Firewall: o que é, como funciona e como ativar

Firewall é um filtro de segurança que decide quais conexões podem entrar e sair de um computador ou de uma rede, com base em regras como endereço IP, porta e protocolo. Você provavelmente já tem dois: o do sistema operacional (o Firewall do Windows vem ligado por padrão; o do macOS vem desligado) e o do roteador ou da ONT da operadora.

Neste guia você vai entender como o firewall funciona por dentro, os tipos que existem, como ativar e verificar a proteção no Windows, no Mac, no Linux, no celular e no roteador, como liberar um programa sem desligar tudo e o que fazer quando ele bloqueia a internet. Para checar de fora se alguma porta da sua conexão está aberta, use a ferramenta Verificar porta aberta.

O que é firewall

O nome vem das paredes corta-fogo das construções, que impedem que um incêndio passe de um ambiente para outro. Na rede, o firewall fica entre a internet e os seus aparelhos (ou entre um aparelho e o resto da rede) e examina cada pacote. Para cada um, aplica uma de três ações:

• Permitir (allow): o pacote segue para o destino.
• Descartar (drop): o pacote é jogado fora em silêncio, e quem enviou não recebe resposta.
• Rejeitar (reject): o pacote é descartado e o remetente recebe um aviso de que a conexão foi recusada.

Firewall de rede x firewall do aparelho

O firewall de rede, ou de perímetro, protege todos os aparelhos de uma vez. Em casa, ele é um software que roda dentro do roteador ou da ONT; em empresas, costuma ser um equipamento dedicado. O firewall do aparelho roda no próprio computador e o protege inclusive de outros aparelhos da mesma rede, o que é importante em Wi-Fi compartilhado. O ideal é ter os dois ligados, uma estratégia conhecida como defesa em camadas.

Como um firewall funciona

Todo dado na internet viaja em pacotes, e cada pacote leva no cabeçalho o IP de origem, o IP de destino, as portas e o protocolo (TCP, UDP ou ICMP). É com essas informações que o firewall trabalha. Nos firewalls modernos, chamados stateful, o caminho de um pacote é este:

É por isso que você navega normalmente com o firewall ligado: as conexões que você inicia são liberadas, e as respostas voltam pela tabela de estados. O que fica bloqueado são as tentativas de conexão que chegam de fora sem ninguém ter pedido.

Tipos de firewall

Stateless (sem estado)

Analisa cada pacote isoladamente, só pelo cabeçalho. É simples e rápido, mas não sabe se um pacote faz parte de uma conversa legítima, o que exige regras mais amplas e mais fáceis de enganar.

Stateful (com estado)

Mantém uma tabela com as conexões ativas e só aceita respostas que correspondam a algo que saiu da rede. É o tipo usado nos roteadores domésticos e nos firewalls do Windows, do macOS e do Linux.

Firewall de próxima geração (NGFW)

Usado em empresas, soma ao modelo stateful a inspeção do conteúdo dos pacotes, a identificação de aplicativos, a prevenção de intrusões e listas de ameaças atualizadas pelo fabricante.

Firewall de aplicação web (WAF)

Protege sites e APIs, analisando requisições HTTP e HTTPS em busca de ataques como injeção de SQL e cross-site scripting. Também ajuda contra ataques DDoS na camada de aplicação. Em nuvem, os “grupos de segurança” dos servidores cumprem o papel de firewall de rede.

Como ativar e verificar o firewall

Windows 11

O Firewall do Windows vem ativo por padrão. Para conferir, abra Configurações, Privacidade e segurança, Segurança do Windows, Firewall e proteção de rede. Aparecem três perfis (rede de domínio, rede privada e rede pública), e cada um deve mostrar o firewall ativado. Por padrão, ele bloqueia conexões de entrada não solicitadas e libera todo o tráfego de saída; bloquear saídas exige regras manuais na ferramenta avançada (comando wf.msc).

Para verificar pelo terminal:

netsh advfirewall show allprofiles state
Get-NetFirewallProfile | Format-Table Name, Enabled

No Windows 10 o caminho é parecido, mas o sistema deixou de receber suporte em 14 de outubro de 2025, e só recebe correções quem aderiu ao programa de Atualizações de Segurança Estendidas (ESU). Um firewall ativo não compensa um sistema sem atualizações.

macOS

No Mac, o firewall vem desligado. Para ativar, abra o menu Apple, Ajustes do Sistema, Rede, Firewall (talvez seja preciso rolar a tela) e ligue a opção. Em Opções, você pode:

• escolher quais apps podem receber conexões de entrada;
• marcar Bloquear todas as conexões de entrada, que deixa passar só os serviços básicos, útil em redes públicas;
• ativar o modo discreto, que faz o Mac não responder a sondagens usadas para descobrir aparelhos na rede.

Linux

Cada distribuição usa uma ferramenta diferente sobre o mesmo mecanismo do kernel. No Ubuntu e derivados, o mais comum é o UFW; no Fedora e na família Red Hat, o firewalld; por baixo de ambos, as distribuições atuais usam o nftables.

sudo ufw status verbose
sudo firewall-cmd --state
sudo nft list ruleset

Android e iPhone

Os sistemas de celular não oferecem um firewall configurável pelo usuário. Eles isolam os aplicativos uns dos outros e, nas redes móveis, o CGNAT da operadora costuma impedir conexões de entrada pelo IPv4. O que você pode fazer é limitar o acesso por aplicativo: no iPhone, em Ajustes, Celular, é possível desligar os dados móveis app por app; no Android, a tela de uso de dados de cada aplicativo permite restringir dados em segundo plano. Também há aplicativos de firewall para Android que funcionam como uma VPN local e bloqueiam a internet de apps escolhidos, com a limitação de ocupar a vaga de VPN do aparelho.

Roteador e ONT

O firewall do roteador costuma vir ativo de fábrica, mas vale entrar no painel e revisar. O endereço muda conforme o fabricante e a operadora: 192.168.0.1, 192.168.1.1, 192.168.15.1 (comum em equipamentos da Vivo) e 192.168.100.1 estão entre os mais usados. Se nenhum funcionar, veja como descobrir o IP do roteador ou consulte o guia de roteadores. No painel, confira:

• firewall (às vezes chamado de SPI) ativado;
• firewall de IPv6 ativado, se a conexão tiver IPv6;
• administração remota pela internet (WAN) desativada;
• WPS desativado e senha de administração trocada;
• nenhum redirecionamento de porta ou DMZ que você não reconheça.

Como liberar um programa no firewall sem desligá-lo

Quando um jogo, servidor ou programa de acesso remoto não recebe conexões, o caminho certo é criar uma exceção só para ele, nunca desligar o firewall inteiro.

No Mac, o processo é parecido: em Ajustes do Sistema, Rede, Firewall, Opções, clique no botão de adicionar, escolha o app e defina se ele pode receber conexões.

Lembre que liberar uma porta no firewall do computador não abre a porta no roteador. Para receber conexões da internet, também é preciso abrir a porta no roteador, e isso só funciona se você tiver um IP público próprio. Se a operadora usa CGNAT, nenhum redirecionamento resolve; confira no Teste de CGNAT. Para saber qual serviço usa cada número, consulte o guia de portas, e depois valide de fora com a ferramenta Verificar porta aberta.

Firewall bloqueando a internet ou um programa: o que fazer

• Veja se há outro firewall instalado. Suítes de segurança de terceiros substituem o Firewall do Windows e têm regras próprias; o bloqueio pode estar nelas.
• Confira o perfil da rede. No perfil público, o Windows desativa a descoberta de rede e o compartilhamento de arquivos e impressoras. Em uma rede de casa confiável, o perfil privado é o adequado.
• Restaure os padrões. Em Firewall e proteção de rede, a opção Restaurar firewalls ao padrão desfaz regras criadas por programas ou por engano.
• Desconecte a VPN e teste de novo: alguns aplicativos de VPN criam regras que bloqueiam tudo quando o túnel cai.
• Olhe o roteador. Controle dos pais, filtros por endereço MAC e bloqueios por horário também cortam a internet de aparelhos específicos.

UPnP, DMZ e redirecionamento de portas: os furos no firewall

Todo firewall doméstico tem formas de abrir exceções para conexões de entrada, e cada uma tem um custo:

• UPnP: deixa aplicativos e consoles abrirem portas sozinhos no roteador. É prático e resolve o “NAT estrito” de PlayStation e Xbox, mas qualquer programa da rede pode usá-lo, inclusive um malicioso. Se você desativar, configure as portas do jogo manualmente; o guia NAT estrito: como resolver mostra o passo a passo.
• Redirecionamento manual de portas: você escolhe exatamente qual porta vai para qual aparelho. É a opção mais controlada. Evite expor serviços sensíveis, como a área de trabalho remota (porta 3389) e o SSH (porta 22), sem proteção adicional.
• DMZ: manda para um único aparelho todas as conexões que chegam, sem filtro. Na prática, desliga o firewall do roteador para aquele aparelho e deve ser evitada. Se você precisa que outro roteador receba tudo, o modo bridge costuma ser a solução mais limpa.

E no IPv6?

No IPv4, o NAT do roteador já impede, como efeito colateral, que conexões de fora cheguem aos aparelhos da casa. No IPv6 não há NAT: cada aparelho recebe um endereço público. Toda a proteção depende do firewall do roteador ou da ONT bloquear conexões de entrada não solicitadas. Como mais da metade dos usuários de internet no Brasil já tem IPv6 (cerca de 59% em outubro de 2026, segundo o APNIC Labs), vale confirmar no painel que o firewall de IPv6 está ativo. Veja se a sua conexão tem IPv6 no Teste de IPv6 e entenda as diferenças em IPv4 vs IPv6.

O que o firewall não faz

• Não esconde o seu IP. Para isso servem VPN, proxy e Tor; veja como esconder e proteger seu IP.
• Não segura um DDoS que lota a sua banda. O tráfego congestiona o link antes de chegar ao roteador; só o provedor consegue filtrar.
• Não detecta vírus em arquivos nem impede que você seja enganado por um site falso.
• Não bloqueia, por padrão, o que sai do computador. Um programa malicioso já instalado geralmente consegue se comunicar, a menos que existam regras de saída ou uma solução de segurança corporativa.

Conclusão

O firewall é a proteção mais básica de qualquer rede: deixa passar o que você pediu e barra as conexões que chegam sem convite. Confira hoje três pontos: o firewall do sistema ativo (no Mac, ligue-o), o firewall do roteador ativo, inclusive para IPv6, e nenhuma porta aberta sem motivo. Quando algo não funcionar, crie uma exceção específica em vez de desligar a proteção, e use a ferramenta Verificar porta aberta para ver a sua conexão como alguém de fora a vê.