termalO seu Home Assistant está em http://homeassistant.local:8123, o seu Grafana na :3000, e os dois estão presos na sua rede doméstica. Você quer acessá-los num navegador a partir do escritório, do celular, ou compartilhá-los com alguém — sem transformar o seu roteador em uma superfície de ataque. Veja cinco formas de fazer isso, o que cada uma realmente custa e um passo a passo do caminho só por convite.
Por que não simplesmente encaminhar a 8123 ou a 3000
Encaminhar a porta no seu roteador coloca uma página de login — às vezes um dashboard aberto — na frente de todo bot da internet. O Home Assistant e o Grafana são sondados o tempo todo assim que são encontrados, e uma senha reutilizada ou uma CVE não corrigida é tudo o que basta. O NAT de operadora (comum em fibra doméstica e em 4G/5G) muitas vezes torna o encaminhamento impossível de qualquer forma. Toda opção abaixo existe para evitar essa única porta aberta.
As cinco opções
| Opção | URL pública? | No dispositivo de quem vê | Funciona além do HA? | Custo |
|---|---|---|---|---|
| Nabu Casa (HA Cloud) | Sim, um subdomínio seu | Nada | Não — só o Home Assistant | Assinatura |
| Cloudflare Tunnel | Pública, ou protegida pelo Access | Nada, ou um login do Access | Sim | Plano gratuito; precisa de um domínio |
| Tailscale / WireGuard | Não — malha privada | Um cliente de VPN, em todo lugar | Sim | Plano gratuito |
| Proxy reverso + encaminhamento de porta | Sim — na internet | Nada | Sim | O seu tempo + a exposição |
| Site interno do Termalin | Não — convite por e-mail | Só um navegador | Sim | Plano Pro |
O Nabu Casa é o Home Assistant Cloud oficial. É o caminho mais tranquilo para o Home Assistant — UI remota, uma URL estável, e ele financia o projeto —, mas cobre só o Home Assistant, não o seu Grafana nem o Portainer.
O Cloudflare Tunnel (cloudflared) conecta para fora a partir de um daemon na sua LAN, então nenhuma porta abre. É poderoso e tem um plano gratuito, mas, para manter um dashboard privado, você precisa ter um domínio e colocar uma política do Cloudflare Access na frente dele; sem isso, o nome de host é uma URL pública que qualquer um pode acessar.
O Tailscale ou o WireGuard constrói uma malha privada — nada é exposto, e é excelente para os seus próprios dispositivos. A ressalva: todo mundo que se conecta instala e faz login no cliente de VPN, o que é difícil de vender para um familiar ou um convidado ocasional.
Um proxy reverso com uma porta encaminhada (nginx, Caddy, Traefik) te dá um HTTPS limpo, mas você ainda está publicando o serviço na internet e assumindo sozinho cada correção e decisão de autenticação.
Um site interno do Termalin fica em um lugar diferente: nenhuma URL pública e nenhum cliente do lado de quem vê. Um Connector na sua LAN conecta para fora, e o dashboard abre em um endereço privado como https://<10 caracteres>.termal.ink — para você e para as pessoas que você convidar por e-mail. É a forma mais rápida de compartilhar um dashboard com uma pessoa específica. As ressalvas são honestas: ele precisa de um plano Pro, há um limite flexível de 5 GB por dia por link, e não há link público permanente — um recurso se você quer privacidade, um limite se você quer uma página de status pública.
Passo a passo com um Connector
Isso funciona para o Home Assistant, o Grafana, o Portainer, o Proxmox — qualquer coisa com uma UI web na sua rede, porque os WebSockets passam direto, então as atualizações ao vivo do HA e os painéis ao vivo do Grafana se comportam como na LAN.
- Instale um Connector na máquina do Home Assistant, ou em qualquer máquina sempre ligada na mesma rede — um Raspberry Pi, um NAS, um pequeno VPS na LAN. Uma linha do Obter comando de instalação no painel web; ele conecta para fora e nunca escuta.
- Adicione o site. No painel web, abra o card Sites internos (ao lado de Backups) → Adicionar um site. Escolha o Connector e digite o endereço como aquela máquina o enxerga —
http://localhost:8123se o Connector está no host do HA, ouhttp://10.0.0.5:8123a partir de outra máquina. Marque “O site interno usa https” se o seu dashboard serve TLS (um certificado autoassinado não é problema). - Adicionar e abrir. O dashboard abre em uma nova aba no endereço
termal.inkdele. Você fica conectado a ele por 12 horas; o endereço, sozinho, não deixa mais ninguém entrar.
Só endereços privados são permitidos — localhost, 10.x, 172.16–31.x, 192.168.x, link-local, a 100.64/10 do Tailscale, ULA de IPv6 — e um endereço público é recusado por design.
Compartilhando com um familiar por 7 dias
No painel web, compartilhe o site com um endereço de e-mail, por 24 horas ou 7 dias (com até 25 pessoas em um link ao mesmo tempo; compartilhar de novo estende o prazo). A pessoa recebe um e-mail de convite e entra com um código de 6 dígitos — sem conta no Termalin para criar. Ela vê apenas aquele dashboard, e, quando o compartilhamento expira, a sessão dela termina. Você pode Remover uma pessoa ou Desligar o link por completo, e cada abertura aparece no registro de atividade do site. Compartilhar exige um plano pago; o teste pode abrir sites, mas não compartilhá-los.
Quando escolher outra coisa
- Só o Home Assistant, e você quer sem atrito → Nabu Casa, e você apoia o projeto.
- Você tem um domínio e quer uma URL durável, possivelmente pública → Cloudflare Tunnel com uma política do Access.
- Quem se conecta é você, nos seus próprios dispositivos → Tailscale ou WireGuard.
- Um ou dois dashboards, compartilhados com pessoas nomeadas, nada exposto → um site interno do Termalin.
Para o lado SSH de um home lab atrás de NAT, veja SSH atrás de NAT sem encaminhamento de portas e SSH em um NAS ou servidor doméstico.