Firewall i siećAktualizacja: 02.11.2026

Netcup firewall w SCP: porty, reguły i port 25

Firewall SCP to pierwsza linia obrony, ale nie zastępuje firewalla hosta. Ten poradnik pokazuje kolejność, port 25 i najważniejsze testy.

1. Zrozum firewall SCP

W Server Control Panel (SCP) zarządzasz regułami, które działają przed serwerem. Ruch przychodzący jest domyślnie blokowany, dopóki nie otworzysz portów. Kolejność reguł ma znaczenie: reguła block wyżej może unieważnić allow niżej.

Otwieraj tylko potrzebne porty: 22 (SSH), 80/443 (HTTP/HTTPS). Bazy 3306 czy 5432 nie powinny być publiczne.

2. Odblokuj port 25

Netcup blokuje wychodzący port 25 regułą „netcup Mail block”. Jeśli prowadzisz serwer mailowy, usuń tę regułę w SCP i skonfiguruj rDNS/PTR oraz SPF/DKIM/DMARC.

Bez PTR i czystego DNS dużi dostawcy odrzucą lub oznaczą mail jako spam. Sam port nie wystarczy.

Uwaga: Usuwaj blokadę portu 25 tylko, jeśli naprawdę wysyłasz pocztę. Dla serwera web/app to ochrona.

3. Firewall hosta z UFW

Oprócz firewalla SCP uruchom firewall na serwerze. UFW to najprostszy start na Debian/Ubuntu; nftables jest elastyczniejszy, ale bardziej złożony.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Uwaga: Przed włączeniem upewnij się, że port SSH jest dozwolony. Inaczej zablokujesz sobie dostęp.

4. Checklista

Po każdej zmianie: test portów z zewnątrz, logi, Fail2ban lub CrowdSec i backup. Firewall nie chroni przed słabymi hasłami ani starymi pakietami.

Publiczne tylko 22/80/443; bazy i panele admina przez VPN lub allowlistę.
Sprawdź reguły IPv6 osobno — brak v6 często pozostawia usługi otwarte.
Fail2ban/CrowdSec dla SSH i logowania web.
Unattended upgrades i regularne backupy.
Po zmianach mailowych: PTR, SPF, DKIM, DMARC i blocklisty.

Oficjalne źródła

Firewall SCPOficjalne reguły i otwieranie portów.Konfiguracja sieciIP, rDNS i sieć.Cloud vLANPrywatna sieć między serwerami.Zamów serwerRoot servery z dedykowanymi rdzeniami.

Pasujące plany

RS 1000 G12.5

Bestseller

Serwery root • G12.5

2 miesiące gratis

21,73 €/ mies.z 19% VAT12 mies.

4 dedykowane rdzenie (AMD EPYC 9645) · 8 GB RAM · 128 GB NVMe · 2.5 Gbit/s

GB6: 2290/7559 · Steal: 0,0 %

Ładowanie aktualnego kodu…

VPS 1000 G12.5

Bestseller

VPS • G12.5

1 miesiąc gratis

14,50 €/ mies.z 19% VAT12 mies.

4 vCore (x86) · 8 GB RAM · 128 GB SSD · 2.5 Gbit/s

GB6: 1720/4650 · Steal: 1,2 %

Ładowanie aktualnego kodu…

Najczęstsze pytania

Dlaczego serwer jest osiągalny mimo firewalla SCP?

Firewall SCP filtruje ruch przed serwerem. Jeśli usługa nasłuchuje na wszystkich interfejsach, a firewall hosta nie istnieje, może być osiągalna. Sprawdź też UFW/nftables i bindingi usług.

Źródło

Dlaczego port 25 jest zablokowany?

Netcup chroni reputację IP i domyślnie blokuje wychodzący port 25 regułą SCP „netcup Mail block”. Dla serwera mailowego usuń regułę i skonfiguruj rDNS/PTR oraz SPF/DKIM/DMARC.

Źródło

Czy firewall dotyczy IPv6?

IPv6 ma własne reguły. Sprawdź firewall SCP i hosta dla v6, inaczej usługi pozostaną osiągalne przez IPv6, mimo blokady IPv4.

Czy potrzebuję Fail2ban?

Tak, firewall nie zastępuje bezpieczeństwa logowania. Fail2ban lub CrowdSec ograniczają brute-force na SSH i logowaniu web. Połącz je z kluczami SSH i wyłączonym logowaniem hasłem.