21 de maio de 2026•7 min de leitura

Grupos de usuários e pools de IP para conexões P2S: o que muda no VPN Gateway da Azure

Grupos de usuários e pools de IP para conexões P2S no VPN Gateway da Azure: o que muda para empresas brasileiras?

TL;DR: A funcionalidade User Groups and IP Address Pools para conexões Point-to-Site no VPN Gateway da Azure, agora GA, permite associar pools de IP diferentes a grupos de usuários com base em suas credenciais (Microsoft Entra ID). Para empresas brasileiras, isso significa mais controle sobre acesso remoto, segmentação de rede por perfil de usuário e conformidade com políticas de segurança sem depender de soluções third-party. O uso prático inclui separar tráfego de terceiros, auditoria por IP e redução de atritos com IAM.

A Microsoft anunciou a disponibilidade geral (GA) de uma funcionalidade que era aguardada por muitos times de infraestrutura que gerenciam VPNs corporativas na Azure: User Groups and IP Address Pools para conexões Point-to-Site (P2S) no VPN Gateway. Em vez de apenas mais um release note, vamos analisar o que isso significa na prática — especialmente para empresas brasileiras que lidam com regulamentações como LGPD, ambientes híbridos e times de engenharia que precisam de granularidade sem burocracia.

O que essa funcionalidade resolve?

Antes dessa atualização, ao configurar uma conexão P2S no VPN Gateway, todos os usuários remotos recebiam IPs de um único pool (ex.: 10.1.0.0/24). Se você quisesse separar o tráfego de diferentes perfis — por exemplo, desenvolvedores vs. terceiros vs. financeiro —, precisava de soluções paralelas: múltiplos gateways, VPNs separadas ou configurações complexas de roteamento e firewall com base em usuário.

Agora, com User Groups and IP Address Pools, você pode:

Definir grupos de usuários (ex.: Funcionarios, Parceiros, Admins)
Atribuir um pool de IP distinto para cada grupo (ex.: 10.1.0.0/24 para funcionários, 10.2.0.0/24 para parceiros)
Usar o Microsoft Entra ID (antigo Azure AD) como fonte de autenticação e associação de grupo
Aplicar políticas de rede (NSGs, rotas, firewalls baseados em IP) específicas para cada pool

A Microsoft integrou isso ao serviço Microsoft Entra ID (Azure AD) e ao VPN Gateway, sem exigir agentes adicionais ou aplicações de terceiros.

Ponto de atenção para empresas brasileiras: Se você já usa Microsoft Entra ID como identity provider (IdP) e tem grupos bem definidos, a implementação é direta. Se ainda depende de autenticação via certificados ou RADIUS, essa funcionalidade não se aplica ao seu cenário — a Microsoft focou no ecossistema Entra ID.

Como funciona na prática? (e quais os requisitos)

A atribuição de IP por grupo acontece durante a autenticação P2S. O fluxo é:

O usuário se conecta via VPN client (nativo do Windows, macOS, iOS, Android ou Linux) usando autenticação com Microsoft Entra ID.
O VPN Gateway consulta o Entra ID para verificar as associações de grupo do usuário.
Com base no mapeamento definido (grupo -> pool de IP), o gateway atribui um IP do pool correspondente.
O tráfego do usuário agora se origina de um IP específico do pool daquele grupo.

Pré-requisitos técnicos importantes:

O VPN Gateway deve ser do tipo route-based (não policy-based).
A autenticação P2S deve usar Microsoft Entra ID (Azure AD). Não funciona com certificados ou RADIUS.
Você precisa pré-configurar os User Groups no recurso de VPN Gateway (via portal, CLI ou ARM template).
O mapeamento entre grupos do Entra ID e os pools de IP é configurado no gateway, não no Entra ID.

Cenários de uso para engenheiros e gestores brasileiros

1. Segregação de acessos de terceiros (mais comum)
Empresas que contratam consultorias, freelancers ou parceiros externos podem criar um grupo "Terceiros" com um pool de IP restrito (ex.: 10.2.0.0/24). As regras de firewall só permitem acesso a serviços específicos (ex.: apenas portas 80/443 para alguns endpoints). O time interno fica em outro pool (ex.: 10.1.0.0/24) com permissões mais amplas. Sem necessidade de VPN separada.

2. Conformidade e auditoria (LGPD, SOX)
Se o compliance exige que o tráfego de determinados usuários seja isolado ou rastreável por IP, essa funcionalidade elimina a necessidade de soluções de logging complexas. Cada pool de IP está associado a um grupo, e os logs do gateway mostram qual pool gerou cada conexão.

3. Policy-based routing simplificado
Você pode criar rotas específicas para cada pool (via User Defined Routes ou NVAs). Por exemplo: todo tráfego do pool de desenvolvedores passa por um NVA de inspeção de tráfego; o pool de executivos tem rota direta para alguns serviços.

Cuidado: A funcionalidade não cria automaticamente regras de firewall ou NSGs. Você ainda precisa configurar as políticas de rede manualmente. O pool de IP é apenas o marcador.

Pontos de atenção e limitações

Não substitui o RBAC: Essa funcionalidade é sobre atribuição de IP, não sobre controle de acesso a recursos. Ainda é necessário usar IAM (Entra ID roles) e NSGs para autorizar ações.
Escalabilidade: O número de grupos e pools é limitado pelas quotas do VPN Gateway (consulte documentação atual da Azure). Para cenários com muitos grupos, talvez precise fracionar em múltiplos gateways ou usar Virtual WAN.
Dependência do Entra ID: Se o Microsoft Entra ID ficar indisponível, novos usuários não conseguem se conectar via P2S (a menos que haja fallback com certificados, o que não cobre esse cenário de grupos).

Sua empresa precisa de ajuda para planejar a segmentação de VPN corporativa na Azure? Conte com a Nuvem Online para desenhar arquiteturas seguras e eficientes.

Como isso se compara a soluções anteriores?

Antes da GA, para conseguir isolamento similar, as opções eram:

Múltiplos VPN Gateways: Um para cada grupo. Alto custo e complexidade.
RADIUS com atributos de pool: Possível, mas exigia servidor RADIOS on-premises ou em nuvem e configuração manual de roteamento.
SD-WAN ou VPN client customizada: Soluções como Cisco AnyConnect ou Palo Alto GlobalProtect, que aumentam custo e dependência de vendor.

A funcionalidade nativa da Azure simplifica drasticamente para quem já está no ecossistema Microsoft, mas não atende a cenários de múltiplos IdPs ou autenticação híbrida.

Vale a pena migrar agora?

Para empresas brasileiras que:

Usam Microsoft 365 ou Azure AD (Entra ID) como IdP principal
Têm necessidade de segregar acessos remotos por perfil (funcionários vs. terceiros, admins vs. operadores)
Querem evitar custos extras com gateways adicionais ou soluções third-party

Sim, a funcionalidade já está madura e é recomendada. A Microsoft posicionou isso como GA, indicando que o SLA padrão se aplica.

Para quem usa autenticação por certificado ou RADIUS, a recomendação é planejar a migração para Entra ID antes de adotar essa funcionalidade. Enquanto isso, o cenário convencional com pools únicos ainda funciona.

Perguntas Frequentes

Posso usar essa funcionalidade com VPN Gateway básico (Basic SKU)?
Não. O Basic SKU não suporta P2S com autenticação Entra ID. Use pelo menos SKU VpnGw1 (ou superior) ou o novo generation (VpnGw1AZ etc.). Verifique os SKUs que suportam P2S IKEv2 com Azure AD.
A funcionalidade funciona com Azure Virtual WAN?
A Microsoft anunciou suporte similar para Virtual WAN P2S (também em preview/GA em algumas regiões). Para conexões P2S tradicionais no VPN Gateway standalone, a funcionalidade descrita aqui é a correta. Consulte a documentação do Virtual WAN para detalhes.
Preciso recriar o gateway para habilitar User Groups?
Não. A configuração é feita no recurso do VPN Gateway via CLI/PowerShell/portal. Não é necessário recriar o gateway. Porém, se você estiver migrando de autenticação por certificado para Entra ID, aí sim pode ser necessário recriar a configuração P2S.
Quantos grupos e pools posso criar?
O limite técnico está sujeito às quotas da VPN Gateway e do número de prefixos de endereço suportados. Em geral, recomenda-se não ultrapassar 10 a 20 grupos por gateway para manter a performance e gerenciabilidade. Consulte as cotas atuais da Azure para mais detalhes.
Essa funcionalidade substitui o uso de certificados para autenticação?
Não completamente. Você pode continuar usando certificados para autenticação P2S, mas se quiser usar User Groups com IP pools, a autenticação via Entra ID é obrigatória. A Microsoft não fornece suporte para grupos de usuários com autenticação por certificado ou RADIUS neste lançamento.