Tunneling- und Verschlüsselungsprotokolle

Ein VPN-Tunnel wird durch bestimmte Protokolle aufgebaut, die festlegen, wie Datenverkehr gekapselt, verschlüsselt und authentifiziert wird. Je nach Anforderung eignen sich unterschiedliche Protokolle, die Sicherheit, Geschwindigkeit und Kompatibilität ausgewogen berücksichtigen.

Die beiden großen Säulen der VPN-Technologie sind IPsec und SSL/TLS. Wenn Sie ihre Aufgaben verstehen, können Sie nachvollziehen, wie nahezu jedes VPN, dem Sie begegnen, tatsächlich aufgebaut ist.

IPsec (Internet Protocol Security) ist eine Protokollsuite, die Datenverkehr auf der Netzwerkschicht (Layer 3) schützt. Sie kann jedes Paket zwischen zwei Endpunkten verschlüsseln und authentifizieren und bildet das Rückgrat der meisten Site-to-Site-VPNs.

Da IPsec auf Layer 3 arbeitet, schützt es den gesamten Datenverkehr unabhängig von der sendenden Anwendung transparent. Dadurch eignet es sich ideal für die Verbindung ganzer Netzwerke.

IPsec verwendet mehrere Komponenten:

• AH (Authentication Header): gewährleistet Integrität und Authentifizierung, jedoch keine Verschlüsselung.
• ESP (Encapsulating Security Payload): gewährleistet Verschlüsselung und Integrität und wird am häufigsten eingesetzt.
• IKE (Internet Key Exchange): handelt Schlüssel aus und richtet die sichere Verbindung ein.

ESP in Verbindung mit IKE ist die gängige Kombination, die vollständige Vertraulichkeit und Integrität gewährleistet.

IPsec arbeitet in zwei Modi. Der Transportmodus verschlüsselt nur die Nutzdaten des Pakets und lässt den ursprünglichen IP-Header unverändert. Er wird für Host-zu-Host-Verbindungen verwendet. Der Tunnelmodus verschlüsselt das gesamte ursprüngliche Paket und verpackt es in ein neues.

Site-to-Site-VPNs verwenden den Tunnelmodus, da er die interne Adressierung verbirgt und das vollständige ursprüngliche Paket zwischen den beiden Gateways schützt.

SSL/TLS-VPNs (Secure Sockets Layer / Transport Layer Security) schützen den Datenverkehr auf einer höheren Schicht und funktionieren oft direkt in einem Webbrowser oder mit einem schlanken Client. TLS ist dasselbe Protokoll, das HTTPS-Websites schützt.

SSL-VPNs sind beim Client-Fernzugriff beliebt, weil sie einfach bereitzustellen sind, problemlos durch Firewalls und NAT funktionieren und möglicherweise keine spezielle Software außer einem Browser benötigen.

Die beiden Protokolle eignen sich für unterschiedliche Aufgaben:

• IPsec: ideal für Site-to-Site-Verbindungen und den Zugriff auf ganze Netzwerke, kann jedoch Probleme mit NAT und Firewalls haben und erfordert mehr Konfiguration.
• SSL/TLS: ideal für den Client-Zugriff auf bestimmte Anwendungen sowie browser- und firewallfreundlich.

Viele Organisationen verwenden IPsec zwischen Büros und SSL/TLS für Benutzer im Fernzugriff.

Neuere Protokolle verbessern die klassischen Ansätze. WireGuard ist ein modernes, schnelles und schlankes Protokoll mit einer kleinen Codebasis, die sich leichter prüfen lässt und sehr effizient ist.

OpenVPN ist eine flexible, weit verbreitete Open-Source-Option auf TLS-Basis. IKEv2/IPsec wird auf Mobilgeräten bevorzugt, weil es bei einem Netzwerkwechsel, etwa vom WLAN zum Mobilfunknetz, schnell wieder eine Verbindung herstellt.

Einige ältere VPN-Protokolle sind inzwischen unsicher und sollten nicht verwendet werden. PPTP (Point-to-Point Tunneling Protocol) weist bekannte Schwachstellen und eine gebrochene Verschlüsselung auf. Reines L2TP (Layer 2 Tunneling Protocol) bietet selbst keine Verschlüsselung und muss mit IPsec kombiniert werden.

Es ist wichtig, veraltete Protokolle zu erkennen: Ihre Verwendung vermittelt ein falsches Sicherheitsgefühl, während der Datenverkehr weiterhin offengelegt ist.

Alle diese Protokolle beruhen auf Kryptografie. Für große Datenmengen verwenden sie symmetrische Verschlüsselung (einen gemeinsamen Schlüssel), weil sie schnell ist, sowie asymmetrische Verschlüsselung (Schlüsselpaare) und Schlüsselaustauschalgorithmen, um diesen gemeinsamen Schlüssel sicher zu vereinbaren.

Starke, moderne Verschlüsselungsverfahren und ein korrekter Schlüsselaustausch machen einen Tunnel wirklich sicher. Schwache oder veraltete Kryptografie schwächt selbst ein gut konzipiertes VPN.

Bei der VPN-Konfiguration stehen die Endpunkte, Schlüssel und zulässigen Datenverkehrsarten im Mittelpunkt. Dieses vereinfachte Fragment zeigt die Art von Einstellungen, die ein WireGuard-Peer verwendet.

IPsec schützt den Datenverkehr auf Layer 3 mithilfe von ESP und IKE und verwendet für Site-to-Site-Verbindungen den Tunnelmodus. SSL/TLS-VPNs schützen den Client-Zugriff und sind browser- sowie firewallfreundlich. Moderne Optionen wie WireGuard, OpenVPN und IKEv2 verbessern Geschwindigkeit und Mobilität, während das veraltete PPTP vermieden werden sollte.

Testen Sie Ihr Wissen über VPN-Protokolle.

IPsec schützt den Datenverkehr auf der Netzwerkschicht mit AH, ESP und IKE und verwendet für Site-to-Site-VPNs den Tunnelmodus. SSL/TLS-VPNs eignen sich für browserbasierten Client-Zugriff. Zu den modernen Protokollen gehören WireGuard, OpenVPN und IKEv2, während unsichere veraltete Optionen wie PPTP ersetzt werden sollten.