Was ist ein dynamisches Multipoint-VPN? DMVPN-Protokolle und -Phasen

Wenn Dein Netzwerk wächst, kann es sehr umständlich sein, alles über einen zentralen VPN-Hub zu leiten. Die Latenz steigt, der Datenverkehr häuft sich und die Leistung sinkt. Wenn Du das schon einmal erlebt hast, könnte ein dynamisches Multipoint-VPN (DMVPN) die perfekte Lösung für Dich sein. Mit einem DMVPN können Zweigstellen bei Bedarf sichere, direkte Tunnel einrichten, sodass Du nicht immer auf den Hauptknoten angewiesen bist.

In diesem Leitfaden erklären wir Dir, was ein DMVPN ist, wie es funktioniert und wann es die intelligentere Wahl gegenüber einem herkömmlichen Site-to-Site-VPN ist.

Wie funktioniert ein dynamisches Multipoint-VPN?

Ein DMVPN ist eine Netzwerkkonfiguration, mit der mehrere Remote-Standorte ein virtuelles WAN (Wide Area Network) einrichten und über eine Internetverbindung kommunizieren können. Es handelt sich um ein Beispiel für ein Hub-and-Spoke-Netzwerk. Jeder dieser Remote-Standorte („Spokes”) hat einen eigenen Router, der für die Verbindung mit dem zentralen DMVPN-Server, dem sogenannten „Hub”, konfiguriert ist.

Der zentrale Hub des DMVPN speichert Informationen über den Router jedes Standorts. Wenn ein Standort eine Verbindung zu einem anderen herstellen möchte (beispielsweise um eine Datei zu übertragen oder einen VoIP-Anruf zu starten), verbindet er sich zuerst mit dem Hub. Er fragt den Hub nach den Informationen des Empfängerstandorts, zum Beispiel seiner dynamischen IP-Adresse. Mit diesen Informationen erstellt der erste Spoke dann einen sicheren VPN-Tunnel direkt zum Empfänger-Spoke.

Komponenten eines dynamischen Multipoint-VPNs

MGRE

Multipoint Generic Routing Encapsulation (mGRE) ist eine Tunnelschnittstelle, die das Tunneling-Protokoll Generic Routing Encapsulation nutzt. Im Wesentlichen ermöglicht sie dem Hub und den Spokes eines DMVPNs, sichere Tunnel zueinander aufzubauen. Anstatt jedoch für jede Verbindung eine separate GRE-Tunnelschnittstelle zu erstellen, erstellt mGRE eine Schnittstelle für das gesamte Netzwerk. Dadurch wird die Verwaltung des Netzwerks vereinfacht, da der Router nicht viele verschiedene Schnittstellen im Auge behalten muss. Außerdem können neue Standorte hinzugefügt werden, ohne dass jedes Mal eine neue Schnittstelle eingerichtet und konfiguriert werden muss.

NHRP

Um Daten mit einem anderen Standort auszutauschen, benötigt ein DMVPN-Spoke die öffentliche IP-Adresse des Ziel-Spokes. Das Next Hop Resolution Protocol (NHRP) ist die Methode, mit der ein DMVPN Netzwerkadressinformationen verfolgt und kommuniziert. Der Hub des DMVPN verwaltet eine Datenbank mit den öffentlichen IP-Adressen aller Router und ihren Tunnel-IP-Adressen (eine private Adresse, die jedem Router im Netzwerk zugewiesen wird). Wenn ein Spoke eine Verbindung zu einem anderen herstellen möchte, fragt er mithilfe von NHRP die Datenbank nach der öffentlichen IP-Adresse ab, die der Tunnel-IP-Adresse des Ziel-Spokes entspricht. 

Routing-Protokolle

Routing-Protokolle helfen dem DMVPN dabei, effiziente Routen für den Datenverkehr zwischen verschiedenen Spokes zu finden. DMVPNs unterstützen in der Regel mehrere Protokolle, je nach Größe des Netzwerks. Beispielsweise eignet sich OSPF gut für kleinere Netzwerke, da es einfacher einzurichten ist und Routen schnell aktualisiert, solange es nicht zu viele sind. EIGRP und BGP eignen sich eher für größere Netzwerke, da sie eine große Anzahl von Routen verarbeiten können und Administratoren eine feinere Kontrolle über den Datenverkehr ermöglichen.

IPsec

IPsec ist ein Sicherheitsprotokoll, das Daten verschlüsselt, die zwischen dem Hub und den Spokes sowie zwischen den Spokes selbst übertragen werden. Dadurch bleiben alle sensiblen Informationen, die die Spokes austauschen, während der Übertragung über die Internetverbindung sicher. Selbst wenn diese Verbindung abgefangen wird, sehen Angreifer nur verschlüsselte Daten.

Phasen eines dynamischen Multipoint-VPNs

Ein DMVPN funktioniert, indem seine Komponenten in Phasen umgesetzt werden:

Phase 1

Zunächst wird jeder Spoke sicher über IPsec mit dem Hub verbunden. Anschließend erstellt der Hub mithilfe von NHRP ein Verzeichnis der IP-Adressen der Spokes. In dieser Phase ist die Routing-Konfiguration einfach, da es keine direkte Kommunikation zwischen den Spokes gibt und der gesamte Datenverkehr zunächst über den Hub laufen muss.

Phase 2

Anschließend nutzen die VPN-Router auf jedem Spoke mGRE, sodass die Spokes direkt miteinander kommunizieren können, ohne den Hub zu nutzen. Möchte ein Spoke eine Verbindung zu einem anderen Spoke aufbauen, schickt sein Router eine NHRP-Anfrage an den Hub und erhält so die IP-Adresse des Empfänger-Spokes. Anschließend wird ein Spoke-zu-Spoke-Tunnel erstellt.

Phase 3

Sobald der Hub die ersten Verbindungen hergestellt hat, werden die Spokes effizienter und sind weniger vom Hub abhängig. Mithilfe optimierter Routing-Protokolle können die Spokes Routing-Informationen direkt untereinander austauschen, ohne sich jedes Mal auf den Hub verlassen zu müssen. Sie nutzen ebenfalls NHRP, um den Überblick über die Netzwerkstruktur zu behalten, sodass neue Spokes einfach in das DMVPN integriert werden können.

Vorteile eines dynamischen Multipoint-VPNs

• • Vereinfachte Verwaltung: Die Wartung des Netzwerks ist ziemlich einfach. Trotz der komplexen Einrichtung werden die Komponenten des DMVPNs nur einmal konfiguriert und das Netzwerk kümmert sich dann selbst dynamisch um das Öffnen und Schließen neuer Tunnel.
  • Skalierbarkeit: Ein neuer Remote-Standort lässt sich unkompliziert als Spoke zum Netzwerk hinzufügen. Sobald der neue Spoke einen konfigurierten VPN-Router erhält, wird er vom Netzwerk integriert, sodass er sofort Verbindungen zu jedem anderen Spoke herstellen kann.
  • Geringere Bandbreitennutzung: Durch die direkte Kommunikation von Spoke zu Spoke spart der Hub Bandbreite. Außerdem wird die Latenz im Netzwerk verringert, da der Hub nicht zum Engpass wird.

Nachteile eines dynamischen Multipoint-VPNs

• • Komplexe Einrichtung: Die Einrichtung eines DMVPNs ist deutlich komplexer als die eines einfachen IPsec-VPNs. Aufgrund der vielen dynamisch interagierenden Komponenten kann eine kleine Fehlkonfiguration später zu großen Problemen führen.

• • Besser für größere Netzwerke geeignet: Wenn das Netzwerk nur sehr wenige Remote-Standorte hat, ist die Verwendung eines einfachen zentralisierten VPNs einfacher und kostengünstiger.
  • Komplizierte Fehlerbehebung: Die Dynamik des Systems kann die Fehlerbehebung erschweren. Da die Tunnel nach Bedarf geöffnet und geschlossen werden, kann es schwieriger sein, die Ursache eines Problems zu finden als bei einem „herkömmlichen” statischen oder ständig aktiven VPN.

Unterschiede zwischen einem dynamischen Multipoint-VPN und anderen Unternehmens-VPNs

	DMVPN	Traditionelles Site-to-Site-VPN	Fernzugriff-VPN
Was es macht	Verbindet mehrere Standorte dynamisch, indem es bei Bedarf direkte Tunnel zwischen ihnen aufbaut	Verbindet mehrere Standorte über statische VPN-Tunnel	Verbindet das Gerät eines einzelnen Benutzers über das Internet mit einem Unternehmensnetzwerk
Einfache Einrichtung	Komplizierte Ersteinrichtung mit fortgeschrittener Konfiguration	Moderat, muss an jedem Standort manuell eingerichtet werden	Einfach für kleine Netzwerke, man muss normalerweise einen zentralen VPN-Server einrichten und die Client-Software auf die Geräte der Benutzer laden
Einfache Verwaltung	Minimaler Verwaltungsaufwand nach der Einrichtung	Für ein paar Standorte machbar, aber mit zunehmender Größe wird es schwieriger	Wird mit zunehmender Größe des Netzwerks komplexer
Skalierbarkeit	Super, neue Standorte hinzuzufügen ist sehr einfach	Schlecht, bei vielen Standorten wird die Einrichtung und Verwaltung schwierig	Mäßig, für eine große Anzahl von Benutzern sind spezielle Updates nötig
Datenverkehrspfad	Direkt von Spoke zu Spoke	Der ganze Datenverkehr läuft über einen zentralen VPN-Server	Der Datenverkehr läuft zwischen dem Client-Gerät und dem Gateway des Unternehmensnetzwerks
Topologie	Dynamisch, von Spoke zu Spoke	Statisch, Hub-and-Spoke	Statisch, vom Benutzer zum Netzwerk
Leistung	Direkte Tunnel verhindern Engpässe	Ein zentraler Server kann zu Engpässen führen	Die Leistung kann von der Internetverbindung des Benutzers abhängen
Beste Anwendung	Große Netzwerke, in denen die Kommunikation von Spoke zu Spoke nicht konstant ist	Eine kleine Anzahl von Standorten, die ständig direkt verbunden sein müssen	Bietet Fernzugriff auf gemeinsam genutzte Anwendungen und Ressourcen

Ist ein DMVPN die richtige Wahl für Dein Netzwerk?

Ein dynamisches Multipoint-VPN (DMVPN) ermöglicht es Remote-Standorten, sich direkt miteinander zu verbinden, anstatt den Datenverkehr immer über einen zentralen Server zu leiten. Diese direkte Verbindung beschleunigt die Kommunikation und reduziert die Belastung des Hauptknotens. Außerdem ist es skalierbar, da das Hinzufügen neuer Standorte zum Netzwerk sehr einfach ist.

Allerdings erfordert das DMVPN-Modell eine komplexe Ersteinrichtung. Diese Komplexität kann auch die Fehlerbehebung erschweren. Für kleine Netzwerke ist ein herkömmliches Site-to-Site-VPN in der Regel besser geeignet, da es einfacher einzurichten ist. DMVPNs hingegen eignen sich besser für Unternehmen mit einer großen Anzahl von Remote-Standorten im Netzwerk.

Häufig gestellte Fragen