Einträge von Sven Lauritzen

Ein Schmankerl aus einem FTD-Bericht über Griechenland:

Um so putziger wirkt es dann, wenn ein irischer Rentenstratege einer französischen Bank griechischen Anleihen ein starkes erstes Halbjahr 2010 prophezeit, da das Land ungerechtfertigt bestraft würde, man Fortschritte sähe und die neue Regierung sich noch beweisen wolle.

Das ist entweder sehr bildhafte Sprache, die eine um ein H gottgleiche Tätigkeit beschreibt, die Schlussredaktion hat geschlafen, oder sie wurde durch eine weniger aufmerksame automatische Rechtschreibprüfung ersetzt. Kann passieren. Aber folgendes lässt mich grübeln:

Schließlich verlangt die Regierung eine fast 180-prozentige Kehrtwende innerhalb nur weniger Monate von ihnen.

In einem Tortendiagramm sind 180 % einmal rum und 288°. Wo will die Regierung hin?

Ich habe ja lange überlegt, ob ich hier Code aus fremder Feder veröffentlichen kann, so zur Unterhaltung und um die worst Practice zu dokumentieren. Da ich auf vielen Baustellen arbeite, glaube ich, dass man den Code keinen Personen zuordnen kann. Durch verzögerte Veröffentlichung werde ich die Zusammenhänge noch weiter verschleiern. Also traue ich mich mal. Falls sich jemand hier wiederfinden sollte: bitte nicht auf den Schlips getreten fühlen. Schlimmen Code findet man in so ziemlich allen Projekten, das ist nichts besonderes. Deswegen kann ich diese Serie ja starten. Obwohl ich der Überzeugung bin, das ich ganz guten Code schreibe — wäre ich nicht überzeugt, müsste ich's mir einreden, sonst könnte ich meinen Beruf nicht ausüben — gucke ich manchmal nach einigen Monaten auf meinen eigenen Code und kann nur mit dem Kopf schütteln. In Zukunft werde ich nicht zögern, dann an dieser Stelle einen kleinen Beiträg zu veröffentlichen.

Neulich habe ich eine schöne Stilblüte gefunden, die zeigt, wie wenig Code es braucht, um dem Leser einen Knoten ins Hirn zu machen:

   $i = $i ++;

Zu ermitteln, was das Ergebnis dieser Operation ist, überlarlasse ich gerne dem Leser zur Übung.

Ich habe noch eine alte Kiste bei mir im Arbeitszimmer als Router stehen. Früher hat die auch Mails abgeholt, von der Aufgabe habe ich das Gerät aber inzwischen entbunden.

Eben begann die Festplatte, Lärm zu machen. Zu viel Lärm, denn eigentlich hört man die Köpfe nur recht gleichmäßig alle 5 Sekunden über die Magnetscheiben kratzen, wenn der Kernel die Daten aus dem Speicher auf die Platte schiebt. Also habe ich kurz geguckt, ob da Prozesse laufen, die nicht laufen sollen. Dabei habe ich tatsächlich einen Dienst gefunden, der gar nicht mehr benötigt wird. Ein Blick ins Syslog bleib ergebnislos, in auth.log wurde ich aber fündig: Es war wieder mal eine Bruteforce-Attacke auf ssh, sprich, von einer Maschine aus China aus versuchte jemand sich bei mir mit verschiedenen Benutzernamen einzuloggen, so dass ein paar mehr Protokolleinträge anfielen. Das ist nichts ungewöhnliches, das passiert ungefähr täglich. Dabei fiel mir auf, dass ich davon schon mal genervt war. Die Regel, um denjenigen kurzerhand auszusperren, hatte ich nämlich schon fertig. Es wird Zeit, das mal zu automatisieren, so dass bei solchen Attacken von selbst eine Sperre greift. Es kann ja nicht sein, dass man von jedem Punkt der Welt aus Lärm in meinem Arbeitszimmer machen kann.

Hansenet speichert immer noch nicht. Das lässt mich einige Schlampereien in der Buchhaltung vergessen.

Es ist schon zwei Wochen her, dass ich bei einem Spaziergang durch den Altonaer Bahnhof ging, aber was mir dort wiederfuhr, finde ich nach wie vor berichtenswert. Eine Flasche Astra wie eine Gallionsfigur vor sich hertragend kam dort eine Frau auf mich zu und fragte, ob ich einen Flaschenöffner hätte. Ich bejahte und öffnete mit dem Schweizer Messer, das ich immer mit mir führe, die Flasche. Ich weiß nicht, ob sie sich noch bedankte, als sie sich umdrehte, um mich mit dem Kronkorken in der Hand stehenzulassen und auf die zwei Meter entfernte Mülltonne — oder sagt man Recyclingstation? — beinahe zuzustürzen und den Flascheninhalt dort hineinzuschütten. Das war ein schlechtes Geschäft. Auf der Flasche sind nämlich nur 8 ¢ Pfand. Die Punks um die Ecke hätten bestimmt 20 ¢ von ihrem Erschnorrten dafür hergegeben.

Update 04.03.2011: Das unten Beschriebene ist nicht nötig, wenn man im Robot für die IP-Adresse eine MAC-Adresse konfiguriert. Dafür gibt es (inzwischen?) einen recht unauffälligen Button in der IP-Konfiguration unter oder neben der IP-Adresse.

Gestern und heute habe ich versucht, auf einem neuen Server bei Hetzner eine KVM aufzusetzen. Das ging auch alles ganz gut von der Hand, es war ja nicht das erste mal. Verwendet habe ich diese Anleitung. Schwierig wurde es aber, als ich versuchte, das Netzwerk einzurichten. Bemerkbar machte sich das schon bei der Installation. Der Gast konnte keinen Timeserver erreichen, und auf die Paketquellen konnte nicht zugegriffen werden. Über die Probleme bei der Intsallation habe ich erst einmal hinweggesehen und mich auf dem neuen Gast eingeloggt. Gast und Wirt konnten sich gegenseitig erreichen, aber nach und von draußen ging nichts. Der erste eher intuitive Handgriff, den ich vorgenommen habe, war, das IP-Forwarding auf dem Wirt einzuschalten. Danach funktionierte scheinbar alles. Also schnell mit iptables einen Paketfilter hochziehen, dann sollte es gut sein. Ein wenig stutzig wurde ich dabei schon, da eine Bridge ja einen Layer unter IP arbeitet, IP-Forwarding sollte deshalb gar keine Rolle spielen. Es wurde dann auch eine langwierige Geschichte. Ich habe hin- und herkonfiguriert, um letztendlich festzustellen, dass nach 10 Pings grundsätztlich Schluss ist. Egal, wie das Forwarding und der Paketfilter konfiguriert sind.

Etwas klarer wurde die Sache, als ich mir mal mit tcpdump den Netzwerkverkehr im Detail angeguckt habe. Wenn ich vom Gast nach draußen gepingt habe, waren die ausgehenden Pakete auf allen relevanten Interfaces zu sehen. Die eingehenden kamen aber nur bis zum Wirt. Hetzner verwendet wohl gemanagte Switches, bei denen die Ports an IP- und an MAC-Adresse gebunden sind. Das üblich Setup mit der Bridge konnte ich also vergessen. Nun war der Punkt gekommen, Google anzuschmeißen. Und siehe, da gibt's schon eine Anleitung. Richtig gefallen hat mir die nicht, weil sie viel individuelle Konfiguration pro Maschine erfordert. Ich will möglichst nah an den Defaults bleiben, einfach, um mir Arbeit zu sparen. Als Inspiration hat die Aneitung aber durchaus getaugt.

Ich hab's also etwas anders gelöst. eth0 auf dem Host habe ich wie folgt konfiguriert (/etc/network/interfaces). wirts-adresse, hetzner-gateway und gast-adresse sind im Folgenden jeweils durch die IP-Adressen zu ersetzen.

auto  eth0
iface eth0 inet static
  address   wirts-adresse
  netmask   255.255.255.255
  gateway   hetzner-gateway
  pointopoint   hetzner-gateway

Hetzner schreibt bei der Installation eine Regel in die Netzwerkkonfiguration, mit der eine Extraroute gesetzt wird. Die kann man sich damit schon einmal sparen.

Statt eine Bridge aufzubauen, die eth0 mit umfasst, habe ich eine leere Bridge ergänzt:

auto br0
iface br0 inet static
  address   wirts-adresse
  netmask   255.255.255.255
  bridge_ports none
  bridge_fd 9
  bridge_hello 2
  bridge_maxage 12
  bridge_stp off

„bridge_ports none” ist möglicherweise nicht erlaubt, aber ohne diese Anweisung startet die Bridge nicht, und ohne das Argument „none” wird die Konfigurationsdatei als fehlerhaft bemängelt. Mit „none” erhalte ich eine leere Bridge, ohne dass irgendwelche Meldungen erscheinen.

Nun ist fast alles beim Alten. Die Virtuelle Maschine hängt sich ohne weitere Konfiguration beim Start in die Bridge, an der in diesem Setup eth0 nicht teilnimmt. Um die virtuelle Maschine zu erreichen, habe ich eine Route auf die Extra-IP-Adresse eingerichtet, indem ich an den Block für das Interface br0 angehängt habe:

  up route add gast-adresse br0

Die neue IP-Adresse irgendwo anzugeben, bleibt mir sowieso nicht erspart, sobald Hetzner mir eine neue IP-Adresse zuordnet. Insofern ist der Aufwand zu vernachlässigen. Jetzt muss nur noch die Netzwerkkonfiguration des Gastes angepasst werden, ebenfalls in /etc/network/interfaces:

iface eth0 inet static
        address gast-adresse
        netmask 255.255.255.255
        gateway wirts-adresse
        pointopoint wirts-adresse

Das mit den Nameservern lasse ich hier mal aus. Nach einem Neustart des Netzwerks können sich Gast und Wirt gegenseitig erreichen.

Da die Pakete jetzt nich mehr über eine Bridge laufen sondern geroutet werden müssen, muss auf dem Wirt IP-Forwarding eingeschaltet werden. Dazu ändert man eine Zeile in /etc/sysctl.conf:

net.ipv4.ip_forward=1

Danach kann man neu booten, es genügt aber auch „/etc/init.d/procps start” aufzurufen, „sysctl -p /etc/sysctl.conf” auszuführen oder die 1 direkt in die Datei im proc-Dateisystem zu schreiben. Nun lässt sich die virtuelle Maschine auch von außen erreichen.

Damit niemand böses IP-Spoofing betreibt, sollte man nun noch auf dem Wirt mit iptables einen Paketfilter einrichten, der zumindest den Verkehr blockt, der auf dem Wirt über eth0 reinkommt und da auch wieder raus will. Ein kurzer Regelsatz kann so aussehen:

        iptables -F OUTPUT
        iptables -F INPUT
        iptables -F FORWARD

        iptables -P OUTPUT DROP
        iptables -P INPUT DROP
        iptables -P FORWARD DROP

        iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
        iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
        iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

        iptables -A OUTPUT -m state --state NEW -j ACCEPT
        iptables -A INPUT -i lo -m state --state NEW -j ACCEPT

        iptables -A INPUT -p icmp -j ACCEPT
        iptables -A INPUT -p tcp --dport ssh -m state --state NEW -j ACCEPT

        iptables -A FORWARD -i br0 -o eth0 -m state --state NEW -j ACCEPT
        iptables -A FORWARD -i eth0 -o br0 -m state --state NEW -j ACCEPT
        iptables -A FORWARD -i br0 -o br0 -m state --state NEW -j ACCEPT

Ansonsten gibt genug detaillierte Anleitungen im Netz. Auf jeden Fall sollte man dafür sorgen, dass das Regelwerk den nächsen Reboot überlebt.

Ich hatte mal wieder einen Anruf. Eine Stimme vom Band hat auf mein Band gesprochen. Ich hätte etwas gewonnen und solle eine 0900er-Nummer anrufen. Nun wird die Stimme vom Band auf CD gebrannt und an die Bundesnetzagentur geschickt.

Meine ursprüngliche Intention hinter diesem Blogeintrags war zu zeigen, wie einfach es ist, sich gegen solche Anrufe zu wehren. Denn man kann hier: http://www.bundesnetzagentur.de/enid/08397c746b93b9601b6e91839f1af0d6,0/Verbraucher/Rufnummernmissbrauch_-Spam-_Unerlaubte_Telefonwerbung_xy.html Formulare herunterladen, um die Nummer abschalten zu lassen. Hier: http://bo2005.regtp.de/prg/srvcno/srvcno900.asp findet man den Betreiber der 0900er Nummer, in meinem Fall die Nummer 0900/3101341 der Firma Alvimada aus Polen.

Warum ich nicht zur Bundesnetzagentur verlinke? Nun, sie verbietet die Vernetzung in Punkt 4 ihrer Nutzungsbedingungen (http://www.bundesnetzagentur.de/enid/08397c746b93b9601b6e91839f1af0d6,0/3e.html):

Die Einrichtung eines Hyperlinks von anderen Webseiten auf eine der zu diesem Online-Angebot gehörenden Webseiten, ohne vorherige schriftliche Zustimmung der Bundesnetzagentur, wird ausdrücklich untersagt. Insbesondere ist es unzulässig, die zu diesem Online-Angebot gehörenden Webseiten oder deren Inhalte mittels eines Hyperlinks in einem Teilfenster anderer Online-Angebote einzubinden oder darzustellen.

So wanderte mein Fokus während des Schreibens vom Cold Call zur Bundesnetzagentur. Denn diese Klausel ist nicht nur albern, sondern vermutlich auch unwirksam. Mit welchem Recht will die Bundesnetzagentur eine Linksetzung verbieten? Aber wenn die Agentur wünscht, bin ich mal so nett und richte ich mich danach, auch wenn sich mir der Sinn nicht erschließt. Wie soll man sonst mit einer Bundesbehörde verfahren, die für Telekommunikation zuständig ist, aber es verbietet, auf ihre Website zu verlinken und darüber hinaus noch den unsäglichen Disclaimer verwendet, der sich seit einem Urteil des Hamburger Landgerichts im Jahr 1998 wie ein Virus im Internet ausbreitet? Der Gedanke, dass sich mit einem kleinen Hinweis per E-Mail eine Änderung der Nutzungsbedingungen bewirken ließe, erstickt von vornherein in Hoffnungslosigkeit.

„SPIEGEL ONLINE” ist sich für Schlagzeilen nie zu schade. Heute brechen die Aufträge im deutschen Maschinenbau um 43% ein. Und das „zum elften Mal in Folge”. Wenn man das so liest, könnte man den Eindruck gewinnen, der deutsche Maschinenbau würde nur noch aus einer kleinen Butze in Hintertupfingen bestehen.

Wenn man berücksichtigt, dass es um die Zahlen vom August im Vorjahresvergleich geht, sieht das alles gleich weniger schlimm aus. Man muss „SPIEGEL ONLINE” zugestehen, dass das auch so im Text steht, irgendwo zwischen Attributen wie „desaströs”, „massiv” und „rasant”. Den großen Einbruch hatten wir im Verlauf des vierten Quartals 2008 im Zusammenhang mit der Pleite der Lehman Brothers. Seitdem bringt „SPIEGEL ONLINE” jeden Monat so eine Horrormeldung. Tatsächlich ist es so, dass der Auftragseingang dieses Jahr auf niedrigem Niveau verharrt. Würde man das jeden Monat auch so formulieren, wäre die Meldung ungefähr so erfrischend wie die Mitteilung eines Beifahrers an den Fahrer: „Es ist immer noch rot!” Es handelt sich bei dem Artikel eben nicht um eine Meldung, sondern um Effekthascherei, um nicht zu sagen Panikmache.

Eins jedoch finde ich erfreulich: Nach der Logik von „SPIEGEL ONLINE” ist die Krise in Kürze vorbei. Zwar werden die Auftragseingänge weiter auf niedrigem Niveau verharren, in den Zahlen (die „SPIEGEL ONLINE” verwendet) wird sich das aber nicht mehr niederschlagen.

Es ist noch gar nicht so lange her, dass ich zum ersten Mal von Desertec gelesen habe. Die wollen mit solarthermischen Kraftwerken in der Wüste Strom erzeugen. klang das alles noch sehr nach Utopie. Trotzdem spielte der Name von da an in jedem Gespräch eine Rolle, in dem es auch um den Klimawandel ging. Heute macht die Firma wieder eine Schlagzeile. Zwei Dinge finde ich bemerkenswert:

• Desertec ist eine GmbH nach deutschem Recht. So schlecht scheint der Standort Deutschland für solche Vorhaben also doch noch nicht zu sein. Hoffen wir, dass unsere neue Bundesregierung in ihrer Steuerpolitik nicht vom Gegenteil ausgeht.
• Treibende Kraft hinter dem Projekt ist die Münchener Rück. Als Rückversicherer versichert das Unternehmen beispielsweise Naturkatastrophen. Die Versicherungsmathematiker gucken sich dabei die Risiken an und berechnen die Prämien. Es ist ein offenes Geheimnis, das manche Risiken, die heute noch versicherbar sind, das in Zukunft nicht mehr sein werden. Grund dafür ist der Klimawandel. Mit Energiewirtschaft hat die Münchener Rück eigentlich nichts zu tun, steigt aber als branchenfremdes Unternehmen dort ein. Egal, wie man das deutet, ob man annimt, dass sie bereits eingegangene Risiken dämpfen wollen, ob man glaubt, sie versuchen zu hedgen, indem sie ein Unternehmen aufbauen, das dann an Wert gewinnt, wenn bestimmte Schadensfälle eintreten — der Klimawandel ist in der Wirtschaft angekommen. Das ist besorgniserregend und beruhigend zugleich. Ersteres, weil damit wohl auch die letzten Zweifel, sofern die überhaupt noch bestanden, ausgeräumt sein sollten, dass wir auf eine Katastrophe zusteuern. Letzteres, weil sich endlich jemand um das Thema kümmert. Diesmal nicht in Form eines zum Scheitern verurteilten Versuchs der Selbstzügelung, sondern aus handfestem Eigeninteresse.

Inzwischen macht sich auf den Aktienmärkten die Sorge breit, die Aktien könnten inzwischen schon ein wenig hoch bewertet sein. Spiegel online kolportiert bezugnehmend auf Norbert Walter, Chefvolkswirt der Deutschen Bank, wir würden es mit drei „U” zu tun bekommen! Um das zu erklären: Leute, die zu viel mit Geld zu tun haben, sehen Buchstaben in den Börsenkursen. Manche glauben, die Aktienindizes würden in dieser Krise wie ein „V” verlaufen, andere erwarten einen zweiten Einbruch, so dass man hinterher sowas ein „W” erkennen kann. Manche glauben, es werde bei einem Einbruch bleiben, der aber lange anhalte. Das bezeichnen sie dann als „U”. Walter glaubt nun, dass es auf drei „U” hinauslaufen werde. Wer sich Walters Optimismus zueigen machen möchte, der spreche das einfach mal aus: „Uuu!”

Was ist dran an Walters Sorgen? Nach seiner Darstellung befinden wir uns im rechten Teil des ersten „U”. Das nächste „U”, also den nächsten Einbruch, erwartet er infolge steigender Arbeitslosenzahlen. Das würde mich überraschen. Entlassungen werden eigentlich immer als gute Nachrichten für die Unternehmen bewertet, die damit ihre Kostenstruktur bereinigen. Das führt zu steigenden Aktienkursen. Natürlich wirken sich steigende Arbeitslosenzahlen negativ auf die Nachrfage nach Konsumgütern aus. Nur hat der Konsumweltmeister USA den Arbeitsplatzabbau weitestgehend hinter sich. In Europa sind die Sozialsysteme in der Lage, den Nachfragerückgang zu dämpfen. Deutschland als exportorientiertes Land wird dadurch ohnehin weniger betroffen sein.

Das dritte U erwartet Walter, wenn die Zentralbanken die Geldmenge wieder reduzieren. Sowas hatten wir schon mal. Beim letzten mal hat das dazu geführt, dass amerikanische Häuslebauer ihre Hypotheken nicht mehr bezahlen konnten. Das war der erste Strich des Börsenbuchstaben, den wir gerade malen. Wenn wir die Zinswende sehen, können wir getrost von einem neuen Konjunkturzyklus (für Analysten: Chartbuchstaben) sprechen.

In einer Sache schließe ich mich Walters Prognosen an: Ich erwarte auch eine Korrektur an der Börse, wenn auch aus einem ganz anderen Grund. Ich glaube, dass die Aktienkurse in letzter Zeit stark von psychisch getrieben waren. Die Anleger hatten Angst, den Aufschwung zu verpassen. Inzwischen sind die Kurse fundamental überbewertet, so dass sich Unsicherheit einschleicht, auch das ist zum Teil ein psychisches Phänomen. Der Abwärtstrend wird aber höchstens anhalten, bis die Unternehmen nach der Bundestagswahl ihre Kostenstruktur konsolidieren, also Arbeitsplätze abbauen. Dann haben die steigenden Kurse eine fundamentale Grundlage. Dass die knapperen Produktionskapazitäten dann zu steigenden Preisen führen, die die Zentralbanken zwingen, die Geldmenge zu reduzieren, ist das bekannte Spiel der Konjunktur.