Rede corporativa em VPS: acesso remoto ao escritório

Quando os funcionários trabalham de casa, viajam ou estão espalhados por vários escritórios, os sistemas internos da empresa precisam estar acessíveis para eles, mas não para a internet inteira. Expor diretamente um ERP, um servidor de arquivos ou um CRM é arriscado: bots começam a sondar qualquer porta aberta em poucos minutos. A resposta padrão é uma rede privada criptografada: o funcionário primeiro se conecta ao gateway da empresa e só depois chega aos serviços internos. O gateway pode ficar no roteador do escritório, mas cada vez mais empresas o colocam em uma VPS alugada. A seguir, o porquê, como funcionam os esquemas típicos, qual protocolo e qual servidor escolher e o que fazer em relação à segurança.

Por que levar o gateway para uma VPS

O link de internet de um escritório raramente é um bom ponto de entrada. A operadora pode não oferecer IP público fixo, os links de escritório costumam ser assimétricos (download rápido, upload lento) e uma queda de energia no prédio derruba todos os funcionários remotos de uma vez. Uma VPS em data center tem outras condições:

• um endereço IPv4 dedicado e permanente, que não muda ao reiniciar;
• uma porta simétrica de 100 Mbps a 1 Gbps e energia de reserva no data center;
• o escritório se conecta ao gateway como um cliente comum, então não é preciso abrir portas de entrada no escritório;
• vários escritórios e centenas de funcionários se conectam a um único ponto, sem configurar túneis entre cada par de unidades.

Se os sistemas internos já rodam na nuvem ou em servidores alugados, uma VPS de gateway na mesma localização quase não acrescenta latência a eles, e o escritório passa a ser apenas mais um membro da rede.

Esquemas típicos de rede corporativa

Acesso remoto para funcionários. Um servidor VPN roda na VPS e cada funcionário tem um perfil de conexão pessoal. Depois de conectado, o notebook recebe um endereço na rede interna e enxerga apenas os recursos liberados pelo administrador.

Escritório ao gateway (site-to-site). O roteador do escritório mantém um túnel permanente com a VPS. O funcionário remoto se conecta à VPS e, por ela, chega à sub-rede do escritório: o servidor de contabilidade, o armazenamento de arquivos, as impressoras. Para isso o escritório não precisa de IP fixo.

Hub and spoke para várias filiais. Cada filial cria um túnel até o gateway central e troca dados com as outras por meio dele. É mais simples do que uma malha completa, mas o gateway vira um ponto único de falha e precisa de um servidor reserva.

Os três esquemas costumam usar split tunnelling: só as sub-redes internas passam pelo túnel, e o restante do tráfego do notebook sai direto. O gateway não fica sobrecarregado com atualizações do sistema e vídeo, e os funcionários mal percebem a conexão no dia a dia.

Quais serviços colocar atrás da rede privada

• ERP e sistemas contábeis. Clientes desktop, clientes web e sessões de área de trabalho remota com o servidor contábil ficam dentro da rede. Eles são sensíveis à latência, então coloque o gateway perto do servidor de banco de dados.
• Servidor de arquivos. Compartilhamentos SMB ou NFS nunca devem ficar expostos à internet; pela rede privada funcionam como no escritório.
• CRM, wiki, sistema de chamados, monitoramento. As interfaces web dos sistemas internos podem ficar sem endereço público, longe de crawlers e scanners.
• Git e CI. Repositórios, o registry de imagens Docker e os servidores de build ficam acessíveis aos desenvolvedores só pela rede; os administradores também acessam os servidores de produção via SSH a partir de dentro, e não por uma porta aberta.

WireGuard, OpenVPN ou IPsec

Os três protocolos criptografam o tráfego e servem para uma rede corporativa; a diferença está na velocidade, na praticidade e na compatibilidade.

Uma combinação comum é IPsec ou WireGuard entre os escritórios e o gateway, mais WireGuard para notebooks e celulares dos funcionários. Os requisitos de servidor para cada protocolo estão nas páginas VPS para WireGuard e VPS para OpenVPN.

Qual servidor alugar

Um gateway corporativo não precisa de hardware potente, mas alguns parâmetros fazem diferença.

• CPU e memória por número de usuários. Até 15 conexões simultâneas rodam bem com 1 vCPU e 1 GB de RAM. Para 15–50 funcionários, use 2 vCPU e 2 GB, principalmente com OpenVPN, que criptografa em uma única thread e depende da velocidade por núcleo. Mais de 50 pessoas ou várias filiais: 2–4 vCPU e um segundo servidor de reserva. Se um painel de gestão de usuários e o monitoramento rodarem no mesmo servidor, acrescente mais 1 GB de RAM.
• Virtualização KVM. WireGuard e IPsec funcionam no nível do kernel, e plataformas de contêiner como OpenVZ e LXC não permitem carregar um módulo de kernel. Procure planos KVM.
• Porta e tráfego. Pelo gateway passam exportações de relatórios, sincronização de arquivos, backups e videochamadas. Dez funcionários usam facilmente algumas centenas de gigabytes por mês, e backups noturnos entre escritórios usam mais. É preciso ao menos uma porta de 100 Mbps, 1 Gbps para um escritório inteiro, e regras claras para tráfego excedente.
• Localização. Coloque o gateway perto do escritório, da maior parte da equipe e dos sistemas internos. Para uma equipe no Brasil, um data center em São Paulo mantém a latência em poucos milissegundos; já São Paulo–Miami fica em torno de 110–120 ms. Antes de pagar, faça ping no IP de teste do provedor a partir do escritório e da conexão residencial de alguns funcionários.
• IP fixo. Um IPv4 dedicado é obrigatório: é nele que os clientes e o roteador do escritório se conectam. Planos com NAT ou endereço compartilhado não servem para gateway.
• Disco. 10–20 GB bastam: o sistema, as configurações e os logs de conexão ocupam pouco espaço.

Os planos que atendem a esses requisitos estão reunidos na página VPS para VPN corporativa.

Segurança básica do gateway

O gateway é o único ponto pelo qual a rede interna pode ser alcançada de fora, então precisa de mais proteção do que qualquer outro servidor da empresa.

• Chaves e certificados pessoais. Cada funcionário recebe uma chave pessoal, e não uma senha compartilhada pelo departamento. Quem sai da empresa é desligado com um único comando, sem afetar os demais; as chaves ficam no dispositivo em vez de circular por mensageiros.
• Autenticação de dois fatores. OpenVPN e IPsec se integram a um diretório de usuários e a códigos de uso único; no WireGuard o segundo fator é adicionado pelo portal que emite os perfis. Os administradores acessam o próprio servidor só com chaves SSH, com login por senha desativado.
• Firewall. De fora, só a porta da VPN fica aberta, além do SSH restrito por endereço de origem, se necessário. Dentro do túnel o acesso é dividido por função: o financeiro acessa o sistema contábil, os desenvolvedores acessam o Git e os servidores de teste, e os demais acessam o servidor de arquivos e o CRM.
• Logs. Registre quem se conectou, quando e de qual endereço, e guarde os logs fora do gateway. Eles são necessários para investigar incidentes e para auditorias internas.
• Atualizações e redundância. Aplique patches no sistema operacional e no servidor VPN regularmente. Um segundo gateway em outro data center e um perfil reserva em cada dispositivo mantêm a empresa funcionando se o servidor principal cair.

Como liberar para os funcionários

A parte técnica leva um dia; a maioria dos problemas aparece na hora de distribuir os acessos. Prepare um guia curto para a equipe: qual aplicativo instalar, como importar o perfil e a quem recorrer se a conexão falhar. Distribua os perfis por um portal ou por um sistema de gestão de dispositivos, e não como anexos de e-mail. Comece por um grupo pequeno, como o financeiro ou o time de desenvolvimento, verifique como o sistema contábil e o servidor de arquivos se comportam pelo túnel e só depois migre o restante. Dê aos serviços internos nomes legíveis em uma zona DNS interna para que as pessoas abram crm.office em vez de uma sequência de números.

O lado jurídico

Uma rede privada para os próprios funcionários de uma empresa é uma prática comum de segurança da informação: protege os dados do negócio e as contas, inclusive quando alguém trabalha de um hotel ou de um aeroporto em Wi-Fi público. Registre as regras nas políticas internas: quem recebe acesso, a quais sistemas, como as chaves são emitidas e revogadas. Se dados pessoais de clientes ou funcionários passam pela rede, no Brasil vale a LGPD e na UE o GDPR (RGPD): escolha um provedor que assine um contrato de tratamento de dados, mantenha os servidores com esses dados em uma jurisdição adequada e registre os acessos a eles.

Checklist antes do lançamento

• O esquema está definido: acesso remoto, link de escritório ou hub and spoke.
• O protocolo e a forma de entregar os perfis à equipe estão decididos.
• O servidor roda em KVM com folga para as conexões simultâneas.
• IPv4 dedicado; porta e tráfego dimensionados para backups e videochamadas.
• Latência até o gateway verificada a partir do escritório e da casa dos funcionários.
• Chaves pessoais, segundo fator, firewall e logs de conexão.
• Existem um gateway reserva e um plano de atualizações.

Você pode filtrar servidores por virtualização, localização, porta e preço na busca de VPS.