VPN corporativa: como funciona e quando usar

Quando o trabalho fora do escritório deixou de ser exceção, a VPN saiu do vocabulário da TI e entrou no do RH. Empresas montaram acesso remoto às pressas, distribuíram usuário e senha e seguiram a vida. Cinco anos depois, boa parte desses acessos continua igual: sem segundo fator, com permissão ampla demais e sem ninguém olhando quem entra.

VPN continua sendo uma ferramenta excelente. Só que ela responde a uma pergunta específica, e vale saber qual é antes de usá-la para tudo.

O que é VPN corporativa

VPN corporativa cria um caminho protegido entre um ponto de fora e a rede da empresa. O tráfego passa criptografado por dentro da internet, e o dispositivo conectado se comporta como se estivesse dentro do escritório: enxerga servidor, pasta de rede, sistema interno e impressora.

É diferente das VPNs de consumidor anunciadas para assistir conteúdo de outro país ou navegar sem ser rastreado. Aquelas levam o tráfego do usuário para um servidor do fornecedor. A corporativa leva o tráfego para dentro da sua empresa, e quem controla é você.

Como funciona, sem complicar

Existem três peças. Um concentrador na empresa, que normalmente é o próprio firewall, um programa cliente no dispositivo do usuário e uma credencial que prova quem ele é. Quando a conexão é estabelecida, o tráfego entre os dois pontos passa dentro de um túnel criptografado, o que impede que alguém no meio do caminho leia o conteúdo.

Duas decisões de configuração mudam bastante o comportamento. A primeira é se todo o tráfego do usuário passa pela empresa ou só o que vai para os sistemas internos. A segunda é o que a pessoa consegue alcançar depois de conectada, que deveria ser o mínimo necessário e quase nunca é.

Os dois usos

Acesso remoto de pessoas

É o caso mais comum. O funcionário em casa, em viagem ou no cliente conecta o notebook e usa o sistema interno como se estivesse na mesa dele, cenário tratado em suporte de TI remoto para empresas. Também é como o suporte alcança servidores para manutenção, junto com as ferramentas descritas em boas práticas de suporte remoto.

Ligação entre unidades

Aqui a VPN une redes, não pessoas. Matriz e filial ficam permanentemente conectadas, e quem está em qualquer uma delas acessa os recursos da outra sem instalar nada. É o desenho usado quando a empresa abre a segunda unidade e quer manter um sistema só.

Quando a VPN é a resposta certa

• há sistema ou servidor dentro da empresa que precisa ser acessado de fora
• existem arquivos em pasta de rede local usados por quem trabalha remoto
• a empresa tem mais de uma unidade e quer tratá-las como uma rede só
• o acesso a determinado sistema precisa ser limitado a quem está autenticado
• a equipe usa redes de terceiros com frequência, como hotel, cliente e coworking

Quando ela não é a melhor opção

Se tudo o que a pessoa precisa está em nuvem, e-mail, arquivos e sistema em navegador, a VPN não acrescenta segurança e ainda cria dois problemas: o desempenho fica pior, porque o tráfego dá uma volta desnecessária pela empresa, e o usuário passa a depender de uma conexão a mais para trabalhar.

Nesses casos, o controle certo é nas próprias contas: autenticação em dois fatores, política de acesso por dispositivo e por localidade, e gestão de permissão dentro da plataforma. Há também o modelo de acesso por aplicação, em que o usuário recebe permissão para um sistema específico em vez de entrar na rede inteira. Ele tem substituído a VPN em muitos ambientes, principalmente quando o objetivo é reduzir o alcance de uma conta comprometida.

O que a VPN não protege

Esse é o ponto que mais gera falsa sensação de segurança. A VPN protege o caminho, não as pontas.

Se o notebook do usuário está infectado, a VPN entrega o problema com escolta até dentro da rede. Se a senha vazou e não há segundo fator, ela dá ao invasor exatamente o mesmo acesso que daria ao funcionário. E se o usuário conectado enxerga todos os servidores, um único computador comprometido alcança tudo. Foi assim que boa parte dos casos de ransomware em empresas começou.

Como implantar com segurança

• Segundo fator obrigatório, sem exceção para diretoria ou para o pessoal de TI
• Conta individual para cada pessoa, com desativação no mesmo dia do desligamento, seguindo o controle de acesso descrito em como proteger os dados da empresa
• Permissão por perfil, liberando só os sistemas que aquele grupo usa
• Somente o tráfego interno pelo túnel, deixando a navegação comum sair direto, salvo quando houver motivo para o contrário
• Registro guardado, com quem conectou, quando e de onde, por um prazo definido
• Concentrador atualizado, porque falha em serviço de VPN exposto à internet é alvo preferido e costuma ser explorada rápido
• Exigência mínima no dispositivo, com antivírus corporativo e sistema atualizado antes de permitir a conexão

Erros comuns

• criar um usuário só, compartilhado pela equipe, o que elimina qualquer rastreabilidade
• manter acesso de fornecedor e de ex-funcionário ativo por meses
• liberar a rede inteira quando a pessoa precisa de dois sistemas
• não acompanhar registro e descobrir o acesso indevido semanas depois
• deixar o equipamento de VPN sem atualização por anos
• usar VPN para o que já está em nuvem e culpar a internet pela lentidão

Conclusão

VPN corporativa continua sendo a forma mais direta de acessar o que está dentro da empresa a partir de fora, e a maneira natural de ligar matriz e filial. Ela não é, sozinha, uma política de segurança, e não é a resposta certa para ambientes que já vivem em nuvem.

Se a sua empresa usa VPN hoje, duas perguntas valem uma reunião: existe segundo fator para todo mundo, e o que cada usuário enxerga depois de conectado. As respostas costumam apontar mais trabalho do que se espera, e é trabalho barato perto do que ele evita.