A VPS que não custa nada.

Comece em oracle.com/cloud/free. Você vai precisar de nome, endereço e telefone reais, CPF e cartão de crédito internacional físico. Virtual, descartável ou pré-pago costuma ser recusado pelo antifraude. A Oracle faz uma autorização temporária de cerca de US$ 1 no cartão: não é cobrança, cai sozinha.

O que acontece nos primeiros 30 dias

A conta nasce com US$ 300 em créditos de teste, válidos por 30 dias. Isso confunde muita gente: durante esse período você consegue criar recursos que não são gratuitos, e eles somem quando o trial acaba. Regra prática: se o painel não marcar Always Free Eligible, não crie.

Passados os 30 dias, sem upgrade, a conta vira Always Free pura. Os recursos gratuitos continuam de pé por tempo indeterminado. Não é trial disfarçado.

A região que você escolhe no cadastro vira a home region da conta, e instância de computação Always Free só existe lá. Não dá para trocar depois em conta gratuita.

Para servidor de automação — Hermes, n8n, bots, APIs internas — a diferença de latência entre as duas é irrelevante. O que importa é qual delas tem máquina ARM livre, e a Oracle não mostra isso antes de você tentar criar. Se São Paulo recusar de forma persistente, Vinhedo é uma troca barata.

Na ordem, tente:

O upgrade para Pay As You Go, os dois lados

Você vai ler em fórum que migrar para PAYG resolve o “out of capacity”. Historicamente resolve mesmo: contas pagas têm prioridade de capacidade, e os recursos Always Free continuam gratuitos dentro da cota.

O custo é que você perde a rede de proteção. Numa conta gratuita, criar algo fora da cota simplesmente falha. Numa conta PAYG, funciona e cobra. Um clique distraído num shape errado vira fatura em dólar.

Quando a instância ficar verde como Running, copie o IP público. O usuário do primeiro acesso muda conforme a imagem escolhida.

# Ubuntu
ssh -i "C:\caminho\para\sua-chave.key" ubuntu@SEU_IP_PUBLICO

# Oracle Linux
ssh -i "C:\caminho\para\sua-chave.key" opc@SEU_IP_PUBLICO

No PowerShell, remova a herança e deixe só o seu usuário com leitura:

icacls "C:\caminho\para\sua-chave.key" /inheritance:r
icacls "C:\caminho\para\sua-chave.key" /grant:r "$($env:USERNAME):(R)"

Rode o ssh de novo. Entra.

Sua VPS está atrás de duas barreiras independentes. Abrir só uma não adianta, e o sintoma é enganoso: a porta parece aberta no painel e a conexão morre em silêncio.

Camada 1 — no painel

Networking → Virtual Cloud Networks → sua VCN → Security Lists → Default Security List → Add Ingress Rules. Stateless No, Source CIDR 0.0.0.0/0, IP Protocol TCP, Destination Port Range 80,443.

Camada 2 — dentro da máquina (Ubuntu)

A imagem Ubuntu da OCI já vem com regras de iptables e uma regra REJECT no fim da cadeia. Se você acrescentar a sua regra depois do REJECT, ela nunca é lida. Por isso: primeiro descubra a posição do REJECT.

sudo iptables -L INPUT --line-numbers

Procure a linha REJECT all -- anywhere anywhere reject-with icmp-host-prohibited e anote o número dela. Supondo que seja 6, insira antes:

# supondo que o REJECT esteja na linha 6
sudo iptables -I INPUT 6 -p tcp --dport 80 -m state --state NEW -j ACCEPT
sudo iptables -I INPUT 6 -p tcp --dport 443 -m state --state NEW -j ACCEPT
sudo netfilter-persistent save

Confira com sudo iptables -L INPUT --line-numbers que as duas linhas ficaram acima do REJECT. Sem o netfilter-persistent save, tudo volta ao normal no próximo reboot.

Camada 2 — Oracle Linux 9

sudo firewall-cmd --permanent --add-port=80/tcp
sudo firewall-cmd --permanent --add-port=443/tcp
sudo firewall-cmd --reload

A instalação, em ARM, é a mesma de sempre:

curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker $USER
# saia e entre de novo no SSH para o grupo valer

A correção é publicar sempre amarrado ao localhost, e colocar um proxy reverso na frente para quem precisa de acesso externo:

# errado — exposto para a internet inteira
ports:
  - "5678:5678"

# certo — só acessível de dentro da máquina
ports:
  - "127.0.0.1:5678:5678"

Na frente disso, um Caddy ou Nginx nas portas 80 e 443, com HTTPS e autenticação. Só ele fica publicado.

Arquitetura das imagens

Sua máquina é aarch64, não x86. A maioria das imagens grandes já publica linux/arm64, mas nem todas. Antes de brigar com um contêiner que não sobe:

uname -m
docker manifest inspect nome-da-imagem:tag | grep arm64

Sem resultado no grep, aquela imagem não roda aí. Procure a variante ARM ou outro projeto.

IP público na internet começa a receber tentativa de login em minutos. Não é ataque direcionado, é varredura automática, e ela nunca para.

sudo apt update && sudo apt upgrade -y
sudo grep -E "^PasswordAuthentication|^PermitRootLogin" /etc/ssh/sshd_config

Você quer ver PasswordAuthentication no. As imagens da OCI já vêm assim, mas confirmar é barato. Se estiver yes, troque para no e rode sudo systemctl restart ssh sem fechar a sessão atual, testando o login numa segunda janela antes de sair.

sudo apt install -y fail2ban
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

No painel: Storage → Boot Volumes → seu volume → Create Manual Backup. O momento certo de tirar o primeiro é agora, com a máquina limpa e configurada, antes de instalar qualquer coisa. Esse é o ponto para onde você volta quando quebrar algo.

O que backup de volume não cobre

Snapshot de disco te devolve a máquina. Não te devolve um arquivo específico às pressas, e some junto se a conta cair. Para os dados que doem — o .env do Hermes, o histórico de sessões, arquivos de trabalho — mantenha uma cópia fora da Oracle: um rsync ou rclone agendado no cron para outro destino. Regra velha: backup que mora no mesmo lugar que o original não é backup.

Recuperação por ociosidade

A Oracle se reserva o direito de recuperar instância Always Free considerada ociosa. O critério oficial é uma janela de 7 dias em que os três itens abaixo são verdadeiros ao mesmo tempo — basta um acima do limite para barrar a recuperação:

Vale conhecer o número real: 20% de 12 GB são 2,4 GB. Um Hermes conversando por texto, com dois ou três contêineres parados, pode viver abaixo disso e cair nos três critérios ao mesmo tempo.

Há um efeito colateral interessante no outro sentido. Com as ferramentas de navegador ativas, o Hermes trabalha na faixa de 2 a 4 GB — acima do corte de 2,4 GB. Nesse cenário o critério de memória sozinho barra a recuperação, mesmo com a CPU ociosa. É margem estreita, não é garantia: depende de o Chromium ficar residente. Isso se mede, não se supõe.

# depois de uma semana rodando, não antes
free -m
# a coluna "used" é o que a Oracle compara com os 20% de 12 GB

IP público

O IP efêmero acompanha a instância enquanto ela existir. Se você terminar a instância, o IP vai junto, e qualquer domínio apontado para ele quebra. A documentação Always Free consultada não lista IP público reservado entre os recursos gratuitos; antes de reservar um, confira a cota no painel para não gerar cobrança.