. \t\t\t\t<\/p>\r\n \t\t\t \t\t\t\r\n \t\t<\/div>\r\n \t\t<\/span><\/p>\n2.\u00a0 Configura\u00e7\u00e3o de infraestrutura (painel)<\/b><\/h2>\n
A base de uma aplica\u00e7\u00e3o segura \u00e9 o isolamento de rede. Criaremos uma Virtual Private Cloud (VPC) para abrigar nossos servidores, garantindo que o banco de dados n\u00e3o seja exposto diretamente \u00e0 internet.<\/span><\/p>\n2.1. Cria\u00e7\u00e3o da Rede VPC e Tiers<\/b><\/h3>\n\n- Navegue at\u00e9 <\/span>Rede<\/b> > <\/span>VPC<\/b> no painel do Locaweb Cloud e clique em <\/span>Adicionar VPC<\/b>.<\/span><\/li>\n
- Defina o bloco CIDR principal (exemplo: 10.0.0.0\/16) e selecione a Oferta de VPC adequada ao seu projeto.<\/span><\/li>\n
- Dentro da nova VPC, acesse a aba <\/span>Redes<\/b> e clique em <\/span>Adicionar novo tier<\/b>.<\/span><\/li>\n
- Crie um tier chamado Tier-Aplicacao (exemplo de CIDR: 10.0.1.0\/24) para o servidor da aplica\u00e7\u00e3o Spring Boot e outro chamado Tier-BancoDados (exemplo de CIDR: 10.0.2.0\/24) para o PostgreSQL.<\/span><\/li>\n<\/ol>\n
2.2. Provisionamento das m\u00e1quinas virtuais (VMs)<\/b><\/h3>\n
Ser\u00e3o necess\u00e1rias duas inst\u00e2ncias: uma para o banco de dados e outra para a aplica\u00e7\u00e3o.<\/span><\/p>\n\n- Navegue at\u00e9 <\/span>Computa\u00e7\u00e3o<\/b> > <\/span>VMs<\/b> e clique em <\/span>Adicionar VM<\/b>.<\/span><\/li>\n
- VM de Banco de Dados:<\/b>\n
\n- Template:<\/b> selecione Ubuntu 22.04 LTS.<\/span><\/li>\n
- Oferta:<\/b> escolha um plano com recursos de CPU e RAM otimizados para banco de dados (exemplo: 4 vCPUs, 8 GB de RAM).<\/span><\/li>\n
- Rede:<\/b> conecte ao Tier-BancoDados.<\/span><\/li>\n
- Chave SSH:<\/b> selecione a sua chave p\u00fablica previamente cadastrada.<\/span><\/li>\n
- Disco secund\u00e1rio:<\/b> durante a cria\u00e7\u00e3o, adicione um Datadisk (exemplo: 50 GB) que ser\u00e1 usado para persistir os dados do PostgreSQL.<\/span><\/li>\n<\/ul>\n<\/li>\n
- VM da Aplica\u00e7\u00e3o:<\/b>\n
\n- Repita o processo, escolhendo um plano adequado para a carga do seu projeto (exemplo: 2 vCPUs, 4 GB de RAM).<\/span><\/li>\n
- Template:<\/b> Ubuntu 22.04 LTS.<\/span><\/li>\n
- Rede:<\/b> conecte ao Tier-Aplicacao.<\/span><\/li>\n
- Chave SSH:<\/b> selecione a mesma chave p\u00fablica cadastrada.<\/span><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n
2.3. IPs P\u00fablicos, encaminhamento de porta e regras de Firewall<\/b><\/h3>\n
A VM de banco de dados permanecer\u00e1 isolada, comunicando-se apenas com a VM da aplica\u00e7\u00e3o via IP privado. Para a VM da aplica\u00e7\u00e3o receber tr\u00e1fego web:<\/span><\/p>\n\n- Acesse <\/span>Rede<\/b> > <\/span>VPC<\/b> > <\/span>[Sua VPC]<\/b> > <\/span>IPs P\u00fablicos<\/b> e clique em <\/span>Obter um novo IP<\/b>.<\/span><\/li>\n
- Selecione o IP adquirido e v\u00e1 para a aba <\/span>Encaminhamento de porta<\/b>. Crie regras direcionando as portas p\u00fablicas para a VM da aplica\u00e7\u00e3o conforme a tabela abaixo:<\/span><\/li>\n<\/ol>\n
\n\n\n| Porta p\u00fablica<\/b><\/td>\n | Porta privada<\/b><\/td>\n | Protocolo<\/b><\/td>\n | Destino<\/b><\/td>\n | Finalidade<\/b><\/td>\n<\/tr>\n\n| 22<\/span><\/td>\n | 22<\/span><\/td>\n | TCP<\/span><\/td>\n | VM-SpringBoot<\/span><\/td>\n | Acesso SSH<\/span><\/td>\n<\/tr>\n\n| 8080<\/span><\/td>\n | 8080<\/span><\/td>\n | TCP<\/span><\/td>\n | VM-SpringBoot<\/span><\/td>\n | API Spring Boot<\/span><\/td>\n<\/tr>\n\n| 80<\/span><\/td>\n | 80<\/span><\/td>\n | TCP<\/span><\/td>\n | VM-SpringBoot<\/span><\/td>\n | HTTP (Let’s Encrypt)<\/span><\/td>\n<\/tr>\n\n| 443<\/span><\/td>\n | 443<\/span><\/td>\n | TCP<\/span><\/td>\n | VM-SpringBoot<\/span><\/td>\n | HTTPS<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \u00a0<\/span><\/p>\n\n- Na aba <\/span>Firewall<\/b>, adicione regras de entrada liberando o tr\u00e1fego de entrada (<\/span>inbound<\/span><\/i>) para as portas 22, 80, 443 e 8080. Para a porta 22 (SSH), recomendamos fortemente restringir o CIDR de origem ao IP da sua rede de administra\u00e7\u00e3o (exemplo: <SEU_IP_DE_ESCRITORIO>\/32), em vez de liberar 0.0.0.0\/0.<\/span><\/li>\n<\/ol>\n \t\t
\r\n \t\t\t Aviso!<\/span> \t\t\t \t\t\t\t\r\n \t\t\t\t\tA porta do banco de dados (PostgreSQL, 5432) NUNCA deve constar no encaminhamento de porta nem em regra de Firewall voltada para a internet. O acesso ao banco ocorre exclusivamente pela rede privada da VPC, entre o Tier-Aplicacao e o Tier-BancoDados.<\/span> \t\t\t\t<\/p>\r\n \t\t\t \t\t\t\r\n \t\t<\/div>\r\n \t\t\n2.4. ACL de rede entre os Tiers<\/b><\/h3>\nPara que a VM da aplica\u00e7\u00e3o alcance o banco de dados pela rede privada, configure a ACL da VPC permitindo o tr\u00e1fego da sub-rede de aplica\u00e7\u00e3o at\u00e9 a porta do PostgreSQL:<\/span><\/p>\n\n\n\n| Origem (CIDR)<\/b><\/td>\n | Destino<\/b><\/td>\n | Protocolo<\/b><\/td>\n | Porta<\/b><\/td>\n | A\u00e7\u00e3o<\/b><\/td>\n<\/tr>\n\n| 10.0.1.0\/24 (Tier-Aplicacao)<\/span><\/td>\n | Tier-BancoDados<\/span><\/td>\n | TCP<\/span><\/td>\n | 5432<\/span><\/td>\n | Permitir<\/span><\/td>\n<\/tr>\n\n| 0.0.0.0\/0<\/span><\/td>\n | Tier-BancoDados<\/span><\/td>\n | TCP<\/span><\/td>\n | 5432<\/span><\/td>\n | Negar<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n \u00a0<\/span><\/p>\n3. Prepara\u00e7\u00e3o do disco de dados na VM de banco de dados<\/b><\/h2>\nPara que os dados do PostgreSQL sobrevivam a reinicializa\u00e7\u00f5es e recria\u00e7\u00f5es da inst\u00e2ncia, vamos formatar e montar o disco secund\u00e1rio de forma persistente. Acesse a VM de banco de dados via SSH (fazendo um salto a partir da VM de aplica\u00e7\u00e3o, j\u00e1 que o banco n\u00e3o possui IP p\u00fablico) e execute:<\/span><\/p>\nBash<\/span><\/p>\n# Lista os discos dispon\u00edveis para identificar o disco secund\u00e1rio \r\n(geralmente \/dev\/vdb)<\/span>\r\nlsblk<\/span>\r\n\r\n# Cria o sistema de arquivos ext4 no disco secund\u00e1rio identificado<\/span>\r\n sudo mkfs.ext4 \/dev\/vdb<\/span>\r\n\r\n# Cria o ponto de montagem onde os dados do PostgreSQL \r\n<\/span>ser\u00e3o armazenados \r\n\r\nsudo mkdir -p \/mnt\/dados<\/span><\/pre>\nEm vez de referenciar o disco pelo nome do dispositivo, usamos o UUID est\u00e1vel no \/etc\/fstab:<\/span><\/p>\nBash<\/span>\r\n\r\n# Exibe o UUID do disco secund\u00e1rio<\/span>\r\nsudo blkid \/dev\/vdb<\/span>\r\n\r\n# Copie o valor de UUID exibido na sa\u00edda<\/span>\r\n\r\n# Adiciona a montagem permanente usando o UUID (substitua )<\/span>\r\necho 'UUID=\u00a0 \/mnt\/dados\u00a0 ext4\u00a0 defaults,nofail,noatime\u00a0 0\u00a0 2' \r\n| sudo tee -a \/etc\/fstab<\/span>\r\n\r\n# Monta todos os pontos definidos no fstab e confirma o resultado<\/span>\r\nsudo mount -a<\/span>\r\ndf -h \/mnt\/dados<\/span>\r\n<\/pre>\n \t\t\r\n \t\t\t Importante!<\/span> \t\t\t \t\t\t\t\r\n \t\t\t\t\t<\/span>
\n<\/span>O par\u00e2metro nofail impede que a VM falhe na inicializa\u00e7\u00e3o caso o disco n\u00e3o esteja dispon\u00edvel, e noatime reduz a escrita de metadados, melhorando o desempenho do banco. O campo final 2 indica a ordem de verifica\u00e7\u00e3o do sistema de arquivos no boot. \t\t\t\t<\/p>\r\n \t\t\t \t\t\t\r\n \t\t<\/div>\r\n \t\t<\/span><\/p>\n\u00a0<\/span><\/p>\n4. Configura\u00e7\u00e3o do banco de dados: PostgreSQL<\/b><\/h2>\nComo estamos operando em IaaS, o banco de dados \u00e9 configurado dentro da VM designada no Tier-BancoDados. Ainda conectado a essa VM via SSH, instale o PostgreSQL:<\/span><\/p>\nBash<\/span><\/p>\n# Atualiza a lista de pacotes e instala o servidor PostgreSQL e<\/span>\r\n utilit\u00e1rios extras<\/span>\r\n sudo apt update && sudo apt install postgresql postgresql-contrib -y<\/span>\r\n\r\n# Habilita o servi\u00e7o para iniciar junto com o sistema e o inicia<\/span>\r\n imediatamente<\/span>\r\nsudo systemctl enable --now postgresql<\/span><\/pre>\nConfirme a vers\u00e3o instalada para localizar corretamente os arquivos de configura\u00e7\u00e3o:<\/span><\/p>\nBash<\/span><\/p>\n# Exibe a vers\u00e3o instalada; o n\u00famero comp\u00f5e o caminho dos \r\narquivos de configura\u00e7\u00e3o<\/span>\r\npsql --version<\/span>\r\n<\/pre>\n4.1. Apontando o PostgreSQL para o banco e rede privada<\/b><\/h3>\nAbra o arquivo de configura\u00e7\u00e3o principal para permitir que o PostgreSQL aceite conex\u00f5es na interface da rede privada da Tier:<\/span><\/p>\nBash<\/span><\/p>\nsudo nano \/etc\/postgresql\/14\/main\/postgresql.conf<\/span>\r\n<\/pre>\nAltere a linha correspondente para escutar em todas as interfaces:<\/span><\/p>\nSnippet de c\u00f3digo<\/span><\/p>\nlisten_addresses = '*'<\/span><\/pre>\nPara elevar a seguran\u00e7a, configure restri\u00e7\u00f5es diretamente no banco de dados, definindo quais origens possuem permiss\u00e3o para autentica\u00e7\u00e3o. Edite o arquivo de autentica\u00e7\u00e3o de host (HBA) para aceitar conex\u00f5es apenas da Tier-Publica-Web (10.0.1.0\/24):<\/span><\/p>\nBash<\/span><\/p>\n\r\nsudo nano \/etc\/postgresql\/14\/main\/pg_hba.conf<\/span>\r\n<\/pre>\nAdicione a seguinte linha ao final do arquivo para liberar a autentica\u00e7\u00e3o criptografada somente para a sub-rede da aplica\u00e7\u00e3o:<\/span><\/p>\nSnippet de c\u00f3digo<\/p>\n # TYPE\u00a0 DATABASE\u00a0 \u00a0 \u00a0 \u00a0 USER\u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 ADDRESS \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 METHOD<\/span>\r\n\r\nhost\u00a0 \u00a0 all \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 all \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 \u00a0 10.0.1.0\/24 \u00a0 \u00a0 \u00a0 scram-sha-256<\/span>\r\n<\/pre>\n\u00a0<\/span><\/p>\n4.2. Cria\u00e7\u00e3o das credenciais da aplica\u00e7\u00e3o<\/b><\/h3>\nAcesse o prompt administrativo do PostgreSQL para criar a estrutura do projeto:<\/span><\/p>\nBash<\/span><\/p>\n# Acessa o prompt administrativo do PostgreSQL como o \r\nusu\u00e1rio do sistema \"postgres\"<\/span>\r\nsudo -u postgres psql<\/span><\/pre>\nNo prompt do psql, execute os comandos abaixo:<\/span><\/p>\nSQL<\/span><\/p>\n-- Cria o banco de dados da aplica\u00e7\u00e3o<\/span>\r\n\r\nCREATE DATABASE app_db;<\/span>\r\n\r\n | | | | | | | |