Rede privada (VPN site-to-site)
A rede privada da Coda Cloud liga a rede da sua empresa (matriz, filial, data center ou outra nuvem) aos seus ambientes por um túnel IPsec site-to-site. Com ela:
- suas aplicações falam com sistemas internos da empresa (ERP, banco on-premises, AD/LDAP, APIs internas) sem que eles fiquem expostos na internet;
- o seu time, dentro da rede da empresa, alcança bancos, caches, filas e aplicações gerenciados por endpoints privados, sem passar pela internet;
- você pode desligar o acesso público de um recurso que só precisa ser alcançado pela VPN.
Nenhuma aplicação precisa mudar: a plataforma cuida das rotas, do NAT, do DNS e das regras de rede. A rede privada está disponível nos planos Business e Enterprise e, no Pro, como complemento. Veja Planos e limites.
Conceitos
Gateway VPN
O gateway VPN é a ponta do túnel do lado da Coda Cloud. Cada gateway tem:
- um IP público dedicado, que você configura como peer no firewall da empresa;
- uma região (a mesma dos ambientes que ele atende);
- um escopo, que define quais ambientes ele alcança;
- um tamanho (SKU);
- uma faixa de trânsito.
| SKU | Réplicas | Alta disponibilidade |
|---|---|---|
vpn-s | 1 | Não. Manutenções da plataforma causam uma queda curta do túnel. |
vpn-m | 2, em nós diferentes | Ativo-passivo no mesmo IP público, com failover por DPD (cerca de 30 s). |
vpn-l | 2, em nós diferentes | Como o vpn-m, com mais banda e mais conexões. |
Os SKUs liberados para a sua organização dependem do plano.
Escopo
| Escopo | Alcança | Quem administra |
|---|---|---|
| Organização | Os ambientes de todos os projetos da organização na mesma região. Um filtro de ambientes opcional restringe a cobertura por nome (por exemplo, só production). | Owner e Admin da organização |
| Projeto | Só os ambientes de um projeto. | Admin do projeto |
Um recurso fora do escopo (outro projeto, outra região ou um ambiente fora do filtro) não pode receber endpoint privado nem enxergar os destinos remotos do gateway.
Site e conexão
- O site descreve a rede da empresa: o endereço do firewall (IP ou FQDN), as redes remotas (CIDRs, por exemplo
192.168.10.0/24) e, opcionalmente, os servidores DNS internos. - A conexão liga o gateway a um site: autenticação por chave pré-compartilhada (PSK), política criptográfica, DPD e um ou dois túneis (dois nos SKUs com alta disponibilidade).
Faixa de trânsito
A rede da sua empresa nunca enxerga os endereços internos da plataforma. Ela enxerga só a faixa de trânsito do gateway, um bloco pequeno de endereços onde ficam os endpoints privados e o DNS privado.
- Padrão: um
/24escolhido pela plataforma dentro de100.64.0.0/10(faixa reservada para esse uso, RFC 6598), sem repetição entre gateways da mesma região. - Opcional: um
/24a/27privado (RFC 1918) escolhido por você, desde que não colida com as redes remotas dos seus sites nem com as faixas internas da plataforma (10.0.0.0/16,10.244.0.0/16,10.60.0.0/16a10.62.0.0/16).
| Endereço | Uso |
|---|---|
.1 | Origem do tráfego que sai da plataforma para a sua rede (destinos remotos) |
.2 | Servidor DNS privado |
.3 a .9 | Reservados |
.10 em diante | Endpoints privados |
Como a plataforma faz NAT dentro do gateway, a sua rede pode usar qualquer faixa, inclusive a mesma de outros clientes.
No seu firewall, a política do túnel é sempre redes do site ↔ faixa de trânsito.
Endpoint privado (entrada)
Um endpoint privado dá a um recurso do ambiente um IP da faixa de trânsito e um nome no DNS privado. Da rede da empresa, o seu time conecta nesse IP ou nome como se o recurso estivesse na rede local.
| Modo | Para | Como funciona |
|---|---|---|
L4 | Bancos, caches, filas, busca, buckets e aplicações TCP | Encaminha a porta direto para o serviço do recurso. |
HttpEdge | Aplicações HTTP (padrão para elas) | Passa pela borda privada da plataforma, com o mesmo WAF e rate limit das rotas públicas. O certificado vem de uma CA da sua organização, que você baixa no portal para os clientes confiarem. |
Só o pod do gateway alcança o recurso, e só nas portas do endpoint.
Destino remoto (saída)
Um destino remoto publica um host:porta da rede da empresa com um nome curto dentro dos seus ambientes. Ao criar o destino erp → 192.168.10.20:5432, as aplicações dos ambientes cobertos passam a conectar em erp:5432, como se fosse um recurso do próprio ambiente.
- O host pode ser um IP ou um FQDN. Um FQDN é resolvido pelos servidores DNS do site, através do túnel, e o IP precisa estar dentro das redes remotas do site; se não estiver, o destino fica não resolvido (
resolved_outside_site). - O nome não pode repetir o de um recurso do ambiente nem o de um destino de outro gateway.
- Só os destinos declarados são alcançáveis: um IP da rede da empresa que não foi cadastrado não é alcançado.
DNS privado
Cada gateway serve uma zona privada:
- escopo de organização:
<organização>.privatelink.<domínio>; - escopo de projeto:
<projeto>.<organização>.privatelink.<domínio>.
O nome padrão de um endpoint é o nome do recurso (db.acme.privatelink.<domínio>). Quando a cobertura tem dois ambientes com um recurso de mesmo nome, o nome ganha o ambiente: db-staging. Configure no DNS da empresa um conditional forwarder da zona para o IP .2 da faixa de trânsito, ou importe a zona exportada pelo portal (BIND ou CSV). Perguntas fora da zona recebem REFUSED.
Acesso público do recurso
Depois que um recurso tem um endpoint privado pronto, você pode desligar o acesso público dele na aba Rede do recurso: a rota HTTP pública e o endpoint TCP público (veja Acesso público TCP) saem do ar, e o recurso continua alcançável pela VPN e pelos outros recursos do ambiente. Desligar exige confirmação do segundo fator; religar, não.
Quem pode fazer o quê
| Ação | Quem |
|---|---|
| Criar, editar e remover gateway, site, conexão, destino e endpoint | Gestor do gateway: Owner/Admin da organização (escopo organização) ou Admin do projeto (escopo projeto) |
| Gerar ou rotacionar a PSK, criar conexão, desligar acesso público | Gestor, com confirmação do segundo fator (step-up) |
| Ver gateways, estado dos túneis, destinos, endpoints e DNS | Developer e Viewer dos projetos cobertos |
| Ver a PSK | Ninguém depois da geração |
A PSK é exibida uma única vez, na geração ou rotação. A plataforma guarda o valor no cofre da sua organização e nunca o mostra de novo, nem em logs, auditoria ou na configuração baixada (que traz o marcador <PSK>). Tokens de API e assistentes de IA podem ler o estado, mas não geram PSK nem desligam acesso público.
Estado e monitoramento
O portal mostra, por túnel: estado (Conectando, Conectado, Desconectado), último handshake, bytes e pacotes nos dois sentidos e o motivo da última falha. As quedas e retomadas viram os eventos vpn.tunnel_down e vpn.tunnel_up, que você assina em notificações. Os logs do IKE ficam na aba de logs do gateway, com chaves, nonces e segredos removidos.
Testar conectividade roda, a partir do gateway, um teste TCP (host:porta) ou DNS (nome) contra a rede da empresa. Veja Solução de problemas.
Próximos passos
- Guia por fabricante: do gateway ao túnel no ar.
- Limites da v1.