O que é um firewall e como proteger as portas de um servidor Linux

Publicado em 2026-10-20 por frfrand

Aprendé qué filtra un firewall, cómo usar UFW sin perder el acceso SSH y por qué abrir solo los puertos necesarios reduce riesgos.

Um firewall ou cortafogo é um mecanismo que permite ou bloqueia o tráfego de rede de acordo com regras definidas. Em um servidor Linux, ele é usado para reduzir quais serviços permanecem acessíveis a partir da Internet ou de uma rede privada. Não elimina as vulnerabilidades de um aplicativo, mas limita uma parte importante da superfície de exposição.

Se o seu VPS hospeda um site, um banco de dados e um painel interno, provavelmente você não quer que qualquer pessoa possa se conectar diretamente aos três. O firewall ajuda a estabelecer essa diferença.

O que um firewall revisa?

As regras podem levar em conta endereços IP de origem ou destino, protocolos como TCP e UDP, portas e o estado das conexões. Alguns produtos mais avançados inspecionam informações adicionais, mas nem todos os firewalls entendem o conteúdo de uma solicitação web.

No Linux, o subsistema Netfilter do kernel participa da filtragem. Ferramentas como nftables ou iptables permitem gerenciar regras, enquanto o ufw oferece uma interface mais simples para tarefas comuns.

Pense nele como a recepção de um edifício: pode decidir quem entra por qual porta. Isso não garante que uma pessoa autorizada nunca faça algo inadequado dentro.

Um exemplo concreto com três serviços

Imagine que você tem:

• Nginx ouvindo nas portas 80 e 443 para o site público.
• SSH ouvindo na 22 para administração.
• PostgreSQL ouvindo na 5432 para o aplicativo.

Uma configuração razoável poderia permitir 80 e 443 da Internet, restringir o SSH a uma rede administrativa e impedir que o PostgreSQL fique acessível publicamente. O aplicativo e o banco de dados podem se comunicar por uma interface local ou rede privada.

A decisão exata depende da sua arquitetura. Não copie uma lista de portas de outro projeto sem entender quais você precisa.

Como verificar o status do firewall com UFW?

No Ubuntu Server, o UFW geralmente está disponível como uma ferramenta simples de administração. Primeiro, inspecione o status:

sudo ufw status verbose

Se o firewall estiver inativo, não o ative às cegas enquanto estiver conectado por SSH. Você pode bloquear seu próprio acesso se não houver uma regra adequada.

Antes de alterar qualquer coisa, verifique a porta SSH real, sua rota de administração, as regras do provedor e se você dispõe de um console de recuperação.

Um exemplo de regras, não uma receita universal

Para um servidor com SSH na porta padrão e uma web pública, estas ordens ilustram o conceito:

sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw status numbered

Somente após verificar o acesso e o ambiente você poderia considerar ativar o UFW com sudo ufw enable. Se você administra o SSH a partir de um IP fixo, é preferível estudar uma regra que limite a origem, por exemplo sudo ufw allow from 203.0.113.10 to any port 22 proto tcp (esse endereço é apenas um exemplo de documentação, não o seu IP real).

Um erro comum é permitir 22/tcp de toda a Internet porque é conveniente e esquecer de revisar quem precisa desse acesso.

O que acontece com o Docker e as portas publicadas?

Os contêineres adicionam uma camada de redes e regras que pode modificar como o tráfego é exposto. Dependendo da configuração, publicar uma porta do Docker pode interagir com regras de firewall de maneiras inesperadas.

Não suponha que o UFW sozinho restrinja todas as portas publicadas por contêineres. Revise a documentação do seu motor de contêineres, teste de outra máquina e verifique quais interfaces estão ouvindo.

Para um aplicativo interno, costuma ser melhor vincular o serviço a uma interface privada ou ao localhost e publicá-lo apenas por meio do proxy adequado.

Firewall do servidor e firewall do provedor

Um VPS pode ter regras em várias camadas: dentro do sistema operacional, na infraestrutura do provedor e em um balanceador ou proxy de entrada.

Essas camadas podem se complementar, mas também complicar o diagnóstico. Se uma conexão falhar, revise o serviço, sua interface de escuta, as regras do host e as regras externas. Uma porta permitida no UFW não necessariamente está acessível se outro firewall a bloquear.

Um firewall evita ataques DDoS ou injeção SQL?

Não por si só. Um firewall de host pode filtrar conexões, mas um ataque volumétrico pode saturar o enlace antes que o tráfego chegue ao servidor. Para isso, geralmente são necessárias defesas de rede a montante.

Também não detecta automaticamente uma consulta SQL maliciosa dentro de uma requisição HTTPS permitida. A segurança de aplicações requer validações, consultas parametrizadas, controles de acesso e outras medidas.

Você pode ampliar este tema com o que é um ataque DDoS e por que não convém usar root para tudo.

Uma verificação defensiva que vale a pena repetir

Após cada implantação importante, revise quais serviços estão ouvindo, em quais interfaces e quais portas permanecem expostas. No Linux, ss -tulpen pode ajudar a inspecionar soquetes, embora para verificar a acessibilidade externa você precise de um teste a partir de outro local autorizado.

Documente as portas essenciais e remova regras que não são mais utilizadas. Um firewall bem configurado é aquele que reflete os serviços reais, não uma coleção de exceções acumuladas.

E na ArduMaker?

Quando você hospeda uma aplicação em um VPS da ArduMaker, ainda é necessário definir quais portas devem ser públicas e quais devem permanecer em redes privadas. Gerenciar uma implantação a partir de uma plataforma não substitui a revisão do acesso de rede do sistema e de cada serviço.

Em resumo: comece identificando os serviços que devem receber tráfego, permita apenas os acessos necessários e verifique as regras sem perder a conexão de administração.

Fontes oficiais: Firewall no Ubuntu Server · Netfilter na documentação do Ubuntu · Redes e publicação de portas do Docker.