#Hetzner

Nach einer DNS-Änderung muss man in aller Regel keine zwei Tage warten, das ist ein Überbleibsel aus alten Zeiten. Als ich einen Bestätigungseintrag für eine Domain gesetzt habe, hatten die drei ausgelagerten Nameserver ihn nach rund zwanzig Sekunden. Entscheidend ist die Gültigkeitsdauer, die man selbst vorgibt, nicht ein pauschaler Erfahrungswert aus dem Internet. Wer die eigenen Einstellungen kennt, muss nicht auf eine Faustregel hoffen.

Wenn eine Übertragung mittendrin abbricht, bleibt eine unbrauchbare Datei liegen, die von außen aussieht wie eine fertige Sicherung. Bei uns scheiterte der nächtliche Offsite-Lauf beim Schreiben eines 3,4 Gigabyte großen Archivs auf die Storage Box am Arbeitsspeicher, und danach lag die Datei dort mit falscher Prüfsumme und einem Änderungsdatum aus dem Jahr 1970. Seitdem vergleicht das Skript nach jedem Lauf die Prüfsummen auf dem Ziel und meldet sich, wenn eine nicht passt. Eine halbe Kopie ist gefährlicher als keine, weil sie den Platz der ganzen einnimmt.

Auf den neuen Server muss nur, was sich nicht wiederherstellen lässt. Als wir unser Dokumentenarchiv Paperless auf eine eigene Maschine umgezogen haben, sind die zwölf Gigabyte Originaldateien in gut zwei Minuten mitgegangen. Den dreiundzwanzig Gigabyte großen Suchindex habe ich bewusst zurückgelassen, weil die neue Version ihn ohnehin selbst neu aufbaut. Ein Umzug wird leicht, wenn man vorher trennt, was Original ist und was nur Abbild.

Alles auf den einen großen Server zu ziehen wäre billiger gewesen, und trotzdem bleiben wir verteilt. Wir haben bei Hetzner ein gebrauchtes Blech mit 256 GB Arbeitsspeicher für hundertneun Euro im Monat gemietet, ein Vielfaches unserer kleinen Cloud-Maschine fürs gleiche Geld. Aber ein einzelner Rechner ist ein einzelner Ausfallpunkt, fällt er, fällt alles. Also bleibt der Zugang zur Außenwelt auf der Cloud, das Blech trägt nur die schweren Lasten. Der günstigste Server wird teuer, wenn an ihm allein der ganze Betrieb hängt.

Ob eine Firewall wirklich dicht ist, prüft man von einem fremden Rechner aus, nicht aus dem eigenen Netz. Beim Absichern unseres neuen Hetzner-Servers zeigte mein Port-Scan hinter dem VPN einen offenen Port 80, der von außen gar nicht offen war. Erst die Prüfung von einem neutralen Host ergab das echte Bild: öffentlich erreichbar ist nur noch der Fernzugang. Eine Tür testet man von der Seite, von der ein Einbrecher kommen würde.

Ein überlasteter Server braucht nicht automatisch mehr Rechenleistung, oft fehlt nur Arbeitsspeicher. Unser cpx42 bei Hetzner lahmte, doch die CPU lag zu 62 Prozent im Leerlauf, während 4,3 Gigabyte in den langsamen Swap ausgelagert waren. Ein größerer Cloud-Server hätte teure Rechenkerne mitbezahlt, die wir nie gebraucht hätten, also nahmen wir stattdessen eine gebrauchte Maschine mit 256 Gigabyte RAM. Wer erst nachmisst, welcher Teil wirklich klemmt, kauft nicht den falschen Motor für ein Getriebeproblem.

Bevor man einen größeren Server mietet, sollte man den vorhandenen entlasten. Unserem Server ging der Arbeitsspeicher aus, und die nächstgrößere Maschine bei Hetzner hätte statt sechsundzwanzig gut hundert Euro im Monat gekostet, weil der alte Bestandspreis beim Wechsel unwiderruflich verfällt. Stattdessen habe ich zwei Diensten überflüssige Arbeitsprozesse abgedreht und den Reservespeicher vergrößert: sechs Gigabyte wieder frei, Kosten null Euro. Die günstigste Kapazität ist die, die man schon bezahlt und nur schlecht nutzt.

Ein Erpressungstrojaner kann unsere Datensicherung nicht verschlüsseln, weil sich die Kopie selbst gegen jeden Zugriff sperrt, auch gegen meinen. Unsere Belege liegen zusätzlich im Hetzner Object Storage mit echtem Object-Lock: 14.138 Dokumente, zehn Jahre unveränderbar, unlöschbar selbst mit gestohlenen Administrator-Rechten. Als sich ein lokales Original änderte, verweigerte der Speicher die Überschreibung, genau wie er soll. Ein Backup, das ich selbst noch löschen kann, kann auch ein Angreifer löschen.

Meine eigenen Belege nicht löschen zu können, ist kein Mangel, sondern der ganze Sinn eines revisionssicheren Archivs. Unsere Dokumente wandern jede Nacht in einen Hetzner Object Storage mit echtem Object-Lock, Modus Compliance und zehn Jahren Aufbewahrung, aktuell 14.138 Objekte, die auch ich als Administrator oder ein Angreifer mit gestohlenen Zugängen nicht mehr überschreiben kann. Als der Lauf Fehler meldete, weil sich lokale Originale geändert hatten, war das kein Defekt, sondern die Sperre, die ihre Arbeit tat. Ein Archiv, das der Besitzer selbst überschreiben kann, kann auch ein Angreifer überschreiben.

Die ganze Cloud lag lahm, weil eine einzige Festplatte zu hundert Prozent voll war. Docker konnte für die Gesundheitsprüfungen keinen Prozess mehr starten, also warf der vorgeschaltete Router alle Container als ungesund aus dem Verkehr, und jede Seite die dort hing gab nur noch einen Fehler zurück. Mein erster Verdacht fiel auf die Namensauflösung, dabei genügte ein Blick auf den freien Speicher. Elf Gigabyte Zwischenspeicher gelöscht, und die Dienste kamen von selbst zurück. Das Kleinste, das man übersieht, legt das Größte lahm.

Fällt der eigene Server aus, bleibt die Website trotzdem erreichbar, wenn man die Namensauflösung vorher entkoppelt hat. Bei uns liegt der Master für alle Domains auf einer Maschine bei Hetzner, aber drei kostenlose externe Nameserver halten je eine Kopie und liefern noch vierzehn Tage weiter aus, falls der Master schweigt. Genau das habe ich diese Woche fertig gemacht, kein einzelner Server entscheidet mehr darüber, ob wir im Netz auffindbar sind. Ein Dienst, der den Ausfall eines einzelnen Teils übersteht, ist mehr wert als einer, der nur im Normalfall läuft.

Auf einem laufenden Produktivsystem fragt man, wenn man nicht weiterkommt, statt zu raten. Als ich kürzlich Matrix als Chat-Dienst neben den rund zwanzig Containern unserer Hetzner-Cloud einrichten wollte, war an einer Stelle unklar, wie sich die Anbindung sauber ins bestehende Muster fügt. Früher hätte ich eine plausible Variante einfach ausprobiert; heute halte ich an und kläre die Frage, bevor ich an Mail, Passwörter und Dokumente rühre, an denen der ganze Betrieb hängt. Ein geratener Eingriff am Produktivsystem ist billig im Moment und teuer in der Woche danach.

Angreifer, die fuer jeden Login-Versuch die Adresse wechseln, sperrt man nicht einzeln, sondern als ganzes Netz. Unser Mailserver Stalwart bannt eine Adresse erst nach hundert Fehlversuchen, doch die Probierversuche kamen aus einem ganzen Adressblock, jede Adresse genau einmal, alle dreissig Sekunden eine neue. So lief der Zaehler nie voll. Erst die Sperre des kompletten Blocks in der Hetzner-Firewall brachte Ruhe. Wer nur das einzelne Tuerschloss zaehlt, uebersieht, dass der Angreifer die ganze Strasse hat.

Sehr. Wir haben neun Server auf vier verdichtet und die Datenhaltung auf einen zentralen PostgreSQL-Server zusammengeführt. Die Kosten sind von rund einundachtzig auf sechsundvierzig Euro im Monat gesunken, und statt fünf Backup-Skripten gibt es eins. Weniger Teile heißt vor allem weniger, das nachts schweigend kaputtgehen kann.