UFW vs nftables: como configurar o firewall de um VPS Linux
Publicado em 2026-10-26 por frfrand
Regras de acesso Ubuntu, SSH e portas de API com mínimo privilégio
Te perguntam qual firewall configurar em um VPS Ubuntu: UFW ou nftables. Não são rivais exatos. O UFW é uma interface simples para gerenciar regras; o nftables é uma infraestrutura de filtragem mais flexível dentro do Linux.
Vamos convertê-lo em um procedimento que você pode usar em um VPS real. O objetivo é entender por que funciona, como testá-lo e qual problema aparece se uma parte ficar mal configurada.
O que significa UFW vs nftables e quando você precisa
As camadas e backends dependem da distribuição. O importante é entender as regras efetivas e não combinar mudanças sem saber qual sistema as administra. Um firewall controla o tráfego, mas não corrige permissões de uma API nem senhas inseguras.
Antes de mudar qualquer coisa em produção, anote o estado atual: IP, domínio, porta, serviço afetado e hora do último deploy. Uma modificação isolada é fácil de comprovar; cinco mudanças simultâneas tornam mais difícil reconstruir o ocorrido.
Configuração ou comandos de exemplo
sudo ufw status verbose
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
# Antes de habilitar reglas: verificar SSH desde otra sesión
sudo ufw enable
# Diagnóstico de reglas nftables
sudo nft list rulesetOs domínios, IPs, caminhos e nomes são ilustrativos. Não copie uma configuração inteira sobre a atual sem comparar primeiro. Nos exemplos que incluem portas ou firewall, certifique-se de manter o acesso administrativo.
Como eu faria passo a passo
- Preparação. Liste portas realmente necessárias: para um site, geralmente são 80/443 e acesso administrativo restrito.
- Passo 2. Confirme que o SSH continuará permitido ANTES de ativar um firewall remoto.
- Passo 3. Escolha um mecanismo de gestão coerente com o sistema e documente-o.
- Passo 4. Teste de fora as portas autorizadas e confirme que a base permanece fechada.
- Verificação. Revise as regras após instalar Docker ou outras ferramentas que alteram a rede.
Quando terminar, comprove a operação real a partir de outra conexão. Por exemplo, para uma API não basta abrir o navegador: execute uma requisição de leitura, uma gravação em um banco de teste e consulte os logs do processo.
Exemplo de um projeto de verdade
Um VPS serve três domínios por Nginx. Precisa expor HTTPS, não as portas internas do Django, Redis ou PostgreSQL. O firewall limita superfícies, enquanto o Nginx envia o tráfego para o serviço interno correto.
A lição é simples: uma configuração de infraestrutura não vive isolada da aplicação. O frontend, o servidor, o banco de dados e os workers se conectam, então medir onde começa a falha é mais útil do que reiniciar tudo.
O erro que evitaria
Ativar o UFW remotamente sem permitir SSH pode deixá-lo sem acesso. O Docker e outras ferramentas podem introduzir regras que alteram o comportamento esperado: verifique a filtragem efetiva, não apenas a tela do painel.
Quando trabalha com servidores de clientes, guarde um backup ou procedimento de reversão antes de mudanças que afetem dados, rede ou certificados. E se não souber quais permissões uma operação precisa, evite executar como root apenas para parar de mostrar erros.
Como isso se relaciona com o ArduMaker?
No ArduMaker, combinar regras de rede do VPS com acesso por equipes e serviços evita expor bancos por acidente. Registre quais portas pertencem a cada aplicação.
Em um caso típico, você pode criar um VPS para a aplicação, implantar a partir do Git, associar domínio HTTPS e administrar o backend e os bancos necessários. As ferramentas ajudam a centralizar operações, mas é preciso entender qual porta e processo cumpre cada função.
Perguntas que aparecem quando você testa
Como saber se a falha é de DNS ou do serviço? Consulte primeiro a resolução, depois a conexão à porta e, finalmente, a resposta da aplicação. Essa ordem evita confundir problemas diferentes.
Posso expor um banco para facilitar a manutenção? É melhor projetar acesso privado ou túneis autenticados quando possível. Expor uma porta não substitui as permissões do mecanismo nem o firewall.
O que devo documentar? A configuração esperada, como verificar e como voltar ao estado anterior. Esse documento ajuda mais do que uma lista de comandos sem contexto.
Referências
Em resumo: uma boa configuração de rede ou servidor é aquela que você consegue explicar, verificar e recuperar quando algo falha.