VPN Site-to-Site: boas práticas de segurança para ambientes corporativos
Uma VPN conecta redes, mas mal segmentada vira um corredor de movimento lateral. Veja como conectar com segurança.
VPNs Site-to-Site conectam redes inteiras, como um data center a uma VPC ou dois escritórios. O risco que muitas equipes ignoram é que, depois de estabelecida, a VPN frequentemente vira um túnel aberto entre as redes, permitindo que um comprometimento de um lado se propague para o outro. Segurança de VPN não termina no túnel criptografado; ela depende de segmentação, rotas restritas e visibilidade.
Este guia trata das boas práticas para configurar e operar uma VPN Site-to-Site de forma defensiva: criptografia adequada, controle do que pode atravessar o túnel, gestão de chaves, logs e disponibilidade. O objetivo é conectar sem criar um caminho fácil de movimento lateral.
Criptografia e gestão de chaves
Use parâmetros de criptografia atuais no IPsec, evitando algoritmos e grupos considerados fracos. Prefira conjuntos modernos e desabilite os legados. As chaves pré-compartilhadas, quando usadas, devem ser fortes, guardadas com segurança e rotacionadas; uma chave fraca ou vazada compromete todo o túnel.
Documente os parâmetros acordados entre os dois lados e mantenha-os alinhados. Divergências de configuração causam instabilidade e, às vezes, levam a equipe a relaxar parâmetros para fazer o túnel subir, o que enfraquece a segurança.
As duas fases do IKE e o sigilo futuro
Uma VPN IPsec negocia em duas fases. Na primeira, os lados se autenticam e estabelecem um canal seguro de gerenciamento; na segunda, negociam as chaves que de fato cifram o tráfego. Em cada fase há escolha de algoritmo de cifra, de integridade e do grupo de troca de chaves. O ponto sensível é o sigilo futuro (perfect forward secrecy): com ele ativo, cada renegociação gera material de chave novo e independente, de modo que o comprometimento de uma chave não expõe o tráfego passado nem o futuro. Prefira grupos de troca de chaves robustos e mantenha o PFS habilitado.
# Preferir conjuntos modernos e alinhar os dois gateways
Fase 1 (IKE): cifra AES-GCM ou AES-CBC 256
integridade SHA-2 (256 ou superior)
grupo de troca de chaves robusto (evitar grupos legados)
Fase 2 (IPsec): ESP com AES-GCM ou AES-CBC 256
PFS habilitado (nova chave a cada renegociação)
tempo de vida da SA curto o suficiente para rotação regular
Autenticação: chave pré-compartilhada forte e única, ou certificadosTrate a chave pré-compartilhada como um segredo de alto valor: gere-a longa e aleatória, guarde em um cofre de segredos e não a repita entre túneis. Onde a escala justifica, autenticação por certificados evita o problema das chaves compartilhadas estáticas e facilita a revogação de um lado sem tocar nos demais.
Segmentação e rotas restritas
O controle mais importante e mais negligenciado é restringir o que pode atravessar o túnel. Em vez de rotear redes inteiras de um lado ao outro, defina rotas e regras que permitam apenas os fluxos realmente necessários, por exemplo um conjunto específico de hosts e portas. Assim, mesmo que um lado seja comprometido, o acesso ao outro lado fica limitado.
- Permitir apenas os fluxos necessários através do túnel
- Evitar rotear redes inteiras quando só alguns hosts precisam falar
- Aplicar firewall em ambos os lados, não confiar só na VPN
- Segmentar para conter movimento lateral entre as redes
- Revisar periodicamente o que o túnel realmente permite
Trate a VPN como uma conexão entre zonas de confiança diferentes, não como uma extensão transparente da rede interna. Firewalls nos dois lados continuam necessários.
Do lado a lado para o menor fluxo possível
O caminho para uma VPN mais segura é ir da conexão ampla para a restrita em etapas. Primeiro, saiba quais aplicações realmente precisam falar entre os dois lados; muitas conexões carregam a rede inteira só porque foi mais rápido configurar assim. Depois, escreva as regras de firewall permitindo apenas esses hosts e portas, e feche o resto por padrão. Uma regra de negação como base, com exceções explícitas e justificadas, é o oposto de rotear tudo e torcer para nada dar errado.
Logs e alta disponibilidade
Habilite logs do túnel e do tráfego que o atravessa, para detecção e investigação. Sem visibilidade, um acesso lateral malicioso pela VPN passa despercebido. Para serviços críticos, planeje alta disponibilidade com túneis redundantes, de forma que a queda de um caminho não derrube a conexão inteira.
Monitore a saúde do túnel e alerte sobre quedas e renegociações anormais, que podem indicar tanto problema operacional quanto atividade suspeita.
Redundância sem ponto único de falha
Alta disponibilidade de verdade evita compartilhar o destino do risco. Dois túneis que saem pelo mesmo equipamento, pelo mesmo link de internet ou pela mesma configuração de chave herdam a mesma falha. Para serviços críticos, distribua os caminhos por gateways e enlaces diferentes e teste o failover de propósito, derrubando um lado em janela controlada para confirmar que o tráfego migra como esperado. Um túnel redundante que nunca foi exercitado costuma falhar justamente na hora em que é acionado.
Detecção de abuso pelo túnel
A VPN cifra o tráfego, mas não diz se o que passa por ela é legítimo. Um comprometimento de um lado usa o túnel exatamente como um administrador usaria, então a detecção precisa olhar o comportamento, não apenas a existência da conexão. Registre os fluxos que atravessam o túnel e compare com o que é esperado: um host que de repente fala com serviços que nunca acessou, uma varredura de portas do outro lado ou um volume de dados fora do padrão são sinais que merecem alerta.
- Conexões para hosts ou portas fora do conjunto autorizado
- Varredura de rede originada de um lado em direção ao outro
- Volume de transferência muito acima do padrão histórico
- Renegociações do túnel em horário ou frequência incomuns
- Tentativas de acesso negadas em sequência no firewall da borda
Encaminhe esses eventos para onde a equipe de fato acompanha, um SIEM ou um canal com dono e prazo de resposta. E defina de antemão o que fazer quando o alerta dispara: um túnel comprometido geralmente exige derrubar a conexão, rotacionar as chaves e investigar o lado de origem antes de restabelecer, em vez de reconectar às pressas.
Checklist prático
- Usar parâmetros de criptografia IPsec atuais e desabilitar legados
- Manter PFS habilitado para renovar o material de chave a cada renegociação
- Empregar chaves fortes, únicas por túnel, protegidas em cofre e com rotação
- Avaliar autenticação por certificados onde a escala justifica
- Documentar e alinhar parâmetros entre os dois lados
- Permitir apenas os fluxos necessários através do túnel
- Adotar negação por padrão no firewall, com exceções justificadas
- Evitar rotear redes inteiras sem necessidade
- Aplicar firewall em ambos os lados da VPN
- Segmentar para conter movimento lateral
- Habilitar logs do túnel e dos fluxos que o atravessam
- Alertar sobre acesso a hosts ou portas fora do conjunto autorizado
- Planejar alta disponibilidade com caminhos independentes
- Testar o failover de propósito em janela controlada
- Monitorar saúde, quedas e renegociações do túnel
- Ter procedimento de resposta a túnel comprometido
Boas práticas
- Trate a VPN como conexão entre zonas distintas, não rede única
- Restrinja o túnel aos fluxos estritamente necessários
- Mantenha firewall ativo nos dois lados, com negação por padrão
- Prefira conjuntos modernos e mantenha o PFS ativo
- Rotacione e proteja as chaves do túnel, sem repeti-las entre conexões
- Garanta visibilidade com logs de fluxo e alertas de comportamento
- Planeje redundância por caminhos independentes e teste o failover
Erros comuns
Rotear redes inteiras de um lado ao outro
Cria um corredor amplo de movimento lateral entre as redes.
Relaxar criptografia para o túnel subir
Enfraquece a proteção do tráfego entre os sites.
Desabilitar o PFS por conveniência
O comprometimento de uma chave passa a expor tráfego de outras sessões.
Chave pré-compartilhada fraca, repetida ou nunca rotacionada
Uma chave comprometida expõe todo o túnel, às vezes mais de um.
Confiar só na VPN, sem firewall nos lados
Um lado comprometido alcança o outro sem barreira adicional.
Redundância pelo mesmo equipamento ou enlace
Os túneis herdam a mesma falha e caem juntos quando ela ocorre.
Túnel sem logs de fluxo
Acesso lateral malicioso pela VPN passa despercebido.
Quando procurar apoio especializado
Conectar redes com segmentação adequada e visibilidade é trabalho de arquitetura de segurança de redes. A GUARDIASEC apoia isso nos serviços de Consultoria em Segurança e de Segurança AWS, avaliando segmentação, exposição e controle de fluxos entre ambientes.
Perguntas frequentes
A VPN já não criptografa tudo, então está seguro?
A criptografia protege o tráfego em trânsito entre os sites, mas não controla o que pode atravessar o túnel. Se a VPN roteia redes inteiras, um comprometimento de um lado alcança o outro livremente. Segurança de VPN depende tanto da criptografia quanto da segmentação e do controle de fluxos.
Devo rotear toda a rede pelo túnel?
Em geral não. O recomendado é permitir apenas os fluxos realmente necessários, como hosts e portas específicos, em vez de conectar redes inteiras. Isso limita o movimento lateral caso um dos lados seja comprometido e reduz bastante a superfície de risco da conexão.
Preciso de firewall se já tenho a VPN?
Sim. A VPN conecta zonas de confiança diferentes e não substitui o firewall. Manter firewalls nos dois lados garante que apenas o tráfego esperado atravesse o túnel e que um lado comprometido não tenha acesso irrestrito ao outro. VPN e firewall são camadas complementares.
Como detecto abuso pela VPN?
Com logs do túnel e dos fluxos que o atravessam, somados a alertas sobre comportamento fora do padrão. Como a VPN cifra o tráfego, a detecção olha o que passa por ela: conexões para hosts ou portas fora do conjunto autorizado, varredura de um lado em direção ao outro, volume de dados atípico e renegociações em horário incomum. Sem esses logs, um uso malicioso da conexão entre os sites pode passar completamente despercebido.
O que é perfect forward secrecy e por que mantê-lo ativo?
Perfect forward secrecy, ou sigilo futuro, faz a VPN gerar material de chave novo e independente a cada renegociação. O efeito prático é que o comprometimento de uma chave não permite decifrar o tráfego de sessões anteriores nem posteriores, porque cada uma usou chaves próprias. Sem PFS, uma chave exposta pode abrir tráfego que já passou. Por isso vale manter o PFS habilitado e usar grupos de troca de chaves robustos nos dois lados.
Chave pré-compartilhada ou certificados: o que usar?
A chave pré-compartilhada funciona bem para poucos túneis, desde que seja longa, aleatória, única por conexão e guardada em cofre de segredos. Conforme o número de túneis cresce, gerenciar chaves estáticas fica arriscado e trabalhoso. A autenticação por certificados escala melhor, evita segredos compartilhados repetidos e permite revogar um lado sem tocar nos demais. A escolha depende da quantidade de conexões e da maturidade de gestão de certificados da equipe.
Como faço uma VPN Site-to-Site realmente redundante?
Redundância de verdade evita compartilhar o ponto de falha. Túneis que saem pelo mesmo equipamento, pelo mesmo link ou pela mesma configuração caem juntos quando o problema aparece. Distribua os caminhos por gateways e enlaces diferentes, e teste o failover de propósito, derrubando um lado em janela controlada para confirmar que o tráfego migra. Um túnel reserva que nunca foi exercitado tende a falhar justamente quando é acionado.
Guias relacionados
Próximo passo
Vamos avaliar os riscos do seu ambiente?
Conte seu cenário e definimos juntos o escopo certo. O objetivo é reduzir caminhos prováveis de ataque e elevar a maturidade de segurança, sem promessas absolutas.