Uma porta exposta sem necessidade pode transformar uma VPS rápida em alvo de scans, tentativas de senha e consumo indevido de recursos. Este guia de firewall para VPS mostra como criar uma proteção prática sem bloquear o seu site, painel, robô, desktop remoto ou acesso administrativo.
O firewall controla quais conexões podem entrar e sair do servidor. Ele não substitui atualizações, senhas fortes, backup ou uma proteção Anti-DDoS na rede, mas reduz drasticamente a superfície de ataque da VPS. A regra central é simples: negar o que não é necessário e liberar somente os serviços que realmente estão em uso.
Antes de configurar: evite perder o acesso à VPS
O erro mais comum é ativar o firewall antes de liberar a porta de administração. Em uma VPS Linux, isso normalmente significa bloquear o SSH e precisar acessar o console de recuperação. Em uma VPS Windows, pode significar perder o RDP e depender do console oferecido pelo provedor.
Antes de qualquer alteração, identifique três pontos: como você administra a máquina, quais aplicações atendem usuários externos e de onde vêm os acessos confiáveis. Anote as portas atuais e mantenha uma segunda sessão aberta no terminal ou na área de trabalho remota durante os testes. Se uma regra falhar, você ainda terá uma conexão ativa para corrigir a configuração.
Também vale confirmar se há um painel instalado. cPanel, WHM, aaPanel, CyberPanel, EasyPanel, Coolify e outras ferramentas usam portas próprias. Liberar apenas HTTP e HTTPS pode deixar o site no ar, mas impedir o gerenciamento do ambiente.
O que liberar em uma VPS de acordo com o uso
Não existe uma lista única de portas para toda VPS. Uma máquina de trading tem necessidades diferentes de uma hospedagem com cPanel, de um servidor de jogo ou de uma aplicação com n8n. O firewall deve refletir o serviço instalado, e não uma configuração copiada sem análise.
Para um site ou API pública, as portas mais comuns são 80 para HTTP e 443 para HTTPS. Em produção, o tráfego deve ser direcionado para HTTPS sempre que possível. Bancos de dados como MySQL, MariaDB, PostgreSQL e Redis não devem ficar acessíveis pela internet em uma configuração comum. O ideal é que aceitem conexões apenas da própria VPS ou de uma rede privada controlada.
No Linux, o SSH costuma usar a porta 22. No Windows, o Remote Desktop Protocol geralmente usa a porta 3389. Essas portas são alvos frequentes de robôs de tentativa de login. Sempre que houver IP fixo, restrinja o acesso administrativo aos IPs da sua empresa, residência, VPN ou equipe. Se você precisa acessar de redes variáveis, use autenticação por chave no SSH, senha forte, bloqueio de tentativas e, quando possível, uma VPN.
Painéis de hospedagem e deploy exigem atenção adicional. Além das portas do painel, alguns recursos podem usar FTP, SMTP, IMAP, POP3, DNS ou portas personalizadas de contêineres. Libere somente o que estiver ativo. Se você não envia e-mail pelo servidor, por exemplo, não há motivo para expor serviços SMTP.
Guia de firewall para VPS Linux com UFW
O UFW é uma opção direta para VPS Ubuntu e Debian. Ele simplifica a gestão do firewall sem exigir que você escreva regras complexas manualmente. Ainda assim, execute os comandos com atenção, principalmente em servidores remotos.
Comece verificando se o UFW está disponível e qual é o status atual. Em muitas instalações, ele já vem instalado, mas desativado. Antes de ativá-lo, defina a política padrão para bloquear conexões de entrada e permitir conexões de saída. Isso permite que a VPS faça atualizações, consulte APIs e envie respostas a conexões iniciadas pelos usuários, enquanto impede entradas não autorizadas.
```bash sudo ufw default deny incoming sudo ufw default allow outgoing ```
Agora, libere primeiro o seu método de administração. Para SSH na porta padrão, use:
```bash sudo ufw allow 22/tcp ```
Se o SSH estiver em outra porta, substitua o número. Melhor ainda: limite o acesso a um IP confiável quando essa possibilidade existir.
```bash sudo ufw allow from 203.0.113.10 to any port 22 proto tcp ```
Depois, libere os serviços públicos necessários. Um servidor web padrão precisa de HTTP e HTTPS:
```bash sudo ufw allow 80/tcp sudo ufw allow 443/tcp sudo ufw enable sudo ufw status numbered ```
O comando `status numbered` facilita remover regras específicas depois. Teste o site, o SSH e os serviços críticos a partir de uma rede externa. Não presuma que uma porta está funcionando apenas porque a regra aparece na tela: proxy reverso, configurações do aplicativo e regras do provedor também podem afetar o resultado.
Para serviços internos, prefira restrições por origem. Se uma aplicação em outra VPS precisa acessar PostgreSQL na porta 5432, libere essa porta somente para o IP privado ou público daquela máquina. Abrir a porta para qualquer origem aumenta o risco sem trazer benefício operacional.
Firewall no VPS Windows: proteja o RDP sem parar o trabalho
No Windows Server, o Firewall do Microsoft Defender já faz parte do sistema e deve permanecer ativo. A configuração pode ser feita pela interface gráfica em “Firewall do Microsoft Defender com Segurança Avançada” ou por PowerShell. O ponto mais sensível costuma ser o RDP.
Evite deixar a porta 3389 aberta para toda a internet se os responsáveis pelo acesso possuem IPs conhecidos. Crie uma regra de entrada que permita RDP apenas para esses endereços. Para equipes remotas com IP dinâmico, uma VPN ou um gateway de acesso é mais seguro do que liberar acesso global.
Também confirme se há regras para aplicações específicas. Um servidor que hospeda um sistema em IIS pode precisar das portas 80 e 443, enquanto uma aplicação de desktop remoto pode operar em uma porta definida pelo fornecedor. Não desative o firewall para “fazer funcionar”. Essa medida mascara o problema e expõe todos os serviços de uma vez.
Após criar ou alterar regras, faça um teste com um segundo usuário ou uma segunda sessão RDP. Se você aplicar a regra errada na conexão atual, terá uma alternativa para reverter a alteração.
Regras que melhoram a segurança sem complicar a operação
A mudança da porta padrão do SSH ou RDP pode reduzir ruído de scans automáticos, mas não deve ser tratada como proteção principal. Um scanner bem configurado encontra portas alternativas. O que realmente reduz risco é limitar origens, usar autenticação forte e manter o sistema atualizado.
No Linux, desative o login direto como root via senha e use chaves SSH para usuários administrativos. Em servidores Windows, mantenha contas administrativas separadas do uso diário, use senhas exclusivas e acompanhe logs de falhas de login. Ferramentas de bloqueio automático de tentativas, como Fail2ban em Linux, complementam o firewall ao reagir a comportamentos suspeitos.
Para aplicações web, use um proxy reverso como Nginx, Apache ou Caddy para concentrar o acesso público em 80 e 443. Assim, portas internas de Node.js, Python, n8n, Docker e bancos de dados ficam acessíveis apenas localmente. Essa arquitetura facilita manutenção e reduz portas abertas.
A proteção Anti-DDoS da infraestrutura ajuda a absorver ataques volumétricos, mas não corrige uma regra permissiva no sistema operacional. São camadas diferentes: a rede filtra tráfego malicioso em escala, enquanto o firewall da VPS decide quem pode alcançar cada serviço.
Como revisar as regras sem criar indisponibilidade
Firewall não é uma configuração de uma única vez. Cada novo painel, jogo, integração ou aplicativo pode exigir revisão. O segredo é documentar o motivo de cada porta liberada. Se ninguém sabe por que uma regra existe, ela provavelmente merece ser investigada antes de permanecer ativa.
Faça uma revisão após instalar serviços, trocar painéis, migrar aplicações ou encerrar projetos. Remova portas que deixaram de ser usadas e confira se os bancos continuam restritos. Monitore logs de bloqueios para diferenciar uma tentativa maliciosa de um acesso legítimo que foi esquecido na regra.
Em ambientes com vários clientes ou sites, separe os serviços sempre que fizer sentido. Uma VPS para automação não precisa ter as mesmas portas de uma VPS para hospedagem ou trading. Essa separação melhora o controle e torna incidentes mais fáceis de isolar.
A HostMF oferece VPS Windows e Linux com ativação imediata, SSD NVMe, tráfego ilimitado e suporte técnico 24 horas para quem precisa colocar projetos no ar com controle real do ambiente. Ainda assim, a configuração do firewall deve acompanhar a sua operação: quanto mais clara for a função de cada servidor, mais simples será protegê-lo sem interromper o que gera resultado para o seu negócio.
A melhor regra de firewall é a que você consegue explicar, testar e manter. Comece pelo mínimo necessário, valide os acessos legítimos e amplie permissões apenas quando houver uma razão técnica clara.
