Proteção web: sites por categoria com inspeção opcional do tráfego criptografado, antivírus para downloads, perfis de uma só escolha para casa, escola e empresa, restrições de SafeSearch e YouTube, e uma visão de tráfego e aplicações no visualizador de logs.
EstávelData de lançamento:
Visão geral
O Nexwall Firewall 26.1.0 traz a proteção web para o firewall. Uma única escolha no assistente (Padrão, Escola ou Restrito) agora protege aplicações e sites ao mesmo tempo: as categorias de sites indesejadas são bloqueadas, as categorias que continuam permitidas mas merecem uma olhada são inspecionadas dentro do tráfego criptografado e cada download é analisado em busca de vírus. Os buscadores e o YouTube podem ser forçados aos modos seguros para crianças. O visualizador de logs mostra as aplicações e sites usados e os relatórios de tráfego ficam guardados por 35 dias. A partição do sistema é maior, o firewall tem swap e remover o armazenamento não pode mais apagá-lo por engano.
Versão
26.1.0
Situação
Versão estável
Plataforma
x86-64, boot UEFI
Sistema base
OpenWrt 25.12.5, kernel 6.12
Idiomas da interface
Inglês, espanhol, português do Brasil
Recursos licenciados
Teste incluído
Novidades
Os recursos abaixo são novos nesta versão.
Novo
Proteção web: bloqueio de sites por categoria
Escolha entre 59 categorias de sites (conteúdo adulto, jogos de azar, drogas, redes sociais, streaming, jogos, malware, phishing e mais, 5,4 milhões de domínios no primeiro catálogo) e aplique às suas redes internas ou a dispositivos escolhidos. As listas vêm do servidor de licenças da Nexwall e são atualizadas toda semana; no firewall só são instaladas as categorias que as suas regras usam. Os sites bloqueados são registrados e aparecem no visualizador de logs.
Novo
Inspeção do tráfego criptografado
Para as categorias que você escolher, o firewall abre a conexão criptografada pelo seu proxy web, confere o certificado do site (vencido, autoassinado, nome errado, autoridade desconhecida) e analisa o que é baixado. Cada firewall cria a sua própria autoridade certificadora, que você instala nos dispositivos inspecionados; sites de bancos, financeiros, de governo e de educação nunca são abertos. Um vigia retira o redirecionamento sozinho se o proxy deixar de responder, e a rede continua funcionando.
Novo
Antivírus para downloads
Os arquivos baixados por conexões inspecionadas (e os downloads web sem criptografia dos mesmos dispositivos) são analisados pelo ClamAV e por regras YARA. Um arquivo infectado é substituído por uma página de bloqueio e registrado. Você decide o que acontece com arquivos grandes demais e quando o analisador não está disponível (permitir ou bloquear). As assinaturas do ClamAV são baixadas automaticamente para o disco de armazenamento; as regras YARA (3.435 no lançamento) vêm do servidor de licenças.
Novo
Perfis que protegem os sites também
Os perfis Padrão, Escola e Restrito do assistente agora criam também as regras web: as categorias a bloquear, as a inspecionar, o antivírus e as opções para a família. O assistente mostra exatamente o que cada perfil faz. As regras criadas por um perfil são marcadas e podem ser editadas.
Novo
SafeSearch e modo restrito do YouTube
Uma regra pode forçar Google, Bing e DuckDuckGo à busca segura e colocar o YouTube no modo Estrito (para crianças) ou Moderado, para os dispositivos dessa regra. Funciona por DNS e alcança também dispositivos que usam outro servidor DNS. O perfil Escola liga o SafeSearch e o YouTube Estrito.
Novo
Tráfego e aplicações no visualizador de logs
Uma nova aba lista as conexões com a aplicação, o nome do site, origem, destino, bytes em cada sentido e duração. Ela só registra enquanto o visualizador está aberto e começa com as conexões abertas naquele momento, assim o log do sistema não se enche de registros de tráfego.
Novo
Licenças como pacote e complementos
A página de Assinatura lista Proteção web, Antivírus / Sandbox e Proteção avançada contra ameaças junto com Controle de aplicações, Proteção de rede, Filtragem DNS, Bloqueio de IP e geografia e VPN estendida (o pacote de segurança), e Proteção do ambiente de trabalho (ZTNA), Proteção de servidores web (WAF) e Proteção de e-mail (MTA) como assinaturas separadas. Os revendedores mantêm um conjunto de licenças e as aplicam aos firewalls; uma licença pode ser movida para outro firewall.
Melhorias e mudanças
Melhorado
Relatórios de tráfego guardados por 35 dias
Os relatórios de tráfego por hora, por dispositivo, aplicação, protocolo e site ficavam na memória e sumiam a cada reinício. Agora ficam no disco de dados por 35 dias.
Melhorado
Mais espaço na partição do sistema
A partição do sistema tem 1 GB em vez de 300 MB e a de boot 64 MB, e fica reservado espaço no disco para uma segunda cópia do sistema, o que prepara as atualizações seguras de dois compartimentos previstas para a próxima versão.
Melhorado
Swap para os serviços que mais usam memória
O firewall agora usa swap em memória comprimida e, em discos de 16 GB ou mais, um arquivo de swap no disco de dados, para que o antivírus, o proxy web e a prevenção de intrusão funcionem juntos com 4 GB.
Melhorado
Remover o armazenamento ficou mais seguro
Remover o armazenamento agora o desconecta e mantém a partição e os dados. Apagar a partição é uma escolha separada que precisa ser marcada, e a janela lista o que usa o armazenamento (assinaturas do antivírus, histórico do visualizador, relatórios de tráfego, swap). O antivírus é desligado quando o seu armazenamento sai.
Melhorado
Aba Controle de aplicações do visualizador de logs
O tráfego bloqueado agora aparece na aba Controle de aplicações do visualizador de logs; ele não aparecia por causa de um espaço no início do texto registrado.
Melhorado
QUIC recusado nos dispositivos inspecionados
Navegadores que tentam usar QUIC (UDP 443) em redes inspecionadas voltam para a conexão TLS inspecionada, e assim a inspeção e o antivírus não podem ser contornados desse jeito.
Problemas resolvidos
CorrigidoNXW-1020
A aba Controle de aplicações do visualizador de logs estava vazia
O tráfego bloqueado era registrado mas não aparecia na aba Controle de aplicações do visualizador de logs (aparecia em Tráfego do firewall), por causa de um espaço no início do texto registrado. Agora aparece.
Logs
CorrigidoNXW-1021
Relatórios de tráfego perdidos a cada reinício
Os relatórios de tráfego por hora ficavam na memória e sumiam quando o firewall reiniciava, e só cabiam os dias que entravam em 1 % da memória. Agora ficam no disco de dados e são mantidos por 35 dias.
Logs
CorrigidoNXW-1022
Remover o armazenamento apagava a sua partição
Remover o armazenamento apagava a partição e tudo o que havia nela. Agora ele apenas é desconectado; apagar a partição é uma escolha separada que precisa ser marcada.
Backup
CorrigidoNXW-1023
Partição do sistema pequena demais para pacotes adicionais
A parte gravável da partição do sistema tinha cerca de 213 MB e enchia ao acrescentar serviços como o antivírus. Agora a partição do sistema tem 1 GB. Firewalls instalados com uma imagem anterior mantêm o tamanho.
Desempenho
Problemas conhecidos
Problema conhecidoNXW-2001
Bloqueio por país sem licença
Sem licença, o bloqueio por país recorre às listas públicas do componente subjacente, que são baixadas a cada início do serviço e podem demorar. As listas de países da Nexwall exigem licença.
Solução alternativa: Ative a licença para usar as listas da Nexwall.
Bloqueio de IP e países
Problema conhecidoNXW-2002
Seleções grandes de listas de DNS
Recarregar o serviço DNS com cerca de 1,8 milhão de domínios bloqueados interrompe a resolução de nomes por cerca de dez segundos. As listas são recarregadas somente quando mudam, normalmente uma vez por dia.
Solução alternativa: Desative as categorias de que não precisa; o aviso de memória na página de listas de bloqueio DNS ajuda a escolher.
Filtragem DNS
Problema conhecidoNXW-2003
Assinaturas adicionais
Proteção de servidores web (WAF) e Proteção de e-mail (MTA) aparecem como assinaturas, mas suas funções ainda não estão disponíveis.
Licenciamento
Problema conhecidoNXW-2004
Tráfego criptografado
O Controle de aplicações e a Proteção de rede não decifram HTTPS. Reconhecem as aplicações pela conexão, pelo nome de domínio e pelo padrão de tráfego. A proteção web pode inspecionar categorias escolhidas do tráfego criptografado (veja NXW-2007).
Controle de aplicações
Problema conhecidoNXW-2005
Interface web pelo endereço IP
Abrir a interface web pelo endereço IP (por exemplo https://192.168.1.1) mostra um aviso de certificado no navegador, porque nenhuma autoridade pública emite certificados para endereços privados.
Solução alternativa: Use https://firewall.lan.nexwall.com.br (o computador deve usar o firewall como servidor DNS, o padrão com DHCP), ou http://192.168.1.1, que redireciona para esse endereço.
Interface web
Problema conhecidoNXW-2006
Estatísticas de bloqueios de DNS
Os domínios bloqueados são contados a partir do log DNS. Um firewall instalado antes do rc2 precisa do registro de consultas ativado em suas configurações DNS para exibi-los.
Solução alternativa: Ative o registro de consultas nas configurações DNS.
Filtragem DNS
Problema conhecidoNXW-2007
A inspeção precisa do certificado do firewall nos dispositivos
Os sites inspecionados mostram um aviso de certificado até que o certificado de inspeção do firewall seja instalado no dispositivo. Aplicações que fixam o certificado falham quando inspecionadas.
Solução alternativa: Instale o certificado (Proteção web, Inspeção) e adicione as aplicações com certificado fixo como exceções.
Proteção web
Problema conhecidoNXW-2008
O antivírus precisa do armazenamento de dados
O antivírus não inicia sem o armazenamento de dados, que guarda as suas assinaturas (cerca de 300 MB), e não fica ativo até terminar o primeiro download das assinaturas.
Solução alternativa: Confira a página Armazenamento; a página do antivírus mostra o estado de cada motor.
Proteção web
Problema conhecidoNXW-2009
As opções de SafeSearch e YouTube valem só para dispositivos
As opções para a família seguem os dispositivos e redes de uma regra, não contas de usuário. Ainda não há horários nem cotas de tempo, e um dispositivo que usa uma VPN ou a rede móvel fica fora do firewall.
Proteção web
Problema conhecidoNXW-2010
A taxa de transferência da inspeção não foi medida
A inspeção do tráfego criptografado usa um único processo de proxy web, por isso fica limitada a cerca de um núcleo de processador, e a velocidade que alcança ainda não foi medida. Só são inspecionadas as categorias que você indica.
Solução alternativa: Inspecione só as categorias de que precisa e deixe downloads grandes e streaming fora da lista inspecionada.
Desempenho
Problema conhecidoNXW-2011
A proteção avançada contra ameaças e a proteção do ambiente de trabalho ainda não têm funções
A proteção avançada contra ameaças, o Antivírus / Sandbox (a parte de sandbox) e a proteção do ambiente de trabalho (ZTNA) aparecem na licença, mas nesta versão só está disponível a parte de antivírus do Antivírus / Sandbox.
Licenciamento
Problema conhecidoNXW-2012
A aba de tráfego e aplicações começa quando o visualizador de logs é aberto
As conexões que terminaram antes de o visualizador de logs ser aberto não são registradas. A aba lista as conexões abertas naquele momento e tudo o que vem depois.
Logs
Versões dos componentes
As versões abaixo formam a imagem. A maioria é fixada por checksum, de modo que a imagem contém sempre exatamente estas versões. O pacote de assinaturas, o catálogo de aplicações e as listas de ameaças não fazem parte da imagem: são baixados e atualizados todos os dias.
Componente
Versão
Observações
Imagem
26.1.0
x86-64, UEFI, imagem de disco compactada
Fontes do firmware
main 437eb59
Commit do repositório público do firewall do qual a imagem é construída; a etiqueta da versão vem depois
Sistema base
OpenWrt 25.12.5
Kernel Linux 6.12, nftables 1.1
Interface web
1.5.0
Inglês, espanhol, português do Brasil
Componente de licenciamento
1.7.1
Atualiza-se pelo canal assinado; conhece os novos módulos de licença
Proteção web
0.5.0
Categorias, perfis, inspeção, controle do antivírus, opções de SafeSearch e YouTube
Serviços de proteção web
1.1.0
Serviço de análise, conector do proxy e vigia, com licença
Proxy web
Squid 7.1
Inspeção do tráfego criptografado, uma autoridade certificadora por firewall
Antivírus
ClamAV 1.4.3, YARA 4.5.0
Assinaturas baixadas pelo firewall; regras YARA do servidor de licenças
Categorias de sites
2026.10.06.1
59 categorias, 5,4 milhões de domínios (UT1, CC BY-SA 4.0); atualizadas toda semana
Regras YARA
2026.10.06.1
3.435 regras de coleções abertas e da Nexwall; atualizadas toda semana
Motor de classificação de tráfego
5.2.8 (versão 6)
Netify Agent com plugins da Nexwall
Plugins do motor de tráfego
1.0.1
Cinco plugins, compilados para a versão 6 do motor
Motor de prevenção de intrusões
Snort 3.10.0.0
Com o plugin de controle da Nexwall 1.0.1
Assinaturas de intrusão
pacote diário
Comunidade, regras abertas convertidas e Nexwall Labs; 2026.10.02.1 na publicação
Catálogo de aplicações
pacote diário
2026.10.02.1 na publicação
Listas de ameaças
2026.10.02.3
12 categorias de DNS, 2 listas de IP, listas por país; reconstruídas todos os dias
Histórico da versão
Como esta versão foi formada, da primeira imagem até a versão candidata.
Primeira imagem
Marca, nomes e arquivos de licenciamento da Nexwall; a imagem base iniciou em uma máquina virtual.
Código da Nexwall
A interface web, o monitoramento, o portal cativo e as verificações do Checkmk passam a ser compilados de repositórios da Nexwall; foram adicionados a aplicação de regras do Controle de aplicações e suas estatísticas; os serviços migraram para hosts da Nexwall; o erro de endereços de DNS e DHCP foi corrigido.
Primeira imagem somente Nexwall
Iniciou com a nova interface e a tradução para português; um túnel IPsec com um firewall de terceiros, um Active Directory remoto e o acesso remoto OpenVPN foram configurados e funcionaram.
Motor de tráfego 5.2.8 e plugins da Nexwall
O motor foi atualizado e os plugins de fluxos, estatísticas e saída HTTP foram verificados de ponta a ponta em uma unidade em funcionamento.
Ações do Controle de aplicações
O plugin de ações foi testado ao vivo; um ciclo de falhas e uma espera ativa que usava um núcleo de CPU inteiro foram encontrados e corrigidos, e os rótulos foram confirmados de ponta a ponta.
Catálogo, contabilização e logs
Foram construídos e testados o catálogo de aplicações da Nexwall, a correção da contabilização de tráfego, o visualizador de logs com rastreamento de regras ao vivo e o vigia de filas travadas.
Feed assinado e serviços licenciados
O feed de atualizações assinado, os tokens de recurso para Controle de aplicações, estatísticas e Proteção de rede, o serviço de assinaturas de intrusão e o plugin de controle da Proteção de rede.
Desempenho, listas de ameaças e padrões
Threads de inspeção, caminho rápido, distribuição de pacotes, buffers maiores e o Monitor do motor; nome da Proteção de rede e ação padrão Bloquear; atualização diária de assinaturas e catálogo; listas do Threat Shield, bloqueio por país e aviso de memória; regras padrão do firewall; interface web 1.3.6; a imagem da versão candidata.
Configuração guiada e licenciamento por módulo
Assistente com etapas de rede e segurança, assinaturas por módulo, registro sem código, chaves de ativar todas, correção do Visualizador de logs, interface web 1.3.7 e componente de licenciamento 1.6.0.
Seguro por padrão e endereço web confiável
Perfis de Controle de aplicações, proteção desde a primeira inicialização, assistente antes do login, certificado para firewall.nexwall.com.br, Visualizador de logs reformulado, análises de DNS e países, interface web 1.3.9.
Correções após testar o rc2
Instalação das assinaturas, pular o assistente sem login, regras de perfil editáveis, qualquer interface para novas regras do Controle de aplicações, registro de aplicações bloqueadas e de novas regras do firewall, rastreio ao vivo de Pacotes descartados, interface web 1.3.10.
Um certificado para cada firewall, logs silenciosos
Certificados web por unidade com o endereço confiável firewall.lan.nexwall.com.br, a página da porta 80, logs e console mais silenciosos, lista de backups na nuvem sem erros, interface web 1.3.12.
Proteção web
Categorias de sites com um catálogo do servidor de licenças, inspeção do tráfego criptografado com a sua própria autoridade certificadora, o antivírus (ClamAV e YARA), perfis que aplicam tudo isso, restrições de SafeSearch e YouTube, a visão de tráfego e aplicações, relatórios de tráfego persistentes, uma partição do sistema maior com swap e licenças como pacote com complementos.
Requisitos
Processador x86-64, firmware UEFI com Secure Boot desligado.
Pelo menos duas interfaces de rede (uma para a rede interna, outra para a internet).
2 GB de memória sem a proteção web; 4 GB ou mais com o antivírus e a inspeção do tráfego criptografado, e com as listas de adultos, publicidade e malware ampliado.
Um disco de 16 GB ou mais: o firewall cria o seu armazenamento de dados (logs, relatórios, assinaturas do antivírus, arquivo de swap) na primeira inicialização. Discos menores funcionam, sem o armazenamento de assinaturas do antivírus, o arquivo de swap e o espaço reservado para uma segunda cópia do sistema.
Acesso à internet a updates.nexwall.com.br, license.nexwall.com.br e services.nexwall.com.br para atualizações, licenças, categorias, regras, listas de ameaças e registro, e aos espelhos do ClamAV para as assinaturas do antivírus.
Instalação e atualização
A versão é uma imagem de disco instalável para máquinas virtuais e appliances. Confira primeiro o SHA-256.
Após o primeiro boot, a interface interna responde em 192.168.1.1. Altere a senha do administrador no primeiro login.
Para conferir o arquivo no Linux, execute sha256sum nele; no Windows, execute Get-FileHash com -Algorithm SHA256 no PowerShell. O resultado deve ser igual ao SHA-256 da tabela de downloads.
O guia de administração está em https://docs.nexwall.com.br.
Firewalls com 26.0.0-rc4 ou anterior não são atualizados no local por esta versão: a disposição do disco mudou (partição do sistema de 1 GB, de boot de 64 MB). Instale a imagem em uma máquina de teste ou em um disco novo e compare. Restaurar um backup de configuração de uma versão anterior não foi testado.
Para inspecionar o tráfego criptografado, instale nos dispositivos o certificado de inspeção do firewall (Proteção web, Inspeção). Sem ele os navegadores mostram um aviso nos sites inspecionados.
O antivírus precisa do armazenamento de dados e baixa as suas assinaturas depois de ligado; leva alguns minutos. Escolher um perfil no assistente o liga se o firewall tiver licença e armazenamento.
As licenças de um revendedor são aplicadas aos firewalls a partir de um conjunto e podem ser movidas para outro firewall; uma mudança chega ao firewall na próxima verificação de licença (cerca de uma vez ao dia).
Confira o arquivo antes de usá-lo: o SHA-256 do arquivo baixado deve ser igual ao valor indicado.
Código aberto e licenças
O Nexwall Firewall é construído sobre software de código aberto, entre outros OpenWrt, o kernel do Linux, nftables, Snort 3, Netify Agent e nDPI, dnsmasq, banIP, adblock e VictoriaMetrics. O firewall e as ferramentas de operação são publicados com as suas licenças originais, e os textos de licença e os avisos acompanham a imagem e estão disponíveis sob solicitação. As listas do Threat Shield são construídas a partir de fontes abertas cujas licenças permitem a redistribuição, e o aviso que as relaciona faz parte de cada pacote.