Descomplicando a liberação de portas na Oracle Cloud (OCI)

Se você migrou para Oracle Cloud Infrastructure (OCI), já percebeu que “abrir porta” envolve mais etapas do que em outros provedores. Isso é esperado: a OCI adota uma abordagem de segurança por padrão com múltiplas camadas.

Modelo de 3 camadas de bloqueio

Para o pacote chegar na aplicação, ele precisa passar por três portões.

1. Camada de Rede (VCN)

Aqui o tráfego pode ser filtrado em:

Security Lists: regras no nível da sub-rede.
Network Security Groups (NSG): regras no nível da interface (VNIC).

Erro comum: liberar na Security List, mas a instância estar presa a um NSG sem regra equivalente.

2. Camada do Sistema Operacional

As imagens oficiais (Oracle Linux, Ubuntu, RHEL) já vêm com firewall ativo. Muitas vezes a regra de bloqueio global aparece antes da regra de liberação.

3. Camada da Aplicação (Binding)

Se o serviço estiver escutando em 127.0.0.1, ele não aceita conexões externas. Para acesso externo, deve escutar em 0.0.0.0 ou ::.

Passo a passo para liberar tráfego

Passo 1: Console OCI

Em Networking > Virtual Cloud Networks > [VCN] > Security Lists, adicione uma regra de entrada:

Source CIDR: 0.0.0.0/0 (ou IP específico)
Protocolo: TCP/UDP
Port Range: porta ou faixa (ex: 443, 1514-1515)

Passo 2: Firewall Linux

RHEL / Oracle Linux

Use inserção no topo (-I) para evitar ficar atrás de regra de REJECT:

sudo iptables -I INPUT 1 -p tcp --dport [SUA_PORTA] -j ACCEPT
sudo iptables-save | sudo tee /etc/sysconfig/iptables

Debian / Ubuntu

sudo ufw allow [SUA_PORTA]/tcp

Passo 3: Verificar escuta da aplicação

sudo ss -tulpn | grep [SUA_PORTA]

Saída correta:

0.0.0.0:[PORTA]
:::[PORTA]

Saída incorreta:

127.0.0.1:[PORTA]

Troubleshooting rápido

Teste externo com nc ou telnet:

Connection Timeout: bloqueio na camada OCI (Security List/NSG).
Connection Refused: chegou no host, mas firewall local/serviço recusou.
Connected: fluxo ok.

Na OCI, liberação de portas exige validação em cadeia:

Console OCI (VCN/NSG)
Firewall do sistema
Binding da aplicação

Ignorar qualquer camada mantém o serviço inacessível.

Este post está licenciado sob CC BY-NC.