Server-Firewall und Host Access — Dokumentation

Das Panel kann die servereigene Firewall für Sie verwalten, sodass Sie keine SSH-Sitzung brauchen, um einen Port zu öffnen oder eine Adresse zu sperren. Es arbeitet mit ufw (Debian und Ubuntu) und firewalld (die RHEL-Familie: AlmaLinux, Rocky, CloudLinux). Die Funktion ist nur für den Serveradministrator gedacht und erscheint unter System → Sicherheit → Firewall. Hat der Server keine aktive Firewall, sagt die Karte das und bietet nichts zum Ändern an.

Die Firewall auf dem Server ist eine Schicht. Die meisten Anbieter haben zusätzlich eine eigene Cloud-Firewall, die Sie beim Anbieter verwalten. Ein Port muss in beiden erlaubt sein. Siehe Hinweise zu VPS-Anbietern.

Das Sicherheitsnetz: Jede Änderung macht sich selbst rückgängig

Ein Fehler in einer Firewall ist der klassische Weg, sich vom eigenen Server auszusperren. Deshalb ist jede Änderung, die Sie hier vornehmen, vorläufig:

Sie öffnen einen Port, sperren eine Adresse oder speichern eine Liste. Die Änderung wirkt sofort.
Es erscheint ein Feld: Diese Firewall-Änderungen behalten?, mit einem Countdown von 3 Minuten.
Prüfen Sie, dass dieses Panel noch funktioniert und dass Sie sich weiterhin per SSH anmelden können. Klicken Sie dann auf Änderungen behalten. Mit Jetzt rückgängig gehen Sie sofort zurück.
Tun Sie nichts, kehrt die Firewall nach Ablauf des Countdowns in den vorherigen Zustand zurück.

Der Countdown wird auf dem Server geführt, nicht in Ihrem Browser, und übersteht einen Neustart des Panels oder des gesamten Servers. Kann das Rückgängigmachen selbst nicht abgeschlossen werden (zum Beispiel weil die Firewall gerade beschäftigt ist), versucht der Server es von selbst weiter, und die Karte meldet, dass einige Änderungen noch nicht zurückgenommen werden konnten.

Wenn der Server anhält, während Änderungen warten, und die Aufzeichnung dessen, was zurückzunehmen ist, beschädigt ist, rät das Panel nicht. Es zeigt Firewall prüfen, bittet Sie, die Listen anzusehen und alles zurückzusetzen, was Sie nicht behalten wollten, und nimmt keine neue Änderung vor, bis Sie auf Ich habe es geprüft klicken.

Offene Ports und gesperrte Adressen

Offene Ports listet auf, was die Firewall durchlässt. Um einen Port zu öffnen, geben Sie einen einzelnen Port wie 8080 oder einen Bereich wie 3000-3010 ein, wählen TCP oder UDP und klicken auf die Schaltfläche. Zu einem aufgeführten Port gibt es eine Schaltfläche zum Schließen.

Gesperrte Adressen listet Adressen auf, die abgewiesen werden. Geben Sie eine IP-Adresse oder ein Netz wie 203.0.113.0/24 ein und klicken Sie auf Sperren. Die Karte zeigt Ihre eigene Adresse an, damit Sie sehen, wie sie lautet.

Was das Panel verweigert

Diese Regeln lassen sich nicht abschalten. Sie sorgen dafür, dass ein Tippfehler den Server nicht lahmlegen kann.

Sie versuchen	Das Panel lehnt ab, weil
SSH, Port 80 oder Port 443 zu schließen	Sie den Server erreichbar halten. SSH wird aus den eigenen Einstellungen des SSH-Servers gelesen, sodass auch ein nicht standardmäßiger SSH-Port geschützt ist.
Einen privaten Port zu öffnen: 6379 (Redis), 11211 (Memcached), 27017 (MongoDB), 9080 (das Back-End des Panels selbst), 8891 (der DKIM-Signierer) oder 8100-8999 (die Web-Back-Ends der einzelnen Konten)	Sie ohne Passwort lauschen oder hinter dem vorgeschalteten Webserver liegen. Würden sie geöffnet, könnten Besucher dessen Schutzmaßnahmen umgehen.
Ihre eigene Adresse zu sperren	Sie sich selbst aussperren würden. Kann das Panel Ihre Adresse nicht sehen, sperrt es nichts.
Eine Adresse zu sperren, die zu diesem Server gehört	Der Server sich sonst selbst sperren würde.
Ein sehr großes Netz zu sperren	Alles, was breiter als /8 bei IPv4 oder /16 bei IPv6 ist, wird abgelehnt.

Host Access: Wer sich verbinden darf

Unter Wer sich verbinden darf (Host Access) legen Sie fest, dass nur die Adressen einer Liste einen von vier Diensten erreichen dürfen. Alle anderen werden von der Firewall abgewiesen.

Dienst	Abgedeckte Ports
SSH	Der oder die SSH-Ports dieses Servers (nie 80 oder 443, selbst wenn SSH sie mitbenutzt)
FTP	21, 990 und der passive Bereich 30000-30100
Mail-Logins	110, 143, 465, 587, 993, 995
Datenbank	3306

Websites und eingehende E-Mail (Port 25) werden nie eingeschränkt. Mail-Logins meint die Orte, an denen Menschen ihre Mail lesen und senden; andere Mailserver erreichen Sie weiterhin über Port 25.

Um einen Dienst einzuschränken, klicken Sie auf Auf eine Liste begrenzen…, schreiben eine Adresse oder ein Netz pro Zeile (höchstens 15) und klicken auf Liste speichern. Die Regeln:

Bei SSH muss Ihre eigene Adresse auf der Liste stehen, sonst speichert das Panel sie nicht. Wenn Sie sich auch von einem anderen Computer oder über ein VPN anmelden, tragen Sie auch diese Adresse ein. Die Schaltfläche Meine Adresse hinzufügen füllt Ihre ein.
Ein Netz, das zu breit ist, um eine echte Beschränkung zu sein, wird abgelehnt (breiter als /8 bei IPv4, /16 bei IPv6).
Alle zulassen… (oder Liste entfernen… bei der Datenbank, die standardmäßig nach außen geschlossen ist) hebt die Liste auf. Unter firewalld gibt es den Dienst wieder an alle zurück, so wie der Installer ihn zuerst eingerichtet hat.
Wie jede andere Änderung ist auch eine Liste 3 Minuten lang vorläufig, bis Sie auf Änderungen behalten klicken.

Wenn sich eine Liste nicht speichern lässt

„Diese Firewall lässt jede Verbindung durch, die keine Regel erwähnt“ — eine Liste würde nichts einschränken, weil die Firewall alles akzeptiert, was nicht verboten ist. Stellen Sie die Firewall zuerst so ein, dass eingehende Verbindungen standardmäßig abgelehnt werden (unter ufw ufw default deny incoming; unter firewalld setzen Sie das Ziel der aktiven Zone auf default oder REJECT).
„Eine andere, außerhalb des Panels erstellte Regel öffnet diese Ports ebenfalls“ — zum Beispiel eine ratenbegrenzte, protokollierte oder breitere Regel, die Sie von Hand angelegt haben. Das Panel rührt sie nicht an und zeigt den Dienst als nicht verwaltbar an. Entfernen Sie diese Regel zuerst selbst, sonst würde die Liste nichts einschränken.

Den Installer erneut ausführen

Wenn Sie install.sh erneut ausführen oder das Panel aktualisieren, wird ein mit Host Access eingeschränkter Port nicht wieder geöffnet. Die Listen bleiben so, wie Sie sie hinterlassen haben.

Was das nicht leistet

Es ersetzt nicht die Schutzmaßnahmen auf Kontoebene: Brute-Force-Sperre, die IP-Sperrlisten in jedem Konto und die Web Application Firewall sind eigene Funktionen.
Es verwaltet keine Firewall, die Sie deaktiviert haben, und keine Regeln in anderen Werkzeugen als ufw und firewalld.
Nichts hier ändert die Cloud-Firewall bei Ihrem Anbieter.

Siehe auch: Fehlerbehebung · Hinweise zu VPS-Anbietern