Kategorie: Internet & Netzwerke • Level: Mittel → Fortgeschritten • Thema: VPN
In den letzten Jahren ist “VPN” extrem populär geworden: Werbung überall, Versprechen von Anonymität und kompletter Sicherheit. Aber eine VPN ist nicht einfach ein “Land wechseln”-Knopf. Ursprünglich ist sie eine Enterprise-Networking-Technologie: Sie verbindet private Netze sicher über eine öffentliche Infrastruktur (Internet).
In dieser Anleitung gehen wir tiefer: Tunneling, Verschlüsselung, Authentisierung, verschiedene VPN-Architekturen, und warum eine saubere Site-to-Site-VPN Routing und Subnetting voraussetzt.
Was ist eine VPN (technische Definition)?
VPN steht für Virtual Private Network. Technisch gesehen ist es ein “Overlay-Netz” über einem physischen Netz (Internet). Ziel ist eine private, geschützte Verbindung zwischen zwei Endpunkten, so als gäbe es eine dedizierte Leitung – obwohl der Traffic über öffentliche Infrastruktur läuft.
Was bedeutet “Tunnel” und wie funktioniert das?
Der Kern ist Tunneling: Datenpakete werden verschlüsselt und in andere Pakete gekapselt. Das Internet sieht nur das “äussere” Paket (zwischen öffentlichen IPs). Der innere Inhalt bleibt verschlüsselt.
Ein PC im CH-Netz (192.168.1.10) soll einen Server im IT-Netz (192.168.2.50) erreichen.
Das innere Paket enthält diese Zieladresse, transportiert wird es aber in einem äusseren Paket von Public-IP CH zu Public-IP IT.
Wer mitschneidet, sieht nur verschlüsselten Traffic.
Die 3 Säulen: Vertraulichkeit, Integrität, Authentisierung
Eine professionelle VPN basiert auf klaren Sicherheitsprinzipien: Vertraulichkeit (Verschlüsselung), Integrität (Schutz vor Manipulation) und Authentisierung (Gegenstelle ist wirklich die richtige).
Vertraulichkeit = Verschlüsselung (z.B. AES, ChaCha20) • Integrität = MAC/HMAC • Authentisierung = Keys/Zertifikate/PSK
VPN-Typen (kompletter Überblick)
“VPN” ist ein Sammelbegriff. Entscheidend ist: verbindet man einen einzelnen Client mit einem Netz (Remote Access) oder verbindet man ganze Netze miteinander (Site-to-Site)?
Remote Access VPN (Client-to-Site)
Ein einzelnes Gerät (Laptop, Smartphone) verbindet sich in ein Zielnetz. Typisch fürs Homeoffice: Du authentisierst dich, bekommst eine virtuelle IP und erreichst interne Ressourcen (Server, Shares, Applikationen).
Du bist unterwegs und willst auf ein internes System zugreifen, das nicht öffentlich erreichbar ist. Mit Remote Access VPN bist du “im Netz”, als wärst du im Büro.
Site-to-Site VPN (Gateway-to-Gateway)
Hier verbinden sich zwei Gateways (Router/Firewall) miteinander. Das Resultat ist ein stabiler Tunnel, der zwei LANs zusammenschaltet. Perfekt für Multi-Standorte – oder für eine saubere Home Lab Architektur, wenn du Dienste (z.B. NAS/Backup/Management) zwischen zwei Orten teilen willst.
Zwei Gateways (z.B. Ubiquiti) in zwei Ländern bauen einen permanenten Tunnel auf. Das CH-Netz kann das IT-Netz erreichen wie eine Erweiterung: Zugriff auf NAS, Synchronisationen und sichere Datenübertragung.
Warum die Netze nicht den gleichen IP-Range haben dürfen
Das ist ein Klassiker. Wenn beide Standorte den gleichen IP-Range nutzen (z.B. beide 192.168.1.0/24),
entsteht ein Routing-Konflikt. Der Router muss entscheiden, ob ein Ziel lokal oder remote ist.
Sieht er das Ziel als “lokal”, wird der Traffic nicht in den Tunnel geschickt.
CH = 192.168.1.0/24 und IT = 192.168.1.0/24. Ein PC in CH will 192.168.1.50 erreichen.
Das System denkt: “ist im lokalen LAN”, also kein Tunnel → es funktioniert nicht sauber.
Lösung: unterschiedliche Subnetze, z.B. CH 192.168.1.0/24 und IT 192.168.2.0/24.
Intranet VPN und Extranet VPN
In Unternehmen spricht man von Intranet VPN, wenn mehrere Standorte der gleichen Firma verbunden werden, und von Extranet VPN, wenn ein Partner (Lieferant/Kunde) angebunden wird – meist mit stark begrenzten Zugriffsrechten.
Kommerzielle VPNs: was sie sind und was nicht
Kommerzielle VPN-Dienste verschlüsseln deinen Traffic bis zu einem VPN-Server und lassen ihn dann mit dessen öffentlicher IP ins Internet. Das kann für Public Wi-Fi sinnvoll sein. Aber: Es ersetzt keine saubere Unternehmens-VPN-Architektur (Routing/Policy/Segmentierung).
Protokolle: IPsec, OpenVPN, WireGuard
VPNs basieren auf verschiedenen Protokollen: IPsec ist ein Enterprise-Standard (häufig Site-to-Site), sehr robust aber komplex. OpenVPN ist flexibel (TLS/Zertifikate) und weit verbreitet. WireGuard ist modern und minimalistisch: weniger Komplexität, sehr gute Performance.
Site-to-Site Enterprise → oft IPsec • Flexible Remote Access → OpenVPN • Moderne, leichte Setups → WireGuard
VPN und Firewall: der häufigste Fehler
Eine VPN schafft Konnektivität. Aber “verbunden” heisst nicht “alles erlaubt”. Nach dem Tunnel brauchst du klare Firewall-Regeln zwischen Subnetzen: least privilege, nur was nötig ist. Sonst wird die VPN zur offenen Brücke.
Typische VPN-Probleme
Wenn VPNs Probleme machen, sind es oft die gleichen Ursachen: überlappende Subnetze, fehlende Routen, MTU-Themen, NAT falsch, DNS nicht sauber geplant. Wer VPNs professionell betreibt, braucht Routing, Subnetting, Firewall und Troubleshooting.
- Keine Subnet-Overlaps
- Klares Routing (statisch oder dynamisch, aber konsistent)
- Firewall-Regeln zwischen Subnetzen (least privilege)
- DNS-Konzept (falls Namensauflösung zwischen Netzen nötig ist)
- Monitoring/Logs für Troubleshooting
Fazit
Eine VPN ist eine ernsthafte Netzwerktechnologie: Overlay-Netz, Kapselung, Verschlüsselung, Policies. Site-to-Site ist besonders “sysadmin-like”: Subnetplanung, Routing und Firewall-Regeln sind Pflicht. Genau das signalisiert: “Der Autor versteht Netzwerke.”