Wie funktioniert ein VPN Tunnel?

von

Eine VPN Verbindung (Virtual Private Network) ist gerade in der Vergangenheit immer mehr in den Fokus gewandert. Dies ist vor allem der angestiegenen Anzahl an Homeoffice-Mitarbeitern geschuldet.

Aber wie funktioniert ein VPN Tunnel? Hierbei muss man grundsätzlich zwischen zwei Varianten unterscheiden:

  • Einen Site-to-Site Tunnel, um Firmenstandorte oder Kunden zu verbinden
  • Einen Client-VPN Tunnel, der hauptsächlich für den Zugriff von unterwegs oder aus dem Homeoffice genutzt wird

Im Grund unterscheiden sich die beiden Varianten nicht sehr stark voneinander. Es kommt allerdings auf die genutzte Technologie an, wie Daten zwischen den beiden Endpunkten verschlüsselt werden.

In diesem Artikel werden deshalb nur VPN-Tunnel auf IPSec-Basis behandelt. Lösungen wie OpenVPN und Wireguard nutzen eine andere Herangehensweise.

Wichtig bei bei allen Varianten einer VPN Verbindung sind unterschiedliche Netzwerke. Wird zum Beispiel auf Seite A das Netzwerk 192.168.0.0 / 24 eingesetzt, so muss man auf Seite B zwingend ein anderes Netzwerk nutzen, da die Pakete sonst nicht geroutet werden können. Also zum Beispiel 192.168.1.0 / 24.

Site-to-Site

Ein Site-to-Site Tunnel kann man sich wie eine Röhre vorstellen, in der eine weitere Röhre eingebaut ist durch die dann die Daten fließen können.

Der Tunnel wird hierbei in zwei Phasen unterteilt.

IPSec Site-to-Site Tunnel Schema

In der Phase1 tauschen die beiden Firewalls die Daten untereinander aus und legen eine Verschlüsselung fest. Diese basiert entweder auf einem vordefinierten Schlüssel oder besteht aus einem Zeritifkats-Paar, welches auf den Firewalls eingespielt werden muss. Dabei müssen beide Firewalls über statische IP-Adressen verfügen. Da die Verbindung meist über das Internet stattfindet, muss diese auch öffentlich sein. Bei Geschäftskundenanschlüssen ist meist nur einen Anruf beim Anbieter nötig, um eine öffentliche IP-Adresse zu buchen.

Wenn dieser Austausch erfolgreich war folgt die Phase2, in der die Verschlüsselung für die Nutzdaten vorgenommen wird.

In beiden Phasen müssen die Parameter auf beiden Firewalls identisch sein, anderenfalls schlägt der Aufbau fehl.

Ist der Tunnel allerdings erfolgreich aufgebaut, so kann man auf die Daten zwischen den beiden Standorten so zugreifen, als ob man direkt daneben sitzen würde.

Client-VPN

Ein Client-VPN auf IPSec Basis unterscheidet sich von einem Site-to-Site Tunnel nur darin, dass auf der Seite des Zugreifenden keine Firewall steht.

Client-VPN Tunnel Schema

Damit eine Verbindung dennoch aufgebaut werden kann, muss auf dem Client eine entsprechende Software installiert werden. Diese kümmert sich dann um die Verbindung mit der entfernten Firewall und tauscht die Verschlüsselungsalgorithmen mit dieser aus. Der Rest der Technik ist identisch mit dem Site-to-Site Tunnel

Haben Sie Fragen oder benötigen Sie Unterstützung bei der Einrichtung einer VPN Verbindung oder haben Sie Probleme mit einer bestehenden Verbindung? Kontaktieren Sie uns gerne für ein unverbindliches erstes Gespräch. Wir helfen Ihnen gerne weiter.

Sascha Jelinek
Letzte Artikel von Sascha Jelinek (Alle anzeigen)