Biuro w jednym mieście, magazyn w drugim, kilka sklepów w różnych lokalizacjach. Im więcej oddziałów ma firma, tym częściej pojawia się ten sam problem: każdy działa jak osobna wyspa. Serwer plików w biurze niewidoczny z magazynu. Drukarka fiskalna w sklepie niepodłączona do centralnego systemu sprzedaży. Administrator, który osobno loguje się do sieci każdej lokalizacji. Rozwiązanie? Site-to-site VPN — połączenie, które spina sieci lokalne wszystkich oddziałów w jedną, wspólną sieć firmową.
Czym różni się od VPN-a dla pojedynczych pracowników
VPN dla firmy, o którym pisałem wcześniej, kojarzy się zwykle z jednym pracownikiem łączącym się zdalnie z laptopa. Site-to-site VPN działa inaczej — łączy nie urządzenia, a całe sieci lokalne. Tunel powstaje między bramkami poszczególnych lokalizacji. Komputery, drukarki i systemy kasowe w każdym oddziale automatycznie widzą zasoby pozostałych, bez instalowania czegokolwiek na pojedynczym urządzeniu.
Gdzie to się sprawdza
- Sieci sklepów i punktów usługowych — wspólny dostęp do systemu sprzedaży i magazynu, bez wystawiania ich do internetu.
- Biuro i magazyn — jeden spójny system zamówień, zamiast ręcznego przesyłania danych między lokalizacjami.
- Firmy z kilkoma oddziałami — wspólny serwer plików, poczta i aplikacje dostępne z każdej lokalizacji na tych samych zasadach.
- Zdalne zarządzanie IT — jeden administrator, wszystkie lokalizacje, zero osobnych VPN-ów.
Klasyczne podejście kontra sieć mesh
Tradycyjny site-to-site VPN opiera się na routerach parowanych ręcznie, zwykle przez IPsec. Każde nowe połączenie to osobna konfiguracja, a kolejna lokalizacja szybko komplikuje całą topologię. Rozwiązania oparte na NetBird i WireGuard budują zamiast tego sieć mesh: każda lokalizacja dołącza przez serwer koordynujący, bez ręcznego parowania i bez potrzeby stałego publicznego adresu IP w każdym miejscu.
Pełny mesh — tunel między każdą parą oddziałów — szybko robi się niepraktyczny, bo liczba połączeń rośnie kwadratowo z liczbą lokalizacji. Dlatego w praktyce firmy z kilkoma oddziałami częściej stawiają na topologię hub-and-spoke: każda lokalizacja ma tunel tylko do centrali, a ruch między dwoma oddziałami — sklep A do sklepu B — leci przez centralę. To wygodne w konfiguracji, ale oznacza, że centrala staje się jednocześnie wąskim gardłem przepustowości (dźwiga cały ruch międzyoddziałowy) i pojedynczym punktem awarii — gdy padnie łącze w centrali, oddziały tracą łączność między sobą, nawet jeśli każdy z osobna ma sprawny internet.
Sieć mesh oparta na NetBird nie ma tego problemu w tej samej postaci — ruch między oddziałami płynie bezpośrednio między ich bramkami, bez przechodzenia przez centralę. Tak samo jednak jak przy dostępie dla pojedynczych pracowników, to nie jest pełne zniknięcie pojedynczego punktu awarii: serwer koordynujący nie niesie ruchu, ale to on odpowiada za dołączanie nowych lokalizacji i propagację reguł dostępu, a gdy któryś oddział siedzi za symetrycznym NAT-em, jego ruch może i tak wrócić przez serwer relay (TURN). Awaria koordynatora nie zrywa już działających połączeń między oddziałami — ale nowy oddział nie dołączy, dopóki koordynator nie wróci.
Im więcej lokalizacji ma firma, tym mocniej widać różnicę między łączeniem sieci parami a dołączaniem ich do jednej wspólnej sieci.
Bezpieczeństwo mimo wspólnej sieci
Wspólna sieć nie znaczy, że każdy oddział widzi wszystko u każdego innego. Reguły dostępu ustawiam tak samo precyzyjnie, jak przy dostępie dla pojedynczych pracowników. Sklep widzi tylko system sprzedaży i magazyn. Pełny dostęp administracyjny ma wyłącznie dział IT. To ten sam mechanizm, który opisuję w artykule o NetBird.
Wdrożenie takiej sieci dla kilku lokalizacji przebiega według tego samego schematu, co wdrożenie VPN krok po kroku. Różnica jest w skali, nie w podejściu. Jeśli firma rośnie o kolejne lokalizacje szybciej, niż nadąża za tym sieć — to dobry moment, żeby to zmienić.