W implementacji kryptograficznej bramy uwierzytelniają się wzajemnie i chronią wybrany ruch między lokalizacjami. Hosty za bramami mogą często komunikować się bez uruchamiania indywidualnego oprogramowania klienckiego VPN.
Powszechną implementacją jest tryb tunelowy IPsec. Każda brama enkapsuluje oryginalny pakiet w chronionym pakiecie IP na czas tranzytu i przywraca go na drugim końcu. Trasy statyczne, routing dynamiczny lub oparte na polityce selektory ruchu określają, które miejsca docelowe używają tunelu. Projekty wielolokalizacyjne mogą używać topologii hub-and-spoke, częściowej lub pełnej siatki.
Najważniejsze punkty
Zarządzanie stronami i kluczamiUwierzytelniaj bramy odpowiednio zarządzanymi poświadczeniami, używaj aktualnych ustawień kryptograficznych, automatyzuj odnowienia tam, gdzie bezpieczne, i utrzymuj testowane procedury unieważniania.
Routing i politykaZapobiegaj nakładającym się lub niezamierzonym prefiksom, waliduj wymianę tras, ograniczaj dozwolone usługi międzylokalizacyjne i zachowuj segmentację po deszyfrowaniu.
DostępnośćPlanuj redundantne bramy i warstwy nośne, monitoruj kondycję tuneli i aplikacji, testuj failover oraz uwzględniaj zachowanie maksymalnej jednostki transmisji (MTU) i fragmentacji.
Istotne ograniczenieKryptograficzny VPN site-to-site uwierzytelnia i chroni relację bram, a nie każdy host za nimi. Skompromitowany punkt końcowy lub nadmierna trasa może użyć tunelu, by dotrzeć do drugiej lokalizacji, a szyfrowanie nie zapobiega złośliwemu ruchowi z autoryzowanej sieci.