Guia Definitivo: Como Configurar uma VPN Segura no TP-Link ER605 com Dual WAN e DDNS
A demanda por trabalho remoto transformou a forma como as empresas acessam seus dados. Para escritórios e contabilidades que possuem um servidor de arquivos local, liberar esse acesso para os funcionários em casa exige estabilidade e, acima de tudo, segurança.
Neste guia, vamos configurar uma VPN Client-to-Site utilizando o protocolo OpenVPN no roteador TP-Link ER605 (em modo Standalone). O grande diferencial deste cenário é a presença de dois links de internet (Dual WAN) com IPs dinâmicos, exigindo uma configuração inteligente de DDNS e roteamento para garantir que a VPN nunca caia, mesmo se o link principal falhar.
Fase 1: Preparando a "Estrada" (Roteamento e DMZ)
Quando ligamos o roteador TP-Link atrás dos modems das operadoras (ex: Vivo e Claro), geralmente entramos em um cenário de Duplo NAT. A internet da rua bate no modem da operadora e para ali, sem chegar ao TP-Link. Precisamos abrir esse caminho.
1. Fixe os IPs das portas WAN no TP-Link:
Vá em Network > WAN.
Na WAN1, mude para Static IP (IP Estático). Coloque um IP na mesma faixa do seu modem 1 (ex: 192.168.15.200 para Vivo).
Na WAN2, faça o mesmo para o modem 2 (ex: 192.168.0.200 para Claro).
2. Configure as DMZs nos modems das operadoras:
Acesse a interface do modem da sua operadora.
Procure por DMZ (geralmente em Firewall ou Forwarding) e aponte para o IP que você fixou no TP-Link no passo anterior. Isso fará com que o modem repasse todo o tráfego externo direto para o seu roteador.
⚠️ Atenção ao CGNAT! Verifique se o IP que a sua operadora entrega no modem começa com 100.64.x.x até 100.127.x.x. Se sim, a sua internet está em CGNAT (as portas são bloqueadas no provedor). Você precisará ligar na operadora e solicitar um IP Público Dinâmico (ou "Saída do CGNAT") para a VPN funcionar.
Fase 2: O Domínio Inteligente (Custom DDNS)
Como os IPs das operadoras mudam constantemente e temos dois links, precisamos de um endereço fixo (ex: empresa.ddns.com.br) que o funcionário possa usar. Vamos usar um serviço DDNS (como o Winco DDNS, No-IP ou DuckDNS).
Aqui resolveremos o problema do roteador enviar o seu IP Privado da porta WAN em vez do IP Público da internet:
No menu do TP-Link, vá em Services > Dynamic DNS e escolha a aba Custom DDNS.
No campo Update URL (no topo da tela), insira a URL de atualização do seu provedor de DDNS.
O Pulo do Gato: Remova o parâmetro que envia o IP local (ex: remova &myip=[IP]). Deixe que o servidor DDNS descubra o IP real automaticamente pela conexão.
Exemplo Winco: http://[USERNAME]:[PASSWORD]@members.ddns.com.br/nic/update?hostname=[DOMAIN]
Clique em Save.
Na tabela de baixo, clique em Add e preencha com seus dados do DDNS (Interface principal, Domínio, Senha, e defina o intervalo de atualização para algo curto, como 1 hora ou menos).
Fase 3: Criando o Servidor VPN
Agora vamos levantar o serviço que receberá as conexões de fora.
1. Crie o Pool de IPs:
Vá em Preferences > VPN IP Pool e clique em Add.
Crie uma faixa de IP exclusiva para a VPN (ex: 192.168.50.1 a 192.168.50.50).
Regra de Ouro: Essa faixa não pode ser a mesma usada pela rede local da empresa.
2. Ative o OpenVPN:
Vá em VPN > OpenVPN > OpenVPN Server e clique em Add.
Protocol / Port: Selecione UDP na porta 1194.
Local Network: Coloque a rede onde seu servidor de arquivos está (ex: 192.168.10.0 com máscara 255.255.255.0).
IP Pool: Insira a rede que criamos no passo anterior (ex: 192.168.50.0).
WAN: Selecione a porta principal ou ALL.
Salve a configuração.
3. O Truque da Exportação:
Na lista de servidores criados, clique no botão Export para baixar o arquivo .ovpn.
Abra este arquivo no Bloco de Notas.
Encontre a linha que começa com remote. Substitua o número do IP que estiver ali pelo seu domínio DDNS.
Ficará assim: remote empresa.ddns.com.br 1194. Salve o arquivo.
4. Cadastre os Usuários:
Vá em VPN > Users e clique em Add.
Crie um login e senha para cada funcionário. Em VPN Type, não se esqueça de selecionar OpenVPN.
Fase 4: Na Casa do Colaborador
O trabalho de infraestrutura está pronto. O que o cliente precisa fazer em casa:
Baixar e instalar o aplicativo OpenVPN Connect no computador.
Abrir o programa, ir na aba File (Arquivo) e importar aquele arquivo .ovpn que editamos no bloco de notas.
Digitar o usuário e a senha criados no roteador e clicar em Conectar.
Quando o ícone ficar Verde, a pessoa já está dentro da rede da empresa! Para acessar os arquivos, basta abrir o Windows Explorer e digitar o IP do servidor local na barra de endereços (ex: \\192.168.10.100).
Fase Bônus: A Realidade sobre Segurança e Ransomware
A VPN cria um túnel seguro para evitar que a internet espione os dados da sua empresa. Porém, a VPN não filtra vírus.
Se o computador pessoal do funcionário em casa estiver infectado com um Ransomware e ele conectar na VPN da empresa, o vírus usará esse túnel para invadir o servidor de arquivos, criptografar tudo e pedir resgate.
Para blindar a sua implantação, exija 3 regras do cliente:
Permissões Restritas: O servidor Windows nunca deve ter pastas com acesso liberado para todos (Controle Total). O funcionário deve ter acesso apenas às pastas essenciais para o trabalho dele.
Endpoint Protection: Computador que conecta na VPN precisa ter um antivírus pago e gerenciado rodando em segundo plano.
Backup Imutável (A Salvação): Faça backup diário do servidor em uma nuvem isolada ou em um NAS que não aceite exclusão de arquivos. Se o pior acontecer, você só formata o servidor e puxa o backup de ontem.
Comentários