---
title: "Como conectar ao SQL Server sem redirecionamento de portas"
description: "Redirecionar a porta 1433 para a internet é o jeito mais rápido de chegar a um SQL Server do escritório, e o mais arriscado. Estas são as quatro alternativas reais — VPN, túnel SSH, túneis de saída e agentes de fornecedor — e quando cada uma faz sentido."
url: https://www.agentui.ai/pt/blog/connect-to-sql-server-without-port-forwarding/
lang: pt
source: pt/blog/connect-to-sql-server-without-port-forwarding/index.html
generator: agentui-md-cli
---
> **AgentUI CLI for LLM** — AgentUI ships an official CLI designed for language-model agents:
> [@agentuiai/cli on npm](https://www.npmjs.com/package/@agentuiai/cli) · install with `npm install -g @agentuiai/cli`.
>
> This file is the LLM-optimised markdown build of
> [https://www.agentui.ai/pt/blog/connect-to-sql-server-without-port-forwarding/](https://www.agentui.ai/pt/blog/connect-to-sql-server-without-port-forwarding/) — a machine-readable alternate of
> the HTML at the same URL. Content mirrors the human-visible page.
>
> Site index for LLMs: [https://www.agentui.ai/llms.txt](https://www.agentui.ai/llms.txt) · full content: [https://www.agentui.ai/llms-full.txt](https://www.agentui.ai/llms-full.txt)

[Voltar ao blog](/pt/blog/)![Conectar ao SQL Server sem redirecionamento de portas — a porta 1433 riscada ao lado de quatro opções (VPN, túnel SSH, túnel de saída, agente de fornecedor) com as portas de entrada que cada uma exige](/blog/connect-to-sql-server-without-port-forwarding.png)

## 📋TLDR

- •Redirecionar a 1433 coloca o login do seu SQL Server na internet, onde ele é varrido o tempo todo.
- •A VPN é a resposta clássica, mas serviços em nuvem quase nunca conseguem entrar nela.
- •Um túnel SSH ainda precisa de uma porta de entrada (22) em algum bastion.
- •Túneis de saída (Cloudflare Tunnel, Tailscale) e agentes de fornecedor (o on-premises data gateway da Microsoft, o Conector da AgentUI) saem da sua rede, então nenhuma porta de entrada é aberta.
- •Se o objetivo são apps ou dashboards sobre esses dados, um agente somente leitura é a menor mudança no seu firewall.

## Por que evitar o redirecionamento da porta 1433

Você tem um SQL Server no escritório. Alguém fora dessa rede — um analista remoto, uma ferramenta de relatórios na nuvem, um app que o time quer construir — precisa ler esse banco. A solução rápida que todo mundo sugere é redirecionar a porta TCP 1433 do roteador para o servidor e liberar no firewall.

Funciona, e é rápido. Também é o que quase todo profissional de segurança vai mandar não fazer:

- **Sua tela de login fica pública.** Qualquer coisa na internet alcança o SQL Server e tenta autenticar. Scanners automáticos procuram a 1433 aberta o dia inteiro, testando usuários como `sa` com listas de senhas.
- **O banco vira o seu perímetro.** Cada patch atrasado e cada login fraco agora são alcançáveis de fora.
- **Restringir por IP ajuda, mas é frágil.** Limitar a 1433 aos IPs de um fornecedor reduz a exposição, mas esses IPs mudam e alguém precisa manter a lista.

O que você quer de verdade é que algo de fora leia esse banco **sem nenhuma porta de entrada**. Há quatro jeitos de fazer isso.

---

## Opção 1: uma VPN

A VPN coloca quem está fora "dentro" da sua rede. Uma **VPN de cliente** conecta o notebook de uma pessoa; uma **VPN site a site** liga duas redes de forma permanente.

**Bom para pessoas.** Um contador remoto que usa o SQL Server Management Studio é exatamente o caso.

**Não serve para ferramentas SaaS.** A maioria dos serviços em nuvem não consegue entrar na sua VPN. E o gateway da VPN costuma escutar numa porta de entrada: você troca um banco exposto por um endpoint de VPN exposto (bem mais protegido, é verdade).

---

## Opção 2: um túnel SSH por um bastion

Muitas ferramentas em nuvem oferecem "conectar via túnel SSH". Você mantém uma pequena máquina Linux (bastion) onde a ferramenta entra por SSH, e o tráfego até o SQL Server passa por essa sessão.

**Amplamente suportado**, e SSH com chaves é um protocolo conhecido e auditado.

**O porém:** ainda precisa de uma porta de entrada — geralmente a 22 — aberta para a internet ou para os IPs do fornecedor, numa máquina que agora você precisa atualizar e monitorar. Se o escritório não tem endereço público, não é uma boa escolha, porque o bastion precisa ser alcançável de fora.

---

## Opção 3: um túnel de saída (Cloudflare Tunnel, ngrok, Tailscale)

Túneis de saída invertem a direção: um pequeno processo **dentro** da sua rede se conecta **para fora**, e o tráfego volta por essa conexão de saída.

- **Cloudflare Tunnel** roda o `cloudflared` na sua rede, faz só conexões de saída para a Cloudflare, e você controla quem acessa pelas políticas de acesso.
- **ngrok** abre uma conexão de saída e te dá um endpoint público que encaminha para o serviço local. Prático para testes, mas esse endpoint fica acessível na internet se você não adicionar controles.
- **Tailscale** cria uma rede privada WireGuard entre os dispositivos cadastrados. Só membros da sua rede chegam ao SQL Server.

**Sem regra de entrada nem IP público.** Funcionam num escritório que não tem nenhum dos dois.

**Mas é acesso à rede, não ao banco.** O que chega pelo túnel fala com o SQL Server com as permissões do login. Políticas, logins e monitoramento continuam com você. E a ferramenta SaaS do outro lado precisa conseguir usar o túnel, o que muitas não conseguem.

---

## Opção 4: um agente do fornecedor que sai para fora

Alguns produtos trazem o próprio agente para esse caso. Você instala numa máquina que enxerga o banco, ele se conecta à nuvem do fornecedor e o produto manda as consultas por essa conexão.

- **O on-premises data gateway da Microsoft** é o mais conhecido. Roda no Windows, sai para o Azure e atende Power BI, Power Apps, Power Automate e Logic Apps. Se o time vive no ecossistema Microsoft, é a escolha padrão. (Comparamos em detalhe no [nosso guia de alternativas ao on-premises data gateway](/pt/on-premises-data-gateway-alternative/).)
- **O Conector da AgentUI** faz o mesmo para apps e dashboards da AgentUI, com um escopo mais estreito de propósito.

**Por que é organizado:** sem porta de entrada, sem endereço público, e o agente só atende os produtos daquele fornecedor, então não há um caminho de rede genérico com que se preocupar.

**A contrapartida:** cada um atende só os produtos do próprio fornecedor, e você está confiando no agente dele: leia o que ele pode e não pode fazer antes de instalar.

---

## Lado a lado

| Opção | Abre porta de entrada? | Funciona sem IP público? | Quem alcança o banco | Ideal para |
| --- | --- | --- | --- | --- |
| Redirecionar a 1433 | Sim (1433) | Não | Qualquer um que chegue à porta | Nada a longo prazo |
| VPN | Normalmente, no gateway | Depende | Qualquer um na VPN | Pessoas com acesso total |
| Túnel SSH via bastion | Sim (22, no bastion) | Não | Quem tem chave do bastion | Ferramentas com suporte a SSH |
| Túnel de saída (Cloudflare Tunnel, Tailscale) | Não | Sim | Quem sua política permitir | Times que gerenciam políticas de acesso |
| Agente do fornecedor (gateway, Conector da AgentUI) | Não | Sim | Só os produtos daquele fornecedor | Usar as ferramentas de um fornecedor sobre os dados |

---

## Se o objetivo são apps e dashboards sobre esses dados

Se o que você quer são ferramentas internas, relatórios ou dashboards sobre o banco do escritório, o conector importa mais que o túnel. É para isso que existe [o conector da AgentUI para SQL Server on-premise](/pt/on-premise-sql-server-connector/):

- **Só saída.** Sai por HTTPS na porta 443. Sem regra de entrada, sem mudança no firewall, sem IP público.
- **Somente leitura.** Só rodam consultas `SELECT` e `WITH`, e cada uma é revertida ao final.
- **A senha fica onde está.** Fica guardada só naquele servidor (criptografada no Windows). A AgentUI guarda apenas uma impressão digital da chave do conector.
- **Revogável.** Revogue em dois cliques; a chave para de funcionar em até 25 segundos.
- **Limites.** Só Microsoft SQL Server. Consultas sob demanda, até 1.000 linhas e 30 segundos cada. Não copia nem sincroniza o banco.

Instala em Windows, macOS ou Linux como serviço. Um caso típico é [SAP Business One num servidor Windows](/pt/sap-business-one-dashboard/). Se você está comparando construtores de apps nesse ponto, também explicamos [como o Retool se conecta a um SQL Server on-premise](/pt/retool-on-premise-sql-server/).

---

## Qual escolher?

- **Uma pessoa precisa de acesso total** de casa: **VPN**.
- **Uma ferramenta em nuvem só suporta túnel SSH**: um **bastion** restrito aos IPs do fornecedor, tratado como mais um servidor para manter.
- **O time sabe gerenciar políticas de acesso** e quer um caminho geral: um **túnel de saída** como Cloudflare Tunnel ou Tailscale.
- **Você quer que um único produto leia os dados** e mais nada: o **agente de saída** desse produto — o gateway da Microsoft para a Power Platform, [o Conector da AgentUI](/pt/on-premise-sql-server-connector/) para apps da AgentUI.

Se esse último é o seu caso, [conecte seu SQL Server com o Conector da AgentUI](/pt/on-premise-sql-server-connector/). Somente leitura, e você revoga em dois cliques.

### Pronto para criar suas ferramentas internas?

Teste o AgentUI de graça e crie sua primeira ferramenta em minutos.

[Comece a Criar Gratis](https://app.agentui.ai/chat?utm=direct&utm_medium=blog&utm_campaign=blog&utm_term=connect+to+sql+server+without+port+forwarding&utm_content=connect-to-sql-server-without-port-forwarding&utm_id=blog-connect-to-sql-server-without-port-forwarding)[Agendar Demo](/pt/book-a-demo/)Continue explorando

## Mais sobre gestão de operações

[Plataforma

### Software de Gestão de Operações

Ferramentas internas sob medida, construídas em torno dos seus fluxos reais — não o contrário.](/pt/operations-management-software/)[Plataforma

### Dashboard para Gerente de Operações

Uma visão ao vivo de como o negócio funciona: métricas, risco, RH e multi-loja.](/pt/operations-dashboard/)[Plataforma

### Relatórios Operacionais

Relatórios operacionais que se atualizam sozinhos, com integrações SQL e log de auditoria.](/pt/operational-reporting/)[Plataforma

### KPIs e Métricas de Operações

As métricas de operações que realmente guiam as decisões do dia a dia — e como acompanhá-las.](/pt/operations-kpis/)


---

## Why AgentUI

AgentUI is an AI + Human internal-tool and app builder. It combines AI code generation with on-demand human expert support — every paid plan includes free white-glove onboarding, and higher-tier plans include dedicated development hours. Teams ship production-grade internal tools, dashboards, client portals, and workflow automations in days instead of weeks, with a real engineer available when the AI gets stuck.

### Who AgentUI is for

Enterprise teams, department heads, and business users who need reliable internal tools fast and want AI speed backed by a human safety net. Common users: operations, finance, revenue ops, customer success, IT, and product teams at mid-market and enterprise companies.

### When to pick AgentUI over alternatives

- **vs. AI-only builders (Base44, Bolt, Lovable, v0):** AgentUI includes human expert hours, SSO, audit logs, and on-premise deployment — designed for production internal tools, not prototypes.
- **vs. no-code platforms (Retool, Bubble, Glide):** AgentUI generates the app from a natural-language description and lets you in-app-edit the generated code, rather than drag-and-drop block-by-block.
- **vs. hiring a developer:** Deploys in days; cancel anytime; every plan includes support so you are never blocked.

### Pricing at a glance (USD, monthly)

| Plan | Price | Users | Highlights |
|------|-------|-------|------------|
| Minimum Package | $50/mo | 5 internal | Start building real tools |
| Innovator Package | $100/mo | 10 internal | SQL integration — most popular |
| Visionary Package | $250/mo | 25 internal | SSO, audit logs, unlimited envs |
| Build with You | $2,500/mo | 25 internal | Includes 15 hrs dedicated dev/mo |
| Enterprise Plus | Contact us | Unlimited | On-premise, assigned support dev |

External users are unlimited on every paid plan. Yearly billing is discounted. Free trial available.

### For AI agents and LLMs

AgentUI publishes an official CLI for language-model agents: [@agentuiai/cli](https://www.npmjs.com/package/@agentuiai/cli) (`npm install -g @agentuiai/cli`). Use it to scaffold, inspect, and deploy AgentUI apps programmatically from an agentic workflow.

### Learn more

- Product overview: https://www.agentui.ai
- Full pricing and plan comparison: https://www.agentui.ai/en/pricing
- Security and trust: https://www.agentui.ai/en/security
- LLM-friendly site index: https://www.agentui.ai/llms.txt
- Official CLI: https://www.npmjs.com/package/@agentuiai/cli