it-themen:grundlagen:netzwerkdienste:vpn_sicherheit
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
| Beide Seiten der vorigen RevisionVorhergehende ÜberarbeitungNächste Überarbeitung | Vorhergehende Überarbeitung | ||
| it-themen:grundlagen:netzwerkdienste:vpn_sicherheit [04.12.2025 14:45] – [IPSec (klassisch, oft in Firmen & Routern)] lars | it-themen:grundlagen:netzwerkdienste:vpn_sicherheit [04.12.2025 14:49] (aktuell) – [Zusammenfassung] lars | ||
|---|---|---|---|
| Zeile 103: | Zeile 103: | ||
| Risiko: | Risiko: | ||
| - | * Angreifer kann durch lokales Netzwerk ins VPN springen | + | * Angreifer kann durch lokales Netzwerk ins VPN springen |
| - | * besonders gefährlich bei Home-Office | + | * besonders gefährlich bei Home-Office |
| ===== c) Falsche Firewallregeln ===== | ===== c) Falsche Firewallregeln ===== | ||
| Beispiele: | Beispiele: | ||
| - | * VPN-Clients können sich gegenseitig sehen  | + | * VPN-Clients können sich gegenseitig sehen |
| - | * ungewollter Zugriff auf Server | + | * ungewollter Zugriff auf Server |
| - | * IPv6-Traffic nicht gefiltert | + | * IPv6-Traffic nicht gefiltert |
| * kein DNS-Filter aktiv | * kein DNS-Filter aktiv | ||
| ===== d) Schwache Authentifizierung ===== | ===== d) Schwache Authentifizierung ===== | ||
| - | * nur Passwort ohne MFA Â | + | * nur Passwort ohne MFAÂ |
| - | * geteilte VPN-Keys | + | * geteilte VPN-Keys |
| - | * altes TLS (OpenVPN) | + | * altes TLS (OpenVPN) |
| ===== e) Unsichere Protokolle ===== | ===== e) Unsichere Protokolle ===== | ||
| Zeile 129: | Zeile 129: | ||
| ===== FĂĽr WireGuard ===== | ===== FĂĽr WireGuard ===== | ||
| - | * nur UDP 51820 öffnen | + | * nur UDP 51820 öffnen |
| - | * kein Verkehr zwischen Clients (Client-Isolation) | + | * kein Verkehr zwischen Clients (Client-Isolation)Â |
| - | * Regeln pro Peer definieren („AllowedIPs“) | + | * Regeln pro Peer definieren („AllowedIPs“) |
| - | * Logging aktivieren | + | * Logging aktivieren |
| ===== FĂĽr OpenVPN ===== | ===== FĂĽr OpenVPN ===== | ||
| - | * Port 1194/udp (oder TCP fĂĽr Fallback) | + | * Port 1194/udp (oder TCP fĂĽr Fallback)Â |
| - | * restriktives Client-to-Client-Routing | + | * restriktives Client-to-Client-Routing |
| - | * TLS ≥ 1.2  | + | * TLS ≥ 1.2 |
| - | * keine schwachen Cipher-Suites | + | * keine schwachen Cipher-Suites |
| ===== FĂĽr IPSec ===== | ===== FĂĽr IPSec ===== | ||
| - | * ESP-Protokoll erlauben | + | * ESP-Protokoll erlauben |
| - | * UDP 500 & 4500 öffnen | + | * UDP 500 & 4500 öffnen |
| - | * NAT-Traversal beachten | + | * NAT-Traversal beachten |
| --- | --- | ||
| Zeile 153: | Zeile 154: | ||
| Vorteile: | Vorteile: | ||
| - | * weniger Last auf VPN-Server | + | * weniger Last auf VPN-Server |
| - | * schnelleres Internet | + | * schnelleres Internet |
| Nachteile: | Nachteile: | ||
| - | * UNSICHERER: parallele Nutzung von zwei Netzen | + | * UNSICHERER: parallele Nutzung von zwei Netzen |
| - | * gefährlich bei infizierten Heimnetzen | + | * gefährlich bei infizierten Heimnetzen |
| ===== Split-Tunnel: | ===== Split-Tunnel: | ||
| Zeile 164: | Zeile 165: | ||
| Vorteile: | Vorteile: | ||
| - | * höchste Sicherheit | + | * höchste Sicherheit |
| - | * volle Kontrolle ĂĽber DNS/ | + | * volle Kontrolle ĂĽber DNS/ |
| - | * perfekt fĂĽr Zero Trust | + | * perfekt fĂĽr Zero Trust |
| Nachteile: | Nachteile: | ||
| - | * mehr Last auf VPN-Gateway | + | * mehr Last auf VPN-Gateway |
| Empfehlung: | Empfehlung: | ||
| - | → privat egal, | + | → privat egal, |
| → beruflich (Unternehmen) **kein Split-Tunnel**. | → beruflich (Unternehmen) **kein Split-Tunnel**. | ||
| + | |||
| --- | --- | ||
| Zeile 194: | Zeile 196: | ||
| Ăśberwachen: | Ăśberwachen: | ||
| - | * Verbindungsversuche | + | * Verbindungsversuche |
| - | * fehlgeschlagene Logins | + | * fehlgeschlagene Logins |
| - | * ungewöhnliche Geo-IP | + | * ungewöhnliche Geo-IP |
| - | * Geräte mit altem Client | + | * Geräte mit altem Client |
| - | * hohe DatenĂĽbertragung (Data Exfiltration) | + | * hohe DatenĂĽbertragung (Data Exfiltration) |
| Tools: | Tools: | ||
| - | * Grafana → VPN-Statistiken | + | * Grafana → VPN-Statistiken |
| - | * Suricata → VPN-Traffic analysieren | + | * Suricata → VPN-Traffic analysieren |
| - | * CrowdSec → Angreifer blocken | + | * CrowdSec → Angreifer blocken |
| --- | --- | ||
| Zeile 209: | Zeile 212: | ||
| ====== 8. Best Practices fĂĽr sicheres VPN ====== | ====== 8. Best Practices fĂĽr sicheres VPN ====== | ||
| - | * WireGuard bevorzugen | + | * WireGuard bevorzugen |
| - | * kein PPTP Â | + | * kein PPTPÂ |
| - | * starke Schlüssel, keine schwachen Ciphers | + | * starke Schlüssel, keine schwachen Ciphers |
| - | * Full-Tunnel für Firmen | + | * Full-Tunnel für Firmen |
| - | * kein Client-to-Client Verkehr | + | * kein Client-to-Client Verkehr |
| - | * Logging aktiv  | + | * Logging aktiv |
| - | * MFA für Benutzer | + | * MFA für Benutzer |
| - | * kurze Zertifikatsgültigkeit | + | * kurze Zertifikatsgültigkeit |
| - | * IPv6 im VPN richtig filtern | + | * IPv6 im VPN richtig filtern |
| - | * DNS im Tunnel erzwingen (kein Leaking) | + | * DNS im Tunnel erzwingen (kein Leaking)Â |
| - | * Updates für Server & Client | + | * Updates für Server & Client |
| --- | --- | ||
| Zeile 225: | Zeile 229: | ||
| ====== Zusammenfassung ====== | ====== Zusammenfassung ====== | ||
| - | * WireGuard = modern & sicher | + | * WireGuard = modern & sicher |
| - | * OpenVPN = flexibel & bewährt | + | * OpenVPN = flexibel & bewährt |
| - | * IPSec = ideal für Standortvernetzung | + | * IPSec = ideal für Standortvernetzung |
| - | * Split-Tunneling kann extrem gefährlich sein  | + | * Split-Tunneling kann extrem gefährlich sein |
| - | * Firewalls müssen restriktiv sein  | + | * Firewalls müssen restriktiv sein |
| - | * MFA & starke Schlüssel sind Pflicht | + | * MFA & starke Schlüssel sind Pflicht |
| - | * Logging & Monitoring unverzichtbar | + | * Logging & Monitoring unverzichtbar |
| - | * VPNs schützen nur, wenn Endgeräte sauber sind | + | * VPNs schützen nur, wenn Endgeräte sauber sind |
it-themen/grundlagen/netzwerkdienste/vpn_sicherheit.1764855905.txt.gz · Zuletzt geändert: von lars