netcup Servercontrolpanel (SCP): Firewall, /64-IPv6-Konfiguration, Snapshots & REST-API

1. SMTP Port 25 freischalten & SCP Stateful Firewall

Jeder Root-Server und VPS ab Generation G9 verfügt im SCP über eine kostenlose zustandsbehaftete (stateful) Hypervisor-Firewall mit bis zu 20 Regelsätzen und 500 Regeln pro Server (Abarbeitung von oben nach unten). Bei Auslieferung ist standardmäßig der Regelsatz netcup Mail block aktiv, der ausgehenden TCP-Port 25 sperrt.

1. Im SCP anmelden und Server auswählen

   Melde dich unter https://www.servercontrolpanel.de an und wähle deinen Server aus.

2. Reiter „Firewall“ öffnen

   Wechsle im Servermenü auf Firewall. Unter den zugewiesenen Richtlinien siehst du die voreingestellte Policy netcup Mail block.

3. „netcup Mail block“ entfernen und speichern

   Entferne die Zuweisung der Policy netcup Mail block (und stelle sicher, dass deine eigenen Regeln TCP-Port 25, 465 und 587 erlauben) und klicke auf Speichern (Save).

Hinweis für Mailserver-Betreiber: Hinterlege unter SCP > Network für deine IPv4-Adresse und die genutzte IPv6-Adresse unbedingt einen passenden rDNS-Eintrag (PTR), der mit dem HELO/EHLO-Hostnamen deines Mailservers übereinstimmt. Quelle: netcup Helpcenter: SCP Firewall.

2. /64-IPv6-Subnetz konfigurieren (Netplan & Debian fe80::1 Gateway)

Jeder reguläre RS und VPS erhält eine statische IPv4-Adresse (/22-Netz) und ein geroutetes /64-IPv6-Subnetz. Wichtig bei netcup: Das IPv6-Standardgateway lautet auf allen KVM-Hosts immer fe80::1 (Link-Local). Offizielle rekursive Resolver von netcup sind 46.38.225.230 / 46.38.252.230 (IPv4) und 2a03:4000:0:1::e1e6 / 2a03:4000:8000::fce6 (IPv6).

Ubuntu 22.04 / 24.04 LTS — /etc/netplan/01-netcfg.yaml

network:
  version: 2
  renderer: networkd
  ethernets:
    eth0:
      dhcp4: true
      dhcp6: false
      accept-ra: false
      addresses:
        - "2a03:4000:60:1234::1/64"
      routes:
        - to: "::/0"
          via: "fe80::1"
          on-link: true
      nameservers:
        addresses:
          - 46.38.225.230
          - 46.38.252.230
          - 2a03:4000:0:1::e1e6
          - 2a03:4000:8000::fce6

Debian 12 / 13 — /etc/network/interfaces

auto eth0
iface eth0 inet dhcp

iface eth0 inet6 static
    address 2a03:4000:60:1234::1/64
    gateway fe80::1
    dns-nameservers 2a03:4000:0:1::e1e6 2a03:4000:8000::fce6

3. Offline-Snapshots (.raw.zst) lokal entpacken, mounten & konvertieren

Laut netcup Helpcenter: SCP Snapshots unterstützt das SCP Online- und Offline-Snapshots (sofern mindestens 10 % Speicherplatz auf der Disk frei sind). Einen Offline-Snapshot kannst du kostenlos als .raw.zst-Image herunterladen oder direkt nach Custom Images exportieren:

# 1. Heruntergeladenen SCP-Snapshot (.raw.zst) entpacken
zstd -d -T0 backup.raw.zst -o backup.raw

# 2. Partitionstabelle als Loop-Device einbinden und Dateisystem lokal durchsuchen
sudo losetup -Pf --show backup.raw
sudo mount -o ro /dev/loop0p1 /mnt/recovery
ls -la /mnt/recovery/etc

# 3. Optional: Für lokalen Proxmox / QEMU / KVM-Host nach qcow2 konvertieren
qemu-img convert -p -f raw -O qcow2 -c backup.raw backup.qcow2

4. Grml-Rettungssystem (Rescue System): chroot-Reparatur & SSH-Vollbackup

Startet ein Server nach einem Kernel- oder Bootloader-Update nicht mehr, aktiviere unter SCP > Medien das Grml-Rettungssystem (oder nutze die Serielle Konsole statt VNC). Nach dem Login per SSH ins Live-System kannst du das Root-Dateisystem per chroot reparieren oder die komplette NVMe-Disk über SSH streamen:

# A. Root-Partition im Grml-Rescue mounten und GRUB / Passwort per chroot reparieren
lsblk -f
mount /dev/vda2 /mnt
mount /dev/vda1 /mnt/boot/efi   # falls EFI-Partition vorhanden
for d in dev proc sys run; do mount --bind /$d /mnt/$d; done
chroot /mnt /bin/bash
update-grub && passwd root

# B. Komplette NVMe-Disk im Rescue-Modus live komprimiert auf deinen lokalen PC sichern
ssh root@<SERVER_IP> "dd if=/dev/vda bs=16M status=progress | zstd -3 -T0" > netcup-full-disk.raw.zst

5. SCP REST-API (OpenAPI v1 + OAuth 2.0 Device Flow)

Der alte SOAP-Webservice wurde am 30.09.2025 abgeschaltet. Die aktuelle SCP REST-API (OpenAPI-Spec unter https://www.servercontrolpanel.de/scp-core/api/v1/openapi) nutzt OAuth 2.0 über das Keycloak-Realm scp:

# 1. Device-Code beim SCP-Keycloak-Endpunkt anfordern
curl -s -X POST "https://www.servercontrolpanel.de/realms/scp/protocol/openid-connect/auth/device" \
  -d "client_id=scp" | jq .

# 2. Nach Bestätigung der verification_uri_complete im Browser: Access- & Refresh-Token abrufen
ACCESS_TOKEN=$(curl -s -X POST "https://www.servercontrolpanel.de/realms/scp/protocol/openid-connect/token" \
  -d "client_id=scp" \
  -d "grant_type=urn:ietf:params:oauth:grant-type:device_code" \
  -d "device_code=<DEVICE_CODE>" | jq -r '.access_token')

# 3. Alle Server inkl. Live-Metriken, Traffic und Firewall-Status abfragen
curl -s -H "Authorization: Bearer $ACCESS_TOKEN" \
  "https://www.servercontrolpanel.de/scp-core/api/v1/servers?loadServerLiveInfo=true" | jq .

Hinweis zur Virtualisierung: Laut netcup Server-FAQ ist Nested Virtualization (/dev/kvm) auf Root-Servern und VPS deaktiviert; Docker, Podman, LXC sowie SCP Apps [Beta] (Docker Swarm + Traefik über virtio-vsock) laufen nativ.