Como configurar regras de firewall UFW no Ubuntu Linux

Por que o UFW é indispensável para a segurança do Ubuntu

Gerenciar a segurança de rede de um servidor Linux pode parecer uma tarefa complexa quando olhamos para as regras brutas do iptables, a ferramenta tradicional de filtragem de pacotes do kernel. Na prática, o UFW, sigla para Uncomplicated Firewall, surge exatamente para descomplicar esse processo, servindo como uma interface amigável que traduz comandos simples em regras robustas de rede. Antes de expor qualquer máquina à internet pública, engenheiros de infraestrutura precisam garantir que portas desnecessárias estejam hermeticamente fechadas, reduzindo drasticamente a superfície de ataque contra invasões e varreduras automatizadas de portas.

Em ambientes de produção ou mesmo em servidores domésticos, manter uma política restritiva evita que serviços em segundo plano fiquem vulneráveis a explorações remotas. Quando combinamos o UFW com boas práticas de administração, como a limpeza regular de pacotes e cache do sistema, garantimos um ambiente não apenas seguro, mas também enxuto e performático. O UFW opera por padrão bloqueando todo o tráfego de entrada e permitindo todo o tráfego de saída, uma premissa fundamental que garante que o servidor possa buscar atualizações, mas que nenhum intruso consiga bater na porta sem ser convidado.

Instalação e verificação do status inicial

Antes de aplicar qualquer alteração nas regras de rede, o primeiro passo é verificar se o pacote está presente no sistema operacional e qual é o seu estado atual de operação. Embora o UFW venha pré-instalado na maioria das distribuições baseadas no Debian e Ubuntu, vale a pena confirmar a instalação e garantir que o serviço esteja devidamente integrado ao systemd, o gerenciador de serviços do sistema — processo semelhante ao que realizamos quando precisamos reiniciar serviços travados no Linux para recuperar aplicações. Para verificar o status atual, utilizamos comandos diretos no terminal com privilégios administrativos.

Abaixo está o procedimento inicial para checar e preparar o firewall:

1. Atualize a lista de pacotes do sistema se necessário com sudo apt update.
2. Instale o pacote do firewall executando o comando de instalação.
3. Consulte o estado atual do serviço para ver se ele está ativo ou inativo.

sudo apt update
sudo apt install ufw -y
sudo ufw status verbose

Na prática, se o comando retornar que o status é inativo, significa que todas as portas da máquina estão abertas e expostas conforme os serviços ativos no momento. Ativar o UFW sem antes configurar as regras de acesso remoto essenciais, como a porta do protocolo SSH, pode trancar você para fora do servidor instantaneamente. Por isso, o planejamento das regras básicas deve preceder sempre a ativação definitiva do sistema de proteção.

Definindo políticas padrão e liberando serviços essenciais

A primeira e mais importante decisão ao configurar o UFW é estabelecer as regras padrão de comportamento para pacotes que entram e saem da máquina. A política recomendada por qualquer engenheiro de redes é negar todo o tráfego de entrada e permitir todo o tráfego de saída, assegurando que o servidor decida quem entra enquanto os aplicativos internos têm liberdade para buscar dependências externas. Para aprofundar o isolamento de tráfego, administradores também costumam gerenciar o tráfego local utilizando conceitos avançados de rede, como a liberação cirúrgica de portas no firewall do Linux para serviços específicos que necessitam de comunicação restrita.

Vamos aplicar as políticas padrão e liberar o acesso remoto essencial via SSH antes de ativar o firewall de vez:

1. Configure a política padrão para negar todo o tráfego de entrada.
2. Configure a política padrão para permitir todo o tráfego de saída.
3. Libere a porta padrão de acesso remoto SSH para evitar bloqueio de sessão.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh

Com essas três instruções executadas, a fundação de segurança da sua máquina Ubuntu estará estabelecida. O acesso via terminal continuará funcionando perfeitamente, mas qualquer tentativa de conexão em portas arbitrárias será sumariamente ignorada pelo kernel. É importante ressaltar que a regra allow ssh libera a porta 2505 ou 22 padrão; caso sua infraestrutura utilize uma porta personalizada para dificultar ataques automatizados de força bruta, você precisará especificar o número exato da porta em vez da palavra ssh.

Gerenciando portas específicas e restringindo endereços IP

Muitas vezes, abrir uma porta para o mundo inteiro é um risco desnecessário de segurança, especialmente quando o serviço em questão deve ser acessado apenas por uma rede interna, uma VPN corporativa ou um endereço IP específico de gerenciamento. O UFW permite criar regras altamente direcionadas, combinando números de portas, protocolos de transporte como TCP ou UDP, e origens específicas. Na prática, isso significa que você pode autorizar um banco de dados ou painel administrativo a aceitar conexões exclusivamente vindas da estação de trabalho do administrador ou de outro servidor confiável do cluster.

Para exemplificar a criação de regras granulares, veja como liberar o tráfego HTTP e restringir uma porta de banco de dados:

1. Libere a porta web padrão para tráfego HTTP de qualquer origem na internet.
2. Autorize o acesso à porta do banco de dados PostgreSQL apenas para um IP específico.
3. Ative efetivamente o firewall após validar todas as regras configuradas.

sudo ufw allow 80/tcp
sudo ufw allow from 192.168.1.100 to any port 5432 proto tcp
sudo ufw enable

Ao executar o comando enable, o UFW entra em operação imediata e passa a aplicar as regras em tempo real. Se você cometer algum erro e perder a conexão, reiniciar a máquina física ou utilizar o painel de controle do provedor de nuvem será necessário para recuperar o acesso. Por isso, a validação prévia com o comando verbose e a garantia de que a chave SSH está liberada salvam administradores de grandes dores de cabeça em ambientes remotos.

Auditoria e solução de problemas no dia a dia

Configurar o firewall não é um evento único que fazemos e esquecemos, mas sim um processo contínuo de auditoria e manutenção da infraestrutura. Com o passar do tempo, novos serviços são instalados, portas antigas deixam de ser utilizadas e regras obsoletas acumulam-se no sistema, gerando confusão e potenciais brechas de segurança. Saber listar as regras numeradas permite que o administrador remova entradas incorretas com precisão cirúrgica, indicando exatamente o índice da regra que deve ser apagada do painel de controle do UFW.

Para auditar e limpar regras antigas do sistema, utilize os seguintes comandos no terminal:

1. Liste todas as regras ativas exibindo seus respectivos números de índice.
2. Remova uma regra específica utilizando o número correspondente na listagem.
3. Desative temporariamente o firewall caso precise realizar testes complexos de rede.

sudo ufw status numbered
sudo ufw delete 3
sudo ufw disable

Manter o hábito de inspecionar o status do firewall garante que alterações acidentadas feitas por scripts de instalação de softwares de terceiros sejam identificadas rapidamente. O UFW registra eventos suspeitos nos logs do sistema, permitindo que ferramentas de monitoramento identifiquem padrões de ataque antes que comprometam a integridade dos dados hospedados na infraestrutura.

Considerações finais sobre boas práticas de rede

O uso consciente e disciplinado do UFW transforma o Ubuntu Linux em uma fortaleza digital pronta para enfrentar os desafios de ambientes conectados à internet. Ao fechar portas desnecessárias, aplicar políticas restritivas de entrada e auditar regularmente as regras ativas, engenheiros de infraestrutura reduzem drasticamente o risco de invasões e vazamentos de dados confidenciais. A simplicidade da ferramenta não deve mascarar sua potência; cada regra adicionada representa uma decisão deliberada sobre o fluxo de informações que sua aplicação tolera. Integrar essa rotina de segurança ao ciclo diário de operações garante estabilidade, previsibilidade e tranquilidade para sustentar cargas de trabalho críticas em produção.