Definição de VPN site-to-site

VPN site-to-site é um tipo de rede privada virtual que conecta duas redes inteiras (por exemplo, a rede de uma empresa em duas filiais) por meio da internet, usando túneis criptografados entre dispositivos “na borda” (geralmente gateways). Em vez de cada usuário configurar manualmente um cliente, a comunicação fica concentrada entre esses gateways, que então encaminham o tráfego das redes internas conforme regras de roteamento e segurança.

Na prática, você pode enxergar assim: a VPN cria um caminho lógico seguro entre as redes, e o restante do comportamento (quais equipamentos falam entre si, por quais rotas e com quais permissões) depende do endereçamento, do roteamento e das políticas configuradas.

Um modelo simples de funcionamento (passo a passo)

Um fluxo típico pode ser entendido em etapas:

  1. Identificação e troca de parâmetros: os gateways precisam reconhecer um ao outro e definir como será estabelecida a associação de segurança do túnel (por exemplo, método criptográfico e chaves). Em geral, há também autenticação, que pode ocorrer de maneiras diferentes conforme a solução.

  2. Criação do túnel criptografado: uma vez autenticados, os gateways passam a encapsular (envolver) os pacotes de suas redes internas e enviá-los pelo link público até o gateway remoto.

  3. Encapsulamento e encaminhamento: quando um host de uma rede interna quer acessar uma rede remota, o gateway aplica o “tratamento VPN” ao tráfego correspondente (o que inclui encaminhar para o túnel quando o destino bate com as redes previstas).

  4. Decisão de roteamento e escopo: o tráfego vai ou não vai para o túnel conforme as rotas e os “interesses” configurados (por exemplo, quais sub-redes remotas são permitidas). Se o roteamento não estiver coerente, mesmo com túnel “subindo”, o tráfego pode não chegar ao destino.

  5. Políticas de segurança e permissões: além de criptografar, muitas implementações exigem regras adicionais (controles de acesso, firewall interno, e políticas que limitam o que pode atravessar). Assim, o túnel sozinho não garante comunicação total entre redes.

Componentes e conceitos relacionados

Para entender o funcionamento sem se perder em detalhes específicos de fornecedores, vale conhecer os conceitos mais comuns:

  • Gateways VPN: dispositivos que terminam o túnel e se conectam às redes locais.
  • Redes e sub-redes (endereço origem/destino): o que determina para onde o tráfego deve ser enviado via VPN.
  • Roteamento: define como o tráfego sai de cada lado para alcançar as redes remotas.
  • Políticas de criptografia e autenticação: definem como o túnel é estabelecido e protegido.
  • Encapsulamento: aumenta o “tamanho” do pacote ao envolver o tráfego em outro formato.

Um ponto importante: VPN site-to-site tende a ser mais previsível para redes que já são roteáveis dentro de cada filial, enquanto ligações fora do escopo de roteamento/políticas costumam falhar mesmo que o túnel esteja ativo.

Diferenças, limites e exceções que mudam o resultado

A principal diferença entre site-to-site e abordagens focadas no usuário é a unidade de conexão: no site-to-site, o “ponto de integração” é o gateway entre redes. Isso impacta diretamente onde ocorrem os erros e o que precisa ser verificado.

Limitações e casos que frequentemente alteram o comportamento esperado:

  • Roteamento incompleto ou conflituoso: se uma rede remota não estiver anunciada/rota correta, os pacotes podem nunca entrar no túnel.
  • Sobreposição de endereços: duas filiais usando a mesma faixa de IP (por exemplo, ambas com 192.168.1.0/24) complica a distinção de destinos.
  • Políticas que restringem tráfego: o túnel pode estar “up”, mas regras internas impedem certos fluxos (por exemplo, portas específicas).
  • MTU e fragmentação: por causa do encapsulamento, o tráfego pode precisar de ajuste de tamanho máximo de pacote. Sem isso, podem surgir sintomas como lentidão e falhas intermitentes.
  • Dependência do caminho entre gateways: a internet intermediária precisa permitir a troca de pacotes necessários. Bloqueios de tráfego podem impedir o estabelecimento ou a manutenção do túnel.

Também é comum que diferentes implementações usem nomenclaturas próprias (protocolos e modos), então o mais importante é focar no que você precisa alinhar: criptografia/autenticação, escopo das redes e coerência de roteamento e regras.

Verificações práticas para checar se está funcionando

Sem depender de “achismos”, você pode organizar verificações em camadas. A ideia é confirmar o que o túnel faz, depois confirmar se o roteamento leva o tráfego ao destino.

  1. Condição do túnel: verifique se o gateway remoto está respondendo e se a associação do túnel está ativa (status operacional). Se o túnel não estiver estabelecido, o restante não funciona.

  2. Roteamento para redes remotas: confirme se existem rotas apontando para a rede do outro lado via gateway VPN. Se a rota estiver ausente, o tráfego não será encaminhado para o túnel.

  3. Resolução de endereços e alcance da rede: teste se os hosts conseguem chegar no gateway remoto e se a rede remota é alcançável do ponto de vista de endereçamento.

  4. Escopo/políticas de tráfego: verifique se o que você tenta acessar (protocolos e portas) está permitido pelas regras da VPN e por regras de firewall/controle de acesso.

  5. Sintomas de MTU: se a comunicação começa, mas falha em certos tamanhos/fluxos, considere revisar MTU e ajustes relacionados ao encapsulamento.

Quando usar (e quando repensar)

VPN site-to-site costuma ser adequada quando você precisa conectar redes inteiras entre filiais ou datacenters, mantendo a operação centralizada nos gateways. Porém, se o seu cenário envolve muitos dispositivos móveis ou usuários que variam de rede com frequência, pode ser mais apropriado avaliar uma abordagem diferente, porque o modelo site-to-site não cobre automaticamente “qualquer usuário em qualquer lugar” sem mecanismos adicionais.

Se você estiver documentando ou planejando uma implementação, a melhor forma de reduzir incertezas é listar: quais redes precisam comunicar, como elas estão endereçadas, quais políticas devem permitir o tráfego e como o roteamento será consistente entre os dois lados.