Wie man eine Firewall mit Firewalld unter Linux konfiguriert (Vollständiger Leitfaden)

Die Sicherung Ihres Linux-Servers gegen unbefugten Zugriff und bösartigen Datenverkehr ist nicht optional — sie ist eine grundlegende Verantwortung für jeden Systemadministrator. Egal ob Sie ein persönliches Projekt, eine Geschäftsanwendung oder einen produktiven Webserver betreiben, eine ordnungsgemäß konfigurierte Firewall ist Ihre erste und kritischste Verteidigungslinie. Firewalld ist eines der leistungsstärksten und flexibelsten Firewall-Management-Tools auf Linux und bietet dynamische Regelverwaltung, zonenbasierte Datenverkehrskontrolle und umfangreiche Regelunterstützung — alles ohne dass ein vollständiger Service-Neustart erforderlich ist, wenn Änderungen angewendet werden.

Dieser umfassende Leitfaden führt Sie durch alles, was Sie wissen müssen: Installation von Firewalld, Verständnis von Zonen, Verwaltung von Diensten und Ports, Schreiben von erweiterten Regeln und Überwachung Ihrer Firewall in Echtzeit. Wenn Sie auf einem VPS oder Dedicated Server von AlexHost hosten, hilft Ihnen dieser Leitfaden, Ihre Umgebung zu sichern und eine starke, adaptive Sicherheitslage zu bewahren.

Was ist Firewalld und warum sollten Sie es verwenden?

Firewalld ist ein dynamischer Firewall-Management-Daemon, der auf den meisten großen Linux-Distributionen verfügbar ist, einschließlich CentOS, RHEL, Fedora, Rocky Linux, AlmaLinux und zunehmend auch auf Debian und Ubuntu. Im Gegensatz zum älteren iptables Ansatz – bei dem jede Regeländerung das Löschen und Neuladen des gesamten Regelsatzes erforderte – wendet Firewalld Änderungen dynamisch zur Laufzeit an, ohne aktive Verbindungen zu unterbrechen.

Wichtigste Vorteile von Firewalld

• Zonenbasierte Architektur – weisen Sie verschiedenen Netzwerkschnittstellen oder IP-Bereichen unterschiedliche Vertrauensstufen zu
• Dynamische Regelaktualisierungen – wenden Sie Änderungen an, ohne die Firewall neu zu starten oder bestehende Verbindungen zu trennen
• Service-Abstraktion – verwalten Sie Datenverkehr nach Servicenamen (z. B. http, ssh) anstelle von rohen Portnummern
• Rich Rules – schreiben Sie komplexe, bedingte Regeln für spezifische IPs, Protokolle und Aktionen
• D-Bus-Integration – ermöglicht anderen Anwendungen und Services, programmgesteuert mit der Firewall zu interagieren
• IPv4- und IPv6-Unterstützung – verwalten Sie beide Protokollfamilien über eine einzige Schnittstelle

Voraussetzungen

Stellen Sie vor dem Fortfahren sicher, dass Sie über Folgendes verfügen:

• Einen Linux-Server mit CentOS 7/8/9, RHEL, Fedora, Rocky Linux, AlmaLinux, Debian oder Ubuntu
• Root- oder sudo Zugriff auf den Server
• Grundlegende Kenntnisse von Linux-Terminalkommandos
• Eine aktive SSH-Sitzung (halten Sie diese offen — Sie werden Firewall-Regeln ändern)

> Kritische Warnung: Stellen Sie immer sicher, dass SSH (Standard-Port 22) in Ihren Firewall-Regeln explizit erlaubt ist, bevor Sie Firewalld aktivieren. Sich selbst aus einem Remote-Server auszusperren ist ein häufiger und vermeidbarer Fehler.

Schritt 1: Firewalld installieren

Firewalld ist in den Standard-Repositories der meisten großen Linux-Distributionen enthalten. Verwenden Sie den entsprechenden Paketmanager für Ihr System.

Auf CentOS / RHEL / Rocky Linux / AlmaLinux

sudo yum install firewalld -y

Oder auf neueren Versionen mit DNF:

sudo dnf install firewalld -y

Auf Fedora

sudo dnf install firewalld -y

Auf Debian / Ubuntu

Obwohl Firewalld am häufigsten mit RHEL-basierten Systemen verbunden ist, wird es vollständig auf Debian-basierten Distributionen unterstützt:

sudo apt update
sudo apt install firewalld -y

> Hinweis für Ubuntu/Debian-Benutzer: Wenn ufw derzeit auf Ihrem System aktiv ist, deaktivieren Sie es vor der Aktivierung von Firewalld, um Konflikte zu vermeiden:

> “`bash

> sudo ufw disable

> “`

Schritt 2: Starten und Aktivieren von Firewalld

Nach der Installation starten Sie den Firewalld-Dienst und konfigurieren ihn so, dass er beim Systemstart automatisch gestartet wird:

sudo systemctl start firewalld
sudo systemctl enable firewalld

Überprüfen Sie, dass der Dienst korrekt läuft:

sudo systemctl status firewalld

Sie sollten eine Ausgabe ähnlich wie folgt sehen:

● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled)
   Active: active (running) since ...

Wenn der Status active (running) anzeigt, ist Firewalld betriebsbereit und kann konfiguriert werden.

Schritt 3: Firewalld-Zonen verstehen

Das zonenbasierte Modell ist das Herzstück der Firewalld-Architektur. Eine Zone definiert eine Vertrauensstufe für eine Netzwerkverbindung oder Schnittstelle. Jede Zone enthält ihre eigenen Regeln, die bestimmen, welcher Datenverkehr zulässig oder blockiert ist.

Integrierte Firewalld-Zonen

Aktuelle Standardzone überprüfen

sudo firewall-cmd --get-default-zone

Alle verfügbaren Zonen auflisten

sudo firewall-cmd --get-zones

Aktive Zonen und ihre Schnittstellen anzeigen

sudo firewall-cmd --get-active-zones

Beispielausgabe:

public
  interfaces: eth0

Schritt 4: Ändern der Standardzone

Beispiel 1 — Standardzone auf public setzen (Empfohlen für VPS/Dedicated Server)

Für die meisten internetfähigen Server ist public die geeignete Standardzone. Sie wendet ein konservatives Vertrauensniveau an und erlaubt nur explizit zulässigen Datenverkehr:

sudo firewall-cmd --set-default-zone=public

Überprüfen Sie die Änderung:

sudo firewall-cmd --get-default-zone

Erwartete Ausgabe:

public

Beispiel 2 — Standardzone auf home setzen

Wenn Ihr Server in einem vertrauenswürdigen privaten Netzwerk betrieben wird (z. B. in einem Home Lab oder einer internen Entwicklungsumgebung), ermöglicht die Zone home eine permissivere Kommunikation zwischen vertrauenswürdigen Hosts:

sudo firewall-cmd --set-default-zone=home

Überprüfen:

sudo firewall-cmd --get-default-zone

Erwartete Ausgabe:

home

Beispiel 3 — Standardzone auf work setzen

Für Server in einem Unternehmens- oder Arbeitsnetzwerk, wo ein moderates Vertrauensniveau angemessen ist:

sudo firewall-cmd --set-default-zone=work

Überprüfen:

sudo firewall-cmd --get-default-zone

Erwartete Ausgabe:

work

Schritt 5: Verwaltung von Diensten mit Firewalld

Firewalld enthält eine Bibliothek vordefinierter Dienstdefinitionen, die Dienstnamen ihren entsprechenden Ports und Protokollen zuordnet. Dies macht es viel einfacher, Regeln nach Absicht statt nach rohen Portnummern zu verwalten.

Alle vordefinierten Dienste auflisten

sudo firewall-cmd --get-services

Einen Dienst in einer Zone zulassen

Um HTTP-Verkehr (Port 80/TCP) in der public Zone dauerhaft zuzulassen:

sudo firewall-cmd --zone=public --add-service=http --permanent

Um HTTPS-Verkehr (Port 443/TCP) zuzulassen:

sudo firewall-cmd --zone=public --add-service=https --permanent

Um SSH (Port 22/TCP) zuzulassen — stellen Sie immer sicher, dass dies zulässig ist, bevor Sie andere Änderungen vornehmen:

sudo firewall-cmd --zone=public --add-service=ssh --permanent

Änderungen durch Neuladen von Firewalld anwenden

Das --permanent Flag schreibt die Regel in die persistente Konfiguration, wendet sie aber nicht sofort auf die laufende Firewall an. Laden Sie immer nach permanenten Änderungen neu:

sudo firewall-cmd --reload

Dienste in einer Zone überprüfen

sudo firewall-cmd --zone=public --list-services

Beispielausgabe:

dhcpv6-client http https ssh

Einen Dienst aus einer Zone entfernen

Um HTTPS aus der public Zone zu entfernen:

sudo firewall-cmd --zone=public --remove-service=https --permanent
sudo firewall-cmd --reload

Schritt 6: Direkte Verwaltung von Ports

In Fällen, in denen ein Service keine vordefinierte Firewalld-Definition hat, können Sie spezifische Ports direkt öffnen oder schließen.

Einen bestimmten Port öffnen

Um Port 8080 über TCP in der public Zone zu öffnen:

sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
sudo firewall-cmd --reload

Um einen UDP-Port zu öffnen (z. B. Port 53 für DNS):

sudo firewall-cmd --zone=public --add-port=53/udp --permanent
sudo firewall-cmd --reload

Um einen Portbereich zu öffnen (z. B. 6000–6100 TCP):

sudo firewall-cmd --zone=public --add-port=6000-6100/tcp --permanent
sudo firewall-cmd --reload

Einen bestimmten Port schließen

Um Port 8080 zu schließen:

sudo firewall-cmd --zone=public --remove-port=8080/tcp --permanent
sudo firewall-cmd --reload

Alle offenen Ports in einer Zone auflisten

sudo firewall-cmd --zone=public --list-ports

Schritt 7: Erweiterte Konfiguration mit Rich Rules

Rich Rules geben dir granulare, bedingte Kontrolle über den Datenverkehr — weit über das hinaus, was einfache Service- oder Port-Regeln ermöglichen. Sie unterstützen Filterung nach Quell-IP, Ziel-IP, Protokoll, Port und Aktion (akzeptieren, ablehnen, verwerfen, protokollieren).

Rich Rule Syntax

rule [family="<ipv4|ipv6>"]
     [source address="<IP/CIDR>"]
     [destination address="<IP/CIDR>"]
     [service name="<service>"] | [port port="<port>" protocol="<tcp|udp>"]
     [log [prefix="<prefix>"] [level="<level>"] [limit value="<rate>"]]
     [accept|reject|drop]

Beispiel 1 — SSH nur von einer bestimmten IP-Adresse zulassen

Dies ist eine der wichtigsten Sicherheitskonfigurationen für jeden Remote-Server. Wenn du deinen Server von einer festen IP-Adresse aus verwaltest, beschränke den SSH-Zugriff ausschließlich auf diese IP:

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="203.0.113.50" service name="ssh" accept' --permanent
sudo firewall-cmd --reload

Beispiel 2 — Alle Datenverkehr von einer bestimmten IP-Adresse blockieren

Um eine IP-Adresse, die bösartigen Datenverkehr erzeugt, vollständig zu blockieren:

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="198.51.100.25" drop' --permanent
sudo firewall-cmd --reload

Beispiel 3 — HTTP von einem bestimmten Subnetz zulassen

Um HTTP-Datenverkehr nur von einem vertrauenswürdigen internen Subnetz zuzulassen (z. B. 192.168.1.0/24):

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" service name="http" accept' --permanent
sudo firewall-cmd --reload

Beispiel 4 — SSH-Verbindungen drosseln, um Brute-Force-Angriffe zu verhindern

Protokolliere und begrenze SSH-Verbindungsversuche, um die Anfälligkeit für Brute-Force-Angriffe zu verringern:

sudo firewall-cmd --zone=public --add-rich-rule='rule service name="ssh" log prefix="SSH-ATTEMPT" level="notice" limit value="3/m" accept' --permanent
sudo firewall-cmd --reload

Beispiel 5 — Einen bestimmten Port von einer bestimmten IP zulassen

sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.5" port port="3306" protocol="tcp" accept' --permanent
sudo firewall-cmd --reload

Alle Rich Rules in einer Zone auflisten

sudo firewall-cmd --zone=public --list-rich-rules

Eine Rich Rule entfernen

sudo firewall-cmd --zone=public --remove-rich-rule='rule family="ipv4" source address="198.51.100.25" drop' --permanent
sudo firewall-cmd --reload

Schritt 8: Überwachung und Audit Ihrer Firewall

Die regelmäßige Überprüfung Ihrer Firewall-Konfiguration ist für die Aufrechterhaltung einer starken Sicherheitslage unerlässlich. Firewalld bietet mehrere Befehle zum Inspizieren des aktuellen Zustands Ihrer Regeln.

Vollständige Konfiguration für die Standardzone anzeigen

sudo firewall-cmd --list-all

Beispielausgabe:

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources:
  services: dhcpv6-client http https ssh
  ports: 8080/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
    rule family="ipv4" source address="203.0.113.50" service name="ssh" accept

Konfiguration für alle Zonen anzeigen

sudo firewall-cmd --list-all-zones

Konfiguration für eine bestimmte Zone anzeigen

sudo firewall-cmd --zone=dmz --list-all

Überprüfen, ob ein bestimmter Service zulässig ist

sudo firewall-cmd --zone=public --query-service=http

Überprüfen, ob ein bestimmter Port offen ist

sudo firewall-cmd --zone=public --query-port=8080/tcp

Schritt 9: Runtime vs. Permanente Regeln — Den Unterschied verstehen

Firewalld arbeitet mit zwei unterschiedlichen Konfigurationsebenen:

Best-Practice-Workflow

1. Testen Sie die Regel zuerst zur Laufzeit (ohne --permanent), um zu überprüfen, ob sie wie erwartet funktioniert
2. Fügen Sie die Regel dauerhaft hinzu, sobald sie bestätigt ist
3. Laden Sie Firewalld neu, um die Runtime- und permanenten Konfigurationen zu synchronisieren

# Step 1: Test at runtime
sudo firewall-cmd --zone=public --add-service=http

# Step 2: Verify it works as expected, then make it permanent
sudo firewall-cmd --zone=public --add-service=http --permanent

# Step 3: Reload to sync
sudo firewall-cmd --reload

Alternativ können Sie eine permanente Regel anwenden und sofort in einem Workflow neu laden:

sudo firewall-cmd --zone=public --add-service=http --permanent && sudo firewall-cmd --reload

Schritt 10: Zuweisen von Netzwerkschnittstellen zu Zonen

Wenn Ihr Server mehrere Netzwerkschnittstellen hat (häufig auf Dedicated Servers mit öffentlichen und privaten NICs), können Sie jede Schnittstelle einer anderen Zone mit unterschiedlichen Vertrauensstufen zuweisen.

Schnittstelle einer Zone zuweisen

sudo firewall-cmd --zone=internal --add-interface=eth1 --permanent
sudo firewall-cmd --reload

Zone einer Schnittstelle ändern

sudo firewall-cmd --zone=public --change-interface=eth0 --permanent
sudo firewall-cmd --reload

Schnittstelle aus einer Zone entfernen

sudo firewall-cmd --zone=internal --remove-interface=eth1 --permanent
sudo firewall-cmd --reload

Schritt 11: Aktivieren von IP-Masquerading und Port-Weiterleitung

Für Server, die als Gateways fungieren oder NAT (Network Address Translation) ausführen, unterstützt Firewalld Masquerading und Port-Weiterleitung nativ.

Masquerading (NAT) aktivieren

sudo firewall-cmd --zone=external --add-masquerade --permanent
sudo firewall-cmd --reload

Port weiterleiten (z. B. externen Port 80 an internen Port 8080 weiterleiten)

sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 --permanent
sudo firewall-cmd --reload

Datenverkehr an einen anderen Host weiterleiten

sudo firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=80:toaddr=192.168.1.10 --permanent
sudo firewall-cmd --reload

Praktische Sicherheitskonfigurationen für AlexHost-Server

Wenn Sie einen Webserver, Datenbankserver oder Anwendungsserver auf AlexHost-Infrastruktur betreiben, finden Sie hier empfohlene Baseline-Firewalld-Konfigurationen:

Baseline-Webserver-Konfiguration

# Allow SSH (restrict to your IP in production)
sudo firewall-cmd --zone=public --add-service=ssh --permanent

# Allow HTTP and HTTPS
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent

# Reload to apply
sudo firewall-cmd --reload

# Verify
sudo firewall-cmd --list-all

> Pro Tipp: Kombinieren Sie Ihre Firewall-Konfiguration mit einem gültigen SSL-Zertifikat, um sicherzustellen, dass der gesamte Webverkehr end-to-end verschlüsselt ist. AlexHost bietet SSL-Zertifikate für alle Hosting-Umgebungen an.

Baseline-Datenbankserver-Konfiguration (MySQL/MariaDB)

# Allow MySQL only from a specific application server IP
sudo firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.5" port port="3306" protocol="tcp" accept' --permanent

# Block direct MySQL access from the public internet
sudo firewall-cmd --zone=public --remove-service=mysql --permanent 2>/dev/null

sudo firewall-cmd --reload

Baseline cPanel/WHM-Server-Konfiguration

Wenn Sie einen VPS mit cPanel verwenden, müssen Sie die von cPanel und WHM erforderlichen Ports öffnen:

# Web traffic
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent

# cPanel/WHM ports
sudo firewall-cmd --zone=public --add-port=2082/tcp --permanent   # cPanel HTTP
sudo firewall-cmd --zone=public --add-port=2083/tcp --permanent   # cPanel HTTPS
sudo firewall-cmd --zone=public --add-port=2086/tcp --permanent   # WHM HTTP
sudo firewall-cmd --zone=public --add-port=2087/tcp --permanent   # WHM HTTPS
sudo firewall-cmd --zone=public --add-port=2095/tcp --permanent   # Webmail HTTP
sudo firewall-cmd --zone=public --add-port=2096/tcp --permanent   # Webmail HTTPS

# Mail ports
sudo firewall-cmd --zone=public --add-service=smtp --permanent
sudo firewall-cmd --zone=public --add-service=imaps --permanent
sudo firewall-cmd --zone=public --add-service=pop3s --permanent

sudo firewall-cmd --reload

Behebung häufiger Firewalld-Probleme

Problem 1: Firewalld startet nicht

Überprüfen Sie auf Konflikte mit anderen Firewall-Tools:

sudo systemctl status iptables
sudo systemctl stop iptables
sudo systemctl disable iptables
sudo systemctl start firewalld

Problem 2: Regeln bleiben nach dem Neustart nicht erhalten

Stellen Sie sicher, dass Sie das --permanent Flag verwendet und neu geladen haben:

sudo firewall-cmd --runtime-to-permanent
sudo firewall-cmd --reload

Der --runtime-to-permanent Befehl speichert alle aktuellen Laufzeit-Regeln in der permanenten Konfiguration.

Problem 3: SSH-Zugriff gesperrt

Wenn Sie den SSH-Zugriff versehentlich blockiert haben, müssen Sie auf den Server über die Konsole zugreifen (verfügbar über AlexHost’s VPS-Kontrollpanel) und ausführen:

sudo firewall-cmd --zone=public --add-service=ssh --permanent
sudo firewall-cmd --reload

Problem 4: Firewalld-Protokolle überprüfen

sudo journalctl -u firewalld -f

Oder überprüfen Sie das Systemprotokoll auf Firewall-bezogene Meldungen:

sudo grep -i firewall /var/log/messages

Firewalld Quick Reference Cheat Sheet

Fazit

Firewalld ist ein außergewöhnlich leistungsstarkes und flexibles Firewall-Verwaltungstool, das Linux-Systemadministratoren präzise, dynamische Kontrolle über den Netzwerkverkehr ermöglicht. Durch die Beherrschung von Zonen, Diensten, Port-Regeln und Rich Rules können Sie eine mehrstufige, adaptive Sicherheitsarchitektur aufbauen, die Ihren Server vor unbefugtem Zugriff, Brute-Force-Angriffen und Bedrohungen auf Netzwerkebene schützt.

Die wichtigsten Prinzipien zum Mitnehmen:

1. Erlauben Sie SSH immer, bevor Sie die Firewall aktivieren, um sich nicht selbst auszusperren
2. Verwenden Sie das --permanent Flag für alle Produktionsregeln und folgen Sie immer mit --reload
3. Beschränken Sie sensible Dienste (SSH, Datenbanken, Admin-Panels) auf spezifische vertrauenswürdige IP-Adressen mit Rich Rules
4. Überprüfen Sie Ihre Firewall-Regeln regelmäßig — Ihre Sicherheitslage sollte sich entwickeln, wenn sich Ihre Infrastruktur ändert
5. Testen Sie Regeln zunächst zur Laufzeit, machen Sie sie dann permanent, sobald sie überprüft sind

Egal ob Sie eine einzelne VPS oder eine Flotte von Dedicated Servers verwalten, AlexHost bietet die Infrastruktur, Leistung und vollständigen Root-Zugriff, den Sie benötigen, um Sicherheitskonfigurationen auf Unternehmensebene zu implementieren. Kombinieren Sie Ihr Firewalld-Setup mit SSL Certificates für verschlüsselte Kommunikation und erkunden Sie VPS Control Panels für optimierte Serververwaltung — alles verfügbar auf AlexHosts vertrauenswürdiger, hochperformanter Plattform.