Netcup Firewall defekt?

Mein VPS in Wien war nicht mehr erreichbar, nicht mal die Netzwerkkarte konnte eine Internetverbindung aufbauen, bis ich auf die idee gekommen bin ins forum zu schauen. Hab die Firewall deaktiviert und siehe da... er ist wieder online.

Huuuch?
Was hast du denn alles für Regeln in deiner Server Firewall drin stehen?

Weil die Default Policys von Netcup unterbinden die Internetverbindung eigentlich nicht, komisches Verhalten :-o

Wenn du Sie jetzt wieder aktivierst, verliert er dann wieder die Anbindung? O.o

Wie wir kürzlich gelernt haben, muss gar nicht viel drinstehen. Es reicht, dass die Default-Policy auf Drop umspringt, weil irgendeine Regel hinzugefügt wird, und dann DHCP nicht erlaubt wird. DHCP ist UDP: Da müssen beide Richtungen explizit erlaubt werden, damit die Adressvergabe noch funktioniert, und ohne Adresse gibt es eben gar kein Netz.

Tatsächlich NaN ich hab das gleiche Problem auf einem der Server festgestellt wo bei " Implizite Regeln" -> drop all -> eingehend steht und dadurch kann ich mein System nicht updaten, aber erreichbar ist er über VPN ...

Muss ich da also UDP explizit erlauben, damit ich drop all rauskriege?
Komisch nur, dass es auf zwei anderen Server funktioniert

Eine Besonderheit der Netcup Firewall ist eben, dass sie für TCP stateful ist, wie das die meisten gewohnt sein dürften, aber anders als gewohnt für UDP keine Verbindungen getrackt werden, also die Antworten nicht automatisch auch erlaubt werden. Für UDP ist die Firewall stateless. Wenn ausgehend ein UDP-Paket gesendet wird, und die eingehende Policy auf DROP steht, weil es eine Regel gibt, die für ankommenden Datenverkehr definiert ist, dann kommt die Antwort auf das UDP-Paket nur rein, wenn es dafür auch eine explizite Regel gibt, die das erlaubt. (Umgekehrt gilt auch, wenn eine UDP-Anfrage reingelassen wird und die ausgehende Policy auf DROP steht, dass dann die ausgehende Antwort explizit erlaubt werden muss. In dieser Richtung tritt der Fall aber seltener auf, weil sich die meisten auf ankommende Regeln beschränken dürften. Ausgehend ist die Policy deshalb meistens ALLOW.)

Man kann, wenn man nur bestimmte Ports sperren möchte, eine explizite Allow all Regel jeweils für UDP und/oder TCP und für ankommend und/oder ausgehend an das Ende der Regelliste setzen, um den automatischen Wechsel der Policy auf DROP zu überschreiben.