Site-to-Site VPN
Ein Unternehmen mit zwei Standorten – Hauptsitz in München und Filiale in Hamburg – soll ein gemeinsames Netzwerk haben. Mitarbeitende in Hamburg sollen auf den Fileserver in München zugreifen können, als wären beide im selben Gebäude. Früher löste man das mit teuren Mietleitungen. Heute: Site-to-Site VPN – eine dauerhafte, verschlüsselte Verbindung zwischen den Standorten über das öffentliche Internet.
Im Gegensatz zum Remote-Access VPN, bei dem ein einzelner Nutzer sich verbindet, verbindet Site-to-Site VPN ganze Netzwerksegmente. Die VPN-Gateways (typischerweise Firewalls oder Router) an beiden Standorten bauen den Tunnel auf und verwalten ihn – Endnutzer bemerken die VPN-Verbindung gar nicht. Das Protokoll der Wahl ist fast immer IPsec.
1) Netzwerktopologie: zwei Standorte, ein logisches Netz
Die entscheidende Konfiguration bei Site-to-Site VPN sind die Subnetze: Beide Standorte müssen unterschiedliche IP-Bereiche haben (sonst Routing-Konflikte), und die VPN-Gateways müssen wissen, welche Subnetze über den Tunnel erreichbar sind.
2) Paketfluss durch den Tunnel
Was passiert technisch, wenn ein Mitarbeiter in Hamburg auf den Fileserver in München zugreift? Der Paketfluss zeigt, wie Encapsulation und Encryption zusammenspielen. Die ursprünglichen IP-Header werden in IPsec-Pakete eingepackt und mit den öffentlichen IPs der Gateways adressiert.
3) Hochverfügbarkeit: Single vs. Dual VPN
Für geschäftskritische Verbindungen ist ein einziger VPN-Tunnel ein Single Point of Failure. Fällt der Internet-Provider oder das Gateway aus, ist der Standort abgeschnitten. Professionelle Site-to-Site VPNs nutzen redundante Anbindungen.
4) Konfigurationsparameter im Überblick
| Parameter | Beschreibung | Typischer Wert |
|---|---|---|
| Peer-IP | Öffentliche IP des Remote-Gateways | Statische IP empfohlen |
| Interessanter Traffic | Welche Subnetze über den Tunnel gehen | 192.168.20.0/24 ↔ 192.168.10.0/24 |
| Pre-shared Key / Zertifikat | Authentifizierung der Peers | Zertifikat bevorzugt (PKI) |
| IKE-Phase 1 | Schlüsselaustausch und Peer-Authentifizierung | IKEv2, AES-256, SHA-256 |
| IKE-Phase 2 | Verschlüsselungsparameter für den Datenkanal | ESP, AES-256-GCM, PFS |
| DPD | Dead Peer Detection – erkennt ausgefallene Gegenstellen | Interval 30s, Timeout 120s |
Zusammenfassung
Site-to-Site VPN verbindet ganze Netzwerke dauerhaft – transparent für Endnutzer. Voraussetzung: unterschiedliche Subnetze an den Standorten, statische öffentliche IPs auf den Gateways, übereinstimmende IKE/IPsec-Parameter (Phase 1 und 2). Protokoll: fast immer IPsec. Tunnelmodus kapselt das gesamte Original-Paket. Hochverfügbarkeit durch Dual-Tunnel. Nächste Lektion: Remote-Access VPN.