Bij een nieuw IP adres hoort ook een nieuw PTR record. En dat moet dan ook weer geregeld worden en daar moet je dan dus ook weer op wachten. En ik heb geen enkele reden om aan te nemen dat iemand het specifiek op mijn IP adres voorzien heeft. En als dat wel zo is heeft een IP adres wissel ook geen zin. Het word immers toch weer de zelfde hostnaam.
Ondertussen vraag ik me af of bij een snelheidsverhoging mijn IP adressen (IPv4 en IPv6) het zelfde blijven. Een verdubbeling voor 24 pj extra is misschien niet zo’n gek plan. Het verminderd de kans dat je PPP LCP pings kwijtraakt.
Ik heb in ieder geval vanochtend even de PPPD herstart zodat de max lcp-echo-failure van 10 (was 4) nu ook geactiveerd is.
Ik heb navraag gedaan hoe men dat deed. Het was niet zo zeer dat elk willekeurig filter per klant kon.
Er waren een aantal standaard filter profielen waar een klant uit kon kiezen. Dat is - denk ik - wél schaalbaar. Ik moet er nog verder over nadenken en zoals inmiddels bekend is hebben we te maken met schaarste in middelen en menskracht.
Dat lijkt mij nu eenmaal evident wanneer je wisselt van IP adres n ik mag glad aannemen dat dit bij DHCP@Freedom een kwestie zal zijn van door haar ingestelde levensduur.
Dat weet je dus niet. Wanneer jij de enige lijkt te zijn, ijkt mij dat voor de hand liggen dat je ms een (zelf?) vervuild adres hebt. Ik heb bv geen last - bemerkt - van wat jou hier dwars zit (zie ook onderop).
Hier kan je dan weer opteren voor het zelf wijzigen van je (DNS) hostnaam (en voor wie het toepast, dan een reverse bevraagd). En ja, wanneer je diensten aanbiedt je dat zelf bij jouw cliënten dan verandert.
Ook hier (net als bij mail) niet onverstandig om een eigen - bvk natuurlijk verhaspelde - hostnaam per eigen client op jouw IP adres te koppelen. NB: dit maakt het ook zo wenselijk dat we/ik een API toegang hebben op de DNS zodat ik niet hoef te webjockeyen.
ik vermoed van wel omdat Freedom die adressen toekent die jouw belichter (layer0) dan af/schaalt op jouw aansluiting.
Interessante bemerking qua snelheid. Het kan (af en toe?) zijn dat ik of anderen ook “last” hebben wat jou hier ‘disrupt’ maar ik/wij die ongevraagde ‘overhead’ niet zo bemerken omdat wij ‘wij’ op 1Gbit zitten te brammen. De FritzBox hier, thuis, doet mij iig niets vreemd melden.
Ik heb sinds half jaren '90 een eigen server. Gewoon thuis in de woonkamer. En gister was mijn domain jarig. 26 jaar oud. Mijn huidige setup bevalt me nog steeds prima.
Kwa veel nare data heb ik wel erger meegemaakt. File descripters die opraken. Dat kwam regelmatig voor. Met de huidige kernels is dit geen probleem meer.
Hier in de buurt is er alleen maar KPN AON. En dan is 1 Gbps een beetje duur. En er is geen enkel garantie dat een DDOSer die niet vol krijgt. Of 10 Gbps. Of meer.
De enige manier om dit tegen te gaan is spoofed packets zo veel mogelijk wegfilteren. En dat kan alleen dicht bij de bron.
Dat ben je hier dus zelf want dichterbij zul je nu niet komen.
Freedom kan/gaat t.a.v. jouw filtering helaas nu niets betekenen. Ik hoop wel dat op termijn poortprofilering bij de ISP mogelijk wordt zodat hun gebruikers kunnen kiezen in elke mate ze van buitenaf aanspreekbaar zijn.
Wanneer de veroorzaker (laten we zeggen) niet traceerbaar is en jij je getargette IP adres/hostnaam cq publiciteit daarvan niet wilt/kan (laten) veranderen, zal het zijn zoals het is.
Dat klopt. In mijn herinnering waren het 4 profielen ofzo, van helemaal open tot alles inkomend blokkeren en een paar tussenvarianten.
Het grootste punt wat ik zie, zeker met de breedbandige verbindingen van tegenwoordig, is dat firewall hardware met dat soort capaciteiten niet goedkoop is, en voor redundantie wil je er dan waarschijnlijk twee hebben. Wil het het onderscheid maken tussen een nieuwe connectie met source poort 443 en een reply op je eigen http(s) request zal je waarschijnlijk wel iets statefulls moeten hebben, met een ACL op een router ga je dat niet redden.
En dan maar africhten dat die voor de “niet filteren” optie ook écht niets doet, dat is vaak ook lastiger dan het lijkt , of je moet met andere netwerk trucs dat verkeer om de firewall een leiden natuurlijk.
Ik hoop niet dat @sput de bron is van de DDoS . In principe is hier BGP flowspec voor bedacht, daarmee kan een ISP aan z’n upstream vragen bepaald verkeer tegen te houden.
Nee zeker niet en ik bedoel dat hijzelf de dichtsbijzijnde locatie is die zijn voor hem ongewenste data kan uitfilteren omdat de voorliggende ISP dat niet wil of kan.
Er waren bij Xs4all iets van 4 profielen zoals anderen al opmerkten.
Maar ik kan me voorstellen dat er andere prioriteiten zijn qua mankracht en apparatuur, al zou er wellicht wel een how-to/advisory onder support op de website geplaatst kunnen worden over het onderwerp blokkeren/filteren van poorten.
Alleen doen we geen DHCP voor je publieke IPv4-adres
PTR records zijn een ding, De wettelijke verplichting op precies te kunnen vertellen wie, wanneer welke IP-adressen gebruikte is een andere. Je PPP-tunnel moet down als de je een ander adres wilt. Moeten we dat dan afdwingen? Of moeten we soms maanden wachten tot het ding een keer down gaat?
Dynamische IP-adressen vergt dus veel werk. En eh… met welk voordeel?
Kijk daar duikt een andere duiveltje op, uit het oneindige meeloerende (telecomwet!!) overheidsdoosje.
Technisch kan imo prima een dynamisch DHCP worden gebruikt voor uitgifte. Een ISP bv Freedom dat dan (als haar kennelijke implementatie) niet zo kan/wilt/doet omdat een ‘bewijs’ van een individueel gebruik/uitgifte daarmee moeilijker wordt etc.etc. Over privacy gesproken … dat iemand dus niet zozeer technisch maar vanwege wettelijk opgelegde traceerbaarheid, geen dynamisch adres mag (en dus daarmee kan) hebben.
Maakt ook - opnieuw - duidelijk dat partijen die niet werken met eigen IP adres, dat met hun uitgifte feitelijk in de praktijk wel zo (moeten) doen.
Dit dan ook scammers in de kaart speelt omdat die “weten” dat een target (min of meer) een vast adres (en zij ook weten wat de VPN’s daarin zijn, die doorgaans meer - of juist omdat ze wat te verbergen hebben, niet !!! - met rust worden gelaten).
Dat lijkt mij evident wanneer de (lease) gebruikstijd, daarin verstrijkt.
Je die expiratie in DHCP (niet heel moeilijk) kunt laten instellen door een gebruiker; en/of - zolang er geen ander keuze is gemaakt - hetzelfde adres weer toe te wijzen.
Maar goed dit element dat een gebruiker zelf controle heeft of het beschikbaar te gebruiken IP adres, is inhoudelijk een non-discussie, gelet dat de ISP - administratief - dat zij administratief moet bijhouden wie wanneer een adres (heeft) gebruikt. Dan ga idd als ISP niet willen dat iemand om bij wijze als Ducker om het uur een ander PPP adres kan gaan (aan)vragen.
Iets met privacy en dat daarmee gericht een adres aanvallen (of traceren) van een specifieke gebruiker - door wie dan ook !!! - minder makkelijk is.
Indien men dan toch hele dynamische series wil aanvallen, om het bedrijf dus te treffen, gaan die als IP-segment door naar de NAWAS.
Hmmmm… dat is maar net wat je bedoeld met vast en wanneer ik een hostnaam gebruik voor interactie, is het daaraan - desnoods dynamisch - gekoppelde adres, niet echt irrelevant.
Het adres op zich is niet relevant, als het maar niet verandert. Interactie verloopt via de hostname maar door vertragingen in DNS propagatie is je site niet altijd bereikbaar als het adres dynamisch is en verandert. Het hebben van een vast IP was voor mij een belangrijke reden om voor Freedom te kiezen (en daarvóór xs4all).
Het is toch wel handig als het niet al te vaak veranderd.
Niet alle secondaries ondersteunen notify. En er word ook nog gecached. Het duurt dus even voordat alles is doorgedruppelt.
Laat ik het duidelijk zeggen. We doen PPPoE en dat is een andere techniek dan DHCP. Daar hebben we om technische redenen voor kozen. Niet om wettelijke! Ik hoop dat dat nu helder is.
Wat ik probeerde duidelijk te maken is dat veranderen naar een dynamisch IPv4 adres niet zo eenvoudig is als jij doet doen voorkomen.
Ik ken overigens geen DHCP-ISP die bij het verstrijken van T1 of T2 (lees RFCs 2131 en 2132) niet reageert met een DHCPACK waardoor de timers worden gereset. De helpdesk ziet je aankomen… Dus ook die adressen zijn redelijk stabiel.
Dynamische adressen komen uit de tijd van het inbellen. Nu zo’n beetje elk huishouden 24x7 online kán zijn biedt dat geen voordelen meer.
Privacy geeft het je sowieso niet omdat competente privacy-schenders geen IP-adressen gebruiken. Veel te onbetrouwbaar met CG-NAT en VPNs. Die werken met unieke digitale kenmerken die aan jouw apparaat, browser of account hangen.
Mocht er een reden zijn tot IP-wissel dan doen we dat.
Die hostnaam is toch makkelijk te (her)coderen naar iets dat dan voor de ander daarmee onbekend is cq wordt ?
Of dat (security-by-obscurity) wenselijk is, hangt geheel samen met de eigen toepassing die je daarvoor wilt (ver)beelden. Een vaste, herkenbare hostnaam (of zelfs domein) is wmb alleen zinnig wanneer je daarmee onbekende gebruikers eenvoudig(er) toegang toe wilt bieden.
Mijn - vertrouwelijke - hosts en clients, hebben zeker geen herkenbaar of daaruit te herleiden hostnaam toepassing. Mijn website heet niet “klantbestand.winkel.nl” maar iets van bv “fyifwiwlgtm.winkel.nl”.
Elders, heb ik een speelsite waar ik de (web)hostnaam periodiek zelfs afwissel.
Op zeg donderdag moet en kan ik die site bv alleen inloggen met bv “donderdag.winkel.nl”. Voor de andere dagen, verwijst het ding naar een afleidende honeypot. DNS propagatie of caching opwaarts; voor uitdagingen zorgen.
Deze thread klotst zo onderhand alle kanten op. Misschien handig als ik eea even toelicht:
Mijn post is niet bedoelt als klaagzang of kritiek. Het is puur bedoelt als informatie in de hoop dat iemand er wat aan heeft.
Deze DDOS (daar lijkt met wel op) vat ik niet persoonlijk op. Ik denk niet dat iemand het op mij persoonlijk heeft gemunt. Daar ben ik gewoon niet controversieel genoeg voor. Ook dicht ik geen bijzonder kenmerken toe aan mijn IP adres. Ik denk niet dat er een vloek op rust of hoe je dit verder ook wilt noemen.
Het is veel waarschijnlijker dat dit vaker voorkomt. Het is vast niet de eerste keer en ook vast niet de laatste. Het is veel waarschijnlijker dat ik geheel toevallig de eerste ben die er een heel klein beetje onderzoek naar doet en daar dan ook nog wat over post. Je kan natuurlijk niet uitsluiten dat deze ene keer uniek is, maar waarschijnlijk is dit niet.
Wrong place wrong time, Roll of the dice. No rime or reason. Of hoe je zoiets ook wilt noemen.
Ik doe een filter voorstel en dat word afgeschoten. Als ik het goed begrepen heb op goede gronden. Zo gaat dat met ideeën. Doe houd je tegen het licht. Het zou niet best zijn als dit niet zo was.
Spoofing blokkeer je bij de bron. Dat is inherent aan hoe spoofing werkt. En voor zover Freedom niet zelf de bron is, dus niet bij Freedom. En ook niet bij mij.
Natuurlijk is voor aanvallen het hebben van een heel normale domeinnaam een potentieel gevaar. Maar ik wil juist door iedereen gevonden kunnen worden, niet om in te loggen maar vooral om mijn website(s) te kunnen benaderen. Voor een stukje beveiliging vertrouw ik op fail2ban, maar dat houdt natuurlijk geen DDOS aanvallen tegen. Gelukkig nog geen last van gehad.
Thx en helemaal helder. Ik geen competentie-discussie wil voeren omtrent een ISP keuze die bepaald (heeft) dat gebruikers harentwege altijd een ‘vast’ adres krijgen. Als dat zo onveranderlijk, is het zo en hoeven ‘we’ als gebruiker het verdere (on)nut daarvan niet zelf te beredeneren.
We redeneren omtrent dynamisch adres vanuit een andere wat (af)wisselende invalshoek omtrent beweegredenen.
Voor wie precies is een vast IP adres dan in welke mate tot doel (on)nuttig of prettig ?
De redenen van een ISP kan ik zeker volgen, echter:
Ik als gebruiker zou de keuze willen hebben om juist geen vast adres ter identificatie te hoeven hanteren. Dat dit niet kan of vanwege ISP onwenselijk is, is dan dat dit door een haar verkozen werkwijze zo impliciet is bepaald.
Op mijn 24/7 telefoon vind ik het fijn dat ik (zo ik zie) juist een afwisseld intern verbonden en extern uitgaand IPv4 adres heb. Zover ik dat kan waarnemen, ook geen last krijg van aankloppende scriptkiddies.
Ik als gebruiker vrij ben om het (on)nut van een vast, herleidbaar IP adres te (over)wegen. Dat ter afweer van ongewenst (ddos)verkeer gericht op een internetaansluiting, het wel degelijk nut kan hebben om dat - mogelijke vervuilde? - adres dan te (kunnen) veranderen.
Of en in welke mate er ook andere inhoudelijke “privacy” schendingen mogelijk zijn, staan weer los van het hebben van een al of niet hebben van een vast IP adres.
gaat idd wat <offtopic> maar goed @sput, het is leuk loopweer.
Naamsbekendheid maakt duaal dat wanneer je zo “gevonden” wilt worden, je je daarmee ook blootstelt aan deurtrappers.
Het toepassen van dan welke - inhoudelijk of betekenisvolle - hostnaam (en laat staan domeinnaam), kan ongevraagde ellende wat voorkomen.
Net als bv gekende poorten op een andere waarde te zetten en niet je SSH dan te draaien op poort 22. Of je ‘html’ pagina op een andere default index.html of .php of te zetten en/of die altijd via pop-up-login elementair af te schermen etc.etc. Beveiliging van “privacy” bestaat niet uit één ding maar omvat een totale set.
Ik heb bv een aantal onherleidbare domeinen die soms - ook in team/werkverband - dan hun speelse nut hebben. Na een jaartje doe ik desnoods naast inhoud dan weer afstand van bv: www.project446.nl.
Dit laatste werkt dan erg prettig en ik desnoods de inhoud overzet als/naar een subdomein (en nee ik heb ook niets te maken met www.project445.nl).
Een naam die alleen specifieke gebruikers aangaat, heeft weinig belang om die - anders dan te onthouden - aan een vindbare betekenis te koppelen.
, of je moet met andere netwerk trucs dat verkeer om de firewall een leiden natuurlijk.
. In principe is hier BGP flowspec voor bedacht, daarmee kan een ISP aan z’n upstream vragen bepaald verkeer tegen te houden.
Kijk zo leer je nog’s wat !!!
op, uit het oneindige meeloerende (telecomwet!!) overheidsdoosje.
en dat daarmee gericht een adres aanvallen (of traceren) van een specifieke gebruiker - door wie dan ook !!! - minder makkelijk is.