Escolher um protocolo VPN raramente é apenas uma decisão técnica. Na maioria das implementações reais, os engenheiros herdaram uma infraestrutura existente, conectam-se a um provedor de VPN externo ou integram-se a um sistema empresarial que já conta com um protocolo. Nesses casos, o protocolo adequado é aquele que já utiliza o restante do ambiente.
Por isso, os routers Teltonika são compatíveis com uma ampla gama de protocolos VPN, não apenas com os mais recentes, mas também com opções mais antigas. Ao criar uma solução do zero, protocolos modernos e seguros como WireGuard, OpenVPN e IPsec são a melhor opção. Ao conectar-se a uma rede existente, os dispositivos Teltonika adaptam-se a ela sem problemas. Se você gerencia VPN em grandes frotas de dispositivos sem endereços IP estáticos nem configurações complexas, o RMS VPN oferece uma alternativa específica que funciona junto com esses protocolos.
Se você está escolhendo um protocolo VPN ou já tem um configurado, aqui explicaremos quais são os que os dispositivos Teltonika suportam, sua adequação e seu nível de segurança.
OPENVPN: TESTADO, FLEXÍVEL E AMPLO SUPORTE
OpenVPN é um dos protocolos VPN mais utilizados no mundo. É de código aberto, altamente configurável e compatível com praticamente todas as plataformas e tipos de dispositivos, desde firewalls empresariais e gateways na nuvem até hardware industrial integrado.
O protocolo funciona sobre TCP (Protocolo de Controle de Transmissão) ou UDP (Protocolo de Datagrama do Usuário) e suporta uma ampla gama de métodos de autenticação, incluindo autenticação PKI baseada em certificados e chaves pré-compartilhadas. Essa flexibilidade o torna ideal para ambientes com requisitos rigorosos de segurança ou infraestrutura PKI existente.
Nos dispositivos Teltonika, OpenVPN está disponível em toda a linha de routers e é totalmente configurável através da interface web do RutOS. Os routers Teltonika podem funcionar como servidor ou cliente OpenVPN, suportando configurações de acesso remoto e site a site. A implementação do RutOS suporta criptografia TLS, compressão LZO e os modos de interface TAP e TUN. Para implementações de maior porte, Teltonika RMS permite enviar configurações OpenVPN para os dispositivos remotamente, sem necessidade de acesso local.
A principal desvantagem do OpenVPN está no seu desempenho. Por ser executado no espaço do usuário em vez do espaço do kernel, sua largura de banda é inferior à do WireGuard em hardware equivalente, um fator importante a considerar para aplicações com alto volume de dados ou dispositivos com recursos limitados. A configuração também é mais complexa, especialmente ao gerenciar certificados.
Para que o OpenVPN é mais indicado?
- conectar os dispositivos Teltonika à infraestrutura de terceiros existente que já executa OpenVPN;
WIREGUARD: RÁPIDO, MODERNO E A MELHOR OPÇÃO PARA NOVOS TÚNEIS
WireGuard é o mais recente dos principais protocolos VPN e representa um avanço significativo tanto em design quanto em desempenho. Seu código-fonte é muito menor que o do OpenVPN (aproximadamente 4000 linhas em comparação com centenas de milhares), o que reduz a superfície de ataque, simplifica a auditoria e contribui para sua maior velocidade.
O desempenho em hardware Teltonika pode ser considerado o mais eficiente em comparação com outros protocolos. WireGuard opera no espaço do kernel em dispositivos baseados em Linux, incluindo os roteadores Teltonika com RutOS, o que resulta em menor latência e maior desempenho para o mesmo hardware. Para aplicações que envolvem monitoramento em tempo real, acesso remoto a HMI ou dados de sensores de alta frequência, a diferença é prática, não teórica.
Além disso, sua configuração é simples. WireGuard utiliza um modelo de chave pública/privada: não requer configuração de nenhuma autoridade certificadora, nem negociação de criptografia, e possui muito menos parâmetros que possam gerar erros. Isso é importante para os engenheiros que implementam VPN em múltiplos dispositivos ou que trabalham com equipes com diferentes níveis de experiência em redes.
Nos dispositivos Teltonika, WireGuard é compatível com todos os roteadores e gateways de última geração que executam RutOS 7 ou superior. Os túneis WireGuard de Teltonika a Teltonika são especialmente fáceis de configurar, e Teltonika RMS pode gerar e enviar configurações de WireGuard para ambas as extremidades do túnel remotamente, eliminando a necessidade de acesso físico durante a configuração. Isso torna o WireGuard o protocolo mais prático para implementações em larga escala gerenciadas via RMS.
Para que o WireGuard é melhor?
- novos deployments de túneis, especialmente de Teltonika para Teltonika;
- Implementações onde o desempenho ou a configuração simplificada são prioridade;
- Configurações em escala de frota gerenciadas via RMS.
ATENÇÃO, Wireguard precisa que uma extremidade do túnel tenha um IP público e acessível pela Internet. Se você busca uma solução onde todas as extremidades possam funcionar sob CG-NAT, pode utilizar um broker intermediário como Netbird ou usar o protocolo Zerotier, também suportado por nossos roteadores, que já incorpora esse elemento central de intermediação.
IPSEC: SEGURANÇA DE NÍVEL EMPRESARIAL E INTEROPERABILIDADE PROFUNDA
IPsec é um conjunto de protocolos que operam na camada de rede, o que significa que protege todo o tráfego IP entre dois pontos finais sem necessidade de realizar alterações no aplicativo. Sua integração no ecossistema de redes empresariais é profunda: praticamente todos os principais firewalls, roteadores e plataformas SD-WAN são compatíveis com IPsec de alguma forma, o que o torna a opção padrão em ambientes que incluem infraestrutura da Cisco, Juniper, Fortinet, Palo Alto ou similares.
Diferentemente do WireGuard ou OpenVPN, IPsec não é um protocolo único, mas sim um framework. Utiliza IKE (Internet Key Exchange) para a negociação e pode operar em modo transporte ou túnel, com uma variedade de conjuntos de criptografia conforme os requisitos de conformidade. Essa flexibilidade é também o que torna sua configuração mais complexa do que as alternativas.
Nos dispositivos Teltonika, IPsec é compatível através da implementação RutOS StrongSwan, que gerencia IKEv1 e IKEv2 e suporta uma ampla gama de métodos de autenticação, incluindo chaves pré-compartilhadas, certificados X.509 e EAP.
Uma consideração prática para implementações Teltonika em conexões celulares é o NAT traversal: dispositivos atrás de um NAT de nível de operadora podem experimentar problemas de compatibilidade com IPsec, e o RutOS inclui suporte integrado para NAT-T (NAT traversal) para resolver isso. Os roteadores Teltonika podem funcionar como iniciadores e respondedores de IPsec, suportando configurações site a site e de acesso remoto.
Para que o IPsec é melhor?
- ambientes empresariais e de operadoras;
- conectar dispositivos Teltonika a infraestruturas de rede de terceiros que exigem IPsec;
- Implementações com requisitos de conformidade que exigem IPsec (IEC 62443, NERC CIP e frameworks similares).
PPTP, L2TP E PROTOCOLOS LEGADOS: QUANDO A COMPATIBILIDADE É PRIORITÁRIA
Os roteadores Teltonika também são compatíveis com PPTP e L2TP, protocolos que não são recomendados para novas implementações. O PPTP, em particular, apresenta vulnerabilidades criptográficas conhecidas: seu mecanismo de autenticação MS-CHAPv2 é criptograficamente vulnerável e, do ponto de vista da segurança, deve ser considerado obsoleto. O L2TP, por si só, não fornece criptografia; normalmente é combinado com IPsec (L2TP/IPsec) para garantir a segurança.
Dito isso, a Teltonika inclui esses protocolos por um motivo. Nem toda a infraestrutura pode ser atualizada rapidamente. Alguns terminais VPN legados, plataformas de provedores de serviços gerenciados antigos e certos sistemas integrados ainda exigem compatibilidade com PPTP ou L2TP. Nesses casos, a capacidade de se conectar onde outros roteadores não conseguem é valiosa do ponto de vista operacional, mesmo que implique aceitar uma desvantagem em termos de segurança que deve estar documentada e ser mitigada em outras camadas.
Nos dispositivos Teltonika, o RutOS oferece os modos cliente e servidor PPTP e L2TP. A plataforma os mostra claramente como opções sem selecioná-los por padrão, e a documentação do RutOS aponta suas limitações.
Para que são mais adequados o PPTP e o L2TP?
- Conexão a infraestruturas legadas que não podem ser atualizadas;
- requisitos de compatibilidade com versões anteriores.
Não é recomendado para nenhuma implementação nova.
COMPARAÇÃO DE PROTOCOLOS VPN: OPENVPN VS WIREGUARD VS IPSEC
| Protocolo | Velocidade | Segurança | Complexidade da configuração | Suporte Teltonika | Melhor caso de uso |
|---|---|---|---|---|---|
| WireGuard | ★★★★★ | ★★★★★ | Baixa | RutOS 7+, todos os roteadores atuais | Novos túneis, Teltonika-para-Teltonika |
| OpenVPN | ★★★☆☆ | ★★★★★ | Média | Todos os roteadores, servidor + cliente | Compatibilidade com terceiros, ambientes PKI |
| IPsec (IKEv2) | ★★★★☆ | ★★★★★ | Alta | StrongSwan, IKEv1 + IKEv2 | Empresa / operador, orientado ao cumprimento regulatório |
| L2TP/IPsec | ★★★☆☆ | ★★★★☆ | Média | Cliente + servidor | sistemas empresariais legados |
| PPTP | ★★★★☆ | ★☆☆☆☆ | Baixa | Cliente + servidor | Apenas compatibilidade com versões anteriores |
VPN RMS: CONECTIVIDADE EM ESCALA DE FLOTA SEM SOBRECARGA DE CONFIGURAÇÃO
RMS VPN é o serviço VPN gerenciado próprio da Teltonika, integrado na plataforma do Sistema de Gestão Remota (RMS) e projetado para situações em que configurar e manter túneis VPN individuais em uma grande quantidade de dispositivos é pouco prático. Ao contrário dos protocolos mencionados anteriormente, o RMS VPN não é um protocolo em si, mas uma camada de serviço que usa OpenVPN internamente, simplificando a configuração.
O serviço conta com dois modos principais: VPN Hubs e Quick Connect. Os VPN Hubs agrupam vários dispositivos Teltonika e terminais de usuário em uma rede virtual compartilhada, permitindo comunicação LAN a LAN e acesso simultâneo a múltiplos dispositivos, com rotas escaneadas automaticamente ou configuradas manualmente, e um aplicativo VPN RMS dedicado para uma conexão com um clique.
Quick Connect é a opção mais rápida e leve para situações onde a velocidade de configuração é mais importante que uma rede em malha completa para múltiplos dispositivos. Nenhum dos modos requer IP estático, o que torna o RMS VPN especialmente prático para implementações celulares. Inclui funções de monitoramento de uso de dados, registros de conexão e visibilidade da sessão para auditorias e solução de problemas em grandes frotas.
Para que o RMS VPN é melhor?
- Desdobramentos em grande escala ou em redes celulares onde a configuração de VPN por dispositivo é pouco prática.
- Acesso remoto rápido e de baixo consumo aos dispositivos e seus equipamentos LAN conectados.
- Acesso multiponto sem endereços IP estáticos
CONCLUSÃO
Os roteadores Teltonika são compatíveis com todo o espectro de protocolos VPN, desde WireGuard e IPsec para ambientes modernos até PPTP e L2TP para ambientes legados. Para novas implementações, especialmente entre dispositivos Teltonika, o WireGuard oferece a melhor combinação de desempenho, segurança e facilidade de configuração. Para infraestruturas existentes, a gama de protocolos da Teltonika garante uma conexão sem limitações.
Para implementações em grande escala ou instalações celulares sem endereços IP estáticos, o RMS VPN oferece uma alternativa gerenciada que elimina completamente a sobrecarga de configuração por dispositivo, com VPN Hubs para redes persistentes de múltiplos endpoints e Quick Connect para um acesso remoto rápido e leve.
A gestão da VPN em múltiplos dispositivos é realizada através do Teltonika RMS, que fornece configuração centralizada, monitoramento do status e acesso remoto sem necessidade de IP estático.
Descubra toda a linha de roteadores Teltonika. ou visite a Wiki da Teltonika para obter guias passo a passo de configuração VPN para cada protocolo.