V kryptografické implementaci se brány vzájemně autentizují a chrání vybraný provoz mezi lokalitami. Hostitelé za branami mohou často komunikovat bez individuálního klientského softwaru VPN.
Běžnou implementací je tunelový režim IPsec. Každá brána zapouzdří původní paket do chráněného paketu IP pro přenos a na vzdáleném konci jej obnoví. Statické trasy, dynamické směrování nebo selektory provozu založené na politice určují, které cíle tunel používají. Vícelokalitní návrhy mohou používat topologie hub-and-spoke, částečnou nebo plnou mřížku.
Klíčové body
Správa protistran a klíčůAutentizujte brány přiměřeně spravovanými přihlašovacími údaji, používejte aktuální kryptografická nastavení, kde je to bezpečné automatizujte obnovu a udržujte otestované postupy odvolání.
Směrování a politikaPředcházejte překrývajícím se či nezamýšleným prefixům, validujte výměnu tras, omezte povolené mezilokalitní služby a po dešifrování zachovejte segmentaci.
DostupnostPlánujte redundantní brány a underlaye, monitorujte zdraví tunelů a aplikací, testujte failover a zohledněte chování maximum transmission unit a fragmentace.
Důležité omezeníKryptografická site-to-site VPN autentizuje a chrání vztah bran, nikoli každého hostitele za nimi. Kompromitovaný koncové zařízení nebo nadměrná trasa může tunel použít k dosažení druhé lokality a šifrování nezabrání škodlivému provozu z autorizované sítě.