Abra apenas os caminhos que você precisa

Registre a porta de administração, o listener web, a localização do banco de dados e quaisquer requisitos UDP/TCP específicos do produto. Um banco de dados usado apenas na mesma máquina não deve precisar de uma regra pública. Considere tanto as regras de convidados quanto o firewall upstream de um operador ativo.

Mantenha uma sessão ativa e um console de recuperação verificado. Antes de habilitar um firewall restritivo, permita a porta SSH real e o intervalo de origem necessário. O exemplo abaixo assume que SSH está atualmente na porta 22; altere para corresponder ao serviço em execução.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp

Para um servidor web público, permita TCP 80 e 443. Isso não habilita o serviço web em si, e portas UDP/jogos/correio precisam de suas próprias escolhas explícitas. Evite uma ampla faixa de portas como atalho para diagnosticar um aplicativo.

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Abra outra conexão de administração e teste o aplicativo externamente. Leia as regras efetivas do UFW e a configuração IPv6 da distribuição. Uma regra apenas IPv4 ou filtro upstream não deve ser assumido como proteção de um listener IPv6.

A saída numerada ajuda a localizar uma regra obsoleta. Os números mudam após exclusões, então liste-os novamente antes de outra alteração. Em sistemas que usam firewalld ou nftables, siga a configuração nativa dessa ferramenta em vez de combinar gerenciadores concorrentes.

sudo ufw status numbered
# Remove only a rule you have identified, then list again:
# sudo ufw delete <rule-number>