Übungsaufgaben zu VPN

https://bildung.social/@oerinformatik/

https://oer-informatik.de/vpn-uebungsaufgaben

VPN, Site-to-Site, End-to-Site, IPsec, Tunnelmodus, Zertifikate, WireGuard, MTU, Fehlersuche, Übungsaufgaben, Prüfungsvorbereitung

tl/dr; (Bearbeitungszeit insgesamt 107 min, mehrere Aufgaben): Vier Übungsaufgaben zu VPN: Du prüfst, was ein VPN im offenen Café-WLAN über HTTPS hinaus leistet, ordnest Bedrohungen Schutzzielen zu und korrigierst Aussagen zu VPN-Arten. Danach vervollständigst Du den Netzwerkplan der VPN-Verbindungen eines Fahrradhändlers, deutest einen ESP-Mitschnitt, vergleichst AH und ESP, WireGuard und IPsec sowie zwei Router und beurteilst einen Konfigurationsvorschlag. In einem Schulnetz wertest Du Gateway-Protokolle, Testergebnisse, tracert und ipconfig aus, berechnest MSS, Nutzdatenanteil und Uploaddauer. Zum Schluss vergleichst Du Varianten für einen Wartungszugang, erläuterst eine WireGuard-Konfiguration, richtest ein erzwungenes VPN ein und beurteilst ein kommerzielles VPN-Angebot. Alle Beispiellösungen sind ausgeblendet und mit Punkteverteilung versehen [AI-Assisted]. (Zuletzt geändert am 28.10.2026)

Diese Übungsaufgaben gehören zum Artikel VPN: Arten, IPsec, Auswahl und Fehlersuche.

Hinweise zur Bearbeitung: Bis zur Teil-1-Prüfung der IT-Berufe solltest Du die Basiskompetenz beherrschen, also Aufgabe 1.1. Als FISY, FIDV, ISE, IKS oder IKD musst Du zur Teil-2-Prüfung Aufgaben auf Kernkompetenz-Ebene lösen können, das sind Aufgabe 2.1, Aufgabe 2.2 und Aufgabe 2.3. Achte auf den Operator: „Nennen“ und „angeben“ verlangen Stichworte oder Werte, „beschreiben“ und „erläutern“ ganze Sätze mit Bezug zur Situation, „berechnen“ einen nachvollziehbaren Rechenweg. Schreib Deine Antwort zuerst vollständig auf, bevor Du die Beispiellösung aufklappst; andere sachlich richtige Antworten sind ebenfalls richtig.

Aufgabe 1.1: Mit dem Notebook im Café arbeiten (Basiskompetenz)

(ca. 18 min Bearbeitungszeit)

Entwickler Jonas Weber von der Let’s Meet GmbH in Bielefeld arbeitet an einigen Tagen unterwegs, z. B. im Café am Jahnplatz mit dessen offenem WLAN. Für den Zugriff auf das Entwicklungsnetz im Rechenzentrum hat Teamleiter Yusuf Demir auf Jonas’ Notebook einen VPN-Client eingerichtet und ihm ein persönliches digitales Zertifikat ausgestellt.

a) Jonas meint: „Im Café rufe ich sowieso nur Seiten mit HTTPS auf, da bringt mir das VPN nichts.“ Beurteile die Aussage, indem Du zwei Dinge erläuterst, die das VPN über HTTPS hinaus leistet. (4 Punkte)

Die Aussage greift zu kurz. Zwei der folgenden (je 2 Punkte):

Zugang zum internen Netz: Die Server im Entwicklungsnetz sind aus dem Internet gar nicht erreichbar. Das VPN (Virtual Private Network) baut über das öffentliche Netz einen verschlüsselten Tunnel auf, durch den Jonas’ Notebook so arbeitet, als stünde es im Netz des Rechenzentrums – ganz ohne eigene Leitung.
Schutz für den gesamten Datenverkehr: HTTPS schützt nur einzelne Webverbindungen. Durch den Tunnel laufen auch DNS-Anfragen, git über SSH, Datenbank-Clients oder interne Dienste ohne TLS geschützt; der Café-Betreiber sieht nur noch eine Verbindung zum VPN-Gateway.
Gegenseitige Identitätsprüfung: Notebook und Gateway weisen sich beim Verbindungsaufbau gegenseitig aus. Nur Geräte mit gültigem Zertifikat kommen ins Entwicklungsnetz.

b) Übertrage die Tabelle und ergänze für jede Bedrohung im Café-WLAN das vorrangig betroffene Schutzziel und wie das VPN die Bedrohung abwehrt. (6 Punkte)

Bedrohungen im offenen WLAN
Bedrohung im Café-WLAN	betroffenes Schutzziel	Wirkung des VPN
Ein anderer Gast schneidet den Funkverkehr mit und sucht nach Zugangsdaten zum Testserver.
Ein Gerät mit dem WLAN-Namen „Cafe-Jahnplatz-Gast“ gibt sich als Zugangspunkt aus und leitet Jonas’ Verbindungen auf einen eigenen Server um.
Ein Angreifer verändert eine Konfigurationsdatei, während sie zum Testserver übertragen wird.

Bedrohung	Schutzziel	Wirkung des VPN
Mitschneiden	Vertraulichkeit	Die Daten sind im Tunnel verschlüsselt; der Gast sieht nur unlesbare Pakete.
falscher Zugangspunkt	Authentizität	Der Tunnel kommt nur zustande, wenn sich das echte Gateway mit seinem Schlüssel ausweist; der Server des Angreifers kann das nicht und wird abgelehnt.
veränderte Datei	Integrität	Jedes Paket trägt einen Prüfwert; veränderte Pakete erkennt die Gegenstelle und verwirft sie.

Je Zeile 1 Punkt für das Schutzziel und 1 Punkt für die Wirkung.

c) Jonas’ Notebook wird im Café gestohlen. Beschreibe, wozu das persönliche Zertifikat beim VPN-Zugang dient, und leite daraus zwei Maßnahmen ab, die Yusuf Demir jetzt ergreifen muss. (4 Punkte)

Mit dem Zertifikat und dem zugehörigen privaten Schlüssel auf dem Notebook weist das Gerät gegenüber dem VPN-Gateway nach, dass es Jonas gehört; das Gateway prüft, ob das Zertifikat von der Let’s-Meet-Zertifizierungsstelle signiert, gültig und nicht gesperrt ist (2 Punkte). Wer das Notebook hat, besitzt also auch diesen Nachweis. Maßnahmen (je 1 Punkt): das Zertifikat sofort sperren (auf die Sperrliste setzen) bzw. Jonas’ VPN-Konto deaktivieren; im Protokoll des Gateways prüfen, ob seit dem Diebstahl Verbindungen mit dem Zertifikat aufgebaut wurden; Jonas für ein Ersatzgerät ein neues Zertifikat ausstellen; Passwörter ändern, die auf dem Notebook gespeichert waren.

d) Eine Praktikantin hat sich Notizen zu den VPN-Arten gemacht. Entscheide für jede Aussage, ob sie richtig oder falsch ist, und korrigiere die falschen Aussagen. (3 Punkte)

„Beim Site-to-Site-VPN zwischen dem Büro am Jahnplatz und dem Rechenzentrum muss auf jedem Büro-PC ein VPN-Client laufen.“
„Jonas’ Verbindung aus dem Café ist ein End-to-Site-VPN, weil ein einzelnes Gerät mit einem ganzen Netz verbunden wird.“
„Bei einem End-to-End-VPN endet der Tunnel am Gateway des Rechenzentrums, dahinter läuft der Verkehr unverschlüsselt bis zum Zielserver.“

Falsch: Bei Site-to-Site bauen nur die beiden Router bzw. Gateways den Tunnel auf; die Büro-PCs brauchen keine VPN-Software (1 Punkt).
Richtig (1 Punkt).
Falsch: Bei End-to-End reicht der Tunnel vom einen Endgerät bis direkt zum anderen Endgerät (z. B. zum Zielserver); beschrieben ist eine End-to-Site-Verbindung (1 Punkt).

e) Jonas stellt fest, dass Videokonferenzen mit Kundinnen und Kunden bei eingeschaltetem VPN häufiger ruckeln als ohne. Erläutere zwei mögliche Gründe und nenne eine Einstellung, mit der Yusuf das Problem entschärfen könnte, ohne auf das VPN zu verzichten. (3 Punkte)

Zwei der folgenden Gründe (je 1 Punkt): Der Verkehr macht einen Umweg über das Gateway im Rechenzentrum, die Laufzeit steigt; zusätzliche Header und das Ver- und Entschlüsseln kosten Bandbreite und Rechenzeit; das Gateway teilt seine Anbindung mit allen anderen Beschäftigten; bei schlechtem WLAN wird der Tunnel neu aufgebaut.

Einstellung (1 Punkt): Split-Tunneling, bei dem nur das Entwicklungsnetz durch den Tunnel läuft und der Konferenzdienst direkt erreicht wird. (Dann ist dieser Verkehr allerdings nur noch durch die Verschlüsselung des Konferenzdienstes selbst geschützt.)

Aufgabe 2.1: Die VPN-Verbindungen der CSB-Rad GmbH planen (Kernkompetenz)

(ca. 32 min Bearbeitungszeit)

Die CSB-Rad GmbH (Zentrale in Bielefeld-Sennestadt) eröffnet 2027 einen Showroom in der Bielefelder Innenstadt. Das Kassensystem im Showroom soll dauerhaft auf den Dateiserver nas-sen und die Warenwirtschaft in der Zentrale zugreifen. Außerdem arbeiten bis zu 40 Beschäftigte aus Vertrieb und Homeoffice mit ihren Notebooks von unterwegs. Geschäftsführer Cem Sarıkaya hat den folgenden Netzwerkplan entworfen. Der Router der Zentrale (R-INT) erreicht das Internet über die DMZ mit der öffentlichen Adresse 198.51.100.54, der Router des Showrooms (R-SHOW) über seinen eigenen DSL-Anschluss mit 192.0.2.130.

Netzwerkplan der VPN-Verbindungen der CSB-Rad GmbH mit den zu benennenden Geräten 1 bis 4 und Netzen A und B (mit KI erstellt)

a) Ordne den Positionen (1) bis (4) jeweils ihre Aufgabe zu: VPN-Client, VPN-Gateway für Fernzugriffe, Tunnelendpunkt Zentrale (Standortvernetzung), Tunnelendpunkt Showroom (Standortvernetzung). Benenne außerdem für die Netze (A) und (B) die jeweilige VPN-Art. (6 Punkte)

1. R-INT: Tunnelendpunkt Zentrale (Standortvernetzung)
(2) NGFW: VPN-Gateway für Fernzugriffe
(3) Notebook: VPN-Client
(4) R-SHOW: Tunnelendpunkt Showroom (Standortvernetzung)
1. Site-to-Site-VPN, (B) End-to-Site- bzw. Remote-Access-VPN

Je Position 1 Punkt, je Netz 1 Punkt.

Netzwerkplan der VPN-Verbindungen der CSB-Rad GmbH mit allen Bezeichnungen (mit KI erstellt)

b) Im Showroom wird der Kassen-PC ausgetauscht, gleichzeitig bekommt eine neue Vertriebsmitarbeiterin ein Notebook. Die Technikerin fragt, welches VPN-Profil er auf den beiden Geräten installieren soll. Erkläre ihr, warum der neue Kassen-PC kein VPN-Profil braucht, das neue Notebook aber schon. (3 Punkte)

Der Showroom ist per Site-to-Site-VPN angebunden: Den Tunnel bauen R-SHOW und R-INT dauerhaft auf, der Kassen-PC schickt Pakete für die Zentrale einfach an sein Standardgateway R-SHOW und merkt vom Tunnel nichts (1,5 Punkte). Das Notebook arbeitet dagegen von wechselnden Orten aus ohne eigenen Firmenrouter; es ist selbst Tunnelendpunkt (End-to-Site) und braucht deshalb einen VPN-Client mit persönlichem Zertifikat, der sich bei der NGFW anmeldet (1,5 Punkte).

c) Ein Mitschnitt am DSL-Anschluss des Showrooms zeigt während einer Kassenbuchung nur Pakete der folgenden Form:

192.0.2.130 → 198.51.100.54   ESP  (SPI=0x2c41a7e0, Seq=18342)  Länge 1438

Ein Auszubildender folgert daraus: „Der Kassen-PC hat also gar nicht auf nas-sen zugegriffen.“ Beurteile diese Folgerung. Gib dabei an, wo im Paket die Adressen von Kassen-PC und nas-sen stehen und warum sie im Mitschnitt nicht zu sehen sind. (5 Punkte)

Die Folgerung ist falsch (1 Punkt). Im Tunnelmodus verschlüsselt R-SHOW das komplette Originalpaket des Kassen-PCs – samt seinem IP-Header mit Quelle 172.20.97.40 und Ziel 172.20.33.10 (nas-sen) – und packt es in den ESP-Teil eines neuen Pakets (2 Punkte). Davor setzt R-SHOW einen neuen äußeren IP-Header mit den öffentlichen Adressen der beiden Tunnelendpunkte (192.0.2.130 → 198.51.100.54), weil nur diese im Internet geroutet werden; die privaten Adressen sind im Mitschnitt also nur verschlüsselt enthalten (2 Punkte).

d) Für die Fernzugriffe der Vertriebsnotebooks aus Hotels und von Hotspots soll IPsec eingesetzt werden. Übertrage die Tabelle, vergleiche die Verfahren AH und ESP und begründe anhand der Tabelle, welches Verfahren eingesetzt wird. (5 Punkte)

Vergleich von AH und ESP
Merkmal	AH	ESP (mit NAT-Traversal)
Nutzdaten werden verschlüsselt
Prüfwert umfasst auch den äußeren IP-Header
Verbindung durch einen Router mit NAT möglich

Merkmal	AH	ESP (mit NAT-Traversal)
Nutzdaten verschlüsselt	nein	ja
Prüfwert über äußeren IP-Header	ja	nein
durch NAT-Router möglich	nein	ja (ESP zusätzlich in UDP, Port 4500)

Je Zeile 1 Punkt.

Eingesetzt wird ESP mit NAT-Traversal (2 Punkte): In Hotels und an Hotspots ersetzt ein NAT-Router die Absenderadresse des Notebooks. Weil AH seinen Prüfwert auch über diesen Header bildet, passt er danach nicht mehr und das Gateway verwirft die Pakete; außerdem verschlüsselt AH nicht. ESP lässt den äußeren Header aus der Prüfung heraus und verschlüsselt die Daten.

e) Für die Standortvernetzung kommen zwei Varianten in Frage. Bewerte beide Varianten anhand von drei Merkmalen aus der Tabelle für die Situation der CSB-Rad GmbH und gib eine begründete Empfehlung ab. (5 Punkte)

Varianten für die Standortvernetzung
Merkmal	Variante W: WireGuard	Variante I: IPsec mit IKEv2
Verschlüsselungsverfahren	fest vorgegeben (ChaCha20-Poly1305), keine Aushandlung	aushandelbar (z. B. AES-GCM), beide Seiten müssen passend eingestellt sein
Umfang der Konfiguration	wenige Zeilen je Gegenstelle	umfangreich (Proposals, Lebensdauern, Identitäten)
Ports in der Firewall	ein UDP-Port	UDP 500 und 4500, ggf. ESP
Unterstützung durch R-INT und R-SHOW	ab aktueller Firmware	ja
Erfahrung im Team	bisher keine	Fernzugriffe über die NGFW laufen bereits mit IPsec/IKEv2

Je bewertetem Merkmal 1 Punkt, Empfehlung mit Begründung 2 Punkte. Beide Empfehlungen sind möglich, wenn sie schlüssig aus den Merkmalen folgen, z. B.:

Verschlüsselungsverfahren: Bei W gibt es keine unsicheren Einstellungen, die man versehentlich wählen kann; bei I muss das Team sichere Proposals selbst festlegen.
Konfiguration und Ports: W ist schneller eingerichtet und braucht nur eine Firewallregel, das senkt die Fehlerquote.
Erfahrung: Für I ist das Wissen bereits vorhanden, Fehlersuche und Vertretung sind leichter; W müsste das Team erst lernen.

Empfehlung z. B. I: Die CSB-Rad GmbH betreibt IPsec/IKEv2 schon für die Fernzugriffe, beide Router unterstützen es ohne Firmwarewechsel, und ein einheitliches Verfahren vereinfacht Betrieb und Fehlersuche. (Alternativ W mit Hinweis auf die einfachere und weniger fehleranfällige Konfiguration nach einem Firmware-Update.)

f) Für R-SHOW stehen zwei Router zur Wahl. Der Showroom erhält einen DSL-Anschluss mit 250 Mbit/s im Download und 40 Mbit/s im Upload. Wähle einen Router aus, begründe Deine Wahl und erkläre, warum der Firewall-Durchsatz für diese Entscheidung wenig aussagt. Nenne außerdem eine weitere Angabe, die Du vor dem Kauf prüfen würdest. (5 Punkte)

Router für den Showroom
Angabe im Datenblatt	Router X	Router Y
Firewall-Durchsatz	1 000 Mbit/s	700 Mbit/s
IPsec-Durchsatz (AES-256)	60 Mbit/s	300 Mbit/s
Preis	189 €	329 €

Auswahl (2 Punkte): Router Y. Der gesamte Verkehr zwischen Showroom und Zentrale läuft verschlüsselt durch den Tunnel; Router X schafft dabei nur 60 Mbit/s und würde den Download von 250 Mbit/s auf ein Viertel ausbremsen. Router Y nutzt die Leitung voll aus; der höhere Preis ist für eine Geschäftsanbindung vertretbar.
Firewall-Durchsatz (2 Punkte): Er gilt für unverschlüsselt weitergeleitete Pakete. Im Tunnel muss der Router jedes Paket zusätzlich ver- und entschlüsseln; diese Rechenarbeit begrenzt den Durchsatz, deshalb ist der IPsec-Wert maßgeblich.
Weitere Angabe (1 Punkt), z. B.: Zeitraum, für den Sicherheitsupdates zugesagt sind; unterstützte VPN-Verfahren (IKEv2, WireGuard); Hardwarebeschleunigung für die Verschlüsselung; Anzahl gleichzeitiger Tunnel.

g) Ein Dienstleister schlägt für den Tunnel zwischen R-INT und R-SHOW die Einstellung „Bridging über TCP-Port 443“ vor, weil „das überall funktioniert“. Beurteile beide Teile des Vorschlags für die Standortvernetzung und mache einen Gegenvorschlag. (6 Punkte)

Bridging (3 Punkte): ungeeignet. Zentrale (172.20.32.0/19) und Showroom (172.20.96.0/19) sind verschiedene IP-Netze; Bridging koppelt die Standorte auf Schicht 2 zu einer gemeinsamen Broadcast-Domäne; das passt nicht zu zwei getrennten IP-Netzen, zwischen denen geroutet wird. Außerdem liefen alle Broadcasts (ARP, DHCP) über die Leitung, und der DHCP-Server der Zentrale könnte Geräten im Showroom Adressen zuteilen. Gegenvorschlag: Routing, die Router leiten nur Pakete für das jeweils andere Netz durch den Tunnel.
TCP 443 (3 Punkte): unnötig. TCP über Port 443 hilft nur, wenn ein fremdes Netz alles außer Webverkehr sperrt – an den eigenen Anschlüssen der Standorte ist das nicht der Fall. Läuft TCP-Verkehr (z. B. von der Warenwirtschaft) durch einen TCP-Tunnel, wiederholen bei Paketverlust beide TCP-Ebenen und bremsen sich gegenseitig aus; dazu kommt mehr Overhead. Gegenvorschlag: UDP als Transport, die Zuverlässigkeit übernimmt das TCP der Anwendungen.

Aufgabe 2.2: Fehlersuche beim VPN der Lehrkräfte (Kernkompetenz)

(ca. 34 min Bearbeitungszeit)

Die Schul-IT OWL betreibt für die Lehrkräfte des Ratz und Rübe Berufskollegs (RRB) einen VPN-Zugang ins Schulnetz (End-to-Site, IPsec mit IKEv2). Das VPN-Gateway hat im Tunnel die Adresse 10.255.8.1, die Clients erhalten Adressen aus 10.255.8.0/24. Der Info-Server für das Barcamp steht im Servernetz 10.140.0.0/28 (Adresse 10.140.0.10). Netzwerkadministratorin Svenja Krämer bittet Dich, mehrere Störungsmeldungen zu bearbeiten.

a) Am Montagmorgen melden drei Lehrkräfte, dass ihr VPN nicht funktioniert. Svenja Krämer zeigt Dir dazu den folgenden (vereinfachten) Auszug aus dem Protokoll des VPN-Gateways. Gib für jede Zeile die Ursache an und wer was tun muss, damit die Lehrkraft wieder arbeiten kann. Gib außerdem an, welche Zeile auch auf einen Angriffsversuch hindeuten könnte. (7 Punkte)

2026-11-02 07:41:12  IKE_AUTH    peer 203.0.113.77   certificate CN=a.nowak expired (notAfter 2026-10-31)
2026-11-02 07:52:40  IKE_SA_INIT peer 198.51.100.201 no proposal chosen (offered: 3DES/SHA1/MODP1024)
2026-11-02 08:05:03  EAP         peer 203.0.113.140  user 'l.hoffmann' rejected: account locked (5 failed logins)

Zeile	Ursache (je 1 Punkt)	Maßnahme (je 1 Punkt)
1	Das Gerätezertifikat der Lehrkraft ist seit dem 31.10. abgelaufen; das Gateway lehnt die Anmeldung ab.	Schul-IT stellt ein neues Zertifikat aus, die Lehrkraft installiert es (künftig rechtzeitig automatisch erneuern).
2	Der Client bietet nur veraltete, unsichere Verfahren an (3DES, SHA-1, kleine DH-Gruppe), die das Gateway nicht mehr akzeptiert – vermutlich ein altes VPN-Profil.	Lehrkraft bzw. Schul-IT spielt das aktuelle Profil ein oder aktualisiert den Client; das Gateway wird nicht auf unsichere Verfahren zurückgestellt.
3	Nach fünf falschen Passworteingaben ist das Konto gesperrt.	Schul-IT entsperrt das Konto nach Identitätsprüfung bzw. setzt das Passwort zurück; die Lehrkraft meldet sich mit dem richtigen Passwort an.

Angriffsversuch (1 Punkt): Zeile 3 – fünf Fehlversuche können auch bedeuten, dass jemand das Passwort errät. Die Schul-IT sollte bei der Lehrkraft nachfragen, ob die Versuche von ihr stammen.

b) Informatiklehrer Dimitrios Papadopoulos will im WLAN eines Bahnhofs arbeiten. Er hat folgende Beobachtungen notiert. Leite die wahrscheinlichste Ursache ab, begründe mit den Beobachtungen, warum seine Zugangsdaten und das VPN-Gateway als Ursache ausscheiden, und schlage eine dauerhafte Lösung vor, die auch in solchen Netzen funktioniert. Erkläre, warum sie hilft. (6 Punkte)

Beobachtungen am Bahnhof
Test	Ergebnis
Schulhomepage im Browser aufrufen	wird angezeigt
VPN-Client starten	„Verbindung wird hergestellt …“, Abbruch nach 30 s
Protokoll des VPN-Gateways	kein Eintrag zu Dimitrios’ Verbindungsversuch
derselbe Client über den Hotspot seines Smartphones	Tunnel steht nach 2 s

Ursache (2 Punkte): Das Bahnhofs-WLAN lässt nur Webverkehr (TCP 80/443) durch und sperrt die für IKE und IPsec nötigen Ports UDP 500 und 4500. Die Anfragen des Clients erreichen das Gateway nie.
Ausschluss (je 1 Punkt): Wären Zugangsdaten oder Zertifikat falsch, stünde im Protokoll des Gateways eine abgelehnte Anmeldung; es gibt aber gar keinen Eintrag. Über den Smartphone-Hotspot funktioniert derselbe Client mit denselben Daten – also arbeiten Gateway und Konfiguration richtig, das Problem liegt im Bahnhofsnetz.
Lösung (2 Punkte): Am Gateway eine Ausweichmöglichkeit über TCP 443 anbieten (z. B. IKEv2 über TCP oder ein SSL-VPN), die der Client in solchen Netzen automatisch nutzt. Das hilft, weil dieser Port für den Webverkehr freigegeben sein muss und sich der Tunnel darin wie eine gewöhnliche HTTPS-Verbindung verhält.

c) Bei Emre Aksoy (Technikteam) zeigt der VPN-Client „verbunden“, der Info-Server ist aber nicht erreichbar. Ein tracert liefert:

C:\> tracert -d 10.140.0.10
  1     3 ms     2 ms     2 ms  192.168.0.1
  2    11 ms     9 ms    10 ms  100.64.12.1
  3     *        *        *     Zeitüberschreitung der Anforderung.

Netzwerkplan und Routingtabelle zeigen die Ausgangssituation bei Emres Notebook:

Netzwerkplan des VPN-Zugangs: Notebook von Emre im Heimnetz 192.168.0.0/24 mit Heimrouter 192.168.0.1, VPN-Netz 10.255.8.0/24 mit Tunneladresse 10.255.8.23 und VPN-Gateway 10.255.8.1, Servernetz 10.140.0.0/28 mit Info-Server 10.140.0.10 (mit KI erstellt)

Netzwerkziel      Netzwerkmaske      Gateway          Schnittstelle    Metrik
0.0.0.0           0.0.0.0            192.168.0.1      192.168.0.34     25
10.255.8.0        255.255.255.0      Auf Verbindung   10.255.8.23      1
127.0.0.0         255.0.0.0          Auf Verbindung   127.0.0.1        331
192.168.0.0       255.255.255.0      Auf Verbindung   192.168.0.34     281

Erkläre anhand der Routingtabelle, welche Zeile für das Ziel 10.140.0.10 verwendet wird und warum das tracert so aussieht. Svenja Krämer überlegt zwei Lösungen: (1) Ein Skript trägt auf jedem Notebook eine statische Route ein, (2) das VPN-Gateway überträgt die Route beim Verbindungsaufbau an die Clients. Gib den Eintrag an, der in der Routingtabelle fehlt, und bewerte beide Lösungen. (5 Punkte)

Analyse (2 Punkte): Zu 10.140.0.10 passt keine spezifische Route, nur die Standardroute 0.0.0.0/0 mit Gateway 192.168.0.1. Das Paket geht deshalb am Tunnel vorbei zum Heimrouter (Hop 1) und weiter zum Provider (Hop 2); dort wird die private Adresse nicht weitergeleitet, die weiteren Hops antworten nicht.
Fehlender Eintrag (1 Punkt): Netzwerkziel 10.140.0.0, Maske 255.255.255.240, Gateway 10.255.8.1, Schnittstelle 10.255.8.23 (ein größeres Netz wie 10.140.0.0/16 über den Tunnel ist ebenfalls richtig).
Bewertung (2 Punkte): Lösung (1) hilft sofort, muss aber auf jedem Gerät gepflegt werden; kommt ein weiteres Schulnetz hinzu, müssen alle Skripte geändert werden. Lösung (2) ist dauerhaft besser: Die Route wird zentral gepflegt und gilt automatisch für alle Lehrkräfte.

d) Bei einer weiteren Lehrkraft verwendet das Heimnetz den Adressbereich 10.140.0.0/24. Beschreibe, welches Problem dadurch entsteht. (3 Punkte)

Das Heimnetz überschneidet sich mit dem Servernetz der Schule (10.140.0.0/28 liegt in 10.140.0.0/24) (1 Punkt). Das Notebook hält 10.140.0.10 für ein Ziel im eigenen Heimnetz und schickt die Pakete direkt dorthin statt durch den Tunnel – der Info-Server ist nicht erreichbar, ggf. antwortet sogar ein fremdes Gerät (1 Punkt). Abhilfe: Heimnetz auf einen anderen Bereich umstellen oder im Schulnetz selten genutzte Bereiche wählen (1 Punkt).

e) Seit der Umstellung auf IPsec brechen Uploads großer Unterrichtsvideos über das VPN ab, Chat und Moodle-Seiten funktionieren dagegen. Laut Hersteller fügt der Tunnel (äußerer IP-Header, UDP für NAT-Traversal, ESP-Header, Prüfwert und Füllbytes) höchstens 73 Byte zu jedem Paket hinzu. Die MTU der Internetleitungen beträgt 1500 Byte, ICMP-Meldungen zur Paketgröße werden unterwegs von einer Firewall verworfen. Erkläre, warum gerade große Uploads scheitern, und berechne den Wert, den das Gateway per MSS-Clamping als maximale Segmentgröße (MSS) in TCP-Verbindungen durch den Tunnel eintragen sollte. IPv4- und TCP-Header sind je 20 Byte lang. (5 Punkte)

Erklärung (2 Punkte): Kleine Pakete (Chat, kurze Seiten) bleiben auch mit den 73 Byte Tunnel-Overhead unter 1500 Byte. Bei großen Uploads füllt TCP die Pakete bis zur MTU auf; mit dem Overhead werden sie zu groß und müssten zerlegt werden. Weil die Rückmeldung „zu groß“ (ICMP) unterwegs verworfen wird, erfahren die Endgeräte davon nichts, senden immer wieder zu große Pakete, und die Übertragung bricht ab.

Rechnung (3 Punkte):

\text{inneres Paket}_{max} = 1500\ \text{Byte} - 73\ \text{Byte} = 1427\ \text{Byte}

\text{MSS} = 1427\ \text{Byte} - 20\ \text{Byte}\ (\text{IPv4}) - 20\ \text{Byte}\ (\text{TCP}) = \underline{\underline{1387\ \text{Byte}}}

f) Mit dieser Einstellung trägt jedes volle Paket 1387 Byte Nutzdaten in 1500 Byte auf der Leitung (Header der Sicherungsschicht bleiben unberücksichtigt). Berechne den Anteil der Nutzdaten in Prozent und die Mindestdauer für den Upload einer Unterrichtsaufzeichnung von 1,2 GB (1 GB = 10⁹ Byte) über einen Upload von 40 Mbit/s. Der Rechenweg ist anzugeben. (5 Punkte)

Geg.: D = 1{,}2\ \text{GB} = 1{,}2 \cdot 10^9\ \text{Byte}; Nutzdaten je Paket p = 1387\ \text{Byte}; Paket auf der Leitung l = 1500\ \text{Byte}; r = 40\ \text{Mbit/s} = 40\,000\,000\ \text{bit/s}

Ges.: Nutzdatenanteil \eta, Übertragungsdauer t

I: Nutzdatenanteil (2 Punkte)

\eta = \frac{p}{l} = \frac{1387\ \text{Byte}}{1500\ \text{Byte}} \approx 0{,}9247 = \underline{92{,}47\ \%}

II: Übertragungsdauer (3 Punkte)

t = \frac{D \cdot 8\ \text{bit/Byte}}{r \cdot \eta}

I in II:

t = \frac{1{,}2 \cdot 10^9\ \text{Byte} \cdot 8\ \text{bit/Byte}}{40\,000\,000\ \text{bit/s} \cdot 0{,}9247} = \frac{9{,}6 \cdot 10^9\ \text{bit}}{36\,986\,667\ \text{bit/s}} \approx \underline{\underline{259{,}6\ \text{s}}} \approx 4\ \text{min}\ 20\ \text{s}

g) Für den VPN-Zugang ist ein Full-Tunnel eingerichtet: Nach dem Verbindungsaufbau zeigt die IPv4-Standardroute in den Tunnel, damit der gesamte Internetverkehr den Jugendschutz- und Virenfilter der Schul-IT passiert. Trotzdem protokolliert der Filter keine Aufrufe von Tobias Brandt (Lehrkraft für Mathematik) auf lernvideos.example, für das der DNS eine IPv4- und eine IPv6-Adresse liefert. Ein Auszug aus ipconfig auf seinem Notebook zeigt:

Drahtlos-LAN-Adapter WLAN:
   IPv6-Adresse. . . . . . . . . . . : 2001:db8:4a1:7700::3c
   IPv4-Adresse  . . . . . . . . . . : 192.168.178.52
   Standardgateway . . . . . . . . . : fe80::1%12
                                       192.168.178.1
PPP-Adapter Schul-VPN:
   IPv4-Adresse  . . . . . . . . . . : 10.255.8.57

Erkläre, wie die Aufrufe am Filter vorbeikommen, und beurteile die folgenden Vorschläge: (1) Split-Tunneling abschalten, (2) im VPN-Profil auch IPv6 durch den Tunnel leiten bzw. IPv6 außerhalb des Tunnels sperren, (3) den DNS-Cache des Notebooks leeren. (6 Punkte)

Erklärung (3 Punkte, je Gedanke 1 Punkt): Das Heimnetz von Tobias Brandt vergibt eine öffentliche IPv6-Adresse und ein IPv6-Standardgateway. Das VPN-Profil leitet nur IPv4 in den Tunnel, der Tunneladapter hat keine IPv6-Adresse. Betriebssystem und Browser bevorzugen IPv6, wenn das Ziel eine IPv6-Adresse hat – diese Verbindungen laufen deshalb über das IPv6-Gateway des Heimrouters direkt ins Internet, am Filter vorbei.
Bewertung (je 1 Punkt): (1) wirkungslos, für IPv4 ist bereits ein Full-Tunnel aktiv. (2) wirksam, weil dann auch der IPv6-Verkehr den Filter passiert oder gar nicht erst nach außen gelangt. (3) wirkungslos, der DNS liefert beim nächsten Aufruf wieder die IPv6-Adresse.

Aufgabe 2.3: Wartungszugang und erzwungenes VPN (Kernkompetenz)

(ca. 23 min Bearbeitungszeit)

Die Let’s Meet GmbH betreibt Backend und Datenbank bei einem Rechenzentrumsbetreiber (Servernetz 10.99.0.0/16). Ein externer Dienstleister soll künftig den Datenbankserver warten. Außerdem erhalten alle Beschäftigten neue Firmen-Notebooks.

a) Für den externen Dienstleister stehen zwei Varianten zur Wahl: (V1) ein End-to-Site-Zugang, über den das Notebook des Dienstleisters das ganze Servernetz 10.99.0.0/16 erreicht, oder (V2) ein End-to-End-Tunnel direkt zwischen dem Notebook des Dienstleisters und dem Datenbankserver. Vergleiche beide Varianten hinsichtlich Angriffsfläche und Aufwand und gib eine Empfehlung ab. (4 Punkte)

Angriffsfläche (1 Punkt): Bei V1 erreicht der Dienstleister – oder ein Angreifer, der sein Notebook übernimmt – alle Server im Netz, sofern keine zusätzlichen Firewallregeln greifen. Bei V2 endet der Tunnel am Datenbankserver, nur dieser ist erreichbar.
Aufwand (1 Punkt): V1 nutzt das vorhandene VPN-Gateway, es muss nur ein Konto angelegt und per Regel eingeschränkt werden. Für V2 muss VPN-Software auf dem Datenbankserver selbst laufen und gepflegt werden.
Empfehlung (2 Punkte), z. B.: V2, weil der Dienstleister nur diesen einen Server warten soll und ein Fremdzugang so wenig wie möglich erreichen darf; ergänzend den Zugang zeitlich begrenzen, protokollieren und nach Auftragsende sperren. (V1 ist ebenfalls vertretbar, wenn am Gateway eine Regel nur den Datenbankserver freigibt.)

b) Für die Notebooks der Beschäftigten wird WireGuard eingesetzt. Erläutere die Bedeutung der Einträge Address, DNS, PublicKey (im Abschnitt [Peer]), Endpoint und AllowedIPs. (8 Punkte)

[Interface]
PrivateKey = <privater Schlüssel des Notebooks>
Address = 10.99.250.12/32
DNS = 10.99.0.53

[Peer]
PublicKey = <öffentlicher Schlüssel des VPN-Gateways>
Endpoint = vpn.letsmeet.example:51820
AllowedIPs = 10.99.0.0/16

Eintrag	Bedeutung
`Address`	IP-Adresse des Notebooks im Tunnel (2 Punkte)
`DNS`	interner DNS-Server, der über den Tunnel für die Namensauflösung genutzt wird (1 Punkt)
`PublicKey`	öffentlicher Schlüssel der Gegenstelle; nur ein Gateway, das den passenden privaten Schlüssel besitzt, wird akzeptiert (Authentizität) (2 Punkte)
`Endpoint`	Name bzw. Adresse und UDP-Port des VPN-Gateways im Internet (1 Punkt)
`AllowedIPs`	Zielnetze, die durch den Tunnel geleitet werden; hier nur das Servernetz `10.99.0.0/16`, also Split-Tunneling. Mit `0.0.0.0/0, ::/0` liefe der gesamte Verkehr durch den Tunnel (2 Punkte)

c) Yusuf Demir möchte die Notebooks so einrichten, dass sie bei jeder Netzwerkverbindung automatisch den Tunnel aufbauen und ohne Tunnel keinen Datenverkehr zulassen (erzwungenes VPN, Full-Tunnel). Gib an, wie die Zeile AllowedIPs aus b) dafür geändert werden muss. Beschreibe außerdem eine Situation unterwegs, in der diese Einstellung das Arbeiten zunächst verhindert, und schlage eine Lösung vor. (5 Punkte)

AllowedIPs (1 Punkt): AllowedIPs = 0.0.0.0/0, ::/0 – damit läuft der gesamte IPv4- und IPv6-Verkehr durch den Tunnel (zusätzlich blockiert eine Regel alles außerhalb des Tunnels).
Situation (2 Punkte): In einem Hotel- oder Zug-WLAN muss man sich erst auf einer Anmeldeseite (Captive Portal) anmelden, bevor überhaupt Internetverkehr möglich ist. Da ohne Tunnel kein Verkehr erlaubt ist, kann der Browser die Anmeldeseite nicht öffnen, und ohne Anmeldung kommt der Tunnel nicht zustande.
Lösung (2 Punkte), z. B.: eine Ausnahme, die nur für die Anmeldung am Captive Portal kurzzeitig Verkehr außerhalb des Tunnels erlaubt (viele VPN-Clients bieten dafür eine eigene Funktion), oder Arbeiten über den Mobilfunk-Hotspot des Diensthandys.

d) Im Hotel-WLAN leitet ein Angreifer per gefälschter DNS-Antwort den Namen vpn.letsmeet.example auf seinen eigenen Rechner um. Benenne die Art des Angriffs und erläutere mithilfe der Konfiguration aus b), warum das Notebook trotzdem keinen Tunnel zum Angreifer aufbaut. Beschreibe, welchen Schaden der Angreifer dennoch anrichten kann. (4 Punkte)

Der Angreifer versucht einen Man-in-the-Middle-Angriff: Er will sich zwischen Notebook und Firmennetz schalten, sich als Gateway ausgeben und den Verkehr mitlesen oder verändern (1 Punkt). Das Notebook nimmt aber nur eine Gegenstelle an, die zum eingetragenen PublicKey den passenden privaten Schlüssel besitzt. Diesen hat der Angreifer nicht, der Schlüsselaustausch schlägt fehl und es entsteht kein Tunnel; es gehen keine Daten an ihn (2 Punkte). Schaden (1 Punkt): Solange die Umleitung besteht, kommt gar keine VPN-Verbindung zustande – der Angreifer verhindert das Arbeiten (Verfügbarkeit), und bei einem erzwungenen VPN ist das Notebook dann ganz offline.

e) Ein Kollege schlägt vor, statt des eigenen Zugangs ein kommerzielles VPN-Abo zu nutzen. Der Anbieter wirbt mit: „Deine IP-Adresse bleibt verborgen – Server in 60 Ländern – keine Protokolle – ein Klick genügt.“ Beurteile anhand von zwei Aspekten, ob dieses Angebot den Firmenzugang der Let’s Meet GmbH ersetzen kann. (4 Punkte)

Das Angebot kann den Firmenzugang nicht ersetzen. Zwei der folgenden Aspekte (je 2 Punkte):

Kein Weg ins Servernetz: Der Dienst leitet Verkehr nur über seine eigenen Server ins Internet. Das Servernetz 10.99.0.0/16 ist darüber nicht erreichbar.
Keine Zugangskontrolle der Firma: Wer sich verbindet, prüft der Anbieter nur für sein Abo; Let’s Meet kann weder Zertifikate ausgeben noch Zugänge sperren oder protokollieren.
Vertrauen in einen Fremden: Der gesamte Verkehr läuft über Server eines Dritten, dessen Versprechen („keine Protokolle“) die Firma nicht überprüfen kann; das ist auch aus Datenschutzsicht problematisch.
Ziel verfehlt: Das Verbergen der eigenen IP-Adresse gegenüber Webseiten ist nicht das Ziel des Firmen-VPN; es soll Beschäftigte sicher mit internen Diensten verbinden.

Links und weitere Informationen

Grundlagen: VPN: Arten, IPsec, Auswahl und Fehlersuche
Voraussetzung: Kryptografie, Routing
weiterführend: Firewall und DMZ

Hinweis zur Nachnutzung als Open Educational Resource (OER)

Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Übungsaufgaben zu VPN” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/vpn-uebungsaufgaben veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/schutzmassnahmen. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.

[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]

Übungsaufgaben zu VPN