Firewalls verwalten

Firewalls steuern, welcher Datenverkehr deine Server erreichen kann. Dieser Artikel richtet sich an alle, die Firewall-Regeln über ihre Cloud-Anbieter hinweg aus InfraNest heraus prüfen, bearbeiten oder aufräumen müssen.

#Überblick

• Verwalte Firewalls von jedem verbundenen Anbieter in einem Editor.
• Sieh auf einen Blick, welche Server eine Firewall schützt und wie viele Regeln sie hat.
• Werde vor riskanten Regeln gewarnt — etwa Remote-Zugriff, der für das gesamte Internet offen ist —, bevor sie Ärger verursachen.

#Eine Firewall bearbeiten

1. Gehe zu Firewalls und öffne eine (oder öffne den Tab Firewall eines Servers).
2. Bearbeite die eingehenden und ausgehenden Regeln — Richtung, Protokoll, Port sowie die Quell- oder Ziel-IP-Bereiche.

3. Wähle Speichern. Jede Firewall zeigt an, auf wie viele Server sie angewendet wird.

Von einem Server aus kannst du die auf ihn angewendete Firewall auch aktivieren, deaktivieren, zurücksetzen oder bearbeiten.

#Was die Seite einer Firewall anzeigt

Öffne eine Firewall aus der Liste und du siehst das gleiche Layout, das jede Cloud-Seite verwendet:

• Der Kopfbereich zeigt ihren Status, wie viele Regeln sie hat und auf wie viele Server sie angewendet wird, bei welchem Anbieter und an welchem Standort sie sich befindet, und was sie pro Monat kostet, sofern bekannt. Die Hauptaktion steht direkt daneben; alles andere befindet sich unter Aktionen.
• Overview beginnt mit allem, das deine Aufmerksamkeit braucht, gefolgt von How each rule is used — jede eingehende Regel im Vergleich dazu, was der Agent auf den Servern, auf die sie angewendet wird, tatsächlich als lauschend erkennt (zum Beispiel „8080: nichts lauscht auf keinem der 3 Server“), mit der Option, eine ungenutzte Regel zu entfernen — dann Used by — je eine Zeile für die geschützten Server, die Dynamischen IPs, die ihre Regeln aktuell halten, und die Automatisierungen, die auf sie einwirken — sowie eine Details-Karte mit ihren Eckdaten, jeweils mit dem Schalter, der sie ändert.
• Rules ist der Regeleditor. Ungespeicherte Änderungen bleiben erhalten, während du einen anderen Tab ansiehst; Regeln speichern erscheint im Kopfbereich, sobald du etwas änderst.
• Activity listet auf, was an ihr vorgenommen wurde, von wem und wann — das Audit-Log nur für diese Firewall.

Eine Firewall, die auf keinen Server angewendet wird, schützt nichts, und die Seite weist oben darauf hin, mit einer Schaltfläche, um sie anzuwenden.

#Alle Regeln entfernen

Eine Firewall ganz ohne Regeln ist erlaubt und bedeutet genau das, was sie sagt: Nichts kommt rein.

1. Lösche die Regeln, die du nicht möchtest, und wähle Apply.
2. Die Bestätigung listet jede zu entfernende Regel auf und warnt dich zuerst, falls eine davon diejenige ist, die dir den Zugriff auf den Server über SSH oder Remotedesktop ermöglicht.

Das ist nicht dasselbe wie das Löschen der Firewall. Die Firewall bleibt bestehen, bleibt mit den Servern verbunden, die sie schützt, und hört einfach auf, irgendetwas zuzulassen — genau das, was du willst, wenn du einen Server abriegelst, während du etwas klärst.

Bei DigitalOcean können Regeln, die auf Tags statt auf IP-Adressen basieren, nicht von uns entfernt werden, daher bleiben sie bestehen. Sie werden im Editor separat aufgeführt, und die Firewall setzt sie weiterhin durch.

#Eine Firewall umbenennen

1. Klicke auf den Namen der Firewall oben auf ihrer Seite.
2. Gib den neuen Namen ein.
3. Drücke Enter.

Der Name ändert sich auch bei deinem Anbieter, sodass er überall gleich bleibt.

TransIP-Firewalls können nicht umbenannt werden — jede gehört zu einem einzelnen VPS und trägt dessen Servernamen.

#Einen weiteren Server mit einer bereits vorhandenen Firewall schützen

1. Öffne die Firewall und wähle Attach a server im Panel Applied to — oder öffne den Server und wähle Attach a firewall unter Aktionen.
2. Wähle den Server (oder, von der Serverseite aus, die Firewall) und bestätige. Der Schutz beginnt sofort.
3. Um den Schutz eines Servers zu beenden, wähle das ✕ neben ihm in der Liste Applied to.

Du kannst eine Firewall und einen Server nur aus demselben Anbieterkonto kombinieren, sodass alles, was du auswählen kannst, auch funktioniert.

#Der Firewall Advisor

Beim Prüfen einer Firewall markiert InfraNest riskante Offenlegungen — etwa SSH, das für das gesamte Internet offen ist, Remotedesktop, das für die Welt offen ist, oder einen öffentlich zugänglichen Datenbank-Port — mit einer Erklärung und einer Lösung, sodass gefährliche Regeln erkannt werden, bevor sie Ärger verursachen.

TipEine Firewall-Regel kann einer sich ändernden IP automatisch folgen — siehe Dynamische IP einrichten.

#Adressen, die wir nicht zuordnen können

Wenn eine Dynamische IP einen Teil einer Firewall aktuell hält, prüfen wir auch, was diese Regel sonst noch erlaubt — und informieren dich über alles, was wir nicht selbst eingetragen haben.

Du siehst eines von zwei Dingen:

• Eine Adresse, die wir früher aktuell gehalten haben, benannt, mit dem Datum, an dem wir damit aufgehört haben. Das ist der Fall, bei dem sich ein Handeln lohnt: Sie gehörte dir unter einer alten Internetverbindung, wird nicht mehr gepflegt, und Anbieter vergeben alte Adressen an andere Kunden.
• Eine Adresse, die wir nicht selbst eingetragen haben. Soweit wir wissen, ist nichts damit falsch — es könnte ein Kollege, ein Büro oder ein Monitoring-Dienst sein — wir können dir nur nicht sagen, was es ist.

Es wird nie etwas für dich entfernt. Ein Freigabe-Eintrag, den wir nicht selbst geschrieben haben, ist nicht unserer, um ihn zu löschen, daher zeigen wir ihn an und überlassen dir die Entscheidung; bearbeite die Regel selbst, falls sie entfernt werden soll.

Sag, was es ist. Nutze Say what this is, um eine kurze Notiz zu schreiben — „Büro Berlin“, „Pingdom-Prüfung“. Der Eintrag hört auf, eine offene Frage zu sein, und die nächste Person, die nachsieht (auch du selbst in sechs Monaten), muss es nicht erneut herausfinden. Das Löschen der Notiz markiert ihn wieder als ungeklärt.

Du bekommst einmal eine E-Mail zu einer Adresse, die wir früher gepflegt haben, denn bei dieser können wir sicher sein. Wir schicken keine E-Mails zu Adressen, die wir schlicht nicht erkennen — sonst würdest du bei der ersten Prüfung über jeden Eintrag informiert, den du bereits kennst.

Regeln, die von nichts verfolgt werden, bleiben unberührt, und eine Regel, bei der deine Dynamische IP die einzige Adresse ist, bleibt still.

#Was eine Firewall-Regel abdeckt und was nicht

Wenn eine Regel für das gesamte Internet offen ist, besteht die Lösung darin, ihre Quelle auf die Adressen zu beschränken, die diesen Port erreichen müssen — deine eigene IP, dein Büro-Bereich oder die Adresse des Servers, der ihn aufruft. Wähle Limit to My IP in der Warnung, um das in einem Schritt zu erledigen.

Ein privates Netzwerk ist keine engere Quelle, die du in dieses Feld eintragen könntest. Bei manchen Anbietern — darunter Hetzner — decken Firewall-Regeln nur Datenverkehr ab, der über die öffentliche Adresse des Servers eintrifft. Alles, was über ein privates Netzwerk gesendet wird, erreicht den Server, ohne gegen eine hier erstellte Regel geprüft zu werden. Eine Regel, deren Quelle ein privater Bereich wie 10.0.0.0/24 ist, trifft daher auf nichts zu und blockiert nichts. Wo das der Fall ist, weist der Editor oberhalb der eingehenden Regeln darauf hin.

NoteDas macht ein privates Netzwerk nicht unsicher — es bedeutet, dass etwas anderes es kontrolliert. Dort entscheidet, wer mit dem Netzwerk verbunden ist, wer den Server erreichen kann, und das verwaltest du am Netzwerk selbst statt über Regeln.

#Tipps

• Nutze die vom Firewall Advisor vorgeschlagene Lösung als Ausgangspunkt und schränke die Quelle danach weiter ein, wenn möglich.
• Eine Notiz zu einer unerkannten Adresse erspart der nächsten Person (auch dir selbst in Zukunft) eine erneute Recherche.