Introdução
O UFW, ou Firewall Descomplicado, é uma interface simplificada de gestão de firewall que oculta a complexidade das tecnologias de filtragem de pacotes de nível inferior, como o iptables e o nftables. Se você está procurando começar a proteger sua rede e não tem certeza de qual ferramenta usar, o UFW pode ser a escolha certa para você.
Este tutorial irá mostrar como configurar um firewall com o UFW no Debian 11.
Pré-requisitos
Para seguir este tutorial, você precisará de um servidor Debian 11 com um usuário não root com permissões de sudo, que pode ser configurado seguindo os Passos 1 a 3 no tutorial Configuração Inicial do Servidor com Debian 11.
Passo 1 – Instalando o UFW
O Debian não instala o UFW por padrão. Se você seguiu todo o tutorial de Configuração Inicial do Servidor, você terá instalado e ativado o UFW. Caso contrário, instale-o agora usando apt:
- sudo apt install ufw
Você configurará o UFW e o ativará nos seguintes passos.
Passo 2 — Usando IPv6 com UFW (Opcional)
Este tutorial é escrito com o IPv4 em mente, mas funcionará para o IPv6 também se você o habilitar. Se o seu servidor Debian tiver o IPv6 habilitado, você desejará garantir que o UFW esteja configurado para suportar o IPv6. Isso garantirá que o UFW gerencie regras de firewall para IPv6 além do IPv4. Para configurar isso, abra o arquivo de configuração do UFW /etc/default/ufw com o nano ou seu editor favorito:
- sudo nano /etc/default/ufw
Localize IPV6 no arquivo e certifique-se de que o valor seja yes:
IPV6=yes
Salve e feche o arquivo. Se estiver usando o nano, pressione CTRL+X, depois Y, depois ENTER para salvar e sair do arquivo.
Agora, quando o UFW estiver ativado, ele será configurado para escrever regras de firewall tanto para IPv4 quanto para IPv6. Antes de ativar o UFW, no entanto, você desejará garantir que seu firewall esteja configurado para permitir que você se conecte via SSH. Comece definindo as políticas padrão.
Passo 3 — Configurando Políticas Padrão
Se você está apenas começando com seu firewall, as primeiras regras a definir são suas políticas padrão. Essas regras lidam com o tráfego que não corresponde explicitamente a nenhuma outra regra. Por padrão, o UFW está configurado para negar todas as conexões de entrada e permitir todas as conexões de saída. Isso significa que qualquer pessoa que tente alcançar seu servidor não será capaz de se conectar, enquanto qualquer aplicativo dentro do servidor será capaz de alcançar o mundo exterior.
Defina suas regras do UFW de volta para os padrões para ter certeza de que poderá acompanhar este tutorial. Para definir os padrões usados pelo UFW, use esses comandos:
- sudo ufw default deny incoming
- sudo ufw default allow outgoing
Você receberá uma saída como a seguinte:
OutputDefault incoming policy changed to 'deny'
(be sure to update your rules accordingly)
Default outgoing policy changed to 'allow'
(be sure to update your rules accordingly)
Esses comandos configuram os padrões para negar conexões de entrada e permitir conexões de saída. Esses padrões de firewall por si só podem ser suficientes para um computador pessoal, mas os servidores geralmente precisam responder a solicitações de entrada de usuários externos. Você começará este processo no próximo passo.
Passo 4 — Permitindo Conexões SSH
Não é possível ativar seu firewall UFW ainda, pois isso negaria todas as conexões de entrada, incluindo suas tentativas de acessar seu servidor. Isso significa que você precisará criar regras que permitam explicitamente conexões de entrada legítimas — como conexões SSH ou HTTP, por exemplo — se quiser que seu servidor responda a esses tipos de solicitações. Se estiver usando um servidor na nuvem, provavelmente desejará permitir conexões SSH de entrada para poder se conectar e gerenciar seu servidor.
Para configurar seu servidor para permitir conexões SSH de entrada, use este comando:
- sudo ufw allow ssh
Isso criará regras de firewall que permitirão todas as conexões na porta 22, que é a porta na qual o daemon SSH escuta por padrão. O UFW sabe qual porta está vinculada ao allow ssh porque está listada como um serviço no arquivo /etc/services.
No entanto, você pode escrever a regra equivalente especificando a porta em vez do nome do serviço. Por exemplo, este comando produz o mesmo resultado que o acima:
- sudo ufw allow 22
Se você configurou seu daemon SSH para usar uma porta diferente, precisará especificar a porta apropriada. Por exemplo, se seu servidor SSH estiver ouvindo na porta 2222, você pode usar o mesmo comando, mas substituir 22 por 2222.
Agora que seu firewall está configurado para permitir conexões SSH de entrada, você pode ativá-lo.
Passo 5 — Ativando o UFW
Para ativar o UFW, use este comando:
- sudo ufw enable
Você receberá um aviso que diz que o comando pode interromper conexões SSH existentes. Você já configurou uma regra de firewall que permite conexões SSH, então deve estar tudo bem para continuar. Responda à solicitação com y e pressione ENTER.
O firewall está agora ativo. Para ver as regras que você definiu, execute este comando:
- sudo ufw status verbose
O restante deste tutorial aborda como usar o UFW com mais detalhes, incluindo permitir e negar diferentes tipos de conexões.
Passo 6 — Permitindo Outras Conexões
Neste ponto, você deve permitir todas as outras conexões que seu servidor precisa para funcionar corretamente. As conexões que você deve permitir dependem de suas necessidades específicas. Você já sabe como escrever regras que permitem conexões com base em um nome de serviço ou porta; você fez isso para o SSH na porta 22.
Você pode fazer isso para HTTP na porta 80, que é o que servidores web não criptografados usam. Para permitir esse tipo de tráfego, você digitaria:
- sudo ufw allow http
Você também pode fazer isso para HTTPS na porta 443, que é o que servidores web criptografados usam. Para permitir esse tipo de tráfego, você digitaria:
- sudo ufw allow https
Em ambos os cenários, especificar as portas também funcionaria, com HTTP sendo 80 e HTTPS sendo 443. Por exemplo:
- sudo ufw allow 80
Há outras maneiras de permitir conexões, no entanto, além de especificar uma porta ou serviço conhecido. Isso é discutido a seguir.
Intervalos de Porta Específicos
Você pode especificar intervalos de porta com UFW. Por exemplo, algumas aplicações usam múltiplas portas em vez de uma única porta.
Por exemplo, para permitir conexões X11, que utilizam as portas 6000–6007, utilize estes comandos:
- sudo ufw allow 6000:6007/tcp
- sudo ufw allow 6000:6007/udp
Ao especificar intervalos de porta com UFW, você deve especificar o protocolo (tcp ou udp) para o qual as regras devem ser aplicadas. Isso não foi mencionado antes porque não especificar o protocolo automaticamente permite ambos os protocolos, o que é OK na maioria dos casos.
Endereços IP Específicos
Ao trabalhar com UFW, você também pode especificar endereços IP. Por exemplo, se você deseja permitir conexões de um endereço IP específico, como um endereço IP de trabalho ou residencial de 203.0.113.4, você precisa especificar from e, em seguida, o endereço IP:
- sudo ufw allow from 203.0.113.4
Você também pode especificar uma porta específica para a qual o endereço IP está autorizado a se conectar, adicionando to any port seguido do número da porta. Por exemplo, se você deseja permitir que 203.0.113.4 se conecte à porta 22 (SSH), utilize este comando:
- sudo ufw allow from 203.0.113.4 to any port 22
Sub-redes
Se deseja permitir um conjunto de endereços IP, pode fazê-lo utilizando a notação CIDR para especificar uma máscara de rede. Por exemplo, se quiser permitir todos os endereços IP no intervalo de 203.0.113.1 a 203.0.113.254, pode utilizar este comando:
- sudo ufw allow from 203.0.113.0/24
Da mesma forma, pode especificar a porta de destino à qual a sub-rede 203.0.113.0/24 tem permissão para se conectar. Novamente, usando a porta 22 (SSH) como exemplo:
- sudo ufw allow from 203.0.113.0/24 to any port 22
Conexões para uma Interface de Rede Específica
Se desejar criar uma regra de firewall que se aplique apenas a uma interface de rede específica, pode fazê-lo especificando allow in on, seguido pelo nome da interface de rede.
Será útil verificar as suas interfaces de rede antes de prosseguir. Para isso, utilize este comando:
- ip addr
Output. . .
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .
A saída destacada indica os nomes das interfaces de rede. Geralmente, têm nomes como eth0 ou enp3s2.
Se o seu servidor tiver uma interface de rede pública chamada eth0, por exemplo, pode permitir o tráfego HTTP com este comando:
- sudo ufw allow in on eth0 to any port 80
Fazê-lo permitirá que o seu servidor receba pedidos HTTP da internet pública.
Ou, se desejar que um servidor de banco de dados MySQL (porta 3306) escute conexões na interface de rede privada eth1, você pode usar este comando:
- sudo ufw allow in on eth1 to any port 3306
Isso permitiria que outros servidores em sua rede privada se conectassem ao seu banco de dados MySQL.
Passo 7 — Negar Conexões
Se você não alterou a política padrão para conexões de entrada, o UFW está configurado para negar todas as conexões de entrada. Geralmente, isso simplifica o processo de criação de uma política de firewall segura, exigindo que você crie regras que permitam explicitamente portas específicas e endereços IP.
Às vezes, você desejará negar conexões específicas com base no endereço IP de origem ou sub-rede, talvez porque saiba que seu servidor está sendo atacado de lá. Além disso, se desejar alterar sua política padrão de entrada para allow (o que não é recomendado), será necessário criar regras de deny para quaisquer serviços ou endereços IP para os quais você não deseja permitir conexões.
Para escrever regras de deny, você pode usar os comandos descritos acima, substituindo allow por deny.
Por exemplo, para negar conexões HTTP, você pode usar este comando:
- sudo ufw deny http
Ou se desejar negar todas as conexões de 203.0.113.4, você pode usar este comando:
- sudo ufw deny from 203.0.113.4
Agora, você pode aprender como implementar regras de exclusão.
Passo 8 — Excluir Regras
Saber como excluir regras de firewall é tão importante quanto saber como criá-las. Existem duas maneiras de especificar quais regras excluir: pelo número da regra ou pela própria regra. Isso é semelhante à forma como as regras foram especificadas quando foram criadas.
Pelo Número da Regra
Se estiver usando o número da regra para excluir regras de firewall, a primeira coisa que você vai querer fazer é obter uma lista de suas regras de firewall. O comando status do UFW possui a opção numbered, que exibe números ao lado de cada regra:
- sudo ufw status numbered
OutputStatus: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 15.15.15.0/24
[ 2] 80 ALLOW IN Anywhere
Se decidir que deseja excluir a regra 2, que permite conexões HTTP na porta 80, você pode especificar isso no seguinte comando delete do UFW:
- sudo ufw delete 2
Isso mostrará um prompt de confirmação, ao qual você pode responder com y/n. Digitar y irá então excluir a regra 2. Note que se você tiver o IPv6 ativado, também desejará excluir a regra IPv6 correspondente.
Pela Regra Real
A alternativa aos números de regra é especificar a regra real a ser removida. Por exemplo, se você quiser remover a regra allow http, você poderia escrever assim:
- sudo ufw delete allow http
Você também pode especificar a regra com allow 80 em vez do nome do serviço:
- sudo ufw delete allow 80
Este método irá excluir tanto as regras IPv4 quanto as IPv6, se existirem.
Passo 9 — Verificação do Status e Regras do UFW
A qualquer momento, você pode verificar o status do UFW com este comando:
- sudo ufw status verbose
Se o UFW estiver desativado, que é o padrão, a saída será esta:
OutputStatus: inactive
Se o UFW estiver ativo, o que deveria ser se você seguiu o Passo 3, a saída dirá que está ativo e listará quaisquer regras que você tenha definido. Por exemplo, se o firewall estiver configurado para permitir conexões SSH (porta 22) de qualquer lugar, a saída pode incluir algo assim:
OutputStatus: active
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
Use o comando status se quiser verificar como o UFW configurou o firewall.
Passo 10 — Desativando ou Redefinindo o UFW (opcional)
Se você decidir que não deseja mais usar o UFW, você pode desativá-lo com este comando:
- sudo ufw disable
Quaisquer regras que você criou com UFW não estarão mais ativas. Você sempre pode executar sudo ufw enable se precisar ativá-lo posteriormente.
Se você já configurou regras UFW, mas decide que quer começar de novo, pode usar o comando reset:
- sudo ufw reset
Isso desativará o UFW e excluirá quaisquer regras que você definiu anteriormente. Lembre-se de que as políticas padrão não voltarão às configurações originais se você as modificou em algum momento. Isso deve dar a você um novo começo com o UFW.
Conclusão
Seu firewall está agora configurado para permitir (pelo menos) conexões SSH. Certifique-se de permitir quaisquer outras conexões de entrada que seu servidor precise, ao mesmo tempo em que limita conexões desnecessárias. Isso garantirá que seu servidor seja funcional e seguro.
Para saber mais sobre configurações comuns do UFW, confira este tutorial sobre UFW Essentials: Regras e Comandos Comuns do Firewall.