RBAC für VPN: Rollenbasierte Policies statt “Any-Any”

In modernen Unternehmensnetzwerken ist VPN-Zugriff essenziell, um Remote-Mitarbeitern sicheren Zugriff auf interne Ressourcen zu gewähren. Traditionell wurden VPN-Policies häufig mit “Any-Any”-Regeln konfiguriert, die allen Benutzern vollständigen Zugriff auf alle Netzwerke und Dienste erlaubten. Dieses Vorgehen birgt jedoch erhebliche Sicherheitsrisiken. Rollenbasierte Zugriffskontrolle (RBAC) bietet eine sichere Alternative, indem jeder Benutzer oder jede Benutzergruppe nur auf die Ressourcen zugreifen kann, die für ihre Aufgaben erforderlich sind. In diesem Tutorial erfahren Sie praxisnah, wie RBAC für VPN implementiert werden kann.

Grundprinzipien von RBAC für VPN

RBAC (Role-Based Access Control) definiert Zugriffsrechte auf Basis von Rollen. Jede Rolle entspricht einem definierten Satz von Berechtigungen, wodurch Zugriffe granular gesteuert werden können.

Vorteile von RBAC

• Minimierung unnötiger Zugriffe auf kritische Systeme
• Reduzierung von Sicherheitsrisiken und Angriffsflächen
• Einfaches Management von Benutzerrechten über Rollen
• Auditierbarkeit und Nachvollziehbarkeit von Zugriffen

Probleme traditioneller “Any-Any”-VPN-Policies

Viele Unternehmen nutzen noch immer VPN-Regeln, die allen Benutzern vollständigen Zugriff gewähren. Diese Policies haben mehrere Nachteile:

• Unkontrollierter Zugriff auf alle internen Subnetze
• Hohe Wahrscheinlichkeit von Fehlkonfigurationen
• Erhöhtes Risiko bei kompromittierten Benutzerkonten

Planung der RBAC-Strategie

Vor der Umsetzung sollte eine detaillierte Analyse der Benutzerrollen und benötigten Ressourcen erfolgen. Folgende Schritte helfen bei der Planung:

Schritt 1: Rollen definieren

• Administrative Rollen (z. B. Netzwerk-Admins, System-Admins)
• Business-Rollen (z. B. Vertriebsmitarbeiter, Marketing)
• Technische Rollen (z. B. Entwickler, Support)

Schritt 2: Ressourcen zuordnen

Für jede Rolle werden die benötigten Subnetze, Dienste und Protokolle bestimmt:

Rolle Admin:
  Subnetze: 10.20.0.0/24, 10.30.0.0/24
  Dienste: SSH, RDP, Management-Tools
Rolle Vertriebsmitarbeiter:

Subnetze: 10.10.0.0/24

Dienste: RDP, interne Webanwendungen

Schritt 3: Richtlinien erstellen

Auf Basis der Rollen werden konkrete VPN-Richtlinien formuliert:

• Nur notwendige Protokolle und Ports freigeben
• Subnetz-zu-Subnetz Zugriff definieren
• Zugriff nach Zeit oder Standort optional einschränken

Umsetzung von RBAC auf Cisco ASA VPN

Im Folgenden ein Praxisbeispiel für die Konfiguration von rollenbasiertem Zugriff auf einem Cisco ASA VPN:

User- und Group-Definition

! Benutzergruppen erstellen
username admin1 password 0 Secret123 privilege 15
username user1 password 0 Secret123 privilege 1
! VPN-Gruppen definieren

group-policy AdminPolicy internal

group-policy AdminPolicy attributes

vpn-filter value Admin_ACL
group-policy SalesPolicy internal

group-policy SalesPolicy attributes

vpn-filter value Sales_ACL

ACLs für Rollen

! Admin ACL
access-list Admin_ACL extended permit tcp any 10.20.0.0 255.255.255.0 eq 22
access-list Admin_ACL extended permit tcp any 10.30.0.0 255.255.255.0 eq 3389
! Sales ACL

access-list Sales_ACL extended permit tcp any 10.10.0.0 255.255.255.0 eq 3389

access-list Sales_ACL extended permit tcp any 10.10.0.0 255.255.255.0 eq 443

Zuordnung der ACLs zu VPN-Gruppen

tunnel-group AdminVPN type remote-access
tunnel-group AdminVPN general-attributes
 default-group-policy AdminPolicy
tunnel-group SalesVPN type remote-access

tunnel-group SalesVPN general-attributes

default-group-policy SalesPolicy

Implementierung von RBAC auf Juniper SRX

Auch auf Juniper SRX-Firewalls kann rollenbasierter Zugriff für VPN implementiert werden:

Benutzergruppen und Policies

set access profile AdminProfile login allow access
set access profile AdminProfile default permit
set access profile SalesProfile login allow access
set access profile SalesProfile default permit
set security policies from-zone vpn to-zone internal policy AdminPolicy match source-address any

set security policies from-zone vpn to-zone internal policy AdminPolicy match destination-address Admin_Subnet

set security policies from-zone vpn to-zone internal policy AdminPolicy match application junos-ssh

set security policies from-zone vpn to-zone internal policy AdminPolicy then permit
set security policies from-zone vpn to-zone internal policy SalesPolicy match source-address any

set security policies from-zone vpn to-zone internal policy SalesPolicy match destination-address Sales_Subnet

set security policies from-zone vpn to-zone internal policy SalesPolicy match application junos-rdp

set security policies from-zone vpn to-zone internal policy SalesPolicy then permit

IP-Adressplanung und Subnetting für RBAC

Eine saubere IP-Adressplanung unterstützt die einfache Zuweisung von Rollen und ACLs. Beispiel:

Admin: 10.20.0.0/24
Management: 10.30.0.0/24
Sales: 10.10.0.0/24

Subnetzberechnung für Rollen

Beispiel: Ein Admin-Netzwerk benötigt Platz für 50 Hosts:

$\mathrm{Hosts}=\; 50,\mathrm{BenötigteIPs}=\; 50\; +\; 2\; =\; 52$
$$
text{Subnetzgröße} = 2^n ge 52 implies n = 6 text{ (64 IPs)}
endmath>

Monitoring und Auditierung

Nach der Implementierung ist eine kontinuierliche Überwachung entscheidend. Alle VPN-Zugriffe sollten protokolliert und regelmäßig auditiert werden, um Abweichungen von den RBAC-Richtlinien frühzeitig zu erkennen.

Empfohlene Maßnahmen

• Syslog und VPN-Logs sammeln
• Regelmäßige Überprüfung von ACLs und Gruppenrichtlinien
• Audit-Berichte für Compliance und Sicherheitsprüfung

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

• Professionelle Konfiguration von Routern und Switches

• Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen

• Erstellung von Topologien und Simulationen in Cisco Packet Tracer

• Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG

• Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible

• Erstellung von Skripten für wiederkehrende Netzwerkaufgaben

• Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege

• Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.