Definição e objetivo da VPN site a site

VPN site a site é um tipo de VPN que cria um túnel criptografado entre dois gateways (por exemplo, firewalls ou roteadores) para transportar tráfego entre duas redes locais. Em vez de proteger apenas um dispositivo individual, a comunicação de rede toda é encaminhada pelo túnel.

A ideia central é que os gateways “falem entre si” e façam o tráfego das redes remotas aparecer como parte de uma comunicação interna, desde que o roteamento esteja correto e o túnel esteja estabelecido.

Modelo simples de funcionamento (o que acontece na prática)

Um arranjo comum envolve quatro etapas, que você pode usar como checklist mental:

  1. Negociação do túnel: os gateways precisam descobrir parâmetros compatíveis (por exemplo, versão e modo de troca de chaves) e concordar com a forma de criptografar.
  2. Autenticação: os dispositivos confirmam identidade usando um método configurado (como chaves pré-compartilhadas ou certificados, dependendo do equipamento).
  3. Criptografia e proteção: depois que o túnel está ativo, o tráfego é encapsulado e protegido enquanto atravessa a internet ou outra rede intermediária.
  4. Encaminhamento do tráfego: o gateway de cada lado decide o que enviar para o túnel (sub-redes “interligadas”) e o que manter local.

Mesmo quando a VPN está “up”, ela só funcionará para os fluxos que tiverem endereços compatíveis e rotas corretas em ambos os lados.

Componentes e decisões que mais afetam a configuração

Ao configurar, normalmente existem três conjuntos de escolhas que determinam o sucesso:

1) Endereços e sub-redes permitidas

Você precisa indicar quais redes remotas o túnel deve transportar. Um erro comum é anunciar uma sub-rede inexistente, sobrepor faixas IP (o mesmo endereço aparecendo em ambas as redes) ou esquecer uma rota necessária.

2) Parâmetros do túnel e do método de segurança

Os gateways precisam concordar com aspectos como algoritmo de criptografia, integridade e, em alguns cenários, grupos de chaves. Se houver incompatibilidade entre os parâmetros, a negociação pode falhar ou o túnel pode subir, mas sem transportar tráfego conforme esperado.

3) Conectividade entre gateways (camada de rede)

Antes de falar de criptografia, os gateways precisam ter acesso de rede entre si (por exemplo, via internet com endereços públicos, ou via uma interconexão que permita o tráfego de controle e dados do túnel). Firewall e regras de entrada/saída costumam ser o ponto de falha.

Diferenças e limitações frequentes (o que pode mudar o resultado)

VPN site a site costuma funcionar bem, mas há limitações que podem exigir ajustes:

  • NAT e mapeamento de portas: se um gateway estiver atrás de NAT, pode ser necessário tratar mapeamentos e regras específicas para o tráfego do túnel.
  • Rotas assimétricas: mesmo com o túnel ativo, alguns fluxos podem falhar se o caminho de ida e volta não seguem as políticas esperadas.
  • Compatibilidade de algoritmos: equipamentos com configurações diferentes podem não negociar corretamente.
  • Sobreposição de IPs: se as duas redes tiverem sub-redes iguais (por exemplo, as mesmas faixas privadas), o roteamento fica ambíguo e a comunicação tende a quebrar.
  • Escopo de segurança: quanto mais amplo o tráfego “mandado para o túnel”, maior a chance de expor cenários desnecessários. O ideal é limitar ao que precisa.

A principal exceção prática: “túnel está estabelecido” não significa automaticamente “todas as comunicações estão funcionando”. Para isso, o roteamento e os endereços têm de bater em ambos os lados.

Checagens práticas para verificar se está funcionando

Sem depender de promessas absolutas, você pode validar com um conjunto de verificações objetivas:

  1. Checar status do túnel no gateway: verifique se o túnel está em estado ativo e se não há erros de negociação.
  2. Confirmar conectividade entre gateways: teste se há tráfego permitido entre os endereços dos gateways (em geral, via regras de firewall e rotas externas).
  3. Validar roteamento das sub-redes: confirme se cada lado sabe como chegar à sub-rede remota via o túnel e se não há regras contraditórias.
  4. Testar um fluxo específico: escolha um host (ou serviço) em cada lado e verifique se a comunicação esperada ocorre. Troque por outra sub-rede se falhar, para identificar se é problema de escopo/rota.
  5. Revisar logs e contadores do túnel: se houver queda de tráfego, procure padrões (por exemplo, falhas intermitentes que indicam problema de conectividade, NAT ou parâmetros inconsistentes).

Se o túnel estiver ativo mas o tráfego não chegar, quase sempre o problema está em rotas, endereços anunciados, políticas de firewall entre redes internas ou incompatibilidade de parâmetros.

Conceitos relacionados que ajudam a interpretar erros

Alguns termos aparecem o tempo todo quando o túnel não sobe ou quando sobe, mas não “passa tráfego”:

  • Gateway: equipamento que termina a VPN e aplica criptografia/roteamento.
  • Sub-rede (prefixo): intervalo de IP que define quais endereços serão encaminhados pelo túnel.
  • Políticas e perfis criptográficos: conjunto de algoritmos e modos usados na negociação.
  • Encapsulamento: como o tráfego original é carregado dentro de outro “pacote” para atravessar a rede intermediária.

Quando faz sentido escolher outra abordagem

Se o objetivo for apenas permitir que um único usuário acesse uma rede, pode ser diferente de VPN site a site. Já quando o requisito é interligar redes inteiras entre locais de forma relativamente estável, a VPN site a site tende a ser adequada—desde que você consiga manter compatibilidade entre gateways, endereçamento e roteamento.

Se você estiver criando o ambiente do zero, vale priorizar o desenho do endereçamento para evitar sobreposição e reduzir ajustes futuros.