---
title: 'Firewall: Port blockieren und nur für einzelne IPs freigeben'
url: 'https://patrik.kernstock.net/blog/firewall-port-blockieren-und-nur-fuer-einzelne-ips-freigeben'
markdown: 'https://patrik.kernstock.net/blog/firewall-port-blockieren-und-nur-fuer-einzelne-ips-freigeben.md'
date: '2013-08-02'
description: 'Mit iptables und wenigen Befehlen kann man sehr leicht einen Port nur für einzelne IPs freigeben. In diesem Beispiel sperren wir den MySQL Port (Standard: 3306) für alle und geben einzelne IPs frei, die weiterhin darauf zugreifen dürfen. Bei wechselnden IPs müsste man die Regeln jedes Mal erneut an…'
taxonomy:
  category:
    - Linux
    - 'Networking & Security'
  tag:
    - Debian
    - Firewall
    - iptables
    - QuickTip
---

# [Firewall: Port blockieren und nur für einzelne IPs freigeben](https://patrik.kernstock.net/blog/firewall-port-blockieren-und-nur-fuer-einzelne-ips-freigeben)

   August 2, 2013  (updated August 8, 2013)   2 min 

   [Linux](https://patrik.kernstock.net/category:Linux) [Networking & Security](https://patrik.kernstock.net/category:Networking%20%26%20Security)    [Debian](https://patrik.kernstock.net/tag:Debian) [Firewall](https://patrik.kernstock.net/tag:Firewall) [iptables](https://patrik.kernstock.net/tag:iptables) [QuickTip](https://patrik.kernstock.net/tag:QuickTip)  

 Hinweis

Dieser Artikel ist über 13 Jahr(e) alt – Inhalte könnten veraltet sein.

Mit iptables und wenigen Befehlen kann man sehr leicht einen Port nur für einzelne IPs freigeben. In diesem Beispiel sperren wir den MySQL Port (Standard: 3306) für alle und geben einzelne IPs frei, die weiterhin darauf zugreifen dürfen. Bei wechselnden IPs müsste man die Regeln jedes Mal erneut anlegen.

**Einzelne IPs freigeben**
Zuerst geben wir alle IPs frei, die danach weiterhin zugreifen dürfen. So verhindern wird, dass die MySQL Verbindungen unterbrochen werden, wenn wir die Sperr-Regel hinzufügen. Beispielsweise geben wir nun 1.2.3.4 und 4.3.2.1 als IP für den MySQL-Port frei:

```sh
iptables -A INPUT -p tcp --src 1.2.3.4 --dport 3306 -j ACCEPT
iptables -A INPUT -p tcp --src 4.3.2.1 --dport 3306 -j ACCEPT
```

**Port nun für alle Anderen sperren**
Nun sperren wir endgültig den MySQL Port für alle Anderen, die wir vorhin nicht freigegeben haben:

`iptables -A INPUT -p tcp --dport 3306 -j DROP`

**IPv6 Protokoll**
Sollte primär oder auch zusätzlich das neue IPv6-Protokoll verwendet werden, so müssen die Regeln ebenfalls für IPv6 eingestellt werden. Also geben wir erneut als ersten Schritt die IPv6 IPs frei:

```sh
ip6tables -A INPUT -p tcp --src 2a01:4f8:191:3481::1 --dport 3306 -j ACCEPT
ip6tables -A INPUT -p tcp --src 2a01:4f8:191:3481::2 --dport 3306 -j ACCEPT
```

…oder das gesamte /64 Subnetz mit dem Befehl:

`ip6tables -A INPUT -p tcp --src 2a01:4f8:191:3481::/64 --dport 3306 -j ACCEPT`

Am Ende müssen wir nun den Port für alle anderen Ipv6 Adressen ebenfalls blockieren:

`ip6tables -A INPUT -p tcp --dport 3306 -j DROP`

**Hinweise**

- MySQL lauscht bei der Einstellung “*bind-address 0.0.0.0*” nur auf IPv4 und nicht auf IPv6. Damit MySQL auf allen IPv6 Interfaces lauscht, muss stattdessen der Wert “*bind-address ::*” angegeben werden.
- Sollte eine Regel falsch hinzugefügt worden sein, muss man alle Regeln aus iptables entfernen und von erneut beginnen. Die Regeln lassen sich mit *iptables -F* bzw. *ip6tables -F* flushen (= leeren).
- Mehrere Ports (Port-Bereiche) können mit einem Doppelpunkt definiert werden. Zum Beispiel Port 100 bis 200: *ip6tables -A INPUT -p tcp –dport 100:200 -j DROP*

**Abschlusswort**
Wie man sehen kann, gibt es zwischen IPv4 und IPv6 nur einen kleinen Unterschied: Zwar muss man unbedingt dafür ip**6**tables dafür verwenden.

Als großes Manko gilt leider, dass es unter den Linux Kernel 3.7 kein IPv6 NAT gibt – das bedeutet, dass man nicht so einfach wie bei IPv4 einzelne Ports an andere IP Adressen weiterleiten kann. Es gibt Community Patches für Kernel Versionen unter 3.7, die es ebenfalls ermöglichen, nur ist dafür eine eigene Kompilation des Kernels erforderlich (was bei unerfahrenen Benutzern schlecht enden könnte!)

Wie das blockieren bzw. freigeben einzelner IPs (alle Ports) möglich ist, habe ich bereits kurz in einem eigenen Artikel erwähnt: [Linux: IP mit iptables blockieren und freigeben](https://patrik.kernstock.net/blog/linux-ip-mit-iptables-blockieren-freigeben)

##     Comments    

 Sort by: 

Loading comments...

---

## Navigation

- Parent: [Blog](https://patrik.kernstock.net/index.md)
- Previous: [QuickTipp: Passwort mit Hilfe von Linux generieren](https://patrik.kernstock.net/blog/quicktipp-passwort-mit-hilfe-von-linux-generieren.md)
- Next: [KVM: qcow2 Disk-Image mit Hilfe von qemu mounten](https://patrik.kernstock.net/blog/kvm-qcow2-disk-image-mit-hilfe-von-qemu-mounten.md)