Firmennetz auf einem VPS: Fernzugriff auf das Büro

Wenn Mitarbeiter im Homeoffice arbeiten, auf Dienstreise sind oder auf mehrere Standorte verteilt sind, müssen die internen Systeme des Unternehmens für sie erreichbar sein, aber nicht für das gesamte Internet. Ein ERP, einen Fileserver oder ein CRM direkt ins Netz zu stellen, ist riskant: Bots tasten jeden offenen Port schon nach wenigen Minuten ab. Die übliche Lösung ist ein privates, verschlüsseltes Netz: Der Mitarbeiter verbindet sich zuerst mit dem Gateway des Unternehmens und erreicht erst danach die internen Dienste. Das Gateway kann auf dem Router im Büro laufen, doch immer mehr Unternehmen betreiben es auf einem gemieteten VPS. Im Folgenden lesen Sie, warum das sinnvoll ist, wie die typischen Topologien funktionieren, welches Protokoll und welchen Server Sie wählen sollten und worauf es bei der Sicherheit ankommt.

Warum das Gateway auf einen VPS verlagern

Ein Internetanschluss im Büro ist selten ein guter Einstiegspunkt. Der Provider vergibt nicht immer eine feste öffentliche IP-Adresse, Büroanschlüsse sind häufig asymmetrisch (schneller Download, langsamer Upload), und ein Stromausfall im Gebäude trennt alle externen Mitarbeiter auf einmal vom Netz. Ein VPS im Rechenzentrum bietet andere Voraussetzungen:

• eine feste, dedizierte IPv4-Adresse, die sich beim Neustart nicht ändert;
• einen symmetrischen Port mit 100 Mbit/s bis 1 Gbit/s und eine Notstromversorgung im Rechenzentrum;
• das Büro verbindet sich als gewöhnlicher Client mit dem Gateway, im Büro müssen also keine eingehenden Ports geöffnet werden;
• mehrere Standorte und Hunderte Mitarbeiter verbinden sich mit einem Punkt, ohne dass zwischen jedem Standortpaar ein eigener Tunnel eingerichtet werden muss.

Laufen die internen Systeme bereits in der Cloud oder auf gemieteten Servern, verursacht ein Gateway-VPS am selben Standort kaum zusätzliche Latenz, und das Büro wird einfach zu einem weiteren Teilnehmer im Netz.

Typische Topologien für ein Firmennetz

Fernzugriff für Mitarbeiter. Auf dem VPS läuft ein VPN-Server, und jeder Mitarbeiter erhält ein persönliches Verbindungsprofil. Nach dem Verbindungsaufbau bekommt der Laptop eine Adresse im internen Netz und sieht nur die Ressourcen, die der Administrator freigegeben hat.

Büro zum Gateway (Site-to-Site). Der Router im Büro hält einen dauerhaften Tunnel zum VPS. Ein externer Mitarbeiter verbindet sich mit dem VPS und erreicht darüber das Subnetz des Büros: den Buchhaltungsserver, die Dateiablage, die Drucker. Eine feste IP-Adresse braucht das Büro dafür nicht.

Hub-and-Spoke für mehrere Filialen. Jede Filiale baut einen Tunnel zum zentralen Gateway auf und tauscht darüber Daten mit den anderen aus. Das ist einfacher als ein vollständiges Mesh, allerdings wird das Gateway zum Single Point of Failure und braucht einen Reserveserver.

In allen drei Varianten wird meist Split Tunneling eingesetzt: Nur die internen Subnetze laufen durch den Tunnel, der übrige Datenverkehr des Laptops geht direkt ins Internet. So wird das Gateway nicht mit Systemupdates und Videos belastet, und die Mitarbeiter bemerken die Verbindung im Arbeitsalltag kaum.

Welche Dienste hinter das private Netz gehören

• ERP und Buchhaltung. Desktop-Clients, Web-Clients und Remotedesktop-Sitzungen zum Buchhaltungsserver bleiben innerhalb des Netzes. Sie reagieren empfindlich auf Latenz, daher sollte das Gateway nah am Datenbankserver stehen.
• Fileserver. SMB- oder NFS-Freigaben gehören niemals ins offene Internet; über das private Netz funktionieren sie wie im Büro.
• CRM, Wiki, Ticketsystem, Monitoring. Die Weboberflächen interner Systeme kommen ohne öffentliche Adresse aus und bleiben für Crawler und Scanner unsichtbar.
• Git und CI. Repositorys, die Docker-Image-Registry und Build-Server sind für Entwickler nur aus dem Netz erreichbar; auch Administratoren greifen per SSH von innen auf die Produktivserver zu statt über einen offenen Port.

WireGuard, OpenVPN oder IPsec

Alle drei Protokolle verschlüsseln den Datenverkehr und eignen sich für ein Firmennetz; sie unterscheiden sich in Geschwindigkeit, Bedienkomfort und Kompatibilität.

Eine verbreitete Kombination ist IPsec oder WireGuard zwischen den Büros und dem Gateway sowie WireGuard für die Laptops und Smartphones der Mitarbeiter. Die Serveranforderungen für jedes Protokoll finden Sie auf den Seiten VPS für WireGuard und VPS für OpenVPN.

Welchen Server mieten

Ein Firmen-Gateway braucht keine leistungsstarke Hardware, einige Parameter sind aber entscheidend.

• CPU und RAM je nach Nutzerzahl. Bis zu 15 gleichzeitige Verbindungen laufen problemlos auf 1 vCPU und 1 GB RAM. Für 15 bis 50 Mitarbeiter nehmen Sie 2 vCPU und 2 GB, vor allem mit OpenVPN, das in einem einzigen Thread verschlüsselt und daher von der Leistung pro Kern abhängt. Bei mehr als 50 Personen oder mehreren Filialen: 2 bis 4 vCPU und ein zweiter Server als Reserve. Laufen ein Panel zur Benutzerverwaltung und das Monitoring auf demselben Server, rechnen Sie ein weiteres GB RAM ein.
• KVM-Virtualisierung. WireGuard und IPsec arbeiten auf Kernelebene, und Container-Plattformen wie OpenVZ und LXC erlauben es nicht, ein Kernelmodul zu laden. Achten Sie auf KVM-Tarife.
• Port und Traffic. Über das Gateway laufen Berichtsexporte, Dateisynchronisation, Backups und Videokonferenzen. Zehn Mitarbeiter verbrauchen leicht mehrere Hundert Gigabyte im Monat, nächtliche Backups zwischen Standorten noch mehr. Sie brauchen mindestens einen Port mit 100 Mbit/s, für ein ganzes Büro 1 Gbit/s, und klare Bedingungen für Traffic über dem Inklusivvolumen.
• Standort. Stellen Sie das Gateway nah an das Büro, an den Großteil der Mitarbeiter und an die internen Systeme. Für ein Team in Deutschland, Österreich oder der Schweiz hält ein Rechenzentrum im selben Land oder etwa in Frankfurt die Latenz im einstelligen Millisekundenbereich; von Wien oder Zürich nach Frankfurt sind es typischerweise 10 bis 15 ms. Pingen Sie vor der Bezahlung die Test-IP des Anbieters vom Büro und von mehreren privaten Anschlüssen der Mitarbeiter aus an.
• Feste IP. Eine dedizierte IPv4-Adresse ist Pflicht: Mit ihr verbinden sich die Clients und der Büro-Router. Tarife mit NAT oder einer geteilten Adresse eignen sich nicht für ein Gateway.
• Festplatte. 10 bis 20 GB reichen aus: System, Konfigurationen und Verbindungsprotokolle belegen wenig Platz.

Tarife, die diese Anforderungen erfüllen, sind auf der Seite VPS für ein Firmen-VPN zusammengestellt.

Grundlegende Absicherung des Gateways

Das Gateway ist der einzige Punkt, über den das interne Netz von außen erreichbar ist. Es braucht daher einen besseren Schutz als jeder andere Server im Unternehmen.

• Persönliche Schlüssel und Zertifikate. Jeder Mitarbeiter erhält einen eigenen Schlüssel statt eines gemeinsamen Abteilungspassworts. Wer das Unternehmen verlässt, wird mit einem Befehl deaktiviert, ohne dass andere betroffen sind; Schlüssel bleiben auf dem Gerät, statt per Messenger verschickt zu werden.
• Zwei-Faktor-Authentifizierung. OpenVPN und IPsec lassen sich an einen Verzeichnisdienst und Einmalcodes anbinden; bei WireGuard kommt der zweite Faktor über das Portal hinzu, das die Profile ausgibt. Administratoren melden sich am Server selbst nur mit SSH-Schlüsseln an, die Passwortanmeldung ist deaktiviert.
• Firewall. Von außen ist nur der VPN-Port offen, bei Bedarf zusätzlich SSH mit Beschränkung auf bestimmte Quelladressen. Innerhalb des Tunnels wird der Zugriff nach Rollen getrennt: Die Finanzabteilung erreicht die Buchhaltung, Entwickler Git und Testserver, alle anderen den Fileserver und das CRM.
• Protokolle. Halten Sie fest, wer sich wann und von welcher Adresse verbunden hat, und speichern Sie die Logs getrennt vom Gateway. Sie werden für die Aufklärung von Sicherheitsvorfällen und für interne Audits gebraucht.
• Updates und Redundanz. Spielen Sie Updates für Betriebssystem und VPN-Server regelmäßig ein. Ein zweites Gateway in einem anderen Rechenzentrum und ein Reserveprofil auf jedem Gerät halten das Unternehmen arbeitsfähig, wenn der Hauptserver ausfällt.

Einführung bei den Mitarbeitern

Der technische Teil ist an einem Tag erledigt; die meisten Probleme entstehen bei der Vergabe der Zugänge. Bereiten Sie eine kurze Anleitung für die Belegschaft vor: welche App installiert wird, wie das Profil importiert wird und an wen man sich wendet, wenn die Verbindung nicht klappt. Verteilen Sie Profile über ein Portal oder ein Mobile-Device-Management statt als E-Mail-Anhang. Beginnen Sie mit einer kleinen Gruppe, etwa der Buchhaltung oder dem Entwicklerteam, prüfen Sie, wie Buchhaltungssoftware und Fileserver durch den Tunnel laufen, und nehmen Sie erst danach alle anderen hinzu. Geben Sie internen Diensten lesbare Namen in einer internen DNS-Zone, damit die Mitarbeiter crm.office öffnen statt einer Zahlenfolge.

Die rechtliche Seite

Ein privates Netz für die eigenen Mitarbeiter eines Unternehmens ist gängige Praxis der Informationssicherheit: Es schützt Geschäftsdaten und Benutzerkonten, auch wenn jemand im Hotel oder am Flughafen über ein öffentliches WLAN arbeitet. Halten Sie die Regeln in internen Richtlinien fest: wer Zugang erhält, zu welchen Systemen und wie Schlüssel ausgegeben und widerrufen werden. Laufen personenbezogene Daten von Kunden oder Mitarbeitern über das Netz, gilt die DSGVO: Wählen Sie einen Anbieter, der einen Auftragsverarbeitungsvertrag (AVV) abschließt, betreiben Sie Server mit solchen Daten in einer geeigneten Rechtsordnung und protokollieren Sie den Zugriff darauf.

Checkliste vor dem Start

• Die Topologie steht fest: Fernzugriff, Anbindung des Büros oder Hub-and-Spoke.
• Das Protokoll und der Weg, auf dem Mitarbeiter ihre Profile erhalten, sind festgelegt.
• Der Server läuft auf KVM und hat Reserven für gleichzeitige Verbindungen.
• Dedizierte IPv4-Adresse; Port und Traffic sind auf Backups und Videokonferenzen ausgelegt.
• Die Latenz zum Gateway wurde vom Büro und von zu Hause aus gemessen.
• Persönliche Schlüssel, zweiter Faktor, Firewall und Verbindungsprotokolle sind eingerichtet.
• Ein Reserve-Gateway und ein Update-Plan sind vorhanden.

In der VPS-Suche können Sie Server nach Virtualisierung, Standort, Port und Preis filtern.