DDoS-Angriffe lassen sich in drei große Familien einteilen: volumetrische Floods, die Ihre Anbindung sättigen, Protokollangriffe, die den Verbindungsstatus erschöpfen, und Angriffe auf Anwendungsebene, die wie legitimer Traffic aussehen. Jede Form erschöpft eine andere Ressource, jede braucht daher eine andere Verteidigung, und keine einzelne Schicht stoppt alle drei. Dieser Leitfaden ordnet die gängigen Angriffsformen der Ressource zu, die sie angreifen, sowie der Mitigation, die tatsächlich dagegen wirkt, erklärt, was eine Firewall auf dem Server stoppen kann und was nicht, und endet mit einem praktischen Incident-Response-Runbook für den Ernstfall.

Ein frischer Linux-Server wird ohne jede Firewallregel ausgeliefert. Jeder Listener, den Sie starten, ist sofort aus dem gesamten Internet erreichbar. Die Lösung ist eine kurze, gut verstandene Baseline: default-deny für eingehenden Verkehr, established Traffic zulassen und eine explizite Allowlist für die Dienste, die Sie tatsächlich betreiben. Diese Anleitung baut diese Baseline in nftables Regel für Regel auf, erklärt die Punkte, bei denen fast jeder etwas falsch macht (ICMP und IPv6), zeigt dieselbe Policy in ufw und firewalld, behandelt, wie Sie sich nicht selbst aussperren, und geht auf die Falle beim Veröffentlichen von Docker-Ports ein.

Wenn Ihr Server eine aktuelle Debian-, Ubuntu- oder RHEL-Familien-Distro betreibt, laufen Ihre "iptables"-Regeln so gut wie sicher bereits innerhalb von nftables. Der iptables-Befehl ist seit 2019 ein Kompatibilitäts-Shim. Die eigentliche Frage ist nicht, wer gewinnt; sie ist, ob Sie weiterhin Regeln in einer Legacy-Syntax oben auf der neuen Engine schreiben wollen. Dieser Leitfaden behandelt, was sich architektonisch tatsächlich geändert hat, einen Syntax-Vergleich Seite an Seite, was die ehrlichen Performance-Daten sagen, und einen Migrationspfad, der Docker nicht bricht und Sie nicht aussperrt.