https://blogs.damiendye.uk/de/categories/networking/ Recent content in Networking on Damien Dyes Blog Hugo de-DE Mon, 14 Sep 2026 15:00:00 +0100 https://blogs.damiendye.uk/de/networking/a-vpn-out-of-parts-and-what-egress-really-is/ Mon, 14 Sep 2026 15:00:00 +0100 https://blogs.damiendye.uk/de/networking/a-vpn-out-of-parts-and-what-egress-really-is/ Ein VPN ist ein virtueller Link plus Träger. Linux liefert für beides ein Programm mit: pppd oder ein Tap-Device, und Netcat. Beide Wege gebaut — über TCP, UDP, TLS und DTLS, mit zstd-Kompression — zeigt, woraus ein VPN besteht, und was Egress wirklich ist: hat ein Angreifer erst Root und der Ausgang ist offen, ist der Tunnel bereits installiert. https://blogs.damiendye.uk/de/networking/protocol-helpers-turn-them-off/ Mon, 14 Sep 2026 09:00:00 +0100 https://blogs.damiendye.uk/de/networking/protocol-helpers-turn-them-off/ Ein NAT-Helper liest in deine Pakete hinein und öffnet eingehende Ports nach dem, was er dort findet. Diesen Text kann jeder schreiben — seit 2010 genügt eine Webseite. Wie Helper arbeiten, wie geprägte Pakete daraus einen Portöffnungsdienst machen, was IPsec-Pass-through tut, warum sie Cyber Essentials reißen, und wie man sie abschaltet. https://blogs.damiendye.uk/de/networking/ipsec-was-a-good-idea-turn-it-off/ Sun, 13 Sep 2026 09:00:00 +0100 https://blogs.damiendye.uk/de/networking/ipsec-was-a-good-idea-turn-it-off/ IPsec band die Sicherheit an die IP-Adresse, dann nahm die Branche die Adresse weg. NAT, doppeltes NAT unter CGNAT, NAT64 ohne Transport, keine Ports und damit kein Lastausgleich, die MTU-Steuer, L2TP, PPTP und Windows-Interop — mit Diagrammen, Cisco- und Juniper-Doku, voller Diagnosemethode und der Begründung, es stillzulegen. https://blogs.damiendye.uk/de/networking/zero-trust-vdi-cloudflare-access/ Wed, 02 Sep 2026 14:00:00 +0100 https://blogs.damiendye.uk/de/networking/zero-trust-vdi-cloudflare-access/ Teil eins: Architektur und Kostenargument dafür, Azure Virtual Desktop durch Proxmox, Intel Arc Pro SR-IOV und Cloudflare Access zu ersetzen. OAuth auf eigener Hardware für die Identität, RDP im Browser gerendert, ein per Firewall eingehegter LXC-Tunnel auf eigenem VLAN, KSM für Speicherdichte und Profile auf Ceph. Gebaut wird im nächsten Teil. https://blogs.damiendye.uk/de/networking/ping-the-diagnostic-tool-that-opens-a-whole-lot-more/ Tue, 01 Sep 2026 08:05:00 +0100 https://blogs.damiendye.uk/de/networking/ping-the-diagnostic-tool-that-opens-a-whole-lot-more/ Warum Ping — ICMP Echo, nicht das restliche Protokoll — ein Risiko ist: ein Kanal, den jeder Host beantworten muss, sodass ein Netz, das ‚nur Ping erlaubt‘, ein VPN nach draußen hat. Die Bedrohung, wer eines öffnet, drei Tunnel (Hans, icmptunnel, einer in Python mit AES-128) und die Regel dagegen: nftables, pf, Cisco, Junos, MikroTik. https://blogs.damiendye.uk/de/networking/how-far-away-is-the-firewall/ Fri, 28 Aug 2026 09:00:00 +0100 https://blogs.damiendye.uk/de/networking/how-far-away-is-the-firewall/ Eine Verbindung, die abläuft, sagt dir nichts darüber, wo sie starb. TTL schon. Hier steht, wie du die Hops zu dem zählst, was deinen Port frisst — auf Linux, macOS, den BSDs, Solaris und Redox, mit einem Skript, das auf Linux keine Root-Rechte braucht. https://blogs.damiendye.uk/de/networking/we-never-ran-out-of-addresses/ Thu, 27 Aug 2026 18:00:00 +0100 https://blogs.damiendye.uk/de/networking/we-never-ran-out-of-addresses/ Das UK hat zwanzig Jahre damit verbracht, Notlösungen an IPv4 zu schrauben, statt IPv6 einzuschalten. Ich habe jedes britische Netz in der Routingtabelle gezählt, um zu sehen, wer es tatsächlich getan hat, und die Antwort sagt: Um Geld ging es dabei nie.