De firewall in je klantaccount bepaalt welk verkeer je VPS überhaupt bereikt. Je stelt hem met klikken in, hij werkt onafhankelijk van het systeem van de VPS en als je jezelf buitensluit, herstel je dat met één klik. We laten zien hoe je hem in de veilige modus zet en welke regels gangbare diensten nodig hebben.
Wat je nodig hebt
- Een VPS bij StormHost
- Toegang tot je klantaccount (bij een gedeelde dienst het recht Firewall)
- Een lijst van de poorten die je applicaties gebruiken
- Ongeveer 15 minuten
Hoe de firewall werkt#
De firewall staat op het netwerk vóór de VPS, niet erin. De regels gelden daarom ook als het systeem in de VPS kapot is, en je kunt jezelf er niet mee buitensluiten van je klantaccount of van de console.
Open Mijn diensten, klik op de VPS en ga naar het tabblad Firewall. Je ziet:
- Firewallstatus: Firewall actief.
- Inkomend verkeer: de modus Alles toestaan of Alles blokkeren behalve wat is toegestaan.
- Regels: je eigen regels (maximaal 50).
- Beschermingsregels van StormHost: een ingeklapte lijst met regels die wij beheren en die je niet kunt uitschakelen.
| Beschermingsregel | Wat hij doet |
|---|---|
| Bekende internetscanners blokkeren | Verwerpt verkeer van adressen die het internet massaal afzoeken. |
| Verkeer naar de IP-adressen van de VPS toestaan | Laat in de modus Alles toestaan inkomend verkeer door. In de modus Alles blokkeren behalve wat is toegestaan staat deze regel uit. |
| Uitgaand verkeer alleen vanaf de IP-adressen van de VPS | De VPS mag alleen verkeer versturen vanaf zijn eigen adressen. |
| Bescherming tegen IP- en MAC-spoofing | De VPS kan zich niet voordoen als het adres van iemand anders. Dat beschermt jou en de andere klanten. |
De firewall onthoudt opgezette verbindingen. Antwoorden op verbindingen die de VPS zelf opent (updates, downloads, een verbinding met een database elders) komen in beide modi door. De regels gaan alleen over nieuwe inkomende verbindingen.
Modus voor inkomend verkeer#
| Modus | Wat erdoor komt | Voor wie |
|---|---|---|
| Alles toestaan | Alles, behalve wat je blokkeert met een eigen regel met de actie Verwerpen of Weigeren. | De standaard bij een nieuwe VPS. Geschikt als je een firewall in de VPS hebt (UFW). |
| Alles blokkeren behalve wat is toegestaan | Alleen verkeer dat is toegestaan door eigen regels met de actie Toestaan. | Onze aanbeveling. Van buitenaf is alleen bereikbaar wat je uitdrukkelijk openzet. |
Eerst een regel voor SSH
Voeg, voordat je overschakelt naar Alles blokkeren behalve wat is toegestaan, een regel toe die TCP-poort 22 toestaat (of de poort waarnaar je SSH hebt verplaatst). Zonder die regel kun je niet via SSH verbinden. Je klantaccount waarschuwt je daarvoor bij het overschakelen. Gebeurt het toch, dan gaat er niets verloren: je voegt de regel achteraf toe en komt intussen in de VPS via de console in de browser.
Zo schakel je over naar de veilige modus:
- Voeg een regel voor SSH toe (zie het volgende hoofdstuk, de knop SSH).
- Voeg regels toe voor alle diensten die van buitenaf zichtbaar moeten zijn (web, gameserver…).
- Kies bij Inkomend verkeer de optie Alles blokkeren behalve wat is toegestaan.
- Versleep de schuifregelaar in het bevestigingsvenster.
- Controleer in een nieuw venster of je via SSH kunt verbinden en of de diensten werken.
Bij sommige oudere VPS'en zie je in plaats van de moduskeuze het blok Aanbevolen firewallinstelling. Klik op Aanbevolen instelling toepassen. Dat schakelt de beschermingsregels in, behoudt je eigen regels en vervangt algemene regels van het type “alles toestaan” door de aanbevolen set. Daarna verschijnt de moduskeuze.
Een regel toevoegen#
Het formulier Regel toevoegen staat onder de lijst met regels. Bovenaan vind je de snelle voorinstellingen SSH, HTTP, HTTPS, Minecraft, FiveM TCP, FiveM UDP en Ping, die het formulier voor je invullen.
| Veld | Wat het betekent | Hoe je het invult |
|---|---|---|
| Richting | Inkomend = verbindingen van het internet naar de VPS. Uitgaand = verbindingen van de VPS naar buiten. | Bijna altijd Inkomend. |
| Actie | Toestaan = doorlaten. Verwerpen = stil weggooien, de afzender wacht tot zijn time-out verloopt. Weigeren = weggooien en de afzender meteen laten weten dat de verbinding is geweigerd. | Om een poort te openen Toestaan. Om aanvallers te blokkeren Verwerpen (verraadt niets). Gebruik Weigeren voor je eigen diensten, waar je een snelle foutmelding wilt in plaats van wachten. |
| Protocol | TCP, UDP, ICMP (ping), ICMPv6 of alles. | Afhankelijk van de dienst, zie de tabellen hieronder. Web en SSH = TCP, de meeste games = UDP of beide. |
| Poort | De doelpoort op de VPS. Alleen bij TCP en UDP. Notaties: één poort 22, een lijst 80,443 (maximaal 10 items), een bereik 25565:25570 (van:tot). | Leeg veld = alle poorten. |
| Bron-IP / bereik (bij inkomend) | Waar de verbinding vandaan mag komen. Eén adres 198.51.100.25, een bereik 198.51.100.0/24, een IPv6-adres of een lijst gescheiden door komma's (maximaal 10 items). | Leeg = vanaf overal. Vul het alleen in om de toegang tot bepaalde adressen te beperken. Zet geen IPv4- en IPv6-adressen door elkaar in één veld, maak voor elke versie een aparte regel. |
| Doel-IP / bereik (bij uitgaand) | Waarheen de VPS verbindingen mag opzetten. | Leeg = overal naartoe. |
| Notitie | Je eigen omschrijving, maximaal 100 tekens. | Vul dit altijd in, zodat je over een halfjaar nog weet waar de regel voor dient. |
| ingeschakeld | De regel wordt toegepast. | Haal het vinkje weg om de regel tijdelijk uit te schakelen zonder hem te verwijderen. |
Klik op Toevoegen. De wijziging geldt binnen enkele seconden.
Volgorde van de regels: de regels worden van boven naar beneden beoordeeld en de eerste overeenkomst geldt. Moet je één IP-adres blokkeren en tegelijk een poort voor iedereen toestaan, zet dan de regel Verwerpen voor dat adres hoger dan de regel Toestaan. De volgorde wijzig je met de pijlen Omhoog en Omlaag. De beschermingsregels van StormHost lopen niet door die van jou heen: de blokkade van scanners staat altijd eerst, de algemene toestemming altijd laatst.
Kant-en-klare sets regels#
Alle regels hieronder hebben Richting Inkomend en Actie Toestaan. De poorten zijn de standaardwaarden van de programma's; heb je ze in je applicatie gewijzigd, gebruik dan je eigen poorten.
| Dienst | Protocol | Poort | Opmerking |
|---|---|---|---|
| SSH | TCP | 22 | Zonder deze regel kun je niet verbinden. |
| Website (HTTP en HTTPS) | TCP | 80,443 | Eén regel is genoeg. Poort 80 heeft ook Let's Encrypt nodig om een certificaat uit te geven. |
| Minecraft Java | TCP | 25565 | |
| Minecraft: query (serverinformatie) | UDP | 25565 | Alleen als je enable-query hebt ingeschakeld. |
| Bedrock via Geyser | UDP | 19132 | |
| FiveM | TCP | 30120 | |
| FiveM | UDP | 30120 | Het spel heeft TCP en UDP nodig, dat zijn twee regels. |
| txAdmin | TCP | 40120 | Het liefst alleen vanaf je eigen IP-adres. |
| Rust: spel | UDP | 28015 | |
| Rust: query (serverlijst) | UDP | 28017 | De standaard querypoort is 1 hoger dan de hoogste van de gamepoort en de RCON-poort. |
| Rust: RCON | TCP | 28016 | Alleen vanaf je eigen IP-adres. |
| Rust+ (app) | TCP | 28082 | De werkelijke poort toont het commando app.info in de console van de server. |
| Gamepanel op je eigen VPS: node | TCP | 8080,2022 | 8080 = communicatie van het panel met de node, 2022 = SFTP van de gameservers. Zie de handleiding voor de node. |
| Gamepanel op je eigen VPS: servers | TCP en UDP | bereik, bijv. 25565:25600 | Twee regels (TCP en UDP) voor het poortbereik dat je aan servers toewijst. |
| MariaDB / MySQL | TCP | 3306 | Altijd alleen vanaf een specifiek IP-adres, nooit voor iedereen. |
| Ping (IPv4) | ICMP (ping) | – | Voor diagnose. |
| Ping (IPv6) | ICMPv6 | – | De voorinstelling Ping maakt alleen een IPv4-regel aan, voeg voor IPv6 een tweede toe. |
Toegang alleen vanaf je eigen IP-adres#
Typ in het veld Bron-IP / bereik je openbare IP-adres. De regel staat de poort dan alleen voor jou toe. Handig voor SSH, RCON, txAdmin en databases.
Je openbare IP-adres achterhaal je het betrouwbaarst vanaf de VPS: verbind via SSH en voer echo $SSH_CLIENT uit. Het eerste gegeven in de uitvoer (bijvoorbeeld 198.51.100.25) is het adres waarvandaan je op dit moment verbinding maakt. Verbind je via IPv6, dan zie je een IPv6-adres en geldt de regel alleen voor IPv6.
Voordat je SSH tot je eigen adres beperkt
- Een thuisverbinding krijgt vaak een ander IP-adres (na een herstart van de router, bij mobiele data voortdurend). Na zo'n wijziging kun je niet verbinden en moet je de regel aanpassen. De console in de browser werkt altijd.
- De tabbladen Bestanden en Databases werken dan niet meer. Je klantaccount maakt via SSH verbinding met de VPS vanaf onze servers, niet vanaf jouw computer.
IPv6#
Regels met een leeg adres gelden voor IPv4 en IPv6. Een regel met een IPv4-adres geldt alleen voor IPv4, een regel met een IPv6-adres alleen voor IPv6. Voor ping heb je ICMP (ping) en ICMPv6 apart nodig.
Uitgaande regels#
Uitgaand verkeer is standaard toegestaan (vanaf de adressen van je VPS). Uitgaande regels heb je maar zelden nodig, bijvoorbeeld als je de VPS wilt verbieden om rechtstreeks e-mail te versturen (regel Uitgaand, Verwerpen, TCP, poort 25). Let op dat je DNS (UDP en TCP 53) of updates (TCP 80,443) niet blokkeert.
Firewall in je klantaccount of UFW?#
| Firewall in je klantaccount | UFW in de VPS | |
|---|---|---|
| Waar hij filtert | Vóór de VPS | In de VPS |
| Hoe je hem instelt | Met klikken | Met commando's |
| Als je jezelf buitensluit | Je herstelt het in je klantaccount | Je moet de console in |
| Docker | Geldt ook voor poorten die Docker publiceert | Docker omzeilt hem (zie UFW en Docker) |
Het aantal verbindingen beperken (limit) | Nee | Ja |
| Samenwerking met fail2ban | Nee, fail2ban blokkeert binnen de VPS | Ja |
Voor de meeste mensen is de firewall in je klantaccount genoeg. Gevorderden kunnen beide gebruiken: de firewall in je klantaccount als grove zeef (alleen de benodigde poorten) en in de VPS UFW met fail2ban. Wie beide firewalls gebruikt, moet een poort in beide openzetten.
Controle#
Test vanaf je eigen computer of de poort openstaat:
Windows
Test-NetConnection 203.0.113.10 -Port 22Test-NetConnection– probeert een TCP-verbinding op te zetten. De regelTcpTestSucceeded : Truebetekent dat de poort openstaat en dat de dienst erop reageert.
macOS
nc -vz -w 5 203.0.113.10 22nc -vz– probeert een TCP-verbinding (-zverstuurt niets,-vtoont het resultaat).succeededbetekent een open poort.-w 5– geeft het na 5 seconden zonder antwoord op, anders zou het bij een gesloten poort lang wachten.
Linux
nc -vz -w 5 203.0.113.10 22nc -vz– probeert een TCP-verbinding.succeededofopenbetekent een open poort. Ontbreektnc, installeer dan het pakketnetcat-openbsd.-w 5– geeft het na 5 seconden zonder antwoord op.
De test werkt alleen voor TCP. Een poort die door de firewall is gesloten, herken je aan een time-out, een poort zonder draaiende dienst aan een weigering (refused). UDP-poorten (games) controleer je door vanuit het spel te verbinden.
Als je jezelf buitensluit#
De firewall in je klantaccount sluit je nooit buiten van je klantaccount. Open het tabblad Firewall en voeg de ontbrekende regel toe, of zet Inkomend verkeer tijdelijk op Alles toestaan.
Als iets niet werkt#
De firewall is intussen gewijzigd. Laad hem opnieuw.#
Iemand anders (of een ander browservenster) heeft de firewall intussen aangepast. Vernieuw de pagina en voer de wijziging opnieuw uit.
Ongeldige poort (bijv. 22, 80,443 of 25565:25570).#
De poort is verkeerd genoteerd. Gebruik alleen cijfers, komma's en een dubbele punt voor een bereik, zonder extra spaties. Een poort kun je alleen bij TCP en UDP opgeven.
De aanbevolen instellingen kunnen bij deze VPS niet automatisch worden toegepast (we kennen niet alle IP-adressen ervan).#
Aan de VPS is een adres toegewezen dat in je klantaccount niet bij de dienst geregistreerd staat, en de aanbevolen instellingen zouden dat adres kunnen afsluiten. Met de instellingen in de VPS heeft het niets te maken. Neem contact met ons op (support), dan zetten we de adressen recht.
Maximaal 50 eigen regels#
Voeg regels samen: meerdere poorten van één protocol in één regel (80,443), aaneengesloten poorten in een bereik (25565:25600).
De poort is toegestaan, maar de dienst werkt van buitenaf niet#
- Controleer of de regel ingeschakeld is en of er geen regel boven staat die hetzelfde verkeer verwerpt.
- Controleer het protocol (een spel kan UDP nodig hebben).
- Controleer de firewall in de VPS:
ufw status. - Controleer of de applicatie op een openbaar adres luistert en niet alleen op
127.0.0.1:ss -tulpn.
Na een upgrade of het herstellen van een back-up gedraagt de firewall zich anders dan voorheen#
Na het herstellen van een back-up worden de firewallinstellingen gelijkgetrokken met de actuele toestand van de dienst. Meldt de firewall een fout of kloppen de regels niet, neem dan contact met ons op (support).
Samenvatting
- De firewall in je klantaccount filtert het verkeer vóór de VPS en je kunt jezelf er niet mee buitensluiten van je klantaccount of de console.
- Veilige modus: eerst een regel voor SSH en je diensten, daarna Alles blokkeren behalve wat is toegestaan.
- Regels gelden van boven naar beneden, de eerste overeenkomst wint; vul altijd een notitie in.
- Leeg adres = de regel geldt voor IPv4 en IPv6; ping heeft ICMP en ICMPv6 nodig.
- SSH beperken tot je eigen IP schakelt de tabbladen Bestanden en Databases uit en sluit je buiten zodra je IP verandert.