As decisões por topologia, em poucas palavras:
- Interligação de unidades com equipamentos dedicados: IPsec/IKEv2 quase sempre, recomendado pela ANSSI francesa e compatível de forma nativa com firewalls empresariais.
- Acesso remoto, dispositivos móveis: IKEv2/IPsec, nativo no Windows/macOS/iOS, com MOBIKE para manter a continuidade da conexão.
- Rede restritiva com UDP bloqueado: OpenVPN TCP/443 como alternativa de contingência, que atravessa melhor filtros simples.
- WireGuard®: transporte de bom desempenho, raramente suficiente sozinho, que exige uma camada de gerenciamento.
- PPTP: deve ser eliminado sem discussão. L2TP/IPsec: tecnologia legada sem vantagem moderna, que deve ser retirada.
Duas topologias, duas lógicas
Antes de avaliar um protocolo, identifique a topologia implantada: ela determina todo o restante. O acesso remoto estabelece, sob demanda, uma conexão temporária entre um dispositivo e a rede: o protocolo deve gerenciar autenticações individuais, suportar mudanças de rede sem interrupção e integrar-se a uma estrutura de MDM/SSO. A interligação de unidades cria um túnel permanente entre dois equipamentos, como firewalls ou roteadores: uma associação entre máquinas configurada uma vez, em que prevalecem estabilidade, interoperabilidade entre fabricantes e compatibilidade certificada dos equipamentos.
IPsec: a referência para infraestruturas empresariais
IPsec, conjunto de padrões da IETF que atua na camada de rede, criptografa e autentica os pacotes por meio do ESP, usa IKEv2 para negociar as chaves e atravessa o NAT por encapsulamento UDP. Agências nacionais de referência em cibersegurança, como a ANSSI francesa com sua nota específica DAT-NT-003 v1.1, 2015, ou o NIST dos Estados Unidos, priorizam IPsec para VPNs empresariais, tanto em mobilidade quanto entre unidades, pela maturidade criptográfica, implementação em equipamentos certificados e suporte quase universal: Cisco ASA, FortiGate, Palo Alto, pfSense e OPNsense.
O IPsec predomina nas conexões entre unidades porque é nativo no ecossistema de redes empresariais. A interoperabilidade entre fabricantes continua possível com IKEv2 + ESP, mas não é garantida sem verificar os conjuntos criptográficos dos dois lados.
Ponto que não deve ser ignorado: IKEv2 deve ser o mecanismo de troca de chaves. IKEv1 está obsoleto desde a RFC 9395, de 2023: qualquer configuração que ainda o utilize é uma dívida técnica que precisa ser resolvida.
IKEv2: a escolha natural para dispositivos móveis
IKEv2 , definido pela RFC 7296, é o mecanismo de troca de chaves do IPsec, mas também determina o comportamento percebido pelo usuário. Sua vantagem: o gerenciamento nativo das mudanças de IP por MOBIKE , RFC 4555, permite mudar do Wi-Fi para a rede móvel sem interrupção nem nova autenticação. Para dispositivos móveis, isso faz a diferença entre uma VPN que funciona sem atrito e uma VPN que os usuários evitam.
Integrado de forma nativa ao Windows, macOS e iOS; no Android, a implementação padrão existe desde o Android 11 , com maior variação nas versões anteriores. Pode ser implantado sem cliente de terceiros, um argumento forte para equipes de TI com políticas rígidas. Integra-se a infraestruturas PKI por certificados X.509 e suporta autenticação EAP com Active Directory e RADIUS.
Restrição: IKEv2 funciona nas portas UDP 500 e 4500. Em algumas redes, como hotéis, pontos de acesso públicos ou clientes com filtragem rígida de UDP, essas portas podem estar bloqueadas e o IKEv2 falhará, às vezes sem aviso. É preciso prever uma alternativa de contingência para quem trabalha em deslocamento.
WireGuard®: transporte de bom desempenho, arquitetura a complementar
WireGuard® está integrado ao kernel Linux desde a versão 5.6, de 2020. Seu código reduzido diminui a superfície de auditoria e explica o desempenho: baixa latência e uso de CPU inferior ao IPsec por software. Mas, em empresas, o WireGuard® nativo apresenta restrições que comparativos voltados ao consumidor costumam omitir.
O gerenciamento dos pares: O WireGuard® se baseia em chaves públicas estáticas trocadas antecipadamente. Isso é administrável para dez dispositivos estáveis, mas, com rotatividade, desligamentos e uso de vários aparelhos, o gerenciamento manual vira um risco. A versão nativa não integra PKI, gestão centralizada de identidades nem revogação automática, e tudo passa por UDP, sujeito aos mesmos bloqueios do IKEv2. Ferramentas como Tailscale, Netbird ou Headscale adicionam a camada que falta: SSO, ACL e provisionamento. Nesse caso, já não se trata de WireGuard® puro, mas de WireGuard® como transporte em uma arquitetura gerenciada.
Faz sentido quando: a equipe de TI tem conhecimento técnico para manter a configuração dos pares, em infraestruturas Linux em contêineres ou túneis homogêneos entre regiões. Para uma pequena ou média empresa sem recursos internos, a complexidade da versão nativa costuma ser subestimada.
WireGuard® é uma marca registrada de Jason A. Donenfeld.
OpenVPN: a alternativa em ambientes restritivos
Sem ser o mais rápido nem o mais simples, o OpenVPN mantém uma vantagem decisiva em ambientes de rede restritivos. No modo TCP/443, seu tráfego se parece com HTTPS e atravessa melhor filtros simples. Isso não garante invisibilidade: um DPI avançado pode identificá-lo mesmo nessa porta. É uma alternativa contra filtros básicos, não uma solução universal contra inspeção profunda.
Em conexões entre unidades, o OpenVPN é menos natural e menos interoperável do que o IPsec: os equipamentos suportam IPsec de forma nativa, mas não OpenVPN. Limitações: funciona no espaço do usuário, com carga de CPU perceptível sob uso intenso; configuração que exige domínio de TLS e certificados; ausência de integração nativa aos sistemas operacionais, o que torna as implantações por MDM mais trabalhosas.
VPN SSL: um termo que merece distinção
O “SSL VPN” na documentação da Cisco, Palo Alto e Fortinet designa soluções que usam TLS como transporte, por um cliente dedicado ou um modo sem cliente, pelo navegador, com acesso limitado aos aplicativos web definidos. Não é um protocolo de tunelamento no mesmo sentido de IPsec ou OpenVPN, mas uma forma de acesso a aplicativos. É útil para um acesso simples a alguns recursos, mas não substitui uma arquitetura completa de VPN de rede.
PPTP e L2TP/IPsec: devem ser substituídos
PPTP usa RC4; ataques práticos contra MS-CHAPv2, sua autenticação padrão, são documentados desde 2012. Ferramentas públicas conseguem recuperar as credenciais em poucas horas. Em 2026, mantê-lo é difícil de justificar em qualquer análise séria de riscos.
L2TP/IPsec com parâmetros modernos não está intrinsecamente comprometido, mas não oferece vantagem sobre IKEv2/IPsec e adiciona sobrecarga desnecessária. É uma camada legada de transição: a conclusão é migrar, não otimizar.
O que as referências realmente dizem
A ANSSI francesa prioriza IPsec para usos empresariais e sensíveis: uma recomendação explícita e documentada de várias agências nacionais de cibersegurança. ISO 27001, por outro lado, não exige nenhum protocolo: é uma norma de gestão de riscos. O que importa é a coerência entre protocolo, gerenciamento de chaves, autenticação, registros, manutenção das condições de segurança e revisão dos riscos.
Na prática, uma implantação WireGuard® bem gerenciada, auditada e documentada pode atender a uma avaliação ISO 27001; um IPsec mal configurado, com conjuntos criptográficos obsoletos e sem gestão de certificados, não atenderá. O protocolo é um elemento da estrutura de segurança, não uma garantia por si só.
Tabela de decisão por uso
| Caso de uso | Protocolo recomendado |
|---|---|
| Interligação de unidades com equipamentos dedicados | IPsec/IKEv2 |
| Acesso remoto, dispositivos móveis | IKEv2/IPsec com MOBIKE |
| Rede restritiva, UDP bloqueado | OpenVPN TCP/443 como contingência |
| Infraestrutura Linux distribuída, equipe de TI com conhecimento técnico | WireGuard® com camada de gerenciamento |
| PPTP / L2TP existentes | Devem ser migrados |
Perguntas frequentes
O que a ANSSI francesa recomenda? IPsec, conforme DAT-NT-003 v1.1, de 2015, como prioridade para mobilidade e conexões entre unidades. IKEv2 é obrigatório, pois IKEv1 está obsoleto conforme a RFC 9395, de 2023.
WireGuard® é adequado para empresas? Sim, com pré-requisitos: o modelo de chaves estáticas e a ausência de gestão nativa de identidades exigem uma camada adicional, como Tailscale, Netbird ou Headscale. Para uma pequena ou média empresa sem recursos técnicos, IKEv2/IPsec continua mais confiável no longo prazo.
IKEv2 pode ser bloqueado? Sim, nas portas UDP 500/4500. OpenVPN TCP/443 passa a ser a alternativa, sem garantia diante de DPI avançado.
ISO 27001 exige algum protocolo? Não. O que importa é a coerência da estrutura, não o nome do protocolo.
Decisão de arquitetura, não de desempenho
Não se escolhe o protocolo teoricamente “mais rápido”, mas aquele que a arquitetura, os equipamentos, a filtragem, o modelo de identidade e as exigências de controle conseguem sustentar no longo prazo. Entre unidades: IPsec/IKEv2. Dispositivos móveis: IKEv2/IPsec. Redes restritivas: OpenVPN TCP/443. WireGuard® é convincente quando integrado a uma camada de gerenciamento coerente. Para o contexto da arquitetura, consulte SDP e VPN e SASE.