# 14.4 **VPN-Routing, DNS und Firewall-Regeln** Ein VPN-Tunnel allein reicht nicht aus, damit interne Dienste erreichbar sind. Zusätzlich müssen passen: - IP-Adressbereiche - Routing - DNS - Firewall-Regeln - NAT-Regeln - Berechtigungen - Rückwege - Client-Konfiguration Merksatz: VPN verbunden heißt nicht automatisch: Ziel erreichbar. --- **Warum Routing bei VPN wichtig ist** Routing entscheidet, über welchen Weg ein Paket geschickt wird. Wenn ein Client per VPN verbunden ist, muss sein System wissen: Welche Ziele liegen im VPN? Welche Ziele liegen im lokalen Netz? Welche Ziele gehen direkt ins Internet? Fehlt eine passende Route, geht der Verkehr nicht durch den VPN-Tunnel. Merksatz: Ohne Route kein Weg durch den Tunnel. --- **VPN-Routing einfach erklärt** Beispiel: VPN-Client: 10.8.0.20 Firmennetz: 192.168.10.0/24 Damit der Client das Firmennetz erreicht, braucht er eine Route: Zielnetz 192.168.10.0/24 über VPN-Tunnel Wenn diese Route fehlt, sendet der Client die Pakete eventuell an sein lokales Gateway. Merksatz: Der Client muss wissen, welche Netze über VPN erreichbar sind. --- **Routingtabelle** Eine Routingtabelle enthält Wege zu Netzwerken. Sie beantwortet: Wohin schicke ich Pakete für dieses Zielnetz? Typische Einträge: Standardroute lokale Netzroute VPN-Route Hostroute spezifische Netzroute Merksatz: Routingtabelle = Wegweiser für IP-Pakete. --- **Standardroute** Die Standardroute wird genutzt, wenn keine spezifischere Route passt. Sie zeigt meist zum lokalen Internetrouter. Beispiel: 0.0.0.0/0 über lokales Gateway Bei Full Tunnel kann die Standardroute über VPN gesetzt werden. Merksatz: Standardroute ist der Weg für alles, was nicht genauer bekannt ist. --- **Spezifischere Route gewinnt** Routing arbeitet nach dem Prinzip: die genaueste passende Route gewinnt. Beispiel: 0.0.0.0/0 über lokales Gateway 192.168.10.0/24 über VPN Wenn Ziel 192.168.10.50 ist, gewinnt die spezifische VPN-Route. Merksatz: Genauere Route gewinnt vor allgemeiner Route. --- **Split Tunnel** Split Tunnel bedeutet: Nur bestimmte Netze gehen durch VPN. Beispiel: Firmennetze: durch VPN normales Internet: direkt lokal Vorteile: weniger Last auf VPN weniger Bandbreitenbedarf in der Firma oft bessere Performance für normale Internetdienste Nachteile: weniger zentrale Kontrolle Sicherheitsrichtlinien schwieriger einheitlich durchsetzbar Merksatz: Split Tunnel leitet nur ausgewählten Verkehr durch VPN. --- **Full Tunnel** Full Tunnel bedeutet: Der gesamte Verkehr läuft durch VPN. Auch Internetverkehr geht zuerst zum Unternehmen. Vorteile: zentrale Kontrolle zentrale Filterung einheitliche Sicherheitsrichtlinien bessere Protokollierung Nachteile: mehr Last höhere Latenz mehr Bandbreite nötig VPN-Gateway wird kritischer Merksatz: Full Tunnel leitet alles durch VPN. --- **Split Tunnel und Full Tunnel vergleichen** | Merkmal | Split Tunnel | Full Tunnel | |---|---|---| | Firmennetze | über VPN | über VPN | | Internetverkehr | direkt lokal | über VPN | | Last auf VPN | geringer | höher | | zentrale Kontrolle | geringer | höher | | Performance | oft besser | abhängig vom VPN | | Sicherheitspolitik | schwieriger | zentraler | Merksatz: Split Tunnel spart Last. Full Tunnel gibt mehr Kontrolle. --- **VPN-Adresspool** Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse bekommen. Beispiel: 10.8.0.0/24 Ein Client erhält dann zum Beispiel: 10.8.0.20 Diese Adresse wird in Firewall-Regeln, Routing und Logs verwendet. Merksatz: VPN-Adresspool bestimmt, aus welchem Netz VPN-Clients kommen. --- **VPN-Adresspool darf sich nicht überschneiden** Der VPN-Adresspool darf sich nicht mit anderen Netzen überschneiden. Problematisch: VPN-Pool: 192.168.1.0/24 Heimnetz des Benutzers: 192.168.1.0/24 Dann ist unklar, ob 192.168.1.50 lokal oder über VPN erreichbar ist. Merksatz: Überlappende Netze verursachen VPN-Routingprobleme. --- **Adresskonflikt mit Heimnetz** Ein sehr häufiger VPN-Fehler: Firmennetz: 192.168.1.0/24 Heimnetz: 192.168.1.0/24 Der Client denkt dann oft: 192.168.1.x ist lokal und sendet Pakete nicht durch den VPN-Tunnel. Folge: interne Systeme sind nicht erreichbar. Merksatz: Häufige Heimnetzbereiche im Firmennetz vermeiden. --- **Typische problematische Heimnetzbereiche** Viele Heimrouter nutzen Standardnetze wie: 192.168.0.0/24 192.168.1.0/24 192.168.2.0/24 192.168.178.0/24 Wenn Unternehmen dieselben Netze intern nutzen, kann VPN-Zugriff aus dem Homeoffice Probleme machen. Merksatz: Für Firmennetze möglichst eindeutige, weniger typische Adressbereiche planen. --- **Route fehlt** Fehlt eine VPN-Route, kann der Tunnel verbunden sein, aber interne Netze sind trotzdem nicht erreichbar. Typisches Fehlerbild: VPN zeigt verbunden. Internet geht. interne IPs gehen nicht. interne Namen gehen nicht. nur VPN-Gateway erreichbar. Mögliche Ursache: Route zu internem Netz wurde nicht verteilt. Merksatz: VPN-Status grün heißt nicht: Routen stimmen. --- **Route zum Zielnetz fehlt** Beispiel: Ziel: 10.20.30.50 Benötigte Route: 10.20.30.0/24 über VPN Wenn nur 192.168.10.0/24 über VPN geroutet wird, ist 10.20.30.50 nicht erreichbar. Merksatz: Jedes gewünschte Zielnetz braucht eine passende Route. --- **Rückroute fehlt** Nicht nur der Client braucht eine Route zum Ziel. Auch das Zielnetz muss wissen, wie es zum VPN-Client zurückkommt. Beispiel: VPN-Client: 10.8.0.20 Server: 192.168.10.50 Der Server oder sein Gateway braucht einen Rückweg zu: 10.8.0.0/24 Merksatz: VPN braucht Hinweg und Rückweg. --- **Asymmetrisches Routing bei VPN** Asymmetrisches Routing bedeutet: Hinweg und Rückweg laufen über unterschiedliche Wege. Bei Firewalls kann das problematisch sein, weil Stateful Firewalls den Verbindungszustand verfolgen. Wenn die Antwort einen anderen Weg nimmt, kann sie blockiert werden. Merksatz: Stateful Firewalls brauchen passenden Hin- und Rückweg. --- **VPN und NAT** Manchmal wird NAT auch bei VPN genutzt. Beispiele: überlappende Netze müssen übersetzt werden VPN-Clients sollen mit bestimmter Quell-IP erscheinen Partnernetz darf interne echte Adressen nicht sehen Cloud-Netz erwartet bestimmte Adressbereiche Aber: NAT macht Fehlersuche komplizierter. Merksatz: NAT im VPN kann helfen, aber erschwert Analyse und Dokumentation. --- **NAT bei überlappenden Netzen** Wenn zwei Seiten dasselbe Netz verwenden, kann NAT eine technische Umgehung sein. Beispiel: Standort A: 192.168.1.0/24 Standort B: 192.168.1.0/24 Eine Seite wird für den Tunnel in ein anderes Netz übersetzt. Aber: Das ist meist komplizierter als saubere IP-Planung. Merksatz: NAT kann Adresskonflikte umgehen, ersetzt aber keine gute Netzplanung. --- **VPN-DNS** VPN-DNS sorgt dafür, dass interne Namen korrekt aufgelöst werden. Beispiele: intranet.firma.local fileserver.firma.local wiki.intern dc01.firma.local Dafür erhält der VPN-Client meist: interne DNS-Server DNS-Suffix Suchdomäne Split-DNS-Regeln Merksatz: VPN braucht oft interne DNS-Konfiguration. --- **DNS-Server über VPN** Der VPN-Client kann interne DNS-Server zugewiesen bekommen. Beispiel: DNS-Server: 192.168.10.10 Damit kann er interne Namen auflösen. Wenn der interne DNS-Server nicht erreichbar ist, funktioniert Namensauflösung trotz VPN nicht. Merksatz: Interner DNS muss über VPN erreichbar und erlaubt sein. --- **DNS-Suffix** Ein DNS-Suffix ergänzt kurze Namen. Beispiel: Benutzer gibt ein: fileserver Mit DNS-Suffix wird daraus: fileserver.firma.local Fehlt das DNS-Suffix, funktionieren kurze interne Namen eventuell nicht. Merksatz: DNS-Suffix hilft bei kurzen internen Namen. --- **Split DNS** Split DNS bedeutet: interne Namen werden über interne DNS-Server aufgelöst externe Namen werden normal oder öffentlich aufgelöst Beispiel: firma.local über VPN-DNS öffentliche Webseiten über normalen DNS Merksatz: Split DNS trennt interne und externe Namensauflösung. --- **Fehlerbild: Interne Namen gehen nicht** Mögliche Ursachen: - interner DNS wird nicht verteilt - DNS-Suffix fehlt - DNS-Anfragen gehen nicht durch VPN - DNS-Server über VPN nicht erreichbar - Firewall blockiert UDP/TCP 53 - Split DNS falsch - falscher DNS-Server antwortet - lokale DNS-Cache-Einträge sind alt Merksatz: VPN-Namensprobleme sind oft DNS- oder Split-DNS-Probleme. --- **Fehlerbild: IP geht, Name nicht** Wenn interne IP-Adresse funktioniert, aber interner Name nicht, liegt der Fehler meist bei DNS. Beispiel: 192.168.10.50 funktioniert. fileserver.firma.local funktioniert nicht. Prüfen: DNS-Server DNS-Suffix DNS-Record Firewall für DNS Split DNS Cache Merksatz: IP geht, Name nicht: DNS prüfen. --- **VPN und Firewall-Regeln** Ein VPN-Tunnel bedeutet nicht automatisch, dass alle Ziele erlaubt sind. Die Firewall muss regeln: Welche VPN-Gruppe darf wohin? Welche Ports sind erlaubt? Welche Protokolle sind erlaubt? Welche Richtung gilt? Welche Zone ist beteiligt? Wird der Zugriff protokolliert? Merksatz: VPN braucht gezielte Firewall-Regeln. --- **VPN-Zone** VPN-Verkehr sollte in eigene Firewall-Zonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Admin VPN-Dienstleister VPN-Partner Site-to-Site-Partner Cloud-VPN Vorteil: Regeln können gezielt und übersichtlich erstellt werden. Merksatz: VPN-Zonen verhindern pauschale Vermischung mit LAN. --- **Regelprinzip für VPN** Nicht gut: VPN → LAN any allow Besser: VPN-Mitarbeiter → Intranet HTTPS erlauben VPN-Support → bestimmte Clients RDP erlauben VPN-Admin → Managementnetz SSH/RDP erlauben VPN-Dienstleister → Wartungsserver erlauben Merksatz: VPN-Zugriff nach Rolle, Ziel und Dienst begrenzen. --- **VPN und Least Privilege** Least Privilege bedeutet: nur notwendige Rechte und Zugriffe erlauben. Bei VPN heißt das: nicht alle Netze nicht alle Ports nicht alle Benutzer nicht dauerhaft nicht ohne Protokollierung Merksatz: VPN-Zugang so eng wie möglich freigeben. --- **VPN und Gruppen** VPN-Zugriffe werden oft über Gruppen gesteuert. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admins VPN-Externe VPN-Cloud-Admins Gruppen steuern: Routen Firewall-Regeln DNS Zugriff auf Anwendungen MFA-Anforderungen Merksatz: Gruppen machen VPN-Zugriff verwaltbar. --- **VPN und Benutzerrechte** VPN-Zugang allein gibt noch keine Anwendungsrechte. Beispiel: Benutzer erreicht Dateiserver per VPN. Trotzdem braucht er: gültige Anmeldung Freigaberecht Dateisystemrecht Gruppenmitgliedschaft Merksatz: Netzwerkzugang ist nicht dasselbe wie Anwendungsberechtigung. --- **VPN und Host-Firewall** Auch wenn die zentrale Firewall Zugriff erlaubt, kann die lokale Firewall des Zielsystems blockieren. Beispiele: Windows Defender Firewall blockiert RDP. Linux-Firewall blockiert SSH. Server erlaubt nur internes LAN, aber nicht VPN-Pool. Merksatz: Zielsystem-Firewall muss VPN-Quellen ebenfalls erlauben. --- **VPN und Serverdienste** Der Zielserver muss auf dem richtigen Port lauschen. Prüfen: Dienst läuft? Dienst lauscht auf richtiger IP? Dienst lauscht auf richtigem Port? Dienst erlaubt VPN-Quellen? Anwendung erlaubt Benutzer? Logs zeigen Fehler? Merksatz: VPN erreicht nur Dienste, die auch wirklich laufen und erreichbar sind. --- **VPN und Rückweg über Gateway** Ein Server antwortet meist über sein Standardgateway. Wenn das Gateway keine Route zum VPN-Adresspool kennt, geht die Antwort falsch. Beispiel: Server will zu 10.8.0.20 antworten. Gateway kennt 10.8.0.0/24 nicht. Folge: Antwort kommt nicht zurück. Merksatz: Zielnetz muss den VPN-Pool zurückrouten können. --- **VPN und interne Firewalls** In größeren Netzen gibt es oft mehrere Firewalls. Beispiel: VPN-Gateway → Core-Firewall → Servernetz-Firewall → Host-Firewall Jede dieser Stellen kann blockieren. Merksatz: Bei VPN-Zugriff alle Filterstellen auf dem Weg prüfen. --- **VPN und VLANs** VPN-Benutzer können Zugriff auf bestimmte VLANs erhalten. Beispiele: Client-VLAN Server-VLAN Management-VLAN DMZ-VLAN Wichtig: VPN-Zugriff auf Management-VLAN besonders stark begrenzen. Merksatz: VLAN-Zugriff über VPN bewusst steuern. --- **VPN und DMZ** VPN-Gateways können in einer DMZ stehen. Warum? Sie sind von außen erreichbar und sollten vom internen LAN getrennt sein. Nach erfolgreichem VPN-Aufbau dürfen Benutzer nur über definierte Regeln weiter ins interne Netz. Merksatz: VPN-Gateway in DMZ, Zugriff ins LAN nur geregelt. --- **VPN und Extranet** Bei Extranet-Zugängen gilt besonders: externe Benutzer nur auf benötigte Systeme keine pauschale LAN-Freigabe eigene Benutzerkonten MFA Ablaufdatum Protokollierung regelmäßige Prüfung Merksatz: Extranet-VPN braucht besonders enge Regeln. --- **VPN und Cloud-Netze** Bei Cloud-VPN müssen beide Seiten passen. Lokale Seite: Routen Firewall NAT DNS Cloud-Seite: Routing Table Security Group Network Security Group Cloud Firewall Subnetze DNS Merksatz: Cloud-VPN braucht Regeln und Routen auf beiden Seiten. --- **VPN und IPv6** VPN kann IPv4, IPv6 oder beides transportieren. Wichtig: Wenn IPv6 aktiv ist, müssen auch IPv6-Routen und IPv6-Firewall-Regeln stimmen. Problem: IPv4 funktioniert über VPN, aber IPv6 nimmt anderen Weg. Merksatz: Dual Stack bedeutet: IPv4 und IPv6 prüfen. --- **VPN-Leak** Ein VPN-Leak bedeutet: Verkehr geht unerwartet außerhalb des VPN-Tunnels. Beispiele: DNS-Leak: DNS-Anfragen gehen an lokalen Provider statt internen DNS. IPv6-Leak: IPv6-Verkehr geht direkt ins Internet statt durch VPN. Split-Tunnel-Fehlkonfiguration: sensible Ziele gehen nicht durch VPN. Merksatz: VPN-Leak bedeutet: Verkehr nimmt unerwartet den falschen Weg. --- **DNS-Leak** Ein DNS-Leak liegt vor, wenn DNS-Anfragen nicht wie vorgesehen über den VPN-DNS laufen. Folgen: interne Namen funktionieren nicht Provider sieht DNS-Anfragen Sicherheitsrichtlinien werden umgangen falsche Antworten werden genutzt Merksatz: DNS-Leak betrifft Namensauflösung außerhalb des gewünschten Weges. --- **IPv6-Leak** Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber der Client weiterhin IPv6 direkt nutzt. Folge: Verkehr kann außerhalb des VPNs laufen. Lösung: IPv6 korrekt tunneln oder IPv6 bewusst regeln Merksatz: IPv6 bei VPN nicht vergessen. --- **VPN und Proxy** Manche Unternehmen kombinieren VPN mit Proxy. Beispiele: Full Tunnel plus Webproxy Split Tunnel plus Cloudproxy Proxy nur für bestimmte Anwendungen PAC-Datei für Browser Fehlerquellen: falsche Proxy-Einstellungen Proxy nicht über VPN erreichbar Authentifizierung am Proxy schlägt fehl falsche Ausnahmen Merksatz: VPN und Proxy müssen zusammenpassen. --- **VPN und Zertifikate** Zertifikate können für VPN wichtig sein. Beispiele: Serverzertifikat des VPN-Gateways Clientzertifikat auf Endgerät Zertifikatskette interne CA Zertifikatswiderruf Ablaufdatum Fehler: Zertifikat abgelaufen Name passt nicht CA nicht vertraut Clientzertifikat fehlt CRL oder OCSP nicht erreichbar Merksatz: VPN-Zertifikate mit Name, Vertrauen, Gültigkeit und Widerruf prüfen. --- **VPN und Zeit** Korrekte Zeit ist wichtig für: Zertifikate Kerberos MFA Tokens Logs Sicherheitsprüfungen Wenn die Uhrzeit stark abweicht, können Anmeldungen oder Zertifikate fehlschlagen. Merksatz: VPN-Fehler können durch falsche Uhrzeit entstehen. --- **VPN-Fehlersuche: Grundreihenfolge** Eine sinnvolle Reihenfolge: 1. VPN-Art bestimmen. 2. VPN-Protokoll bestimmen. 3. Verbindungsstatus prüfen. 4. Authentifizierung prüfen. 5. VPN-IP prüfen. 6. Routen prüfen. 7. DNS prüfen. 8. Firewall-Regeln prüfen. 9. Zielsystem prüfen. 10. Rückweg prüfen. 11. Logs prüfen. 12. MTU und Performance prüfen. Merksatz: VPN-Fehlersuche braucht Tunnel, Route, DNS, Firewall und Zielsystem. --- **Fehlerbild: VPN verbunden, aber Ziel-IP nicht erreichbar** Mögliche Ursachen: - Route fehlt - Firewall blockiert - Zielsystem offline - Rückroute fehlt - Host-Firewall blockiert - VPN-Gruppe darf Ziel nicht erreichen - Adresskonflikt - NAT falsch - falsches Zielnetz Prüfen: VPN-IP Routingtabelle Firewall-Logs Zielsystem Rückweg Merksatz: Ziel-IP nicht erreichbar: Route, Firewall und Rückweg prüfen. --- **Fehlerbild: VPN verbunden, interner Name nicht erreichbar** Mögliche Ursachen: - DNS-Server nicht gesetzt - DNS-Suffix fehlt - Split DNS falsch - DNS-Server nicht erreichbar - Firewall blockiert DNS - falscher Record - Cache veraltet Prüfen: DNS-Server DNS-Antwort DNS-Suffix UDP/TCP 53 Split DNS Merksatz: Interner Name nicht erreichbar: DNS prüfen. --- **Fehlerbild: Nur ein Dienst nicht erreichbar** Mögliche Ursachen: - Port blockiert - Dienst läuft nicht - Host-Firewall blockiert - Benutzer nicht berechtigt - Anwendung lehnt VPN-Quelle ab - falscher Port - falsches Protokoll - Zertifikat oder TLS-Problem Prüfen: Porttest Dienststatus Firewall-Log Serverlog Berechtigungen Merksatz: Ein Dienst betroffen: Port, Dienst und Anwendung prüfen. --- **Fehlerbild: Zugriff geht nur für manche Benutzer** Mögliche Ursachen: - unterschiedliche VPN-Gruppen - unterschiedliche Routen - unterschiedliche Firewall-Regeln - Benutzerrechte fehlen - MFA-Richtlinie unterschiedlich - Clientprofil unterschiedlich - Gerätestatus unterschiedlich - Rolle fehlt Prüfen: Gruppenmitgliedschaft VPN-Profil Routen Rechte Logs Merksatz: Unterschiedliche Benutzer: Gruppen, Rollen und Profile prüfen. --- **Fehlerbild: Zugriff geht nur von manchen Heimnetzen nicht** Mögliche Ursachen: - Adresskonflikt mit Heimnetz - lokaler Router blockiert VPN - restriktives WLAN - Provider blockiert - CGNAT oder NAT-Probleme - IPv6 nimmt anderen Weg - DNS des Heimnetzes stört Merksatz: Manche Heimnetze betroffen: lokale Netze, NAT, DNS und IPv6 prüfen. --- **Fehlerbild: VPN langsam oder instabil** Mögliche Ursachen: - hohe Latenz - Paketverlust - MTU-Problem - WLAN-Probleme - Full Tunnel überlastet - VPN-Gateway ausgelastet - TCP-over-TCP - schwache Clientleistung - Providerproblem - Sicherheitsprüfung oder Proxy langsam Merksatz: VPN-Performance mit Latenz, Paketverlust, MTU und Auslastung prüfen. --- **Checkliste: VPN-Routing** VPN-IP erhalten? Route zum Zielnetz vorhanden? genaueste Route korrekt? Standardroute verändert? Split Tunnel oder Full Tunnel? Zielnetz überschneidet sich? Rückroute vorhanden? mehrere Gateways beteiligt? Routing auf Cloud-Seite korrekt? Routing auf Servernetz-Seite korrekt? Merksatz: VPN-Routing immer auf Client, Gateway und Zielnetz prüfen. --- **Checkliste: VPN-DNS** interner DNS gesetzt? DNS-Suffix gesetzt? Split DNS korrekt? UDP 53 erlaubt? TCP 53 erlaubt? interner DNS über VPN erreichbar? liefert DNS richtige IP? A und AAAA prüfen? Cache geleert oder geprüft? interner und externer DNS verglichen? Merksatz: DNS bei VPN immer aus Sicht des VPN-Clients prüfen. --- **Checkliste: VPN-Firewall** VPN-Zone korrekt? Quelle VPN-Pool korrekt? Benutzergruppe korrekt? Zielnetz korrekt? Zielhost korrekt? Port korrekt? TCP oder UDP korrekt? Richtung korrekt? Host-Firewall korrekt? Rückverkehr erlaubt? Logs zeigen Treffer? Merksatz: Firewall-Regeln für VPN genau wie andere Regeln prüfen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum reicht ein aufgebauter VPN-Tunnel allein nicht aus? - Warum ist Routing bei VPN wichtig? - Was ist ein VPN-Adresspool? - Warum sind überlappende Netze problematisch? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum ist DNS bei VPN wichtig? - Was ist Split DNS? - Was ist ein DNS-Leak? - Was ist ein IPv6-Leak? - Warum braucht VPN Firewall-Regeln? - Warum sollte VPN-Zugriff nach Rollen begrenzt werden? - Warum kann eine Host-Firewall VPN-Zugriffe blockieren? - Warum ist der Rückweg wichtig? - Wie geht man bei VPN-Fehlersuche systematisch vor? --- **Typische Prüfungsfallen** VPN verbunden heißt nicht: alles erreichbar. Route fehlt: Ziel nicht erreichbar. Rückroute fehlt: Antwort kommt nicht zurück. Genaueste Route gewinnt. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN-Adresspool muss eindeutig sein. Heimnetz und Firmennetz dürfen sich nicht überschneiden. DNS ist bei VPN häufige Fehlerquelle. IP geht, Name nicht: DNS prüfen. Interner DNS muss über VPN erreichbar sein. DNS-Suffix kann für kurze Namen nötig sein. Split DNS trennt interne und externe Namensauflösung. DNS-Leak bedeutet DNS außerhalb des gewünschten Weges. IPv6-Leak nicht vergessen. VPN braucht Firewall-Regeln. VPN-Zugriff nicht pauschal ins LAN erlauben. Host-Firewall auf Zielsystem prüfen. VPN-Gruppe beeinflusst Zugriff. Netzwerkzugang ist nicht Anwendungsberechtigung. Cloud-VPN braucht Regeln auf beiden Seiten. Zertifikate, Zeit und Logs bei VPN prüfen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | VPN-Routing | Wege für Netze über VPN | | Routingtabelle | Tabelle mit Wegen zu Zielnetzen | | Standardroute | Route für alle nicht genauer bekannten Ziele | | spezifische Route | genauere Route zu bestimmtem Netz | | Split Tunnel | nur ausgewählter Verkehr über VPN | | Full Tunnel | gesamter Verkehr über VPN | | VPN-Adresspool | IP-Bereich für VPN-Clients | | Adresskonflikt | gleiche Netze auf beiden Seiten | | Rückroute | Antwortweg zurück zum VPN-Client | | asymmetrisches Routing | Hin- und Rückweg unterschiedlich | | VPN-DNS | DNS-Einstellungen für VPN-Clients | | DNS-Suffix | Ergänzung für kurze Namen | | Split DNS | getrennte DNS-Auflösung | | DNS-Leak | DNS-Anfrage geht falschen Weg | | IPv6-Leak | IPv6-Verkehr geht außerhalb VPN | | VPN-Zone | Firewall-Zone für VPN-Verkehr | | VPN-Gruppe | Gruppe zur Steuerung von VPN-Rechten | | Host-Firewall | Firewall auf dem Zielsystem | | Cloud-VPN | Verbindung zu Cloud-Netz | | Rückweg | Antwortpfad zum Absender | --- **IHK-sichere Kurzformulierung** Ein aufgebauter VPN-Tunnel allein reicht nicht aus, damit interne Ressourcen erreichbar sind. Zusätzlich müssen Routing, DNS, Firewall-Regeln, Rückwege und Berechtigungen stimmen. Der VPN-Client benötigt passende Routen zu den internen Zielnetzen. Bei Split Tunneling wird nur ausgewählter Verkehr durch das VPN geleitet, während bei Full Tunnel der gesamte Verkehr durch den VPN-Tunnel läuft. Der VPN-Adresspool darf sich nicht mit lokalen oder internen Netzen überschneiden, da sonst Routingprobleme entstehen. Für interne Namen müssen interne DNS-Server, DNS-Suffixe oder Split-DNS-Regeln korrekt gesetzt sein. VPN-Zugriffe sollten über eigene Firewall-Zonen, Gruppen und Least-Privilege-Regeln gesteuert werden. --- **Merksätze** VPN verbunden heißt nicht: Zugriff funktioniert. Ohne Route kein Weg. Ohne Rückroute keine Antwort. Genaueste Route gewinnt. Standardroute gilt nur, wenn nichts Spezifischeres passt. Split Tunnel leitet ausgewählten Verkehr. Full Tunnel leitet gesamten Verkehr. VPN-Adresspool muss eindeutig sein. Überlappende Netze vermeiden. Heimnetzkonflikte sind häufig. Jede Zielroute muss bekannt sein. NAT im VPN macht Analyse schwieriger. VPN-DNS ist wichtig für interne Namen. DNS-Suffix hilft bei Kurznamen. Split DNS trennt interne und externe Auflösung. IP geht, Name nicht: DNS prüfen. VPN braucht Firewall-Regeln. VPN-Zonen schaffen Übersicht. VPN-Zugriff nach Rollen begrenzen. Least Privilege gilt auch im VPN. Netzwerkzugang ist nicht Anwendungsrecht. Host-Firewall mitprüfen. Zielsystem muss Dienst bereitstellen. Rückweg über Gateway prüfen. Cloud-VPN braucht Regeln beidseitig. IPv6 bei VPN nicht vergessen. DNS-Leak bedeutet falscher DNS-Weg. IPv6-Leak bedeutet falscher IPv6-Weg. Zertifikate und Zeit können VPN beeinflussen. VPN-Fehlersuche braucht Tunnel, Route, DNS, Firewall, Zielsystem und Logs.