ZTNA sobre VPN: como evoluir da VPN tradicional para Zero Trust

O que é ZTNA e por que ele se tornou tão relevante?

O ZTNA (Zero Trust Network Access) é um pilar fundamental do modelo Zero Trust, que parte do pressuposto de que nenhum usuário, dispositivo ou aplicação deve ser confiável por padrão, independentemente de estar dentro ou fora da rede corporativa.

Na prática, o ZTNA funciona da seguinte forma:

• O acesso é baseado em identidade, não em localização de rede;

• Cada solicitação de acesso é avaliada individualmente;

• O usuário recebe acesso apenas à aplicação específica, e não à rede inteira;

• O acesso é monitorado continuamente, podendo ser revogado se algo mudar no contexto do usuário ou do dispositivo.

Essa abordagem ganhou ainda mais força após iniciativas governamentais e regulatórias, como a ordem executiva do governo dos Estados Unidos, que determinou a adoção de Zero Trust em órgãos federais até 2025

VPN tradicional vs. ZTNA: onde está o problema?

Apesar de amplamente utilizada, a VPN tradicional possui limitações importantes do ponto de vista de segurança:

• Após autenticar, o usuário costuma ter acesso à rede inteira;

• Há confiança implícita durante toda a sessão;

• Se um endpoint estiver comprometido, o atacante pode se mover lateralmente;

• O controle é mais focado em rede, e menos em aplicação e identidade.

Em contrapartida, o ZTNA oferece:

• Acesso granular por aplicação;

• Verificação contínua de usuário, dispositivo e postura de segurança;

• Redução significativa da superfície de ataque;

• Melhor alinhamento com ambientes híbridos e cloud.

No entanto, migrar diretamente de VPN para um ZTNA completo pode ser complexo, caro e exigir mudanças profundas na arquitetura.

É nesse cenário que surge uma abordagem intermediária extremamente estratégica: ZTNA sobre VPN.

O que é ZTNA sobre VPN (ZTNA over VPN Tunnels)?

O conceito de ZTNA sobre VPN combina o melhor dos dois mundos:

• Mantém a infraestrutura de VPN existente, já conhecida por usuários e administradores;

• Aplica princípios de Zero Trust sobre esse acesso.

Segundo o material da Fortinet, essa abordagem permite que organizações avancem na jornada Zero Trust sem ruptura, aproveitando investimentos já realizados 

Em vez de substituir imediatamente a VPN, o ZTNA sobre VPN adiciona camadas de verificação, contexto e postura de segurança antes de conceder acesso às aplicações.

Como funciona o ZTNA sobre VPN na prática?

O funcionamento da arquitetura ocorre em etapas bem definidas:

1. O usuário se conecta via VPN utilizando um cliente (como o FortiClient);

2. O sistema valida a identidade do usuário, normalmente com MFA;

3. O dispositivo é verificado quanto à sua identidade e postura de segurança;

4. Informações contextuais são avaliadas, como:

   • Localização;

   • Horário de acesso;

   • Tipo de dispositivo;

   • Perfil do usuário;

5. Somente após essas validações o acesso à aplicação é liberado.

Todo esse processo ocorre antes e durante a sessão, garantindo que qualquer mudança no contexto possa resultar na revogação imediata do acesso 

O papel da postura de segurança do endpoint

Um dos pontos mais relevantes do ZTNA é a avaliação da postura de segurança do dispositivo. Não basta saber quem é o usuário; é essencial saber em que condições o dispositivo se encontra.

O PDF descreve o uso de security posture tags, que permitem validar, por exemplo:

• Se o antivírus está ativo;

• Se o sistema operacional está atualizado;

• Se o endpoint atende a requisitos mínimos de segurança;

• Se não há indicadores de comprometimento.

Essas informações são atualizadas continuamente e integradas às políticas de acesso, elevando consideravelmente o nível de proteção

Benefícios do ZTNA sobre VPN para as empresas

Adotar ZTNA sobre VPN traz vantagens práticas e estratégicas:

1. Evolução gradual para Zero Trust

Permite iniciar a jornada Zero Trust sem a necessidade de substituir toda a arquitetura atual.

2. Redução de custos

Aproveita infraestrutura existente, reduzindo investimentos iniciais e custos de treinamento.

3. Menor impacto operacional

Usuários continuam utilizando tecnologias conhecidas, diminuindo resistência à mudança.

4. Aumento significativo da segurança

Mesmo sem um ZTNA completo, já é possível aplicar:

• Autenticação forte;

• Verificação contínua;

• Controles baseados em identidade e contexto.

5. Suporte a múltiplos tipos de tráfego

A solução suporta tráfego web, TCP e UDP, o que é essencial em ambientes corporativos complexos

Limitações do ZTNA sobre VPN (e por que isso importa)

É importante destacar que o ZTNA sobre VPN não é um ZTNA completo. O próprio material ressalta algumas limitações:

• Não cria túneis automáticos por aplicação;

• Não criptografa comunicações internas após a conexão;

• Normalmente ainda concede acesso em nível de rede, não exclusivamente por sessão de aplicação.

Essas limitações reforçam que o ZTNA sobre VPN deve ser encarado como uma etapa intermediária, e não o destino final da estratégia Zero Trust

ZTNA sobre VPN vs. ZTNA completo: quando migrar?

A comparação apresentada no PDF deixa claro que o ZTNA completo oferece:

• Acesso exclusivo por aplicação;

• Segmentação avançada;

• Túneis criptografados por sessão;

• Eliminação total do acesso à rede interna.

O ZTNA sobre VPN, por sua vez, é ideal quando:

• A empresa ainda depende fortemente de VPN;

• Há necessidade de retorno rápido sobre investimentos;

• A maturidade em Zero Trust ainda está em evolução.

Na prática, muitas organizações utilizam o ZTNA sobre VPN como ponte estratégica para, no futuro, adotar um ZTNA completo de forma planejada e sustentável.