Grundidéen: Hvad det er

Et site-to-site VPN forbinder to adskilte netværk (typisk to lokationer) over et utrygt transportnet som internettet. Formålet er at etablere en krypteret “tunnel”, så udvalgt netværkstrafik kan sendes sikkert mellem lokationerne.

I praksis er “site-to-site” kendetegnet ved, at forbindelsen etableres mellem netværksporte (fx routere eller firewalls) på hver side, ikke primært mellem individuelle computere.

Et simpelt modelbillede: tunnel, kryptering og trafikvalg

Tænk på løsningen som tre koordinerede dele:

  1. Tunnel-etablering: De to endepunkter forhandler og opretter en sikker session. Først når den er oppe at køre, kan trafikken løbende beskyttes.

  2. Kryptering og indkapsling: Al trafik, der er valgt til at gå over VPN’et, indkapsles i tunnelens beskyttede “lag”. Dermed kan man reducere risikoen for, at data læses eller ændres undervejs.

  3. Trafikvalg (hvad der sendes gennem tunnelen): Ikke alt netværk skal nødvendigvis krydse VPN’et. Der bruges typisk regler for, hvilke IP-adresser/net der skal sendes, og hvilke der skal behandles lokalt.

Hvilke komponenter og indstillinger der typisk skal spille sammen

Et site-to-site VPN fungerer først rigtigt, når flere ting matcher på begge sider:

  • Netværksadresser og overlap: Hvis begge lokaliteter bruger samme IP-net (fx begge har 192.168.10.0/24), kan det skabe tvetydighed og kræve ekstra håndtering. Overlap betyder ofte, at routing og trafikvalg skal designes om.

  • Routing: Når en enhed på Lokation A vil sende til et net på Lokation B, skal netværket beslutte at sende trafikken “mod VPN’et”. Det kræver passende ruter (routes) eller routinglogik på mindst én af siderne.

  • Firewallregler og sikkerhedspolitikker: Selve VPN-tunnelen og den indkapslede trafik skal være tilladt. Ellers falder forbindelsen typisk ned eller virker kun delvist.

  • Parametre for den sikre session: Løsningsparter skal være enige om centrale sikkerhedsvalg (fx krypterings- og integritetsmekanismer samt nøgler/sekret). Hvis parametre ikke matcher, etableres tunnelen ofte ikke.

Forskelle og begrænsninger: hvornår det ikke er “alt muligt”

Et site-to-site VPN kan være effektivt, men der er vigtige begrænsninger:

  • Det beskytter ikke alt automatisk: Kun den trafik, der udtrykkeligt er valgt til tunnelen, får kryptering og den tilsigtede behandling. Anden trafik (fx direkte internetadgang) følger stadig de almindelige regler.

  • Det er ikke det samme som “sikkerhed for alt”: Kryptering af trafikken forhindrer typisk aflytning undervejs, men beskytter ikke nødvendigvis mod svagheder i applikationer, kompromitterede slutpunkter eller fejl i adgangskontrol.

  • Performance og fejlfinding afhænger af transportnettet: Hvis der er ustabilitet i forbindelsen mellem lokationerne, kan tunnelen blive ustabil eller få højere latenstid. Derudover påvirkes oplevelsen af, hvordan netværksudstyr og policyer er sat op.

  • Afhængighed af korrekt routing: Selv hvis tunnelen er etableret, kan trafik stadig ikke nå frem, hvis ruter eller trafikvalg ikke er korrekt.

Hvordan du kan kontrollere om det virker (uden at gætte)

For at vurdere om et site-to-site VPN fungerer korrekt, kan du typisk tjekke følgende punkter:

  1. Tunnelen etableres: Kontroller at begge endepunkter kan oprette den sikre session.

  2. Trafik gennemgår tunnelen: Test en målrettet forbindelse fra et net på Lokation A mod et specifikt net på Lokation B, og observer om trafikken følger den forventede vej.

  3. Routing og overlap: Verificér at “hvad skal sendes over VPN’et” og “hvor skal trafikken hen” er konsistent, især ved flere subnets.

  4. Firewall i begge retninger: Sørg for at regler tillader både selve VPN-relateret trafik og den indkapslede kommunikation.

Hvis noget ikke virker, er det ofte en kombination af routing/tunnel-policy og tilladelser i firewall, snarere end selve idéen om VPN’et.

Afklarende undtagelse: hvornår du bør vælge en anden model

Hvis du i stedet primært har behov for sikker adgang for enkelte brugere eller enheder, kan en anden type VPN end site-to-site være mere passende. Site-to-site giver mest mening, når du vil forbinde lokationers netværk systematisk og stabilt.

Er dit miljø dynamisk (mange skiftende net eller stærkt varierende adresser), kan kravene til routing og politikker blive komplekse. I sådanne tilfælde er det vigtigt at planlægge adressering og trafikvalg grundigt, før man forventer, at løsningen “bare” virker.