VPN-Technik

Voraussetzungen

Voraussetzung für die Einrichtung eines "Virtual Private Network" (VPN) ist eine gültige Zugangskennung, die an den Verzeichnisdiensten der Universitäten überprüft wird. Zur technischen Realisierung des "privaten Netzes" wird ein spezielles Client-Programm benötigt, das für die Beschäftigten und Studierenden der Universitäten und des Leibniz-Rechenzentrums kostenfrei zur Verfügung steht.

Technische Beschreibung

Datensicherheit

Mittels VPN wird über eine bestehende IP-Verbindung eine zweite Verbindung (Tunnel) aufgebaut, welche den Datenverkehr über ein dediziertes System, einen VPN-Server aus dem VPN-Cluster, leitet. Bei einem sogenannten Full-Tunnel wird der gesamte Verkehr durch den Tunnel geleitet. Beim Split-Tunnel sind das nur Ziele im MWN. Das lokale Netz, in dem sich der Client befindet, bleibt weiterhin erreichbar.

Die VPN-Server-Cluster im MWN unterstützen folgende Protokolle:

• OpenVPN (Serverauswahl im Client über die Einrichtung) mit dem eduVPN-Client
• WireGuard mit dem eduVPN-Client (seit 29.12.2023 )

eduVPN als neuer VPN-Client seit September 2021

Der Server wird im Client ausgewählt (VPN - eduVPN - Installation und Konfiguration ) Für jede größere Einrichtung steht ein Controller und zwei Nodes zur Verfügung. Der Controller regelt die Anmeldung und die Verwaltung der Konfigurationsprofile, über die Nodes laufen die VPN-Verbindungen. Die Anmeldung erfolgt über Zertifikate mit kurzer Laufzeit, die für den Nutzenden transparent auf dem Controller verwaltet werden. eduVPN kann auch mit OpenVPN genutzt werden. Dazu kann man sich Konfigurationsdateien vom Controller herunterladen.

IP-Adressen, Domainnamen

eduVPN

Es stehen zwei Profile zur Verfügung, voreingestellt ist Split-Tunnel mit privaten IPv4-Adressen im MWN. Der Verkehr geht dabei nur ins Münchener Wissenschaftsnetz über VPN, Ziele im Internet werden direkt angesprochen. Für Spezialfälle gibt es eine Full-Tunnel Profil, bei dem alle Daten über den Tunnel gehen.

IPv6-Adressen

Bei eduVPN wird die IPv6-Adresse zusätzlich zur IPv4-Adresse automatisch zugewiesen. 

Domainnamen und IP-Pools

Jeder weltweit gerouteten IPv4-Adresse wird ein Hostname der Form xxx.subdomain.vpn.lrz.de zugewiesen. Die Adressen und Subdomain-Namen sind aus der folgenden Tabelle ersichtlich (die IP-Pools können sich ändern, Darstellung in CIDR-Format):

VPN: IP-Adressen und Subdomains: teilweise neue Bereiche ab 28.12.2023 

Farben: eduVPN alte Server IPv4 
eduVPN neue Server IPv4 ab 28.12.2023  
eduVPN neue IPv4-Pools ab 28.12.2023 

eduVPN: Adressen der Server und Anmeldemethoden alte Server bis 28.12.2023 

eduVPN: Adressen der Server und Anmeldemethoden neue Server ab 28.12.2023 

Routing (Datentransfer)

eduVPN

1. VPN-Nutzende im Münchner Wissenschaftsnetz: Für Anwendende innerhalb des MWN, sei es über das "lrz"-WLAN oder eine öffentliche Datendose, wird immer der gesamte Datenverkehr über den VPN-Server geleitet ("geroutet"). Dazu muss Full-Tunnel gewählt werden.
2. Von Zuhause oder aus dem Internet: Anders verhält es sich bei Nutzenden zuhause bzw. irgendwo im Internet, die einen fremden Provider verwenden. Dabei wird voreingestellt das sog. Split-Tunneling eingesetzt. Dies bedeutet, dass die Daten von und zu Adressen im restlichen Internet auf direktem Wege geroutet werden. Dadurch kann ein unnötiger Umweg der Daten über den VPN-Server eingespart werden. Nur die Daten von und zu Zielen im MWN werden verschlüsselt und über den VPN-Tunnel geschickt. Auf Nutzender-/Client-Seite ist dazu erst einmal nichts besonders zu konfigurieren, das Routing wird automatisch entsprechend eingestellt. Auch private Netze mit den Adressen 10.x.x.x, 172.16.x.x und 192.168.x.x werden direkt geroutet, außer der Zugriff auf lokale Netze zuhause, der ist auch bei einer aufgebauten VPN-Verbindung möglich.
3. Spezielle Anwendungen: Bei anderen Anwendungen, wie z.B. dem Zugang zu Datenbanken, der Verwendung von Terminalserverclients oder IP-Telefonie-Anwendungen (Voice over IP, kurz VoIP), kann es nötig sein, das Split-Tunneling auszuschalten und alle Daten über den Tunnel zu senden. Dies kann durch ein den Full-Tunnel erreicht werden.
4. Proxyserver: Zu beachten ist, dass bei Nutzung eines Proxyservers im MWN der WWW-Datenverkehr immer vollständig über den VPN-Server transferiert wird.
5. Beschränkungen: Für die VPN-Verbindungen gelten die gleichen Beschränkungen bezüglich Bandbreite und exzessivem Verkehr wie beim NAT-Gateway Secomat.

Weitere Informationen zu VPN

Häufige Probleme

1. Software-Störungen: Beim Aufbau und beim Abbau einer VPN-Verbindung ändert sich die IP-Adresse. Einige Anwendungen erlauben keinen Wechsel der Adresse während sie laufen, andere kommen damit zurecht. Es empfiehlt sich auf jeden Fall, netzabhängige Anwendungsprogramme, insbesondere Web-Browser nach dem Auf- und Abbau einer VPN-Verbindung neu zu starten.

2. Falsche Eingabe: Ein häufiges Problem besteht in der falschen Eingabe der Kennung (login). Achten Sie bitte auf Groß- und Kleinbuchstaben - auch und insbesondere beim Passwort! LRZ-Kennungen folgen zur Zeit folgendem Muster (Konsonant, Vokal, Ziffer): KVZZKVK. Beispiele für Kennungen sind : gu55rob, alex.muster@campus.lmu.de, toni.muster@tum.de, h.muster@wzw.tum, u1234ab.

3. Firewalls: Bei Auftreten unklarer Probleme sollten Sie eventuell laufende (Personal-) Firewalls und die Internet-Verbindungsfreigabe bei Windows versuchsweise abschalten.

Fragen oder Probleme?

Weitere Tipps zu VPN-Verbindungen finden Sie im Bereich VPN-FAQ
Anfragen oder Kommentare richten Sie bitte an das Servicedesk.