Firewall

Dit is een oude revisie van het document!

De Tulpencraft-servers gebruiken firewalld als host-based firewall op Rocky Linux 10.

De firewall vormt een belangrijke beveiligingslaag tussen het Tulpencraft-netwerk, externe verbindingen en de verschillende interne diensten.

Het uitgangspunt is:

Alles wat niet expliciet noodzakelijk is, wordt geblokkeerd.

Backendservers zoals de lobby en gameservers zijn niet rechtstreeks vanaf internet bereikbaar. Spelers verbinden uitsluitend met de centrale Velocity Proxy.

De netwerkarchitectuur is opgebouwd rond een centrale proxy:

Internet
   │
   │ TCP 25565
   ▼
┌─────────────────────┐
│   Velocity Proxy    │
│   mc-proxy001       │
└─────────┬───────────┘
          │
          │ intern netwerk
          ▼
┌─────────────────────┐
│        Lobby        │
│     mc-proxy001     │
└─────────┬───────────┘
          │
          ├──────────► Survival VM
          │
          ├──────────► Event servers
          │
          └──────────► Toekomstige gameservers

De lobby en proxy draaien momenteel vanwege de opbouwfase op dezelfde host.

De gameservers draaien als afzonderlijke VM's op de beschikbare Proxmox-infrastructuur.

Alleen diensten die daadwerkelijk vanaf internet bereikbaar moeten zijn, krijgen een open firewallpoort.

Poort	Protocol	Dienst	Toegang
`25565`	TCP	Velocity Proxy	Publiek
`8192`	TCP	Votifier / NuVotifier	Publiek, indien gebruikt
`24454`	UDP	Simple Voice Chat	Publiek, per server

De Minecraft-spelers verbinden uitsluitend met:

tulpencraft.nl:25565

Backend Minecraft-poorten worden niet publiek geopend.

Voor proximity voice chat wordt Simple Voice Chat gebruikt.

Simple Voice Chat gebruikt standaard:

24454/UDP

Deze poort moet bereikbaar zijn vanaf internet. De voice-chatcommunicatie gebruikt UDP en staat los van de normale Minecraft TCP-verbinding.

Voor iedere server waarop Simple Voice Chat wordt aangeboden, moet een eigen bereikbare UDP-poort worden gebruikt wanneer meerdere servers dezelfde host/IP delen.

Bijvoorbeeld:

Server	Voice chat	Poort
Survival	Ja	`24454/UDP`
Events	Ja	`24455/UDP`
Toekomstige gameserver	Ja	eigen UDP-poort

De exacte poortindeling wordt vastgelegd zodra de betreffende gameservers worden ingericht.

Let op: Simple Voice Chat kan niet worden behandeld als gewone Minecraft TCP-traffic. Alleen TCP 25565 openen is onvoldoende voor voice chat.

De configuratie bevindt zich bij Paper doorgaans in:

plugins/voicechat/voicechat-server.properties

De standaardconfiguratie gebruikt poort 24454.

Voor toekomstige stemintegratie kan NuVotifier worden gebruikt.

De standaardpoort van NuVotifier is:

8192/TCP

NuVotifier luistert standaard op TCP-poort 8192, tenzij in de configuratie een andere poort wordt ingesteld.

Wanneer Votifier daadwerkelijk wordt geactiveerd, wordt alleen de daarvoor benodigde poort extern geopend.

Internet
   │
   └── TCP 8192
          │
          ▼
      NuVotifier

De Votifier-poort mag niet zonder reden worden geopend wanneer de dienst niet actief is.

Het gebruikte Votifier-token wordt nooit in deze wiki opgeslagen.

De database wordt momenteel op dezelfde infrastructuur als de proxy/lobby gehost.

MySQL/MariaDB is een interne dienst en wordt niet publiek beschikbaar gesteld.

De standaardpoort:

3306/TCP

wordt daarom uitsluitend op het interne netwerk toegestaan.

Conceptueel:

Internet
   │
   │ ❌ TCP 3306
   ▼
Firewall
   │
   │
   └── Intern netwerk ──► MySQL/MariaDB

Alleen systemen die daadwerkelijk gebruikmaken van de database mogen verbinding maken.

Bijvoorbeeld:

Bron	Doel	Poort	Toegang
Lobby	Database	`3306/TCP`	Intern
Survival	Database	`3306/TCP`	Intern
Events	Database	`3306/TCP`	Intern
Internet	Database	`3306/TCP`	Geblokkeerd

Wanneer de database in de toekomst naar een afzonderlijke VM wordt verplaatst, blijft hetzelfde beveiligingsprincipe gelden.

Backendservers luisteren uitsluitend op interne adressen.

Voorbeeld:

Velocity
   │
   ├── Lobby       :25566
   ├── Survival    :25567
   └── Events      :25568

Deze poorten worden niet op de publieke interface geopend.

De firewall moet ervoor zorgen dat een externe gebruiker niet rechtstreeks verbinding kan maken met bijvoorbeeld:

<SERVER_IP>:25567

De enige publiek bedoelde Minecraft-ingang is:

<SERVER_IP>:25565

SSH wordt gebruikt voor systeembeheer.

De SSH-poort wordt uitsluitend beschikbaar gesteld voor beheer en wordt niet gebruikt voor Minecraft-verkeer.

Wanneer mogelijk wordt SSH beperkt tot:

vertrouwde beheeradressen;
het interne netwerk;
VPN-beheer;
of andere expliciet toegestane beheerbronnen.

SSH gebruikt uitsluitend key-based authentication.

Root-login via SSH is uitgeschakeld.

Zie ook:

De firewall wordt beheerd met firewalld.

Basiscontrole:

sudo firewall-cmd --state

Actieve configuratie bekijken:

sudo firewall-cmd --list-all

Alle zones bekijken:

sudo firewall-cmd --get-active-zones

Beschikbare services:

sudo firewall-cmd --get-services

Een poort kan tijdelijk worden geopend met:

sudo firewall-cmd --add-port=25565/tcp

Dit is vooral nuttig voor testen.

Een tijdelijke wijziging blijft niet noodzakelijk behouden na een reload/restart.

Wanneer een poort definitief onderdeel van de infrastructuur wordt:

sudo firewall-cmd --permanent --add-port=25565/tcp
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --list-ports

Voor de standaard voice-chatpoort:

sudo firewall-cmd --permanent --add-port=24454/udp
sudo firewall-cmd --reload

Controleren:

sudo firewall-cmd --list-ports

Verwacht:

24454/udp

Wanneer NuVotifier actief wordt:

sudo firewall-cmd --permanent --add-port=8192/tcp
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --list-ports

MySQL moet niet met:

--add-port=3306/tcp

zonder verdere beperking publiek worden geopend.

Wanneer MySQL op een afzonderlijke VM staat, wordt toegang bij voorkeur beperkt tot het interne netwerk of specifieke bronadressen.

Bijvoorbeeld:

Lobby VM
   │
   │ TCP 3306
   ▼
Database VM

De database accepteert vervolgens uitsluitend verbindingen vanuit bekende Tulpencraft-systemen.

De firewall volgt zoveel mogelijk het principe:

Internet
   │
   ▼
[ FIREWALL ]
   │
   ├── TCP 25565  → Velocity
   ├── TCP 8192   → NuVotifier (indien actief)
   ├── UDP 24454  → Simple Voice Chat
   └── overige    → DROP

Interne communicatie wordt afzonderlijk toegestaan waar noodzakelijk.

Een belangrijk onderdeel van de beveiligingsarchitectuur is dat spelers nooit rechtstreeks met backendservers communiceren.

Niet toegestaan:

Internet ──► Survival
Internet ──► Lobby
Internet ──► Events
Internet ──► Database

Wel toegestaan:

Internet
   │
   ▼
Velocity Proxy
   │
   ▼
Lobby
   │
   ├──► Survival
   ├──► Events
   └──► toekomstige servers

Hierdoor blijft de netwerkstructuur centraal beheersbaar.

Wanneer Tulpencraft verder groeit, kan de infrastructuur worden opgesplitst over meerdere VM's en/of fysieke nodes.

Een mogelijke toekomstige inrichting:

                    Internet
                       │
                       ▼
                ┌──────────────┐
                │    Proxy     │
                │   Velocity   │
                └──────┬───────┘
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
       Lobby        Survival      Events
          │            │            │
          └────────────┼────────────┘
                       │
                       ▼
                 Database VM

Elke VM krijgt daarbij uitsluitend de netwerktoegang die daadwerkelijk noodzakelijk is.

Iedere structurele firewallwijziging moet worden gedocumenteerd.

Bijvoorbeeld:

Datum:        2026-08-23
Server:       mc-proxy001
Poort:        24454/UDP
Dienst:       Simple Voice Chat
Reden:        Proximity voice chat
Toegang:      Publiek# Firewall
 
De Tulpencraft-servers gebruiken **firewalld** als host-based firewall.
 
Firewalld beheert netwerktoegang via zogenaamde **zones**, services, poorten en aanvullende regels. De configuratie kent daarbij een onderscheid tussen de actieve runtime-configuratie en de permanente configuratie.
 
De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening en Fail2Ban een belangrijke beveiligingslaag binnen Tulpencraft.
 
---
 
## 🎯 Doel
 
Het uitgangspunt voor de Tulpencraft-firewall is:
 
> **Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.**
 
Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.
 
Daarom wordt per server bepaald:
 
* welke services actief zijn;
* welke poorten noodzakelijk zijn;
* vanaf welke netwerken toegang nodig is;
* of een service publiek of uitsluitend intern bereikbaar moet zijn.
 
---
 
# 🌐 Netwerkarchitectuur
 
Tulpencraft gebruikt een centrale **Velocity Proxy** als toegangspunt.
 
```text
                         INTERNET
                            │
                            │ TCP 25565
                            ▼
                    ┌─────────────────┐
                    │ Velocity Proxy  │
                    │   mc-proxy001   │
                    └────────┬────────┘
                             │
                             ▼
                         Lobby
                             │
                ┌────────────┼────────────┐
                ▼            ▼            ▼
             Survival      Events      toekoms# Firewall
 
De Tulpencraft-servers gebruiken **firewalld** als host-based firewall.
 
Firewalld beheert netwerktoegang via zogenaamde **zones**, services, poorten en aanvullende regels. De configuratie kent daarbij een onderscheid tussen de actieve runtime-configuratie en de permanente configuratie.
 
De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening en Fail2Ban een belangrijke beveiligingslaag binnen Tulpencraft.
 
---
 
## 🎯 Doel
 
Het uitgangspunt voor de Tulpencraft-firewall is:
 
> **Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.**
 
Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.
 
Daarom wordt per server bepaald:
 
* welke services actief zijn;
* welke poorten noodzakelijk zijn;
* vanaf welke netwerken toegang nodig is;
* of een service publiek of uitsluitend intern bereikbaar moet zijn.
 
---
 
# 🌐 Netwerkarchitectuur
 
Tulpencraft gebruikt een centrale **Velocity Proxy** als toegangspunt.
 
```text
                         INTERNET
                            │
                            │ TCP 25565
                            ▼
                    ┌─────────────────┐
                    │ Velocity Proxy  │
                    │   mc-proxy001   │
                    └────────┬────────┘
                             │
                             ▼
                         Lobby
                             │
                ┌────────────┼────────────┐
                ▼            ▼            ▼
             Survival      Events      toekomst

De backendservers zijn niet bedoeld om rechtst# Firewall

De Tulpencraft-servers gebruiken firewalld als host-based firewall.

Firewalld beheert netwerktoegang via zogenaamde zones, services, poorten en aanvullende regels. De configuratie kent daarbij een onderscheid tussen de actieve runtime-configuratie en de permanente configuratie.

De firewall vormt samen met de netwerkarchitectuur, SELinux, SSH-hardening en Fail2Ban een belangrijke beveiligingslaag binnen Tulpencraft.

Het uitgangspunt voor de Tulpencraft-firewall is:

Alleen netwerkverkeer toestaan dat daadwerkelijk noodzakelijk is.

Een service die lokaal draait, betekent niet automatisch dat deze vanaf het netwerk bereikbaar moet zijn.

Daarom wordt per server bepaald:

welke services actief zijn;
welke poorten noodzakelijk zijn;
vanaf welke netwerken toegang nodig is;
of een service publiek of uitsluitend intern bereikbaar moet zijn.

Tulpencraft gebruikt een centrale Velocity Proxy als toegangspunt.

                         INTERNET
                            │
                            │ TCP 25565
                            ▼
                    ┌─────────────────┐
                    │ Velocity Proxy  │
                    │   mc-proxy001   │
                    └────────┬────────┘
                             │
                             ▼
                         Lobby
                             │
                ┌────────────┼────────────┐
                ▼            ▼            ▼
             Survival      Events      toekomst

De backendservers zijn niet bedoeld om rechtstreeks vanaf internet bereikbaar te zijn.

Dit betekent dat een speler niet rechtstreeks verbinding maakt met:

Survival
Lobby
Events

maar altijd via de netwerkarchitectuur van Tulpencraft.

De firewallservice wordt geleverd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

De service kan worden gecontroleerd met:

sudo systemctl status firewalld

Ingeschakeld bij het opstarten:

sudo systemctl is-enabled firewalld

Firewalld gebruikt zones om een vertrouwensniveau aan netwerkverbindingen te koppelen. Interfaces en bronnen kunnen aan een zone worden gekoppeld en binnen die zone worden services en poorten toegestaan.

De standaardzone kan worden bekeken met:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

De configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een server met een publiek netwerkinterface wordt doorgaans de public zone gebruikt.

Deze zone is bedoeld voor netwerken waarvan andere systemen niet automatisch worden vertrouwd. Alleen expliciet toegestane services en poorten worden beschikbaar gesteld.

Voor Tulpencraft is dit met name relevant voor de proxy.

De Velocity Proxy vormt het publieke toegangspunt van het Minecraft-netwerk.

De belangrijkste publiek toegankelijke poort is:

Poort	Protocol	Doel
`25565`	TCP	Minecraft / Velocity

De poort wordt expliciet geopend:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-ports

Verwacht onder andere:

25565/tcp

SSH is een beheerinterface en wordt niet beschouwd als een Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn, wordt de SSH-service expliciet toegestaan:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-services

SSH wordt daarnaast beschermd door de maatregelen beschreven in:

Server hardening

waaronder:

SSH-sleutels;
uitschakelen van directe root-login;
uitschakelen van wachtwoordauthenticatie;
Fail2Ban;
beperkte gebruikersrechten.

Backendservers zoals Survival en Events worden niet publiek aangeboden.

Het uitgangspunt is:

Internet
   │
   X
   │
Survival

maar:

Internet
   │
   ▼
Velocity
   │
   ▼
Survival

De firewall op een backendserver moet daarom geen algemene publieke Minecraft-poort openen.

De exacte interne netwerkregels zijn afhankelijk van de uiteindelijke netwerkconfiguratie van de Tulpencraft-infrastructuur.

De lobby bevindt zich momenteel op dezelfde host als de proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige kosten- en infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host draait als Velocity, hoeft de lobbypoort niet publiek beschikbaar te worden gesteld voor spelers.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM op de huidige Proxmox-infrastructuur.

De server is niet bedoeld als publiek Minecraft-entrypoint.

De gewenste netwerkstroom is:

Speler
  │
  ▼
Velocity
  │
  ▼
Survival

Niet:

Speler
  │
  ▼
Survival

De firewall en netwerkconfiguratie moeten deze architectuur ondersteunen.

Voor toekomstige Events-servers geldt hetzelfde uitgangspunt.

Een Events-server wordt niet zelfstandig aan het internet blootgesteld wanneer dit niet noodzakelijk is.

De gewenste architectuur is:

Speler
  │
  ▼
Velocity
  │
  ▼
Events

Eventuele uitzonderingen moeten worden gedocumenteerd.

Firewalld ondersteunt zowel vooraf gedefinieerde services als losse poortdefinities.

Een service is een verzameling van bijbehorende netwerkregels, bijvoorbeeld SSH, HTTP of HTTPS.

Voor standaarddiensten heeft het daarom de voorkeur om een service te gebruiken:

sudo firewall-cmd --permanent --add-service=ssh

Voor applicaties zonder geschikte standaardservice kan een specifieke poort worden geopend:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna:

sudo firewall-cmd --reload

Firewalld kent twee configuratielagen:

Een runtime-regel wordt direct actief, maar is niet automatisch blijvend na een reload of reboot.

Bijvoorbeeld:

sudo firewall-cmd --add-port=25565/tcp

Een permanente regel wordt opgeslagen in de firewallconfiguratie:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna wordt de actieve configuratie opnieuw geladen:

sudo firewall-cmd --reload

Voor productieservers gebruiken we bij voorkeur permanente configuratie, zodat de firewallconfiguratie na een reboot behouden blijft.

Volledige configuratie:

sudo firewall-cmd --list-all

Alle actieve zones:

sudo firewall-cmd --list-all-zones

Openstaande services:

sudo firewall-cmd --list-services

Openstaande poorten:

sudo firewall-cmd --list-ports

Beschikbare services:

sudo firewall-cmd --get-services

De actieve interfaces:

sudo firewall-cmd --get-active-zones

Deze commando's behoren tot de belangrijkste controles tijdens de hardening van een nieuwe server.

De firewallconfiguratie vertelt niet welke applicaties daadwerkelijk luisteren.

Daarom wordt ook gecontroleerd met:

sudo ss -tulpn

Dit maakt bijvoorbeeld zichtbaar:

Velocity
   └── 0.0.0.0:25565
 
SSH
   └── 0.0.0.0:22

Een belangrijke securitycontrole is daarom:

Welke poorten luisteren daadwerkelijk, en welke daarvan zijn via de firewall bereikbaar?

Een poort die niet nodig is, moet bij voorkeur helemaal niet door een applicatie worden geopend.

Wanneer een nieuwe service een netwerkpoort nodig heeft, wordt eerst bepaald:

waarom de poort nodig is;
of de service publiek of intern moet zijn;
welk protocol noodzakelijk is;
vanaf welke bronnen toegang noodzakelijk is;
of een bestaande firewalld-service gebruikt kan worden.

Daarna wordt de regel toegevoegd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --add-port=<PORT>/<PROTOCOL>
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --zone=public --list-all

Wanneer een dienst niet meer nodig is, wordt de firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=25565/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-ports

Niet iedere service hoeft vanaf het volledige internet bereikbaar te zijn.

Wanneer een service bijvoorbeeld uitsluitend vanaf een beheer-IP of intern netwerk bereikbaar moet zijn, kan firewalld hiervoor uitgebreidere regels gebruiken.

Hiervoor kunnen onder andere rich rules worden gebruikt. Firewalld ondersteunt hiermee bron- en bestemmingsadressen, logging en aanvullende voorwaarden.

Voorbeeldconcept:

Internet
   │
   X
   │
beheerpoort
 
Beheer-IP
   │
   ▼
beheerpoort

Dit heeft de voorkeur boven een publiek toegankelijke beheerinterface wanneer de netwerkarchitectuur dit mogelijk maakt.

Firewallgebeurtenissen kunnen onderdeel zijn van de algemene serverlogging.

De firewallservice:

sudo journalctl -u firewalld

Daarnaast kunnen kernel/netfilter-gerelateerde gebeurtenissen afhankelijk van de configuratie via het systeemlog beschikbaar zijn.

Firewalllogging wordt niet zonder reden maximaal aangezet.

Te uitgebreide logging kan zelf aanzienlijke hoeveelheden logdata produceren.

Firewalld en Fail2Ban vullen elkaar aan.

                  ┌──────────────┐
Internet ────────►│  firewalld   │
                  └──────┬───────┘
                         │
                         ▼
                    SSH / services
                         │
                         ▼
                    logbestanden
                         │
                         ▼
                    ┌──────────┐
                    │ Fail2Ban │
                    └────┬─────┘
                         │
                         ▼
                   tijdelijke ban

Firewalld bepaalt welke netwerktoegang überhaupt mogelijk is.

Fail2Ban reageert vervolgens op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

Zie:

Server hardening

voor de volledige hardeningconfiguratie.

Firewallwijzigingen worden gedocumenteerd wanneer ze structureel onderdeel worden van de serverconfiguratie.

Bijvoorbeeld:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`25565/tcp`
Dienst	Velocity
Bereik	Publiek
Reden	Minecraft-ingangspunt
Status	Actief

Hierdoor blijft duidelijk waarom een poort geopend is.

Een nieuwe Tulpencraft-server moet minimaal worden gecontroleerd op:

[ ] firewalld geïnstalleerd
[ ] firewalld actief
[ ] firewalld ingeschakeld bij boot
[ ] juiste zone vastgesteld
[ ] alleen noodzakelijke services toegestaan
[ ] alleen noodzakelijke poorten toegestaan
[ ] publieke en interne services onderscheiden
[ ] luisterende poorten gecontroleerd met ss
[ ] permanente configuratie gecontroleerd
[ ] firewallconfiguratie na reload gecontroleerd
[ ] SSH-toegang getest
[ ] Minecraft-netwerktoegang getest
[ ] backendservers niet onnodig publiek bereikbaar
[ ] firewallwijzigingen gedocumenteerd

De firewall is geen vervanging voor een correcte netwerkarchitectuur.

Tulpencraft gebruikt daarom meerdere beveiligingslagen:

Internet
   │
   ▼
┌───────────────────────┐
│   Externe toegang     │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│      firewalld        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Velocity Proxy        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Backend servers       │
│ Lobby / Survival etc. │
└───────────────────────┘

Daarbovenop worden onder andere SELinux, SSH-hardening, Fail2Ban, beperkte gebruikersrechten en regelmatige updates toegepast.

Het uitgangspunt blijft:

Een service die niet bereikbaar hoeft te zijn, wordt niet bereikbaar gemaakt.

Tulpencraft firewall baseline

De firewall wordt ingericht volgens het principe least exposure: alleen noodzakelijke netwerktoegang wordt toegestaan en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.

reeks vanaf internet bereikbaar te zijn.

Dit betekent dat een speler niet rechtstreeks verbinding maakt met:

Survival
Lobby
Events

maar altijd via de netwerkarchitectuur van Tulpencraft.

De firewallservice wordt geleverd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

De service kan worden gecontroleerd met:

sudo systemctl status firewalld

Ingeschakeld bij het opstarten:

sudo systemctl is-enabled firewalld

Firewalld gebruikt zones om een vertrouwensniveau aan netwerkverbindingen te koppelen. Interfaces en bronnen kunnen aan een zone worden gekoppeld en binnen die zone worden services en poorten toegestaan.

De standaardzone kan worden bekeken met:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

De configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een server met een publiek netwerkinterface wordt doorgaans de public zone gebruikt.

Deze zone is bedoeld voor netwerken waarvan andere systemen niet automatisch worden vertrouwd. Alleen expliciet toegestane services en poorten worden beschikbaar gesteld.

Voor Tulpencraft is dit met name relevant voor de proxy.

De Velocity Proxy vormt het publieke toegangspunt van het Minecraft-netwerk.

De belangrijkste publiek toegankelijke poort is:

Poort	Protocol	Doel
`25565`	TCP	Minecraft / Velocity

De poort wordt expliciet geopend:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-ports

Verwacht onder andere:

25565/tcp

SSH is een beheerinterface en wordt niet beschouwd als een Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn, wordt de SSH-service expliciet toegestaan:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-services

SSH wordt daarnaast beschermd door de maatregelen beschreven in:

Server hardening

waaronder:

SSH-sleutels;
uitschakelen van directe root-login;
uitschakelen van wachtwoordauthenticatie;
Fail2Ban;
beperkte gebruikersrechten.

Backendservers zoals Survival en Events worden niet publiek aangeboden.

Het uitgangspunt is:

Internet
   │
   X
   │
Survival

maar:

Internet
   │
   ▼
Velocity
   │
   ▼
Survival

De firewall op een backendserver moet daarom geen algemene publieke Minecraft-poort openen.

De exacte interne netwerkregels zijn afhankelijk van de uiteindelijke netwerkconfiguratie van de Tulpencraft-infrastructuur.

De lobby bevindt zich momenteel op dezelfde host als de proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige kosten- en infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host draait als Velocity, hoeft de lobbypoort niet publiek beschikbaar te worden gesteld voor spelers.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM op de huidige Proxmox-infrastructuur.

De server is niet bedoeld als publiek Minecraft-entrypoint.

De gewenste netwerkstroom is:

Speler
  │
  ▼
Velocity
  │
  ▼
Survival

Niet:

Speler
  │
  ▼
Survival

De firewall en netwerkconfiguratie moeten deze architectuur ondersteunen.

Voor toekomstige Events-servers geldt hetzelfde uitgangspunt.

Een Events-server wordt niet zelfstandig aan het internet blootgesteld wanneer dit niet noodzakelijk is.

De gewenste architectuur is:

Speler
  │
  ▼
Velocity
  │
  ▼
Events

Eventuele uitzonderingen moeten worden gedocumenteerd.

Firewalld ondersteunt zowel vooraf gedefinieerde services als losse poortdefinities.

Een service is een verzameling van bijbehorende netwerkregels, bijvoorbeeld SSH, HTTP of HTTPS.

Voor standaarddiensten heeft het daarom de voorkeur om een service te gebruiken:

sudo firewall-cmd --permanent --add-service=ssh

Voor applicaties zonder geschikte standaardservice kan een specifieke poort worden geopend:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna:

sudo firewall-cmd --reload

Firewalld kent twee configuratielagen:

Een runtime-regel wordt direct actief, maar is niet automatisch blijvend na een reload of reboot.

Bijvoorbeeld:

sudo firewall-cmd --add-port=25565/tcp

Een permanente regel wordt opgeslagen in de firewallconfiguratie:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna wordt de actieve configuratie opnieuw geladen:

sudo firewall-cmd --reload

Voor productieservers gebruiken we bij voorkeur permanente configuratie, zodat de firewallconfiguratie na een reboot behouden blijft.

Volledige configuratie:

sudo firewall-cmd --list-all

Alle actieve zones:

sudo firewall-cmd --list-all-zones

Openstaande services:

sudo firewall-cmd --list-services

Openstaande poorten:

sudo firewall-cmd --list-ports

Beschikbare services:

sudo firewall-cmd --get-services

De actieve interfaces:

sudo firewall-cmd --get-active-zones

Deze commando's behoren tot de belangrijkste controles tijdens de hardening van een nieuwe server.

De firewallconfiguratie vertelt niet welke applicaties daadwerkelijk luisteren.

Daarom wordt ook gecontroleerd met:

sudo ss -tulpn

Dit maakt bijvoorbeeld zichtbaar:

Velocity
   └── 0.0.0.0:25565
 
SSH
   └── 0.0.0.0:22

Een belangrijke securitycontrole is daarom:

Welke poorten luisteren daadwerkelijk, en welke daarvan zijn via de firewall bereikbaar?

Een poort die niet nodig is, moet bij voorkeur helemaal niet door een applicatie worden geopend.

Wanneer een nieuwe service een netwerkpoort nodig heeft, wordt eerst bepaald:

waarom de poort nodig is;
of de service publiek of intern moet zijn;
welk protocol noodzakelijk is;
vanaf welke bronnen toegang noodzakelijk is;
of een bestaande firewalld-service gebruikt kan worden.

Daarna wordt de regel toegevoegd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --add-port=<PORT>/<PROTOCOL>
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --zone=public --list-all

Wanneer een dienst niet meer nodig is, wordt de firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=25565/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-ports

Niet iedere service hoeft vanaf het volledige internet bereikbaar te zijn.

Wanneer een service bijvoorbeeld uitsluitend vanaf een beheer-IP of intern netwerk bereikbaar moet zijn, kan firewalld hiervoor uitgebreidere regels gebruiken.

Hiervoor kunnen onder andere rich rules worden gebruikt. Firewalld ondersteunt hiermee bron- en bestemmingsadressen, logging en aanvullende voorwaarden.

Voorbeeldconcept:

Internet
   │
   X
   │
beheerpoort
 
Beheer-IP
   │
   ▼
beheerpoort

Dit heeft de voorkeur boven een publiek toegankelijke beheerinterface wanneer de netwerkarchitectuur dit mogelijk maakt.

Firewallgebeurtenissen kunnen onderdeel zijn van de algemene serverlogging.

De firewallservice:

sudo journalctl -u firewalld

Daarnaast kunnen kernel/netfilter-gerelateerde gebeurtenissen afhankelijk van de configuratie via het systeemlog beschikbaar zijn.

Firewalllogging wordt niet zonder reden maximaal aangezet.

Te uitgebreide logging kan zelf aanzienlijke hoeveelheden logdata produceren.

Firewalld en Fail2Ban vullen elkaar aan.

                  ┌──────────────┐
Internet ────────►│  firewalld   │
                  └──────┬───────┘
                         │
                         ▼
                    SSH / services
                         │
                         ▼
                    logbestanden
                         │
                         ▼
                    ┌──────────┐
                    │ Fail2Ban │
                    └────┬─────┘
                         │
                         ▼
                   tijdelijke ban

Firewalld bepaalt welke netwerktoegang überhaupt mogelijk is.

Fail2Ban reageert vervolgens op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

Zie:

Server hardening

voor de volledige hardeningconfiguratie.

Firewallwijzigingen worden gedocumenteerd wanneer ze structureel onderdeel worden van de serverconfiguratie.

Bijvoorbeeld:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`25565/tcp`
Dienst	Velocity
Bereik	Publiek
Reden	Minecraft-ingangspunt
Status	Actief

Hierdoor blijft duidelijk waarom een poort geopend is.

Een nieuwe Tulpencraft-server moet minimaal worden gecontroleerd op:

[ ] firewalld geïnstalleerd
[ ] firewalld actief
[ ] firewalld ingeschakeld bij boot
[ ] juiste zone vastgesteld
[ ] alleen noodzakelijke services toegestaan
[ ] alleen noodzakelijke poorten toegestaan
[ ] publieke en interne services onderscheiden
[ ] luisterende poorten gecontroleerd met ss
[ ] permanente configuratie gecontroleerd
[ ] firewallconfiguratie na reload gecontroleerd
[ ] SSH-toegang getest
[ ] Minecraft-netwerktoegang getest
[ ] backendservers niet onnodig publiek bereikbaar
[ ] firewallwijzigingen gedocumenteerd

De firewall is geen vervanging voor een correcte netwerkarchitectuur.

Tulpencraft gebruikt daarom meerdere beveiligingslagen:

Internet
   │
   ▼
┌───────────────────────┐
│   Externe toegang     │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│      firewalld        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Velocity Proxy        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Backend servers       │
│ Lobby / Survival etc. │
└───────────────────────┘

Daarbovenop worden onder andere SELinux, SSH-hardening, Fail2Ban, beperkte gebruikersrechten en regelmatige updates toegepast.

Het uitgangspunt blijft:

Een service die niet bereikbaar hoeft te zijn, wordt niet bereikbaar gemaakt.

Tulpencraft firewall baseline

De firewall wordt ingericht volgens het principe least exposure: alleen noodzakelijke netwerktoegang wordt toegestaan en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.

t

De backendservers zijn niet bedoeld om rechtstreeks vanaf internet bereikbaar te zijn.

Dit betekent dat een speler niet rechtstreeks verbinding maakt met:

```text
Survival
Lobby
Events

maar altijd via de netwerkarchitectuur van Tulpencraft.

De firewallservice wordt geleverd door firewalld.

Status controleren:

sudo firewall-cmd --state

Verwachte uitvoer:

running

De service kan worden gecontroleerd met:

sudo systemctl status firewalld

Ingeschakeld bij het opstarten:

sudo systemctl is-enabled firewalld

Firewalld gebruikt zones om een vertrouwensniveau aan netwerkverbindingen te koppelen. Interfaces en bronnen kunnen aan een zone worden gekoppeld en binnen die zone worden services en poorten toegestaan.

De standaardzone kan worden bekeken met:

sudo firewall-cmd --get-default-zone

Actieve zones:

sudo firewall-cmd --get-active-zones

De configuratie van de actieve zone:

sudo firewall-cmd --list-all

Alle zones:

sudo firewall-cmd --list-all-zones

Voor een server met een publiek netwerkinterface wordt doorgaans de public zone gebruikt.

Deze zone is bedoeld voor netwerken waarvan andere systemen niet automatisch worden vertrouwd. Alleen expliciet toegestane services en poorten worden beschikbaar gesteld.

Voor Tulpencraft is dit met name relevant voor de proxy.

De Velocity Proxy vormt het publieke toegangspunt van het Minecraft-netwerk.

De belangrijkste publiek toegankelijke poort is:

Poort	Protocol	Doel
`25565`	TCP	Minecraft / Velocity

De poort wordt expliciet geopend:

sudo firewall-cmd --permanent --zone=public --add-port=25565/tcp
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-ports

Verwacht onder andere:

25565/tcp

SSH is een beheerinterface en wordt niet beschouwd als een Minecraft-netwerkdienst.

Wanneer SSH publiek bereikbaar moet zijn, wordt de SSH-service expliciet toegestaan:

sudo firewall-cmd --permanent --zone=public --add-service=ssh
sudo firewall-cmd --reload

Controle:

sudo firewall-cmd --zone=public --list-services

SSH wordt daarnaast beschermd door de maatregelen beschreven in:

Server hardening

waaronder:

SSH-sleutels;
uitschakelen van directe root-login;
uitschakelen van wachtwoordauthenticatie;
Fail2Ban;
beperkte gebruikersrechten.

Backendservers zoals Survival en Events worden niet publiek aangeboden.

Het uitgangspunt is:

Internet
   │
   X
   │
Survival

maar:

Internet
   │
   ▼
Velocity
   │
   ▼
Survival

De firewall op een backendserver moet daarom geen algemene publieke Minecraft-poort openen.

De exacte interne netwerkregels zijn afhankelijk van de uiteindelijke netwerkconfiguratie van de Tulpencraft-infrastructuur.

De lobby bevindt zich momenteel op dezelfde host als de proxy:

mc-proxy001
│
├── Velocity
│
└── Lobby

Dit is onderdeel van de huidige kosten- en infrastructuurkeuze.

Omdat de lobby lokaal op dezelfde host draait als Velocity, hoeft de lobbypoort niet publiek beschikbaar te worden gesteld voor spelers.

De proxy communiceert lokaal met de lobby.

Survival draait als afzonderlijke VM op de huidige Proxmox-infrastructuur.

De server is niet bedoeld als publiek Minecraft-entrypoint.

De gewenste netwerkstroom is:

Speler
  │
  ▼
Velocity
  │
  ▼
Survival

Niet:

Speler
  │
  ▼
Survival

De firewall en netwerkconfiguratie moeten deze architectuur ondersteunen.

Voor toekomstige Events-servers geldt hetzelfde uitgangspunt.

Een Events-server wordt niet zelfstandig aan het internet blootgesteld wanneer dit niet noodzakelijk is.

De gewenste architectuur is:

Speler
  │
  ▼
Velocity
  │
  ▼
Events

Eventuele uitzonderingen moeten worden gedocumenteerd.

Firewalld ondersteunt zowel vooraf gedefinieerde services als losse poortdefinities.

Een service is een verzameling van bijbehorende netwerkregels, bijvoorbeeld SSH, HTTP of HTTPS.

Voor standaarddiensten heeft het daarom de voorkeur om een service te gebruiken:

sudo firewall-cmd --permanent --add-service=ssh

Voor applicaties zonder geschikte standaardservice kan een specifieke poort worden geopend:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna:

sudo firewall-cmd --reload

Firewalld kent twee configuratielagen:

Een runtime-regel wordt direct actief, maar is niet automatisch blijvend na een reload of reboot.

Bijvoorbeeld:

sudo firewall-cmd --add-port=25565/tcp

Een permanente regel wordt opgeslagen in de firewallconfiguratie:

sudo firewall-cmd --permanent --add-port=25565/tcp

Daarna wordt de actieve configuratie opnieuw geladen:

sudo firewall-cmd --reload

Voor productieservers gebruiken we bij voorkeur permanente configuratie, zodat de firewallconfiguratie na een reboot behouden blijft.

Volledige configuratie:

sudo firewall-cmd --list-all

Alle actieve zones:

sudo firewall-cmd --list-all-zones

Openstaande services:

sudo firewall-cmd --list-services

Openstaande poorten:

sudo firewall-cmd --list-ports

Beschikbare services:

sudo firewall-cmd --get-services

De actieve interfaces:

sudo firewall-cmd --get-active-zones

Deze commando's behoren tot de belangrijkste controles tijdens de hardening van een nieuwe server.

De firewallconfiguratie vertelt niet welke applicaties daadwerkelijk luisteren.

Daarom wordt ook gecontroleerd met:

sudo ss -tulpn

Dit maakt bijvoorbeeld zichtbaar:

Velocity
   └── 0.0.0.0:25565
 
SSH
   └── 0.0.0.0:22

Een belangrijke securitycontrole is daarom:

Welke poorten luisteren daadwerkelijk, en welke daarvan zijn via de firewall bereikbaar?

Een poort die niet nodig is, moet bij voorkeur helemaal niet door een applicatie worden geopend.

Wanneer een nieuwe service een netwerkpoort nodig heeft, wordt eerst bepaald:

waarom de poort nodig is;
of de service publiek of intern moet zijn;
welk protocol noodzakelijk is;
vanaf welke bronnen toegang noodzakelijk is;
of een bestaande firewalld-service gebruikt kan worden.

Daarna wordt de regel toegevoegd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --add-port=<PORT>/<PROTOCOL>
sudo firewall-cmd --reload

Daarna controleren:

sudo firewall-cmd --zone=public --list-all

Wanneer een dienst niet meer nodig is, wordt de firewallregel verwijderd.

Bijvoorbeeld:

sudo firewall-cmd --permanent --zone=public --remove-port=25565/tcp
sudo firewall-cmd --reload

Daarna:

sudo firewall-cmd --zone=public --list-ports

Niet iedere service hoeft vanaf het volledige internet bereikbaar te zijn.

Wanneer een service bijvoorbeeld uitsluitend vanaf een beheer-IP of intern netwerk bereikbaar moet zijn, kan firewalld hiervoor uitgebreidere regels gebruiken.

Hiervoor kunnen onder andere rich rules worden gebruikt. Firewalld ondersteunt hiermee bron- en bestemmingsadressen, logging en aanvullende voorwaarden.

Voorbeeldconcept:

Internet
   │
   X
   │
beheerpoort
 
Beheer-IP
   │
   ▼
beheerpoort

Dit heeft de voorkeur boven een publiek toegankelijke beheerinterface wanneer de netwerkarchitectuur dit mogelijk maakt.

Firewallgebeurtenissen kunnen onderdeel zijn van de algemene serverlogging.

De firewallservice:

sudo journalctl -u firewalld

Daarnaast kunnen kernel/netfilter-gerelateerde gebeurtenissen afhankelijk van de configuratie via het systeemlog beschikbaar zijn.

Firewalllogging wordt niet zonder reden maximaal aangezet.

Te uitgebreide logging kan zelf aanzienlijke hoeveelheden logdata produceren.

Firewalld en Fail2Ban vullen elkaar aan.

                  ┌──────────────┐
Internet ────────►│  firewalld   │
                  └──────┬───────┘
                         │
                         ▼
                    SSH / services
                         │
                         ▼
                    logbestanden
                         │
                         ▼
                    ┌──────────┐
                    │ Fail2Ban │
                    └────┬─────┘
                         │
                         ▼
                   tijdelijke ban

Firewalld bepaalt welke netwerktoegang überhaupt mogelijk is.

Fail2Ban reageert vervolgens op herhaaldelijk ongewenst gedrag, bijvoorbeeld brute-forcepogingen op SSH.

Zie:

Server hardening

voor de volledige hardeningconfiguratie.

Firewallwijzigingen worden gedocumenteerd wanneer ze structureel onderdeel worden van de serverconfiguratie.

Bijvoorbeeld:

Onderdeel	Waarde
Server	`mc-proxy001`
Zone	`public`
Poort	`25565/tcp`
Dienst	Velocity
Bereik	Publiek
Reden	Minecraft-ingangspunt
Status	Actief

Hierdoor blijft duidelijk waarom een poort geopend is.

Een nieuwe Tulpencraft-server moet minimaal worden gecontroleerd op:

[ ] firewalld geïnstalleerd
[ ] firewalld actief
[ ] firewalld ingeschakeld bij boot
[ ] juiste zone vastgesteld
[ ] alleen noodzakelijke services toegestaan
[ ] alleen noodzakelijke poorten toegestaan
[ ] publieke en interne services onderscheiden
[ ] luisterende poorten gecontroleerd met ss
[ ] permanente configuratie gecontroleerd
[ ] firewallconfiguratie na reload gecontroleerd
[ ] SSH-toegang getest
[ ] Minecraft-netwerktoegang getest
[ ] backendservers niet onnodig publiek bereikbaar
[ ] firewallwijzigingen gedocumenteerd

De firewall is geen vervanging voor een correcte netwerkarchitectuur.

Tulpencraft gebruikt daarom meerdere beveiligingslagen:

Internet
   │
   ▼
┌───────────────────────┐
│   Externe toegang     │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│      firewalld        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Velocity Proxy        │
└──────────┬────────────┘
           │
           ▼
┌───────────────────────┐
│ Backend servers       │
│ Lobby / Survival etc. │
└───────────────────────┘

Daarbovenop worden onder andere SELinux, SSH-hardening, Fail2Ban, beperkte gebruikersrechten en regelmatige updates toegepast.

Het uitgangspunt blijft:

Een service die niet bereikbaar hoeft te zijn, wordt niet bereikbaar gemaakt.

Tulpencraft firewall baseline

De firewall wordt ingericht volgens het principe least exposure: alleen noodzakelijke netwerktoegang wordt toegestaan en backendservers worden niet rechtstreeks aan het publieke internet blootgesteld.

Hierdoor blijft inzichtelijk waarom een poort geopend is en kan ongebruikte toegang later worden verwijderd.

---

## Beveiligingsprincipes

De firewallconfiguratie van Tulpencraft volgt deze uitgangspunten:

1. **Default deny**
2. Alleen noodzakelijke poorten worden geopend.
3. Backendservers zijn niet publiek bereikbaar.
4. Databaseverkeer blijft intern.
5. Voice chat gebruikt uitsluitend de daarvoor bestemde UDP-poorten.
6. Votifier wordt alleen geopend wanneer deze dienst daadwerkelijk actief is.
7. Firewallwijzigingen worden gedocumenteerd.
8. Ongebruikte poorten worden verwijderd.
9. Publieke diensten worden zo veel mogelijk geconcentreerd op de proxy.
10. Interne diensten worden beperkt tot noodzakelijke bronadressen.

---

## Controle

Na wijzigingen moet worden gecontroleerd welke poorten daadwerkelijk luisteren:

```bash
sudo ss -tulpn

En welke poorten door firewalld zijn toegestaan:

sudo firewall-cmd --list-all

Ook moet worden gecontroleerd of een dienst daadwerkelijk alleen op het bedoelde adres luistert.

Bijvoorbeeld:

0.0.0.0:3306

is wezenlijk anders dan:

127.0.0.1:3306

of een specifiek intern IP-adres.

Belangrijk: een poort openen in firewalld betekent niet automatisch dat een dienst veilig of correct geconfigureerd is. De applicatie zelf moet eveneens correct worden gebonden aan het juiste netwerkinterface en correct worden beveiligd.

Firewall

Firewallarchitectuur

Externe poorten

Minecraft

Simple Voice Chat

Votifier / NuVotifier

MySQL / MariaDB

Backend Minecraft-servers

SSH

firewalld

Poort tijdelijk openen

Poort permanent openen

Voorbeeld: Simple Voice Chat

Voorbeeld: Votifier

MySQL intern toestaan

Default-deny principe

Geen directe backendtoegang

Toekomstige infrastructuur

Firewallwijzigingen documenteren

🎯 Doel

🌐 Netwerkarchitectuur

🔥 Firewalld

🗂️ Zones

🌍 Public zone

🚪 Proxy-firewall

🔐 SSH

🏠 Backendservers

🏠 Lobby

🧱 Survival

🎮 Events

📦 Services versus poorten

⚠️ Runtime versus permanent

Runtime

Permanent

🔍 Firewallconfiguratie controleren

👀 Luisterende poorten controleren

🧪 Nieuwe poort openen

🗑️ Poort verwijderen

🔒 Bron-IP beperken

📝 Logging

🛡️ Firewall en Fail2Ban

🔄 Wijzigingen documenteren

📋 Firewall-baseline

🌷 Tulpencraft firewallbeleid

🔗 Gerelateerde documentatie

🔥 Firewalld

🗂️ Zones

🌍 Public zone

🚪 Proxy-firewall

🔐 SSH

🏠 Backendservers

🏠 Lobby

🧱 Survival

🎮 Events

📦 Services versus poorten

⚠️ Runtime versus permanent

Runtime

Permanent

🔍 Firewallconfiguratie controleren

👀 Luisterende poorten controleren

🧪 Nieuwe poort openen

🗑️ Poort verwijderen

🔒 Bron-IP beperken

📝 Logging

🛡️ Firewall en Fail2Ban

🔄 Wijzigingen documenteren

📋 Firewall-baseline

🌷 Tulpencraft firewallbeleid

🔗 Gerelateerde documentatie

🔥 Firewalld

🗂️ Zones

🌍 Public zone

🚪 Proxy-firewall

🔐 SSH

🏠 Backendservers

🏠 Lobby

🧱 Survival

🎮 Events

📦 Services versus poorten

⚠️ Runtime versus permanent