Fernzugriff über VPN und VPN Alternativen für Unternehmen

Fernzugriff über VPN​

Die am häufigsten verwendete Technik, um aus der Ferne sicher auf ein lokales Netzwerk zuzugreifen, ist die Verbindung über einen verschlüsselten VPN-Tunnel (Virtual Private Network). Als sichere, schnelle und robuste VPN-Verbindungsvariante hat sich dabei das IPsec-Protokoll in Verbindung mit der Internet Key Exchange Version 2 (IKEv2) etabliert. Dessen Vorläufer IKEv1 kann bei verschiedenen Herstellern zu Kompatibilitätsproblemen führen.

Als Alternative zu IKE erzeugt auch die VPN-Variante L2TP/IPsec (Layer 2 Tunneling Protocol) einen sicher verschlüsselten Tunnel in ein entferntes Netzwerk. Von einem VPN-Tunnel über das unsichere Point-to-Point Tunneling Protocol (PPTP) ist jedoch abzuraten. Beim PPTP erfolgt die Authentifizierung zwischen Client und Server, noch bevor der sicher verschlüsselte VPN-Tunnel aufgebaut ist. Zudem wird die Authentifizierung über das Protokoll MS-CHAP v2 (Microsoft Challenge Handshake Authentication Protocol) abgewickelt, dessen Verschlüsselung sich durch ein Mitsniffen der nicht getunnelten Datenpakete in einem überschaubaren Zeitrahmen knacken lässt. 

Bei L2TP/IPSec, dessen Authentifizierung sich ebenfalls über MS-CHAP v2 abwickeln lässt, läuft die Authentifizierung bereits im sicher verschlüsselten VPN-Tunnel ab, der zuvor über einen Zertifikatsaustausch oder über einen Pre Shared Key erstellt wurde.

Das große Problem bei VPN-Fernzugriffen liegt jedoch darin, dass nahezu alle aktuellen VPN-Lösungen nur über IPv4 zuverlässig funktionieren – und nicht über IPv6. Aus diesem Grund werden Internetanbindungen für Geschäftskunden fast immer zusätzlich mit einer öffentlichen IPv4-Adresse angeboten. Nur so ist gewährleistet, dass die Verbindung zum VPN-Server von jedem zugriffsberechtigten VPN-Client funktioniert – unabhängig davon, aus welchem Netzwerk (IPv4 oder IPv6) sich dieser einwählen möchte.​

VPN-Alternative für Unternehmen

Während die Fernzugriffsprobleme mit VPN bei laufender IPv6-Umstellung nach wie vor bestehen, bietet Microsoft für Unternehmensumgebungen eine interessante Alternative namens DirectAccess an. Hierbei handelt es sich um eine proprietäre, verschlüsselte Verbindungstechnik, die Microsoft mit seinem Betriebssystem Windows Server 2008 R2 erstmalig als VPN-Alternative eingeführt hat. Als Verbindungstechnik setzt DirectAccess komplett auf IPv6 auf, kann aber auch Verbindungen zu IPv4-basierten Systemen herstellen. 

inmal im Client eingerichtet, stellt DirectAccess die verschlüsselte Verbindung zum Unternehmen bei jedem Neustart automatisch her, falls sich der Client außerhalb des Firmennetzwerks befindet. Ein Client mit Online-Anbindung ist über DirectAccess also immer automatisch mit dem entfernten Windows Server verbunden. Diese Verbindung läuft dabei über einen sicher verschlüsselten IPsec-Tunnel ab. 

Unterstützt wird DirectAccess allerdings nur von Windows-Clients der Ultimate und Enterprise Edition bei Windows 7, 8 und 10. Als Server-Version empfiehlt Microsoft mindestens den Windows Server 2012, da sich dessen DirectAccess-Dienst erheblich komfortabler einrichten und verwalten lässt als unter Windows Server 2008. Ausführliche Informationen zur Einrichtung eines DirectAccess-Servers liefert Microsoft auf seinem TechNet-Portal.​