Was ist ein Mesh-VPN?
Ein Mesh-VPN ist ein virtuelles privates Netzwerk, in dem die teilnehmenden Knoten (Geräte, Server oder ganze Standorte) sich direkt miteinander verbinden und ein Geflecht verschlüsselter Tunnel bilden, statt alle über einen zentralen Server zu laufen. Ein Koordinationsdienst hilft den Knoten, sich gegenseitig zu finden, und verteilt Richtlinien, doch der eigentliche Verkehr fließt Peer-to-Peer auf dem kürzesten Pfad zwischen zwei beliebigen Endpunkten.
Ein Mesh-VPN verbindet viele Geräte oder Standorte so, dass jedes jedes andere direkt über verschlüsselte Tunnel erreichen kann, statt den gesamten Verkehr über einen zentralen Server zu routen.
Was ein Mesh-VPN ausmacht
- 01
Die Konnektivität ist Viele-zu-Viele: Jeder Knoten kann jeden anderen direkt erreichen. Bei einem Stern dagegen läuft alles über einen Hub.
- 02
Eine Control Plane (ein Koordinator oder Controller) übernimmt Entdeckung, Identität und Richtlinien, sitzt aber nicht im Datenpfad und trägt nicht jedes Paket.
- 03
Der Verkehr zwischen zwei Knoten nimmt einen direkten, verschlüsselten Pfad, was die Latenz niedrig hält und den zentralen Konzentrator als Engpass und Single Point of Failure beseitigt.
- 04
Da es keinen zentralen Engpass gibt, skaliert ein Mesh beim Hinzufügen von Knoten besser und erholt sich leichter von Ausfällen als ein Hub-and-Spoke-Design.
Wie ein Mesh-VPN funktioniert
Wenn ein Knoten beitritt, authentifiziert er sich gegenüber der Control Plane und erfährt von seinen Peers. Anschließend baut er verschlüsselte Tunnel direkt zu den Peers auf, mit denen er kommunizieren muss, und überwindet dabei oft NAT, sodass der Tunnel selbst dann zustande kommt, wenn beide Enden hinter Routern sitzen. Die Control Plane verteilt weiterhin Identitäten, Schlüssel und Zugriffsrichtlinien, während Knoten kommen und gehen, doch die Daten selbst fließen von Knoten zu Knoten. Darin liegt der entscheidende Unterschied zu einem klassischen Remote-Access-VPN, bei dem sich jeder Client mit einem Gateway verbindet und der gesamte Verkehr darüber zurückgeleitet wird.
Mesh-VPN vs. herkömmliches VPN
Ein herkömmliches VPN ist Hub-and-Spoke: Clients wählen sich in einen Konzentrator ein, über den der gesamte Verkehr läuft und der damit zum Single Point of Failure wird. Wollen zwei Clients miteinander sprechen, kostet das einen zusätzlichen Hop und Latenz. Ein Mesh-VPN nimmt diesen Hub aus dem Datenpfad und schafft direkte Pfade zwischen den Knoten. Produkte in diesem Bereich unterscheiden sich in ihrer Einheit (manche vermaschen einzelne Geräte, andere ganze Standorte) und darin, ob die Control Plane selbst gehostet werden kann. Gemeinsam ist ihnen die Idee direkter, verschlüsselter Peer-to-Peer-Konnektivität mit zentraler Koordination.
Wie das zu Vexaro Mesh (in Entwicklung) steht
Vexaro Mesh, derzeit in Entwicklung, ist als Mesh für ganze Standorte statt einzelner Geräte ausgelegt: Gateways in Büros, Rechenzentren und Clouds bilden selbst ein Full-Mesh, sodass jeder Standort jeden anderen direkt erreicht. Der Controller soll die Richtlinien verwalten, aber außerhalb des Datenpfads bleiben, und Peers hinter NAT sollen sich direkt verbinden, wo immer das Netzwerk es zulässt, und sonst über ein Relay. Die Abrechnung ist pro verbundenem Standort geplant, mit dem Controller in der Cloud oder in Ihrem eigenen Perimeter.
Die geplanten Funktionen ansehen