Netcup FW und Wireguard / OpenVPN

Die Netcup Firewall "sieht" deine internen Docker-IPs nicht. Versuch, das aus der Perspektive der Firewall zu sehen, die zwischen deinem Server und dem Internet sitzt. Du musst da also mit öffentlichen IPs handeln, nicht mit internen

Edit: Unten siehst du paar Beispiel-Konfigurationen: https://www.netcup.com/de/helpcenter/…server/firewall

0815-server

Du vermischst hier gerade zwei Firewalls, die netcup Firewall (extern) und UFW/Docker (intern).

Für WireGuard brauchst du in der netcup Firewall nur die öffentliche Server-IP und musst dort UDP 51820 eingehend erlauben.

Die internen Docker-IP-Adressen (172.19.x.x) spielen in der netcup Firewall keine Rolle – die sind nur innerhalb deines Servers relevant.

Die UFW ist nicht unbedingt nötig, wenn du die netcup Firewall sauber konfiguriert hast.

Standardmäßig sind ausgehend alle Verbindungen über implizite Regeln erlaubt (gilt für TCP und UDP separat). Sobald Du aber andere ausgehende UDP-Regeln anlegst, ändert sich die implizite Regel auf DROP und Du würdest auch eine ausgehende ACCEPT für WireGuard benötigen. Da eingehend schon eine Regel benötigt wird, sind es also 1 oder 2 Regeln.

Sehr hilfreich ist dieser Post RE: Ab sofort: Firewall für netcup vServer verfügbar

Ich habe für Wireguard (Docker) nur diese Regeln definiert (wobei die Outgoing nur implizit ist, eingehend 51280/UDP zu erlauben reicht bei mir ansonsten vollkommen aus.

IMG_0999.jpg

Ich hatte auch lange Probleme das ich ne Wireguard Verbindung hatte aber nicht ins Internet gekommen bin.

dann hatte ich mal die Firewall deaktiviert und dann ging es plötzlich also Firewall wieder an und weiter suchen.

Irgendwo im Forum hab ich dann was gelesen und folgende Regel zusätzlich zur Firewall hinzugefügt

und dann hat es geklappt

bei einem anderen Anbieter hat UDP 51820 gereicht hier ist irgendwie die Firewall anders

Im Gegensatz zu TCP, musst du bei UDP die Regeln immer in beide Richtungen anlegen und das jeweils fuer Ziel- und Quellport. Hier ein Screenshot als Beispiel fuer DNS. Es sind acht Regeln insgesamt, vier Regeln mit der WAN IP-Adresse des Servers als Quelle und vier Regeln mit der WAN IP-Adresse des Servers als Ziel. Die beiden DNS-Server sind von DNS4EU mit dem DNS-Port UDP 53. Nun brauchst du nur noch das Regelwerk als Schablone fuer deine UDP-Regeln zu uebernehmen.

image.png

Gleiches Prinzip bei NTP (UDP 123) ohne konkrete Ziel IP-Adresse des NTP-Servers:

image.png

Das ist meine Default Policy:

image.png

Bei TCP ist das erheblich einfacher, hier am Beispiel fuer SMTP:

image.png

Zitat von 0815-server

D.h. ich hätte für meine WireGuard Verbindung 4 (?) Regeln, 2 Incoming, 2 Outgoing?

Korrekt. Und zwar einmal mit deiner WAN IP-Adresses deines Servers als Quelle und einmal als Ziel, also insgesamt 8 Regeln.

Ich hatte selbst, lange mit der Netcup Firewall gekaempft und mich gefragt, warum die so komisch tickt. Bei \I\O\N\O\S oder \O\V\H war das irgendwie einfacher, weil die Firewall die Kommunikationsbeziehungen selbst uebernommen hatte, wenn man die Richtung korrekt vorgegeben hatte. Die Firewall von Netcup verwirft jedoch saemtlichen, nicht explizit freigegeben UDP-Traffic, weil true stateless. Du musst also auch die Antwort des Ziels auf deinen UDP-Traffic mit einkalkulieren, sonst erhaelt dein Client keine Antwort vom WireGuard Server.

Uebernimm doch einfach mal testweise die Regeln von UDP 123 aus diesem Screenshot, ersetze sie durch den Wireguard Port (UDP 51820) und dann siehst du, ob es funktioniert oder nicht.

Also ich nutze OpenVPN und meine Konfiguration ist praktisch identisch mit deiner aus #7 bis auf die abweichene Portnummer (1194).

In welcher Richtung willst Du denn die VPN-Verbindung aufbauen: Von einem externen Client (PC, Smartphone) zu deinem Server bei netcup oder wie genau?

Zitat von 0815-server

Wenn überhaupt, dann doch nur 4?

Alle IPs als Quelle und alle als Ziel.

So kannst du's natuerlich auch machen, wenn du auf die zusaetzliche Einschraenkung auf Ziel und Quellport verzichten moechtest. Die Netcup Firewall erlaubt sowas...

Zitat von 0815-server

Ja genau, von Smartphones, Laptops etc. Zum WireGuard Server bei Netcup, und über den dann ins Internet

Wenn Du die netcup-Firewall abschaltest, dann funktioniert dein VPN aber?

Was ist eigentlich mit DNS: Benutzt Du die netcup DNS-Server oder andere? Im zweiten Fall würden nämlich Regeln für DNS in deiner Firewall fehlen.

Ich verwende meinen VPS ebenfalls als WireGuard-Internet-Gateway fürs Handy. Bei mir hatte es derzeit auch nicht funktioniert, wenn ich nur den einzelnen wg-Port als Destination Port für die eingehende Regel eingetragen hatte. Daher werden da nun alle Ports zugelassen und in der Server-Firewall entsprechend eingeschränkt. Letztere würde ich immer als zusätzliche Sicherheit verwenden für den Fall, daß die nc-Firewall mal nicht greift. Bei Gelegenheit werde ich es nochmal mit dem einzelnen Port probieren.

Ich habe die wg-Regel aber noch auf IPv6 beschränkt.

Bei NTP und DNS hatte ich keine Probleme mit den Ports 123 bzw. 53.

EDIT: Es funktioniert nun mit dem einzelnen Port - siehe meinen Beitrag weiter unten.

Zitat von terence

Daher werden da nun alle Ports zugelassen und in der Server-Firewall entsprechend eingeschränkt.

Dann kannste die NC auch komplett deaktivieren.

Im Endeffekt ist die NC Firewall kein Hexenwerk.