14. VPN, Intranet und Extranet
14.1 VPN, Intranet und Extranet
VPN, Intranet und Extranet beschreiben verschiedene Möglichkeiten, wie Benutzer und Systeme auf interne oder geschützte Ressourcen zugreifen können.
Diese Begriffe hängen eng zusammen, werden aber nicht gleich verwendet.
Grundidee:
Intranet:
internes Netzwerk einer Organisation
Extranet:
kontrollierter Zugriff für externe Partner
VPN:
verschlüsselter Tunnel für Zugriff über ein unsicheres Netz
Merksatz:
Intranet ist intern.
Extranet ist kontrolliert extern erweitert.
VPN ist ein sicherer Tunnel.
Warum ist dieses Kapitel wichtig?
In Unternehmen arbeiten Benutzer nicht immer direkt im Firmennetz.
Beispiele:
- Homeoffice
- Außendienst
- externe Dienstleister
- Partnerunternehmen
- mehrere Standorte
- Cloud-Dienste
- mobile Geräte
- Fernwartung
- Zugriff auf interne Anwendungen
Dafür braucht man sichere Zugriffskonzepte.
Merksatz:
Moderne Netzwerke enden nicht mehr nur am Bürogebäude.
Intranet
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.
Es ist normalerweise nur für berechtigte interne Benutzer erreichbar.
Typische Inhalte:
- interne Webseiten
- Dokumentationen
- Mitarbeiterinformationen
- interne Anwendungen
- Ticketsystem
- Zeiterfassung
- Dateifreigaben
- interne Wikis
- interne Portale
Merksatz:
Intranet = internes Netz oder internes Portal für die Organisation.
Intranet ist nicht automatisch das Internet
Das Internet ist öffentlich.
Das Intranet ist intern.
Beispiel:
Internet:
öffentlich erreichbare Webseite einer Firma
Intranet:
internes Mitarbeiterportal derselben Firma
Ein Intranet kann Webtechnik nutzen, ist aber nicht automatisch öffentlich erreichbar.
Merksatz:
Intranet nutzt oft Internet-Technik,
ist aber intern beschränkt.
Typische Intranet-Dienste
Typische Dienste im Intranet:
| Dienst | Beispiel |
|---|---|
| internes Wiki | Dokumentation |
| Dateiablage | SMB, SharePoint, Nextcloud |
| interne Webanwendung | Zeiterfassung |
| Ticketsystem | Helpdesk |
| Monitoring | Systemstatus |
| Telefonbuch | Mitarbeiterdaten |
| Authentifizierung | AD, LDAP, SSO |
| interne APIs | Anwendungskommunikation |
Merksatz:
Intranet enthält interne Dienste,
die nicht öffentlich sein sollen.
Schutzbedarf im Intranet
Auch interne Dienste brauchen Schutz.
Warum?
Nicht jeder interne Benutzer darf alles sehen.
Ein kompromittierter Client kann Schaden verursachen.
Gastgeräte dürfen nicht auf interne Systeme.
IoT-Geräte sind nicht automatisch vertrauenswürdig.
Malware kann sich intern ausbreiten.
Merksatz:
Intern heißt nicht automatisch sicher.
Extranet
Ein Extranet erweitert das Intranet kontrolliert für externe Parteien.
Externe Parteien können sein:
- Kunden
- Lieferanten
- Partnerunternehmen
- Dienstleister
- externe Techniker
- Projektpartner
Dabei erhalten sie nur Zugriff auf ausgewählte Ressourcen.
Merksatz:
Extranet = kontrollierter Zugriff für externe Berechtigte.
Beispiel für ein Extranet
Ein Unternehmen stellt einem Lieferanten ein Portal bereit.
Der Lieferant darf dort:
Bestellungen einsehen
Liefertermine bestätigen
Dokumente hochladen
Rechnungen abrufen
Der Lieferant darf aber nicht:
interne Personalakten sehen
interne Server verwalten
alle Kundendaten abrufen
auf das gesamte LAN zugreifen
Merksatz:
Extranet gibt gezielten Zugriff,
nicht vollständigen internen Zugriff.
Intranet und Extranet vergleichen
| Begriff | Zugriff | Zielgruppe |
|---|---|---|
| Intranet | intern | Mitarbeitende und interne Systeme |
| Extranet | kontrolliert extern | Partner, Kunden, Lieferanten |
| Internet | öffentlich | grundsätzlich jeder |
| VPN | Tunnelzugriff | berechtigte entfernte Benutzer oder Standorte |
Merksatz:
Intranet intern,
Extranet ausgewählt extern,
Internet öffentlich.
VPN
VPN steht für:
Virtual Private Network
Ein VPN baut über ein unsicheres oder fremdes Netz einen geschützten Tunnel auf.
Beispiel:
Benutzer im Homeoffice
→ Internet
→ VPN-Tunnel
→ Firmennetz
Der Verkehr wird dabei verschlüsselt übertragen.
Merksatz:
VPN verbindet entfernte Teilnehmer sicher mit einem Netzwerk.
Warum nutzt man VPN?
VPN wird genutzt, wenn sichere Kommunikation über unsichere Netze benötigt wird.
Typische Gründe:
- Homeoffice-Zugriff
- Standortvernetzung
- Fernwartung
- Zugriff auf interne Server
- verschlüsselte Verbindung über Internet
- Schutz in öffentlichen Netzen
- Zugriff auf interne Anwendungen
- sichere Administration
Merksatz:
VPN schützt den Übertragungsweg durch einen verschlüsselten Tunnel.
VPN-Tunnel
Ein VPN-Tunnel ist eine logische verschlüsselte Verbindung.
Die Daten werden eingepackt, verschlüsselt und über ein anderes Netz transportiert.
Man spricht dabei oft von:
Tunneling
Merksatz:
VPN-Tunnel transportiert geschützte Daten durch ein fremdes Netz.
Tunneling einfach erklärt
Beim Tunneling wird ein Paket in ein anderes Paket verpackt.
Vereinfacht:
internes Paket
wird verschlüsselt
und in äußeres Transportpaket eingepackt
Das äußere Paket wird über das Internet übertragen.
Am Ziel wird es wieder ausgepackt.
Merksatz:
Tunneling bedeutet:
ein Paket wird durch ein anderes Netz getragen.
Verschlüsselung beim VPN
VPNs nutzen Verschlüsselung, damit Dritte den Inhalt nicht mitlesen können.
Geschützt werden soll:
- Dateninhalt
- Zugangsdaten
- interne Kommunikation
- Dateiübertragungen
- Administrationszugriffe
- Anwendungsdaten
Wichtig:
Ein VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
Merksatz:
VPN verschlüsselt den Transportweg,
ersetzt aber keine Zugriffskontrolle.
Authentifizierung beim VPN
Vor dem VPN-Zugriff muss geprüft werden, wer sich verbindet.
Mögliche Verfahren:
- Benutzername und Passwort
- Zertifikat
- MFA
- Token
- Smartcard
- Geräteprüfung
- SSO
- Gruppenmitgliedschaft
Merksatz:
VPN braucht starke Authentifizierung.
Autorisierung beim VPN
Nach erfolgreicher Anmeldung muss geprüft werden, was der Benutzer darf.
Beispiele:
Support darf auf bestimmte Server.
Externe Dienstleister dürfen nur auf Wartungssysteme.
Mitarbeitende dürfen auf interne Anwendungen.
Admins dürfen ins Managementnetz.
Merksatz:
VPN verbunden heißt nicht automatisch:
Zugriff auf alles erlaubt.
Remote-Access-VPN
Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz.
Beispiele:
Homeoffice
Außendienst
Notebook unterwegs
Administrator von extern
mobiler Benutzer
Ablauf:
Benutzer startet VPN-Client.
Benutzer authentifiziert sich.
VPN-Tunnel wird aufgebaut.
Benutzer erhält Zugriff auf erlaubte interne Ressourcen.
Merksatz:
Remote-Access-VPN verbindet einzelne Benutzer.
Site-to-Site-VPN
Site-to-Site-VPN verbindet ganze Standorte miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netzwerk
zwei Firewalls miteinander
Dabei baut nicht jeder Benutzer einzeln einen VPN-Client auf.
Die Gateways verbinden die Netze.
Merksatz:
Site-to-Site-VPN verbindet Netzwerke.
Remote-Access und Site-to-Site vergleichen
| Merkmal | Remote-Access-VPN | Site-to-Site-VPN |
|---|---|---|
| verbindet | einzelner Benutzer | ganze Netze |
| typischer Einsatz | Homeoffice | Standortvernetzung |
| Client nötig | meistens ja | auf Endgerät meist nein |
| Endpunkt | Benutzergerät zu Gateway | Gateway zu Gateway |
| Zugriff | benutzerbezogen | netzbezogen |
Merksatz:
Remote-Access = Benutzer.
Site-to-Site = Standort.
VPN-Gateway
Ein VPN-Gateway ist der zentrale Gegenpunkt für VPN-Verbindungen.
Es kann sein:
- Firewall
- Router
- VPN-Appliance
- Cloud-Gateway
- Server
- Zero-Trust-Gateway
Aufgaben:
VPN-Verbindungen annehmen
Benutzer prüfen
Tunnel aufbauen
Verschlüsselung aushandeln
Routen verteilen
Zugriff kontrollieren
Merksatz:
VPN-Gateway ist der Zugangspunkt zum geschützten Netz.
VPN-Client
Der VPN-Client läuft auf dem Endgerät des Benutzers.
Beispiele:
Notebook
Smartphone
Tablet
Admin-PC
Aufgaben:
Verbindung zum VPN-Gateway aufbauen
Benutzer anmelden
Tunnel erzeugen
Routen setzen
DNS übernehmen
Verkehr durch Tunnel leiten
Merksatz:
VPN-Client baut den Tunnel vom Endgerät aus auf.
VPN-Protokolle
Häufige VPN-Techniken und Protokolle:
- IPsec
- IKEv2
- SSL-VPN / TLS-VPN
- OpenVPN
- WireGuard
- L2TP/IPsec
Je nach Umgebung unterscheiden sich:
Sicherheit
Geschwindigkeit
Einrichtung
Portnutzung
Betriebssystemunterstützung
Firewall-Freundlichkeit
Merksatz:
VPN ist ein Oberbegriff,
dahinter können verschiedene Protokolle stehen.
IPsec
IPsec ist eine Protokollfamilie zur sicheren Kommunikation auf IP-Ebene.
IPsec kann genutzt werden für:
- Site-to-Site-VPN
- Remote-Access-VPN
- verschlüsselte Kommunikation zwischen Netzen
IPsec arbeitet besonders nah an Schicht 3.
Merksatz:
IPsec schützt IP-Kommunikation.
IKE
IKE steht für:
Internet Key Exchange
IKE dient dazu, bei IPsec die Sicherheitsparameter und Schlüssel auszuhandeln.
IKEv2 ist eine moderne Version.
Merksatz:
IKE handelt Schlüssel und Sicherheitsparameter für IPsec aus.
SSL-VPN / TLS-VPN
SSL-VPN ist ein älterer Begriff.
Fachlich geht es meist um TLS-VPN.
Dabei wird TLS genutzt, ähnlich wie bei HTTPS.
Vorteile:
oft firewallfreundlich
häufig über TCP 443 möglich
gut für Remote-Zugriff
teilweise browserbasiert oder clientbasiert
Merksatz:
SSL-VPN meint meist TLS-basiertes VPN.
OpenVPN
OpenVPN ist eine verbreitete VPN-Lösung.
Eigenschaften:
nutzt TLS
kann TCP oder UDP verwenden
flexibel konfigurierbar
oft für Remote-Access und Site-to-Site nutzbar
benötigt meist Clientsoftware
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
WireGuard
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
schlank
schnell
vergleichsweise einfache Konfiguration
nutzt moderne Kryptografie
arbeitet meist über UDP
Wichtig:
Sicherheit hängt trotzdem von richtiger Schlüsselverwaltung,
Routen
Firewall-Regeln
und Zugriffskonzept ab.
Merksatz:
WireGuard ist modernes,
schlankes VPN über UDP.
L2TP/IPsec
L2TP steht für:
Layer 2 Tunneling Protocol
L2TP selbst verschlüsselt nicht stark genug, deshalb wird es häufig mit IPsec kombiniert.
Merksatz:
L2TP wird für Sicherheit typischerweise mit IPsec kombiniert.
Split Tunneling
Split Tunneling bedeutet:
Nur bestimmter Verkehr geht durch den VPN-Tunnel.
Anderer Verkehr, zum Beispiel normales Internet, geht direkt über den lokalen Anschluss.
Beispiel:
Zugriff auf Firmennetz:
durch VPN
YouTube oder private Webseiten:
direkt über lokalen Internetanschluss
Merksatz:
Split Tunneling leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel
Full Tunnel bedeutet:
Der gesamte Verkehr des Clients läuft durch den VPN-Tunnel.
Auch Internetzugriffe gehen zuerst ins Firmennetz und von dort weiter ins Internet.
Vorteile:
zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
Nachteile:
mehr Last auf VPN und Internetanschluss der Firma
höhere Latenz
mehr Bandbreitenbedarf
Merksatz:
Full Tunnel leitet den gesamten Clientverkehr durch VPN.
Split Tunnel und Full Tunnel vergleichen
| Merkmal | Split Tunnel | Full Tunnel |
|---|---|---|
| Internetverkehr | direkt lokal | durch Firma |
| Last auf VPN | geringer | höher |
| zentrale Kontrolle | geringer | höher |
| Latenz | oft niedriger | oft höher |
| Sicherheitspolitik | schwieriger einheitlich | zentraler steuerbar |
Merksatz:
Split Tunnel spart Last.
Full Tunnel bietet mehr zentrale Kontrolle.
VPN-Routing
Damit ein VPN funktioniert, müssen passende Routen vorhanden sein.
Der Client muss wissen:
Welche Netze sind über VPN erreichbar?
Beispiele:
192.168.10.0/24 über VPN
10.10.0.0/16 über VPN
nur bestimmte Server über VPN
Fehlt eine Route, geht der Verkehr nicht durch den Tunnel.
Merksatz:
VPN braucht passende Routen.
VPN-DNS
VPN-Benutzer müssen oft interne Namen auflösen können.
Beispiele:
intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
Dafür kann der VPN-Client interne DNS-Server bekommen.
Typische Fehler:
VPN verbunden,
aber interne Namen lösen nicht auf.
Merksatz:
VPN braucht oft interne DNS-Einstellungen.
Split DNS bei VPN
Split DNS bedeutet:
bestimmte Namen werden über interne DNS-Server aufgelöst,
andere Namen über normale DNS-Server.
Beispiel:
firma.local
→ interner DNS über VPN
öffentliche Webseiten
→ normaler DNS
Merksatz:
Split DNS sorgt dafür,
dass interne Namen über VPN korrekt aufgelöst werden.
VPN-Adresspool
Ein VPN-Adresspool ist der IP-Adressbereich, aus dem VPN-Clients eine Adresse bekommen.
Beispiel:
VPN-Clients:
10.8.0.0/24
Wichtig:
Der VPN-Adressbereich darf nicht mit bestehenden Netzen kollidieren.
Problem:
Wenn das Heimnetz des Benutzers denselben Bereich nutzt,
kann Routing fehlschlagen.
Merksatz:
VPN-Adresspool muss eindeutig und konfliktfrei sein.
Adresskonflikt bei VPN
Ein häufiger Fehler:
Heimnetz des Benutzers:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Dann weiß der Client nicht eindeutig, ob 192.168.1.50 lokal oder über VPN erreichbar ist.
Folge:
interne Server sind nicht erreichbar.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
Firewall-Regeln für VPN
VPN-Zugriff muss durch Firewall-Regeln gesteuert werden.
Nicht gut:
VPN → LAN any erlauben
Besser:
VPN-Gruppe Support → bestimmte Server TCP 3389
VPN-Gruppe Admin → Managementnetz SSH/RDP
VPN-Gruppe Mitarbeiter → Intranet HTTPS
VPN-Gruppe Dienstleister → nur Wartungssystem
Merksatz:
VPN-Zugriff nach Rolle und Bedarf begrenzen.
VPN und Least Privilege
Auch beim VPN gilt:
nur notwendige Rechte erlauben.
Ein VPN-Benutzer sollte nicht automatisch Zugriff auf das gesamte interne Netz erhalten.
Warum?
kompromittierter VPN-Client
gestohlene Zugangsdaten
Malware auf Heimgerät
externe Dienstleister
zu breite Angriffsfläche
Merksatz:
VPN ist Zugang,
aber kein Freifahrtschein.
VPN und MFA
VPN-Zugänge sollten nach Möglichkeit mit MFA geschützt werden.
Warum?
Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
Passwort-Wiederverwendung ist häufig.
VPN-Zugang ist ein direkter Einstieg ins Netz.
MFA erhöht die Sicherheit deutlich.
Merksatz:
VPN ohne MFA ist deutlich riskanter.
VPN und Zertifikate
VPNs können Zertifikate nutzen für:
Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
starke Identitätsprüfung
Vorteil:
nicht nur Passwort,
sondern zusätzlich kryptografischer Nachweis.
Wichtig:
Zertifikate müssen verwaltet,
erneuert
und bei Verlust widerrufen werden.
Merksatz:
Zertifikate erhöhen VPN-Sicherheit,
brauchen aber gutes Management.
VPN und Gerätesicherheit
Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme.
Deshalb ist wichtig:
aktuelles Betriebssystem
aktuelle Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
sichere Konfiguration
kein kompromittiertes Gerät
Gerätezertifikat oder Geräteprüfung
Patchstand prüfen
Merksatz:
Unsicheres Endgerät plus VPN ist ein Risiko.
VPN und öffentliche WLANs
VPN kann in öffentlichen WLANs schützen, weil der Verkehr im Tunnel verschlüsselt wird.
Aber:
VPN schützt nicht vor allem.
Weiterhin wichtig:
HTTPS prüfen
Phishing vermeiden
Gerät aktuell halten
keine fremden Zertifikate akzeptieren
keine Warnungen ignorieren
Merksatz:
VPN hilft im öffentlichen WLAN,
ersetzt aber kein sicheres Verhalten.
VPN und Performance
VPN kann die Leistung beeinflussen.
Mögliche Ursachen:
Verschlüsselungsaufwand
längerer Weg
zentrale Internetleitung
Full Tunnel
schwacher VPN-Gateway
schlechte Clientverbindung
MTU-Probleme
Paketverlust
hohe Latenz
Merksatz:
VPN kann sicher sein,
aber Geschwindigkeit und Latenz beeinflussen.
VPN und MTU
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Nutzlast kleiner werden.
MTU-Probleme zeigen sich oft so:
kleine Pakete funktionieren
große Übertragungen hängen
Webseiten laden teilweise
VPN-Verbindung instabil
RDP oder SSH bricht sporadisch ab
Merksatz:
Bei VPN-Problemen mit großen Daten an MTU denken.
VPN und Logging
VPN-Logs sind wichtig für Sicherheit und Fehlersuche.
Sie zeigen:
wer sich verbunden hat
wann Verbindung aufgebaut wurde
von welcher IP
mit welchem Gerät
ob MFA erfolgreich war
welche VPN-IP vergeben wurde
warum Verbindung getrennt wurde
ob Fehler auftraten
Merksatz:
VPN-Zugriffe müssen nachvollziehbar sein.
VPN und Monitoring
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Anzahl aktiver Verbindungen
CPU-Auslastung
RAM
Bandbreite
Tunnelstatus
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Authentifizierungsfehler
Merksatz:
VPN ist kritische Infrastruktur und muss überwacht werden.
Typische VPN-Fehler
Häufige Fehler:
- VPN baut nicht auf
- Anmeldung schlägt fehl
- MFA funktioniert nicht
- Zertifikat ungültig
- Client bekommt keine VPN-IP
- Route fehlt
- DNS fehlt
- interne Dienste nicht erreichbar
- nur manche Netze erreichbar
- Adresskonflikt mit Heimnetz
- Firewall blockiert
- Split Tunnel falsch
- Full Tunnel überlastet
- MTU-Problem
- Verbindung bricht ab
Merksatz:
VPN-Fehler können Authentifizierung,
Routing,
DNS,
Firewall
oder MTU betreffen.
Fehlerbild: VPN verbindet nicht
Mögliche Ursachen:
- falscher Servername
- Internetverbindung gestört
- VPN-Gateway nicht erreichbar
- falscher Port blockiert
- Benutzername oder Passwort falsch
- MFA schlägt fehl
- Zertifikat ungültig
- Clientversion inkompatibel
- Konto gesperrt
- Lizenz oder Berechtigung fehlt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung
und Zertifikate prüfen.
Fehlerbild: VPN verbunden, aber kein interner Zugriff
Mögliche Ursachen:
- Route fehlt
- DNS fehlt
- Firewall-Regel fehlt
- Benutzergruppe nicht berechtigt
- falscher VPN-Adresspool
- Adresskonflikt mit Heimnetz
- Split Tunnel falsch
- Zielsystem-Firewall blockiert
- Rückweg fehlt
Merksatz:
VPN verbunden heißt nicht automatisch:
interne Ressourcen erreichbar.
Fehlerbild: Interne Namen gehen nicht
Mögliche Ursachen:
- interner DNS wird nicht verteilt
- Split DNS falsch
- DNS-Suffix fehlt
- DNS-Anfragen gehen lokal statt durch VPN
- interne Zone fehlt
- Firewall blockiert DNS
- falscher DNS-Server antwortet
Merksatz:
Bei VPN-Namensproblemen DNS und Split DNS prüfen.
Fehlerbild: Nur manche internen Netze erreichbar
Mögliche Ursachen:
- Route für bestimmtes Netz fehlt
- Firewall-Regel fehlt
- Benutzergruppe darf nur bestimmte Netze
- Rückroute fehlt
- Zielnetz überschneidet sich mit lokalem Netz
- ACL blockiert
Merksatz:
Teilweise Erreichbarkeit deutet oft auf Routing oder Berechtigung hin.
Fehlerbild: VPN langsam
Mögliche Ursachen:
- Full Tunnel überlastet
- hohe Latenz
- schwache Internetleitung
- VPN-Gateway ausgelastet
- Paketverlust
- MTU-Problem
- WLAN instabil
- Verschlüsselungsleistung begrenzt
- zentraler Proxy langsam
Merksatz:
VPN-Langsamkeit mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
Fehlerbild: VPN bricht ab
Mögliche Ursachen:
- instabile Internetverbindung
- WLAN-Roaming
- NAT-Timeout
- Firewall-Timeout
- Mobilfunkwechsel
- Energiesparmodus
- Clientproblem
- Zertifikat oder Token läuft ab
- Gateway überlastet
- MTU-Problem
Merksatz:
VPN-Abbrüche brauchen Zeitbezug,
Logs
und Verbindungsmessung.
VPN und Extranet unterscheiden
Ein Extranet kann über VPN bereitgestellt werden, muss aber nicht.
Beispiele:
Extranet über Webportal:
Partner meldet sich im Browser an.
Extranet über VPN:
Partner bekommt VPN-Zugang zu bestimmten Systemen.
Wichtig:
Extranet ist das Zugriffskonzept.
VPN ist eine mögliche technische Umsetzung.
Merksatz:
Extranet beschreibt Zielgruppe und Zugriff.
VPN beschreibt den Tunnel.
Extranet-Sicherheit
Extranet-Zugänge brauchen klare Begrenzung.
Wichtig:
- eigene Benutzerkonten
- MFA
- Rollen und Rechte
- Protokollierung
- Vertrags- und Zweckbindung
- zeitliche Begrenzung
- Zugriff nur auf benötigte Daten
- keine gemeinsamen Konten
- regelmäßige Prüfung
- Sperrung nach Projektende
Merksatz:
Externe Zugänge müssen besonders sauber kontrolliert werden.
Partnerzugriff
Partnerzugriff sollte nicht ungefiltert ins interne Netz führen.
Besser:
Partnerportal
API-Gateway
Reverse Proxy
dedizierte Extranet-Zone
VPN mit begrenzten Regeln
Bastion Host
getrennte Benutzerrollen
Merksatz:
Partner nur auf das zugreifen lassen,
was sie wirklich benötigen.
Intranet über VPN
Im Homeoffice greifen Benutzer oft per VPN auf das Intranet zu.
Beispiel:
Benutzer verbindet VPN.
Danach öffnet er internes Wiki.
DNS löst internen Namen auf.
Firewall erlaubt VPN → Intranet HTTPS.
Webserver prüft Anmeldung.
Merksatz:
Intranet-Zugriff über VPN braucht Tunnel,
DNS,
Firewall
und Berechtigung.
Intranet über Zero Trust
Moderne Umgebungen nutzen teilweise Zero-Trust-Zugriffe statt klassischem Voll-VPN.
Grundidee:
Benutzer bekommt nicht Zugriff auf das ganze Netz,
sondern nur auf einzelne Anwendungen.
Prüfung:
Identität
Gerät
Standort
Risiko
MFA
Anwendung
Richtlinie
Merksatz:
Zero Trust ersetzt oft breiten Netzwerkzugriff durch gezielten Anwendungszugriff.
VPN und Zero Trust vergleichen
| Merkmal | klassisches VPN | Zero-Trust-Zugriff |
|---|---|---|
| Zugriffsebene | oft Netzwerkzugriff | meist Anwendungszugriff |
| Risiko | breiter Zugriff möglich | stärker begrenzter Zugriff |
| Prüfung | häufig beim Verbindungsaufbau | kontinuierlicher und kontextbezogener |
| Nutzung | interne Netze | einzelne Anwendungen |
| Vorteil | bewährt und flexibel | feiner steuerbar |
Merksatz:
VPN verbindet oft Netze.
Zero Trust gibt gezielt Anwendungen frei.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist ein VPN-Gateway?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Warum können gleiche IP-Netze bei VPN Probleme verursachen?
- Warum sollte VPN-Zugriff nicht automatisch das ganze LAN erlauben?
- Warum ist MFA bei VPN sinnvoll?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Warum ist ein Extranet besonders zu schützen?
Typische Prüfungsfallen
VPN bedeutet Virtual Private Network.
VPN ist ein Tunnel,
nicht automatisch ein komplettes Sicherheitskonzept.
VPN schützt den Transportweg.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Berechtigungen.
Remote-Access-VPN verbindet einzelne Benutzer.
Site-to-Site-VPN verbindet Standorte oder Netze.
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel leitet gesamten Verkehr durch VPN.
VPN braucht passende Routen.
VPN braucht oft interne DNS-Einstellungen.
VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
Gleiche IP-Netze auf beiden Seiten erzeugen Routingprobleme.
MFA erhöht VPN-Sicherheit.
Externe Dienstleister nur begrenzt berechtigen.
Intranet ist intern.
Extranet ist kontrolliert für externe Berechtigte.
Internet ist öffentlich.
Extranet ist nicht automatisch VPN.
VPN kann durch MTU-Probleme langsam oder instabil wirken.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| VPN | Virtual Private Network |
| VPN-Tunnel | geschützte logische Verbindung |
| Tunneling | Einpacken von Daten in eine Tunnelverbindung |
| Remote-Access-VPN | VPN für einzelne Benutzer |
| Site-to-Site-VPN | VPN zwischen Netzwerken |
| VPN-Gateway | Gegenstelle für VPN-Verbindungen |
| VPN-Client | Software oder Gerät des Benutzers |
| IPsec | VPN-Technik auf IP-Ebene |
| IKE | Schlüsselaushandlung bei IPsec |
| TLS-VPN | VPN auf Basis von TLS |
| OpenVPN | verbreitete TLS-basierte VPN-Lösung |
| WireGuard | modernes schlankes VPN-Protokoll |
| Split Tunnel | nur ausgewählter Verkehr durch VPN |
| Full Tunnel | gesamter Verkehr durch VPN |
| VPN-Adresspool | IP-Bereich für VPN-Clients |
| Split DNS | getrennte DNS-Auflösung je nach Ziel |
| Intranet | internes Netzwerk oder internes Portal |
| Extranet | kontrollierter Zugriff für externe Berechtigte |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | nur notwendige Rechte |
| Zero Trust | kein automatisches Vertrauen |
IHK-sichere Kurzformulierung
Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es wird genutzt, um einzelne Benutzer per Remote-Access-VPN oder ganze Standorte per Site-to-Site-VPN sicher mit internen Ressourcen zu verbinden. Für den VPN-Betrieb sind Authentifizierung, Verschlüsselung, Routing, DNS, Firewall-Regeln und Berechtigungen wichtig. Split Tunneling leitet nur ausgewählten Verkehr durch das VPN, während Full Tunnel den gesamten Clientverkehr durch den Tunnel führt. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation. Ein Extranet stellt ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen bereit. VPN-Zugriff sollte durch MFA, Rollen, Firewall-Regeln und Least Privilege abgesichert werden.
Merksätze
Intranet = intern.
Extranet = kontrolliert extern erweitert.
Internet = öffentlich.
VPN = Virtual Private Network.
VPN baut einen verschlüsselten Tunnel.
VPN schützt den Transportweg.
VPN ersetzt keine Rechteprüfung.
VPN ersetzt keine Firewall-Regeln.
Remote-Access-VPN verbindet Benutzer.
Site-to-Site-VPN verbindet Netze.
VPN-Gateway ist der Zugangspunkt.
VPN-Client baut den Tunnel auf.
IPsec schützt IP-Kommunikation.
IKE handelt Schlüssel aus.
TLS-VPN nutzt TLS.
OpenVPN ist flexibel.
WireGuard ist schlank und modern.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN braucht passende Routen.
VPN braucht oft internes DNS.
Split DNS hilft bei internen Namen.
VPN-Adresspool darf sich nicht überschneiden.
Gleiche Netze verursachen Routingprobleme.
VPN-Zugriff nach Rolle begrenzen.
MFA für VPN ist wichtig.
Unsichere Endgeräte sind trotz VPN riskant.
VPN kann durch MTU-Probleme instabil werden.
VPN verbunden heißt nicht:
alles erreichbar.
Extranet ist Zugriffskonzept,
VPN ist Tunneltechnik.
Zero Trust gibt gezielter Zugriff auf Anwendungen.
14.2
VPN-Arten und VPN-Einsatzszenarien
VPN ist nicht immer gleich VPN.
Je nach Zweck, Benutzergruppe und Netzwerkaufbau gibt es unterschiedliche VPN-Arten.
Die wichtigsten Einsatzszenarien sind:
- Remote-Access-VPN
- Site-to-Site-VPN
- Client-to-Site-VPN
- Host-to-Host-VPN
- Extranet-VPN
- Cloud-VPN
- Admin-VPN
- Fernwartungs-VPN
Merksatz:
Die VPN-Art richtet sich danach,
wer oder was sicher verbunden werden soll.
Warum unterscheidet man VPN-Arten?
Nicht jede VPN-Verbindung hat denselben Zweck.
Beispiele:
Ein Mitarbeiter im Homeoffice braucht Zugriff auf interne Anwendungen.
Zwei Firmenstandorte sollen dauerhaft verbunden werden.
Ein externer Dienstleister soll nur einen Wartungsserver erreichen.
Ein Unternehmen verbindet sein lokales Netz mit einem Cloud-Netz.
Ein Administrator braucht sicheren Zugriff auf Managementsysteme.
Diese Fälle haben unterschiedliche Anforderungen.
Merksatz:
Unterschiedliche VPN-Zwecke brauchen unterschiedliche Konzepte.
Remote-Access-VPN
Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz.
Typische Benutzer:
- Homeoffice-Mitarbeiter
- Außendienst
- Administratoren
- mobile Benutzer
- Support-Mitarbeiter
- externe Dienstleister
Der Benutzer startet meist einen VPN-Client auf seinem Endgerät.
Merksatz:
Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen.
Typischer Ablauf bei Remote-Access-VPN
Ein typischer Ablauf:
1. Benutzer startet VPN-Client.
2. VPN-Client verbindet sich mit VPN-Gateway.
3. Benutzer authentifiziert sich.
4. MFA oder Zertifikat wird geprüft.
5. Tunnel wird aufgebaut.
6. Client erhält VPN-IP-Adresse.
7. Routen und DNS-Einstellungen werden gesetzt.
8. Zugriff auf erlaubte Ressourcen ist möglich.
Merksatz:
Remote-Access braucht Authentifizierung,
Tunnel,
IP,
Routen
und DNS.
Remote-Access-VPN: Vorteile
Vorteile:
- sicherer Zugriff aus dem Homeoffice
- Zugriff auf interne Dienste
- zentrale Kontrolle
- verschlüsselte Verbindung
- flexibel für mobile Benutzer
- oft schnell einrichtbar
- gute Integration mit MFA möglich
Merksatz:
Remote-Access-VPN macht mobile Arbeit mit internen Diensten möglich.
Remote-Access-VPN: Risiken
Risiken:
- gestohlene Zugangsdaten
- unsichere private Endgeräte
- Malware auf Client
- zu breite Zugriffsrechte
- fehlende MFA
- unsichere Split-Tunnel-Regeln
- verlorene Geräte
- veraltete VPN-Clients
Merksatz:
Remote-Access ist nur sicher,
wenn Endgerät,
Benutzer
und Rechte kontrolliert werden.
Client-to-Site-VPN
Client-to-Site-VPN ist im Grunde eine andere Bezeichnung für Remote-Access-VPN.
Dabei verbindet sich ein einzelner Client mit einem Standort oder Unternehmensnetz.
Beispiel:
Notebook im Homeoffice
→ VPN-Gateway der Firma
→ internes Netz
Merksatz:
Client-to-Site = einzelner Client zum Firmennetz.
Site-to-Site-VPN
Site-to-Site-VPN verbindet ganze Netzwerke miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netz
Unternehmen ↔ Partnernetz
Hier verbinden meist Router, Firewalls oder VPN-Gateways die Standorte.
Merksatz:
Site-to-Site-VPN verbindet Netze,
nicht einzelne Benutzer.
Typischer Ablauf bei Site-to-Site-VPN
Ein typischer Ablauf:
1. Gateway A baut Tunnel zu Gateway B auf.
2. Beide Gateways authentifizieren sich.
3. Verschlüsselung und Schlüssel werden ausgehandelt.
4. Netzbereiche werden definiert.
5. Routing wird eingerichtet.
6. Firewall-Regeln erlauben gewünschte Verbindungen.
7. Systeme beider Standorte kommunizieren über den Tunnel.
Merksatz:
Site-to-Site braucht Gateways,
Netze,
Routen
und Firewall-Regeln.
Site-to-Site-VPN: Vorteile
Vorteile:
- dauerhafte Standortverbindung
- keine VPN-Clientsoftware auf jedem Endgerät nötig
- zentrale Netz-zu-Netz-Kommunikation
- gut für Niederlassungen
- gut für Cloud-Anbindung
- transparent für Benutzer
Merksatz:
Site-to-Site verbindet Standorte dauerhaft und zentral.
Site-to-Site-VPN: Risiken
Risiken:
- zu große Netzfreigaben
- falsches Routing
- Überschneidung von IP-Netzen
- kompromittierter Standort erreicht andere Netze
- fehlende Segmentierung
- schwache Schlüssel oder PSKs
- fehlendes Monitoring
- unklare Verantwortlichkeiten zwischen Organisationen
Merksatz:
Site-to-Site darf nicht automatisch alle Netze gegenseitig öffnen.
Remote-Access und Site-to-Site im Vergleich
| Merkmal | Remote-Access-VPN | Site-to-Site-VPN |
|---|---|---|
| verbindet | Benutzergerät mit Netz | Netz mit Netz |
| typischer Zweck | Homeoffice, mobiler Zugriff | Standortvernetzung |
| Endpunkt | Client und Gateway | Gateway und Gateway |
| Benutzeranmeldung | häufig benutzerbezogen | häufig gatewaybezogen |
| Clientsoftware | meist notwendig | für Endgeräte meist nicht |
| Zugriffskontrolle | Benutzer und Gruppen | Netze und Firewall-Regeln |
| Fehlerquellen | Client, DNS, Routen, MFA | Routing, IP-Überschneidung, Tunnel |
Merksatz:
Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
Host-to-Host-VPN
Host-to-Host-VPN verbindet zwei einzelne Systeme direkt miteinander.
Beispiel:
Server A
↔
Server B
Einsatz:
besonders schützenswerte Verbindung
Kommunikation zwischen zwei Servern
sichere Verbindung über unsicheres Netz
spezielle Administrationsstrecken
Merksatz:
Host-to-Host-VPN verbindet einzelne Rechner direkt.
Extranet-VPN
Ein Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff.
Beispiele:
Lieferant greift auf Bestellportal zu.
Dienstleister greift auf Wartungsserver zu.
Partnerunternehmen greift auf gemeinsame Projektdaten zu.
Wichtig:
Zugriff stark begrenzen
eigene Benutzerkonten
MFA
Protokollierung
zeitliche Begrenzung
keine pauschale LAN-Freigabe
Merksatz:
Extranet-VPN ist VPN-Zugriff für externe Berechtigte.
Cloud-VPN
Cloud-VPN verbindet ein lokales Netzwerk mit einem Cloud-Netzwerk.
Beispiel:
Unternehmensstandort
↔
Cloud-VPC oder Cloud-VNet
Typischer Zweck:
Zugriff auf Cloud-Server
Hybrid-Cloud
Datenbankverbindungen
private Cloud-Dienste
Migration
Backup
Standort-zu-Cloud-Kommunikation
Merksatz:
Cloud-VPN verbindet lokale Infrastruktur mit Cloud-Netzen.
Admin-VPN
Ein Admin-VPN ist ein besonders geschützter Zugang für Administratoren.
Ziel:
Managementsysteme sicher erreichen
Beispiele:
Firewall-Verwaltung
Switch-Management
Serveradministration
Hypervisor
Backup-Systeme
Monitoring
Managementnetz
Wichtig:
MFA
separate Admin-Konten
starke Protokollierung
Zugriff nur auf Managementnetze
keine Nutzung für Alltagsarbeit
Merksatz:
Admin-VPN sollte besonders stark abgesichert sein.
Fernwartungs-VPN
Fernwartungs-VPN wird für Support oder Wartung genutzt.
Beispiele:
Hersteller wartet Anlage.
IT-Dienstleister wartet Server.
externer Techniker greift auf Spezialgerät zu.
Wichtig:
zeitlich begrenzen
nur benötigte Ziele erlauben
Zugriff protokollieren
Benutzer eindeutig zuordnen
nach Wartung deaktivieren
keine gemeinsamen Dauerzugänge
Merksatz:
Fernwartung braucht zeitlich und technisch begrenzten Zugriff.
VPN für mobile Geräte
Mobile Geräte können ebenfalls VPN nutzen.
Beispiele:
Smartphone
Tablet
Außendienstgerät
mobiles Kassensystem
MDM-verwaltetes Gerät
Wichtig:
Geräteverwaltung
Gerätesperre
Verschlüsselung
Zertifikate
MDM-Richtlinien
App-Schutz
Verlustfall beachten
Merksatz:
Mobile VPN-Zugänge brauchen Gerätekontrolle.
Always-On-VPN
Always-On-VPN bedeutet:
Das Gerät baut automatisch eine VPN-Verbindung auf,
sobald es Netzwerkzugang hat.
Ziel:
Benutzer muss VPN nicht manuell starten.
Unternehmensrichtlinien greifen dauerhaft.
interne Dienste sind automatisch erreichbar.
Datenverkehr kann zentral kontrolliert werden.
Merksatz:
Always-On-VPN verbindet Geräte automatisch mit dem Unternehmensnetz.
On-Demand-VPN
On-Demand-VPN baut sich nur bei Bedarf auf.
Beispiel:
Benutzer ruft interne Domain auf.
Gerät startet VPN automatisch.
Vorteil:
weniger dauerhafte Verbindung
komfortabel für Benutzer
gezielter Tunnelaufbau
Merksatz:
On-Demand-VPN startet,
wenn eine bestimmte Ressource benötigt wird.
Per-App-VPN
Per-App-VPN bedeutet:
Nur bestimmte Anwendungen nutzen den VPN-Tunnel.
Beispiel:
Unternehmens-App nutzt VPN.
private Apps nutzen normales Internet.
Vorteil:
bessere Trennung zwischen privater und geschäftlicher Nutzung
weniger Tunnelverkehr
gezieltere Kontrolle
Merksatz:
Per-App-VPN leitet nur ausgewählte Apps durch VPN.
VPN für BYOD
BYOD steht für:
Bring Your Own Device
Dabei nutzen Benutzer private Geräte für berufliche Zwecke.
VPN bei BYOD ist besonders kritisch.
Wichtige Fragen:
Ist das Gerät sicher?
Ist es verwaltet?
Gibt es MDM?
Sind Firmendaten getrennt?
Gibt es MFA?
Kann Zugriff bei Verlust entfernt werden?
Darf das private Gerät interne Netze erreichen?
Merksatz:
BYOD plus VPN braucht klare Sicherheitsregeln.
VPN für Dienstleister
Dienstleisterzugang sollte besonders eng geregelt werden.
Besser:
eigener VPN-Benutzer
keine Sammelkonten
MFA
nur definierte Ziele
zeitliche Freigabe
Protokollierung
Freigabeprozess
regelmäßige Prüfung
Deaktivierung nach Projektende
Merksatz:
Externe Dienstleister niemals pauschal ins interne Netz lassen.
VPN für Standortvernetzung
Bei Standortvernetzung sind wichtige Punkte:
eindeutige IP-Netze
stabile Internetanschlüsse
passende Bandbreite
Routing
Firewall-Regeln
Monitoring
Redundanz
Namensauflösung
Zeitsynchronisation
Dokumentation
Merksatz:
Standort-VPN braucht saubere Netzplanung.
VPN für Cloud-Anbindung
Bei Cloud-VPN sind wichtig:
Cloud-Netzbereich
lokaler Netzbereich
Routingtabellen
Security Groups
Network Security Groups
Cloud-Firewall
DNS
Bandbreite
Latenz
Hochverfügbarkeit
Kosten
Monitoring
Merksatz:
Cloud-VPN braucht Routing und Sicherheitsregeln auf beiden Seiten.
VPN und IP-Adressplanung
VPN funktioniert nur sauber, wenn Netze eindeutig sind.
Problematisch:
Heimnetz 192.168.1.0/24
und Firmennetz 192.168.1.0/24
Oder:
Standort A 10.0.0.0/24
und Standort B 10.0.0.0/24
Folge:
Routing wird uneindeutig.
Merksatz:
Überlappende Netze verursachen VPN-Probleme.
VPN und Namensauflösung
VPN-Benutzer brauchen oft interne DNS-Auflösung.
Beispiele:
intranet.firma.local
fileserver.intern
dc01.firma.local
app01.servernetz.local
Typische Fehler:
VPN ist verbunden,
aber Namen funktionieren nicht.
Ursache häufig:
interner DNS wird nicht verteilt
DNS-Suffix fehlt
Split DNS falsch
Firewall blockiert DNS
Merksatz:
VPN braucht oft internes DNS.
VPN und Routingtabellen
Der VPN-Client oder das VPN-Gateway braucht passende Routen.
Beispiel:
Zielnetz 10.20.0.0/16
soll über VPN erreichbar sein.
Dann muss eine Route existieren:
10.20.0.0/16 über VPN-Tunnel
Fehlt diese Route, geht Verkehr eventuell ins lokale Netz oder ins Internet.
Merksatz:
Ohne Route kein Weg durch den Tunnel.
VPN und Firewall-Zonen
VPN-Verbindungen sollten in eigene Firewall-Zonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
Site-to-Site-Partner
Cloud-VPN
Extranet-VPN
Vorteil:
Regeln können gezielt nach Rolle oder Zweck erstellt werden.
Merksatz:
VPN-Zonen helfen,
Zugriff sauber zu begrenzen.
VPN und Gruppen
VPN-Zugriff wird häufig über Gruppen gesteuert.
Beispiele:
Gruppe Mitarbeiter:
Zugriff auf Intranet
Gruppe Support:
Zugriff auf Helpdesk-Systeme
Gruppe Admin:
Zugriff auf Managementnetz
Gruppe Dienstleister:
Zugriff nur auf Wartungsserver
Merksatz:
Gruppen helfen,
VPN-Berechtigungen übersichtlich zu steuern.
VPN und Rollenmodell
Ein Rollenmodell beschreibt, welche Rolle welche Zugriffe bekommt.
Beispiel:
| Rolle | Zugriff |
|---|---|
| Mitarbeiter | Intranet, Dateiablage |
| Support | Ticketsystem, bestimmte Clients |
| Admin | Managementnetz |
| Dienstleister | definierter Wartungsserver |
| Partner | Extranet-Portal |
Merksatz:
Rollenmodell verhindert pauschale VPN-Freigaben.
VPN und MFA nach Risiko
MFA sollte besonders bei externem Zugriff eingesetzt werden.
Bei VPN ist MFA wichtig, weil der Zugang aus unsicheren Netzen kommt.
Besonders kritisch:
Admin-VPN
Dienstleister-VPN
Extranet-Zugänge
Zugriff auf Servernetze
Zugriff auf Managementsysteme
Merksatz:
Je kritischer der Zugriff,
desto stärker die Authentifizierung.
VPN und Zertifikatsbasierte Authentifizierung
VPN kann neben Benutzerpasswort auch Zertifikate nutzen.
Vorteile:
Gerät kann eindeutig identifiziert werden.
Passwort allein reicht nicht.
verlorene Geräte können durch Zertifikatswiderruf gesperrt werden.
Clientzugriff kann stärker kontrolliert werden.
Wichtig:
Zertifikate müssen erneuert,
geschützt
und bei Verlust widerrufen werden.
Merksatz:
Zertifikate binden VPN-Zugriff stärker an Geräte oder Identitäten.
Abkürzung:
PSK
PSK wird häufig bei Site-to-Site-VPNs genutzt.
Risiken:
schwacher PSK
PSK wird selten gewechselt
PSK ist mehreren Personen bekannt
PSK wird unsicher dokumentiert
Merksatz:
PSK muss stark,
geheim
und kontrolliert verwaltet werden.
VPN und Hochverfügbarkeit
VPN kann kritisch für den Betrieb sein.
Deshalb können sinnvoll sein:
zwei VPN-Gateways
redundante Internetanschlüsse
automatische Umschaltung
mehrere Standorte
Monitoring
Backup-Konfiguration
dokumentierter Notfallzugang
Merksatz:
Kritische VPN-Zugänge brauchen Redundanz.
VPN und Bandbreite
VPN benötigt Bandbreite.
Besonders relevant bei:
Full Tunnel
vielen Homeoffice-Benutzern
Standortkopplung
Dateiübertragung
Backups
Videokonferenzen
Cloud-Zugriff über Zentrale
Merksatz:
VPN-Leistung hängt auch von Bandbreite und Gateway-Kapazität ab.
VPN und Latenz
Latenz ist die Verzögerung.
VPN kann Latenz erhöhen, weil der Verkehr einen längeren Weg nimmt oder verschlüsselt verarbeitet wird.
Besonders betroffen:
Remote Desktop
VoIP
Datenbankanwendungen
Echtzeitanwendungen
interaktive Webanwendungen
Merksatz:
VPN kann Wege verlängern und Latenz erhöhen.
VPN und Protokollwahl
Die Protokollwahl beeinflusst Betrieb und Leistung.
Beispiele:
UDP ist oft besser für VPN-Performance.
TCP über TCP kann bei manchen VPNs ungünstig sein.
TCP 443 ist oft firewallfreundlich.
UDP kann in manchen Netzen blockiert sein.
IPsec braucht passende Ports und Protokolle.
Merksatz:
VPN-Protokoll muss zu Netzwerk,
Sicherheit
und Betrieb passen.
TCP-over-TCP-Problem
Wenn ein VPN über TCP läuft und darin wiederum TCP-Verkehr transportiert wird, können Leistungseinbußen entstehen.
Grundidee:
Zwei TCP-Schichten versuchen gleichzeitig,
Verluste und Stau zu regeln.
Das kann bei Paketverlust zu schlechter Performance führen.
Merksatz:
TCP im TCP-Tunnel kann Performanceprobleme verstärken.
VPN und NAT-Traversal
VPN-Verbindungen müssen oft durch NAT-Geräte.
NAT-Traversal hilft, VPN-Verkehr durch NAT zu transportieren.
Besonders relevant bei:
IPsec hinter Routern
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
Merksatz:
NAT-Traversal hilft VPNs durch NAT-Umgebungen.
VPN und CGNAT
CGNAT kann eingehende Verbindungen erschweren.
Für Remote-Access-VPN ist das oft weniger problematisch, wenn der Client nach außen zum VPN-Gateway verbindet.
Für eigenes VPN-Gateway zuhause oder am kleinen Standort kann CGNAT problematisch sein, weil eingehende Verbindungen nicht direkt möglich sind.
Merksatz:
CGNAT stört vor allem,
wenn ein VPN-Gateway von außen erreichbar sein muss.
VPN und Logs nach Art unterscheiden
Je nach VPN-Art sind andere Logs wichtig.
Remote-Access:
Benutzer
Gerät
MFA
VPN-IP
Gruppen
Routen
Site-to-Site:
Tunnelstatus
Peer-Adresse
Phase 1 / Phase 2
Schlüssel
Routen
Security Associations
Extranet:
Partner
Zugriffszeiten
Zielsysteme
Rollen
Ablaufdatum
Merksatz:
VPN-Logs nach VPN-Art auswerten.
Typische Fehler bei Remote-Access-VPN
Häufige Fehler:
- Benutzer kann sich nicht anmelden
- MFA schlägt fehl
- Zertifikat fehlt
- VPN-Client veraltet
- Client bekommt keine IP
- interne Namen lösen nicht auf
- Route fehlt
- Zugriff wird durch Gruppe nicht erlaubt
- lokales Heimnetz überschneidet sich
- Endgerät unsicher oder nicht compliant
Merksatz:
Remote-Access-Fehler betreffen oft Benutzer,
Client,
DNS
und Routen.
Typische Fehler bei Site-to-Site-VPN
Häufige Fehler:
- Tunnel kommt nicht hoch
- PSK stimmt nicht
- Peer-Adresse falsch
- Phase-1-Parameter falsch
- Phase-2-Parameter falsch
- Netze falsch definiert
- Routing fehlt
- Firewall-Regeln fehlen
- IP-Netze überschneiden sich
- einseitige Erreichbarkeit
- NAT-Regeln stören
Merksatz:
Site-to-Site-Fehler betreffen oft Parameter,
Netze,
Routing
und Firewall.
Phase 1 und Phase 2 bei IPsec
Bei IPsec spricht man häufig von Phase 1 und Phase 2.
Vereinfacht:
Phase 1:
sichere Verbindung zwischen den VPN-Gateways aufbauen
Phase 2:
festlegen,
welche Netze oder Daten über den Tunnel geschützt werden
Typische Fehler:
Parameter stimmen nicht überein.
PSK falsch.
Netze falsch definiert.
Verschlüsselungsalgorithmen passen nicht.
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt die eigentlichen Netze.
Security Association
Security Association wird oft abgekürzt:
SA
Eine SA beschreibt ausgehandelte Sicherheitsparameter einer VPN-Verbindung.
Dazu gehören zum Beispiel:
Verschlüsselung
Integritätsschutz
Schlüssel
Lebensdauer
beteiligte Gegenstellen
geschützte Netze
Merksatz:
SA beschreibt ausgehandelte VPN-Sicherheitsparameter.
VPN-Fehlersuche nach Art
| VPN-Art | zuerst prüfen |
|---|---|
| Remote-Access | Benutzer, MFA, Client, IP, DNS, Route |
| Site-to-Site | Tunnelstatus, Peer, PSK, Phase 1/2, Routen |
| Cloud-VPN | Cloud-Routing, Security Groups, lokale Firewall |
| Extranet-VPN | Partnerkonto, Rollen, Zielsysteme, Ablaufdatum |
| Admin-VPN | MFA, Adminrolle, Managementnetz, Logs |
| Fernwartungs-VPN | Zeitfenster, Zielsystem, Protokollierung |
Merksatz:
Die VPN-Art bestimmt die Fehlersuche.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Welche VPN-Arten gibt es?
- Was ist Remote-Access-VPN?
- Was ist Client-to-Site-VPN?
- Was ist Site-to-Site-VPN?
- Wofür nutzt man Extranet-VPN?
- Wofür nutzt man Cloud-VPN?
- Was ist ein Admin-VPN?
- Warum braucht Fernwartungs-VPN besondere Kontrolle?
- Was ist Always-On-VPN?
- Was ist Per-App-VPN?
- Warum sind überlappende IP-Netze bei VPN problematisch?
- Warum sind VPN-Zonen sinnvoll?
- Warum ist ein Rollenmodell für VPN wichtig?
- Was ist ein Pre-Shared Key?
- Was bedeutet Phase 1 und Phase 2 bei IPsec?
- Was ist eine Security Association?
Typische Prüfungsfallen
VPN ist ein Oberbegriff.
Remote-Access-VPN verbindet Benutzer.
Client-to-Site ist praktisch Remote-Access.
Site-to-Site-VPN verbindet Netze.
Extranet-VPN ist für externe Berechtigte.
Cloud-VPN verbindet lokale und Cloud-Netze.
Admin-VPN besonders schützen.
Fernwartungs-VPN zeitlich begrenzen.
Always-On-VPN startet automatisch.
On-Demand-VPN startet bei Bedarf.
Per-App-VPN gilt nur für bestimmte Apps.
BYOD braucht besondere Gerätekontrolle.
VPN-Zugriff nicht pauschal erlauben.
IP-Netze dürfen sich nicht überschneiden.
VPN braucht DNS und Routing.
VPN-Gruppen steuern Zugriff.
PSK muss stark und geheim sein.
Phase 1 und Phase 2 nicht verwechseln.
VPN-Logs je nach VPN-Art auswerten.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Remote-Access-VPN | Benutzer verbindet sich aus der Ferne |
| Client-to-Site-VPN | einzelner Client verbindet sich mit Firmennetz |
| Site-to-Site-VPN | zwei Netze werden verbunden |
| Host-to-Host-VPN | zwei einzelne Systeme werden verbunden |
| Extranet-VPN | VPN-Zugriff für externe Berechtigte |
| Cloud-VPN | Verbindung zwischen lokalem Netz und Cloud-Netz |
| Admin-VPN | besonders geschützter Adminzugang |
| Fernwartungs-VPN | Wartungszugang für Support oder Hersteller |
| Always-On-VPN | VPN startet automatisch dauerhaft |
| On-Demand-VPN | VPN startet nur bei Bedarf |
| Per-App-VPN | nur bestimmte Apps nutzen VPN |
| BYOD | private Geräte im beruflichen Einsatz |
| VPN-Zone | eigene Firewall-Zone für VPN-Verkehr |
| VPN-Gruppe | Gruppe zur Steuerung von VPN-Rechten |
| PSK | Pre-Shared Key |
| NAT-Traversal | VPN durch NAT ermöglichen |
| Phase 1 | IPsec-Aufbau zwischen Gateways |
| Phase 2 | IPsec-Schutz der eigentlichen Netze |
| Security Association | ausgehandelte Sicherheitsparameter |
| Peer | VPN-Gegenstelle |
| Tunnelstatus | Zustand einer VPN-Verbindung |
IHK-sichere Kurzformulierung
VPNs können je nach Einsatzzweck unterschiedlich aufgebaut sein. Remote-Access-VPN oder Client-to-Site-VPN verbindet einzelne Benutzer mit internen Ressourcen, während Site-to-Site-VPN ganze Netzwerke oder Standorte miteinander verbindet. Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff, Cloud-VPN verbindet lokale Netze mit Cloud-Netzen, und Admin- oder Fernwartungs-VPNs dienen besonders geschützten Administrations- oder Wartungszugängen. Für alle VPN-Arten sind eindeutige IP-Netze, passende Routen, DNS, Firewall-Regeln, starke Authentifizierung, Rollenmodelle, Protokollierung und Monitoring wichtig. Bei IPsec sind Phase 1 und Phase 2 zu unterscheiden: Phase 1 baut die sichere Verbindung zwischen Gateways auf, Phase 2 definiert die geschützten Netze oder Datenströme.
Merksätze
VPN ist ein Oberbegriff.
VPN-Art richtet sich nach Einsatzzweck.
Remote-Access verbindet Benutzer.
Client-to-Site verbindet Client mit Netz.
Site-to-Site verbindet Netze.
Host-to-Host verbindet einzelne Systeme.
Extranet-VPN ist für externe Berechtigte.
Cloud-VPN verbindet lokal mit Cloud.
Admin-VPN besonders absichern.
Fernwartungs-VPN zeitlich begrenzen.
Always-On-VPN startet automatisch.
On-Demand-VPN startet bei Bedarf.
Per-App-VPN gilt nur für bestimmte Apps.
BYOD braucht klare Sicherheitsregeln.
Dienstleisterzugriff nie pauschal erlauben.
Standort-VPN braucht Netzplanung.
Cloud-VPN braucht Regeln auf beiden Seiten.
Überlappende Netze vermeiden.
VPN braucht Routen.
VPN braucht oft internes DNS.
VPN-Zonen trennen Zugriffe.
Gruppen steuern Berechtigungen.
Rollenmodell verhindert Pauschalzugriff.
MFA schützt externe Zugänge.
Zertifikate brauchen Verwaltung.
PSK stark und geheim halten.
Kritische VPNs überwachen.
VPN kann Latenz erhöhen.
TCP-over-TCP kann bremsen.
NAT-Traversal hilft durch NAT.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
Security Association beschreibt VPN-Sicherheitsparameter.
14.3
VPN-Protokolle: IPsec, IKEv2, OpenVPN, WireGuard und TLS-VPN
VPN ist ein Oberbegriff.
Dahinter können unterschiedliche Protokolle und Techniken stehen.
Die wichtigsten VPN-Protokolle und VPN-Techniken sind:
- IPsec
- IKEv2
- OpenVPN
- WireGuard
- TLS-VPN
- L2TP/IPsec
- PPTP als veraltetes Beispiel
Merksatz:
VPN beschreibt den Zweck.
Das VPN-Protokoll beschreibt die technische Umsetzung.
Warum gibt es verschiedene VPN-Protokolle?
Nicht jedes VPN-Protokoll ist für denselben Zweck ideal.
Unterschiede gibt es bei:
- Sicherheit
- Geschwindigkeit
- Einrichtung
- Firewall-Freundlichkeit
- Betriebssystemunterstützung
- Schlüsselaustausch
- Authentifizierung
- Ports und Protokollen
- Wartbarkeit
- Kompatibilität
Merksatz:
Das passende VPN-Protokoll hängt vom Einsatzfall ab.
Wichtige Auswahlkriterien
Bei der Auswahl eines VPN-Protokolls fragt man:
Soll ein Benutzer oder ein Standort verbunden werden?
Welche Betriebssysteme werden genutzt?
Wird NAT verwendet?
Gibt es Firewalls dazwischen?
Ist hohe Geschwindigkeit wichtig?
Wird MFA benötigt?
Werden Zertifikate genutzt?
Muss das VPN besonders einfach wartbar sein?
Gibt es Unternehmensvorgaben?
Gibt es Compliance-Anforderungen?
Merksatz:
VPN-Auswahl ist immer eine Kombination aus Sicherheit,
Betrieb
und Kompatibilität.
IPsec
IPsec steht für:
Internet Protocol Security
IPsec ist eine Protokollfamilie, die IP-Kommunikation absichern kann.
IPsec wird häufig verwendet für:
- Site-to-Site-VPN
- Standortvernetzung
- Cloud-VPN
- Remote-Access-VPN
- sichere Kommunikation zwischen Netzen
Merksatz:
IPsec schützt IP-Kommunikation auf Netzwerkebene.
IPsec im OSI-Modell
IPsec arbeitet besonders nah an Schicht 3.
Warum?
Es schützt IP-Pakete.
Dadurch eignet sich IPsec gut, um ganze Netze miteinander zu verbinden.
Beispiel:
Standort A 192.168.10.0/24
↔
Standort B 192.168.20.0/24
Merksatz:
IPsec passt gut zu Netz-zu-Netz-Verbindungen.
IPsec-Grundidee
IPsec kann IP-Pakete schützen durch:
- Verschlüsselung
- Integritätsschutz
- Authentifizierung
- Schutz vor Manipulation
- Schutz vor Wiederholungsangriffen
Dabei werden Sicherheitsparameter zwischen den VPN-Gegenstellen ausgehandelt.
Merksatz:
IPsec schützt nicht nur vor Mitlesen,
sondern auch vor Manipulation.
IPsec Tunnel Mode
Beim Tunnel Mode wird das ursprüngliche IP-Paket komplett eingepackt.
Dabei entsteht ein neues äußeres IP-Paket.
Typischer Einsatz:
Site-to-Site-VPN
Beispiel:
internes Paket:
192.168.10.50 → 192.168.20.60
äußeres Paket:
öffentliche IP Standort A → öffentliche IP Standort B
Merksatz:
Tunnel Mode schützt ganze IP-Pakete zwischen VPN-Gateways.
IPsec Transport Mode
Beim Transport Mode wird hauptsächlich die Nutzlast des IP-Pakets geschützt.
Die ursprünglichen IP-Adressen bleiben Teil des äußeren Pakets.
Typischer Einsatz:
Host-zu-Host-Kommunikation
In der Praxis ist für Standort-VPNs meist der Tunnel Mode wichtiger.
Merksatz:
Transport Mode schützt eher direkte Host-Kommunikation.
ESP
ESP steht für:
Encapsulating Security Payload
ESP ist ein wichtiger Bestandteil von IPsec.
ESP kann bieten:
- Verschlüsselung
- Integritätsschutz
- Authentifizierung
ESP ist für viele IPsec-VPNs zentral.
Merksatz:
ESP schützt die Daten bei IPsec.
AH
AH steht für:
Authentication Header
AH bietet Authentifizierung und Integrität, aber keine Verschlüsselung des Inhalts.
In vielen modernen IPsec-VPNs wird häufiger ESP verwendet.
Merksatz:
AH schützt Integrität,
aber verschlüsselt nicht den Inhalt.
IKE
IKE steht für:
Internet Key Exchange
IKE wird genutzt, um bei IPsec Schlüssel und Sicherheitsparameter auszuhandeln.
IKE regelt unter anderem:
- Authentifizierung der Gegenstellen
- Aushandlung von Verschlüsselung
- Aushandlung von Integritätsschutz
- Schlüsselerzeugung
- Lebensdauer von Sicherheitsbeziehungen
Merksatz:
IKE handelt aus,
wie IPsec gesichert wird.
IKEv1 und IKEv2
IKEv1 ist älter.
IKEv2 ist moderner und wird häufig bevorzugt.
IKEv2 bietet Vorteile wie:
stabilere Verbindungen
bessere Unterstützung für Mobilität
bessere Wiederverbindung
einfachere Aushandlung
gute Eignung für Remote-Access
Merksatz:
IKEv2 ist die modernere Variante von IKE.
IPsec Phase 1
Bei IPsec wird häufig von Phase 1 gesprochen.
Phase 1 bedeutet vereinfacht:
Die VPN-Gegenstellen bauen eine sichere Steuerverbindung auf.
Dabei wird geprüft:
Wer ist die Gegenstelle?
Welcher Schlüssel oder welches Zertifikat wird genutzt?
Welche Verschlüsselung wird verwendet?
Welche Integritätsprüfung wird verwendet?
Wie lange gilt die Verbindung?
Merksatz:
Phase 1 sichert die Verbindung zwischen den VPN-Gateways.
IPsec Phase 2
Phase 2 bedeutet vereinfacht:
Es wird festgelegt,
welche eigentlichen Daten oder Netze geschützt werden.
Beispiele:
192.168.10.0/24 ↔ 192.168.20.0/24
Oder:
bestimmter Host ↔ bestimmter Host
Dabei werden Sicherheitsparameter für den eigentlichen Datenverkehr ausgehandelt.
Merksatz:
Phase 2 schützt die eigentlichen Nutzdaten oder Netze.
Phase 1 und Phase 2 vergleichen
| Phase | Aufgabe |
|---|---|
| Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen aufbauen |
| Phase 2 | geschützte Netze oder Datenströme festlegen |
| Phase 1 Fehler | Tunnel kommt oft gar nicht hoch |
| Phase 2 Fehler | Tunnel steht teilweise, aber Daten fließen nicht korrekt |
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
Security Association
Security Association wird abgekürzt:
SA
Eine SA beschreibt ausgehandelte Sicherheitsparameter.
Dazu gehören zum Beispiel:
- Verschlüsselungsverfahren
- Integritätsverfahren
- Schlüssel
- Lebensdauer
- Gegenstellen
- geschützte Netze
- Richtung der Verbindung
Merksatz:
SA beschreibt,
wie VPN-Verkehr geschützt wird.
PSK
Ein PSK ist ein vorher gemeinsam vereinbarter geheimer Schlüssel.
Er wird häufig bei Site-to-Site-VPNs verwendet.
Risiken:
PSK ist zu kurz.
PSK wird mehrfach verwendet.
PSK wird unsicher gespeichert.
PSK wird selten gewechselt.
PSK ist zu vielen Personen bekannt.
Merksatz:
PSK muss stark,
geheim
und kontrolliert verwaltet werden.
Zertifikate bei IPsec
Statt PSK können VPNs Zertifikate verwenden.
Vorteile:
bessere Skalierbarkeit
bessere Identitätsprüfung
einzelne Zertifikate können widerrufen werden
keine gemeinsamen Geheimnisse für alle Verbindungen
gut für größere Umgebungen
Wichtig:
Zertifikate brauchen eine saubere PKI und Verwaltung.
Merksatz:
Zertifikate sind oft besser skalierbar als gemeinsame PSKs.
NAT-Traversal bei IPsec
IPsec kann Probleme mit NAT haben.
Grund:
NAT verändert IP-Adressen und manchmal Ports.
NAT-Traversal hilft, IPsec durch NAT-Geräte zu transportieren.
Typischer Begriff:
NAT-T
NAT-T kapselt IPsec-Verkehr so, dass er besser durch NAT-Umgebungen kommt.
Merksatz:
NAT-Traversal hilft IPsec durch NAT.
Typische Ports und Protokolle bei IPsec
Typisch relevant sind:
| Zweck | Port / Protokoll |
|---|---|
| IKE | UDP 500 |
| NAT-Traversal | UDP 4500 |
| ESP | IP-Protokoll 50 |
| AH | IP-Protokoll 51 |
Wichtig:
ESP und AH sind keine TCP- oder UDP-Ports,
sondern eigene IP-Protokolle.
Merksatz:
IPsec ist nicht nur ein einzelner TCP-Port.
OpenVPN
OpenVPN ist eine verbreitete VPN-Lösung.
Eigenschaften:
- nutzt TLS
- kann mit Zertifikaten arbeiten
- kann UDP oder TCP verwenden
- flexibel konfigurierbar
- geeignet für Remote-Access und Site-to-Site
- benötigt meist Clientsoftware
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
OpenVPN über UDP
OpenVPN wird häufig über UDP betrieben.
Vorteile:
gute Performance
weniger TCP-over-TCP-Probleme
geeignet für VPN-Verkehr
oft stabil bei Paketverlust
Merksatz:
OpenVPN über UDP ist häufig performanter.
OpenVPN über TCP
OpenVPN kann auch über TCP betrieben werden.
Vorteile:
kann in manchen Netzen leichter durch Firewalls
TCP 443 wirkt ähnlich wie HTTPS-Verkehr
manchmal nützlich in restriktiven Netzwerken
Nachteile:
TCP-over-TCP kann Performanceprobleme verursachen
Merksatz:
OpenVPN über TCP kann firewallfreundlich,
aber langsamer sein.
TCP-over-TCP-Problem
Wenn ein VPN über TCP läuft und darin TCP-Verkehr transportiert wird, entstehen zwei TCP-Steuerungen übereinander.
Beide versuchen:
Paketverlust zu erkennen
erneut zu senden
Stau zu kontrollieren
Das kann bei Paketverlust zu schlechter Leistung führen.
Merksatz:
TCP im TCP-Tunnel kann bremsen.
WireGuard
WireGuard ist ein modernes VPN-Protokoll.
Eigenschaften:
- schlank
- schnell
- vergleichsweise einfache Konfiguration
- moderne Kryptografie
- arbeitet typischerweise über UDP
- gut für Remote-Access und Site-to-Site
- Schlüssel stehen im Mittelpunkt
Merksatz:
WireGuard ist ein schlankes,
modernes VPN-Protokoll über UDP.
WireGuard-Grundidee
WireGuard arbeitet mit öffentlichen und privaten Schlüsseln.
Jeder Peer besitzt:
privaten Schlüssel
öffentlichen Schlüssel
Die Gegenstelle kennt den öffentlichen Schlüssel.
Zusätzlich werden Allowed IPs definiert.
Allowed IPs bestimmen, welche IP-Adressen über den jeweiligen Peer geroutet werden.
Merksatz:
WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
WireGuard Peer
Ein Peer ist eine VPN-Gegenstelle.
Beispiele:
Notebook eines Benutzers
Server
Firewall
Router
Standort-Gateway
Jeder Peer braucht passende Schlüssel und passende Routing-Angaben.
Merksatz:
Peer = WireGuard-Gegenstelle.
Allowed IPs bei WireGuard
Allowed IPs haben bei WireGuard zwei wichtige Bedeutungen:
Welche Zielnetze gehen über diesen Peer?
Welche Quell-IP-Adressen werden von diesem Peer akzeptiert?
Beispiel:
AllowedIPs = 10.8.0.2/32
für einen einzelnen Client.
Oder:
AllowedIPs = 192.168.20.0/24
für ein Standortnetz.
Merksatz:
Allowed IPs sind bei WireGuard Routing und Zugriffskontrolle zugleich.
TLS-VPN
TLS-VPN nutzt TLS als Grundlage für den sicheren Tunnel.
Es wird oft auch SSL-VPN genannt, obwohl TLS fachlich der modernere Begriff ist.
Einsatz:
Remote-Access
Webportale
Clientbasierter Zugriff
Zugriff über TCP 443
manchmal browserbasierter Zugriff
Merksatz:
SSL-VPN meint in der Praxis meistens TLS-VPN.
TLS-VPN und HTTPS
TLS-VPN kann firewallfreundlich sein, weil es häufig über TCP 443 läuft.
Das ist derselbe Port, der auch für HTTPS genutzt wird.
Vorteil:
funktioniert oft in restriktiven Netzen besser
Nachteil:
Port 443 allein sagt nicht,
ob es normaler Webverkehr oder VPN ist.
Merksatz:
TLS-VPN nutzt häufig Mechanismen ähnlich wie HTTPS.
Clientless VPN
Clientless VPN bedeutet:
Benutzer greift über Browser auf ein Portal zu,
ohne klassischen vollständigen VPN-Client.
Beispiel:
Webportal stellt interne Webanwendung bereit.
Vorteile:
einfacher Zugriff
weniger Clientinstallation
gut für einzelne Webanwendungen
Nachteile:
nicht für alle Protokolle geeignet
weniger flexibel als vollständiger Tunnel
Merksatz:
Clientless VPN ist eher Portalzugriff als kompletter Netzwerktunnel.
L2TP/IPsec
L2TP steht für:
Layer 2 Tunneling Protocol
L2TP selbst bietet keine ausreichende Verschlüsselung.
Deshalb wird es häufig mit IPsec kombiniert.
Einsatz:
ältere oder kompatible VPN-Setups
bestimmte Betriebssystem-Clients
Remote-Access
Merksatz:
L2TP braucht IPsec,
wenn es sicher sein soll.
PPTP
PPTP steht für:
Point-to-Point Tunneling Protocol
PPTP ist veraltet und gilt nicht mehr als sicher.
Es sollte in modernen Umgebungen nicht mehr verwendet werden.
Merksatz:
PPTP kennen,
aber nicht mehr einsetzen.
VPN-Protokolle vergleichen
| Protokoll | Typischer Einsatz | Kurzbewertung |
|---|---|---|
| IPsec / IKEv2 | Site-to-Site, Remote-Access | etabliert, stark, komplexer |
| OpenVPN | Remote-Access, Site-to-Site | flexibel, weit verbreitet |
| WireGuard | Remote-Access, Site-to-Site | modern, schnell, schlank |
| TLS-VPN | Remote-Access | oft firewallfreundlich |
| L2TP/IPsec | ältere Setups | kompatibel, aber weniger modern |
| PPTP | veraltet | nicht mehr sicher |
Merksatz:
Moderne VPNs bevorzugen IPsec/IKEv2,
OpenVPN,
WireGuard
oder TLS-VPN.
VPN und Ports vergleichen
| Technik | typische Ports / Protokolle |
|---|---|
| IPsec IKE | UDP 500 |
| IPsec NAT-T | UDP 4500 |
| IPsec ESP | IP-Protokoll 50 |
| OpenVPN | oft UDP 1194 oder TCP/UDP konfigurierbar |
| WireGuard | oft UDP 51820 |
| TLS-VPN | häufig TCP 443 |
| L2TP | UDP 1701 plus IPsec |
| PPTP | TCP 1723 plus GRE |
Wichtig:
Ports können je nach Konfiguration abweichen.
Merksatz:
VPN-Fehlersuche braucht Wissen über verwendete Ports und Protokolle.
VPN und Verschlüsselung
VPN-Protokolle nutzen kryptografische Verfahren für:
Vertraulichkeit
Integrität
Authentizität
Schlüsselaustausch
Wichtig:
Nicht nur das VPN-Protokoll zählt,
sondern auch die konkrete Konfiguration.
Beispiele:
alte Algorithmen vermeiden
schwache Schlüssel vermeiden
unsichere Protokolle abschalten
Zertifikate korrekt prüfen
aktuelle Software nutzen
Merksatz:
Sicheres VPN braucht sicheres Protokoll und sichere Konfiguration.
VPN und Perfect Forward Secrecy
Perfect Forward Secrecy wird oft abgekürzt:
PFS
PFS bedeutet vereinfacht:
Selbst wenn ein langfristiger Schlüssel später kompromittiert wird,
sollen alte Sitzungen nicht einfach nachträglich entschlüsselt werden können.
PFS wird durch geeignete Schlüsselaustauschverfahren erreicht.
Merksatz:
PFS schützt alte Sitzungen besser bei späterem Schlüsselverlust.
VPN und Schlüssel-Lebensdauer
Viele VPNs arbeiten mit Schlüssel- oder SA-Lebensdauern.
Nach Ablauf werden Schlüssel neu ausgehandelt.
Zweck:
Sicherheitsverbesserung
Begrenzung der Datenmenge pro Schlüssel
regelmäßige Erneuerung der Sicherheitsparameter
Typischer Fehler:
Gegenstellen haben stark unterschiedliche Lebensdauern
oder inkompatible Einstellungen.
Merksatz:
VPN-Gegenstellen müssen bei Sicherheitsparametern zusammenpassen.
VPN und Kompatibilität
VPN-Probleme entstehen oft, wenn Gegenstellen unterschiedliche Einstellungen erwarten.
Beispiele:
Verschlüsselungsalgorithmus passt nicht.
Hashverfahren passt nicht.
DH-Gruppe passt nicht.
PSK stimmt nicht.
Zertifikat wird nicht vertraut.
Phase-2-Netze passen nicht.
Lebensdauer passt nicht.
NAT-T ist unterschiedlich eingestellt.
Merksatz:
VPN-Gegenstellen müssen dieselbe Sprache sprechen.
Typische IPsec-Fehler
Häufige Fehler:
- falscher Pre-Shared Key
- falsche Peer-Adresse
- Phase 1 passt nicht
- Phase 2 passt nicht
- falsche Netze definiert
- Routing fehlt
- Firewall blockiert UDP 500 oder UDP 4500
- ESP wird blockiert
- NAT-T fehlt
- Zertifikat ungültig
- Uhrzeit falsch
Merksatz:
IPsec-Fehler liegen oft an Parametern,
Routing
oder Firewall.
Typische OpenVPN-Fehler
Häufige Fehler:
- falsche Serveradresse
- falscher Port
- UDP blockiert
- Zertifikat ungültig
- Clientprofil falsch
- Benutzer nicht berechtigt
- Route fehlt
- DNS fehlt
- TLS-Handshake schlägt fehl
- MTU-Problem
Merksatz:
OpenVPN-Fehler mit Profil,
Zertifikat,
Port,
Route
und DNS prüfen.
Typische WireGuard-Fehler
Häufige Fehler:
- falscher öffentlicher Schlüssel
- falscher privater Schlüssel
- Allowed IPs falsch
- Endpoint falsch
- UDP-Port blockiert
- Route fehlt
- NAT oder Firewall blockiert
- kein Persistent Keepalive bei NAT-Szenario
- IP-Adresskonflikt
- Gegenstelle antwortet nicht
Merksatz:
WireGuard-Fehler liegen oft an Schlüsseln,
Allowed IPs,
Endpoint
oder Routing.
Persistent Keepalive bei WireGuard
Persistent Keepalive kann helfen, wenn ein WireGuard-Peer hinter NAT sitzt.
Grund:
NAT-Zuordnungen können nach einiger Zeit ablaufen.
Mit Keepalive sendet der Peer regelmäßig kleine Pakete, damit die NAT-Zuordnung bestehen bleibt.
Merksatz:
Persistent Keepalive hilft WireGuard hinter NAT.
Typische TLS-VPN-Fehler
Häufige Fehler:
- Portal nicht erreichbar
- Zertifikat ungültig
- MFA schlägt fehl
- Benutzer nicht berechtigt
- Clientplugin oder Clientsoftware fehlt
- Richtlinie erlaubt Ziel nicht
- DNS über VPN fehlt
- Session läuft ab
- Browser blockiert Inhalt
Merksatz:
TLS-VPN-Fehler betreffen oft Portal,
Zertifikat,
MFA
oder Richtlinie.
VPN-Protokoll und Firewall
Für VPN-Verbindungen müssen Firewalls den passenden Verkehr erlauben.
Zu prüfen:
Welcher Port?
TCP oder UDP?
Eigenes IP-Protokoll?
NAT beteiligt?
Verbindung von innen nach außen oder von außen nach innen?
Rückverkehr erlaubt?
Provider blockiert etwas?
Merksatz:
VPN funktioniert nur,
wenn Firewall und Protokoll zusammenpassen.
VPN-Protokoll und NAT
Manche VPN-Protokolle kommen besser mit NAT zurecht als andere.
Wichtige Punkte:
NAT verändert Adressen.
Manche Protokolle verwenden eigene IP-Protokolle.
UDP-basierte Protokolle brauchen NAT-Zuordnung.
NAT-Traversal kann nötig sein.
CGNAT kann eingehende Verbindungen verhindern.
Merksatz:
NAT ist bei VPN oft ein wichtiger Fehlerfaktor.
VPN-Protokoll und Betriebssysteme
Nicht jedes Betriebssystem unterstützt jedes VPN gleich gut.
Zu prüfen:
nativer Client vorhanden?
Zusatzsoftware nötig?
MDM-Unterstützung?
Zertifikatsverwaltung möglich?
MFA integrierbar?
Always-On möglich?
Per-App-VPN möglich?
Benutzerfreundlichkeit?
Merksatz:
VPN-Protokoll muss auch zu den Endgeräten passen.
VPN-Protokoll und Sicherheitspolitik
Ein Unternehmen sollte festlegen:
Welche VPN-Protokolle sind erlaubt?
Welche sind verboten?
Welche Algorithmen sind erlaubt?
Wie werden Schlüssel verwaltet?
Ist MFA Pflicht?
Wie werden Zertifikate erneuert?
Wie werden Logs gespeichert?
Wer darf VPN nutzen?
Welche Zugriffe sind erlaubt?
Merksatz:
VPN-Sicherheit braucht technische und organisatorische Vorgaben.
Veraltete VPN-Verfahren vermeiden
Veraltete oder schwache Verfahren sollten nicht mehr genutzt werden.
Beispiele:
PPTP vermeiden
schwache PSKs vermeiden
alte TLS-Versionen vermeiden
unsichere Algorithmen vermeiden
unsichere Hashverfahren vermeiden
gemeinsame Konten vermeiden
fehlende MFA vermeiden
Merksatz:
Veraltete VPN-Verfahren sind ein Sicherheitsrisiko.
VPN-Protokolle in der Fehlersuche
Bei VPN-Problemen zuerst klären:
Welches VPN-Protokoll wird genutzt?
Welcher Port wird genutzt?
TCP oder UDP?
Welche Gegenstellen?
Remote-Access oder Site-to-Site?
PSK oder Zertifikat?
Welche Netze sollen durch den Tunnel?
Welche Logs gibt es?
Merksatz:
Ohne Protokollwissen ist VPN-Fehlersuche ungenau.
Checkliste: VPN-Protokoll prüfen
1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Ports und Protokolle prüfen.
4. Firewall-Freigaben prüfen.
5. NAT oder CGNAT prüfen.
6. Authentifizierung prüfen.
7. Schlüssel oder Zertifikate prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Logs prüfen.
11. Sicherheitsparameter vergleichen.
12. Gegenstelle prüfen.
Merksatz:
VPN-Protokoll,
Ports,
Schlüssel,
Routen
und Logs gemeinsam prüfen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist IPsec?
- Was ist IKE?
- Wofür wird IKEv2 genutzt?
- Was ist der Unterschied zwischen IPsec Tunnel Mode und Transport Mode?
- Was ist ESP?
- Was ist AH?
- Was bedeutet Phase 1 bei IPsec?
- Was bedeutet Phase 2 bei IPsec?
- Was ist eine Security Association?
- Was ist ein Pre-Shared Key?
- Warum ist NAT-Traversal bei IPsec wichtig?
- Was ist OpenVPN?
- Was ist WireGuard?
- Was bedeutet Allowed IPs bei WireGuard?
- Was ist TLS-VPN?
- Warum ist PPTP veraltet?
- Warum kann TCP-over-TCP problematisch sein?
Typische Prüfungsfallen
VPN ist Oberbegriff,
nicht ein einzelnes Protokoll.
IPsec arbeitet nah an Schicht 3.
IKE handelt Schlüssel aus.
IKEv2 ist moderner als IKEv1.
ESP schützt Daten bei IPsec.
AH verschlüsselt nicht.
Tunnel Mode ist wichtig für Site-to-Site.
Transport Mode eher für Host-to-Host.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
SA beschreibt Sicherheitsparameter.
PSK muss stark und geheim sein.
UDP 500 und UDP 4500 bei IPsec kennen.
ESP ist kein TCP- oder UDP-Port.
OpenVPN kann UDP oder TCP nutzen.
OpenVPN über UDP ist oft performanter.
TCP-over-TCP kann bremsen.
WireGuard nutzt Peers und Schlüssel.
Allowed IPs bei WireGuard sind wichtig.
TLS-VPN wird oft SSL-VPN genannt.
L2TP braucht IPsec für Sicherheit.
PPTP ist veraltet und unsicher.
VPN-Sicherheit hängt auch von Konfiguration ab.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| VPN-Protokoll | technische Umsetzung eines VPN |
| IPsec | Absicherung von IP-Kommunikation |
| IKE | Schlüsselaushandlung für IPsec |
| IKEv2 | moderne IKE-Version |
| Tunnel Mode | gesamtes IP-Paket wird geschützt eingepackt |
| Transport Mode | Nutzlast wird geschützt |
| ESP | IPsec-Bestandteil für Verschlüsselung und Integrität |
| AH | IPsec-Bestandteil für Authentizität und Integrität ohne Verschlüsselung |
| Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen |
| Phase 2 | Schutz der eigentlichen Netze oder Datenströme |
| SA | Security Association |
| PSK | Pre-Shared Key |
| NAT-T | NAT-Traversal |
| OpenVPN | flexible TLS-basierte VPN-Lösung |
| WireGuard | modernes schlankes VPN-Protokoll |
| Peer | VPN-Gegenstelle bei WireGuard |
| Allowed IPs | Routing- und Zuordnungsangabe bei WireGuard |
| TLS-VPN | VPN auf Basis von TLS |
| SSL-VPN | ältere Bezeichnung für TLS-VPN |
| Clientless VPN | browserbasierter Portalzugriff |
| L2TP/IPsec | L2TP kombiniert mit IPsec |
| PPTP | veraltetes VPN-Protokoll |
| TCP-over-TCP | TCP-Verkehr in TCP-Tunnel |
| Persistent Keepalive | Keepalive für WireGuard hinter NAT |
IHK-sichere Kurzformulierung
VPN ist ein Oberbegriff für verschlüsselte Tunnelverbindungen. Technisch können verschiedene Protokolle eingesetzt werden, zum Beispiel IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. IPsec arbeitet nah an der IP-Schicht und wird häufig für Site-to-Site-VPNs genutzt. IKE handelt dabei Schlüssel und Sicherheitsparameter aus. Bei IPsec beschreibt Phase 1 den Aufbau einer sicheren Verbindung zwischen den VPN-Gegenstellen, während Phase 2 die geschützten Netze oder Datenströme festlegt. OpenVPN ist TLS-basiert und kann über UDP oder TCP betrieben werden. WireGuard arbeitet mit Peers, öffentlichen und privaten Schlüsseln sowie Allowed IPs. TLS-VPN nutzt TLS und wird häufig für Remote-Access eingesetzt. Veraltete Verfahren wie PPTP sollten nicht mehr verwendet werden.
Merksätze
VPN ist ein Oberbegriff.
VPN-Protokoll ist die technische Umsetzung.
IPsec schützt IP-Kommunikation.
IPsec arbeitet nah an Schicht 3.
Tunnel Mode schützt ganze IP-Pakete.
Transport Mode schützt eher Host-Kommunikation.
ESP schützt Daten.
AH verschlüsselt nicht.
IKE handelt Schlüssel aus.
IKEv2 ist moderner als IKEv1.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
SA beschreibt Sicherheitsparameter.
PSK muss stark und geheim sein.
Zertifikate sind gut für größere Umgebungen.
NAT-T hilft IPsec durch NAT.
UDP 500 gehört zu IKE.
UDP 4500 gehört zu NAT-T.
ESP ist IP-Protokoll 50.
OpenVPN ist TLS-basiert.
OpenVPN über UDP ist oft performanter.
OpenVPN über TCP kann firewallfreundlich sein.
TCP-over-TCP kann bremsen.
WireGuard ist schlank und modern.
WireGuard arbeitet mit Peers.
Allowed IPs sind bei WireGuard sehr wichtig.
Persistent Keepalive hilft hinter NAT.
TLS-VPN nutzt TLS.
SSL-VPN meint meist TLS-VPN.
Clientless VPN ist Portalzugriff.
L2TP braucht IPsec für Sicherheit.
PPTP ist veraltet.
Sicheres VPN braucht sichere Konfiguration.
VPN-Fehler immer mit Protokoll,
Ports,
Schlüsseln,
Routen
und Logs prüfen.
14.4
VPN-Routing, DNS und Firewall-Regeln
Ein VPN-Tunnel allein reicht nicht aus, damit interne Dienste erreichbar sind.
Zusätzlich müssen passen:
- IP-Adressbereiche
- Routing
- DNS
- Firewall-Regeln
- NAT-Regeln
- Berechtigungen
- Rückwege
- Client-Konfiguration
Merksatz:
VPN verbunden heißt nicht automatisch:
Ziel erreichbar.
Warum Routing bei VPN wichtig ist
Routing entscheidet, über welchen Weg ein Paket geschickt wird.
Wenn ein Client per VPN verbunden ist, muss sein System wissen:
Welche Ziele liegen im VPN?
Welche Ziele liegen im lokalen Netz?
Welche Ziele gehen direkt ins Internet?
Fehlt eine passende Route, geht der Verkehr nicht durch den VPN-Tunnel.
Merksatz:
Ohne Route kein Weg durch den Tunnel.
VPN-Routing einfach erklärt
Beispiel:
VPN-Client:
10.8.0.20
Firmennetz:
192.168.10.0/24
Damit der Client das Firmennetz erreicht, braucht er eine Route:
Zielnetz 192.168.10.0/24
über VPN-Tunnel
Wenn diese Route fehlt, sendet der Client die Pakete eventuell an sein lokales Gateway.
Merksatz:
Der Client muss wissen,
welche Netze über VPN erreichbar sind.
Routingtabelle
Eine Routingtabelle enthält Wege zu Netzwerken.
Sie beantwortet:
Wohin schicke ich Pakete für dieses Zielnetz?
Typische Einträge:
Standardroute
lokale Netzroute
VPN-Route
Hostroute
spezifische Netzroute
Merksatz:
Routingtabelle = Wegweiser für IP-Pakete.
Standardroute
Die Standardroute wird genutzt, wenn keine spezifischere Route passt.
Sie zeigt meist zum lokalen Internetrouter.
Beispiel:
0.0.0.0/0
über lokales Gateway
Bei Full Tunnel kann die Standardroute über VPN gesetzt werden.
Merksatz:
Standardroute ist der Weg für alles,
was nicht genauer bekannt ist.
Spezifischere Route gewinnt
Routing arbeitet nach dem Prinzip:
die genaueste passende Route gewinnt.
Beispiel:
0.0.0.0/0
über lokales Gateway
192.168.10.0/24
über VPN
Wenn Ziel 192.168.10.50 ist, gewinnt die spezifische VPN-Route.
Merksatz:
Genauere Route gewinnt vor allgemeiner Route.
Split Tunnel
Split Tunnel bedeutet:
Nur bestimmte Netze gehen durch VPN.
Beispiel:
Firmennetze:
durch VPN
normales Internet:
direkt lokal
Vorteile:
weniger Last auf VPN
weniger Bandbreitenbedarf in der Firma
oft bessere Performance für normale Internetdienste
Nachteile:
weniger zentrale Kontrolle
Sicherheitsrichtlinien schwieriger einheitlich durchsetzbar
Merksatz:
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel
Full Tunnel bedeutet:
Der gesamte Verkehr läuft durch VPN.
Auch Internetverkehr geht zuerst zum Unternehmen.
Vorteile:
zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
bessere Protokollierung
Nachteile:
mehr Last
höhere Latenz
mehr Bandbreite nötig
VPN-Gateway wird kritischer
Merksatz:
Full Tunnel leitet alles durch VPN.
Split Tunnel und Full Tunnel vergleichen
| Merkmal | Split Tunnel | Full Tunnel |
|---|---|---|
| Firmennetze | über VPN | über VPN |
| Internetverkehr | direkt lokal | über VPN |
| Last auf VPN | geringer | höher |
| zentrale Kontrolle | geringer | höher |
| Performance | oft besser | abhängig vom VPN |
| Sicherheitspolitik | schwieriger | zentraler |
Merksatz:
Split Tunnel spart Last.
Full Tunnel gibt mehr Kontrolle.
VPN-Adresspool
Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse bekommen.
Beispiel:
10.8.0.0/24
Ein Client erhält dann zum Beispiel:
10.8.0.20
Diese Adresse wird in Firewall-Regeln, Routing und Logs verwendet.
Merksatz:
VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
VPN-Adresspool darf sich nicht überschneiden
Der VPN-Adresspool darf sich nicht mit anderen Netzen überschneiden.
Problematisch:
VPN-Pool:
192.168.1.0/24
Heimnetz des Benutzers:
192.168.1.0/24
Dann ist unklar, ob 192.168.1.50 lokal oder über VPN erreichbar ist.
Merksatz:
Überlappende Netze verursachen VPN-Routingprobleme.
Adresskonflikt mit Heimnetz
Ein sehr häufiger VPN-Fehler:
Firmennetz:
192.168.1.0/24
Heimnetz:
192.168.1.0/24
Der Client denkt dann oft:
192.168.1.x ist lokal
und sendet Pakete nicht durch den VPN-Tunnel.
Folge:
interne Systeme sind nicht erreichbar.
Merksatz:
Häufige Heimnetzbereiche im Firmennetz vermeiden.
Typische problematische Heimnetzbereiche
Viele Heimrouter nutzen Standardnetze wie:
192.168.0.0/24
192.168.1.0/24
192.168.2.0/24
192.168.178.0/24
Wenn Unternehmen dieselben Netze intern nutzen, kann VPN-Zugriff aus dem Homeoffice Probleme machen.
Merksatz:
Für Firmennetze möglichst eindeutige,
weniger typische Adressbereiche planen.
Route fehlt
Fehlt eine VPN-Route, kann der Tunnel verbunden sein, aber interne Netze sind trotzdem nicht erreichbar.
Typisches Fehlerbild:
VPN zeigt verbunden.
Internet geht.
interne IPs gehen nicht.
interne Namen gehen nicht.
nur VPN-Gateway erreichbar.
Mögliche Ursache:
Route zu internem Netz wurde nicht verteilt.
Merksatz:
VPN-Status grün heißt nicht:
Routen stimmen.
Route zum Zielnetz fehlt
Beispiel:
Ziel:
10.20.30.50
Benötigte Route:
10.20.30.0/24
über VPN
Wenn nur 192.168.10.0/24 über VPN geroutet wird, ist 10.20.30.50 nicht erreichbar.
Merksatz:
Jedes gewünschte Zielnetz braucht eine passende Route.
Rückroute fehlt
Nicht nur der Client braucht eine Route zum Ziel.
Auch das Zielnetz muss wissen, wie es zum VPN-Client zurückkommt.
Beispiel:
VPN-Client:
10.8.0.20
Server:
192.168.10.50
Der Server oder sein Gateway braucht einen Rückweg zu:
10.8.0.0/24
Merksatz:
VPN braucht Hinweg und Rückweg.
Asymmetrisches Routing bei VPN
Asymmetrisches Routing bedeutet:
Hinweg und Rückweg laufen über unterschiedliche Wege.
Bei Firewalls kann das problematisch sein, weil Stateful Firewalls den Verbindungszustand verfolgen.
Wenn die Antwort einen anderen Weg nimmt, kann sie blockiert werden.
Merksatz:
Stateful Firewalls brauchen passenden Hin- und Rückweg.
VPN und NAT
Manchmal wird NAT auch bei VPN genutzt.
Beispiele:
überlappende Netze müssen übersetzt werden
VPN-Clients sollen mit bestimmter Quell-IP erscheinen
Partnernetz darf interne echte Adressen nicht sehen
Cloud-Netz erwartet bestimmte Adressbereiche
Aber:
NAT macht Fehlersuche komplizierter.
Merksatz:
NAT im VPN kann helfen,
aber erschwert Analyse und Dokumentation.
NAT bei überlappenden Netzen
Wenn zwei Seiten dasselbe Netz verwenden, kann NAT eine technische Umgehung sein.
Beispiel:
Standort A:
192.168.1.0/24
Standort B:
192.168.1.0/24
Eine Seite wird für den Tunnel in ein anderes Netz übersetzt.
Aber:
Das ist meist komplizierter als saubere IP-Planung.
Merksatz:
NAT kann Adresskonflikte umgehen,
ersetzt aber keine gute Netzplanung.
VPN-DNS
VPN-DNS sorgt dafür, dass interne Namen korrekt aufgelöst werden.
Beispiele:
intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
Dafür erhält der VPN-Client meist:
interne DNS-Server
DNS-Suffix
Suchdomäne
Split-DNS-Regeln
Merksatz:
VPN braucht oft interne DNS-Konfiguration.
DNS-Server über VPN
Der VPN-Client kann interne DNS-Server zugewiesen bekommen.
Beispiel:
DNS-Server:
192.168.10.10
Damit kann er interne Namen auflösen.
Wenn der interne DNS-Server nicht erreichbar ist, funktioniert Namensauflösung trotz VPN nicht.
Merksatz:
Interner DNS muss über VPN erreichbar und erlaubt sein.
DNS-Suffix
Ein DNS-Suffix ergänzt kurze Namen.
Beispiel:
Benutzer gibt ein:
fileserver
Mit DNS-Suffix wird daraus:
fileserver.firma.local
Fehlt das DNS-Suffix, funktionieren kurze interne Namen eventuell nicht.
Merksatz:
DNS-Suffix hilft bei kurzen internen Namen.
Split DNS
Split DNS bedeutet:
interne Namen werden über interne DNS-Server aufgelöst
externe Namen werden normal oder öffentlich aufgelöst
Beispiel:
firma.local
über VPN-DNS
öffentliche Webseiten
über normalen DNS
Merksatz:
Split DNS trennt interne und externe Namensauflösung.
Fehlerbild: Interne Namen gehen nicht
Mögliche Ursachen:
- interner DNS wird nicht verteilt
- DNS-Suffix fehlt
- DNS-Anfragen gehen nicht durch VPN
- DNS-Server über VPN nicht erreichbar
- Firewall blockiert UDP/TCP 53
- Split DNS falsch
- falscher DNS-Server antwortet
- lokale DNS-Cache-Einträge sind alt
Merksatz:
VPN-Namensprobleme sind oft DNS- oder Split-DNS-Probleme.
Fehlerbild: IP geht, Name nicht
Wenn interne IP-Adresse funktioniert, aber interner Name nicht, liegt der Fehler meist bei DNS.
Beispiel:
192.168.10.50 funktioniert.
fileserver.firma.local funktioniert nicht.
Prüfen:
DNS-Server
DNS-Suffix
DNS-Record
Firewall für DNS
Split DNS
Cache
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
VPN und Firewall-Regeln
Ein VPN-Tunnel bedeutet nicht automatisch, dass alle Ziele erlaubt sind.
Die Firewall muss regeln:
Welche VPN-Gruppe darf wohin?
Welche Ports sind erlaubt?
Welche Protokolle sind erlaubt?
Welche Richtung gilt?
Welche Zone ist beteiligt?
Wird der Zugriff protokolliert?
Merksatz:
VPN braucht gezielte Firewall-Regeln.
VPN-Zone
VPN-Verkehr sollte in eigene Firewall-Zonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
VPN-Partner
Site-to-Site-Partner
Cloud-VPN
Vorteil:
Regeln können gezielt und übersichtlich erstellt werden.
Merksatz:
VPN-Zonen verhindern pauschale Vermischung mit LAN.
Regelprinzip für VPN
Nicht gut:
VPN → LAN any allow
Besser:
VPN-Mitarbeiter → Intranet HTTPS erlauben
VPN-Support → bestimmte Clients RDP erlauben
VPN-Admin → Managementnetz SSH/RDP erlauben
VPN-Dienstleister → Wartungsserver erlauben
Merksatz:
VPN-Zugriff nach Rolle,
Ziel
und Dienst begrenzen.
VPN und Least Privilege
Least Privilege bedeutet:
nur notwendige Rechte und Zugriffe erlauben.
Bei VPN heißt das:
nicht alle Netze
nicht alle Ports
nicht alle Benutzer
nicht dauerhaft
nicht ohne Protokollierung
Merksatz:
VPN-Zugang so eng wie möglich freigeben.
VPN und Gruppen
VPN-Zugriffe werden oft über Gruppen gesteuert.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admins
VPN-Externe
VPN-Cloud-Admins
Gruppen steuern:
Routen
Firewall-Regeln
DNS
Zugriff auf Anwendungen
MFA-Anforderungen
Merksatz:
Gruppen machen VPN-Zugriff verwaltbar.
VPN und Benutzerrechte
VPN-Zugang allein gibt noch keine Anwendungsrechte.
Beispiel:
Benutzer erreicht Dateiserver per VPN.
Trotzdem braucht er:
gültige Anmeldung
Freigaberecht
Dateisystemrecht
Gruppenmitgliedschaft
Merksatz:
Netzwerkzugang ist nicht dasselbe wie Anwendungsberechtigung.
VPN und Host-Firewall
Auch wenn die zentrale Firewall Zugriff erlaubt, kann die lokale Firewall des Zielsystems blockieren.
Beispiele:
Windows Defender Firewall blockiert RDP.
Linux-Firewall blockiert SSH.
Server erlaubt nur internes LAN,
aber nicht VPN-Pool.
Merksatz:
Zielsystem-Firewall muss VPN-Quellen ebenfalls erlauben.
VPN und Serverdienste
Der Zielserver muss auf dem richtigen Port lauschen.
Prüfen:
Dienst läuft?
Dienst lauscht auf richtiger IP?
Dienst lauscht auf richtigem Port?
Dienst erlaubt VPN-Quellen?
Anwendung erlaubt Benutzer?
Logs zeigen Fehler?
Merksatz:
VPN erreicht nur Dienste,
die auch wirklich laufen und erreichbar sind.
VPN und Rückweg über Gateway
Ein Server antwortet meist über sein Standardgateway.
Wenn das Gateway keine Route zum VPN-Adresspool kennt, geht die Antwort falsch.
Beispiel:
Server will zu 10.8.0.20 antworten.
Gateway kennt 10.8.0.0/24 nicht.
Folge:
Antwort kommt nicht zurück.
Merksatz:
Zielnetz muss den VPN-Pool zurückrouten können.
VPN und interne Firewalls
In größeren Netzen gibt es oft mehrere Firewalls.
Beispiel:
VPN-Gateway
→ Core-Firewall
→ Servernetz-Firewall
→ Host-Firewall
Jede dieser Stellen kann blockieren.
Merksatz:
Bei VPN-Zugriff alle Filterstellen auf dem Weg prüfen.
VPN und VLANs
VPN-Benutzer können Zugriff auf bestimmte VLANs erhalten.
Beispiele:
Client-VLAN
Server-VLAN
Management-VLAN
DMZ-VLAN
Wichtig:
VPN-Zugriff auf Management-VLAN besonders stark begrenzen.
Merksatz:
VLAN-Zugriff über VPN bewusst steuern.
VPN und DMZ
VPN-Gateways können in einer DMZ stehen.
Warum?
Sie sind von außen erreichbar
und sollten vom internen LAN getrennt sein.
Nach erfolgreichem VPN-Aufbau dürfen Benutzer nur über definierte Regeln weiter ins interne Netz.
Merksatz:
VPN-Gateway in DMZ,
Zugriff ins LAN nur geregelt.
VPN und Extranet
Bei Extranet-Zugängen gilt besonders:
externe Benutzer nur auf benötigte Systeme
keine pauschale LAN-Freigabe
eigene Benutzerkonten
MFA
Ablaufdatum
Protokollierung
regelmäßige Prüfung
Merksatz:
Extranet-VPN braucht besonders enge Regeln.
VPN und Cloud-Netze
Bei Cloud-VPN müssen beide Seiten passen.
Lokale Seite:
Routen
Firewall
NAT
DNS
Cloud-Seite:
Routing Table
Security Group
Network Security Group
Cloud Firewall
Subnetze
DNS
Merksatz:
Cloud-VPN braucht Regeln und Routen auf beiden Seiten.
VPN und IPv6
VPN kann IPv4, IPv6 oder beides transportieren.
Wichtig:
Wenn IPv6 aktiv ist,
müssen auch IPv6-Routen und IPv6-Firewall-Regeln stimmen.
Problem:
IPv4 funktioniert über VPN,
aber IPv6 nimmt anderen Weg.
Merksatz:
Dual Stack bedeutet:
IPv4 und IPv6 prüfen.
VPN-Leak
Ein VPN-Leak bedeutet:
Verkehr geht unerwartet außerhalb des VPN-Tunnels.
Beispiele:
DNS-Leak:
DNS-Anfragen gehen an lokalen Provider statt internen DNS.
IPv6-Leak:
IPv6-Verkehr geht direkt ins Internet statt durch VPN.
Split-Tunnel-Fehlkonfiguration:
sensible Ziele gehen nicht durch VPN.
Merksatz:
VPN-Leak bedeutet:
Verkehr nimmt unerwartet den falschen Weg.
DNS-Leak
Ein DNS-Leak liegt vor, wenn DNS-Anfragen nicht wie vorgesehen über den VPN-DNS laufen.
Folgen:
interne Namen funktionieren nicht
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
falsche Antworten werden genutzt
Merksatz:
DNS-Leak betrifft Namensauflösung außerhalb des gewünschten Weges.
IPv6-Leak
Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber der Client weiterhin IPv6 direkt nutzt.
Folge:
Verkehr kann außerhalb des VPNs laufen.
Lösung:
IPv6 korrekt tunneln
oder
IPv6 bewusst regeln
Merksatz:
IPv6 bei VPN nicht vergessen.
VPN und Proxy
Manche Unternehmen kombinieren VPN mit Proxy.
Beispiele:
Full Tunnel plus Webproxy
Split Tunnel plus Cloudproxy
Proxy nur für bestimmte Anwendungen
PAC-Datei für Browser
Fehlerquellen:
falsche Proxy-Einstellungen
Proxy nicht über VPN erreichbar
Authentifizierung am Proxy schlägt fehl
falsche Ausnahmen
Merksatz:
VPN und Proxy müssen zusammenpassen.
VPN und Zertifikate
Zertifikate können für VPN wichtig sein.
Beispiele:
Serverzertifikat des VPN-Gateways
Clientzertifikat auf Endgerät
Zertifikatskette
interne CA
Zertifikatswiderruf
Ablaufdatum
Fehler:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertraut
Clientzertifikat fehlt
CRL oder OCSP nicht erreichbar
Merksatz:
VPN-Zertifikate mit Name,
Vertrauen,
Gültigkeit
und Widerruf prüfen.
VPN und Zeit
Korrekte Zeit ist wichtig für:
Zertifikate
Kerberos
MFA
Tokens
Logs
Sicherheitsprüfungen
Wenn die Uhrzeit stark abweicht, können Anmeldungen oder Zertifikate fehlschlagen.
Merksatz:
VPN-Fehler können durch falsche Uhrzeit entstehen.
VPN-Fehlersuche: Grundreihenfolge
Eine sinnvolle Reihenfolge:
1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Verbindungsstatus prüfen.
4. Authentifizierung prüfen.
5. VPN-IP prüfen.
6. Routen prüfen.
7. DNS prüfen.
8. Firewall-Regeln prüfen.
9. Zielsystem prüfen.
10. Rückweg prüfen.
11. Logs prüfen.
12. MTU und Performance prüfen.
Merksatz:
VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall
und Zielsystem.
Fehlerbild: VPN verbunden, aber Ziel-IP nicht erreichbar
Mögliche Ursachen:
- Route fehlt
- Firewall blockiert
- Zielsystem offline
- Rückroute fehlt
- Host-Firewall blockiert
- VPN-Gruppe darf Ziel nicht erreichen
- Adresskonflikt
- NAT falsch
- falsches Zielnetz
Prüfen:
VPN-IP
Routingtabelle
Firewall-Logs
Zielsystem
Rückweg
Merksatz:
Ziel-IP nicht erreichbar:
Route,
Firewall
und Rückweg prüfen.
Fehlerbild: VPN verbunden, interner Name nicht erreichbar
Mögliche Ursachen:
- DNS-Server nicht gesetzt
- DNS-Suffix fehlt
- Split DNS falsch
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falscher Record
- Cache veraltet
Prüfen:
DNS-Server
DNS-Antwort
DNS-Suffix
UDP/TCP 53
Split DNS
Merksatz:
Interner Name nicht erreichbar:
DNS prüfen.
Fehlerbild: Nur ein Dienst nicht erreichbar
Mögliche Ursachen:
- Port blockiert
- Dienst läuft nicht
- Host-Firewall blockiert
- Benutzer nicht berechtigt
- Anwendung lehnt VPN-Quelle ab
- falscher Port
- falsches Protokoll
- Zertifikat oder TLS-Problem
Prüfen:
Porttest
Dienststatus
Firewall-Log
Serverlog
Berechtigungen
Merksatz:
Ein Dienst betroffen:
Port,
Dienst
und Anwendung prüfen.
Fehlerbild: Zugriff geht nur für manche Benutzer
Mögliche Ursachen:
- unterschiedliche VPN-Gruppen
- unterschiedliche Routen
- unterschiedliche Firewall-Regeln
- Benutzerrechte fehlen
- MFA-Richtlinie unterschiedlich
- Clientprofil unterschiedlich
- Gerätestatus unterschiedlich
- Rolle fehlt
Prüfen:
Gruppenmitgliedschaft
VPN-Profil
Routen
Rechte
Logs
Merksatz:
Unterschiedliche Benutzer:
Gruppen,
Rollen
und Profile prüfen.
Fehlerbild: Zugriff geht nur von manchen Heimnetzen nicht
Mögliche Ursachen:
- Adresskonflikt mit Heimnetz
- lokaler Router blockiert VPN
- restriktives WLAN
- Provider blockiert
- CGNAT oder NAT-Probleme
- IPv6 nimmt anderen Weg
- DNS des Heimnetzes stört
Merksatz:
Manche Heimnetze betroffen:
lokale Netze,
NAT,
DNS
und IPv6 prüfen.
Fehlerbild: VPN langsam oder instabil
Mögliche Ursachen:
- hohe Latenz
- Paketverlust
- MTU-Problem
- WLAN-Probleme
- Full Tunnel überlastet
- VPN-Gateway ausgelastet
- TCP-over-TCP
- schwache Clientleistung
- Providerproblem
- Sicherheitsprüfung oder Proxy langsam
Merksatz:
VPN-Performance mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
Checkliste: VPN-Routing
VPN-IP erhalten?
Route zum Zielnetz vorhanden?
genaueste Route korrekt?
Standardroute verändert?
Split Tunnel oder Full Tunnel?
Zielnetz überschneidet sich?
Rückroute vorhanden?
mehrere Gateways beteiligt?
Routing auf Cloud-Seite korrekt?
Routing auf Servernetz-Seite korrekt?
Merksatz:
VPN-Routing immer auf Client,
Gateway
und Zielnetz prüfen.
Checkliste: VPN-DNS
interner DNS gesetzt?
DNS-Suffix gesetzt?
Split DNS korrekt?
UDP 53 erlaubt?
TCP 53 erlaubt?
interner DNS über VPN erreichbar?
liefert DNS richtige IP?
A und AAAA prüfen?
Cache geleert oder geprüft?
interner und externer DNS verglichen?
Merksatz:
DNS bei VPN immer aus Sicht des VPN-Clients prüfen.
Checkliste: VPN-Firewall
VPN-Zone korrekt?
Quelle VPN-Pool korrekt?
Benutzergruppe korrekt?
Zielnetz korrekt?
Zielhost korrekt?
Port korrekt?
TCP oder UDP korrekt?
Richtung korrekt?
Host-Firewall korrekt?
Rückverkehr erlaubt?
Logs zeigen Treffer?
Merksatz:
Firewall-Regeln für VPN genau wie andere Regeln prüfen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein aufgebauter VPN-Tunnel allein nicht aus?
- Warum ist Routing bei VPN wichtig?
- Was ist ein VPN-Adresspool?
- Warum sind überlappende Netze problematisch?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Was ist ein DNS-Leak?
- Was ist ein IPv6-Leak?
- Warum braucht VPN Firewall-Regeln?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Warum kann eine Host-Firewall VPN-Zugriffe blockieren?
- Warum ist der Rückweg wichtig?
- Wie geht man bei VPN-Fehlersuche systematisch vor?
Typische Prüfungsfallen
VPN verbunden heißt nicht:
alles erreichbar.
Route fehlt:
Ziel nicht erreichbar.
Rückroute fehlt:
Antwort kommt nicht zurück.
Genaueste Route gewinnt.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN-Adresspool muss eindeutig sein.
Heimnetz und Firmennetz dürfen sich nicht überschneiden.
DNS ist bei VPN häufige Fehlerquelle.
IP geht,
Name nicht:
DNS prüfen.
Interner DNS muss über VPN erreichbar sein.
DNS-Suffix kann für kurze Namen nötig sein.
Split DNS trennt interne und externe Namensauflösung.
DNS-Leak bedeutet DNS außerhalb des gewünschten Weges.
IPv6-Leak nicht vergessen.
VPN braucht Firewall-Regeln.
VPN-Zugriff nicht pauschal ins LAN erlauben.
Host-Firewall auf Zielsystem prüfen.
VPN-Gruppe beeinflusst Zugriff.
Netzwerkzugang ist nicht Anwendungsberechtigung.
Cloud-VPN braucht Regeln auf beiden Seiten.
Zertifikate,
Zeit
und Logs bei VPN prüfen.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| VPN-Routing | Wege für Netze über VPN |
| Routingtabelle | Tabelle mit Wegen zu Zielnetzen |
| Standardroute | Route für alle nicht genauer bekannten Ziele |
| spezifische Route | genauere Route zu bestimmtem Netz |
| Split Tunnel | nur ausgewählter Verkehr über VPN |
| Full Tunnel | gesamter Verkehr über VPN |
| VPN-Adresspool | IP-Bereich für VPN-Clients |
| Adresskonflikt | gleiche Netze auf beiden Seiten |
| Rückroute | Antwortweg zurück zum VPN-Client |
| asymmetrisches Routing | Hin- und Rückweg unterschiedlich |
| VPN-DNS | DNS-Einstellungen für VPN-Clients |
| DNS-Suffix | Ergänzung für kurze Namen |
| Split DNS | getrennte DNS-Auflösung |
| DNS-Leak | DNS-Anfrage geht falschen Weg |
| IPv6-Leak | IPv6-Verkehr geht außerhalb VPN |
| VPN-Zone | Firewall-Zone für VPN-Verkehr |
| VPN-Gruppe | Gruppe zur Steuerung von VPN-Rechten |
| Host-Firewall | Firewall auf dem Zielsystem |
| Cloud-VPN | Verbindung zu Cloud-Netz |
| Rückweg | Antwortpfad zum Absender |
IHK-sichere Kurzformulierung
Ein aufgebauter VPN-Tunnel allein reicht nicht aus, damit interne Ressourcen erreichbar sind. Zusätzlich müssen Routing, DNS, Firewall-Regeln, Rückwege und Berechtigungen stimmen. Der VPN-Client benötigt passende Routen zu den internen Zielnetzen. Bei Split Tunneling wird nur ausgewählter Verkehr durch das VPN geleitet, während bei Full Tunnel der gesamte Verkehr durch den VPN-Tunnel läuft. Der VPN-Adresspool darf sich nicht mit lokalen oder internen Netzen überschneiden, da sonst Routingprobleme entstehen. Für interne Namen müssen interne DNS-Server, DNS-Suffixe oder Split-DNS-Regeln korrekt gesetzt sein. VPN-Zugriffe sollten über eigene Firewall-Zonen, Gruppen und Least-Privilege-Regeln gesteuert werden.
Merksätze
VPN verbunden heißt nicht:
Zugriff funktioniert.
Ohne Route kein Weg.
Ohne Rückroute keine Antwort.
Genaueste Route gewinnt.
Standardroute gilt nur,
wenn nichts Spezifischeres passt.
Split Tunnel leitet ausgewählten Verkehr.
Full Tunnel leitet gesamten Verkehr.
VPN-Adresspool muss eindeutig sein.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind häufig.
Jede Zielroute muss bekannt sein.
NAT im VPN macht Analyse schwieriger.
VPN-DNS ist wichtig für interne Namen.
DNS-Suffix hilft bei Kurznamen.
Split DNS trennt interne und externe Auflösung.
IP geht,
Name nicht:
DNS prüfen.
VPN braucht Firewall-Regeln.
VPN-Zonen schaffen Übersicht.
VPN-Zugriff nach Rollen begrenzen.
Least Privilege gilt auch im VPN.
Netzwerkzugang ist nicht Anwendungsrecht.
Host-Firewall mitprüfen.
Zielsystem muss Dienst bereitstellen.
Rückweg über Gateway prüfen.
Cloud-VPN braucht Regeln beidseitig.
IPv6 bei VPN nicht vergessen.
DNS-Leak bedeutet falscher DNS-Weg.
IPv6-Leak bedeutet falscher IPv6-Weg.
Zertifikate und Zeit können VPN beeinflussen.
VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall,
Zielsystem
und Logs.
14.5
VPN-Sicherheit, Zugriffskontrolle und typische Risiken
Ein VPN stellt einen sicheren Tunnel bereit.
Aber:
Ein VPN allein macht ein Netzwerk nicht automatisch sicher.
Wichtig sind zusätzlich:
- starke Authentifizierung
- klare Berechtigungen
- Firewall-Regeln
- Protokollierung
- Gerätesicherheit
- Rollenmodell
- regelmäßige Prüfung
- Monitoring
- saubere Dokumentation
Merksatz:
VPN ist ein Zugang ins Netz.
Deshalb muss dieser Zugang besonders geschützt werden.
Warum VPN-Sicherheit wichtig ist
Ein VPN-Zugang kann sehr mächtig sein.
Wenn ein Angreifer VPN-Zugang erhält, kann er je nach Konfiguration interne Systeme erreichen.
Mögliche Folgen:
- Zugriff auf interne Server
- Zugriff auf Dateifreigaben
- Ausbreitung von Malware
- Angriff auf Managementsysteme
- Datenabfluss
- Manipulation interner Dienste
- Umgehung äußerer Schutzmaßnahmen
Merksatz:
Ein schlecht abgesicherter VPN-Zugang ist ein großes Risiko.
VPN ist kein Freifahrtschein
Ein häufiger Fehler ist:
Benutzer ist per VPN verbunden.
Also darf er alles im internen Netz erreichen.
Das ist unsicher.
Besser:
Benutzer bekommt nur Zugriff auf die Systeme,
die er für seine Aufgabe braucht.
Beispiele:
Mitarbeiter:
Intranet und Dateiablage
Support:
Ticketsystem und bestimmte Clients
Administrator:
Managementsysteme
Dienstleister:
nur definierter Wartungsserver
Merksatz:
VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
Authentifizierung
Authentifizierung bedeutet:
Wer bist du?
Beim VPN wird geprüft, ob der Benutzer oder das Gerät wirklich berechtigt ist.
Mögliche Faktoren:
Benutzername
Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
biometrischer Faktor
Merksatz:
Authentifizierung prüft die Identität.
Autorisierung
Autorisierung bedeutet:
Was darfst du?
Nach erfolgreicher Anmeldung entscheidet das System, welche Ziele, Dienste und Anwendungen erlaubt sind.
Beispiele:
Zugriff auf Servernetz erlaubt?
Zugriff auf Managementnetz erlaubt?
Zugriff auf RDP erlaubt?
Zugriff auf Datenbank verboten?
Zugriff nur auf HTTPS erlaubt?
Merksatz:
Authentifizierung ist Anmeldung.
Autorisierung ist Berechtigung.
MFA bei VPN
MFA steht für:
Multi-Faktor-Authentifizierung
Dabei werden mehrere Faktoren kombiniert.
Beispiele:
Passwort + Authenticator-App
Passwort + Hardwaretoken
Zertifikat + PIN
Smartcard + PIN
Warum wichtig?
Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
VPN ist aus dem Internet erreichbar.
VPN-Zugang führt oft in interne Netze.
Merksatz:
VPN-Zugänge sollten möglichst mit MFA geschützt werden.
MFA ist nicht unfehlbar
MFA erhöht die Sicherheit deutlich, ist aber kein vollständiger Schutz.
Risiken bleiben:
Phishing
MFA-Push-Fatigue
gestohlene Session-Tokens
unsicheres Endgerät
Social Engineering
schlecht konfigurierte Ausnahmen
fehlende Gerätekontrolle
Merksatz:
MFA ist stark,
aber kein Ersatz für weitere Schutzmaßnahmen.
MFA-Push-Fatigue
MFA-Push-Fatigue bedeutet:
Ein Angreifer löst viele MFA-Anfragen aus,
bis der Benutzer genervt oder aus Versehen bestätigt.
Schutz:
Number Matching
kurze Hinweise zur Anfrage
Schulung
verdächtige Anfragen melden
Rate Limiting
keine blinde Bestätigung
Merksatz:
MFA-Anfragen niemals automatisch bestätigen.
Zertifikatsbasierte VPN-Authentifizierung
VPN kann Zertifikate verwenden.
Dabei kann geprüft werden:
Ist das Gerät zugelassen?
Ist der Benutzer zugelassen?
Ist das Zertifikat gültig?
Wurde das Zertifikat widerrufen?
Vertraut der Client dem VPN-Gateway?
Vorteile:
stärker als Passwort allein
Gerätebindung möglich
Widerruf einzelner Zertifikate möglich
gut für verwaltete Geräte
Merksatz:
Zertifikate können VPN-Zugriffe stärker an Geräte oder Identitäten binden.
Clientzertifikat
Ein Clientzertifikat liegt auf dem Endgerät oder in einem sicheren Speicher.
Es kann beweisen:
Dieses Gerät oder dieser Benutzer ist berechtigt,
sich am VPN anzumelden.
Wichtig:
privater Schlüssel schützen
Zertifikat nicht kopieren
verlorene Geräte sperren
Zertifikat bei Austritt widerrufen
Ablaufdatum überwachen
Merksatz:
Clientzertifikat ist nur sicher,
wenn der private Schlüssel geschützt ist.
Serverzertifikat
Das Serverzertifikat des VPN-Gateways hilft dem Client zu prüfen:
Verbinde ich mich wirklich mit dem richtigen VPN-Server?
Fehler können sein:
Zertifikat abgelaufen
Name passt nicht
CA nicht vertrauenswürdig
Zertifikatskette unvollständig
falsches Zertifikat auf Gateway
Merksatz:
Serverzertifikat schützt vor Verbindung zur falschen Gegenstelle.
Zertifikatswiderruf
Wenn ein Zertifikat nicht mehr vertrauenswürdig ist, muss es widerrufen werden.
Gründe:
Gerät verloren
privater Schlüssel kompromittiert
Benutzer ausgeschieden
Dienstleisterzugang beendet
Zertifikat falsch ausgestellt
Widerruf kann geprüft werden über:
CRL
OCSP
Merksatz:
Zertifikate müssen widerrufen werden können.
Benutzergruppen
VPN-Zugriffe sollten über Gruppen gesteuert werden.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admins
VPN-Dienstleister
VPN-Partner
Vorteil:
Regeln bleiben übersichtlich.
Rechte lassen sich zentral verwalten.
Austritte und Rollenwechsel sind einfacher.
Zugriff kann nach Aufgabe getrennt werden.
Merksatz:
Gruppen machen VPN-Berechtigungen verwaltbar.
Rollenmodell
Ein Rollenmodell beschreibt, welche Rolle welche Zugriffe bekommt.
Beispiel:
| Rolle | erlaubter Zugriff |
|---|---|
| Mitarbeiter | Intranet, Dateiablage |
| Support | Ticketsystem, bestimmte Clients |
| Administrator | Managementnetz, Serververwaltung |
| Dienstleister | definierter Wartungsserver |
| Partner | Extranet-Portal |
| Cloud-Admin | Cloud-Managementzugänge |
Merksatz:
Rollenmodell verhindert pauschale Freigaben.
Least Privilege beim VPN
Least Privilege bedeutet:
nur die Rechte,
die wirklich benötigt werden.
Beim VPN heißt das:
keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine gemeinsamen Konten
keine Adminrechte für normale Benutzer
Merksatz:
VPN-Zugriff so eng wie möglich,
so weit wie nötig.
Need to Know beim VPN
Need to Know bedeutet:
Zugriff nur auf Informationen oder Systeme,
die für die Aufgabe notwendig sind.
Beispiel:
Ein Lieferant braucht Zugriff auf Bestelldaten,
aber nicht auf Personalakten.
Ein Wartungsdienstleister braucht Zugriff auf eine Anlage,
aber nicht auf das gesamte Servernetz.
Merksatz:
VPN-Zugriff nach Aufgabe begrenzen,
nicht nach Bequemlichkeit.
Zero Trust und VPN
Zero Trust bedeutet:
kein Zugriff wird automatisch vertraut.
Auch nach VPN-Verbindung wird weiter geprüft:
Wer ist der Benutzer?
Welches Gerät wird genutzt?
Ist MFA erfüllt?
Ist das Gerät aktuell?
Welche Anwendung wird aufgerufen?
Welche Rolle hat der Benutzer?
Ist der Zugriff ungewöhnlich?
Merksatz:
Zero Trust prüft Zugriff fortlaufend und kontextbezogen.
Klassisches VPN und Zero Trust vergleichen
| Merkmal | klassisches VPN | Zero-Trust-Zugriff |
|---|---|---|
| Zugriff | oft Netzwerkzugriff | meist Anwendungszugriff |
| Prüfung | häufig beim Tunnelaufbau | kontinuierlicher |
| Reichweite | kann breit sein | stärker begrenzt |
| Risiko | laterale Bewegung möglich | weniger pauschaler Netzblick |
| Vorteil | bewährt, flexibel | feiner steuerbar |
Merksatz:
VPN verbindet oft ins Netz.
Zero Trust gibt gezielt Anwendungen frei.
Laterale Bewegung
Laterale Bewegung bedeutet:
Ein Angreifer bewegt sich nach dem ersten Zugriff weiter im internen Netz.
Beispiel:
Angreifer erhält VPN-Zugang.
Danach scannt er interne Server.
Anschließend greift er weitere Systeme an.
Schutz:
Segmentierung
Firewall-Regeln
Least Privilege
Monitoring
EDR
getrennte Adminzugänge
keine pauschale VPN-Freigabe
Merksatz:
VPN darf keine einfache Bewegung durchs ganze Netz ermöglichen.
Netzsegmentierung
Netzsegmentierung bedeutet:
Das Netzwerk wird in getrennte Bereiche aufgeteilt.
Beispiele:
Clientnetz
Servernetz
Managementnetz
DMZ
Gastnetz
IoT-Netz
VPN-Zone
Extranet-Zone
Vorteil:
Ein kompromittierter Bereich kann nicht automatisch alles erreichen.
Merksatz:
Segmentierung begrenzt Schäden.
VPN-Zone
Eine VPN-Zone ist eine eigene Sicherheitszone für VPN-Verkehr.
Beispiele:
VPN-Mitarbeiter-Zone
VPN-Admin-Zone
VPN-Dienstleister-Zone
VPN-Partner-Zone
Dadurch kann man Firewall-Regeln gezielt definieren.
Merksatz:
VPN-Zonen verhindern,
dass VPN-Verkehr wie normales LAN behandelt wird.
Admin-VPN besonders schützen
Admin-Zugänge sind besonders kritisch.
Admin-VPN sollte streng geschützt werden:
separate Admin-Konten
MFA
Zertifikat
Zugriff nur von verwalteten Geräten
keine private Nutzung
Zugriff nur auf Managementnetze
Protokollierung
Alarmierung bei Fehlversuchen
regelmäßige Prüfung
Merksatz:
Admin-VPN ist Hochrisiko-Zugang.
Dienstleister-VPN besonders begrenzen
Externe Dienstleister sollten keinen breiten VPN-Zugriff erhalten.
Sicherer ist:
eigenes Konto pro Person
keine Sammelkonten
MFA
zeitliche Begrenzung
Zugriff nur auf Zielsystem
Protokollierung
Freigabeprozess
Deaktivierung nach Wartung
regelmäßige Prüfung
Merksatz:
Dienstleisterzugang muss eng,
nachvollziehbar
und zeitlich begrenzt sein.
Sammelkonten vermeiden
Sammelkonten sind gemeinsame Benutzerkonten, die mehrere Personen nutzen.
Problem:
keine eindeutige Zuordnung
schwierige Nachvollziehbarkeit
Passwort wird weitergegeben
Sperrung einzelner Personen schwer
Sicherheitsvorfälle schwer aufklärbar
Merksatz:
Jeder VPN-Benutzer braucht ein eigenes Konto.
Zeitlich begrenzter Zugriff
Manche VPN-Zugänge sollten nur für ein Zeitfenster aktiv sein.
Beispiele:
Wartung am Samstag
Projektzugang für zwei Wochen
externer Support während Störung
temporäre Migration
Nach Ende:
Zugriff deaktivieren
Regel entfernen
Konto sperren
Logs prüfen
Dokumentation aktualisieren
Merksatz:
Temporärer Zugriff darf nicht dauerhaft bleiben.
Offboarding
Offboarding bedeutet:
Zugriffe bei Austritt oder Rollenwechsel entfernen.
Beim VPN wichtig:
Konto deaktivieren
Gruppenmitgliedschaft entfernen
Zertifikate widerrufen
Tokens sperren
Gerätezugriff entziehen
Dienstleisterzugänge prüfen
Dokumentation aktualisieren
Merksatz:
Wer nicht mehr berechtigt ist,
darf keinen VPN-Zugang behalten.
Gerätesicherheit beim VPN
Ein VPN-Client ist ein Einstiegspunkt ins interne Netz.
Deshalb sollte das Gerät sicher sein.
Wichtige Anforderungen:
aktuelles Betriebssystem
aktuelle Sicherheitsupdates
Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
kein lokaler Admin für Alltagsnutzer
sichere Konfiguration
MDM oder Gerätemanagement
keine Malware
Merksatz:
Unsicheres Gerät plus VPN ist gefährlich.
Managed Device
Ein Managed Device ist ein verwaltetes Gerät.
Das Unternehmen kann Vorgaben prüfen und durchsetzen.
Beispiele:
Updates
Verschlüsselung
Gerätesperre
Zertifikate
VPN-Profil
Sicherheitsrichtlinien
Softwarestand
Remote Wipe bei Verlust
Merksatz:
Verwaltete Geräte sind für VPN-Zugänge besser kontrollierbar.
BYOD und VPN
BYOD steht für:
Bring Your Own Device
Dabei nutzt ein Benutzer ein privates Gerät beruflich.
Bei VPN ist das riskant, wenn das private Gerät nicht kontrolliert wird.
Fragen:
Ist das Gerät aktuell?
Ist es verschlüsselt?
Ist es kompromittiert?
Gibt es MDM?
Sind Firmen- und Privatdaten getrennt?
Kann Zugriff bei Verlust entzogen werden?
Merksatz:
BYOD-VPN braucht klare Regeln und technische Kontrolle.
Geräteprüfung vor VPN-Zugang
Manche Umgebungen prüfen Geräte vor dem Zugriff.
Prüfkriterien:
aktueller Patchstand
aktivierte Festplattenverschlüsselung
aktive Schutzsoftware
Gerätezertifikat vorhanden
nicht gerootet oder jailbroken
MDM-konform
sichere Bildschirmperre
Merksatz:
Nicht jedes Gerät sollte automatisch VPN-Zugang bekommen.
Posture Check
Posture Check bedeutet:
Der Sicherheitszustand eines Geräts wird geprüft.
Beispiele:
Ist Antivirus aktiv?
Ist das Betriebssystem aktuell?
Ist die Festplatte verschlüsselt?
Ist das Gerät verwaltet?
Ist ein Zertifikat vorhanden?
Merksatz:
Posture Check prüft,
ob ein Gerät sicher genug für Zugriff ist.
VPN und Malware
Wenn ein Gerät mit Malware infiziert ist, kann VPN gefährlich werden.
Risiken:
Malware erreicht interne Systeme.
Zugangsdaten werden abgegriffen.
interne Server werden gescannt.
Daten werden exfiltriert.
Ransomware breitet sich aus.
Schutz:
Endgeräteschutz
EDR
Segmentierung
Least Privilege
Monitoring
keine pauschalen Freigaben
Merksatz:
VPN kann Malware einen Weg ins interne Netz geben,
wenn Zugriffe zu breit sind.
VPN und Phishing
Angreifer versuchen oft, VPN-Zugangsdaten zu stehlen.
Typische Methoden:
gefälschte Loginseiten
gefälschte Support-Mails
MFA-Abfragen auslösen
Passwort-Wiederverwendung ausnutzen
Schadsoftware auf Endgerät
Schutz:
MFA
Schulung
Passwortmanager
Zertifikate
verdächtige Logins erkennen
klare Meldewege
Merksatz:
VPN-Zugangsdaten sind ein attraktives Angriffsziel.
VPN und Brute Force
Brute Force bedeutet:
Angreifer probieren viele Zugangsdaten aus.
Schutzmaßnahmen:
MFA
Account Lockout
Rate Limiting
starke Passwörter
keine Standardkonten
Geoblocking bei Bedarf
Monitoring
Alarmierung
Merksatz:
VPN-Loginversuche müssen überwacht und begrenzt werden.
VPN und Passwort-Wiederverwendung
Wenn Benutzer dasselbe Passwort bei mehreren Diensten verwenden, kann ein fremder Datenabfluss zum VPN-Risiko werden.
Beispiel:
Passwort aus privatem Dienst wird geleakt.
Angreifer probiert es am VPN-Portal.
Login funktioniert.
Schutz:
Passwortmanager
eindeutige Passwörter
MFA
Leak-Erkennung
Schulung
Merksatz:
Wiederverwendete Passwörter gefährden VPN-Zugänge.
VPN und Logging
VPN-Zugriffe sollten protokolliert werden.
Wichtige Informationen:
Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
Verbindungsdauer
MFA-Ergebnis
zugewiesene Gruppe
Fehlergrund
getrennte Verbindung
Zielzugriffe je nach System
Merksatz:
VPN-Logs ermöglichen Nachvollziehbarkeit.
VPN und Alarmierung
Bestimmte VPN-Ereignisse sollten Alarm auslösen.
Beispiele:
viele fehlgeschlagene Logins
Login aus ungewöhnlichem Land
Admin-VPN außerhalb Arbeitszeit
neues Gerät
abgelaufenes Zertifikat
Dienstleisterzugang außerhalb Zeitfenster
ungewöhnlich lange Verbindung
ungewöhnlich hoher Datenverkehr
Merksatz:
Kritische VPN-Ereignisse sollten nicht unbemerkt bleiben.
VPN und Monitoring
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Tunnelstatus
aktive Benutzer
CPU des Gateways
RAM
Bandbreite
Paketverlust
Latenz
Fehlversuche
Zertifikatsablauf
Lizenzgrenzen
Verbindungsabbrüche
Merksatz:
VPN ist kritische Infrastruktur und gehört ins Monitoring.
VPN und Protokollierung von Adminaktionen
Bei Admin-VPN reicht oft nicht nur der Login.
Zusätzlich wichtig:
Welche Systeme wurden verwaltet?
Welche Änderungen wurden durchgeführt?
Welche Befehle wurden ausgeführt?
Welche Tickets gehören dazu?
Wer hat die Änderung freigegeben?
Je nach Umgebung werden dafür Bastion Hosts, Jump Server oder Session Recording genutzt.
Merksatz:
Adminzugriffe müssen besonders nachvollziehbar sein.
Bastion Host
Ein Bastion Host ist ein besonders gehärteter Zwischenserver für administrative Zugriffe.
Ablauf:
Admin verbindet sich per VPN.
Admin verbindet sich auf Bastion Host.
Von dort geht es zu Zielsystemen.
Vorteile:
zentraler Kontrollpunkt
bessere Protokollierung
weniger direkte Zugriffe
klare Zugriffspfade
Merksatz:
Bastion Host bündelt und kontrolliert Adminzugriffe.
Jump Server
Jump Server ist ein ähnlicher Begriff wie Bastion Host.
Er dient als Sprungpunkt in geschützte Netze.
Beispiele:
Zugriff auf Servernetz
Zugriff auf Managementnetz
Zugriff auf OT-Netz
Zugriff auf Cloud-Adminsysteme
Merksatz:
Jump Server verhindert direkte Adminzugriffe von beliebigen Clients.
VPN und Managementnetz
Managementnetze enthalten besonders kritische Systeme.
Beispiele:
Switch-Verwaltung
Firewall-Verwaltung
Hypervisor
Backup-System
Monitoring
Storage-System
Domain Controller
Admin-Portale
VPN-Zugriff auf Managementnetze sollte nur für berechtigte Admins erlaubt sein.
Merksatz:
Managementnetz niemals breit per VPN freigeben.
VPN und DMZ
Ein VPN-Gateway kann in einer DMZ stehen.
Grund:
Es ist von außen erreichbar.
Nach erfolgreicher Anmeldung wird der Verkehr kontrolliert weitergeleitet.
Wichtig:
DMZ vom LAN trennen
nur notwendige Regeln
Gateway härten
Logs prüfen
Updates durchführen
Monitoring aktivieren
Merksatz:
VPN-Gateway von außen erreichbar,
LAN-Zugriff danach streng regeln.
VPN und Patchmanagement
VPN-Systeme müssen aktuell gehalten werden.
Wichtig:
VPN-Gateway patchen
VPN-Client aktualisieren
Betriebssystem aktualisieren
Bibliotheken aktualisieren
alte Protokolle deaktivieren
bekannte Schwachstellen beachten
Merksatz:
VPN-Systeme sind internetnah und müssen aktuell bleiben.
VPN und Hardening
Hardening bedeutet:
System sicher konfigurieren und unnötige Angriffsfläche reduzieren.
Beim VPN:
nur notwendige Protokolle aktivieren
starke Kryptografie
alte Verfahren deaktivieren
Adminzugänge begrenzen
Logs aktivieren
MFA erzwingen
Standardkonten entfernen
sichere TLS-Konfiguration
regelmäßige Prüfung
Merksatz:
Hardening verringert die Angriffsfläche.
VPN und Backup der Konfiguration
VPN-Konfigurationen sollten gesichert werden.
Warum?
Wiederherstellung nach Ausfall
Fehlkonfiguration rückgängig machen
Migration
Vergleich nach Änderungen
Disaster Recovery
Wichtig:
Backups sicher speichern,
weil sie sensible Informationen enthalten können.
Merksatz:
VPN-Konfigurationsbackup sicher aufbewahren.
VPN und Änderungsmanagement
VPN-Änderungen sollten kontrolliert durchgeführt werden.
Beispiele für Änderungen:
neue Firewall-Regel
neue VPN-Gruppe
neuer Dienstleisterzugang
Zertifikat erneuern
Protokoll wechseln
Gateway aktualisieren
neue Route hinzufügen
Wichtig:
Zweck dokumentieren
Test durchführen
Rollback planen
Verantwortlichen nennen
Ticket oder Änderungsnachweis erfassen
Merksatz:
VPN-Änderungen brauchen Dokumentation und Rückweg.
Typische VPN-Sicherheitsfehler
Häufige Fehler:
- VPN ohne MFA
- gemeinsame Konten
- zu breite Firewall-Regeln
- VPN → LAN any allow
- Adminzugriff ohne Trennung
- Dienstleisterzugang dauerhaft aktiv
- alte VPN-Protokolle
- schwache PSKs
- fehlende Logs
- keine Alarmierung
- unsichere Endgeräte
- keine Zertifikatsprüfung
- veraltete VPN-Gateways
- fehlendes Offboarding
Merksatz:
Die meisten VPN-Risiken entstehen durch zu breite oder schlecht kontrollierte Zugriffe.
Sichere VPN-Grundregeln
1. MFA aktivieren.
2. Eigene Konten pro Benutzer nutzen.
3. Keine Sammelkonten verwenden.
4. Rollenmodell erstellen.
5. VPN-Zonen nutzen.
6. Firewall-Regeln eng setzen.
7. Dienstleisterzugriffe zeitlich begrenzen.
8. Adminzugänge trennen.
9. Geräte prüfen.
10. Logs und Monitoring aktivieren.
11. Alte Protokolle deaktivieren.
12. Zertifikate verwalten.
13. Offboarding durchführen.
14. Änderungen dokumentieren.
Merksatz:
VPN-Sicherheit entsteht durch Technik,
Prozesse
und klare Rechte.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum ist VPN allein kein vollständiges Sicherheitskonzept?
- Warum sollte VPN mit MFA abgesichert werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Warum sind Sammelkonten problematisch?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Was bedeutet Least Privilege beim VPN?
- Warum sind Dienstleisterzugänge besonders kritisch?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Warum ist Gerätesicherheit beim VPN wichtig?
- Was ist ein Posture Check?
- Warum sind VPN-Logs wichtig?
- Welche Ereignisse sollten bei VPN alarmiert werden?
- Warum muss ein VPN-Gateway gepatcht werden?
- Welche typischen VPN-Sicherheitsfehler gibt es?
Typische Prüfungsfallen
VPN ist nicht automatisch sicher,
nur weil es verschlüsselt.
VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Benutzerrechte.
VPN ohne MFA ist riskant.
Authentifizierung ist nicht Autorisierung.
VPN verbunden heißt nicht:
alles erlaubt.
Sammelkonten sind schlecht nachvollziehbar.
Dienstleisterzugänge zeitlich begrenzen.
Adminzugänge getrennt behandeln.
Managementnetz besonders schützen.
BYOD braucht klare Regeln.
Unsichere Endgeräte sind Risiko.
Zertifikate brauchen Verwaltung und Widerruf.
VPN-Logs sind sicherheitsrelevant.
Monitoring erkennt ungewöhnliche Zugriffe.
Patchmanagement für VPN-Gateways ist kritisch.
Alte VPN-Protokolle vermeiden.
Least Privilege gilt auch im VPN.
Zero Trust kann breiten VPN-Zugriff reduzieren.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| MFA | Multi-Faktor-Authentifizierung |
| Clientzertifikat | Zertifikat für Benutzer oder Gerät |
| Serverzertifikat | Zertifikat des VPN-Gateways |
| Zertifikatswiderruf | Zertifikat für ungültig erklären |
| CRL | Zertifikatsperrliste |
| OCSP | Online-Prüfung von Zertifikatsstatus |
| Benutzergruppe | Gruppe zur Rechtevergabe |
| Rollenmodell | Zuordnung von Rollen zu Zugriffsrechten |
| Least Privilege | nur notwendige Rechte |
| Need to Know | Zugriff nur bei Bedarf |
| Zero Trust | kein automatisches Vertrauen |
| laterale Bewegung | Ausbreitung im internen Netz |
| Segmentierung | Trennung von Netzbereichen |
| VPN-Zone | eigene Sicherheitszone für VPN |
| BYOD | private Geräte im Unternehmenseinsatz |
| Managed Device | verwaltetes Gerät |
| Posture Check | Prüfung des Gerätezustands |
| Bastion Host | gehärteter Zwischenserver |
| Jump Server | Sprungserver für Adminzugriffe |
| Hardening | sichere Systemkonfiguration |
| Offboarding | Entfernen nicht mehr nötiger Zugriffe |
| Sammelkonto | gemeinsam genutztes Benutzerkonto |
IHK-sichere Kurzformulierung
Ein VPN stellt einen geschützten Tunnel bereit, ist aber allein kein vollständiges Sicherheitskonzept. VPN-Zugriffe müssen durch starke Authentifizierung, möglichst MFA, Zertifikate, Benutzergruppen, Rollenmodelle, Firewall-Regeln, Least Privilege, Gerätesicherheit, Logging und Monitoring abgesichert werden. Authentifizierung prüft die Identität eines Benutzers oder Geräts, während Autorisierung festlegt, welche Ressourcen genutzt werden dürfen. Externe Dienstleister und Administratoren benötigen besonders streng begrenzte und nachvollziehbare Zugänge. Sammelkonten, pauschale LAN-Freigaben, fehlende MFA, veraltete VPN-Protokolle und unsichere Endgeräte sind typische Sicherheitsrisiken.
Merksätze
VPN ist ein Zugang ins Netz.
VPN allein ist kein vollständiges Sicherheitskonzept.
VPN schützt den Tunnel,
nicht automatisch alle Ziele.
Authentifizierung = Wer bist du?
Autorisierung = Was darfst du?
MFA schützt VPN-Zugänge deutlich besser.
MFA ist wichtig,
aber nicht unfehlbar.
Zertifikate binden Zugriff an Identität oder Gerät.
Privater Schlüssel muss geschützt werden.
Zertifikate müssen widerrufen werden können.
Gruppen steuern VPN-Zugriff.
Rollenmodell verhindert Pauschalfreigaben.
Least Privilege gilt auch im VPN.
Need to Know begrenzt Informationszugriff.
Zero Trust vertraut nicht automatisch.
Laterale Bewegung verhindern.
Segmentierung begrenzt Schäden.
VPN-Zonen trennen Zugriffe.
Admin-VPN besonders schützen.
Dienstleister-VPN zeitlich begrenzen.
Sammelkonten vermeiden.
Offboarding konsequent durchführen.
Unsichere Endgeräte sind Risiko.
BYOD braucht klare Regeln.
Posture Check prüft Gerätesicherheit.
Malware auf VPN-Client gefährdet interne Systeme.
VPN-Logins überwachen.
Auffällige VPN-Ereignisse alarmieren.
Bastion Host bündelt Adminzugriffe.
Managementnetz niemals breit freigeben.
VPN-Gateway patchen.
Hardening reduziert Angriffsfläche.
VPN-Änderungen dokumentieren.
14.6
VPN-Fehlersuche in der Praxis
VPN-Probleme wirken oft so, als wäre „das Netzwerk kaputt“.
Tatsächlich können VPN-Fehler an vielen Stellen entstehen:
- Internetverbindung
- VPN-Client
- VPN-Gateway
- Benutzeranmeldung
- MFA
- Zertifikat
- Routing
- DNS
- Firewall
- NAT
- Zielsystem
- Host-Firewall
- Berechtigungen
- MTU
- Performance
Merksatz:
VPN-Fehlersuche ist nie nur Tunnelprüfung.
Grundidee der VPN-Fehlersuche
Ein VPN-Zugriff besteht aus mehreren Schritten.
Vereinfacht:
1. Client erreicht VPN-Gateway.
2. Benutzer oder Gerät authentifiziert sich.
3. Tunnel wird aufgebaut.
4. Client erhält VPN-Konfiguration.
5. Routen werden gesetzt.
6. DNS wird gesetzt.
7. Firewall erlaubt Zugriff.
8. Zielsystem antwortet.
9. Anwendung erlaubt Zugriff.
Wenn ein Schritt fehlschlägt, funktioniert der Zugriff nicht vollständig.
Merksatz:
VPN funktioniert nur,
wenn alle Schritte der Zugriffskette passen.
VPN-Fehlersuche nach Fehlerbild
Wichtige erste Frage:
Was genau funktioniert nicht?
Typische Fehlerbilder:
VPN verbindet gar nicht.
VPN verbindet,
aber interne IPs gehen nicht.
VPN verbindet,
aber interne Namen gehen nicht.
VPN verbindet,
aber nur bestimmte Dienste gehen nicht.
VPN verbindet,
aber Zugriff ist langsam.
VPN verbindet,
aber bricht ab.
VPN funktioniert nur für manche Benutzer.
VPN funktioniert nur aus manchen Netzen.
Merksatz:
Das Fehlerbild entscheidet,
wo man zuerst sucht.
Fehlerbild 1: VPN verbindet gar nicht
Wenn VPN gar nicht verbindet, liegt der Fehler vor oder während des Tunnelaufbaus.
Mögliche Ursachen:
falsche VPN-Serveradresse
Internetverbindung gestört
VPN-Gateway nicht erreichbar
Port oder Protokoll blockiert
Benutzername falsch
Passwort falsch
Konto gesperrt
MFA schlägt fehl
Zertifikat ungültig
Clientversion veraltet
Lizenzproblem
VPN-Dienst auf Gateway gestoppt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung,
MFA
und Zertifikate prüfen.
Prüfung: Ist das VPN-Gateway erreichbar?
Vor der VPN-Anmeldung muss der Client das Gateway erreichen.
Prüfen:
DNS-Name des VPN-Gateways korrekt?
öffentliche IP erreichbar?
richtiger Port offen?
TCP oder UDP korrekt?
Firewall oder Provider blockiert?
Gateway online?
Wartungsfenster aktiv?
Zertifikat gültig?
Typische Fehler:
falscher Hostname
alte öffentliche IP
DNS zeigt auf falsches Ziel
Port am Gateway nicht offen
UDP im fremden Netz blockiert
Merksatz:
Ohne erreichbares Gateway kein VPN-Tunnel.
Prüfung: DNS-Name des VPN-Gateways
Viele VPN-Clients verbinden sich zu einem Namen.
Beispiel:
vpn.firma.de
Wenn dieser Name falsch auflöst, verbindet sich der Client zum falschen Ziel oder gar nicht.
Prüfen:
liefert DNS die richtige öffentliche IP?
gibt es alte DNS-Einträge?
ist der DNS-Cache veraltet?
funktioniert Auflösung intern und extern gleich?
wird IPv4 oder IPv6 verwendet?
Merksatz:
VPN-Gateway-Namen immer aus Sicht des Clients prüfen.
Prüfung: Port und Protokoll
Je nach VPN-Protokoll müssen andere Ports oder Protokolle erreichbar sein.
Beispiele:
| VPN-Technik | häufig relevant |
|---|---|
| IPsec IKE | UDP 500 |
| IPsec NAT-T | UDP 4500 |
| IPsec ESP | IP-Protokoll 50 |
| OpenVPN | häufig UDP 1194 oder konfiguriert |
| WireGuard | häufig UDP 51820 |
| TLS-VPN | häufig TCP 443 |
Wichtig:
UDP und TCP nicht verwechseln.
Merksatz:
VPN-Fehlersuche braucht Kenntnis von Port und Protokoll.
Fehlerbild 2: Anmeldung schlägt fehl
Wenn das Gateway erreichbar ist, aber die Anmeldung fehlschlägt, liegt der Fehler eher bei Identität oder Richtlinie.
Mögliche Ursachen:
Benutzername falsch
Passwort falsch
Konto gesperrt
Konto deaktiviert
Passwort abgelaufen
MFA nicht bestätigt
MFA nicht eingerichtet
Benutzer nicht in VPN-Gruppe
Login nur von verwaltetem Gerät erlaubt
Conditional Access blockiert
Zertifikat fehlt oder ungültig
Zeitabweichung
Merksatz:
Anmeldefehler sind meistens Authentifizierung oder Zugriffsrichtlinie.
Authentifizierung und Autorisierung trennen
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich korrekt an,
ist aber nicht in der VPN-Gruppe.
Dann ist die Identität korrekt, aber der VPN-Zugriff nicht erlaubt.
Merksatz:
Erfolgreiche Anmeldung heißt nicht automatisch:
VPN-Zugriff erlaubt.
Fehlerbild 3: MFA schlägt fehl
Mögliche Ursachen:
Benutzer bestätigt nicht
falsches Gerät registriert
Authenticator-App nicht eingerichtet
Uhrzeit falsch
Push-Anfrage kommt nicht an
Benutzer ist gesperrt
Richtlinie verlangt anderen Faktor
Number Matching falsch
Angreifer löst Push-Fatigue aus
Prüfen:
MFA-Log
Benutzerstatus
registrierte Faktoren
Uhrzeit
Richtlinie
Fehlermeldung
Merksatz:
MFA-Probleme immer mit Authentifizierungslogs prüfen.
Fehlerbild 4: Zertifikatsfehler
VPN-Zertifikate können auf Client- oder Serverseite Probleme verursachen.
Mögliche Ursachen:
Serverzertifikat abgelaufen
Clientzertifikat abgelaufen
Zertifikatskette unvollständig
CA nicht vertrauenswürdig
Name passt nicht
Zertifikat widerrufen
privater Schlüssel fehlt
falsches Zertifikat ausgewählt
Systemzeit falsch
Merksatz:
Zertifikatsfehler mit Name,
Gültigkeit,
CA,
Schlüssel
und Zeit prüfen.
Fehlerbild 5: VPN verbindet, aber interne IPs gehen nicht
Wenn VPN verbunden ist, aber interne IP-Adressen nicht erreichbar sind, liegt der Fehler meist nach dem Tunnelaufbau.
Mögliche Ursachen:
Route zum Zielnetz fehlt
Rückroute fehlt
Firewall-Regel fehlt
Zielsystem offline
Host-Firewall blockiert
VPN-Gruppe darf Ziel nicht erreichen
Adresskonflikt mit Heimnetz
NAT falsch
falscher VPN-Adresspool
falsches Zielnetz
Merksatz:
VPN verbunden,
aber IP nicht erreichbar:
Route,
Firewall,
Rückweg
und Zielsystem prüfen.
Prüfung: VPN-IP erhalten?
Ein VPN-Client bekommt häufig eine Adresse aus einem VPN-Adresspool.
Beispiel:
VPN-IP:
10.8.0.25
Prüfen:
Hat der Client eine VPN-IP bekommen?
Liegt sie im richtigen Pool?
Passt der Pool zur Benutzergruppe?
Gibt es doppelte Adressen?
Ist der Pool voll?
Wird die IP in Logs angezeigt?
Merksatz:
Ohne korrekte VPN-IP können Regeln und Routen nicht passen.
Prüfung: Route zum Zielnetz
Der Client braucht eine Route zum internen Zielnetz.
Beispiel:
Zielnetz:
192.168.20.0/24
Route:
über VPN-Tunnel
Fehlt diese Route, sendet der Client Pakete nicht durch VPN.
Merksatz:
Route zum Zielnetz ist Pflicht.
Prüfung: Rückroute
Das Zielsystem oder dessen Gateway muss wissen, wie es zum VPN-Client zurückkommt.
Beispiel:
VPN-Pool:
10.8.0.0/24
Servernetz:
192.168.20.0/24
Das Servernetz braucht einen Rückweg zu:
10.8.0.0/24
Merksatz:
Ohne Rückroute sieht der Client keine Antwort.
Prüfung: Firewall zwischen VPN und Ziel
Auf dem Weg können mehrere Firewalls beteiligt sein.
Beispiele:
VPN-Gateway-Firewall
Core-Firewall
Servernetz-Firewall
Host-Firewall auf dem Zielsystem
Prüfen:
Quelle ist VPN-Pool?
Ziel ist korrekt?
Port ist korrekt?
TCP oder UDP korrekt?
Benutzergruppe korrekt?
Richtung korrekt?
Logs zeigen Allow oder Deny?
NAT verändert Quelle oder Ziel?
Merksatz:
Alle Filterstellen auf dem Weg prüfen.
Prüfung: Host-Firewall
Auch wenn das Netz den Zugriff erlaubt, kann das Zielsystem blockieren.
Beispiele:
Windows Firewall erlaubt RDP nur aus lokalem Subnetz.
Linux-Firewall erlaubt SSH nur aus Adminnetz.
Dienst erlaubt keine VPN-Quelladressen.
Merksatz:
Zielsystem-Firewall ist Teil der VPN-Fehlersuche.
Fehlerbild 6: VPN verbindet, aber interne Namen gehen nicht
Wenn IP-Adressen funktionieren, aber Namen nicht, ist DNS sehr wahrscheinlich betroffen.
Mögliche Ursachen:
interner DNS wird nicht gesetzt
DNS-Suffix fehlt
Split DNS falsch
DNS-Anfragen gehen lokal raus
DNS-Server über VPN nicht erreichbar
Firewall blockiert UDP/TCP 53
falscher DNS-Record
DNS-Cache veraltet
IPv6-Antwort zeigt falschen Weg
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Prüfung: DNS aus Sicht des VPN-Clients
Wichtig ist nicht, was der Administrator auf dem Server sieht.
Wichtig ist:
Was sieht der VPN-Client?
Prüfen:
Welche DNS-Server nutzt der Client?
Welche Suchdomäne ist gesetzt?
Wird Split DNS verwendet?
Welche Antwort liefert DNS?
Wird A oder AAAA genutzt?
Ist der interne DNS erreichbar?
Gibt es DNS-Leaks?
Merksatz:
DNS immer dort prüfen,
wo der Fehler auftritt.
Fehlerbild 7: Nur bestimmte Dienste gehen nicht
Wenn nur ein Dienst nicht funktioniert, ist der VPN-Tunnel wahrscheinlich grundsätzlich aktiv.
Beispiele:
Intranet geht,
aber RDP nicht.
DNS geht,
aber SMB nicht.
Ping geht,
aber HTTPS nicht.
Mögliche Ursachen:
Port nicht erlaubt
Dienst läuft nicht
Host-Firewall blockiert
Benutzer nicht berechtigt
Anwendung lehnt VPN-Quelle ab
Zertifikat oder TLS-Problem
falscher Port
falsches Protokoll
Merksatz:
Ein Dienst betroffen:
Port,
Dienst,
Berechtigung
und Anwendung prüfen.
Dienstprüfung über VPN
Bei einem einzelnen Dienst prüft man:
Zielname korrekt?
Ziel-IP korrekt?
Port korrekt?
TCP oder UDP?
Dienst lauscht?
Firewall erlaubt?
Host-Firewall erlaubt?
Anwendung antwortet?
Benutzer berechtigt?
Logs vorhanden?
Merksatz:
Dienstprüfung ist mehr als Ping.
Fehlerbild 8: VPN funktioniert nur für manche Benutzer
Wenn der Zugriff nur bei bestimmten Benutzern funktioniert, liegt der Fehler häufig bei Gruppen, Rollen oder Profilen.
Mögliche Ursachen:
falsche VPN-Gruppe
Benutzer nicht berechtigt
andere Routen
andere DNS-Einstellungen
andere Firewall-Regeln
anderes VPN-Profil
MFA-Richtlinie unterschiedlich
Gerätestatus unterschiedlich
Konto gesperrt
Rolle fehlt
Merksatz:
Manche Benutzer betroffen:
Gruppen,
Profile
und Rechte vergleichen.
Vergleichsmethode bei Benutzerproblemen
Vergleiche:
funktionierender Benutzer
mit
fehlerhaftem Benutzer
Prüfen:
gleiche Gruppe?
gleiches VPN-Profil?
gleiche Routen?
gleiche DNS-Server?
gleiche Firewall-Zone?
gleiche MFA-Richtlinie?
gleiches Endgerät?
gleiche Zielrechte?
Merksatz:
Vergleich zeigt,
was beim fehlerhaften Benutzer anders ist.
Fehlerbild 9: VPN funktioniert nur aus manchen Netzen
Wenn VPN aus einem Heimnetz funktioniert, aus einem anderen aber nicht, liegt der Fehler oft außerhalb der Firma.
Mögliche Ursachen:
lokales Heimnetz überschneidet sich
lokaler Router blockiert VPN
Hotel-WLAN blockiert UDP
Mobilfunk nutzt CGNAT
Provider blockiert Ports
DNS im Fremdnetz fehlerhaft
IPv6 nimmt anderen Weg
restriktives Gastnetz
captive portal aktiv
Merksatz:
Fremde Netze können VPN-Protokolle blockieren oder stören.
Adresskonflikt mit Heimnetz erkennen
Typisches Problem:
Heimnetz:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Symptom:
VPN verbunden,
aber Ziel im Firmennetz nicht erreichbar.
Ursache:
Client hält Ziel für lokal
und sendet nicht durch den Tunnel.
Merksatz:
Gleiche Netze auf beiden Seiten sind ein klassischer VPN-Fehler.
Fehlerbild 10: VPN langsam
VPN-Langsamkeit kann viele Ursachen haben.
Mögliche Ursachen:
hohe Latenz
Paketverlust
schlechte WLAN-Verbindung
Full Tunnel überlastet
VPN-Gateway ausgelastet
zentrale Internetleitung ausgelastet
MTU-Problem
TCP-over-TCP
Proxy langsam
schwacher Client
Server langsam
Datenbank langsam
Merksatz:
Langsam ist nicht gleich nicht erreichbar.
Performance prüfen
Bei VPN-Performance prüft man:
Latenz
Paketverlust
Bandbreite
Auslastung des Gateways
Auslastung des Clients
WLAN-Qualität
MTU
Tunnelart
Full Tunnel oder Split Tunnel
Zielserver
Anwendung
Tageszeit
Merksatz:
VPN-Performance braucht Messwerte,
nicht Bauchgefühl.
Fehlerbild 11: VPN bricht ab
Mögliche Ursachen:
instabile Internetverbindung
WLAN-Roaming
Mobilfunkwechsel
NAT-Timeout
Firewall-Timeout
VPN-Clientfehler
Token läuft ab
Zertifikat läuft ab
Gateway überlastet
Energiesparmodus
MTU-Problem
Keepalive fehlt
Merksatz:
VPN-Abbrüche mit Zeitbezug,
Logs
und Verbindungsmessung prüfen.
MTU-Probleme bei VPN
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Paketgröße sinken.
Typische Symptome:
kleine Webseiten gehen
große Webseiten hängen
Downloads brechen ab
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
große Dateiübertragung bricht ab
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
TCP-over-TCP bei VPN
Wenn ein VPN über TCP läuft und darin TCP-Verkehr transportiert wird, kann Performance schlechter werden.
Besonders bei Paketverlust stören sich die Steuerungsmechanismen.
Typisch:
langsame Dateiübertragung
stockende Verbindungen
hohe Latenz
Wiederholungen
Merksatz:
TCP im TCP-Tunnel kann bremsen.
NAT-Timeout
Viele Router und Firewalls löschen inaktive NAT-Zuordnungen nach einiger Zeit.
Folge:
VPN-Verbindung wirkt verbunden,
aber Daten fließen nicht mehr.
Oder:
Tunnel bricht ab.
Lösungsideen:
Keepalive
passende Timeout-Werte
stabile Verbindung
geeignete VPN-Konfiguration
Merksatz:
NAT-Timeout kann VPN-Verbindungen still abbrechen lassen.
VPN-Logs richtig auswerten
VPN-Logs können zeigen:
Verbindungsversuch
Benutzer
Quell-IP
Gateway
Authentifizierung
MFA-Ergebnis
Zertifikatsprüfung
zugewiesene IP
zugewiesene Gruppe
Routen
Trennungsgrund
Fehlercode
Phase-1- oder Phase-2-Fehler bei IPsec
Merksatz:
VPN-Logs zeigen,
an welchem Schritt die Verbindung scheitert.
Client-Logs
VPN-Client-Logs sind wichtig, weil der Client oft mehr Details zum Fehler sieht.
Sie zeigen zum Beispiel:
DNS-Auflösung des Gateways
Verbindungsversuch
Zertifikatsfehler
Authentifizierungsfehler
gesetzte Routen
gesetzte DNS-Server
Tunnelstatus
Abbruchgrund
Merksatz:
Client-Logs zeigen die Sicht des Endgeräts.
Gateway-Logs
VPN-Gateway-Logs zeigen die Sicht der Gegenstelle.
Sie zeigen zum Beispiel:
kommt der Client an?
wird Benutzer erkannt?
schlägt MFA fehl?
wird Zertifikat akzeptiert?
wird eine VPN-IP vergeben?
welche Gruppe wird angewendet?
welche Richtlinie greift?
warum wird Verbindung getrennt?
Merksatz:
Gateway-Logs zeigen,
was das VPN-System entschieden hat.
Firewall-Logs bei VPN
Firewall-Logs helfen nach dem Tunnelaufbau.
Sie zeigen:
Quelle aus VPN-Pool
Zielsystem
Port
Protokoll
erlaubte Verbindung
blockierte Verbindung
Regelname
Zone
NAT
Rückverkehr
Merksatz:
Firewall-Logs zeigen,
ob VPN-Verkehr wirklich erlaubt wird.
Paketmitschnitt bei VPN
Ein Paketmitschnitt kann helfen, wenn Logs nicht ausreichen.
Mögliche Mitschnittorte:
VPN-Client
VPN-Gateway außen
VPN-Gateway innen
interne Firewall
Zielserver
Fragen:
sendet der Client?
kommt Verkehr am Gateway an?
verlässt Verkehr das Gateway intern?
kommt Verkehr am Ziel an?
antwortet das Ziel?
kommt Antwort zurück?
Merksatz:
Mehrere Mitschnittpunkte zeigen,
wo Pakete verschwinden.
VPN-Fehlersuche nach OSI-Modell
| Schicht | VPN-Prüfung |
|---|---|
| 1 | Internetverbindung, WLAN, Kabel |
| 2 | lokales Netz, WLAN, VLAN |
| 3 | IP, Routing, VPN-Pool, Rückroute |
| 4 | TCP/UDP, Ports, Firewall |
| 5 | Session, Tunnelstabilität, Timeout |
| 6 | TLS, Zertifikate, Verschlüsselung |
| 7 | Login, MFA, DNS, Anwendung, Rechte |
Merksatz:
Auch VPN-Probleme lassen sich nach OSI eingrenzen.
Praktische Prüfreihenfolge
Eine gute Reihenfolge:
1. Fehlerbild genau aufnehmen.
2. VPN-Art und Protokoll bestimmen.
3. Client-Internet prüfen.
4. VPN-Gateway-Erreichbarkeit prüfen.
5. Authentifizierung und MFA prüfen.
6. Zertifikate prüfen.
7. VPN-IP prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Firewall-Regeln prüfen.
11. Zielsystem und Host-Firewall prüfen.
12. Logs vergleichen.
13. Performance und MTU prüfen.
14. Ergebnis dokumentieren.
Merksatz:
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
Checkliste: VPN verbindet nicht
Gateway-Name korrekt?
Gateway-IP korrekt?
Internetverbindung vorhanden?
Port und Protokoll erreichbar?
VPN-Gateway online?
Benutzerkonto aktiv?
Passwort korrekt?
MFA erfolgreich?
Zertifikat gültig?
Clientversion passend?
Uhrzeit korrekt?
Logs geprüft?
Merksatz:
Bei Verbindungsfehlern vorne in der Kette suchen.
Checkliste: VPN verbunden, aber kein Zugriff
VPN-IP erhalten?
richtige Gruppe?
Route zum Zielnetz vorhanden?
Rückroute vorhanden?
DNS korrekt?
Firewall erlaubt?
Host-Firewall erlaubt?
Zielsystem online?
Dienst läuft?
Berechtigung vorhanden?
Logs geprüft?
Merksatz:
Bei Zugriffproblemen nach dem Tunnel suchen.
Checkliste: VPN langsam
Latenz gemessen?
Paketverlust gemessen?
Bandbreite geprüft?
WLAN geprüft?
Full Tunnel oder Split Tunnel?
Gateway ausgelastet?
Client ausgelastet?
MTU geprüft?
TCP-over-TCP möglich?
Zielserver langsam?
Anwendung langsam?
Tageszeit oder Lastspitzen?
Merksatz:
Langsamkeit mit Messwerten belegen.
Checkliste: VPN bricht ab
Abbruchzeitpunkt bekannt?
Client-Log geprüft?
Gateway-Log geprüft?
Internetverbindung stabil?
WLAN-Wechsel?
Mobilfunkwechsel?
NAT-Timeout?
Keepalive aktiv?
Zertifikat oder Token abgelaufen?
Gateway überlastet?
Energiesparmodus aktiv?
MTU-Problem möglich?
Merksatz:
Abbrüche brauchen Zeitbezug und Logs.
Typische Prüfungsfragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein verbundener VPN-Tunnel nicht aus?
- Welche Schritte prüft man bei VPN-Fehlersuche?
- Warum sind Routen bei VPN wichtig?
- Warum ist der Rückweg wichtig?
- Warum können interne Namen trotz VPN nicht funktionieren?
- Warum ist DNS bei VPN häufig eine Fehlerquelle?
- Warum kann ein Dienst trotz VPN-Verbindung nicht erreichbar sein?
- Warum können unterschiedliche Benutzer unterschiedliche VPN-Rechte haben?
- Warum verursachen gleiche Netze auf beiden Seiten Probleme?
- Was sind typische Ursachen für langsame VPN-Verbindungen?
- Warum können MTU-Probleme bei VPN auftreten?
- Welche Logs sind bei VPN wichtig?
- Wie hilft ein Paketmitschnitt bei VPN-Fehlern?
Typische Prüfungsfallen
VPN verbunden heißt nicht:
alles funktioniert.
VPN-Status grün heißt nicht:
Routen stimmen.
Login erfolgreich heißt nicht:
Zugriff erlaubt.
Authentifizierung ist nicht Autorisierung.
IP geht,
Name nicht:
DNS prüfen.
Ping geht,
Dienst nicht:
Port und Anwendung prüfen.
Ein Dienst betroffen:
nicht ganzes VPN kaputt.
Manche Benutzer betroffen:
Gruppen und Profile vergleichen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
Gleiche Netze auf beiden Seiten sind problematisch.
Route zum Ziel reicht nicht,
Rückroute muss auch stimmen.
Host-Firewall kann blockieren.
DNS-Suffix und Split DNS beachten.
UDP und TCP nicht verwechseln.
MTU bei großen Datenproblemen prüfen.
VPN-Logs und Firewall-Logs gemeinsam auswerten.
Client-Sicht und Gateway-Sicht vergleichen.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| VPN-Fehlersuche | systematische Analyse von VPN-Problemen |
| VPN-Gateway | Gegenstelle für VPN-Verbindungen |
| VPN-Client | Endgerät oder Software des Benutzers |
| VPN-IP | Adresse aus dem VPN-Adresspool |
| VPN-Profil | Konfiguration für VPN-Zugriff |
| VPN-Gruppe | Gruppe zur Steuerung von Rechten |
| Route | Weg zu einem Zielnetz |
| Rückroute | Antwortweg zurück zum VPN-Client |
| Split DNS | getrennte DNS-Auflösung |
| DNS-Leak | DNS-Anfragen gehen falschen Weg |
| Host-Firewall | Firewall auf Zielsystem |
| MTU | maximale Paketgröße |
| NAT-Timeout | Ablauf einer NAT-Zuordnung |
| Keepalive | regelmäßiges Paket zum Offenhalten |
| Client-Log | Log aus Sicht des Endgeräts |
| Gateway-Log | Log aus Sicht des VPN-Systems |
| Firewall-Log | Log über erlaubten oder blockierten Verkehr |
| TCP-over-TCP | TCP-Verkehr in TCP-Tunnel |
| Adresskonflikt | gleiche Netze auf beiden Seiten |
IHK-sichere Kurzformulierung
Bei der VPN-Fehlersuche muss zuerst das genaue Fehlerbild bestimmt werden. Ein VPN kann bereits beim Verbindungsaufbau, bei der Authentifizierung, bei MFA, bei Zertifikaten, beim Routing, bei DNS, bei Firewall-Regeln, beim Rückweg, beim Zielsystem oder bei Berechtigungen scheitern. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar sind. Der Client benötigt eine gültige VPN-IP, passende Routen, interne DNS-Einstellungen und die nötigen Firewall- und Benutzerrechte. Bei Performanceproblemen sind Latenz, Paketverlust, Bandbreite, MTU, Full Tunnel, Gateway-Auslastung und Client-Verbindung zu prüfen. Logs auf Client, VPN-Gateway, Firewall und Zielsystem helfen, den Fehler einzugrenzen.
Merksätze
VPN-Fehlersuche ist mehr als Tunnelprüfung.
Erst Fehlerbild klären.
VPN-Art bestimmen.
VPN-Protokoll bestimmen.
Gateway muss erreichbar sein.
Port und Protokoll müssen passen.
UDP und TCP nicht verwechseln.
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
MFA-Logs bei MFA-Problemen prüfen.
Zertifikate mit Name,
CA,
Gültigkeit
und Zeit prüfen.
VPN-IP muss korrekt sein.
Route zum Zielnetz muss vorhanden sein.
Rückroute muss vorhanden sein.
Firewall-Regeln müssen VPN-Quelle erlauben.
Host-Firewall nicht vergessen.
IP geht,
Name nicht:
DNS prüfen.
Interne Namen brauchen internes DNS.
Nur ein Dienst betroffen:
Port,
Dienst
und Rechte prüfen.
Manche Benutzer betroffen:
Gruppen und Profile prüfen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
VPN langsam:
Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
VPN bricht ab:
Logs und Zeitbezug prüfen.
Client-Logs zeigen Endgerätesicht.
Gateway-Logs zeigen VPN-Systemsicht.
Firewall-Logs zeigen Zugriffspfad.
Paketmitschnitt zeigt,
wo Pakete verschwinden.
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
Neue Seite
Merksätze und Prüfungswissen zu VPN, Intranet und Extranet
Diese Seite fasst die wichtigsten Inhalte zu VPN, Intranet, Extranet, VPN-Arten, VPN-Protokollen, Routing, DNS, Firewall-Regeln, Sicherheit und Fehlersuche zusammen.
Dieses Kapitel ist besonders prüfungsrelevant, weil VPN nicht nur Verschlüsselung bedeutet, sondern auch Routing, Berechtigungen, DNS, Firewall, Authentifizierung und Sicherheit betrifft.
Merksatz:
VPN ist nicht nur ein Tunnel.
VPN ist ein Zugriffskonzept mit Technik,
Regeln
und Sicherheit.
Grundbegriffe
| Begriff | Bedeutung |
|---|---|
| Internet | öffentliches weltweites Netzwerk |
| Intranet | internes Netzwerk oder internes Portal einer Organisation |
| Extranet | kontrollierter Zugriff für externe Berechtigte |
| VPN | geschützter Tunnel über ein fremdes oder unsicheres Netz |
Merksatz:
Internet öffentlich.
Intranet intern.
Extranet kontrolliert extern.
VPN sicherer Tunnel.
Intranet
Ein Intranet ist ein internes Netzwerk oder internes Informationssystem.
Typische Inhalte:
internes Wiki
Mitarbeiterportal
Ticketsystem
Zeiterfassung
Dateiablage
interne Anwendungen
interne APIs
Monitoring
interne Dokumentation
Wichtig:
Ein Intranet ist nicht automatisch öffentlich erreichbar.
Merksatz:
Intranet nutzt oft Webtechnik,
ist aber intern beschränkt.
Extranet
Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit.
Beispiele:
Lieferantenportal
Kundenportal
Partnerportal
Dienstleisterzugang
gemeinsamer Projektraum
Wartungszugang
Wichtig:
Externe bekommen nur Zugriff auf bestimmte Ressourcen,
nicht auf das ganze interne Netz.
Merksatz:
Extranet = ausgewählter externer Zugriff.
VPN
VPN steht für:
Virtual Private Network
Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf.
Typische Zwecke:
Homeoffice
Standortvernetzung
Fernwartung
Zugriff auf interne Dienste
Cloud-Anbindung
Adminzugriff
Extranet-Zugriff
Merksatz:
VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen.
VPN-Tunnel
Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz.
Dabei werden Daten:
eingepackt
verschlüsselt
übertragen
am Ziel wieder ausgepackt
Das nennt man:
Tunneling
Merksatz:
Tunneling bedeutet:
Daten werden in eine geschützte Verbindung eingepackt.
VPN schützt nicht automatisch alles
Ein VPN schützt vor allem den Übertragungsweg.
Es ersetzt nicht:
Firewall-Regeln
Benutzerrechte
MFA
Gerätesicherheit
Protokollierung
Segmentierung
Patchmanagement
Anwendungsberechtigungen
Merksatz:
VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
Remote-Access-VPN
Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen.
Typische Beispiele:
Homeoffice-Mitarbeiter
Außendienst
Administrator
mobiler Benutzer
Support
Dienstleister
Merksatz:
Remote-Access-VPN = Benutzer verbindet sich aus der Ferne.
Client-to-Site-VPN
Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN.
Beispiel:
Notebook
→ VPN-Gateway
→ Firmennetz
Merksatz:
Client-to-Site verbindet einen einzelnen Client mit einem Netz.
Site-to-Site-VPN
Site-to-Site-VPN verbindet ganze Netzwerke miteinander.
Beispiele:
Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netz
Unternehmen ↔ Partnernetz
Merksatz:
Site-to-Site-VPN = Netz verbindet sich mit Netz.
Remote-Access und Site-to-Site unterscheiden
| Merkmal | Remote-Access-VPN | Site-to-Site-VPN |
|---|---|---|
| verbindet | einzelner Benutzer | ganze Netze |
| Endpunkte | Client und Gateway | Gateway und Gateway |
| typischer Zweck | Homeoffice | Standortvernetzung |
| Steuerung | Benutzer, Gruppen, Profile | Netze, Routen, Firewall |
| Fehlerquellen | Client, MFA, DNS, Routen | Phase 1/2, Routing, Netze, Firewall |
Merksatz:
Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
Weitere VPN-Arten
| VPN-Art | Zweck |
|---|---|
| Host-to-Host-VPN | zwei einzelne Systeme verbinden |
| Extranet-VPN | externer Partnerzugriff |
| Cloud-VPN | lokales Netz mit Cloud-Netz verbinden |
| Admin-VPN | besonders geschützter Adminzugang |
| Fernwartungs-VPN | zeitlich begrenzter Supportzugang |
| Always-On-VPN | automatisch dauerhaft verbunden |
| On-Demand-VPN | startet bei Bedarf |
| Per-App-VPN | nur bestimmte Apps nutzen VPN |
Merksatz:
VPN-Art richtet sich nach Einsatzzweck.
VPN-Protokolle
VPN ist ein Oberbegriff.
Technische Umsetzungen können sein:
IPsec
IKEv2
OpenVPN
WireGuard
TLS-VPN
L2TP/IPsec
Veraltet:
PPTP
Merksatz:
VPN ist der Zweck.
Protokoll ist die technische Umsetzung.
IPsec
IPsec steht für:
Internet Protocol Security
IPsec schützt IP-Kommunikation.
Typische Einsätze:
Site-to-Site-VPN
Cloud-VPN
Standortvernetzung
Remote-Access-VPN
IPsec arbeitet nah an Schicht 3, weil IP-Pakete geschützt werden.
Merksatz:
IPsec schützt IP-Kommunikation auf Netzwerkebene.
IKE und IKEv2
IKE steht für:
Internet Key Exchange
IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus.
IKEv2 ist die modernere Variante.
Merksatz:
IKE handelt aus,
wie IPsec abgesichert wird.
IPsec Phase 1 und Phase 2
| Phase | Bedeutung |
|---|---|
| Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen aufbauen |
| Phase 2 | geschützte Netze oder Datenströme festlegen |
Typische Einordnung:
Phase-1-Fehler:
Tunnel kommt oft gar nicht hoch.
Phase-2-Fehler:
Tunnel steht eventuell,
aber Daten fließen nicht richtig.
Merksatz:
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
ESP und AH
ESP steht für:
Encapsulating Security Payload
ESP kann bieten:
Verschlüsselung
Integrität
Authentifizierung
AH steht für:
Authentication Header
AH bietet Integrität und Authentifizierung, aber keine Verschlüsselung des Inhalts.
Merksatz:
ESP schützt Daten.
AH verschlüsselt nicht.
Wichtige IPsec-Ports und Protokolle
| Zweck | Port oder Protokoll |
|---|---|
| IKE | UDP 500 |
| NAT-Traversal | UDP 4500 |
| ESP | IP-Protokoll 50 |
| AH | IP-Protokoll 51 |
Wichtig:
ESP und AH sind keine TCP- oder UDP-Ports.
Merksatz:
IPsec ist nicht nur ein einzelner Port.
OpenVPN
OpenVPN ist eine flexible TLS-basierte VPN-Lösung.
Eigenschaften:
nutzt TLS
kann UDP oder TCP verwenden
kann Zertifikate nutzen
ist flexibel konfigurierbar
wird für Remote-Access und Site-to-Site genutzt
Merksatz:
OpenVPN ist flexibel und TLS-basiert.
WireGuard
WireGuard ist ein modernes, schlankes VPN-Protokoll.
Wichtige Begriffe:
Peer
öffentlicher Schlüssel
privater Schlüssel
Allowed IPs
Endpoint
Persistent Keepalive
WireGuard nutzt typischerweise UDP.
Merksatz:
WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
Allowed IPs bei WireGuard
Allowed IPs bestimmen bei WireGuard:
welche Zielnetze über einen Peer gehen
und gleichzeitig:
welche Quelladressen von diesem Peer erwartet werden
Merksatz:
Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich.
TLS-VPN
TLS-VPN nutzt TLS als Grundlage.
Es wird oft noch SSL-VPN genannt.
Typische Eigenschaften:
häufig TCP 443
oft firewallfreundlich
häufig für Remote-Access
teilweise portalbasiert
teilweise clientbasiert
Merksatz:
SSL-VPN meint in der Praxis meistens TLS-VPN.
PPTP
PPTP steht für:
Point-to-Point Tunneling Protocol
PPTP ist veraltet und gilt nicht mehr als sicher.
Merksatz:
PPTP kennen,
aber nicht mehr einsetzen.
Split Tunnel
Split Tunnel bedeutet:
Nur bestimmter Verkehr läuft durch das VPN.
Beispiel:
Firmennetze:
durch VPN
normales Internet:
direkt lokal
Vorteile:
weniger Last
oft bessere Performance
Nachteile:
weniger zentrale Kontrolle
höhere Anforderungen an Sicherheitskonzept
Merksatz:
Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
Full Tunnel
Full Tunnel bedeutet:
Der gesamte Clientverkehr läuft durch das VPN.
Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz.
Vorteile:
zentrale Kontrolle
einheitliche Filterung
zentrale Protokollierung
Nachteile:
mehr Last
höhere Latenz
mehr Bandbreitenbedarf
Merksatz:
Full Tunnel leitet alles durch VPN.
Split Tunnel und Full Tunnel vergleichen
| Merkmal | Split Tunnel | Full Tunnel |
|---|---|---|
| Firmennetze | über VPN | über VPN |
| Internetverkehr | lokal direkt | über VPN |
| VPN-Last | geringer | höher |
| zentrale Kontrolle | geringer | höher |
| Performance | oft besser | abhängig von Gateway und Leitung |
Merksatz:
Split Tunnel spart Last.
Full Tunnel erhöht zentrale Kontrolle.
VPN-Routing
VPN braucht passende Routen.
Der Client muss wissen:
Welche Netze liegen hinter dem VPN?
Beispiel:
Zielnetz:
192.168.10.0/24
Route:
über VPN-Tunnel
Fehlt die Route, geht Verkehr eventuell ins lokale Netz oder ins Internet.
Merksatz:
Ohne Route kein Weg durch VPN.
Rückroute
Nicht nur der Client braucht eine Route zum Ziel.
Das Zielnetz braucht auch einen Weg zurück zum VPN-Client.
Beispiel:
VPN-Pool:
10.8.0.0/24
Servernetz:
192.168.10.0/24
Das Servernetz muss wissen, wie es zu 10.8.0.0/24 zurückkommt.
Merksatz:
VPN braucht Hinweg und Rückweg.
VPN-Adresspool
Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse erhalten.
Beispiel:
10.8.0.0/24
Ein Client bekommt zum Beispiel:
10.8.0.25
Diese Adresse ist wichtig für:
Routing
Firewall-Regeln
Logs
Gruppenregeln
Fehlersuche
Merksatz:
VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
Adresskonflikte
Ein häufiger VPN-Fehler:
Firmennetz:
192.168.1.0/24
Heimnetz:
192.168.1.0/24
Dann weiß der Client nicht eindeutig, ob eine Adresse lokal oder über VPN erreichbar ist.
Merksatz:
Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
VPN-DNS
VPN-Benutzer brauchen oft interne Namensauflösung.
Beispiele:
intranet.firma.local
fileserver.firma.local
dc01.firma.local
wiki.intern
Dafür werden benötigt:
interner DNS-Server
DNS-Suffix
Split DNS
Firewall-Regeln für DNS
korrekte DNS-Records
Merksatz:
VPN braucht oft internes DNS.
Split DNS
Split DNS bedeutet:
interne Namen werden über interne DNS-Server aufgelöst
und:
öffentliche Namen werden normal oder extern aufgelöst
Beispiel:
firma.local
→ interner DNS
öffentliche Webseiten
→ normaler DNS
Merksatz:
Split DNS trennt interne und externe Namensauflösung.
DNS-Leak
Ein DNS-Leak bedeutet:
DNS-Anfragen gehen unerwartet außerhalb des VPNs.
Mögliche Folgen:
interne Namen funktionieren nicht
falsche DNS-Antworten
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
Merksatz:
DNS-Leak = DNS nimmt den falschen Weg.
IPv6-Leak
Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber IPv6 direkt am VPN vorbei ins Internet geht.
Wichtig:
IPv6 bewusst tunneln
oder
IPv6 bewusst filtern und regeln
Merksatz:
IPv6 bei VPN nicht vergessen.
VPN-Firewall-Regeln
Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben.
Firewall-Regeln sollten festlegen:
Quelle
Ziel
Port
Protokoll
Richtung
Zone
Benutzergruppe
Zweck
Logging
Merksatz:
VPN braucht gezielte Firewall-Regeln.
VPN-Zonen
VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden.
Beispiele:
VPN-Mitarbeiter
VPN-Support
VPN-Admin
VPN-Dienstleister
VPN-Partner
Cloud-VPN
Vorteil:
Zugriffe können sauber getrennt werden.
Merksatz:
VPN-Zonen verhindern pauschale LAN-Freigaben.
Least Privilege beim VPN
Least Privilege bedeutet:
nur die Rechte,
die wirklich nötig sind.
Beim VPN heißt das:
keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine Sammelkonten
Merksatz:
VPN-Zugriff so eng wie möglich,
so weit wie nötig.
Authentifizierung
Authentifizierung beantwortet:
Wer bist du?
Beim VPN möglich durch:
Benutzername und Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
Merksatz:
Authentifizierung prüft Identität.
Autorisierung
Autorisierung beantwortet:
Was darfst du?
Beispiele:
Darf Benutzer ins VPN?
Darf Benutzer ins Servernetz?
Darf Benutzer RDP nutzen?
Darf Benutzer auf Dateiablage?
Darf Dienstleister Wartungsserver erreichen?
Merksatz:
Autorisierung prüft Berechtigung.
Authentifizierung und Autorisierung unterscheiden
| Begriff | Frage | Beispiel |
|---|---|---|
| Authentifizierung | Wer bist du? | Login mit Passwort und MFA |
| Autorisierung | Was darfst du? | Zugriff auf bestimmtes Netz erlaubt |
Merksatz:
Anmeldung ist nicht automatisch Berechtigung.
MFA bei VPN
MFA steht für:
Multi-Faktor-Authentifizierung
Warum wichtig?
VPN ist oft aus dem Internet erreichbar.
Passwörter können gestohlen werden.
Phishing ist häufig.
VPN-Zugang führt oft zu internen Ressourcen.
Merksatz:
VPN-Zugänge sollten mit MFA geschützt werden.
Zertifikate bei VPN
VPN kann Zertifikate verwenden für:
Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
stärkere Identitätsprüfung
Wichtig:
Zertifikate müssen gültig sein,
widerrufen werden können
und zur richtigen CA gehören.
Merksatz:
Zertifikate erhöhen Sicherheit,
brauchen aber Verwaltung.
Gerätesicherheit
Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme.
Deshalb wichtig:
aktuelles Betriebssystem
Updates
Gerätemanagement
Festplattenverschlüsselung
Schutzsoftware
kein kompromittiertes Gerät
sichere Konfiguration
Posture Check
Merksatz:
Unsicheres Gerät plus VPN ist ein Risiko.
BYOD und VPN
BYOD bedeutet:
Bring Your Own Device
Private Geräte im VPN sind kritisch, wenn sie nicht verwaltet werden.
Risiken:
unklarer Patchstand
keine Kontrolle
Malware
Datenabfluss
fehlende Trennung privat/geschäftlich
Merksatz:
BYOD-VPN braucht klare Regeln und technische Kontrolle.
Dienstleisterzugang
Dienstleisterzugänge müssen besonders eng geregelt werden.
Wichtig:
eigenes Konto pro Person
keine Sammelkonten
MFA
Zugriff nur auf Zielsystem
zeitliche Begrenzung
Protokollierung
Deaktivierung nach Projektende
Merksatz:
Externe niemals pauschal ins interne Netz lassen.
Admin-VPN
Admin-VPN braucht besonderen Schutz.
Wichtig:
separate Admin-Konten
MFA
Zertifikate
verwaltete Geräte
Zugriff nur auf Managementnetze
Bastion Host oder Jump Server
Protokollierung
Alarmierung
Merksatz:
Admin-VPN ist Hochrisiko-Zugang.
Bastion Host und Jump Server
Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver.
Zweck:
Adminzugriffe bündeln
direkte Zugriffe vermeiden
Protokollierung verbessern
Zugriffspfade kontrollieren
Merksatz:
Jump Server kontrolliert den Weg zu kritischen Systemen.
VPN-Logging
VPN-Logs sollten zeigen:
Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
MFA-Ergebnis
Gruppe
Verbindungserfolg
Fehlergrund
Trennungsgrund
Zielzugriffe je nach System
Merksatz:
VPN-Zugriffe müssen nachvollziehbar sein.
VPN-Monitoring
VPN-Infrastruktur sollte überwacht werden.
Wichtige Werte:
Tunnelstatus
aktive Benutzer
CPU
RAM
Bandbreite
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Gateway-Verfügbarkeit
Merksatz:
VPN ist kritische Infrastruktur.
VPN-Fehlersuche Grundreihenfolge
Sinnvolle Reihenfolge:
1. Fehlerbild aufnehmen.
2. VPN-Art bestimmen.
3. VPN-Protokoll bestimmen.
4. Internetverbindung prüfen.
5. VPN-Gateway prüfen.
6. Authentifizierung und MFA prüfen.
7. Zertifikate prüfen.
8. VPN-IP prüfen.
9. Routen prüfen.
10. DNS prüfen.
11. Firewall prüfen.
12. Zielsystem prüfen.
13. Host-Firewall prüfen.
14. Logs prüfen.
15. MTU und Performance prüfen.
Merksatz:
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
Typische VPN-Fehlerbilder
| Fehlerbild | wahrscheinliche Richtung |
|---|---|
| VPN verbindet nicht | Gateway, Port, Login, MFA, Zertifikat |
| VPN verbunden, IP geht nicht | Route, Firewall, Rückweg, Zielsystem |
| IP geht, Name nicht | DNS, Split DNS, DNS-Suffix |
| nur ein Dienst geht nicht | Port, Dienst, Host-Firewall, Rechte |
| nur manche Benutzer betroffen | Gruppen, Profile, Rollen |
| nur manche Heimnetze betroffen | Adresskonflikt, NAT, Provider, IPv6 |
| VPN langsam | Latenz, Paketverlust, Bandbreite, MTU |
| VPN bricht ab | NAT-Timeout, WLAN, Keepalive, Token, Gateway |
Merksatz:
Fehlerbild gibt die Richtung der Fehlersuche vor.
VPN und MTU
VPN fügt zusätzliche Header hinzu.
Dadurch kann die nutzbare Paketgröße sinken.
Typische Symptome:
kleine Daten funktionieren
große Downloads brechen ab
Webseiten laden teilweise
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
TCP-over-TCP
TCP-over-TCP kann entstehen, wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert.
Problem:
zwei TCP-Schichten versuchen gleichzeitig,
Paketverlust und Stau zu regeln.
Folge:
schlechtere Performance bei Verlusten oder instabiler Verbindung
Merksatz:
TCP im TCP-Tunnel kann bremsen.
NAT-Traversal
NAT-Traversal hilft VPN-Verbindungen, durch NAT-Geräte zu funktionieren.
Besonders relevant bei:
IPsec
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
Merksatz:
NAT-Traversal hilft VPN durch NAT-Umgebungen.
CGNAT
CGNAT steht für:
Carrier Grade NAT
Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden.
Problem:
eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich.
Remote-Access vom Client nach außen ist oft weniger problematisch, wenn das Gateway öffentlich erreichbar ist.
Merksatz:
CGNAT stört besonders,
wenn das VPN-Gateway von außen erreichbar sein muss.
Intranet, Extranet und VPN unterscheiden
| Aussage | richtig? | Erklärung |
|---|---|---|
| Intranet ist intern | ja | internes Netz oder internes Portal |
| Extranet ist öffentlich | nein | nur kontrolliert für Externe |
| Internet ist öffentlich | ja | grundsätzlich öffentlich erreichbar |
| VPN ist ein Tunnel | ja | geschützte Verbindung |
| VPN ist dasselbe wie Extranet | nein | Extranet ist Zugriffskonzept, VPN mögliche Technik |
| VPN ersetzt Firewall | nein | Firewall-Regeln bleiben nötig |
| VPN ersetzt Rechte | nein | Anwendung und Benutzerrechte bleiben nötig |
Merksatz:
Begriffe sauber trennen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Warum sind überlappende Netze problematisch?
- Warum sollte VPN mit MFA geschützt werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was ist IPsec?
- Was ist IKE?
- Was bedeuten Phase 1 und Phase 2 bei IPsec?
- Was ist WireGuard?
- Was sind Allowed IPs?
- Warum ist PPTP veraltet?
- Wie geht man bei VPN-Fehlersuche vor?
Typische Prüfungsfallen
VPN heißt Virtual Private Network.
VPN ist nicht automatisch ein vollständiges Sicherheitskonzept.
VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.
VPN ersetzt keine Firewall.
VPN ersetzt keine Berechtigungen.
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Netze.
Client-to-Site ist praktisch Remote-Access.
Intranet ist intern.
Extranet ist kontrolliert extern.
Internet ist öffentlich.
Extranet ist nicht dasselbe wie VPN.
Split Tunnel leitet nur ausgewählten Verkehr.
Full Tunnel leitet alles durch VPN.
VPN braucht Routen.
VPN braucht Rückrouten.
VPN braucht oft internes DNS.
IP geht,
Name nicht:
DNS prüfen.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind häufig.
Authentifizierung ist nicht Autorisierung.
MFA ist bei VPN wichtig.
Dienstleisterzugänge zeitlich begrenzen.
Admin-VPN besonders schützen.
PPTP nicht mehr verwenden.
IPsec Phase 1 und Phase 2 unterscheiden.
ESP ist kein TCP- oder UDP-Port.
WireGuard Allowed IPs genau prüfen.
VPN-Logs und Firewall-Logs gemeinsam auswerten.
VPN verbunden heißt nicht:
alles erreichbar.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Internet | öffentliches weltweites Netzwerk |
| Intranet | internes Netz oder internes Portal |
| Extranet | kontrollierter externer Zugriff |
| VPN | Virtual Private Network |
| VPN-Tunnel | geschützte logische Verbindung |
| Tunneling | Daten werden in Tunnelverbindung verpackt |
| Remote-Access-VPN | Benutzer verbindet sich aus der Ferne |
| Client-to-Site-VPN | einzelner Client zum Firmennetz |
| Site-to-Site-VPN | Netz-zu-Netz-Verbindung |
| VPN-Gateway | Gegenstelle für VPN-Verbindung |
| VPN-Client | Software oder Gerät des Benutzers |
| IPsec | Absicherung von IP-Kommunikation |
| IKE | Schlüsselaushandlung bei IPsec |
| ESP | IPsec-Bestandteil für Schutz der Daten |
| AH | IPsec-Bestandteil ohne Inhaltsverschlüsselung |
| Phase 1 | sichere Verbindung zwischen Gateways |
| Phase 2 | Schutz der eigentlichen Netze |
| OpenVPN | TLS-basierte VPN-Lösung |
| WireGuard | modernes schlankes VPN-Protokoll |
| Allowed IPs | Routing- und Peer-Zuordnung bei WireGuard |
| TLS-VPN | VPN auf TLS-Basis |
| Split Tunnel | ausgewählter Verkehr durch VPN |
| Full Tunnel | gesamter Verkehr durch VPN |
| VPN-Adresspool | IP-Bereich für VPN-Clients |
| Rückroute | Antwortweg zurück zum VPN-Client |
| Split DNS | getrennte interne und externe Namensauflösung |
| DNS-Leak | DNS-Anfragen nehmen falschen Weg |
| IPv6-Leak | IPv6-Verkehr läuft am VPN vorbei |
| VPN-Zone | Firewall-Zone für VPN-Verkehr |
| MFA | Multi-Faktor-Authentifizierung |
| Least Privilege | minimale notwendige Rechte |
| Bastion Host | gehärteter Zwischenserver |
| Jump Server | Sprungserver für Adminzugriffe |
| MTU | maximale Paketgröße |
| NAT-Traversal | VPN durch NAT ermöglichen |
| CGNAT | Provider-NAT für viele Kunden |
IHK-sichere Gesamtformulierung
Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance.
Wichtigste Merksätze
VPN = Virtual Private Network.
VPN baut einen geschützten Tunnel.
VPN ist nicht automatisch vollständige Sicherheit.
VPN ersetzt keine Firewall-Regeln.
VPN ersetzt keine Benutzerrechte.
VPN verbunden heißt nicht:
Zugriff erlaubt.
Intranet ist intern.
Extranet ist kontrolliert extern.
Internet ist öffentlich.
Remote-Access verbindet Benutzer.
Site-to-Site verbindet Netze.
Client-to-Site entspricht praktisch Remote-Access.
VPN-Protokoll ist die technische Umsetzung.
IPsec schützt IP-Kommunikation.
IKE handelt Schlüssel aus.
Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
ESP schützt Daten.
AH verschlüsselt nicht.
OpenVPN ist TLS-basiert.
WireGuard nutzt Peers und Allowed IPs.
TLS-VPN wird oft SSL-VPN genannt.
PPTP ist veraltet.
Split Tunnel leitet ausgewählten Verkehr.
Full Tunnel leitet alles.
VPN braucht Route.
VPN braucht Rückroute.
VPN braucht oft internes DNS.
Split DNS trennt Namensauflösung.
Überlappende Netze vermeiden.
Heimnetzkonflikte sind klassisch.
VPN-Zugriff nach Rollen begrenzen.
MFA für VPN nutzen.
Dienstleisterzugänge zeitlich begrenzen.
Admin-VPN besonders schützen.
Unsichere Endgeräte sind Risiko.
VPN-Logs sind wichtig.
Monitoring gehört zu VPN.
MTU bei großen Datenproblemen prüfen.
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.