Questão de Redes de Computadores — Tópicos Mesclados de Principais Protocolos de Redes — FGV 2025

Firewall stateless e a falha no serviço TFTP

Gabarito: letra C. O serviço que deixará de estar disponível é o TFTP, porque o firewall descrito é do tipo stateless (sem estado) — ele analisa cada pacote isoladamente, sem rastrear conexões — e a regra II libera apenas as portas 20 e 21 (FTP), enquanto o TFTP usa a porta 69/UDP. Como o firewall não mantém estado, as respostas do servidor TFTP (que partem da porta 69) não são reconhecidas como parte de uma sessão já estabelecida e são bloqueadas pela regra padrão de negação.

O firewall descrito na questão é um firewall de filtragem de pacotes stateless. Esse tipo de equipamento opera nas camadas 3 (Rede) e 4 (Transporte) do modelo OSI, inspecionando os cabeçalhos dos pacotes e tomando decisões com base em critérios como endereço IP de origem e destino, número da porta e protocolo (TCP ou UDP). A característica fundamental do firewall stateless é que ele não mantém uma tabela de estados das conexões ativas: cada pacote é analisado individualmente, sem considerar se faz parte de uma sessão já estabelecida. Por isso, ele requer regras explícitas tanto para os pacotes de ida quanto para os de volta.

Em contrapartida, o firewall stateful (com estado) é capaz de acompanhar o estado das conexões ativas. Ele verifica se um pacote faz parte de uma sessão já estabelecida e, assim, permite que a resposta de uma requisição iniciada de dentro da rede seja aceita automaticamente, mesmo sem uma regra explícita para o tráfego de entrada. Essa é a diferença crucial que a questão explora.

Vamos analisar cada serviço da rede de servidores e como as regras do firewall os afetam:

• HTTP (porta 80/TCP) e HTTPS (porta 443/TCP): A regra I permite o tráfego de entrada da Internet para o Srv Web nas portas 80 e 443, com protocolo TCP. Como o HTTP e o HTTPS são protocolos orientados à conexão (TCP), o fluxo de resposta do servidor para o cliente externo ocorre na mesma conexão TCP estabelecida. O firewall stateless, ao ver o pacote de resposta (que parte da porta 80 ou 443 do servidor para uma porta efêmera do cliente), precisa de uma regra que o permita. A regra V permite todo o tráfego de saída da Net Srv para a Internet, com qualquer protocolo e porta. Portanto, as respostas HTTP e HTTPS são permitidas pela regra V. O serviço web funciona.

• DNS (porta 53/UDP): A regra III permite o tráfego de entrada da Internet para o Srv Nomes na porta 53, com protocolo UDP. O DNS é um protocolo sem conexão (UDP). A requisição do cliente externo chega ao servidor na porta 53. A resposta do servidor DNS parte da porta 53 do servidor para uma porta efêmera do cliente. Essa resposta é um pacote de saída da Net Srv para a Internet, e a regra V permite todo o tráfego de saída. Portanto, o serviço DNS funciona.

• NTP (porta 123/UDP): A regra IV permite o tráfego de entrada da Internet para o Srv Horas na porta 123, com protocolo UDP. O NTP é um protocolo sem conexão (UDP). A requisição do cliente externo chega ao servidor na porta 123. A resposta do servidor NTP parte da porta 123 do servidor para uma porta efêmera do cliente. Essa resposta é um pacote de saída da Net Srv para a Internet, e a regra V permite todo o tráfego de saída. Portanto, o serviço NTP funciona.

• TFTP (porta 69/UDP): A regra II permite o tráfego de entrada da Internet para o Srv Web nas portas 20 e 21, com protocolo UDP. No entanto, o TFTP (Trivial File Transfer Protocol) utiliza a porta 69/UDP. A regra II não libera a porta 69, apenas as portas 20 e 21 (que são do FTP). Portanto, as requisições TFTP de clientes externos são bloqueadas pelo firewall, pois não há regra que permita o tráfego para a porta 69. O serviço TFTP não fica disponível na internet.

A pegadinha da questão está em associar as portas 20 e 21 ao TFTP, quando na verdade essas portas são do FTP. O TFTP usa a porta 69. Além disso, a questão explora o conhecimento sobre o funcionamento de firewalls stateless, que não rastreiam o estado das conexões e, portanto, não permitem automaticamente as respostas de serviços que usam portas diferentes da porta de origem da requisição.

Alternativa A — ❌ Incorreta

O serviço web por meio do protocolo HTTP funciona. A regra I permite o tráfego de entrada na porta 80/TCP, e a regra V permite o tráfego de saída. Como o HTTP é orientado à conexão (TCP), as respostas do servidor são permitidas pela regra V.

Alternativa B — ❌ Incorreta

O serviço web por meio do protocolo HTTPS funciona. A regra I permite o tráfego de entrada na porta 443/TCP, e a regra V permite o tráfego de saída. Como o HTTPS é orientado à conexão (TCP), as respostas do servidor são permitidas pela regra V.

Alternativa C — ✅ Correta ⟵ GABARITO

O serviço de envio de arquivos para atualização de páginas web por meio do protocolo TFTP não funciona. A regra II libera apenas as portas 20 e 21 (FTP), mas o TFTP usa a porta 69/UDP. Como não há regra que permita o tráfego de entrada para a porta 69, as requisições TFTP são bloqueadas. O serviço fica indisponível.

Alternativa D — ❌ Incorreta

O serviço de tradução de nomes por meio do sistema DNS funciona. A regra III permite o tráfego de entrada na porta 53/UDP, e a regra V permite o tráfego de saída. As respostas do servidor DNS são permitidas pela regra V.

Alternativa E — ❌ Incorreta

O serviço de horas por meio do protocolo NTP funciona. A regra IV permite o tráfego de entrada na porta 123/UDP, e a regra V permite o tráfego de saída. As respostas do servidor NTP são permitidas pela regra V.

Gabarito: letra C