Cloudflare Tunnel: como publicar serviços da VPS sem abrir portas

Comente! ,

Tempo de leitura: 3 minutos

Todo serviço que escuta numa porta aberta da internet é um alvo. O Cloudflare Tunnel muda a lógica: em vez de abrir uma porta e esperar visitas, a sua VPS faz uma conexão de saída até a Cloudflare, e o tráfego chega por esse túnel. Resultado: nada de porta aberta e o IP real do servidor fica escondido.

O túnel funciona em qualquer VPS Linux com acesso à internet, e quanto mais estável o servidor, melhor. Se você ainda não tem onde rodar isso, a Cloud VPS Brasil já entrega o servidor pronto.

Quando vale a pena usar

  • Painéis administrativos (Portainer, Netdata, n8n) que você quer acessar de qualquer lugar com segurança.
  • Sites e APIs que não devem expor o IP do servidor.
  • Serviços em casa ou em rede com IP dinâmico ou sem porta liberada.

Você precisa de um domínio com os DNS na Cloudflare e de uma conta (o plano gratuito atende).

Passo 1: instalar o cloudflared

No Ubuntu ou Debian, baixe o pacote .deb oficial (para a arquitetura da sua VPS, em geral amd64) na página de downloads do cloudflared, em developers.cloudflare.com, e envie para o servidor. Depois instale e confira a versão:

sudo dpkg -i cloudflared.deb
cloudflared --version

Passo 2: autenticar e criar o túnel

cloudflared tunnel login

O comando mostra um link. Abra no navegador, escolha o domínio e autorize. Depois crie o túnel:

cloudflared tunnel create meu-tunel

Ele gera um arquivo de credenciais em ~/.cloudflared/ e mostra o ID do túnel. Guarde esse ID.

Passo 3: configurar para onde o tráfego vai

Crie o arquivo /etc/cloudflared/config.yml:

tunnel: ID_DO_TUNEL
credentials-file: /etc/cloudflared/ID_DO_TUNEL.json

ingress:
  - hostname: painel.seudominio.com.br
    service: http://localhost:8080
  - service: http_status:404

A última regra (http_status:404) é obrigatória e responde a qualquer domínio que não esteja listado. Copie o arquivo de credenciais para /etc/cloudflared/.

Passo 4: criar o DNS do túnel

cloudflared tunnel route dns meu-tunel painel.seudominio.com.br

Esse comando cria o registro CNAME na Cloudflare apontando o subdomínio para o túnel.

Passo 5: rodar como serviço

sudo cloudflared service install
sudo systemctl enable --now cloudflared
sudo systemctl status cloudflared

Agora acesse https://painel.seudominio.com.br. O HTTPS já vem da Cloudflare, e a porta 8080 continua fechada para fora.

Como proteger ainda mais

Dentro do painel da Cloudflare, em Zero Trust, você pode criar uma regra de acesso para esse endereço exigindo login por e-mail ou provedor de identidade. Assim, mesmo quem descobrir o endereço não passa da tela de login.

Cuidados

  1. O túnel protege o acesso, mas não corrige falhas do próprio serviço. Mantenha tudo atualizado.
  2. Se a VPS cair, o túnel cai junto. Combine com monitoramento, como o Uptime Kuma.
  3. Mantenha o firewall fechado: assim o servidor só aceita o que você realmente liberou. Veja UFW na VPS Linux.

Segurança começa pela base do servidor

O túnel esconde o IP, e a VPS ainda precisa ser rápida e estável. Na Cloud VPS Brasil você conta com Intel Xeon Gold, SSD NVMe, baixa latência, tráfego ilimitado, preço fixo em reais e suporte humano via WhatsApp e ticket. Fale com a equipe pelo WhatsApp e escolha o plano ideal para o seu projeto.

Artigos relacionados