Was ist ein VPN?

Der Unterschied zwischen Hardware VPN und Software VPN

Die Unterscheidung zwischen Hardware VPN und Software VPN kann auf mehreren Ebenen getroffen werden. Heutzutage geht es in der Regel um die Frage, ob ein dediziertes Gerät alle VPN-Funktionen erfüllt oder ob es sich um eine Software-Lösung handelt, die beispielsweise einfach zusätzlich auf einem bestehenden Server installiert wird.

Vor allem in der Vergangenheit wurde mit Hardware VPN häufig gemeint, dass ein spezieller Chipsatz die Ver- und Entschlüsselung durchführt, was in höheren Durchsatzraten resultieren kann. Je nach benötigter Bandbreite kann dieser Vorgang nämlich durchaus viel Last verursachen und somit andere Prozesse auf der genutzten Plattform beeinflussen bzw. einschränken. Die Geschwindigkeit des VPN selbst kann dadurch stark limitiert werden. Auch wenn diese Problematik durch moderne Hardware und vor allem Prozessoren beispielsweise mit Crypto Befehlssatzerweiterungen nicht mehr so häufig im Mittelpunkt steht, ist dies – je nach Anwendungsfall – dennoch durchaus relevant. Bei den meisten Routern und sonstigen Appliances, z. B. von Cisco und Juniper, findet man daher immer noch entsprechende Hardware-Module, die je nach Modell eine unterschiedliche Anzahl an VPN-Tunneln und Bandbreite zur Verfügung stellen.

Protokolle: IPsec, SSL-VPN/TLS-VPN und WireGuard® – ein Vergleich

Was ist IPsec?

Bei IPsec handelt es sich eigentlich um eine Sammlung von Protokollen, bei denen in zwei Phasen eine komplette Verschlüsselung des darüber stattfindenden Datenverkehrs erreicht wird. In der ersten Phase werden dabei Authentisierungs- und Verschlüsselungsverfahren ausgehandelt und dann ausgetauscht. Die Authentisierung ist dabei mithilfe eines vereinbarten gemeinsamen Schlüssels („Pre Shared Keys“) oder alternativ mit einem Zertifikat möglich. In der zweiten Phase werden dann sogenannte Security Associations erstellt, die zum Schutz der gesamten Kommunikation genutzt werden.

Die Konfiguration von IPsec ist relativ komplex und ist daher oftmals anfällig für Konfigurationsfehler. Besonders herausfordernd ist auch die Nutzung von IPsec hinter NAT oder der Betrieb über aktuelle Internetanbindungen, die für den Einzelkunden keine eigenen öffentlichen IPv4 IP-Adressen mehr vorsehen. Hierbei versorgen die Internetanbieter oftmals viele Kunden mit nur einer IPv4-Adresse (unter Verwendung des sogenannten „Carrier Grade NAT“). Dieser Betrieb im Parallelbetrieb („Dual-Stack“), kann den Einsatz von IPsec komplett unmöglich machen oder zu einem deutlichen Mehraufwand bei der Konfiguration des VPN führen.

Da zur Sicherstellung von Authentizität und Integrität der übertragenen Daten beispielsweise Authentication Header (AH) oder auch Encapsulating Security Payload (ESP) genutzt werden (beides sind Protokolle, die direkt auf IP basieren), ist eine Nutzung hinter NAT nur mit Hilfe von Lösungen wie NAT-Traversal oder IPsec-Passthrough möglich. Um diese zu implementieren, ist eine umfangreichere Konfiguration auf den involvierten Routern nötig.

Was ist ein SSL- bzw. TLS-VPN?

Ein SSL-VPN – bzw. heute zunehmend auch mit dem moderneren Begriff „TLS-VPN“ bezeichnet – ermöglicht es, über eine verschlüsselte TLS-Verbindung ein VPN aufzubauen. Ein bekanntes Beispiel für eine solche SSL-VPN-Lösung ist die OpenSource Software OpenVPN. Im Gegensatz zu IPsec handelt es sich dabei um eine freie Software, die zur Verschlüsselung OpenSSL oder mbed TLS nutzt. Je nach Einsatzzweck können dabei TCP oder UDP zum Transport der Daten genutzt und die involvierten Ports frei gewählt werden. Hierdurch ist diese Art des VPNs sehr flexibel und vielseitig einsetzbar.

Wie bei IPsec können Pre Shared Keys und Zertifikate zur Authentisierung eingesetzt werden. OpenVPN bietet neben einem Routing-Modus auf Layer-3-Ebene des OSI-Modells auch einen Bridging-Modus an, über welchen der Versand von Ethernet-Frames realisierbar ist. Die Nutzung in einem Szenario, in welchem der Einsatz von NAT nötig ist, ist bei OpenVPN relativ einfach zu realisieren, da hierzu die nur die entsprechenden Ports des gewählten Protokolls (TCP/UDP) weitergeleitet werden müssen.

Was ist WireGuard®?

WireGuard® ist eine VPN-Lösung mit dem Ziel, eine einfache und effiziente Alternative zu bestehenden VPN-Lösungen wie IPsec und TLS bereitzustellen. Die Teilnehmer an einem Netzwerk (genannt Peers) bekommen eine interne IP-Adresse sowie einen privaten und einen öffentlichen Schlüssel. WireGuard® nutzt verschlüsselte UDP-Pakete (User Datagram Protocol Pakete), die mittels des Konzepts des Cryptokey Routing vermittelt werden. Das Cryptokey Routing ermöglicht das schnelle und problemlose Wechseln durch verschiedene Netzwerke, da als Weiterleitungs-IP die IP genommen wird, von der das letzte korrekt authentifizierte Paket ausgegangen ist. Die Verbindung muss daher nicht wieder komplett neu aufgebaut, sondern kann einfach weiter benutzt werden. Zudem ist es auch in WireGuard® möglich, die Sicherheit zusätzlich mittels PSK (Pre Shared Keys) zu erhöhen, allerdings ist dies nicht zwingend nötig, da sich diese Sicherheitsmaßnahme gegen die zukünftige Entschlüsselung durch Quantencomputer richtet. Dies wird derzeit als weniger dringlich betrachtet, weil Quantencomputer, die in der Lage sind, moderne Verschlüsselung zu brechen, noch nicht existieren. Daher kann man aktuell auf Pre-Shared Keys (PSK) verzichten. WireGuard® ist unter anderem so performant, da es unter Windows (mittels WireGuard-NT) und Linux auf Kernel-Ebene läuft und ab Linux Kernel 5.6 enthalten ist. WireGuard® kann sowohl auf Linux, als auch auf Windows (mittels WireGuard-NT) vergleichbare Geschwindigkeiten erreichen. Eine Schwäche von WireGuard® ist, dass es bei einer großen Anzahl an Peers sehr umständlich wird, diese zu verwalten, da jeder eine individuelle Konfiguration sowohl auf dem Client als auch auf dem Server benötigt.

IPsec, SSL-VPN oder WireGuard® – Welche VPN-Lösung ist die beste?

Sowohl IPsec als auch SSL-VPN bieten – bei korekter Konfiguration – eine starke Verschlüsselung und somit auch Sicherheit für die Übertragung Ihrer Daten. Unterschiede zeigen sich vor allem hinsichtlich der Geschwindigkeit, der Komplexität und der Kompatibilität. Durch den erhöhten Aufwand des Protokollstapels ist IPsec im Vergleich zu beispielsweise SSL-VPN wie OpenVPN ein wenig langsamer. Zudem ist die Konfiguration umfangreicher, so dass es erfahrungsgemäß häufiger zu Problemen bei der Einrichtung kommt. IPsec wird dafür auf praktisch allen Client-Systemen unterstützt, zumeist sogar ohne zusätzliche Software. Auch auf mobilen Geräten ist eine Verwendung von IPsec üblicherweise ohne viel Aufwand möglich. SSL-VPN-Lösungen benötigen dagegen häufig einen Client, der möglicherweise zu Abhängigkeiten von bestimmten Betriebssystemen führen kann.

WireGuard® stellt eine moderne Alternative zu diesen traditionellen VPN-Lösungen dar. Es bietet eine sehr hohe Geschwindigkeit und eine einfachere Konfiguration, was die Fehleranfälligkeit reduziert. Zudem nutzt WireGuard® moderne Verschlüsselungsalgorithmen, die für zusätzliche Sicherheit sorgen. Allerdings erfordert WireGuard® in vielen Fällen eine Nachinstallation und die Verwaltung vieler Peers kann komplex werden. Es ist plattformübergreifend verfügbar, jedoch ist es im Vergleich zu IPsec eine relativ neue Technologie und weniger getestet.

Eine generelle Empfehlung für eine der Lösungen – IPsec, SSL-VPN oder WireGuard® – kann man im Prinzip nicht geben, da der jeweilige Einsatzzweck, die involvierten Geräte und weitere Parameter in Betracht gezogen werden müssen.

Vor- und Nachteile auf einen Blick

WireGuard®

IPsec, OpenVPN und WireGuard® Kompatibilität im Überblick

¹ Bei den meisten Installationen über die Paketverwaltung aus dem zentralen Repository der jeweiligen Distribution verfügbar.

² Die Verwaltungstools (wireguard-tools) müssen beispielsweise mittels apt nachinstalliert werden

Das könnte ebenfalls interessant sein:

• Vollkommen modulare VPN-Services
• Unsere Rechenzentren