Nach langer Beta- und Testphase haben wir unsere Server größtenteils auf eine Virtualisierung auf KVM Basis umgestellt. Parameter wie CPU-Cores, RAM oder verfügbarer Storage können so problemlos angepasst werden. Durch ein Setup im Cluster mit Compute- und Storagenodes kann die darunterliegende Infrastruktur ohne Downtime fast ohne Grenzen skaliert werden. Damit sind nun auch Snapshots und Live-Migration der VM’s zwischen den Computenodes möglich.
In diesem Zuge wurde der Storage auf SSDs umgestellt, was in Kombination mit dem (min.) 10 GBit schnellen Netzwerk zwischen den Servern zu besonders guter Latenz und Bandbreite führt. Drehende Festplatten sind nur noch an Stellen im Einsatz, an denen die Performance keine nennenswerte Rolle spielt. Der Storagecluster bringt zudem den Vorteil, dass alle Daten dreifach redundant abgelegt werden. Somit ist ein Defekt einer oder mehrerer Festplatten oder selbst eines ganzen Storage-Nodes ohne Einfluss auf den Betrieb kompensierbar.

Sicherheitszertifikate haben eine zeitlich begrenzte Gültigkeit und müssen vor Ablauf erneuert werden. Deshalb haben die Zertifikate unserer Web- und Mailserver ausgetauscht.

Die meisten Programme ziehen sich diese Informationen von alleine und Sie als Benutzer bekommen davon nichts mit. Wenn z.B. ein Mailprogramm wie Thunderbird oder Outlook dennoch Fehlermeldung bzgl. der verwendeten Zertifikate melden sollte, starten Sie das entsprechende Progamm bitte neu. In der Regel sind die Fehler dann behoben.

Wenn Sie die verwendeten Zertifikate auf Ihrem Computer selbst verwalten, gleichen Sie die Fingerprints und Gültigkeitsdauer bitte mit diesen hier ab:

Microsoft weist darauf hin, dass es unter bestimmten Umständen passieren kann, dass Emails gelöscht oder dupliziert werden, wenn man POP3 mit Outlook 2016 nutzt. IMAP Nutzer sind nicht betroffen. Weitere Details und Workarounds finden Sie unter folgendem Link:

https://support.microsoft.com/en-us/kb/3145116

Heute wurde u.a. für diese Webseite ein neues Zertifikat installiert.

Die Verschlüsselung von www.schnied.net (und die anderer Anbieter) können Sie auf der unabhängigen “SSL Server Test” Seite von Qualys SSL Labs selbst überprüfen. Wir bekommen von Qualys für die Umsetzung der SSL Verschlüsselung die Bestnote A+ (Stand Fri, 22 May 2015 08:40:08 UTC)

So sieht das Ergenis des o.g. Test aus:

Unser Carrier hat uns mitgeteilt:

für den Erhalt der Netzstabilität müssen wir eine zentrale Netzwerkkomponente austauschen. Es kann zu dem unten genannten Zeitpunkt zu einer kurzen Unterbrechung im Sekundenbereich kommen.

Der angekündigte Wartungszeitraum beruht auf unseren Erfahrungen aus ähnlichen Arbeiten und im Vorfeld durchgeführten Probeläufen. Trotzdem möchten wir darauf hinweisen, dass sich die Zeit der Wartungsarbeiten im unerwarteten Fall von auftretenden Problemen verlängern kann.
Wir sind bemüht, die Wartungsarbeiten schnellstmöglich abzuschließen und bedanken uns im Vorfeld für Ihr Verständnis.

============================================
Start: 24.03.2015, 16:00 Uhr
Ende: 24.03.2015, 17:00 Uhr
Ort: Rechenzentrum Frankfurt
Art der Arbeit: Austausch eine zentralen Netzwerkkomponente
============================================

Sollten Sie nach Abschluss dieser geplanten Wartung wider erwarten Beeinträchtigungen feststellen, kontaktieren Sie uns bitte umgehend.

UPDATE 17:28
Die Wartungsarbeiten sind abgeschlossen.

Wenn Sie das CardDAV Adressbuch mit Thunderbird und dem SOGo Connector benutzen, bekommen Sie u.U. bei jedem Start von Thunderbird diese Anmeldemaske:

Hier müssen Sie sich mit Ihrer E-Mail-Adresse und dem zugehörigen Passwort authentifizieren. (Die Anmeldemaske kommt unter bestimmten Umständen nicht, wenn Sie z.B. zusätzlich den CalDAV Kalender auch in Thunderbird nutzen und das Passwort gespeichert haben.)

Das Verhalten ist einem Bug im SOGo Connector geschuldet und lässt sich mit dem Thunderbird Addon “Saved Password Editor” beheben. Laden Sie sich dieses Addon herunter und installieren es in Thunderbird. Danach rufen Sie die Thunderbird Einstellungen auf und wählen unter “Sicherheit” den Reiter Passwörter aus. (Alternativ im Menü unter “Extras” -> “Gespeicherte Passwörter”) Bei den gespeicherten Passwörtern legen Sie einen neuen Eintrag nach diesem Muster an:

Typ: Anmerkung
Host: https://oc.schnied.net
Anmerkung: ownCloud
Benutzername: (Bitte mit Ihrer Mailadresse ersetzen)
Passwort: Ihr Passwort zu dem o.g. Mailaccount

Nun sollte nach dem Öffnen von Thunderbird keine Abfrage des Passwortes mehr kommen.

Das hier beschriebene kann potenziell auch auf andere Virenscanner zutreffen.

Beim einrichten von Thunderbird bei einem Kunden meldete dieser ein Problem mit dem Zertifikat unserer Mailserver.

Von “mail.schnied.net” wird ein Zertifikat verwendet, welches von einer handelsüblichen CA ausgestellt ist und mit allen gängigen Mailclients problemlos funktioniert. In diesem Fall hat sich der auf dem Computer vorinstallierte Virenscanner “avast!” in die Kommunikation dazwischen geschaltet. Das macht er, um den Datenverkehr zwischen Client und Server nach Viren zu scannen. (Hoffen wir mal, dass er nur das macht.) Dazu gibt er sich dem Mailserver gegenüber als Mailclient aus und täuscht dem eigentlichen Mailclient vor, dass er der Mailserver ist und ein gültiges Zertifikat für diesen besitzt – was in diesem Fall in die Hose geht. Wenn man sich die Details ansieht, sieht das so aus:

Rein technisch betrachtet muss der Virenscanner das so machen, um den Emailverkehr scannen zu können, bevor er beim Endbenutzer ankommt. Vom Prinzip her ist das eine klassische Man-in-the-Middle-Attacke, welche genau so auch von bösen Buben praktiziert wird um Unfug zu treiben.

Ob man nun den Virenscan für die Emails abschaltet (was sowieso schon auf dem Mailserver gemacht wird), oder irgendein Programm in seine Mails schauen lässt und bewusst auf die Überprüfung der benutzten Zertifikate verzichtet, muss jeder Endbenutzer für sich entscheiden.