Login do roteador abre pela internet
Qualquer pessoa digita o IP no navegador ou no SSH e chega à tela de senha da borda ou da OLT.
Segurança e DDoS · Provedores
Implantação de rede de gerência isolada para provedores
Roteadores, OLTs e servidores administrados por uma rede só da equipe, com entrada única protegida e um caminho de emergência que funciona até com o link lotado.
- Uma porta de entrada, com segundo fator
- Cada pessoa com o próprio login
- Acesso de emergência por outro caminho
Implantação de rede de gerência isolada é separar o acesso administrativo aos equipamentos do provedor da rede dos assinantes e da internet, com uma entrada única protegida por VPN e segundo fator. É para o provedor que ainda acessa roteadores e OLTs pelo IP público, divide uma senha entre a equipe ou perde a gerência toda vez que um ataque lota o link. O resultado é uma tela de login que só a equipe alcança, com registro de quem entrou e um acesso reserva para os dias ruins.
O que é rede de gerência isolada
É uma rede separada, usada só para administrar roteadores, OLTs, switches e servidores. Quem não está nela não consegue nem chegar à tela de login.
Em muitos provedores, a gerência responde no mesmo endereço que leva tráfego de assinantes. Durante um ataque DDoS, o link enche e a equipe perde o acesso justamente ao roteador onde precisa aplicar a contenção.
Na gerência isolada, o tráfego administrativo e o de monitoramento, como SNMP, syslog e a exportação de NetFlow, correm numa VLAN ou VRF própria. Um assinante curioso ou uma máquina infectada não enxerga esses endereços.
A entrada é um servidor de salto com VPN e segundo fator, protegido por firewall. De lá a equipe acessa os equipamentos, e cada equipamento só aceita conexão administrativa vinda desse servidor.
Separação lógica
VLAN ou VRF de gerência em todos os POPs, no mesmo cabeamento. Resolve a maior parte dos casos sem comprar nada, só com configuração.
Ponto único de entrada
Servidor de salto com VPN, segundo fator e registro de sessão. Fornecedor e técnico novo ganham acesso ali, com prazo, e perdem num clique.
Autenticação central
TACACS+ ou RADIUS para que cada pessoa entre com o próprio usuário em todos os equipamentos, com permissão por função e registro de comandos.
Acesso de emergência
Servidor de console com link 4G ou rádio independente nos POPs principais. Funciona quando a rede de assinantes, a borda ou a fibra caem.
Quando você precisa de rede de gerência isolada
Seis sinais mostram que a gerência está ao alcance de quem não deveria. Um só já é motivo para separar a rede.
Uma senha para a equipe toda
Senha igual em todos os equipamentos, trocada só quando alguém sai, e ninguém sabe quem fez cada mudança.
Gerência cai durante o ataque
No pior momento, o link lotado impede o acesso ao roteador onde a contenção precisa ser aplicada.
Fornecedor com acesso direto
Empresa de sistema ou de NOC com regra liberando o IP dela em todos os equipamentos, sem prazo.
Tentativas de senha nos registros
Milhares de logins errados por dia vindos de fora mostram que robôs já acharam a sua gerência.
Ida ao POP para resolver travamento
Equipamento travado obriga alguém a dirigir horas porque não há caminho de console remoto.
Como funciona a implantação de rede de gerência isolada
São cinco etapas, e nenhum equipamento é restrito antes de o acesso novo ser testado. Ninguém da equipe fica trancado para fora.
Levantamento
Inventário de equipamentos, como a equipe acessa hoje, fornecedores com acesso e o que cada POP tem de reserva.
Prazo: [PREENCHER]
Desenho
Endereçamento da gerência, VLAN ou VRF por POP, servidor de entrada e caminho de emergência, aprovados por escrito.
Prazo: [PREENCHER]
Servidor de entrada e autenticação
VPN com segundo fator, servidor de salto e autenticação central montados e testados com a equipe.
Prazo: [PREENCHER]
Migração por POP
Equipamento por equipamento, a gerência passa para a rede nova, o acesso é testado e só então o antigo é fechado.
Duração por POP: [PREENCHER]
Conferência e entrega
Teste de fora confirmando que nada responde, diagrama, procedimento de acesso e de inclusão e saída de pessoas.
Prazo: [PREENCHER]
O que está incluído na implantação de rede de gerência isolada
A implantação vai do desenho ao último equipamento restrito, com o caminho de emergência. O que fica de fora tem página própria.
Incluído
- Desenho da rede de gerência em VLAN ou VRF própria
- Servidor de entrada com VPN, segundo fator e registro de sessão
- Autenticação central dos usuários nos equipamentos
- Restrição do acesso administrativo em cada roteador, OLT e switch
- SNMP, syslog e exportação de fluxos movidos para a gerência
- Acesso de emergência por caminho separado nos POPs principais
- Teste de fora confirmando que a gerência não responde
- Procedimento de inclusão e remoção de pessoas e fornecedores
Não incluído
- Compra de servidor de console, modem 4G ou switch (a Táquion Tech não vende equipamento)
- Fechar os demais serviços dos roteadores, feito no hardening de roteadores
- Usuários e perfis dentro das OLTs, feitos no hardening de OLTs
- Análise centralizada dos registros, que é a implantação de SIEM
- Cópia automática das configurações, que é o backup de configurações de rede
Quanto custa a implantação de rede de gerência isolada
O preço depende principalmente do número de equipamentos e de POPs. A maior parte do trabalho é configuração, e o valor exato sai por escrito depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de equipamentos | Cada um precisa ser migrado, restrito e testado | Trinta equipamentos ou duzentos |
| Número de POPs | Cada POP pede VLAN ou VRF e, às vezes, caminho de emergência próprio | Três POPs ou quinze |
| Mistura de marcas | Cada marca tem sintaxe própria para restringir a gerência | MikroTik na borda, Huawei nas OLTs, switches de outra marca |
| Autenticação central | Montar TACACS+ ou RADIUS do zero soma trabalho | Já existe RADIUS para os assinantes, ou não |
| Acesso de emergência | Console remoto por 4G ou rádio em cada POP principal | Só no POP da borda, ou em todos |
Faixa de preço para um provedor com até [PREENCHER] equipamentos e três POPs: [PREENCHER faixa aprovada pela Táquion Tech]. Equipamentos de console e modems 4G são comprados por você, na marca que preferir.
O que conferir antes de contratar rede de gerência isolada
Antes de assinar, confira os erros que trancam a equipe para fora ou deixam brechas, as opções de entrada e as boas práticas. Use os pontos abaixo com qualquer empresa de implantação de rede de gerência isolada.
Erros comuns ao contratar
Quatro falhas que aparecem em gerências montadas às pressas. Pergunte ao fornecedor como ele evita cada uma.
Fechar antes de testar
Aplicar a restrição sem testar o caminho novo deixa a equipe sem acesso ao equipamento. A ordem é testar, registrar e só depois fechar.
Servidor de entrada sem segundo fator
Se a VPN aceita só senha, quem rouba a senha de um técnico entra na rede toda. O segundo fator é o centro da proteção.
Nenhum caminho de emergência
Com a gerência no mesmo link dos assinantes, um ataque ou uma fibra rompida corta o acesso. Ao menos o POP da borda precisa de outro caminho.
Usuário local esquecido
Autenticação central sem desativar o admin de fábrica deixa uma porta aberta. Fica só um usuário local de emergência, com senha guardada em cofre.
Como a equipe entra na gerência
A escolha da entrada define a segurança e o conforto da equipe. Estas são as três opções mais comuns.
| Opção | Segurança | Registro de uso |
|---|---|---|
| VPN direta para a gerência | Boa com segundo fator | Conexão registrada, comandos não |
| VPN com servidor de salto | Alta | Sessão e comandos registrados |
| Acesso pelo IP público com lista | Baixa | Espalhado nos equipamentos |
VPN com servidor de salto
Quando escolher
Equipe com mais de duas pessoas ou fornecedores com acesso. Concentra registro e permissão num só lugar.
Cuidado
O servidor vira peça crítica; precisa de backup e de um segundo caminho de emergência.
VPN direta
Quando escolher
Equipe pequena, poucos equipamentos e autenticação central já registrando os comandos.
Cuidado
Cada notebook com a VPN vira porta de entrada; segundo fator e revisão de usuários são obrigatórios.
Normas e boas práticas
Referências públicas que a implantação deve seguir. Peça ao fornecedor que diga quais aplica.
RFC 8907 (TACACS+)
Descreve o protocolo de autenticação, autorização e registro de comandos usado em equipamentos de rede [CONFIRMAR na norma].
RFC 6192
Trata da proteção do plano de controle do roteador, com filtros que só aceitam gerência de origens conhecidas [CONFIRMAR na norma].
CIS Benchmarks
Guias públicos por fabricante com a configuração segura de acesso administrativo, como SSH em vez de telnet e SNMPv3 [CONFIRMAR na norma].
R-Ciber da Anatel
Pede controle de acesso aos equipamentos e registros de quem os administra nas prestadoras alcançadas [CONFIRMAR na norma].
Por que escolher a Táquion Tech para isolar a sua gerência
Porque a migração é feita equipamento por equipamento, com teste antes de fechar e plano de volta. Seis compromissos que valem para toda implantação.
Especialista em rede de provedor
Borda, OLTs, concentradores e switches de marcas diferentes migrados por quem conhece cada um.
[PREENCHER: anos de experiência com redes de provedor]
Um equipamento por vez
Cada equipamento só é restrito depois de a equipe acessar pelo caminho novo e confirmar.
Teste registrado antes de cada restrição
Plano de volta escrito
Se algo der errado no POP, o caminho para desfazer está no papel antes da janela.
O plano de volta faz parte da proposta
Não vendemos equipamento
Console, modem e servidor são indicados pela necessidade do POP, e você compra onde quiser.
Nenhuma marca indicada por comissão
Procedimento que fica
Diagrama, endereçamento e o passo a passo para incluir e remover pessoas entregues à sua equipe.
Entregue no fim de toda implantação
Remoto com visita quando precisa
A maior parte da migração é remota; a visita fica para instalar console e caminho de emergência.
[PREENCHER: estados atendidos]
Onde a Táquion Tech implanta rede de gerência
A implantação é feita por acesso remoto para provedores de todo o Brasil. A visita presencial fica para o litoral de Santa Catarina, quando o POP precisa de console ou link de emergência instalado.
Remoto para todo o Brasil
Desenho, servidor de entrada e migração dos equipamentos por acesso remoto seguro, em janelas combinadas.
Presencial no litoral de Santa Catarina
Para instalar servidor de console, modem 4G ou rádio de emergência e acompanhar a migração no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre rede de gerência isolada
As perguntas que os provedores mais fazem antes de separar a gerência. Se a sua não estiver aqui, pergunte no WhatsApp.
O que é rede de gerência isolada?
É uma rede separada, usada só para administrar os equipamentos, com entrada única protegida por VPN e segundo fator. Quem não está nela não chega à tela de login.
Por que não deixar a gerência no IP público com senha forte?
Porque senha forte não protege contra falha no próprio sistema do equipamento, e robôs testam logins o dia todo. Veja os sinais de provedor invadido.
Preciso de cabos separados para a gerência?
Normalmente, não. VLANs ou VRFs separam a gerência no mesmo cabeamento; caminho físico separado só para o acesso de emergência.
A equipe perde acesso durante a mudança?
Não deveria. Cada equipamento só é restrito depois de o acesso pela rede nova ser testado, e há plano de volta para cada POP.
Quanto custa a implantação de rede de gerência isolada?
O preço da implantação de rede de gerência isolada muda com o número de equipamentos, de POPs e de marcas. A faixa é [PREENCHER], e o valor exato sai depois do levantamento.
Quanto tempo leva a implantação?
Depende do número de POPs e das janelas disponíveis. O prazo típico é [PREENCHER], e o do seu caso vai escrito na proposta.
Como fica o acesso dos fornecedores?
O fornecedor entra pelo mesmo servidor de entrada, com usuário próprio, prazo e registro de sessão. Quando o contrato acaba, o acesso é removido num lugar só.
A gerência isolada funciona durante um ataque DDoS?
Funciona se houver acesso de emergência por outro caminho, como 4G ou rádio. Com ele, a equipe aplica a contenção mesmo com o link lotado; veja a mitigação de DDoS.
Funciona com MikroTik, Huawei e outras marcas juntas?
Funciona. A lógica é a mesma em todas as marcas; o que muda é o comando para restringir a gerência e ligar a autenticação central.
O que preciso separar para começar?
Lista de equipamentos por POP, como a equipe acessa hoje e quais fornecedores têm acesso. Um usuário só de leitura basta para o levantamento.
Serviços relacionados à rede de gerência isolada
Três serviços que se apoiam na gerência separada. Cada um fecha outra parte do acesso aos equipamentos.
-
Hardening de roteadores
Serviços desnecessários desligados e acesso restrito em cada roteador da rede.
Ver o hardening de roteadores -
Hardening de OLTs
OLTs com usuários individuais, perfis por função e acesso só pela gerência.
Ver o hardening de OLTs -
Implantação de SIEM
Registros de acesso de todos os equipamentos num lugar só, com alertas para o que foge do normal.
Ver a implantação de SIEM
Leia antes de contratar
Três guias para entender as peças da gerência isolada.
- Implantação de TACACS: guia prático para provedores
Como montar a autenticação central e registrar os comandos de cada pessoa.
- Provedor invadido: causas, diagnóstico e quando chamar um Especialista
Por onde os invasores costumam entrar e o que fazer nas primeiras horas.
- Técnico de rede saiu do provedor: causas, diagnóstico e quando chamar um Especialista
O que trocar quando alguém com acesso a tudo deixa a equipe.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de rede de gerência isolada
Diga como a equipe acessa hoje e quantos POPs você tem. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
