VPN, balanceamento de carga, proxies, firewalls e redes sem fio

Do zero

Cinco peças que cuidam do caminho entre o usuário e o sistema:

• VPN (rede privada virtual) é um túnel blindado por dentro da internet. Quem trabalha de casa conversa com a rede do Tribunal como se estivesse no prédio, e quem olha o tráfego no meio do caminho só vê dados cifrados.
• Balanceador de carga é o organizador de filas de um banco com vários caixas: cada cliente que chega é mandado para um caixa livre, e, se um caixa fecha, ninguém mais é mandado para ele.
• Proxy é um intermediário que fala em nome de alguém. O proxy direto (forward) fala em nome dos usuários quando eles saem para a internet, como um despachante. O proxy reverso fala em nome dos servidores quando a internet chega até eles, como uma recepção que atende e encaminha para a sala certa, sem revelar o caminho.
• Firewall é a portaria, com a lista de quem pode passar por qual porta (os tipos estão na lição de defesas de Segurança da Informação).
• Rede sem fio (Wi-Fi) leva a rede pelo ar, o que exige cuidado extra: qualquer um por perto recebe o sinal, então tudo precisa ser cifrado e cada usuário, identificado.

Frase para guardar: VPN é túnel cifrado; balanceador reparte e tira do ar quem falha; proxy direto protege quem sai, proxy reverso protege quem recebe; Wi-Fi corporativo é WPA3 com usuário individual.

Em 1 minuto

• VPN site a site liga duas redes (a sede e uma regional), entre gateways; VPN de acesso remoto liga um usuário à rede. Tecnologias: IPsec, VPN TLS (SSL VPN) e WireGuard.
• IPsec: o AH autentica e garante a integridade, mas não cifra; o ESP cifra (confidencialidade) e também pode autenticar. O IKE negocia as chaves. Modo transporte protege só a carga do pacote (o cabeçalho IP original segue visível), entre dois hosts; modo túnel encapsula o pacote IP inteiro dentro de um novo, típico entre gateways. Quem cifra é sempre o ESP: com AH, mesmo no túnel, nada é cifrado, só autenticado (e o AH protege também os campos fixos do cabeçalho IP).
• Split tunneling: só o tráfego para a rede do órgão vai pela VPN; o resto sai direto pela internet do usuário. Mais leve, menos controle.
• Balanceamento: na camada 4, decide por IP e porta; na camada 7, pelo conteúdo HTTP (URL, cabeçalhos, cookies). Algoritmos: round robin (rodízio), menos conexões (least connections), hash do IP de origem e versões ponderadas. Health check tira do rodízio o servidor que não responde; sessão persistente (sticky) mantém o usuário no mesmo servidor.
• NAT troca o endereço privado pelo público na saída; o PAT (NAT com portas) põe muitos computadores atrás de um só IP público.
• Wi-Fi: padrões 802.11n (Wi-Fi 4), 802.11ac (Wi-Fi 5), 802.11ax (Wi-Fi 6 e 6E) e 802.11be (Wi-Fi 7). Segurança: WEP é quebrado; WPA2 usa AES (CCMP); no WPA3-Personal ainda há uma senha compartilhada, mas o aperto de mão do WPA2 é trocado pelo SAE, que resiste a ataques de dicionário fora do ar e protege o tráfego já capturado mesmo que a senha vaze depois. No modo Enterprise (WPA2 ou WPA3) não há senha compartilhada: cada usuário entra com a própria credencial, via 802.1X e servidor RADIUS.
• 2,4 GHz alcança mais longe e atravessa melhor as paredes, mas tem só três canais sem sobreposição (1, 6 e 11) e mais interferência; 5 GHz e 6 GHz têm mais canais e mais velocidade, com menos alcance.

Exemplo concreto: o caminho até o portal e o acesso de casa

Internet ──► Firewall ──► Proxy reverso e balanceador (termina o TLS, health check)
                                 ├──► Servidor web 1
                                 ├──► Servidor web 2
                                 └──► Servidor web 3   (fora do ar: o health check o tirou do rodízio)

Teletrabalho (notebook) ──► VPN (TLS ou IPsec, com MFA) ──► Firewall ──► Sistemas internos

1. O cidadão acessa o portal. Quem responde é o proxy reverso: ele termina o TLS, olha a URL e escolhe um servidor pelo algoritmo de menos conexões. O endereço dos servidores internos nunca aparece.
2. O servidor 3 travou. O health check do balanceador percebe em segundos e para de mandar usuários para ele, sem ninguém notar.
3. Um auditor em casa abre a VPN com usuário, senha e um segundo fator. O tráfego para os sistemas internos vai cifrado pelo túnel. Sem split tunneling, até a navegação comum dele passa pelo filtro do Tribunal.
4. No prédio, o Wi-Fi corporativo usa WPA3-Enterprise: o notebook se autentica com o usuário do Active Directory, via 802.1X e RADIUS. Os visitantes usam outra rede, isolada da interna.

Comparação: VPN, proxies, balanceamento e Wi-Fi

Como a FCC cobra

• VPN site a site × acesso remoto; split tunneling.
• Balanceamento na camada 4 × camada 7; health check e sessão persistente.
• NAT e PAT.
• Padrões 802.11 e as faixas de 2,4, 5 e 6 GHz.
• Firewalls e DMZ (com a lição de defesas).

Pegadinhas

Explique com suas palavras

Explique a um gestor a diferença entre um proxy direto e um proxy reverso, e por que o portal do Tribunal fica atrás de um proxy reverso com balanceamento.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

O proxy direto trabalha para os usuários do órgão: quando alguém aqui dentro acessa um site, o pedido passa por ele, que pode bloquear sites proibidos, guardar cópias das páginas mais acessadas e registrar quem acessou o quê. O proxy reverso trabalha para os nossos servidores: quem vem da internet fala com ele, e ele repassa o pedido para o servidor certo, sem mostrar onde os servidores estão.

No portal, o proxy reverso funciona como uma recepção com vários atendentes atrás. Ele distribui os visitantes entre três servidores, para nenhum ficar sobrecarregado, e confere a toda hora se cada um está respondendo. Se um travar, para de mandar gente para ele, e o portal continua no ar.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

Num caso de acesso remoto ou de disponibilidade, monte a solução em camadas: VPN com MFA (ou acesso Zero Trust por aplicação) para o teletrabalho; firewall com negação por padrão; proxy reverso com TLS e WAF na frente do portal; balanceador com health check e pelo menos dois servidores; Wi-Fi corporativo WPA3-Enterprise com 802.1X, e rede de visitantes isolada.

Fontes da lição

• Edital nº 01/2026, Anexo II, Sistemas Operacionais, Redes e Computação em Nuvem (fontes/edital-01-2026.txt).
• James Kurose e Keith Ross, Redes de computadores e a internet (VPN, NAT, redes sem fio e segurança em redes).
• Arquitetura de segurança do IPsec (RFC 4301), AH (RFC 4302) e ESP (RFC 4303) [CONFERIR: os textos das RFCs ainda não estão em fontes/].
• Wi-Fi Alliance: segurança Wi-Fi (WPA3).