Um conjunto de software multiprotocolo
SoftEther reúne um servidor VPN multiprotocolo, clientes e ferramentas de administração (interface gráfica e CLI), além da possibilidade de criar topologias complexas (entre unidades, vários saltos, infraestruturas híbridas). No centro está o SoftEther VPN Protocol, baseado em SSL/TLS, projetado para otimizar o desempenho reduzindo as cópias de memória e permitindo o encapsulamento em HTTPS (porta 443). Mas SoftEther também pode oferecer vários protocolos em paralelo — um papel incomum para um servidor VPN voltado ao uso pessoal.
Conjunto de software, protocolo nativo e servidor intermediário
O nome SoftEther designa três elementos relacionados:
- um conjunto de software: servidor, cliente, ferramentas de gerenciamento e componentes para redes virtuais;
- um protocolo nativo: SoftEther VPN Protocol, transportado por TLS e capaz de usar HTTPS;
- um servidor multiprotocolo: uma mesma implantação pode aceitar clientes OpenVPN, L2TP/IPsec, SSTP e outros.
Essa distinção evita uma confusão frequente: instalar SoftEther não obriga a usar seu protocolo nativo. Ele também pode funcionar como ponto de compatibilidade entre dispositivos e padrões diferentes.
Protocolos compatíveis
Um servidor SoftEther aceita seu protocolo nativo, SSL-VPN encapsulável em HTTPS, o modo de compatibilidade OpenVPN , que aceita clientes OpenVPN existentes, L2TP/IPsec (IKEv1, compatível com os clientes integrados do Windows/macOS/iOS/Android), MS-SSTP (protocolo da Microsoft baseado em HTTPS) e L2TPv3/EtherIP (camada 2, para transportar quadros Ethernet completos). Essa versatilidade é um de seus aspectos mais distintos, mas também contribui para sua complexidade estrutural.
SoftEther VPN Protocol
É a opção nativa. Usa TLS, pode circular por TCP 443 e foi criada para atravessar firewalls que permitem HTTPS. Sua capacidade de parecer tráfego web ajuda em algumas redes, mas não garante invisibilidade diante de uma inspeção profunda.
OpenVPN e L2TP/IPsec
O modo OpenVPN permite reutilizar clientes e perfis conhecidos. L2TP/IPsec mantém a compatibilidade com sistemas que incluem um cliente nativo, embora conserve as limitações desse protocolo antigo.
SSTP, L2TPv3 e EtherIP
SSTP oferece compatibilidade com o ecossistema Microsoft. L2TPv3 e EtherIP transportam quadros de camada 2 para estender redes Ethernet, não para um aplicativo VPN de uso doméstico.
Características técnicas
Camada 2 e ponte Ethernet: SoftEther pode transportar quadros Ethernet, broadcast, multicast e protocolos não IP, reproduzindo uma LAN estendida (virtualização, migrações de infraestrutura, ambientes industriais, topologias entre unidades). Esse modo exige um gerenciamento rigoroso dos segmentos de rede: protocolos como ARP, NetBIOS ou DHCP, normalmente restritos à rede local, podem atravessar o túnel e expor serviços que não foram preparados para acesso remoto. SoftEther também pode encapsular seu tráfego em TCP, UDP ou HTTPS (443), o que é interessante em ambientes filtrados, e permite o cascading , encadeamento de servidores para rotas de vários saltos e arquiteturas redundantes. São necessidades de engenharia de redes, não de uso doméstico.
Pontes, cascading e segmentação
Uma ponte virtual pode unir dois segmentos Ethernet e transportar broadcast, multicast e protocolos que normalmente não saem de uma LAN. Isso facilita migrações e laboratórios, mas exige VLAN, regras de firewall e controle de DHCP para evitar que uma rede remota alcance serviços internos não previstos.
O cascading conecta um servidor SoftEther a outro servidor ou concentrador. Permite rotas com vários saltos e redundância, embora cada salto acrescente latência, registros potenciais e um novo ponto de administração. Não deve ser confundido com anonimato distribuído.
Operação segura
- desativar protocolos não utilizados;
- separar interfaces de gerenciamento do tráfego dos clientes;
- aplicar certificados individuais e permissões mínimas;
- atualizar servidor e clientes de forma coordenada;
- limitar as pontes e documentar as rotas;
- revisar registros sem manter atividade desnecessária.
Segurança, manutenção e possibilidade de auditoria
SoftEther é de código aberto (GPLv2) e mantido ativamente, permitindo que a comunidade relate e corrija erros (issues, pull requests, CVE). No entanto, ao contrário de WireGuard® (auditado publicamente pela Cure53 em 2019) ou de OpenVPN (várias auditorias independentes pela OSTIF e QuarksLab, há mais de vinte anos), SoftEther não recebeu auditorias públicas independentes recentes de amplo alcance. Isso se explica pela natureza do projeto: uma base de código extensa, que cobre muitos recursos (multiprotocolo, pontes, cascading, encapsulamentos), tornando uma auditoria completa mais complexa e mais cara. Para provedores comerciais, cuja credibilidade depende em parte de auditorias externas, essa ausência é um obstáculo.
Por que VPNs comerciais raramente o integram
Há três motivos principais. A complexidade de integração e suporte: um provedor precisa garantir uma integração uniforme em todos os seus aplicativos, uma manutenção idêntica em milhares de servidores e um suporte previsível — objetivos pouco alinhados à riqueza de SoftEther. Uma escopo funcional amplo implica maior superfície de ataque: cada recurso (pontes de camada 2, multiprotocolo, cascading, encapsulamentos) pode introduzir novos vetores, enquanto a implementação do WireGuard® no núcleo (~4.000 linhas) facilita a auditoria. Por fim, não há benefício evidente para o usuário: para proteger a conexão, ocultar o IP ou contornar bloqueios, SoftEther não oferece nada perceptível diante de WireGuard® ou OpenVPN.
Casos de uso reais
- Universidades e laboratórios: ensino de protocolos, topologias e administração de redes.
- Hospedagem própria avançada: um único servidor para clientes heterogêneos.
- Empresas com redes híbridas: pontes de camada 2, conexões entre unidades e compatibilidade com equipamentos antigos.
- Redes restritivas: transporte sobre HTTPS quando outros protocolos estão bloqueados.
Pontes de camada 2 precisam de segmentação cuidadosa: broadcast, ARP, DHCP e serviços locais podem atravessar o túnel. Uma extensão de LAN mal controlada amplia a superfície exposta.
Comparação com outras opções
| Critério | SoftEther | WireGuard | OpenVPN | IKEv2 |
|---|---|---|---|---|
| Tipo | Conjunto multiprotocolo | Protocolo minimalista | Protocolo flexível | Negociação para IPsec |
| Complexidade | Alta | Baixa | Média | Média a alta |
| Camada 2 | Sim | Não | Possível com TAP | Não |
| Auditoria | Difícil pela abrangência | Facilitada pelo código pequeno | Amplo histórico | Depende da pilha IPsec |
| Uso ideal | Engenharia de redes | Uso diário | Compatibilidade | Mobilidade e integração |
Para uma empresa, a decisão deve partir da topologia, não da quantidade de protocolos oferecidos. Se a necessidade é apenas acesso remoto IP, WireGuard, OpenVPN ou IKEv2 costumam reduzir o suporte e a superfície exposta. SoftEther faz sentido quando pontes, clientes heterogêneos ou experimentação multiprotocolo são requisitos verificáveis.
Veredito
SoftEther não é uma tecnologia ruim nem uma substituição universal. É uma caixa de ferramentas poderosa para quem precisa de protocolos simultâneos, pontes ou topologias complexas. Essa riqueza seria uma carga desnecessária para quem só quer proteger sua conexão.