Como criar um túnel seguro corporativo usando o RustDesk

Por que fugir dos servidores públicos do RustDesk na empresa?

Quando usamos o RustDesk fora da caixa, ele costuma se conectar a servidores públicos mantidos pelos desenvolvedores ou pela comunidade. Na prática, isso significa que, embora o vídeo e o controle do mouse estejam criptografados, o gerenciamento inicial da conexão passa por infraestruturas de terceiros. Para uma empresa que lida com dados sensíveis, conformidade legal e auditoria rigorosa, essa dependência representa um risco invisível.

Hospedar a própria infraestrutura de sinalização e retransmissão resolve esse dilema estrutural. Ao controlar o servidor, você garante que nenhum metadado de acesso — como endereços IP de origem e destino, horários ou chaves de sessão — transite por redes que você não gerencia diretamente. É o mesmo princípio de segurança aplicado quando configuramos infraestruturas próprias, como redes resilientes com failover de internet para manter operações ativas sem depender de um único ponto de falha.

Entendendo a arquitetura de relé e sinalização

Para o RustDesk funcionar sem intermediários externos, precisamos entender duas peças fundamentais que rodam no servidor: o serviço de sinalização (chamado de hbbs) e o serviço de retransmissão (chamado de hbbr). Na prática, o hbbs funciona como uma lista telefônica que diz onde cada computador está na internet, enquanto o hbbr age como um túnel direto quando dois computadores não conseguem conversar entre si por causa de barreiras de roteadores corporativos.

Quando dois dispositivos estão na mesma rede local ou possuem rotas diretas, a conexão é ponto a ponto. Porém, se houver firewalls restritivos bloqueando o caminho, o tráfego precisa saltar pelo hbbr. É aqui que entra a criptografia ponta a ponta: mesmo que os dados passem pelo seu servidor de retransmissão, eles viajam embaralhados com chaves matemáticas que só o computador que origina o comando e o computador que o executa conhecem. Para garantir que essa infraestrutura nunca caia no esquecimento, boas práticas de monitoramento, como aquelas vistas em sistemas preditivos de alerta no Grafana, ajudam a antecipar quedas de serviço.

Preparando o ambiente e subindo os serviços com Docker

A forma mais limpa e isolada de rodar os componentes do RustDesk é utilizando contêineres Docker, que empacotam o software junto com tudo o que ele precisa para rodar sem bagunçar o sistema operacional principal. Abaixo está um exemplo funcional de arquivo docker-compose.yml para implantar tanto o sinalizador quanto o retransmissor em um servidor Linux dedicado na nuvem ou na sua matriz.

version: '3'
services:
  hbbs:
    container_name: hbbs
    image: rustdesk/rustdesk-server:latest
    command: hbbs -r seu-ip-ou-dominio:21117
    volumes:
      - ./data:/root
    ports:
      - 21115:21115
      - 21116:21116/udp
      - 21117:21117
    restart: unless-stopped

  hbbr:
    container_name: hbbr
    image: rustdesk/rustdesk-server:latest
    command: hbbr
    volumes:
      - ./data:/root
    ports:
      - 21118:21118
      - 21119:21119
    restart: unless-stopped

Depois de criar o arquivo, basta executar o comando no terminal para colocar os serviços em funcionamento contínuo. Certifique-se de substituir seu-ip-ou-dominio pelo endereço real do seu servidor corporativo acessível pela internet.

docker compose up -d

Configurando portas e chaves de segurança

As portas utilizadas pelo RustDesk precisam estar devidamente liberadas no firewall do seu servidor e do provedor de nuvem. A porta 21115 serve para o registro TCP, a porta 21116 lida com o protocolo UDP para descoberta e conexões diretas, a 21117 gerencia o serviço de ID, e as portas 21118 e 21119 cuidam do túnel de retransmissão de vídeo.

Além de abrir as portas corretas, o diretório de dados mapeado no Docker gerará um arquivo de chave pública com a extensão .pub. Essa chave é o bilhete de entrada para os clientes da sua empresa: apenas os aplicativos configurados com essa chave específica conseguirão se registrar no seu servidor corporativo, impedindo que máquinas não autorizadas tentem adivinhar senhas ou explorar vulnerabilidades de acesso.

Configurando os clientes para apontar para o servidor privado

Com o servidor rodando e as portas abertas, o próximo passo é configurar os computadores dos colaboradores e os servidores que serão acessados remotamente. No aplicativo do RustDesk instalado em cada máquina, abra as configurações de rede e insira o endereço IP ou o domínio do seu servidor nos campos dedicados ao servidor de ID (ID Server) e ao servidor de retransmissão (Relay Server).

Cole também a chave pública gerada pelo seu servidor no campo de chave de criptografia. Na prática, isso significa que a partir daquele momento a máquina cliente deixará de procurar os servidores públicos na internet e passará a reportar exclusivamente para a infraestrutura interna da sua corporação, mantendo todas as conexões sob estrito controle e monitoramento de tráfego.

Auditoria e conformidade de acessos remotos

Uma das maiores vantagens de manter um túnel auto-hospedado é a capacidade de auditar o comportamento da equipe. Como o tráfego passa inteiramente pelo seu hardware, os logs gerados pelo contêiner hbbs registram exatamente qual usuário se conectou a qual máquina, o momento do início da sessão e a duração total do atendimento.

Esses registros podem ser enviados para ferramentas centralizadas de análise de logs para cumprir exigências de normas de segurança da informação, como a ISO 27001 ou a LGPD. Em caso de incidentes, a equipe de segurança consegue rastrear rapidamente a origem de um acesso mal-intencionado, garantindo um nível de governança corporativa impossível de alcançar com ferramentas de acesso remoto genéricas e descentralizadas. Para aprofundar esses conceitos na prática em produção, confira também nossa análise técnica sobre Zabbix lento? Como escalar o PostgreSQL para alta volumetria.

Considerações finais

Implementar um túnel seguro corporativo com o RustDesk combina a flexibilidade do acesso remoto moderno com o rigor de segurança exigido pelo mercado atual. Ao isolar a infraestrutura em servidores próprios, você protege dados sensíveis contra interceptações e mantém o controle absoluto sobre o fluxo de informações da empresa, consolidando uma base tecnológica confiável para operações distribuídas.