Definição: o que é VPN site a site

VPN site a site é um tipo de rede privada virtual em que dois “lados” (sites) estabelecem um túnel de comunicação entre suas redes. Em vez de focar no usuário individual, o objetivo é que o tráfego entre sub-redes dos sites passe pelo túnel, preservando a comunicação de forma mais controlada e, em geral, com criptografia.

Numa conexão DSL, o túnel pode ser transportado por um link de acesso mais simples (por exemplo, um circuito de telefonia/ISP). Nesse cenário, o comportamento do túnel depende tanto das políticas e da configuração dos endpoints VPN quanto das características do enlace DSL (capacidade, variação de atraso e eventuais instabilidades).

Modelo simples de funcionamento

Pense em três etapas: (1) negociação, (2) proteção do tráfego e (3) encaminhamento.

  1. Negociação: as pontas precisam se reconhecer e acordar parâmetros (por exemplo, chaves e algoritmos). Se isso falhar, o túnel não sobe ou fica instável.

  2. Proteção: com o túnel estabelecido, pacotes originados de uma rede do site A para a rede do site B viajam encapsulados e, tipicamente, criptografados. Isso adiciona “sobrecarga” (head/encapsulamento e processamento), que pode reduzir a taxa útil.

  3. Encaminhamento: regras de roteamento e políticas de firewall determinam quais fluxos entram no túnel. Na prática, se rotas e seletores (quais sub-redes realmente “cabem” no túnel) estiverem incorretos, parte do tráfego pode continuar tentando seguir por rotas locais, ou pode ser descartada.

O principal benefício é trazer previsibilidade de rede entre sites, ao invés de depender apenas de acessos externos “abertos” ou de configurações menos estruturadas. Em geral, uma VPN site a site pode ajudar com:

  • Segmentação entre redes: somente tráfego definido entre as redes dos sites deve atravessar o túnel.
  • Segurança em trânsito: o encapsulamento tende a reduzir exposição do tráfego ao caminho intermediário, já que os dados ficam protegidos antes de sair da borda.
  • Controle centralizado no gateway: regras e políticas podem ser aplicadas na borda de cada site.

Em DSL, isso é especialmente relevante quando você precisa conectar dois escritórios sem criar uma solução dedicada de alto custo. Ainda assim, é importante aceitar que o “túnel VPN” não cria velocidade: ele usa a capacidade disponível do enlace DSL.

Principais riscos e limitações

1) Capacidade do enlace e sobrecarga

Como a VPN encapsula e costuma criptografar dados, a taxa efetiva pode cair. Em DSL, cuja largura de banda já pode ser limitada, isso se traduz em menor throughput para aplicações. Além disso, se o equipamento de borda tiver desempenho insuficiente para criptografia, a CPU pode virar gargalo.

Risco prático: “parece que a internet está lenta”, mas na verdade o problema é o enlace ou a carga de processamento necessária para manter o túnel e cifrar/decifrar.

2) Latência, jitter e estabilidade

DSL pode apresentar variações de atraso e instabilidade em horários ou condições específicas. VPN site a site introduz mais passos de processamento e pode ser mais sensível a perdas de pacotes, principalmente para sessões que dependem de handshakes e reautenticação.

Risco prático: quedas intermitentes do túnel ou degradação percebida em chamadas de vídeo, VoIP ou aplicações sensíveis a jitter.

3) Erros de roteamento e regras de firewall

Mesmo que o túnel esteja “up”, pode não haver conectividade útil entre as máquinas. Isso costuma ocorrer quando:

  • as rotas para as sub-redes remotas não apontam corretamente para a interface/instância do túnel;
  • as políticas de firewall bloqueiam tráfego permitido pelo túnel;
  • os “escopos” do que entra no túnel (sub-redes/portas) não correspondem ao tráfego real.

Risco prático: conseguir ping do gateway, mas falhar acesso a servidores internos, ou vice-versa.

4) Autenticação e chaves

Se credenciais, chaves ou parâmetros de negociação estiverem incorretos, o túnel pode não estabelecer. Mesmo com configuração correta, mudanças (por exemplo, atualização de parâmetros, rotação de chaves ou falha de sincronismo) podem causar interrupções.

Risco prático: ciclos de tentativa e falha, com logs indicando negociação recusada.

Diferenças importantes: site a site vs. “apenas proteger um dispositivo”

É comum que a expectativa do usuário seja “VPN = segura tudo”. Mas no site a site, o foco é o tráfego entre redes dos sites. Um erro comum é assumir que “qualquer dispositivo remoto automaticamente vai funcionar”.

Para funcionar bem, é preciso que:

  • o dispositivo do site A esteja na sub-rede prevista;
  • o tráfego destinado ao site B tenha rota e regras que o enviem ao túnel;
  • o site B aceite e encaminhe o retorno para o site A.

Se qualquer uma dessas peças não estiver alinhada, a VPN pode ficar “conectada” sem entregar a comunicação esperada.

Verificações práticas que você pode fazer

Verifique se o túnel efetivamente está estabelecido entre os gateways e se não há renegociações frequentes. Em muitos casos, logs/estado do gateway VPN mostram se o túnel está ativo e se houve falhas recentes.

2) Checar rotas e alcance de sub-redes

Confirme no gateway do site A se existe rota para a sub-rede do site B via túnel, e no site B se existe rota de retorno para o site A. Também confirme se as regras de seleção do túnel cobrem as sub-redes corretas.

3) Validar firewall em ambos os lados

Mesmo com túnel pronto, firewall pode impedir tráfego. Considere testar fluxos simples (por exemplo, conectividade entre sub-redes ou portas específicas) e então evoluir para aplicações.

4) Separar gargalos: enlace vs. criptografia

Se o desempenho cair, colete evidências: taxa disponível do DSL e sinais de saturação do gateway (CPU, filas) ou contadores do túnel. Isso ajuda a diferenciar lentidão por enlace de lentidão por processamento.

5) Observar qualidade em janelas de tempo

Se há quedas, observe se ocorre em horários específicos. Em DSL, pode haver correlação com condições do enlace; em VPN, pode haver correlação com reautenticação/renegociação.

Quando a limitação muda o resultado (exceções úteis)

Mesmo sendo uma solução viável, o resultado pode variar bastante. Em particular:

  • Se a aplicação exigir baixa latência e alta disponibilidade constante, o comportamento do DSL pode limitar a experiência.
  • Se o gateway VPN for pequeno para o volume de tráfego esperado, a criptografia pode reduzir a taxa útil mais do que o enlace.
  • Se a rede interna tiver muitas sub-redes e políticas diferentes, erros de escopo/roteamento podem impedir conectividade.

A recomendação aqui não é “evitar”, e sim projetar com realismo: dimensionar capacidade do enlace e do equipamento, validar rotas e testar com tráfego representativo.