Strange issue!
As far as I can see, you already checked the relevant settings of the SCP firewall (however it should work out of the box).
Which OS - Debian?
Please show the current content of your resolv.conf.
You might try to replace the netcup DNS-servers in your resolv.conf by e.g. 8.8.8.8.
Funktioniert das nicht, wenn Du in der Spalte Host lediglich ein Sternchen * einträgst? Die Apex-Domain wird ja automatisch ergänzt.
Ich habe die IP-Adressen meiner Server ebenfalls statisch konfiguriert und hatte das ja auch in #354 empfohlen. DHCP wird aber offensichtlich unterstützt, es findet sich dazu folgender Satz in der Dokumentation zur Firewall "DHCP-Traffic muss auch auf die Whitelist gesetzt werden, was jedoch wahrscheinlich nur während der Installation deines Servers nötig ist." Für mich impliziert die Aussage außerdem, dass eine statische Adresskonfiguration am Ende üblich und - wie Du ausgeführt hast - sinnvoll ist.
wechsler Prima, dass es nun funktioniert. Nutzt Du eigentlich auch IPv6 und falls ja, funktioniert hier die Adresszuweisung?
gunnarh Vielleicht müsstest Du auf deinen Spickzettel auch UDP Port 546 bzw. 547 für DHCPv6 mit aufnehmen. Normalerweise wird ja SLAAC verwendet, aber zumindest müsste man das mal überprüfen.
Äh ja, du lässt UDP Source Port 68 rein, aber die Antworten vom Server kommen von Port 67 (source)
Da muss gunnarh wohl mal über seinen Spickzettel schauen, siehe RE: Ab sofort: Firewall für netcup vServer verfügbar
Wie kann man das in Ordnung bringen?
Bezieht dein Netzwerkadapter seine Adresse per DHCP? Dann würde ich empfehlen, das Netzwerk statisch zu konfigurieren mit den Adressen, die Dir im SCP zugewiesen sind.
Wo hat er denn ausgehende Regeln definiert? Die Regeln in der Policy netcup Ping allow sollte m. E. nicht zählen, da sie ICMP und nicht TCP oder UDP betreffen. Aber einen Versuch ist es vielleicht trotzdem wert.
Dein Regelwerk schaut für mich erst einmal in Ordnung aus. Oberhalb der Firewall-Regeln sollte ein Abschnitt mit der MAC-Adresse sowie den IP-Adressen deines Servers stehen. Und dann gibt es ganz rechts oben ein Cloud-Symbol mit deinem Interface (MAC-Adresse). Du könntest mal kontrollieren, ob die Werte alle korrekt sind und auch mit denen deines Servers übereinstimmen.
Kann ich die einfach mit Komma hinter die IPv4 packen?
Lt. Doku soll das so funktionieren. Würde ich auch so machen, außer deine VM hat kein IPv6 aktiviert.
Würdest du sagen das passt jetzt soweit alles?
Ich hatte noch einen Nachtrag in #21 vorgenommen, der ist aber lediglich Kosmetik. Ansonsten sollte alles passen. Du kannst ja nochmal einen aktuellen Screenshot deiner Regeln hier einstellen, dann können auch andere Mitglieder des Forums nochmal drüber schauen.
Bei den drei Regeln XXX response stateless-udp gehört die Port-Angabe jeweils in die Spalte Source Port(s) (wie auch im in #20 verlinkten Artikel beschrieben), bei Dir stehen sie momentan unter den Destination Port(s).
Also im Netcup Backend für das Hosting Paket, indem auch der Mailserver ist, wird mir nur diese IP angezeigt.
Ich hätte hier jetzt einen DNS-Namen erwartet für den man beispielsweise mit nslookup die Adressen ermitteln kann. Wenn Du jedoch nur eine IP-Adresse hast, dann wird das schon stimmen.
Nachtrag: Die Regel accept all outgoing UDP würde ich aus dem Abschnitt Mail_01 herausnehmen und in einen eigenen Abschnitt Outgoing_01 o.ä. packen und diesen vor die impliziten Regeln stellen.
Der Mail_01-Abschnitt deiner Regeln schaut für mich plausibel aus, wobei ich nochmals nachhaken möchte, ob dein Mail-Server nur eine einzige IP-Adresse besitzt, oder beispielsweise auch über IPv6 erreichbar ist.
Im Moment werden aber ausgehend sämtliche UDP-Pakete verworfen, also insbesondere DNS und NTP. Bei DNS ist das kein Problem, falls Du nur die netcup-DNS-Server benutzt. Bei NTP hingegen wirst Du erst nach einiger Zeit feststellen, dass die Systemzeit deines Servers von der korrekten Zeit abweichen wird.
NTP ist auch noch ein Thema, das es zu beachten gilt.
Und generell, macht es Sinn die Netup Firewall als primäre Firewall zu nutzen und UFW garnicht mehr zu nutzen?
Ich nutze die netcup-Firewall als „groben“ Filter und regele die Details in der lokalen Firewall.
P.S.: Ich habe in #7 eine Korrektur (durchgestrichener Text) vorgenommen.
In erster Linie will man mit einer Firewall seinen Server vor externen Zugriffen schützen und öffnet daher eingehend nur die Ports, die man wirklich benötigt. Ausgehender Traffic wird erst dann relevant, wenn der Server missbraucht wird. Meistens ist daher ausgehend jeglicher Traffic erlaubt, ausgenommen SMTP, was netcup per Default blockiert. Natürlich kannst Du auch ausgehend nur gezielt die Ports öffnen, die wirklich benötigt werden, aber dafür müsstest Du genau Bescheid wissen über jede Komponente des Betriebssystems.
Zu beachten ist, dass die netcup-Firewall den Default „ausgehend ist alles erlaubt“ wechselt auf „ausgehend ist alles verboten“, sobald Du eine eigene ausgehende Regel definierst (dies gilt separat für TCP und UDP und analog für eingehenden Traffic).
Ich habe es bei meinen Servern nicht gemacht.
Würde es Sinn machen, dass ich den Port dann nur für diese Domain/IP freigebe (wenn das geht über die Firewall)?
Im Prinzip möglich, aber: Normalerweise sprichst Du einen Mailserver über seinen DNS-Namen an. Ändern sich die hinterlegten IP-Adressen (das können ja mehrere sein, insbesondere IPv4 und IPv6), stimmen deine Firewall-Regeln nicht mehr.
Den Server habe ich soweit abgesichert, nur Login mit SSH Key, mit UFW alle Ports geblockt außer 443 / 80 für Web und Custom SSH.
Das ist schon mal gut.
ich vermute weil das über Ngnix läuft?
Nein, das ist der Webserver.
Die SMTP Ports sind aufjedenfall nicht offen in UFW.
Doch, per Default ist normalerweise ausgehend alles offen. Außerdem könntest Du sonst keine E-Mails versenden.
Ich empfehle Dir, folgenden Artikel zu lesen und dann die netcup-Firewall einzuschalten: RE: Ab sofort: Firewall für netcup vServer verfügbar
Dafür kann man doch bei jedem Server einen Spitznamen vergeben, der dann im Dropdown-Menü erscheint.
natürlich nicht.
Wenn Du deine eigene Domain unbedingt verschleiern möchtest, dann nimm bitte "example.com" oder "#######.de" aber keine existierende.
Verwendest Du wirklich einen E-Mail-Absender, der zur Domain deines Webhostings gehört?
Ich bekomme solche DMARC Reports auch gelegentlich. Bei source_ip wird normalerweise die IP-Adresse des Servers angegeben, der die verdächtige E-Mail angeliefert hat.
Das ist die ganze XML Datei, die ich erhalten habe!
Mal abgesehen davon, dass ein schließender feedback-Tag fehlt, stand da wirklich die Domain xyz.de drin?
Bei meinen Domains habe ich für DMARC „p=reject“ gesetzt, „p=none“ ist ja irgendwie wirkungslos.
Ich betreibe „nur“ Rootserver, daher kann ich dir mit dem Webhosting Paket leider nicht wirklich weiterhelfen.
Der Server, von dem aus Du deine E-Mail versendest, muss halt per SPF TXT-Eintrag an deiner Domäne dazu die Erlaubnis haben. Zur Syntax siehe hier: http://www.open-spf.org/SPF_Record_Syntax/
Hier kann man die XML-Datei hochladen und in eine lesbare Darstellung wandeln lassen: https://eu.dmarcadvisor.com/dmarc-xml/
Wenn deine SPF- und DKIM-Einträge in Ordnung sind, dann ist es so, dass jemand versucht hat, mit deiner Domain als Absender eine E-Mail zu versenden. Genau das erkennt das SPF und dazu hast Du einen Report erhalten.
