A XDA publicou um artigo sobre como substituir todos os serviços do Cloudflare em um homelab, e os comentários se transformaram em uma longa discussão de pessoas construindo silenciosamente estratégias de saída. As interrupções do Cloudflare este ano, o aperto gradual dos limites do plano gratuito e o atrito de confiança em torno da nuvem laranja levaram os operadores de homelab e pequenas equipes a considerarem as alternativas com mais seriedade. Testamos sete alternativas ao Cloudflare nos quatro serviços em que as pessoas mais dependem: CDN, DNS público, tunelamento seguro e WAF na frente de serviços auto-hospedados.
Os testes foram executados no Windows 11, macOS Sequoia e Ubuntu 24.04, atrás de uma conexão CGNAT para que pudéssemos testar adequadamente a travessia de NAT e a confiabilidade do túnel. Cada escolha abaixo merecia seu lugar por ser prática de executar, não apenas possível de instalar.
Comparação rápida
| Aplicativo | Melhor para | Plano gratuito | Preço inicial/mês | Recurso destacado |
|---|---|---|---|---|
| Bunny.net | CDN pago conforme o uso | Não, mínimo de $1 | $0.005/GB | Preço por região |
| Fastly | Sites com computação intensiva em edge | Crédito de avaliação $50 | Personalizado | Controle em nível VCL |
| Pangolin | Substituição de túnel auto-hospedado | Sim, totalmente | Gratuito | WireGuard + auth em um binário |
| Tailscale Funnel | Exposição pública de um serviço | Sim | Gratuito | Integrado na Tailnet existente |
| NextDNS | DNS público com filtragem | 300k consultas/mês | $1.99 | Perfis por dispositivo |
| BunkerWeb | WAF na frente de serviços auto-hospedados | Sim | Gratuito | Baseado em Nginx, modular |
| Akamai | CDN empresarial + edge | Não | Personalizado | Maior cobertura de edge |
Por que as pessoas deixam o Cloudflare
Três razões continuam aparecendo nas discussões:
- Exposição a interrupções. Quando o Cloudflare cai, seu DNS, CDN, túneis e WAF caem com ele. Operadores que distribuem isso entre fornecedores se recuperam mais rapidamente.
- Expansão do escopo do plano gratuito. Recursos que eram gratuitos mudaram para planos pagos, e as cotas gratuitas de Workers encolheram. A linha entre “bom para hobby” e “você precisa de Pro” continua se movendo.
- Privacidade e decoração de tráfego. Alguns homelabs preferem não terminar TLS em um terceiro. Túneis auto-hospedados e caminhos diretos CDN-para-origem contornam isso.
As opções abaixo cobrem essas razões. Nenhuma delas substitui a pilha completa do Cloudflare por si só, o que é o ponto: distribuir serviços entre fornecedores é a proteção.
As alternativas ao Cloudflare
Bunny.net, o CDN pago conforme o uso
Bunny.net é o CDN para o qual as pessoas mudam primeiro porque o preço é por GB por região e o painel foi construído para um engenheiro em vez de uma equipe. Zonas de Armazenamento cobrem armazenamento de origem, Zonas de Extração lidam com entrega de CDN, e Magic Containers executam computação em edge. Para um site estático ou uma pequena carga de trabalho SaaS, a fatura mensal chega ao dinheiro do café.
Onde fica aquém: a pilha de segurança é mais fina do que a do Cloudflare. A mitigação de bot é básica, e não há equivalente ao Bot Management do Cloudflare além de regras simples.
Preço:
- Por GB por região, começando em $0.005/GB na América do Norte e Europa.
- Gasto mínimo mensal de $1.
Migração do Cloudflare: aponte os registros DNS para as Pull Zones da Bunny e atualize o nome do host de origem. Sem ferramentas especiais. Deixe algumas horas para propagação global e aquecimento de cache.
Download: Painel de controle Bunny.net
Conclusão: a primeira mudança certa para quem executa sites estáticos, entrega de imagens ou uma pequena API pública atrás do Cloudflare hoje.
Fastly, o edge para equipes que querem controle
Fastly é o CDN que grandes editoras usam quando precisam colocar lógica na edge. VCL oferece scripting em cada camada da solicitação, Compute@Edge executa workers de Rust ou JavaScript, e o cache é construído para limpeza instantânea em escala. O teste gratuito (crédito de $50) é generoso o suficiente para executar uma carga de trabalho real através dele.
Onde fica aquém: a plataforma espera que você saiba o que está fazendo. O painel não é opinativo, e a conta pode aumentar rapidamente se você configurar mal os TTLs de cache.
Preço:
- Crédito de avaliação de $50.
- Preços personalizados para tráfego sustentado.
Migração do Cloudflare: Page Rules e Workers não traduzem diretamente para VCL ou Compute@Edge. Espere um projeto de migração real, não apenas uma troca de DNS.
Download: Console Fastly
Conclusão: a escolha quando você cresce para plataformas CDN opinativas e precisa escrever sua própria lógica de cache.
Pangolin, a substituição do túnel auto-hospedado
Pangolin é a alternativa de código aberto para o Cloudflare Tunnel que os fóruns de homelab continuam recomendando. Ele agrupa WireGuard, autenticação baseada em identidade e uma pequena interface de gerenciamento em um contêiner. Você o executa em um VPS com um IP público, registra seus serviços a jusante e o Pangolin cuida do resto. A configuração é aproximadamente um arquivo docker compose e um registro DNS.
Onde fica aquém: você ainda precisa do VPS. Se seu objetivo era evitar executar infraestrutura, Pangolin move o trabalho em vez de removê-lo. Os provedores de autenticação são menores que o Cloudflare Access.
Preço:
- Gratuito, código aberto, auto-hospedado.
Migração do Cloudflare: O Cloudflare Tunnel é mapeado de forma limpa para um cliente newt do Pangolin. Substitua a instalação de cloudflared pelo agente Pangolin, atualize o DNS e seus túneis rodam no seu VPS.
Download: Pangolin no GitHub
Conclusão: a escolha de código aberto para substituir o Cloudflare Tunnel sem abandonar o padrão de nome do host público.
Tailscale Funnel, o caminho da menor resistência
Tailscale Funnel expõe a porta de um único nó Tailscale à Internet pública via HTTPS, com autenticação opcional através do Tailscale Serve. Se você já executa o Tailscale para acesso remoto, Funnel é uma caixa de seleção de distância para publicar um serviço auto-hospedado. Nenhum VPS adicional, nenhum registro DNS adicional, nenhum provedor de autenticação separado.
Onde fica aquém: apenas um serviço por nó por padrão, e você não pode facilmente colocá-lo com um domínio personalizado no ápice. A taxa de transferência é limitada pelo upload da sua casa.
Preço:
- Gratuito no plano Tailscale gratuito.
Migração do Cloudflare: troque o seu Cloudflare Tunnel por tailscale funnel no nó de destino. Atualize o DNS para o subdomínio ts.net atribuído ou coloque-o atrás de seu próprio proxy reverso.
Download: Baixar Tailscale
Conclusão: a mudança mais preguiçosa se você já executa uma Tailnet. Difícil de vencer para um único serviço auto-hospedado.
NextDNS, a substituição de DNS do Cloudflare em nível consumidor
NextDNS substitui 1.1.1.1 por perfis por dispositivo, listas negras, listas brancas e análises. A configuração é por dispositivo ou por rede, os aplicativos cobrem cada plataforma que as pessoas se importam, e o nível gratuito funciona para uma casa.
Onde fica aquém: o nível gratuito é limitado a 300.000 consultas por mês, que uma casa ocupada pode exceder. Alguns recursos empresariais (retenção de logs, controle multi-inquilino) ficam atrás de planos pagos.
Preço:
- Gratuito até 300.000 consultas por mês.
- Planos Pro começam em torno de $1.99 por mês para consultas ilimitadas.
Migração do Cloudflare: altere o resolvedor do seu roteador de 1.1.1.1 para o seu ponto de extremidade NextDNS. Os aplicativos são instalados por dispositivo para suporte DoH ou DoT.
Download: Configuração NextDNS
Conclusão: a escolha para substituir o DNS público do Cloudflare no nível de casa ou pequeno escritório com uma superfície de configuração real.
BunkerWeb, o WAF que funciona na sua caixa
BunkerWeb é o WAF baseado em Nginx de código aberto que fica na frente de seus serviços auto-hospedados. Ele agrupa ModSecurity, listas de bots ruins, limitação de taxa e autenticação JWT em um contêiner. A interface web permite que você gerencie regras sem editar arquivos de configuração, o que é a diferença entre usá-lo e não.
Onde fica aquém: você está executando Nginx, com todo o peso operacional que isso acarreta. Renovação de certificado SSL, rotação de log e limites de recursos são seu problema.
Preço:
- Gratuito, código aberto.
- Plano Pro pago com plugins adicionais.
Migração do Cloudflare: Page Rules não mapeiam. Reproduza suas proteções (limites de taxa, bloqueios de país, regras de bot) como regras do BunkerWeb e aponte o DNS para seu nó de edge.
Download: BunkerWeb no GitHub
Conclusão: a escolha quando você quer um WAF real na frente de serviços auto-hospedados sem enviar tráfego através de um terceiro.
Akamai, a escolha empresarial
Akamai é o CDN na outra ponta da escala de tamanho. A cobertura de edge é a maior do setor, a suíte de segurança (Kona Site Defender, Bot Manager) é pesada e os preços são compatíveis. Para um homelab, isso é excessivo. Para uma empresa regulada que quer algo diferente do Cloudflare para sua edge pública, Akamai é a escolha óbvia.
Onde fica aquém: preços liderados por vendas. A integração é medida em semanas, não em tardes.
Preço:
- Personalizado, liderado por vendas.
Migração do Cloudflare: um SE da Akamai escreverá um plano de migração para você. Espere um projeto estruturado.
Download: Centro de controle Akamai
Conclusão: a resposta certa quando a organização tem um departamento de compras e um regulador para satisfazer.
Como escolher
Para um homelab, combine Bunny.net ou sem CDN com Pangolin ou Tailscale Funnel e NextDNS. Isso distribui seus ovos entre pequenos fornecedores e torna cada peça substituível.
Para um pequeno SaaS, troque CDN para Bunny.net, deixe DNS onde está (ou mude para NextDNS para o perfil da equipe) e escolha BunkerWeb se quiser um WAF real.
Para uma empresa substituindo Cloudflare em escala, Fastly ou Akamai são os pares realistas. Escolha Fastly se quiser escrever código na edge. Escolha Akamai se quiser uma relação com o fornecedor que satisfaça uma revisão de compras.
Fique no Cloudflare se sua pilha já depender de Workers, R2 e Zero Trust juntos, e você teria que reconstruir a pilha de três fornecedores. O risco de fornecedor único é um custo real, mas também é fragmentar a pilha.
FAQ
Existe uma alternativa gratuita ao Cloudflare para túneis? Sim. Pangolin e Tailscale Funnel funcionam gratuitamente. Pangolin precisa de um VPS, Funnel funciona em qualquer Tailnet.
Qual é a alternativa CDN do Cloudflare mais barata? Bunny.net, por margem. Os preços por GB começam em meio centavo na América do Norte e Europa, e não há compromisso necessário além do mínimo mensal de $1.
Posso substituir o WAF do Cloudflare sem pagar? BunkerWeb cobre o caso de código aberto. Executa Nginx com regras ModSecurity e listas de bots ruins, e o nível gratuito cobre tudo que a maioria dos auto-hospedadores precisa.
Devo também mover o DNS para fora do Cloudflare? Apenas se você se importar em diversificar a exposição a interrupções ou quiser filtragem por dispositivo. NextDNS é a escolha óbvia para casas. Para DNS empresarial, dnsimple e Route 53 são vizinhos comuns.
E quanto às alternativas do Cloudflare Workers? Fastly Compute@Edge e Bunny Magic Containers são os pares mais próximos. Fastly é mais maduro, Bunny é mais amigável para pequenas cargas de trabalho.
Vale a pena substituir o Cloudflare inteiramente? Para a maioria dos homelabs, não, porque o custo do tempo supera as economias. Para equipes que dependem da independência de tempo de atividade, a resposta é sim, e o padrão certo é substituir um serviço de cada vez.
