Ab sofort: Firewall für netcup vServer verfügbar

    Ich weis es nicht, ob das für IPv6 funktioniert. Aber wenn es schon für IPv4 nicht immer zuverlässig funktioniert würde ich mich nicht darauf verlassen wollen. Zumal bei einem Server, der sowieso (mindestes) eine feste globale IPv6 und IPv4 haben sollte. Irgendwas sollte schliesslich auch im DNS als Adresse stehen, wenn man den Server auch übers Internet erreichen können soll.

    Ich habe die IP-Adressen meiner Server ebenfalls statisch konfiguriert und hatte das ja auch in #354 empfohlen. DHCP wird aber offensichtlich unterstützt, es findet sich dazu folgender Satz in der Dokumentation zur Firewall "DHCP-Traffic muss auch auf die Whitelist gesetzt werden, was jedoch wahrscheinlich nur während der Installation deines Servers nötig ist." Für mich impliziert die Aussage außerdem, dass eine statische Adresskonfiguration am Ende üblich und - wie Du ausgeführt hast - sinnvoll ist.

    Mit den tollen Copy&Paste Möglichkeiten des neuen SCP wäre es doch cool, ein communitybasiertes Wiki mit funktionierenden Firewallkonfigs zu machen (damit der arme gunnarh das nicht alleine machen muss).

    Da kann viel "Standardzeuch", aber auch manche exotischeren Sachen drin stehen.

    RS 2000 G12 Pro BW25 (8C EPYC 9645, 16GB, 1TB) | RS 500 G12 BW25 (2C EPYC 9645, 4GB, 128GB) | RS Cyber Quack (1C,2GB,40GB)

    Quote from TBT

    Mit den tollen Copy&Paste Möglichkeiten des neuen SCP wäre es doch cool, ein communitybasiertes Wiki mit funktionierenden Firewallkonfigs zu machen (damit der arme gunnarh das nicht alleine machen muss).

    Da kann viel "Standardzeuch", aber auch manche exotischeren Sachen drin stehen.

    Finde ich sehr gut!

    >Copy&Paste Möglichkeiten des neuen SCP
    Das habe ich ehrlich gesagt nicht verwendet.
    Sehe hier nur ein Copy aber kein Paste.

    Eigentlich schon immer toll (externe Firewall kann nicht intern kompromittiert werden), aber mit der GUI des neuen Panels gleich noch toller.

    M.E. eigentlich Pflicht.

    RS 2000 G12 Pro BW25 (8C EPYC 9645, 16GB, 1TB) | RS 500 G12 BW25 (2C EPYC 9645, 4GB, 128GB) | RS Cyber Quack (1C,2GB,40GB)

    Quote from TBT

    aber mit der GUI des neuen Panels gleich noch toller.

    Definitiv, habs vorhin mit der alten verglichen und das gleiche gedacht :D

    Ausserdem hab ich Sie jetzt endlich eingerichtet, dadurch entfallen endlich gewisse mühsame Regeln mit nftables, da es zu der Zeit ja noch keine Firewall gab. 🙏🏼

    • 🇨🇭 | 🇫🇷 | 🇺🇸
    • sudo rm -rf /*all
    • sudo apt-get reinstall ubuntu.exe
    • ping -6 -c 3 172.16.0.1

    Quote from TBT

    externe Firewall kann nicht intern kompromittiert werden

    Was mich übrigens besonders im Zusammenhang mit Docker freut ;)

    [RS] 2000 G11 | 2x 1000 G12 Pro | 2x Vincent van Bot | Piccolo | Piccolo ARMore
    [VPS] 2000 ARM G11 | 1000 G9 | 500 G11s | mikro G11s | 4x nano G11s | 4x piko G11s
    [WH] 8000 SE | 4000 SE | 2000 SE | 2x Spezial

    Quote from TBT

    TS wird funktionieren, aber nur "relayed", was nicht "direkt" ist und z.B. Latenzen und Übertragungsraten deutlich beeinflusst, da die Verbindung über TS Server relayed wird. Aus diesem Grund ist folgende NC Firewall Regel essentiell:

    image.png

    Sorry für die etwas späte Rückmeldung.

    Ich hab es jetzt im der Firewall eingepflegt, dort wird mir das neue UI auch angezeigt.
    Nun weiß ich nur nicht, was "beliebig" bedeutet wenn man keinen Eintrag in einem Feld gemacht hat. Bedeutet dass er lässt dann alles zu? Im alten Firewall UI war das ein *

    TS.PNG

    Guten Abend,

    ich versuche, die Firewall zum Laufen zu bringen, aber es scheint tatsächlich etwas mit IPv6 nicht zu stimmen. Ich bekomme IPv6 einfach nicht zum Funktionieren. Ehrlich gesagt bin ich mir nicht einmal sicher, ob das Problem ausschließlich IPv6 betrifft oder ob auch IPv4 betroffen ist. Sobald ich die Firewall aktiviere, ist mein Server jedenfalls nicht mehr erreichbar.

    Außerdem habe ich das Problem, dass ich weder * als Port noch als IP-Adresse oder in ähnlichen Feldern verwenden kann. Ich weiß nicht, ob das möglicherweise der Grund dafür ist, dass ich IPv6 nicht zum Laufen bekomme. Deshalb habe ich derzeit 2000::/3 (das gesamte öffentliche IPv6-Internet) als Quell-IP-Adresse eingetragen, wodurch ich allerdings einen sehr großen IP-Bereich verwende.

    Ist mit meiner Firewall etwas nicht in Ordnung, oder ist die gewünschte Konfiguration möglicherweise nur über die API möglich?

    Regeln:

    Die ** in den IP-Adressen wurden aus Datenschutzgründen ersetzt.

    Quote from Hille

    Hat dir eine KI diese Regeln empfohlen? Kann keinen Sinn erkennen

    Nein, die Regeln wurden nicht von einer KI erstellt. Über die Weboberfläche kann ich allerdings weder * noch any verwenden.

    Deshalb habe ich die Portbereichsangabe 1–65535 (also alle Ports) manuell eingetragen, anstatt * zu verwenden. Dasselbe gilt für 0.0.0.0/0, das den gesamten öffentlichen IPv4-Adressbereich umfasst, auch dort kann ich kein * eingeben. Für IPv6 verwende ich 2000::/3, was den gesamten öffentlichen IPv6-Adressbereich abdeckt.

    Anstelle eines Wildcards oder any musste ich diese Bereiche daher manuell eintragen.

    Quote from NaN

    Du kannst die Felder, wo du keine Einschränkung machen möchtest, einfach leer lassen. Das ist übersichtlicher und die Firewall braucht ohne die unnötigen Prüfungen weniger Zeit und Rechenleistung.

    Vielen Dank dafür! Wenn man das * selbst ausfüllt, funktioniert es nicht. Deshalb war ich etwas verwirrt, aber wenn man nichts eingibt, funktioniert es tatsächlich.

    Dann würde ich jetzt an deiner Stelle die Regeln vereinfachen, beispeilsweise die Unterscheidung IPv4 / IPv6 kann ja jetzt wieder entfallen. Außerdem fehlt bei deinen DNS-Regeln die Portnummer 53 (momentan ist UDP in beide Richtungen für alle Ports geöffnet) und für NTP hast Du gar keine Regel angelegt (fällt im Moment nicht auf, da ja UDP in beide Richtungen für alle Ports geöffnet ist).

    Einen guten Einstiegspunkt bietet dieser Beitrag: RE: Ab sofort: Firewall für netcup vServer verfügbar