Definition

Was ist ein VPN?

| Autor / Redakteur: Stefan Luber / Andreas Donner

(© aga7ta - Fotolia)

Ein Virtual Private Network (VPN) ermöglicht eine verschlüsselte, zielgerichtete Übertragung von Daten über öffentliche Netze wie das Internet. Es etabliert geschützte und in sich geschlossene Netzwerke mit verschiedenen Endgeräten. Häufige Anwendung ist die Anbindung von Home Offices oder mobilen Mitarbeitern.

Innerhalb eines Virtual Private Network (VPN) sind verschiedene Teilnehmer eines IP-Netzwerks zu einem in sich geschützten Teilnetz verbunden. Um die im Virtual Privat Network über das öffentliche Internet übertragenen Daten vor unbefugtem Zugriff zu schützen, sind die Verbindungen verschlüsselt. Zwischen den einzelnen Teilnehmern entstehen Tunnelverbindungen, die von außen nicht einsehbar sind.

Die Netzstruktur von VPNs kann sich unterscheiden und aus einfachen Punkt-zu-Punkt-Verbindungen, Punkt-zu-Mehrpunkt-Verbindungen oder vollständig vermaschten Teilnehmern bestehen. Virtuelle Private Netzwerke lassen sich als kostengünstige Alternative zu physischen, dediziert aufgebauten Netzen einsetzen. Sie verwenden das öffentliche Internet als Verbindungsmedium und machen das Anmieten von Standleitungen überflüssig.

Verschlüsselungs- und Tunneltechniken im Virtual Private Network

Um die Vertraulichkeit, Integrität und Authentizität der über das Virtual Private Network übertragenen Daten sicherzustellen, kommen Verschlüsselungs- und Tunneltechniken zum Einsatz. Die Verbindungen der verschiedenen Teilnehmer innerhalb des VPNs sind trotz des öffentlichen Internets als Transportmedium abhörsicher und manipulationsgeschützt.

Für die Verschlüsselung existieren unterschiedliche Methoden und Techniken. Als eine Art Standard für Virtual Private Networks hat sich die Internet Protocol Security (IPsec) mit Encapsulating Security Payload (ESP) etabliert. Ein Großteil heutiger VPNs basiert auf dieser Verschlüsselungsmethode. IPsec-Clients für die Endgeräte stehen für viele verschiedene Betriebssysteme wie Microsoft Windows, Apple macOS oder Linux zur Verfügung.

Die Gegenstelle der IPsec-Verbindung des VPNs bilden zentrale VPN-Gateways wie Router oder Firewalls, in denen ebenfalls IPsec implementiert ist. Zur Authentifizierung der Teilnehmer kommen Userkennungen, Passwörter, Schlüssel und Zertifikate zum Einsatz. Besonders sichere Systeme arbeiten mit der so genannten Mehr-Faktor-Authentifizierung und setzen weitere Merkmale wie Hardware-Token oder Chipkarten zur Authentifizierung ein.

Bei der Verbindung zwischen dem zentralen Gateway und dem Teilnehmer handelt es sich um einen oder mehrere Tunnel. Die Verbindung basiert auf den öffentlichen IP-Adressen der beiden Endstellen, beinhaltet aber eine weitere verschlüsselte IP-Verbindung mit einer eigenen IP-Adressierung. Diese zweite IP-Verbindung ist geschützt und von außen nicht einsehbar. Nur die Endpunkte des Tunnels können die im Tunnel übertragenen Daten entschlüsseln und interpretieren. Das öffentliche Internet stellt für die Tunnelverbindung lediglich die grundsätzliche Konnektivität und Transportleistung zur Verfügung

Zentrale Komponenten in einem Virtual Private Network

Die Grenzen der VPN-Tunnelverbindung werden als VPN-Endpunkte bezeichnet. Auf zentraler Seite handelt es sich beim VPN-Endpunkt um das Gateway, das für die Einhaltung der Authentizität, Vertraulichkeit und Integrität der Verbindung zuständig ist. Auf der Clientseite ist der VPN-Endpunkt meist der auf dem System installierte Software-Client, über den sämtliche Kommunikation im VPN erfolgen muss. Für die zentralen Gateways existieren unterschiedliche Lösungskonzepte. Es kann sich um hardwarebasierte VPN-Router, VPN-Gateways und Firewalls oder um softwarebasierte VPN-Server handeln. Viele heute eingesetzte Firewalls und Router sind mit geeigneten VPN-Funktionen für die Realisierung von Virtual Private Networks ausgestattet.

Das webbasierte SSL-VPN

Eine Sonderform des VPNs, das sich deutlich von IPsec-basierten virtuellen privaten Netzwerken unterscheidet, ist das webbasierte SSL-VPN. Ein SSL-VPN erlaubt Teilnehmern den Zugriff auf zentrale Anwendungen oder Daten, ohne dass eine direkte Anbindung an das interne Netzwerk erfolgt. Ist nur der Zugriff auf einzelne Dienste möglich, handelt es sich im engeren Sinn nicht um ein vollwertiges Virtual Private Network. Bei den SSL-VPNs kann zwischen Fat-Client-, Thin-Client- und Clientless-Realisierungen unterschieden werden.

Für die Herstellung einer VPN-Verbindung im konventionellen Sinn kommt der Fat-Client zum Einsatz. Der Thin-Client nutzt einen Proxy-Mechanismus eines Plug-ins und stellt die Verbindung zu entfernten Netzwerkdiensten her. Diese Plug-ins sind beispielsweise als Erweiterungen für Webbrowser verfügbar. Ohne spezielle Softwareerweiterung und der Notwendigkeit einer separaten Installation kommen Clientless-SSL-Lösungen aus. Sie gestatten es, direkt über einen Standard-Webbrowser auf Webanwendungen eines Unternehmens-Servers zuzugreifen. Hierfür stellt der Webserver die Schnittstelle zu den internen Anwendungen dar.

SSL-VPNs haben gemeinsam, dass sie das gesicherte SSL- oder TLS-Protokoll für die Übertragung der Daten verwenden. SSL-VPNs mit einem Fat-Client sind eine Alternative, falls sich aufgrund von Beschränkungen in einem Netzwerk keine IPsec-Tunnel aufbauen lassen. Wie bei einem konventionellen Virtual Private Network muss die Client-Software des Fat-Clients installiert sein. Sie bildet den clientseitigen VPN-Adapter und gestattet es, sämtlichen Verkehr zwischen den VPN-Endpunkten in einer verschlüsselten SSL-Verbindung zu übertragen.

Verschiedene Anwendungsbeispiele für VPNs

Virtuelle private Netzwerke kommen heute in vielen Bereichen zum Einsatz. Aufgrund der niedrigen Kosten für die Vernetzung und der flexibel und schnell zu etablierenden Netzwerkverbindungen haben sie konventionelle, auf Standleitungen basierende private IP-Netze teilweise abgelöst.

So lassen sich per virtuellem privaten Netzwerk mehrere Geschäftsstellen über Site-to-Site-Verbindungen miteinander vernetzen. Auch die Anbindung eines einzelnen Rechners eines Mitarbeiters, der von zu Hause oder von unterwegs aus arbeitet, ist möglich. Es handelt sich in diesem Fall um eine End-to-Site-Verbindung. Diese Verbindungsart ist unter anderem nutzbar, um die Kommunikation über öffentliche Hotspots abzusichern.

Weitere Anwendungsfälle für VPNs sind so genannte End-to-End-Verbindungen zwischen zwei Endgeräten, zwei Servern oder einem Endgerät und einem Server. Es handelt sich bei dieser Verbindungsart um ein Netzwerk, das lediglich aus zwei Teilnehmern besteht. Eine darüberhinausgehende Kommunikation zu anderen Teilnehmern ist nicht möglich. Eine End-to-End-Verbindung kann zum Beispiel für die Wartung eines Servers genutzt werden, bei der ein externer Dienstleister mit seinem Rechner zwar die Verbindung zum Server aber zu keinem weiteren Teilnehmer im internen Netz aufbauen kann.

Typischer Ablauf für den Aufbau einer VPN-Verbindung

Soll eine virtuelle private Netzwerkverbindung von einem Heimarbeitsplatz aufgebaut werden, kann ein typischer Einwahlvorgang aus folgenden Einzelschritten bestehen. Zunächst baut der Anwender mit seinem Endgerät eine Verbindung zum öffentlichen Internet per Übertragungstechniken wie DSL oder Mobilfunk auf. Anschließend startet er auf seinem Rechner die VPN-Software. Diese stellt automatisch oder manuell durch den User ausgelöst die Verbindung zum zentralen Gateway des Firmennetzwerks über das öffentliche Internet her.

Im nächsten Schritt erfolgt die Authentifizierung des Anwenders. Je nach genutzter Lösung kann dies ein im Client hinterlegter Schlüssel, eine manuell einzugebende Kombination aus Userkennung und Passwort oder ein weiteres Merkmal wie das von einem Token generierte Einmalpasswort sein. Kann die Gegenstelle den Anwender erfolgreich authentifizieren, erhält er Zugriff auf die zuvor vom Administrator definierten Teile des Firmennetzwerks.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

So klappt der betriebliche Funkverkehr

Integration von Fernwirk-Außenstationen in die Leitzentrale

So klappt der betriebliche Funkverkehr

Der deutschen Wasserwirtschaft gehören mehr als 15.000 Betriebe an. Die Infrastruktur dieses Wirtschaftszweigs umfasst Kanalnetze, Regenüberlaufbecken, Pumpstationen, Hochbehälter, Druckerhöhungsstationen sowie die zentralen Wasser- und Abwasserwerke. Alle Anlagen und Netze müssen an 365 Tagen im Jahr rund um die Uhr zuverlässig funktionieren. Doch wie lässt sich diese Anforderung kommunikativ umsetzen? lesen

Industrierouter mit Firewall

VPN-Lösung für das IoT

Industrierouter mit Firewall

Der Tosibox Lock 150 von Hy-Line Communication könne als Endpunkt für sichere Fernverbindungen dienen. Mit dem Lock verbundene IoT-Geräte seien über das Internet und die meisten LAN- und WAN-Netzwerke mittels verschlüsselter VPN-Verbindung sicher zugänglich. lesen

Höherer Durchsatz bei Zyxels SD-WAN-Lösung

Mehr Bandbreite für KMU

Höherer Durchsatz bei Zyxels SD-WAN-Lösung

Zyxel zufolge wird Nebula SD-WAN dank einer fast 20-fach höheren Durchsatzgeschwindigkeit die standortübergreifende Kommunikation für KMU maßgeblich verbessern. Geschäftskritische Daten würden künftig binnen weniger Minuten von der Unternehmenszentrale in die Zweigstellen übertragen. lesen

Virtual Secure Enterprise VPN Server von NCP

Appliance für Unternehmen und Service-Provider

Virtual Secure Enterprise VPN Server von NCP

Der Virtual Secure Enterprise VPN Server besteht laut NCP aus dem VPN-Server, High-Availability-Services und einem gehärteten Betriebssystem. Mit der virtuellen Appliance sei es möglich, mobile und stationäre Mitarbeiter in einem unternehmensübergreifenden Datennetz zu integrieren. lesen

Bundesweite Vernetzung von 8.800 Standorten

SD-WAN-Projekt von Lancom und Ecotel

Bundesweite Vernetzung von 8.800 Standorten

Lancom und Ecotel planen eigenen Angaben zufolge eines der größten europäischen WAN-Projekte auf SDN-Basis. Lancom liefert die Hardware, die Vernetzung über ein VPN übernimmt Ecotel. Ziel ist ein Netz über 8.800 deutsche Standorte mit „Ende-zu-Ende-Datensicherheit – Made in Germany“. lesen

Sicherheit außerhalb der Unternehmensfirewall

Kontrolle über jedes Gerät in jedem Netzwerk

Sicherheit außerhalb der Unternehmensfirewall

NetMotion aktualisiert seine Software Mobility. Das so genannte Aware-Update umfasse Verbesserungen der dynamischen Webfilterung, um den Zugriff mobiler Mitarbeiter mit iOS-, Android- und Windows-Geräten auf Webanwendungen und Domänen über beliebige Netzwerke zu sichern und zu verwalten. lesen

So steuern Sie das Active Directory flexibel

Domänencontroller unter Windows Server 2016/2019 herauf- und herabstufen

So steuern Sie das Active Directory flexibel

Active-Directory-Domänencontroller können flexibel zu einem Mitgliedsserver herabgestuft und Mitgliedsserver problemlos zu einem Domänencontroller heraufgestuft werden. Die einzelnen Rollen lassen sich dabei zwischen Servern übertragen. Wir zeigen, wann dies sinnvoll ist und erläutern die Vorgehensweisen. lesen

Erste 5G-Felderfahrungen in Verkehr und Fabrik

5G wird Schritt für Schritt Realität

Erste 5G-Felderfahrungen in Verkehr und Fabrik

Noch sind nicht alle 5G-Lizenzen verteilt. Doch inzwischen gibt es schon einige Felder, auf denen die Technologie praktisch erprobt wird. Der wohl umfangreichste Feldversuch findet entlang der A9 statt. lesen

WLAN- und Routing-Lösungen für die Standortvernetzung

Vitel ist Peplink-Distributor in der DACH-Region

WLAN- und Routing-Lösungen für die Standortvernetzung

Value-Added-Distributor Vitel und Netzwerktechnologieanbieter Peplink schließen eine Vertriebspartnerschaft für den deutschsprachigen Markt. Mit den Produkten von Peplink vertreibt Vitel künftig WLAN- und Routing-Lösungen für eine ausfallsichere, standortübergreifende Vernetzung. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44790099 / Definitionen)