Abriu um segundo endereço
Escritório novo, depósito ou consultório em outro bairro que precisa do sistema da sede.
VPN · Empresas
Implantação de VPN site a site para empresas
Um túnel criptografado e sempre ligado entre os firewalls das unidades, abrindo só o que cada lado precisa e avisando quando cai.
- Criptografia atual nos dois lados
- Alerta quando o túnel cai
- VPN nova ao lado da antiga até o teste
Implantação de VPN site a site é criar um túnel criptografado pela internet entre os firewalls de duas ou mais unidades, para que as redes conversem como se fossem uma só, sem nada instalado nos computadores. É para empresas com poucas filiais, um escritório e um depósito, ou uma clínica com servidor em outro endereço. O resultado é uma ligação que se refaz sozinha, abre só o que foi combinado e avisa quando falha.
O que é implantação de VPN site a site
É montar uma ligação permanente e criptografada entre os firewalls de duas unidades, sobre a internet que cada uma já tem. Os usuários não percebem o túnel: só passam a enxergar o sistema e as pastas da outra unidade.
Diferente da VPN de acesso remoto, que cada funcionário liga no notebook quando trabalha de casa, a site a site fica sempre ativa entre os escritórios e liga redes inteiras, não pessoas.
Ela é a peça básica de toda rede corporativa com mais de um endereço. Quando as unidades se multiplicam e ganham dois links cada, os mesmos túneis passam a ser controlados por um SD-WAN.
O túnel nasce em duas fases: primeiro os firewalls se autenticam e combinam as chaves, depois criptografam o tráfego entre as faixas combinadas. Quatro protocolos aparecem com frequência:
IPsec com IKEv2
O padrão entre fabricantes diferentes. Um FortiGate conversa com um pfSense ou um MikroTik, desde que os dois lados usem os mesmos parâmetros.
WireGuard
Configuração curta e bom desempenho em equipamento modesto. Exige suporte nos dois lados, e nem todo firewall comercial oferece [CONFIRMAR na documentação].
OpenVPN
Muito compatível e fácil de passar por redes restritas, mas costuma render menos em túneis de alta velocidade.
IPsec com IKEv1 (legado)
Ainda aparece em VPNs antigas, muitas vezes com criptografia que já devia ter sido trocada. A migração para IKEv2 pode entrar no escopo.
Quando você precisa de implantação de VPN site a site
Seis situações pedem um túnel novo ou refeito entre as unidades. Se uma delas é a sua, vale pedir a proposta antes da próxima queda.
Servidor numa unidade, equipe na outra
A filial abre o sistema por acesso remoto exposto na internet. O túnel tira o servidor da vitrine.
O túnel cai e ninguém percebe
A equipe descobre quando o sistema não abre. Com alerta, quem cuida da rede sabe primeiro.
VPN antiga com criptografia fraca
Túneis com DES, 3DES, MD5 ou SHA-1 deveriam ser refeitos com parâmetros atuais [CONFIRMAR na norma].
Trocou de operadora e a VPN parou
O túnel estava preso ao IP antigo. É a hora de configurar de um jeito que aguente a próxima troca.
Firewalls de marcas diferentes
Matriz com uma marca e filial com outra pedem parâmetros idênticos; um detalhe diferente impede o túnel de subir.
Como funciona a implantação de VPN site a site
São cinco etapas, e o túnel novo sobe ao lado do antigo, que só sai depois dos testes. Ninguém fica sem o sistema durante a troca.
Levantamento
Firewalls, links, IPs, faixas de endereço e o que cada unidade precisa abrir na outra.
Prazo: [PREENCHER]
Parâmetros e regras
Documento curto com protocolo, criptografia, faixas e portas liberadas, aprovado antes da configuração.
Prazo: [PREENCHER]
Configuração em paralelo
O túnel novo é montado sem derrubar o antigo, em janela fora do expediente, com backup dos dois firewalls.
Duração da janela: [PREENCHER]
Testes
Sistema, pastas, ramais, envio de arquivo grande e queda do link principal, com a equipe usando.
Prazo: [PREENCHER]
Alerta e entrega
Alerta de queda ligado, túnel antigo desligado e parâmetros entregues por escrito à empresa.
Prazo: [PREENCHER]
O que está incluído na implantação de VPN site a site
A implantação cobre o túnel, as regras de acesso e o alerta de queda entre as unidades. O que fica de fora tem página própria, e o escopo final vai escrito na proposta.
Incluído
- Levantamento dos firewalls, links e faixas das unidades
- Plano de endereços sem conflito
- Túnel IPsec IKEv2 ou WireGuard com criptografia atual
- Regras do que cada lado pode acessar
- Ajuste de MTU e MSS para arquivos grandes
- Reconexão automática e detecção de par inativo
- Túnel reserva pelo segundo link, quando houver
- Alerta de queda do túnel para a equipe
- Parâmetros, diagrama e senhas entregues à empresa
Não incluído
- Compra de firewall (a Táquion Tech não vende equipamento)
- Muitas unidades com troca por qualidade, na implantação de SD-WAN
- Contratação do segundo link, na redundância de links de internet
- Regras de navegação e segurança do firewall, no serviço gerenciado de firewall
- Acompanhamento mensal dos túneis, no NOC para empresas
Quanto custa a implantação de VPN site a site
O preço depende principalmente do número de unidades e dos firewalls que já existem. O valor exato sai por escrito, depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de unidades | Cada unidade ligada é um túnel com teste próprio | Sede e duas filiais ligadas à sede |
| Firewall atual | Modem de operadora não segura VPN estável; o firewall entra antes | Loja só com o roteador da operadora |
| Marcas diferentes | Interoperar pede parâmetros iguais e mais teste | FortiGate na sede e MikroTik na filial |
| Túnel reserva | Segundo link pede segundo túnel e regra de troca | Fibra e 4G na filial |
| Migração de VPN antiga | Refazer túnel em uso pede convivência e janela | IKEv1 com 3DES passando a IKEv2 |
| Unidade sem IP público | O túnel só pode ser iniciado de um lado, com mais ajuste | Filial atrás do NAT da operadora |
Faixa de preço para ligar duas unidades: [PREENCHER faixa aprovada pela Táquion Tech]. Firewall novo, quando necessário, é comprado direto pela empresa, com a especificação feita no levantamento.
O que conferir antes de contratar implantação de VPN site a site
Antes de assinar, compare os protocolos, exija os parâmetros de criptografia por escrito e confira os erros que mais derrubam túneis. Esta seção serve para avaliar qualquer fornecedor, inclusive a Táquion Tech.
IPsec, WireGuard ou OpenVPN
O protocolo define com quais firewalls o túnel funciona e quanto ele rende. A tabela resume a escolha.
| Protocolo | Ponto forte | Atenção |
|---|---|---|
| IPsec com IKEv2 | Funciona entre fabricantes diferentes | Muitos parâmetros que precisam bater |
| WireGuard | Simples e rápido | Suporte nos dois lados |
| OpenVPN | Muito compatível | Desempenho menor em alta velocidade |
IPsec com IKEv2
Quando escolher
Unidades com firewalls de marcas diferentes, ou empresa que quer liberdade para trocar de marca.
Cuidado
Uma diferença de grupo ou de tempo de chave entre os lados derruba o túnel na renovação, horas depois.
WireGuard
Quando escolher
Os dois lados suportam e a empresa quer desempenho em equipamento simples.
Cuidado
Cada lado guarda a chave do outro; trocar um equipamento exige atualizar as chaves de todos os pares.
Parâmetros que devem estar na proposta
Peça a tabela de parâmetros antes da implantação. Se o fornecedor não souber dizer, é sinal de configuração no padrão de fábrica.
Criptografia
AES com 256 bits, de preferência no modo GCM, é a escolha corrente para túneis novos [CONFIRMAR na norma].
Troca de chaves
Grupo Diffie-Hellman 14 ou superior, ou curvas elípticas, conforme o guia NIST SP 800-77 [CONFIRMAR na norma].
O que aposentar
DES, 3DES, MD5, SHA-1 e grupos Diffie-Hellman 1, 2 e 5 não deveriam aparecer em túnel novo [CONFIRMAR na norma].
Chave ou certificado
Chave compartilhada longa e única por túnel atende poucas unidades. Com muitas, certificados facilitam trocar uma unidade sem mexer nas outras.
Erros comuns ao contratar
Falhas que fazem o túnel cair ou abrir demais. Pergunte ao fornecedor como ele evita cada uma.
Liberar tudo entre as redes
Túnel com regra "qualquer origem, qualquer destino" deixa um computador infectado na filial alcançar o servidor da sede.
Túnel preso a um IP que muda
Unidade com IP dinâmico precisa iniciar o túnel e se identificar por nome, não pelo endereço. Senão, a VPN para na próxima troca de IP.
Modem bloqueando o túnel
O IPsec usa as portas UDP 500 e 4500. Modem da operadora em modo roteador, com NAT duplo, costuma atrapalhar; o modo bridge resolve.
Confiar só no DPD
A detecção de par inativo refaz o túnel, mas não avisa ninguém. Sem alerta, a queda só aparece quando o sistema não abre.
Por que escolher a Táquion Tech para ligar suas unidades por VPN
Porque o túnel novo é provado antes de o antigo sair, e os parâmetros ficam escritos com você. Seis compromissos que valem para toda VPN site a site.
Túnel novo ao lado do antigo
A VPN antiga só é desligada depois que a nova passa nos testes com a equipe usando.
Convivência dos túneis até o aceite
Parâmetros por escrito
Criptografia, grupos e tempos de chave listados na entrega, para auditoria ou troca de fornecedor.
Tabela de parâmetros entregue à empresa
Alerta de queda ligado
Quem cuida da rede recebe aviso quando o túnel cai, em vez de saber pelo usuário [CONFIRMAR canal de alerta].
Alerta testado na entrega
Marcas diferentes nos dois lados
FortiGate com pfSense, OPNsense com MikroTik. O túnel sobe com parâmetros iguais e documentados.
[PREENCHER: combinações de marcas já interligadas]
Não vendemos firewall
Se o equipamento atual não aguenta a criptografia, a troca é indicada com a conta, não com comissão.
A Táquion Tech não vende equipamento
Mesmo Especialista do levantamento ao teste
Quem leu os firewalls é quem monta o túnel e acompanha a primeira semana de uso.
[PREENCHER: anos de experiência da equipe com VPN]
VPN site a site por marca de firewall
O túnel segue os mesmos padrões em qualquer marca; o que muda é a tela, o nome dos campos e o padrão de fábrica. Cada marca tem a sua página com os detalhes.
Fortinet
Túneis IPsec no FortiGate com assistente próprio, que convém revisar campo a campo [CONFIRMAR na documentação].
pfSense
IPsec, OpenVPN e WireGuard por pacote, com regras de firewall separadas por túnel [CONFIRMAR na documentação].
OPNsense
WireGuard e IPsec nativos, com monitoramento do túnel pelo próprio painel [CONFIRMAR na documentação].
MikroTik
IPsec e WireGuard no RouterOS 7, comum em filiais pequenas ligadas a firewall de outra marca [CONFIRMAR na documentação].
Onde a Táquion Tech faz implantação de VPN site a site
Unidades no litoral de Santa Catarina recebem visita para instalar e testar. Unidades em outros lugares são configuradas por acesso remoto seguro, com alguém da empresa no local.
Presencial no litoral de Santa Catarina
Troca de firewall, ajuste do modem da operadora e teste de queda na própria unidade. Veja a empresa de rede corporativa em Balneário Camboriú. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Itajaí
- Itapema
- Camboriú
- Navegantes
Unidades fora de Santa Catarina
Se o firewall já existe e aceita acesso remoto, o túnel é montado à distância. Se não, ele vai configurado para alguém da unidade ligar. [CONFIRMAR]
Perguntas frequentes sobre implantação de VPN site a site
As dúvidas que donos e gestores mais trazem antes de ligar as unidades por VPN. Se a sua não estiver aqui, pergunte no WhatsApp.
Quanto custa a implantação de VPN site a site?
Depende do número de unidades, dos firewalls existentes e do túnel reserva. A faixa para duas unidades é [PREENCHER], e o valor exato sai depois do levantamento.
Quanto tempo leva para a VPN ficar pronta?
Com firewalls adequados nas duas pontas, o prazo típico é [PREENCHER]. Se for preciso comprar equipamento, conta também o prazo de entrega do distribuidor.
Qual a diferença entre VPN site a site e VPN de acesso remoto?
A site a site liga redes inteiras e fica sempre ativa entre os firewalls. A de acesso remoto liga um computador, só quando o usuário conecta.
VPN pela internet é segura?
É, com criptografia atual e regras que abrem só o necessário. O risco está em túneis antigos, com parâmetros de fábrica ou com tudo liberado entre as redes.
A VPN deixa o sistema lento?
Em equipamento atual, a criptografia pesa pouco. Lentidão costuma vir do link, de firewall pequeno demais ou de pacote grande demais para o túnel, que o ajuste de MSS corrige.
Posso ligar firewalls de marcas diferentes?
Pode, com IPsec e IKEv2, que funciona entre a maioria dos fabricantes. Os parâmetros precisam ser idênticos dos dois lados, e por isso ficam escritos na entrega.
Preciso de IP fixo nas duas unidades?
Não. Basta um lado alcançável, de preferência a sede com IP fixo; a filial com IP dinâmico inicia o túnel e se reconecta sozinha quando o endereço muda.
O roteador da operadora faz VPN site a site?
Alguns até fazem, mas sem regras de acesso, alerta ou parâmetros atuais. Para uma ligação que a empresa possa auditar, o túnel fica num firewall próprio.
Quantas unidades uma VPN site a site atende bem?
Não há limite rígido, mas acima de poucas unidades com dois links cada, cuidar dos túneis um a um fica caro. Aí vale comparar com a implantação de SD-WAN.
Uma empresa de implantação de VPN site a site precisa ir até as unidades?
Só quando há firewall a instalar ou modem a ajustar. No litoral de Santa Catarina a visita é presencial; fora dele, o trabalho é remoto com apoio local [CONFIRMAR área de atendimento].
Serviços relacionados à implantação de VPN site a site
Três serviços que costumam vir antes ou depois da VPN. Cada um cuida de uma parte da ligação entre unidades.
-
Interligação de filiais
O desenho completo de como matriz e filiais se ligam, com a forma certa para cada unidade.
Ver a interligação de filiais -
Redundância de links de internet
Segundo link por outro caminho, que dá ao túnel uma rota reserva quando a operadora falha.
Ver a redundância de links de internet -
pfSense
Configuração e suporte de pfSense, firewall aberto muito usado para VPN entre unidades.
Ver o suporte pfSense para empresas
Leia antes de contratar
Dois guias para entender o que acontece com o tráfego quando o túnel entra na rede.
- Rede da empresa lenta: causas, diagnóstico e quando chamar um Especialista
Como separar lentidão do túnel de lentidão do link ou do sistema.
- Análise de rotas assimétricas: guia prático para provedores
Por que o tráfego que vai por um túnel e volta por outro é descartado pelo firewall.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de implantação de VPN site a site
Diga quantas unidades quer ligar e se já existe VPN entre elas. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
