Riesen Traffic, riesen Rechnung

**Liquid-Silk** · 15. 12. 2011, 15:51

Hallo zusammen,

ich habe ein riesen Fragezeichen im Gesicht - ein bekannter, der einen Server im Hause Leaseweb angemietet hat, hat nun eine Rechnung über angeblich verbrauchten Traffic bekommen (über 200 Euro) - ingesamt sind an 3 Tagen angeblich 4TB geflossen (eingehend - die ausgehenden Werte sind normal).

Ich habe damals den Server eingerichtet und auch abgesichert; ich kann mir nicht erklären, wie das zustande gekommen sein sollte. Da ich seit mehreren Jahren mit Servern arbeite, unterstelle ich mir einfach, dass ich doch von dem was ich rede einen gewissen Plan habe.
Um den Traffic zu kontrollieren habe ich vnStat installiert, damit man sich nicht immer in das Interface gucken muss (ziemlich lange und merkwürdige Login-Daten). Bis dato ging auch alles glatt (fast 1/2 Jahr waren die Werte immer gleich; also vnStat und die, des Webhosters).
Irgendwann war auch die erste Störung des Servers da - irgendwas wurde da dann am Uplink gedreht, seitdem ist auch ein Gigabit-Netzwerk vorhanden mit 100Mbit-Anbindung an das Internet)
Natürlich habe ich gleich alles auf eventuell offene Ports untersucht, die von nicht bekannten Anwendungen stammen könnten - Fehlanzeige.
Als nächstes komplett alle Logfiles durchgesehen (wie so oft) - ebenfalls Fehlanzeige, keine Unauffälligkeiten)

Leaseweb habe ich bereits angeschrieben, was das gewesen sein sollte, mit dem wir angeblich soviel Traffic verbraucht haben - darauf hinkam mehrmals, dass man davon ausgeht das es evtl. ein DDoS-Angriff gewesen sein sollte, aber man keinerlei Daten / Ports etc. davon protokolliert hat. Alles würde seine Richtigkeit haben, man sollte nun die Rechnung zahlen.

Ich frag mich wieso nichts am Server angekommen ist? vnStat aktualisiert alle 5 Minuten den Traffic, Nagios hat auch keine Unauffälligkeiten gemeldet. In den IPTables ist keine IP gesperrt. Keinerlei Versuch sich auf den SSH- oder FTP-Server zu verbinden.
Synflood ausgeschlossen, keine Verbindungen vorhanden.

Korrigiert mich bitte wenn ich falsch liege, aber eine DDoS müsste ja auch "erstmal" zum Server durchkommen, bevor die Verbindungen irgendwann von der Firewall gefiltert werden?

Man versucht jetzt diese Traffic-Rechnung fallen zu lassen, aber anstelle dessen mit einem 12-monatigen Vertrag zu ködern, der 10 Euro teurer ist, als bisher...

Was haltet Ihr davon? Ich brauche ein paar gute Tipps

Deep_Int · 16. 12. 2011, 13:59

Dazu fällt mir leider auch nichts ein, aber genau das ist der Grund, warum ich gerne Hetzner empfehle. Dort erspart man dem Kunden die Kostenfalle.

**alter_Bekannter** · 16. 12. 2011, 14:02

Lern draus und wechsel zu einem Hoster der drosselt. Wenn mehr gebraucht wird bieten die das auch gegen Aufpreis mit voller Geschwindigkeit an.

**braegler** · 17. 12. 2011, 08:31

Dazu fällt mir leider auch nichts ein, aber genau das ist der Grund, warum ich gerne Hetzner empfehle.

Bei Hetzner wäre der Fall auch obsoleth, da dort nur der ausgehende Traffic berechnet wird.

**r4wi** · 17. 12. 2011, 15:02

Ich würde ja wechseln.

Bei Hosteurope ist der traffic für lau.

**StaTiC** · 17. 12. 2011, 21:24

ich würde erstmal der Rechnung widersprechen. wenn sie dann das Geld haben wollen müssten sie im äußersten Fall nachweisen wie der traffic zustande gekommen ist. das ganze klingt nämlich für mich ziemlich dubios

**deminder** · 18. 12. 2011, 03:16

Mein erster Gedanke war sofort Abzocke, weil das ganze doch sehr suspekt ist, wenn du sagst, du hast den Server gesichert und in den Logs sind keine Auffälligkeiten bzw. die Programme haben nichts getrackt.

Erinnert mich an eine Masche. Den Kunden in eine Notsituation bringen mit Schockzustand durch den hohen Preis und gleich Abhilfe schaffen mit neuem Vertrag.

Verstehst du was ich meine.

LG

**TheOnly1** · 18. 12. 2011, 13:19

Wobei Leaseweb meines Wissens nach nicht für solche billigen Abzock-Manöver bekannt ist normalerweise.

Aber ein wenig suspekt ist das Ganze natürlich schon.

**Liquid-Silk** · 19. 12. 2011, 12:02

Mahlzeit,

vielen Dank für eure Antworten. Ich habe mich mal ausführlichst mit Leaseweb unterhalten und natürlich auch der Rechnung widersprochen...

Nun flatterte per E-Mail eine fristlose Kündigung der Services ins Postfach, falls alle offene Posten (in diesem Fall ja der horrende Traffic) nicht bis zum 20.12. bezahlt sein sollte. Nun kommts ja dicke:
Falls der Server hinterher wieder in Betrieb genommen werden soll, muss eine "Reconnection Fee" in Höhe von 125€ zzgl. MwSt. gezahlt werden... Ich persönlich finde das absolut dreist und in keiner Relation zur Wirklichkeit.

Man hat mir vorgeschlagen, dass man an die Chef-Abteilung doch mal eine E-Mail schicken könnte; bis dato aber noch keine Antwort. Was aber sehr spannend ist... so ein Problem gab es dort vor Jahren schonmal, die Supporter wissen auch ganz genau, in welchen Forum das zu finden ist :-)

Ich ruf gleich nochmal an und will dem ganzen mal etwas nachdruck verleihen.

Vielen Dank bis hierhin für Eure Meinungen!

// Edit:
Entgegen meiner Erwartungen hat sich eine Person (mit der ich bereits telefoniert hatte) bereit erklärt sich der Sache anzunehmen. Morgen gibt's ein Meeting mit Accountmanager und Teamleiter.

**buggerman** · 19. 12. 2011, 20:44

Schon Backup von den Daten gemacht?

Was ich machen würde:
Sollte da am 20.12 keine vernünftige Lösung da sein, dann Rechnung bezahlen und den Anbieter wechseln.

**Liquid-Silk** · 19. 12. 2011, 20:48

Zitat von buggerman

Sollte da am 20.12 keine vernünftige Lösung da sein, dann Rechnung bezahlen und den Anbieter wechseln.

Klar, Backup ist schon lange gemacht - aber... die > 200 Euro + evtl. 125 Euro + MwSt. können so auf anhieb leider nicht aufgebracht werden.

Ich warte ab, was da morgen bei der Besprechung mit dem Teamleiter rauskommt; danach kommt sofort die Kündigung auf den Tisch

**Liquid-Silk** · 20. 12. 2011, 20:31

Hatte heute Nachmittag einen Anruf direkt aus Holland, danach eine E-Mail dazu:

We have checked again the situation on the surcharge and we have discovered that the uplink on the server has been delivered as GE
(1000Mbps) instead of FE (100Mbps) as requested therefore is not possible for us to calculate the traffic generated by the attack based in 100Mbps. Due to this fact we have decided to credit the amount of the surcharge.

Ich betrachte den Fall nun als abgeschlossen - aber warte lieber noch auf die Gutschrift des Betrages.

Danke an alle für eure Meinungen - die Kündigung wird geschrieben