Ungenutzte Ports schließen und Port 22 nur bei Bedarf öffnen

Ein Server im Internet erhält täglich Tausende von Anmeldeversuchen. Das sind keine Hacker, die es auf Sie abgesehen haben: Es sind automatische Programme, die alle Adressen im Internet durchgehen und an Türen rütteln. Finden sie eine offene, probieren sie Passwörter aus; finden sie ein veraltetes Programm, probieren sie bekannte Schwachstellen aus. Jeder offene Port, den Sie nicht brauchen, ist eine weitere Tür für diese Programme, und sie zu schließen kostet nichts.

Die meisten Maschinen, die Simplio sieht, haben Port 22 (den Verwaltungsport) seit dem Tag ihrer Erstellung für alle offen, weil das die Voreinstellung ist. Das ist, als ließe man die Tür zum Zählerraum zur Straße hin offen. Diese Anleitung zeigt, wie Sie nachsehen, welche Türen Ihre Maschine offen hat, die überflüssigen schließen und die Verwaltungstür nur von Ihrem Büro aus und nur solange Sie sie nutzen öffnen.

Schritt für Schritt

1. Entscheiden Sie, welche Ports Ihre Maschine wirklich braucht

   Für eine Website ist die Liste kurz: 80 (HTTP, zur Weiterleitung auf HTTPS) und 443 (HTTPS). Sonst nichts. Alles andere dient der Verwaltung, und die erledigen Sie, nicht die ganze Welt.

   Ports, die niemals für das ganze Internet offen sein sollten:

   • 22 (SSH) und 3389 (Windows-Remotedesktop): Verwaltung. Nur für Ihre IP, und am besten nur, solange Sie sie nutzen.
   • 3306 (MySQL/MariaDB) und 5432 (PostgreSQL): die Datenbank. Wenn die Website auf derselben Maschine liegt, braucht sie den Port nach außen überhaupt nicht. Verbindet sich eine andere Maschine, öffnen Sie ihn nur für die IP dieser Maschine.
   • 21 (FTP): überträgt Dateien unverschlüsselt. Wenn Sie Dateien hochladen müssen, nutzen Sie SFTP, das über Port 22 läuft.
   • 10000 (Webmin), 8080 und 8443 (Verwaltungsoberflächen und Testumgebungen), 9090, 5000: Verwaltungsoberflächen, die oft schwache Passwörter oder alte Versionen haben.
   • 25 (ausgehende E-Mail): AWS beschränkt ihn standardmäßig, und fast keine Website braucht ihn eingehend offen.

   Wenn in Ihrer Firewall ein Port steht, von dem Sie nicht wissen, wofür er ist, lautet die richtige Antwort: schließen und schauen, ob etwas aufhört zu funktionieren. Normalerweise nichts.

2. Prüfen Sie die Firewall einer Lightsail-Maschine

   Öffnen Sie Lightsail, klicken Sie auf den Namen der Maschine und öffnen Sie den Tab Netzwerk. Unter IPv4-Firewall steht die Liste der Regeln, jede mit Anwendung, Protokoll, Port und der Spalte Beschränkt auf. Steht in dieser Spalte "Beliebige IPv4-Adresse", ist dieser Port für die ganze Welt offen.

   Was übrig bleiben sollte:

   • HTTP, TCP, 80, beliebige Adresse.
   • HTTPS, TCP, 443, beliebige Adresse.
   • SSH, TCP, 22, beschränkt auf Ihre IP (Schritt 4), oder ganz ohne Regel, wenn Sie ihn nicht nutzen.

   Um eine Regel zu löschen, klicken Sie rechts auf das Papierkorbsymbol. Zum Bearbeiten auf den Stift. Die Änderungen gelten sofort, ohne Neustart. Wenn Sie IPv6 aktiviert haben, wiederholen Sie das im Block IPv6-Firewall: Das ist eine eigene Liste, die oft vergessen wird.

   Machen Sie das auf jeder Maschine: Die Firewall von Lightsail gilt pro Instanz und wird nicht geteilt.

3. Prüfen Sie die Sicherheitsgruppen einer EC2-Maschine

   Öffnen Sie EC2, Instances, klicken Sie auf die Maschine und öffnen Sie den Tab Sicherheit. Sie sehen die zugewiesenen Sicherheitsgruppen (es können mehrere sein; ihre Regeln addieren sich) und darunter die kombinierten Regeln für eingehenden Datenverkehr. Achten Sie auf die Spalte Quelle: 0.0.0.0/0 oder ::/0 bedeutet offen für die ganze Welt.

   Um etwas zu ändern, klicken Sie auf den Namen der Gruppe, Tab Regeln für eingehenden Datenverkehr, Schaltfläche Regeln für eingehenden Datenverkehr bearbeiten. Löschen Sie die überflüssigen mit Löschen und klicken Sie auf Regeln speichern. Die Regeln für ausgehenden Datenverkehr lassen Sie, wie sie sind: Standardmäßig erlauben sie alles nach außen, und das ist normal.

   Zwei Dinge, die in EC2 oft vorkommen:

   • Eine Gruppe namens launch-wizard-3 oder ähnlich, beim Starten der Maschine automatisch erstellt, mit Port 22 für alle offen. Die muss korrigiert werden.
   • Dieselbe Gruppe für die Website und die Datenbank. Dann hat die Datenbank Port 80 offen und die Website Port 3306. Legen Sie eine Gruppe pro Aufgabe an: web mit 80 und 443, bbdd mit 3306 nur aus der Gruppe web (bei Quelle können Sie die Kennung einer anderen Gruppe statt einer IP eintragen).

   Sehen Sie sich auch Sicherheitsgruppen im Menü links an: Oft gibt es alte Gruppen ohne zugewiesene Maschine. Löschen Sie sie, um nicht durcheinanderzukommen.

4. Öffnen Sie Port 22 nur für Ihre IP, und nur solange Sie ihn nutzen

   Ermitteln Sie Ihre öffentliche IP, indem Sie aus dem Netz, in dem Sie arbeiten werden, im Browser nach "wie ist meine IP" suchen. In Lightsail, Tab Netzwerk, klicken Sie bei der SSH-Regel auf den Stift, markieren Auf IP-Adresse beschränken und tragen Ihre ein. In EC2 wählen Sie beim Bearbeiten der Regel für Port 22 unter Quelle den Eintrag Meine IP, und AWS füllt sie selbst aus.

   Wenn Sie von mehreren Orten aus arbeiten (Büro und zu Hause), legen Sie eine Regel pro Ort an, nicht eine für alle. Und wenn Ihre Verbindung oft die IP wechselt (bei privatem Glasfaseranschluss üblich und bei Mobilfunk immer), rechnen Sie damit, sie ab und zu aktualisieren zu müssen: Das dauert eine Minute.

   Die wirklich gute Gewohnheit: Löschen Sie die Regel für Port 22, wenn Sie fertig sind. Sie melden sich ein paar Mal im Monat an der Maschine an; die übrige Zeit muss diese Tür gar nicht existieren. Wenn Sie sie brauchen, fügen Sie sie mit Ihrer IP hinzu, arbeiten und entfernen sie wieder. Ohne Port 22 gibt es keine Passwortangriffe über SSH und keine weiteren Programme, die man überwachen muss.

5. Prüfen Sie von außen, dass nichts offen bleibt

   Vertrauen ist gut, Kontrolle ist besser. Führen Sie in einem Terminal auf Ihrem Rechner (unter Windows PowerShell) gegen die IP Ihrer Maschine aus:

   Test-NetConnection 83.45.120.7 -Port 3306

   Auf Mac oder Linux nc -zv 83.45.120.7 3306. Meldet es eine erfolgreiche Verbindung, ist der Port nach außen offen und Sie müssen den vorherigen Schritt noch einmal prüfen. Testen Sie 22, 3306, 3389, 10000 und 8080. Es gibt auch Webseiten, die das für Sie prüfen (suchen Sie nach "offene Ports prüfen"); machen Sie das möglichst aus einem anderen Netz als dem, für das Port 22 erlaubt ist, zum Beispiel über das Handy.

   Auch wenn ein Port in der Firewall offen ist, antwortet das Programm dahinter vielleicht nicht (MySQL lauscht meist nur lokal). Verlassen Sie sich nicht darauf: Schließen Sie ihn trotzdem in der Firewall.

6. Alternativen, um Port 22 nie offen zu haben

   Wenn Sie sich häufig an der Maschine anmelden, gibt es Wege, das ohne einen einzigen offenen Port zu tun:

   • Terminal im Browser von Lightsail: Schaltfläche Über SSH verbinden auf der Seite der Maschine. Lightsail verbindet sich selbst, auch wenn Sie die Regel für Port 22 aus der Firewall gelöscht haben; das geschieht über einen internen Weg von AWS. Für gelegentliche Aufgaben reicht das.
   • Session Manager in EC2: auf der Maschine Schaltfläche Verbinden, Tab Session Manager. Erfordert, dass die Maschine den SSM-Agenten hat (in den Amazon-Linux- und Ubuntu-Images von AWS enthalten) und eine Rolle mit der Richtlinie AmazonSSMManagedInstanceCore. Dafür: null offene Ports, und jede Sitzung wird in CloudTrail mit der Angabe protokolliert, wer sich angemeldet hat.
   • EC2 Instance Connect: der Tab EC2 Instance Connect unter derselben Schaltfläche Verbinden. Braucht weiterhin Port 22 offen, aber nur für den IP-Bereich, den AWS für Ihre Region veröffentlicht, nicht für das ganze Internet.

   Mit jeder dieser Möglichkeiten gibt es keine Ausrede mehr für einen weltweit offenen Port 22.

Was schiefgehen kann