Ich würde auch mal dafür plädieren, wenigstens zu Anschauungszwecken eingehendes NTP in die Default Policies aufzunehmen.
Wäre ich auch dafür. Siehe NTP (Network Time Protocol) mit chrony und aktivierter Firewall nutzen hinsichtlich Optionen, FW Konfig und Diskussion.
Alles anzeigenIch denke dass die stateless Firewall von Netcup wohl auf dem Switchport als Funktion des Switch OS implementiert ist. Alternativ könnte es auch eine Funktion der Virtualisierungslösung sein, auf der alle unsere Server laufen.
So nutze ich die Netcup FW:
- Als letzte Regel: Eingehend DROP all, Ausgehend ACCEPT all. Damit werden Anfragen von außen geblockt, es sei denn sie werden weiter oben erlaubt, der Server kann jedoch raus und z.B. Updates ziehen, DNS abfragen etc.
- Ich erstelle mir im SCP unter Optionen des Accounts Firewall Policies als Paket für einen Anwendungszweck. Dabei separiert wenn nötig (z.B. HTTP und HTTPS sind zwei getrennte Policies) und zusammen wenn sinnvoll (z.B. für eine Anwendung, die mehrere eingehende Ports oder Portranges braucht.
- Dann werden beim jeweiligen Server nur die Policies aktiviert, die nötig sind.
- Ich nutze als VPN https://tailscale.com/ , das ist auch auf jedem Server drauf. Nach der Einrichtung eines solchen VPN ist es z.B. ohne weiteres möglich, die SSH Policy zu deaktivieren, dann geht SSH nur mehr über das VPN. Wie viele 24/7 "Anklopfversuche" man sich damit ersparen kann, brauche ich wohl nicht weiter ausführen.
- Die Firewall kann zudem Verwaltungsoberflächen, die eigentlich nicht über das Internet erreichbar sein müssen, schlicht wegblocken (da braucht man gar nichts spezifisches machen). So ist z.B. der Verwaltungsport für https://dockhand.pro/ , meiner Dockerverwaltung auch nur übers Tailscale VPN erreichbar, nicht jedoch übers Internet. Das war vorher nur bedingt möglich ohne Gefahr sich selbst auszusperren. Auch das Verwaltungsinterface von https://nginxproxymanager.com/ auf Port 81 braucht nicht im Internet sein. Zudem ist es damit relativ egal, ob solch ein Interface HTTP oder HTTPS ist.
Firewalls korrekt zu konfigurieren hat schon immer grundlegendes Verständnis von Netzwerken erfordert. Ein solches zu entwickeln wird nicht nur für einen Netcup Server nützlich sein, sondern für jegliches Netzwerkgeschehen. Die Regeln, die die Netcup Firewall bietet sind absoluter Standard, das ist bei so ziemlich jeder FW so.
Danke für die Infos, so habe ich das auch vor.
Zum Thema Tailscale - wenn man nur paar Incoming Ports zulässt wie 443/80/SSH und den Rest auf DROP hat, aber alle TCP und UDP Ports für Outgoing offen hat, funktioniert dann Tailscale problemlos? Oder muss man auch noch irgendwelche Incoming UDP Ports aufmachen?
Zum Thema Tailscale - wenn man nur paar Incoming Ports zulässt wie 443/80/SSH und den Rest auf DROP hat, aber alle TCP und UDP Ports für Outgoing offen hat, funktioniert dann Tailscale problemlos? Oder muss man auch noch irgendwelche Incoming UDP Ports aufmachen?
TS wird funktionieren, aber nur "relayed", was nicht "direkt" ist und z.B. Latenzen und Übertragungsraten deutlich beeinflusst, da die Verbindung über TS Server relayed wird. Aus diesem Grund ist folgende NC Firewall Regel essentiell:
TS wird funktionieren, aber nur "relayed", was nicht "direkt" ist und z.B. Latenzen und Übertragungsraten deutlich beeinflusst, da die Verbindung über TS Server relayed wird. Aus diesem Grund ist folgende NC Firewall Regel essentiell:
Sehr gut, danke für den Tipp. Dann werde ich das einrichten wenn ich TS auf den Server packe.
Sehr gut, danke für den Tipp. Dann werde ich das einrichten wenn ich TS auf den Server packe.
Noch ein Tip: als allgemeine Policy einrichten und dann dem oder den Server(n) einfach nur noch zuordnen.
Mit dem neuen SCP Beta mehrere Server über die Policies eingerichtet und es hat sehr gut geklappt muss ich sagen.
Hallo Community,
die Firewall auf meinem VPS (Ubuntu 24.04 Server) und ich arbeiten aneinander. Dies leider bisher ohne Erfolg meinerseits, weswegen ich mich gerne an euch mit der Bitte um ein paar Ratschläge wende:
- Mit der Netcup Firewall "Off" funktioniert alles wie es soll.
- Mit der Netcup Firewall "On" funktioniert schlicht nichts mehr in Sachen Netzwerk: Network is unreachable
Nachfolgend ein Screenshot meiner Firewall-Regeln:
image.png
Dein Regelwerk schaut für mich erst einmal in Ordnung aus. Oberhalb der Firewall-Regeln sollte ein Abschnitt mit der MAC-Adresse sowie den IP-Adressen deines Servers stehen. Und dann gibt es ganz rechts oben ein Cloud-Symbol mit deinem Interface (MAC-Adresse). Du könntest mal kontrollieren, ob die Werte alle korrekt sind und auch mit denen deines Servers übereinstimmen.
Mich wundert, dass die implizite Regel für ausgehende Verbindungen nicht auf DROP steht, denn du hast ausgehende Regeln definiert. Vielleicht ist das ein Anzeigefehler. Füge einmal eine ausgehende accept all Regel am Ende deines Regelwerks ein. So wie die Regeln im Screenshot zu sehen ist, sollte das semantisch keinen Unterschied machen.
Wo hat er denn ausgehende Regeln definiert? Die Regeln in der Policy netcup Ping allow sollte m. E. nicht zählen, da sie ICMP und nicht TCP oder UDP betreffen. Aber einen Versuch ist es vielleicht trotzdem wert.
Dein Regelwerk schaut für mich erst einmal in Ordnung aus. Oberhalb der Firewall-Regeln sollte ein Abschnitt mit der MAC-Adresse sowie den IP-Adressen deines Servers stehen. Und dann gibt es ganz rechts oben ein Cloud-Symbol mit deinem Interface (MAC-Adresse). Du könntest mal kontrollieren, ob die Werte alle korrekt sind und auch mit denen deines Servers übereinstimmen.
Vielen Dank Zierleiste für die Hinweise:
# ip link zeigt die korrekte MAC-Adresse im Ubuntu Server an. Sie entspricht der von Netcup angezeigten (beim Cloud-Symbol wie auch bei den Serverangaben)
# hostname -I zeigt bei Firewall "On" : 172.17.0.1 172.24.0.1 und bei Firewall "Off": 159.XXX.XX.XXX 172.17.0.1 172.24.0.1
Die IP 159.XXX.XX.XXX ist die korrekte IP, die auch in den Netcup-Serverangaben steht.
Demnach sieht es nun so aus, dass bei Firewall "On" die IP-Nummern Zuweisung nicht funktioniert. Wie kann man das in Ordnung bringen?
Mich wundert, dass die implizite Regel für ausgehende Verbindungen nicht auf DROP steht, denn du hast ausgehende Regeln definiert. Vielleicht ist das ein Anzeigefehler. Füge einmal eine ausgehende accept all Regel am Ende deines Regelwerks ein. So wie die Regeln im Screenshot zu sehen ist, sollte das semantisch keinen Unterschied machen.
Vielen Dank NaN für den Hinweis. Ich habe basierend darauf folgendes mit 2 zusätzlichen Regeln ausprobiert:
image.png
Leider ohne Erfolg. Sobald Firewall "ON" ist funktionierte in Sachen Netzwerk nichts mehr
Äh ja, du lässt UDP Source Port 68 rein, aber die Antworten vom Server kommen von Port 67 (source) und sind an Port 68 (destination) adressiert. Die expliziten Outgoing Regeln kannst du wahrscheinlich wieder rausnehmen, siehe Kommentar #350 von Zierleiste.
Wie kann man das in Ordnung bringen?
Bezieht dein Netzwerkadapter seine Adresse per DHCP? Dann würde ich empfehlen, das Netzwerk statisch zu konfigurieren mit den Adressen, die Dir im SCP zugewiesen sind.
Äh ja, du lässt UDP Source Port 68 rein, aber die Antworten vom Server kommen von Port 67 (source)
Da muss gunnarh wohl mal über seinen Spickzettel schauen, siehe RE: Ab sofort: Firewall für netcup vServer verfügbar
Vielen Dank Zierleiste und NaN für die hilfreichen weiteren Tipps!
Es funktioniert nun reibungslos so wie es sollte mit Firewall "On" mit den weiter unten aufgeführten Firewall-Regeln.
Nun noch zu den teilweise impliziten Fragen:
- Ja, ich habe mich an den Spickzettel (RE: Ab sofort: Firewall für netcup vServer verfügbar ) für die Netcup Firewall gehalten
- Die Freigabe von UDP Source Port 67 Incoming war der entscheidende Tipp
- Ich habe meinen Ubuntu 24.04 Server von der offiziellen DVD "Ubuntu 24.04.4 Live Server amd64 " via DVD-Laufwerk im Netcup Server Setup installiert. Ich habe demnach kein Netcup Ubuntu Server Image benutzt.
- Ich habe es schlicht nicht realisiert (Sorry), dass die immergleiche IP von Netcup via DHCP an meinen Ubuntu vServer vergeben wird
Alles anzeigenVielen Dank Zierleiste und NaN für die hilfreichen weiteren Tipps!
Es funktioniert nun reibungslos so wie es sollte mit Firewall "On" mit den weiter unten aufgeführten Firewall-Regeln.
Nun noch zu den teilweise impliziten Fragen:- Ja, ich habe mich an den Spickzettel (RE: Ab sofort: Firewall für netcup vServer verfügbar ) für den Netcup Firewall gehalten
- Die Freigabe von UDP Port 67 Incoming war der entscheidende Tipp
- Ich habe meinen Ubuntu 24.04 Server von der offiziellen DVD "Ubuntu 24.04.4 Live Server amd64 " via DVD-Laufwerk im Netcup Server Setup installiert. Ich habe demnach kein Netcup Ubuntu Server Image benutzt.
- Ich habe es schlicht nicht realisiert (Sorry), dass die immergleiche IP von Netcup via DHCP an meinen Ubuntu vServer vergeben wird
Ich denke Netcup sollte dies auch als die Standardeinträge mitliefern.
Es ist nicht denkbar, dass 2000 Kunden selber draufkommen müssen.
Es funktioniert nun reibungslos so wie es sollte
Trotz des Tippfehlers? 
DHCP Respinse UDP 
wechsler Prima, dass es nun funktioniert. Nutzt Du eigentlich auch IPv6 und falls ja, funktioniert hier die Adresszuweisung?
gunnarh Vielleicht müsstest Du auf deinen Spickzettel auch UDP Port 546 bzw. 547 für DHCPv6 mit aufnehmen. Normalerweise wird ja SLAAC verwendet, aber zumindest müsste man das mal überprüfen.
wechsler Prima, dass es nun funktioniert. Nutzt Du eigentlich auch IPv6 und falls ja, funktioniert hier die Adresszuweisung?
Hallo Zierleiste ,
mit IPv6 kann ich leider nicht weiterhelfen, damit habe ich mich noch nicht beschäftigt.
