Teste suas regras de firewall a partir de fora

Uma verificação antes e depois

Execute a varredura antes de alterar uma regra e de novo depois. A diferença é a sua evidência. Por exemplo, se você removeu uma regra antiga que liberava o MySQL, a primeira varredura lista a 3306 e a segunda não.

Por que a origem da varredura importa

Firewalls costumam permitir determinados endereços de origem, como o do seu escritório. Esta varredura sai de um endereço público compartilhado, então vê o que um visitante comum veria. Se a sua regra permite apenas o IP do escritório, uma configuração correta mostrará a porta como ausente aqui, embora você consiga se conectar a partir do escritório.

O que um resultado limpo comprova

Ele comprova que nenhuma das 18 portas listadas aceitou conexão desse scanner naquele momento. Não comprova que as outras 65.535 portas estejam fechadas, e não verifica UDP. Porta fechada, filtrada e host fora do ar parecem iguais, então confirme também que o host está ativo verificando uma porta que deveria estar aberta.

Boas práticas

• Teste uma mudança de cada vez, para saber qual regra causou qual efeito.
• Dê tempo para que as regras da nuvem sejam aplicadas antes de escanear.
• Escaneie apenas endereços que você possui ou para os quais tem permissão de teste.

Camadas comuns de firewall

O tráfego costuma passar por várias camadas: um security group da nuvem, uma network ACL, um firewall do host, como o iptables ou ferramenta semelhante, e às vezes um equipamento físico. Uma porta só fica acessível se todas as camadas a permitirem, e fica bloqueada se qualquer uma negar. Quando um resultado for surpreendente, verifique cada camada em sequência, e não apenas aquela que você editou por último.

Lembre-se também de que uma porta permitida sem nada escutando por trás continua parecendo fechada. A varredura só consegue indicar se uma conexão foi aceita ou não. Guarde uma anotação curta de cada varredura com a data e as portas abertas. Isso torna a próxima auditoria mais rápida e mostra quando uma porta inesperada apareceu pela primeira vez.