Como configurar regras de firewall com UFW no Linux

O que é o UFW e por que você deve usá-lo

Quando mantemos um servidor conectado à internet, ele se torna visível para milhares de varreduras automatizadas por dia. Para impedir que invasores explorem portas abertas, precisamos de um firewall, um sistema de segurança que controla o tráfego de rede permitindo apenas conexões confiáveis. No ecossistema Linux, a ferramenta padrão de baixo nível chama-se iptables, mas sua sintaxe costuma ser complexa e intimidadora para administradores de sistemas. É justamente aí que entra o UFW, sigla para Uncomplicated Firewall, que serve como um facilitador amigável para traduzir comandos simples em regras robustas de filtragem de pacotes.

Na prática, o UFW atua como um porteiro rigoroso que verifica cada dado que entra ou sai da sua máquina, decidindo se ele tem permissão para passar com base em uma lista de regras pré-definidas. Antes de colocarmos a mão na massa com comandos práticos, vale lembrar a importância de manter um ambiente organizado de infraestrutura, o que inclui desde a segurança das portas até a rotina de automação com ferramentas como o agendador Cron no Linux sem errar. A seguir, vamos ver como instalar, ativar e estruturar políticas seguras do zero.

Instalação e verificação inicial do UFW

A maioria das distribuições Linux baseadas em Debian e Ubuntu já traz o UFW pré-instalado, mas vale a pena garantir que ele esteja presente e atualizado no sistema. O primeiro passo para qualquer administrador é verificar o estado atual do serviço para entender se ele já está ativo ou bloqueando algum tráfego. Para isso, utilizamos o terminal com privilégios administrativos, garantindo que temos o poder de alterar as configurações de rede do sistema operacional de forma segura.

Abra o seu terminal e execute os comandos abaixo para verificar a instalação e o status atual do firewall. Caso ele não esteja instalado, o gerenciador de pacotes da sua distribuição fará o trabalho rapidamente.

sudo apt update && sudo apt install ufw -y
sudo ufw status verbose

Se o retorno indicar que o status está inativo, não se preocupe, pois é exatamente o comportamento esperado em uma instalação limpa. Antes de ativarmos o UFW, precisamos definir as políticas padrão para evitar que fiquemos trancados fora do próprio servidor durante o processo de configuração remota via SSH.

Definindo políticas padrão seguras de entrada e saída

A regra de ouro de qualquer arquitetura de segurança defensiva é a recusa por padrão. Isso significa que, a menos que uma regra explícita autorize o tráfego, todo o resto deve ser estritamente bloqueado. No contexto de redes, configuramos o firewall para rejeitar tudo o que tenta entrar no servidor sem permissão, enquanto permitimos que o próprio servidor envie requisições para a internet e receba suas respectivas respostas.

Para aplicar essa estratégia de negação de entrada e liberação de saída, executamos comandos diretos que moldam o comportamento base do firewall. Essa abordagem reduz drasticamente a superfície de ataque da máquina, impedindo que portas abertas por softwares esquecidos fiquem vulneráveis a explorações maliciosas. Veja os comandos necessários para travar a entrada e liberar a saída:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Com essas diretrizes estabelecidas, o servidor passa a ignorar qualquer tentativa de conexão externa não autorizada. Contudo, se ativarmos o firewall neste exato momento sem liberar a porta do terminal remoto, perderemos o acesso à máquina se estivermos conectados via SSH. Vamos resolver isso na próxima etapa.

Liberando o acesso essencial para administração remota

O acesso SSH, sigla para Secure Shell, é o protocolo padrão que utilizamos para administrar servidores Linux à distância de forma criptografada. Como bloqueamos todas as conexões de entrada na etapa anterior, precisamos abrir explicitamente a porta utilizada pelo SSH antes de ligar o firewall, caso contrário a conexão cairá imediatamente.

Por padrão, o serviço SSH opera na porta 22, embora muitos administradores alterem essa porta por motivos de segurança contra ataques de força bruta automatizados. Para liberar o acesso padrão, utilizamos o próprio nome do serviço ou o número da porta correspondente. Execute o comando abaixo no terminal:

sudo ufw allow ssh

Caso você utilize uma porta personalizada para o seu acesso remoto, basta substituir o termo ssh pelo número correspondente, como por exemplo 2222/tcp. Com o acesso administrativo garantido, já podemos habilitar o UFW de maneira definitiva e testar o funcionamento das regras aplicadas.

Ativando o UFW e validando as regras ativas

Agora que a porta de administração está devidamente liberada e as políticas padrão foram definidas, podemos ligar o firewall com segurança. Durante o processo de ativação, o sistema emitirá um aviso informando que a operação pode interromper conexões SSH existentes, mas como já liberamos a porta 22, o processo ocorrerá sem interrupções indesejadas.

Para ativar o UFW e inspecionar o painel completo de regras ativas, utilize os comandos sequenciais abaixo no terminal do seu servidor. O uso do parâmetro verbose exibe detalhes adicionais que ajudam a auditar o estado da segurança:

sudo ufw enable
sudo ufw status numbered

O comando status numbered é especialmente útil porque exibe um índice numérico ao lado de cada regra cadastrada. Isso facilita imensamente a remoção ou modificação de regras futuras, bastando referenciar o número da linha correspondente em vez de redigitar toda a regra complexa.

Liberando e bloqueando portas para serviços específicos

Com o firewall ativo e seguro, o próximo passo na rotina de administração de sistemas é liberar portas para os serviços que realmente precisam expor conteúdo para a internet, como servidores web HTTP e HTTPS. Da mesma forma, podemos bloquear endereços IP específicos que estejam realizando tentativas suspeitas de invasão contra a nossa infraestrutura.

Para liberar portas comuns como a 80 para páginas web sem criptografia e a 443 para sites seguros, utilizamos comandos diretos no terminal. Além disso, podemos restringir o acesso a redes confiáveis ou banir IPs maliciosos. Veja exemplos práticos de como gerenciar essas exceções:

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw deny from 203.0.113.50 to any port 22
sudo ufw allow from 192.168.1.0/24 to any port 3306

Essas regras permitem um controle granular, garantindo que apenas tráfego legítimo alcance bancos de dados ou serviços internos. Em ambientes de desenvolvimento ou diagnóstico de rede, ferramentas complementares como a capacidade de inspecionar pacotes de rede com tcpdump no Linux ajudam a validar se os pacotes estão chegando corretamente às portas liberadas. Para aprofundar esses conceitos na prática em produção, confira também nossa análise técnica sobre Como testar fontes ATX na bancada com carga fantasma.

Considerações finais sobre auditoria e manutenção de redes

Manter um firewall configurado não é uma tarefa que se faz uma única vez e se esquece. A segurança de sistemas é um processo contínuo que exige revisões periódicas das regras ativas, remoção de portas legadas que deixaram de ser utilizadas e monitoramento constante dos logs do sistema operacional para identificar padrões anômalos de tráfego. O UFW cumpre esse papel com maestria ao esconder a complexidade do iptables sem abrir mão do controle necessário para manter ambientes corporativos ou pessoais protegidos contra ameaças virtuais.

Adotar boas práticas de administração de redes desde o início da configuração evita dores de cabeça futuras com invasões e vazamentos de dados. Dedique tempo para documentar as exceções criadas no seu firewall e realize testes regulares de conectividade externa para garantir que apenas os serviços intencionais permaneçam visíveis para o restante do mundo.