Remote-Access VPN

Anna arbeitet heute im Homeoffice und möchte auf das interne CRM-System und den Fileserver ihres Unternehmens zugreifen. Ohne VPN ist das nicht möglich – die Systeme sind nicht im Internet erreichbar. Mit Remote-Access VPN baut ihr Laptop eine verschlüsselte Verbindung zum VPN-Konzentrator im Firmennetz auf. Nach erfolgreichem Verbindungsaufbau erhält ihr Laptop eine interne IP-Adresse aus dem Firmennetz und kann alle internen Ressourcen erreichen.

Remote-Access VPN unterscheidet sich vom Site-to-Site VPN grundlegend: Es ist nutzerinitiert (der Client baut die Verbindung aktiv auf), erfordert eine Client-Software auf dem Endgerät, und die Verbindung wird bei Bedarf auf- und abgebaut – sie ist nicht permanent. Die Authentifizierung des Nutzers (nicht nur des Geräts) ist ein zentraler Bestandteil.

1) Verbindungsaufbau Schritt für Schritt

Der Aufbau einer Remote-Access-VPN-Verbindung läuft in mehreren Phasen ab: Client-Authentifizierung, Schlüsselaustausch, Tunnel-Aufbau und IP-Adressvergabe. Die Animation zeigt einen typischen Ablauf – einmal erfolgreich, einmal mit falschem Passwort abgelehnt.

2) IP-Adressvergabe und Routing

Nach dem Verbindungsaufbau erhält der Remote-Client eine virtuelle IP-Adresse aus einem reservierten VPN-Pool. Diese IP gehört zum internen Netzwerk – deshalb können interne Ressourcen den Client erreichen, als wäre er direkt im LAN.

3) Full Tunnel vs. Split Tunnel

Eine zentrale Designentscheidung bei Remote-Access VPN: Wird der gesamte Traffic des Clients durch den VPN-Tunnel geleitet (Full Tunnel), oder nur der Unternehmens-Traffic (Split Tunnel)?

4) Authentifizierungsmethoden

Remote-Access VPN muss den Nutzer zuverlässig authentifizieren – das ist der Kernunterschied zu Site-to-Site VPN, wo Gateway-zu-Gateway-Authentifizierung genügt. Schwache Authentifizierung ist das häufigste Einfallstor für VPN-Kompromittierungen.

Zusammenfassung