OpenBSD na prática: 180 ideias, projetos, serviços e experimentos

OpenBSD costuma ser apresentado apenas como “um sistema para firewall”. Isso subestima bastante o projeto. Ele pode ser roteador, servidor web e de e-mail, estação Unix, host de máquinas virtuais, laboratório de redes, plataforma de desenvolvimento, appliance dedicado, servidor de pequenos protocolos da web e até base para projetos artísticos e educacionais.

Esta pesquisa reúne 180 possibilidades concretas, mais um diretório de sites, manuais, repositórios e projetos relacionados. O objetivo não é sugerir que OpenBSD seja a melhor escolha para qualquer carga. É mostrar onde sua coerência, documentação, ferramentas integradas e abordagem conservadora produzem sistemas especialmente compreensíveis e agradáveis de administrar.

Resumo executivo

Em 23 de julho de 2026, a versão estável é o OpenBSD 7.9, lançado em 19 de maio de 2026. O projeto entrega kernel, userland, instalador, firewall, SSH, servidor web, servidor de e-mail, DNS, NTP, roteamento, VPN e hipervisor como um sistema-base integrado. Para um administrador que gosta de Debian, CLI e servidores próprios, o atrativo central é este: muitas soluções que exigiriam uma pilha de componentes independentes em outro sistema podem ser montadas com poucas peças, configurações legíveis e excelentes páginas de manual.

As utilizações em que OpenBSD mais se destaca são:

• firewall, roteador, gateway de VPN e appliance de rede;
• alta disponibilidade com PF, CARP e pfsync;
• servidor público pequeno, bastion host e reverse proxy;
• roteamento BGP com validação RPKI;
• DNS autoritativo ou recursivo, NTP e infraestrutura básica;
• e-mail com OpenSMTPD e defesa antispam;
• laboratórios de redes e VMs com vmm, vmd e vmctl;
• estação Unix simples para programação, escrita e administração;
• aprendizado de sistemas, segurança, C, documentação e portabilidade.

As maiores ressalvas são igualmente importantes:

• Docker não roda nativamente. Use uma VM Linux em vmm ou outro host.
• ZFS não faz parte do sistema. Para NAS de grande porte, snapshots e deduplicação, FreeBSD, TrueNAS ou Linux geralmente são opções melhores.
• Não é a plataforma ideal para jogos modernos, CUDA, IA local ou software comercial dependente de Linux.
• Hardware precisa ser verificado antes da compra, principalmente Wi-Fi, GPUs recentes, suspend/resume e periféricos proprietários.
• Os pacotes acompanham a versão do sistema. Não misture pacotes de releases diferentes e não trate tutoriais antigos como configuração atual.

Metodologia e critérios

A pesquisa partiu da documentação do OpenBSD 7.9, páginas de manual, árvore oficial de código e ports, projetos desenvolvidos pela comunidade OpenBSD e catálogos atualizados de pacotes. As ideias foram classificadas em quatro camadas:

Para confirmar um pacote na máquina, use pkg_info -aQ termo. Para instalar, use doas pkg_add nome. O catálogo OpenPorts e o espelho ports.to ajudam a explorar a árvore, mas a consulta no próprio sistema é a confirmação mais segura para sua arquitetura e release.

Antes da lista: o kit especial que já vem no sistema

180 coisas legais para fazer com OpenBSD

1. Firewall, gateway e controle da rede

Esta é a área mais conhecida, mas não se resume a bloquear portas. PF permite compor regras, tabelas, tags, NAT, redirecionamento, registro e políticas de tráfego em uma linguagem relativamente compacta.

1. Roteador doméstico sob seu controle — Base. Substitua o firmware do roteador por um mini-PC com duas ou mais interfaces, DHCP, DNS e PF. Você passa a enxergar e versionar toda a política de rede.

2. Firewall de borda para homelab — Base. Isole serviços públicos, rede administrativa, storage, IoT e visitantes com interfaces físicas ou VLANs, adotando bloqueio padrão e liberações explícitas.

3. Gateway IPv4/IPv6 de verdade — Base. Aprenda dual stack, Router Advertisements, SLAAC e regras equivalentes para as duas famílias, em vez de manter IPv6 desativado por desconhecimento.

4. Segmentação por VLAN — Base. Combine interfaces vlan(4), switches gerenciáveis e PF para separar trabalho, câmeras, laboratório, servidores e dispositivos não confiáveis.

5. Rede de convidados — Base. Entregue uma sub-rede própria, sem acesso à LAN, com limite de tráfego e DNS controlado. É um projeto pequeno e imediatamente útil.

6. Isolamento de IoT — Base. Permita que lâmpadas e TVs falem apenas com os destinos necessários, bloqueie administração lateral e registre tentativas inesperadas.

7. Política por dispositivo — Base. Use reservas DHCP, tabelas do PF e aliases para aplicar regras diferentes a consoles, crianças, servidores ou equipamentos de trabalho.

8. Bloqueio geográfico com tabelas — Base + dados externos. Converta listas de prefixos por país em tabelas PF para reduzir ruído em serviços muito específicos. Não trate geolocalização por IP como autenticação.

9. Bloqueio de scanners e atacantes reincidentes — Base. Alimente tabelas persistentes a partir de logs ou regras com overload. Mantenha expiração e exceções para não criar um bloqueio eterno por acidente.

10. Port knocking mais compreensível com authpf — Base. Em vez de uma sequência obscura de portas, autentique por SSH e carregue regras PF temporárias por usuário com authpf(8).

11. Gateway autenticado para laboratório — Base. Use authpf para liberar destinos distintos conforme o usuário conectado, útil em aulas, eventos ou ambientes de teste.

12. Redirecionamento transparente para proxy — Base. Encaminhe tráfego selecionado a um proxy ou filtro local. Documente bem as exceções e não intercepte TLS de terceiros sem autorização.

13. Controle de banda e prioridade — Base. Dê preferência a chamadas, terminal e DNS em relação a downloads grandes. O FAQ do PF cobre filas e priorização.

14. Multi-WAN com políticas — Base. Mantenha dois links, encaminhe redes ou tipos de tráfego por gateways diferentes e automatize mudanças com ifstated(8).

15. Laboratório de regras reproduzíveis — Autoral. Versione pf.conf, diagramas e testes de conectividade em Git; valide com pfctl -nf e aplique apenas depois de um teste sintático bem-sucedido.

2. Alta disponibilidade, proxy e continuidade

OpenBSD contém peças muito interessantes para criar serviços redundantes sem depender de uma plataforma pesada de orquestração.

1. Par de firewalls ativo/passivo — Base. CARP mantém endereços virtuais e pfsync replica estados, permitindo troca de nó com menos interrupção.

2. Gateway redundante por VLAN — Base. Dê a cada segmento seu endereço CARP e faça o segundo appliance assumir se o principal falhar.

3. Sincronização dedicada e protegida — Base. Coloque pfsync em cabo, VLAN ou túnel exclusivo. O protocolo não oferece confidencialidade nem autenticação próprias.

4. DNS recursivo redundante — Base. Rode Unbound nos dois gateways e anuncie um endereço virtual, eliminando a dependência de um resolvedor único.

5. Reverse proxy de alta disponibilidade — Base. Combine CARP e relayd para publicar múltiplos servidores web sob um IP virtual.

6. Balanceador L4 — Base. Distribua TCP entre aplicações, bancos somente leitura ou proxies, usando health checks para retirar destinos quebrados.

7. Balanceador HTTP — Base. Use relayd para inspecionar cabeçalhos, rotear por host ou caminho e aplicar políticas antes de encaminhar ao backend.

8. TLS na borda — Base. Centralize certificados no relayd e mantenha os backends em redes privadas. Isso simplifica aplicações pequenas.

9. Health checks externos — Base. Monitore não apenas se a porta abre, mas se uma URL ou resposta esperada continua saudável.

10. Manutenção sem trocar DNS — Base. Mova o IP CARP ou retire um backend do relayd, faça a atualização e recoloque o serviço sem alterar clientes.

11. Failover condicionado ao serviço — Base. Use ifstated(8) para rebaixar um nó quando a interface, rota ou daemon essencial falhar, e não apenas quando a máquina desligar.

12. Frontend único para vários homelabs — Base. Publique nomes diferentes e distribua-os a servidores Debian, NAS e VMs, mantendo a política de borda no OpenBSD.

13. Proxy TCP com registro central — Base. Encaminhe protocolos legados ou internos e reúna métricas básicas de conexão em um único ponto.

14. Ambiente azul/verde simples — Autoral. Mantenha versões azul e verde de uma aplicação e troque o backend ativo no relayd depois dos testes.

15. Caixa de “continuidade mínima” — Autoral. Um segundo OpenBSD pequeno pode assumir DHCP, DNS, VPN e uma página de status quando o servidor principal estiver em manutenção.

3. VPN, acesso remoto e privacidade

1. Servidor WireGuard — Base. A interface wg(4) permite acesso remoto ao homelab com configuração pequena e integração direta ao PF.

2. Cliente WireGuard sempre ligado — Base. Faça uma filial, notebook ou gateway encaminhar redes selecionadas por um túnel persistente.

3. VPN site-to-site — Base. Una duas casas, escritórios ou laboratórios e anuncie apenas as sub-redes necessárias.

4. Road warrior IKEv2 — Base. O iked cria VPN IPsec para clientes compatíveis com IKEv2, com certificados ou chaves pré-compartilhadas.

5. Gateway para Tailscale — Pacote. O port de Tailscale permite integrar o host à tailnet; confirme as limitações da versão e do modo desejado.

6. Bastion host SSH — Base. Exponha somente um host fortificado, use chaves ou certificados e acesse os demais por ProxyJump.

7. Autoridade certificadora SSH — Base. Assine chaves de usuários e hosts com ssh-keygen, reduzindo listas enormes de authorized_keys.

8. SFTP-only para terceiros — Base. Restrinja contas a internal-sftp, diretórios próprios e comandos desabilitados para trocas controladas.

9. Túneis SSH sob demanda — Base. Publique temporariamente um painel local, crie SOCKS proxy ou encaminhe uma porta sem instalar uma VPN completa.

10. Tor relay não-exit — Pacote. Ajude a rede Tor com menor risco operacional que um exit node. Siga o guia oficial para operadores.

11. Tor bridge — Pacote. Ofereça uma ponte para usuários em redes censuradas, considerando banda, atualização e possíveis contatos do provedor.

12. Gateway seletivo para Tor — Pacote + PF. Encaminhe apenas uma rede de laboratório ou aplicações autorizadas, sem vender a ideia como anonimato infalível.

13. DNS-over-TLS no resolvedor — Base. Configure Unbound para encaminhar consultas por TLS a upstreams, se esse modelo de confiança fizer sentido.

14. Rede de administração fora de banda — Base. Reserve interface, VLAN ou túnel exclusivamente para SSH, console de switches e painéis sensíveis.

15. “Porta de emergência” auditável — Autoral. Combine WireGuard, uma regra PF desativada por padrão e um procedimento offline para recuperar acesso sem deixar interfaces administrativas públicas.

4. DNS, tempo, DHCP e infraestrutura de rede

1. Resolvedor DNS local com cache — Base. Unbound reduz latência, dá visibilidade e remove a dependência direta do DNS do roteador ou provedor.

2. DNS validador DNSSEC — Base. Valide respostas recursivas e monitore falhas sem transformar todo erro em “a internet caiu”.

3. Bloqueador de anúncios por DNS — Base + listas. Gere zonas locais para domínios indesejados. Prefira listas mantidas, exceções documentadas e atualização atômica.

4. Split-horizon DNS — Base. Responda nomes internos no Unbound e deixe a zona pública no NSD, evitando hairpin e IPs decorados.

5. Servidor DNS autoritativo — Base. Hospede suas zonas no NSD, ideal para aprender delegação, glue, serial, DNSSEC e transferência de zona.

6. Secundário DNS de um amigo — Base. Dois administradores podem hospedar secundários um para o outro, desde que haja acordo operacional e ACLs.

7. DNS dinâmico autoral — Base + script. Atualize um registro por API quando o IP mudar e só então recarregue uma zona validada.

8. Servidor NTP da rede — Base. OpenNTPD sincroniza o host e também pode redistribuir horário para a LAN.

9. Sensor de relógio com hardware — Base, dependente de hardware. Explore GPS/PPS em equipamento suportado para um projeto de tempo mais preciso.

10. Servidor DHCP simples — Base. Centralize leases e reservas com dhcpd(8) em redes pequenas.

11. DHCP relay — Base. Atenda múltiplas VLANs com um servidor central sem instalar DHCP em cada segmento.

12. Router Advertisements IPv6 — Base. Use rad(8) para anunciar prefixos e parâmetros de IPv6 às redes internas.

13. Laboratório SLAAC e DHCPv6-PD — Base. Entenda como prefixos chegam do provedor, são delegados e distribuídos; registre o comportamento real do seu ISP.

14. PXE/TFTP para manutenção — Base. Entregue instaladores, memtest ou imagens de resgate a máquinas da LAN com DHCP e tftpd(8).

15. Portal de diagnóstico da rede — Autoral. Publique com httpd uma página local que mostre DNS, gateway, horário, status de links e instruções de suporte sem expor segredos.

5. Roteamento avançado e Internet de verdade

1. Roteador BGP de laboratório — Base. Use OpenBGPD em VMs para aprender sessões, filtros, atributos, communities e seleção de rota sem tocar na Internet pública.

2. Peering BGP real — Base. Para quem possui ASN e prefixos, OpenBGPD pode anunciar e receber rotas com políticas explícitas e configuração legível.

3. Validação RPKI — Base. rpki-client obtém e valida dados globais e entrega VRPs ao OpenBGPD para Route Origin Validation.

4. Route server de laboratório — Base. Simule um pequeno Internet Exchange e compare políticas entre vários ASNs virtuais.

5. Looking glass BGP — Base + web. Exponha consultas cuidadosamente limitadas a bgpctl, sem permitir que a interface web execute comandos arbitrários.

6. OSPF interno — Base. Use ospfd ou ospf6d para trocar rotas entre gateways, laboratórios ou POPs.

7. RIP em laboratório histórico — Base. ripd é útil para entender distance-vector e demonstrar por que redes modernas preferem outros protocolos.

8. MPLS experimental — Base. Explore ldpd e interfaces MPLS em um ambiente isolado; é um excelente projeto avançado de telecom.

9. BGP blackhole controlado — Base. Automatize communities de blackhole com seu provedor para mitigar ataques, somente após validar a política contratada.

10. Roteamento por política — Base. Use tags do PF, tabelas e múltiplas rotas para escolher caminhos de acordo com origem ou finalidade.

11. Coletor de rotas — Base. Mantenha sessões passivas ou feeds de laboratório e registre alterações para análise.

12. Monitor de ROAs e anúncios — Autoral. Compare diariamente prefixos esperados, VRPs do rpki-client e rotas vistas; envie alerta quando a origem divergir.

13. Mini-IX doméstico — Autoral. Crie quatro VMs, cada uma como um ASN, um route server e uma página mostrando convergência e vazamentos simulados.

14. Treinamento de incidentes BGP — Autoral. Produza cenários de route leak, max-prefix, sessão instável e ROA inválido, com roteiro de diagnóstico.

15. Appliance de peering minimalista — Autoral. Um equipamento fanless com OpenBGPD, rpki-client, PF e coleta externa pode separar o plano de borda de uma pilha de aplicações maior.

6. Web, TLS e publicação

1. Site estático no httpd — Base. É talvez o servidor pessoal mais simples: HTML, CSS, imagens, TLS e logs, sem runtime de aplicação.

2. Blog gerado estaticamente — Pacote. Gere com Hugo, Zola, Jekyll ou outro SSG disponível e publique o resultado pelo httpd.

3. Site pessoal da small web — Base. Mantenha páginas leves, RSS, links, blogroll e conteúdo legível sem JavaScript obrigatório.

4. Servidor de múltiplos domínios — Base. Use blocos server separados, raízes próprias e certificados independentes no httpd.conf.

5. HTTPS automático — Base. Combine acme-client, cron e reload controlado do httpd ou relayd.

6. Reverse proxy para aplicações Debian — Base. Deixe o OpenBSD exposto e encaminhe para serviços em VMs ou outros hosts internos.

7. FastCGI pequeno — Base + aplicação. Execute uma aplicação CGI/FastCGI estreita, com usuário dedicado e acesso mínimo ao filesystem.

8. PHP-FPM para site clássico — Pacote. WordPress, FreshRSS e aplicações PHP podem funcionar, mas exigem manutenção regular e isolamento cuidadoso.

9. Servidor de manuais pesquisáveis — Base. man.cgi e mandoc permitem publicar documentação Unix em HTML, como faz man.openbsd.org.

10. Página de status independente — Base. Hospede uma página minúscula no gateway ou nó secundário para continuar acessível quando a aplicação principal falhar.

11. Mirror de arquivos — Base. Sirva ISOs, pacotes internos ou artefatos assinados por HTTPS e rsync, com verificação de hashes.

12. Webhook receiver mínimo — Pacote ou código próprio. Uma aplicação curta pode receber eventos, validar assinatura e enfileirar tarefas, atrás do relayd.

13. Pastebin privado — Pacote ou app simples. Prefira expiração, limites de tamanho, autenticação e conteúdo não executável.

14. Encurtador de URLs pessoal — Pacote ou app simples. Um banco pequeno e redirects explícitos bastam; bloqueie esquemas perigosos e abuso público.

15. “Museu da web leve” — Autoral. Hospede páginas que demonstram HTML semântico, CSS progressivo, Gemini, Gopher e RSS lado a lado, medindo peso e acessibilidade.

7. Git, código e desenvolvimento

1. Servidor Git por SSH — Base. Repositórios bare, contas restritas e chaves SSH já resolvem hospedagem privada para equipes pequenas.

2. Game of Trees — Pacote/projeto relacionado. Explore o Game of Trees, sistema de controle de versão criado com foco em simplicidade e segurança no ecossistema OpenBSD.

3. Navegador web de repositórios com gotwebd — Pacote. Publique histórico, árvores e diffs de repositórios gerenciados com Got.

4. Forgejo ou Gitea — Pacote, confirme a release. Para issues, usuários e interface completa, procure o port atual; se a dependência crescer demais, rode em VM Linux e deixe o OpenBSD como proxy.

5. Espelho read-only do GitHub — Base + Git. Faça pull periódico de projetos essenciais e mantenha uma cópia independente de uma plataforma.

6. Runner de CI isolado — VM. Execute jobs não confiáveis numa VM Linux descartável, nunca diretamente no host que protege a rede.

7. Build server C/C++ — Base + Pacote. O sistema inclui toolchain e a árvore de ports fornece compilers e ferramentas adicionais.

8. Estação Go — Pacote. Desenvolva serviços estáticos ou portáveis e teste suposições Linux-específicas cedo.

9. Estação Rust — Pacote. Use Rust e Cargo disponíveis na árvore de ports, observando diferenças de plataforma e dependências nativas.

10. Ambiente Python — Pacote. Crie venv por projeto, use pacotes do sistema para bibliotecas nativas e evite instalar tudo globalmente.

11. Node.js para ferramentas e sites — Pacote. É viável para desenvolvimento e serviços moderados; confirme módulos que assumem Linux.

12. PostgreSQL de desenvolvimento — Pacote. Excelente para aplicações e aprendizado, com backups e usuário de serviço próprios.

13. MariaDB, Redis e memcached — Pacote. Monte um laboratório de dados sem confundir disponibilidade em ports com recomendação para carga extrema.

14. Portar um programa para OpenBSD — Ports. O Porter's Handbook ensina a criar um port e é uma ótima maneira de encontrar dependências e suposições frágeis.

15. Contribuir com patches — Base. Estude o código, produza diffs no formato esperado e siga as listas apropriadas; os mirrors GitHub oficiais são somente leitura e não aceitam pull requests.

8. E-mail, chat e comunicação

1. Servidor SMTP pessoal — Base. OpenSMTPD pode receber e entregar e-mail, mas reputação de IP, rDNS, SPF, DKIM e DMARC tornam a operação pública mais difícil que a instalação.

2. SMTP relay autenticado — Base. Centralize o envio de scanners, aplicações e servidores, encaminhando por um smarthost confiável.

3. Mail gateway — Base + Pacotes. Coloque OpenSMTPD na borda e entregue a um servidor interno, aplicando limites e filtros antes da caixa postal.

4. IMAP com Dovecot — Pacote. Acrescente armazenamento e acesso às caixas postais; planeje backup, TLS e migração antes de receber correio importante.

5. Rspamd com OpenSMTPD — Pacote. Use reputação, DKIM e classificação moderna, integrando por filtros documentados.

6. Greylisting/tarpit com spamd — Base. O spamd do OpenBSD conversa com PF e pode atrasar remetentes suspeitos; não o confunda com Apache SpamAssassin.

7. Servidor de listas pequeno — Pacote. Hospede uma comunidade por e-mail com software mantido, moderação e políticas antiabuso.

8. Bouncer IRC com soju — Pacote. Mantenha conexões IRC persistentes e acesse de diferentes clientes; TLS e backups da configuração são essenciais.

9. Bouncer IRC com ZNC — Pacote. Alternativa madura, com interface web e módulos; habilite somente o que você usa.

10. Servidor IRC com Ergo ou Solanum — Pacote. Crie uma comunidade, chat privado ou laboratório de IRCv3.

11. Servidor XMPP com Prosody — Pacote. Mensagens, salas e federação em uma pilha relativamente pequena; revise módulos e DNS SRV.

12. Bot Matrix/IRC — Pacote ou código próprio. Faça uma ponte estreita ou bot de avisos, mantendo tokens fora do código e permissões mínimas.

13. Broker MQTT com Mosquitto — Pacote. Integre sensores e automações em uma VLAN própria com TLS e ACL por cliente.

14. ntfy/alertas em VM — VM. Se o serviço escolhido depender de Linux ou containers, rode-o na VM e publique pelo relayd.

15. Central de avisos Unix — Autoral. Receba eventos por e-mail, syslog ou webhook, normalize-os e envie a Pushover, Matrix, XMPP ou MQTT.

9. Arquivos, backup e serviços pessoais

1. Servidor SFTP — Base. É a escolha mais simples para transferência autenticada e automação com chaves.

2. Backup por openrsync — Base. Sincronize árvores locais ou remotas com uma implementação desenvolvida no projeto; valide flags necessárias no seu fluxo.

3. Backup com Borg ou Restic — Pacote. Ganhe deduplicação, criptografia e repositórios remotos; teste restauração, não apenas o job de backup.

4. Destino de backup imutável por política — Base. Dê à conta de entrada permissão somente para gravar em uma área de recepção e mova snapshots para fora do alcance dela.

5. NFS para rede Unix — Base. Compartilhe dados em LAN confiável; não exponha NFS cru à Internet.

6. Samba para clientes Windows — Pacote. Útil em rede mista, embora um NAS dedicado possa ser melhor para grande volume e recursos avançados.

7. Servidor Syncthing — Pacote. Sincronize pastas entre PCs e celulares, atrás de regras e usuário dedicado.

8. Nextcloud em VM — VM recomendada. É possível montar PHP, banco e web no host, mas a VM Linux reduz atrito com documentação, apps e atualizações.

9. Servidor WebDAV — Pacote ou aplicação. Compartilhe calendários, documentos ou uma pasta, exigindo TLS e autenticação forte.

10. Calendário e contatos com Radicale — Pacote. Um servidor CalDAV/CardDAV pequeno combina bem com uma máquina modesta.

11. Miniflux — Pacote ou binário compatível. Leitor de RSS enxuto com PostgreSQL; confirme o port atual ou compile e isole atrás do relayd.

12. FreshRSS — Pacote PHP. Uma alternativa rica para RSS, adequada a PHP-FPM e banco local quando mantida atualizada.

13. Wallabag ou linkding em VM — VM. Serviços de leitura posterior e bookmarks tendem a ter dependências mais tranquilas no Linux.

14. Servidor de fotografias em VM — VM. Immich e PhotoPrism são container-first e dependem de um ecossistema multimídia; OpenBSD pode proteger e publicar a VM.

15. Arquivo digital pessoal — Autoral. Use SFTP para ingestão, Restic para cópias, httpd para índices estáticos e uma VM somente quando OCR ou processamento pesado for necessário.

10. Áudio, mídia e pequenos serviços domésticos

1. Music Player Daemon — Pacote. MPD transforma uma máquina pequena em jukebox controlável por clientes de desktop e celular.

2. Rádio online com Icecast — Pacote. Transmita áudio próprio, eventos ou uma rádio comunitária, observando direitos autorais e banda.

3. Navidrome em pacote, binário ou VM — Confirmar. Para streaming musical com interface moderna, cheque a disponibilidade da versão; VM é o plano seguro se houver dependências incompatíveis.

4. Servidor DLNA — Pacote. Compartilhe mídia em uma LAN com software como ReadyMedia, sem abrir o serviço à Internet.

5. Podcast estático — Base. Arquivos de áudio, feed RSS e site no httpd formam uma plataforma de podcast quase sem aplicação.

6. Gravador de rádio e agenda — Pacote + scripts. Use ferramentas de áudio para capturar transmissões permitidas e publicar um arquivo privado.

7. Servidor de audiolivros em VM — VM. Audiobookshelf é mais natural em Linux; o OpenBSD pode atuar como proxy, firewall e destino de backup.

8. Transcodificação offline — Pacote. FFmpeg está nos ports, mas cargas pesadas e aceleração de GPU podem ser mais eficientes em Linux.

9. Galeria estática de fotos — Base + gerador. Gere miniaturas e HTML offline e sirva tudo pelo httpd, com superfície de ataque mínima.

10. Câmera IP isolada com relay controlado — Base. Restrinja a câmera à VLAN, permita apenas o gravador e use proxy/VPN para acesso externo.

11. Servidor de impressão — Pacote. CUPS pode compartilhar impressoras, desde que o dispositivo tenha suporte e a interface de administração não fique pública.

12. Receptor de scanner — Base + scripts. Receba PDFs por SFTP, renomeie, gere hashes e envie ao arquivo digital.

13. Painel doméstico somente leitura — Base + web. Uma página estática pode mostrar clima, agenda e status sem transformar o gateway em plataforma web complexa.

14. Rádio de emergência local — Autoral. Um OpenBSD antigo pode servir uma biblioteca de áudio, documentos e página de instruções mesmo sem Internet.

15. “Media edge” protegido — Autoral. Deixe Jellyfin/Plex em Linux com GPU e use OpenBSD para VPN, DNS local, proxy, certificados e limitação de exposição.

11. Virtualização, laboratório e compatibilidade

1. Host de VMs com vmm — Base. Rode pequenas VMs amd64/arm64 compatíveis para separar funções e aprender a configuração de vm.conf.

2. VM Debian para Docker — VM. Este é o caminho sensato para Compose: Docker dentro do Debian, OpenBSD no host como firewall e proxy.

3. VM Alpine mínima — VM. Boa para aplicações Linux pequenas, testes de rede ou container host com consumo reduzido.

4. Laboratório com vários OpenBSD virtuais — Base. Simule roteadores, firewalls, BGP, CARP e serviços sem comprar vários equipamentos.

5. Rede privada de VMs — Base. Use interfaces virtuais, bridges, NAT e PF para criar segmentos que não escapam para a LAN.

6. Máquina descartável para abrir arquivos — VM. Crie imagem limpa, trabalhe sem acesso a segredos e descarte depois; entenda que vmm não substitui uma sandbox formal contra todo tipo de adversário.

7. Servidor legado isolado — VM. Mantenha um serviço antigo atrás de regras rígidas enquanto realiza a migração.

8. Laboratório de IPv6 — Base. Conecte VMs por roteadores virtuais, teste RA, DNS, firewall e falhas sem comprometer a rede real.

9. Laboratório de malware defensivo — VM, risco alto. Somente com rede fechada, snapshots externos e amostras legalmente obtidas; um host dedicado é preferível.

10. Ambiente de treinamento reproducível — Autoral. Distribua imagens, vm.conf, configurações e exercícios para cada aluno reconstruir o mesmo cenário.

11. Microcloud de serviços simples — Autoral. Três hosts com VMs, endereços CARP, relayd e backups podem ensinar disponibilidade sem Kubernetes.

12. Testbed multi-OS — Base. Compare OpenBSD, Debian, Alpine e outros BSDs em rede, filesystem, manuais, desempenho e configuração.

13. Gateway para containers remotos — Base + VM. Mantenha todas as redes Docker atrás de uma bridge filtrada e publique somente portas declaradas.

14. Build limpo em VM — VM. Recrie dependências e artefatos num ambiente vazio, reduzindo a influência da estação pessoal.

15. “Laboratório Internet em uma caixa” — Autoral. Combine DNS raiz simulado, zonas, NTP, roteadores BGP, web, e-mail e clientes em VMs para ensinar como os protocolos se conectam.

12. Desktop, criatividade, segurança e projetos incomuns

1. Desktop minimalista com cwm — Base. O gerenciador de janelas cwm(1) vem no sistema e favorece um fluxo rápido por teclado.

2. Workstation XFCE, MATE ou KDE Plasma — Pacote. A árvore inclui esses ambientes; verifique aceleração, energia, áudio e webcam no hardware antes de migrar.

3. Máquina de escrita sem distrações — Base + Pacote. Use terminal, Markdown, Vim/Neovim, Emacs ou LibreOffice e sincronize por Git.

4. Estação de administração — Base. SSH, tmux, mosh, clientes de banco, Ansible e navegadores tornam o sistema uma boa cabine para servidores.

5. Computador de viagem — Base. Disco criptografado, poucos serviços, chaves protegidas e dados mínimos criam uma máquina de risco reduzido.

6. Terminal serial universal — Base. Administre switches, appliances, roteadores e placas de desenvolvimento com ferramentas seriais.

7. Retrocomputação em hardware incomum — Base. Explore arquiteturas como alpha, hppa, luna88k, macppc e sparc64 ainda listadas pelo projeto.

8. Experimento RISC-V — Base, hardware dependente. Instale a porta riscv64 em placas suportadas e acompanhe a evolução de uma arquitetura aberta.

9. Servidor Gemini ou Gopher — Pacote. Publique uma cápsula de texto minimalista e aprenda protocolos fora da web convencional.

10. BBS por SSH — Base + aplicação. Monte uma comunidade de terminal, biblioteca de textos ou jogo multiusuário, com conta restrita e limites.

11. Jogar os games clássicos do BSD — Base. Explore os pequenos jogos do sistema-base e sua história com apropos games.

12. Estudar segurança de aplicações com pledge/unveil — Base. Escreva um utilitário pequeno, reduza suas promessas e revele somente os caminhos que ele precisa acessar.

13. Reproduzir uma auditoria de código — Base. Escolha um daemon curto, leia manual, fonte, separação de privilégios e histórico de commits; produza seu próprio mapa de confiança.

14. Gerador de “appliance declarativo” — Autoral. Crie um repositório que recebe inventário simples e gera arquivos hostname.*, pf.conf, rc.conf.local, testes e documentação, sem esconder o OpenBSD atrás de uma interface opaca.

15. Museu vivo do OpenBSD — Autoral. Hospede release songs, arte, cronologia de inovações, máquinas antigas, demos de comandos e relatos de usuários, respeitando licenças e apontando para as fontes originais.

Vinte projetos autorais especialmente interessantes

As ideias abaixo combinam melhor os pontos fortes do OpenBSD e não exigem uma infraestrutura gigantesca:

Projetos do ecossistema que merecem ser estudados

Estes não são apenas “programas que rodam no OpenBSD”. Muitos nasceram dentro do projeto ou foram fortemente influenciados por ele.

Repositórios e lugares para explorar código

Importante: os mirrors GitHub de src, ports e xenocara não aceitam pull requests. O fluxo oficial usa diffs e as listas indicadas pelo projeto.

Sites, documentação, notícias e comunidades

Fontes oficiais essenciais

1. Site oficial do OpenBSD — versão, objetivos, downloads, errata e acesso a toda a documentação.
2. FAQ oficial — instalação, configuração, rede, pacotes, atualização e solução de problemas.
3. Manual pages — principal referência técnica; procure primeiro aqui.
4. Página do OpenBSD 7.9 — mudanças, hardware, pacotes e notas da release pesquisada.
5. Security — política, avisos e histórico de correções.
6. Innovations — tecnologias que apareceram ou foram popularizadas pelo projeto.
7. Plataformas suportadas — arquiteturas e páginas específicas de hardware.
8. FAQ do PF — guia oficial para o firewall.
9. Package Management — uso correto de pacotes e ports.
10. Porter's Handbook — criação, manutenção e envio de ports.
11. Following -current — mudanças que exigem ação de quem acompanha snapshots; não é guia para stable.
12. Anonymous CVS — obtenção e atualização das árvores oficiais.
13. Mirrors — escolha de espelhos de download.
14. Mailing lists — misc, ports, tech, anúncios e etiqueta de participação.
15. Eventos e papers — apresentações técnicas, hackathons e material histórico.
16. Artwork — Puffy, logos e regras de uso.
17. Release songs — parte singular da cultura e da crítica social do projeto.
18. OpenBSD Foundation — financiamento, relatórios e apoio a desenvolvimento e eventos.

Guias e publicações independentes

1. OpenBSD Journal, o Undeadly — notícias, releases, commits, relatos e RSS da comunidade.
2. OpenBSD Handbook — manual comunitário amplo; confronte exemplos com a documentação oficial da sua release.
3. OpenBSD Jumpstart — slides e material de introdução para começar rapidamente.
4. OpenBSD Router Guide — roteiro dedicado a roteadores; valide sintaxe e decisões no FAQ/man pages atuais.
5. That Grumpy BSD Guy — artigos de Peter Hansteen sobre PF, spamd, segurança e administração.
6. Solène's percent — uso diário, privacidade, desktop, servidores e experimentos com BSD.
7. MARC: openbsd-misc — arquivo pesquisável da lista de usuários.
8. MARC: openbsd-tech — discussões e patches técnicos; não é canal de suporte para iniciantes.
9. MARC: openbsd-ports — discussões da coleção de ports.
10. DaemonForums OpenBSD — fórum comunitário; tutoriais antigos podem estar desatualizados.
11. OpenBSD.Amsterdam — serviço de VMs OpenBSD cujo modelo também apoia o projeto.
12. RunBSD — relatos e páginas sobre organizações que usam sistemas BSD.
13. BSD Cafe — comunidade e serviços sociais voltados a BSD e software livre.
14. Lobsters: tag OpenBSD — notícias e discussões técnicas selecionadas pela comunidade.
15. r/openbsd — comunidade informal para setups, dúvidas e experiências; confirme respostas na documentação oficial.
16. NYC*BUG — grupo BSD com talks, dmesgd e infraestrutura comunitária.
17. dmesgd — exemplos reais de dmesg, úteis para investigar hardware.

O que instalar primeiro

Uma base sensata para servidor não começa com dezenas de pacotes. Primeiro:

doas syspatch
doas pkg_add -u
doas rcctl ls all

Depois instale somente o necessário. Para uma estação de administração, uma seleção possível é:

doas pkg_add git tmux vim--no_x11 curl jq ripgrep rsync

Os nomes e flavors podem mudar. Pesquise antes:

pkg_info -aQ tmux
pkg_info -aQ rsync

Para acompanhar espaço, serviços e integridade:

df -h
doas rcctl ls failed
doas syspatch -c
doas pfctl -nf /etc/pf.conf

Limites: quando escolher outra plataforma

Docker, Kubernetes e aplicações “container-first”

OpenBSD não implementa namespaces e cgroups como Linux e não oferece Docker nativo. Tentar imitar uma documentação baseada em Compose no host costuma produzir mais trabalho e menos compatibilidade. Rode uma VM Debian/Alpine em vmm, use outro servidor Linux ou mantenha o OpenBSD somente na borda.

NAS de grande porte

O sistema possui FFS, softraid, NFS e ferramentas sólidas, mas não ZFS. Para arrays grandes, snapshots frequentes, replicação ZFS e administração de storage por interface, TrueNAS/FreeBSD ou Linux podem ser escolhas melhores. OpenBSD ainda pode proteger a rede do NAS.

GPU, IA, jogos e transcodificação

Drivers proprietários, CUDA, ROCm, anti-cheat, Steam/Proton e aceleração de vídeo não têm a mesma cobertura do Linux. Um desktop leve e criativo é viável; uma workstation de IA ou jogos modernos não é o alvo natural.

Aplicações empresariais específicas

Antes de migrar, confirme navegador, videoconferência, VPN corporativa, token, impressora, webcam e agentes obrigatórios. “Existe uma versão Unix” não garante suporte a OpenBSD.

Wi-Fi e hardware novo

Consulte a página da arquitetura, man page do driver e relatos dmesg do modelo exato. Uma etiqueta comercial pode esconder chips diferentes. Para roteador, interfaces Intel bem suportadas e Ethernet cabeada normalmente dão menos surpresas.

Recomendações práticas

Caminho de aprendizado em cinco projetos

1. VM de estudo: instale OpenBSD 7.9, leia afterboot(8), configure usuário, doas, SSH, pacotes, syspatch e sysupgrade.
2. Servidor web: publique um site estático com httpd e certificado por acme-client.
3. Gateway de laboratório: adicione segunda interface, roteamento, NAT, regras PF e Unbound.
4. Acesso remoto: acrescente WireGuard e uma rede de administração.
5. Laboratório avançado: crie VMs com OpenBGPD, rpki-client, CARP, pfsync e relayd.

Hardware inicial

Para estudar, uma VM com 2 vCPUs, 2 GB de RAM e 20 GB de disco já é confortável. Para gateway doméstico, priorize:

• CPU amd64 comum e eficiente;
• pelo menos duas interfaces Ethernet bem suportadas;
• 4 GB de RAM ou mais;
• SSD confiável;
• console local ou serial;
• equipamento separado do servidor de aplicações, quando possível.

Para host de várias VMs, aumente RAM e armazenamento conforme os convidados. Não compre appliance sem conferir o chipset real das interfaces.

Política operacional mínima

• acompanhe uma release suportada e aplique syspatch;
• atualize pacotes depois de patches e upgrades;
• valide pf.conf, httpd.conf, relayd.conf e outras configurações antes do reload;
• mantenha console ou rota alternativa antes de alterar rede remotamente;
• faça backups fora da máquina e teste restauração;
• use usuários dedicados e habilite somente serviços necessários;
• consulte man pages da mesma release da máquina;
• registre o dmesg, particionamento, endereços, VLANs e procedimento de recuperação;
• não execute código não confiável no gateway;
• doe ao projeto ou à Foundation se ele se tornar parte importante da sua infraestrutura.

Conclusão

OpenBSD é mais interessante quando usado como um conjunto coerente de peças Unix, não como uma tentativa de reproduzir Linux. Ele pode ser o roteador que você entende por inteiro, a borda segura de um homelab cheio de containers, um servidor web pequeno, um laboratório de Internet, uma estação de escrita, uma plataforma para aprender C e segurança ou a base de um appliance autoral.

O melhor primeiro projeto para a maioria das pessoas é uma VM com site estático, SSH e PF. O melhor projeto prático é um gateway com VLANs, Unbound e WireGuard. O mais fascinante para estudo é um laboratório BGP/RPKI. E a combinação mais realista para self-hosting moderno é OpenBSD na borda e Debian/Alpine em VMs para aplicações dependentes de Docker.

Fontes consultadas

• OpenBSD — página oficial e release atual
• OpenBSD 7.9 — release notes
• OpenBSD FAQ
• OpenBSD FAQ — instalação
• OpenBSD FAQ — redes
• OpenBSD FAQ — X Window System
• OpenBSD FAQ — discos e filesystems
• OpenBSD FAQ — pacotes e ports
• OpenBSD PF User's Guide
• OpenBSD Innovations
• OpenBSD Security
• OpenBSD manual pages
• PF manual
• CARP manual
• pfsync manual
• relayd manual
• httpd manual
• vmctl manual
• OpenSSH
• LibreSSL
• OpenBGPD
• OpenSMTPD
• OpenIKED
• OpenNTPD
• rpki-client
• OpenBSD CVSWeb
• OpenBSD source mirror
• OpenBSD ports mirror
• OpenPorts
• OpenBSD Journal
• OpenBSD Handbook
• OpenBSD mailing lists
• OpenBSD events and papers

Nota sobre atualidade

Pesquisa concluída em 23 de julho de 2026, tomando o OpenBSD 7.9 como release estável. Pacotes, suporte a hardware, sintaxe, projetos comunitários e compatibilidade podem mudar. Confirme decisões importantes nas páginas de manual da release instalada, no FAQ oficial e em pkg_info -aQ.