Ausgehenden Traffic in private Netze mit UFW blockieren

Wenn ein kompromittiertes Skript oder eine falsch konfigurierte Anwendung Adressen in 10.x oder 192.168.x abtastet, verlässt der Traffic Ihren Server und löst oft Abuse-Meldungen des Netzes aus. Ausgehende Verbindungen in private Bereiche zu sperren ist eine einfache Schutzmaßnahme für jeden VPS Linux Infrawire. Diese Anleitung zeigt, wie Sie das mit UFW tun, ohne DNS oder Ihre eigene Konnektivität zu zerstören.

📋 Voraussetzungen

• Ein VPS mit Root-SSH-Zugang unter Ubuntu 24.04 oder Debian 12 (UFW ist auf beiden verfügbar).
• Grundkenntnisse zu UFW. Falls es noch nicht installiert ist:

Bash
1sudo apt update && sudo apt install -y ufw

• Eine zweite SSH-Sitzung, die Sie beim Ändern der Firewall offen halten.

🧭 Welche Bereiche gesperrt werden

Sperren Sie fe80::/10 nicht: IPv6 nutzt Link-Local-Adressen für die Nachbarerkennung und oft für das Standard-Gateway; sperren Sie sie, ist IPv6 komplett tot.

🔍 Zuerst prüfen, was Ihr VPS wirklich braucht

Liegt Ihr Gateway oder DNS-Resolver in einem privaten Bereich, kappt eine pauschale Sperre Ihr Netzwerk. Sehen Sie sich Ihre Konfiguration an, bevor Sie eine Regel hinzufügen:

Bash
1ip route
2ip -6 route
3cat /etc/resolv.conf
4resolvectl status | grep -E 'DNS Servers|Link'

Hat ein Resolver oder ein Dienst, auf den Sie angewiesen sind, eine private Adresse (PRIVATE_DNS_IP), erlauben Sie ihn ausdrücklich und setzen Sie diese Regel wie unten gezeigt an die erste Stelle. Ist alles, was Sie nutzen, öffentlich, können Sie diesen Schritt überspringen.

🧱 Methode 1: ufw deny out

Stellen Sie sicher, dass SSH erreichbar bleibt, und setzen Sie dann die Standardrichtlinien. Eingehende Antworten auf Ihre SSH-Sitzungen sind von ausgehenden Regeln für private Bereiche nicht betroffen.

Bash
1sudo ufw allow 22/tcp
2sudo ufw default deny incoming
3sudo ufw default allow outgoing

Benötigen Sie eine Ausnahme, fügen Sie sie an Position 1 ein, damit sie vor den Sperren ausgewertet wird:

Bash
1sudo ufw insert 1 allow out to PRIVATE_DNS_IP port 53

Fügen Sie nun die Sperren hinzu, eine pro Bereich (UFW wertet Regeln der Reihe nach aus, der erste Treffer gewinnt):

Bash
1sudo ufw deny out to 10.0.0.0/8
2sudo ufw deny out to 172.16.0.0/12
3sudo ufw deny out to 192.168.0.0/16
4sudo ufw deny out to 100.64.0.0/10
5sudo ufw deny out to 169.254.0.0/16
6sudo ufw deny out to 192.0.0.0/24
7sudo ufw deny out to 198.18.0.0/15
8sudo ufw deny out to fc00::/7
9sudo ufw enable

ufw enable warnt eventuell, dass SSH-Verbindungen gestört werden könnten; da Port 22 erlaubt ist, antworten Sie mit y. Die Reihenfolge prüfen Sie mit:

Bash
1sudo ufw status numbered

📄 Methode 2: before.rules

Möchten Sie einen einzelnen Regelblock, der vor den Benutzerregeln greift, bearbeiten Sie /etc/ufw/before.rules. Legen Sie zuerst eine Sicherung an:

Bash
1sudo cp /etc/ufw/before.rules /etc/ufw/before.rules.bak
2sudo nano /etc/ufw/before.rules

Fügen Sie im Abschnitt *filter nach den Zeilen, die Loopback und bestehende Verbindungen akzeptieren, Folgendes ein:

TEXT
1# Block outbound traffic to private networks
2-A ufw-before-output -d 10.0.0.0/8 -j REJECT
3-A ufw-before-output -d 172.16.0.0/12 -j REJECT
4-A ufw-before-output -d 192.168.0.0/16 -j REJECT
5-A ufw-before-output -d 100.64.0.0/10 -j REJECT
6-A ufw-before-output -d 169.254.0.0/16 -j REJECT

IPv6 hat eine eigene Datei, /etc/ufw/before6.rules, mit der Kette ufw-before-output:

TEXT
-A ufw-before-output -d fc00::/7 -j REJECT

Setzen Sie eine Ausnahme für PRIVATE_DNS_IP direkt über diese Zeilen mit -A ufw-before-output -d PRIVATE_DNS_IP -j ACCEPT. Neu laden:

Bash
1sudo ufw reload

REJECT antwortet sofort mit einem Fehler, sodass Anwendungen schnell scheitern, statt auf ein Timeout zu warten. Nutzen Sie -j DROP, wenn Sie Stille bevorzugen.

✅ Überprüfen

Die Regeln müssen geladen sein, gesperrte Ziele müssen fehlschlagen, öffentliche weiter funktionieren:

Bash
1sudo ufw status verbose
2ping -c 1 10.0.0.1          # muss fehlschlagen
3ping -c 1 192.168.1.1       # muss fehlschlagen
4curl -m 5 http://10.0.0.1   # muss fehlschlagen
5ping -c 2 1.1.1.1           # muss gelingen
6dig +short example.com      # muss aufgelöst werden
7curl -I https://www.debian.org

Bei ufw deny out meldet der fehlgeschlagene Ping typischerweise Operation not permitted. Die Paketzähler bestätigen die Treffer:

Bash
1sudo iptables -L ufw-user-output -n -v
2sudo iptables -L ufw-before-output -n -v

🛠️ Fehlerbehebung

DNS funktioniert nicht mehr. Ihr Resolver liegt in einem privaten Bereich. Korrigieren Sie die Reihenfolge mit sudo ufw status numbered und fügen Sie sudo ufw insert 1 allow out to PRIVATE_DNS_IP port 53 hinzu. Sie können in Ihrer Netzwerkkonfiguration auch auf einen öffentlichen Resolver wechseln.

IPv6 ist nach der Änderung kaputt. Wahrscheinlich haben Sie fe80::/10 oder ein Gateway in fc00::/7 gesperrt. Entfernen Sie die Regel mit sudo ufw delete deny out to fc00::/7 und legen Sie nur das Nötige neu an.

Sie erreichen einen Dienst in einem privaten Netz nicht mehr (VPN, interne API). Fügen Sie mit ufw insert 1 allow out to PRIVATE_IP eine Erlaubnisregel für genau diese Adresse hinzu. Sind Sie von SSH selbst ausgesperrt, nutzen Sie einen beliebigen Konsolenzugang zum Server und führen sudo ufw disable aus.

---

🔒 Ihr VPS kann private Netze nicht mehr versehentlich scannen: Abuse-Meldungen dieser Art sollten aufhören.