Como Conectar Filiais Usando VPN em Moçambique com WireGuard - Rylatech

Para a maioria das médias e grandes empresas em Moçambique, a dispersão geográfica é uma realidade inevitável: a sede administrativa costuma ficar em Maputo, enquanto armazéns, estaleiros, oficinas e minas operam em províncias distantes como Tete, Sofala (Beira), Nampula e Cabo Delgado. Manter essas unidades conectadas em tempo real ao software de faturação, ERP central (Primavera, PHC, SAP) e servidores de arquivos é uma prioridade crítica.

Historicamente, a única opção sugerida pelas grandes operadoras de telecomunicações eram os links dedicados MPLS (Multi-Protocol Label Switching). No entanto, o custo mensal em dólares por filial é proibitivo para a esmagadora maioria dos negócios, os prazos de instalação chegam a meses e a burocracia para ativar filiais secundárias ou estaleiros temporários trava o crescimento da empresa.

A engenharia de redes moderna resolve isso com VPN Site-to-Site WireGuard sobre conexões de internet comercial já existentes (fibra óptica local ou pacotes móveis 4G/LTE). O resultado é uma redução de até 85% nos custos mensais de telecomunicações, com criptografia de nível militar e latência ultra-baixa.

1. Como contornar o problema do CGNAT e IP Dinâmico em Moçambique

Um dos maiores desafios técnicos locais é que as conexões 4G das operadoras móveis em Moçambique (Vodacom, Movitel, Tmcel) não atribuem IP público aos roteadores de campo. Elas utilizam CGNAT (Carrier-Grade NAT), o que impede conexões de entrada convencionais.

Com o protocolo WireGuard, configuramos a filial com a diretiva PersistentKeepalive = 25. Isso faz com que o roteador da filial inicie a conexão de dentro para fora em direção à Matriz (que possui IP fixo ou DDNS público ativo). O túnel permanece continuamente aberto e estabelece tráfego bidirecional estável sem custos adicionais de IP público estático.

2. Roteamento Transparente entre Sub-redes (LAN to LAN)

Diferente de VPNs individuais para utilizadores (onde cada um precisa instalar um app no computador), a VPN Site-to-Site é estabelecida diretamente entre os roteadores de borda (MikroTik RouterBOARD com RouterOS v7):

Sede (Maputo): Sub-rede 192.168.10.0/24 (Servidores ERP, SQL Server, Controladores de Domínio)
Filial Tete (Mina / Oficina): Sub-rede 192.168.20.0/24 (Computadores de despacho, caixas, impressoras)
Filial Beira (Armazém Portuário): Sub-rede 192.168.30.0/24 (Leitores de código de barras, faturamento)

Os computadores comunicam entre si com segurança total sem necessidade de expor portas de servidores ou serviços de Área de Trabalho Remota (RDP) para a internet pública, protegendo a rede contra ataques de ransomware.

3. Eficiência de Hardware e Redundância com Failover

O WireGuard utiliza a cifra criptográfica de última geração ChaCha20-Poly1305 e troca de chaves Curve25519. Por ser executado diretamente no núcleo do sistema, consome até 80% menos recursos de CPU que o antigo OpenVPN ou IPsec 3DES. Até roteadores compactos como o MikroTik hEX conseguem atingir throughputs de 100 Mbps em túnel encriptado sem aquecer.

Além disso, integrando a VPN com regras de failover automático, se a fibra óptica da filial sofrer um corte acidental, o MikroTik comuta o tráfego para um modem 4G em menos de 5 segundos, restabelecendo o túnel WireGuard de forma transparente e evitando a paralisia do caixa de vendas.

Interligar as filiais da sua empresa com VPN