Grundlagen der Netzwerksicherheit

Ein Netzwerkangriff nutzt eine Schwachstelle aus, um Schaden anzurichten. Wenn du die Schwachstelle und die belastete Ressource benennst, kannst du eine tatsächlich wirksame Gegenmaßnahme wählen.

Ordne dem Angriff die Schwachstelle zu

Eine Bedrohung kann Schaden verursachen: ein Angreifer, eine interne Person oder ein Brand. Eine Schwachstelle ist eine Schwäche, etwa alte Firmware oder ein Standardpasswort. Ein Exploit ist die Technik oder der Code, der gegen diese Schwäche eingesetzt wird. Eine Gegenmaßnahme beseitigt die Schwäche oder verringert ihre Auswirkungen. Bei einem verwundbaren VPN-Anmeldedienst ist die Sicherheitslücke die Schwachstelle, der Angriffscode der Exploit und die Installation der Korrektur des Herstellers die Gegenmaßnahme. Das Abschalten des öffentlich erreichbaren Dienstes kann das Risiko verringern, während das Update vorbereitet wird.

Die Angriffsfläche umfasst die Ansatzpunkte, die ein Angreifer ausprobieren kann: Dienste, Ports, Konten, Geräte und Funknetzwerke. Das Deaktivieren eines ungenutzten Verwaltungsdienstes beseitigt einen Einstiegspunkt. Wenn du diesem ungenutzten Dienst ein weiteres Passwort hinzufügst, bleibt der Einstiegspunkt bestehen.

Unterscheide drei Arten der Überlastung

Ein Denial-of-Service-Angriff (DoS) macht einen Dienst unerreichbar. Ein verteilter DoS-Angriff (DDoS) nutzt viele Quellen, häufig kompromittierte Geräte, die als Botnetz gesteuert werden. Blockierst du eine Adresse, senden die anderen Quellen weiter Verkehr.

Bei einem SYN-Flood kommen viele TCP-Handshakes zum Stillstand, nachdem der Server SYN-ACK gesendet hat. Das letzte ACK trifft nie ein, sodass halboffene Verbindungen in einer Warteschlange warten. SYN-Cookies ermöglichen dem Server, erst Verbindungszustände zu speichern, wenn der Client den Handshake abgeschlossen hat. Begrenzungen der Verbindungsrate und kürzere Zeitüberschreitungen können die Belastung ebenfalls verringern.

Verfolge Reflexion und Verstärkung

Bei der Reflexion fälscht ein Angreifer in Anfragen an andere Server die Quelladresse des Opfers. Diese Server antworten dem Opfer. Bei der Verstärkung sind die Antworten größer als die Anfragen. UDP-basierte Dienste sind dafür attraktiv, weil es keinen anfänglichen Verbindungs-Handshake gibt, der die angegebene Quelle prüft.

Angenommen, 500 Bots senden jeweils Anfragen mit 4 Mbit/s. Zusammen beträgt ihre Anfragerate 2.000 Mbit/s oder 2 Gbit/s. Eine Anfrage von 60 Byte, die eine Antwort von 3.000 Byte auslöst, ergibt einen Verstärkungsfaktor von 50. Ohne weiteren Protokoll-Overhead erhält das Opfer etwa 100 Gbit/s. Die großen Antworten stammen von den reflektierenden Servern, obwohl der Angreifer wesentlich weniger Verkehr gesendet hat.

Setze die Abwehr vor dem Engpass an

Ist die eingehende Verbindung bereits voll ausgelastet, empfängt die Firewall der Organisation nur den Verkehr, der durch diese Verbindung gelangt. Das Verwerfen von Angriffspaketen an dieser Stelle kann die vorgelagert verlorene Kapazität nicht wiederherstellen. Der Internetanbieter oder ein Cloud-Bereinigungsdienst muss eine große volumenbasierte Datenflut filtern, bevor sie die Unternehmensverbindung erreicht. Wer offene DNS-Resolver vermeidet und gefälschte Quelladressen filtert, macht sein Netzwerk für Angreifer ebenfalls weniger nützlich.

Ein Verkehrsanstieg allein reicht nicht aus, um einen Angriff zu erkennen. Vergleiche Verbindungszahlen, halboffene Sitzungen, Anfragemuster und CPU-Auslastung mit der normalen Leistungsbaseline. Auch eine stark besuchte Verkaufsaktion kann die legitime Nachfrage erhöhen.

Lokale Netzwerke verlassen sich auf gelernte Informationen: Über welchen Port ist eine MAC-Adresse erreichbar, welche MAC-Adresse gehört zu einem Gateway und welcher Server beantwortet eine Namensabfrage? Angreifer können diese Informationen ersetzen und Verkehr umleiten.

Erkenne eine Position im Kommunikationsweg

Ein On-Path-Angriff, auch Man-in-the-Middle-Angriff genannt, leitet die Kommunikation über den Angreifer. Dieser kann unverschlüsselten Verkehr lesen, verändern oder verwerfen. HTTPS und SSH schützen Inhalte auch dann, wenn der Weg über ein nicht vertrauenswürdiges Gerät führt, sofern die Identitätsprüfungen erfolgreich sind.

MAC-Flooding sendet viele gefälschte Quell-MAC-Adressen, um die Adresstabelle eines Switches zu füllen. Frames für unbekannte Ziele können dann innerhalb des VLANs per Flooding verteilt werden, sodass der Verkehr an andere Ports gelangt. Port Security begrenzt die an einem Port gelernten Adressen. Die Auswirkung einer vollen Tabelle hängt vom Switch ab. Prüfe daher sein Verhalten, statt anzunehmen, dass jeder Frame sichtbar wird.

Verfolge eine gefälschte ARP-Zuordnung

ARP ordnet einer lokalen IPv4-Adresse eine MAC-Adresse zu. Beim ARP-Spoofing sendet ein Angreifer falsche ARP-Nachrichten. ARP-Poisoning ist der daraus entstehende falsche Cache-Eintrag.

Ein PC unter 192.168.1.50 erwartet, dass das Gateway 192.168.1.1 die MAC-Adresse 00:1A:2B:3C:4D:5E hat. Eine gefälschte Antwort behauptet, das Gateway verwende 00:AA:BB:CC:DD:EE. Der PC sendet nun Frames für das Gateway an diese Adresse. Leitet der Angreifer sie weiter, kann die Verbindung weiterhin funktionieren, während er sich im Kommunikationsweg befindet. Vergleiche arp -a mit der bekannten Adresse des Gateways; die eigene IP-Adresse des Angreifers muss nicht im Cache erscheinen. Dynamic ARP Inspection (DAI) weist Zuordnungen zurück, die seine Prüfungen nicht bestehen.

Unterscheide drei Arten der Client-Umleitung

Ein falsches DHCP-Gateway kann gerouteten Verkehr über den Angreifer leiten. Ein falscher DNS-Server kann ausgewählte Namen umleiten. DHCP-Snooping blockiert Serverantworten von nicht vertrauenswürdigen Ports. DNSSEC prüft signierte DNS-Daten; es verschlüsselt den DNS-Verkehr nicht. Ein manipulierter DNS-Cache-Eintrag bleibt bis zur Entfernung oder zum Ablauf bestehen, ein schädlicher Eintrag in der Hosts-Datei dagegen bis zu seiner Entfernung.

Prüfe WLAN- und VLAN-Grenzen

Ein nicht autorisierter Access Point wird ohne Erlaubnis mit dem kabelgebundenen Netzwerk verbunden und eröffnet einen unerwünschten drahtlosen Zugang. Ein Evil Twin kopiert eine legitime SSID, um Clients anzulocken. WLAN-Überwachung, kabelgebundenes 802.1X und die korrekte Prüfung des Zertifikats des Authentifizierungsservers helfen, diese Angriffe zu verhindern. Ein vertrauter Netzwerkname allein weist keinen vertrauenswürdigen Access Point nach.

VLAN-Hopping umgeht die vorgesehene Routinggrenze. Switch-Spoofing gelingt, wenn ein Endgerät einen Trunk aushandelt. Double Tagging nutzt ein Access-VLAN aus, das zugleich ein ungetaggtes natives VLAN eines Trunks ist: Ein Switch entfernt den äußeren Tag und legt dadurch den inneren Ziel-Tag für den nächsten Switch frei. Dieser Weg funktioniert im Allgemeinen nur in eine Richtung. Fest konfigurierte Access-Ports, statische Trunks, deaktivierte Aushandlung und ein ungenutztes natives VLAN schließen diese Wege.

Ein Angreifer kann Netzwerkzugang erlangen, indem er eine Person überredet, ein Passwort stiehlt oder ein Gerät anschließt. Eine technisch einwandfreie Firewall kann nicht prüfen, ob ein Anrufer die Wahrheit sagt, wenn er behauptet, vom Helpdesk zu sein.

Lies die Anfrage, bevor du reagierst

Social Engineering nutzt Zeitdruck, Autorität oder Hilfsbereitschaft, um Zugang zu erhalten. Phishing nutzt irreführende Nachrichten; Spear-Phishing richtet sich gegen eine bestimmte Person oder Rolle. Vishing nutzt Sprachanrufe und Smishing Textnachrichten. Eine dringende Nachricht, die dich zur Anmeldung unter einer unbekannten Domäne auffordert, ist ein Anlass innezuhalten und die Anfrage über einen bekannten Kanal zu prüfen. Melde die Nachricht und öffne den Dienst über seine bekannte Adresse.

Jemanden bei der Passworteingabe zu beobachten, heißt Shoulder Surfing. Das Durchsuchen weggeworfener Dokumente oder ausrangierter Geräte heißt Dumpster Diving. Einer Person mit Ausweis durch eine verschlossene Tür zu folgen, heißt Tailgating. Diese Methoden nutzen alltägliche Arbeitsgewohnheiten aus. Deshalb sind Ausweisverfahren, sichere Entsorgung und die Begleitung von Besuchern neben technischen Schutzmaßnahmen wichtig.

Unterscheide Schadsoftware nach ihrer Wirkung

Diese Bezeichnungen können sich überschneiden. WannaCry war Ransomware, die sich im Mai 2017 außerdem als Wurm über verwundbare SMBv1-Dienste auf TCP 445 verbreitete. Das Einspielen von Patches, das Deaktivieren von SMBv1, das Filtern dieses Dienstes und das Trennen von Netzwerksegmenten begrenzten die Ausbreitung. Endgeräteschutz hilft, Schadsoftware zu erkennen, doch neue Bedrohungen und Passwortdiebstahl erfordern weiterhin andere Maßnahmen. Sicherungen außerhalb der Reichweite von Ransomware unterstützen die Wiederherstellung.

Erkenne, was der Passwortangreifer ausprobiert

Brute Force probiert Kombinationen aus. Ein Wörterbuchangriff probiert wahrscheinliche Wörter, geleakte Passwörter und Varianten aus. Password Spraying probiert wenige häufige Passwörter an vielen Konten aus. Credential Stuffing testet Benutzername-Passwort-Paare, die von anderen Diensten gestohlen wurden. Spraying verteilt Versuche auf mehrere Nutzer; Stuffing nutzt die Wiederverwendung von Passwörtern aus.

Ein Online-Angreifer trifft auf Verzögerungen und Sperren des erreichbaren Dienstes. Ein Offline-Angreifer testet gestohlene Passwort-Hashes, ohne den Anmeldedienst zu kontaktieren. Daher kann die Sperre dieses Dienstes die Versuche nicht verlangsamen. Lange, einzigartige Passwörter, ein Passwortmanager, Prüfungen auf geleakte Passwörter und langsames Passwort-Hashing mit Salt begegnen verschiedenen Teilen des Problems.

Sichere die verbleibenden Zugangswege

Mehrfaktorauthentifizierung (MFA) verlangt unterschiedliche Faktorarten, sodass ein Passwort allein nicht genügt. Hardware-Sicherheitsschlüssel können Phishing widerstehen, das Passwörter und Einmalcodes abfängt. Gewöhnliche codebasierte MFA kann weiterhin durch Phishing ausgehebelt werden; Nutzer müssen daher prüfen, wo sie sich anmelden.

Verschließe Netzwerkräume und Racks. Konsolenzugang zusammen mit einem Neustart kann einem Eindringling ermöglichen, das Passwortwiederherstellungsverfahren eines Geräts zu nutzen. Ein Besucher, der einen offenen Switch-Port erreichen kann, kann ein nicht autorisiertes Gerät anschließen, selbst ohne das WLAN-Passwort zu kennen.

Segmentierung trennt Gerätegruppen und kontrolliert die Kommunikation zwischen ihnen. Sie begrenzt laterale Bewegung, also das Vordringen eines Angreifers von einem kompromittierten Gerät zu anderen erreichbaren Systemen.

Trenne Gruppen und kontrolliere Übergänge

Physische Segmentierung nutzt getrennte Geräte; bei einem Air Gap besteht keine Verbindung zu anderen Netzwerken. VLANs ermöglichen logische Segmentierung auf gemeinsam genutzten Switches. Jedes VLAN ist eine Broadcast-Domäne auf Schicht 2, normalerweise mit einem eigenen Subnetz.

Ein Router, Layer-3-Switch oder eine Firewall verbindet VLANs. Wende dort ACLs oder Firewall-Regeln an. VLANs ohne Filterung zu erstellen, lässt geroutete Kommunikation offen: Die Trennung von Broadcasts allein ist keine Zugriffsrichtlinie.

Gruppiere Geräte nach ihren Anforderungen

Trenne Mitarbeiter, Server, Sprache, Gäste, Management und IoT-Geräte. Private BYOD-Geräte erhalten meist eingeschränkten Zugang. OT, also Betriebstechnik, steuert physische Prozesse und benötigt strikte Isolierung, weil Ausfälle physische Folgen haben und das Einspielen von Patches schwierig sein kann.

Verwaltungsschnittstellen sollten Verbindungen nur von zugelassenen Administratorquellen annehmen. Gäste benötigen Internetzugang ohne internen Zugang; Kameras benötigen ihren Rekorder. Wirksame Isolierung kann auch die Anzahl der Systeme verringern, die in eine Sicherheitsprüfung für Zahlungskarten einbezogen werden. Weise diese Isolierung anhand der tatsächlich erlaubten Wege nach.

Setze Anforderungen in Regeln um

Verwende VLAN 10 Mitarbeiter auf 10.10.10.0/24, VLAN 20 Server auf 10.10.20.0/24, VLAN 30 Gäste auf 10.10.30.0/24, VLAN 40 Kameras auf 10.10.40.0/24 und VLAN 99 Management auf 10.10.99.0/24.

Verweigere andere Datenflüsse zwischen den Segmenten. Das ist das Default-Deny-Prinzip: Bestimme die benötigte Quelle, das Ziel, das Protokoll und den Dienst und blockiere dann den Rest. Eine Regel von der Kamera zum Rekorder sollte dem Kamerasubnetz nicht zugleich jeden Server öffnen.

Teste den tatsächlichen Dienst

Teste von jedem Segment aus eine benötigte und eine verbotene Verbindung. Ein Gast sollte eine zugelassene öffentliche Seite laden können, aber die HTTPS-Oberfläche des internen Druckers nicht öffnen können. Eine Kamera sollte ihren Rekorder erreichen, aber keine Mitarbeiter-PCs. Prüfe, ob sich der Zähler oder das Protokoll der erwarteten Regel ändert.

Ping prüft nur ICMP. Ein fehlgeschlagener Ping zeigt nicht, ob TCP 443 erreichbar ist. Wiederhole Diensttests nach Änderungen am Routing, an VLANs oder an der Firewall.

VLAN-Sicherheit hängt davon ab, Endgeräte an Access-Ports zu halten und zu kontrollieren, was Trunks übertragen. VLAN-Tags kennzeichnen Verkehr; sie verschlüsseln ihn nicht und authentifizieren seinen Absender nicht.

Verhindere, dass Endgeräte Trunks bilden

Ein Access-Port bedient ein Endgeräte-VLAN. Ein Trunk überträgt mehrere VLANs mithilfe von 802.1Q-Tags. Sein natives VLAN überträgt ungetaggten Verkehr, sofern das Tagging des nativen VLANs nicht aktiviert ist.

Beim Switch-Spoofing gibt sich ein Endgerät als Switch aus und handelt über Cisco DTP einen Trunk aus. Setze Endgeräteports statisch auf den Access-Modus, tatsächliche Trunks statisch auf den Trunk-Modus und deaktiviere die Aushandlung.

Beseitige den Weg für Double Tagging

Double Tagging setzt voraus, dass das Access-VLAN des Angreifers einem ungetaggten nativen VLAN eines Trunks entspricht. Der Angreifer fügt einen äußeren Tag für das native VLAN und einen inneren Tag für das Ziel-VLAN hinzu. Wird der äußere Tag entfernt, liegt der Ziel-Tag für den nächsten Switch frei. Der übliche Weg funktioniert nur in eine Richtung, kann aber trotzdem schädlichen Verkehr einschleusen.

Verwende ein ungenutztes natives VLAN ohne Endgeräte oder aktiviere das Tagging des nativen VLANs. Stelle an beiden Enden dasselbe native VLAN ein: Andernfalls können ungetaggte Frames an den gegenüberliegenden Enden in unterschiedliche VLANs gelangen. Halte Nutzer, Server und Management aus VLAN 1 und dem nativen VLAN heraus.

Konfiguriere und überprüfe die Rollen

Dieses Cisco-IOS-Beispiel konfiguriert einen Port für ein Mitarbeiter-Endgerät und einen Uplink. VLAN 999 ist ungenutzt; nur die aufgeführten aktiven VLANs benötigen den Trunk.

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport nonegotiate
!
interface GigabitEthernet1/0/48
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30,99

Ältere Switches mit ISL-Unterstützung benötigen möglicherweise zuerst switchport trunk encapsulation dot1q. Begrenze die Liste der zugelassenen VLANs auf den tatsächlichen Bedarf der Gegenstelle. Prüfe mit show interfaces trunk die aktiven Trunks, nativen VLANs und Listen der zugelassenen VLANs und mit show interfaces GigabitEthernet1/0/5 switchport den Betrieb im statischen Access-Modus.

Schließe ungenutzte Ports und isoliere Geräte voneinander

Deaktiviere ungenutzte Ports und weise sie einem Parkplatz-VLAN ohne Routing zu, etwa VLAN 998. Eine aktive freie Netzwerkdose bietet weiterhin eine Verbindung; das Parkplatz-VLAN begrenzt die Erreichbarkeit, falls ein Port versehentlich aktiviert wird.

Isolierte Ports eines privaten VLANs erreichen den Promiscuous-Port, normalerweise in Richtung eines Gateways, aber nicht einander. Community-Ports erreichen zusätzlich ihre eigene Community. Die Client-Isolierung im WLAN bietet eine vergleichbare Trennung der Geräte untereinander. Regeln an der Routinggrenze kontrollieren weiterhin den Verkehr, der diese Gruppen verlässt.

Eine Zugriffskontrollliste (ACL) prüft Pakete anhand geordneter Erlaubnis- und Verweigerungseinträge. Der erste passende Eintrag bestimmt das Ergebnis. Trifft kein Eintrag zu, verwirft eine implizite Verweigerung das Paket.

Wähle die benötigten Felder

Eine Standard-IPv4-ACL prüft nur die Quelladresse. Eine erweiterte ACL kann Protokoll, Quelle, Ziel und TCP- oder UDP-Ports prüfen. Nummerierte Cisco-Standardlisten verwenden 1–99 oder 1300–1999; erweiterte Listen verwenden 100–199 oder 2000–2699. Benannte Listen machen ihren Zweck leichter erkennbar und verwenden Sequenznummern zur Bearbeitung.

Adressbereiche in Cisco-ACLs verwenden Wildcard-Masken. Ein Nullbit muss übereinstimmen; ein Einsbit wird ignoriert. Für ein Subnetz ziehst du seine Subnetzmaske von 255.255.255.255 ab. Ein /24 verwendet 0.0.0.255. Der Bereich 192.168.10.64/26 verwendet 0.0.0.63 und umfasst .64 bis .127. host 10.10.20.10 trifft auf eine Adresse zu; any trifft auf jede Adresse zu. Die Eingabe von 255.255.255.0 als Wildcard-Maske würde die ersten drei Oktette ignorieren und auf ein letztes Oktett mit dem Wert null prüfen, statt auf das beabsichtigte /24.

Lies eine vollständige Richtlinie

Diese benannte Liste filtert Verkehr, der von Mitarbeitern beim Router eingeht:

ip access-list extended STAFF-IN
 10 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.10 eq 443
 15 permit udp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 16 permit tcp 10.10.10.0 0.0.0.255 host 10.10.20.53 eq 53
 20 deny ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255
 30 permit ip 10.10.10.0 0.0.0.255 any

Verfolge jeweils ein Paket:

1. Der Mitarbeiter-PC 10.10.10.25 sendet TCP 443 an 10.10.20.10. Eintrag 10 trifft zu, daher wird das Paket erlaubt.
2. Derselbe PC sendet TCP 3389 an diesen Server. Die Einträge 10, 15 und 16 treffen nicht zu; Eintrag 20 trifft zu und verweigert das Paket.
3. Der PC sendet TCP 443 an den öffentlichen Server 203.0.113.80. Eintrag 20 trifft auf dieses Ziel nicht zu; Eintrag 30 erlaubt das Paket.
4. Ein Paket mit der Gästequelle 10.10.30.7 trifft auf keinen dieser Einträge für Mitarbeiterquellen zu. Die implizite Verweigerung verwirft es.

DNS benötigt sowohl UDP 53 als auch TCP 53, unter anderem TCP für Antworten, die nicht über UDP abgeschlossen werden können. Würde Eintrag 30 vor Eintrag 20 stehen, wäre Mitarbeiterverkehr zu jedem Server erlaubt und der Verweigerungseintrag würde nie erreicht. Würde Eintrag 30 entfernt, wäre der übrige Mitarbeiterverkehr einschließlich des Internetzugangs blockiert.

Wende die Liste am Übergang der Pakete an

Auf der Schnittstelle des Mitarbeiter-VLANs filtert ip access-group STAFF-IN in Pakete, die von Mitarbeitern beim Router eingehen. Die Richtung bezieht sich auf die Router-Schnittstelle, nicht auf den Nutzer. out prüft Pakete, die diese Schnittstelle verlassen. Auf eine Schnittstelle kann je Protokoll und Richtung eine Liste angewendet werden.

Erweiterte ACLs stehen üblicherweise nahe an der Quelle, um unerwünschten Verkehr früh zu verwerfen. Standard-ACLs stehen üblicherweise nahe am Ziel: Da sie Ziele nicht unterscheiden können, könnte eine frühe Verweigerung allein anhand der Quelle andere benötigte Wege blockieren.

Prüfe Antworten ebenso wie Anfragen

Diese Router-ACLs sind zustandslos. Eine Antwort, die von einer anderen ACL geprüft wird, benötigt eine eigene Erlaubnis. Das Cisco-Schlüsselwort established prüft TCP-ACK- oder RST-Flags; es ist keine Zustandstabelle und hilft nicht bei UDP.

Prüfe mit show access-lists die Trefferzähler und bestätige mit show ip interface die Zuordnung und Richtung. Null Treffer können auf einen Eintrag hinweisen, der durch eine frühere Regel verdeckt wird. Ein abschließendes ausdrückliches deny ip any any log macht verweigerten Verkehr sichtbar. Belasse bei Cisco-IPv6-ACLs die nötigen Erlaubnisse für die Nachbarerkennung: Eine ausdrückliche pauschale Verweigerung vor diesen Erlaubnissen kann die lokale Verbindung außer Funktion setzen.

Eine Firewall wendet eine Verkehrsrichtlinie zwischen Netzwerken oder auf einem einzelnen Host an. Wähle das Prüfverfahren danach, welche Entscheidung sie treffen muss.

Vergleiche Prüfverfahren

Eine zustandsbehaftete Firewall, die TCP 10.10.10.25:51514 an 203.0.113.80:443 erfasst, kann die Antwort in umgekehrter Richtung erkennen. Eine nicht zugehörige eingehende Verbindung erhält nicht allein deshalb eine Erlaubnis, weil sie Quellport 443 verwendet. Ein zustandsloser Filter benötigt dagegen passende Regeln für Antworten.

Ein Anwendungsproxy beendet die Verbindung des Clients und öffnet eine weitere zum Server. Eine WAF ist auf Webanfragen spezialisiert, einschließlich Angriffen wie SQL-Injection. Eine Next-Generation-Firewall (NGFW) ergänzt Anwendungserkennung, Nutzerrichtlinien und Funktionen wie IPS oder URL-Filterung. Eine UTM-Appliance bündelt Sicherheitsfunktionen für kleinere Organisationen.

Prüfe Adressen und übertragene Inhalte

URL-Filterung prüft Webadressen oder Kategorien. Inhaltsfilterung untersucht übertragene Inhalte wie ausführbare Dateien oder vertrauliche Dokumente. Die Erlaubnis für TCP 443 allein kann eine geschäftliche Website nicht von Schadsoftware oder einem Fernzugriffswerkzeug unterscheiden, das HTTPS nutzt.

TLS-Inspektion entschlüsselt und prüft den Verkehr und verschlüsselt ihn erneut. Clients müssen der zugehörigen Zertifizierungsstelle vertrauen. Beachte die Anforderungen der Organisation und des Datenschutzes, einschließlich Ausnahmen für sensible Kategorien.

Lies eine geordnete Richtlinie

Betrachte diese Regeln nach dem First-Match-Prinzip:

1. Intern nach extern über TCP 80/443 und zugelassenes DNS, UDP/TCP 53, erlauben.
2. Extern zum Webserver 172.16.1.10 in der demilitarisierten Zone über TCP 443 erlauben.
3. Administrator-PCs 10.10.10.5 und .6 zu diesem Server über TCP 22 erlauben.
4. Demilitarisierte Zone nach intern verweigern und protokollieren.
5. Den Rest verweigern und protokollieren.

Ein interner Browser trifft auf Regel 1 zu. SSH von außen zum Webserver erreicht Regel 5, weil es weder veröffentlichtes HTTPS noch Verkehr von einem benannten Administrator ist. Ein kompromittierter öffentlicher Server, der eine SMB-Verbindung nach intern aufbaut, trifft auf Regel 4. Passende Antworten werden nach der zustandsbehafteten Richtlinie behandelt.

Verwende bestimmte Quellen, Ziele und Dienste und setze eng begrenzte Ausnahmen vor allgemeinere Regeln. Halte Zweck, Verantwortlichen und Prüfdatum fest. Prüfe Protokolle und entferne veraltete Freigaben oder verdeckte Regeln.

Eine Host-Firewall schützt ein Gerät, auch einen Laptop auf Reisen. Eine Netzwerk-Firewall schützt Verkehr, der ihre Grenze überschreitet. Interne Angriffe können den Übergang zum Internet umgehen, verwende daher beide.

Ein öffentlicher Server muss einen Teil des Internetverkehrs annehmen, sollte deshalb aber keinen uneingeschränkten Zugang zu internen Systemen erhalten. Sicherheitszonen machen diese unterschiedlichen Berechtigungen sichtbar.

Platziere öffentliche Dienste in einer demilitarisierten Zone

Eine Sicherheitszone fasst Schnittstellen oder Netzwerke mit einer gemeinsamen Richtlinie zusammen. Intern ist üblicherweise die vertrauenswürdige Zone, extern das Internet, und ein abgeschirmtes Subnetz, auch DMZ genannt, enthält öffentliche Dienste. „Vertrauenswürdig“ beschreibt die Zuordnung zur Richtlinie; infizierte Geräte können dort trotzdem vorkommen.

Erlaube von extern zur demilitarisierten Zone nur veröffentlichte Dienste. Verweigere Verkehr von extern nach intern, lasse aber Antworten auf Verbindungen zu, die die zustandsbehaftete Firewall von intern erlaubt hat. Verweigere Verbindungen, die von der demilitarisierten Zone nach intern aufgebaut werden, bis auf eng begrenzte, benannte Abhängigkeiten. So kann etwa ein Webserver einen Datenbankport zu einer bestimmten internen Datenbank benötigen. Administrativer Zugang sollte von benannten Administrator-Hosts kommen.

Eine Firewall mit drei Schnittstellen kann diese Grenzen durchsetzen. Alternativ lässt sich die demilitarisierte Zone zwischen einer äußeren und einer inneren Firewall einrichten. Letzteres schafft getrennte Richtliniengrenzen, benötigt aber mehr Geräte und Verwaltungsaufwand. Ein Angreifer, der einen öffentlichen Server durch eine erlaubte äußere Regel erreicht, trifft weiterhin auf die inneren Regeln; die erlaubten Abhängigkeiten bestimmen, was er noch erreichen kann.

Kombiniere Veröffentlichung und Erlaubnis

Veröffentliche den privaten Webserver 172.16.1.10, indem du die öffentliche Adresse 203.0.113.10 auf TCP 443 auf seinen privaten TCP-443-Dienst übersetzt. Das ist Ziel-NAT oder Portweiterleitung. Die Firewall benötigt sowohl die Übersetzung als auch eine Regel, die die veröffentlichte Verbindung erlaubt. Die Übersetzung ändert die Adressierung; die Regel entscheidet über die Erlaubnis. Produkte unterscheiden sich darin, ob eine Regel die Adresse vor oder nach der Übersetzung nennt. Prüfe daher, auf welche Adresse die Regel tatsächlich zutrifft.

Wähle Erkennung oder Verhinderung

Ein IDS erhält eine Kopie des Verkehrs über einen Spiegelungsport oder TAP und gibt Warnmeldungen aus. Es kann die ursprünglichen Pakete nicht direkt verwerfen. Ein IPS liegt direkt im Verkehrspfad und kann Verkehr blockieren, auch legitimen Verkehr, der fälschlich als schädlich eingestuft wird. Ein bei Ausfall durchlässiges IPS lässt Verkehr während eines Ausfalls passieren; ein bei Ausfall sperrendes IPS blockiert ihn.

Signaturerkennung gleicht bekannte Muster ab und benötigt aktuelle Signaturen. Anomalieerkennung vergleicht Verhalten mit einer normalen Baseline und kann ein neues Muster als auffällig markieren. Sie muss ebenfalls abgestimmt werden: Eine große geplante Sicherung kann Datendiebstahl ähneln.

Nur die positiven Ergebnisse erzeugen Warnmeldungen. Eine Warnmeldung ist ein Befund, der untersucht werden muss, während ein übersehener Angriff möglicherweise überhaupt keine Warnmeldung hinterlässt. Eine geringere Empfindlichkeit kann falsch positive Ergebnisse verringern und falsch negative erhöhen; eine höhere kann das Gegenteil bewirken.

Platziere die Überwachung dort, wo die Daten verfügbar sind

Ein Netzwerksensor außerhalb eines HTTPS- oder VPN-Endpunkts sieht Adressen, Zeitpunkte und Datenmengen, kann verschlüsselte Inhalte aber nicht lesen. Prüfe entschlüsselten Verkehr am Endpunkt, hinter dem VPN-Gateway oder an einer zugelassenen Stelle zur TLS-Inspektion. Hostbasierte Erkennung kann Aktivitäten auf dem Server nach der Entschlüsselung sehen.

Ein Honeypot ist ein isoliertes Ködersystem ohne legitime Nutzer. Verbindungen dorthin sollten untersucht werden. Ein Honeynet verbindet mehrere Ködersysteme. Halte sie isoliert, damit ein kompromittiertes Ködersystem nicht zu einem Zugang zu echten Systemen wird.

Switch-Schutzmechanismen stoppen mehrere Angriffe, bevor Pakete einen Router oder eine Firewall erreichen. Sie prüfen unterschiedliche Informationen: eine MAC-Adressbegrenzung, die Herkunft eines DHCP-Angebots oder eine IP-MAC-Bindung.

Begrenze Adressen an einem Port

Port Security begrenzt die MAC-Adressen, die einen Port passieren dürfen. Ist die Funktion aktiviert, erlauben Cisco-Switches standardmäßig eine Adresse. Adressen können manuell eingegeben, dynamisch gelernt oder als Sticky-Adressen gelernt werden. Sticky-Adressen gelangen in die laufende Konfiguration und bleiben nach einem Neustart erhalten, wenn diese Konfiguration gespeichert wird.

Verwende für einen Schreibtisch mit einem PC dieses Cisco-IOS-Beispiel:

interface GigabitEthernet1/0/5
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation restrict

Ein anderer Laptop kann nicht über den Port senden, nachdem die Adresse des PCs gelernt wurde. Im Restrict-Modus kann der ursprüngliche PC wieder angeschlossen werden, ohne dass der Port in den Err-disabled-Zustand wechselt. Prüfe show port-security interface GigabitEthernet1/0/5. Der Shutdown-Modus benötigt eine administrative Wiederherstellung, etwa shutdown gefolgt von no shutdown, oder eine konfigurierte automatische Wiederherstellung. MAC-Adressen können kopiert werden, daher ist Port Security keine starke Geräteauthentifizierung.

Vertraue DHCP-Antworten nur aus der richtigen Richtung

DHCP-Snooping blockiert DHCP-Servernachrichten an nicht vertrauenswürdigen Ports und erstellt eine Bindungstabelle mit Client-IP, MAC-Adresse, Port und VLAN. Aktiviere es global und für die benötigten VLANs mit ip dhcp snooping und ip dhcp snooping vlan 10,20. Konfiguriere auf dem geprüften Weg zum autorisierten Server ip dhcp snooping trust. Endgeräteports bleiben nicht vertrauenswürdig. Eine Ratenbegrenzung am Nutzerport wie ip dhcp snooping limit rate 10 hilft, DHCP-Starvation-Anfragen zu begrenzen.

Bleibt der Eingangsweg des echten Servers nicht vertrauenswürdig, werden auch legitime Angebote verworfen. Die Vertrauenseinstellung betrifft die Richtung und besagt nicht, dass jeder Uplink sicher ist. Eine Verbindung von einem ungeschützten Access-Switch kann nicht autorisierte Angebote übertragen.

Nutze Bindungen zur Adressprüfung

Dynamic ARP Inspection (DAI) prüft ARP-Nachrichten an nicht vertrauenswürdigen Ports anhand gültiger IP-MAC-Bindungen. IP Source Guard prüft mithilfe der Bindungen die Quelladressierung im IP-Verkehr. Erstelle für DHCP-Clients Snooping-Bindungen, bevor du eine der beiden Funktionen durchsetzt. Hosts mit statischen Adressen benötigen ARP-ACL-Einträge für DAI und manuelle Quellbindungen für IP Source Guard; allein durch das Senden von Verkehr erhalten sie keine DHCP-Bindung.

Ergänze Schutz für anderen Steuerverkehr

Storm Control begrenzt Broadcast-, Multicast- oder Unknown-Unicast-Raten. BPDU Guard deaktiviert einen Edge-Port, der Spanning-Tree-Nachrichten empfängt. RA Guard blockiert nicht autorisierte IPv6-Router-Advertisements an Nutzerports. Keiner dieser Mechanismen führt dieselbe Prüfung wie DAI durch.

Teste diese Änderungen in einer Testumgebung oder einem Wartungsfenster und halte einen Wiederherstellungsweg bereit: Eine falsche Vertrauenseinstellung oder eine fehlende Bindung kann legitime Geräte vom Netzwerk trennen.

Eine Kabelverbindung oder eine vertraute MAC-Adresse weist keinen zugelassenen Nutzer aus. Die Netzwerkzugangskontrolle (NAC) entscheidet anhand von Identität, Geräteinformationen und häufig einer Sicherheitszustandsprüfung, ob ein Gerät beitreten darf und welchen Zugang es erhält.

Verfolge die drei Rollen bei 802.1X

802.1X bietet portbasierte Zugangskontrolle in kabelgebundenen und drahtlosen Netzwerken. Der Supplicant des Endgeräts fordert Zugang an. Der Switch oder Access Point ist der Authentifikator, der die Verbindung kontrolliert. Der Authentifizierungsserver, häufig RADIUS, prüft die Zugangsdaten. Bis zum Erfolg wird normaler Datenverkehr blockiert, während Authentifizierungsnachrichten über EAP over LAN (EAPOL) passieren.

Ein Laptop verbindet sich mit Port GigabitEthernet1/0/12. Sein Supplicant tauscht EAP-Nachrichten mit dem Switch aus. Der Switch leitet sie in RADIUS-Nachrichten an den Server weiter. Nach der Prüfung des Laptop-Zertifikats gibt der Server Access-Accept mit VLAN 10 zurück. Der Switch lässt den Laptop im Mitarbeiter-VLAN zu. Eine abgewiesene Identität bleibt blockiert oder erhält gemäß Richtlinie eingeschränkten Zugang.

Wähle und prüfe das Authentifizierungsverfahren

EAP-TLS authentifiziert Client und Server mit Zertifikaten. Der Client weist nach, dass er seinen privaten Schlüssel besitzt, ohne diesen zu senden. PEAP erstellt mit dem Zertifikat des Servers einen TLS-Tunnel und prüft darin Benutzername und Passwort.

Bei beiden Verfahren muss der Client das Zertifikat des Authentifizierungsservers prüfen. Ein PEAP-Client, der den Server eines Angreifers akzeptiert, kann seinen Austausch zur Passwortauthentifizierung einem Knackversuch aussetzen. EAP-TLS sendet den privaten Schlüssel nicht, aber die Annahme eines falschen Servers kann ein Gerät trotzdem in das Netzwerk eines Angreifers führen. Konfiguriere die vertrauenswürdige Zertifizierungsstelle und die erwartete Serveridentität, nicht nur die SSID.

Behandle Geräte mit unterschiedlichen Fähigkeiten

Ein Drucker ohne Supplicant kann MAC Authentication Bypass (MAB) verwenden. Der Switch übermittelt seine MAC-Adresse als Identität an RADIUS. Da die Adresse kopiert werden kann, setze den Drucker in ein eingeschränktes Segment mit nur den benötigten Wegen.

Eine Sicherheitszustandsprüfung prüft den Gerätezustand, etwa installierte Updates, aktiven Endgeräteschutz und eine aktivierte Firewall. Ein Gerät, das die Prüfung nicht besteht, kann in ein Quarantäne-VLAN gelangen, das Dienste zur Behebung der Mängel erlaubt. Nach Updates und einer erneuten Prüfung kann es normalen Zugang erhalten. Ein Captive Portal für Gäste zeigt eine Webseite für Nutzungsbedingungen oder einen Code an; es erfüllt einen anderen Zweck als die zertifikatbasierte Geräteauthentifizierung.

Wende dieselben Prinzipien im WLAN an

WPA3-Personal verwendet SAE und widersteht dem Offline-Erraten besser als WPA2-Personal. Verwende den Enterprise-Modus für Mitarbeiter und ein separates Gästenetzwerk. Deaktiviere WPS und das veraltete WEP oder TKIP-basierte WPA.

NAC bestimmt Zulassung und Zuordnung. ACLs und Firewalls begrenzen weiterhin den Verkehr des zugelassenen Geräts. Führe die Durchsetzung schrittweise ein: Beobachte Fehlversuche, teste eine kleine Gruppe und erweitere dann den Einsatz. Inventarisiere Geräte ohne Supplicant und halte einen dokumentierten administrativen Wiederherstellungsweg bereit, falls RADIUS nicht mehr erreichbar ist.

Gerätehärtung beseitigt unnötige Einstiegspunkte und sichert die verbleibenden Dienste. Wende sie auf Switches, Router, Firewalls, Access Points und Kameras an und überprüfe sie nach Software- oder Konfigurationsänderungen erneut.

Beseitige einfache Einstiegspunkte

Ändere bei der Einrichtung die werkseitigen Zugangsdaten. Mirai nutzte 2016 gängige Standardanmeldungen auf internetfähigen Geräten, um ein großes Botnetz aufzubauen. Deaktiviere ungenutzte Switch-Ports und unnötige Dienste, darunter Telnet, unverschlüsselte HTTP-Verwaltung, UPnP und WPS. Deaktiviere Erkennungsprotokolle wie CDP und LLDP an Ports zu nicht vertrauenswürdigen Netzwerken, wenn die Offenlegung von Geräteinformationen ein Risiko schafft.

Verschlüsselung schützt Zugangsdaten während der Übertragung. Gespeicherte Zugangsdaten benötigen ebenfalls starke Hashes. Cisco-Typ 9 verwendet scrypt und Typ 8 PBKDF2 mit SHA-256. Typ 5 ist veraltet. service password-encryption erzeugt eine umkehrbare Verschleierung vom Typ 7; das ist keine sichere Passwortspeicherung.

Richte ausschließlichen SSH-Zugang ein

Dieses Cisco-IOS-Beispiel setzt voraus, dass ein Switch die gezeigten Befehle unterstützt. Erstelle das Konto interaktiv mit einem langen, einzigartigen Geheimnis; verwende kein Passwort aus einem Beispiel erneut.

hostname SW1
ip domain-name example.com
crypto key generate rsa modulus 2048
ip ssh version 2

Erstelle den benannten Administrator mit username netadmin privilege 15 algorithm-type scrypt secret, gefolgt vom gewählten Geheimnis. Konfiguriere dann die Fernzugriffsleitungen:

line vty 0 15
 login local
 transport input ssh
 exec-timeout 10 0
 access-class MGMT-ONLY in

MGMT-ONLY ist eine separat definierte ACL, die nur autorisierte Administratorquellen zulässt. login local wählt lokale Konten; transport input ssh schließt Telnet aus; die Zeitüberschreitung bei Inaktivität beträgt 10 Minuten. Überprüfe eine erlaubte SSH-Anmeldung und eine verweigerte Anmeldung aus einem gewöhnlichen Nutzersegment.

Beschränke den Verwaltungsweg

Verwende ein Management-VLAN und eng begrenzte Quellberechtigungen. Ein Sprungserver ist ein gehärteter Server, an dem sich Administratoren zuerst anmelden, sodass Geräte Verwaltungssitzungen nur von dieser Quelle annehmen müssen. In-Band-Management nutzt das Produktionsnetzwerk; Out-of-Band-Management nutzt ein separates Netzwerk oder einen Konsolenweg, der bei einem Ausfall des Produktionsnetzwerks verfügbar bleiben kann.

Anmeldeverzögerungen oder Sperren erschweren das Online-Erraten. Zum Beispiel blockiert login block-for 120 attempts 5 within 60 Anmeldungen für 120 Sekunden nach fünf Fehlversuchen innerhalb von 60 Sekunden. Die Geräteeinstellungen müssen die Passwortrichtlinie der Organisation unterstützen; eine Mindestlänge des Geräts ist keine Empfehlung, das kürzeste erlaubte Geheimnis zu wählen.

Aktualisiere und überprüfe das Gerät

Lies die Sicherheitsmitteilung des Herstellers, beschaffe das offizielle Image und prüfe seinen Hash oder seine Signatur. Sichere die Konfiguration, aktualisiere ein Gerät während des geplanten Zeitfensters, teste das Ergebnis und bewahre ein Image für den Rollback auf. Ersetze Geräte nach ihrem Lebenszyklusende, die keine Korrekturen mehr erhalten.

Sende Protokolle an einen zentralen Syslog-Dienst und synchronisiere Uhren mit NTP, damit Ereignisse verglichen werden können. Syslog verwendet häufig UDP 514. Bewahre genehmigte Referenzkonfigurationen und Sicherungen auf; vergleiche sie mit den laufenden Einstellungen, um unerwartete Änderungen zu finden. Ein Anmeldebanner nennt die Regeln für berechtigte Nutzung und Überwachung. Protokolle und Referenzkonfigurationen sind nur nützlich, wenn der Zugang zu ihnen kontrolliert und Änderungen überprüft werden.

Eine erfolgreiche Anmeldung beantwortet nur eine Frage: Wer hat sich verbunden? Netzwerkadministration benötigt außerdem eine Entscheidung über erlaubte Handlungen und eine Aufzeichnung dessen, was geschehen ist.

Unterscheide die drei AAA-Aufgaben

Authentifizierung prüft die Identität. Autorisierung erteilt Berechtigungen für Handlungen. Accounting zeichnet Aktivitäten auf. Zusammen bilden sie AAA. Ein Netzwerkingenieur kann sich erfolgreich authentifizieren, ohne die Berechtigung zu haben, eine Route zu ändern. Accounting kann dann den versuchten Befehl aufzeichnen.

Lokale Konten befinden sich auf jedem einzelnen Gerät. Zentrales AAA bietet vielen Geräten ein gemeinsames Kontoverzeichnis und eine gemeinsame Aufzeichnung. Einen ausscheidenden Administrator einmal zu entfernen, ist sicherer und leichter zu überprüfen, als Konten auf 40 Switches zu bearbeiten. Verwende persönliche Konten und rollenbasierte Berechtigungen, damit Protokolle eine Person ausweisen und eine Helpdesk-Rolle den Status anzeigen kann, ohne Konfigurationen zu ändern.

Klassisches RADIUS überträgt häufig die Authentifizierung für 802.1X, Unternehmens-WLAN und VPN. TACACS+ unterstützt detaillierte Befehlsautorisierung und Accounting. Ältere RADIUS-Geräte können UDP 1645 und 1646 verwenden.

Verstehe die Ausweichmöglichkeit vor ihrer Aktivierung

Unter Cisco IOS versucht aaa authentication login default group tacacs+ local zuerst die Servergruppe. Lokale Authentifizierung wird verwendet, wenn kein Server antwortet, nicht wenn ein erreichbarer Server die Anmeldung zurückweist. Ein vom Server zurückgewiesenes falsches Passwort löst keinen zweiten Versuch mit lokalen Konten aus.

aaa new-model aktiviert AAA. aaa authorization exec default group tacacs+ local wählt Autorisierungsmethoden, und aaa accounting commands 15 default start-stop group tacacs+ zeichnet Befehle der Privilegstufe 15 auf. Die Servergruppe, Schlüssel und Erreichbarkeit müssen ebenfalls konfiguriert werden. Halte ein geschütztes lokales Notfallkonto bereit und teste den Wiederherstellungsweg, bevor du dich auf die Verfügbarkeit des zentralen Dienstes verlässt.

Wähle schwer zu erratende Passwörter

Lange, einzigartige Geheimnisse und Prüfungen auf geleakte Passwörter sind wichtiger als eine vorhersehbare Mischung von Sonderzeichen. Die US-Empfehlung des NIST von 2025 verlangt mindestens 15 Zeichen für ein allein verwendetes Passwort und erlaubt ein Minimum von 8 mit einem weiteren Faktor. Systeme sollten mindestens 64 Zeichen zulassen, keine Mischung von Zeichenarten vorschreiben und keine regelmäßigen Änderungen ohne Hinweise auf eine Kompromittierung erzwingen.

Bei tatsächlich zufälligen Kleinbuchstaben vervielfacht jedes zusätzliche Zeichen den Schlüsselraum mit 26. Bei 10 Milliarden Versuchen pro Sekunde dauert es etwa 21 Sekunden, alle Kombinationen aus acht Buchstaben auszuprobieren; bei zwölf sind es etwa 110 Tage, bei sechzehn etwa 138.000 Jahre. Ein wiederverwendetes Passwort oder eine vorhersehbare Passphrase bietet diesen Schutz durch einen zufälligen Schlüsselraum nicht. Langsames Hashing mit Salt verringert außerdem die Geschwindigkeit von Offline-Versuchen.

Ergänze einen anderen Faktor und schütze die Aufzeichnungen

MFA kombiniert Wissen, Besitz oder ein biometrisches Merkmal: zum Beispiel ein Passwort und einen Hardware-Sicherheitsschlüssel. Ein Passwort und eine PIN bleiben dagegen nur Wissen. Verwende MFA für Fernadministration und VPN-Zugang.

Accounting-Aufzeichnungen enthalten personenbezogene Daten, darunter Namen, Adressen und Anmeldezeiten. Beschränke Zugang und Aufbewahrungsdauer gemäß der Richtlinie der Organisation und dem geltenden Recht. Prüfe im Netzwerk eines Kunden nur die Daten, die für den genehmigten Auftrag benötigt werden.

Ein VPN schützt Verkehr zwischen Endpunkten über ein nicht vertrauenswürdiges Netzwerk. Wähle zuerst die Anordnung der Endpunkte und entscheide dann, welcher Verkehr den Tunnel nutzt.

Wähle das passende VPN für die Aufgabe

Hosts einer Zweigstelle hinter einem Site-to-Site-Gateway benötigen keinen eigenen VPN-Client. Ein Fernzugriffs-Client authentifiziert sich, vorzugsweise mit MFA, und erhält meist eine Adresse aus einem internen Pool. Ein clientloses Portal eignet sich für externe Auftragnehmer, die keine Software installieren können, stellt aber nur die Anwendungen bereit, die es unterstützt und veröffentlicht.

Verfolge die inneren und äußeren Pakete

Die Zweigstelle verwendet 10.20.0.0/16 und die Zentrale 10.10.0.0/16. Ihre öffentlichen Gateways sind 198.51.100.1 und 203.0.113.1. Ein PC der Zweigstelle unter 10.20.5.7 sendet an den Dateiserver 10.10.1.20.

1. Routing und VPN-Richtlinie wählen das Paket für den Tunnelendpunkt der Zweigstelle aus.
2. Die ESP-Verarbeitung im Tunnelmodus verschlüsselt das ursprüngliche Paket und ergänzt einen äußeren Header von 198.51.100.1 an 203.0.113.1.
3. Internetrouter verwenden die äußeren öffentlichen Adressen; das private Ziel bleibt im Inneren geschützt.
4. Die Zentrale prüft und entschlüsselt das Paket und leitet es dann an 10.10.1.20 weiter.

Der Schutz endet an diesen Endpunkten. Die lokalen Wege dahinter benötigen geeignete Anwendungsprotokolle und Zugriffskontrollen.

Wähle Voll- oder Split-Tunneling

Ein Volltunnel sendet den gesamten Verkehr des entfernten Geräts durch die Organisation, einschließlich öffentlicher Webzugriffe. Die Filterung des Unternehmens kann diesen Weg prüfen, er beansprucht aber zentrale Bandbreite und kann zusätzliche Verzögerung verursachen.

Ein Split-Tunnel sendet ausgewählte Ziele durch das VPN. Zum Beispiel gelangt 10.0.0.0/8 in den Tunnel, während ein öffentlicher Videodienst die direkte Internetverbindung des Mitarbeiters nutzt. Dieser Verkehr umgeht die Filterung am Unternehmensgateway; Endgeräteschutz bleibt nötig.

Wähle einen Volltunnel, wenn die Richtlinie eine zentrale Behandlung aller Webzugriffe verlangt. Wähle einen Split-Tunnel, wenn erlaubter direkter Verkehr sonst die begrenzte Kapazität der Zentrale beanspruchen würde.

Beschränke zugelassene Geräte

VPN-Verschlüsselung entfernt keine Schadsoftware. Kombiniere Fernzugriff mit MFA, Sicherheitszustandsprüfungen und Firewall-Regeln, die Nutzer auf benötigte Ressourcen beschränken. Ein infizierter, authentifizierter Laptop kann erreichbare Systeme angreifen. Der Betreiber des Gateways kann den Verkehr nach der Entschlüsselung sehen, sodass ein VPN Aktivitäten auch nicht vor diesem Betreiber verbirgt.

IPsec trennt den Aufbau zwischen Gegenstellen vom geschützten Nutzerverkehr. Wenn du diese Phasen unabhängig prüfst, kannst du erklären, warum ein VPN eine Verbindung meldet, obwohl Anwendungen weiterhin nicht funktionieren.

Richte Schlüssel und Sicherheitsassoziationen ein

Internet Key Exchange (IKE), normalerweise IKEv2, beginnt auf UDP 500. Die Gegenstellen authentifizieren sich mit einem vorab vereinbarten Schlüssel oder Zertifikaten, einigen sich auf kompatible Algorithmen und leiten Schlüssel ab. Eine Sicherheitsassoziation (SA) hält Schutzeinstellungen und Schlüsselmaterial fest. IKE baut seinen geschützten Steuerkanal auf und handelt IPsec-SAs für Daten aus.

IPsec-Daten-SAs sind gerichtet, sodass Verkehr in beide Richtungen ein Paar benötigt. Jede Gegenstelle wendet ihre eigene Lebensdauerrichtlinie an; jede kann vor Ablauf einen Schlüsselwechsel einleiten. Bei IKEv2 verhindern unterschiedlich konfigurierte Lebensdauern den Aufbau nicht von selbst.

Unterscheide Datenprotokolle und Modi

VPNs zwischen Gateways verwenden normalerweise ESP im Tunnelmodus. AH bezieht Adressfelder ein, die NAT verändert, und ist deshalb für Verbindungen über NAT ungeeignet. ESP ist IP-Protokoll 50, nicht TCP-Port 50 oder UDP-Port 50. Erlaube zwischen den Gateway-Adressen IKE, bei Verwendung NAT-T und bei Verwendung natives ESP.

GRE kapselt ohne Verschlüsselung. GRE über IPsec verbindet die Übertragung von Multicast- oder Routingverkehr durch GRE mit dem Schutz von IPsec. Die zusätzliche Kapselung allein bietet keine Vertraulichkeit.

Berücksichtige die Paketgröße

Ein ESP-Tunnel ergänzt üblicherweise etwa 50–80 Byte pro Paket; NAT-T fügt einen weiteren UDP-Header von 8 Byte hinzu. Ein volles ursprüngliches Paket von 1.500 Byte überschreitet zusammen mit diesen Headern eine Pfad-MTU von 1.500 Byte. Je nach Protokoll und Einstellungen muss es fragmentiert werden oder wird verworfen. Eine kleinere Tunnel-MTU, oft etwa 1.400 Byte, und eine angepasste maximale TCP-Segmentgröße (MSS) helfen, den Verkehr passend zu übertragen. Wenn kleine Anfragen funktionieren, während größere Übertragungen stocken, ist das ein hilfreiches Anzeichen für ein MTU-Problem.

Vergleiche weitere VPN-Möglichkeiten

TLS-VPNs, traditionell SSL-VPNs genannt, verwenden häufig TCP 443 und können auch UDP unterstützen. Sie eignen sich für Fernzugriffs-Clients und Browserportale. WireGuard verwendet UDP, oft 51820, und eine kleine Auswahl moderner Algorithmen. L2TP/IPsec kombiniert das ältere L2TP-Tunneling auf UDP 1701 mit IPsec-Schutz. PPTP ist veraltet und unsicher.

Lange zufällige vorab vereinbarte Schlüssel sind für wenige Gegenstellen handhabbar, bei vielen aber unpraktisch. Zertifikate, die über eine Zertifizierungsstelle (CA) und eine Public-Key-Infrastruktur (PKI) ausgestellt werden, unterstützen die einzelne Erneuerung und den einzelnen Widerruf. Halte private Schlüssel geheim, prüfe Ablauf und Vertrauen und widerrufe Zugangsdaten, die nicht mehr funktionieren sollen. Ein selbst signiertes Zertifikat benötigt eine ausdrücklich eingerichtete Vertrauensbeziehung.

Finde die fehlerhafte Phase

Prüfe zuerst die Erreichbarkeit der Gateways, die IKE-Version, Algorithmen und Zugangsdaten der Gegenstellen. Untersuche anschließend IKE- und IPsec-SAs getrennt. Bestätige spiegelbildliche Selektoren der geschützten Netzwerke, die nötigen Firewall-Erlaubnisse und Routen in den Tunnel. Teste schließlich kleine und große Anwendungsübertragungen. Eine IKE-SA belegt den Aufbau des Steuerkanals; sie belegt nicht, dass der gewählte Datenpfad, die Firewall-Regeln und die Paketgrößen korrekt sind.