O firewall é o projeto, não a caixa
Comprar um appliance caro e entregá-lo ao estagiário configurar é o equívoco mais comum da segurança de perímetro no Brasil. O equipamento importa menos do que as decisões que o cercam: quais zonas existem, o que pode falar com o quê, por onde sai cada tipo de tráfego, quem entra de fora e com qual credencial. Nosso serviço começa por essas perguntas — e só depois especifica hardware.
Trabalhamos com Mikrotik RouterOS na borda por uma razão pragmática: é a plataforma que entrega firewall stateful, NAT avançado, VPN, filas de QoS e múltiplos links com licenciamento perpétuo. O dinheiro que outros fabricantes drenam todo ano em renovação de licença, aqui vira redundância: um segundo equipamento em alta disponibilidade, sincronizado, que assume a borda sozinho se o titular falhar.
Anatomia de uma borda bem projetada
O projeto de borda que entregamos cobre quatro camadas que precisam conversar entre si:
- Controle de perímetro — regras stateful escritas por zona e por serviço, negando por padrão e liberando por exceção documentada. Cada regra tem dono, motivo e data no memorial.
- Políticas por VLAN — o firewall enxerga os segmentos criados no projeto de rede e arbitra o tráfego entre eles: visitante nunca alcança servidor, câmera não sai para a internet, financeiro só conversa com o ERP pelos protocolos previstos.
- Acesso remoto — VPN individual para home office com credencial por pessoa e registro de sessão; nada de porta de área de trabalho remota aberta para o mundo, o vetor de invasão mais explorado contra empresas brasileiras.
- Saída redundante — dois ou mais links de operadoras diferentes com failover automático e balanceamento: quando um provedor falha, a troca é silenciosa.
SD-WAN: filiais interligadas sem mensalidade de MPLS
Interligar matriz e filial já exigiu circuito dedicado de operadora com custo mensal de assustar diretoria. Hoje o mesmo resultado — rede única, sistemas centralizados, telefonia integrada, impressão entre unidades — se obtém com túneis criptografados sobre internet comum, orquestrados por SD-WAN: o tráfego crítico escolhe automaticamente o melhor caminho disponível e troca de rota sozinho quando um link degrada.
Para quem está abrindo uma filial, esse é o coração do projeto: a unidade nova nasce dentro da rede da empresa desde o primeiro dia, com as mesmas políticas de segurança da matriz e sem depender de um único provedor local. Para quem já tem filiais penduradas em soluções improvisadas, é a chance de aposentar acessos remotos artesanais e planilhas viajando por e-mail.
Troca de firewall sem noite em claro
A objeção clássica — “e se a empresa ficar fora do ar?” — morre no método. O equipamento novo é montado em bancada com a configuração completa: zonas, regras, túneis, filas. Validamos o comportamento contra amostras do seu tráfego real antes de qualquer visita. A virada em si acontece em janela combinada e se resume a mover cabos: minutos de indisponibilidade programada, com o appliance anterior intacto ao lado, pronto para reassumir se algum teste de aceitação falhar.
Depois do corte, cada serviço crítico é verificado com a sua equipe: ERP, telefonia, emissão fiscal, VPNs, filiais. Só encerramos a janela com o checklist assinado.
Depois da entrega: a borda continua vigiada
Firewall entregue entra direto no monitoramento do nosso NOC 24/7, via Zabbix e Grafana: estado dos túneis, consumo por link, temperatura, tentativas de acesso bloqueadas. Durante o período pós-projeto, essa vigília faz parte da entrega — é a nossa forma de garantir, com dados, que o projeto cumpre o prometido. E se a sua empresa decidir manter esse acompanhamento permanentemente, o caminho existe, sem nunca ter sido condição do contrato.