Einrichtung und Betrieb

Führen Sie ssh root@your-server-ip von einem beliebigen Terminal unter macOS, Linux oder Windows 10 und höher aus. Verwenden Sie den Schlüssel, den Sie bei der Bereitstellung angegeben haben, oder das Passwort, das Ihnen per E-Mail zugesandt wurde. Bei der ersten Verbindung wird ein Host-Key-Fingerprint angezeigt – vergleichen Sie ihn mit dem im Control Panel, bevor Sie ihn akzeptieren.

Fünf Schritte decken die überwiegende Mehrheit realer Kompromittierungen ab: SSH mit Schlüsselbasis und deaktivierter Passwort-Authentifizierung, kein direkter Root-Login, eine Firewall mit Standard-Deny, unbeaufsichtigte Sicherheitsupdates und fail2ban oder ein Äquivalent. Zusammen dauern sie etwa zehn Minuten und eliminieren praktisch alle automatisierten Angriffe.

Deaktivieren Sie die Passwort-Authentifizierung vollständig – Brute-Force gegen SSH mit Schlüsselbasis ist nicht möglich. Fügen Sie fail2ban hinzu, um das Log-Rauschen zu reduzieren, und ziehen Sie in Betracht, SSH von Port 22 zu entfernen, um das Scanvolumen um etwa 95 % zu reduzieren. Die stärkste Option ist, SSH hinter WireGuard zu platzieren, sodass es nie dem öffentlichen Internet ausgesetzt ist.

Verwenden Sie nftables auf modernem Linux oder ufw als benutzerfreundlichere Oberfläche. Setzen Sie die Standard-Eingangsrichtlinie auf Drop, erlauben Sie etablierte und zugehörige Verbindungen und erlauben Sie dann nur die Ports, die Sie tatsächlich bedienen. Erlauben Sie Ihren SSH-Port immer, bevor Sie die Richtlinie aktivieren, sonst ist die Konsole Ihr einziger Weg zurück.

Bei KVM, ja. OnionVPS bietet Vorlagen für Ubuntu, Debian, AlmaLinux, Rocky, Fedora, Arch, Alpine, NixOS, FreeBSD, OpenBSD, Windows Server, Proxmox und andere, und Sie können ein benutzerdefiniertes ISO hochladen und alles installieren, was bootet. Bei containerbasierter Virtualisierung wie OpenVZ sind Sie auf Linux-Vorlagen beschränkt, die der Host bereitstellt.

Ja, auf jedem Plan, kostenlos und ohne Genehmigungsschritt. Laden Sie das ISO über das Panel hoch oder geben Sie uns eine URL, hängen Sie es als virtuelles Medium an und booten Sie darüber über die VNC-Konsole. Alles, was auf Standard-KVM-Hardware bootet, wird installiert, einschließlich BSDs, gehärteter Images und Appliances.

KVM (Kernel-based Virtual Machine) ist eine vollständige Hardwarevirtualisierung im Linux-Kernel, die Prozessor-Erweiterungen nutzt, um jeden Gast mit eigenem Kernel und hardwaregestützter Isolierung auszuführen. Im Gegensatz zu OpenVZ oder LXC, die den Host-Kernel teilen, kann ein KVM-Gast Kernelmodule laden, jedes Betriebssystem ausführen und echten Swap verwenden.

Bei einem KVM-VPS ja, ohne Einschränkung – installieren Sie Docker Engine aus dem offiziellen Repository und alles funktioniert, einschließlich buildx, Compose und Docker-in-Docker. Bei OpenVZ- oder LXC-basierten virtuellen Servern schlägt Docker entweder fehl oder erfordert unsichere Host-Konfiguration, da es cgroups und Namespaces benötigt, die bei Shared-Kernel-Virtualisierung nicht verfügbar sind.

Ja. Verschachtelte Virtualisierung ist auf jeder OnionVPS-Instanz aktiviert, sodass Sie KVM-Gäste in Ihrer Instanz ausführen, Proxmox VE installieren oder Docker-in-Docker- und VM-basierte CI-Jobs nutzen können. Viele Anbieter deaktivieren dies, was der übliche Grund ist, warum Proxmox und bestimmte CI-Konfigurationen anderswo fehlschlagen.

Ja, ausgehender Port 25 ist auf jeder OnionVPS-Instanz standardmäßig geöffnet. Es gibt kein Support-Ticket, keine Anforderung an das Kontenalter und keine kostenpflichtige Freischaltung. Die meisten Anbieter blockieren ihn dauerhaft zur Spam-Kontrolle, weshalb selbst gehostete E-Mail auf einem Großteil des Marktes unmöglich ist.

Ja, für sowohl IPv4 als auch IPv6, direkt über das Kontrollpanel, und Änderungen verbreiten sich innerhalb von Minuten. Reverse DNS ist für E-Mail unerlässlich: Die meisten großen Empfänger lehnen Nachrichten von einer Adresse ab, deren PTR-Eintrag nicht zum sendenden Hostnamen zurückauflöst.

Ja. Port 25 ist geöffnet, Reverse DNS ist selbstverwaltet, und unser Adressraum hat keine Spam-Vergangenheit. Mailcow oder Stalwart geben Ihnen an einem Abend einen vollständigen Stack. Die Schwierigkeit liegt nicht in der Installation – sondern in der Zustellbarkeit, die von SPF, DKIM, DMARC, einem passenden PTR und einer geduldigen Aufwärmphase abhängt.

Jede Instanz enthält eine IPv4-Adresse und ein geroutetes IPv6-/64-Subnetz – das sind 18 Trillionen v6-Adressen, nicht eine. Über das Panel können pro Instanz bis zu acht zusätzliche IPv4-Adressen für jeweils 3 $ pro Monat hinzugefügt werden, ohne Rechtfertigungsformular und ohne Wartezeit.

Ja – ein geroutetes /64-Subnetz auf jeder Instanz, in jeder Preisklasse, kostenlos. Keine einzelne Adresse: ein ganzes Subnetz, das zu Ihrem Server geroutet wird, sodass jeder Container oder Dienst eine eigene öffentliche IPv6-Adresse ohne Netzwerkadressübersetzung haben kann.

Ein Snapshot ist eine punktgenaue Kopie des Datenträgers Ihrer Instanz, die sofort erstellt und auf derselben Infrastruktur gespeichert wird. Ein Backup ist eine Kopie an einem anderen Ort. Snapshots schützen vor eigenen Fehlern; Backups schützen vor Infrastrukturausfällen. Sie brauchen beides, und drei Snapshots sind auf jedem Plan kostenlos enthalten.

Befolgen Sie die 3-2-1-Regel: drei Kopien, auf zwei Arten von Medien, eine extern. In der Praxis bedeutet das Snapshots für schnelles Rollback, plus ein verschlüsseltes nächtliches Backup mit restic oder Borg in eine andere Rechtsprechung, plus eine Wiederherstellung, die Sie tatsächlich getestet haben. Ein ungetestetes Backup ist eine Hypothese.

Nutzen Sie die Out-of-Band-VNC-Konsole im Panel, booten Sie in den Single-User- oder Rettungsmodus vom Bootloader, mounten Sie das Root-Dateisystem Lese-Schreib und führen Sie passwd aus. Das dauert etwa zwei Minuten und erfordert kein Support-Ticket. Wenn die Festplatte LUKS-verschlüsselt ist und Sie die Passphrase verloren haben, sind die Daten konstruktionsbedingt nicht wiederherstellbar.

Eine Out-of-Band-Konsole verbindet sich über das Control Panel mit der virtuellen Anzeige und Tastatur Ihrer Instanz, unabhängig von deren Netzwerk. Damit beheben Sie eine Firewall-Regel, die Sie ausgesperrt hat, eine defekte SSH-Konfiguration oder einen Boot-Fehler – ohne ein Support-Ticket zu eröffnen. Sie funktioniert auch, wenn die Instanz überhaupt kein Netzwerk hat.

Daten müssen physisch bewegt werden, daher ist ein Regionswechsel ein Neuaufbau und keine Live-Migration. Stellen Sie die neue Instanz bereit, synchronisieren Sie die Daten mit rsync oder einer Restic-Wiederherstellung, verifizieren Sie, schneiden Sie DNS mit kurzer TTL um und zerstören Sie dann die alte. Planen Sie je nach Datenmenge 30 bis 90 Minuten ein.

Verwenden Sie Ubuntu LTS, wenn Sie lernen oder die größte Auswahl an Tutorials und neuere Pakete möchten. Verwenden Sie Debian für einen minimalen, vorhersehbaren, langlebigen Server – es verbraucht im Leerlauf etwa die Hälfte des Arbeitsspeichers, enthält kein Snap und keine Hersteller-Telemetrie. Beide verwenden dasselbe Paketformat, daher lassen sich die meisten Anleitungen direkt übertragen.