[align=center]
2.1: VPN - Virtual Private Network - ÜberblickEine weitere Möglichkeit um von außerhalb sicheren Zugangs zur Box zu erhalten besteht in der Verwendung eines "Virtual Private Networks" ("virtuelles privates Netzwerk") oder kurz "VPN".
Die Einrichtung ist - je nach Rahmenbedingungen - relativ aufwendig, in der späteren Benutzung ist es aber sehr einfach.
VPNs eignen sich vor allem für den Zugriff auf Boxen, die ihr praktisch ständig im Zugriff haben wollt oder müßt.Zuerst aber eine kleine Klarstellung, was ein VPN ist, denn der Begriff wird in der jüngeren Vergangenheit arg strapaziert/mißbraucht:Ein VPN dient zur Verbindung mehrerer Teil-Netze - z.B. Eures Heimnetzes und dem Eurer Eltern, Eures Smartphones - zu einem einzigen Netzwerk oder Netzwerkverbund, als ob diese direkt über Kabel (oder WLAN) miteinander verbunden wären.Das bzw. der so entstehende Netzwerk(-Verbund) ist
-
virtuell, weil es eben
keine direkte Kabel- oder WLAN-Verbindung besitzt
-
privat, weil es trotzdem ein
nach außen hin abgeschlossenes Netzwerk ist, das als solches
nicht (direkt) mit dem Internet verbunden ist
VPNs dürfen nicht mit Anonymisier- und Urheberrechtsverletzungserleichterungsdiensten a la Perfect Privacy etc. verwechselt werden.
Diese benutzen zwar die gleichen Programme um ihre Dienstlistung anzubieten, aber es sind keine VPNs im ursprünglichen Sinne die da aufgebaut werden, denn "privat" ist da nichts, vielmehr wird eine (zweite) Verbindung ins öffentliche Netz hergestellt, also das genaue Gegenteil.
Man würde das besser als VIC für "virtual internet connection" oder so bezeichnen, es gibt auch tatsächlich einen Fachbegriff dafür, aber ich komme grad nicht drauf, weil der richtige Begriff von dem falschen erdrückt würde.
Wenn ich oder andere erfahrene User von VPNs reden, dann meinen sie aber immer die Kopplung privater (im Sinne von "abgeschlossene") Netze!Was macht ein VPN bzw. was kann es?Wie oben beschrieben lassen sich örtlich getrennte Netzwerke nicht nur über Kabel und WLAN verbinden, sondern auch virtuell.
Eine Software, z.B. Dienstprogramme für IPSec oder OpenVPN, baut dazu eine hochgradig verschlüsselte Verbindung über das öffentliche Netz (Das Internet) auf und lenken jeglichen Datenverkehr, der für das Teilnetz auf der anderen Seite bestimmt ist, durch den so entstandenen "Tunnel".
Für die Benutzer und Programme auf beiden Seiten des Tunnels ist dieser Vorgang vollkommen transparent, d.h. wenn Ihr im Teilnetz 192.168.10.x sitzend eine Maschine im entfernten Teilnetz 192.168.11.x erreichen wollt, dann tut Ihr das einfach durch Angabe der Zieladresse, z.B. beim Öffnen des OpenWebif auf
http://192.168.11.20.
Es ist die VPN-Software - idealerweise auf dem Router laufend - die dann erkennt, daß dieses Netzwerk
nicht direkt verbunden ist sondern durch den VPN-Tunnel erreicht wird, den Netzwerkverkehr durch den Tunnel lenkt und die zurückkommenden Antworten wieder in Eurer Netzsegment einspeist.
Man sieht an der Beschreibung schon:
- bei der Einrichtung werden wir uns auch ein klein wenig mit dem Routing beschäftigen müssen (Was uns bei SSH völlig egal war)
aber
- bei der Benutzung ist es simpler, denn solange der Tunnel steht nutzt Ihr ganz normal z.B. die o.g. Beispiel-Adresse
http://192.168.11.20 auch von Eurem Zuhause aus, als wenn Ihr ein Notebook mitnehmt und im Netz der Eltern betreibt
VPNs werden z.B. auch verwendet
- für
Home-Offices, damit der Mitarbeiter zuhause Zugriff auf Daten aus dem Firmennetz hat, ohne daß diese im Internet preisgegeben werden müssen
- an
Universitäten/Hochschulen, damit auch Studenten die nicht in Wohnheimen mit Hochschulanschluß wohnen Zugriff auf das Campus-Netzwerk haben
BegriffsdefinitionMan unterscheidet VPNs überwiegend in die folgenden beiden Varianten:
Site-2-Site oder LAN-2-LAN-KopplungDabei werden zwei komplette Netzwerke miteinander verbunden, so daß jede Maschine in dem einen Netzwerk jede Maschine des anderen Netzwerkes ansprechen kann.
Beispiel:
Ihr habt eine eigene Wohnung und darin ein Netzwerk 192.168.10.x, Eure Eltern wohnen ganz woanders, haben aber auch ein eigenes Netzwerk 192.168.11.x.
Nach Errichtung einer LAN-2-LAN-Kopplung könntet Ihr von zuhause aus auf jedes Gerät im Netzwerk der Eltern zugreifen und umgekehrt genauso.
Road Warriors ("Straßenkämpfer")Hierbei verbindet sich ein einzelnes Gerät (Also der Road Warrior) - z.B. das eigene Smartphone, Tablet, Notebook, ... - von außerhalb in das heimische Netzwerk und kann danach alle Dienste daraus auch von unterwegs nutzen.
Andere Geräte im selben Netzwerk wie der Road Warrior kriegen davon nichts mit und erlangen auch keinen Zugriff auf das Heimnetz (Wäre ja auch noch schöner, wenn Ihr an einem WLAN-Hotspot wildfremden Leuten den Zugriff auf Euer Heimnetz gewähren würdet, nur weil Ihr Euch mit eurem Handy dorthin verbindet
).
Entsprechend dieser beiden Möglichkeiten werdet Ihr später auch vor der Entscheidung stehen, was von beidem Ihr wollt.
Wichtige Überlegungen vorabEine der größten Geißeln von IPv4 betrifft uns unmittelbar bei der Errichtung eines VPN: Der Adressmangel!
TCP/IP funktioniert derart, daß
jedes Gerät eine eindeutige IP-Adresse besitzt. Das
ist bei IPv4 aber schon ewig nicht mehr der Fall, fast jedem Heimnetz stehen nur die privaten Adressbereiche 192.168/16, 172.16/12 und/oder 10/8 zur Verfügung.
Der weitaus größte Teil aller Heimnetze nutzt Adressen aus dem kleinsten dieser Bereiche, nämlich 192.168/16, also z.B. 192.168.178.x (Standardbereich bei Fritz!Boxen), 192.168.1.y oder 192.168.0.z (Standardbereiche der meisten anderen Router).
Normalerweise juckt es uns auch nicht, daß wir dieselben Adressen nutzen wie noch 20 Nachbarn von uns, da die Geräte aus diesen Netzen i.d.R. niemals direkt miteinander kommunizieren müssen.
Gegenüber dem Internet erscheint unser komplettes Heimnetz als ein einziges Gerät mit einer einzigen IPv4: Der, die der Internet-Providers unserem Router zuweist.
Wenn wir einen VPN-Zugang einrichten, kommen aber plötzlich meistens doch solche privaten Adressbereiche in Berührung, nämlich mindestens
- der Adressbereich unseres Heimnetzes
und
- der Adressbereich des Heimnetzes des Bekannten/Verwandten, aus dessen Netz wir auf unser Netz zugreifen wollen - oder - das CGNAT im Mobilfunk
Ein VPN zu unserem Heimnetz wird nicht - bzw. nur mit erheblichen Klimmzügen - funktionieren, wenn sowohl zuhause das Netzwerk 192.168.178.x verwendet wird, als auch in dem Netzwerk, in dem wir uns beim Aufbau befinden:
Der Webbrowser Eures Smartphones kann z.B. beim Aufruf der IP 192.168.178.25 schlichtweg nicht wissen, ob Ihr
Eure heimische vusolo4k mit dieser IPv4 meint oder
das Notebook Eures Onkels mit derselben IPv4 in seinem Haus.
Das Problem ist aber nicht nur auf die unmittelbar in Verbindung stehenden Netzwerke beschränkt, sondern erstreckt sich auch auf alle weiteren Netzwerke, die mit einer der beiden Seiten bereits in Kontakt stehen.
Angenommen Ihr habt zuhause das Netzwerk 192.168.178.x gewählt und habt dort bereits eine LAN-2-LAN-VPN-Kopplung mit einem Netzwerk 192.168.1.y, dann wird es für Euch unterwegs sowohl in LANs mit dem Adressbereich 192.168.178.x als auch in LANs mit dem 192.168.1.x zu Problemen kommen! Euer Router zuhause kann dann nämlich nicht wissen, ob die IPv4 192.168.1.40 (Einfach nur als Beispiel) in das eine oder das andere der beiden Netze mit demselben Adressbereich gehört.
Damit aber nicht genug, denn Ihr steht darüber hinaus oft auch noch unbewußt mit weiteren privaten Adressbereichen in Kontakt!
Oft liest man von den ganz cleveren Leuten, daß sie aus den vorgenannten Gründen zuhause einen Adressbereich aus dem Bereich 10/8, also z.B. 10.173.5.x verwenden, weil dieser ja sonst kaum von jemandem benutzt wird.
Wenn Ihr Euch aber z.B. mit "Network Info II" auf Eurem Smartphone anguckt, was für eine Adresse Ihr im Mobilfunk bekommt, werden Ihr feststellen, daß es eine aus eben diesem Adressbereich ist ...
Darüber hinaus wird dieser Adressbereich auch von den dt. Kabelnetzbetreibern zwischen Kabel-Modem und CMTS (Grob vereinfacht die "Kopfstation") verwendet.
Was folgern wir nun daraus?
Um das VPN in möglichst vielen fremden Netzen störungsfrei aufbauen zu können, sollte unser Heimnetz keinen der völlig überlaufenen Adressbereiche nutzen
Meidet auf jeden Fall:
192.168.0.x (Standardbereich vieler Router)
192.168.1.x (Standardbereich vieler Router)
192.168.100.x (Wird von Bridges verwendet, z.B. Kabel-Modems und Medien-Konvertern (Glasfaser) )
192.168.178.x (Standardbereich der Fritz!Boxen)
192.168.179.x (Gastnetz der Fritz!Boxen)
Und von
10.x.y.z halte ich aus dem vorgenannten Grund (Mobilfunk, Kabel-Anschluß) auch nicht viel.
Ich bin inzwischen dazu übergegangen, das Geburtsjahr des Hauptnutzers zu nehmen oder die Quersumme aus dem Geburtsdatum zu bilden oder sonst irgendwas, mit dem eine möglichst krumme Zahl ungleich 0, 1, 100, 178 und 179 rauskommt, und im Bereich 192.168/16 zu bleiben.
Aus dem 23.5.[19]78 würde z.B. 23+5+78 = 106, 192.168.106.x ist zumindest schon mal ungebräuchlicher als 192.168.1.x
Eine weitere Möglichkeit besteht in der Nutzung des Adressbereich 172.16/12, also der Bereich von 172.16.0.0 - 172.31.255.255. Diesen Bereich nutzen wirklich die allerwenigsten. Das Tolle ist, man kann auf jeden Fall z.B. seinen Geburtsmonat auf die 16 draufrechnen und erhält damit 17 für Januar, 18 für Februar, 19 für März, ... 28 für Dezember.
Diese Überlegungen solltet Ihr auf jeden Fall anstellen
bevor Ihr Euer VPN einrichtet und ggf. vorher schon Euer Heimnetz entsprechend modifiziern, da die verwendeten IPs auch in die VPN-Konfiguration einfließen.
Nichts wäre ärgerlicher, als nach der ganzen Konfiguriererei festzustellen, daß nicht viel geht, wenn Ihr sowohl beim Onkel als auch zuhause dieselben IPs nutzt ...
Ein Hinweis dazu am Rande: Spätestens wenn Ihr mit der Fritz!Box selber eine LAN-2-LAN-Kopplung einrichten wollt, wird Euch diese dazu zwingen, sogar
auf beiden Seiten ein anderes Netz als 192.168.178.x einzustellen.[/align]
- wird es auch immer interessanter, von unterwegs Zugriff auf die Box zu haben.
[/align]
[/align]
[/align]