Neue Seite Merksätze und Prüfungswissen zu VPN, Intranet und Extranet Diese Seite fasst die wichtigsten Inhalte zu VPN, Intranet, Extranet, VPN-Arten, VPN-Protokollen, Routing, DNS, Firewall-Regeln, Sicherheit und Fehlersuche zusammen. Dieses Kapitel ist besonders prüfungsrelevant, weil VPN nicht nur Verschlüsselung bedeutet, sondern auch Routing, Berechtigungen, DNS, Firewall, Authentifizierung und Sicherheit betrifft. Merksatz: VPN ist nicht nur ein Tunnel. VPN ist ein Zugriffskonzept mit Technik, Regeln und Sicherheit. Grundbegriffe Begriff Bedeutung Internet öffentliches weltweites Netzwerk Intranet internes Netzwerk oder internes Portal einer Organisation Extranet kontrollierter Zugriff für externe Berechtigte VPN geschützter Tunnel über ein fremdes oder unsicheres Netz Merksatz: Internet öffentlich. Intranet intern. Extranet kontrolliert extern. VPN sicherer Tunnel. Intranet Ein Intranet ist ein internes Netzwerk oder internes Informationssystem. Typische Inhalte: internes Wiki Mitarbeiterportal Ticketsystem Zeiterfassung Dateiablage interne Anwendungen interne APIs Monitoring interne Dokumentation Wichtig: Ein Intranet ist nicht automatisch öffentlich erreichbar. Merksatz: Intranet nutzt oft Webtechnik, ist aber intern beschränkt. Extranet Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit. Beispiele: Lieferantenportal Kundenportal Partnerportal Dienstleisterzugang gemeinsamer Projektraum Wartungszugang Wichtig: Externe bekommen nur Zugriff auf bestimmte Ressourcen, nicht auf das ganze interne Netz. Merksatz: Extranet = ausgewählter externer Zugriff. VPN VPN steht für: Virtual Private Network Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf. Typische Zwecke: Homeoffice Standortvernetzung Fernwartung Zugriff auf interne Dienste Cloud-Anbindung Adminzugriff Extranet-Zugriff Merksatz: VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen. VPN-Tunnel Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz. Dabei werden Daten: eingepackt verschlüsselt übertragen am Ziel wieder ausgepackt Das nennt man: Tunneling Merksatz: Tunneling bedeutet: Daten werden in eine geschützte Verbindung eingepackt. VPN schützt nicht automatisch alles Ein VPN schützt vor allem den Übertragungsweg. Es ersetzt nicht: Firewall-Regeln Benutzerrechte MFA Gerätesicherheit Protokollierung Segmentierung Patchmanagement Anwendungsberechtigungen Merksatz: VPN schützt den Tunnel, aber nicht automatisch jedes Zielsystem. Remote-Access-VPN Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen. Typische Beispiele: Homeoffice-Mitarbeiter Außendienst Administrator mobiler Benutzer Support Dienstleister Merksatz: Remote-Access-VPN = Benutzer verbindet sich aus der Ferne. Client-to-Site-VPN Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN. Beispiel: Notebook → VPN-Gateway → Firmennetz Merksatz: Client-to-Site verbindet einen einzelnen Client mit einem Netz. Site-to-Site-VPN Site-to-Site-VPN verbindet ganze Netzwerke miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netz Unternehmen ↔ Partnernetz Merksatz: Site-to-Site-VPN = Netz verbindet sich mit Netz. Remote-Access und Site-to-Site unterscheiden Merkmal Remote-Access-VPN Site-to-Site-VPN verbindet einzelner Benutzer ganze Netze Endpunkte Client und Gateway Gateway und Gateway typischer Zweck Homeoffice Standortvernetzung Steuerung Benutzer, Gruppen, Profile Netze, Routen, Firewall Fehlerquellen Client, MFA, DNS, Routen Phase 1/2, Routing, Netze, Firewall Merksatz: Remote-Access ist benutzerbezogen. Site-to-Site ist netzbezogen. Weitere VPN-Arten VPN-Art Zweck Host-to-Host-VPN zwei einzelne Systeme verbinden Extranet-VPN externer Partnerzugriff Cloud-VPN lokales Netz mit Cloud-Netz verbinden Admin-VPN besonders geschützter Adminzugang Fernwartungs-VPN zeitlich begrenzter Supportzugang Always-On-VPN automatisch dauerhaft verbunden On-Demand-VPN startet bei Bedarf Per-App-VPN nur bestimmte Apps nutzen VPN Merksatz: VPN-Art richtet sich nach Einsatzzweck. VPN-Protokolle VPN ist ein Oberbegriff. Technische Umsetzungen können sein: IPsec IKEv2 OpenVPN WireGuard TLS-VPN L2TP/IPsec Veraltet: PPTP Merksatz: VPN ist der Zweck. Protokoll ist die technische Umsetzung. IPsec IPsec steht für: Internet Protocol Security IPsec schützt IP-Kommunikation. Typische Einsätze: Site-to-Site-VPN Cloud-VPN Standortvernetzung Remote-Access-VPN IPsec arbeitet nah an Schicht 3, weil IP-Pakete geschützt werden. Merksatz: IPsec schützt IP-Kommunikation auf Netzwerkebene. IKE und IKEv2 IKE steht für: Internet Key Exchange IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus. IKEv2 ist die modernere Variante. Merksatz: IKE handelt aus, wie IPsec abgesichert wird. IPsec Phase 1 und Phase 2 Phase Bedeutung Phase 1 sichere Verbindung zwischen VPN-Gegenstellen aufbauen Phase 2 geschützte Netze oder Datenströme festlegen Typische Einordnung: Phase-1-Fehler: Tunnel kommt oft gar nicht hoch. Phase-2-Fehler: Tunnel steht eventuell, aber Daten fließen nicht richtig. Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt Netze. ESP und AH ESP steht für: Encapsulating Security Payload ESP kann bieten: Verschlüsselung Integrität Authentifizierung AH steht für: Authentication Header AH bietet Integrität und Authentifizierung, aber keine Verschlüsselung des Inhalts. Merksatz: ESP schützt Daten. AH verschlüsselt nicht. Wichtige IPsec-Ports und Protokolle Zweck Port oder Protokoll IKE UDP 500 NAT-Traversal UDP 4500 ESP IP-Protokoll 50 AH IP-Protokoll 51 Wichtig: ESP und AH sind keine TCP- oder UDP-Ports. Merksatz: IPsec ist nicht nur ein einzelner Port. OpenVPN OpenVPN ist eine flexible TLS-basierte VPN-Lösung. Eigenschaften: nutzt TLS kann UDP oder TCP verwenden kann Zertifikate nutzen ist flexibel konfigurierbar wird für Remote-Access und Site-to-Site genutzt Merksatz: OpenVPN ist flexibel und TLS-basiert. WireGuard WireGuard ist ein modernes, schlankes VPN-Protokoll. Wichtige Begriffe: Peer öffentlicher Schlüssel privater Schlüssel Allowed IPs Endpoint Persistent Keepalive WireGuard nutzt typischerweise UDP. Merksatz: WireGuard arbeitet mit Peers, Schlüsseln und Allowed IPs. Allowed IPs bei WireGuard Allowed IPs bestimmen bei WireGuard: welche Zielnetze über einen Peer gehen und gleichzeitig: welche Quelladressen von diesem Peer erwartet werden Merksatz: Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich. TLS-VPN TLS-VPN nutzt TLS als Grundlage. Es wird oft noch SSL-VPN genannt. Typische Eigenschaften: häufig TCP 443 oft firewallfreundlich häufig für Remote-Access teilweise portalbasiert teilweise clientbasiert Merksatz: SSL-VPN meint in der Praxis meistens TLS-VPN. PPTP PPTP steht für: Point-to-Point Tunneling Protocol PPTP ist veraltet und gilt nicht mehr als sicher. Merksatz: PPTP kennen, aber nicht mehr einsetzen. Split Tunnel Split Tunnel bedeutet: Nur bestimmter Verkehr läuft durch das VPN. Beispiel: Firmennetze: durch VPN normales Internet: direkt lokal Vorteile: weniger Last oft bessere Performance Nachteile: weniger zentrale Kontrolle höhere Anforderungen an Sicherheitskonzept Merksatz: Split Tunnel leitet nur ausgewählten Verkehr durch VPN. Full Tunnel Full Tunnel bedeutet: Der gesamte Clientverkehr läuft durch das VPN. Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz. Vorteile: zentrale Kontrolle einheitliche Filterung zentrale Protokollierung Nachteile: mehr Last höhere Latenz mehr Bandbreitenbedarf Merksatz: Full Tunnel leitet alles durch VPN. Split Tunnel und Full Tunnel vergleichen Merkmal Split Tunnel Full Tunnel Firmennetze über VPN über VPN Internetverkehr lokal direkt über VPN VPN-Last geringer höher zentrale Kontrolle geringer höher Performance oft besser abhängig von Gateway und Leitung Merksatz: Split Tunnel spart Last. Full Tunnel erhöht zentrale Kontrolle. VPN-Routing VPN braucht passende Routen. Der Client muss wissen: Welche Netze liegen hinter dem VPN? Beispiel: Zielnetz: 192.168.10.0/24 Route: über VPN-Tunnel Fehlt die Route, geht Verkehr eventuell ins lokale Netz oder ins Internet. Merksatz: Ohne Route kein Weg durch VPN. Rückroute Nicht nur der Client braucht eine Route zum Ziel. Das Zielnetz braucht auch einen Weg zurück zum VPN-Client. Beispiel: VPN-Pool: 10.8.0.0/24 Servernetz: 192.168.10.0/24 Das Servernetz muss wissen, wie es zu 10.8.0.0/24 zurückkommt. Merksatz: VPN braucht Hinweg und Rückweg. VPN-Adresspool Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse erhalten. Beispiel: 10.8.0.0/24 Ein Client bekommt zum Beispiel: 10.8.0.25 Diese Adresse ist wichtig für: Routing Firewall-Regeln Logs Gruppenregeln Fehlersuche Merksatz: VPN-Adresspool bestimmt, aus welchem Netz VPN-Clients kommen. Adresskonflikte Ein häufiger VPN-Fehler: Firmennetz: 192.168.1.0/24 Heimnetz: 192.168.1.0/24 Dann weiß der Client nicht eindeutig, ob eine Adresse lokal oder über VPN erreichbar ist. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme. VPN-DNS VPN-Benutzer brauchen oft interne Namensauflösung. Beispiele: intranet.firma.local fileserver.firma.local dc01.firma.local wiki.intern Dafür werden benötigt: interner DNS-Server DNS-Suffix Split DNS Firewall-Regeln für DNS korrekte DNS-Records Merksatz: VPN braucht oft internes DNS. Split DNS Split DNS bedeutet: interne Namen werden über interne DNS-Server aufgelöst und: öffentliche Namen werden normal oder extern aufgelöst Beispiel: firma.local → interner DNS öffentliche Webseiten → normaler DNS Merksatz: Split DNS trennt interne und externe Namensauflösung. DNS-Leak Ein DNS-Leak bedeutet: DNS-Anfragen gehen unerwartet außerhalb des VPNs. Mögliche Folgen: interne Namen funktionieren nicht falsche DNS-Antworten Provider sieht DNS-Anfragen Sicherheitsrichtlinien werden umgangen Merksatz: DNS-Leak = DNS nimmt den falschen Weg. IPv6-Leak Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber IPv6 direkt am VPN vorbei ins Internet geht. Wichtig: IPv6 bewusst tunneln oder IPv6 bewusst filtern und regeln Merksatz: IPv6 bei VPN nicht vergessen. VPN-Firewall-Regeln Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben. Firewall-Regeln sollten festlegen: Quelle Ziel Port Protokoll Richtung Zone Benutzergruppe Zweck Logging Merksatz: VPN braucht gezielte Firewall-Regeln. VPN-Zonen VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admin VPN-Dienstleister VPN-Partner Cloud-VPN Vorteil: Zugriffe können sauber getrennt werden. Merksatz: VPN-Zonen verhindern pauschale LAN-Freigaben. Least Privilege beim VPN Least Privilege bedeutet: nur die Rechte, die wirklich nötig sind. Beim VPN heißt das: keine pauschale LAN-Freigabe keine unnötigen Ports keine unnötigen Zielnetze keine Dauerzugänge für Externe keine Sammelkonten Merksatz: VPN-Zugriff so eng wie möglich, so weit wie nötig. Authentifizierung Authentifizierung beantwortet: Wer bist du? Beim VPN möglich durch: Benutzername und Passwort Zertifikat MFA Token Smartcard Gerätezertifikat SSO Merksatz: Authentifizierung prüft Identität. Autorisierung Autorisierung beantwortet: Was darfst du? Beispiele: Darf Benutzer ins VPN? Darf Benutzer ins Servernetz? Darf Benutzer RDP nutzen? Darf Benutzer auf Dateiablage? Darf Dienstleister Wartungsserver erreichen? Merksatz: Autorisierung prüft Berechtigung. Authentifizierung und Autorisierung unterscheiden Begriff Frage Beispiel Authentifizierung Wer bist du? Login mit Passwort und MFA Autorisierung Was darfst du? Zugriff auf bestimmtes Netz erlaubt Merksatz: Anmeldung ist nicht automatisch Berechtigung. MFA bei VPN MFA steht für: Multi-Faktor-Authentifizierung Warum wichtig? VPN ist oft aus dem Internet erreichbar. Passwörter können gestohlen werden. Phishing ist häufig. VPN-Zugang führt oft zu internen Ressourcen. Merksatz: VPN-Zugänge sollten mit MFA geschützt werden. Zertifikate bei VPN VPN kann Zertifikate verwenden für: Serverauthentifizierung Clientauthentifizierung Gerätezulassung stärkere Identitätsprüfung Wichtig: Zertifikate müssen gültig sein, widerrufen werden können und zur richtigen CA gehören. Merksatz: Zertifikate erhöhen Sicherheit, brauchen aber Verwaltung. Gerätesicherheit Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. Deshalb wichtig: aktuelles Betriebssystem Updates Gerätemanagement Festplattenverschlüsselung Schutzsoftware kein kompromittiertes Gerät sichere Konfiguration Posture Check Merksatz: Unsicheres Gerät plus VPN ist ein Risiko. BYOD und VPN BYOD bedeutet: Bring Your Own Device Private Geräte im VPN sind kritisch, wenn sie nicht verwaltet werden. Risiken: unklarer Patchstand keine Kontrolle Malware Datenabfluss fehlende Trennung privat/geschäftlich Merksatz: BYOD-VPN braucht klare Regeln und technische Kontrolle. Dienstleisterzugang Dienstleisterzugänge müssen besonders eng geregelt werden. Wichtig: eigenes Konto pro Person keine Sammelkonten MFA Zugriff nur auf Zielsystem zeitliche Begrenzung Protokollierung Deaktivierung nach Projektende Merksatz: Externe niemals pauschal ins interne Netz lassen. Admin-VPN Admin-VPN braucht besonderen Schutz. Wichtig: separate Admin-Konten MFA Zertifikate verwaltete Geräte Zugriff nur auf Managementnetze Bastion Host oder Jump Server Protokollierung Alarmierung Merksatz: Admin-VPN ist Hochrisiko-Zugang. Bastion Host und Jump Server Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver. Zweck: Adminzugriffe bündeln direkte Zugriffe vermeiden Protokollierung verbessern Zugriffspfade kontrollieren Merksatz: Jump Server kontrolliert den Weg zu kritischen Systemen. VPN-Logging VPN-Logs sollten zeigen: Benutzer Gerät Quell-IP Zeitpunkt VPN-IP MFA-Ergebnis Gruppe Verbindungserfolg Fehlergrund Trennungsgrund Zielzugriffe je nach System Merksatz: VPN-Zugriffe müssen nachvollziehbar sein. VPN-Monitoring VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Tunnelstatus aktive Benutzer CPU RAM Bandbreite Fehlversuche Zertifikatsablauf Latenz Paketverlust Gateway-Verfügbarkeit Merksatz: VPN ist kritische Infrastruktur. VPN-Fehlersuche Grundreihenfolge Sinnvolle Reihenfolge: 1. Fehlerbild aufnehmen. 2. VPN-Art bestimmen. 3. VPN-Protokoll bestimmen. 4. Internetverbindung prüfen. 5. VPN-Gateway prüfen. 6. Authentifizierung und MFA prüfen. 7. Zertifikate prüfen. 8. VPN-IP prüfen. 9. Routen prüfen. 10. DNS prüfen. 11. Firewall prüfen. 12. Zielsystem prüfen. 13. Host-Firewall prüfen. 14. Logs prüfen. 15. MTU und Performance prüfen. Merksatz: Erst Tunnel, dann Route, dann DNS, dann Dienst. Typische VPN-Fehlerbilder Fehlerbild wahrscheinliche Richtung VPN verbindet nicht Gateway, Port, Login, MFA, Zertifikat VPN verbunden, IP geht nicht Route, Firewall, Rückweg, Zielsystem IP geht, Name nicht DNS, Split DNS, DNS-Suffix nur ein Dienst geht nicht Port, Dienst, Host-Firewall, Rechte nur manche Benutzer betroffen Gruppen, Profile, Rollen nur manche Heimnetze betroffen Adresskonflikt, NAT, Provider, IPv6 VPN langsam Latenz, Paketverlust, Bandbreite, MTU VPN bricht ab NAT-Timeout, WLAN, Keepalive, Token, Gateway Merksatz: Fehlerbild gibt die Richtung der Fehlersuche vor. VPN und MTU VPN fügt zusätzliche Header hinzu. Dadurch kann die nutzbare Paketgröße sinken. Typische Symptome: kleine Daten funktionieren große Downloads brechen ab Webseiten laden teilweise VPN wirkt instabil RDP friert ein SSH hängt bei viel Ausgabe Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. TCP-over-TCP TCP-over-TCP kann entstehen, wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert. Problem: zwei TCP-Schichten versuchen gleichzeitig, Paketverlust und Stau zu regeln. Folge: schlechtere Performance bei Verlusten oder instabiler Verbindung Merksatz: TCP im TCP-Tunnel kann bremsen. NAT-Traversal NAT-Traversal hilft VPN-Verbindungen, durch NAT-Geräte zu funktionieren. Besonders relevant bei: IPsec Heimnetzen Mobilfunk Hotel-WLAN Provider-NAT Merksatz: NAT-Traversal hilft VPN durch NAT-Umgebungen. CGNAT CGNAT steht für: Carrier Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden. Problem: eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich. Remote-Access vom Client nach außen ist oft weniger problematisch, wenn das Gateway öffentlich erreichbar ist. Merksatz: CGNAT stört besonders, wenn das VPN-Gateway von außen erreichbar sein muss. Intranet, Extranet und VPN unterscheiden Aussage richtig? Erklärung Intranet ist intern ja internes Netz oder internes Portal Extranet ist öffentlich nein nur kontrolliert für Externe Internet ist öffentlich ja grundsätzlich öffentlich erreichbar VPN ist ein Tunnel ja geschützte Verbindung VPN ist dasselbe wie Extranet nein Extranet ist Zugriffskonzept, VPN mögliche Technik VPN ersetzt Firewall nein Firewall-Regeln bleiben nötig VPN ersetzt Rechte nein Anwendung und Benutzerrechte bleiben nötig Merksatz: Begriffe sauber trennen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VPN? - Wofür steht VPN? - Was ist ein VPN-Tunnel? - Was ist ein Intranet? - Was ist ein Extranet? - Was ist der Unterschied zwischen Intranet, Extranet und Internet? - Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum braucht VPN Routing? - Warum ist DNS bei VPN wichtig? - Was ist Split DNS? - Warum sind überlappende Netze problematisch? - Warum sollte VPN mit MFA geschützt werden? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was ist IPsec? - Was ist IKE? - Was bedeuten Phase 1 und Phase 2 bei IPsec? - Was ist WireGuard? - Was sind Allowed IPs? - Warum ist PPTP veraltet? - Wie geht man bei VPN-Fehlersuche vor? Typische Prüfungsfallen VPN heißt Virtual Private Network. VPN ist nicht automatisch ein vollständiges Sicherheitskonzept. VPN schützt den Tunnel, aber nicht automatisch alle Zielsysteme. VPN ersetzt keine Firewall. VPN ersetzt keine Berechtigungen. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site ist praktisch Remote-Access. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Extranet ist nicht dasselbe wie VPN. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN braucht Routen. VPN braucht Rückrouten. VPN braucht oft internes DNS. IP geht, Name nicht: DNS prüfen. Überlappende Netze vermeiden. Heimnetzkonflikte sind häufig. Authentifizierung ist nicht Autorisierung. MFA ist bei VPN wichtig. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. PPTP nicht mehr verwenden. IPsec Phase 1 und Phase 2 unterscheiden. ESP ist kein TCP- oder UDP-Port. WireGuard Allowed IPs genau prüfen. VPN-Logs und Firewall-Logs gemeinsam auswerten. VPN verbunden heißt nicht: alles erreichbar. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Internet öffentliches weltweites Netzwerk Intranet internes Netz oder internes Portal Extranet kontrollierter externer Zugriff VPN Virtual Private Network VPN-Tunnel geschützte logische Verbindung Tunneling Daten werden in Tunnelverbindung verpackt Remote-Access-VPN Benutzer verbindet sich aus der Ferne Client-to-Site-VPN einzelner Client zum Firmennetz Site-to-Site-VPN Netz-zu-Netz-Verbindung VPN-Gateway Gegenstelle für VPN-Verbindung VPN-Client Software oder Gerät des Benutzers IPsec Absicherung von IP-Kommunikation IKE Schlüsselaushandlung bei IPsec ESP IPsec-Bestandteil für Schutz der Daten AH IPsec-Bestandteil ohne Inhaltsverschlüsselung Phase 1 sichere Verbindung zwischen Gateways Phase 2 Schutz der eigentlichen Netze OpenVPN TLS-basierte VPN-Lösung WireGuard modernes schlankes VPN-Protokoll Allowed IPs Routing- und Peer-Zuordnung bei WireGuard TLS-VPN VPN auf TLS-Basis Split Tunnel ausgewählter Verkehr durch VPN Full Tunnel gesamter Verkehr durch VPN VPN-Adresspool IP-Bereich für VPN-Clients Rückroute Antwortweg zurück zum VPN-Client Split DNS getrennte interne und externe Namensauflösung DNS-Leak DNS-Anfragen nehmen falschen Weg IPv6-Leak IPv6-Verkehr läuft am VPN vorbei VPN-Zone Firewall-Zone für VPN-Verkehr MFA Multi-Faktor-Authentifizierung Least Privilege minimale notwendige Rechte Bastion Host gehärteter Zwischenserver Jump Server Sprungserver für Adminzugriffe MTU maximale Paketgröße NAT-Traversal VPN durch NAT ermöglichen CGNAT Provider-NAT für viele Kunden IHK-sichere Gesamtformulierung Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance. Wichtigste Merksätze VPN = Virtual Private Network. VPN baut einen geschützten Tunnel. VPN ist nicht automatisch vollständige Sicherheit. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Benutzerrechte. VPN verbunden heißt nicht: Zugriff erlaubt. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site entspricht praktisch Remote-Access. VPN-Protokoll ist die technische Umsetzung. IPsec schützt IP-Kommunikation. IKE handelt Schlüssel aus. Phase 1 verbindet Gateways. Phase 2 schützt Netze. ESP schützt Daten. AH verschlüsselt nicht. OpenVPN ist TLS-basiert. WireGuard nutzt Peers und Allowed IPs. TLS-VPN wird oft SSL-VPN genannt. PPTP ist veraltet. Split Tunnel leitet ausgewählten Verkehr. Full Tunnel leitet alles. VPN braucht Route. VPN braucht Rückroute. VPN braucht oft internes DNS. Split DNS trennt Namensauflösung. Überlappende Netze vermeiden. Heimnetzkonflikte sind klassisch. VPN-Zugriff nach Rollen begrenzen. MFA für VPN nutzen. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. Unsichere Endgeräte sind Risiko. VPN-Logs sind wichtig. Monitoring gehört zu VPN. MTU bei großen Datenproblemen prüfen. Erst Tunnel, dann Route, dann DNS, dann Dienst.