O Que é VPN Site-to-Site e Como Funciona

Uma empresa com matriz em São Paulo, uma filial em Campinas e servidores na nuvem enfrenta um problema silencioso: como fazer essas três redes conversarem como se fossem uma só, sem expor dados sensíveis à internet aberta? A resposta clássica, madura e ainda amplamente usada é a VPN site-to-site. Diferente da VPN que o funcionário liga no notebook para acessar a rede de casa, a VPN site-to-site conecta redes inteiras entre si, de forma permanente e transparente. Este artigo explica o que é, como funciona por dentro, como se diferencia da VPN de acesso remoto e quando ela ainda é a escolha certa em um mundo que fala cada vez mais de Zero Trust.

O que é uma VPN site-to-site

VPN site-to-site é um tipo de rede privada virtual que conecta duas ou mais redes locais inteiras através de um túnel seguro sobre a internet pública. O nome já diz: liga um site (local) a outro site, rede a rede, e não um usuário individual a uma rede.

Na prática, ela cria uma extensão da rede corporativa por cima da internet. Os computadores da filial passam a enxergar os servidores da matriz como se estivessem no mesmo prédio, com endereços da mesma rede lógica, embora fisicamente estejam a centenas de quilômetros. Todo o tráfego que atravessa a internet entre os dois locais viaja criptografado dentro de um túnel, invisível e protegido de quem estiver espionando o caminho.

A grande característica da VPN site-to-site é que ela é transparente para o usuário. O funcionário da filial não precisa ligar nada, não instala software, não digita senha de VPN. Ele simplesmente acessa o sistema da matriz e funciona, porque a conexão entre as redes já está estabelecida permanentemente pelos equipamentos de borda de cada local. A VPN vive nos roteadores ou firewalls, não nos computadores das pessoas.

Como funciona por dentro

A mágica acontece nos equipamentos de borda de cada rede, tipicamente firewalls ou roteadores com capacidade de VPN, chamados de gateways VPN. Cada local tem o seu, e é entre eles que o túnel se estabelece.

O túnel e o encapsulamento

Quando um computador da filial envia dados para um servidor da matriz, o pacote chega ao gateway VPN da filial. Esse gateway pega o pacote original, criptografa e o encapsula dentro de um novo pacote, endereçado ao gateway da matriz. Esse novo pacote viaja pela internet pública. Ao chegar, o gateway da matriz descriptografa, desencapsula e entrega o pacote original ao servidor de destino, na rede interna. Do ponto de vista das duas redes, é como se houvesse um cabo direto entre elas. Esse processo de embrulhar um pacote dentro de outro é o que chamamos de tunelamento.

IPsec: o protocolo que sustenta tudo

O conjunto de protocolos mais usado em VPN site-to-site é o IPsec (Internet Protocol Security). Ele trabalha em duas frentes:

• Autenticação e integridade: garante que o pacote veio mesmo do gateway legítimo do outro lado e que não foi alterado no caminho. Isso é feito por mecanismos como o AH e, principalmente, o ESP.
• Confidencialidade: criptografa o conteúdo, para que ninguém que intercepte o tráfego consiga lê-lo. Algoritmos modernos como AES são o padrão.

O IPsec estabelece o túnel em duas fases, negociadas pelo protocolo IKE (Internet Key Exchange). Na primeira fase, os dois gateways se autenticam mutuamente (por chave pré-compartilhada ou certificado digital) e estabelecem um canal seguro para negociar. Na segunda fase, definem as chaves e os parâmetros que vão criptografar o tráfego real. Essas chaves são renovadas periodicamente, o que reduz a janela de exposição caso alguma seja comprometida.

Há dois modos de operação do IPsec: o modo transporte, que criptografa apenas o conteúdo do pacote, e o modo túnel, que criptografa o pacote inteiro e o encapsula em um novo. Para VPN site-to-site entre gateways, usa-se o modo túnel.

Roteamento entre as redes

Além de criptografar, a VPN site-to-site precisa saber quais faixas de endereços pertencem a cada lado, para direcionar o tráfego pelo túnel. Configura-se, em cada gateway, que a rede da matriz (por exemplo, 10.0.0.0/24) é alcançada pelo túnel a partir da filial, e vice-versa. Um detalhe crítico: as redes dos dois lados não podem usar a mesma faixa de endereços, ou o roteamento entra em conflito. Planejar o endereçamento é parte essencial do projeto.

Site-to-site versus acesso remoto: a diferença essencial

A confusão mais comum é entre VPN site-to-site e VPN de acesso remoto (também chamada client-to-site ou remote access). Ambas criam túneis criptografados, mas resolvem problemas diferentes.

Na VPN de acesso remoto, um usuário individual, com um cliente VPN instalado no dispositivo, conecta-se à rede corporativa. É a VPN do trabalho remoto: o funcionário em casa liga o cliente, autentica-se e passa a acessar a rede da empresa como se estivesse lá. A conexão é sob demanda, ligada e desligada pelo usuário, e existe apenas enquanto ele precisa.

Na VPN site-to-site, redes inteiras se conectam, de forma permanente, sem que os usuários façam qualquer coisa. Não há cliente instalado nos computadores; o túnel vive nos gateways e serve a todos os dispositivos de cada local automaticamente.

O que conecta Rede inteira a rede inteira Um usuário/dispositivo a uma rede Onde vive o túnel Nos gateways (firewall/roteador) No dispositivo do usuário (cliente VPN) Ação do usuário Nenhuma, é transparente Liga e autentica o cliente VPN Permanência Permanente, sempre ativo Sob demanda, enquanto o usuário usa Caso de uso típico Conectar matriz, filiais e nuvem Trabalho remoto, acesso individual Escala Poucos locais fixos Muitos usuários móveis

Resumindo em uma frase: acesso remoto liga pessoas a uma rede; site-to-site liga redes a redes.

Quando usar VPN site-to-site

A VPN site-to-site brilha em cenários específicos e continua relevante mesmo com todas as novidades de conectividade.

• Conectar filiais à matriz. O caso clássico. Cada unidade acessa sistemas centrais (ERP, arquivos, telefonia IP) como se estivesse na sede, sem cada funcionário precisar ligar VPN.
• Conectar a empresa à nuvem. Ligar o data center próprio ou a rede local a uma nuvem pública (AWS, Azure, Google Cloud) por túnel IPsec é uma forma comum de estender a rede corporativa para a nuvem com segurança, base de muitas arquiteturas híbridas.
• Integrar com parceiros. Conectar de forma controlada a rede da empresa à de um fornecedor ou parceiro, restringindo o acesso apenas ao necessário.
• Substituir links dedicados caros. Antes, unir filiais exigia links privados caríssimos (como MPLS). A VPN site-to-site sobre internet comum entrega conectividade segura a uma fração do custo, embora sem a garantia de desempenho de um link dedicado.

Vale a ressalva de desempenho: como a VPN site-to-site trafega pela internet pública, ela está sujeita à qualidade e à variação dessa internet. Para cargas que exigem latência e banda garantidas, empresas combinam a VPN com links de melhor qualidade ou adotam alternativas como SD-WAN, que gerencia inteligentemente múltiplos links.

E o Zero Trust? A VPN morreu?

Há um debate legítimo no mercado sobre o futuro das VPNs diante do modelo Zero Trust e de soluções como o ZTNA (Zero Trust Network Access). A crítica central é que a VPN tradicional, uma vez estabelecida, tende a dar amplo acesso à rede: quem entra no túnel enxerga muita coisa, e isso amplia o risco caso as credenciais sejam comprometidas. O Zero Trust prega o oposto: nunca confiar por padrão, verificar sempre e conceder acesso mínimo, por aplicação, não por rede inteira.

Essa crítica se aplica principalmente à VPN de acesso remoto, onde o ZTNA de fato vem substituindo a VPN em muitos cenários de usuário. Para a VPN site-to-site, que conecta infraestrutura fixa a infraestrutura fixa, o cenário é diferente: ela continua sendo a forma padrão e eficiente de interligar redes de locais e nuvens. A tendência não é a VPN site-to-site desaparecer, mas conviver com uma postura Zero Trust: túneis site-to-site para a conectividade de base, segmentação e verificação contínua por cima, controlando quem acessa o quê dentro dessas redes conectadas. As duas coisas se somam.

Cuidados de segurança e desempenho na prática

Montar um túnel que sobe é a parte fácil. Mantê-lo seguro e estável ao longo do tempo é o que separa uma implementação profissional de uma improvisada. Alguns cuidados merecem atenção especial.

No campo da segurança, o primeiro ponto é a autenticação entre os gateways. Usar chaves pré-compartilhadas (PSK) fracas ou reaproveitadas em vários túneis é um risco sério; certificados digitais são mais robustos e recomendados em ambientes maiores. O segundo ponto é escolher algoritmos de criptografia modernos: cifras e grupos de troca de chaves antigos, ainda comuns em equipamentos legados, precisam ser aposentados em favor de AES e conjuntos atuais. O terceiro é limitar o que trafega pelo túnel: mesmo conectando redes inteiras, é boa prática restringir por regras de firewall quais sistemas de um lado podem alcançar quais do outro, aplicando o princípio do menor privilégio em vez de abrir tudo para tudo.

No campo do desempenho, o fator mais esquecido é o custo de processamento da criptografia. Criptografar e descriptografar todo o tráfego consome CPU do gateway, e um equipamento subdimensionado vira gargalo justamente quando a demanda cresce. Dimensionar o firewall ou roteador para a banda criptografada esperada, não apenas para a banda bruta, evita surpresas. Outro fator é o MTU e a fragmentação: o encapsulamento adiciona cabeçalhos ao pacote, e se o ajuste de tamanho não for feito, ocorre fragmentação que degrada o desempenho de forma difícil de diagnosticar.

Por fim, há a disponibilidade. Um túnel único é um ponto de falha: se o link de internet de um lado cai, a filial fica isolada. Ambientes críticos usam túneis redundantes por links distintos, ou combinam a VPN com SD-WAN, que balanceia e comuta automaticamente entre múltiplos links conforme a qualidade. E, acima de tudo, é preciso monitorar os túneis ativamente, porque um túnel que cai silenciosamente costuma ser descoberto pelo usuário reclamando, não pela equipe de TI, quando deveria ser o contrário.

Como a Ródio Tech ajuda

Projetar VPNs site-to-site que sejam seguras, estáveis e bem monitoradas exige planejamento de endereçamento, configuração correta de IPsec, gestão de chaves e certificados e, sobretudo, monitoração contínua dos túneis, porque um túnel que cai silenciosamente derruba a operação de uma filial inteira. A Ródio Tech atua desde 2004 em infraestrutura e segurança de redes e cuida do ciclo completo: projeto da topologia, implantação dos gateways, integração com a nuvem e sustentação com monitoração ativa dos túneis.

Se a sua empresa precisa conectar filiais, integrar-se à nuvem com segurança ou já tem túneis que ninguém acompanha de perto, conheça nossos serviços de monitoração e de outsourcing de TI.

Conclusão

VPN site-to-site conecta redes inteiras entre si por um túnel criptografado sobre a internet, tipicamente usando IPsec, de forma permanente e transparente para os usuários. Diferente da VPN de acesso remoto, que liga um usuário individual à rede sob demanda, a site-to-site vive nos gateways de cada local e serve a todos automaticamente. É a base para conectar matriz, filiais e nuvem com segurança e economia.

Mesmo na era do Zero Trust, a VPN site-to-site continua relevante como camada de conectividade de infraestrutura, convivendo com verificação contínua e acesso mínimo por cima. O segredo está no projeto correto e na monitoração constante dos túneis. A Ródio Tech está no mercado desde 2004, é certificada Great Place to Work e atende clientes como C&A, Fleury, CERC e SoftwareOne, ajudando empresas a conectar suas redes com segurança e disponibilidade. Fale com a gente pelo outsourcing de TI.

Referências

• NIST. "Guide to IPsec VPNs" (SP 800-77 Rev. 1). https://csrc.nist.gov/publications/detail/sp/800-77/rev-1/final
• NIST. "Zero Trust Architecture" (SP 800-207). https://csrc.nist.gov/publications/detail/sp/800-207/final
• CISA. "Selecting and Hardening Remote Access VPN Solutions". https://www.cisa.gov/resources-tools/resources
• IETF RFC 4301. "Security Architecture for the Internet Protocol (IPsec)". https://datatracker.ietf.org/doc/html/rfc4301
• Microsoft Learn. "About Point-to-Site and Site-to-Site VPN Gateway connections". https://learn.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-about-vpngateways

Principais pontos

1. VPN site-to-site: conecta duas ou mais redes locais inteiras através de um túnel seguro sobre a internet pública, de forma permanente e transparente para o usuário, diferente da VPN de acesso remoto que liga um usuário individual a uma rede.
2. IPsec: é o conjunto de protocolos mais usado em VPN site-to-site, cuidando de autenticação e integridade (via AH e ESP) e de confidencialidade (criptografia com algoritmos como AES).
3. Modo túnel: para VPN site-to-site entre gateways usa-se o modo túnel do IPsec, que criptografa o pacote inteiro e o encapsula em um novo, diferente do modo transporte que criptografa só o conteúdo.
4. Regra de endereçamento: as redes dos dois lados do túnel não podem usar a mesma faixa de endereços IP, ou o roteamento entra em conflito.
5. Zero Trust não substitui o site-to-site: a crítica do modelo Zero Trust se aplica principalmente à VPN de acesso remoto (onde o ZTNA vem ganhando espaço); a VPN site-to-site continua sendo a forma padrão de interligar redes fixas e nuvens, convivendo com segmentação por cima.