O mecanismo se baseia em um túnel criptografado: os dados são encapsulados e transportados até um gateway VPN antes de serem encaminhados ao recurso de destino. Para um observador externo (operadora de internet, administrador de rede ou invasor em um ponto de trânsito), o conteúdo fica ilegível e a origem da conexão é ocultada.

O que diferencia uma VPN empresarial de uma VPN de uso pessoal

É aí que a confusão é mais comum e mais cara. Uma VPN de uso pessoal é voltada ao uso individual: ocultar um IP, contornar uma restrição geográfica ou proteger o Wi-Fi público. Distribui IPs compartilhados entre milhares de usuários, sem gerenciamento centralizado, controle de acesso por função ou rastreabilidade interna.

Uma VPN empresarial atende a outras exigências. O objetivo não é anonimato, mas segurança dos fluxos entre entidades identificadas. Um administrador define quem acessa o quê, de qual dispositivo e em quais condições, com um registro auditado. Oferece suporte a centenas de conexões, integra-se a diretórios de identidade (Active Directory, Microsoft Entra ID, Okta) e a infraestruturas híbridas (local + nuvem).

Os dois principais tipos

A VPN de acesso remoto (remote access) é o mais comum: um cliente de software no dispositivo estabelece uma conexão autenticada com um gateway. Atende a quem trabalha remotamente, viaja e presta serviços, e pode ser implantado localmente ou na nuvem.

A VPN site a site (site-to-site) conecta redes inteiras (sede ↔ filial, escritório ↔ datacenter, unidade ↔ nuvem), que se comunicam como uma única rede, sem instalar um cliente em cada dispositivo. A escolha entre implantação interna ou terceirizada envolve decisões sobre manutenção, custos e responsabilidade.

Uma terceira categoria: os acessos SSL/TLS sem cliente (portal SSL), para acessar aplicativos web internos pelo navegador. São mais limitados, mas úteis para acessos pontuais em dispositivos não gerenciados.

As famílias de protocolos

O nível de segurança depende diretamente do protocolo. Veja os detalhes em quais protocolos VPN usar na sua empresa.

  • IPsec (com IKEv2): referência para site a site e muitos acessos remotos; opera na camada de rede e é estável em conexões intermitentes.
  • SSL/TLS: na camada de aplicação, atravessa firewalls e NAT com mais facilidade; é a base dos portais sem cliente.
  • WireGuard®: abordagem compacta (~4000 linhas contra mais de 70.000 do OpenVPN), superfície de ataque reduzida e auditorias facilitadas; cada vez mais adotado.
  • OpenVPN: de código aberto, flexível e auditado, mas mais exigente e complexo de operar.
  • L2TP/IPsec, PPTP, SSTP: antigos e não recomendados. O PPTP está comprometido há muito tempo e deve ser descartado sem dúvida.

O que criptografa e o que não criptografa

Uma VPN criptografa o tráfego entre o dispositivo e o gateway. Quando os dados saem do túnel para um aplicativo externo, a proteção depende de outros mecanismos (principalmente TLS). A VPN não é um escudo para todo o caminho.

Um ponto precisa ficar claro: uma VPN protege o caminho de acesso, não o recurso. Não protege o aplicativo de destino, o banco de dados, o dispositivo cliente nem as permissões excessivas de uma conta. Uma conta comprometida autenticada pelo túnel tem os mesmos acessos da conta legítima.

Split tunneling: todo o tráfego ou apenas parte?

No full tunnel, todo o tráfego passa pela VPN, incluindo o acesso a SaaS e à web: inspeção centralizada e maior visibilidade, mas carga elevada nos gateways e experiência pior em aplicativos que não precisam da rede interna.

No split tunneling, apenas o tráfego para a rede interna passa pelo túnel; o restante acessa a internet diretamente: melhor desempenho, mas maior exposição (tráfego externo sem inspeção). A escolha envolve equilíbrio entre desempenho, exposição, conformidade e inspeção. Ambientes muito regulamentados costumam priorizar full tunnel.

Autenticação: além da senha

Uma implantação bem-feita não se limita a login e senha. A MFA é indispensável (TOTP, aplicativo ou chave FIDO2), apoiada em SAML ou LDAP, com provisionamento frequentemente feito por SCIM. Em ambientes exigentes, acrescentam-se certificados digitais do usuário ou da máquina: um certificado de máquina comprova que o dispositivo é conhecido e aprovado, independentemente do usuário.

A verificação de postura amplia essa lógica: antes de conceder acesso, algumas soluções verificam se o dispositivo atende à política de segurança (sistema atualizado, EDR ativo, disco criptografado e certificado de máquina presente). Um dispositivo fora das regras é recusado ou direcionado a uma rede de correção. É a diferença entre uma VPN básica e um acesso condicional maduro.

Gerenciamento de endereços IP

Uma arquitetura própria. Conforme a necessidade: IPs privados dinâmicos de um pool, associações fixas por usuário ou grupo ou endereços lógicos ligados a uma política de acesso com IPs dedicados para determinados usos de saída. Essas escolhas têm implicações diretas nas regras de firewall e na capacidade de auditoria.

Registros e conformidade

Os registros revelam a maturidade da implantação. Uma solução profissional produz várias categorias de logs: autenticação, atribuição de IP, eventos do sistema, acessos administrativos e metadados de rede (correlação SIEM/EDR). Essa coleta deve ser justificada, documentada e proporcional.

Para organizações no Brasil sujeitas à LGPD, e ao GDPR europeu quando aplicável: base legal adequada, finalidade clara, retenção proporcional, identificação do fornecedor como operador de tratamento e medidas de minimização. Registros mal documentados podem representar descumprimento tanto quanto a ausência de registros.

Alta disponibilidade e redundância

Um gateway único é um ponto único de falha: se ele cair (falha, sobrecarga ou negação de serviço), todos os acessos remotos são interrompidos — algo que pode paralisar uma organização em trabalho remoto. Implantações bem-feitas incluem gateways redundantes, vários pontos de presença e alternância automática. A capacidade de absorver picos de conexões é um parâmetro crítico de dimensionamento.

Os limites estruturais do modelo

A latência é acrescentada ao caminho (encapsulamento, criptografia e passagem pelo gateway), tornando-se perceptível se o gateway estiver longe. A exposição em caso de comprometimento da conta é o limite mais sério: o modelo tradicional pressupõe que tudo que passa pelo gateway é legítimo — um invasor com credenciais válidas acessa a rede com as permissões do usuário. É isso que as arquiteturas ZTNA questionam, ao verificar continuamente identidade, estado do dispositivo e contexto.

A dependência de um perímetro de rede fixo é o problema central: concebida para datacenters locais protegidos por um perímetro definido, a VPN perde relevância quando os aplicativos migram para a nuvem e esse perímetro desaparece. Veja também SDP e VPN e SASE.

O que continua válido e o que mudou

A VPN empresarial não está ultrapassada: para proteger o acesso remoto a recursos internos, interligar duas unidades ou controlar os fluxos para a nuvem, continua sendo uma resposta sólida e proporcional. Mas já não pode, sozinho, constituir o perímetro de segurança: protege um caminho, não uma postura; controla um acesso à rede, não a legitimidade de cada ação. Em ambientes com ampla exposição, precisa fazer parte de uma arquitetura maior, sem ser seu único pilar.