14. VPN, Intranet und Extranet

14.1 VPN, Intranet und Extranet
VPN, Intranet und Extranet beschreiben verschiedene Möglichkeiten,
wie Benutzer und Systeme auf interne oder geschützte Ressourcen zugreifen können. 
 Diese Begriffe hängen eng zusammen,
werden aber nicht gleich verwendet. 
 Grundidee: 
 Intranet:
internes Netzwerk einer Organisation

Extranet:
kontrollierter Zugriff für externe Partner

VPN:
verschlüsselter Tunnel für Zugriff über ein unsicheres Netz
 
 Merksatz: 
 Intranet ist intern.
Extranet ist kontrolliert extern erweitert.
VPN ist ein sicherer Tunnel.
 
 
 Warum ist dieses Kapitel wichtig? 
 In Unternehmen arbeiten Benutzer nicht immer direkt im Firmennetz. 
 Beispiele: 
 - Homeoffice
- Außendienst
- externe Dienstleister
- Partnerunternehmen
- mehrere Standorte
- Cloud-Dienste
- mobile Geräte
- Fernwartung
- Zugriff auf interne Anwendungen
 
 Dafür braucht man sichere Zugriffskonzepte. 
 Merksatz: 
 Moderne Netzwerke enden nicht mehr nur am Bürogebäude.
 
 
 Intranet 
 Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation. 
 Es ist normalerweise nur für berechtigte interne Benutzer erreichbar. 
 Typische Inhalte: 
 - interne Webseiten
- Dokumentationen
- Mitarbeiterinformationen
- interne Anwendungen
- Ticketsystem
- Zeiterfassung
- Dateifreigaben
- interne Wikis
- interne Portale
 
 Merksatz: 
 Intranet = internes Netz oder internes Portal für die Organisation.
 
 
 Intranet ist nicht automatisch das Internet 
 Das Internet ist öffentlich. 
 Das Intranet ist intern. 
 Beispiel: 
 Internet:
öffentlich erreichbare Webseite einer Firma

Intranet:
internes Mitarbeiterportal derselben Firma
 
 Ein Intranet kann Webtechnik nutzen,
ist aber nicht automatisch öffentlich erreichbar. 
 Merksatz: 
 Intranet nutzt oft Internet-Technik,
ist aber intern beschränkt.
 
 
 Typische Intranet-Dienste 
 Typische Dienste im Intranet: 
 
 
 
 Dienst 
 Beispiel 
 
 
 
 
 internes Wiki 
 Dokumentation 
 
 
 Dateiablage 
 SMB, SharePoint, Nextcloud 
 
 
 interne Webanwendung 
 Zeiterfassung 
 
 
 Ticketsystem 
 Helpdesk 
 
 
 Monitoring 
 Systemstatus 
 
 
 Telefonbuch 
 Mitarbeiterdaten 
 
 
 Authentifizierung 
 AD, LDAP, SSO 
 
 
 interne APIs 
 Anwendungskommunikation 
 
 
 
 Merksatz: 
 Intranet enthält interne Dienste,
die nicht öffentlich sein sollen.
 
 
 Schutzbedarf im Intranet 
 Auch interne Dienste brauchen Schutz. 
 Warum? 
 Nicht jeder interne Benutzer darf alles sehen.
Ein kompromittierter Client kann Schaden verursachen.
Gastgeräte dürfen nicht auf interne Systeme.
IoT-Geräte sind nicht automatisch vertrauenswürdig.
Malware kann sich intern ausbreiten.
 
 Merksatz: 
 Intern heißt nicht automatisch sicher.
 
 
 Extranet 
 Ein Extranet erweitert das Intranet kontrolliert für externe Parteien. 
 Externe Parteien können sein: 
 - Kunden
- Lieferanten
- Partnerunternehmen
- Dienstleister
- externe Techniker
- Projektpartner
 
 Dabei erhalten sie nur Zugriff auf ausgewählte Ressourcen. 
 Merksatz: 
 Extranet = kontrollierter Zugriff für externe Berechtigte.
 
 
 Beispiel für ein Extranet 
 Ein Unternehmen stellt einem Lieferanten ein Portal bereit. 
 Der Lieferant darf dort: 
 Bestellungen einsehen
Liefertermine bestätigen
Dokumente hochladen
Rechnungen abrufen
 
 Der Lieferant darf aber nicht: 
 interne Personalakten sehen
interne Server verwalten
alle Kundendaten abrufen
auf das gesamte LAN zugreifen
 
 Merksatz: 
 Extranet gibt gezielten Zugriff,
nicht vollständigen internen Zugriff.
 
 
 Intranet und Extranet vergleichen 
 
 
 
 Begriff 
 Zugriff 
 Zielgruppe 
 
 
 
 
 Intranet 
 intern 
 Mitarbeitende und interne Systeme 
 
 
 Extranet 
 kontrolliert extern 
 Partner, Kunden, Lieferanten 
 
 
 Internet 
 öffentlich 
 grundsätzlich jeder 
 
 
 VPN 
 Tunnelzugriff 
 berechtigte entfernte Benutzer oder Standorte 
 
 
 
 Merksatz: 
 Intranet intern,
Extranet ausgewählt extern,
Internet öffentlich.
 
 
 VPN 
 VPN steht für: 
 Virtual Private Network
 
 Ein VPN baut über ein unsicheres oder fremdes Netz einen geschützten Tunnel auf. 
 Beispiel: 
 Benutzer im Homeoffice
→ Internet
→ VPN-Tunnel
→ Firmennetz
 
 Der Verkehr wird dabei verschlüsselt übertragen. 
 Merksatz: 
 VPN verbindet entfernte Teilnehmer sicher mit einem Netzwerk.
 
 
 Warum nutzt man VPN? 
 VPN wird genutzt,
wenn sichere Kommunikation über unsichere Netze benötigt wird. 
 Typische Gründe: 
 - Homeoffice-Zugriff
- Standortvernetzung
- Fernwartung
- Zugriff auf interne Server
- verschlüsselte Verbindung über Internet
- Schutz in öffentlichen Netzen
- Zugriff auf interne Anwendungen
- sichere Administration
 
 Merksatz: 
 VPN schützt den Übertragungsweg durch einen verschlüsselten Tunnel.
 
 
 VPN-Tunnel 
 Ein VPN-Tunnel ist eine logische verschlüsselte Verbindung. 
 Die Daten werden eingepackt,
verschlüsselt
und über ein anderes Netz transportiert. 
 Man spricht dabei oft von: 
 Tunneling
 
 Merksatz: 
 VPN-Tunnel transportiert geschützte Daten durch ein fremdes Netz.
 
 
 Tunneling einfach erklärt 
 Beim Tunneling wird ein Paket in ein anderes Paket verpackt. 
 Vereinfacht: 
 internes Paket
wird verschlüsselt
und in äußeres Transportpaket eingepackt
 
 Das äußere Paket wird über das Internet übertragen. 
 Am Ziel wird es wieder ausgepackt. 
 Merksatz: 
 Tunneling bedeutet:
ein Paket wird durch ein anderes Netz getragen.
 
 
 Verschlüsselung beim VPN 
 VPNs nutzen Verschlüsselung,
damit Dritte den Inhalt nicht mitlesen können. 
 Geschützt werden soll: 
 - Dateninhalt
- Zugangsdaten
- interne Kommunikation
- Dateiübertragungen
- Administrationszugriffe
- Anwendungsdaten
 
 Wichtig: 
 Ein VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
 
 Merksatz: 
 VPN verschlüsselt den Transportweg,
ersetzt aber keine Zugriffskontrolle.
 
 
 Authentifizierung beim VPN 
 Vor dem VPN-Zugriff muss geprüft werden,
wer sich verbindet. 
 Mögliche Verfahren: 
 - Benutzername und Passwort
- Zertifikat
- MFA
- Token
- Smartcard
- Geräteprüfung
- SSO
- Gruppenmitgliedschaft
 
 Merksatz: 
 VPN braucht starke Authentifizierung.
 
 
 Autorisierung beim VPN 
 Nach erfolgreicher Anmeldung muss geprüft werden,
was der Benutzer darf. 
 Beispiele: 
 Support darf auf bestimmte Server.
Externe Dienstleister dürfen nur auf Wartungssysteme.
Mitarbeitende dürfen auf interne Anwendungen.
Admins dürfen ins Managementnetz.
 
 Merksatz: 
 VPN verbunden heißt nicht automatisch:
Zugriff auf alles erlaubt.
 
 
 Remote-Access-VPN 
 Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz. 
 Beispiele: 
 Homeoffice
Außendienst
Notebook unterwegs
Administrator von extern
mobiler Benutzer
 
 Ablauf: 
 Benutzer startet VPN-Client.
Benutzer authentifiziert sich.
VPN-Tunnel wird aufgebaut.
Benutzer erhält Zugriff auf erlaubte interne Ressourcen.
 
 Merksatz: 
 Remote-Access-VPN verbindet einzelne Benutzer.
 
 
 Site-to-Site-VPN 
 Site-to-Site-VPN verbindet ganze Standorte miteinander. 
 Beispiele: 
 Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netzwerk
zwei Firewalls miteinander
 
 Dabei baut nicht jeder Benutzer einzeln einen VPN-Client auf. 
 Die Gateways verbinden die Netze. 
 Merksatz: 
 Site-to-Site-VPN verbindet Netzwerke.
 
 
 Remote-Access und Site-to-Site vergleichen 
 
 
 
 Merkmal 
 Remote-Access-VPN 
 Site-to-Site-VPN 
 
 
 
 
 verbindet 
 einzelner Benutzer 
 ganze Netze 
 
 
 typischer Einsatz 
 Homeoffice 
 Standortvernetzung 
 
 
 Client nötig 
 meistens ja 
 auf Endgerät meist nein 
 
 
 Endpunkt 
 Benutzergerät zu Gateway 
 Gateway zu Gateway 
 
 
 Zugriff 
 benutzerbezogen 
 netzbezogen 
 
 
 
 Merksatz: 
 Remote-Access = Benutzer.
Site-to-Site = Standort.
 
 
 VPN-Gateway 
 Ein VPN-Gateway ist der zentrale Gegenpunkt für VPN-Verbindungen. 
 Es kann sein: 
 - Firewall
- Router
- VPN-Appliance
- Cloud-Gateway
- Server
- Zero-Trust-Gateway
 
 Aufgaben: 
 VPN-Verbindungen annehmen
Benutzer prüfen
Tunnel aufbauen
Verschlüsselung aushandeln
Routen verteilen
Zugriff kontrollieren
 
 Merksatz: 
 VPN-Gateway ist der Zugangspunkt zum geschützten Netz.
 
 
 VPN-Client 
 Der VPN-Client läuft auf dem Endgerät des Benutzers. 
 Beispiele: 
 Notebook
Smartphone
Tablet
Admin-PC
 
 Aufgaben: 
 Verbindung zum VPN-Gateway aufbauen
Benutzer anmelden
Tunnel erzeugen
Routen setzen
DNS übernehmen
Verkehr durch Tunnel leiten
 
 Merksatz: 
 VPN-Client baut den Tunnel vom Endgerät aus auf.
 
 
 VPN-Protokolle 
 Häufige VPN-Techniken und Protokolle: 
 - IPsec
- IKEv2
- SSL-VPN / TLS-VPN
- OpenVPN
- WireGuard
- L2TP/IPsec
 
 Je nach Umgebung unterscheiden sich: 
 Sicherheit
Geschwindigkeit
Einrichtung
Portnutzung
Betriebssystemunterstützung
Firewall-Freundlichkeit
 
 Merksatz: 
 VPN ist ein Oberbegriff,
dahinter können verschiedene Protokolle stehen.
 
 
 IPsec 
 IPsec ist eine Protokollfamilie zur sicheren Kommunikation auf IP-Ebene. 
 IPsec kann genutzt werden für: 
 - Site-to-Site-VPN
- Remote-Access-VPN
- verschlüsselte Kommunikation zwischen Netzen
 
 IPsec arbeitet besonders nah an Schicht 3. 
 Merksatz: 
 IPsec schützt IP-Kommunikation.
 
 
 IKE 
 IKE steht für: 
 Internet Key Exchange
 
 IKE dient dazu,
bei IPsec die Sicherheitsparameter und Schlüssel auszuhandeln. 
 IKEv2 ist eine moderne Version. 
 Merksatz: 
 IKE handelt Schlüssel und Sicherheitsparameter für IPsec aus.
 
 
 SSL-VPN / TLS-VPN 
 SSL-VPN ist ein älterer Begriff. 
 Fachlich geht es meist um TLS-VPN. 
 Dabei wird TLS genutzt,
ähnlich wie bei HTTPS. 
 Vorteile: 
 oft firewallfreundlich
häufig über TCP 443 möglich
gut für Remote-Zugriff
teilweise browserbasiert oder clientbasiert
 
 Merksatz: 
 SSL-VPN meint meist TLS-basiertes VPN.
 
 
 OpenVPN 
 OpenVPN ist eine verbreitete VPN-Lösung. 
 Eigenschaften: 
 nutzt TLS
kann TCP oder UDP verwenden
flexibel konfigurierbar
oft für Remote-Access und Site-to-Site nutzbar
benötigt meist Clientsoftware
 
 Merksatz: 
 OpenVPN ist flexibel und TLS-basiert.
 
 
 WireGuard 
 WireGuard ist ein modernes VPN-Protokoll. 
 Eigenschaften: 
 schlank
schnell
vergleichsweise einfache Konfiguration
nutzt moderne Kryptografie
arbeitet meist über UDP
 
 Wichtig: 
 Sicherheit hängt trotzdem von richtiger Schlüsselverwaltung,
Routen
Firewall-Regeln
und Zugriffskonzept ab.
 
 Merksatz: 
 WireGuard ist modernes,
schlankes VPN über UDP.
 
 
 L2TP/IPsec 
 L2TP steht für: 
 Layer 2 Tunneling Protocol
 
 L2TP selbst verschlüsselt nicht stark genug,
deshalb wird es häufig mit IPsec kombiniert. 
 Merksatz: 
 L2TP wird für Sicherheit typischerweise mit IPsec kombiniert.
 
 
 Split Tunneling 
 Split Tunneling bedeutet: 
 Nur bestimmter Verkehr geht durch den VPN-Tunnel.
 
 Anderer Verkehr,
zum Beispiel normales Internet,
geht direkt über den lokalen Anschluss. 
 Beispiel: 
 Zugriff auf Firmennetz:
durch VPN

YouTube oder private Webseiten:
direkt über lokalen Internetanschluss
 
 Merksatz: 
 Split Tunneling leitet nur ausgewählten Verkehr durch VPN.
 
 
 Full Tunnel 
 Full Tunnel bedeutet: 
 Der gesamte Verkehr des Clients läuft durch den VPN-Tunnel.
 
 Auch Internetzugriffe gehen zuerst ins Firmennetz
und von dort weiter ins Internet. 
 Vorteile: 
 zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
 
 Nachteile: 
 mehr Last auf VPN und Internetanschluss der Firma
höhere Latenz
mehr Bandbreitenbedarf
 
 Merksatz: 
 Full Tunnel leitet den gesamten Clientverkehr durch VPN.
 
 
 Split Tunnel und Full Tunnel vergleichen 
 
 
 
 Merkmal 
 Split Tunnel 
 Full Tunnel 
 
 
 
 
 Internetverkehr 
 direkt lokal 
 durch Firma 
 
 
 Last auf VPN 
 geringer 
 höher 
 
 
 zentrale Kontrolle 
 geringer 
 höher 
 
 
 Latenz 
 oft niedriger 
 oft höher 
 
 
 Sicherheitspolitik 
 schwieriger einheitlich 
 zentraler steuerbar 
 
 
 
 Merksatz: 
 Split Tunnel spart Last.
Full Tunnel bietet mehr zentrale Kontrolle.
 
 
 VPN-Routing 
 Damit ein VPN funktioniert,
müssen passende Routen vorhanden sein. 
 Der Client muss wissen: 
 Welche Netze sind über VPN erreichbar?
 
 Beispiele: 
 192.168.10.0/24 über VPN
10.10.0.0/16 über VPN
nur bestimmte Server über VPN
 
 Fehlt eine Route,
geht der Verkehr nicht durch den Tunnel. 
 Merksatz: 
 VPN braucht passende Routen.
 
 
 VPN-DNS 
 VPN-Benutzer müssen oft interne Namen auflösen können. 
 Beispiele: 
 intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
 
 Dafür kann der VPN-Client interne DNS-Server bekommen. 
 Typische Fehler: 
 VPN verbunden,
aber interne Namen lösen nicht auf.
 
 Merksatz: 
 VPN braucht oft interne DNS-Einstellungen.
 
 
 Split DNS bei VPN 
 Split DNS bedeutet: 
 bestimmte Namen werden über interne DNS-Server aufgelöst,
andere Namen über normale DNS-Server.
 
 Beispiel: 
 firma.local
→ interner DNS über VPN

öffentliche Webseiten
→ normaler DNS
 
 Merksatz: 
 Split DNS sorgt dafür,
dass interne Namen über VPN korrekt aufgelöst werden.
 
 
 VPN-Adresspool 
 Ein VPN-Adresspool ist der IP-Adressbereich,
aus dem VPN-Clients eine Adresse bekommen. 
 Beispiel: 
 VPN-Clients:
10.8.0.0/24
 
 Wichtig: 
 Der VPN-Adressbereich darf nicht mit bestehenden Netzen kollidieren.
 
 Problem: 
 Wenn das Heimnetz des Benutzers denselben Bereich nutzt,
kann Routing fehlschlagen.
 
 Merksatz: 
 VPN-Adresspool muss eindeutig und konfliktfrei sein.
 
 
 Adresskonflikt bei VPN 
 Ein häufiger Fehler: 
 Heimnetz des Benutzers:
192.168.1.0/24

Firmennetz:
192.168.1.0/24
 
 Dann weiß der Client nicht eindeutig,
ob 192.168.1.50 lokal oder über VPN erreichbar ist. 
 Folge: 
 interne Server sind nicht erreichbar.
 
 Merksatz: 
 Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
 
 
 Firewall-Regeln für VPN 
 VPN-Zugriff muss durch Firewall-Regeln gesteuert werden. 
 Nicht gut: 
 VPN → LAN any erlauben
 
 Besser: 
 VPN-Gruppe Support → bestimmte Server TCP 3389
VPN-Gruppe Admin → Managementnetz SSH/RDP
VPN-Gruppe Mitarbeiter → Intranet HTTPS
VPN-Gruppe Dienstleister → nur Wartungssystem
 
 Merksatz: 
 VPN-Zugriff nach Rolle und Bedarf begrenzen.
 
 
 VPN und Least Privilege 
 Auch beim VPN gilt: 
 nur notwendige Rechte erlauben.
 
 Ein VPN-Benutzer sollte nicht automatisch Zugriff auf das gesamte interne Netz erhalten. 
 Warum? 
 kompromittierter VPN-Client
gestohlene Zugangsdaten
Malware auf Heimgerät
externe Dienstleister
zu breite Angriffsfläche
 
 Merksatz: 
 VPN ist Zugang,
aber kein Freifahrtschein.
 
 
 VPN und MFA 
 VPN-Zugänge sollten nach Möglichkeit mit MFA geschützt werden. 
 Warum? 
 Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
Passwort-Wiederverwendung ist häufig.
VPN-Zugang ist ein direkter Einstieg ins Netz.
 
 MFA erhöht die Sicherheit deutlich. 
 Merksatz: 
 VPN ohne MFA ist deutlich riskanter.
 
 
 VPN und Zertifikate 
 VPNs können Zertifikate nutzen für: 
 Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
starke Identitätsprüfung
 
 Vorteil: 
 nicht nur Passwort,
sondern zusätzlich kryptografischer Nachweis.
 
 Wichtig: 
 Zertifikate müssen verwaltet,
erneuert
und bei Verlust widerrufen werden.
 
 Merksatz: 
 Zertifikate erhöhen VPN-Sicherheit,
brauchen aber gutes Management.
 
 
 VPN und Gerätesicherheit 
 Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. 
 Deshalb ist wichtig: 
 aktuelles Betriebssystem
aktuelle Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
sichere Konfiguration
kein kompromittiertes Gerät
Gerätezertifikat oder Geräteprüfung
Patchstand prüfen
 
 Merksatz: 
 Unsicheres Endgerät plus VPN ist ein Risiko.
 
 
 VPN und öffentliche WLANs 
 VPN kann in öffentlichen WLANs schützen,
weil der Verkehr im Tunnel verschlüsselt wird. 
 Aber: 
 VPN schützt nicht vor allem.
 
 Weiterhin wichtig: 
 HTTPS prüfen
Phishing vermeiden
Gerät aktuell halten
keine fremden Zertifikate akzeptieren
keine Warnungen ignorieren
 
 Merksatz: 
 VPN hilft im öffentlichen WLAN,
ersetzt aber kein sicheres Verhalten.
 
 
 VPN und Performance 
 VPN kann die Leistung beeinflussen. 
 Mögliche Ursachen: 
 Verschlüsselungsaufwand
längerer Weg
zentrale Internetleitung
Full Tunnel
schwacher VPN-Gateway
schlechte Clientverbindung
MTU-Probleme
Paketverlust
hohe Latenz
 
 Merksatz: 
 VPN kann sicher sein,
aber Geschwindigkeit und Latenz beeinflussen.
 
 
 VPN und MTU 
 VPN fügt zusätzliche Header hinzu. 
 Dadurch kann die effektive Nutzlast kleiner werden. 
 MTU-Probleme zeigen sich oft so: 
 kleine Pakete funktionieren
große Übertragungen hängen
Webseiten laden teilweise
VPN-Verbindung instabil
RDP oder SSH bricht sporadisch ab
 
 Merksatz: 
 Bei VPN-Problemen mit großen Daten an MTU denken.
 
 
 VPN und Logging 
 VPN-Logs sind wichtig für Sicherheit und Fehlersuche. 
 Sie zeigen: 
 wer sich verbunden hat
wann Verbindung aufgebaut wurde
von welcher IP
mit welchem Gerät
ob MFA erfolgreich war
welche VPN-IP vergeben wurde
warum Verbindung getrennt wurde
ob Fehler auftraten
 
 Merksatz: 
 VPN-Zugriffe müssen nachvollziehbar sein.
 
 
 VPN und Monitoring 
 VPN-Infrastruktur sollte überwacht werden. 
 Wichtige Werte: 
 Anzahl aktiver Verbindungen
CPU-Auslastung
RAM
Bandbreite
Tunnelstatus
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Authentifizierungsfehler
 
 Merksatz: 
 VPN ist kritische Infrastruktur und muss überwacht werden.
 
 
 Typische VPN-Fehler 
 Häufige Fehler: 
 - VPN baut nicht auf
- Anmeldung schlägt fehl
- MFA funktioniert nicht
- Zertifikat ungültig
- Client bekommt keine VPN-IP
- Route fehlt
- DNS fehlt
- interne Dienste nicht erreichbar
- nur manche Netze erreichbar
- Adresskonflikt mit Heimnetz
- Firewall blockiert
- Split Tunnel falsch
- Full Tunnel überlastet
- MTU-Problem
- Verbindung bricht ab
 
 Merksatz: 
 VPN-Fehler können Authentifizierung,
Routing,
DNS,
Firewall
oder MTU betreffen.
 
 
 Fehlerbild: VPN verbindet nicht 
 Mögliche Ursachen: 
 - falscher Servername
- Internetverbindung gestört
- VPN-Gateway nicht erreichbar
- falscher Port blockiert
- Benutzername oder Passwort falsch
- MFA schlägt fehl
- Zertifikat ungültig
- Clientversion inkompatibel
- Konto gesperrt
- Lizenz oder Berechtigung fehlt
 
 Merksatz: 
 Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung
und Zertifikate prüfen.
 
 
 Fehlerbild: VPN verbunden, aber kein interner Zugriff 
 Mögliche Ursachen: 
 - Route fehlt
- DNS fehlt
- Firewall-Regel fehlt
- Benutzergruppe nicht berechtigt
- falscher VPN-Adresspool
- Adresskonflikt mit Heimnetz
- Split Tunnel falsch
- Zielsystem-Firewall blockiert
- Rückweg fehlt
 
 Merksatz: 
 VPN verbunden heißt nicht automatisch:
interne Ressourcen erreichbar.
 
 
 Fehlerbild: Interne Namen gehen nicht 
 Mögliche Ursachen: 
 - interner DNS wird nicht verteilt
- Split DNS falsch
- DNS-Suffix fehlt
- DNS-Anfragen gehen lokal statt durch VPN
- interne Zone fehlt
- Firewall blockiert DNS
- falscher DNS-Server antwortet
 
 Merksatz: 
 Bei VPN-Namensproblemen DNS und Split DNS prüfen.
 
 
 Fehlerbild: Nur manche internen Netze erreichbar 
 Mögliche Ursachen: 
 - Route für bestimmtes Netz fehlt
- Firewall-Regel fehlt
- Benutzergruppe darf nur bestimmte Netze
- Rückroute fehlt
- Zielnetz überschneidet sich mit lokalem Netz
- ACL blockiert
 
 Merksatz: 
 Teilweise Erreichbarkeit deutet oft auf Routing oder Berechtigung hin.
 
 
 Fehlerbild: VPN langsam 
 Mögliche Ursachen: 
 - Full Tunnel überlastet
- hohe Latenz
- schwache Internetleitung
- VPN-Gateway ausgelastet
- Paketverlust
- MTU-Problem
- WLAN instabil
- Verschlüsselungsleistung begrenzt
- zentraler Proxy langsam
 
 Merksatz: 
 VPN-Langsamkeit mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
 
 
 Fehlerbild: VPN bricht ab 
 Mögliche Ursachen: 
 - instabile Internetverbindung
- WLAN-Roaming
- NAT-Timeout
- Firewall-Timeout
- Mobilfunkwechsel
- Energiesparmodus
- Clientproblem
- Zertifikat oder Token läuft ab
- Gateway überlastet
- MTU-Problem
 
 Merksatz: 
 VPN-Abbrüche brauchen Zeitbezug,
Logs
und Verbindungsmessung.
 
 
 VPN und Extranet unterscheiden 
 Ein Extranet kann über VPN bereitgestellt werden,
muss aber nicht. 
 Beispiele: 
 Extranet über Webportal:
Partner meldet sich im Browser an.

Extranet über VPN:
Partner bekommt VPN-Zugang zu bestimmten Systemen.
 
 Wichtig: 
 Extranet ist das Zugriffskonzept.
VPN ist eine mögliche technische Umsetzung.
 
 Merksatz: 
 Extranet beschreibt Zielgruppe und Zugriff.
VPN beschreibt den Tunnel.
 
 
 Extranet-Sicherheit 
 Extranet-Zugänge brauchen klare Begrenzung. 
 Wichtig: 
 - eigene Benutzerkonten
- MFA
- Rollen und Rechte
- Protokollierung
- Vertrags- und Zweckbindung
- zeitliche Begrenzung
- Zugriff nur auf benötigte Daten
- keine gemeinsamen Konten
- regelmäßige Prüfung
- Sperrung nach Projektende
 
 Merksatz: 
 Externe Zugänge müssen besonders sauber kontrolliert werden.
 
 
 Partnerzugriff 
 Partnerzugriff sollte nicht ungefiltert ins interne Netz führen. 
 Besser: 
 Partnerportal
API-Gateway
Reverse Proxy
dedizierte Extranet-Zone
VPN mit begrenzten Regeln
Bastion Host
getrennte Benutzerrollen
 
 Merksatz: 
 Partner nur auf das zugreifen lassen,
was sie wirklich benötigen.
 
 
 Intranet über VPN 
 Im Homeoffice greifen Benutzer oft per VPN auf das Intranet zu. 
 Beispiel: 
 Benutzer verbindet VPN.
Danach öffnet er internes Wiki.
DNS löst internen Namen auf.
Firewall erlaubt VPN → Intranet HTTPS.
Webserver prüft Anmeldung.
 
 Merksatz: 
 Intranet-Zugriff über VPN braucht Tunnel,
DNS,
Firewall
und Berechtigung.
 
 
 Intranet über Zero Trust 
 Moderne Umgebungen nutzen teilweise Zero-Trust-Zugriffe statt klassischem Voll-VPN. 
 Grundidee: 
 Benutzer bekommt nicht Zugriff auf das ganze Netz,
sondern nur auf einzelne Anwendungen.
 
 Prüfung: 
 Identität
Gerät
Standort
Risiko
MFA
Anwendung
Richtlinie
 
 Merksatz: 
 Zero Trust ersetzt oft breiten Netzwerkzugriff durch gezielten Anwendungszugriff.
 
 
 VPN und Zero Trust vergleichen 
 
 
 
 Merkmal 
 klassisches VPN 
 Zero-Trust-Zugriff 
 
 
 
 
 Zugriffsebene 
 oft Netzwerkzugriff 
 meist Anwendungszugriff 
 
 
 Risiko 
 breiter Zugriff möglich 
 stärker begrenzter Zugriff 
 
 
 Prüfung 
 häufig beim Verbindungsaufbau 
 kontinuierlicher und kontextbezogener 
 
 
 Nutzung 
 interne Netze 
 einzelne Anwendungen 
 
 
 Vorteil 
 bewährt und flexibel 
 feiner steuerbar 
 
 
 
 Merksatz: 
 VPN verbindet oft Netze.
Zero Trust gibt gezielt Anwendungen frei.
 
 
 Typische IHK-Fragen 
 In AP1 und AP2 kann zum Beispiel gefragt werden: 
 - Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist ein VPN-Gateway?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Warum können gleiche IP-Netze bei VPN Probleme verursachen?
- Warum sollte VPN-Zugriff nicht automatisch das ganze LAN erlauben?
- Warum ist MFA bei VPN sinnvoll?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Warum ist ein Extranet besonders zu schützen?
 
 
 Typische Prüfungsfallen 
 VPN bedeutet Virtual Private Network.

VPN ist ein Tunnel,
nicht automatisch ein komplettes Sicherheitskonzept.

VPN schützt den Transportweg.

VPN ersetzt keine Firewall-Regeln.

VPN ersetzt keine Berechtigungen.

Remote-Access-VPN verbindet einzelne Benutzer.

Site-to-Site-VPN verbindet Standorte oder Netze.

Split Tunnel leitet nur ausgewählten Verkehr durch VPN.

Full Tunnel leitet gesamten Verkehr durch VPN.

VPN braucht passende Routen.

VPN braucht oft interne DNS-Einstellungen.

VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.

Gleiche IP-Netze auf beiden Seiten erzeugen Routingprobleme.

MFA erhöht VPN-Sicherheit.

Externe Dienstleister nur begrenzt berechtigen.

Intranet ist intern.

Extranet ist kontrolliert für externe Berechtigte.

Internet ist öffentlich.

Extranet ist nicht automatisch VPN.

VPN kann durch MTU-Probleme langsam oder instabil wirken.
 
 
 Wichtige Begriffe kurz erklärt 
 
 
 
 Begriff 
 Kurze Erklärung 
 
 
 
 
 VPN 
 Virtual Private Network 
 
 
 VPN-Tunnel 
 geschützte logische Verbindung 
 
 
 Tunneling 
 Einpacken von Daten in eine Tunnelverbindung 
 
 
 Remote-Access-VPN 
 VPN für einzelne Benutzer 
 
 
 Site-to-Site-VPN 
 VPN zwischen Netzwerken 
 
 
 VPN-Gateway 
 Gegenstelle für VPN-Verbindungen 
 
 
 VPN-Client 
 Software oder Gerät des Benutzers 
 
 
 IPsec 
 VPN-Technik auf IP-Ebene 
 
 
 IKE 
 Schlüsselaushandlung bei IPsec 
 
 
 TLS-VPN 
 VPN auf Basis von TLS 
 
 
 OpenVPN 
 verbreitete TLS-basierte VPN-Lösung 
 
 
 WireGuard 
 modernes schlankes VPN-Protokoll 
 
 
 Split Tunnel 
 nur ausgewählter Verkehr durch VPN 
 
 
 Full Tunnel 
 gesamter Verkehr durch VPN 
 
 
 VPN-Adresspool 
 IP-Bereich für VPN-Clients 
 
 
 Split DNS 
 getrennte DNS-Auflösung je nach Ziel 
 
 
 Intranet 
 internes Netzwerk oder internes Portal 
 
 
 Extranet 
 kontrollierter Zugriff für externe Berechtigte 
 
 
 MFA 
 Multi-Faktor-Authentifizierung 
 
 
 Least Privilege 
 nur notwendige Rechte 
 
 
 Zero Trust 
 kein automatisches Vertrauen 
 
 
 
 
 IHK-sichere Kurzformulierung 
 Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es wird genutzt, um einzelne Benutzer per Remote-Access-VPN oder ganze Standorte per Site-to-Site-VPN sicher mit internen Ressourcen zu verbinden. Für den VPN-Betrieb sind Authentifizierung, Verschlüsselung, Routing, DNS, Firewall-Regeln und Berechtigungen wichtig. Split Tunneling leitet nur ausgewählten Verkehr durch das VPN, während Full Tunnel den gesamten Clientverkehr durch den Tunnel führt. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation. Ein Extranet stellt ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen bereit. VPN-Zugriff sollte durch MFA, Rollen, Firewall-Regeln und Least Privilege abgesichert werden. 
 
 Merksätze 
 Intranet = intern.

Extranet = kontrolliert extern erweitert.

Internet = öffentlich.

VPN = Virtual Private Network.

VPN baut einen verschlüsselten Tunnel.

VPN schützt den Transportweg.

VPN ersetzt keine Rechteprüfung.

VPN ersetzt keine Firewall-Regeln.

Remote-Access-VPN verbindet Benutzer.

Site-to-Site-VPN verbindet Netze.

VPN-Gateway ist der Zugangspunkt.

VPN-Client baut den Tunnel auf.

IPsec schützt IP-Kommunikation.

IKE handelt Schlüssel aus.

TLS-VPN nutzt TLS.

OpenVPN ist flexibel.

WireGuard ist schlank und modern.

Split Tunnel leitet nur ausgewählten Verkehr.

Full Tunnel leitet alles durch VPN.

VPN braucht passende Routen.

VPN braucht oft internes DNS.

Split DNS hilft bei internen Namen.

VPN-Adresspool darf sich nicht überschneiden.

Gleiche Netze verursachen Routingprobleme.

VPN-Zugriff nach Rolle begrenzen.

MFA für VPN ist wichtig.

Unsichere Endgeräte sind trotz VPN riskant.

VPN kann durch MTU-Probleme instabil werden.

VPN verbunden heißt nicht:
alles erreichbar.

Extranet ist Zugriffskonzept,
VPN ist Tunneltechnik.

Zero Trust gibt gezielter Zugriff auf Anwendungen.

14.2
VPN-Arten und VPN-Einsatzszenarien 
 VPN ist nicht immer gleich VPN. 
 Je nach Zweck,
Benutzergruppe
und Netzwerkaufbau gibt es unterschiedliche VPN-Arten. 
 Die wichtigsten Einsatzszenarien sind: 
 - Remote-Access-VPN
- Site-to-Site-VPN
- Client-to-Site-VPN
- Host-to-Host-VPN
- Extranet-VPN
- Cloud-VPN
- Admin-VPN
- Fernwartungs-VPN
 
 Merksatz: 
 Die VPN-Art richtet sich danach,
wer oder was sicher verbunden werden soll.
 
 
 Warum unterscheidet man VPN-Arten? 
 Nicht jede VPN-Verbindung hat denselben Zweck. 
 Beispiele: 
 Ein Mitarbeiter im Homeoffice braucht Zugriff auf interne Anwendungen.

Zwei Firmenstandorte sollen dauerhaft verbunden werden.

Ein externer Dienstleister soll nur einen Wartungsserver erreichen.

Ein Unternehmen verbindet sein lokales Netz mit einem Cloud-Netz.

Ein Administrator braucht sicheren Zugriff auf Managementsysteme.
 
 Diese Fälle haben unterschiedliche Anforderungen. 
 Merksatz: 
 Unterschiedliche VPN-Zwecke brauchen unterschiedliche Konzepte.
 
 
 Remote-Access-VPN 
 Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz. 
 Typische Benutzer: 
 - Homeoffice-Mitarbeiter
- Außendienst
- Administratoren
- mobile Benutzer
- Support-Mitarbeiter
- externe Dienstleister
 
 Der Benutzer startet meist einen VPN-Client auf seinem Endgerät. 
 Merksatz: 
 Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen.
 
 
 Typischer Ablauf bei Remote-Access-VPN 
 Ein typischer Ablauf: 
 1. Benutzer startet VPN-Client.
2. VPN-Client verbindet sich mit VPN-Gateway.
3. Benutzer authentifiziert sich.
4. MFA oder Zertifikat wird geprüft.
5. Tunnel wird aufgebaut.
6. Client erhält VPN-IP-Adresse.
7. Routen und DNS-Einstellungen werden gesetzt.
8. Zugriff auf erlaubte Ressourcen ist möglich.
 
 Merksatz: 
 Remote-Access braucht Authentifizierung,
Tunnel,
IP,
Routen
und DNS.
 
 
 Remote-Access-VPN: Vorteile 
 Vorteile: 
 - sicherer Zugriff aus dem Homeoffice
- Zugriff auf interne Dienste
- zentrale Kontrolle
- verschlüsselte Verbindung
- flexibel für mobile Benutzer
- oft schnell einrichtbar
- gute Integration mit MFA möglich
 
 Merksatz: 
 Remote-Access-VPN macht mobile Arbeit mit internen Diensten möglich.
 
 
 Remote-Access-VPN: Risiken 
 Risiken: 
 - gestohlene Zugangsdaten
- unsichere private Endgeräte
- Malware auf Client
- zu breite Zugriffsrechte
- fehlende MFA
- unsichere Split-Tunnel-Regeln
- verlorene Geräte
- veraltete VPN-Clients
 
 Merksatz: 
 Remote-Access ist nur sicher,
wenn Endgerät,
Benutzer
und Rechte kontrolliert werden.
 
 
 Client-to-Site-VPN 
 Client-to-Site-VPN ist im Grunde eine andere Bezeichnung für Remote-Access-VPN. 
 Dabei verbindet sich ein einzelner Client mit einem Standort oder Unternehmensnetz. 
 Beispiel: 
 Notebook im Homeoffice
→ VPN-Gateway der Firma
→ internes Netz
 
 Merksatz: 
 Client-to-Site = einzelner Client zum Firmennetz.
 
 
 Site-to-Site-VPN 
 Site-to-Site-VPN verbindet ganze Netzwerke miteinander. 
 Beispiele: 
 Hauptstandort ↔ Niederlassung

Firma ↔ Rechenzentrum

Firma ↔ Cloud-Netz

Unternehmen ↔ Partnernetz
 
 Hier verbinden meist Router,
Firewalls
oder VPN-Gateways die Standorte. 
 Merksatz: 
 Site-to-Site-VPN verbindet Netze,
nicht einzelne Benutzer.
 
 
 Typischer Ablauf bei Site-to-Site-VPN 
 Ein typischer Ablauf: 
 1. Gateway A baut Tunnel zu Gateway B auf.
2. Beide Gateways authentifizieren sich.
3. Verschlüsselung und Schlüssel werden ausgehandelt.
4. Netzbereiche werden definiert.
5. Routing wird eingerichtet.
6. Firewall-Regeln erlauben gewünschte Verbindungen.
7. Systeme beider Standorte kommunizieren über den Tunnel.
 
 Merksatz: 
 Site-to-Site braucht Gateways,
Netze,
Routen
und Firewall-Regeln.
 
 
 Site-to-Site-VPN: Vorteile 
 Vorteile: 
 - dauerhafte Standortverbindung
- keine VPN-Clientsoftware auf jedem Endgerät nötig
- zentrale Netz-zu-Netz-Kommunikation
- gut für Niederlassungen
- gut für Cloud-Anbindung
- transparent für Benutzer
 
 Merksatz: 
 Site-to-Site verbindet Standorte dauerhaft und zentral.
 
 
 Site-to-Site-VPN: Risiken 
 Risiken: 
 - zu große Netzfreigaben
- falsches Routing
- Überschneidung von IP-Netzen
- kompromittierter Standort erreicht andere Netze
- fehlende Segmentierung
- schwache Schlüssel oder PSKs
- fehlendes Monitoring
- unklare Verantwortlichkeiten zwischen Organisationen
 
 Merksatz: 
 Site-to-Site darf nicht automatisch alle Netze gegenseitig öffnen.
 
 
 Remote-Access und Site-to-Site im Vergleich 
 
 
 
 Merkmal 
 Remote-Access-VPN 
 Site-to-Site-VPN 
 
 
 
 
 verbindet 
 Benutzergerät mit Netz 
 Netz mit Netz 
 
 
 typischer Zweck 
 Homeoffice, mobiler Zugriff 
 Standortvernetzung 
 
 
 Endpunkt 
 Client und Gateway 
 Gateway und Gateway 
 
 
 Benutzeranmeldung 
 häufig benutzerbezogen 
 häufig gatewaybezogen 
 
 
 Clientsoftware 
 meist notwendig 
 für Endgeräte meist nicht 
 
 
 Zugriffskontrolle 
 Benutzer und Gruppen 
 Netze und Firewall-Regeln 
 
 
 Fehlerquellen 
 Client, DNS, Routen, MFA 
 Routing, IP-Überschneidung, Tunnel 
 
 
 
 Merksatz: 
 Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
 
 
 Host-to-Host-VPN 
 Host-to-Host-VPN verbindet zwei einzelne Systeme direkt miteinander. 
 Beispiel: 
 Server A
↔
Server B
 
 Einsatz: 
 besonders schützenswerte Verbindung
Kommunikation zwischen zwei Servern
sichere Verbindung über unsicheres Netz
spezielle Administrationsstrecken
 
 Merksatz: 
 Host-to-Host-VPN verbindet einzelne Rechner direkt.
 
 
 Extranet-VPN 
 Ein Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff. 
 Beispiele: 
 Lieferant greift auf Bestellportal zu.

Dienstleister greift auf Wartungsserver zu.

Partnerunternehmen greift auf gemeinsame Projektdaten zu.
 
 Wichtig: 
 Zugriff stark begrenzen
eigene Benutzerkonten
MFA
Protokollierung
zeitliche Begrenzung
keine pauschale LAN-Freigabe
 
 Merksatz: 
 Extranet-VPN ist VPN-Zugriff für externe Berechtigte.
 
 
 Cloud-VPN 
 Cloud-VPN verbindet ein lokales Netzwerk mit einem Cloud-Netzwerk. 
 Beispiel: 
 Unternehmensstandort
↔
Cloud-VPC oder Cloud-VNet
 
 Typischer Zweck: 
 Zugriff auf Cloud-Server
Hybrid-Cloud
Datenbankverbindungen
private Cloud-Dienste
Migration
Backup
Standort-zu-Cloud-Kommunikation
 
 Merksatz: 
 Cloud-VPN verbindet lokale Infrastruktur mit Cloud-Netzen.
 
 
 Admin-VPN 
 Ein Admin-VPN ist ein besonders geschützter Zugang für Administratoren. 
 Ziel: 
 Managementsysteme sicher erreichen
 
 Beispiele: 
 Firewall-Verwaltung
Switch-Management
Serveradministration
Hypervisor
Backup-Systeme
Monitoring
Managementnetz
 
 Wichtig: 
 MFA
separate Admin-Konten
starke Protokollierung
Zugriff nur auf Managementnetze
keine Nutzung für Alltagsarbeit
 
 Merksatz: 
 Admin-VPN sollte besonders stark abgesichert sein.
 
 
 Fernwartungs-VPN 
 Fernwartungs-VPN wird für Support oder Wartung genutzt. 
 Beispiele: 
 Hersteller wartet Anlage.
IT-Dienstleister wartet Server.
externer Techniker greift auf Spezialgerät zu.
 
 Wichtig: 
 zeitlich begrenzen
nur benötigte Ziele erlauben
Zugriff protokollieren
Benutzer eindeutig zuordnen
nach Wartung deaktivieren
keine gemeinsamen Dauerzugänge
 
 Merksatz: 
 Fernwartung braucht zeitlich und technisch begrenzten Zugriff.
 
 
 VPN für mobile Geräte 
 Mobile Geräte können ebenfalls VPN nutzen. 
 Beispiele: 
 Smartphone
Tablet
Außendienstgerät
mobiles Kassensystem
MDM-verwaltetes Gerät
 
 Wichtig: 
 Geräteverwaltung
Gerätesperre
Verschlüsselung
Zertifikate
MDM-Richtlinien
App-Schutz
Verlustfall beachten
 
 Merksatz: 
 Mobile VPN-Zugänge brauchen Gerätekontrolle.
 
 
 Always-On-VPN 
 Always-On-VPN bedeutet: 
 Das Gerät baut automatisch eine VPN-Verbindung auf,
sobald es Netzwerkzugang hat.
 
 Ziel: 
 Benutzer muss VPN nicht manuell starten.
Unternehmensrichtlinien greifen dauerhaft.
interne Dienste sind automatisch erreichbar.
Datenverkehr kann zentral kontrolliert werden.
 
 Merksatz: 
 Always-On-VPN verbindet Geräte automatisch mit dem Unternehmensnetz.
 
 
 On-Demand-VPN 
 On-Demand-VPN baut sich nur bei Bedarf auf. 
 Beispiel: 
 Benutzer ruft interne Domain auf.
Gerät startet VPN automatisch.
 
 Vorteil: 
 weniger dauerhafte Verbindung
komfortabel für Benutzer
gezielter Tunnelaufbau
 
 Merksatz: 
 On-Demand-VPN startet,
wenn eine bestimmte Ressource benötigt wird.
 
 
 Per-App-VPN 
 Per-App-VPN bedeutet: 
 Nur bestimmte Anwendungen nutzen den VPN-Tunnel.
 
 Beispiel: 
 Unternehmens-App nutzt VPN.
private Apps nutzen normales Internet.
 
 Vorteil: 
 bessere Trennung zwischen privater und geschäftlicher Nutzung
weniger Tunnelverkehr
gezieltere Kontrolle
 
 Merksatz: 
 Per-App-VPN leitet nur ausgewählte Apps durch VPN.
 
 
 VPN für BYOD 
 BYOD steht für: 
 Bring Your Own Device
 
 Dabei nutzen Benutzer private Geräte für berufliche Zwecke. 
 VPN bei BYOD ist besonders kritisch. 
 Wichtige Fragen: 
 Ist das Gerät sicher?
Ist es verwaltet?
Gibt es MDM?
Sind Firmendaten getrennt?
Gibt es MFA?
Kann Zugriff bei Verlust entfernt werden?
Darf das private Gerät interne Netze erreichen?
 
 Merksatz: 
 BYOD plus VPN braucht klare Sicherheitsregeln.
 
 
 VPN für Dienstleister 
 Dienstleisterzugang sollte besonders eng geregelt werden. 
 Besser: 
 eigener VPN-Benutzer
keine Sammelkonten
MFA
nur definierte Ziele
zeitliche Freigabe
Protokollierung
Freigabeprozess
regelmäßige Prüfung
Deaktivierung nach Projektende
 
 Merksatz: 
 Externe Dienstleister niemals pauschal ins interne Netz lassen.
 
 
 VPN für Standortvernetzung 
 Bei Standortvernetzung sind wichtige Punkte: 
 eindeutige IP-Netze
stabile Internetanschlüsse
passende Bandbreite
Routing
Firewall-Regeln
Monitoring
Redundanz
Namensauflösung
Zeitsynchronisation
Dokumentation
 
 Merksatz: 
 Standort-VPN braucht saubere Netzplanung.
 
 
 VPN für Cloud-Anbindung 
 Bei Cloud-VPN sind wichtig: 
 Cloud-Netzbereich
lokaler Netzbereich
Routingtabellen
Security Groups
Network Security Groups
Cloud-Firewall
DNS
Bandbreite
Latenz
Hochverfügbarkeit
Kosten
Monitoring
 
 Merksatz: 
 Cloud-VPN braucht Routing und Sicherheitsregeln auf beiden Seiten.
 
 
 VPN und IP-Adressplanung 
 VPN funktioniert nur sauber,
wenn Netze eindeutig sind. 
 Problematisch: 
 Heimnetz 192.168.1.0/24
und Firmennetz 192.168.1.0/24
 
 Oder: 
 Standort A 10.0.0.0/24
und Standort B 10.0.0.0/24
 
 Folge: 
 Routing wird uneindeutig.
 
 Merksatz: 
 Überlappende Netze verursachen VPN-Probleme.
 
 
 VPN und Namensauflösung 
 VPN-Benutzer brauchen oft interne DNS-Auflösung. 
 Beispiele: 
 intranet.firma.local
fileserver.intern
dc01.firma.local
app01.servernetz.local
 
 Typische Fehler: 
 VPN ist verbunden,
aber Namen funktionieren nicht.
 
 Ursache häufig: 
 interner DNS wird nicht verteilt
DNS-Suffix fehlt
Split DNS falsch
Firewall blockiert DNS
 
 Merksatz: 
 VPN braucht oft internes DNS.
 
 
 VPN und Routingtabellen 
 Der VPN-Client oder das VPN-Gateway braucht passende Routen. 
 Beispiel: 
 Zielnetz 10.20.0.0/16
soll über VPN erreichbar sein.
 
 Dann muss eine Route existieren: 
 10.20.0.0/16 über VPN-Tunnel
 
 Fehlt diese Route,
geht Verkehr eventuell ins lokale Netz oder ins Internet. 
 Merksatz: 
 Ohne Route kein Weg durch den Tunnel.
 
 
 VPN und Firewall-Zonen 
 VPN-Verbindungen sollten in eigene Firewall-Zonen eingeordnet werden. 
 Beispiele: 
 VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
Site-to-Site-Partner
Cloud-VPN
Extranet-VPN
 
 Vorteil: 
 Regeln können gezielt nach Rolle oder Zweck erstellt werden.
 
 Merksatz: 
 VPN-Zonen helfen,
Zugriff sauber zu begrenzen.
 
 
 VPN und Gruppen 
 VPN-Zugriff wird häufig über Gruppen gesteuert. 
 Beispiele: 
 Gruppe Mitarbeiter:
Zugriff auf Intranet

Gruppe Support:
Zugriff auf Helpdesk-Systeme

Gruppe Admin:
Zugriff auf Managementnetz

Gruppe Dienstleister:
Zugriff nur auf Wartungsserver
 
 Merksatz: 
 Gruppen helfen,
VPN-Berechtigungen übersichtlich zu steuern.
 
 
 VPN und Rollenmodell 
 Ein Rollenmodell beschreibt,
welche Rolle welche Zugriffe bekommt. 
 Beispiel: 
 
 
 
 Rolle 
 Zugriff 
 
 
 
 
 Mitarbeiter 
 Intranet, Dateiablage 
 
 
 Support 
 Ticketsystem, bestimmte Clients 
 
 
 Admin 
 Managementnetz 
 
 
 Dienstleister 
 definierter Wartungsserver 
 
 
 Partner 
 Extranet-Portal 
 
 
 
 Merksatz: 
 Rollenmodell verhindert pauschale VPN-Freigaben.
 
 
 VPN und MFA nach Risiko 
 MFA sollte besonders bei externem Zugriff eingesetzt werden. 
 Bei VPN ist MFA wichtig,
weil der Zugang aus unsicheren Netzen kommt. 
 Besonders kritisch: 
 Admin-VPN
Dienstleister-VPN
Extranet-Zugänge
Zugriff auf Servernetze
Zugriff auf Managementsysteme
 
 Merksatz: 
 Je kritischer der Zugriff,
desto stärker die Authentifizierung.
 
 
 VPN und Zertifikatsbasierte Authentifizierung 
 VPN kann neben Benutzerpasswort auch Zertifikate nutzen. 
 Vorteile: 
 Gerät kann eindeutig identifiziert werden.
Passwort allein reicht nicht.
verlorene Geräte können durch Zertifikatswiderruf gesperrt werden.
Clientzugriff kann stärker kontrolliert werden.
 
 Wichtig: 
 Zertifikate müssen erneuert,
geschützt
und bei Verlust widerrufen werden.
 
 Merksatz: 
 Zertifikate binden VPN-Zugriff stärker an Geräte oder Identitäten.
 
 
 VPN und Pre-Shared Key 
 Ein Pre-Shared Key ist ein vorher gemeinsam vereinbarter geheimer Schlüssel. 
 Abkürzung: 
 PSK
 
 PSK wird häufig bei Site-to-Site-VPNs genutzt. 
 Risiken: 
 schwacher PSK
PSK wird selten gewechselt
PSK ist mehreren Personen bekannt
PSK wird unsicher dokumentiert
 
 Merksatz: 
 PSK muss stark,
geheim
und kontrolliert verwaltet werden.
 
 
 VPN und Hochverfügbarkeit 
 VPN kann kritisch für den Betrieb sein. 
 Deshalb können sinnvoll sein: 
 zwei VPN-Gateways
redundante Internetanschlüsse
automatische Umschaltung
mehrere Standorte
Monitoring
Backup-Konfiguration
dokumentierter Notfallzugang
 
 Merksatz: 
 Kritische VPN-Zugänge brauchen Redundanz.
 
 
 VPN und Bandbreite 
 VPN benötigt Bandbreite. 
 Besonders relevant bei: 
 Full Tunnel
vielen Homeoffice-Benutzern
Standortkopplung
Dateiübertragung
Backups
Videokonferenzen
Cloud-Zugriff über Zentrale
 
 Merksatz: 
 VPN-Leistung hängt auch von Bandbreite und Gateway-Kapazität ab.
 
 
 VPN und Latenz 
 Latenz ist die Verzögerung. 
 VPN kann Latenz erhöhen,
weil der Verkehr einen längeren Weg nimmt
oder verschlüsselt verarbeitet wird. 
 Besonders betroffen: 
 Remote Desktop
VoIP
Datenbankanwendungen
Echtzeitanwendungen
interaktive Webanwendungen
 
 Merksatz: 
 VPN kann Wege verlängern und Latenz erhöhen.
 
 
 VPN und Protokollwahl 
 Die Protokollwahl beeinflusst Betrieb und Leistung. 
 Beispiele: 
 UDP ist oft besser für VPN-Performance.
TCP über TCP kann bei manchen VPNs ungünstig sein.
TCP 443 ist oft firewallfreundlich.
UDP kann in manchen Netzen blockiert sein.
IPsec braucht passende Ports und Protokolle.
 
 Merksatz: 
 VPN-Protokoll muss zu Netzwerk,
Sicherheit
und Betrieb passen.
 
 
 TCP-over-TCP-Problem 
 Wenn ein VPN über TCP läuft
und darin wiederum TCP-Verkehr transportiert wird,
können Leistungseinbußen entstehen. 
 Grundidee: 
 Zwei TCP-Schichten versuchen gleichzeitig,
Verluste und Stau zu regeln.
 
 Das kann bei Paketverlust zu schlechter Performance führen. 
 Merksatz: 
 TCP im TCP-Tunnel kann Performanceprobleme verstärken.
 
 
 VPN und NAT-Traversal 
 VPN-Verbindungen müssen oft durch NAT-Geräte. 
 NAT-Traversal hilft,
VPN-Verkehr durch NAT zu transportieren. 
 Besonders relevant bei: 
 IPsec hinter Routern
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
 
 Merksatz: 
 NAT-Traversal hilft VPNs durch NAT-Umgebungen.
 
 
 VPN und CGNAT 
 CGNAT kann eingehende Verbindungen erschweren. 
 Für Remote-Access-VPN ist das oft weniger problematisch,
wenn der Client nach außen zum VPN-Gateway verbindet. 
 Für eigenes VPN-Gateway zuhause oder am kleinen Standort kann CGNAT problematisch sein,
weil eingehende Verbindungen nicht direkt möglich sind. 
 Merksatz: 
 CGNAT stört vor allem,
wenn ein VPN-Gateway von außen erreichbar sein muss.
 
 
 VPN und Logs nach Art unterscheiden 
 Je nach VPN-Art sind andere Logs wichtig. 
 Remote-Access: 
 Benutzer
Gerät
MFA
VPN-IP
Gruppen
Routen
 
 Site-to-Site: 
 Tunnelstatus
Peer-Adresse
Phase 1 / Phase 2
Schlüssel
Routen
Security Associations
 
 Extranet: 
 Partner
Zugriffszeiten
Zielsysteme
Rollen
Ablaufdatum
 
 Merksatz: 
 VPN-Logs nach VPN-Art auswerten.
 
 
 Typische Fehler bei Remote-Access-VPN 
 Häufige Fehler: 
 - Benutzer kann sich nicht anmelden
- MFA schlägt fehl
- Zertifikat fehlt
- VPN-Client veraltet
- Client bekommt keine IP
- interne Namen lösen nicht auf
- Route fehlt
- Zugriff wird durch Gruppe nicht erlaubt
- lokales Heimnetz überschneidet sich
- Endgerät unsicher oder nicht compliant
 
 Merksatz: 
 Remote-Access-Fehler betreffen oft Benutzer,
Client,
DNS
und Routen.
 
 
 Typische Fehler bei Site-to-Site-VPN 
 Häufige Fehler: 
 - Tunnel kommt nicht hoch
- PSK stimmt nicht
- Peer-Adresse falsch
- Phase-1-Parameter falsch
- Phase-2-Parameter falsch
- Netze falsch definiert
- Routing fehlt
- Firewall-Regeln fehlen
- IP-Netze überschneiden sich
- einseitige Erreichbarkeit
- NAT-Regeln stören
 
 Merksatz: 
 Site-to-Site-Fehler betreffen oft Parameter,
Netze,
Routing
und Firewall.
 
 
 Phase 1 und Phase 2 bei IPsec 
 Bei IPsec spricht man häufig von Phase 1 und Phase 2. 
 Vereinfacht: 
 Phase 1:
sichere Verbindung zwischen den VPN-Gateways aufbauen

Phase 2:
festlegen,
welche Netze oder Daten über den Tunnel geschützt werden
 
 Typische Fehler: 
 Parameter stimmen nicht überein.
PSK falsch.
Netze falsch definiert.
Verschlüsselungsalgorithmen passen nicht.
 
 Merksatz: 
 Phase 1 verbindet Gateways.
Phase 2 schützt die eigentlichen Netze.
 
 
 Security Association 
 Security Association wird oft abgekürzt: 
 SA
 
 Eine SA beschreibt ausgehandelte Sicherheitsparameter einer VPN-Verbindung. 
 Dazu gehören zum Beispiel: 
 Verschlüsselung
Integritätsschutz
Schlüssel
Lebensdauer
beteiligte Gegenstellen
geschützte Netze
 
 Merksatz: 
 SA beschreibt ausgehandelte VPN-Sicherheitsparameter.
 
 
 VPN-Fehlersuche nach Art 
 
 
 
 VPN-Art 
 zuerst prüfen 
 
 
 
 
 Remote-Access 
 Benutzer, MFA, Client, IP, DNS, Route 
 
 
 Site-to-Site 
 Tunnelstatus, Peer, PSK, Phase 1/2, Routen 
 
 
 Cloud-VPN 
 Cloud-Routing, Security Groups, lokale Firewall 
 
 
 Extranet-VPN 
 Partnerkonto, Rollen, Zielsysteme, Ablaufdatum 
 
 
 Admin-VPN 
 MFA, Adminrolle, Managementnetz, Logs 
 
 
 Fernwartungs-VPN 
 Zeitfenster, Zielsystem, Protokollierung 
 
 
 
 Merksatz: 
 Die VPN-Art bestimmt die Fehlersuche.
 
 
 Typische IHK-Fragen 
 In AP1 und AP2 kann zum Beispiel gefragt werden: 
 - Welche VPN-Arten gibt es?
- Was ist Remote-Access-VPN?
- Was ist Client-to-Site-VPN?
- Was ist Site-to-Site-VPN?
- Wofür nutzt man Extranet-VPN?
- Wofür nutzt man Cloud-VPN?
- Was ist ein Admin-VPN?
- Warum braucht Fernwartungs-VPN besondere Kontrolle?
- Was ist Always-On-VPN?
- Was ist Per-App-VPN?
- Warum sind überlappende IP-Netze bei VPN problematisch?
- Warum sind VPN-Zonen sinnvoll?
- Warum ist ein Rollenmodell für VPN wichtig?
- Was ist ein Pre-Shared Key?
- Was bedeutet Phase 1 und Phase 2 bei IPsec?
- Was ist eine Security Association?
 
 
 Typische Prüfungsfallen 
 VPN ist ein Oberbegriff.

Remote-Access-VPN verbindet Benutzer.

Client-to-Site ist praktisch Remote-Access.

Site-to-Site-VPN verbindet Netze.

Extranet-VPN ist für externe Berechtigte.

Cloud-VPN verbindet lokale und Cloud-Netze.

Admin-VPN besonders schützen.

Fernwartungs-VPN zeitlich begrenzen.

Always-On-VPN startet automatisch.

On-Demand-VPN startet bei Bedarf.

Per-App-VPN gilt nur für bestimmte Apps.

BYOD braucht besondere Gerätekontrolle.

VPN-Zugriff nicht pauschal erlauben.

IP-Netze dürfen sich nicht überschneiden.

VPN braucht DNS und Routing.

VPN-Gruppen steuern Zugriff.

PSK muss stark und geheim sein.

Phase 1 und Phase 2 nicht verwechseln.

VPN-Logs je nach VPN-Art auswerten.
 
 
 Wichtige Begriffe kurz erklärt 
 
 
 
 Begriff 
 Kurze Erklärung 
 
 
 
 
 Remote-Access-VPN 
 Benutzer verbindet sich aus der Ferne 
 
 
 Client-to-Site-VPN 
 einzelner Client verbindet sich mit Firmennetz 
 
 
 Site-to-Site-VPN 
 zwei Netze werden verbunden 
 
 
 Host-to-Host-VPN 
 zwei einzelne Systeme werden verbunden 
 
 
 Extranet-VPN 
 VPN-Zugriff für externe Berechtigte 
 
 
 Cloud-VPN 
 Verbindung zwischen lokalem Netz und Cloud-Netz 
 
 
 Admin-VPN 
 besonders geschützter Adminzugang 
 
 
 Fernwartungs-VPN 
 Wartungszugang für Support oder Hersteller 
 
 
 Always-On-VPN 
 VPN startet automatisch dauerhaft 
 
 
 On-Demand-VPN 
 VPN startet nur bei Bedarf 
 
 
 Per-App-VPN 
 nur bestimmte Apps nutzen VPN 
 
 
 BYOD 
 private Geräte im beruflichen Einsatz 
 
 
 VPN-Zone 
 eigene Firewall-Zone für VPN-Verkehr 
 
 
 VPN-Gruppe 
 Gruppe zur Steuerung von VPN-Rechten 
 
 
 PSK 
 Pre-Shared Key 
 
 
 NAT-Traversal 
 VPN durch NAT ermöglichen 
 
 
 Phase 1 
 IPsec-Aufbau zwischen Gateways 
 
 
 Phase 2 
 IPsec-Schutz der eigentlichen Netze 
 
 
 Security Association 
 ausgehandelte Sicherheitsparameter 
 
 
 Peer 
 VPN-Gegenstelle 
 
 
 Tunnelstatus 
 Zustand einer VPN-Verbindung 
 
 
 
 
 IHK-sichere Kurzformulierung 
 VPNs können je nach Einsatzzweck unterschiedlich aufgebaut sein. Remote-Access-VPN oder Client-to-Site-VPN verbindet einzelne Benutzer mit internen Ressourcen, während Site-to-Site-VPN ganze Netzwerke oder Standorte miteinander verbindet. Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff, Cloud-VPN verbindet lokale Netze mit Cloud-Netzen, und Admin- oder Fernwartungs-VPNs dienen besonders geschützten Administrations- oder Wartungszugängen. Für alle VPN-Arten sind eindeutige IP-Netze, passende Routen, DNS, Firewall-Regeln, starke Authentifizierung, Rollenmodelle, Protokollierung und Monitoring wichtig. Bei IPsec sind Phase 1 und Phase 2 zu unterscheiden: Phase 1 baut die sichere Verbindung zwischen Gateways auf, Phase 2 definiert die geschützten Netze oder Datenströme. 
 
 Merksätze 
 VPN ist ein Oberbegriff.

VPN-Art richtet sich nach Einsatzzweck.

Remote-Access verbindet Benutzer.

Client-to-Site verbindet Client mit Netz.

Site-to-Site verbindet Netze.

Host-to-Host verbindet einzelne Systeme.

Extranet-VPN ist für externe Berechtigte.

Cloud-VPN verbindet lokal mit Cloud.

Admin-VPN besonders absichern.

Fernwartungs-VPN zeitlich begrenzen.

Always-On-VPN startet automatisch.

On-Demand-VPN startet bei Bedarf.

Per-App-VPN gilt nur für bestimmte Apps.

BYOD braucht klare Sicherheitsregeln.

Dienstleisterzugriff nie pauschal erlauben.

Standort-VPN braucht Netzplanung.

Cloud-VPN braucht Regeln auf beiden Seiten.

Überlappende Netze vermeiden.

VPN braucht Routen.

VPN braucht oft internes DNS.

VPN-Zonen trennen Zugriffe.

Gruppen steuern Berechtigungen.

Rollenmodell verhindert Pauschalzugriff.

MFA schützt externe Zugänge.

Zertifikate brauchen Verwaltung.

PSK stark und geheim halten.

Kritische VPNs überwachen.

VPN kann Latenz erhöhen.

TCP-over-TCP kann bremsen.

NAT-Traversal hilft durch NAT.

Phase 1 verbindet Gateways.

Phase 2 schützt Netze.

Security Association beschreibt VPN-Sicherheitsparameter.

14.3
VPN-Protokolle: IPsec, IKEv2, OpenVPN, WireGuard und TLS-VPN 
 VPN ist ein Oberbegriff. 
 Dahinter können unterschiedliche Protokolle und Techniken stehen. 
 Die wichtigsten VPN-Protokolle und VPN-Techniken sind: 
 - IPsec
- IKEv2
- OpenVPN
- WireGuard
- TLS-VPN
- L2TP/IPsec
- PPTP als veraltetes Beispiel
 
 Merksatz: 
 VPN beschreibt den Zweck.
Das VPN-Protokoll beschreibt die technische Umsetzung.
 
 
 Warum gibt es verschiedene VPN-Protokolle? 
 Nicht jedes VPN-Protokoll ist für denselben Zweck ideal. 
 Unterschiede gibt es bei: 
 - Sicherheit
- Geschwindigkeit
- Einrichtung
- Firewall-Freundlichkeit
- Betriebssystemunterstützung
- Schlüsselaustausch
- Authentifizierung
- Ports und Protokollen
- Wartbarkeit
- Kompatibilität
 
 Merksatz: 
 Das passende VPN-Protokoll hängt vom Einsatzfall ab.
 
 
 Wichtige Auswahlkriterien 
 Bei der Auswahl eines VPN-Protokolls fragt man: 
 Soll ein Benutzer oder ein Standort verbunden werden?
Welche Betriebssysteme werden genutzt?
Wird NAT verwendet?
Gibt es Firewalls dazwischen?
Ist hohe Geschwindigkeit wichtig?
Wird MFA benötigt?
Werden Zertifikate genutzt?
Muss das VPN besonders einfach wartbar sein?
Gibt es Unternehmensvorgaben?
Gibt es Compliance-Anforderungen?
 
 Merksatz: 
 VPN-Auswahl ist immer eine Kombination aus Sicherheit,
Betrieb
und Kompatibilität.
 
 
 IPsec 
 IPsec steht für: 
 Internet Protocol Security
 
 IPsec ist eine Protokollfamilie,
die IP-Kommunikation absichern kann. 
 IPsec wird häufig verwendet für: 
 - Site-to-Site-VPN
- Standortvernetzung
- Cloud-VPN
- Remote-Access-VPN
- sichere Kommunikation zwischen Netzen
 
 Merksatz: 
 IPsec schützt IP-Kommunikation auf Netzwerkebene.
 
 
 IPsec im OSI-Modell 
 IPsec arbeitet besonders nah an Schicht 3. 
 Warum? 
 Es schützt IP-Pakete.
 
 Dadurch eignet sich IPsec gut,
um ganze Netze miteinander zu verbinden. 
 Beispiel: 
 Standort A 192.168.10.0/24
↔
Standort B 192.168.20.0/24
 
 Merksatz: 
 IPsec passt gut zu Netz-zu-Netz-Verbindungen.
 
 
 IPsec-Grundidee 
 IPsec kann IP-Pakete schützen durch: 
 - Verschlüsselung
- Integritätsschutz
- Authentifizierung
- Schutz vor Manipulation
- Schutz vor Wiederholungsangriffen
 
 Dabei werden Sicherheitsparameter zwischen den VPN-Gegenstellen ausgehandelt. 
 Merksatz: 
 IPsec schützt nicht nur vor Mitlesen,
sondern auch vor Manipulation.
 
 
 IPsec Tunnel Mode 
 Beim Tunnel Mode wird das ursprüngliche IP-Paket komplett eingepackt. 
 Dabei entsteht ein neues äußeres IP-Paket. 
 Typischer Einsatz: 
 Site-to-Site-VPN
 
 Beispiel: 
 internes Paket:
192.168.10.50 → 192.168.20.60

äußeres Paket:
öffentliche IP Standort A → öffentliche IP Standort B
 
 Merksatz: 
 Tunnel Mode schützt ganze IP-Pakete zwischen VPN-Gateways.
 
 
 IPsec Transport Mode 
 Beim Transport Mode wird hauptsächlich die Nutzlast des IP-Pakets geschützt. 
 Die ursprünglichen IP-Adressen bleiben Teil des äußeren Pakets. 
 Typischer Einsatz: 
 Host-zu-Host-Kommunikation
 
 In der Praxis ist für Standort-VPNs meist der Tunnel Mode wichtiger. 
 Merksatz: 
 Transport Mode schützt eher direkte Host-Kommunikation.
 
 
 ESP 
 ESP steht für: 
 Encapsulating Security Payload
 
 ESP ist ein wichtiger Bestandteil von IPsec. 
 ESP kann bieten: 
 - Verschlüsselung
- Integritätsschutz
- Authentifizierung
 
 ESP ist für viele IPsec-VPNs zentral. 
 Merksatz: 
 ESP schützt die Daten bei IPsec.
 
 
 AH 
 AH steht für: 
 Authentication Header
 
 AH bietet Authentifizierung und Integrität,
aber keine Verschlüsselung des Inhalts. 
 In vielen modernen IPsec-VPNs wird häufiger ESP verwendet. 
 Merksatz: 
 AH schützt Integrität,
aber verschlüsselt nicht den Inhalt.
 
 
 IKE 
 IKE steht für: 
 Internet Key Exchange
 
 IKE wird genutzt,
um bei IPsec Schlüssel und Sicherheitsparameter auszuhandeln. 
 IKE regelt unter anderem: 
 - Authentifizierung der Gegenstellen
- Aushandlung von Verschlüsselung
- Aushandlung von Integritätsschutz
- Schlüsselerzeugung
- Lebensdauer von Sicherheitsbeziehungen
 
 Merksatz: 
 IKE handelt aus,
wie IPsec gesichert wird.
 
 
 IKEv1 und IKEv2 
 IKEv1 ist älter. 
 IKEv2 ist moderner und wird häufig bevorzugt. 
 IKEv2 bietet Vorteile wie: 
 stabilere Verbindungen
bessere Unterstützung für Mobilität
bessere Wiederverbindung
einfachere Aushandlung
gute Eignung für Remote-Access
 
 Merksatz: 
 IKEv2 ist die modernere Variante von IKE.
 
 
 IPsec Phase 1 
 Bei IPsec wird häufig von Phase 1 gesprochen. 
 Phase 1 bedeutet vereinfacht: 
 Die VPN-Gegenstellen bauen eine sichere Steuerverbindung auf.
 
 Dabei wird geprüft: 
 Wer ist die Gegenstelle?
Welcher Schlüssel oder welches Zertifikat wird genutzt?
Welche Verschlüsselung wird verwendet?
Welche Integritätsprüfung wird verwendet?
Wie lange gilt die Verbindung?
 
 Merksatz: 
 Phase 1 sichert die Verbindung zwischen den VPN-Gateways.
 
 
 IPsec Phase 2 
 Phase 2 bedeutet vereinfacht: 
 Es wird festgelegt,
welche eigentlichen Daten oder Netze geschützt werden.
 
 Beispiele: 
 192.168.10.0/24 ↔ 192.168.20.0/24
 
 Oder: 
 bestimmter Host ↔ bestimmter Host
 
 Dabei werden Sicherheitsparameter für den eigentlichen Datenverkehr ausgehandelt. 
 Merksatz: 
 Phase 2 schützt die eigentlichen Nutzdaten oder Netze.
 
 
 Phase 1 und Phase 2 vergleichen 
 
 
 
 Phase 
 Aufgabe 
 
 
 
 
 Phase 1 
 sichere Verbindung zwischen VPN-Gegenstellen aufbauen 
 
 
 Phase 2 
 geschützte Netze oder Datenströme festlegen 
 
 
 Phase 1 Fehler 
 Tunnel kommt oft gar nicht hoch 
 
 
 Phase 2 Fehler 
 Tunnel steht teilweise, aber Daten fließen nicht korrekt 
 
 
 
 Merksatz: 
 Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
 
 
 Security Association 
 Security Association wird abgekürzt: 
 SA
 
 Eine SA beschreibt ausgehandelte Sicherheitsparameter. 
 Dazu gehören zum Beispiel: 
 - Verschlüsselungsverfahren
- Integritätsverfahren
- Schlüssel
- Lebensdauer
- Gegenstellen
- geschützte Netze
- Richtung der Verbindung
 
 Merksatz: 
 SA beschreibt,
wie VPN-Verkehr geschützt wird.
 
 
 Pre-Shared Key 
 Ein Pre-Shared Key wird abgekürzt: 
 PSK
 
 Ein PSK ist ein vorher gemeinsam vereinbarter geheimer Schlüssel. 
 Er wird häufig bei Site-to-Site-VPNs verwendet. 
 Risiken: 
 PSK ist zu kurz.
PSK wird mehrfach verwendet.
PSK wird unsicher gespeichert.
PSK wird selten gewechselt.
PSK ist zu vielen Personen bekannt.
 
 Merksatz: 
 PSK muss stark,
geheim
und kontrolliert verwaltet werden.
 
 
 Zertifikate bei IPsec 
 Statt PSK können VPNs Zertifikate verwenden. 
 Vorteile: 
 bessere Skalierbarkeit
bessere Identitätsprüfung
einzelne Zertifikate können widerrufen werden
keine gemeinsamen Geheimnisse für alle Verbindungen
gut für größere Umgebungen
 
 Wichtig: 
 Zertifikate brauchen eine saubere PKI und Verwaltung.
 
 Merksatz: 
 Zertifikate sind oft besser skalierbar als gemeinsame PSKs.
 
 
 NAT-Traversal bei IPsec 
 IPsec kann Probleme mit NAT haben. 
 Grund: 
 NAT verändert IP-Adressen und manchmal Ports.
 
 NAT-Traversal hilft,
IPsec durch NAT-Geräte zu transportieren. 
 Typischer Begriff: 
 NAT-T
 
 NAT-T kapselt IPsec-Verkehr so,
dass er besser durch NAT-Umgebungen kommt. 
 Merksatz: 
 NAT-Traversal hilft IPsec durch NAT.
 
 
 Typische Ports und Protokolle bei IPsec 
 Typisch relevant sind: 
 
 
 
 Zweck 
 Port / Protokoll 
 
 
 
 
 IKE 
 UDP 500 
 
 
 NAT-Traversal 
 UDP 4500 
 
 
 ESP 
 IP-Protokoll 50 
 
 
 AH 
 IP-Protokoll 51 
 
 
 
 Wichtig: 
 ESP und AH sind keine TCP- oder UDP-Ports,
sondern eigene IP-Protokolle.
 
 Merksatz: 
 IPsec ist nicht nur ein einzelner TCP-Port.
 
 
 OpenVPN 
 OpenVPN ist eine verbreitete VPN-Lösung. 
 Eigenschaften: 
 - nutzt TLS
- kann mit Zertifikaten arbeiten
- kann UDP oder TCP verwenden
- flexibel konfigurierbar
- geeignet für Remote-Access und Site-to-Site
- benötigt meist Clientsoftware
 
 Merksatz: 
 OpenVPN ist flexibel und TLS-basiert.
 
 
 OpenVPN über UDP 
 OpenVPN wird häufig über UDP betrieben. 
 Vorteile: 
 gute Performance
weniger TCP-over-TCP-Probleme
geeignet für VPN-Verkehr
oft stabil bei Paketverlust
 
 Merksatz: 
 OpenVPN über UDP ist häufig performanter.
 
 
 OpenVPN über TCP 
 OpenVPN kann auch über TCP betrieben werden. 
 Vorteile: 
 kann in manchen Netzen leichter durch Firewalls
TCP 443 wirkt ähnlich wie HTTPS-Verkehr
manchmal nützlich in restriktiven Netzwerken
 
 Nachteile: 
 TCP-over-TCP kann Performanceprobleme verursachen
 
 Merksatz: 
 OpenVPN über TCP kann firewallfreundlich,
aber langsamer sein.
 
 
 TCP-over-TCP-Problem 
 Wenn ein VPN über TCP läuft
und darin TCP-Verkehr transportiert wird,
entstehen zwei TCP-Steuerungen übereinander. 
 Beide versuchen: 
 Paketverlust zu erkennen
erneut zu senden
Stau zu kontrollieren
 
 Das kann bei Paketverlust zu schlechter Leistung führen. 
 Merksatz: 
 TCP im TCP-Tunnel kann bremsen.
 
 
 WireGuard 
 WireGuard ist ein modernes VPN-Protokoll. 
 Eigenschaften: 
 - schlank
- schnell
- vergleichsweise einfache Konfiguration
- moderne Kryptografie
- arbeitet typischerweise über UDP
- gut für Remote-Access und Site-to-Site
- Schlüssel stehen im Mittelpunkt
 
 Merksatz: 
 WireGuard ist ein schlankes,
modernes VPN-Protokoll über UDP.
 
 
 WireGuard-Grundidee 
 WireGuard arbeitet mit öffentlichen und privaten Schlüsseln. 
 Jeder Peer besitzt: 
 privaten Schlüssel
öffentlichen Schlüssel
 
 Die Gegenstelle kennt den öffentlichen Schlüssel. 
 Zusätzlich werden Allowed IPs definiert. 
 Allowed IPs bestimmen,
welche IP-Adressen über den jeweiligen Peer geroutet werden. 
 Merksatz: 
 WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
 
 
 WireGuard Peer 
 Ein Peer ist eine VPN-Gegenstelle. 
 Beispiele: 
 Notebook eines Benutzers
Server
Firewall
Router
Standort-Gateway
 
 Jeder Peer braucht passende Schlüssel
und passende Routing-Angaben. 
 Merksatz: 
 Peer = WireGuard-Gegenstelle.
 
 
 Allowed IPs bei WireGuard 
 Allowed IPs haben bei WireGuard zwei wichtige Bedeutungen: 
 Welche Zielnetze gehen über diesen Peer?

Welche Quell-IP-Adressen werden von diesem Peer akzeptiert?
 
 Beispiel: 
 AllowedIPs = 10.8.0.2/32
 
 für einen einzelnen Client. 
 Oder: 
 AllowedIPs = 192.168.20.0/24
 
 für ein Standortnetz. 
 Merksatz: 
 Allowed IPs sind bei WireGuard Routing und Zugriffskontrolle zugleich.
 
 
 TLS-VPN 
 TLS-VPN nutzt TLS als Grundlage für den sicheren Tunnel. 
 Es wird oft auch SSL-VPN genannt,
obwohl TLS fachlich der modernere Begriff ist. 
 Einsatz: 
 Remote-Access
Webportale
Clientbasierter Zugriff
Zugriff über TCP 443
manchmal browserbasierter Zugriff
 
 Merksatz: 
 SSL-VPN meint in der Praxis meistens TLS-VPN.
 
 
 TLS-VPN und HTTPS 
 TLS-VPN kann firewallfreundlich sein,
weil es häufig über TCP 443 läuft. 
 Das ist derselbe Port,
der auch für HTTPS genutzt wird. 
 Vorteil: 
 funktioniert oft in restriktiven Netzen besser
 
 Nachteil: 
 Port 443 allein sagt nicht,
ob es normaler Webverkehr oder VPN ist.
 
 Merksatz: 
 TLS-VPN nutzt häufig Mechanismen ähnlich wie HTTPS.
 
 
 Clientless VPN 
 Clientless VPN bedeutet: 
 Benutzer greift über Browser auf ein Portal zu,
ohne klassischen vollständigen VPN-Client.
 
 Beispiel: 
 Webportal stellt interne Webanwendung bereit.
 
 Vorteile: 
 einfacher Zugriff
weniger Clientinstallation
gut für einzelne Webanwendungen
 
 Nachteile: 
 nicht für alle Protokolle geeignet
weniger flexibel als vollständiger Tunnel
 
 Merksatz: 
 Clientless VPN ist eher Portalzugriff als kompletter Netzwerktunnel.
 
 
 L2TP/IPsec 
 L2TP steht für: 
 Layer 2 Tunneling Protocol
 
 L2TP selbst bietet keine ausreichende Verschlüsselung. 
 Deshalb wird es häufig mit IPsec kombiniert. 
 Einsatz: 
 ältere oder kompatible VPN-Setups
bestimmte Betriebssystem-Clients
Remote-Access
 
 Merksatz: 
 L2TP braucht IPsec,
wenn es sicher sein soll.
 
 
 PPTP 
 PPTP steht für: 
 Point-to-Point Tunneling Protocol
 
 PPTP ist veraltet
und gilt nicht mehr als sicher. 
 Es sollte in modernen Umgebungen nicht mehr verwendet werden. 
 Merksatz: 
 PPTP kennen,
aber nicht mehr einsetzen.
 
 
 VPN-Protokolle vergleichen 
 
 
 
 Protokoll 
 Typischer Einsatz 
 Kurzbewertung 
 
 
 
 
 IPsec / IKEv2 
 Site-to-Site, Remote-Access 
 etabliert, stark, komplexer 
 
 
 OpenVPN 
 Remote-Access, Site-to-Site 
 flexibel, weit verbreitet 
 
 
 WireGuard 
 Remote-Access, Site-to-Site 
 modern, schnell, schlank 
 
 
 TLS-VPN 
 Remote-Access 
 oft firewallfreundlich 
 
 
 L2TP/IPsec 
 ältere Setups 
 kompatibel, aber weniger modern 
 
 
 PPTP 
 veraltet 
 nicht mehr sicher 
 
 
 
 Merksatz: 
 Moderne VPNs bevorzugen IPsec/IKEv2,
OpenVPN,
WireGuard
oder TLS-VPN.
 
 
 VPN und Ports vergleichen 
 
 
 
 Technik 
 typische Ports / Protokolle 
 
 
 
 
 IPsec IKE 
 UDP 500 
 
 
 IPsec NAT-T 
 UDP 4500 
 
 
 IPsec ESP 
 IP-Protokoll 50 
 
 
 OpenVPN 
 oft UDP 1194 oder TCP/UDP konfigurierbar 
 
 
 WireGuard 
 oft UDP 51820 
 
 
 TLS-VPN 
 häufig TCP 443 
 
 
 L2TP 
 UDP 1701 plus IPsec 
 
 
 PPTP 
 TCP 1723 plus GRE 
 
 
 
 Wichtig: 
 Ports können je nach Konfiguration abweichen.
 
 Merksatz: 
 VPN-Fehlersuche braucht Wissen über verwendete Ports und Protokolle.
 
 
 VPN und Verschlüsselung 
 VPN-Protokolle nutzen kryptografische Verfahren für: 
 Vertraulichkeit
Integrität
Authentizität
Schlüsselaustausch
 
 Wichtig: 
 Nicht nur das VPN-Protokoll zählt,
sondern auch die konkrete Konfiguration.
 
 Beispiele: 
 alte Algorithmen vermeiden
schwache Schlüssel vermeiden
unsichere Protokolle abschalten
Zertifikate korrekt prüfen
aktuelle Software nutzen
 
 Merksatz: 
 Sicheres VPN braucht sicheres Protokoll und sichere Konfiguration.
 
 
 VPN und Perfect Forward Secrecy 
 Perfect Forward Secrecy wird oft abgekürzt: 
 PFS
 
 PFS bedeutet vereinfacht: 
 Selbst wenn ein langfristiger Schlüssel später kompromittiert wird,
sollen alte Sitzungen nicht einfach nachträglich entschlüsselt werden können.
 
 PFS wird durch geeignete Schlüsselaustauschverfahren erreicht. 
 Merksatz: 
 PFS schützt alte Sitzungen besser bei späterem Schlüsselverlust.
 
 
 VPN und Schlüssel-Lebensdauer 
 Viele VPNs arbeiten mit Schlüssel- oder SA-Lebensdauern. 
 Nach Ablauf werden Schlüssel neu ausgehandelt. 
 Zweck: 
 Sicherheitsverbesserung
Begrenzung der Datenmenge pro Schlüssel
regelmäßige Erneuerung der Sicherheitsparameter
 
 Typischer Fehler: 
 Gegenstellen haben stark unterschiedliche Lebensdauern
oder inkompatible Einstellungen.
 
 Merksatz: 
 VPN-Gegenstellen müssen bei Sicherheitsparametern zusammenpassen.
 
 
 VPN und Kompatibilität 
 VPN-Probleme entstehen oft,
wenn Gegenstellen unterschiedliche Einstellungen erwarten. 
 Beispiele: 
 Verschlüsselungsalgorithmus passt nicht.
Hashverfahren passt nicht.
DH-Gruppe passt nicht.
PSK stimmt nicht.
Zertifikat wird nicht vertraut.
Phase-2-Netze passen nicht.
Lebensdauer passt nicht.
NAT-T ist unterschiedlich eingestellt.
 
 Merksatz: 
 VPN-Gegenstellen müssen dieselbe Sprache sprechen.
 
 
 Typische IPsec-Fehler 
 Häufige Fehler: 
 - falscher Pre-Shared Key
- falsche Peer-Adresse
- Phase 1 passt nicht
- Phase 2 passt nicht
- falsche Netze definiert
- Routing fehlt
- Firewall blockiert UDP 500 oder UDP 4500
- ESP wird blockiert
- NAT-T fehlt
- Zertifikat ungültig
- Uhrzeit falsch
 
 Merksatz: 
 IPsec-Fehler liegen oft an Parametern,
Routing
oder Firewall.
 
 
 Typische OpenVPN-Fehler 
 Häufige Fehler: 
 - falsche Serveradresse
- falscher Port
- UDP blockiert
- Zertifikat ungültig
- Clientprofil falsch
- Benutzer nicht berechtigt
- Route fehlt
- DNS fehlt
- TLS-Handshake schlägt fehl
- MTU-Problem
 
 Merksatz: 
 OpenVPN-Fehler mit Profil,
Zertifikat,
Port,
Route
und DNS prüfen.
 
 
 Typische WireGuard-Fehler 
 Häufige Fehler: 
 - falscher öffentlicher Schlüssel
- falscher privater Schlüssel
- Allowed IPs falsch
- Endpoint falsch
- UDP-Port blockiert
- Route fehlt
- NAT oder Firewall blockiert
- kein Persistent Keepalive bei NAT-Szenario
- IP-Adresskonflikt
- Gegenstelle antwortet nicht
 
 Merksatz: 
 WireGuard-Fehler liegen oft an Schlüsseln,
Allowed IPs,
Endpoint
oder Routing.
 
 
 Persistent Keepalive bei WireGuard 
 Persistent Keepalive kann helfen,
wenn ein WireGuard-Peer hinter NAT sitzt. 
 Grund: 
 NAT-Zuordnungen können nach einiger Zeit ablaufen.
 
 Mit Keepalive sendet der Peer regelmäßig kleine Pakete,
damit die NAT-Zuordnung bestehen bleibt. 
 Merksatz: 
 Persistent Keepalive hilft WireGuard hinter NAT.
 
 
 Typische TLS-VPN-Fehler 
 Häufige Fehler: 
 - Portal nicht erreichbar
- Zertifikat ungültig
- MFA schlägt fehl
- Benutzer nicht berechtigt
- Clientplugin oder Clientsoftware fehlt
- Richtlinie erlaubt Ziel nicht
- DNS über VPN fehlt
- Session läuft ab
- Browser blockiert Inhalt
 
 Merksatz: 
 TLS-VPN-Fehler betreffen oft Portal,
Zertifikat,
MFA
oder Richtlinie.
 
 
 VPN-Protokoll und Firewall 
 Für VPN-Verbindungen müssen Firewalls den passenden Verkehr erlauben. 
 Zu prüfen: 
 Welcher Port?
TCP oder UDP?
Eigenes IP-Protokoll?
NAT beteiligt?
Verbindung von innen nach außen oder von außen nach innen?
Rückverkehr erlaubt?
Provider blockiert etwas?
 
 Merksatz: 
 VPN funktioniert nur,
wenn Firewall und Protokoll zusammenpassen.
 
 
 VPN-Protokoll und NAT 
 Manche VPN-Protokolle kommen besser mit NAT zurecht als andere. 
 Wichtige Punkte: 
 NAT verändert Adressen.
Manche Protokolle verwenden eigene IP-Protokolle.
UDP-basierte Protokolle brauchen NAT-Zuordnung.
NAT-Traversal kann nötig sein.
CGNAT kann eingehende Verbindungen verhindern.
 
 Merksatz: 
 NAT ist bei VPN oft ein wichtiger Fehlerfaktor.
 
 
 VPN-Protokoll und Betriebssysteme 
 Nicht jedes Betriebssystem unterstützt jedes VPN gleich gut. 
 Zu prüfen: 
 nativer Client vorhanden?
Zusatzsoftware nötig?
MDM-Unterstützung?
Zertifikatsverwaltung möglich?
MFA integrierbar?
Always-On möglich?
Per-App-VPN möglich?
Benutzerfreundlichkeit?
 
 Merksatz: 
 VPN-Protokoll muss auch zu den Endgeräten passen.
 
 
 VPN-Protokoll und Sicherheitspolitik 
 Ein Unternehmen sollte festlegen: 
 Welche VPN-Protokolle sind erlaubt?
Welche sind verboten?
Welche Algorithmen sind erlaubt?
Wie werden Schlüssel verwaltet?
Ist MFA Pflicht?
Wie werden Zertifikate erneuert?
Wie werden Logs gespeichert?
Wer darf VPN nutzen?
Welche Zugriffe sind erlaubt?
 
 Merksatz: 
 VPN-Sicherheit braucht technische und organisatorische Vorgaben.
 
 
 Veraltete VPN-Verfahren vermeiden 
 Veraltete oder schwache Verfahren sollten nicht mehr genutzt werden. 
 Beispiele: 
 PPTP vermeiden
schwache PSKs vermeiden
alte TLS-Versionen vermeiden
unsichere Algorithmen vermeiden
unsichere Hashverfahren vermeiden
gemeinsame Konten vermeiden
fehlende MFA vermeiden
 
 Merksatz: 
 Veraltete VPN-Verfahren sind ein Sicherheitsrisiko.
 
 
 VPN-Protokolle in der Fehlersuche 
 Bei VPN-Problemen zuerst klären: 
 Welches VPN-Protokoll wird genutzt?
Welcher Port wird genutzt?
TCP oder UDP?
Welche Gegenstellen?
Remote-Access oder Site-to-Site?
PSK oder Zertifikat?
Welche Netze sollen durch den Tunnel?
Welche Logs gibt es?
 
 Merksatz: 
 Ohne Protokollwissen ist VPN-Fehlersuche ungenau.
 
 
 Checkliste: VPN-Protokoll prüfen 
 1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Ports und Protokolle prüfen.
4. Firewall-Freigaben prüfen.
5. NAT oder CGNAT prüfen.
6. Authentifizierung prüfen.
7. Schlüssel oder Zertifikate prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Logs prüfen.
11. Sicherheitsparameter vergleichen.
12. Gegenstelle prüfen.
 
 Merksatz: 
 VPN-Protokoll,
Ports,
Schlüssel,
Routen
und Logs gemeinsam prüfen.
 
 
 Typische IHK-Fragen 
 In AP1 und AP2 kann zum Beispiel gefragt werden: 
 - Was ist IPsec?
- Was ist IKE?
- Wofür wird IKEv2 genutzt?
- Was ist der Unterschied zwischen IPsec Tunnel Mode und Transport Mode?
- Was ist ESP?
- Was ist AH?
- Was bedeutet Phase 1 bei IPsec?
- Was bedeutet Phase 2 bei IPsec?
- Was ist eine Security Association?
- Was ist ein Pre-Shared Key?
- Warum ist NAT-Traversal bei IPsec wichtig?
- Was ist OpenVPN?
- Was ist WireGuard?
- Was bedeutet Allowed IPs bei WireGuard?
- Was ist TLS-VPN?
- Warum ist PPTP veraltet?
- Warum kann TCP-over-TCP problematisch sein?
 
 
 Typische Prüfungsfallen 
 VPN ist Oberbegriff,
nicht ein einzelnes Protokoll.

IPsec arbeitet nah an Schicht 3.

IKE handelt Schlüssel aus.

IKEv2 ist moderner als IKEv1.

ESP schützt Daten bei IPsec.

AH verschlüsselt nicht.

Tunnel Mode ist wichtig für Site-to-Site.

Transport Mode eher für Host-to-Host.

Phase 1 verbindet Gateways.

Phase 2 schützt Netze.

SA beschreibt Sicherheitsparameter.

PSK muss stark und geheim sein.

UDP 500 und UDP 4500 bei IPsec kennen.

ESP ist kein TCP- oder UDP-Port.

OpenVPN kann UDP oder TCP nutzen.

OpenVPN über UDP ist oft performanter.

TCP-over-TCP kann bremsen.

WireGuard nutzt Peers und Schlüssel.

Allowed IPs bei WireGuard sind wichtig.

TLS-VPN wird oft SSL-VPN genannt.

L2TP braucht IPsec für Sicherheit.

PPTP ist veraltet und unsicher.

VPN-Sicherheit hängt auch von Konfiguration ab.
 
 
 Wichtige Begriffe kurz erklärt 
 
 
 
 Begriff 
 Kurze Erklärung 
 
 
 
 
 VPN-Protokoll 
 technische Umsetzung eines VPN 
 
 
 IPsec 
 Absicherung von IP-Kommunikation 
 
 
 IKE 
 Schlüsselaushandlung für IPsec 
 
 
 IKEv2 
 moderne IKE-Version 
 
 
 Tunnel Mode 
 gesamtes IP-Paket wird geschützt eingepackt 
 
 
 Transport Mode 
 Nutzlast wird geschützt 
 
 
 ESP 
 IPsec-Bestandteil für Verschlüsselung und Integrität 
 
 
 AH 
 IPsec-Bestandteil für Authentizität und Integrität ohne Verschlüsselung 
 
 
 Phase 1 
 sichere Verbindung zwischen VPN-Gegenstellen 
 
 
 Phase 2 
 Schutz der eigentlichen Netze oder Datenströme 
 
 
 SA 
 Security Association 
 
 
 PSK 
 Pre-Shared Key 
 
 
 NAT-T 
 NAT-Traversal 
 
 
 OpenVPN 
 flexible TLS-basierte VPN-Lösung 
 
 
 WireGuard 
 modernes schlankes VPN-Protokoll 
 
 
 Peer 
 VPN-Gegenstelle bei WireGuard 
 
 
 Allowed IPs 
 Routing- und Zuordnungsangabe bei WireGuard 
 
 
 TLS-VPN 
 VPN auf Basis von TLS 
 
 
 SSL-VPN 
 ältere Bezeichnung für TLS-VPN 
 
 
 Clientless VPN 
 browserbasierter Portalzugriff 
 
 
 L2TP/IPsec 
 L2TP kombiniert mit IPsec 
 
 
 PPTP 
 veraltetes VPN-Protokoll 
 
 
 TCP-over-TCP 
 TCP-Verkehr in TCP-Tunnel 
 
 
 Persistent Keepalive 
 Keepalive für WireGuard hinter NAT 
 
 
 
 
 IHK-sichere Kurzformulierung 
 VPN ist ein Oberbegriff für verschlüsselte Tunnelverbindungen. Technisch können verschiedene Protokolle eingesetzt werden, zum Beispiel IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. IPsec arbeitet nah an der IP-Schicht und wird häufig für Site-to-Site-VPNs genutzt. IKE handelt dabei Schlüssel und Sicherheitsparameter aus. Bei IPsec beschreibt Phase 1 den Aufbau einer sicheren Verbindung zwischen den VPN-Gegenstellen, während Phase 2 die geschützten Netze oder Datenströme festlegt. OpenVPN ist TLS-basiert und kann über UDP oder TCP betrieben werden. WireGuard arbeitet mit Peers, öffentlichen und privaten Schlüsseln sowie Allowed IPs. TLS-VPN nutzt TLS und wird häufig für Remote-Access eingesetzt. Veraltete Verfahren wie PPTP sollten nicht mehr verwendet werden. 
 
 Merksätze 
 VPN ist ein Oberbegriff.

VPN-Protokoll ist die technische Umsetzung.

IPsec schützt IP-Kommunikation.

IPsec arbeitet nah an Schicht 3.

Tunnel Mode schützt ganze IP-Pakete.

Transport Mode schützt eher Host-Kommunikation.

ESP schützt Daten.

AH verschlüsselt nicht.

IKE handelt Schlüssel aus.

IKEv2 ist moderner als IKEv1.

Phase 1 verbindet Gateways.

Phase 2 schützt Netze.

SA beschreibt Sicherheitsparameter.

PSK muss stark und geheim sein.

Zertifikate sind gut für größere Umgebungen.

NAT-T hilft IPsec durch NAT.

UDP 500 gehört zu IKE.

UDP 4500 gehört zu NAT-T.

ESP ist IP-Protokoll 50.

OpenVPN ist TLS-basiert.

OpenVPN über UDP ist oft performanter.

OpenVPN über TCP kann firewallfreundlich sein.

TCP-over-TCP kann bremsen.

WireGuard ist schlank und modern.

WireGuard arbeitet mit Peers.

Allowed IPs sind bei WireGuard sehr wichtig.

Persistent Keepalive hilft hinter NAT.

TLS-VPN nutzt TLS.

SSL-VPN meint meist TLS-VPN.

Clientless VPN ist Portalzugriff.

L2TP braucht IPsec für Sicherheit.

PPTP ist veraltet.

Sicheres VPN braucht sichere Konfiguration.

VPN-Fehler immer mit Protokoll,
Ports,
Schlüsseln,
Routen
und Logs prüfen.

14.4
VPN-Routing, DNS und Firewall-Regeln 
 Ein VPN-Tunnel allein reicht nicht aus,
damit interne Dienste erreichbar sind. 
 Zusätzlich müssen passen: 
 - IP-Adressbereiche
- Routing
- DNS
- Firewall-Regeln
- NAT-Regeln
- Berechtigungen
- Rückwege
- Client-Konfiguration
 
 Merksatz: 
 VPN verbunden heißt nicht automatisch:
Ziel erreichbar.
 
 
 Warum Routing bei VPN wichtig ist 
 Routing entscheidet,
über welchen Weg ein Paket geschickt wird. 
 Wenn ein Client per VPN verbunden ist,
muss sein System wissen: 
 Welche Ziele liegen im VPN?
Welche Ziele liegen im lokalen Netz?
Welche Ziele gehen direkt ins Internet?
 
 Fehlt eine passende Route,
geht der Verkehr nicht durch den VPN-Tunnel. 
 Merksatz: 
 Ohne Route kein Weg durch den Tunnel.
 
 
 VPN-Routing einfach erklärt 
 Beispiel: 
 VPN-Client:
10.8.0.20

Firmennetz:
192.168.10.0/24
 
 Damit der Client das Firmennetz erreicht,
braucht er eine Route: 
 Zielnetz 192.168.10.0/24
über VPN-Tunnel
 
 Wenn diese Route fehlt,
sendet der Client die Pakete eventuell an sein lokales Gateway. 
 Merksatz: 
 Der Client muss wissen,
welche Netze über VPN erreichbar sind.
 
 
 Routingtabelle 
 Eine Routingtabelle enthält Wege zu Netzwerken. 
 Sie beantwortet: 
 Wohin schicke ich Pakete für dieses Zielnetz?
 
 Typische Einträge: 
 Standardroute
lokale Netzroute
VPN-Route
Hostroute
spezifische Netzroute
 
 Merksatz: 
 Routingtabelle = Wegweiser für IP-Pakete.
 
 
 Standardroute 
 Die Standardroute wird genutzt,
wenn keine spezifischere Route passt. 
 Sie zeigt meist zum lokalen Internetrouter. 
 Beispiel: 
 0.0.0.0/0
über lokales Gateway
 
 Bei Full Tunnel kann die Standardroute über VPN gesetzt werden. 
 Merksatz: 
 Standardroute ist der Weg für alles,
was nicht genauer bekannt ist.
 
 
 Spezifischere Route gewinnt 
 Routing arbeitet nach dem Prinzip: 
 die genaueste passende Route gewinnt.
 
 Beispiel: 
 0.0.0.0/0
über lokales Gateway

192.168.10.0/24
über VPN
 
 Wenn Ziel 192.168.10.50 ist,
gewinnt die spezifische VPN-Route. 
 Merksatz: 
 Genauere Route gewinnt vor allgemeiner Route.
 
 
 Split Tunnel 
 Split Tunnel bedeutet: 
 Nur bestimmte Netze gehen durch VPN.
 
 Beispiel: 
 Firmennetze:
durch VPN

normales Internet:
direkt lokal
 
 Vorteile: 
 weniger Last auf VPN
weniger Bandbreitenbedarf in der Firma
oft bessere Performance für normale Internetdienste
 
 Nachteile: 
 weniger zentrale Kontrolle
Sicherheitsrichtlinien schwieriger einheitlich durchsetzbar
 
 Merksatz: 
 Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
 
 
 Full Tunnel 
 Full Tunnel bedeutet: 
 Der gesamte Verkehr läuft durch VPN.
 
 Auch Internetverkehr geht zuerst zum Unternehmen. 
 Vorteile: 
 zentrale Kontrolle
zentrale Filterung
einheitliche Sicherheitsrichtlinien
bessere Protokollierung
 
 Nachteile: 
 mehr Last
höhere Latenz
mehr Bandbreite nötig
VPN-Gateway wird kritischer
 
 Merksatz: 
 Full Tunnel leitet alles durch VPN.
 
 
 Split Tunnel und Full Tunnel vergleichen 
 
 
 
 Merkmal 
 Split Tunnel 
 Full Tunnel 
 
 
 
 
 Firmennetze 
 über VPN 
 über VPN 
 
 
 Internetverkehr 
 direkt lokal 
 über VPN 
 
 
 Last auf VPN 
 geringer 
 höher 
 
 
 zentrale Kontrolle 
 geringer 
 höher 
 
 
 Performance 
 oft besser 
 abhängig vom VPN 
 
 
 Sicherheitspolitik 
 schwieriger 
 zentraler 
 
 
 
 Merksatz: 
 Split Tunnel spart Last.
Full Tunnel gibt mehr Kontrolle.
 
 
 VPN-Adresspool 
 Der VPN-Adresspool ist der IP-Bereich,
aus dem VPN-Clients ihre VPN-Adresse bekommen. 
 Beispiel: 
 10.8.0.0/24
 
 Ein Client erhält dann zum Beispiel: 
 10.8.0.20
 
 Diese Adresse wird in Firewall-Regeln,
Routing
und Logs verwendet. 
 Merksatz: 
 VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
 
 
 VPN-Adresspool darf sich nicht überschneiden 
 Der VPN-Adresspool darf sich nicht mit anderen Netzen überschneiden. 
 Problematisch: 
 VPN-Pool:
192.168.1.0/24

Heimnetz des Benutzers:
192.168.1.0/24
 
 Dann ist unklar,
ob 192.168.1.50 lokal oder über VPN erreichbar ist. 
 Merksatz: 
 Überlappende Netze verursachen VPN-Routingprobleme.
 
 
 Adresskonflikt mit Heimnetz 
 Ein sehr häufiger VPN-Fehler: 
 Firmennetz:
192.168.1.0/24

Heimnetz:
192.168.1.0/24
 
 Der Client denkt dann oft: 
 192.168.1.x ist lokal
 
 und sendet Pakete nicht durch den VPN-Tunnel. 
 Folge: 
 interne Systeme sind nicht erreichbar.
 
 Merksatz: 
 Häufige Heimnetzbereiche im Firmennetz vermeiden.
 
 
 Typische problematische Heimnetzbereiche 
 Viele Heimrouter nutzen Standardnetze wie: 
 192.168.0.0/24
192.168.1.0/24
192.168.2.0/24
192.168.178.0/24
 
 Wenn Unternehmen dieselben Netze intern nutzen,
kann VPN-Zugriff aus dem Homeoffice Probleme machen. 
 Merksatz: 
 Für Firmennetze möglichst eindeutige,
weniger typische Adressbereiche planen.
 
 
 Route fehlt 
 Fehlt eine VPN-Route,
kann der Tunnel verbunden sein,
aber interne Netze sind trotzdem nicht erreichbar. 
 Typisches Fehlerbild: 
 VPN zeigt verbunden.
Internet geht.
interne IPs gehen nicht.
interne Namen gehen nicht.
nur VPN-Gateway erreichbar.
 
 Mögliche Ursache: 
 Route zu internem Netz wurde nicht verteilt.
 
 Merksatz: 
 VPN-Status grün heißt nicht:
Routen stimmen.
 
 
 Route zum Zielnetz fehlt 
 Beispiel: 
 Ziel:
10.20.30.50
 
 Benötigte Route: 
 10.20.30.0/24
über VPN
 
 Wenn nur 192.168.10.0/24 über VPN geroutet wird,
ist 10.20.30.50 nicht erreichbar. 
 Merksatz: 
 Jedes gewünschte Zielnetz braucht eine passende Route.
 
 
 Rückroute fehlt 
 Nicht nur der Client braucht eine Route zum Ziel. 
 Auch das Zielnetz muss wissen,
wie es zum VPN-Client zurückkommt. 
 Beispiel: 
 VPN-Client:
10.8.0.20

Server:
192.168.10.50
 
 Der Server oder sein Gateway braucht einen Rückweg zu: 
 10.8.0.0/24
 
 Merksatz: 
 VPN braucht Hinweg und Rückweg.
 
 
 Asymmetrisches Routing bei VPN 
 Asymmetrisches Routing bedeutet: 
 Hinweg und Rückweg laufen über unterschiedliche Wege.
 
 Bei Firewalls kann das problematisch sein,
weil Stateful Firewalls den Verbindungszustand verfolgen. 
 Wenn die Antwort einen anderen Weg nimmt,
kann sie blockiert werden. 
 Merksatz: 
 Stateful Firewalls brauchen passenden Hin- und Rückweg.
 
 
 VPN und NAT 
 Manchmal wird NAT auch bei VPN genutzt. 
 Beispiele: 
 überlappende Netze müssen übersetzt werden
VPN-Clients sollen mit bestimmter Quell-IP erscheinen
Partnernetz darf interne echte Adressen nicht sehen
Cloud-Netz erwartet bestimmte Adressbereiche
 
 Aber: 
 NAT macht Fehlersuche komplizierter.
 
 Merksatz: 
 NAT im VPN kann helfen,
aber erschwert Analyse und Dokumentation.
 
 
 NAT bei überlappenden Netzen 
 Wenn zwei Seiten dasselbe Netz verwenden,
kann NAT eine technische Umgehung sein. 
 Beispiel: 
 Standort A:
192.168.1.0/24

Standort B:
192.168.1.0/24
 
 Eine Seite wird für den Tunnel in ein anderes Netz übersetzt. 
 Aber: 
 Das ist meist komplizierter als saubere IP-Planung.
 
 Merksatz: 
 NAT kann Adresskonflikte umgehen,
ersetzt aber keine gute Netzplanung.
 
 
 VPN-DNS 
 VPN-DNS sorgt dafür,
dass interne Namen korrekt aufgelöst werden. 
 Beispiele: 
 intranet.firma.local
fileserver.firma.local
wiki.intern
dc01.firma.local
 
 Dafür erhält der VPN-Client meist: 
 interne DNS-Server
DNS-Suffix
Suchdomäne
Split-DNS-Regeln
 
 Merksatz: 
 VPN braucht oft interne DNS-Konfiguration.
 
 
 DNS-Server über VPN 
 Der VPN-Client kann interne DNS-Server zugewiesen bekommen. 
 Beispiel: 
 DNS-Server:
192.168.10.10
 
 Damit kann er interne Namen auflösen. 
 Wenn der interne DNS-Server nicht erreichbar ist,
funktioniert Namensauflösung trotz VPN nicht. 
 Merksatz: 
 Interner DNS muss über VPN erreichbar und erlaubt sein.
 
 
 DNS-Suffix 
 Ein DNS-Suffix ergänzt kurze Namen. 
 Beispiel: 
 Benutzer gibt ein:
fileserver
 
 Mit DNS-Suffix wird daraus: 
 fileserver.firma.local
 
 Fehlt das DNS-Suffix,
funktionieren kurze interne Namen eventuell nicht. 
 Merksatz: 
 DNS-Suffix hilft bei kurzen internen Namen.
 
 
 Split DNS 
 Split DNS bedeutet: 
 interne Namen werden über interne DNS-Server aufgelöst

externe Namen werden normal oder öffentlich aufgelöst
 
 Beispiel: 
 firma.local
über VPN-DNS

öffentliche Webseiten
über normalen DNS
 
 Merksatz: 
 Split DNS trennt interne und externe Namensauflösung.
 
 
 Fehlerbild: Interne Namen gehen nicht 
 Mögliche Ursachen: 
 - interner DNS wird nicht verteilt
- DNS-Suffix fehlt
- DNS-Anfragen gehen nicht durch VPN
- DNS-Server über VPN nicht erreichbar
- Firewall blockiert UDP/TCP 53
- Split DNS falsch
- falscher DNS-Server antwortet
- lokale DNS-Cache-Einträge sind alt
 
 Merksatz: 
 VPN-Namensprobleme sind oft DNS- oder Split-DNS-Probleme.
 
 
 Fehlerbild: IP geht, Name nicht 
 Wenn interne IP-Adresse funktioniert,
aber interner Name nicht,
liegt der Fehler meist bei DNS. 
 Beispiel: 
 192.168.10.50 funktioniert.

fileserver.firma.local funktioniert nicht.
 
 Prüfen: 
 DNS-Server
DNS-Suffix
DNS-Record
Firewall für DNS
Split DNS
Cache
 
 Merksatz: 
 IP geht,
Name nicht:
DNS prüfen.
 
 
 VPN und Firewall-Regeln 
 Ein VPN-Tunnel bedeutet nicht automatisch,
dass alle Ziele erlaubt sind. 
 Die Firewall muss regeln: 
 Welche VPN-Gruppe darf wohin?
Welche Ports sind erlaubt?
Welche Protokolle sind erlaubt?
Welche Richtung gilt?
Welche Zone ist beteiligt?
Wird der Zugriff protokolliert?
 
 Merksatz: 
 VPN braucht gezielte Firewall-Regeln.
 
 
 VPN-Zone 
 VPN-Verkehr sollte in eigene Firewall-Zonen eingeordnet werden. 
 Beispiele: 
 VPN-Mitarbeiter
VPN-Admin
VPN-Dienstleister
VPN-Partner
Site-to-Site-Partner
Cloud-VPN
 
 Vorteil: 
 Regeln können gezielt und übersichtlich erstellt werden.
 
 Merksatz: 
 VPN-Zonen verhindern pauschale Vermischung mit LAN.
 
 
 Regelprinzip für VPN 
 Nicht gut: 
 VPN → LAN any allow
 
 Besser: 
 VPN-Mitarbeiter → Intranet HTTPS erlauben

VPN-Support → bestimmte Clients RDP erlauben

VPN-Admin → Managementnetz SSH/RDP erlauben

VPN-Dienstleister → Wartungsserver erlauben
 
 Merksatz: 
 VPN-Zugriff nach Rolle,
Ziel
und Dienst begrenzen.
 
 
 VPN und Least Privilege 
 Least Privilege bedeutet: 
 nur notwendige Rechte und Zugriffe erlauben.
 
 Bei VPN heißt das: 
 nicht alle Netze
nicht alle Ports
nicht alle Benutzer
nicht dauerhaft
nicht ohne Protokollierung
 
 Merksatz: 
 VPN-Zugang so eng wie möglich freigeben.
 
 
 VPN und Gruppen 
 VPN-Zugriffe werden oft über Gruppen gesteuert. 
 Beispiele: 
 VPN-Mitarbeiter
VPN-Support
VPN-Admins
VPN-Externe
VPN-Cloud-Admins
 
 Gruppen steuern: 
 Routen
Firewall-Regeln
DNS
Zugriff auf Anwendungen
MFA-Anforderungen
 
 Merksatz: 
 Gruppen machen VPN-Zugriff verwaltbar.
 
 
 VPN und Benutzerrechte 
 VPN-Zugang allein gibt noch keine Anwendungsrechte. 
 Beispiel: 
 Benutzer erreicht Dateiserver per VPN.
 
 Trotzdem braucht er: 
 gültige Anmeldung
Freigaberecht
Dateisystemrecht
Gruppenmitgliedschaft
 
 Merksatz: 
 Netzwerkzugang ist nicht dasselbe wie Anwendungsberechtigung.
 
 
 VPN und Host-Firewall 
 Auch wenn die zentrale Firewall Zugriff erlaubt,
kann die lokale Firewall des Zielsystems blockieren. 
 Beispiele: 
 Windows Defender Firewall blockiert RDP.

Linux-Firewall blockiert SSH.

Server erlaubt nur internes LAN,
aber nicht VPN-Pool.
 
 Merksatz: 
 Zielsystem-Firewall muss VPN-Quellen ebenfalls erlauben.
 
 
 VPN und Serverdienste 
 Der Zielserver muss auf dem richtigen Port lauschen. 
 Prüfen: 
 Dienst läuft?
Dienst lauscht auf richtiger IP?
Dienst lauscht auf richtigem Port?
Dienst erlaubt VPN-Quellen?
Anwendung erlaubt Benutzer?
Logs zeigen Fehler?
 
 Merksatz: 
 VPN erreicht nur Dienste,
die auch wirklich laufen und erreichbar sind.
 
 
 VPN und Rückweg über Gateway 
 Ein Server antwortet meist über sein Standardgateway. 
 Wenn das Gateway keine Route zum VPN-Adresspool kennt,
geht die Antwort falsch. 
 Beispiel: 
 Server will zu 10.8.0.20 antworten.
Gateway kennt 10.8.0.0/24 nicht.
 
 Folge: 
 Antwort kommt nicht zurück.
 
 Merksatz: 
 Zielnetz muss den VPN-Pool zurückrouten können.
 
 
 VPN und interne Firewalls 
 In größeren Netzen gibt es oft mehrere Firewalls. 
 Beispiel: 
 VPN-Gateway
→ Core-Firewall
→ Servernetz-Firewall
→ Host-Firewall
 
 Jede dieser Stellen kann blockieren. 
 Merksatz: 
 Bei VPN-Zugriff alle Filterstellen auf dem Weg prüfen.
 
 
 VPN und VLANs 
 VPN-Benutzer können Zugriff auf bestimmte VLANs erhalten. 
 Beispiele: 
 Client-VLAN
Server-VLAN
Management-VLAN
DMZ-VLAN
 
 Wichtig: 
 VPN-Zugriff auf Management-VLAN besonders stark begrenzen.
 
 Merksatz: 
 VLAN-Zugriff über VPN bewusst steuern.
 
 
 VPN und DMZ 
 VPN-Gateways können in einer DMZ stehen. 
 Warum? 
 Sie sind von außen erreichbar
und sollten vom internen LAN getrennt sein.
 
 Nach erfolgreichem VPN-Aufbau dürfen Benutzer nur über definierte Regeln weiter ins interne Netz. 
 Merksatz: 
 VPN-Gateway in DMZ,
Zugriff ins LAN nur geregelt.
 
 
 VPN und Extranet 
 Bei Extranet-Zugängen gilt besonders: 
 externe Benutzer nur auf benötigte Systeme
keine pauschale LAN-Freigabe
eigene Benutzerkonten
MFA
Ablaufdatum
Protokollierung
regelmäßige Prüfung
 
 Merksatz: 
 Extranet-VPN braucht besonders enge Regeln.
 
 
 VPN und Cloud-Netze 
 Bei Cloud-VPN müssen beide Seiten passen. 
 Lokale Seite: 
 Routen
Firewall
NAT
DNS
 
 Cloud-Seite: 
 Routing Table
Security Group
Network Security Group
Cloud Firewall
Subnetze
DNS
 
 Merksatz: 
 Cloud-VPN braucht Regeln und Routen auf beiden Seiten.
 
 
 VPN und IPv6 
 VPN kann IPv4,
IPv6
oder beides transportieren. 
 Wichtig: 
 Wenn IPv6 aktiv ist,
müssen auch IPv6-Routen und IPv6-Firewall-Regeln stimmen.
 
 Problem: 
 IPv4 funktioniert über VPN,
aber IPv6 nimmt anderen Weg.
 
 Merksatz: 
 Dual Stack bedeutet:
IPv4 und IPv6 prüfen.
 
 
 VPN-Leak 
 Ein VPN-Leak bedeutet: 
 Verkehr geht unerwartet außerhalb des VPN-Tunnels.
 
 Beispiele: 
 DNS-Leak:
DNS-Anfragen gehen an lokalen Provider statt internen DNS.

IPv6-Leak:
IPv6-Verkehr geht direkt ins Internet statt durch VPN.

Split-Tunnel-Fehlkonfiguration:
sensible Ziele gehen nicht durch VPN.
 
 Merksatz: 
 VPN-Leak bedeutet:
Verkehr nimmt unerwartet den falschen Weg.
 
 
 DNS-Leak 
 Ein DNS-Leak liegt vor,
wenn DNS-Anfragen nicht wie vorgesehen über den VPN-DNS laufen. 
 Folgen: 
 interne Namen funktionieren nicht
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
falsche Antworten werden genutzt
 
 Merksatz: 
 DNS-Leak betrifft Namensauflösung außerhalb des gewünschten Weges.
 
 
 IPv6-Leak 
 Ein IPv6-Leak kann entstehen,
wenn VPN nur IPv4 tunnelt,
aber der Client weiterhin IPv6 direkt nutzt. 
 Folge: 
 Verkehr kann außerhalb des VPNs laufen.
 
 Lösung: 
 IPv6 korrekt tunneln
oder
IPv6 bewusst regeln
 
 Merksatz: 
 IPv6 bei VPN nicht vergessen.
 
 
 VPN und Proxy 
 Manche Unternehmen kombinieren VPN mit Proxy. 
 Beispiele: 
 Full Tunnel plus Webproxy
Split Tunnel plus Cloudproxy
Proxy nur für bestimmte Anwendungen
PAC-Datei für Browser
 
 Fehlerquellen: 
 falsche Proxy-Einstellungen
Proxy nicht über VPN erreichbar
Authentifizierung am Proxy schlägt fehl
falsche Ausnahmen
 
 Merksatz: 
 VPN und Proxy müssen zusammenpassen.
 
 
 VPN und Zertifikate 
 Zertifikate können für VPN wichtig sein. 
 Beispiele: 
 Serverzertifikat des VPN-Gateways
Clientzertifikat auf Endgerät
Zertifikatskette
interne CA
Zertifikatswiderruf
Ablaufdatum
 
 Fehler: 
 Zertifikat abgelaufen
Name passt nicht
CA nicht vertraut
Clientzertifikat fehlt
CRL oder OCSP nicht erreichbar
 
 Merksatz: 
 VPN-Zertifikate mit Name,
Vertrauen,
Gültigkeit
und Widerruf prüfen.
 
 
 VPN und Zeit 
 Korrekte Zeit ist wichtig für: 
 Zertifikate
Kerberos
MFA
Tokens
Logs
Sicherheitsprüfungen
 
 Wenn die Uhrzeit stark abweicht,
können Anmeldungen oder Zertifikate fehlschlagen. 
 Merksatz: 
 VPN-Fehler können durch falsche Uhrzeit entstehen.
 
 
 VPN-Fehlersuche: Grundreihenfolge 
 Eine sinnvolle Reihenfolge: 
 1. VPN-Art bestimmen.
2. VPN-Protokoll bestimmen.
3. Verbindungsstatus prüfen.
4. Authentifizierung prüfen.
5. VPN-IP prüfen.
6. Routen prüfen.
7. DNS prüfen.
8. Firewall-Regeln prüfen.
9. Zielsystem prüfen.
10. Rückweg prüfen.
11. Logs prüfen.
12. MTU und Performance prüfen.
 
 Merksatz: 
 VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall
und Zielsystem.
 
 
 Fehlerbild: VPN verbunden, aber Ziel-IP nicht erreichbar 
 Mögliche Ursachen: 
 - Route fehlt
- Firewall blockiert
- Zielsystem offline
- Rückroute fehlt
- Host-Firewall blockiert
- VPN-Gruppe darf Ziel nicht erreichen
- Adresskonflikt
- NAT falsch
- falsches Zielnetz
 
 Prüfen: 
 VPN-IP
Routingtabelle
Firewall-Logs
Zielsystem
Rückweg
 
 Merksatz: 
 Ziel-IP nicht erreichbar:
Route,
Firewall
und Rückweg prüfen.
 
 
 Fehlerbild: VPN verbunden, interner Name nicht erreichbar 
 Mögliche Ursachen: 
 - DNS-Server nicht gesetzt
- DNS-Suffix fehlt
- Split DNS falsch
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falscher Record
- Cache veraltet
 
 Prüfen: 
 DNS-Server
DNS-Antwort
DNS-Suffix
UDP/TCP 53
Split DNS
 
 Merksatz: 
 Interner Name nicht erreichbar:
DNS prüfen.
 
 
 Fehlerbild: Nur ein Dienst nicht erreichbar 
 Mögliche Ursachen: 
 - Port blockiert
- Dienst läuft nicht
- Host-Firewall blockiert
- Benutzer nicht berechtigt
- Anwendung lehnt VPN-Quelle ab
- falscher Port
- falsches Protokoll
- Zertifikat oder TLS-Problem
 
 Prüfen: 
 Porttest
Dienststatus
Firewall-Log
Serverlog
Berechtigungen
 
 Merksatz: 
 Ein Dienst betroffen:
Port,
Dienst
und Anwendung prüfen.
 
 
 Fehlerbild: Zugriff geht nur für manche Benutzer 
 Mögliche Ursachen: 
 - unterschiedliche VPN-Gruppen
- unterschiedliche Routen
- unterschiedliche Firewall-Regeln
- Benutzerrechte fehlen
- MFA-Richtlinie unterschiedlich
- Clientprofil unterschiedlich
- Gerätestatus unterschiedlich
- Rolle fehlt
 
 Prüfen: 
 Gruppenmitgliedschaft
VPN-Profil
Routen
Rechte
Logs
 
 Merksatz: 
 Unterschiedliche Benutzer:
Gruppen,
Rollen
und Profile prüfen.
 
 
 Fehlerbild: Zugriff geht nur von manchen Heimnetzen nicht 
 Mögliche Ursachen: 
 - Adresskonflikt mit Heimnetz
- lokaler Router blockiert VPN
- restriktives WLAN
- Provider blockiert
- CGNAT oder NAT-Probleme
- IPv6 nimmt anderen Weg
- DNS des Heimnetzes stört
 
 Merksatz: 
 Manche Heimnetze betroffen:
lokale Netze,
NAT,
DNS
und IPv6 prüfen.
 
 
 Fehlerbild: VPN langsam oder instabil 
 Mögliche Ursachen: 
 - hohe Latenz
- Paketverlust
- MTU-Problem
- WLAN-Probleme
- Full Tunnel überlastet
- VPN-Gateway ausgelastet
- TCP-over-TCP
- schwache Clientleistung
- Providerproblem
- Sicherheitsprüfung oder Proxy langsam
 
 Merksatz: 
 VPN-Performance mit Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
 
 
 Checkliste: VPN-Routing 
 VPN-IP erhalten?
Route zum Zielnetz vorhanden?
genaueste Route korrekt?
Standardroute verändert?
Split Tunnel oder Full Tunnel?
Zielnetz überschneidet sich?
Rückroute vorhanden?
mehrere Gateways beteiligt?
Routing auf Cloud-Seite korrekt?
Routing auf Servernetz-Seite korrekt?
 
 Merksatz: 
 VPN-Routing immer auf Client,
Gateway
und Zielnetz prüfen.
 
 
 Checkliste: VPN-DNS 
 interner DNS gesetzt?
DNS-Suffix gesetzt?
Split DNS korrekt?
UDP 53 erlaubt?
TCP 53 erlaubt?
interner DNS über VPN erreichbar?
liefert DNS richtige IP?
A und AAAA prüfen?
Cache geleert oder geprüft?
interner und externer DNS verglichen?
 
 Merksatz: 
 DNS bei VPN immer aus Sicht des VPN-Clients prüfen.
 
 
 Checkliste: VPN-Firewall 
 VPN-Zone korrekt?
Quelle VPN-Pool korrekt?
Benutzergruppe korrekt?
Zielnetz korrekt?
Zielhost korrekt?
Port korrekt?
TCP oder UDP korrekt?
Richtung korrekt?
Host-Firewall korrekt?
Rückverkehr erlaubt?
Logs zeigen Treffer?
 
 Merksatz: 
 Firewall-Regeln für VPN genau wie andere Regeln prüfen.
 
 
 Typische IHK-Fragen 
 In AP1 und AP2 kann zum Beispiel gefragt werden: 
 - Warum reicht ein aufgebauter VPN-Tunnel allein nicht aus?
- Warum ist Routing bei VPN wichtig?
- Was ist ein VPN-Adresspool?
- Warum sind überlappende Netze problematisch?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Was ist ein DNS-Leak?
- Was ist ein IPv6-Leak?
- Warum braucht VPN Firewall-Regeln?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Warum kann eine Host-Firewall VPN-Zugriffe blockieren?
- Warum ist der Rückweg wichtig?
- Wie geht man bei VPN-Fehlersuche systematisch vor?
 
 
 Typische Prüfungsfallen 
 VPN verbunden heißt nicht:
alles erreichbar.

Route fehlt:
Ziel nicht erreichbar.

Rückroute fehlt:
Antwort kommt nicht zurück.

Genaueste Route gewinnt.

Split Tunnel leitet nur ausgewählten Verkehr.

Full Tunnel leitet alles durch VPN.

VPN-Adresspool muss eindeutig sein.

Heimnetz und Firmennetz dürfen sich nicht überschneiden.

DNS ist bei VPN häufige Fehlerquelle.

IP geht,
Name nicht:
DNS prüfen.

Interner DNS muss über VPN erreichbar sein.

DNS-Suffix kann für kurze Namen nötig sein.

Split DNS trennt interne und externe Namensauflösung.

DNS-Leak bedeutet DNS außerhalb des gewünschten Weges.

IPv6-Leak nicht vergessen.

VPN braucht Firewall-Regeln.

VPN-Zugriff nicht pauschal ins LAN erlauben.

Host-Firewall auf Zielsystem prüfen.

VPN-Gruppe beeinflusst Zugriff.

Netzwerkzugang ist nicht Anwendungsberechtigung.

Cloud-VPN braucht Regeln auf beiden Seiten.

Zertifikate,
Zeit
und Logs bei VPN prüfen.
 
 
 Wichtige Begriffe kurz erklärt 
 
 
 
 Begriff 
 Kurze Erklärung 
 
 
 
 
 VPN-Routing 
 Wege für Netze über VPN 
 
 
 Routingtabelle 
 Tabelle mit Wegen zu Zielnetzen 
 
 
 Standardroute 
 Route für alle nicht genauer bekannten Ziele 
 
 
 spezifische Route 
 genauere Route zu bestimmtem Netz 
 
 
 Split Tunnel 
 nur ausgewählter Verkehr über VPN 
 
 
 Full Tunnel 
 gesamter Verkehr über VPN 
 
 
 VPN-Adresspool 
 IP-Bereich für VPN-Clients 
 
 
 Adresskonflikt 
 gleiche Netze auf beiden Seiten 
 
 
 Rückroute 
 Antwortweg zurück zum VPN-Client 
 
 
 asymmetrisches Routing 
 Hin- und Rückweg unterschiedlich 
 
 
 VPN-DNS 
 DNS-Einstellungen für VPN-Clients 
 
 
 DNS-Suffix 
 Ergänzung für kurze Namen 
 
 
 Split DNS 
 getrennte DNS-Auflösung 
 
 
 DNS-Leak 
 DNS-Anfrage geht falschen Weg 
 
 
 IPv6-Leak 
 IPv6-Verkehr geht außerhalb VPN 
 
 
 VPN-Zone 
 Firewall-Zone für VPN-Verkehr 
 
 
 VPN-Gruppe 
 Gruppe zur Steuerung von VPN-Rechten 
 
 
 Host-Firewall 
 Firewall auf dem Zielsystem 
 
 
 Cloud-VPN 
 Verbindung zu Cloud-Netz 
 
 
 Rückweg 
 Antwortpfad zum Absender 
 
 
 
 
 IHK-sichere Kurzformulierung 
 Ein aufgebauter VPN-Tunnel allein reicht nicht aus, damit interne Ressourcen erreichbar sind. Zusätzlich müssen Routing, DNS, Firewall-Regeln, Rückwege und Berechtigungen stimmen. Der VPN-Client benötigt passende Routen zu den internen Zielnetzen. Bei Split Tunneling wird nur ausgewählter Verkehr durch das VPN geleitet, während bei Full Tunnel der gesamte Verkehr durch den VPN-Tunnel läuft. Der VPN-Adresspool darf sich nicht mit lokalen oder internen Netzen überschneiden, da sonst Routingprobleme entstehen. Für interne Namen müssen interne DNS-Server, DNS-Suffixe oder Split-DNS-Regeln korrekt gesetzt sein. VPN-Zugriffe sollten über eigene Firewall-Zonen, Gruppen und Least-Privilege-Regeln gesteuert werden. 
 
 Merksätze 
 VPN verbunden heißt nicht:
Zugriff funktioniert.

Ohne Route kein Weg.

Ohne Rückroute keine Antwort.

Genaueste Route gewinnt.

Standardroute gilt nur,
wenn nichts Spezifischeres passt.

Split Tunnel leitet ausgewählten Verkehr.

Full Tunnel leitet gesamten Verkehr.

VPN-Adresspool muss eindeutig sein.

Überlappende Netze vermeiden.

Heimnetzkonflikte sind häufig.

Jede Zielroute muss bekannt sein.

NAT im VPN macht Analyse schwieriger.

VPN-DNS ist wichtig für interne Namen.

DNS-Suffix hilft bei Kurznamen.

Split DNS trennt interne und externe Auflösung.

IP geht,
Name nicht:
DNS prüfen.

VPN braucht Firewall-Regeln.

VPN-Zonen schaffen Übersicht.

VPN-Zugriff nach Rollen begrenzen.

Least Privilege gilt auch im VPN.

Netzwerkzugang ist nicht Anwendungsrecht.

Host-Firewall mitprüfen.

Zielsystem muss Dienst bereitstellen.

Rückweg über Gateway prüfen.

Cloud-VPN braucht Regeln beidseitig.

IPv6 bei VPN nicht vergessen.

DNS-Leak bedeutet falscher DNS-Weg.

IPv6-Leak bedeutet falscher IPv6-Weg.

Zertifikate und Zeit können VPN beeinflussen.

VPN-Fehlersuche braucht Tunnel,
Route,
DNS,
Firewall,
Zielsystem
und Logs.

14.5
VPN-Sicherheit, Zugriffskontrolle und typische Risiken 
 Ein VPN stellt einen sicheren Tunnel bereit. 
 Aber: 
 Ein VPN allein macht ein Netzwerk nicht automatisch sicher.
 
 Wichtig sind zusätzlich: 
 - starke Authentifizierung
- klare Berechtigungen
- Firewall-Regeln
- Protokollierung
- Gerätesicherheit
- Rollenmodell
- regelmäßige Prüfung
- Monitoring
- saubere Dokumentation
 
 Merksatz: 
 VPN ist ein Zugang ins Netz.
Deshalb muss dieser Zugang besonders geschützt werden.
 
 
 Warum VPN-Sicherheit wichtig ist 
 Ein VPN-Zugang kann sehr mächtig sein. 
 Wenn ein Angreifer VPN-Zugang erhält,
kann er je nach Konfiguration interne Systeme erreichen. 
 Mögliche Folgen: 
 - Zugriff auf interne Server
- Zugriff auf Dateifreigaben
- Ausbreitung von Malware
- Angriff auf Managementsysteme
- Datenabfluss
- Manipulation interner Dienste
- Umgehung äußerer Schutzmaßnahmen
 
 Merksatz: 
 Ein schlecht abgesicherter VPN-Zugang ist ein großes Risiko.
 
 
 VPN ist kein Freifahrtschein 
 Ein häufiger Fehler ist: 
 Benutzer ist per VPN verbunden.
Also darf er alles im internen Netz erreichen.
 
 Das ist unsicher. 
 Besser: 
 Benutzer bekommt nur Zugriff auf die Systeme,
die er für seine Aufgabe braucht.
 
 Beispiele: 
 Mitarbeiter:
Intranet und Dateiablage

Support:
Ticketsystem und bestimmte Clients

Administrator:
Managementsysteme

Dienstleister:
nur definierter Wartungsserver
 
 Merksatz: 
 VPN verbunden heißt nicht:
Zugriff auf alles erlaubt.
 
 
 Authentifizierung 
 Authentifizierung bedeutet: 
 Wer bist du?
 
 Beim VPN wird geprüft,
ob der Benutzer oder das Gerät wirklich berechtigt ist. 
 Mögliche Faktoren: 
 Benutzername
Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
biometrischer Faktor
 
 Merksatz: 
 Authentifizierung prüft die Identität.
 
 
 Autorisierung 
 Autorisierung bedeutet: 
 Was darfst du?
 
 Nach erfolgreicher Anmeldung entscheidet das System,
welche Ziele,
Dienste
und Anwendungen erlaubt sind. 
 Beispiele: 
 Zugriff auf Servernetz erlaubt?
Zugriff auf Managementnetz erlaubt?
Zugriff auf RDP erlaubt?
Zugriff auf Datenbank verboten?
Zugriff nur auf HTTPS erlaubt?
 
 Merksatz: 
 Authentifizierung ist Anmeldung.
Autorisierung ist Berechtigung.
 
 
 MFA bei VPN 
 MFA steht für: 
 Multi-Faktor-Authentifizierung
 
 Dabei werden mehrere Faktoren kombiniert. 
 Beispiele: 
 Passwort + Authenticator-App

Passwort + Hardwaretoken

Zertifikat + PIN

Smartcard + PIN
 
 Warum wichtig? 
 Passwörter können gestohlen werden.
Phishing kann Zugangsdaten abgreifen.
VPN ist aus dem Internet erreichbar.
VPN-Zugang führt oft in interne Netze.
 
 Merksatz: 
 VPN-Zugänge sollten möglichst mit MFA geschützt werden.
 
 
 MFA ist nicht unfehlbar 
 MFA erhöht die Sicherheit deutlich,
ist aber kein vollständiger Schutz. 
 Risiken bleiben: 
 Phishing
MFA-Push-Fatigue
gestohlene Session-Tokens
unsicheres Endgerät
Social Engineering
schlecht konfigurierte Ausnahmen
fehlende Gerätekontrolle
 
 Merksatz: 
 MFA ist stark,
aber kein Ersatz für weitere Schutzmaßnahmen.
 
 
 MFA-Push-Fatigue 
 MFA-Push-Fatigue bedeutet: 
 Ein Angreifer löst viele MFA-Anfragen aus,
bis der Benutzer genervt oder aus Versehen bestätigt.
 
 Schutz: 
 Number Matching
kurze Hinweise zur Anfrage
Schulung
verdächtige Anfragen melden
Rate Limiting
keine blinde Bestätigung
 
 Merksatz: 
 MFA-Anfragen niemals automatisch bestätigen.
 
 
 Zertifikatsbasierte VPN-Authentifizierung 
 VPN kann Zertifikate verwenden. 
 Dabei kann geprüft werden: 
 Ist das Gerät zugelassen?
Ist der Benutzer zugelassen?
Ist das Zertifikat gültig?
Wurde das Zertifikat widerrufen?
Vertraut der Client dem VPN-Gateway?
 
 Vorteile: 
 stärker als Passwort allein
Gerätebindung möglich
Widerruf einzelner Zertifikate möglich
gut für verwaltete Geräte
 
 Merksatz: 
 Zertifikate können VPN-Zugriffe stärker an Geräte oder Identitäten binden.
 
 
 Clientzertifikat 
 Ein Clientzertifikat liegt auf dem Endgerät oder in einem sicheren Speicher. 
 Es kann beweisen: 
 Dieses Gerät oder dieser Benutzer ist berechtigt,
sich am VPN anzumelden.
 
 Wichtig: 
 privater Schlüssel schützen
Zertifikat nicht kopieren
verlorene Geräte sperren
Zertifikat bei Austritt widerrufen
Ablaufdatum überwachen
 
 Merksatz: 
 Clientzertifikat ist nur sicher,
wenn der private Schlüssel geschützt ist.
 
 
 Serverzertifikat 
 Das Serverzertifikat des VPN-Gateways hilft dem Client zu prüfen: 
 Verbinde ich mich wirklich mit dem richtigen VPN-Server?
 
 Fehler können sein: 
 Zertifikat abgelaufen
Name passt nicht
CA nicht vertrauenswürdig
Zertifikatskette unvollständig
falsches Zertifikat auf Gateway
 
 Merksatz: 
 Serverzertifikat schützt vor Verbindung zur falschen Gegenstelle.
 
 
 Zertifikatswiderruf 
 Wenn ein Zertifikat nicht mehr vertrauenswürdig ist,
muss es widerrufen werden. 
 Gründe: 
 Gerät verloren
privater Schlüssel kompromittiert
Benutzer ausgeschieden
Dienstleisterzugang beendet
Zertifikat falsch ausgestellt
 
 Widerruf kann geprüft werden über: 
 CRL
OCSP
 
 Merksatz: 
 Zertifikate müssen widerrufen werden können.
 
 
 Benutzergruppen 
 VPN-Zugriffe sollten über Gruppen gesteuert werden. 
 Beispiele: 
 VPN-Mitarbeiter

VPN-Support

VPN-Admins

VPN-Dienstleister

VPN-Partner
 
 Vorteil: 
 Regeln bleiben übersichtlich.
Rechte lassen sich zentral verwalten.
Austritte und Rollenwechsel sind einfacher.
Zugriff kann nach Aufgabe getrennt werden.
 
 Merksatz: 
 Gruppen machen VPN-Berechtigungen verwaltbar.
 
 
 Rollenmodell 
 Ein Rollenmodell beschreibt,
welche Rolle welche Zugriffe bekommt. 
 Beispiel: 
 
 
 
 Rolle 
 erlaubter Zugriff 
 
 
 
 
 Mitarbeiter 
 Intranet, Dateiablage 
 
 
 Support 
 Ticketsystem, bestimmte Clients 
 
 
 Administrator 
 Managementnetz, Serververwaltung 
 
 
 Dienstleister 
 definierter Wartungsserver 
 
 
 Partner 
 Extranet-Portal 
 
 
 Cloud-Admin 
 Cloud-Managementzugänge 
 
 
 
 Merksatz: 
 Rollenmodell verhindert pauschale Freigaben.
 
 
 Least Privilege beim VPN 
 Least Privilege bedeutet: 
 nur die Rechte,
die wirklich benötigt werden.
 
 Beim VPN heißt das: 
 keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine gemeinsamen Konten
keine Adminrechte für normale Benutzer
 
 Merksatz: 
 VPN-Zugriff so eng wie möglich,
so weit wie nötig.
 
 
 Need to Know beim VPN 
 Need to Know bedeutet: 
 Zugriff nur auf Informationen oder Systeme,
die für die Aufgabe notwendig sind.
 
 Beispiel: 
 Ein Lieferant braucht Zugriff auf Bestelldaten,
aber nicht auf Personalakten.

Ein Wartungsdienstleister braucht Zugriff auf eine Anlage,
aber nicht auf das gesamte Servernetz.
 
 Merksatz: 
 VPN-Zugriff nach Aufgabe begrenzen,
nicht nach Bequemlichkeit.
 
 
 Zero Trust und VPN 
 Zero Trust bedeutet: 
 kein Zugriff wird automatisch vertraut.
 
 Auch nach VPN-Verbindung wird weiter geprüft: 
 Wer ist der Benutzer?
Welches Gerät wird genutzt?
Ist MFA erfüllt?
Ist das Gerät aktuell?
Welche Anwendung wird aufgerufen?
Welche Rolle hat der Benutzer?
Ist der Zugriff ungewöhnlich?
 
 Merksatz: 
 Zero Trust prüft Zugriff fortlaufend und kontextbezogen.
 
 
 Klassisches VPN und Zero Trust vergleichen 
 
 
 
 Merkmal 
 klassisches VPN 
 Zero-Trust-Zugriff 
 
 
 
 
 Zugriff 
 oft Netzwerkzugriff 
 meist Anwendungszugriff 
 
 
 Prüfung 
 häufig beim Tunnelaufbau 
 kontinuierlicher 
 
 
 Reichweite 
 kann breit sein 
 stärker begrenzt 
 
 
 Risiko 
 laterale Bewegung möglich 
 weniger pauschaler Netzblick 
 
 
 Vorteil 
 bewährt, flexibel 
 feiner steuerbar 
 
 
 
 Merksatz: 
 VPN verbindet oft ins Netz.
Zero Trust gibt gezielt Anwendungen frei.
 
 
 Laterale Bewegung 
 Laterale Bewegung bedeutet: 
 Ein Angreifer bewegt sich nach dem ersten Zugriff weiter im internen Netz.
 
 Beispiel: 
 Angreifer erhält VPN-Zugang.
Danach scannt er interne Server.
Anschließend greift er weitere Systeme an.
 
 Schutz: 
 Segmentierung
Firewall-Regeln
Least Privilege
Monitoring
EDR
getrennte Adminzugänge
keine pauschale VPN-Freigabe
 
 Merksatz: 
 VPN darf keine einfache Bewegung durchs ganze Netz ermöglichen.
 
 
 Netzsegmentierung 
 Netzsegmentierung bedeutet: 
 Das Netzwerk wird in getrennte Bereiche aufgeteilt.
 
 Beispiele: 
 Clientnetz
Servernetz
Managementnetz
DMZ
Gastnetz
IoT-Netz
VPN-Zone
Extranet-Zone
 
 Vorteil: 
 Ein kompromittierter Bereich kann nicht automatisch alles erreichen.
 
 Merksatz: 
 Segmentierung begrenzt Schäden.
 
 
 VPN-Zone 
 Eine VPN-Zone ist eine eigene Sicherheitszone für VPN-Verkehr. 
 Beispiele: 
 VPN-Mitarbeiter-Zone

VPN-Admin-Zone

VPN-Dienstleister-Zone

VPN-Partner-Zone
 
 Dadurch kann man Firewall-Regeln gezielt definieren. 
 Merksatz: 
 VPN-Zonen verhindern,
dass VPN-Verkehr wie normales LAN behandelt wird.
 
 
 Admin-VPN besonders schützen 
 Admin-Zugänge sind besonders kritisch. 
 Admin-VPN sollte streng geschützt werden: 
 separate Admin-Konten
MFA
Zertifikat
Zugriff nur von verwalteten Geräten
keine private Nutzung
Zugriff nur auf Managementnetze
Protokollierung
Alarmierung bei Fehlversuchen
regelmäßige Prüfung
 
 Merksatz: 
 Admin-VPN ist Hochrisiko-Zugang.
 
 
 Dienstleister-VPN besonders begrenzen 
 Externe Dienstleister sollten keinen breiten VPN-Zugriff erhalten. 
 Sicherer ist: 
 eigenes Konto pro Person
keine Sammelkonten
MFA
zeitliche Begrenzung
Zugriff nur auf Zielsystem
Protokollierung
Freigabeprozess
Deaktivierung nach Wartung
regelmäßige Prüfung
 
 Merksatz: 
 Dienstleisterzugang muss eng,
nachvollziehbar
und zeitlich begrenzt sein.
 
 
 Sammelkonten vermeiden 
 Sammelkonten sind gemeinsame Benutzerkonten,
die mehrere Personen nutzen. 
 Problem: 
 keine eindeutige Zuordnung
schwierige Nachvollziehbarkeit
Passwort wird weitergegeben
Sperrung einzelner Personen schwer
Sicherheitsvorfälle schwer aufklärbar
 
 Merksatz: 
 Jeder VPN-Benutzer braucht ein eigenes Konto.
 
 
 Zeitlich begrenzter Zugriff 
 Manche VPN-Zugänge sollten nur für ein Zeitfenster aktiv sein. 
 Beispiele: 
 Wartung am Samstag
Projektzugang für zwei Wochen
externer Support während Störung
temporäre Migration
 
 Nach Ende: 
 Zugriff deaktivieren
Regel entfernen
Konto sperren
Logs prüfen
Dokumentation aktualisieren
 
 Merksatz: 
 Temporärer Zugriff darf nicht dauerhaft bleiben.
 
 
 Offboarding 
 Offboarding bedeutet: 
 Zugriffe bei Austritt oder Rollenwechsel entfernen.
 
 Beim VPN wichtig: 
 Konto deaktivieren
Gruppenmitgliedschaft entfernen
Zertifikate widerrufen
Tokens sperren
Gerätezugriff entziehen
Dienstleisterzugänge prüfen
Dokumentation aktualisieren
 
 Merksatz: 
 Wer nicht mehr berechtigt ist,
darf keinen VPN-Zugang behalten.
 
 
 Gerätesicherheit beim VPN 
 Ein VPN-Client ist ein Einstiegspunkt ins interne Netz. 
 Deshalb sollte das Gerät sicher sein. 
 Wichtige Anforderungen: 
 aktuelles Betriebssystem
aktuelle Sicherheitsupdates
Schutzsoftware
Festplattenverschlüsselung
Bildschirmsperre
kein lokaler Admin für Alltagsnutzer
sichere Konfiguration
MDM oder Gerätemanagement
keine Malware
 
 Merksatz: 
 Unsicheres Gerät plus VPN ist gefährlich.
 
 
 Managed Device 
 Ein Managed Device ist ein verwaltetes Gerät. 
 Das Unternehmen kann Vorgaben prüfen und durchsetzen. 
 Beispiele: 
 Updates
Verschlüsselung
Gerätesperre
Zertifikate
VPN-Profil
Sicherheitsrichtlinien
Softwarestand
Remote Wipe bei Verlust
 
 Merksatz: 
 Verwaltete Geräte sind für VPN-Zugänge besser kontrollierbar.
 
 
 BYOD und VPN 
 BYOD steht für: 
 Bring Your Own Device
 
 Dabei nutzt ein Benutzer ein privates Gerät beruflich. 
 Bei VPN ist das riskant,
wenn das private Gerät nicht kontrolliert wird. 
 Fragen: 
 Ist das Gerät aktuell?
Ist es verschlüsselt?
Ist es kompromittiert?
Gibt es MDM?
Sind Firmen- und Privatdaten getrennt?
Kann Zugriff bei Verlust entzogen werden?
 
 Merksatz: 
 BYOD-VPN braucht klare Regeln und technische Kontrolle.
 
 
 Geräteprüfung vor VPN-Zugang 
 Manche Umgebungen prüfen Geräte vor dem Zugriff. 
 Prüfkriterien: 
 aktueller Patchstand
aktivierte Festplattenverschlüsselung
aktive Schutzsoftware
Gerätezertifikat vorhanden
nicht gerootet oder jailbroken
MDM-konform
sichere Bildschirmperre
 
 Merksatz: 
 Nicht jedes Gerät sollte automatisch VPN-Zugang bekommen.
 
 
 Posture Check 
 Posture Check bedeutet: 
 Der Sicherheitszustand eines Geräts wird geprüft.
 
 Beispiele: 
 Ist Antivirus aktiv?
Ist das Betriebssystem aktuell?
Ist die Festplatte verschlüsselt?
Ist das Gerät verwaltet?
Ist ein Zertifikat vorhanden?
 
 Merksatz: 
 Posture Check prüft,
ob ein Gerät sicher genug für Zugriff ist.
 
 
 VPN und Malware 
 Wenn ein Gerät mit Malware infiziert ist,
kann VPN gefährlich werden. 
 Risiken: 
 Malware erreicht interne Systeme.
Zugangsdaten werden abgegriffen.
interne Server werden gescannt.
Daten werden exfiltriert.
Ransomware breitet sich aus.
 
 Schutz: 
 Endgeräteschutz
EDR
Segmentierung
Least Privilege
Monitoring
keine pauschalen Freigaben
 
 Merksatz: 
 VPN kann Malware einen Weg ins interne Netz geben,
wenn Zugriffe zu breit sind.
 
 
 VPN und Phishing 
 Angreifer versuchen oft,
VPN-Zugangsdaten zu stehlen. 
 Typische Methoden: 
 gefälschte Loginseiten
gefälschte Support-Mails
MFA-Abfragen auslösen
Passwort-Wiederverwendung ausnutzen
Schadsoftware auf Endgerät
 
 Schutz: 
 MFA
Schulung
Passwortmanager
Zertifikate
verdächtige Logins erkennen
klare Meldewege
 
 Merksatz: 
 VPN-Zugangsdaten sind ein attraktives Angriffsziel.
 
 
 VPN und Brute Force 
 Brute Force bedeutet: 
 Angreifer probieren viele Zugangsdaten aus.
 
 Schutzmaßnahmen: 
 MFA
Account Lockout
Rate Limiting
starke Passwörter
keine Standardkonten
Geoblocking bei Bedarf
Monitoring
Alarmierung
 
 Merksatz: 
 VPN-Loginversuche müssen überwacht und begrenzt werden.
 
 
 VPN und Passwort-Wiederverwendung 
 Wenn Benutzer dasselbe Passwort bei mehreren Diensten verwenden,
kann ein fremder Datenabfluss zum VPN-Risiko werden. 
 Beispiel: 
 Passwort aus privatem Dienst wird geleakt.
Angreifer probiert es am VPN-Portal.
Login funktioniert.
 
 Schutz: 
 Passwortmanager
eindeutige Passwörter
MFA
Leak-Erkennung
Schulung
 
 Merksatz: 
 Wiederverwendete Passwörter gefährden VPN-Zugänge.
 
 
 VPN und Logging 
 VPN-Zugriffe sollten protokolliert werden. 
 Wichtige Informationen: 
 Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
Verbindungsdauer
MFA-Ergebnis
zugewiesene Gruppe
Fehlergrund
getrennte Verbindung
Zielzugriffe je nach System
 
 Merksatz: 
 VPN-Logs ermöglichen Nachvollziehbarkeit.
 
 
 VPN und Alarmierung 
 Bestimmte VPN-Ereignisse sollten Alarm auslösen. 
 Beispiele: 
 viele fehlgeschlagene Logins
Login aus ungewöhnlichem Land
Admin-VPN außerhalb Arbeitszeit
neues Gerät
abgelaufenes Zertifikat
Dienstleisterzugang außerhalb Zeitfenster
ungewöhnlich lange Verbindung
ungewöhnlich hoher Datenverkehr
 
 Merksatz: 
 Kritische VPN-Ereignisse sollten nicht unbemerkt bleiben.
 
 
 VPN und Monitoring 
 VPN-Infrastruktur sollte überwacht werden. 
 Wichtige Werte: 
 Tunnelstatus
aktive Benutzer
CPU des Gateways
RAM
Bandbreite
Paketverlust
Latenz
Fehlversuche
Zertifikatsablauf
Lizenzgrenzen
Verbindungsabbrüche
 
 Merksatz: 
 VPN ist kritische Infrastruktur und gehört ins Monitoring.
 
 
 VPN und Protokollierung von Adminaktionen 
 Bei Admin-VPN reicht oft nicht nur der Login. 
 Zusätzlich wichtig: 
 Welche Systeme wurden verwaltet?
Welche Änderungen wurden durchgeführt?
Welche Befehle wurden ausgeführt?
Welche Tickets gehören dazu?
Wer hat die Änderung freigegeben?
 
 Je nach Umgebung werden dafür Bastion Hosts,
Jump Server
oder Session Recording genutzt. 
 Merksatz: 
 Adminzugriffe müssen besonders nachvollziehbar sein.
 
 
 Bastion Host 
 Ein Bastion Host ist ein besonders gehärteter Zwischenserver für administrative Zugriffe. 
 Ablauf: 
 Admin verbindet sich per VPN.
Admin verbindet sich auf Bastion Host.
Von dort geht es zu Zielsystemen.
 
 Vorteile: 
 zentraler Kontrollpunkt
bessere Protokollierung
weniger direkte Zugriffe
klare Zugriffspfade
 
 Merksatz: 
 Bastion Host bündelt und kontrolliert Adminzugriffe.
 
 
 Jump Server 
 Jump Server ist ein ähnlicher Begriff wie Bastion Host. 
 Er dient als Sprungpunkt in geschützte Netze. 
 Beispiele: 
 Zugriff auf Servernetz
Zugriff auf Managementnetz
Zugriff auf OT-Netz
Zugriff auf Cloud-Adminsysteme
 
 Merksatz: 
 Jump Server verhindert direkte Adminzugriffe von beliebigen Clients.
 
 
 VPN und Managementnetz 
 Managementnetze enthalten besonders kritische Systeme. 
 Beispiele: 
 Switch-Verwaltung
Firewall-Verwaltung
Hypervisor
Backup-System
Monitoring
Storage-System
Domain Controller
Admin-Portale
 
 VPN-Zugriff auf Managementnetze sollte nur für berechtigte Admins erlaubt sein. 
 Merksatz: 
 Managementnetz niemals breit per VPN freigeben.
 
 
 VPN und DMZ 
 Ein VPN-Gateway kann in einer DMZ stehen. 
 Grund: 
 Es ist von außen erreichbar.
 
 Nach erfolgreicher Anmeldung wird der Verkehr kontrolliert weitergeleitet. 
 Wichtig: 
 DMZ vom LAN trennen
nur notwendige Regeln
Gateway härten
Logs prüfen
Updates durchführen
Monitoring aktivieren
 
 Merksatz: 
 VPN-Gateway von außen erreichbar,
LAN-Zugriff danach streng regeln.
 
 
 VPN und Patchmanagement 
 VPN-Systeme müssen aktuell gehalten werden. 
 Wichtig: 
 VPN-Gateway patchen
VPN-Client aktualisieren
Betriebssystem aktualisieren
Bibliotheken aktualisieren
alte Protokolle deaktivieren
bekannte Schwachstellen beachten
 
 Merksatz: 
 VPN-Systeme sind internetnah und müssen aktuell bleiben.
 
 
 VPN und Hardening 
 Hardening bedeutet: 
 System sicher konfigurieren und unnötige Angriffsfläche reduzieren.
 
 Beim VPN: 
 nur notwendige Protokolle aktivieren
starke Kryptografie
alte Verfahren deaktivieren
Adminzugänge begrenzen
Logs aktivieren
MFA erzwingen
Standardkonten entfernen
sichere TLS-Konfiguration
regelmäßige Prüfung
 
 Merksatz: 
 Hardening verringert die Angriffsfläche.
 
 
 VPN und Backup der Konfiguration 
 VPN-Konfigurationen sollten gesichert werden. 
 Warum? 
 Wiederherstellung nach Ausfall
Fehlkonfiguration rückgängig machen
Migration
Vergleich nach Änderungen
Disaster Recovery
 
 Wichtig: 
 Backups sicher speichern,
weil sie sensible Informationen enthalten können.
 
 Merksatz: 
 VPN-Konfigurationsbackup sicher aufbewahren.
 
 
 VPN und Änderungsmanagement 
 VPN-Änderungen sollten kontrolliert durchgeführt werden. 
 Beispiele für Änderungen: 
 neue Firewall-Regel
neue VPN-Gruppe
neuer Dienstleisterzugang
Zertifikat erneuern
Protokoll wechseln
Gateway aktualisieren
neue Route hinzufügen
 
 Wichtig: 
 Zweck dokumentieren
Test durchführen
Rollback planen
Verantwortlichen nennen
Ticket oder Änderungsnachweis erfassen
 
 Merksatz: 
 VPN-Änderungen brauchen Dokumentation und Rückweg.
 
 
 Typische VPN-Sicherheitsfehler 
 Häufige Fehler: 
 - VPN ohne MFA
- gemeinsame Konten
- zu breite Firewall-Regeln
- VPN → LAN any allow
- Adminzugriff ohne Trennung
- Dienstleisterzugang dauerhaft aktiv
- alte VPN-Protokolle
- schwache PSKs
- fehlende Logs
- keine Alarmierung
- unsichere Endgeräte
- keine Zertifikatsprüfung
- veraltete VPN-Gateways
- fehlendes Offboarding
 
 Merksatz: 
 Die meisten VPN-Risiken entstehen durch zu breite oder schlecht kontrollierte Zugriffe.
 
 
 Sichere VPN-Grundregeln 
 1. MFA aktivieren.
2. Eigene Konten pro Benutzer nutzen.
3. Keine Sammelkonten verwenden.
4. Rollenmodell erstellen.
5. VPN-Zonen nutzen.
6. Firewall-Regeln eng setzen.
7. Dienstleisterzugriffe zeitlich begrenzen.
8. Adminzugänge trennen.
9. Geräte prüfen.
10. Logs und Monitoring aktivieren.
11. Alte Protokolle deaktivieren.
12. Zertifikate verwalten.
13. Offboarding durchführen.
14. Änderungen dokumentieren.
 
 Merksatz: 
 VPN-Sicherheit entsteht durch Technik,
Prozesse
und klare Rechte.
 
 
 Typische IHK-Fragen 
 In AP1 und AP2 kann zum Beispiel gefragt werden: 
 - Warum ist VPN allein kein vollständiges Sicherheitskonzept?
- Warum sollte VPN mit MFA abgesichert werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Warum sind Sammelkonten problematisch?
- Warum sollte VPN-Zugriff nach Rollen begrenzt werden?
- Was bedeutet Least Privilege beim VPN?
- Warum sind Dienstleisterzugänge besonders kritisch?
- Was ist ein Bastion Host?
- Was ist ein Jump Server?
- Warum ist Gerätesicherheit beim VPN wichtig?
- Was ist ein Posture Check?
- Warum sind VPN-Logs wichtig?
- Welche Ereignisse sollten bei VPN alarmiert werden?
- Warum muss ein VPN-Gateway gepatcht werden?
- Welche typischen VPN-Sicherheitsfehler gibt es?
 
 
 Typische Prüfungsfallen 
 VPN ist nicht automatisch sicher,
nur weil es verschlüsselt.

VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.

VPN ersetzt keine Firewall-Regeln.

VPN ersetzt keine Benutzerrechte.

VPN ohne MFA ist riskant.

Authentifizierung ist nicht Autorisierung.

VPN verbunden heißt nicht:
alles erlaubt.

Sammelkonten sind schlecht nachvollziehbar.

Dienstleisterzugänge zeitlich begrenzen.

Adminzugänge getrennt behandeln.

Managementnetz besonders schützen.

BYOD braucht klare Regeln.

Unsichere Endgeräte sind Risiko.

Zertifikate brauchen Verwaltung und Widerruf.

VPN-Logs sind sicherheitsrelevant.

Monitoring erkennt ungewöhnliche Zugriffe.

Patchmanagement für VPN-Gateways ist kritisch.

Alte VPN-Protokolle vermeiden.

Least Privilege gilt auch im VPN.

Zero Trust kann breiten VPN-Zugriff reduzieren.
 
 
 Wichtige Begriffe kurz erklärt 
 
 
 
 Begriff 
 Kurze Erklärung 
 
 
 
 
 Authentifizierung 
 Identität prüfen 
 
 
 Autorisierung 
 Rechte prüfen 
 
 
 MFA 
 Multi-Faktor-Authentifizierung 
 
 
 Clientzertifikat 
 Zertifikat für Benutzer oder Gerät 
 
 
 Serverzertifikat 
 Zertifikat des VPN-Gateways 
 
 
 Zertifikatswiderruf 
 Zertifikat für ungültig erklären 
 
 
 CRL 
 Zertifikatsperrliste 
 
 
 OCSP 
 Online-Prüfung von Zertifikatsstatus 
 
 
 Benutzergruppe 
 Gruppe zur Rechtevergabe 
 
 
 Rollenmodell 
 Zuordnung von Rollen zu Zugriffsrechten 
 
 
 Least Privilege 
 nur notwendige Rechte 
 
 
 Need to Know 
 Zugriff nur bei Bedarf 
 
 
 Zero Trust 
 kein automatisches Vertrauen 
 
 
 laterale Bewegung 
 Ausbreitung im internen Netz 
 
 
 Segmentierung 
 Trennung von Netzbereichen 
 
 
 VPN-Zone 
 eigene Sicherheitszone für VPN 
 
 
 BYOD 
 private Geräte im Unternehmenseinsatz 
 
 
 Managed Device 
 verwaltetes Gerät 
 
 
 Posture Check 
 Prüfung des Gerätezustands 
 
 
 Bastion Host 
 gehärteter Zwischenserver 
 
 
 Jump Server 
 Sprungserver für Adminzugriffe 
 
 
 Hardening 
 sichere Systemkonfiguration 
 
 
 Offboarding 
 Entfernen nicht mehr nötiger Zugriffe 
 
 
 Sammelkonto 
 gemeinsam genutztes Benutzerkonto 
 
 
 
 
 IHK-sichere Kurzformulierung 
 Ein VPN stellt einen geschützten Tunnel bereit, ist aber allein kein vollständiges Sicherheitskonzept. VPN-Zugriffe müssen durch starke Authentifizierung, möglichst MFA, Zertifikate, Benutzergruppen, Rollenmodelle, Firewall-Regeln, Least Privilege, Gerätesicherheit, Logging und Monitoring abgesichert werden. Authentifizierung prüft die Identität eines Benutzers oder Geräts, während Autorisierung festlegt, welche Ressourcen genutzt werden dürfen. Externe Dienstleister und Administratoren benötigen besonders streng begrenzte und nachvollziehbare Zugänge. Sammelkonten, pauschale LAN-Freigaben, fehlende MFA, veraltete VPN-Protokolle und unsichere Endgeräte sind typische Sicherheitsrisiken. 
 
 Merksätze 
 VPN ist ein Zugang ins Netz.

VPN allein ist kein vollständiges Sicherheitskonzept.

VPN schützt den Tunnel,
nicht automatisch alle Ziele.

Authentifizierung = Wer bist du?

Autorisierung = Was darfst du?

MFA schützt VPN-Zugänge deutlich besser.

MFA ist wichtig,
aber nicht unfehlbar.

Zertifikate binden Zugriff an Identität oder Gerät.

Privater Schlüssel muss geschützt werden.

Zertifikate müssen widerrufen werden können.

Gruppen steuern VPN-Zugriff.

Rollenmodell verhindert Pauschalfreigaben.

Least Privilege gilt auch im VPN.

Need to Know begrenzt Informationszugriff.

Zero Trust vertraut nicht automatisch.

Laterale Bewegung verhindern.

Segmentierung begrenzt Schäden.

VPN-Zonen trennen Zugriffe.

Admin-VPN besonders schützen.

Dienstleister-VPN zeitlich begrenzen.

Sammelkonten vermeiden.

Offboarding konsequent durchführen.

Unsichere Endgeräte sind Risiko.

BYOD braucht klare Regeln.

Posture Check prüft Gerätesicherheit.

Malware auf VPN-Client gefährdet interne Systeme.

VPN-Logins überwachen.

Auffällige VPN-Ereignisse alarmieren.

Bastion Host bündelt Adminzugriffe.

Managementnetz niemals breit freigeben.

VPN-Gateway patchen.

Hardening reduziert Angriffsfläche.

VPN-Änderungen dokumentieren.

14.6
VPN-Fehlersuche in der Praxis 
 VPN-Probleme wirken oft so,
als wäre „das Netzwerk kaputt“. 
 Tatsächlich können VPN-Fehler an vielen Stellen entstehen: 
 - Internetverbindung
- VPN-Client
- VPN-Gateway
- Benutzeranmeldung
- MFA
- Zertifikat
- Routing
- DNS
- Firewall
- NAT
- Zielsystem
- Host-Firewall
- Berechtigungen
- MTU
- Performance
 
 Merksatz: 
 VPN-Fehlersuche ist nie nur Tunnelprüfung.
 
 
 Grundidee der VPN-Fehlersuche 
 Ein VPN-Zugriff besteht aus mehreren Schritten. 
 Vereinfacht: 
 1. Client erreicht VPN-Gateway.
2. Benutzer oder Gerät authentifiziert sich.
3. Tunnel wird aufgebaut.
4. Client erhält VPN-Konfiguration.
5. Routen werden gesetzt.
6. DNS wird gesetzt.
7. Firewall erlaubt Zugriff.
8. Zielsystem antwortet.
9. Anwendung erlaubt Zugriff.
 
 Wenn ein Schritt fehlschlägt,
funktioniert der Zugriff nicht vollständig. 
 Merksatz: 
 VPN funktioniert nur,
wenn alle Schritte der Zugriffskette passen.
 
 
 VPN-Fehlersuche nach Fehlerbild 
 Wichtige erste Frage: 
 Was genau funktioniert nicht?
 
 Typische Fehlerbilder: 
 VPN verbindet gar nicht.

VPN verbindet,
aber interne IPs gehen nicht.

VPN verbindet,
aber interne Namen gehen nicht.

VPN verbindet,
aber nur bestimmte Dienste gehen nicht.

VPN verbindet,
aber Zugriff ist langsam.

VPN verbindet,
aber bricht ab.

VPN funktioniert nur für manche Benutzer.

VPN funktioniert nur aus manchen Netzen.
 
 Merksatz: 
 Das Fehlerbild entscheidet,
wo man zuerst sucht.
 
 
 Fehlerbild 1: VPN verbindet gar nicht 
 Wenn VPN gar nicht verbindet,
liegt der Fehler vor oder während des Tunnelaufbaus. 
 Mögliche Ursachen: 
 falsche VPN-Serveradresse
Internetverbindung gestört
VPN-Gateway nicht erreichbar
Port oder Protokoll blockiert
Benutzername falsch
Passwort falsch
Konto gesperrt
MFA schlägt fehl
Zertifikat ungültig
Clientversion veraltet
Lizenzproblem
VPN-Dienst auf Gateway gestoppt
 
 Merksatz: 
 Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung,
MFA
und Zertifikate prüfen.
 
 
 Prüfung: Ist das VPN-Gateway erreichbar? 
 Vor der VPN-Anmeldung muss der Client das Gateway erreichen. 
 Prüfen: 
 DNS-Name des VPN-Gateways korrekt?
öffentliche IP erreichbar?
richtiger Port offen?
TCP oder UDP korrekt?
Firewall oder Provider blockiert?
Gateway online?
Wartungsfenster aktiv?
Zertifikat gültig?
 
 Typische Fehler: 
 falscher Hostname
alte öffentliche IP
DNS zeigt auf falsches Ziel
Port am Gateway nicht offen
UDP im fremden Netz blockiert
 
 Merksatz: 
 Ohne erreichbares Gateway kein VPN-Tunnel.
 
 
 Prüfung: DNS-Name des VPN-Gateways 
 Viele VPN-Clients verbinden sich zu einem Namen. 
 Beispiel: 
 vpn.firma.de
 
 Wenn dieser Name falsch auflöst,
verbindet sich der Client zum falschen Ziel oder gar nicht. 
 Prüfen: 
 liefert DNS die richtige öffentliche IP?
gibt es alte DNS-Einträge?
ist der DNS-Cache veraltet?
funktioniert Auflösung intern und extern gleich?
wird IPv4 oder IPv6 verwendet?
 
 Merksatz: 
 VPN-Gateway-Namen immer aus Sicht des Clients prüfen.
 
 
 Prüfung: Port und Protokoll 
 Je nach VPN-Protokoll müssen andere Ports oder Protokolle erreichbar sein. 
 Beispiele: 
 
 
 
 VPN-Technik 
 häufig relevant 
 
 
 
 
 IPsec IKE 
 UDP 500 
 
 
 IPsec NAT-T 
 UDP 4500 
 
 
 IPsec ESP 
 IP-Protokoll 50 
 
 
 OpenVPN 
 häufig UDP 1194 oder konfiguriert 
 
 
 WireGuard 
 häufig UDP 51820 
 
 
 TLS-VPN 
 häufig TCP 443 
 
 
 
 Wichtig: 
 UDP und TCP nicht verwechseln.
 
 Merksatz: 
 VPN-Fehlersuche braucht Kenntnis von Port und Protokoll.
 
 
 Fehlerbild 2: Anmeldung schlägt fehl 
 Wenn das Gateway erreichbar ist,
aber die Anmeldung fehlschlägt,
liegt der Fehler eher bei Identität oder Richtlinie. 
 Mögliche Ursachen: 
 Benutzername falsch
Passwort falsch
Konto gesperrt
Konto deaktiviert
Passwort abgelaufen
MFA nicht bestätigt
MFA nicht eingerichtet
Benutzer nicht in VPN-Gruppe
Login nur von verwaltetem Gerät erlaubt
Conditional Access blockiert
Zertifikat fehlt oder ungültig
Zeitabweichung
 
 Merksatz: 
 Anmeldefehler sind meistens Authentifizierung oder Zugriffsrichtlinie.
 
 
 Authentifizierung und Autorisierung trennen 
 Authentifizierung: 
 Wer bist du?
 
 Autorisierung: 
 Was darfst du?
 
 Beispiel: 
 Benutzer meldet sich korrekt an,
ist aber nicht in der VPN-Gruppe.
 
 Dann ist die Identität korrekt,
aber der VPN-Zugriff nicht erlaubt. 
 Merksatz: 
 Erfolgreiche Anmeldung heißt nicht automatisch:
VPN-Zugriff erlaubt.
 
 
 Fehlerbild 3: MFA schlägt fehl 
 Mögliche Ursachen: 
 Benutzer bestätigt nicht
falsches Gerät registriert
Authenticator-App nicht eingerichtet
Uhrzeit falsch
Push-Anfrage kommt nicht an
Benutzer ist gesperrt
Richtlinie verlangt anderen Faktor
Number Matching falsch
Angreifer löst Push-Fatigue aus
 
 Prüfen: 
 MFA-Log
Benutzerstatus
registrierte Faktoren
Uhrzeit
Richtlinie
Fehlermeldung
 
 Merksatz: 
 MFA-Probleme immer mit Authentifizierungslogs prüfen.
 
 
 Fehlerbild 4: Zertifikatsfehler 
 VPN-Zertifikate können auf Client- oder Serverseite Probleme verursachen. 
 Mögliche Ursachen: 
 Serverzertifikat abgelaufen
Clientzertifikat abgelaufen
Zertifikatskette unvollständig
CA nicht vertrauenswürdig
Name passt nicht
Zertifikat widerrufen
privater Schlüssel fehlt
falsches Zertifikat ausgewählt
Systemzeit falsch
 
 Merksatz: 
 Zertifikatsfehler mit Name,
Gültigkeit,
CA,
Schlüssel
und Zeit prüfen.
 
 
 Fehlerbild 5: VPN verbindet, aber interne IPs gehen nicht 
 Wenn VPN verbunden ist,
aber interne IP-Adressen nicht erreichbar sind,
liegt der Fehler meist nach dem Tunnelaufbau. 
 Mögliche Ursachen: 
 Route zum Zielnetz fehlt
Rückroute fehlt
Firewall-Regel fehlt
Zielsystem offline
Host-Firewall blockiert
VPN-Gruppe darf Ziel nicht erreichen
Adresskonflikt mit Heimnetz
NAT falsch
falscher VPN-Adresspool
falsches Zielnetz
 
 Merksatz: 
 VPN verbunden,
aber IP nicht erreichbar:
Route,
Firewall,
Rückweg
und Zielsystem prüfen.
 
 
 Prüfung: VPN-IP erhalten? 
 Ein VPN-Client bekommt häufig eine Adresse aus einem VPN-Adresspool. 
 Beispiel: 
 VPN-IP:
10.8.0.25
 
 Prüfen: 
 Hat der Client eine VPN-IP bekommen?
Liegt sie im richtigen Pool?
Passt der Pool zur Benutzergruppe?
Gibt es doppelte Adressen?
Ist der Pool voll?
Wird die IP in Logs angezeigt?
 
 Merksatz: 
 Ohne korrekte VPN-IP können Regeln und Routen nicht passen.
 
 
 Prüfung: Route zum Zielnetz 
 Der Client braucht eine Route zum internen Zielnetz. 
 Beispiel: 
 Zielnetz:
192.168.20.0/24

Route:
über VPN-Tunnel
 
 Fehlt diese Route,
sendet der Client Pakete nicht durch VPN. 
 Merksatz: 
 Route zum Zielnetz ist Pflicht.
 
 
 Prüfung: Rückroute 
 Das Zielsystem oder dessen Gateway muss wissen,
wie es zum VPN-Client zurückkommt. 
 Beispiel: 
 VPN-Pool:
10.8.0.0/24

Servernetz:
192.168.20.0/24
 
 Das Servernetz braucht einen Rückweg zu: 
 10.8.0.0/24
 
 Merksatz: 
 Ohne Rückroute sieht der Client keine Antwort.
 
 
 Prüfung: Firewall zwischen VPN und Ziel 
 Auf dem Weg können mehrere Firewalls beteiligt sein. 
 Beispiele: 
 VPN-Gateway-Firewall
Core-Firewall
Servernetz-Firewall
Host-Firewall auf dem Zielsystem
 
 Prüfen: 
 Quelle ist VPN-Pool?
Ziel ist korrekt?
Port ist korrekt?
TCP oder UDP korrekt?
Benutzergruppe korrekt?
Richtung korrekt?
Logs zeigen Allow oder Deny?
NAT verändert Quelle oder Ziel?
 
 Merksatz: 
 Alle Filterstellen auf dem Weg prüfen.
 
 
 Prüfung: Host-Firewall 
 Auch wenn das Netz den Zugriff erlaubt,
kann das Zielsystem blockieren. 
 Beispiele: 
 Windows Firewall erlaubt RDP nur aus lokalem Subnetz.

Linux-Firewall erlaubt SSH nur aus Adminnetz.

Dienst erlaubt keine VPN-Quelladressen.
 
 Merksatz: 
 Zielsystem-Firewall ist Teil der VPN-Fehlersuche.
 
 
 Fehlerbild 6: VPN verbindet, aber interne Namen gehen nicht 
 Wenn IP-Adressen funktionieren,
aber Namen nicht,
ist DNS sehr wahrscheinlich betroffen. 
 Mögliche Ursachen: 
 interner DNS wird nicht gesetzt
DNS-Suffix fehlt
Split DNS falsch
DNS-Anfragen gehen lokal raus
DNS-Server über VPN nicht erreichbar
Firewall blockiert UDP/TCP 53
falscher DNS-Record
DNS-Cache veraltet
IPv6-Antwort zeigt falschen Weg
 
 Merksatz: 
 IP geht,
Name nicht:
DNS prüfen.
 
 
 Prüfung: DNS aus Sicht des VPN-Clients 
 Wichtig ist nicht,
was der Administrator auf dem Server sieht. 
 Wichtig ist: 
 Was sieht der VPN-Client?
 
 Prüfen: 
 Welche DNS-Server nutzt der Client?
Welche Suchdomäne ist gesetzt?
Wird Split DNS verwendet?
Welche Antwort liefert DNS?
Wird A oder AAAA genutzt?
Ist der interne DNS erreichbar?
Gibt es DNS-Leaks?
 
 Merksatz: 
 DNS immer dort prüfen,
wo der Fehler auftritt.
 
 
 Fehlerbild 7: Nur bestimmte Dienste gehen nicht 
 Wenn nur ein Dienst nicht funktioniert,
ist der VPN-Tunnel wahrscheinlich grundsätzlich aktiv. 
 Beispiele: 
 Intranet geht,
aber RDP nicht.

DNS geht,
aber SMB nicht.

Ping geht,
aber HTTPS nicht.
 
 Mögliche Ursachen: 
 Port nicht erlaubt
Dienst läuft nicht
Host-Firewall blockiert
Benutzer nicht berechtigt
Anwendung lehnt VPN-Quelle ab
Zertifikat oder TLS-Problem
falscher Port
falsches Protokoll
 
 Merksatz: 
 Ein Dienst betroffen:
Port,
Dienst,
Berechtigung
und Anwendung prüfen.
 
 
 Dienstprüfung über VPN 
 Bei einem einzelnen Dienst prüft man: 
 Zielname korrekt?
Ziel-IP korrekt?
Port korrekt?
TCP oder UDP?
Dienst lauscht?
Firewall erlaubt?
Host-Firewall erlaubt?
Anwendung antwortet?
Benutzer berechtigt?
Logs vorhanden?
 
 Merksatz: 
 Dienstprüfung ist mehr als Ping.
 
 
 Fehlerbild 8: VPN funktioniert nur für manche Benutzer 
 Wenn der Zugriff nur bei bestimmten Benutzern funktioniert,
liegt der Fehler häufig bei Gruppen,
Rollen
oder Profilen. 
 Mögliche Ursachen: 
 falsche VPN-Gruppe
Benutzer nicht berechtigt
andere Routen
andere DNS-Einstellungen
andere Firewall-Regeln
anderes VPN-Profil
MFA-Richtlinie unterschiedlich
Gerätestatus unterschiedlich
Konto gesperrt
Rolle fehlt
 
 Merksatz: 
 Manche Benutzer betroffen:
Gruppen,
Profile
und Rechte vergleichen.
 
 
 Vergleichsmethode bei Benutzerproblemen 
 Vergleiche: 
 funktionierender Benutzer
mit
fehlerhaftem Benutzer
 
 Prüfen: 
 gleiche Gruppe?
gleiches VPN-Profil?
gleiche Routen?
gleiche DNS-Server?
gleiche Firewall-Zone?
gleiche MFA-Richtlinie?
gleiches Endgerät?
gleiche Zielrechte?
 
 Merksatz: 
 Vergleich zeigt,
was beim fehlerhaften Benutzer anders ist.
 
 
 Fehlerbild 9: VPN funktioniert nur aus manchen Netzen 
 Wenn VPN aus einem Heimnetz funktioniert,
aus einem anderen aber nicht,
liegt der Fehler oft außerhalb der Firma. 
 Mögliche Ursachen: 
 lokales Heimnetz überschneidet sich
lokaler Router blockiert VPN
Hotel-WLAN blockiert UDP
Mobilfunk nutzt CGNAT
Provider blockiert Ports
DNS im Fremdnetz fehlerhaft
IPv6 nimmt anderen Weg
restriktives Gastnetz
captive portal aktiv
 
 Merksatz: 
 Fremde Netze können VPN-Protokolle blockieren oder stören.
 
 
 Adresskonflikt mit Heimnetz erkennen 
 Typisches Problem: 
 Heimnetz:
192.168.1.0/24

Firmennetz:
192.168.1.0/24
 
 Symptom: 
 VPN verbunden,
aber Ziel im Firmennetz nicht erreichbar.
 
 Ursache: 
 Client hält Ziel für lokal
und sendet nicht durch den Tunnel.
 
 Merksatz: 
 Gleiche Netze auf beiden Seiten sind ein klassischer VPN-Fehler.
 
 
 Fehlerbild 10: VPN langsam 
 VPN-Langsamkeit kann viele Ursachen haben. 
 Mögliche Ursachen: 
 hohe Latenz
Paketverlust
schlechte WLAN-Verbindung
Full Tunnel überlastet
VPN-Gateway ausgelastet
zentrale Internetleitung ausgelastet
MTU-Problem
TCP-over-TCP
Proxy langsam
schwacher Client
Server langsam
Datenbank langsam
 
 Merksatz: 
 Langsam ist nicht gleich nicht erreichbar.
 
 
 Performance prüfen 
 Bei VPN-Performance prüft man: 
 Latenz
Paketverlust
Bandbreite
Auslastung des Gateways
Auslastung des Clients
WLAN-Qualität
MTU
Tunnelart
Full Tunnel oder Split Tunnel
Zielserver
Anwendung
Tageszeit
 
 Merksatz: 
 VPN-Performance braucht Messwerte,
nicht Bauchgefühl.
 
 
 Fehlerbild 11: VPN bricht ab 
 Mögliche Ursachen: 
 instabile Internetverbindung
WLAN-Roaming
Mobilfunkwechsel
NAT-Timeout
Firewall-Timeout
VPN-Clientfehler
Token läuft ab
Zertifikat läuft ab
Gateway überlastet
Energiesparmodus
MTU-Problem
Keepalive fehlt
 
 Merksatz: 
 VPN-Abbrüche mit Zeitbezug,
Logs
und Verbindungsmessung prüfen.
 
 
 MTU-Probleme bei VPN 
 VPN fügt zusätzliche Header hinzu. 
 Dadurch kann die effektive Paketgröße sinken. 
 Typische Symptome: 
 kleine Webseiten gehen
große Webseiten hängen
Downloads brechen ab
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
große Dateiübertragung bricht ab
 
 Merksatz: 
 Kleine Daten gehen,
große nicht:
MTU prüfen.
 
 
 TCP-over-TCP bei VPN 
 Wenn ein VPN über TCP läuft
und darin TCP-Verkehr transportiert wird,
kann Performance schlechter werden. 
 Besonders bei Paketverlust stören sich die Steuerungsmechanismen. 
 Typisch: 
 langsame Dateiübertragung
stockende Verbindungen
hohe Latenz
Wiederholungen
 
 Merksatz: 
 TCP im TCP-Tunnel kann bremsen.
 
 
 NAT-Timeout 
 Viele Router und Firewalls löschen inaktive NAT-Zuordnungen nach einiger Zeit. 
 Folge: 
 VPN-Verbindung wirkt verbunden,
aber Daten fließen nicht mehr.
 
 Oder: 
 Tunnel bricht ab.
 
 Lösungsideen: 
 Keepalive
passende Timeout-Werte
stabile Verbindung
geeignete VPN-Konfiguration
 
 Merksatz: 
 NAT-Timeout kann VPN-Verbindungen still abbrechen lassen.
 
 
 VPN-Logs richtig auswerten 
 VPN-Logs können zeigen: 
 Verbindungsversuch
Benutzer
Quell-IP
Gateway
Authentifizierung
MFA-Ergebnis
Zertifikatsprüfung
zugewiesene IP
zugewiesene Gruppe
Routen
Trennungsgrund
Fehlercode
Phase-1- oder Phase-2-Fehler bei IPsec
 
 Merksatz: 
 VPN-Logs zeigen,
an welchem Schritt die Verbindung scheitert.
 
 
 Client-Logs 
 VPN-Client-Logs sind wichtig,
weil der Client oft mehr Details zum Fehler sieht. 
 Sie zeigen zum Beispiel: 
 DNS-Auflösung des Gateways
Verbindungsversuch
Zertifikatsfehler
Authentifizierungsfehler
gesetzte Routen
gesetzte DNS-Server
Tunnelstatus
Abbruchgrund
 
 Merksatz: 
 Client-Logs zeigen die Sicht des Endgeräts.
 
 
 Gateway-Logs 
 VPN-Gateway-Logs zeigen die Sicht der Gegenstelle. 
 Sie zeigen zum Beispiel: 
 kommt der Client an?
wird Benutzer erkannt?
schlägt MFA fehl?
wird Zertifikat akzeptiert?
wird eine VPN-IP vergeben?
welche Gruppe wird angewendet?
welche Richtlinie greift?
warum wird Verbindung getrennt?
 
 Merksatz: 
 Gateway-Logs zeigen,
was das VPN-System entschieden hat.
 
 
 Firewall-Logs bei VPN 
 Firewall-Logs helfen nach dem Tunnelaufbau. 
 Sie zeigen: 
 Quelle aus VPN-Pool
Zielsystem
Port
Protokoll
erlaubte Verbindung
blockierte Verbindung
Regelname
Zone
NAT
Rückverkehr
 
 Merksatz: 
 Firewall-Logs zeigen,
ob VPN-Verkehr wirklich erlaubt wird.
 
 
 Paketmitschnitt bei VPN 
 Ein Paketmitschnitt kann helfen,
wenn Logs nicht ausreichen. 
 Mögliche Mitschnittorte: 
 VPN-Client
VPN-Gateway außen
VPN-Gateway innen
interne Firewall
Zielserver
 
 Fragen: 
 sendet der Client?
kommt Verkehr am Gateway an?
verlässt Verkehr das Gateway intern?
kommt Verkehr am Ziel an?
antwortet das Ziel?
kommt Antwort zurück?
 
 Merksatz: 
 Mehrere Mitschnittpunkte zeigen,
wo Pakete verschwinden.
 
 
 VPN-Fehlersuche nach OSI-Modell 
 
 
 
 Schicht 
 VPN-Prüfung 
 
 
 
 
 1 
 Internetverbindung, WLAN, Kabel 
 
 
 2 
 lokales Netz, WLAN, VLAN 
 
 
 3 
 IP, Routing, VPN-Pool, Rückroute 
 
 
 4 
 TCP/UDP, Ports, Firewall 
 
 
 5 
 Session, Tunnelstabilität, Timeout 
 
 
 6 
 TLS, Zertifikate, Verschlüsselung 
 
 
 7 
 Login, MFA, DNS, Anwendung, Rechte 
 
 
 
 Merksatz: 
 Auch VPN-Probleme lassen sich nach OSI eingrenzen.
 
 
 Praktische Prüfreihenfolge 
 Eine gute Reihenfolge: 
 1. Fehlerbild genau aufnehmen.
2. VPN-Art und Protokoll bestimmen.
3. Client-Internet prüfen.
4. VPN-Gateway-Erreichbarkeit prüfen.
5. Authentifizierung und MFA prüfen.
6. Zertifikate prüfen.
7. VPN-IP prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Firewall-Regeln prüfen.
11. Zielsystem und Host-Firewall prüfen.
12. Logs vergleichen.
13. Performance und MTU prüfen.
14. Ergebnis dokumentieren.
 
 Merksatz: 
 Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
 
 
 Checkliste: VPN verbindet nicht 
 Gateway-Name korrekt?
Gateway-IP korrekt?
Internetverbindung vorhanden?
Port und Protokoll erreichbar?
VPN-Gateway online?
Benutzerkonto aktiv?
Passwort korrekt?
MFA erfolgreich?
Zertifikat gültig?
Clientversion passend?
Uhrzeit korrekt?
Logs geprüft?
 
 Merksatz: 
 Bei Verbindungsfehlern vorne in der Kette suchen.
 
 
 Checkliste: VPN verbunden, aber kein Zugriff 
 VPN-IP erhalten?
richtige Gruppe?
Route zum Zielnetz vorhanden?
Rückroute vorhanden?
DNS korrekt?
Firewall erlaubt?
Host-Firewall erlaubt?
Zielsystem online?
Dienst läuft?
Berechtigung vorhanden?
Logs geprüft?
 
 Merksatz: 
 Bei Zugriffproblemen nach dem Tunnel suchen.
 
 
 Checkliste: VPN langsam 
 Latenz gemessen?
Paketverlust gemessen?
Bandbreite geprüft?
WLAN geprüft?
Full Tunnel oder Split Tunnel?
Gateway ausgelastet?
Client ausgelastet?
MTU geprüft?
TCP-over-TCP möglich?
Zielserver langsam?
Anwendung langsam?
Tageszeit oder Lastspitzen?
 
 Merksatz: 
 Langsamkeit mit Messwerten belegen.
 
 
 Checkliste: VPN bricht ab 
 Abbruchzeitpunkt bekannt?
Client-Log geprüft?
Gateway-Log geprüft?
Internetverbindung stabil?
WLAN-Wechsel?
Mobilfunkwechsel?
NAT-Timeout?
Keepalive aktiv?
Zertifikat oder Token abgelaufen?
Gateway überlastet?
Energiesparmodus aktiv?
MTU-Problem möglich?
 
 Merksatz: 
 Abbrüche brauchen Zeitbezug und Logs.
 
 
 Typische Prüfungsfragen 
 In AP1 und AP2 kann zum Beispiel gefragt werden: 
 - Warum reicht ein verbundener VPN-Tunnel nicht aus?
- Welche Schritte prüft man bei VPN-Fehlersuche?
- Warum sind Routen bei VPN wichtig?
- Warum ist der Rückweg wichtig?
- Warum können interne Namen trotz VPN nicht funktionieren?
- Warum ist DNS bei VPN häufig eine Fehlerquelle?
- Warum kann ein Dienst trotz VPN-Verbindung nicht erreichbar sein?
- Warum können unterschiedliche Benutzer unterschiedliche VPN-Rechte haben?
- Warum verursachen gleiche Netze auf beiden Seiten Probleme?
- Was sind typische Ursachen für langsame VPN-Verbindungen?
- Warum können MTU-Probleme bei VPN auftreten?
- Welche Logs sind bei VPN wichtig?
- Wie hilft ein Paketmitschnitt bei VPN-Fehlern?
 
 
 Typische Prüfungsfallen 
 VPN verbunden heißt nicht:
alles funktioniert.

VPN-Status grün heißt nicht:
Routen stimmen.

Login erfolgreich heißt nicht:
Zugriff erlaubt.

Authentifizierung ist nicht Autorisierung.

IP geht,
Name nicht:
DNS prüfen.

Ping geht,
Dienst nicht:
Port und Anwendung prüfen.

Ein Dienst betroffen:
nicht ganzes VPN kaputt.

Manche Benutzer betroffen:
Gruppen und Profile vergleichen.

Manche Heimnetze betroffen:
Adresskonflikt prüfen.

Gleiche Netze auf beiden Seiten sind problematisch.

Route zum Ziel reicht nicht,
Rückroute muss auch stimmen.

Host-Firewall kann blockieren.

DNS-Suffix und Split DNS beachten.

UDP und TCP nicht verwechseln.

MTU bei großen Datenproblemen prüfen.

VPN-Logs und Firewall-Logs gemeinsam auswerten.

Client-Sicht und Gateway-Sicht vergleichen.
 
 
 Wichtige Begriffe kurz erklärt 
 
 
 
 Begriff 
 Kurze Erklärung 
 
 
 
 
 VPN-Fehlersuche 
 systematische Analyse von VPN-Problemen 
 
 
 VPN-Gateway 
 Gegenstelle für VPN-Verbindungen 
 
 
 VPN-Client 
 Endgerät oder Software des Benutzers 
 
 
 VPN-IP 
 Adresse aus dem VPN-Adresspool 
 
 
 VPN-Profil 
 Konfiguration für VPN-Zugriff 
 
 
 VPN-Gruppe 
 Gruppe zur Steuerung von Rechten 
 
 
 Route 
 Weg zu einem Zielnetz 
 
 
 Rückroute 
 Antwortweg zurück zum VPN-Client 
 
 
 Split DNS 
 getrennte DNS-Auflösung 
 
 
 DNS-Leak 
 DNS-Anfragen gehen falschen Weg 
 
 
 Host-Firewall 
 Firewall auf Zielsystem 
 
 
 MTU 
 maximale Paketgröße 
 
 
 NAT-Timeout 
 Ablauf einer NAT-Zuordnung 
 
 
 Keepalive 
 regelmäßiges Paket zum Offenhalten 
 
 
 Client-Log 
 Log aus Sicht des Endgeräts 
 
 
 Gateway-Log 
 Log aus Sicht des VPN-Systems 
 
 
 Firewall-Log 
 Log über erlaubten oder blockierten Verkehr 
 
 
 TCP-over-TCP 
 TCP-Verkehr in TCP-Tunnel 
 
 
 Adresskonflikt 
 gleiche Netze auf beiden Seiten 
 
 
 
 
 IHK-sichere Kurzformulierung 
 Bei der VPN-Fehlersuche muss zuerst das genaue Fehlerbild bestimmt werden. Ein VPN kann bereits beim Verbindungsaufbau, bei der Authentifizierung, bei MFA, bei Zertifikaten, beim Routing, bei DNS, bei Firewall-Regeln, beim Rückweg, beim Zielsystem oder bei Berechtigungen scheitern. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar sind. Der Client benötigt eine gültige VPN-IP, passende Routen, interne DNS-Einstellungen und die nötigen Firewall- und Benutzerrechte. Bei Performanceproblemen sind Latenz, Paketverlust, Bandbreite, MTU, Full Tunnel, Gateway-Auslastung und Client-Verbindung zu prüfen. Logs auf Client, VPN-Gateway, Firewall und Zielsystem helfen, den Fehler einzugrenzen. 
 
 Merksätze 
 VPN-Fehlersuche ist mehr als Tunnelprüfung.

Erst Fehlerbild klären.

VPN-Art bestimmen.

VPN-Protokoll bestimmen.

Gateway muss erreichbar sein.

Port und Protokoll müssen passen.

UDP und TCP nicht verwechseln.

Authentifizierung prüft Identität.

Autorisierung prüft Rechte.

MFA-Logs bei MFA-Problemen prüfen.

Zertifikate mit Name,
CA,
Gültigkeit
und Zeit prüfen.

VPN-IP muss korrekt sein.

Route zum Zielnetz muss vorhanden sein.

Rückroute muss vorhanden sein.

Firewall-Regeln müssen VPN-Quelle erlauben.

Host-Firewall nicht vergessen.

IP geht,
Name nicht:
DNS prüfen.

Interne Namen brauchen internes DNS.

Nur ein Dienst betroffen:
Port,
Dienst
und Rechte prüfen.

Manche Benutzer betroffen:
Gruppen und Profile prüfen.

Manche Heimnetze betroffen:
Adresskonflikt prüfen.

VPN langsam:
Latenz,
Paketverlust,
MTU
und Auslastung prüfen.

VPN bricht ab:
Logs und Zeitbezug prüfen.

Client-Logs zeigen Endgerätesicht.

Gateway-Logs zeigen VPN-Systemsicht.

Firewall-Logs zeigen Zugriffspfad.

Paketmitschnitt zeigt,
wo Pakete verschwinden.

Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.

Neue Seite
Merksätze und Prüfungswissen zu VPN, Intranet und Extranet 
 Diese Seite fasst die wichtigsten Inhalte zu VPN,
Intranet,
Extranet,
VPN-Arten,
VPN-Protokollen,
Routing,
DNS,
Firewall-Regeln,
Sicherheit
und Fehlersuche zusammen. 
 Dieses Kapitel ist besonders prüfungsrelevant,
weil VPN nicht nur Verschlüsselung bedeutet,
sondern auch Routing,
Berechtigungen,
DNS,
Firewall,
Authentifizierung
und Sicherheit betrifft. 
 Merksatz: 
 VPN ist nicht nur ein Tunnel.
VPN ist ein Zugriffskonzept mit Technik,
Regeln
und Sicherheit.
 
 
 Grundbegriffe 
 
 
 
 Begriff 
 Bedeutung 
 
 
 
 
 Internet 
 öffentliches weltweites Netzwerk 
 
 
 Intranet 
 internes Netzwerk oder internes Portal einer Organisation 
 
 
 Extranet 
 kontrollierter Zugriff für externe Berechtigte 
 
 
 VPN 
 geschützter Tunnel über ein fremdes oder unsicheres Netz 
 
 
 
 Merksatz: 
 Internet öffentlich.
Intranet intern.
Extranet kontrolliert extern.
VPN sicherer Tunnel.
 
 
 Intranet 
 Ein Intranet ist ein internes Netzwerk oder internes Informationssystem. 
 Typische Inhalte: 
 internes Wiki
Mitarbeiterportal
Ticketsystem
Zeiterfassung
Dateiablage
interne Anwendungen
interne APIs
Monitoring
interne Dokumentation
 
 Wichtig: 
 Ein Intranet ist nicht automatisch öffentlich erreichbar.
 
 Merksatz: 
 Intranet nutzt oft Webtechnik,
ist aber intern beschränkt.
 
 
 Extranet 
 Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit. 
 Beispiele: 
 Lieferantenportal
Kundenportal
Partnerportal
Dienstleisterzugang
gemeinsamer Projektraum
Wartungszugang
 
 Wichtig: 
 Externe bekommen nur Zugriff auf bestimmte Ressourcen,
nicht auf das ganze interne Netz.
 
 Merksatz: 
 Extranet = ausgewählter externer Zugriff.
 
 
 VPN 
 VPN steht für: 
 Virtual Private Network
 
 Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf. 
 Typische Zwecke: 
 Homeoffice
Standortvernetzung
Fernwartung
Zugriff auf interne Dienste
Cloud-Anbindung
Adminzugriff
Extranet-Zugriff
 
 Merksatz: 
 VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen.
 
 
 VPN-Tunnel 
 Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz. 
 Dabei werden Daten: 
 eingepackt
verschlüsselt
übertragen
am Ziel wieder ausgepackt
 
 Das nennt man: 
 Tunneling
 
 Merksatz: 
 Tunneling bedeutet:
Daten werden in eine geschützte Verbindung eingepackt.
 
 
 VPN schützt nicht automatisch alles 
 Ein VPN schützt vor allem den Übertragungsweg. 
 Es ersetzt nicht: 
 Firewall-Regeln
Benutzerrechte
MFA
Gerätesicherheit
Protokollierung
Segmentierung
Patchmanagement
Anwendungsberechtigungen
 
 Merksatz: 
 VPN schützt den Tunnel,
aber nicht automatisch jedes Zielsystem.
 
 
 Remote-Access-VPN 
 Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen. 
 Typische Beispiele: 
 Homeoffice-Mitarbeiter
Außendienst
Administrator
mobiler Benutzer
Support
Dienstleister
 
 Merksatz: 
 Remote-Access-VPN = Benutzer verbindet sich aus der Ferne.
 
 
 Client-to-Site-VPN 
 Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN. 
 Beispiel: 
 Notebook
→ VPN-Gateway
→ Firmennetz
 
 Merksatz: 
 Client-to-Site verbindet einen einzelnen Client mit einem Netz.
 
 
 Site-to-Site-VPN 
 Site-to-Site-VPN verbindet ganze Netzwerke miteinander. 
 Beispiele: 
 Hauptstandort ↔ Niederlassung
Firma ↔ Rechenzentrum
Firma ↔ Cloud-Netz
Unternehmen ↔ Partnernetz
 
 Merksatz: 
 Site-to-Site-VPN = Netz verbindet sich mit Netz.
 
 
 Remote-Access und Site-to-Site unterscheiden 
 
 
 
 Merkmal 
 Remote-Access-VPN 
 Site-to-Site-VPN 
 
 
 
 
 verbindet 
 einzelner Benutzer 
 ganze Netze 
 
 
 Endpunkte 
 Client und Gateway 
 Gateway und Gateway 
 
 
 typischer Zweck 
 Homeoffice 
 Standortvernetzung 
 
 
 Steuerung 
 Benutzer, Gruppen, Profile 
 Netze, Routen, Firewall 
 
 
 Fehlerquellen 
 Client, MFA, DNS, Routen 
 Phase 1/2, Routing, Netze, Firewall 
 
 
 
 Merksatz: 
 Remote-Access ist benutzerbezogen.
Site-to-Site ist netzbezogen.
 
 
 Weitere VPN-Arten 
 
 
 
 VPN-Art 
 Zweck 
 
 
 
 
 Host-to-Host-VPN 
 zwei einzelne Systeme verbinden 
 
 
 Extranet-VPN 
 externer Partnerzugriff 
 
 
 Cloud-VPN 
 lokales Netz mit Cloud-Netz verbinden 
 
 
 Admin-VPN 
 besonders geschützter Adminzugang 
 
 
 Fernwartungs-VPN 
 zeitlich begrenzter Supportzugang 
 
 
 Always-On-VPN 
 automatisch dauerhaft verbunden 
 
 
 On-Demand-VPN 
 startet bei Bedarf 
 
 
 Per-App-VPN 
 nur bestimmte Apps nutzen VPN 
 
 
 
 Merksatz: 
 VPN-Art richtet sich nach Einsatzzweck.
 
 
 VPN-Protokolle 
 VPN ist ein Oberbegriff. 
 Technische Umsetzungen können sein: 
 IPsec
IKEv2
OpenVPN
WireGuard
TLS-VPN
L2TP/IPsec
 
 Veraltet: 
 PPTP
 
 Merksatz: 
 VPN ist der Zweck.
Protokoll ist die technische Umsetzung.
 
 
 IPsec 
 IPsec steht für: 
 Internet Protocol Security
 
 IPsec schützt IP-Kommunikation. 
 Typische Einsätze: 
 Site-to-Site-VPN
Cloud-VPN
Standortvernetzung
Remote-Access-VPN
 
 IPsec arbeitet nah an Schicht 3,
weil IP-Pakete geschützt werden. 
 Merksatz: 
 IPsec schützt IP-Kommunikation auf Netzwerkebene.
 
 
 IKE und IKEv2 
 IKE steht für: 
 Internet Key Exchange
 
 IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus. 
 IKEv2 ist die modernere Variante. 
 Merksatz: 
 IKE handelt aus,
wie IPsec abgesichert wird.
 
 
 IPsec Phase 1 und Phase 2 
 
 
 
 Phase 
 Bedeutung 
 
 
 
 
 Phase 1 
 sichere Verbindung zwischen VPN-Gegenstellen aufbauen 
 
 
 Phase 2 
 geschützte Netze oder Datenströme festlegen 
 
 
 
 Typische Einordnung: 
 Phase-1-Fehler:
Tunnel kommt oft gar nicht hoch.

Phase-2-Fehler:
Tunnel steht eventuell,
aber Daten fließen nicht richtig.
 
 Merksatz: 
 Phase 1 verbindet Gateways.
Phase 2 schützt Netze.
 
 
 ESP und AH 
 ESP steht für: 
 Encapsulating Security Payload
 
 ESP kann bieten: 
 Verschlüsselung
Integrität
Authentifizierung
 
 AH steht für: 
 Authentication Header
 
 AH bietet Integrität und Authentifizierung,
aber keine Verschlüsselung des Inhalts. 
 Merksatz: 
 ESP schützt Daten.
AH verschlüsselt nicht.
 
 
 Wichtige IPsec-Ports und Protokolle 
 
 
 
 Zweck 
 Port oder Protokoll 
 
 
 
 
 IKE 
 UDP 500 
 
 
 NAT-Traversal 
 UDP 4500 
 
 
 ESP 
 IP-Protokoll 50 
 
 
 AH 
 IP-Protokoll 51 
 
 
 
 Wichtig: 
 ESP und AH sind keine TCP- oder UDP-Ports.
 
 Merksatz: 
 IPsec ist nicht nur ein einzelner Port.
 
 
 OpenVPN 
 OpenVPN ist eine flexible TLS-basierte VPN-Lösung. 
 Eigenschaften: 
 nutzt TLS
kann UDP oder TCP verwenden
kann Zertifikate nutzen
ist flexibel konfigurierbar
wird für Remote-Access und Site-to-Site genutzt
 
 Merksatz: 
 OpenVPN ist flexibel und TLS-basiert.
 
 
 WireGuard 
 WireGuard ist ein modernes,
schlankes VPN-Protokoll. 
 Wichtige Begriffe: 
 Peer
öffentlicher Schlüssel
privater Schlüssel
Allowed IPs
Endpoint
Persistent Keepalive
 
 WireGuard nutzt typischerweise UDP. 
 Merksatz: 
 WireGuard arbeitet mit Peers,
Schlüsseln
und Allowed IPs.
 
 
 Allowed IPs bei WireGuard 
 Allowed IPs bestimmen bei WireGuard: 
 welche Zielnetze über einen Peer gehen
 
 und gleichzeitig: 
 welche Quelladressen von diesem Peer erwartet werden
 
 Merksatz: 
 Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich.
 
 
 TLS-VPN 
 TLS-VPN nutzt TLS als Grundlage. 
 Es wird oft noch SSL-VPN genannt. 
 Typische Eigenschaften: 
 häufig TCP 443
oft firewallfreundlich
häufig für Remote-Access
teilweise portalbasiert
teilweise clientbasiert
 
 Merksatz: 
 SSL-VPN meint in der Praxis meistens TLS-VPN.
 
 
 PPTP 
 PPTP steht für: 
 Point-to-Point Tunneling Protocol
 
 PPTP ist veraltet
und gilt nicht mehr als sicher. 
 Merksatz: 
 PPTP kennen,
aber nicht mehr einsetzen.
 
 
 Split Tunnel 
 Split Tunnel bedeutet: 
 Nur bestimmter Verkehr läuft durch das VPN.
 
 Beispiel: 
 Firmennetze:
durch VPN

normales Internet:
direkt lokal
 
 Vorteile: 
 weniger Last
oft bessere Performance
 
 Nachteile: 
 weniger zentrale Kontrolle
höhere Anforderungen an Sicherheitskonzept
 
 Merksatz: 
 Split Tunnel leitet nur ausgewählten Verkehr durch VPN.
 
 
 Full Tunnel 
 Full Tunnel bedeutet: 
 Der gesamte Clientverkehr läuft durch das VPN.
 
 Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz. 
 Vorteile: 
 zentrale Kontrolle
einheitliche Filterung
zentrale Protokollierung
 
 Nachteile: 
 mehr Last
höhere Latenz
mehr Bandbreitenbedarf
 
 Merksatz: 
 Full Tunnel leitet alles durch VPN.
 
 
 Split Tunnel und Full Tunnel vergleichen 
 
 
 
 Merkmal 
 Split Tunnel 
 Full Tunnel 
 
 
 
 
 Firmennetze 
 über VPN 
 über VPN 
 
 
 Internetverkehr 
 lokal direkt 
 über VPN 
 
 
 VPN-Last 
 geringer 
 höher 
 
 
 zentrale Kontrolle 
 geringer 
 höher 
 
 
 Performance 
 oft besser 
 abhängig von Gateway und Leitung 
 
 
 
 Merksatz: 
 Split Tunnel spart Last.
Full Tunnel erhöht zentrale Kontrolle.
 
 
 VPN-Routing 
 VPN braucht passende Routen. 
 Der Client muss wissen: 
 Welche Netze liegen hinter dem VPN?
 
 Beispiel: 
 Zielnetz:
192.168.10.0/24

Route:
über VPN-Tunnel
 
 Fehlt die Route,
geht Verkehr eventuell ins lokale Netz oder ins Internet. 
 Merksatz: 
 Ohne Route kein Weg durch VPN.
 
 
 Rückroute 
 Nicht nur der Client braucht eine Route zum Ziel. 
 Das Zielnetz braucht auch einen Weg zurück zum VPN-Client. 
 Beispiel: 
 VPN-Pool:
10.8.0.0/24

Servernetz:
192.168.10.0/24
 
 Das Servernetz muss wissen,
wie es zu 10.8.0.0/24 zurückkommt. 
 Merksatz: 
 VPN braucht Hinweg und Rückweg.
 
 
 VPN-Adresspool 
 Der VPN-Adresspool ist der IP-Bereich,
aus dem VPN-Clients ihre VPN-Adresse erhalten. 
 Beispiel: 
 10.8.0.0/24
 
 Ein Client bekommt zum Beispiel: 
 10.8.0.25
 
 Diese Adresse ist wichtig für: 
 Routing
Firewall-Regeln
Logs
Gruppenregeln
Fehlersuche
 
 Merksatz: 
 VPN-Adresspool bestimmt,
aus welchem Netz VPN-Clients kommen.
 
 
 Adresskonflikte 
 Ein häufiger VPN-Fehler: 
 Firmennetz:
192.168.1.0/24

Heimnetz:
192.168.1.0/24
 
 Dann weiß der Client nicht eindeutig,
ob eine Adresse lokal oder über VPN erreichbar ist. 
 Merksatz: 
 Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.
 
 
 VPN-DNS 
 VPN-Benutzer brauchen oft interne Namensauflösung. 
 Beispiele: 
 intranet.firma.local
fileserver.firma.local
dc01.firma.local
wiki.intern
 
 Dafür werden benötigt: 
 interner DNS-Server
DNS-Suffix
Split DNS
Firewall-Regeln für DNS
korrekte DNS-Records
 
 Merksatz: 
 VPN braucht oft internes DNS.
 
 
 Split DNS 
 Split DNS bedeutet: 
 interne Namen werden über interne DNS-Server aufgelöst
 
 und: 
 öffentliche Namen werden normal oder extern aufgelöst
 
 Beispiel: 
 firma.local
→ interner DNS

öffentliche Webseiten
→ normaler DNS
 
 Merksatz: 
 Split DNS trennt interne und externe Namensauflösung.
 
 
 DNS-Leak 
 Ein DNS-Leak bedeutet: 
 DNS-Anfragen gehen unerwartet außerhalb des VPNs.
 
 Mögliche Folgen: 
 interne Namen funktionieren nicht
falsche DNS-Antworten
Provider sieht DNS-Anfragen
Sicherheitsrichtlinien werden umgangen
 
 Merksatz: 
 DNS-Leak = DNS nimmt den falschen Weg.
 
 
 IPv6-Leak 
 Ein IPv6-Leak kann entstehen,
wenn VPN nur IPv4 tunnelt,
aber IPv6 direkt am VPN vorbei ins Internet geht. 
 Wichtig: 
 IPv6 bewusst tunneln
oder
IPv6 bewusst filtern und regeln
 
 Merksatz: 
 IPv6 bei VPN nicht vergessen.
 
 
 VPN-Firewall-Regeln 
 Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben. 
 Firewall-Regeln sollten festlegen: 
 Quelle
Ziel
Port
Protokoll
Richtung
Zone
Benutzergruppe
Zweck
Logging
 
 Merksatz: 
 VPN braucht gezielte Firewall-Regeln.
 
 
 VPN-Zonen 
 VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden. 
 Beispiele: 
 VPN-Mitarbeiter
VPN-Support
VPN-Admin
VPN-Dienstleister
VPN-Partner
Cloud-VPN
 
 Vorteil: 
 Zugriffe können sauber getrennt werden.
 
 Merksatz: 
 VPN-Zonen verhindern pauschale LAN-Freigaben.
 
 
 Least Privilege beim VPN 
 Least Privilege bedeutet: 
 nur die Rechte,
die wirklich nötig sind.
 
 Beim VPN heißt das: 
 keine pauschale LAN-Freigabe
keine unnötigen Ports
keine unnötigen Zielnetze
keine Dauerzugänge für Externe
keine Sammelkonten
 
 Merksatz: 
 VPN-Zugriff so eng wie möglich,
so weit wie nötig.
 
 
 Authentifizierung 
 Authentifizierung beantwortet: 
 Wer bist du?
 
 Beim VPN möglich durch: 
 Benutzername und Passwort
Zertifikat
MFA
Token
Smartcard
Gerätezertifikat
SSO
 
 Merksatz: 
 Authentifizierung prüft Identität.
 
 
 Autorisierung 
 Autorisierung beantwortet: 
 Was darfst du?
 
 Beispiele: 
 Darf Benutzer ins VPN?
Darf Benutzer ins Servernetz?
Darf Benutzer RDP nutzen?
Darf Benutzer auf Dateiablage?
Darf Dienstleister Wartungsserver erreichen?
 
 Merksatz: 
 Autorisierung prüft Berechtigung.
 
 
 Authentifizierung und Autorisierung unterscheiden 
 
 
 
 Begriff 
 Frage 
 Beispiel 
 
 
 
 
 Authentifizierung 
 Wer bist du? 
 Login mit Passwort und MFA 
 
 
 Autorisierung 
 Was darfst du? 
 Zugriff auf bestimmtes Netz erlaubt 
 
 
 
 Merksatz: 
 Anmeldung ist nicht automatisch Berechtigung.
 
 
 MFA bei VPN 
 MFA steht für: 
 Multi-Faktor-Authentifizierung
 
 Warum wichtig? 
 VPN ist oft aus dem Internet erreichbar.
Passwörter können gestohlen werden.
Phishing ist häufig.
VPN-Zugang führt oft zu internen Ressourcen.
 
 Merksatz: 
 VPN-Zugänge sollten mit MFA geschützt werden.
 
 
 Zertifikate bei VPN 
 VPN kann Zertifikate verwenden für: 
 Serverauthentifizierung
Clientauthentifizierung
Gerätezulassung
stärkere Identitätsprüfung
 
 Wichtig: 
 Zertifikate müssen gültig sein,
widerrufen werden können
und zur richtigen CA gehören.
 
 Merksatz: 
 Zertifikate erhöhen Sicherheit,
brauchen aber Verwaltung.
 
 
 Gerätesicherheit 
 Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. 
 Deshalb wichtig: 
 aktuelles Betriebssystem
Updates
Gerätemanagement
Festplattenverschlüsselung
Schutzsoftware
kein kompromittiertes Gerät
sichere Konfiguration
Posture Check
 
 Merksatz: 
 Unsicheres Gerät plus VPN ist ein Risiko.
 
 
 BYOD und VPN 
 BYOD bedeutet: 
 Bring Your Own Device
 
 Private Geräte im VPN sind kritisch,
wenn sie nicht verwaltet werden. 
 Risiken: 
 unklarer Patchstand
keine Kontrolle
Malware
Datenabfluss
fehlende Trennung privat/geschäftlich
 
 Merksatz: 
 BYOD-VPN braucht klare Regeln und technische Kontrolle.
 
 
 Dienstleisterzugang 
 Dienstleisterzugänge müssen besonders eng geregelt werden. 
 Wichtig: 
 eigenes Konto pro Person
keine Sammelkonten
MFA
Zugriff nur auf Zielsystem
zeitliche Begrenzung
Protokollierung
Deaktivierung nach Projektende
 
 Merksatz: 
 Externe niemals pauschal ins interne Netz lassen.
 
 
 Admin-VPN 
 Admin-VPN braucht besonderen Schutz. 
 Wichtig: 
 separate Admin-Konten
MFA
Zertifikate
verwaltete Geräte
Zugriff nur auf Managementnetze
Bastion Host oder Jump Server
Protokollierung
Alarmierung
 
 Merksatz: 
 Admin-VPN ist Hochrisiko-Zugang.
 
 
 Bastion Host und Jump Server 
 Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver. 
 Zweck: 
 Adminzugriffe bündeln
direkte Zugriffe vermeiden
Protokollierung verbessern
Zugriffspfade kontrollieren
 
 Merksatz: 
 Jump Server kontrolliert den Weg zu kritischen Systemen.
 
 
 VPN-Logging 
 VPN-Logs sollten zeigen: 
 Benutzer
Gerät
Quell-IP
Zeitpunkt
VPN-IP
MFA-Ergebnis
Gruppe
Verbindungserfolg
Fehlergrund
Trennungsgrund
Zielzugriffe je nach System
 
 Merksatz: 
 VPN-Zugriffe müssen nachvollziehbar sein.
 
 
 VPN-Monitoring 
 VPN-Infrastruktur sollte überwacht werden. 
 Wichtige Werte: 
 Tunnelstatus
aktive Benutzer
CPU
RAM
Bandbreite
Fehlversuche
Zertifikatsablauf
Latenz
Paketverlust
Gateway-Verfügbarkeit
 
 Merksatz: 
 VPN ist kritische Infrastruktur.
 
 
 VPN-Fehlersuche Grundreihenfolge 
 Sinnvolle Reihenfolge: 
 1. Fehlerbild aufnehmen.
2. VPN-Art bestimmen.
3. VPN-Protokoll bestimmen.
4. Internetverbindung prüfen.
5. VPN-Gateway prüfen.
6. Authentifizierung und MFA prüfen.
7. Zertifikate prüfen.
8. VPN-IP prüfen.
9. Routen prüfen.
10. DNS prüfen.
11. Firewall prüfen.
12. Zielsystem prüfen.
13. Host-Firewall prüfen.
14. Logs prüfen.
15. MTU und Performance prüfen.
 
 Merksatz: 
 Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
 
 
 Typische VPN-Fehlerbilder 
 
 
 
 Fehlerbild 
 wahrscheinliche Richtung 
 
 
 
 
 VPN verbindet nicht 
 Gateway, Port, Login, MFA, Zertifikat 
 
 
 VPN verbunden, IP geht nicht 
 Route, Firewall, Rückweg, Zielsystem 
 
 
 IP geht, Name nicht 
 DNS, Split DNS, DNS-Suffix 
 
 
 nur ein Dienst geht nicht 
 Port, Dienst, Host-Firewall, Rechte 
 
 
 nur manche Benutzer betroffen 
 Gruppen, Profile, Rollen 
 
 
 nur manche Heimnetze betroffen 
 Adresskonflikt, NAT, Provider, IPv6 
 
 
 VPN langsam 
 Latenz, Paketverlust, Bandbreite, MTU 
 
 
 VPN bricht ab 
 NAT-Timeout, WLAN, Keepalive, Token, Gateway 
 
 
 
 Merksatz: 
 Fehlerbild gibt die Richtung der Fehlersuche vor.
 
 
 VPN und MTU 
 VPN fügt zusätzliche Header hinzu. 
 Dadurch kann die nutzbare Paketgröße sinken. 
 Typische Symptome: 
 kleine Daten funktionieren
große Downloads brechen ab
Webseiten laden teilweise
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
 
 Merksatz: 
 Kleine Daten gehen,
große nicht:
MTU prüfen.
 
 
 TCP-over-TCP 
 TCP-over-TCP kann entstehen,
wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert. 
 Problem: 
 zwei TCP-Schichten versuchen gleichzeitig,
Paketverlust und Stau zu regeln.
 
 Folge: 
 schlechtere Performance bei Verlusten oder instabiler Verbindung
 
 Merksatz: 
 TCP im TCP-Tunnel kann bremsen.
 
 
 NAT-Traversal 
 NAT-Traversal hilft VPN-Verbindungen,
durch NAT-Geräte zu funktionieren. 
 Besonders relevant bei: 
 IPsec
Heimnetzen
Mobilfunk
Hotel-WLAN
Provider-NAT
 
 Merksatz: 
 NAT-Traversal hilft VPN durch NAT-Umgebungen.
 
 
 CGNAT 
 CGNAT steht für: 
 Carrier Grade NAT
 
 Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden. 
 Problem: 
 eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich.
 
 Remote-Access vom Client nach außen ist oft weniger problematisch,
wenn das Gateway öffentlich erreichbar ist. 
 Merksatz: 
 CGNAT stört besonders,
wenn das VPN-Gateway von außen erreichbar sein muss.
 
 
 Intranet, Extranet und VPN unterscheiden 
 
 
 
 Aussage 
 richtig? 
 Erklärung 
 
 
 
 
 Intranet ist intern 
 ja 
 internes Netz oder internes Portal 
 
 
 Extranet ist öffentlich 
 nein 
 nur kontrolliert für Externe 
 
 
 Internet ist öffentlich 
 ja 
 grundsätzlich öffentlich erreichbar 
 
 
 VPN ist ein Tunnel 
 ja 
 geschützte Verbindung 
 
 
 VPN ist dasselbe wie Extranet 
 nein 
 Extranet ist Zugriffskonzept, VPN mögliche Technik 
 
 
 VPN ersetzt Firewall 
 nein 
 Firewall-Regeln bleiben nötig 
 
 
 VPN ersetzt Rechte 
 nein 
 Anwendung und Benutzerrechte bleiben nötig 
 
 
 
 Merksatz: 
 Begriffe sauber trennen.
 
 
 Typische IHK-Fragen 
 In AP1 und AP2 kann zum Beispiel gefragt werden: 
 - Was ist ein VPN?
- Wofür steht VPN?
- Was ist ein VPN-Tunnel?
- Was ist ein Intranet?
- Was ist ein Extranet?
- Was ist der Unterschied zwischen Intranet, Extranet und Internet?
- Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN?
- Was ist Split Tunneling?
- Was ist Full Tunnel?
- Warum braucht VPN Routing?
- Warum ist DNS bei VPN wichtig?
- Was ist Split DNS?
- Warum sind überlappende Netze problematisch?
- Warum sollte VPN mit MFA geschützt werden?
- Was ist der Unterschied zwischen Authentifizierung und Autorisierung?
- Was ist IPsec?
- Was ist IKE?
- Was bedeuten Phase 1 und Phase 2 bei IPsec?
- Was ist WireGuard?
- Was sind Allowed IPs?
- Warum ist PPTP veraltet?
- Wie geht man bei VPN-Fehlersuche vor?
 
 
 Typische Prüfungsfallen 
 VPN heißt Virtual Private Network.

VPN ist nicht automatisch ein vollständiges Sicherheitskonzept.

VPN schützt den Tunnel,
aber nicht automatisch alle Zielsysteme.

VPN ersetzt keine Firewall.

VPN ersetzt keine Berechtigungen.

Remote-Access verbindet Benutzer.

Site-to-Site verbindet Netze.

Client-to-Site ist praktisch Remote-Access.

Intranet ist intern.

Extranet ist kontrolliert extern.

Internet ist öffentlich.

Extranet ist nicht dasselbe wie VPN.

Split Tunnel leitet nur ausgewählten Verkehr.

Full Tunnel leitet alles durch VPN.

VPN braucht Routen.

VPN braucht Rückrouten.

VPN braucht oft internes DNS.

IP geht,
Name nicht:
DNS prüfen.

Überlappende Netze vermeiden.

Heimnetzkonflikte sind häufig.

Authentifizierung ist nicht Autorisierung.

MFA ist bei VPN wichtig.

Dienstleisterzugänge zeitlich begrenzen.

Admin-VPN besonders schützen.

PPTP nicht mehr verwenden.

IPsec Phase 1 und Phase 2 unterscheiden.

ESP ist kein TCP- oder UDP-Port.

WireGuard Allowed IPs genau prüfen.

VPN-Logs und Firewall-Logs gemeinsam auswerten.

VPN verbunden heißt nicht:
alles erreichbar.
 
 
 Wichtige Begriffe kurz erklärt 
 
 
 
 Begriff 
 Kurze Erklärung 
 
 
 
 
 Internet 
 öffentliches weltweites Netzwerk 
 
 
 Intranet 
 internes Netz oder internes Portal 
 
 
 Extranet 
 kontrollierter externer Zugriff 
 
 
 VPN 
 Virtual Private Network 
 
 
 VPN-Tunnel 
 geschützte logische Verbindung 
 
 
 Tunneling 
 Daten werden in Tunnelverbindung verpackt 
 
 
 Remote-Access-VPN 
 Benutzer verbindet sich aus der Ferne 
 
 
 Client-to-Site-VPN 
 einzelner Client zum Firmennetz 
 
 
 Site-to-Site-VPN 
 Netz-zu-Netz-Verbindung 
 
 
 VPN-Gateway 
 Gegenstelle für VPN-Verbindung 
 
 
 VPN-Client 
 Software oder Gerät des Benutzers 
 
 
 IPsec 
 Absicherung von IP-Kommunikation 
 
 
 IKE 
 Schlüsselaushandlung bei IPsec 
 
 
 ESP 
 IPsec-Bestandteil für Schutz der Daten 
 
 
 AH 
 IPsec-Bestandteil ohne Inhaltsverschlüsselung 
 
 
 Phase 1 
 sichere Verbindung zwischen Gateways 
 
 
 Phase 2 
 Schutz der eigentlichen Netze 
 
 
 OpenVPN 
 TLS-basierte VPN-Lösung 
 
 
 WireGuard 
 modernes schlankes VPN-Protokoll 
 
 
 Allowed IPs 
 Routing- und Peer-Zuordnung bei WireGuard 
 
 
 TLS-VPN 
 VPN auf TLS-Basis 
 
 
 Split Tunnel 
 ausgewählter Verkehr durch VPN 
 
 
 Full Tunnel 
 gesamter Verkehr durch VPN 
 
 
 VPN-Adresspool 
 IP-Bereich für VPN-Clients 
 
 
 Rückroute 
 Antwortweg zurück zum VPN-Client 
 
 
 Split DNS 
 getrennte interne und externe Namensauflösung 
 
 
 DNS-Leak 
 DNS-Anfragen nehmen falschen Weg 
 
 
 IPv6-Leak 
 IPv6-Verkehr läuft am VPN vorbei 
 
 
 VPN-Zone 
 Firewall-Zone für VPN-Verkehr 
 
 
 MFA 
 Multi-Faktor-Authentifizierung 
 
 
 Least Privilege 
 minimale notwendige Rechte 
 
 
 Bastion Host 
 gehärteter Zwischenserver 
 
 
 Jump Server 
 Sprungserver für Adminzugriffe 
 
 
 MTU 
 maximale Paketgröße 
 
 
 NAT-Traversal 
 VPN durch NAT ermöglichen 
 
 
 CGNAT 
 Provider-NAT für viele Kunden 
 
 
 
 
 IHK-sichere Gesamtformulierung 
 Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance. 
 
 Wichtigste Merksätze 
 VPN = Virtual Private Network.

VPN baut einen geschützten Tunnel.

VPN ist nicht automatisch vollständige Sicherheit.

VPN ersetzt keine Firewall-Regeln.

VPN ersetzt keine Benutzerrechte.

VPN verbunden heißt nicht:
Zugriff erlaubt.

Intranet ist intern.

Extranet ist kontrolliert extern.

Internet ist öffentlich.

Remote-Access verbindet Benutzer.

Site-to-Site verbindet Netze.

Client-to-Site entspricht praktisch Remote-Access.

VPN-Protokoll ist die technische Umsetzung.

IPsec schützt IP-Kommunikation.

IKE handelt Schlüssel aus.

Phase 1 verbindet Gateways.

Phase 2 schützt Netze.

ESP schützt Daten.

AH verschlüsselt nicht.

OpenVPN ist TLS-basiert.

WireGuard nutzt Peers und Allowed IPs.

TLS-VPN wird oft SSL-VPN genannt.

PPTP ist veraltet.

Split Tunnel leitet ausgewählten Verkehr.

Full Tunnel leitet alles.

VPN braucht Route.

VPN braucht Rückroute.

VPN braucht oft internes DNS.

Split DNS trennt Namensauflösung.

Überlappende Netze vermeiden.

Heimnetzkonflikte sind klassisch.

VPN-Zugriff nach Rollen begrenzen.

MFA für VPN nutzen.

Dienstleisterzugänge zeitlich begrenzen.

Admin-VPN besonders schützen.

Unsichere Endgeräte sind Risiko.

VPN-Logs sind wichtig.

Monitoring gehört zu VPN.

MTU bei großen Datenproblemen prüfen.

Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.