14.6
VPN-Fehlersuche in der Praxis
VPN-Probleme wirken oft so, als wäre „das Netzwerk kaputt“.
Tatsächlich können VPN-Fehler an vielen Stellen entstehen:
- Internetverbindung
- VPN-Client
- VPN-Gateway
- Benutzeranmeldung
- MFA
- Zertifikat
- Routing
- DNS
- Firewall
- NAT
- Zielsystem
- Host-Firewall
- Berechtigungen
- MTU
- Performance
Merksatz:
VPN-Fehlersuche ist nie nur Tunnelprüfung.
Grundidee der VPN-Fehlersuche
Ein VPN-Zugriff besteht aus mehreren Schritten.
Vereinfacht:
1. Client erreicht VPN-Gateway.
2. Benutzer oder Gerät authentifiziert sich.
3. Tunnel wird aufgebaut.
4. Client erhält VPN-Konfiguration.
5. Routen werden gesetzt.
6. DNS wird gesetzt.
7. Firewall erlaubt Zugriff.
8. Zielsystem antwortet.
9. Anwendung erlaubt Zugriff.
Wenn ein Schritt fehlschlägt, funktioniert der Zugriff nicht vollständig.
Merksatz:
VPN funktioniert nur,
wenn alle Schritte der Zugriffskette passen.
VPN-Fehlersuche nach Fehlerbild
Wichtige erste Frage:
Was genau funktioniert nicht?
Typische Fehlerbilder:
VPN verbindet gar nicht.
VPN verbindet,
aber interne IPs gehen nicht.
VPN verbindet,
aber interne Namen gehen nicht.
VPN verbindet,
aber nur bestimmte Dienste gehen nicht.
VPN verbindet,
aber Zugriff ist langsam.
VPN verbindet,
aber bricht ab.
VPN funktioniert nur für manche Benutzer.
VPN funktioniert nur aus manchen Netzen.
Merksatz:
Das Fehlerbild entscheidet,
wo man zuerst sucht.
Fehlerbild 1: VPN verbindet gar nicht
Wenn VPN gar nicht verbindet, liegt der Fehler vor oder während des Tunnelaufbaus.
Mögliche Ursachen:
falsche VPN-Serveradresse
Internetverbindung gestört
VPN-Gateway nicht erreichbar
Port oder Protokoll blockiert
Benutzername falsch
Passwort falsch
Konto gesperrt
MFA schlägt fehl
Zertifikat ungültig
Clientversion veraltet
Lizenzproblem
VPN-Dienst auf Gateway gestoppt
Merksatz:
Wenn VPN nicht verbindet,
zuerst Erreichbarkeit,
Anmeldung,
MFA
und Zertifikate prüfen.
Prüfung: Ist das VPN-Gateway erreichbar?
Vor der VPN-Anmeldung muss der Client das Gateway erreichen.
Prüfen:
DNS-Name des VPN-Gateways korrekt?
öffentliche IP erreichbar?
richtiger Port offen?
TCP oder UDP korrekt?
Firewall oder Provider blockiert?
Gateway online?
Wartungsfenster aktiv?
Zertifikat gültig?
Typische Fehler:
falscher Hostname
alte öffentliche IP
DNS zeigt auf falsches Ziel
Port am Gateway nicht offen
UDP im fremden Netz blockiert
Merksatz:
Ohne erreichbares Gateway kein VPN-Tunnel.
Prüfung: DNS-Name des VPN-Gateways
Viele VPN-Clients verbinden sich zu einem Namen.
Beispiel:
vpn.firma.de
Wenn dieser Name falsch auflöst, verbindet sich der Client zum falschen Ziel oder gar nicht.
Prüfen:
liefert DNS die richtige öffentliche IP?
gibt es alte DNS-Einträge?
ist der DNS-Cache veraltet?
funktioniert Auflösung intern und extern gleich?
wird IPv4 oder IPv6 verwendet?
Merksatz:
VPN-Gateway-Namen immer aus Sicht des Clients prüfen.
Prüfung: Port und Protokoll
Je nach VPN-Protokoll müssen andere Ports oder Protokolle erreichbar sein.
Beispiele:
| VPN-Technik | häufig relevant |
|---|---|
| IPsec IKE | UDP 500 |
| IPsec NAT-T | UDP 4500 |
| IPsec ESP | IP-Protokoll 50 |
| OpenVPN | häufig UDP 1194 oder konfiguriert |
| WireGuard | häufig UDP 51820 |
| TLS-VPN | häufig TCP 443 |
Wichtig:
UDP und TCP nicht verwechseln.
Merksatz:
VPN-Fehlersuche braucht Kenntnis von Port und Protokoll.
Fehlerbild 2: Anmeldung schlägt fehl
Wenn das Gateway erreichbar ist, aber die Anmeldung fehlschlägt, liegt der Fehler eher bei Identität oder Richtlinie.
Mögliche Ursachen:
Benutzername falsch
Passwort falsch
Konto gesperrt
Konto deaktiviert
Passwort abgelaufen
MFA nicht bestätigt
MFA nicht eingerichtet
Benutzer nicht in VPN-Gruppe
Login nur von verwaltetem Gerät erlaubt
Conditional Access blockiert
Zertifikat fehlt oder ungültig
Zeitabweichung
Merksatz:
Anmeldefehler sind meistens Authentifizierung oder Zugriffsrichtlinie.
Authentifizierung und Autorisierung trennen
Authentifizierung:
Wer bist du?
Autorisierung:
Was darfst du?
Beispiel:
Benutzer meldet sich korrekt an,
ist aber nicht in der VPN-Gruppe.
Dann ist die Identität korrekt, aber der VPN-Zugriff nicht erlaubt.
Merksatz:
Erfolgreiche Anmeldung heißt nicht automatisch:
VPN-Zugriff erlaubt.
Fehlerbild 3: MFA schlägt fehl
Mögliche Ursachen:
Benutzer bestätigt nicht
falsches Gerät registriert
Authenticator-App nicht eingerichtet
Uhrzeit falsch
Push-Anfrage kommt nicht an
Benutzer ist gesperrt
Richtlinie verlangt anderen Faktor
Number Matching falsch
Angreifer löst Push-Fatigue aus
Prüfen:
MFA-Log
Benutzerstatus
registrierte Faktoren
Uhrzeit
Richtlinie
Fehlermeldung
Merksatz:
MFA-Probleme immer mit Authentifizierungslogs prüfen.
Fehlerbild 4: Zertifikatsfehler
VPN-Zertifikate können auf Client- oder Serverseite Probleme verursachen.
Mögliche Ursachen:
Serverzertifikat abgelaufen
Clientzertifikat abgelaufen
Zertifikatskette unvollständig
CA nicht vertrauenswürdig
Name passt nicht
Zertifikat widerrufen
privater Schlüssel fehlt
falsches Zertifikat ausgewählt
Systemzeit falsch
Merksatz:
Zertifikatsfehler mit Name,
Gültigkeit,
CA,
Schlüssel
und Zeit prüfen.
Fehlerbild 5: VPN verbindet, aber interne IPs gehen nicht
Wenn VPN verbunden ist, aber interne IP-Adressen nicht erreichbar sind, liegt der Fehler meist nach dem Tunnelaufbau.
Mögliche Ursachen:
Route zum Zielnetz fehlt
Rückroute fehlt
Firewall-Regel fehlt
Zielsystem offline
Host-Firewall blockiert
VPN-Gruppe darf Ziel nicht erreichen
Adresskonflikt mit Heimnetz
NAT falsch
falscher VPN-Adresspool
falsches Zielnetz
Merksatz:
VPN verbunden,
aber IP nicht erreichbar:
Route,
Firewall,
Rückweg
und Zielsystem prüfen.
Prüfung: VPN-IP erhalten?
Ein VPN-Client bekommt häufig eine Adresse aus einem VPN-Adresspool.
Beispiel:
VPN-IP:
10.8.0.25
Prüfen:
Hat der Client eine VPN-IP bekommen?
Liegt sie im richtigen Pool?
Passt der Pool zur Benutzergruppe?
Gibt es doppelte Adressen?
Ist der Pool voll?
Wird die IP in Logs angezeigt?
Merksatz:
Ohne korrekte VPN-IP können Regeln und Routen nicht passen.
Prüfung: Route zum Zielnetz
Der Client braucht eine Route zum internen Zielnetz.
Beispiel:
Zielnetz:
192.168.20.0/24
Route:
über VPN-Tunnel
Fehlt diese Route, sendet der Client Pakete nicht durch VPN.
Merksatz:
Route zum Zielnetz ist Pflicht.
Prüfung: Rückroute
Das Zielsystem oder dessen Gateway muss wissen, wie es zum VPN-Client zurückkommt.
Beispiel:
VPN-Pool:
10.8.0.0/24
Servernetz:
192.168.20.0/24
Das Servernetz braucht einen Rückweg zu:
10.8.0.0/24
Merksatz:
Ohne Rückroute sieht der Client keine Antwort.
Prüfung: Firewall zwischen VPN und Ziel
Auf dem Weg können mehrere Firewalls beteiligt sein.
Beispiele:
VPN-Gateway-Firewall
Core-Firewall
Servernetz-Firewall
Host-Firewall auf dem Zielsystem
Prüfen:
Quelle ist VPN-Pool?
Ziel ist korrekt?
Port ist korrekt?
TCP oder UDP korrekt?
Benutzergruppe korrekt?
Richtung korrekt?
Logs zeigen Allow oder Deny?
NAT verändert Quelle oder Ziel?
Merksatz:
Alle Filterstellen auf dem Weg prüfen.
Prüfung: Host-Firewall
Auch wenn das Netz den Zugriff erlaubt, kann das Zielsystem blockieren.
Beispiele:
Windows Firewall erlaubt RDP nur aus lokalem Subnetz.
Linux-Firewall erlaubt SSH nur aus Adminnetz.
Dienst erlaubt keine VPN-Quelladressen.
Merksatz:
Zielsystem-Firewall ist Teil der VPN-Fehlersuche.
Fehlerbild 6: VPN verbindet, aber interne Namen gehen nicht
Wenn IP-Adressen funktionieren, aber Namen nicht, ist DNS sehr wahrscheinlich betroffen.
Mögliche Ursachen:
interner DNS wird nicht gesetzt
DNS-Suffix fehlt
Split DNS falsch
DNS-Anfragen gehen lokal raus
DNS-Server über VPN nicht erreichbar
Firewall blockiert UDP/TCP 53
falscher DNS-Record
DNS-Cache veraltet
IPv6-Antwort zeigt falschen Weg
Merksatz:
IP geht,
Name nicht:
DNS prüfen.
Prüfung: DNS aus Sicht des VPN-Clients
Wichtig ist nicht, was der Administrator auf dem Server sieht.
Wichtig ist:
Was sieht der VPN-Client?
Prüfen:
Welche DNS-Server nutzt der Client?
Welche Suchdomäne ist gesetzt?
Wird Split DNS verwendet?
Welche Antwort liefert DNS?
Wird A oder AAAA genutzt?
Ist der interne DNS erreichbar?
Gibt es DNS-Leaks?
Merksatz:
DNS immer dort prüfen,
wo der Fehler auftritt.
Fehlerbild 7: Nur bestimmte Dienste gehen nicht
Wenn nur ein Dienst nicht funktioniert, ist der VPN-Tunnel wahrscheinlich grundsätzlich aktiv.
Beispiele:
Intranet geht,
aber RDP nicht.
DNS geht,
aber SMB nicht.
Ping geht,
aber HTTPS nicht.
Mögliche Ursachen:
Port nicht erlaubt
Dienst läuft nicht
Host-Firewall blockiert
Benutzer nicht berechtigt
Anwendung lehnt VPN-Quelle ab
Zertifikat oder TLS-Problem
falscher Port
falsches Protokoll
Merksatz:
Ein Dienst betroffen:
Port,
Dienst,
Berechtigung
und Anwendung prüfen.
Dienstprüfung über VPN
Bei einem einzelnen Dienst prüft man:
Zielname korrekt?
Ziel-IP korrekt?
Port korrekt?
TCP oder UDP?
Dienst lauscht?
Firewall erlaubt?
Host-Firewall erlaubt?
Anwendung antwortet?
Benutzer berechtigt?
Logs vorhanden?
Merksatz:
Dienstprüfung ist mehr als Ping.
Fehlerbild 8: VPN funktioniert nur für manche Benutzer
Wenn der Zugriff nur bei bestimmten Benutzern funktioniert, liegt der Fehler häufig bei Gruppen, Rollen oder Profilen.
Mögliche Ursachen:
falsche VPN-Gruppe
Benutzer nicht berechtigt
andere Routen
andere DNS-Einstellungen
andere Firewall-Regeln
anderes VPN-Profil
MFA-Richtlinie unterschiedlich
Gerätestatus unterschiedlich
Konto gesperrt
Rolle fehlt
Merksatz:
Manche Benutzer betroffen:
Gruppen,
Profile
und Rechte vergleichen.
Vergleichsmethode bei Benutzerproblemen
Vergleiche:
funktionierender Benutzer
mit
fehlerhaftem Benutzer
Prüfen:
gleiche Gruppe?
gleiches VPN-Profil?
gleiche Routen?
gleiche DNS-Server?
gleiche Firewall-Zone?
gleiche MFA-Richtlinie?
gleiches Endgerät?
gleiche Zielrechte?
Merksatz:
Vergleich zeigt,
was beim fehlerhaften Benutzer anders ist.
Fehlerbild 9: VPN funktioniert nur aus manchen Netzen
Wenn VPN aus einem Heimnetz funktioniert, aus einem anderen aber nicht, liegt der Fehler oft außerhalb der Firma.
Mögliche Ursachen:
lokales Heimnetz überschneidet sich
lokaler Router blockiert VPN
Hotel-WLAN blockiert UDP
Mobilfunk nutzt CGNAT
Provider blockiert Ports
DNS im Fremdnetz fehlerhaft
IPv6 nimmt anderen Weg
restriktives Gastnetz
captive portal aktiv
Merksatz:
Fremde Netze können VPN-Protokolle blockieren oder stören.
Adresskonflikt mit Heimnetz erkennen
Typisches Problem:
Heimnetz:
192.168.1.0/24
Firmennetz:
192.168.1.0/24
Symptom:
VPN verbunden,
aber Ziel im Firmennetz nicht erreichbar.
Ursache:
Client hält Ziel für lokal
und sendet nicht durch den Tunnel.
Merksatz:
Gleiche Netze auf beiden Seiten sind ein klassischer VPN-Fehler.
Fehlerbild 10: VPN langsam
VPN-Langsamkeit kann viele Ursachen haben.
Mögliche Ursachen:
hohe Latenz
Paketverlust
schlechte WLAN-Verbindung
Full Tunnel überlastet
VPN-Gateway ausgelastet
zentrale Internetleitung ausgelastet
MTU-Problem
TCP-over-TCP
Proxy langsam
schwacher Client
Server langsam
Datenbank langsam
Merksatz:
Langsam ist nicht gleich nicht erreichbar.
Performance prüfen
Bei VPN-Performance prüft man:
Latenz
Paketverlust
Bandbreite
Auslastung des Gateways
Auslastung des Clients
WLAN-Qualität
MTU
Tunnelart
Full Tunnel oder Split Tunnel
Zielserver
Anwendung
Tageszeit
Merksatz:
VPN-Performance braucht Messwerte,
nicht Bauchgefühl.
Fehlerbild 11: VPN bricht ab
Mögliche Ursachen:
instabile Internetverbindung
WLAN-Roaming
Mobilfunkwechsel
NAT-Timeout
Firewall-Timeout
VPN-Clientfehler
Token läuft ab
Zertifikat läuft ab
Gateway überlastet
Energiesparmodus
MTU-Problem
Keepalive fehlt
Merksatz:
VPN-Abbrüche mit Zeitbezug,
Logs
und Verbindungsmessung prüfen.
MTU-Probleme bei VPN
VPN fügt zusätzliche Header hinzu.
Dadurch kann die effektive Paketgröße sinken.
Typische Symptome:
kleine Webseiten gehen
große Webseiten hängen
Downloads brechen ab
VPN wirkt instabil
RDP friert ein
SSH hängt bei viel Ausgabe
große Dateiübertragung bricht ab
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
TCP-over-TCP bei VPN
Wenn ein VPN über TCP läuft und darin TCP-Verkehr transportiert wird, kann Performance schlechter werden.
Besonders bei Paketverlust stören sich die Steuerungsmechanismen.
Typisch:
langsame Dateiübertragung
stockende Verbindungen
hohe Latenz
Wiederholungen
Merksatz:
TCP im TCP-Tunnel kann bremsen.
NAT-Timeout
Viele Router und Firewalls löschen inaktive NAT-Zuordnungen nach einiger Zeit.
Folge:
VPN-Verbindung wirkt verbunden,
aber Daten fließen nicht mehr.
Oder:
Tunnel bricht ab.
Lösungsideen:
Keepalive
passende Timeout-Werte
stabile Verbindung
geeignete VPN-Konfiguration
Merksatz:
NAT-Timeout kann VPN-Verbindungen still abbrechen lassen.
VPN-Logs richtig auswerten
VPN-Logs können zeigen:
Verbindungsversuch
Benutzer
Quell-IP
Gateway
Authentifizierung
MFA-Ergebnis
Zertifikatsprüfung
zugewiesene IP
zugewiesene Gruppe
Routen
Trennungsgrund
Fehlercode
Phase-1- oder Phase-2-Fehler bei IPsec
Merksatz:
VPN-Logs zeigen,
an welchem Schritt die Verbindung scheitert.
Client-Logs
VPN-Client-Logs sind wichtig, weil der Client oft mehr Details zum Fehler sieht.
Sie zeigen zum Beispiel:
DNS-Auflösung des Gateways
Verbindungsversuch
Zertifikatsfehler
Authentifizierungsfehler
gesetzte Routen
gesetzte DNS-Server
Tunnelstatus
Abbruchgrund
Merksatz:
Client-Logs zeigen die Sicht des Endgeräts.
Gateway-Logs
VPN-Gateway-Logs zeigen die Sicht der Gegenstelle.
Sie zeigen zum Beispiel:
kommt der Client an?
wird Benutzer erkannt?
schlägt MFA fehl?
wird Zertifikat akzeptiert?
wird eine VPN-IP vergeben?
welche Gruppe wird angewendet?
welche Richtlinie greift?
warum wird Verbindung getrennt?
Merksatz:
Gateway-Logs zeigen,
was das VPN-System entschieden hat.
Firewall-Logs bei VPN
Firewall-Logs helfen nach dem Tunnelaufbau.
Sie zeigen:
Quelle aus VPN-Pool
Zielsystem
Port
Protokoll
erlaubte Verbindung
blockierte Verbindung
Regelname
Zone
NAT
Rückverkehr
Merksatz:
Firewall-Logs zeigen,
ob VPN-Verkehr wirklich erlaubt wird.
Paketmitschnitt bei VPN
Ein Paketmitschnitt kann helfen, wenn Logs nicht ausreichen.
Mögliche Mitschnittorte:
VPN-Client
VPN-Gateway außen
VPN-Gateway innen
interne Firewall
Zielserver
Fragen:
sendet der Client?
kommt Verkehr am Gateway an?
verlässt Verkehr das Gateway intern?
kommt Verkehr am Ziel an?
antwortet das Ziel?
kommt Antwort zurück?
Merksatz:
Mehrere Mitschnittpunkte zeigen,
wo Pakete verschwinden.
VPN-Fehlersuche nach OSI-Modell
| Schicht | VPN-Prüfung |
|---|---|
| 1 | Internetverbindung, WLAN, Kabel |
| 2 | lokales Netz, WLAN, VLAN |
| 3 | IP, Routing, VPN-Pool, Rückroute |
| 4 | TCP/UDP, Ports, Firewall |
| 5 | Session, Tunnelstabilität, Timeout |
| 6 | TLS, Zertifikate, Verschlüsselung |
| 7 | Login, MFA, DNS, Anwendung, Rechte |
Merksatz:
Auch VPN-Probleme lassen sich nach OSI eingrenzen.
Praktische Prüfreihenfolge
Eine gute Reihenfolge:
1. Fehlerbild genau aufnehmen.
2. VPN-Art und Protokoll bestimmen.
3. Client-Internet prüfen.
4. VPN-Gateway-Erreichbarkeit prüfen.
5. Authentifizierung und MFA prüfen.
6. Zertifikate prüfen.
7. VPN-IP prüfen.
8. Routen prüfen.
9. DNS prüfen.
10. Firewall-Regeln prüfen.
11. Zielsystem und Host-Firewall prüfen.
12. Logs vergleichen.
13. Performance und MTU prüfen.
14. Ergebnis dokumentieren.
Merksatz:
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.
Checkliste: VPN verbindet nicht
Gateway-Name korrekt?
Gateway-IP korrekt?
Internetverbindung vorhanden?
Port und Protokoll erreichbar?
VPN-Gateway online?
Benutzerkonto aktiv?
Passwort korrekt?
MFA erfolgreich?
Zertifikat gültig?
Clientversion passend?
Uhrzeit korrekt?
Logs geprüft?
Merksatz:
Bei Verbindungsfehlern vorne in der Kette suchen.
Checkliste: VPN verbunden, aber kein Zugriff
VPN-IP erhalten?
richtige Gruppe?
Route zum Zielnetz vorhanden?
Rückroute vorhanden?
DNS korrekt?
Firewall erlaubt?
Host-Firewall erlaubt?
Zielsystem online?
Dienst läuft?
Berechtigung vorhanden?
Logs geprüft?
Merksatz:
Bei Zugriffproblemen nach dem Tunnel suchen.
Checkliste: VPN langsam
Latenz gemessen?
Paketverlust gemessen?
Bandbreite geprüft?
WLAN geprüft?
Full Tunnel oder Split Tunnel?
Gateway ausgelastet?
Client ausgelastet?
MTU geprüft?
TCP-over-TCP möglich?
Zielserver langsam?
Anwendung langsam?
Tageszeit oder Lastspitzen?
Merksatz:
Langsamkeit mit Messwerten belegen.
Checkliste: VPN bricht ab
Abbruchzeitpunkt bekannt?
Client-Log geprüft?
Gateway-Log geprüft?
Internetverbindung stabil?
WLAN-Wechsel?
Mobilfunkwechsel?
NAT-Timeout?
Keepalive aktiv?
Zertifikat oder Token abgelaufen?
Gateway überlastet?
Energiesparmodus aktiv?
MTU-Problem möglich?
Merksatz:
Abbrüche brauchen Zeitbezug und Logs.
Typische Prüfungsfragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Warum reicht ein verbundener VPN-Tunnel nicht aus?
- Welche Schritte prüft man bei VPN-Fehlersuche?
- Warum sind Routen bei VPN wichtig?
- Warum ist der Rückweg wichtig?
- Warum können interne Namen trotz VPN nicht funktionieren?
- Warum ist DNS bei VPN häufig eine Fehlerquelle?
- Warum kann ein Dienst trotz VPN-Verbindung nicht erreichbar sein?
- Warum können unterschiedliche Benutzer unterschiedliche VPN-Rechte haben?
- Warum verursachen gleiche Netze auf beiden Seiten Probleme?
- Was sind typische Ursachen für langsame VPN-Verbindungen?
- Warum können MTU-Probleme bei VPN auftreten?
- Welche Logs sind bei VPN wichtig?
- Wie hilft ein Paketmitschnitt bei VPN-Fehlern?
Typische Prüfungsfallen
VPN verbunden heißt nicht:
alles funktioniert.
VPN-Status grün heißt nicht:
Routen stimmen.
Login erfolgreich heißt nicht:
Zugriff erlaubt.
Authentifizierung ist nicht Autorisierung.
IP geht,
Name nicht:
DNS prüfen.
Ping geht,
Dienst nicht:
Port und Anwendung prüfen.
Ein Dienst betroffen:
nicht ganzes VPN kaputt.
Manche Benutzer betroffen:
Gruppen und Profile vergleichen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
Gleiche Netze auf beiden Seiten sind problematisch.
Route zum Ziel reicht nicht,
Rückroute muss auch stimmen.
Host-Firewall kann blockieren.
DNS-Suffix und Split DNS beachten.
UDP und TCP nicht verwechseln.
MTU bei großen Datenproblemen prüfen.
VPN-Logs und Firewall-Logs gemeinsam auswerten.
Client-Sicht und Gateway-Sicht vergleichen.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| VPN-Fehlersuche | systematische Analyse von VPN-Problemen |
| VPN-Gateway | Gegenstelle für VPN-Verbindungen |
| VPN-Client | Endgerät oder Software des Benutzers |
| VPN-IP | Adresse aus dem VPN-Adresspool |
| VPN-Profil | Konfiguration für VPN-Zugriff |
| VPN-Gruppe | Gruppe zur Steuerung von Rechten |
| Route | Weg zu einem Zielnetz |
| Rückroute | Antwortweg zurück zum VPN-Client |
| Split DNS | getrennte DNS-Auflösung |
| DNS-Leak | DNS-Anfragen gehen falschen Weg |
| Host-Firewall | Firewall auf Zielsystem |
| MTU | maximale Paketgröße |
| NAT-Timeout | Ablauf einer NAT-Zuordnung |
| Keepalive | regelmäßiges Paket zum Offenhalten |
| Client-Log | Log aus Sicht des Endgeräts |
| Gateway-Log | Log aus Sicht des VPN-Systems |
| Firewall-Log | Log über erlaubten oder blockierten Verkehr |
| TCP-over-TCP | TCP-Verkehr in TCP-Tunnel |
| Adresskonflikt | gleiche Netze auf beiden Seiten |
IHK-sichere Kurzformulierung
Bei der VPN-Fehlersuche muss zuerst das genaue Fehlerbild bestimmt werden. Ein VPN kann bereits beim Verbindungsaufbau, bei der Authentifizierung, bei MFA, bei Zertifikaten, beim Routing, bei DNS, bei Firewall-Regeln, beim Rückweg, beim Zielsystem oder bei Berechtigungen scheitern. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar sind. Der Client benötigt eine gültige VPN-IP, passende Routen, interne DNS-Einstellungen und die nötigen Firewall- und Benutzerrechte. Bei Performanceproblemen sind Latenz, Paketverlust, Bandbreite, MTU, Full Tunnel, Gateway-Auslastung und Client-Verbindung zu prüfen. Logs auf Client, VPN-Gateway, Firewall und Zielsystem helfen, den Fehler einzugrenzen.
Merksätze
VPN-Fehlersuche ist mehr als Tunnelprüfung.
Erst Fehlerbild klären.
VPN-Art bestimmen.
VPN-Protokoll bestimmen.
Gateway muss erreichbar sein.
Port und Protokoll müssen passen.
UDP und TCP nicht verwechseln.
Authentifizierung prüft Identität.
Autorisierung prüft Rechte.
MFA-Logs bei MFA-Problemen prüfen.
Zertifikate mit Name,
CA,
Gültigkeit
und Zeit prüfen.
VPN-IP muss korrekt sein.
Route zum Zielnetz muss vorhanden sein.
Rückroute muss vorhanden sein.
Firewall-Regeln müssen VPN-Quelle erlauben.
Host-Firewall nicht vergessen.
IP geht,
Name nicht:
DNS prüfen.
Interne Namen brauchen internes DNS.
Nur ein Dienst betroffen:
Port,
Dienst
und Rechte prüfen.
Manche Benutzer betroffen:
Gruppen und Profile prüfen.
Manche Heimnetze betroffen:
Adresskonflikt prüfen.
VPN langsam:
Latenz,
Paketverlust,
MTU
und Auslastung prüfen.
VPN bricht ab:
Logs und Zeitbezug prüfen.
Client-Logs zeigen Endgerätesicht.
Gateway-Logs zeigen VPN-Systemsicht.
Firewall-Logs zeigen Zugriffspfad.
Paketmitschnitt zeigt,
wo Pakete verschwinden.
Erst Tunnel,
dann Route,
dann DNS,
dann Dienst.