Ein VPN(neues Fenster)-Passthrough ist eine Router-Funktion, die es VPN-Verkehr ermöglicht, deine Firewall und die Network Address Translation (NAT)(neues Fenster) zu passieren. Es stellt die VPN-Verbindung nicht selbst her, sorgt aber dafür, dass dein Router ein Gerät in deinem Netzwerk nicht daran hindert, eine Verbindung mit einem externen VPN herzustellen.

Für die meisten Unternehmen ist das nichts, was du konfigurieren oder worüber du nachdenken musst. Vertrauenswürdige VPNs wie Proton VPN sind so konzipiert, dass sie standardmäßig mit NAT funktionieren, sodass Router den Verkehr automatisch abwickeln, ohne dass spezielle Regeln erforderlich sind.

Warum gibt es ein VPN-Passthrough?

Ein VPN-Passthrough löst Kompatibilitätsprobleme zwischen älteren VPN-Protokollen und neuerer Netzwerkinfrastruktur. Die meisten Netzwerke verwenden NAT, damit mehrere Geräte eine gemeinsame öffentliche IP-Adresse teilen können. Während dies für normalen Verkehr funktioniert, wurden einige ältere VPNs nicht für die Nutzung mit NAT entwickelt.

Da ältere VPN-Protokolle nicht immer Standard-Ports oder -Strukturen verwenden, die NAT interpretieren kann, kann der Router nicht nachverfolgen, wohin die Daten gehören, und die Verbindung schlägt fehl. Ein VPN-Passthrough fungiert als Workaround, der dem Router hilft, diese Art von Verkehr zu erkennen und korrekt weiterzuleiten.

Wie funktioniert ein VPN-Passthrough?

Ein VPN-Passthrough ist eine Reihe von Mechanismen, die in Router integriert sind, um bestimmte VPN-Protokolle zu unterstützen. Wenn er aktiviert ist, wird der Router:

  • Identifiziert VPN-Verkehr anhand bestimmter Protokolle oder Ports
  • Wendet spezielle Verarbeitungsregeln an, damit verschlüsselte Pakete nicht verworfen werden
  • Ermöglicht es der Verbindung, NAT korrekt zu durchlaufen

Ohne VPN-Passthrough blockiert der Router möglicherweise den Verkehr oder leitet ihn falsch weiter, was verhindert, dass sich das VPN verbindet.

Arten von VPN-Passthrough

Verschiedene VPNs verarbeiten Daten unterschiedlich, daher gibt es nicht nur eine einzige Art von Passthrough. Wenn du mit älteren Systemen arbeitest, siehst du je nach verwendetem Protokoll möglicherweise verschiedene Arten von VPN-Passthrough.

PPTP-Passthrough

Das Point-to-Point Tunneling Protocol (PPTP) ist einer der ältesten VPN-Typen. Es verwendet ein Protokoll namens Generic Routing Encapsulation (GRE), um Daten zu senden und zu empfangen. NAT benötigt jedoch eine Portnummer, um den Verkehr zu leiten, und GRE verwendet keine Ports, was zu einem Konflikt führt, der dazu führt, dass die Verbindung abbricht.

PPTP-Passthrough löst dies, indem es den Daten eine Call-ID hinzufügt. Der Router behandelt diese ID als Portnummer, wodurch der Verkehr die Firewall korrekt passieren kann.

L2TP-Passthrough

Das Layer 2 Tunneling Protocol (L2TP) funktioniert ähnlich wie PPTP. Um die NAT-Hürde zu überwinden, weist L2TP-Passthrough den Datenpaketen eine Sitzungs-ID zu. Diese ID dient als Ersatz für eine Portnummer, sodass der Router den Verkehr identifizieren und an das richtige Gerät weiterleiten kann.

IPSec-Passthrough

IPSec (Internet Protocol Security) verwendet eine Technologie namens NAT Traversal (NAT-T), um Router zu passieren. Sie verpackt die verschlüsselten IPSec-Daten in ein Standard-UDP-Paket.

Da Router bereits wissen, wie sie mit UDP-Paketen umgehen müssen, kann das IPSec-Passthrough eine Verbindung über einen bestimmten Port (UDP 4500) herstellen. Dadurch kann der Router die Verbindung korrekt zuordnen und weiterleiten, während die verschlüsselten Daten sicher und unberührt bleiben.

Was ist der Unterschied zwischen einem VPN und einem VPN-Passthrough?

Ein VPN ist der Dienst, der deine Daten schützt. Es verschlüsselt deinen Internetverkehr und maskiert deine IP-Adresse, indem es deine Verbindung über einen sicheren Remote-Server leitet.

Ein VPN-Passthrough ist eine Funktion auf deinem Router. Es verschlüsselt deine Daten nicht, blendet deine IP-Adresse nicht aus(neues Fenster) und bietet von sich aus keine Sicherheit. Seine einzige Aufgabe besteht darin, VPN-Verkehr zu erkennen und ihn die Firewall des Routers passieren zu lassen.

Wenn du ein gutes VPN verwendest, musst du dir im Allgemeinen überhaupt keine Gedanken über die Passthrough-Einstellungen machen, da der Router dies automatisch abwickelt.

VPN-Passthrough vs. VPN-Router

Diese beiden werden oft verwechselt, dienen aber sehr unterschiedlichen Zwecken:

  • Ein VPN-Router verschlüsselt und leitet den Verkehr für jedes mit ihm verbundene Gerät aktiv weiter.
  • Ein VPN-Passthrough ermöglicht es einem einzelnen Gerät in deinem Netzwerk, eine Verbindung zu einem externen VPN herzustellen.

Benötigen VPNs Passthrough?

In den meisten Fällen lautet die Antwort Nein. VPN-Protokolle sind so konzipiert, dass sie NAT automatisch bewältigen. Protokolle wie WireGuard(neues Fenster), OpenVPN(neues Fenster) und IKEv2(neues Fenster) sind so konzipiert, dass sie es Routern ermöglichen, Verbindungen nachzuverfolgen und Daten ohne manuelle Einrichtung oder spezielle Regeln an das richtige Gerät zu senden.

Proton VPN setzt ausschließlich auf sichere Protokolle, sodass es standardmäßig mit Standard-Router-Konfigurationen kompatibel ist.

  • Keine manuelle Konfiguration: Du musst keine erweiterten Einstellungen in der Firmware deines Routers ändern, um eine Verbindung herzustellen.
  • Automatische Kompatibilität: Proton VPN funktioniert mit fast allen Netzwerkgeräten für zu Hause und das Büro direkt nach dem Auspacken.
  • Bessere Sicherheit: Indem du ältere Passthrough-Mechanismen vermeidest, vermeidest du auch die Sicherheitslücken, die mit Vorgängerprotokollen wie PPTP verbunden sind.

Sofern du nicht extrem alte Hardware oder eine sehr restriktive Unternehmens-Firewall verwendest, kannst du dich mit Proton VPN verbinden, ohne jemals deine Passthrough-Einstellungen anpassen zu müssen.

Brauchst du ein VPN-Passthrough?

Du musst dir möglicherweise nur über VPN-Passthrough Gedanken machen, wenn:

  • Du Vorgänger-VPN-Protokolle wie PPTP oder L2TP verwendest
  • Du auf ältere Netzwerkgeräte angewiesen bist
  • Du spezialisierte oder industrielle Systeme mit veralteter Software verwaltest

Andernfalls stellen VPN-Clients wie Proton VPN diese Kompatibilität standardmäßig sicher.

Gibt es Sicherheitsrisiken bei einem VPN-Passthrough?

Die meisten Sicherheitsbedenken ergeben sich aus der Tatsache, dass VPN-Passthrough so konzipiert ist, dass es älteren, weniger sicheren Protokollen hilft, standardmäßige Router-Schutzmaßnahmen zu umgehen.

  • Abhängigkeit von schwachen Protokollen: VPN-Passthrough wird am häufigsten für Vorgängerprotokolle wie PPTP verwendet, die nicht mehr als sicher gelten und leicht durch Cyberangriffe ausgenutzt werden können.
  • Blinde Flecken der Firewall: Deine Firewall überprüft möglicherweise nicht die Daten, die sich in die Verbindung hinein und aus ihr heraus bewegen. Wenn das VPN-Protokoll selbst schwach ist, schafft dies einen Pfad, über den schädlicher Verkehr unbemerkt in dein Netzwerk gelangen kann.
  • Vergrößerte Angriffsfläche: Das Aktivieren von VPN-Passthrough erfordert oft das Öffnen bestimmter Kommunikationsports auf deinem Router. Jeder geöffnete Port ist ein potenzieller Einstiegspunkt, nach dem Angreifer scannen und versuchen können, ihn auszunutzen.

Best Practices für eine sichere VPN-Passthrough-Einrichtung

Für die meisten Unternehmen und Einzelpersonen besteht die beste Sicherheitsstrategie darin, ein VPN-Passthrough gänzlich zu vermeiden. Wenn du es verwenden musst, befolge diese Schritte, um dein Netzwerk sicher zu halten:

  • Bevorzuge aktuelle Protokolle: Nutze VPNs, die WireGuard oder OpenVPN unterstützen, welche Standard für Proton VPN sind. Diese sind so konzipiert, dass sie mit Routern und NAT funktionieren, ohne dass ein VPN-Passthrough erforderlich ist.
  • Deaktiviere, was du nicht verwendest: Wenn auf deinem Router VPN-Passthrough standardmäßig aktiviert ist, du aber einen Dienst wie Proton VPN nutzt, solltest du es ausschalten. Die Reduzierung der Anzahl aktiver Funktionen auf deinem Router verringert deine Angriffsfläche.
  • Überprüfe deine Router-Einstellungen regelmäßig: Es ist leicht, eine Einstellung für eine einmalige Problembehebung zu aktivieren und sie dann zu vergessen. Überprüfe die Firmware deines Routers regelmäßig, um sicherzustellen, dass du keine ungesicherten Einträge für Vorgängerprotokolle hinterlässt, die du nicht mehr verwendest.
  • Halte deine Hardware aktualisiert: Stelle sicher, dass die Firmware deines Routers aktuell ist. Hersteller veröffentlichen oft Updates, die Sicherheitslücken im Zusammenhang damit schließen, wie der Router verschlüsselten Datenverkehr und die Port-Verwaltung handhabt.

Letztendlich solltest du VPN-Passthrough als letzten Ausweg für Vorgängersysteme betrachten. Wenn deine Infrastruktur es zulässt, ist der Wechsel zu einer modernen VPN-Einrichtung der effektivste Weg, um diese Risiken zu eliminieren.

Das Fazit

VPN-Passthrough ist eine Lösung für ein Kompatibilitätsproblem zwischen älteren VPN-Protokollen und neueren Netzwerken. Heutzutage ist es weitgehend überflüssig.

Die meisten VPN-Protokolle, wie sie beispielsweise von Proton VPN verwendet werden, sind so konzipiert, dass sie nahtlos mit NAT funktionieren. Dadurch müssen die meisten Unternehmen ein VPN-Passthrough niemals konfigurieren. Wenn du feststellst, dass du immer noch auf Passthrough angewiesen bist, kann das ein Zeichen dafür sein, dass deine VPN-Einrichtung oder Netzwerkinfrastruktur aktualisiert werden muss.