Como Abrir Portas no OPNsense: Guia de Port Forwarding e NAT
Aprenda a configurar NAT e Port Forwarding no OPNsense 26.7 usando o novo menu Rules [new]. Guia completo com testes e dicas de segurança.
Editor TecDicas
Como Abrir Portas no OPNsense 26.7: Guia de NAT e Port Forwarding (Com Testes)
Se você já instalou o seu firewall e isolou a rede interna com sucesso, o próximo desafio de qualquer administrador de infraestrutura é permitir o acesso externo controlado. Como acessar aquele servidor RDP de casa? Ou como publicar um servidor Web HTTPS para a internet?
Neste guia completo do TecDicas, vamos desmistificar a configuração de NAT (Network Address Translation) e Port Forwarding (DNAT) no OPNsense 26.7.
Vamos explorar a nova interface de regras (Rules [new]) e elevar o nível técnico realizando testes práticos de conectividade com ferramentas profissionais como PortQueryUI e Hercules.
📌 Ainda não tem o firewall rodando? Antes de prosseguir com este guia, confira o nosso artigo anterior onde ensinamos o passo a passo completo de como instalar o OPNsense no VirtualBox.
Entendendo o Cenário do nosso Laboratório
Para que o roteamento funcione perfeitamente, precisamos definir quem é quem na nossa topologia de rede. Neste tutorial, vamos trabalhar com o seguinte escopo:
IP da WAN (Simulando IP Fixo da Internet): 192.168.0.254
Gateway da WAN: 192.168.0.1
Rede LAN (Interna): 192.168.1.0/24
IP do Servidor Interno (Alvo): 192.168.1.2
O nosso objetivo é fazer com que qualquer requisição que chegue no IP público (WAN) nas portas 3389 (RDP) e 443 (HTTPS) seja entregue de forma transparente ao nosso servidor interno.
Passo 1: Preparando a Interface WAN (IP Fixo)
Antes de criar as regras de redirecionamento, precisamos garantir que a nossa porta de entrada tenha um endereço fixo conhecido.
Acesse o painel do OPNsense e navegue até Interfaces > WAN.
Altere o tipo de configuração IPv4 para Static IPv4.
No campo IPv4 address, insira 192.168.0.254 com a máscara 24.
Em IPv4 Upstream Gateway, certifique-se de selecionar ou criar o gateway apontando para 192.168.0.1.
Nota: Caso o gateway 192.168.0.1 não apareça como opção disponível no menu suspenso, deixe este campo em branco por enquanto, salve as alterações e prossiga para o Passo 2 para criá-lo manualmente. Depois, retorne aqui para associá-lo.
Salve e aplique as alterações.
Passo 2: Cadastrando e Associando o Gateway WAN
Agora que a interface WAN está configurada com o IP estático, vamos cadastrar o gateway e vinculá-lo corretamente no OPNsense:
No painel de navegação esquerdo, vá em Sistema > Gateways > Configuração.
Clique no botão + Add (Adicionar) no canto inferior direito para criar um novo gateway (caso ele não tenha sido gerado automaticamente).
Preencha os campos com as seguintes informações:
Name: WAN_Gateway (ou um nome de sua preferência sem espaços).
Interface: Selecione WAN.
IP Address: Insira o endereço do seu gateway padrão (192.168.0.1).
Description: (Opcional) Ex: Gateway principal da rede.
Clique em Save (Salvar).
No topo da tela, clique no botão Apply Changes (Aplicar alterações) para efetivar a configuração.
Passo 3: Associando o Gateway na Interface WAN
No painel esquerdo do OPNsense, vá novamente em Interfaces > WAN.
Role a página até encontrar a seção de configurações IPv4 Upstream Gateway.
No menu suspenso (dropdown) desse campo, selecione o gateway que você acabou de criar (WAN_Gateway ou o IP 192.168.0.1).
Role até o final da página e clique no botão Save (Salvar).
Clique no botão Apply Changes (Aplicar alterações) que aparece no topo da tela para gravar a alteração definitivamente.
Com isso, a interface WAN fica com o IP fixo devidamente casado com o seu gateway padrão, garantindo que o tráfego de saída da rede saia pela rota correta.
Passo 4: Configurando o DNAT e Port Forwarding no OPNsense 26.7
A partir da versão 26.7, o OPNsense introduziu atualizações na forma como gerencia as regras com o menu Rules [new]. A lógica de NAT continua robusta, e a criação automática de regras de firewall facilita muito o nosso trabalho.
Vamos criar os nossos dois redirecionamentos principais:
Regra 1: Liberando o Acesso RDP (Porta 3389)
Navegue até Firewall > NAT > Destination NAT e adicione uma nova regra.
Descrição: Acesso RDP Servidor Interno.
Interface: WAN
Protocol: TCP
Endereço de Origem: qualquer um (any)
Porta de Origem: qualquer um (any)
Destination: WAN address
Destination port range: MS-WBT-SERVER (ou digite 3389).
Redirect target IP: Host único, 192.168.1.2 (IP do nosso servidor na LAN).
Redirect target port: MS-WBT-SERVER (ou digite 3389).
Opção Crucial: Certifique-se de que a opção Register Rule (ou Add associated filter rule) está ativada. Isso diz ao OPNsense para ir até o menu de Firewall e criar a permissão de entrada automaticamente.
Salve a regra e Aplique a configuração
Regra 2: Publicando o Servidor Web (Porta 443)
Repita o processo exato acima, mudando apenas as portas:
Navegue até Firewall > NAT > Destination NAT e adicione uma nova regra.
Descrição: Acesso WEB Servidor Interno.
Interface: WAN
Protocol: TCP
Endereço de Origem: qualquer um (any)
Porta de Origem: qualquer um (any)
Destination: WAN address
Destination port range: HTTPS (ou digite 443)
Redirect target IP: Host único, 192.168.1.2 (IP do nosso servidor na LAN).
Redirect target port: HTTPS (ou digite 443)
Opção Crucial: Certifique-se de que a opção Register Rule (ou Add associated filter rule) está ativada. Isso diz ao OPNsense para ir até o menu de Firewall e criar a permissão de entrada automaticamente.
Salve a regra e Aplique a configuração
Dica Prática: Para ganhar tempo ao criar regras adicionais (como liberar outra porta para o mesmo servidor), você pode clicar no ícone de Clonar na regra existente. O OPNsense vai abrir uma cópia exata, basta você alterar apenas o nome da descrição e as portas de origem/destino desejadas, sem precisar redigir tudo do zero.
Passo 5: Testando a Conectividade como um Profissional
Regras aplicadas? É hora de validar se o tráfego está realmente passando pelo firewall e chegando ao servidor interno. Para sair do básico, vamos usar ferramentas de diagnóstico.
⚠️ Atenção: Para que qualquer teste de porta funcione com sucesso, lembre-se de que o serviço correspondente precisa estar ativado e rodando no servidor interno (192.168.1.2). Se o serviço estiver desligado, o OPNsense entregará o pacote, mas o servidor recusará a conexão.
Aqui vamos usar dois utilitários:
PortQueryUI, ferramenta para consultar portas abertas.
Baixe aqui: https://www.microsoft.com/en-us/download/details.aspx?id=24009
Hercules, para emular uma porta de serviço.
Baixe aqui: https://www.hw-group.com/software/hercules-setup-utility
Validando a porta 3389 com PortQueryUI: A partir de um computador externo (simulando a internet na rede 192.168.0.x), abra o utilitário da Microsoft PortQueryUI.
Certifique-se de que a Área de Trabalho Remota (RDP) está habilitada e ativa no seu Windows Server interno (192.168.1.2).
Digite o IP da WAN do OPNsense (192.168.0.254).
Faça a consulta na porta 3389.
O resultado esperado é o status LISTENING, confirmando que o firewall redirecionou o pacote e o servidor Windows respondeu.
Simulando e validando a porta 443 com Hercules e PortQueryUI: Como você está utilizando o Hercules para simular um serviço TCP na porta 443 (e não um servidor web HTTP/HTTPS completo), o teste de digitação no navegador (https://...) falharia por incompatibilidade de protocolo. O correto para validar essa simulação é usar o mesmo utilitário de diagnóstico:
No servidor interno (192.168.1.2), abra o Hercules SETUP utility e inicie o servidor TCP (TCP Server) escutando na porta 443 (garantindo que o serviço esteja ativo e escutando).
A partir de um computador externo, abra o PortQueryUI.
Aponte para o IP da WAN do OPNsense (192.168.0.254) e faça a consulta na porta 443.
O status LISTENING indicará que o pacote atravessou o OPNsense e foi recebido pelo Hercules no servidor interno, provando que o fluxo de rede do Port Forwarding está perfeito!
Passo 6: Refinando a Segurança - Filtro por IP
Abrir portas para o mundo todo (origem Any) funciona para testes, mas em um ambiente de produção real, expor a porta 3389 (RDP) é um grande risco de segurança. A melhor prática é restringir quem pode acessar esse NAT.
Dica para OPNsense 26.7: Como a opção Register Rule (ou Add associated filter rule) estava ativa na criação do NAT, você pode ir direto em Firewall > NAT > Destination NAT, editar a regra da porta 3389 e alterar a origem diretamente por lá, pois o OPNsense atualiza o filtro de firewall associado de forma automática e integrada.
No OPNsense, vá até o menu Firewall > NAT > Destination NAT.
Edite a regra referente à porta 3389 criada anteriormente.
No campo Source (Origem), mude de any para Single host or Network.
Insira o IP público (ou IP da rede externa) do escritório ou do cliente que está autorizado a acessar o servidor.
Salve e aplique.
Faça um teste tentando acessar o RDP por uma máquina não autorizada. O OPNsense fará o bloqueio imediato (Drop), mostrando a eficácia do controle de acesso!
Conclusão: Domine a Segurança e Conectividade no OPNsense
Dominar o NAT e o Port Forwarding é um passo essencial e indispensável para qualquer profissional de TI, SysAdmin ou entusiasta de redes que busca gerenciar infraestruturas corporativas com máxima eficiência e segurança.
Neste guia, você aprendeu na prática como publicar serviços internos (como RDP na porta 3389 e HTTPS na porta 443), manipular a nova interface de regras Rules [new] do OPNsense 26.7 e validar o tráfego de ponta a ponta utilizando ferramentas profissionais de diagnóstico como o PortQryUI e o Hercules.
Manter suas regras de firewall e redirecionamentos configurados corretamente evita brechas de segurança graves, protege sua rede contra varreduras maliciosas e garante que suas aplicações funcionem sem gargalos.
Perguntas Frequentes (FAQ) — OPNsense & Port Forwarding
1. Por que a porta continua fechada mesmo após criar o Port Forward no OPNsense?
Existem três motivos principais para isso acontecer:
Serviço Inativo: O serviço no servidor interno (como RDP ou Web) está desligado ou não está escutando na porta correta.
Firewall Local do Host: O Windows Firewall (ou Linux iptables) do servidor de destino está bloqueando as conexões vindas de fora da sub-rede local.
CGNAT do Provedor: Seu provedor de internet (ISP) pode estar utilizando CGNAT na WAN, o que impede a recepção de conexões diretas sem um IP público válido.
2. O que é a opção "Register Rule" no OPNsense 26.7?
A opção Register Rule (ou Associated Filter Rule) instrui o OPNsense a criar automaticamente a regra de liberação de entrada no firewall correspondente ao NAT. Sem ela ativa, você precisará ir manualmente ao menu Firewall > Rules [new] > WAN e criar uma regra de permissão para a porta solicitada.
3. É seguro abrir a porta 3389 (RDP) diretamente para a internet?
Não é recomendado em ambientes de produção. Expor a porta 3389 padrão atrai ataques automatizados de força bruta e varreduras de vulnerabilidades. Se precisar abrir a porta, utilize a técnica de Filtro por IP (restringindo o acesso apenas a IPs conhecidos) ou altere a porta externa de entrada para uma porta alta não padrão (ex: 55000).
4. Qual a diferença entre NAT de Entrada (DNAT) e NAT de Saída (SNAT)?
DNAT (Destination NAT / Port Forwarding): Altera o IP de destino dos pacotes vindos da internet para direcioná-los a um servidor da rede interna (LAN).
SNAT (Source NAT / Outbound NAT): Altera o IP de origem dos computadores da rede interna para que todos naveguem na internet utilizando o único IP público da WAN.
⚡ Quer ser avisado sempre que sair um tutorial novo?
Criei um canal gratuito no WhatsApp com um único objetivo: te notificar na hora assim que um novo artigo for publicado.
Entre no canal para não perder nenhuma novidade importante!
👉 https://whatsapp.com/channel/0029Vb8Qa6JJ93watGG35F0c
“Assim que entrar, não esqueça de ativar o sininho (notificações) para receber os avisos!”
Mais Dicas de Tecnologia para Você:
Se este tutorial te ajudou a melhorar o desempenho do seu computador, confira outros guias práticos que preparamos para otimizar, proteger e manter os seus dispositivos sempre funcionando:
Guia do No-Break para Home Office: Como Manter o PC e a Internet Online no Apagão— Descubra como escolher a potência certa e garantir resiliência digital para trabalhar sem quedas de energia.
Celular e PC com IA: O que Muda de Verdade? — Saiba se vale a pena investir nas novas tecnologias e processadores com chips de inteligência artificial nativa.
Por que os Eletrônicos Ficaram Mais Caros? — Entenda como a escassez global de componentes e a corrida das Big Techs inflacionaram o preço do hardware.
Como Usar o Compactador de PDF Online e Gratuito — Aprenda a reduzir o tamanho de arquivos pesados direto no seu navegador com total privacidade.
🛠️ Conheça as Ferramentas Online com Privacidade Total do TecDicas
Precisa resolver uma tarefa rápida no seu dia a dia digital com segurança máxima? Na nossa seção de Ferramentas, todos os utilitários rodam direto no navegador da sua máquina.
🔒 Segurança Absoluta: Chega de baixar programas suspeitos ou fazer upload de arquivos confidenciais. Como o processamento é 100% local, seus dados nunca saem do seu computador ou celular.
Acesse os nossos utilitários gratuitos mais acessados:
💡 Confira também nossos comparativos atualizados:
Melhores Celulares de Entrada em 2026: Qual Comprar até R$ 1.300
Melhor celular para idosos em 2026: simples, fácil de usar e com bom custo-benefício
Os 5 Melhores Notebooks Gamer de 2026 para Comprar no Brasil
Melhores SSD Custo-Benefício 2026: Guia Completo Para Escolher
Melhores Power Banks Baseus: 3 Modelos com Melhor Custo-Benefício em 2026