Firewall v zákazníckom účte rozhoduje, aká prevádzka sa k vášmu VPS vôbec dostane. Nastavíte ho klikaním, funguje nezávisle od systému VPS a keď sa odrežete, opravíte ho jedným kliknutím. Ukážeme, ako ho prepnúť do bezpečného režimu a aké pravidlá potrebujú bežné služby.
Čo budete potrebovať
- VPS u StormHostu
- Prístup do zákazníckeho účtu (pri zdieľanej službe oprávnenie Firewall)
- Zoznam portov, ktoré vaše aplikácie používajú
- Približne 15 minút
Ako firewall funguje#
Firewall stojí na sieti pred VPS, nie v ňom. Pravidlá preto platia, aj keď je systém vo VPS rozbitý, a nemôžete sa nimi odrezať od zákazníckeho účtu ani od konzoly.
Otvorte Moje služby, kliknite na VPS a prejdite na záložku Firewall. Uvidíte:
- Stav firewallu: Firewall aktívny.
- Prichádzajúca prevádzka: režim Povoliť všetko, alebo Blokovať všetko okrem povoleného.
- Pravidlá: vaše vlastné pravidlá (najviac 50).
- Ochranné pravidlá StormHost: zbalený zoznam pravidiel, ktoré spravujeme my a nedajú sa vypnúť.
| Ochranné pravidlo | Čo robí |
|---|---|
| Blokácia známych skenerov internetu | Zahodí prevádzku z adries, ktoré hromadne prehľadávajú internet. |
| Povoliť prevádzku na IP adresy VPS | V režime Povoliť všetko prepúšťa prichádzajúcu prevádzku. V režime Blokovať všetko okrem povoleného je vypnuté. |
| Odchádzajúca prevádzka iba z IP adries VPS | VPS smie posielať prevádzku iba zo svojich adries. |
| Ochrana proti podvrhnutiu IP a MAC adries | VPS sa nemôže vydávať za cudziu adresu. Chráni vás aj ostatných zákazníkov. |
Firewall si pamätá nadviazané spojenia. Odpovede na spojenia, ktoré VPS sám otvorí (aktualizácie, sťahovanie, pripojenie k databáze inde), prejdú v oboch režimoch. Pravidlá riešia iba nové prichádzajúce spojenia.
Režim prichádzajúcej prevádzky#
| Režim | Čo prejde | Pre koho |
|---|---|---|
| Povoliť všetko | Všetko okrem toho, čo zakážete vlastným pravidlom s akciou Zahodiť alebo Odmietnuť. | Predvolený stav nového VPS. Vhodný, ak máte firewall vnútri VPS (UFW). |
| Blokovať všetko okrem povoleného | Iba prevádzka povolená vlastnými pravidlami s akciou Povoliť. | Odporúčame. Zvonku je dostupné iba to, čo výslovne otvoríte. |
Najprv pravidlo pre SSH
Než prepnete na Blokovať všetko okrem povoleného, pridajte pravidlo, ktoré povoľuje TCP port 22 (alebo port, na ktorý ste SSH presunuli). Bez neho sa cez SSH nepripojíte. Zákaznícky účet na to pri prepnutí upozorní. Ak sa to stane, nič sa nestratí: pravidlo pridáte dodatočne a do VPS sa medzitým dostanete cez konzolu v prehliadači.
Postup prechodu na bezpečný režim:
- Pridajte pravidlo pre SSH (pozri ďalšiu sekciu, tlačidlo SSH).
- Pridajte pravidlá pre všetky služby, ktoré majú byť zvonku vidieť (web, herný server…).
- V časti Prichádzajúca prevádzka zvoľte Blokovať všetko okrem povoleného.
- Potiahnite posuvník v potvrdzovacom dialógu.
- V novom okne overte, že sa cez SSH pripojíte a služby fungujú.
Na niektorých starších VPS uvidíte namiesto voľby režimu box Odporúčané nastavenie firewallu. Kliknite na Použiť odporúčané nastavenie. Zapne ochranné pravidlá, vaše vlastné pravidlá zachová a všeobecné pravidlá typu „povoliť všetko“ nahradí odporúčanou sadou. Potom sa objaví voľba režimu.
Pridanie pravidla#
Formulár Pridať pravidlo je pod zoznamom pravidiel. Hore nájdete rýchle predvoľby SSH, HTTP, HTTPS, Minecraft, FiveM TCP, FiveM UDP a Ping, ktoré formulár vyplnia za vás.
| Pole | Čo znamená | Ako vyplniť |
|---|---|---|
| Smer | Prichádzajúce = spojenie z internetu do VPS. Odchádzajúce = spojenie z VPS von. | Takmer vždy Prichádzajúce. |
| Akcia | Povoliť = pustiť. Zahodiť = ticho zahodiť, odosielateľ čaká, kým mu vyprší čas. Odmietnuť = zahodiť a odosielateľovi hneď oznámiť odmietnutie. | Na otvorenie portu Povoliť. Na blokáciu útočníkov Zahodiť (neprezradí nič). Odmietnuť použite pre vlastné služby, kde chcete rýchlu chybu namiesto čakania. |
| Protokol | TCP, UDP, ICMP (ping), ICMPv6, alebo všetko. | Podľa služby, pozri tabuľky nižšie. Web a SSH = TCP, väčšina hier = UDP alebo oboje. |
| Port | Cieľový port na VPS. Iba pri TCP a UDP. Formáty: jeden port 22, výpočet 80,443 (najviac 10 položiek), rozsah 25565:25570 (od:do). | Prázdne pole = všetky porty. |
| Zdrojová IP / rozsah (pri prichádzajúcich) | Odkiaľ spojenie smie prísť. Jedna adresa 198.51.100.25, rozsah 198.51.100.0/24, IPv6 adresa alebo výpočet čiarkou (najviac 10 položiek). | Prázdne = odkiaľkoľvek. Vyplňte iba na obmedzenie na konkrétne adresy. Do jedného poľa nemiešajte IPv4 a IPv6 adresy, pre každú verziu urobte samostatné pravidlo. |
| Cieľová IP / rozsah (pri odchádzajúcich) | Kam smie VPS spojenia nadväzovať. | Prázdne = kamkoľvek. |
| Poznámka | Váš opis, najviac 100 znakov. | Vždy vyplňte, aby ste o pol roka vedeli, na čo pravidlo je. |
| zapnuté | Pravidlo sa uplatňuje. | Odškrtnutím pravidlo dočasne vypnete bez toho, aby ste ho mazali. |
Kliknite na Pridať. Zmena platí v priebehu niekoľkých sekúnd.
Poradie pravidiel: pravidlá sa vyhodnocujú zhora a platí prvá zhoda. Keď potrebujete zablokovať jednu IP adresu a zároveň povoliť port všetkým, dajte pravidlo Zahodiť pre tú adresu vyššie než pravidlo Povoliť. Poradie meníte šípkami Posunúť vyššie a Posunúť nižšie. Ochranné pravidlá StormHost sa s vašimi nemiešajú: blokácia skenerov je vždy prvá, všeobecné povolenie vždy posledné.
Hotové sady pravidiel#
Všetky pravidlá nižšie majú Smer Prichádzajúce a Akciu Povoliť. Porty sú predvolené hodnoty programov; ak ste ich vo svojej aplikácii zmenili, použite svoje.
| Služba | Protokol | Port | Poznámka |
|---|---|---|---|
| SSH | TCP | 22 | Bez neho sa nepripojíte. |
| Web (HTTP a HTTPS) | TCP | 80,443 | Jedno pravidlo stačí. Port 80 potrebuje aj Let's Encrypt na vydanie certifikátu. |
| Minecraft Java | TCP | 25565 | |
| Minecraft: query (výpis servera) | UDP | 25565 | Iba ak máte zapnuté enable-query. |
| Bedrock cez Geyser | UDP | 19132 | |
| FiveM | TCP | 30120 | |
| FiveM | UDP | 30120 | Hra potrebuje TCP aj UDP, sú to dve pravidlá. |
| txAdmin | TCP | 40120 | Ideálne iba z vašej IP adresy. |
| Rust: hra | UDP | 28015 | |
| Rust: query (zoznam serverov) | UDP | 28017 | Predvolený query port je o 1 vyšší než vyšší z portov hry a RCON. |
| Rust: RCON | TCP | 28016 | Iba z vašej IP adresy. |
| Rust+ (aplikácia) | TCP | 28082 | Skutočný port vypíše príkaz app.info v konzole servera. |
| Herný panel na vlastnom VPS: node | TCP | 8080,2022 | 8080 = komunikácia panela s nodom, 2022 = SFTP herných serverov. Pozri návod k nodu. |
| Herný panel na vlastnom VPS: servery | TCP a UDP | rozsah, napr. 25565:25600 | Dve pravidlá (TCP a UDP) pre rozsah portov, ktoré prideľujete serverom. |
| MariaDB / MySQL | TCP | 3306 | Vždy iba z konkrétnej IP adresy, nikdy všetkým. |
| Ping (IPv4) | ICMP (ping) | — | Na diagnostiku. |
| Ping (IPv6) | ICMPv6 | — | Predvoľba Ping vytvorí iba IPv4 pravidlo, pre IPv6 pridajte druhé. |
Prístup iba z vašej IP adresy#
Do poľa Zdrojová IP / rozsah napíšte svoju verejnú IP adresu. Pravidlo potom povolí port iba vám. Hodí sa pre SSH, RCON, txAdmin a databázy.
Svoju verejnú IP adresu zistíte najspoľahlivejšie z VPS: pripojte sa cez SSH a spustite echo $SSH_CLIENT. Prvý údaj vo výpise (napríklad 198.51.100.25) je adresa, z ktorej sa práve pripájate. Ak sa pripájate cez IPv6, uvidíte IPv6 adresu a pravidlo potom platí iba pre IPv6.
Než obmedzíte SSH na svoju adresu
- Domáce pripojenie často mení IP adresu (po reštarte routera, pri mobilných dátach neustále). Po zmene sa nepripojíte a pravidlo musíte upraviť. Konzola v prehliadači funguje vždy.
- Záložky Súbory a Databázy prestanú fungovať. Zákaznícky účet sa k VPS pripája cez SSH z našich serverov, nie z vášho počítača.
IPv6#
Pravidlá s prázdnou adresou platia pre IPv4 aj IPv6. Pravidlo s IPv4 adresou platí iba pre IPv4, s IPv6 adresou iba pre IPv6. Pre ping je potrebné zvlášť ICMP (ping) a ICMPv6.
Odchádzajúce pravidlá#
Odchádzajúca prevádzka je v predvolenom stave povolená (z adries vášho VPS). Odchádzajúce pravidlá potrebujete výnimočne, napríklad keď chcete VPS zakázať posielať e-maily priamo (pravidlo Odchádzajúce, Zahodiť, TCP, port 25). Pozor, aby ste nezablokovali DNS (UDP a TCP 53) alebo aktualizácie (TCP 80,443).
Firewall v zákazníckom účte, alebo UFW?#
| Firewall v zákazníckom účte | UFW vnútri VPS | |
|---|---|---|
| Kde filtruje | Pred VPS | Vo VPS |
| Ako sa nastavuje | Klikaním | Príkazmi |
| Keď sa odrežete | Opravíte v zákazníckom účte | Musíte do konzoly |
| Docker | Platí aj pre porty publikované Dockerom | Docker ho obchádza (pozri UFW a Docker) |
Obmedzenie počtu spojení (limit) | Nie | Áno |
| Spolupráca s fail2banom | Nie, fail2ban blokuje vnútri VPS | Áno |
Pre väčšinu ľudí stačí firewall v zákazníckom účte. Pokročilí môžu používať oba: firewall v zákazníckom účte ako hrubé sito (iba potrebné porty) a vo VPS UFW s fail2banom. Kto používa oba firewally, musí port otvoriť v oboch.
Overenie#
Zo svojho počítača otestujte, že je port otvorený:
Windows
Test-NetConnection 203.0.113.10 -Port 22Test-NetConnection– skúsi nadviazať TCP spojenie. RiadokTcpTestSucceeded : Trueznamená, že port je otvorený a služba na ňom odpovedá.
macOS
nc -vz -w 5 203.0.113.10 22nc -vz– skúsi TCP spojenie (-znič neposiela,-vvypíše výsledok).succeededznamená otvorený port.-w 5– po 5 sekundách bez odpovede to vzdá, inak by pri zatvorenom porte čakal dlho.
Linux
nc -vz -w 5 203.0.113.10 22nc -vz– skúsi TCP spojenie.succeededaleboopenznamená otvorený port. Akncchýba, nainštalujte balíknetcat-openbsd.-w 5– po 5 sekundách bez odpovede to vzdá.
Test funguje iba pre TCP. Port zatvorený firewallom sa prejaví vypršaním času, port bez bežiacej služby odmietnutím (refused). UDP porty (hry) overte pripojením z hry.
Keď sa odrežete#
Firewall v zákazníckom účte vás od zákazníckeho účtu nikdy neodreže. Otvorte záložku Firewall a buď pridajte chýbajúce pravidlo, alebo dočasne prepnite Prichádzajúca prevádzka na Povoliť všetko.
Keď niečo nefunguje#
Firewall sa medzitým zmenil — načítajte ho prosím znova.#
Firewall medzitým upravil niekto iný (alebo iné okno prehliadača). Obnovte stránku a zmenu zopakujte.
Neplatný port (napr. 22, 80,443 alebo 25565:25570).#
Port je zapísaný nesprávne. Použite iba číslice, čiarky a dvojbodku pre rozsah, bez medzier navyše. Port sa dá zadať iba pri TCP a UDP.
Odporúčané nastavenie pri tomto VPS nejde použiť automaticky (nepoznáme všetky jeho IP adresy).#
Pri VPS je priradená adresa, ktorú zákaznícky účet pri službe nemá evidovanú, a odporúčané nastavenie by ju mohlo odrezať. Od nastavenia vnútri VPS to nezávisí. Napíšte nám (podpora), adresy zrovnáme.
Maximálny počet vlastných pravidiel je 50.#
Zlúčte pravidlá: viac portov jedného protokolu do jedného pravidla (80,443), súvislé porty do rozsahu (25565:25600).
Port je povolený, ale služba zvonku nefunguje#
- Skontrolujte, že je pravidlo zapnuté a nad ním nie je pravidlo, ktoré rovnakú prevádzku zahodí.
- Overte protokol (hra môže potrebovať UDP).
- Skontrolujte firewall vo VPS:
ufw status. - Overte, že aplikácia počúva na verejnej adrese, nie iba na
127.0.0.1:ss -tulpn.
Po upgrade alebo obnove zo zálohy sa firewall nespráva ako predtým#
Po obnove zo zálohy sa nastavenie firewallu zrovnáva s aktuálnym stavom služby. Keď hlási chybu alebo pravidlá nesedia, napíšte nám (podpora).
Zhrnutie
- Firewall v zákazníckom účte filtruje prevádzku pred VPS a nedá sa ním odrezať od zákazníckeho účtu ani konzoly.
- Bezpečný režim: najprv pravidlo pre SSH a služby, potom Blokovať všetko okrem povoleného.
- Pravidlá platia zhora, prvá zhoda vyhráva; poznámku vypĺňajte vždy.
- Prázdna adresa = pravidlo pre IPv4 aj IPv6; ping potrebuje ICMP aj ICMPv6.
- Obmedzenie SSH na vašu IP vypne záložky Súbory a Databázy a pri zmene vašej IP vás odreže.