Infra & Netzwerk

Remote Access VPN

Allgemeine Infos

Ein Remote Access VPN verbindet einzelne Endgeräte mit dem Unternehmensnetz. Ein Client auf dem Gerät baut einen verschlüsselten Tunnel zu einem VPN-Gateway auf, danach kann der Benutzer interne Dienste nutzen, als säße er im Büro.

Bei Windows ist Always On VPN die von Microsoft empfohlene Lösung. Sie unterstützt domänengebundene, nicht domänengebundene und Microsoft-Entra-gebundene Geräte und kann als Device Tunnel bereits vor der Benutzeranmeldung verbinden. DirectAccess ist seit Juni 2024 abgekündigt und wird in einer künftigen Windows-Version entfernt. Microsoft empfiehlt die Migration auf Always On VPN.

Abgrenzung: Zero Trust Network Access, bei Microsoft Microsoft Entra Private Access als Teil von Global Secure Access, gewährt Zugriff auf einzelne Anwendungen statt auf ganze Netze und baut auf dem Entra-Anwendungsproxy auf. Das Site-to-Site VPN (eigener Eintrag) koppelt dagegen ganze Standorte.

Funktionsweise & Details

Ablauf einer typischen Verbindung mit Always On VPN oder einem Hersteller-Client:

  1. Die IT verteilt ein VPN-Profil, bei Windows meist per Intune oder Gruppenrichtlinie, mit Gateway-Adresse, Protokoll und Authentifizierung.
  2. Der Client erkennt, dass er sich außerhalb des Firmennetzes befindet, und baut den Tunnel automatisch oder auf Klick auf.
  3. Die Authentifizierung erfolgt per Gerätezertifikat, Benutzerzertifikat oder Benutzername mit MFA, bei Always On VPN etwa über NPS/RADIUS.
  4. Das Gateway weist eine interne IP-Adresse zu und übergibt DNS-Server und Routen.
  5. Je nach Konfiguration läuft der gesamte Verkehr durch den Tunnel (Force Tunneling) oder nur der für interne Netze (Split Tunneling).

Always On VPN nutzt IKEv2 und kann für Benutzer-Tunnel auf SSTP zurückfallen. Der Device Tunnel unterstützt nur IKEv2.

Vorteile & Nutzen

  • Ermöglicht ortsunabhängiges Arbeiten mit Zugriff auf Fileserver, Fachanwendungen und Drucker
  • Hält interne Dienste aus dem Internet heraus, weil nur das VPN-Gateway erreichbar sein muss
  • Erlaubt mit einem Device Tunnel Gruppenrichtlinien und Kennwortänderungen auch außerhalb des Büros
  • Lässt sich über Intune zentral verteilen, sodass Benutzer nichts selbst einrichten müssen

Praxisbeispiel

Ein Ingenieurbüro mit 70 Mitarbeitenden nutzte bisher DirectAccess auf einem Windows-Server. Wegen der Abkündigung stellt die IT auf Always On VPN mit Device- und User-Tunnel um, verteilt die Profile per Intune und authentifiziert über Zertifikate aus der eigenen PKI. Parallel testet sie Microsoft Entra Private Access für die CAD-Lizenzserver, um langfristig nur noch einzelne Anwendungen statt des ganzen Netzes freizugeben.

Worauf sollte man achten?

  • Immer MFA oder Zertifikate verlangen, reine Kennwortanmeldungen am VPN sind ein häufiges Einfallstor
  • PPTP nicht mehr verwenden, Microsoft hat PPTP und L2TP in RRAS im Oktober 2024 als veraltet eingestuft
  • Nach dem Tunnel per Firewall nur die benötigten Ziele freigeben, statt das komplette LAN zu öffnen
  • VPN-Gateways und Clients zeitnah patchen und Anmeldeversuche zentral protokollieren
  • Split Tunneling bewusst planen: Es entlastet die Leitung, Microsoft-365-Verkehr kann direkt ins Internet gehen

Lizenz & Verfügbarkeit

Always On VPN ist in allen Windows-Editionen verfügbar. Als Gateway dient z. B. RRAS in Windows Server oder ein IKEv2-fähiges Gateway eines Drittanbieters. Kommerzielle VPN-Lösungen anderer Hersteller werden meist pro Benutzer, pro Gerät oder über die Appliance lizenziert. Microsoft Entra Private Access ist in der Microsoft Entra Suite enthalten und auch einzeln erhältlich. Stand: Oktober 2026.

Fazit

Das Remote Access VPN bleibt der verbreitetste Weg für sicheres mobiles Arbeiten. Ersetze DirectAccess zeitnah und prüfe für neue Projekte, ob ein anwendungsbezogener Zugang per ZTNA besser passt.

Weiterführende Links

Verwandte Artikel