Como Configurar um Firewall com UFW no Ubuntu

Introdução

O UFW, ou Firewall Descomplicado, é uma interface para o iptables que visa simplificar o processo de configuração de um firewall. Enquanto o iptables é uma ferramenta sólida e flexível, pode ser difícil para iniciantes aprender a utilizá-lo para configurar adequadamente um firewall. Se você está procurando começar a proteger sua rede e não tem certeza de qual ferramenta usar, o UFW pode ser a escolha certa para você.

Este tutorial mostrará como configurar um firewall com o UFW no Ubuntu v18.04 e versões posteriores.

Pré-requisitos

Para seguir este tutorial, você precisará de:

• Um servidor executando Ubuntu, juntamente com um usuário não root com privilégios de sudo. Para orientações sobre como configurar isso, por favor escolha sua distribuição nesta lista e siga nosso Guia de Configuração Inicial do Servidor.

• O UFW é instalado por padrão no Ubuntu. Se ele foi desinstalado por algum motivo, você pode instalá-lo com sudo apt install ufw.

Configurando o firewall do Ubuntu com UFW

1. Habilitando o IPv6
2. Configurando as políticas padrão
3. Permitindo conexões SSH
4. Habilitando o UFW
5. Permitindo quaisquer outras conexões necessárias
6. Negando conexões
7. Excluindo Regras do Firewall
8. Verificar o Status e as Regras do UFW
9. Como Desativar ou Redefinir o Firewall no Ubuntu

Passo 1 — Certificar-se de que o IPv6 está Habilitado

Nas versões recentes do Ubuntu, o IPv6 está habilitado por padrão. Na prática, isso significa que a maioria das regras de firewall adicionadas ao servidor incluirá tanto uma versão IPv4 quanto uma versão IPv6, esta última identificada pelo v6 dentro da saída do comando de status do UFW. Para garantir que o IPv6 esteja habilitado, você pode verificar o arquivo de configuração do UFW em /etc/default/ufw. Abra este arquivo usando o nano ou seu editor de linha de comando favorito:

sudo nano /etc/default/ufw

Em seguida, certifique-se de que o valor de IPV6 esteja definido como yes. Deve parecer com isto:

IPV6=yes

Salve e feche o arquivo. Se estiver usando o nano, você pode fazer isso digitando CTRL+X, depois Y e ENTER para confirmar.

Quando o UFW estiver habilitado em uma etapa posterior deste guia, ele será configurado para escrever regras de firewall tanto IPv4 quanto IPv6.

Passo 2 — Configurando Políticas Padrão

Se você está começando a usar o UFW, um bom primeiro passo é verificar suas políticas padrão de firewall. Essas regras controlam como lidar com o tráfego que não corresponde explicitamente a nenhuma outra regra.

Por padrão, o UFW está configurado para negar todas as conexões de entrada e permitir todas as conexões de saída. Isso significa que qualquer pessoa tentando acessar seu servidor não seria capaz de se conectar, enquanto qualquer aplicativo dentro do servidor seria capaz de alcançar o mundo exterior. Regras adicionais para permitir serviços e portas específicas são incluídas como exceções a essa política geral.

Para garantir que você consiga acompanhar o restante deste tutorial, agora você configurará suas políticas padrão do UFW para tráfego de entrada e saída.

Para definir a política padrão de entrada do UFW como deny, execute:

sudo ufw default deny incoming

Output
Default incoming policy changed to 'deny'
(be sure to update your rules accordingly)

Para definir a política padrão de saída do UFW como allow, execute:

sudo ufw default allow outgoing

Output
Default outgoing policy changed to 'allow'
(be sure to update your rules accordingly)

Esses comandos definem as padrões para negar conexões de entrada e permitir conexões de saída. Esses padrões de firewall sozinhos podem ser suficientes para um computador pessoal, mas servidores geralmente precisam responder a solicitações de entrada de usuários externos. Vamos examinar isso a seguir.

Passo 3 — Permitindo Conexões SSH

Se você habilitar agora o firewall UFW, ele negará todas as conexões de entrada. Isso significa que você precisará criar regras que permitam explicitamente conexões de entrada legítimas — como conexões SSH ou HTTP, por exemplo — se deseja que seu servidor responda a esses tipos de solicitações. Se estiver usando um servidor na nuvem, provavelmente desejará permitir conexões SSH de entrada para poder conectar-se e gerenciar seu servidor.

Permitindo o Perfil de Aplicativo OpenSSH do UFW

Ao ser instalada, a maioria das aplicações que dependem de conexões de rede registrarão um perfil de aplicativo no UFW, o que permite aos usuários permitir ou negar rapidamente o acesso externo a um serviço. Você pode verificar quais perfis estão atualmente registrados no UFW com:

sudo ufw app list

Output
Available applications:
  OpenSSH

Para habilitar o perfil de aplicativo OpenSSH, execute:

sudo ufw allow OpenSSH

Output
Rule added
Rule added (v6)

Isto criará regras de firewall para permitir todas as conexões na porta 22, que é a porta em que o daemon SSH escuta por padrão.

Permitir SSH pelo Nome do Serviço

Outra maneira de configurar o UFW para permitir conexões SSH de entrada é referenciando o nome do serviço: ssh.

sudo ufw allow ssh

Output
Rule added
Rule added (v6)

O UFW sabe quais portas e protocolos um serviço usa com base no arquivo /etc/services.

Permitir SSH pelo Número da Porta

Alternativamente, você pode escrever a regra equivalente especificando a porta em vez do perfil do aplicativo ou nome do serviço. Por exemplo, este comando funciona da mesma forma que os exemplos anteriores:

sudo ufw allow 22

Output
Rule added
Rule added (v6)

Se você configurou seu daemon SSH para usar uma porta diferente, precisará especificar a porta apropriada. Por exemplo, se seu servidor SSH estiver ouvindo na porta 2222, você pode usar este comando para permitir conexões nessa porta:

sudo ufw allow 2222

Output
Rule added
Rule added (v6)

Agora que seu firewall está configurado para permitir conexões SSH de entrada, você pode ativá-lo.

Passo 4 — Habilitando o UFW

Seu firewall deve agora estar configurado para permitir conexões SSH. Para verificar quais regras foram adicionadas até agora, mesmo quando o firewall ainda está desativado, você pode usar:

sudo ufw show added

Output
Added user rules (see 'ufw status' for running firewall):
ufw allow OpenSSH

Após confirmar que você tem uma regra para permitir conexões SSH de entrada, você pode habilitar o firewall com:

sudo ufw enable

Output
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup

Você receberá um aviso que diz que o comando pode interromper conexões SSH existentes. Você já configurou uma regra de firewall que permite conexões SSH, então deve estar tudo bem para continuar. Responda à solicitação com y e pressione ENTER.

O firewall está agora ativo. Execute o comando sudo ufw status verbose para ver as regras que estão definidas. O restante deste tutorial aborda como usar o UFW com mais detalhes, como permitir ou negar diferentes tipos de conexões.

Passo 5 — Permitindo Outras Conexões

Neste ponto, você deve permitir todas as outras conexões que seu servidor precisa responder. As conexões que você deve permitir dependem de suas necessidades específicas. Você já sabe como escrever regras que permitem conexões com base em um perfil de aplicativo, um nome de serviço ou uma porta; você já fez isso para SSH na porta 22. Você também pode fazer isso para:

• HTTP na porta 80, que é o que servidores web não criptografados usam, usando sudo ufw allow http ou sudo ufw allow 80
• HTTPS na porta 443, que é o que servidores web criptografados usam, usando sudo ufw allow https ou sudo ufw allow 443
• Apache com HTTP e HTTPS, usando sudo ufw allow ‘Apache Full’
• Nginx com HTTP e HTTPS, usando sudo ufw allow ‘Nginx Full’

Não se esqueça de verificar quais perfis de aplicativos estão disponíveis para o seu servidor com sudo ufw app list.

Há várias outras maneiras de permitir conexões, além de especificar uma porta ou nome de serviço conhecido. Veremos algumas delas a seguir.

Intervalos de Portas Específicos

Você pode especificar intervalos de portas com UFW. Alguns aplicativos usam várias portas, em vez de uma única porta.

Por exemplo, para permitir conexões X11, que usam as portas 6000–6007, use estes comandos:

sudo ufw allow 6000:6007/tcp
sudo ufw allow 6000:6007/udp

Ao especificar intervalos de portas com UFW, você deve especificar o protocolo (tcp ou udp) para o qual as regras devem ser aplicadas. Não mencionamos isso antes porque não especificar o protocolo permite automaticamente ambos os protocolos, o que é OK na maioria dos casos.

Endereços IP Específicos

Ao trabalhar com UFW, você também pode especificar endereços IP dentro de suas regras. Por exemplo, se você deseja permitir conexões de um IP específico, como o endereço IP do trabalho ou de casa 203.0.113.4, você precisa usar o parâmetro from, fornecendo então o endereço IP que deseja permitir:

sudo ufw allow from 203.0.113.4

Output
Rule added

Você também pode especificar uma porta à qual o endereço IP está autorizado a se conectar, adicionando to any port seguido do número da porta. Por exemplo, se você quiser permitir que 203.0.113.4 se conecte à porta 22 (SSH), use este comando:

sudo ufw allow from 203.0.113.4 to any port 22

Output
Rule added

Sub-redes

Se você quiser permitir uma sub-rede de endereços IP, pode fazê-lo usando a notação CIDR para especificar uma máscara de rede. Por exemplo, se você deseja permitir todos os endereços IP que variam de 203.0.113.1 a 203.0.113.254, você pode usar este comando:

sudo ufw allow from 203.0.113.0/24

Output
Rule added

Da mesma forma, você também pode especificar a porta de destino à qual a sub-rede 203.0.113.0/24 tem permissão para se conectar. Novamente, usaremos a porta 22 (SSH) como exemplo:

sudo ufw allow from 203.0.113.0/24 to any port 22

Output
Rule added

Conexões para uma Interface de Rede Específica

Se você deseja criar uma regra de firewall que se aplique apenas a uma interface de rede específica, você pode fazer isso especificando “permitir em em” seguido pelo nome da interface de rede.

Você pode querer procurar suas interfaces de rede antes de continuar. Para fazer isso, use este comando:

ip addr

Output Excerpt
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .

A saída destacada indica os nomes das interfaces de rede. Elas geralmente têm nomes como eth0 ou enp3s2.

Portanto, se o seu servidor tiver uma interface de rede pública chamada eth0, você poderia permitir o tráfego HTTP (porta 80) para ela com este comando:

sudo ufw allow in on eth0 to any port 80

Output
Rule added
Rule added (v6)

Fazendo isso permitirá que seu servidor receba solicitações HTTP da internet pública.

Ou, se você deseja que seu servidor de banco de dados MySQL (porta 3306) escute conexões na interface de rede privada eth1, por exemplo, você poderia usar este comando:

sudo ufw allow in on eth1 to any port 3306

Output
Rule added
Rule added (v6)

Isso permitiria que outros servidores na sua rede privada se conectassem ao seu banco de dados MySQL.

Passo 6 — Negando Conexões

Se você não alterou a política padrão para conexões de entrada, o UFW está configurado para negar todas as conexões de entrada. Geralmente, isso simplifica o processo de criação de uma política de firewall segura, exigindo que você crie regras que permitam explicitamente portas e endereços IP específicos.

No entanto, às vezes você vai querer negar conexões específicas com base no endereço IP de origem ou sub-rede, talvez porque você saiba que seu servidor está sendo atacado de lá. Além disso, se você quiser alterar sua política de entrada padrão para permitir (o que não é recomendado), você precisaria criar regras de negar para quaisquer serviços ou endereços IP que você não queira permitir conexões.

Para escrever regras de negar, você pode usar os comandos previamente descritos, substituindo permitir por negar.

Por exemplo, para negar conexões HTTP, você poderia usar este comando:

sudo ufw deny http

Output
Rule added
Rule added (v6)

Ou se você quiser negar todas as conexões de 203.0.113.4, você poderia usar este comando:

sudo ufw deny from 203.0.113.4

Output
Rule added

Em alguns casos, você também pode querer bloquear conexões de saída do servidor. Para negar todos os usuários de usar uma porta no servidor, como a porta 25 para tráfego SMTP, você pode usar negar saída seguido pelo número da porta:

sudo ufw deny out 25

Output
Rule added
Rule added (v6)

Isso irá bloquear todo o tráfego SMTP de saída no servidor.

Passo 7 — Excluindo Regras

Saber como excluir regras de firewall é tão importante quanto saber como criá-las. Existem duas maneiras diferentes de especificar quais regras excluir: pelo número da regra ou pela sua denominação legível (semelhante à forma como as regras foram especificadas quando foram criadas).

Excluindo uma Regra UFW pelo Número

Para excluir uma regra UFW pelo seu número, primeiro você vai querer obter uma lista numerada de todas as suas regras de firewall. O comando de status do UFW tem uma opção para exibir números ao lado de cada regra, como demonstrado aqui:

sudo ufw status numbered

Numbered Output:
Status: active

     To                         Action      From
     --                         ------      ----
[ 1] 22                         ALLOW IN    15.15.15.0/24
[ 2] 80                         ALLOW IN    Anywhere

Se você decidir que quer excluir a regra número 2, aquela que permite conexões na porta 80 (HTTP), você pode especificá-la em um comando de exclusão do UFW assim:

sudo ufw delete 2

Output
Deleting:
 allow 80
Proceed with operation (y|n)? y
Rule deleted

Isso solicitará uma confirmação e então excluirá a regra 2, que permite conexões HTTP. Note que se você tiver o IPv6 ativado, você vai querer excluir a regra IPv6 correspondente também.

Excluindo uma Regra UFW pelo Nome

Em vez de usar números de regra, você também pode se referir a uma regra pelo seu nome legível para humanos, que é baseado no tipo de regra (tipicamente allow ou deny) e o nome do serviço ou número da porta que era o alvo para essa regra, ou o nome do perfil de aplicativo caso isso tenha sido usado. Por exemplo, se você quiser excluir uma regra allow para um perfil de aplicativo chamado Apache Full que foi previamente ativado, você pode usar:

sudo ufw delete allow "Apache Full"

Output
Rule deleted
Rule deleted (v6)

O comando delete funciona da mesma maneira para regras que foram criadas referenciando um serviço pelo seu nome ou porta. Por exemplo, se você anteriormente definiu uma regra para permitir conexões HTTP com sudo ufw allow http, assim é como você poderia excluir essa regra:

sudo ufw delete allow http

Output
Rule deleted
Rule deleted (v6)

Como os nomes de serviço são intercambiáveis com números de porta ao especificar regras, você também poderia se referir à mesma regra como allow 80, em vez de allow http:

sudo ufw delete allow 80

Output
Rule deleted
Rule deleted (v6)

Ao excluir regras UFW pelo nome, tanto as regras IPv4 quanto IPv6 são excluídas se existirem.

Passo 8 — Verificando o Status e as Regras do UFW

Em qualquer momento, você pode verificar o status do UFW com este comando:

sudo ufw status verbose

Se o UFW estiver desativado, o que é o padrão, você verá algo assim:

Output
Status: inactive

Se o UFW estiver ativo, o que deveria estar se você seguiu o Passo 3, a saída indicará que está ativo e listará quaisquer regras configuradas. Por exemplo, se o firewall estiver configurado para permitir conexões SSH (porta 22) de qualquer lugar, a saída pode se parecer com isso:

Output
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing), disabled (routed)
New profiles: skip

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere

Use o comando status se desejar verificar como o UFW configurou o firewall.

Passo 9 — Desativar ou Redefinir o Firewall

Se você decidir que não deseja mais usar o firewall UFW, pode desativá-lo com este comando:

sudo ufw disable

Output
Firewall stopped and disabled on system startup

Quaisquer regras que você tenha criado com o UFW não estarão mais ativas. Você sempre pode executar sudo ufw enable se precisar ativá-lo posteriormente.

Se você já configurou regras do UFW, mas decide começar do zero, pode usar o comando de redefinição:

sudo ufw reset

Output
Resetting all rules to installed defaults. This may disrupt existing ssh
connections. Proceed with operation (y|n)? y
Backing up 'user.rules' to '/etc/ufw/user.rules.20210729_170353'
Backing up 'before.rules' to '/etc/ufw/before.rules.20210729_170353'
Backing up 'after.rules' to '/etc/ufw/after.rules.20210729_170353'
Backing up 'user6.rules' to '/etc/ufw/user6.rules.20210729_170353'
Backing up 'before6.rules' to '/etc/ufw/before6.rules.20210729_170353'
Backing up 'after6.rules' to '/etc/ufw/after6.rules.20210729_170353'

Isso desativará o UFW e excluirá quaisquer regras que tenham sido definidas anteriormente. Isso deve lhe dar um novo começo com o UFW. Tenha em mente que as políticas padrão não mudarão para suas configurações originais, se você as modificou em algum momento.

Conclusão

Seu firewall agora está configurado para permitir (pelo menos) conexões SSH. Certifique-se de permitir quaisquer outras conexões de entrada que seu servidor requer, enquanto limita quaisquer conexões desnecessárias, para que seu servidor seja funcional e seguro.

Para aprender mais sobre configurações comuns do UFW, confira o tutorial UFW Essentials: Regras e Comandos Comuns do Firewall.