Configuração e operação

Execute ssh root@o-seu-ip-do-servidor a partir de qualquer terminal em macOS, Linux ou Windows 10 e posteriores. Use a chave que forneceu no provisionamento, ou a palavra-passe enviada por email. A primeira ligação mostra uma impressão digital da chave do host — compare-a com a do painel de controlo antes de a aceitar.

Cinco passos cobrem a grande maioria dos comprometimentos reais: SSH com chave e autenticação por palavra-passe desativada, sem login direto como root, firewall com negação por defeito, atualizações de segurança automáticas e fail2ban ou equivalente. Juntos, levam cerca de dez minutos e eliminam praticamente todos os ataques automatizados.

Desative completamente a autenticação por palavra-passe — força bruta contra SSH com chave não é possível. Adicione fail2ban para reduzir o ruído nos registos e considere mover o SSH da porta 22 para reduzir o volume de scanners em cerca de 95%. A opção mais forte é colocar o SSH atrás do WireGuard para que nunca fique exposto à internet pública.

Use nftables em Linux moderno ou ufw como interface mais amigável. Defina a política de entrada por defeito como drop, permita ligações estabelecidas e relacionadas e depois permita apenas as portas que realmente serve. Permita sempre a sua porta SSH antes de ativar a política, ou a consola será a única forma de voltar.

Em KVM, sim. A OnionVPS fornece templates para Ubuntu, Debian, AlmaLinux, Rocky, Fedora, Arch, Alpine, NixOS, FreeBSD, OpenBSD, Windows Server, Proxmox e outros, e pode carregar um ISO personalizado e instalar qualquer coisa que arranque. Em virtualização baseada em contentores, como OpenVZ, está limitado aos templates Linux que o anfitrião fornece.

Sim, em todos os planos, sem custo e sem passo de aprovação. Envie a ISO pelo painel ou aponte-nos um URL, fixe-a como suporte virtual e arranque a partir dela através da consola VNC. Qualquer coisa que arranque em hardware KVM padrão será instalada, incluindo BSDs, imagens endurecidas e aplicações.

KVM (Máquina Virtual Baseada no Kernel) é virtualização completa de hardware integrada no kernel Linux, usando extensões do processador para executar cada convidado com o seu próprio kernel e isolamento imposto por hardware. Ao contrário de OpenVZ ou LXC, que partilham o kernel do hospedeiro, um convidado KVM pode carregar módulos do kernel, executar qualquer sistema operativo e usar swap real.

Num VPS KVM, sim, sem restrições — instale o Docker Engine a partir do repositório oficial e tudo funciona, incluindo buildx, Compose e Docker-in-Docker. Em servidores virtuais baseados em OpenVZ ou LXC, o Docker falha ou requer configuração insegura do hospedeiro, porque precisa de cgroups e namespaces que a virtualização de kernel partilhado não expõe.

Sim. A virtualização aninhada está ativada em todas as instâncias OnionVPS, para que possa executar convidados KVM dentro da sua instância, instalar o Proxmox VE, ou executar Docker-in-Docker e trabalhos de CI baseados em VM. Muitos fornecedores desativam-na, o que é a razão habitual para o Proxmox e certas configurações de CI falharem noutros sítios.

Sim, a porta 25 de saída está aberta em todas as instâncias OnionVPS por predefinição. Não há ticket de suporte, requisito de antiguidade da conta ou desbloqueio pago. A maioria dos fornecedores bloqueia-a permanentemente para controlar spam, o que torna o correio auto-hospedado impossível em grande parte do mercado.

Sim, para IPv4 e IPv6, diretamente do painel de controlo, e as alterações propagam-se em minutos. O DNS reverso é essencial para correio: a maioria dos grandes recetores rejeita mensagens de um endereço cujo registo PTR não resolve de volta para o hostname de envio.

Sim. A porta 25 está aberta, o DNS reverso é de autosserviço e o nosso espaço de endereços não tem histórico de spam. Mailcow ou Stalwart dão-lhe uma pilha completa numa noite. A dificuldade não é a instalação — é a entregabilidade, que depende de SPF, DKIM, DMARC, um PTR correspondente e um aquecimento paciente.

Cada instância inclui um endereço IPv4 e um IPv6 /64 encaminhado — isso são 18 quintilhões de endereços v6, não um. Até oito endereços IPv4 adicionais podem ser adicionados por instância por $3 por mês cada, a partir do painel, sem formulário de justificação e sem período de espera.

Sim — uma sub-rede /64 encaminhada em cada instância, em todos os níveis, sem custo. Não é um único endereço: uma sub-rede inteira encaminhada para o seu servidor, para que cada contentor ou serviço possa ter o seu próprio endereço IPv6 público sem tradução de endereços de rede.

Um snapshot é uma cópia pontual do disco da sua instância, tirada instantaneamente e armazenada na mesma infraestrutura. Um backup é uma cópia armazenada noutro lugar. Os snapshots protegem contra os seus próprios erros; os backups protegem contra falhas de infraestrutura. Precisa de ambos, e três snapshots estão incluídos gratuitamente em todos os planos.

Siga a regra 3-2-1: três cópias, em dois tipos de suporte, uma fora do local. Na prática, isso significa instantâneos para recuperação rápida, mais um backup encriptado noturno com restic ou Borg para uma jurisdição diferente, mais uma restauração que testou de facto. Um backup não testado é uma hipótese.

Use a consola VNC fora de banda no painel, reinicie em modo single-user ou de recuperação a partir do gestor de arranque, remonte o sistema de ficheiros raiz em leitura-escrita e execute passwd. Demora cerca de dois minutos e não precisa de um ticket de suporte. Se o disco for encriptado com LUKS e perder a frase de acesso, os dados são irrecuperáveis por design.

Uma consola fora de banda liga-se ao ecrã virtual e ao teclado da sua instância através do painel de controlo, independentemente da sua rede. É assim que corrige uma regra de firewall que o bloqueou, uma configuração SSH partida ou uma falha no arranque — sem abrir um ticket de suporte. Funciona mesmo quando a instância não tem rede nenhuma.

Os dados têm de ser movidos fisicamente, por isso uma mudança de região é uma reconstrução e não uma migração ao vivo. Implemente a nova instância, sincronize os dados com rsync ou um restauro do restic, verifique, corte o DNS com um TTL curto e destrua a antiga. Planeie 30 a 90 minutos dependendo do volume de dados.

Use Ubuntu LTS se está a aprender ou quer o maior corpo de tutoriais e pacotes mais recentes. Use Debian para um servidor minimalista, previsível e de longa vida — fica em idle com aproximadamente metade da memória, não traz Snap nem telemetria do fornecedor. Ambos usam o mesmo formato de pacotes, por isso a maioria das instruções transferem-se diretamente.