Ausgangssituation

Beim Einsatz des neuen Securepoint Windows VPN Clients auf mobilen Firmennotebooks wäre eine netzwerkabhängige Steuerung der automatischen VPN-Verbindung wünschenswert.

Ein typisches Anwendungsszenario:

• Im Firmennetzwerk (LAN/WLAN): Keine automatische VPN-Verbindung, da interne Ressourcen bereits direkt erreichbar sind.

• Außerhalb des Firmennetzwerks (Homeoffice, Kunden-WLAN, unterwegs): Automatischer Aufbau der VPN-Verbindung für den sicheren Zugriff auf interne Ressourcen.

• Manuelle Verbindung: Unabhängig vom aktuellen Netzwerk soll der Benutzer bei Bedarf jederzeit selbst eine VPN-Verbindung herstellen können.

Aktuelle Einschränkung

Der Securepoint Windows VPN Client bietet bereits die Möglichkeit, bestimmte IP-Adressen bzw. Netzwerke von einer Verbindung auszuschließen.

Diese Ausschlüsse wirken sich jedoch nicht ausschließlich auf die automatische Verbindung aus, sondern verhindern auch eine manuelle Verbindungsherstellung.

Wird in einem ausgeschlossenen Netzwerk die Schaltfläche „Verbinden“ betätigt, erfolgt weder ein Verbindungsaufbau noch eine entsprechende Hinweismeldung.

Laut Securepoint-Support entspricht dieses Verhalten der aktuellen Implementierung.

Verbesserungsvorschlag

Einführung einer optionalen Trusted Network Detection, die unabhängig von den bestehenden Netzwerkausschlüssen konfiguriert werden kann.

Folgende Funktionen wären wünschenswert:

1. Definition vertrauenswürdiger Firmennetzwerke, beispielsweise über IP-Subnetze oder zusätzliche Netzwerkmerkmale wie DNS-Suffixe bzw. die Erreichbarkeit eines definierten internen Dienstes.

2. Automatische VPN-Verbindung nur dann, wenn sich das Gerät außerhalb eines definierten vertrauenswürdigen Netzwerks befindet.

3. Automatische Neubewertung bei Netzwerkwechseln, beispielsweise beim Wechsel vom Firmen-WLAN ins Homeoffice.

4. Manuelle VPN-Verbindung jederzeit möglich, auch innerhalb eines als vertrauenswürdig erkannten Netzwerks.

5. Beibehaltung der bestehenden Netzwerkausschlüsse als separate Möglichkeit, bestimmte Verbindungen grundsätzlich zu unterbinden.

Berücksichtigung unterschiedlicher Sicherheitskonzepte

Uns ist bewusst, dass ein dauerhaft aufgebauter VPN-Tunnel auch innerhalb des Firmennetzwerks sicherheitstechnische Vorteile bieten kann.

Insbesondere in entsprechend segmentierten Netzwerkarchitekturen kann es sinnvoll sein, interne Ressourcen ausschließlich über einen authentifizierten VPN-Zugang bereitzustellen. Dadurch lassen sich einheitliche Zugriffsregeln umsetzen und interne Ressourcen zusätzlich absichern.

Allerdings setzen nicht alle Unternehmen eine solche Architektur ein.

Gerade in kleinen und mittelständischen Unternehmen sind interne Ressourcen innerhalb des Firmennetzwerks häufig bewusst direkt erreichbar. Ein zusätzlicher VPN-Tunnel ist dort für den regulären Betrieb nicht erforderlich.

Die vorgeschlagene Funktion soll den bestehenden Sicherheitsansatz daher nicht ersetzen, sondern als optionale Konfigurationsmöglichkeit ergänzen.

Nutzen

Eine solche Erweiterung würde insbesondere IT-Dienstleistern und Administratoren die zentrale Verwaltung mobiler Firmennotebooks erleichtern.

Mitarbeiter müssten sich nicht mehr selbst darum kümmern, wann eine VPN-Verbindung benötigt wird. Gleichzeitig ließen sich unnötige VPN-Verbindungen innerhalb vertrauenswürdiger Firmennetzwerke vermeiden.

Unterschiedliche Sicherheitsarchitekturen könnten damit flexibel unterstützt werden, ohne die bestehenden Verbindungsmöglichkeiten einzuschränken.