Site-to-Site IPsec VPNs

Site-to-Site-VPNs werden verwendet, um Netzwerke über ein anderes, nicht vertrauenswürdiges Netzwerk wie das Internet zu verbinden. In einem Site-to-Site-VPN senden und empfangen die End-Hosts normalen unverschlüsselten TCP/IP-Verkehr über ein VPN-Endgerät. Das VPN-Abschlussgerät wird normalerweise als VPN-Gateway bezeichnet. Ein VPN-Gateway-Gerät könnte ein Router oder eine Firewall sein.

Das VPN-Gateway kapselt und verschlüsselt den ausgehenden Datenverkehr für den gesamten Verkehr von einem bestimmten Standort. Anschließend sendet es den Datenverkehr durch einen VPN-Tunnel über das Internet zu einem VPN-Gateway am Zielstandort. Beim Empfang entfernt das empfangende VPN-Gateway die Header, entschlüsselt den Inhalt und leitet das Paket an den Zielhost innerhalb seines privaten Netzwerks weiter.

Site-to-Site-VPNs werden in der Regel mit IP-Sicherheit (IPsec) erstellt und gesichert.

GRE over IPsec

Generic Routing Encapsulation (GRE) ist ein nicht sicheres Site-to-Site VPN-Tunneling-Protokoll. Es kann verschiedene Netzwerkschichtprotokolle kapseln. Es unterstützt auch Multicast- und Broadcast-Verkehr, was erforderlich sein kann, wenn die Organisation Routing-Protokolle für den Betrieb über ein VPN benötigt. GRE unterstützt jedoch standardmäßig keine Verschlüsselung und bietet daher keinen sicheren VPN-Tunnel.

Ein Standard-IPsec-VPN (Nicht-GRE) kann nur sichere Tunnel für Unicast-Verkehr erstellen. Daher werden Routing-Protokolle keine Routing-Informationen über ein IPsec-VPN austauschen.

Um dieses Problem zu lösen, können Sie den Verkehr des Routing-Protokolls mit einem GRE-Paket einkapseln und dann das GRE-Paket in ein IPsec-Paket einkapseln, um es sicher an das Ziel-VPN-Gateway weiterzuleiten.

Die zur Beschreibung der Einkapselung von GRE über einen IPsec-Tunnel verwendeten Begriffe sind Passagierprotokoll, Trägerprotokoll und Transportprotokoll.

• Passagierprotokoll - Dies ist das ursprüngliche Paket, das von GRE gekapselt werden soll. Es könnte ein IPv4- oder IPv6-Paket, ein Routing-Update und mehr sein.
• Trägerprotokoll - GRE ist das Trägerprotokoll, das das ursprüngliche Passagierpaket einkapselt.
• Transportprotokoll - Dies ist das Protokoll, das tatsächlich zur Weiterleitung des Pakets verwendet wird. Dies kann IPv4 oder IPv6 sein.

Beispielsweise möchten eine Topologie, eine Zweigstelle und ein Hauptquartier OSPF-Routing-Informationen über ein IPsec-VPN austauschen. IPsec unterstützt jedoch keinen Multicast-Verkehr. Daher wird GRE über IPsec verwendet, um den Routing-Protokollverkehr über das IPsec-VPN zu unterstützen. Konkret würden die OSPF-Pakete (d.h. das Passagierprotokoll) durch GRE (d.h. das Trägerprotokoll) eingekapselt und anschließend in einem IPsec-VPN-Tunnel eingekapselt werden.

Eine Topologie, ein Branch-Router und ein HQ-Router tauschen daher OSPF-Routing-Informationen über ein IPsec-VPN aus. Ein Switch ist mit dem Branch-Router verbunden und derBranch-Router ist über das Internet über einen IPsec-VPN-GRE-Tunnel mit dem HQ-Router verbunden. Der HQ-Router ist mit einem Switch und der Switch ist mit einem E-Mail-Server verbunden.

Um das ganze Geschehen und die Komplexität dieses Vorgangs zu erfassen, empfiehlt es sich Wireshark zu benutzen, um den Netzwerkverkehr nachzuverfolgen und zu verstehen. 

Dynamische Mehrpunkt-VPNs

Site-to-Site-IPsec-VPNs und GRE über IPsec sind ausreichend, wenn es nur wenige Standorte gibt, die sicher miteinander verbunden werden können. Sie sind jedoch nicht ausreichend, wenn das Unternehmen viele weitere Standorte hinzufügt. Dies liegt daran, dass jeder Standort statische Konfigurationen zu allen anderen Standorten oder zu einem zentralen Standort erfordern würde.

Dynamic Multipoint VPN (DMVPN) ist eine Softwarelösung von Cisco für den Aufbau mehrerer VPNs auf einfache, dynamische und skalierbare Weise. Wie andere VPN-Typen basiert DMVPN auf IPsec, um einen sicheren Transport über öffentliche Netzwerke, wie z. B. das Internet, zu gewährleisten.

DMVPN vereinfacht die Konfiguration des VPN-Tunnels und bietet eine flexible Möglichkeit, einen zentralen Standort mit Zweigstellen zu verbinden. Es verwendet eine Hub-and-Spoke-Konfiguration zum Aufbau einer vollständigen Mesh-Topologie. Spoke-Standorte bauen sichere VPN-Tunnel mit dem Hub-Standort auf.

VPNs mit Remote-Zugriff

Im vorherigen Thema haben Sie die Grundlagen eines VPN kennengelernt, hier erfahren Sie etwas über die Arten von VPNs.
VPNs haben sich aus vielen Gründen zur logischen Lösung für Remote-Access-Verbindungen entwickelt. Fernzugriffs-VPNs ermöglichen entfernten und mobilen Benutzern eine sichere Verbindung mit dem Unternehmen, indem sie einen verschlüsselten Tunnel erstellen. Remote-Benutzer können ihren Sicherheitszugang zum Unternehmen einschließlich E-Mail und Netzwerkanwendungen sicher replizieren. VPNs mit Fernzugriff ermöglichen es Auftragnehmern und Partnern auch, je nach Bedarf einen begrenzten Zugriff auf bestimmte Server, Webseiten oder Dateien zu erhalten. Das bedeutet, dass diese Benutzer zur Unternehmensproduktivität beitragen können, ohne die Netzwerksicherheit zu beeinträchtigen.

VPNs mit Fernzugriff werden in der Regel bei Bedarf dynamisch vom Benutzer aktiviert.VPNs für den Fernzugriff können entweder über IPsec oder SSL erstellt werden. Ein Remote-Benutzer muss eine Fernzugriffs-VPN-Verbindung initiieren.

Es gibt zwei Möglichkeiten, wie ein Remote-Benutzer eine Fernzugriffs-VPN-Verbindung initiieren kann: clientloses VPN und clientbasiertes VPN.

• Clientlose VPN-Verbindung - Die Verbindung wird über eine SSL-Verbindung des Webbrowsers gesichert. SSL wird hauptsächlich zum Schutz des HTTP-Verkehrs (HTTPS) und von E-Mail-Protokollen wie IMAP und POP3 verwendet. Zum Beispiel ist HTTPS eigentlich HTTP unter Verwendung eines SSL-Tunnels. Die SSL-Verbindung wird zuerst aufgebaut, und dann werden HTTP-Daten über die Verbindung ausgetauscht.
• Client-basierte VPN-Verbindung - VPN-Client-Software muss auf dem Endgerät des Remote-Benutzers installiert werden. Die Benutzer müssen die VPN-Verbindung über den VPN-Client initiieren und sich dann beim Ziel-VPN-Gateway authentifizieren. Wenn Remote-Benutzer authentifiziert werden, haben sie Zugriff auf Unternehmensdateien und -anwendungen. Die VPN-Client-Software verschlüsselt den Datenverkehr mit IPsec oder SSL und leitet ihn über das Internet an das Ziel-VPN-Gateway weiter.

SSL-VPNs

Sobald ein Client eine SSL-VPN-Verbindung mit dem VPN-Gateway herstellt, verbindet er sich tatsächlich über Transport Layer Security (TLS). TLS ist die neuere Version von SSL und wird manchmal als SSL/TLS ausgedrückt. Beide Begriffe werden jedoch häufig synonym verwendet.

SSL verwendet die Public-Key-Infrastruktur und digitale Zertifikate zur Authentifizierung von Peers. Sowohl die IPsec- als auch die SSL-VPN-Technologie bieten Zugang zu praktisch jeder Netzwerkanwendung oder Ressource. Doch wenn es um Sicherheit geht, ist IPsec die bessere Wahl. Stehen Support und einfache Implementierung im Vordergrund, sollten Sie SSL in Betracht ziehen. Die Art der implementierten VPN-Methode richtet sich nach den Zugriffsanforderungen der Benutzer und den IT-Prozessen der Organisation. Die Tabelle vergleicht IPsec- und SSL-Fernzugriffsimplementierungen.

Es ist jedoch wichtig zu realisieren, dass sich IPsec und SSL-VPNs nicht gegenseitig exkludieren. Stattdessen sind sie komplementär; beide Technologien lösen unterschiedliche Probleme, und eine Organisation kann IPsec, SSL oder beide implementieren, je nach den Bedürfnissen ihrer Telearbeiter.

Sie benötigen professionelle Hilfe rund um das Thema IT?

Wir bieten Ihnen als IT-Systemhaus in München, rund um das Thema IT, professionelle sowie individuelle Lösungen kostengünstig an. Lassen Sie sich von unseren IT-Experten unverbindlich beraten und überzeugen Sie sich von der Expertise und langjähriger Erfahrung unserer fachlich kompetenten Mitarbeiter. Wir freuen uns auf Ihren Anruf unter der Rufnummer 0176 75 19 18 18 oder via E-Mail an: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!. Ihr IT-Systemhaus in München. 

Virtuelle Private Netzwerke

Um den Netzwerkverkehr zwischen Standorten und Anwendern zu sichern, verwenden Organisationen virtuelle private Netzwerke (VPNs), um private End-to-End-Netzwerkverbindungen herzustellen. Ein VPN ist insofern virtuell, als dass es Informationen innerhalb eines privaten Netzwerks überträgt, diese Informationen jedoch tatsächlich über ein öffentliches Netzwerk transportiert werden. Ein VPN ist insofern privat, als der Datenverkehr verschlüsselt wird, um die Daten während des Transports über das öffentliche Netzwerk vertraulich zu halten.

Der Tunnel ermöglicht entfernten Standorten und Benutzern den sicheren Zugriff auf die Netzwerkressourcen des Hauptstandorts.

Die ersten Arten von VPNs waren reine IP-Tunnel, die keine Authentifizierung oder Verschlüsselung der Daten beinhalteten. Zum Beispiel ist die Generic Routing Encapsulation (GRE) ein von Cisco entwickeltes Tunneling-Protokoll, das keine Verschlüsselungsdienste beinhaltet. Es wird zur Einkapselung von IPv4- und IPv6-Verkehr innerhalb eines IP-Tunnels verwendet, um eine virtuelle Punkt-zu-Punkt-Verbindung herzustellen.

VPN-Vorteile

Moderne VPNs unterstützen jetzt Verschlüsselungsfunktionen wie IPsec (Internet Protocol Security) und SSL (Secure Sockets Layer) VPNs, um den Netzwerkverkehr zwischen den Standorten zu sichern.

Die wichtigsten Vorteile von VPNs sind in der Tabelle aufgeführt:

Site-to-Site- und Remote-Zugriffs-VPNs

VPNs werden häufig in einer der folgenden Konfigurationen eingesetzt: Site-to-Site oder Remote-Zugriff.

Ein Site-to-Site-VPN entsteht, wenn VPN-Endgeräte, auch VPN-Gateways genannt, mit Informationen vorkonfiguriert werden, um einen sicheren Tunnel aufzubauen. Der VPN-Verkehr wird nur zwischen diesen Geräten verschlüsselt. Interne Hosts haben keine Kenntnis davon, dass ein VPN verwendet wird.

Ein Remote-Zugriffs-VPN wird dynamisch erstellt, um eine sichere Verbindung zwischen einem Client und einem VPN-Endgerät herzustellen. Ein Fernzugriffs-SSL-VPN wird beispielsweise verwendet, wenn Sie Ihre Bankinformationen online überprüfen.

VPN für Unternehmen und Dienstanbieter

Es gibt viele Optionen zur Sicherung des Unternehmensverkehrs. Diese Lösungen variieren je nachdem, wer das VPN verwaltet.

VPNs können wie verwaltet und bereitgestellt werden:

• Enterprise/Unternehmens-VPNs - Von Unternehmen verwaltete VPNs sind eine gängige Lösung zur Sicherung des Unternehmensverkehrs über das Internet. Site-to-Site- und Fernzugriffs-VPNs werden vom Unternehmen unter Verwendung von IPsec- und SSL-VPNs erstellt und verwaltet.
• Service-Provider-VPNs - Service-Provider-verwaltete VPNs werden über das Provider-Netzwerk erstellt und verwaltet. Der Provider verwendet Multiprotocol Label Switching (MPLS) auf Layer 2 oder Layer 3, um sichere Kanäle zwischen den Standorten eines Unternehmens zu schaffen. MPLS ist eine Routing-Technologie, die der Provider verwendet, um virtuelle Pfade zwischen den Standorten zu erstellen. Dadurch wird der Datenverkehr von dem anderer Kunden effektiv getrennt. Andere Legacy-Lösungen umfassen Frame Relay und ATM-VPNs (Asynchronous Transfer Mode).

Hier sind die verschiedenen Arten von VPN-Bereitstellungen aufgelitstet, die von Unternehmen und Dienstanbietern verwaltet werden und die in diesem Artikel ausführlicher beschrieben werden.

Enterprise-Managed VPNs

Site-to-Site VPNs:

• IPsec-VPN
• GRE über IPsec
• Cisco Dynamic Multipoint Virtual Private Network (DMVPN)
• Virtuelle IPsec-Tunnel-Schnittstelle (VTI)

Remote Access VPNs:

• Client-basierte IPsec-VPN-Verbindung
• Clientlose SSL-Verbindung

Service Provider-Managed VPNs

• Layer 2 MPLS
• Layer 3 MPLS

Veraltete Lösungen:

• Frame Relay
• Asynchroner Übertragungsmodus (ATM)

Suchen Sie eine App Agentur für ihre VPN-App? 

Als etablierte App Agentur bieten wir ihnen die Entwicklung von Software für mobile Endgeräte an. Vielleicht wünschen Sie sich eine App, welche mit ihrem Unternehmensnetzwerk eine Verbindung herstellt und Sie so jederzeit zu ihren Unternehmensressourcen zugreifen können?

Wir helfen ihnen bei der Realisierung von komplexen Netzwerk-Anwendungen für die Betriebssysteme iOS, iPadOS und Android. Schicken Sie uns ihre Projekt Anfrage via Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! oder Rufen Sie uns direkt unter 0176 75191818  an!

Sicherere Verbindung:

Wi-Fi Easy Connect, wie die Wi-Fi Alliance es nennt, macht es bequemer, kabellose Gerätschaften, die keinen (oder ausschließlich einen begrenzten) Display oder Eingabemechanismus haben, in Ihr Netzwerk zu integrieren. Wenn diese Funktion aktiviert ist, scannen Sie einfach mit Ihrem Smartphone einen QR-Code auf Ihrem Router, dann scannen Sie einen QR-Code auf Ihrem Drucker oder Lautsprecher oder einem anderen IoT-Gerät, und schon sind Sie bereit - Sie sind sicher verbunden. Mit der QR-Code-Methode verwenden Sie eine auf öffentlichen Schlüsseln basierende Verschlüsselung für Onboard-Geräte, die derzeit noch keine einfache und sichere Methode dafür haben.

Dieser Trend zeigt sich auch bei Wi-Fi Enhanced Open, das die Wi-Fi Alliance zuvor ausführlich beschrieben hat. Wahrscheinlich haben Sie schon gehört, dass Sie es vermeiden sollten, in öffentlichen Wi-Fi-Netzwerken sensibles Browsen oder Dateneingabe zu betreiben. Denn mit WPA2 kann jeder, der sich im gleichen öffentlichen Netz wie Sie befindet, Ihre Aktivitäten beobachten und Sie mit Eindringlingen wie Man-in-the-Middle-Angriffen oder Netzwerkverkehrsschnüffeln ins Visier nehmen. Und wie steht es in Bezug auf WPA3? Jedenfalls nicht mehr in diesem Ausmaß. 

Wenn Sie sich mit einem WPA3-Gerät in das WPA3-Wi-Fi eines Coffeeshops einloggen, wird Ihre Verbindung automatisch verschlüsselt, ohne dass zusätzliche Anmeldedaten erforderlich sind. Dabei wird ein etablierter Standard namens Opportunistic Wireless Encryption verwendet.

Wie bei den Passwortschutzmechanismen hält auch die erweiterte Verschlüsselung von WPA3 für öffentliche Netzwerke Wi-Fi-Benutzer vor einer Schwachstelle sicher, von der sie vielleicht gar nicht wissen, dass sie überhaupt nicht existiert. Tatsächlich könnte sich der Wi-Fi-Benutzer dadurch eher zu sicher fühlen, dabei gilt zu beachten, dass eine 100% Sicherheit nicht existent ist!

WPA3 - wann ist es einsatzbereit und erhältlich?

Selbst mit den zusätzlichen technischen Details fühlt es sich fast verfrüht an, über WPA3 zu sprechen. Zwar haben sich große Hersteller wie Qualcomm bereits zu seiner Implementierung verpflichtet, um die vielen Upgrades von WPA3 voll auszuschöpfen, doch muss die gesamte Struktur diese Technologie nutzen. Das wird sicherlich mit der Zeit geschehen, ebenso wie es bei WPA2 der Fall war.

Sobald sämtliche Gerätschaften WPA3 assistieren, könnten Sie die WPA2-Konnektivität auf Ihrem Router abschalten, um die Sicherheit zu steigern, ebenfalls wie Sie die WPA- und WEP-Konnektivität abschalten und ausschließlich WPA2-Verbindungen auf Ihrem Router zulassen könnten.

Es wird zwar eine Weile dauern, bis WPA3 vollständig eingeführt ist, aber wichtig ist, dass der Übergangsprozess 2018 begonnen hat. Das bedeutet sicherere Wi-Fi-Netzwerke in der Zukunft. Jedoch gab es bereits Meldungen, die auf Sicherheitslücken von WPA3 hingewiesen haben, welche eine Überarbeitung der Protokolle und Implementierungen nach sich ziehen werden. Auch das Problem in Bezug auf Kompatibilität ist sicher ein Aspekt, weshalb WPA3 sich auf dem breiten Markt noch nicht durchgesetzt hat. 

Hiermit schließt diese Serie ab und verabschiedet sich von Ihnen und hofft, einen guten Überblick sowie tiefe Einblicke in die Geschichte der verschiedenen Standards in Bezug auf WLAN, gegeben zu haben. 

Sie möchten ein sicheres und stabiles Netzwerk von einem Profi?

Als IT Service in München bieten wir unseren B2B Kunden und privaten Kunden den Aufbau eines sicheren Netzwerks über W-LAN aber auch über Kabel. Lassen Sie sich von unseren Netzwerk-Spezialisten unverbindlich beraten. Wir prüfen bei Ihnen vor Ort, ob eine Vernetzung mittels Kabel oder mit Funk am geeignetsten ist und finden für Sie die kostengünstigste und beste Lösung maßgeschneidert für ihre Anforderungen. Wir freuen uns auf ihren Anruf unter unserer Rufnummer 0176 75 19 18 18 oder via E-Mail an Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!