Virtual Private Network ( „virtuelles privates Netzwerk“; kurz: VPN) bezeichnet eine Netzwerkverbindung, die von Unbeteiligten nicht einsehbar ist, und hat zwei unterschiedliche Bedeutungen:
Das konventionelle VPN bezeichnet ein virtuelles privates (in sich geschlossenes) Kommunikationsnetz. Virtuell in dem Sinne, dass es sich nicht um eine eigene physische Verbindung handelt, sondern um ein bestehendes Kommunikationsnetz, das als Transportmedium verwendet wird. Das VPN dient dazu, Teilnehmer des bestehenden Kommunikationsnetzes an ein anderes Netz zu binden.Paul Ferguson, Geoff Huston: What is a VPN? (PDF; 652 kB) April 1998 So kann beispielsweise der Computer eines Mitarbeiters von zu Hause aus Zugriff auf das Firmennetz erlangen, gerade so, als säße er mittendrin. Aus Sicht der VPN-Verbindung werden dafür die dazwischen liegenden Netze (sein Heimnetz sowie das Internet) auf die Funktion eines Verlängerungskabels reduziert, das den Computer (VPN-Partner) ausschließlich mit dem zugeordneten Netz verbindet (VPN-Gateway). Er wird nun zum Bestandteil dieses Netzes und hat direkten Zugriff darauf. Die Auswirkung ist vergleichbar mit dem Umstecken des Computer-Netzwerkkabels an das per VPN zugeordnete Netz. Dieser Vorgang funktioniert unabhängig von der physischen Topologie und den verwendeten Netzwerkprotokollen selbst dann, wenn das zugeordnete Netz von einer vollkommen anderen Art ist. Der sich daraus ergebende Nutzen eines VPNs kann je nach verwendetem VPN-Protokoll durch eine Verschlüsselung ergänzt werden, die eine abhör- und manipulationssichere Kommunikation zwischen den VPN-Partnern ermöglicht.Tunneling Protokolle für VPN von tcp-ip-info.de Ein verschlüsseltes (virtuelles) Netzwerk über ein unverschlüsseltes Netzwerk herzustellen, kann ein wichtiges Kriterium, mitunter sogar der Hauptgrund für die Verwendung eines VPNs sein. SSL-VPN (auch Web-basierendes VPN) unterstützt seit 2002 Lösungen, die einen verschlüsselten Fernzugriff auf Unternehmensanwendungen und gemeinsam genutzte Ressourcen realisieren, ohne dass sich die SSL-VPN-Partner dafür an das Unternehmensnetz binden.Making way for the new VPN In: Network World vom 23. Dezember 2002, , Band 19, Nr. 51, S. 64(). Hier wird sinnbildlich also nicht das Netzwerkkabel an ein anderes Netz angeschlossen; es wird lediglich ein gesicherter Zugriff auf bestimmte Dienste des anderen Netzes ermöglicht. Der Namensbestandteil „VPN“ für diese Lösungen ist umstritten, aber auf dem Markt üblich.Beispiel für Verwendung des Begriffes „VPN“ im Sinne von „Reverse Web-Proxy“: Cisco ASA: Beispiel für Verwendung des Begriffes „VPN“ im Sinne von „Reverse Web-Proxy“: Citrix Access Gateway: Beispiel für Verwendung des Begriffes „VPN“ im Sinne von „Reverse Web-Proxy“: Check Point: Technisch gesehen basieren sie auf einem Proxy-Mechanismus (Thin Client SSL VPN) oder darauf, dass die begehrte Unternehmensanwendung selbst eine Webanwendung ist (Clientless SSL VPN), auf die ein SSL-VPN-Partner über eine gesicherte Verbindung zugreifen kann, ohne jedoch einen direkten Zugriff auf das Unternehmensnetz zu erhalten.Die Wahl der richtigen VPN-Technik, von Jürgen Hill, Computerwoche, 2. November 2007, archiviert auf tecchannel.de Darüber hinaus unterstützt SSL-VPN auch einen VPN-Modus im Sinne des konventionellen VPNs (Fat Client SSL VPN).
mini|hochkant=2|Struktur eines konventionellen VPNs: Unten abgebildet sind Heimarbeitsplätze („Remote / roaming users“), die sich per VPN durch das Internet hindurch in den Hauptsitz einer Firma einwählen („Head-office“), wobei der blaue Kasten ein VPN-Gateway ist (auch VPN-Einwahlknoten genannt). Darüber hinaus ist der Hauptsitz per VPN auch mit zwei seiner Filialen verbunden („Regional Office“), wobei das dazwischen liegende Netz auch hier das Internet ist, das dem VPN als Transportweg dient (aus Sicht der VPN-Verbindung wird das Internet auf die Funktion eines Verlängerungskabels reduziert).
Konventionelle VPNs Grundlagen Das Netz, an das ein VPN seine Teilnehmer bindet, wird teilweise auch ein zugeordnetes Netz genannt. Das zugeordnete Netz kann in einem physischen Netz münden, in das externe Geräte mit Hilfe von VPN über ein spezielles (VPN-)Gateway aufgenommen werden („End-to-Site“-VPN).End-to-Site-VPNs aus Virtuelle private Netze – weltweite LANs von Tobias Zimmer, 1999, teco.edu Die VPN-Partner werden dadurch zum Bestandteil des zugeordneten Netzes und sind nun von dort aus direkt adressierbar – praktisch so, als befänden sie sich mittendrin. Aufgrund dieser Illusion spricht man bezüglich der VPN-Partner von einem virtuellen Netz.
Das Gateway kann auch auf ein rein virtuelles Netz zeigen, welches lediglich aus weiteren VPN-Partnern besteht („End-to-End“-VPN).End-to-End-VPNs aus Virtuelle private Netze – weltweite LANs von Tobias Zimmer, 1999, teco.edu
Daneben besteht die Möglichkeit, zwei zueinander kompatible Netzwerke, die an ein und demselben benachbarten Netz angrenzen, miteinander zu verbinden („Site-to-Site“-VPN),Site-to-Site-VPNs aus Virtuelle private Netze – weltweite LANs von Tobias Zimmer, 1999, teco.edu wobei auch hier das dazwischen liegende benachbarte Netz von einer vollkommen anderen Art sein kann.
Gegenseitig erreichbare Netze Sobald mindestens zwei separate Netzwerke über ein Gerät miteinander verbunden sind, handelt es sich um gegenseitig erreichbare Netze. Das Verbindungsgerät ermöglicht eine Kommunikation zwischen den Netzwerken und könnte zum Beispiel ein (NAT-)Router oder ein Gateway sein; bei rein virtuellen Netzen (die in einem anderen Netz eingebettet sind) kann auch einer der Teilnehmer diese Funktion übernehmen.
Beispielsweise kann das Verbindungsgerät ein DSL-Router sein, der ein Firmennetz mit dem Internet verbindet. Dank dieses Gerätes kann ein Arbeitsplatzcomputer auch Internetseiten aufrufen. Die Zugriffsmöglichkeit der im Internet befindlichen Teilnehmer auf das Firmennetz bleibt dabei eingeschränkt; im Unterschied zu einem direkt am Firmennetz angeschlossenen Teilnehmer kann ein am Internet angeschlossener Teilnehmer nicht einfach auf alle Netzwerkressourcen der Firma zugreifen (wie Datei- und Druckerfreigaben). Hierfür müsste er am Firmennetz angeschlossen sein. Genau das lässt sich über ein VPN realisieren, wobei sich die Zugriffserlaubnis auf bestimmte Teilnehmer einschränken lässt.
In der klassischen VPN-Konfiguration spielt das Verbindungsgerät eine zentrale Rolle; auf ihm wird eine VPN-Software installiert. Das verbindende Gerät wird dadurch – zusätzlich zu seiner bisherigen Funktion – zu einem VPN-Gateway (auch VPN-Einwahlknoten).
zentriert|mini|hochkant=4|Routing mit VPN
In der Beispielabbildung könnte Netz A ein Heimnetzwerk sein, Netz B das Internet und Netz C ein Firmennetz. Wenn eine Kommunikation mit dem jeweils angrenzenden Netz bis hin zum VPN-Einwahlknoten möglich ist, funktioniert VPN über mehrere Netzwerke hinweg – so können sich also nicht nur Teilnehmer aus Netz B, sondern auch Teilnehmer aus Netz A per VPN in Netz C einwählen.
VPN ist ein reines Softwareprodukt Die gegenseitig erreichbaren Netze bilden zusammen die Hardware (die Geräte selbst, zuzüglich Kabel) und Software, die wiederum von den Geräten benötigt wird, um ihnen „zu sagen“, was sie überhaupt machen sollen.
Um einen Teilnehmer aus seinem ursprünglichen Netz heraus an ein von dort aus erreichbares Netz zu binden, wird eine VPN-Software benötigt. In der klassischen Konfiguration wird sie zum einen auf dem Gerät installiert, das die Netzwerke miteinander verbindet, und zum anderen auf den einzubindenden Teilnehmer gebracht. VPN funktioniert, ohne dass dafür ein zusätzliches Kabel verlegt oder sonst irgendetwas an Hardware hinzugefügt werden muss. Vom Konzept her ist VPN daher ein reines Softwareprodukt.Sichere Datenübertragung trotz Internet – Virtuelle Private Netzwerke von Marcel Binder, März 2008, auf tomshardware.de Allerdings bedeutet das nicht, dass VPN nicht auch mit separaten Geräten umgesetzt werden kann, die für eine solche Lösung optimiert sind. So gibt es Hardware, sogenannte VPN-Appliances, die auf einem speziell gesicherten (gehärteten) Betriebssystem aufsetzen und in denen zum Beispiel ein entsprechender Hardware-Entwurf dabei hilft, Teile der (optionalen) Verschlüsselung zu beschleunigen. Das Hinzuziehen von speziellen VPN-Geräten kann eine durchaus sinnvolle Maßnahme sein. Dennoch ist dies nur eine Option, da sich VPN auch ohne diese Geräte umsetzen lässt.
Funktionsweise
zentriert|mini|hochkant=2|Ein VPN-Partner aus Netz A hat sich in das Netz B eingewählt und kommuniziert mit B2.
Bezogen auf die Beispielabbildung läuft auf dem Gerät mit Netzwerk-Anschluss A2 eine VPN-Client-Software, die dem Gerät das Netz B zuordnet. Aus vormals PC A2 wird dadurch der „Netz B“-Teilnehmer PC B7, unser VPN-Partner.
Dieser VPN-Partner schickt nun eine Nachricht an beispielsweise PC B2. Die Nachricht wird zur Weiterleitung an den VPN-Adapter übergeben, der Teil der VPN-Client-Software ist. Er steckt die Nachricht bildlich gesehen in einen Briefumschlag (Adresse=„PC B2“, Absender=„PC B7“) und übergibt den Brief dann an Netzwerk-Anschluss A2. Dabei wird der Brief in einen weiteren Briefumschlag gesteckt (Adresse=„Netzwerk-Anschluss A3“ (VPN-Gateway), Absender=„Netzwerk-Anschluss A2“) und so dem Netz A übergeben.
Der Trick besteht also darin, dass sich die VPN-Pakete unabhängig von ihrem Inhalt und der ursprünglichen Adressierung (innerer Briefumschlag) separat adressieren lassen (äußerer Briefumschlag), um den Brief in einer Form auf den Weg zu bringen, die kompatibel zu Netz A ist. Technisch gesehen werden die ursprünglichen Netzwerkpakete (innerer Brief) für den Transport in ein VPN-Protokoll gelegt. Daher spricht man bei VPN vom Tunnel.
Der Netzwerk-Anschluss A3 nimmt den Brief entgegen und übergibt ihn der Software „VPN-Gateway“, die auf dem Gerät läuft. Diese Software entfernt den äußeren Briefumschlag und leitet den inneren Brief weiter in das Netz von Netzwerk-Anschluss B6 hin zum PC B2 (dem Adressaten des inneren Briefumschlags).
Seine Antwort schickt PC B2 zurück an PC B7. Der Netzwerk-Anschluss B6 fängt den Brief ab, weil das VPN-Gateway erkennt, dass die „PC B7“-Adresse zu einem seiner VPN-Partner gehört. Auch dieser Brief wird vom VPN-Gateway bildlich gesehen in einen zweiten Briefumschlag gesteckt (Adresse=„Netzwerk-Anschluss A2“, Absender=„Netzwerk-Anschluss A3“) und in das Netz A geleitet. Der Netzwerk-Anschluss A2 nimmt den Brief entgegen und übergibt ihn dem VPN-Adapter. Dieser entfernt den äußeren Briefumschlag und übergibt den inneren Brief an PC B7.
Stark vereinfacht ausgedrückt wurde das Netz A aus Sicht des VPN-Partners auf die Funktion eines Verlängerungskabels reduziert, das PC B7 direkt mit dem Netz B verbindet. Für beide Kommunikationspartner, PC B7 und PC B2, sieht es also so aus, als befände sich PC B7 mitten im Netz B und nicht im Netz A. Sie bekommen von den dazwischen liegenden Mechanismen nichts mit.
Der sich daraus ergebende Nutzen eines VPNs kann je nach verwendetem VPN-Protokoll durch eine Verschlüsselung ergänzt werden, die dafür sorgt, dass die Kommunikation zwischen PC B7 und dem VPN-Gateway von niemandem aus Netz A eingesehen oder gar manipuliert werden kann. Diese optionale VPN-Verschlüsselung ist Bestandteil des äußeren Briefumschlags. Sie reicht also nicht in das Netz B hinein, sondern endet bzw. beginnt (Rückweg) am VPN-Gateway.