Site icon bintorosoft.com

Policy-Based VPNs: Wann sie noch Sinn machen (und wann nicht)

Red Snapper

Policy-Based VPNs (PBVPNs) gehören zu den klassischen Ansätzen im IPSec-Bereich und werden häufig in kleineren Netzen oder bei einfachen Punkt-zu-Punkt-Verbindungen eingesetzt. Anders als Route-Based VPNs wird hier der Traffic anhand von Quell- und Ziel-IP-Adressen sowie Ports direkt durch die Security Policies definiert. Obwohl moderne Netzwerke zunehmend auf Route-Based VPNs setzen, haben Policy-Based VPNs nach wie vor spezifische Anwendungsfälle, insbesondere wenn einfache, deterministische Sicherheitsflüsse erforderlich sind.

Grundlagen von Policy-Based VPNs

Bei Policy-Based VPNs bestimmt die sogenannte Crypto-Policy, welcher Traffic durch den VPN-Tunnel geleitet wird. Jede Policy definiert:

Der Tunnel selbst existiert nicht als separates Interface. Stattdessen wird der Traffic nach Policy selektiert und verschlüsselt.

Funktionsweise

Wenn ein Paket den Router oder die Firewall erreicht, prüft das Gerät, ob es einer definierten Policy entspricht. Nur Pakete, die zu einer Crypto-Policy passen, werden verschlüsselt und durch den Tunnel gesendet. Pakete ohne Match werden normal weitergeleitet.

crypto map VPN-MAP 10 ipsec-isakmp
 set peer 198.51.100.1
 match address 101
 set transform-set AES256-SHA256

Anwendungsfälle für Policy-Based VPNs

Policy-Based VPNs sind heute meist auf spezielle Szenarien beschränkt, können aber weiterhin sinnvoll sein:

Beispiel für einen einfachen Point-to-Point-Tunnel

access-list 101 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255
crypto map VPN-MAP 10 ipsec-isakmp
 set peer 198.51.100.1
 match address 101
 set transform-set AES256-SHA256

Limitierungen und Stolperfallen

Obwohl Policy-Based VPNs unkompliziert erscheinen, bergen sie Einschränkungen:

Beispielproblem: NAT und PBVPN

access-list 101 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255
! Wenn NAT zwischen den Standorten aktiv ist, passt die Policy evtl. nicht mehr.
! Lösung: NAT-Traversal aktivieren oder Policy anpassen.

Wann Policy-Based VPNs nicht mehr sinnvoll sind

In modernen Provider-Umgebungen oder großen Enterprise-Netzen sind PBVPNs oft nicht mehr empfehlenswert:

Best Practices für noch sinnvolle PBVPNs

Wenn Policy-Based VPNs eingesetzt werden müssen, sollten folgende Punkte beachtet werden:

show crypto ipsec sa
show crypto isakmp sa
show access-lists 101

Fazit zur Rolle von Policy-Based VPNs

Policy-Based VPNs sind nicht grundsätzlich veraltet, aber ihr Einsatz ist heute stark eingeschränkt. Sie eignen sich für kleine, statische Verbindungen oder Szenarien, in denen exakte Kontrolle über einzelne Traffic-Flows erforderlich ist. In dynamischen, skalierbaren oder cloud-basierten Telco-Umgebungen sollten sie jedoch durch Route-Based VPNs ersetzt werden, um Flexibilität, HA und Integration in moderne Routing- und SD-WAN-Architekturen zu gewährleisten.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.

Exit mobile version