Wie filtert man Multicast-Traffic mit der netcup-Firewall?

    Da bei meinem IPv6-only-Piko IPv4-Multicast-Traffic (UDP) ankommt, habe ich versucht, diesen mit der neuen netcup-Firewall zu blockieren. Bisher aber leider vergeblich.

    Mit folgendem Test-Regelwerk kommt der Traffic immer noch an, obwohl doch eigentlich sämtlicher eingehender UDP-Traffic blockiert werden sollte, oder nicht?

    Spoiler anzeigen
    netcup Mail block (Default Policy) - blocks outgoing SMTP (Mail) traffic
    Beschreibung Typ Aktion Protokoll Source(s) (IPs / Netzwerke) Source Port(s) Destination(s) (IPs / Netzwerke) Destination Port(s)
    drop outgoing SMTP AUSGEHEND DROP TCP * * * 25
    drop outgoing SMTPS AUSGEHEND DROP TCP * * * 465
    drop outgoing submission AUSGEHEND DROP TCP * * * 587


    Beschreibung Typ Aktion Protokoll Source(s) (IPs / Netzwerke) Source Port(s) Destination(s) (IPs / Netzwerke) Destination Port(s)
    allow incoming ICMPv6 EINGEHEND ACCEPT ICMPv6 * * * *
    block incoming icmp (ipv4) EINGEHEND DROP ICMP * * * *
    TEST: drop all incoming UDP EINGEHEND DROP UDP * * * *
    Beschreibung Typ Aktion Protokoll Source(s) (IPs / Netzwerke) Source Port(s) Destination(s) (IPs / Netzwerke) Destination Port(s)
    Drop all EINGEHEND DROP ANY * * * *
    Accept all AUSGEHEND ACCEPT ANY * * * *

    Ich habe auch schon versucht, konkrete IPv4-Adressen anzugeben, die mir tcpdump ausgibt und auch komplette Adressbereiche, aber der Multicast-Traffic kommt immer durch.

    Genauso verhält sich auch mit einem anderen Server, der eine IPv4-Adresse zugewiesen hat. UDP-Pakete, die ich direkt an diese IPv4-Adresse schicke, werden wie erwartet blockiert, aber die Multicast-Pakete laufen weiter munter rein.

    Ich habe daher den Eindruck, dass man Multicast mit der Firewall nicht blockieren kann (im Wiki habe ich keinen Hinweis dazu gefunden). Oder habe ich noch irgendwo einen Fehler drin?

  • terence 28. Januar 2026 um 19:35

    Hat den Titel des Themas von „Wie filtert man Multicast-Traffic mit der nectup-Firewall?“ zu „Wie filtert man Multicast-Traffic mit der netcup-Firewall?“ geändert.

    Es gibt lokale Routingprotokolle, z.b. OSPF, die Multicast verwenden. Falls Netcup sowas intern einsetzt z.B. bei Redundanz im lokalen Netzwerk, sind das vielleicht auch einfach IPs von den Netcup Routern und nicht von anderen Kundenservern.

    Ein wenig offtopic, aber ein lustiger Zufall bezüglich Multicast: Vorhin habe ich im SCP gesehen, dass auf einem meiner VPS (dem Mailserver; Linux) diesen Monat 73 GB Traffic aufgelaufen sind. Das dürfte nicht passieren, da der Server ausschließlich über ein VLAN erreichbar ist – dem externen Interface ist im OS per NetworkManager (nmtui) keine IP zugewiesen und es ist deaktiviert.

    iftop auf dem Mailserver ergab, dass ein anderer Kundenserver im selben Subnet (45.136.28.0/22) per Multicast kontinuierlich ca. 3 Mbit an Traffic verursacht (src-Port 4010 4100, dst-IP:Port 239.255.77.77:4010 4100).

    Durch die Deaktivierung des externen Interfaces ging ich davon aus, dass kein Traffic mehr drüber geht (und das auch getestet), aber ein ip a zeigte das Interface als UP, wenn auch ohne zugewiesener IP, was wohl für Multicast-Traffic ausreicht – ich stecke in Multicast nicht drin, sorry. Nach einem ip link set dev ens3 down war es dann wirklich tot und der unerwünschte Traffic gekappt – und ich hab wieder etwas gelernt.

    Ich werde den Serverbetreiber mal anschreiben und ihn darauf hinweisen. Zwar macht mir der Traffic in der Praxis nichts aus, anderen aber vielleicht schon, da er vermutlich auf das Trafficvolumen angerechnet wird.

    Einmal editiert, zuletzt von Fen (28. Januar 2026 um 22:43) aus folgendem Grund: Falscher Port: 4010 statt 4100

    73 GB finde ich heftig. Laut KI ist das Audio:

    Zitat

    239.255.77.77:4100 carries audio stream traffic from Scream, an open-source Opus audio receiver and server used for low-latency audio over IP networks.

    Scream sends Opus-encoded audio via UDP multicast to this group address (in the 239.0.0.0/8 organization-local multicast range) and default port 4010 (your 4100 may be custom). Receivers join the group to play live audio, like in remote desktop, gaming, or VoIP setups over LAN.


    Ja, Brodcast und Multicast kommt auch beim Interface an, wenn es keine IP-Adresse zugewiesen hat.

    Zitat von Fen

    Ich werde den Serverbetreiber mal anschreiben und ihn darauf hinweisen. Zwar macht mir der Traffic in der Praxis nichts aus, anderen aber vielleicht schon, da er vermutlich auf das Trafficvolumen angerechnet wird.

    Sollte sowas nicht eigentlich standardmäßig von netcup rausgefiltert werden? Ich finde es ja auch komisch, dass mein IPv6-only-Server IPv4-Traffic bekommt. Würde ich nun auch nicht unbedingt erwarten.

    Ich komme auf 73 GB/m / (30 x 24 x 60 x 60) x 8 = 225 kbit/s oder ein bisschen mehr, wenn man mit 74 GB und 28 Tagen rechnet.

    Aber unabhängig davon macht es also durchaus Sinn, Multicast in der lokalen Firewall zu sperren.

    Einmal editiert, zuletzt von Zierleiste (28. Januar 2026 um 23:10) aus folgendem Grund: Erwähnung Firewall