Definition og idéen bag

En site-to-site VPN er en løsning, der forbinder to adskilte netværk (ofte kaldet “sites”) gennem en krypteret forbindelse. Formålet er, at trafikken mellem nettene kan sendes på en måde, hvor den bliver beskyttet mod at blive læst eller ændret undervejs. I praksis ligger “VPN-delen” typisk i netværkets porte/gateways, så det ikke er hver enkelt computer, der skal håndtere VPN-forbindelsen.

Et simpelt model: to netværk + en krypteret tunnel

Du kan tænke på en site-to-site VPN som tre lag:

  1. To netværk med hver deres interne adressering (LAN-adresser).
  2. Et gateway- eller routerpunkt i hvert site, der taler sammen.
  3. En krypteret tunnel, der bærer IP-trafik mellem sites.

Når en enhed i Site A sender data til en destination i Site B, matcher dens trafik ofte en “rute” (routingregel), der fortæller gatewayen: “send denne trafik gennem VPN’en”. Gatewayen pakker trafikken ind i en tunnel-protokol, krypterer den, og sender den over den underliggende internetforbindelse. I Site B dekrypterer gatewayen og sender trafikken videre til den interne destination.

De centrale byggeklodser: tunneling, routing og sikkerhed

Site-to-site VPN fungerer kun, når flere dele passer sammen:

  • Tunneling: Der skal etableres en beskyttet kanal mellem gatewayene. Det kræver en metode til at forhandle eller etablere sikkerhed, så begge sider ved, hvad de skal kryptere med, og hvordan de skal forstå hinandens trafik.
  • Routing: Der skal være klare regler for, hvilke net (subnet) der skal sendes gennem tunnelen. Uden korrekte ruter kan trafikken enten blive sendt “forkert” eller blive afvist.
  • Adgangs- og firewallregler: Selve internetvejen mellem gateways skal typisk tillade den nødvendige VPN-trafik. Internt i hvert site skal firewall også tillade den trafik, der kommer ind via VPN’en, hvis den skal kunne nå de relevante tjenester.
  • Adresseringsplan: Hvis begge sites bruger de samme interne IP-områder, kan der opstå overlap. Det gør det sværere at afgøre, hvor trafikken skal hen—løsninger findes, men det påvirker opsætningen.

Undtagelser og vigtige forskelle fra andre VPN-typer

En almindelig fejlkilde er at tro, at “VPN” alene løser alt. En site-to-site VPN kan kun levere forventet resultat, når routing og sikkerhed er sat korrekt.

Nogle typiske begrænsninger/variationer:

  • Ikke alt internettrafik er nødvendigvis med: Mange opsætninger sender kun bestemte interne net gennem VPN’en, ikke “alt”.
  • Performance afhænger af konfiguration: Kryptering og overhead betyder, at der kan være flaskehalse. Hvor meget det påvirker, kan variere, og det er ikke muligt at garantere på forhånd.
  • Kompatibilitet mellem gateways: Hvis de to gateways bruger forskellige VPN-opsætninger eller algoritmer, kan tunnelen fejle eller være ustabil. Den konkrete kompatibilitet er afhængig af den valgte konfiguration.
  • Ændringer i netværket kan kræve justering: Nye interne subnet, ændringer i ruter eller opdateringer kan ændre, hvilke regler der skal til.

Praktisk tjekliste til at forstå og validere driften

Hvis du vil verificere, om en site-to-site VPN fungerer som tænkt, kan du kontrollere følgende i din egen opsætning:

  • Matcher ruter: Find ud af, hvilke destinationer gatewayen sender gennem VPN’en, og at de matcher de interne subnet i begge sites.
  • Tunnelstatus: Bekræft at der faktisk er en etableret krypteret tunnel mellem gateways (ikke kun “konfiguration”, men aktiv kommunikation).
  • Firewallhuller: Kontroller at den nødvendige VPN-trafik kan passere både på internet-siden og internt på modtagersiden.
  • Adresser uden overlap: Tjek om begge sites bruger unikke interne IP-områder, eller om der er en plan for håndtering af overlap.
  • Test med forventet trafik: Prøv at sende trafik fra et kendt net i Site A til en specifik destination i Site B og observer, om den når frem.

Hvis du kan svare “ja” til disse punkter, er det et stærkt tegn på, at en site-to-site VPN reelt bliver brugt til at forbinde nettene sikkert—men uden at antage, at en enkelt indstilling alene løser alle problemer.