Montar túneis VPN (Virtual Private Network) é o pão nosso de cada dia para qualquer administrador de redes. Seja para interligar duas filiais (Site-to-Site) ou para garantir que um colaborador aceda de forma segura ao ERP da empresa a partir de casa (Client-to-Site), a VPN é a ponte que mantém os seus dados a salvo do caos da internet pública.

O problema é que o mundo das VPNs está cheio de siglas e jargões. Escolher o protocolo errado não é apenas uma questão de velocidade; é entregar as chaves do seu datacenter a qualquer atacante com um sniffer de pacotes.

Neste post, vamos dissecar os protocolos de VPN mais comuns do mercado, explicar as suas diferenças e, principalmente, deixar claro porque é que alguns deles devem ser enterrados de vez.

O Elefante branco da Sala: Por que NÃO usar PPTP (Point-to-Point Tunneling Protocol)?

Ainda encontro PPTP configurado em roteadores de pequenos provedores e empresas. Desenvolvido pela Microsoft nos anos 90, o PPTP foi revolucionário pela sua facilidade de uso (já vinha nativo no Windows) e por consumir muito pouco processamento, o que o tornava rápido.

O problema: A segurança do PPTP, baseada no protocolo de autenticação MS-CHAPv2, foi completamente quebrada há anos. É possível intercetar o handshake da conexão e quebrar a chave de criptografia em menos de 24 horas (muitas vezes em poucas horas, com hardware moderno). Além disso, o PPTP não tem Perfect Forward Secrecy (PFS), o que significa que se alguém capturar o seu tráfego hoje e descobrir a chave no futuro, poderá desencriptar tudo o que foi gravado.

Veredito na Trincheira: Usar PPTP hoje é pior do que não usar VPN, porque dá à direção da empresa uma falsa sensação de segurança. Nunca use.

O Padrão Corporativo: IPsec (Internet Protocol Security)

O IPsec não é apenas um protocolo, é um conjunto de protocolos (uma framework) desenhado para encriptar tráfego na camada de rede (Camada 3 do modelo OSI). É a fundação das conexões Site-to-Site corporativas, interligando roteadores Cisco, Juniper, Fortinet, pfSense e MikroTik.

  • Vantagens: É o padrão absoluto da indústria. Qualquer firewall corporativo ou serviço cloud (AWS VPC, Azure VPN Gateway) suporta IPsec de forma robusta. É operado a nível do kernel na maioria dos roteadores, garantindo alta performance com aceleração de hardware (AES-NI).

  • Desvantagens: É famoso por ser difícil de configurar no início. Lidar com Fases 1 (IKE) e Fase 2 (ESP), criptografias incompatíveis entre marcas diferentes, e os famosos problemas de NAT Traversal (fazer o IPsec passar por trás de um NAT/CGNAT) exige experiência. E para acesso Client-to-Site, quase sempre exige a instalação de um software cliente dedicado na máquina do utilizador.

O Flexível: OpenVPN

Se o IPsec é o rei do Site-to-Site, o OpenVPN reinou absoluto no Client-to-Site durante a última década. Baseado na biblioteca OpenSSL, ele encripta os dados de forma extremamente segura e é altamente customizável.

  • Vantagens: Atravessa firewalls e NATs como nenhum outro. Como pode rodar sobre a porta TCP 443 (a mesma do tráfego HTTPS), é praticamente impossível bloquear uma conexão OpenVPN em redes de hotéis ou aeroportos sem bloquear a navegação web junto. É open-source, gratuito e altamente auditado.

  • Desvantagens: É "pesado". O OpenVPN roda no user-space (e não no kernel), o que significa que consome muito mais CPU do servidor e do cliente para processar a encriptação. Roteadores mais fracos costumam engasgar e perder velocidade quando a carga do OpenVPN sobe.

A Revolução Moderna: WireGuard

O WireGuard é a maior disrupção no mundo das VPNs dos últimos anos. Ele foi criado com o objetivo de ser rápido, seguro e incrivelmente enxuto. Enquanto o OpenVPN e o IPsec têm centenas de milhares de linhas de código, o WireGuard tem cerca de 4.000 linhas. Isto torna o código muito mais fácil de auditar por especialistas em cibersegurança.

  • Vantagens: Velocidade brutal e simplicidade extrema de configuração (basicamente, troca de chaves públicas, similar ao SSH). O WireGuard vive diretamente no kernel do Linux (foi oficialmente incluído no Kernel 5.6), proporcionando um throughput muito superior ao OpenVPN com menor uso de CPU. Se o seu dispositivo mudar de rede (do Wi-Fi para o 4G/5G, por exemplo), a conexão não cai, a transição é transparente.

  • Desvantagens: Como é baseado em UDP sem estado de conexão estrito, contornar firewalls corporativos muito restritivos (que só deixam passar TCP 80/443) pode ser um desafio. Além disso, o foco em velocidade significa que ele não atribui IPs dinâmicos de forma "tradicional" como o OpenVPN, o que obriga a algumas adaptações se você usar ferramentas de orquestração antigas.

Conclusão: Qual Escolher?

  • Para fechar uma VPN entre duas empresas ou filiais (Roteador-para-Roteador): Vá de IPsec. É o padrão da indústria e tem aceleração por hardware nativa na maioria dos equipamentos.

  • Para acesso remoto de usuários que viajam muito e pegam redes restritivas: OpenVPN na porta TCP 443 ainda é a aposta mais garantida contra bloqueios.

  • Para máxima performance e configuração limpa em ambientes Linux/Cloud modernos: WireGuard sem pensar duas vezes.

A regra fundamental da infraestrutura moderna é: audite os seus túneis. Remova os protocolos obsoletos (PPTP e L2TP/IPsec fraco) e garanta que está a usar cifras de encriptação modernas.

E você, já fez a transição completa para WireGuard ou o IPsec ainda é o rei do seu datacenter?