Netcup Firewall blockiert SMTP Ports - warum?

Hallo Forum,

ich habe eine kurze Frage. Habe ein RS1000 kürzlich geholt und war mir nicht bewusst dass die SMTP Ports in der Firewall im SCP automatisch geblockt sind.

Ich hab eine NestJS Website mit Ngnix und Nodemailer und konnte keine Mails versenden, bis ich auf die Ideen gekommen bin, dass die Netcup Firewall den SMPT Port (465) blockieren könnte. Nachdem ich die Firewall ausgemacht habe, hat es nunr auch geklappt mit dem Mailversand mit Nodemailer.

Den Server habe ich soweit abgesichert, nur Login mit SSH Key, mit UFW alle Ports geblockt außer 443 / 80 für Web und Custom SSH. Mailversand geht trotzdem, ich vermute weil das über Ngnix läuft? Die SMTP Ports sind aufjedenfall nicht offen in UFW.

Nun meine Frage, warum die Ports in der Netcup Firewall standardmäßig blockiert sind? Welchen Grund hat das?

Und hab ich irgendwie ein Sicherheitsrisiko wenn ich die SMTP Ports nicht über die Netcup Firewall blocke? Wenn die Ports in UFW zu sind, ist das doch auch okay, oder?

Zitat von salzigessalz

geht darum Spam zu vermeiden der (manchmal auf unbewusst) entsteht z.B. durch nen gehackten Server. UFW ist super, nur das Filtert auf zusätzlicher Ebene nochmals ab auch ein UFW kann ausfallen.

Hast du das Standard Ruleset drin bei UFW ? Da wäre allow outgoing drin, daher musst du explixit nicht SMTP Ports freigeben.

Danke für die schnelle Antwort.
Okay das macht Sinn.

Ich hab bei UFW alles erstmal geblockt mit "deny all" und dann eben nur die 3 Ports freigebenen (443/80/SSH). Meines Wissens bedeutet das dass nur die 3 Ports für Incoming Traffic offen sind, richtig?
Outgoing sollten alle Ports offen sein, oder?

So stehts auch bei ufw status verbose: Default: deny (incoming), allow (outgoing), deny (routed)

Bisher hatte ich allow outgoing auch immer so, ist das denn ein Problem, oder sollte ich hier noch etwas blocken?
Ich hatte mir notiert zur Servereinrichtung dass es vorallem in UFW wichtig ist die incoming Ports zu blocken und nur das freizugeben was wirklich offen sein muss.

Zitat von Zierleiste

Das ist schon mal gut.

Nein, das ist der Webserver.

Doch, per Default ist normalerweise ausgehend alles offen. Außerdem könntest Du sonst keine E-Mails versenden.

Ich empfehle Dir, folgenden Artikel zu lesen und dann die netcup-Firewall einzuschalten: RE: Ab sofort: Firewall für netcup vServer verfügbar

Danke dir für die Rückmeldung.

Den Artikel bin ich gerade durchgegangen. Bei der Konfiguration TCP-Server-Dienste im Artikel geht es aber ja "nur" um Eingehende Verbindungen, das macht sicherlich Sinn das einfach auch noch zusätzlich zur UFW zu aktivieren.

Aber wie sieht es mit Ausgehenden Verbindungen aus? Im Artikel sind hier alle zugelassen,

Das heißt dann aber dass alles SMTP auch offen sind. Richtig? Das wäre soweit auch in Ordnung?

Theoretisch bräuchte ich nur Port 465 für den SMTP Versand, und zwar geht dieser über nen Netcup Mailserver den ich in nem Webhosting Paket habe. Würde es Sinn machen, dass ich den Port dann nur für diese Domain/IP freigebe (wenn das geht über die Firewall)?

Zitat von Zierleiste

In erster Linie will man mit einer Firewall seinen Server vor externen Zugriffen schützen und öffnet daher eingehend nur die Ports, die man wirklich benötigt. Ausgehender Traffic wird erst dann relevant, wenn der Server missbraucht wird. Meistens ist daher ausgehend jeglicher Traffic erlaubt, ausgenommen SMTP, was netcup per Default blockiert. Natürlich kannst Du auch ausgehend nur gezielt die Ports öffnen, die wirklich benötigt werden, aber dafür müsstest Du genau Bescheid wissen über jede Komponente des Betriebssystems.

Zu beachten ist, dass die netcup-Firewall den Default „ausgehend ist alles erlaubt“ wechselt auf „ausgehend ist alles verboten“, sobald Du eine eigene ausgehende Regel definierst (dies gilt separat für TCP und UDP und analog für eingehenden Traffic).
Ich habe es bei meinen Servern nicht gemacht.

Im Prinzip möglich, aber: Normalerweise sprichst Du einen Mailserver über seinen DNS-Namen an. Ändern sich die hinterlegten IP-Adressen (das können ja mehrere sein, insbesondere IPv4 und IPv6), stimmen deine Firewall-Regeln nicht mehr.

Okay verstehe. Dann ist vermutlich der einfachste weg, ich entferne die Regel von Netcup für die SMTP Ports und lasse damit dann allen Outgoing Traffic zu. Sonst kann ich den Nodemailer ja auch nicht nutzen. Wenn ich dann eigene Regeln wieder hinzufügen würde z.B. die SMTP Ports blocken, die ich nicht nutze, müsste ich ja auch sonst alle anderen Outgoing Ports wieder hinzufügen, das wäre vermutlich recht kompliziert. Oder gibts da ein anderen Weg die vordefinieriten SMTP Ports zu bearbeiten? Ich habe keinen gefunden bei mir.

Und generell, macht es Sinn die Netup Firewall als primäre Firewall zu nutzen und UFW garnicht mehr zu nutzen? Beide zu nutzen finde ich etwas blöd da man dann vielleicht leicht irgendwelche Regeln in der anderen vergißt/übersieht und immer beide aktuell halten muss.

Zitat von tab

Das wird mittlerweile bei sehr vielen Anbietern per Default blockiert. Ich denke, das ist teilweise auch ein wenig als Schutz für den Kunden und vor allem als Selbstschutz des Anbieters gedacht.

Wer zwingend Mails direkt von seinem Server versenden und/oder auch darüber empfangen will oder muss, der kann sich - zumindest hier bei netcup -die Ports mit 1-2 Klicks in der Firewall wieder freischalten.

Anderswo muss man zumindest Port 25 augehend teilweise über den Support freischalten lassen. Damit trägt er dann auch die Verantwortung für eventuelle Folgen, die von Missbrauch seines Servers - durch den Kunden selbst oder Hackern - verursacht werden. Die trägt er zwar sowieso immer, aber hier dann eben explizit nochmal ganz besonders für vesendeten Spam und die Folgen, was mit blockierten Port 25 in der Anbieter-Firewall nicht so leicht passieren würde.

Wer als Kunde seinen Server nicht für Mail verwndent will und die Default-Einstellung für die Mail-Ports belässt, der hat zumindest die Sicherheit, dass sein Server - auch wenn er gehackt wird - jedenfalls keine Spam-Mails direkt vom Server über Port 25 verschicken wird.

Und um den Selbstschutz des Anbieters noch etwas auszuführen, ein so geschützter Server wird somit auch nicht sein gesamtes Subnetz auf irgendwelche DNS-Blocklisten oder gar interne Listen von MS, Google & Co katapultieren. Damit entfällt für den Anbieter die Arbeit, das Problem zu beheben und sich danach noch mit mit z.B. Microsoft rumschlagen zu müssen, um das Subnetz zeitnah wieder entsperrt zu bekommen.

Danke für die ausführliche Antwort.

Ich verstehe das natürlich und würde die Ports auch nicht freigeben, wenn nicht nötig. Aber da über die Website per Nodemailer E-Mails über ein Formular versendet werden müssen, sehe ich hier auch kein anderen Weg. Außer evtl. den Port dann nur für die jeweilige Domain des SMTP Server freizugegeben die der Mailer benutzt.

Zitat von NaN

Genau so ist das gedacht. Wenn du Mail verschicken willst, machst du dir die nötigen Gedanken, welche Konsequenzen das haben kann, und schaltest das dann selbst in der Firewall idealerweise so eng eingegrenzt wie möglich frei. Die Sperrung ist nur die Voreinstellung, als Schutz für und vor Kunden, die sich keine Gedanken darüber gemacht haben.

Die Regeln werden von oben nach unten abgearbeitet, bis eine Regel passt. Das heißt, wenn du eine Sperre für bestimmte Ports einrichtest, kannst du danach einfach alle ausgehenden Verbindungen erlauben, ohne dass das die gesperrten Ports wieder öffnet. Dann hast du default-allow mit einzelnen gesperrten Ports, was ausgehend meistens praktikabler als default-deny mit explizit erlaubten Ports ist.

Zitat von tab

Habe das Eingangsposting gerade nochmal gelesen. Du brauchst Port 25 ja gar nicht. Port 465 erfordert sowieso zumindest eine Authentifizierung bei deinem netcup-Mailserver. Prinzipiell bei einem Server mit einem gehackten Root-Zugang natürlich ein lösbares Problem . Aber zumindest irgendwie eingeschleuste Malware, die ohne Root-Rechte funktoniert, hätte es dann eventuell nicht ganz so leicht.

Du könntest den entsprechenden per Default gesetzten Block für Mail ausgehend also in der Firewall durch einen eigenen ersetzen. Mit den selben Regeln, aber eben nur für die Ports, die du nicht benutzt, insbesondere also Port 25.. Den Default-Block (ausgehend) kannst Du dann löschen und Port 25 und eventuell 587 bleiben trotzdem blockiert.

Danke für Eure Hilfe.

Ich hab gerade mal probiert das in der Netcup Firewall einzustellen, hab davor mit UFW das auch getestet, die Ports 25 und 587 bockiert und nur 465 freigeben, das hat geklappt und konnte mit Nodemailer die Mails verschicken.

Nun wollte ich das übertragen in die Netcup Firewall, jetzt wird der Nodemailer aber blockiert, ich hab das so eingestellt.

firewall.PNG

Sollte das nicht gehen nun? Jetzt sollte Ausgehend alles blockiert sein bis auf 465, oder? Warum verbindet er dann nicht?

Und wie implizierte Regel ist nun auch auf Drop gesprungen bei Ausgehend, das heißt dann ja das alles geblockt ist. Ich komm auch nicht mehr raus (außer mit ping). Wie kann ich denn jetzt wieder den Rest zulassen?

Wie ist das zu verstehen mit Regelen werden von oben nach unten angewendet? Mach Drop all dann nicht wieder den Port 465 bei der Implizierten Regel dicht?

Zitat von terence

Zum Beispiel wie von NaN vorgeschlagen: Du erstellst eine Policy, die ausgehend TCP und UDP für alle Ports zulässt und fügst sie nach Deiner Mail-Policy ein. Oder Du definierst entsprechende Policys für genau die Ziele, die Dein Server erreichen können muss, wie beispielsweise Update-Mirrors. Da gilt dann aber halt, was weiter oben schon gesagt wurde: Falls sich die IP-Adressen ändern, müssen die Regeln angepasst werden. Da ist es dann sinnvoll, ein Skript zu schreiben, welches regelmäßig prüft, ob sich die Adressen geändert haben.

Zitat von tab

Im konkreten Fall eines ein oder ausgehenden IP-Pakets wirklich verwendet werden kann nur eine spezifische Regel. Oder gar keine, dann gilt eben die Default-Policy. Insgesamt können natürlich mehr Regeln verwendet werden, je nach IP/Port/Protokoll eben immer die erste, die für das betreffende Paket greift. Das kann dann auch mal die zweiundvierzigste Regel sein.

Danke für eure Antworte, das war sehr hilfreich.

Ich habe nun mal etwas probiert und ich glaube so sollte es passen. Ich habe nun Port 25 und Port 587 geblockt und Port 465 nur für die IP des Netcup SMTP Server freigegeben (hab die genaue IP mal geschwärzt). So sollte es doch korrekt sein oder?

Ich habe es getestet und der Nodemailer funktioniert auch. Habe auf dem VPS auch mal "nc -vz IP 465" ausgeführt und kam dann auch nur bei der IP
"...465 port [tcp/submissions] succeeded!"

Die drop Regel nach dem Zulassen des 465 Ports für die IP musste ich auch noch einfügen, da sonst alle Ports offen waren und die Regel für 465 Port für die IP nicht gegriffen hat.

Damit sollte ich dann eigentlich auch in gar keine Probleme laufen weil eben nur die IP benutzt werden kann.

Zitat von Zierleiste

Der Mail_01-Abschnitt deiner Regeln schaut für mich plausibel aus, wobei ich nochmals nachhaken möchte, ob dein Mail-Server nur eine einzige IP-Adresse besitzt, oder beispielsweise auch über IPv6 erreichbar ist.

Also im Netcup Backend für das Hosting Paket, indem auch der Mailserver ist, wird mir nur diese IP angezeigt. Beim Webserver wird mir auch eine IPv6 Adresse angezeigt. Ist das ein Problem wenn ich nur diese IP angebe? Außer eben dass ich regelmäßig checken sollte, dass diese noch aktuell ist.

Zitat von Zierleiste

Im Moment werden aber ausgehend sämtliche UDP-Pakete verworfen, also insbesondere DNS und NTP. Bei DNS ist das kein Problem, falls Du nur die netcup-DNS-Server benutzt. Bei NTP hingegen wirst Du erst nach einiger Zeit feststellen, dass die Systemzeit deines Servers von der korrekten Zeit abweichen wird.

Okay, danke nochmal für den Hinweis. Ich hab gerade mal etwas dazu nachgelesen. DNS habe ich bei diesem Server tatsächlich die Netcup Server, aber auch andere Server wo ich die Firewall vielleicht awenden möchte. Wie müsste ich dies denn hier als Regel freigeben, dass ich keine Einschränkungen (und auch keine Sicherheitsprobleme) habe? Einfach Ausgehend -> ACCEPT -> UDP -> All?

Und Thema NTP war mir bisher noch nicht richtig bekannt. NTP läuft wie ich nachgelesen habe auch über UDP, wenn ich hier alles zulasse, soltle das auch hier dann keine Probleme geben, richtig?

Ich hab jetzt auch mal noch Eingehende Regeln erstellt, habe eigentlich nur SSH und die Webports bei den meisten Servern. Habe mich an dem verlinkten Post orientiert (RE: Ab sofort: Firewall für netcup vServer verfügbar)

Das sollte soweit passen, oder habe ich irgendwas übersehen/vergessen?

Vorteil ist halt hier auch, dass andere Ports dann auch wirklich zu sind, wir hatten z.B. auch schonmal das Docker Ports in ufw überschrieben/aufgemacht hat, sowas kann jetzt ja nicht mehr passieren.

firewall3.PNG

Danke nochmal für die Hilfe!