Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Arquitetura
OpenVPN 2.6 continua altamente flexível: TLS, TUN/TAP, UDP/TCP, NAT/proxy e PKI. Essa flexibilidade exige baseline documentado.
PKI
Use CA protegida, certificado individual por cliente, CRL e processo de revogação. Nunca compartilhe a mesma chave privada entre usuários.
Transporte
Prefira UDP para túneis gerais; encapsular TCP dentro de TCP pode produzir degradação severa em perda/congestionamento.
DCO
Data Channel Offload pode melhorar desempenho em plataformas suportadas, mas compatibilidade de cifra/opções deve ser verificada antes de habilitar.
Validação
Valide certificado, cadeia, CRL, rota, MTU e logs dos dois lados. Teste revogação real de um certificado de laboratório.
Backup
Proteja CA, chaves, CRL, configurações e inventário de certificados. Uma restauração sem a PKI correta pode impedir revogação e continuidade.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.