O que é firewall? Regras, portas e acesso à rede

O firewall libera ou bloqueia o tráfego de rede de acordo com regras. Ele pode rodar em um computador, em um roteador doméstico ou na borda de uma rede em nuvem. As regras controlam o acesso às conexões; elas não tornam segura, automaticamente, uma aplicação que foi liberada.

Como funcionam as regras de firewall

Uma regra pode levar em conta o sentido da conexão, os endereços, o protocolo, a porta e, às vezes, a aplicação. O roteador doméstico normalmente limita o tráfego de entrada não solicitado, enquanto o firewall do sistema operacional controla o tráfego que chega ao próprio dispositivo. Firewalls com controle de estado (stateful) conseguem permitir as respostas a conexões de saída já estabelecidas sem abrir todas as portas de entrada.

O tráfego pode passar por várias camadas. Um grupo de segurança na nuvem pode liberar uma porta que o firewall do host bloqueia. Uma regra local de liberação também pode não surtir efeito quando o roteador não redireciona a porta ou quando o provedor usa CGNAT. Identifique cada camada antes de fazer mudanças amplas.

Por que um serviço fica inacessível

Primeiro, confira se a aplicação está rodando e escutando no protocolo, na porta e no endereço de rede esperados. Um serviço vinculado só ao loopback fica disponível localmente, mas não de fora. Depois, examine a regra do host, o redirecionamento no roteador e as restrições do provedor. Um teste de porta externo mostra a acessibilidade a partir do ponto de onde ele é feito, mas não aponta sozinho a única causa da falha.

Diferencie uma conexão recusada, um timeout e um erro na própria aplicação. Cada um sugere um ponto de falha diferente, embora a filtragem possa mascará-los. Teste a partir de uma rede realmente separada; alguns roteadores tratam conexões ao próprio endereço público de forma diferente do tráfego externo. Para verificar a acessibilidade de fora da sua rede, use a verificação de portas abertas da 2IP; um resultado de porta fechada ainda exige verificar o firewall local, o NAT e o processo que deveria estar escutando.

Como alterar regras com mais segurança

Libere apenas o acesso de que o serviço precisa, de preferência a partir de endereços de origem restritos, quando for viável. Mantenha o serviço atualizado e exija a autenticação adequada. Documente o motivo de cada regra e remova-a quando o serviço for desativado. Bloquear todas as conexões de saída pode quebrar as atualizações ou o DNS, então entenda as dependências antes de aplicar uma regra.

O firewall não impede phishing, downloads inseguros nem a exploração de um serviço liberado. Use-o junto com atualizações, backups e segurança das contas. Depois de uma mudança, confirme que a conexão necessária funciona e que nada ficou exposto sem querer.

No IPv6, verifique o endereço real da interface e a política do firewall, em vez de supor que as regras de NAT do IPv4 se aplicam. Uma aplicação pode escutar em uma família de endereços enquanto o cliente tenta a outra.

ICMP vai além do ping

O ICMP transporta mensagens Echo e também informações de controle e de erro usadas por ferramentas de diagnóstico e por mecanismos como o Path MTU Discovery. Bloqueá-lo indiscriminadamente pode causar falhas difíceis de diagnosticar. Veja ICMP e MTU.