[aods] ACLs opencsw

[Phillip Raffeck]

Hallo Dago,

On 24-06-2026 6:45 PM, Dagobert Michelsen wrote:
> Hallo Phillip,
> 
>> Am 24.06.2026 um 10:05 schrieb Phillip Raffeck <raffeck at cs.fau.de>:
>> danke für die schnelle Antwort.
>>
>>> Öffentlich für alle brauchen wir zum runterladen der Pakete über HTTP, HTTPS und
>>> rsync
>>>     131.188.40.82
>>>     fe80::8:20ff:fe7c:9466/10
>>> auf den Ports 80, 443 und 873.
>>
>> Das ist ne link-local IPv6-Adresse. Die IPv6-Adresse von opencsw-
>> mirror.informatik.uni-erlangen.de ist 2001:638:a000:4140::ffff:82. Ich vermute
>> mal, die war gemeint und hab sie auch so eingetragen.
> 
> Ah, okay, ja.
> 
>> Nur nochmal zur Sicherheit: Dies restlichen DNS-Einträge sind nicht mehr in
>> Benutzung und können bei Bedarf entfernt werden?
> 
> 
> 
>>
>> Viele Grüße
>> Phillip
>>
>> On 23-06-2026 9:49 AM, Dagobert Michelsen wrote:
>>> Hallo Phillip,
>>>> Am 19.06.2026 um 14:43 schrieb Phillip Raffeck <raffeck at cs.fau.de>:
>>>> könntest du uns bitte mitteilen, welche von den folgenden Einträgen noch
>>>> benötigt werden und über welche Ports sie erreichbar sein müssen? Die restlichen
>>>> Ports werden dann defaultmäßig geblockt.
>>>>
>>>>   opencsw2.informatik.uni-erlangen.de (131.188.40.75)
>>>>   opencsw2-rsync.informatik.uni-erlangen.de (131.188.40.76)
>>>>   opencsw2-mirror.informatik.uni-erlangen.de (131.188.40.77)
>>>>   opencsw2-pkg.informatik.uni-erlangen.de (131.188.40.78)
>>>>   opencsw2-lom.informatik.uni-erlangen.de (131.188.40.79)
>>>>   opencsw-rsync.informatik.uni-erlangen.de (131.188.40.80)
>>>>   opencsw-new.informatik.uni-erlangen.de (131.188.40.81)
>>>>   opencsw-mirror.informatik.uni-erlangen.de (131.188.40.82)
>>>>   opencsw-pkg.informatik.uni-erlangen.de (131.188.40.83)
>>>>   opencsw-lom.informatik.uni-erlangen.de (131.188.40.84)
>>>>
>>>> Aktuell sind folgende Regeln bei uns hinterlegt:
>>>>
>>>>   permit tcp 213.178.77.170 131.188.40.79 22
>>> Das ist korrekt - wird für das Monitoring gebraucht.
>>>>   permit tcp 213.178.77.178 131.188.40.79 22
>>> Das ist auch korrekt - das ist mein Service-SSH-Zugang von der Buildfarm hier.
>>>> Ist das ausreichend?
>>> Öffentlich für alle brauchen wir zum runterladen der Pakete über HTTP, HTTPS und rsync
>>>    131.188.40.82
>>>    fe80::8:20ff:fe7c:9466/10
>>> auf den Ports 80, 443 und 873.
>>> Von der Buildfarm aus 213.178.77.176 müssen noch Pakete pushen, das ist per SSH und rsync auf die 131.188.40.82.
>>> Ich hoffe, das sind alle. Sonst müssen wir noch einmal schauen.
> 
> Die 131.188.40.75 brauchen wir auch über Port 22 von der 213.178.77.178 aus.

Hab ich aufgenommen.

> 
> Ansonsten müssen wir da halt mal probieren - Du kannst ja mal ein paar Einträge auskommentieren.
Alles klar. Sobald die neuen ACLs aktiv sind, sind sie ja dann eh erstmal nicht
erreichbar. Falls feststeht, dass bestimmte Domains gar nicht mehr benötigt
werden, gerne bei uns Bescheid geben, damit wir da etwas aufräumen können.

Viele Grüße
Phillip