Site-to-site- kontra client-VPN'er

I en site-to-site-konfiguration sender alle enheder på sted A trafik, der er bestemt til sted B, til deres lokale VPN-gateway. Denne gateway krypterer trafikken og sender den gennem tunnelen til gatewayen på sted B, som dekrypterer den og leverer den lokalt.

Brugerne skal ikke konfigurere noget. Den altid aktive tunnel mellem gatewayene får to fjerntliggende kontorer til at føles som ét sammenhængende LAN.

En klient-VPN forbinder én enhed med et netværk. Brugeren kører klientsoftware til VPN, som opretter en tunnel til en VPN-koncentrator eller firewall på kontoret og godkender den enkelte bruger.

Det er den klassiske løsning til arbejde hjemmefra: En bærbar computer hvor som helst i verden opretter en tunnel ind i virksomhedens netværk og får sikker adgang til interne ressourcer efter behov.

De vigtigste forskelle:

• Site-to-site: gateway-til-gateway, altid aktiv, forbinder hele netværk og kræver ingen software pr. enhed.
• Klient: enhed-til-gateway, efter behov, forbinder én bruger og kræver klientsoftware.

Brug site-to-site til permanente forbindelser mellem placeringer, og brug klient-VPN'er til mobile og fjernarbejdende enkeltpersoner.

Klient-VPN'er kan dirigere trafik på to måder. Fuld tunnel sender al trafik fra enheden gennem VPN'en, også almindelig webbrowsing, hvilket maksimerer sikkerhed og kontrol.

Delt tunnel sender kun trafik til virksomheden gennem VPN'en, mens normal internettrafik sendes direkte ud. Delt tunnelføring sparer båndbredde, men reducerer organisationens indblik i og kontrol over brugerens almindelige trafik.

Organisationer med mange fjernbrugere anvender en VPN-koncentrator, en enhed, der er bygget til at afslutte et stort antal klient-VPN-tunneler på én gang og håndtere den store krypteringsbelastning.

Den godkender brugere, tildeler dem interne adresser og anvender adgangspolitikker. Denne rolle er ofte indbygget i firewallen, hvor den fungerer som det ene sikre indgangspunkt for alle fjernarbejdere.

Site-to-site-tunneler godkender normalt de to gateways ved hjælp af forhåndsdelte nøgler eller certifikater, fordi slutpunkterne er faste og betroede enheder.

Klient-VPN'er skal godkende enkeltpersoner og er derfor afhængige af brugerlegitimationsoplysninger, certifikater og i stigende grad multifaktorgodkendelse for at sikre, at hver fjernbruger faktisk er den, vedkommende udgiver sig for at være, før der gives adgang.

Vælg ud fra forbindelsesbehovet: Hvis en filial permanent skal forbindes med hovedkontoret, skal du bruge en site-to-site-VPN. Hvis medarbejdere skal kunne arbejde sikkert hjemmefra eller på farten, skal du bruge en klient-VPN.

Mange organisationer bruger begge dele: altid aktive site-to-site-forbindelser mellem kontorer samt klient-VPN-adgang for deres mobile og fjernarbejdende medarbejdere.

Nyere tilgange som ZTNA (Zero Trust Network Access) og SASE (Secure Access Service Edge) videreudvikler fjernadgang. I stedet for at give bred netværksadgang bekræfter de hver enkelt anmodning og forbinder kun brugere med bestemte godkendte applikationer.

De bygger videre på VPN-idéer, men anvender nul-tillidsprincipper og giver adgang med mindst mulige rettigheder i stedet for at placere brugeren på hele netværket.

Site-to-site-VPN'er forbinder hele netværk gateway-til-gateway og er altid aktive uden klientsoftware, hvilket gør dem velegnede til at forbinde kontorer. Klient-VPN'er forbinder enkelte enheder efter behov ved hjælp af VPN-software, hvilket gør dem velegnede til fjernarbejdere, og de kan bruge fuld eller delt tunnelføring. En koncentrator håndterer mange klienttunneler, mens ZTNA og SASE moderniserer modellen.

Site-to-site-VPN'er forbinder hele netværk via VPN-gateways, er altid aktive og kræver ingen software, så de kan forbinde kontorer. Klient-VPN'er forbinder én enhed efter behov med VPN-software og er velegnede til fjernbrugere med understøttelse af fuld eller delt tunnelføring. En VPN-koncentrator afslutter mange klienttunneler, mens ZTNA/SASE moderniserer fjernadgang.