ff1588d761d55f48f61a52249e1dcc24

Micron Document

<!DOCTYPE html>

</head>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="de" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="de" dir="ltr"><p>Als <b>SSL-VPN</b> (englische Schreibweise: <i>SSL VPN</i> ohne <a href="Durchkopplung" title="Durchkopplung">durchkoppelnden</a> Bindestrich) bezeichnet man Systeme, die den Transport privater Daten über öffentliche <a href="Rechnernetz" title="Rechnernetz">Netzwerke</a> ermöglichen (siehe <a href="Virtual_Private_Network" title="Virtual Private Network">VPN</a>) und als Verschlüsselungsprotokoll <a href="Transport_Layer_Security" title="Transport Layer Security">TLS</a> (alte Bezeichnung: SSL) verwenden.

</p>

<div class="mw-heading mw-heading2"><h2 id="Anwendungen">Anwendungen</h2></div>

<p>Prinzipiell ist SSL als <a href="Verschl%C3%BCsselungsprotokoll" title="Verschlüsselungsprotokoll">Verschlüsselungsprotokoll</a> für VPN sowohl für Site-to-Site- als auch End-to-Site-VPNs geeignet. In den 1990er-Jahren gab es Systeme, die SSL als Sicherungsschicht für Site-to-Site-VPNs einsetzten. Mit der Entwicklung von <a href="IPsec" title="IPsec">IPsec</a> und der zunehmenden Vernetzung über Organisationsgrenzen hinaus hat das standardisierte, interoperable IPsec sich als Alternative etabliert.

</p><p>Der entscheidende Vorteil von SSL-VPN gegenüber IPsec ist die Bereitstellung des Netzwerk- und Applikationszugriffs für mobile Anwender, da die Konfiguration der Clients einfacher möglich ist als mit einer Lösung durch IPsec.

</p>

<div class="mw-heading mw-heading2"><h2 id="Typen">Typen</h2></div>

<p>Alle heute üblichen SSL-VPN-Systeme verwenden den TCP-Port 443 (HTTPS) für die Datenübertragung. Dies hat gegenüber IPSec und anderen VPN-Technologien den Vorteil, mit <a href="Network_Address_Translation" class="mw-redirect" title="Network Address Translation">Network Address Translation</a> ohne weiteres kompatibel zu sein und oft auch durch <a href="Proxy_(Rechnernetz)" title="Proxy (Rechnernetz)">Proxys</a> und <a href="Firewall" title="Firewall">Firewalls</a> von Unternehmen hindurch den Zugriff zu ermöglichen. Neben der daraus folgenden Benutzbarkeit auch in fremden Organisationen (bei IPsec-VPN aufgrund der üblichen Firewallkonfigurationen in der Regel ausgeschlossen) ist bei einer Reihe von SSL-VPNs die Benutzung vieler Funktionen auch ohne vorangehende Installation einer <a href="Client" title="Client">Client</a>-Software möglich.

</p><p>Im Wesentlichen gibt es heute drei unterschiedliche Typen von SSL-VPNs:

</p>

<ol><li>SSL-VPN-Systeme, die nur den Zugriff auf Webanwendungen mit einem <a href="Webbrowser" title="Webbrowser">Webbrowser</a> ermöglichen, aber keine Anwendungen bereitstellen können, die die Übertragung von Netzwerkprotokollen erfordern. Diese SSL-VPNs erfordern keine Client-Installation. Der Namensbestandteil „VPN“ für diese Systeme ist umstritten, aber im Markt üblich.<sup id="cite_ref-1" class="reference"><a href="#cite_note-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup><sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup><sup id="cite_ref-3" class="reference"><a href="#cite_note-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup></li>

<li>SSL-VPN-Systeme, die ähnlich wie andere VPN-Technologien (<a href="IPsec" title="IPsec">IPsec</a>, <a href="Layer_2_Tunneling_Protocol" title="Layer 2 Tunneling Protocol">L2TP</a>, <a href="Point-to-Point_Tunneling_Protocol" title="Point-to-Point Tunneling Protocol">PPTP</a>) arbeiten, aber SSL zur Datenübertragung bieten. Bei dieser Variante werden komplette IP-Pakete eingekapselt, wodurch sich die Verbindung mit dem SSL-VPN-Client aus Benutzersicht genauso verhält, wie dies bei einem IPsec-Tunnel der Fall wäre. Der Benutzer kann also lokale Anwendungen auf seinem PC verwenden, und durch den SSL-Tunnel auf Firmen-Server zugreifen (z. B. zur Software-Verteilung, <a href="Verteiltes_Dateisystem" title="Verteiltes Dateisystem">DFS</a>).</li>

<li>SSL-VPN-Systeme, die sowohl den Zugriff auf Webanwendungen als auch einen Netzwerkzugriff auf das private Netzwerk ermöglichen. Bei diesen Systemen sind oft Komponenten vorhanden, die das Tunneln einzelner Kommunikationsbeziehungen ermöglichen (z. B. Outlook-Zugriff auf Exchange-Server), ohne dabei einen IP-Tunnel herstellen zu müssen (Beispiel: "Socket Forwarder" in Microsoft IAG 2007).</li></ol>

<p>Mischformen sind üblich. Eine einheitliche Nomenklatur für die Trennung der unterschiedlichen Typen hat sich im Markt bisher nicht durchgesetzt. Üblich ist die Bezeichnung allerdings für alle VPN-Systeme, die SSL/TLS als Verschlüsselungsprotokoll einsetzen und TCP-Port 443 (HTTPS) zur Datenübertragung verwenden.

</p><p>Für die meisten SSL-VPNs gilt, dass eine Sitzung über eine Anmeldung auf eine Webseite gestartet wird. Auch das Starten von Nicht-Web-Applikationen geschieht in der Regel über diese Webseite (Portal). Dies gilt jedoch nicht für SSL-VPNs, die sich von klassischen VPNs nur durch das Übertragungsprotokoll unterscheiden; diese verwenden in der Regel einen Client, der installiert werden muss und über dessen Aufruf auch die Anmeldung am VPN erfolgt.

</p>

<div class="mw-heading mw-heading2"><h2 id="Technik">Technik</h2></div>

<p>Zur Bereitstellung von Web-Applikationen in solchen SSL-VPN-Systemen, die einen clientlosen Zugriff ermöglichen, wird eine Übersetzung der <a href="Uniform_Resource_Locator" title="Uniform Resource Locator">URL</a>-Namensräume der bereitgestellten Applikationen und Server in einen einzigen URL-Namensraum durchgeführt, so dass der Zugriff auf diese Web-Applikationen über einen einzigen Hostnamen erfolgt. Insbesondere kann auf diese Weise eine zentrale <a href="Authentisierung" class="mw-redirect" title="Authentisierung">Authentisierung</a>, <a href="Autorisierung" title="Autorisierung">Autorisierung</a> und Content Inspection für den Zugriff realisiert werden.

</p><p>Für die Bereitstellung von netzwerkbasierten <a href="Client-Server-System" class="mw-redirect" title="Client-Server-System">Client-Server-Systemen</a> verwenden SSL-VPNs unterschiedliche Techniken:

</p>

<ul><li>die Bereitstellung der Anwendung unter ihrer tatsächlichen <a href="Netzwerkadresse" title="Netzwerkadresse">Netzwerkadresse</a> (wie IPSec), zum Beispiel durch einen virtuellen Netzwerkadapter oder Layered Service Provider (Windows)</li>

<li>die Bereitstellung der Anwendung unter einer <a href="Loopback" title="Loopback">Loopback</a>-Netzwerkadresse des Clients. Häufig wird zur Umlenkung von Client-Applikationen der <a href="Domain_Name_System" title="Domain Name System">DNS</a>-Name durch eine temporäre Anpassung der Hosts-Tabelle des Client-Systems auf diese Adresse umgelenkt oder ein Name Service Provider (Windows) registriert.</li>

<li>die Bereitstellung eines lokalen <a href="SOCKS" title="SOCKS">SOCKS</a>-Servers (auf einer Loopback-Netzwerkadresse) und Übertragung der Netzwerkinformationen innerhalb des SSL-Tunnels</li></ul>

<p>Die client-seitigen Komponenten sind in der Regel als <a href="ActiveX" title="ActiveX">ActiveX</a>- oder <a href="Java-Technologie" title="Java-Technologie">Java</a>-Komponenten ausgeführt.

</p>

<div class="mw-heading mw-heading2"><h2 id="Sicherheit">Sicherheit</h2></div>

<p>Wie für andere VPN-Technologien existieren auch bei SSL-VPNs typische Sicherheitsrisiken. Der Hauptvorteil von SSL-VPN gegenüber anderen VPN-Lösungen ist bei vielen Systemen die Möglichkeit, einen beliebigen Webbrowser in einem beliebigen Netzwerk als Client einzusetzen.

</p>

<div class="mw-heading mw-heading3"><h3 id="Authentifizierung">Authentifizierung</h3></div>

<p>Zur Authentifizierung werden bei SSL-VPNs in der Regel bestehende Benutzerverzeichnisse verwendet. Typische von SSL-VPNs unterstützte Authentisierungsdienste sind <a href="Lightweight_Directory_Access_Protocol" title="Lightweight Directory Access Protocol">LDAP-Verzeichnisdienste</a>, <a href="Remote_Authentication_Dial-In_User_Service" title="Remote Authentication Dial-In User Service">RADIUS</a>, <a href="TACACS%2B" class="mw-redirect" title="TACACS+">TACACS+</a>, Zwei-Faktor-Authentisierungssysteme wie <a href="SecurID" title="SecurID">SecurID</a> sowie die Verwendung von <a href="Digitales_Zertifikat" title="Digitales Zertifikat">Zertifikaten</a>. Einzelne SSL-VPN-Lösungen sind in der Lage, während der Anmeldung mehrere Authentisierungsdienste gleichzeitig zu nutzen. Dies kann insbesondere im Zusammenhang mit <a href="Single_Sign-on" title="Single Sign-on">Single Sign-on</a> für die bereitgestellten Applikationen von Interesse oder für <a href="Authentifizierung" title="Authentifizierung">Zwei-Faktor-Authentifizierung</a> (2FA), wenn ein Faktor das Netzwerkkennwort des Anwenders und der zweite Faktor ein Tokencode ist. Nicht alle SSL-VPN-Lösungen verfügen über eine eigene Benutzerverwaltung.

</p>

<div class="mw-heading mw-heading3"><h3 id="Autorisierung">Autorisierung</h3></div>

<p>Zur Autorisierung ist bei SSL-VPNs die Nutzung von Gruppenzuordnungen des Benutzers in einem LDAP-Verzeichnisdienst, einem 2FA-Dienst oder RADIUS üblich. Nicht alle SSL-VPN-Lösungen verfügen über eine eigene Gruppenverwaltung.

</p>

<div class="mw-heading mw-heading3"><h3 id="Client-Sicherheit">Client-Sicherheit</h3></div>

<p>Die Nutzung eines beliebigen Webbrowsers (und damit eines beliebigen, insbesondere nicht unternehmenseigenen Computers) als Client begründet jedoch auch besondere Sicherheitsrisiken, etwa

</p>

<ul><li>das Hinterlassen von vertraulichen Informationen im <a href="Cache" title="Cache">Cache</a> des Webbrowsers (Zugangsdaten, Dokumente, …)</li>

<li>das Heraufladen von <a href="Malware" class="mw-redirect" title="Malware">Malware</a> in bereitgestellte Webapplikationen (z. B. Webmail)</li>

<li>das Ausspähen von Zugangsdaten (z. B. <a href="Passwort" title="Passwort">Passwörter</a>)</li>

<li>die unberechtigte Nutzung nicht geschlossener Sitzungen (etwa über den „Zurück“-Button des Browsers)</li>

<li>die Übertragung von Angriffen auf die bereitgestellten Applikationen (etwa bei Zugriff von einem wurm-infizierten PC)</li>

<li>die Ausführung von <a href="Cross-Site-Scripting" title="Cross-Site-Scripting">XSS</a>-Angriffen<sup id="cite_ref-4" class="reference"><a href="#cite_note-4"><span class="cite-bracket">[</span>4<span class="cite-bracket">]</span></a></sup> gegen bereitgestellte Webapplikationen auf dem Client unter der Voraussetzung, dass es dem Angreifer gelingt, speziell präparierte Inhalte in einer bereitgestellten Webapplikation zu veröffentlichen (z. B. durch den Versand und das Öffnen einer entsprechenden E-Mail-Nachricht über Webmail) durch die Verwässerung des DNS-Namen-basierten Scripting-Sicherheitsmodells in Browsern (bei SSL-VPNs, die eine Übersetzung der URL-Namensräume der Anwendungsserver in einen einzigen externen Hostnamen vornehmen)</li></ul>

<p>Manche SSL-VPN-Systeme adressieren diese Probleme durch

</p>

<ul><li>clientseitige Komponenten, die etwa das Vorhandensein eines <a href="Virenscanner" class="mw-redirect" title="Virenscanner">Virenscanners</a> oder einer <a href="Personal_Firewall" title="Personal Firewall">Personal Firewall</a> überprüfen.</li>

<li>clientseitige Komponenten, die eine virtualisierte, eingeschränkte und vertrauenswürdige Desktopumgebung zur Arbeit mit dem per SSL-VPN verbundenen Netzwerk bereitstellen sollen</li>

<li>die Integration eines <a href="Intrusion_Prevention_System" title="Intrusion Prevention System">Intrusion Prevention Systems</a></li>

<li>Vorkehrungen, um XSS-Angriffe zu erschweren, etwa in Form einer eigenen Content Inspection-Engine, einer Verschlüsselung der URL-Übersetzung, Pfadbeschränkungen bei übersetzten <a href="HTTP-Cookie" title="HTTP-Cookie">Cookies</a>, oder der Auswertung des <a href="Referrer" title="Referrer">Referrer</a>-Headers.</li></ul>

<div class="mw-heading mw-heading3"><h3 id="Server-Sicherheit">Server-Sicherheit</h3></div>

<p>Neben den clientseitigen Sicherheitsrisiken können innerhalb des VPNs auch Angriffe, etwa durch <a href="Malware" class="mw-redirect" title="Malware">Malware</a> übertragen werden. Einige SSL-VPN-Systeme integrieren auf dem SSL-VPN-Gateway Content-Inspection-Fähigkeiten zur Untersuchung der übertragenen Anfragen und Inhalte.

</p><p>In SSL-VPN-Systemen, die auch den Zugriff auf netzwerkbasierte (Nicht-Web-)Anwendungen bereitstellen, ist außerdem die Integration von <a href="Paketfilter" title="Paketfilter">Paketfiltern</a> innerhalb des VPNs üblich. In der Regel wird im Gegensatz zu typischen anderen VPN-Implementierungen aber das <a href="Firewall-Regelwerk" title="Firewall-Regelwerk">Paketfilter-Regelwerk</a> auch auf dem Client durchgesetzt.

</p>

<div class="mw-heading mw-heading2"><h2 id="Siehe_auch">Siehe auch</h2></div>

<ul><li><a href="Secure_Socket_Tunneling_Protocol" title="Secure Socket Tunneling Protocol">Secure Socket Tunneling Protocol</a></li>

<li><a href="OpenVPN" title="OpenVPN">OpenVPN</a></li></ul>

<div class="mw-heading mw-heading2"><h2 id="Weblinks">Weblinks</h2></div>

/* start https://de.wikipedia.org/ */

.mw-parser-output .webarchiv-memento a{color:inherit}

/* end https://de.wikipedia.org/ */

</style><a rel="nofollow" class="external text" href="https://web.archive.org/web/20101221025923/https://secretsline.biz/en/manual/read/about-vpn-service/">Verschlüsselter Datenaustausch mit VPN</a> (<span class="webarchiv-memento"><a href="Webarchivierung#Begrifflichkeiten" title="Webarchivierung">Memento</a></span> vom 21. Dezember 2010 im <i><a href="Internet_Archive" title="Internet Archive">Internet Archive</a></i>) (englisch)</li></ul>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-1"><span class="mw-cite-backlink"><a href="#cite_ref-1">↑</a></span> <span class="reference-text">Beispiel für Verwendung des Begriffes "VPN" im Sinne von "Reverse Web-Proxy": Cisco ASA: <span class="cite"><a rel="nofollow" class="external text" href="http://www.cisco.com/en/US/products/ps6120/products_configuration_example09186a00806ea271.shtml"><i>Clientless SSL VPN (WebVPN) on ASA Configuration Example.</i></a><span class="Abrufdatum"> Abgerufen am 20. Oktober 2013</span> (englisch): „Clientless SSL VPN [...] A remote client needs only an SSL-enabled web browser to access http- or https-enabled web servers on the corporate LAN. [...] A good example of http access is the Outlook Web Access (OWA) client.“</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASSL-VPN&rft.title=Clientless+SSL+VPN+%28WebVPN%29+on+ASA+Configuration+Example&rft.description=Clientless+SSL+VPN+%28WebVPN%29+on+ASA+Configuration+Example&rft.identifier=http%3A%2F%2Fwww.cisco.com%2Fen%2FUS%2Fproducts%2Fps6120%2Fproducts_configuration_example09186a00806ea271.shtml&rft.language=en"> </span></span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text">Beispiel für Verwendung des Begriffes "VPN" im Sinne von "Reverse Web-Proxy": Citrix Access Gateway: <span class="cite"><i>How to Configure Clientless VPN to Sharepoint Access.</i> Ehemals im <style data-mw-deduplicate="TemplateStyles:r250917974">

/* start https://de.wikipedia.org/ */

.mw-parser-output .dewiki-iconexternal>a{background-position:center right!important;background-repeat:no-repeat!important}body.skin-minerva .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/OOjs_UI_icon_external-link-ltr-progressive.svg")!important;background-size:10px!important;padding-right:13px!important}body.skin-timeless .mw-parser-output .dewiki-iconexternal>a,body.skin-monobook .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/MediaWiki_external_link_icon.svg")!important;padding-right:13px!important}body.skin-vector .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/Link.ernal-small-ltr-progressive.svg")!important;background-size:0.857em!important;padding-right:1em!important}

/* end https://de.wikipedia.org/ */

</style><span class="dewiki-iconexternal"><a class="external text" href="https://redirecter.toolforge.org/?url=http%3A%2F%2Fsupport.citrix.com%2Farticle%2FCTX119965">Original</a></span> (nicht mehr online verfügbar)<span>;</span><span class="Abrufdatum"> abgerufen am 20. Oktober 2013</span> (englisch): „Clientless mode VPN access to SharePoint provides a secure, feature-rich, and zero client footprint solution to accessing company resources.“</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASSL-VPN&rft.title=How+to+Configure+Clientless+VPN+to+Sharepoint+Access&rft.description=How+to+Configure+Clientless+VPN+to+Sharepoint+Access&rft.identifier=http%3A%2F%2Fsupport.citrix.com%2Farticle%2FCTX119965&rft.language=en"> </span></span>

</li>

<li id="cite_note-3"><span class="mw-cite-backlink"><a href="#cite_ref-3">↑</a></span> <span class="reference-text">Beispiel für Verwendung des Begriffes "VPN" im Sinne von "Reverse Web-Proxy": Check Point: <span class="cite"><a rel="nofollow" class="external text" href="https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk67820#Mobile"><i>Check Point Remote Access Solutions.</i></a><span class="Abrufdatum"> Abgerufen am 20. Oktober 2013</span> (englisch): „The Mobile Access Portal is a clientless SSL VPN solution. [...] The Mobile Access Portal supplies access to web-based corporate resources.“</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASSL-VPN&rft.title=Check+Point+Remote+Access+Solutions&rft.description=Check+Point+Remote+Access+Solutions&rft.identifier=https%3A%2F%2Fsupportcenter.checkpoint.com%2Fsupportcenter%2Fportal%3FeventSubmit_doGoviewsolutiondetails%3D%26solutionid%3Dsk67820%23Mobile&rft.language=en"> </span></span>

</li>

<li id="cite_note-4"><span class="mw-cite-backlink"><a href="#cite_ref-4">↑</a></span> <span class="reference-text"><span class="cite">Michal Zalewski: <a rel="nofollow" class="external text" href="http://www.derkeiler.com/Mailing-Lists/Full-Disclosure/2006-06/msg00242.html"><i>Full-disclosure SSL VPNs and security.</i></a> derkeiler.com, 8. Juni 2006,<span class="Abrufdatum"> abgerufen am 4. September 2013</span> (englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3ASSL-VPN&rft.title=Full-disclosure+SSL+VPNs+and+security&rft.description=Full-disclosure+SSL+VPNs+and+security&rft.identifier=http%3A%2F%2Fwww.derkeiler.com%2FMailing-Lists%2FFull-Disclosure%2F2006-06%2Fmsg00242.html&rft.creator=Michal+Zalewski&rft.publisher=derkeiler.com&rft.date=2006-06-08&rft.language=en"> </span></span>

</li>

</ol></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-02-06" href="https://de.wikipedia.org/wiki/?title=SSL-VPN&oldid=253037164">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>