Ein VPN ist kein eigenes Netz, sondern ein Trick: Pakete werden in andere Pakete gesteckt und unterwegs geschützt. Diese Seite ordnet, wie das geht, welche Familien es gibt und was es kostet.

Sprint 6 · InputBrückenstufe 4

Eure Story: Als IT-Leitung HLG will ich Station und Lager über einen sicheren Tunnel im Hub, damit Kameras und Büros auch dann laufen, wenn eine Leitung ausfällt.

Input. Holt euch die Karte, die eure Storycard gerade braucht. Grundlage für AB 1 bis 7.

Du liest die fünf Abschnitte, siehst dir die Abbildungen an und hältst für jede Protokollfamilie einen Vorzug und einen Preis fest.

0 von 7 AB abgehakt AB-Liste öffnen

Der wichtigste Satz auf dieser Seite: Ein Tunnel verpackt ein ganzes Paket in ein neues; die neue Hülle ist offen, der Inhalt geschützt, und jede Hülle kostet Platz.

Was diese Seite ist: die fachsystematische Phase von Teil 6. Hier steht das Gerüst, das über unseren Fall hinaus trägt. Gearbeitet wird danach in den Lernangeboten und in der Storycard.

Tunneling und Kapselung

Kapselung heißt: Ein vollständiges IP-Paket mit innerer Adresse (etwa 10.30.20.15 im Lager) wird zur Nutzlast eines neuen Pakets mit äußerer Adresse (198.51.100.20 nach 203.0.113.2). Das Internet sieht nur die äußere Hülle. Am Ende des Tunnels wird ausgepackt, und das innere Paket geht weiter, als wäre es nie draußen gewesen.

Ein sicherer Tunnel verschlüsselt das innere Paket (Vertraulichkeit), sichert es mit einem Prüfwert (Integrität) und weist nach, dass es vom richtigen Gegenüber kommt (Authentizität). Die Schlüssel dafür handeln beide Enden mit einem Verfahren nach Diffie-Hellman aus, wie in Teil 5.

Bei IPsec gibt es zwei Betriebsarten: Im Tunnelmodus wird das ganze innere Paket geschützt und ein neuer IP-Kopf davorgesetzt; das ist der Fall der Standortkopplung. Im Transportmodus bleibt der ursprüngliche IP-Kopf, geschützt wird nur der Inhalt; das passt nur zwischen zwei einzelnen Geräten.

Ein Paket aus dem Lager vor dem Tunnel, in IPsec ESP im Tunnelmodus und in WireGuard verpacktOriginal im LagerIP innenTCPKamerabild (Nutzdaten)IPsec ESP im TunnelmodusIP außenESPIVIP innen · TCP · Kamerabild (verschlüsselt)TrailerICVWireGuardIP außenUDPWG-KopfIP innen · TCP · Kamerabild (verschlüsselt)Tagneue Hülle, offen lesbarverschlüsselt, von außen nicht lesbar
Dasselbe Paket ohne Tunnel, in IPsec ESP im Tunnelmodus und in WireGuard. Hell: neue, lesbare Hüllen. Dunkel umrandet: der verschlüsselte Teil mit innerem IP-Kopf. Eigene Darstellung.

Standortkopplung und Fernzugang

Standortkopplung (Site-to-Site): zwei Gateways verbinden ganze Netze dauerhaft. Die Geräte dahinter merken nichts vom Tunnel. Das braucht HLG zwischen Hub, Station und Lager.

Fernzugang (Remote Access): ein einzelnes Gerät, etwa der Laptop der Bereitschaft, verbindet sich bei Bedarf mit einem Netz. Hier zählt die Anmeldung je Person. Das ist das Thema der Wahlstory A.

Links zwei Netze dauerhaft über einen Tunnel gekoppelt, rechts ein einzelner Laptop mit Fernzugang zum Netz des HubsStandortkopplungFernzugangNetz Lager10.30.0.0/16Netz Hub10.10.0.0/16TunnelGateway zu Gateway, dauerhaft,alle Geräte dahinter nutzen ihnLaptopNetz Hub10.10.0.0/16Tunnelein Gerät zum Netz, bei Bedarf,Anmeldung je Person
Standortkopplung verbindet Netze, Fernzugang verbindet ein Gerät mit einem Netz. Eigene Darstellung.

Drei Protokollfamilien

IPsec mit IKEv2: genormt, auf fast jedem Gateway vorhanden, deshalb das Mittel der Wahl, wenn zwei verschiedene Systeme zusammenarbeiten sollen. IKEv2 handelt Schlüssel und Verfahren aus (UDP 500), die Daten laufen in ESP (IP-Protokoll 50) oder, wenn unterwegs NAT im Weg ist, in UDP 4500 verpackt (NAT-Traversal). Preis: viele Optionen, die auf beiden Seiten genau zusammenpassen müssen.

WireGuard: wenige, fest gewählte moderne Verfahren, je Gerät ein Schlüsselpaar, ein UDP-Port. Klein, schnell eingerichtet, wechselt die äußere Adresse ohne Neuaufbau. Preis: keine Zertifikate, keine Anmeldung je Person, nicht auf jedem Gateway vorhanden.

TLS-basiertes VPN: nutzt dasselbe Verfahren wie gesicherte Webseiten, kann über Port 443 laufen und kommt deshalb durch fast jedes Netz. Gut für Fernzugang mit Anmeldung. Preis: mehr Aufwand je Paket, und über TCP getunnelte TCP-Verbindungen bremsen sich bei Verlusten gegenseitig aus.

Drei Protokollfamilien nebeneinander: IPsec mit IKEv2, WireGuard und TLS-basiertes VPN mit je drei MerkmalenIPsec mit IKEv2Norm, fast jedes Systemviele OptionenUDP 500, 4500, ESPWireGuardwenige feste VerfahrenSchlüsselpaar je Gerätnur UDP, ein PortTLS-basiertkommt fast überall durchAnmeldung je PersonTCP oder UDP 443
Drei Familien, je drei Merkmale. Welche zu einer Strecke passt, entscheidet LA 12. Eigene Darstellung.

NAT und Carrier-NAT

Ein Tunnel braucht ein Ende, das man von außen erreicht. Hinter Carrier-NAT teilen sich viele Kunden eine öffentliche Adresse des Anbieters; von außen kommt niemand hinein. Deshalb muss der Standort hinter Carrier-NAT den Tunnel selbst aufbauen und ihn mit regelmäßigen kleinen Paketen (Keepalive) offenhalten, sonst vergisst das NAT die Zuordnung. Bei einer dynamischen Adresse wie an der Station hilft der DDNS-Name, oder das Hub erkennt das Gegenüber an Schlüssel oder Zertifikat statt an der Adresse.

Overhead und MTU

Die MTU ist die größte Paketlänge, die eine Leitung am Stück trägt, im Ethernet 1500 Byte. Jede Tunnelhülle braucht Platz in diesen 1500 Byte. Ist das innere Paket zu groß, wird es zerlegt oder verworfen. Typisches Bild: Ping geht, kleine Seiten laden, große Downloads hängen. Abhilfe: kleinere MTU am Tunnel und eine angepasste maximale Segmentgröße (MSS) für TCP.

Vier Balken gleicher Länge 1500 Byte: ohne Tunnel 1460 Byte Nutzlast, mit ESP 1406, mit ESP und NAT-T 1398, mit WireGuard 1400Ein volles Paket mit MTU 1500 Byte auf der Leitungohne TunnelIPTCPNutzlast 1460ESP Tunnel54Nutzlast 1406ESP mit NAT-T62Nutzlast 1398WireGuard60Nutzlast 1400Tunnelhülleninnerer IP- und TCP-Kopf (40 Byte)
Nutzlast je vollem Paket bei MTU 1500 mit den Unterrichtswerten der Kopflängen (Tabelle unten). Eigene Darstellung, nachgerechnet.

Merksatz: Ein Tunnel verpackt Pakete in Pakete. Wer von außen nicht erreichbar ist, baut selbst auf. Jede Hülle kostet Bytes, und wer die MTU vergisst, sucht den Fehler an der falschen Stelle.

Zum Nachschlagen
Kopf oder Feld Länge in Byte (Unterrichtswert) Wofür
IPv4-Kopf, ohne Optionen 20 äußere und innere Adresse
TCP-Kopf, ohne Optionen 20 innere Verbindung
UDP-Kopf 8 NAT-Traversal, WireGuard
ESP-Kopf (SPI und Folgenummer) 8 IPsec
IV bei AES-GCM 8 IPsec
ESP-Trailer (Padlänge, nächster Kopf) 2, dazu Auffüllen auf ein Vielfaches von 4 IPsec
ICV bei AES-GCM 16 IPsec, Prüfwert
WireGuard-Kopf (Typ, Empfänger, Zähler) 16 WireGuard
WireGuard-Prüfwert (Tag) 16 WireGuard
WireGuard: Auffüllen des Inhalts auf ein Vielfaches von 16 WireGuard

Die Werte gelten für IPv4 ohne Optionen und für die genannten Verfahren. Andere Verfahren haben andere Längen; deshalb stehen sie hier als Unterrichtswerte.

Weiter zu Lernangebot 12 · Tunnel und Protokolle: Jetzt wendest du das Gerüst auf die drei Standorte von HLG an.

ZurückWeiter