Base di conoscenzaI runbook, per intero, su un'unica pagina.

Se intende inviare posta, non è opzionale — un PTR non corrispondente è di gran lunga il motivo più comune per cui un nuovo IP viene rifiutato ovunque.

1. 01
   Punti prima un hostname verso l'IP Il record diretto deve esistere prima che quello inverso abbia un significato.

   mail.example.com.  A  203.0.113.10

   Copia
2. 02
   Richieda il PTR Servizi → la macchina → Altro, e ci fornisca l'hostname. Impostato lo stesso giorno.
3. 03
   Confermi che entrambe le direzioni coincidano Diretto e inverso devono corrispondere, altrimenti non ha ottenuto nulla.

   dig +short mail.example.com
   dig +short -x 203.0.113.10

   Copia

Gestisce un nodo di uscita Tor? Imposti un PTR che lo indichi. Fa risparmiare a ogni operatore che osserva il Suo traffico un lavoro di ricerca, e Le risparmia i rapporti di abuso che derivano dalle loro supposizioni.

Chiusa per impostazione predefinita su ogni nuova macchina. Non per impedirLe di inviare posta, ma per evitare che una macchina incustodita acquisisca una reputazione che il resto della gamma di indirizzi eredita poi.

1. 01
   Chieda, e indichi lo scopo Una frase è sufficiente. Verifichiamo che ci sia una persona dietro, non verifichiamo la Sua attività.
2. 02
   Imposti il PTR prima di inviare qualsiasi cosa Veda la voce reverse DNS sopra. Inviare per primo e sistemare il DNS dopo significa partire con la reputazione già compromessa.
3. 03
   Pubblichi SPF, DKIM e DMARC Tutti e tre. Due su tre è un problema di recapitabilità che Le costerà una settimana di diagnosi.

La posta massiva non richiesta è vietata dalla politica di uso accettabile e lo sarà sempre. La posta transazionale, le newsletter richieste dagli utenti e la Sua corrispondenza personale non lo sono.

Ogni macchina riceve un /64 senza costi aggiuntivi. Allocazioni maggiori su richiesta, sempre senza costi aggiuntivi.

1. 01
   Trovi il prefisso Nel pannello della macchina nell'area clienti, accanto all'IPv4.
2. 02
   Configurarlo in modo statico Debian e Ubuntu, in /etc/netplan o /etc/network/interfaces.

   ip -6 addr add 2001:db8:1234:5678::2/64 dev eth0
   ip -6 route add default via 2001:db8:1234:5678::1

   Copia
3. 03
   Provi entrambe le famiglie Un host che risponde su v4 e fallisce silenziosamente su v6 è peggiore di uno senza v6 del tutto.

   ping6 -c3 2606:4700:4700::1111

   Copia

Lo spazio di indirizzi non è misurato e qui gli indirizzi aggiuntivi non sono venduti a unità.

L'ordine di questi passaggi è essenziale. Consenta SSH prima di impostare la policy predefinita, ogni volta.

1. 01
   Consenta prima ciò di cui ha bisogno SSH, poi i suoi servizi.

   ufw allow 22/tcp
   ufw allow 80,443/tcp

   Copia
2. 02
   Solo allora imposti il predefinito Invertire queste due righe è il modo in cui le persone finiscono per richiedere una console.

   ufw --force enable

   Copia
3. 03
   Verifichi da un'altra fonte Da un'altra macchina, non dalla sessione che ha già aperta.

   nmap -Pn -p 22,80,443 203.0.113.10

   Copia

Il filtraggio DDoS avviene al confine e non è influenzato da nulla di ciò che Lei fa qui. Il Suo firewall gestisce ciò che arriva alle Sue porte; il nostro gestisce ciò che non le raggiunge mai.

Il Suo account detiene un saldo e può ordinare servizi. Merita più protezione delle macchine stesse.

1. 01
   Usi una password che non usa altrove Non c'è alcun documento d'identità dietro questo account, il che significa che nessun operatore del supporto potrà mai ripristinarlo per Lei. È il compromesso che ha scelto e merita di essere rispettato.
2. 02
   Attivi l'autenticazione a due fattori Area clienti → Account. Qualsiasi applicazione TOTP.
3. 03
   Conservi la chiave dell'account offline È necessario per confermare un prelievo se l'autenticazione a due fattori non è attiva, e non può essere riemesso da nessuno.

Conserviamo un hash della Sua password e nient'altro. La perdita sia della password che dell'indirizzo email dell'account è irrecuperabile, per progettazione.

Consentito, exit inclusi, su hardware dedicato. Comunicarci quando ne attiva uno cambia il modo in cui leggiamo la prima segnalazione di abuso a riguardo.

1. 01
   Ci comunichi che è un exit node In modo che una segnalazione relativa al Suo indirizzo parta dal presupposto corretto, invece di apparire come una macchina cliente compromessa.
2. 02
   Imposti un PTR che indica di cosa si tratta Qualcosa di inequivocabile. Ogni operatore che vede il Suo traffico lo cercherà.
3. 03
   Pubblichi i dati di contatto nel descrittore del relay E utilizzi la exit policy ridotta a meno che non abbia un motivo per non farlo.

I nodi di uscita vanno su una macchina a sé, non insieme ai Suoi servizi di produzione. Non è una nostra regola — è semplicemente ciò che accade quando un indirizzo accumula segnalazioni.

Di solito niente, ed è questa la risposta prevista. Il filtraggio è sempre attivo al confine e il traffico volumetrico non raggiunge mai la Sua porta.

1. 01
   Verifichi se sta effettivamente arrivando a Lei Se la Sua porta non è satura, il filtraggio sta facendo il suo lavoro e l'attacco è un problema di qualcun altro.

   ss -s; vnstat -tr 10

   Copia
2. 02
   Ci indichi se è a livello applicativo Il filtraggio a livello 7 deve capire come appare una richiesta normale alla Sua applicazione, quindi viene configurato insieme a Lei anziché indovinato.
3. 03
   Non si aspetti una fattura Qui la mitigazione non è a consumo. Un attacco Le costa quanto un martedì tranquillo.

Non applicheremo mai il null-routing come prima risposta. Se mai si arrivasse a quel punto, un ingegnere Le parlerebbe prima che ciò accadesse.

Tutto funziona da un unico saldo. Lei lo ricarica, i servizi vi attingono, e non ci sono fatture da rincorrere né carte in scadenza.

1. 01
   Scelga un importo e un asset Minimo trenta dollari. Le ricariche più elevate comportano un bonus accreditato nello stesso momento del pagamento.
2. 02
   Invii esattamente quanto mostrato al checkout L'indirizzo è solo Suo e non viene riutilizzato. I pagamenti insufficienti vengono accreditati per quanto arrivato, non rifiutati.
3. 03
   Il saldo si aggiorna alla conferma Tra venti secondi e venti minuti a seconda della blockchain. La tabella nella pagina dei pagamenti riporta la cifra per ciascun asset.

Il saldo non scade mai e non Le viene sottratto per inattività.

Un servizio attinge dal saldo alla sua data di rinnovo. Nulla viene addebitato prima della scadenza e nulla La rinnova in un periodo che non ha scelto.

1. 01
   Mantenga il saldo superiore al prossimo addebito L'area clienti mostra l'autonomia in giorni e la data esatta del prossimo addebito.
2. 02
   Se il saldo è insufficiente Viene informato prima della scadenza, non dopo. Il servizio non viene eliminato nell'ora stessa in cui scade.
3. 03
   Annullamento Servizi → la macchina → Annulla. Rimane attivo fino alla fine del periodo già pagato.

I periodi più lunghi sono scontati fino al 35% a ventiquattro mesi, pagati anticipatamente. Lo sconto si applica all'intero periodo, non solo al primo mese.

Due situazioni, due risposte diverse, entrambe scritte prima che Le servano.

1. 01
   Un servizio che non funziona come descritto Rimborsato sul saldo, per intero, senza discussioni su quanti giorni lo ha utilizzato.
2. 02
   Un servizio che non desidera più Rimane attivo fino alla fine del periodo pagato. I periodi pluri-mensili prepagati sono scontati proprio perché prepagati.
3. 03
   Un account chiuso Il saldo non utilizzato viene restituito, salvo quando la cessazione è dovuta a una delle due categorie vietate.

Il saldo viene restituito nell'asset richiesto, a un indirizzo da Lei fornito. Non c'è alcuna banca a cui inviarlo né alcuna carta su cui stornarlo.