Betrieb, Sicherheit und Nutzungsregeln für vServer und Cloud-VPS

Bei Cloud-VPS und vServern verwaltest Du das Betriebssystem selbst. lima-city stellt Virtualisierung, Netzwerk, Stromversorgung und Verwaltungsfunktionen bereit; für Updates, Benutzer, Dienste, Firewall und Anwendungen im System bist Du verantwortlich.

Verbotene Nutzung

Um den reibungslosen Betrieb unserer Infrastruktur zu gewährleisten, sind die folgenden Aktivitäten auf vServern und Cloud-VPS verboten:

• Cryptomining
• Portscanning fremder IPs und Netzbereiche
• das Verwenden fremder Quell-IPs

Ebenfalls problematisch sind Systeme, die Spam versenden, Malware verteilen, fremde Systeme angreifen oder dauerhaft ungewöhnlichen Schaden im Netzwerk verursachen. Wenn von einer VM Missbrauch ausgeht, kann der Netzwerkzugang zum Schutz anderer Systeme eingeschränkt oder gesperrt werden.

Verantwortung im Betrieb

Ein vServer ist kein Managed Hosting, sofern kein separater Management-Service vereinbart wurde. Du solltest deshalb mindestens diese Aufgaben einplanen:

• Betriebssystem und Pakete regelmäßig aktualisieren
• SSH-Zugang absichern
• starke Passwörter und SSH-Keys verwenden
• nicht benötigte Dienste deaktivieren
• Firewall-Regeln pflegen
• Logs prüfen
• Backups oder Snapshots vor Änderungen erstellen
• Sicherheitsmeldungen der eingesetzten Software beachten

Wenn Du eine Anwendung öffentlich betreibst, bist Du auch für deren Konfiguration verantwortlich. Dazu gehören zum Beispiel Webserver, Datenbank, Mailserver, CMS, Docker-Container oder selbst entwickelte Dienste.

Firewall und offene Ports

Öffne nur Ports, die wirklich benötigt werden. Für viele Systeme reichen wenige Dienste:

Die Firewall im Betriebssystem kannst Du zum Beispiel mit ufw, nftables oder iptables verwalten. Ein einfaches ufw-Setup für einen Webserver sieht zum Beispiel so aus:

ufw default deny incoming
ufw default allow outgoing
ufw allow OpenSSH
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable

Teste Firewall-Änderungen vorsichtig. Wenn Du SSH blockierst, benötigst Du die VNC-Konsole, um die Regel zu korrigieren.

SSH absichern

Für SSH empfehlen wir:

• SSH-Keys statt Passwort-Login verwenden
• Root-Login per Passwort deaktivieren
• nur benötigte Benutzer anlegen
• Schlüssel entfernen, wenn ein Gerät verloren geht
• verdächtige Login-Versuche in /var/log/auth.log oder im Journal prüfen

Wenn Du den SSH-Port änderst, dokumentiere die Änderung. Ein geänderter Port ersetzt keine saubere Authentifizierung, kann aber automatisierte Login-Versuche reduzieren.

Mailserver und Abuse-Risiko

Für ausgehende SMTP-Verbindungen gibt es zusätzlich zur Firewall im Betriebssystem eine kontobezogene Freigabe. Ohne diese Freigabe werden ausgehende TCP-Verbindungen auf Port 25 und 465 durch die Virtualisierungs-Firewall gesperrt. Eine Freigabe mit ufw allow im Gastbetriebssystem hebt diese Sperre nicht auf. Kläre die Freigabe vor dem Betrieb eines eigenen Mailservers mit dem Support. SMTP Submission auf Port 587 kann eine Alternative sein, wenn Dein Mailanbieter diesen Zugang unterstützt.

Eigene Mailserver auf vServern benötigen besonders saubere Konfiguration. Prüfe mindestens:

• gültiger Hostname
• passender Reverse-DNS/PTR-Record
• SPF, DKIM und DMARC für sendende Domains
• kein offenes Relay
• TLS-Konfiguration
• Bounce- und Queue-Überwachung

Viele Zustellprobleme entstehen nicht durch den Server selbst, sondern durch fehlendes Reverse-DNS oder eine nicht passende HELO/EHLO-Konfiguration. Mehr dazu steht im Artikel Reverse Hostname (PTR-Record) setzen.

Vor riskanten Änderungen

Erstelle vor größeren Änderungen einen Snapshot oder ein externes Backup. Das gilt besonders für:

• System-Upgrades
• Kernel- oder Bootloader-Änderungen
• Partitionen und Dateisysteme
• Firewall-Regeln
• Datenbank-Migrationen
• umfangreiche Deployments

Snapshots sind schnelle Wiederherstellungspunkte, ersetzen aber keine langfristige Backup-Strategie für kritische Daten.