Gateway em Nuvem

O Gateway de Comunicação pode ser implantado de duas formas. Além do Gateway físico instalado na rede do cliente (descrito na Visão Geral), o serviço de gateway também pode rodar na nuvem, alcançando os equipamentos da unidade por um túnel VPN criptografado.

Os dois modelos estão ativos e a escolha é do cliente, conforme as características de cada projeto.

Por que existe esse modelo

O Accelero é um sistema SaaS e comunica-se com os equipamentos por MQTT, sempre com a conexão partindo do equipamento para a nuvem. Esse desenho evita expor a rede do cliente: não é preciso IP público, nem redirecionamento de porta, nem qualquer serviço publicado na internet.

Leitores faciais, porém, não falam MQTT. Eles expõem uma API HTTP na rede local. É por isso que existe o Gateway: ele fica onde os equipamentos estão e traduz MQTT para HTTP.

Entregar esse componente como um computador dedicado na unidade traz custos e riscos que não são do software: custo de aquisição do equipamento, consumo de energia, espaço no rack, e todas as falhas típicas de hardware em campo, como corrupção de cartão de memória, defeito de fonte e desligamento acidental. Boa parte desses incidentes exige visita técnica.

No modelo em nuvem, esse computador deixa de existir na unidade. O papel de conectividade passa a ser exercido por um equipamento de rede que na maioria dos projetos já está instalado: o MikroTik.

Como funciona

O MikroTik estabelece um túnel WireGuard entre a rede da unidade e a infraestrutura em nuvem. Por dentro desse túnel privado, o serviço de gateway alcança apenas os equipamentos autorizados daquela unidade, enviando cadastros, fotos, templates faciais, cartões e comandos de sincronização.

Três características definem o modelo:

• Quem inicia o túnel é o MikroTik, de dentro para fora. O cliente não precisa de IP público fixo nem de liberação de porta de entrada. Funciona em praticamente qualquer tipo de link, inclusive atrás de NAT da operadora.
• Os leitores permanecem em IP privado. Nenhum equipamento fica acessível pela internet. O acesso ocorre exclusivamente pelo túnel, com regras de firewall que restringem a comunicação aos endereços e serviços necessários.
• A lógica de integração continua no serviço de gateway. O MikroTik não processa cadastro nem regra de acesso: ele é o ponto de conectividade segura e roteamento. Para o Accelero, o gateway se comporta exatamente como antes, aparecendo normalmente na tela de gateways com status, versão e keepalive.

O gateway não deixou de existir, mudou de lugar

Vale insistir neste ponto, porque é a confusão mais comum sobre o modelo.

O Gateway sempre exerceu três papéis: transporte (comunicação segura com a nuvem), integração (traduzir MQTT para HTTP, controlar fila, retentativa e tratamento de erro) e execução (falar com o leitor por API REST).

O MikroTik assume apenas o transporte. Ele é um equipamento de rede: não tem fila de mensagens, não trata leitor indisponível, não faz retentativa nem guarda histórico de integração. A integração e a execução continuam a cargo do serviço de gateway, que agora roda na nuvem com o mesmo comportamento de antes.

Por isso o modelo não é "a nuvem chamando o leitor direto pelo túnel". É o mesmo gateway de sempre, no mesmo desenho lógico, apenas hospedado na infraestrutura da Iongrade em vez do rack do cliente.

Por que WireGuard

O WireGuard é o protocolo de VPN recomendado para esse cenário, e o próprio fabricante do MikroTik o descreve como mais simples, mais rápido e mais performático que o OpenVPN. Na prática isso significa configuração menor e menos sujeita a erro (sem certificados nem PKI para manter), reconexão praticamente instantânea em links que oscilam, e menor consumo de CPU no roteador, o que importa nos modelos de entrada.

O que muda para o cliente

	Gateway físico	Gateway em nuvem
Equipamento dedicado na unidade	Sim (Orange Pi ou mini PC)	Não
Equipamento de rede necessário	Nenhum específico	MikroTik com suporte a WireGuard
Custo de equipamento	Orange Pi ou mini PC por unidade	MikroTik, normalmente já instalado e mais barato
Consumo de energia adicional	Sim	Não
Falha de hardware do gateway	Possível	Não se aplica
Manutenção e atualização	Remota quando possível, presencial quando não	Remota, feita pela Iongrade
Exposição da rede do cliente	Nenhuma	Nenhuma
Dependência de internet	Sim	Sim

Requisitos da unidade

Para operar no modelo em nuvem, a unidade precisa de:

• MikroTik com versão de RouterOS que suporte WireGuard, com capacidade compatível com o volume de tráfego do projeto.
• Link de internet estável, com banda de subida e descida compatível com o parque de equipamentos. O envio de fotos para os leitores passa a atravessar a internet.
• Leitores faciais em IP fixo na rede local, documentados no projeto.
• Rota entre a rede dos leitores e o MikroTik. Se os leitores usam o MikroTik como gateway padrão, o requisito já está atendido.

Leitores em Modo Direct exigem atenção extra

No modo Validação online (Modo Direct), é o próprio leitor que consulta o servidor a cada leitura para saber se libera a passagem. Nesse caso a comunicação também acontece no sentido leitor para nuvem, e cada equipamento precisa ser configurado apontando para o endereço do gateway dentro da VPN.

Se esse ajuste não for feito, o sintoma é característico: os cadastros sincronizam normalmente e apenas a liberação de acesso falha, o que costuma ser diagnosticado por engano como defeito no leitor.

Consulte a matriz de equipamentos homologados para confirmar o modo de operação de cada equipamento.

Segurança

• Todo o tráfego é criptografado entre a nuvem e a rede da unidade, incluindo fotos e templates biométricos, que são dados pessoais sensíveis. Veja LGPD e Segurança.
• Nenhuma porta é aberta na unidade. Não há redirecionamento de porta nem equipamento publicado na internet. Essa é uma melhoria relevante frente à prática, ainda comum no mercado, de expor a porta do leitor facial para alcançá-lo remotamente.
• Alcance restrito. As regras do túnel permitem comunicação apenas com os equipamentos autorizados da unidade, e não com a rede local inteira.
• Isolamento entre clientes. Cada unidade possui identificação, chaves de criptografia, endereçamento de VPN e regras de roteamento e firewall próprios. Uma unidade não alcança a rede nem os equipamentos de outra.

Comportamento em queda de internet

O comportamento é o mesmo dos dois modelos, porque em ambos a nuvem é quem toma as decisões:

• Gerenciamento de cadastro: os leitores continuam liberando o acesso normalmente, usando a base já sincronizada. Cadastros e alterações feitos durante a queda ficam pendentes e são aplicados assim que a comunicação volta.
• Validação online (Modo Direct): a liberação depende da consulta ao servidor, então fica indisponível enquanto a internet estiver fora, exatamente como já ocorria com o Gateway físico.

Durante a queda, todos os leitores da unidade aparecem offline ao mesmo tempo no Accelero. Isso ajuda no diagnóstico: um leitor isolado offline indica problema no equipamento, a unidade inteira offline indica problema de link ou de túnel.

Quando preferir cada modelo

Gateway em nuvem é indicado quando:

• a unidade já tem MikroTik e link estável;
• há histórico de falhas ou de dificuldade de manutenção do equipamento local;
• o cliente quer reduzir equipamento ativo no rack e custo de energia;
• o parque é distribuído em várias unidades, e padronizar a manutenção remota traz ganho operacional.

Gateway físico é indicado quando:

• o Accelero é on-premises e o servidor está na própria rede do cliente;
• a unidade não tem MikroTik nem previsão de instalar um;
• o link é instável ou de banda insuficiente para o volume de sincronização;
• há exigência contratual de que o tráfego de controle de acesso não atravesse a internet.

Migração

A migração de uma unidade do Gateway físico para o gateway em nuvem é feita pela equipe Iongrade, com o túnel validado antes da troca. O Gateway físico só é desligado depois que a comunicação em nuvem estiver confirmada. Em unidades com equipamentos em Modo Direct, cada leitor precisa ser reconfigurado durante a migração.

Próximos Passos

• Visão Geral: conceito, modos de operação e especificações do Gateway
• Manual de Operação: funcionamento no Accelero e monitoramento
• FAQ e Solução de Problemas: problemas comuns e perguntas frequentes