Lan-to-Lan VPN selkokielellä – näin yhdistät kaksi verkkoa turvallisesti

Mikä ihmeen lan-to-lan VPN – ja miksi sillä on väliä Suomessa?

Moni suomalainen tuntee VPN:n vain Netflix-kikkailusta ja kahviloiden wifin suojaamisesta. Mutta jos pyörität yritystä, sinulla on etätoimisto, varasto, mökille siirretty kotilabra tai vaikkapa useampi konesali, pelkkä “VPN-appi koneelle” ei enää riitä.

Lan-to-lan VPN (usein kutsutaan myös nimellä site-to-site VPN) yhdistää kaksi kokonais­ta lähiverkkoa toisiinsa salatulla tunnelilla. Käytännössä se näyttää siltä, että Turun ja Oulun toimistot ovat samassa sisäverkossa – vaikka välissä olisi koko internet.

Tässä artikkelissa käydään läpi:

• mitä lan-to-lan VPN tarkoittaa käytännössä
• miten se eroaa tavallisesta käyttäjäkohtaisesta VPN:stä
• missä tilanteissa suomalaiselle firmalle tai nörttikodille se on järkevä
• mitä tekniikoita ja laitteita oikeasti käytetään
• miten kuluttaja-VPN:t (kuten NordVPN, ExpressVPN ym.) sopivat tähän kuvaan

Lopussa on myös pieni “MaTitie Näytöksen aika” -osio, jossa puhutaan yksityisestä netinkäytöstä ja siitä, miksi moni meistä käyttää yhtä hyvää kuluttaja-VPN:ää rinnalla.

Lan-to-lan vs. “tavallinen” VPN – selkeä ero

Ensin perusjako, koska termit sekoittuvat jatkuvasti.

Käyttäjäkohtainen VPN (remote access VPN)

Tämä on se “normi-VPN”, jonka:

• asennat appina koneelle tai puhelimeen
• yhdistät yhdellä napilla VPN-palvelimen kautta nettiin
• saat: salauksen, IP-osoitteen vaihtumisen, alue-estojen kierron, yksityisyyttä

Tyypillisiä palveluita: NordVPN, ExpressVPN, CyberGhost, yms. Niitä käytetään:

• suojaamaan wifiä (juna, kahvila, hotelli)
• piilottamaan IP-osoitetta ja tarkkaa sijaintia
• katsomaan suoratoistopalveluita, jotka rajoittavat sisältöjä maittain
• kiertämään operaattorin mahdollista hidastusta

Esimerkiksi ExpressVPN tunnetaan siitä, että se panostaa vahvaan salaustekniikkaan ja levyllä ajamattomiin TrustedServer-palvelimiin, mikä parantaa yksityisyyttä ja tietoturvaa suoratoistossa ja normaalissa netinkäytössä (ks. Les Numériquesin katsaus ExpressVPN:n tekniikoihin, rel=“nofollow”).

Lan-to-lan VPN (site-to-site)

Lan-to-lanissa ideana ei ole “yksi käyttäjä ulos nettiin”, vaan:

• verkko A (esim. Helsingin toimisto, 192.168.10.0/24)
• verkko B (esim. Tampereen varasto, 192.168.20.0/24)

yhdistetään pysyvällä, salatulla tunnelilla. Sen jälkeen:

• Helsingin koneesta voi pingata Tampereen tulostimen kuin samassa LANissa
• varaston järjestelmät voivat puhua pääkonttorin ERP-palvelimelle ilman erillisiä käyttäjä-VPN-yhteyksiä

Tekninen toteutus on yleensä:

• reititin ↔ reititin tai
• palomuuri ↔ palomuuri suoraan internetin yli

Missä tilanteissa lan-to-lan VPN on järkevä?

Käytännön suomalaisia esimerkkejä:

1. Pienyritys, jolla on useampi toimipiste

Esim. rakennusfirma:

• toimisto Vantaalla
• varasto Keravalla
• pieni myymälä Lahdessa

Tarpeet:

• samat tiedostopalvelimet kaikkialla
• taloushallinto ja varastonhallinta yhdessä järjestelmässä
• kassajärjestelmät puhuvat samaan taustapalvelimeen

Tähän lan-to-lan on usein järkevin, koska:

• käyttäjien ei tarvitse avata VPN-yhteyttä käsin
• verkko toimii “yhtenä” kokonaisuutena
• hallinta on keskitettyä IT:lle

2. Konesali + toimisto

Jos sinulla on palvelimet:

• omassa minikonesalissa / IT-räkissä
• tai vaikkapa konesalipalveluntarjoajalla Suomessa

Lan-to-lan-tunneli konesalin ja toimiston välillä:

• piilottaa konesalin palvelimet julkisesta internetistä
• silti tekee niihin pääsyn helpoksi sisäverkosta
• mahdollistaa yksinkertaiset pääsysäännöt (firewallissa vain yksi tai muutama IP/väliverkko auki)

3. Harraste- ja kotikäyttö: mökki + koti

Tekninen harrastaja Suomessa rakentaa usein:

• OpenWrt- tai pfSense-reitittimen kotiin
• toisen mökille / vanhemmille
• väliin lan-to-lan IPsec- tai WireGuard-tunneli

Hyödyt:

• pääset kotiverkosta mökin valvontakameroihin tai NAS:iin
• molemmissa päissä samat DNS- ja sisäpalvelut
• ei tarvitse tehdä port forwarding -virityksiä netistä sisään

Tässä kohtaa on hyvä muistaa, että kuluttaja-VPN:t (NordVPN, ExpressVPN, jne.) suojaavat hienosti laitteen → internet -liikenteen, mutta ne eivät automaattisesti muodosta tällaista pysyvää verkko ↔ verkko -tunnelia.

Lan-to-lan VPN ja yksityisyys – miten some paljastaa sijaintisi?

Vaikka lan-to-lan VPN on “yritysfeature”, yksityisyyden teema näkyy vahvasti myös kuluttajapuolella.

Esimerkki: sosiaalisen median palvelu X (entinen Twitter) julkaisi syksyllä 2025 uuden About this account -ominaisuuden, joka:

• näyttää mm. tilin luontiajankohdan ja käytetyt sovellukset
• listaa myös arvioidun maa-sijainnin tilille

Tämä on herättänyt hälyä eri puolilla maailmaa, koska:

• Mashablen mukaan käyttäjät pohtivat, miten sijaintitietoa voisi tehdä epätarkemmaksi tai piilottaa, kun jokaisella tilillä näkyy jonkinlainen maamerkintä (Mashable, 24.11.2025, rel=“nofollow”).
• NewsBytes raportoi, että ominaisuudesta tuli nopeasti valituksia, koska osa sijaintitiedoista oli yksinkertaisesti pielessä ja silti ne vaikuttivat siihen miten tilejä tulkittiin (NewsBytes, 24.11.2025, rel=“nofollow”).
• Webrazzi kuvaa, kuinka uusi “Bu hesap hakkında” -näkymä näyttää käyttäjien maita ja muita taustatietoja, mikä lisää läpinäkyvyyttä mutta myös herättää kysymyksiä yksityisyydestä (Webrazzi, 24.11.2025, rel=“nofollow”).

Tärkeä pointti:

• lan-to-lan VPN ei normaalisti muuta some-tilisi sijaintia, koska se on tarkoitettu toimipisteiden väliseen sisäliikenteeseen
• kuluttaja-VPN (kuten NordVPN) sen sijaan muuttaa ulospäin näkyvän IP-osoitteesi ja siten usein myös sijaintimaan, jonka somepalvelu päättelee

Siksi moni IT-ammattilainen tekee näin:

• työverkot: lan-to-lan IPsec tms. yrityksen toimipisteiden välillä
• oma surffailu, some, suoratoisto: erillinen kuluttaja-VPN omilla laitteilla

Tekniikkaa sopivasti: miten lan-to-lan VPN oikeasti toimii?

Pidetään tämä mahdollisimman selkeänä, ilman turhaa RFC-spämmiä.

Tärkeimmät protokollat

Yleisimmät lan-to-lan VPN -tekniikat:

• IPsec (yleensä reititin–reititin tai palomuuri–palomuuri)
  • hyvin yleinen yritysratkaisu
  • toimii reitittimissä (MikroTik, Cisco, Ubiquiti, Fortinet jne.)
  • tukee vahvaa salausta (esim. AES-256) ja erilaisia todennustapoja
• OpenVPN site-to-site -tila
  • usein pfSense/OPNsense-tyyppisissä softapalomuureissa
  • helppo konffata tekstipohjaisilla asetuksilla
  • toimii UDP:llä tai TCP:llä
• WireGuard
  • moderni ja kevyt
  • yksinkertainen konfiguraatio (public/private key -pari per pää)
  • erinomainen nopeus, hyvä valinta mökki–koti -tunneleihin

Perusrakenne

Tyypillinen yritysesimerkki:

• molemmissa toimipisteissä palomuuri/reititin, jolla on:
  • julkinen IP-osoite (tai dynaaminen, dyndns:llä)
  • sisäverkko (esim. 10.0.1.0/24 ja 10.0.2.0/24)
• laitteiden välille määritellään:
  • salausparametrit (esim. AES-256, SHA-256, DH group)
  • todennus (jaettu salaisuus / sertifikaatit)
  • reitityssäännöt (mitkä verkot kulkevat tunnelin yli)

Kun tunneli on ylhäällä:

• sisäverkkojen väliset paketit kapseloidaan ja salataan
• internetissä ne näkyvät vain kryptattuina datakenttinä
• vastapää purkaa ja reitittää ne omassa sisäverkossaan

Vinkit suomalaiselle päätöksentekijälle: mitä vaihtoehtoja lan-to-lan VPN:ään on?

Käytännössä vaihtoehtoja on kolme päälinjaa:

1. Reitittimeen/palomuriin rakennettu oma lan-to-lan
2. Pilvipohjainen “cloud VPN / SASE”-palvelu
3. Kevyt “geek-ratkaisu” avoimen lähdekoodin softilla

Alla tiivis vertailu.

Yhteenvetona: jos sinulla on vain pari toimipistettä Suomessa, reitittimen tai palomuurin sisään rakennettu IPsec/WireGuard-lan-to-lan on yleensä kustannustehokkain ja selkein. Cloud VPN -palvelut tulevat järkeviksi vasta, kun toimipisteitä on useampi maa tai kymmeniä sitejä.

Kuluttaja-VPN:t ja lan-to-lan – miten ne sopivat yhteen?

Moni kysyy: “Voinko vaan ottaa jonkun top-VPN:n (ExpressVPN, NordVPN, CyberGhost jne.) ja vetää toimipisteiden välisen tunnelin sillä?”.

Lyhyt vastaus: et yleensä voi suoraan.

• Kuluttaja-VPN-palvelut on suunniteltu laitteesta internetiin, eivät verkosta verkkoon.
• Ne pyörittävät omia globaaleja palvelinverkkojaan (esim. ExpressVPN:llä on satoja sijainteja eri maissa nopeaa suoratoistoa ja yksityistä surffailua varten, rel=“nofollow” Les Numériques), mutta ne eivät korvaa sinun omaa toimipisteiden välistä verkkoasi.

Mutta nämä kaksi maailmaa täydentävät toisiaan:

1. Lan-to-lan VPN

   • yhdistää toimipisteiden LANit
   • suojaa sisäverkkoliikennettä
   • helpottaa työjärjestelmien käyttöä

2. Kuluttaja-/työasemakohtainen VPN (esim. NordVPN):

   • suojaa yksittäisen koneen tai puhelimen yhteydet nettiin
   • piilottaa IP-osoitteen ja sijainnin somepalveluilta ja sivustoilta
   • kiertää alue-estoja suoratoistossa
   • tuo lisäsuojaa, jos työntekijä käyttää työkonetta julkisessa wifissä

Modernit palvelut tuovat vielä lisämausteita: esim. jotkut kuluttaja-VPN:t tarjoavat laite–laite -yhteyksiä (kuten NordVPN:n Meshnet), joilla liian monimutkaiset kotilabrat voidaan korvata kevyellä “lan-tyylisellä” verkolla ilman erillisiä reitittimiä. Tämä ei ole täysi lan-to-lan yritysratkaisu, mutta monelle tekniselle kotikäyttäjälle se riittää.

Käytännön askeleet: miten lan-to-lan VPN otetaan käyttöön?

Otetaan esimerkki pienestä suomalaisesta yrityksestä, jolla on Helsingin pääkonttori ja Kuopion sivutoimisto.

1. Suunnittele osoiteavaruus

• Helsinki LAN: 10.10.10.0/24
• Kuopio LAN: 10.10.20.0/24
• ei päällekkäisiä aliverkkoja (tämä on usein yleisin ongelma)

2. Varmista reitittimet/palomuuri

Vaihtoehtoja:

• operaattorin oma reititin, jos se tukee IPsec / site-to-site
• erillinen laite: MikroTik, Ubiquiti, Fortinet, Cisco, ASUS (monissa malleissa IPsec tuki)
• softapalomuuri: pfSense/OPNsense pienessä x86-purkissa

Tärkeää:

• laitteilla pitää olla julkinen IP tai toimiva porttiohjaus
• mielellään kiinteä IP tai dyndns-nimi (esim. firma-helsinki.dyndns.org)

3. Valitse protokolla (IPsec vs WireGuard vs OpenVPN)

• IPsec: paras, jos molemmat päät ovat “oikeita” palomuureja / reitittimiä
• WireGuard: kevyt ja nopea, hyvä jos teet itse (pfSense, Linux, OpenWrt)
• OpenVPN: toimii melkein missä vain, mutta vähän raskaampi

Suomessa IPsec on edelleen yleisin yrityspuolella, koska se löytyy melkein kaikista yritystason reitittimistä.

4. Konfiguroi tunneli

Yleiset parametrit:

• VPN-tyyppi: site-to-site / lan-to-lan
• vastapään julkinen IP / dyndns-nimi
• sisäverkot:
  • Helsinki ilmoittaa: “remote network 10.10.20.0/24”
  • Kuopio ilmoittaa: “remote network 10.10.10.0/24”
• salaus: esim. AES-256, SHA-256
• avaintenvaihto: IKEv2, Diffie-Hellman group 14 / 19
• todennus: jaettu pitkä salasana tai PKI-sertifikaatit

5. Testaa vaiheittain

• pingaa Helsingin sisäverkosta Kuopion reitittimen LAN-IP:tä
• testaa etäpalvelimien yhteydet (tiedostopalvelin, ERP, tulostimet)
• tarkista, ettei koko internet-liikenne mene vahingossa tunnelin yli (ellet niin halua)

6. Dokumentoi

Suomessa monessa pienessä firmassa dokumentaatio on vain “se yksi IT-tyypin pää”. Älä tee niin, vaan kirjoita:

• kaavio (mitkä IP-verkot, missä laitteet)
• yhteysparametrit (protokollat, salaukset, jaetut salaisuudet – turvallisesti tallennettuina)
• toimenpiteet, jos liittymä vaihtuu / IP muuttuu

Tyypillisimmät lan-to-lan VPN -mokaukset (ja miten vältät ne)

1. Päällekkäiset sisäverkot

   • esim. molemmissa päissä 192.168.0.0/24
   • ratkaisu: suunnittele aliverkot etukäteen, käytä eri /24-verkkoja tai vaikka 10.x.x.x -avaruuksia

2. Operaattorin NAT-helvetti (CGNAT)

   • mobiililiittymä tai halpa valokuitu käyttää NATia, et saa oikeaa julkista IP:tä
   • ratkaisu:
     • pyydä kiinteä/julkinen IP lisämaksusta
     • tai käännä arkkitehtuuri: vain julkisen IP:n pää toimii “serverinä”, toinen muodostaa yhteyden ulospäin

3. Liian heikot salausasetukset

   • “otettiin vaan joku valmiiksi klikattu AES128/SHA1/DH5”
   • nykyään suositellaan vähintään AES-256 ja SHA-256 -tasoa

4. Ei lokitusta eikä valvontaa

   • “se nyt vaan toimii” – kunnes ei toimi
   • ota vähintään reitittimen perustehosta lokit talteen (syslog, email-häly) ja seuraa tunnelin ylös/alas -statusta

Lan-to-lan VPN ja suoratoisto, pelaaminen, arjen käyttö

Lan-to-lan VPN:ää ei yleensä käytetä:

• Netflixin maarajoitusten kiertämiseen
• Battlefield-matsien helpompaan lobbimatchingiin
• urheilustriimien hakemiseen ulkomailta

Näihin hommiin kuluttaja-VPN on oikea työkalu. Esimerkiksi:

• Korbenin artikkelissa gamerselitetään, miksi pelaajat käyttävät VPN:ää mm. reilumpaan matchmakingiin ja DDoS-suojaukseen (Korben, 24.11.2025, rel=“nofollow”).
• CNET France taas kuvaa, miten CyberGhostilla voi muutamalla klikkauksella suojata surffailun ja pysyä anonyymimpänä netissä (CNET France, 24.11.2025, rel=“nofollow”).

Lan-to-lan VPN voi kuitenkin epäsuorasti vaikuttaa arkeen:

• toimiston netti kulkee turvallisesti läpi, vaikka päässä olisi julkinen wifi
• sisäiset mediapalvelimet (esim. yrityksen oma videopalvelu) ovat käytössä kaikkialta
• jos pyörität kotilabraa, voit striimata omalta Plex-palvelimeltasi mökille ilman porttiohjauksia

Mutta: jos haluat katsoa esimerkiksi brittiläistä urheilua tai USA:n suoratoistoja Suomesta, tarvitset edelleen kuluttaja-VPN:n, joka tarjoaa palvelimia niissä maissa ja jaksaa kiertää suoratoistopalveluiden estot.

MaTitie Näytöksen aika – miksi VPN kuuluu jokaisen arkeen?

MaTitie puhuu paljon siitä, että yritystason lan-to-lan VPN ja yksittäisen käyttäjän VPN eivät kilpaile, vaan täydentävät toisiaan.

• Lan-to-lan hoitaa toimipisteiden välisen salatun liikenteen.
• Kuluttaja-VPN (kuten NordVPN) suojaa sinut – siellä, missä oikeasti selailet: kotona, junassa, hotellissa, kämpillä kaverin wifissä.

Maailmassa, jossa somepalvelut (kuten X) näyttävät yhä enemmän sijainti- ja taustatietoja käyttäjistä, on ihan fiksua, että oma IP-osoite ja tarkka sijainti eivät loista koko maailmalle.

Siksi suosittelen suomalaisille lukijoille NordVPN:ää silloin, kun:

• haluat suojata koneen ja puhelimen liikenteen julkisissa verkoissa
• haluat oman IP-osoitteen piiloon somepalveluilta ja sivustoilta
• haluat katsoa suoratoistopalveluiden sisältöjä myös ulkomaan matkoilla
• teet etätyötä ja haluat, että yhteys on salattu, vaikka työnantajalla ei olisi omaa lan-to-lan-verkkoa

NordVPN on nopea, helppokäyttöinen ja sillä on 30 päivän rahat takaisin -takuu, joten voit testata rauhassa, miten se istuu omaan arkeesi – ilman, että sitoudut pysyvästi.

🔐 Try NordVPN – 30-day risk-free

Pieni läpinäkyvyys: MaTitie saa pienen komission, jos päädyt ostamaan linkin kautta. Sinulle hinta on sama – joskus jopa parempi kampanjahinnan takia.

Usein kysytyt kysymykset lan-to-lan VPN:stä (DM-tyyliin)

1. “Meillä on kaksi pientä toimistoa Suomessa, onko pakko ottaa kallis yritysratkaisu vai voinko virittää tämän itse?”

Rehellinen vastaus: riippuu siitä, kuka talossa osaa mitä.

• Jos teillä on yhtään IT-osaamista talossa (tai hyvä kumppani), kaksi pientä reititintä, joissa on IPsec- tai WireGuard-tuki, riittää usein hyvin.
• Jos IT hoidetaan “sivutoimena”, voi olla helpompi ja turvallisempi maksaa vähän extraa ja ottaa hallittu yritysratkaisu, jossa toimittaja vastaa päivityksistä ja monitoroinnista.

Älä rakenna kriittistä yhteyttä niin, että se on vain yhden “talon nörtin” päässä.

2. “Voiko lan-to-lan VPN hidastaa meidän nettiä paljonkin?”

Voi, mutta sen ei tarvitse. Hidastukseen vaikuttaa:

• reitittimen teho (halpa operaattorin boksi vs. oikea palomuuri)
• käytetty salaus (mitä vahvempi, sen enemmän CPU-kuormaa)
• liittymän nopeus ja latenssi

Jos sinulla on esimerkiksi 100/100M kuitu molemmissa päissä ja järkevän tasoinen reititin, et todennäköisesti huomaa arjessa isoa hidastusta. Lähiverkon sisäminen tiedonsiirto tietenkin hidastuu verrattuna siihen, että kaikki olisi samassa fyysisessä verkossa – mutta se on VPN:n hinta.

3. “Voiko NordVPN:n kaltaisella palvelulla korvata lan-to-lan VPN:n kokonaan?”

Ei oikeastaan. NordVPN ja muut kuluttaja-VPN:t ovat täysin eri käyttötarkoitusta varten:

• ne eivät välitä kahden toimipisteen LAN-liikennettä, vaan laitteesi liikennettä → internet
• ne eivät auta tulostimien, skannereiden, sisäisten palvelinten verkottamisessa sitejen välillä

Ne voivat kuitenkin täydentää lan-to-lan-ratkaisua:

• työntekijä käyttää lan-to-lan-verkkoa toimistosta käsin
• mutta kun hän on reissussa, hän käyttää NordVPN:ää suojatakseen yhteytensä ja päästäkseen turvallisesti yrityksen etäpalveluihin (esim. VPN + MFA + selainportaalit)

Lisälukemista ja taustaa

Jos haluat syventyä VPN-maailmaan laajemminkin, tsekkaa nämä artikkelit:

• “Pourquoi les gamers utilisent un VPN sur Battlefield 6 et Black Ops 7 ?” – Korben, 24.11.2025.
  Lue artikkeli – pureutuu siihen, miksi pelaajat käyttävät VPN:ää mm. matchmakingiin ja suojautumiseen.

• “Installer, cliquer, disparaître : la magie CyberGhost en 3 étapes” – CNET France, 24.11.2025.
  Lue artikkeli – kuvaa, miten helppoa on ottaa kuluttaja-VPN käyttöön omilla laitteilla.

• “ExpressVPN : chiffrement militaire et TrustedServer pour une sécurité optimale dès 2,99 €/mois” – Les Numériques, 24.11.2025.
  Lue artikkeli – hyvä katsaus siihen, mitä teknisiä ratkaisuja huipputason kuluttaja-VPN käyttää.

Lopun pieni suositus: testaa VPN itse ennen kuin päätät

Kun puhutaan lan-to-lan VPN:stä, jokainen yritys on vähän erilainen: liittymät, laitteet, budjetti ja osaaminen vaihtelevat. Siksi:

• lan-to-lan-puolella kannattaa usein pyytää tarjouksia omalta operaattorilta ja laitekumppaneilta ja tehdä yksi kunnollinen pilotti kahden sitejen välillä.
• henkilökohtaisessa netinkäytössä on onneksi helpompaa: voit ottaa laadukkaan kuluttaja-VPN:n testiin ja katsoa, miten se istuu omaan arkeen – striimaus, some, etätyö, mobiilikäyttö.

NordVPN on suomalaisille hyvä allrounder sen takia, että:

• sillä on nopeat palvelimet myös lähialueilla (hyvä ping ja nopeus täältä käsin)
• appi toimii käytännössä kaikilla laitteilla (Windows, Mac, Linux, iOS, Android, reitittimet)
• mukana on lisäominaisuuksia, kuten haittasivujen esto ja helppo tuki useille laitteille
• 30 päivän rahat takaisin -takuu antaa mahdollisuuden kokeilla rauhassa: jos ei nappaa, rahat saa takaisin

Paras tapa päättää on yksinkertaisesti kokeilla: asenna, käytä pari viikkoa normaalisti, testaa suoratoisto, some, etätyö ja mobiilikäyttö – ja tee sitten päätös.

Vastuuvapauslauseke

Tämä artikkeli on koottu julkisista lähteistä, käytännön kokemuksesta ja tekoälyn avustamana. Sisältö on tarkoitettu yleiseksi informaatioksi, ei oikeudelliseksi tai tekniseksi neuvonnaksi. Tarkista aina kriittiset tekniset ja sopimukselliset yksityiskohdat omalta palveluntarjoajaltasi tai asiantuntijaltasi ennen päätöksiä.