Was ist ein SSL-VPN?

SSL-VPN ist ein Fernzugriffs-VPN-Protokoll, mit dem sich Benutzer über einen Standard-HTTPS-Port anstelle eines dedizierten IPsec-Ports verbinden können, sodass Tunnel auch Firewalls durchdringen, die anderen VPN-Datenverkehr blockieren. Die Implementierung von Versaist proprietär, basiert auf TLS und DTLS statt auf dem veralteten SSL-Protokoll und endet bei den Gateways Versa undSASE für Benutzer des SASE -Clients.

Die wichtigsten Erkenntnisse

• Läuft über Port 443, sodass es Firewalls passieren kann, die IPsec blockieren.
• Basiert auf TLS und DTLS 1.2 anstelle des veralteten SSL-Protokolls.
• Der „ SASE “-Client kann TLS, DTLS und IPsec als Fallback-Tunnel festlegen.
• In SSL-VPN-Profilen werden Zertifikate, Adresspools und Verschlüsselungssuiten festgelegt.
• Die Erkennung vertrauenswürdiger Netzwerke kann SSL-VPNs umgehen, wenn bereits Tunnel bestehen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SSL-VPN & Versa · Häufig gestellte Fragen

Warum ist SSL-VPN wichtig?

VPNs für den Fernzugriff funktionieren nur, wenn sie einen Tunnel von jedem beliebigen Standort des Nutzers aus aufbauen können – sei es ein Hotelnetzwerk, eine Flughafen-Lounge oder ein Land, das Nicht-Web-Protokolle filtert. IPsec basiert auf UDP-Ports und dem ESP-Protokoll, die von restriktiven Netzwerken regelmäßig blockiert werden, wodurch Remote-Mitarbeiter von der Arbeit abgeschnitten werden. SSL-VPN-Tunnel laufen über TCP-Port 443, den auch normales HTTPS nutzt – einen Port, den Firewalls so gut wie nie sperren, da dies auch den Internetzugang unterbrechen würde.

Für einen Client-Benutzer von „ Versa “SASE entscheidet diese Erreichbarkeit darüber, ob ein Zero-Trust-Zugriff überhaupt möglich ist. SSL-VPN bietet dem Client einen zweiten, nahezu universell erreichbaren Pfad zum Gateway, und Administratoren können TLS, DTLS und IPsec anweisen, sodass ein funktionierender Tunnel gefunden wird.

Was ist ein SSL-VPN?

Trotz des Namens basiert das SSL-VPN von „ Versa“ nicht auf dem veralteten SSL-Protokoll. Es nutzt Transport Layer Security (TLS) für TCP-basierte Tunnel und Datagram Transport Layer Security (DTLS) für UDP-basierte Tunnel. Die allgemeine Konfiguration des SSL-VPN-Profils sieht TLS 1.2 und DTLS 1.2 vor; die Secure Access Service Gateway-Profile legen separat wählbare Mindest- und Höchstversionen fest, die bis zu TLS 1.3 und DTLS 1.3 reichen (siehe TLS und DTLS). Der Begriff „SSL-VPN“ hat sich branchenweit als Kurzbezeichnung für den browserfreundlichen Zugriff über Port 443 etabliert und unterscheidet sich damit von IPsec-basierten VPNs.

Ein „ SASE “-Client authentifiziert sich mithilfe eines Zertifikats, das der Administrator in Director hochlädt – eines Endentitätszertifikats und einer CA-Kette –, und handelt anschließend eine TLS- oder DTLS-Sitzung über den konfigurierten Port aus, der standardmäßig auf 443 eingestellt ist. Das Gateway weist eine Adresse aus einem IPAM-Pool zu, und die Liste der zugänglichen Subnetze im Profil legt fest, welche internen Netzwerke der Tunnel erreicht. Die Schlüssel der Sitzungen werden in einem vom Administrator festgelegten Intervall von 120 bis 86.400 Sekunden erneuert.

Arten von SSL-VPNs

VersaDas SSL-VPN bietet zwei Tunneltypen, die unabhängig voneinander oder gemeinsam ausgewählt werden können. TLS-Tunnel laufen über TCP und verhalten sich wie gewöhnliche HTTPS-Verbindungen – dies ist die kompatibelste Option, da sie praktisch jede Firewall oder jedes NAT-Gerät passieren, das das Surfen im Internet zulässt. DTLS-Tunnel laufen über UDP und vermeiden so den Overhead von „TCP-over-TCP“, was zu einer geringeren Latenz führt; allerdings ist die Wahrscheinlichkeit dabei geringfügig höher, auf ein reines TCP-Netzwerk zu stoßen.

Administratoren können zwischen „Nur TLS“, „Nur DTLS“ oder „Beides“ wählen – und ab Release 12.2.1 die Reihenfolge festlegen, in der der „ SASE “-Client diese Protokolle ausprobiert. Ein gängiges Muster sieht vor, dass zunächst DTLS versucht wird und bei Fehlschlag auf TLS und anschließend auf IPsec zurückgegriffen wird. Jeder Tunneltyp verfügt über eine eigene Protokollversion, einen eigenen Port, ein eigenes Intervall für die Schlüsselneugenerierung sowie eigene Verschlüsselungssuiten, darunter AES-GCM, AES-CBC und ChaCha20-Poly1305.

SSL-VPN & Versa

SSL-VPN ist eines von zwei Tunnelprotokollen, die der Client „ Versa “ (SASE ) verwendet, um Cloud-Gateways von „ Versa “ zu erreichen – das andere ist IPsec. Administratoren legen über SSL-VPN-Profile fest, welche Protokolle in welcher Reihenfolge verfügbar sind. In Concerto wählen clientbasierte Zugriffsregeln TLS und/oder DTLS als VPN-Typen aus; in Director legt das Profil das Zertifikat, den Adresspool und die Protokolldetails fest. TLS- und DTLS-Tunnel sind auf dem Endgerät standardmäßig deaktiviert und müssen in den App-Einstellungen des Clients aktiviert werden.

SSL-VPN arbeitet zudem mit den Funktionen für vertrauenswürdige Netzwerke von „ Versa“ zusammen. Befindet sich ein Gerät bereits hinter einem vertrauenswürdigen, durch einen Tunnel geschützten Netzwerk – beispielsweise einer Zweigstelle mit einer bestehenden SD-WAN- oder IPsec-Verbindung zum Gateway –, kann die Erkennung vertrauenswürdiger Netzwerke SSL-VPN (und IPsec) vollständig umgehen, wodurch ein redundanter Tunnel vermieden wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem SSL-VPN und einem IPsec-VPN?

SSL-VPN-Tunnel nutzen Port 443, denselben Port wie normaler HTTPS-Verkehr, und können so Firewalls passieren, die die UDP-Ports und das ESP-Protokoll von IPsec blockieren. IPsec ist im Allgemeinen effizienter, sobald die Verbindung hergestellt ist. Der „ SASE “-Client kann beide Protokolle nutzen oder bei Bedarf zwischen ihnen umschalten, um die Konnektivität sicherzustellen.

Basiert das SSL-VPN von „ Versa“ tatsächlich auf dem SSL-Protokoll?

Nein. SSL wurde aus Sicherheitsgründen bereits vor Jahren als veraltet eingestuft. Das SSL-VPN von Versabasiert auf TLS und DTLS – in der Dokumentation zu den SSL-VPN-Profilen wird für beide die Version 1.2 angegeben, während die Profile des Secure Access Service Gateway auswählbare Versionsbereiche bis einschließlich 1.3 bieten. Die Bezeichnung „SSL-VPN“ ist eine branchenübliche Bezeichnung für den browserfreundlichen Fernzugriff über Port 443 und keine Beschreibung des zugrunde liegenden Protokolls.

Was ist der Unterschied zwischen TLS- und DTLS-Tunneln?

TLS läuft über TCP und verhält sich wie Standard-HTTPS, wodurch maximale Firewall-Kompatibilität gewährleistet ist. DTLS läuft über UDP und vermeidet so den Overhead von „TCP-über-TCP“, was zu einer geringeren Latenz beim Echtzeitdatenverkehr führt. Administratoren können eines oder beide Protokolle aktivieren und festlegen, welchen Tunneltyp der Client zuerst versucht.

Warum wird bei SSL-VPN in der Regel Port 443 verwendet?

Port 443 ist der Standard-HTTPS-Port, den im Grunde jedes Netzwerk zulässt, da eine Sperrung dieses Ports auch das normale Surfen im Internet verhindern würde. Durch den Betrieb eines SSL-VPN über Port 443 kann der „ SASE “-Client einen Tunnel aus restriktiven Netzwerken herstellen, in denen die IPsec-Ports üblicherweise gesperrt sind.

In welchem Zusammenhang steht SSL-VPN mit der Erkennung vertrauenswürdiger Netzwerke?

Dank der Erkennung vertrauenswürdiger Netzwerke und der Funktion für Hostnamen vertrauenswürdiger Netzwerke kann der „ SASE “-Client SSL-VPN (und IPsec) umgehen, wenn sich das Gerät bereits in einem Netzwerk befindet, das über einen bestehenden Tunnel zum Gateway verfügt. Dadurch wird ein redundanter Tunnel für Datenverkehr vermieden, der bereits geschützt ist.

Mehr zum Thema SSL-VPN

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über SSL-VPN informieren, sollten Sie sich als Nächstes diese Artikel ansehen.