Wiki BPF - Contribuições do(a) usuário(a) [pt-br]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T03:13:25Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais '''suscetível a ataques''' como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# '''Proteja''' a chave privada com uma '''senha''';
# '''Nunca compartilhe''' a chave privada;
# '''Revogue''' imediatamente chaves '''comprometidas''';
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.

Se você ainda não possui um par de '''chaves SSH''', gere um utilizando o comando abaixo em um '''servidor Linux''' ou pelo método de sua preferência. Caso já possua uma '''chave SSH''' compatível, basta reutilizá-la para este procedimento.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f '''<nome-da-chave>''' -C "'''<comentario>'''"
Visualize sua chave pública.
cat '''<nome-da-chave>'''.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
commit
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
commit
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key '''<nome-da-chave>''' encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
commit
3 - Defina o tipo da autenticação do usuário como '''rsa'''.

Preste bem atenção porque depois desse '''commit''' você não conseguirá mais realizar o acesso usando usuário e senha, se você estiver inseguro, use o comando '''commit trial 60''', que manterá sua última alteração por 60 segundos. Então caso algo dê errado você terá acesso ao equipamento novamente em 1 minuto, mas se tudo der certo você faz o '''commit''' permanente. Durante o tempo do '''commit trial 60''', você terá 1 minuto para realizar o teste de acesso via ssh usando o novo método configurado.

O '''commit trial''' lembra muito a função '''Safe Mode''' do '''Mikrotik''', no caso do '''Huawei''' independente se você permanece com acesso ou não ao equipamento, as configurações são revertidas.
ssh user '''<usuario>'''
ssh user '''<usuario>''' authentication-type rsa
ssh user '''<usuario>''' assign rsa-key '''<nome-da-chave>'''
ssh user '''<usuario>''' service-type all
commit
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# Dependendo da versão do '''VRP''' utilizada, alguns comandos e suas sintaxes podem variar. Consulte a documentação correspondente à versão do seu equipamento antes de aplicar as configurações.
# Lembre-se de configurar a chave privada em seu programa de gerenciamento de acesso SSH, no caso do '''Putty''' gere uma nova chave no formato que ele aceita ('''.ppk''').
'''Roteador'''
display ssh user-information '''<usuario>'''
display rsa peer-public-key brief
display rsa peer-public-key name '''<nome-da-chave>'''
'''Linux'''
ssh -i ~/.ssh/'''<nome-da-chave>''' -p '''<porta-ssh>''' '''<usuario>'''@'''<ip-do-equipamento>'''

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]
[[Categoria:Segurança]]
[[Categoria:Huawei]]
[[Categoria:Infraestrutura]]
[[Categoria:Boas Práticas]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T03:10:26Z

Erickandrade:

Autenticação SSH por Chave Pública no Huawei

2026-08-01T03:04:23Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais '''suscetível a ataques''' como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# '''Proteja''' a chave privada com uma '''senha''';
# '''Nunca compartilhe''' a chave privada;
# '''Revogue''' imediatamente chaves '''comprometidas''';
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.

Se você ainda não possui um par de '''chaves SSH''', gere um utilizando o comando abaixo em um '''servidor Linux''' ou pelo método de sua preferência. Caso já possua uma '''chave SSH''' compatível, basta reutilizá-la para este procedimento.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f '''<nome-da-chave>''' -C "'''<comentario>'''"
Visualize sua chave pública.
cat '''<nome-da-chave>'''.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
commit
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
commit
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key '''<nome-da-chave>''' encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
commit
3 - Defina o tipo da autenticação do usuário como '''rsa'''.

Preste bem atenção porque depois desse '''commit''' você não conseguirá mais realizar o acesso usando usuário e senha, se você estiver inseguro, use o comando '''commit trial 60''', que manterá sua última alteração por 60 segundos. Então caso algo dê errado você terá acesso ao equipamento novamente em 1 minuto, mas se tudo der certo você faz o '''commit''' permanente. Durante o tempo do '''commit trial 60''', você terá 1 minuto para realizar o teste de acesso via ssh usando o novo método configurado.

O '''commit trial''' lembra muito a função '''Safe Mode''' do '''Mikrotik''', no caso do '''Huawei''' independente se você permanece com acesso ou não ao equipamento, as configurações são revertidas.
ssh user '''<usuario>'''
ssh user '''<usuario>''' authentication-type rsa
ssh user '''<usuario>''' assign rsa-key '''<nome-da-chave>'''
ssh user '''<usuario>''' service-type all
commit
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# Dependendo da versão do '''VRP''' utilizada, alguns comandos e suas sintaxes podem variar. Consulte a documentação correspondente à versão do seu equipamento antes de aplicar as configurações.
# Lembre-se de configurar a chave privada em seu programa de gerenciamento de acesso SSH, no caso do '''Putty''' gere uma nova chave no formato que ele aceita ('''.ppk''').
'''Roteador'''
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Linux'''
ssh -i ~/.ssh/<nome-da-chave> -p <porta-ssh> <usuario>@<ip-do-equipamento>

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:49:37Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais '''suscetível a ataques''' como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# '''Proteja''' a chave privada com uma '''senha''';
# '''Nunca compartilhe''' a chave privada;
# '''Revogue''' imediatamente chaves '''comprometidas''';
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.

Se você ainda não possui um par de '''chaves SSH''', gere um utilizando o comando abaixo em um '''servidor Linux''' ou pelo método de sua preferência. Caso já possua uma '''chave SSH''' compatível, basta reutilizá-la para este procedimento.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f '''<nome-da-chave>''' -C "'''<comentario>'''"
Visualize sua chave pública.
cat '''<nome-da-chave>'''.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
commit
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
commit
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key '''<nome-da-chave>''' encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
commit
3 - Defina o tipo da autenticação do usuário como '''rsa'''.

Preste bem atenção porque depois desse '''commit''' você não conseguirá mais realizar o acesso usando usuário e senha, se você estiver inseguro, use o comando '''commit trial 60''', que manterá sua última alteração por 60 segundos. Então caso algo dê errado você terá acesso ao equipamento novamente em 1 minuto, mas se tudo der certo você faz o '''commit''' permanente. Durante o tempo do '''commit trial 60''', você terá 1 minuto para realizar o teste de acesso via ssh usando o novo método configurado.

O '''commit trial''' lembra muito a função '''Safe Mode''' do '''Mikrotik''', no caso do '''Huawei''' independente se você permanece com acesso ou não ao equipamento, as configurações são revertidas.
ssh user '''<usuario>'''
ssh user '''<usuario>''' authentication-type rsa
ssh user '''<usuario>''' assign rsa-key '''<nome-da-chave>'''
ssh user '''<usuario>''' service-type all
commit
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# A versão do sistema '''VRP''' utilizado para esse tutorial foi a '''V800R022C00SPC600''', então esteja atento a mudanças de comandos a depender da sua versão.
# Lembre-se de configurar a chave privada em seu programa de gerenciamento de acesso SSH, no caso do '''Putty''' gere uma nova chave no formato que ele aceita ('''.ppk''').
'''Roteador'''
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Linux'''
ssh -i ~/.ssh/<nome-da-chave> -p <porta-ssh> <usuario>@<ip-do-equipamento>

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:47:31Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais '''suscetível a ataques''' como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# '''Proteja''' a chave privada com uma '''senha''';
# '''Nunca compartilhe''' a chave privada;
# '''Revogue''' imediatamente chaves '''comprometidas''';
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.

Se você ainda não possui um par de '''chaves SSH''', gere um utilizando o comando abaixo em um '''servidor Linux''' ou pelo método de sua preferência. Caso já possua uma '''chave SSH''' compatível, basta reutilizá-la para este procedimento.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f '''<nome-da-chave>''' -C "'''<comentario>'''"
Visualize sua chave pública.
cat '''<nome-da-chave>'''.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
commit
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
commit
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key '''<nome-da-chave>''' encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
commit
3 - Defina o tipo da autenticação do usuário como '''rsa'''.

Preste bem atenção porque depois desse '''commit''' você não conseguirá mais realizar o acesso usando usuário e senha, se você estiver inseguro, use o comando '''commit trial 60''', que manterá sua última alteração por 60 segundos. Então caso algo dê errado você terá acesso ao equipamento novamente em 1 minuto, mas se tudo der certo você faz o commit permanente. Durante o tempo do '''commit trial 60''', você terá 1 minuto para realizar o teste de acesso via ssh usando o novo método configurado.

O '''commit trial''' lembra muito a função '''Safe Mode''' do '''Mikrotik''', no caso do '''Huawei''' independente se você permanece com acesso ou perde as configurações são revertidas.
ssh user '''<usuario>'''
ssh user '''<usuario>''' authentication-type rsa
ssh user '''<usuario>''' assign rsa-key '''<nome-da-chave>'''
ssh user '''<usuario>''' service-type all
commit
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# A versão do sistema '''VRP''' utilizado para esse tutorial foi a '''V800R022C00SPC600''', então esteja atento a mudanças de comandos a depender da sua versão.
# Lembre-se de configurar a chave privada em seu programa de gerenciamento de acesso SSH, no caso do '''Putty''' gere uma nova chave no formato que ele aceita ('''.ppk''').
'''Roteador'''
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Linux'''
ssh -i ~/.ssh/<nome-da-chave> -p <porta-ssh> <usuario>@<ip-do-equipamento>

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:44:10Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais suscetível a ataques como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# '''Proteja''' a chave privada com uma '''senha''';
# '''Nunca compartilhe''' a chave privada;
# '''Revogue''' imediatamente chaves '''comprometidas''';
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.
Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' ou da maneira que preferir. Porém, se você já tem uma '''chave SSH''' compatível pode usar ela sem problema algum.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f '''<nome-da-chave>''' -C "'''<comentario>'''"
Visualize sua chave pública
cat '''<nome-da-chave>'''.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
commit
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
commit
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key '''<nome-da-chave>''' encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
commit
3 - Defina o tipo da autenticação do usuário como '''rsa'''.

Preste bem atenção porque depois desse '''commit''' você não conseguirá mais realizar o acesso usando usuário e senha, se você estiver inseguro, use o comando '''commit trial 60''', que manterá sua última alteração por 60 segundos. Então caso algo dê errado você terá acesso ao equipamento novamente em 1 minuto, mas se tudo der certo você faz o commit permanente. Durante o tempo do '''commit trial 60''', você terá 1 minuto para realizar o teste de acesso via ssh usando o novo método configurado.

O '''commit trial''' lembra muito a função '''Safe Mode''' do '''Mikrotik''', no caso do '''Huawei''' independente se você permanece com acesso ou perde as configurações são revertidas.
ssh user '''<usuario>'''
ssh user '''<usuario>''' authentication-type rsa
ssh user '''<usuario>''' assign rsa-key '''<nome-da-chave>'''
ssh user '''<usuario>''' service-type all
commit
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# A versão do sistema '''VRP''' utilizado para esse tutorial foi a '''V800R022C00SPC600''', então esteja atento a mudanças de comandos a depender da sua versão.
# Lembre-se de configurar a chave privada em seu programa de gerenciamento de acesso SSH, no caso do '''Putty''' gere uma nova chave no formato que ele aceita ('''.ppk''').
'''Roteador'''
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Linux'''
ssh -i ~/.ssh/<nome-da-chave> -p <porta-ssh> <usuario>@<ip-do-equipamento>

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:41:56Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais suscetível a ataques como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# '''Proteja''' a chave privada com uma '''senha''';
# '''Nunca compartilhe''' a chave privada;
# '''Revogue''' imediatamente chaves '''comprometidas''';
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.
Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' ou da maneira que preferir. Porém, se você já tem uma '''chave SSH''' compatível pode usar ela sem problema algum.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f '''<nome-da-chave>''' -C "'''<comentario>'''"
Visualize sua chave pública
cat '''<nome-da-chave>'''.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
commit
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
commit
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key '''<nome-da-chave>''' encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
commit
3 - Defina o tipo da autenticação do usuário como '''rsa'''.

Preste bem atenção porque depois desse '''commit''' você não conseguirá mais realizar o acesso usando usuário e senha, se você estiver inseguro, use o comando '''commit trial 60''', que manterá sua última alteração por 60 segundos. Então caso algo dê errado você terá acesso ao equipamento novamente em 1 minuto, mas se tudo der certo você faz o commit permanente. Durante o tempo do '''commit trial 60''', você terá 1 minuto para realizar o teste de acesso via ssh usando o novo método configurado.

O '''commit trial''' lembra muito a função '''Safe Mode''' do '''Mikrotik''', no caso do '''Huawei''' independente se você permanece com acesso ou perde as configurações são revertidas.
ssh user '''<usuario>'''
ssh user '''<usuario>''' authentication-type rsa
ssh user '''<usuario>''' assign rsa-key '''<nome-da-chave>'''
ssh user '''<usuario>''' service-type all
commit
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# A versão do sistema '''VRP''' utilizado para esse tutorial foi a '''V800R022C00SPC600''', então esteja atento a mudanças de comandos a depender da sua versão.
'''Roteador'''
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Linux'''
ssh -i ~/.ssh/<nome-da-chave> -p <porta-ssh> <usuario>@<ip-do-equipamento>
'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:36:06Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais suscetível a ataques como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# '''Proteja''' a chave privada com uma '''senha''';
# '''Nunca compartilhe''' a chave privada;
# '''Revogue''' imediatamente chaves '''comprometidas''';
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.
Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' ou da maneira que preferir. Porém, se você já tem uma '''chave SSH''' compatível pode usar ela sem problema algum.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f '''<nome-da-chave>''' -C "'''<comentario>'''"
Visualize sua chave pública
cat '''<nome-da-chave>'''.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key '''<nome-da-chave>''' encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
3 - Defina o tipo da autenticação do usuário como '''rsa'''.
ssh user '''<usuario>'''
ssh user '''<usuario>''' authentication-type rsa
ssh user '''<usuario>''' assign rsa-key '''<nome-da-chave>'''
ssh user '''<usuario>''' service-type all
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# A versão do sistema '''VRP''' utilizado para esse tutorial foi a '''V800R022C00SPC600''', então esteja atento a mudanças de comandos a depender da sua versão.
'''Roteador'''
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Linux'''
ssh -i ~/.ssh/<nome-da-chave> -p <porta-ssh> <usuario>@<ip-do-equipamento>
'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:30:40Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais suscetível a ataques como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# Proteja a chave privada com uma senha;
# Nunca compartilhe a chave privada;
# Revogue imediatamente chaves comprometidas;
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.
Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' ou da maneira que preferir. Porém, se você já tem uma '''chave SSH''' compatível pode usar ela sem problema algum.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f <nome-da-chave> -C "<comentario>"
Visualize sua chave pública
cat <nome-da-chave>.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key <nome-da-chave> encoding-type openssh
public-key-code begin

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAACAQCiOKoFlZrpLMVGb6tz0sQ+BP+mSJzm9PAhrqBz3KrAAZnsdSQB05QMXtmQstpTaOLf80/ZVpm5Zhi0EsfY7gDcZPCElJU0GD+SZaBB3fTAxkHqogxN0a4bBxd2J+e+yiIrh/QSpCBVwNBlnYFtkHbyz3TRsemMwPqJMB+qrC9PoYTxaURU4ZXP8KIDdwWJvBlU3tqq4l+wJVIkHNOGAwqztIYKlR50YDKD8x74bzexZL4YXkY7KOl/UWf2iR0S6LKm/ucq6G9qlN/9FmrWTUgYSUtbURec25kyHkNAebEhGEAYGLc6X3t5EKkVsVeueMEL6iRMpWCPiFMzU0yryJgdk5QXvFN3sRzXxU/fcshJey6lsDA+wNVp+RMsTVGfbAnasM/Oo/W5gz9dthnIQIQ4AKZks6At/OTvD0B/bZW0GA2fpQw4wNHEvBeyC5yGQay+uRpuwgojsO8W0YDc62MHXxPp75yu8ZUPjobbqtWWBHsL0hISVulMTZkkAffJfxJkxx2nXBbAyKbIPLwcOnogVbvZ1VD4tA6epoNzVBXObTNKCKDpvCIFELikjNGutFzHQ11R3qXgo5fnEhFRML2l77siZponJ0v7lsV1Nia9Izc91YxtOaRIp2I1+lhe+FQf65bvpjHytBZJWE2+/ju4AIGKDK8PLnvDd3miP+8v4Q== erickchave

public-key-code end
peer-public-key end
3 - Defina o tipo da autenticação do usuário como '''rsa'''.
ssh user <usuario>
ssh user <usuario> authentication-type rsa
ssh user <usuario> assign rsa-key <nome-da-chave>
ssh user <usuario> service-type all
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# A versão do sistema '''VRP''' utilizado para esse tutorial foi a '''V800R022C00SPC600''', então esteja atento a mudanças de comandos a depender da sua versão.
'''Roteador'''
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Linux'''
ssh -i ~/.ssh/<nome-da-chave> -p <porta-ssh> <usuario>@<ip-do-equipamento>
'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:23:23Z

Erickandrade:

== Introdução ==
A autenticação baseada apenas em usuário e senha ainda é amplamente utilizada, porém está mais suscetível a ataques como força bruta, vazamento e reutilização de credenciais. Para aumentar a segurança do acesso aos equipamentos da infraestrutura, recomenda-se utilizar a autenticação por chaves SSH, que oferece um mecanismo mais robusto e confiável para identificação dos administradores.

''Orientações importantes para a sua '''chave SSH RSA''''':
# Utilize chaves RSA com tamanho adequado;
# Proteja a chave privada com uma senha;
# Nunca compartilhe a chave privada;
# Revogue imediatamente chaves comprometidas;
# Restrinja algoritmos e métodos de autenticação.

== Configurando ==
0 - Crie sua '''chave SSH''' pública e privada.
Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' ou da maneira que preferir. Porém, se você já tem uma '''chave SSH''' compatível pode usar ela sem problema algum.
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f <nome-da-chave> -C "<comentario>"
Visualize sua chave pública
cat <nome-da-chave>.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key <nome-da-chave> encoding-type openssh
public-key-code begin

ssh-rsa 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 erickchave

public-key-code end
peer-public-key end
3 - Defina o tipo da autenticação do usuário como '''rsa'''.
ssh user <usuario>
ssh user <usuario> authentication-type rsa
ssh user <usuario> assign rsa-key <nome-da-chave>
ssh user <usuario> service-type all
4 - Troubleshooting
# Se houver a necessidade de realizar um troubleshooting para analisar as configurações, use os comandos abaixo.
# É importante ressaltar que programas de gerenciamento de acesso '''SSH''' ('''Putty''', '''MobaXterm''' etc) precisam estar atualizados, caso contrário bugs e incompatibilidades podem surgir.
# A versão do sistema '''VRP''' utilizado para esse tutorial foi a '''V800R022C00SPC600''', então esteja atento a mudanças de comandos a depender da sua versão.
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>
'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Autenticação SSH por Chave Pública no Huawei

2026-08-01T02:11:51Z

Erickandrade:

Orientações para a sua chave SSH RSA:
# Utilize chaves RSA com tamanho adequado;
# Proteja a chave privada com uma senha (passphrase);
# Nunca compartilhe a chave privada;
# Revogue imediatamente chaves comprometidas;
# Restrinja algoritmos e métodos de autenticação.
0 - Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' (você pode usar uma já existente ou criar de outra maneira).
cd ~/.ssh
ssh-keygen -t rsa -b 4096 -f <nome-da-chave> -C "<comentario>"
Visualize sua chave pública
cat <nome-da-chave>.pub
1 - Configure os métodos e chaves (aumento de compatibilidade).

'''Servidor'''
ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
ssh server hmac sha2_256 sha2_512
ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
ssh server dh-exchange min-len 2048
ssh server rsa-key min-length 2048
'''Cliente'''
ssh client publickey
ssh client cipher
ssh client hmac
ssh client key-exchange
2 - Importe a sua chave pública.
# Cada bloco é referente a um trecho de configuração sequencial que deve ser respeitado;
# No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0;
# A chave pública utilizada foi gerada apenas para o tutorial :)
rsa peer-public-key <nome-da-chave> encoding-type openssh
public-key-code begin

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAACAQCiOKoFlZrpLMVGb6tz0sQ+BP+mSJzm9PAhrqBz3KrAAZnsdSQB05QMXtmQstpTaOLf80/ZVpm5Zhi0EsfY7gDcZPCElJU0GD+SZaBB3fTAxkHqogxN0a4bBxd2J+e+yiIrh/QSpCBVwNBlnYFtkHbyz3TRsemMwPqJMB+qrC9PoYTxaURU4ZXP8KIDdwWJvBlU3tqq4l+wJVIkHNOGAwqztIYKlR50YDKD8x74bzexZL4YXkY7KOl/UWf2iR0S6LKm/ucq6G9qlN/9FmrWTUgYSUtbURec25kyHkNAebEhGEAYGLc6X3t5EKkVsVeueMEL6iRMpWCPiFMzU0yryJgdk5QXvFN3sRzXxU/fcshJey6lsDA+wNVp+RMsTVGfbAnasM/Oo/W5gz9dthnIQIQ4AKZks6At/OTvD0B/bZW0GA2fpQw4wNHEvBeyC5yGQay+uRpuwgojsO8W0YDc62MHXxPp75yu8ZUPjobbqtWWBHsL0hISVulMTZkkAffJfxJkxx2nXBbAyKbIPLwcOnogVbvZ1VD4tA6epoNzVBXObTNKCKDpvCIFELikjNGutFzHQ11R3qXgo5fnEhFRML2l77siZponJ0v7lsV1Nia9Izc91YxtOaRIp2I1+lhe+FQf65bvpjHytBZJWE2+/ju4AIGKDK8PLnvDd3miP+8v4Q== erickchave

public-key-code end
peer-public-key end
3 - Defina o tipo da autenticação do usuário como '''rsa'''.
ssh user <usuario>
ssh user <usuario> authentication-type rsa
ssh user <usuario> assign rsa-key <nome-da-chave>
ssh user <usuario> service-type all
4 - Troubleshooting
display ssh user-information <usuario>
display rsa peer-public-key brief
display rsa peer-public-key name <nome-da-chave>

Autenticação SSH por Chave Pública no Huawei

2026-08-01T01:59:45Z

Erickandrade:

Orientações para a sua chave SSH RSA:
# Utilize chaves RSA com tamanho adequado;
# Proteja a chave privada com uma senha (passphrase);
# Nunca compartilhe a chave privada;
# Revogue imediatamente chaves comprometidas;
# Restrinja algoritmos e métodos de autenticação.
0 - Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' (você pode usar uma já existente ou criar de outra maneira).<blockquote>
cd ~/.ssh

ssh-keygen -t rsa -b 4096 -f <nome-da-chave> -C "<comentario>"
</blockquote>Visualize sua chave pública<blockquote>
# cat <nome-da-chave>.pub
</blockquote>1 - Configure os métodos e chaves (aumento de compatibilidade).<blockquote>
# ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
<nowiki>#</nowiki> ssh server hmac sha2_256 sha2_512
<nowiki>#</nowiki> ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
<nowiki>#</nowiki> ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
<nowiki>#</nowiki> ssh server dh-exchange min-len 2048
<nowiki>#</nowiki> ssh server rsa-key min-length 2048

<nowiki>#</nowiki> ssh client publickey
<nowiki>#</nowiki> ssh client cipher
<nowiki>#</nowiki> ssh client hmac
<nowiki>#</nowiki> ssh client key-exchange
</blockquote>2 - Crie e importe a chave pública

No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0.<blockquote>
# rsa peer-public-key <nome-da-chave> encoding-type openssh

# public-key-code begin

ssh-rsa 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 erickchave

# public-key-code end

# peer-public-key end
</blockquote>3 - Defina o tipo da autenticação do usuário como '''rsa'''.<blockquote>
# ssh user <usuario>

# ssh user <usuario> authentication-type rsa

# ssh user <usuario> assign rsa-key <nome-da-chave>

# ssh user <usuario> service-type all
</blockquote>4 - Troubleshooting<blockquote>
# display ssh user-information <usuario>

# display rsa peer-public-key brief

# display rsa peer-public-key name <nome-da-chave>
</blockquote>

Autenticação SSH por Chave Pública no Huawei

2026-08-01T01:58:19Z

Erickandrade: Editando

Orientações para a sua chave SSH RSA:
# Utilize chaves RSA com tamanho adequado;
# Proteja a chave privada com uma senha (passphrase);
# Nunca compartilhe a chave privada;
# Revogue imediatamente chaves comprometidas;
# Restrinja algoritmos e métodos de autenticação.
0 - Se não tiver uma '''chave ssh''', crie uma com o comando abaixo em um '''servidor Linux''' (você pode usar uma já existente ou criar de outra maneira).<blockquote>
# cd ~/.ssh
<nowiki>#</nowiki> ssh-keygen -t rsa -b 4096 -f <nome-da-chave> -C "<comentario>"
</blockquote>Visualize sua chave pública<blockquote>
# cat <nome-da-chave>.pub
</blockquote>1 - Configure os métodos e chaves (aumento de compatibilidade).<blockquote>
# ssh server cipher aes128_gcm aes256_gcm aes128_ctr aes256_ctr
<nowiki>#</nowiki> ssh server hmac sha2_256 sha2_512
<nowiki>#</nowiki> ssh server publickey rsa rsa_sha2_256 rsa_sha2_512 ecc
<nowiki>#</nowiki> ssh server key-exchange curve25519_sha256 ecdh_sha2_nistp256 dh_group16_sha512
<nowiki>#</nowiki> ssh server dh-exchange min-len 2048
<nowiki>#</nowiki> ssh server rsa-key min-length 2048

<nowiki>#</nowiki> ssh client publickey
<nowiki>#</nowiki> ssh client cipher
<nowiki>#</nowiki> ssh client hmac
<nowiki>#</nowiki> ssh client key-exchange
</blockquote>2 - Crie e importe a chave pública

No comando '''public-key-code begin''' pressione enter e cole a sua chave pública, incluindo o ssh-rsa e o comentário final, do mesmo jeito quando você visualizou com o comando '''cat''' no passo 0.<blockquote>
# rsa peer-public-key <nome-da-chave> encoding-type openssh

# public-key-code begin

ssh-rsa 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 erickchave

# public-key-code end

# peer-public-key end
</blockquote>3 - Defina o tipo da autenticação do usuário como '''rsa'''.<blockquote>
# ssh user <usuario>

# ssh user <usuario> authentication-type rsa

# ssh user <usuario> assign rsa-key <nome-da-chave>

# ssh user <usuario> service-type all
</blockquote>4 - Troubleshooting<blockquote>
# display ssh user-information <usuario>

# display rsa peer-public-key brief

# display rsa peer-public-key name <nome-da-chave>
</blockquote>

Hardening de SSH em Linux e FreeBSD

2026-06-22T16:48:27Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

=== Gerando as Chaves SSH ===
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta '''.ssh''' do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub

=== Copiando as Chaves SSH ===
Observe que aqui você vai ter maneiras diferentes de realizar essa cópia da chave pública e privada, e é exatamente nesse ponto que muitas pessoas tem um bug na cabeça quando estão começando. <s>Inclusive tive esse problema na época de iniciante.</s>

2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

2.1 - Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
2.2 - Se você gerou as chaves em seu computador ou em algum outro host '''FreeBSD''' ou '''Linux''', copie a chave pública para o diretório do '''seu usuário''' com o '''scp''' e depois execute o '''cat''' como no exemplo acima.
$ scp -P <porta-ssh> ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
2.3 - Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id,''' considerando que você gerou as chaves no host cliente , e também precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o '''FTP FileZilla''' e copia o conteúdo com o comando '''cat'''.

=== Testando a conexão do SSH ===
3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>

=== Editando o sshd_config ===
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.

=== Recarregando o serviço de SSH ===
6 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
7 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd

=== Atualização/Recomendação ===
Agradecendo as interações da comunidade, veio sugestão de também recomendar a atualização do '''OpenSSH''', já que temos CVEs que podem ser exploradas.

Upgrade do '''OpenSSH Server''' no '''Linux'''.
# apt install --only-upgrade openssh-server
===Referências:===
Documentação '''OpenSSH''': https://man.freebsd.org/cgi/man.cgi?ssh

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Hardening de SSH em Linux e FreeBSD

2026-06-22T14:48:11Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

=== Gerando as Chaves SSH ===
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta '''.ssh''' do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub

=== Copiando as Chaves SSH ===
Observe que aqui você vai ter maneiras diferentes de realizar essa cópia da chave pública e privada, e é exatamente nesse ponto que muitas pessoas tem um bug na cabeça quando estão começando. <s>Inclusive tive esse problema na época de iniciante.</s>

2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

2.1 - Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
2.2 - Se você gerou as chaves em seu computador ou em algum outro host '''FreeBSD''' ou '''Linux''', copie a chave pública para o diretório do '''seu usuário''' com o '''scp''' e depois execute o '''cat''' como no exemplo acima.
$ scp -P <porta-ssh> ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
2.3 - Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id,''' considerando que você gerou as chaves no host cliente , e também precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o '''FTP FileZilla''' e copia o conteúdo com o comando '''cat'''.

=== Testando a conexão do SSH ===
3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>

=== Editando o sshd_config ===
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.

=== Recarregando o serviço de SSH ===
6 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
7 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd

=== Atualização/Recomendação ===
Agradecendo as interações da comunidade, surgiu sugestão de também recomendar a atualização do '''OpenSSH''', já que temos CVEs que podem ser exploradas.

Upgrade do '''OpenSSH Server''' no '''Linux'''.
# apt install --only-upgrade openssh-server
Upgrade do '''OpenSSH''' Server no '''FreeBSD'''.

===Referências:===
Documentação '''OpenSSH''': https://man.freebsd.org/cgi/man.cgi?ssh

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Hardening de SSH em Linux e FreeBSD

2026-06-22T14:14:57Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

=== Gerando as Chaves SSH ===
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta '''.ssh''' do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub

=== Copiando as Chaves SSH ===
Observe que aqui você vai ter maneiras diferentes de realizar essa cópia da chave pública e privada, e é exatamente nesse ponto que muitas pessoas tem um bug na cabeça quando estão começando. <s>Inclusive tive esse problema na época de iniciante.</s>

2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

2.1 - Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
2.2 - Se você gerou as chaves em seu computador ou em algum outro host '''FreeBSD''' ou '''Linux''', copie a chave pública para o diretório do '''seu usuário''' com o '''scp''' e depois execute o '''cat''' como no exemplo acima.
$ scp -P <porta-ssh> ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
2.3 - Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id,''' considerando que você gerou as chaves no host cliente , e também precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o '''FTP FileZilla''' e copia o conteúdo com o comando '''cat'''.

=== Testando a conexão do SSH ===
3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>

=== Editando o sshd_config ===
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.

=== Recarregando o serviço de SSH ===
6 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
7 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd
===Referências:===
Documentação '''OpenSSH''': https://man.freebsd.org/cgi/man.cgi?ssh

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Hardening de SSH em Linux e FreeBSD

2026-06-22T14:11:21Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

=== Gerando as Chaves SSH ===
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta '''.ssh''' do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub

=== Copiando as Chaves SSH ===
Observe que aqui você vai ter maneiras diferentes de realizar essa cópia da chave pública e privada, e é exatamente nesse ponto que muitas pessoas tem um bug na cabeça quando estão começando. <s>Inclusive tive esse problema na época de iniciante.</s>

2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

2.1 - Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
2.2 - Se você gerou as chaves em seu computador ou em algum outro host '''FreeBSD''' ou '''Linux''', copie a chave pública para o diretório do '''seu usuário''' com o '''scp''' e depois execute o '''cat''' como no exemplo acima.
$ scp -P <porta-ssh> ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
2.3 - Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id,''' considerando que você gerou as chaves no host cliente , e também precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o '''FTP FileZilla''' e copia o conteúdo com o comando '''cat'''.

=== Testando a conexão do SSH ===
3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>

=== Editando o sshd_config ===
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.

=== Recarregando o serviço de SSH ===
7 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
8 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd
===Referências:===
Documentação '''OpenSSH''': https://man.freebsd.org/cgi/man.cgi?ssh

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Hardening de SSH em Linux e FreeBSD

2026-06-22T14:07:32Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

=== Gerando as Chaves SSH ===
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta '''.ssh''' do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub

=== Copiando as Chaves SSH ===
Observe que aqui você vai ter maneiras diferentes de realizar essa cópia da chave pública e privada, e é exatamente nesse ponto que muitas pessoas tem um bug na cabeça quando estão começando. <s>Inclusive tive esse problema na época de iniciante.</s>

2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

2.1 - Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
2.2 - Se você gerou as chaves em seu computador ou em algum outro host '''FreeBSD''' ou '''Linux''', copie a chave pública para o diretório do '''seu usuário''' com o '''scp''' e depois execute o '''cat''' como no exemplo acima.
$ scp -P 5902 ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
2.3 - Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id,''' considerando que você gerou as chaves no host cliente , e também precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o '''FTP FileZilla''' e copia o conteúdo com o comando '''cat'''.

=== Testando a conexão do SSH ===
3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>

=== Editando o sshd_config ===
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.

=== Recarregando o serviço de SSH ===
7 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
8 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd
===Referências:===
Documentação '''OpenSSH''': https://man.freebsd.org/cgi/man.cgi?ssh

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Hardening de SSH em Linux e FreeBSD

2026-06-22T13:45:40Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

=== Gerando as Chaves SSH ===
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta .ssh do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub

=== Copiando as Chaves SSH ===
Observe que aqui você vai ter maneiras diferentes de realizar essa cópia da chave pública e privada, e é exatamente nesse ponto que muitas pessoas tem um bug na cabeça quando estão começando. <s>Inclusive tive esse problema na época de iniciante.</s>

2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

2.1 - Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
2.2 - Se você gerou as chaves em seu computador ou em algum outro host '''FreeBSD''' ou '''Linux''', copie a chave pública para o diretório do '''seu usuário''' com o '''scp''' e depois execute o '''cat''' como no exemplo acima.
$ scp -P 5902 ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
2.3 - Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id,''' considerando que você gerou as chaves no host cliente , e também precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o '''FTP FileZilla''' e copia o conteúdo com o comando '''cat'''.

=== Testando a conexão do SSH ===
3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>

=== Editando o sshd_config ===
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.

=== Recarregando o serviço de SSH ===
7 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
8 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd
===Referências:===
Documentação '''OpenSSH''': https://man.freebsd.org/cgi/man.cgi?ssh

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Hardening de SSH em Linux e FreeBSD

2026-06-22T13:35:38Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

=== Gerando as Chaves SSH ===
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta .ssh do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub

=== Copiando as Chaves SSH ===
2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
Se você gerou as chaves em seu computador ou em algum outro host FreeBSD ou Linux, copie a chave pública para o diretório do seu usuário com o scp e depois execute o cat como no exemplo acima.
$ scp -P 5902 ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id'''. Precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o '''FTP FileZilla''' e copia o conteúdo com o comando '''cat'''.

=== Testando a conexão do SSH ===
3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>

=== Editando o sshd_config ===
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.

=== Recarregando o serviço de SSH ===
7 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
8 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd
===Referências:===
Documentação '''OpenSSH''': https://man.freebsd.org/cgi/man.cgi?ssh

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Hardening de SSH em Linux e FreeBSD

2026-06-22T13:31:26Z

Erickandrade:

Muitas pessoas acabam negligenciando a segurança de algo muito importante nos servidores, e isso aumenta consideravelmente os riscos de segurança.

Aqui irei demonstrar duas técnicas de '''várias que você deve implementar em seu ambiente''', a primeira delas é a criação de uma '''Chave SSH''' para acesso e a segunda uma configuração mais rígida do '''SSH''' em si através do '''sshd_config'''.

Independente se você utiliza alguma distribuição '''Linux''' ou '''FreeBSD''', os comandos e maneiras de configurar são muito similares, diferenciando alguns poucos comandos, portanto, fique tranquilo.

== Propósito ==
A real intenção desse tutorial é te ajudar a aumentar a segurança do seu ambiente, assim tanto você quanto a comunidade da internet ficará agradecida por ter menos um host com alta exposição podendo ser um ativo de ataque.

Ao final você ficará com o seguinte cenário:

# Usuário root não conseguirá mais fazer acesso SSH;
# Apenas os seus usuários sem privilégio poderão fazer o acesso SSH;
# Seu login será exclusivo via SSH, não serão mais utilizados usuário e senha;
# A porta do Servidor SSH estará diferente da padrão;
# Você poderá ter 2 sessões (pode aumentar);
# Desconexão após 600 segundos automático.

== Gerando as Chaves SSH ==
1 - Gere as chaves pública e privada.

Por padrão as chaves serão geradas na pasta .ssh do seu usuário, porém, por boa prática pessoal eu sempre digito o caminho completo incluindo o nome que será atribuído as chaves.
$ ssh-keygen
Enter file in which to save the key (/home/<usuario>/.ssh/id_ed25519): /home/<usuario>/.ssh/<nome-da-chave>
Agora defina uma senha para a chave privada, você tem o poder de não configurar uma senha apenas pressionando Enter, mas é '''altamente recomendável que se configure uma senha'''.
Enter passphrase for "/home/<usuario>/.ssh/<nome-da-chave>" (empty for no passphrase):
Enter same passphrase again:
Por último, você verá as chaves geradas com o nome escolhido e diretório.
Your identification has been saved in /home/<usuario>/.ssh/<nome-da-chave>
Your public key has been saved in /home/<usuario>/.ssh/<nome-da-chave>.pub
2 - Copie o conteúdo da chave pública para o arquivo de chaves autorizadas.

Se você gerou as chaves no próprio servidor, copie o conteúdo da chave pública para o arquivo '''authorized_keys'''. que está no mesmo diretório das chaves criadas, caso o arquivo não exista, quando você executar o comando ele será criado automaticamente.
$ cat ~/.ssh/<nome-da-chave>.pub >> ~/.ssh/authorized_keys
Se você gerou as chaves em seu computador ou em algum outro host FreeBSD ou Linux, copie a chave pública para o diretório do seu usuário com o scp e depois execute o cat como no exemplo acima.
$ scp -P 5902 ~/.ssh/<nome-da-chave>.pub usuario@IP:~/.ssh/
Outra maneira de copiar a chave pública para o servidor é com o comando '''ssh-copy-id'''. Precisa ter a chave privada no mesmo diretório da chave pública.
$ ssh-copy-id -i ~/.ssh/<nome-da-chave>.pub -p 5902 <usuario>@<IP-de-Destino>
Você também pode enviar a chave pública utilizando o FTP FileZilla e copia o conteúdo com o comando cat.

3 - Teste se a conexão vai funcionar.

Se você copiou a chave privada para outro host '''Linux''', por exemplo, o comando abaixo irá te ajudar a testar se tudo está funcionando da maneira correta. Se você quiser verificar localmente, basta inserir o IP da máquina onde você gerou as chaves.

A alteração de permissão para 600 se dá por questões de privacidade, basicamente com o 600 você diz que apenas o seu usuário tem permissão para utilizar essa chave.
$ chmod 600 ~/.ssh/<nome-da-chave>

$ ssh -i ~/.ssh/<nome-da-chave> -p 5902 <usuario>@<IP-de-Destino>
4 - Edite o arquivo que contém as configurações do SSH.

O comando abaixo irá zerar e abrir a edição do arquivo, não tem uma cópia de backup caso você erre alguma linha, por tanto, verifica antes de por em produção se tudo está correto.
# echo > /etc/ssh/sshd_config ; nano /etc/ssh/sshd_config
Abaixo estarão os parâmetros que você deve inserir no arquivo '''sshd_config'''. Altere as linhas de acordo com a sua Porta SSH atual e usuário que terá privilégio para acessar o servidor.
Protocol 2
Port '''<Porta-SSH>'''
LoginGraceTime 30
PermitRootLogin no
StrictModes yes
MaxAuthTries 2
MaxSessions 2
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
PasswordAuthentication no
PermitEmptyPasswords no
KbdInteractiveAuthentication no
UsePAM yes
X11Forwarding no
AllowTcpForwarding no
ClientAliveInterval 300
ClientAliveCountMax 2
Banner /etc/banner
Subsystem sftp /usr/libexec/sftp-server
AllowUsers erick '''usuarioX usuarioY usuarioZ'''
5 - Crie um banner de aviso.
# nano /etc/banner
Conteúdo do banner:
Equipamento pertencente a empresa '''NOME DA SUA EMPRESA''', acessos nao autorizados serao monitorados, investigados e entregues as autoridades responsaveis.
7 - Recarregue o arquivo de configuração depois das alterações.

Comando para o Linux:
# sudo systemctl restart sshd
Comando para o FreeBSD:
# sudo service sshd reload
8 - Verifique se o serviço está executando na porta configurada.
# sockstat -4 -6 | grep sshd

Hardening de SSH em Linux e FreeBSD

2026-06-22T12:39:16Z

Erickandrade: Criar página em branco

Usuário:Erickandrade

2026-06-17T14:37:00Z

Erickandrade:

Atualmente sou graduando em Engenharia de Software e atuo profissionalmente com redes desde 2017, durante quase uma década acumulei experiência em ambientes críticos de infraestrutura. Hoje sou o responsável pelo NOC de um Datacenter localizado em Santa Catarina, onde trabalho diretamente com a operação, segurança e alta disponibilidade de todo o ambiente de rede e servidores.

Antes disso trabalhei em NOCs de provedores de internet e datacenters, onde me possibilitou adquirir uma ampla experiência em operação, troubleshooting e desenho de arquiteturas de rede.

Sou um grande entusiasta e defensor ativo da adoção do IPv6, incentivo a sua implementação correta aliada a boas práticas como MANRS, RPKI e políticas de segurança para ambientes de rede. Contribuo frequentemente com tutoriais técnicos, compartilhando conhecimento sobre redes, BGP/OSPF/MPLS, DNS recursivo, equipamentos Huawei/Cisco/Mikrotik, sistemas operacionais Debian/FreeBSD/AlmaLinux e virtualização com Proxmox.

Além das redes, também trabalho com soluções de monitoramento utilizando Zabbix e Grafana, procurando sempre implementar visibilidade operacional e observabilidade em ambientes corporativos. Nunca escondi a minha paixão pelo universo Open Source, e acredito que o software livre aliado ao conhecimento compartilhado são pilares essenciais para a evolução das pessoas e também da tecnologia.

Fora do ambiente técnico, sou esportista e praticante dedicado de Jiu-Jitsu, atividade que me reforçou os valores da disciplina, resiliência e foco que também aplico em minha atuação profissional.

== Contatos ==
LinkedIn: https://www.linkedin.com/in/euerickandrade/

E-mail: erick@erickandrade.com.br

Configurando Firewall do ProxmoxVE

2026-06-02T16:52:18Z

Erickandrade:

Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas por falta de conhecimento e outras pela desorganização da gestão. Independente do motivo, esse tutorial tem o único intuito de incentivar e ensinar os primeiros passos de muitos para que as empresas possam tornar os seus ambientes mais seguros.

== Firewall do Proxmox ==
O Firewall do Proxmox trabalha em três níveis, '''Datacenter''' > '''PVE''' > '''Host'''. Para que as regras funcionem nos Hosts ou no PVE é obrigatório que ele esteja configurado a nível de '''Datacenter'''.

Em nosso cenário o intuito é a configuração para proteger o PVE, então trabalharemos nos níveis de Datacenter e PVE. Posteriormente você pode explorar as opções de configuração em grupos de políticas ou regras específicas que atendam as necessidades das Máquinas Virtuais e Containers.

'''Observação''': ''Apesar do tutorial mostrar apenas IPv4 nas configurações, o Firewall do PVE é '''TOTALMENTE compatível com o IPv6''' e você '''DEVE''' implementar ele em sua infraestrutura.''

== Iniciando a Configuração ==
'''1 - Acesse o Menu Firewall > Options.'''

Altere as três policies '''Input''', '''Output''' e '''Forward''' para '''ACCEPT''', pois iremos filtrar e dropar tudo mais a frente.
[[Arquivo:Firewall-input.png|nenhum|miniaturadaimagem|516x516px]]
'''2 - Acesse o submenu Security Group'''. Ao acessar o '''Security Group''' procure pelo menu '''Group''' crie um novo perfil chamado '''''gerencia''''', adicione também uma descrição para facilitar a identificação futura.
[[Arquivo:Security-group.png|nenhum|miniaturadaimagem|516x516px]]
'''3 - Crie as novas Regras definindo o Input.'''

Agora com o novo Group criado, selecione ele e vá até o menu '''Rules''' ao lado para poder criar todas as regras.
[[Arquivo:Rules-security.png|nenhum|miniaturadaimagem|529x529px]]
Inicialmente criaremos duas regras e será necessário definir quais '''IPs/Prefixos''', '''Portas''', '''Protocolo''' etc serão permitidos, em nosso cenário iremos usar da maneira demonstrada abaixo.

''Lembrando que a ordem de criação das regras é importante para que seja lida da maneira correta pelo firewall. Sempre que você adicionar uma nova regras no Firewall do Proxmox, ela irá saltar automaticamente para o topo''.

'''Regra 02 (Permitindo acesso de Gerencia e monitoramento ao PVE)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': tcp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''DEs. port'''.: 8006,22,5900:5999,10050,10051 (porta de acesso webm, SSH, VNC e Zabbix)
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
[[Arquivo:Rule-Input.png|nenhum|miniaturadaimagem|523x523px]]
'''Regra 01 (Permitindo o ICMP ao servidor para monitoramento e troubleshooting)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': icmp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''ICMP type''': echo-reply
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
[[Arquivo:Rule-ICMP.png|nenhum|miniaturadaimagem|533x533px]]
'''4 - Acesse o menu do PVE e navegue até o menu Firewall.'''

Aqui será preciso ter '''MUITA''' atenção para criar a regra de '''DROP''' e adicionar o grupo que criamos no passo 2. É aqui que a mágica acontece!

Clique em '''ADD''' e adicione uma nova regra dropando tudo, mas ainda '''''NÃO marque ela como Enable'''''.

'''Regra DROP 01'''
'''Direction''': in
'''Action''': DROP
'''Enable''': desmarcado
'''Protocol''': icmp
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
[[Arquivo:Drop.png|nenhum|miniaturadaimagem|544x544px]]

'''Regra Security Group 2'''

Clique em '''Insert: Security Group''', na nova janela que irá abrir configure igual o exemplo abaixo.
'''Security Group''': gerencia
'''Enable''': marcado
'''Comment''': Adicione um comentário explicando o que essa regra faz
* 0 é o type group com Action gerencia
* 1 Type in com Action DROP
[[Arquivo:Ordem.png|nenhum|miniaturadaimagem|407x407px]]

Se tudo estiver ok, habilite as novas regras criadas clicando no box '''On'''.

'''5 - Ainda no menu Firewall do PVE vá até o submenu Options.'''

5.1 - No submenu '''Options''' você deve habilitar o Firewall clicando duas vezes em cima e marcando o box. Por enquanto, as regras ainda não terão efeito pelo motivo explicado anteriormente da ordem de Firewall do Proxmox.
[[Arquivo:Ordem-firewall.png|nenhum|miniaturadaimagem|578x578px]]
5.2 - Agora volte ao menu '''Firewall''' do '''Datacenter''' e também habilite o Firewall marcando o box, depois realizar a ação o Firewall estará habilitado e funcionando em todos os níveis de '''Datacenter''' e '''PVE'''.
[[Arquivo:Menu-firewall-datacenter.png|nenhum|miniaturadaimagem|582x582px]]

=== Validando as configurações ===
Logo depois da implementação é importante verificar se o Firewall está atuando corretamente na proteção do Servidor Proxmox, para isso iremos realizar alguns testes utilizando o terminal do Linux e Windows. Preste bem atenção na sintaxe dos comandos para executar corretamente.

==== Linux ====
Você pode utilizar o '''nc''' ('''netcat''') ou '''nmap''' para verificar se as portas estão fechadas.

Netcat IPv4
nc -vz <IP-aqui> <Porta-aqui>
Netcat IPv6
nc -6 -vz <IP-aqui> <Porta-aqui>
Nmap IPv4
nmap -p <Porta-aqui> <IP-aqui>
Nmap IPv6
nmap -6 -p <Porta-aqui> <IP-aqui>
Resultado típico do Nmap:
* open: porta aberta
* closed: porta fechada
* filtered: bloqueada por firewall
[[Arquivo:Nc-open.png|nenhum|miniaturadaimagem]]
[[Arquivo:Nc-timeout.png|nenhum|miniaturadaimagem]]

==== Windows ====
Já no ambiente Windows nós temos a alternativa do '''PowerShell'''.

PowerShell IPv4
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
PowerShell IPv6
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
Resultado típico:
* TcpTestSucceeded : True: porta aberta
* False: porta fechada ou filtrada
[[Arquivo:Pwoershell-true.png|miniaturadaimagem|Teste do PowerShell com status True|alt=|nenhum]][[Arquivo:Powershell-false.png|miniaturadaimagem|Teste do PowerShell com status False|alt=|nenhum]]

=== Referências: ===
Documentação ProxmoxVE: https://pve.proxmox.com/pve-docs-7/chapter-pve-firewall.html

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]
[[Categoria:Infraestrutura]]
[[Categoria:Segurança]]
[[Categoria:ProxmoxVE]]

Arquivo:Nc-timeout.png

2026-06-02T16:52:06Z

Erickandrade:

nc timeout

Arquivo:Nc-open.png

2026-06-02T16:50:05Z

Erickandrade:

Nc-open

Configurando Firewall do ProxmoxVE

2026-06-02T16:45:31Z

Erickandrade:

Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas por falta de conhecimento e outras pela desorganização da gestão. Independente do motivo, esse tutorial tem o único intuito de incentivar e ensinar os primeiros passos de muitos para que as empresas possam tornar os seus ambientes mais seguros.

== Firewall do Proxmox ==
O Firewall do Proxmox trabalha em três níveis, '''Datacenter''' > '''PVE''' > '''Host'''. Para que as regras funcionem nos Hosts ou no PVE é obrigatório que ele esteja configurado a nível de '''Datacenter'''.

Em nosso cenário o intuito é a configuração para proteger o PVE, então trabalharemos nos níveis de Datacenter e PVE. Posteriormente você pode explorar as opções de configuração em grupos de políticas ou regras específicas que atendam as necessidades das Máquinas Virtuais e Containers.

'''Observação''': ''Apesar do tutorial mostrar apenas IPv4 nas configurações, o Firewall do PVE é '''TOTALMENTE compatível com o IPv6''' e você '''DEVE''' implementar ele em sua infraestrutura.''

== Iniciando a Configuração ==
'''1 - Acesse o Menu Firewall > Options.'''

Altere as três policies '''Input''', '''Output''' e '''Forward''' para '''ACCEPT''', pois iremos filtrar e dropar tudo mais a frente.
[[Arquivo:Firewall-input.png|nenhum|miniaturadaimagem|516x516px]]
'''2 - Acesse o submenu Security Group'''. Ao acessar o '''Security Group''' procure pelo menu '''Group''' crie um novo perfil chamado '''''gerencia''''', adicione também uma descrição para facilitar a identificação futura.
[[Arquivo:Security-group.png|nenhum|miniaturadaimagem|516x516px]]
'''3 - Crie as novas Regras definindo o Input.'''

Agora com o novo Group criado, selecione ele e vá até o menu '''Rules''' ao lado para poder criar todas as regras.
[[Arquivo:Rules-security.png|nenhum|miniaturadaimagem|529x529px]]
Inicialmente criaremos duas regras e será necessário definir quais '''IPs/Prefixos''', '''Portas''', '''Protocolo''' etc serão permitidos, em nosso cenário iremos usar da maneira demonstrada abaixo.

''Lembrando que a ordem de criação das regras é importante para que seja lida da maneira correta pelo firewall. Sempre que você adicionar uma nova regras no Firewall do Proxmox, ela irá saltar automaticamente para o topo''.

'''Regra 02 (Permitindo acesso de Gerencia e monitoramento ao PVE)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': tcp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''DEs. port'''.: 8006,22,5900:5999,10050,10051 (porta de acesso webm, SSH, VNC e Zabbix)
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
[[Arquivo:Rule-Input.png|nenhum|miniaturadaimagem|523x523px]]
'''Regra 01 (Permitindo o ICMP ao servidor para monitoramento e troubleshooting)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': icmp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''ICMP type''': echo-reply
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
[[Arquivo:Rule-ICMP.png|nenhum|miniaturadaimagem|533x533px]]
'''4 - Acesse o menu do PVE e navegue até o menu Firewall.'''

Aqui será preciso ter '''MUITA''' atenção para criar a regra de '''DROP''' e adicionar o grupo que criamos no passo 2. É aqui que a mágica acontece!

Clique em '''ADD''' e adicione uma nova regra dropando tudo, mas ainda '''''NÃO marque ela como Enable'''''.

'''Regra DROP 01'''
'''Direction''': in
'''Action''': DROP
'''Enable''': desmarcado
'''Protocol''': icmp
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
[[Arquivo:Drop.png|nenhum|miniaturadaimagem|544x544px]]

'''Regra Security Group 2'''

Clique em '''Insert: Security Group''', na nova janela que irá abrir configure igual o exemplo abaixo.
'''Security Group''': gerencia
'''Enable''': marcado
'''Comment''': Adicione um comentário explicando o que essa regra faz
* 0 é o type group com Action gerencia
* 1 Type in com Action DROP
[[Arquivo:Ordem.png|nenhum|miniaturadaimagem|407x407px]]

Se tudo estiver ok, habilite as novas regras criadas clicando no box '''On'''.

'''5 - Ainda no menu Firewall do PVE vá até o submenu Options.'''

5.1 - No submenu '''Options''' você deve habilitar o Firewall clicando duas vezes em cima e marcando o box. Por enquanto, as regras ainda não terão efeito pelo motivo explicado anteriormente da ordem de Firewall do Proxmox.
[[Arquivo:Ordem-firewall.png|nenhum|miniaturadaimagem|578x578px]]
5.2 - Agora volte ao menu '''Firewall''' do '''Datacenter''' e também habilite o Firewall marcando o box, depois realizar a ação o Firewall estará habilitado e funcionando em todos os níveis de '''Datacenter''' e '''PVE'''.
[[Arquivo:Menu-firewall-datacenter.png|nenhum|miniaturadaimagem|582x582px]]

=== Validando as configurações ===
Logo depois da implementação é importante verificar se o Firewall está atuando corretamente na proteção do Servidor Proxmox, para isso iremos realizar alguns testes utilizando o terminal do Linux e Windows. Preste bem atenção na sintaxe dos comandos para executar corretamente.

==== Linux ====
Você pode utilizar o '''nc''' ('''netcat''') ou '''nmap''' para verificar se as portas estão fechadas.

Netcat IPv4
nc -vz <IP-aqui> <Porta-aqui>
Netcat IPv6
nc -6 -vz <IP-aqui> <Porta-aqui>
Nmap IPv4
nmap -p <Porta-aqui> <IP-aqui>
Nmap IPv6
nmap -6 -p <Porta-aqui> <IP-aqui>
Resultado típico do Nmap:
* open: porta aberta
* closed: porta fechada
* filtered: bloqueada por firewall

==== Windows ====
Já no ambiente Windows nós temos a alternativa do '''PowerShell'''.

PowerShell IPv4
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
PowerShell IPv6
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
Resultado típico:
* TcpTestSucceeded : True: porta aberta
* False: porta fechada ou filtrada
[[Arquivo:Pwoershell-true.png|miniaturadaimagem|Teste do PowerShell com status True|alt=|nenhum]][[Arquivo:Powershell-false.png|miniaturadaimagem|Teste do PowerShell com status False|alt=|nenhum]]

=== Referências: ===
Documentação ProxmoxVE: https://pve.proxmox.com/pve-docs-7/chapter-pve-firewall.html

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]
[[Categoria:Infraestrutura]]
[[Categoria:Segurança]]
[[Categoria:ProxmoxVE]]

Arquivo:Menu-firewall-datacenter.png

2026-06-02T16:45:17Z

Erickandrade:

Menu-firewall-datacenter

Arquivo:Ordem-firewall.png

2026-06-02T16:43:54Z

Erickandrade:

Ordem-firewall

Arquivo:Ordem.png

2026-06-02T16:42:48Z

Erickandrade:

Ordem

Arquivo:Drop.png

2026-06-02T16:41:51Z

Erickandrade:

Drop

Arquivo:Rule-ICMP.png

2026-06-02T16:41:04Z

Erickandrade:

Rule ICMP

Arquivo:Rule-Input.png

2026-06-02T16:39:26Z

Erickandrade:

Rule INPUT

Arquivo:Rules-security.png

2026-06-02T16:37:06Z

Erickandrade:

Security Rules

Arquivo:Security-group.png

2026-06-02T16:34:43Z

Erickandrade:

Security Group

Configurando Firewall do ProxmoxVE

2026-06-02T16:31:26Z

Erickandrade:

Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas por falta de conhecimento e outras pela desorganização da gestão. Independente do motivo, esse tutorial tem o único intuito de incentivar e ensinar os primeiros passos de muitos para que as empresas possam tornar os seus ambientes mais seguros.

== Firewall do Proxmox ==
O Firewall do Proxmox trabalha em três níveis, '''Datacenter''' > '''PVE''' > '''Host'''. Para que as regras funcionem nos Hosts ou no PVE é obrigatório que ele esteja configurado a nível de '''Datacenter'''.

Em nosso cenário o intuito é a configuração para proteger o PVE, então trabalharemos nos níveis de Datacenter e PVE. Posteriormente você pode explorar as opções de configuração em grupos de políticas ou regras específicas que atendam as necessidades das Máquinas Virtuais e Containers.

'''Observação''': ''Apesar do tutorial mostrar apenas IPv4 nas configurações, o Firewall do PVE é '''TOTALMENTE compatível com o IPv6''' e você '''DEVE''' implementar ele em sua infraestrutura.''

== Iniciando a Configuração ==
'''1 - Acesse o Menu Firewall > Options.'''

Altere as três policies '''Input''', '''Output''' e '''Forward''' para '''ACCEPT''', pois iremos filtrar e dropar tudo mais a frente.
[[Arquivo:Firewall-input.png|nenhum|miniaturadaimagem|516x516px]]
'''2 - Acesse o submenu Security Group'''.
Ao acessar o '''Security Group''' procure pelo menu '''Group''' crie um novo perfil chamado '''''gerencia''''', adicione também uma descrição para facilitar a identificação futura.

'''3 - Crie as novas Regras definindo o Input.'''

Agora com o novo Group criado, selecione ele e vá até o menu '''Rules''' ao lado para poder criar todas as regras.

Inicialmente criaremos duas regras e será necessário definir quais '''IPs/Prefixos''', '''Portas''', '''Protocolo''' etc serão permitidos, em nosso cenário iremos usar da maneira demonstrada abaixo.

''Lembrando que a ordem de criação das regras é importante para que seja lida da maneira correta pelo firewall. Sempre que você adicionar uma nova regras no Firewall do Proxmox, ela irá saltar automaticamente para o topo''.

'''Regra 02 (Permitindo acesso de Gerencia e monitoramento ao PVE)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': tcp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''DEs. port'''.: 8006,22,5900:5999,10050,10051 (porta de acesso webm, SSH, VNC e Zabbix)
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra 01 (Permitindo o ICMP ao servidor para monitoramento e troubleshooting)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': icmp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''ICMP type''': echo-reply
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''4 - Acesse o menu do PVE e navegue até o menu Firewall.'''

Aqui será preciso ter '''MUITA''' atenção para criar a regra de '''DROP''' e adicionar o grupo que criamos no passo 2. É aqui que a mágica acontece!

Clique em '''ADD''' e adicione uma nova regra dropando tudo, mas ainda '''''NÃO marque ela como Enable'''''.

'''Regra DROP 01'''
'''Direction''': in
'''Action''': DROP
'''Enable''': desmarcado
'''Protocol''': icmp
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra Security Group 2'''

Clique em '''Insert: Security Group''', na nova janela que irá abrir configure igual o exemplo abaixo.
'''Security Group''': gerencia
'''Enable''': marcado
'''Comment''': Adicione um comentário explicando o que essa regra faz
* 0 é o type group com Action gerencia
* 1 Type in com Action DROP
Se tudo estiver ok, habilite as novas regras criadas clicando no box '''On'''.

'''5 - Ainda no menu Firewall do PVE vá até o submenu Options.'''

5.1 - No submenu '''Options''' você deve habilitar o Firewall clicando duas vezes em cima e marcando o box. Por enquanto, as regras ainda não terão efeito pelo motivo explicado anteriormente da ordem de Firewall do Proxmox.

5.2 - Agora volte ao menu '''Firewall''' do '''Datacenter''' e também habilite o Firewall marcando o box, depois realizar a ação o Firewall estará habilitado e funcionando em todos os níveis de '''Datacenter''' e '''PVE'''.

=== Validando as configurações ===
Logo depois da implementação é importante verificar se o Firewall está atuando corretamente na proteção do Servidor Proxmox, para isso iremos realizar alguns testes utilizando o terminal do Linux e Windows. Preste bem atenção na sintaxe dos comandos para executar corretamente.

==== Linux ====
Você pode utilizar o '''nc''' ('''netcat''') ou '''nmap''' para verificar se as portas estão fechadas.

Netcat IPv4
nc -vz <IP-aqui> <Porta-aqui>
Netcat IPv6
nc -6 -vz <IP-aqui> <Porta-aqui>
Nmap IPv4
nmap -p <Porta-aqui> <IP-aqui>
Nmap IPv6
nmap -6 -p <Porta-aqui> <IP-aqui>
Resultado típico do Nmap:
* open: porta aberta
* closed: porta fechada
* filtered: bloqueada por firewall

==== Windows ====
Já no ambiente Windows nós temos a alternativa do '''PowerShell'''.

PowerShell IPv4
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
PowerShell IPv6
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
Resultado típico:
* TcpTestSucceeded : True: porta aberta
* False: porta fechada ou filtrada
[[Arquivo:Pwoershell-true.png|miniaturadaimagem|Teste do PowerShell com status True|alt=|nenhum]][[Arquivo:Powershell-false.png|miniaturadaimagem|Teste do PowerShell com status False|alt=|nenhum]]

=== Referências: ===
Documentação ProxmoxVE: https://pve.proxmox.com/pve-docs-7/chapter-pve-firewall.html

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]
[[Categoria:Infraestrutura]]
[[Categoria:Segurança]]
[[Categoria:ProxmoxVE]]

Arquivo:Firewall-input.png

2026-06-02T16:30:37Z

Erickandrade:

Firewall ACCEPT

Configurando Firewall do ProxmoxVE

2026-06-02T16:08:17Z

Erickandrade:

Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas por falta de conhecimento e outras pela desorganização da gestão. Independente do motivo, esse tutorial tem o único intuito de incentivar e ensinar os primeiros passos de muitos para que as empresas possam tornar os seus ambientes mais seguros.

== Firewall do Proxmox ==
O Firewall do Proxmox trabalha em três níveis, '''Datacenter''' > '''PVE''' > '''Host'''. Para que as regras funcionem nos Hosts ou no PVE é obrigatório que ele esteja configurado a nível de '''Datacenter'''.

Em nosso cenário o intuito é a configuração para proteger o PVE, então trabalharemos nos níveis de Datacenter e PVE. Posteriormente você pode explorar as opções de configuração em grupos de políticas ou regras específicas que atendam as necessidades das Máquinas Virtuais e Containers.

'''Observação''': ''Apesar do tutorial mostrar apenas IPv4 nas configurações, o Firewall do PVE é '''TOTALMENTE compatível com o IPv6''' e você '''DEVE''' implementar ele em sua infraestrutura.''

== Iniciando a Configuração ==
'''1 - Acesse o Menu Firewall > Options.'''

Altere as três policies '''Input''', '''Output''' e '''Forward''' para '''ACCEPT''', pois iremos filtrar e dropar tudo mais a frente.

'''2 - Acesse o submenu Security Group'''.

Ao acessar o '''Security Group''' procure pelo menu '''Group''' crie um novo perfil chamado '''''gerencia''''', adicione também uma descrição para facilitar a identificação futura.

'''3 - Crie as novas Regras definindo o Input.'''

Agora com o novo Group criado, selecione ele e vá até o menu '''Rules''' ao lado para poder criar todas as regras.

Inicialmente criaremos duas regras e será necessário definir quais '''IPs/Prefixos''', '''Portas''', '''Protocolo''' etc serão permitidos, em nosso cenário iremos usar da maneira demonstrada abaixo.

''Lembrando que a ordem de criação das regras é importante para que seja lida da maneira correta pelo firewall. Sempre que você adicionar uma nova regras no Firewall do Proxmox, ela irá saltar automaticamente para o topo''.

'''Regra 02 (Permitindo acesso de Gerencia e monitoramento ao PVE)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': tcp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''DEs. port'''.: 8006,22,5900:5999,10050,10051 (porta de acesso webm, SSH, VNC e Zabbix)
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra 01 (Permitindo o ICMP ao servidor para monitoramento e troubleshooting)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': icmp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''ICMP type''': echo-reply
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''4 - Acesse o menu do PVE e navegue até o menu Firewall.'''

Aqui será preciso ter '''MUITA''' atenção para criar a regra de '''DROP''' e adicionar o grupo que criamos no passo 2. É aqui que a mágica acontece!

Clique em '''ADD''' e adicione uma nova regra dropando tudo, mas ainda '''''NÃO marque ela como Enable'''''.

'''Regra DROP 01'''
'''Direction''': in
'''Action''': DROP
'''Enable''': desmarcado
'''Protocol''': icmp
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra Security Group 2'''

Clique em '''Insert: Security Group''', na nova janela que irá abrir configure igual o exemplo abaixo.
'''Security Group''': gerencia
'''Enable''': marcado
'''Comment''': Adicione um comentário explicando o que essa regra faz
* 0 é o type group com Action gerencia
* 1 Type in com Action DROP
Se tudo estiver ok, habilite as novas regras criadas clicando no box '''On'''.

'''5 - Ainda no menu Firewall do PVE vá até o submenu Options.'''

5.1 - No submenu '''Options''' você deve habilitar o Firewall clicando duas vezes em cima e marcando o box. Por enquanto, as regras ainda não terão efeito pelo motivo explicado anteriormente da ordem de Firewall do Proxmox.

5.2 - Agora volte ao menu '''Firewall''' do '''Datacenter''' e também habilite o Firewall marcando o box, depois realizar a ação o Firewall estará habilitado e funcionando em todos os níveis de '''Datacenter''' e '''PVE'''.

=== Validando as configurações ===
Logo depois da implementação é importante verificar se o Firewall está atuando corretamente na proteção do Servidor Proxmox, para isso iremos realizar alguns testes utilizando o terminal do Linux e Windows. Preste bem atenção na sintaxe dos comandos para executar corretamente.

==== Linux ====
Você pode utilizar o '''nc''' ('''netcat''') ou '''nmap''' para verificar se as portas estão fechadas.

Netcat IPv4
nc -vz <IP-aqui> <Porta-aqui>
Netcat IPv6
nc -6 -vz <IP-aqui> <Porta-aqui>
Nmap IPv4
nmap -p <Porta-aqui> <IP-aqui>
Nmap IPv6
nmap -6 -p <Porta-aqui> <IP-aqui>
Resultado típico do Nmap:
* open: porta aberta
* closed: porta fechada
* filtered: bloqueada por firewall

==== Windows ====
Já no ambiente Windows nós temos a alternativa do '''PowerShell'''.

PowerShell IPv4
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
PowerShell IPv6
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
Resultado típico:
* TcpTestSucceeded : True: porta aberta
* False: porta fechada ou filtrada
[[Arquivo:Pwoershell-true.png|miniaturadaimagem|Teste do PowerShell com status True|alt=|nenhum]][[Arquivo:Powershell-false.png|miniaturadaimagem|Teste do PowerShell com status False|alt=|nenhum]]

=== Referências: ===
Documentação ProxmoxVE: https://pve.proxmox.com/pve-docs-7/chapter-pve-firewall.html

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Configurando Firewall do ProxmoxVE

2026-06-02T16:06:53Z

Erickandrade:

Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas por falta de conhecimento e outras pela desorganização da gestão. Independente do motivo, esse tutorial tem o único intuito de incentivar e ensinar os primeiros passos de muitos para que as empresas possam tornar os seus ambientes mais seguros.

== Firewall do Proxmox ==
O Firewall do Proxmox trabalha em três níveis, '''Datacenter''' > '''PVE''' > '''Host'''. Para que as regras funcionem nos Hosts ou no PVE é obrigatório que ele esteja configurado a nível de '''Datacenter'''.

Em nosso cenário o intuito é a configuração para proteger o PVE, então trabalharemos nos níveis de Datacenter e PVE. Posteriormente você pode explorar as opções de configuração em grupos de políticas ou regras específicas que atendam as necessidades das Máquinas Virtuais e Containers.

'''Observação''': ''Apesar do tutorial mostrar apenas IPv4 nas configurações, o Firewall do PVE é '''TOTALMENTE compatível com o IPv6''' e você '''DEVE''' implementar ele em sua infraestrutura.''

== Iniciando a Configuração ==
'''1 - Acesse o Menu Firewall > Options.'''

Altere as três policies '''Input''', '''Output''' e '''Forward''' para '''ACCEPT''', pois iremos filtrar e dropar tudo mais a frente.

'''2 - Acesse o submenu Security Group'''.

Ao acessar o '''Security Group''' procure pelo menu '''Group''' crie um novo perfil chamado '''''gerencia''''', adicione também uma descrição para facilitar a identificação futura.

'''3 - Crie as novas Regras definindo o Input.'''

Agora com o novo Group criado, selecione ele e vá até o menu '''Rules''' ao lado para poder criar todas as regras.

Inicialmente criaremos duas regras e será necessário definir quais '''IPs/Prefixos''', '''Portas''', '''Protocolo''' etc serão permitidos, em nosso cenário iremos usar da maneira demonstrada abaixo.

''Lembrando que a ordem de criação das regras é importante para que seja lida da maneira correta pelo firewall. Sempre que você adicionar uma nova regras no Firewall do Proxmox, ela irá saltar automaticamente para o topo''.

'''Regra 02 (Permitindo acesso de Gerencia e monitoramento ao PVE)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': tcp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''DEs. port'''.: 8006,22,5900:5999,10050,10051 (porta de acesso webm, SSH, VNC e Zabbix)
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra 01 (Permitindo o ICMP ao servidor para monitoramento e troubleshooting)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': icmp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''ICMP type''': echo-reply
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''4 - Acesse o menu do PVE e navegue até o menu Firewall.'''

Aqui será preciso ter '''MUITA''' atenção para criar a regra de '''DROP''' e adicionar o grupo que criamos no passo 2. É aqui que a mágica acontece!

Clique em '''ADD''' e adicione uma nova regra dropando tudo, mas ainda '''''NÃO marque ela como Enable'''''.

'''Regra DROP 01'''
'''Direction''': in
'''Action''': DROP
'''Enable''': desmarcado
'''Protocol''': icmp
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra Security Group 2'''

Clique em '''Insert: Security Group''', na nova janela que irá abrir configure igual o exemplo abaixo.
'''Security Group''': gerencia
'''Enable''': marcado
'''Comment''': Adicione um comentário explicando o que essa regra faz
* 0 é o type group com Action gerencia
* 1 Type in com Action DROP
Se tudo estiver ok, habilite as novas regras criadas clicando no box '''On'''.

'''5 - Ainda no menu Firewall do PVE vá até o submenu Options.'''

5.1 - No submenu '''Options''' você deve habilitar o Firewall clicando duas vezes em cima e marcando o box. Por enquanto, as regras ainda não terão efeito pelo motivo explicado anteriormente da ordem de Firewall do Proxmox.

5.2 - Agora volte ao menu '''Firewall''' do '''Datacenter''' e também habilite o Firewall marcando o box, depois realizar a ação o Firewall estará habilitado e funcionando em todos os níveis de '''Datacenter''' e '''PVE'''.

=== Validando as configurações ===
Logo depois da implementação é importante verificar se o Firewall está atuando corretamente na proteção do Servidor Proxmox, para isso iremos realizar alguns testes utilizando o terminal do Linux e Windows. Preste bem atenção na sintaxe dos comandos para executar corretamente.

==== Linux ====
Você pode utilizar o '''nc''' ('''netcat''') ou '''nmap''' para verificar se as portas estão fechadas.

Netcat IPv4
nc -vz <IP-aqui> <Porta-aqui>
Netcat IPv6
nc -6 -vz <IP-aqui> <Porta-aqui>
Nmap IPv4
nmap -p <Porta-aqui> <IP-aqui>
Nmap IPv6
nmap -6 -p <Porta-aqui> <IP-aqui>
Resultado típico do Nmap:
* open: porta aberta
* closed: porta fechada
* filtered: bloqueada por firewall

==== Windows ====
Já no ambiente Windows nós temos a alternativa do '''PowerShell'''.

PowerShell IPv4
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
PowerShell IPv6
Test-NetConnection <IP-aqui> -Port <Porta-aqui>
Resultado típico:
* TcpTestSucceeded : True: porta aberta
* False: porta fechada ou filtrada
[[Arquivo:Pwoershell-true.png|esquerda|miniaturadaimagem|Teste do PowerShell com status True]]

[[Arquivo:Powershell-false.png|esquerda|miniaturadaimagem|Teste do PowerShell com status False]]

=== Referências: ===
Documentação ProxmoxVE: https://pve.proxmox.com/pve-docs-7/chapter-pve-firewall.html

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Arquivo:Powershell-false.png

2026-06-02T16:06:29Z

Erickandrade:

Teste do PowerShell com status False

Arquivo:Pwoershell-true.png

2026-06-02T16:05:24Z

Erickandrade:

Teste do PowerShell com status True

Configurando Firewall do ProxmoxVE

2026-06-02T15:45:21Z

Erickandrade:

Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas por falta de conhecimento e outras pela desorganização da gestão. Independente do motivo, esse tutorial tem o único intuito de incentivar e ensinar os primeiros passos de muitos para que as empresas possam tornar os seus ambientes mais seguros.

== Firewall do Proxmox ==
O Firewall do Proxmox trabalha em três níveis, '''Datacenter''' > '''PVE''' > '''Host'''. Para que as regras funcionem nos Hosts ou no PVE é obrigatório que ele esteja configurado a nível de '''Datacenter'''.

Em nosso cenário o intuito é a configuração para proteger o PVE, então trabalharemos nos níveis de Datacenter e PVE. Posteriormente você pode explorar as opções de configuração em grupos de políticas ou regras específicas que atendam as necessidades das Máquinas Virtuais e Containers.

'''Observação''': ''Apesar do tutorial mostrar apenas IPv4 nas configurações, o Firewall do PVE é '''TOTALMENTE compatível com o IPv6''' e você '''DEVE''' implementar ele em sua infraestrutura.''

== Iniciando a Configuração ==
'''1 - Acesse o Menu Firewall > Options.'''

Altere as três policies '''Input''', '''Output''' e '''Forward''' para '''ACCEPT''', pois iremos filtrar e dropar tudo mais a frente.

'''2 - Acesse o submenu Security Group'''.

Ao acessar o '''Security Group''' procure pelo menu '''Group''' crie um novo perfil chamado '''''gerencia''''', adicione também uma descrição para facilitar a identificação futura.

'''3 - Crie as novas Regras definindo o Input.'''

Agora com o novo Group criado, selecione ele e vá até o menu '''Rules''' ao lado para poder criar todas as regras.

Inicialmente criaremos duas regras e será necessário definir quais '''IPs/Prefixos''', '''Portas''', '''Protocolo''' etc serão permitidos, em nosso cenário iremos usar da maneira demonstrada abaixo.

''Lembrando que a ordem de criação das regras é importante para que seja lida da maneira correta pelo firewall. Sempre que você adicionar uma nova regras no Firewall do Proxmox, ela irá saltar automaticamente para o topo''.

'''Regra 02 (Permitindo acesso de Gerencia e monitoramento ao PVE)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': tcp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''DEs. port'''.: 8006,22,5900:5999,10050,10051 (porta de acesso webm, SSH, VNC e Zabbix)
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra 01 (Permitindo o ICMP ao servidor para monitoramento e troubleshooting)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': icmp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''ICMP type''': echo-reply
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''4 - Acesse o menu do PVE e navegue até o menu Firewall.'''

Aqui será preciso ter '''MUITA''' atenção para criar a regra de '''DROP''' e adicionar o grupo que criamos no passo 2. É aqui que a mágica acontece!

Clique em '''ADD''' e adicione uma nova regra dropando tudo, mas ainda '''''NÃO marque ela como Enable'''''.

'''Regra DROP 01'''
'''Direction''': in
'''Action''': DROP
'''Enable''': desmarcado
'''Protocol''': icmp
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra Security Group 2'''

Clique em '''Insert: Security Group''', na nova janela que irá abrir configure igual o exemplo abaixo.
'''Security Group''': gerencia
'''Enable''': marcado
'''Comment''': Adicione um comentário explicando o que essa regra faz
* 0 é o type group com Action gerencia
* 1 Type in com Action DROP
Se tudo estiver ok, habilite as novas regras criadas clicando no box '''On'''.

'''5 - Ainda no menu Firewall do PVE vá até o submenu Options.'''

5.1 - No submenu '''Options''' você deve habilitar o Firewall clicando duas vezes em cima e marcando o box. Por enquanto, as regras ainda não terão efeito pelo motivo explicado anteriormente da ordem de Firewall do Proxmox.

5.2 - Agora volte ao menu '''Firewall''' do '''Datacenter''' e também habilite o Firewall marcando o box, depois realizar a ação o Firewall estará habilitado e funcionando em todos os níveis de '''Datacenter''' e '''PVE'''.

=== 6 - Validando as configurações ===

=== Referências: ===
Documentação ProxmoxVE: https://pve.proxmox.com/pve-docs-7/chapter-pve-firewall.html

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Configurando Firewall do ProxmoxVE

2026-06-02T15:43:39Z

Erickandrade:

Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas por falta de conhecimento e outras pela desorganização da gestão. Independente do motivo, esse tutorial tem o único intuito de incentivar e ensinar os primeiros passos de muitos para que as empresas possam tornar os seus ambientes mais seguros.

== Firewall do Proxmox ==
O Firewall do Proxmox trabalha em três níveis, '''Datacenter''' > '''PVE''' > '''Host'''. Para que as regras funcionem nos Hosts ou no PVE é obrigatório que ele esteja configurado a nível de '''Datacenter'''.

Em nosso cenário o intuito é a configuração para proteger o PVE, então trabalharemos nos níveis de Datacenter e PVE. Posteriormente você pode explorar as opções de configuração em grupos de políticas ou regras específicas que atendam as necessidades das Máquinas Virtuais e Containers.

'''Observação''': ''Apesar do tutorial mostrar apenas IPv4 nas configurações, o Firewall do PVE é '''TOTALMENTE compatível com o IPv6''' e você '''DEVE''' implementar ele em sua infraestrutura.''

'''1 - Acesse o Menu Firewall > Options.'''

Altere as três policies '''Input''', '''Output''' e '''Forward''' para '''ACCEPT''', pois iremos filtrar e dropar tudo mais a frente.

'''2 - Acesse o submenu Security Group'''.

Ao acessar o '''Security Group''' procure pelo menu '''Group''' crie um novo perfil chamado '''''gerencia''''', adicione também uma descrição para facilitar a identificação futura.

'''3 - Crie as novas Regras definindo o Input.'''

Agora com o novo Group criado, selecione ele e vá até o menu '''Rules''' ao lado para poder criar todas as regras.

Inicialmente criaremos duas regras e será necessário definir quais '''IPs/Prefixos''', '''Portas''', '''Protocolo''' etc serão permitidos, em nosso cenário iremos usar da maneira demonstrada abaixo.

''Lembrando que a ordem de criação das regras é importante para que seja lida da maneira correta pelo firewall. Sempre que você adicionar uma nova regras no Firewall do Proxmox, ela irá saltar automaticamente para o topo''.

'''Regra 02 (Permitindo acesso de Gerencia e monitoramento ao PVE)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': tcp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''DEs. port'''.: 8006,22,5900:5999,10050,10051 (porta de acesso webm, SSH, VNC e Zabbix)
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra 01 (Permitindo o ICMP ao servidor para monitoramento e troubleshooting)'''
'''Direction''': in
'''Action''': ACCEPT
'''Enable''': marcado
'''Protocol''': icmp
'''Source''': 192.0.2.10,203.0.113.0/24 (IPs ou Prefixos IPv4/IPv6 permitidos da sua rede)
'''ICMP type''': echo-reply
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''4 - Acesse o menu do PVE e navegue até o menu Firewall.'''

Aqui será preciso ter '''MUITA''' atenção para criar a regra de '''DROP''' e adicionar o grupo que criamos no passo 2. É aqui que a mágica acontece!

Clique em '''ADD''' e adicione uma nova regra dropando tudo, mas ainda '''''NÃO marque ela como Enable'''''.

'''Regra DROP 01'''
'''Direction''': in
'''Action''': DROP
'''Enable''': desmarcado
'''Protocol''': icmp
'''Comment''': Insira um comentário explicando o que essa regra faz
'''Log level''': nolog (você pode alterar para monitorar)
'''Regra Security Group 2'''

Clique em '''Insert: Security Group''', na nova janela que irá abrir configure igual o exemplo abaixo.
'''Security Group''': gerencia
'''Enable''': marcado
'''Comment''': Adicione um comentário explicando o que essa regra faz
* 0 é o type group com Action gerencia
* 1 Type in com Action DROP
Se tudo estiver ok, habilite as novas regras criadas clicando no box '''On'''.

'''5 - Ainda no menu Firewall do PVE vá até o submenu Options.'''

5.1 - No submenu '''Options''' você deve habilitar o Firewall clicando duas vezes em cima e marcando o box. Por enquanto, as regras ainda não terão efeito pelo motivo explicado anteriormente da ordem de Firewall do Proxmox.

5.2 - Agora volte ao menu '''Firewall''' do '''Datacenter''' e também habilite o Firewall marcando o box, depois realizar a ação o Firewall estará habilitado e funcionando em todos os níveis de '''Datacenter''' e '''PVE'''.

=== Referências: ===
Documentação ProxmoxVE: https://pve.proxmox.com/pve-docs-7/chapter-pve-firewall.html

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]

Configurando Firewall do ProxmoxVE

2026-06-02T15:41:41Z

Erickandrade:

Configurando Firewall do ProxmoxVE

2026-06-02T15:40:02Z

Erickandrade: Criou página com 'Diversas empresas tem o hábito de utilizar o Proxmox (ou outros virtualizadores) com IP Público e não possuem políticas de segurança para restrição de acesso, muitas po...'

Aplicando anti-spoof via ACL na borda Huawei

2026-06-02T15:18:14Z

Erickandrade:

== Introdução ==
Um dos maiores problemas entre ASs (Sistemas Autônomos) é o '''spoof''' dos endereços IPv4 e IPv6. O spoof nada mais é que uma '''falsificação dos endereços IP''' e isso faz com que um tráfego não legítimo entre ou saia da sua rede, amplificando problemas como ataques '''DDoS'''/'''DoS'''.

Basicamente existem duas maneiras de implementar o bloqueio de spoof, a primeira é via configuração do '''uRPF''' direto na interface física ou vlan e a segunda seria por meio de '''ACLs''' e '''classificadores de tráfego'''.

O '''uRPF''' ('''Reverse Path Forwarding''') pode ser separado em duas 'classes' que são '''loose''' e '''strict'''. No modo loose que é extremamente flexível você tem uma proteção muito simples que nem sempre terá efetividade. Já no modo strict garante uma filtragem agressiva melhorando significativamente a segurança do ambiente.

A grande questão é que se você possuir mais de um link ('''multihomed'''), o uRPF strict será prejudicial porque ele exige que o caminho de chegada seja o mesmo de saída do tráfego. Já se a sua conexão for '''singlehomed''' (apenas uma operadora/link) o strict atenderá perfeitamente.

E para referência, recomendo que leia também o artigo feito pelo André Dias sobre o uRPF: [[Unicast Reverse Path Forwarding#Modo Strict .28Rigoroso.29 - Cuidado com ele.21]]

Aqui estarei focando nos ambientes multihomed, que fará a combinação do uRPF loose com ACLs em classificadores de tráfego. Apesar do exemplo ser para um roteador Huawei da série NE, a lógica é a mesma para outros equipamentos como Cisco.

É importante lembrar que a adoção do '''anti-spoof''' '''BCP38''' NÃO/NUNCA/JAMAIS irá bloquear ataques '''DDoS'''/'''DoS'''. Mas ajuda você e toda a comunidade da internet a mitigar e diminuir os impactos desse problema.

A mitigação do ataque '''DDoS'''/'''DoS''' envolve várias outras técnicas que visam diminuir os impactos sentidos, mas é impossível bloquear exceto se você desligar o equipamento ou fizer blackhole.

Sobre a mitigação de ataques DDoS/DoS você pode estar lendo os artigos publicados aqui mesmo no '''Brasil Peering Fórum''', especialmente os de [[Recomendações sobre Mitigação DDoS|Marcelo Gondim]] e de [[Boas praticas para cenarios de DDoS|Daniel Damito]].

== Entendendo a lógica do BCP38 ==
O BCP38 descreve que os ataques de spoof podem se utilizar de endereços privados que não estão na tabela de roteamento global e dos endereços públicos que estão na tabela de roteamento global, nesse caso faz referência direta ao protocolo BGP.

Dito isto a lógica é simples, você '''NÃO''' pode receber tráfego tendo como origem os seus '''próprios Endereços IPs e IPs bogons''', e a saída deve conter apenas os seus próprios Endereços IPs. Qualquer outro Endereço IP que fuja dessa regra deve ser bloqueado.

== MANRS ==
Um dos pré-requisitos que você pode adotar ao querer ser aprovado no MANRS seria o anti-spoof, utilizei a documentação do MANRS como inspiração para a construção dessa configuração.

== Configuração ==

==== Informações úteis: ====
# Você '''''não precisa/deve seguir a risca tudo como demonstrei''''', realize as adaptações para o seu cenário, teste em laboratório e só depois de validado passe para a implantação no ambiente de produção. A minha rede é diferente da sua e isso exige uma atenção diferente na hora de implementar novas configurações.
# Se você for fazer a configuração remotamente ou até mesmo presencialmente, aplique com o '''commit trial'''. Se algo não sair como esperado (como perder totalmente o acesso), após o tempo definido no trial as configurações serão revertidas.
# Os IPs utilizados no tutorial são de faixas exclusivas para fins de documentação, '''''lembre-se de alterar para as que você utiliza em sua rede'''''.
# A configuração aplicada nas interfaces (passo 9) deve abranger '''''apenas sua conexão com Operadoras e IX''''', se você tem '''''ponto a ponto interno/externo''''', '''''utiliza IPs Privados/Públicos''''' revise em laboratório como deve ser feito/adaptado ao seu cenário para evitar bloqueios indevidos.
# As ACLs trabalham com Máscara Curinga ('''Wildcard Mask'''), esteja atento a isso para configurar corretamente a sua sub rede.
# Outras configurações anti-spoof devem ser feitas o mais próximo do equipamento do seu cliente, por exemplo, se ele usa um Mikrotik você faz a configuração em '''IP''' > '''Settings''' e define o '''RP-Filter''' como '''Strict'''.

1 – Crie as ACLs que serão usadas nas regras de Entrada e Saída dos classificadores.
acl number 2001
description ACL para bloqueio de spoof na entrada
rule 10 permit source 203.0.113.0 0.0.0.255

acl ipv6 number 2001
description ACL para bloqueio de spoof na entrada
rule 10 permit source 2001:DB8::/32

acl number 2002
description ACL para bloqueio de spoof na saida
rule 10 permit source 203.0.113.0 0.0.0.255
rule 100 deny

acl ipv6 number 2002
description ACL para bloqueio de spoof na saida
rule 10 permit source 2001:DB8::/32
rule 100 deny
2 – Crie o classificador de tráfego que será usado no bloqueio da política de tráfego.
traffic classifier Trafego_Restante_Spoof operator or
if-match any
3 – Crie o classificador que vai dar match com as ACLs.
traffic classifier Saida_Spoof_Filtrado operator or
if-match acl 2002
if-match ipv6 acl 2002
4 – Crie o classificador que vai dar match com as ACLs.
traffic classifier Origem-Spoof_Filtrado operator or
if-match acl 2001
if-match ipv6 acl 2001
5 – Crie o classificador com comportamento padrão de permitir.
traffic behavior Permitir_Trafego_Filtrado
6 – Crie o classificador com o comportamento padrão de bloquear.
traffic behavior Bloquear_Spoof_Geral
deny
7 – Crie a política de tráfego para a saída, permitindo o que foi definido na ACL e bloqueando todo o resto.
traffic policy Prevenir_Saida_Spoofada
share-mode
classifier Saida_Spoof_Filtrado behavior Permitir_Trafego_Filtrado precedence 1
classifier Trafego_Restante_Spoof behavior Bloquear_Spoof_Geral precedence 10
8 – Crie a política de tráfego para a entrada, permitindo o que foi definido na ACL e bloqueando todo o resto.
traffic policy Prevenir_Origem_Spoofada
share-mode
classifier Origem-Spoof_Filtrado behavior Bloquear_Spoof_Geral precedence 1
9 – Configure a interface física ou VLAN do seu Upstream ou IX com uRPF loose e as políticas de tráfego.
interface GigabitEthernet0/3/2.100
vlan-type dot1q 100
description VLAN_PEER_Operadora
ipv6 enable
ip address 203.0.113.2 255.255.255.252
ipv6 address 2001:DB8::100/126
statistic enable
traffic-policy Prevenir_Origem_Spoofada inbound
traffic-policy Prevenir_Saida_Spoofada outbound
ip urpf loose

=== Referências: ===
MANRS Huawei: https://manrs.org/participant/85

BCP Nic.br: https://bcp.nic.br/antispoofing

<nowiki>RFC 2827</nowiki>: https://datatracker.ietf.org/doc/rfc2827

BCP 38: http://www.bcp38.info/index.php/Main_Page

'''Autor''': [[Usuário:Erickandrade|Erick Andrade]]
[[Categoria:BCOPs]]
__INDEXAR__

Usuário:Erickandrade

2026-06-02T15:16:17Z

Erickandrade: Criou página com 'Atualmente sou graduando em Engenharia de Software e atuo profissionalmente com redes desde 2017, durante quase uma década acumulei experiência em ambientes críticos de inf...'

Aplicando anti-spoof via ACL na borda Huawei

2025-10-30T15:55:37Z

Erickandrade:

Aplicando anti-spoof via ACL na borda Huawei

2025-10-30T15:55:10Z

Erickandrade:

'''Autor''': Erick Andrade

== Introdução ==
Um dos maiores problemas entre ASs (Sistemas Autônomos) é o '''spoof''' dos endereços IPv4 e IPv6. O spoof nada mais é que uma '''falsificação dos endereços IP''' e isso faz com que um tráfego não legítimo entre ou saia da sua rede, amplificando problemas como ataques '''DDoS'''/'''DoS'''.

Basicamente existem duas maneiras de implementar o bloqueio de spoof, a primeira é via configuração do '''uRPF''' direto na interface física ou vlan e a segunda seria por meio de '''ACLs''' e '''classificadores de tráfego'''.

O '''uRPF''' ('''Reverse Path Forwarding''') pode ser separado em duas 'classes' que são '''loose''' e '''strict'''. No modo loose que é extremamente flexível você tem uma proteção muito simples que nem sempre terá efetividade. Já no modo strict garante uma filtragem agressiva melhorando significativamente a segurança do ambiente.

A grande questão é que se você possuir mais de um link ('''multihomed'''), o uRPF strict será prejudicial porque ele exige que o caminho de chegada seja o mesmo de saída do tráfego. Já se a sua conexão for '''singlehomed''' (apenas uma operadora/link) o strict atenderá perfeitamente.

E para referência, recomendo que leia também o artigo feito pelo André Dias sobre o uRPF: [[Unicast Reverse Path Forwarding#Modo Strict .28Rigoroso.29 - Cuidado com ele.21]]

Aqui estarei focando nos ambientes multihomed, que fará a combinação do uRPF loose com ACLs em classificadores de tráfego. Apesar do exemplo ser para um roteador Huawei da série NE, a lógica é a mesma para outros equipamentos como Cisco.

É importante lembrar que a adoção do '''anti-spoof''' '''BCP38''' NÃO/NUNCA/JAMAIS irá bloquear ataques '''DDoS'''/'''DoS'''. Mas ajuda você e toda a comunidade da internet a mitigar e diminuir os impactos desse problema.

A mitigação do ataque '''DDoS'''/'''DoS''' envolve várias outras técnicas que visam diminuir os impactos sentidos, mas é impossível bloquear exceto se você desligar o equipamento ou fizer blackhole.

Sobre a mitigação de ataques DDoS/DoS você pode estar lendo os artigos publicados aqui mesmo no '''Brasil Peering Fórum''', especialmente os de [[Recomendações sobre Mitigação DDoS|Marcelo Gondim]] e de [[Boas praticas para cenarios de DDoS|Daniel Damito]].

== Entendendo a lógica do BCP38 ==
O BCP38 descreve que os ataques de spoof podem se utilizar de endereços privados que não estão na tabela de roteamento global e dos endereços públicos que estão na tabela de roteamento global, nesse caso faz referência direta ao protocolo BGP.

Dito isto a lógica é simples, você '''NÃO''' pode receber tráfego tendo como origem os seus '''próprios Endereços IPs e IPs bogons''', e a saída deve conter apenas os seus próprios Endereços IPs. Qualquer outro Endereço IP que fuja dessa regra deve ser bloqueado.

== MANRS ==
Um dos pré-requisitos que você pode adotar ao querer ser aprovado no MANRS seria o anti-spoof, utilizei a documentação do MANRS como inspiração para a construção dessa configuração.

== Configuração ==

==== Informações úteis: ====
# Você '''''não precisa/deve seguir a risca tudo como demonstrei''''', realize as adaptações para o seu cenário, teste em laboratório e só depois de validado passe para a implantação no ambiente de produção. A minha rede é diferente da sua e isso exige uma atenção diferente na hora de implementar novas configurações.
# Se você for fazer a configuração remotamente ou até mesmo presencialmente, aplique com o '''commit trial'''. Se algo não sair como esperado (como perder totalmente o acesso), após o tempo definido no trial as configurações serão revertidas.
# Os IPs utilizados no tutorial são de faixas exclusivas para fins de documentação, '''''lembre-se de alterar para as que você utiliza em sua rede'''''.
# A configuração aplicada nas interfaces (passo 9) deve abranger '''''apenas sua conexão com Operadoras e IX''''', se você tem '''''ponto a ponto interno/externo''''', '''''utiliza IPs Privados/Públicos''''' revise em laboratório como deve ser feito/adaptado ao seu cenário para evitar bloqueios indevidos.
# As ACLs trabalham com Máscara Curinga ('''Wildcard Mask'''), esteja atento a isso para configurar corretamente a sua sub rede.
# Outras configurações anti-spoof devem ser feitas o mais próximo do equipamento do seu cliente, por exemplo, se ele usa um Mikrotik você faz a configuração em '''IP''' > '''Settings''' e define o '''RP-Filter''' como '''Strict'''.

1 – Crie as ACLs que serão usadas nas regras de Entrada e Saída dos classificadores.
acl number 2001
description ACL para bloqueio de spoof na entrada
rule 10 permit source 203.0.113.0 0.0.0.255

acl ipv6 number 2001
description ACL para bloqueio de spoof na entrada
rule 10 permit source 2001:DB8::/32

acl number 2002
description ACL para bloqueio de spoof na saida
rule 10 permit source 203.0.113.0 0.0.0.255
rule 100 deny

acl ipv6 number 2002
description ACL para bloqueio de spoof na saida
rule 10 permit source 2001:DB8::/32
rule 100 deny
2 – Crie o classificador de tráfego que será usado no bloqueio da política de tráfego.
traffic classifier Trafego_Restante_Spoof operator or
if-match any
3 – Crie o classificador que vai dar match com as ACLs.
traffic classifier Saida_Spoof_Filtrado operator or
if-match acl 2002
if-match ipv6 acl 2002
4 – Crie o classificador que vai dar match com as ACLs.
traffic classifier Origem-Spoof_Filtrado operator or
if-match acl 2001
if-match ipv6 acl 2001
5 – Crie o classificador com comportamento padrão de permitir.
traffic behavior Permitir_Trafego_Filtrado
6 – Crie o classificador com o comportamento padrão de bloquear.
traffic behavior Bloquear_Spoof_Geral
deny
7 – Crie a política de tráfego para a saída, permitindo o que foi definido na ACL e bloqueando todo o resto.
traffic policy Prevenir_Saida_Spoofada
share-mode
classifier Saida_Spoof_Filtrado behavior Permitir_Trafego_Filtrado precedence 1
classifier Trafego_Restante_Spoof behavior Bloquear_Spoof_Geral precedence 10
8 – Crie a política de tráfego para a entrada, permitindo o que foi definido na ACL e bloqueando todo o resto.
traffic policy Prevenir_Origem_Spoofada
share-mode
classifier Origem-Spoof_Filtrado behavior Bloquear_Spoof_Geral precedence 1
9 – Configure a interface física ou VLAN do seu Upstream ou IX com uRPF loose e as políticas de tráfego.
interface GigabitEthernet0/3/2.100
vlan-type dot1q 100
description VLAN_PEER_Operadora
ipv6 enable
ip address 203.0.113.2 255.255.255.252
ipv6 address 2001:DB8::100/126
statistic enable
traffic-policy Prevenir_Origem_Spoofada inbound
traffic-policy Prevenir_Saida_Spoofada outbound
ip urpf loose

=== Referências: ===
MANRS Huawei: https://manrs.org/participant/85

BCP Nic.br: https://bcp.nic.br/antispoofing

<nowiki>RFC 2827</nowiki>: https://datatracker.ietf.org/doc/rfc2827

BCP 38: http://www.bcp38.info/index.php/Main_Page
[[Categoria:BCOPs]]
__INDEXAR__

Looking Glass

2025-10-30T15:47:12Z

Erickandrade: Acrescentei o Looking Glass da minha empresa

A ferramenta Looking Glass, ou em uma tradução livre em português "espelho", é muito utilizada por operadores de rede Internet no mundo todo para visualizar suas rotas BGP e prefixos na tabela de roteamento de outros participantes.

O uso do Looking Glass pode ser muito útil para entender como suas rotas estão sendo tratadas, anunciadas, alteradas, bloqueadas, etc. Os melhores Looking Glass são aqueles que são roteadores reais (com acesso público somente leitura). Alguns inclusive permitem o usuário dar comandos como PING e TRACEROUTE (entenda aqui como o [[traceroute]] funciona).

Esta ferramenta pode ser muito útil ao solucionar problemas de roteamento da Internet; seja para o seu site,seu ASN ou para prefixos de parceiros e clientes. Abaixo segue uma lista não extensiva dos principais Looking Glass do Brasil e alguns mundiais:

== Lista de Looking Glass ==
'''Atualizada em 02/10/2025'''
{| class="wikitable sortable"
|+ Nacionais (Brasil)
! Rede
! ASN
! Looking Glass
! IPv4
! IPv6
|-
| Adylnet
| 28283
| http://lg.adyl.net.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Algar Telecom
| 16735
| telnet://201.48.0.2
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Aloo
| 61568
| http://lg.alootelecom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Altarede
| 28260
| http://lg.altarede.com.br/...
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
|-
| Aranet
| 262462
| https://lg.aranet.net.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Araujo SAT
| 263024
| http://lg.araujosat.com.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Asap Telecom
| 264144
| http://lg.asaptelecom.com.br:8002/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Avanza Telecom
| 262769
| http://lg.avanzatelecom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| AW Fibra
| 61775
| https://lg.awinternet.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| BitCom
| 28169
| http://lg.bitcom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Br.digital (Antiga Commcorp)
| 14840
| https://lg.br.digital/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
|Brasil TecPar
|262907
|https://lg.brasiltecpar.com.br/
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
|Brasilnet Telecom
|262808
|https://lg.brasilnet.net.br/
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
| Claro
| 4230
| https://lg.nocclaro.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Conect Internet
| 265066
| https://lg.conectrj.net.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Conid
| 53163
| http://lg.conid.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| DigitalNet MS
| 61588
| http://lg.idl.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| Eletronet
| 267613
| https://lg.eletronet.net.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
|Vianet Telecomunicaçoes LTDA
|271201
|https://lg.vianetitz.com.br/
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
| Fasternet
| 28580
| https://lg.fasternet.com.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Ferenz Networks
| 266400
| https://lg.as266400.net/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Flextel Network
| 263959
| https://lg.flextel.net.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| Forte Telecom
| 263009
| https://lg.fortetelecom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Mega Telecom
| 28329
| https://lg.megatelecom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| GGNET
| 53062
| http://lg.as53062.net.br/lg
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| GOX Internet
| 263623
| https://lg.goxinternet.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Hokinet
| 61587
| http://lg.hokinet.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Hostzone
| 269070
| https://lg.as269070.net/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
|Itanet Conecta
|52699
|https://lg.itanet.psi.br/
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
| Infortel
| 53180
| https://lg.infortel.net.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Intercol
| 53047
| http://lg.intercol.com.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Internexa
| 262589
| ssh bgp_view@177.84.161.226 senha bgp_view
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| Internet Way
| 263470
| https://lg.internetway.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| IVR NET
| 262611
| http://lg.ivrnet.com.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| IX.br ALICE
| Vários
| https://lg.ix.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| IX.br São Paulo
| Vários
| telnet://lg.sp.ptt.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| Junto Telecom
| 262596
| http://lg.juntotelecom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| K2 Telecom
| 53181
| https://lg.k2telecom.net.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Kinghost
| 28299
| https://lg.kinghost.net/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| MCD Telecom
| 265144
| https://lg.mcdtelecom.com.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| Latitude
| 262287
| https://lg.latitude.sh/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| N4 Telecom
| 262505
| http://looking-glass.n4telecom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| NBS Telecom
| 61745
| http://lg.nbstelecom.psi.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Net&Com
| 263324
| http://lg.netecom.net.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| OpenX
| 263444
| http://lg.openx.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Sebratel Tecnologia
| 53167
| https://lg.sebratel.net.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Semear Telecom
| 269416
| http://lg.semeartelecom.net.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
|Sinal Br Telecom
|262761
|https://lg.sinalbr.com.br
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
| Sitelbra
| 265171
| http://lg.sitelbra.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| Softdados Telecom
| 52873
| https://lg.softdados.net
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Sumicity
| 28210
| https://lg.sumicity.net.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| TJ NET
| 266130
| https://lg.redetjnet.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
|Turbozone Internet
|264479
|https://lg.turbozoneinternet.com.br
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
|Ufinet
|52468
|http://lg.ufinet.net.br/ ou telnet://route-server.ufinet.net.br
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
| Unifique
| 28343
| https://lg.unifique.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
|Universidade de São Paulo
|28571
|https://lg.ti.usp.br
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
| UPX Technologies
| 52863
| http://lg.upx.com/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Vero Internet
| 53184
| http://lg.verointernet.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Wirelink
| 28368
| http://lg.wirelink.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
| Wixnet
| 53013
| http://lg.wixnet.com.br
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| W8 Telecom
| 267469
| http://lg.w8telecom.com.br/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
|4WNET TELECOMUNICAÇÕES
|268707
|http://lg.4wnet.net.br:8001/
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
|VIA MS
|61622
|https://lg.viams.com.br
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
|Visão Datacenter
|273508
|https://lg.visaodatacenter.com.br
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|}

*
{| class="wikitable sortable"
|+
Internacionais
! Rede
! ASN
! Looking Glass
! IPv4
! IPv6
|-
| Angola Cables
| 37468
| https://lg.angolacables.co.ao/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| AT&T
| 7018
| [telnet://12.0.1.28 telnet://route-server.ip.att.net]
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Cogent
| 174
| http://www.cogentco.com/en/network/looking-glass
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Colt
| 8220
| https://portal.colt.net/lg
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| EdgeUno
| 7195
| https://lg.edgeuno.com/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| G-Core Labs
| 199524
| https://lg.gcorelabs.com/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Globenet
| 52320
| https://lg.globenet.net/lg/lg.cgi
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| GTT (via Ginernet)
| 3257
| http://gtt.lg.ginernet.com/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
|GTT / Public Route Server
|AS3257
|telnet://route-server.as3257.net
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Não.png|semmoldura]]
|-
| HE
| 6939
| http://lg.he.net/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Leaseweb
| 30633
| https://lg.leasewebstatus.com/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Cirion
| 3356
| https://lookingglass.centurylink.com/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| MEO
| 8657
| http://glass.cprm.net/bgp.html
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| NLNOG
| Vários
| http://lg.ring.nlnog.net
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| NTT
| 2914
| https://www.gin.ntt.net/looking-glass-landing/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Orange (Opentransit)
| 5511
| https://looking-glass.opentransit.net/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| OVH
| 16276
| https://lg.ovh.net
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| PJSC ROSTELECOM
| 12389
| http://lg.ip.rt.ru/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Seabone / Sparkle
| 6762
| https://www.tisparkle.com/looking-glass
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Seaborn
| 13786
| https://lg.as13786.net/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Tata
| 6453
| http://lg.as6453.net
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Telia/Arelion
| 1299
| https://lg.twelve99.net/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Telxius
| 12956
| https://lookinglass.telxius.com/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
|TGlobal Networks
|53427
|https://lg.tglobalnetworks.com/
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Sim.png|semmoldura]]
|-
| Worldstream
| 49981
| https://lg.worldstream.nl
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|-
| Zayo
| 6461
| http://lg.zayo.com
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Sim.png|semmoldura]]
|}

{| class="wikitable sortable"
|+ CDNs
! Rede
! ASN
! Looking Glass
! IPv4
! IPv6
|-
| CDS Global
| 63199
| https://gic.capitalonline.net/en/nettools/page_part/
| [[Arquivo:Sim.png|semmoldura]]
| [[Arquivo:Não.png|semmoldura]]
|-
|Zenlayer
|21859
|https://www.zenlayer.com/global-network/performance/
|[[Arquivo:Sim.png|semmoldura]]
|[[Arquivo:Não.png|semmoldura]]
|-
|}

==== <big>Destaques</big> ====
* Looking Glass da Fasternet que exibe validação RPKI e mostra um mapa interativo da rota (<nowiki>https://lg.fasternet.com.br</nowiki>)
* Looking Glass da Gcore que mostra um mapa visual da rota (<nowiki>https://lg.gcorelabs.com/</nowiki>)
* Looking Glass ALICE do IX.br, que agrega várias tabelas de IXs em diferentes cidades (<nowiki>https://lg.ix.br</nowiki>)

* Looking Glass da NLNOG que mostra uma visão de múltiplos route-servers (<nowiki>http://lg.ring.nlnog.net</nowiki>)

==== <big>Looking Glass mais aguardado</big> ====
* ISPTools em http://www.isptools.com.br/lg
[[Arquivo:Kisspng-emoji-sadness-emoticon-smiley-clip-art-sad-emoji-png-clipart-5a73fc019d1bb8.4272949715175505936435.png|esquerda|semmoldura|66x66px]]
*
*
.
==== <big>Ausências importantes:</big> ====
Redes importantes que '''não disponibilizam''' um Looking Glass BGP:

.

* Telefônica Vivo
* TIM
* Oi
* Copel
* Amazon
* Google
* Microsoft
* Akamai
[[Categoria:Interconexão]]
__INDEXAR__
[[Categoria:Roteamento]]