Die Firewall im Kundenbereich entscheidet, welcher Verkehr Ihren VPS überhaupt erreicht. Sie richten sie per Klick ein, sie arbeitet unabhängig vom System des VPS, und wenn Sie sich aussperren, beheben Sie das mit einem Klick. Wir zeigen, wie Sie sie in den sicheren Modus schalten und welche Regeln gängige Dienste brauchen.
Was Sie brauchen
- Ein StormHost-VPS
- Zugang zum Kundenbereich (bei einem geteilten Dienst die Berechtigung Firewall)
- Eine Liste der Ports, die Ihre Anwendungen verwenden
- Etwa 15 Minuten
Wie die Firewall funktioniert#
Die Firewall sitzt im Netz vor dem VPS, nicht darin. Die Regeln gelten daher auch dann, wenn das System im VPS kaputt ist, und Sie können sich damit nicht aus dem Kundenbereich oder der Konsole aussperren.
Öffnen Sie Meine Dienste, klicken Sie auf Ihren VPS und wechseln Sie zur Registerkarte Firewall. Sie sehen:
- Firewall-Status: Firewall aktiv.
- Eingehender Verkehr: den Modus Alles erlauben oder Alles blockieren außer Erlaubtem.
- Regeln: Ihre eigenen Regeln (höchstens 50).
- StormHost-Schutzregeln: eine eingeklappte Liste von Regeln, die wir verwalten und die sich nicht ausschalten lassen.
| Schutzregel | Was sie tut |
|---|---|
| Bekannte Internet-Scanner blockieren | Verwirft Verkehr von Adressen, die das Internet massenhaft scannen. |
| Verkehr zu den IP-Adressen des VPS erlauben | Lässt im Modus Alles erlauben eingehenden Verkehr durch. Im Modus Alles blockieren außer Erlaubtem ist sie aus. |
| Ausgehend nur von den IP-Adressen des VPS | Der VPS darf Verkehr nur von seinen eigenen Adressen senden. |
| Schutz vor IP- und MAC-Spoofing | Der VPS kann sich nicht als fremde Adresse ausgeben. Schützt Sie und andere Kunden. |
Die Firewall merkt sich aufgebaute Verbindungen. Antworten auf Verbindungen, die der VPS selbst öffnet (Updates, Downloads, Verbindung zu einer Datenbank anderswo), kommen in beiden Modi durch. Die Regeln betreffen nur neue eingehende Verbindungen.
Modus für eingehenden Verkehr#
| Modus | Was durchkommt | Für wen |
|---|---|---|
| Alles erlauben | Alles außer dem, was Sie mit einer eigenen Regel mit der Aktion Verwerfen oder Ablehnen blockieren. | Der Standard für einen neuen VPS. Geeignet, wenn Sie eine Firewall im VPS haben (UFW). |
| Alles blockieren außer Erlaubtem | Nur Verkehr, den Ihre eigenen Regeln mit der Aktion Erlauben zulassen. | Empfohlen. Nur das, was Sie ausdrücklich öffnen, ist von außen erreichbar. |
Fügen Sie zuerst die SSH-Regel hinzu
Bevor Sie auf Alles blockieren außer Erlaubtem umschalten, fügen Sie eine Regel hinzu, die TCP-Port 22 erlaubt (oder den Port, auf den Sie SSH verschoben haben). Ohne sie können Sie sich nicht per SSH verbinden. Der Kundenbereich warnt Sie beim Umschalten davor. Passiert es trotzdem, ist nichts verloren: Fügen Sie die Regel nachträglich hinzu und kommen Sie in der Zwischenzeit über die Browser-Konsole in den VPS.
Umschalten in den sicheren Modus:
- Fügen Sie eine Regel für SSH hinzu (siehe nächster Abschnitt, Schaltfläche SSH).
- Fügen Sie Regeln für alle Dienste hinzu, die von außen sichtbar sein sollen (Web, Gameserver …).
- Wählen Sie unter Eingehender Verkehr die Option Alles blockieren außer Erlaubtem.
- Schieben Sie den Schieberegler im Bestätigungsdialog.
- Prüfen Sie in einem neuen Fenster, dass Sie sich per SSH verbinden können und die Dienste funktionieren.
Bei manchen älteren VPS sehen Sie statt der Modusauswahl einen Kasten Empfohlene Firewall-Einrichtung. Klicken Sie auf Empfohlene Einrichtung anwenden. Das schaltet die Schutzregeln ein, behält Ihre eigenen Regeln und ersetzt allgemeine „alles erlauben“-Regeln durch den empfohlenen Satz. Danach erscheint die Modusauswahl.
Regel hinzufügen#
Das Formular Regel hinzufügen befindet sich unter der Regelliste. Oben finden Sie die Schnellvorgaben SSH, HTTP, HTTPS, Minecraft, FiveM TCP, FiveM UDP und Ping, die das Formular für Sie ausfüllen.
| Feld | Was es bedeutet | So füllen Sie es aus |
|---|---|---|
| Richtung | Eingehend = Verbindungen aus dem Internet zum VPS. Ausgehend = Verbindungen vom VPS nach außen. | Fast immer Eingehend. |
| Aktion | Erlauben = durchlassen. Verwerfen = stillschweigend verwerfen; der Absender wartet bis zum Timeout. Ablehnen = verwerfen und dem Absender sofort Bescheid geben. | Um einen Port zu öffnen, Erlauben. Um Angreifer zu blockieren, Verwerfen (verrät nichts). Ablehnen für eigene Dienste, bei denen Sie einen schnellen Fehler statt Wartens möchten. |
| Protokoll | TCP, UDP, ICMP (Ping), ICMPv6 oder beliebig. | Je nach Dienst, siehe Tabellen unten. Web und SSH = TCP, die meisten Spiele = UDP oder beides. |
| Port | Der Zielport auf dem VPS. Nur für TCP und UDP. Formate: ein Port 22, eine Liste 80,443 (höchstens 10 Einträge), ein Bereich 25565:25570 (von:bis). | Leeres Feld = alle Ports. |
| Quell-IP / Bereich (bei eingehend) | Woher die Verbindung kommen darf. Eine Adresse 198.51.100.25, ein Bereich 198.51.100.0/24, eine IPv6-Adresse oder eine durch Kommas getrennte Liste (höchstens 10 Einträge). | Leer = von überall. Nur ausfüllen, um den Zugriff auf bestimmte Adressen zu beschränken. Mischen Sie IPv4- und IPv6-Adressen nicht in einem Feld; erstellen Sie für jede Version eine eigene Regel. |
| Ziel-IP / Bereich (bei ausgehend) | Wohin sich der VPS verbinden darf. | Leer = überallhin. |
| Notiz | Ihre Beschreibung, höchstens 100 Zeichen. | Immer ausfüllen, damit Sie in sechs Monaten wissen, wofür die Regel ist. |
| aktiviert | Die Regel wird angewendet. | Abhaken, um die Regel vorübergehend auszuschalten, ohne sie zu löschen. |
Klicken Sie auf Hinzufügen. Die Änderung gilt innerhalb weniger Sekunden.
Reihenfolge der Regeln: Regeln werden von oben ausgewertet, und der erste Treffer gewinnt. Wenn Sie eine IP-Adresse blockieren und gleichzeitig einen Port für alle erlauben möchten, setzen Sie die Regel Verwerfen für diese Adresse über die Regel Erlauben. Die Reihenfolge ändern Sie mit den Pfeilen Nach oben und Nach unten. Die StormHost-Schutzregeln mischen sich nicht mit Ihren: Das Blockieren von Scannern steht immer zuerst, das allgemeine Erlauben immer zuletzt.
Fertige Regelsätze#
Alle Regeln unten haben die Richtung Eingehend und die Aktion Erlauben. Die Ports sind die Standards der Programme; wenn Sie sie in Ihrer Anwendung geändert haben, verwenden Sie Ihre.
| Dienst | Protokoll | Port | Hinweis |
|---|---|---|---|
| SSH | TCP | 22 | Ohne sie können Sie sich nicht verbinden. |
| Web (HTTP und HTTPS) | TCP | 80,443 | Eine Regel genügt. Let's Encrypt braucht Port 80 auch zum Ausstellen eines Zertifikats. |
| Minecraft Java | TCP | 25565 | |
| Minecraft: Query (Serverliste) | UDP | 25565 | Nur wenn Sie enable-query eingeschaltet haben. |
| Bedrock über Geyser | UDP | 19132 | |
| FiveM | TCP | 30120 | |
| FiveM | UDP | 30120 | Das Spiel braucht TCP und UDP; das sind zwei Regeln. |
| txAdmin | TCP | 40120 | Idealerweise nur von Ihrer IP-Adresse. |
| Rust: Spiel | UDP | 28015 | |
| Rust: Query (Serverliste) | UDP | 28017 | Der Standard-Query-Port ist um 1 höher als der höhere von Spiel- und RCON-Port. |
| Rust: RCON | TCP | 28016 | Nur von Ihrer IP-Adresse. |
| Rust+ (App) | TCP | 28082 | Den tatsächlichen Port gibt der Befehl app.info in der Serverkonsole aus. |
| Game-Panel auf dem eigenen VPS: Node | TCP | 8080,2022 | 8080 = Kommunikation zwischen Panel und Node, 2022 = SFTP für Gameserver. Siehe Node-Anleitung. |
| Game-Panel auf dem eigenen VPS: Server | TCP und UDP | Bereich, z. B. 25565:25600 | Zwei Regeln (TCP und UDP) für den Portbereich, den Sie den Servern zuweisen. |
| MariaDB / MySQL | TCP | 3306 | Immer nur von einer bestimmten IP-Adresse, nie für alle. |
| Ping (IPv4) | ICMP (Ping) | — | Zur Diagnose. |
| Ping (IPv6) | ICMPv6 | — | Die Vorgabe Ping erstellt nur eine IPv4-Regel; fügen Sie eine zweite für IPv6 hinzu. |
Zugriff nur von Ihrer IP-Adresse#
Tragen Sie Ihre öffentliche IP-Adresse in das Feld Quell-IP / Bereich ein. Die Regel erlaubt den Port dann nur für Sie. Gut für SSH, RCON, txAdmin und Datenbanken.
Am zuverlässigsten finden Sie Ihre öffentliche IP-Adresse vom VPS aus: Verbinden Sie sich per SSH und führen Sie echo $SSH_CLIENT aus. Der erste Wert in der Ausgabe (zum Beispiel 198.51.100.25) ist die Adresse, von der Sie sich gerade verbinden. Verbinden Sie sich über IPv6, sehen Sie eine IPv6-Adresse, und die Regel gilt dann nur für IPv6.
Bevor Sie SSH auf Ihre Adresse beschränken
- Heimanschlüsse wechseln ihre IP-Adresse oft (nach einem Router-Neustart; bei mobilen Daten ständig). Nach einem Wechsel können Sie sich nicht verbinden und müssen die Regel bearbeiten. Die Browser-Konsole funktioniert immer.
- Die Registerkarten Dateien und Datenbank funktionieren nicht mehr. Der Kundenbereich verbindet sich per SSH von unseren Servern mit dem VPS, nicht von Ihrem Computer.
IPv6#
Regeln mit leerer Adresse gelten für IPv4 und IPv6. Eine Regel mit einer IPv4-Adresse gilt nur für IPv4, eine mit einer IPv6-Adresse nur für IPv6. Ping braucht separate Regeln ICMP (Ping) und ICMPv6.
Ausgehende Regeln#
Ausgehender Verkehr ist standardmäßig erlaubt (von den Adressen Ihres VPS). Ausgehende Regeln brauchen Sie selten, zum Beispiel wenn Sie den VPS daran hindern möchten, direkt E-Mails zu senden (eine Regel Ausgehend, Verwerfen, TCP für Port 25). Achten Sie darauf, weder DNS (UDP und TCP 53) noch Updates (TCP 80,443) zu blockieren.
Firewall im Kundenbereich oder UFW?#
| Firewall im Kundenbereich | UFW im VPS | |
|---|---|---|
| Wo sie filtert | Vor dem VPS | Im VPS |
| Wie Sie sie einrichten | Per Klick | Mit Befehlen |
| Wenn Sie sich aussperren | Im Kundenbereich beheben | Sie müssen die Konsole verwenden |
| Docker | Gilt auch für von Docker veröffentlichte Ports | Docker umgeht sie (siehe UFW und Docker) |
Begrenzung der Verbindungsrate (limit) | Nein | Ja |
| Funktioniert mit fail2ban | Nein, fail2ban blockiert im VPS | Ja |
Für die meisten reicht die Firewall im Kundenbereich. Fortgeschrittene können beide nutzen: die Firewall im Kundenbereich als groben Filter (nur die nötigen Ports) und UFW mit fail2ban im VPS. Wenn Sie beide Firewalls nutzen, müssen Sie einen Port in beiden öffnen.
Überprüfung#
Testen Sie von Ihrem Computer aus, dass der Port offen ist:
Windows
Test-NetConnection 203.0.113.10 -Port 22Test-NetConnection– versucht, eine TCP-Verbindung aufzubauen. Die ZeileTcpTestSucceeded : Truebedeutet, dass der Port offen ist und ein Dienst darauf antwortet.
macOS
nc -vz -w 5 203.0.113.10 22nc -vz– versucht eine TCP-Verbindung (-zsendet nichts,-vgibt das Ergebnis aus).succeededbedeutet, dass der Port offen ist.-w 5– gibt nach 5 Sekunden ohne Antwort auf; sonst würde es bei einem geschlossenen Port lange warten.
Linux
nc -vz -w 5 203.0.113.10 22nc -vz– versucht eine TCP-Verbindung.succeededoderopenbedeutet, dass der Port offen ist. Fehltnc, installieren Sie das Paketnetcat-openbsd.-w 5– gibt nach 5 Sekunden ohne Antwort auf.
Der Test funktioniert nur für TCP. Ein von der Firewall geschlossener Port zeigt sich als Timeout, ein Port ohne laufenden Dienst als Ablehnung (refused). UDP-Ports (Spiele) prüfen Sie, indem Sie sich aus dem Spiel verbinden.
Wenn Sie sich aussperren#
Die Firewall im Kundenbereich sperrt Sie nie aus dem Kundenbereich aus. Öffnen Sie die Registerkarte Firewall und fügen Sie entweder die fehlende Regel hinzu oder schalten Sie Eingehender Verkehr vorübergehend auf Alles erlauben.
Fehlerbehebung#
Die Firewall hat sich in der Zwischenzeit geändert — bitte laden Sie sie neu.#
Jemand anderes (oder ein anderes Browserfenster) hat die Firewall in der Zwischenzeit geändert. Laden Sie die Seite neu und wiederholen Sie die Änderung.
Ungültiger Port (zum Beispiel 22, 80,443 oder 25565:25570)#
Der Port ist falsch geschrieben. Verwenden Sie nur Ziffern, Kommas und einen Doppelpunkt für einen Bereich, ohne zusätzliche Leerzeichen. Einen Port können Sie nur für TCP und UDP eingeben.
Die empfohlene Einrichtung kann bei diesem VPS nicht automatisch angewendet werden (nicht alle seine IP-Adressen sind bekannt).#
Dem VPS ist eine Adresse zugewiesen, die der Kundenbereich für den Dienst nicht erfasst hat, und die empfohlene Einrichtung könnte sie abschneiden. Das hängt nicht von Einstellungen im VPS ab. Kontaktieren Sie uns (Support), und wir klären die Adressen.
Höchstens 50 eigene Regeln#
Fassen Sie Regeln zusammen: mehrere Ports eines Protokolls in eine Regel (80,443), aufeinanderfolgende Ports in einen Bereich (25565:25600).
Der Port ist erlaubt, aber der Dienst funktioniert von außen nicht#
- Prüfen Sie, dass die Regel aktiviert ist und dass darüber keine Regel steht, die denselben Verkehr verwirft.
- Prüfen Sie das Protokoll (ein Spiel braucht möglicherweise UDP).
- Prüfen Sie die Firewall im VPS:
ufw status. - Prüfen Sie, dass die Anwendung auf einer öffentlichen Adresse lauscht, nicht nur auf
127.0.0.1:ss -tulpn.
Nach einem Upgrade oder einer Backup-Wiederherstellung verhält sich die Firewall nicht wie zuvor#
Nach einer Wiederherstellung aus einem Backup werden die Firewall-Einstellungen mit dem aktuellen Zustand des Dienstes abgeglichen. Meldet sie einen Fehler oder passen die Regeln nicht, kontaktieren Sie uns (Support).
Zusammenfassung
- Die Firewall im Kundenbereich filtert den Verkehr vor dem VPS und kann Sie nicht aus dem Kundenbereich oder der Konsole aussperren.
- Sicherer Modus: zuerst die Regeln für SSH und Ihre Dienste, dann Alles blockieren außer Erlaubtem.
- Regeln gelten von oben, und der erste Treffer gewinnt; füllen Sie immer die Notiz aus.
- Leere Adresse = die Regel deckt IPv4 und IPv6 ab; Ping braucht sowohl ICMP als auch ICMPv6.
- Die Beschränkung von SSH auf Ihre IP deaktiviert die Registerkarten Dateien und Datenbank und sperrt Sie aus, wenn sich Ihre IP ändert.