Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/Übersicht: Unterschied zwischen den Versionen

Aus Securepoint Wiki
← Zum vorherigen Versionsunterschied
K Weiterleitung auf UTM/VPN/Übersicht v11.8 entfernt
Markierung: Weiterleitung entfernt
KKeine Bearbeitungszusammenfassung
 
(4 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
{{Set_lang}}
{{Set_lang}}
<templatestyles src="Vorlage:AV-Portal-Benutzer.css" />
<templatestyles src="Vorlage:AV-Portal-Benutzer.css" />
{{#vardefine:headerIcon|spicon-utm}}
{{#vardefine:headerIcon|spicon-utm}}
{{:UTM/VPN/Übersicht.lang}}


{{var | display
{{var | neu--Win11
| VPN-Übersicht
| Windows11 wurde in der VPN Übersicht ergänzt
|  }}
|  }}
{{var | head
{{var | neu--Beschreibung
| Übersicht über die verschiedenen VPN-Verbindungstechniken der Securepoint UTM
| Aktualisierung der Beschreibungen der VPN-Typen
|  }}
{{var | neu--IKEv2-NAT
| NAT auf beiden Seiten mit IKEv2 ist zwar weiterhin möglich, wird aber nicht mehr empfohlen, da es oft Probleme mit nachgeordneten Routern in lokalen Netzen gibt, die Pakete nicht korrekt behandeln
|  }}
|  }}


</div>{{TOC2}}
</div><div class="new_design"></div>{{Select_lang}}{{TOC2}}
{{Header| 05.2022 |
{{Header|04.2026|
* {{#var:neu--IKEv2-NAT}}
* {{#var:neu--Win11}}
|[[UTM/VPN/Übersicht_v11.8 | 11.8]]
* {{#var:neu--Beschreibung}}
| [[UTM/VPN/Übersicht_12.2023 | 12.2023]]
<!--
[[UTM/VPN/Übersicht_08.2022 | 08.2022]]
[[UTM/VPN/Übersicht_v11.8 | 11.8]]  
-->
}}
}}
<p>In diesem Artikel werden die verschiedenen Techniken zum Aufbau einer VPN-Verbindung (Virtual Private Network), die in der Securepoint UTM installiert sind, erläutert und es wird eine Übersicht gegeben, wann diese am besten eingesetzt werden sollten.</p>
 
<p>{{#var:Vorwort}} <p>
----
----
=== Techniken ===
 
==== IPSec VPN ====
 
{| class="noborder"
=== {{#var:Techniken}} ===
|Protokolle:|| IKE, ESP, NAT-Traversal
 
==== WireGuard ====
<div class="Einrücken">
{| class="noborder pd5"
| {{#var:Protokolle}}: || WireGuard
|-
|-
|Ports:|| 500/UDP (IKE), 4500/UDP (NAT-Traversal)
| Ports: || {{#var:WireGuard--Ports}}
|}
|}
<br>
IPSec ist ein sehr sicherer VPN Standard, bestehend aus unterschiedlichen Protokollen, der sowohl für Site to Site als auch für End to Site, die von uns als Roadwarrior bezeichneten, Verbindungen eingesetzt werden kann.


IPSec bringt aber einige Merkmale mit, die sich teilweise negativ auf den Aufbau und die Stabilität einer VPN Verbindung auswirken können. Insbesondere bei Verbindungen die über Router auf andere IP-Adressbereiche genattet werden, da die IPSec Pakete durch NAT eine neue IP-Adresse und einen neuen Quell-Port erhalten. Hier kommt dann das IPSec-NAT-Traversal zum Einsatz.
{{#var:WireGuard--desc}}
<li class="list--element__alert list--element__warning">{{#var:WireGuard--Hinweis}}</li>
</div>


In der Praxis gibt es aber nach wie vor Stabilitäts-Probleme bei Verbindungen, bei der die Router, die die VPN Verbindung herstellen sollen, hinter einem NAT-Router positioniert sind und somit keinen direkten Zugriff auf die Internetleitung haben. Daran hat leider auch die Version 2 des IKE Protokolls nicht geändert.


Um trotzdem eine möglichst Stabile Verbindung zu erstellen, hat sich der Einsatz von [[UTM/AUTH/RSA-Keys | RSA-Schlüsseln]] statt eines Pre-Shared Key (PSK) zur Authentifizierung bewährt.
==== SSL VPN ====
==== SSL VPN ====
{| class="noborder"
<div class="Einrücken">
|Protokolle: || SSL, TLS
{| class="noborder pd5"
| {{#var:Protokolle}}: || SSL, TLS
|-
| Ports: || {{#var:SSL VPN-Ports}}
|}
 
{{#var:SSL VPN--desc}}
</div>
 
 
==== IPSec VPN ====
<div class="Einrücken">
{| class="noborder pd5"
| {{#var:Protokolle}}: || IKE, ESP, NAT-Traversal
|-
|-
|Ports: || Standard 1194/UDP; Kann aber fast jeden freien Port und auch das Protokoll TCP nutzen.
| Ports: || 500/UDP (IKE), 4500/UDP (NAT-Traversal)
|}
|}
<br>
 
Die Securepoint Firewall Appliances bieten eine SSL (Secure Socket Layer) verschlüsselte VPN Verbindung auf der Basis des Open-Source Projektes OpenVPN an. OpenVPN zeichnet sich durch hohe Flexibilität, eine relativ einfache Konfiguration und gute Verschlüsselung der Daten und damit einer sehr hohen Sicherheit aus.<br>
{{#var:IPSec VPN--desc}}
Weiterhin hat OpenVPN in der Regel keine Probleme mit genatteten Verbindungen und ist daher auch als sehr stabile Alternative zu IPSec VPN Site to Site Verbindungen einsetzbar.
</div>
{{Hinweis|!|g}} ARM-Prozessoren werden derzeit von OpenVPn nicht unterstützt.
 


==== L2TP VPN ====
==== L2TP VPN ====
<div class="Einrücken pd5">
{{Hinweis-box| {{#var:L2TP--Hinweis}} | g}}<br>
{{sp-einblenden| {{#var:L2TP anzeigen}} }}
{| class="noborder"
{| class="noborder"
|Protokolle: || L2TP
|{{#var:Protokolle}}: || L2TP
|-
|-
|Ports: || 1701/UDP
|Ports: || 1701/UDP
|}
|}
<br>
<p>{{#var:L2TP--Menu}}</p>
Das L2TP (Layer 2 Tunneling Protokoll) ist eine Kombination aus den Protokollen PPTP (Point to Point Tunneling Protokoll) und L2F (Layer 2 Forwarding). Da L2TP lediglich eine Benutzerauthentifizierung, aber keine Verschlüsselung unterstützt, wird es in Verbindung mit dem IPSec Protokoll eingesetzt. L2TP wird speziell zur Einbindung von Einzelrechnern an Netzwerke benutzt.
{{#var:L2TP VPN--desc}}
</div></div>
 


==== PPTP VPN ====
==== PPTP VPN ====
 
<div class="Einrücken">
{{Hinweis|! Als nachgewiesenermaßen unsicheres Protokoll wird PPTP VPN von der UTM nicht mehr unterstützt.}}  
{{Hinweis-box|{{#var:PPTP VPN-Hinweis}}|r}} <br>
{{Einblenden3 | Angaben zu PPTP VPN anzeigen | ausblenden | true | dezent }}
{{sp-einblenden | {{#var:PPTP VPN-Einblenden--cap}} }}
Bei PPTP VPN handelt es sich nachgewiesenermaßen um ein unsicheres VPN Protokoll. Es wird dringend empfohlen dieses Protokoll nicht mehr zu verwenden. Benutzen sie stattdessen für Roadwarrior Verbindungen SSL VPN, IPSec xAuth oder IPSec mit L2TP.'''
{{#var:PPTP VPN-Einblenden--desc}}
<br>
<br>
{| class="noborder"
{| class="noborder pd5"
|Protokolle:|| PPTP, GRE
| {{#var:Protokolle}}: || PPTP, GRE
|-
|-
|Ports:|| 1723/TCP
| Ports: || 1723/TCP
|}
|}
<br>
Das Point-to-Point Tunneling Protocol (PPTP) wird in der Regel für Roadwarrior Verbindungen eingesetzt.<br>
Die VPN Verbindung wird über den TCP-Port 1723 initialisiert und der Datenfluss anschließend mit dem Generic Routing Encapsulation Protocol (GRE) gesteuert.
</div>


{{#var:Das Point-to-Point Tunneling Protocol}}
</div><br clear=all>
----
----


=== Site to Site VPN Verbindungen ===
In der folgenden Tabelle wird dargestellt, welche VPN-Technik im Zusammenspiel mit welcher Internetverbindung nach unserer Erfahrung am stabilsten läuft.


{| class="sptable verfügbar pd5"
=== {{#var:Site to Site VPN Verbindungen}} ===
<div class="Einrücken">
==== {{#var:VPN-Typ in Verbindung mit Anschluss-Art}} ====
{{#var:Site to Site VPN Verbindungen--desc}}
</div>
 
{| class="sptable center verfügbar pd5 Einrücken"
|-
|-
! VPN-Art !! NAT !! style="text-align: center;" | ADSL/SDSL !!style="min-width: 80px; text-align: center;" | VDSL !! style="text-align: center;" | Kabelanschluss !! style="min-width: 80px; text-align: center;" | LTE !! style="text-align: center;" | UMTS
! VPN-Art !! NAT !! style="text-align: center;" | ADSL/SDSL !!style="min-width: 80px; text-align: center;" | VDSL !! style="text-align: center;" | {{#var:Kabelanschluss}} !! style="min-width: 80px; text-align: center;" | LTE !! style="text-align: center;" | UMTS
|-
|-
| rowspan="3" | '''SSL-VPN''' || ohne NAT || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-|fw=bolder}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">Kabelanschluss</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
| rowspan="3" | '''WireGuard''' || {{#var:ohne NAT}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-|fw=bolder}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
|-
| {{mobil|'''SSL-VPN''' }} NAT auf einer Seite || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">Kabelanschluss</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
| {{mobil|'''WireGuard''' }} {{#var:NAT auf einer Seite}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
|-
| {{mobil|'''SSL-VPN''' }} NAT auf beiden Seiten || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">Kabelanschluss</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
| {{mobil|'''WireGuard''' }} {{#var:NAT auf beiden Seiten}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
|-
 
| rowspan="3" | '''SSL-VPN''' || {{#var:ohne NAT}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-|fw=bolder}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
| rowspan="3" | '''IPSec IKEv2''' || ohne NAT || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">Kabelanschluss</div> {{spc|check|o|-}} || class="bc__teilweise" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
| {{mobil|'''SSL-VPN''' }} {{#var:NAT auf einer Seite}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
| {{mobil|'''SSL-VPN''' }} {{#var:NAT auf beiden Seiten}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
| rowspan="3" | '''IPSec IKEv2''' || {{#var:ohne NAT}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__teilweise" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
|-
| {{mobil|'''IPSec IKEv2'''}} NAT auf einer Seite || class="bc__teilweise" | <div class="zb">ADSL/SDSL</div>{{spc|!!|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">Kabelanschluss</div> {{spc|check|o|-}} || class="bc__nein" | <div class="zb">LTE</div> {{spc|ban|o|-}} || class="bc__teilweise" | <div class="zb">UMTS</div>{{spc|!!|o|-}}
| {{mobil|'''IPSec IKEv2'''}} {{#var:NAT auf einer Seite}} || class="bc__teilweise" | <div class="zb">ADSL/SDSL</div>{{spc|!!|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__nein" | <div class="zb">LTE</div> {{spc|ban|o|-}} || class="bc__teilweise" | <div class="zb">UMTS</div>{{spc|!!|o|-}}
|-
|-
| {{mobil|'''IPSec IKEv2'''}} NAT auf beiden Seiten || class="bc__teilweise" | <div class="zb">ADSL/SDSL</div> {{spc|!!|o|-}} || class="bc__teilweise" |  <div class="zb">VDSL</div> {{spc|!!|o|-}} || class="bc__teilweise" | <div class="zb">Kabelanschluss</div> {{spc|!!|o|-}} || class="bc__teilweise" | <div class="zb">LTE</div> {{spc|!!|o|-}} || class="bc__teilweise" | <div class="zb">UMTS</div> {{spc|!!|o|-}}
| {{mobil|'''IPSec IKEv2'''}} {{#var:NAT auf beiden Seiten}} || class="bc__teilweise" | <div class="zb">ADSL/SDSL</div> {{spc|!!|o|-}} || class="bc__teilweise" |  <div class="zb">VDSL</div> {{spc|!!|o|-}} || class="bc__teilweise" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|!!|o|-}} || class="bc__teilweise" | <div class="zb">LTE</div> {{spc|!!|o|-}} || class="bc__teilweise" | <div class="zb">UMTS</div> {{spc|!!|o|-}}
|-
|-
| rowspan="3" | '''IPSec IKEv1''' || ohne NAT || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">Kabelanschluss</div> {{spc|check|o|-}} || class="bc__teilweise" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
| rowspan="3" | '''IPSec IKEv1''' || {{#var:ohne NAT}} || class="bc__ja" | <div class="zb">ADSL/SDSL</div> {{spc|check|o|-}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__teilweise" | <div class="zb">LTE</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">UMTS</div> {{spc|check|o|-}}
|-
|-
| {{mobil|'''IPSec IKEv1''' }} NAT auf einer Seite || class="bc__ja" | <div class="zb" style="margin-right: 2em;>ADSL/SDSL</div> mit RSA-Schlüssel || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">Kabelanschluss</div> {{spc|check|o|-}} || class="bc__nein" | <div class="zb">LTE</div> {{spc|ban|o|-}} || class="bc__teilweise" | <div class="zb" style="margin-right: 2em;">UMTS</div>mit RSA-Schlüssel
| {{mobil|'''IPSec IKEv1''' }} {{#var:NAT auf einer Seite}} || class="bc__ja" | <div class="zb" style="margin-right: 2em;>ADSL/SDSL</div> {{#var:mit RSA-Schlüssel}} || class="bc__ja" |  <div class="zb">VDSL</div> {{spc|check|o|-}} || class="bc__ja" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|check|o|-}} || class="bc__nein" | <div class="zb">LTE</div> {{spc|ban|o|-}} || class="bc__teilweise" | <div class="zb" style="margin-right: 2em;">UMTS</div>{{#var:mit RSA-Schlüssel}}
|-
|-
| {{mobil|'''IPSec IKEv1''' }} NAT auf beiden Seiten || class="bc__nein" | <div class="zb">ADSL/SDSL</div> {{spc|ban|o|-}} || class="bc__nein" |  <div class="zb">VDSL</div> {{spc|ban|o|-}} || class="bc__nein" | <div class="zb">Kabelanschluss</div> {{spc|ban|o|-}} || class="bc__nein" | <div class="zb">LTE</div> {{spc|ban|o|-}} || class="bc__nein" | <div class="zb">UMTS</div> {{spc|ban|o|-}}
| {{mobil|'''IPSec IKEv1''' }} {{#var:NAT auf beiden Seiten}} || class="bc__nein" | <div class="zb">ADSL/SDSL</div> {{spc|ban|o|-}} || class="bc__nein" |  <div class="zb">VDSL</div> {{spc|ban|o|-}} || class="bc__nein" | <div class="zb">{{#var:Kabelanschluss}}</div> {{spc|ban|o|-}} || class="bc__nein" | <div class="zb">LTE</div> {{spc|ban|o|-}} || class="bc__nein" | <div class="zb">UMTS</div> {{spc|ban|o|-}}
|}
|}


<div class="legende">'''Legende:'''</div> <div class="bc__ja check legende"> Empfohlen</div> <div class="bc__teilweise blackalert legende"> möglich</div> <div class="bc__nein ban legende"> nicht empfohlen</div>
<div class="legende">'''{{#var:Legende}}:'''</div>  
<div class="bc__ja check legende"> {{#var:Empfohlen}} </div>  
<div class="bc__teilweise blackalert legende"> {{#var:möglich}} </div>  
<div class="bc__nein ban legende"> {{#var:nicht empfohlen}} </div>


<div class="Einrücken">
'''{{#var:Erklärung zur Tabelle}}'''<br>
{{#var:Erklärung zur Tabelle--desc}}
</div>




'''Erklärung zur Tabelle'''<br>
==== {{#var:Einrichtung der Site-to-Site Verbindungen}} ====
Aufgrund der Eigenschaften von SSL VPN bzw. OpenVPN haben wir die Erfahrung gemacht, das mit dieser Technik fast immer eine stabile VPN Verbindung eingerichtet werden kann.
<div class="Einrücken">
* [[UTM/VPN/DNS_Relay | {{#var:UTM/VPN/DNS_Relay--desc}} ]]


RSA-Schlüssel bestehen aus einem privaten und einem öffentlichen Schlüssel und sorgen für eine sichere Authentifizierung. Diese Schlüsselpaare können auf jeder Securepoint Appliance erzeugt und die öffentlichen Schlüssel ausgetauscht werden.
===== WireGuard =====
* [[UTM/VPN/WireGuard-S2S | {{#var:WireGuard S2S--Link}}]]


Leider müssen wir immer wieder die Erfahrung machen, dass Verbindungen über LTE (Long Term Evolution) vom Internet Provider genattet werden. Am besten läuft die Verbindung mit einer öffentlichen IP vom Provider. Ansonsten sind die VPN Verbindungen über IPSec in der Regel nicht stabil, wenn sie denn überhaupt aufgebaut werden.
===== SSL-VPN =====
* [[UTM/VPN/SSL_VPN-S2S | {{#var:UTM/VPN/SSL_VPN-S2S--desc}} ]]
* [[UTM/VPN/SSL_VPN-S2S-Fallback | {{#var:UTM/VPN/SSL_VPN-S2S-Fallback--desc}} ]]


==== Einrichtung der Site-to-Site Verbindungen ====
===== IPSec =====
 
* [[UTM/VPN/IPSec_Arten | {{#var:IPSec_Arten--desc}} ]]  
* IPSec
* [[UTM/VPN/IPSec-S2S| {{#var:IPSec_Site_to_Site_v11--desc}} ]]
** [[IPSec_Arten | Konfigurationsmöglichkeiten einer IPSec-Verbindung ]]  
* [[UTM/VPN/Netmap | {{#var:Netmap_11.5--desc}} ]]
** [[IPSec_Site_to_Site_v11| Konfiguration einer S2S Verbindung mit IPSec ]]
* [[UTM/VPN/IPSec-HTTP | {{#var:UTM/VPN/IPSec-HTTP--desc}} ]]
 
* SSL-VPN
** [[UTM/VPN/SSL_VPN-S2S | Konfiguration einer SSL-VPN S2S Verbindung ]]
** [[UTM/VPN/SSL_VPN-S2S-Fallback | Konfiguration einer SSL-VPN S2S Verbindung mit Fallback]]
 
<br>
 
* [[UTM/VPN/DNS_Relay | Konfiguration eines DNS-Relay über eine IPSec oder SSL-VPN Site to Site VPN-Verbindung]]
* [[UTM/VPN/IPSec-HTTP | Hinweise zu HTTP-Verbindungen über VPN-Verbindungen ]]
<br>
* [[Netmap_11.5 | Konfiguration von VPN Verbindungen mit identischen Netzwerken (ab 11.5)]]


</div>
----
----


=== Roadwarrior oder End to Site VPN Verbindungen ===
Nicht alle Betriebssysteme bieten die Möglichkeit, alle VPN Techniken anzuwenden.


Die folgende Tabelle gibt eine Übersicht.
==={{#var:Roadwarrior oder End to Site VPN Verbindungen}}===
 
<div class="Einrücken">
{| class="sptable0 verfügbar pd5"
==== {{#var:VPN-Typ in Verbindung mit Betriebssystem}} ====
|-
{{#var:Roadwarrior oder End to Site VPN Verbindungen--desc}}
! Betriebs&shy;system !! SSL-VPN !! IPSec IKEv1 !! IPSec IKEv2 !! IPSec XAuth !! L2TP / IPSec
</div>
|-
| Windows XP [[#XP | <sup>{{Hinweis|!}}</sup> ]]|| class="bc__teilweise blackalert" | <br><small>nur Version 1.0.1</small>|| class="bc__nein ban" | || class="bc__nein ban" | || class="bc__nein ban" | || class="bc__teilweise blackalert" |
|-
| Windows Vista [[#XP | <sup>{{Hinweis|!}}</sup>]] || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check client" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |
|-
| Windows 7 [[#W7 | <sup>{{Hinweis|!}}</sup>]]|| class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |


{| class="sptable0 verfügbar pd5 Einrücken"
|-
|-
| Windows RT || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |
! {{#var:Betriebssystem}} !! WireGuard !! SSL-VPN !! IPSec IKEv1 !! IPSec IKEv2 !! IPSec XAuth !! L2TP / IPSec
|-
|-
| Windows 8 || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Windows 11 || class="bc__ja check" | || class="bc__ja check" | <br><small>OpenVPN</small> || class="bc__nein ban" |  || class="bc__ja check" |  || class="bc__nein ban" |  || class="bc__teilweise blackalert" |  
|-
|-
| Windows 8.1 || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Windows 10 || class="bc__ja check" | || class="bc__ja check" | <br><small>{{#var:ab Ver.2}}</small> || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
|-
|-
| Windows 10 || class="bc__ja check" | <br><small>ab Ver.2</small> || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Linux || class="bc__ja check" |  || class="bc__ja check" | <br><small>OpenVPN</small> || class="bc__ja check" |  || class="bc__ja check" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |  
|-
|-
| Windows Server 2003R2 || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__nein ban" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Apple OS X || class="bc__ja check" | || class="bc__ja check" | <br><small>{{#var:Tunnelblick}}</small> || class="bc__ja check client" |  || class="bc__nein ban" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |  
|-
|-
| Windows Server 2008 || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check client" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Apple iOS || class="bc__ja check" | || class="bc__ja check" | <br><small>OpenVPN</small> || class="bc__teilweise blackalert" |  || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |  
|-
|-
| Windows Server 2008R2 || class="bc__ja check" | || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Android || class="bc__ja check" |  || class="bc__ja check" | <br><small>OpenVPN</small> || class="bc__teilweise blackalert" |  || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |
|-
<!--
| Windows Server 2012 || class="bc__ja check" | || class="bc__teilweise blackalert" | || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed Leerzeile"
|-
| colspan="7" | {{Hinweis-box|{{#var:Hinweis--Veraltete Versionen}} }}
| Windows Server 2012R2 || class="bc__ja check" | || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows XP [[#XP | <sup>{{Alert}}</sup> ]] || class="bc__nein ban" | || class="bc__teilweise blackalert" | <br><small>{{#var:nur Version}} 1.0.1</small>|| class="bc__nein ban" | || class="bc__nein ban" | || class="bc__nein ban" | || class="bc__teilweise blackalert" |  
| Windows Phone 7 || class="bc__nein ban" | || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows Vista [[#XP | <sup>{{Alert}}</sup>]] || class="bc__nein ban" | || class="bc__ja check" | || class="bc__ja check" | {{#var:mit Client}} || class="bc__ja check client" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Windows Phone 8 || class="bc__nein ban" | || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows 7 [[#W7 | <sup>{{Alert}}</sup>]] || class="bc__ja check" | || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Windows Phone 8.1 || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__teilweise blackalert" |  || class="bc__nein ban" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows RT || class="bc__nein ban" | || class="bc__nein ban" | || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  
| Linux || class="bc__ja check" | <br><small>OpenVPN</small> || class="bc__ja check" |  || class="bc__ja check" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows 8 || class="bc__nein ban" | || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Apple OS X || class="bc__ja check" | <br><small>Tunnelblick</small> || class="bc__ja check client" |  || class="bc__nein ban" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows 8.1 || class="bc__ja check" | || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |
| Apple iOS || class="bc__ja check" | <br><small>OpenVPN</small> || class="bc__teilweise blackalert" |  || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows Server 2003R2 || class="bc__nein ban" | || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__nein ban" | || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
| Android || class="bc__ja check" | <br><small>OpenVPN</small> || class="bc__teilweise blackalert" |  || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
|-
| Windows Server 2008 || class="bc__nein ban" | || class="bc__ja check" | || class="bc__ja check client" |  || class="bc__ja check client" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
! Betriebs&shy;system !! SSL-VPN !! IPSec IKEv1 !! IPSec IKEv2 !! IPSec XAuth !! L2TP / IPSec
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
| Windows Server 2008R2 || class="bc__ja check" | || class="bc__ja check" | || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
| Windows Server 2012 || class="bc__nein ban" | || class="bc__ja check" | || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__ja check client" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
| Windows Server 2012R2 || class="bc__ja check" | || class="bc__ja check" | || class="bc__teilweise blackalert" |  || class="bc__ja check" |  || class="bc__ja check client" | || class="bc__teilweise blackalert" |
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
| Windows Phone 7 || class="bc__nein ban" | || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
| Windows Phone 8 || class="bc__nein ban" | || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__nein ban" |
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed"
| Windows Phone 8.1 || class="bc__nein ban" | || class="bc__nein ban" |  || class="bc__nein ban" |  || class="bc__teilweise blackalert" |  || class="bc__nein ban" |  || class="bc__teilweise blackalert" |  
|- id="mw-customcollapsible-deprecated" class="mw-collapsible mw-made-collapsible mw-collapsed" class="mw-collapsible mw-made-collapsible mw-collapsed"
! {{#var:Betriebssystem}} !! WireGuard !! SSL-VPN !! IPSec IKEv1 !! IPSec IKEv2 !! IPSec XAuth !! L2TP / IPSec
-->
|}
|}
<div class="legende">'''{{#var:Legende}}:''' </div>
<div class="bc__ja check legende"> {{#var:Empfohlen}} </div>
<div class="bc__teilweise blackalert legende"> {{#var:nicht empfohlen}} </div>
<div class="bc__nein ban legende" style="border: 1px solid grey;"> {{#var:nicht möglich}} </div>
<!-- <span class="mw-customtoggle-deprecated mw-customtoggle sp-toggle-show dezent Einrücken">{{#var:Veraltete Versionen}}</span> -->
<div class="Einrücken">
'''{{#var:Erklärung zur Tabelle}}'''
{{#var:Tabelle Roadwarrior--desc}}
<!-- <br>
<span id="XP"><sup>{{Alert}}</sup> </span>{{#var:Tabelle Roadwarrior-Hinweis}}
<br>
<br>
<div class="legende">'''Legende:'''</div> <div class="bc__ja check legende"> Empfohlen</div><div class="bc__teilweise blackalert legende"> nicht empfohlen</div><div class="bc__nein ban legende" style="border: 1px solid grey;"> nicht möglich</div>
<span id="W7"><sup>{{Alert}}</sup> </span>{{#var:Hinweis zu Windows 7}}
 
-->
</div>


'''Erklärung zur Tabelle'''
OpenVPN Clients gibt es derzeit für fast alle Systeme, ist einfach einzurichten, stabil und sicher.<br>
Bei dem Securepoint Client ist die Konfiguration über die Benutzereinrichtung schon enthalten. Dieser muss also nur noch Installiert (Installer) oder gestartet (Portable) werden.<br>


Für die OpenVPN Clients oder den "Tunnelblick", wird die fertige Konfiguration mit den benötigten Zertifikaten heruntergeladen und in den Client Importiert. Auch dieses ist einfach umzusetzen. Lediglich beim Apple iOS müssen die Zertifikate mit in die Konfigurationdatei kopiert werden, so dass der OpenVPN Client auf nur eine einzige Datei zugreifen muss. Die passende Anleitung finden Sie im [[OpenVPN_mit_iOS | Wiki]].
==== {{#var:Einrichtung der Roadwarrior-Verbindungen}} ====
<div class="Einrücken">
===== WireGuard =====
* [[UTM/VPN/WireGuard-S2E | {{#var:WieGuard--Link}}]]
* [[VPN/VPN-Client | {{#var:VPN-Client--Link}}]] {{#var:mit}} [[VPN/VPN-Client#WireGuard | WireGuard]]


Bei einem Windows Phone 8 werden IPSec- und L2TP-VPN erst ab Version 8.1 unterstützt.
===== Openvpn =====
* [[UTM/VPN/SSL_VPN-Roadwarrior | {{#var:V11_OpenVPN_Roadwarrior--desc}} ]]
* [[VPN/VPN-Client | {{#var:VPN-Client--Link}}]] {{#var:mit}} [[VPN/VPN-Client#SSLVPN | SSL-VPN ]]
* [[UTM/VPN/SSL_VPN-Roadwarrior-iOS | {{#var:OpenVPN_mit_iOS--desc}} ]]
* [[UTM/VPN/SSL_VPN-Roadwarrior-MacOS | {{#var:MAC_und_OpenVPN--desc}} ]]


Bei Linux und Unix hängt es stark von der Distribution ab, welcher IPSec-VPN Client mitgeliefert wird.
===== IPSec =====
* [[UTM/VPN/IPSec-S2E | {{#var:IPSec_Site_to_End--desc}} ]]
* [[UTM/VPN/IPSec-Roadwarrior | {{#var:IPSec_-_Roadwarrior_mit_XAuth--desc}} ]]
* [[UTM/VPN/IPSec-EAP-Windows | {{#var:IPSec--Link}}]]


Der Hinweis "mit Client" bezieht sich auf unsere Erfahrung mit dem TheGreenbow oder NCP Client. Ansonsten gehen wir, bis auf SSL-VPN, von den bordeigenen VPN-Clients aus, die die Betriebssysteme mitbringen.
===== L2TP =====
 
* [[UTM/VPN/L2TP | {{#var:L2TP_Roadwarrior--desc}} ]]
Es kommt immer wieder zu Problemen mit der Stabilität einer VPN-Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte deaktivieren Sie auf diesen Geräten jegliche Firewall-Funktionalität.
 
Da PPTP-VPN zu unsicher ist und L2TP/IPSec unter Windows nach jeweils 1 Stunde abbricht, werden diese beiden Verfahren von uns nicht empfohlen.
 
<p><span id="XP"><sup>{{Hinweis|!}}</sup> </span>Windows XP und Windows Vista sind von Microsoft nicht mehr unterstützte Betriebssysteme, welche in der Regel nicht mehr mit Sicherheitsupdates versorgt werden. Daher sehen wir auch eine Gefährdung für das Netzwerk mit welchem sich dieser Rechner per VPN verbinden soll.</p>
 
<p><span id="W7"><sup>{{Hinweis|!}}</sup> </span>Ebenfalls sollte Windows 7 nur noch verwendet werden, wenn die erweiterten Sicherheits-Updates (Extended Security Updates, ESU) bezogen werden.<br>
Ist dies nicht der Fall ist auch Windows 7 als unsicher einzustufen und stellt eine Gefährdung für Netzwerke dar.</p>
 
==== Einrichtung der Roadwarrior-Verbindungen ====
 
* Openvpn
** [[V11_OpenVPN_Roadwarrior | Konfiguration einer Openvpn Roadwarrior Verbindung für Windows ]]
** [[OpenVPN_mit_iOS | Konfiguration einer Openvpn Roadwarrior Verbindung für iOS ]]
** [[MAC_und_OpenVPN | Konfiguration einer Openvpn Roadwarrior Verbindung für OS X ]]
 
* IPSec
** [[IPSec_-_Roadwarrior_mit_XAuth | Konfiguration einer Xauth-Verbindung iOS/Android/Greenbow]]
** [[IPSec_Site_to_End | Konfiguration einer nativen IPSec-Verbindung ]]
 
* L2TP
** [[L2TP_Roadwarrior | Konfiguration einer L2TP-VPN Verbindung]]


<!--
* PPTP
* PPTP
** [[Howtos-V11/PPTP_VPN | Konfiguration einer PPTP-VPN Verbindung]]
** [[UTM/VPN/PPTP | {{#var:Howtos-V11/PPTP_VPN--desc}} ]]
-->
</div>

Aktuelle Version vom 16. April 2026, 13:23 Uhr





























In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden

















































Übersicht über die verschiedenen VPN-Verbindungstechniken der Securepoint UTM

Letzte Anpassung: 04.2026

Neu:
  • Windows11 wurde in der VPN Übersicht ergänzt
  • Aktualisierung der Beschreibungen der VPN-Typen
notempty
Dieser Artikel bezieht sich auf eine Beta-Version

In diesem Artikel werden die verschiedenen Techniken zum Aufbau einer VPN-Verbindung (Virtual Private Network), die mit einer Securepoint UTM möglich sind sind, erläutert und es wird eine Übersicht gegeben, wann diese am besten eingesetzt werden sollten.


Techniken

WireGuard

Protokolle: WireGuard
Ports: Standard: 51820/UDP für die jeweils erste Verbindung, kann aber fast jeden freien Port nutzen
  • Wireguard® ist ein modernes und einfaches VPN Protokoll, das zusätzlich durch seine Geschwindigkeit überzeugt.
  • Wireguard verzichtet auf einige aufwendige Verfahren zum Schlüsselaustausch und ist unter anderem dadurch einfacher zu handhaben als IPSec
  • Durch die Integration in den Linux Kernel ist eine performante und Ressourcen schonendere Verarbeitung als bei OpenVPN möglich
  • Einstellungen wie Routen, DNS etc. lassen sich nicht wie bei OpenVPN "pushen"
    Die Verwaltung von Roadwarrior ist dadurch deutlich aufwändiger
  • WireGuard sollte nicht verwendet werden, wenn mehrere öffentliche IP-Adressen oder Internetzugänge existieren.
    (Wireguard beherrscht kein Multihome wie SSL-VPN)


    • SSL VPN

    Protokolle: SSL, TLS
    Ports: Standard 1194/UDP; Kann aber fast jeden freien Port und auch das Protokoll TCP nutzen.
    • Die Securepoint Firewall Appliances bieten eine SSL (Secure Socket Layer) verschlüsselte VPN Verbindung auf der Basis des Open-Source Projektes OpenVPN an.
    • OpenVPN zeichnet sich durch hohe Flexibilität, eine relativ einfache Konfiguration und gute Verschlüsselung der Daten und damit einer sehr hohen Sicherheit aus.
    • Weiterhin hat OpenVPN in der Regel keine Probleme mit genatteten Verbindungen und ist daher auch als sehr stabile Alternative zu IPSec VPN Site to Site Verbindungen einsetzbar.


    IPSec VPN

    Protokolle: IKE, ESP, NAT-Traversal
    Ports: 500/UDP (IKE), 4500/UDP (NAT-Traversal)
    • IPSec ist ein sehr sicherer VPN Standard, bestehend aus unterschiedlichen Protokollen, der sowohl für Site to Site (S2S) als auch für End to Site (E2S, Roadwarrior) Verbindungen eingesetzt werden kann.
    • Vorteil ist, daß IPSec von vielen Betriebssystemen nativ unterstützt wird - dabei jedoch nicht immer einfach zu konfigurieren ist
    • Probleme bereiten oft Verbindungen, die über Router auf andere IP-Adressbereiche genattet werden, da die IPSec Pakete durch NAT eine neue IP-Adresse und einen neuen Quell-Port erhalten. Hier kommt dann das IPSec-NAT-Traversal zum Einsatz.
    • Um eine möglichst stabile Verbindung herzustellen, hat sich der Einsatz von RSA-Schlüsseln statt eines Pre-Shared Key (PSK) zur Authentifizierung bewährt.
      Dies trifft insbesondere bei Verbindungen zu, bei denen die Router, die die VPN Verbindung herstellen sollen, hinter einem NAT-Router positioniert sind.


    L2TP VPN

    notempty
    Um L2TP ist per Default nicht verfügbar und wird in zukünftigen Versionen nicht mehr unterstützt.

    Details zu L2TP anzeigen
    ausblenden
    Klicken für dauerhafte Anzeige
    Protokolle: L2TP
    Ports: 1701/UDP

    Zur Aktivierung unter Extras Erweiterte Einstellungen  Bereich Ausgeblendete Funktionen Abschnitt L2TP Option L2TP aktivieren Ja

    Das L2TP (Layer 2 Tunneling Protokoll) ist eine Kombination aus den Protokollen PPTP (Point to Point Tunneling Protokoll) und L2F (Layer 2 Forwarding). Da L2TP lediglich eine Benutzerauthentifizierung, aber keine Verschlüsselung unterstützt, wird es in Verbindung mit dem IPSec Protokoll eingesetzt. L2TP wird speziell zur Einbindung von Einzelrechnern an Netzwerke benutzt.


    PPTP VPN

    notempty
    Als nachgewiesenermaßen unsicheres Protokoll wird PPTP VPN von der UTM nicht mehr unterstützt.

    Angaben zu PPTP VPN anzeigen
    ausblenden
    Klicken für dauerhafte Anzeige

    Bei PPTP VPN handelt es sich nachgewiesenermaßen um ein unsicheres VPN Protokoll. Es wird dringend empfohlen dieses Protokoll nicht mehr zu verwenden. Benutzen sie stattdessen für Roadwarrior Verbindungen SSL VPN, IPSec xAuth oder IPSec mit L2TP.

    Protokolle: PPTP, GRE
    Ports: 1723/TCP

    Das Point-to-Point Tunneling Protocol (PPTP) wird in der Regel für Roadwarrior Verbindungen eingesetzt.
    Die VPN Verbindung wird über den TCP-Port 1723 initialisiert und der Datenfluss anschließend mit dem Generic Routing Encapsulation Protocol (GRE) gesteuert.



    Site to Site VPN Verbindungen

    VPN-Typ in Verbindung mit Anschluss-Art

    In der folgenden Tabelle wird dargestellt, welche VPN-Technik im Zusammenspiel mit welcher Internetverbindung nach unserer Erfahrung am stabilsten läuft.

    VPN-Art NAT ADSL/SDSL VDSL Kabelanschluss LTE UMTS
    WireGuard ohne NAT
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    WireGuard NAT auf einer Seite
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    WireGuard NAT auf beiden Seiten
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    SSL-VPN ohne NAT
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    SSL-VPN NAT auf einer Seite
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    SSL-VPN NAT auf beiden Seiten
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    IPSec IKEv2 ohne NAT
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    IPSec IKEv2 NAT auf einer Seite
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    IPSec IKEv2 NAT auf beiden Seiten
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    IPSec IKEv1 ohne NAT
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    IPSec IKEv1 NAT auf einer Seite
    ADSL/SDSL
    mit RSA-Schlüssel
    VDSL
    Kabelanschluss
    LTE
    UMTS
    mit RSA-Schlüssel
    IPSec IKEv1 NAT auf beiden Seiten
    ADSL/SDSL
    VDSL
    Kabelanschluss
    LTE
    UMTS
    Legende:
    Empfohlen
    möglich
    nicht empfohlen

    Erklärung zur Tabelle
    Aufgrund der Eigenschaften von SSL VPN bzw. OpenVPN haben wir die Erfahrung gemacht, das mit dieser Technik fast immer eine stabile VPN Verbindung eingerichtet werden kann.
    RSA-Schlüssel bestehen aus einem privaten und einem öffentlichen Schlüssel und sorgen für eine sichere Authentifizierung. Diese Schlüsselpaare können auf jeder Securepoint Appliance erzeugt und die öffentlichen Schlüssel ausgetauscht werden.
    Leider müssen wir immer wieder die Erfahrung machen, dass Verbindungen über LTE (Long Term Evolution) vom Internet Provider genattet werden. Am besten läuft die Verbindung mit einer öffentlichen IP vom Provider. Ansonsten sind die VPN Verbindungen über IPSec in der Regel nicht stabil, wenn sie denn überhaupt aufgebaut werden.


    Einrichtung der Site-to-Site Verbindungen

    WireGuard
    SSL-VPN
    IPSec


    Roadwarrior oder End to Site VPN Verbindungen

    VPN-Typ in Verbindung mit Betriebssystem

    Nicht alle Betriebssysteme bieten die Möglichkeit, alle VPN Techniken anzuwenden.

    Die folgende Tabelle gibt eine Übersicht.

    Betriebssystem WireGuard SSL-VPN IPSec IKEv1 IPSec IKEv2 IPSec XAuth L2TP / IPSec
    Windows 11
    OpenVPN
    Windows 10
    ab Ver.2
    Linux
    OpenVPN
    Apple OS X
    Tunnelblick
    Apple iOS
    OpenVPN
    Android
    OpenVPN
    Legende:
    Empfohlen
    nicht empfohlen
    nicht möglich

    Erklärung zur Tabelle

    • OpenVPN Clients gibt es derzeit für fast alle Systeme, ist einfach einzurichten, stabil und sicher.
    • Bei dem Securepoint Client ist die Konfiguration über die Benutzereinrichtung schon enthalten.
      Dieser muss also nur noch Installiert (Installer) oder gestartet (Portable) werden.
    • Für die OpenVPN Clients oder den "Tunnelblick", wird die fertige Konfiguration mit den benötigten Zertifikaten im Userinterface heruntergeladen und in den Client importiert. Auch dieses ist einfach umzusetzen.
    • Bei Linux und Unix hängt es stark von der Distribution ab, welcher IPSec-VPN Client mitgeliefert wird.
    • Es kommt immer wieder zu Problemen mit der Stabilität einer VPN-Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte auf diesen Geräten jegliche Firewall-Funktionalität deaktivieren.
    • Da PPTP-VPN zu unsicher ist und L2TP/IPSec unter Windows nach jeweils 1 Stunde abbricht, werden diese beiden Verfahren von uns nicht empfohlen.


    Einrichtung der Roadwarrior-Verbindungen

    WireGuard
    Openvpn
    IPSec
    L2TP
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/Übersicht&oldid=102775“