Tutorial de Ubuntu 26.04 / Restrinja acesso administrativo e serviços com UFW
Configure o UFW após identificar a origem real do gerenciamento e as portas de serviço. Prepare permissões SSH e acesso ao console antes de habilitá-lo, depois teste novas conexões de clientes permitidos e negados.
Inspecione as portas em escuta e as regras atuais
sudo ss -lntup
sudo ss -tn
sudo ufw status verbose
sudo ufw status numberedRegistre os endereços e portas em escuta e o endereço remoto real da sua conexão SSH. NAT ou VPN podem alterar a origem observada pelo servidor. Se o UFW já estiver ativo, preserve sua política e regras e adicione apenas a alteração necessária. Se estiver inativo, status pode não mostrar regras configuradas; consulte também sudo ufw show added antes de presumir que a configuração está vazia. Essa listagem mostra regras adicionadas pela interface UFW, não todas as regras externas nem o estado efetivo do firewall. Em uma configuração existente, a ordem importa: uma regra anterior correspondente pode prevalecer sobre uma permissão adicionada depois.
O cliente Linux permitido no laboratório de IP estático usa 192.168.56.10. O gerenciamento direto a partir do host Windows normalmente se origina em 192.168.56.1; substitua essa origem verificada pelo .10. Compare o endereço remoto em ss -tn no servidor com o endereço do cliente e não use o endereço NAT ou o destino .20 do servidor como origem.
Defina uma linha de base para uma VM de laboratório nova
A linha de base a seguir assume uma VM dedicada sem regras existentes, cliente de gerenciamento 192.168.56.10 e porta SSH 22. Substitua pelos valores verificados. Não sobrescreva políticas de entrada ou saída estabelecidas de outro sistema com este exemplo.
sudo ufw --dry-run allow from 192.168.56.10 to any port 22 proto tcp
sudo ufw allow from 192.168.56.10 to any port 22 proto tcp
sudo ufw default deny incoming
sudo ufw default allow outgoingA opção --dry-run exibe as regras propostas sem conceder acesso. Adicione a permissão de gerenciamento primeiro e mantenha o login no console disponível. Uma regra para a porta 22 não protege o SSH configurado em outra porta.
Permita o serviço necessário e ative o firewall
sudo ufw allow from 192.168.56.10 to any port 80 proto tcp
sudo ufw enable
sudo ufw status verboseA porta 80 aqui permite testes HTTP somente a partir do cliente indicado. Não abra previamente um serviço não utilizado. Leia o aviso de conexão do enable e mantenha a sessão antiga até que uma nova conexão SSH seja estabelecida com sucesso a partir de outro terminal.
Diferencie filtragem de IPv6, nuvem e contêiner
Inspecione as configurações de IPv6 em /etc/default/ufw e as portas em escuta IPv6 em ss. O bloqueio de um cliente IPv4 não comprova o bloqueio do caminho IPv6. Grupos de segurança da nuvem, roteadores e firewalls do host são camadas separadas.
Motores de contêiner como Docker podem instalar suas próprias regras de publicação. A lista de regras do UFW, sozinha, não determina a exposição do contêiner. Verifique as vinculações do host (lição em inglês) e a integração oficial do Docker com firewalls e teste o acesso real externamente.
Teste o acesso e reverta regras individuais
Teste conexões SSH e HTTP novas ao mesmo destino, primeiro do cliente permitido e depois de um cliente não autorizado. Conexões existentes podem sobreviver a filtragem stateful e não provam a política de novas conexões. Distinga um serviço parado da negação de firewall.
sudo ufw delete allow from 192.168.56.10 to any port 80 proto tcp
sudo ufw status numberedEm uma VM exclusiva e inicialmente sem regras, o comando remove a regra HTTP do exemplo. Antes de excluir uma regra em outro ambiente, verifique se ela já existia e se outros serviços dependem dela. Mantenha o acesso SSH necessário. Atualize os números das regras antes da exclusão numerada, e não use reset nem desative políticas não relacionadas. Restaurar completamente uma VM nova que estava inicialmente inativa requer revisar a política original e o registro completo de alterações.
