📄 Neste artigo

1. Cenários típicos de PME portuguesas
2. Comparação técnica: Tailscale vs WireGuard vs OpenVPN
3. Tailscale: instalação e configuração
4. WireGuard: site-to-site entre dois escritórios
5. OpenVPN Access Server: acesso remoto com AD
6. Custos reais para PME com 25 utilizadores
7. Verificação e troubleshooting
8. Guia de decisão: qual escolher?
9. Checklist pré-produção

ℹ Nota sobre throughput

Os valores de throughput são indicativos e dependem fortemente do CPU do servidor, MTU, número de ligações simultâneas e hardware de rede. Em servidores com CPU moderno (ex: AMD EPYC ou Intel Xeon com AES-NI), o WireGuard pode aproximar-se da velocidade de linha em links de 1 Gbps. Testa sempre no teu ambiente antes de dimensionar.

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up
# Output esperado:
# To authenticate, visit:
#   https://login.tailscale.com/a/abc123def456
# Success.

tailscale status
# Output esperado:
# 100.64.1.1  office-server   [email protected]  linux   -
# 100.64.1.2  laptop-duarte   [email protected]  macOS   -
# 100.64.1.3  celular-joao    [email protected]  android -

sudo tailscale up --advertise-routes=192.168.1.0/24 --accept-routes
# Output esperado:
# Success.
# Depois aprovar a rota no painel: https://login.tailscale.com/admin/machines

{
  "acls": [
    {
      "action": "accept",
      "src": ["tag:crm"],
      "dst": ["100.64.1.1:8080"]
    }
  ],
  "tagOwners": {
    "tag:crm": ["[email protected]"]
  }
}

⚠ Atenção: plano de controlo SaaS

O Tailscale depende do plano de controlo SaaS da Tailscale Inc. para coordenação de chaves e ACLs. O tráfego de dados é sempre directo entre os nós (P2P), mas se o serviço SaaS estiver indisponível, novos dispositivos não conseguem autenticar. Para ambientes com requisitos de soberania de dados, considera o Headscale (implementação open-source self-hosted do plano de controlo).

sudo apt update && sudo apt install wireguard wireguard-tools
# Output esperado:
# Setting up wireguard-tools (1.0.20210914-1) ...

# No servidor do Porto:
wg genkey | tee private-porto | wg pubkey > public-porto
# Output (private-porto): sGdl...base64...
# Output (public-porto):  nBxk...base64...

# No servidor de Lisboa:
wg genkey | tee private-lisboa | wg pubkey > public-lisboa

[Interface]
PrivateKey = <chave-privada-porto>
Address = 10.0.0.1/24
ListenPort = 51820

[Peer]
# Escritório Lisboa
PublicKey = <chave-publica-lisboa>
AllowedIPs = 10.0.0.2/32, 192.168.2.0/24
Endpoint = lisboa.empresa.pt:51820
PersistentKeepalive = 25

[Interface]
PrivateKey = <chave-privada-lisboa>
Address = 10.0.0.2/24
ListenPort = 51820

[Peer]
# Escritório Porto
PublicKey = <chave-publica-porto>
AllowedIPs = 10.0.0.1/32, 192.168.1.0/24
Endpoint = porto.empresa.pt:51820
PersistentKeepalive = 25

sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0
# Output esperado:
# [#] ip link add wg0 type wireguard
# [#] ip address add 10.0.0.1/24 dev wg0
# [#] ip link set wg0 up
# Created symlink /etc/systemd/system/multi-user.target.wants/[email protected]

⚠ WireGuard em CGNAT (MEO/NOS/Vodafone)

Se o teu ISP usa CGNAT (comum em ligações residenciais e algumas empresariais), o WireGuard pode não conseguir estabelecer ligação directa porque não tens IP público real. Nesse caso, usa um VPS como relay (ex: Hetzner, OVH) ou considera o Tailscale, que tem DERP relay automático para contornar este problema.

sudo apt update && sudo apt install ca-certificates wget
wget https://openvpn.net/downloads/openvpn-as-latest-ubuntu24.deb
sudo dpkg -i openvpn-as-latest-ubuntu24.deb
# Output esperado:
# Installation Complete!
# Admin UI:  https://<ip>:943/admin
# Client UI: https://<ip>:943/

sudo passwd openvpn
# New password:
# Retype new password:
# passwd: password updated successfully

ℹ Conta de serviço LDAP

Cria uma conta de serviço dedicada no AD (ex: svc-vpn) com permissões de leitura apenas. Nunca uses uma conta de administrador de domínio como Bind DN. Configura a palavra-passe para não expirar e monitoriza o estado da conta.

ℹ Nota sobre preços Tailscale (Abril 2026)

Em Abril de 2026, o Tailscale migrou para um modelo seat-based (por lugar) em vez de active-user. O plano Standard custa $8/utilizador/mês. O plano Personal é gratuito até 6 utilizadores. O plano Premium custa $18/utilizador/mês e inclui SSH avançado, flow logs e device posture. Confirma sempre os preços actuais em tailscale.com/pricing.

# Verificar portas VPN activas
ss -tlnp | grep -E '1194|51820|41641'

# Testar conectividade UDP ao peer remoto
nc -zv <ip-remoto> 51820 -w 3
# Output esperado: Connection to <ip-remoto> 51820 port [udp/*] succeeded!

# Testar resolução DNS interna via túnel
dig @<dns-interno> servidor-interno.empresa.local +short
# Output esperado: 192.168.1.50

tailscale ping <nome-do-nó-remoto>
# Output esperado (ligação directa):
# pong from laptop-duarte (100.64.1.2) via direct 192.168.1.5:41641 in 3ms
# Output (via relay DERP):
# pong from laptop-duarte (100.64.1.2) via DERP(ams) in 28ms

sudo wg show
# Output esperado:
# interface: wg0
#   public key: nBxk...
#   listening port: 51820
# peer: xRt7...
#   endpoint: 84.20.10.5:51820
#   latest handshake: 4 seconds ago
#   transfer: 1.23 GiB received, 456 MiB sent

# Ver logs do serviço
sudo journalctl -u wg-quick@wg0 --no-pager | tail -20

⚠ Handshake WireGuard com mais de 3 minutos

Se o campo latest handshake mostrar mais de 3 minutos, o túnel está provavelmente caído. Verifica se o endpoint remoto está acessível, se as chaves públicas estão correctas nos dois lados, e se o firewall permite UDP/51820. Reinicia com sudo wg-quick down wg0 && sudo wg-quick up wg0.

iperf3 -s  # no servidor remoto
iperf3 -c <ip-vpn-remoto> -t 10  # no cliente local
# Output esperado (WireGuard, servidor moderno):
# [  5] 0.00-10.00 sec  920 Mbits/sec  0.082 ms
# Output esperado (OpenVPN AS):
# [  5] 0.00-10.00 sec  380 Mbits/sec  0.150 ms

✓ Alternativa sem VPN: Cloudflare Tunnel

Para expor aplicações web internas sem abrir portas no firewall e sem instalar cliente VPN nos utilizadores, considera o Cloudflare Tunnel. Ideal para acesso a painéis de administração, Nextcloud, Gitea ou qualquer web app interna.

🔗 Artigos relacionados no kbase.pt

• Cloudflare Tunnel: Expor Serviços Internos sem Abrir Portas — alternativa sem cliente VPN
• VPN de Acesso Remoto SSL e IPSec para PME — guia base sobre VPN SSL e IPSec
• DNS: Guia Completo para Sysadmins — configurar split-horizon DNS
• Diagnóstico de Rede em Linux — ferramentas para troubleshooting de conectividade