A VPN de acesso remoto permite que colaboradores e fornecedores acessem recursos internos de qualquer lugar, com o tráfego criptografado e o acesso controlado por usuário. Bem configurada, ela substitui práticas inseguras, como publicar serviços diretamente na internet.
O risco aparece quando a VPN é tratada como simples porta de entrada, sem autenticação forte e sem controle de quem acessa o quê. Este guia aborda os pilares de um acesso remoto seguro.
Por que não expor serviços diretamente
Publicar serviços administrativos direto na internet, como acesso remoto a desktops ou painéis de gestão, é um dos vetores de ataque mais explorados. A VPN cria um canal autenticado e criptografado, mantendo esses serviços invisíveis para o restante da internet.
A diferença é prática. Um serviço de RDP exposto começa a receber tentativas de login automatizadas em minutos, e basta uma senha fraca ou reaproveitada para o acesso cair em mãos erradas. Atrás da VPN, esse mesmo serviço só responde a quem já se autenticou no túnel. A superfície de ataque deixa de ser a internet inteira e passa a ser o conjunto controlado de usuários com credencial válida.
Split tunnel ou full tunnel
No full tunnel, todo o tráfego do dispositivo remoto passa pela VPN, inclusive a navegação comum. Isso centraliza o controle e permite aplicar as mesmas políticas de saída do escritório, ao custo de mais tráfego no link da empresa. No split tunnel, apenas o tráfego destinado à rede interna entra no túnel, e o resto vai direto para a internet.
A escolha é de política, não de conveniência. Ambientes que precisam inspecionar e registrar toda a navegação do colaborador tendem ao full tunnel. Ambientes que priorizam desempenho e só querem proteger o acesso aos sistemas internos costumam usar split tunnel. O importante é decidir de forma consciente, porque o padrão de um cliente de VPN nem sempre reflete a política desejada.
Autenticação forte
A autenticação é o ponto mais sensível do acesso remoto. Sempre que possível, combine certificados por usuário com autenticação multifator. Isso reduz o impacto de credenciais vazadas, que sozinhas não bastam para entrar.
Segmentação por perfil
Nem todo usuário precisa acessar tudo. Regras por usuário ou grupo limitam cada perfil aos recursos necessários, seguindo o princípio do menor privilégio. Um fornecedor, por exemplo, deve alcançar apenas o sistema específico que mantém, e não a rede inteira.
Escolha de tecnologia
- OpenVPN: maduro, flexível e compatível com diversos sistemas.
- WireGuard: moderno, rápido e simples, com bom desempenho em mobilidade.
- Autenticação por certificado e suporte a múltiplos fatores.
- Regras que restringem cada perfil ao que realmente precisa.
Boas práticas operacionais
Boas práticas
- Revogue acessos imediatamente no desligamento de colaboradores.
- Registre conexões e mantenha visibilidade sobre os acessos.
- Aplique o menor privilégio por perfil e revise periodicamente.
- Mantenha clientes e servidores atualizados.
Riscos comuns
Atenção
- Acesso remoto sem múltiplo fator, dependente apenas de senha.
- Perfis com acesso amplo à rede interna.
- Contas que permanecem ativas após o desligamento.
- Falta de registro das conexões.
Quando buscar apoio especializado
Estruturar acesso remoto para equipes e fornecedores com segurança exige desenho de perfis, autenticação e segmentação. A OpenSourceBrasil implementa VPN de acesso remoto para empresas e atua com segurança de redes corporativas para reduzir a superfície de exposição.
Fontes e documentação de referência
- Netgate: OpenVPN no pfSenseServidor de acesso remoto, exportação de cliente e modos de autenticação.
- Netgate: WireGuard no pfSenseAlternativa moderna para acesso remoto, com chave por par.
- Netgate: gerenciador de certificadosEmissão e revogação de certificado por usuário.
- Netgate: gerenciamento de usuários e autenticaçãoIntegração com servidor externo de autenticação para segundo fator.
Sobre o autor
Cesar Gargiulo
Especialista em segurança da informação e infraestrutura de redes
Cesar Gargiulo trabalha com tecnologia desde 2006 e com segurança da informação há mais de uma década. A base da carreira é infraestrutura: data center, rede, servidor e disponibilidade. É a partir dessa base que ele trata firewall, VPN e segmentação, e não como um assunto isolado de produto.
- Pós-graduação em Offensive Cyber Security (Red Team Operations), FIAP
- MBA em Governança Estratégica de TI, FHO Uniararas
- Fundador da GUARDIASEC, GUARDIASEC LTDA
- Cisco CCNA e certificações de pentest