VPN e acesso remoto: como trabalhar fora do escritório com segurança

A consolidação do modelo de trabalho remoto e híbrido trouxe flexibilidade para as empresas, permitindo que colaboradores desempenhem suas funções em casa, em filiais, em hotéis ou durante viagens de negócios. No entanto, levar o ambiente corporativo para fora das paredes do escritório tradicional expandiu significativamente a superfície de ataque da infraestrutura de tecnologia.

Quando um colaborador precisa consultar um banco de dados interno, emitir faturas no sistema de gestão integrada ou acessar pastas compartilhadas no servidor de arquivos a partir de uma rede externa, a internet de casa ou do hotel não foi feita para proteger esse tráfego. É exatamente nesse cenário que a VPN (rede privada virtual, da sigla em inglês Virtual Private Network) se torna uma peça importante da estratégia de segurança da informação.

O perigo invisível de expor serviços internos na internet

Diante da necessidade urgente de liberar acessos para equipes remotas, um erro frequente cometido por empresas sem assessoria técnica especializada é publicar portas de servidores diretamente na internet. Práticas como abrir portas para RDP (protocolo de área de trabalho remota, da sigla em inglês Remote Desktop Protocol) ou SSH (protocolo de terminal seguro, Secure Shell) no roteador da empresa deixam esses serviços à vista de qualquer pessoa na internet, inclusive de criminosos.

Varreduras automatizadas vasculham constantemente faixas globais de endereços IP em busca de portas de administração abertas. Uma vez detectada uma porta RDP exposta, robôs podem disparar ataques de força bruta (brute force), testando combinações de usuários e senhas, ou explorar vulnerabilidades conhecidas no sistema operacional que ainda não tenham recebido correções. Caso o invasor obtenha êxito, ele ganha controle direto sobre uma estação interna ou servidor, podendo disseminar códigos maliciosos e sequestrar dados de toda a organização.

Além disso, como detalhado no artigo NAT não é firewall: mitos de segurança e a falsa sensação de proteção, o simples redirecionamento de portas ou uso de tabelas NAT não fornece inspeção de segurança nem protege contra comunicações interceptadas.

Como a VPN corporativa cria um canal protegido

A VPN (rede privada virtual) reduz esse risco. Em vez de expor os sistemas internos para qualquer computador conectado à internet pública, a empresa mantém todos os seus servidores e estações protegidos atrás de um equipamento de borda seguro, como um NGFW (firewall de nova geração). Para saber mais sobre como essa camada atua, consulte Firewall de nova geração (NGFW): quando o roteador não basta.

Ao iniciar o expediente fora do escritório, o colaborador aciona o cliente de VPN instalado em seu computador portátil. Esse aplicativo estabelece uma conexão criptografada direta com o servidor de VPN na borda da rede corporativa:

1. Túnel criptografado: Em VPNs IPsec (arquitetura descrita na IETF RFC 4301) e em outros tipos de VPN, o tráfego que sai do notebook rumo à empresa é cifrado antes de passar pela internet. Mesmo numa rede Wi-Fi pública de cafeteria ou aeroporto, onde terceiros podem tentar espionar o tráfego, o conteúdo fica protegido contra leitura e alteração.
2. Autenticação de identidade: Antes de liberar a entrada na rede interna, o servidor de VPN confirma quem está se conectando, com credenciais individuais e, de preferência, MFA (autenticação de múltiplos fatores), para que o vazamento de uma senha sozinha não baste para entrar na rede.
3. Atribuição de endereço seguro na rede interna: Uma vez validada a sessão, o computador remoto recebe um endereço IP interno e passa a se comunicar com os servidores da empresa exatamente como se estivesse conectado fisicamente a uma tomada de rede no escritório, sem que os serviços internos fiquem expostos na internet.

Túnel dividido (split tunneling) versus túnel completo (full tunnel)

Ao projetar uma arquitetura de acesso remoto para a empresa, uma das decisões mais importantes envolve a rota percorrida pelos pacotes:

• Túnel completo (full tunnel): Todo o tráfego do notebook, incluindo navegação em sites comuns, vídeos e serviços em nuvem, passa por dentro da VPN até o firewall corporativo, onde é inspecionado antes de seguir para a internet. Esse modelo dá mais controle e visibilidade à empresa, mas consome maior largura de banda do link da empresa.
• Túnel dividido (split tunneling): Apenas o tráfego destinado aos endereços IP dos servidores internos da empresa trafega pela VPN criptografada. A navegação pessoal do colaborador na internet comum sai diretamente pelo provedor local da residência. Esse arranjo economiza banda corporativa, mas exige que o endpoint (computador do usuário) tenha antivírus ativo e firewall local bem configurado para evitar que o notebook sirva como ponte para infecções.

As diretrizes do NIST SP 800-46 Rev. 2 recomendam que organizações avaliem criteriosamente o nível de sensibilidade dos dados antes de adotar o túnel dividido, aplicando políticas centralizadas de conformidade aos dispositivos remotos.

Boas práticas para colaboradores e gestores

A tecnologia da VPN é uma barreira fundamental, mas sua eficácia depende diretamente de políticas consistentes de operação:

• Evite computadores pessoais desprotegidos (BYOD sem gestão): Permitir que computadores pessoais de uso doméstico acessem a rede corporativa via VPN sem controle prévio aumenta o risco. Se a máquina do colaborador estiver infectada por um programa espião (keylogger), as credenciais serão capturadas no momento da digitação. Privilegie notebooks padronizados e gerenciados pela equipe de TI.
• Implemente autenticação em duas etapas: A ativação de MFA adiciona uma camada na qual o usuário precisa aprovar o acesso em seu dispositivo móvel cadastrado. Isso reduz bastante o risco de invasões por senhas fracas, vazadas ou compartilhadas.
• Segmente os privilégios de acesso: Um colaborador do departamento financeiro precisa alcançar servidores contábeis, mas não tem motivo para acessar equipamentos de automação predial ou servidores de desenvolvimento. A VPN deve direcionar cada usuário apenas aos recursos estritamente necessários para sua função.
• Desconecte o túnel ao encerrar as tarefas: Manter a sessão de VPN aberta ininterruptamente quando o computador não está em uso amplia o tempo de exposição em caso de furto físico do aparelho ou uso por terceiros não autorizados.

Como decidir o modelo ideal para o seu negócio

Para microempresas com demandas simples, soluções integradas no próprio roteador corporativo podem atender a pequenos grupos de trabalho. No entanto, quando a empresa expande o quadro de funcionários remotos, manipula dados confidenciais de clientes ou necessita de auditoria contínua de acessos, torna-se necessário adotar concentradores de VPN dedicados, firewalls com capacidade de inspeção profunda e monitoramento contínuo de sessões.

Avaliar a capacidade dos links de internet da sede, a compatibilidade dos sistemas operacionais e as rotinas de contingência ajuda a equipe a trabalhar bem sem abrir brechas de segurança.

Precisa de ajuda?

Se a sua empresa busca estruturar um ambiente de acesso remoto seguro, implantar VPN corporativa com autenticação em duas etapas e proteger estações em home office, conheça os serviços de infraestrutura e segurança da MultiCloud Solutions na página de contato.

Fontes

• https://csrc.nist.gov/pubs/sp/800/46/r2/final — Guide to Enterprise Telework, Remote Access, and Bring Your Own Device (BYOD) Security (NIST SP 800-46 Rev. 2). (consultado em 2026-10-10)
• https://datatracker.ietf.org/doc/html/rfc4301 — Security Architecture for the Internet Protocol (IETF RFC 4301: arquitetura de segurança e túneis IPsec). (consultado em 2026-10-10)
• https://cartilha.cert.br/fasciculos/trabalho-remoto/fasciculo-trabalho-remoto.pdf — Fascículo Trabalho Remoto do CERT.br sobre segurança em conexões remotas e redes corporativas. (consultado em 2026-10-10)