Jede Lightsail-Maschine kommt mit dem Port 22 (SSH) für alle Welt offen auf die Welt. Sobald sie eine öffentliche IP hat, beginnen die automatischen Anmeldeversuche aus dem halben Planeten: Tausende pro Tag. Mit einem starken SSH-Schlüssel kommen sie nicht hinein, aber sie füllen die Logs, verbrauchen Ressourcen, und jede künftige Schwachstelle im SSH-Dienst liegt offen. Die richtige Lösung ist einfach: Port 22 nur von der IP aus erlauben, von der Sie sich selbst verbinden.
Lightsail hat eine eigene Firewall pro Maschine, die Sie über die Konsole verwalten, ohne etwas im Server anzufassen. Das macht sie sehr bequem, aber auch sehr leicht, sich bei einem Fehler auszusperren; halten Sie sich deshalb an die Reihenfolge der Schritte.
Bevor Sie anfangen: was die Begriffe bedeuten
- Firewall
- Der Türsteher Ihrer Maschine: eine Liste, welche Türen (Ports) offen sind und für wen. In Lightsail wird sie über die Webkonsole verwaltet, ohne die Maschine zu betreten.
- Port 22 und SSH
- SSH ist der Weg, über den ein Techniker die Maschine betritt, um sie von einem Terminal aus zu verwalten. Es nutzt die „Tür" Nummer 22. Steht sie für alle offen, wird auch jeder versuchen hineinzukommen.
- Öffentliche IP
- Die numerische Adresse, mit der Ihr Anschluss ins Internet geht. Sie sehen sie, wenn Sie nach „Wie ist meine IP" suchen. Sie unterscheidet sich von der internen Adresse Ihres Computers zu Hause oder im Büro.
- Dynamische oder feste IP
- Dynamisch: Ihr Anbieter ändert die Adresse von Zeit zu Zeit (zu Hause üblich). Fest: immer dieselbe (bei Unternehmen üblich, manchmal gegen Aufpreis).
- CIDR (/32, /24)
- Eine Kurzschreibweise für einen Adressbereich. „/32" ist eine einzelne Adresse; „/24" sind 256 aufeinanderfolgende. Wenn Sie nur Ihre IP wollen, müssen Sie nichts anhängen: die Adresse genügt.
- IPv4 und IPv6
- Zwei Arten von Internetadressen, die klassische (vier Zahlen mit Punkten) und die neue (länger, mit Buchstaben und Doppelpunkten). Die Maschine kann beide haben, und jede hat ihre eigene Firewall.
Schritt für Schritt
Ermitteln Sie Ihre öffentliche IP
Suchen Sie auf dem Computer, von dem aus Sie sich verbinden, im Browser nach „Wie ist meine IP" oder fragen Sie Ihren Router. Notieren Sie die IPv4-Adresse, vier durch Punkte getrennte Zahlen. Wenn Sie vom Büro und von zu Hause aus arbeiten, brauchen Sie beide.
Wichtig: Wenn Ihr Anschluss eine dynamische IP hat (die meisten privaten Anschlüsse), ändert sie sich von Zeit zu Zeit, und Sie müssen die Regel aktualisieren. Das sehen wir am Ende.
Öffnen Sie die Firewall der Maschine
Klicken Sie in der Lightsail-Konsole, Registerkarte Instances, auf Ihre Maschine und dann auf die Registerkarte Netzwerk (Networking). Unter der öffentlichen IP steht der Block IPv4-Firewall mit den aktuellen Regeln. Sie sehen die SSH-Regel mit „Beliebige IP-Adresse" als Quelle.
Bearbeiten Sie die SSH-Regel und beschränken Sie die Quelle
Klicken Sie auf den Stift der Regel SSH, TCP 22. Aktivieren Sie das Kontrollkästchen Auf IP-Adresse beschränken und tragen Sie Ihre IP aus Schritt 1 ein. Sie können mehrere Adressen in derselben Regel hinzufügen oder für jeden Ort, von dem aus Sie sich verbinden, eine eigene Regel anlegen. Für einen Bereich verwenden Sie die CIDR-Notation, zum Beispiel
203.0.113.0/24.Lassen Sie die Option SSH über den Lightsail-Browser zulassen aktiviert, falls sie angezeigt wird: So können Sie auch bei geänderter IP immer über das Web-Terminal der Lightsail-Konsole hinein, das von AWS-eigenen Adressen aus kommt. Das ist Ihr Sicherheitsnetz.
Speichern und testen, ohne die aktuelle Sitzung zu schließen
Speichern Sie die Regel. Die Änderung gilt sofort. Bevor Sie irgendetwas als erledigt betrachten, öffnen Sie eine neue SSH-Sitzung von Ihrem Computer aus und prüfen Sie, dass Sie hineinkommen. Hatten Sie bereits eine Sitzung offen, schließen Sie sie nicht, bis die neue nachweislich funktioniert: bestehende Verbindungen werden nicht unterbrochen, neue dagegen schon gefiltert.
Prüfen Sie auch die IPv6-Firewall
Wenn die Maschine IPv6 aktiviert hat, gibt es etwas weiter unten einen separaten Block IPv6-Firewall mit einer eigenen, für alle offenen SSH-Regel. Wenn Sie sich nicht über IPv6 verbinden, löschen Sie diese Regel oder beschränken Sie sie auf Ihre IPv6-Adresse. Das ist das häufigste Versäumnis: die IPv4-Tür wird geschlossen und die IPv6-Tür bleibt sperrangelweit offen.
Entscheiden Sie, was passiert, wenn sich Ihre IP ändert
Mit dynamischer IP kommen Sie eines Tages nicht mehr hinein. Sie haben drei vernünftige Möglichkeiten: über das Browser-Terminal von Lightsail hineingehen und nichts ändern (reicht für einen Notfall); die Regel in der Konsole mit Ihrer neuen IP aktualisieren, was eine Minute dauert; oder bei Ihrem Anbieter eine feste IP beantragen, die bei Geschäftsanschlüssen meist verfügbar ist.
Was schiefgehen kann
Ich habe mich per SSH ausgesperrt
Keine Sorge: Die Lightsail-Firewall wird über die Webkonsole geändert, nicht aus der Maschine heraus. Gehen Sie in Lightsail auf die Registerkarte Netzwerk und korrigieren Sie die IP der Regel. Wenn Sie sofort hineinmüssen, verwenden Sie das Browser-Terminal von Lightsail (Schaltfläche „Über SSH verbinden" bei der Maschine), das nicht über Ihre IP läuft.
Ich komme trotz richtiger IP nicht hinein
Prüfen Sie, ob die Maschine auch eine interne Firewall hat (ufw unter Ubuntu, firewalld unter Amazon Linux) und ob diese Port 22 erlaubt. Beide Firewalls, die von Lightsail und die des Systems, müssen durchlassen. Und vergewissern Sie sich, dass Sie die IP des Computers verwenden, von dem aus Sie sich verbinden, nicht die eines VPN oder eines anderen Standorts.
Ich habe die IP meines lokalen Netzes eingetragen
Adressen, die mit 192.168, 10. oder 172.16 bis 172.31 beginnen, gehören zu Ihrem internen Netz und nützen nichts: Die Lightsail-Firewall sieht Ihre öffentliche IP, die Ihnen der Anbieter gibt. Zurück zu Schritt 1.
Ein Kollege muss von einem anderen Ort aus hinein
Fügen Sie seine IP als weiteren Eintrag derselben Regel hinzu, statt sie wieder für alle Welt zu öffnen. Und wenn die Liste wächst, ist es Zeit, über ein VPN oder einen Bastion-Host nachzudenken: eine einzige Eingangs-IP, die Sie selbst verwalten.
In Simplio
In Simplio ist die Firewall jeder Lightsail-Maschine eine bearbeitbare Liste: Sie fügen den Port hinzu, wählen „Nur meine IP" (Simplio kennt Ihre bereits) und speichern, mit Zwei-Faktor-Bestätigung für heikle Änderungen. Außerdem sieht jede Person in Ihrem Team nur die Maschinen, die Sie ihr zugewiesen haben, und jede Änderung landet im Aktivitätsprotokoll mit wer, wann und von wo.
Dasselbe, in AWS und in Simplio
| In der AWS-Konsole | In Simplio | |
|---|---|---|
| Port 22 auf Ihre IP beschränken | IP ermitteln, Lightsail-Konsole, Registerkarte Netzwerk, Regel bearbeiten, für IPv6 wiederholen: 5 Schritte, 5 Minuten pro Maschine | Regel „Nur meine IP" (Simplio kennt sie bereits): 1 Klick pro Maschine |
| Wenn sich Ihre IP ändert | Zurück in die Konsole und die Regel bearbeiten | Derselbe Klick; oder über das Terminal von Simplio hinein, ohne etwas anzufassen |
| Wissen, wer was geöffnet hat | CloudTrail, wenn Sie danach suchen | Jede Änderung im Aktivitätsprotokoll mit Benutzer, Datum und IP |