Eigentlich ganz einfach

Alles was wir brauchen ist:

• eine IPv6-Adresse
• einen Nameserver, der per IPv6 erreichbar ist
• DNS AAAA-Records
• Apache für den Dualstack-Betrieb konfigurieren

Eine IPv6-Adresse

Der vServer ALUMINIUM von Netcup, auf dem neunzehn83.de läuft, ist IPv6 fähig. Per OpenVCP-Panel kann man bis zu 15 einzelne IPv6-Adressen aktivieren. Nach einem Reboot stehen diese zur Verfügung.

~$ sudo ifconfig
eth0      Link encap:Ethernet  HWaddr 00:24:21:b4:xy:ab
      inet addr:188.40.201.74  Bcast:188.40.201.127  Mask:255.255.255.192
      inet6 addr: 2a01:4f8:100:5462:0:bc28:c94a:1/64 Scope:Global
      inet6 addr: 2a01:4f8:100:5462:0:bc28:c94a:2/64 Scope:Global

Nameserver

Für IPv4 schreibt die DeNIC mindestens zwei Nameserver in unterschiedlichen /24 Netzen vor. Bei IPv6 genügt im Moment noch ein einziger. Wie bereits erwähnt, verwende ich die Nameserver von Regworld, meinem Domain-Registrar. Zusätzlich läuft auf dem vServer noch ein Bind Nameserver als zweiter Secondary. Dieser lauscht auch gleichzeitig an der IPv6-Adresse und wird somit als einziger Nameserver für IPv6-Anfragen genutzt.

Die Nameserver von Regworld kommen dafür leider nicht in Frage, da diese (noch) nicht per IPv6 erreichbar sind. Das lässt sich aber relativ leicht lösen, indem man einen Bind-Nameserver an eine oder mehrere IPv6 adressen binded und als reinen Forwarder für die Regworld-Nameserver via IPv4 konfiguriert.

In meinem Fall gebe ich mich aber mal mangels RAM mit nur einem Nameserver für IPv6 zufrieden.

Zu guter Letzt muss noch ein IPv6 GLUE-Record für den Nameserver angelegt werden. Das geht im Domainrobot von Regworld (AutoDNS) genau so wie bei IPv4: Man schreibt den IPv6-Glue einfach per Leerzeichen vom v4-Glue getrennt dahinter:

ns.example.org 1.1.1.1 ::1

Beim DeNIC-Whois sieht das dann so aus:

DNS AAAA-Records

Was der A-Record bei v4 ist der AAAA (Quad-A) Record bei v6. Diesen legen wir jetzt also für die Domain (neunzehn83.de) und die www-Subdomain an. Zusätzlich habe ich eine neue Subdomain ipv6.neunzehn83.de erstellt, die nur ein AAAA aber kein A Record hat, somit also exklusiv über IPv6 erreichbar ist.

@    IN A    188.40.201.74    
@    IN AAAA 2a01:4f8:100:5462::bc28:c94a:1
www  IN A    188.40.201.74
www  IN AAAA 2a01:4f8:100:5462::bc28:c94a:1
ipv6 IN AAAA 2a01:4f8:100:5462::bc28:c94a:1

IPv6 hat übrigens Priorität vor IPv4, weshalb alle Besucher die sowohl mit IPv4 als auch mit IPv6 unterwegs sind, diese Webseite bereits über IPv6 betrachten.

Apache Dualstack

Dual-Stack nennt man das Verfahren, bei dem der Apache sowohl per IPv4 also auch per IPv6 erreichbar ist. Alles was dafür nötig ist, ist den Apachen auch auf der IPv6-Adresse lauschen zu lassen und die Virtualhost-Konfiguration um die IPv6-Adresse zu erweitern.

Listen 188.40.201.74:80
Listen [2a01:4f8:100:5462::bc28:c94a:1]:80

<Virtualhost 188.40.201.74:80 [2a01:4f8:100:5462::bc28:c94a:1]:80>
[...]
</Virtualhost>

Nach einem Apache-Restart ist alles klar.

IPv6 und Froxlor

Dummerweise schreibe ich für diesen Server die Apache-Configs nicht selbst, sondern lass das Froxlor machen. Froxlor ist der Nachfolger von SysCP, unterstützt aber ebenso noch kein Dualstack, weshalb ich selbst an der Source Hand angelegt habe. Alle Änderungen finden sich in diesem Patch, welchen ich auch in einem Thread bei Froxlor zur Diskussion veröffentlicht habe. In der Datenbank muss die Varchar-Länge des ip-Feldes der panel_ipsandports-Tabelle auf 55 vergrößert werden.

ALTER TABLE `panel_ipsandports` CHANGE `ip` `ip` VARCHAR( 55 ) NOT NULL DEFAULT ''

Nun können unter IPs und Ports Dualstack-IPs angeben werden, indem die IPv4 einfach durch ein Leerzeichen von der IPv6-Adresse getrennt wird:

Achtung: der Patch berücksichtigt nur die Apache und Bind Konfiguration. NGIX und Lighttpd sind unverändert und somit wahrscheinlich nicht funktionsfähig.

IPv6 und PHP

Wenn die eigene Webseite auch per IPv6 erreichbar ist, kann das auch Auswirkungen auf PHP-Scripte haben. $_SERVER['REMOTE_ADDR'] beinhaltet dann nämlich die IPv6-Adresse als String und die ist in den meisten Fällen deutlich länger als eine IPv4-Adresse. Das kann ein Problem werden, wenn die IP-Adresse in einer Datenbank als ein VARCHAR(15) gespeichert wird. Hier benötigt man nun ein VARCHAR(40). Auch ip2long() funktioniert nicht mit IPv6-Adressen.

Wie auch schon letztes Jahr habe ich den Geburtstag (oder sagt man Jahrestag) meines Blogs knapp verpennt. Macht aber nichts, zu bloggen hab ich nämlich auch vergessen. 2011 waren die Anspüche groß, die Resultate blieben aber wie so oft weit hinter den Erwartungen zurück. So habe ich es in einem Jahr auf gerade einmal 16 Beiträge gebracht. Pfui!

2012 wird aber alles besser. Gebloggt wird ab sofort übrigens mit WordPress 3 und markdown (yay). Ideen für neue Beiträge habe ich einige, mitunter sind das echte Kracher, also dranbleiben, denn die kalte Jahreszeit kommt bestimmt.

Möchte man ein SVG in PNG (oder sonstige Pixelgrafikformate) umwandeln, versucht man das wohl zunächst mit ImageMagick. Das funktioniert solange auch prima, bis im SVG ein <textpath> vorkommt. Dieser verschwindet nämlich bei der Umwandlung in ein PNG mit imagick. Selbes Problem tritt mit meiner zweiten Wahl, dem Tool rsvg (librsvg2-bin), auf.

Mit inkscape funktioniert die Umwandlung wie gewünscht. Es ist mit Sicherheit weniger verbreitet wie convert (imagick), aber immerhin ist es als Debian-Paket (“inkscape”) verfügbar. Die Windowsversion ist im Übrigen ebenfalls einen Blick wert: ein wirklich brauchbares, quelloffenes Vektorgrafikprogramm!

reCAPTCHA ist ein sehr verbreiteter Captcha-Service der von Google betrieben wird. Viele Webseiten zeigen via reCAPTCHA-Webservice diese Captchas an, um Ihre menschlichen Besucher von Bots zu unterscheiden. Das Besondere: mit reCAPTCHA werden Bücher digitalisiert, bzw. OCR-Ergebnisse überprüft. Zur Lösung muss der Benutzer zwei Wörter eingeben, wovon aber nur eines bei reCAPTCHA bekannt ist. Beide Wörter stammen aus einem Buch-Scan (Google Books – aber auch andere). Das bekannte Wort wurde bereits durch reCAPTCHA-Benutzer bestätigt oder hat grundsätzlich eine hohe OCR-Genaugigkeit – das unbekannte hat eine niedrige Genauigkeit.

Beide Wörter werden zusätzlich verformt. Früher wurden auch verschiedene Objekte oder Striche über die Texte gelegt. Zur erfolgreichen Lösung reicht die Übereinstimmung des bekannten Wortes. Die Eingaben zum anderen Wort werden lediglich erfasst und bei entsprechender Häufung dazu verwendet das OCR-Ergebnis zu korrigieren bzw. zu bestätigen.

Das erklärt auch, warum bei reCAPTCHA teilweise wirre Worte erscheinen.

In diesem Fall genügt es einfach das zweite Wort einzugeben. Das erste kann frei erfunden werden. Captcha gelöst! Wer also nicht beim Digitalisieren behilflich sein will, der hält sich nicht lange mit dem entziffern auf, sondern gibt irgendetwas ein – das bekannte Wort (und nur darauf kommt es an) ist meist ohne viel Rätseln lesbar.

Es wurde wohl schon genug über das Speichern von Bewegungsdaten auf Apples iPhone geschrieben. Nur eins noch: Mit Hilfe dieser Webseite kann man die consolidated.db (die böse Datei, in der all die Bewegungsdaten gespeichert sind) parsen, und übersichtlich in einer Google-Map darstellen. Das ganze passiert zu 100% Clientseitig mit Javascript. Ausgewählt werden kann direkt der iTunes-Backup-Ordner, oder besser, nur die consolidated.db via Drag&Drop. Bei meinen Tests hat das ausschließlich mit Google-Chrome funktioniert.

Besitzer eines Jailbroken iPhones finden die besagte Datei via scp in

/private/var/root/Library/Cache/locationd/consolidated.db

Übrigens: die Smartphone-Plattform der Datenkrake Goole scheint Apple da in nichts nachzustehen – zumindest beim Datensammeln. Deshalb rate ich allen ihre Häme besser zurückzuhalten ;)

Backups macht man übrigens NUR um die Daten auch tatsächlich wiederherzustellen. Bei Hosteurope könnte man meinen, dass die Wiederherstellung eines vServers das ein oder andere Mal probiert wurde. Offenbar nicht so wirklich.

Disaster Recovery bei Hosteurope vServer: Ein Desaster!

Das SLA von Hosteurope liest sich ja ganz gut, ist aber im Ernstfall Schall und Rauch. Dort wird eine MTTR (mean time to repair, durchschnittliche Reparaturdauer) für einen Hardwaredefekt mit 4 (typisch: 2) Stunden angegeben! Bei Überschreitung der zugesicherten MTTR gibt es pro 30min. 1/30 der Monatsmiete zurück – maximal aber 50%. Für 32 Stunden Downtime gibt es jetzt also ganze 8,50€ Entschädigung – sofern man diese per Fax oder Brief beantragt.

Eine DNS-Umstellung zu Beginn der Downtime wäre im Nachhinein natürlich die beste Entscheidung gewesen. Die Aussagen vom Support sowie die Statusmeldungen (was als Synonym zu verstehen ist) haben aber stets ein baldiges Ende der Restore-Arbeiten versprochen.

Das hier einiges außerplanmäßig schief gelaufen sein muss, ist klar. Dennoch Frage ich mich, was dann den Mehrpreis von Hosteurope gerechtfertigt. vServer mit dieser Spezifikation bekommt man woanders für weniger als die Hälfte. Ebenfalls mit Labeln wie “100% Qualitätshardware” und “Professionelles Knowhow“.

Bis gestern dachte ich, dass man bei Hosteurope tatsächlich mehr bekommt. In diesem Fall leider nicht. Dennoch sind die Probleme mit Hosteurope in der Gesamtheit wohl sehr gering. Zumindest war das immer mein Eindruck bei Recherchen im Internet. Als direkt Betroffener hilft das einem aber auch nicht weiter. Aber warten wir mal ab, ob sich Hosteurope dazu abschließend noch äußert.

Das ist die Chronologie der Statusmeldungen. Interessant: Die Störungsmeldung des parallel bereitgestellten vServers (leider mit anderer IP und somit unbrauchbar) und eine 6 Stunden Downtime während Wartungsarbeiten nur 4 Wochen zuvor. Laut Pingdom macht das seit Beginn der Messungen (01.02.2011) eine Uptime von nur 96,81%.

Der Adobe Reader ist viel mehr als nur ein PDF Reader. Da Adobe gewisse Features an Geschäftskunden verkaufen will, kann der gemeine Adobe Reader viel mehr als nur PDFs anzeigen: Unter der Haube steckt unter anderem ein Dokumentlebenszyklusmanagement (document lifecycle management), ein DRM-Client, Dokumentenstatistiken, Dokument-Verfolgung (document tracking), Unterstützung für Video und Audio bis hin zur Anzeige externer Daten wie z.B. CAD-Daten in einer eigenen 3D-View.  Alle hier gelisteten Features sind im Prinzip im Reader vorhanden – nur zum Erstellen der selbigen benötigt man höhere Versionen der Acrobat-Familie.

Das sind Features, die 99% der Anwender niemals brauchen werden. Doch für Adobe ist die hohe Verfügbarkeit dieser Features getarnt in einem PDF-Reader ein prima Argument, Funktionen wie document-tracking zu verkaufen.

Dennoch werden über Updates auch sicherheitsrelevante Bugs im Reader gefixt – insofern ist das Abschalten des Adobe Updaters nicht der Weisheit letzter Schluss (wenn man die Funktion zum Abschalten überhaupt findet). Wer sich an dem unnötigen Ballast und den häufigen Updates stört greift also besser zu freien Alternativen wie dem Foxit Reader. Auf der anderen Seite macht sich der Ballast kaum bemerkbar und die Updates sind unter’m Strich recht harmlos. Das Neu-Erstellen des Desktop-Icons nach jedem Update hingegen, ist total nervig – wer startet schon einen PDF-Reader über eine Verknüpfung auf dem Desktop??

Augmented reality, die erweiterte Realität: Beispiele dafür gibt es mittlerweile einige – fast alle sind total sinnlos. So wohl auch das App “Word Lens“. Aber es ist einfach nett anzusehen. Im Moment gibt’s das nur fürs iPhone. In der Demo-Version, in der erkannte Wörter lediglich umgedreht statt übersetzt werden, ist es kostenlos. Übersetzungspakete (z. Zt. nur EN<->ES) kosten 3,99 Euro.

Das App funktioniert auch ohne Internetverbindung. Die live OCR-Erkennung, und die miese Maschinenübersetzung  sind für mich noch soweit nachvollziehbar. Aber das Ersetzen des Originaltextes unter Berücksichtigung der Schriftart, -farbe und -größe unter den verschiedensten Winkeln: mind = blown.

Für 2011 nehme ich mir vor, die Frequenz etwas zu erhöhen, auch wenn nach wie vor gilt: Qualität vor Quantität. Zu einem Picdump- oder Linkblog kann ich die Seite ja dann immer noch verkommen lassen.

Für EUCH silent-reader da draußen wird es so langsam höchste Zeit mal einen Kommentar zu hinterlassen. Wenn euch zu meinen sonstigen Posts einfach nichts einfällt, kann ich das gut verstehen. Ist ja stellenweise auch echt kranker Scheiß. Dieser Post hingegen läd selbst den einfachst gestrickten Menschen zum Kommentieren ein. Ich weiß übrigens, dass Ihr mindestens zwei seid, also los!

Wozu überhaupt ein lokaler Mailserver?

E-Mails direkt am Client per POP abzuholen hat einige Nachteile. Besonders dann, wenn man von verschiedenen Rechner auf seine E-Mails zugreifen will. Außerdem ist die Datensicherung, auch bei nur einem Client, echt anstrengend.

Deswegen wurde IMAP erfunden! Mich stört aber:

• Die Daten liegen irgendwo (im schlimmsten Fall bei Google!).
• Begrenzter Speicherplatz: schon allein die Tatsache, dass eine Grenze existiert, stört.
• Lag! Egal ob xxMbit und lokaler Cache: inet < LAN

Ein lokaler Mailserver löst all diese Probleme: E-Mails werden von diversen Konten per POP3 beim jeweiligen Provider abgeholt, und dann per IMAP im lokalen Netz zur Verfügung gestellt.

Die Anforderungen

• Abholung von E-Mails verschiedener POP3-Konten bei verschiedenen Providern (GMX, 1und1, usw.)
• Serverseitige (Spam-)Filter und Weiterleitungen
• Bereitstellung der Mails mehrerer externer POP-Konten in einem IMAP-Postfach (in Unterordnern)
• Versand über den SMTP-Server des jeweiligen Providers
• Internen Mailversand direkt zustellen
• Shared IMAP Ordner

Die Installation

Glücklicherweise sind alle benötigten Tools als Debian-Pakete verfügbar. Als MTA verwenden wir Postfix, IMAP-Postfächer werden von Dovecot bereitgestellt. Sieve filtert die E-Mails serverseitig. Getmail holt E-Mails von POP3-Konten und Spamassassin kümmert sich um den SPAM. Als Bonus gibt’s den Webmailer Squirrelmail mit Avelsieve, zum Erstellen/Bearbeiten von Sieve-Regeln per Browser.

Benutzer

Die verschiedenen Mail-Benutzer sind “normale” Shell-Benutzer. Die Mail-Verzeichnisse sind jeweils im Home-Verzeichnis des Users. Wir entscheiden uns mal für ~/mail. Das Format ist Maildir und die Verzeichnisse cur, tmp und new müssen wir von Hand mit maildirmake unterhalb von ~/mail anlegen oder einmalig in /etc/skel.

Postfix

Eigentlich könnte man die Mails auch direkt vom Client aus wegschicken. Der “Umweg” über den lokalen Mailserver hat aber den Vorteil, dass wir interne Mails direkt zustellen können (dazu später mehr). Außerdem finde ich es schicker, die SMTP-Daten einmalig am Server zu konfigurieren und dann am Client die einfachen Shell-Logindaten einzutippen. Für serverseitige Weiterleitungen (mit Sieve) brauchen wir sowieso einen MTA.

apt-get install postfix postfix-tls

Wir wählen Internetbetrieb mit Smarthost. Wir wollen ausgehende Mails über den jeweiligen SMTP-Server des Mail-Anbieters senden (also alles von me@gmx.net über smtp.gmx.net, alles von you@1und1.de über smtp.1und1.de usw.). Deshalb müssen wir Postfix so konfigurieren, dass es je nach Absenderadresse verschiedene SMTP-Server mit Authentifizierung verwendet. Das geht mit sender_dependent_relayhost_maps:

/etc/postfix/main.cf:

sender_dependent_relayhost_maps = hash:/etc/postfix/sender_relay
smtp_tls_auth_enable = yes
smtp_tls_password_maps = hash:/etc/postfix/tls_passwd

me@gmx.net     [smtp.gmx.net]
you@1und1.de   [smtp.1und1.de]
...

me@gmx.net     Benutzer:Passwort
you@1und1.de   you:geheim

Dovecot

Wir installieren Dovecot 1.2 aus den Lenny-Backports. Warum wir die Backports-Version von Dovecot nehmen, und wie man die Backports zur sources.list hinzufügt, habe ich in einem früheren Beitrag schon einmal erwähnt.

apt-get install -t lenny-backports dovecot-common dovecot-imapd

Getmail4 /Spamassassin

apt-get install getmail4 spamassassin

Jeder Benutzer hat pro Account eine getmailrc_*-Datei in ~/home/.getmail/. Ein Cronjob führt Getmail regelmäßig aus. Ein Lockfile sorgt dafür, dass E-Mails nicht doppelt abgeholt werden, wenn ein von Cron angestoßener Getmail-Prozess einmal länger dauert.

~$ vi ~/.getmail/getmailrc_me_gmx.net
[options]
delete = true
 
[retriever]
type = SimplePOP3Retriever
server = pop.gmx.net
port = 110
username = me@gmx.net
password = geheim
use_apop = false
timeout = 180
delete_dup_msgids = false
 
[destination]
type = MDA_external
path = /usr/sbin/sendmail
arguments = ('-f', 'me@gmx.net', '-oi', 'Shell-Login-Name@Lokaler-Host')
 
[filter]
type = Filter_external
path = /usr/bin/spamc
arguments = ("-s", "250000", "-u", "Shell-Login-Name", "-p", "783", )

An Postfix wird einmal die lokale Adresse (Shell-User@Hostname) und die externe E-Mail-Adresse übergeben. Das erlaubt die spätere Einsortierung in IMAP-Unterordner anhand des POP-Kontos mittels Envelope-From-Header.

Die Spamassassin-Filterung muss direkt von Getmail über [Filter] konfiguriert werden. Die Weiterleitung an Postfix erfolgt nämlich NICHT per SMTP, und somit ist der Spamassassin in Postfix nutzlos.

Der Cronjob

Der Cronjob wird von root ausgeführt und sucht in Home-Verzeichnissen nach getmailrc_*-Dateien. In diesem Beispiel macht er das jede Minute.

~$ sudo crontab -u root -e
*/1 * * * * /usr/local/bin/getthemail.sh >/dev/null 2>&1
  
~$ sudo vi /usr/local/bin/getthemail.sh 
#!/bin/sh
 LOCK_FILE="/var/lock/getthemail"
 if [ ! -f "${LOCK_FILE}".lock ];
 then
 lockfile-create "${LOCK_FILE}"
 lockfile-touch "${LOCK_FILE}" &
 
 for getfile in $( find /home/*/.getmail/ -name getmailrc\* -print )
 do
 Y=ls -l $getfile | awk '{print $3; }'
 touch $getfile
 sudo -u $Y /usr/bin/getmail --getmaildir /home/$Y/.getmail/ --rcfile $getfile
 done
 lockfile-remove "${LOCK_FILE}"
 fi
exit 0;

Sieve-Filterung

Dovecot 1.2 kommt mit eigener Sieve-Implementierung. Ganz fix:

~$ sudo apt-get install squirrelmail avelsieve
~$ sudo vi /etc/dovecot/dovecot.conf
protocols = imap pop3 pop3s imaps managesieve
protocol lda {
   [...]
   mail_plugins = sieve
}

Per Sieve können wir jetzt auch E-Mails von verschiedenen POP3-Accounts in einem IMAP-Account organisieren. Getmail kann Mails verschiedener Konten in einem IMAP-Ordner zur Verfügung stellen. Mit einer Sieve-Regel lassen sich diese E-Mails in verschiedene Ordner schieben. Der Envelope-To-Header entspricht dabei immer der ursprünglichen Ziel-Adresse.

Interne Mails

Da alle ausgehenden Mails über den Postfix laufen ist das ein Klacks! Wir “mappen” externe Adressen auf lokale User-Accounts. Das ganze passiert mit Hilfe von alias_maps

~$ postconf -e alias_maps = hash:/etc/postfix/local_delivery
~$ sudo vi /etc/postfix/local_delivery
test@gmx.net    test

Wobei “test” ein lokaler Shell-Benutzer wäre.

Shared IMAP Ordner

Auch hier bietet Dovecot verschiedene Möglichkeiten. Die einfachste: wir symlinken das Shared-Folder einfach in das jeweilige IMAP-Root-Verzeichnis:

ln -s /home/share/mail /home/user/.Shared

In diesem Fall sharen wir die INBOX des users “share”. Das funktioniert natürlich auch für Unterverzeichnisse. Wichtig ist nur, dass dann der user “user” Schreibrechte auf cur, tmp, new und auf die Dovecot-Index-Dateien des “share”-Benutzers besitzt.