VPN-Nutzung verbessern

Auf dieser Seite finden Netzbetreiber Richtlinien, mit denen sie dafür sorgen können, dass VPN-Apps (Virtual Private Network) für Verbraucher und Unternehmen in ihren Netzwerken eine gute Nutzererfahrung bieten. Android provides the VpnManager Klasse, mit der Entwickler VPN-Lösungen erstellen können, die von Verbrauchern und Unternehmen verwendet werden, um ihre Kommunikation zu verschlüsseln oder an andere Netzwerke weiterzuleiten.

Wir empfehlen Netzbetreibern, diese Richtlinien zu befolgen:

  • Unterstützen Sie in Ihrem Netzwerk Pakete des IPv6-Protokolls Encapsulating Security Payload (ESP) (nächster Header 50) und sorgen Sie dafür, dass dieser Traffic eine vergleichbare Leistung wie UDP- (User Datagram Protocol) oder TCP-Verbindungen (Transmission Control Protocol) bietet. ESP-Sitzungen sollten für eingehende Verbindungen zu Geräten zugelassen oder auf sehr hohe Zeitüberschreitungen festgelegt und mit Leitungsgeschwindigkeit weitergeleitet werden.
  • Legen Sie Zeitüberschreitungen für die Netzwerkadressübersetzung (Network Address Translation, NAT) und die zustandsbehaftete Firewall fest , die für UDP-Verbindungen über Port 4500 mindestens 600 Sekunden betragen müssen, damit VPN-Lösungen eine zuverlässige Verbindung aufrechterhalten können, ohne übermäßige Energiekosten zu verursachen.

Pakete des IPv6-ESP-Protokolls (nächster Header 50) unterstützen

Encapsulating Security Payload (ESP) ist das Paketformat, das als Teil der Internet Protocol Security (IPSec)-Protokollsuite definiert wurde, um Pakete in einer VPN-Lösung zu verschlüsseln und zu authentifizieren. Das Android-Betriebssystem implementiert dieses Standard-Sicherheitsprotokoll in seiner integrierten VPN-Lösung.

In IPv6-fähigen Netzwerken werden ESP-Pakete direkt in IPv6-Paketen mit dem Feld „Nächster Header“ 50 übertragen. Wenn ein Netzwerk diese Arten von Paketen nicht richtig unterstützt, kann dies zu Verbindungsproblemen für VPN-Lösungen führen, die dieses Protokoll ohne weitere Kapselung der Pakete verwenden möchten. Das Netzwerk verwirft diese Pakete möglicherweise aufgrund der Firewallkonfiguration. Oder ESP-Pakete können langsame Pfade im Netzwerk durchlaufen, was zu einer erheblich geringeren Durchsatzleistung im Vergleich zu TCP- oder UDP-Verbindungen führt.

Die Internet Engineering Task Force (IETF) empfiehlt, IPsec durch Firewalls zuzulassen, die von Internetzugangsdiensten für Verbraucher verwendet werden. Ein Beispiel finden Sie in RFC 6092, Abschnitt 3.2.4. ESP-Pakete können in beide Richtungen sicher durch Firewalls zugelassen werden, da das Gerät das Paket verwirft, wenn es ein ESP-Paket empfängt, das nicht Teil einer vorhandenen Sicherheitszuordnung ist. Daher muss das Gerät keine Keep-Alive-Pakete senden, um die VPN-Verbindung aufrechtzuerhalten, was die Akkulaufzeit verlängert. Wir empfehlen, dass Netzwerke ESP-Pakete jederzeit an Geräte zulassen oder ESP-Sitzungen erst nach längerer Inaktivität (z. B. 30 Minuten) beenden.

Wir empfehlen Netzbetreibern, ESP-Protokollpakete (IPv6-Pakete mit dem nächsten Header 50) in ihren Netzwerken zu unterstützen und diese Pakete mit Leitungsgeschwindigkeit in der Hardware weiterzuleiten. So wird sichergestellt, dass bei VPN-Lösungen keine Verbindungsprobleme auftreten und die Leistung mit UDP- oder TCP-Verbindungen vergleichbar ist.

Ausreichende Zeitüberschreitungen für NAT und zustandsbehaftete Firewalls festlegen

Um die Zuverlässigkeit der Verbindung aufrechtzuerhalten, muss eine VPN-Lösung eine dauerhafte Verbindung zum VPN-Server aufrechterhalten, der ausgehende und eingehende Verbindungen bereitstellt (z. B. um eingehende Push-Benachrichtigungen, Chatnachrichten und Audio- oder Videoanrufe zu empfangen). Die meisten IPsec-VPN-Apps verwenden ESP, das in IPv4-UDP-Paketen mit Zielport 4500 gekapselt ist, wie in RFC 3948 beschrieben.

Um diese Verbindung aufrechtzuerhalten, muss das Gerät regelmäßig Pakete an den Server senden. Diese Pakete müssen mit einer höheren Frequenz gesendet werden als die Zeitüberschreitungen für NAT und Firewalls, die vom Netzbetreiber festgelegt wurden. Häufige Keep-Alives sind auf der Clientseite energieintensiv und haben einen großen Einfluss auf die Akkulaufzeit. Sie erzeugen auch erheblichen Signalisierungstraffic im Netzwerk, auch wenn das Gerät ansonsten im Leerlauf ist.

Wir empfehlen Betreibern, die Zeitüberschreitungen für NAT und zustandsbehaftete Firewalls so hoch anzusetzen, dass die Akkulaufzeit nicht beeinträchtigt wird. Die empfohlene Zeitüberschreitung für die IPsec-UDP-Kapselung (Port 4500) beträgt mindestens 600 Sekunden.

In Mobilfunknetzen sind die Zeitüberschreitungen für UDP-NAT oft niedrig, da die Knappheit von IPv4-Adressen hohe Port-Wiederverwendungsfaktoren erfordert. Wenn jedoch eine VPN-Verbindung hergestellt wird, muss das Gerätenetzwerk keine dauerhaften TCP-Verbindungen unterstützen, wie sie beispielsweise für die Zustellung eingehender Benachrichtigungen verwendet werden. Die Anzahl der dauerhaften Verbindungen, die das Netzwerk unterstützen muss, ist also gleich oder niedriger, wenn ein VPN ausgeführt wird, als wenn kein VPN ausgeführt wird.