Server absichern: Panel-Firewall und UFW richtig kombinieren

Jeder Server im Internet wird ständig abgeklopft, meist auf SSH. Mit zwei Firewalls hältst du das draußen: der Firewall im Kundenbereich, die vor deinem Server greift, und UFW im Server selbst. Hier richtest du beide so ein, dass nur SSH, HTTP und HTTPS durchkommen.

Die Firewall im Kundenbereich

Öffne deinen Server und den Reiter Firewall. Diese Firewall läuft auf unserem Host, also noch bevor ein Paket deinen Server erreicht. Sie greift auch dann, wenn im Server etwas falsch eingestellt ist.

Bei der Bereitstellung ist sie aktiv, lässt aber eingehenden und ausgehenden Verkehr durch. So schränkst du sie ein:

1. Lege zuerst die Regeln an, über Regel hinzufügen:
   • Richtung eingehend, Aktion ACCEPT, Protokoll TCP, Port 22 (SSH)
   • dasselbe für Port 80 und 443, wenn du eine Website betreibst
2. Willst du SSH nur von zu Hause erlauben, trag bei der Regel für Port 22 unter Quelle deine Adresse ein, zum Beispiel 192.168.1.7, oder ein ganzes Netz wie 192.168.1.0/24.
3. Stell erst danach Standard eingehend auf DROP und speichere.

Reihenfolge ist wichtig: erst die Regel für SSH, dann eingehend auf DROP. Andersherum trennt die Firewall deine eigene Verbindung. Falls es doch passiert, kommst du über den Reiter Konsole weiter auf den Server und kannst die Regel nachtragen.

Ausgehend lässt du den Standard am besten auf ACCEPT, sonst kann dein Server keine Updates mehr laden.

UFW im Server

UFW ist die einfachste Firewall für Debian und Ubuntu. Sie schützt auch dann, wenn du später einen Dienst startest, den du vergessen hast, abzusichern.

sudo apt update && sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 80,443/tcp
sudo ufw enable

Prüfen:

sudo ufw status verbose

Warum beides?

	Panel-Firewall	UFW
Wo sie greift	vor dem Server, auf unserem Host	im Server
Gilt auch bei falscher Konfiguration im Server	ja	nein
Einstellbar ohne Anmeldung am Server	ja	nein
Geeignet für Regeln je Programm oder Benutzer	nein	ja

Und DDoS?

Gegen große Angriffe brauchst du nichts einzurichten: Der DDoS-Schutz ist bei jedem Server immer an und kostet nichts extra. Was er tut, siehst du im Reiter DDoS-Schutz.

Zum Schluss prüfen

Von deinem Rechner aus testest du, ob Port 22 offen und zum Beispiel Port 3306 zu ist:

nc -zv 10.0.0.25 22
nc -zv 10.0.0.25 3306