VPN para câmeras do condomínio sem abrir porta no modem

Para acessar câmeras e equipamentos de um condomínio sem abrir porta no modem, use uma VPN de saída: o roteador do condomínio (ou o próprio aparelho) conecta-se ao servidor, e não o contrário. Como a conexão parte de dentro, ela atravessa NAT e, em geral, o CGNAT do provedor, e o modem do condomínio não precisa ter porta aberta para a internet.

No Ciber Porteiro há três jeitos de fazer isso. A escolha depende de o condomínio ter um roteador MikroTik, de a empresa ter um MikroTik central e de os aparelhos saberem fazer VPN. Este texto explica cada um e diz, sem enfeite, o que já foi testado.

Por que não abrir porta no modem

Abrir uma porta para o DVR, a câmera ou o leitor significa que qualquer pessoa na internet pode tentar entrar. Equipamentos com senha de fábrica e firmware antigo são alvo fácil. Além disso, com CGNAT a porta nem chega ao aparelho; veja acesso remoto ao DVR com CGNAT.

Com o túnel de saída:

• o modem não tem porta aberta para a câmera;
• o servidor passa a alcançar os equipamentos pelo endereço que eles têm na rede do condomínio;
• você cadastra os equipamentos no painel como se estivessem na mesma rede.

Os três jeitos

• Jeito 1: roteador MikroTik por OpenVPN. Para o condomínio com MikroTik (RouterOS 7) e sem MikroTik central. O painel gera um script para colar no roteador. Estado de teste: ainda não testado em equipamento real.
• Jeito 2: aparelho por OpenVPN (arquivo .ovpn). Para o roteador configurado à mão ou o aparelho com cliente OpenVPN próprio. Cada aparelho baixa um arquivo e conecta sozinho. Estado de teste: testado em bancada em 24/09/2026, com um MikroTik RB4011 atrás de CGNAT.
• Jeito 3: túnel até o MikroTik central da empresa. Para a empresa que tem um concentrador onde todos os condomínios se conectam, por WireGuard ou SSTP. Estado de teste: ainda não testado em equipamento real.

Homologado na nossa bancada: Intelbras SS 3532 MF e Control iD iDFace. Os demais modelos são compatíveis pela documentação do fabricante ou estão em homologação; a conferência em campo é feita na instalação de cada condomínio.

Como escolher

• Empresa sem MikroTik central: jeito 1, ou jeito 2 se o roteador não for MikroTik.
• Empresa com MikroTik central: jeito 3. O concentrador é cadastrado uma vez e os condomínios se conectam a ele.
• Câmera, telefone ou caixa com cliente OpenVPN próprio e sem roteador gerenciável: jeito 2, um cliente por aparelho.

WireGuard ou SSTP?

No jeito 3 você escolhe o protocolo. O WireGuard é leve e rápido, mas exige RouterOS 7. O SSTP funciona em RouterOS 6 ou 7, usa TCP e HTTPS e atravessa NAT e CGNAT com facilidade. O painel aceita "Não sei" como versão, mas confira no roteador antes de escolher.

O que a VPN exige do condomínio

1. Saída para a internet. IP público não é necessário.
2. Data e hora corretas no roteador. Certificado recusado por "ainda não válido" quase sempre é relógio errado.
3. Faixa de rede local que não repita a de outro condomínio da mesma instalação. Se repetir, o sistema avisa que será preciso um endereço virtual para esse condomínio.
4. Alguém para configurar o roteador: um técnico do condomínio ou de confiança.

Telefone IP do interfone não precisa de cliente VPN próprio. Na bancada, os telefones registraram direto no servidor de telefonia; registrar pelo túnel do roteador é uma opção que ainda não foi testada.

O que muda no resto do sistema

Depois que o túnel sobe, nada muda no uso. Os equipamentos são cadastrados pelo endereço que têm na rede do condomínio, e o servidor os alcança por dentro do túnel. Para câmeras e DVR, existe no cadastro a opção Usar o túnel em vez do endereço público. Sem ela, o servidor usaria o endereço público do cadastro, geralmente um nome DDNS com a porta aberta no roteador, e é exatamente isso que queremos evitar.

Como fica o passo a passo no jeito 2

Para ter uma ideia do esforço, este é o caminho do arquivo OpenVPN, o que foi testado em bancada:

1. No painel, vá em Rede e telefonia › VPN do condomínio › Dispositivos (OpenVPN).
2. Clique em Novo cliente VPN e escolha um nome que você reconheça, como "Roteador da portaria".
3. Escolha o tipo do aparelho e, se for um roteador, informe a rede local que fica atrás dele.
4. Clique em Criar, copie a senha para o gerenciador de senhas e baixe o arquivo .ovpn.
5. Importe o arquivo no roteador. O cliente aparece como Pendente e passa a Conectado quando o aparelho se conecta.

Leva poucos minutos, mas quem importa o arquivo precisa conhecer o roteador. Por isso a conferência no local faz parte da instalação.

Cuidados com a senha e o arquivo

• A senha de cada cliente VPN aparece uma única vez, ao ser criada. Guarde-a em um gerenciador de senhas. O sistema só guarda um resumo e não consegue mostrá-la de novo.
• O arquivo .ovpn carrega a chave privada do aparelho. Não o envie por e-mail ou chat nem o deixe em pasta compartilhada.
• Um arquivo por aparelho: não reaproveite o mesmo em dois roteadores.

O que a VPN não resolve

• Não elimina outros riscos. Uma VPN protege o caminho, mas a senha do DVR, o firmware e quem tem acesso ao painel continuam importando.
• Não substitui a gravação. O vídeo continua no DVR. O Ciber Porteiro não grava vídeo de câmera.
• Não foi testada com câmera real. A bancada provou o servidor alcançando leitores atrás da VPN; o vídeo ao vivo pelo túnel ainda não tem teste em bancada.

Perguntas frequentes

Preciso de IP fixo no condomínio?

Não. O roteador abre a conexão; o endereço do servidor é que precisa ser conhecido.

E se a internet do condomínio cair?

O túnel cai junto. Enquanto a internet estiver fora, o servidor não alcança os equipamentos. Veja Portaria remota: e se a internet cair? no blog do Ciber Porteiro.

Funciona com qualquer roteador?

Os scripts são para MikroTik. Outros roteadores só servem se tiverem cliente OpenVPN, e isso ainda não foi testado em equipamento real.

Próximo passo

Quer saber qual dos três jeitos serve ao seu condomínio ou à sua empresa? Fale com a gente, diga qual é o roteador e o provedor, e peça uma demonstração do Ciber Porteiro. Se você atende vários condomínios, veja também o Ciber Seg.