Definition Was ist ein Always On VPN?

Anbieter zum Thema

Aagon GmbH

Vitel GmbH

Always On VPN ist eine VPN-Lösung von Microsoft, mit der sich permanente, sichere Verbindungen in ein Unternehmensnetzwerk herstellen lassen, ohne dass der Anwender aktiv eine Verbindung aufbauen muss. Die Lösung ersetzt die Vorgänger-Remote-Verbindungslösung DirectAccess und bietet gegenüber dieser einige Vorteile. Auf Windows-Endgeräten ist Always On VPN in Windows 10 und 11 verfügbar.

Always On VPN ist der Name einer VPN-Lösung von Microsoft. Sie ist für den Einsatz in Unternehmensumgebungen mit Windows-Rechnern vorgesehen und ermöglicht dauerhafte, sichere Remote-Verbindungen in das Unternehmensnetzwerk, ohne dass der Anwender aktiv eine VPN-Verbindung aufbauen muss. Die Verbindungen werden mit Always On VPN automatisch hergestellt.

Always On VPN ist als Ersatz und moderner Nachfolger der Remote-Verbindungslösung DirectAccess von Microsoft gedacht und bietet gegenüber der Vorgängerlösung einige Verbesserungen und einen erweiterten Funktionsumfang. Die VPN-Lösung Always On VPN wurde mit Windows Server 2016 und Windows 10 eingeführt. Sie wird auf Client-Endgeräten mit den Betriebssystemen Windows 10 und Windows 11 in der Pro-, Enterprise- und Education-Version unterstützt und erfordert keine zusätzlichen Lizenzkosten.

Mithilfe von Always On VPN lässt sich das Risiko von Datenlecks und Sicherheitsbedrohungen bei der Arbeit über potenziell unsichere Netzwerke wie das Internet minimieren.

Always On VPN als Nachfolger von DirectAccess

Die proprietäre Vorgänger-Enterprise-VPN-Lösung DirectAccess wurde von Microsoft mit Windows Server 2008 R2 und Windows 7 eingeführt. 2024 kennzeichnete Microsoft DirectAccess offiziell als veraltete, nicht mehr weiterentwickelte Funktion und kündigte die Lösung damit quasi ab, da ihre Unterstützung in zukünftigen Betriebssystemversionen nicht mehr gesichert ist. Ihr Einsatz wird von Microsoft nicht mehr empfohlen. Unternehmen wird stattdessen geraten, auf die modernere und flexiblere Lösung Always On VPN umzusteigen.

Gegenüber DirectAccess bietet Always On VPN einige Vorteile. So unterstützt Always On VPN beispielsweise modernere Authentifizierungsmethoden, lässt sich nativ mit IPv4 und IPv6 einsetzen, ermöglicht eine größere Auswahl an VPN-Protokollen und ist granularer steuerbar. Zudem integriert sich die VPN-Lösung in Entra ID und eignet sich sehr gut für den Einsatz in Azure-Umgebungen oder in hybriden Szenarien.

Prinzipielle Funktionsweise und Merkmale von Always On VPN

Bei den meisten klassischen VPN-Lösungen ist es erforderlich, dass der Nutzer die VPN-Verbindung aktiv aufbaut. Das ist bei Always On VPN nicht notwendig. Always On VPN baut, sobald das Endgerät einen geeigneten Netzwerkzugang erkannt hat, die VPN-Verbindung automatisch und für den Nutzer unbemerkt im Hintergrund auf und bietet sogar so genannte Pre-Login-Konnektivität.

Zur technischen Umsetzung der Pre-Login-Konnektivität verwendet Always On VPN zwei verschiedene Tunnelarten: einen Gerätetunnel (Device Tunnel) und einen Benutzertunnel (User Tunnel). Für die VPN-Tunnel selbst werden moderne und sichere VPN-Protokolle wie IKEv2 oder das proprietäre, von Microsoft entwickelte Secure Socket Tunneling Protocol (SSTP) unterstützt. Dank der Unterstützung des IKEv2-VPN-Protokolls, eines der am häufigsten verwendeten Tunnelprotokolle, ist eine grundsätzliche Interoperabilität mit VPN-Gateways vieler anderer Hersteller gegeben.

Der Gerätetunnel für die Pre-Login-Konnektivität wird schon vor der Benutzeranmeldung aufgebaut und ermöglicht den Empfang von Gruppenrichtlinien, Zertifikatsdiensten oder anderen internen Server-Diensten. Der VPN-Client erkennt anhand seiner Konfiguration beim Systemstart, dass ein Gerätetunnel aufgebaut werden soll, und stellt automatisch die Verbindung zu einem vorgegebenen VPN-Gateway her. Über den Gerätetunnel können so schon vor dem Benutzer-Login, Gruppenrichtlinien aktualisiert, Skripte ausgeführt oder Updates installiert werden. Der Aufbau des Benutzertunnels erfolgt erst nach der Anmeldung des Users. Über diesen Tunnel greift der Benutzer auf rollenbasierte beziehungsweise auf persönliche Ressourcen zu. Die VPN-Verbindungen bleiben auch beim Standortwechsel oder beim Wechsel zwischen WLAN und Mobilfunk bestehen. Bei einer Trennung werden sie automatisch wiederhergestellt.

Dank dieses Konzepts eignet sich Always On VPN für verschiedene Szenarien. Es werden nicht nur Geräte unterstützt, die in eine Domäne eingebunden sind, sondern es kann auch Nicht-Domänen-Geräten in Arbeitsgruppen oder über Microsoft Entra ID verbundenen Geräten, zum Beispiel modernen BYOD-Arbeitsplätzen, sicherer Zugriff auf Unternehmensressourcen gewährt werden. In eine Domäne eingebundene Geräte erfordern in der Regel einen Gerätetunnel. Benutzertunnel werden von allen Geräten unabhängig von der Einbindung in eine Domäne verwendet.

Die Erreichbarkeit der Netzwerkressourcen ist feingranular steuerbar. Always On VPN lässt sich so konfigurieren, dass nur bestimmter Verkehr durch den Tunnel läuft und anderer Verkehr direkt ins Internet geht (Split Tunneling). Aber auch die über den Tunnel erreichbaren internen Netzwerkressourcen lassen sich genau einstellen und beschränken.

Was sind typische Einsatzszenarien für Always On VPN

Always On VPN ist für den Einsatz in Microsoft-Unternehmensumgebungen vorgesehen. Unternehmen nutzen die VPN-Lösung, um sicherzustellen, dass aus der Ferne arbeitende, über das Internet verbundene Mitarbeiter über eine geschützte und verschlüsselte VPN-Verbindung Zugriff auf die benötigten internen Unternehmensressourcen wie Anwendungen, Services oder Daten erhalten. Darüber hinaus lassen sich auch von anderen mobilen Endgeräten ohne Windows, wie Android- oder iOS-Smartphones, sichere VPN-Tunnel aufbauen. Hierfür ist es notwendig, auf native Always-on-Features der jeweiligen Betriebssysteme zurückzugreifen und serverseitig das IKEv2-Protokoll zu nutzen.

Typische Einsatzszenarien für Always On VPN sind:

• sicheres mobiles Arbeiten von unterwegs (zum Beispiel für die Anbindung von Firmenlaptops oder anderen mobilen Geräten der Außendienstmitarbeiter)

• sicheres Arbeiten vom Homeoffice aus

• Remote-Management von Geräten außerhalb des Firmennetzwerks (zum Beispiel für Software-Updates, die Aktualisierung und Durchsetzung von Richtlinien oder für die Durchführung von Sicherheitsprüfungen)

• sicherer Zugriff auf nicht cloudfähige On-Premises-Anwendungen über das Internet

(ID:50820813)