Firewall für VPS und Container

Im Tab Firewall Ihres VPS oder Containers steht die Firewall dieses Servers, gleich zum Bearbeiten. Gemeinsame Firewalls und Adresslisten Ihres Kontos finden Sie unter Server · Firewalls (über Alle Firewalls im Tab).

Wie sie wirkt

• Unser System filtert den Verkehr außerhalb des Servers: Auch root im Server kann die Firewall nicht abschalten, und sie wirkt bei jedem System gleich.
• Die Firewall dieses Servers beginnt offen: Solange sie keine Regel hat und alles erlaubt, ändert sie nichts. Der Tab zeigt dann Offen: Diese Firewall hat noch keine Regeln.
• Ihre Richtlinien (Alles andere eingehend, Alles andere ausgehend) und das Protokoll des Verworfenen gelten nur hier, in der Firewall des Servers.
• Eine Firewall im System selbst, etwa ufw oder nftables, können Sie zusätzlich verwenden.

Mit einer Vorlage beginnen

Unter Vorlagen setzen Sie die Regeln mit einem Klick. Vorher sehen Sie, welche Regeln neu sind, welche bleiben und welche entfallen; danach passen Sie alles an.

Webserver

SSH, HTTP, HTTPS, HTTP/3 · Ping

Nur SSH

SSH · Ping

Minecraft

SSH, Java 25565, Bedrock 19132 · Ping

Gaming (Steam)

SSH, 27015-27030 UDP, RCON · Ping

Datenbank

SSH · MySQL, PostgreSQL nur von Ihren Adressen

Mailserver

SSH, 25, 465, 587, 993, 995 · Ping

Alles blockieren außer SSH

Nur SSH, kein Ping

Die Vorlage Mailserver gibt es, sobald ausgehende E-Mails über Port 25 für den Server freigeschaltet sind (Netzwerk). Bei Datenbank wählen Sie, von welchen Adressen sich Programme verbinden dürfen.

Regeln

Eine Regel gilt für Eingehend oder Ausgehend und hat ein Protokoll, bei TCP und UDP einen Port (etwa 443 oder 8000-8100), eine Quelle oder ein Ziel (Überall, eigene Adressen oder eine Liste) und eine Aktion: Erlauben, Verwerfen (still, der Absender wartet vergeblich) oder Ablehnen (mit Antwort).

• Die erste passende Regel entscheidet. Sie verschieben Regeln durch Ziehen oder mit den Pfeilen.
• Was keine Regel trifft, regeln Alles andere eingehend und Alles andere ausgehend.
• Antworten auf Verbindungen, die Ihr Server selbst aufbaut, lässt die Firewall immer durch, ebenso DHCP und die IPv6-Nachbarerkennung.
• Eine Regel ohne Adressen gilt für IPv4 und IPv6.
• Trifft eine frühere Regel schon allen Verkehr einer späteren, steht an der späteren Wird nie angewendet mit der Regel, die vorher greift. Will eine gemeinsame Firewall für einen Teil desselben Verkehrs das Gegenteil einer früheren Regel, steht dort Widerspruch. Beides sind Hinweise; gespeichert wird trotzdem.

Gemeinsame Firewalls

Brauchen mehrere Server dieselben Regeln, nutzen Sie eine gemeinsame Firewall. Sie liefert nur Regeln, keine Richtlinien: Was keine ihrer Regeln trifft, regelt jeder Server in seiner eigenen Firewall.

• Mit anderen Servern teilen … macht aus den Regeln der Firewall dieses Servers eine gemeinsame Firewall, die hier und auf den gewählten Servern gilt. Der Server behält seine eigene Firewall mit seinen Richtlinien, ohne Regeln.
• Gemeinsame Firewall verwenden … nimmt eine bestehende dazu. Gemeinsame Firewalls legen Sie unter Alle Firewalls an.
• Der Server prüft der Reihe nach: zuerst seine eigenen Regeln, dann jede gemeinsame Firewall in der Reihenfolge, die Sie mit den Pfeilen festlegen. Die erste passende Regel entscheidet.
• Vor dem Übernehmen zeigt eine Vorschau für diesen Server, wie viele Regeln und Adressen aus Listen es zusammen wären. Mehr als die Grenzen Ihres Kontos (standardmäßig 100 Regeln und 3.000 Adressen je Server) gehen nicht; mehr lässt sich dort anfragen.
• Eine Änderung an einer gemeinsamen Firewall gilt für jeden Server, der sie verwendet.

Anwenden und prüfen

Beim Speichern wird die Firewall auf jeden Server geschrieben, für den sie gilt. Die Schritte sehen Sie dabei; ist alles angewendet, klappen sie nach einem Moment von selbst zu. Schlägt ein Schritt fehl, bleiben sie mit Erneut versuchen stehen. Danach liest das Portal direkt in unserem System nach, was gilt, und zeigt Aktiv nur, wenn alles übereinstimmt. Rückgängig stellt den Stand vor dem letzten Speichern wieder her und wendet ihn an.

• Abweichung: Auf dem Server gilt nicht ganz, was die Firewall vorsieht, meist nach einer Neuinstallation. Wir schreiben sie innerhalb von zehn Minuten neu; mit Erneut anwenden geht es sofort.
• Nicht wirksam: Die Regeln stehen, werden aber gerade nicht durchgesetzt. Die Zeile darunter zeigt, was aus ist. Schreiben Sie uns dann bitte ein Ticket.

Adresslisten und Sperrlisten

Unter Server · Firewalls legen Sie Adresslisten an, die Sie in mehreren Regeln verwenden: eine IP-Liste mit eigenen Adressen und Netzen oder eine AS-Liste mit allen Netzen eines Anbieters, täglich aktualisiert. Dazu gibt es Sperrlisten bekannter Angreifer-Netze, ebenfalls täglich aktualisiert, etwa als Quelle einer Regel „Eingehend · Verwerfen“ ganz oben. Länderlisten bieten wir nicht an.

Verworfene Verbindungen

Schalten Sie in der Firewall dieses Servers Verworfenes protokollieren ein, steht im Tab Firewall unter Verworfene Verbindungen, was sie in den letzten 24 Stunden verworfen oder abgelehnt hat: Zeit, Absender, Ziel und ob eine Regel oder die Richtlinie entschieden hat. Es sind Beispiele, höchstens etwa eine Zeile je Sekunde, nicht jedes Paket.

Grenzen und Rechte

• Die Standardgrenzen: 50 Regeln je Firewall und 100 je Server zusammen mit den gemeinsamen, 20 Adressen je Regel, 20 gemeinsame Firewalls und 20 Listen je Konto, 1.000 Einträge je Liste, 3.000 Adressen aus Listen je Server.
• Brauchen Sie mehr, fragen Sie es dort an, wo Sie an eine Grenze stoßen (Mehr benötigt? Erhöhung anfragen), oder unter Grenzen Ihres Kontos auf der Seite Firewalls: welche Grenze, wie viel und wofür. Daraus wird ein Ticket, in dem wir antworten; an der Grenze steht, ob die Anfrage offen ist, erhöht oder abgelehnt wurde. Je Grenze ist eine Anfrage zugleich offen, und anfragen kann der Inhaber des Kontos.
• Nach oben hat jede Grenze eine technische Obergrenze, die wir auch auf Anfrage nicht überschreiten: 100 gemeinsame Firewalls und 100 Listen je Konto, 200 Regeln je Firewall, 300 Regeln je Server, 5.000 Einträge je Liste und 5.000 Adressen aus Listen je Server.
• Unsere Sperre für ausgehenden Port 25 steht immer über Ihren Regeln.
• Eine gemeinsame Firewall löschen geht, sobald sie kein Server mehr verwendet.
• Firewalls verwaltet der Inhaber des Kontos oder wer im Team das Recht „Netzwerk bearbeiten“ hat. Mit „Netzwerk ansehen“ sieht man die Firewall eines Servers, ändert sie aber nicht.