Amateurfilm-Forum

Bis jetzt siehts gut aus, hatte auch keine Hänger mehr. Traceroute zeigt den Server selbst trotzdem nicht an:

....
7 isppro-ic-327309-ffm-b1.c.telia.net (62.115.32.211) 18.504 ms 18.785 ms 18.519 ms
8 po205.bbsw-h2-j1a.as35366.net (185.2.8.13) 24.481 ms 24.655 ms 24.613 ms
9 po163.dsw-c6kb.as35366.net (185.2.8.142) 25.003 ms 25.199 ms 24.963 ms
10 * * *
11 * * *
12 * * *

Die eigene Einwahl-IP taucht im ausgehenden Traceroute nie auf, nur die vom Gateway des Providers. Der Server am Ende müsste aber schon auftauchen, außer ICMP Pakete werden weggefiltert. Aber egal, hauptsache das Forum tut

...hab mich darüber auch schon gewundert. Das geht aber nur, wenn der zweite Server im gleichen Netzwerksegment ist und der Hoster keine Sicherheitsmaßnahmen dagegen eingebaut hat. Sauber wäre es, wenn die IP Adresse des Servers statisch der zugehörigen MAC Adresse zugeordnet ist und diese fest an den jeweiligen (vermutlich virtuellen) Switchport genagelt wird. Dann sind solche - egal ob gewollten oder versehentlichen - Spoofing Angriffe nicht möglich.

Die IP muss im selben Subnetz gewesen sein, sonst kann dir keiner auf dem Weg die Seite "klauen". Wenn ich irgendwo deine IP auf einem Server eintrage, läuft das Routing trotzdem nicht zu mir, die Router im Internet wissen ja nix von meiner Aktion und ein normalsterblicher Internet User kann nicht einfach mal so eine Route umleiten.

Jetzt wirds Technisch und irrelevant für die Filmbranche: Das IP Spoofing klappt nur, wenn ein Server die ARP Anfrage nach der zu deiner IP gehörenden MAC Adresse falsch beantwortet oder die MAC Tabelle der Switchumgebung mit einem falschen Eintrag "vergiftet" (ARP Poisoning). Dagegen hilft besagte statische MAC-IP Zuordnung. Jetzt kann dir immernoch jemand die MAC Adresse selbst klauen, dazu muss er sie aber erst mal wissen, nach dem ersten Router sieht man die nicht mehr. Auch das geht nicht, wenn auch die MAC zu Port Zuordnung statisch ist. Wenns wirklich so war wie beschrieben, ist dort dieh Sicherheitskonfiguration zumindest nicht maximal ausgereizt. Irgendwie aber auch traurig, daß das mittlerweile nötig ist. Früher hat man sich im RZ nicht so eine Mühe gemacht, weil alle mit Admin Zugriff anständig waren und alles auch ohne 1000% Sicherheit funktioniert hat.