Server administrieren - wo fange ich an?

Du droppst ausgehend alles. Ist das so gewollt ?

Hallo Bud, ich hätte da ein paar Anmerkungen und Fragen:

• WireGuard läuft über UDP.
• Die Regel für ICMPv6 brauchst Du m. E. nicht, wenn Du nur IPv4 machen willst (insbesondere nicht mit einer IPv4-Adresse als Quelle).
• Bei der ausgehenden Regel zu deinem Monitoring-Server muss die IP-Adresse in die Spalte Destination(s).
• Welche DNS-Server soll der vServer benutzen?
• Welchen NTP-Server soll der vServer benutzen?

WireGuard benutzt UDP.

Mit deiner einzigen ausgehenden Regel DROPst du alles ausgehend. Also auch NTP, DNS, HTTP/S. Somit sind die Update Server nicht erreichbar. Ausser du benutzt übers interne Netz einen Proxy

Mit Tailscale bräuchtest Du gar keinen Port öffnen und könntest über den sicheren Kanal das Monitoring und gegenseitige Kommunikation machen, ohne die Firewall für irgendetwas aufmachen zu müssen. Mach ich so, Dockhand kommuniziert darüber mit dem zweiten Server, funktioniert wunderbar.

EDIT 17.02.2026: Ist falsch. Es wird ein UDP Port eingehend benötigt, siehe unten.

Zitat von Bud

Bei ICMP bin ich mir unsicher.

Bei ICMP brauchst Du auch wohl eine ausgehende Regel. Ist auch so in der ICMP-Standard-Policy.

Probiere es einfach mal aus: Wenn Du den Server von Deinem Monitor-Server anpingst, sollte keine Antwort kommen. Wenn Du anschließend die ausgehende Regel ergänzt, müsste es gehen.

Ich würde die ICMP-Regeln so wie in der Standard-Policy für alle Hosts erlauben und bei Bedarf in der Server-Firewall weiter nach den verschiedenen Typen einschränken.

Weil ich‘s gerade in einem parallelen Thread gelesen habe, hier nochmal ein nützlicher Link.

Zitat von TBT

Mit Tailscale bräuchtest Du gar keinen Port öffnen

Wie hast Du die Netcup-Firewall für Tailscale konfiguriert?

Ich habe mich heute zum ersten Mal mit Tailscale beschäftigt, weshalb ich falsch liegen mag. Aber wenn ich es richtig verstanden habe, müsste man in der Netcup-Firewall doch auch UDP für WireGuard erlauben, um eine direkte Verbindung zwischen den Peers herstellen zu können. Wenn der Aufbau einer UDP-Verbindung scheitert, läuft der Traffic via HTTPS über einen Relay-Server. Dazu müsste wohl nur ausgangsseitig HTTPS erlaubt werden, korrekt?

Zitat von terence

Wie hast Du die Netcup-Firewall für Tailscale konfiguriert?

Bisher nicht. Und in der Tat war ich relayed, aber es ging immerhin. Danke für den Hinweis.

Zitat von terence

müsste man in der Netcup-Firewall doch auch UDP für WireGuard erlauben, um eine direkte Verbindung zwischen den Peers herstellen zu können. Wenn der Aufbau einer UDP-Verbindung scheitert, läuft der Traffic via HTTPS über einen Relay-Server. Dazu müsste wohl nur ausgangsseitig HTTPS erlaubt werden, korrekt?

Ich habe nun ausschließlich wie auf https://tailscale.com/docs/reference/faq/firewall-ports zu lesen nur Port 41641 UDP eingehend erlaubt und die Verbindung ist nun direkt. Relay geht absolut für SSH auf der Konsole, aber bei SSH Transfers wäre es nicht mehr ausreichend/sinnvoll.

Zusätzlich wird aber bei Dir die implizite Regel aktiv sein, die ausgehend jeglichen Traffic erlaubt - oder?

Zitat von Zierleiste

Zusätzlich wird aber bei Dir die implizite Regel aktiv sein, die ausgehend jeglichen Traffic erlaubt - oder?

Ja, die ist aktiv. Anders würde es deutlich komplexer werden, bei imho geringem Sicherheitsgewinn.

Zitat von cltrmx

Das wäre mir neu: https://en.wikipedia.org/wiki/Canonical_(company)

Wobei die seit mehreren Jahren sehr eng miteinander sind.

https://www.linkedin.com/posts/canonical_canonicals-partnership-with-microsoft-extends-activity-7437513203212947456-nScY/

Frage zu Monin Monitoring.
Muss man zwingend bei Munin IPv4 und IPv6 konfigurieren oder reicht es auch aus nur eines von beiden zu verwenden?

Zitat von prunelle

So ganz habe ich damals nicht verstanden ob es eine Übernahme war, eine Kooperation, etwas kurzzeitiges oder sonstwas. Ich hatte nur im Kopf das da irgendwas war.

Stichwort "co-sell model": "Canonical: A partnership that delivers the best and most secure open source for customers"

An welcher Stelle meinst Du? In der /etc/munin/munin.conf auf dem Munin-Server habe ich nur die IPv4 meiner überwachten Server drin. Obwohl die natürlich sehr wohl auch eine IPv6 haben. Beim Client habe ich die IPv4 des Munin-Servers als zugriffsberechtigt drin. Die muss dann nötigenfalls auch in der Firewall des Client freigegeben werden für Zugriff auf Port 4949 TCP. Geht also jedenfalls auch komplett ohne IPv6.

Zitat von Borgqueen

Frage zu Monin Monitoring.
Muss man zwingend bei Munin IPv4 und IPv6 konfigurieren oder reicht es auch aus nur eines von beiden zu verwenden?

Eines von beiden reicht:

[2026-04-06T17:49:04+0200] root@vserver17<kvm>:/etc/munin(git:master)# grep 192 /etc/munin/munin-node.conf | grep -v ^#
cidr_allow 192.168.9.1/16
host 192.168.9.17

Danke für die Antworten zu Munin.

Denn aktuell bin ich am überlegen ob ich Checkmk (per Docker) Mal herunterfahre und Munin (per Docker) aufsetzen.

Auch wenn Munin etwas altbacken wirkt funktioniert es halt pragmatisch (hatte schon Mal Munin) und bei Checkmk (was ich aktuell nutze) muss man für die paar Daten (bei max. 5 Server) weit mehr lernen. Und irgendwie muss ich die Relation betrachten. Bei einer Firma mit einiges mehr an Server (wie ich privat nutze) ist Checkmk sicherlich die besser Lösung.

Dann werde ich (Dank Docker) die Tage Mal Checkmk (per Docker) stoppen und Munin (per Docker) aufsetzen.

Mein ssh Tunnel und mein vLAN bleibt ja bestehen. Muss in der Firewall nur die Ports anpassen für Munin.

Danach muss ich mich irgendwie Mal entscheiden ob was ich nun lieber verwenden will.

Zum Glück kann ich mich, wenn wir in ein Lokal essen gehen bei der Auswahl der Gerichte schneller entscheiden.

Zitat von Borgqueen

Auch wenn Munin etwas altbacken wirkt funktioniert es halt pragmatisch (hatte schon Mal Munin) und bei Checkmk (was ich aktuell nutze) muss man für die paar Daten (bei max. 5 Server) weit mehr lernen. Und irgendwie muss ich die Relation betrachten.

Wenns dir nur um die Standartabfragen (CPU, RAM, I/O,... geht, kannst dir auch mal Beszel ansehen.

Nutze ich selbst für alle meine Server und für mich reicht das dicke.

Zitat von Alefro

Wobei die seit mehreren Jahren sehr eng miteinander sind.

https://www.linkedin.com/posts/canonica…212947456-nScY/

Du hast dafür jetzt auf einen fast drei Jahre alten Beitrag geantwortet? Wow

Ich habe mir heute per Docker auf einem meiner 5 Server Uptime Kuma installiert.

Das hat soweit gut funktioniert. Pages etc. zur Überwachung schon eingerichtet.

Aber wie füge ich bei Uptime Kuma mehre Server hinzu. Ich meine wie z. B. unter Checkmk die Agent oder Munin die Nodes?