Was ist ein Remote-Access-VPN (RAV)?

Remote Access VPN (RAV) ist ein VPN-Dienst, mit dem ein einzelner Remote-Benutzer einen sicheren, verschlüsselten Tunnel von seinem eigenen Gerät in ein Unternehmensnetzwerk herstellen kann, anstatt zwei Netzwerke miteinander zu verbinden. Der Dienst authentifiziert den Benutzer, verschlüsselt den gesamten Datenverkehr während der Übertragung und gewährt dem Gerät Zugriff auf interne Ressourcen, als wäre es lokal verbunden.

Die wichtigsten Erkenntnisse

• RAV verbindet das Gerät eines einzelnen Remote-Benutzers – nicht zwei Standorte – mit dem Unternehmen.
• Der Client authentifiziert sich und leitet den Datenverkehr anschließend über einen Tunnel an ein Gateway oder ein Zweigstellengerät weiter.
• IPsec und DTLS/SSL sind die beiden gängigen Tunnelprotokolle, die heute verwendet werden.
• Ein Gateway benötigt eine öffentliche statische IP-Adresse und Zertifikate, um Sitzungen zu beenden.
• ZTNA ersetzt zunehmend den pauschalen RAV-Zugriff durch anwendungsspezifische Richtlinien.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · RAV & Versa · Häufig gestellte Fragen

Warum ist RAV wichtig?

Bevor es VPNs für den Fernzugriff gab, bedeutete der Zugriff auf interne Anwendungen von außerhalb des Büros entweder eine Einwahlverbindung oder gar keinen Zugriff. RAV löste dieses Problem, indem es jedem authentifizierten Benutzer, egal wo er sich im Internet befand, ermöglichte, einen verschlüsselten Tunnel direkt zum Unternehmensnetzwerk zu eröffnen – eine Technologie, die das Arbeiten aus der Ferne schon lange bevor es zur allgemeinen Erwartung wurde, praktisch umsetzbar machte.

Er ist nach wie vor wichtig, da er in vielen Unternehmen immer noch die Standardmethode darstellt, um den Zugriff auf Netzwerkebene auf Laptops, Auftragnehmer und Feldgeräte auszuweiten. Ein ordnungsgemäß konfigurierter RAV-Dienst schützt Daten während der Übertragung über nicht vertrauenswürdige Netzwerke und zentralisiert die Authentifizierung. Der Nachteil – und der Grund, warum neuere Architekturen ihn verdrängen – besteht darin, dass der klassische RAV in der Regel nach der Verbindung eine umfassende Erreichbarkeit auf Netzwerkebene gewährt, also mehr Zugriff, als die meisten Sitzungen tatsächlich benötigen.

Was ist RAV?

Ein Fernzugriffs-VPN hat zwei Endpunkte: einen Client auf dem Laptop, Smartphone oder Tablet des Benutzers und ein Gateway am Rand des Unternehmensnetzwerks. Der Client authentifiziert den Benutzer – mit einem lokalen Passwort, einer LDAP-/Active-Directory-Verbindung, einem SAML-Identitätsanbieter oder einem Zertifikat – und baut eine Verbindung zum Gateway auf. Sobald die Verbindung hergestellt ist, wird der Datenverkehr des Clients verschlüsselt und zum Gateway übertragen, das ihn entschlüsselt und an das interne Netzwerk weiterleitet, als wäre das Gerät lokal angeschlossen.

Zwei Richtlinienmodelle regeln den nicht unternehmensinternen Datenverkehr. Beim „Full Tunnel“ wird der gesamte Datenverkehr, einschließlich des allgemeinen Surfens im Internet, über den Tunnel zum Gateway geleitet. Beim „Split Tunnel“ wird nur der für interne Ressourcen bestimmte Datenverkehr über den Tunnel geleitet, während der Internetdatenverkehr lokal abgewickelt wird – wodurch die Auslastung des Gateways verringert wird, allerdings auf Kosten einer zentralisierten Überprüfung dieses Datenverkehrs.

Arten von RAV

Zwei Tunneltechnologien dominieren den Markt. IPsec-Fernzugriffs-VPNs bauen einen Tunnel auf IP-Ebene auf, der mit IKE und ESP authentifiziert und verschlüsselt wird; diese Technologie ist effizient und eignet sich gut für Client-Software, die ständig aktiv ist und einen Volltunnel nutzt. SSL/TLS-VPNs (einschließlich DTLS-basierter Varianten) leiten den Datenverkehr über dieselben Ports, die bereits für den Webverkehr genutzt werden. Dadurch lassen sich restriktive Firewalls zuverlässiger umgehen, und es werden sowohl installierte Clients als auch – bei einigen Produkten – ein rein browserbasierter, clientloser Zugriff unterstützt.

Ein drittes Modell verdrängt zunehmend beide: der ZTNA-basierte Fernzugriff, bei dem der Tunnel auf Netzwerkebene vollständig entfällt und stattdessen der Zugriff auf einzelne Anwendungen nach kontinuierlicher Überprüfung der Benutzeridentität und des Gerätestatus vermittelt wird. Während klassische RAV-Lösungen ein Remote-Gerät in das Netzwerk einbinden, gewährt ZTNA niemals Vertrauen auf Netzwerkebene – stattdessen wird jeweils nur eine Anwendungsverbindung autorisiert.

RAV & Versa

Versa Stellt Remote-Access-VPN als lizenzierten Zusatzdienst auf VOS-Geräten bereit, der über eine Remote-Access-Server-Vorlage (RAS) und ein Endpunkt-Client-Profil „ Versa “ konfiguriert wird. Zur Aktivierung sind ein WAN-Port mit einer statischen öffentlichen IP-Adresse und einem FQDN sowie hochgeladene öffentliche CA-Zertifikate erforderlich – die Konfiguration erfolgt unter „Endpunkt-Client-Dienst konfigurieren (Remote-Access-VPN)“. Die Endpunkt-Client-Vorlage definiert die Authentifizierung (lokal, LDAP oder SAML), die an die Clients übermittelten DNS-Einstellungen sowie Client-Sicherheitsregeln, die anhand von Standort, Adresse, Gerät oder Benutzergruppe abgeglichen werden.

Der „ Versa “ Secure Access (VSA)-Client stellt eine Verbindung über einen IPsec- oder DTLS-Tunnel her (ausschließlich Volltunnel) und unterstützt die Zwei-Faktor-Authentifizierung über eine Authentifizierungs-App oder ein per E-Mail versendetes Einmalpasswort (OTP). Ein IPsec-Tunnel-Adresspool weist jedem Client eine IP-Adresse zu, und eine Standard-Firewall-Regel regelt den Datenverkehr des VSA-Clients beim Eintritt in das Netzwerk. Informationen zum versionsspezifischen Verhalten und zu den Einschränkungen von RAV finden Sie in den Versionshinweisen zu „Titan “.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Fernzugriffs-VPN und einem Site-to-Site-VPN?

Ein Fernzugriffs-VPN verbindet das Gerät eines Benutzers mit einem Unternehmensnetzwerk. Ein Site-to-Site-VPN verbindet zwei Netzwerke – beispielsweise eine Niederlassung und ein Rechenzentrum – miteinander und leitet den Datenverkehr für jedes Gerät hinter den jeweiligen Endpunkten weiter.

Was ist der Unterschied zwischen „Split Tunnel“ und „Full Tunnel“?

Beim „Full Tunnel“ wird der gesamte Client-Datenverkehr, einschließlich des allgemeinen Surfens im Internet, über das VPN-Gateway geleitet. Beim „Split Tunnel“ wird nur der Datenverkehr, der für interne Ressourcen bestimmt ist, durch den Tunnel geleitet, während der übrige Datenverkehr lokal ausgegeben wird. Dadurch wird die Auslastung reduziert, allerdings entfällt die zentrale Überprüfung dieses Datenverkehrs.

Ersetzt ZTNA das Fernzugriffs-VPN?

Ja, das wird immer häufiger der Fall. ZTNA gewährt den Zugriff auf Anwendungsbasis, nachdem die Identität und der Gerätestatus kontinuierlich überprüft wurden, anstatt das Remote-Gerät wie bei einem klassischen VPN direkt ins Netzwerk einzubinden. Dadurch wird das Risiko von Lateral-Movement-Angriffen beseitigt, das durch einen flachen Tunnel auf Netzwerkebene entsteht.

Welche Authentifizierungsmethoden unterstützt ein Fernzugriffs-VPN?

Zu den gängigen Optionen zählen ein lokaler Benutzername und ein Passwort, LDAP- oder Active Directory-Verbindungen sowie SAML-Single-Sign-On über einen Identitätsanbieter. In vielen Implementierungen wird zusätzlich zur primären Methode eine Zwei-Faktor-Authentifizierung eingesetzt, beispielsweise ein Einmalpasswort oder eine Authentifizierungs-App.

Was benötigt ein Gateway, um VPN-Verbindungen für den Fernzugriff zu beenden?

Es benötigt eine erreichbare, in der Regel statische, öffentliche IP-Adresse und einen FQDN, mit dem sich Clients verbinden können, sowie eine gültige öffentliche Zertifikatskette, damit Clients einen vertrauenswürdigen, authentifizierten Tunnel aufbauen können, bevor Datenverkehr fließt.

Mehr über RAV

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über RAV informieren, sollten Sie sich als Nächstes diese Artikel ansehen.