7.2 VPN

VPN richtig einordnen

Ein VPN kapselt Verkehr so, dass er durch ein anderes Netz transportiert werden kann. Häufig ist dieses Transportnetz das Internet. Die äußeren Paketheader müssen für Router weiterhin sichtbar bleiben; geschützt wird der innere Verkehr zwischen den festgelegten VPN-Endpunkten.

Nicht jedes Tunnelprotokoll bietet automatisch Vertraulichkeit. GRE oder einfache Layer-2-Tunnel können Daten kapseln, ohne sie zu verschlüsseln. Ein betriebliches Sicherheits-VPN kombiniert Kapselung daher mit kryptografischem Schutz, gegenseitiger oder serverseitiger Authentisierung und einer kontrollierten Verkehrsauswahl.

Sicherheitsziele und ihre Grenzen

Ein sicher konfiguriertes VPN soll Vertraulichkeit, Integrität und Authentizität für den geschützten Kommunikationsweg erreichen. Replay-Schutz kann wiederholt eingespielte Pakete erkennen. Die Verfügbarkeit bleibt dagegen von Internetzugang, Gateway, Software und Gegenstelle abhängig.

Verbindungsarten

Bestandteile einer VPN-Lösung

Eine funktionierende Lösung besteht nicht nur aus einem Protokoll. Sie benötigt erreichbare Endpunkte, eine Identitätsprüfung, Schlüsselmaterial, eine Richtlinie für den geschützten Verkehr und passende Routen sowie Firewallregeln. Bei Remote Access kommen Clientverwaltung, Gerätezustand und Benutzerrechte hinzu.

• VPN-Client oder VPN-Gateway mit gepflegter Software
• Identitätsquelle, Zertifikate oder vorab vereinbarte Schlüssel
• Schlüsselaustausch und regelmäßige Schlüsselerneuerung
• Security Policy beziehungsweise Traffic Selector für die zu schützenden Netze und Ports
• Routen, DNS-Konfiguration, MTU und Firewallfreigaben
• Protokollierung, Monitoring, Zeitabgleich und sichere Administration
• Widerruf beziehungsweise Sperrung verlorener Geräte und kompromittierter Zugangsdaten

Aktuelle und veraltete Kryptografie

Ein VPN-Profil ist nur so stark wie seine ausgehandelte Kombination. Moderne Verfahren verwenden authentisierte Verschlüsselung wie AES-GCM oder ChaCha20-Poly1305, geeignete Diffie-Hellman-Gruppen und starke Authentisierung. HMAC mit SHA-2 bleibt relevant, wenn Verschlüsselung und Integrität getrennt umgesetzt werden.

DES, 3DES, Blowfish, MD5 und SHA-1 gehören nicht in neue VPN-Konfigurationen. RSA ist nicht pauschal „die Authentifizierung“, sondern kann abhängig vom Protokoll für Signaturen oder ältere Schlüsselaustauschverfahren eingesetzt werden. Zertifikate, Pre-Shared Keys und Benutzeranmeldung sind ebenfalls keine austauschbaren Algorithmen, sondern unterschiedliche Bausteine der Identitätsprüfung.

IPsec: Architektur und Rollen

IPsec schützt IP-Verkehr auf der Vermittlungsschicht. IKEv2 authentisiert die Gegenstellen, handelt Algorithmen und Schlüssel aus und verwaltet Security Associations. Eine IKE SA schützt die IKE-Steuerkommunikation; Child SAs schützen den eigentlichen Nutzdatenverkehr. SAs gelten jeweils für eine Richtung, weshalb für bidirektionalen Verkehr passende Zuordnungen in beide Richtungen bestehen.

Die Security Policy Database entscheidet anhand von Traffic Selectors, welcher Verkehr geschützt, verworfen oder ungeschützt weitergeleitet wird. Die Security Association Database enthält die aktiven Parameter. Dieses Zusammenspiel erklärt, warum ein aufgebauter IKE-Tunnel allein noch nicht beweist, dass das gewünschte Subnetz tatsächlich durch den Tunnel läuft.

AH und ESP unterscheiden

Authentication Header schützt ausgewählte Bestandteile des IP-Pakets gegen Manipulation, verschlüsselt aber keine Nutzdaten. Veränderliche IP-Headerfelder werden bei der Berechnung passend behandelt. Weil NAT Adressfelder ändert, ist AH mit NAT problematisch und wird in üblichen VPN-Szenarien kaum verwendet.

Encapsulating Security Payload ist das praktisch dominierende IPsec-Nutzdatenprotokoll. ESP kann die Nutzdaten verschlüsseln und ihre Integrität sowie Authentizität sichern. Bei modernen AEAD-Verfahren werden Verschlüsselung und Integrität gemeinsam erbracht. Der äußere IP-Header im Tunnelmodus bleibt sichtbar, da das Transportnetz ihn routen muss.

Transportmodus und Tunnelmodus

Im Transportmodus bleibt der ursprüngliche IP-Header bestehen und ESP schützt vor allem die nachfolgenden Transportdaten. Er eignet sich hauptsächlich für Host-to-Host-Szenarien.

Im Tunnelmodus wird das vollständige ursprüngliche IP-Paket einschließlich seines Headers als inneres Paket gekapselt. Ein neuer äußerer IP-Header adressiert die VPN-Endpunkte. Site-to-Site- und Remote-Access-VPNs nutzen überwiegend diesen Modus.

IKEv2-Verbindungsaufbau vereinfacht

IKEv2 verwendet gewöhnlich UDP 500. Befindet sich NAT auf dem Weg, wird NAT Traversal eingesetzt und ESP in UDP 4500 gekapselt. Native ESP-Pakete verwenden die IP-Protokollnummer 50 und besitzen keine TCP- oder UDP-Ports.

Weitere heutige VPN-Familien

Full Tunnel und Split Tunnel

Bei einem Full Tunnel wird der gesamte oder nahezu gesamte Clientverkehr über das Unternehmensgateway geleitet. Dadurch können zentrale Filter und Protokollierung greifen, das Gateway und die Standortanbindung müssen aber genügend Kapazität besitzen.

Split Tunneling sendet nur definierte Zielnetze durch das VPN; übriger Internetverkehr nutzt den lokalen Zugang. Das spart Bandbreite und kann Cloud- oder Videodienste beschleunigen, erweitert jedoch die Sicherheits- und DNS-Planung. Die Entscheidung ist eine Richtlinienfrage und keine pauschale Eigenschaft des VPN-Protokolls.

Authentisierung und Zugriffsschutz

Ein gemeinsamer Pre-Shared Key für viele Benutzer ist schwer sicher zu verteilen und zu widerrufen. Für Remote Access sind individuelle Konten, Mehrfaktor-Authentisierung und verwaltete Geräte beziehungsweise Zertifikate vorzuziehen. Site-to-Site-Gateways nutzen häufig starke individuelle PSKs oder Zertifikate.

Nach erfolgreichem Tunnelaufbau gilt weiterhin das Prinzip der geringsten Rechte. Benutzer, Geräte und Standorte erhalten nur Zugriff auf benötigte Netze und Dienste. Ein VPN darf ein kompromittiertes Endgerät nicht ungefiltert in das gesamte interne Netz stellen.

• VPN-Gateway und Clients regelmäßig aktualisieren
• Zertifikatslaufzeiten, Widerruf und Schlüsselrotation überwachen
• MFA gegen gestohlene Kennwörter einsetzen
• Administrationszugänge und Benutzerzugänge trennen
• Gerätezustand und verwaltete Endgeräte berücksichtigen
• Anmeldeversuche, neue Geräte, ungewöhnliche Länder und Datenmengen überwachen

Was ein VPN nicht leistet

Ein Unternehmens-VPN bietet keine allgemeine Anonymität. Gegenstellen im Internet sehen gegebenenfalls die öffentliche Adresse des VPN-Ausgangs, während der VPN-Betreiber Verbindungen technisch zuordnen kann. Cookies, Benutzerkonten, Browsermerkmale und Endgerätesoftware bleiben davon unberührt.

Der Schutz endet an den konfigurierten VPN-Endpunkten. Wird ein Site-to-Site-Tunnel an zwei Gateways beendet, läuft der Verkehr innerhalb der angeschlossenen Netze nicht automatisch weiter verschlüsselt. Anwendungssicherheit wie TLS bleibt deshalb sinnvoll und häufig erforderlich.

Planung und Betrieb

Fehlersuche systematisch durchführen