Funcionamento

Firewall do projeto: permitir e bloquear por IP e porta

Quem cadastrou a conta é o dono e já tem acesso total. O site nasce aberto: HTTP 80 e HTTPS 443 aceitam qualquer visitante. Você não precisa abrir chamado para “liberar o site”. No painel, em Projeto → Firewall, feche portas ou restrinja IPs quando quiser.

O firewall decide quem chega ao seu app pela internet. Ele funciona como o de um servidor: cada regra tem ação (Permitir ou Bloquear), origem (IP ou faixa), protocolo (TCP), porta e uma etiqueta livre para você lembrar o motivo. Não é um WAF: não inspeciona o conteúdo das requisições.

As portas que chegam ao app são 443 (HTTPS) e 80 (HTTP). Todas as outras portas do contêiner já ficam fechadas para a internet e não precisam de regra. O acesso SSH aos servidores não existe para clientes e não é controlado aqui.

1. Antes de abrir um chamado

   Se o site não abre para algum IP, ou você quer restringir quem acessa, abra o projeto → Firewall. As regras padrão já deixam 80 e 443 liberados. Feche uma porta ou limite a origem você mesmo; o suporte não precisa fazer isso por você.

2. Regras padrão

   Todo projeto começa com duas regras: Permitir 443 (HTTPS) e Permitir 80 (HTTP) de 0.0.0.0/0 e ::/0, ou seja, qualquer IP. É o mínimo para o site abrir. A partir delas você acrescenta bloqueios ou troca a origem para restringir. Se apagar a regra de uma porta, ela continua aberta: o site nunca fica fora do ar por falta de regra.

3. Permitir fecha o resto

   Quando uma porta recebe ao menos uma regra Permitir, só as origens permitidas entram nela; o resto recebe 403 (Proibido). Para abrir para todos, permita 0.0.0.0/0 (qualquer IPv4) e ::/0 (qualquer IPv6).

4. Bloquear sempre vence

   Uma regra Bloquear tira aquela origem mesmo que outra regra a permita. Exemplo: Permitir 0.0.0.0/0 e ::/0 na 443 e Bloquear 45.10.20.0/24 deixa o site aberto para todos menos aquela faixa.

5. Porta 80 e 443

   Escolha 443 (HTTPS), 80 (HTTP) ou as duas. A 80 só redireciona para a 443, então para restringir o site basta a 443. A renovação automática do certificado continua funcionando com qualquer regra.

6. Aplicação em segundos

   Ao salvar, a regra é aplicada no roteador na frente do app em poucos segundos, sem nova publicação. O topo da tela mostra se foi aplicada e quando. Pausar uma regra a desliga sem apagá-la.

7. O IP lido é o do visitante

   O tráfego passa pela rede interna da Devora antes do app. O firewall ignora esses saltos internos e lê o IP real de quem acessou. Um cabeçalho X-Forwarded-For forjado pelo visitante não engana a regra. O botão Meu IP adiciona o endereço com que você está acessando o painel agora.

• Origem aceita: IPv4 (200.10.20.30), faixa IPv4 (200.10.20.0/24), IPv6 (2001:db8::1) e faixa IPv6 (2001:db8::/32). Até 50 origens por regra e 50 regras por projeto.
• Quem pode mexer: papéis Developer, Admin e Owner, ou um papel personalizado com a permissão Gerenciar firewall. Quem tem Ver firewall só consulta.
• Cada regra criada, alterada ou removida entra no Histórico da organização com quem fez, quando e de qual IP.
• Cuidado ao permitir só o escritório: quem estiver fora dessa rede (celular no 4G, viagem) não abre o site. Adicione esses IPs ou use uma regra só para quem precisa.
• A porta pública do banco de dados ainda não é controlada por esta tela; o acesso externo ao banco é ligado em Bancos e segue liberado só pela rede privada até ser ativado.
• Ao abrir um chamado sobre firewall, informe a etiqueta da regra, o IP de quem não consegue acessar e a mensagem do topo da tela Firewall.
• Quem cadastrou já tem o site no ar: as regras padrão Allow 80 e 443 de qualquer IP já valem. Restrições são opcionais e feitas no painel.