Beiträge von Zierleiste

ad #44: Nein, ich denke auch, dass das nichts Ungewöhnliches ist. Es handelt sich dabei ja wohl um das IPv6-Pendant zu den ARP-Broadcasts von IPv4.

Gelegentlich kommt noch was über IPv6 rein im Bereich FF02:0:0:0:0:1:FF00::/104 (Solicited-Node Address), z. B. ff02::1:ff00:1.

Mucks­mäus­chen­still - scheint sich wirklich was getan zu haben. Vielleicht hängt es damit zusammen, dass die Firewall auch auf ältere Server ausgerollt worden ist?

Zusätzlich wird aber bei Dir die implizite Regel aktiv sein, die ausgehend jeglichen Traffic erlaubt - oder?

Weil ich‘s gerade in einem parallelen Thread gelesen habe, hier nochmal ein nützlicher Link.

Hallo Bud, ich hätte da ein paar Anmerkungen und Fragen:

• WireGuard läuft über UDP.
• Die Regel für ICMPv6 brauchst Du m. E. nicht, wenn Du nur IPv4 machen willst (insbesondere nicht mit einer IPv4-Adresse als Quelle).
• Bei der ausgehenden Regel zu deinem Monitoring-Server muss die IP-Adresse in die Spalte Destination(s).
• Welche DNS-Server soll der vServer benutzen?
• Welchen NTP-Server soll der vServer benutzen?

Ich glaube, dass da noch mehr fehlt, wie entsprechende Router, die Gruppen und Gruppenmitgliedschaften verwalten. Sofern da einfach beliebige virtuelle Server in einem /22-Netz einander sehen, würde da ein IGMP Snooping m. E. auch nicht helfen.

Generell kann ich Dir diesen Thread empfehlen, auch wenn er mittlerweile etwas länglich geworden ist: https://forum.netcup.de/netcup-anwendungen/scp-server-control-panel/netcup-firewall/21330-ab-sofort-firewall-für-netcup-vserver-verfügbar/

Kurz: Du benötigst im SCP eine Firewall-Regel, die für UDP eingehend alle Pakete mit Source Port 123 zulässt.

Vorausgesetzt, ausgehend lässt Du jeglichen Traffic zu, was der Default ist.

Jetzt wurden ja die netcup-DNS-Server eingestellt, die funktionieren ohne SCP-Firewall-Regeln. NTP könnte dann noch ein Thema werden.

Zitat von Interessent

source 53 & target 53

Dann kommt gar nichts mehr an, Stichwort "ephemeral" Ports - wurde hier im Thread schon weiter vorne besprochen.

Wenn ich das richtig verstanden habe, bräuchte man aber sowohl für deinen Vorschlag aus #3 sowie den Vorschlag aus #4 Firewall-Regeln. Ich denke hier insbesondere an die User, die vorgefertigte Betriebssystem-Images nehmen und sich über NTP keine Gedanken machen. Das würde ja auch irgendwie besser skalieren, wenn der entsprechende Traffic bei netcup inhouse bleiben könnte. Vielleicht kann [netcup] Sarah G. den Vorschlag ja mal intern weiterleiten.

Zitat von Interessent

Danke, das wäre dann so, oder?

Ja. Benutzt Du chronyd? Dann kannst Du mit chronyc tracking prüfen, ob die Zeit erfolgreich synchronisiert werden konnte.

Regeln 3 - 7 oder meinst Du Regeln 7 - 11? Das sind ja private IP-Adressen, die sollte die SCP-Firewall gar nicht sehen.

Ich betreibe beispielsweise auf einem Server ebenfalls OpenVPN und dafür habe ich in der SCP-Firewall nur eine eingehende Regel für Destination Port 1194 angelegt, weil bei mir ausgehend auch alle Verbindungen erlaubt sind.

Was Du in der SCP-Firewall eintragen musst, hängt also davon ab, ob dein Server nur von extern angesprochen wird oder ob er selbst VPN-Tunnel zu anderen Servern aufbauen können soll.

Danke, habe es im entsprechenden Beitrag ergänzt.

netcup stellt ja interne DNS-Server zur Verfügung, die auch bei aktivierter SCP-Firewall ohne weitere Regeln erreichbar sind. Gibt es auch NTP-Server von netcup? Falls nicht, würde ich das hiermit gerne vorschlagen, das würde u. a. das Einrichten der SCP-Firewall vereinfachen.

Hille Du müsstest nochmals Regel #13 prüfen, ob Du sie richtig notiert hast. Wenn es die implizite Regel von netcup ist, dann sollte sie gemäß Doku eigentlich von Accept all auf Drop all wechseln, weil Du andere ausgehende Regeln (1-3) definiert hast.

Die Frage hast Du leider noch nicht beantwortet:

Zitat von Zierleiste

Willst Du die WireGuard-VPN-Verbindung von extern zu deinem Server aufbauen oder soll der Server selbst eine VPN-Verbindung aufbauen?

Auch bei NTP ist mir nicht klar, warum Du so viele Regeln hast. Betreibst Du einen eigenen NTP-Server, der von außen angesprochen werden soll oder nur einen lokalen Dämon, der sich mit öffentlichen Zeitservern synchronisieren können soll?

Zitat von Interessent

Brauch ich NTP in der NC Firewall überhaupt?

Ja (wie KB19 schon schrieb), weil die netcup-Firewall bei UDP stateless ist. Wenn Du ausgehend allen Traffic erlaubt hast, benötigst Du eingehend eine Regel, die Antworten auf deine NTP-Anfragen durchlässt. Daher muss Source Port 123 für UDP eingehend erlaubt werden.

Linux hingegen hat einen Timer, der für 30 Sekunden UDP-Antworten automatisch durchlässt, der genaue Wert kann mit cat /proc/sys/net/netfilter/nf_conntrack_udp_timeout ausgelesen werden, Quelle hier: https://serverfault.com/questions/8359…-udp-right-away

Hille Ich möchte der Frage von philw95 gerne noch weitere Fragen hinzufügen, dabei beziehe ich mich auf deine zweite Tabelle mit 13 Regeln:

Stammen die Regeln 1 bis 3 von Dir oder ist das die netcup Mail block (Default policy)?

Stammen die Regeln 12 und 13 von Dir oder sind das Implizite Regeln von netcup?

Willst Du die WireGuard-VPN-Verbindung von extern zu deinem Server aufbauen oder soll der Server selbst eine VPN-Verbindung aufbauen?

gunnarh Du könntest bei deinen UDP Regeln mit Source Ports noch erwähnen, dass ein Eintrag für DNS eingehend UDP 53 nicht erforderlich ist, wenn die DNS-Server von netcup verwendet werden, was bei vielen Servern der Default sein dürfte.

Zitat von TBT

DNS abfragen

Ohne eingehende Regel für UDP/53 funktioniert das aber m. E. in deinem Setup nur für die netcup-eigenen DNS-Server, nicht für externe wie beispielsweise 1.1.1.1, da sonst deren Antworten nicht durch die Firewall kommen.

Es wird leider unnötiger Traffic produziert, der ja alle "Nachbarn" betrifft, die in der selben Broadcast-Domäne liegen. Die DNS-Namen werden von Tools wie iptraf (die Namensauflösung muss erst aktiviert werden) oder auch iftop (die Namensauflösung ist per Default aktiv) automatisch ermittelt (sofern möglich) - ganz interessant, wer da so die "Nachbarn" sind.

Zitat von Veit_Kannegieser

Bin mir nicht sicher ob ich den VPS-Eigentümern Tipps schicken sollte.

Ich glaube, das wäre ein Kampf gegen Windmühlen. Erst einmal stelle ich mir die Kontaktaufnahme schwierig vor und ob die betroffenen "Nachbarn" überhaupt wissen, wo sie Hand anlegen müssten?