Damit die Filialen im Backup-Fall eine Verbindung zum Netz der Zentrale aufbauen können, muss eine definierte Hierarchie für den Verbindungsaufbau eingehalten werden. Dabei werden die Verbindungen immer nur von den "unteren" zu den "oberen" Netzen hergestellt, also von der Filiale zum Vermittlungsknoten, vom Vermittlungsknoten zur Zentrale.
In der Zentrale müssen alle Verbindungen also nur passiv angenommen werden. Die Vermittlungsknoten nehmen ebenfalls die Verbindungen der Filialen passiv an, bauen aber die Verbindungen zur Zentrale aktiv auf. Diese Hierarchie ist Voraussetzung für die spätere Definition der VPN-Regeln.
