VPN de entrada no Windows ou um servidor OpenVPN: escolha em cinco minutos

O Windows pode aceitar uma ligação VPN sem nada instalado além do sistema operativo, e isso ajuda mesmo quando duas máquinas que possui precisam de um túnel durante uma tarde. Mantém-se útil mais ou menos esse tempo. O ouvinte integrado tem um menu de protocolos fixo, nenhuma política por cliente e uma dependência de um ambiente de trabalho que alguém pode fechar. Escolher entre ele, um ponto final no router e um servidor OpenVPN resume-se a três condições e não a preferência.

O que é realmente o ouvinte integrado

O assistente de ligação de entrada transforma uma estação de trabalho num pequeno ponto final de acesso remoto. Escolhe que contas locais podem ligar, como são distribuídos os endereços e que protocolo está activo: PPTP, além de L2TP/IPsec ou SSTP onde a edição e o trabalho com certificados os suportem.

O que não é é uma camada de políticas. Não há atribuição de rotas por utilizador, nem túnel dividido imposto pelo servidor, nem separação entre o túnel e a identidade de rede própria da estação. Um cliente que se liga aterra no mesmo segmento da estação, sob as regras de firewall desse segmento.

É este último ponto que é preciso pesar. As portas, as partilhas e o navegador da estação estão agora ao alcance de quem tiver a conta, e a conta é uma conta local do Windows com tudo o resto que já consegue fazer.

Três condições que decidem

Pergunte quanto tempo o acesso tem de durar, quantas pessoas precisam dele e se a rede consegue sequer entregar o protocolo.

Se a resposta for uma máquina, uma pessoa e umas horas numa rede onde controla o router, o ouvinte integrado é proporcionado. Se o acesso tiver de sobreviver a reinícios durante um mês, servir cinco colegas com credenciais separadas ou funcionar a partir de uma rede móvel que não pode receber ligações de entrada, não é. Se o protocolo exigir o protocolo IP 47 em vez de uma porta, a rede pode recusar-se a entregá-lo, independentemente do que o Windows suporta.

Estas três respostas eliminam a maior parte da discussão numa só passagem. O resto é detalhe de implementação.

Onde ganha um ponto final no router

Um túnel terminado no router é a escolha natural para acesso permanente. O router já está sempre ligado, consegue transportar um túnel entre locais até outro escritório, e os clientes não precisam de nada instalado se o router oferecer o protocolo que usam.

A limitação é o firmware. Os routers de consumo suportam frequentemente apenas uma parte do que a especificação permite, e um modelo que anuncia suporte de VPN pode não incluir exactamente o que tinha planeado. Verifique a lista de funções do firmware instalado, não a da família de produtos.

Onde ganha um servidor OpenVPN

Um servidor OpenVPN numa máquina pequena sempre ligada serve clientes heterogéneos, vários utilizadores com credenciais separadas e redes onde uma única porta amigável de saída é a diferença entre funcionar e ficar bloqueado. Emite um perfil por cliente, corre em todas as plataformas principais e, do lado do cliente, comporta-se como uma aplicação de saída comum.

Também pede um proprietário. Alguém tem de renovar certificados, aplicar actualizações do servidor e ler o registo quando um cliente não consegue ligar-se. Sem essa pessoa, um ponto final auto-alojado degrada-se em silêncio até ao dia em que importa.

Verifique o caminho antes de prometer acesso

A razão mais comum para um ouvinte do Windows falhar não é a autenticação. É o caminho: o PPTP precisa de TCP 1723 de entrada e de GRE, que é o protocolo 47 e não uma porta, e muitos routers só reencaminham portas. Algumas redes de acesso não permitem qualquer ligação de entrada. Esse único facto exclui o ouvinte integrado em mais redes do que qualquer definição do Windows.

Teste o caminho antes de configurar contas, para que uma falha tenha um único candidato em vez de três:

Test-NetConnection -ComputerName 203.0.113.45 -Port 1723
Get-NetAdapterBinding | Where-Object ComponentID -like ms_pptp
ss -lunp | grep 1194

Uma porta fechada na primeira linha é um problema de reencaminhamento ou da operadora, não do Windows. A terceira linha é a verificação que faria depois de escolher OpenVPN, onde uma única porta UDP à escuta substitui toda a questão do protocolo.

Seja qual for a opção, não deixe o PPTP virado para a internet como solução de longo prazo; a autenticação e a cifra estão obsoletas. E se a necessidade real for uma única aplicação web, um proxy inverso é uma resposta mais pequena do que qualquer VPN.