OpenVPN: Der TLS-basierte VPN-Tunnel – einfach erklärt

OpenVPN ist eine freie VPN-Software, die ihre Tunnel über TLS aufbaut. Sie kombiniert die ausgereifte Verschlüsselung von TLS mit einem eigenen Protokoll für den Datentransport und läuft auf fast allen Plattformen. Weil ein OpenVPN-Tunnel wie gewöhnlicher TLS-Verkehr auf Port 443 aussehen kann, kommt er durch viele Firewalls und Proxys hindurch — ein Grund für seine weite Verbreitung als VPN.

Zwei Kanäle

OpenVPN trennt den Aufbau strikt vom Datentransport:

  • Kontrollkanal: Hier läuft der TLS-Handshake mit Zertifikaten und Authentifizierung. Er handelt die Sitzungsschlüssel aus.
  • Datenkanal: Der eigentliche Nutzverkehr wird mit den ausgehandelten symmetrischen Schlüsseln verschlüsselt — üblicherweise AES-GCM.

Diese Trennung macht die Sicherheitseigenschaften des TLS-Handshakes nutzbar, ohne jede Nutzlast durch TLS zu schleusen.

Ports und Transportprotokoll

  • Der von der IANA vergebene Standardport ist UDP 1194. UDP ist die empfohlene Wahl, weil ein Tunnel über TCP auf einem TCP-Transport zu Doppelübertragungen und Staus neigt (TCP-in-TCP).
  • Über TCP 443 getunnelter Verkehr sieht aus wie normales HTTPS und passiert deshalb restriktive Netze — langsamer, aber oft die einzige Chance.

Authentifizierung

OpenVPN stützt sich typischerweise auf eine eigene Zertifikatsinfrastruktur:

  • Eine PKI mit eigener Zertifizierungsstelle stellt Server- und Clientzertifikate aus (X.509).
  • Zusätzlich sichert ein gemeinsamer Schlüssel den Kontrollkanal gegen unautorisierte Handshakes ab (tls-crypt).
  • Optional kommen Benutzername und Passwort oder ein zweiter Faktor über ein Authentifizierungs-Plugin hinzu.

Wer die Widerrufsliste pflegt, kann einzelne Zertifikate sperren: Das läuft über CRL oder OCSP, verwaltet von der Zertifizierungsstelle.

TUN und TAP

  • TUN stellt eine virtuelle Netzwerkkarte auf Schicht 3 bereit: Es werden IP-Pakete geroutet. Das ist der Normalfall.
  • TAP arbeitet auf Schicht 2 und überträgt komplette Ethernet-Frames — nötig für Bridging-Szenarien, etwa um Broadcasts über den Tunnel zu führen.

Konfiguration in der Praxis

Server und Clients erhalten Profile (oft .ovpn-Dateien), in denen Konfiguration und Zertifikate zusammengefasst sind. Als Grundeinstellung gilt:

proto udp
port 1194
dev tun
cipher AES-256-GCM
tls-crypt ta.key

Seit Version 2.6 kann der Datenkanal per Data Channel Offload (DCO) im Kernel abgewickelt werden; das hebt den Durchsatz deutlich an, weil die Paketverarbeitung nicht mehr im Userspace stattfindet.

Stärken und Grenzen

OpenVPN ist ausgereift, hoch konfigurierbar und seit über zwei Jahrzehnten im Einsatz. Genau daraus folgen aber auch seine Nachteile: die vielen Einstellmöglichkeiten machen die Einrichtung anspruchsvoller, und weil die Verarbeitung klassisch im Userspace läuft, ist er langsamer als ein Kernel-Treiber. Die schlankere, aber UDP-only-Alternative ist WireGuard; wer auf der Netzwerkschicht absichern will, nimmt IPsec. Klassische Einwahlprotokolle wie PPTP gelten dagegen als unsicher und sollten nicht mehr verwendet werden.

Verwandte Grundlagen: VPN-Grundlagen, VPN-Glossar, Zero Trust, IPsec-Befehle, WireGuard-Befehle.