Tipps zu IP-Tunnel-Konfigurationsanleitungen
IP-Tunnel auf Windows: Sicherheitsvorkehrungen

Falls Sie einen IP-Tunnel direkt auf einem Windows-Server einrichten, muss sich die Windows-Firewall um die Filterung des eingehenden Traffics kümmern. Diese Art der Konfiguration wird nur für erfahrene Windows-Administratoren empfohlen.

Prüfen, ob sich das VPN-Interface in der Zone “Öffentlich” (“Public”) befindet

Prüfen Sie im Netzwerk- und Freigabecenter oder mittels Powershell:

• Powershell öffen
• Get-NetConnectionProfile eingeben

In der Liste taucht die VPN-Verbindung auf wie z.B.:

Name             : Netzwerk  3
InterfaceAlias   : LAN-Verbindung
InterfaceIndex   : 9
NetworkCategory  : Public
IPv4Connectivity : LocalNetwork
IPv6Connectivity : LocalNetwork

Wichtig ist, dass als NetworkCategory Public eingestellt ist. Nur wenn als NetworkCategory Public eingestellt ist, greifen die entsprechenden Regeln aus der Windows-Firewall, die in der Zone Öffentlich (= Public) viel restriktiver sind, als in der Zone Private.

Ob es sich dabei wirklich um das VPN-Interface handelt ist aus den Adaptereinstellungen ersichtlich, z.B. bei virtuellen Netzwerkadaptern des OpenVPN-Clients sind diese so bezeichnet:

LAN-Verbindung; Netzwerk 3; TAP-Windows Adapter V9

Firewall-Zone ändern

Falls sich das VPN-Interface nicht in der Firewall-Zone “Öffentlich” bzw. “Public” befindet, kann das Profil mit diesem Powershell-Befehl geändert werden (Achtung: Die Powershell muss als Administrator ausgeführt werden):

Set-NetConnectionProfile -InterfaceIndex 9 -NetworkCategory Public

-InterfaceIndex muss durch die Zahl aus dem Befehl “Get-NetConnectionProfile” ersetzt werden.

Firewall-Einstellungen prüfen / aktivieren

Nachdem Sie sichergestellt haben, dass sich der TAP-Windows Adapter V9 in der Firewall-Zone Öffentlich befindet muss noch geprüft werden, ob die Windows-Firewall für die Zone Öffentlich auch aktiviert ist.

1. Öffnen Sie die Systemsteuerung.
2. Wählen Sie oben rechts die Ansicht Kleine Symbole aus.
3. Klicken Sie auf Windows Firewall bzw. Windows Defender Firewall
4. Klicken Sie links auf Erweiterte Einstellungen
5. Klicken Sie im linken Fensterbereich auf Windows Defender Firewall mit erweiterter Sicherheit auf Lokaler Computer
6. Prüfen Sie, ob im Bereich Öffentliches Profil diese Einstellungen aktiv sind:
   • Die Windows Defender Firewall ist aktiviert
   • Eingehende Verbindungen, für die es keine Regel gibt, werden blockiert.
   • Ausgehende Verbindungen, für die es keine Regel gibt, werden zugelassen.
     • Für mehr Sicherheit können Sie diese Einstellung auf “blockiert” ändern und alle ausgehenden Verbindungen manuell erlauben.

NetBIOS deaktivieren

Um NetBIOS-Pakete auf dem TAP-Interface zu deaktivieren, muss folgendes getan werden:

In den Adaptereinstellungen:

1. Rechtsklick auf LAN-Verbindung (kann auch anders lauten, es steht in hellgrau aber “TAP-Windows Adapter V9” darunter)
2. Eigenschaften
3. Internetprotokoll Version 4 (TCP/IPv4) anklicken
4. Eigenschaften
5. Unten Erweitert…
6. Reiter WINS
7. LMHOSTS-Abfrage aktivieren: Kontrollkästchen deaktivieren
8. NetBIOS-Einstellung: NetBIOS über TCP/IP deaktivieren