Configurar UFW no Ubuntu 24.04 sem perder o acesso SSH

Em um servidor remoto, ative UFW somente depois de identificar e liberar a porta SSH real. Mantenha a sessão atual aberta, tenha console física ou do provedor disponível e use outro terminal para testar uma nova conexão. Os exemplos pressupõem SSH na porta 22/tcp e não substituem regras de rede do provedor.

Confira SSH e a porta

Verifique as portas TCP em escuta e a configuração efetiva de sshd. Com ativação por socket, ss pode mostrar systemd em vez de sshd como processo; não filtre apenas por nome. Inspecione o perfil UFW OpenSSH antes de usá-lo. Se SSH escuta em 2222, adapte todas as regras.

sudo ss -lntp
sudo sshd -T | grep '^port '

Instale e confira o estado

Instale UFW se necessário. Status: inactive é normal em nova instalação. Verifique regras existentes, portas de aplicativos, IPv6 e firewalls externos antes de ativar. Deixe a conexão administrativa aberta.

sudo apt update
sudo apt install ufw
sudo ufw status verbose
sudo ufw app info OpenSSH

Defina políticas e libere SSH

Negue novas conexões de entrada, permita saída e adicione a regra SSH antes de ufw enable. Use 22/tcp apenas se essa for a porta correta. Você também pode usar sudo ufw allow OpenSSH caso o perfil contemple a porta. Confira as regras preparadas com ufw show added.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp
sudo ufw show added

Ative e teste outra sessão

Ative UFW e confira o estado detalhado e as regras numeradas. Sem encerrar a primeira sessão, abra outra conexão SSH e execute um comando inofensivo. Uma sessão já aberta não comprova que outra consegue entrar. Se falhar, corrija a regra pela sessão original ou pelo console de recuperação.

sudo ufw enable
sudo ufw status verbose
sudo ufw status numbered

Restrinja a origem só depois

A regra de exemplo permite SSH de 203.0.113.10, endereço reservado a documentação: substitua pelo seu IP público estático visto pelo servidor. Teste outra conexão dessa origem antes de remover a regra geral. Para IP dinâmico, IPv6 ou várias redes de acesso, planeje regras e uma alternativa de recuperação.

sudo ufw allow proto tcp from 203.0.113.10 to any port 22
sudo ufw status numbered

Libere somente serviços necessários

Um site público pode precisar de 80/tcp e 443/tcp. Uma regra de firewall não inicia um serviço, e uma porta em escuta não está necessariamente acessível externamente. Limite bancos de dados e painéis de administração por origem e interface.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw status numbered

Limites, ordem e IPv6

UFW limit atenua tentativas repetidas de SSH, mas não substitui autenticação por chave. O exemplo remove primeiro a regra geral 22/tcp: só execute se ela corresponder exatamente à sua; caso contrário, confira regras numeradas e remova a entrada correta. A primeira regra correspondente pode prevalecer. Confira IPV6=yes se houver IPv6 público e verifique as duas famílias de endereços.

sudo ufw delete allow 22/tcp
sudo ufw limit 22/tcp
grep '^IPV6=' /etc/default/ufw

Logs e diagnóstico

Use registro moderado e confira eventos recentes. Compare portas em escuta, regras UFW e firewall do provedor. Falhas também podem vir de SSH, da rede intermediária ou de um IP de origem diferente.

sudo ufw logging low
sudo journalctl -k --grep=UFW --since '30 minutes ago'
sudo ss -lntup

Recuperação e fonte

Se a nova conexão falhar, não feche a antiga. Confira serviço e regras; corrija pela sessão existente ou console do provedor. Desativar UFW temporariamente de um console confiável pode ajudar na emergência, seguido imediatamente da correção das regras. Guia oficial: https://documentation.ubuntu.com/server/how-to/security/firewalls/index.html .

sudo systemctl status ssh --no-pager
sudo ufw status numbered