VPN-Grundlagen, -Bestandteile und -Lösungen VPN – sicherer Tunnel für den Datenverkehr

Wer Außendienstmitarbeiter und Zweigstellen mit dem Firmennetzwerk verbinden will oder muss, wird diese Verbindung über das Internet aufbauen. Doch ein derartiger Zugriff muss sicher sein – es wird Zeit, sich mit der Einführung eines virtuellen privaten Netzwerks (VPN) zu befassen.

Anbieter zum Thema

Paessler AG

Cradlepoint GmbH

Southern Tech GmbH

Ganz sicher ist es nicht nur den IT-Profis, sondern auch den „normalen Nutzern“ durchaus bekannt, dass Daten, die auf irgendeine Weise ihren Weg über das Internet finden, häufig nur unzureichend oder überhaupt keinen Schutz besitzen. Trotzdem ist es immer wieder verblüffend und erschreckend, wie leichtfertig auch erfahrene Anwender beispielsweise den öffentlichen WLAN-Zugang in einem Hotel oder im Café nutzen, um beispielsweise „nur mal schnell auf die aktuellen Zahlen zu schauen“. Auf der anderen Seite ist der Trend zum mobilen Arbeiten nicht mehr umkehrbar. Nicht nur von den Hotels unterwegs, sondern auch aus dem Homeoffice oder direkt aus dem Zug oder Flugzeug wollen die Nutzer immer auf alle Firmendaten zugreifen können. Ein sicherer Tunnel durch das Internet, ein VPN – also ein virtuelles privates Netzwerk –, kann hier die richtige Lösung sein, die zugleich auch die sichere Anbindung von Außenstellen und Filialen ermöglicht.

Was ist ein virtuelles, privates Netzwerk?

Bei einem VPN handelt es sich grundsätzlich um ein eigenständiges virtuelles Netzwerk auf IP-Basis, das es ermöglicht, verschiedene Netzwerke miteinander zu verbinden. In der Regel kommt dabei eine Internetverbindung als Transportweg zum Einsatz. Beim Einsatz eines solchen Tunnels ist zudem (je nach der eingesetzten Technik) eine Verschlüsselung sämtlicher Netzwerkpakete möglich, wodurch ein Mitlesen der Daten weitgehend ausgeschlossen werden kann. Zudem kann ein Angreifer, der den öffentlichen Zugang beispielsweise am Hotspot überwacht, so nur noch eine Verbindung zum VPN-Gateway beobachten: Das eigentliche Ziel der Verbindung sieht er nicht, da er nicht feststellen kann, wohin die Verbindung von diesem Gateway aus weitergeleitet wird.

Ein weiterer, praktischer Vorteil für die Nutzer: Für sie sieht es immer so aus, als seien sie unabhängig vom Ort in einem gemeinsamen Netzwerk, beispielsweise dem Firmennetzwerk. VPN-Verbindungen kommen in vielen Fällen dann zum Einsatz, wenn Außendienstmitarbeiter remote auf die Firmendienste und -daten zugreifen möchten. VPN-Dienste werden aber auch dazu verwendet, anonym zu surfen oder durch Geoblocking aufgestellte Barrieren zu überwinden. Grundsätzlich sollten folgende Bestandteile mit zu einem VPN gehören:

• Die physische Verbindung: Bei ihr handelt es sich zumeist um eine Verbindung zum Internet. Es kann aber auch eine beliebige andere IP-Verbindung sein.

• VPN-Gateway: Dabei kann es sich sowohl um einen Router oder einen Server als auch um eine Firewall oder ein ähnliches Netzwerkgerät handeln, das zwei oder mehr Geräte bzw. Netzwerke in einer VPN-Infrastruktur zusammenbindet. Seine Aufgabe besteht u.a. darin, ein Netzwerk mit dem VPN zu verbinden und die Brücke zwischen den Remote-Sites zu bilden.

• VPN-Client-Software: Software für die Endgeräte, die es ihnen ermöglicht, eine Verbindung zum VPN aufzubauen.

• Server zur Verwaltung: Zentrale Serversysteme zur Verwaltung, Steuerung, Überwachung und für das Reporting der VPN-Installation.

• Authentifizierungs-Server: Zertifizierungsstellen oder auch dedizierte Serversysteme und RADIUS-Server, mit deren Hilfe die Identität der Gateways und Clientsysteme überprüft und garantiert werden kann.

Welche Kriterien sollte eine VPN-Lösung erfüllen?

Grundsätzlich sollte eine VPN-Lösung so funktionieren, dass sie die tägliche Arbeit nicht durch komplizierte technische Abläufe zusätzlich behindert. Eine leicht zu bedienende VPN-Software erhöht die Akzeptanz bei den Nutzern und minimiert den Aufwand bei der Einweisung und Schulung. Zudem ist es gerade beim Einsatz auf mobilen Endgeräten sehr wichtig, dass die VPN-Technik problemlos funktioniert und auch zusätzliche Unterstützung durch die IT-Abteilung vom Anwender eingesetzt werden kann – denn wenn der VPN-Zugriff aus dem Hotel im Ausland spät in der Nacht aufgrund von technischen Problemen nicht funktioniert, steht der Support meist nicht zur Verfügung.

Auch wenn häufig der Eindruck entsteht, dass es sich bei den VPN-Umgebungen um Hardware handeln müsse, so ist es in erster Linie die Software, die diese Systeme ausmacht. Natürlich gibt es auch spezielle Hardware-Appliances für VPN-Lösungen, die besonders dann zum Einsatz kommen, wenn eine deutlich höhere Betriebssicherheit und eine möglichst optimierte Verarbeitung der verschlüsselten Pakete gefordert sind.

Jede Standard-PC-Hardware sowie die meisten mobilen Plattformen sind heute im Prinzip jedoch dazu in der Lage, eine entsprechende VPN-Technik zu unterstützen. Ein Vorteil von reinen Softwarelösungen liegt sicher darin, dass diese flexibler sind und sich deshalb in der Regel deutlich leichter an die Bedürfnisse und Regeln der eigenen IT anpassen lassen.

Wer heute erstmals in eine VPN-Lösung investiert, sollte sich rechtzeitig auch darüber Gedanken machen, ob diese mandantenfähig ist bzw. sein soll – wenn im eigenen Unternehmen eine derartige Trennung bestimmter Geschäftsbereiche und Abteilungen gewünscht oder notwendig ist. Kann die Lösung diese sichere Trennung bereits standardmäßig garantieren, dann erspart sie damit der IT-Abteilung sehr viel Arbeit, die sicher entsteht, wenn eine derartige Abtrennung nachträglich eingebracht werden muss.

Ganz wichtig ist zudem der Punkt der zentralen Administration und Verwaltung: Für ein kleines Unternehmen mit einer Außenstelle und einigen, wenigen mobilen Mitarbeitern mag es noch tragbar sein, dass die IT jeden Client „händisch“ konfigurieren und managen muss – schon bei einem mittelständischen Unternehmen ist das jedoch inakzeptabel und widerspricht den modernen Managementparadigmen in der IT. Ein zentrales Management aller Bestandteile des VPNs vereinfacht nicht nur Administration und Überwachung, sondern erleichtert auch den Workflow durch weitgehende Automatisierung.

Checkliste für die Auswahl einer VPN-Lösung

Die folgende Checkliste kann als Anhalt dafür dienen, welche Punkte IT-Verantwortliche und Administratoren durchdenken sollten, wenn es um Anschaffung und Einführung eines VPNs geht. Sie erhebt keinen Anspruch auf Vollständigkeit und selbstverständlich werden diese Anforderungen in der Praxis stark von den Richtlinien und Gegebenheiten der eigenen IT beeinflusst.

Allgemeine Anforderungen:

• Von welchen Standorten bzw. mobilen Geräten soll auf das Firmennetz zugegriffen werden?

• Wie groß wird in der Regel die Anzahl der mobilen und stationären Anwender sein, die gleichzeitig eine VPN-Verbindung ins Firmennetzwerk nutzen?

• Kommen neben den Standard-Windows-PCs weitere Endgeräte wie beispielsweise Thin Clients, Smartphones, Tablets und/oder MacOS-Rechner zum Einsatz?

• Sollen grundsätzliche lokale Anwendungen oder nur Terminal-Server-Anwendungen zum Einsatz kommen?

• Wie sehen die Anforderungen an das Sicherheitsniveau im eigenen Unternehmen aus?

• Können und sollen zentrale Komponenten wie RADIUS, Verzeichnisdienst oder Benutzerdatenbanken von der Lösung genutzt werden?

Fragen/Anforderungen an die Technik:

• Soll die Lösung grundsätzlich als Hardware (Appliance) oder Software (Standard-PC) bereitgestellt werden?

• Wie einfach ist die Lösung zu bedienen? Die tägliche Arbeit darf nicht durch unnötig komplizierte technische Abläufe behindert werden.

• Sind zusätzliche Benutzerschulungen erforderlich?

• Verfügt die Lösung über alle erforderlichen Sicherheits- und Kommunikationsmechanismen?

• Ist eine einfache, komfortable Anmeldung an der Domäne möglich?

• Besteht Client-Kompatibilität zu VPN-Gateways anderer Hersteller (falls notwendig)?

• Unterstützt die Lösung alle IPSec-Protokoll-Erweiterungen wie beispielsweise XAUTH, NAT-T oder IKE Config Mode?

• Welche Art der Authentifizierung (beispielsweise Einmalpasswort, Softwarezertifikate, Smartcards, USB-Token) gegenüber dem Gateway kommt zum Einsatz?

Anforderungen an den Anbieter der Lösung:

• Ist der Hersteller auf Security-Produkte spezialisiert?

• Befindet sich der Unternehmenssitz in Deutschland oder Europa? Wo wird die Sicherheitslösung programmiert?

• Gibt es einen Support? Wenn ja: Ist dieser deutschsprachig und aus welcher Zeitzone wird er bereitgestellt?

• Wurden die Sicherheitsangaben des Herstellers durch unabhängige Institutionen oder Unternehmen mit hohen Sicherheitsanforderungen bestätigt?

• Verfügt der Anbieter für das Produkt über aussagefähige Referenzen (beispielsweise Behörden oder MSSP – Managed Security Service Provider)?

Fazit

Nicht nur der Trend zu immer mehr mobilen Mitarbeitern, sondern auch die Aufteilung vieler Betriebe in räumlich getrennte Einheiten macht es notwendig, all diese Einheiten untereinander mit einem sicheren Netzwerk zu verbinden. Virtuelle private Netzwerke (VPNs) sind diesbezüglich die Lösung, die eine solche Verbindung auch über das ansonsten unsichere Internet hinweg ermöglichen und absichern können.

Auf 19 kompakten elektronischen Seiten befassen wir uns im eBook „Virtual Private Networks“ mit den Grundlagen aktueller Techniken rund um virtuelle private Netzwerke, stellen Lösungsunterschiede vor, geben Tipps zur Auswahl der individuell passenden Lösung und sagen, auf was es bei Implementierung und Management solcher Netze ankommt.

Das eBook „Virtual Private Networks“ steht registrierten Lesern von IP-Insider ab sofort kostenfrei zum Download zur Verfügung. Eine Registrierung ist ebenfalls kostenfrei möglich und erlaubt auch den Zugriff auf alle bisher erschienenen und zukünftigen eBooks sowie auf alle anderen registrierungspflichtigen Inhalte unseres Portals.

VPN – Grundlagen, Einsatz und Administration

eBook "Virtual Private Networks" verfügbar

(ID:44432561)