Como liberar a porta 30120 no firewall do FiveM (Linux e Windows)

Seu servidor FiveM está rodando, o console do FXServer mostra Server started, o sv_licenseKey foi validado, mas os players relatam timeout ao tentar conectar. Em 9 de cada 10 casos novos, o problema é a porta 30120 bloqueada no firewall do sistema operacional ou no security group da provedora — não no FiveM em si.

Este guia cobre como liberar a porta 30120 (TCP e UDP) em Ubuntu/Debian com UFW, AlmaLinux/Rocky com firewalld, regras iptables diretas, e Windows Server com o Windows Defender Firewall. Também mostra como verificar se a porta está realmente aberta de fora e o que fazer quando o problema persiste.

Tempo estimado de execução: 5 a 10 minutos, dependendo do sistema operacional e se você já tem acesso administrativo.

Pré-requisitos

Antes de liberar a porta, confirme que o FXServer está rodando e escutando na 30120. Sem isso, abrir o firewall não resolve nada.

Confirme rapidamente que o FXServer está ouvindo na porta antes de mexer no firewall:

sudo ss -tulnp | grep 30120

Se retornar duas linhas (uma tcp e uma udp) com FXServer ao lado, o serviço está pronto. Se não retornar nada, suba o servidor primeiro — não adianta abrir porta de algo que não está rodando.

Ubuntu e Debian com UFW

UFW é o frontend de firewall mais comum em Ubuntu 22.04/24.04 e Debian 12. Os comandos abaixo abrem a 30120 TCP+UDP e persistem a regra entre reinicializações.

sudo ufw status verbose

sudo ufw allow 22/tcp

sudo ufw allow 30120/tcp
sudo ufw allow 30120/udp

sudo ufw enable

sudo ufw status numbered

AlmaLinux, Rocky e CentOS com firewalld

Distribuições baseadas em Red Hat usam firewalld como gerenciador padrão. A sintaxe é diferente do UFW mas o resultado é equivalente.

sudo systemctl status firewalld

sudo firewall-cmd --permanent --zone=public --add-port=30120/tcp
sudo firewall-cmd --permanent --zone=public --add-port=30120/udp

sudo firewall-cmd --reload

sudo firewall-cmd --list-ports

Regras iptables diretas

Se você administra o firewall manualmente via iptables (sem UFW ou firewalld), as regras precisam ser inseridas explicitamente e persistidas com o pacote iptables-persistent (Debian/Ubuntu) ou iptables-services (Red Hat).

sudo iptables -A INPUT -p tcp --dport 30120 -j ACCEPT
sudo iptables -A INPUT -p udp --dport 30120 -j ACCEPT

Windows Server com Defender Firewall

Em Windows Server 2019, 2022 e Windows 10/11 usados como host de FiveM, o Defender Firewall bloqueia inbound por padrão. Crie a regra via PowerShell pra evitar cliques no GUI.

New-NetFirewallRule -DisplayName "FiveM TCP 30120" `
  -Direction Inbound `
  -Protocol TCP `
  -LocalPort 30120 `
  -Action Allow `
  -Profile Any

New-NetFirewallRule -DisplayName "FiveM UDP 30120" `
  -Direction Inbound `
  -Protocol UDP `
  -LocalPort 30120 `
  -Action Allow `
  -Profile Any

Get-NetFirewallRule -DisplayName "FiveM*" | Format-Table DisplayName, Enabled, Direction, Action

Verificação externa

Liberar a porta no sistema operacional não garante que ela esteja acessível de fora — provedoras cloud (AWS, GCP, Hetzner) têm uma camada adicional de security group que precisa ser ajustada separadamente.

De uma máquina externa (seu computador local, outro VPS, ou usando um serviço público), teste:

nmap -p 30120 -sU -sT SEU_IP_PUBLICO

A flag -sU testa UDP, -sT testa TCP. Saída esperada:

PORT      STATE         SERVICE
30120/tcp open          unknown
30120/udp open|filtered unknown

UDP frequentemente aparece como open|filtered porque é stateless — o nmap não consegue distinguir “porta aberta sem resposta” de “porta filtrada por firewall”. Isso é normal e não indica problema se o TCP retornou open.

Resolução de problemas

nmap retorna filtered em ambos protocolos

Significa que alguma camada está bloqueando os pacotes antes de chegar ao seu sistema operacional. Geralmente é:

1. Security group da provedora cloud (AWS, GCP, Azure, Hetzner Cloud)
2. Firewall de rede do datacenter
3. Roteador NAT entre você e a internet (se for servidor caseiro)

Acesse o painel da provedora e adicione regra inbound TCP+UDP/30120 no security group associado à instância. Em servidores Hostini dedicados ou VPS, não há security group externo — o firewall do sistema operacional é a única camada, então filtered geralmente indica regra incorreta no UFW/firewalld.

nmap retorna closed no TCP

Firewall está OK mas FXServer não está escutando. Cheque:

sudo ss -tulnp | grep 30120

Se vazio, suba o FXServer e verifique os logs em ~/server-data/logs/. Erros comuns: endpoint_add_tcp apontando pra IP errado no server.cfg, falta de sv_licenseKey, ou conflito com outro processo já usando a porta.

Players conectam mas caem em segundos

Sintoma clássico de UDP bloqueado com TCP aberto. O handshake inicial funciona (TCP), mas o tráfego de jogo (UDP) não passa. Reveja se o passo de liberar UDP foi executado em todas as camadas (sistema operacional + security group).

txAdmin não abre no navegador

A 30120 é só pro jogo. O painel txAdmin escuta em 40120/TCP por padrão. Libere essa porta separadamente, mas restrita ao seu IP residencial (segurança):

sudo ufw allow from SEU_IP_RESIDENCIAL to any port 40120 proto tcp

Próximos passos

Com a porta liberada e o servidor acessível, considere:

• Configurar fail2ban pra bloquear ataques de força bruta em SSH, já que o servidor agora tem porta pública exposta
• Habilitar logs detalhados de conexão no FXServer (con_miniconChannels em server.cfg) pra investigar problemas de conectividade individuais
• Implementar backups automáticos do server-data/resources/ e do banco MySQL antes de subir a divulgação do servidor
• Avaliar proteção DDoS dedicada se você espera mais de 32 slots simultâneos — ataques contra servidores FiveM são comuns e baratos

Se você está colocando um servidor FiveM em produção e precisa de latência baixa pra players brasileiros, um VPS Hostini já vem com filtro de pacotes em kernel ativo contra DDoS L3/L4 e roteamento direto pra IXBR — sem cobrança por tráfego e sem precisar configurar security group externo.