Site-to-Site- und Client-VPNs

VPNs gibt es je nach Art der verbundenen Systeme in zwei Hauptvarianten. Ein Site-to-Site-VPN verbindet ganze Netzwerke miteinander, während ein Client-VPN (VPN für den Fernzugriff) ein einzelnes Benutzergerät mit einem Netzwerk verbindet.

Beide erstellen verschlüsselte Tunnel, dienen aber unterschiedlichen Zwecken: der Verbindung von Standorten bzw. der Bereitstellung eines sicheren Zugangs für einzelne Mitarbeitende von überall aus.

Ein Site-to-Site-VPN verbindet zwei vollständige Netzwerke, etwa eine Zentrale und eine Niederlassung, über das Internet. Der Tunnel wird zwischen den Routern oder Firewalls der beiden Standorte aufgebaut, die als VPN-Gateways bezeichnet werden.

Sobald die Verbindung besteht, kommunizieren die Geräte an beiden Standorten so, als befänden sie sich in einem gemeinsamen Netzwerk. Auf den einzelnen Rechnern ist keine Software erforderlich. Die Gateways übernehmen die gesamte Verschlüsselung transparent.

Bei einer Site-to-Site-Konfiguration sendet jedes Gerät an Standort A den für Standort B bestimmten Datenverkehr an sein lokales VPN-Gateway. Dieses Gateway verschlüsselt den Datenverkehr und sendet ihn durch den Tunnel an das Gateway von Standort B, das ihn entschlüsselt und lokal zustellt.

Die Benutzer müssen nichts konfigurieren. Durch den dauerhaft aktiven Tunnel zwischen den Gateways wirken zwei weit voneinander entfernte Büros wie ein zusammenhängendes LAN.

Ein Client-VPN verbindet ein einzelnes Gerät mit einem Netzwerk. Der Benutzer führt eine VPN-Clientsoftware aus, die einen Tunnel zu einem VPN-Konzentrator oder einer Firewall im Büro aufbaut und den einzelnen Benutzer authentifiziert.

Dies ist das typische Szenario für die Arbeit von zu Hause: Ein Laptop tunnelt von einem beliebigen Ort der Welt in das Unternehmensnetzwerk und erhält bei Bedarf sicheren Zugriff auf interne Ressourcen.

Die wichtigsten Unterschiede:

• Site-to-Site: Gateway-zu-Gateway, dauerhaft aktiv, verbindet ganze Netzwerke, keine Software pro Gerät erforderlich.
• Client: Gerät-zu-Gateway, wird bei Bedarf aktiviert, verbindet einen einzelnen Benutzer, benötigt Clientsoftware.

Verwenden Sie Site-to-Site für dauerhafte Verbindungen zwischen Standorten und Client-VPNs für mobile Mitarbeitende und Personen, die aus der Ferne arbeiten.

Client-VPNs können den Datenverkehr auf zwei Arten weiterleiten. Ein Full Tunnel leitet den gesamten Datenverkehr des Geräts durch das VPN, einschließlich des allgemeinen Websurfens, und maximiert dadurch Sicherheit und Kontrolle.

Ein Split Tunnel leitet nur unternehmensbezogenen Datenverkehr durch das VPN, während der normale Internetverkehr direkt nach außen geleitet wird. Split-Tunneling spart Bandbreite, verringert jedoch die Übersicht und Kontrolle der Organisation über den allgemeinen Datenverkehr der Benutzer.

Organisationen mit vielen Benutzern im Fernzugriff setzen einen VPN-Konzentrator ein. Dieses Gerät ist dafür ausgelegt, gleichzeitig eine große Anzahl von Client-VPN-Tunneln zu beenden und die hohe Verschlüsselungslast zu bewältigen.

Es authentifiziert Benutzer, weist ihnen interne Adressen zu und wendet Zugriffsrichtlinien an. Häufig ist diese Funktion in die Firewall integriert, die damit als einziger sicherer Zugangspunkt für alle Mitarbeitenden im Fernzugriff dient.

Bei Site-to-Site-Tunneln werden die beiden Gateways normalerweise mithilfe vorab geteilter Schlüssel oder Zertifikate authentifiziert, da es sich bei den Endpunkten um festgelegte und vertrauenswürdige Geräte handelt.

Client-VPNs müssen einzelne Personen authentifizieren. Daher verwenden sie Benutzeranmeldedaten und Zertifikate sowie zunehmend Multi-Faktor-Authentifizierung, um sicherzustellen, dass jeder Benutzer im Fernzugriff tatsächlich die Person ist, für die er sich ausgibt, bevor Zugriff gewährt wird.

Richten Sie Ihre Wahl nach dem Verbindungsbedarf: Für die dauerhafte Verbindung einer Niederlassung mit der Zentrale benötigen Sie ein Site-to-Site-VPN; um Mitarbeitenden die sichere Arbeit von zu Hause oder unterwegs zu ermöglichen, benötigen Sie ein Client-VPN.

Viele Organisationen verwenden beide Varianten: dauerhaft aktive Site-to-Site-Verbindungen zwischen Büros sowie Client-VPN-Zugriff für ihre mobilen und aus der Ferne arbeitenden Mitarbeitenden.

Neuere Ansätze wie ZTNA (Zero Trust Network Access) und SASE (Secure Access Service Edge) entwickeln den Fernzugriff weiter. Statt weitreichenden Netzwerkzugriff zu gewähren, überprüfen sie jede Anfrage und verbinden Benutzer nur mit bestimmten, genehmigten Anwendungen.

Diese Ansätze bauen auf VPN-Konzepten auf, wenden jedoch Zero-Trust-Prinzipien an und gewähren Zugriff nach dem Prinzip der geringsten Rechte, anstatt einen Benutzer in das gesamte Netzwerk zu bringen.

Site-to-Site-VPNs verbinden ganze Netzwerke von Gateway zu Gateway, sind dauerhaft aktiv und benötigen keine Clientsoftware – ideal für die Verbindung von Büros. Client-VPNs verbinden einzelne Geräte bei Bedarf mithilfe von VPN-Software – ideal für Mitarbeitende im Fernzugriff – und können Full oder Split Tunneling verwenden. Ein Konzentrator verwaltet zahlreiche Client-Tunnel, während ZTNA und SASE das Modell modernisieren.

Site-to-Site-VPNs verbinden ganze Netzwerke über VPN-Gateways. Sie sind dauerhaft aktiv, kommen ohne Software aus und verbinden Büros. Client-VPNs verbinden ein einzelnes Gerät bei Bedarf mithilfe von VPN-Software und eignen sich ideal für Benutzer im Fernzugriff. Sie unterstützen Full oder Split Tunneling. Ein VPN-Konzentrator beendet zahlreiche Client-Tunnel, während ZTNA/SASE den Fernzugriff modernisieren.