Ein IP-Tunnel verpackt Datenpakete eines Netzwerks in Pakete eines anderen Netzwerks, um sie durch fremde oder ungeeignete Zwischennetze zu transportieren. Die ursprünglichen Pakete bleiben dabei vollständig erhalten und werden am Ziel wieder ausgepackt.
Wie ein Tunnel funktioniert
Beim Eintritt in den Tunnel wird das komplette Originalpaket — inklusive Header — als Nutzlast in ein neues Paket eingebettet. Dieses Kapselungsverfahren erlaubt es, IP-Adressen und Protokolle zu übertragen, die das Zwischennetz eigentlich nicht unterstützt. Ein typisches Beispiel ist IPv6-Verkehr über ein IPv4-Netz.
Originalpaket --> [neuer Header | Originalpaket] --> ZielnetzTunnel-Arten
- VPN-Tunnel: verbinden entfernte Standorte sicher über das Internet, meist mit Verschlüsselung — Grundlage für VPN.
- GRE-Tunnel: kapseln beliebige Protokolle ohne Verschlüsselung und eignen sich für Routing-Szenarien zwischen Routern. Noch schlanker kapselt IP-in-IP.
- VXLAN: tunnelt Ethernet-Frames über UDP und skaliert so virtuelle Netze in Rechenzentren.
- IPsec-Tunnel: sichern IP-Pakete zwischen zwei Gateways.
- ISATAP/6rd: ISATAP tunnelt IPv6 zu einzelnen Hosts im IPv4-LAN, 6rd ist die Provider-Variante zum automatischen IPv6-Ausrollen.
- 6in4/6to4/Teredo: bringen IPv6 über IPv4-Netze — 6in4 als manueller Tunnel, 6to4 automatisch, Teredo auch hinter NAT.
- L2TP/PPTP/SSTP: kapseln PPP-Daten für die VPN-Einwahl — L2TP über UDP 1701 (meist mit IPsec), PPTP über GRE und TCP 1723, SSTP über TLS auf Port 443.
Einsatzgebiete
Tunnel kommen überall dort zum Einsatz, wo Netze getrennt oder überbrückt werden müssen: beim Aufbau geschützter Standortverbindungen, beim verteilten Routing zwischen Netzen mit Routern und bei der Übertragung von Ethernet-Frames über Nicht-Ethernet-Infrastruktur. Wer den Adressraum im eigenen Netz strukturieren will, findet in Subnetz und CIDR die passenden Grundlagen.