Klassisches VPN
Beim klassischen VPN (Remote-Access oder Site-to-Site) baut ein Gerät einen verschlüsselten Tunnel zu einem zentralen Gateway auf, meist der Firewall. Danach befindet es sich logisch im Firmennetz. Das ist bewährt und gut verständlich, aber der Verkehr läuft über einen zentralen Punkt, und der Zugriff erstreckt sich oft auf ein ganzes Netzsegment.
Mesh-VPN
Ein Mesh-VPN verbindet Geräte direkt miteinander, meist auf Basis von WireGuard, mit einer zentralen Steuerung für Identitäten und Regeln. Der Zugriff wird pro Gerät, Nutzer oder Gruppe freigegeben, etwa nur auf einen bestimmten Server. NetBird ist eine quelloffene Lösung dieser Art.
Vergleich
- Zugriffsmodell: klassisch netzbasiert, Mesh ressourcenbasiert und feiner steuerbar (näher an Zero Trust).
- Performance: Mesh nutzt direkte Verbindungen, wenn möglich, und entlastet zentrale Gateways.
- Einrichtung: Mesh-VPNs sind meist schneller aufgesetzt, besonders bei vielen Standorten und mobilen Geräten.
- Integration: Anbindung an Identitätsanbieter und MFA ist bei modernen Mesh-Lösungen üblich.
- Bestehende Technik: Firewalls wie Ubiquiti UniFi bieten eigene VPN-Funktionen, die für Standortkopplung gut geeignet sind.
Welche Wahl für wen?
Für zwei bis drei Standorte mit stabiler Firewall reicht oft ein klassisches Site-to-Site-VPN. Für verteilte Teams, Homeoffice und fein abgestufte Rechte ist ein Mesh-VPN attraktiv. Beides lässt sich kombinieren. Wichtig sind in jedem Fall MFA, aktuelle Software und ein Konzept, wer worauf zugreifen darf.