Firewall da VPS

O que é

Cada VPS tem um firewall próprio, que roda no hipervisor, fora da VPS. Ele continua valendo mesmo que algo dê errado dentro do sistema. Você o gerencia na área do cliente, na página Firewall do serviço.

• A entrada vem fechada. Só passam o SSH (porta 22) e o ping, liberados para qualquer endereço. Todo o resto que chega à VPS é bloqueado até você criar uma regra de entrada liberando a porta.
• A saída fica liberada, menos as portas que a rede da WFree bloqueia (lista abaixo).
• Cada VPS aceita até 20 regras, contando as duas que já vêm. Você pode editar essas duas (por exemplo, para aceitar o SSH só do seu IP) ou apagá-las.
• O firewall e o filtro anti-spoof (filtro de IP e de MAC) ficam sempre ligados. O painel não tem opção para ligar ou desligar nenhum dos dois: você cria e apaga as suas regras.

Além das suas regras, a rede da WFree bloqueia a saída destas portas, em todas as VPS:

• 25 TCP (SMTP direto). Para enviar e-mail, use um relay autenticado nas portas 587 ou 465 (artigo "Enviar e-mail da VPS (porta 25 bloqueada)"). Se você precisa mesmo da porta 25, peça a liberação por ticket;
• 23 (telnet) e 19 (chargen);
• 135, 137, 138, 139 e 445 (SMB/NetBIOS, o compartilhamento de arquivos do Windows).

Esse bloqueio fica na rede, fora da VPS. Liberar essas portas no firewall da área do cliente ou no sistema não muda nada.

A imagem da VPS (Debian 13 ou Ubuntu 24.04 LTS) também traz proteção interna: fail2ban (5 erros de login no SSH bloqueiam o IP por 1 hora), no máximo 4 tentativas de senha por conexão SSH (MaxAuthTries) e atualizações de segurança automáticas (unattended-upgrades).

O que acontece com as suas regras

• Reiniciar, desligar e ligar: as regras continuam.
• Voltar um snapshot: as regras continuam. O snapshot não guarda o firewall. Se você trocou a porta do SSH depois do snapshot, o sistema volta a usar a porta antiga: confira se ela está liberada.
• Trocar de plano: as regras continuam.
• Reinstalar o sistema: as regras continuam as mesmas de quando você pediu a reinstalação; mudanças feitas durante a reinstalação não ficam. O sistema novo atende o SSH na porta 22: se você fechou essa porta ou a liberou só para um IP, ajuste a regra ou entre pelo Console.
• Restaurar um backup: você escolhe no aviso da restauração entre manter as regras de agora (já vem marcado) e voltar às regras da data do backup. Se naquela data o SSH estava liberado só para o seu IP de então (o IP de casa muda), entre pelo Console ou use Voltar o firewall ao padrão.
• Voltar o firewall ao padrão: o botão na página Firewall apaga todas as regras e deixa só o SSH e o ping liberados. Não dá para desfazer pelo painel: para guardar uma cópia antes, use Baixar regras; para trazê-la de volta, Restaurar regras.

Como fazer

1. Entre em https://wfree.com.br/clientes, vá em Serviços > Meus Serviços e clique no serviço da sua VPS.
2. Clique em Firewall. A página mostra as suas regras de entrada e de saída, incluindo as duas que já vêm liberadas (SSH e ping).
3. Crie uma regra de entrada para cada outra porta que a VPS precisa receber. O mais comum: portas 80 e 443 TCP (site ou aplicação web). Outras portas, só se um serviço seu escuta nelas e precisa ser acessado de fora.
4. Para um site ou um servidor de e-mail, você pode liberar as portas de uma vez com um grupo de segurança pronto. No menu ⋮ da página Firewall, clique em Adicionar grupo de segurança e escolha web (entrada nas portas 80 e 443 TCP) ou email (entrada nas portas 25, 465, 587, 143, 993, 110 e 995 TCP). O grupo só vale na VPS em que você o acrescenta e não muda as suas outras regras. O grupo email libera só a entrada; ele não libera a saída pela porta 25.
5. Para aceitar o SSH só do seu IP, edite a regra do SSH e informe o IP de origem. O IP de internet residencial costuma mudar. Se você ficar trancado para fora, o Console continua funcionando.
6. Teste de fora da VPS: entre por SSH e abra o site. Se algo parou de responder, confira a regra de entrada da porta e a ordem das regras.

As regras de saída normalmente ficam livres. Só restrinja a saída se souber tudo de que a VPS precisa, por exemplo atualizações do sistema (portas 80 e 443) e DNS (porta 53, UDP e TCP).

Guardar e trazer de volta as regras: na página Firewall, Baixar regras salva no seu computador um arquivo com todas as regras, inclusive o nível de log de cada uma. Restaurar regras traz de volta as regras desse arquivo. Ao restaurar, você escolhe o que fazer com as regras de agora:

• Substituir: apaga todas as regras de agora e fica só com as do arquivo, na ordem do arquivo. Se o arquivo não liberar o SSH (porta 22), você perde o acesso por SSH: entre pelo Console ou use Voltar o firewall ao padrão.
• Acrescentar: mantém as regras de agora e inclui as do arquivo no fim da lista, na ordem do arquivo. Regras iguais às que já existem não são repetidas. O total não pode passar de 20.

Se der errado

• Perdi o SSH depois de mexer no firewall: volte em Firewall e corrija ou apague a regra, ou clique em Voltar o firewall ao padrão (o SSH volta a ficar liberado para qualquer endereço e as suas outras regras são apagadas). Para entrar enquanto isso, use o Console do serviço. Ele funciona sem rede, sem SSH e com o firewall fechado (artigo "Console noVNC (quando o SSH não responde)").
• Troquei a porta do SSH e perdi o acesso depois de reinstalar ou de voltar um snapshot: o sistema voltou a usar a porta 22. Libere a 22 na página Firewall (ou use Voltar o firewall ao padrão) e entre pelo SSH, ou entre pelo Console.
• Quero desligar o firewall: não há essa opção. Para receber conexões numa porta, crie a regra de entrada que a libera.
• O site não abre de fora, mas responde dentro da VPS (curl http://localhost funciona): a entrada vem fechada: falta liberar 80 e 443 no Firewall da área do cliente, ou o firewall do próprio sistema (ufw, nftables) está fechando a porta, se você ligou um.
• E-mail não sai da VPS: a porta 25 vem bloqueada na saída pela rede, e liberar no firewall não resolve. Configure a aplicação para usar um relay autenticado em 587 ou 465. Se você precisa mesmo da porta 25, peça a liberação por ticket (artigo "Enviar e-mail da VPS (porta 25 bloqueada)").
• SSH recusa depois de várias senhas erradas: é o fail2ban, que bloqueia o seu IP por 1 hora depois de 5 erros. Aguarde, ou entre pelo Console e rode fail2ban-client set sshd unbanip SEU-IP.
• A regra parece não valer: confira se ela está ativa (Ativar ligado), a direção (entrada ou saída), o protocolo (TCP, UDP, ICMP ou Todos), a porta e a ordem na lista. Salve e aguarde alguns segundos antes de testar de novo.
• Restaurei um backup e as regras mudaram: na restauração foi escolhido voltar às regras da data do backup. Ajuste na página Firewall ou use Voltar o firewall ao padrão.
• Não consigo criar mais regras: o limite é 20 por VPS, contando SSH e ping. Apague as que não usa.

Quando abrir um ticket

Abra um ticket em https://wfree.com.br/clientes (Suporte > Abrir Ticket) se o botão Voltar o firewall ao padrão não concluir, se a página Firewall der erro ao salvar, se uma regra salva não tiver efeito mesmo depois da revisão, ou se uma porta liberada não responder de fora enquanto o serviço escuta dentro da VPS. Informe o hostname da VPS, a porta e o protocolo, a regra que criou, de onde está testando e a mensagem de erro exata. Nunca escreva a senha no ticket.