Wat is een firewall? server beveiliging

Een firewall is een essentieel onderdeel van je website beveiliging. Het beschermt je server tegen ongewenst verkeer en aanvallen. In dit artikel ontdek je hoe firewalls werken en waarom elke website er een nodig heeft.

Wat is een firewall precies?

Een firewall is software of hardware die netwerkverkeer controleert. Het fungeert als een digitale poortwachter tussen je server en het internet. Alleen toegestaan verkeer mag erdoor, verdachte activiteit wordt geblokkeerd.

De naam firewall komt van de brandmuren in gebouwen. Net zoals een brandmuur voorkomt dat vuur overslaat, voorkomt een digitale firewall dat aanvallen je server bereiken.

Firewalls bestaan al sinds de jaren 80. Ze zijn uitgegroeid tot een standaard beveiligingsmaatregel voor servers en netwerken. Geen enkele server zou zonder firewall op internet moeten staan.

Het basisprincipe is simpel: alles wat niet expliciet toegestaan is, wordt geblokkeerd. Dit heet het default-deny principe. Het is veiliger om alleen noodzakelijke poorten open te zetten.

Hoe werkt een firewall?

Een firewall analyseert elk pakketje data dat je server probeert te bereiken. Het checkt de bron, bestemming en type verkeer. Op basis van regels besluit de firewall of het verkeer doorgelaten wordt.

Deze regels configureer je zelf of worden automatisch ingesteld door je hosting provider. Typische regels zijn: sta HTTP verkeer (poort 80) toe, sta HTTPS (poort 443) toe, blokkeer alle andere poorten.

Voor uitgaand verkeer werkt het vergelijkbaar. Je kunt bepalen welke verbindingen je server mag maken naar buiten. Dit voorkomt dat malware contact maakt met command en control servers.

Moderne firewalls zijn slim. Ze kijken niet alleen naar poorten maar ook naar het soort verkeer. Ze herkennen aanvalspatronen en blokkeren die automatisch.

Verschillende soorten firewalls

Netwerk firewalls

Dit zijn traditionele firewalls die op netwerkniveau werken. Ze filteren verkeer op basis van IP adressen, poorten en protocollen. Elke hosting provider gebruikt netwerk firewalls om hun infrastructuur te beschermen.

Een netwerk firewall staat tussen het internet en je server. Alle verkeer passeert deze firewall. Het is de eerste verdedigingslinie tegen aanvallen.

Deze firewalls zijn krachtig maar relatief basaal. Ze weten niet wat er in een webpagina of database query staat. Ze kijken alleen naar technische aspecten van het netwerkverkeer.

Host-based firewalls

Dit zijn firewalls die op je server zelf draaien. Linux servers gebruiken vaak iptables of de modernere nftables. Windows servers hebben Windows Firewall.

Het voordeel is dat je zeer specifieke regels kunt maken per applicatie. Je kunt bijvoorbeeld MySQL alleen toegankelijk maken voor localhost.

Host firewalls werken samen met netwerk firewalls. Ze bieden een extra beschermingslaag. Als aanvallers door de netwerk firewall komen, stuit ze nog op de host firewall.

Web Application Firewalls (WAF)

Dit zijn gespecialiseerde firewalls voor webapplicaties. Ze begrijpen HTTP verkeer en kunnen aanvallen herkennen die gericht zijn op websites.

Een WAF beschermt tegen SQL injection, cross-site scripting (XSS) en andere web aanvallen. Dit zijn bedreigingen die traditionele firewalls niet kunnen detecteren.

Services zoals Cloudflare en Sucuri bieden WAF functionaliteit. Ook veel hosting providers hebben WAF bescherming ingebouwd in hun paketten.

Waarom is een firewall belangrijk?

Bescherming tegen aanvallen

Elke server op internet wordt voortdurend gescand en aangevallen door bots. Zonder firewall staat je server wagenwijd open voor deze aanvallen.

Aanvallers proberen bekende kwetsbaarheden te misbruiken. Ze scannen op open poorten en onbeveiligde services. Een firewall blokkeert deze pogingen automatisch.

Brute force aanvallen op SSH of control panels zijn dagelijkse kost. Een firewall kan deze detecteren en de aanvaller blokkeren na een aantal mislukte pogingen.

Verkeer filtering

Niet al het verkeer naar je server is gewenst. Een firewall helpt ongewenst verkeer te blokkeren. Dit bespaart bandbreedte en server resources.

Je kunt verkeer uit bepaalde landen blokkeren als je daar geen bezoekers verwacht. Of specifieke IP ranges blokkeren die bekend staan om spam en aanvallen.

Ook voor uitgaand verkeer is filtering handig. Het voorkomt dat gecompromitteerde scripts verbinding maken met externe servers.

Compliance en regelgeving

Veel regelgeving vereist het gebruik van firewalls. Als je credit card gegevens verwerkt, moet je voldoen aan PCI DSS standaarden. Een firewall is daar onderdeel van.

Ook AVG (GDPR) vereist passende beveiligingsmaatregelen. Een firewall is een basisvereiste om persoonsgegevens te beschermen.

Voor zakelijke websites en webshops is compliance niet optioneel. Een firewall helpt je voldoen aan deze eisen.

Logging en monitoring

Firewalls loggen alle verkeer en geblokkeerde aanvallen. Dit geeft inzicht in bedreigingen en helpt bij het opsporen van problemen.

Je kunt zien welke IP adressen je proberen aan te vallen. Of welke poorten er gescand worden. Deze informatie is waardevol voor beveiliging en troubleshooting.

Sommige firewalls sturen alerts bij verdachte activiteit. Zo kun je direct reageren op potentiële bedreigingen.

Veelvoorkomende firewall regels

Open poorten voor webverkeer

Poort 80 (HTTP) en 443 (HTTPS) moeten open staan voor websites. Dit zijn de standaard poorten die browsers gebruiken.

Voor mail servers heb je poorten 25 (SMTP), 110 (POP3), 143 (IMAP) en 587 (SMTP met TLS) nodig. Alleen als je email verstuurt of ontvangt.

FTP gebruikt poort 21, maar SFTP (veiliger) gebruikt poort 22 samen met SSH. Overweeg SFTP in plaats van onveilig FTP.

SSH toegang beperken

SSH (poort 22) is essentieel voor serverbeheer maar ook een geliefd doelwit. Beperk SSH toegang tot specifieke IP adressen als je een vast IP hebt.

Verander de standaard SSH poort naar een ongebruikelijk nummer. Dit voorkomt geautomatiseerde aanvallen op poort 22.

Gebruik SSH keys in plaats van wachtwoorden. En disable root login via SSH. Deze maatregelen maken SSH veel veiliger.

Rate limiting regels

Beperk het aantal verbindingen per IP adres. Dit helpt tegen brute force aanvallen en DDoS pogingen.

Een typische regel: maximaal 10 nieuwe verbindingen per seconde per IP. Legitieme gebruikers merken hier niets van, maar aanvallers worden vertraagd.

Ook per dienst kun je limits instellen. Bijvoorbeeld maximaal 5 login pogingen per minuut. Na overschrijding wordt het IP tijdelijk geblokkeerd.

Geo-blocking

Blokkeer landen waaruit je geen legitiem verkeer verwacht. Als je alleen in Nederland actief bent, kun je veel landen blokkeren.

Let op dat dit ook legitieme bezoekers kan uitsluiten. Iemand op vakantie of met VPN wordt ook geblokkeerd. Gebruik geo-blocking verstandig.

Voor bepaalde services (beheerinterfaces, SSH) is geo-blocking wel handig. Je admin panel hoeft niet bereikbaar te zijn vanuit het buitenland.

Firewall configureren

Bij managed hosting

Bij shared hosting of managed VPS is de firewall vaak vooraf geconfigureerd. De hosting provider zorgt voor de basisbeveiliging. Jij hoeft niets te doen.

Via het control panel kun je soms extra regels toevoegen. Bijvoorbeeld IP adressen whitelisten of specifieke poorten openen.

Voor de meeste gebruikers is de standaard configuratie voldoende. Alleen voor specifieke applicaties moet je misschien extra poorten openen.

Bij self-managed servers

Op een VPS of dedicated server zonder management ben je zelf verantwoordelijk. Je moet de firewall handmatig configureren.

Linux servers gebruiken meestal ufw (Uncomplicated Firewall) of direct iptables/nftables. Ufw is beginnersvriendelijk en geschikt voor de meeste scenario's.

Start met een default-deny policy. Blokkeer alles en open alleen noodzakelijke poorten. Dit is veiliger dan alles toestaan en aanvallen blokkeren.

Test je configuratie grondig voordat je de firewall activeert. Een fout kan je buiten sluiten van je eigen server. Zorg voor console toegang via je hosting provider.

Belangrijke tips

Begin met restrictieve regels. Je kunt altijd later poorten openen als dat nodig blijkt. Andersom (van open naar gesloten) is lastiger.

Documenteer je firewall regels. Schrijf op waarom elke regel bestaat. Dit helpt bij onderhoud en troubleshooting.

Test regelmatig of je firewall werkt. Gebruik online port scanners om te checken welke poorten open zijn. Sluit ongebruikte poorten direct.

Houd je firewall software up-to-date. Nieuwe versies bevatten vaak verbeterde bescherming en bugfixes.

Firewall vs andere beveiliging

Een firewall is belangrijk maar niet voldoende. Het is één laag in je beveiligingsstrategie. Andere lagen zijn ook noodzakelijk.

Software updates zijn essentieel. Een firewall kan kwetsbaarheden niet oplossen, alleen de exploitatie bemoeilijken. Houd je CMS, plugins en server software up-to-date.

Sterke wachtwoorden en two-factor authenticatie beschermen tegen ongeautoriseerde toegang. Zelfs met een perfecte firewall kunnen wachtwoorden gelekt of geraden worden.

Backups zijn je laatste verdedigingslinie. Als alles faalt en je site gehackt wordt, kun je herstellen vanaf een backup. Test backups regelmatig.

SSL certificaten versleutelen verkeer tussen bezoekers en je server. Een firewall controleert verkeer maar versleutelt het niet. Gebruik altijd HTTPS.

Veelgemaakte fouten

Te veel poorten open laten

De grootste fout is onnodige poorten open laten staan. Elke open poort is een potentieel risico. Sluit alles behalve wat echt nodig is.

Check regelmatig welke services draaien en welke poorten open zijn. Verwijder ongebruikte software en sluit de bijbehorende poorten.

Firewall uitschakelen bij problemen

Als iets niet werkt, is het verleidelijk om de firewall uit te schakelen. Dit is gevaarlijk. Zoek in plaats daarvan uit welke regel het probleem veroorzaakt.

Gebruik logging om te zien wat geblokkeerd wordt. Pas specifieke regels aan in plaats van de hele firewall uit te schakelen.

Eigen IP vergeten te whitelisten

Bij restrictieve SSH regels kun je jezelf buitensluiten. Zorg altijd dat je eigen IP (of VPN) toegang heeft voordat je strenge regels activeert.

Heb altijd een backup toegangsmethode zoals console toegang via het control panel. Dit redt je als je jezelf buitensluit.

Geen monitoring of alerts

Een firewall zonder monitoring is als een alarm zonder geluid. Log belangrijke events en stel alerts in voor verdachte activiteit.

Review firewall logs regelmatig. Herhaaldelijke blokkades van hetzelfde IP kunnen wijzen op een aanval. Patronen herkennen helpt je beveiliging verbeteren.

Firewall bij verschillende hosting types

Bij shared hosting heb je geen toegang tot de firewall. De provider beheert dit centraal voor alle klanten. Dit is meestal voldoende voor normale websites.

Bij VPS hosting hangt het af van managed of unmanaged. Managed VPS heeft firewall configuratie door de provider. Unmanaged VPS moet je zelf regelen.

Dedicated servers vereisen altijd eigen firewall configuratie. Je hebt volledige controle maar ook volledige verantwoordelijkheid.

Cloud hosting (AWS, Google Cloud, Azure) heeft eigen firewall systemen. Security groups bij AWS, firewalls bij Google Cloud. Deze werken anders dan traditionele firewalls.

Firewall is onmisbaar

Elke website heeft firewall bescherming nodig. Het is geen luxe maar een basisvereiste. Zonder firewall ben je een makkelijk doelwit voor aanvallen.

Bij het kiezen van hosting, check altijd of firewall bescherming inbegrepen is. Bij managed hosting is dit standaard. Bij self-managed servers moet je het zelf regelen.

Investeer tijd in goede firewall configuratie. Het beschermt je website, data en reputatie. De investering is minimaal vergeleken met de schade van een succesvolle aanval.

Meer informatie: WordPress.org documentatie

Gerelateerd: Wat is DDoS-bescherming? Website beschermen

Gerelateerd: Website beveiligen: complete checklist

Gerelateerd: Wat zijn backups en waarom zijn ze belangrijk voor je website?

Veelgestelde vragen

Wat kost webhosting gemiddeld?

Webhosting kost gemiddeld tussen de €3 en €15 per maand voor shared hosting. VPS hosting begint rond €10-€20 per maand, en dedicated servers vanaf €50 per maand.

Kan ik later upgraden naar een ander pakket?

Ja, bij de meeste hosting providers kun je eenvoudig upgraden naar een groter pakket wanneer je website groeit. Dit kan meestal zonder downtime.

Is Nederlandse hosting beter dan buitenlandse?

Voor Nederlandse bezoekers is Nederlandse hosting vaak sneller door de kortere afstand. Daarnaast is communicatie met support makkelijker en voldoe je aan de AVG/GDPR wetgeving.