Cloudfirewalls van Wolkra zijn gratis, stateful firewalls die inkomend en uitgaand verkeer filteren voordat het je servers bereikt. Je kunt één set regels toepassen op losse servers of op elke server met een bepaald label. Het is de snelste manier om poorten te sluiten die je niet gebruikt.
Wat een cloudfirewall doet
Een cloudfirewall zit vóór de netwerkinterface van je server. Pakketten die niet aan een allow-regel voldoen, worden weggegooid voordat ze het besturingssysteem ooit bereiken. Omdat de regels buiten de server staan, kan een verkeerd geconfigureerde dienst of een verse installatie niet per ongeluk een poort voor de hele wereld openzetten.
Belangrijkste functies:
- Stateful: antwoorden op toegestane verbindingen gaan automatisch door
- Regels voor inkomend en uitgaand verkeer op protocol (TCP, UDP, ICMP), poort of poortbereik en bron of bestemming
- IPv4- en IPv6-regels naast elkaar
- Toegepast op servers of labelselectors, zodat nieuwe servers vanaf de eerste seconde beschermd kunnen zijn
- Gratis, hoe uitgebreid je ze ook maakt
Hoe regels werken
Inkomend verkeer wordt geweigerd, tenzij een regel het toestaat. Een typische firewall voor een webserver heeft drie inkomende regels:
| Richting | Protocol | Poort | Bron |
|---|---|---|---|
| Inkomend | TCP | 22 | Het adres van je kantoor of VPN |
| Inkomend | TCP | 80 | Alle |
| Inkomend | TCP | 443 | Alle |
Uitgaande regels werken op dezelfde manier, in de andere richting. Ze zijn handig voor dichtgetimmerde servers die maar met een paar bekende diensten mogen praten, zoals een pakketmirror, een API en je database.
Toepassen via labels
Met labels wordt een firewall geen klus per server meer, maar een beleid. Geef servers labels zoals role=web of env=production en pas de firewall toe op de selector. Elke server met het label krijgt de regels, ook servers die later door jou, een teamgenoot of een script worden aangemaakt. Verwijder het label en de regels gelden niet meer.
In de console
- Open Firewalls en kies Firewall aanmaken.
- Voeg inkomende regels toe voor de poorten die je nodig hebt, en uitgaande regels als je uitgaand verkeer wilt beperken.
- Pas de firewall toe op servers of op een labelselector.
- Regels worden binnen enkele seconden actief. Wijzigingen gelden voor elke server die onder de firewall valt.
De documentatie over firewalls bevat meer voorbeelden, waaronder SSH dat alleen via een VPN bereikbaar is en een database die alleen vanaf appservers bereikbaar is.
Via de API
Firewalls, regels en hun doelen maken allemaal deel uit van de Wolkra API. Bewaar je firewallregels in je repository en pas ze toe vanuit een deployscript, zodat wijzigingen net als code worden gereviewd. In Composer kun je een firewall aan een stack toevoegen en hem op het canvas met servers verbinden.
Cloudfirewall en hostfirewall samen
| Cloudfirewall | Hostfirewall (ufw, nftables) | |
|---|---|---|
| Waar hij draait | Vóór de server | Op de server |
| Blijft na een rebuild | Ja | Alleen als je image hem instelt |
| Geldt voor veel servers | Via labels | Per server |
| Kan worden uitgeschakeld door een foute configuratie in het OS | Nee | Ja |
Gebruik beide voor gelaagde beveiliging. De handleiding een Ubuntu-server beveiligen laat een setup op hostniveau zien die goed samengaat met een cloudfirewall.
Begin met een kleine set regels
Begin met zo min mogelijk regels waarmee je dienst werkt, en voeg er meer toe als dat nodig is. Het is veel makkelijker om later nog een poort te openen dan uit te zoeken welke van twintig open poorten een aanvaller heeft gebruikt.
Typische toepassingen
- Alleen 80 en 443 openzetten op servers voor webhosting
- SSH beperken tot je WireGuard-VPN
- Een database-poort alleen toestaan vanaf appservers
- CI-runners beperken tot alleen uitgaand verkeer
- Self-hosted tools beschermen die niet publiek horen te zijn
Beperkingen om te weten
- Firewalls filteren verkeer; het is geen dienst voor DDoS-bescherming.
- Regels gelden voor servers op dezelfde locatie. Op dit moment is dat Frankfurt.
- Verkeer tussen servers in een privénetwerk kan ook worden beheerd; plan regels voor beide kanten.
Gerelateerde producten
- Cloudservers
- Privénetwerken en NAT-gateways
- Load balancers
- Teams en beveiliging voor bescherming op accountniveau
Sluit de poorten die je niet nodig hebt
Firewalls zijn gratis, dus er is geen reden om ze over te slaan. Maak een account aan bij Wolkra en bescherm je eerste server in Frankfurt.
Veelgestelde vragen
Kosten firewalls van Wolkra iets?
Nee. Cloudfirewalls zijn gratis. Je kunt er zoveel aanmaken als je nodig hebt en ze kosteloos op je servers toepassen.
Zijn de firewalls stateful?
Ja. Sta je een verbinding in één richting toe, dan worden de antwoorden automatisch doorgelaten. Je schrijft dus alleen regels voor het verkeer dat je wilt starten.
Kan ik ook uitgaand verkeer filteren?
Ja. Firewalls hebben regels voor inkomend en uitgaand verkeer, dus je kunt bepalen met welke diensten een server verbinding mag maken én wie verbinding mag maken met de server.
Hoe pas ik een firewall toe op veel servers?
Pas hem toe op een labelselector zoals env=production. Elke server met dat label, ook servers die je later aanmaakt, krijgt de regels automatisch.
Moet ik ook nog een firewall op de server zelf draaien?
Dat kan. De cloudfirewall filtert verkeer voordat het de server bereikt, en een hostfirewall zoals ufw of nftables voegt een tweede laag toe die met het image meegaat.