Arne P. Böttger

Als Systemadministrator bei einem ISP wird das ein- oder andere Mal auch ein SSL-Zertifikat benötigt. Auf den meisten Webservern werden mehrere Domains gehostet — alles andere würde Mecker vom RIPE geben. Aber was macht man wenn ein Kunde ein SSL-Zertifikat haben möchte?

Solange es kein sogenanntes Wildcard-Zertifikat *.example.com ist sollte man konsequenterweise schon beim ersten SSL-Zertifikat hierfür eine eigene IP-Adresse zur Verfügung stellen. Wieso das?

Angenommen, auf dem Server sind die Domains www.example.com und www.example.org gehostet, für verschiedene Kunden oder Projekte. Nun konfiguriert man den Webserver so, daß der HTTPS-VHost für www.example.com auf der einzigen IP-Adresse des Servers läuft. Soweit ist alles klar, http://www.example.org funktioniert weiter, und http://www.example.com genauso wie https://www.example.com. Aber jetzt kommt das, was manchen Kunden überrascht. Ruft man jetzt https://www.example.org auf, landet man nach einer Sicherheitswarnung auf der Webseite von example.com – denn HTTPS unterstützt keine Name-Based Virtual Hosts, weil die SSL-Aushandlung vor der möglichen Übertragung eines Servernamens erfolgt.

Deshalb, um Verwirrung und Ärger zu vermeiden, sollte man gleich für https://www.example.com eine dedizierte IP-Adresse vergeben.

Wie unterscheidet man eigentlich Multimode (MMF) und Singlemode (SMF) Glasfasern? Am einfachsten über die Ummantelung. Zum Glück gibt es eine Konvention, daß MMF normalerweise orange, SMF normalerweise gelb ummantelt sind. Kleine Randnotiz: Beim Beauftragen von Glasfaser-Verbindungen im Rechenzentrum sollte man frühzeitig von allen beteiligten Parteien in Erfahrung bringen, welchen Fasertyp und welchen Stecker sie sich vorstellen. Sonst braucht man viel Glück damit es hinterher alles übereinstimmt.

Kleiner Tip wenn man per Telnet auf einem Cisco-Router eingeloggt ist und das Log beobachten möchte. Anstatt zwischendurch immer wieder show log einzugeben kann man die Log-Meldungen auf dem aktuellen Virtuellen Terminal ausgeben lassen. Hierzu einfach terminal monitor eingeben.
Will man allgemein zu mehr Disziplin und Bewusstsein bei der Administration sorgen kann man das auch automatisch bei jeder Verbindung aktivieren:

line vty 0 4
        autocommand terminal monitor
        autocommand-options nohangup

Gambit Design hat einen Bandbreitentester für ISPs zum Download – einfach auspacken und die entsprechende Datenbank anlegen, schon können Kunden zumindest grundlegend die Bandbreite ihrer Anbindung testen. Leider bisher nur in Download-Richtung, vielleicht lässt er sich bei Gelegenheit auch für die Upload-Richtung erweitern…

Letzte Woche war viel los, deshalb bin ich nicht zum schreiben gekommen. Aber jetzt habe ich ein paar Beiträge angesammelt, die im Laufe der Woche erscheinen werden.

Ein praktischer Fund diese Woche war Message Lint, genau soetwas habe ich schon länger gesucht. Diese Woche fielen mir die passenden Such-Stichwörter ein und er war gefunden.

Was tut Message Lint? Es prüft E-Mail-Nachrichten auf RFC-Konformität. Das ist sehr praktisch wenn man E-Mails selber generiert. So kann man sicher sein, dass alle MIME-Header stimmen, die Codierung richtig angegeben ist und so weiter.