Passo a passo · Suporte remoto
Como funciona o suporte remoto: o que significa para provedores
Como funciona o suporte remoto: o Especialista entra na rede do provedor por uma VPN criada só para o suporte, chega aos equipamentos pela rede de gerência e trabalha na linha de comando com um usuário próprio, que deixa cada comando registrado. No provedor, suporte remoto significa acessar borda, OLT e concentrador de longe, e não assumir o computador de alguém.
Resumo
- Em TI geral, suporte remoto é controlar o computador do usuário; no provedor, é acessar os equipamentos da rede.
- [object Object]
- A preparação acontece antes da primeira falha, para a hora da queda não ser gasta criando acesso.
- O que é físico, como fibra, fonte e cabo, continua com o técnico local, orientado pelo Especialista por vídeo.
O que significa suporte remoto num provedor?
Suporte remoto significa resolver um problema técnico sem estar no local, usando uma conexão até o equipamento afetado. Num provedor, esse equipamento é o roteador de borda, a OLT, o switch ou o concentrador, e não o computador do escritório.
Suporte remoto é o atendimento técnico feito à distância, por uma conexão segura até o sistema que apresenta o problema. A expressão nasceu no suporte de TI para usuários, em que o técnico vê e controla a tela do computador da pessoa, e ganhou outro sentido nas redes de telecomunicação.
No suporte remoto para provedores, a Táquion Tech trabalha na linha de comando dos equipamentos de rede, com um usuário por Especialista e o registro de cada comando guardado fora do equipamento. É assim que um provedor de qualquer estado tem um Especialista sênior sem esperar ninguém viajar.
Este guia explica o funcionamento por dentro e como preparar a rede para receber esse acesso. O que muda no valor, e o que o remoto tira da conta de um atendimento presencial, está no guia de suporte remoto preço.
Remoto não é programa de acesso ao computador
Programas de área de trabalho remota servem para ajudar uma pessoa no próprio computador. Usar um deles para dar suporte à rede entrega ao terceiro tudo o que aquela máquina alcança: e-mail, sistema de gestão, arquivos e senhas salvas no navegador.
No suporte de rede, o acesso vai direto aos equipamentos, por um caminho que só enxerga a gerência. O computador do técnico da casa não precisa ficar ligado nem compartilhado para o Especialista trabalhar.
Como funciona o suporte remoto por dentro: o caminho até o equipamento
O acesso percorre quatro trechos, cada um com uma função de controle. Se qualquer um deles falha ou é desligado, o Especialista simplesmente não chega ao equipamento.
Trecho 1 · Entrada
VPN de suporte
Um túnel só para o suporte, com chave por pessoa. Desligar a VPN corta todo o acesso externo de uma vez.
Trecho 2 · Alcance
Rede de gerência
A VPN só enxerga a VLAN ou VRF de gerência, onde ficam as interfaces de administração dos equipamentos.
Trecho 3 · Identidade
Usuário nominal
Cada Especialista entra com login próprio e com o nível de permissão aprovado para o chamado.
Trecho 4 · Registro
Log fora do equipamento
Um servidor TACACS+ ou RADIUS guarda quem entrou e o que digitou, longe do alcance de quem acessou.
Quando a borda cai, a VPN que passa por ela cai junto. Por isso redes maiores mantêm uma entrada fora da banda, como um link 4G ou um console serial no POP, para trazer a rede de volta.
Os quatro trechos respondem a perguntas diferentes que o dono do provedor deveria conseguir responder a qualquer momento: quem pode entrar, até onde chega, quem entrou e o que fez. Um acesso remoto que não responde a uma delas está incompleto.
O registro externo é o trecho mais esquecido. O guia de implantação de TACACS+ mostra como centralizar a autenticação e guardar os comandos de todos os equipamentos num servidor só.
Passo a passo para preparar o suporte remoto na sua rede
A preparação leva cinco passos e é feita junto com o técnico da casa, que fica com as chaves. O exemplo de configuração usa um roteador MikroTik como concentrador da VPN.
- Inventário: liste os equipamentos, o endereço de gerência de cada um e como se chega a eles hoje, inclusive senhas compartilhadas.
- Rede de gerência: confira se as interfaces de administração estão numa VLAN ou VRF própria, fora do alcance dos assinantes.
- VPN de suporte: crie um túnel com uma chave por Especialista e regras que só deixam o túnel alcançar a gerência.
- Usuários nominais: cadastre um usuário por pessoa, de preferência no servidor de autenticação central, com o nível de permissão aprovado.
- Teste de entrada: confira o acesso a cada equipamento pelo caminho novo antes de considerar a preparação pronta.
O bloco abaixo mostra a VPN de suporte com WireGuard no RouterOS 7, usando endereços de documentação. A rede de gerência do exemplo é 192.0.2.0/24, e o túnel usa 198.51.100.0/24.
# Interface do túnel e endereço do lado do provedor
/interface wireguard add name=wg-suporte listen-port=13231
/ip address add address=198.51.100.1/24 interface=wg-suporte
# Um peer por Especialista, com a chave pública que ele enviar
/interface wireguard peers add interface=wg-suporte public-key="CHAVE_PUBLICA_DO_ESPECIALISTA" allowed-address=198.51.100.10/32 comment="suporte-especialista-1"
# Aceitar o túnel e limitar o alcance à gerência
/ip firewall filter add chain=input protocol=udp dst-port=13231 action=accept comment="entrada da VPN de suporte"
/ip firewall filter add chain=forward in-interface=wg-suporte dst-address=192.0.2.0/24 action=accept comment="suporte alcanca so a gerencia"
/ip firewall filter add chain=forward in-interface=wg-suporte action=drop comment="nada alem da gerencia"
# Cortar o acesso de um Especialista sem apagar a configuração
/interface wireguard peers disable [find comment="suporte-especialista-1"]
As regras de firewall precisam ficar acima de qualquer regra que aceite tudo na cadeia de encaminhamento, ou o túnel enxergará mais do que a gerência. Confira a ordem depois de colar os comandos.
Prefere montar esse acesso com quem já fez em várias redes?
No suporte remoto da Táquion Tech, a VPN e os usuários são criados junto com o seu técnico, testados em cada equipamento e removidos por escrito no fim do contrato.
Teste de entrada antes da primeira falha
O teste confirma que o caminho funciona e que ele não vai além do previsto. Faça com o Especialista conectado e o técnico da casa acompanhando.
Confira no teste de entrada do suporte remoto
- O Especialista alcança cada equipamento da lista pelo túnel.
- O túnel não alcança assinantes, servidores do escritório nem a internet.
- Cada login aparece no registro com o nome da pessoa, e não com um usuário genérico.
- Desativar o peer da VPN corta o acesso na hora.
- A configuração de cada equipamento está salva fora dele antes do primeiro chamado.
Se algum item falhar, corrija antes de precisar do acesso numa queda. Descobrir um caminho quebrado no meio de uma falha grande custa exatamente o tempo que a preparação deveria economizar.
Na prática: uma porta PON oscilando, atendida de longe
Um caso comum mostra a divisão de trabalho entre o Especialista remoto e o técnico local. O exemplo é ilustrativo e não traz prazos.
- Chamado: clientes de uma mesma porta da OLT caem e voltam várias vezes à noite; o técnico da casa abre o chamado com o horário e o número da porta.
- Leitura remota: o Especialista entra pela VPN, lê os alarmes da porta e vê que os desligamentos coincidem com variação de potência óptica.
- Campo orientado: o técnico vai à caixa de emendas indicada e, por vídeo, mostra o conector; o Especialista confirma a sujeira e orienta a limpeza.
- Confirmação: de volta à linha de comando, o Especialista acompanha os contadores da porta até estabilizar e registra a causa no relatório.
O remoto resolveu a parte de diagnóstico, e o local resolveu a parte física. Quando as ONUs caem por outros motivos, o guia de OLT derrubando ONU lista as causas em ordem de probabilidade.
O que o suporte remoto não resolve?
Não resolve o que exige mão no equipamento: fibra rompida, fonte queimada, cabo solto ou placa com defeito. Nesses casos, o remoto faz o diagnóstico e orienta quem está no local.
- Falha física: o técnico local troca a peça ou refaz a emenda, com o Especialista acompanhando por vídeo.
- Borda sem entrada: se a VPN caiu com a borda e não há acesso fora da banda, alguém no POP precisa reconectar o caminho.
- Equipamento sem gerência: aparelhos que não têm linha de comando nem interface acessível exigem visita para qualquer ajuste.
Para o litoral de Santa Catarina, a visita pode ser feita pela própria Táquion Tech [CONFIRMAR área de atendimento]. Em outros estados, o técnico do provedor é os olhos e as mãos do Especialista no local.
Erros comuns ao abrir a rede para suporte remoto
Quase todos os erros trocam segurança por comodidade na hora de liberar o acesso. Alguns deixam uma porta aberta que continua lá anos depois do atendimento.
Evite ao liberar acesso remoto à rede do provedor
- Gerência aberta na internet: liberar SSH ou Winbox para qualquer origem atrai varredura automática em pouco tempo.
- Senha mestra compartilhada: sem usuário por pessoa, ninguém sabe quem fez cada alteração.
- VPN que enxerga tudo: um túnel sem filtro dá ao terceiro acesso a servidores e assinantes, além da gerência.
- Acesso que nunca expira: fornecedor antigo com chave válida é uma das portas mais comuns de invasão.
- Registro dentro do equipamento: quem entrou com permissão total consegue apagar o próprio rastro.
Se algum desses pontos já existe na sua rede, trate antes do próximo chamado. O guia sobre provedor invadido mostra o que fazer quando o acesso já foi usado por quem não deveria.
Perguntas frequentes
O que significa suporte remoto para quem não é da área técnica?
Significa que o problema é resolvido por alguém que não está no local, usando uma conexão segura até o equipamento. No provedor, essa pessoa entra no roteador ou na OLT, e não no computador de alguém.
O suporte remoto precisa de algum programa instalado no meu computador?
Não. O acesso vai direto aos equipamentos de rede pela VPN de suporte, e o computador do técnico da casa não participa do caminho.
Quem fica com as chaves da VPN de suporte?
O provedor. O técnico da casa cria e desativa os acessos, e cada Especialista recebe uma chave própria que pode ser cortada a qualquer momento sem afetar os outros.
Dá para ter suporte remoto sem rede de gerência separada?
Dá, mas o túnel precisa de regras que limitem o alcance aos endereços de administração dos equipamentos. Separar a gerência numa VLAN ou VRF própria deixa esse controle mais simples e mais seguro.
Como funciona o suporte remoto quando a borda cai junto com a VPN?
Sem a borda, a VPN que passa por ela fica fora do ar, e só uma entrada fora da banda, como 4G ou console serial, mantém o acesso. Sem essa entrada, o técnico local precisa restabelecer o caminho com orientação por telefone.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- WireGuard (documentação do RouterOS, MikroTik): configuração de interface, peers e endereços permitidos do WireGuard no RouterOS 7
- WireGuard, fast, modern, secure VPN tunnel: site oficial do protocolo, com a lógica de uma chave pública por par e o roteamento por endereço permitido
- RFC 8907, The TACACS+ Protocol (IETF): protocolo de autenticação central usado para registrar quem entrou em cada equipamento e o que digitou
