Pangolin vs Cloudflare Tunnel (2026): quem controla o ponto de saída

As duas ferramentas resolvem o mesmo problema irritante: tem algo a correr em casa e quer aceder-lhe a partir do exterior sem abrir uma porta no router, o que pode nem sequer ser possível atrás de CGNAT.

E resolvem-no da mesma forma: um daemon na sua máquina abre uma ligação de saída para um endpoint público, e o tráfego regressa por esse canal. Nada fica à escuta no seu IP doméstico.

A diferença cabe numa palavra: de quem é o endpoint público.

Com o Pangolin, esse endpoint é um servidor que aluga: qualquer pequeno VPS com um IPv4 público serve, por exemplo um Contabo Cloud VPS (link de afiliado), a partir de 5,50 €/mês em 24 meses (preço verificado a 17 de outubro de 2026).

Resposta curta

O Cloudflare Tunnel entrega o endpoint público à Cloudflare. Nada para alugar, nada para atualizar, e funciona em poucos minutos.

O Pangolin coloca esse endpoint numa máquina que aluga e gere, normalmente um pequeno VPS. Mantém o caminho só para si, e herda um servidor de que tem de cuidar.

É esta a troca toda. Tudo o que se segue é consequência disso.

Quem está no caminho?

Com o Cloudflare Tunnel, os visitantes ligam-se à Cloudflare, e a Cloudflare liga-se a si. Se a Cloudflare terminar o TLS do seu hostname (a configuração padrão), o seu tráfego é desencriptado na edge deles antes de ser novamente encriptado pelo túnel. Não é um comportamento oculto; é a única forma de a cache e a filtragem poderem funcionar.

Se isso importa depende do que expõe. Um blogue público e um servidor de documentos não são a mesma decisão, e vale a pena fazer essa distinção de forma deliberada e não por defeito.

Com o Pangolin, o endpoint é o seu VPS. O seu fornecedor continua a alojar a máquina, por isso "ninguém está no caminho" seria exagerado, mas o software que termina o seu tráfego é seu, e a configuração também.

Estar no caminho significa também definir as regras do caminho, e a Cloudflare publica-as como valores fixos. Entre a Cloudflare e a sua origem, os limites documentados incluem um timeout de ACK TCP de 90 segundos, um intervalo de keep-alive TCP de 30 segundos e um timeout de inatividade do proxy de 900 segundos, cada um com o erro HTTP que produz quando é ultrapassado (522 e 520). Entre o visitante e a Cloudflare, uma ligação HTTP/1.1 ou HTTP/2 inativa é fechada aos 400 segundos. A própria tabela da Cloudflare marca todos estes valores como não configuráveis, e remete os utilizadores de túneis para a configuração de origem separada para alterar o pouco que pode ser alterado. No seu próprio endpoint, é você que os define por inteiro, o que importa no dia em que expuser algo de longa duração, um websocket ou um upload grande, que não cabe nos valores por defeito de outra pessoa.

O endpoint público está sempre na máquina de alguém. A pergunta a que um túnel responde não é se há um servidor no caminho, mas de quem ele é.

O que cada um custa realmente

O Cloudflare Tunnel está disponível no plano gratuito, e muita gente usa-o durante anos sem pagar. A formulação honesta: gratuito descreve o preço, não o acordo. O seu tráfego atravessa uma infraestrutura que não controla, em condições que podem mudar.

O Pangolin não tem custo de licença, mas também não é gratuito. Paga o VPS e, o que sai mais caro, assume a manutenção: atualizações, certificados, monitorização e uma cópia de segurança da configuração.

As pessoas comparam os valores mensais e ficam por aí. O custo recorrente que as surpreende é o segundo.

Qual escolher para um servidor doméstico?

• Quer que funcione esta noite, sem nada para manter → Cloudflare Tunnel. Difícil argumentar contra.
• Está a expor algo que não confiaria a um terceiro → túnel self-hosted para o seu próprio VPS.
• Está atrás de CGNAT e não tem endereço público → ambos funcionam; é exatamente para isso que servem.
• Quer aprender como isto funciona → o Pangolin ensina mais, porque é você que monta as peças.

Uma nota sobre o VPS, já que é aí que o plano costuma encontrar a realidade: o endpoint precisa de um endereço público estável, algo que uma ligação doméstica atrás de CGNAT não lhe pode dar. O escalão mais pequeno de qualquer fornecedor sério chega para um túnel, não é uma carga de trabalho que precise de núcleos. O que precisa é de continuar a correr, e continuar atualizado, daqui a oito meses.

O erro que ambas as ferramentas convidam a cometer

Um túnel não é autenticação.

Elimina a porta aberta. Não decide quem pode passar. Aquilo que expõe fica acessível a qualquer pessoa que descubra o hostname, e os hostnames acabam por ser divulgados, através dos registos de certificate transparency, entre outras vias. Este último caso não é hipotético. O Certificate Transparency, especificado no RFC 6962 em junho de 2013, publica os certificados TLS emitidos em registos de apenas acréscimo que qualquer pessoa pode consultar, e os principais browsers exigem hoje que os certificados lá constem para serem considerados fidedignos. Assim, no momento em que o seu túnel obtém um certificado de uma CA pública, o seu hostname fica publicado, pesquisável e permanente. Dar a um serviço um nome impossível de adivinhar não lhe serve de nada aqui.

Ambos os projetos incluem controlos de acesso exatamente por esta razão. Use-os. O túnel nunca foi a fronteira de segurança; foi apenas a canalização que permitiu ao tráfego chegar.

Então, qual escolher?

Pergunte-se a quem quer confiar o ponto de saída.

Se a resposta é "não quero gerir um servidor para isto", o Cloudflare Tunnel é a ferramenta certa e não há vergonha nenhuma nisso: a alternativa é uma máquina que tem de manter viva durante anos.

Se a resposta é "o caminho tem de ser meu", então é o Pangolin, e o preço é um VPS cuja manutenção passa a ser sua.

O que nenhum dos dois resolve é a pergunta que vem a seguir: aquilo que acabou de expor continua a precisar da sua própria autenticação, das suas próprias atualizações e da sua própria cópia de segurança. O túnel apenas o tornou acessível.