O que é VPN? Como funciona e quando ainda faz sentido

VPN é, provavelmente, o termo mais mal explicado da segurança digital. Metade do que se lê sobre o assunto vem de anúncio de fornecedor prometendo anonimato, e a outra metade trata a VPN corporativa como se fosse a mesma coisa que a de consumidor — quando os dois produtos têm objetivos praticamente opostos.

Vale começar pelo que ela realmente é, sem promessa: uma VPN cria um túnel cifrado entre o seu dispositivo e uma rede remota, fazendo o seu tráfego sair de lá em vez de sair de onde você está.

Todo o resto — segurança, privacidade, acesso — é consequência disso, e cada consequência tem limite.

A tese em uma frase: VPN não é uma camada de segurança, é uma mudança de topologia — e o problema da VPN corporativa não é a criptografia dela, é que ela concede a rede inteira quando quase sempre bastaria conceder um sistema.

Como funciona, sem mistério

O cliente autentica no concentrador, os dois estabelecem um canal cifrado e, a partir daí, cada pacote da sua máquina é encapsulado — vira carga dentro de outro pacote, que viaja cifrado até o outro lado. Lá ele é desempacotado e segue como se tivesse nascido naquela rede.

É por isso que, conectado à VPN da empresa, você acessa o servidor de arquivos como se estivesse na mesa do escritório: para a rede de destino, você está ali. E é por isso que, conectado a uma VPN de consumidor com saída em outro país, os sites acham que você está naquele país.

Os protocolos que importam hoje são WireGuard (moderno, enxuto, rápido, base da maioria dos serviços novos), OpenVPN (maduro, flexível, mais pesado) e IPsec/IKEv2 (padrão de mercado em concentradores corporativos). Protocolos antigos como PPTP não devem ser usados — a criptografia deles está quebrada há anos.

Os dois produtos que dividem o mesmo nome

Confundir os dois leva a conclusões erradas nos dois sentidos: gente que acha que a VPN da empresa protege a privacidade pessoal, e gente que acha que uma VPN comercial dá acesso a sistema interno.

O que a VPN de consumidor não faz

Aqui vale desmontar o marketing, porque a promessa vendida é maior do que a entrega.

Não dá anonimato. Você deixa de ser observado pelo provedor de internet e passa a ser observado pelo operador da VPN. É uma troca de confiança, não uma eliminação. E ela é significativa: um serviço gratuito precisa se pagar de alguma forma, e o produto mais óbvio à venda são os seus dados de navegação.

Não impede rastreamento comercial. Cookies, login nas suas contas e impressão digital do navegador identificam você independentemente do IP. Fazer login no Google conectado a uma VPN não engana ninguém.

Não protege contra malware nem phishing. O túnel transporta o que vier, inclusive o que for ruim. Isso é trabalho de EDR e de DNS seguro.

E sobre Wi-Fi público: o conselho clássico envelheceu. Com HTTPS praticamente universal, o conteúdo já viaja cifrado mesmo numa rede hostil. A VPN ainda esconde quais domínios você acessa e protege aplicativos mal configurados, mas o risco de 2026 migrou para phishing e roubo de sessão — territórios em que a VPN não atua.

Casos em que ela continua fazendo sentido: acessar conteúdo restrito por região, evitar que o provedor monte perfil de navegação, e trabalhar sob rede que inspeciona ou censura tráfego.

Por que a VPN corporativa virou vetor de ataque

Esta é a parte que interessa a quem administra rede, e ela é desconfortável.

Ela é exposta à internet por definição. Para ser alcançável de fora, o concentrador precisa estar publicado. É um serviço permanentemente visível para o mundo inteiro.

Ela concede demais. O modelo clássico autentica uma vez e coloca o usuário dentro da rede. Depois disso, ele alcança tudo que a rede alcança. Uma credencial comprometida não dá acesso a um sistema — dá o mapa inteiro para explorar. É exatamente a "confiança implícita" que o Zero Trust ataca.

E o histórico de vulnerabilidades é ruim. Concentradores de VPN dos principais fabricantes acumulam CVEs críticas, frequentemente exploradas em massa antes de as empresas aplicarem o patch. Não é coincidência: é um alvo de altíssimo valor, exposto, e cujo patch exige janela de manutenção que derruba o acesso remoto de todo mundo — então costuma esperar.

O resultado é previsível. Credencial de VPN sem MFA segue como um dos vetores iniciais mais usados em ransomware, e o DBIR mais recente registrou a exploração de vulnerabilidade ultrapassando credencial roubada como vetor inicial número um.

Se você opera uma VPN corporativa, o mínimo defensável:

• MFA obrigatório, sem exceção — inclusive para fornecedor e para conta de serviço.
• Patch do concentrador tratado como emergência, não como manutenção comum. Este é o equipamento em que atrasar duas semanas custa a empresa.
• Segmentar o que a VPN alcança. Quem entra por VPN não deveria enxergar a rede toda — o mecanismo está no post sobre VLAN.
• Acesso nominal e com validade. Nada de credencial compartilhada com integrador, e revisão semestral de quem ainda precisa.
• Registrar e monitorar as sessões. Login de VPN em horário estranho, de país incomum, é um dos alertas mais acionáveis que existem.

ZTNA: o que vem no lugar

O ZTNA (Zero Trust Network Access) inverte a lógica: em vez de conectar o usuário à rede, ele conecta o usuário a uma aplicação específica, depois de verificar identidade, postura do dispositivo e contexto — e reavalia isso durante a sessão, não só na entrada.

A diferença aparece no dia ruim. Com VPN, uma credencial comprometida entrega a rede para explorar. Com ZTNA, entrega um sistema, e o resto permanece invisível — não inacessível, invisível, o que é melhor, porque o invasor não sabe o que procurar.

Isso não torna a VPN obsoleta da noite para o dia. Ela continua sendo o caminho mais simples para acesso administrativo pontual, para conectar filiais e para cenários em que instalar um agente por aplicação não compensa. O que mudou é o padrão: conceder a rede inteira deixou de ser um default defensável.

O ponto que fica

VPN resolve um problema real e bem definido: fazer o seu tráfego chegar a uma rede da qual você está fisicamente distante. Ela faz isso bem, com criptografia sólida, há décadas.

O que ela nunca fez é o que costuma ser vendido — anonimato, proteção contra malware, segurança por si só. E o que ela faz bem demais, no caso corporativo, é conceder alcance: o túnel é seguro, e o problema mora do outro lado dele.

Se você administra uma, a pergunta útil não é se a criptografia está boa. É: quando uma credencial de VPN for comprometida — e uma vai —, quanto da minha rede o invasor alcança? Se a resposta for "quase tudo", o trabalho é segmentar ou migrar para ZTNA, não trocar de protocolo.