A pergunta certa não é se você usa RDP ou VPN, é quanto da rede cada pessoa precisa enxergar. Se alguém precisa de um sistema só, publique aquele recurso por um gateway com segundo fator. Se precisa circular por vários sistemas e pastas, aí a VPN faz sentido. O que nunca deve existir é serviço administrativo publicado direto na internet, sem nada na frente. E os dois caminhos exigem os mesmos controles em volta.
Abaixo você vê em que situação cada caminho serve, quais riscos cada um carrega, por que a VPN não é automaticamente segura e os controles que precisam existir independentemente da escolha.
Sumário
O problema não é o RDP, é o RDP exposto
Vale começar desfazendo uma simplificação comum. Dizer que “RDP é inseguro e VPN é segura” não descreve o problema real. O acesso remoto por RDP é uma tecnologia de administração como outra qualquer, e o risco depende de como ela é publicada e do que existe em volta.
O que é de fato perigoso é encaminhar a porta padrão do RDP direto do roteador para um servidor interno, deixando-o respondendo a qualquer requisição vinda da internet. Nesse arranjo, varreduras automatizadas encontram o serviço rapidamente e começam as tentativas sucessivas de adivinhar senha, o ataque de força bruta clássico. Sem bloqueio após tentativas erradas e sem segundo fator, é questão de tempo.
Existe um caminho intermediário que muita empresa desconhece. A documentação da Microsoft sobre a função de Gateway de Área de Trabalho Remota descreve que ela permite conexões seguras e criptografadas com os recursos de serviços de área de trabalho remota pela internet, e que com ela os usuários acessam recursos internos de locais remotos sem a necessidade de uma VPN. A própria página recomenda o uso de certificado emitido publicamente, já que a função é projetada para ficar exposta.
Ou seja: usar área de trabalho remota através de um gateway, com certificado válido e segundo fator, é uma arquitetura legítima. O que precisa acabar é a publicação direta do serviço, sem intermediário.
Quando cada caminho faz sentido
A escolha se resolve por uma pergunta: quanto da rede essa pessoa precisa enxergar para trabalhar? Quanto menor a resposta, menor o estrago se a conta dela for comprometida.
|
Situação |
Caminho que costuma servir |
Por quê |
O que ainda precisa existir |
|---|---|---|---|
|
Um sistema específico, poucos usuários |
Publicação do recurso por gateway, sobre conexão cifrada |
Entrega o recurso, e não a rede inteira |
Segundo fator, registro de acesso e certificado válido |
|
Vários sistemas e pastas de rede, uso diário |
VPN |
A pessoa precisa mesmo enxergar a rede interna |
Segundo fator, segmentação e máquina sob gestão da empresa |
|
Fornecedor ou consultor que precisa entrar |
Acesso publicado, restrito ao necessário e com prazo |
Menor alcance possível, por tempo determinado |
Conta nominal separada, validade definida e registro de tudo |
|
Filial fixa com vários usuários |
Túnel permanente entre os dois locais |
Liga as redes de forma estável, sem depender do usuário |
Segmentação entre as filiais, para o problema não se espalhar |
|
Acesso administrativo a servidor |
Nunca direto da internet |
É o alvo prioritário das varreduras automatizadas |
Entrada por um ponto controlado, com segundo fator e registro |
A diferença central entre as duas primeiras linhas é o alcance. A VPN entrega a rede, e por isso é a escolha certa para quem circula por vários recursos. A publicação por gateway entrega um recurso específico, e por isso limita o estrago quando algo dá errado. Não é que uma seja segura e a outra não, é que elas resolvem problemas diferentes.
A VPN também não é automaticamente segura
Aqui mora o engano mais caro. Instalar uma VPN e considerar o assunto resolvido cria uma falsa sensação de proteção, porque a VPN faz uma coisa só: cria um caminho cifrado entre o usuário e a rede. Ela não pergunta se quem está do outro lado deveria estar ali.
Três problemas aparecem com frequência:
-
VPN sem segundo fator é uma senha só. Se a credencial vazou, o criminoso entra pelo túnel cifrado com todo o conforto. A criptografia protege o trajeto, não a identidade de quem entra.
-
A VPN costuma dar acesso à rede inteira. Sem segmentação, quem entra para usar um sistema enxerga o servidor de arquivos, o banco de dados e as estações dos outros. É o que transforma uma conta comprometida em incidente grande.
-
O concentrador de VPN também fica exposto. Ele precisa responder na internet para funcionar, o que significa que ele próprio precisa de atualização em dia, bloqueio após tentativas e acompanhamento. Já houve casos conhecidos de falhas exploradas justamente nesses equipamentos.
A conclusão prática: comparar RDP com VPN é comparar coisas de camadas diferentes. O que separa um acesso remoto seguro de um frágil não é a sigla escolhida, é o conjunto de controles que existe em volta dela.
Os controles que valem para qualquer caminho
Esses cinco valem tanto para o cenário de gateway quanto para o de VPN, e é a ausência deles que cria o risco.
-
Segundo fator de autenticação, sem exceção. É o controle de maior efeito no acesso remoto, porque tira o valor da senha vazada. Preferir aplicativo autenticador a código por mensagem de texto. Mais sobre como o MFA funciona.
-
Bloqueio depois de tentativas erradas. Sem isso, a tentativa automatizada continua indefinidamente. Com isso, ela morre nas primeiras tentativas.
-
Restrição de origem. Se ninguém da empresa acessa de fora do país, bloquear origens externas reduz muito o volume de tentativas. É uma regra simples no firewall e costuma não estar ativa.
-
Segmentação da rede interna. Separar servidores críticos das estações limita até onde alguém consegue chegar depois de entrar. Serve igualmente para VPN e para acesso publicado.
-
Registro e acompanhamento dos acessos. Guardar quem entrou, de onde e quando é o que permite descobrir um acesso estranho antes que vire problema, e reconstruir o que aconteceu depois.
Modelos como o Zero Trust levam essa lógica adiante, validando não só a identidade do usuário mas também a situação do dispositivo a cada conexão. Para uma empresa de porte médio, adotar o princípio já ajuda mesmo sem implantar a arquitetura completa: tratar toda conexão como não confiável até prova em contrário, inclusive as que vêm de dentro.
O computador de casa faz parte da conta
Toda a discussão anterior trata do caminho. Falta o outro lado dele, que costuma ficar de fora do projeto: a máquina de onde a pessoa acessa.
Um túnel cifrado com segundo fator conectando um computador doméstico infectado à rede da empresa faz exatamente o que foi pedido: leva o problema para dentro, com segurança. O controle do caminho não resolve a origem.
-
Máquina da empresa sempre que possível. É o arranjo mais simples de sustentar, porque a atualização, o antivírus e a configuração ficam sob controle de quem responde pela segurança.
-
Se for computador pessoal, defina o mínimo. Sistema atualizado, proteção ativa e usuário separado do resto da família. Escrever isso e comunicar já muda o cenário na maioria das empresas.
-
Cuidado com o acesso a partir de rede pública. O túnel protege o tráfego, mas a máquina segue exposta ao que estiver naquela rede.
Para orientar a equipe com linguagem simples, o CERT.br, mantido pelo NIC.br, publica fascículos gratuitos, entre eles um dedicado a trabalho remoto, que serve bem como base para o material interno da empresa.
Como a HLTI monta esse acesso
O trabalho começa por um levantamento que quase ninguém faz: quem precisa acessar o quê, de onde e com que frequência. É esse mapa que define se o caso pede publicação de recurso, VPN ou uma combinação dos dois, em vez de aplicar a mesma solução para todo mundo.
Depois vem a checagem do que já existe: se há alguma porta publicada direto na internet, se o segundo fator está ativo para todos ou só para alguns, se há bloqueio após tentativas erradas, como está a segmentação interna e o que está sendo registrado. Esse retrato costuma revelar acesso amplo demais concedido anos atrás para resolver uma urgência e nunca revisto.
A implantação usa o firewall appliance para as regras de borda, incluindo restrição por origem, e a VPN empresarial onde ela é o caminho certo. O acompanhamento depois é contínuo, com NOC 24×7, e casos críticos têm resposta em até 1 hora e resolução em até 4 horas em contrato. O suporte não tem multa de fidelidade: para encerrar, bastam 30 dias de aviso prévio.
Conclusão
Acesso remoto seguro não se resolve escolhendo entre RDP e VPN. Resolve-se decidindo quanto da rede cada pessoa precisa enxergar e colocando os mesmos controles em volta de qualquer caminho: segundo fator, bloqueio após tentativas, restrição de origem, segmentação e registro de acessos.
Vale repetir o que costuma ser dito de forma simplificada por aí. O RDP através de um gateway, com certificado válido e segundo fator, é arquitetura legítima, e a própria Microsoft documenta esse caminho como alternativa à VPN. A VPN, por sua vez, não é segura por si só: sem segundo fator e sem segmentação, ela apenas entrega a rede inteira de forma cifrada.
A HLTI atua há mais de 34 anos em TI, com mais de 175 empresas atendidas e 700 projetos entregues, desenhando acesso remoto conforme a necessidade real de cada equipe e sem multa de fidelidade. Se você não sabe dizer hoje quem acessa o quê de fora da empresa, faça o diagnóstico gratuito da sua infraestrutura.
Perguntas Frequentes
RDP é inseguro e VPN é segura?
Não é tão simples. O risco depende de como cada tecnologia é publicada e dos controles em volta. RDP exposto direto na internet, sem nada na frente, é de fato perigoso. Já o RDP através de um gateway, com certificado válido e segundo fator, é uma arquitetura legítima, documentada pela própria Microsoft como alternativa à VPN. E uma VPN sem segundo fator e sem segmentação entrega a rede inteira a quem tiver a senha.
Quando usar VPN e quando publicar apenas o sistema?
Depende de quanto da rede a pessoa precisa enxergar. Se ela usa um sistema específico, publicar aquele recurso por um gateway limita o alcance e reduz o estrago caso a conta seja comprometida. Se ela circula por vários sistemas e pastas de rede no dia a dia, a VPN é o caminho adequado, desde que acompanhada de segundo fator e segmentação interna.
Quais controles precisam existir independentemente do caminho escolhido?
Segundo fator de autenticação para todos, bloqueio de conta após tentativas erradas, restrição das origens que podem se conectar, segmentação da rede interna para limitar até onde alguém chega depois de entrar, e registro dos acessos para permitir detectar e reconstruir o que aconteceu. A ausência desses controles é o que cria o risco, mais do que a tecnologia escolhida.
Como a HLTI define a arquitetura de acesso remoto de uma empresa?
A HLTI levanta quem precisa acessar o quê, de onde e com que frequência, e a partir desse mapa define se o caso pede publicação de recurso, VPN ou os dois. Em seguida verifica o que já existe hoje: portas publicadas diretamente, cobertura do segundo fator, bloqueio após tentativas, segmentação interna e o que está sendo registrado, corrigindo os pontos abertos com acompanhamento contínuo e SLA em contrato.
Com mais de 30 anos de experiência acumulada, me especializei em tecnologia da informação, com foco em arquiteturas seguras para infraestruturas locais, em nuvem e híbridas. Acredito que o sucesso é construído em conjunto; o compartilhamento de ideias, visões e conhecimentos entre as pessoas é fundamental para impulsionar o crescimento, promover o aprendizado contínuo e desenvolver soluções mais eficazes e equilibradas.
