Volume 3: Infraestrutura Bare-Metal Hetzner, Linux Hardening & Coolify

1. Fundamentos para Não-Técnicos: Onde a IA Realmente Mora

Muitas pessoas imaginam a "nuvem" como uma entidade mágica flutuando no espaço. No mundo real da computação:

A Armadilha dos Três Gigantes (AWS, Google Cloud e Microsoft Azure)

Quem está começando costuma correr para a AWS ou Azure por causa do peso da marca. Para startups e empresas de médio porte que operam infraestrutura de IA, essa costuma ser uma das piores decisões financeiras:

1. Faturas Imprevisíveis: O modelo da AWS cobra centavos por centenas de métricas obscuras (tráfego de saída entre zonas, requisições de leitura de disco, tempo de conexão de IP público). Uma empresa pode pagar US$ 60 no primeiro mês e ser surpreendida com uma fatura de US$ 1.200 no mês seguinte devido a um pico inesperado de requisições.
2. Complexidade Labiríntica: Você precisa configurar dezenas de VPCs, IAM Roles, Security Groups e gateways apenas para rodar uma aplicação simples.

Por Que a Hetzner Cloud é o Padrão Ouro de Margem de Lucro

Kelvin Cleto e as principais consultorias de engenharia de IA da Europa e dos Estados Unidos utilizam amplamente a Hetzner Cloud (datacenter alemão com instalações em Nuremberg, Falkenstein, Helsinque e Ashburn/EUA):

• Custo Fixo e Previsível: Uma máquina potente com 4 núcleos de CPU dedicados, 16 GB de memória RAM e 160 GB de disco NVMe ultrarrápido (plano CPX31) custa aproximadamente € 16 a € 20 por mês (cerca de R$ 100 a R$ 120/mês).
• Tráfego Generoso Incluso: Cada servidor já inclui 20 Terabytes (20.000 Gigabytes) de tráfego de internet gratuito por mês.
• Margem de Lucro Brutal: Se você cobra um retainer de R$ 5.000 a R$ 10.000/mês do seu cliente para gerenciar a infraestrutura dele, e o seu custo de servidor é de apenas R$ 120/mês, sua margem bruta ultrapassa 98%.

2. Guia de Hardening: Blindando o Servidor Linux nos Primeiros 10 Minutos

Quando você cria uma máquina nova com o sistema operacional Ubuntu 24.04 LTS, ela nasce aberta para a internet. Em menos de 15 minutos, robôs maliciosos na Rússia, China e outros países começam a disparar milhares de tentativas de invasão por força bruta na porta padrão 22 (SSH).

Siga rigorosamente este checklist de segurança nos primeiros 10 minutos de vida da sua máquina:

Passo 1: Conexão via Chaves Criptográficas (Adeus Senhas)

Nunca permita que seu servidor aceite senhas digitadas. Toda autenticação deve ocorrer via par de chaves assimétricas Ed25519.

No terminal do seu próprio computador (Mac ou Linux), gere seu par de chaves:

ssh-keygen -t ed25519 -C "admin-ai-first-os"
# Pressione Enter para salvar no caminho padrão (~/.ssh/id_ed25519)
# Digite uma senha mestra (passphrase) segura

Envie a chave pública para o seu servidor recém-criado:

ssh-copy-id -i ~/.ssh/id_ed25519.pub root@SEU_IP_DO_SERVIDOR

Passo 2: Criando o Usuário Operacional Não-Root

Operar o dia a dia como usuário root (o superadministrador que pode apagar o sistema inteiro por engano) é uma prática proibida em engenharia de produção.

Conectado ao servidor, execute:

# Atualize os repositórios do sistema
apt update && apt upgrade -y

# Crie um usuário operacional com nome seguro (ex: operador)
adduser operador

# Adicione o usuário ao grupo sudo (permissão de administrador pontual)
usermod -aG sudo operador

# Copie as chaves SSH autorizadas para o novo usuário
mkdir -p /home/operador/.ssh
cp /root/.ssh/authorized_keys /home/operador/.ssh/
chown -R operador:operador /home/operador/.ssh
chmod 700 /home/operador/.ssh
chmod 600 /home/operador/.ssh/authorized_keys

Passo 3: Fechando a Porta do SSH e Desativando Root

Abra o arquivo de configuração do SSH com o editor nano:

sudo nano /etc/ssh/sshd_config

Altere ou adicione as seguintes diretivas críticas:

# Desativa login direto do usuário root
PermitRootLogin no

# Proíbe completamente autenticação por senha
PasswordAuthentication no
PubkeyAuthentication yes

# Desativa respostas vazias de senhas
PermitEmptyPasswords no

# (Opcional recomendado) Altere a porta padrão 22 para uma porta alta customizada
Port 2222

Salve o arquivo (Ctrl + O, Enter, Ctrl + X) e reinicie o serviço de SSH:

sudo systemctl restart ssh

Passo 4: Ativando o Firewall UFW (Uncomplicated Firewall)

O firewall é a cerca elétrica do servidor: bloqueia qualquer porta que não tenha sido explicitamente liberada.

# Define a política padrão: bloquear tudo que entra, permitir tudo que sai
sudo ufw default deny incoming
sudo ufw default allow outgoing

# Libera a porta SSH customizada
sudo ufw allow 2222/tcp comment 'SSH Seguro'

# Libera as portas da web (HTTP e HTTPS)
sudo ufw allow 80/tcp comment 'HTTP Web'
sudo ufw allow 443/tcp comment 'HTTPS SSL'

# Ativa o firewall
sudo ufw enable
# Pressione 'y' para confirmar

Passo 5: Instalando o Fail2ban (Detector de Ataques de Força Bruta)

O Fail2ban analisa os logs de acesso em tempo real. Se um IP errar uma tentativa de conexão 5 vezes em menos de 10 minutos, o Fail2ban joga o IP numa lista negra e bloqueia o tráfego dele no nível do kernel por 24 horas:

sudo apt install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

3. Docker e Docker Compose: Padrões Industriais de Estabilidade

O Docker é o padrão que revolucionou a computação em nuvem.

Arquivo Canônico: docker-compose.yml de Produção

Amadores colocam contêineres para rodar usando comandos simples de linha (docker run ...). Profissionais organizam suas pilhas de serviços usando o Docker Compose, especificando limites de memória, logs controlados e redes isoladas.

Abaixo está a configuração padrão de infraestrutura de borda utilizada para hospedar os serviços de um cliente corporativo:

version: '3.8'

# Definição das redes virtuais isoladas
networks:
  public-proxy:
    name: public-proxy
    driver: bridge
  internal-secure:
    name: internal-secure
    driver: bridge
    internal: true # Nenhum contêiner nesta rede tem acesso direto à internet pública

# Definição dos volumes de dados persistentes no disco do servidor
volumes:
  traefik-certificates:
    name: traefik-certificates
  redis-data:
    name: redis-data

services:
  # Roteador de Borda e Gerenciador de Certificados SSL Automáticos
  reverse-proxy:
    image: traefik:v3.1
    container_name: edge-reverse-proxy
    restart: unless-stopped
    command:
      - "--api.dashboard=true"
      - "--providers.docker=true"
      - "--providers.docker.exposedbydefault=false"
      - "--entrypoints.web.address=:80"
      - "--entrypoints.websecure.address=:443"
      # Redirecionamento automático de todo tráfego HTTP para HTTPS
      - "--entrypoints.web.http.redirections.entryPoint.to=websecure"
      - "--entrypoints.web.http.redirections.entryPoint.scheme=https"
      # Emissão automática de SSL gratuito via Let's Encrypt
      - "--certificatesresolvers.myresolver.acme.tlschallenge=true"
      - "--certificatesresolvers.myresolver.acme.email=suporte@suaempresa.com.br"
      - "--certificatesresolvers.myresolver.acme.storage=/letsencrypt/acme.json"
    ports:
      - "80:80"
      - "443:443"
    networks:
      - public-proxy
    volumes:
      - "/var/run/docker.sock:/var/run/docker.sock:ro"
      - "traefik-certificates:/letsencrypt"
    deploy:
      resources:
        limits:
          cpus: '0.50'
          memory: 512M
    logging:
      driver: "json-file"
      options:
        max-size: "10m"
        max-file: "3"

  # Banco de Dados em Memória para Filas e Sessões de Agentes
  redis-cache:
    image: redis:7.2-alpine
    container_name: app-redis-cache
    restart: unless-stopped
    command: redis-server --appendonly yes --requirepass "SENHA_ULTRA_SEGURA_AQUI_123"
    networks:
      - internal-secure
    volumes:
      - redis-data:/data
    deploy:
      resources:
        limits:
          cpus: '0.50'
          memory: 512M
    logging:
      driver: "json-file"
      options:
        max-size: "10m"
        max-file: "3"

Detalhes Técnicos Cruciais Desta Configuração:

1. Isolamento de Redes (internal: true): O Redis armazena dados sensíveis e tokens em memória. Ao colocá-lo na rede internal-secure sem portas expostas para fora, é matematicamente impossível um hacker externo tentar conectar ao Redis pela internet pública.
2. Controle Estrito de Logs (max-size: 10m): Um dos acidentes mais comuns que derrubam servidores em produção é o disco rígido lotar 100% por causa de arquivos de log infinitos. Esta diretiva garante que nenhum log passe de 10 MB, mantendo no máximo 3 arquivos rotativos.
3. Limites de Recursos (limits): Se uma consulta ou rotina entrar em loop infinito por causa de um bug de código, ela não poderá consumir mais do que 512 MB de RAM, preservando o restante da máquina vivo.

4. Coolify: Seu Próprio PaaS Privado (A Alternativa ao Heroku e Vercel)

Se você não quiser escrever dezenas de arquivos docker-compose.yml manualmente para cada aplicação ou microsserviço que for subir, existe uma solução de engenharia adotada em massa pelas melhores equipes do mundo: o Coolify.

O Coolify é conhecido como a "alternativa open-source e auto-hospedada ao Vercel, Heroku e Render". Ele transforma qualquer servidor bruto da Hetzner em um painel visual moderno com controle de múltiplos projetos, certificados SSL automáticos com 1 clique, gerenciamento de banco de dados e deploys automáticos via GitHub.

Como Instalar o Coolify com um Único Comando

Conecte-se ao seu servidor Hetzner blindado via terminal e execute o instalador oficial oficial do Coolify:

curl -fsSL https://cdn.coollabs.io/coolify/install.sh | bash

O script cuidará de tudo: instalará o Docker oficial, configurará a rede interna, subirá o banco de dados interno do Coolify e iniciará o proxy reverso.

Ao final do processo (que leva cerca de 2 a 3 minutos), o instalador exibirá no seu terminal o endereço de acesso:

http://SEU_IP_DO_SERVIDOR:8000

Melhores Práticas de Operação no Coolify:

1. Configuração de Domínio e SSL: No primeiro acesso, cadastre seu e-mail administrativo e associe um subdomínio próprio (ex: painel.suaempresa.com.br). O Coolify gerará o certificado SSL HTTPS da Let's Encrypt automaticamente.
2. Projetos e Ambientes: Crie um "Projeto" isolado para cada cliente que você atender (ex: Projeto Grupo LLE). Cada projeto possui suas próprias variáveis de ambiente protegidas, impedindo que credenciais de um cliente vazem para outro.
3. Backups Automáticos para S3: Configure uma rotina diária no Coolify para salvar backups compactados de todos os bancos de dados diretamente em um bucket de armazenamento S3 barato (como Cloudflare R2 ou AWS S3), garantindo recuperação instantânea contra desastres.

5. Exercício Prático de Fixação do Volume 3

1. Faça o cálculo de infraestrutura: Simule uma operação com 3 clientes corporativos de médio porte. Se você alugar um servidor Hetzner CPX41 (8 vCPUs, 32 GB RAM por ~€ 32/mês) para rodar a infraestrutura dos 3 clientes via Coolify, e cobrar R$ 6.000/mês de cada cliente pela sustentação do sistema:

• Qual é a sua receita mensal bruta?
• Qual é o seu custo mensal de servidor em reais?
• Qual é a sua margem de lucro percentual líquida?

1. Explique sem jargões: Como você explicaria para o dono de uma transportadora por que a infraestrutura da empresa dele estará muito mais segura e rápida em um servidor dedicado na Hetzner gerenciado por você do que rodando em um computador velho no chão do escritório dele?

No próximo volume (Volume 4), entraremos na Engenharia de Dados Corporativos: vamos aprender a modelar bancos de dados relacionais em PostgreSQL 16 no Supabase, criar esquemas com suporte a multitenancy estrito e blindar tabelas financeiras com Row-Level Security (RLS).