Definition

Was ist ein VPN?

| Autor / Redakteur: Stefan Luber / Andreas Donner

(© aga7ta - Fotolia)

Ein Virtual Private Network (VPN) ermöglicht eine verschlüsselte, zielgerichtete Übertragung von Daten über öffentliche Netze wie das Internet. Es etabliert geschützte und in sich geschlossene Netzwerke mit verschiedenen Endgeräten. Häufige Anwendung ist die Anbindung von Home Offices oder mobilen Mitarbeitern.

Innerhalb eines Virtual Private Network (VPN) sind verschiedene Teilnehmer eines IP-Netzwerks zu einem in sich geschützten Teilnetz verbunden. Um die im Virtual Privat Network über das öffentliche Internet übertragenen Daten vor unbefugtem Zugriff zu schützen, sind die Verbindungen verschlüsselt. Zwischen den einzelnen Teilnehmern entstehen Tunnelverbindungen, die von außen nicht einsehbar sind.

Die Netzstruktur von VPNs kann sich unterscheiden und aus einfachen Punkt-zu-Punkt-Verbindungen, Punkt-zu-Mehrpunkt-Verbindungen oder vollständig vermaschten Teilnehmern bestehen. Virtuelle Private Netzwerke lassen sich als kostengünstige Alternative zu physischen, dediziert aufgebauten Netzen einsetzen. Sie verwenden das öffentliche Internet als Verbindungsmedium und machen das Anmieten von Standleitungen überflüssig.

Verschlüsselungs- und Tunneltechniken im Virtual Private Network

Um die Vertraulichkeit, Integrität und Authentizität der über das Virtual Private Network übertragenen Daten sicherzustellen, kommen Verschlüsselungs- und Tunneltechniken zum Einsatz. Die Verbindungen der verschiedenen Teilnehmer innerhalb des VPNs sind trotz des öffentlichen Internets als Transportmedium abhörsicher und manipulationsgeschützt.

Für die Verschlüsselung existieren unterschiedliche Methoden und Techniken. Als eine Art Standard für Virtual Private Networks hat sich die Internet Protocol Security (IPsec) mit Encapsulating Security Payload (ESP) etabliert. Ein Großteil heutiger VPNs basiert auf dieser Verschlüsselungsmethode. IPsec-Clients für die Endgeräte stehen für viele verschiedene Betriebssysteme wie Microsoft Windows, Apple macOS oder Linux zur Verfügung.

Die Gegenstelle der IPsec-Verbindung des VPNs bilden zentrale VPN-Gateways wie Router oder Firewalls, in denen ebenfalls IPsec implementiert ist. Zur Authentifizierung der Teilnehmer kommen Userkennungen, Passwörter, Schlüssel und Zertifikate zum Einsatz. Besonders sichere Systeme arbeiten mit der so genannten Mehr-Faktor-Authentifizierung und setzen weitere Merkmale wie Hardware-Token oder Chipkarten zur Authentifizierung ein.

Bei der Verbindung zwischen dem zentralen Gateway und dem Teilnehmer handelt es sich um einen oder mehrere Tunnel. Die Verbindung basiert auf den öffentlichen IP-Adressen der beiden Endstellen, beinhaltet aber eine weitere verschlüsselte IP-Verbindung mit einer eigenen IP-Adressierung. Diese zweite IP-Verbindung ist geschützt und von außen nicht einsehbar. Nur die Endpunkte des Tunnels können die im Tunnel übertragenen Daten entschlüsseln und interpretieren. Das öffentliche Internet stellt für die Tunnelverbindung lediglich die grundsätzliche Konnektivität und Transportleistung zur Verfügung

Zentrale Komponenten in einem Virtual Private Network

Die Grenzen der VPN-Tunnelverbindung werden als VPN-Endpunkte bezeichnet. Auf zentraler Seite handelt es sich beim VPN-Endpunkt um das Gateway, das für die Einhaltung der Authentizität, Vertraulichkeit und Integrität der Verbindung zuständig ist. Auf der Clientseite ist der VPN-Endpunkt meist der auf dem System installierte Software-Client, über den sämtliche Kommunikation im VPN erfolgen muss. Für die zentralen Gateways existieren unterschiedliche Lösungskonzepte. Es kann sich um hardwarebasierte VPN-Router, VPN-Gateways und Firewalls oder um softwarebasierte VPN-Server handeln. Viele heute eingesetzte Firewalls und Router sind mit geeigneten VPN-Funktionen für die Realisierung von Virtual Private Networks ausgestattet.

Das webbasierte SSL-VPN

Eine Sonderform des VPNs, das sich deutlich von IPsec-basierten virtuellen privaten Netzwerken unterscheidet, ist das webbasierte SSL-VPN. Ein SSL-VPN erlaubt Teilnehmern den Zugriff auf zentrale Anwendungen oder Daten, ohne dass eine direkte Anbindung an das interne Netzwerk erfolgt. Ist nur der Zugriff auf einzelne Dienste möglich, handelt es sich im engeren Sinn nicht um ein vollwertiges Virtual Private Network. Bei den SSL-VPNs kann zwischen Fat-Client-, Thin-Client- und Clientless-Realisierungen unterschieden werden.

Für die Herstellung einer VPN-Verbindung im konventionellen Sinn kommt der Fat-Client zum Einsatz. Der Thin-Client nutzt einen Proxy-Mechanismus eines Plug-ins und stellt die Verbindung zu entfernten Netzwerkdiensten her. Diese Plug-ins sind beispielsweise als Erweiterungen für Webbrowser verfügbar. Ohne spezielle Softwareerweiterung und der Notwendigkeit einer separaten Installation kommen Clientless-SSL-Lösungen aus. Sie gestatten es, direkt über einen Standard-Webbrowser auf Webanwendungen eines Unternehmens-Servers zuzugreifen. Hierfür stellt der Webserver die Schnittstelle zu den internen Anwendungen dar.

SSL-VPNs haben gemeinsam, dass sie das gesicherte SSL- oder TLS-Protokoll für die Übertragung der Daten verwenden. SSL-VPNs mit einem Fat-Client sind eine Alternative, falls sich aufgrund von Beschränkungen in einem Netzwerk keine IPsec-Tunnel aufbauen lassen. Wie bei einem konventionellen Virtual Private Network muss die Client-Software des Fat-Clients installiert sein. Sie bildet den clientseitigen VPN-Adapter und gestattet es, sämtlichen Verkehr zwischen den VPN-Endpunkten in einer verschlüsselten SSL-Verbindung zu übertragen.

Verschiedene Anwendungsbeispiele für VPNs

Virtuelle private Netzwerke kommen heute in vielen Bereichen zum Einsatz. Aufgrund der niedrigen Kosten für die Vernetzung und der flexibel und schnell zu etablierenden Netzwerkverbindungen haben sie konventionelle, auf Standleitungen basierende private IP-Netze teilweise abgelöst.

So lassen sich per virtuellem privaten Netzwerk mehrere Geschäftsstellen über Site-to-Site-Verbindungen miteinander vernetzen. Auch die Anbindung eines einzelnen Rechners eines Mitarbeiters, der von zu Hause oder von unterwegs aus arbeitet, ist möglich. Es handelt sich in diesem Fall um eine End-to-Site-Verbindung. Diese Verbindungsart ist unter anderem nutzbar, um die Kommunikation über öffentliche Hotspots abzusichern.

Weitere Anwendungsfälle für VPNs sind so genannte End-to-End-Verbindungen zwischen zwei Endgeräten, zwei Servern oder einem Endgerät und einem Server. Es handelt sich bei dieser Verbindungsart um ein Netzwerk, das lediglich aus zwei Teilnehmern besteht. Eine darüberhinausgehende Kommunikation zu anderen Teilnehmern ist nicht möglich. Eine End-to-End-Verbindung kann zum Beispiel für die Wartung eines Servers genutzt werden, bei der ein externer Dienstleister mit seinem Rechner zwar die Verbindung zum Server aber zu keinem weiteren Teilnehmer im internen Netz aufbauen kann.

Typischer Ablauf für den Aufbau einer VPN-Verbindung

Soll eine virtuelle private Netzwerkverbindung von einem Heimarbeitsplatz aufgebaut werden, kann ein typischer Einwahlvorgang aus folgenden Einzelschritten bestehen. Zunächst baut der Anwender mit seinem Endgerät eine Verbindung zum öffentlichen Internet per Übertragungstechniken wie DSL oder Mobilfunk auf. Anschließend startet er auf seinem Rechner die VPN-Software. Diese stellt automatisch oder manuell durch den User ausgelöst die Verbindung zum zentralen Gateway des Firmennetzwerks über das öffentliche Internet her.

Im nächsten Schritt erfolgt die Authentifizierung des Anwenders. Je nach genutzter Lösung kann dies ein im Client hinterlegter Schlüssel, eine manuell einzugebende Kombination aus Userkennung und Passwort oder ein weiteres Merkmal wie das von einem Token generierte Einmalpasswort sein. Kann die Gegenstelle den Anwender erfolgreich authentifizieren, erhält er Zugriff auf die zuvor vom Administrator definierten Teile des Firmennetzwerks.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Switches für Campus, Zweig­stelle und Rechenzentrum

Einheitliche Switching-Plattform

Switches für Campus, Zweig­stelle und Rechenzentrum

Aruba stellt sein End-to-End-Switching-Portfolio für Campus-Netze, Zweigstellen und Rechenzentren vor. Die CX-Serie mit cloudbasiertem Betriebssystem integriert Analyse- und Automatisierungsfunktionen, um die Benutzerfreundlichkeit für Netzwerkadministratoren zu verbessern. lesen

Im Test: Peplink Pepwave Max HD4 LTE

SD-WAN/VPN-Multifunktions-Router auf dem Prüfstand

Im Test: Peplink Pepwave Max HD4 LTE

Der Peplink Pepwave Max Cellular Router vom Typ HD4 ist ein ganz besonderer Router. Mit seinen zahlreichen LAN-, WLAN-, WAN- und LTE-Schnittstellen und seiner ausgefuchsten Management-Oberfläche beherrscht der kompakte und robuste Router SD-WAN und VPN wie kaum ein zweiter. Doch wie so oft steckt auch beim HD4 die meiste Finesse im Detail. lesen

Endian 4i Edge X bedient IIoT-Anwendungen

Security-Gateway für Container-Anwendungen am Edge

Endian 4i Edge X bedient IIoT-Anwendungen

Mit dem Endian 4i Edge X kommt in Kürze ein IIoT-Gateway auf den Markt, das Anwendungen am Netzwerkrand flexibel per Container bereitstellt. Das System fügt sich in die Endian Connect Platform ein und bietet zahlreiche Verbindungs- sowie Sicherheitsfeatures. lesen

VPN-Clients mit QoS und Catalina-Kompatibilität

Remote-Access-Lösungen auf der it-sa 2019

VPN-Clients mit QoS und Catalina-Kompatibilität

NCP Engineering präsentierte vom 8. bis 10. Oktober auf der it-sa 2019 in Nürnberg seine aktuellen Lösungen zum Thema Remote Access, darunter auch VPN-Clients mit Quality of Service (QoS) sowie VPN-Clients für das im Oktober veröffentlichte Apple-Betriebssystem macOS Catalina. lesen

Das sind die Gewinner der IT-Awards 2019

IT-Awards 2019

Das sind die Gewinner der IT-Awards 2019

Auf der alljährlichen großen Abendgala wurden am Abend des 24. Oktober 2019 die Gewinner der IT-Awards 2019 ausgezeichnet. Die Preisverleihung der Insider-Portale feierte dabei gleichzeitig ein kleines Jubiläum. lesen

Networking in der DevOps-Ära

Alles dreht sich um Software

Networking in der DevOps-Ära

In einem modernen Unternehmen dreht sich alles um Software. Unternehmensfunktionen, die früher manuell und zeitaufwändig waren, werden heute automatisiert, virtualisiert und von Endanwendern bei Bedarf genutzt. Tatsächlich stehen wir am Anfang einer radikalen Umwälzung, die im Wesentlichen von den Entwicklern Cloud-nativer Anwendungen angetrieben wird. lesen

Der Arbeitsplatz der Zukunft ist Chefsache

Individuelle und schnell einsetzbare Client-Umgebungen

Der Arbeitsplatz der Zukunft ist Chefsache

Auf dem Weg zum „Arbeitsplatz der Zukunft“ stehen zwei Dinge im Vordergrund: die Mitarbeiter auf der einen Seite, die Infrastruktur und IT-Sicherheit auf der anderen. Vor allem deshalb ist die so genannte Workforce Transformation nichts anderes als Chefsache. lesen

Netzwerk und Security wachsen weiter zusammen

Lancom Systems auf der it-sa 2019

Netzwerk und Security wachsen weiter zusammen

Lancom reiht zur IT-Sicherheitsmesse it-sa vom 08. bis 10.10.2019 in Nürnberg (Halle 11, Stand 312) seine R&S Unified Firewalls in das ganzheitliche Management der Lancom Management Cloud (LMC) ein. Die Cloud rückt somit ins Zentrum der Integration von Netzwerk und Security. lesen

Wie Zero Trust traditionelle VPN-Strategien verdrängt

Zero Trust Network Access: Mikrosegmentierung auf Anwendungsebene

Wie Zero Trust traditionelle VPN-Strategien verdrängt

Das Zero Trust-Modell wurde entwickelt, weil die Unterschiede zwischen „externen“ und „internen“ Bereichen der IT-Systeme immer mehr verschwimmen. Mitarbeiter werden zunehmend mobil und befinden sich mit ihren Geräten sowohl innerhalb als auch außerhalb des Firmennetzes. Der vertrauensbasierte Umgang mit Mitarbeitern und Geräten wird so immer schwerer umzusetzen. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44790099 / Definitionen)