O utilizador original tinha um problema de segurança real com IPv6: o ISP transferiu-o para MAP-E, o encaminhamento normal de portas IPv4 deixou de ser útil e os serviços ficaram acessíveis através de IPv6. Precisava de uma porta UDP de entrada para uma VPN, mas não queria expor todos os serviços do ZimaOS à Internet pública.
O tópico também contém uma correção importante. Inicialmente, um membro da comunidade afirmou que o comando nft já estava presente. O autor original testou o sistema e descobriu que nem o binário nem os ficheiros de configuração esperados existiam. O membro retirou então a afirmação, e outro utilizador resumiu corretamente a distinção da plataforma: Buildroot, não Debian.
A versão de 2025 não tinha um editor integrado de regras de firewall
O autor original não encontrou uma interface Web nem um editor de regras CLI que permitisse definir explicitamente uma lista de permissões/negações IPv6. Queria expor apenas uma porta UDP da VPN, bloqueando simultaneamente outro tráfego não solicitado da Internet.
O tópico público não contém nenhuma resposta de um funcionário da IceWhale a anunciar uma interface de firewall nativa.
As primeiras instruções sobre nftables estavam erradas para essa versão do ZimaOS
Um membro da comunidade presumiu que, como muitas distribuições Linux incluem o nft, o ZimaOS também o incluía. O utilizador original testou:
-
sudo nft; -
sudo /usr/sbin/nft; - o caminho de configuração esperado do nftables.
Nenhum deles existia. O membro corrigiu explicitamente a resposta anterior.
O ZimaOS não é uma instalação Debian minimalista
Isto é importante porque os tutoriais de firewall começam frequentemente com apt install nftables ou ufw. O ZimaOS baseia-se no Buildroot, não dispõe de um fluxo normal de pacotes APT e mantém a maior parte da camada do sistema imutável.
Não converta um guia genérico de firewall para Debian em comandos do ZimaOS sem confirmar os binários e o modelo de persistência da versão atual.
As definições de rede públicas atuais continuam centradas em interfaces, IP, DNS e acesso remoto
A documentação de rede atual da IceWhale disponibiliza o estado da Ethernet física, a configuração de IP por DHCP/manual, o gateway, o DNS e o acesso remoto. Não publica um fluxo integrado para regras de firewall personalizadas.
Use as definições de rede atuais do ZimaOS como referência suportada.
Evite a exposição pública quando um túnel seguro resolve o caso de utilização
A comunidade da fonte sugeriu o Tailscale ou o Cloudflare Tunnel para serviços que não precisam de aceitar tráfego de entrada arbitrário da Internet. O ZimaOS atual também disponibiliza o seu próprio acesso remoto P2P encriptado através do ZimaClient.
Um túnel privado reduz o número de serviços que precisam de escutar publicamente em IPv4/IPv6 e evita transformar o NAS numa firewall de perímetro generalista.
Um serviço VPN à escuta é um caso mais difícil
O autor original precisava especificamente de uma porta UDP de entrada para uma VPN, pelo que “nunca exponha nada” não respondia ao requisito. Nessa arquitetura, um router/firewall a montante com filtragem IPv6 é frequentemente o limite de segurança mais simples, pois pode permitir a porta da VPN e descartar tráfego não solicitado sem relação antes de este chegar ao ZimaOS.
Mais tarde, a comunidade criou o ZFW como módulo de firewall do anfitrião para o ZimaOS
Em maio de 2026, o programador da comunidade Lintux lançou o ZFW, uma firewall do anfitrião baseada em systemd-sysext, com um mosaico no painel. Disponibiliza listas de permissões para portas nativas, controlos para portas publicadas pelo Docker, filtragem compatível com IPv6, uma vista de exposição em tempo real e um mecanismo de reversão temporizada Safe-Apply.
As versões atuais continuam a evoluir em paralelo com as alterações do ZimaOS, incluindo correções para mudanças no backend do iptables e para a própria malha de acesso remoto do ZimaOS. Consulte o projeto comunitário ZFW atual e as notas de compatibilidade antes de o instalar.
O ZFW não é uma firewall integrada da IceWhale
O ZFW é software comunitário substancial, mas funciona na camada de rede do anfitrião e pode bloquear o SSH, o terminal Web, as portas publicadas pelo Docker ou o tráfego de acesso remoto se as regras ou a compatibilidade da versão estiverem incorretas.
Mantenha acesso à consola local ou outro método de reversão ao testar qualquer extensão de firewall do anfitrião.
As portas publicadas pelo Docker requerem atenção especial
Uma firewall do anfitrião que filtre apenas o tráfego INPUT normal pode não detetar o tráfego publicado pelos contentores, dependendo do percurso de rede do Docker. Por este motivo, o design do ZFW trata explicitamente da cadeia DOCKER-USER.
Ao expor aplicações, inventarie tanto os serviços nativos à escuta do ZimaOS como as portas publicadas pelo Docker, em vez de presumir que uma única lista de portas do anfitrião mostra toda a realidade.
O IPv6 deve ser testado a partir de uma rede IPv6 externa real
Os testes na LAN podem mostrar que tudo funciona, enquanto a exposição através de IPv6 público se comporta de forma diferente. Valide a regra a partir de uma rede externa real e confirme que apenas o serviço/porta pretendido está acessível.
Perguntas frequentes sobre a firewall do ZimaOS
O nftables estava disponível na versão da fonte de 2025?
O autor original testou e descobriu que o binário nft não estava presente; o membro corrigiu a sua suposição anterior.
A documentação pública atual do ZimaOS mostra uma interface nativa para regras de firewall personalizadas?
O guia de rede atual documenta controlos de interface/IP/DNS/acesso remoto, não um editor de regras de firewall personalizadas.
O ZFW é uma firewall oficial da IceWhale?
Não. É um módulo comunitário de firewall do anfitrião e deve ser tratado como software de sistema de terceiros.
