Como configurar regras de firewall no Ubuntu com UFW

Por que você precisa de um firewall no servidor Ubuntu?

Quando colocamos um servidor na internet, seja na nuvem ou em uma máquina local, abrimos uma porta direta para o mundo. Qualquer computador conectado à rede pode tentar conversar com os serviços rodando ali, desde aplicações web legítimas até robôs maliciosos buscando brechas. Na prática, isso significa que deixar portas abertas sem controle é como esquecer a porta da frente de casa destrancada. Para evitar invasões, utilizamos o firewall, que funciona como um porteiro rigoroso decidindo quem entra e quem fica na rua.

No ecossistema Linux, o sistema padrão de filtragem de pacotes é o iptables, mas configurá-lo diretamente pode ser uma tarefa complexa e cheia de sintaxes confusas. É exatamente aí que entra o UFW, sigla para Uncomplicated Firewall, que traduzido significa firewall sem complicações. Ele funciona como uma camada amigável por cima do iptables, permitindo que administradores criem regras claras e objetivas sem precisar decorar comandos longos ou regras avançadas de roteamento de pacotes.

Antes de começarmos a mexer nas regras, vale a pena lembrar que a segurança do sistema depende de várias frentes, incluindo o monitoramento adequado de recursos. Assim como acompanhamos a saúde do hardware conforme discutido no guia sobre como monitorar memória RAM no Linux pelo terminal com free e top, manter o tráfego de rede sob controle é uma rotina vital para a estabilidade de qualquer infraestrutura moderna de tecnologia.

Entendendo o funcionamento básico do UFW

O UFW opera com base em políticas padrão, ou seja, regras gerais que determinam o que acontece com qualquer tráfego que não se encaixe em uma exceção específica. A recomendação padrão de segurança em servidores é bloquear absolutamente todas as conexões de entrada e permitir todas as saídas. Na prática, isso impede que alguém de fora inicie uma conversa com seu servidor, mas permite que seu servidor busque atualizações na internet ou acesse APIs externas sem travamentos.

Outro conceito fundamental são as portas e protocolos. Na rede, os aplicativos escutam em portas numéricas específicas, como a porta 22 para conexões seguras de terminal ou a porta 80 para páginas web tradicionais. Além disso, os dados trafegam usando protocolos de comunicação como o TCP, que garante a entrega ordenada dos pacotes, ou o UDP, focado em velocidade para streaming e consultas rápidas. O UFW permite filtrar o tráfego combinando exatamente esses elementos: liberar ou bloquear uma porta específica usando um protocolo determinado.

Passo a passo para instalar e ativar o UFW

Em muitas distribuições Ubuntu, o UFW já vem pré-instalado por padrão, mas pode estar desativado para evitar bloqueios acidentais durante a instalação do sistema operacional. Para garantir que tudo esteja pronto na sua máquina, o primeiro passo é verificar a presença do pacote e realizar a ativação inicial com segurança rigorosa.

1. Atualize a lista de pacotes e instale o UFW caso ele não esteja presente no sistema:

   sudo apt update && sudo apt install ufw -y

2. Defina a política padrão para bloquear todo o tráfego de entrada e permitir o tráfego de saída:

   sudo ufw default deny incoming && sudo ufw default allow outgoing

3. Ative o firewall no sistema e confirme a operação para garantir que as regras comecem a valer imediatamente:

   sudo ufw enable

Um cuidado indispensável antes de rodar o comando de ativação é garantir que o acesso remoto via terminal não seja cortado. Se você estiver configurando o servidor remotamente e fechar a porta do terminal antes de liberar o acesso, perderá o controle da máquina. Por isso, sempre libere o acesso remoto antes de ligar a chave principal do firewall.

Como liberar portas essenciais para serviços web e SSH

Com o firewall ativo e bloqueando tudo por padrão, precisamos abrir caminhos específicos para os serviços que realmente precisam ser acessados de fora. O exemplo mais clássico é a porta de administração remota, que garante que você continue conseguindo gerenciar o servidor. Caso queira se aprofundar em cenários avançados de proteção para esse serviço específico, vale a pena conferir as recomendações sobre como bloquear ataques de força bruta no SSH com UFW.

Para liberar o acesso remoto seguro, executamos o comando que autoriza o tráfego na porta correspondente. Da mesma forma, se o seu servidor hospeda um site, será necessário liberar as portas padrão da web para que os visitantes consigham carregar as páginas no navegador. Veja os comandos práticos para essas liberações comuns na rotina de administração:

sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https

Além de usar os nomes dos serviços conhecidos pelo sistema, você também pode especificar números de portas exatos, o que é muito útil para aplicações personalizadas, como painéis de controle, bancos de dados expostos ou servidores de jogos. Por exemplo, para liberar a porta 8080 para uma aplicação em desenvolvimento, basta digitar o comando correspondente informando o número e o protocolo desejado.

Verificando o status e gerenciando regras ativas

Depois de configurar as permissões iniciais, é fundamental verificar se tudo está aplicado corretamente e qual é o estado atual das regras no sistema. O UFW oferece comandos simples para exibir o painel de controle em formato de tabela, mostrando exatamente quais portas estão liberadas e quais endereços IP possuem permissões especiais de acesso.

sudo ufw status verbose

Esse comando exibe um relatório completo contendo a política padrão atual, as regras ativadas e se o firewall está ativo ou inativo. Se em algum momento você precisar remover uma regra que foi adicionada por engano, basta repetir o comando original substituindo a palavra allow por delete, garantindo que o ambiente permaneça limpo e sem brechas desnecessárias.

Considerações Finais

Configurar um firewall no Ubuntu com o UFW é uma das etapas mais importantes para garantir a integridade e a segurança de qualquer infraestrutura digital. Ao longo deste artigo, vimos como regras simples de negação padrão combinadas com a liberação cirúrgica de portas essenciais formam uma barreira sólida contra invasões indesejadas. Manter essa disciplina operacional protege seus dados e assegura que os serviços rodem sem interrupções imprevistas.

Lembre-se de que a segurança em tecnologia não é um evento único, mas sim um processo contínuo de monitoramento e ajustes. Faça revisões periódicas nas regras do seu servidor, remova permissões de portas que não são mais utilizadas e acompanhe de perto os logs do sistema para identificar qualquer comportamento suspeito antes que ele se torne um problema real.