Într-o implementare criptografică, gateway-urile se autentifică reciproc și protejează traficul selectat între locații. Gazdele din spatele gateway-urilor pot adesea comunica fără a rula software client VPN individual.
Modul tunel IPsec este o implementare comună. Fiecare gateway încapsulează un pachet original într-un pachet IP protejat pentru tranzit și îl restaurează la capătul îndepărtat. Rute statice, dirijare dinamică sau selectori de trafic bazate pe politici determină ce destinații folosesc tunelul. Designurile multi-locație pot folosi topologii hub-and-spoke, partial-mesh sau full-mesh.
Puncte esențiale
Gestionarea peer-urilor și a cheilorAutentificați gateway-urile cu credențiale gestionate adecvat, folosiți setări criptografice actuale, automatizați reînnoirea acolo unde este sigur și mențineți proceduri de revocare testate.
Dirijare și politiciPreveniți prefixe suprapuse sau neintenționate, validați schimbul de rute, restricționați serviciile inter-locații permise și păstrați segmentarea după decriptare.
DisponibilitatePlanificați gateway-uri și underlay-uri redundante, monitorizați sănătatea tunelului și a aplicației, testați failover-ul și țineți cont de comportamentul maximum transmission unit și de fragmentare.
Limitare importantăUn VPN site-to-site criptografic autentifică și protejează relația dintre gateway-uri, nu fiecare gazdă din spatele lor. Un endpoint compromis sau o rută excesivă poate folosi tunelul pentru a ajunge la cealaltă locație, iar criptarea nu previne traficul malițios dintr-o rețea autorizată.