Hospede um site anonimamente em casa usando Raspberry Pi

Hospedar um site público no Raspberry Pi na rede doméstica pode expor muito mais que um IP. Esta configuração reduz essa exposição de forma prática:

• Oculte o IP residencial atrás de um nó de saída VPN para que ninguém associe o tráfego do Raspberry Pi à sua localização.
• Elimine o redirecionamento de portas de entrada, pois o Raspberry Pi mantém apenas conexões de saída pelo Cloudflare Tunnel.
• Deixe o Cloudflare cuidar do TLS, cache e proteção contra DDoS enquanto a origem no Raspberry Pi fica privada.
• Mantenha o baixo custo e a flexibilidade do auto-hospedagem no Raspberry Pi sem alugar servidor externo.

Este design do Raspberry Pi usa um único caminho de saída e zonas de confiança claras para que sua origem nunca fique roteável publicamente:

1. Visitantes resolvem seu domínio no DNS da Cloudflare e terminam HTTPS na borda da Cloudflare.
2. Seu Raspberry Pi executa o cloudflared, que mantém um túnel apenas de saída para a Cloudflare.
3. O Raspberry Pi força o tráfego do túnel a passar pela interface VPN, assim o Cloudflare vê só o IP de saída da VPN.
4. O servidor web no Raspberry Pi responde, e as respostas retornam pela VPN e pela borda do Cloudflare.

Como o Raspberry Pi só faz conexões de saída, seu roteador não abre portas para a internet, reduzindo muito a superfície de ataque em casa.

Reúna o hardware e contas abaixo antes de transformar seu Raspberry Pi em um servidor web privado em casa com Cloudflare Tunnel:

• Um Raspberry Pi 4 ou mais recente com pelo menos 4 GB de RAM, fonte confiável e cartão microSD ou SSD de alta durabilidade.
• Raspberry Pi OS Lite com SSH ativado e endurecimento básico aplicado.
• Conta Cloudflare com seu domínio gerenciado no DNS da Cloudflare.
• Acesso ao painel Cloudflare Zero Trust para criar túneis e políticas.
• Provedor de VPN sem registros que suporte arquivos de configuração WireGuard ou OpenVPN.
• Opcional: um proxy reverso como Nginx, Caddy ou Traefik para roteamento e cabeçalhos.

Kit inicial Raspberry Pi recomendado

Dica de hardware

Kit inicial Raspberry Pi 4

Um kit compacto com placa, fonte de alimentação e armazenamento ajuda a colocar o hosting anônimo no ar rapidamente.

Comprar na Amazon

Se precisar de VPN focada em privacidade, provedores auditados como Proton VPN ou NordVPN suportam WireGuard no Raspberry Pi e oferecem controle de kill switch.

Fortaleça o sistema base do Raspberry Pi para mantê-lo estável mesmo com o site acessível publicamente via Cloudflare:

1. Atualize o sistema operacional com sudo apt update e sudo apt full-upgrade, depois reinicie.
2. Crie um usuário sem root com privilégios sudo e desative logins SSH por senha.
3. Ative atualizações automáticas para instalar patches de segurança automaticamente.
4. Aplique regras de firewall que permitam apenas o tráfego de saída necessário para VPN e Cloudflare.
5. Endureça o SSH com logins apenas por chave e ative fail2ban ou CrowdSec para frear ataques de força bruta.
6. Execute sua stack web no Raspberry Pi sob systemd para reiniciar serviços automaticamente após falhas.

Em seguida, garanta que o túnel do Raspberry Pi acesse a internet apenas por um caminho VPN criptografado:

1. Gere perfis WireGuard ou OpenVPN com seu provedor de VPN. WireGuard costuma ser mais rápido no Raspberry Pi.
2. Importe a configuração. Para WireGuard, coloque em /etc/wireguard/wg0.conf.
3. Inicie a VPN e defina a interface VPN como rota padrão para o tráfego de saída do Raspberry Pi.
4. Ative o auto start na inicialização usando systemd networkd ou NetworkManager.
5. Implemente um kill switch com iptables ou nftables para que o cloudflared não conecte sem a VPN.
6. Confirme o IP de saída com curl https://ifconfig.me para garantir que a Cloudflare verá apenas o endereço da VPN.

Com a VPN ativa, crie um Cloudflare Tunnel no Raspberry Pi que faça proxy das requisições HTTPS para o servidor web local:

1. Instale o cloudflared pelo repositório oficial ou use o binário standalone.
2. Autentique-se com cloudflared tunnel login para conectar sua conta.
3. Crie um túnel nomeado como cloudflared tunnel create anonymous-site e anote o UUID.
4. Escreva /etc/cloudflared/config.yml com regras de ingresso que mapeiam seu hostname para o serviço web rodando no Raspberry Pi.
5. Forçe o túnel a usar o caminho VPN mantendo a rota padrão na interface VPN e aplicando as regras do kill switch.
6. Crie um serviço systemd para que o túnel inicie na inicialização e reinicie em falhas.
7. Crie o registro DNS Cloudflare (CNAME) que aponta seu hostname para o UUID do túnel em cfargotunnel.com.

Após isso, visitantes acessam o site via Cloudflare, enquanto a origem no Raspberry Pi permanece privada e inacessível por varreduras diretas.

Consulte a documentação oficial do Cloudflare Tunnel para orientações mais detalhadas sobre políticas.

Defesas em camadas mantêm a hospedagem no Raspberry Pi resistente mesmo se um controle falhar:

• Proteja caminhos sensíveis usando políticas Cloudflare Zero Trust ou tokens de serviço.
• Ative regras WAF, proteção contra bots e limitação de taxa para reduzir abusos.
• Use certificados de origem limitados ao túnel e aplique HTTPS de ponta a ponta.
• Execute fail2ban ou CrowdSec no Pi para bloquear tentativas repetidas de autenticação.
• Separe conteúdo público de painéis administrativos e proteja ferramentas privadas com Cloudflare Access.
• Envie logs sanitizados para um coletor remoto via VPN para minimizar exposição de metadados.

Monitore cada camada do Raspberry Pi para evitar vazamentos acidentais do IP de origem em falhas:

• Execute cloudflared tunnel info para confirmar que o conector está saudável.
• Consulte o DNS com dig +short e verifique se resolve para IPs da borda da Cloudflare.
• Verifique a interface VPN com wg show ou openvpn --status para confirmar que a criptografia está ativa.
• Monitore CPU, memória, saúde do disco e banda do Raspberry Pi com Netdata, Prometheus Node Exporter ou Grafana Agent.
• Agende verificações de uptime para receber alertas rápidos se o túnel ou VPN cair.
• Revise análises da Cloudflare para picos, bloqueios e padrões que indiquem sondagens.

Um site hospedado no Raspberry Pi pode ter bom ranqueamento se a entrega for rápida e estável:

• Ative cache e recursos de performance da Cloudflare para carregar ativos rapidamente globalmente.
• Use Brotli e HTTP/3 para reduzir latência entre visitantes e a borda da Cloudflare.
• Descarregue ativos estáticos para Cloudflare Workers ou Pages, mantendo a lógica dinâmica no Raspberry Pi.
• Adicione dados estruturados JSON-LD para melhorar elegibilidade a resultados ricos quando relevante.
• Automatize implantações pelo túnel para evitar expor portas de gerenciamento.
• Monitore Core Web Vitals com análises que respeitam a privacidade e corrija regressões cedo.

Separando a entrega da gestão da origem no Raspberry Pi, você garante desempenho global sem perder privacidade.

Aprofunde-se com estes recursos de privacidade e segurança: