UTM/VPN/Übersicht: Unterschied zwischen den Versionen

Version vom 5. Oktober 2022, 07:52 Uhr

Übersicht über die verschiedenen VPN-Verbindungstechniken der Securepoint UTM

Letzte Anpassung: 08.2022

Neu:

NAT auf beiden Seiten mit IKEv2 ist zwar weiterhin möglich, wird aber nicht mehr empfohlen, da es oft Probleme mit nachgeordneten Routern in lokalen Netzen gibt, die Pakete nicht korrekt behandeln

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

11.8

In diesem Artikel werden die verschiedenen Techniken zum Aufbau einer VPN-Verbindung (Virtual Private Network), die in der Securepoint UTM installiert sind, erläutert und es wird eine Übersicht gegeben, wann diese am besten eingesetzt werden sollten.

Techniken

IPSec VPN

Protokolle:	IKE, ESP, NAT-Traversal
Ports:	500/UDP (IKE), 4500/UDP (NAT-Traversal)

IPSec ist ein sehr sicherer VPN Standard, bestehend aus unterschiedlichen Protokollen, der sowohl für Site to Site als auch für End to Site, die von uns als Roadwarrior bezeichneten, Verbindungen eingesetzt werden kann.

IPSec bringt aber einige Merkmale mit, die sich teilweise negativ auf den Aufbau und die Stabilität einer VPN Verbindung auswirken können. Insbesondere bei Verbindungen die über Router auf andere IP-Adressbereiche genattet werden, da die IPSec Pakete durch NAT eine neue IP-Adresse und einen neuen Quell-Port erhalten. Hier kommt dann das IPSec-NAT-Traversal zum Einsatz.

In der Praxis gibt es aber nach wie vor Stabilitäts-Probleme bei Verbindungen, bei der die Router, die die VPN Verbindung herstellen sollen, hinter einem NAT-Router positioniert sind und somit keinen direkten Zugriff auf die Internetleitung haben. Daran hat leider auch die Version 2 des IKE Protokolls nicht geändert.

Um trotzdem eine möglichst stabile Verbindung herzustellen, hat sich der Einsatz von RSA-Schlüsseln statt eines Pre-Shared Key (PSK) zur Authentifizierung bewährt.

SSL VPN

Protokolle:	SSL, TLS
Ports:	Standard 1194/UDP; Kann aber fast jeden freien Port und auch das Protokoll TCP nutzen.

Die Securepoint Firewall Appliances bieten eine SSL (Secure Socket Layer) verschlüsselte VPN Verbindung auf der Basis des Open-Source Projektes OpenVPN an. OpenVPN zeichnet sich durch hohe Flexibilität, eine relativ einfache Konfiguration und gute Verschlüsselung der Daten und damit einer sehr hohen Sicherheit aus.
Weiterhin hat OpenVPN in der Regel keine Probleme mit genatteten Verbindungen und ist daher auch als sehr stabile Alternative zu IPSec VPN Site to Site Verbindungen einsetzbar.

L2TP VPN

Protokolle:	L2TP
Ports:	1701/UDP

Das L2TP (Layer 2 Tunneling Protokoll) ist eine Kombination aus den Protokollen PPTP (Point to Point Tunneling Protokoll) und L2F (Layer 2 Forwarding). Da L2TP lediglich eine Benutzerauthentifizierung, aber keine Verschlüsselung unterstützt, wird es in Verbindung mit dem IPSec Protokoll eingesetzt. L2TP wird speziell zur Einbindung von Einzelrechnern an Netzwerke benutzt.

PPTP VPN

Als nachgewiesenermaßen unsicheres Protokoll wird PPTP VPN von der UTM nicht mehr unterstützt.

Bei PPTP VPN handelt es sich nachgewiesenermaßen um ein unsicheres VPN Protokoll. Es wird dringend empfohlen dieses Protokoll nicht mehr zu verwenden. Benutzen sie stattdessen für Roadwarrior Verbindungen SSL VPN, IPSec xAuth oder IPSec mit L2TP.

Protokolle:	PPTP, GRE
Ports:	1723/TCP

Das Point-to-Point Tunneling Protocol (PPTP) wird in der Regel für Roadwarrior Verbindungen eingesetzt.
Die VPN Verbindung wird über den TCP-Port 1723 initialisiert und der Datenfluss anschließend mit dem Generic Routing Encapsulation Protocol (GRE) gesteuert.

Site to Site VPN Verbindungen

In der folgenden Tabelle wird dargestellt, welche VPN-Technik im Zusammenspiel mit welcher Internetverbindung nach unserer Erfahrung am stabilsten läuft.

VPN-Art	NAT	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
SSL-VPN	ohne NAT	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
	SSL-VPN NAT auf einer Seite	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
	SSL-VPN NAT auf beiden Seiten	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
IPSec IKEv2	ohne NAT	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
	IPSec IKEv2 NAT auf einer Seite	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
	IPSec IKEv2 NAT auf beiden Seiten	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
IPSec IKEv1	ohne NAT	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS
	IPSec IKEv1 NAT auf einer Seite	ADSL/SDSL mit RSA-Schlüssel	VDSL	Kabelanschluss	LTE	UMTS mit RSA-Schlüssel
	IPSec IKEv1 NAT auf beiden Seiten	ADSL/SDSL	VDSL	Kabelanschluss	LTE	UMTS

Legende:

Einrichtung der Site-to-Site Verbindungen

IPSec
- Konfigurationsmöglichkeiten einer IPSec-Verbindung
- Konfiguration einer S2S Verbindung mit IPSec

SSL-VPN
- Konfiguration einer SSL-VPN S2S Verbindung
- Konfiguration einer SSL-VPN S2S Verbindung mit Fallback

Konfiguration von VPN Verbindungen mit identischen Netzwerken (ab 11.5)

Roadwarrior oder End to Site VPN Verbindungen

Nicht alle Betriebssysteme bieten die Möglichkeit, alle VPN Techniken anzuwenden.

Die folgende Tabelle gibt eine Übersicht.

Betriebssystem	SSL-VPN	IPSec IKEv1	IPSec IKEv2	IPSec XAuth	L2TP / IPSec
Windows XP	nur Version 1.0.1
Windows Vista
Windows 7
Windows RT
Windows 8
Windows 8.1
Windows 10	ab Ver.2
Windows Server 2003R2
Windows Server 2008
Windows Server 2008R2
Windows Server 2012
Windows Server 2012R2
Windows Phone 7
Windows Phone 8
Windows Phone 8.1
Linux	OpenVPN
Apple OS X	Tunnelblick
Apple iOS	OpenVPN
Android	OpenVPN
Betriebssystem	SSL-VPN	IPSec IKEv1	IPSec IKEv2	IPSec XAuth	L2TP / IPSec

Legende:

Einrichtung der Roadwarrior-Verbindungen

Openvpn

IPSec
- Konfiguration einer Xauth-Verbindung iOS/Android/Greenbow
- Konfiguration einer nativen IPSec-Verbindung

L2TP
- Konfiguration einer L2TP-VPN Verbindung

PPTP
- Konfiguration einer PPTP-VPN Verbindung

@@ Zeile 5: / Zeile 5: @@
 {{:UTM/VPN/Übersicht.lang}}
-</div> {{TOC2}}
+</div> {{Select_lang}}{{TOC2}}
 {{Header|08.2022|
 * {{#var:neu--ARM-Unterstützung}}
@@ Zeile 20: / Zeile 20: @@
 ==={{#var:Techniken}}===
 ====IPSec VPN====
-{| class="noborder"
+{| class="noborder Einrücken"
 |{{#var:Protokolle}}:|| IKE, ESP, NAT-Traversal
 |-
 |Ports:|| 500/UDP (IKE), 4500/UDP (NAT-Traversal)
 |}
-<br>
+<br> <div class="Einrücken">
 {{#var:IPSec VPN--desc}}
+</div>
 ====SSL VPN====
-{| class="noborder"
+{| class="noborder Einrücken"
 |{{#var:Protokolle}}: || SSL, TLS
 |-
 |Ports: || {{#var:SSL VPN-Ports}}
 |}
-<br>
+<br> <div class="Einrücken">
 {{#var:SSL VPN--desc}}
+</div>
 ====L2TP VPN====
-{| class="noborder"
+{| class="noborder Einrücken"
 |{{#var:Protokolle}}: || L2TP
 |-
 |Ports: || 1701/UDP
 |}
-<br>
+<br> <div class="Einrücken">
 {{#var:L2TP VPN--desc}}
+</div>
 ====PPTP VPN====
+<div class="Einrücken">
 {{Hinweis-neu|! {{#var:PPTP VPN-Hinweis}} }}
 {{Einblenden3 | {{#var:PPTP VPN-Einblenden--cap}} | ausblenden | true | dezent }}
@@ Zeile 58: / Zeile 60: @@
 |Ports:|| 1723/TCP
 |}
-<br>
 {{#var:Das Point-to-Point Tunneling Protocol}}
-</div>
+</div> </div> </div>
+<br clear=all>
 ----
-==={{#var:Site to Site VPN Verbindungen}}===
+=== {{#var:Site to Site VPN Verbindungen}} ===
+<div class="Einrücken">
 {{#var:Site to Site VPN Verbindungen--desc}}
+</div>
-{| class="sptable center verfügbar pd5"
+{| class="sptable center verfügbar pd5 Einrücken"
 |-
 ! VPN-Art !! NAT !! style="text-align: center;" | ADSL/SDSL !!style="min-width: 80px; text-align: center;" | VDSL !! style="text-align: center;" | {{#var:Kabelanschluss}} !! style="min-width: 80px; text-align: center;" | LTE !! style="text-align: center;" | UMTS
@@ Zeile 94: / Zeile 98: @@
+<div class="Einrücken">
 '''{{#var:Erklärung zur Tabelle}}'''<br>
 {{#var:Erklärung zur Tabelle--desc}}
+</div>
 ===={{#var:Einrichtung der Site-to-Site Verbindungen}}====
+<div class="Einrücken">
 * IPSec
-** [[ {{#var:IPSec_Arten}} | {{#var:IPSec_Arten--desc}} ]]
+** [[UTM/VPN/IPSec_Arten | {{#var:IPSec_Arten--desc}} ]]
-** [[IPSec_Site_to_Site_v11| {{#var:IPSec_Site_to_Site_v11--desc}} ]]
+** [[UTM/VPN/IPSec-S2S| {{#var:IPSec_Site_to_Site_v11--desc}} ]]
 * SSL-VPN
@@ Zeile 113: / Zeile 118: @@
 * [[UTM/VPN/IPSec-HTTP | {{#var:UTM/VPN/IPSec-HTTP--desc}} ]]
 <br>
-* [[Netmap_11.5 | {{#var:Netmap_11.5--desc}} ]]
+* [[UTM/VPN/Netmap | {{#var:Netmap_11.5--desc}} ]]
+</div>
 ----
 ==={{#var:Roadwarrior oder End to Site VPN Verbindungen}}===
+<div class="Einrücken">
 {{#var:Roadwarrior oder End to Site VPN Verbindungen--desc}}
+</div>
-{| class="sptable0 verfügbar pd5"
+{| class="sptable0 verfügbar pd5 Einrücken"
 |-
 ! {{#var:Betriebssystem}} !! SSL-VPN !! IPSec IKEv1 !! IPSec IKEv2 !! IPSec XAuth !! L2TP / IPSec
@@ Zeile 168: / Zeile 175: @@
 <div class="legende">'''{{#var:Legende}}:'''</div> <div class="bc__ja check legende"> {{#var:Empfohlen}}</div><div class="bc__teilweise blackalert legende"> {{#var:nicht empfohlen}}</div><div class="bc__nein ban legende" style="border: 1px solid grey;"> {{#var:nicht möglich}}</div>
+<div class="Einrücken">
 '''{{#var:Erklärung zur Tabelle}}'''
 {{#var:Tabelle Roadwarrior--desc}}
 <p><span id="XP"><sup>{{Hinweis-neu|!}}</sup> </span>{{#var:Tabelle Roadwarrior-Hinweis}}</p>
 <p><span id="W7"><sup>{{Hinweis-neu|!}}</sup> </span>{{#var:Hinweis zu Windows 7}}</p>
+</div>
 ===={{#var:Einrichtung der Roadwarrior-Verbindungen}}====
+<div class="Einrücken">
 * Openvpn
-** [[V11_OpenVPN_Roadwarrior | {{#var:V11_OpenVPN_Roadwarrior--desc}} ]]
+** [[UTM/VPN/SSL_VPN-Roadwarrior | {{#var:V11_OpenVPN_Roadwarrior--desc}} ]]
-** [[OpenVPN_mit_iOS | {{#var:OpenVPN_mit_iOS--desc}} ]]
+** [[UTM/VPN/SSL_VPN-Roadwarrior-iOS | {{#var:OpenVPN_mit_iOS--desc}} ]]
-** [[{{#var:MAC_und_OpenVPN}} | {{#var:MAC_und_OpenVPN--desc}} ]]
+** [[UTM/VPN/SSL_VPN-Roadwarrior-MacOS | {{#var:MAC_und_OpenVPN--desc}} ]]
 * IPSec
-** [[IPSec_-_Roadwarrior_mit_XAuth | {{#var:IPSec_-_Roadwarrior_mit_XAuth--desc}} ]]
+** [[UTM/VPN/IPSec-Roadwarrior | {{#var:IPSec_-_Roadwarrior_mit_XAuth--desc}} ]]
-** [[IPSec_Site_to_End | {{#var:IPSec_Site_to_End--desc}} ]]
+** [[UTM/VPN/IPSec-S2E | {{#var:IPSec_Site_to_End--desc}} ]]
 * L2TP
-** [[L2TP_Roadwarrior | {{#var:L2TP_Roadwarrior--desc}} ]]
+** [[UTM/VPN/L2TP | {{#var:L2TP_Roadwarrior--desc}} ]]
 * PPTP
-** [[Howtos-V11/PPTP_VPN | {{#var:Howtos-V11/PPTP_VPN--desc}} ]]
+** [[UTM/VPN/PPTP | {{#var:Howtos-V11/PPTP_VPN--desc}} ]]
+</div>