Definition Was ist ein VPN?

Ein Virtual Private Network (VPN) ermöglicht eine verschlüsselte, zielgerichtete Übertragung von Daten über öffentliche Netze wie das Internet. Es etabliert geschützte und in sich geschlossene Netzwerke mit verschiedenen Endgeräten. Häufige Anwendung ist die Anbindung von Home Offices oder mobilen Mitarbeitern.

Anbieter zum Thema

Paessler AG

Cradlepoint GmbH

Southern Tech GmbH

Innerhalb eines Virtual Private Network (VPN) sind verschiedene Teilnehmer eines IP-Netzwerks zu einem in sich geschützten Teilnetz verbunden. Um die im Virtual Privat Network über das öffentliche Internet übertragenen Daten vor unbefugtem Zugriff zu schützen, sind die Verbindungen verschlüsselt. Zwischen den einzelnen Teilnehmern entstehen Tunnelverbindungen, die von außen nicht einsehbar sind.

Die Netzstruktur von VPNs kann sich unterscheiden und aus einfachen Punkt-zu-Punkt-Verbindungen, Punkt-zu-Mehrpunkt-Verbindungen oder vollständig vermaschten Teilnehmern bestehen. Virtuelle Private Netzwerke lassen sich als kostengünstige Alternative zu physischen, dediziert aufgebauten Netzen einsetzen. Sie verwenden das öffentliche Internet als Verbindungsmedium und machen das Anmieten von Standleitungen überflüssig.

Verschlüsselungs- und Tunneltechniken im Virtual Private Network

Um die Vertraulichkeit, Integrität und Authentizität der über das Virtual Private Network übertragenen Daten sicherzustellen, kommen Verschlüsselungs- und Tunneltechniken zum Einsatz. Die Verbindungen der verschiedenen Teilnehmer innerhalb des VPNs sind trotz des öffentlichen Internets als Transportmedium abhörsicher und manipulationsgeschützt.

Für die Verschlüsselung existieren unterschiedliche Methoden und Techniken. Als eine Art Standard für Virtual Private Networks hat sich die Internet Protocol Security (IPsec) mit Encapsulating Security Payload (ESP) etabliert. Ein Großteil heutiger VPNs basiert auf dieser Verschlüsselungsmethode. IPsec-Clients für die Endgeräte stehen für viele verschiedene Betriebssysteme wie Microsoft Windows, Apple macOS oder Linux zur Verfügung.

Die Gegenstelle der IPsec-Verbindung des VPNs bilden zentrale VPN-Gateways wie Router oder Firewalls, in denen ebenfalls IPsec implementiert ist. Zur Authentifizierung der Teilnehmer kommen Userkennungen, Passwörter, Schlüssel und Zertifikate zum Einsatz. Besonders sichere Systeme arbeiten mit der so genannten Mehr-Faktor-Authentifizierung und setzen weitere Merkmale wie Hardware-Token oder Chipkarten zur Authentifizierung ein.

Bei der Verbindung zwischen dem zentralen Gateway und dem Teilnehmer handelt es sich um einen oder mehrere Tunnel. Die Verbindung basiert auf den öffentlichen IP-Adressen der beiden Endstellen, beinhaltet aber eine weitere verschlüsselte IP-Verbindung mit einer eigenen IP-Adressierung. Diese zweite IP-Verbindung ist geschützt und von außen nicht einsehbar. Nur die Endpunkte des Tunnels können die im Tunnel übertragenen Daten entschlüsseln und interpretieren. Das öffentliche Internet stellt für die Tunnelverbindung lediglich die grundsätzliche Konnektivität und Transportleistung zur Verfügung

Zentrale Komponenten in einem Virtual Private Network

Die Grenzen der VPN-Tunnelverbindung werden als VPN-Endpunkte bezeichnet. Auf zentraler Seite handelt es sich beim VPN-Endpunkt um das Gateway, das für die Einhaltung der Authentizität, Vertraulichkeit und Integrität der Verbindung zuständig ist. Auf der Clientseite ist der VPN-Endpunkt meist der auf dem System installierte Software-Client, über den sämtliche Kommunikation im VPN erfolgen muss. Für die zentralen Gateways existieren unterschiedliche Lösungskonzepte. Es kann sich um hardwarebasierte VPN-Router, VPN-Gateways und Firewalls oder um softwarebasierte VPN-Server handeln. Viele heute eingesetzte Firewalls und Router sind mit geeigneten VPN-Funktionen für die Realisierung von Virtual Private Networks ausgestattet.

Das webbasierte SSL-VPN

Eine Sonderform des VPNs, das sich deutlich von IPsec-basierten virtuellen privaten Netzwerken unterscheidet, ist das webbasierte SSL-VPN. Ein SSL-VPN erlaubt Teilnehmern den Zugriff auf zentrale Anwendungen oder Daten, ohne dass eine direkte Anbindung an das interne Netzwerk erfolgt. Ist nur der Zugriff auf einzelne Dienste möglich, handelt es sich im engeren Sinn nicht um ein vollwertiges Virtual Private Network. Bei den SSL-VPNs kann zwischen Fat-Client-, Thin-Client- und Clientless-Realisierungen unterschieden werden.

Für die Herstellung einer VPN-Verbindung im konventionellen Sinn kommt der Fat-Client zum Einsatz. Der Thin-Client nutzt einen Proxy-Mechanismus eines Plug-ins und stellt die Verbindung zu entfernten Netzwerkdiensten her. Diese Plug-ins sind beispielsweise als Erweiterungen für Webbrowser verfügbar. Ohne spezielle Softwareerweiterung und der Notwendigkeit einer separaten Installation kommen Clientless-SSL-Lösungen aus. Sie gestatten es, direkt über einen Standard-Webbrowser auf Webanwendungen eines Unternehmens-Servers zuzugreifen. Hierfür stellt der Webserver die Schnittstelle zu den internen Anwendungen dar.

SSL-VPNs haben gemeinsam, dass sie das gesicherte SSL- oder TLS-Protokoll für die Übertragung der Daten verwenden. SSL-VPNs mit einem Fat-Client sind eine Alternative, falls sich aufgrund von Beschränkungen in einem Netzwerk keine IPsec-Tunnel aufbauen lassen. Wie bei einem konventionellen Virtual Private Network muss die Client-Software des Fat-Clients installiert sein. Sie bildet den clientseitigen VPN-Adapter und gestattet es, sämtlichen Verkehr zwischen den VPN-Endpunkten in einer verschlüsselten SSL-Verbindung zu übertragen.

Verschiedene Anwendungsbeispiele für VPNs

Virtuelle private Netzwerke kommen heute in vielen Bereichen zum Einsatz. Aufgrund der niedrigen Kosten für die Vernetzung und der flexibel und schnell zu etablierenden Netzwerkverbindungen haben sie konventionelle, auf Standleitungen basierende private IP-Netze teilweise abgelöst.

So lassen sich per virtuellem privaten Netzwerk mehrere Geschäftsstellen über Site-to-Site-Verbindungen miteinander vernetzen. Auch die Anbindung eines einzelnen Rechners eines Mitarbeiters, der von zu Hause oder von unterwegs aus arbeitet, ist möglich. Es handelt sich in diesem Fall um eine End-to-Site-Verbindung. Diese Verbindungsart ist unter anderem nutzbar, um die Kommunikation über öffentliche Hotspots abzusichern.

Weitere Anwendungsfälle für VPNs sind so genannte End-to-End-Verbindungen zwischen zwei Endgeräten, zwei Servern oder einem Endgerät und einem Server. Es handelt sich bei dieser Verbindungsart um ein Netzwerk, das lediglich aus zwei Teilnehmern besteht. Eine darüberhinausgehende Kommunikation zu anderen Teilnehmern ist nicht möglich. Eine End-to-End-Verbindung kann zum Beispiel für die Wartung eines Servers genutzt werden, bei der ein externer Dienstleister mit seinem Rechner zwar die Verbindung zum Server aber zu keinem weiteren Teilnehmer im internen Netz aufbauen kann.

Typischer Ablauf für den Aufbau einer VPN-Verbindung

Soll eine virtuelle private Netzwerkverbindung von einem Heimarbeitsplatz aufgebaut werden, kann ein typischer Einwahlvorgang aus folgenden Einzelschritten bestehen. Zunächst baut der Anwender mit seinem Endgerät eine Verbindung zum öffentlichen Internet per Übertragungstechniken wie DSL oder Mobilfunk auf. Anschließend startet er auf seinem Rechner die VPN-Software. Diese stellt automatisch oder manuell durch den User ausgelöst die Verbindung zum zentralen Gateway des Firmennetzwerks über das öffentliche Internet her.

Im nächsten Schritt erfolgt die Authentifizierung des Anwenders. Je nach genutzter Lösung kann dies ein im Client hinterlegter Schlüssel, eine manuell einzugebende Kombination aus Userkennung und Passwort oder ein weiteres Merkmal wie das von einem Token generierte Einmalpasswort sein. Kann die Gegenstelle den Anwender erfolgreich authentifizieren, erhält er Zugriff auf die zuvor vom Administrator definierten Teile des Firmennetzwerks.

(ID:44790099)