Industrielles VPN: OpenVPN vs. IPSec vs. L2TP für OT-Netzwerke

Die Auswahl eines industriellen VPN beschränkt sich nicht darauf, einen Datenstrom zwischen zwei Netzwerken zu verschlüsseln. In einer OT-Umgebung muss das Protokoll 4G-NATs durchlaufen, nach einer Unterbrechung schnell wieder eine Verbindung herstellen, an Dutzenden von Standorten wartbar bleiben, den Zugriff auf SPSen beschränken, Audit-Protokolle erstellen und niemals unnötige öffentliche Ports offenlegen. OpenVPN, IPsec und L2TP erfüllen nicht alle diese Anforderungen: Hier finden Sie einen technischen Vergleich zur Auswahl einer zuverlässigen Architektur.

Warum sich ein industrielles VPN von einem VPN für den Bürogebrauch unterscheidet

Ein VPN für Büros dient häufig dazu, einen Benutzer mit internen Anwendungen zu verbinden: Dateien, Intranet, E-Mail, ERP, Arbeitsplätze. Ein industrielles VPN muss hingegen kontinuierliche OT-Datenströme zwischen Geräten übertragen, die mitunter veraltet, empfindlich oder wenig unterbrechungstolerant sind.

Die Rahmenbedingungen sind nicht dieselben:

• SPS-Steuerungen ohne native Authentifizierung;
• SCADA-Systeme, die eine stabile Verbindung erfordern;
• „geschwätzige“ oder timeout-anfällige Industrieprotokolle;
• entfernte Standorte, die über 4G LTE, 5G, Satellit oder ADSL verbunden sind;
• Fehlen eines IT-Teams vor Ort;
• Bedarf an einer groß angelegten und reproduzierbaren Bereitstellung;
• Protokollierungsanforderungen für Audits und Cybersicherheit;
• strikte Trennung zwischen IT und OT;
• Verbot, öffentliche Ports zu den Steuerungen freizugeben;
• Zugriff von Dienstleistern, der pro Standort, Gerät und Dauer zu beschränken ist.

Vor diesem Hintergrund kann sich ein VPN, das in der Zentrale gut funktioniert, in einem industriellen Mobilfunknetz als schwierig zu betreiben erweisen. NAT-Traversal, Wiederverbindung, Zugriffssperrung und Segmentierung sind ebenso wichtig wie die Verschlüsselung.

OpenVPN, IPsec, L2TP: Überblick

OpenVPN, IPsec und L2TP werden oft in dieselbe Kategorie eingeordnet, erfüllen jedoch nicht genau dieselbe Funktion.

Protokoll	Positionierung	Empfohlene OT-Verwendung
OpenVPN	Flexibles TLS-VPN, sehr gut geeignet für NAT und 4G	OT-Fernzugriff, mobile Standorte, Bereitstellung an mehreren Standorten
IPsec IKEv2	Standardisiertes Netzwerk-VPN, in Unternehmen weit verbreitet	regulierte Standort-zu-Standort-Verbindungen, Rechenzentren, kontrollierte Firewalls
L2TP mit IPsec	Layer-2-Tunnel, häufig mit IPsec verwendet	Abwärtskompatibilität, selten eine gute Wahl für Neuanwendungen
PPTP	Veraltetes VPN-Protokoll	Bei allen neuen Bereitstellungen zu vermeiden

Hinweis: Zu beachtender Punkt PPTP sollte bei modernen Industrieprojekten nicht mehr zum Einsatz kommen. Seine Sicherheitsvorkehrungen sind veraltet und entsprechen nicht den aktuellen Anforderungen an die Cybersicherheit im Bereich der Betriebstechnik (OT).

Kurzübersicht

Kriterium	OpenVPN	IPsec IKEv2	L2TP mit IPsec
4G-NAT-Durchquerung	Sehr gut	Gut, wenn NAT-T gut gehandhabt wird	Variabel
Betrieb über TCP 443	Ja	Nicht nativ	Nein
Bereitstellung an mehreren Standorten	Einfach mit Zertifikaten	Komplexer	Mittelmäßig
Kryptografische Sicherheit	Hoch bei korrekter Konfiguration	Hoch bei korrekter Konfiguration	Hängt stark von IPsec ab
Risiko einer fehlerhaften Konfiguration	Mäßig	Hoch bei komplexen Richtlinien	Mäßig bis hoch
Mobile Wiederverbindung	Gut mit Keepalive	Gut mit IKEv2 und MOBIKE	Oft weniger robust
Integration in Unternehmens-Firewalls	Einfach auf einem einzigen Port	Sehr gut in kontrollierter Netzwerkumgebung	Variabel
Zertifikatsverwaltung	Einfach mit dedizierter Plattform	Solide, aber aufwändiger	Variabel
Eignung für neue OT-Projekte	Sehr hoch	Hoch, je nach Kontext	Begrenzt

Die beste Wahl ist also nicht universell. OpenVPN ist oft die pragmatischste Lösung für entfernte Industriestandorte und 4G-Zugänge. IPsec ist nach wie vor sinnvoll, wenn die Netzwerkinfrastruktur einheitlich, gut verwaltet und bereits auf IKEv2 standardisiert ist. L2TP kommt vor allem in Altumgebungen zum Einsatz.

Empfohlene Architektur für ein OT-VPN

Eine gut konzipierte Architektur verhindert, dass am Industriestandort ein eingehender Port geöffnet wird. Das Eziwan-Gateway baut einen ausgehenden Tunnel zu einem VPN-Konzentrator auf. Techniker, das SCADA-System oder zentrale Systeme werden anschließend gemäß den Zugriffsrichtlinien über diesen Konzentrator geleitet.

Diese zero inbound-Architektur erfüllt eine wesentliche Anforderung: Der Industriestandort veröffentlicht keine Dienste direkt im Internet. Das Gateway baut den Tunnel von innen auf, was die Durchquerung der Mobilfunknetze erleichtert und die Angriffsfläche erheblich verringert.

OpenVPN für industrielle OT-Netzwerke

OpenVPN basiert auf TLS und kann sowohl über UDP als auch über TCP betrieben werden. Im OT-Bereich liegt sein Hauptvorteil in seiner Flexibilität: Es überwindet NAT-Hürden problemlos, kann einen einzigen Port nutzen, stützt sich auf X.509-Zertifikate und lässt sich leicht auf industriellen Linux-Gateways bereitstellen.

Seine Stärken kommen besonders an entfernten Standorten zum Tragen:

• Übertragung über UDP möglich, um eine gute Leistung zu erzielen;
• Ausweichmöglichkeit auf TCP 443, wenn UDP gefiltert wird;
• gegenseitige Authentifizierung über Zertifikate;
• Widerruf über eine Liste widerrufener Zertifikate;
• Zuverlässiger Betrieb hinter einem Provider-NAT;
• Kompatibilität mit 4G LTE, 5G, Satelliten- und herkömmlichen Internetzugängen;
• Übersichtliche und automatisierbare Konfiguration;
• Einfachere Diagnose als bei komplexen IPsec-Richtlinien;
• Gute Integration in einen outbound only-Ansatz.

OpenVPN eignet sich daher besonders für folgende Fälle:

• Fernzugriff auf SPSen;
• standortübergreifende SCADA-Überwachung;
• Wartung durch einen Dienstleister;
• Standorte mit 4G-LTE-Dual-SIM-Verbindung;
• abgelegene Stationen;
• automatisch zu konfigurierender Gateway-Bestand;
• Umgebungen, in denen das Team vor Ort keine Konfigurationsdateien bearbeiten darf.

Tipp von Eziwan Für dezentralisierte OT-Standorte ist OpenVPN oft der beste Kompromiss zwischen Sicherheit, Netzwerkdurchlässigkeit, einfacher Bedienung und Wartung der Zugänge.

IPsec IKEv2 für kontrollierte Umgebungen

IPsec ist ein weit verbreiteter Standard für Site-to-Site-VPNs. Es arbeitet auf Netzwerkebene und lässt sich nahtlos in zahlreiche Firewalls, Router und Unternehmensinfrastrukturen integrieren. In Kombination mit IKEv2, NAT-T und modernen kryptografischen Suiten bietet IPsec ein hervorragendes Maß an Sicherheit und Leistung.

Die Vorteile sind unbestreitbar:

• Standard, der von Netzwerkgeräten weitgehend unterstützt wird;
• sehr gute Leistung dank Hardwarebeschleunigung;
• häufige Integration in Rechenzentrumsarchitekturen;
• robuste Verwaltung von Site-to-Site-Tunneln;
• Kompatibilität mit Sicherheitsrichtlinien von Unternehmen;
• IKEv2 ist moderner und robuster als IKEv1;
• MOBIKE ist bei bestimmten IP-Adressänderungen nützlich.

Seine Grenzen zeigen sich vor allem in mobilen oder heterogenen Umgebungen:

• komplexere Konfiguration;
• IKE-, SA-, Verschlüsselungs- und Lebensdauerparameter müssen genau aufeinander abgestimmt werden;
• teilweise schwierige Interoperabilität zwischen verschiedenen Herstellern;
• erschwerte Fehlerdiagnose für OT-Teams;
• Abhängigkeit von den UDP-Ports 500 und 4500;
• unterschiedliches Verhalten je nach NAT der Betreiber und zwischengeschalteten Firewalls;
• Risiko, aus Kompatibilitätsgründen veraltete kryptografische Suiten beizubehalten.

IPsec ist nach wie vor eine ausgezeichnete Wahl, wenn die Infrastruktur von einem erfahrenen Netzwerkteam verwaltet wird, die Geräte einheitlich sind und die betrieblichen Anforderungen bekannt sind. Bei einer groß angelegten Einführung von 4G-Standorten lässt sich die Zuverlässigkeit von OpenVPN oft einfacher gewährleisten.

L2TP: eine Entscheidung, die vor allem auf Tradition zurückgeht

L2TP verschlüsselt die Kommunikation nicht von sich aus. Es wird in der Regel mit IPsec kombiniert, um Vertraulichkeit und Integrität zu gewährleisten. In modernen Umgebungen wird es oft aus Gründen der Kompatibilität mit älteren Systemen beibehalten, bietet jedoch für ein neues OT-Projekt nur wenige Vorteile.

Die wichtigsten Einschränkungen sind:

• im Vergleich zu OpenVPN oder IKEv2 nur begrenztes technisches Interesse;
• Abhängigkeit von IPsec für die Sicherheit;
• NAT-Durchquerung manchmal weniger vorhersehbar;
• schwerfälligerer Protokollstapel;
• wenig attraktive Wartung bei großen Netzwerken;
• geringe Eignung für 4G-Industriestandorte.

L2TP kann in einem bestehenden Umfeld Abhilfe schaffen, sollte jedoch nicht das Zielprotokoll einer neuen Architektur für die industrielle Fernwartung sein.

NAT-Durchgang und 4G-LTE-Netze

Die NAT-Durchquerung ist oft das entscheidende Kriterium bei der Auswahl industrieller VPN-Protokolle. Remote-Standorte, die über 4G LTE oder 5G verbunden sind, befinden sich häufig hinter dem NAT eines Netzbetreibers. Dem Gateway wird keine öffentliche Adresse direkt zugewiesen, sodass eingehende Verbindungen entweder nicht möglich oder instabil sind.

OpenVPN funktioniert sehr gut, da das Gateway eine ausgehende Verbindung zu einem bekannten Zugangspunkt herstellen kann. Wenn UDP gefiltert wird, kann der TCP-Transport über Port 443 den Durchgang durch bestimmte Firewalls oder restriktive Netzwerke erleichtern.

IPsec kann NAT über NAT-T durchlaufen, in der Regel auf UDP-Port 4500. Dies funktioniert in vielen Fällen gut, hängt jedoch stark von den zwischengeschalteten Geräten, den Firewall-Richtlinien und dem Mobilfunkanbieter ab.

Das Grundprinzip ist einfach: Im Mobilfunknetz sollten Sie einer vom Gateway des Standorts initiierten ausgehenden Verbindung den Vorzug geben. Dadurch vermeiden Sie die Abhängigkeit von einer festen öffentlichen IP-Adresse und müssen keinen Port zum OT-Netzwerk öffnen.

Latenz und Leistung für SCADA, Modbus, OPC UA und MQTT

OT-Datenströme beanspruchen nicht immer viel Bandbreite. Modbus-Polling, OPC-UA-Tags oder industrielle MQTT-Nachrichten erfordern vor allem Stabilität, geringe Paketverluste und eine Latenz, die mit den Anwendungszyklen vereinbar ist.

Die Faktoren, die die Leistung tatsächlich beeinflussen, sind:

• Qualität der 4G- oder 5G-Verbindung;
• Funkpegel und SINR;
• Auslastung der Mobilfunkzelle;
• Entfernung zum VPN-Konzentrator;
• Überlastung der lokalen Verbindung;
• Paketgröße;
• Abfragefrequenz;
• SCADA-Timeout-Einstellungen;
• QoS-Regeln;
• CPU-Leistung des Gateways;
• gewählte Verschlüsselung.

Eine VPN-Überlastung tritt zwar auf, ist jedoch bei einer klassischen industriellen Überwachung selten der begrenzende Faktor. Vorrang müssen die Stabilität des Tunnels, die QoS und die Anwendungskonfiguration haben.

OT-Fluss	Empfindlichkeit	Empfehlung
Modbus TCP	anfällig für Timeouts	Register bündeln, Wiederholungsversuche anpassen
OPC UA	hängt von der Sitzung ab	Keepalive und Zertifikate überwachen
MQTT	tolerant, wenn richtig konfiguriert	geeignete QoS und lokalen Puffer verwenden
RDP oder VNC	hoher Ressourcenverbrauch	nur für punktuelle Wartungsarbeiten nutzen
Firmware-Übertragung	kann die Verbindung überlasten	begrenzen und prioritätsmäßig herabstufen
Video	sehr hoher Ressourcenverbrauch	vom SCADA-Verkehr trennen

Echtzeit-Garantie Ein VPN über 4G ist kein Ersatz für ein deterministisches Feldbus-System. Es eignet sich für die Überwachung, Wartung und nicht kritische Steuerungen, nicht jedoch für schnelle Regelkreise oder prozesssicherheitsrelevante Funktionen.

Kryptografische Sicherheit: Das Protokoll allein reicht nicht aus

Sowohl OpenVPN als auch IPsec können sicher sein, wenn sie richtig konfiguriert sind. Umgekehrt können beide anfällig werden, wenn veraltete Einstellungen, zu einfache gemeinsame Schlüssel oder unsachgemäß verwaltete Zertifikate beibehalten werden.

Folgende Punkte sind zu überprüfen:

• moderne Verschlüsselung;
• starke Authentifizierung;
• individuelle Zertifikate;
• dokumentierte Sperrung;
• Gültigkeitsdauer der Zertifikate;
• keine gemeinsamen Geheimnisse zwischen Anbietern;
• Protokollierung der Verbindungen;
• Deaktivierung veralteter Suiten;
• Aktualisierung der VPN-Komponenten;
• Trennung zwischen Benutzerzugriff und Standort-zu-Standort-Zugriff.

OpenVPN basiert auf TLS und einer sehr übersichtlichen Zertifikatsverwaltung. IPsec bietet ebenfalls hohe Sicherheit, doch aufgrund seiner umfangreichen Konfigurationsmöglichkeiten steigt das Risiko, dass Abweichungen zwischen der geplanten und der tatsächlich implementierten Sicherheitsrichtlinie auftreten.

X.509-Zertifikate und Zugriffssperrung

X.509-Zertifikate sind unerlässlich, um gemeinsam genutzte Konten zu vermeiden. Jedes Gateway, jeder Techniker und jeder Dienstleister kann über eine eigene kryptografische Identität verfügen. Wenn ein Zugriff entzogen werden muss, genügt es, das betreffende Zertifikat zu widerrufen, ohne die gesamte Architektur ändern zu müssen.

Fälle von Widerruf kommen häufig vor:

• Ausscheiden eines Mitarbeiters;
• Ablauf des Vertrags eines Systemintegrators;
• Verlust eines Computers;
• Verdacht auf eine Kompromittierung;
• Änderung des Einsatzbereichs;
• Austausch eines Gateways;
• Schließung eines Standorts.

Eine Plattform wie Eziwan automatisiert diese Verwaltung: Erstellung, Verteilung, Rotation und Widerruf. Dies ist besonders wichtig im Bereich OT, wo die Teams nicht an jedem Standort manuell Konfigurationsdateien bearbeiten möchten.

OT-Segmentierung: Vermeidung eines „flachen“ VPNs

Das häufigste Risiko besteht nicht nur in der Wahl des Protokolls. Es ist das „flache VPN“: Sobald eine Verbindung hergestellt ist, kann der Nutzer auf das gesamte industrielle Subnetz zugreifen. In einem OT-Netzwerk ist das gefährlich.

Ein Fernzugriff muss durch folgende Maßnahmen eingeschränkt werden:

• Benutzer;
• Rolle;
• Standort;
• Zeitfenster;
• Protokoll;
• Quell-IP-Adresse;
• Ziel-IP-Adresse;
• Port;
• Sitzungsdauer;
• Schweregrad.

Beispiel für eine Richtlinie:

Aufgabe: Wartung von SPS-Anlagen
Site : usine nord
Zulässige Geräte: PLC-L2, HMI-L2
Zulässige Protokolle: Modbus TCP 502, HTTPS 443
Maximale Dauer: 2 Stunden
Authentifizierung: Zertifikat und MFA
Protokollierung: vollständig
Zugriff auf andere OT-VLANs: nicht zulässig

Diese Überlegung ist wichtiger als die Debatte „OpenVPN vs. IPsec“. Ein verschlüsselter, aber zu wenig sicherer Tunnel stellt nach wie vor ein operatives Risiko dar.

Wiederverbindung nach einer Unterbrechung bei 4G oder Dual-SIM

In Mobilfunknetzen kann es zu kurzen Unterbrechungen, IP-Adresswechseln, Antennenumschaltungen, Funkausfällen oder Wartungsarbeiten des Netzbetreibers kommen. Ein industrielles VPN muss den Betrieb schnell wieder aufnehmen, ohne das SCADA-System für mehrere Minuten lahmzulegen.

OpenVPN kann mit Keepalive-Mechanismen, automatischer Wiederverbindung und einem persistenten Tunnel konfiguriert werden. IPsec IKEv2 kann bestimmte Netzwerkänderungen effizient bewältigen, insbesondere bei MOBIKE, sofern die Umgebung dies unterstützt.

Die wichtigen Parameter sind:

• Keepalive;
• Zeitlimit bis zur Meldung eines toten Tunnels;
• Häufigkeit der Wiederverbindungsversuche;
• Persistenz der Tunnelschnittstelle;
• Verhalten im Dual-SIM-Modus;
• Prioritätsreihenfolge der Netzbetreiber;
• Routing bei Wiederherstellung der Verbindung;
• Lokale Datenspeicherung;
• Protokollierung von Umschaltungen.

Situation	Risiko	Bewährte Vorgehensweise
Kurzzeitiger 4G-Ausfall	SCADA-Timeout	Keepalive und kurze Wiederverbindung
Wechsel der mobilen IP-Adresse	unterbrochener Tunnel	ausgehender Tunnel und automatische Wiederverbindung
Dual-SIM-Umschaltung	Routenverlust	Tunnelüberwachung und dynamisches Routing
Längerer Ausfall	Datenverlust	Lokale Speicherung und anschließende Neuübertragung
Instabile Netzverbindung	Wiederholte Umschaltungen	Zeitverzögerung und Stabilitätsschwellenwerte

QoS und Priorisierung von OT-Datenströmen

Das VPN verschlüsselt den Datenverkehr, sollte diesen jedoch nicht pauschal gleich behandeln. Eine Firmware-Übertragung, eine grafische Remote-Sitzung oder ein Massenexport können den SCADA-Datenverkehr beeinträchtigen, wenn keine Priorisierungsregeln angewendet werden.

Zu priorisierende Abläufe sind in der Regel:

• Modbus TCP;
• OPC UA;
• EtherNet/IP;
• DNP3;
• kritisches industrielles MQTT;
• Tunnelüberwachung;
• Alarme und Ereignisse.

Die folgenden Datenströme sind zu begrenzen:

• RDP;
• VNC;
• Dateiübertragung;
• Updates;
• Video;
• umfangreiche Datensicherungen;
• Surfen im Internet über die Website.

QoS muss vor der Auslastung der Verbindung angewendet werden. An einem industriellen Gateway ist es möglich, Datenströme je nach Protokoll, Port, Adresse oder Rolle zu kennzeichnen, zu drosseln oder zu priorisieren.

Natives OpenVPN in Eziwan

Eziwan integriert OpenVPN in eine speziell für OT-Netzwerke konzipierte Architektur: ausgehender Tunnel, X.509-Zertifikate, automatische Bereitstellung, Filterung nach Geräten, Protokollierung und Überwachung des Tunnelstatus.

Die wichtigsten Funktionen sind:

• Natives OpenVPN auf einem industriellen Gateway;
• UDP- oder TCP-443-Transport je nach Kontext;
• automatisch generierte und verteilte X.509-Zertifikate;
• Zentralisierte Sperrung;
• Persistenter Tunnel;
• Automatische Wiederverbindung;
• Dual-SIM mit Verbindungsüberwachung;
• OT-Filterregeln;
• Zugriffsprotokolle;
• Integration in ein standortübergreifendes Dashboard;
• Kompatibilität mit SCADA, SPS, HMI und Feldgeräten.

In Umgebungen, in denen IPsec vorgeschrieben ist, lässt sich Eziwan je nach den Netzwerkrichtlinien des Unternehmens auch in eine IKEv2-Architektur integrieren. Das Ziel besteht nicht darin, ein einziges Protokoll vorzuschreiben, sondern dasjenige zu wählen, das sich unter den tatsächlichen Bedingungen vor Ort bewährt.

Detaillierter Vergleich nach Szenario

Szenario	Empfohlenes Vorgehen	Warum
Industriestandort mit 4G-LTE	OpenVPN	NAT-Traversal, TCP 443 möglich, einfache Bereitstellung
Rechenzentrum zu festem Glasfaser-Standort	IPsec oder OpenVPN	Auswahl je nach internem IT-Standard
100 Gateways	OpenVPN mit Provisioning	Zertifikate und Konfiguration automatisierbar
Streng kontrollierte Firewall-Umgebung	IPsec IKEv2	Integration in das Unternehmensnetzwerk
Temporärer Dienstleisterzugang	OpenVPN mit Zertifikaten	einfache Sperrung und Nachverfolgbarkeit
Veraltete L2TP-Geräte	Migration empfohlen	vor allem veraltetes Protokoll
Hohe Leistungsanforderungen	IPsec mit Beschleunigung oder optimiertes OpenVPN	abhängig von Hardware und Verschlüsselung
SCADA mit mehreren Standorten	OpenVPN oder IPsec im Hub-and-Spoke-Modell	zentraler Hub und OT-Filterung

Bewährte Verfahren für die Bereitstellung

Ein zuverlässiges industrielles VPN erfordert mehr als nur die Wahl des richtigen Protokolls. Das Konzept muss den gesamten Lebenszyklus abdecken.

• Vorrang für ausgehende Tunnel vom OT-Standort;
• Vermeidung jeglicher Portweiterleitung zu Steuerungen oder Bedienoberflächen;
• Einzelzertifikate verwenden;
• MFA für sensible Benutzerzugriffe aktivieren;
• Site-to-Site-Zugriffe und Zugriffe von Dienstleistern trennen;
• Datenflüsse nach Gerät und Protokoll filtern;
• Routen und VLANs dokumentieren;
• den Status des Tunnels überwachen;
• Verbindungen, Fehler und Widerrufe protokollieren;
• 4G- und Dual-SIM-Failover testen;
• QoS auf kritische Datenflüsse anwenden;
• ein Widerrufsverfahren vorsehen;
• Konfigurationen sichern;
• die Wiederherstellung eines Gateways testen.

Info Audit Bei NIS2-, IEC 62443- oder internen Audit-Verfahren ergibt sich der Wert aus der Kombination von Verschlüsselung, Identitätsprüfung, Segmentierung, Protokollierung und Sperrung. Das VPN-Protokoll allein reicht nicht aus, um eine kontrollierte Zugriffsverwaltung nachzuweisen.

Häufige Fehler

VPN-OT-Projekte scheitern selten an einer einzigen Einstellung. Die Probleme sind oft auf eine Anhäufung kleiner, heikler Entscheidungen zurückzuführen.

• einen gemeinsamen Schlüssel für mehrere Dienstleister verwenden;
• einen öffentlichen Port zu einer Benutzeroberfläche öffnen;
• Zugriff auf das gesamte OT-Subnetz gewähren;
• die Sperrung alter Konten vergessen;
• IPsec wählen, ohne das NAT des Netzbetreibers zu überprüfen;
• aus Gewohnheit bei L2TP bleiben;
• SCADA-Verkehr und Dateiübertragung ohne QoS vermischen;
• die Wiederverbindung nach einer 4G-Unterbrechung nicht testen;
• den Tunnel nicht überwachen;
• Zugriffe in einer nicht gepflegten Tabellenkalkulation dokumentieren;
• Zertifikate ohne Ablaufdatum belassen;
• Zugriffsprotokolle ignorieren.

Eine industrielle VPN-Architektur muss unter verschiedenen Ausfallbedingungen getestet werden: Netzwerkausfall, SIM-Kartenwechsel, widerrufenes Zertifikat, nicht autorisierter Benutzer, Gerät offline und Überlastung der Verbindung.

Wie sich Eziwan in Ihr OT-Netzwerk einfügt

Eziwan stellt die sichere Verbindungsschicht zwischen Ihren Industriestandorten, Ihren Technikern, Ihren Steuerungen und Ihrer Überwachungszentrale bereit. Das Eziwan-Gateway richtet den Tunnel vom Standort aus ein, die Lösungen für die industrielle Konnektivität verwalten die 4G-, Glasfaser- oder Satellitenverbindungen, und die Cloud-Plattform zentralisiert Zertifikate, Protokolle, Warnmeldungen und Zugriffsrichtlinien.

Weitere Informationen zur Absicherung des Industrienetzwerks finden Sie auch im Leitfaden zur OT-Netzwerksicherheit ohne öffentliche Ports und im Artikel zum Thema SCADA über 4G LTE.

Fazit

OpenVPN, IPsec und L2TP dienen nicht denselben Anforderungen. IPsec eignet sich nach wie vor gut für kontrollierte Netzwerkumgebungen und klassische Standort-zu-Standort-Tunnel. L2TP dient vor allem der Kompatibilität mit älteren Systemen. OpenVPN ist dank seiner NAT-Durchquerung, seiner Zertifikatsverwaltung und seiner einfachen Handhabung oft die pragmatischste Wahl für verteilte OT-Netzwerke, 4G-Standorte, Provider-Zugänge und standortübergreifende Bereitstellungen.

Mit Eziwan wird OpenVPN in eine umfassende industrielle Architektur integriert: ausgehender Tunnel, X.509-Zertifikate, automatische Bereitstellung, mobile Wiederverbindung, Dual-SIM, OT-Filterung, Protokollierung und zentralisierte Sperrung. Das Ergebnis ist nicht nur ein verschlüsseltes VPN, sondern ein einsatzfähiger, nachverfolgbarer Fernzugriff, der an die tatsächlichen Anforderungen von SPSen, SCADA-Systemen und Industrieanlagen angepasst ist.

Weiterführende Informationen

• Industrielles VPN – VPN-Lösungen, die auf die Anforderungen von OT-Netzwerken und 4G-Verbindungen zugeschnitten sind
• Industrieller Fernzugriff – Greifen Sie auf Ihre SPSen und HMI-Geräte zu, ohne öffentliche Ports freizugeben
• Industrielle Cybersicherheit – Schützen Sie Ihre OT-Netzwerke vor aktuellen Cyberbedrohungen
• Klassisches VPN vs. industrieller Fernzugriff – Welche konkreten Unterschiede ergeben sich für Ihre Anwendungen vor Ort?
• Privates APN vs. industrielles VPN – vergleichen Sie die Netzwerkarchitekturen für Ihre Industriestandorte