Netcup Firewall als Ersatz für Kernel Paketfiltert?

    Hallo allerseits,

    bisher habe ich meinen Root Server mittels iptables bzw. nftables abgesichert. Wie man weiß, ist diese theoretisch einem Angriff von Innen ausgesetzt. In meinem Proxmoxx Homelab bevorzuge ich deshalb die Firewall des Hypervisors. Dies würde ich auch gerne im CCP so handhaben. Allerdings empfiehlt Netcup im Wiki "ausdrücklich, zusätzlich auch eigene, interne Firewall-Lösungen wie z. B. iptables oder nftables auf dem Server selbst einzurichten."

    Warum "zusätzlich"? Ich würde sehr ungern zwei Firewalls parallel verwalten müssen. Außerdem müssten alle IP-Pakete unnötiger Weise durch zwei Filter hindurch.

    Was meint ihr? Benutzt die NC Firewall überhaupt jemand? :/

    Zitat

    Was meint ihr? Benutzt die NC Firewall überhaupt jemand? :/

    Ich nutze die NC Firewall gerne als "2F(A)" Firewall - falls ich mal beim einen was falsch konfiguriere oder was vergesse, catched das andere best case noch - vorallem wenn by default deny drinne ist.

    Ich benutzer die NC mit einem durchaus sehr kleinteiligen Config, d.h. wirklich jeden Port einzeln (der benötigt wird), alles andere ist auf "drop". Warum jeder Port der benötigt wird? So kann ich nachträgliche Änderungen leicht ergänzen.

    Auf dem VPS gehe ich da eher rudimentär ran mit "ufw".

    Denken ist wie googeln, nur viel krasser ....

    ——

    Alle Beiträge geben nur meine persönliche Meinung wieder und nicht mehr.

    Ich nutze beide Firewalls.

    • Zum einen ist (mir) nicht klar, ob die netcup-Firewall Schutz vor direkten Nachbarn auf dem selben Host bietet, vor denen will man sich ja auch schützen.
    • Da sie bei UDP stateless arbeitet, ist sie hier zwangsläufig „offener“ als die lokale Firewall.
    • Die lokale Firewall wird dynamisch ergänzt, beispielsweise für Fernzugänge mit dynamischen IP-Adressen oder Sperren durch fail2ban. Man könnte aus dem Gast heraus über die netcup-API natürlich versuchen, die netcup-Firewall auch dynamisch umzukonfigurieren, aber das würde die jetzt bestehende Trennung der beiden Firewalls aufweichen.

    Ich bin nur auf der Host-Firewall und ignoriere die von Netcup komplett, genau auf Grund der programmatischen Pflege.

    Diese Mechanik habe habe ich seit vielen Jahren etabliert und die läuft tatsächlich mit individuellen Freischaltungen zwischen meinen Systemen, die nicht nur bei NC gehostet liegen. Darum gab es für mich bisher keinen Grund die von NC zusätzlich zu aktivieren und pflegen.

    | VPS: 28 | vCPU: 75 | Memory: 104 GB | Disk: 4012 GB |

    Ich benutze die Routerfirewall jetzt auch das erste Mal, um die zu patchenden Hosts vor dem Hochfahren abzuschotten, indem ich dort 80 und 443 für alle außer meiner eigenen IP sperre. So kann ich die Patches selbst ausprobieren, hab die Server aber trotzdem gesichert.

    Obwohl ich sie bisher nur sehr rudimentär nutze, Halte ich sie doch für ein tolles Ding.