Ich habe festgestellt, das sich die impliziten Regeln, die ja eigentlich auf "DROP ALL" stehen, gelegentlich auf "ALLOW ALL" stellen. Habe jetzt eine weitere DROP ALL Policy erstellt.
SCP Firewall Policys ändern sich selbständig.
-
Pappmann -
2. Mai 2026 um 16:26 -
Erledigt
-
die impliziten Regeln, die ja eigentlich auf "DROP ALL" stehen
Beziehst Du das auf Dein eigenes Setup? Weil standardmäßig stehen die impliziten Regeln auf „ALLOW ANY“ und werden automatisch auf „DROP ANY“ gesetzt, sobald man eine eigene Regel für die entsprechende Richtung definiert.
Deine beiden DROP ICMP-Regeln im zweiten Screenshot dürften übrigens nicht greifen, weil der Traffic weiter oben schon akzeptiert wird und dadurch keine weiteren Regeln betrachtet werden. -
Ich habe bei meinen Servern für alle eingehenden und ausgehenden Verbindungen, die ich erlauben möchte, Regeln definiert, wodurch die impliziten Regeln am Ende beide automatisch auf "DROP ANY" gesetzt wurden. Daher sollte man eigene Regeln für "DROP ANY" (direkt) davor nicht benötigen - kann man aber natürlich zusätzlich machen.
Wie es jedoch aussieht ändern sich die unveränderlichen Parameter von selbst, so das man nicht sicher sein kein ob die firewall nun wie ein Scheunentor offen steht oder nicht.
Kannst Du das näher beschreiben? Hattest Du es schon einmal, daß in einem Regelwerk wie in Deinem zweiten Screenshot, die implizte DROP-Regel ohne etwas am Regelwerk zu ändern, auf "ALLOW" gegangen ist? Bei mir stehen sie überall wie gehabt auf "DROP".
-
Kannst Du das näher beschreiben? Hattest Du es schon einmal, daß in einem Regelwerk wie in Deinem zweiten Screenshot, die implizte DROP-Regel ohne etwas am Regelwerk zu ändern, auf "ALLOW" gegangen ist? Bei mir stehen sie überall wie gehabt auf "DROP".
Interessant, jetzt stehen wieder alle auf "drop any" hier eine situation wo ich eigene regeln vergeben habe auch da Accept all aktiv war:
Bildschirmfoto vom 2026-05-02 14-20-28-1.png
Wozu braucht man implizite Regeln die sich von selbst ändern? Ergibt für mich keinen Sinn. Es sollte die erste Regel immer "DROP ALL" sein für alle eingehenden Ports, und darauf aufbauend können dann benutzerdefinierte Ports freigegebenen werden, sonst wäre ja der Zweck einer Firewall verfehlt. -
Es sollte die erste Regel immer "DROP ALL" sein für alle eingehenden Ports, und darauf aufbauend können dann benutzerdefinierte Ports freigegebenen werden, sonst wäre ja der Zweck einer Firewall verfehlt.
das geht nicht. dann wird der support von leuten überrannt, die meinen, ihr server sei nicht erreichbar.
-
hier eine situation wo ich eigene regeln vergeben habe
Ooops. Das würde ich an den Support melden! Da sollten die impliziten Regeln ja auf DROP stehen.
Vielleicht also doch eine gute Idee, eine eigene Drop-Policy zur Sicherheit davorzusetzen. Und auf die Server-eigene Firewall sollte man auch nicht verzichten, nur weil es jetzt die nc-Firewall gibt.
