Welke diensten luisteren er op je VPS, en wat is van buitenaf bereikbaar?
Elk programma dat verbindingen aanneemt, luistert op een poort: SSH op 22, een webserver op 80 en 443, MariaDB op 3306. Elke poort die van buiten bereikbaar is, is een deur naar je server. Een website heeft van buiten meestal alleen 22, 80 en 443 nodig. Hier lees je hoe je ziet wat er luistert, op welk adres, en hoe je controleert wat de rest van internet ziet.
Kijken wat er luistert
Draai op je VPS:
sudo ss -tulpn
De opties betekenen: TCP (-t), UDP (-u), alleen luisterend (-l), welk programma (-p) en nummers in plaats van namen (-n). Een voorbeeld:
tcp LISTEN 0.0.0.0:22 users:(("sshd",...))
tcp LISTEN 0.0.0.0:443 users:(("nginx",...))
tcp LISTEN 127.0.0.1:3306 users:(("mariadbd",...))
tcp LISTEN 0.0.0.0:6379 users:(("redis-server",...))
tcp LISTEN [::]:22 users:(("sshd",...))
Belangrijk is de kolom Local Address, het adres waarop het programma luistert:
| Adres | Betekenis |
|---|---|
0.0.0.0 | Alle IPv4-adressen, dus ook je publieke adres: bereikbaar van buiten, tenzij een firewall het tegenhoudt |
[::] | Alle IPv6-adressen: hetzelfde voor IPv6 |
127.0.0.1 of [::1] | Alleen de server zelf (loopback): van buiten nooit bereikbaar |
127.0.0.53 of 127.0.0.54 | Ook loopback: de lokale DNS-hulp van systemd-resolved |
In het voorbeeld is MariaDB in orde: alleen programma's op de server zelf kunnen erbij. Redis luistert op alle adressen, en dat is precies de fout waar het om gaat.
Dichtzetten in de dienst zelf
Een database, cache of beheerscherm hoort bijna nooit van buiten bereikbaar te zijn. De beste eerste stap is dat de dienst alleen op loopback luistert. Op Debian en Ubuntu:
| Programma | Instelling | Bestand |
|---|---|---|
| MariaDB of MySQL | bind-address = 127.0.0.1 | /etc/mysql/mariadb.conf.d/50-server.cnf |
| PostgreSQL | listen_addresses = 'localhost' | /etc/postgresql/<versie>/main/postgresql.conf |
| Redis | bind 127.0.0.1 -::1 en protected-mode yes | /etc/redis/redis.conf |
Herstart daarna de dienst (zie Diensten beheren met systemctl op je VPS) en kijk opnieuw met ss -tulpn. Wil je zelf vanaf je laptop bij de database, gebruik dan een SSH-tunnel in plaats van een open poort, zie Een SSH-config: inloggen met een korte naam.
De firewall als tweede laag
Een firewall houdt tegen wat toch per ongeluk op alle adressen luistert. Hoe je ufw instelt, staat in Een firewall met ufw (of nftables). Vertrouw niet op één laag: een firewall kan uitstaan of een regel kan te ruim zijn.
ports:), gaan langs ufw heen. Een database met "3306:3306" is dan van buiten bereikbaar, ook als ufw zegt dat de poort dicht is. Zet er 127.0.0.1: voor, of publiceer de poort niet. Zie Docker en de firewall: poorten veilig publiceren.Van buitenaf controleren
ss laat zien wat er op de server luistert, maar niet wat je firewall doorlaat. De echte controle doe je vanaf een andere computer, niet vanaf de server zelf. Met nc (netcat) op Mac of Linux:
nc -vz -w 3 203.0.113.10 6379 nc -6 -vz -w 3 2001:db8::10 6379
Op Windows doet PowerShell hetzelfde met Test-NetConnection 203.0.113.10 -Port 6379. Vul je eigen IPv4- en IPv6-adres in; die staan in het VPS-scherm. De uitkomst lees je zo:
- Open (succeeded): er luistert iets en het is van buiten bereikbaar.
- Dicht (Connection refused): er luistert niets, of de firewall weigert actief.
- Gefilterd (time-out): een firewall gooit het verkeer stil weg.
Voor een database zijn dicht en gefilterd allebei goed. Test ook IPv6: een veelgemaakte fout is een firewall met alleen IPv4-regels, terwijl de dienst ook op [::] luistert. Een poortscanner zoals nmap kijkt naar meer poorten tegelijk; gebruik zo'n scanner alleen op je eigen server.
Je VPS is volledig zelfbeheer: welke diensten er luisteren en hoe je firewall staat, regel je zelf. Wij helpen met het WebOké-deel, zoals het VPS-scherm, het netwerk en snapshots.
Meer leren? Volg de gratis cursus VPS en Linux-serverbeheer, les 5.1 Poorten en luisterende diensten of les 5.2 Een firewall met ufw en nftables.