Managing Firewall Rules

Über Firewalls im linken Menü steuern Sie, von welchen Adressen aus Ihre Systeme im Lobster Cloud erreichbar sind. Technisch bearbeiten Sie damit die AWS Security Groups Ihrer Umgebung. Jede Änderung wirkt unmittelbar, ein Neustart ist nicht nötig.

Die Seite gehört immer zu einer Umgebung. Wechseln Sie oben links die Umgebung, sehen Sie die Firewall-Regeln der anderen Umgebung.

Die Übersicht

Kopfzeile

Die CSV-Datei enthält die Spalten Security Group ID, Security Group Name, Rule ID, Direction, Protocol, Port From, Port To, Address und Description. Sie eignet sich für Audits oder zur Abstimmung mit Ihrer IT-Abteilung.

Gruppenzeile

Jede Sicherheitsgruppe ist eine aufklappbare Zeile. Sie zeigt:

• den Namen der Gruppe,

• die ID, zum Beispiel ID: sg-0622ff2a5ee7dcb7c. Die brauchen Sie, wenn Sie mit dem Support über eine bestimmte Gruppe sprechen.

• die Anzahl eingehender Regeln, wenn möglich mit Limit, zum Beispiel Eingehend: 10 / 60.

Nähert sich eine Gruppe ihrem Limit, wird die Zahl orange dargestellt. Steht dort nur Eingehend: 12 ohne Limit, konnte das Kontingent nicht ausgelesen werden. Die Regeln funktionieren dann trotzdem uneingeschränkt.

Gezählt werden nur eingehende Regeln, weil das Limit pro Richtung gilt.

Eigene Beschreibung einer Gruppe

Über Beschreibung bearbeiten an der Gruppenzeile geben Sie der Gruppe einen Namen, der für Sie Sinn ergibt, etwa „DMZ – Zugriff von außen“ statt einer technischen AWS-Bezeichnung.

Diese Beschreibung wird nur im Portal angezeigt und ändert nichts in AWS. Der ursprüngliche AWS-Text bleibt erhalten und wird im Dialog eingeblendet. Über Beschreibung entfernen kehren Sie zum AWS-Text zurück.

Der Grund für die Trennung: AWS lässt die Beschreibung einer Security Group nach dem Anlegen nicht mehr ändern. Das Portal speichert Ihre Bezeichnung deshalb separat.

Die Regelliste

Klappen Sie eine Gruppe auf, sehen Sie ihre Regeln mit diesen Spalten.

Reihenfolge der Regeln

Die Liste ist bewusst sortiert und folgt nicht der Reihenfolge, in der AWS die Regeln liefert:

1. Eingehend vor ausgehend. Ausgehende Regeln werden von Lobster verwaltet und stehen deshalb am Ende, nicht mitten in Ihren eigenen Regeln.

2. Aufsteigend nach Port. 20-21 vor 80 vor 443.

3. Protokoll und Adresse dienen als weitere Sortierkriterien.

Damit finden Sie eine bestimmte Regel auch in einer Gruppe mit über hundert Einträgen zuverlässig, und keine Zeile springt beim Neuladen an eine andere Stelle.

Regeln, die Sie nicht ändern können

Manche Regeln sind für Sie schreibgeschützt. Die Schaltflächen zum Bearbeiten und Löschen sind dann ausgegraut:

• Port 80 für alle Adressen (0.0.0.0/0). Diese Regel wird von Lobster verwaltet. Die automatische Zertifikatserneuerung (Let’s Encrypt) prüft Ihre Domain über unverschlüsseltes HTTP auf Port 80, und zwar von Adressen, die nicht im Voraus bekannt sind. Würde diese Regel eingeschränkt, liefe Ihr Zertifikat Wochen später unbemerkt ab.

• Regeln mit anderen Protokollen als TCP und UDP sowie ausgehende Regeln.

Port 443 (HTTPS) können Sie selbst bearbeiten und löschen.

Wird eine geschützte Regel angefasst, erscheint: „Diese Regel wird von Lobster verwaltet und kann im Portal nicht geändert werden. Soll sie angepasst werden, wenden Sie sich an den Support.“

Eine neue Regel anlegen

Firewall-Regel hinzufügen öffnet den Dialog Regel hinzufügen.

Schritt 1: Sicherheitsgruppe

Wählen Sie die Gruppe, zu der die Regel gehören soll. Wenn Ihre Umgebung mehrere Gruppen hat, entscheidet die Wahl, welche Systeme die Regel betrifft.

Schritt 2: Richtung

Eingehend ist voreingestellt und der Normalfall: Sie erlauben einen Zugriff von außen auf Ihr System. Ausgehend ist nicht auswählbar, diese Regeln verwaltet Lobster.

Schritt 3: Dienst

Das Feld Dienst ist der bequemste Weg. Sie wählen, was Sie freigeben wollen, und Protokoll sowie Port werden automatisch gesetzt.

Bei einem Dienst werden die Felder IP-Protokoll und Port (-bereich) ausgeblendet, weil der Dienst sie bestimmt. Wollen Sie einen anderen Port, wählen Sie Eigene Angabe.

Schritt 4: Quell- oder Zieladresse (CIDR)

Hier legen Sie fest, von welchen Adressen aus der Zugriff erlaubt ist. Erlaubt sind:

Die Schaltfläche Meine aktuelle IP übernehmen trägt die Adresse ein, von der Sie gerade auf das Portal zugreifen, als /32, also genau dieser eine Rechner. Das ist der bequemste Weg, sich selbst Zugang zu geben.

Bei einer ungültigen Eingabe erscheint direkt am Feld: „Bitte eine gültige Adresse angeben, z. B. 192.168.0.0/24, 1.2.3.4/32 oder ::/0.“

Freigabe für das gesamte Internet

Geben Sie 0.0.0.0/0 oder ::/0 ein, erscheint eine orange umrandete Warnung:

Achtung: Mit dieser Adresse ist der Port für alle IP-Adressen im Internet erreichbar.

Sie müssen zusätzlich bestätigen: „Mir ist bewusst, dass das System auf diesem Port für alle erreichbar ist.“ Ohne dieses Häkchen lässt sich die Regel nicht anlegen.

Die Regel wird dadurch nicht verhindert, denn es gibt Fälle, in denen eine offene Freigabe richtig ist. Sie soll eine bewusste Entscheidung sein und nicht versehentlich entstehen.

Schritt 5: Port (-bereich), nur bei „Eigene Angabe“

Bei den Protokollen ICMP und ALLE entfällt das Feld. Stattdessen steht dort: „Für dieses Protokoll gibt es keine Ports. Die Regel gilt automatisch für den gesamten Verkehr dieses Protokolls.“

Welche Ports möglich sind. Über das Portal können Sie eine festgelegte Auswahl freigeben:

• Einzelne Ports: 20, 21, 22, 25, 80, 443, 587, 3305, 5671, 6619, 8020, 8443, 9000, 9443, 30000, 30001, 30002, 30003, 30004

• Bereiche: 50000–50049 und 51000–51049

Bei einem Bereich müssen alle enthaltenen Ports erlaubt sein. 50000-50049 funktioniert also, 8000-9000 nicht, auch wenn 9000 einzeln erlaubt ist.

Bei einem nicht erlaubten Port erscheint: „Dieser Port kann nicht freigegeben werden. Verfügbar sind: …“ Brauchen Sie einen anderen Port, wenden Sie sich an den Support.

Schritt 6: IP-Protokoll, nur bei „Eigene Angabe“

TCP ist voreingestellt und deckt die meisten Fälle. UDP ist ebenfalls möglich. ICMP und ALLE werden angezeigt, können aber nicht ausgewählt werden: „ICMP-Regeln werden von Lobster verwaltet und können hier nicht angelegt werden. Bitte TCP oder UDP verwenden.“

Schritt 7: Beschreibung

Ein freier Text, der später in der Liste steht. Nutzen Sie ihn. In einer Gruppe mit vielen Regeln ist die Beschreibung der einzige Hinweis darauf, warum eine Regel existiert und ob sie noch gebraucht wird.

Bewährt hat sich: Zweck, verantwortliche Person, gegebenenfalls Datum. Zum Beispiel Zugriff Buchhaltung Standort Berlin, Fr. Meier, 09/2026.

• Maximal 255 Zeichen

• Erlaubte Zeichen: a-z A-Z 0-9 sowie Leerzeichen und . _ - : / ( ) # , @ [ ] + = & ; { } ! $ *

• Einzeilig, weil AWS keine Umbrüche akzeptiert

Schritt 8: Regel anlegen

Neue Regel erstellen speichert. Solange eine Angabe fehlt oder unzulässig ist, bleibt die Schaltfläche inaktiv.

Danach ist die Regel sofort aktiv.

Eine Regel ändern oder löschen

Ein Klick auf eine Regelzeile öffnet Regeldetails.

• Bearbeiten macht die Felder änderbar. Gespeichert wird über Speichern.

• Regel löschen fragt noch einmal nach und entfernt die Regel dann.

Alternativ nutzen Sie die beiden Schaltflächen am rechten Rand der Regelzeile.

Auch hier gilt: Änderungen wirken sofort.

Meldungen und was zu tun ist

Benachrichtigung per E-Mail

Jede Änderung an einer Security Group wird protokolliert, und die Benutzer Ihres Unternehmens werden per E-Mail informiert.

Die Mails sind gebündelt. Das Portal sammelt die Änderungen und verschickt höchstens alle 15 Minuten eine Nachricht, die alle Änderungen dieses Zeitraums enthält. Wer zehn Regeln nacheinander anlegt, löst also nicht zehn Mails aus.

Die Mail enthält Umgebung, Sicherheitsgruppe, Art der Änderung, Port, Adresse und wer sie vorgenommen hat.

Berichtet werden das Anlegen, Ändern und Löschen von Regeln. Das Umbenennen einer Gruppe löst keine Mail aus.

Jede Nachricht geht ausschließlich an die Benutzer des betroffenen Unternehmens.

Wenn Sie Unterstützung brauchen

Wenden Sie sich an support@lobstersoftware.com. Hilfreich für eine schnelle Bearbeitung:

• Name und Typ der Umgebung

• Die ID der Sicherheitsgruppe (sg-…) aus der Gruppenzeile

• Bei einer bestimmten Regel die Regel-ID aus der Spalte ID

• Den genauen Wortlaut einer Meldung

Typische Fälle für den Support: ein Port außerhalb der erlaubten Auswahl, eine zusätzliche Sicherheitsgruppe, oder eine Änderung an einer von Lobster verwalteten Regel.