VPN site-to-site a VPN klienta

VPN-y dzielą się na dwa główne rodzaje w zależności od tego, co łączą. VPN site-to-site łączy całe sieci, natomiast VPN klienta (zdalnego dostępu) łączy pojedyncze urządzenie użytkownika z siecią.

Oba rozwiązania tworzą zaszyfrowane tunele, ale służą różnym potrzebom: łączeniu biur lub zapewnianiu pojedynczym pracownikom bezpiecznego dostępu z dowolnego miejsca.

VPN site-to-site łączy przez internet dwie całe sieci, na przykład centralę i oddział. Tunel jest tworzony między routerami lub zaporami sieciowymi obu lokalizacji, nazywanymi bramami VPN.

Po ustanowieniu połączenia urządzenia w obu lokalizacjach komunikują się tak, jakby znajdowały się w jednej sieci, bez konieczności instalowania oprogramowania na poszczególnych komputerach. Bramy obsługują całe szyfrowanie w sposób przejrzysty.

W konfiguracji site-to-site każde urządzenie w Lokalizacji A wysyła ruch przeznaczony do Lokalizacji B do lokalnej bramy VPN. Brama szyfruje ruch i przesyła go tunelem do bramy VPN w Lokalizacji B, która go odszyfrowuje i dostarcza lokalnie.

Użytkownicy nie muszą niczego konfigurować; stale aktywny tunel między bramami sprawia, że dwa odległe biura działają jak jedna ciągła sieć LAN.

VPN klienta łączy jedno urządzenie z siecią. Użytkownik uruchamia oprogramowanie klienta VPN, które tworzy tunel do koncentratora VPN lub zapory sieciowej w biurze i uwierzytelnia konkretnego użytkownika.

To klasyczny model pracy z domu: laptop znajdujący się w dowolnym miejscu na świecie tworzy tunel do sieci firmowej, uzyskując w razie potrzeby bezpieczny dostęp do wewnętrznych zasobów.

Najważniejsze różnice:

• Site-to-site: brama–brama, stale aktywne połączenie, łączy całe sieci, bez oprogramowania na poszczególnych urządzeniach.
• Klient: urządzenie–brama, uruchamiane na żądanie, łączy jednego użytkownika, wymaga oprogramowania klienta.

VPN site-to-site należy stosować do stałych połączeń między lokalizacjami, a VPN klienta — w przypadku mobilnych i zdalnych użytkowników.

VPN-y klienta mogą przekierowywać ruch na dwa sposoby. Pełny tunel przesyła cały ruch urządzenia przez VPN, w tym zwykłe przeglądanie internetu, maksymalizując bezpieczeństwo i kontrolę.

Dzielony tunel przesyła przez VPN tylko ruch kierowany do firmy, a zwykły ruch internetowy wysyła bezpośrednio. Dzielone tunelowanie oszczędza przepustowość, ale ogranicza widoczność i kontrolę organizacji nad pozostałym ruchem użytkownika.

Organizacje mające wielu zdalnych użytkowników wdrażają koncentrator VPN — urządzenie przeznaczone do jednoczesnego kończenia dużej liczby tuneli VPN klienta i obsługi znacznego obciążenia związanego z szyfrowaniem.

Uwierzytelnia ono użytkowników, przydziela im adresy wewnętrzne i stosuje zasady dostępu. Często funkcja ta jest wbudowana w zaporę sieciową, która pełni rolę jednego bezpiecznego punktu wejścia dla wszystkich pracowników zdalnych.

Tunele site-to-site zwykle uwierzytelniają obie bramy za pomocą kluczy współdzielonych lub certyfikatów, ponieważ punkty końcowe są stałymi i zaufanymi urządzeniami.

VPN-y klienta muszą uwierzytelniać poszczególne osoby, dlatego korzystają z danych logowania użytkownika, certyfikatów, a coraz częściej także z uwierzytelniania wieloskładnikowego, aby upewnić się, że każdy użytkownik zdalny jest rzeczywiście osobą, za którą się podaje, zanim uzyska dostęp.

Wybór zależy od potrzeb dotyczących połączenia: stałe połączenie oddziału z centralą wymaga zwykle VPN typu site-to-site, natomiast umożliwienie pracownikom bezpiecznej pracy z domu lub w podróży — VPN klienta.

Wiele organizacji korzysta z obu rozwiązań: stale aktywnych połączeń site-to-site między biurami oraz dostępu przez VPN klienta dla mobilnych i zdalnych pracowników.

Nowsze podejścia, takie jak ZTNA (Zero Trust Network Access) i SASE (Secure Access Service Edge), zmieniają sposób realizacji zdalnego dostępu. Zamiast przyznawać szeroki dostęp do sieci, weryfikują każde żądanie i łączą użytkowników tylko z konkretnymi zatwierdzonymi aplikacjami.

Rozwiązania te rozwijają idee VPN, stosując jednak zasady zero trust i przyznając dostęp zgodny z minimalnymi uprawnieniami, zamiast umieszczać użytkownika w całej sieci.

VPN-y site-to-site łączą całe sieci brama–brama, są stale aktywne i nie wymagają oprogramowania klienta, dlatego idealnie nadają się do łączenia biur. VPN-y klienta łączą pojedyncze urządzenia na żądanie za pomocą oprogramowania VPN, dlatego dobrze sprawdzają się w przypadku pracowników zdalnych; mogą korzystać z pełnego lub dzielonego tunelowania. Koncentrator obsługuje wiele tuneli klienta, a ZTNA i SASE unowocześniają ten model.

Sprawdź swoją wiedzę o rodzajach VPN.

VPN-y site-to-site łączą całe sieci za pośrednictwem bram VPN, działają stale i nie wymagają oprogramowania, umożliwiając łączenie biur. VPN-y klienta łączą jedno urządzenie na żądanie za pomocą oprogramowania VPN, idealnie sprawdzając się w przypadku użytkowników zdalnych i obsługując pełne lub dzielone tunelowanie. Koncentrator VPN kończy wiele tuneli klienta, a ZTNA/SASE unowocześniają zdalny dostęp.