Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- it-themen:grundlagen:netzwerkdienste:vpn [03.12.2025 16:10] – [IPsec Betriebsmodi] lars
+++ it-themen:grundlagen:netzwerkdienste:vpn [03.12.2025 16:23] (aktuell) – [Zusammenfassung] lars
@@ Zeile 79: / Zeile 79: @@
 ==== IPsec Bausteine ====
   * **IKEv1 / IKEv2** – Schlüsselaustausch
   * **ESP** – Verschlüsselter Datentransport
   * **AH** – Authentisierung (selten)
   * **PFS** – Perfect Forward Secrecy
 ==== IPsec Ports ====
-| Protokoll | Port |
+^ Protokoll ^ Port ^
-|------------|------|
 | IKEv2 | UDP 500 |
 | IPsec ESP | IP-Protokoll 50 |
 | NAT-T (NAT Traversal) | UDP 4500 |
-ASCII:
-<code>
-Client → UDP 500 ←→ Key Exchange
+<a2s>
-Client → ESP (50) ←→ Datenverkehr
-</code>
+ Client --> UDP 500 <---> Key Exchange
+ Client --> ESP (50) <---> Datenverkehr
+</a2s>
 ==== Vorteile ====
   * sehr sicher und erprobt
   * Standard in Unternehmensnetzen
   * extrem gut für Standort-VPNs
 ==== Nachteile ====
   * komplex zu konfigurieren
   * NAT kann Probleme verursachen
   * Debugging schwierig
 ---
@@ Zeile 119: / Zeile 123: @@
 Typisch in privaten & kommerziellen Umgebungen:
   * Linux
   * Windows
   * pfSense/OPNsense
   * OpenVPN Access Server
 ==== Merkmale ====
   * basiert auf TLS/SSL
   * Ports frei wählbar (UDP empfohlen)
   * sehr flexibel
   * stabil hinter NAT
   * viele Auth-Methoden (Passwort, Zertifikat, MFA)
 ==== Standard-Ports ====
@@ Zeile 137: / Zeile 141: @@
   * oder jeder andere Port, z. B. 443/TCP (zum Tarnen als HTTPS)
-ASCII:
-<code>
-Client → TLS → OpenVPN-Server → internes Netz
+<a2s>
-</code>
+Client --> TLS --> OpenVPN-Server --> internes Netz
+</a2s>
 ==== Vorteile ====
   * sehr stabil
   * flexibel
   * funktioniert fast überall
   * gute Logs
 ==== Nachteile ====
   * langsamer als WireGuard
   * komplizierter als WG
   * Konfiguration oft umfangreich
 ---
@@ Zeile 163: / Zeile 168: @@
 Merkmale:
   * extrem schnell
   * extrem einfach
   * sehr sicher
   * minimaler Code → weniger Angriffsfläche
   * Kernelmodul für hohe Performance
 ==== Ports ====
@@ Zeile 178: / Zeile 183: @@
 Jeder Peer hat:
   * privaten Schlüssel
   * öffentlichen Schlüssel
   * AllowedIPs (der Traffic, der durch den Tunnel geht)
-ASCII:
-<code>
+<a2s>
 Peer A <---- WireGuard (UDP) ----> Peer B
-</code>
+</a2s>
 ==== Beispielkonfiguration (Minimal) ====
 Client:
-<code>
+<code conf>
-[Interface]
-PrivateKey = xxx
+ [Interface]
-Address = 10.0.0.2/24
+ PrivateKey = xxx
+ Address = 10.0.0.2/24
+ [Peer]
+ PublicKey = yyy
+ Endpoint = vpn.example.com:51820
+ AllowedIPs = 0.0.0.0/0
-[Peer]
-PublicKey = yyy
-Endpoint = vpn.example.com:51820
-AllowedIPs = 0.0.0.0/0
 </code>
 Server:
-<code>
+<code conf>
-[Interface]
-PrivateKey = yyy
+ [Interface]
-Address = 10.0.0.1/24
+ PrivateKey = yyy
-ListenPort = 51820
+ Address = 10.0.0.1/24
+ ListenPort = 51820
+ [Peer]
+ PublicKey = xxx
+ AllowedIPs = 10.0.0.2/32
-[Peer]
-PublicKey = xxx
-AllowedIPs = 10.0.0.2/32
 </code>
 ==== Vorteile ====
   * extrem schnell
   * extrem einfach
   * leicht zu debuggen
   * hohe Sicherheit
 ==== Nachteile ====
   * kein integrierter Nutzer-/Zertifikatsmechanismus
   * kein Layer-2-Modus
   * AllowedIPs müssen sauber gepflegt werden
 ---
@@ Zeile 231: / Zeile 243: @@
 ====== Vergleich – IPsec vs OpenVPN vs WireGuard ======
-| Feature | IPsec | OpenVPN | WireGuard |
+^ Feature ^ IPsec ^ OpenVPN ^ WireGuard ^
-|---------|--------|----------|------------|
 | Geschwindigkeit | gut | mittel | sehr hoch |
 | NAT-Kompatibilität | mittel | sehr gut | sehr gut |
@@ Zeile 239: / Zeile 250: @@
 | Geeignet für | Standorte | Remote Access | alles, besonders Mobilgeräte |
 | Ports | UDP 500/4500 | 1194/UDP | 51820/UDP |
 ---
@@ Zeile 245: / Zeile 257: @@
 **IPsec:**
   * Standortvernetzung
   * Firewalls (OPNsense, Cisco, FortiGate)
   * MPLS-/VPN-Ersatz
 **OpenVPN:**
   * Firmen-Remotezugriff
   * Linux-Server
   * überall, wo Zertifikate wichtig sind
 **WireGuard:**
   * Mobilgeräte
   * kleine bis mittlere Firmen
   * Hochleistungs-VPNs
   * Docker-Hosts / Container-Netzwerke
   * Heimnetzwerke
 ---
@@ Zeile 267: / Zeile 280: @@
 Pflichtregeln:
   * starke Verschlüsselung
   * sauberes Schlüsselmanagement
   * NAT-Traversal klar konfigurieren
   * Firewalls restriktiv halten
   * Logging aktiv
   * MFA-authentifizierte Zugänge
 ---
@@ Zeile 278: / Zeile 292: @@
 ====== Zusammenfassung ======
   * VPNs bauen verschlüsselte Tunnel über das Internet
   * IPsec → Klassiker, sehr sicher, aber komplex
   * OpenVPN → flexibel, stabil, TLS-basiert
   * WireGuard → modern, extrem schnell, einfach
   * Remote Access vs Site-to-Site unterscheiden
   * alle 3 Protokolle haben ihren Platz in modernen Netzen