Como criar um túnel VPN site-to-site

Uma VPN site-to-site conecta duas redes privadas através da Internet como se estivessem na mesma rede local, com o tráfego encriptado de extremo a extremo.

Neste tutorial, crias o túnel completo entre duas VPC hospedadas em Plenit, configurando os duas extremidades.

👍 O que obténs

Um túnel IPsec operacional entre duas VPC, com uma extremidade como conexão passiva e a outra como ativa, comunicando as suas sub-redes de forma segura.

Como funciona o túnel

O túnel tem duas extremidades. Uma é configurada como conexão passiva (aguarda que a outra inicie a negociação) e a outra como conexão ativa (inicia-a). Ambas partilham uma chave IPsec que as autentica. A regra de ouro é a simetria: o que numa extremidade é "remoto", na outra é "local".

Campo	Extremidade 1 (ext1)	Extremidade 2 (ext2)
VPC e rede local	VPC1 / TIER1	VPC2 / TIER2
Gateway remoto	IP da VPC2	IP da VPC1
Rede remota	Sub-rede de TIER2	Sub-rede de TIER1
Função	Conexão passiva	Conexão ativa
Chave IPsec	É gerada ao criar	É introduzida a guardada

❗️ Guarda a chave IPsec da primeira extremidade

Ao criar a primeira extremidade, a plataforma gera a chave IPsec. Copia-a e guarda-a: vais precisar dela tal como está ao configurar a segunda extremidade, e é o que autentica o túnel.

Cenários

Cenário	O que configuras em Plenit
VPC1 e VPC2, ambas em Plenit	As duas extremidades (processo duplo)
VPC1 em Plenit, VPC2 noutro fornecedor cloud	Só ext1; o outro lado, com a ferramenta do fornecedor
VPC1 em Plenit, um router na outra extremidade	Só ext1; o outro lado, no router

Este tutorial cobre o primeiro cenário, com as duas VPC em Plenit.

Antes de começar

• Ter uma subscrição de Servidores ativa.
• Ter criadas as duas VPC com os seus TIERs. Se te faltar, cria-as primeiro: Como criar uma VPC e associar um TIER.
• Localizar os gateways e as sub-redes em Redes/IP → Redes VPC: precisas deles durante a configuração.

---

Primeira extremidade (ext1 → ext2)

Passo 1. Acede à Subscrição de Servidores

Entra na subscrição de Servidores a partir do seu card.

{/* 📸 CAPTURA 1 · card da subscrição de Servidores */}

Acesso à subscrição de Servidores

Passo 2. Inicia a criação do túnel

No menu lateral, abre VPN e clica Criar túnel Site-to-Site.

{/* 📸 CAPTURA 2 · subseção VPN com o botão Criar túnel Site-to-Site */}

Subseção VPN com a opção de criar túnel site-to-site

Passo 3. Dá um nome à VPN e configura a rede remota

1. Atribui um nome a esta ligação, por exemplo VPN1.
2. Em Gateway, introduz o IP do gateway remoto do ext2 (a IP da VPC2).
3. Em Rede Remota, indica a sub-rede do TIER2.

{/* 📸 CAPTURA 3 · campos Nome, Gateway e Rede Remota */}

Configuração do nome e da rede remota da primeira extremidade

Passo 4. Configura o túnel

Os valores predefinidos servem para este cenário; mantém-nos, salvo se a tua política de rede exigir outros.

📘 Sobre os parâmetros do túnel

A negociação suporta IKEv1, IKEv2 ou modo automático.

Se ligares várias redes remotas, é criada uma associação por cada rede (split tunneling).

Um mesmo gateway suporta até dez túneis VPN.

Passo 5. Configura a rede local e cria a extremidade

1. Escolhe a VPC associada à rede local (VPC1) e a rede local (TIER1).
2. Marca esta extremidade como conexão passiva.
3. Cria esta primeira parte da VPN.

Ao ser criada, a plataforma mostra a chave IPsec. Guarda-a: vais usá-la na segunda extremidade.

{/* 📸 CAPTURA 4 · rede local com conexão passiva assinalada e a chave IPsec gerada */}

Configuração da rede local como conexão passiva e a chave IPsec

---

Segunda extremidade (ext2 → ext1)

Passo 6. Cria uma nova VPN

Na subseção VPN, clica em Nova VPN Site-to-Site para configurar o caminho inverso.

Passo 7. Dá um nome à segunda VPN e configura a rede remota

1. Dá um nome a esta ligação, por exemplo VPN2.
2. Em Gateway, introduz o IP do gateway remoto do ext1 (a IP da VPC1).
3. Em Rede Remota, indica a sub-rede do TIER1.

{/* 📸 CAPTURA 5 · campos da segunda extremidade, invertidos em relação à primeira */}

Configuração do nome e da rede remota da segunda extremidade

Passo 8. Configura o túnel da segunda extremidade

Mantém os valores predefinidos, tal como no Passo 4. A diferença é que aqui introduzes a chave IPsec que guardaste ao criar a primeira extremidade.

Passo 9. Configura a rede local e cria a VPN

1. Escolhe a VPC associada à rede local (VPC2) e a rede local (TIER2).
2. Deixa sem marcar a conexão passiva, para que esta extremidade fique como conexão ativa.
3. Clica Criar VPN.

Com isto, o túnel entre as duas extremidades fica criado.

{/* 📸 CAPTURA 6 · rede local da segunda extremidade como conexão ativa e o túnel criado */}

Configuração da segunda extremidade como conexão ativa

Verifica o túnel

No painel, na subseção VPN, confirma que existem as duas ligações, uma a partir de ext1 e outra a partir de ext2, e que uma aparece como passiva e a outra como ativa.

A prova real é que o tráfego passe. A partir de um servidor de TIER1, faz ping a um servidor de TIER2 (e vice-versa). Lembra-te de que no Windows tens de permitir o ICMP de entrada no destino.

ping <IP-DE-UM-SERVIDOR-NO-OUTRO-EXTREMO>

Verifica que a rota para a sub-rede remota sai pelo túnel. No Linux:

ip route
traceroute <IP-REMOTA>

No Windows, a partir do PowerShell:

route print
tracert <IP-REMOTA>

Se algo não encaixa

Sintoma	Causa provável	O que fazer
O túnel não sobe	A chave IPsec não coincide em ambas as extremidades	Volta a introduzir em ext2 a chave gerada em ext1
As duas extremidades não negociam	Ambas ficaram passivas ou ambas ativas	Deixa uma passiva e a outra ativa
Não passa tráfego embora o túnel esteja ativo	Rede remota e local invertidas em alguma extremidade	Revê a tabela de simetria: o remoto de um lado é o local do outro
O ping falha só contra Windows	O firewall bloqueia ICMP de entrada	Permite ICMPv4 no servidor de destino

Conclusão

Com as duas extremidades bem configuradas, tens uma VPN site-to-site operacional que comunica as duas VPC de forma encriptada pela Internet.

Todo o procedimento assenta em duas ideias: a simetria (o remoto de um lado é o local do outro) e a chave IPsec partilhada.

Se as duas batem certo, o túnel sobe; se algo não flui, quase sempre é uma dessas duas.