Schlüsselpunkte
- Da Protokolle allein weder Sicherheits-, Benutzerfreundlichkeits- noch Betriebsanforderungen widerspiegeln, sollten Sie die VPN-Typen danach auswählen, wie der Zugriff in realen Umgebungen verwendet und bereitgestellt wird.
- VPNs für den Fernzugriff verbinden einzelne Benutzer:innen von außerhalb des Netzwerkperimeters mit internen Systemen. Damit sind sie die erste Wahl für Remote- und Hybrid-Arbeitsumgebungen.
- Site-to-Site-VPNs verbinden ganze Netzwerke statt einzelner Benutzer:innen und ermöglichen es so, dass Niederlassungen als ein einziges privates Netzwerk miteinander kommunizieren und Ressourcen gemeinsam nutzen können.
- Client-basierte und clientlose VPN-Modelle beeinflussen, auf welche Teile des Netzwerks Benutzer:innen zugreifen können, inwieweit Endpunkte kontrolliert werden können und wie benutzerfreundlich die Verbindung empfunden wird.
- Ein immer aktives VPN baut automatisch Verbindungen auf, sobald ein verwaltetes Gerät online ist. So wird zwar ein einheitliches Sicherheitsniveau gewährleistet, jedoch steigt gleichzeitig die Abhängigkeit von der Verfügbarkeit und Ausfallsicherheit der VPN-Infrastruktur.
- Cloud- und Hybridumgebungen verringern die Abhängigkeit von VPN-Tunneln auf Netzwerkebene, wobei identitätsbasierter und anwendungsspezifischer Zugriff die herkömmliche VPN-Konnektivität häufig ergänzt oder ersetzt.
Die Wahl des richtigen VPN-Typs hängt davon ab, wie und wo der Zugriff verwendet wird, und nicht nur von den Protokollen, die den Tunnel aufbauen. Die Zugriffsszenarien in der Praxis sind sehr unterschiedlich. Ein Mitarbeiter, der von zu Hause aus auf das Netzwerk zugreift, hat ganz andere Anforderungen als zwei Büronetzwerke, die jederzeit miteinander verbunden bleiben müssen.
Betrachtet man VPN-Typen als Bereitstellungsmodelle anstatt als Tunnel-Mechanismen, so lässt sich dadurch leichter eine Lösung wählen, die den jeweiligen Zugriffsmustern, Sicherheitsanforderungen und der betrieblichen Komplexität entspricht.
Überblick über VPNs für den Fernzugriff
Da ein Virtuelles Privates Netzwerk (VPN) für den Fernzugriff es Benutzer:innen ermöglicht, sich von außerhalb des Netzwerkperimeters aus sicher mit internen Systemen zu verbinden, findet es breite Anwendung in Remote- und Hybrid-Arbeitsumgebungen, in denen Mitarbeiter:innen von jedem beliebigen Standort aus auf private Unternehmensressourcen zugreifen müssen.
Da das VPN einen verschlüsselten Tunnel zwischen dem Gerät des Benutzers und dem internen Netzwerk aufbaut, werden die übertragenen Daten dadurch geschützt. Der Ablauf gestaltet sich wie folgt:
- Das Unternehmen richtet einen VPN-Dienst oder ein VPN-Gateway ein, um eingehende Remote-Verbindungen zu akzeptieren.
- Der Benutzer öffnet eine VPN-Anwendung, oder die Verbindung wird automatisch hergestellt, sofern ein durchgehender Zugriff aktiviert ist.
- Der Benutzer meldet sich mittels eines Passworts, einer Multi-Faktor-Authentifizierung (MFA) oder eines Geräte- bzw. Benutzerzertifikats an.
- Nachdem die Authentifizierung erfolgt ist, richtet das VPN einen verschlüsselten Tunnel ein, damit die Daten während der Übertragung zwischen Benutzer:innen und Netzwerk geschützt sind.
- Anschließend kann der Benutzer auf die freigegebenen internen Anwendungen, Dateien oder Systeme zugreifen.
- Die Verbindung endet, sobald sich der Benutzer trennt oder die entsprechenden Richtlinienbedingungen nicht mehr erfüllt sind.
Überprüfung des Sicherheitsstatus von Endpunkten
Zugangsentscheidungen basieren nicht ausschließlich auf der Identität. Viele VPNs für den Fernzugriff berücksichtigen den Sicherheitsstatus des sich verbindenden Geräts, bevor sie Netzwerkzugang gewähren.
Was wird überprüft?
Betriebssystemversion, Status der Festplattenverschlüsselung, Vorhandensein von Antiviren- oder EDR-Software, Verfügbarkeit von Zertifikaten sowie die Registrierung des Geräts über die Mobile Device Management-Lösung (MDM).
Was passiert mit Geräten, die die Sicherheitsüberprüfung nicht bestehen?
Geräte, die die Anforderungen an die Gerätekonfiguration nicht erfüllen, werden möglicherweise blockiert oder auf begrenzte Ressourcen beschränkt.
Site-to-Site-VPNs verstehen
Site-to-Site-VPNs hingegen dienen dazu, ganze Netzwerke miteinander zu verbinden, und nicht einzelne Benutzer:innen. Während Fernzugriffs-VPNs Mitarbeiter:innen unterstützen, die von außerhalb des Büros arbeiten, sorgen Standort-zu-Standort-VPNs dafür, dass mehrere Standorte jederzeit miteinander verbunden bleiben.
Dadurch können Niederlassungen, Rechenzentren und Cloud-Umgebungen so betrieben werden, als wären sie Teil eines einzigen internen Netzwerks. Der Ablauf gestaltet sich wie folgt:
- An jedem Standort wird ein VPN-Gateway eingerichtet, wobei es sich in der Regel um einen Router oder eine Firewall handelt.
- Diese Gateways handeln die Verschlüsselungsparameter sowie die Authentifizierungsmethoden aus.
- Da sich die Gateways gegenseitig authentifizieren, wird auf diese Weise eine vertrauenswürdige Verbindung hergestellt.
- Sobald das Vertrauen hergestellt ist, wird zwischen den Standorten ein verschlüsselter Tunnel aufgebaut, der durchgehend aktiv bleibt. Dieser Tunnel bleibt jederzeit aktiv.
- Da der gesamte Datenverkehr zwischen den Netzwerken durch diesen verschlüsselten Tunnel geleitet wird, bleiben die Daten während der Übertragung geschützt.
Clientbasiertes vs. clientloses VPN-Modell
VPNs werden in der Regel entweder nach einem clientbasierten oder einem clientlosen Modell eingesetzt. In der folgenden Tabelle werden die Unterschiede der einzelnen Modelle hinsichtlich Verbindungsmethode, Zugriffsbereich und Verwaltungsanforderungen gegenübergestellt.
Aspekte | Clientbasierte VPNs | Clientlose VPNs |
| Müssen Benutzer:innen Software installieren? | Ja. Auf dem Gerät muss eine spezielle VPN-Software installiert sein. | Nein. Der Zugriff erfolgt über eine sichere Browsersitzung. |
| Wie wird die Verbindung hergestellt? | Zwischen dem Endpunkt und dem internen Netzwerk wird ein verschlüsselter Tunnel eingerichtet. | Eine browserbasierte Sitzung verbindet Benutzer:innen mit bestimmten Ressourcen. |
| In welchem Umfang wird Netzwerkzugang bereitgestellt? | In der Regel umfassender oder vollständiger Netzwerkzugriff auf der Grundlage von Richtlinien | Beschränkt auf bestimmte Anwendungen oder Dienste. |
| Welche Sicherheitsmaßnahmen werden unterstützt? | Unterstützt sowohl Überprüfungen des Gerätezustands als auch die durchgehende Erzwingung der VPN-Verbindung. | Eingeschränkte Kontrolle auf Endpunkt-Ebene aufgrund fehlender Client-Software. |
| Wie viel Aufwand ist für die Einrichtung und Verwaltung erforderlich? | Erfordert die Bereitstellung auf Client-Seite und die fortlaufende Verwaltung der Endpunkte. | Erfordert nur minimale Konfiguration und keine Client-Verwaltung. |
| Wann wird dieses Modell in der Regel verwendet? | Für Geräte, die sich im Besitz des Unternehmens befinden und von diesem verwaltet werden. | Für nicht verwaltete, gemeinsam genutzte oder temporäre Geräte. |
Clientbasierte und clientlose VPNs bieten sehr unterschiedliche Zugriffserfahrungen. Die Wahl des richtigen Modells ist wichtig, da sie darüber entscheidet, welchen Zugriff Benutzer:innen erhalten, inwieweit das Unternehmen die Kontrolle über deren Geräte hat und wie benutzerfreundlich die Verbindung insgesamt ist.
Immer aktive VPN-Modelle
Immer aktive VPNs stellen automatisch eine sichere Verbindung her, sobald ein verwaltetes Gerät online geht. Benutzer:innen müssen die Verbindung nicht selbst herstellen, da der Zugriff über Richtlinien erzwungen wird.
Da dieser Ansatz die Abhängigkeit vom Nutzerverhalten verringert und den Datenverkehr standardmäßig schützt, eignen sich durchgehend aktive VPNs am besten für Geräte, die sich im Besitz des Unternehmens befinden und von diesem verwaltet werden, insbesondere in Umgebungen, in denen ein kontinuierlicher Schutz sowie die Einhaltung von Compliance-Vorgaben erforderlich sind.
Cloud- und Hybrid-Zugriffsmuster
Moderne IT-Umgebungen beruhen zunehmend auf cloud-nativen Anwendungen und identitätsbasierten Zugriffsmodellen, sodass der Zugriff nicht mehr ausschließlich an den Netzwerkstandort gebunden ist und sich die Abhängigkeit von herkömmlichen VPN-Tunneln auf Netzwerkebene entsprechend verringert.
In diesen Fällen werden herkömmliche VPNs häufig durch Cloud-Zugriffslösungen ergänzt oder vollständig ersetzt, die eine unmittelbarere, anwendungsspezifische Konnektivität bieten.
Zusätzliche Überlegungen
Bei der Auswahl und Implementierung eines VPNs können mehrere praktische Faktoren beeinflussen, wie gut sich die Lösung an die jeweiligen Zugriffsanforderungen und betrieblichen Erwartungen anpasst.
Die VPN-Leistung hängt von Routing- und Split-Tunneling-Entscheidungen ab
Die VPN-Leistung wird maßgeblich davon bestimmt, wie der Datenverkehr geleitet wird. Wird der gesamte Datenverkehr zwangsweise über das VPN geführt, kann es dadurch zu Latenz, Bandbreitenengpässen und einem langsameren Zugriff auf Cloud-Dienste kommen.
Split Tunneling ermöglicht es, unkritischen Datenverkehr am VPN vorbeizuleiten, wodurch sich die Leistung verbessern lässt. Diese Methode muss jedoch sorgfältig angewendet werden, damit keine Sicherheitslücken entstehen.
Die Identitätsintegration beeinflusst die Wirksamkeit der Zugriffskontrolle
Der VPN-Zugriff hängt maßgeblich von Identitätssystemen ab. Integrationen mit modernen Identitätsanbietern, wie etwa SSO und MFA, ermöglichen daher eine präzisere Zugriffskontrolle und Richtliniendurchsetzung, sodass sich der Zugriff unter den jeweils passenden Bedingungen leichter gewähren lässt, ohne interne Ressourcen unnötig offenzulegen.
Die Benutzererfahrung wirkt sich auf Akzeptanz und Compliance aus
VPNs, die langsam, unzuverlässig oder schwer zu bedienen sind, führen häufig zu Umgehungslösungen und einer geringeren Compliance. Eine verlässliche Leistung, weniger manuelle Schritte und eine optimierte Authentifizierung verbessern hingegen sowohl die Akzeptanz als auch die Bereitschaft der Benutzer:innen, den vorgesehenen Zugriffspfad einzuhalten.
VPNs ersetzen keine Endpunkt-Sicherheit
VPNs schützen zwar den Datenverkehr während der Übertragung, sichern jedoch nicht das Gerät selbst ab. Endpunkte benötigen daher weiterhin aktuelle Betriebssysteme, Endpoint Detection und Response (EDR) sowie weitere Sicherheitskontrollen, um das Gesamtrisiko zu verringern.
Fehlerbehebung
Im Folgenden finden Sie gängige VPN-Probleme, die auftreten, wenn Zugriffsmodelle oder Bereitstellungsentscheidungen nicht mit der tatsächlichen Nutzung übereinstimmen, sowie die jeweiligen Lösungsansätze.
Langsame Leistung
Da Verzögerungen oder ein verringerter Datendurchsatz häufig mit der Art der Verkehrsleitung zusammenhängen, sollten Sie den VPN-Typ überprüfen und feststellen, ob der gesamte Datenverkehr zwangsweise durch den Tunnel geleitet wird oder ob Split Tunneling angemessen konfiguriert ist.
Zu weit gefasster Zugriff
Sofern Benutzer:innen über eine größere Sichtbarkeit oder mehr Berechtigungen verfügen als vorgesehen, sollten Sie das Bereitstellungsmodell sowie den Zugriffsumfang überprüfen. Stellen Sie dabei fest, ob das VPN einen vollständigen Netzwerkzugriff oder einen anwendungsspezifischen Zugriff gewährt, und passen Sie die Richtlinien entsprechend dem Prinzip der geringsten Berechtigung an.
Verwirrung der Benutzer:innen
Komplexe oder uneinheitliche VPN-Abläufe führen zu vermehrten Benutzerfehlern und beeinträchtigen die Compliance. Die Vereinfachung des Verbindungsverhaltens, die Reduzierung manueller Schritte oder die Einführung von immer aktiven Modellen können zu einer besser vorhersehbaren Benutzererfahrung führen.
Skalierungsprobleme
Da eine unter Last nachlassende VPN-Leistung in der Regel auf architektonische Ursachen zurückzuführen ist, sollten Sie die Gateway-Kapazität, die Authentifizierungsabhängigkeiten sowie den gesamten VPN-Aufbau neu bewerten, damit sichergestellt ist, dass das Design sowohl dem aktuellen als auch dem künftigen Bedarf gerecht wird.
NinjaOne-Integration
NinjaOne unterstützt Teams bei der Verwaltung von Geräten über verschiedene VPN-Modelle hinweg. So geht’s:
NinjaOne-Fähigkeit | Vorteil |
| Endpunkt-Transparenz | Bietet Einblicke in den Gerätestatus und das Verbindungsverhalten über verschiedene Endpunkte hinweg unter Verwendung unterschiedlicher VPN-Modelle |
| Überwachung der Geräteausrichtung | Hilft dabei festzustellen, ob Endpunkte die Sicherheitsanforderungen erfüllen, die für Entscheidungen bezüglich des VPN-Zugangs maßgeblich sind |
| Endpunktverwaltung | Unterstützt die einheitliche Konfiguration und Durchsetzung von Richtlinien für verwaltete Geräte bei VPN-basiertem Zugriff |
| Zentralisierte Überwachung | Vereinfacht die Überwachung durch die Zusammenführung von Informationen zum Zustand der Endpunkte, zur Sicherheitslage und zur Konnektivität in einer einzigen Ansicht |
Moderne Zugriffsanforderungen mit den passenden VPN-Typen in Einklang bringen
VPN-Typen lassen sich am besten anhand ihrer Einsatzweise und der Zugriffsszenarien verstehen, für deren Unterstützung sie konzipiert sind. Die Wahl des richtigen Modells verringert unnötige Reibungsverluste, verbessert die Abstimmung der Sicherheitsmaßnahmen und unterstützt einen skalierbaren Zugriff im Zuge der Weiterentwicklung der Umgebungen.
Verwandte Themen:
