VServer und Root Server - Firewall mit UFW oder firewalld
Eine Host-Firewall erlaubt nur die tatsächlich benötigten eingehenden Verbindungen. Falsche Regeln können den Server unzugänglich machen. Sorgen Sie deshalb vor Änderungen für einen funktionierenden Konsolen- oder Rettungssystemzugang.
Inhaltsverzeichnis
Vorher benötigte Ports ermitteln
sudo ss -lntup
Typische öffentliche TCP-Ports sind 22 für SSH, 80 für HTTP und 443 für HTTPS. Öffnen Sie Datenbank-, Verwaltungs- oder Mailports nur, wenn der Dienst wirklich von außen erreichbar sein muss.
Ubuntu: UFW
Erlauben Sie zuerst den tatsächlich verwendeten SSH-Port:
sudo ufw allow 22/tcp sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw show added sudo ufw enable sudo ufw status verbose
Bei einem abweichenden SSH-Port ersetzen Sie 22. Testen Sie danach eine neue SSH-Verbindung, bevor Sie die bestehende schließen.
Eine Regel lässt sich vor dem Löschen nummeriert anzeigen:
sudo ufw status numbered
AlmaLinux, Rocky Linux und RHEL: firewalld
Prüfen Sie zuerst aktive Zone und aktuelle Regeln:
sudo firewall-cmd --get-active-zones sudo firewall-cmd --list-all
Für SSH, HTTP und HTTPS in der aktiven Zone:
sudo firewall-cmd --add-service=ssh sudo firewall-cmd --add-service=http sudo firewall-cmd --add-service=https sudo firewall-cmd --runtime-to-permanent sudo firewall-cmd --list-all
Die ersten Änderungen gelten zunächst zur Laufzeit. Testen Sie den Zugang, bevor Sie sie dauerhaft speichern.
nftables prüfen
Auf Systemen mit direkt verwaltetem nftables zeigt folgender Befehl das aktive Regelwerk:
sudo nft list ruleset
Verwenden Sie nicht gleichzeitig mehrere Firewall-Werkzeuge ohne klares Konzept. Ein fremdes Regelwerk sollte nicht mit flush ruleset gelöscht werden; dadurch können Schutzregeln und Container-Netzwerke ausfallen.
Fehlerdiagnose
Prüfen Sie bei Erreichbarkeitsproblemen in dieser Reihenfolge: Anbieter-Firewall, Host-Firewall, lauschender Dienst, korrekte Zieladresse und Routing. Eine geöffnete Firewallregel startet keinen Dienst.
