Usando o Firestarter e o GUFW

Naturalmente, configurar as regras manualmente só é necessário se você realmente gosta da linha de comando e quer ter um melhor controle sobre a configuração. Uma opção mais simples de usar e, ao mesmo tempo, bastante poderosa é o Firestarter, disponível via apt:

$ sudo apt-get install firestarter

Você pode executá-lo usando o comando “sudo firestarter” ou usando o ícone no “Aplicações > Ferramentas de Sistema > Firestarter”. Ele precisa ser sempre executado através do sudo, pois precisa de permissões de root para modificar as regras do Iptables e criar o serviço de sistema onde salva sua configuração.

Ao abrir o Firestarter pela primeira vez, é aberto um assistente que pede algumas informações básicas sobre a configuração da rede e oferece opções para compartilhar a conexão e ativar o firewall sob demanda, ao conectar usando uma conexão 3G (ou discada) ou via ADSL PPPoE.

Por padrão, uma vez aberto, o Firestarter bloqueia todas as portas e loga todas as tentativas de conexão, uma configuração bastante segura.

Sempre que alguém tenta abrir alguma conexão, seja a partir de outro micro da rede local ou via Internet, o ícone ao lado do relógio fica vermelho. Clicando sobre ele, a Interface do Firestarter é aberta, mostrando detalhes sobre a tentativa de acesso. Digo tentativa, pois por padrão o Firestarter vai bloquear a conexão, fazendo com que a outra pessoa dê com a cara na porta. Entretanto, clicando sobre a entrada, você tem a opção de autorizar futuros acessos:

Usando a opção “Permitir serviço de entrada para a origem” faz com que, daí em diante, o endereço possa acessar a porta (o SSH no exemplo), sem disparar novamente o alarme. Como a regra fica vinculada ao IP, esta opção é útil apenas para micros dentro da rede local que estejam configurados para usar IP fixo.

A opção “Permitir conexões a partir da origem” faz com que o endereço em questão possa acessar qualquer serviço disponível na sua máquina, em qualquer porta, sem disparar o alarme; uma opção interessante para micros da rede local. Finalmente, a opção “Permitir serviço de entrada para todos” abre a porta para todo mundo, incluindo hosts da Internet.

Essa natureza “interativa” é justamente o grande diferencial do Firestarter, que faz com que ele seja atualmente a melhor opção de firewall para desktops em geral. Todas as regras adicionadas entram em vigor imediatamente e ficam acessíveis para modificação ou consulta na aba “Política”.

Uma vez ativado o firewall, as regras ficam ativas, mesmo que você feche a interface principal, mas você perde a possibilidade de monitorar as tentativas de acesso e aceitar conexões. O Firestarter fica residente na forma do serviço de sistema “firestarter”.

Para desabilitar o firewall, não basta fechar a janela, nem mesmo o ícone ao lado do relógio. Fazendo isso você fecha a interface, mas o serviço continua ativo, com as regras ativas. Para realmente desativar as regras, você precisa clicar no “Parar Firewall” dentro da janela principal:

Outra opção de configurador gráfico é o Gufw (http://gufw.tuxfamily.org/pt/), um firewall voltado para a facilidade de uso, baseado no UFW (o “Uncomplicated Firewall”, que pode ser usado via linha de comando). Por oferecer menos opções, ele acaba sendo mais adequado que o Firestarter para o uso de pessoas não-técnicas, como em casos em que você instala o Ubuntu em PCs de familiares e amigos. Ele também pode ser instalado usando o apt:

$ sudo apt-get install gufw

Uma vez instalado o pacote, será criado um atalho para ele no “Sistema > Administração > Configuração de Firewall”. Assim como no caso do Firestarter, a interface é usada apenas para alterar a configuração do firewall. Uma vez ativado, ele continua ativo mesmo que a interface seja fechada.

O primeiro passo é marcar o “Firewall habilitado”, o que ativa o Gufw em modo restritivo, bloqueando todo o tráfego de entrada, mas permitindo o tráfego de saída; a clássica receita para firewalls destinados a micros desktop. A ideia é justamente oferecer um bom nível de segurança por padrão, a partir da qual você possa criar exceções usando as opções da interface.

A aba “Simples” permite especificar diretamente portas de entrada que devem ser liberadas. Você pode tanto especificar as portas pelos números, como em “22” ou “6889”, quanto pelo protocolo, como em “ssh” ou “ftp”. Usando o terceiro campo, você pode especificar se deve ser aberta a porta TCP, UDP ou ambas:

A maioria dos protocolos utiliza portas TCP, mas existem casos como o do SIP, que usa a porta 5060 UDP para receber chamadas. No caso dele, por exemplo, não adiantaria abrir apenas a porta 5060 TCP, já que não é ela a usada.

A aba “Pré-configurado” inclui algumas regras prontas para autorizar ou bloquear protocolos ou aplicativos específicos. No Ubuntu 9.04 o conjunto de regras disponíveis é ainda bastante incompleto, por isso a utilidade é questionável, mas ele deve melhorar nas versões seguintes.

Concluindo, a aba “Avançado” permite definir regras com um pouco mais de liberdade, especificando endereços de origem e faixas de portas. Ela é um pouco contra-intuitiva, o que gera confusão.

O campo “De” permite especificar o endereço de origem das conexões, o que permite que você abra portas apenas para endereços específicos. Se um amigo precisa se conectar à sua máquina via SSH, por exemplo, você pode criar uma regra específica para ele, especificando o endereço no campo “De” e a porta 22 TCP no segundo campo do “Para”:

O primeiro campo do “Para” permite especificar o endereço da sua máquina onde o pacote será aceito. Ele é usado apenas em casos em que o PC possui duas ou mais interfaces de rede, como no clássico caso em que você usa uma placa para a rede local e outra para a Internet. Deixando o campo em branco, você permite conexões em qualquer uma das interfaces, mas ao especificar seu endereço de rede local, a regra passa a permitir apenas conexões a partir de outros PCs da rede, descartando as conexões vindas da Internet.

Existem dois campos para especificar a porta, pois o segundo é usado quando você precisa especificar um intervalo de portas. Um caso clássico é o bittorrent, que utiliza as portas da 6881 à 6889. Usando os dois campos, você pode abrir todo o intervalo de uma vez, sem precisar criar uma regra para cada porta:

Concluindo, os menus incluem também opções para salvar as regras em um arquivo de texto (útil caso precise usar a mesma configuração em várias máquinas) e também para exibir o ícone ao lado do relógio, que serve como um atalho rápido para a interface.

Sobre o Autor

Redes Sociais:

Deixe seu comentário

X