Twee ontwikkelaars maken elk een “tijdelijke” Hetzner-firewall. Zes maanden later: vijftien servers, acht inconsistente groepen, poort 22 open op drie “voor debug”.
Hetzner Cloud stelt een efficiënt beheerde firewall bloot – die moet worden behandeld als infrastructuur als code, en niet als een selectievakje na de implementatie.
Zonder groepsovereenkomst vermenigvuldigt elke server een vergeten regel.
Groepsmodel
fw-bastion SSH vanaf beheerder-IP; fw-web 80/443; fw-db alleen vanaf internet; fw-werker zonder publieke inbreng.
| Groep | Inkomend | Uitgaand |
|---|---|---|
| bolwerk | Beperkte SSH | Minimaal |
| internet | 80/443 | DB + updates |
Regels vóór de tiende server
Terraform of API, standaard weigeren van inkomend verkeer, SSH via bastion, gedocumenteerde exit, maandelijkse beoordeling van tijdelijke regels.
Klassieke fouten
Dubbele cloudopening + inconsistent besturingssysteem, productiegroep gekopieerde staging, vergeten firewall los te koppelen, geen SIEM-logboeken.
De bovenkant: schaal horizontaal = schaalfouten
Uitzonderingsbeheer
Elke “tijdelijke” regel die wordt geopend voor foutopsporing moet een vervaldatum en een onderhouder hebben. Zonder dit blijft haven tweeëntwintig maanden open. Maak het beoordelen van cloudfirewalls onderdeel van hetzelfde ritueel als het beoordelen van certificaten of beheerdersaccounts.
Als u Dezner-cloud en een andere provider combineert, documenteer dan welke laag wat filtert: veel voorkomende verwarring tussen cloudfirewall, netwerkfirewall en systeemfirewall op de virtuele machine.
Ga verder in het onderzoek
Laten we de draad weer oppakken met uw concrete casus: welk volume, welk serviceniveau, welke contractuele beperkingen aan de kant van de klant of de toezichthouder? Schrijf de antwoorden op voordat u de prijspagina opent, anders past u het project aan de meest zichtbare slogan aan. Vraag de verkoper om schriftelijke documenten (volledig rooster, onderaannemingscontract, certificeringsomvang, verlengingsvoorwaarden) in plaats van een screenshot van de startpagina.
Vergelijk minstens twee actoren via de overzicht en de vergelijker met hetzelfde scenario berekend over zesendertig maanden, niet alleen de eerste promotiemaand. Omvat domein, back-up, certificaat, gesimuleerde incidentondersteuning en – indien cloud – realistische gegevensuitvoer. Deel de shortlist met de persoon die het contract tekent en de persoon die de infrastructuur gaat exploiteren: als beide valideren, verkleint u de kans op onaangename verrassingen bij verlenging, tijdens de audit of tijdens de eerste nachtelijke storing.
Archiveer ten slotte de algemene voorwaarden gedateerd op de dag van inschrijving. Hosts kunnen de rasters wijzigen; uw due diligence-dossier moet bewijzen wat er op het moment van keuze is beloofd. Het is het verschil tussen een verdedigbare interne memo en een argument gebaseerd op teamgeheugen.
Uitzonderingsbeheer
Elke “tijdelijke” regel die wordt geopend voor foutopsporing moet een vervaldatum en een onderhouder hebben. Zonder dit blijft haven tweeëntwintig maanden open. Maak het beoordelen van cloudfirewalls onderdeel van hetzelfde ritueel als het beoordelen van certificaten of beheerdersaccounts.
Als u Dezner-cloud en een andere provider combineert, documenteer dan welke laag wat filtert: veel voorkomende verwarring tussen cloudfirewall, netwerkfirewall en systeemfirewall op de virtuele machine.
Uitzonderingsbeheer
Elke “tijdelijke” regel die wordt geopend voor foutopsporing moet een vervaldatum en een onderhouder hebben. Zonder dit blijft haven tweeëntwintig maanden open. Maak het beoordelen van cloudfirewalls onderdeel van hetzelfde ritueel als het beoordelen van certificaten of beheerdersaccounts.
Als u Dezner-cloud en een andere provider combineert, documenteer dan welke laag wat filtert: veel voorkomende verwarring tussen cloudfirewall, netwerkfirewall en systeemfirewall op de virtuele machine.
Ga verder in het onderzoek
Laten we de draad weer oppakken met uw concrete casus: welk volume, welk serviceniveau, welke contractuele beperkingen aan de kant van de klant of de toezichthouder? Schrijf de antwoorden op voordat u de prijspagina opent, anders past u het project aan de meest zichtbare slogan aan. Vraag de verkoper om de schriftelijke documenten (volledig rooster, onderaannemingscontract, certificeringsomvang, verlengingsvoorwaarden) in plaats van een screenshot van de startpagina.
Vergelijk minstens twee actoren via de overzicht en de vergelijker met hetzelfde scenario berekend over zesendertig maanden, niet alleen de eerste promotiemaand. Omvat domein, back-up, certificaat, gesimuleerde incidentondersteuning en – indien cloud – realistische gegevensuitvoer. Deel de shortlist met de persoon die het contract tekent en de persoon die de infrastructuur gaat exploiteren: als beide valideren, verkleint u de kans op onaangename verrassingen bij verlenging, tijdens de audit of tijdens de eerste nachtelijke storing.
Archiveer ten slotte de algemene voorwaarden gedateerd op de dag van inschrijving. Hosts kunnen de rasters wijzigen; uw due diligence-dossier moet bewijzen wat er op het moment van keuze is beloofd. Dit is het verschil tussen een verdedigbare interne memo en een geschil gebaseerd op het geheugen van het team.
Beslis en ga vooruit zonder blinde vlek
Begin met het schetsen van uw echte scenario op één pagina: volumes, klantbeperkingen, vereiste ondersteuningsniveau en budget voor zesendertig maanden, inclusief domein, back-up en essentiële opties. Vergelijk minstens twee hosts via de overzicht en de vergelijker met dezelfde hypothesen, archiveer de prijslijsten gedateerd op de dag van inschrijving en laat vervolgens de shortlist valideren door de persoon die het contract zal ondertekenen en de persoon die de infrastructuur dagelijks zal exploiteren.
Veelgestelde vragen
Hoe werkt de Hetzner-firewall?
Stateful upstream-servers; groepen die aan VM's zijn gekoppeld.
Cloud- of OS-firewall?
Beide: de cloud verkleint het oppervlak, het besturingssysteem verfijnt.
Structureren vóór schaalvergroting?
Groeperen op rol, standaard weigeren, SSH-bastion.
AVG-bescherming?
Nuttige veiligheidsmaatregel; not substitute for DPA/encryption.
Repareer groepen vóór servers, anders loop je de firewall in de gaten.