«Onderbed» hosting is een jargonterm voor een server die zich in een gewone woonhuis bevindt en verbonden is met een thuisinternetverbinding. Op zulke servers werden meestal een publieke FTP-server, de persoonlijke homepagina van de eigenaar en soms zelfs een volledige hosting voor andere projecten gehost. Dit fenomeen was wijdverspreid in de vroege dagen van toegankelijke thuisinternetverbindingen via een vaste lijn, toen de huur van een dedicated server in een datacenter te duur was, en virtuele servers nog niet wijdverbreid of handig genoeg waren.
Vaak werd een oude computer toegewezen als «onderbed» server, waarin alle gevonden harde schijven werden geïnstalleerd. Deze kon ook fungeren als thuisrouter en firewall. Zo'n server was onmisbaar in het huis van elke zelfrespecterende telecommedewerker.
Met de opkomst van betaalbare cloudservices zijn thuisservers minder populair geworden, en tegenwoordig is het maximaal wat je kunt tegenkomen in woonhuizen een NAS voor het opslaan van fotoalbums, films en back-ups.
In dit artikel worden curieuze gevallen besproken die verband houden met thuisservers en de problemen waarmee hun beheerders worden geconfronteerd. Laten we bekijken hoe dit fenomeen er tegenwoordig uitziet en ontdekken wat interessant kan zijn om vandaag op je eigen onderbedserver te hosten.
Servers van het thuisnetwerk in de stad Nova Kahovka. Foto van de site nag.ru
Juiste IP-adres
De belangrijkste vereiste voor een thuisserver was het bezit van een echt, dat wil zeggen vanuit het internet routerbaar IP-adres. Veel providers boden deze dienst niet aan voor particulieren, en je moest het verkrijgen via speciale afspraken. Vaak vereiste de provider een aparte overeenkomst voor de levering van een dedicated IP. Soms voorzag deze procedure zelfs in het aanmaken van een aparte NIC Handle voor de eigenaar, waardoor zijn naam en huisadres beschikbaar waren met behulp van de Whois-commando. In dit geval moest je voorzichtig zijn bij geschillen op het internet, aangezien de grap over «berekenen op basis van IP» geen grap meer werd. Terzijde, niet zo lang geleden was er een schandaal , die besloot om de persoonsgegevens van al zijn klanten in whois te publiceren.
Statisch IP-adres vs DynDNS
Het is goed als je een vast IP-adres hebt kunnen verkrijgen — dan kon je alle domeinnamen eenvoudig naar dat adres doorsturen en het vergeten, maar dat was niet altijd mogelijk. Veel grote ADSL-providers op nationaal niveau gaven hun klanten een echt IP-adres alleen voor de duur van de sessie, wat betekende dat het kon veranderen, hetzij eenmaal per dag, hetzij bij het herstarten van de modem of een verbroken verbinding. In dat geval kwamen diensten zoals Dyn (dynamic) DNS van pas. De meest populaire service, , was lange tijd gratis en bood de mogelijkheid om een subdomein in de zone *.dyndns.org, dat snel kon worden bijgewerkt bij een IP-adreswijziging. Een speciaal script aan de clientzijde communiceerde voortdurend met de DynDNS-server, en als het uitgaande adres veranderde, werd het nieuwe adres onmiddellijk ingesteld in de A-record van het subdomein.
Gesloten poorten en verboden protocollen
Veel providers, vooral grote ADSL-aanbieders, waren tegen het idee dat gebruikers publieke diensten op hun adressen hostten, dus verboden ze inkomende verbindingen op populaire poorten zoals HTTP. Er zijn gevallen bekend waarin providers de poorten van gameservers, zoals Counter-Strike en Half-Life, blokkeerden. Deze praktijk is nog steeds gebruikelijk en veroorzaakt soms problemen. Bijna alle providers blokkeren bijvoorbeeld de RPC- en NetBIOS-poorten van Windows (135-139 en 445) om de verspreiding van virussen te voorkomen, evenals vaak inkomende poorten voor de Email-protocollen SMTP, POP3, IMAP.
Providers die naast internet ook IP-telefoniediensten aanbieden, blokkeren vaak de SIP-protocolpoorten om klanten op die manier te dwingen alleen gebruik te maken van hun telefoniediensten.
PTR en e-mailverzending
Het hosten van je eigen mailserver is een apart en groot onderwerp. Een persoonlijke mailserver onder je bed, die volledig onder jouw controle is, klinkt zeer verleidelijk. Maar de praktische uitvoering bleek niet altijd mogelijk. De meeste IP-adresreeksen van thuisproviders bevinden zich permanent op spamlijsten (), waardoor mailservers eenvoudigweg weigeren om inkomende verbindingen via SMTP te accepteren vanaf IP-adressen van thuisproviders. Het resultaat was dat het bijna onmogelijk was om een e-mail vanaf zo'n server te verzenden.
Daarnaast was het voor het succesvol verzenden van e-mail noodzakelijk om een correcte PTR-record op het IP-adres te installeren, dat wil zeggen de omkering van het IP-adres naar de domeinnaam. De meeste providers stonden hier alleen op in bij speciale afspraken of onder een afzonderlijke overeenkomst.
We zoeken de onderliggende servers van buren.
Met behulp van PTR-records kunnen we bekijken wie van onze buren met dezelfde IP-adressen afspraken heeft gemaakt over speciale DNS-records voor hun IP. Hiervoor nemen we ons thuis-IP-adres en voeren we de opdracht uit. whois, en we krijgen het bereik van adressen dat de provider aan klanten uitgeeft. Er kunnen veel van dergelijke reeksen zijn, maar voor het experiment controleren we er één.
In ons geval is dit de provider Onlime (Rostelecom). We gaan naar en krijgen ons IP-adres:
Overigens is Onlime een van die providers die klanten altijd een vast IP-adres geeft, zelfs zonder de dienst van een vast IP-adres. Dit adres kan maandenlang ongewijzigd blijven.
We zullen het volledige adresbereik 95.84.192.0/18 (ongeveer 16.000 adressen) scannen met behulp van nmap. De optie -sL voert in feite geen actieve scan van hosts uit, maar verzendt alleen DNS-verzoeken, zodat we in de resultaten alleen regels zien die het domein tonen dat aan het IP-adres is gekoppeld.
$ nmap -sL -vvv 95.84.192.0/18
......
Nmap-scanrapport voor broadband-95-84-195-131.ip.moscow.rt.ru (95.84.195.131)
Nmap-scanrapport voor broadband-95-84-195-132.ip.moscow.rt.ru (95.84.195.132)
Nmap-scanrapport voor broadband-95-84-195-133.ip.moscow.rt.ru (95.84.195.133)
Nmap-scanrapport voor broadband-95-84-195-134.ip.moscow.rt.ru (95.84.195.134)
Nmap-scanrapport voor broadband-95-84-195-135.ip.moscow.rt.ru (95.84.195.135)
Nmap-scanrapport voor mx2.merpassa.ru (95.84.195.136)
Nmap-scanrapport voor broadband-95-84-195-137.ip.moscow.rt.ru (95.84.195.137)
Nmap-scanrapport voor broadband-95-84-195-138.ip.moscow.rt.ru (95.84.195.138)
Nmap-scanrapport voor broadband-95-84-195-139.ip.moscow.rt.ru (95.84.195.139)
Nmap-scanrapport voor broadband-95-84-195-140.ip.moscow.rt.ru (95.84.195.140)
Nmap-scanrapport voor broadband-95-84-195-141.ip.moscow.rt.ru (95.84.195.141)
Nmap-scanrapport voor broadband-95-84-195-142.ip.moscow.rt.ru (95.84.195.142)
Nmap-scanrapport voor broadband-95-84-195-143.ip.moscow.rt.ru (95.84.195.143)
Nmap-scanrapport voor broadband-95-84-195-144.ip.moscow.rt.ru (95.84.195.144)
.....
Bijna alle adressen hebben een standaard PTR-record van de vorm broadband-adres.ip.moscow.rt.ru behalve een paar, waaronder mx2.merpassa.ru. Gezien het subdomein mx is dit een mailserver (mail exchange). Laten we dit adres controleren met de service
Het is duidelijk dat het volledige IP-bereik zich in een permanente blacklist bevindt, en e-mails die vanaf deze server worden verzonden, zullen zelden de ontvanger bereiken. Houd hier rekening mee bij het kiezen van een server voor uitgaande e-mail.
Een mailserver in het IP-bereik van je thuisprovider houden is altijd een slecht idee. Een dergelijke server zal problemen hebben met het verzenden en ontvangen van e-mails. Houd hier rekening mee als je systeembeheerder voorstelt om een mailserver rechtstreeks op het kantoor-IP adres in te voeren.
Gebruik ofwel echte hosting, of een e-maildienst. Dit voorkomt dat je vaak moet bellen om te vragen of je e-mails zijn aangekomen.
Hosting op een WiFi-router
Met de opkomst van sommige single-board computers zoals de Raspberry Pi is niemand meer verbaasd over een website die draait op een apparaat ter grootte van een pakje sigaretten, maar zelfs vóór de komst van de Raspberry Pi runde men thuis pagina's direct op een WiFi-router!
De legendarische router WRT54G, van waaruit het OpenWRT-project in 2004 begon
De Linksys WRT54G router, van waaruit het OpenWRT-project begon, had geen USB-poorten, maar slimme mensen vonden gemonteerde GPIO-pinnen die als SPI gebruikt konden worden. Hiermee werd een mod gemaakt die een SD-kaart aan het apparaat toevoegde. Dit gaf enorm veel vrijheid voor creativiteit. Je kon zelfs een volledige PHP opzetten! Ik herinner me persoonlijk nog hoe ik, bijna zonder lastechnieken, een SD-kaart aan deze router soldeerde. Later zouden USB-poorten op routers verschijnen en kon je eenvoudig een USB-stick insteken.
Eerder waren er verschillende projecten op internet die volledig draaide op een thuis WiFi-router, hierover volgt een voetnoot onderaan. Helaas is het me niet gelukt om een enkele actieve website te vinden. Misschien ken jij er een?
Serverkasten van IKEA-tafels
Op een dag ontdekte iemand dat de populaire salontafel van IKEA genaamd Lack perfect geschikt is als standaard rack voor 19-inch servers. Vanwege de prijs van $9 werd deze tafel zeer populair voor het creëren van thuis datacenters. Deze montagetechniek werd de .
De IKEA Lack tafel is perfect als vervanging voor een serverkast
De tafels konden op elkaar worden gestapeld en echte serverkasten worden gebouwd. Helaas, door het fragiele spaanplaat stortten de tafels in onder het gewicht van zware servers. Voor de betrouwbaarheid werden ze verstevigd met metalen hoeken.
Hoe leerlingen me van internet beroofden
Ik had ook mijn eigen onder-bed server, waarop een eenvoudige forum draaide die gewijd was aan gaming onderwerpen. Op een dag moedigde een ontevreden scholier, die gebanned was, zijn vrienden aan, en samen begonnen ze mijn forum te DDoS'en vanaf hun thuiscomputers. Aangezien de internetverbinding toen ongeveer 20 megabit was, slaagden ze erin mijn thuisinternet volledig te paralysieren. Geen enkele blokkade op de firewall hielp, omdat het een totale uitputting van de bandbreedte veroorzaakte.
Van de buitenkant leek het heel grappig:
— Hallo, waarom reageer je niet op mij in ICQ?
— Sorry, ik heb geen internet, ik word geddoost.
Verzoeken aan de provider hielpen niet, ze vertelden me dat het niet hun verantwoordelijkheid was om dit op te lossen, en dat ze alleen al het inkomende verkeer volledig konden blokkeren. Zo zat ik twee dagen zonder internet, totdat de aanvallers zich verveelden.
Conclusie
Hier zou een selectie van moderne P2P-services moeten zijn, die je op een thuisserver kunt opzetten, zoals ZeroNet, IPFS, Tahoe-LAFS, BitTorrent, I2P. Maar mijn mening is de afgelopen paar jaar sterk veranderd. Ik geloof dat het hosten van openbare diensten op een thuis-IP-adres, vooral die welke gebruikersinhoud vereisen te uploaden, een onterecht risico vormt voor alle bewoners van een appartement. Nu raad ik aan om inkomende verbindingen vanuit het internet zoveel mogelijk te blokkeren, af te zien van vaste IP-adressen, en al mijn projecten op externe servers in de cloud te houden.
Volg onze ontwikkelaar op Instagram
Bron: habr.com
