Definition og grundidé

Site-to-site VPN er en måde at forbinde to netværk sikkert over et fælles transportnet (ofte internettet eller et leveret WAN). Pointen er, at netværk på hver side kan udveksle trafik, som om de var en del af samme private miljø—men med beskyttelse af data undervejs og typisk med kontrolleret adgang på netværksniveau.

Hvis jeres virksomhed har flere lokationer, datacenter og/eller filialer, kan site-to-site være relevant, fordi forbindelsen kan etableres mellem “steder” frem for mellem enkeltbrugere.

En simpel model: hvad der sker i praksis

Tænk på en site-to-site VPN som et sæt regler og en tunnel, der transporterer netværkspakker fra den ene side til den anden.

  • På hver lokation sidder der en gateway (typisk en firewall eller VPN-enhed).
  • Når trafikken skal fra net A til net B, kapsles den og sendes gennem tunnelen.
  • På den anden side decapsles trafikken, og den leveres til de relevante interne systemer.

Det vigtigste kontrolpunkt er derfor ikke “brugeren”, men “hvilke netværk og hvilke adresser” der må kommunikere. Det er også her, adresseplan og routing bliver centrale for, at det fungerer stabilt.

Hvornår det giver mening (og hvornår det sjældnere gør)

Det giver ofte mening at bruge site-to-site VPN’er når:

  • I skal forbinde flere lokationer med en fast og gentagelig kommunikation (fx kontor ↔ kontor, kontor ↔ datacenter).
  • I ønsker en tydelig afgrænsning af hvilke interne net (subnet) der må udveksle trafik.
  • I har behov for ensartede sikkerhedspolitikker på tværs af lokationer.

Det er ofte mindre oplagt, når:

  • Behovet primært er individuel adgang for medarbejdere (her passer andre tilgange ofte bedre).
  • Kommunikationsmønsteret er meget ad hoc og skifter ofte, så driftsmodellen bliver tung.
  • Jeres interne netstruktur er uensartet på en måde, der gør routing og navngivning kompliceret.

Vigtige forskelle, begrænsninger og typiske faldgruber

Overvej følgende begrænsninger før I vælger site-to-site VPN:

  1. Trafikstyring og routing Hvis begge sider bruger overlappende IP-adresser (samme private adresseområder), kan det blive nødvendigt at lave adresseomlægning eller bruge mere avanceret routing. Det kan påvirke både planlægning og drift.

  2. Afgrænsning af adgang En VPN i sig selv betyder ikke, at al trafik er “god”. Ofte skal I stadig definere netværksregler (fx firewallregler) for at begrænse hvilke tjenester og porte der må åbnes mellem nettene.

  3. Drift og oppetid Site-to-site afhænger af gateway-konfiguration, nøglemateriale, timer og netværksstier. Små ændringer (fx i firewallpolitik eller routing) kan give fejl, der kræver fejlfinding på tværs af lag.

  4. Sikkerhed er en proces Selv om trafikken typisk beskyttes undervejs, er den samlede sikkerhed afhængig af opsætning, vedligehold og korrekt segmentering. Vælg ikke kun på baggrund af “at der er en VPN”, men på baggrund af hvordan den faktisk bruges og kontrolleres.

Praktiske kontrolpunkter før beslutning

For at afgøre om I bør bruge site-to-site VPN’er, kan I konkret gennemgå:

  • Hvilke lokationer og hvilke interne net skal kunne tale sammen? Skriv det ned i klare par (net A ↔ net B).
  • Om adressområder overlapper mellem lokationer.
  • Hvilke kommunikationstyper der er faste (fx databaser, filadgang, backoffice) og hvilke der er midlertidige.
  • Hvilket niveau af kontrol I har brug for: skal trafikken begrænses per tjeneste/port, eller er netniveau tilstrækkeligt i jeres model?
  • Hvordan I vil håndtere fejlfinding og ændringer i en hverdag: hvem opsætter, overvåger og dokumenterer?

Hvis disse punkter falder på plads og matcher jeres behov, er site-to-site VPN en naturlig kandidat. Hvis ikke, kan andre tilgange være mere enkle.

Bemærk: Da der ikke er leveret specifikke tekniske krav eller leverandørforudsætninger her, bør I betragte valget som et spørgsmål om match mellem jeres netværksdesign, sikkerhedskrav og driftsform—ikke som en generel “altid ja” eller “altid nej”.