Passar para o conteúdo principal

Configurações Avançadas e Proteção Anti-DDoS

Este artigo ensina a ativar facilitadores de conexão (Helpers) para protocolos complexos como VoIP e VPN, além de habilitar regras globais de higienização de tráfego e proteção contra ataques (Anti-DDoS).

Atualizado há mais de 2 semanas

Acesso às configurações de Avançado do módulo Firewall

  1. Acesse o menu Firewall.

  2. Selecione a aba Avançado.

  3. Clique em + para adicionar um serviço ou selecione um serviço existente para editar.


Módulos e Regras Adicionais

Habilita módulos de rastreamento de conexão (Connection Tracking Helpers) no Kernel do Linux para protocolos que requerem tratamento especial de NAT.

Opção

Descrição Técnica

[ ] Habilitar módulo de SIP NAT

Carrega os módulos nf_nat_sip e nf_conntrack_sip. Essencial para permitir o tráfego de VoIP (PABX/Ramais remotos) através do NAT sem perder a sinalização.

[ ] Habilitar conexões PPTP na rede

Carrega os módulos para rastreamento do protocolo GRE (Generic Routing Encapsulation). Necessário para permitir pass-through de VPNs PPTP que passem pelo Edge Protect.

Anti-DDOS

Conjunto de regras de iptables focadas na validação da integridade dos pacotes e prevenção de ataques comuns.

Nota: A ativação destas opções aplica-se globalmente às interfaces do firewall.

Opção

Ação da Regra

[ ] Bloquear pacotes inválidos

Descarta pacotes que não correspondem a nenhuma conexão conhecida ou válida na tabela de estado (INVALID state).

[ ] Descartar pacotes TCP que são novos e não são SYN

Força a conformidade com o TCP Three-Way Handshake. Impede que conexões sejam iniciadas sem a flag SYN (ex: ataques de FIN scan).

[ ] Descartar pacotes SYN com valor suspeito de MSS

Bloquear pacotes com valor de Maximum Segment Size malformado, que podem causar buffer overflow.

[ ] Bloquear pacotes com sinalizadores TCP falsos (Bogus)

Descarta combinações ilegais de flags TCP (ex: Xmas Tree packets, Null Scan) usadas para burlar filtros ou travar pilhas TCP/IP.

[ ] Bloquear pacotes fragmentados

Descarta fragmentos de pacotes IP. Previne evasão de firewall e ataques de fragmentação (Teardrop).

[ ] Bloquear pacotes falsificados

Ativa verificação de Anti-Spoofing. Descarta pacotes cuja origem IP não condiz com a sub-rede da interface de entrada.

[ ] Limitar pacotes RST

Aplica Rate Limiting em pacotes com flag RST (Reset), mitigando ataques de DoS que tentam derrubar conexões legítimas.

[ ] Proteção de força bruta SSH (Brute Force SSH)

Bloqueia temporariamente IPs que excederem um número limite de tentativas de conexão na porta 22 em curto período.

[ ] Proteção contra varredura de portas (Port scanning)

Detecta e bloqueia IPs que tentam acessar sequencialmente múltiplas portas fechadas em um intervalo de tempo curto.

Respondeu à sua pergunta?