Docker-Wall

Bud

Guten Abend zusammen,

da ich immer ein bisschen Panik habe, das Docker Dienste bzw. Ports exposed, mache ich mich aktuell an die Firewall.
Von den vordefinierten Regeln würde ich lediglich die "netcup Ping allow" stehen lassen, und dann öffne ich Port 80 und 443, da alles über NPM läuft. Port 22 werde ich nur für die IP meines VPNs freigeben – und das wars? Ich hab das Gefühl, ich übersehe etwas.

#	Beschreibung	Richtung	Protokoll	Aktion	Quellen	Src Ports	Ziele	Dst Ports
1	HTTP	EINGEHEND	TCP	ACCEPT	beliebig	beliebig	beliebig	80
2	HTTPS	EINGEHEND	TCP	ACCEPT	beliebig	beliebig	beliebig	443
3	SSH via VPN	EINGEHEND	TCP	ACCEPT	198.51.100.120	beliebig	beliebig	22
4	TCP outgoing	AUSGEHEND	TCP	ACCEPT	beliebig	beliebig	beliebig	beliebig
5	UDP outgoing	AUSGEHEND	UDP	ACCEPT	beliebig	beliebig	beliebig	beliebig

Virinum

Erwartest du Antworten auf deine ausgehenden UDP-Pakete? Dann fehlen dafür noch die eingehenden Regeln. Die Firewall ist bei UDP ja stateless

tldev

ja, du solltest NTP und DNS-Antworten noch durchlassen - die Firewall ist bei UDP stateless. Damit brauchst du eingehend UDP mit Source Port 123 und 53, siehe https://serverkueche.de/tutorials/netc…-template-bauen

Und falls du DHCP nutzt, muss auch das erlaubt werden.

Copro

Danke Bud fürs dranmachen an die netcup Firewall - das kommt genau richtig und ich hänge mich mit dran die nc Firewall auch für den eigenen VPS zu aktivieren, wo auch einige Ports von Docker vielleicht nicht nach draußen gehen sollten und nur per Apache2 oder nginx Reverse Proxy über HTTPS bestimmter VirtualHosts angeboten werden sollen.

Richtig genial ist ja die Anleitung der Serverküche dazu von tldev verlinkt.

netcup-Firewall im SCP einrichten (mit stateless-UDP-Kniff)

Bud

Zitat von Virinum

Erwartest du Antworten auf deine ausgehenden UDP-Pakete? Dann fehlen dafür noch die eingehenden Regeln. Die Firewall ist bei UDP ja stateless

Nope - eigentlich nicht. Hab die Regel mal komplett raus genommen. Brauch ich dann einen DROP, oder ist der DROP automatisch?

Zitat von tldev

Und falls du DHCP nutzt, muss auch das erlaubt werden.

Das muss ich zuhause Prüfen, also eher gegen Abends oder morgen. Danke dir für den Link zur Serverküche!

Aktuell sieht es jetzt wie folgt aus:

#	Basis	Richtung	Protokoll	Aktion	Quellen	Src Ports	Ziele	Dst Ports
1	DNS-Antworten (stateless)	EINGEHEND	UDP	ACCEPT	beliebig	53	beliebig	beliebig
2	NTP-Antworten (stateless)	EINGEHEND	UDP	ACCEPT	beliebig	123	beliebig	beliebig
3	ICMP (Ping/PMTU)	EINGEHEND	ICMP	ACCEPT	beliebig	beliebig	beliebig	beliebig
4	ICMPv6 (Neighbor Discovery)	EINGEHEND	ICMPv6	ACCEPT	beliebig	beliebig	beliebig	beliebig
#	Web	Richtung	Protokoll	Aktion	Quellen	Src Ports	Ziele	Dst Ports
1	HTTP	EINGEHEND	TCP	ACCEPT	beliebig	beliebig	beliebig	80
2	HTTPS	EINGEHEND	TCP	ACCEPT	beliebig	beliebig	beliebig	443
#	SSH via VPN	Richtung	Protokoll	Aktion	Quellen	Src Ports	Ziele	Dst Ports
1	SSH	EINGEHEND	TCP	ACCEPT	198.51.100.120	beliebig	beliebig	22

Und am Ende natürlich noch die Implizierte Regeln (Drop all eingehend und Accept all ausgehend)

tldev

Vorausgesetzt dass du kein DHCP nutzt und keine weiteren Dienste (Mail, Monitoring mit eingehenden Ports, vpn, ...) sieht das gut aus 👍