IPsec: Tunnel- vs. Transportmodus
IPsec kann auf zwei grundlegend verschiedene Weisen eingesetzt werden: im Transportmodus und im Tunnelmodus. Der Unterschied liegt darin, welche Teile des IP-Pakets verschlüsselt und eingekapselt werden – und das bestimmt, welche Informationen für einen Beobachter im Internet sichtbar bleiben.
Die Entscheidung zwischen beiden Modi ist keine Geschmacksfrage, sondern eine Architekturentscheidung: Beim Tunnelmodus wird das gesamte Original-IP-Paket (inklusive Header mit Quell- und Ziel-IP) eingebettet und ein neues äußeres Paket mit den Gateway-IPs darum gelegt – perfekt für VPN zwischen Standorten oder zwischen Client und Gateway. Beim Transportmodus bleiben die Original-IP-Adressen erhalten – sinnvoll für End-to-End-Verschlüsselung zwischen zwei Hosts im selben Netz.
1) Paketstruktur im Vergleich
Das folgende Diagramm zeigt dasselbe Paket (ein TCP-Request von Host A an Host B) – einmal unverschlüsselt, einmal mit ESP im Transportmodus, einmal mit ESP im Tunnelmodus. Sieh den Unterschied im äußeren IP-Header.
Dst: 10.0.2.10
Dst: 10.0.2.10
(unverändert!)
Dst: 91.4.5.6
(Gateway-IPs)
2) Tunnel- vs. Transportmodus im Vergleich
3) Wann welcher Modus?
Zusammenfassung
| Tunnelmodus | Transportmodus | |
|---|---|---|
| Kapselt | Gesamtes IP-Paket (inkl. Header) | Nur Nutzdaten (TCP/UDP + Payload) |
| Äußerer Header | Ja – Gateway-IPs | Nein – Original-IPs bleiben |
| Interne IPs sichtbar | Nein | Ja |
| Overhead | Höher | Geringer |
| Einsatz | VPN (Site-to-Site, Remote-Access) | Host-zu-Host, L2TP-Basis |