--- titulo: "VPN para câmeras do condomínio sem abrir porta no modem" url_canonica: https://cibersistemas.com.br/blog/vpn-cameras-condominio-sem-abrir-porta/ data: 2026-10-10 atualizado: 2026-10-10 autor: "Wesley Alves, fundador da Ciber Sistemas" tema: "segurança" --- > Para citar: VPN para câmeras do condomínio sem abrir porta no modem. Wesley Alves, fundador da Ciber Sistemas, 10 de outubro de 2026. URL canônica: https://cibersistemas.com.br/blog/vpn-cameras-condominio-sem-abrir-porta/ # VPN para câmeras do condomínio sem abrir porta no modem Para acessar câmeras e equipamentos de um condomínio sem abrir porta no modem, use uma VPN de **saída**: o roteador do condomínio (ou o próprio aparelho) conecta-se ao servidor, e não o contrário. Como a conexão parte de dentro, ela atravessa NAT e, em geral, o CGNAT do provedor, e o modem do condomínio não precisa ter porta aberta para a internet. No Ciber Porteiro há **três jeitos** de fazer isso. A escolha depende de o condomínio ter um roteador MikroTik, de a empresa ter um MikroTik central e de os aparelhos saberem fazer VPN. Este texto explica cada um e diz, sem enfeite, o que já foi testado. ## Por que não abrir porta no modem Abrir uma porta para o DVR, a câmera ou o leitor significa que qualquer pessoa na internet pode tentar entrar. Equipamentos com senha de fábrica e firmware antigo são alvo fácil. Além disso, com CGNAT a porta nem chega ao aparelho; veja [acesso remoto ao DVR com CGNAT](https://cibersistemas.com.br/blog/dvr-cgnat-acesso-remoto/). Com o túnel de saída: - o modem não tem porta aberta para a câmera; - o **servidor** passa a alcançar os equipamentos pelo endereço que eles têm na rede do condomínio; - você cadastra os equipamentos no painel como se estivessem na mesma rede. ## Os três jeitos - **Jeito 1: roteador MikroTik por OpenVPN.** Para o condomínio com MikroTik (RouterOS 7) e sem MikroTik central. O painel gera um script para colar no roteador. Estado de teste: ainda não testado em equipamento real. - **Jeito 2: aparelho por OpenVPN (arquivo .ovpn).** Para o roteador configurado à mão ou o aparelho com cliente OpenVPN próprio. Cada aparelho baixa um arquivo e conecta sozinho. Estado de teste: testado em bancada em 24/09/2026, com um MikroTik RB4011 atrás de CGNAT. - **Jeito 3: túnel até o MikroTik central da empresa.** Para a empresa que tem um concentrador onde todos os condomínios se conectam, por WireGuard ou SSTP. Estado de teste: ainda não testado em equipamento real. Homologado na nossa bancada: Intelbras SS 3532 MF e Control iD iDFace. Os demais modelos são compatíveis pela documentação do fabricante ou estão em homologação; a conferência em campo é feita na instalação de cada condomínio. ### Como escolher - Empresa **sem** MikroTik central: jeito 1, ou jeito 2 se o roteador não for MikroTik. - Empresa **com** MikroTik central: jeito 3. O concentrador é cadastrado uma vez e os condomínios se conectam a ele. - Câmera, telefone ou caixa com cliente OpenVPN próprio e sem roteador gerenciável: jeito 2, um cliente por aparelho. ### WireGuard ou SSTP? No jeito 3 você escolhe o protocolo. O **WireGuard** é leve e rápido, mas exige RouterOS 7. O **SSTP** funciona em RouterOS 6 ou 7, usa TCP e HTTPS e atravessa NAT e CGNAT com facilidade. O painel aceita "Não sei" como versão, mas confira no roteador antes de escolher. ## O que a VPN exige do condomínio 1. **Saída para a internet.** IP público não é necessário. 2. **Data e hora corretas no roteador.** Certificado recusado por "ainda não válido" quase sempre é relógio errado. 3. **Faixa de rede local que não repita a de outro condomínio** da mesma instalação. Se repetir, o sistema avisa que será preciso um endereço virtual para esse condomínio. 4. **Alguém para configurar o roteador**: um técnico do condomínio ou de confiança. Telefone IP do interfone não precisa de cliente VPN próprio. Na bancada, os telefones registraram direto no servidor de telefonia; registrar pelo túnel do roteador é uma opção que ainda não foi testada. ## O que muda no resto do sistema Depois que o túnel sobe, nada muda no uso. Os equipamentos são cadastrados pelo endereço que têm na rede do condomínio, e o servidor os alcança por dentro do túnel. Para câmeras e DVR, existe no cadastro a opção **Usar o túnel em vez do endereço público**. Sem ela, o servidor usaria o endereço público do cadastro, geralmente um nome DDNS com a porta aberta no roteador, e é exatamente isso que queremos evitar. ## Como fica o passo a passo no jeito 2 Para ter uma ideia do esforço, este é o caminho do arquivo OpenVPN, o que foi testado em bancada: 1. No painel, vá em **Rede e telefonia › VPN do condomínio › Dispositivos (OpenVPN)**. 2. Clique em **Novo cliente VPN** e escolha um nome que você reconheça, como "Roteador da portaria". 3. Escolha o tipo do aparelho e, se for um roteador, informe a rede local que fica atrás dele. 4. Clique em **Criar**, copie a senha para o gerenciador de senhas e baixe o arquivo `.ovpn`. 5. Importe o arquivo no roteador. O cliente aparece como **Pendente** e passa a **Conectado** quando o aparelho se conecta. Leva poucos minutos, mas quem importa o arquivo precisa conhecer o roteador. Por isso a conferência no local faz parte da instalação. ## Cuidados com a senha e o arquivo - A senha de cada cliente VPN aparece **uma única vez**, ao ser criada. Guarde-a em um gerenciador de senhas. O sistema só guarda um resumo e não consegue mostrá-la de novo. - O arquivo `.ovpn` carrega a chave privada do aparelho. Não o envie por e-mail ou chat nem o deixe em pasta compartilhada. - Um arquivo por aparelho: não reaproveite o mesmo em dois roteadores. ## O que a VPN não resolve - **Não elimina outros riscos.** Uma VPN protege o caminho, mas a senha do DVR, o firmware e quem tem acesso ao painel continuam importando. - **Não substitui a gravação.** O vídeo continua no DVR. O Ciber Porteiro não grava vídeo de câmera. - **Não foi testada com câmera real.** A bancada provou o servidor alcançando leitores atrás da VPN; o vídeo ao vivo pelo túnel ainda não tem teste em bancada. ## Perguntas frequentes ### Preciso de IP fixo no condomínio? Não. O roteador abre a conexão; o endereço do servidor é que precisa ser conhecido. ### E se a internet do condomínio cair? O túnel cai junto. Enquanto a internet estiver fora, o servidor não alcança os equipamentos. Veja [Portaria remota: e se a internet cair?](https://ciberporteiro.com.br/blog/portaria-remota-internet-caiu) no blog do Ciber Porteiro. ### Funciona com qualquer roteador? Os scripts são para MikroTik. Outros roteadores só servem se tiverem cliente OpenVPN, e isso ainda não foi testado em equipamento real. ## Próximo passo Quer saber qual dos três jeitos serve ao seu condomínio ou à sua empresa? [Fale com a gente](https://cibersistemas.com.br/contato/), diga qual é o roteador e o provedor, e peça uma demonstração do [Ciber Porteiro](https://cibersistemas.com.br/porteiro/). Se você atende vários condomínios, veja também o [Ciber Seg](https://cibersistemas.com.br/seg/).