Zum Hauptinhalt springen

UNABHÄNGIGES WISSENSFORUM Unabhängige Hosting-Community • Keine offizielle Verbindung zur netcup GmbH.

EN DE 中文
NETCUP GUIDE
FORUM · GUTSCHEINPOOL
Praxiserprobte Engineering-Runbooks Geprüft auf Ubuntu 24.04 LTS & Debian 12

Netcup Technische Wissensdatenbank & Linux-Tutorials

Jedes Tutorial enthält Voraussetzungen, Schwierigkeitsgrad, Zeitaufwand, geprüfte Kommandos, Befehlserklärungen, erwartete Ausgaben, Sicherheitshinweise und Fehlerbehebung für Ubuntu 24.04 LTS und Debian 12 auf Netcup KVM-Servern.

Praxis-Runbook #1 Ubuntu 24.04 LTS / Debian 12 • Netplan

1. Natives Netcup /64 IPv6 Statisches Routing (fe80::1 Link-Local Gateway & on-link: true)

Netcup weist jedem VPS und Root-Server eine statische /32 IPv4-Adresse und ein vollständiges geroutetes /64 IPv6-Subnetz (z. B. 2a03:4000:xx:xxxx::/64) über das Link-Local-Gateway fe80::1 zu. Nutzen Sie folgende Netplan-Konfiguration unter /etc/netplan/50-cloud-init.yaml: 

network:
  version: 2
  ethernets:
    eth0:
      dhcp4: true
      dhcp6: false
      accept-ra: false
      addresses:
        - "2a03:4000:60:1234::1/64"
        - "2a03:4000:60:1234::2/64"
      routes:
        - to: "::/0"
          via: "fe80::1"
          on-link: true
      nameservers:
        addresses:
          - 46.38.225.230
          - 46.38.252.230
          - 2a03:4000:0:1::e1e6

Sichere Überprüfung: Setzen Sie die Dateirechte mit sudo chmod 0600 /etc/netplan/*.yaml, testen Sie mit 60 Sekunden Rollback-Schutz per sudo netplan try --timeout 60 und prüfen Sie die Verbindung mit ping6 -c 4 2606:4700:4700::1111. Erlauben Sie zudem ICMPv6 in der SCP-Firewall für NDP. Komplettes IPv6-Tutorial öffnen →

Praxis-Runbook #2 Docker Engine + UFW + SCP Firewall

2. Behebung des Docker-UFW-Firewall-Bypasses (DOCKER-USER Chain & SCP Stateful Firewall)

Beim Starten von docker run -p 5432:5432 manipuliert Docker direkt die iptables-Ketten nat (PREROUTING) und DOCKER vor der UFW-INPUT-Chain – wodurch Container-Ports trotz ufw default deny incoming öffentlich erreichbar sind. Kombinieren Sie Loopback-Binding mit DOCKER-USER-Regeln: 

# Schutzschicht 1 (Empfohlen): Container-Ports in docker-compose.yml strikt an 127.0.0.1 binden
ports:
  - "127.0.0.1:5432:5432"

# Schutzschicht 2: DOCKER-USER Regeln an /etc/ufw/after.rules anhängen
*filter
:ufw-user-forward - [0:0]
:ufw-docker-logging-deny - [0:0]
:DOCKER-USER - [0:0]
-A DOCKER-USER -j ufw-user-forward
-A DOCKER-USER -j RETURN -s 10.0.0.0/8
-A DOCKER-USER -j RETURN -s 172.16.0.0/12
-A DOCKER-USER -j RETURN -s 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -d 172.16.0.0/12
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 192.168.0.0/16
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 10.0.0.0/8
-A DOCKER-USER -j ufw-docker-logging-deny -p udp -m udp --dport 0:32767 -d 172.16.0.0/12
-A DOCKER-USER -j RETURN
-A ufw-docker-logging-deny -m limit --limit 3/min --limit-burst 10 -j LOG --log-prefix "[UFW DOCKER BLOCK] "
-A ufw-docker-logging-deny -j DROP
COMMIT

Schutzschicht 3 (Netcup Hypervisor-Vorteil): Aktivieren Sie zusätzlich die Netcup SCP Stateful Firewall auf Hypervisor-Ebene und erlauben Sie nur TCP 22, 80, 443 sowie UDP 443/51820. Komplettes Docker-Sicherheitstutorial öffnen →

Alle 15 Produktions-Engineering- & Linux-Administrations-Tutorials

Einsteiger 25 Min.

Ubuntu 24.04 LTS auf einem Netcup VPS oder Root-Server einrichten & absichern (Produktions-Runbook)

Sobald ein frisch bereitgestellter Netcup VPS oder Root-Server die Installation von Ubuntu 24.04 LTS im Server Control Panel (SCP) abgeschlossen hat, entscheiden die ersten 25 Minuten des System-Engineerings darüber, ob Ihr Server über Jahre hinweg stabil läuft oder unter inkonsistenten Live-Snapshots, SSH-Brute-Force-Wellen und suboptimalem TCP-Durchsatz leidet. Dieses Produktions-Runbook führt Sie Schritt für Schritt durch die Überprüfung der paravirtualisierten KVM-Treiber (virtio_scsi und virtio_net), die Installation des QEMU Guest Agents für konsistente SCP-Live-Snapshots (fsfreeze), das Anlegen eines unprivilegierten Administratorkontos, das Tuning von NVMe-Swap und Google TCP BBR (fq qdisc) für 1 Gbit/s- und 2,5 Gbit/s-Interfaces sowie die Härtung von OpenSSH (ssh.socket) und UFW.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Einsteiger 20 Min.

Docker Engine auf einem Netcup VPS oder Root-Server installieren (inkl. Fix für den UFW-Firewall-Bypass)

Da jeder Netcup VPS und Root-Server auf echter QEMU/KVM-Hardwarevirtualisierung statt auf einem geteilten LXC/OpenVZ-Kernel basiert, läuft die Docker Engine mit nativer Geschwindigkeit und ohne jegliche cgroupv2- oder overlay2-Einschränkungen. Wer jedoch einfach apt install docker.io ausführt, erhält veraltete Distributionspakete, unbegrenzt wachsende JSON-Container-Logs, die früher oder später Ihre SSD/NVMe füllen, und eine gefährliche Sicherheitslücke, bei der Docker stillschweigend Ihre UFW-Firewall-Regeln umgeht. Diese Anleitung installiert die offizielle Upstream-Docker-CE-Suite und härtet sowohl das Daemon-Logging als auch das Netzwerk-Port-Binding ab.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Einsteiger 25 Min.

Hochperformantes WordPress auf Netcup bereitstellen (Plesk Webhosting vs. Docker + Redis Stack)

Netcup bietet Ihnen zwei grundlegend verschiedene Architekturpfade für das Hosting von WordPress – und wer sich gleich zu Beginn für den passenden Pfad entscheidet, erspart sich später aufwendige Migrationen. Pfad A nutzt Netcup Webhosting 2000 oder Webhosting 4000 inklusive Managed Plesk Obsidian, 3 bis 6 kostenlosen Inklusiv-.de-Domains, verwaltetem Mailserver und null Linux-Wartungsaufwand. Pfad B nutzt einen Netcup VPS 1000 G12.5 (8 GB ECC-RAM) oder RS 1000 G12.5 (4 dedizierte AMD EPYC Zen 5 Kerne) für einen isolierten Docker-Compose-Stack mit PHP-FPM 8.3 OPcache, MariaDB 11 mit 2 GB InnoDB-Buffer-Pool (O_DIRECT) und persistentem In-Memory Redis Object Cache für Antwortzeiten (TTFB) unter 50 ms.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 20 Min.

Nginx als hochperformanten HTTP/2- & HTTP/3-Reverse-Proxy auf Netcup konfigurieren

Ein optimal abgestimmter Nginx-Edge-Reverse-Proxy vor Ihren Docker-Containern, Node.js/Go-APIs oder Python-Gunicorn-Workern auf einem Netcup-Server ermöglicht es Ihnen, TLS 1.3 und HTTP/3 (QUIC) zentral zu terminieren, persistente Upstream-Keepalive-Verbindungen zu bündeln, IP-basiertes Rate-Limiting gegen Credential-Stuffing durchzusetzen und statische Assets direkt aus dem Linux-Kernel-Page-Cache (sendfile on) auszuliefern. Dieser Leitfaden liefert eine produktionsreife Nginx-Konfiguration für Multi-Core AMD EPYC Netcup-Nodes.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Einsteiger 20 Min.

Cloudflare auf Netcup einrichten (Full Strict SSL, echte Besucher-IPs & Origin-Firewall-Lock)

Das Vorschalten des globalen Anycast-CDNs und der Web Application Firewall (WAF) von Cloudflare vor Ihren Netcup VPS oder Root-Server speichert statische Assets an über 300 Edge-Standorten weltweit zwischen und schirmt Ihre Origin-IP ab. Dennoch treten bei 80 % aller Cloudflare-Setups drei gravierende Fehler auf: die Nutzung von „Flexible“ SSL (wodurch Daten unverschlüsselt per HTTP nach Nürnberg/Wien übertragen werden), das Protokollieren von Cloudflare-Edge-IPs statt echter Besucher-IPs in Nginx/Fail2ban und offen gelassene Ports 80/443 für Nicht-Cloudflare-IPs, sodass Angreifer Ihre WAF direkt umgehen können. Dieses Runbook behebt alle drei Probleme.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 20 Min.

Geroutetes IPv6 (/64), Gateway fe80::1, rDNS & Docker-IPv6 auf Netcup konfigurieren

Jeder Netcup VPS und Root-Server – vom kompakten VPS pico G11.5s bis zum dedizierten RS 1000 G12.5 – enthält eine eigene statische IPv4-Adresse (/32) sowie ein voll geroutetes IPv6-/64-Subnetz (2a03:4000:... in Europa) mit 1,84 × 10¹⁹ Adressen. Allerdings nutzt Netcups IPv6-Architektur ein festes Link-Local-Default-Gateway (fe80::1) und setzt voraus, dass Router Advertisements (accept-ra: false) bei statischer Konfiguration deaktiviert werden. Wer dieses Detail übersieht, erlebt alle paar Minuten mysteriöse IPv6-Verbindungsabbrüche. Hier finden Sie die exakte Konfiguration für Ubuntu 24.04 Netplan, Debian 12, Reverse DNS (PTR) und Docker-IPv6.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Einsteiger 15 Min.

Ed25519 SSH-Schlüssel, Multiplexing & OpenSSH-Hardening auf Netcup einrichten

Jede öffentliche IPv4-Adresse im Internet wird innerhalb von 90 Sekunden nach der Bereitstellung von automatisierten SSH-Botnetzen gescannt. Durch den konsequenten Ersatz von Passwort-Logins durch moderne Ed25519-Elliptische-Kurven-Schlüssel (ssh-ed25519) – oder hardwaregestützte FIDO2/YubiKey-Schlüssel (ssh-ed25519-sk) – sinkt das Risiko erfolgreicher Brute-Force-Angriffe auf null. Diese Anleitung behandelt die Schlüsselerzeugung mit 100 KDF-Runden, Client-Multiplexing (ControlMaster), modernes OpenSSH-Cipher/KEX-Hardening und die neue ssh.socket-Architektur von Ubuntu 24.04.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 25 Min.

Linux VPS oder Root-Server auf Netcup absichern (5-Schichten Defense-in-Depth Blueprint)

Sich auf eine einzige Sicherheitsmaßnahme (wie UFW allein) zu verlassen, macht einen Produktionsserver verwundbar: Ein einziger docker run -p-Befehl kann UFW umgehen, und eine ungepatchte OpenSSL-Bibliothek im RAM bleibt selbst nach einem apt upgrade angreifbar, solange der zugehörige Dienst nicht neu gestartet wird. Dieser Leitfaden implementiert eine 5-schichtige Defense-in-Depth-Architektur speziell für Netcup KVM-Server – von der zustandsbehafteten SCP Hypervisor-Firewall über Dual-Stack-UFW und Fail2ban mit systemd-Backend bis hin zu Kernel-sysctl-Hardening und needrestart.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 35 Minuten

Docker Compose v2 auf Netcup installieren & gehärtete Multi-Container-Stacks architekturell aufbauen

Das veraltete, auf Python basierende docker-compose v1-Binary hat sein End-of-Life längst erreicht, erhält keinerlei Sicherheitsupdates mehr und ist inkompatibel mit modernen BuildKit-Funktionen sowie der aktuellen Compose Specification. Auf produktiven Netcup KVM VPS-Instanzen und dedizierten Root Servern setzt moderne Container-Orchestrierung ausschließlich auf das in Go geschriebene Docker Compose v2 CLI-Plugin (docker compose). Dieses Systems-Engineering-Runbook behandelt die kryptografisch signierte Installation, mehrschichtige Netzwerksegmentierung (internal: true Backend-Bridges), deterministische Startreihenfolgen über service_healthy-Probes, cgroupv2-Speicher- und CPU-Grenzwerte für 8-GB-Netcup-Knoten, dateibasierte Docker Secrets sowie systemd-Lifecycle-Units.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 40 Minuten

Zero-Downtime-Produktionswebsite mit Docker, Caddy v2 & GitHub Actions auf Netcup bereitstellen

Das Bereitstellen einer produktiven Webanwendung auf einem Netcup VPS oder Root Server erfordert weit mehr als das bloße Freigeben von Port 80 auf einem einzelnen Container. Eine hochverfügbare Produktionsarchitektur terminiert TLS 1.3 und HTTP/3 (QUIC) an einem gehärteten Edge-Reverse-Proxy, isoliert PostgreSQL und Redis in einem vom Internet getrennten internen Netzwerk, optimiert die UDP-Socket-Puffer des Linux-Kernels für schnelle QUIC-Übertragungen und führt bei neuen Commits auf main unterbrechungsfreie Rolling Updates (Zero Downtime) durch. Dieses End-to-End-Engineering-Tutorial baut diesen kompletten Stack mit Docker Compose v2, Caddy v2, PostgreSQL 16, Redis 7 und einer automatisierten GitHub-Actions-SSH-Deployment-Pipeline auf.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 35 Minuten

Dual-Stack (IPv4 + IPv6) WireGuard VPN-Server mit Unbound DNS auf Netcup aufbauen

Da jeder Netcup VPS und Root Server auf hardwaregestützter KVM-Virtualisierung mit eigenem Linux-Kernel, bis zu 2,5 Gbit/s schnellen Netzwerkschnittstellen, einem gerouteten /64-IPv6-Subnetz und großzügigem Fair-Use-Inklusivtraffic an den Standorten Nürnberg, Wien, Amsterdam, Manassas und Singapur basiert, übertrifft selbst ein kompakter Netcup Einstiegs-VPS (wie der VPS pico G11.5s mit 1 GB RAM oder der VPS nano G11.5s mit 2 GB RAM) kommerzielle Consumer-VPN-Abonnements deutlich. Dieser Systems-Engineering-Leitfaden baut ein gehärtetes Dual-Stack-(IPv4 + IPv6)-WireGuard-VPN-Gateway auf – komplett mit MTU 1420-Kapselungsberechnung, TCP MSS Clamping gegen PMTU-Blackholes, einem lokalen rekursiven Unbound-DNS-Resolver ohne DNS-Leaks und einem automatisierten Peer-Provisioning-Skript mit quantensicheren PresharedKey-Schlüsseln.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 35 Minuten

Netcup Server-Ressourcen überwachen: CPU Steal (%st), NVMe-Latenz & Prometheus + Grafana

Wenn eine Datenbankabfrage plötzlich langsam wird oder die Antwortzeit eines API-Endpunkts auf einem virtualisierten Server von 15 ms auf 600 ms springt, ist blindes Raten keine Engineering-Strategie. Auf Netcup KVM-Hosts erfordert echte Observability die saubere Unterscheidung zwischen eigener Gast-CPU-Auslastung (%usr/%sys) und Hypervisor-Nachbarschaftskonflikten (%st CPU Steal Time), das Messen der NVMe-Block-Queue-Tiefe (aqu-sz) sowie der Lese-/Schreiblatenz (r_await/w_await), die Auswertung der Linux-Kernel Pressure Stall Information (/proc/pressure/*) und die Visualisierung historischer Trends. Dieser Leitfaden kombiniert präzise CLI-Diagnosewerkzeuge mit einem abgesicherten, an Loopback gebundenen Prometheus + Node Exporter + cAdvisor + Grafana Telemetrie-Stack.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 40 Minuten

Automatisierte 3-2-1-Backups auf Netcup einrichten: SCP-Snapshots, atomare DB-Dumps & verschlüsseltes Restic

Hardware-RAID10-NVMe-Arrays in den Netcup-Rechenzentren Nürnberg, Wien und Amsterdam schützen Ihren Server zwar zuverlässig vor dem physischen Ausfall einzelner SSDs, bieten jedoch keinerlei Schutz gegen ein versehentliches DROP TABLE, fehlerhafte Migrationsskripte, rm -rf oder kompromittierte Zugangsdaten. Hinzu kommt: Die im Netcup Server Control Panel (SCP) integrierten Snapshots nutzen Copy-on-Write-(CoW)-Allokationen auf demselben zugrunde liegenden Storage-Pool – sie belegen also freien Speicherplatz Ihres eigenen VM-Kontingents und ersetzen kein externes Disaster-Recovery-Backup. Dieses Runbook implementiert eine praxiserprobte 3-2-1-Backup-Architektur, die konsistente SCP-Snapshots via qemu-guest-agent für schnelle Rollbacks vor System-Upgrades mit automatisierten, atomaren Datenbank-Dumps und täglich über systemd-Timer ausgeführten, AES-256-verschlüsselten Restic-Offsite-Backups kombiniert.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 30 Minuten

Self-Hosted Control Panel auf Netcup installieren & härten: Coolify v4, CloudPanel v2 & HestiaCP im Vergleich

Kommerzielle Control-Panel-Lizenzen wie cPanel und Plesk übersteigen heute monatlich oft die Kosten für den eigentlichen KVM-Server. Im Jahr 2026 dominieren drei ausgereifte, kostenlose Open-Source-Control-Panels die Netcup-Deployments, die jeweils für ein klar abgegrenztes Einsatzszenario entwickelt wurden: Coolify v4 (eine Docker-basierte Self-Hosted-Alternative zu Heroku, Vercel und DigitalOcean App Platform), CloudPanel v2 (ein extrem leichtgewichtiger nativer Nginx + Multi-PHP-FPM + MySQL/Redis-Stack für WordPress, Laravel und Node.js) sowie HestiaCP (ein klassisches Multi-Tenant-Web-, DNS- und vollwertiges Exim4/Dovecot-Mail-Hosting-Panel). Dieser Leitfaden vergleicht den exakten Speicherbedarf, führt durch die geprüfte Installation, sperrt die rohen Administrationsports (8000, 8443, 8083) hinter der Netcup SCP Firewall und richtet automatisierte CLI-Backups ein.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →
Mittelstufe 30 Minuten

Netcup VPS & Root Server Netzwerk-Troubleshooting: AS197540 MTR, IPv6 fe80::1, MTU & VNC-Recovery

Wenn ein produktiver Netcup VPS oder Root Server nach einem Kernel-Upgrade nicht mehr per SSH erreichbar ist, IPv6-Verbindungen nach 15 Minuten Laufzeit plötzlich abreißen oder gegenüber einem bestimmten Internetprovider zeitweise erhöhte Latenzen auftreten, verschleiern unüberlegte Neustarts lediglich die eigentliche Ursache. Die KVM-Netzwerkarchitektur von Netcup (AS197540) nutzt spezifische Routing-Konventionen – insbesondere ein /32- oder /22-IPv4-Gateway sowie ein deterministisches Link-Local-fe80::1 IPv6-Default-Gateway – kombiniert mit zwei unabhängigen Firewall-Ebenen (der SCP Stateful Firewall auf Hypervisor-Ebene und Ihrem Gast-OS ufw/nftables). Dieses Diagnose-Runbook liefert eine strukturierte Methodik von Layer 2 bis Layer 7, um jede Netzwerkstörung auf Netcup gezielt einzugrenzen und dauerhaft zu beheben.

Geprüft auf Ubuntu 24.04 Tutorial öffnen →