Exportando métricas do host com o node_exporter do Prometheus: coletores, o coletor textfile e o firewall da porta

Objetivo

Expor métricas de CPU, memória, disco, rede e outras métricas de nível de host de um servidor Linux em um formato que o Prometheus consiga coletar (scrape), incluindo valores personalizados calculados por um script local, sem deixar o endpoint de métricas acessível fora do sistema de monitoramento.

Pré-requisitos

Um host Linux com wget/curl e tar; um servidor Prometheus (ou outro scraper compatível) que fará a coleta; uma forma de adicionar uma unit do systemd e um usuário de sistema dedicado.

Passos

1. Baixe, na página de releases do projeto, a versão correspondente ao sistema operacional e à arquitetura do host e extraia-a, por exemplo node_exporter-<version>.linux-amd64.tar.gz, conforme descrito no guia do Prometheus sobre o Node Exporter.
2. Crie um usuário dedicado e sem privilégios para o processo: useradd --system --no-create-home --shell /usr/sbin/nologin node_exporter. Coloque o binário em /usr/local/bin/node_exporter, com root como dono e modo 0755, para que a conta de serviço não possa substituir o próprio binário.
3. Crie uma unit do systemd em /etc/systemd/system/node_exporter.service que execute o binário com esse usuário, usando User=node_exporter, ExecStart=/usr/local/bin/node_exporter e Restart=on-failure. Não é necessário nenhum flag de coletor para obter o comportamento padrão, pois o README lista coletores como cpu, diskstats, filesystem, meminfo e loadavg como ativados por padrão no Linux.
4. Para publicar um valor personalizado (o timestamp do último backup bem-sucedido, os dias restantes até a expiração de um certificado), aponte o Textfile Collector para um diretório com --collector.textfile.directory=/var/lib/node_exporter/textfile_collector no ExecStart (o coletor não faz nada enquanto esse flag não for definido) e faça um cron job ou script gravar arquivos *.prom ali, no formato de exposição de texto do Prometheus. Grave de forma atômica, como mostra o README: escreva em name.prom.$$ no mesmo diretório e depois use mv para renomear para name.prom, de modo que uma coleta nunca leia um arquivo pela metade.
5. Recarregue e inicie: systemctl daemon-reload && systemctl enable --now node_exporter.
6. Segundo o README, o node_exporter escuta por padrão na porta HTTP 9100, e o endpoint não tem autenticação embutida, a menos que se informe um --web.config.file. Restrinja o acesso de entrada com uma regra de firewall no host que permita apenas o endereço do servidor Prometheus na porta 9100, por exemplo com nftables: nft insert rule inet filter input tcp dport 9100 ip saddr != <prometheus-ip> drop (pressupõe uma tabela inet filter com uma chain input; o insert coloca a regra antes das regras accept existentes; ela vale apenas para IPv4 e se perde na reinicialização, a menos que seja adicionada a /etc/nftables.conf).
7. Verifique: curl http://localhost:9100/metrics | grep node_ deve listar famílias de métricas com o prefixo node_, conforme o exemplo do próprio guia.

Resultado esperado

A unit do systemd está ativa e habilitada; o curl na porta 9100 retorna métricas; a porta não é acessível a partir de nenhum host além do servidor Prometheus.

Limites e base de verificação

Baseado no README do node_exporter e no guia do Node Exporter da documentação do Prometheus. Para desfazer, execute systemctl disable --now node_exporter e remova o arquivo da unit e o binário. Executar o binário como root é desnecessário para os coletores padrão e amplia o impacto de qualquer vulnerabilidade no exporter; mantenha-o sob um usuário de sistema próprio.