VPS para VPN corporativa

Uma VPN corporativa em um servidor alugado reúne funcionários, escritório e sistemas internos em uma única rede privada. Por ela, quem trabalha remotamente acessa o sistema de contabilidade, o servidor de arquivos e o CRM, as filiais trocam dados por um link criptografado e os administradores entram nos servidores de dentro da rede, e não por um SSH aberto para toda a internet. Ela também criptografa a conexão dos notebooks no Wi-Fi de hotéis, aeroportos e cafés. Nada disso exige um servidor potente: o que conta é a banda, o tráfego, o tipo de virtualização e a forma de distribuir os acessos.

Protocolo: WireGuard, OpenVPN ou IPsec

WireGuard é o mais rápido e simples: configuração curta, chaves em vez de senhas e clientes para Windows, macOS, Linux, iOS e Android. Serve para o acesso remoto dos funcionários e para ligar dois ou três escritórios. Requisitos e planos na página VPS para WireGuard.

OpenVPN é mais lento, mas também funciona sobre TCP, valida certificados da sua própria autoridade certificadora e se integra ao LDAP ou ao Active Directory, o que ajuda quando as contas dos funcionários já são geridas de forma centralizada. Ele criptografa em uma única thread, então a frequência do núcleo pesa mais que a quantidade de núcleos: veja VPS para OpenVPN.

IPsec (strongSwan, IKEv2) é a escolha comum para ligar unidades: roteadores e firewalls de escritório o suportam de fábrica, assim como os clientes nativos do Windows e do macOS, e os funcionários não precisam instalar nada.

Recursos conforme o número de funcionários

• Até 10–15 pessoas: 1 núcleo e 1 GB de memória bastam com folga para WireGuard ou OpenVPN com um painel simples de gestão de usuários.
• De 15 a 50 pessoas: 2 núcleos e 2 GB, principalmente com OpenVPN; quando um departamento inteiro trabalha ao mesmo tempo, um único núcleo vira gargalo.
• Mais de 50 pessoas ou várias filiais: de 2 a 4 núcleos, porta de 1 Gbit/s ou mais e um segundo servidor de reserva. Se o único gateway cair, a empresa inteira fica sem os sistemas internos.
• O disco quase não importa: 10–20 GB comportam o sistema, as configurações e vários meses de logs.

A virtualização deve ser apenas KVM. No OpenVZ e no LXC não é possível carregar módulos do kernel nem configurar toda a pilha de rede, por isso o WireGuard e o IPsec ou não sobem ou rodam devagar. A tabela acima já mostra só KVM.

Banda e tráfego

Por uma VPN corporativa não passam só as requisições aos sistemas internos: também exportações de relatórios, backups, sincronização de arquivos e videoconferências. Dez funcionários que trabalham com arquivos compartilhados e fazem chamadas gastam facilmente algumas centenas de gigabytes por mês, e a replicação entre filiais soma terabytes. Por isso esta seleção traz planos sem limite de tráfego; todos estão na página VPS com tráfego ilimitado. Repare também na velocidade da porta: 100 Mbit/s são divididos entre todos os conectados ao mesmo tempo, e uma equipe ou um escritório precisa de 1 Gbit/s. Em alguns provedores «ilimitado» significa uso justo, e a velocidade pode ser reduzida sob carga constante, então leia as condições antes de pagar.

Onde colocar o servidor

Coloque o gateway perto de quem o usa: o escritório, a maior parte da equipe ou os sistemas internos acessados. Cada dez milissegundos a mais aparecem na área de trabalho remota, no sistema de contabilidade e nas chamadas de voz. Se a equipe está espalhada por várias cidades ou países, meça o ping de lá até o IP de teste ou o looking glass do provedor, porque a rota até o mesmo data center muda de operadora para operadora. Uma empresa precisa de um IPv4 dedicado: planos com NAT e endereço compartilhado são incômodos para receber conexões dos funcionários.

Logs, controle de acesso e LGPD/GDPR

Dê a cada funcionário sua própria chave ou certificado em vez de uma senha comum: assim, quem sai da empresa perde o acesso em um minuto, sem afetar os demais. Mantenha um log de conexões (quem, quando e de qual endereço), permita entrar no próprio servidor só com chaves SSH e feche as portas que não usa com um firewall. Dentro do túnel, libere a cada grupo apenas as sub-redes de que precisa: à contabilidade, o sistema financeiro; aos desenvolvedores, os servidores de teste.

Se pela VPN passam dados pessoais de clientes ou funcionários, aplica-se a LGPD no Brasil e o RGPD (GDPR) na União Europeia. O provedor passa a ser operador, ou subcontratante, dos dados, então é preciso um contrato de tratamento de dados com ele e atenção às regras de transferência internacional. Logs de conexão com endereços IP também são dados pessoais: defina um prazo de retenção na política interna e não os guarde por mais tempo.