Infra & Netzwerk

Site-to-Site VPN

Overview

Ein Site-to-Site VPN verbindet zwei oder mehr Netzwerke dauerhaft über einen verschlüsselten Tunnel. Der Tunnel endet auf Gateways an beiden Seiten, meist Firewalls oder Router. Die Clients im Netz merken davon nichts, sie erreichen die Gegenseite einfach über das Routing.

Typische Szenarien sind die Anbindung von Filialen an die Zentrale, die Kopplung mit einem Rechenzentrum oder Hosting-Partner und hybride Umgebungen mit Azure. Für Azure ist dafür das Azure VPN Gateway zuständig (eigener Glossareintrag), für dedizierte Leitungen ohne Internet ExpressRoute.

Abgrenzung: Beim Remote Access VPN (eigener Eintrag) wählt sich ein einzelnes Gerät ein, beim Site-to-Site VPN ein ganzes Netz.

Aktuelle Änderung bei Azure: Laut Microsoft Learn lassen sich seit dem 1. November 2025 keine neuen VPN-Gateways der SKUs VpnGw1 bis VpnGw5 ohne Availability-Zone-Unterstützung mehr anlegen. Bestehende Gateways sollten im Zeitraum September 2025 bis September 2026 auf die AZ-Varianten (z. B. VpnGw2AZ) umgestellt werden.

How it works

Ein IPsec-basierter Standorttunnel entsteht in mehreren Schritten:

  1. Beide Gateways erhalten eine feste öffentliche IP-Adresse oder einen DNS-Namen und eine abgestimmte Konfiguration (Verschlüsselungs- und Hash-Verfahren, Diffie-Hellman-Gruppe, Lebensdauer).
  2. IKEv2 authentifiziert die Gegenstellen per Pre-Shared Key oder Zertifikat und handelt die Schlüssel aus (UDP 500, bei NAT UDP 4500).
  3. Die IPsec Security Associations legen fest, welcher Verkehr verschlüsselt wird, entweder über Traffic Selectors (policy-based) oder über eine Tunnelschnittstelle mit Routing (route-based).
  4. Statische Routen oder ein dynamisches Routingprotokoll wie BGP verteilen die Netze der Gegenseite.
  5. Firewall-Regeln auf beiden Seiten begrenzen, welche Systeme über den Tunnel miteinander sprechen dürfen.

Für Ausfallsicherheit werden zwei Tunnel über getrennte Internetanschlüsse oder ein Aktiv-Aktiv-Gateway eingerichtet.

Benefits

  • Ersetzt Standleitungen durch verschlüsselte Verbindungen über vorhandene Internetanschlüsse
  • Läuft transparent für Benutzer, weil kein Client gestartet werden muss
  • Verbindet Hardware unterschiedlicher Hersteller, da IPsec und IKEv2 offene Standards sind
  • Bindet Azure-Ressourcen so an, dass sie aus dem Firmennetz wie ein weiterer Standort erreichbar sind

Practical example

Ein Handelsunternehmen mit Zentrale in Stuttgart und sechs Filialen verbindet jede Filiale per route-based IPsec-Tunnel mit dem Firewall-Cluster der Zentrale. Kassen und Warenwirtschaft laufen zentral, die Filialen bekommen nur Zugriff auf die benötigten Server. Zusätzlich koppelt die IT die Zentrale mit einem Azure VPN Gateway, um eine Testumgebung in Azure zu betreiben. Ein LTE-Backup-Anschluss in jeder Filiale baut bei einem DSL-Ausfall automatisch einen zweiten Tunnel auf.

Things to keep in mind

  • Route-based VPNs bevorzugen, weil sie sich leichter erweitern und mit dynamischem Routing kombinieren lassen
  • Auf beiden Seiten dieselben, aktuellen Krypto-Parameter einstellen und schwache Verfahren wie DES, 3DES oder MD5 ausschließen
  • Überlappende IP-Bereiche zwischen Standorten vermeiden, sonst ist aufwendiges NAT nötig
  • Tunnelstatus aktiv überwachen und Ausfälle alarmieren, statt auf Anrufe aus der Filiale zu warten
  • Bei Azure prüfen, ob noch ein Gateway mit SKU ohne AZ-Kennung läuft, und es auf die AZ-Variante umstellen

Conclusion

Site-to-Site VPN ist der Standardweg, Standorte und Cloud-Netze kostengünstig und sicher zu verbinden. Plane Redundanz und Monitoring von Anfang an ein, weil ein Tunnelausfall eine ganze Filiale lahmlegt.

Further reading

Related articles