Configurar servidores VPN por agente (VPN direta)

Uma VPN direta de instalação é um túnel dedicado entre o Mirox-Agent de uma única instalação e o próprio router dessa instalação — a ferramenta certa quando uma instalação já executa a sua própria VPN, ou quando pretende que a Mirox aloje uma VPN para a qual o router da instalação se liga. Ao contrário da VPN pessoal, que dá a cada utilizador um perfil que alcança todas as instalações autorizadas, uma VPN direta é um túnel de infraestrutura por instalação que configura uma vez e sobre o qual circula todo o tráfego da equipa para essa instalação.

As VPNs diretas são configuradas a partir da página Rede de uma instalação, no separador VPN do local. A página Rede tem cinco separadores: Vista geral (o pipeline de ligação), Dispositivos de rede, VPN do local (este guia), Peers (apresentado quando uma VPN alojada tem mais do que um local a ligar-se) e Registo de acesso.

Abrir na Mirox

Abra o separador VPN do local da instalação. Na aplicação, é a página Rede da instalação, separador VPN do local.

Quando usar uma VPN direta

Recorra a uma VPN direta quando a conectividade da instalação não se enquadra no modelo padrão de VPN pessoal:

O router da instalação já aloja o seu próprio servidor VPN. Tem um ficheiro de configuração (WireGuard .conf) ou um perfil OpenVPN (.ovpn) e quer que a Mirox se ligue a ele.
O router da instalação só consegue iniciar ligações para o exterior, não aceitar ligações de entrada. A Mirox aloja o endpoint VPN e o router liga-se a ele.
Quer um túnel sempre ativo para toda a instalação em vez de cada utilizador transportar um perfil pessoal.

Para o trabalho técnico diário em várias instalações — abrir interfaces web de dispositivos, executar ferramentas de diagnóstico — a VPN pessoal e o Proxy do navegador são normalmente a melhor opção. A tabela abaixo resume a distinção; a comparação completa encontra-se na página da funcionalidade VPN.

Ferramenta	O que é	Quem a configura
VPN pessoal	Um perfil pessoal que alcança todas as instalações para as quais está autorizado	Cada utilizador, dentro das suas permissões
VPN direta (este guia)	Um túnel por instalação entre o agente da instalação e o seu router	Um Moderador ou Administrador da organização da instalação
Proxy do navegador	Abrir a interface web de um dispositivo a partir do navegador, sem instalar cliente	O operador da instalação

As duas direções

Uma VPN direta pode funcionar numa de duas direções. O assistente de configuração pergunta isto primeiro, em Onde fica o servidor VPN?

Nota: as linhas tracejadas indicam a direção da ligação — só uma direção se aplica por VPN direta.

Ligação de saída — a Mirox liga-se ao router da instalação. O router da instalação executa o seu próprio servidor VPN; o Mirox-Agent liga-se como cliente. O cartão apresenta a etiqueta Cliente. Escolha esta opção quando já tiver um ficheiro de configuração ou credenciais para a VPN do router.
Alojado aqui — o router da instalação liga-se à Mirox. A Mirox executa o servidor VPN; o cartão apresenta a etiqueta Servidor. O endpoint (um endereço e uma porta por instalação), as chaves e os certificados são gerados pela Mirox e entregues para serem carregados no router da instalação. Escolha esta opção quando o router consegue iniciar ligações para o exterior mas não consegue aceitar ligações de entrada.

Os três protocolos — OpenVPN, WireGuard e IPsec (IKEv2) — estão disponíveis em ambas as direções, mas a escolha certa difere consoante a direção: ver Escolher o tipo de VPN mais abaixo. Uma instalação pode alojar um servidor por variante de protocolo em simultâneo — WireGuard, OpenVPN sobre UDP, OpenVPN sobre TCP e IPsec — e pode executar qualquer número de ligações de saída em paralelo.

Escolher o tipo de VPN

A Mirox fala três protocolos de túnel — OpenVPN, WireGuard e IPsec (IKEv2) — e o assistente mostra-os lado a lado com o que fala a favor e contra cada um. Qual deles é recomendado depende da direção escolhida, e a etiqueta «Recomendado» acompanha essa escolha. Não é uma questão de gosto: cada direção coloca a parte frágil da ligação num lado diferente do túnel.

A parte frágil é quem resolve o endereço da outra ponta, e com que frequência. A Mirox corre em várias regiões de centros de dados e o endpoint VPN de uma instalação pode mudar de região durante um failover. Um cliente que volta a resolver o nome DNS do servidor em cada religação acompanha essa mudança sozinho; um cliente que o resolveu apenas uma vez no arranque continua a marcar um endereço que já não responde.

Que protocolo de VPN devo escolher?

Num relance — o detalhe específico por direção segue mais abaixo. A opção recomendada depende da direção que escolher, mas o caráter de cada protocolo é o mesmo em ambos os casos:

Protocolo	Uso típico	Funciona sobre
WireGuard	A opção leve e moderna — a mais rápida de configurar, um par de chaves por lado e sem certificados. Boa escolha para uma instalação recém-construída, ou sempre que a gestão de certificados seja o obstáculo.	IPv4, IPv6 ou ambos
OpenVPN	O universal — suportado por praticamente qualquer router, incluindo firmware com muitos anos. A opção segura por omissão quando a Mirox aloja o servidor.	IPv4, IPv6 ou ambos
IPsec (IKEv2)	O padrão industrial e, muitas vezes, o único protocolo que um router ou firewall industrial oferece (Cisco, Lancom, Fortigate).	IPv4 ou IPv6

IPv4 ou IPv6? Um túnel funciona sobre IPv6 tão bem como sobre IPv4 e, quando a Mirox aloja o servidor, ambos são publicados por predefinição. Consulte Versão de IP para saber o que alterar e quando. Numa ligação de saída não há nada a escolher — o túnel segue o endereço do servidor no parque.

Versão de IP

A Mirox publica no DNS o endereço do túnel. Num VPN alojado, é você que decide quais registos são publicados:

Definição	O que é publicado	Quando usar
IPv4 + IPv6 (predefinição)	Um registo A e um registo AAAA	Quase sempre. O router usa aquele que conseguir.
Apenas IPv4	Um registo A	O parque não tem IPv6 funcional, ou o seu router recusa túneis IPv6.
Apenas IPv6	Um registo AAAA	O parque é acessível por IPv6 e não se pretende IPv4.

Manter ambos os registos online é o que dá a maior compatibilidade, e é por isso que IPv4 + IPv6 vem pré-selecionado. Um router com IPv6 funcional normalmente escolhe o registo AAAA — é o comportamento normal de uma pilha IP que tem ambos — e um router apenas com IPv4 escolhe o registo A. Em nenhum dos casos é preciso configurar seja o que for no parque.

Publicar ambos não é uma alternativa automática no WireGuard

Um cliente WireGuard resolve o endereço apenas uma vez, ao iniciar o túnel, e não tenta a outra família se essa tentativa falhar. Por isso, um router cujo IPv6 existe mas está avariado pode escolher o registo AAAA e ficar em baixo — publicar ambos os registos não o salva. É precisamente para isso que serve Apenas IPv4. O OpenVPN comporta-se de outra forma: percorre os endereços que resolveu e recupera sozinho.

IPsec (IKEv2) oferece apenas IPv4 ou IPv6, nunca ambos: uma ligação IKE usa uma família de endereços de cada vez.

Onde encontrar. Como a predefinição é a certa para quase todos os parques, a definição não faz parte do percurso inicial do assistente no WireGuard e no OpenVPN — abra Mostrar opções avançadas no passo de configuração. O IPsec pergunta diretamente, por não ter um "ambos" a que recorrer. Num VPN existente está no topo de Editar → Configuração. Alterá-la mais tarde não perturba os túneis já estabelecidos.

IPv6 dentro do túnel

A definição acima decide que família transporta o pacote cifrado até à instalação. O que endereça dentro do túnel — os equipamentos da instalação — é hoje IPv4. A plataforma está igualmente preparada para IPv6 aí; simplesmente ainda não foi construído, porque até agora nenhuma instalação precisou. Se os equipamentos da sua instalação são endereçados por IPv6, diga-nos e implementamos.

Alojado aqui (a Mirox é o servidor) — recomenda-se OpenVPN

Nesta direção o router da instalação é o cliente, por isso a nova resolução é feita pelo firmware dele — hardware que não administramos e não conseguimos reparar remotamente.

Opção	A favor	Contra
OpenVPN (recomendado)	Volta a resolver o endereço do servidor em cada religação: depois de um failover da Mirox o túnel regressa sozinho, seja qual for o fabricante ou o firmware do router. Suportado por praticamente todos os routers, incluindo firmware com muitos anos.	Baseado em certificados: no router é preciso introduzir uma CA, um certificado e uma chave, em vez de um único par de chaves.
WireGuard	Configura-se com meia dúzia de valores — um par de chaves por lado, sem pacote de certificados.	A maioria dos routers resolve o endereço do servidor apenas uma vez no arranque; depois de um failover da Mirox o túnel fica em baixo até o router reiniciar ou a Mirox regressar ao local de origem. Firmware de routers mais antigos pode nem sequer oferecer WireGuard.
IPsec (IKEv2)	O padrão nos routers industriais (Cisco, Lancom, Fortigate).	Chave pré-partilhada e configuração manual do router — não há ficheiro de configuração para importar. Mais lento: a cifragem corre em espaço de utilizador, pelo que se adequa sobretudo a telemetria de baixo volume.

A pergunta decisiva aqui não é qual o protocolo mais moderno — é o WireGuard — mas qual sobrevive a uma mudança de região em hardware que não controlamos. O OpenVPN consegue-o em qualquer firmware, e é por isso que vem pré-selecionado. Escolha WireGuard quando a gestão de certificados for o maior obstáculo para o router em causa, aceitando que um failover possa exigir reiniciar o router. Escolha IPsec quando o router não oferecer mais nada.

Os certificados não expiram

A autoridade de certificação, o certificado do servidor e todos os certificados de pares que a Mirox emite para um servidor OpenVPN alojado têm vida longa. Não há renovações a fazer nem nada que expire silenciosamente anos depois — o custo do OpenVPN é o trabalho único de importação no router, não a manutenção.

Porta de reconexão do WireGuard

O WireGuard memoriza o endereço ao qual se ligou pela primeira vez e nunca mais o volta a resolver. Por isso, se o lado servidor de um túnel WireGuard alojado na Mirox for alguma vez mudado — durante um failover ou para manutenção —, um site peer ligado pode ficar desligado até ser reiniciado. O OpenVPN e o IPsec voltam a verificar o endereço por conta própria e não precisam de tal definição; o WireGuard não.

A Porta de reconexão elimina essa fragilidade. É a porta de escuta WireGuard do router remoto (o site peer). Preencha-a ao criar uma VPN WireGuard alojada, ou mais tarde num peer existente em Editar → Peer remoto, ou por peer em Peers → Editar. Com ela definida, a Mirox consegue voltar a ligar-se ao peer no seu próprio endereço público depois de o lado servidor mudar, pelo que o túnel se restabelece automaticamente e sobrevive a um failover. Deixada vazia, o túnel permanece fixado: o lado servidor não é mudado e, após uma mudança, ficaria em baixo até o router se religar por si. Para voltar a remover uma porta de reconexão, basta limpar o campo e guardar.

Defina-a apenas quando essa porta estiver mesmo acessível

Definir uma porta de reconexão é uma promessa de que a Mirox consegue alcançar o router aí — e é o que permite que o túnel seja mudado para efeitos de failover. Por isso, uma vez definida, o lado servidor pode ser mudado, e essa mudança quebra brevemente o túnel e volta a restabelecê-lo. Para que se cure em vez de ficar quebrado, o router da instalação tem mesmo de estar à escuta nessa porta WireGuard, acessível no seu endereço IPv4 ou IPv6 público, com a porta aberta na firewall da instalação. Se a porta não estiver acessível, uma mudança quebra o túnel sem retorno — por isso, preencha-a apenas quando o endpoint WireGuard da instalação estiver à escuta e a firewall o permitir. Na dúvida, deixe-a vazia; o túnel fica então simplesmente onde está.

Recomenda-se definir uma porta de reconexão para cada site peer WireGuard sempre que a porta de escuta do router seja conhecida e esteja acessível.

De saída (a Mirox é o cliente) — recomenda-se WireGuard

Nesta direção o servidor já existe no local e a Mirox liga-se a ele. Isso inverte ambos os argumentos acima:

O lado que volta a resolver é agora o nosso. A Mirox volta a resolver o endereço do servidor no local e liga-se de novo sozinha, em qualquer protocolo — pelo que a objeção que decidiu o caso alojado desaparece por completo.
A questão do firmware também desaparece. Nada tem de ser instalado no router; o protocolo é simplesmente aquele que o servidor existente fala, e a Mirox retira dele as suas definições.

O servidor na instalação tem de estar acessível a partir da internet

Este sentido só funciona se a Mirox conseguir ligar-se a ele, pelo que a linha da instalação precisa de um endereço próprio acessível a partir da internet pública. Qualquer uma das famílias chega: um IPv4 público ou um IPv6 público. Uma linha sem IPv4 público mas com IPv6 funcional serve, portanto, perfeitamente.

O que exclui este sentido é apenas um operador que mantém a linha dentro da sua própria rede partilhada, ficando o router sem qualquer endereço acessível do exterior em nenhuma das duas famílias. É o caso habitual dos tarifários móveis e de SIM de baixo custo. Peça à instalação que consulte a página de internet do router: um IPv4 assinalado como partilhado com outros clientes e nenhum IPv6 público na ligação significam que este sentido é impossível. Um nome DynDNS que resolve não prova nada aqui — resolve igualmente bem numa linha partilhada.

Nesse caso, aloje antes a VPN aqui (secção acima): o router passa a estabelecer a ligação para fora, o que funciona em qualquer linha. Escolha aí OpenVPN — numa linha destas, um túnel WireGuard alojado também não poderia ser reparado do nosso lado, porque uma porta de reconexão pressupõe exatamente a mesma acessibilidade, e ficaria em baixo após um failover até o router se voltar a ligar por si.

Resta o que tem de ser importado para a Mirox — e é aí que os três realmente diferem:

Opção	A favor	Contra
WireGuard (recomendado)	Um par de chaves e um ponto final são toda a importação: não há mais nada que tenha de coincidir entre as duas pontas. A Mirox volta a resolver o endereço do servidor no local e liga-se de novo sozinha, por isso uma mudança de DynDNS ou uma quebra de linha resolve-se por si.	O servidor no local tem de adicionar a chave pública da Mirox como par — não basta entregar um perfil.
OpenVPN	Quase todos os servidores VPN existentes o oferecem, e o respetivo perfil `.ovpn` pode ser carregado aqui tal como está.	A cifra, o HMAC e as definições TLS têm de corresponder exatamente às do servidor: uma divergência falha em silêncio, por isso o assistente revê-as consigo num passo próprio. O perfil é um conjunto: CA, certificado, chave e chave tls-auth têm de vir todos do local.
IPsec (IKEv2)	Muitas vezes a única coisa que uma firewall industrial oferece (Cisco, Lancom, Fortigate).	A chave pré-partilhada e ambas as identidades IKE têm de ser combinadas manualmente com o local — não há perfil para importar. Mais lento: a cifragem corre em espaço de utilizador, pelo que se adequa sobretudo a telemetria de baixo volume.

Na prática a escolha está muitas vezes feita: tem de ser o protocolo que o servidor existente fala. A recomendação aplica-se quando o local oferece mais do que um — e quando o local ainda está a ser construído, vale a pena pedir WireGuard.

UDP ou TCP (apenas OpenVPN)

O OpenVPN corre sobre UDP ou TCP. UDP é o modo para o qual foi pensado — mais rápido e bastante mais estável numa ligação móvel fraca — e é a predefinição. TCP é para aquele local cuja firewall não deixa sair nenhum UDP, ou cujo router só oferece TCP.

Alojado aqui: a escolha está no passo Configuração, atrás de Mostrar opções avançadas, junto às definições criptográficas. Não lhe toque a menos que saiba que o UDP está bloqueado. O transporte faz parte da identidade do servidor, por isso uma instalação pode alojar um servidor OpenVPN UDP e um TCP lado a lado.
De saída: um .ovpn carregado já o indica; na introdução manual escolhe UDP ou TCP juntamente com os detalhes da ligação.

Definições de compatibilidade OpenVPN

Encontram-se no passo Configuração do assistente. A vista predefinida não traz qualquer botão: um servidor alojado por alterar aplica o perfil moderno, o correto para qualquer router ainda com suporte. As predefinições de compatibilidade e as diretivas individuais aparecem atrás de Mostrar opções avançadas.

Para OpenVPN pode adaptar as definições de um router mais antigo, para que mesmo firmware legado consiga ligar-se: cifra, resumo de autenticação, versão TLS mínima, compressão, mssfix, intervalo de renegociação e o modo TLS auth. O assistente valida a combinação à medida que escreve e rejeita pares que nenhum firmware de router suportado consegue efetivamente negociar.

Um servidor OpenVPN alojado oferece adicionalmente:

Algoritmo de chave PKI — os servidores novos usam por predefinição RSA-2048, o algoritmo aceite pelos routers industriais comuns; ECDSA P-256 está disponível quando o router o suporta. O algoritmo é fixado na criação; alterá-lo mais tarde implica rodar toda a cadeia de certificados.
Rodar CA — reemite num único passo a autoridade de certificação do servidor, o certificado do servidor e o certificado de cada peer que se liga. A nova configuração de cada peer é mostrada uma única vez para transferência; os certificados antigos deixam de funcionar assim que a rotação é aplicada.
Exigir autenticação de utilizador — os peers que se ligam têm de apresentar adicionalmente um nome de utilizador e uma palavra-passe que define por peer.

Definições de IPsec (IKEv2)

Para IPsec o assistente pede aquilo de que um respondedor IKEv2 precisa: a chave pré-partilhada — deixe-a vazia num servidor alojado e a Mirox gera uma robusta, mostrada uma única vez após a criação —, as identidades IKE local e remota (opcionais; por predefinição é usado o FQDN do ponto final), as propostas IKE e ESP, as respetivas durações e o intervalo DPD, que determina com que rapidez um par morto é detetado. Ambas as pontas têm de concordar nas propostas e não há perfil para trocar, pelo que estes valores são escritos à mão no router.

Antes de começar

Quem pode configurar VPNs diretas

O separador VPN do local é visível para Technical Manager ou superior na instalação (incluindo Operador). Criar, editar ou eliminar uma VPN direta requer um Moderador ou Administrador da própria organização da instalação. As funções inferiores, e os utilizadores que alcançam a instalação através de uma cooperação, veem os túneis configurados mas não os podem alterar. O acesso segue o sistema de permissões.

Tenha à mão:

A direção de que precisa (de saída vs. alojada), com base no que o router da instalação suporta.
Para a direção de saída: o ficheiro de configuração VPN do router (.conf ou .ovpn), ou o endereço do endpoint e as chaves para introduzir manualmente.
Na direção de saída, o protocolo é imposto pelo servidor que já está a funcionar no local. Na direção alojada a escolha é sua — ver Escolher o tipo de VPN.
A(s) subrede(s) da instalação atrás do router que pretende alcançar — os intervalos de rede locais (CIDRs) onde se encontram os inversores, loggers e outros dispositivos.

Adicionar uma VPN direta

Abrir na Mirox: abra o separador VPN do local da instalação — a página Rede da instalação, separador VPN do local.
Clique em Adicionar ligação VPN. Abre-se um assistente curto.
Escolha a direção — A Mirox liga-se ao Park-Router (de saída) ou O Park-Router liga-se à Mirox (alojada).
Tipo de VPN — escolha OpenVPN, WireGuard ou IPsec (IKEv2). O assistente assinala a opção recomendada para a direção escolhida e pré-seleciona-a; cada cartão indica o que fala a favor e contra. Ver Escolher o tipo de VPN.
Configuração — (apenas alojada) o perfil de compatibilidade para o router da instalação. A predefinição serve para qualquer router dos últimos anos; Mostrar opções avançadas revela o transporte (UDP/TCP), as diretivas criptográficas individuais, a autenticação opcional por utilizador e palavra-passe, a chave pré-partilhada do WireGuard ou as definições do respondedor IPsec.
Detalhes da ligação — (apenas de saída) carregue o ficheiro .conf/.ovpn do router, ou mude para introdução manual e escreva o endpoint e as chaves. No caso do OpenVPN segue-se um passo de revisão de compatibilidade, onde o assistente mostra o que leu do perfil para que o possa corrigir.
Subrede da instalação — adicione o(s) intervalo(s) de rede local alcançáveis atrás do router. A plataforma valida cada intervalo e bloqueia qualquer um que colida com o intervalo de túnel reservado, uma rota de VPN da organização, ou outra VPN direta na mesma instalação.
Rever e aplicar — confirme o resumo e clique em Aplicar.

O túnel dá-se o nome a si próprio

Não há nenhum nome a preencher. A Mirox nomeia o túnel a partir da instalação e do protocolo escolhido — por exemplo Central Norte OpenVPN-UDP — e acrescenta um número se esse nome já estiver ocupado, para que seja único na instalação. Pode renomeá-lo, ou acrescentar uma descrição, a qualquer momento em Editar → Geral.

Guarde imediatamente as credenciais da VPN alojada

Quando cria uma VPN alojada, a Mirox gera a configuração de que o router da instalação precisa para se ligar — incluindo a sua chave privada ou o seu certificado — e mostra-a apenas uma vez. Transfira-a e carregue-a no router antes de fechar a caixa de diálogo; não pode ser recuperada mais tarde. Se a perder, rode o peer (WireGuard) ou os certificados (OpenVPN) para obter uma configuração nova.

Assim que o túnel estiver ativo, os dispositivos nas subredes da instalação configuradas tornam-se alcançáveis, e qualquer deteção de dispositivos de rede que execute na instalação passa a percorrê-lo.

A rota predefinida nunca é permitida

Uma VPN direta nunca transporta uma rota 0.0.0.0/0 de "enviar tudo". Liste sempre as subredes explícitas da instalação que pretende alcançar. Se carregar uma configuração que contenha uma rota predefinida, a plataforma remove-a e pede-lhe que adicione os intervalos específicos.

Gerir uma VPN direta existente

Cada VPN direta aparece como um cartão no separador VPN do local, marcada como Servidor (alojada) ou Cliente (de saída), com uma barra de ligação em direto e um indicador de tráfego. Numa VPN alojada com vários locais a ligar-se, a barra mostra o pior peer que se liga — basta um local em baixo para colorir o cartão inteiro. Abra o menu ... do cartão para:

Editar — alterar o nome, a descrição, as subredes, as definições de ligação ou as chaves. A caixa de diálogo de edição tem os separadores Geral, Subredes, Configuração (definições de protocolo) e Peer remoto (a chave/certificado do lado que se liga, a rotação e a adição de mais peers).
Reiniciar VPN — reciclar o túnel sem alterar a sua configuração; útil após uma alteração de definições ou uma queda transitória.
Estado em direto — abrir a caixa de diálogo de inspeção (ver abaixo) com estado por peer em direto, registos, diagnóstico e ferramentas de depuração.
Diagnosticar — (apresentado quando o túnel está atualmente desligado) saltar diretamente para o diagnóstico automático.
Gerir peers — (VPNs alojadas com mais do que um local a ligar-se) saltar para o separador Peers.
Eliminar — remover o túnel. Tem de escrever o nome do túnel para confirmar; a caixa de diálogo lista os dispositivos de rede que perderiam a sua rota.

A caixa de diálogo de inspeção: Estado em direto, Registos, Diagnóstico, Depuração

Estado em direto num cartão abre uma caixa de diálogo com quatro separadores e um indicador de ligação em direto:

Estado em direto — um cartão por peer, atualizado cerca de uma vez por segundo, diretamente a partir da instalação: estado da ligação, IP do túnel, endpoint, tráfego recebido/enviado com débitos em direto e — consoante o protocolo — a idade do handshake (WireGuard; mais de ~3 minutos significa que não está atualmente estabelecido) ou a duração da sessão (OpenVPN). Os peers com um endereço de túnel recebem um gráfico de latência incorporado, alimentado por uma verificação contínua de alcançabilidade.
Diagnóstico — o diagnóstico automático com um clique: um assistente de IA lê os registos recentes e o estado em direto do túnel, explica o que encontra em linguagem simples e — para divergências de definições OpenVPN — pode propor uma correção de configuração segura que aplica com um clique. Consulte também a página do assistente de IA.
Registos — o registo de ligação em direto do túnel, com cores por nível e retrocesso no histórico.
Depuração — ferramentas só de leitura executadas na instalação: a tabela de encaminhamento do túnel, um ping livre através do túnel e uma captura ICMP que mostra se os pedidos saem efetivamente e se algo responde — a forma clássica de distinguir "túnel ativo mas o local não responde" de "túnel em baixo".

Reconectar um par WireGuard alojado

O WireGuard resolve a outra extremidade apenas uma vez, ao iniciar o túnel, por isso um par no parque deixa de encontrar este servidor se o endereço deste mudar. Quando o túnel de um par assim está em baixo, o seu cartão em Estado em direto oferece um botão Reconectar com o último endereço e a última porta conhecidos já preenchidos — basta um handshake enviado do nosso lado: o par volta a resolver o endereço e a partir daí mantém a ligação sozinho. Ajuste os campos se o parque mudou.

Só é oferecido num VPN WireGuard alojado, apenas enquanto esse par está desligado, e não altera nada do que está guardado — não é escrita qualquer configuração e o agente do parque não é reiniciado. Nada do que introduzir aqui pode piorar a situação: se o par se ligar mais tarde a partir de outro endereço, o WireGuard adota simplesmente o endereço de onde o pacote realmente veio.

"Sem dados — pode estar desatualizado"

O indicador em direto fica vermelho quando não chega nenhuma leitura recente. Isso significa que a leitura está indisponível — deliberadamente, nunca é apresentado como "túnel em baixo", porque a ausência de uma leitura não é prova de uma falha.

Gerir as subredes da instalação

As subredes que uma VPN direta encaminha são o que torna os dispositivos da instalação alcançáveis. Adicione ou remova intervalos a partir da vista Editar da VPN a qualquer momento. Remover uma subrede que ainda tem dispositivos de rede atrás dela deixa esses dispositivos sem rota — a caixa de diálogo de eliminação avisa-o e lista quais os dispositivos afetados, para que os possa reatribuir a outro túnel primeiro.

VPN alojada: peers que se ligam

Uma VPN alojada aceita peers de dois tipos:

Peers de local — o próprio router da instalação (ou outro local fixo) a ligar-se e a anunciar as suas subredes. O primeiro peer de local é criado automaticamente quando configura uma VPN alojada; a sua chave ou certificado reside no separador Peer remoto da caixa de diálogo de edição. Uma VPN alojada pode servir vários peers de local — uma instalação repartida por vários routers, cada um a anunciar os seus próprios intervalos.
Peers de utilizador — pessoas individuais a ligarem-se ao mesmo servidor alojado com um perfil pessoal. Um peer de utilizador desligado é normal (as pessoas ligam-se quando precisam) e nunca conta como falha do local.

Com mais do que um peer de local, a página Rede da instalação mostra o separador Peers: uma tabela de todos os peers que se ligam, com IP do túnel, identidade (chave pública WireGuard ou nome do certificado OpenVPN), tráfego, histórico de ligações e edição por peer (subredes, rotação de chave/certificado, eliminação). Com um único peer de local, as mesmas definições residem diretamente na caixa de diálogo de edição e o separador Peers permanece oculto.

Eliminar um servidor alojado é destrutivo

Eliminar uma VPN alojada remove o servidor e todos os peers que se ligam — locais e utilizadores. As suas configurações deixam de funcionar imediatamente e não podem ser reemitidas; recriar o servidor mais tarde implica emitir configurações novas para todos os peers.

Se o túnel não ligar

O separador Diagnóstico automatiza a maior parte disto; os padrões abaixo são o que ele (e o assistente de IA) procura:

Sintoma	Causa mais provável	Onde procurar
VPN alojada, um peer nunca se ligou	A configuração gerada nunca foi instalada no router, ou este liga para o endereço/porta errados	Carregue a configuração do peer no router; verifique o endpoint no cartão
O peer esteve ligado, agora está em baixo, e os registos mostram "sent … received 0"	O router remoto deixou de responder — muitas vezes após um reinício do router ou do modem	Desligue e volte a ligar o router/modem remoto; verifique a sua ligação à Internet
Túnel ligado mas dispositivos inalcançáveis	O router do local bloqueia ou não encaminha o tráfego (em várias marcas de routers, as interfaces VPN ficam por predefinição numa zona de tipo WAN que só permite tráfego de saída)	Separador Depuração: ping + captura ICMP — "o tráfego sai mas nada responde" confirma-o; adicione uma rota/regra de firewall no router
OpenVPN de saída nunca liga	Divergência de definições com o servidor remoto (cifra, versão TLS, compressão …)	Execute o Diagnóstico — pode propor as definições correspondentes como correção de um clique
WireGuard de saída em baixo logo após uma alteração de chave/PSK	O túnel ainda não recarregou as chaves novas	Reiniciar VPN no cartão
A ligação oscila (sobe e desce repetidamente)	Ligação instável no local remoto, ou uma mesma configuração de peer usada por dois dispositivos	Histórico de ligações no cartão; emita um peer separado por dispositivo
Tudo na instalação em baixo ao mesmo tempo	Falha de Internet ou de energia no local — não é um problema de VPN	O pipeline de ligação do separador Vista geral

Funcionalidades relacionadas

Usar a VPN — o perfil de VPN pessoal, por utilizador, que alcança todas as instalações para as quais está autorizado
Usar o Proxy — abrir a interface web de um dispositivo no navegador sem um cliente VPN
Gerir dispositivos de rede — descobrir e monitorizar os dispositivos alcançáveis através de um túnel
VPN (funcionalidade) — como diferem os tipos de VPN e como funcionam o encaminhamento e a auditoria
Serviços VPN da organização — um gateway partilhado a servir várias instalações
Inspetor de rede local — verificações de alcançabilidade da rede da instalação a partir da plataforma
Registo de auditoria de acessos — o registo de auditoria que cobre todo o acesso remoto
Volume de dados por central — quantos dados a central transfere e se uma ligação lenta é um problema de capacidade