A VPS que não custa nada.

Comece em oracle.com/cloud/free. Você vai precisar de:

• Nome, endereço e telefone reais.
• CPF.
• Cartão de crédito internacional físico. Virtual, descartável ou pré-pago costuma ser recusado pelo antifraude.
• Uma autorização temporária de cerca de US$ 1 no cartão. Não é cobrança, cai sozinha.

O que acontece nos primeiros 30 dias

A conta nasce com US$ 300 em créditos de teste, válidos por 30 dias. Isso confunde muita gente: durante esse período você consegue criar recursos que não são gratuitos, e eles somem quando o trial acaba. Regra prática: se o painel não marcar Always Free Eligible, não crie.

Passados os 30 dias, sem upgrade, a conta vira Always Free pura. Os recursos gratuitos continuam de pé por tempo indeterminado. Não é trial disfarçado.

A região que você escolhe no cadastro vira a home region da conta, e instância de computação Always Free só existe lá. Não dá para trocar depois em conta gratuita.

Para servidor de automação — n8n, bots, APIs internas — a diferença de latência entre as duas é irrelevante. O que importa é qual delas tem máquina ARM livre, e a Oracle não mostra isso antes de você tentar criar. Se São Paulo recusar de forma persistente, Vinhedo é uma troca barata.

O ARM gratuito vive lotado. Na ordem, tente:

O upgrade para Pay As You Go, os dois lados

Você vai ler em fórum que migrar para PAYG resolve o “out of capacity”. Historicamente resolve mesmo: contas pagas têm prioridade de capacidade, e os recursos Always Free continuam gratuitos dentro da cota.

O custo é que você perde a rede de proteção. Numa conta gratuita, criar algo fora da cota simplesmente falha. Numa conta PAYG, funciona e cobra. Um clique distraído num shape errado vira fatura em dólar.

Quando a instância ficar verde como Running, copie o IP público. O comando é:

# Ubuntu
ssh -i "C:\caminho\para\sua-chave.key" ubuntu@SEU_IP_PUBLICO

# Oracle Linux
ssh -i "C:\caminho\para\sua-chave.key" opc@SEU_IP_PUBLICO

No PowerShell, remova a herança e deixe só o seu usuário com leitura:

icacls "C:\caminho\para\sua-chave.key" /inheritance:r
icacls "C:\caminho\para\sua-chave.key" /grant:r "$($env:USERNAME):(R)"

Rode o ssh de novo. Entra.

Sua VPS está atrás de duas barreiras independentes. Abrir só uma não adianta, e o sintoma é enganoso: a porta parece aberta no painel e a conexão morre em silêncio.

Camada 1 — no painel

Networking → Virtual Cloud Networks → sua VCN → Security Lists → Default Security List → Add Ingress Rules:

• Stateless: No
• Source CIDR: 0.0.0.0/0
• IP Protocol: TCP
• Destination Port Range: 80,443

Camada 2 — dentro da máquina (Ubuntu)

A imagem Ubuntu da OCI já vem com regras de iptables e uma regra REJECT no fim da cadeia. Se você acrescentar a sua regra depois do REJECT, ela nunca é lida. Por isso: primeiro descubra a posição do REJECT.

sudo iptables -L INPUT --line-numbers

Procure a linha REJECT all -- anywhere anywhere reject-with icmp-host-prohibited e anote o número dela. Supondo que seja 6, insira antes:

sudo iptables -I INPUT 6 -p tcp --dport 80 -m state --state NEW -j ACCEPT
sudo iptables -I INPUT 6 -p tcp --dport 443 -m state --state NEW -j ACCEPT
sudo netfilter-persistent save

Confira com sudo iptables -L INPUT --line-numbers que as duas linhas ficaram acima do REJECT. Sem o netfilter-persistent save, tudo volta ao normal no próximo reboot.

Camada 2 — Oracle Linux 9

sudo firewall-cmd --permanent --add-port=80/tcp
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --reload

Instalação, em ARM, é a mesma de sempre:

curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker $USER
# saia e entre de novo no SSH para o grupo valer

A correção é publicar sempre amarrado ao localhost, e colocar um proxy reverso na frente para quem precisa de acesso externo:

# errado — exposto para a internet
ports:
  - "5678:5678"

# certo — só acessível de dentro da máquina
ports:
  - "127.0.0.1:5678:5678"

Na frente disso, um Caddy ou Nginx nas portas 80/443, com HTTPS e autenticação. Só ele fica publicado.

Arquitetura das imagens

Sua máquina é aarch64, não x86. Confirme com uname -m. A maioria das imagens grandes já publica linux/arm64, mas nem todas. Antes de brigar com um container que não sobe:

docker manifest inspect nome-da-imagem:tag | grep arm64

Sem resultado, aquela imagem não roda aí. Procure a variante ARM ou outro projeto.

IP público na internet começa a receber tentativa de login em minutos. Não é ataque direcionado, é varredura automática, e ela nunca para.

sudo apt update && sudo apt upgrade -y
sudo grep -E "^PasswordAuthentication|^PermitRootLogin" /etc/ssh/sshd_config

Você quer ver PasswordAuthentication no. As imagens da OCI já vêm assim, mas confirmar é barato. Se estiver yes, troque para no e rode sudo systemctl restart ssh sem fechar a sessão atual, e testando o login numa segunda janela antes de sair.

fail2ban e atualização automática de segurança

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

No painel: Storage → Boot Volumes → seu volume → Create Manual Backup. O momento certo de tirar o primeiro é agora, com a máquina limpa e configurada, antes de instalar qualquer coisa. Esse é o ponto para onde você volta quando quebrar algo.

O que backup de volume não cobre

Snapshot de disco te devolve a máquina. Não te devolve um arquivo específico às pressas, e some junto se a conta cair. Para os dados que doem — banco do n8n, credenciais, arquivos de trabalho — mantenha uma cópia fora da Oracle: um rsync ou rclone agendado no cron para outro destino. Regra velha: backup que mora no mesmo lugar que o original não é backup.

Recuperação por ociosidade

A Oracle se reserva o direito de recuperar instância Always Free considerada ociosa. O critério oficial é uma janela de 7 dias em que os três itens abaixo são verdadeiros ao mesmo tempo:

• CPU no percentil 95 abaixo de 20%
• Uso de rede abaixo de 20%
• Uso de memória abaixo de 20%, este só se aplica a shapes A1

Vale conhecer o número real: 20% de 12 GB são 2,4 GB. Um n8n parado com dois ou três containers pode ficar abaixo disso e cair nos três critérios simultaneamente. Não existe truque oficial contra isso, e prometer um seria mentira: o que protege é uso de verdade. Se a máquina vai ficar realmente ociosa por semanas, ela está em risco, e vale saber disso antes de colocar algo importante nela.

Há um efeito colateral interessante no outro sentido. Basta uma das três métricas acima do limite para barrar a recuperação, e o Hermes com as ferramentas de navegador ativas trabalha na faixa de 2 a 4 GB, acima do corte de 2,4 GB. Nesse cenário o critério de memória sozinho protege a máquina, mesmo com a CPU ociosa. É margem estreita, não é garantia: depende de o Chromium ficar residente. Isso se mede depois de uma semana rodando, não se supõe.

# depois de uma semana rodando, não antes
free -m
# a coluna "used" é o que a Oracle compara com os 20% de 12 GB

IP público

O IP efêmero acompanha a instância enquanto ela existir. Se você terminar a instância, o IP vai junto, e qualquer domínio apontado para ele quebra. A documentação Always Free que consultei não lista IP público reservado entre os recursos gratuitos; antes de reservar um, confira a cota no painel para não gerar cobrança.

• Instância Running, shape VM.Standard.A1.Flex com o selo Always Free Eligible
• SSH conectando com a chave, depois do icacls
• Chave privada guardada fora da pasta Downloads, com uma cópia segura
• Ingress Rules na Security List: 80 e 443
• iptables com as regras acima do REJECT e netfilter-persistent save rodado
• Reboot feito, e as portas continuam abertas
• Docker instalado, containers publicados em 127.0.0.1
• Proxy reverso com HTTPS na frente do que precisa ser público
• PasswordAuthentication no confirmado
• fail2ban ativo e unattended-upgrades instalado
• Primeiro backup manual do boot volume tirado
• Cópia dos dados críticos saindo da Oracle por cron