# 14. VPN, Intranet und Extranet # 14.1 VPN, Intranet und Extranet VPN, Intranet und Extranet beschreiben verschiedene Möglichkeiten, wie Benutzer und Systeme auf interne oder geschützte Ressourcen zugreifen können. Diese Begriffe hängen eng zusammen, werden aber nicht gleich verwendet. Grundidee: Intranet: internes Netzwerk einer Organisation Extranet: kontrollierter Zugriff für externe Partner VPN: verschlüsselter Tunnel für Zugriff über ein unsicheres Netz Merksatz: Intranet ist intern. Extranet ist kontrolliert extern erweitert. VPN ist ein sicherer Tunnel. --- **Warum ist dieses Kapitel wichtig?** In Unternehmen arbeiten Benutzer nicht immer direkt im Firmennetz. Beispiele: - Homeoffice - Außendienst - externe Dienstleister - Partnerunternehmen - mehrere Standorte - Cloud-Dienste - mobile Geräte - Fernwartung - Zugriff auf interne Anwendungen Dafür braucht man sichere Zugriffskonzepte. Merksatz: Moderne Netzwerke enden nicht mehr nur am Bürogebäude. --- **Intranet** Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation. Es ist normalerweise nur für berechtigte interne Benutzer erreichbar. Typische Inhalte: - interne Webseiten - Dokumentationen - Mitarbeiterinformationen - interne Anwendungen - Ticketsystem - Zeiterfassung - Dateifreigaben - interne Wikis - interne Portale Merksatz: Intranet = internes Netz oder internes Portal für die Organisation. --- **Intranet ist nicht automatisch das Internet** Das Internet ist öffentlich. Das Intranet ist intern. Beispiel: Internet: öffentlich erreichbare Webseite einer Firma Intranet: internes Mitarbeiterportal derselben Firma Ein Intranet kann Webtechnik nutzen, ist aber nicht automatisch öffentlich erreichbar. Merksatz: Intranet nutzt oft Internet-Technik, ist aber intern beschränkt. --- **Typische Intranet-Dienste** Typische Dienste im Intranet: | Dienst | Beispiel | |---|---| | internes Wiki | Dokumentation | | Dateiablage | SMB, SharePoint, Nextcloud | | interne Webanwendung | Zeiterfassung | | Ticketsystem | Helpdesk | | Monitoring | Systemstatus | | Telefonbuch | Mitarbeiterdaten | | Authentifizierung | AD, LDAP, SSO | | interne APIs | Anwendungskommunikation | Merksatz: Intranet enthält interne Dienste, die nicht öffentlich sein sollen. --- **Schutzbedarf im Intranet** Auch interne Dienste brauchen Schutz. Warum? Nicht jeder interne Benutzer darf alles sehen. Ein kompromittierter Client kann Schaden verursachen. Gastgeräte dürfen nicht auf interne Systeme. IoT-Geräte sind nicht automatisch vertrauenswürdig. Malware kann sich intern ausbreiten. Merksatz: Intern heißt nicht automatisch sicher. --- **Extranet** Ein Extranet erweitert das Intranet kontrolliert für externe Parteien. Externe Parteien können sein: - Kunden - Lieferanten - Partnerunternehmen - Dienstleister - externe Techniker - Projektpartner Dabei erhalten sie nur Zugriff auf ausgewählte Ressourcen. Merksatz: Extranet = kontrollierter Zugriff für externe Berechtigte. --- **Beispiel für ein Extranet** Ein Unternehmen stellt einem Lieferanten ein Portal bereit. Der Lieferant darf dort: Bestellungen einsehen Liefertermine bestätigen Dokumente hochladen Rechnungen abrufen Der Lieferant darf aber nicht: interne Personalakten sehen interne Server verwalten alle Kundendaten abrufen auf das gesamte LAN zugreifen Merksatz: Extranet gibt gezielten Zugriff, nicht vollständigen internen Zugriff. --- **Intranet und Extranet vergleichen** | Begriff | Zugriff | Zielgruppe | |---|---|---| | Intranet | intern | Mitarbeitende und interne Systeme | | Extranet | kontrolliert extern | Partner, Kunden, Lieferanten | | Internet | öffentlich | grundsätzlich jeder | | VPN | Tunnelzugriff | berechtigte entfernte Benutzer oder Standorte | Merksatz: Intranet intern, Extranet ausgewählt extern, Internet öffentlich. --- **VPN** VPN steht für: Virtual Private Network Ein VPN baut über ein unsicheres oder fremdes Netz einen geschützten Tunnel auf. Beispiel: Benutzer im Homeoffice → Internet → VPN-Tunnel → Firmennetz Der Verkehr wird dabei verschlüsselt übertragen. Merksatz: VPN verbindet entfernte Teilnehmer sicher mit einem Netzwerk. --- **Warum nutzt man VPN?** VPN wird genutzt, wenn sichere Kommunikation über unsichere Netze benötigt wird. Typische Gründe: - Homeoffice-Zugriff - Standortvernetzung - Fernwartung - Zugriff auf interne Server - verschlüsselte Verbindung über Internet - Schutz in öffentlichen Netzen - Zugriff auf interne Anwendungen - sichere Administration Merksatz: VPN schützt den Übertragungsweg durch einen verschlüsselten Tunnel. --- **VPN-Tunnel** Ein VPN-Tunnel ist eine logische verschlüsselte Verbindung. Die Daten werden eingepackt, verschlüsselt und über ein anderes Netz transportiert. Man spricht dabei oft von: Tunneling Merksatz: VPN-Tunnel transportiert geschützte Daten durch ein fremdes Netz. --- **Tunneling einfach erklärt** Beim Tunneling wird ein Paket in ein anderes Paket verpackt. Vereinfacht: internes Paket wird verschlüsselt und in äußeres Transportpaket eingepackt Das äußere Paket wird über das Internet übertragen. Am Ziel wird es wieder ausgepackt. Merksatz: Tunneling bedeutet: ein Paket wird durch ein anderes Netz getragen. --- **Verschlüsselung beim VPN** VPNs nutzen Verschlüsselung, damit Dritte den Inhalt nicht mitlesen können. Geschützt werden soll: - Dateninhalt - Zugangsdaten - interne Kommunikation - Dateiübertragungen - Administrationszugriffe - Anwendungsdaten Wichtig: Ein VPN schützt den Tunnel, aber nicht automatisch jedes Zielsystem. Merksatz: VPN verschlüsselt den Transportweg, ersetzt aber keine Zugriffskontrolle. --- **Authentifizierung beim VPN** Vor dem VPN-Zugriff muss geprüft werden, wer sich verbindet. Mögliche Verfahren: - Benutzername und Passwort - Zertifikat - MFA - Token - Smartcard - Geräteprüfung - SSO - Gruppenmitgliedschaft Merksatz: VPN braucht starke Authentifizierung. --- **Autorisierung beim VPN** Nach erfolgreicher Anmeldung muss geprüft werden, was der Benutzer darf. Beispiele: Support darf auf bestimmte Server. Externe Dienstleister dürfen nur auf Wartungssysteme. Mitarbeitende dürfen auf interne Anwendungen. Admins dürfen ins Managementnetz. Merksatz: VPN verbunden heißt nicht automatisch: Zugriff auf alles erlaubt. --- **Remote-Access-VPN** Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz. Beispiele: Homeoffice Außendienst Notebook unterwegs Administrator von extern mobiler Benutzer Ablauf: Benutzer startet VPN-Client. Benutzer authentifiziert sich. VPN-Tunnel wird aufgebaut. Benutzer erhält Zugriff auf erlaubte interne Ressourcen. Merksatz: Remote-Access-VPN verbindet einzelne Benutzer. --- **Site-to-Site-VPN** Site-to-Site-VPN verbindet ganze Standorte miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netzwerk zwei Firewalls miteinander Dabei baut nicht jeder Benutzer einzeln einen VPN-Client auf. Die Gateways verbinden die Netze. Merksatz: Site-to-Site-VPN verbindet Netzwerke. --- **Remote-Access und Site-to-Site vergleichen** | Merkmal | Remote-Access-VPN | Site-to-Site-VPN | |---|---|---| | verbindet | einzelner Benutzer | ganze Netze | | typischer Einsatz | Homeoffice | Standortvernetzung | | Client nötig | meistens ja | auf Endgerät meist nein | | Endpunkt | Benutzergerät zu Gateway | Gateway zu Gateway | | Zugriff | benutzerbezogen | netzbezogen | Merksatz: Remote-Access = Benutzer. Site-to-Site = Standort. --- **VPN-Gateway** Ein VPN-Gateway ist der zentrale Gegenpunkt für VPN-Verbindungen. Es kann sein: - Firewall - Router - VPN-Appliance - Cloud-Gateway - Server - Zero-Trust-Gateway Aufgaben: VPN-Verbindungen annehmen Benutzer prüfen Tunnel aufbauen Verschlüsselung aushandeln Routen verteilen Zugriff kontrollieren Merksatz: VPN-Gateway ist der Zugangspunkt zum geschützten Netz. --- **VPN-Client** Der VPN-Client läuft auf dem Endgerät des Benutzers. Beispiele: Notebook Smartphone Tablet Admin-PC Aufgaben: Verbindung zum VPN-Gateway aufbauen Benutzer anmelden Tunnel erzeugen Routen setzen DNS übernehmen Verkehr durch Tunnel leiten Merksatz: VPN-Client baut den Tunnel vom Endgerät aus auf. --- **VPN-Protokolle** Häufige VPN-Techniken und Protokolle: - IPsec - IKEv2 - SSL-VPN / TLS-VPN - OpenVPN - WireGuard - L2TP/IPsec Je nach Umgebung unterscheiden sich: Sicherheit Geschwindigkeit Einrichtung Portnutzung Betriebssystemunterstützung Firewall-Freundlichkeit Merksatz: VPN ist ein Oberbegriff, dahinter können verschiedene Protokolle stehen. --- **IPsec** IPsec ist eine Protokollfamilie zur sicheren Kommunikation auf IP-Ebene. IPsec kann genutzt werden für: - Site-to-Site-VPN - Remote-Access-VPN - verschlüsselte Kommunikation zwischen Netzen IPsec arbeitet besonders nah an Schicht 3. Merksatz: IPsec schützt IP-Kommunikation. --- **IKE** IKE steht für: Internet Key Exchange IKE dient dazu, bei IPsec die Sicherheitsparameter und Schlüssel auszuhandeln. IKEv2 ist eine moderne Version. Merksatz: IKE handelt Schlüssel und Sicherheitsparameter für IPsec aus. --- **SSL-VPN / TLS-VPN** SSL-VPN ist ein älterer Begriff. Fachlich geht es meist um TLS-VPN. Dabei wird TLS genutzt, ähnlich wie bei HTTPS. Vorteile: oft firewallfreundlich häufig über TCP 443 möglich gut für Remote-Zugriff teilweise browserbasiert oder clientbasiert Merksatz: SSL-VPN meint meist TLS-basiertes VPN. --- **OpenVPN** OpenVPN ist eine verbreitete VPN-Lösung. Eigenschaften: nutzt TLS kann TCP oder UDP verwenden flexibel konfigurierbar oft für Remote-Access und Site-to-Site nutzbar benötigt meist Clientsoftware Merksatz: OpenVPN ist flexibel und TLS-basiert. --- **WireGuard** WireGuard ist ein modernes VPN-Protokoll. Eigenschaften: schlank schnell vergleichsweise einfache Konfiguration nutzt moderne Kryptografie arbeitet meist über UDP Wichtig: Sicherheit hängt trotzdem von richtiger Schlüsselverwaltung, Routen Firewall-Regeln und Zugriffskonzept ab. Merksatz: WireGuard ist modernes, schlankes VPN über UDP. --- **L2TP/IPsec** L2TP steht für: Layer 2 Tunneling Protocol L2TP selbst verschlüsselt nicht stark genug, deshalb wird es häufig mit IPsec kombiniert. Merksatz: L2TP wird für Sicherheit typischerweise mit IPsec kombiniert. --- **Split Tunneling** Split Tunneling bedeutet: Nur bestimmter Verkehr geht durch den VPN-Tunnel. Anderer Verkehr, zum Beispiel normales Internet, geht direkt über den lokalen Anschluss. Beispiel: Zugriff auf Firmennetz: durch VPN YouTube oder private Webseiten: direkt über lokalen Internetanschluss Merksatz: Split Tunneling leitet nur ausgewählten Verkehr durch VPN. --- **Full Tunnel** Full Tunnel bedeutet: Der gesamte Verkehr des Clients läuft durch den VPN-Tunnel. Auch Internetzugriffe gehen zuerst ins Firmennetz und von dort weiter ins Internet. Vorteile: zentrale Kontrolle zentrale Filterung einheitliche Sicherheitsrichtlinien Nachteile: mehr Last auf VPN und Internetanschluss der Firma höhere Latenz mehr Bandbreitenbedarf Merksatz: Full Tunnel leitet den gesamten Clientverkehr durch VPN. --- **Split Tunnel und Full Tunnel vergleichen** | Merkmal | Split Tunnel | Full Tunnel | |---|---|---| | Internetverkehr | direkt lokal | durch Firma | | Last auf VPN | geringer | höher | | zentrale Kontrolle | geringer | höher | | Latenz | oft niedriger | oft höher | | Sicherheitspolitik | schwieriger einheitlich | zentraler steuerbar | Merksatz: Split Tunnel spart Last. Full Tunnel bietet mehr zentrale Kontrolle. --- **VPN-Routing** Damit ein VPN funktioniert, müssen passende Routen vorhanden sein. Der Client muss wissen: Welche Netze sind über VPN erreichbar? Beispiele: 192.168.10.0/24 über VPN 10.10.0.0/16 über VPN nur bestimmte Server über VPN Fehlt eine Route, geht der Verkehr nicht durch den Tunnel. Merksatz: VPN braucht passende Routen. --- **VPN-DNS** VPN-Benutzer müssen oft interne Namen auflösen können. Beispiele: intranet.firma.local fileserver.firma.local wiki.intern dc01.firma.local Dafür kann der VPN-Client interne DNS-Server bekommen. Typische Fehler: VPN verbunden, aber interne Namen lösen nicht auf. Merksatz: VPN braucht oft interne DNS-Einstellungen. --- **Split DNS bei VPN** Split DNS bedeutet: bestimmte Namen werden über interne DNS-Server aufgelöst, andere Namen über normale DNS-Server. Beispiel: firma.local → interner DNS über VPN öffentliche Webseiten → normaler DNS Merksatz: Split DNS sorgt dafür, dass interne Namen über VPN korrekt aufgelöst werden. --- **VPN-Adresspool** Ein VPN-Adresspool ist der IP-Adressbereich, aus dem VPN-Clients eine Adresse bekommen. Beispiel: VPN-Clients: 10.8.0.0/24 Wichtig: Der VPN-Adressbereich darf nicht mit bestehenden Netzen kollidieren. Problem: Wenn das Heimnetz des Benutzers denselben Bereich nutzt, kann Routing fehlschlagen. Merksatz: VPN-Adresspool muss eindeutig und konfliktfrei sein. --- **Adresskonflikt bei VPN** Ein häufiger Fehler: Heimnetz des Benutzers: 192.168.1.0/24 Firmennetz: 192.168.1.0/24 Dann weiß der Client nicht eindeutig, ob 192.168.1.50 lokal oder über VPN erreichbar ist. Folge: interne Server sind nicht erreichbar. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme. --- **Firewall-Regeln für VPN** VPN-Zugriff muss durch Firewall-Regeln gesteuert werden. Nicht gut: VPN → LAN any erlauben Besser: VPN-Gruppe Support → bestimmte Server TCP 3389 VPN-Gruppe Admin → Managementnetz SSH/RDP VPN-Gruppe Mitarbeiter → Intranet HTTPS VPN-Gruppe Dienstleister → nur Wartungssystem Merksatz: VPN-Zugriff nach Rolle und Bedarf begrenzen. --- **VPN und Least Privilege** Auch beim VPN gilt: nur notwendige Rechte erlauben. Ein VPN-Benutzer sollte nicht automatisch Zugriff auf das gesamte interne Netz erhalten. Warum? kompromittierter VPN-Client gestohlene Zugangsdaten Malware auf Heimgerät externe Dienstleister zu breite Angriffsfläche Merksatz: VPN ist Zugang, aber kein Freifahrtschein. --- **VPN und MFA** VPN-Zugänge sollten nach Möglichkeit mit MFA geschützt werden. Warum? Passwörter können gestohlen werden. Phishing kann Zugangsdaten abgreifen. Passwort-Wiederverwendung ist häufig. VPN-Zugang ist ein direkter Einstieg ins Netz. MFA erhöht die Sicherheit deutlich. Merksatz: VPN ohne MFA ist deutlich riskanter. --- **VPN und Zertifikate** VPNs können Zertifikate nutzen für: Serverauthentifizierung Clientauthentifizierung Gerätezulassung starke Identitätsprüfung Vorteil: nicht nur Passwort, sondern zusätzlich kryptografischer Nachweis. Wichtig: Zertifikate müssen verwaltet, erneuert und bei Verlust widerrufen werden. Merksatz: Zertifikate erhöhen VPN-Sicherheit, brauchen aber gutes Management. --- **VPN und Gerätesicherheit** Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. Deshalb ist wichtig: aktuelles Betriebssystem aktuelle Schutzsoftware Festplattenverschlüsselung Bildschirmsperre sichere Konfiguration kein kompromittiertes Gerät Gerätezertifikat oder Geräteprüfung Patchstand prüfen Merksatz: Unsicheres Endgerät plus VPN ist ein Risiko. --- **VPN und öffentliche WLANs** VPN kann in öffentlichen WLANs schützen, weil der Verkehr im Tunnel verschlüsselt wird. Aber: VPN schützt nicht vor allem. Weiterhin wichtig: HTTPS prüfen Phishing vermeiden Gerät aktuell halten keine fremden Zertifikate akzeptieren keine Warnungen ignorieren Merksatz: VPN hilft im öffentlichen WLAN, ersetzt aber kein sicheres Verhalten. --- **VPN und Performance** VPN kann die Leistung beeinflussen. Mögliche Ursachen: Verschlüsselungsaufwand längerer Weg zentrale Internetleitung Full Tunnel schwacher VPN-Gateway schlechte Clientverbindung MTU-Probleme Paketverlust hohe Latenz Merksatz: VPN kann sicher sein, aber Geschwindigkeit und Latenz beeinflussen. --- **VPN und MTU** VPN fügt zusätzliche Header hinzu. Dadurch kann die effektive Nutzlast kleiner werden. MTU-Probleme zeigen sich oft so: kleine Pakete funktionieren große Übertragungen hängen Webseiten laden teilweise VPN-Verbindung instabil RDP oder SSH bricht sporadisch ab Merksatz: Bei VPN-Problemen mit großen Daten an MTU denken. --- **VPN und Logging** VPN-Logs sind wichtig für Sicherheit und Fehlersuche. Sie zeigen: wer sich verbunden hat wann Verbindung aufgebaut wurde von welcher IP mit welchem Gerät ob MFA erfolgreich war welche VPN-IP vergeben wurde warum Verbindung getrennt wurde ob Fehler auftraten Merksatz: VPN-Zugriffe müssen nachvollziehbar sein. --- **VPN und Monitoring** VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Anzahl aktiver Verbindungen CPU-Auslastung RAM Bandbreite Tunnelstatus Fehlversuche Zertifikatsablauf Latenz Paketverlust Authentifizierungsfehler Merksatz: VPN ist kritische Infrastruktur und muss überwacht werden. --- **Typische VPN-Fehler** Häufige Fehler: - VPN baut nicht auf - Anmeldung schlägt fehl - MFA funktioniert nicht - Zertifikat ungültig - Client bekommt keine VPN-IP - Route fehlt - DNS fehlt - interne Dienste nicht erreichbar - nur manche Netze erreichbar - Adresskonflikt mit Heimnetz - Firewall blockiert - Split Tunnel falsch - Full Tunnel überlastet - MTU-Problem - Verbindung bricht ab Merksatz: VPN-Fehler können Authentifizierung, Routing, DNS, Firewall oder MTU betreffen. --- **Fehlerbild: VPN verbindet nicht** Mögliche Ursachen: - falscher Servername - Internetverbindung gestört - VPN-Gateway nicht erreichbar - falscher Port blockiert - Benutzername oder Passwort falsch - MFA schlägt fehl - Zertifikat ungültig - Clientversion inkompatibel - Konto gesperrt - Lizenz oder Berechtigung fehlt Merksatz: Wenn VPN nicht verbindet, zuerst Erreichbarkeit, Anmeldung und Zertifikate prüfen. --- **Fehlerbild: VPN verbunden, aber kein interner Zugriff** Mögliche Ursachen: - Route fehlt - DNS fehlt - Firewall-Regel fehlt - Benutzergruppe nicht berechtigt - falscher VPN-Adresspool - Adresskonflikt mit Heimnetz - Split Tunnel falsch - Zielsystem-Firewall blockiert - Rückweg fehlt Merksatz: VPN verbunden heißt nicht automatisch: interne Ressourcen erreichbar. --- **Fehlerbild: Interne Namen gehen nicht** Mögliche Ursachen: - interner DNS wird nicht verteilt - Split DNS falsch - DNS-Suffix fehlt - DNS-Anfragen gehen lokal statt durch VPN - interne Zone fehlt - Firewall blockiert DNS - falscher DNS-Server antwortet Merksatz: Bei VPN-Namensproblemen DNS und Split DNS prüfen. --- **Fehlerbild: Nur manche internen Netze erreichbar** Mögliche Ursachen: - Route für bestimmtes Netz fehlt - Firewall-Regel fehlt - Benutzergruppe darf nur bestimmte Netze - Rückroute fehlt - Zielnetz überschneidet sich mit lokalem Netz - ACL blockiert Merksatz: Teilweise Erreichbarkeit deutet oft auf Routing oder Berechtigung hin. --- **Fehlerbild: VPN langsam** Mögliche Ursachen: - Full Tunnel überlastet - hohe Latenz - schwache Internetleitung - VPN-Gateway ausgelastet - Paketverlust - MTU-Problem - WLAN instabil - Verschlüsselungsleistung begrenzt - zentraler Proxy langsam Merksatz: VPN-Langsamkeit mit Latenz, Paketverlust, MTU und Auslastung prüfen. --- **Fehlerbild: VPN bricht ab** Mögliche Ursachen: - instabile Internetverbindung - WLAN-Roaming - NAT-Timeout - Firewall-Timeout - Mobilfunkwechsel - Energiesparmodus - Clientproblem - Zertifikat oder Token läuft ab - Gateway überlastet - MTU-Problem Merksatz: VPN-Abbrüche brauchen Zeitbezug, Logs und Verbindungsmessung. --- **VPN und Extranet unterscheiden** Ein Extranet kann über VPN bereitgestellt werden, muss aber nicht. Beispiele: Extranet über Webportal: Partner meldet sich im Browser an. Extranet über VPN: Partner bekommt VPN-Zugang zu bestimmten Systemen. Wichtig: Extranet ist das Zugriffskonzept. VPN ist eine mögliche technische Umsetzung. Merksatz: Extranet beschreibt Zielgruppe und Zugriff. VPN beschreibt den Tunnel. --- **Extranet-Sicherheit** Extranet-Zugänge brauchen klare Begrenzung. Wichtig: - eigene Benutzerkonten - MFA - Rollen und Rechte - Protokollierung - Vertrags- und Zweckbindung - zeitliche Begrenzung - Zugriff nur auf benötigte Daten - keine gemeinsamen Konten - regelmäßige Prüfung - Sperrung nach Projektende Merksatz: Externe Zugänge müssen besonders sauber kontrolliert werden. --- **Partnerzugriff** Partnerzugriff sollte nicht ungefiltert ins interne Netz führen. Besser: Partnerportal API-Gateway Reverse Proxy dedizierte Extranet-Zone VPN mit begrenzten Regeln Bastion Host getrennte Benutzerrollen Merksatz: Partner nur auf das zugreifen lassen, was sie wirklich benötigen. --- **Intranet über VPN** Im Homeoffice greifen Benutzer oft per VPN auf das Intranet zu. Beispiel: Benutzer verbindet VPN. Danach öffnet er internes Wiki. DNS löst internen Namen auf. Firewall erlaubt VPN → Intranet HTTPS. Webserver prüft Anmeldung. Merksatz: Intranet-Zugriff über VPN braucht Tunnel, DNS, Firewall und Berechtigung. --- **Intranet über Zero Trust** Moderne Umgebungen nutzen teilweise Zero-Trust-Zugriffe statt klassischem Voll-VPN. Grundidee: Benutzer bekommt nicht Zugriff auf das ganze Netz, sondern nur auf einzelne Anwendungen. Prüfung: Identität Gerät Standort Risiko MFA Anwendung Richtlinie Merksatz: Zero Trust ersetzt oft breiten Netzwerkzugriff durch gezielten Anwendungszugriff. --- **VPN und Zero Trust vergleichen** | Merkmal | klassisches VPN | Zero-Trust-Zugriff | |---|---|---| | Zugriffsebene | oft Netzwerkzugriff | meist Anwendungszugriff | | Risiko | breiter Zugriff möglich | stärker begrenzter Zugriff | | Prüfung | häufig beim Verbindungsaufbau | kontinuierlicher und kontextbezogener | | Nutzung | interne Netze | einzelne Anwendungen | | Vorteil | bewährt und flexibel | feiner steuerbar | Merksatz: VPN verbindet oft Netze. Zero Trust gibt gezielt Anwendungen frei. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VPN? - Wofür steht VPN? - Was ist ein VPN-Tunnel? - Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN? - Was ist ein VPN-Gateway? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum braucht VPN Routing? - Warum ist DNS bei VPN wichtig? - Warum können gleiche IP-Netze bei VPN Probleme verursachen? - Warum sollte VPN-Zugriff nicht automatisch das ganze LAN erlauben? - Warum ist MFA bei VPN sinnvoll? - Was ist ein Intranet? - Was ist ein Extranet? - Was ist der Unterschied zwischen Intranet, Extranet und Internet? - Warum ist ein Extranet besonders zu schützen? --- **Typische Prüfungsfallen** VPN bedeutet Virtual Private Network. VPN ist ein Tunnel, nicht automatisch ein komplettes Sicherheitskonzept. VPN schützt den Transportweg. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Berechtigungen. Remote-Access-VPN verbindet einzelne Benutzer. Site-to-Site-VPN verbindet Standorte oder Netze. Split Tunnel leitet nur ausgewählten Verkehr durch VPN. Full Tunnel leitet gesamten Verkehr durch VPN. VPN braucht passende Routen. VPN braucht oft interne DNS-Einstellungen. VPN verbunden heißt nicht: Zugriff auf alles erlaubt. Gleiche IP-Netze auf beiden Seiten erzeugen Routingprobleme. MFA erhöht VPN-Sicherheit. Externe Dienstleister nur begrenzt berechtigen. Intranet ist intern. Extranet ist kontrolliert für externe Berechtigte. Internet ist öffentlich. Extranet ist nicht automatisch VPN. VPN kann durch MTU-Probleme langsam oder instabil wirken. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | VPN | Virtual Private Network | | VPN-Tunnel | geschützte logische Verbindung | | Tunneling | Einpacken von Daten in eine Tunnelverbindung | | Remote-Access-VPN | VPN für einzelne Benutzer | | Site-to-Site-VPN | VPN zwischen Netzwerken | | VPN-Gateway | Gegenstelle für VPN-Verbindungen | | VPN-Client | Software oder Gerät des Benutzers | | IPsec | VPN-Technik auf IP-Ebene | | IKE | Schlüsselaushandlung bei IPsec | | TLS-VPN | VPN auf Basis von TLS | | OpenVPN | verbreitete TLS-basierte VPN-Lösung | | WireGuard | modernes schlankes VPN-Protokoll | | Split Tunnel | nur ausgewählter Verkehr durch VPN | | Full Tunnel | gesamter Verkehr durch VPN | | VPN-Adresspool | IP-Bereich für VPN-Clients | | Split DNS | getrennte DNS-Auflösung je nach Ziel | | Intranet | internes Netzwerk oder internes Portal | | Extranet | kontrollierter Zugriff für externe Berechtigte | | MFA | Multi-Faktor-Authentifizierung | | Least Privilege | nur notwendige Rechte | | Zero Trust | kein automatisches Vertrauen | --- **IHK-sichere Kurzformulierung** Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es wird genutzt, um einzelne Benutzer per Remote-Access-VPN oder ganze Standorte per Site-to-Site-VPN sicher mit internen Ressourcen zu verbinden. Für den VPN-Betrieb sind Authentifizierung, Verschlüsselung, Routing, DNS, Firewall-Regeln und Berechtigungen wichtig. Split Tunneling leitet nur ausgewählten Verkehr durch das VPN, während Full Tunnel den gesamten Clientverkehr durch den Tunnel führt. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation. Ein Extranet stellt ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen bereit. VPN-Zugriff sollte durch MFA, Rollen, Firewall-Regeln und Least Privilege abgesichert werden. --- **Merksätze** Intranet = intern. Extranet = kontrolliert extern erweitert. Internet = öffentlich. VPN = Virtual Private Network. VPN baut einen verschlüsselten Tunnel. VPN schützt den Transportweg. VPN ersetzt keine Rechteprüfung. VPN ersetzt keine Firewall-Regeln. Remote-Access-VPN verbindet Benutzer. Site-to-Site-VPN verbindet Netze. VPN-Gateway ist der Zugangspunkt. VPN-Client baut den Tunnel auf. IPsec schützt IP-Kommunikation. IKE handelt Schlüssel aus. TLS-VPN nutzt TLS. OpenVPN ist flexibel. WireGuard ist schlank und modern. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN braucht passende Routen. VPN braucht oft internes DNS. Split DNS hilft bei internen Namen. VPN-Adresspool darf sich nicht überschneiden. Gleiche Netze verursachen Routingprobleme. VPN-Zugriff nach Rolle begrenzen. MFA für VPN ist wichtig. Unsichere Endgeräte sind trotz VPN riskant. VPN kann durch MTU-Probleme instabil werden. VPN verbunden heißt nicht: alles erreichbar. Extranet ist Zugriffskonzept, VPN ist Tunneltechnik. Zero Trust gibt gezielter Zugriff auf Anwendungen. # 14.2 **VPN-Arten und VPN-Einsatzszenarien** VPN ist nicht immer gleich VPN. Je nach Zweck, Benutzergruppe und Netzwerkaufbau gibt es unterschiedliche VPN-Arten. Die wichtigsten Einsatzszenarien sind: - Remote-Access-VPN - Site-to-Site-VPN - Client-to-Site-VPN - Host-to-Host-VPN - Extranet-VPN - Cloud-VPN - Admin-VPN - Fernwartungs-VPN Merksatz: Die VPN-Art richtet sich danach, wer oder was sicher verbunden werden soll. --- **Warum unterscheidet man VPN-Arten?** Nicht jede VPN-Verbindung hat denselben Zweck. Beispiele: Ein Mitarbeiter im Homeoffice braucht Zugriff auf interne Anwendungen. Zwei Firmenstandorte sollen dauerhaft verbunden werden. Ein externer Dienstleister soll nur einen Wartungsserver erreichen. Ein Unternehmen verbindet sein lokales Netz mit einem Cloud-Netz. Ein Administrator braucht sicheren Zugriff auf Managementsysteme. Diese Fälle haben unterschiedliche Anforderungen. Merksatz: Unterschiedliche VPN-Zwecke brauchen unterschiedliche Konzepte. --- **Remote-Access-VPN** Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz. Typische Benutzer: - Homeoffice-Mitarbeiter - Außendienst - Administratoren - mobile Benutzer - Support-Mitarbeiter - externe Dienstleister Der Benutzer startet meist einen VPN-Client auf seinem Endgerät. Merksatz: Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen. --- **Typischer Ablauf bei Remote-Access-VPN** Ein typischer Ablauf: 1. Benutzer startet VPN-Client. 2. VPN-Client verbindet sich mit VPN-Gateway. 3. Benutzer authentifiziert sich. 4. MFA oder Zertifikat wird geprüft. 5. Tunnel wird aufgebaut. 6. Client erhält VPN-IP-Adresse. 7. Routen und DNS-Einstellungen werden gesetzt. 8. Zugriff auf erlaubte Ressourcen ist möglich. Merksatz: Remote-Access braucht Authentifizierung, Tunnel, IP, Routen und DNS. --- **Remote-Access-VPN: Vorteile** Vorteile: - sicherer Zugriff aus dem Homeoffice - Zugriff auf interne Dienste - zentrale Kontrolle - verschlüsselte Verbindung - flexibel für mobile Benutzer - oft schnell einrichtbar - gute Integration mit MFA möglich Merksatz: Remote-Access-VPN macht mobile Arbeit mit internen Diensten möglich. --- **Remote-Access-VPN: Risiken** Risiken: - gestohlene Zugangsdaten - unsichere private Endgeräte - Malware auf Client - zu breite Zugriffsrechte - fehlende MFA - unsichere Split-Tunnel-Regeln - verlorene Geräte - veraltete VPN-Clients Merksatz: Remote-Access ist nur sicher, wenn Endgerät, Benutzer und Rechte kontrolliert werden. --- **Client-to-Site-VPN** Client-to-Site-VPN ist im Grunde eine andere Bezeichnung für Remote-Access-VPN. Dabei verbindet sich ein einzelner Client mit einem Standort oder Unternehmensnetz. Beispiel: Notebook im Homeoffice → VPN-Gateway der Firma → internes Netz Merksatz: Client-to-Site = einzelner Client zum Firmennetz. --- **Site-to-Site-VPN** Site-to-Site-VPN verbindet ganze Netzwerke miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netz Unternehmen ↔ Partnernetz Hier verbinden meist Router, Firewalls oder VPN-Gateways die Standorte. Merksatz: Site-to-Site-VPN verbindet Netze, nicht einzelne Benutzer. --- **Typischer Ablauf bei Site-to-Site-VPN** Ein typischer Ablauf: 1. Gateway A baut Tunnel zu Gateway B auf. 2. Beide Gateways authentifizieren sich. 3. Verschlüsselung und Schlüssel werden ausgehandelt. 4. Netzbereiche werden definiert. 5. Routing wird eingerichtet. 6. Firewall-Regeln erlauben gewünschte Verbindungen. 7. Systeme beider Standorte kommunizieren über den Tunnel. Merksatz: Site-to-Site braucht Gateways, Netze, Routen und Firewall-Regeln. --- **Site-to-Site-VPN: Vorteile** Vorteile: - dauerhafte Standortverbindung - keine VPN-Clientsoftware auf jedem Endgerät nötig - zentrale Netz-zu-Netz-Kommunikation - gut für Niederlassungen - gut für Cloud-Anbindung - transparent für Benutzer Merksatz: Site-to-Site verbindet Standorte dauerhaft und zentral. --- **Site-to-Site-VPN: Risiken** Risiken: - zu große Netzfreigaben - falsches Routing - Überschneidung von IP-Netzen - kompromittierter Standort erreicht andere Netze - fehlende Segmentierung - schwache Schlüssel oder PSKs - fehlendes Monitoring - unklare Verantwortlichkeiten zwischen Organisationen Merksatz: Site-to-Site darf nicht automatisch alle Netze gegenseitig öffnen. --- **Remote-Access und Site-to-Site im Vergleich** | Merkmal | Remote-Access-VPN | Site-to-Site-VPN | |---|---|---| | verbindet | Benutzergerät mit Netz | Netz mit Netz | | typischer Zweck | Homeoffice, mobiler Zugriff | Standortvernetzung | | Endpunkt | Client und Gateway | Gateway und Gateway | | Benutzeranmeldung | häufig benutzerbezogen | häufig gatewaybezogen | | Clientsoftware | meist notwendig | für Endgeräte meist nicht | | Zugriffskontrolle | Benutzer und Gruppen | Netze und Firewall-Regeln | | Fehlerquellen | Client, DNS, Routen, MFA | Routing, IP-Überschneidung, Tunnel | Merksatz: Remote-Access ist benutzerbezogen. Site-to-Site ist netzbezogen. --- **Host-to-Host-VPN** Host-to-Host-VPN verbindet zwei einzelne Systeme direkt miteinander. Beispiel: Server A ↔ Server B Einsatz: besonders schützenswerte Verbindung Kommunikation zwischen zwei Servern sichere Verbindung über unsicheres Netz spezielle Administrationsstrecken Merksatz: Host-to-Host-VPN verbindet einzelne Rechner direkt. --- **Extranet-VPN** Ein Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff. Beispiele: Lieferant greift auf Bestellportal zu. Dienstleister greift auf Wartungsserver zu. Partnerunternehmen greift auf gemeinsame Projektdaten zu. Wichtig: Zugriff stark begrenzen eigene Benutzerkonten MFA Protokollierung zeitliche Begrenzung keine pauschale LAN-Freigabe Merksatz: Extranet-VPN ist VPN-Zugriff für externe Berechtigte. --- **Cloud-VPN** Cloud-VPN verbindet ein lokales Netzwerk mit einem Cloud-Netzwerk. Beispiel: Unternehmensstandort ↔ Cloud-VPC oder Cloud-VNet Typischer Zweck: Zugriff auf Cloud-Server Hybrid-Cloud Datenbankverbindungen private Cloud-Dienste Migration Backup Standort-zu-Cloud-Kommunikation Merksatz: Cloud-VPN verbindet lokale Infrastruktur mit Cloud-Netzen. --- **Admin-VPN** Ein Admin-VPN ist ein besonders geschützter Zugang für Administratoren. Ziel: Managementsysteme sicher erreichen Beispiele: Firewall-Verwaltung Switch-Management Serveradministration Hypervisor Backup-Systeme Monitoring Managementnetz Wichtig: MFA separate Admin-Konten starke Protokollierung Zugriff nur auf Managementnetze keine Nutzung für Alltagsarbeit Merksatz: Admin-VPN sollte besonders stark abgesichert sein. --- **Fernwartungs-VPN** Fernwartungs-VPN wird für Support oder Wartung genutzt. Beispiele: Hersteller wartet Anlage. IT-Dienstleister wartet Server. externer Techniker greift auf Spezialgerät zu. Wichtig: zeitlich begrenzen nur benötigte Ziele erlauben Zugriff protokollieren Benutzer eindeutig zuordnen nach Wartung deaktivieren keine gemeinsamen Dauerzugänge Merksatz: Fernwartung braucht zeitlich und technisch begrenzten Zugriff. --- **VPN für mobile Geräte** Mobile Geräte können ebenfalls VPN nutzen. Beispiele: Smartphone Tablet Außendienstgerät mobiles Kassensystem MDM-verwaltetes Gerät Wichtig: Geräteverwaltung Gerätesperre Verschlüsselung Zertifikate MDM-Richtlinien App-Schutz Verlustfall beachten Merksatz: Mobile VPN-Zugänge brauchen Gerätekontrolle. --- **Always-On-VPN** Always-On-VPN bedeutet: Das Gerät baut automatisch eine VPN-Verbindung auf, sobald es Netzwerkzugang hat. Ziel: Benutzer muss VPN nicht manuell starten. Unternehmensrichtlinien greifen dauerhaft. interne Dienste sind automatisch erreichbar. Datenverkehr kann zentral kontrolliert werden. Merksatz: Always-On-VPN verbindet Geräte automatisch mit dem Unternehmensnetz. --- **On-Demand-VPN** On-Demand-VPN baut sich nur bei Bedarf auf. Beispiel: Benutzer ruft interne Domain auf. Gerät startet VPN automatisch. Vorteil: weniger dauerhafte Verbindung komfortabel für Benutzer gezielter Tunnelaufbau Merksatz: On-Demand-VPN startet, wenn eine bestimmte Ressource benötigt wird. --- **Per-App-VPN** Per-App-VPN bedeutet: Nur bestimmte Anwendungen nutzen den VPN-Tunnel. Beispiel: Unternehmens-App nutzt VPN. private Apps nutzen normales Internet. Vorteil: bessere Trennung zwischen privater und geschäftlicher Nutzung weniger Tunnelverkehr gezieltere Kontrolle Merksatz: Per-App-VPN leitet nur ausgewählte Apps durch VPN. --- **VPN für BYOD** BYOD steht für: Bring Your Own Device Dabei nutzen Benutzer private Geräte für berufliche Zwecke. VPN bei BYOD ist besonders kritisch. Wichtige Fragen: Ist das Gerät sicher? Ist es verwaltet? Gibt es MDM? Sind Firmendaten getrennt? Gibt es MFA? Kann Zugriff bei Verlust entfernt werden? Darf das private Gerät interne Netze erreichen? Merksatz: BYOD plus VPN braucht klare Sicherheitsregeln. --- **VPN für Dienstleister** Dienstleisterzugang sollte besonders eng geregelt werden. Besser: eigener VPN-Benutzer keine Sammelkonten MFA nur definierte Ziele zeitliche Freigabe Protokollierung Freigabeprozess regelmäßige Prüfung Deaktivierung nach Projektende Merksatz: Externe Dienstleister niemals pauschal ins interne Netz lassen. --- **VPN für Standortvernetzung** Bei Standortvernetzung sind wichtige Punkte: eindeutige IP-Netze stabile Internetanschlüsse passende Bandbreite Routing Firewall-Regeln Monitoring Redundanz Namensauflösung Zeitsynchronisation Dokumentation Merksatz: Standort-VPN braucht saubere Netzplanung. --- **VPN für Cloud-Anbindung** Bei Cloud-VPN sind wichtig: Cloud-Netzbereich lokaler Netzbereich Routingtabellen Security Groups Network Security Groups Cloud-Firewall DNS Bandbreite Latenz Hochverfügbarkeit Kosten Monitoring Merksatz: Cloud-VPN braucht Routing und Sicherheitsregeln auf beiden Seiten. --- **VPN und IP-Adressplanung** VPN funktioniert nur sauber, wenn Netze eindeutig sind. Problematisch: Heimnetz 192.168.1.0/24 und Firmennetz 192.168.1.0/24 Oder: Standort A 10.0.0.0/24 und Standort B 10.0.0.0/24 Folge: Routing wird uneindeutig. Merksatz: Überlappende Netze verursachen VPN-Probleme. --- **VPN und Namensauflösung** VPN-Benutzer brauchen oft interne DNS-Auflösung. Beispiele: intranet.firma.local fileserver.intern dc01.firma.local app01.servernetz.local Typische Fehler: VPN ist verbunden, aber Namen funktionieren nicht. Ursache häufig: interner DNS wird nicht verteilt DNS-Suffix fehlt Split DNS falsch Firewall blockiert DNS Merksatz: VPN braucht oft internes DNS. --- **VPN und Routingtabellen** Der VPN-Client oder das VPN-Gateway braucht passende Routen. Beispiel: Zielnetz 10.20.0.0/16 soll über VPN erreichbar sein. Dann muss eine Route existieren: 10.20.0.0/16 über VPN-Tunnel Fehlt diese Route, geht Verkehr eventuell ins lokale Netz oder ins Internet. Merksatz: Ohne Route kein Weg durch den Tunnel. --- **VPN und Firewall-Zonen** VPN-Verbindungen sollten in eigene Firewall-Zonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Admin VPN-Dienstleister Site-to-Site-Partner Cloud-VPN Extranet-VPN Vorteil: Regeln können gezielt nach Rolle oder Zweck erstellt werden. Merksatz: VPN-Zonen helfen, Zugriff sauber zu begrenzen. --- **VPN und Gruppen** VPN-Zugriff wird häufig über Gruppen gesteuert. Beispiele: Gruppe Mitarbeiter: Zugriff auf Intranet Gruppe Support: Zugriff auf Helpdesk-Systeme Gruppe Admin: Zugriff auf Managementnetz Gruppe Dienstleister: Zugriff nur auf Wartungsserver Merksatz: Gruppen helfen, VPN-Berechtigungen übersichtlich zu steuern. --- **VPN und Rollenmodell** Ein Rollenmodell beschreibt, welche Rolle welche Zugriffe bekommt. Beispiel: | Rolle | Zugriff | |---|---| | Mitarbeiter | Intranet, Dateiablage | | Support | Ticketsystem, bestimmte Clients | | Admin | Managementnetz | | Dienstleister | definierter Wartungsserver | | Partner | Extranet-Portal | Merksatz: Rollenmodell verhindert pauschale VPN-Freigaben. --- **VPN und MFA nach Risiko** MFA sollte besonders bei externem Zugriff eingesetzt werden. Bei VPN ist MFA wichtig, weil der Zugang aus unsicheren Netzen kommt. Besonders kritisch: Admin-VPN Dienstleister-VPN Extranet-Zugänge Zugriff auf Servernetze Zugriff auf Managementsysteme Merksatz: Je kritischer der Zugriff, desto stärker die Authentifizierung. --- **VPN und Zertifikatsbasierte Authentifizierung** VPN kann neben Benutzerpasswort auch Zertifikate nutzen. Vorteile: Gerät kann eindeutig identifiziert werden. Passwort allein reicht nicht. verlorene Geräte können durch Zertifikatswiderruf gesperrt werden. Clientzugriff kann stärker kontrolliert werden. Wichtig: Zertifikate müssen erneuert, geschützt und bei Verlust widerrufen werden. Merksatz: Zertifikate binden VPN-Zugriff stärker an Geräte oder Identitäten. --- **VPN und Pre-Shared Key** Ein Pre-Shared Key ist ein vorher gemeinsam vereinbarter geheimer Schlüssel. Abkürzung: PSK PSK wird häufig bei Site-to-Site-VPNs genutzt. Risiken: schwacher PSK PSK wird selten gewechselt PSK ist mehreren Personen bekannt PSK wird unsicher dokumentiert Merksatz: PSK muss stark, geheim und kontrolliert verwaltet werden. --- **VPN und Hochverfügbarkeit** VPN kann kritisch für den Betrieb sein. Deshalb können sinnvoll sein: zwei VPN-Gateways redundante Internetanschlüsse automatische Umschaltung mehrere Standorte Monitoring Backup-Konfiguration dokumentierter Notfallzugang Merksatz: Kritische VPN-Zugänge brauchen Redundanz. --- **VPN und Bandbreite** VPN benötigt Bandbreite. Besonders relevant bei: Full Tunnel vielen Homeoffice-Benutzern Standortkopplung Dateiübertragung Backups Videokonferenzen Cloud-Zugriff über Zentrale Merksatz: VPN-Leistung hängt auch von Bandbreite und Gateway-Kapazität ab. --- **VPN und Latenz** Latenz ist die Verzögerung. VPN kann Latenz erhöhen, weil der Verkehr einen längeren Weg nimmt oder verschlüsselt verarbeitet wird. Besonders betroffen: Remote Desktop VoIP Datenbankanwendungen Echtzeitanwendungen interaktive Webanwendungen Merksatz: VPN kann Wege verlängern und Latenz erhöhen. --- **VPN und Protokollwahl** Die Protokollwahl beeinflusst Betrieb und Leistung. Beispiele: UDP ist oft besser für VPN-Performance. TCP über TCP kann bei manchen VPNs ungünstig sein. TCP 443 ist oft firewallfreundlich. UDP kann in manchen Netzen blockiert sein. IPsec braucht passende Ports und Protokolle. Merksatz: VPN-Protokoll muss zu Netzwerk, Sicherheit und Betrieb passen. --- **TCP-over-TCP-Problem** Wenn ein VPN über TCP läuft und darin wiederum TCP-Verkehr transportiert wird, können Leistungseinbußen entstehen. Grundidee: Zwei TCP-Schichten versuchen gleichzeitig, Verluste und Stau zu regeln. Das kann bei Paketverlust zu schlechter Performance führen. Merksatz: TCP im TCP-Tunnel kann Performanceprobleme verstärken. --- **VPN und NAT-Traversal** VPN-Verbindungen müssen oft durch NAT-Geräte. NAT-Traversal hilft, VPN-Verkehr durch NAT zu transportieren. Besonders relevant bei: IPsec hinter Routern Heimnetzen Mobilfunk Hotel-WLAN Provider-NAT Merksatz: NAT-Traversal hilft VPNs durch NAT-Umgebungen. --- **VPN und CGNAT** CGNAT kann eingehende Verbindungen erschweren. Für Remote-Access-VPN ist das oft weniger problematisch, wenn der Client nach außen zum VPN-Gateway verbindet. Für eigenes VPN-Gateway zuhause oder am kleinen Standort kann CGNAT problematisch sein, weil eingehende Verbindungen nicht direkt möglich sind. Merksatz: CGNAT stört vor allem, wenn ein VPN-Gateway von außen erreichbar sein muss. --- **VPN und Logs nach Art unterscheiden** Je nach VPN-Art sind andere Logs wichtig. Remote-Access: Benutzer Gerät MFA VPN-IP Gruppen Routen Site-to-Site: Tunnelstatus Peer-Adresse Phase 1 / Phase 2 Schlüssel Routen Security Associations Extranet: Partner Zugriffszeiten Zielsysteme Rollen Ablaufdatum Merksatz: VPN-Logs nach VPN-Art auswerten. --- **Typische Fehler bei Remote-Access-VPN** Häufige Fehler: - Benutzer kann sich nicht anmelden - MFA schlägt fehl - Zertifikat fehlt - VPN-Client veraltet - Client bekommt keine IP - interne Namen lösen nicht auf - Route fehlt - Zugriff wird durch Gruppe nicht erlaubt - lokales Heimnetz überschneidet sich - Endgerät unsicher oder nicht compliant Merksatz: Remote-Access-Fehler betreffen oft Benutzer, Client, DNS und Routen. --- **Typische Fehler bei Site-to-Site-VPN** Häufige Fehler: - Tunnel kommt nicht hoch - PSK stimmt nicht - Peer-Adresse falsch - Phase-1-Parameter falsch - Phase-2-Parameter falsch - Netze falsch definiert - Routing fehlt - Firewall-Regeln fehlen - IP-Netze überschneiden sich - einseitige Erreichbarkeit - NAT-Regeln stören Merksatz: Site-to-Site-Fehler betreffen oft Parameter, Netze, Routing und Firewall. --- **Phase 1 und Phase 2 bei IPsec** Bei IPsec spricht man häufig von Phase 1 und Phase 2. Vereinfacht: Phase 1: sichere Verbindung zwischen den VPN-Gateways aufbauen Phase 2: festlegen, welche Netze oder Daten über den Tunnel geschützt werden Typische Fehler: Parameter stimmen nicht überein. PSK falsch. Netze falsch definiert. Verschlüsselungsalgorithmen passen nicht. Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt die eigentlichen Netze. --- **Security Association** Security Association wird oft abgekürzt: SA Eine SA beschreibt ausgehandelte Sicherheitsparameter einer VPN-Verbindung. Dazu gehören zum Beispiel: Verschlüsselung Integritätsschutz Schlüssel Lebensdauer beteiligte Gegenstellen geschützte Netze Merksatz: SA beschreibt ausgehandelte VPN-Sicherheitsparameter. --- **VPN-Fehlersuche nach Art** | VPN-Art | zuerst prüfen | |---|---| | Remote-Access | Benutzer, MFA, Client, IP, DNS, Route | | Site-to-Site | Tunnelstatus, Peer, PSK, Phase 1/2, Routen | | Cloud-VPN | Cloud-Routing, Security Groups, lokale Firewall | | Extranet-VPN | Partnerkonto, Rollen, Zielsysteme, Ablaufdatum | | Admin-VPN | MFA, Adminrolle, Managementnetz, Logs | | Fernwartungs-VPN | Zeitfenster, Zielsystem, Protokollierung | Merksatz: Die VPN-Art bestimmt die Fehlersuche. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche VPN-Arten gibt es? - Was ist Remote-Access-VPN? - Was ist Client-to-Site-VPN? - Was ist Site-to-Site-VPN? - Wofür nutzt man Extranet-VPN? - Wofür nutzt man Cloud-VPN? - Was ist ein Admin-VPN? - Warum braucht Fernwartungs-VPN besondere Kontrolle? - Was ist Always-On-VPN? - Was ist Per-App-VPN? - Warum sind überlappende IP-Netze bei VPN problematisch? - Warum sind VPN-Zonen sinnvoll? - Warum ist ein Rollenmodell für VPN wichtig? - Was ist ein Pre-Shared Key? - Was bedeutet Phase 1 und Phase 2 bei IPsec? - Was ist eine Security Association? --- **Typische Prüfungsfallen** VPN ist ein Oberbegriff. Remote-Access-VPN verbindet Benutzer. Client-to-Site ist praktisch Remote-Access. Site-to-Site-VPN verbindet Netze. Extranet-VPN ist für externe Berechtigte. Cloud-VPN verbindet lokale und Cloud-Netze. Admin-VPN besonders schützen. Fernwartungs-VPN zeitlich begrenzen. Always-On-VPN startet automatisch. On-Demand-VPN startet bei Bedarf. Per-App-VPN gilt nur für bestimmte Apps. BYOD braucht besondere Gerätekontrolle. VPN-Zugriff nicht pauschal erlauben. IP-Netze dürfen sich nicht überschneiden. VPN braucht DNS und Routing. VPN-Gruppen steuern Zugriff. PSK muss stark und geheim sein. Phase 1 und Phase 2 nicht verwechseln. VPN-Logs je nach VPN-Art auswerten. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Remote-Access-VPN | Benutzer verbindet sich aus der Ferne | | Client-to-Site-VPN | einzelner Client verbindet sich mit Firmennetz | | Site-to-Site-VPN | zwei Netze werden verbunden | | Host-to-Host-VPN | zwei einzelne Systeme werden verbunden | | Extranet-VPN | VPN-Zugriff für externe Berechtigte | | Cloud-VPN | Verbindung zwischen lokalem Netz und Cloud-Netz | | Admin-VPN | besonders geschützter Adminzugang | | Fernwartungs-VPN | Wartungszugang für Support oder Hersteller | | Always-On-VPN | VPN startet automatisch dauerhaft | | On-Demand-VPN | VPN startet nur bei Bedarf | | Per-App-VPN | nur bestimmte Apps nutzen VPN | | BYOD | private Geräte im beruflichen Einsatz | | VPN-Zone | eigene Firewall-Zone für VPN-Verkehr | | VPN-Gruppe | Gruppe zur Steuerung von VPN-Rechten | | PSK | Pre-Shared Key | | NAT-Traversal | VPN durch NAT ermöglichen | | Phase 1 | IPsec-Aufbau zwischen Gateways | | Phase 2 | IPsec-Schutz der eigentlichen Netze | | Security Association | ausgehandelte Sicherheitsparameter | | Peer | VPN-Gegenstelle | | Tunnelstatus | Zustand einer VPN-Verbindung | --- **IHK-sichere Kurzformulierung** VPNs können je nach Einsatzzweck unterschiedlich aufgebaut sein. Remote-Access-VPN oder Client-to-Site-VPN verbindet einzelne Benutzer mit internen Ressourcen, während Site-to-Site-VPN ganze Netzwerke oder Standorte miteinander verbindet. Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff, Cloud-VPN verbindet lokale Netze mit Cloud-Netzen, und Admin- oder Fernwartungs-VPNs dienen besonders geschützten Administrations- oder Wartungszugängen. Für alle VPN-Arten sind eindeutige IP-Netze, passende Routen, DNS, Firewall-Regeln, starke Authentifizierung, Rollenmodelle, Protokollierung und Monitoring wichtig. Bei IPsec sind Phase 1 und Phase 2 zu unterscheiden: Phase 1 baut die sichere Verbindung zwischen Gateways auf, Phase 2 definiert die geschützten Netze oder Datenströme. --- **Merksätze** VPN ist ein Oberbegriff. VPN-Art richtet sich nach Einsatzzweck. Remote-Access verbindet Benutzer. Client-to-Site verbindet Client mit Netz. Site-to-Site verbindet Netze. Host-to-Host verbindet einzelne Systeme. Extranet-VPN ist für externe Berechtigte. Cloud-VPN verbindet lokal mit Cloud. Admin-VPN besonders absichern. Fernwartungs-VPN zeitlich begrenzen. Always-On-VPN startet automatisch. On-Demand-VPN startet bei Bedarf. Per-App-VPN gilt nur für bestimmte Apps. BYOD braucht klare Sicherheitsregeln. Dienstleisterzugriff nie pauschal erlauben. Standort-VPN braucht Netzplanung. Cloud-VPN braucht Regeln auf beiden Seiten. Überlappende Netze vermeiden. VPN braucht Routen. VPN braucht oft internes DNS. VPN-Zonen trennen Zugriffe. Gruppen steuern Berechtigungen. Rollenmodell verhindert Pauschalzugriff. MFA schützt externe Zugänge. Zertifikate brauchen Verwaltung. PSK stark und geheim halten. Kritische VPNs überwachen. VPN kann Latenz erhöhen. TCP-over-TCP kann bremsen. NAT-Traversal hilft durch NAT. Phase 1 verbindet Gateways. Phase 2 schützt Netze. Security Association beschreibt VPN-Sicherheitsparameter. # 14.3 **VPN-Protokolle: IPsec, IKEv2, OpenVPN, WireGuard und TLS-VPN** VPN ist ein Oberbegriff. Dahinter können unterschiedliche Protokolle und Techniken stehen. Die wichtigsten VPN-Protokolle und VPN-Techniken sind: - IPsec - IKEv2 - OpenVPN - WireGuard - TLS-VPN - L2TP/IPsec - PPTP als veraltetes Beispiel Merksatz: VPN beschreibt den Zweck. Das VPN-Protokoll beschreibt die technische Umsetzung. --- **Warum gibt es verschiedene VPN-Protokolle?** Nicht jedes VPN-Protokoll ist für denselben Zweck ideal. Unterschiede gibt es bei: - Sicherheit - Geschwindigkeit - Einrichtung - Firewall-Freundlichkeit - Betriebssystemunterstützung - Schlüsselaustausch - Authentifizierung - Ports und Protokollen - Wartbarkeit - Kompatibilität Merksatz: Das passende VPN-Protokoll hängt vom Einsatzfall ab. --- **Wichtige Auswahlkriterien** Bei der Auswahl eines VPN-Protokolls fragt man: Soll ein Benutzer oder ein Standort verbunden werden? Welche Betriebssysteme werden genutzt? Wird NAT verwendet? Gibt es Firewalls dazwischen? Ist hohe Geschwindigkeit wichtig? Wird MFA benötigt? Werden Zertifikate genutzt? Muss das VPN besonders einfach wartbar sein? Gibt es Unternehmensvorgaben? Gibt es Compliance-Anforderungen? Merksatz: VPN-Auswahl ist immer eine Kombination aus Sicherheit, Betrieb und Kompatibilität. --- **IPsec** IPsec steht für: Internet Protocol Security IPsec ist eine Protokollfamilie, die IP-Kommunikation absichern kann. IPsec wird häufig verwendet für: - Site-to-Site-VPN - Standortvernetzung - Cloud-VPN - Remote-Access-VPN - sichere Kommunikation zwischen Netzen Merksatz: IPsec schützt IP-Kommunikation auf Netzwerkebene. --- **IPsec im OSI-Modell** IPsec arbeitet besonders nah an Schicht 3. Warum? Es schützt IP-Pakete. Dadurch eignet sich IPsec gut, um ganze Netze miteinander zu verbinden. Beispiel: Standort A 192.168.10.0/24 ↔ Standort B 192.168.20.0/24 Merksatz: IPsec passt gut zu Netz-zu-Netz-Verbindungen. --- **IPsec-Grundidee** IPsec kann IP-Pakete schützen durch: - Verschlüsselung - Integritätsschutz - Authentifizierung - Schutz vor Manipulation - Schutz vor Wiederholungsangriffen Dabei werden Sicherheitsparameter zwischen den VPN-Gegenstellen ausgehandelt. Merksatz: IPsec schützt nicht nur vor Mitlesen, sondern auch vor Manipulation. --- **IPsec Tunnel Mode** Beim Tunnel Mode wird das ursprüngliche IP-Paket komplett eingepackt. Dabei entsteht ein neues äußeres IP-Paket. Typischer Einsatz: Site-to-Site-VPN Beispiel: internes Paket: 192.168.10.50 → 192.168.20.60 äußeres Paket: öffentliche IP Standort A → öffentliche IP Standort B Merksatz: Tunnel Mode schützt ganze IP-Pakete zwischen VPN-Gateways. --- **IPsec Transport Mode** Beim Transport Mode wird hauptsächlich die Nutzlast des IP-Pakets geschützt. Die ursprünglichen IP-Adressen bleiben Teil des äußeren Pakets. Typischer Einsatz: Host-zu-Host-Kommunikation In der Praxis ist für Standort-VPNs meist der Tunnel Mode wichtiger. Merksatz: Transport Mode schützt eher direkte Host-Kommunikation. --- **ESP** ESP steht für: Encapsulating Security Payload ESP ist ein wichtiger Bestandteil von IPsec. ESP kann bieten: - Verschlüsselung - Integritätsschutz - Authentifizierung ESP ist für viele IPsec-VPNs zentral. Merksatz: ESP schützt die Daten bei IPsec. --- **AH** AH steht für: Authentication Header AH bietet Authentifizierung und Integrität, aber keine Verschlüsselung des Inhalts. In vielen modernen IPsec-VPNs wird häufiger ESP verwendet. Merksatz: AH schützt Integrität, aber verschlüsselt nicht den Inhalt. --- **IKE** IKE steht für: Internet Key Exchange IKE wird genutzt, um bei IPsec Schlüssel und Sicherheitsparameter auszuhandeln. IKE regelt unter anderem: - Authentifizierung der Gegenstellen - Aushandlung von Verschlüsselung - Aushandlung von Integritätsschutz - Schlüsselerzeugung - Lebensdauer von Sicherheitsbeziehungen Merksatz: IKE handelt aus, wie IPsec gesichert wird. --- **IKEv1 und IKEv2** IKEv1 ist älter. IKEv2 ist moderner und wird häufig bevorzugt. IKEv2 bietet Vorteile wie: stabilere Verbindungen bessere Unterstützung für Mobilität bessere Wiederverbindung einfachere Aushandlung gute Eignung für Remote-Access Merksatz: IKEv2 ist die modernere Variante von IKE. --- **IPsec Phase 1** Bei IPsec wird häufig von Phase 1 gesprochen. Phase 1 bedeutet vereinfacht: Die VPN-Gegenstellen bauen eine sichere Steuerverbindung auf. Dabei wird geprüft: Wer ist die Gegenstelle? Welcher Schlüssel oder welches Zertifikat wird genutzt? Welche Verschlüsselung wird verwendet? Welche Integritätsprüfung wird verwendet? Wie lange gilt die Verbindung? Merksatz: Phase 1 sichert die Verbindung zwischen den VPN-Gateways. --- **IPsec Phase 2** Phase 2 bedeutet vereinfacht: Es wird festgelegt, welche eigentlichen Daten oder Netze geschützt werden. Beispiele: 192.168.10.0/24 ↔ 192.168.20.0/24 Oder: bestimmter Host ↔ bestimmter Host Dabei werden Sicherheitsparameter für den eigentlichen Datenverkehr ausgehandelt. Merksatz: Phase 2 schützt die eigentlichen Nutzdaten oder Netze. --- **Phase 1 und Phase 2 vergleichen** | Phase | Aufgabe | |---|---| | Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen aufbauen | | Phase 2 | geschützte Netze oder Datenströme festlegen | | Phase 1 Fehler | Tunnel kommt oft gar nicht hoch | | Phase 2 Fehler | Tunnel steht teilweise, aber Daten fließen nicht korrekt | Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt Netze. --- **Security Association** Security Association wird abgekürzt: SA Eine SA beschreibt ausgehandelte Sicherheitsparameter. Dazu gehören zum Beispiel: - Verschlüsselungsverfahren - Integritätsverfahren - Schlüssel - Lebensdauer - Gegenstellen - geschützte Netze - Richtung der Verbindung Merksatz: SA beschreibt, wie VPN-Verkehr geschützt wird. --- **Pre-Shared Key** Ein Pre-Shared Key wird abgekürzt: PSK Ein PSK ist ein vorher gemeinsam vereinbarter geheimer Schlüssel. Er wird häufig bei Site-to-Site-VPNs verwendet. Risiken: PSK ist zu kurz. PSK wird mehrfach verwendet. PSK wird unsicher gespeichert. PSK wird selten gewechselt. PSK ist zu vielen Personen bekannt. Merksatz: PSK muss stark, geheim und kontrolliert verwaltet werden. --- **Zertifikate bei IPsec** Statt PSK können VPNs Zertifikate verwenden. Vorteile: bessere Skalierbarkeit bessere Identitätsprüfung einzelne Zertifikate können widerrufen werden keine gemeinsamen Geheimnisse für alle Verbindungen gut für größere Umgebungen Wichtig: Zertifikate brauchen eine saubere PKI und Verwaltung. Merksatz: Zertifikate sind oft besser skalierbar als gemeinsame PSKs. --- **NAT-Traversal bei IPsec** IPsec kann Probleme mit NAT haben. Grund: NAT verändert IP-Adressen und manchmal Ports. NAT-Traversal hilft, IPsec durch NAT-Geräte zu transportieren. Typischer Begriff: NAT-T NAT-T kapselt IPsec-Verkehr so, dass er besser durch NAT-Umgebungen kommt. Merksatz: NAT-Traversal hilft IPsec durch NAT. --- **Typische Ports und Protokolle bei IPsec** Typisch relevant sind: | Zweck | Port / Protokoll | |---|---| | IKE | UDP 500 | | NAT-Traversal | UDP 4500 | | ESP | IP-Protokoll 50 | | AH | IP-Protokoll 51 | Wichtig: ESP und AH sind keine TCP- oder UDP-Ports, sondern eigene IP-Protokolle. Merksatz: IPsec ist nicht nur ein einzelner TCP-Port. --- **OpenVPN** OpenVPN ist eine verbreitete VPN-Lösung. Eigenschaften: - nutzt TLS - kann mit Zertifikaten arbeiten - kann UDP oder TCP verwenden - flexibel konfigurierbar - geeignet für Remote-Access und Site-to-Site - benötigt meist Clientsoftware Merksatz: OpenVPN ist flexibel und TLS-basiert. --- **OpenVPN über UDP** OpenVPN wird häufig über UDP betrieben. Vorteile: gute Performance weniger TCP-over-TCP-Probleme geeignet für VPN-Verkehr oft stabil bei Paketverlust Merksatz: OpenVPN über UDP ist häufig performanter. --- **OpenVPN über TCP** OpenVPN kann auch über TCP betrieben werden. Vorteile: kann in manchen Netzen leichter durch Firewalls TCP 443 wirkt ähnlich wie HTTPS-Verkehr manchmal nützlich in restriktiven Netzwerken Nachteile: TCP-over-TCP kann Performanceprobleme verursachen Merksatz: OpenVPN über TCP kann firewallfreundlich, aber langsamer sein. --- **TCP-over-TCP-Problem** Wenn ein VPN über TCP läuft und darin TCP-Verkehr transportiert wird, entstehen zwei TCP-Steuerungen übereinander. Beide versuchen: Paketverlust zu erkennen erneut zu senden Stau zu kontrollieren Das kann bei Paketverlust zu schlechter Leistung führen. Merksatz: TCP im TCP-Tunnel kann bremsen. --- **WireGuard** WireGuard ist ein modernes VPN-Protokoll. Eigenschaften: - schlank - schnell - vergleichsweise einfache Konfiguration - moderne Kryptografie - arbeitet typischerweise über UDP - gut für Remote-Access und Site-to-Site - Schlüssel stehen im Mittelpunkt Merksatz: WireGuard ist ein schlankes, modernes VPN-Protokoll über UDP. --- **WireGuard-Grundidee** WireGuard arbeitet mit öffentlichen und privaten Schlüsseln. Jeder Peer besitzt: privaten Schlüssel öffentlichen Schlüssel Die Gegenstelle kennt den öffentlichen Schlüssel. Zusätzlich werden Allowed IPs definiert. Allowed IPs bestimmen, welche IP-Adressen über den jeweiligen Peer geroutet werden. Merksatz: WireGuard arbeitet mit Peers, Schlüsseln und Allowed IPs. --- **WireGuard Peer** Ein Peer ist eine VPN-Gegenstelle. Beispiele: Notebook eines Benutzers Server Firewall Router Standort-Gateway Jeder Peer braucht passende Schlüssel und passende Routing-Angaben. Merksatz: Peer = WireGuard-Gegenstelle. --- **Allowed IPs bei WireGuard** Allowed IPs haben bei WireGuard zwei wichtige Bedeutungen: Welche Zielnetze gehen über diesen Peer? Welche Quell-IP-Adressen werden von diesem Peer akzeptiert? Beispiel: AllowedIPs = 10.8.0.2/32 für einen einzelnen Client. Oder: AllowedIPs = 192.168.20.0/24 für ein Standortnetz. Merksatz: Allowed IPs sind bei WireGuard Routing und Zugriffskontrolle zugleich. --- **TLS-VPN** TLS-VPN nutzt TLS als Grundlage für den sicheren Tunnel. Es wird oft auch SSL-VPN genannt, obwohl TLS fachlich der modernere Begriff ist. Einsatz: Remote-Access Webportale Clientbasierter Zugriff Zugriff über TCP 443 manchmal browserbasierter Zugriff Merksatz: SSL-VPN meint in der Praxis meistens TLS-VPN. --- **TLS-VPN und HTTPS** TLS-VPN kann firewallfreundlich sein, weil es häufig über TCP 443 läuft. Das ist derselbe Port, der auch für HTTPS genutzt wird. Vorteil: funktioniert oft in restriktiven Netzen besser Nachteil: Port 443 allein sagt nicht, ob es normaler Webverkehr oder VPN ist. Merksatz: TLS-VPN nutzt häufig Mechanismen ähnlich wie HTTPS. --- **Clientless VPN** Clientless VPN bedeutet: Benutzer greift über Browser auf ein Portal zu, ohne klassischen vollständigen VPN-Client. Beispiel: Webportal stellt interne Webanwendung bereit. Vorteile: einfacher Zugriff weniger Clientinstallation gut für einzelne Webanwendungen Nachteile: nicht für alle Protokolle geeignet weniger flexibel als vollständiger Tunnel Merksatz: Clientless VPN ist eher Portalzugriff als kompletter Netzwerktunnel. --- **L2TP/IPsec** L2TP steht für: Layer 2 Tunneling Protocol L2TP selbst bietet keine ausreichende Verschlüsselung. Deshalb wird es häufig mit IPsec kombiniert. Einsatz: ältere oder kompatible VPN-Setups bestimmte Betriebssystem-Clients Remote-Access Merksatz: L2TP braucht IPsec, wenn es sicher sein soll. --- **PPTP** PPTP steht für: Point-to-Point Tunneling Protocol PPTP ist veraltet und gilt nicht mehr als sicher. Es sollte in modernen Umgebungen nicht mehr verwendet werden. Merksatz: PPTP kennen, aber nicht mehr einsetzen. --- **VPN-Protokolle vergleichen** | Protokoll | Typischer Einsatz | Kurzbewertung | |---|---|---| | IPsec / IKEv2 | Site-to-Site, Remote-Access | etabliert, stark, komplexer | | OpenVPN | Remote-Access, Site-to-Site | flexibel, weit verbreitet | | WireGuard | Remote-Access, Site-to-Site | modern, schnell, schlank | | TLS-VPN | Remote-Access | oft firewallfreundlich | | L2TP/IPsec | ältere Setups | kompatibel, aber weniger modern | | PPTP | veraltet | nicht mehr sicher | Merksatz: Moderne VPNs bevorzugen IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. --- **VPN und Ports vergleichen** | Technik | typische Ports / Protokolle | |---|---| | IPsec IKE | UDP 500 | | IPsec NAT-T | UDP 4500 | | IPsec ESP | IP-Protokoll 50 | | OpenVPN | oft UDP 1194 oder TCP/UDP konfigurierbar | | WireGuard | oft UDP 51820 | | TLS-VPN | häufig TCP 443 | | L2TP | UDP 1701 plus IPsec | | PPTP | TCP 1723 plus GRE | Wichtig: Ports können je nach Konfiguration abweichen. Merksatz: VPN-Fehlersuche braucht Wissen über verwendete Ports und Protokolle. --- **VPN und Verschlüsselung** VPN-Protokolle nutzen kryptografische Verfahren für: Vertraulichkeit Integrität Authentizität Schlüsselaustausch Wichtig: Nicht nur das VPN-Protokoll zählt, sondern auch die konkrete Konfiguration. Beispiele: alte Algorithmen vermeiden schwache Schlüssel vermeiden unsichere Protokolle abschalten Zertifikate korrekt prüfen aktuelle Software nutzen Merksatz: Sicheres VPN braucht sicheres Protokoll und sichere Konfiguration. --- **VPN und Perfect Forward Secrecy** Perfect Forward Secrecy wird oft abgekürzt: PFS PFS bedeutet vereinfacht: Selbst wenn ein langfristiger Schlüssel später kompromittiert wird, sollen alte Sitzungen nicht einfach nachträglich entschlüsselt werden können. PFS wird durch geeignete Schlüsselaustauschverfahren erreicht. Merksatz: PFS schützt alte Sitzungen besser bei späterem Schlüsselverlust. --- **VPN und Schlüssel-Lebensdauer** Viele VPNs arbeiten mit Schlüssel- oder SA-Lebensdauern. Nach Ablauf werden Schlüssel neu ausgehandelt. Zweck: Sicherheitsverbesserung Begrenzung der Datenmenge pro Schlüssel regelmäßige Erneuerung der Sicherheitsparameter Typischer Fehler: Gegenstellen haben stark unterschiedliche Lebensdauern oder inkompatible Einstellungen. Merksatz: VPN-Gegenstellen müssen bei Sicherheitsparametern zusammenpassen. --- **VPN und Kompatibilität** VPN-Probleme entstehen oft, wenn Gegenstellen unterschiedliche Einstellungen erwarten. Beispiele: Verschlüsselungsalgorithmus passt nicht. Hashverfahren passt nicht. DH-Gruppe passt nicht. PSK stimmt nicht. Zertifikat wird nicht vertraut. Phase-2-Netze passen nicht. Lebensdauer passt nicht. NAT-T ist unterschiedlich eingestellt. Merksatz: VPN-Gegenstellen müssen dieselbe Sprache sprechen. --- **Typische IPsec-Fehler** Häufige Fehler: - falscher Pre-Shared Key - falsche Peer-Adresse - Phase 1 passt nicht - Phase 2 passt nicht - falsche Netze definiert - Routing fehlt - Firewall blockiert UDP 500 oder UDP 4500 - ESP wird blockiert - NAT-T fehlt - Zertifikat ungültig - Uhrzeit falsch Merksatz: IPsec-Fehler liegen oft an Parametern, Routing oder Firewall. --- **Typische OpenVPN-Fehler** Häufige Fehler: - falsche Serveradresse - falscher Port - UDP blockiert - Zertifikat ungültig - Clientprofil falsch - Benutzer nicht berechtigt - Route fehlt - DNS fehlt - TLS-Handshake schlägt fehl - MTU-Problem Merksatz: OpenVPN-Fehler mit Profil, Zertifikat, Port, Route und DNS prüfen. --- **Typische WireGuard-Fehler** Häufige Fehler: - falscher öffentlicher Schlüssel - falscher privater Schlüssel - Allowed IPs falsch - Endpoint falsch - UDP-Port blockiert - Route fehlt - NAT oder Firewall blockiert - kein Persistent Keepalive bei NAT-Szenario - IP-Adresskonflikt - Gegenstelle antwortet nicht Merksatz: WireGuard-Fehler liegen oft an Schlüsseln, Allowed IPs, Endpoint oder Routing. --- **Persistent Keepalive bei WireGuard** Persistent Keepalive kann helfen, wenn ein WireGuard-Peer hinter NAT sitzt. Grund: NAT-Zuordnungen können nach einiger Zeit ablaufen. Mit Keepalive sendet der Peer regelmäßig kleine Pakete, damit die NAT-Zuordnung bestehen bleibt. Merksatz: Persistent Keepalive hilft WireGuard hinter NAT. --- **Typische TLS-VPN-Fehler** Häufige Fehler: - Portal nicht erreichbar - Zertifikat ungültig - MFA schlägt fehl - Benutzer nicht berechtigt - Clientplugin oder Clientsoftware fehlt - Richtlinie erlaubt Ziel nicht - DNS über VPN fehlt - Session läuft ab - Browser blockiert Inhalt Merksatz: TLS-VPN-Fehler betreffen oft Portal, Zertifikat, MFA oder Richtlinie. --- **VPN-Protokoll und Firewall** Für VPN-Verbindungen müssen Firewalls den passenden Verkehr erlauben. Zu prüfen: Welcher Port? TCP oder UDP? Eigenes IP-Protokoll? NAT beteiligt? Verbindung von innen nach außen oder von außen nach innen? Rückverkehr erlaubt? Provider blockiert etwas? Merksatz: VPN funktioniert nur, wenn Firewall und Protokoll zusammenpassen. --- **VPN-Protokoll und NAT** Manche VPN-Protokolle kommen besser mit NAT zurecht als andere. Wichtige Punkte: NAT verändert Adressen. Manche Protokolle verwenden eigene IP-Protokolle. UDP-basierte Protokolle brauchen NAT-Zuordnung. NAT-Traversal kann nötig sein. CGNAT kann eingehende Verbindungen verhindern. Merksatz: NAT ist bei VPN oft ein wichtiger Fehlerfaktor. --- **VPN-Protokoll und Betriebssysteme** Nicht jedes Betriebssystem unterstützt jedes VPN gleich gut. Zu prüfen: nativer Client vorhanden? Zusatzsoftware nötig? MDM-Unterstützung? Zertifikatsverwaltung möglich? MFA integrierbar? Always-On möglich? Per-App-VPN möglich? Benutzerfreundlichkeit? Merksatz: VPN-Protokoll muss auch zu den Endgeräten passen. --- **VPN-Protokoll und Sicherheitspolitik** Ein Unternehmen sollte festlegen: Welche VPN-Protokolle sind erlaubt? Welche sind verboten? Welche Algorithmen sind erlaubt? Wie werden Schlüssel verwaltet? Ist MFA Pflicht? Wie werden Zertifikate erneuert? Wie werden Logs gespeichert? Wer darf VPN nutzen? Welche Zugriffe sind erlaubt? Merksatz: VPN-Sicherheit braucht technische und organisatorische Vorgaben. --- **Veraltete VPN-Verfahren vermeiden** Veraltete oder schwache Verfahren sollten nicht mehr genutzt werden. Beispiele: PPTP vermeiden schwache PSKs vermeiden alte TLS-Versionen vermeiden unsichere Algorithmen vermeiden unsichere Hashverfahren vermeiden gemeinsame Konten vermeiden fehlende MFA vermeiden Merksatz: Veraltete VPN-Verfahren sind ein Sicherheitsrisiko. --- **VPN-Protokolle in der Fehlersuche** Bei VPN-Problemen zuerst klären: Welches VPN-Protokoll wird genutzt? Welcher Port wird genutzt? TCP oder UDP? Welche Gegenstellen? Remote-Access oder Site-to-Site? PSK oder Zertifikat? Welche Netze sollen durch den Tunnel? Welche Logs gibt es? Merksatz: Ohne Protokollwissen ist VPN-Fehlersuche ungenau. --- **Checkliste: VPN-Protokoll prüfen** 1. VPN-Art bestimmen. 2. VPN-Protokoll bestimmen. 3. Ports und Protokolle prüfen. 4. Firewall-Freigaben prüfen. 5. NAT oder CGNAT prüfen. 6. Authentifizierung prüfen. 7. Schlüssel oder Zertifikate prüfen. 8. Routen prüfen. 9. DNS prüfen. 10. Logs prüfen. 11. Sicherheitsparameter vergleichen. 12. Gegenstelle prüfen. Merksatz: VPN-Protokoll, Ports, Schlüssel, Routen und Logs gemeinsam prüfen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist IPsec? - Was ist IKE? - Wofür wird IKEv2 genutzt? - Was ist der Unterschied zwischen IPsec Tunnel Mode und Transport Mode? - Was ist ESP? - Was ist AH? - Was bedeutet Phase 1 bei IPsec? - Was bedeutet Phase 2 bei IPsec? - Was ist eine Security Association? - Was ist ein Pre-Shared Key? - Warum ist NAT-Traversal bei IPsec wichtig? - Was ist OpenVPN? - Was ist WireGuard? - Was bedeutet Allowed IPs bei WireGuard? - Was ist TLS-VPN? - Warum ist PPTP veraltet? - Warum kann TCP-over-TCP problematisch sein? --- **Typische Prüfungsfallen** VPN ist Oberbegriff, nicht ein einzelnes Protokoll. IPsec arbeitet nah an Schicht 3. IKE handelt Schlüssel aus. IKEv2 ist moderner als IKEv1. ESP schützt Daten bei IPsec. AH verschlüsselt nicht. Tunnel Mode ist wichtig für Site-to-Site. Transport Mode eher für Host-to-Host. Phase 1 verbindet Gateways. Phase 2 schützt Netze. SA beschreibt Sicherheitsparameter. PSK muss stark und geheim sein. UDP 500 und UDP 4500 bei IPsec kennen. ESP ist kein TCP- oder UDP-Port. OpenVPN kann UDP oder TCP nutzen. OpenVPN über UDP ist oft performanter. TCP-over-TCP kann bremsen. WireGuard nutzt Peers und Schlüssel. Allowed IPs bei WireGuard sind wichtig. TLS-VPN wird oft SSL-VPN genannt. L2TP braucht IPsec für Sicherheit. PPTP ist veraltet und unsicher. VPN-Sicherheit hängt auch von Konfiguration ab. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | VPN-Protokoll | technische Umsetzung eines VPN | | IPsec | Absicherung von IP-Kommunikation | | IKE | Schlüsselaushandlung für IPsec | | IKEv2 | moderne IKE-Version | | Tunnel Mode | gesamtes IP-Paket wird geschützt eingepackt | | Transport Mode | Nutzlast wird geschützt | | ESP | IPsec-Bestandteil für Verschlüsselung und Integrität | | AH | IPsec-Bestandteil für Authentizität und Integrität ohne Verschlüsselung | | Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen | | Phase 2 | Schutz der eigentlichen Netze oder Datenströme | | SA | Security Association | | PSK | Pre-Shared Key | | NAT-T | NAT-Traversal | | OpenVPN | flexible TLS-basierte VPN-Lösung | | WireGuard | modernes schlankes VPN-Protokoll | | Peer | VPN-Gegenstelle bei WireGuard | | Allowed IPs | Routing- und Zuordnungsangabe bei WireGuard | | TLS-VPN | VPN auf Basis von TLS | | SSL-VPN | ältere Bezeichnung für TLS-VPN | | Clientless VPN | browserbasierter Portalzugriff | | L2TP/IPsec | L2TP kombiniert mit IPsec | | PPTP | veraltetes VPN-Protokoll | | TCP-over-TCP | TCP-Verkehr in TCP-Tunnel | | Persistent Keepalive | Keepalive für WireGuard hinter NAT | --- **IHK-sichere Kurzformulierung** VPN ist ein Oberbegriff für verschlüsselte Tunnelverbindungen. Technisch können verschiedene Protokolle eingesetzt werden, zum Beispiel IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. IPsec arbeitet nah an der IP-Schicht und wird häufig für Site-to-Site-VPNs genutzt. IKE handelt dabei Schlüssel und Sicherheitsparameter aus. Bei IPsec beschreibt Phase 1 den Aufbau einer sicheren Verbindung zwischen den VPN-Gegenstellen, während Phase 2 die geschützten Netze oder Datenströme festlegt. OpenVPN ist TLS-basiert und kann über UDP oder TCP betrieben werden. WireGuard arbeitet mit Peers, öffentlichen und privaten Schlüsseln sowie Allowed IPs. TLS-VPN nutzt TLS und wird häufig für Remote-Access eingesetzt. Veraltete Verfahren wie PPTP sollten nicht mehr verwendet werden. --- **Merksätze** VPN ist ein Oberbegriff. VPN-Protokoll ist die technische Umsetzung. IPsec schützt IP-Kommunikation. IPsec arbeitet nah an Schicht 3. Tunnel Mode schützt ganze IP-Pakete. Transport Mode schützt eher Host-Kommunikation. ESP schützt Daten. AH verschlüsselt nicht. IKE handelt Schlüssel aus. IKEv2 ist moderner als IKEv1. Phase 1 verbindet Gateways. Phase 2 schützt Netze. SA beschreibt Sicherheitsparameter. PSK muss stark und geheim sein. Zertifikate sind gut für größere Umgebungen. NAT-T hilft IPsec durch NAT. UDP 500 gehört zu IKE. UDP 4500 gehört zu NAT-T. ESP ist IP-Protokoll 50. OpenVPN ist TLS-basiert. OpenVPN über UDP ist oft performanter. OpenVPN über TCP kann firewallfreundlich sein. TCP-over-TCP kann bremsen. WireGuard ist schlank und modern. WireGuard arbeitet mit Peers. Allowed IPs sind bei WireGuard sehr wichtig. Persistent Keepalive hilft hinter NAT. TLS-VPN nutzt TLS. SSL-VPN meint meist TLS-VPN. Clientless VPN ist Portalzugriff. L2TP braucht IPsec für Sicherheit. PPTP ist veraltet. Sicheres VPN braucht sichere Konfiguration. VPN-Fehler immer mit Protokoll, Ports, Schlüsseln, Routen und Logs prüfen. # 14.4 **VPN-Routing, DNS und Firewall-Regeln** Ein VPN-Tunnel allein reicht nicht aus, damit interne Dienste erreichbar sind. Zusätzlich müssen passen: - IP-Adressbereiche - Routing - DNS - Firewall-Regeln - NAT-Regeln - Berechtigungen - Rückwege - Client-Konfiguration Merksatz: VPN verbunden heißt nicht automatisch: Ziel erreichbar. --- **Warum Routing bei VPN wichtig ist** Routing entscheidet, über welchen Weg ein Paket geschickt wird. Wenn ein Client per VPN verbunden ist, muss sein System wissen: Welche Ziele liegen im VPN? Welche Ziele liegen im lokalen Netz? Welche Ziele gehen direkt ins Internet? Fehlt eine passende Route, geht der Verkehr nicht durch den VPN-Tunnel. Merksatz: Ohne Route kein Weg durch den Tunnel. --- **VPN-Routing einfach erklärt** Beispiel: VPN-Client: 10.8.0.20 Firmennetz: 192.168.10.0/24 Damit der Client das Firmennetz erreicht, braucht er eine Route: Zielnetz 192.168.10.0/24 über VPN-Tunnel Wenn diese Route fehlt, sendet der Client die Pakete eventuell an sein lokales Gateway. Merksatz: Der Client muss wissen, welche Netze über VPN erreichbar sind. --- **Routingtabelle** Eine Routingtabelle enthält Wege zu Netzwerken. Sie beantwortet: Wohin schicke ich Pakete für dieses Zielnetz? Typische Einträge: Standardroute lokale Netzroute VPN-Route Hostroute spezifische Netzroute Merksatz: Routingtabelle = Wegweiser für IP-Pakete. --- **Standardroute** Die Standardroute wird genutzt, wenn keine spezifischere Route passt. Sie zeigt meist zum lokalen Internetrouter. Beispiel: 0.0.0.0/0 über lokales Gateway Bei Full Tunnel kann die Standardroute über VPN gesetzt werden. Merksatz: Standardroute ist der Weg für alles, was nicht genauer bekannt ist. --- **Spezifischere Route gewinnt** Routing arbeitet nach dem Prinzip: die genaueste passende Route gewinnt. Beispiel: 0.0.0.0/0 über lokales Gateway 192.168.10.0/24 über VPN Wenn Ziel 192.168.10.50 ist, gewinnt die spezifische VPN-Route. Merksatz: Genauere Route gewinnt vor allgemeiner Route. --- **Split Tunnel** Split Tunnel bedeutet: Nur bestimmte Netze gehen durch VPN. Beispiel: Firmennetze: durch VPN normales Internet: direkt lokal Vorteile: weniger Last auf VPN weniger Bandbreitenbedarf in der Firma oft bessere Performance für normale Internetdienste Nachteile: weniger zentrale Kontrolle Sicherheitsrichtlinien schwieriger einheitlich durchsetzbar Merksatz: Split Tunnel leitet nur ausgewählten Verkehr durch VPN. --- **Full Tunnel** Full Tunnel bedeutet: Der gesamte Verkehr läuft durch VPN. Auch Internetverkehr geht zuerst zum Unternehmen. Vorteile: zentrale Kontrolle zentrale Filterung einheitliche Sicherheitsrichtlinien bessere Protokollierung Nachteile: mehr Last höhere Latenz mehr Bandbreite nötig VPN-Gateway wird kritischer Merksatz: Full Tunnel leitet alles durch VPN. --- **Split Tunnel und Full Tunnel vergleichen** | Merkmal | Split Tunnel | Full Tunnel | |---|---|---| | Firmennetze | über VPN | über VPN | | Internetverkehr | direkt lokal | über VPN | | Last auf VPN | geringer | höher | | zentrale Kontrolle | geringer | höher | | Performance | oft besser | abhängig vom VPN | | Sicherheitspolitik | schwieriger | zentraler | Merksatz: Split Tunnel spart Last. Full Tunnel gibt mehr Kontrolle. --- **VPN-Adresspool** Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse bekommen. Beispiel: 10.8.0.0/24 Ein Client erhält dann zum Beispiel: 10.8.0.20 Diese Adresse wird in Firewall-Regeln, Routing und Logs verwendet. Merksatz: VPN-Adresspool bestimmt, aus welchem Netz VPN-Clients kommen. --- **VPN-Adresspool darf sich nicht überschneiden** Der VPN-Adresspool darf sich nicht mit anderen Netzen überschneiden. Problematisch: VPN-Pool: 192.168.1.0/24 Heimnetz des Benutzers: 192.168.1.0/24 Dann ist unklar, ob 192.168.1.50 lokal oder über VPN erreichbar ist. Merksatz: Überlappende Netze verursachen VPN-Routingprobleme. --- **Adresskonflikt mit Heimnetz** Ein sehr häufiger VPN-Fehler: Firmennetz: 192.168.1.0/24 Heimnetz: 192.168.1.0/24 Der Client denkt dann oft: 192.168.1.x ist lokal und sendet Pakete nicht durch den VPN-Tunnel. Folge: interne Systeme sind nicht erreichbar. Merksatz: Häufige Heimnetzbereiche im Firmennetz vermeiden. --- **Typische problematische Heimnetzbereiche** Viele Heimrouter nutzen Standardnetze wie: 192.168.0.0/24 192.168.1.0/24 192.168.2.0/24 192.168.178.0/24 Wenn Unternehmen dieselben Netze intern nutzen, kann VPN-Zugriff aus dem Homeoffice Probleme machen. Merksatz: Für Firmennetze möglichst eindeutige, weniger typische Adressbereiche planen. --- **Route fehlt** Fehlt eine VPN-Route, kann der Tunnel verbunden sein, aber interne Netze sind trotzdem nicht erreichbar. Typisches Fehlerbild: VPN zeigt verbunden. Internet geht. interne IPs gehen nicht. interne Namen gehen nicht. nur VPN-Gateway erreichbar. Mögliche Ursache: Route zu internem Netz wurde nicht verteilt. Merksatz: VPN-Status grün heißt nicht: Routen stimmen. --- **Route zum Zielnetz fehlt** Beispiel: Ziel: 10.20.30.50 Benötigte Route: 10.20.30.0/24 über VPN Wenn nur 192.168.10.0/24 über VPN geroutet wird, ist 10.20.30.50 nicht erreichbar. Merksatz: Jedes gewünschte Zielnetz braucht eine passende Route. --- **Rückroute fehlt** Nicht nur der Client braucht eine Route zum Ziel. Auch das Zielnetz muss wissen, wie es zum VPN-Client zurückkommt. Beispiel: VPN-Client: 10.8.0.20 Server: 192.168.10.50 Der Server oder sein Gateway braucht einen Rückweg zu: 10.8.0.0/24 Merksatz: VPN braucht Hinweg und Rückweg. --- **Asymmetrisches Routing bei VPN** Asymmetrisches Routing bedeutet: Hinweg und Rückweg laufen über unterschiedliche Wege. Bei Firewalls kann das problematisch sein, weil Stateful Firewalls den Verbindungszustand verfolgen. Wenn die Antwort einen anderen Weg nimmt, kann sie blockiert werden. Merksatz: Stateful Firewalls brauchen passenden Hin- und Rückweg. --- **VPN und NAT** Manchmal wird NAT auch bei VPN genutzt. Beispiele: überlappende Netze müssen übersetzt werden VPN-Clients sollen mit bestimmter Quell-IP erscheinen Partnernetz darf interne echte Adressen nicht sehen Cloud-Netz erwartet bestimmte Adressbereiche Aber: NAT macht Fehlersuche komplizierter. Merksatz: NAT im VPN kann helfen, aber erschwert Analyse und Dokumentation. --- **NAT bei überlappenden Netzen** Wenn zwei Seiten dasselbe Netz verwenden, kann NAT eine technische Umgehung sein. Beispiel: Standort A: 192.168.1.0/24 Standort B: 192.168.1.0/24 Eine Seite wird für den Tunnel in ein anderes Netz übersetzt. Aber: Das ist meist komplizierter als saubere IP-Planung. Merksatz: NAT kann Adresskonflikte umgehen, ersetzt aber keine gute Netzplanung. --- **VPN-DNS** VPN-DNS sorgt dafür, dass interne Namen korrekt aufgelöst werden. Beispiele: intranet.firma.local fileserver.firma.local wiki.intern dc01.firma.local Dafür erhält der VPN-Client meist: interne DNS-Server DNS-Suffix Suchdomäne Split-DNS-Regeln Merksatz: VPN braucht oft interne DNS-Konfiguration. --- **DNS-Server über VPN** Der VPN-Client kann interne DNS-Server zugewiesen bekommen. Beispiel: DNS-Server: 192.168.10.10 Damit kann er interne Namen auflösen. Wenn der interne DNS-Server nicht erreichbar ist, funktioniert Namensauflösung trotz VPN nicht. Merksatz: Interner DNS muss über VPN erreichbar und erlaubt sein. --- **DNS-Suffix** Ein DNS-Suffix ergänzt kurze Namen. Beispiel: Benutzer gibt ein: fileserver Mit DNS-Suffix wird daraus: fileserver.firma.local Fehlt das DNS-Suffix, funktionieren kurze interne Namen eventuell nicht. Merksatz: DNS-Suffix hilft bei kurzen internen Namen. --- **Split DNS** Split DNS bedeutet: interne Namen werden über interne DNS-Server aufgelöst externe Namen werden normal oder öffentlich aufgelöst Beispiel: firma.local über VPN-DNS öffentliche Webseiten über normalen DNS Merksatz: Split DNS trennt interne und externe Namensauflösung. --- **Fehlerbild: Interne Namen gehen nicht** Mögliche Ursachen: - interner DNS wird nicht verteilt - DNS-Suffix fehlt - DNS-Anfragen gehen nicht durch VPN - DNS-Server über VPN nicht erreichbar - Firewall blockiert UDP/TCP 53 - Split DNS falsch - falscher DNS-Server antwortet - lokale DNS-Cache-Einträge sind alt Merksatz: VPN-Namensprobleme sind oft DNS- oder Split-DNS-Probleme. --- **Fehlerbild: IP geht, Name nicht** Wenn interne IP-Adresse funktioniert, aber interner Name nicht, liegt der Fehler meist bei DNS. Beispiel: 192.168.10.50 funktioniert. fileserver.firma.local funktioniert nicht. Prüfen: DNS-Server DNS-Suffix DNS-Record Firewall für DNS Split DNS Cache Merksatz: IP geht, Name nicht: DNS prüfen. --- **VPN und Firewall-Regeln** Ein VPN-Tunnel bedeutet nicht automatisch, dass alle Ziele erlaubt sind. Die Firewall muss regeln: Welche VPN-Gruppe darf wohin? Welche Ports sind erlaubt? Welche Protokolle sind erlaubt? Welche Richtung gilt? Welche Zone ist beteiligt? Wird der Zugriff protokolliert? Merksatz: VPN braucht gezielte Firewall-Regeln. --- **VPN-Zone** VPN-Verkehr sollte in eigene Firewall-Zonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Admin VPN-Dienstleister VPN-Partner Site-to-Site-Partner Cloud-VPN Vorteil: Regeln können gezielt und übersichtlich erstellt werden. Merksatz: VPN-Zonen verhindern pauschale Vermischung mit LAN. --- **Regelprinzip für VPN** Nicht gut: VPN → LAN any allow Besser: VPN-Mitarbeiter → Intranet HTTPS erlauben VPN-Support → bestimmte Clients RDP erlauben VPN-Admin → Managementnetz SSH/RDP erlauben VPN-Dienstleister → Wartungsserver erlauben Merksatz: VPN-Zugriff nach Rolle, Ziel und Dienst begrenzen. --- **VPN und Least Privilege** Least Privilege bedeutet: nur notwendige Rechte und Zugriffe erlauben. Bei VPN heißt das: nicht alle Netze nicht alle Ports nicht alle Benutzer nicht dauerhaft nicht ohne Protokollierung Merksatz: VPN-Zugang so eng wie möglich freigeben. --- **VPN und Gruppen** VPN-Zugriffe werden oft über Gruppen gesteuert. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admins VPN-Externe VPN-Cloud-Admins Gruppen steuern: Routen Firewall-Regeln DNS Zugriff auf Anwendungen MFA-Anforderungen Merksatz: Gruppen machen VPN-Zugriff verwaltbar. --- **VPN und Benutzerrechte** VPN-Zugang allein gibt noch keine Anwendungsrechte. Beispiel: Benutzer erreicht Dateiserver per VPN. Trotzdem braucht er: gültige Anmeldung Freigaberecht Dateisystemrecht Gruppenmitgliedschaft Merksatz: Netzwerkzugang ist nicht dasselbe wie Anwendungsberechtigung. --- **VPN und Host-Firewall** Auch wenn die zentrale Firewall Zugriff erlaubt, kann die lokale Firewall des Zielsystems blockieren. Beispiele: Windows Defender Firewall blockiert RDP. Linux-Firewall blockiert SSH. Server erlaubt nur internes LAN, aber nicht VPN-Pool. Merksatz: Zielsystem-Firewall muss VPN-Quellen ebenfalls erlauben. --- **VPN und Serverdienste** Der Zielserver muss auf dem richtigen Port lauschen. Prüfen: Dienst läuft? Dienst lauscht auf richtiger IP? Dienst lauscht auf richtigem Port? Dienst erlaubt VPN-Quellen? Anwendung erlaubt Benutzer? Logs zeigen Fehler? Merksatz: VPN erreicht nur Dienste, die auch wirklich laufen und erreichbar sind. --- **VPN und Rückweg über Gateway** Ein Server antwortet meist über sein Standardgateway. Wenn das Gateway keine Route zum VPN-Adresspool kennt, geht die Antwort falsch. Beispiel: Server will zu 10.8.0.20 antworten. Gateway kennt 10.8.0.0/24 nicht. Folge: Antwort kommt nicht zurück. Merksatz: Zielnetz muss den VPN-Pool zurückrouten können. --- **VPN und interne Firewalls** In größeren Netzen gibt es oft mehrere Firewalls. Beispiel: VPN-Gateway → Core-Firewall → Servernetz-Firewall → Host-Firewall Jede dieser Stellen kann blockieren. Merksatz: Bei VPN-Zugriff alle Filterstellen auf dem Weg prüfen. --- **VPN und VLANs** VPN-Benutzer können Zugriff auf bestimmte VLANs erhalten. Beispiele: Client-VLAN Server-VLAN Management-VLAN DMZ-VLAN Wichtig: VPN-Zugriff auf Management-VLAN besonders stark begrenzen. Merksatz: VLAN-Zugriff über VPN bewusst steuern. --- **VPN und DMZ** VPN-Gateways können in einer DMZ stehen. Warum? Sie sind von außen erreichbar und sollten vom internen LAN getrennt sein. Nach erfolgreichem VPN-Aufbau dürfen Benutzer nur über definierte Regeln weiter ins interne Netz. Merksatz: VPN-Gateway in DMZ, Zugriff ins LAN nur geregelt. --- **VPN und Extranet** Bei Extranet-Zugängen gilt besonders: externe Benutzer nur auf benötigte Systeme keine pauschale LAN-Freigabe eigene Benutzerkonten MFA Ablaufdatum Protokollierung regelmäßige Prüfung Merksatz: Extranet-VPN braucht besonders enge Regeln. --- **VPN und Cloud-Netze** Bei Cloud-VPN müssen beide Seiten passen. Lokale Seite: Routen Firewall NAT DNS Cloud-Seite: Routing Table Security Group Network Security Group Cloud Firewall Subnetze DNS Merksatz: Cloud-VPN braucht Regeln und Routen auf beiden Seiten. --- **VPN und IPv6** VPN kann IPv4, IPv6 oder beides transportieren. Wichtig: Wenn IPv6 aktiv ist, müssen auch IPv6-Routen und IPv6-Firewall-Regeln stimmen. Problem: IPv4 funktioniert über VPN, aber IPv6 nimmt anderen Weg. Merksatz: Dual Stack bedeutet: IPv4 und IPv6 prüfen. --- **VPN-Leak** Ein VPN-Leak bedeutet: Verkehr geht unerwartet außerhalb des VPN-Tunnels. Beispiele: DNS-Leak: DNS-Anfragen gehen an lokalen Provider statt internen DNS. IPv6-Leak: IPv6-Verkehr geht direkt ins Internet statt durch VPN. Split-Tunnel-Fehlkonfiguration: sensible Ziele gehen nicht durch VPN. Merksatz: VPN-Leak bedeutet: Verkehr nimmt unerwartet den falschen Weg. --- **DNS-Leak** Ein DNS-Leak liegt vor, wenn DNS-Anfragen nicht wie vorgesehen über den VPN-DNS laufen. Folgen: interne Namen funktionieren nicht Provider sieht DNS-Anfragen Sicherheitsrichtlinien werden umgangen falsche Antworten werden genutzt Merksatz: DNS-Leak betrifft Namensauflösung außerhalb des gewünschten Weges. --- **IPv6-Leak** Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber der Client weiterhin IPv6 direkt nutzt. Folge: Verkehr kann außerhalb des VPNs laufen. Lösung: IPv6 korrekt tunneln oder IPv6 bewusst regeln Merksatz: IPv6 bei VPN nicht vergessen. --- **VPN und Proxy** Manche Unternehmen kombinieren VPN mit Proxy. Beispiele: Full Tunnel plus Webproxy Split Tunnel plus Cloudproxy Proxy nur für bestimmte Anwendungen PAC-Datei für Browser Fehlerquellen: falsche Proxy-Einstellungen Proxy nicht über VPN erreichbar Authentifizierung am Proxy schlägt fehl falsche Ausnahmen Merksatz: VPN und Proxy müssen zusammenpassen. --- **VPN und Zertifikate** Zertifikate können für VPN wichtig sein. Beispiele: Serverzertifikat des VPN-Gateways Clientzertifikat auf Endgerät Zertifikatskette interne CA Zertifikatswiderruf Ablaufdatum Fehler: Zertifikat abgelaufen Name passt nicht CA nicht vertraut Clientzertifikat fehlt CRL oder OCSP nicht erreichbar Merksatz: VPN-Zertifikate mit Name, Vertrauen, Gültigkeit und Widerruf prüfen. --- **VPN und Zeit** Korrekte Zeit ist wichtig für: Zertifikate Kerberos MFA Tokens Logs Sicherheitsprüfungen Wenn die Uhrzeit stark abweicht, können Anmeldungen oder Zertifikate fehlschlagen. Merksatz: VPN-Fehler können durch falsche Uhrzeit entstehen. --- **VPN-Fehlersuche: Grundreihenfolge** Eine sinnvolle Reihenfolge: 1. VPN-Art bestimmen. 2. VPN-Protokoll bestimmen. 3. Verbindungsstatus prüfen. 4. Authentifizierung prüfen. 5. VPN-IP prüfen. 6. Routen prüfen. 7. DNS prüfen. 8. Firewall-Regeln prüfen. 9. Zielsystem prüfen. 10. Rückweg prüfen. 11. Logs prüfen. 12. MTU und Performance prüfen. Merksatz: VPN-Fehlersuche braucht Tunnel, Route, DNS, Firewall und Zielsystem. --- **Fehlerbild: VPN verbunden, aber Ziel-IP nicht erreichbar** Mögliche Ursachen: - Route fehlt - Firewall blockiert - Zielsystem offline - Rückroute fehlt - Host-Firewall blockiert - VPN-Gruppe darf Ziel nicht erreichen - Adresskonflikt - NAT falsch - falsches Zielnetz Prüfen: VPN-IP Routingtabelle Firewall-Logs Zielsystem Rückweg Merksatz: Ziel-IP nicht erreichbar: Route, Firewall und Rückweg prüfen. --- **Fehlerbild: VPN verbunden, interner Name nicht erreichbar** Mögliche Ursachen: - DNS-Server nicht gesetzt - DNS-Suffix fehlt - Split DNS falsch - DNS-Server nicht erreichbar - Firewall blockiert DNS - falscher Record - Cache veraltet Prüfen: DNS-Server DNS-Antwort DNS-Suffix UDP/TCP 53 Split DNS Merksatz: Interner Name nicht erreichbar: DNS prüfen. --- **Fehlerbild: Nur ein Dienst nicht erreichbar** Mögliche Ursachen: - Port blockiert - Dienst läuft nicht - Host-Firewall blockiert - Benutzer nicht berechtigt - Anwendung lehnt VPN-Quelle ab - falscher Port - falsches Protokoll - Zertifikat oder TLS-Problem Prüfen: Porttest Dienststatus Firewall-Log Serverlog Berechtigungen Merksatz: Ein Dienst betroffen: Port, Dienst und Anwendung prüfen. --- **Fehlerbild: Zugriff geht nur für manche Benutzer** Mögliche Ursachen: - unterschiedliche VPN-Gruppen - unterschiedliche Routen - unterschiedliche Firewall-Regeln - Benutzerrechte fehlen - MFA-Richtlinie unterschiedlich - Clientprofil unterschiedlich - Gerätestatus unterschiedlich - Rolle fehlt Prüfen: Gruppenmitgliedschaft VPN-Profil Routen Rechte Logs Merksatz: Unterschiedliche Benutzer: Gruppen, Rollen und Profile prüfen. --- **Fehlerbild: Zugriff geht nur von manchen Heimnetzen nicht** Mögliche Ursachen: - Adresskonflikt mit Heimnetz - lokaler Router blockiert VPN - restriktives WLAN - Provider blockiert - CGNAT oder NAT-Probleme - IPv6 nimmt anderen Weg - DNS des Heimnetzes stört Merksatz: Manche Heimnetze betroffen: lokale Netze, NAT, DNS und IPv6 prüfen. --- **Fehlerbild: VPN langsam oder instabil** Mögliche Ursachen: - hohe Latenz - Paketverlust - MTU-Problem - WLAN-Probleme - Full Tunnel überlastet - VPN-Gateway ausgelastet - TCP-over-TCP - schwache Clientleistung - Providerproblem - Sicherheitsprüfung oder Proxy langsam Merksatz: VPN-Performance mit Latenz, Paketverlust, MTU und Auslastung prüfen. --- **Checkliste: VPN-Routing** VPN-IP erhalten? Route zum Zielnetz vorhanden? genaueste Route korrekt? Standardroute verändert? Split Tunnel oder Full Tunnel? Zielnetz überschneidet sich? Rückroute vorhanden? mehrere Gateways beteiligt? Routing auf Cloud-Seite korrekt? Routing auf Servernetz-Seite korrekt? Merksatz: VPN-Routing immer auf Client, Gateway und Zielnetz prüfen. --- **Checkliste: VPN-DNS** interner DNS gesetzt? DNS-Suffix gesetzt? Split DNS korrekt? UDP 53 erlaubt? TCP 53 erlaubt? interner DNS über VPN erreichbar? liefert DNS richtige IP? A und AAAA prüfen? Cache geleert oder geprüft? interner und externer DNS verglichen? Merksatz: DNS bei VPN immer aus Sicht des VPN-Clients prüfen. --- **Checkliste: VPN-Firewall** VPN-Zone korrekt? Quelle VPN-Pool korrekt? Benutzergruppe korrekt? Zielnetz korrekt? Zielhost korrekt? Port korrekt? TCP oder UDP korrekt? Richtung korrekt? Host-Firewall korrekt? Rückverkehr erlaubt? Logs zeigen Treffer? Merksatz: Firewall-Regeln für VPN genau wie andere Regeln prüfen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum reicht ein aufgebauter VPN-Tunnel allein nicht aus? - Warum ist Routing bei VPN wichtig? - Was ist ein VPN-Adresspool? - Warum sind überlappende Netze problematisch? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum ist DNS bei VPN wichtig? - Was ist Split DNS? - Was ist ein DNS-Leak? - Was ist ein IPv6-Leak? - Warum braucht VPN Firewall-Regeln? - Warum sollte VPN-Zugriff nach Rollen begrenzt werden? - Warum kann eine Host-Firewall VPN-Zugriffe blockieren? - Warum ist der Rückweg wichtig? - Wie geht man bei VPN-Fehlersuche systematisch vor? --- **Typische Prüfungsfallen** VPN verbunden heißt nicht: alles erreichbar. Route fehlt: Ziel nicht erreichbar. Rückroute fehlt: Antwort kommt nicht zurück. Genaueste Route gewinnt. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN-Adresspool muss eindeutig sein. Heimnetz und Firmennetz dürfen sich nicht überschneiden. DNS ist bei VPN häufige Fehlerquelle. IP geht, Name nicht: DNS prüfen. Interner DNS muss über VPN erreichbar sein. DNS-Suffix kann für kurze Namen nötig sein. Split DNS trennt interne und externe Namensauflösung. DNS-Leak bedeutet DNS außerhalb des gewünschten Weges. IPv6-Leak nicht vergessen. VPN braucht Firewall-Regeln. VPN-Zugriff nicht pauschal ins LAN erlauben. Host-Firewall auf Zielsystem prüfen. VPN-Gruppe beeinflusst Zugriff. Netzwerkzugang ist nicht Anwendungsberechtigung. Cloud-VPN braucht Regeln auf beiden Seiten. Zertifikate, Zeit und Logs bei VPN prüfen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | VPN-Routing | Wege für Netze über VPN | | Routingtabelle | Tabelle mit Wegen zu Zielnetzen | | Standardroute | Route für alle nicht genauer bekannten Ziele | | spezifische Route | genauere Route zu bestimmtem Netz | | Split Tunnel | nur ausgewählter Verkehr über VPN | | Full Tunnel | gesamter Verkehr über VPN | | VPN-Adresspool | IP-Bereich für VPN-Clients | | Adresskonflikt | gleiche Netze auf beiden Seiten | | Rückroute | Antwortweg zurück zum VPN-Client | | asymmetrisches Routing | Hin- und Rückweg unterschiedlich | | VPN-DNS | DNS-Einstellungen für VPN-Clients | | DNS-Suffix | Ergänzung für kurze Namen | | Split DNS | getrennte DNS-Auflösung | | DNS-Leak | DNS-Anfrage geht falschen Weg | | IPv6-Leak | IPv6-Verkehr geht außerhalb VPN | | VPN-Zone | Firewall-Zone für VPN-Verkehr | | VPN-Gruppe | Gruppe zur Steuerung von VPN-Rechten | | Host-Firewall | Firewall auf dem Zielsystem | | Cloud-VPN | Verbindung zu Cloud-Netz | | Rückweg | Antwortpfad zum Absender | --- **IHK-sichere Kurzformulierung** Ein aufgebauter VPN-Tunnel allein reicht nicht aus, damit interne Ressourcen erreichbar sind. Zusätzlich müssen Routing, DNS, Firewall-Regeln, Rückwege und Berechtigungen stimmen. Der VPN-Client benötigt passende Routen zu den internen Zielnetzen. Bei Split Tunneling wird nur ausgewählter Verkehr durch das VPN geleitet, während bei Full Tunnel der gesamte Verkehr durch den VPN-Tunnel läuft. Der VPN-Adresspool darf sich nicht mit lokalen oder internen Netzen überschneiden, da sonst Routingprobleme entstehen. Für interne Namen müssen interne DNS-Server, DNS-Suffixe oder Split-DNS-Regeln korrekt gesetzt sein. VPN-Zugriffe sollten über eigene Firewall-Zonen, Gruppen und Least-Privilege-Regeln gesteuert werden. --- **Merksätze** VPN verbunden heißt nicht: Zugriff funktioniert. Ohne Route kein Weg. Ohne Rückroute keine Antwort. Genaueste Route gewinnt. Standardroute gilt nur, wenn nichts Spezifischeres passt. Split Tunnel leitet ausgewählten Verkehr. Full Tunnel leitet gesamten Verkehr. VPN-Adresspool muss eindeutig sein. Überlappende Netze vermeiden. Heimnetzkonflikte sind häufig. Jede Zielroute muss bekannt sein. NAT im VPN macht Analyse schwieriger. VPN-DNS ist wichtig für interne Namen. DNS-Suffix hilft bei Kurznamen. Split DNS trennt interne und externe Auflösung. IP geht, Name nicht: DNS prüfen. VPN braucht Firewall-Regeln. VPN-Zonen schaffen Übersicht. VPN-Zugriff nach Rollen begrenzen. Least Privilege gilt auch im VPN. Netzwerkzugang ist nicht Anwendungsrecht. Host-Firewall mitprüfen. Zielsystem muss Dienst bereitstellen. Rückweg über Gateway prüfen. Cloud-VPN braucht Regeln beidseitig. IPv6 bei VPN nicht vergessen. DNS-Leak bedeutet falscher DNS-Weg. IPv6-Leak bedeutet falscher IPv6-Weg. Zertifikate und Zeit können VPN beeinflussen. VPN-Fehlersuche braucht Tunnel, Route, DNS, Firewall, Zielsystem und Logs. # 14.5 **VPN-Sicherheit, Zugriffskontrolle und typische Risiken** Ein VPN stellt einen sicheren Tunnel bereit. Aber: Ein VPN allein macht ein Netzwerk nicht automatisch sicher. Wichtig sind zusätzlich: - starke Authentifizierung - klare Berechtigungen - Firewall-Regeln - Protokollierung - Gerätesicherheit - Rollenmodell - regelmäßige Prüfung - Monitoring - saubere Dokumentation Merksatz: VPN ist ein Zugang ins Netz. Deshalb muss dieser Zugang besonders geschützt werden. --- **Warum VPN-Sicherheit wichtig ist** Ein VPN-Zugang kann sehr mächtig sein. Wenn ein Angreifer VPN-Zugang erhält, kann er je nach Konfiguration interne Systeme erreichen. Mögliche Folgen: - Zugriff auf interne Server - Zugriff auf Dateifreigaben - Ausbreitung von Malware - Angriff auf Managementsysteme - Datenabfluss - Manipulation interner Dienste - Umgehung äußerer Schutzmaßnahmen Merksatz: Ein schlecht abgesicherter VPN-Zugang ist ein großes Risiko. --- **VPN ist kein Freifahrtschein** Ein häufiger Fehler ist: Benutzer ist per VPN verbunden. Also darf er alles im internen Netz erreichen. Das ist unsicher. Besser: Benutzer bekommt nur Zugriff auf die Systeme, die er für seine Aufgabe braucht. Beispiele: Mitarbeiter: Intranet und Dateiablage Support: Ticketsystem und bestimmte Clients Administrator: Managementsysteme Dienstleister: nur definierter Wartungsserver Merksatz: VPN verbunden heißt nicht: Zugriff auf alles erlaubt. --- **Authentifizierung** Authentifizierung bedeutet: Wer bist du? Beim VPN wird geprüft, ob der Benutzer oder das Gerät wirklich berechtigt ist. Mögliche Faktoren: Benutzername Passwort Zertifikat MFA Token Smartcard Gerätezertifikat SSO biometrischer Faktor Merksatz: Authentifizierung prüft die Identität. --- **Autorisierung** Autorisierung bedeutet: Was darfst du? Nach erfolgreicher Anmeldung entscheidet das System, welche Ziele, Dienste und Anwendungen erlaubt sind. Beispiele: Zugriff auf Servernetz erlaubt? Zugriff auf Managementnetz erlaubt? Zugriff auf RDP erlaubt? Zugriff auf Datenbank verboten? Zugriff nur auf HTTPS erlaubt? Merksatz: Authentifizierung ist Anmeldung. Autorisierung ist Berechtigung. --- **MFA bei VPN** MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Beispiele: Passwort + Authenticator-App Passwort + Hardwaretoken Zertifikat + PIN Smartcard + PIN Warum wichtig? Passwörter können gestohlen werden. Phishing kann Zugangsdaten abgreifen. VPN ist aus dem Internet erreichbar. VPN-Zugang führt oft in interne Netze. Merksatz: VPN-Zugänge sollten möglichst mit MFA geschützt werden. --- **MFA ist nicht unfehlbar** MFA erhöht die Sicherheit deutlich, ist aber kein vollständiger Schutz. Risiken bleiben: Phishing MFA-Push-Fatigue gestohlene Session-Tokens unsicheres Endgerät Social Engineering schlecht konfigurierte Ausnahmen fehlende Gerätekontrolle Merksatz: MFA ist stark, aber kein Ersatz für weitere Schutzmaßnahmen. --- **MFA-Push-Fatigue** MFA-Push-Fatigue bedeutet: Ein Angreifer löst viele MFA-Anfragen aus, bis der Benutzer genervt oder aus Versehen bestätigt. Schutz: Number Matching kurze Hinweise zur Anfrage Schulung verdächtige Anfragen melden Rate Limiting keine blinde Bestätigung Merksatz: MFA-Anfragen niemals automatisch bestätigen. --- **Zertifikatsbasierte VPN-Authentifizierung** VPN kann Zertifikate verwenden. Dabei kann geprüft werden: Ist das Gerät zugelassen? Ist der Benutzer zugelassen? Ist das Zertifikat gültig? Wurde das Zertifikat widerrufen? Vertraut der Client dem VPN-Gateway? Vorteile: stärker als Passwort allein Gerätebindung möglich Widerruf einzelner Zertifikate möglich gut für verwaltete Geräte Merksatz: Zertifikate können VPN-Zugriffe stärker an Geräte oder Identitäten binden. --- **Clientzertifikat** Ein Clientzertifikat liegt auf dem Endgerät oder in einem sicheren Speicher. Es kann beweisen: Dieses Gerät oder dieser Benutzer ist berechtigt, sich am VPN anzumelden. Wichtig: privater Schlüssel schützen Zertifikat nicht kopieren verlorene Geräte sperren Zertifikat bei Austritt widerrufen Ablaufdatum überwachen Merksatz: Clientzertifikat ist nur sicher, wenn der private Schlüssel geschützt ist. --- **Serverzertifikat** Das Serverzertifikat des VPN-Gateways hilft dem Client zu prüfen: Verbinde ich mich wirklich mit dem richtigen VPN-Server? Fehler können sein: Zertifikat abgelaufen Name passt nicht CA nicht vertrauenswürdig Zertifikatskette unvollständig falsches Zertifikat auf Gateway Merksatz: Serverzertifikat schützt vor Verbindung zur falschen Gegenstelle. --- **Zertifikatswiderruf** Wenn ein Zertifikat nicht mehr vertrauenswürdig ist, muss es widerrufen werden. Gründe: Gerät verloren privater Schlüssel kompromittiert Benutzer ausgeschieden Dienstleisterzugang beendet Zertifikat falsch ausgestellt Widerruf kann geprüft werden über: CRL OCSP Merksatz: Zertifikate müssen widerrufen werden können. --- **Benutzergruppen** VPN-Zugriffe sollten über Gruppen gesteuert werden. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admins VPN-Dienstleister VPN-Partner Vorteil: Regeln bleiben übersichtlich. Rechte lassen sich zentral verwalten. Austritte und Rollenwechsel sind einfacher. Zugriff kann nach Aufgabe getrennt werden. Merksatz: Gruppen machen VPN-Berechtigungen verwaltbar. --- **Rollenmodell** Ein Rollenmodell beschreibt, welche Rolle welche Zugriffe bekommt. Beispiel: | Rolle | erlaubter Zugriff | |---|---| | Mitarbeiter | Intranet, Dateiablage | | Support | Ticketsystem, bestimmte Clients | | Administrator | Managementnetz, Serververwaltung | | Dienstleister | definierter Wartungsserver | | Partner | Extranet-Portal | | Cloud-Admin | Cloud-Managementzugänge | Merksatz: Rollenmodell verhindert pauschale Freigaben. --- **Least Privilege beim VPN** Least Privilege bedeutet: nur die Rechte, die wirklich benötigt werden. Beim VPN heißt das: keine pauschale LAN-Freigabe keine unnötigen Ports keine unnötigen Zielnetze keine Dauerzugänge für Externe keine gemeinsamen Konten keine Adminrechte für normale Benutzer Merksatz: VPN-Zugriff so eng wie möglich, so weit wie nötig. --- **Need to Know beim VPN** Need to Know bedeutet: Zugriff nur auf Informationen oder Systeme, die für die Aufgabe notwendig sind. Beispiel: Ein Lieferant braucht Zugriff auf Bestelldaten, aber nicht auf Personalakten. Ein Wartungsdienstleister braucht Zugriff auf eine Anlage, aber nicht auf das gesamte Servernetz. Merksatz: VPN-Zugriff nach Aufgabe begrenzen, nicht nach Bequemlichkeit. --- **Zero Trust und VPN** Zero Trust bedeutet: kein Zugriff wird automatisch vertraut. Auch nach VPN-Verbindung wird weiter geprüft: Wer ist der Benutzer? Welches Gerät wird genutzt? Ist MFA erfüllt? Ist das Gerät aktuell? Welche Anwendung wird aufgerufen? Welche Rolle hat der Benutzer? Ist der Zugriff ungewöhnlich? Merksatz: Zero Trust prüft Zugriff fortlaufend und kontextbezogen. --- **Klassisches VPN und Zero Trust vergleichen** | Merkmal | klassisches VPN | Zero-Trust-Zugriff | |---|---|---| | Zugriff | oft Netzwerkzugriff | meist Anwendungszugriff | | Prüfung | häufig beim Tunnelaufbau | kontinuierlicher | | Reichweite | kann breit sein | stärker begrenzt | | Risiko | laterale Bewegung möglich | weniger pauschaler Netzblick | | Vorteil | bewährt, flexibel | feiner steuerbar | Merksatz: VPN verbindet oft ins Netz. Zero Trust gibt gezielt Anwendungen frei. --- **Laterale Bewegung** Laterale Bewegung bedeutet: Ein Angreifer bewegt sich nach dem ersten Zugriff weiter im internen Netz. Beispiel: Angreifer erhält VPN-Zugang. Danach scannt er interne Server. Anschließend greift er weitere Systeme an. Schutz: Segmentierung Firewall-Regeln Least Privilege Monitoring EDR getrennte Adminzugänge keine pauschale VPN-Freigabe Merksatz: VPN darf keine einfache Bewegung durchs ganze Netz ermöglichen. --- **Netzsegmentierung** Netzsegmentierung bedeutet: Das Netzwerk wird in getrennte Bereiche aufgeteilt. Beispiele: Clientnetz Servernetz Managementnetz DMZ Gastnetz IoT-Netz VPN-Zone Extranet-Zone Vorteil: Ein kompromittierter Bereich kann nicht automatisch alles erreichen. Merksatz: Segmentierung begrenzt Schäden. --- **VPN-Zone** Eine VPN-Zone ist eine eigene Sicherheitszone für VPN-Verkehr. Beispiele: VPN-Mitarbeiter-Zone VPN-Admin-Zone VPN-Dienstleister-Zone VPN-Partner-Zone Dadurch kann man Firewall-Regeln gezielt definieren. Merksatz: VPN-Zonen verhindern, dass VPN-Verkehr wie normales LAN behandelt wird. --- **Admin-VPN besonders schützen** Admin-Zugänge sind besonders kritisch. Admin-VPN sollte streng geschützt werden: separate Admin-Konten MFA Zertifikat Zugriff nur von verwalteten Geräten keine private Nutzung Zugriff nur auf Managementnetze Protokollierung Alarmierung bei Fehlversuchen regelmäßige Prüfung Merksatz: Admin-VPN ist Hochrisiko-Zugang. --- **Dienstleister-VPN besonders begrenzen** Externe Dienstleister sollten keinen breiten VPN-Zugriff erhalten. Sicherer ist: eigenes Konto pro Person keine Sammelkonten MFA zeitliche Begrenzung Zugriff nur auf Zielsystem Protokollierung Freigabeprozess Deaktivierung nach Wartung regelmäßige Prüfung Merksatz: Dienstleisterzugang muss eng, nachvollziehbar und zeitlich begrenzt sein. --- **Sammelkonten vermeiden** Sammelkonten sind gemeinsame Benutzerkonten, die mehrere Personen nutzen. Problem: keine eindeutige Zuordnung schwierige Nachvollziehbarkeit Passwort wird weitergegeben Sperrung einzelner Personen schwer Sicherheitsvorfälle schwer aufklärbar Merksatz: Jeder VPN-Benutzer braucht ein eigenes Konto. --- **Zeitlich begrenzter Zugriff** Manche VPN-Zugänge sollten nur für ein Zeitfenster aktiv sein. Beispiele: Wartung am Samstag Projektzugang für zwei Wochen externer Support während Störung temporäre Migration Nach Ende: Zugriff deaktivieren Regel entfernen Konto sperren Logs prüfen Dokumentation aktualisieren Merksatz: Temporärer Zugriff darf nicht dauerhaft bleiben. --- **Offboarding** Offboarding bedeutet: Zugriffe bei Austritt oder Rollenwechsel entfernen. Beim VPN wichtig: Konto deaktivieren Gruppenmitgliedschaft entfernen Zertifikate widerrufen Tokens sperren Gerätezugriff entziehen Dienstleisterzugänge prüfen Dokumentation aktualisieren Merksatz: Wer nicht mehr berechtigt ist, darf keinen VPN-Zugang behalten. --- **Gerätesicherheit beim VPN** Ein VPN-Client ist ein Einstiegspunkt ins interne Netz. Deshalb sollte das Gerät sicher sein. Wichtige Anforderungen: aktuelles Betriebssystem aktuelle Sicherheitsupdates Schutzsoftware Festplattenverschlüsselung Bildschirmsperre kein lokaler Admin für Alltagsnutzer sichere Konfiguration MDM oder Gerätemanagement keine Malware Merksatz: Unsicheres Gerät plus VPN ist gefährlich. --- **Managed Device** Ein Managed Device ist ein verwaltetes Gerät. Das Unternehmen kann Vorgaben prüfen und durchsetzen. Beispiele: Updates Verschlüsselung Gerätesperre Zertifikate VPN-Profil Sicherheitsrichtlinien Softwarestand Remote Wipe bei Verlust Merksatz: Verwaltete Geräte sind für VPN-Zugänge besser kontrollierbar. --- **BYOD und VPN** BYOD steht für: Bring Your Own Device Dabei nutzt ein Benutzer ein privates Gerät beruflich. Bei VPN ist das riskant, wenn das private Gerät nicht kontrolliert wird. Fragen: Ist das Gerät aktuell? Ist es verschlüsselt? Ist es kompromittiert? Gibt es MDM? Sind Firmen- und Privatdaten getrennt? Kann Zugriff bei Verlust entzogen werden? Merksatz: BYOD-VPN braucht klare Regeln und technische Kontrolle. --- **Geräteprüfung vor VPN-Zugang** Manche Umgebungen prüfen Geräte vor dem Zugriff. Prüfkriterien: aktueller Patchstand aktivierte Festplattenverschlüsselung aktive Schutzsoftware Gerätezertifikat vorhanden nicht gerootet oder jailbroken MDM-konform sichere Bildschirmperre Merksatz: Nicht jedes Gerät sollte automatisch VPN-Zugang bekommen. --- **Posture Check** Posture Check bedeutet: Der Sicherheitszustand eines Geräts wird geprüft. Beispiele: Ist Antivirus aktiv? Ist das Betriebssystem aktuell? Ist die Festplatte verschlüsselt? Ist das Gerät verwaltet? Ist ein Zertifikat vorhanden? Merksatz: Posture Check prüft, ob ein Gerät sicher genug für Zugriff ist. --- **VPN und Malware** Wenn ein Gerät mit Malware infiziert ist, kann VPN gefährlich werden. Risiken: Malware erreicht interne Systeme. Zugangsdaten werden abgegriffen. interne Server werden gescannt. Daten werden exfiltriert. Ransomware breitet sich aus. Schutz: Endgeräteschutz EDR Segmentierung Least Privilege Monitoring keine pauschalen Freigaben Merksatz: VPN kann Malware einen Weg ins interne Netz geben, wenn Zugriffe zu breit sind. --- **VPN und Phishing** Angreifer versuchen oft, VPN-Zugangsdaten zu stehlen. Typische Methoden: gefälschte Loginseiten gefälschte Support-Mails MFA-Abfragen auslösen Passwort-Wiederverwendung ausnutzen Schadsoftware auf Endgerät Schutz: MFA Schulung Passwortmanager Zertifikate verdächtige Logins erkennen klare Meldewege Merksatz: VPN-Zugangsdaten sind ein attraktives Angriffsziel. --- **VPN und Brute Force** Brute Force bedeutet: Angreifer probieren viele Zugangsdaten aus. Schutzmaßnahmen: MFA Account Lockout Rate Limiting starke Passwörter keine Standardkonten Geoblocking bei Bedarf Monitoring Alarmierung Merksatz: VPN-Loginversuche müssen überwacht und begrenzt werden. --- **VPN und Passwort-Wiederverwendung** Wenn Benutzer dasselbe Passwort bei mehreren Diensten verwenden, kann ein fremder Datenabfluss zum VPN-Risiko werden. Beispiel: Passwort aus privatem Dienst wird geleakt. Angreifer probiert es am VPN-Portal. Login funktioniert. Schutz: Passwortmanager eindeutige Passwörter MFA Leak-Erkennung Schulung Merksatz: Wiederverwendete Passwörter gefährden VPN-Zugänge. --- **VPN und Logging** VPN-Zugriffe sollten protokolliert werden. Wichtige Informationen: Benutzer Gerät Quell-IP Zeitpunkt VPN-IP Verbindungsdauer MFA-Ergebnis zugewiesene Gruppe Fehlergrund getrennte Verbindung Zielzugriffe je nach System Merksatz: VPN-Logs ermöglichen Nachvollziehbarkeit. --- **VPN und Alarmierung** Bestimmte VPN-Ereignisse sollten Alarm auslösen. Beispiele: viele fehlgeschlagene Logins Login aus ungewöhnlichem Land Admin-VPN außerhalb Arbeitszeit neues Gerät abgelaufenes Zertifikat Dienstleisterzugang außerhalb Zeitfenster ungewöhnlich lange Verbindung ungewöhnlich hoher Datenverkehr Merksatz: Kritische VPN-Ereignisse sollten nicht unbemerkt bleiben. --- **VPN und Monitoring** VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Tunnelstatus aktive Benutzer CPU des Gateways RAM Bandbreite Paketverlust Latenz Fehlversuche Zertifikatsablauf Lizenzgrenzen Verbindungsabbrüche Merksatz: VPN ist kritische Infrastruktur und gehört ins Monitoring. --- **VPN und Protokollierung von Adminaktionen** Bei Admin-VPN reicht oft nicht nur der Login. Zusätzlich wichtig: Welche Systeme wurden verwaltet? Welche Änderungen wurden durchgeführt? Welche Befehle wurden ausgeführt? Welche Tickets gehören dazu? Wer hat die Änderung freigegeben? Je nach Umgebung werden dafür Bastion Hosts, Jump Server oder Session Recording genutzt. Merksatz: Adminzugriffe müssen besonders nachvollziehbar sein. --- **Bastion Host** Ein Bastion Host ist ein besonders gehärteter Zwischenserver für administrative Zugriffe. Ablauf: Admin verbindet sich per VPN. Admin verbindet sich auf Bastion Host. Von dort geht es zu Zielsystemen. Vorteile: zentraler Kontrollpunkt bessere Protokollierung weniger direkte Zugriffe klare Zugriffspfade Merksatz: Bastion Host bündelt und kontrolliert Adminzugriffe. --- **Jump Server** Jump Server ist ein ähnlicher Begriff wie Bastion Host. Er dient als Sprungpunkt in geschützte Netze. Beispiele: Zugriff auf Servernetz Zugriff auf Managementnetz Zugriff auf OT-Netz Zugriff auf Cloud-Adminsysteme Merksatz: Jump Server verhindert direkte Adminzugriffe von beliebigen Clients. --- **VPN und Managementnetz** Managementnetze enthalten besonders kritische Systeme. Beispiele: Switch-Verwaltung Firewall-Verwaltung Hypervisor Backup-System Monitoring Storage-System Domain Controller Admin-Portale VPN-Zugriff auf Managementnetze sollte nur für berechtigte Admins erlaubt sein. Merksatz: Managementnetz niemals breit per VPN freigeben. --- **VPN und DMZ** Ein VPN-Gateway kann in einer DMZ stehen. Grund: Es ist von außen erreichbar. Nach erfolgreicher Anmeldung wird der Verkehr kontrolliert weitergeleitet. Wichtig: DMZ vom LAN trennen nur notwendige Regeln Gateway härten Logs prüfen Updates durchführen Monitoring aktivieren Merksatz: VPN-Gateway von außen erreichbar, LAN-Zugriff danach streng regeln. --- **VPN und Patchmanagement** VPN-Systeme müssen aktuell gehalten werden. Wichtig: VPN-Gateway patchen VPN-Client aktualisieren Betriebssystem aktualisieren Bibliotheken aktualisieren alte Protokolle deaktivieren bekannte Schwachstellen beachten Merksatz: VPN-Systeme sind internetnah und müssen aktuell bleiben. --- **VPN und Hardening** Hardening bedeutet: System sicher konfigurieren und unnötige Angriffsfläche reduzieren. Beim VPN: nur notwendige Protokolle aktivieren starke Kryptografie alte Verfahren deaktivieren Adminzugänge begrenzen Logs aktivieren MFA erzwingen Standardkonten entfernen sichere TLS-Konfiguration regelmäßige Prüfung Merksatz: Hardening verringert die Angriffsfläche. --- **VPN und Backup der Konfiguration** VPN-Konfigurationen sollten gesichert werden. Warum? Wiederherstellung nach Ausfall Fehlkonfiguration rückgängig machen Migration Vergleich nach Änderungen Disaster Recovery Wichtig: Backups sicher speichern, weil sie sensible Informationen enthalten können. Merksatz: VPN-Konfigurationsbackup sicher aufbewahren. --- **VPN und Änderungsmanagement** VPN-Änderungen sollten kontrolliert durchgeführt werden. Beispiele für Änderungen: neue Firewall-Regel neue VPN-Gruppe neuer Dienstleisterzugang Zertifikat erneuern Protokoll wechseln Gateway aktualisieren neue Route hinzufügen Wichtig: Zweck dokumentieren Test durchführen Rollback planen Verantwortlichen nennen Ticket oder Änderungsnachweis erfassen Merksatz: VPN-Änderungen brauchen Dokumentation und Rückweg. --- **Typische VPN-Sicherheitsfehler** Häufige Fehler: - VPN ohne MFA - gemeinsame Konten - zu breite Firewall-Regeln - VPN → LAN any allow - Adminzugriff ohne Trennung - Dienstleisterzugang dauerhaft aktiv - alte VPN-Protokolle - schwache PSKs - fehlende Logs - keine Alarmierung - unsichere Endgeräte - keine Zertifikatsprüfung - veraltete VPN-Gateways - fehlendes Offboarding Merksatz: Die meisten VPN-Risiken entstehen durch zu breite oder schlecht kontrollierte Zugriffe. --- **Sichere VPN-Grundregeln** 1. MFA aktivieren. 2. Eigene Konten pro Benutzer nutzen. 3. Keine Sammelkonten verwenden. 4. Rollenmodell erstellen. 5. VPN-Zonen nutzen. 6. Firewall-Regeln eng setzen. 7. Dienstleisterzugriffe zeitlich begrenzen. 8. Adminzugänge trennen. 9. Geräte prüfen. 10. Logs und Monitoring aktivieren. 11. Alte Protokolle deaktivieren. 12. Zertifikate verwalten. 13. Offboarding durchführen. 14. Änderungen dokumentieren. Merksatz: VPN-Sicherheit entsteht durch Technik, Prozesse und klare Rechte. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist VPN allein kein vollständiges Sicherheitskonzept? - Warum sollte VPN mit MFA abgesichert werden? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Warum sind Sammelkonten problematisch? - Warum sollte VPN-Zugriff nach Rollen begrenzt werden? - Was bedeutet Least Privilege beim VPN? - Warum sind Dienstleisterzugänge besonders kritisch? - Was ist ein Bastion Host? - Was ist ein Jump Server? - Warum ist Gerätesicherheit beim VPN wichtig? - Was ist ein Posture Check? - Warum sind VPN-Logs wichtig? - Welche Ereignisse sollten bei VPN alarmiert werden? - Warum muss ein VPN-Gateway gepatcht werden? - Welche typischen VPN-Sicherheitsfehler gibt es? --- **Typische Prüfungsfallen** VPN ist nicht automatisch sicher, nur weil es verschlüsselt. VPN schützt den Tunnel, aber nicht automatisch alle Zielsysteme. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Benutzerrechte. VPN ohne MFA ist riskant. Authentifizierung ist nicht Autorisierung. VPN verbunden heißt nicht: alles erlaubt. Sammelkonten sind schlecht nachvollziehbar. Dienstleisterzugänge zeitlich begrenzen. Adminzugänge getrennt behandeln. Managementnetz besonders schützen. BYOD braucht klare Regeln. Unsichere Endgeräte sind Risiko. Zertifikate brauchen Verwaltung und Widerruf. VPN-Logs sind sicherheitsrelevant. Monitoring erkennt ungewöhnliche Zugriffe. Patchmanagement für VPN-Gateways ist kritisch. Alte VPN-Protokolle vermeiden. Least Privilege gilt auch im VPN. Zero Trust kann breiten VPN-Zugriff reduzieren. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Authentifizierung | Identität prüfen | | Autorisierung | Rechte prüfen | | MFA | Multi-Faktor-Authentifizierung | | Clientzertifikat | Zertifikat für Benutzer oder Gerät | | Serverzertifikat | Zertifikat des VPN-Gateways | | Zertifikatswiderruf | Zertifikat für ungültig erklären | | CRL | Zertifikatsperrliste | | OCSP | Online-Prüfung von Zertifikatsstatus | | Benutzergruppe | Gruppe zur Rechtevergabe | | Rollenmodell | Zuordnung von Rollen zu Zugriffsrechten | | Least Privilege | nur notwendige Rechte | | Need to Know | Zugriff nur bei Bedarf | | Zero Trust | kein automatisches Vertrauen | | laterale Bewegung | Ausbreitung im internen Netz | | Segmentierung | Trennung von Netzbereichen | | VPN-Zone | eigene Sicherheitszone für VPN | | BYOD | private Geräte im Unternehmenseinsatz | | Managed Device | verwaltetes Gerät | | Posture Check | Prüfung des Gerätezustands | | Bastion Host | gehärteter Zwischenserver | | Jump Server | Sprungserver für Adminzugriffe | | Hardening | sichere Systemkonfiguration | | Offboarding | Entfernen nicht mehr nötiger Zugriffe | | Sammelkonto | gemeinsam genutztes Benutzerkonto | --- **IHK-sichere Kurzformulierung** Ein VPN stellt einen geschützten Tunnel bereit, ist aber allein kein vollständiges Sicherheitskonzept. VPN-Zugriffe müssen durch starke Authentifizierung, möglichst MFA, Zertifikate, Benutzergruppen, Rollenmodelle, Firewall-Regeln, Least Privilege, Gerätesicherheit, Logging und Monitoring abgesichert werden. Authentifizierung prüft die Identität eines Benutzers oder Geräts, während Autorisierung festlegt, welche Ressourcen genutzt werden dürfen. Externe Dienstleister und Administratoren benötigen besonders streng begrenzte und nachvollziehbare Zugänge. Sammelkonten, pauschale LAN-Freigaben, fehlende MFA, veraltete VPN-Protokolle und unsichere Endgeräte sind typische Sicherheitsrisiken. --- **Merksätze** VPN ist ein Zugang ins Netz. VPN allein ist kein vollständiges Sicherheitskonzept. VPN schützt den Tunnel, nicht automatisch alle Ziele. Authentifizierung = Wer bist du? Autorisierung = Was darfst du? MFA schützt VPN-Zugänge deutlich besser. MFA ist wichtig, aber nicht unfehlbar. Zertifikate binden Zugriff an Identität oder Gerät. Privater Schlüssel muss geschützt werden. Zertifikate müssen widerrufen werden können. Gruppen steuern VPN-Zugriff. Rollenmodell verhindert Pauschalfreigaben. Least Privilege gilt auch im VPN. Need to Know begrenzt Informationszugriff. Zero Trust vertraut nicht automatisch. Laterale Bewegung verhindern. Segmentierung begrenzt Schäden. VPN-Zonen trennen Zugriffe. Admin-VPN besonders schützen. Dienstleister-VPN zeitlich begrenzen. Sammelkonten vermeiden. Offboarding konsequent durchführen. Unsichere Endgeräte sind Risiko. BYOD braucht klare Regeln. Posture Check prüft Gerätesicherheit. Malware auf VPN-Client gefährdet interne Systeme. VPN-Logins überwachen. Auffällige VPN-Ereignisse alarmieren. Bastion Host bündelt Adminzugriffe. Managementnetz niemals breit freigeben. VPN-Gateway patchen. Hardening reduziert Angriffsfläche. VPN-Änderungen dokumentieren. # 14.6 **VPN-Fehlersuche in der Praxis** VPN-Probleme wirken oft so, als wäre „das Netzwerk kaputt“. Tatsächlich können VPN-Fehler an vielen Stellen entstehen: - Internetverbindung - VPN-Client - VPN-Gateway - Benutzeranmeldung - MFA - Zertifikat - Routing - DNS - Firewall - NAT - Zielsystem - Host-Firewall - Berechtigungen - MTU - Performance Merksatz: VPN-Fehlersuche ist nie nur Tunnelprüfung. --- **Grundidee der VPN-Fehlersuche** Ein VPN-Zugriff besteht aus mehreren Schritten. Vereinfacht: 1. Client erreicht VPN-Gateway. 2. Benutzer oder Gerät authentifiziert sich. 3. Tunnel wird aufgebaut. 4. Client erhält VPN-Konfiguration. 5. Routen werden gesetzt. 6. DNS wird gesetzt. 7. Firewall erlaubt Zugriff. 8. Zielsystem antwortet. 9. Anwendung erlaubt Zugriff. Wenn ein Schritt fehlschlägt, funktioniert der Zugriff nicht vollständig. Merksatz: VPN funktioniert nur, wenn alle Schritte der Zugriffskette passen. --- **VPN-Fehlersuche nach Fehlerbild** Wichtige erste Frage: Was genau funktioniert nicht? Typische Fehlerbilder: VPN verbindet gar nicht. VPN verbindet, aber interne IPs gehen nicht. VPN verbindet, aber interne Namen gehen nicht. VPN verbindet, aber nur bestimmte Dienste gehen nicht. VPN verbindet, aber Zugriff ist langsam. VPN verbindet, aber bricht ab. VPN funktioniert nur für manche Benutzer. VPN funktioniert nur aus manchen Netzen. Merksatz: Das Fehlerbild entscheidet, wo man zuerst sucht. --- **Fehlerbild 1: VPN verbindet gar nicht** Wenn VPN gar nicht verbindet, liegt der Fehler vor oder während des Tunnelaufbaus. Mögliche Ursachen: falsche VPN-Serveradresse Internetverbindung gestört VPN-Gateway nicht erreichbar Port oder Protokoll blockiert Benutzername falsch Passwort falsch Konto gesperrt MFA schlägt fehl Zertifikat ungültig Clientversion veraltet Lizenzproblem VPN-Dienst auf Gateway gestoppt Merksatz: Wenn VPN nicht verbindet, zuerst Erreichbarkeit, Anmeldung, MFA und Zertifikate prüfen. --- **Prüfung: Ist das VPN-Gateway erreichbar?** Vor der VPN-Anmeldung muss der Client das Gateway erreichen. Prüfen: DNS-Name des VPN-Gateways korrekt? öffentliche IP erreichbar? richtiger Port offen? TCP oder UDP korrekt? Firewall oder Provider blockiert? Gateway online? Wartungsfenster aktiv? Zertifikat gültig? Typische Fehler: falscher Hostname alte öffentliche IP DNS zeigt auf falsches Ziel Port am Gateway nicht offen UDP im fremden Netz blockiert Merksatz: Ohne erreichbares Gateway kein VPN-Tunnel. --- **Prüfung: DNS-Name des VPN-Gateways** Viele VPN-Clients verbinden sich zu einem Namen. Beispiel: vpn.firma.de Wenn dieser Name falsch auflöst, verbindet sich der Client zum falschen Ziel oder gar nicht. Prüfen: liefert DNS die richtige öffentliche IP? gibt es alte DNS-Einträge? ist der DNS-Cache veraltet? funktioniert Auflösung intern und extern gleich? wird IPv4 oder IPv6 verwendet? Merksatz: VPN-Gateway-Namen immer aus Sicht des Clients prüfen. --- **Prüfung: Port und Protokoll** Je nach VPN-Protokoll müssen andere Ports oder Protokolle erreichbar sein. Beispiele: | VPN-Technik | häufig relevant | |---|---| | IPsec IKE | UDP 500 | | IPsec NAT-T | UDP 4500 | | IPsec ESP | IP-Protokoll 50 | | OpenVPN | häufig UDP 1194 oder konfiguriert | | WireGuard | häufig UDP 51820 | | TLS-VPN | häufig TCP 443 | Wichtig: UDP und TCP nicht verwechseln. Merksatz: VPN-Fehlersuche braucht Kenntnis von Port und Protokoll. --- **Fehlerbild 2: Anmeldung schlägt fehl** Wenn das Gateway erreichbar ist, aber die Anmeldung fehlschlägt, liegt der Fehler eher bei Identität oder Richtlinie. Mögliche Ursachen: Benutzername falsch Passwort falsch Konto gesperrt Konto deaktiviert Passwort abgelaufen MFA nicht bestätigt MFA nicht eingerichtet Benutzer nicht in VPN-Gruppe Login nur von verwaltetem Gerät erlaubt Conditional Access blockiert Zertifikat fehlt oder ungültig Zeitabweichung Merksatz: Anmeldefehler sind meistens Authentifizierung oder Zugriffsrichtlinie. --- **Authentifizierung und Autorisierung trennen** Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiel: Benutzer meldet sich korrekt an, ist aber nicht in der VPN-Gruppe. Dann ist die Identität korrekt, aber der VPN-Zugriff nicht erlaubt. Merksatz: Erfolgreiche Anmeldung heißt nicht automatisch: VPN-Zugriff erlaubt. --- **Fehlerbild 3: MFA schlägt fehl** Mögliche Ursachen: Benutzer bestätigt nicht falsches Gerät registriert Authenticator-App nicht eingerichtet Uhrzeit falsch Push-Anfrage kommt nicht an Benutzer ist gesperrt Richtlinie verlangt anderen Faktor Number Matching falsch Angreifer löst Push-Fatigue aus Prüfen: MFA-Log Benutzerstatus registrierte Faktoren Uhrzeit Richtlinie Fehlermeldung Merksatz: MFA-Probleme immer mit Authentifizierungslogs prüfen. --- **Fehlerbild 4: Zertifikatsfehler** VPN-Zertifikate können auf Client- oder Serverseite Probleme verursachen. Mögliche Ursachen: Serverzertifikat abgelaufen Clientzertifikat abgelaufen Zertifikatskette unvollständig CA nicht vertrauenswürdig Name passt nicht Zertifikat widerrufen privater Schlüssel fehlt falsches Zertifikat ausgewählt Systemzeit falsch Merksatz: Zertifikatsfehler mit Name, Gültigkeit, CA, Schlüssel und Zeit prüfen. --- **Fehlerbild 5: VPN verbindet, aber interne IPs gehen nicht** Wenn VPN verbunden ist, aber interne IP-Adressen nicht erreichbar sind, liegt der Fehler meist nach dem Tunnelaufbau. Mögliche Ursachen: Route zum Zielnetz fehlt Rückroute fehlt Firewall-Regel fehlt Zielsystem offline Host-Firewall blockiert VPN-Gruppe darf Ziel nicht erreichen Adresskonflikt mit Heimnetz NAT falsch falscher VPN-Adresspool falsches Zielnetz Merksatz: VPN verbunden, aber IP nicht erreichbar: Route, Firewall, Rückweg und Zielsystem prüfen. --- **Prüfung: VPN-IP erhalten?** Ein VPN-Client bekommt häufig eine Adresse aus einem VPN-Adresspool. Beispiel: VPN-IP: 10.8.0.25 Prüfen: Hat der Client eine VPN-IP bekommen? Liegt sie im richtigen Pool? Passt der Pool zur Benutzergruppe? Gibt es doppelte Adressen? Ist der Pool voll? Wird die IP in Logs angezeigt? Merksatz: Ohne korrekte VPN-IP können Regeln und Routen nicht passen. --- **Prüfung: Route zum Zielnetz** Der Client braucht eine Route zum internen Zielnetz. Beispiel: Zielnetz: 192.168.20.0/24 Route: über VPN-Tunnel Fehlt diese Route, sendet der Client Pakete nicht durch VPN. Merksatz: Route zum Zielnetz ist Pflicht. --- **Prüfung: Rückroute** Das Zielsystem oder dessen Gateway muss wissen, wie es zum VPN-Client zurückkommt. Beispiel: VPN-Pool: 10.8.0.0/24 Servernetz: 192.168.20.0/24 Das Servernetz braucht einen Rückweg zu: 10.8.0.0/24 Merksatz: Ohne Rückroute sieht der Client keine Antwort. --- **Prüfung: Firewall zwischen VPN und Ziel** Auf dem Weg können mehrere Firewalls beteiligt sein. Beispiele: VPN-Gateway-Firewall Core-Firewall Servernetz-Firewall Host-Firewall auf dem Zielsystem Prüfen: Quelle ist VPN-Pool? Ziel ist korrekt? Port ist korrekt? TCP oder UDP korrekt? Benutzergruppe korrekt? Richtung korrekt? Logs zeigen Allow oder Deny? NAT verändert Quelle oder Ziel? Merksatz: Alle Filterstellen auf dem Weg prüfen. --- **Prüfung: Host-Firewall** Auch wenn das Netz den Zugriff erlaubt, kann das Zielsystem blockieren. Beispiele: Windows Firewall erlaubt RDP nur aus lokalem Subnetz. Linux-Firewall erlaubt SSH nur aus Adminnetz. Dienst erlaubt keine VPN-Quelladressen. Merksatz: Zielsystem-Firewall ist Teil der VPN-Fehlersuche. --- **Fehlerbild 6: VPN verbindet, aber interne Namen gehen nicht** Wenn IP-Adressen funktionieren, aber Namen nicht, ist DNS sehr wahrscheinlich betroffen. Mögliche Ursachen: interner DNS wird nicht gesetzt DNS-Suffix fehlt Split DNS falsch DNS-Anfragen gehen lokal raus DNS-Server über VPN nicht erreichbar Firewall blockiert UDP/TCP 53 falscher DNS-Record DNS-Cache veraltet IPv6-Antwort zeigt falschen Weg Merksatz: IP geht, Name nicht: DNS prüfen. --- **Prüfung: DNS aus Sicht des VPN-Clients** Wichtig ist nicht, was der Administrator auf dem Server sieht. Wichtig ist: Was sieht der VPN-Client? Prüfen: Welche DNS-Server nutzt der Client? Welche Suchdomäne ist gesetzt? Wird Split DNS verwendet? Welche Antwort liefert DNS? Wird A oder AAAA genutzt? Ist der interne DNS erreichbar? Gibt es DNS-Leaks? Merksatz: DNS immer dort prüfen, wo der Fehler auftritt. --- **Fehlerbild 7: Nur bestimmte Dienste gehen nicht** Wenn nur ein Dienst nicht funktioniert, ist der VPN-Tunnel wahrscheinlich grundsätzlich aktiv. Beispiele: Intranet geht, aber RDP nicht. DNS geht, aber SMB nicht. Ping geht, aber HTTPS nicht. Mögliche Ursachen: Port nicht erlaubt Dienst läuft nicht Host-Firewall blockiert Benutzer nicht berechtigt Anwendung lehnt VPN-Quelle ab Zertifikat oder TLS-Problem falscher Port falsches Protokoll Merksatz: Ein Dienst betroffen: Port, Dienst, Berechtigung und Anwendung prüfen. --- **Dienstprüfung über VPN** Bei einem einzelnen Dienst prüft man: Zielname korrekt? Ziel-IP korrekt? Port korrekt? TCP oder UDP? Dienst lauscht? Firewall erlaubt? Host-Firewall erlaubt? Anwendung antwortet? Benutzer berechtigt? Logs vorhanden? Merksatz: Dienstprüfung ist mehr als Ping. --- **Fehlerbild 8: VPN funktioniert nur für manche Benutzer** Wenn der Zugriff nur bei bestimmten Benutzern funktioniert, liegt der Fehler häufig bei Gruppen, Rollen oder Profilen. Mögliche Ursachen: falsche VPN-Gruppe Benutzer nicht berechtigt andere Routen andere DNS-Einstellungen andere Firewall-Regeln anderes VPN-Profil MFA-Richtlinie unterschiedlich Gerätestatus unterschiedlich Konto gesperrt Rolle fehlt Merksatz: Manche Benutzer betroffen: Gruppen, Profile und Rechte vergleichen. --- **Vergleichsmethode bei Benutzerproblemen** Vergleiche: funktionierender Benutzer mit fehlerhaftem Benutzer Prüfen: gleiche Gruppe? gleiches VPN-Profil? gleiche Routen? gleiche DNS-Server? gleiche Firewall-Zone? gleiche MFA-Richtlinie? gleiches Endgerät? gleiche Zielrechte? Merksatz: Vergleich zeigt, was beim fehlerhaften Benutzer anders ist. --- **Fehlerbild 9: VPN funktioniert nur aus manchen Netzen** Wenn VPN aus einem Heimnetz funktioniert, aus einem anderen aber nicht, liegt der Fehler oft außerhalb der Firma. Mögliche Ursachen: lokales Heimnetz überschneidet sich lokaler Router blockiert VPN Hotel-WLAN blockiert UDP Mobilfunk nutzt CGNAT Provider blockiert Ports DNS im Fremdnetz fehlerhaft IPv6 nimmt anderen Weg restriktives Gastnetz captive portal aktiv Merksatz: Fremde Netze können VPN-Protokolle blockieren oder stören. --- **Adresskonflikt mit Heimnetz erkennen** Typisches Problem: Heimnetz: 192.168.1.0/24 Firmennetz: 192.168.1.0/24 Symptom: VPN verbunden, aber Ziel im Firmennetz nicht erreichbar. Ursache: Client hält Ziel für lokal und sendet nicht durch den Tunnel. Merksatz: Gleiche Netze auf beiden Seiten sind ein klassischer VPN-Fehler. --- **Fehlerbild 10: VPN langsam** VPN-Langsamkeit kann viele Ursachen haben. Mögliche Ursachen: hohe Latenz Paketverlust schlechte WLAN-Verbindung Full Tunnel überlastet VPN-Gateway ausgelastet zentrale Internetleitung ausgelastet MTU-Problem TCP-over-TCP Proxy langsam schwacher Client Server langsam Datenbank langsam Merksatz: Langsam ist nicht gleich nicht erreichbar. --- **Performance prüfen** Bei VPN-Performance prüft man: Latenz Paketverlust Bandbreite Auslastung des Gateways Auslastung des Clients WLAN-Qualität MTU Tunnelart Full Tunnel oder Split Tunnel Zielserver Anwendung Tageszeit Merksatz: VPN-Performance braucht Messwerte, nicht Bauchgefühl. --- **Fehlerbild 11: VPN bricht ab** Mögliche Ursachen: instabile Internetverbindung WLAN-Roaming Mobilfunkwechsel NAT-Timeout Firewall-Timeout VPN-Clientfehler Token läuft ab Zertifikat läuft ab Gateway überlastet Energiesparmodus MTU-Problem Keepalive fehlt Merksatz: VPN-Abbrüche mit Zeitbezug, Logs und Verbindungsmessung prüfen. --- **MTU-Probleme bei VPN** VPN fügt zusätzliche Header hinzu. Dadurch kann die effektive Paketgröße sinken. Typische Symptome: kleine Webseiten gehen große Webseiten hängen Downloads brechen ab VPN wirkt instabil RDP friert ein SSH hängt bei viel Ausgabe große Dateiübertragung bricht ab Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. --- **TCP-over-TCP bei VPN** Wenn ein VPN über TCP läuft und darin TCP-Verkehr transportiert wird, kann Performance schlechter werden. Besonders bei Paketverlust stören sich die Steuerungsmechanismen. Typisch: langsame Dateiübertragung stockende Verbindungen hohe Latenz Wiederholungen Merksatz: TCP im TCP-Tunnel kann bremsen. --- **NAT-Timeout** Viele Router und Firewalls löschen inaktive NAT-Zuordnungen nach einiger Zeit. Folge: VPN-Verbindung wirkt verbunden, aber Daten fließen nicht mehr. Oder: Tunnel bricht ab. Lösungsideen: Keepalive passende Timeout-Werte stabile Verbindung geeignete VPN-Konfiguration Merksatz: NAT-Timeout kann VPN-Verbindungen still abbrechen lassen. --- **VPN-Logs richtig auswerten** VPN-Logs können zeigen: Verbindungsversuch Benutzer Quell-IP Gateway Authentifizierung MFA-Ergebnis Zertifikatsprüfung zugewiesene IP zugewiesene Gruppe Routen Trennungsgrund Fehlercode Phase-1- oder Phase-2-Fehler bei IPsec Merksatz: VPN-Logs zeigen, an welchem Schritt die Verbindung scheitert. --- **Client-Logs** VPN-Client-Logs sind wichtig, weil der Client oft mehr Details zum Fehler sieht. Sie zeigen zum Beispiel: DNS-Auflösung des Gateways Verbindungsversuch Zertifikatsfehler Authentifizierungsfehler gesetzte Routen gesetzte DNS-Server Tunnelstatus Abbruchgrund Merksatz: Client-Logs zeigen die Sicht des Endgeräts. --- **Gateway-Logs** VPN-Gateway-Logs zeigen die Sicht der Gegenstelle. Sie zeigen zum Beispiel: kommt der Client an? wird Benutzer erkannt? schlägt MFA fehl? wird Zertifikat akzeptiert? wird eine VPN-IP vergeben? welche Gruppe wird angewendet? welche Richtlinie greift? warum wird Verbindung getrennt? Merksatz: Gateway-Logs zeigen, was das VPN-System entschieden hat. --- **Firewall-Logs bei VPN** Firewall-Logs helfen nach dem Tunnelaufbau. Sie zeigen: Quelle aus VPN-Pool Zielsystem Port Protokoll erlaubte Verbindung blockierte Verbindung Regelname Zone NAT Rückverkehr Merksatz: Firewall-Logs zeigen, ob VPN-Verkehr wirklich erlaubt wird. --- **Paketmitschnitt bei VPN** Ein Paketmitschnitt kann helfen, wenn Logs nicht ausreichen. Mögliche Mitschnittorte: VPN-Client VPN-Gateway außen VPN-Gateway innen interne Firewall Zielserver Fragen: sendet der Client? kommt Verkehr am Gateway an? verlässt Verkehr das Gateway intern? kommt Verkehr am Ziel an? antwortet das Ziel? kommt Antwort zurück? Merksatz: Mehrere Mitschnittpunkte zeigen, wo Pakete verschwinden. --- **VPN-Fehlersuche nach OSI-Modell** | Schicht | VPN-Prüfung | |---:|---| | 1 | Internetverbindung, WLAN, Kabel | | 2 | lokales Netz, WLAN, VLAN | | 3 | IP, Routing, VPN-Pool, Rückroute | | 4 | TCP/UDP, Ports, Firewall | | 5 | Session, Tunnelstabilität, Timeout | | 6 | TLS, Zertifikate, Verschlüsselung | | 7 | Login, MFA, DNS, Anwendung, Rechte | Merksatz: Auch VPN-Probleme lassen sich nach OSI eingrenzen. --- **Praktische Prüfreihenfolge** Eine gute Reihenfolge: 1. Fehlerbild genau aufnehmen. 2. VPN-Art und Protokoll bestimmen. 3. Client-Internet prüfen. 4. VPN-Gateway-Erreichbarkeit prüfen. 5. Authentifizierung und MFA prüfen. 6. Zertifikate prüfen. 7. VPN-IP prüfen. 8. Routen prüfen. 9. DNS prüfen. 10. Firewall-Regeln prüfen. 11. Zielsystem und Host-Firewall prüfen. 12. Logs vergleichen. 13. Performance und MTU prüfen. 14. Ergebnis dokumentieren. Merksatz: Erst Tunnel, dann Route, dann DNS, dann Dienst. --- **Checkliste: VPN verbindet nicht** Gateway-Name korrekt? Gateway-IP korrekt? Internetverbindung vorhanden? Port und Protokoll erreichbar? VPN-Gateway online? Benutzerkonto aktiv? Passwort korrekt? MFA erfolgreich? Zertifikat gültig? Clientversion passend? Uhrzeit korrekt? Logs geprüft? Merksatz: Bei Verbindungsfehlern vorne in der Kette suchen. --- **Checkliste: VPN verbunden, aber kein Zugriff** VPN-IP erhalten? richtige Gruppe? Route zum Zielnetz vorhanden? Rückroute vorhanden? DNS korrekt? Firewall erlaubt? Host-Firewall erlaubt? Zielsystem online? Dienst läuft? Berechtigung vorhanden? Logs geprüft? Merksatz: Bei Zugriffproblemen nach dem Tunnel suchen. --- **Checkliste: VPN langsam** Latenz gemessen? Paketverlust gemessen? Bandbreite geprüft? WLAN geprüft? Full Tunnel oder Split Tunnel? Gateway ausgelastet? Client ausgelastet? MTU geprüft? TCP-over-TCP möglich? Zielserver langsam? Anwendung langsam? Tageszeit oder Lastspitzen? Merksatz: Langsamkeit mit Messwerten belegen. --- **Checkliste: VPN bricht ab** Abbruchzeitpunkt bekannt? Client-Log geprüft? Gateway-Log geprüft? Internetverbindung stabil? WLAN-Wechsel? Mobilfunkwechsel? NAT-Timeout? Keepalive aktiv? Zertifikat oder Token abgelaufen? Gateway überlastet? Energiesparmodus aktiv? MTU-Problem möglich? Merksatz: Abbrüche brauchen Zeitbezug und Logs. --- **Typische Prüfungsfragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum reicht ein verbundener VPN-Tunnel nicht aus? - Welche Schritte prüft man bei VPN-Fehlersuche? - Warum sind Routen bei VPN wichtig? - Warum ist der Rückweg wichtig? - Warum können interne Namen trotz VPN nicht funktionieren? - Warum ist DNS bei VPN häufig eine Fehlerquelle? - Warum kann ein Dienst trotz VPN-Verbindung nicht erreichbar sein? - Warum können unterschiedliche Benutzer unterschiedliche VPN-Rechte haben? - Warum verursachen gleiche Netze auf beiden Seiten Probleme? - Was sind typische Ursachen für langsame VPN-Verbindungen? - Warum können MTU-Probleme bei VPN auftreten? - Welche Logs sind bei VPN wichtig? - Wie hilft ein Paketmitschnitt bei VPN-Fehlern? --- **Typische Prüfungsfallen** VPN verbunden heißt nicht: alles funktioniert. VPN-Status grün heißt nicht: Routen stimmen. Login erfolgreich heißt nicht: Zugriff erlaubt. Authentifizierung ist nicht Autorisierung. IP geht, Name nicht: DNS prüfen. Ping geht, Dienst nicht: Port und Anwendung prüfen. Ein Dienst betroffen: nicht ganzes VPN kaputt. Manche Benutzer betroffen: Gruppen und Profile vergleichen. Manche Heimnetze betroffen: Adresskonflikt prüfen. Gleiche Netze auf beiden Seiten sind problematisch. Route zum Ziel reicht nicht, Rückroute muss auch stimmen. Host-Firewall kann blockieren. DNS-Suffix und Split DNS beachten. UDP und TCP nicht verwechseln. MTU bei großen Datenproblemen prüfen. VPN-Logs und Firewall-Logs gemeinsam auswerten. Client-Sicht und Gateway-Sicht vergleichen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | VPN-Fehlersuche | systematische Analyse von VPN-Problemen | | VPN-Gateway | Gegenstelle für VPN-Verbindungen | | VPN-Client | Endgerät oder Software des Benutzers | | VPN-IP | Adresse aus dem VPN-Adresspool | | VPN-Profil | Konfiguration für VPN-Zugriff | | VPN-Gruppe | Gruppe zur Steuerung von Rechten | | Route | Weg zu einem Zielnetz | | Rückroute | Antwortweg zurück zum VPN-Client | | Split DNS | getrennte DNS-Auflösung | | DNS-Leak | DNS-Anfragen gehen falschen Weg | | Host-Firewall | Firewall auf Zielsystem | | MTU | maximale Paketgröße | | NAT-Timeout | Ablauf einer NAT-Zuordnung | | Keepalive | regelmäßiges Paket zum Offenhalten | | Client-Log | Log aus Sicht des Endgeräts | | Gateway-Log | Log aus Sicht des VPN-Systems | | Firewall-Log | Log über erlaubten oder blockierten Verkehr | | TCP-over-TCP | TCP-Verkehr in TCP-Tunnel | | Adresskonflikt | gleiche Netze auf beiden Seiten | --- **IHK-sichere Kurzformulierung** Bei der VPN-Fehlersuche muss zuerst das genaue Fehlerbild bestimmt werden. Ein VPN kann bereits beim Verbindungsaufbau, bei der Authentifizierung, bei MFA, bei Zertifikaten, beim Routing, bei DNS, bei Firewall-Regeln, beim Rückweg, beim Zielsystem oder bei Berechtigungen scheitern. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar sind. Der Client benötigt eine gültige VPN-IP, passende Routen, interne DNS-Einstellungen und die nötigen Firewall- und Benutzerrechte. Bei Performanceproblemen sind Latenz, Paketverlust, Bandbreite, MTU, Full Tunnel, Gateway-Auslastung und Client-Verbindung zu prüfen. Logs auf Client, VPN-Gateway, Firewall und Zielsystem helfen, den Fehler einzugrenzen. --- **Merksätze** VPN-Fehlersuche ist mehr als Tunnelprüfung. Erst Fehlerbild klären. VPN-Art bestimmen. VPN-Protokoll bestimmen. Gateway muss erreichbar sein. Port und Protokoll müssen passen. UDP und TCP nicht verwechseln. Authentifizierung prüft Identität. Autorisierung prüft Rechte. MFA-Logs bei MFA-Problemen prüfen. Zertifikate mit Name, CA, Gültigkeit und Zeit prüfen. VPN-IP muss korrekt sein. Route zum Zielnetz muss vorhanden sein. Rückroute muss vorhanden sein. Firewall-Regeln müssen VPN-Quelle erlauben. Host-Firewall nicht vergessen. IP geht, Name nicht: DNS prüfen. Interne Namen brauchen internes DNS. Nur ein Dienst betroffen: Port, Dienst und Rechte prüfen. Manche Benutzer betroffen: Gruppen und Profile prüfen. Manche Heimnetze betroffen: Adresskonflikt prüfen. VPN langsam: Latenz, Paketverlust, MTU und Auslastung prüfen. VPN bricht ab: Logs und Zeitbezug prüfen. Client-Logs zeigen Endgerätesicht. Gateway-Logs zeigen VPN-Systemsicht. Firewall-Logs zeigen Zugriffspfad. Paketmitschnitt zeigt, wo Pakete verschwinden. Erst Tunnel, dann Route, dann DNS, dann Dienst. # Neue Seite **Merksätze und Prüfungswissen zu VPN, Intranet und Extranet** Diese Seite fasst die wichtigsten Inhalte zu VPN, Intranet, Extranet, VPN-Arten, VPN-Protokollen, Routing, DNS, Firewall-Regeln, Sicherheit und Fehlersuche zusammen. Dieses Kapitel ist besonders prüfungsrelevant, weil VPN nicht nur Verschlüsselung bedeutet, sondern auch Routing, Berechtigungen, DNS, Firewall, Authentifizierung und Sicherheit betrifft. Merksatz: VPN ist nicht nur ein Tunnel. VPN ist ein Zugriffskonzept mit Technik, Regeln und Sicherheit. --- **Grundbegriffe** | Begriff | Bedeutung | |---|---| | Internet | öffentliches weltweites Netzwerk | | Intranet | internes Netzwerk oder internes Portal einer Organisation | | Extranet | kontrollierter Zugriff für externe Berechtigte | | VPN | geschützter Tunnel über ein fremdes oder unsicheres Netz | Merksatz: Internet öffentlich. Intranet intern. Extranet kontrolliert extern. VPN sicherer Tunnel. --- **Intranet** Ein Intranet ist ein internes Netzwerk oder internes Informationssystem. Typische Inhalte: internes Wiki Mitarbeiterportal Ticketsystem Zeiterfassung Dateiablage interne Anwendungen interne APIs Monitoring interne Dokumentation Wichtig: Ein Intranet ist nicht automatisch öffentlich erreichbar. Merksatz: Intranet nutzt oft Webtechnik, ist aber intern beschränkt. --- **Extranet** Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit. Beispiele: Lieferantenportal Kundenportal Partnerportal Dienstleisterzugang gemeinsamer Projektraum Wartungszugang Wichtig: Externe bekommen nur Zugriff auf bestimmte Ressourcen, nicht auf das ganze interne Netz. Merksatz: Extranet = ausgewählter externer Zugriff. --- **VPN** VPN steht für: Virtual Private Network Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf. Typische Zwecke: Homeoffice Standortvernetzung Fernwartung Zugriff auf interne Dienste Cloud-Anbindung Adminzugriff Extranet-Zugriff Merksatz: VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen. --- **VPN-Tunnel** Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz. Dabei werden Daten: eingepackt verschlüsselt übertragen am Ziel wieder ausgepackt Das nennt man: Tunneling Merksatz: Tunneling bedeutet: Daten werden in eine geschützte Verbindung eingepackt. --- **VPN schützt nicht automatisch alles** Ein VPN schützt vor allem den Übertragungsweg. Es ersetzt nicht: Firewall-Regeln Benutzerrechte MFA Gerätesicherheit Protokollierung Segmentierung Patchmanagement Anwendungsberechtigungen Merksatz: VPN schützt den Tunnel, aber nicht automatisch jedes Zielsystem. --- **Remote-Access-VPN** Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen. Typische Beispiele: Homeoffice-Mitarbeiter Außendienst Administrator mobiler Benutzer Support Dienstleister Merksatz: Remote-Access-VPN = Benutzer verbindet sich aus der Ferne. --- **Client-to-Site-VPN** Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN. Beispiel: Notebook → VPN-Gateway → Firmennetz Merksatz: Client-to-Site verbindet einen einzelnen Client mit einem Netz. --- **Site-to-Site-VPN** Site-to-Site-VPN verbindet ganze Netzwerke miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netz Unternehmen ↔ Partnernetz Merksatz: Site-to-Site-VPN = Netz verbindet sich mit Netz. --- **Remote-Access und Site-to-Site unterscheiden** | Merkmal | Remote-Access-VPN | Site-to-Site-VPN | |---|---|---| | verbindet | einzelner Benutzer | ganze Netze | | Endpunkte | Client und Gateway | Gateway und Gateway | | typischer Zweck | Homeoffice | Standortvernetzung | | Steuerung | Benutzer, Gruppen, Profile | Netze, Routen, Firewall | | Fehlerquellen | Client, MFA, DNS, Routen | Phase 1/2, Routing, Netze, Firewall | Merksatz: Remote-Access ist benutzerbezogen. Site-to-Site ist netzbezogen. --- **Weitere VPN-Arten** | VPN-Art | Zweck | |---|---| | Host-to-Host-VPN | zwei einzelne Systeme verbinden | | Extranet-VPN | externer Partnerzugriff | | Cloud-VPN | lokales Netz mit Cloud-Netz verbinden | | Admin-VPN | besonders geschützter Adminzugang | | Fernwartungs-VPN | zeitlich begrenzter Supportzugang | | Always-On-VPN | automatisch dauerhaft verbunden | | On-Demand-VPN | startet bei Bedarf | | Per-App-VPN | nur bestimmte Apps nutzen VPN | Merksatz: VPN-Art richtet sich nach Einsatzzweck. --- **VPN-Protokolle** VPN ist ein Oberbegriff. Technische Umsetzungen können sein: IPsec IKEv2 OpenVPN WireGuard TLS-VPN L2TP/IPsec Veraltet: PPTP Merksatz: VPN ist der Zweck. Protokoll ist die technische Umsetzung. --- **IPsec** IPsec steht für: Internet Protocol Security IPsec schützt IP-Kommunikation. Typische Einsätze: Site-to-Site-VPN Cloud-VPN Standortvernetzung Remote-Access-VPN IPsec arbeitet nah an Schicht 3, weil IP-Pakete geschützt werden. Merksatz: IPsec schützt IP-Kommunikation auf Netzwerkebene. --- **IKE und IKEv2** IKE steht für: Internet Key Exchange IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus. IKEv2 ist die modernere Variante. Merksatz: IKE handelt aus, wie IPsec abgesichert wird. --- **IPsec Phase 1 und Phase 2** | Phase | Bedeutung | |---|---| | Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen aufbauen | | Phase 2 | geschützte Netze oder Datenströme festlegen | Typische Einordnung: Phase-1-Fehler: Tunnel kommt oft gar nicht hoch. Phase-2-Fehler: Tunnel steht eventuell, aber Daten fließen nicht richtig. Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt Netze. --- **ESP und AH** ESP steht für: Encapsulating Security Payload ESP kann bieten: Verschlüsselung Integrität Authentifizierung AH steht für: Authentication Header AH bietet Integrität und Authentifizierung, aber keine Verschlüsselung des Inhalts. Merksatz: ESP schützt Daten. AH verschlüsselt nicht. --- **Wichtige IPsec-Ports und Protokolle** | Zweck | Port oder Protokoll | |---|---| | IKE | UDP 500 | | NAT-Traversal | UDP 4500 | | ESP | IP-Protokoll 50 | | AH | IP-Protokoll 51 | Wichtig: ESP und AH sind keine TCP- oder UDP-Ports. Merksatz: IPsec ist nicht nur ein einzelner Port. --- **OpenVPN** OpenVPN ist eine flexible TLS-basierte VPN-Lösung. Eigenschaften: nutzt TLS kann UDP oder TCP verwenden kann Zertifikate nutzen ist flexibel konfigurierbar wird für Remote-Access und Site-to-Site genutzt Merksatz: OpenVPN ist flexibel und TLS-basiert. --- **WireGuard** WireGuard ist ein modernes, schlankes VPN-Protokoll. Wichtige Begriffe: Peer öffentlicher Schlüssel privater Schlüssel Allowed IPs Endpoint Persistent Keepalive WireGuard nutzt typischerweise UDP. Merksatz: WireGuard arbeitet mit Peers, Schlüsseln und Allowed IPs. --- **Allowed IPs bei WireGuard** Allowed IPs bestimmen bei WireGuard: welche Zielnetze über einen Peer gehen und gleichzeitig: welche Quelladressen von diesem Peer erwartet werden Merksatz: Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich. --- **TLS-VPN** TLS-VPN nutzt TLS als Grundlage. Es wird oft noch SSL-VPN genannt. Typische Eigenschaften: häufig TCP 443 oft firewallfreundlich häufig für Remote-Access teilweise portalbasiert teilweise clientbasiert Merksatz: SSL-VPN meint in der Praxis meistens TLS-VPN. --- **PPTP** PPTP steht für: Point-to-Point Tunneling Protocol PPTP ist veraltet und gilt nicht mehr als sicher. Merksatz: PPTP kennen, aber nicht mehr einsetzen. --- **Split Tunnel** Split Tunnel bedeutet: Nur bestimmter Verkehr läuft durch das VPN. Beispiel: Firmennetze: durch VPN normales Internet: direkt lokal Vorteile: weniger Last oft bessere Performance Nachteile: weniger zentrale Kontrolle höhere Anforderungen an Sicherheitskonzept Merksatz: Split Tunnel leitet nur ausgewählten Verkehr durch VPN. --- **Full Tunnel** Full Tunnel bedeutet: Der gesamte Clientverkehr läuft durch das VPN. Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz. Vorteile: zentrale Kontrolle einheitliche Filterung zentrale Protokollierung Nachteile: mehr Last höhere Latenz mehr Bandbreitenbedarf Merksatz: Full Tunnel leitet alles durch VPN. --- **Split Tunnel und Full Tunnel vergleichen** | Merkmal | Split Tunnel | Full Tunnel | |---|---|---| | Firmennetze | über VPN | über VPN | | Internetverkehr | lokal direkt | über VPN | | VPN-Last | geringer | höher | | zentrale Kontrolle | geringer | höher | | Performance | oft besser | abhängig von Gateway und Leitung | Merksatz: Split Tunnel spart Last. Full Tunnel erhöht zentrale Kontrolle. --- **VPN-Routing** VPN braucht passende Routen. Der Client muss wissen: Welche Netze liegen hinter dem VPN? Beispiel: Zielnetz: 192.168.10.0/24 Route: über VPN-Tunnel Fehlt die Route, geht Verkehr eventuell ins lokale Netz oder ins Internet. Merksatz: Ohne Route kein Weg durch VPN. --- **Rückroute** Nicht nur der Client braucht eine Route zum Ziel. Das Zielnetz braucht auch einen Weg zurück zum VPN-Client. Beispiel: VPN-Pool: 10.8.0.0/24 Servernetz: 192.168.10.0/24 Das Servernetz muss wissen, wie es zu 10.8.0.0/24 zurückkommt. Merksatz: VPN braucht Hinweg und Rückweg. --- **VPN-Adresspool** Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse erhalten. Beispiel: 10.8.0.0/24 Ein Client bekommt zum Beispiel: 10.8.0.25 Diese Adresse ist wichtig für: Routing Firewall-Regeln Logs Gruppenregeln Fehlersuche Merksatz: VPN-Adresspool bestimmt, aus welchem Netz VPN-Clients kommen. --- **Adresskonflikte** Ein häufiger VPN-Fehler: Firmennetz: 192.168.1.0/24 Heimnetz: 192.168.1.0/24 Dann weiß der Client nicht eindeutig, ob eine Adresse lokal oder über VPN erreichbar ist. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme. --- **VPN-DNS** VPN-Benutzer brauchen oft interne Namensauflösung. Beispiele: intranet.firma.local fileserver.firma.local dc01.firma.local wiki.intern Dafür werden benötigt: interner DNS-Server DNS-Suffix Split DNS Firewall-Regeln für DNS korrekte DNS-Records Merksatz: VPN braucht oft internes DNS. --- **Split DNS** Split DNS bedeutet: interne Namen werden über interne DNS-Server aufgelöst und: öffentliche Namen werden normal oder extern aufgelöst Beispiel: firma.local → interner DNS öffentliche Webseiten → normaler DNS Merksatz: Split DNS trennt interne und externe Namensauflösung. --- **DNS-Leak** Ein DNS-Leak bedeutet: DNS-Anfragen gehen unerwartet außerhalb des VPNs. Mögliche Folgen: interne Namen funktionieren nicht falsche DNS-Antworten Provider sieht DNS-Anfragen Sicherheitsrichtlinien werden umgangen Merksatz: DNS-Leak = DNS nimmt den falschen Weg. --- **IPv6-Leak** Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber IPv6 direkt am VPN vorbei ins Internet geht. Wichtig: IPv6 bewusst tunneln oder IPv6 bewusst filtern und regeln Merksatz: IPv6 bei VPN nicht vergessen. --- **VPN-Firewall-Regeln** Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben. Firewall-Regeln sollten festlegen: Quelle Ziel Port Protokoll Richtung Zone Benutzergruppe Zweck Logging Merksatz: VPN braucht gezielte Firewall-Regeln. --- **VPN-Zonen** VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admin VPN-Dienstleister VPN-Partner Cloud-VPN Vorteil: Zugriffe können sauber getrennt werden. Merksatz: VPN-Zonen verhindern pauschale LAN-Freigaben. --- **Least Privilege beim VPN** Least Privilege bedeutet: nur die Rechte, die wirklich nötig sind. Beim VPN heißt das: keine pauschale LAN-Freigabe keine unnötigen Ports keine unnötigen Zielnetze keine Dauerzugänge für Externe keine Sammelkonten Merksatz: VPN-Zugriff so eng wie möglich, so weit wie nötig. --- **Authentifizierung** Authentifizierung beantwortet: Wer bist du? Beim VPN möglich durch: Benutzername und Passwort Zertifikat MFA Token Smartcard Gerätezertifikat SSO Merksatz: Authentifizierung prüft Identität. --- **Autorisierung** Autorisierung beantwortet: Was darfst du? Beispiele: Darf Benutzer ins VPN? Darf Benutzer ins Servernetz? Darf Benutzer RDP nutzen? Darf Benutzer auf Dateiablage? Darf Dienstleister Wartungsserver erreichen? Merksatz: Autorisierung prüft Berechtigung. --- **Authentifizierung und Autorisierung unterscheiden** | Begriff | Frage | Beispiel | |---|---|---| | Authentifizierung | Wer bist du? | Login mit Passwort und MFA | | Autorisierung | Was darfst du? | Zugriff auf bestimmtes Netz erlaubt | Merksatz: Anmeldung ist nicht automatisch Berechtigung. --- **MFA bei VPN** MFA steht für: Multi-Faktor-Authentifizierung Warum wichtig? VPN ist oft aus dem Internet erreichbar. Passwörter können gestohlen werden. Phishing ist häufig. VPN-Zugang führt oft zu internen Ressourcen. Merksatz: VPN-Zugänge sollten mit MFA geschützt werden. --- **Zertifikate bei VPN** VPN kann Zertifikate verwenden für: Serverauthentifizierung Clientauthentifizierung Gerätezulassung stärkere Identitätsprüfung Wichtig: Zertifikate müssen gültig sein, widerrufen werden können und zur richtigen CA gehören. Merksatz: Zertifikate erhöhen Sicherheit, brauchen aber Verwaltung. --- **Gerätesicherheit** Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. Deshalb wichtig: aktuelles Betriebssystem Updates Gerätemanagement Festplattenverschlüsselung Schutzsoftware kein kompromittiertes Gerät sichere Konfiguration Posture Check Merksatz: Unsicheres Gerät plus VPN ist ein Risiko. --- **BYOD und VPN** BYOD bedeutet: Bring Your Own Device Private Geräte im VPN sind kritisch, wenn sie nicht verwaltet werden. Risiken: unklarer Patchstand keine Kontrolle Malware Datenabfluss fehlende Trennung privat/geschäftlich Merksatz: BYOD-VPN braucht klare Regeln und technische Kontrolle. --- **Dienstleisterzugang** Dienstleisterzugänge müssen besonders eng geregelt werden. Wichtig: eigenes Konto pro Person keine Sammelkonten MFA Zugriff nur auf Zielsystem zeitliche Begrenzung Protokollierung Deaktivierung nach Projektende Merksatz: Externe niemals pauschal ins interne Netz lassen. --- **Admin-VPN** Admin-VPN braucht besonderen Schutz. Wichtig: separate Admin-Konten MFA Zertifikate verwaltete Geräte Zugriff nur auf Managementnetze Bastion Host oder Jump Server Protokollierung Alarmierung Merksatz: Admin-VPN ist Hochrisiko-Zugang. --- **Bastion Host und Jump Server** Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver. Zweck: Adminzugriffe bündeln direkte Zugriffe vermeiden Protokollierung verbessern Zugriffspfade kontrollieren Merksatz: Jump Server kontrolliert den Weg zu kritischen Systemen. --- **VPN-Logging** VPN-Logs sollten zeigen: Benutzer Gerät Quell-IP Zeitpunkt VPN-IP MFA-Ergebnis Gruppe Verbindungserfolg Fehlergrund Trennungsgrund Zielzugriffe je nach System Merksatz: VPN-Zugriffe müssen nachvollziehbar sein. --- **VPN-Monitoring** VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Tunnelstatus aktive Benutzer CPU RAM Bandbreite Fehlversuche Zertifikatsablauf Latenz Paketverlust Gateway-Verfügbarkeit Merksatz: VPN ist kritische Infrastruktur. --- **VPN-Fehlersuche Grundreihenfolge** Sinnvolle Reihenfolge: 1. Fehlerbild aufnehmen. 2. VPN-Art bestimmen. 3. VPN-Protokoll bestimmen. 4. Internetverbindung prüfen. 5. VPN-Gateway prüfen. 6. Authentifizierung und MFA prüfen. 7. Zertifikate prüfen. 8. VPN-IP prüfen. 9. Routen prüfen. 10. DNS prüfen. 11. Firewall prüfen. 12. Zielsystem prüfen. 13. Host-Firewall prüfen. 14. Logs prüfen. 15. MTU und Performance prüfen. Merksatz: Erst Tunnel, dann Route, dann DNS, dann Dienst. --- **Typische VPN-Fehlerbilder** | Fehlerbild | wahrscheinliche Richtung | |---|---| | VPN verbindet nicht | Gateway, Port, Login, MFA, Zertifikat | | VPN verbunden, IP geht nicht | Route, Firewall, Rückweg, Zielsystem | | IP geht, Name nicht | DNS, Split DNS, DNS-Suffix | | nur ein Dienst geht nicht | Port, Dienst, Host-Firewall, Rechte | | nur manche Benutzer betroffen | Gruppen, Profile, Rollen | | nur manche Heimnetze betroffen | Adresskonflikt, NAT, Provider, IPv6 | | VPN langsam | Latenz, Paketverlust, Bandbreite, MTU | | VPN bricht ab | NAT-Timeout, WLAN, Keepalive, Token, Gateway | Merksatz: Fehlerbild gibt die Richtung der Fehlersuche vor. --- **VPN und MTU** VPN fügt zusätzliche Header hinzu. Dadurch kann die nutzbare Paketgröße sinken. Typische Symptome: kleine Daten funktionieren große Downloads brechen ab Webseiten laden teilweise VPN wirkt instabil RDP friert ein SSH hängt bei viel Ausgabe Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. --- **TCP-over-TCP** TCP-over-TCP kann entstehen, wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert. Problem: zwei TCP-Schichten versuchen gleichzeitig, Paketverlust und Stau zu regeln. Folge: schlechtere Performance bei Verlusten oder instabiler Verbindung Merksatz: TCP im TCP-Tunnel kann bremsen. --- **NAT-Traversal** NAT-Traversal hilft VPN-Verbindungen, durch NAT-Geräte zu funktionieren. Besonders relevant bei: IPsec Heimnetzen Mobilfunk Hotel-WLAN Provider-NAT Merksatz: NAT-Traversal hilft VPN durch NAT-Umgebungen. --- **CGNAT** CGNAT steht für: Carrier Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden. Problem: eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich. Remote-Access vom Client nach außen ist oft weniger problematisch, wenn das Gateway öffentlich erreichbar ist. Merksatz: CGNAT stört besonders, wenn das VPN-Gateway von außen erreichbar sein muss. --- **Intranet, Extranet und VPN unterscheiden** | Aussage | richtig? | Erklärung | |---|---:|---| | Intranet ist intern | ja | internes Netz oder internes Portal | | Extranet ist öffentlich | nein | nur kontrolliert für Externe | | Internet ist öffentlich | ja | grundsätzlich öffentlich erreichbar | | VPN ist ein Tunnel | ja | geschützte Verbindung | | VPN ist dasselbe wie Extranet | nein | Extranet ist Zugriffskonzept, VPN mögliche Technik | | VPN ersetzt Firewall | nein | Firewall-Regeln bleiben nötig | | VPN ersetzt Rechte | nein | Anwendung und Benutzerrechte bleiben nötig | Merksatz: Begriffe sauber trennen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VPN? - Wofür steht VPN? - Was ist ein VPN-Tunnel? - Was ist ein Intranet? - Was ist ein Extranet? - Was ist der Unterschied zwischen Intranet, Extranet und Internet? - Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum braucht VPN Routing? - Warum ist DNS bei VPN wichtig? - Was ist Split DNS? - Warum sind überlappende Netze problematisch? - Warum sollte VPN mit MFA geschützt werden? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was ist IPsec? - Was ist IKE? - Was bedeuten Phase 1 und Phase 2 bei IPsec? - Was ist WireGuard? - Was sind Allowed IPs? - Warum ist PPTP veraltet? - Wie geht man bei VPN-Fehlersuche vor? --- **Typische Prüfungsfallen** VPN heißt Virtual Private Network. VPN ist nicht automatisch ein vollständiges Sicherheitskonzept. VPN schützt den Tunnel, aber nicht automatisch alle Zielsysteme. VPN ersetzt keine Firewall. VPN ersetzt keine Berechtigungen. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site ist praktisch Remote-Access. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Extranet ist nicht dasselbe wie VPN. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN braucht Routen. VPN braucht Rückrouten. VPN braucht oft internes DNS. IP geht, Name nicht: DNS prüfen. Überlappende Netze vermeiden. Heimnetzkonflikte sind häufig. Authentifizierung ist nicht Autorisierung. MFA ist bei VPN wichtig. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. PPTP nicht mehr verwenden. IPsec Phase 1 und Phase 2 unterscheiden. ESP ist kein TCP- oder UDP-Port. WireGuard Allowed IPs genau prüfen. VPN-Logs und Firewall-Logs gemeinsam auswerten. VPN verbunden heißt nicht: alles erreichbar. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Internet | öffentliches weltweites Netzwerk | | Intranet | internes Netz oder internes Portal | | Extranet | kontrollierter externer Zugriff | | VPN | Virtual Private Network | | VPN-Tunnel | geschützte logische Verbindung | | Tunneling | Daten werden in Tunnelverbindung verpackt | | Remote-Access-VPN | Benutzer verbindet sich aus der Ferne | | Client-to-Site-VPN | einzelner Client zum Firmennetz | | Site-to-Site-VPN | Netz-zu-Netz-Verbindung | | VPN-Gateway | Gegenstelle für VPN-Verbindung | | VPN-Client | Software oder Gerät des Benutzers | | IPsec | Absicherung von IP-Kommunikation | | IKE | Schlüsselaushandlung bei IPsec | | ESP | IPsec-Bestandteil für Schutz der Daten | | AH | IPsec-Bestandteil ohne Inhaltsverschlüsselung | | Phase 1 | sichere Verbindung zwischen Gateways | | Phase 2 | Schutz der eigentlichen Netze | | OpenVPN | TLS-basierte VPN-Lösung | | WireGuard | modernes schlankes VPN-Protokoll | | Allowed IPs | Routing- und Peer-Zuordnung bei WireGuard | | TLS-VPN | VPN auf TLS-Basis | | Split Tunnel | ausgewählter Verkehr durch VPN | | Full Tunnel | gesamter Verkehr durch VPN | | VPN-Adresspool | IP-Bereich für VPN-Clients | | Rückroute | Antwortweg zurück zum VPN-Client | | Split DNS | getrennte interne und externe Namensauflösung | | DNS-Leak | DNS-Anfragen nehmen falschen Weg | | IPv6-Leak | IPv6-Verkehr läuft am VPN vorbei | | VPN-Zone | Firewall-Zone für VPN-Verkehr | | MFA | Multi-Faktor-Authentifizierung | | Least Privilege | minimale notwendige Rechte | | Bastion Host | gehärteter Zwischenserver | | Jump Server | Sprungserver für Adminzugriffe | | MTU | maximale Paketgröße | | NAT-Traversal | VPN durch NAT ermöglichen | | CGNAT | Provider-NAT für viele Kunden | --- **IHK-sichere Gesamtformulierung** Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance. --- **Wichtigste Merksätze** VPN = Virtual Private Network. VPN baut einen geschützten Tunnel. VPN ist nicht automatisch vollständige Sicherheit. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Benutzerrechte. VPN verbunden heißt nicht: Zugriff erlaubt. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site entspricht praktisch Remote-Access. VPN-Protokoll ist die technische Umsetzung. IPsec schützt IP-Kommunikation. IKE handelt Schlüssel aus. Phase 1 verbindet Gateways. Phase 2 schützt Netze. ESP schützt Daten. AH verschlüsselt nicht. OpenVPN ist TLS-basiert. WireGuard nutzt Peers und Allowed IPs. TLS-VPN wird oft SSL-VPN genannt. PPTP ist veraltet. Split Tunnel leitet ausgewählten Verkehr. Full Tunnel leitet alles. VPN braucht Route. VPN braucht Rückroute. VPN braucht oft internes DNS. Split DNS trennt Namensauflösung. Überlappende Netze vermeiden. Heimnetzkonflikte sind klassisch. VPN-Zugriff nach Rollen begrenzen. MFA für VPN nutzen. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. Unsichere Endgeräte sind Risiko. VPN-Logs sind wichtig. Monitoring gehört zu VPN. MTU bei großen Datenproblemen prüfen. Erst Tunnel, dann Route, dann DNS, dann Dienst.