Os seus VPS conversando entre si, sem abrir portas para a internet

É assim no painel

O túnel SSH que você sempre montava à mão

Agora com assistente, status ao vivo e boas práticas por padrão.

• Receptor e iniciador: Cada VPS pode aceitar túneis, abrir túneis, ou as duas coisas ao mesmo tempo. A topologia quem monta é você.
• Nada exposto à internet: O serviço continua escutando só no localhost do receptor. Não se abre a 5432, nem a 3306, nem a 6379: o tráfego entra pelo túnel ou não entra.
• Instalação em um clique: O receptor fica pronto em segundos. O iniciador instala o autossh sozinho, sem você tocar num arquivo de configuração.
• Usuário de túnel restrito: O receptor cria um usuário dedicado sem senha, sem sudo e sem shell, que só pode fazer port forwarding. Mesmo que alguém conseguisse a chave, não teria onde pisar.
• Chaves ed25519 que se registram sozinhas: O iniciador gera o seu par de chaves e o painel o autoriza no receptor, entre VPS da mesma Empresa. Sem copiar e colar, que é por onde os erros entram.
• String de conexão pronta: O receptor te dá a string de conexão usando o DNS do VPS, assim você não sai distribuindo o IP por aí.
• Atalhos para bancos de dados: Sugestões prontas para PostgreSQL (5432), MySQL (3306) e Redis (6379), que são 90 % dos casos.
• Sempre conectado: Cada túnel roda como serviço systemd com autossh: se a rede cair, ele volta sozinho. E você pode reiniciá-lo pelo painel sem entrar por SSH.
• Status ao vivo: Se o receptor está ativo, se a porta escuta, quantos túneis existem e em que estado está cada um. Sem adivinhar.
• Qualquer porta, não só bancos: Uma API interna, um Elasticsearch, um painel de administração que você não quer publicar: se escuta numa porta, dá para tunelar.

Assistente em 5 passos

1. Ative o receptor: No VPS que tem o serviço privado. Ele fica escutando na porta 2222 com o seu usuário de túnel restrito.
2. Ative o iniciador: No VPS que vai consumir o serviço. Ele instala o autossh e gera o seu par de chaves ed25519.
3. Registre a chave: Um clique no painel autoriza a chave pública do iniciador no receptor. Não é preciso copiar e colar nada.
4. Crie o túnel: Você escolhe a porta local do iniciador e a porta de destino no receptor. Para PostgreSQL, MySQL e Redis elas já vêm sugeridas.
5. Use em localhost: O seu app se conecta em localhost:5432 como se o banco estivesse na mesma máquina. Não há nada a mudar no código além do host.

Como funciona por baixo, e o que levar em conta

• É o port forwarding de SSH de sempre, só que montado e mantido pelo painel: o receptor roda um sshd com um usuário dedicado e o iniciador mantém a conexão com autossh dentro de uma unidade do systemd.
• O usuário de túnel não tem senha, nem sudo, nem shell. A única coisa que ele consegue fazer é abrir port forwardings, então uma chave vazada não dá acesso ao servidor.
• O receptor usa a porta 2222, que precisa ter o seu redirecionamento ativo. É a única porta que se abre, e ela não dá shell para ninguém.
• O iniciador precisa de saída para a internet para instalar o autossh na primeira vez. Depois funciona igual mesmo que você restrinja a saída.
• Não dá para repetir portas locais entre túneis do mesmo iniciador: se a 5432 já está ocupada por um banco, o segundo vai para outra porta local.
• Reinstalar o receptor gera um usuário de túnel novo. É preciso autorizar as chaves de novo e recriar os túneis: não é um bug, é que a identidade anterior deixa de existir.
• Precisa de systemd e de uma base Debian ou Ubuntu. Está verificado em produção no Ubuntu 22.04 e é compatível com 24.04 e 26.04.
• No Ubuntu 20.04 e anteriores não está disponível, e o motivo é concreto em cada caso: o 16.04 traz OpenSSH 7.2, que não entende a diretiva Include e nunca lê o sshd_config.d; o sshd_config do 18.04 simplesmente não inclui esse diretório; e no 20.04 a configuração base do VPS escreve KbdInteractiveAuthentication, que o OpenSSH 8.2 não conhece, então o sshd -t falha e a mudança é revertida sozinha.
• O túnel criptografa o transporte, não autentica o seu aplicativo: o banco de dados continua precisando do seu usuário e da sua senha. O que desaparece é a exposição à internet, não a autenticação.
• Root real por SSH: o painel é um atalho, não uma jaula. Tudo o que ele faz com um botão você também pode fazer à mão.

Você também pode pedir ao Claude, ChatGPT ou Cursor

Tudo o que você vê no painel o seu agente de IA pode fazer pelo servidor MCP da ArduMaker: com a sua autorização, com o alcance que você der e com cada ação auditada. Ver o que o MCP faz

Perguntas frequentes

Serviços que costumam andar juntos

• PostgreSQL: Instale o PostgreSQL e gerencie bancos, usuários e permissões sem linha de comando.
• Redis: Instale o Redis, ajuste memória e persistência, e busque, edite e apague chaves pelo painel.
• Gerenciador de bancos de dados: Uma grade web para PostgreSQL e MySQL: editar linhas, SQL, EXPLAIN e importar e exportar CSV e Excel por túnel privado.