VPN-Concentrator

Ein VPN-Concentrator ist ein Netzwerkgerät oder virtuelles Gateway, das eine grosse Zahl gleichzeitiger VPN-Tunnel an einem zentralen Punkt aufbaut, verschlüsselt und verwaltet. Unternehmen bündeln damit den Fernzugriff vieler Mitarbeitender und Standorte auf ihr internes Netzwerk.

Ein VPN-Concentrator (auch VPN-Konzentrator) ist ein spezialisiertes Netzwerkgerät, das am Rand eines Firmennetzwerks viele VPN-Tunnel gleichzeitig annimmt, verschlüsselt und verwaltet. Ein gewöhnlicher Router bringt VPN nur als Zusatzfunktion mit. Ein Concentrator ist dagegen genau auf eine Aufgabe ausgelegt: den sicheren Fernzugriff von hunderten oder tausenden Nutzenden und Standorten an einem zentralen Punkt zu bündeln.

Wie funktioniert ein VPN-Concentrator?

Ein VPN-Concentrator befindet sich am Übergang zwischen internem Netzwerk und öffentlichem Internet. Verbindet sich ein Gerät von aussen, läuft immer dieselbe Kette ab:

• Authentifizierung: Der Concentrator prüft, wer sich verbindet, etwa über Zertifikate, RADIUS/LDAP oder SAML.
• Handshake: Beide Seiten einigen sich auf Verschlüsselungsverfahren und Schlüssel und bauen den Tunnel über IPsec (ESP) oder SSL/TLS auf.
• Routing: Der Concentrator weist dem Client eine interne IP-Adresse aus einem Adresspool zu und leitet den Verkehr zwischen diesem Client und den internen Subnetzen.

In einer Hub-and-Spoke-Topologie ist der Concentrator der Knotenpunkt, an dem alle Tunnel enden. Verkehr zwischen zwei Aussenstellen läuft über diesen zentralen Punkt und kann dort gefiltert und kontrolliert werden. Häufig läuft die Firewall-Funktion direkt auf demselben Gerät. Der Kern ist also die Fähigkeit, sehr viele Verbindungen gleichzeitig zu terminieren, ohne dass die Leistung einbricht.

Wofür wird ein VPN-Concentrator eingesetzt?

Der Begriff stammt aus der Zeit, als die VPN-3000-Serie von Cisco den zentralen Fernzugriff für ganze Unternehmen aufbaute. Heute findet man die Funktion in drei Formen:

• Multifunktions-Firewalls (NGFW): Geräte von Palo Alto, Fortinet oder Cisco, wenn sie primär dazu dienen, viele Remote-Access-Tunnel zu bündeln.
• Cloud-Dienste: AWS bietet einen Site-to-Site VPN Concentrator, der ausdrücklich dafür gedacht ist, 25 oder mehr Standorte mit geringer Bandbreite über IPsec-Tunnel anzubinden.
• Virtuelle Gateways: Software-Appliances, die zehntausende Tunnel und verschlüsselten Durchsatz im Multi-Gigabit-Bereich verarbeiten.

Typische Einsatzorte sind Unternehmen mit grosser Remote-Belegschaft, Organisationen mit vielen Aussenstellen sowie Managed-Service-Provider, die Fernzugriff als Dienstleistung anbieten.

VPN-Concentrator, Gateway oder Router: Wo liegt der Unterschied?

Das Unterscheidungsmerkmal ist die Skalierung. Die zugrunde liegende Technik ist dieselbe. Ein VPN-Router oder ein einfaches Gateway verschlüsselt einige wenige Verbindungen nebenbei. Ein Concentrator ist dafür gebaut, sehr viele Tunnel gleichzeitig zu authentifizieren, zu ver- und entschlüsseln und zu verwalten. In der Praxis wird der Begriff allerdings unscharf gebraucht: Viele Hersteller nennen jedes Gerät, das Remote-Access-VPN bündelt, einen Concentrator, auch wenn es zugleich Firewall und Router ist. Eine harte technische Trennlinie zwischen “Gateway” und “Concentrator” gibt es nicht, der Übergang ist fliessend.

Braucht man 2026 noch einen VPN-Concentrator?

Die Funktion wird weiter gebraucht, ein eigenes Gerät dafür aber immer seltener. Tunnel-Aggregation steckt heute meist in einer grösseren Plattform für Firewall, SD-WAN oder SASE (Secure Access Service Edge) statt in einer separaten “VPN-Concentrator”-Appliance. Treiber dafür sind bekannte Schwächen des klassischen Modells:

• Wer einmal authentifiziert ist, erhält oft breiten Zugriff auf das ganze Netzwerk. Bei gestohlenen Zugangsdaten erleichtert das die seitliche Ausbreitung im Netz.
• Der Verkehr wird zu einem zentralen Punkt zurückgeführt (Backhauling), was bei Cloud- und SaaS-Anwendungen Umwege und Latenz erzeugt.
• Regeln sind meist netzwerk- statt anwendungsbezogen, was das Prinzip der minimalen Rechte erschwert.

Zero Trust Network Access (ZTNA) und SASE setzen genau dort an: Sie ersetzen den breiten Netzwerkzugang durch anwendungsspezifischen, identitätsbasierten Zugriff. Verschwunden ist die Concentrator-Rolle damit nicht. Auch in einer SASE-Architektur enden die verschlüsselten Tunnel an einem Punkt (den Cloud-Knoten des Anbieters), an dem die Zugriffsregeln durchgesetzt werden. Der Begriff taucht in neuer Marketing-Sprache nur seltener auf.

Quellen

• Palo Alto Networks, Cyberpedia, What Is a VPN Concentrator?
• Amazon Web Services, VPN Concentrator (Site-to-Site VPN)
• Cisco Newsroom, Cisco Introduces Powerful VPN and Firewall Solutions (VPN 3000 Series)
• Palo Alto Networks, Cyberpedia, What Is SASE? und ZTNA