Definition

Was ist ein VPN?

| Autor / Redakteur: tutanch / Andreas Donner

(© aga7ta - Fotolia)

Ein Virtual Private Network (VPN) ermöglicht eine verschlüsselte, zielgerichtete Übertragung von Daten über öffentliche Netze wie das Internet. Es etabliert geschützte und in sich geschlossene Netzwerke mit verschiedenen Endgeräten. Häufige Anwendung ist die Anbindung von Home Offices oder mobilen Mitarbeitern.

Innerhalb eines Virtual Private Network (VPN) sind verschiedene Teilnehmer eines IP-Netzwerks zu einem in sich geschützten Teilnetz verbunden. Um die im Virtual Privat Network über das öffentliche Internet übertragenen Daten vor unbefugtem Zugriff zu schützen, sind die Verbindungen verschlüsselt. Zwischen den einzelnen Teilnehmern entstehen Tunnelverbindungen, die von außen nicht einsehbar sind.

Die Netzstruktur von VPNs kann sich unterscheiden und aus einfachen Punkt-zu-Punkt-Verbindungen, Punkt-zu-Mehrpunkt-Verbindungen oder vollständig vermaschten Teilnehmern bestehen. Virtuelle Private Netzwerke lassen sich als kostengünstige Alternative zu physischen, dediziert aufgebauten Netzen einsetzen. Sie verwenden das öffentliche Internet als Verbindungsmedium und machen das Anmieten von Standleitungen überflüssig.

Verschlüsselungs- und Tunneltechniken im Virtual Private Network

Um die Vertraulichkeit, Integrität und Authentizität der über das Virtual Private Network übertragenen Daten sicherzustellen, kommen Verschlüsselungs- und Tunneltechniken zum Einsatz. Die Verbindungen der verschiedenen Teilnehmer innerhalb des VPNs sind trotz des öffentlichen Internets als Transportmedium abhörsicher und manipulationsgeschützt.

Für die Verschlüsselung existieren unterschiedliche Methoden und Techniken. Als eine Art Standard für Virtual Private Networks hat sich die Internet Protocol Security (IPsec) mit Encapsulating Security Payload (ESP) etabliert. Ein Großteil heutiger VPNs basiert auf dieser Verschlüsselungsmethode. IPsec-Clients für die Endgeräte stehen für viele verschiedene Betriebssysteme wie Microsoft Windows, Apple macOS oder Linux zur Verfügung.

Die Gegenstelle der IPsec-Verbindung des VPNs bilden zentrale VPN-Gateways wie Router oder Firewalls, in denen ebenfalls IPsec implementiert ist. Zur Authentifizierung der Teilnehmer kommen Userkennungen, Passwörter, Schlüssel und Zertifikate zum Einsatz. Besonders sichere Systeme arbeiten mit der so genannten Mehr-Faktor-Authentifizierung und setzen weitere Merkmale wie Hardware-Token oder Chipkarten zur Authentifizierung ein.

Bei der Verbindung zwischen dem zentralen Gateway und dem Teilnehmer handelt es sich um einen oder mehrere Tunnel. Die Verbindung basiert auf den öffentlichen IP-Adressen der beiden Endstellen, beinhaltet aber eine weitere verschlüsselte IP-Verbindung mit einer eigenen IP-Adressierung. Diese zweite IP-Verbindung ist geschützt und von außen nicht einsehbar. Nur die Endpunkte des Tunnels können die im Tunnel übertragenen Daten entschlüsseln und interpretieren. Das öffentliche Internet stellt für die Tunnelverbindung lediglich die grundsätzliche Konnektivität und Transportleistung zur Verfügung

Zentrale Komponenten in einem Virtual Private Network

Die Grenzen der VPN-Tunnelverbindung werden als VPN-Endpunkte bezeichnet. Auf zentraler Seite handelt es sich beim VPN-Endpunkt um das Gateway, das für die Einhaltung der Authentizität, Vertraulichkeit und Integrität der Verbindung zuständig ist. Auf der Clientseite ist der VPN-Endpunkt meist der auf dem System installierte Software-Client, über den sämtliche Kommunikation im VPN erfolgen muss. Für die zentralen Gateways existieren unterschiedliche Lösungskonzepte. Es kann sich um hardwarebasierte VPN-Router, VPN-Gateways und Firewalls oder um softwarebasierte VPN-Server handeln. Viele heute eingesetzte Firewalls und Router sind mit geeigneten VPN-Funktionen für die Realisierung von Virtual Private Networks ausgestattet.

Das webbasierte SSL-VPN

Eine Sonderform des VPNs, das sich deutlich von IPsec-basierten virtuellen privaten Netzwerken unterscheidet, ist das webbasierte SSL-VPN. Ein SSL-VPN erlaubt Teilnehmern den Zugriff auf zentrale Anwendungen oder Daten, ohne dass eine direkte Anbindung an das interne Netzwerk erfolgt. Ist nur der Zugriff auf einzelne Dienste möglich, handelt es sich im engeren Sinn nicht um ein vollwertiges Virtual Private Network. Bei den SSL-VPNs kann zwischen Fat-Client-, Thin-Client- und Clientless-Realisierungen unterschieden werden.

Für die Herstellung einer VPN-Verbindung im konventionellen Sinn kommt der Fat-Client zum Einsatz. Der Thin-Client nutzt einen Proxy-Mechanismus eines Plug-ins und stellt die Verbindung zu entfernten Netzwerkdiensten her. Diese Plug-ins sind beispielsweise als Erweiterungen für Webbrowser verfügbar. Ohne spezielle Softwareerweiterung und der Notwendigkeit einer separaten Installation kommen Clientless-SSL-Lösungen aus. Sie gestatten es, direkt über einen Standard-Webbrowser auf Webanwendungen eines Unternehmens-Servers zuzugreifen. Hierfür stellt der Webserver die Schnittstelle zu den internen Anwendungen dar.

SSL-VPNs haben gemeinsam, dass sie das gesicherte SSL- oder TLS-Protokoll für die Übertragung der Daten verwenden. SSL-VPNs mit einem Fat-Client sind eine Alternative, falls sich aufgrund von Beschränkungen in einem Netzwerk keine IPsec-Tunnel aufbauen lassen. Wie bei einem konventionellen Virtual Private Network muss die Client-Software des Fat-Clients installiert sein. Sie bildet den clientseitigen VPN-Adapter und gestattet es, sämtlichen Verkehr zwischen den VPN-Endpunkten in einer verschlüsselten SSL-Verbindung zu übertragen.

Verschiedene Anwendungsbeispiele für VPNs

Virtuelle private Netzwerke kommen heute in vielen Bereichen zum Einsatz. Aufgrund der niedrigen Kosten für die Vernetzung und der flexibel und schnell zu etablierenden Netzwerkverbindungen haben sie konventionelle, auf Standleitungen basierende private IP-Netze teilweise abgelöst.

So lassen sich per virtuellem privaten Netzwerk mehrere Geschäftsstellen über Site-to-Site-Verbindungen miteinander vernetzen. Auch die Anbindung eines einzelnen Rechners eines Mitarbeiters, der von zu Hause oder von unterwegs aus arbeitet, ist möglich. Es handelt sich in diesem Fall um eine End-to-Site-Verbindung. Diese Verbindungsart ist unter anderem nutzbar, um die Kommunikation über öffentliche Hotspots abzusichern.

Weitere Anwendungsfälle für VPNs sind so genannte End-to-End-Verbindungen zwischen zwei Endgeräten, zwei Servern oder einem Endgerät und einem Server. Es handelt sich bei dieser Verbindungsart um ein Netzwerk, das lediglich aus zwei Teilnehmern besteht. Eine darüberhinausgehende Kommunikation zu anderen Teilnehmern ist nicht möglich. Eine End-to-End-Verbindung kann zum Beispiel für die Wartung eines Servers genutzt werden, bei der ein externer Dienstleister mit seinem Rechner zwar die Verbindung zum Server aber zu keinem weiteren Teilnehmer im internen Netz aufbauen kann.

Typischer Ablauf für den Aufbau einer VPN-Verbindung

Soll eine virtuelle private Netzwerkverbindung von einem Heimarbeitsplatz aufgebaut werden, kann ein typischer Einwahlvorgang aus folgenden Einzelschritten bestehen. Zunächst baut der Anwender mit seinem Endgerät eine Verbindung zum öffentlichen Internet per Übertragungstechniken wie DSL oder Mobilfunk auf. Anschließend startet er auf seinem Rechner die VPN-Software. Diese stellt automatisch oder manuell durch den User ausgelöst die Verbindung zum zentralen Gateway des Firmennetzwerks über das öffentliche Internet her.

Im nächsten Schritt erfolgt die Authentifizierung des Anwenders. Je nach genutzter Lösung kann dies ein im Client hinterlegter Schlüssel, eine manuell einzugebende Kombination aus Userkennung und Passwort oder ein weiteres Merkmal wie das von einem Token generierte Einmalpasswort sein. Kann die Gegenstelle den Anwender erfolgreich authentifizieren, erhält er Zugriff auf die zuvor vom Administrator definierten Teile des Firmennetzwerks.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Videokonferenzen in 4K

Lösung für Großunternehmen und TK-Anbieter

Videokonferenzen in 4K

Groß- und Telekommunikationsunternehmen sollen mit TrueConf Enterprise 4K/Ultra-HD-Videokonferenzen in größeren, komplexen Umgebungen kosteneffektiv verwalten und skalieren sowie Benutzer außerhalb des internen Netzwerks suchen, anzeigen und anrufen können. lesen

Nebula SD-WAN für Zyxel VPN-Firewalls

Software-Defined WAN für die ZyWALL VPN50, VPN100 und VPN300

Nebula SD-WAN für Zyxel VPN-Firewalls

Zyxel stattet seine VPN-Firewalls mit SD-WAN-Funktionen aus. Die per Cloud orchestrierte Lösung soll für stabile sowie sichere Verbindungen sorgen, das Nutzererlebnis spürbar verbessern und Ausfälle reduzieren. lesen

Integrated Services Gateways von Lancom

VPN-Verbindung für bis zu 1.000 Außenstellen

Integrated Services Gateways von Lancom

Zwei neue VPN-Gateways erweitern die Produktpalette von Lancom Systems. Die Modelle ISG-4000 und ISG-1000 sind mit Verschlüsselungstechnologien und Redundanz-Funktionen für größtmögliche Ausfallsicherheit ausgelegt. lesen

UCC im Zeitalter der digitalen Transformation

Unified Communications und Collaboration aus der Cloud

UCC im Zeitalter der digitalen Transformation

Nach den Anwendern stehen in Sachen UCC nun verteilte Teams im Fokus, die sich über Echtzeit-Kommunikations- und Kollaborations-Tools produktiv vernetzen sollen. Die Entwicklung geht jedoch ungebremst weiter – und wird von Cloud-basierten, offenen Ökosystemen angetrieben. lesen

Neue Modelle für WANs und Endpoint Security

Nachbericht NetEvents EMEA Press Summit 2018

Neue Modelle für WANs und Endpoint Security

Multi-Clouds, IoT und Mobile Computing haben die Anforderungen an die Netzwerk- und Endpunkt-Sicherheit deutlich erhöht. Auf der Konferenz NetEvents EMEA Press Spotlight in Portugal wurden neue Lösungen und Konzepte vorgestellt, die auch für Service Provider in Deutschland spannend sind. lesen

Das sind die Gewinner der IT-Awards 2018

IT-Awards 2018

Das sind die Gewinner der IT-Awards 2018

Die Gewinner der IT-Awards 2018 stehen fest. Im Rahmen einer festlichen Abendgala wurden die Gewinner der Readers' Choice Awards 2018 der sieben Insider-Portale am 11. Oktober 2018 in Augsburg gekürt. lesen

PRTG überwacht verteilte Multifunktionsmasten

Smart City mit SMIGHT

PRTG überwacht verteilte Multifunktionsmasten

Von der Entwicklung zum laufenden Betrieb: Netzwerk-Monitoring sorgt für ausfallsichere Smart-City-Technologie. lesen

UCaaS mit SD-WAN: besser, sicherer, billiger

SD-WAN für Cloud-First-Strategien

UCaaS mit SD-WAN: besser, sicherer, billiger

Unified Communications as a Service (UCaaS) sorgt in vielen Unternehmen dafür, dass Mitarbeiter effizienter zusammenarbeiten. Oft stört jedoch das unternehmensweite Weitverkehrsnetz dabei, Mitarbeiter mit UC-Anwendungen aus der Cloud zu versorgen. Hier ist ein SD-WAN die bessere Wahl. lesen

6 Kernanforderungen für sichere SD-WANs

Sicherheitskonzept für verteilte Netzwerke

6 Kernanforderungen für sichere SD-WANs

Unternehmen setzen zunehmend auf SD-WAN und lösen damit ihre MPLS-Leitungen ab. Jedoch ist es wichtig, in diesem Zuge auch neue Sicherheitskontrollen für alle Remote-Standorte einzuführen. Für eine sichere SD-WAN-Bereitstellung müssen sechs Kernanforderungen erfüllt sein. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44790099 / Definitionen)