As VPNs são, geralmente redes dinâmicas ou seja, as conexões são formadas de acordo com as necessidades das corporações. Assim, ao contrário das linhas dedicadas utilizadas por uma estrutura de rede privada tradicional, as VPNs não mantém links permanentes entre dois pontos da rede da corporação, pelo contrário, quando uma conexão se faz necessária entre dois pontos desta corporação, ela é criada e quando a mesma não for mais necessária, ela será desativada, fazendo com que a banda esteja disponível para outros usuários.

Os túneis podem consistir de dois tipos de pontos finais: um computador individual ou uma LAN com um gateway seguro, que poderá ser um roteador ou um um firewall. Porém, somente duas combinações desse pontos finais, são consideradas nos projetos de VPNs. No primeiro caso, tunelamento LAN-to-LAN, um gateway seguro em cada ponto servirá de interface entre o túnel e a LAN privada. Desta forma, usuários de ambas as LANs poderão utilizar o túnel transparentemente para comunicarem entre si.

Um segundo caso, tunelamento Client-to-LAN, é aquele utilizado por usuários remotos que desejam acessar a LAN corporativa. O cliente, ou seja, o usuário remoto, inicia o tunelamento em seu ponto, para a troca de tráfico com a rede corporativa. A ferramenta para esta comunicação é um software instalado em seu computador, que permite transpor o gateway que protege a LAN de destino.

A figura abaixo é uma ilustração genérica do processo de tunelamento :

Os principais protocolos de tunelamento são:

Túneis GRE são geralmente configurados entre roteadores fonte e roteadores destino (pacotes ponto-a-ponto). Os pacotes designados para serem enviados através do túnel (já encapsulados com um cabeçalho de um protocolo como, por exemplo, o IP) são encapsulados por um novo cabeçalho (cabeçalho GRE) e colocados no túnel com o endereço de destino do final do túnel . Ao chegar a este final, os pacotes são desencapsulados (retira-se o cabeçalho GRE) e continuarão seu caminho para o destino determinado pelo cabeçalho original.

Desvantagens:

Ao contrário do GRE, estes protocolos são utilizados em VPDNs (Virtual Private Dial Network), redes que proporcionam acesso á rede corporativa por usuários remotos, através de uma linha discada (provedor de acesso).

O protocolo PPTP é um modelo "voluntário" de tunelamento, ou seja , permite que o próprio sistema do usuário final, por exemplo, um computador, configure e estabeleça conexões discretas ponto-a-ponto para um servidor PPTP, localizado arbitrariamente, sem a intermediação do provedor de acesso. Este protocolo constrói as funcionalidades do protocolo PPP (Point-to-Point Protocol - um dos protocolos mais utilizados na Internet para acesso remoto) para o tunelamento dos pacotes até seu destino final. Na verdade, o PPTP encapsula pacotes PPP utilizando-se de uma versão modificada do GRE, o que torna o PPTP capaz de lidar com outros tipos de pacotes além do IP, como o IPX (Internet Packet Exchange) e o NetBEUI (Network Basic Input/Output System Extended User Interface), pois é um protocolo baseado na camada 2 do modelo OSI (enlace).

Neste modelo, um usuário disca para o provedor de acesso á rede, mas a conexão PPP é encerrada no próprio servidor de acesso. Uma conexão PPTP é então estabelecida entre o sistema do usuário e qualquer outro servidor PPTP, o qual o usuário deseja conectar, desde que o mesmo seja alcançável por uma rota tradicional e que o usuário tenha privilégios apropriados no servidor PPTP.

Foi um dos primeiros protocolos utilizado por VPNs. Como o PPTP, o L2F foi projetado como um protocolo de tunelamento entre usuários remotos e corporações. Uma grande diferença entre o PPTP e o L2F, é o fato do mesmo não depender de IP e, por isso, é capaz de trabalhar diretamente com outros meios como FRAME RELAY ou ATM.

Este protocolo utiliza conexões PPP para a autentificação de usuários remotos, mas também inclui suporte para TACACS+ e RADIUS para uma autentificação desde o inicio da conexão. Na verdade, a autentificação é feita em dois níveis: primeiro, quando a conexão é solicitada pelo usuário ao provedor de acesso; depois, quando o túnel se forma, o gateway da corporação também irá requerer uma autentificação.

A grande vantagem desse protocolo é que os túneis podem suportar mais de uma conexão, o que não é possível no protocolo PPTP. Além disso, o L2F também permite tratar de outros pacotes diferentes de IP, como o IPX e o NetBEUI por ser um protocolo baseado na camada 2 do modelo OSI.

Este protocolo foi criado pela IETF (Internet Engennering Task Force) para resolver as falhas do PPTP e do L2F. Na verdade, utiliza os mesmo conceitos do L2F e assim como este, foi desenvolvido para transportar pacotes por diferentes meios, como X.25, frame-relay e ATM e também é capaz de tratar de outros pacotes diferentes de IP, como o IPX e o NetBEUI (protocolo baseado na camada 2 do modelo OSI .

O L2TP é porém, um modelo de tunelamento "compulsório", ou seja, criado pelo provedor de acesso, não permitindo ao usuário qualquer participação na formação do túnel (o tunelamento é iniciado pelo provedor de acesso). Neste modelo, o usuário disca para o provedor de acesso á rede e, de acordo com o perfil configurado para o usuário e ainda, em caso de autentificação positiva, um túnel L2TP é estabelecido dinamicamente para um ponto pré-determinado, onde a conexão PPP é encerrada.

Apesar de parecidos, ambos os protocolos, L2TP ou PPTP, diferenciam-se quanto suas aplicações, ou melhor, a escolha do protocolo a ser utilizado é baseado na determinação da posse do controle sobre o túnel: controlado pelo usuário ou pelo provedor de acesso.

No protocolo PPTP, o usuário remoto tem a possibilidade de escolher o final do túnel, destino dos pacotes. Uma grande vantagem desta característica é que, quando os destinos mudam com muita freqüência, nenhuma modificação (configuração) nos equipamentos por onde o túnel passa se torna necessária. Além disso, os túneis PPTP são transparentes aos provedores de acesso e nenhuma outra ação, além de prover serviço de acesso á rede, se faz necessária. Usuários com perfis diferenciados em relação aos locais de acesso – diferentes cidades, estados e países – se utilizam deste protocolo com mais freqüência pelo fato de se tornar desnecessária a intermediação do provedor no estabelecimento do túnel. Somente é necessário saber o número local para o acesso e o sistema do usuário, seu laptop, realizará o resto.

A desvantagem do protocolo L2TP é que, como o controle está na mão do provedor, o mesmo esta fornecendo um serviço extra que poderá ser cobrado.

PPTP, L2F e L2TP não incluem criptografia ou processamento para tratar chaves criptográficas, o que é bastante recomendado para garantir a segurança dos pacotes. Por isso, surgiu um dos mais importantes protocolos, criado para garantir a segurança da próxima geração de pacotes IP (IPv6) e que, no momento, vem sendo utilizado com protocolos IPv4.

O IPSec permite ao usuário, ou ao gateway seguro que está agindo em seu favor, autentificar ou criptografar cada pacote IP, ou ainda, fazer os dois processos simultaneamente. Assim, separando os processos de autentificação e de criptografia, surgiram dois diferentes métodos para a utilização do IPSec, chamados de modos: no modo transporte, somente o segmento da camada de transporte de um pacote IP é autentificado ou criptografado; a outra abordagem, autentificação e criptografia de todo o pacote IP, é chamada de modo túnel. Enquanto que no modo transporte o IPSec tem provado ser eficiente para várias situações, no modo túnel ele é capaz de prover uma proteção maior contra certos ataques e monitoração de tráfico que podem ocorrer na Internet.

O IPSec é baseado em várias tecnologias de criptografias padronizadas para proverem confiabilidade, integridade de dados e confiabilidade. Por exemplo, o IPSec utiliza:

Existe duas maneiras para lidar com a troca de chaves e gerenciamento numa arquitetura IPSec: chaveamento manual (manual keying) e Internet Key Exchange (IKE) para gerenciamento automático de chaves. Enquanto o chaveamento manual pode ser usado em VPNs com um número pequeno de sites, o IKE deve ser obrigatoriamente em VPNS que suportam um grande número de sites e usuários remotos.

O IPSec tem sido considerado a melhor evolução para ambientes IP por incluir fortes modelos de segurança - criptografia , autentificação e troca de chaves - mas não foi desenvolvido para suportar outros tipos de pacotes além do IP. No caso de pacotes multiprotocolos, devem ser usados PPTP ou L2TP que suportam outros tipos de pacotes.