Instalar UFW: Como Configurar um Firewall Básico no Linux

O UFW (Uncomplicated Firewall) simplifica a gestão do firewall no Linux, proporcionando uma interface fácil de usar para o iptables. Este guia aborda a instalação e configuração do UFW em distribuições baseadas no Debian, desde a configuração básica até configurações práticas de firewall para desktops e servidores web.

Neste tutorial, irá aprender:

• Como instalar o UFW em distribuições baseadas no Debian
• Como configurar as políticas de firewall por defeito
• Como permitir e negar tráfego por serviço, porta e IP
• Como usar perfis de aplicação do UFW
• Como configurar regras de firewall para desktops e servidores

Resumo do artigo: Instale o UFW com sudo apt install ufw, depois configure as políticas padrão e ative o firewall.

sudo apt install ufw

sudo ufw allow ssh

sudo ufw enable

Instalar o UFW

O UFW está disponível nos repositórios padrão das distribuições baseadas em Debian. Instale-o utilizando o gestor de pacotes apt:

$ sudo apt install ufw

Após a instalação, o UFW está inativo por defeito. Isto permite-lhe configurar as suas regras antes de ativar o firewall, evitando bloqueios acidentais a partir de sistemas remotos.

Definir as Suas Preferências

Tal como com o iptables, é melhor começar por definir o comportamento padrão. Nos computadores de secretária, normalmente quer-se negar o tráfego de entrada enquanto se permitem as ligações de saída.

$ sudo ufw default deny incoming

A sintaxe para permitir o tráfego é semelhante:

$ sudo ufw default allow outgoing

Estas configurações padrão garantem que as ligações recebidas não solicitadas sejam bloqueadas, enquanto o seu sistema ainda consegue aceder à internet e a serviços externos.

Uso Básico

Agora está pronto para começar a definir regras e a gerir o seu firewall. Os comandos do UFW foram concebidos para serem legíveis e intuitivos.

Iniciar e Parar

Embora possa usar o systemd para controlar o UFW, ele tem os seus próprios controlos que são mais fáceis. Comece por ativar o UFW:

$ sudo ufw enable

Para parar e desativar o UFW durante a inicialização:

$ sudo ufw disable

Verifique se o UFW está ativo e veja as regras em vigor:

$ sudo ufw status

Para uma saída mais detalhada, incluindo os números das regras:

$ sudo ufw status numbered

Comandos

Permitir tráfego HTTP de entrada usando o nome do serviço:

$ sudo ufw allow http

Permitir conexões SSH:

$ sudo ufw allow ssh

Pode alcançar o mesmo resultado usando números de porta. Este comando permite o tráfego HTTPS de entrada na porta 443:

$ sudo ufw allow 443

Permitir tráfego de um endereço IP específico ou de uma gama de redes. Este exemplo permite todo o tráfego da rede local:

$ sudo ufw allow from 192.168.1.0/24

Para uma gama de portas, especifique o protocolo (TCP ou UDP):

$ sudo ufw allow 56881:56889/tcp

Use deny em vez de allow para bloquear o tráfego:

$ sudo ufw deny from 192.168.1.110

Para direcionar especificamente as conexões de saída, inclua out:

$ sudo ufw allow out ssh

Para eliminar uma regra, utilize o número da regra de ufw status numbered:

$ sudo ufw delete 3

Perfis de Aplicação do UFW

O UFW inclui perfis de aplicações que definem regras de firewall para serviços comuns. Estes perfis simplificam a configuração ao agrupar definições de portas e protocolos sob nomes de aplicações reconhecíveis.

Listar perfis de aplicação disponíveis:

$ sudo ufw app list

Ver detalhes sobre um perfil de aplicação específico:

$ sudo ufw app info OpenSSH

Isto mostra as portas e protocolos que a aplicação utiliza. Para permitir uma aplicação através do firewall:

$ sudo ufw allow OpenSSH

Perfis de aplicação comuns incluem OpenSSH, Apache, Apache Full, Nginx Full, e outros dependendo do software instalado. Os perfis de aplicação são armazenados em /etc/ufw/applications.d/ e pode criar perfis personalizados para as suas próprias aplicações.

Configurar um Computador de Secretária

Este exemplo fornece um ponto de partida para uma configuração básica de firewall de área de trabalho. Ajuste as regras de acordo com as suas necessidades específicas.

Comece por definir os valores pré-definidos:

$ sudo ufw default deny incoming
$ sudo ufw default allow outgoing

Permitir tráfego HTTP e HTTPS para navegação na web:

$ sudo ufw allow http
$ sudo ufw allow https

Ativar acesso SSH:

$ sudo ufw allow ssh

Permitir NTP para sincronização do tempo do sistema:

$ sudo ufw allow ntp

A menos que esteja a usar um IP estático, permita o DHCP nas portas 67 e 68:

$ sudo ufw allow 67:68/udp

Permitir tráfego DNS para resolução de nomes de domínio:

$ sudo ufw allow 53

Para clientes de torrent como o Deluge:

$ sudo ufw allow 56881:56889/tcp

O Steam requer múltiplas portas:

$ sudo ufw allow 27000:27036/udp
$ sudo ufw allow 27036:27037/tcp
$ sudo ufw allow 4380/udp

Configurando um Servidor Web

Os servidores web requerem uma configuração mais restritiva para minimizar a superfície de ataque, ao mesmo tempo que garantem que o tráfego legítimo flua sem impedimentos.

Para servidores, negue todo o tráfego por padrão. Desative o firewall antes de fazer estas alterações para evitar perder o acesso SSH:

$ sudo ufw default deny incoming
$ sudo ufw default deny outgoing
$ sudo ufw default deny forward

Ativar tráfego web tanto de entrada como de saída:

$ sudo ufw allow http
$ sudo ufw allow out http
$ sudo ufw allow https
$ sudo ufw allow out https

Permitir SSH para administração remota:

$ sudo ufw allow ssh
$ sudo ufw allow out ssh

Ativar NTP para sincronização horária:

$ sudo ufw allow ntp
$ sudo ufw allow out ntp

Permitir DNS para atualizações de pacotes e resolução de domínios:

$ sudo ufw allow 53
$ sudo ufw allow out 53

Conclusão

O UFW oferece uma abordagem simples para a gestão de firewall em sistemas Linux. Apesar da sua simplicidade, o UFW está pronto para produção porque funciona como uma interface para o iptables, oferecendo a mesma segurança robusta. Os exemplos neste guia abrangem configurações comuns de desktop e servidor, mas deve personalizar as regras com base nos seus requisitos específicos e na configuração da rede. Para documentação completa, consulte a página oficial do manual do UFW.

Perguntas Frequentes

1. Como posso verificar se o UFW está a bloquear uma ligação específica? Use sudo ufw status verbose para ver todas as regras ativas e as suas políticas. Também pode verificar os registos do UFW em /var/log/ufw.log para tentativas de ligação bloqueadas. Ative os registos com sudo ufw logging on se ainda não estiverem ativos.
2. Posso redefinir o UFW para o seu estado padrão? Sim, execute sudo ufw reset para remover todas as regras e desactivar o firewall. Isto devolve o UFW ao seu estado inicial após a instalação, o que é útil se cometeu erros de configuração e quiser recomeçar do zero.
3. Qual é a diferença entre ufw allow e ufw limit? O comando allow permite todo o tráfego correspondente, enquanto o limit adiciona limitação de taxa para prevenir ataques de força bruta. Por exemplo, sudo ufw limit ssh permite ligações SSH, mas bloqueia um endereço IP que tente mais de 6 ligações em 30 segundos.
4. O UFW persiste após reiniciar? Sim, uma vez ativado com sudo ufw enable, o UFW inicia automaticamente durante a arranque e carrega as regras guardadas. As regras são armazenadas em /etc/ufw/ e persistem após reinícios sem necessidade de configuração adicional.