Esconder o IP Real dos Servidores HestiaCP e CapRover: Cloudflare Tunnels, mTLS e Zero-Trust

A Falsa Sensação de Segurança: Quando o IP Real Fica Exposto

Colocar um Web Application Firewall (WAF) ou uma rede de distribuição de conteúdos (CDN) como a Cloudflare à frente do teu site é uma prática padrão. Os administradores ativam o ícone de proxy laranja no painel de DNS e assumem que o servidor está protegido contra qualquer ataque.

No entanto, em quase todos os servidores tradicionais com HestiaCP ou CapRover, essa segurança é aparente. Os atacantes não perdem tempo a bater de frente contra os servidores protegidos da Cloudflare; eles procuram o endereço IP real do servidor (o IP de origem). Através do histórico antigo de DNS, cabeçalhos de emails enviados pelo Postfix da máquina ou subdomínios desprotegidos (como mail.dominio.com ou cpanel.dominio.com), os invasores descobrem o IP físico da tua máquina.

Assim que o IP é descoberto, disparam ataques maciços de DDoS e scripts de exploração diretamente para a porta 443 do teu servidor, contornando por completo todas as regras de segurança e filtros que tinhas configurado na Cloudflare.

CONTORNAR O WAF ATACANDO O IP REAL DIRETAMENTE

• O INVASOR TENTA CONTORNAR A PROTEÇÃO DA CLOUDFLARE: Atacante → WAF da Cloudflare (Bloqueado / Filtrado na Borda)
• Descobre o IP Real num Cabeçalho de Email (198.51.100.25)
• Atacante → Ataque Direto à Porta 443
• O Teu Servidor Vai Abaixo!

Na Webxtek, eliminamos este vetor de ataque na raiz. Através da nossa consultoria técnica e soluções de alojamento gerido, ensinamos-te a blindar a tua máquina com Cloudflare Tunnels para que o teu servidor não tenha uma única porta de entrada aberta à Internet.

O Paradigma do Cloudflare Tunnel: Apenas Ligações de Saída

Tradicionalmente, para publicares um site tinhas de abrir as portas 80 (HTTP) e 443 (HTTPS) na tua firewall para aceitar tráfego de qualquer IP do mundo.

O Cloudflare Tunnel (operado pelo utilitário leve cloudflared) inverte este fluxo. O programa corre no teu servidor Debian e inicia apenas ligações de saída (outbound) através do protocolo QUIC para os datacenters mais próximos da Cloudflare.

ARQUITETURA DE ENTRADA ZERO COM CLOUDFLARE TUNNEL

• Visitantes do Teu Website
• Rede Global da Cloudflare: WAF, Proteção Anti-DDoS e Filtros
• (O Tráfego Desce pelo Túnel de Saída já Estabelecido)
• O TEU SERVIDOR PRIVADO (FIREWALL: BLOQUEIA 100% DO TRÁFEGO DE ENTRADA)
• Daemon cloudflared: (Túnel de Saída em QUIC UDP)
• (Reencaminhamento no Loopback Local)
• Nginx / HestiaCP / CapRover a Escutar Apenas em 127.0.0.1

Como o teu servidor nunca aceita ligações diretas da Internet, a tua firewall descarta 100% dos pacotes recebidos. Motores de varrimento como o Shodan ou o Censys não conseguem detetar nenhuma porta aberta, tornando a tua máquina invisível.

Como Instalar e Configurar o cloudflared no Teu Servidor

Instalar o túnel oficial num servidor com Debian demora apenas alguns minutos:

# Adiciona o repositório oficial da Cloudflare
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null
echo 'deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared bookworm main' | tee /etc/apt/sources.list.d/cloudflared.list
apt-get update && apt-get install -y cloudflared

# Autentica o serviço com a tua conta da Cloudflare
cloudflared tunnel login

# Cria o teu túnel seguro
cloudflared tunnel create tunel-servidor-producao

Cria o ficheiro de regras de encaminhamento em /etc/cloudflared/config.yml:

tunnel: a1b2c3d4-xxxx-xxxx-xxxx-xxxxxxxxxxxx
credentials-file: /etc/cloudflared/a1b2c3d4-xxxx-xxxx-xxxx-xxxxxxxxxxxx.json

ingress:
  # Tráfego web público direcionado para o Nginx local
  - hostname: oteudominio.com
    service: http://127.0.0.1:80

  # Subdomínios do teu projeto
  - hostname: "*.oteudominio.com"
    service: http://127.0.0.1:80

  # Painel de controlo do CapRover
  - hostname: captain.interno.oteudominio.com
    service: http://127.0.0.1:3000

  # Painel de controlo do HestiaCP
  - hostname: painel.interno.oteudominio.com
    service: https://127.0.0.1:8083
    originRequest:
      noTLSVerify: true

  # Regra de fecho para rotas não mapeadas
  - service: http_status:404

Instala o daemon como serviço permanente do sistema:

cloudflared service install
systemctl enable --now cloudflared

Proteção de Painéis com o Cloudflare Zero Trust Access

Os painéis do HestiaCP (porta 8083) e do CapRover (porta 3000) costumam ser alvos de ataques persistentes de dicionário. Em vez de deixares estes ecrãs de login expostos ao público, coloca-os atrás do Cloudflare Zero Trust Access.

Quando acederes a painel.interno.oteudominio.com, a Cloudflare interceta o pedido. Antes de veres o formulário de login do painel, tens de te autenticar através de um fornecedor de identidade (como Google Workspace ou chave física FIDO2) e validar um código enviado para o teu email.

BARREIRA DE ACESSO ZERO-TRUST NA BORDA

• Tentativa de Acesso: https://painel.interno.oteudominio.com
• Barreira Zero Trust da Cloudflare
• Valida a Tua Identidade (OAuth / Chave FIDO2)
• Valida a Localização e Dispositivo Autorizado
• Acesso Autorizado?
• Sim
• O Tráfego Desce pelo Túnel até à Porta Local 8083 do Teu Servidor

Os bots maliciosos são travados diretamente na infraestrutura da Cloudflare sem gastarem um único ciclo de processamento do teu servidor.

Fechar Todas as Portas na Firewall com o nftables

Com o túnel a funcionar, podes fechar completamente as portas públicas da tua máquina. No teu /etc/nftables.conf:

table inet filter {
    chain input {
        type filter hook input priority filter; policy drop;

        # Permite tráfego de retorno de ligações de saída já feitas
        ct state established,related accept

        # Permite comunicação interna no loopback para o Nginx e cloudflared
        iifname "lo" accept

        # Permite acesso à VPN interna WireGuard
        iifname "wg0" accept

        # ZERO portas abertas para HTTP, HTTPS ou SSH na Internet pública!
    }
}

Seguindo as normas de segurança da OWASP e associando este isolamento aos nossos planos de manutenção contínua de servidores, garantes que a infraestrutura da tua empresa fica totalmente blindada contra qualquer ataque cibernético vindo da Internet pública.

Na prática, aplicas exatamente estes padrões operacionais em setores exigentes como cibersegurança b2b e inteligência corporativa e cibersegurança. Quando alinhas a tua estrutura através de alojamento gerido para websites e aplicações e consultoria técnica antes de construir, transformas boas práticas técnicas numa vantagem competitiva real e mensurável para o teu negócio.