Firewall-Regeln ändern, ohne sich aus dem Server auszusperren

Ihr Ziel

Sie erlauben einen benötigten Dienst und behalten gleichzeitig Zugriff auf den Server. Es kann mehrere Firewalls geben: eine gebuchte Netzfirewall, die Firewall im Betriebssystem und Regeln einer Anwendung.

Was Sie benötigen

Eine funktionierende Anmeldung, den tatsächlichen Verwaltungsport aus Ihren Serverdaten, eine verfügbare Konsole und die Angabe, wer den neuen Dienst erreichen soll. Eine vorhandene Sicherung erleichtert die Wiederherstellung, ersetzt aber keine Zugangsplanung.

Sicherer Ablauf

1. Notieren Sie die aktuelle Konfiguration und öffnen Sie die Serverkonsole, sofern für Ihr Produkt verfügbar. Prüfen Sie, dass sie tatsächlich erreichbar ist.
2. Klären Sie den Dienst: Name, TCP oder UDP, eingehender Port und erlaubte Quelle. Eine Spielanwendung kann andere Regeln benötigen als eine Website.
3. Sichern Sie zuerst den bestehenden Verwaltungszugang. Die aktuelle RDP- oder SSH-Portnummer darf nicht durch einen vermuteten Standardwert ersetzt werden.
4. Erstellen Sie eine gezielte Erlaubnisregel. Wenn nur Ihr Büro zugreifen soll, wählen Sie nach Möglichkeit dessen vertrauenswürdige feste Quelladresse oder einen dafür eingerichteten VPN-Zugang.
5. Lassen Sie die erste Sitzung offen und öffnen Sie von Ihrem PC eine zweite Verbindung. Erst wenn diese funktioniert, ist der Zugang nach der Änderung bestätigt.
6. Prüfen Sie den neuen Dienst mit dem zugehörigen Programm. Eine offene Firewall startet noch keinen Webserver, Spielserver oder Datenbankdienst.
7. Entfernen Sie alte Regeln erst nach dem erfolgreichen Test. Ändern Sie jeweils nur einen überschaubaren Teil und dokumentieren Sie ihn.

Konkretes Beispiel

Sie möchten eine Website erreichbar machen. Zuerst bleibt die bestehende Verwaltungsregel erhalten. Danach erlauben Sie die tatsächlich benötigten Webdienste. Eine Regel „alle Ports für alle“ ist dafür nicht erforderlich.

So erkennen Sie den Erfolg

Die neue Anwendung funktioniert von der vorgesehenen Quelle, und eine neu aufgebaute Verwaltungssitzung funktioniert weiterhin.

Wenn Sie ausgesperrt sind

Verwenden Sie die Konsole für eine gezielte Rücknahme oder eröffnen Sie ein Ticket mit der zuletzt geänderten Regel. Setzen Sie nicht ohne Prüfung die gesamte Netzkonfiguration zurück. UFW-Beispiele aus dem Internet gelten nicht automatisch für Windows oder eine externe Firewall.

Container und Regeln zusätzlich berücksichtigen

Containeranwendungen können eigene Regeln für veröffentlichte Ports erzeugen. Kontrollieren Sie deshalb auch Containerkonfiguration, Regelnreihenfolge und tatsächlichen Dienstport. Hat sich Ihre öffentliche Quelladresse geändert, kann eine früher passende eingeschränkte Regel nun zu eng sein.

Weitere Hilfe: Einen einzelnen TCP-Port prüfen und Windows-Firewallprofile zunächst lesen.

Weiterführende Quelle

Ubuntu: Firewall und gezielte Zugriffsregeln