Firewalls verwalten

Firewalls steuern, welcher Datenverkehr Ihre Server erreichen kann. Dieser Artikel richtet sich an alle, die Cloud-Firewalls bei einem oder mehreren Anbietern in InfraNest verwalten.

Überblick

• Bearbeiten Sie eingehende und ausgehende Regeln für jede Firewall in einem einzigen Editor, unabhängig davon, bei welchem Anbieter sie liegt.
• InfraNest prüft Ihre Regeln laufend und warnt Sie vor riskanter Offenlegung, etwa wenn SSH oder ein Datenbank-Port für das gesamte Internet offen ist.
• Sie können eine Firewall mit weiteren Servern verbinden, umbenennen oder auf null Regeln reduzieren, ohne sie zu löschen.

Eine Firewall bearbeiten

1. Gehen Sie zu Firewalls und öffnen Sie eine (oder öffnen Sie einen Server und wechseln Sie zu dessen Tab Firewalls).
2. Bearbeiten Sie die eingehenden und ausgehenden Regeln — Richtung, Protokoll, Port sowie die Quell- oder Ziel-IP-Bereiche.

3. Wählen Sie Speichern. Jede Firewall zeigt an, auf wie vielen Servern sie angewendet ist.

Über einen Server können Sie die dort angewendete Firewall auch Aktivieren, Deaktivieren, Zurücksetzen oder Bearbeiten.

Alle Regeln entfernen

Eine Firewall ganz ohne Regeln ist zulässig und bedeutet genau das, was es klingt: Es kommt nichts durch.

1. Löschen Sie die Regeln, die Sie nicht möchten, und wählen Sie Regeln speichern.
2. Die Bestätigung listet jede zu entfernende Regel auf und warnt Sie vorab, falls eine davon der Grund ist, warum Sie den Server über SSH oder Remotedesktop erreichen können.

Das ist nicht dasselbe wie das Löschen der Firewall. Die Firewall bleibt bestehen, bleibt mit den Servern verbunden, die sie schützt, und lässt einfach nichts mehr zu — genau das, was Sie wollen, wenn Sie einen Server sperren, während Sie etwas klären.

Bei DigitalOcean liegen tag-basierte Regeln (statt IP-basierte) nicht in unserer Hand zum Entfernen, daher bleiben sie bestehen. Sie werden im Editor separat aufgeführt, und die Firewall setzt sie weiterhin durch.

Eine Firewall umbenennen

Klicken Sie oben auf der Seite auf den Namen der Firewall, geben Sie den neuen Namen ein und drücken Sie Enter. Der Name ändert sich auch beim Anbieter, sodass er überall gleich bleibt.

TransIP-Firewalls können nicht umbenannt werden — jede gehört zu genau einem VPS und trägt dessen Servernamen.

Einen weiteren Server mit einer bereits vorhandenen Firewall schützen

1. Öffnen Sie die Firewall und wählen Sie Server verbinden im Panel Angewendet auf — oder öffnen Sie den Server und wählen Sie Verbinden auf der Karte der zugewiesenen Firewall.
2. Wählen Sie den Server (oder die Firewall, von der Serverseite aus) und bestätigen Sie. Der Schutz beginnt sofort.
3. Um den Schutz für einen Server zu beenden, wählen Sie das ✕ daneben in der Liste Angewendet auf.

Sie können eine Firewall nur mit einem Server desselben Anbieterkontos kombinieren, daher funktioniert alles, was Sie auswählen können.

Der Firewall Advisor

Beim Überprüfen einer Firewall markiert InfraNest riskante Offenlegungen — etwa SSH, das für das gesamte Internet offen ist, Remotedesktop, das für die Welt offen ist, oder einen öffentlich zugänglichen Datenbank-Port — mit einer Erklärung und einer Lösung, damit gefährliche Regeln erkannt werden, bevor sie Probleme verursachen.

TipEine Firewall-Regel kann einer sich ändernden IP-Adresse automatisch folgen — siehe Dynamische IP einrichten.

Adressen, die wir nicht zuordnen können

Wenn eine Dynamische IP einen Teil einer Firewall aktuell hält, prüfen wir auch, was diese Regel sonst noch erlaubt — und informieren Sie über alles, was wir nicht selbst hinzugefügt haben.

Sie sehen eine von zwei Möglichkeiten:

• Eine Adresse, die wir früher aktuell gehalten haben — benannt, mit dem Datum, an dem wir damit aufgehört haben. Das ist diejenige, bei der sich ein Handeln lohnt: Sie gehörte Ihnen unter einer alten Internetverbindung, wird nicht mehr gepflegt, und Anbieter vergeben alte Adressen an andere Kunden.
• Eine Adresse, die wir nicht geschrieben haben. Soweit wir wissen, ist nichts falsch daran — es könnte ein Kollege, ein Büro oder ein Monitoring-Dienst sein — wir können Ihnen nur nicht sagen, was es ist.

Es wird nie etwas für Sie entfernt. Ein Freigabe-Eintrag, den wir nicht geschrieben haben, liegt nicht in unserer Hand zum Löschen, daher zeigen wir ihn an und überlassen Ihnen die Entscheidung; bearbeiten Sie die Regel selbst, wenn sie entfernt werden soll.

Notieren Sie, was es ist. Verwenden Sie Sagen, was das ist, um eine kurze Notiz zu schreiben — „Büro Berlin“, „Pingdom-Prüfung“. Der Eintrag ist dann keine offene Frage mehr, und die nächste Person, die nachsieht (auch Sie in sechs Monaten), muss es nicht erneut herausfinden. Das Löschen der Notiz markiert den Eintrag wieder als unerklärt.

Sie erhalten einmalig eine E-Mail zu einer Adresse, die wir früher gepflegt haben, da wir uns bei dieser sicher sein können. Wir versenden keine E-Mails zu Adressen, die wir einfach nicht erkennen — sonst würden Sie bei jeder Prüfung über jeden Eintrag informiert, den Sie bereits kennen.

Regeln, die von nichts überwacht werden, bleiben unberührt, und eine Regel, bei der Ihre Dynamische IP die einzige Adresse ist, bleibt still.

Was eine Firewall-Regel abdeckt und was nicht

Wenn eine Regel für das gesamte Internet offen ist, besteht die Lösung darin, ihre Quelle auf die Adressen zu beschränken, die diesen Port erreichen müssen — Ihre eigene IP, Ihren Büro-Bereich oder die Adresse des Servers, der ihn aufruft. Wählen Sie Auf meine IP beschränken bei der Warnung, um dies in einem Schritt zu erledigen.

Ein privates Netzwerk ist keine engere Quelle für dieses Feld. Bei manchen Anbietern — darunter Hetzner — decken Firewall-Regeln nur Datenverkehr ab, der über die öffentliche Adresse des Servers eintrifft. Alles, was über ein privates Netzwerk gesendet wird, erreicht den Server, ohne gegen eine hier geschriebene Regel geprüft zu werden. Eine Regel, deren Quelle ein privater Bereich wie 10.0.0.0/24 ist, trifft daher auf nichts zu und blockiert nichts. Wo das zutrifft, weist der Editor oberhalb der eingehenden Regeln darauf hin.

NoteEin privates Netzwerk ist nicht unsicher — es wird nur anders gesteuert. Wer mit dem Netzwerk Attached ist, entscheidet, wer den Server erreichen kann, und das verwalten Sie am Netzwerk selbst statt über Regeln.

Fehlerbehebung

• Meine Änderungen sind verschwunden oder wirken nicht synchron — die Firewall ist möglicherweise Nicht synchron mit dem Provider. Verwenden Sie Unterschiede prüfen, um zu sehen, was sich geändert hat, und wählen Sie dann Meine verwerfen und neu laden oder Meine Änderungen trotzdem speichern.
• Ich kann eine Regel nicht entfernen — bei DigitalOcean werden tag-basierte Regeln hier nicht verwaltet und können nicht aus diesem Editor entfernt werden.
• Eine Regel scheint nichts zu blockieren — prüfen Sie, ob ihre Quelle ein privater Bereich bei einem Anbieter ist, bei dem privater Datenverkehr Firewall-Regeln vollständig umgeht (siehe oben).