Firewalls

Een Wolkra-firewall is een gratis, stateful set regels voor inkomend en uitgaand verkeer die het verkeer filtert voordat het je servers bereikt. Je maakt een regelset één keer aan en past die toe op afzonderlijke servers of op elke server die past bij een labelselector.

Hoe firewalls werken

• Stateful. Retourverkeer voor toegestane verbindingen wordt automatisch toegestaan.
• Inkomend en uitgaand. Regels bepalen wat de server mag bereiken en, als je dat wilt, wat de server mag versturen.
• Buiten de server. Regels gelden op het netwerk, dus ze blijven werken, ook als software op de server verkeerd is ingesteld of gecompromitteerd.
• Gedeeld. Eén firewall kan veel servers beschermen. Pas een regel één keer aan en hij geldt voor allemaal.

Een firewall aanmaken

1. Open Firewalls in de console en kies Create firewall.
2. Geef hem een naam, bijvoorbeeld web-public.
3. Voeg regels toe. Elke regel heeft een richting, een protocol (TCP, UDP, ICMP enzovoort), waar relevant een poort of poortbereik, en bron- of doeladressen.
4. Pas hem toe op servers of op een labelselector.
5. Sla op.

Toepassen op servers of labels

Afzonderlijke servers zijn de eenvoudigste keuze voor een kleine opstelling.

Labelselectors schalen beter. Geef servers labels zoals role=web of env=prod en pas de firewall toe op de selector role=web. Elke server met dat label, ook servers die je later aanmaakt, krijgt de regels automatisch. Labels stel je in wanneer je een server aanmaakt of later in het serveroverzicht.

Voorbeeldregelsets

De adresranges hieronder zijn voorbeelden. Vervang ze door de range van je eigen kantoor, thuisnetwerk of VPN.

Publieke webserver

Database in een privénetwerk

Combineer dit met een server die helemaal geen publiek IP heeft; zie privénetwerken.

WireGuard VPN

Zie de WireGuard-handleiding.

Uitgaande regels

Veel opstellingen staan al het uitgaande verkeer toe en filteren alleen inkomend verkeer. Beperk je uitgaand verkeer, denk dan aan wat de server nodig heeft:

• DNS (UDP en TCP 53) naar je resolver;
• HTTP en HTTPS (TCP 80 en 443) voor pakketupdates;
• NTP (UDP 123) voor de klok;
• SMTP of je mailrelay als de server e-mail verstuurt.

Bekijk het overzicht van de regels in de console voordat je opslaat, en test daarna vanaf de server met curl -I https://example.com.

Firewalls en load balancers

Staan servers achter een load balancer, sta de applicatiepoort dan toe vanaf het netwerk van de load balancer in plaats van vanaf overal. Worden de targets via een privénetwerk bereikt, sta dan alleen die netwerkrange toe.

Firewalls en Docker

Docker publiceert containerpoorten via eigen iptables-regels, die UFW op de server omzeilen. Een cloudfirewall heeft daar geen last van en is dus de betrouwbare manier om containerpoorten privé te houden. De Docker Compose-handleiding legt het patroon uit.

Problemen oplossen

• Buitengesloten van SSH: pas de firewall aan zodat je huidige adres is toegestaan, of koppel hem los van de server. De browserconsole in het serveroverzicht werkt zonder netwerktoegang.
• Service onbereikbaar: controleer de cloudfirewall, daarna UFW (sudo ufw status), en dan of de service luistert (sudo ss -tlnp).
• Werkt via IPv4, niet via IPv6: zorg dat de regel beide adresfamilies toestaat.

API

Firewalls zijn beschikbaar via de API op https://api.wolkra.com/v1/firewalls. Zie API-tokens voor authenticatie.

Meer achtergrond op de productpagina: firewalls.