Sicher ins Intranet ohne VPN: Microsoft Direct Access im Test

Das klassische VPN könnte schon bald der Vergangenheit angehören, zumindest wenn sich Microsofts Direct-Access-Strategie durchsetzt: Anstelle einer Einwahl über einen VPN-Client sollen Rechner automatisch beim Hochfahren Zugriff auf die Firmenrechner erhalten. Der mobile Client ist immer erreichbar, beispielsweise für Updates oder Helpdesksupport über Remote Desktop. Einzige Voraussetzung ist eine Internetverbindung.

Auch die Anbindung über NAT aus einem privaten Netzwerk heraus macht keine Probleme. Client-Management-Konzepte, etwa Intels vPro, können mit einer VPN-freien Anbindung wesentlich effizienter realisiert werden.

Microsoft setzt dabei lobenswerterweise auf IPv6 als Transportprotokoll und auf IPSec zum Schutz der mobilen Clients und des Firmennetzwerks. Mit einer nativen IPv6-Anbindung entfällt die Notwendigkeit von NAT- und VPN-Verbindungen vollständig. Einen direkten IPv6-Zugang bieten heute nur wenige Provider an. Außerdem erfordert die Tatsache, dass jeder Rechner mit einer öffentlichen IPv6-Adresse im Internet steht, völlig neue Sicherheitskonzepte.

Beide Probleme adressiert Microsoft mit seinem Direct-Access-Konzept, das in Windows Server 2008 R2 und Windows 7 realisiert ist. Um IPv6 in einem IPv4-Netzwerk zu tunneln, gibt es mehrere Möglichkeiten. Dabei setzt Microsoft auf das Protokoll Teredo, das maßgeblich von den Redmondern mitentwickelt wurde und zwischenzeitlich im RFC4380 standardisiert ist. Teredo ist auch für andere Betriebssysteme wie Linux und Mac OS verfügbar, so dass sie mit Microsoft Direct Access als Unternehmensserver und als mobile Clients grundsätzlich genutzt werden können. Die bekannteste Implementierung für Linux und Mac OS ist Miredo.