Portas conhecidas e comandos de firewall: consulte e libere portas

Cada porta tem um cartão com serviço, TCP ou UDP, status na IANA, intervalo de portas e camada OSI, além de um aviso de segurança para portas sensíveis e comandos prontos para cinco firewalls. Para um servidor FiveM com ufw, por exemplo: sudo ufw allow 30120/tcp, sudo ufw allow 30120/udp. Depois, clique em “Verificar porta” para testar se ela está acessível externamente.

As portas conhecidas (portas de sistema) vão de 0 a 1023. A IANA as atribui a serviços padrão comuns, como SSH (22), HTTP (80) e HTTPS (443). No Linux, um serviço nessas portas precisa, por padrão, de privilégios de root ou da capability CAP_NET_BIND_SERVICE. Acima delas ficam as portas registradas (1024 a 49151) e as portas dinâmicas (49152 a 65535).

Para administração de servidores e testes de redes, como a certificação CompTIA Network+ ou o exame alemão da IHK, os principais são: 20/21 FTP, 22 SSH, 23 Telnet, 25 SMTP, 53 DNS, 67/68 DHCP, 80 HTTP, 110 POP3, 123 NTP, 143 IMAP, 161 SNMP, 389 LDAP, 443 HTTPS, 445 SMB, 465 e 587 para envio de e-mails, 993 IMAPS, 995 POP3S, 1433 Microsoft SQL Server, 3306 MySQL, 3389 RDP, 5432 PostgreSQL e 8080 como porta HTTP alternativa. No total, os números de porta vão de 0 a 65535, separadamente para TCP e UDP. A lista abaixo da ferramenta mostra as principais portas por categoria e permite alternar para as portas atribuídas pela IANA.

O TCP estabelece uma conexão antes da transmissão e garante que todos os dados cheguem completos e na ordem correta, como em sites, e-mails e SSH. O UDP envia pacotes sem estabelecer conexão nem confirmar o recebimento, o que é mais rápido e adequado para consultas DNS, voz e jogos. Cada regra de firewall vale para um único protocolo; por isso, um serviço como FiveM precisa de duas regras.

Depende do firewall: no Ubuntu e Debian, geralmente com ufw (sudo ufw allow 443/tcp); no Rocky Linux, AlmaLinux e RHEL, com firewalld (sudo firewall-cmd --permanent --add-port=443/tcp e depois --reload). Sem uma interface de gerenciamento, use iptables ou nftables diretamente. A ferramenta gera comandos para esses quatro firewalls, inclusive para um intervalo de portas ou apenas para um IP específico.

O jeito mais rápido é usar New-NetFirewallRule em um PowerShell como administrador, por exemplo: New-NetFirewallRule -DisplayName „Port 443 TCP“ -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow. Com Remove-NetFirewallRule e o mesmo nome, você remove a regra. A ferramenta gera os dois comandos para você.

No servidor, sudo ss -tulpn mostra qual serviço está escutando em cada porta. O verificador de portas testa se ela também está acessível externamente: o botão “Verificar porta” o abre com suas portas. Se uma porta estiver fechada, o serviço não está em execução, escuta apenas em localhost ou está bloqueado por um firewall.

Bancos de dados (3306, 5432, 6379, 27017), Área de Trabalho Remota (3389), compartilhamentos do Windows (445), a API do Docker (2375) e painéis administrativos não devem ficar expostos à internet. Libere o acesso apenas para um IP específico ou acesse por VPN ou túnel SSH. Telnet (23) e FTP (21) transmitem senhas em texto puro e foram substituídos por SSH e SFTP.

Sim. Defina a origem como “IP específico” e insira um endereço IPv4 ou IPv6, ou uma rede em notação CIDR, como 203.0.113.10 ou 198.51.100.0/24. A ferramenta valida a entrada e inclui o endereço nas regras: no ufw, como from … to any port; no iptables, com -s; no nftables, com saddr; no firewalld, como Rich Rule; e no Windows, com -RemoteAddress. O modelo “Banco de dados” define automaticamente a origem como “IP específico”.

Ative “Mostrar comandos para fechar novamente”: o ufw remove a regra com sudo ufw delete allow; o iptables usa -D em vez de -I; o firewalld usa --remove-port ou --remove-rich-rule e --reload; o Windows usa Remove-NetFirewallRule com o mesmo nome. No nftables, exiba a cadeia com sudo nft -a list chain inet filter input e exclua a regra pelo número do handle. Para manter as regras após reiniciar: salve as regras do iptables com sudo netfilter-persistent save (pacote iptables-persistent); o firewalld usa --permanent; no nftables, a regra precisa estar em /etc/nftables.conf.