Tailscale na PME: Rede Mesh como Alternativa à VPN Clássica

O acesso remoto na PME típica depende de port forwarding no router, um servidor RDP exposto à Internet e um firewall que se espera que não falhe. O CGNAT do operador de acesso (generalizado na Digi, cada vez mais comum noutras redes) já obrigou muitos a repensar esse modelo — ver como verificar e contornar. O Tailscale oferece outro caminho: uma rede mesh WireGuard onde cada dispositivo se liga directamente aos outros, sem abrir portas e sem servidor VPN central exposto.

Como funciona sem VPN clássica

O Tailscale cria um tailnet, uma malha de túneis WireGuard entre todos os dispositivos autorizados. O serviço de coordenação distribui as chaves e endereços 100.x.y.z na faixa CGNAT própria. O tráfego corre ponto-a-ponto, dentro da LAN ou através da Internet. Não há concentrador que limite débito nem porta UDP a abrir no router: os túneis atravessam NAT com ICE/STUN e, no pior caso, um relay DERP encriptado.

Para a PME isto muda a equação de segurança: em vez de uma porta 3389 exposta (alvo diário de bots), zero portas abertas. O Entra Private Access resolve o mesmo problema no mundo Microsoft. O Tailscale faz-no multiplataforma e sem licenciamento por identidade.

O que instalar primeiro

  1. Criar conta e tailnet no admin console (um domínio de email próprio conta como uso empresarial e dispara o trial de 14 dias).
  2. Instalar nos servidores com tag de recurso — máquinas como exit nodes ou subnet routers devem ser tagged resources, não contas de utilizador.
  3. ACLs deny-by-default: o ficheiro de políticas vem “allow all” por omissão. Para uma PME séria, definir logo regras por grupo. Os administradores ficam com as portas de gestão e os utilizadores apenas com os serviços que usam (ACLs).
  4. Exit node: um servidor com saída para a Internet permite ao pessoal remoto navegar com a IP da empresa — o substituto directo da VPN clássica de túnel completo.
  5. Subnet router: se a rede tem NAS, impressoras ou CCTV sem cliente Tailscale, um subnet router anuncia as rotas 192.168.x.x à malha.

SSO e gestão de utilizadores

O Tailscale autentica utilizadores via identity provider. O plano Standard integra SCIM para provisioning automático e grupos de ACL avançados — com Entra ID como IdP fica a conta circular de desactivar um utilizador uma única vez. Para quem prefere self-hosted, o Headscale é o servidor de coordenação alternativo com o mesmo protocolo.

Custo real em 2026

O modelo mudou para seat-based: contam-se utilizadores (seats), não dispositivos — estes são ilimitados em todos os planos.

Plano Preço Limites
Personal $0 até 6 utilizadores Uso não-comercial, homelab
Standard $8/utilizador/mês SCIM, 10 ACL groups, 1.000 min/mês de recursos efémeros
Premium $18/utilizador/mês + 10.000 min/mês efémeros, roles avançados
Enterprise sob orçamento SSO dedicado, suporte

Os 50 tagged resources incluídos por mês cobrem com folga os servidores de uma PME de 20-50 utilizadores e extra sai a $1/mês cada. Para 10 utilizadores com acesso remoto, o Standard custa $80/mês — menos do que uma hora de consultoria para gerir o firewall que a VPN clássica obriga a expor.

Quando não usar

Redes com requisitos de data residency estrita sobre quem transporta metadados (a coordenação corre nos EUA — o Headscale resolve), ambientes air-gapped, e quem já tem Entra Private Access licenciado e configurado: nesses casos a sobreposição não vale a migração.

Artigos relacionados