Definition og idéen bag
En site-to-site VPN er en metode til at forbinde to adskilte netværk (ofte kaldet “sites”) over internettet, så kommunikationen beskyttes. I stedet for at beskytte én enkelt enhed, som ved en klassisk klient-VPN, kobler site-to-site VPN typisk selve netværkenhederne/gateways sammen, så trafikken mellem nettene kan køre krypteret.
Forestil dig to kontorer med hver deres lokalnet. Når der er sat en site-to-site VPN op, kan en maskine i netværk A kommunikere med en maskine i netværk B, mens VPN-løsningen håndterer, at data sendes gennem en krypteret “tunnel” mellem nettene.
Eenvoudig model: gatewaye, tunnel og routing
I den enkleste forståelse består en site-to-site VPN af tre byggesten:
- Gateways: Routere eller firewall-lignende enheder i hvert site, der kører VPN-funktionalitet.
- Krypteret tunnel: Når trafik skal mellem nettene, indkapsles og krypteres den, så den ikke sendes som almindelig klartekst over internettet.
- Routing/politikker: Der skal være en logisk regel for, hvilken trafik der skal sendes “via VPN” og til hvilke destinationer.
I praksis betyder routing og netværksplanlægning meget. Hvis nettene bruger samme IP-adresser (for eksempel begge har 192.168.1.0/24), kan det skabe overlap og kræver ekstra håndtering. Ligeledes skal man typisk definere netværkspunkter og hvilke protokoller/ports der må passere, afhængigt af sikkerhedspolitikker og firewall-regler.
De vigtigste dele: kryptering, autentificering og sikkerhed
Selve VPN-tunnelen skal kunne etablere en sikker forbindelse. Det kræver normalt:
- Autentificering: Gateways skal kunne verificere, at de taler med den rigtige modpart.
- Kryptering og integritet: Data skal beskyttes mod læsning og ændringer undervejs.
- Nøglehåndtering: Der bruges mekanismer til at lave og forny nøgler til sessionen.
Hvordan dette konkret implementeres kan variere afhængigt af VPN-typen og konfigurationen. Derfor er det bedst at se på, hvad din løsning understøtter (fx hvilke tunnelfunktioner, sikkerhedsindstillinger og netværksregler den bruger), når du vurderer den tekniske opførsel.
Forskelle og begrænsninger
En vigtig afgrænsning er, at “site-to-site” handler om netværk og gateway-gateway-forbindelser. Hvis du i stedet skal give enkeltbrugere adgang via en VPN-klient på deres laptop/telefon, er det ofte en anden type setup.
Derudover afhænger funktionaliteten af flere praktiske grænser:
- Netværksadresser og routing: Uden korrekt routing vil trafik enten ikke finde vej eller blive sendt uden om tunnelen.
- Firewall-politikker: Selve VPN-tunnelen kan ikke erstatte firewalls. Regler for ind- og udgående trafik skal typisk stadig være på plads.
- Afhængighed af internetforbindelse: Da tunnelen bruger internettet som transport, vil latenstid og kvalitet på forbindelser påvirke oplevelsen.
Selv når alt er korrekt sat op, kan der også være afhængighed af, hvordan applikationer opfører sig (fx bruger de bestemte protokoller/ports, kræver de sessioner eller bestemte typer trafik). Derfor kan “VPN er sat op” ikke altid betyde “alt fungerer automatisk”.
Hvad du kan tjekke, når du vurderer en site-to-site VPN
Hvis du vil forstå om en site-to-site VPN reelt matcher dit behov, kan du kontrollere følgende punkter i dokumentationen eller konfigurationen:
- Hvilke gatewaye der etablerer tunnelen (router/firewall-enheder) og hvordan de autentificerer modparten.
- Hvilke netværksprefixes (IP-områder) der er defineret til at gå “via VPN”.
- Om der er IP-adresseoverlap mellem sites, der kan kræve særlig håndtering.
- Hvilke trafiktyper/protokoller der er tilladt i firewall-reglerne, selv efter at tunnelen er etableret.
- Om begge sider matcher med hensyn til tunnelfunktioner og sikkerhedsanbefalinger (fx indstillinger for kryptering og nøgler).
Hvis du arbejder med en eksisterende løsning og oplever problemer, er det ofte nyttigt at starte med at verificere, om tunnelen faktisk er etableret, og derefter om routing og firewall-regler tillader den konkrete trafik fra kildenet til destinationsnet.