Was ist VPN (Virtual Private Network)?

Mechanismus, der über ein gemeinsam genutztes Netzwerk wie das Internet einen verschlüsselten virtuellen privaten Kanal (einen Tunnel) aufbaut, sodass entfernte Standorte und externe Geräte so kommunizieren, als wären sie direkt mit dem internen Netzwerk verbunden. Verfahren sind unter anderem IPsec, TLS (SSL-VPN) und WireGuard.

Japanische Bezeichnung: VPN

„VPN (Virtual Private Network)“ kommt in 7 Übungsfragen aus 4 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis, Grundlagen der Computernetzwerke, Netzwerkdesign und Netzwerkbetrieb.

Fachgebiet: Grundlagen der Computernetzwerke

Tunnel und Kapselung

Ein VPN-Gerät oder -Programm verschlüsselt das gesamte zu sendende IP-Paket, fügt einen Code zur Manipulationserkennung hinzu und sendet das Ergebnis als Nutzlast eines neuen IP-Pakets, das zwischen den beiden VPN-Endpunkten adressiert ist (Kapselung). Der empfangende Endpunkt entnimmt es, entschlüsselt es und gibt das ursprüngliche Paket ins interne Netzwerk weiter. Das Internet dazwischen sieht weder den Inhalt noch die ursprünglichen Adressen, und interne private Adressen können unverändert verwendet werden. Da die zusätzlichen Header weniger Platz für das innere Paket lassen, muss die MTU manchmal angepasst werden.

Site-to-Site-VPN und Remote-Access-VPN

Ein Site-to-Site-VPN stellt an jedem Standort, etwa Hauptsitz und Filialen, ein VPN-Gerät auf und verbindet deren LANs; die Nutzer merken davon nichts. Bei einem Remote-Access-VPN verbindet sich ein PC zu Hause oder auf Reisen mit Client-Software mit dem VPN-Gerät des Unternehmens. Verfahren sind IPsec, das auf der Vermittlungsschicht verschlüsselt und Schlüssel mit IKE austauscht, SSL-VPN, das TLS verwendet, und das neuere WireGuard, das über UDP läuft. Manche VPNs führen gar nicht über das Internet, etwa IP-VPN-Dienste, die über das geschlossene Netz eines Netzbetreibers laufen.

Was ein VPN schützt und wo seine Grenzen liegen

Ein VPN schützt den Verkehr zwischen Gerät und VPN-Endpunkt, sodass selbst in leicht abhörbaren Netzen wie öffentlichem WLAN der Inhalt dieses Abschnitts nicht lesbar ist. Verkehr jenseits des Endpunkts ist gewöhnlicher Verkehr, und gegen eine Malware-Infektion des Geräts selbst hilft ein VPN nicht. Da VPN-Geräte dem Internet ausgesetzt sind, können ihre Schwachstellen als Einfallstor ausgenutzt werden; zeitnahe Updates und Multi-Faktor-Authentifizierung sind daher unerlässlich. Die Schwäche der Vorstellung, dass ein verbundener Nutzer alles im Inneren erreichen kann, hat zudem Zero Trust gefördert, das jeden Zugriff prüft.

Jetzt üben: Fragen zu VPN (Virtual Private Network)

Welche Beschreibung eines Internet-VPNs ist richtig?

AEs schaltet den Kommunikationsweg auf eine eigene physische Leitung um, sodass der Verkehr nicht über das Internet läuft
BMit einem VPN kann man auch dann sicher kommunizieren, wenn der verbundene Server oder das Gerät mit Malware infiziert ist
CEs baut über das Internet einen virtuellen privaten Kanal (Tunnel) mit Verschlüsselung und Authentifizierung auf, sodass entfernte Standorte oder Geräte im Homeoffice so behandelt werden, als wären sie mit dem internen Netzwerk verbunden

Antwort und Erläuterung anzeigen

Antwort: C. Es baut über das Internet einen virtuellen privaten Kanal (Tunnel) mit Verschlüsselung und Authentifizierung auf, sodass entfernte Standorte oder Geräte im Homeoffice so behandelt werden, als wären sie mit dem internen Netzwerk verbunden

Bei einem VPN (virtuelles privates Netzwerk) werden die ursprünglichen Pakete verschlüsselt, in andere Pakete verpackt (gekapselt) und vom VPN-Gerät auf der Gegenseite wieder entnommen. Inhalt und interne Adressen sind unterwegs nicht sichtbar, und Manipulationen lassen sich erkennen. Verwendete Protokolle sind unter anderem IPsec, TLS-basierte Verfahren und WireGuard. Physisch unterscheidet es sich von einer Standleitung dadurch, dass der Verkehr über das gemeinsam genutzte Internet läuft. Geschützt ist nur der Tunnelabschnitt; die Sicherheit des Ziels selbst und des Verkehrs hinter dem Ausgang des VPNs muss gesondert betrachtet werden.

Ein Endgerät kommuniziert über einen Site-to-Site-VPN-Tunnel mit einem entfernten Webserver. TCP-Verbindungen lassen sich aufbauen und kleine Seiten werden angezeigt, doch Downloads großer Dateien bleiben mittendrin stehen. Die MTU im Tunnel beträgt 1400 Byte, und der Server sendet 1500-Byte-Pakete mit verbotener Fragmentierung (DF-Bit auf 1). Außerdem ist die Firewall vor dem Server so eingestellt, dass sie jegliches ICMP verwirft. Was ist die wahrscheinlichste Ursache?

ADie DNS-Namensauflösung schlägt fehl
BDas TCP-Empfangsfenster ist zu klein, sodass auf einmal nicht genug Daten gesendet werden können
CDie ICMP-Meldungen, mit denen der Router, der die zu großen Pakete verwirft, die Notwendigkeit der Fragmentierung meldet, erreichen den Server nicht, sodass der Server seine Pakete nicht verkleinern kann

Antwort und Erläuterung anzeigen

Antwort: C. Die ICMP-Meldungen, mit denen der Router, der die zu großen Pakete verwirft, die Notwendigkeit der Fragmentierung meldet, erreichen den Server nicht, sodass der Server seine Pakete nicht verkleinern kann

Bei Path MTU Discovery sendet die Quelle Pakete mit dem DF-Bit auf 1, und ein Router, der ein Paket verwirft, das größer als seine MTU ist, meldet die passierbare Größe in einer ICMP-Meldung (Fragmentation Needed bei IPv4, Packet Too Big bei IPv6). Verwirft die Firewall diese Meldungen, sendet der Server weiter große Pakete, die jedes Mal verworfen werden, sodass nur große Datenübertragungen stehen bleiben (ein Path-MTU-Black-Hole). Verbindungsaufbau und kleine Antworten verwenden Pakete unter 1400 Byte und kommen daher problemlos an. Abhilfe schafft es, diese ICMP-Meldungen nicht mehr zu verwerfen oder die TCP-MSS am Router am Tunneleingang auf einen kleineren Wert umzuschreiben. Bei je 20 Byte für den IPv4- und den TCP-Header ergibt eine MTU von 1400 Byte eine MSS von 1400 − 20 − 20 = 1360 Byte.

Häufige Fragen

Wird man durch ein VPN anonym?

Nicht vollständig. Websites sehen statt der eigenen IP-Adresse die Ausgangsadresse des VPN, aber der Betreiber des VPN kann sehen, mit wem man kommuniziert. Über Anmeldungen und Cookies lässt sich der Nutzer weiterhin identifizieren.

Was ist der Unterschied zwischen IPsec und SSL-VPN?

IPsec verschlüsselt die IP-Pakete selbst auf der Vermittlungsschicht und kann daher den Verkehr jeder Anwendung transportieren; es ist bei Site-to-Site-VPNs verbreitet. SSL-VPN verwendet TLS, lässt sich daher leicht aus einem Webbrowser oder mit spezieller Software nutzen und passiert Firewalls leicht, weshalb es für Remote Access verbreitet ist.

„VPN (Virtual Private Network)“ in den Erläuterungen

Bei einem VPN (virtuelles privates Netzwerk) werden die ursprünglichen Pakete verschlüsselt, in andere Pakete verpackt (gekapselt) und vom VPN-Gerät auf der Gegenseite wieder entnommen.
Welche Beschreibung eines Internet-VPNs ist richtig?
Ein Remote-Access-VPN nimmt externe Endgeräte in das interne Netzwerk auf; nach der Verbindung erreichen sie oft weite Teile des Bereichs, den die Netzwerkkonfiguration zulässt, und gestohlene Zugangsdaten werden so zum Brückenkopf für ein Eindringen.
Mitarbeitende in Telearbeit sollen interne Systeme nutzen. …
Kommunikation zu verschlüsseln, um eine virtuelle Standleitung zwischen Standorten zu schaffen, ist ein VPN.
Welche Beschreibung trifft auf ein CDN (Content Delivery Ne…
Sie verschlüsseln nicht und werden deshalb zum Schutz des Verkehrs mit TLS oder einem VPN kombiniert.
Welche Beschreibung der Grundfunktion einer Firewall (Paket…
Typische Methoden sind das Ausnutzen von Schwachstellen aus dem Internet erreichbarer VPN-Geräte oder Webserver, Phishing-E-Mails, die Malware ausführen oder Zugangsdaten eingeben lassen, und die Anmeldung am Fernzugang mit legitimen IDs und Passwörtern, die anderswo abgeflossen sind.
Welche Methode gehört zum „Erstzugriff“, mit dem ein Angrei…