Firewall UFW

Uma interface web do UFW para rever as regras da firewall

O UFW existe porque a sintaxe crua do iptables não perdoa, e nisso cumpre. O que não faz é tornar um conjunto de regras fácil de rever meses depois, quando ufw status numbered devolve trinta linhas e está a tentar perceber quais ainda são necessárias.

Esta página mostra as mesmas regras, mas coloca à cabeça as políticas por omissão de entrada e de saída, porque é precisamente isso que se esquece. Um conjunto de regras de aparência restritiva nada significa se a política de entrada por omissão ficou em allow. As regras surgem com ação, porta, protocolo e origem, e as entradas IPv6 aparecem ao lado das equivalentes IPv4 em vez de duplicarem a lista.

Os erros que vale a pena procurar: uma porta aberta para um teste pontual e nunca fechada, um serviço à escuta em todas as interfaces quando bastava o localhost, e uma regra que permite uma sub-rede inteira onde um único endereço chegaria. A página das portas abertas mostra a outra metade do quadro: o que está realmente à escuta por trás dessas regras.

Vale a pena confrontar estas duas imagens com regularidade, porque afastam-se em silêncio. Uma regra pode fechar uma porta que ninguém escuta — nesse caso é apenas lastro no conjunto. Também acontece o contrário: um serviço à escuta em todas as interfaces atrás de uma regra que julgava fechada. A resposta antiga a esta pergunta é o netstat, e continua a ser correta; apenas é preciso reler a sua saída com os olhos de cada vez.