Von ufw aus dem eigenen VPS ausgesperrt? Zurück rein ohne Neuinstallation

Es gibt einen Ritus für alle, die zum ersten Mal einen eigenen Server betreiben: Du willst eine Firewall einrichten, tippst ein paar ufw-Befehle, drückst enable — und das Terminal verstummt. SSH ist weg. Du hast nichts abgeschossen und wurdest nicht gehackt. Du hast dir nur die Tür zugesperrt, mit dir draußen.

Das passiert auch guten Admins. Letzte Woche ist genau das einem unserer Kunden passiert, deshalb schreibe ich es auf. Die gute Nachricht: Das ist in unter einer Minute komplett behebbar, und du musst nicht neu aufsetzen oder eine einzige Datei verlieren. So geht's.

Was wirklich schiefgelaufen ist

ufw (Uncomplicated Firewall) verweigert standardmäßig allen eingehenden Verkehr. In dem Moment, in dem du ufw enable ausführst, wird alles verworfen, was du nicht ausdrücklich erlaubt hast — auch die SSH-Sitzung, in der du gerade sitzt. Hast du vergessen, vorher deinen SSH-Port per ufw allow freizugeben, hast du deine eigene Verbindung gekappt, sobald die Regel griff.

Das ist die Klassik-Variante. Zwei weitere erwischen die Leute ebenfalls:

• Du hast den falschen Port erlaubt. Ein Tippfehler, oder du hast den Dienst-Port (sagen wir 8080) erlaubt und 22 vergessen.
• Du hast 22 erlaubt, aber weiter oben in der Liste eine deny-Regel gesetzt, die ihn überdeckt. ufw ist reihenfolgen-empfindlich.

So oder so ist der Server selbst in Ordnung — läuft, Platte intakt, deine App summt weiter hinter der Wand. Es ist rein ein Netzwerkzugriffs-Problem. Genau deshalb ist die Lösung leicht.

Der falsche Zug: neu aufsetzen

Der erste Reflex ist oft „dann setze ich den Server halt zurück und fange neu an". Tu's nicht — dafür nicht. Ein Neuaufsetzen löscht alles, um ein funktionierendes SSH zurückzubekommen, während das SSH nur ein Firewall-Befehl blockiert, den du in zehn Sekunden rückgängig machst. Das ist, als würdest du das Haus abfackeln, weil du die Haustür zugezogen hast.

Neu aufsetzen ist richtig, wenn du willst, dass alles weg ist. Für eine ufw-Aussperrung ist es mit Kanonen auf Spatzen geschossen.

Der richtige Zug: die Web-Konsole

Jeder brauchbare VPS gibt dir eine Out-of-Band-Konsole — einen Weg auf die Maschine, der nicht über SSH und nicht mal über den Netzwerk-Stack geht. Bei EQVPS ist das der Console-Button auf der Seite deines Servers. Es ist eine serielle Konsole: nur Text, direkt an die VM angeschlossen wie Monitor und Tastatur. Eine Firewall-Regel hat keine Macht darüber, weil es kein Netzwerkverkehr ist.

Klick drauf, melde dich mit deinen root-Zugangsdaten an (oder lass dir das Passwort im Panel anzeigen, falls du es nicht zur Hand hast) — und du bist auf der Maschine, mit Firewall oder ohne.

Jetzt mach den Schaden rückgängig. Der schnellste Weg:

sudo ufw disable

Das schaltet die Firewall ab und behält deine Regeln, sodass du sie später wieder aktivieren kannst, wenn der Fehler behoben ist. SSH kommt sofort zurück.

Willst du die Firewall nicht ganz kippen, gib einfach den vergessenen Port frei:

sudo ufw allow 22
sudo ufw status numbered

Ein Blick auf status numbered lohnt sich: Er zeigt die Regelreihenfolge — genau hier verstecken sich die „Ich habe 22 erlaubt, es blockiert trotzdem"-Fälle. Sitzt ein deny über deinem allow, lösch es mit sudo ufw delete <nummer>.

Die NAT-Falle, die fast jede Anleitung auslässt

Bist du auf einem NAT-Tarif, lauert hier eine Falle. Du verbindest dich per SSH über einen hohen Port — etwa 20266 — der natürliche Reflex ist also ufw allow 20266. Das bewirkt nichts.

Bei NAT wird dieser externe Port auf Port 22 innerhalb der VM weitergeleitet. ufw läuft in der VM und sieht immer nur 22. Die Regel, die du wirklich brauchst, ist also:

sudo ufw allow 22

Erlaube 20266 und du starrst auf eine weiterhin kaputte Verbindung und fragst dich, warum. Erlaube 22 und du bist drin. Dasselbe gilt für jeden Dienst: Erlaube den Port, auf dem der Prozess innerhalb der Maschine lauscht, nicht den weitergeleiteten, über den du von außen verbindest.

Wie du das nie wieder machst

Die Reparatur dauert eine Minute, aber sie nicht zu brauchen ist schöner. Zwei Gewohnheiten:

Gib deinen SSH-Port frei, bevor du aktivierst. Immer in dieser Reihenfolge:

sudo ufw allow 22
sudo ufw enable

Machst du es umgekehrt, sitzt du wieder in der Konsole.

Halte eine zweite SSH-Sitzung offen, während du Firewall-Regeln änderst. Logge dich zweimal ein. Änderungen in einem Fenster; stirbt das SSH, lebt das andere noch und richtet es. Alter Trick, rettet dich jedes Mal.

Und wenn du eine frische Maschine aufsetzt, deckt unsere Sicherheits-Checkliste für einen neuen VPS ufw in der richtigen Reihenfolge ab — samt SSH-Keys und den paar anderen Dingen, die in den ersten zehn Minuten wirklich zählen.

Das Fazit

Eine ufw-Aussperrung sieht furchteinflößend aus und ist fast nichts. Der Server war nie weg; du brauchst nur eine Tür, die keine Firewall zuschlagen kann — die Web-Konsole — und einen Befehl. Halt ufw disable und die Konsole griffbereit, gib das nächste Mal deinen Port vor dem Aktivieren frei, und dieses Ding lässt dich nie wieder schwitzen.