Definição e objetivo

VPN site a site é um tipo de conexão segura entre duas redes (por exemplo, uma sede e um escritório) em que o tráfego é encapsulado e protegido ao atravessar a infraestrutura da internet (ou outra rede intermediária). Na prática, você trata a comunicação entre as redes remotas como parte de um mesmo “ambiente lógico”, com controle de acesso por políticas e com criptografia do tráfego entre os gateways.

Esse modelo costuma ser escolhido quando há necessidade de interligar sub-redes inteiras, mantendo consistência de endereçamento e regras de comunicação, sem depender de usuários finais instalarem um cliente.

Modelo mental simples: túnel entre gateways

Pense em dois “pontos de borda” (gateways VPN) conectados a suas respectivas redes internas. Quando configurados, eles estabelecem um túnel criptografado. Depois de estabelecido, o tráfego destinado às redes remotas é enviado ao gateway local, encapsulado, atravessa a rede intermediária e chega ao gateway remoto, que então entrega o tráfego à rede interna correspondente.

Os componentes que normalmente precisam estar alinhados são:

  • Parâmetros de segurança: como a autenticação acontece e quais algoritmos/fluxos são usados.
  • Endereços e roteamento: quais sub-redes serão encaminhadas pelo túnel e para onde cada rede deve “apontar”.
  • Políticas de tráfego: quais tipos de tráfego (por portas/protocolos) devem ser aceitos.
  • Conectividade física/lógica: o gateway local precisa conseguir alcançar o gateway remoto na camada de transporte esperada.

Funcionamento por etapas

  1. Descoberta de conectividade: o gateway tenta alcançar o outro gateway pelo endereço configurado (via internet ou rede intermediária). Antes mesmo de haver túnel, essa conectividade básica precisa existir.
  2. Negociação e autenticação: os gateways concordam com o método de proteção e se autenticam. Se houver qualquer divergência (por exemplo, chaves diferentes ou algoritmos incompatíveis), o túnel tende a falhar.
  3. Criação do túnel e regras associadas: uma vez que a negociação ocorre, as políticas passam a direcionar o tráfego adequado para dentro do túnel.
  4. Encaminhamento entre sub-redes: o roteamento (estático ou dinâmico, dependendo do desenho) define como o gateway sabe que “para chegar na sub-rede X, devo usar a VPN”.

Como a tecnologia exata pode variar (em termos de mecanismos e nomenclatura), é importante tratar a implementação como um conjunto de decisões coerentes — e não como “um campo pronto” único.

Limitações e exceções comuns

  • Sobreposição de endereços (overlapping subnets): se as duas redes internas usam os mesmos ranges IP, o túnel pode se tornar ambíguo e o tráfego pode não chegar ao destino correto. Em cenários assim, normalmente é necessário redesenhar endereçamento ou adotar técnicas específicas, pois “apenas ligar a VPN” não resolve.
  • Roteamento que não aponta para a VPN: mesmo com túnel estabelecido, se as rotas internas não estiverem configuradas para enviar o tráfego certo ao gateway, não haverá fluxo efetivo.
  • Incompatibilidade de políticas: regras diferentes para encapsular/permitir tráfego (portas, protocolos ou tráfego permitido por política) podem deixar o túnel “de pé” mas incapaz de transmitir o que a empresa precisa.
  • Firewall e NAT no caminho: bloqueios entre gateways (por exemplo, em regras de firewall) e efeitos de NAT podem impedir a negociação e/ou o tráfego encapsulado.
  • Dependência de tempo e estados: algumas falhas aparecem apenas intermitentemente quando há mudanças na rota, instabilidade da rede intermediária ou políticas com estado.

Essas limitações variam conforme a implementação e o ambiente, então considere tratá-las como “hipóteses de diagnóstico” quando o túnel não funciona ou funciona apenas parcialmente.

Diferenças relevantes: site a site x outros usos

VPN site a site é diferente de:

  • VPN remota para usuários: normalmente envolve um cliente no dispositivo do usuário e não um encaixe entre sub-redes inteiras.
  • Conectividade ponto a ponto com foco em um IP específico: algumas soluções conectam hosts específicos, enquanto site a site tende a tratar redes (sub-redes) e roteamento.

Na prática, essas diferenças importam porque afetam o tipo de configuração exigida (endereçamento, roteamento e políticas) e o que você consegue validar em cada cenário.

Verificações práticas para validar o túnel

Quando o objetivo é “saber se está funcionando”, priorize checagens que confirmem cada etapa do modelo mental.

  1. Conectividade entre gateways

    • Verifique se o gateway local alcança o remoto no endereço/porta esperados.
    • Confirme se existem regras de firewall no caminho permitindo a comunicação necessária para a negociação.

  2. Parâmetros de segurança coerentes

    • Confirme se ambos os lados usam configurações compatíveis de autenticação e proteção.
    • Se houver logs, procure por mensagens relacionadas a falha de negociação, rejeição por parâmetros ou incompatibilidade.

  3. Roteamento para as sub-redes remotas

    • Verifique se a política de roteamento do gateway local encaminha as sub-redes corretas para o túnel.
    • Do outro lado, confirme o caminho inverso (rede local A precisa chegar via túnel quando o destino é a rede remota A).

  4. Políticas de firewall e filtros dentro da VPN

    • Confirme regras que permitam os protocolos e portas necessários.
    • Verifique se a política aplicada no gateway não contradiz a intenção de negócio (por exemplo, bloquear ICMP ou bloquear tráfego específico).

  5. Teste de tráfego ponta a ponta

    • Teste um fluxo real (por exemplo, um serviço usado pela empresa) entre hosts em redes diferentes.
    • Se o túnel “sobe”, mas o tráfego não passa, isso costuma indicar problema de roteamento, sobreposição de IPs, ou política de filtragem.

Conceitos para interpretar erros

  • Túnel estabelecido ≠ tráfego funcionando: o túnel pode negociar e ainda assim não encaminhar o que você precisa, devido a roteamento/políticas.
  • Mesmo com roteamento correto, a negociação pode falhar: se os parâmetros de segurança não batem, você não terá base para o encapsulamento.
  • Log e correlação de eventos: quando algo falha, alinhar o “momento da tentativa” com as mensagens do gateway (local e remoto) ajuda a identificar em qual etapa ocorreu o problema.

Quando considerar redesenho ou ajustes

Se houver indícios de sobreposição de endereços, dependência intensa de NAT, exigências específicas de compatibilidade entre equipamentos ou necessidade de alta disponibilidade, pode ser necessário rever decisões de endereçamento, desenho de roteamento e políticas. Nesse tipo de caso, é comum que o ajuste principal não seja apenas “refazer a VPN”, mas garantir que as redes internas e as regras de encaminhamento sejam coerentes com o tráfego esperado.

Conclusão

Implementar VPN site a site em empresas envolve mais do que ativar um túnel: é um alinhamento entre conectividade entre gateways, parâmetros de segurança, roteamento entre sub-redes e políticas de tráfego. Ao validar por etapas (conectividade → negociação → roteamento → testes reais), você reduz a chance de ficar “com túnel, mas sem resultado” e cria um caminho objetivo para diagnóstico e correção.