Introdução
O UFW, ou Firewall Descomplicado, é uma interface simplificada de gerenciamento de firewall que oculta a complexidade das tecnologias de filtragem de pacotes de nível inferior, como iptables e nftables. Se você está procurando começar a proteger sua rede e não tem certeza de qual ferramenta usar, o UFW pode ser a escolha certa para você.
Este tutorial mostrará como configurar um firewall com UFW no Debian 11.
Pré-requisitos
Para seguir este tutorial, você precisará de um servidor Debian 11 com um usuário não-root com permissões de sudo, que você pode configurar seguindo o Passo 1 ao 3 no tutorial Configuração Inicial do Servidor com Debian 11.
Passo 1 – Instalando o UFW
O Debian não instala o UFW por padrão. Se você seguiu todo o tutorial de Configuração Inicial do Servidor , você terá instalado e habilitado o UFW. Caso contrário, instale agora usando apt:
Você irá configurar o UFW e habilitá-lo nos seguintes passos.
Passo 2 — Utilizando IPv6 com UFW (Opcional)
Este tutorial é escrito com o IPv4 em mente, mas funcionará para o IPv6 também se você o habilitar. Se o seu servidor Debian tiver o IPv6 habilitado, você vai querer garantir que o UFW esteja configurado para suportar o IPv6. Isso garantirá que o UFW gerencie regras de firewall para IPv6 além do IPv4. Para configurar isso, abra o arquivo de configuração do UFW /etc/default/ufw com o nano ou o seu editor favorito:
Localize IPV6 no arquivo e assegure-se de que o valor seja yes:
IPV6=yes
Salve e feche o arquivo. Se estiver usando o nano, pressione CTRL+X, depois Y, depois ENTER para salvar e sair do arquivo.
Agora, quando o UFW estiver habilitado, ele será configurado para escrever regras de firewall tanto para IPv4 quanto para IPv6. Antes de habilitar o UFW, no entanto, você vai querer garantir que o seu firewall esteja configurado para permitir que você se conecte via SSH. Comece com a configuração das políticas padrão.
Passo 3 — Configurando Políticas Padrão
Se você está apenas começando com o seu firewall, as primeiras regras a definir são as suas políticas padrão. Essas regras lidam com o tráfego que não corresponde explicitamente a nenhuma outra regra. Por padrão, o UFW está configurado para negar todas as conexões de entrada e permitir todas as conexões de saída. Isso significa que qualquer pessoa que tente alcançar o seu servidor não será capaz de se conectar, enquanto qualquer aplicativo dentro do servidor poderá alcançar o mundo exterior.
Defina as suas regras UFW de volta para os padrões para garantir que você consiga seguir este tutorial. Para definir os padrões usados pelo UFW, use estes comandos:
Você receberá uma saída como a seguinte:
OutputDefault incoming policy changed to 'deny'
(be sure to update your rules accordingly)
Default outgoing policy changed to 'allow'
(be sure to update your rules accordingly)
Estes comandos configuram os padrões para negar conexões de entrada e permitir conexões de saída. Apenas esses padrões de firewall podem ser suficientes para um computador pessoal, mas servidores geralmente precisam responder a solicitações de entrada de usuários externos. Você começará esse processo no próximo passo.
Passo 4 — Permitindo Conexões SSH
Você não pode ativar seu firewall UFW ainda, pois isso negaria todas as conexões de entrada, incluindo suas tentativas de acessar seu servidor. Isso significa que você precisará criar regras que permitam explicitamente conexões legítimas de entrada — como conexões SSH ou HTTP, por exemplo — se quiser que seu servidor responda a esses tipos de solicitações. Se você estiver usando um servidor na nuvem, provavelmente desejará permitir conexões SSH de entrada para poder se conectar e gerenciar seu servidor.
Para configurar seu servidor para permitir conexões SSH de entrada, use este comando:
Isso criará regras de firewall que permitirão todas as conexões na porta 22, que é a porta na qual o daemon SSH escuta por padrão. O UFW sabe qual porta está associada ao permitir ssh porque ela está listada como um serviço no arquivo /etc/services.
No entanto, você pode realmente escrever a regra equivalente especificando a porta em vez do nome do serviço. Por exemplo, este comando produz o mesmo resultado que o acima:
Se você configurou seu daemon SSH para usar uma porta diferente, precisará especificar a porta apropriada. Por exemplo, se seu servidor SSH estiver ouvindo na porta 2222, você pode usar o mesmo comando, mas substituir 22 por 2222.
Agora que seu firewall está configurado para permitir conexões SSH de entrada, você pode ativá-lo.
Etapa 5 — Habilitando UFW
Para habilitar o UFW, use este comando:
Você receberá um aviso que diz que o comando pode interromper as conexões SSH existentes. Você já configurou uma regra de firewall que permite conexões SSH, então deve estar tudo bem para continuar. Responda à solicitação com y e pressione ENTER.
O firewall está agora ativo. Para ver as regras que você definiu, execute este comando:
O restante deste tutorial aborda como usar o UFW com mais detalhes, incluindo permitir e negar diferentes tipos de conexões.
Passo 6 — Permitindo Outras Conexões
Neste ponto, você deve permitir todas as outras conexões que seu servidor precisa para funcionar corretamente. As conexões que você deve permitir dependem de suas necessidades específicas. Você já sabe como escrever regras que permitem conexões com base em um nome de serviço ou porta; você fez isso para SSH na porta 22.
Você pode fazer isso para HTTP na porta 80, que é o que os servidores web não criptografados usam. Para permitir esse tipo de tráfego, você digitaria:
Você também pode fazer isso para HTTPS na porta 443, que é o que os servidores web criptografados usam. Para permitir esse tipo de tráfego, você digitaria:
Em ambos os cenários, especificar as portas também funcionaria, com HTTP sendo 80 e HTTPS sendo 443. Por exemplo:
Há outras maneiras de permitir conexões, no entanto, além de especificar uma porta ou serviço conhecido. Isso é discutido a seguir.
Intervalos de Portas Específicos
Você pode especificar intervalos de portas com UFW. Por exemplo, alguns aplicativos usam várias portas em vez de uma única porta.
Por exemplo, para permitir conexões X11, que usam as portas 6000–6007, use estes comandos:
Ao especificar intervalos de portas com UFW, você deve especificar o protocolo (tcp ou udp) ao qual as regras devem se aplicar. Isso não foi mencionado antes porque não especificar o protocolo permite automaticamente ambos os protocolos, o que é OK na maioria dos casos.
Endereços IP Específicos
Ao trabalhar com UFW, você também pode especificar endereços IP. Por exemplo, se você quiser permitir conexões de um endereço IP específico, como um endereço IP de trabalho ou residencial de 203.0.113.4, você precisa especificar from e em seguida o endereço IP:
Você também pode especificar uma porta específica à qual o endereço IP pode se conectar, adicionando to any port seguido do número da porta. Por exemplo, se você quiser permitir que 203.0.113.4 se conecte à porta 22 (SSH), use este comando:
Sub-redes
Se deseja permitir uma sub-rede de endereços IP, pode fazê-lo usando a notação CIDR para especificar uma máscara de rede. Por exemplo, se deseja permitir todos os endereços IP variando de 203.0.113.1 a 203.0.113.254, pode usar este comando:
Da mesma forma, também pode especificar a porta de destino à qual a sub-rede 203.0.113.0/24 pode se conectar. Novamente, usando a porta 22 (SSH) como exemplo:
Conexões para uma Interface de Rede Específica
Se deseja criar uma regra de firewall que se aplique apenas a uma interface de rede específica, pode fazê-lo especificando allow in on, seguido pelo nome da interface de rede.
Será útil verificar suas interfaces de rede antes de continuar. Para fazer isso, use este comando:
Output. . .
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state
. . .
3: eth1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default
. . .
A saída destacada indica os nomes das interfaces de rede. Elas costumam ter nomes como eth0 ou enp3s2.
Se o seu servidor tiver uma interface de rede pública chamada eth0, por exemplo, poderia permitir o tráfego HTTP para ela com este comando:
Ao fazer isso, seu servidor poderá receber solicitações HTTP da internet pública.
Ou, se você quiser que um servidor de banco de dados MySQL (porta 3306) escute conexões na interface de rede privada eth1, você poderia usar este comando:
Isto permitiria que outros servidores na sua rede privada se conectem ao seu banco de dados MySQL.
Passo 7 — Negando Conexões
Se você não alterou a política padrão para conexões de entrada, o UFW está configurado para negar todas as conexões de entrada. Geralmente, isso simplifica o processo de criação de uma política de firewall segura, exigindo que você crie regras que permitam explicitamente portas e endereços IP específicos.
Às vezes, você vai querer negar conexões específicas com base no endereço IP de origem ou sub-rede, no entanto, talvez porque você saiba que seu servidor está sendo atacado de lá. Além disso, se você quiser alterar sua política de entrada padrão para permitir (o que não é recomendado), você precisaria criar regras de negar para quaisquer serviços ou endereços IP que você não queira permitir conexões.
Para escrever regras de negar, você pode usar os comandos descritos acima, substituindo permitir por negar.
Por exemplo, para negar conexões HTTP, você poderia usar este comando:
Ou se você quiser negar todas as conexões de 203.0.113.4 você poderia usar este comando:
Agora, você pode aprender como implementar regras de exclusão.
Passo 8 — Excluindo Regras
Saber como excluir regras do firewall é tão importante quanto saber como criá-las. Existem duas maneiras de especificar quais regras excluir: pelo número da regra ou pela própria regra. Isso é semelhante à forma como as regras foram especificadas quando foram criadas.
Pelo Número da Regra
Se você estiver usando o número da regra para excluir regras do firewall, a primeira coisa que você vai querer fazer é obter uma lista das suas regras do firewall. O comando status do UFW possui a opção numbered, que exibe números ao lado de cada regra:
OutputStatus: active
To Action From
-- ------ ----
[ 1] 22 ALLOW IN 15.15.15.0/24
[ 2] 80 ALLOW IN Anywhere
Se você decidir que deseja excluir a regra 2, que permite conexões HTTP na porta 80, você pode especificar isso no seguinte comando delete do UFW:
Isso mostrará um prompt de confirmação, ao qual você pode responder com y/n. Digitar y irá então excluir a regra 2. Note que se você tiver o IPv6 habilitado, você vai querer excluir a regra IPv6 correspondente também.
Pela Própria Regra
A alternativa aos números de regra é especificar a regra real a ser excluída. Por exemplo, se você deseja remover a regra allow http, você poderia escrever assim:
Você também pode especificar a regra com allow 80 em vez do nome do serviço:
Este método excluirá tanto as regras IPv4 quanto IPv6, se existirem.
Passo 9 — Verificação do Status e Regras do UFW
A qualquer momento, você pode verificar o status do UFW com este comando:
Se o UFW estiver desativado, que é o padrão, a saída será esta:
OutputStatus: inactive
Se o UFW estiver ativo, como deveria estar se você seguiu o Passo 3, a saída indicará que está ativo e listará quaisquer regras que você definiu. Por exemplo, se o firewall estiver configurado para permitir conexões SSH (porta 22) de qualquer lugar, a saída poderá incluir algo assim:
OutputStatus: active
To Action From
-- ------ ----
22/tcp ALLOW IN Anywhere
Use o comando status se você quiser verificar como o UFW configurou o firewall.
Passo 10 — Desabilitando ou Redefinindo o UFW (opcional)
Se você decidir que não deseja mais usar o UFW, você pode desabilitá-lo com este comando:
Qualquer regra que você criou com o UFW não estará mais ativa. Você sempre pode executar sudo ufw enable se precisar ativá-la posteriormente.
Se você já configurou regras do UFW, mas decide começar de novo, você pode usar o comando reset:
Isso desativará o UFW e excluirá quaisquer regras que você tenha definido anteriormente. Lembre-se de que as políticas padrão não voltarão às configurações originais se você as modificou em algum momento. Isso deve lhe dar um novo começo com o UFW.
Conclusão
Seu firewall está agora configurado para permitir (pelo menos) conexões SSH. Certifique-se de permitir quaisquer outras conexões de entrada que seu servidor precise, ao mesmo tempo que limita conexões desnecessárias. Isso garantirá que seu servidor seja funcional e seguro.
Para saber mais sobre configurações comuns do UFW, confira este tutorial sobre UFW Essentials: Regras e Comandos de Firewall Comuns.
Source:
https://www.digitalocean.com/community/tutorials/how-to-set-up-a-firewall-with-ufw-on-debian