Die SCP-Firewall ist die erste Verteidigungslinie, aber kein Ersatz für eine Host-Firewall. Dieser Guide zeigt die Reihenfolge, Port 25 und die wichtigsten Prüfungen.
Im Server Control Panel (SCP) verwaltest du Regeln, die vor dem Server greifen. Standardmäßig ist eingehender Traffic blockiert, bis du Ports freigibst. Die Reihenfolge der Regeln ist wichtig: Eine Block-Regel weiter oben kann eine Allow-Regel weiter unten aushebeln.
Öffne nur die Ports, die du wirklich brauchst: 22 (SSH), 80/443 (HTTP/HTTPS). Datenbanken wie 3306 oder 5432 gehören nicht ins öffentliche Internet.
Netcup blockiert ausgehendes Port 25 über die Regel „netcup Mail block“. Wenn du einen Mailserver betreibst, entferne diese Regel im SCP und konfiguriere rDNS/PTR sowie SPF/DKIM/DMARC.
Ohne PTR und saubere DNS-Authentifizierung werden Mails von großen Providern abgelehnt oder als Spam markiert. Der Port allein reicht nicht.
Hinweis: Entferne die Port-25-Sperre nur, wenn du wirklich Mail versendest. Für reine Web- oder App-Server ist die Sperre ein Schutz.
Zusätzlich zur SCP-Firewall solltest du auf dem Server eine Host-Firewall betreiben. UFW ist der einfachste Einstieg auf Debian/Ubuntu; nftables ist flexibler, aber komplexer.
sudo ufw default deny incoming sudo ufw default allow outgoing sudo ufw allow 22/tcp sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw enable sudo ufw status verbose
Hinweis: Prüfe vor dem Aktivieren, dass dein SSH-Port erlaubt ist. Sonst sperrst du dich aus.
Nach jeder Änderung: Ports von außen testen, Logs prüfen, Fail2ban oder CrowdSec aktivieren und Backups nicht vergessen. Die Firewall schützt nicht vor schwachen Passwörtern oder veralteten Paketen.
4 dedizierte Kerne (AMD EPYC 9645) · 8 GB RAM · 128 GB NVMe · 2.5 Gbit/s
GB6: 2.290/7.559 · Steal: 0,0 %
4 vCores (x86) · 8 GB RAM · 128 GB SSD · 2.5 Gbit/s
GB6: 1.720/4.650 · Steal: 1,2 %
Die SCP-Firewall regelt Traffic vor dem Server. Wenn ein Dienst auf allen Interfaces lauscht und die Host-Firewall fehlt, kann er trotzdem erreichbar sein. Prüfe zusätzlich die UFW/nftables-Regeln und die Dienst-Bindings.
Netcup schützt die IP-Reputation und blockiert ausgehendes Port 25 standardmäßig über die SCP-Regel „netcup Mail block“. Für einen Mailserver musst du die Regel entfernen und rDNS/PTR sowie SPF/DKIM/DMARC konfigurieren.
IPv6 hat eigene Regeln. Prüfe sowohl SCP- als auch Host-Firewall für v6, sonst bleiben Dienste über IPv6 erreichbar, obwohl IPv4 blockiert ist.
Ja, eine Firewall ersetzt keine Login-Sicherheit. Fail2ban oder CrowdSec reduzieren brute-force-Versuche auf SSH und Web-Logins. Kombiniere sie mit Key-Auth und deaktiviertem Passwort-Login.