Monitoramento seguro
em nuvem.

O que você vai construir

Um dashboard HTTP local, hospedado em uma VM Linux, publicado em HTTPS por Cloudflare Tunnel e protegido por Cloudflare Access. A aplicação permanece vinculada a 127.0.0.1, sem necessidade de abrir sua porta TCP na internet.

TOPOLOGIA Usuário → Cloudflare Access → Cloudflare Tunnel → Linux/OCI → 127.0.0.1:8765 → Python/SQLite.

Pré-requisitos

Variáveis do laboratório

Variável Exemplo fictício Observação

APP_URL http://127.0.0.1:8765 Serviço local, não exposto

Planejamento de custos e capacidade

Para um piloto leve, 1 OCPU e 1 GB RAM podem ser suficientes, desde que a carga seja pequena e os processos sejam monitorados. Em Oracle Cloud, a forma Always Free E2.1.Micro possui limitações importantes; a forma A1.Flex usa ARM64 e depende de capacidade regional. Não suponha que será possível mudar a arquitetura de uma instância existente sem migração.

Provisionar e proteger a VM

No console OCI, crie uma instância Linux com subnet apropriada, chave SSH e volume de boot. Evite expor portas de aplicação. Para administração, restrinja SSH a endereços confiáveis e, se possível, adote acesso administrativo sem exposição pública.

Primeiro diagnóstico — somente leitura

hostnamectl

uname -m

free -h

df -h /

systemctl --failed

ss -lntp

Registre arquitetura, RAM e espaço disponível. Em VMs de 1 GB, instalação/atualização de muitos pacotes pode causar OOM; faça operações de manutenção de modo controlado.

Critério de aceite

Criar um serviço HTTP de laboratório

O bloco a seguir cria uma página de teste, não um dashboard de produção. Use-o para validar o encadeamento antes de integrar coletores, banco e métricas reais.

mkdir -p "$HOME/painel-demo"

printf "%s\n" "<h1>Dashboard de teste</h1>" > "$HOME/painel-demo/index.html"

cd "$HOME/painel-demo"

python3 -m http.server 8765 --bind 127.0.0.1

Em outro terminal, execute:

curl -I --max-time 5 http://127.0.0.1:8765/

ss -lntp | grep 8765

SEGURANÇA O módulo http.server é adequado apenas a teste controlado e conteúdo não sensível. Não o utilize como servidor de produção de arquivos ou dados privados.

Passagem para produção

Implemente uma aplicação HTTP apropriada com usuário de serviço sem privilégios, dependências fixadas, tratamento de erros, logs e um serviço systemd. Para SQLite, mantenha banco fora do diretório público e estabeleça política de backup.

Gerenciar a aplicação pelo systemd

Exemplo de unidade para um processo Python próprio. Ajuste usuário, diretório e comando ao seu projeto; não copie cegamente para servidores existentes.

[Unit]

Description=Dashboard HTTP local

After=network-online.target

Wants=network-online.target

[Service]

Type=simple

User=dashboard

WorkingDirectory=/opt/dashboard

ExecStart=/usr/bin/python3 /opt/dashboard/app.py

Restart=on-failure

RestartSec=5

NoNewPrivileges=true

[Install]

WantedBy=multi-user.target

Salve como /etc/systemd/system/dashboard.service depois de criar o usuário e instalar a aplicação. O script app.py deve escutar exclusivamente em 127.0.0.1:8765.

sudo systemctl daemon-reload

sudo systemctl enable --now dashboard

systemctl status dashboard --no-pager

journalctl -u dashboard -n 40 --no-pager

Coletores agendados

Prefira systemd timers para coletas periódicas, com timeout, logs e prevenção de execuções simultâneas. Registre horário, status da coleta, fonte e eventual erro. Evite armazenar credenciais diretamente em arquivos versionados.

Instalar o conector cloudflared

No painel Cloudflare, navegue até Zero Trust → Rede → Túneis e crie um túnel do tipo cloudflared. Escolha Linux e a arquitetura da VM (amd64 ou arm64). Siga o comando oficial exibido para sua plataforma; métodos de instalação e versões mudam ao longo do tempo.

Verificações antes da instalação

uname -m

command -v cloudflared || true

cloudflared --version 2>/dev/null || true

O token exibido no painel é um segredo de acesso ao túnel. Execute o comando de instalação diretamente na VM, sem copiar o token para prints, chats, repositórios ou documentação pública.

Instalação do serviço

Após instalar o binário, use o comando de serviço fornecido pelo painel. Se o binário estiver em /usr/local/bin e não for encontrado pelo sudo, use o caminho absoluto. Substitua o marcador pelo segredo obtido diretamente no painel:

sudo /usr/local/bin/cloudflared service install <TOKEN_DO_TUNEL>

Esse comando é ilustrativo; não publique o valor real do token. Em produção, avalie o histórico de shell e as permissões de arquivos conforme o método de instalação utilizado.

Validar o conector

systemctl is-active cloudflared

systemctl is-enabled cloudflared

systemctl status cloudflared --no-pager

journalctl -u cloudflared -n 50 --no-pager

No painel, confirme estado íntegro e ao menos uma réplica conectada. Se não houver conexão, investigue logs e conectividade de saída antes de alterar o DNS.

Publicar a rota HTTP

No túnel, abra Rotas → Adicionar rota → Aplicativo publicado. Informe o subdomínio e domínio gerenciados pela Cloudflare, deixe Caminho vazio para toda a aplicação e configure a URL do serviço local.

Campo Valor de exemplo

Subdomínio monitoramento

Domínio exemplo.com.br

Hostname completo monitoramento.exemplo.com.br

Caminho em branco

URL do serviço http://127.0.0.1:8765

Salve e confirme o registro DNS criado. Não crie registro A apontando diretamente ao IP público da VM para publicar o painel.

Teste preliminar

Antes de distribuir a URL, conclua a configuração do Access na próxima etapa. Um túnel publicado sem política de autenticação adequada pode permitir acesso indevido à aplicação.

Proteger com Cloudflare Access

Acesse Zero Trust → Controles de acesso → Aplicativos → Criar aplicativo auto-hospedado. Configure o hostname exato publicado e crie uma política que permita somente as identidades aprovadas.

Configuração de referência

Configuração Valor recomendado para laboratório

Tipo Auto-hospedado

Destino monitoramento.exemplo.com.br

Política Allow / Permitir

Regra Include E-mails → operador@example.com

Provedor de identidade Selecionar somente o provedor necessário

Duração de sessão Conforme sensibilidade; preferir período curto

Bypass Não criar para o dashboard protegido

O login da conta administrativa Cloudflare e a autenticação do aplicativo são fluxos diferentes. Uma tela de login do painel administrativo não comprova, isoladamente, que o Access protege o hostname.

Teste de autorização obrigatório

Testes ponta a ponta

Teste Resultado esperado

Origem local curl em 127.0.0.1:8765 responde

Escuta local ss mostra apenas 127.0.0.1:8765

Túnel Réplica conectada no painel

DNS/HTTPS Hostname responde via Cloudflare

Access sem sessão Solicita autenticação

Identidade permitida Acesso concedido

Identidade não permitida Acesso negado

Reboot controlado Serviços voltam automaticamente

Coleta Timer executa e registra logs

CHECKPOINT Não marque o ambiente como concluído sem validar também o teste negativo de autorização e a recuperação após reinicialização.

Diagnóstico de falhas

Erro Cloudflare 1033

O Error 1033 geralmente indica que a borda não consegue utilizar o túnel associado ao hostname. Não conclua que o problema é DNS, token ou aplicação sem coletar evidências.

systemctl is-active cloudflared dashboard

journalctl -u cloudflared -n 80 --no-pager

free -h

df -h /

curl -I --max-time 5 http://127.0.0.1:8765/

Se o serviço local responder, mas o túnel estiver desconectado, concentre a análise em cloudflared, conectividade e rota. Se o túnel estiver conectado e o HTTP local falhar, investigue a aplicação. Não desative o Access para “testar” um erro de conectividade.

Falhas comuns e ações

Sintoma Verificação inicial

1033 Conector, conectividade de saída, status e rota

502/Bad Gateway URL local, porta, processo e logs do dashboard

Loop de login IdP, cookies, sessão e regras do Access

Acesso negado E-mail/identidade, política Include/Exclude e logs

VM lenta free -h, swap, OOM, CPU, timers e processos

Dados desatualizados Timers, logs de coleta, relógio e integridade do SQLite

Operação segura e backup

Verificações regulares

systemctl is-active cloudflared dashboard

systemctl list-timers --all

journalctl -p warning -b --no-pager | tail -50

free -h; df -h /

Não execute atualizações pesadas em uma VM com memória muito limitada sem janela de manutenção e backup. Ajuste limites de recursos, retenção de logs e periodicidade dos coletores à capacidade disponível.

Backup SQLite consistente

Para bancos SQLite ativos, prefira a API de backup do SQLite em vez de copiar o arquivo durante escrita. Exemplo a adaptar ao caminho e às permissões da aplicação:

python3 - <<'PY'

import sqlite3

source = sqlite3.connect("/opt/dashboard/data.db")

target = sqlite3.connect("/backup/dashboard-backup.db")

with target:

source.backup(target)

target.close()

source.close()

PY

Crie o diretório de backup e valide as permissões previamente. Proteja a cópia, retenha versões e teste a restauração em ambiente separado. Não coloque backups na pasta pública do servidor.

Custos

Acompanhe compute, boot volumes, snapshots, tráfego e recursos auxiliares. Um orçamento com alerta não suspende recursos nem estabelece teto de gastos.

Rollback e resposta a incidentes

Situação Ação segura

Falha ao publicar Remover/desabilitar rota pública mantendo serviço local

Política incorreta Restaurar regra Access restritiva e testar negação

Conector instável Inspecionar logs e versão; reiniciar somente se justificado

Dados corrompidos Parar escritores e restaurar backup validado

Token comprometido Rotacionar token no painel e atualizar réplicas

Mudança malsucedida Retornar configuração versionada e verificar saúde

Checklist de entrega

Referências e boas práticas

Consulte a documentação oficial atualizada antes de implementar, especialmente para instalação do conector, autenticação e preços. Links de referência:

Este guia é um modelo de implementação para laboratório. Ajuste nomes de unidades, usuários, permissões, sistema operacional e métodos de autenticação à sua realidade. Valide cada comando em ambiente controlado antes de aplicar em produção.

RESULTADO ESPERADO Um dashboard acessível de qualquer rede com internet, desde que o túnel esteja saudável e a identidade seja autorizada — sem publicar a porta local da aplicação.