Tunnel reverso ou VPN: qual escolher para cada caso

Comparar tunnel reverso (ngrok, SuperDMZ, Cloudflare Tunnel) com VPN (OpenVPN, WireGuard, Tailscale) é como comparar uber com ônibus — atendem ao mesmo tipo de necessidade ("ir de A pra B") mas com modelos completamente diferentes.

VPN: a rota tradicional

A VPN coloca o usuário dentro da rede. Quem conectou ganha acesso a tudo que o roteamento da rede permite — IPs internos, broadcast, DNS interno, impressora, etc.

Quando faz sentido:

• Funcionário interno que precisa acessar 5+ serviços diferentes da empresa
• Sysadmin que precisa de SSH em 30 máquinas
• Filial conectando datacenter (site-to-site)

Onde dói:

• Cliente precisa instalar e configurar (mesmo Tailscale é uma app que pede login)
• Cliente cai → cliente reclama → você reconfigura
• Compartilhar o acesso "rápido" com terceiro vira problema de provisionamento

Tunnel reverso: um único endpoint público

O tunnel reverso expõe UM serviço da rede via uma URL pública. Quem acessa essa URL não precisa de cliente, não precisa de credencial extra além da que o próprio serviço já tem.

Quando faz sentido:

• Webhook de pagamento batendo no seu Express local
• Cliente final acessando um sistema interno via HTTPS (que ele acessa pelo browser)
• RDP / SSH específico para 1 desenvolvedor remoto
• Câmera IP que o dono quer ver pelo celular
• Demonstração de produto que você quer mostrar para 1 prospect

Onde dói:

• Cada serviço novo é um tunnel novo (mas isso geralmente é vantagem — controle granular)
• Não substitui VPN para uso interno "amplo" de funcionário

Sobre ZTNA (Zero Trust Network Access)

ZTNA é a evolução da VPN — em vez de dar acesso à rede inteira, dá acesso por aplicação. Cloudflare Access e Twingate são exemplos. Conceitualmente está muito próximo do que o tunnel reverso faz, mas envolve geralmente cliente nos dois lados (servidor + usuário) e tem custo mais alto.

Resumo prático

• Funcionário acessando muita coisa da empresa? VPN ou ZTNA.
• Webhook, câmera IP, RDP pontual, demonstração, dev local? Tunnel reverso.
• Cliente final consumindo seu sistema interno? Tunnel reverso.
• Híbrido (filial → datacenter)? VPN.