Im ersten Teil unserer Serie haben wir ein solides Fundament gegossen. Der Root-Login ist deaktiviert, die SSH-Authentifizierung erfolgt sicher über Schlüssel und das aaPanel läuft versteckt hinter einem geheimen Entrance Token auf einem individuellen Port.
Doch "Security by Obscurity" (Sicherheit durch Unsichtbarkeit) reicht für eine echte Produktionsumgebung nicht aus. Ein grafisches Server-Management-Panel wie aaPanel erleichtert dir zwar die Administration erheblich, stellt jedoch gleichzeitig das wertvollste Ziel für Angreifer dar. Wer hier Zugriff erlangt, übernimmt die vollständige Kontrolle über das System.
Wenn du deinen aaPanel Server einrichten willst, ist dieser zweite Teil der Masterclass der wichtigste Schritt vor der Installation von Webservern oder Datenbanken. Wir loggen uns nun erstmals in das Web-Dashboard ein und ziehen eine doppelte Brandmauer hoch. Wir implementieren Zwei-Faktor-Authentifizierung (2FA), lösen den berüchtigten Firewall-Konflikt zwischen Linux UFW und aaPanel und etablieren Fail2ban als unerbittlichen Wachposten gegen Brute-Force-Angriffe.
Der erste Login und das Setup-Popup
Öffne deinen Browser und rufe die URL auf, die du in Teil 1 konfiguriert hast (z.B. http://DEINE_IP:54321/mein-geheimer-tresor-2026). Logge dich mit den generierten Administrator-Daten ein.
Direkt nach dem ersten Login präsentiert dir aaPanel das "Recommended software packages" Popup. Es fordert dich auf, zwischen LNMP (Linux, Nginx, MySQL, PHP) oder LAMP (mit Apache) zu wählen und die Installation zu starten.
Schließe dieses Fenster sofort.
Wir installieren niemals Webdienste, bevor das Panel selbst nicht hermetisch abgeriegelt ist. Das System muss sicher stehen, bevor wir die ersten Türen öffnen.
Die Verwaltungsschnittstelle härten
Die Härtung des Dashboards beginnt bei der Zugangssteuerung. Wir ändern zunächst die zufällig generierten Login-Daten und aktivieren danach zwingend einen zweiten Authentifizierungsfaktor.
Klicke im linken Menü auf Settings.
Panel user: Ändere den Standardnamen auf einen individuellen Benutzernamen.
Panel password: Vergebe ein starkes, langes Passwort (mindestens 16 Zeichen).
Nachdem das Fundament steht, aktivieren wir die native Time-based One-Time Password (TOTP) Funktion.
Scrolle in den Settings zum Bereich Security und aktiviere Google authentication. Es erscheint ein QR-Code. Scanne diesen mit deiner bevorzugten Authenticator-App (z.B. Google Authenticator, Authy oder Microsoft Authenticator) und trage den generierten sechsstelligen Code in das aaPanel ein, um die Verknüpfung zu bestätigen.
Ab sofort benötigt jeder Login neben dem Passwort zwingend diesen rotierenden Token. Selbst wenn ein Angreifer künftig deinen geheimen URL-Pfad findet und dein Passwort stiehlt, scheitert er an dieser Hürde.
Bild mit KI generiert.
Bild mit KI generiert.
UFW vs. aaPanel-Firewall: Konflikte auf Netzwerkebene vermeiden
Ubuntu wird standardmäßig mit der UFW (Uncomplicated Firewall) ausgeliefert. aaPanel hingegen bringt ein eigenes Firewall-Management-Plugin mit. Dieser Parallelbetrieb ist eine häufige Fehlerquelle bei der Härtung von Servern.
Beide Systeme – UFW und aaPanel – sind eigentlich nur grafische beziehungsweise vereinfachte Frontends. Unter der Haube schreiben beide ihre Regeln in denselben Linux-Kernel-Paketfilter (meist iptables oder nftables). Wenn du nun UFW per Kommandozeile konfigurierst und gleichzeitig Ports im aaPanel freigibst, kommt es unweigerlich zu Überschneidungen und Konflikten im Routing.
Um das System absolut stabil zu halten, etablieren wir ein klares Konzept: aaPanel übernimmt die alleinige Herrschaft über die Firewall.
Gehe im aaPanel in der linken Seitenleiste auf App Store und stelle sicher, dass das SYS Firewall Plugin (oft standardmäßig vorinstalliert) aktiv ist. Öffne die Einstellungen (Setting) dieses Plugins.
Hier etablieren wir nun das wichtigste Sicherheitsprinzip für Server: Deny by Default (Standardmäßige Verweigerung). Wir blockieren sämtlichen eingehenden Traffic und erlauben nur die Ports, die unsere Webanwendungen wirklich benötigen.
Räume die Port-Liste radikal auf. Lösche alle Einträge (wie 888, 20, 21 oder 3306), bis nur noch diese essenziellen Freigaben übrig sind:
Port 80 (TCP): Für unverschlüsselten HTTP-Traffic (wird später für SSL-Redirects und Let's Encrypt benötigt).
Port 443 (TCP): Für sicheren HTTPS-Traffic.
Dein SSH-Port (z. B. 22): Zwingend erforderlich für deinen Konsolenzugang per SSH-Key.
Dein neuer aaPanel-Port (z. B. 54321): Für den Zugriff auf das Dashboard.
Wenn du über eine feste statische IP-Adresse verfügst, erhöhst du die Sicherheit drastisch, indem du den SSH-Port und den aaPanel-Port auf genau diese Quell-IP beschränkst (über die Option "Source IP" im Firewall-Menü). Alle anderen IP-Adressen werden auf Netzwerkebene abgewiesen, noch bevor sie überhaupt den Login-Screen von aaPanel oder SSH erreichen können.
Zusätzlich aktivierst du im Firewall-Dashboard den Schalter Block ICMP. Dadurch antwortet dein Server nicht mehr auf einfache "Ping"-Anfragen. Botnetze, die massenhaft IP-Ranges auf der Suche nach aktiven Servern durchsuchen (sogenanntes "Host Discovery"), halten deinen Server so fälschlicherweise für offline.
Fail2ban direkt im Panel integrieren: Der automatische Türsteher
Eine restriktive Firewall blockt zwar geschlossene Ports, aber was passiert mit den freigegebenen Ports wie SSH? Selbst bei reiner Key-Authentifizierung werden automatisierte Skripte ununterbrochen versuchen, sich anzumelden. Jeder dieser Versuche kostet Server-Ressourcen und verstopft die Log-Dateien.
Hier kommt Fail2ban ins Spiel. Diese Software überwacht die Logfiles der Systemdienste (wie /var/log/auth.log) in Echtzeit. Sobald sie anomale Muster erkennt – beispielsweise drei fehlgeschlagene SSH-Login-Versuche von derselben IP-Adresse innerhalb von fünf Minuten – greift sie hart durch: Sie schreibt vollautomatisch eine neue Regel in die Firewall und blockiert die IP-Adresse des Angreifers komplett.
Die Integration in unser Dashboard ist nahtlos.
Wechsle im aaPanel in den Bereich App Store.
Suche nach Fail2ban (oder Fail2ban Manager) und klicke auf Install.
Nach der Installation öffnest du über Setting die Konfiguration.
Gehe in den Reiter sshd (oft auch "SSH protection" genannt).
Aktiviere die Regel. Setze Max retry auf einen niedrigen Wert (z. B. 3 oder 5).
Setze die Ban time (Sperrzeit) auf einen hohen Wert, beispielsweise 86400 Sekunden (entspricht 24 Stunden).
Ab sofort hast du einen unermüdlichen Wachposten installiert. Wenn Botnetze versuchen, deinen Server anzugreifen, sperren sie sich selbst nach wenigen Sekunden vollautomatisch aus, ohne dass du auch nur einen Finger rühren musst.
Durch diese Maßnahmen ist dein aaPanel Server einrichten auf Infrastruktur-Ebene abgeschlossen. Das Betriebssystem ist gepatcht, das Panel ist unsichtbar und durch eine doppelte Firewall-Kaskade (IP-Restriktionen, 2FA, Fail2ban) extrem gehärtet.
Wenn du dich bei der Konfiguration der Authorized IP vertippt hast oder sich deine dynamische IP-Adresse geändert hat, verweigert das Panel den Zugriff komplett. Da dein SSH-Zugang auf Portebene unabhängig vom Web-Dashboard arbeitet, loggst du dich einfach per Terminal ein. Führe den Befehl sudo bt aus und wähle die Option 13 (Cancel IP access restriction). Dadurch wird das IP-Whitelisting sofort aufgehoben und du kannst dich wieder einloggen.
UFW (Uncomplicated Firewall) ist das Standard-Sicherheitstool unter Ubuntu, agiert aber auf Betriebssystemebene. Wenn du einen aaPanel Server einrichten und verwalten willst, brauchst du eine synchrone Steuerung. Das SYS Firewall Plugin ersetzt UFW nicht, sondern fungiert als intelligentes grafisches Frontend dafür. Es stellt sicher, dass iptables-Regeln, die aaPanel für seine Dienste benötigt, nicht durch manuelle UFW-Befehle im Terminal überschrieben oder blockiert werden.
Ja, absolut. Wir haben Fail2ban in diesem Schritt primär für die Absicherung des SSH-Dienstes (sshd) konfiguriert, um das Betriebssystem zu schützen. Das Tool ist jedoch extrem flexibel. Du kannst im Fail2ban Manager des aaPanels jederzeit neue "Jails" anlegen. Diese durchsuchen dann beispielsweise die Nginx-Zugriffslogs (Access Logs) nach auffälligen URL-Aufrufen und blockieren die IP-Adressen von Spammern oder automatisierten Vulnerability-Scannern auf exakt demselben Weg.
Ein valides Let's Encrypt SSL-Zertifikat erfordert zwingend den Port 80 für die Domain-Verifizierung durch die Zertifizierungsstelle. Da wir auf unserem nackten Server noch keinen Webserver (Nginx) installiert haben, der diese Verifizierung sauber abfangen und routen kann, nutzen wir vorerst den HTTP-Zugriff über den geheimen Entrance-Token. Die vollständige SSL-Verschlüsselung des Panels richten wir ein, sobald unser Nginx-Reverse-Proxy läuft.
Dein nächster Schritt: Den Webserver-Stack kompilieren
Die Festung steht. Das Ubuntu-System ist durch SSH-Keys, 2FA, eine restriktive Firewall und Fail2ban hermetisch abgeriegelt. Das Fundament ist absolut sicher und bereit für die eigentliche Arbeitslast.
Im dritten Teil unserer Masterclass füllen wir den leeren Server mit Leben. Wir installieren die Motoren, die deine zukünftigen Webanwendungen antreiben. Wir kompilieren Nginx als unseren zentralen Hochleistungs-Webserver und richten parallele PHP-Versionen ein, um ältere und hochmoderne Backend-Systeme gleichzeitig unterstützen zu können.
Da moderne Headless-Architekturen (wie Next.js) eine Node.js-Laufzeitumgebung erfordern, etablieren wir zusätzlich den Node Version Manager (NVM) sowie PM2 direkt über das Dashboard. Du lernst, wie du diese unterschiedlichen Technologien auf demselben Server absolut konfliktfrei und ressourcenschonend orchestrierst.
Webinteger arbeitet seit vielen Jahren produktiv mit
Linux-basierten Entwicklungsumgebungen unter Windows. Der Fokus liegt auf
performanten Setups mit WSL 2, Docker, PHP, Node.js und modernen
Build-Tools in realen Projekten –
nicht auf theoretischen Beispielkonfigurationen.
Die Artikel dieser Serie entstehen direkt aus dem täglichen Einsatz in
Kunden- und Eigenprojekten und dokumentieren bewusst auch typische Fehler,
Engpässe und bewährte Workarounds.
Webseite besuchen
Bild mit KI generiert.
Symbolbild. Alle Markenrechte liegen bei den jeweiligen Inhabern. Bild mit KI generiert.
Bild mit KI generiert.