Firewalls beheren

Beheer je cloudfirewalls van elke gekoppelde provider vanaf één plek, en laat InfraNest je waarschuwen voordat een risicovolle regel actief wordt. Dit artikel is bedoeld voor iedereen die verantwoordelijk is voor het beveiligen van servers, ook zonder achtergrond in netwerken.

Overzicht

• Bewerk inkomende en uitgaande regels voor al je firewalls in één editor, ongeacht de provider.
• Zie in één oogopslag op hoeveel servers elke firewall is toegepast.
• Word automatisch gewaarschuwd wanneer een regel iets gevaarlijk blootstelt, zoals een database of een poort voor extern beheer die openstaat voor het hele internet.
• Koppel een firewall aan nieuwe servers, wijzig de naam, of maak hem leeg tot nul regels zonder hem te verwijderen.

Een firewall bewerken

1. Ga naar Firewalls en open er een (of open een server en ga naar het tabblad Firewall).
2. Bewerk de inkomende en uitgaande regels — richting, protocol, poort, en de bron- of doel-IP-reeksen.

3. Selecteer Opslaan. Elke firewall toont op hoeveel servers hij is toegepast.

Vanaf een server kun je de toegepaste firewall ook inschakelen, uitschakelen, resetten of bewerken.

Alle regels verwijderen

Een firewall zonder regels is toegestaan en betekent precies wat het zegt: er komt niets binnen.

1. Verwijder de regels die je niet wilt en selecteer Toepassen.
2. De bevestiging toont elke regel die wordt verwijderd, en waarschuwt je vooraf als een van die regels degene is waarmee je de server via SSH of extern bureaublad bereikt.

Dit is niet hetzelfde als de firewall verwijderen. De firewall blijft bestaan, blijft gekoppeld aan de servers die hij beschermt, en staat simpelweg niets meer toe — precies wat je wilt als je een server tijdelijk afsluit terwijl je iets uitzoekt.

Bij DigitalOcean kunnen regels die op tags zijn gebaseerd in plaats van op IP-adressen niet door ons worden verwijderd, dus die blijven staan. Ze worden apart vermeld in de editor, en de firewall handhaaft ze nog steeds.

Een firewall hernoemen

1. Klik op de naam van de firewall bovenaan de pagina.
2. Typ de nieuwe naam.
3. Druk op Enter.

De naam wijzigt ook bij je provider, zodat deze overal hetzelfde blijft.

TransIP-firewalls kunnen niet worden hernoemd — elke firewall hoort bij één VPS en draagt de naam van die server.

Een andere server beveiligen met een bestaande firewall

1. Open de firewall en selecteer Server koppelen in het paneel Toegepast op — of open de server en selecteer Koppelen op de kaart Attached.
2. Kies de server (of de firewall, vanaf de serverkant) en bevestig. De bescherming start meteen.
3. Om een server niet langer te beschermen, selecteer je ✕ ernaast in de lijst Toegepast op.

Je kunt een firewall alleen combineren met een server van hetzelfde provideraccount, dus alles wat je kunt selecteren zal werken.

De Firewall Advisor

Terwijl je een firewall bekijkt, signaleert InfraNest risicovolle blootstelling — zoals SSH dat openstaat voor het hele internet, extern bureaublad dat openstaat voor de wereld, of een databasepoort die publiek toegankelijk is — met een uitleg en een oplossing, zodat gevaarlijke regels worden opgemerkt voordat ze problemen veroorzaken.

TipEen firewallregel kan automatisch een veranderend IP-adres volgen — zie Dynamic IP instellen.

Adressen die we niet kunnen verklaren

Wanneer een Dynamic IP een deel van een firewall actueel houdt, bekijken we ook wat die regel verder nog toestaat — en melden we alles wat wij er niet hebben toegevoegd.

Je ziet dan een van deze twee dingen:

• Een adres dat we vroeger actueel hielden, met naam en de datum waarop we ermee stopten. Dit is degene waarop je actie moet ondernemen: het was ooit van jou onder een oude internetverbinding, wordt niet meer onderhouden, en providers geven oude adressen door aan andere klanten.
• Een adres dat wij niet hebben geschreven. Voor zover wij weten is er niets mis mee — het kan een collega zijn, een kantoor, of een monitoringdienst — we kunnen alleen niet zeggen wat het is.

Er wordt nooit iets voor je verwijderd. Een toestemmingsregel die wij niet hebben geschreven, is niet aan ons om te verwijderen, dus we tonen hem en laten de beslissing aan jou over; bewerk de regel zelf als die weg moet.

Geef aan wat het is. Gebruik Geef aan wat dit is om een korte notitie te schrijven — “Kantoor Berlijn”, “Pingdom-probe”. De regel is dan geen vraagteken meer, en de volgende die ernaar kijkt (inclusief jijzelf over zes maanden) hoeft het niet opnieuw uit te zoeken. Als je de notitie wist, wordt de regel weer als onverklaard gemarkeerd.

Je krijgt één keer een e-mail over een adres dat we vroeger onderhielden, omdat we daarvan zeker kunnen zijn. We sturen geen e-mail over adressen die we simpelweg niet herkennen — anders zou je bij elke controle een melding krijgen over elke regel die je al kent.

Regels die nergens door worden gevolgd, blijven ongemoeid, en een regel waarbij jouw Dynamic IP het enige adres is, blijft stil.

Wat een firewallregel wel en niet dekt

Als een regel openstaat voor het hele internet, is de oplossing om de bron te beperken tot de adressen die die poort moeten kunnen bereiken — je eigen IP, je kantoorreeks, of het adres van de server die ernaar verwijst. Selecteer Beperk tot mijn IP bij de waarschuwing om dit in één stap te doen.

Een privénetwerk is geen nauwere bron om in dat vak te zetten.

WarningBij sommige providers — waaronder Hetzner — dekken firewallregels alleen verkeer dat binnenkomt op het publieke adres van de server. Alles wat via een privénetwerk wordt verzonden, bereikt de server zonder tegen een regel die je hier opstelt te worden gecontroleerd. Een regel met als bron een privéreeks zoals 10.0.0.0/24 komt dus nergens mee overeen en blokkeert niets. Waar dit het geval is, vermeldt de editor dit boven de inkomende regels.

Dat betekent niet dat een privénetwerk onveilig is — het betekent dat iets anders de controle heeft. Daar bepaalt wie op het netwerk is aangesloten wie de server kan bereiken, en dat beheer je op het netwerk zelf in plaats van met regels. Zie Private networks voor wat het koppelen van een server toestaat.

Tips

• Sla een goede regelset op als firewallsjabloon, zodat je dezelfde bescherming in één keer op meerdere servers kunt toepassen.