Funktionsweise

Projekt-Firewall: erlauben und blockieren nach IP und Port

Wer das Konto angelegt hat, ist Inhaber und hat bereits vollen Zugriff. Die Site startet offen: HTTP 80 und HTTPS 443 akzeptieren jeden Besucher. Sie brauchen kein Ticket, um die Site „freizuschalten“. Im Dashboard unter Projekt → Firewall können Sie Ports schließen oder IPs einschränken.

Die Firewall entscheidet, wer Ihre App aus dem Internet erreicht. Sie funktioniert wie bei einem Server: Jede Regel hat eine Aktion (Erlauben oder Blockieren), eine Quelle (IP oder Bereich), ein Protokoll (TCP), einen Port und ein freies Label für den Grund. Es ist kein WAF: der Inhalt wird nicht geprüft.

Die Ports, die die App erreichen, sind 443 (HTTPS) und 80 (HTTP). Alle anderen Container-Ports sind für das Internet bereits geschlossen und brauchen keine Regel. Kunden haben keinen SSH-Zugang zu den Servern; das wird hier nicht gesteuert.

1. Bevor Sie ein Ticket öffnen

   Wenn die Site für eine IP nicht öffnet oder Sie den Zugriff einschränken wollen, öffnen Sie das Projekt → Firewall. Die Standardregeln erlauben bereits 80 und 443. Schließen Sie einen Port oder begrenzen Sie die Quelle selbst; der Support muss das nicht für Sie tun.

2. Standardregeln

   Jedes Projekt startet mit zwei Regeln: Erlauben 443 (HTTPS) und Erlauben 80 (HTTP) von 0.0.0.0/0 und ::/0, also jede IP. Das ist das Minimum, damit die Seite lädt. Davon ausgehend fügen Sie Blockieren-Regeln hinzu oder ändern die Quelle. Löschen Sie die Regel eines Ports, bleibt er offen: Die Seite fällt nie wegen fehlender Regel aus.

3. Erlauben schließt den Rest

   Sobald ein Port mindestens eine Erlauben-Regel hat, kommen nur die erlaubten Quellen hinein; alle anderen erhalten 403 (Verboten). Um für alle zu öffnen, erlauben Sie 0.0.0.0/0 (jede IPv4) und ::/0 (jede IPv6).

4. Blockieren gewinnt immer

   Eine Blockieren-Regel entfernt diese Quelle, auch wenn eine andere Regel sie erlaubt. Beispiel: Erlauben 0.0.0.0/0 und ::/0 auf 443 plus Blockieren 45.10.20.0/24 lässt die Seite für alle außer diesem Bereich offen.

5. Port 80 und 443

   Wählen Sie 443 (HTTPS), 80 (HTTP) oder beide. Port 80 leitet nur auf 443 um; 443 einzuschränken genügt. Die automatische Zertifikatserneuerung funktioniert mit jeder Regel.

6. In Sekunden angewendet

   Beim Speichern wird die Regel in Sekunden auf den Router vor der App angewendet, ohne neue Veröffentlichung. Oben sehen Sie, ob und wann sie angewendet wurde. Eine pausierte Regel ist aus, aber nicht gelöscht.

7. Es zählt die IP des Besuchers

   Der Verkehr läuft vor der App durch das interne Netz von Devora. Die Firewall überspringt diese internen Hops und liest die echte IP des Besuchers. Ein gefälschter X-Forwarded-For-Header täuscht die Regel nicht. Der Knopf Meine IP fügt die Adresse hinzu, mit der Sie gerade das Panel nutzen.

• Erlaubte Quellen: IPv4 (200.10.20.30), IPv4-Bereich (200.10.20.0/24), IPv6 (2001:db8::1) und IPv6-Bereich (2001:db8::/32). Bis zu 50 Quellen pro Regel und 50 Regeln pro Projekt.
• Wer ändern darf: Rollen Developer, Admin und Owner oder eine eigene Rolle mit der Berechtigung Firewall verwalten. Firewall ansehen liest nur.
• Jede erstellte, geänderte oder entfernte Regel landet im Protokoll der Organisation mit Person, Zeit und IP.
• Vorsicht, wenn nur das Büro erlaubt ist: Wer außerhalb dieses Netzes ist (Handy im Mobilfunk, auf Reisen), öffnet die Seite nicht.
• Der öffentliche Port der Datenbank wird noch nicht über diese Seite gesteuert; externer Datenbankzugriff wird unter Datenbanken eingeschaltet.
• Bei einem Ticket zur Firewall nennen Sie das Label der Regel, die IP, die nicht verbinden kann, und die Meldung oben auf der Firewall-Seite.
• Wer sich registriert hat, hat die Site bereits online: die Standardregeln Allow 80 und 443 von jeder IP gelten schon. Einschränkungen sind optional und werden im Dashboard gesetzt.