[Startseite](https://hmbastion.com/de/) [Blog](https://hmbastion.com/de/blog/) Infrastruktur Infrastruktur 5 Min. Lesezeit # IPv4, IPv6 und Firewalls: Prüfen Sie die Pfade zu Ihrem Server Ein Dienst kann über mehr als eine Adressfamilie und mehr als eine Netzwerkschicht erreichbar sein. Das Einschränken eines IPv4-Ports beweist nicht, dass derselbe Dienst über IPv6 eingeschränkt ist. Gestalten Sie die Prüfung anhand der tatsächlich vorhandenen Pfade, einschließlich DNS, Listener, Host-Regeln und etwaiger vorgelagerter Kontrollen. HM Bastion Redaktion Veröffentlicht 2026-10-26 ## In diesem Ratgeber - [Beginnen Sie mit Diensten und Adressen, nicht mit einer Regelliste](https://hmbastion.com/de/blog/ipv4-ipv6-firewall-exposure/#inventory-the-reachable-service) - [Verfolgen Sie die Richtlinie durch jede Schicht, die Datenverkehr verarbeitet](https://hmbastion.com/de/blog/ipv4-ipv6-firewall-exposure/#follow-the-policy-through-layers) - [Vermeiden Sie Netzwerkausfälle beim Versuch, die Angriffsfläche zu verringern](https://hmbastion.com/de/blog/ipv4-ipv6-firewall-exposure/#keep-essential-network-behaviour) - [Die vorgesehene Grenze testen und einen Rollback-Pfad bereithalten](https://hmbastion.com/de/blog/ipv4-ipv6-firewall-exposure/#test-and-document-the-boundary) [Alle Hosting-Ratgeber](https://hmbastion.com/de/blog/) ## Das Wichtigste in Kürze Erfassen Sie beide Adressfamilien, stellen Sie nur beabsichtigte Dienste bereit, erhalten Sie den Kontrollverkehr, den das Netzwerk benötigt, und testen Sie den Zugriff von außerhalb des Servers nach jeder relevanten Änderung. ## Beginnen Sie mit Diensten und Adressen, nicht mit einer Regelliste Listen Sie jeden öffentlich erreichbaren Dienst, das verwendete Transportprotokoll, seinen Lauschport und den vorgesehenen Nutzerkreis auf. Eine Webanwendung, eine administrative Oberfläche und eine Datenbank benötigen in der Regel unterschiedliche Exposition. Erfassen Sie die dem Server tatsächlich zugewiesenen Adressen und die Schnittstellen, auf denen jeder Prozess lauscht. Ein an eine Loopback-Adresse gebundener Prozess hat eine andere beabsichtigte Grenze als einer, der auf allen verfügbaren Schnittstellen lauscht. Beziehen Sie IPv4 und IPv6 in dasselbe Inventar ein und halten Sie dabei ihre Adressen und die Richtlinienbehandlung getrennt. Öffentliches DNS kann Besucher über einen A-Record zu IPv4 und über einen AAAA-Record zu IPv6 leiten. Das Vorhandensein oder Fehlen eines Records ersetzt nicht die Prüfung des Dienstes selbst. Wer eine Adresse bereits kennt, kann sie erreichen, ohne den erwarteten Hostnamen zu verwenden. HM Bastion beschreibt die IPv6-Zuweisung als abhängig von der Verfügbarkeit des Adresspools. Bestätigen Sie die Zuweisung und Konfiguration für den tatsächlichen Dienst, bevor Sie darauf planen. Zusätzliche IPv4-Optionen sind unabhängig von der Anzahl der exponierten Anwendungsports: Eine weitere Adresse ist keine Firewall und kein Ersatz für die Anwendungsauthentifizierung. Halten Sie Netzwerkanforderungen in der Bestellung oder im Support-Brief fest, statt anzunehmen, dass sich eine bestimmte Adressanordnung aus einem Bereichsnamen ergibt. ## Verfolgen Sie die Richtlinie durch jede Schicht, die Datenverkehr verarbeitet Eine Verbindung kann die Netzwerkkontrollen des Anbieters, eine Host-Firewall, ein Container-Netzwerk, einen Reverse-Proxy und die Zugriffsprüfungen der Anwendung selbst durchlaufen. Dokumentieren Sie, welche Ebenen in Ihrer Bereitstellung vorhanden sind und wer jede davon verwaltet. Zwei nützliche Kontrollen können sich ergänzen, aber auch die Fehlersuche erschweren, wenn ihre Regeln nicht festgehalten sind. Eine Host-Konfiguration sollte nicht von einer vorgelagerten Einschränkung abhängen, die nie bestätigt wurde. | Ebene | Zu beantwortende Frage | Nützlicher Test | | --- | --- | --- | | DNS und öffentliche Adressen | Welche Ziele können Clients ermitteln oder bereits kennen? | Die vorgesehenen A- und AAAA-Antworten prüfen | | Lauschender Prozess | Welche Adressen und Transporte nehmen Verbindungen an? | Dienstkonfiguration und aktive Listener prüfen | | Netzwerk- und Host-Richtlinie | Welche Quellen können welchen Dienst erreichen? | Erlaubte und verweigerte Pfade extern testen | | Anwendung | Wer darf nach dem Verbindungsaufbau eine Aktion ausführen? | Authentifizierung und Autorisierung mit Testkonten prüfen | Wenn Sie einen Firewall-Manager verwenden, prüfen Sie, wie er in der installierten Konfiguration beide IP-Familien behandelt. Lesen Sie die Dokumentation für das Tool und die Distribution, statt überall identische Standardwerte anzunehmen. Container-Plattformen können eigene Netzwerk- und Filterregeln hinzufügen, daher verdient ein veröffentlichter Container-Port eine ausdrückliche Prüfung. Verwenden Sie den scheinbaren Zustand eines vertrauten Befehls nicht als Beweis für den vollständigen Pfad zur Workload. Bevorzugen Sie eine kleine Richtlinie, die zum Inventar passt. Öffentlicher Web-Traffic kann aus vielen Quellen beabsichtigt sein, während administrativer Zugriff nach Möglichkeit eine engere Quellenrichtlinie haben kann. Datenbanken und interne Verwaltungsendpunkte benötigen oft überhaupt keinen direkten öffentlichen Zugriff. Halten Sie beim Ändern von Regeln einen Wiederherstellungszugang bereit und prüfen Sie eine zweite erlaubte Sitzung, bevor Sie die einzige funktionierende administrative Verbindung schließen. ## Vermeiden Sie Netzwerkausfälle beim Versuch, die Angriffsfläche zu verringern IPv6 nutzt ICMPv6 für Funktionen über einen einfachen Echo-Test hinaus. Eine pauschale Regel, die alle ICMPv6 verwirft, kann notwendiges Netzwerkverhalten stören, einschließlich Discovery und Fehlerbehandlung, die für die Paketzustellung relevant sind. Die Filterempfehlungen der IETF unterscheiden Nachrichtentypen und die Rollen verschiedener Grenzen. Verwenden Sie die für die Umgebung passende Empfehlung, statt einen unerklärten Regelsatz zu kopieren, der jede Kontrollnachricht als feindlich behandelt. Ein Netzwerk, das für eine kleine Anfrage zu funktionieren scheint, kann bei anderen Traffic-Größen oder Pfaden dennoch versagen. Testen Sie echte Anwendungsaustausche, nicht nur, ob ein Port geöffnet wird. Vergleichen Sie das Verhalten aus Netzwerken, die die vorgesehene Adressfamilie unterstützen, und halten Sie bei der Fehlerdiagnose den genauen Zeitpunkt und das Ziel fest. Ein fehlgeschlagener IPv6-Test von einem Client ohne nutzbaren IPv6-Pfad sagt wenig über die Anwendungskonfiguration des Servers aus. DDoS-Abwehr und Dienstoffenlegung lösen ebenfalls unterschiedliche Probleme. Die Abwehr kann Angriffsverkehr reduzieren, während eine Firewall-Richtlinie die erlaubte Netzwerkerreichbarkeit an ihrer Grenze definiert. Keines von beiden ersetzt sichere Anwendungskonten, Updates oder den sorgfältigen Umgang mit Geheimnissen. Ein offengelegtes Verwaltungspanel kann ein Risiko darstellen, selbst wenn sein Bandbreitenverbrauch winzig ist. Prüfen Sie, was eine autorisierte Verbindung nach dem Erreichen des Dienstes tun darf. ## Die vorgesehene Grenze testen und einen Rollback-Pfad bereithalten - Die aktuellen Regeln, die vorgesehene Richtlinie und die Methode für den Wiederherstellungszugang festhalten. - Eine eng begrenzte Änderung während eines geeigneten Wartungsfensters anwenden. - Erlaubte und verweigerte Verbindungen für jede relevante Adressfamilie testen. - Die normale Website und erforderliche interne Abhängigkeiten prüfen. - Die endgültige Richtlinie festhalten und temporäre Diagnoseausnahmen entfernen. Prüfen Sie beispielsweise nach dem Verschieben einer Verwaltungsschnittstelle hinter einen eingeschränkten Zugang, ob ein genehmigter Operator sich noch verbinden kann und ein gewöhnlicher externer Pfad dies nicht kann. Wiederholen Sie diese Prüfung für jede zugewiesene öffentliche Familie, auf der die Schnittstelle lauscht. Führen Sie diese Tests nur gegen Systeme durch, die Sie betreiben oder für die Sie eine Testgenehmigung haben. Ziel ist es, eine definierte Grenze zu prüfen, nicht breite Scans gegen fremde Adressen zu erzeugen. Kehren Sie zum Inventar zurück, nachdem Sie eine neue Anwendung veröffentlicht, IPv6 aktiviert, eine Container-Plattform hinzugefügt oder Proxys geändert haben. Diese Änderungen können einen neuen Listener einführen, ohne die alte Regelliste auf offensichtliche Weise zu verändern. Eine kurze Aufzeichnung, die Dienst, Adresse, Port, Verantwortlichen und erlaubtes Publikum verknüpft, beschleunigt künftige Prüfungen und verringert die Abhängigkeit von der Person, die zuletzt die Firewall bearbeitet hat. Produktbeispiele beziehen sich auf den veröffentlichten HM Bastion-Katalog. Verfügbarkeit, Preise und wählbare Optionen werden bei der Konfiguration einer Bestellung angezeigt. ## Wählen Sie Ihr nächstes Fundament. [Die Netzwerkspezifikationen vergleichen](https://hmbastion.com/de/hosting/) [Die Checkliste für die Hosting-Region lesen](https://hmbastion.com/de/blog/switzerland-or-germany-hosting/) [Eine Adressanforderung bestätigen](https://hmbastion.com/de/support/) ## Quellen und weiterführende Literatur - [IETF RFC 8200: IPv6-Spezifikation](https://www.rfc-editor.org/rfc/rfc8200) - [IETF RFC 4890: Filtern von ICMPv6-Nachrichten](https://www.rfc-editor.org/rfc/rfc4890) - [Ubuntu-Serverdokumentation: Firewall-Betrieb](https://documentation.ubuntu.com/server/how-to/security/firewalls/) ## Weiter entdecken [ Planung 5 Min. Lesezeit ## Einen VPS-Kapazitätstest erstellen, der eine echte Planungsfrage beantwortet Definieren Sie vor dem Vergleich von VPS-Ressourcenzuweisungen oder der Planung einer Traffic-Erhöhung eine repräsentative Workload, nützliche Erfolgskriterien und sichere Abbruchbedingungen. ](https://hmbastion.com/de/blog/vps-capacity-load-testing-plan/) [ Sicherheit 6 Min. Lesezeit ## Hosting-Störung: Wiederherstellung koordinieren und eine hilfreiche Support-Anfrage schreiben Einen Hosting-Vorfall mit klarer Zuständigkeit, einer sachlichen Zeitleiste, gesicherten Belegen, umkehrbaren Änderungen und einer knappen Support-Anfrage koordinieren. ](https://hmbastion.com/de/blog/incident-response-useful-support-brief/)