Toda a máquina Lightsail nasce com a porta 22 (SSH) aberta a toda a gente. Assim que tem IP público, começam as tentativas de entrada automáticas a partir de meio planeta: milhares por dia. Com uma chave SSH forte não entrarão, mas enchem os registos, consomem recursos e qualquer falha futura no serviço SSH fica exposta. A solução correta é simples: permitir a porta 22 só a partir do IP de onde você se liga.
O Lightsail tem uma firewall própria, por máquina, que se gere a partir da consola sem tocar em nada dentro do servidor. Isso torna-a muito cómoda e também muito fácil de ficar de fora se se enganar, por isso siga a ordem dos passos.
Antes de começar: o que significa cada coisa
- Firewall
- O porteiro da sua máquina: uma lista de que portas estão abertas e para quem. No Lightsail gere-se a partir da consola web, sem entrar na máquina.
- Porta 22 e SSH
- SSH é a forma como um técnico entra na máquina para a administrar a partir de um terminal. Usa a "porta" número 22. Se estiver aberta a toda a gente, toda a gente vai tentar entrar.
- IP público
- O endereço numérico com que a sua ligação sai para a internet. Vê-o procurando "qual é o meu IP". É diferente do endereço interno do seu computador em casa ou no escritório.
- IP dinâmico ou fixo
- Dinâmico: o seu operador muda-lhe o endereço de tempos a tempos (o habitual em casa). Fixo: sempre o mesmo (habitual em empresas, por vezes mediante pagamento).
- CIDR (/32, /24)
- Uma forma abreviada de escrever um intervalo de endereços. "/32" é um único endereço; "/24" são 256 seguidos. Se só quer o seu IP, não precisa de escrever nada: basta o endereço.
- IPv4 e IPv6
- Dois tipos de endereços de internet, o clássico (quatro números com pontos) e o novo (mais comprido, com letras e dois pontos). A máquina pode ter os dois, e cada um tem a sua própria firewall.
Passo a passo
Descubra o seu IP público
A partir do computador com que se liga, procure "qual é o meu IP" no navegador ou pergunte ao seu router. Anote o endereço IPv4, quatro números separados por pontos. Se trabalha a partir do escritório e de casa, vai precisar dos dois.
Importante: se a sua ligação tem IP dinâmico (a maioria das domésticas), vai mudar de tempos a tempos e terá de atualizar a regra. Vemos isso no fim.
Abra a firewall da máquina
Na consola do Lightsail, separador Instances, clique na sua máquina e depois no separador Networking. Por baixo do IP público está o bloco IPv4 Firewall com as regras atuais. Verá a de SSH com "Any IP address" como origem.
Edite a regra de SSH e restrinja a origem
Clique no lápis da regra SSH, TCP 22. Marque a caixa Restrict to IP address e escreva o seu IP do passo 1. Pode adicionar vários endereços separados na mesma regra, ou criar uma regra por cada local de onde se liga. Se quiser um intervalo, use a notação CIDR, por exemplo
203.0.113.0/24.Deixe marcada a opção Allow Lightsail browser SSH se aparecer: assim, mesmo que o seu IP mude, poderá sempre entrar com o terminal web da consola do Lightsail, que vem de endereços próprios da AWS. É a sua rede de segurança.
Guarde e teste sem fechar a sessão atual
Guarde a regra. A alteração é imediata. Antes de dar algo por feito, abra uma sessão SSH nova a partir do seu computador e confirme que entra. Se já tinha uma sessão aberta, não a feche até confirmar que a nova funciona: as ligações estabelecidas não se cortam, mas as novas sim, são filtradas.
Reveja também a firewall IPv6
Se a máquina tem IPv6 ativado, um pouco mais abaixo há um bloco IPv6 Firewall separado, com a sua própria regra de SSH aberta a todos. Se não usa IPv6 para se ligar, elimine essa regra ou restrinja-a ao seu endereço IPv6. É o descuido mais habitual: fecha-se a porta do IPv4 e deixa-se a do IPv6 escancarada.
Decida o que fazer quando o seu IP mudar
Com IP dinâmico, um dia não vai entrar. Tem três opções razoáveis: entrar pelo terminal do navegador do Lightsail e não mudar nada (serve para uma urgência); atualizar a regra com o seu novo IP a partir da consola, o que leva um minuto; ou pedir ao seu operador um IP fixo, que em ligações de empresa costuma estar disponível.
O que pode correr mal
Fiquei de fora por SSH
Calma: a firewall do Lightsail muda-se a partir da consola web, não de dentro da máquina. Entre no Lightsail, separador Networking, e corrija o IP da regra. Se precisar já, use o terminal do navegador do Lightsail (botão "Connect using SSH" na máquina), que não passa pelo seu IP.
Continua sem entrar embora o IP esteja correto
Confirme se a máquina também tem uma firewall interna (ufw no Ubuntu, firewalld no Amazon Linux) e se essa permite a 22. As duas firewalls, a do Lightsail e a do sistema, têm de deixar passar. E verifique se está a usar o IP do computador a partir do qual se liga, não o de uma VPN ou o de outra sede.
Pus o IP da minha rede local
Os endereços que começam por 192.168, 10. ou 172.16 a 172.31 são da sua rede interna e não servem: a firewall do Lightsail vê o seu IP público, o que o operador lhe dá. Volte ao passo 1.
Um colega precisa de entrar a partir de outro local
Adicione o IP dele como outra entrada da mesma regra em vez de a voltar a abrir a toda a gente. E se a lista crescer, é o momento de pensar numa VPN ou num bastião: um único IP de entrada que você gere.
No Simplio
No Simplio a firewall de cada máquina Lightsail é uma lista editável: adiciona a porta, escolhe "Só o meu IP" (o Simplio já sabe qual é o seu) e guarda, com confirmação de duplo fator para alterações delicadas. Além disso, cada pessoa da sua equipa vê só as máquinas que lhe atribuiu, e cada alteração fica no registo de atividade com quem, quando e de onde.
O mesmo, na AWS e no Simplio
| Na consola da AWS | No Simplio | |
|---|---|---|
| Fechar a porta 22 ao seu IP | Descobrir o seu IP, consola do Lightsail, separador Networking, editar regra, repetir no IPv6: 5 passos, 5 minutos por máquina | Regra "Só o meu IP" (o Simplio já sabe qual é): 1 clique por máquina |
| Quando o seu IP muda | Voltar à consola e editar a regra | O mesmo clique; ou entrar pelo terminal do Simplio sem tocar em nada |
| Saber quem abriu o quê | CloudTrail, se o procurar | Cada alteração no registo de atividade com utilizador, data e IP |