Site-to-site против point-to-site
Есть две модели VPN-соединения, site-to-site и point-to-site, и различаются они тем, что соединяют. Site-to-site VPN связывает целые сети, например два офиса, так что любое устройство в одной локации может прозрачно обращаться к устройствам в другой. Point-to-site VPN (его также называют VPN удалённого доступа или клиентским VPN) подключает к удалённой сети одно устройство, например ноутбук.
Site-to-site VPN соединяет целые сети (например, два офиса), чтобы все устройства в них могли обмениваться данными; point-to-site подключает к сети отдельное устройство.
Ключевое различие
- 01
Site-to-site соединяет сети: туннель объединяет две LAN, чтобы все их хосты могли общаться без какого-либо ПО на каждом устройстве.
- 02
Point-to-site соединяет конечную точку: отдельное устройство запускает VPN-клиент и получает доступ в удалённую сеть, по одному устройству за раз.
- 03
Site-to-site обычно служит постоянно работающей инфраструктурой между фиксированными локациями, а point-to-site включается по запросу, когда подключается пользователь.
- 04
Они дополняют друг друга: многие организации соединяют офисы site-to-site туннелями и дают командированным сотрудникам point-to-site доступ.
Когда использовать site-to-site
Модель site-to-site нужна, когда локации должны работать как одна сеть: филиалы обращаются к дата-центру, два офиса используют общие системы или on-prem подключается к облачной среде. Туннель устанавливается между шлюзами сетей, поэтому каждый хост на каждой площадке получает связь автоматически и на отдельные машины ничего устанавливать не нужно. В mesh-сети site-to-site получается сам собой: на каждой площадке работает шлюз, и шлюзы объединяют площадки в одну фабрику.
Когда использовать point-to-site
Point-to-site подходит отдельным пользователям, которым нужен доступ откуда угодно: удалённым сотрудникам, подрядчикам, администраторам, подключающимся к системам. Каждое устройство запускает клиент и проходит аутентификацию, чтобы получить доступ к удалённой сети. Это гибко и удобно для пользователя, но масштабируется по устройствам и пользователям, а не по локациям. Современные zero-trust подходы развивают point-to-site: они открывают доступ к конкретным системам по роли, а не пускают устройство во всю сеть.
Как это соотносится с Vexaro Mesh (в разработке)
Vexaro Mesh задуман вокруг модели site-to-site: шлюзы в офисах, дата-центрах и облаках объединяются в один full mesh, так что соединяются целые сети и всё, что находится за каждой площадкой, может связаться с остальными без клиента на каждом устройстве. Оплата планируется за подключённую площадку, а не за пользователя или устройство, а та же фабрика должна поддерживать zero-trust доступ по ролям к конкретным внутренним системам.
Посмотреть планируемые функции