VPN Allgemein
Was ist ein VPN
VPNs versetzen Unternehmen in die Lage, auf einfache und kostengünstige Weise ihre Netzwerke an verschiedenen Standorte zu verbinden und Außendienstmitarbeiter anzubinden. Dabei stellen VPNs eine billigere Alternative zu klassischen Wählleitungen dar und vereinfachen die Administration von Netzwerken, da sie u.a. die sonst nötigen Modem-Bänke ersetzen. Aber trotz all dieser Vorteile können die Sicherheitsfragen, die diese neuen Netze aufwerfen nicht unbeachtet bleiben. Bei einem Datenaustausch über ein öffentliches Netz, wie dem Internet, besteht immer die Gefahr von Angriffen. Es ist also immer nötig, die Daten zu verschlüsseln und die Zugangspunkte zu den VPNs abzusichern.
Die beiden wichtigsten VPN-Typen sind
End-to-Site VPN's
Diese ermöglichen es z.B. Außendienstmitarbeitern sich von jedem Punkt der Erde aus, über eine sichere Internet-Verbindung mit dem Netzwerk ihrer Firmenzentrale zu verbinden; so als würden sie in ihrem Büro sitzen. Durch die verschlüsselte Übertragung besteht keine Gefahr, dass die übers Internet versendeten Daten in unbefugte Hände gelangen.
Site-to-Site VPN's
welche zwei oder mehr LANs, über eine sichere, weil verschlüsselte Internet-Verbindung koppeln und somit z.B. das LAN in einer Filiale mit dem in der Firmenzentrale verbinden. Für die Stationen der jeweiligen Netze erfolgt dies vollkommen Transparent, daß heißt, das LAN am anderen Ende des VPNs erscheint ihnen wie ein anderes Subnetz im selben LAN.
Die Funktionsweise
Ein VPN beruht auf IP-Tunneling, daß heißt, das zu transportierende Paket wird verschlüsselt und in ein neues Paket verpackt. Dieses Paket wird in einem Server des LANs oder des ISPs erzeugt, der den Ausgangspunkt des Tunnels bildet. Das Paket enthält als Quelladresse die Adresse dieses Rechners und als Zieladresse einen Server, der den Endpunkt des Tunnels bildet und das transportierte Paket wieder entpackt, also den Tunnel-Kopf entfernt und es entschlüsselt. Dieses Paket wird dann wie gewohnt im Ziel-LAN seinem Empfänger zugestellt.
Bevor ein Rechner eine verschüsselte Datenverbindung aufbaut, muß er sich eindeutig authentifizieren. Erst nach dem erfolgreichen Identitätsnachweis leitet das VPN-Gateway die Pakete ins Firmennetz weiter. Die Authentifizierung kann entweder über nur den beteiligten Rechnern bekannte Geheimnisse (Pre Shared Secrets) geschehen oder über Public-Key-Mechanismen, wie sie auch für digitale Signaturen zum Einsatz kommen. Die Verwendung von Pre-Shared-Secrets ist bei End-to-Site-Verbindungen