Como configurar Firewall UFW e Fail2Ban na VPS Ubuntu sem conflitar com o Docker

1. Arquitetura e pré-requisitos no ambiente

Um detalhe crítico do Docker no Linux é que publicar uma porta como ports: - "5432:5432" cria uma regra direto no iptables que passa por cima do firewall UFW, expondo seu banco para a internet inteira!

• Acesso administrativo à VPS Ubuntu.

2. Passo a passo de implementação e validação

1. Em todos os seus arquivos docker-compose.yml, publique portas internas vinculadas apenas ao loopback: "127.0.0.1:5432:5432" ou nem use ports: (comunique os containers apenas pela rede interna do Docker).
2. No UFW, libere sua porta SSH atual ANTES de ativar o firewall: ufw allow 22/tcp (ou sua porta SSH customizada), ufw allow 80/tcp e ufw allow 443/tcp.
3. Ative o firewall com ufw enable e instale o Fail2Ban (apt install -y fail2ban) para bloquear IPs que errarem login SSH repetidamente.
4. Audite as portas realmente abertas para fora com ss -tulpn.

3. Boas práticas de produção, segurança e escala

Usar 127.0.0.1:PORTA:PORTA no Docker Compose é a regra número 1 de segurança em servidores de containers.

• Nunca execute ufw enable sem confirmar antes que a porta atual da sua sessão SSH está na lista de ALLOW.