Firewall-Einstellungen in ISPConfig vornehmen

In dieser Anleitung erfahren Sie, wie Sie als Kunde mit einem Managed vServer, Managed Server oder ScaleServer bei Timme Hosting das neue Firewall-Feature in ISPConfig nutzen können, um Ports selbständig zu öffnen oder zu sperren. Das Firewall-Modul bietet eine einfache Benutzeroberfläche, mit der auch technisch weniger versierte Anwender Firewall-Regeln hinzufügen, ändern und entfernen können.

Hinweis: Dieses Feature steht nur Kunden mit Managed vServern, Managed Servern und ScaleServern zur Verfügung. Webhosting-Pakete haben keinen Zugriff auf das Firewall-Modul.

Die Firewall in ISPConfig ermöglicht es Ihnen, den Netzwerkzugriff auf Ihren Server über definierte Regeln zu steuern. Standardmäßig haben wir für Ihren Server bereits eine Reihe von vordefinierten Firewall-Regeln eingerichtet, sodass wichtige Dienste erreichbar sind. In der ISPConfig-Oberfläche finden Sie diese unter System > Firewall (wählen Sie dort Ihren Server aus, falls mehrere Server verwaltet werden). Auf dem Bildschirm sehen Sie eine Liste von Regeln, die aktuell gelten.

Beachten Sie, dass die ausgegrauten Regeln in der Liste schreibgeschützt (Read Only) sind. Diese werden vom System automatisch verwaltet und können von Ihnen nicht bearbeitet werden. Sie spiegeln grundlegende Einstellungen wider, die z.B. in ISPConfig unter System > Dienste vorgenommen wurden. Beispielsweise hängen Regel 3 und 4 auf dem Screenshot mit dem FTP-Dienst zusammen: Wenn Sie FTP unter System > Dienste > FTP deaktivieren, werden diese Regeln angepasst. Diese Read-Only-Regeln können je nach Serverkonfiguration leicht variieren. Alle nicht schreibgeschützten Regeln in der Liste dürfen Sie selbst anpassen oder löschen.

Wichtig: Die Firewall arbeitet nach dem Whitelisting-Prinzip. Das heißt, nur die explizit freigegebenen Ports (durch Regeln) sind zugänglich, alle anderen Ports sind geschlossen. Wenn Sie eine Regel löschen, wird der entsprechende Port vollständig gesperrt (nicht mehr erreichbar). Im Folgenden zeigen wir Schritt für Schritt, wie Sie neue Regeln hinzufügen, bestehende Regeln bearbeiten und Regeln löschen können.

Bei der Verwaltung von Firewall-Regeln ist es wichtig zu verstehen, in welcher Reihenfolge die Regeln angewendet werden. Die Firewall prüft eingehende Verbindungen der Reihe nach gegen Ihre Liste von Regeln - von oben nach unten.  Sobald eine Regel zutrifft (d.h. alle Kriterien wie IP, Port, Protokoll passen zum eingehenden Paket), wird die definierte Aktion ausgeführt (z.B. ACCEPT = erlauben oder DENY = verwerfen) und alle darunterstehenden Regeln werden ignoriert. Trifft keine Ihrer definierten Regeln auf ein Paket zu, wird dieses standardmäßig blockiert (verworfen).

Was bedeutet das für Sie als Benutzer?

Vor allem, dass die Reihenfolge Ihrer Regeln Einfluss hat. Sie können die Priorität der Regeln in ISPConfig direkt über die Pfeil-Buttons neben den Regeln verändern.

Beispiel: Angenommen, Sie haben ganz oben in der Liste eine Regel stehen, die Ihrer eigenen IP-Adresse sämtliche Ports erlaubt. Wenn Sie weiter unten zusätzlich eine Regel anlegen, die Port 8080 sperren soll, dann wird diese Sperr-Regel nie wirksam. Ihre IP hat durch die obere Regel bereits Zugriff auf alles und die Firewall prüft die darunterliegenden Regeln gar nicht mehr.

Als Faustregel sollten spezifischere Regeln (z.B. eine Regel, die Port 8080 nur für bestimmte IPs erlaubt) oberhalb von allgemeineren Regeln stehen. Überlegen Sie also beim Hinzufügen oder Anpassen von Regeln, ob die Position in der Liste korrekt ist. Passen Sie die Reihenfolge an, falls nötig, um das gewünschte Ergebnis zu erzielen.

Möchten Sie einen Port öffnen, der bisher nicht freigegeben ist, können Sie dafür eine neue Regel anlegen. Nehmen wir als Beispiel an, Sie möchten Port 9000 auf dem Server öffnen. Gehen Sie dazu wie folgt vor:

Nach dem Speichern ist Port 9000 ab sofort für eingehende Verbindungen geöffnet. Sie können nun überprüfen, ob die neue Regel in der Übersicht auftaucht. Denken Sie daran, dass neue Regeln in der Liste meist unten angefügt werden. Die Priorität der Regel besprechen wir im Abschnitt "Priorisierung von Firewall-Regeln".

Sie können bestehende freigegebene Ports einschränken, indem Sie deren Regel bearbeiten. Ein typischer Anwendungsfall ist, einen offenen Port nur für bestimmte IP-Adressen zugänglich zu machen. Nehmen wir an, Port 8080 ist momentan generell geöffnet (Standardregel) und Sie möchten ihn aus Sicherheitsgründen nur noch für ausgewählte IPs freigeben. Gehen Sie dazu wie folgt vor:

Nach dem Speichern ist Port 8080 nun nicht mehr für alle erreichbar, sondern ausschließlich für die angegebenen IP-Adressen. Alle Verbindungsversuche von anderen IPs werden blockiert.

Tipp: Analog können Sie auch andere Einstellungen bestehender Regeln ändern, z.B. den Ziel-Port (wenn Sie sich vertippt haben) oder das Protokoll, falls notwendig. Achten Sie stets darauf, was die Regel bewirkt, um sich nicht versehentlich auszuschließen (z.B. SSH-Port nicht für Ihre eigene IP sperren).

Wenn Sie einen Port komplett schließen möchten, können Sie die zugehörige Firewall-Regel löschen. Dies ist sinnvoll, wenn Sie einen Dienst nicht mehr öffentlich erreichbar haben wollen. Im folgenden Beispiel schließen wir den Port 110 (POP3-Maildienst), indem wir die entsprechende Regel entfernen:

Damit ist der Port 110 nun geschlossen. Der Dienst ist von außen nicht mehr zugänglich. Wiederholen Sie diesen Vorgang für alle Ports, die Sie nicht mehr freigeben möchten. Denken Sie daran, dass Sie wichtige Standardports (wie z.B. 80 für HTTP oder 443 für HTTPS) nicht löschen sollten, solange Sie die entsprechenden Dienste benötigen.

Im folgenden Abschnitt finden Sie einige praktische Beispiele, wie Firewall-Regeln in ISPConfig aussehen können und welche Wirkung sie haben. Diese Beispiele sollen Ihnen helfen, typische Szenarien besser zu verstehen und eigene Regeln sicher zu erstellen.

Die gezeigten Screenshots veranschaulichen, wie sich verschiedene Einstellungen auf die Erreichbarkeit einzelner Dienste auswirken – zum Beispiel, wenn bestimmte Ports nur für einzelne IP-Adressen zugänglich sind oder wenn Dienste komplett gesperrt werden sollen.

Darüber hinaus zeigen wir auch, wie Sie den Zugriff auf Ihre Datenbank (Port 3306) gezielt auf bestimmte IPs beschränken können – ganz ohne eigene Firewall-Regel, denn ISPConfig übernimmt diesen Schritt automatisch für Sie.

Beispiel 1

• Die Ports 25 (SMTP, für eingehende Mails), 80 (HTTP) und 443 (HTTPS) sind für alle geöffnet.
• Die Ports 22 (SSH) und 8080 (ISPConfig) sind nur von 100.64.0.3 und 100.64.1.0/24 aus erreichbar.

Beispiel 2

• Ein Zugriff auf FTP (Regel #14)  und SSH (Regel #4) ist nur von der IP 100.64.0.3 aus möglich.
• Alle anderen Dienste sind für alle erreichbar.

Beispiel 3

• Eine Datenbank auf Port 3306 ist nur für die IP-Adressen 100.64.0.3 und 100.64.0.8 erreichbar.

Um weiteren IP-Adressen den Zugriff auf die Datenbank zu ermöglichen, müssen Sie hier keine neuen Regeln manuell anlegen, sondern die gewünschten IP-Adressen einfach unter "Webseiten > Datenbanken > (Datenbank anklicken) > Erweiterte Einstellungen > Entfernter Zugriff IP Adressen" eintragen. ISPConfig generiert die Regeln dann automatisch.

Beispiel 4

• Zugriff auf die Ports 80 und 443 nur von Cloudflare erlauben

Wenn Sie eine Webseite über Cloudflare ausliefern lassen, laufen alle regulären Besucheranfragen über das Cloudflare-Netzwerk. Ihr Server selbst muss in diesem Fall gar keine direkten Verbindungen auf den Ports 80 (HTTP) und 443 (HTTPS) mehr annehmen. Es ist daher sinnvoll, diese beiden Ports generell zu sperren und ausschließlich für die IP-Netze von Cloudflare freizugeben.

Der Vorteil: Angreifer, die die IP-Adresse Ihres Servers kennen, können Cloudflare nicht mehr umgehen. Alle Schutzmechanismen wie WAF, DDoS-Schutz, Bot-Management oder Rate Limiting greifen damit zuverlässig, da es keinen direkten Weg mehr an Cloudflare vorbei zu Ihrer Webseite gibt.

• Die Ports 80 (HTTP) und 443 (HTTPS) sind für die IP-Adresse der Webseite grundsätzlich gesperrt (Regel #4 und #5, Aktion DENY).
• Ausgenommen sind die IP-Netze von Cloudflare (Regel #3, Aktion ACCEPT). Nur von dort werden Anfragen noch angenommen.
• Entscheidend ist die Reihenfolge: Die ACCEPT-Regel für Cloudflare steht oberhalb der beiden DENY-Regeln.

So richten Sie diese Konfiguration ein:

Ab sofort nimmt Ihr Server auf den Ports 80 und 443 nur noch Verbindungen aus den Cloudflare-Netzen an. Ein direkter Aufruf der Server-IP im Browser läuft ins Leere, während die Webseite über die Cloudflare-Domain weiterhin normal erreichbar ist.

Wichtig: Kontrollieren Sie vor dem Speichern noch einmal die Reihenfolge. Die ACCEPT-Regel für die Cloudflare-Netze muss oberhalb der beiden DENY-Regeln stehen. Steht sie darunter, ist Ihre Webseite nach dem Speichern nicht mehr erreichbar.

Hinweis zu IPv6: Ist Ihre Webseite zusätzlich über IPv6 erreichbar (AAAA-Record), benötigen Sie eine entsprechende Regel auch für die IPv6-Netze von Cloudflare. Diese finden Sie unter https://www.cloudflare.com/ips-v6/. Andernfalls bleibt der direkte Zugriff über IPv6 weiterhin möglich und die Sperre läuft ins Leere.

Hinweis zu anderen Diensten auf derselben IP: Die Sperre betrifft ausschließlich die Ports 80 und 443. Betreiben Sie auf derselben IP-Adresse weitere Webseiten oder Subdomains, die nicht über Cloudflare laufen (in Cloudflare als "DNS only" bzw. graue Wolke konfiguriert), sind diese nach der Umstellung nicht mehr erreichbar. Prüfen Sie daher vorab, welche Domains auf die betreffende IP-Adresse zeigen.

Hinweis zu SSL-Zertifikaten: Let's Encrypt validiert Domains über Port 80. Solange die Domain über Cloudflare proxied wird (orange Wolke), erreicht diese Anfrage Ihren Server über die Cloudflare-Netze und die Ausstellung bzw. Verlängerung funktioniert weiterhin. Deaktivieren Sie den Cloudflare-Proxy, schlägt die Zertifikatsverlängerung fehl, solange die Sperre aktiv ist.

Tipp: Cloudflare erweitert seine IP-Netze von Zeit zu Zeit. Prüfen Sie die Liste daher in regelmäßigen Abständen und ergänzen Sie neue Netze in der Quell-IP Ihrer Regel, damit Ihre Webseite dauerhaft erreichabr bleibt.

Mit dem neuen Firewall-Feature in ISPConfig können Sie einfach und schnell die Port-Freigaben Ihres Servers verwalten. Ganz ohne tiefgehende technische Kenntnisse. Unsere Schritt-für-Schritt-Anleitungen haben gezeigt, wie Sie neue Ports öffnen, Zugänge einschränken oder komplett schließen können. Die zuvor umständliche Vorgehensweise gehört damit der Vergangenheit an. Sie als Kunde gewinnen mehr Kontrolle und Flexibilität. Beachten Sie dabei stets die Regel-Priorisierung und öffnen Sie nur die Ports, die tatsächlich gebraucht werden, um die Sicherheit Ihres Servers hoch zu halten. Sollten Sie unsicher sein, welche Ports benötigt werden oder wie eine Regel wirken würde, steht unser Support Ihnen gerne beratend zur Seite.

Geschafft! Sie haben Firewall-Einstellungen in ISPConfig vorgenommen!

Noch mehr Anleitungen ▶