die VM als „Generation1“ mit einer „Ältere Netzwerkkarte“ anlegen!

Installation unter Hyper-V

Kali Linux kann auf verschiedener Hardware sowie in unterschiedliche Virtualisierungsumgebungen genutzt werden. Je nach Vorhaben und Leistungsfähigkeit der Hardware gibt es allerdings Einschränkungen. Ein WLAN aus einer VM heraus „abzuklopen“ ergibt relativ wenig Sinn, da es keinen Zugriff auf die WLAN-Hardware gibt. In der Regel wird neben der direkten Installation z.B. auf einem Notebook zu VirtualBox oder VMware gegriffen, laufen tut es allerdings auch unter Microsoft’s Hyper-V. Dort kann man sowohl „Generation 1“- als auch „Generation 2“-VMs verwenden. Bei letzterem ist lediglich zu beachten, den „Sicheren Start“ zu deaktivieren. Die passsenden Gasterweiterungen werden bei der Installation gleich mitgenommen.

Zugriff auf Kali Linux

Wie bei den allermeisten Unix-Derivaten kann man selbstverständlich per ssh auf das System zugreifen. Viele Tools funktionieren nur im Terminal bzw. der Shell, so das dies durchaus ein gangbarer Weg ist. Parallel oder alternativ dazu kann man auf den Desktop beispielsweise mit X11VNC zugreifen. In der Dokumentation wird dies sogar inkl. Browser-Zugriff mittesl noVNC beschrieben:

Kali Linux – Docs – Kali In The Browser (noVNC)

Leider wird dort nicht beschrieben, wie man diese beiden Komponenten direkt beim Start des Systems ausführen lassen kann. Zu diesem Punkt gibt es jede Menge weiterer Anleitungen, dazu ein anderes Mal mehr.

Nachfolgend diverse Hinweise zu Änderungen zwischen der Buchvorlage und dem Stand von Kali Linux 2020.4, soweit getestet und bemerkt. Leider konnte ich nicht alle Tools und Konstellationen prüfen.

OpenVAS ist nun GVM

Dem Rolling Release von Kali Linux dürfte geschuldet sein das man mit den OpenVAS-Befehlen aus dem Buch oder das die Dokumentation des Projekts etwas hinterher hinkt. Die zu diesem Zeitpunkt aktuellen Befehle zu OpenVAS sehen wie folgt aus:

sudo apt install gvm -y
sudo gvm-setup
sudo gvm-feed-update
sudo gvm-start

Aus OpenVAS ist GVM geworden. Leider gibt es evtl. noch weitere Überraschungen, daher anbei zwei (imho) hilfreiche Links:

Greenbone – Community – GVM Install & setting on kali linux 2020.3 postgresql error fix

Blog-D – How to: Fix OpenVAS – command not found in Kali Linux 2020.2a

Generell gilt das man für die Ersteinrichtung von OpenVAS bzw. GVM Geduld mitbringen sollte, alleine der Download der aktuellen Regeln braucht seine Zeit.

nmap

Auf Seite 215 befindet sich in der Erklärung zum nmap-Befehlsbeispiel eine kleine Ungenauigkeit. So heißt es dort: „…durch -p werden alle Ports gescannt…“, der Befehl dazu sieht so aus:

sudo nmap -sS -p- -Pn 192.168.178.20

Gemeint ist sicherlich das „-p-“ für das Scannen aller Ports steht. Die Angabe von lediglich „-p“ ohne eine Portnummer, wie z.B. 80 (für http), führt zu einem Fehler.

Dig

Dig ist Teil der Dnsutils und diese müssen zunächst installiert werden, bevor man sie verwenden kann:

sudo apt install dnsutils

Ein Nebeneffekt davon ist, das dann auch der Befehl „nslookup“ zur Verfügung steht.

Fierce

Auch hier haben sich die Dinge geändert. Die aktuelle Version samt Beispielen findet man auf der Projekt-Homepage:

https://github.com/mschwager/fierce

Das Beispiel aus dem Buch funktioniert so nicht mehr. Aktuell sieht der Befehl so aus:

fierce --domain <Domain.tld>

Forensik und Reporting

Gegen Ende des Buches kommen diverse Tools und Punkte hinsichtlich des Erstellens und Analysierens von für eine forensische Untersucht geeigneten Images zur Sprache. Ebenso geht der Autor auf den Bereich des Reportings, der Berichterstellung ein. Beides sind ebenso wie der eigentliche Pen-Test wichtige Angelegenheiten die beachtet werden sollten.

Fazit

Bis auf ein paar Überbleibsel von vorigen Kali Linux Versionen und den allgegenwärtigen Änderungen die durch das Rolling Release zustande kommen, wofür das Buch im übrigen nichts kann, darf man sagen: Gut gemacht! Die 2. Auflage von „Einstieg in Kali Linux“ ist gelungen und führt einen nicht nur an die Technik sondern das Ganze drumherum heran. Man erhält einen guten ersten Überblick in das System sowie in dieses spannende Thema, was Lust auf mehr macht. Sucht man weiterführende Literatur bietet in diesem und vielen anderen Bereichen mitp weitere Werke an.

Spannend ist zudem mal live zu erleben wie Tools von denen man immer wieder hört oder liest funktionieren und was es mit der einen oder anderen Angelegenheit so auf sich hat.

Klopft man eigene oder mit entsprechendem Einverständnis (!) Kunden-Systeme ab und findet dabei etwas, bekommt man gleich einen ganz anderen Eindruck zum Thema IT-Sicherheit.

Danksagung

Vielen Dank an Carina Weisweiler vom mitp-Verlag für die zur Verfügungstellung des Rezensionsexemplars von Einstieg in Kali Linux.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Wie bereits im Beitrag „Die Firma deren Namen nicht genannt werden darf“ oder Alternativen zu L… angekündigt, haben wir (meine bessere Hälfte, mein jüngster Neffe und meiner einer) das Set 203301 von Sembo Block am Wochenende gebaut.

Während der Jüngste und meine Beste den Rover aufgebaut haben, war ich gut mit dem Landemodul beschäftigt. Ca. zwei Stunden und über 700 Teile später waren wir dann fertig:

Was soll man da groß sagen?! „Gut, günstig, passt“ klingt irgendwie billig. Die Teile sind leider beklebt und nicht bedruckt, dennoch sieht’s gut aus. Das Landemodul hat keine Tür, keine Ahnung wie das Mensch und Material rein/raus kommt und ob man auf einer fremden Welt ohne Raumanzug und Helm auskommt ist noch so ein Thema. Sei’s drum- Gefallen hat neben dem Bau an sich, das bei den Figuren der Oberkörper drehbar ist, das kannte ich aus meinen Kindertagen nicht. Soweit hat es einfach Spaß gemacht zu Bauen, wobei so langsam die Frage aufkommt wohin mit den fertigen Sets?! Zwei weitere Sets sind unterwegs, kommen allerdings von weiter weg her, dauert also noch und für Ostern ist ja auch noch was in petto.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Hat man z.B. einen Hyper-V Server mit Drive Snapshot gesichert und benötigt nun Daten aus einem der virtuellen Computer, so kann man sowohl die Datensicherung öffnen als auch die enthaltenen *.vhdx-Dateien bereitstellen.

Es ist nicht notwendig zuvor die *.vhdx-Dateien aus der Datensicherung wiederherzustellen oder zu kopieren!

• Die Voll- oder Differenz-Sicherung mit Drive Snapshot öffnen („View contents of a saved Disk Image – Map and Explore Virtual Drive“).
• Im Explorer in den Unterordner der betreffenden virtuellen Maschine wechseln.
• Die gewünschte *.vhdx-Datei mit der rechten Maustaste anklicken und „Bereitstellen“ auswählen. Ggf. erhält man von Windows folgende Meldung:
  Dies kommt in der Regel daher, das innerhalb der virtuellen Festplatte z.B. die Boot-Partitionen von Windows enthalten sind, die normalerweise keinen Laufwerksbuchstaben haben oder es Partitionen gibt, die nicht formatiert sind.
• Im Explorer kann man nun das oder die Laufwerke der *.vhdx-Datei sehen und auf diese Zugreifen. So lassen sich Dateien und Ordner einfach kopieren.
• Sobald man fertig ist kann die Bereitstellung aufgehoben werden. Klappt dies über den Explorer mit rechter Maustaste und „Auswerfen“ nicht, so kann man den Vorgang über die Datenträgerverwaltung wie folgt versuchen:
  Mit der rechten Maustaste auf die bereitgestellte *.vhdx-Datei klicken und zunächst „Offline“ auswählen, anschließend „Virtuelle Festplatte trennen“ anklicken. Kommt es dabei zu diesem Fehler:
  Dann zuerst die Bereitstellung der Datensicherung durch Drive Snapshot beenden und anschließend den Dienst „Virtuelle Datenträger“ neu starten. Sobald die Datenträgerverwaltung geschlossen und erneut geöffnet wurde ist die virtuelle Festplatte verschwunden.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Unter Umständen kommt es vor, das die automatische Aktualisierung der Virenschutz-Pattern/-Signaturen unter MDaemon Email Server nicht mehr funktioniert.

Ein Grund, bei Einsatzes von MDaemon AntiVirus, kann eine abgelaufene Lizenz oder fehlerhafte Aktivierung sein. Ein weiterer Grund kann ein nicht-vorhandener oder fehlerhafter Zeitplan sein.

Den aktuellen Stand der Signaturen kann man unter „Sicherheit – AntiVirus – AntiVirus – AV-Aktualisierung“ einsehen:

Ein manuelles Aktualisieren, die Ergebnisse der Aktualisierung sowie den Zeitplan kann man über die entsprechend beschrifteten Schalflächen einsehen. Funktioniert die Aktualisierung trotz eines vorhandenen Zeitplans nicht, dann diesen Löschen und neu erstellen:

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/

Ich folge ja selten Trends, ganz gleich wo und wie, aber diesmal geht es irgendwie nicht anders.

Wie bereits in meinem Beitrag „Die Firma deren Namen nicht genannt werden darf“ oder Alternativen zu L… bin ich mit dem was da so läuft nicht ganz glücklich und das Ganze spitzt sich momentan irgendwie zu. Vielleicht liegt es generell an meinem (moralischen) Unverständnis der Handlungen „der Firma deren Namen nicht genannt werden darf“ (Ja, ich weiß, in den Links weiter unten wird der Name dann doch genannt) oder das mein jüngster Neffe heute seinen vierten Geburtstag hat oder das ich eigentlich hätte im November vergangenen Jahres hätte Vater werden sollen (dazu evtl. irgendwann später mehr, wenn ich das Ganze weiter verdaut habe), jedenfalls geht es gerade nicht anders, als dieses Thema aufzugreifen und auf meine Weise im Rahmen dieses Blogs weiter zu verbreiten.

„Stein“ des Anstoßes meinerseits ist (wie bei vielen anderen auch) dieses Video vom Held der Steine:

YouTube – EXTRABLATT!! LEGO® hat mächtig Angst und schlägt wild um sich! Qman® soll vernichtet werden

Und in Folge das Video von Johnny’s World:

YouTube – LEGO® – Zoll und Urheberrechte – Qman Container beim Zoll einkassiert!

Sowie zum jetzigen Zeitpunkt dem letzten Stand:

YouTube – Wasserstandsmeldung zu LEGO®, Zoll, Qman, Bricks4theKids und mir!

Nun zum eigentlichen Grund dieses Beitrag: Die Aktion Bricks4theKids (alternativ Spenden via Paypal an johnnysworld773@gmail.com), also Spielzeug auf Klemmbaustein-Basis für Heimkinder gehört einfach unterstützt, auch wenn die Gründe für deren Ursprung leider eher unrühmlich sind. Es ist schlicht eine gute Sache und sie zeigt alleine schon bis hierhin wie groß der Zusammenhalt der Community und der Zuspruch in der Allgemeinheit ist. Großartig! Weiter so! Jedenfalls habe ich (rein privat!) ebenfalls gespendet und hoffe das von euch gleichfalls etwas dazu kommt.

Durch diese ganze „Aktion“ ist mir als Konsument nun eine weitere Alternative, also Qman und als Shop Steingemachtes bekannt geworden, was sicher nicht im Sinne der „Firma, deren Name nicht genannt werden darf“ ist. Irgendwie sind sie allerdings auch selbst dafür verantwortlich. Ist das eigentlich eine Form des Negative Campaigning, getreu dem Motto „ganz egal ob die Leute gut oder schlecht über dich reden, Hauptsache sie reden über dich“? Ich weiß es nicht, gefühlt geht der Schuss nach Hinten los. Ob das letztlich reicht um eine Abkehr von solchen Schritten gegenüber YouTubern und Blogger sowie Privatleuten (!) zu erreichen bleibt abzuwarten.

Apropos mein jüngster Neffe, Spitzname „Haihappen“ (Uhaha, aus Findet Nemo): Er bekam übrigens das Set DT1685 (Forest Zoo) von HPD (dieser Link führt zu BlueBrixx) von uns geschenkt:

Übrigens: Während wir Erwachsenen uns über so einen Mist aufregen, ist es den Kindern im übrigen völlig egal, vom wem oder welcher Marke die Klemm-/Noppen-Bausteine stammen, Hauptsache Spiel-Spaß! Vielleicht sollten die Dänen die Sache entspannter sehen und lieber Zeit, Geld und Nerven in die Entwicklung guter Sets und die Rückbesinnung stecken, statt in Anwälte und PR-Desaster.

Andy

Schon immer Technik-Enthusiast, seit 2001 in der IT tätig und seit über 10 Jahren begeisterter Blogger. Mit meiner Firma IT-Service Weber kümmern wir uns um alle IT-Belange von gewerblichen Kunden und unterstützen zusätzlich sowohl Partner als auch Kollegen. Die Schwerpunkte liegen auf der Netzwerkinfrastruktur, den Betrieb von Servern und Diensten.

www.andysblog.de/