Como Criar um Túnel VPN site-to-site

Uma VPN site-to-site liga duas redes privadas através da Internet como se estivessem na mesma rede local, com o tráfego protegido pela Encriptação de ponta a ponta.

Neste tutorial, crias o túnel completo entre duas VPC alojadas na Plenit, configurando as duas extremidades.

👍 O que consegues

Um túnel IPsec operacional entre duas VPC, com uma extremidade como conexão passiva e a outra como ativa, comunicando as suas sub-redes de forma segura.

Como funciona o túnel

O túnel tem duas extremidades. Uma é configurada como conexão passiva (aguarda que a outra inicie a negociação) e a outra como conexão ativa (a inicia). Ambas partilham uma chave IPsec que as autentica. A regra de ouro é a simetria: o que numa extremidade é "remoto", na outra é "local".

Campo	Extremidade 1 (ext1)	Extremidade 2 (ext2)
VPC e rede local	VPC1 / TIER1	VPC2 / TIER2
Gateway remoto	IP da VPC2	IP da VPC1
Rede remota	Sub-rede do TIER2	Sub-rede do TIER1
Função	Conexão passiva	Conexão ativa
Chave IPsec	É gerada ao criar	Introduz-se a guardada

❗️ Guarda a chave IPsec da primeira extremidade

Ao criar a primeira extremidade, a plataforma gera a chave IPsec. Copia-a e guarda-a: precisas dela tal como está ao configurar a segunda extremidade, e é ela que autentica o túnel.

Cenários

Cenário	O que configuras na Plenit
VPC1 e VPC2, ambas na Plenit	As duas extremidades (processo duplo)
VPC1 na Plenit, VPC2 noutro fornecedor cloud	Só ext1; o outro lado, com a ferramenta do fornecedor
VPC1 na Plenit, um router na outra extremidade	Só ext1; o outro lado, no router

Este tutorial cobre o primeiro cenário, com as duas VPC na Plenit.

Antes de começar

• Ter uma subscrição de Servidores ativa.
• Ter criadas as duas VPC com os seus TIERs. Se te faltar, faz-as primeiro: Como criar uma VPC e associar um TIER.
• Localizar os gateways e as sub-redes em Redes/IP → Redes VPC: vais precisar delas durante a configuração.

---

Primeira extremidade (ext1 → ext2)

Passo 1. Acede à subscrição de Servidores

Entra na subscrição de Servidores a partir do seu card.

Acesso à subscrição de Servidores

Passo 2. Inicia a criação do túnel

No menu lateral, abre VPN e carrega em Criar túnel Site-to-Site.

Subseção VPN com a opção de criar túnel site-to-site

Passo 3. Dá nome à VPN e configura a rede remota

1. Atribui um nome a esta ligação, por exemplo VPN1.
2. Em Gateway, introduz o IP do gateway remoto do ext2 (a IP da VPC2).
3. Em Rede Remota, indica a sub-rede do TIER2.

Configuração do nome e da rede remota da primeira extremidade

Passo 4. Configura o túnel

Os valores por defeito servem para este cenário; mantém-nos, exceto se a tua política de rede exigir outros.

📘 Sobre os parâmetros do túnel

A negociação suporta IKEv1, IKEv2 ou modo automático.

Se ligares com várias redes remotas, é criada uma associação por cada rede (split tunneling).

Um único gateway admite até dez túneis VPN.

Passo 5. Configura a rede local e cria a extremidade

1. Escolhe a VPC associada à rede local (VPC1) e a rede local (TIER1).
2. Marca esta extremidade como conexão passiva.
3. Cria esta primeira parte da VPN.

Ao ser criada, a plataforma mostra a chave IPsec. Guarda-a: vais usá-la no segundo extremo.

Configuração da rede local como conexão passiva e da chave IPsec

Chave IPsec

---

Segunda extremidade (ext2 → ext1)

Passo 6. Cria uma nova VPN

Na subseção VPN, carrega em Nova VPN Site-to-Site para configurar o caminho inverso.

Passo 7. Dá nome à segunda VPN e configura a rede remota

1. Dá nome a esta ligação, por exemplo VPN2.
2. Em Gateway, introduz o IP do gateway remoto do ext1 (a IP da VPC1).
3. Em Rede Remota, indica a sub-rede do TIER1.

Configuração do nome e da rede remota da segunda extremidade

Passo 8. Configura o túnel da segunda extremidade

Mantém os valores por defeito, tal como no Passo 4. A diferença é que aqui introduzes a chave IPsec que guardaste ao criar a primeira extremidade.

Passo 9. Configura a rede local e cria a VPN

1. Escolhe a VPC associada à rede local (VPC2) e a rede local (TIER2).
2. Deixa sem marcar a conexão passiva, para que esta extremidade fique como conexão ativa.
3. Carrega em Criar VPN.

Com isto, o túnel entre as duas extremidades fica criado.

Configuração da segunda extremidade como conexão ativa

Túnel criado

Verifica o túnel

No painel, na subseção VPN, confirma que existem as duas ligações, uma a partir de ext1 e outra a partir de ext2, e que uma aparece como passiva e a outra como ativa.

O teste real é que o tráfego atravesse. A partir de um servidor de TIER1, faz ping a um servidor de TIER2 (e vice-versa). Lembra-te de que no Windows tens de permitir o ICMP de entrada no destino.

ping <IP-DE-UM-SERVIDOR-NO-OUTRO-EXTREMO>

Confirma que a rota para a sub-rede remota sai pelo túnel. No Linux:

ip route
traceroute <IP-REMOTA>

No Windows, a partir do PowerShell:

route print
tracert <IP-REMOTA>

Se algo não encaixar

Sintoma	Causa provável	O que fazer
O túnel não sobe	A chave IPsec não coincide em ambos os extremos	Volta a introduzir no ext2 a chave gerada no ext1
Os dois extremos não negociam	Ambos ficaram passivos ou ambos ativos	Deixa um passivo e o outro ativo
Não passa tráfego embora o túnel esteja ativo	Rede remota e local invertidas em algum extremo	Revê a tabela de simetria: o remoto de um lado é o local do outro
O ping falha apenas contra Windows	O firewall bloqueia ICMP de entrada	Permite ICMPv4 no servidor de destino

Conclusão

Com as duas extremidades bem configuradas, tens uma VPN site-to-site operacional que comunica as duas VPC de forma protegida pela Encriptação através da Internet.

Todo o procedimento assenta em duas ideias: a simetria (o que é remoto de um lado é local do outro) e a chave IPsec partilhada.

Se as duas baterem certo, o túnel sobe; se algo não fluir, quase sempre é uma dessas duas.