UFW no Ubuntu: como liberar portas sem perder o acesso SSH

Resposta rápida

O UFW deve ser configurado em etapas: descubra a porta SSH, permita essa porta, adicione apenas os serviços necessários, confira as regras e só então ative o firewall. Faça o primeiro teste com a sessão atual aberta e uma segunda conexão pronta.

Veja a infraestrutura: VPS para Redis no Brasil para colocar este projeto no ar.

Planeje antes de executar

Firewall não é uma lista universal de portas. Um servidor web normalmente precisa de 80/tcp e 443/tcp; administração pode usar 22/tcp ou outra porta; bancos e filas devem, em geral, ficar em rede privada ou acessíveis somente por endereços autorizados. A porta aberta precisa corresponder ao serviço que realmente está escutando.

Veja portas locais:

sudo ss -tulpn

Instale e permita a administração

sudo apt update
sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH

Se o SSH usa outra porta, prefira a regra explícita:

sudo ufw allow 2222/tcp comment 'administracao SSH'

Confirme a regra antes de ativar:

sudo ufw status numbered

Abra somente o necessário

Para um proxy web:

sudo ufw allow 80/tcp comment 'HTTP'
sudo ufw allow 443/tcp comment 'HTTPS'

Para restringir SSH a um IP administrativo conhecido:

sudo ufw delete allow OpenSSH
sudo ufw allow from SEU_IP_PUBLICO to any port 22 proto tcp

Não aplique essa restrição sem confirmar se o IP é estável. Em conexões móveis ele pode mudar e o acesso será bloqueado por desenho.

Ative e teste

sudo ufw enable
sudo ufw status verbose

De outro terminal, teste SSH, HTTP e HTTPS. Se o serviço não deve ser público, teste que a conexão externa falha e que o acesso interno continua funcionando.

Diagnóstico e reversão

Para remover uma regra numerada:

sudo ufw status numbered
sudo ufw delete 3

Para voltar temporariamente ao estado inativo durante uma recuperação de console:

sudo ufw disable

Em uma máquina de produção, registre quem fez a mudança e quais portas foram validadas. O UFW complementa, mas não substitui, regras de segurança do provedor, autenticação e atualização do sistema.

Checklist

• [ ] Porta SSH confirmada em sshd.
• [ ] Exceção de SSH criada antes do enable.
• [ ] HTTP/HTTPS liberados somente se o servidor publica web.
• [ ] Banco, Redis e painéis não estão expostos sem necessidade.
• [ ] Teste feito de outra conexão.

Se o servidor precisa receber aplicações web e automações continuamente, conheça uma VPS com acesso root e mantenha as regras documentadas junto ao deploy.

FAQ

ufw allow OpenSSH abre qual porta?

Ele usa o perfil cadastrado pelo pacote OpenSSH, normalmente a porta 22. Confirme a configuração real antes de depender do perfil.

Posso liberar 0.0.0.0/0 para o banco?

Evite. Restrinja por rede, túnel ou IP autorizado e use autenticação forte.

Regra de revisão

Mantenha uma tabela simples com porta, serviço, motivo, origem permitida e responsável. Revise-a quando um container ou proxy for removido; regra órfã continua sendo superfície exposta. Em servidores com Docker, lembre que publicar uma porta pode contornar expectativas sobre o UFW conforme a cadeia de iptables/nftables usada. Verifique o tráfego efetivo com ss, regras do Docker e um teste externo autorizado. A configuração correta é a que corresponde ao caminho real do pacote, não a que apenas parece segura no arquivo.