# Neue Seite **Merksätze und Prüfungswissen zu VPN, Intranet und Extranet** Diese Seite fasst die wichtigsten Inhalte zu VPN, Intranet, Extranet, VPN-Arten, VPN-Protokollen, Routing, DNS, Firewall-Regeln, Sicherheit und Fehlersuche zusammen. Dieses Kapitel ist besonders prüfungsrelevant, weil VPN nicht nur Verschlüsselung bedeutet, sondern auch Routing, Berechtigungen, DNS, Firewall, Authentifizierung und Sicherheit betrifft. Merksatz: VPN ist nicht nur ein Tunnel. VPN ist ein Zugriffskonzept mit Technik, Regeln und Sicherheit. --- **Grundbegriffe** | Begriff | Bedeutung | |---|---| | Internet | öffentliches weltweites Netzwerk | | Intranet | internes Netzwerk oder internes Portal einer Organisation | | Extranet | kontrollierter Zugriff für externe Berechtigte | | VPN | geschützter Tunnel über ein fremdes oder unsicheres Netz | Merksatz: Internet öffentlich. Intranet intern. Extranet kontrolliert extern. VPN sicherer Tunnel. --- **Intranet** Ein Intranet ist ein internes Netzwerk oder internes Informationssystem. Typische Inhalte: internes Wiki Mitarbeiterportal Ticketsystem Zeiterfassung Dateiablage interne Anwendungen interne APIs Monitoring interne Dokumentation Wichtig: Ein Intranet ist nicht automatisch öffentlich erreichbar. Merksatz: Intranet nutzt oft Webtechnik, ist aber intern beschränkt. --- **Extranet** Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit. Beispiele: Lieferantenportal Kundenportal Partnerportal Dienstleisterzugang gemeinsamer Projektraum Wartungszugang Wichtig: Externe bekommen nur Zugriff auf bestimmte Ressourcen, nicht auf das ganze interne Netz. Merksatz: Extranet = ausgewählter externer Zugriff. --- **VPN** VPN steht für: Virtual Private Network Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf. Typische Zwecke: Homeoffice Standortvernetzung Fernwartung Zugriff auf interne Dienste Cloud-Anbindung Adminzugriff Extranet-Zugriff Merksatz: VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen. --- **VPN-Tunnel** Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz. Dabei werden Daten: eingepackt verschlüsselt übertragen am Ziel wieder ausgepackt Das nennt man: Tunneling Merksatz: Tunneling bedeutet: Daten werden in eine geschützte Verbindung eingepackt. --- **VPN schützt nicht automatisch alles** Ein VPN schützt vor allem den Übertragungsweg. Es ersetzt nicht: Firewall-Regeln Benutzerrechte MFA Gerätesicherheit Protokollierung Segmentierung Patchmanagement Anwendungsberechtigungen Merksatz: VPN schützt den Tunnel, aber nicht automatisch jedes Zielsystem. --- **Remote-Access-VPN** Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen. Typische Beispiele: Homeoffice-Mitarbeiter Außendienst Administrator mobiler Benutzer Support Dienstleister Merksatz: Remote-Access-VPN = Benutzer verbindet sich aus der Ferne. --- **Client-to-Site-VPN** Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN. Beispiel: Notebook → VPN-Gateway → Firmennetz Merksatz: Client-to-Site verbindet einen einzelnen Client mit einem Netz. --- **Site-to-Site-VPN** Site-to-Site-VPN verbindet ganze Netzwerke miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netz Unternehmen ↔ Partnernetz Merksatz: Site-to-Site-VPN = Netz verbindet sich mit Netz. --- **Remote-Access und Site-to-Site unterscheiden** | Merkmal | Remote-Access-VPN | Site-to-Site-VPN | |---|---|---| | verbindet | einzelner Benutzer | ganze Netze | | Endpunkte | Client und Gateway | Gateway und Gateway | | typischer Zweck | Homeoffice | Standortvernetzung | | Steuerung | Benutzer, Gruppen, Profile | Netze, Routen, Firewall | | Fehlerquellen | Client, MFA, DNS, Routen | Phase 1/2, Routing, Netze, Firewall | Merksatz: Remote-Access ist benutzerbezogen. Site-to-Site ist netzbezogen. --- **Weitere VPN-Arten** | VPN-Art | Zweck | |---|---| | Host-to-Host-VPN | zwei einzelne Systeme verbinden | | Extranet-VPN | externer Partnerzugriff | | Cloud-VPN | lokales Netz mit Cloud-Netz verbinden | | Admin-VPN | besonders geschützter Adminzugang | | Fernwartungs-VPN | zeitlich begrenzter Supportzugang | | Always-On-VPN | automatisch dauerhaft verbunden | | On-Demand-VPN | startet bei Bedarf | | Per-App-VPN | nur bestimmte Apps nutzen VPN | Merksatz: VPN-Art richtet sich nach Einsatzzweck. --- **VPN-Protokolle** VPN ist ein Oberbegriff. Technische Umsetzungen können sein: IPsec IKEv2 OpenVPN WireGuard TLS-VPN L2TP/IPsec Veraltet: PPTP Merksatz: VPN ist der Zweck. Protokoll ist die technische Umsetzung. --- **IPsec** IPsec steht für: Internet Protocol Security IPsec schützt IP-Kommunikation. Typische Einsätze: Site-to-Site-VPN Cloud-VPN Standortvernetzung Remote-Access-VPN IPsec arbeitet nah an Schicht 3, weil IP-Pakete geschützt werden. Merksatz: IPsec schützt IP-Kommunikation auf Netzwerkebene. --- **IKE und IKEv2** IKE steht für: Internet Key Exchange IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus. IKEv2 ist die modernere Variante. Merksatz: IKE handelt aus, wie IPsec abgesichert wird. --- **IPsec Phase 1 und Phase 2** | Phase | Bedeutung | |---|---| | Phase 1 | sichere Verbindung zwischen VPN-Gegenstellen aufbauen | | Phase 2 | geschützte Netze oder Datenströme festlegen | Typische Einordnung: Phase-1-Fehler: Tunnel kommt oft gar nicht hoch. Phase-2-Fehler: Tunnel steht eventuell, aber Daten fließen nicht richtig. Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt Netze. --- **ESP und AH** ESP steht für: Encapsulating Security Payload ESP kann bieten: Verschlüsselung Integrität Authentifizierung AH steht für: Authentication Header AH bietet Integrität und Authentifizierung, aber keine Verschlüsselung des Inhalts. Merksatz: ESP schützt Daten. AH verschlüsselt nicht. --- **Wichtige IPsec-Ports und Protokolle** | Zweck | Port oder Protokoll | |---|---| | IKE | UDP 500 | | NAT-Traversal | UDP 4500 | | ESP | IP-Protokoll 50 | | AH | IP-Protokoll 51 | Wichtig: ESP und AH sind keine TCP- oder UDP-Ports. Merksatz: IPsec ist nicht nur ein einzelner Port. --- **OpenVPN** OpenVPN ist eine flexible TLS-basierte VPN-Lösung. Eigenschaften: nutzt TLS kann UDP oder TCP verwenden kann Zertifikate nutzen ist flexibel konfigurierbar wird für Remote-Access und Site-to-Site genutzt Merksatz: OpenVPN ist flexibel und TLS-basiert. --- **WireGuard** WireGuard ist ein modernes, schlankes VPN-Protokoll. Wichtige Begriffe: Peer öffentlicher Schlüssel privater Schlüssel Allowed IPs Endpoint Persistent Keepalive WireGuard nutzt typischerweise UDP. Merksatz: WireGuard arbeitet mit Peers, Schlüsseln und Allowed IPs. --- **Allowed IPs bei WireGuard** Allowed IPs bestimmen bei WireGuard: welche Zielnetze über einen Peer gehen und gleichzeitig: welche Quelladressen von diesem Peer erwartet werden Merksatz: Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich. --- **TLS-VPN** TLS-VPN nutzt TLS als Grundlage. Es wird oft noch SSL-VPN genannt. Typische Eigenschaften: häufig TCP 443 oft firewallfreundlich häufig für Remote-Access teilweise portalbasiert teilweise clientbasiert Merksatz: SSL-VPN meint in der Praxis meistens TLS-VPN. --- **PPTP** PPTP steht für: Point-to-Point Tunneling Protocol PPTP ist veraltet und gilt nicht mehr als sicher. Merksatz: PPTP kennen, aber nicht mehr einsetzen. --- **Split Tunnel** Split Tunnel bedeutet: Nur bestimmter Verkehr läuft durch das VPN. Beispiel: Firmennetze: durch VPN normales Internet: direkt lokal Vorteile: weniger Last oft bessere Performance Nachteile: weniger zentrale Kontrolle höhere Anforderungen an Sicherheitskonzept Merksatz: Split Tunnel leitet nur ausgewählten Verkehr durch VPN. --- **Full Tunnel** Full Tunnel bedeutet: Der gesamte Clientverkehr läuft durch das VPN. Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz. Vorteile: zentrale Kontrolle einheitliche Filterung zentrale Protokollierung Nachteile: mehr Last höhere Latenz mehr Bandbreitenbedarf Merksatz: Full Tunnel leitet alles durch VPN. --- **Split Tunnel und Full Tunnel vergleichen** | Merkmal | Split Tunnel | Full Tunnel | |---|---|---| | Firmennetze | über VPN | über VPN | | Internetverkehr | lokal direkt | über VPN | | VPN-Last | geringer | höher | | zentrale Kontrolle | geringer | höher | | Performance | oft besser | abhängig von Gateway und Leitung | Merksatz: Split Tunnel spart Last. Full Tunnel erhöht zentrale Kontrolle. --- **VPN-Routing** VPN braucht passende Routen. Der Client muss wissen: Welche Netze liegen hinter dem VPN? Beispiel: Zielnetz: 192.168.10.0/24 Route: über VPN-Tunnel Fehlt die Route, geht Verkehr eventuell ins lokale Netz oder ins Internet. Merksatz: Ohne Route kein Weg durch VPN. --- **Rückroute** Nicht nur der Client braucht eine Route zum Ziel. Das Zielnetz braucht auch einen Weg zurück zum VPN-Client. Beispiel: VPN-Pool: 10.8.0.0/24 Servernetz: 192.168.10.0/24 Das Servernetz muss wissen, wie es zu 10.8.0.0/24 zurückkommt. Merksatz: VPN braucht Hinweg und Rückweg. --- **VPN-Adresspool** Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse erhalten. Beispiel: 10.8.0.0/24 Ein Client bekommt zum Beispiel: 10.8.0.25 Diese Adresse ist wichtig für: Routing Firewall-Regeln Logs Gruppenregeln Fehlersuche Merksatz: VPN-Adresspool bestimmt, aus welchem Netz VPN-Clients kommen. --- **Adresskonflikte** Ein häufiger VPN-Fehler: Firmennetz: 192.168.1.0/24 Heimnetz: 192.168.1.0/24 Dann weiß der Client nicht eindeutig, ob eine Adresse lokal oder über VPN erreichbar ist. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme. --- **VPN-DNS** VPN-Benutzer brauchen oft interne Namensauflösung. Beispiele: intranet.firma.local fileserver.firma.local dc01.firma.local wiki.intern Dafür werden benötigt: interner DNS-Server DNS-Suffix Split DNS Firewall-Regeln für DNS korrekte DNS-Records Merksatz: VPN braucht oft internes DNS. --- **Split DNS** Split DNS bedeutet: interne Namen werden über interne DNS-Server aufgelöst und: öffentliche Namen werden normal oder extern aufgelöst Beispiel: firma.local → interner DNS öffentliche Webseiten → normaler DNS Merksatz: Split DNS trennt interne und externe Namensauflösung. --- **DNS-Leak** Ein DNS-Leak bedeutet: DNS-Anfragen gehen unerwartet außerhalb des VPNs. Mögliche Folgen: interne Namen funktionieren nicht falsche DNS-Antworten Provider sieht DNS-Anfragen Sicherheitsrichtlinien werden umgangen Merksatz: DNS-Leak = DNS nimmt den falschen Weg. --- **IPv6-Leak** Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber IPv6 direkt am VPN vorbei ins Internet geht. Wichtig: IPv6 bewusst tunneln oder IPv6 bewusst filtern und regeln Merksatz: IPv6 bei VPN nicht vergessen. --- **VPN-Firewall-Regeln** Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben. Firewall-Regeln sollten festlegen: Quelle Ziel Port Protokoll Richtung Zone Benutzergruppe Zweck Logging Merksatz: VPN braucht gezielte Firewall-Regeln. --- **VPN-Zonen** VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admin VPN-Dienstleister VPN-Partner Cloud-VPN Vorteil: Zugriffe können sauber getrennt werden. Merksatz: VPN-Zonen verhindern pauschale LAN-Freigaben. --- **Least Privilege beim VPN** Least Privilege bedeutet: nur die Rechte, die wirklich nötig sind. Beim VPN heißt das: keine pauschale LAN-Freigabe keine unnötigen Ports keine unnötigen Zielnetze keine Dauerzugänge für Externe keine Sammelkonten Merksatz: VPN-Zugriff so eng wie möglich, so weit wie nötig. --- **Authentifizierung** Authentifizierung beantwortet: Wer bist du? Beim VPN möglich durch: Benutzername und Passwort Zertifikat MFA Token Smartcard Gerätezertifikat SSO Merksatz: Authentifizierung prüft Identität. --- **Autorisierung** Autorisierung beantwortet: Was darfst du? Beispiele: Darf Benutzer ins VPN? Darf Benutzer ins Servernetz? Darf Benutzer RDP nutzen? Darf Benutzer auf Dateiablage? Darf Dienstleister Wartungsserver erreichen? Merksatz: Autorisierung prüft Berechtigung. --- **Authentifizierung und Autorisierung unterscheiden** | Begriff | Frage | Beispiel | |---|---|---| | Authentifizierung | Wer bist du? | Login mit Passwort und MFA | | Autorisierung | Was darfst du? | Zugriff auf bestimmtes Netz erlaubt | Merksatz: Anmeldung ist nicht automatisch Berechtigung. --- **MFA bei VPN** MFA steht für: Multi-Faktor-Authentifizierung Warum wichtig? VPN ist oft aus dem Internet erreichbar. Passwörter können gestohlen werden. Phishing ist häufig. VPN-Zugang führt oft zu internen Ressourcen. Merksatz: VPN-Zugänge sollten mit MFA geschützt werden. --- **Zertifikate bei VPN** VPN kann Zertifikate verwenden für: Serverauthentifizierung Clientauthentifizierung Gerätezulassung stärkere Identitätsprüfung Wichtig: Zertifikate müssen gültig sein, widerrufen werden können und zur richtigen CA gehören. Merksatz: Zertifikate erhöhen Sicherheit, brauchen aber Verwaltung. --- **Gerätesicherheit** Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. Deshalb wichtig: aktuelles Betriebssystem Updates Gerätemanagement Festplattenverschlüsselung Schutzsoftware kein kompromittiertes Gerät sichere Konfiguration Posture Check Merksatz: Unsicheres Gerät plus VPN ist ein Risiko. --- **BYOD und VPN** BYOD bedeutet: Bring Your Own Device Private Geräte im VPN sind kritisch, wenn sie nicht verwaltet werden. Risiken: unklarer Patchstand keine Kontrolle Malware Datenabfluss fehlende Trennung privat/geschäftlich Merksatz: BYOD-VPN braucht klare Regeln und technische Kontrolle. --- **Dienstleisterzugang** Dienstleisterzugänge müssen besonders eng geregelt werden. Wichtig: eigenes Konto pro Person keine Sammelkonten MFA Zugriff nur auf Zielsystem zeitliche Begrenzung Protokollierung Deaktivierung nach Projektende Merksatz: Externe niemals pauschal ins interne Netz lassen. --- **Admin-VPN** Admin-VPN braucht besonderen Schutz. Wichtig: separate Admin-Konten MFA Zertifikate verwaltete Geräte Zugriff nur auf Managementnetze Bastion Host oder Jump Server Protokollierung Alarmierung Merksatz: Admin-VPN ist Hochrisiko-Zugang. --- **Bastion Host und Jump Server** Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver. Zweck: Adminzugriffe bündeln direkte Zugriffe vermeiden Protokollierung verbessern Zugriffspfade kontrollieren Merksatz: Jump Server kontrolliert den Weg zu kritischen Systemen. --- **VPN-Logging** VPN-Logs sollten zeigen: Benutzer Gerät Quell-IP Zeitpunkt VPN-IP MFA-Ergebnis Gruppe Verbindungserfolg Fehlergrund Trennungsgrund Zielzugriffe je nach System Merksatz: VPN-Zugriffe müssen nachvollziehbar sein. --- **VPN-Monitoring** VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Tunnelstatus aktive Benutzer CPU RAM Bandbreite Fehlversuche Zertifikatsablauf Latenz Paketverlust Gateway-Verfügbarkeit Merksatz: VPN ist kritische Infrastruktur. --- **VPN-Fehlersuche Grundreihenfolge** Sinnvolle Reihenfolge: 1. Fehlerbild aufnehmen. 2. VPN-Art bestimmen. 3. VPN-Protokoll bestimmen. 4. Internetverbindung prüfen. 5. VPN-Gateway prüfen. 6. Authentifizierung und MFA prüfen. 7. Zertifikate prüfen. 8. VPN-IP prüfen. 9. Routen prüfen. 10. DNS prüfen. 11. Firewall prüfen. 12. Zielsystem prüfen. 13. Host-Firewall prüfen. 14. Logs prüfen. 15. MTU und Performance prüfen. Merksatz: Erst Tunnel, dann Route, dann DNS, dann Dienst. --- **Typische VPN-Fehlerbilder** | Fehlerbild | wahrscheinliche Richtung | |---|---| | VPN verbindet nicht | Gateway, Port, Login, MFA, Zertifikat | | VPN verbunden, IP geht nicht | Route, Firewall, Rückweg, Zielsystem | | IP geht, Name nicht | DNS, Split DNS, DNS-Suffix | | nur ein Dienst geht nicht | Port, Dienst, Host-Firewall, Rechte | | nur manche Benutzer betroffen | Gruppen, Profile, Rollen | | nur manche Heimnetze betroffen | Adresskonflikt, NAT, Provider, IPv6 | | VPN langsam | Latenz, Paketverlust, Bandbreite, MTU | | VPN bricht ab | NAT-Timeout, WLAN, Keepalive, Token, Gateway | Merksatz: Fehlerbild gibt die Richtung der Fehlersuche vor. --- **VPN und MTU** VPN fügt zusätzliche Header hinzu. Dadurch kann die nutzbare Paketgröße sinken. Typische Symptome: kleine Daten funktionieren große Downloads brechen ab Webseiten laden teilweise VPN wirkt instabil RDP friert ein SSH hängt bei viel Ausgabe Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. --- **TCP-over-TCP** TCP-over-TCP kann entstehen, wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert. Problem: zwei TCP-Schichten versuchen gleichzeitig, Paketverlust und Stau zu regeln. Folge: schlechtere Performance bei Verlusten oder instabiler Verbindung Merksatz: TCP im TCP-Tunnel kann bremsen. --- **NAT-Traversal** NAT-Traversal hilft VPN-Verbindungen, durch NAT-Geräte zu funktionieren. Besonders relevant bei: IPsec Heimnetzen Mobilfunk Hotel-WLAN Provider-NAT Merksatz: NAT-Traversal hilft VPN durch NAT-Umgebungen. --- **CGNAT** CGNAT steht für: Carrier Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden. Problem: eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich. Remote-Access vom Client nach außen ist oft weniger problematisch, wenn das Gateway öffentlich erreichbar ist. Merksatz: CGNAT stört besonders, wenn das VPN-Gateway von außen erreichbar sein muss. --- **Intranet, Extranet und VPN unterscheiden** | Aussage | richtig? | Erklärung | |---|---:|---| | Intranet ist intern | ja | internes Netz oder internes Portal | | Extranet ist öffentlich | nein | nur kontrolliert für Externe | | Internet ist öffentlich | ja | grundsätzlich öffentlich erreichbar | | VPN ist ein Tunnel | ja | geschützte Verbindung | | VPN ist dasselbe wie Extranet | nein | Extranet ist Zugriffskonzept, VPN mögliche Technik | | VPN ersetzt Firewall | nein | Firewall-Regeln bleiben nötig | | VPN ersetzt Rechte | nein | Anwendung und Benutzerrechte bleiben nötig | Merksatz: Begriffe sauber trennen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VPN? - Wofür steht VPN? - Was ist ein VPN-Tunnel? - Was ist ein Intranet? - Was ist ein Extranet? - Was ist der Unterschied zwischen Intranet, Extranet und Internet? - Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum braucht VPN Routing? - Warum ist DNS bei VPN wichtig? - Was ist Split DNS? - Warum sind überlappende Netze problematisch? - Warum sollte VPN mit MFA geschützt werden? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was ist IPsec? - Was ist IKE? - Was bedeuten Phase 1 und Phase 2 bei IPsec? - Was ist WireGuard? - Was sind Allowed IPs? - Warum ist PPTP veraltet? - Wie geht man bei VPN-Fehlersuche vor? --- **Typische Prüfungsfallen** VPN heißt Virtual Private Network. VPN ist nicht automatisch ein vollständiges Sicherheitskonzept. VPN schützt den Tunnel, aber nicht automatisch alle Zielsysteme. VPN ersetzt keine Firewall. VPN ersetzt keine Berechtigungen. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site ist praktisch Remote-Access. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Extranet ist nicht dasselbe wie VPN. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN braucht Routen. VPN braucht Rückrouten. VPN braucht oft internes DNS. IP geht, Name nicht: DNS prüfen. Überlappende Netze vermeiden. Heimnetzkonflikte sind häufig. Authentifizierung ist nicht Autorisierung. MFA ist bei VPN wichtig. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. PPTP nicht mehr verwenden. IPsec Phase 1 und Phase 2 unterscheiden. ESP ist kein TCP- oder UDP-Port. WireGuard Allowed IPs genau prüfen. VPN-Logs und Firewall-Logs gemeinsam auswerten. VPN verbunden heißt nicht: alles erreichbar. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Internet | öffentliches weltweites Netzwerk | | Intranet | internes Netz oder internes Portal | | Extranet | kontrollierter externer Zugriff | | VPN | Virtual Private Network | | VPN-Tunnel | geschützte logische Verbindung | | Tunneling | Daten werden in Tunnelverbindung verpackt | | Remote-Access-VPN | Benutzer verbindet sich aus der Ferne | | Client-to-Site-VPN | einzelner Client zum Firmennetz | | Site-to-Site-VPN | Netz-zu-Netz-Verbindung | | VPN-Gateway | Gegenstelle für VPN-Verbindung | | VPN-Client | Software oder Gerät des Benutzers | | IPsec | Absicherung von IP-Kommunikation | | IKE | Schlüsselaushandlung bei IPsec | | ESP | IPsec-Bestandteil für Schutz der Daten | | AH | IPsec-Bestandteil ohne Inhaltsverschlüsselung | | Phase 1 | sichere Verbindung zwischen Gateways | | Phase 2 | Schutz der eigentlichen Netze | | OpenVPN | TLS-basierte VPN-Lösung | | WireGuard | modernes schlankes VPN-Protokoll | | Allowed IPs | Routing- und Peer-Zuordnung bei WireGuard | | TLS-VPN | VPN auf TLS-Basis | | Split Tunnel | ausgewählter Verkehr durch VPN | | Full Tunnel | gesamter Verkehr durch VPN | | VPN-Adresspool | IP-Bereich für VPN-Clients | | Rückroute | Antwortweg zurück zum VPN-Client | | Split DNS | getrennte interne und externe Namensauflösung | | DNS-Leak | DNS-Anfragen nehmen falschen Weg | | IPv6-Leak | IPv6-Verkehr läuft am VPN vorbei | | VPN-Zone | Firewall-Zone für VPN-Verkehr | | MFA | Multi-Faktor-Authentifizierung | | Least Privilege | minimale notwendige Rechte | | Bastion Host | gehärteter Zwischenserver | | Jump Server | Sprungserver für Adminzugriffe | | MTU | maximale Paketgröße | | NAT-Traversal | VPN durch NAT ermöglichen | | CGNAT | Provider-NAT für viele Kunden | --- **IHK-sichere Gesamtformulierung** Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance. --- **Wichtigste Merksätze** VPN = Virtual Private Network. VPN baut einen geschützten Tunnel. VPN ist nicht automatisch vollständige Sicherheit. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Benutzerrechte. VPN verbunden heißt nicht: Zugriff erlaubt. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site entspricht praktisch Remote-Access. VPN-Protokoll ist die technische Umsetzung. IPsec schützt IP-Kommunikation. IKE handelt Schlüssel aus. Phase 1 verbindet Gateways. Phase 2 schützt Netze. ESP schützt Daten. AH verschlüsselt nicht. OpenVPN ist TLS-basiert. WireGuard nutzt Peers und Allowed IPs. TLS-VPN wird oft SSL-VPN genannt. PPTP ist veraltet. Split Tunnel leitet ausgewählten Verkehr. Full Tunnel leitet alles. VPN braucht Route. VPN braucht Rückroute. VPN braucht oft internes DNS. Split DNS trennt Namensauflösung. Überlappende Netze vermeiden. Heimnetzkonflikte sind klassisch. VPN-Zugriff nach Rollen begrenzen. MFA für VPN nutzen. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. Unsichere Endgeräte sind Risiko. VPN-Logs sind wichtig. Monitoring gehört zu VPN. MTU bei großen Datenproblemen prüfen. Erst Tunnel, dann Route, dann DNS, dann Dienst.