Cloud Installation

In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden

• UTM (← Links)

---

Installation einer Securepoint UTM in einer Cloud

Letzte Anpassung: 04.2026

Neu:

• Erklärung zur Installation der UTM in StackIT hinzugefügt

• Beschreibung zur Einrichtung des internen Netzes in der Hetzner Cloud aktualisiert (09.2025)

notempty

Dieser Artikel bezieht sich auf eine Beta-Version

-

---

UTM in der Hetzner Cloud

Installation der UTM als VM

Video laden

Alugha

Alugha sammelt möglicherweise persönliche Daten. Datenschutzrichtlinie

Fortfahren Ausblenden

• Die zum Zeitpunkt der Erstellung des Videos verfügbare Firmware verwendete Schnittstellen mit den Bezeichnungen eth0, eth1 etc.
  wurde inzwischen geändert. Die virtuellen Maschinen haben nun die Bezeichnungen LAN1, LAN2 etc., so wie im Text angegeben.
• In aktuellen Firmwareversionen ist auf LAN1 (im Video eth0) per Default DHCP aktiv.
• Die Konfiguration des internen Netzes kann untenstehender Dokumentation entnommen werden.

1. Anmelden in der Hetzner Cloud Verwaltung
2. Server hinzufügen (Ausstattung beachten)
3. Beliebigen Typ wählen
4. Lokales Netz hinzufügen
5. Namen vergeben
6. Server Kostenpflichtig erstellen
7. Server auswählen
8. ISO-Image Securepoint UTM Interactive Installer einbinden und Server neu starten
   Aufruf der Konsole mit Schaltfläche
   Schaltfläche Strg Alt Entf
9. Installation ausführen
10. Bei Meldung Installation done. Remove the install media now das ISO Image Auswerfen und
11. Installation mit < OK > abschließen (Firewall bootet neu)
12. Anmelden mit Default Zugangsdaten
    Username: admin
    Password: insecure

1.	2.	3.

Abb.1	Abb.2	Abb.3

Abbildungen

Abb.1

Server hinzufügen

Abb.2

Beliebigen Typ wählen, Ausstattung wählen (für alle Funktionen min. 4GB RAM)

Abb.3

Lokales Netz und Namen vergeben

Abb.4

Hardware beachten

Abb.5

ISO-Image Securepoint UTM Interactive Installer wählen

Abb.6

Installation ausführen

Abb.7

Anmelden in der Console am CLI mit Default Zugangsdaten

• Anschließend: Zugang absichern, Zugang ins Internet herstellen, Administration aus dem eigenen Netzwerk heraus freigeben:

Konfiguration der externen Schnittstelle

Die UTM ist nicht über die interne Schnittstelle LAN2 erreichbar.
Diese liegt innerhalb der Hetzner-Cloud in einem privaten Netz. Die Administration ist nur über die öffentliche IP-Adresse an der externen Schnittstelle LAN1 möglich und muss dort explizit freigeben werden.

Securepoint UTM VM	user get	Admin ID notieren
	user set id xxx name admin password "starkes_Kennwort"	Passwort ändern Kennwörter müssen folgende Kriterien erfüllen: mindestens 8 Zeichen Länge mindestens 3 der folgenden Kategorien: Großbuchstaben Kleinbuchstaben Sonderzeichen Ziffern
	route new dst 0.0.0.0/0 router LAN1 system update route	Default Route setzen Manchmal kann folgende Alternative erforderlich sein: interface address set id 1 address IP-Adresse   (IP-Adresse manuell setzen) route new dst 172.16.1.1 router LAN1 route new dst 0.0.0.0/0 router 172.16.1.1 system update route   (172.16.1.1 ist die IP-Adresse des Hetzner-Gateways)
	manager new hostlist 192.0.2.192/32 system update rule	Eigene IP-Adresse / Netz-IP oder Hostname (DynDNS), von dem aus die Administration erfolgen soll (IP-Adresse feststellen z.B. mit http://checkip4.spdyn.de/)
	interface address get	Überprüfen, ob die IP-Adresse der externen Schnittstelle der UTM der angezeigten Adresse während der Installation der VM entspricht
	https://$IP_der_UTM:11115	Aufruf des Webinterface mit statischer IP-Adresse:

• Abschließend:
• Eingabe der Anmeldedaten
• Akzeptieren der Lizenzvereinbarung und Datenschutzerklärung
• Grundlegende Einstellungen
• Einspielen der Lizenzdatei

notempty

Update auf die neueste UTM-Firmware-Version unter Extras Firmware-Updates Schaltfläche Neueste Firmware herunterladen

Internes Netz der UTM einrichten

• VMs in der Hetzner-Cloud erhalten immer eine IPv4-Adresse in einem 32er-Netz.
  Alle VMs kommunizieren daher nur mit dem Hetzner-Switch (,der in Wahrheit Routing Funktionen hat).
• Damit nun die UTM nicht selbst versucht, die VMs direkt zu erreichen (sondern den Switch fragt), wird das Netz der UTM so begrenzt, daß nur die UTM und der Switch im gleichen Netz sind.
• Der Hetzner-Switch erhält eine Default-Route auf die UTM
• Die weiteren VMs im privaten Hetzner-Netz benötigen eine Default route zum Hetzner Switch

Securepoint UTM VM	interface address get	IP-Adresse LAN2 (interne Schnittstelle der UTM) ermitteln Im Besipiel wird eine IP aus dem Netz 192.168.175.0 angenommen
	interface address new device LAN2 address 192.168.175.2/32 system update interface	Auf dem internen Interface muss zusätzliche eine statische IP-Adresse angelegt werden
	route new dst 192.168.175.0/24 router 192.168.175.1	Route: Alle VMs im privaten Netz sollen über den Switch angesprochen werden. Die IP-Adresse und Netzmaske müssen den Angaben entsprechen, die in der Einrichtung für das private Netz angegeben wurden. Der Hetzner-Switch erhält immer die a.b.c.1 als IP-Adresse!
	route new dst 192.168.175.1/32 router LAN2 system update route	Route: Der Switch hängt an der internen Schnittstelle (hier: LAN2)
	node get node set id "42" address "192.168.175.0/24"	Damit Paketfilter Regeln funktionieren muss statt der Schnittstelle das interne Netz auf dem Netzwerkobjet internal-network hinterlegt werden. Dazu wird zunächst die ID des Netzwerkbjektes ermittelt. Im Beispiel 42
Für den Netzwerkverkehr benötigt die UTM noch Paketfilter Regeln. Dabei sollten die Default-Regeln durch spezifische Regeln ersetzt werden, die nur das erlauben, was auch benötigt wird.
Hetzner Cloud	Menu Routen Ziel 0.0.0.0 /0 Gateway:192.168.175.2 (IP-Adresse der UTM)	Der Hetzner-Switch erhält eine Default-Route auf die UTM Die Warnung "Sie haben Ihr Ziel außerhalb des Netzwerk-IP-Bereichs ausgewählt" kann ignoriert werden
VM in der Hetzner Cloud	Beispiel für eine Default Route auf einer Debian VM ip route add default via 192.168.175.1	Die weiteren VMs im privaten Hetzner-Netz benötigen eine Default route zum Hetzner Switch
Windows VM in der Hetzner Cloud	Beispiel für eine Default Route auf einem Windows Server Systemsteuerung > Netzwerk und Internet > Netzwerkverbindungen, Netzwerk auswählen: Eigenschaften / Internetprotokoll Version 4 (TCP/IPv4) / Eigenschaften / Standardgateway: 192.168.175.1	IP-Adresse des Hetzner-Switches als Standardgateway in den Adapter Einstellungen

UTM in der STACKIT-Cloud

Vorbereitung
Download UTM-Image im Resellerportal - Typ Interaktive Installation	my.securepoint.de  Downloads UTM x ISO-Dateien funktionieren an dieser Stelle NICHT
Einrichtung - VM und Netzwerke für UTM erstellen Einrichtung - VM und Netzwerke für UTM erstellen Stackit CLI installieren Schritt 1 - Stackit CLI installieren
Dazu der entsprechenden Anleitung für das passende Betriebssystem folgen:	https://github.com/stackitcloud/stackit-cli/blob/main/INSTALLATION.md
Anmelden Schritt 2 - Anmelden
Bei der Stackit-cli anmelden	Terminal stackit auth login Datei:UTM Stackit 02 Logged in.png
UTM Image hochladen Schritt 3 - UTM Image hochladen
Keine ISO-Dateien!
3.1 Zunächst muss eine Anfrage geschickt werden Werte ersetzen: <Disk_Format> = raw <Image_Name> = <ProjecT_ID> = Siehe STACKIT Dashboard / Abschnitt Projektinformationen / Projekt-ID Datei:UTM Stackit 02 Projekt-ID.png	stackit curl -X POST -H "Content-Type: application/json" --data '{"active": true, "diskFormat": "<DISK_FORMAT>","name": "<IMAGE_NAME>"}' https://iaas.api.eu01.stackit.cloud/v1/projects/<PROJECT_ID>/images STACKIT-Antwort: {  "id": "12345ab-c78…"  "uploadUrl": "https://image-upload.object.storage.eu01.onstackit.cloud/<id>req-1234…" }
3.2. Nach der Anfrage kann der Upload durchgeführt werden. <Image_File>: URL zum lokalen Speicherort des Images (z.B. ".Downloads/UTM.img") <Image_Upload_URL> aus der STACKIT-Antwort in Schritt 3.1	curl -v -X PUT -H 'Content-Type: binary/octet-stream' --upload-file "<IMAGE_FILE>" "<IMAGE_UPLOAD_URL>"
3.3 Es kann nach dem Upload des Images einige Zeit dauern, bis das Image für eine VM verwendet werden kann. Ob das Image bereit ist, lässt sich mit einem Befehl über das CLI prüfen: "status": "CREATING", : Das Image wird noch erstellt Datei:UTM Stackit 03 Status.png "status": "AVAILABLE", : Das Image ist bereit Werte ersetzen: <Project_ID> = Siehe STACKIT Dashboard / Abschnitt Projektinformationen / Projekt-ID Datei:UTM Stackit 02 Projekt-ID.png <Image_ID> = "id" aus der STACKIT-Antwort	stackit curl https://iaas.api.eu01.stackit.cloud/v1/projects/<PROJECT_ID>/images/<IMAGE_ID>
Volume mit diesem Image erstellen Schritt 4 - Volume mit diesem Image erstellen
Werte ersetzen: <Availability_Zone> = Individuelle Auswahl. Verfügbare Liste der AZs mit stackit region list <Volume_Name> = <Image_ID> = "id" aus der STACKIT-Antwort <Image_Size> = Größe in GB. Weitere mögliche Parameter z.B.: description oder performance-class	stackit volume create --availability-zone <AVAILABILITY_ZONE> --name <VOLUME_NAME> --source-id <IMAGE_ID> --source-type image --size <IMAGE_SIZE>
Security-Group erstellen Schritt 5 - Security-Group erstellen
Jedem Server muss eine Security-Group mit entsprechenden Regeln zugewiesen sein, da dieser sonst auch nicht aus demselben Subnetz erreichbar ist.
Netzwerke erstellen Schritt 6 - Netzwerke erstellen
Es sind zwei Netzwerke notwendig: Ein internes und ein externes Netzwerk. Werte ersetzen: <Network_Name> = Frei wählbar <DNS_Server_1> = <DNS_Server_2> = <IPv4_Prefix> =	stackit network create --name <NETWORK_NAME> --ipv4-dns-name-servers "<DNS_SERVER_1>,<DNS_SERVER_2>" --ipv4-prefix "<IPV4-PREFIX>"
VM für UTM erstellen Schritt 7 - VM für UTM erstellen
Werte ersetzen: <Servername> = Frei wählbar <Availability_Zone> = identisch wie in Schritt 4 <Machine_Type> = Legt fest, welcher CPU-Typ der Hypervisor hat und wieviele Prozessoren und RAM die VM erhält. Siehe STACKIT Dokumentation Maschinen -Typen <Keypair_Name> = <Network_ID> = <Volume_ID> = <Security_Group_ID> =	stackit server create -n <SERVERNAME> --availability-zone <AVAILABILITY_ZONE> --machine-type <MACHINE_TYPE> --keypair-name <KEYPAIR_NAME> --network-id <NETWORK_ID> --boot-volume-source-id <VOLUME_ID> --boot-volume-source-type volume --security-groups <SECURITY_GROUP_ID> Siehe Dimensionierung bei virtuellen Systemen
Öffentliche IP-Adresse hinzufügen Schritt 8 - Öffentliche IP-Adresse hinzufügen
Wert ersetzen: <Network_Interface_ID> =	stackit public-ip create --associated-resource-id <NETWORK_INTERFACE_ID>
Allowed Adresses definieren Schritt 9 - Allowed Adresses definieren
Damit die Firewall-VM als Router agieren kann und Pakete aus einem internen Netz annehmen und ins Internet weiterleiten darf, muss folgendes gesetzt werden
9.1 ID der Firewall ermitteln	stackit server list -o json
9.2 NIC_ID und NETWORK_ID der Firewall-VM ermitteln Wert ersetzen: <Firewall-ID> aus Schritt 9.1 verwenden	stackit server network-interface list --server-id <FIREWALL_SERVER_ID> -o json
9.3 Dem internen Interface der Firewall-VM erlauben, die Pakete des Clients Richtung Internet zu akzeptieren. Werte ersetzen: <NIC-ID> aus Schritt 9.2 verwenden <Network-ID> aus Schritt 9.2 verwenden	stackit network-interface update <NIC_ID> --network-id <NETWORK_ID> --allowed-addresses "0.0.0.0/0"