Firewall para VPS: como proteger seu servidor

Entenda como o firewall decide quem entra no servidor, quais portas abrir e como configurar UFW, firewalld e Windows sem se trancar do lado de fora.

Por Redação Eleven Host · @robson.direitodigital · 22 de outubro de 2026 · 8 min de leitura

Bloquear tudo e liberar só o necessário é o primeiro passo para manter uma VPS longe de robôs que testam portas. Arte: Eleven Host

Firewall para VPS é a regra que decide quais conexões podem entrar no seu servidor. O certo é bloquear tudo por padrão e liberar só o necessário, como o SSH para administrar e as portas 80 e 443 do site. No Linux, isso se faz com UFW ou firewalld.

Assim que uma VPS entra no ar com um IP público, robôs começam a testar portas e senhas. Não é nada pessoal: eles varrem a internet inteira o tempo todo. Neste guia você entende como o firewall funciona, quais portas abrir e como configurar sem trancar você mesmo do lado de fora.

O que um firewall faz em uma VPS

Pense no firewall como a portaria de um prédio. Cada serviço da VPS escuta em uma porta numerada: o SSH costuma usar a 22, o site usa a 80 (HTTP) e a 443 (HTTPS), o MySQL usa a 3306. O firewall confere cada conexão que chega e só deixa passar as que estão na lista.

Sem firewall, qualquer serviço que você instalar e esquecer fica exposto. Um banco de dados de teste, um painel de administração ou uma ferramenta instalada para experimentar podem virar porta de entrada. Com firewall, mesmo que algo fique ligado sem querer, ninguém de fora consegue chegar nele.

O firewall não substitui senhas fortes nem atualizações. Ele reduz a superfície de ataque, ou seja, diminui o número de portas que alguém pode tentar forçar. É uma camada, e segurança boa é feita de várias camadas.

Quais portas abrir (e quais deixar fechadas)

A regra de ouro é: só abra o que tem um motivo claro. Para a maioria das VPS que hospedam sites ou aplicações, a lista é curta.

• 22 (SSH): para você administrar o servidor no Linux. Se possível, libere só para o IP do seu escritório.
• 80 e 443 (HTTP e HTTPS): para sites e aplicações web. A 443 é a do cadeado de segurança.
• 3389 (RDP): só em VPS Windows, para a área de trabalho remota. Restrinja por IP sempre que der.
• Portas de jogos ou bots: só as que o próprio jogo ou programa pede, nada além.

Já portas de banco de dados (3306 do MySQL, 5432 do PostgreSQL), de painéis internos e de ferramentas de teste devem ficar fechadas para a internet. Se o site e o banco estão na mesma VPS, o banco conversa com o site por dentro do servidor e não precisa de porta aberta.

Uma porta fechada não pode ser invadida: cada porta aberta precisa ter um motivo que você consiga explicar.

Antes de começar: não se tranque do lado de fora

O erro mais comum é ativar o firewall antes de liberar o SSH. A conexão cai na hora e você perde o acesso ao servidor. Para evitar isso, siga três cuidados simples.

1. Libere o SSH primeiro: sempre crie a regra da porta 22 (ou da porta que você usa) antes de ativar o bloqueio.
2. Mantenha uma sessão aberta: depois de ativar, abra uma segunda conexão em outra janela. Se ela entrar, está tudo certo.
3. Saiba como pedir ajuda: se ficar sem acesso, abra um chamado no suporte do seu provedor em vez de reinstalar o servidor às pressas.

Se você ainda está no primeiro acesso ao servidor, vale ler antes o passo a passo de como montar servidor VPS do plano ao primeiro site, que mostra a ordem das primeiras configurações.

Como configurar o UFW no Ubuntu e no Debian

O UFW (Uncomplicated Firewall) é a ferramenta mais simples para quem está começando. Ele vem no Ubuntu e pode ser instalado no Debian. Os comandos abaixo criam uma configuração básica para uma VPS com site.

1. Instale, se ainda não tiver: sudo apt install ufw
2. Bloqueie a entrada por padrão: sudo ufw default deny incoming
3. Libere a saída por padrão: sudo ufw default allow outgoing
4. Libere o SSH: sudo ufw allow OpenSSH (ou sudo ufw allow 22/tcp)
5. Libere o site: sudo ufw allow 80/tcp e sudo ufw allow 443/tcp
6. Ative: sudo ufw enable
7. Confira as regras: sudo ufw status verbose

Para liberar o SSH só para um IP, troque a regra por sudo ufw allow from SEU_IP to any port 22 proto tcp. Lembre que, se sua internet tiver IP que muda, você pode perder o acesso quando ele trocar. Nesse caso, prefira deixar a porta liberada e reforçar a proteção com chave SSH.

Monte sua VPS e configure o firewall do seu jeito, porta por porta. Ver planos de VPS

Como configurar o firewalld no AlmaLinux e no Rocky Linux

Nas distribuições da família Red Hat, como AlmaLinux e Rocky Linux, o padrão é o firewalld. A lógica é a mesma, mas os comandos mudam. As regras com --permanent só valem depois de recarregar.

1. Confira se está ativo: sudo systemctl status firewalld
2. Libere o SSH: sudo firewall-cmd --permanent --add-service=ssh
3. Libere o site: sudo firewall-cmd --permanent --add-service=http e sudo firewall-cmd --permanent --add-service=https
4. Recarregue: sudo firewall-cmd --reload
5. Veja o resultado: sudo firewall-cmd --list-all

Para remover algo liberado por engano, use --remove-service no lugar de --add-service e recarregue de novo. Use um só firewall por servidor: ter UFW e firewalld ligados ao mesmo tempo gera regras confusas.

VPS Windows: o firewall que já vem no sistema

No Windows Server, o Firewall do Windows Defender já vem ativo. Você gerencia pelo painel "Firewall do Windows Defender com Segurança Avançada", criando regras de entrada para cada porta que precisa abrir.

O cuidado principal é com a área de trabalho remota. A porta 3389 é uma das mais atacadas da internet. Se der, limite a regra do RDP ao IP do seu escritório na aba de escopo da regra e use senhas longas na conta de administrador.

A armadilha do Docker

Quem usa Docker precisa saber de um detalhe que pega muita gente: quando você publica a porta de um container (com -p 8080:80, por exemplo), o Docker cria regras próprias no sistema que passam por cima do UFW. Ou seja, a porta pode ficar aberta para a internet mesmo com o UFW dizendo que está bloqueada.

A forma mais simples de evitar isso é publicar a porta só no endereço local, com -p 127.0.0.1:8080:80, e deixar um proxy reverso (como Nginx ou Caddy) receber o tráfego nas portas 80 e 443. Depois de configurar, teste de outro computador se a porta realmente está fechada.

Entenda

• Bloqueie tudo por padrão e libere só SSH, 80 e 443 (ou o que o seu serviço pede).
• Libere o SSH antes de ativar o firewall e teste com uma segunda sessão.
• Nunca deixe banco de dados aberto para a internet.
• Com Docker, publique portas só em 127.0.0.1 e use proxy reverso.
• Revise as regras sempre que instalar ou remover um serviço.

Além do firewall: proteções que se completam

O firewall fecha portas, mas o SSH continua aberto por necessidade. Por isso vale somar outras medidas que protegem justamente o que fica exposto.

• Login por chave SSH: troque a senha por um par de chaves e desative o login por senha quando a chave estiver funcionando.
• Fail2ban: programa que lê os registros de acesso e bloqueia por um tempo os IPs que erram a senha várias vezes.
• Atualizações em dia: rode as atualizações do sistema com frequência, porque falhas conhecidas são as mais exploradas.
• Usuário comum com sudo: evite trabalhar direto como root no dia a dia.

Se mesmo com tudo isso o servidor ficar pesado, o problema pode não ser ataque, e sim falta de recurso. O guia VPS lento: 6 sinais de que ficou pequeno ajuda a separar uma coisa da outra.

Como testar se o firewall está funcionando

Configurar e não testar é meio caminho. De outro computador, fora da rede da VPS, tente acessar uma porta que deveria estar fechada. Se a conexão não completar, a regra está funcionando.

Quem tem o programa nmap pode rodar nmap IP_DA_VPS a partir de outra máquina e ver quais portas aparecem abertas. Faça isso só nos seus próprios servidores. Compare o resultado com a lista do que você liberou: qualquer porta extra merece investigação.

Tenha uma VPS no Brasil a partir de R$ 17,00/mês no Plano Bronze. Contratar VPS

Perguntas frequentes

Toda VPS precisa de firewall?

Sim. Qualquer servidor com IP público recebe tentativas de acesso automáticas. O firewall garante que só os serviços que você escolheu fiquem visíveis.

Qual o melhor firewall para VPS Linux?

Para começar, o UFW no Ubuntu e no Debian e o firewalld no AlmaLinux e no Rocky Linux. Os dois cumprem bem a função básica; o melhor é o que você entende e mantém.

Ativei o firewall e perdi o acesso. E agora?

Provavelmente o SSH não foi liberado antes. Não reinstale o servidor às pressas: abra um chamado no suporte do provedor e explique o que foi feito.

Mudar a porta do SSH resolve?

Reduz o barulho de robôs nos registros, mas não substitui firewall, chave SSH e atualizações. Se mudar, libere a nova porta antes de fechar a antiga.