Expor o painel: o que muda e o caminho que menos muda

O servidor está em casa ou no escritório e você quer alcançá-lo de fora. A pergunta é legítima, mas a resposta não é "faço ou não faço", é "por qual caminho".

O que muda no momento em que você faz isso

O painel deixa de ser um lugar que só quem está na sua rede alcança. A página de acesso fica visível na internet, e páginas de acesso visíveis na internet são testadas automaticamente. Isso não é um ataque dirigido a você, é um ruído de fundo constante que encontra um endereço recém-aberto em questão de horas. A questão não é alguém te mirar, é a sua vez chegar sozinha.

Três caminhos

O primeiro: não expor. Você entra primeiro na rede e depois usa o painel como se estivesse em casa. O painel nunca fica visível de fora, então não existe página de acesso para testar. É o caminho que menos muda e mais protege.

O segundo: colocar uma porta na frente. O painel não fala primeiro; uma camada que confere quem você é recebe o visitante, e só depois se chega ao painel. O painel continua não sendo a primeira coisa com que um desconhecido conversa.

O terceiro: expor diretamente. A porta é encaminhada para fora e tudo repousa nos ombros da página de acesso e do certificado. Dá para fazer, mas a sua defesa passa a ser uma única camada.

O mínimo se você expuser

O segundo fator não é uma preferência. O trabalho diário não deveria ser feito como root, porque uma conta com privilégios completos atrás de uma porta aberta para fora multiplica dois riscos. O certificado deve ser real, e a razão não é a criptografia em si: se você vê um aviso a cada acesso, você se acostuma a clicar por cima dos avisos, e no dia em que o aviso de verdade chega, você clica por cima dele também.

Para que serve limitar tentativas

Limitar tentativas malsucedidas não para alguém decidido. O que ela faz é mais valioso: corta o ruído de fundo, de modo que os eventos que sobram no registro são os que realmente merecem um olhar. Um registro que produz milhares de linhas o tempo todo não é lido, e um registro que não é lido não existe.

Duas coisas frequentemente esquecidas

Expor o painel expõe o console. Quem entra no painel entra também nas telas das máquinas, ou seja, na sessão de cada máquina virtual lá dentro. O que está atrás do painel importa tanto quanto o próprio painel.

E o acesso remoto ao shell é uma porta separada. Fechar uma não fecha a outra; as duas se pensam separadamente.

O que o Atlas faz

O Atlas carrega a sessão em um cookie que os scripts da página não conseguem ler, e considera esse cookie válido só em pedidos vindos do próprio site, de forma que nenhuma outra página consegue fazer a sua sessão trabalhar para ela. Acessos malsucedidos são limitados: passado certo número, o pedido é recusado, e essa recusa é escrita no registro. A resposta de acesso não distingue uma conta existente de uma inexistente, então quem varre nomes de usuário de fora não consegue montar uma lista. Nada disso torna seguro expor o painel; isso define em que chão você está se escolher expor.