VPN und Fernzugriff — ein Tunnel durch das offene Netz
Ein VPN macht aus dem unsicheren Internet eine benutzbare Verbindung. Prüfungsrelevant sind die Bauarten und der Grund, warum dabei immer Verschlüsselung und Authentisierung nötig sind.
Das Tunnelprinzip
Ein VPN verpackt die eigentlichen Pakete und verschlüsselt den Mantel. Nach außen sieht man nur eine Verbindung zwischen zwei Endpunkten — den Inhalt kann niemand im Transit lesen oder unbemerkt verändern.
Zwei Aufgaben immer zusammen:
- Verschlüsselung gegen Mitlesen (Vertraulichkeit).
- Authentisierung gegen Untergeschobenes (Man-in-the-Middle): Beide Seiten belegen ihre Identität.
Bauarten
| Art | Szenario |
|---|---|
| Site-to-Site | Zwei Standorte werden dauerhaft verbunden (Router zu Router) — kein Nutzer muss etwas starten |
| Remote Access / Client-VPN | Einzelne Geräte (Homeoffice, Außendienst) wählen sich in das Firmennetz ein |
| End-to-End / Point-to-Point | zwei Endgeräte direkt, ohne Zwischenstation |
Techniken
- IPsec: routerseitig, Standard für Site-to-Site. IKE für den Schlüsselaustausch, AH (Authentisierung) und ESP (Verschlüsselung) als Transport.
- OpenVPN: nutzt TLS, sehr flexibel, funktioniert auch über Port 443 (schwer zu blockieren).
- WireGuard: modern, sehr schlanker Code, schnelle Verbindung — inzwischen in vielen Routern (z. B. FRITZ!Box) direkt integriert.
- SSL-VPN-Portal: Zugriff auf einzelne Anwendungen über den Browser, ohne Volltunnel.
Split Tunneling
Die Frage, was durch den Tunnel läuft:
- Full Tunnel: aller Verkehr geht über das Firmennetz — bessere Kontrolle, höhere Last.
- Split Tunnel: nur Firmenverkehr geht durch den Tunnel, Privates direkt ins Internet — schneller, aber die Kontrolle entfällt für den Rest.
Sicherheitsanforderungen im Betrieb
- Zwei-Faktor-Authentisierung für den Fernzugriff — Passwort allein gilt als unzureichend.
- Getrennte Konten, Rechte nach Minimalprinzip.
- Protokollieren und auswerten, wer sich wann verbunden hat.
- Schlüssel und Zertifikate regelmäßig erneuern, Austritt sofort sperren.
Typische Prüfungsfallen
- VPN ≠ Anonymisierung: Der Anbieter sieht weiterhin, woher du kommst.
- VPN ≠ Schutz am Endgerät: Ein infizierter Client bringt Schadcode mit ins Firmennetz — deshalb Segmentierung und Endpoint-Schutz.
- Tunnel ist nicht automatisch Ende-zu-Ende: Site-to-Site endet am Router, nicht am Client.
- Port 443: Ein VPN über 443 ist nicht „ sicherer", sondern besser durch Firewalls bringbar.
Weiter üben
Das Grundlagenwissen steht hier frei — geübt wird in der Lernplattform: über 1.300 Prüfungsfragen mit ausführlicher Erklärung zu jeder Antwort, Fortschritt im eigenen Konto.