VPN site-to-site: boas práticas para conectar filiais com segurança

VPN site-to-site conecta duas ou mais redes (matriz e filiais, por exemplo) através de um túnel criptografado sobre a internet pública, fazendo com que os dispositivos de ambos os lados enxerguem uns aos outros como se estivessem na mesma rede local. É uma das formas mais comuns de interligar escritórios sem depender de links dedicados caros.

IPsec vs. outras opções

Na maioria dos firewalls corporativos (incluindo FortiGate e roteadores MikroTik), o protocolo padrão para VPN site-to-site é o IPsec, por sua robustez e suporte quase universal entre fabricantes diferentes — importante quando matriz e filial usam equipamentos de marcas distintas. Alternativas como WireGuard vêm ganhando espaço pela simplicidade de configuração e desempenho, mas ainda não têm a mesma penetração em ambientes corporativos heterogêneos.

Boas práticas de configuração

• Use autenticação forte — certificados digitais em vez de apenas chave pré-compartilhada (PSK) sempre que o equipamento suportar, especialmente em túneis permanentes entre filiais;
• Defina redes de interesse específicas — evite liberar “qualquer rede para qualquer rede” no túnel; declare exatamente quais sub-redes de cada lado precisam se comunicar;
• Aplique firewall também dentro do túnel — VPN não substitui segmentação. Trate o tráfego que chega pela VPN com as mesmas regras de firewall que você aplicaria a qualquer outra origem;
• Monitore a estabilidade do túnel — configure alertas para quedas de túnel, não dependa de alguém perceber manualmente que a filial “sumiu” da rede;
• Documente as configurações — parâmetros de fase 1 e fase 2 do IPsec (algoritmos de criptografia, tempo de vida da chave) precisam ser idênticos dos dois lados; divergências são a causa mais comum de túneis que “sobem mas não passam tráfego”.

Erros comuns que quebram o túnel

Os problemas mais frequentes em VPN site-to-site normalmente não são falhas do protocolo, e sim de configuração:

1. Sub-redes sobrepostas entre matriz e filial (ex: as duas usando 192.168.1.0/24), impedindo o roteamento correto;
2. NAT mal configurado na frente de um dos firewalls, quebrando a negociação IPsec;
3. Divergência nos parâmetros de fase 1/fase 2 entre os dois lados do túnel;
4. MTU incorreto causando fragmentação e lentidão perceptível mesmo com o túnel “up”.

Firewalls FortiGate com throughput de VPN dimensionado corretamente evitam boa parte dos problemas de estabilidade em túneis com tráfego mais pesado — veja as opções por porte de empresa no nosso catálogo de firewalls.

Perguntas frequentes

VPN site-to-site é mais segura que MPLS?
São abordagens diferentes: MPLS oferece uma rede privada dedicada da operadora (sem passar pela internet pública), enquanto VPN site-to-site usa criptografia sobre a internet pública. Bem configurada, a VPN é segura, mas MPLS tende a ter latência mais previsível.

Posso conectar filiais com equipamentos de fabricantes diferentes?
Sim, IPsec é um padrão aberto — FortiGate e MikroTik, por exemplo, conseguem estabelecer túneis entre si, desde que os parâmetros de fase 1/fase 2 sejam configurados de forma compatível.

O túnel VPN reduz a velocidade entre os escritórios?
Existe alguma sobrecarga de criptografia, mas o maior fator de lentidão normalmente é a capacidade dos links de internet em cada ponta, não o overhead do IPsec em si.

Conclusão

VPN site-to-site é uma ferramenta madura e amplamente suportada, mas boa parte dos problemas em produção vem de configuração descuidada, não de limitação do protocolo. Documentar os parâmetros e testar a queda/recuperação do túnel evita boa parte dos incidentes.