VPN de acesso remoto
Acesso remoto para equipes e fornecedores com OpenVPN ou WireGuard, credencial individual, segundo fator e alcance limitado ao que cada perfil precisa, sem publicar sistema interno na internet.
- Para quem
- Empresas com equipe em home office, em campo, ou com fornecedores que acessam sistemas internos
- Formato
- Projeto com escopo fechado, executado de forma remota, com procedimento entregue à equipe
- Resultado
- Acesso individual, auditável e revogável, com os serviços internos fora da internet
O risco do acesso remoto improvisado
Publicar RDP, painel administrativo ou banco de dados direto na internet é um dos caminhos mais explorados em ataques a empresas. Senha compartilhada piora o quadro: quando alguém sai, ninguém troca, e não há como saber quem acessou o quê.
Com VPN, o usuário entra na rede por um canal autenticado e criptografado, e os serviços continuam invisíveis para o resto da internet. O desenho certo também limita o alcance de cada perfil: o fornecedor que mantém um sistema não precisa enxergar a rede inteira.
Sinais de que é hora de tratar
- Há RDP ou painel de administração acessível pela internet
- A equipe usa a mesma senha para entrar na VPN
- Fornecedores têm o mesmo acesso que funcionários
- Contas de quem já saiu da empresa continuam ativas
- O acesso remoto não pede segundo fator
Escopo e entregáveis
O escopo final é fechado depois do diagnóstico, por escrito. A lista abaixo é o que normalmente entra.
O que o trabalho cobre
- Servidor de VPN com OpenVPN ou WireGuard no pfSense
- Credencial individual, com certificado próprio quando o protocolo permite
- Segundo fator de autenticação
- Integração com Active Directory ou outro diretório via LDAP ou RADIUS, quando aplicável
- Perfis separados para funcionários, administradores e terceiros
- Decisão entre split tunnel e full tunnel conforme a política da empresa
- Retirada da publicação direta dos serviços que passam a ser acessados pela VPN
O que você recebe
VPN em produção
Servidor configurado, com perfis e regras por grupo.
Procedimento de inclusão e revogação
Passo a passo para a equipe incluir usuário e cortar acesso no dia do desligamento.
Instruções para o cliente de VPN
Instalação e configuração nos sistemas operacionais usados pela equipe.
Inventário de acessos
Quem tem acesso, a quê e com qual validade.
Como é executado
Nenhuma alteração entra em produção sem janela combinada e caminho de volta definido.
Levantamento
Quem precisa acessar, o quê, de onde e com que frequência. É aqui que se separam os perfis.
Projeto
Protocolo, autenticação, perfis e regras definidos por escrito.
Implantação
Servidor e regras configurados, primeiros usuários provisionados e testados com a equipe.
Fechamento da exposição
Serviços que estavam publicados na internet saem do ar depois que o acesso pela VPN é validado.
Cuidados de segurança na execução
Valem para o trabalho em si, não só para o resultado. Acesso administrativo também é superfície de ataque.
- Credencial individual, nunca compartilhada
- Segundo fator obrigatório para administradores e recomendado para todos
- Certificado por usuário, revogável sem afetar os demais
- Perfil de terceiro com alcance restrito e prazo de validade
- Registro de conexão para auditoria
- Menor privilégio em cada regra aplicada ao túnel
Quando faz sentido, e os limites
Dizer o que não está incluído evita proposta mal entendida e trabalho refeito.
Indicado quando
- Empresas com colaboradores em home office ou em campo
- Equipes que acessam ERP, arquivos e sistemas internos de fora
- Negócios que dão acesso a fornecedores e prestadores
- Quem expõe RDP ou painéis na internet e quer eliminar esse risco
- Empresas saindo de auditoria com achado sobre acesso remoto
Limites do serviço
- A segurança do computador do usuário (antivírus, atualização, disco criptografado) depende da política de estações da empresa
- Licença de solução de segundo fator, quando houver, é contratada pela empresa
- Suporte individual ao usuário final para instalar o cliente entra só se previsto no escopo
- VPN não corrige aplicação vulnerável: ela reduz quem consegue chegar até a aplicação
Responsabilidade técnica
O diagnóstico, o projeto e a execução são conduzidos por Cesar Gargiulo, responsável técnico da OpenSourceBrasil e fundador da GUARDIASEC, sem terceirização da parte técnica. Esta página foi revisada por ele em .
Trajetória e fontesPerguntas sobre a contratação
Como funciona o provisionamento e a revogação de acessos?
Cada pessoa recebe credencial individual, com certificado próprio quando o protocolo permite. Isso significa que a saída de um funcionário se resolve revogando um certificado, sem tocar no acesso dos demais e sem trocar senha compartilhada. O procedimento de inclusão e de revogação é entregue documentado para a sua equipe executar.
Dá para integrar com o Active Directory ou com o diretório que já usamos?
Na maior parte dos casos sim, via LDAP ou RADIUS, o que evita mais uma base de senhas para administrar. A viabilidade depende de como o seu diretório está exposto e de qual política de senha e de segundo fator já existe nele. Isso é verificado no levantamento, antes de entrar na proposta.
Fornecedor externo precisa do mesmo acesso que um funcionário?
Não, e tratar os dois igual é um erro comum. O padrão que implantamos é um perfil separado para terceiro, com alcance restrito ao host e à porta de que ele precisa, prazo de validade e registro do que foi acessado. É mais trabalho na configuração e bem menos risco na operação.
Quanto tempo leva para colocar a equipe conectada?
A subida do servidor de VPN e das regras é rápida. O que define o prazo real é o número de pessoas a provisionar, a decisão entre split tunnel e full tunnel, e a integração com o diretório quando ela entra no escopo. Implantações com dezenas de usuários costumam se resolver em poucas janelas.
Vocês reveem um acesso remoto que já está funcionando?
Sim. É um pedido comum depois de auditoria, e os achados se repetem: liberação de qualquer origem para qualquer destino na aba da VPN, contas de gente que já saiu, certificado de CA perto do vencimento e ausência de segundo fator. A revisão entrega o inventário do que existe e a ordem de correção.
Para entender as decisões antes de contratar
O raciocínio técnico por trás deste serviço está publicado. A trilha completa está em Guias de VPN corporativa.
- Zero Trust para redes corporativasZero Trust virou palavra da moda, mas o princípio é sólido: não confiar por padrão. Veja o que é de verdade e como começar com o que você já tem.
- Publicação segura de serviçosExpor serviços com NAT é comum e arriscado. Veja alternativas mais seguras e como reduzir a superfície pública.
- Segmentação de redeRedes planas amplificam incidentes. A segmentação limita a movimentação lateral e reduz o impacto de um host comprometido.
- VPN de acesso remoto seguroAcesso remoto seguro depende de autenticação forte e controle por perfil. Veja como evitar que a VPN vire porta de entrada.
- OpenVPN, IPsec ou WireGuardAs três VPNs do pfSense comparadas por desempenho, autenticação, interoperabilidade e uso. Um critério de decisão para site-to-site e acesso remoto.
- WireGuard no pfSenseA VPN moderna que roda nativa no pfSense. Como o WireGuard funciona, onde ele brilha, o que exige atenção e quando ainda vale usar OpenVPN ou IPsec.
Quer tirar sistemas internos da internet?
Informe quantas pessoas acessam de fora, que sistemas usam e se há fornecedores envolvidos. A resposta indica o desenho de perfis e o que precisa ser verificado no diretório.
Prefere e-mail? Escreva para [email protected]