Split Tunneling auf IP-Ebene zentral am Gateway/Router einrichten: Ein Vergleich zwischen Ubiquiti GW und Opensense

In der modernen Netzwerkarchitektur, ob im geschäftlichen Umfeld oder im Home-Office, spielt die effiziente und sichere Datenübertragung eine immer größere Rolle. Ein Konzept, das hierbei oft diskutiert wird, ist das Split Tunneling. Insbesondere die Implementierung auf IP-Ebene und zentral am Gateway/Router bietet signifikante Vorteile in Bezug auf Performance, Sicherheit und Verwaltung. Dieser Artikel taucht tief in die Materie ein und vergleicht zwei populäre Gateway-Lösungen – Ubiquiti UniFi und OPNsense – hinsichtlich ihrer Fähigkeiten, IP-basiertes Split Tunneling effektiv zu realisieren.

Die Grundlagen des Split Tunneling: Was ist das und warum ist es wichtig?

Split Tunneling bezeichnet eine Technik, bei der nur ein Teil des Netzwerkverkehrs durch ein VPN (Virtual Private Network) geleitet wird, während der restliche Verkehr direkt über das lokale Netzwerk oder das Internet gesendet wird. Dies steht im Gegensatz zum „Full Tunneling”, bei dem der gesamte Traffic eines Geräts durch den VPN-Tunnel geleitet wird. Die Vorteile des Split Tunneling sind vielfältig:

• Performance-Optimierung: Nicht jeder Datenstrom benötigt die Verschlüsselung und das Routing über das VPN. Lokaler Traffic (z.B. zu einem Netzwerkdrucker oder NAS) bleibt im lokalen Netz, was die Latenz reduziert und die Geschwindigkeit erhöht.
• Bandbreiten-Einsparung: Der VPN-Server und die Internetverbindung am VPN-Client werden entlastet, da nur ausgewählter Traffic durch den Tunnel geht. Dies ist besonders vorteilhaft bei limitierten Bandbreiten oder hohen Datenaufkommen.
• Ressourcen-Effizienz: Weniger Last auf dem VPN-Server bedeutet, dass dieser mehr Clients bedienen kann oder weniger leistungsstarke Hardware benötigt.
• Zugriff auf lokale Ressourcen: Benutzer können gleichzeitig auf interne Unternehmensressourcen über VPN und auf externe lokale Ressourcen (z.B. Smart-Home-Geräte, lokale Server) zugreifen, ohne die VPN-Verbindung trennen zu müssen.

Warum aber Split Tunneling auf IP-Ebene zentral am Gateway/Router implementieren? Die Antwort liegt in der Effizienz und der Verwaltung. Statt jeden einzelnen Client (Laptop, Smartphone, etc.) manuell zu konfigurieren, übernimmt das Gateway die Entscheidung, welcher Traffic durch das VPN geleitet wird und welcher nicht. Dies stellt sicher, dass alle Geräte im Netzwerk von der Split Tunneling-Regel profitieren, ohne dass individuelle Einstellungen vorgenommen werden müssen. Es ist eine robuste, skalierbare und sichere Methode, die zentral überwacht und angepasst werden kann.

Technische Umsetzung am Gateway/Router

Die Implementierung von IP-basiertem Split Tunneling am Gateway erfordert in der Regel eine Kombination aus mehreren Netzwerkfunktionen:

1. VPN-Client-Funktionalität: Das Gateway muss in der Lage sein, eine VPN-Verbindung (z.B. OpenVPN, IPsec, WireGuard) zu einem externen VPN-Server (oder zu mehreren Servern) aufzubauen und aufrechtzuerhalten.
2. Policy-Based Routing (PBR): Dies ist der Kern des IP-basierten Split Tunneling. Anstatt sich ausschließlich auf die Ziel-IP-Adresse zu verlassen, um den nächsten Hop zu bestimmen, ermöglicht PBR, Routing-Entscheidungen basierend auf einer Vielzahl von Kriterien zu treffen – dazu gehören die Quell-IP-Adresse, das Quell-Port, das Ziel-IP-Adresse, das Ziel-Port, das Protokoll oder sogar VLANs. Für Split Tunneling werden in der Regel Quell- oder Ziel-IP-Adressen verwendet, um zu bestimmen, ob der Traffic über das VPN-Interface oder das WAN-Interface geleitet wird.
3. Firewall-Regeln: Entsprechende Firewall-Regeln sind notwendig, um sicherzustellen, dass der Traffic korrekt geroutet wird und um unerwünschte Leaks oder Zugriffe zu verhindern. Sie regeln auch, welche Geräte oder Netze die Split Tunneling-Regeln nutzen dürfen.
4. DNS-Management: Eine korrekte DNS-Auflösung ist entscheidend. Oft müssen DNS-Anfragen, die sich auf VPN-spezifische Ressourcen beziehen, über das VPN geleitet werden, während andere über lokale oder öffentliche DNS-Server laufen.

Die größte Herausforderung liegt oft darin, diese Funktionen nahtlos und benutzerfreundlich zu konfigurieren. Hier unterscheiden sich die Ansätze von Ubiquiti und OPNsense maßgeblich.

Ubiquiti Gateway (UniFi Security Gateway / Dream Machine)

Ubiquiti hat sich mit seiner UniFi-Linie einen Namen gemacht, indem es eine integrierte, einfach zu verwaltende Lösung für WLAN, Switching und Routing anbietet. Die UniFi Security Gateway (USG)-Serie oder die neueren UniFi Dream Machine (UDM/UDM Pro) sind die zentralen Router in diesem Ökosystem. Ihr Hauptmerkmal ist die zentrale Verwaltung über den UniFi Controller, der eine intuitive grafische Benutzeroberfläche (GUI) bietet.

Split Tunneling-Fähigkeiten bei Ubiquiti:

Ubiquiti-Gateways unterstützen grundlegende VPN-Funktionen. Sie können als L2TP/IPsec-Server für Remote-Zugriffe fungieren und auch VPN-Clients (z.B. OpenVPN) einrichten, um eine Verbindung zu einem externen VPN-Dienst herzustellen. Das Problem beginnt jedoch, wenn es um komplexere Policy-Based Routing (PBR)-Szenarien für IP-basiertes Split Tunneling geht:

• GUI-Einschränkungen: Die UniFi-GUI ist auf Einfachheit ausgelegt. Sie bietet zwar Optionen zum Erstellen von Firewall-Regeln und grundlegenden VPN-Clients, aber eine detaillierte Steuerung des Routeings basierend auf Quell- oder Ziel-IP-Adressen für verschiedene VPN-Tunnel oder WAN-Verbindungen ist oft nicht direkt über die GUI möglich. Standardmäßig wird der gesamte Traffic, der über einen VPN-Client gesendet wird, durch den Tunnel geleitet (Full Tunneling).
• Abhängigkeit von der CLI: Für echtes, IP-basiertes Split Tunneling mit Ubiquiti-Gateways müssen Administratoren in der Regel auf die Kommandozeile (CLI) über SSH zurückgreifen. Hier können sie spezielle Routing-Regeln und Firewall-Modifikatoren konfigurieren, die als PBR-Mechanismus dienen. Dies erfordert ein tieferes Verständnis der EdgeOS (dem Betriebssystem der USG) oder UniFi OS (der UDM/UDM Pro) Konfiguration und ist nicht für Anfänger geeignet. Ein typischer Ansatz beinhaltet die Verwendung von set firewall modify Regeln in Kombination mit set vpn openvpn client tun-interface-id route-nopull und manuellen Routen für den gewünschten VPN-Verkehr. Diese Einstellungen müssen dann als JSON-Datei im Controller hinterlegt werden (config.gateway.json für USG) oder direkt auf der UDM/UDM Pro über persistente Skripte verwaltet werden, um Updates zu überleben.
• Vorteile: Die Integration in das UniFi-Ökosystem ist unschlagbar. Wenn Sie bereits UniFi-Switches und Access Points verwenden, bietet die zentrale Verwaltung über den Controller einen großen Komfortgewinn für alle anderen Netzwerkkomponenten. Die Hardware ist in der Regel stabil und zuverlässig.
• Nachteile: Die Notwendigkeit, für fortgeschrittene Szenarien die CLI zu verwenden, ist ein erheblicher Nachteil für viele Nutzer. Die fehlende native GUI-Unterstützung für PBR und Split Tunneling macht die Konfiguration komplex und fehleranfällig. Die Anpassungen sind oft nicht persistenzsicher und erfordern Workarounds (JSON-Dateien), was die Wartung erschwert.

Für Anwendungsfälle, die einfaches VPN-Full Tunneling oder sehr spezifische, vorab definierte Split Tunneling-Szenarien ohne ständige Anpassungen erfordern, kann Ubiquiti ausreichen. Sobald jedoch Flexibilität und eine einfache Anpassung von IP-basierten Routing-Regeln über eine GUI gefragt sind, stößt Ubiquiti an seine Grenzen.

OPNsense

OPNsense ist eine Open-Source-Firewall- und Routing-Plattform, die auf FreeBSD basiert und von einer engagierten Community sowie der Firma Decisio entwickelt wird. Sie hat sich aus der pfSense-Codebasis entwickelt und bietet eine Fülle von Funktionen, die weit über das hinausgehen, was typische Consumer- oder sogar viele Prosumer-Router bieten. OPNsense kann auf Standard-x86-Hardware (Mini-PCs, Server) oder als virtuelle Maschine installiert werden.

Split Tunneling-Fähigkeiten bei OPNsense:

OPNsense glänzt gerade bei komplexen Routing-Szenarien und bietet eine sehr mächtige und flexible GUI zur Konfiguration von Split Tunneling auf IP-Ebene:

• Umfassende VPN-Unterstützung: OPNsense bietet hervorragende Unterstützung für alle gängigen VPN-Protokolle, darunter OpenVPN (Client und Server), IPsec (Client und Server) und besonders hervorzuheben, die native Integration von WireGuard. Das Einrichten eines VPN-Clients, der sich mit einem externen VPN-Dienst verbindet, ist über die GUI sehr intuitiv.
• Einfaches Policy-Based Routing über die GUI: Dies ist der größte Vorteil von OPNsense. Das Herzstück sind die Firewall-Regeln. In OPNsense können Sie auf jeder Schnittstelle (z.B. LAN, WLAN, VLANs) Regeln erstellen. Eine Schlüsseloption in diesen Regeln ist die Auswahl des „Gateways”. Sie können eine Regel erstellen, die besagt: „Wenn Traffic von Quell-IP X zu Ziel-IP Y geht, leite ihn über das VPN-Gateway (das als Interface oder Gateway in OPNsense definiert ist)”. Für allen anderen Traffic kann eine Standardregel existieren, die ihn über das WAN-Gateway leitet.
  • Beispiel: Eine Regel auf der LAN-Schnittstelle könnte lauten: „Alle Verbindungen von Netzwerk A zu IP-Adresse B gehen über WAN_GW. Alle Verbindungen von Netzwerk A zu IP-Adresse C gehen über VPN_GW.” Ebenso ist es möglich, bestimmten Quell-IPs (z.B. einem Smart-TV) vorzuschreiben, immer über das VPN zu gehen, während andere Geräte direkt ins Internet gehen.
  • Floating Rules: OPNsense bietet auch sogenannte „Floating Rules”, die schnittstellenunabhängig angewendet werden können und eine noch höhere Flexibilität bei der Routing-Steuerung bieten.
• VLAN-Integration: OPNsense arbeitet hervorragend mit VLANs zusammen. Sie können separate VLANs für VPN-Traffic einrichten und diese dann über PBR steuern, was eine sehr granulare Kontrolle ermöglicht.
• Multi-WAN und Failover: OPNsense unterstützt von Haus aus Multi-WAN-Setups und Failover, was die Implementierung von Split Tunneling in komplexeren Umgebungen mit mehreren Internetverbindungen oder VPN-Providern vereinfacht.
• DNS-Überwachung und Leakschutz: Mit Funktionen wie „Unbound DNS” und der Möglichkeit, DNS-Anfragen gezielt über bestimmte Gateways zu leiten, kann OPNsense effektiv DNS-Leaks verhindern und sicherstellen, dass auch die DNS-Auflösung dem Split Tunneling-Schema folgt.
• Vorteile: Enorme Flexibilität und Funktionsumfang, eine leistungsstarke und detaillierte GUI für fast alle Konfigurationen, hervorragende Sicherheitseigenschaften, aktive Community und regelmäßige Updates. Die Hardware-Unabhängigkeit ermöglicht es, die Plattform auf leistungsstarker Hardware laufen zu lassen, um maximale Durchsatzraten zu erzielen.
• Nachteile: Die Funktionsvielfalt kann für Anfänger überwältigend sein. Erfordert dedizierte Hardware oder eine VM, was Initialinvestitionen oder Systemressourcen bindet. Die Einrichtung ist komplexer als bei einem Plug-and-Play-Gerät wie einem Ubiquiti USG/UDM.

Vergleich und Fazit

Um die Entscheidung zwischen Ubiquiti und OPNsense für zentrales, IP-basiertes Split Tunneling zu erleichtern, fassen wir die Kernpunkte zusammen:

Fazit: Welches System ist das Richtige für Sie?

Die Wahl zwischen Ubiquiti und OPNsense hängt stark von Ihren spezifischen Anforderungen, Ihrem technischen Know-how und Ihrer Bereitschaft ab, Zeit in die Konfiguration zu investieren:

• Wenn Sie bereits stark im UniFi-Ökosystem verwurzelt sind, Wert auf einheitliche Verwaltung legen und Ihre Split Tunneling-Anforderungen entweder sehr grundlegend sind oder Sie bereit sind, sich mit der CLI und JSON-Konfigurationen auseinanderzusetzen, dann kann ein Ubiquiti Gateway eine praktikable Lösung sein. Sie profitieren von der Einfachheit der Gesamtverwaltung Ihrer UniFi-Geräte.
• Wenn Sie jedoch maximale Flexibilität, detaillierte Kontrolle über Ihr Netzwerk-Routing, eine leistungsstarke Firewall und die Möglichkeit wünschen, IP-basiertes Split Tunneling bequem und umfassend über eine grafische Benutzeroberfläche zu konfigurieren, dann ist OPNsense die klar überlegene Wahl. Es erfordert zwar eine dedizierte Hardware und eine etwas steilere Lernkurve, belohnt dies aber mit unübertroffener Kontrolle und Anpassungsfähigkeit. Für Power-User, kleine bis mittlere Unternehmen oder technisch versierte Heimanwender, die ihr Netzwerk vollständig im Griff haben möchten, ist OPNsense die erste Empfehlung.

Unabhängig von Ihrer Wahl ist die Implementierung von Split Tunneling auf IP-Ebene zentral am Gateway/Router ein mächtiges Werkzeug, um Ihre Netzwerk-Performance zu optimieren und gleichzeitig die Sicherheit und den Zugriff auf Ressourcen effizient zu steuern. Wählen Sie die Plattform, die am besten zu Ihren Bedürfnissen und Fähigkeiten passt, um das volle Potenzial dieser Technologie auszuschöpfen.