20.9 Trainer – VPN, Intranet, Extranet und sicherer Fernzugriff

VPN steht für:

Virtual Private Network

Ein VPN stellt eine geschützte Verbindung über ein unsicheres Netz her, zum Beispiel über das Internet.

Typische Ziele:

Vertraulichkeit

Integrität

Authentifizierung

sicherer Fernzugriff

Merksatz:

VPN = verschlüsselter Tunnel über unsicheres Netz.

VPN wird genutzt für:

sicheren Fernzugriff

Homeoffice

Standortvernetzung

Zugriff auf interne Dienste

geschützte Administration

sichere Kommunikation über das Internet

Merksatz:

VPN ermöglicht sicheren Zugriff auf interne Ressourcen.

Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.

Typische Inhalte:

interne Webseiten

interne Dokumente

interne Anwendungen

interne Dateiablagen

interne Kommunikation

Zugriff:

normalerweise nur für berechtigte interne Benutzer.

Merksatz:

Intranet = internes Netz oder internes Informationssystem.

Ein Extranet ist ein kontrollierter Zugriff auf interne Dienste für externe Personen oder Organisationen.

Beispiele:

Lieferantenportal

Kundenportal

Partnerzugang

externer Dienstleisterzugriff

Wichtig:

Zugriff ist begrenzt und kontrolliert.

Merksatz:

Extranet = kontrollierter Zugriff für Externe.

Intranet:

internes Netzwerk oder interne Dienste für eigene Organisation

Extranet:

kontrollierter Zugriff für externe Partner,
Kunden
oder Dienstleister

Merksatz:

Intranet intern.
Extranet kontrolliert extern.

Remote-Access-VPN bedeutet:

Ein einzelner Benutzer oder Client verbindet sich von außen sicher ins Firmennetz.

Typische Nutzung:

Homeoffice

Außendienst

Administratorzugriff

Zugriff auf interne Anwendungen

Merksatz:

Remote-Access-VPN = einzelner Benutzer ins Netz.

Site-to-Site-VPN bedeutet:

Zwei Netzwerke oder Standorte werden über einen VPN-Tunnel verbunden.

Beispiele:

Hauptstandort zu Filiale

Rechenzentrum zu Cloud-Netz

Firma zu Partnernetz

Merksatz:

Site-to-Site-VPN = Netz zu Netz.

Merksatz:

Remote Access = Benutzer.
Site-to-Site = Standort.

Ein VPN-Gateway ist die Gegenstelle, an der VPN-Verbindungen aufgebaut werden.

Beispiele:

Firewall

Router

VPN-Server

Cloud-VPN-Gateway

Aufgabe:

VPN-Tunnel terminieren

Benutzer oder Gegenstelle authentifizieren

Verkehr entschlüsseln und weiterleiten

Merksatz:

VPN-Gateway = Eingangspunkt des VPN-Tunnels.

Ein Tunnel bedeutet:

Daten werden in eine geschützte Verbindung eingepackt
und über ein anderes Netz transportiert.

Der eigentliche Datenverkehr ist dabei für das unsichere Netz geschützt.

Merksatz:

Tunnel = geschützter Transportweg durch ein anderes Netz.

VPN unterstützt besonders:

Vertraulichkeit

Integrität

Authentizität

Begründung:

Daten werden verschlüsselt,
Manipulationen können erkannt werden
und Gegenstellen werden authentifiziert.

Merksatz:

VPN schützt nicht nur den Weg,
sondern auch Identität und Datenintegrität.

Split-Tunneling bedeutet:

Nur bestimmter Verkehr läuft durch den VPN-Tunnel.

Beispiel:

Zugriff auf Firmennetz läuft durch VPN.

normaler Internetverkehr läuft direkt ins Internet.

Vorteil:

weniger Last auf VPN-Gateway

oft bessere Internetgeschwindigkeit

Risiko:

weniger zentrale Kontrolle des gesamten Verkehrs

Merksatz:

Split-Tunneling = nur ausgewählter Verkehr durch VPN.

Full-Tunneling bedeutet:

Der gesamte Netzwerkverkehr des Clients läuft durch den VPN-Tunnel.

Beispiel:

interne Dienste

Internetzugriff

DNS

Webverkehr

alles wird über das Firmennetz geleitet.

Vorteil:

zentrale Kontrolle

einheitliche Sicherheitsrichtlinien

Nachteil:

mehr Last auf VPN-Infrastruktur

Merksatz:

Full-Tunneling = gesamter Verkehr durch VPN.

Merksatz:

Split spart Last.
Full gibt mehr Kontrolle.

IPsec ist eine Protokollfamilie zur Absicherung von IP-Kommunikation.

Typische Nutzung:

Site-to-Site-VPN

Remote-Access-VPN

Eigenschaften:

Verschlüsselung

Integritätsschutz

Authentifizierung

Merksatz:

IPsec sichert IP-Verkehr.

IKEv2 steht für:

Internet Key Exchange Version 2

Aufgabe:

Aufbau und Aushandlung von IPsec-Verbindungen unterstützen.

IKEv2 wird häufig zusammen mit IPsec genutzt.

Merksatz:

IKEv2 hilft beim Aufbau von IPsec-VPNs.

OpenVPN ist eine VPN-Lösung, die häufig TLS zur Absicherung verwendet.

Typische Nutzung:

Remote-Access-VPN

flexible VPN-Szenarien

Eigenschaften:

weit verbreitet

zertifikatsbasiert möglich

über TCP oder UDP betreibbar

Merksatz:

OpenVPN nutzt häufig TLS und ist flexibel einsetzbar.

WireGuard ist ein modernes VPN-Protokoll.

Eigenschaften:

schlank

vergleichsweise einfach konfigurierbar

nutzt moderne Kryptografie

häufig gute Performance

Merksatz:

WireGuard ist ein schlankes modernes VPN-Protokoll.

Ein TLS-VPN nutzt TLS zur Absicherung der Verbindung.

Typisch:

Zugriff über VPN-Client

teilweise Zugriff über Browserportal

sichere Verbindung über bekannte Web-Techniken

Merksatz:

TLS-VPN nutzt TLS für geschützte Kommunikation.

Merksatz:

IPsec sichert IP.
IKEv2 handelt IPsec aus.
OpenVPN und TLS-VPN nutzen TLS-Techniken.
WireGuard ist modern und schlank.

VPN muss prüfen, wer oder was sich verbinden darf.

Mögliche Verfahren:

Benutzername und Passwort

MFA

Zertifikate

Schlüssel

Geräteprüfung

Ziel:

nur berechtigte Benutzer oder Standorte dürfen Zugriff erhalten.

Merksatz:

VPN ohne starke Authentifizierung ist ein hohes Risiko.

MFA schützt, wenn ein Passwort gestohlen wurde.

Ohne MFA reicht ein gestohlenes Passwort eventuell für VPN-Zugriff.

Mit MFA wird zusätzlich ein zweiter Faktor benötigt.

Merksatz:

VPN plus MFA schützt besser gegen Passwortmissbrauch.

Risiken:

Passwortmissbrauch

Brute-Force-Angriffe

Credential Stuffing

unberechtigter Zugriff ins interne Netz

laterale Bewegung nach erfolgreichem Login

Datenabfluss

Merksatz:

VPN-Zugang ist ein Eingang ins Netz und muss stark geschützt werden.

VPN-Routing bestimmt, welche Zielnetze über den VPN-Tunnel erreichbar sind.

Beispiele:

10.10.0.0/16 über VPN

192.168.50.0/24 über VPN

Wichtig:

Routen müssen auf Client,
VPN-Gateway
und Gegenseite passen.

Merksatz:

VPN-Tunnel allein reicht nicht.
Die Routen müssen stimmen.

Mögliche Ursachen:

fehlende VPN-Route

falsche Route

Firewall-Regel blockiert

DNS löst falsch auf

Benutzer hat keine Berechtigung

Zielnetz nicht erlaubt

Rückroute fehlt

IP-Adresskonflikt

Merksatz:

VPN verbunden heißt nicht automatisch,
dass alle internen Dienste erreichbar sind.

Ein IP-Adresskonflikt entsteht, wenn das lokale Netz des Benutzers denselben IP-Bereich nutzt wie das entfernte Firmennetz.

Beispiel:

Heimnetz:
192.168.1.0/24

Firmennetz:
192.168.1.0/24

Problem:

Der Client kann nicht eindeutig entscheiden,
ob ein Ziel lokal oder über VPN erreichbar ist.

Merksatz:

Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.

Interne Dienste werden oft über interne Namen angesprochen.

Beispiele:

intranet.firma.local

fileserver.intern

app.firma.de intern

VPN muss häufig passende DNS-Server oder DNS-Suffixe bereitstellen.

Merksatz:

VPN braucht oft internes DNS.

Wahrscheinlich:

DNS-Problem im VPN

Mögliche Ursachen:

falscher DNS-Server

DNS-Server nicht über VPN erreichbar

DNS-Suffix fehlt

Split-DNS falsch

DNS-Cache veraltet

Merksatz:

VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.

Split-DNS bedeutet:

interne und externe DNS-Auflösung liefern unterschiedliche Antworten.

Beispiel:

intern über VPN:
app.firma.de zeigt auf private IP

extern:
app.firma.de zeigt auf öffentliche IP

Merksatz:

Split-DNS sorgt dafür,
dass interne Namen über VPN passend aufgelöst werden.

Firewalls können VPN-Verkehr blockieren, wenn benötigte Protokolle oder Ports nicht erlaubt sind.

Außerdem können Regeln nach erfolgreichem VPN-Aufbau den Zugriff auf interne Ziele blockieren.

Prüfen:

VPN-Aufbau erlaubt?

Zielnetz erlaubt?

Benutzergruppe erlaubt?

Port zum Ziel erlaubt?

Richtung korrekt?

Logs prüfen.

Merksatz:

VPN braucht Regeln für Tunnelaufbau und Zielzugriff.

Bei direkter Portweiterleitung ist RDP direkt aus dem Internet erreichbar.

Risiken:

Brute Force

Exploits

Credential Stuffing

Bei VPN:

RDP ist nicht direkt öffentlich erreichbar.

Erst nach VPN-Authentifizierung ist Zugriff möglich.

Zusätzlich sinnvoll:

MFA

Firewall-Regeln

Logging

Zugriff nur für Adminnetz oder Benutzergruppen

Merksatz:

VPN schützt Adminzugriffe besser als direkt veröffentlichte Ports.

Nein.

VPN muss sicher konfiguriert werden.

Wichtige Maßnahmen:

MFA

starke Authentifizierung

aktuelle VPN-Software

sichere Verschlüsselung

Rechtebegrenzung

Logging

Zugriff nach Gruppen

Geräteprüfung

keine unnötigen Zielnetze freigeben

Merksatz:

VPN ist nur so sicher wie seine Konfiguration.

Least Privilege bei VPN bedeutet:

Benutzer erhalten nur Zugriff auf die Netze und Dienste,
die sie wirklich benötigen.

Beispiele:

Dienstleister nur auf einen Server

Mitarbeiter nur auf benötigte Anwendungen

Adminzugriff nur aus Adminrollen

Merksatz:

VPN-Zugang nicht pauschal ins gesamte Netz erlauben.

Sinnvolle Logs:

erfolgreiche Anmeldungen

fehlgeschlagene Anmeldungen

Benutzername

Quell-IP

Zeitpunkt

zugewiesene VPN-IP

verwendete Authentifizierung

getrennte Verbindungen

auffällige Loginversuche

Zugriff auf Zielsysteme je nach System

Merksatz:

VPN-Logs sind wichtig für Sicherheit und Fehlersuche.

Ein Site-to-Site-VPN zwischen Firma und Cloud verbindet:

lokales Firmennetz

mit

Cloud-Netzwerk

Beispiel:

internes Rechenzentrum

zu

Cloud-VPC oder virtuellem Netzwerk

Ziel:

private Kommunikation zwischen Standorten und Cloud-Ressourcen.

Merksatz:

Site-to-Site kann auch On-Premises und Cloud verbinden.

Mögliche Ursachen:

Rückroute fehlt

Firewall blockiert Rückverkehr

falsche Phase-2-Netze bei IPsec

NAT-Regel greift falsch

asymmetrisches Routing

Security Group oder Cloud-Firewall blockiert

lokale ACL blockiert

Merksatz:

Kommunikation braucht Hinweg und Rückweg.

Ein VPN-Client ist die Software oder Funktion auf dem Endgerät, die eine VPN-Verbindung zum VPN-Gateway aufbaut.

Beispiele:

Firmenlaptop mit VPN-Software

Smartphone mit VPN-Profil

Betriebssystemeigener VPN-Client

Merksatz:

VPN-Client baut den Tunnel zum Gateway auf.

B ist besser.

Begründung:

Die Antwort leitet die Prüfung aus dem Fehlerbild ab
und unterscheidet IP-Erreichbarkeit von Namensauflösung.

Merksatz:

IP ja,
Name nein:
DNS.

B ist besser.

Begründung:

Die Antwort nennt das Prinzip
und erklärt die Sicherheitswirkung.

Merksatz:

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.

B ist besser.

Begründung:

Die Antwort nennt das konkrete Risiko
und beschreibt die bessere Schutzwirkung.

Merksatz:

Nicht Adminports veröffentlichen,
sondern sicheren Zugang davor setzen.