Definition

Was ist ein VPN?

| Autor / Redakteur: Stefan Luber / Andreas Donner

(© aga7ta - Fotolia)

Ein Virtual Private Network (VPN) ermöglicht eine verschlüsselte, zielgerichtete Übertragung von Daten über öffentliche Netze wie das Internet. Es etabliert geschützte und in sich geschlossene Netzwerke mit verschiedenen Endgeräten. Häufige Anwendung ist die Anbindung von Home Offices oder mobilen Mitarbeitern.

Innerhalb eines Virtual Private Network (VPN) sind verschiedene Teilnehmer eines IP-Netzwerks zu einem in sich geschützten Teilnetz verbunden. Um die im Virtual Privat Network über das öffentliche Internet übertragenen Daten vor unbefugtem Zugriff zu schützen, sind die Verbindungen verschlüsselt. Zwischen den einzelnen Teilnehmern entstehen Tunnelverbindungen, die von außen nicht einsehbar sind.

Die Netzstruktur von VPNs kann sich unterscheiden und aus einfachen Punkt-zu-Punkt-Verbindungen, Punkt-zu-Mehrpunkt-Verbindungen oder vollständig vermaschten Teilnehmern bestehen. Virtuelle Private Netzwerke lassen sich als kostengünstige Alternative zu physischen, dediziert aufgebauten Netzen einsetzen. Sie verwenden das öffentliche Internet als Verbindungsmedium und machen das Anmieten von Standleitungen überflüssig.

Verschlüsselungs- und Tunneltechniken im Virtual Private Network

Um die Vertraulichkeit, Integrität und Authentizität der über das Virtual Private Network übertragenen Daten sicherzustellen, kommen Verschlüsselungs- und Tunneltechniken zum Einsatz. Die Verbindungen der verschiedenen Teilnehmer innerhalb des VPNs sind trotz des öffentlichen Internets als Transportmedium abhörsicher und manipulationsgeschützt.

Für die Verschlüsselung existieren unterschiedliche Methoden und Techniken. Als eine Art Standard für Virtual Private Networks hat sich die Internet Protocol Security (IPsec) mit Encapsulating Security Payload (ESP) etabliert. Ein Großteil heutiger VPNs basiert auf dieser Verschlüsselungsmethode. IPsec-Clients für die Endgeräte stehen für viele verschiedene Betriebssysteme wie Microsoft Windows, Apple macOS oder Linux zur Verfügung.

Die Gegenstelle der IPsec-Verbindung des VPNs bilden zentrale VPN-Gateways wie Router oder Firewalls, in denen ebenfalls IPsec implementiert ist. Zur Authentifizierung der Teilnehmer kommen Userkennungen, Passwörter, Schlüssel und Zertifikate zum Einsatz. Besonders sichere Systeme arbeiten mit der so genannten Mehr-Faktor-Authentifizierung und setzen weitere Merkmale wie Hardware-Token oder Chipkarten zur Authentifizierung ein.

Bei der Verbindung zwischen dem zentralen Gateway und dem Teilnehmer handelt es sich um einen oder mehrere Tunnel. Die Verbindung basiert auf den öffentlichen IP-Adressen der beiden Endstellen, beinhaltet aber eine weitere verschlüsselte IP-Verbindung mit einer eigenen IP-Adressierung. Diese zweite IP-Verbindung ist geschützt und von außen nicht einsehbar. Nur die Endpunkte des Tunnels können die im Tunnel übertragenen Daten entschlüsseln und interpretieren. Das öffentliche Internet stellt für die Tunnelverbindung lediglich die grundsätzliche Konnektivität und Transportleistung zur Verfügung

Zentrale Komponenten in einem Virtual Private Network

Die Grenzen der VPN-Tunnelverbindung werden als VPN-Endpunkte bezeichnet. Auf zentraler Seite handelt es sich beim VPN-Endpunkt um das Gateway, das für die Einhaltung der Authentizität, Vertraulichkeit und Integrität der Verbindung zuständig ist. Auf der Clientseite ist der VPN-Endpunkt meist der auf dem System installierte Software-Client, über den sämtliche Kommunikation im VPN erfolgen muss. Für die zentralen Gateways existieren unterschiedliche Lösungskonzepte. Es kann sich um hardwarebasierte VPN-Router, VPN-Gateways und Firewalls oder um softwarebasierte VPN-Server handeln. Viele heute eingesetzte Firewalls und Router sind mit geeigneten VPN-Funktionen für die Realisierung von Virtual Private Networks ausgestattet.

Das webbasierte SSL-VPN

Eine Sonderform des VPNs, das sich deutlich von IPsec-basierten virtuellen privaten Netzwerken unterscheidet, ist das webbasierte SSL-VPN. Ein SSL-VPN erlaubt Teilnehmern den Zugriff auf zentrale Anwendungen oder Daten, ohne dass eine direkte Anbindung an das interne Netzwerk erfolgt. Ist nur der Zugriff auf einzelne Dienste möglich, handelt es sich im engeren Sinn nicht um ein vollwertiges Virtual Private Network. Bei den SSL-VPNs kann zwischen Fat-Client-, Thin-Client- und Clientless-Realisierungen unterschieden werden.

Für die Herstellung einer VPN-Verbindung im konventionellen Sinn kommt der Fat-Client zum Einsatz. Der Thin-Client nutzt einen Proxy-Mechanismus eines Plug-ins und stellt die Verbindung zu entfernten Netzwerkdiensten her. Diese Plug-ins sind beispielsweise als Erweiterungen für Webbrowser verfügbar. Ohne spezielle Softwareerweiterung und der Notwendigkeit einer separaten Installation kommen Clientless-SSL-Lösungen aus. Sie gestatten es, direkt über einen Standard-Webbrowser auf Webanwendungen eines Unternehmens-Servers zuzugreifen. Hierfür stellt der Webserver die Schnittstelle zu den internen Anwendungen dar.

SSL-VPNs haben gemeinsam, dass sie das gesicherte SSL- oder TLS-Protokoll für die Übertragung der Daten verwenden. SSL-VPNs mit einem Fat-Client sind eine Alternative, falls sich aufgrund von Beschränkungen in einem Netzwerk keine IPsec-Tunnel aufbauen lassen. Wie bei einem konventionellen Virtual Private Network muss die Client-Software des Fat-Clients installiert sein. Sie bildet den clientseitigen VPN-Adapter und gestattet es, sämtlichen Verkehr zwischen den VPN-Endpunkten in einer verschlüsselten SSL-Verbindung zu übertragen.

Verschiedene Anwendungsbeispiele für VPNs

Virtuelle private Netzwerke kommen heute in vielen Bereichen zum Einsatz. Aufgrund der niedrigen Kosten für die Vernetzung und der flexibel und schnell zu etablierenden Netzwerkverbindungen haben sie konventionelle, auf Standleitungen basierende private IP-Netze teilweise abgelöst.

So lassen sich per virtuellem privaten Netzwerk mehrere Geschäftsstellen über Site-to-Site-Verbindungen miteinander vernetzen. Auch die Anbindung eines einzelnen Rechners eines Mitarbeiters, der von zu Hause oder von unterwegs aus arbeitet, ist möglich. Es handelt sich in diesem Fall um eine End-to-Site-Verbindung. Diese Verbindungsart ist unter anderem nutzbar, um die Kommunikation über öffentliche Hotspots abzusichern.

Weitere Anwendungsfälle für VPNs sind so genannte End-to-End-Verbindungen zwischen zwei Endgeräten, zwei Servern oder einem Endgerät und einem Server. Es handelt sich bei dieser Verbindungsart um ein Netzwerk, das lediglich aus zwei Teilnehmern besteht. Eine darüberhinausgehende Kommunikation zu anderen Teilnehmern ist nicht möglich. Eine End-to-End-Verbindung kann zum Beispiel für die Wartung eines Servers genutzt werden, bei der ein externer Dienstleister mit seinem Rechner zwar die Verbindung zum Server aber zu keinem weiteren Teilnehmer im internen Netz aufbauen kann.

Typischer Ablauf für den Aufbau einer VPN-Verbindung

Soll eine virtuelle private Netzwerkverbindung von einem Heimarbeitsplatz aufgebaut werden, kann ein typischer Einwahlvorgang aus folgenden Einzelschritten bestehen. Zunächst baut der Anwender mit seinem Endgerät eine Verbindung zum öffentlichen Internet per Übertragungstechniken wie DSL oder Mobilfunk auf. Anschließend startet er auf seinem Rechner die VPN-Software. Diese stellt automatisch oder manuell durch den User ausgelöst die Verbindung zum zentralen Gateway des Firmennetzwerks über das öffentliche Internet her.

Im nächsten Schritt erfolgt die Authentifizierung des Anwenders. Je nach genutzter Lösung kann dies ein im Client hinterlegter Schlüssel, eine manuell einzugebende Kombination aus Userkennung und Passwort oder ein weiteres Merkmal wie das von einem Token generierte Einmalpasswort sein. Kann die Gegenstelle den Anwender erfolgreich authentifizieren, erhält er Zugriff auf die zuvor vom Administrator definierten Teile des Firmennetzwerks.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

3 Gründe, warum SD-WAN für die Cloud-Migration nötig ist

Ohne Cloud keine Zukunft – ohne SD-WAN keine Cloud

3 Gründe, warum SD-WAN für die Cloud-Migration nötig ist

Früher waren Unternehmensnetzwerke innerhalb fester Parameter organisiert und es wurden allenfalls Anwendungen verbunden, die sich außerhalb des Standortes in einem Rechenzentrum befanden. Erweiterungen der Kapazitäten wurden Monate im Voraus geplant und Applikationen nur in regelmäßigen Abständen sorgfältig implementiert. Das ist heute anders und nur über Cloud und SD-WAN-Techniken realisierbar. lesen

Lancom vRouter für Azure verfügbar

Virtuelle Routing-/Gateway-Lösung für KMU und Enterprise

Lancom vRouter für Azure verfügbar

Lancom Systems bietet den vRouter auf dem Microsoft Azure Marketplace an. Somit können Kunden Anwendungen in der Public Cloud per eigenem VPN-Tunnel mit dem Unternehmensnetz verbinden. lesen

Landeszeitung für die Lüneburger Heide setzt auf Cloud-MDM

Datenschutz im Pressehaus

Landeszeitung für die Lüneburger Heide setzt auf Cloud-MDM

Da die Landeszeitung für die Lüneburger Heide den Schutz persönlicher Daten sehr ernst nimmt, ist es nur selbstverständlich, dass sie auch im Bereich MDM nach einer DSGVO-konformen Lösung suchte. Mit Cortado MDM fand das Verlagshaus die perfekte Anwendung. Inzwischen betreibt es seine Mobilfunkgeräte mit der Lösung von Cortado 100% datenschutzkonform. lesen

NCP optimiert VPN-Gateway

Aktuelle Secure Enterprise VPN Server

NCP optimiert VPN-Gateway

NCP hat seine VPN-Gateways Secure Enterprise VPN Server und Virtual Secure Enterprise VPN Server aktualisiert. Die Version 12.10 biete neue Features wie die IPv4/IPv6-Dual-Stack-Unterstützung sowie die Erreichbarkeit identischer Remote-IP-Adressbereiche im IIoT-Bereich. lesen

Absolutes Muss: ein vollständiger Disaster-Recovery-Plan

Zuverlässige Präventionsmaßnahmen zur Datensicherheit

Absolutes Muss: ein vollständiger Disaster-Recovery-Plan

Seit neun Jahren gibt es den „World Backup Day“, der Unternehmen und IT-Verantwortliche daran erinnern soll, sich für Notfälle zu rüsten. Doch leider wird die Notwendigkeit eines Disaster-Recovery-Plans nach wie vor von vielen ignoriert. Auch wenn ein zuverlässiges Backup durchaus kein Hexenwerk ist, beschäftigen sich die Unternehmen lieber mit ihrer strategischen Ausrichtung, anstatt Notfallkonzepte zu etablieren. lesen

BlackBerry Enterprise Mobility Suite mit neuen Funktionen

Geschäfts- und Privatanwendungen sicher verbinden

BlackBerry Enterprise Mobility Suite mit neuen Funktionen

BlackBerry Limited adressiert mit der aktualisierten BlackBerry Enterprise Mobility Suite gestiegene Anforderungen moderner und vernetzter Mitarbeiter. Der Fokus liege auf Interoperabilität und Verlässlichkeit, um Daten über Firmengrenzen hinaus teilen, nutzen und schützen zu können. lesen

Telekom und Samsung kooperieren beim MDM

Mobile Devive Management mit Samsung Knox

Telekom und Samsung kooperieren beim MDM

Die Deutsche Telekom integriert verschiedene Mobile-Device-Management-Dienste (MDM), die Samsung unter dem Knox-Brand vermarktet, ins eigene Angebot. Die Kooperation wurde auf der Hausmesse „Digital X“ bekanntgegeben. lesen

Lancom rüstet SD-WAN-Funktionen nach

Performancegewinn und Anwendungskontrolle per LCOS-Update

Lancom rüstet SD-WAN-Funktionen nach

Lancom kündigt SD-WAN-Funktionen für die eigenen VPN-Router und -Gateways an. Das jetzt verfügbare Firmwareupdate auf LCOS 10.30 umfasst Application Routing und Layer-7-Applikationskontrolle; weitere Optimierungsfunktionen sollen ab Herbst folgen. lesen

„Insight Managed Smart Cloud“-Produkte von Netgear

Remote-Netzwerkmanagement

„Insight Managed Smart Cloud“-Produkte von Netgear

Netgear erweitert sein Portfolio an Insight-Netzwerklösungen. Die Smart Cloud-Produkte: GC108P (26W) und GC108PP (126W) können allesamt remote verwaltet werden und sind ab sofort auf dem deutschen Markt verfügbar. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44790099 / Definitionen)