Definição e objetivo
Uma VPN site a site é uma conexão segura entre duas redes (por exemplo, a rede de uma empresa em duas unidades) usando um túnel criptografado entre dispositivos de borda, chamados de gateways. A ideia central é transportar o tráfego de uma rede para outra por um “caminho protegido” pela Internet, mantendo a comunicação entre os sites mais parecida com uma rede local logicamente estendida.
Modelo simples de funcionamento (conceito)
Pense em dois gateways, um em cada site. Quando um host de uma rede precisa falar com um destino que pertence à outra rede, o tráfego é encaminhado ao gateway local. Em seguida, o gateway encapsula os pacotes dentro do túnel e aplica mecanismos de proteção (como criptografia e verificação de integridade) para reduzir a chance de interceptação ou alteração.
Do outro lado, o gateway remoto decapsula os pacotes e entrega ao destino, como se a rota existisse “através” da VPN. Para que isso funcione, além do túnel, costuma ser necessário:
- Planejamento de endereços: a rede de cada site precisa ser coerente e, muitas vezes, evitar sobreposição de sub-redes.
- Rotas: cada gateway precisa saber para onde enviar o tráfego que deve atravessar a VPN.
- Políticas de segurança: regras podem definir quais tipos de tráfego (por exemplo, redes/portas) são permitidos pelo túnel.
Componentes e “o que precisa estar certo”
Em termos práticos, o funcionamento depende de algumas decisões e compatibilidades entre os dois lados:
- Negociação do túnel: os gateways precisam estabelecer parâmetros para o túnel. Se os parâmetros não forem compatíveis, a conexão não se mantém.
- Autenticação: deve haver um método para validar que o gateway remoto é realmente o esperado.
- Criptografia e integridade: o tráfego deve ser protegido conforme o que o túnel permite.
- Endereçamento e rotas: sem rotas adequadas, mesmo que o túnel exista, o tráfego pode não encontrar o destino.
Diferenças importantes e limites comuns
Uma VPN site a site não é o mesmo que VPN para acesso remoto de usuário final: na site a site, o foco é interligar redes entre si; no acesso remoto, o objetivo é que um dispositivo individual conecte à rede como “cliente”. Essa diferença costuma refletir em como as rotas e políticas são desenhadas.
Também vale considerar limites comuns:
- Sobreposição de sub-redes: se ambas as redes usarem os mesmos ranges de IP, pode haver ambiguidade para roteamento.
- NAT e mudanças de endereçamento: quando um site está atrás de NAT, é preciso garantir que o tráfego do túnel chegue corretamente ao gateway.
- Rotas no restante da rede: além do gateway, routers internos podem precisar encaminhar corretamente o tráfego para a VPN.
- Atraso e capacidade: por depender da Internet e do processamento criptográfico, pode haver impacto de desempenho.
Como verificar se está funcionando corretamente
Para confirmar o funcionamento, você pode checar, de forma independente, se cada camada do modelo está coerente:
- O túnel está estabelecido: verifique se os gateways conseguem manter a conexão entre si.
- Rotas: teste se o tráfego destinado à rede remota realmente sai pelo gateway correto.
- Políticas: confirme se a regra de permissão cobre o tipo de tráfego que você espera (por exemplo, quais redes/segmentos podem conversar).
- Resolução de destino: confirme que o endereço de destino pertence à rede remota esperada e não a um range conflitante.
Se alguma etapa falhar, o sintoma costuma ser semelhante (por exemplo, “não chega”), mas a causa pode estar em compatibilidade de parâmetros do túnel, rotas ausentes, NAT mal resolvido ou políticas restritivas.