Firewall і мережаОновлено: 02.11.2026

Netcup firewall у SCP: порти, правила і порт 25

Firewall SCP — перша лінія захисту, але не заміна firewall хоста. Цей посібник показує порядок, порт 25 і найважливіші перевірки.

1. Зрозуміти firewall SCP

У Server Control Panel (SCP) ви керуєте правилами, які діють до сервера. Вхідний трафік заблокований за замовчуванням, доки ви не відкриєте порти. Порядок правил важливий: block вище може скасувати allow нижче.

Відкривайте лише потрібні порти: 22 (SSH), 80/443 (HTTP/HTTPS). Бази 3306 чи 5432 не повинні бути публічними.

2. Відкрити порт 25

Netcup блокує вихідний порт 25 правилом «netcup Mail block». Якщо ви керуєте поштовим сервером, видаліть це правило в SCP і налаштуйте rDNS/PTR та SPF/DKIM/DMARC.

Без PTR і чистого DNS великі провайдери відхилять або позначять лист як спам. Сам порт не достатній.

Примітка: Знімайте блокування порту 25 лише якщо справді надсилаєте пошту. Для web/app-сервера це захист.

3. Firewall хоста з UFW

Окрім firewall SCP, запустіть firewall на сервері. UFW — найпростіший старт на Debian/Ubuntu; nftables гнучкіший, але складніший.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Примітка: Перед увімкненням переконайтеся, що порт SSH дозволений. Інакше заблокуєте собі доступ.

4. Чек-ліст

Після кожної зміни: перевірте порти ззовні, логи, Fail2ban або CrowdSec і бекапи. Firewall не захищає від слабких паролів чи старих пакетів.

Публічні лише 22/80/443; бази й адмін-панелі через VPN або allowlist.
Перевіряйте правила IPv6 окремо — відсутність v6 часто залишає сервіси відкритими.
Fail2ban/CrowdSec для SSH і веб-логінів.
Unattended upgrades і регулярні бекапи.
Після змін пошти: PTR, SPF, DKIM, DMARC і blocklist.

Офіційні джерела

Firewall SCPОфіційні правила й відкриття портів.Конфігурація мережіIP, rDNS і мережа.Cloud vLANПриватна мережа між серверами.Замовити серверRoot-сервери з виділеними ядрами.

Відповідні тарифи

RS 1000 G12.5

Хіт

Root-сервери • G12.5

2 місяці безкоштовно

21,73 EUR/ міс.з 19% ПДВ12 міс.

4 виділені ядра (AMD EPYC 9645) · 8 GB RAM · 128 GB NVMe · 2.5 Gbit/s

GB6: 2 290/7 559 · Steal: 0,0 %

Завантаження актуального коду…

VPS 1000 G12.5

Хіт

VPS • G12.5

1 місяць безкоштовно

14,50 EUR/ міс.з 19% ПДВ12 міс.

4 vCore (x86) · 8 GB RAM · 128 GB SSD · 2.5 Gbit/s

GB6: 1 720/4 650 · Steal: 1,2 %

Завантаження актуального коду…

Часті питання

Чому сервер доступний попри firewall SCP?

Firewall SCP фільтрує трафік до сервера. Якщо сервіс слухає всі інтерфейси, а firewall хоста відсутній, він може бути доступним. Перевірте UFW/nftables і binding сервісів.

Джерело

Чому порт 25 заблокований?

Netcup захищає репутацію IP і за замовчуванням блокує вихідний порт 25 правилом SCP «netcup Mail block». Для поштового сервера видаліть правило й налаштуйте rDNS/PTR та SPF/DKIM/DMARC.

Джерело

Чи firewall діє на IPv6?

IPv6 має власні правила. Перевірте firewall SCP і хоста для v6, інакше сервіси залишаться доступними через IPv6, навіть якщо IPv4 заблоковано.

Чи потрібен Fail2ban?

Так, firewall не замінює безпеку входу. Fail2ban або CrowdSec зменшують brute-force на SSH і веб-логінах. Поєднуйте з ключами SSH і вимкненим входом за паролем.