Configure o firewall de um simple application server - Simple Application Server: Central de Documentação do Alibaba Cloud

O firewall de um Simple Application Server é um firewall virtual que utiliza regras para controlar o tráfego de entrada do servidor, garantindo sua segurança. Este tópico descreve como criar, modificar, desabilitar, ativar e excluir regras de firewall para um Simple Application Server. Além disso, fornece informações sobre as portas predefinidas para o recurso de firewall, perguntas frequentes e documentos relacionados.

Descrição do recurso

Por padrão, o firewall de um Simple Application Server ativa portas específicas com base no sistema operacional do servidor e desativa as demais. Crie regras de firewall para liberar outras portas conforme suas necessidades de negócio. A lista a seguir descreve as portas padrão ativadas em um Simple Application Server:

Servidores que utilizam o protocolo TCP:
- Servidores Windows: portas 3389, 80 e 443.
- Servidores Linux: portas 22, 80 e 443.
Servidores que utilizam o protocolo ICMP: O valor do intervalo de portas é -1, indicando que todas as portas estão abertas e o acesso de todos os endereços IP é permitido.

Caso você remova ou desative essas portas padrão no console do Simple Application Server, a aba Firewall da página Servers exibirá uma mensagem semelhante a You disabled or deleted the default port 22 allow rule on the firewall, which affects the remote connection feature. Adicione ou ative as portas correspondentes conforme necessário.

Limites

É possível criar no máximo 50 regras de firewall para cada Simple Application Server.
A porta 25 é a porta padrão para serviços de e-mail. Por motivos de segurança, essa porta vem desativada por padrão nos servidores. Para enviar e-mails, utilize a porta 465.
O firewall controla apenas o tráfego de entrada do Simple Application Server. Todo o tráfego de saída é permitido por padrão.
Nota
- Tráfego de entrada: gerado quando dados são transmitidos para o servidor pela Internet ou por uma rede interna.
- Tráfego de saída: gerado quando dados são transmitidos a partir do servidor pela Internet ou por uma rede interna.

Gerenciar um firewall

Nota

Se você já criou um modelo de firewall, configure rapidamente as regras com base nesse modelo. Para mais informações, consulte a seção Aplicar um modelo de firewall no tópico "Gerenciar modelos de firewall".

Acesse a página Servers no console do Simple Application Server.
Localize o Simple Application Server para o qual deseja criar uma regra de firewall e clique em no ID do servidor no cartão correspondente.
Clique em na aba Firewall.
No canto superior esquerdo da aba Firewall, clique em Add Rule.

Na caixa de diálogo Add Firewall Rule, configure os parâmetros conforme suas necessidades de negócio e clique em OK.

Aviso

Ao criar uma regra de firewall, defina o intervalo de portas e os endereços IP permitidos seguindo o princípio do menor privilégio para evitar ataques de rede.
Se as portas, o protocolo e os endereços IP especificados forem idênticos aos de uma regra existente, a regra atual será substituída, independentemente de estar ativada ou desativada.

Selecionar uma regra de firewall predefinida

Crie uma regra de firewall facilmente selecionando uma opção predefinida. A tabela abaixo descreve os parâmetros disponíveis.

Parâmetro	Descrição
Application Type	Tipo de aplicação. Selecione um tipo como RDP, FTP, TELNET, MYSQL, All Use TCP, All Use UDP ou All Use TCP and UDP na lista suspensa, conforme sua necessidade. Para mais detalhes, consulte a seção Informações de portas predefinidas deste tópico.
Protocol	Protocolo. O protocolo exibido é usado por padrão e não pode ser alterado.
Port Range	Intervalo de portas. O intervalo exibido é usado por padrão e não pode ser alterado.
Source IP Address	Endereços IP de origem. O valor padrão é 0.0.0.0/0, que representa todos os endereços IPv4. Importante Configure os endereços IP conforme necessário e siga o princípio do menor privilégio para proteger seu servidor contra ataques de rede.
Remarks	Insira observações sobre a regra de firewall para facilitar o gerenciamento futuro.

Criar uma regra de firewall personalizada

Caso as regras predefinidas não atendam às suas necessidades, crie uma ou mais regras personalizadas. A tabela a seguir detalha os parâmetros configuráveis.

Parâmetro	Descrição
Application Type	Tipo de aplicação. Selecione Specify a custom value.
Protocol	Protocolo. Escolha entre TCP, UDP ou ICMP.
Port Range	Intervalo de portas. Valores válidos: 1 a 65535. Utilize um dos métodos abaixo para configurar este parâmetro: Especificar uma única porta. Insira o número da porta que deseja ativar. Por exemplo, para permitir tráfego na porta de escuta 3306 do MySQL, digite `3306` no campo Port Range. Definir um intervalo de portas. Use uma barra (/) para separar a porta inicial da final. Por exemplo, para liberar o intervalo de 20000 a 30000 definido no arquivo de configuração do FTP, insira `20000/30000` no campo Port Range.
Source IP Address	Endereços IP de origem. O valor padrão é 0.0.0.0/0, abrangendo todos os endereços IPv4. Também é possível restringir o acesso a endereços específicos: Indicar um único endereço IPv4. Digite um endereço IPv4 individual. Exemplo: 192.168.0.100. Liberar todos os IPs de um bloco CIDR. Insira um bloco CIDR IPv4. Exemplo: 192.168.0.0/24.
Remarks	Adicione observações à regra de firewall para auxiliar na gestão posterior.

Clique em Add Rule para adicionar novas regras ou use o ícone para remover regras existentes conforme necessário.

Modificar, desabilitar, ativar e excluir uma regra de firewall

Após criar uma regra de firewall, realize as operações abaixo conforme a necessidade do seu negócio.

Operação	Descrição	Procedimento
Modificar uma regra de firewall	Ajuste as regras criadas manual ou automaticamente caso não atendam mais aos requisitos atuais.	Clique em Modify na coluna Actions da regra desejada. Na caixa de diálogo Modify, altere os parâmetros Protocol, Port Range, Source IP Address e Remarks conforme necessário. Clique em Confirm.
Desabilitar uma regra de firewall	Desative temporariamente uma porta. Se precisar liberar o tráfego novamente no futuro, basta reativá-la sem criar uma nova regra. Importante Uma regra desabilitada bloqueia o acesso à porta especificada, o que pode impactar seus serviços. Recomendamos cautela ao desativar regras; certifique-se de que isso não afetará suas operações.	Clique em Disable na coluna Actions da regra que deseja desativar. Na mensagem de confirmação Disable, clique em Confirm.
Ativar uma regra de firewall	Reative uma porta que esteja desabilitada.	Clique em Enable na coluna Actions da regra desativada que deseja reativar. Na mensagem de confirmação Enable, clique em Confirm.
Excluir uma regra de firewall	Remova regras de firewall que não são mais utilizadas. Nota Se o limite de 50 regras ainda não foi atingido, considere apenas desabilitar a regra temporariamente para uso futuro.	Excluir uma única regra de firewall Clique em Delete na coluna Actions da regra alvo. Na mensagem de confirmação Delete, clique em Confirm. Excluir várias regras de firewall simultaneamente Selecione as regras desejadas e clique em Delete no canto inferior esquerdo da lista. Na mensagem de confirmação Delete, clique em Confirm.

Informações de portas predefinidas

A tabela abaixo lista as regras comuns já configuradas nos firewalls do Alibaba Cloud. Use essas opções para agilizar a criação de regras. Para detalhes adicionais sobre portas comuns, consulte Portas comuns.

Tipo de aplicação	Protocolo	Intervalo de portas	Endereço IP de origem	Descrição
HTTP	TCP	80	0.0.0.0/0 Importante Endereços IP de origem. O valor padrão 0.0.0.0/0 abrange todos os endereços IPv4. Defina os endereços IP conforme sua necessidade, respeitando o princípio do menor privilégio para evitar ataques ao servidor.	Porta HTTP padrão. Utilizada para acessar serviços web como Internet Information Services (IIS), Apache e NGINX. Para mais informações, veja Início rápido: Criar uma instância Linux a partir de uma imagem de SO.
HTTPS	TCP	443		Porta HTTPS padrão. Para mais detalhes, consulte Instalar um certificado SSL no Node.js (Linux).
RDP	TCP	3389		Porta padrão do Remote Desktop Protocol (RDP). Usada para conectar-se a servidores Windows via Área de Trabalho Remota. Veja também Conectar-se remotamente a um servidor Windows.
FTP	TCP	21		Porta FTP padrão. Destinada ao upload e download de arquivos. Consulte Configurar um servidor FTP (Linux) para mais informações.
SSH	TCP	22		Porta SSH. Permite login em servidores Linux Simple Application Server via ferramentas CLI ou softwares como PuTTY, Xshell e SecureCRT. Saiba mais em Conectar-se a um servidor Linux.
TELNET	TCP	23		Porta Telnet padrão.
MySQL	TCP	3306		Porta MySQL padrão. Para detalhes, veja Usar o DMS para conectar-se a um banco de dados em um Simple Application Server.
SQLServer	TCP	1433		Porta SQL Server padrão.
All Use TCP	TCP	1~65535		Todas as portas TCP.
All Use UDP	UDP	1~65535		Todas as portas UDP.
All Use TCP and UDP	TCP+UDP	1~65535		Todas as portas TCP e UDP.
Specify a custom value	TCP, UDP ou ICMP	1~65535		Intervalo de portas personalizado.

Perguntas frequentes

P1: Qual a diferença entre o firewall do Simple Application Server e o firewall do sistema operacional?

Firewall do Simple Application Server: O console oferece uma interface visual que facilita a configuração das regras. No entanto, ele controla apenas o tráfego de entrada.
Firewall do sistema operacional: Um administrador pode configurar regras para gerenciar tanto o tráfego de entrada quanto o de saída. Isso exige conhecimento específico do software de firewall utilizado (como iptables em sistemas Linux) e familiaridade com linhas de comando (CLI).

P2: Como verificar a conectividade de uma porta usando o comando Telnet?

Execute o comando abaixo para testar o acesso a uma porta específica:

telnet <IP address of the simple application server> <Port>

Neste exemplo, usamos a porta 80. Os possíveis retornos são:

Windows

A porta está acessível.

A porta não está acessível.

C:\Users\Administrator>telnet 120.55.XX.XX 80
Connecting To 120.55.XX.XX...Could not open connection to the host,   on port 80: Connect failed

Linux

A porta está acessível.

[root@VM-4-10-centos ~]# telnet 120.55.XX.XX 80
Trying 120.55.XX.XX...
Connected to 120.55.XX.XX.
Escape character is '^]'.

A porta não está acessível.

[root@VM-4-10-centos ~]# telnet 120.55.XX.XX 80
Trying 120.55.XX.XX...
telnet: connect to address 120.55.XX.XX: Connection refused

P3: Como verificar o status do serviço e se a porta está em escuta?

Este exemplo utiliza o serviço NGINX em um Simple Application Server, cuja porta padrão é a 80. Para verificar outros serviços, substitua o nome do serviço e o número da porta nos comandos abaixo.

Servidores Linux

O exemplo a seguir considera um Simple Application Server Linux rodando CentOS 7.9. Os procedimentos podem variar conforme a versão do sistema operacional.

Conecte-se ao Simple Application Server Linux.

Para mais detalhes, consulte Conectar-se a um servidor Linux.
Execute o comando abaixo para verificar o status do NGINX:
```
systemctl status nginx
```
- A saída de comando abaixo indica que o NGINX está iniciado.
- Caso o NGINX não esteja iniciado, execute o seguinte comando para iniciá-lo:
```
systemctl start nginx
```
Verifique se a porta 80 está em escuta executando o comando:
```
netstat -an | grep 80
```
- Se a informação abaixo for retornada, a porta 80 está em escuta.
- Se a saída do comando diferir da imagem anterior, a porta 80 não está em escuta.

Servidores Windows

Este exemplo utiliza um Simple Application Server com Windows Server 2012. O procedimento é similar para outras versões do Windows Server.

Conecte-se ao Simple Application Server Windows.

Para mais informações, veja Conectar-se remotamente a um servidor Windows.
Escolha Start > Run, insira service.msc e clique em OK. A página Services será aberta.
Verifique o status do serviço nginx.
1. Se nenhum status for exibido para o serviço nginx, clique em com o botão direito no serviço nginx e selecione Start(S).
2. Se o status do serviço nginx for Running, o NGINX está iniciado.
No Windows PowerShell, execute o comando abaixo para checar se a porta 80 está em escuta:
```
netstat -ano | findstr "80"
```
- A porta 80 está em escuta se a seguinte informação for retornada.
- Caso a saída seja diferente da mostrada acima, a porta 80 não está em escuta.

P4: O que fazer se a porta do meu Simple Application Server não estiver acessível?

Se o servidor estiver fora da China continental, como na região China (Hong Kong), conexões instáveis e alta latência podem ocorrer devido ao congestionamento de links internacionais e restrições de roteamento de saída dos provedores de serviços de Internet (ISPs). Conexões transfronteiriças dependem das redes dos ISPs, e a qualidade é afetada por diversos fatores que não podem ser otimizados rapidamente.

Soluções:

Se o seu público-alvo está principalmente na China continental, recomendamos cancelar a assinatura do servidor atual após criar um novo em uma região da China continental e migrar os dados. Para mais informações, consulte Migração de dados entre instâncias do Simple Application Server.
Não é possível melhorar a conexão alterando apenas o endereço IP. Se o servidor estiver na região China (Hong Kong), considere usar uma instância Elastic Compute Service (ECS) associada a um elastic IP address (EIP) BGP (Multi-ISP) Pro. Isso permite uma conexão transfronteiriça direta, sem depender dos ISPs, melhorando a experiência do usuário. Contudo, problemas pontuais ainda podem ocorrer. Veja mais em Migrar dados de um Simple Application Server para uma instância ECS usando imagem compartilhada, Solicitar EIPs e Associar um EIP a um recurso de nuvem.

Em outros cenários, solucione o problema seguindo os passos abaixo:

Execute o comando netstat -tunlp para verificar se a porta está em escuta. Caso contrário, inicie o serviço correspondente.
Verifique se há restrições configuradas no firewall interno do servidor.
- Para sistemas Ubuntu, use o comando sudo ufw status.
- Para CentOS 7 ou superior, execute firewall-cmd --list-ports. Se o ufw ou firewall não estiver ativo, verifique as regras com iptables -L;iptables -t nat -L.
Confirme se existe uma regra de firewall liberando a porta no console do Simple Application Server.

Referências

Se não conseguir acessar o site ou o Simple Application Server após configurar as regras, ou se o firewall não atender às suas necessidades, consulte os tópicos abaixo: