# Linux - Dicas

# FirewallD - Gerenciamento de Firewall

O **FirewallD** é uma ferramenta de gerenciamento de firewall padrão para sistemas operacionais Linux em distribuições como Fedora, Red Hat e CentoOS. Ele atua como um *front-end* para o *framework* de filtragem de pacotes do kernel Linux, conhecido como **netfilter**.

#### <span style="color: #000080;">FirewallD - Conceito</span>

Esse firewall possui algumas regras padrão e trabalha com o conceito de zonas onde a liberação de serviços é feito dentro delas.

A tabela abaixo demonstra como está configurado o firewall da rede após a instalação do sistema operacional:

<table border="1" id="bkmrk-regra-comportamento-" style="border-collapse: collapse; width: 100%;"><tbody><tr><td style="width: 13.3333%;">**Regra** </td><td style="width: 86.6667%;">**Comportamento**</td></tr><tr><td style="width: 13.3333%;">INPUT</td><td style="width: 86.6667%;">Liberado o acesso conexões do tipo RELATED,ESTABLISHED.</td></tr><tr><td style="width: 13.3333%;">FORWARD</td><td style="width: 86.6667%;">Aceita apenas conexões do tipo RELATED,ESTABLISHED.</td></tr><tr><td style="width: 13.3333%;">OUTPUT</td><td style="width: 86.6667%;">Não possui restrições.</td></tr></tbody></table>

#### <span style="color: #000080;">Zonas</span>

O firewalld gerencia um grupo de regras conhecido como zonas. As zonas definem o tipo de tráfego que será permitido baseado no nível de confiança da rede onde o seu servidor está conectado. Cada zona está atrelada a uma interface de rede existente no servidor.

O comando abaixo lista as zonas existentes:

```shell
firewall-cmd --get-zones
```

Abaixo são mostradas as zonas existentes no firewalld em ordem de nível de confiança:

<table border="1" id="bkmrk-zona-descri%C3%A7%C3%A3o-drop-" style="border-collapse: collapse; width: 100%; height: 295px;"><tbody><tr style="height: 29px;"><td style="width: 16.5432%; height: 29px;">**Zona** </td><td style="width: 83.4568%; height: 29px;">**Descrição**</td></tr><tr style="height: 29px;"><td style="width: 16.5432%; height: 29px;">drop</td><td style="width: 83.4568%; height: 29px;">Todos os pacotes são descartados.</td></tr><tr style="height: 29px;"><td style="width: 16.5432%; height: 29px;">block</td><td style="width: 83.4568%; height: 29px;">Todos os pacotes são rejeitados.</td></tr><tr style="height: 29px;"><td style="width: 16.5432%; height: 29px;">public</td><td style="width: 83.4568%; height: 29px;">Rede que você não conhece, pública.</td></tr><tr style="height: 20px;"><td style="width: 16.5432%; height: 20px;">external</td><td style="width: 83.4568%; height: 20px;">Rede externa onde o servidor com o firewalld funciona como um</td></tr><tr style="height: 11px;"><td style="width: 16.5432%; height: 11px;">gateway</td><td style="width: 83.4568%; height: 11px;">para a rede interna. É configurada com mascaramento para manter a privacidade da rede interna.</td></tr><tr style="height: 17px;"><td style="width: 16.5432%; height: 17px;">internal</td><td style="width: 83.4568%; height: 17px;">É a parte interna da rede. Equipamentos nessa rede possuem um nível maior de confiança e serviços adicionais estão disponíveis.</td></tr><tr style="height: 10px;"><td style="width: 16.5432%; height: 10px;">dmz</td><td style="width: 83.4568%; height: 10px;">São equipamentos isolados, ou seja, que não devem possuir acesso a sua rede. Apenas algumas conexões de entrada para esses equipamentos são permitidas.</td></tr><tr style="height: 29px;"><td style="width: 16.5432%; height: 29px;">work</td><td style="width: 83.4568%; height: 29px;">Equipamentos de trabalho com liberação de serviços adicionais.</td></tr><tr style="height: 46px;"><td style="width: 16.5432%; height: 46px;">home</td><td style="width: 83.4568%; height: 46px;">Equipamentos de casa. São dispositivos mais conhecidos e  
confiáveis e que possuem liberação para um pouco mais de serviços que a zona work.</td></tr><tr style="height: 46px;"><td style="width: 16.5432%; height: 46px;">trusted</td><td style="width: 83.4568%; height: 46px;">Equipamentos de confiança. Praticamente todos os serviços estão disponíveis para os equipamentos nesta zona.</td></tr></tbody></table>

#### <span style="color: #000080;">Listar as regras existentes</span>

O comando abaixo lista todas as regras existentes no serviço firewalld:

```VBScript
firewall-cmd --list-all
```

Se desejar listar apenas as regras de uma determinada zona utilize a opção –zone:

```shell
firewall-cmd –zone=public --list-all
```

#### <span style="color: #000080;">Liberar portas de entrada</span>

Para modificar as regras de entrada do firewall do Fedora, utilizamos o comando firewall-cmd.

No exemplo abaixo é demonstrado como liberar as portas 80(TCP) e 443(TCP) para acesso da rede pública, de forma permanente, para um servidor HTTP através da linha de comando:

```shell
firewall-cmd --permanent --zone=public --add-port=80/tcp
firewall-cmd --permanent --zone=public --add-port=443/tcp
firewall-cmd --set-default-zone=public
firewall-cmd --reload
```

onde:

<table border="1" id="bkmrk---permanent-adiciona" style="border-collapse: collapse; width: 100%;"><tbody><tr><td style="width: 18.0247%;">--permanent</td><td style="width: 81.9753%; text-align: justify;">Adiciona a regra de forma permanente, ou seja, após reiniciar o filtro as regras permanecerão. Se for omitida esta opção as regras são válidas até o firewalld ser reiniciado.</td></tr><tr><td style="width: 18.0247%;">--zone=public</td><td style="width: 81.9753%; text-align: justify;">É a zona pública não confiável. São endereços que você não conhece mas podem ser autorizados caso a caso.</td></tr><tr><td style="width: 18.0247%;">--add-port=80/tcp</td><td style="width: 81.9753%; text-align: justify;">Informação da porta e protocolo que serão adicionados na zona public.</td></tr><tr><td style="width: 18.0247%;">--reload</td><td style="width: 81.9753%; text-align: justify;">Recarrega as regras mantendo o estado das conexões.</td></tr><tr><td style="width: 18.0247%;">--set-default-zone=public</td><td style="width: 81.9753%; text-align: justify;">Define a zona public como a padrão a ser utilizada.</td></tr></tbody></table>

O exemplo abaixo demonstra como liberar a porta SSH para o servidor Linux:

```shell
firewall-cmd --permanent --zone=public --add-port=22/tcp
firewall-cmd --set-default-zone=public
firewall-cmd --reload
```

#### <span style="color: #000080;">Liberando um host ou uma rede</span>

Abaixo é demonstrado como liberar o acesso total ao servidor para a rede cuja origem é 192.168.1.0/24:

```VBScript
firewall-cmd --permanent --zone=public --add-source=127.0.0.1/8
firewall-cmd --reload
```

<table border="1" id="bkmrk---permanent-adiciona-0" style="border-collapse: collapse; width: 100%;"><tbody><tr><td style="width: 25.3086%;">--permanent</td><td style="width: 74.6914%;">Adiciona a regra de forma permanente, ou seja, após reiniciar o filtro as regras permanecerão. Se for omitida esta opção as regras são válidas até o firewalld ser reiniciado.</td></tr><tr><td style="width: 25.3086%;">--zone=public</td><td style="width: 74.6914%;">É a zona pública não confiável. São endereços que você não conhece mas podem ser autorizados caso a caso.</td></tr><tr><td style="width: 25.3086%;">--add-source=192.168.1.0/24</td><td style="width: 74.6914%;">Informação da rede ou host que serão adicionados na zona public.</td></tr><tr><td style="width: 25.3086%;">--reload</td><td style="width: 74.6914%;">Recarrega as regras mantendo o estado das conexões.</td></tr></tbody></table>

#### <span style="color: #000080;">Configurando o firewalld para agir como NAT</span>

Para essa função faz-se necessário ter pelo menos 2 interfaces de rede no servidor, uma que faça a conexão com a rede pública e outra a rede interna.

No exemplo abaixo, a interface eth0 está conectada na rede pública e a eth1 na rede interna:

```shell
firewall-cmd --permanent –zone=internal –add-interface=eth1
firewall-cmd –permanent –zone=public -add-masquerade
firewall-cmd --reload
```

<table border="1" id="bkmrk---permanent-adiciona-1" style="border-collapse: collapse; width: 100%;"><tbody><tr><td style="width: 19.5062%;">--permanent</td><td style="width: 80.4938%;">Adiciona a regra de forma permanente, ou seja, após reiniciar o filtro as regras permanecerão. Se for  
omitida esta opção as regras são válidas até o firewalld ser reiniciado.</td></tr><tr><td style="width: 19.5062%;">--zone=public  
--zone=internal</td><td style="width: 80.4938%;">Selecionamos a zona public para fazer o mascaramento e a internal para informar a rede interna.</td></tr><tr><td style="width: 19.5062%;">--add-masquerade</td><td style="width: 80.4938%;"> Adiciona o mascaramento na zona selecionada.</td></tr><tr><td style="width: 19.5062%;">--reload</td><td style="width: 80.4938%;">Recarrega as regras mantendo o estado das conexões.</td></tr></tbody></table>

#### <span style="color: #000080;">Configurando o firewalld para Port Forward</span>

Para redirecionar portas da rede externa para um endereço da rede interna, utilize os comandos abaixo:

```VBScript
firewall-cmd --permanent --zone=public –add-forward-port=port=443:proto=tcp:toport=443:toaddr=192.168.1.11
firewall-cmd --reload
```

<table border="1" id="bkmrk---permanent-adiciona-2" style="border-collapse: collapse; width: 100%; height: 199px;"><tbody><tr style="height: 80px;"><td style="width: 21.8519%; height: 15px;">--permanent</td><td style="width: 78.1481%; height: 15px;">Adiciona a regra de forma permanente, ou seja, após reiniciar o filtro as regras permanecerão. Se for omitida esta opção as regras são válidas até o firewalld ser reiniciado.</td></tr><tr style="height: 63px;"><td style="width: 21.8519%; height: 10px;">--zone=public</td><td style="width: 78.1481%; height: 10px;">É a zona pública não confiável. São endereços que você não conhece mas podem ser autorizados caso a caso.</td></tr><tr style="height: 29px;"><td style="width: 21.8519%; height: 29px;">--add-forward-port=</td><td style="width: 78.1481%; height: 29px;">Ativa a regra para o port forward.</td></tr><tr style="height: 29px;"><td style="width: 21.8519%; height: 29px;">port=443</td><td style="width: 78.1481%; height: 29px;">Porta de origem.</td></tr><tr style="height: 29px;"><td style="width: 21.8519%; height: 29px;">proto=tcp</td><td style="width: 78.1481%; height: 29px;">Protocolo de origem.</td></tr><tr style="height: 29px;"><td style="width: 21.8519%; height: 29px;">toport=443</td><td style="width: 78.1481%; height: 29px;">Porta de destino.</td></tr><tr style="height: 29px;"><td style="width: 21.8519%; height: 29px;">toaddr=192.168.1.11</td><td style="width: 78.1481%; height: 29px;">IP de destino na rede interna.</td></tr><tr style="height: 29px;"><td style="width: 21.8519%; height: 29px;">--reload</td><td style="width: 78.1481%; height: 29px;">Recarrega as regras mantendo o estado das conexões.</td></tr></tbody></table>

- - - - - -

#### <span style="color: #003366;">Contato</span>

<span style="color: #003366;">**Monsta Tecnologia Ltda**</span>  
Site: [http://www.monsta.com.br](http://www.monsta.com.br)  
Downloads: [http://www.monsta.com.br/download.html](http://www.monsta.com.br/download.html)  
E-mail: <contato@monsta.com.br>

- - - - - -

[![image-1645214142023.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645214142023.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645214142023.png)# Alterar o endereço IP em um servidor Fedora

Este tutorial passo a passo irá guiá-lo no processo de alteração do endereço IP em um servidor Linux Fedora. Aprenda a configurar um endereço IP estático ou dinâmico para garantir a conectividade de rede ideal para o seu servidor.

#### <span style="color: #000080;">Configurar o IP do servidor</span>

Entre com as credenciais de root em seu servidor. Uma vez logado, instale o programa para gerenciar interfaces de rede:

```shell
dnf install -y NetworkManager-tui
```

Depois de instalado, execute o gerenciador:

```
nmtui
```

Siga a sequência abaixo para editar as configurações de rede:

<table border="1" id="bkmrk--%3E-selecione-%E2%80%9Ceditar"><tbody><tr><td style="vertical-align: top; width: 385px;">[![image-1645530757865.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645530757865.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645530757865.png)

</td><td style="vertical-align: top; width: 424px;">- Selecione “Editar a conexão”;
- Pressione “Enter”.

</td></tr><tr><td style="vertical-align: top; width: 385px;">[![image-1718907509891.png](https://wiki.monsta.com.br/uploads/images/gallery/2024-06/scaled-1680-/image-1718907509891.png)](https://wiki.monsta.com.br/uploads/images/gallery/2024-06/image-1718907509891.png)

</td><td style="vertical-align: top; width: 424px;">- Selecione sua conexão de rede;
- Selecione “Editar”.

</td></tr><tr><td class="align-left" style="width: 385px; vertical-align: top;">[![image-1718829976173.png](https://wiki.monsta.com.br/uploads/images/gallery/2024-06/scaled-1680-/image-1718829976173.png)](https://wiki.monsta.com.br/uploads/images/gallery/2024-06/image-1718829976173.png)

</td><td style="vertical-align: top; width: 424px;">Utilize a tecla “TAB” para navegar entre os campos. Caso sua rede possua um servidor DHCP habilitado, deixe os campos de “CONFIGURAÇÃO DO IPVx” em Automático. Se quiser um IP fixo para seu servidor, faça o seguinte:

- Selecione o campo “CONFIGURAÇÃO DO IPVx” e pressione “Enter”;
- Selecione o modo “Manual”;
- Selecione “Exibir” e pressione “Enter”;
- Preencha os campos conforme as configurações da sua rede;

<p class="callout danger">Lembre-se de informar a máscara de rede após o endereço IP. No exemplo ao lado a máscara é /24.</p>

- Ao final, selecione “OK”;
- Pressione “Enter”.
- Pressione a tecla “ESC” para retornar a tela inicial.

</td></tr><tr><td style="vertical-align: top; width: 385px;">[![image-1645531410027.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645531410027.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645531410027.png)

</td><td style="vertical-align: top; width: 424px;">- Selecione “Ativar uma conexão” e pressione “Enter”.

</td></tr><tr><td style="vertical-align: top; width: 385px;">[![image-1645531449446.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645531449446.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645531449446.png)

</td><td style="vertical-align: top; width: 424px;">- Selecione a placa de rede que teve seu IP alterado e pressione “Enter” para desativá-la;
- Em seguida, pressione “Enter” novamente para ativá-la.
- Pressione “ESC” até sair do programa e retornar ao prompt de comando.

</td></tr></tbody></table>

####  

#### <span style="color: #000080;">Acessar o Monsta</span>

Após configurar o endereço IP do servidor, abra um navegador de internet e acesse:

[![image-1645531726319.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645531726319.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645531726319.png)

ou

[![image-1645531751491.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645531751491.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645531751491.png)  
  
A tela de login do Monsta será apresentada. Para efetuar o login, utilize suas credencias.

#### <span style="color: #000080;">Regras de Firewall (Opcional)</span>

Se a sua rede possui um firewall que controla os acessos à internet, libere os seguintes hosts e portas:

<p class="callout info">Host a.ntp.br e 2.fedora.pool.ntp.org  
Host mind.monsta.com.br na porta 443/TCP  
Host mind.monsta.com.br na porta 80/TCP</p>

As portas acima para mind.monsta.com.br e www.monsta.com.br permitem:

<p class="callout success"><span style="color: #000000;">-&gt; Backup automático das configurações.</span>  
<span style="color: #000000;">-&gt; Restauração do backup em caso de alguma falha.</span>  
<span style="color: #000000;">-&gt; Envio de notificações por E-mail, SMS e Telegram.</span>  
<span style="color: #000000;">-&gt; Checagem do estado da comunicação entre o Monsta instalado em seu servidor e o a Nuvem do Monsta. Com isso é possível receber alertas em caso de paradas inesperadas do serviço de monitoramento, tal como o desligamento impróprio do servidor ou falha no link de internet.</span>  
<span style="color: #000000;">-&gt; Autenticação das Chaves de Licenciamento.</span>  
<span style="color: #000000;">-&gt; Verificar e atualizar a versão do sistema.</span></p>

#### <span style="color: #000080;">Dica</span>

Utilize este tutorial para configurar regras do seu firewall caso sua instalação do Fedora tenha instalado o sistema FirewallD:

[Firewalld - Utilização](https://wiki.monsta.com.br/books/fedora-dicas/page/firewalld-utilizacao)

- - - - - -

#### <span style="color: #000080;">Contato</span>

**Monsta Tecnologia Ltda**  
Site: [http://www.monsta.com.br](http://www.monsta.com.br/)  
Downloads: [http://www.monsta.com.br/download.html](http://www.monsta.com.br/download.html)  
E-mail: <contato@monsta.com.br>

- - - - - -

<div id="bkmrk-"><div><svg class="svg-icon" data-icon="link" role="presentation" viewbox="0 0 24 24" xmlns="http://www.w3.org/2000/svg"></svg><div></div></div></div>[![image-1645214142023.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645214142023.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645214142023.png)# Linux perdendo pacotes por tabela nf_conntrack cheia

Este artigo demonstra como resolver o problema da perda intermitente de conexão ou pacotes que ocorre quando a tabela de rastreamento de conexões (*conntrack*) do kernel Linux está cheia.

#### <span style="color: #000080;">1. Problema e Causas</span>

O Linux usa o `nf_conntrack` (*Network Filter Connection Tracking*) para rastrear todas as conexões de rede ativas (TCP, UDP, ICMP etc.), necessário para o correto funcionamento do *firewall* (*iptables/nftables*) e do NAT (*Network Address Translation*).

Quando o número de conexões ativas atinge o limite máximo configurado, o *kernel* não consegue rastrear novas conexões e, por padrão, as descarta. Isso se manifesta como:

- Perda de conexão e pacotes no Linux.
- Falha intermitente para estabelecer novas conexões.
- Mensagens de erro no log do sistema (`/var/log/messages` ou `dmesg`), como: 
    - `kernel: nf_conntrack: table full, dropping packet`
    - `nf_conntrack: table full`

[![Captura de tela 2025-11-14 161942.png](https://wiki.monsta.com.br/uploads/images/gallery/2025-11/scaled-1680-/captura-de-tela-2025-11-14-161942.png)](https://wiki.monsta.com.br/uploads/images/gallery/2025-11/captura-de-tela-2025-11-14-161942.png)

Esse problema influencia no monitoramento do Monsta, causando falha de coleta em monitores de forma aleatória, pois o Monsta envia a solicitação e não recebe uma resposta.

Motivos que podem causar o esgotamento da tabela:

1. **Alto Tráfego de Conexões de Curta Duração:** Servidores que lidam com muitas conexões que são abertas e fechadas rapidamente podem encher a tabela rapidamente. Uma grande quantidade de monitores no Monsta pode contribuir.
2. **Ataques de Negação de Serviço (DDoS/DoS):** Um ataque de inundação de pacotes, especialmente *SYN floods* (que tentam abrir muitas conexões TCP incompletas), ou grandes volumes de tráfego UDP (que usa o *conntrack* para rastreamento básico) podem esgotar a tabela imediatamente.
3. **Timeouts Longos Demais:** Se o tempo que o kernel leva para "esquecer" uma conexão inativa (*timeout*) for muito longo, as entradas ficam presas na tabela, mesmo que a conexão tenha sido encerrada. Isso é especialmente problemático para conexões TCP no estado `TIME_WAIT` (o *timeout* padrão de 60 segundos é frequentemente longo demais para ambientes de alto tráfego).

##### Como confirmar o problema

Você pode verificar o estado da tabela com os seguintes comandos:

```shell
# Limite máximo de conexões (nf_conntrack_max)
cat /proc/sys/net/netfilter/nf_conntrack_max

# Número atual de conexões ativas (nf_conntrack_count)
cat /proc/sys/net/netfilter/nf_conntrack_count
```

Se o `nf_conntrack_count` estiver muito próximo ou igual ao `nf_conntrack_max`, a tabela está cheia.

#### <span style="color: #000080;">2. Solução: Aumentar e Otimizar os Limites </span>

A solução é aumentar o limite máximo de conexões (`nf_conntrack_max`) e otimizar os parâmetros de desempenho da tabela. Para alterar de forma permanente (sem perder as configurações ao reiniciar o Linux), siga os passos:

##### 2.1 Edite o arquivo configuração do sistema `/etc/sysctl.conf` com um editor de texto (`vi`, `nano`...)

```shell
vi /etc/sysctl.conf
```

##### 2.2 Adicione as seguintes linhas ao final do arquivo

```shell
######################################################
# Otimização de Conntrack para alto tráfego
######################################################
net.netfilter.nf_conntrack_max = 262144
net.netfilter.nf_conntrack_buckets = 65536
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 30
```

##### 2.3 Salve e feche o arquivo

##### 2.4 Aplique as novas configurações sem precisar reiniciar o sistema

```shell
sysctl -p
```

#### <span style="color: #000080;">3. Verificação</span>

Após aplicar as alterações, verifique o novo limite.

```shell
cat /proc/sys/net/netfilter/nf_conntrack_max
# O resultado deve ser 262144
```

- - - - - -

#### Contato

**Monsta Tecnologia Ltda**  
Site: [http://www.monsta.com.br](http://www.monsta.com.br/)  
Downloads: [http://www.monsta.com.br/download.html](http://www.monsta.com.br/download.html)  
E-mail: <contato@monsta.com.br>

- - - - - -

<div id="bkmrk--0"><div><svg class="svg-icon" data-icon="link" role="presentation" viewbox="0 0 24 24" xmlns="http://www.w3.org/2000/svg"></svg><div></div></div></div>[![image-1645214142023.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645214142023.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645214142023.png)# Comando yum não funciona no CentOS 7

O CentOS 7 chegou ao seu fim de vida (*EOL - End Of Life*) em 30 Junho de 2024 e os `mirrors` utilizados para atualizações e instalação de programas não respondem mais. Porém, os arquivos foram movidos para um "arquivo histórico" (o *vault*). Este artigo demonstra como corrigir o repositório para consultar no `vault.centos.org` para acessar os pacotes arquivados e assim tornar possível utilizar o comando `yum` para instalar programas no CentOS 7.

#### <span style="color: #000080;">1. Backup</span>

Antes de realizar alterações, faça uma cópia do arquivo base do repositório do CentOS.

```shell
cp -avr /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo.backup
```

#### <span style="color: #000080;">2. Edite o arquivo CentOS-Base.repo para apontar para o Vault </span>

Abra o arquivo com um editor de texto (`vi`, `nano`...)

```shell
vi /etc/yum.repos.d/CentOS-Base.repo
```

Dentro do arquivo, procure por linhas que começam com `mirrorlist=` e comente-as (adicione um `#` no início da linha). Em seguida, descomente (remova o `#`) as linhas que começam com `baseurl=` e altere o URL para `http://vault.centos.org/7.9.2009/`.

Você precisará fazer isso para as seções `[base]`, `[updates]`, e `[extras]` (podes fazer também para o `[centosplus]`, se desejar).

Aqui está um exemplo de como deve ficar:

```shell
[base]
name=CentOS-$releasever - Base
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os&infra=$infra
baseurl=http://vault.centos.org/7.9.2009/os/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

#released updates
[updates]
name=CentOS-$releasever - Updates
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates&infra=$infra
baseurl=http://vault.centos.org/7.9.2009/updates/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras&infra=$infra
baseurl=http://vault.centos.org/7.9.2009/extras/$basearch/
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-$releasever - Plus
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=centosplus&infra=$infra
baseurl=http://vault.centos.org/7.9.2009/centosplus/$basearch/
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7
```

Salve e feche o arquivo.

Limpe o cache do `yum`.

```shell
yum clean all
```

Agora é possível instalar os programas desejados utilizando o comando `yum`.

- - - - - -

#### Contato

**Monsta Tecnologia Ltda**  
Site: [http://www.monsta.com.br](http://www.monsta.com.br/)  
Downloads: [http://www.monsta.com.br/download.html](http://www.monsta.com.br/download.html)  
E-mail: <contato@monsta.com.br>

- - - - - -

<div id="bkmrk-"><div><svg class="svg-icon" data-icon="link" role="presentation" viewbox="0 0 24 24" xmlns="http://www.w3.org/2000/svg"></svg><div></div></div></div>[![image-1645214142023.png](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/scaled-1680-/image-1645214142023.png)](https://wiki.monsta.com.br/uploads/images/gallery/2022-02/image-1645214142023.png)# UFW - Gerenciamento de Firewall

**UFW** significa **Uncomplicated Firewall** (Firewall Descomplicado).

Ele é uma interface para gerenciar o firewall Netfilter no Linux, que é o sistema de filtragem de pacotes do sistema. O UFW foi desenvolvido com o objetivo de simplificar o processo de configuração de regras de firewall através do utilitário `iptables`.

O UFW é o método mais popular e recomendado para gerenciar o firewall em distribuições baseadas em Debian e Ubuntu.

### Exemplos de Comandos UFW (Guia Prático)

A maioria dos comandos UFW exige privilégios de superusuário (`sudo`).

#### 1. Verificação de Status

Verifique se o UFW está ativo e veja as regras atuais:

<table data-path-to-node="11" id="bkmrk-a%C3%A7%C3%A3o-comando-sa%C3%ADda-d"><thead><tr><td>**Ação**</td><td>**Comando**</td><td>**Saída de Exemplo**</td></tr></thead><tbody><tr><td><span data-path-to-node="11,1,0,0">**Verificar Status**</span></td><td><span data-path-to-node="11,1,1,0">`ufw status`</span></td><td><span data-path-to-node="11,1,2,0">`Status: inactive` (ou `active`)</span></td></tr><tr><td><span data-path-to-node="11,2,0,0">**Verificar Detalhes**</span></td><td><span data-path-to-node="11,2,1,0">`ufw status verbose`</span></td><td><span data-path-to-node="11,2,2,0">Lista todas as regras de forma detalhada.</span></td></tr></tbody></table>

#### 2. Ativação e Desativação

É crucial definir as regras antes de ativar, para não se trancar para fora do servidor.

<table data-path-to-node="14" id="bkmrk-a%C3%A7%C3%A3o-comando-observa"><thead><tr><td>**Ação**</td><td>**Comando**</td><td>**Observação**</td></tr></thead><tbody><tr><td><span data-path-to-node="14,1,0,0">**Ativar UFW**</span></td><td><span data-path-to-node="14,1,1,0">`ufw enable`</span></td><td><span data-path-to-node="14,1,2,0">**Atenção:** Se não tiver uma regra `allow ssh`, você perderá o acesso remoto.</span></td></tr><tr><td><span data-path-to-node="14,2,0,0">**Desativar UFW**</span></td><td><span data-path-to-node="14,2,1,0">`ufw disable`</span></td><td><span data-path-to-node="14,2,2,0">Remove o firewall (não recomendado).</span></td></tr><tr><td><span data-path-to-node="14,3,0,0">**Resetar Regras**</span></td><td><span data-path-to-node="14,3,1,0">`ufw reset`</span></td><td><span data-path-to-node="14,3,2,0">Remove todas as regras definidas pelo usuário.</span></td></tr></tbody></table>

#### 3. Políticas Padrão (Default)

Configure o que acontece com o tráfego que não corresponde a nenhuma regra específica.

<table data-path-to-node="17" id="bkmrk-a%C3%A7%C3%A3o-comando-resulta"><thead><tr><td style="width: 222px;">**Ação**</td><td style="width: 229px;">**Comando**</td><td style="width: 358px;">**Resultado**</td></tr></thead><tbody><tr><td style="width: 222px;"><span data-path-to-node="17,1,0,0">**Bloquear Entrada (Recomendado)**</span></td><td style="width: 229px;"><span data-path-to-node="17,1,1,0">`ufw default deny incoming`</span></td><td style="width: 358px;"><span data-path-to-node="17,1,2,0">Nenhuma conexão externa é permitida, a menos que especificada.</span></td></tr><tr><td style="width: 222px;"><span data-path-to-node="17,2,0,0">**Permitir Saída**</span></td><td style="width: 229px;"><span data-path-to-node="17,2,1,0">`ufw default allow outgoing`</span></td><td style="width: 358px;"><span data-path-to-node="17,2,2,0">Seu servidor pode iniciar conexões com o mundo exterior.</span></td></tr></tbody></table>

#### 4. Adicionar Regras (Permissões)

<table data-path-to-node="19" id="bkmrk-objetivo-comando-obs"><thead><tr><td style="width: 157px;">**Objetivo**</td><td style="width: 383px;">**Comando**</td><td style="width: 269px;">**Observação**</td></tr></thead><tbody><tr><td style="width: 157px;"><span data-path-to-node="19,1,0,0">**Permitir SSH (Porta 22)**</span></td><td style="width: 383px;"><span data-path-to-node="19,1,1,0">`ufw allow ssh`</span></td><td style="width: 269px;"><span data-path-to-node="19,1,2,0">Usa o nome do serviço para liberar a porta 22/TCP.</span></td></tr><tr><td style="width: 157px;"><span data-path-to-node="19,2,0,0">**Permitir HTTP (Porta 80)**</span></td><td style="width: 383px;"><span data-path-to-node="19,2,1,0">`ufw allow http`</span></td><td style="width: 269px;"><span data-path-to-node="19,2,2,0">Libera a porta 80/TCP.</span></td></tr><tr><td style="width: 157px;"><span data-path-to-node="19,3,0,0">**Permitir HTTPS (Porta 443)**</span></td><td style="width: 383px;"><span data-path-to-node="19,3,1,0">`ufw allow 443/tcp`</span></td><td style="width: 269px;"><span data-path-to-node="19,3,2,0">Libera pelo número da porta e protocolo.</span></td></tr><tr><td style="width: 157px;"><span data-path-to-node="19,4,0,0">**Porta Específica**</span></td><td style="width: 383px;"><span data-path-to-node="19,4,1,0">`ufw allow 5432/udp`</span></td><td style="width: 269px;"><span data-path-to-node="19,4,2,0">Libera a porta 5432 apenas para o protocolo UDP.</span></td></tr><tr><td style="width: 157px;"><span data-path-to-node="19,5,0,0">**Tráfego de IP Específico**</span></td><td style="width: 383px;"><span data-path-to-node="19,5,1,0">`ufw allow from 192.168.1.100 to any port 3306`</span></td><td style="width: 269px;"><span data-path-to-node="19,5,2,0">Permite que apenas o IP `192.168.1.100` acesse a porta 3306 (MySQL).</span></td></tr></tbody></table>

#### 5. Remover Regras

A remoção pode ser feita pelo número da regra ou pelo texto da regra.

<table data-path-to-node="22" id="bkmrk-a%C3%A7%C3%A3o-comando-observa-0"><thead><tr><td style="width: 115px;">**Ação**</td><td style="width: 246px;">**Comando**</td><td style="width: 448px;">**Observação**</td></tr></thead><tbody><tr><td style="width: 115px;"><span data-path-to-node="22,1,0,0">**Remover por Texto**</span></td><td style="width: 246px;"><span data-path-to-node="22,1,1,0">`ufw delete allow http`</span></td><td style="width: 448px;"><span data-path-to-node="22,1,2,0">Remove a regra de acesso a porta http (80/TCP).</span></td></tr><tr><td style="width: 115px;"><span data-path-to-node="22,2,0,0">**Remover por Número**</span></td><td style="width: 246px;"><span data-path-to-node="22,2,1,0">`ufw status numbered` </span>

<span data-path-to-node="22,2,1,0">`ufw status delete [número]` </span>

</td><td style="width: 448px;">O primeiro comando retorna uma lista com as regras existentes e sua posição, o segundo remove a regra na posição selecionada.</td></tr></tbody></table>