Como configurar uma ligação VPN de acesso remoto

Uma VPN de acesso remoto cria um túnel encriptado entre o servidor e o equipamento do utilizador através da Internet.

Neste guia ativas a VPN na rede, registas os utilizadores e configuras a ligação num equipamento Windows.

👍 O que consegues

Uma VPN L2TP/IPsec operacional com os seus utilizadores, e um cliente Windows configurado para se ligar de forma segura sem perder o acesso à Internet.

📘 Limite com NAT: uma ligação de cada vez

Por trás de NAT, o L2TP só admite uma ligação simultânea por porta: um segundo utilizador que tente ligar-se por essa mesma porta será rejeitado.

Se precisares de várias ligações a partir da mesma rede privada, monta WireGuard em vez disso.

Antes de começares

• Iniciar sessão na plataforma da Plenit com uma organização ativa.
• Ter uma subscrição de Servidores ou Desktop Remoto para ativar a VPN na rede.
• Ter acesso ao equipamento Windows a partir do qual te vais ligar.

Passo 1. Ativa a VPN na rede

1. Entra na subscrição de Servidores a partir do seu card.
2. No menu lateral, abre VPN e entra na subsecção Acesso Remoto.
3. Seleciona a rede que vais usar e muda o seu estado de OFF para ON.

Com a rede ativada, localiza os dois dados de que vais precisar no cliente:

• Pre-Shared Key: a chave partilhada. Vês-la com o ícone do olho na coluna Pre-Shared Key.
• IP pública: o endereço ao qual a ligação VPN é estabelecida.

{/* 📸 CAPTURA 1 · subsecção Acesso Remoto com a rede em ON, a Pre-Shared Key e o IP público */}

Ativação da VPN de acesso remoto com a Pre-Shared Key e o IP público

Passo 2. Cria os utilizadores de acesso remoto

Clica em Novo Utilizador, introduz o nome de utilizador e a palavra-passe com a respetiva confirmação e clica em Aceitar. O utilizador fica ativado para a VPN do tipo L2TP over IPsec. Repete para cada pessoa que se vá ligar.

{/* 📸 CAPTURA 2 · criação de um utilizador de acesso remoto */}

Criação de um utilizador de acesso remoto VPN

📘 Dois níveis de autenticação

A Pre-Shared Key autentica a rede (é comum à ligação); o utilizador e a palavra-passe autenticam cada pessoa. Precisas de ambos no cliente.

Passo 3. Configura a VPN no equipamento Windows

Em Definições → Rede e Internet → VPN, clica em Adicionar uma ligação VPN e preenche o formulário:

Campo	Valor
Fornecedor de VPN	Windows (integrado)
Nome da ligação	Um nome identificativo
Nome do servidor ou endereço	A IP pública do Passo 1
Tipo de VPN	L2TP/IPsec com chave previamente partilhada
Chave previamente partilhada	A Pre-Shared Key do Passo 1
Nome de utilizador	O utilizador do Passo 2 (por exemplo user1)
Palavra-passe	A palavra-passe desse utilizador

Clica em Guardar.

Ajusta o encaminhamento para não perder a Internet

Em L2TP, o Windows envia por predefinição todo o tráfego pela VPN, por isso o equipamento pode ficar sem Internet.

Para evitar isso, abre Painel de controlo → Rede e Internet → Centro de Rede e Partilha → Alterar definições do adaptador. Na VPN, botão direito → Propriedades.

Em Funcionalidades de rede, escolhe a tua pilha (IPv4 ou IPv6), clica em Propriedades → Opções avançadas e desativa Utilizar o gateway predefinido na rede remota. Aceita.

Ajusta a segurança

Em Propriedades → Segurança, coloca Encriptação de dados em Exigir encriptação (desligar se o servidor não aceitar), mantém ativado Microsoft CHAP versão 2 e aceita.

{/* 📸 CAPTURA 3 · opção de gateway predefinido desativada e parâmetros de segurança */}

Ajuste do encaminhamento e da segurança da ligação VPN no Windows

Alternativa por PowerShell

Se vais configurar vários equipamentos, poupas toda a GUI criando a ligação e o split tunneling de uma só vez. A partir do PowerShell como administrador:

# Cria a ligação L2TP/IPsec com a Pre-Shared Key
Add-VpnConnection -Name "Plenit VPN" -ServerAddress <IP-PUBLICA> `
  -TunnelType L2tp -L2tpPsk "<PRE-SHARED-KEY>" `
  -AuthenticationMethod MSChapv2 -EncryptionLevel Required -Force -RememberCredential

# Equivale a desativar "utilizar o gateway predefinido": não perdes Internet
Set-VpnConnection -Name "Plenit VPN" -SplitTunneling $true

Valida a ligação

Liga a VPN a partir da configuração de rede. Se for estabelecida, o equipamento acede aos serviços do servidor de forma segura. Para o comprovar no terminal:

Get-VpnConnection -Name "Plenit VPN"
rasdial "Plenit VPN" <utilizador> <palavra-passe>

Se algo não encaixar

Sintoma	Causa provável	O que fazer
O equipamento perde a Internet ao ligar-se	O gateway predefinido continua ativo	Desativa-o (ou usa Set-VpnConnection -SplitTunneling $true)
Um segundo utilizador não se liga atrás de NAT	O L2TP admite uma ligação por porta	Usa WireGuard para vários utilizadores
A autenticação falha	Utilizador, palavra-passe ou Pre-Shared Key incorretos	Verifica as credenciais do Passo 2 e a PSK do Passo 1

Conclusão

Com isto, os teus utilizadores entram no servidor por um túnel encriptado a partir do Windows. Dois detalhes fazem a diferença entre funcionar ou dar problemas: desativar o gateway predefinido para não ficares sem Internet e lembrar que o L2TP atrás de NAT é de um utilizador por porta. Se esse limite te apertar, WireGuard é o caminho para várias ligações ao mesmo tempo.