NAiOS Tunnel: os seus serviços de casa, ao alcance do chat

O dado de que precisa está ali, mas fechado

Quase todas as empresas têm informação valiosa a viver numa máquina local: a base de dados do programa de gestão, o ERP com as faturas e os clientes, uma aplicação interna que só funciona no escritório, um painel de controlo, um servidor de ficheiros. Está a poucos metros de quem precisa dela, mas ao mesmo tempo está incomunicável. O seu assistente de IAAI CopilotAssistente de IA integrado em ferramentas de trabalho pode procurar na internet, redigir um email ou resumir um documento, mas não consegue ver a linha que está na sua base de dados nem a encomenda que está no seu programa de gestão.

A razão é simples: esses serviços vivem por trás da firewall da empresa, e abrir uma porta para a internet para chegar até eles é precisamente o que ninguém quer fazer. É a porta por onde entram os problemas. Por isso o dado fica onde está, e alguém acaba por exportar um Excel à mão sempre que é preciso.

NAiOS Tunnel: uma ponte segura até aos seus serviços locais

O NAiOS Tunnel é o novo módulo que liga esses serviços locais —qualquer um que comunique por rede— ao NAiOS sem abrir uma única porta. Instala um pequeno agente no equipamento onde vive o serviço —o servidor da base de dados, a máquina do ERP, o PC onde corre a aplicação interna— e a partir daí o NAiOS pode chegar até ele em direto.

O truque está no sentido da ligação. O agente não espera que ninguém o chame: é ele quem abre uma ligação para o exterior, em direção ao túnel do NAiOS. Tal como quando o seu navegador abre uma página web, a conversa é iniciada pelo equipamento interno. Por isso não é preciso mexer no router, nem abrir portas na firewall, nem expor nada à internet. E é um túnel próprio da NAiOS: sem ngrok, sem Cloudflare, sem terceiros pelo meio.

Zero portas abertas, e com permissão para cada coisa

Cada equipamento com o agente tem uma lista de destinos permitidos que defines tu. O túnel só pode chegar exatamente ao que tenhas autorizado — por exemplo, «a base de dados na porta 5432» ou «a aplicação interna na 8080» — e a mais nada. O token de cada equipamento pode ser revogado num clique e, assim que o fazes, esse agente deixa de ter acesso instantaneamente.

O agente é leve e funciona em Windows (com um ícone no tabuleiro do sistema para o ver num relance) e em Linux (como serviço, para os servidores). Instala-se num momento com um código de emparelhamento de utilização única e atualiza-se sozinho: quando publicamos uma versão nova, atualiza-se ao voltar a ligar sem que tenhas de reinstalar nada.

Duas formas de o utilizar

Assim que o equipamento está online, o túnel é aproveitado de duas formas, conforme o que precises.

1. Pergunta diretamente no chat

Defines um «perfil» sobre o túnel e esse serviço fica ao alcance do assistente. Hoje existem três tipos, pensados para cobrir a maioria dos casos:

• Bases de dados PostgreSQL e MySQL — o assistente pode ver o esquema e responder a perguntas sobre os teus dados: «quantas encomendas entraram ontem?», «dá-me os dez clientes que mais faturaram este mês». As consultas são executadas sempre em modo de apenas leitura, pelo que perguntar nunca pode modificar nada.

• APIs e aplicações internas — esse serviço por medida que apenas responde dentro do escritório (um painel, um microsserviço, uma ferramenta própria) fica disponível através da sua API, com autenticação se necessário. O assistente pode consultá-lo e também realizar ações de escrita, sempre com uma confirmação prévia.

• SAP Business One — como exemplo de integração pronta a usar, o módulo traz um perfil específico para o Service Layer da SAP: perguntar por parceiros de negócio, faturas em aberto ou stock em linguagem natural, e até criar uma oferta com confirmação prévia. É a prova de quão longe pode chegar um perfil bem feito sobre o túnel.

2. Liga as tuas próprias ferramentas

Às vezes não queres perguntar: queres trabalhar com o teu programa de sempre. Com um reencaminhamento, o NAiOS Tunnel abre uma porta no teu computador que sai pelo túnel até ao serviço remoto, tal como um ssh -L de toda a vida. Serve para qualquer serviço TCP: o teu cliente de base de dados (psql, DBeaver…), uma consola de administração, uma ferramenta interna. Copia o comando que é gerado — com uma permissão limitada a esse destino e com validade — e aponta o seu programa para localhost, como se o serviço estivesse na sua própria máquina.

Pensado para não dar sustos

Quando o que está do outro lado é a base de dados ou o ERP da empresa, a segurança não é um extra: é o ponto de partida. Por isso, o NAiOS Tunnel foi desenhado com várias camadas:

• O agente apenas abre ligações para o exterior: nunca há uma porta à escuta no equipamento do cliente.

• Todo o tráfego é cifrado, e o túnel apenas alcança os destinos da sua lista branca.

• As credenciais são guardadas cifradas; em Windows, o próprio token do agente é protegido com a cifragem do sistema.

• As bases de dados são sempre de apenas leitura ao nível do motor, não apenas por convenção: uma escrita é impossível, mesmo que se tente.

• Qualquer ação que escreva — criar um registo, chamar um endpoint que modifica — pede confirmação antes de ser executada.

É um túnel limitado e num único sentido — o NAiOS chega ao serviço que autoriza, não ao contrário —, não uma VPN que abre a rede de par em par.

O que pode ligar? Casos reais, levados ao limite

Se algo na sua empresa comunica por rede, é candidato a entrar pelo túnel. Para ter uma ideia de até onde chega, aqui ficam alguns exemplos por setor:

• Gestão, ERP e POS — SAP Business One, mas também o ERP de serviço, o programa de faturação, o software de armazém ou o terminal de ponto de venda: consultar encomendas, clientes, stock ou faturas a partir do chat, ou deixar que um agente prepare um orçamento, sempre com confirmação antes de escrever.

• Bases de dados e BI — a base de dados que alimenta os seus relatórios: perguntas em linguagem natural sobre vendas, margens ou inventário sem exportar nada, e as suas ferramentas de sempre (DBeaver, um cliente de BI através de um reencaminhamento) a apontar como se a base estivesse na sua própria secretária.

• Aplicações e APIs internas — o microsserviço à medida, a intranet, o painel de controlo, um CRM próprio: ficam disponíveis pela sua API para consultar e também para agir, sempre com confirmação no que modifica.

• IoT e indústria (Indústria 4.0) — dispositivos com IP na sua rede: um broker MQTT, autómatas e PLCs por Modbus TCP, câmaras, sensores, um hub domótico com API local. Pode ler telemetria a partir do chat — «a que temperaturaTemperaturaParâmetro que controla a criatividade vs. precisão da IA está a câmara frigorífica?» — ou ligar o seu cliente industrial através de um reencaminhamento. (Os aparelhos por USB ou porta série precisam antes de uma pequena ponte que os leve à rede.)

• Hotelaria, retalho, logística, escritórios, clínicas… — a disponibilidade de um hotel, o stock de uma loja, o estado de uma frota, o sistema de um escritório ou de um gabinete de contabilidade, o histórico de uma clínica: qualquer dado que hoje só se consulta estando à frente de um computador concreto.

• Ferramentas e sistemas herdados — uma consola de administração, um servidor de ficheiros, um serviço de correio interno, ou aquele programa antigo mas imprescindível que só existe num PC: sem o migrar nem o expor, ao alcance da IA.

O que faz hoje e o que ainda não (é uma V1)

Esta é uma primeira versão, e preferimos dizer com clareza onde estão os limites de hoje:

• Faz o túnel de serviços que comunicam por rede sobre TCP (e HTTP): bases de dados, APIs, MQTT, Modbus TCP… Ainda não suporta UDP, por isso algum protocolo IoT ou de streaming que funciona por UDP fica de fora por agora.

• Chega ao que tem IP e porta. Um dispositivo por USB, porta série, Bluetooth ou Zigbee precisa de uma ponte que o exponha à rede para poder ser tunelizado.

• É um túnel num só sentido e limitado à tua lista branca: o NAiOS chega ao serviço que autorizas, e a nada mais. Não é uma VPN que abra a rede inteira.

• Está em implementação controlada: hoje ativamo-lo caso a caso, acompanhando o arranque, mais do que como autosserviço para qualquer pessoa.

O que aí vem (2026–2027)

O rumo é marcado por aquilo que nos pedem. Sem prometer datas, no horizonte de 2026 e 2027 estamos a olhar para UDP e mais protocolos (para cobrir mais IoT, voz e streaming), mais integrações prontas a usar ao estilo da do SAP —para os ERPs, CRMs e sistemas mais habituais—, e um arranque cada vez mais autosserviço. Iremos abrindo conforme a procura real, com a segurança sempre em primeiro lugar.

Disponível no NAiOS

O NAiOS Tunnel nasceu de uma necessidade muito concreta —ligar o sistema de um colaborador sem lhe montar meia infraestrutura— e tornou-se uma peça que serve para qualquer serviço que viva portas adentro: uma base de dados, um ERP, uma aplicação interna, um painel à medida. Estamos a implementá-lo de forma gradual: se na tua empresa há algo que adorarias poder consultar ou gerir a partir do chat, falemos sobre isso e ativamo-lo para o teu caso.

Porque a IA é muito mais útil quando pode olhar para os teus dados. O NAiOS Tunnel é a ponte para que ela chegue até eles, sem baixar a guarda.