Site-to-site-VPN: typer, krav och konfiguration

Vad är ett site-to-site-VPN?

Ett site-to-site-VPN är en typ av VPN (virtuellt privat nätverk) som skapar en säker anslutning mellan två eller flera separata nätverk. I stället för att skydda enskilda enheter skyddar det kommunikationen mellan hela lokala nätverk (LAN), till exempel ett företags huvudkontor och en filial.

Den här typen av VPN fungerar som ett wide area network (WAN) och gör det möjligt för team på olika platser att komma åt delade resurser som om de befann sig i samma lokala nätverk. Till skillnad från andra typer av WAN skapar dock ett site-to-site-VPN en säker VPN-tunnel mellan flera LAN. Det används ofta för att:

• Koppla ihop geografiskt åtskilda kontor.
• Säkra förbindelser mellan lokala system och externa datacenter.
• Möjliggöra säker kommunikation mellan partnerföretag.

Ett fjärråtkomst-VPN används för att skapa en anslutning mellan enskilda användare och ett centralt nätverk (tänk en anställd som når företagets resurser hemifrån). Site-to-site-VPN erbjuder däremot en krypterad anslutning mellan hela nätverk. Det ena säkrar en länk mellan enhet och nätverk, det andra en brygga mellan nätverk och nätverk.

Hur fungerar en site-to-site-VPN-anslutning?

Ett site-to-site-VPN kopplar ihop nätverk på ett säkert sätt genom att skapa en site-to-site-tunnel med hjälp av VPN-protokoll som IPsec (Internet Protocol Security). Denna tunnel krypterar all trafik mellan platserna och gör den oläslig för obehöriga.

Varje nätverk har en gateway (ofta en router eller brandvägg med VPN-stöd) som hanterar kryptering och dekryptering av trafiken. Dessa gateways styr datatrafiken mellan nätverken enligt fördefinierade regler, så att enheter i ett nätverk kan kommunicera med enheter i det andra som om de befann sig i samma byggnad.

IPsec är det vanligaste protokollet för detta. Det hanterar både kryptering och autentisering och kombineras ofta med L2TP eller GRE för själva tunnlingen. GRE krypterar inget i sig – det skapar bara tunneln – så det används i regel tillsammans med IPsec. Vissa lösningar kan även använda OpenVPN, särskilt i mer flexibla eller skräddarsydda konfigurationer.

Låt oss ta ett exempel. Föreställ dig att ett företag har kontor i Berlin och New York. Varje plats har sitt eget nätverk med laptops, servrar, skrivare och andra enheter. Företaget vill att dessa nätverk ska fungera som ett, utan att exponera något för det öppna internet. Då följer de dessa steg:

1. 1.VPN-gateways konfigureras på båda kontoren. De fungerar som säkra översättare mellan det lokala nätverket och VPN-tunneln.
2. 2.En tunnel etableras mellan gateways med hjälp av IPsec.
3. 3.All trafik mellan kontoren krypteras när den går in i tunneln och dekrypteras när den kommer ut.

Om en anställd i Berlin till exempel vill göra en förfrågan från en databas i New York går hans förfrågan via Berlin-gatewayen, krypteras, skickas säkert genom tunneln, dekrypteras av New York-gatewayen och vidarebefordras till databasen. Svaret tar samma krypterade väg tillbaka. För den anställda märks inget av processen – allt sker på några sekunder.

Krav för ett site-to-site-VPN

För att konfigurera ett site-to-site-VPN behöver ni:

• VPN-kompatibla routrar eller brandväggar på varje plats. Er hårdvara måste stödja IPsec eller liknande protokoll.
• Publika IP-adresser för varje gateway. Det är så de hittar varandra över internet.
• Ett gemensamt VPN-protokoll. De flesta installationer använder IPsec för kryptering och autentisering.
• Planering av nätverksadresser. Undvik överlappande subnät mellan platserna för att förenkla routing.
• Administratörsåtkomst till varje nätverks router och brandvägg. Ni behöver konfigurera tunnelinställningarna på båda sidor.
• Stabila internetanslutningar på varje plats. Hela lösningen är beroende av en pålitlig uppkoppling.

Vilka typer av site-to-site-VPN finns det?

Det finns två huvudtyper av site-to-site-VPN:

• Intranätbaserade site-to-site-VPN. De kopplar ihop flera kontor eller filialer inom samma organisation. Till exempel kan en butikskedja länka alla sina butiker till huvudkontoret för att skapa ett enhetligt internt nätverk. Allt körs över det öppna internet, men anslutningen är privat och säker.
• Extranätbaserade site-to-site-VPN. De används mellan separata organisationer, som leverantörer, partners eller kunder. Ett extranätbaserat VPN ger kontrollerad åtkomst till specifika delar av ert nätverk utan att ni behöver öppna upp allt.

För större lösningar väljer vissa företag ett MPLS-VPN, ett privat och hanterat alternativ som kan hantera mer komplex routing.

Vad är skillnaden mellan ett site-to-site-VPN och ett remote access-VPN?

Ett site-to-site-VPN skiljer sig från ett remote access-VPN (fjärråtkomst-VPN). Ett remote access-VPN är den vanligaste typen av konsument-VPN, alltså den variant ni kanske använder på en mobil eller laptop för att skydda er personliga integritet i vardagen.

Remote access-VPN använder en klient/server-modell. Klienten är en app installerad på enheten som dirigerar internettrafiken via en server och krypterar alla data under resan mellan klient och server. Det är ett effektivt sätt att skydda er integritet online, dölja enheternas IP-adresser och minska risken för man-in-the-middle-attacker.

Site-to-site-VPN använder ingen klient/server-modell. Krypteringstunneln går i stället mellan gateways på varje plats, så användare behöver ingen klient på sin enhet så länge de skickar och tar emot information via VPN-gatewayen.

Remote access-VPN kan förstås också användas av företag och större organisationer. Anställda kan till exempel ha en klient på sin enhet för att komma åt en specifik företagsserver där filer och andra resurser finns. Många företag använder både remote access-VPN och site-to-site-VPN.

Vad är skillnaden mellan ett site-to-site-VPN och ett point-to-site-VPN?

Site-to-site-VPN kopplar ihop hela nätverk och passar företag med flera kontor som behöver en konstant, säker länk mellan platserna. De fungerar som en brygga mellan sajter så att team kan dela resurser som om de vore på samma lokala nätverk.

Point-to-site-VPN är däremot utformat för enskilda användare. Det gör det möjligt för distansanställda att säkert ansluta till kontorsnätverket var de än befinner sig – hemma, på ett kafé eller på resande fot. Det är flexibelt, användarfokuserat och perfekt för företag med en utspridd arbetsstyrka.

Så skapar ni en site-to-site-VPN-tunnel

Så här ser stegen ut för att konfigurera en VPN-tunnel i ett site-to-site-VPN:

1. 1.Välj routrar eller brandväggar med VPN-stöd på varje plats.
2. 2.Konfigurera varje enhet med:
   • Statisk publik IP-adress så att de kan hitta varandra.
   • Matchande VPN-protokoll (IPsec är vanligast).
   • Matchande krypteringsinställningar.
3. 3.Definiera lokala och externa subnät. Detta talar om för varje gateway vilken trafik som ska gå genom tunneln.
4. 4.Ställ in autentisering. Använd helst en fördelad nyckel (pre-shared key) eller ett digitalt certifikat.
5. 5.Öppna nödvändiga portar i brandväggen. Vanligtvis UDP 500 och 4500 för IPsec.
6. 6.Testa tunneln. Kontrollera att trafiken krypteras och att all routing fungerar som den ska.

Så konfigurerar man ett site-to-site-VPN

För att konfigurera ett site-to-site-VPN behöver ni ha tillgång till en router eller brandvägg med VPN-stöd på varje plats. Följ dessa steg för att komma igång:

1. 1.Logga in i routerns eller brandväggens administrationsgränssnitt.
2. 2.Gå till VPN-sektionen och välj ”Site-to-site” eller ”IPsec”.
3. 3.Ställ in det lokala subnätet (ert interna nätverk) och den externa partens publika IP.
4. 4.Ange det externa subnätet (det andra nätverkets interna nät).
5. 5.Välj krypterings- och autentiseringsinställningar (t.ex. AES eller SHA).
6. 6.Ange en fördelad nyckel (pre-shared key) eller ladda upp digitala certifikat.
7. 7.Aktivera NAT-traversering om det behövs (beroende på er nätverkskonfiguration).
8. 8.Spara och tillämpa inställningarna.
9. 9.Upprepa konfigurationen på den externa enheten.
10. 10.Testa anslutningen för att bekräfta att tunneln fungerar.

Best practices för ett site-to-site-VPN

Att få tunneln på plats är en sak – att hålla den säker och stabil är en annan. Några steg ni bör ta hjälper er att göra det rätt:

• Använd stark kryptering som AES-256 tillsammans med IPsec.
• Uppdatera all firmware regelbundet på alla VPN-enheter.
• Begränsa åtkomst med brandväggsregler.
• Kontrollera loggar regelbundet och ställ in varningar för ovanlig trafik.
• Aktivera failover-konfigurationer om hög tillgänglighet är avgörande.

Vilken hårdvara krävs för ett site-to-site-VPN?

Ni behöver ingen avancerad enterprise-utrustning för att köra ett site-to-site-VPN, men rätt verktyg är nödvändiga:

• En router eller brandvägg med stöd för site-to-site-VPN-protokoll (t.ex. IPsec).
• Dual-WAN-routrar om ni vill ha internetredundans eller lastbalansering.
• VPN-koncentratorer för att hantera flera tunnlar i större nätverk.
• Ett modem för en stabil internetanslutning på varje plats.

Värt att notera är också att hårdvaran bör ha tillräcklig processorkraft för att hantera kryptering utan att nätverkets prestanda påverkas.

Vilka är fördelarna med site-to-site-VPN?

Fördelarna med ett VPN av typen site-to-site är många för organisationer av alla storlekar:

• Förbättrad datasäkerhet. Ett site-to-site-VPN krypterar data som överförs mellan användare eller olika platser (det är den krypterade VPN-tunneln vi nämnde tidigare). Om någon obehörig skulle avlyssna datan under överföring mellan platserna så är den synlig endast som oläslig kod utan rätt dekrypteringsnyckel.
• Enklare resursdelning. Även om detta är en fördel med de flesta WAN är det värt att lyfta fram även här. Ett site-to-site-VPN gör det möjligt för anställda runt om i världen att kommunicera, dela resurser och säkert komma åt känsliga data. Det är ett effektivt sätt att samarbeta inom en utspridd arbetsstyrka, förutsatt att alla har åtkomst till de platser där gateways är installerade.
• Smidig onboarding. En fördel med att använda site-to-site-VPN som säkerhetslösning är att det inte bygger på en klient/server-modell. I stället för att kräva att alla användare på företagsnätverket installerar särskild klientmjukvara på sina enheter, kan de helt enkelt ansluta till VPN-gatewayen och dra nytta av datasäkerheten. Den klientlösa modellen är dessutom användbar i de sällsynta fall då vissa operativsystem eller enheter inte är kompatibla med VPN-programvara.

Vilka är begränsningarna med site-to-site-VPN?

Site-to-site-VPN har också vissa begränsningar som ni bör ha i åtanke:

• Inte anpassat för distansarbete. Sedan 2020 har distansarbete blivit betydligt vanligare. Många anställda jobbar hemifrån eller från coworking-kontor där de inte har tillgång till en dedikerad VPN-gateway. Detsamma gäller organisationer som förlitar sig på frilansare, som sällan kan fysiskt ansluta till de platser som VPN:et kopplar samman.
• Begränsad säkerhet och integritet. Oavsett hur säkra era VPN-protokoll är så skyddar ett site-to-site-VPN bara data under överföringen mellan gateways. LAN-näten på vardera sidan av gatewayen är inte nödvändigtvis skyddade mot cyberkriminella och avlyssning. När informationen väl är dekrypterad och skickas till en specifik enhet på en plats kan den utsättas. Här har klient/server-VPN en fördel, eftersom trafiken till och från enheter med installerad klient normalt sett är krypterad hela vägen.
• Decentraliserad implementation och hantering. Många företag vill kunna distribuera och administrera VPN-lösningar från en central kontrollpunkt, vilket underlättar både felsökning och säkerhet. Ett site-to-site-VPN kräver däremot samordning mellan flera team på olika platser, vilket gör central hantering svårare.

Varför använda ett site-to-site-VPN för B2B-kommunikation?

Ni bör överväga ett site-to-site-VPN för B2B-kommunikation eftersom det erbjuder flera fördelar:

• Säkerhet. All trafik är krypterad mellan nätverken, vilket minskar risken för hot.
• Kontroll. Ni bestämmer exakt vilka delar av nätverket som partners eller underleverantörer får åtkomst till.
• Kostnadseffektivitet. Det eliminerar behovet av dyra hyrda linor eller dedikerade förbindelser.
• Bekvämlighet. Det får extern åtkomst att kännas som om den sker inom ert eget nätverk.

Hur drar företagsnätverk nytta av site-to-site-VPN?

Site-to-site-VPN gör att företag kan fungera som en enhet, oavsett hur många kontor de har. Så här använder organisationer dem:

• Säker datadelning mellan globala kontor.
• Centraliserade säkerhetskopior från filialkontor.
• Tillgång till interna appar (som CRM eller ERP) på alla platser.
• Åtkomst till delade databaser och verktyg.
• En enhetlig säkerhetspolicy på alla platser.
• Hybridflexibilitet, där site-to-site-VPN för kontorsnät kombineras med remote access-VPN för anställda som arbetar hemifrån eller i fält.

Är ett site-to-site-VPN bättre än ett webbaserat VPN?

Ja, generellt sett är site-to-site-VPN bättre för företag och organisationer, men det beror på era behov:

• Site-to-site-VPN är byggt för att koppla samman hela nätverk. Det passar bäst för interna affärsprocesser och partneråtkomst.
• Webbaserat VPN (som SSL-VPN) är perfekt för enskilda användare som behöver snabb webbläsarbaserad åtkomst till specifika appar eller tjänster. Det fungerar utmärkt för tillfällig distansåtkomst men är inte byggt för fullständig nätverksintegration.

Är ett VPN rätt för ert företag?

Ett VPN kan stärka både integriteten online och datasäkerheten för de flesta företag. NordLayer, en av de mest effektiva B2B-VPN-lösningarna på marknaden, erbjuder olika alternativ för organisationer av alla storlekar. Om ni väljer NordLayers site-to-site-VPN-tjänst kan ni dra nytta av dedikerade gateways för alla era LAN.

Även om ni redan använder en nätverkslösning – till exempel MPLS – kan NordLayer spela en viktig roll i er övergripande cybersäkerhetsstrategi. NordLayer erbjuder dessutom en klient/server-modell som gör det möjligt för organisationer att dela data och resurser på ett säkert sätt med anställda både på kontoret och på distans.

NordVPN: Alternativ programvarulösning till site-to-site-VPN

NordVPN erbjuder ett enklare och mer prisvärt alternativ till traditionella site-to-site-VPN, särskilt för mindre företag som behöver säker distansåtkomst. Även om det inte är ett site-to-site-VPN kan företag använda en dedikerad IP för att ge distansanställda säker och kontrollerad åtkomst till nätverket utan den komplexitet som en traditionell lösning innebär.

Med funktioner som AES-256-kryptering, ett globalt servernätverk och extra säkerhetsalternativ som Dubbel VPN ser NordVPN till att anslutningarna är snabba och säkra. Dessutom gör den lättanvända appen och dygnet runt-supporten det till ett starkt val för företag som behöver pålitlig distansåtkomst utan en krånglig konfiguration.