Firewall na nuvem: regras de tráfego para VPS, grátis

Sim, o firewall na nuvem é grátis em todos os servidores. Você coloca até 50 regras em um firewall e o aplica a até 10 servidores. Se quiser se preparar também contra ataques de tráfego volumétrico, some a proteção DDoS, de $1.68 ao mês por servidor, e esse valor é renovado junto com o servidor. Servidores só com firewall mantêm o preço do servidor.

O firewall na nuvem é um firewall que permite ou bloqueia o tráfego conforme regras, na etapa de rede fora do servidor. Você define as regras por direção, protocolo, porta e faixa de endereços IP, e só o tráfego que corresponde às regras chega ao servidor. Funciona independente do sistema operacional, do mesmo jeito em servidores Linux e FreeBSD.

Você cria até 50 regras por firewall. Para um servidor web, três linhas de regras para as portas 80, 443 e 22 costumam bastar, e mesmo somando portas de ferramentas de gestão ou bancos de dados sobra espaço. Para grupos de servidores com funções diferentes, crie firewalls separados e a gestão fica fácil. Em cada regra você define direção, protocolo, porta e faixa de IP.

Sim, você aplica o mesmo firewall a até 10 servidores. Ao corrigir uma regra, ela vale junto para todos os servidores do grupo, sem repetir a mesma configuração em cada servidor. Criando firewalls por função, como grupo de servidores web e grupo de bancos de dados, para um servidor novo basta escolher o firewall certo. A gestão das regras fica em um só lugar e os erros diminuem.

Só com o firewall na nuvem você já deixa abertas apenas as portas necessárias, e usando também um firewall dentro do servidor, como ufw ou firewalld, você protege mais uma vez. Alinhando as regras dos dois pelo mesmo princípio, se errar a configuração de um, o outro bloqueia. Os exemplos de configuração estão no guia de firewall.

Recomendamos permitir, nas regras de tráfego de entrada, a porta 22 só a partir do IP de onde você se conecta. Usando também login com chave SSH, as tentativas de acesso que tentam adivinhar senhas nem chegam ao servidor. Se você se conecta de vários lugares, coloque cada um desses endereços nas regras. O básico é abrir as portas web para todos e as de gestão só para o seu endereço.

O firewall deixa passar só o tráfego que corresponde às regras definidas, e a proteção DDoS filtra ataques de tráfego volumétrico que chegam todos de uma vez pelas portas permitidas. Usando os dois juntos, você abre só as portas necessárias e se prepara até para os ataques que chegam por elas. A proteção DDoS custa $1.68 ao mês por servidor.

A porta 25, usada para enviar e-mails, está bloqueada em todos os servidores para evitar spam. Os e-mails de notificação do site podem ser enviados pelas portas 587 ou 465 de um serviço de envio externo, basta permitir essas portas nas regras de tráfego de saída do firewall. O recebimento de e-mails e as demais portas seguem as regras.

Não, as regras do firewall na nuvem ficam fora do servidor e continuam mesmo reinstalando o sistema operacional. Mesmo logo após reinstalar, antes de terminar a configuração interna, só as portas necessárias estão abertas, então você tem as mesmas regras de proteção enquanto prepara o servidor novo. Para trocar de firewall ou corrigir regras também não é preciso reinstalar o servidor, e a mudança vale na hora para o serviço em operação.

Todos os servidores têm um endereço IPv4 e um endereço IPv6. Colocando juntas as faixas de endereços IPv4 e IPv6 ao criar as regras do firewall, você gerencia pelo mesmo princípio o tráfego que chega pelos dois endereços. Convém ativar também a configuração IPv6 no firewall dentro do servidor. Gerenciando os dois endereços pelo mesmo princípio, não há brechas.