Mit STACKIT VPN (bzw. STACKIT Managed VPN) bietet STACKIT einen vollständig verwalteten Service für sichere Site-to-Site-VPN-Verbindungen. Der Dienst hat mittlerweile den Status General Availability (GA) erreicht und ist über die API, das STACKIT Portal sowie teilweise über den Terraform Provider nutzbar.
Für Umgebungen, die konsequent auf Infrastructure as Code setzen, bestehen derzeit noch einige Einschränkungen: Im Terraform Provider wird aktuell lediglich die Verwaltung von STACKIT VPN Gateways unterstützt, während die Konfiguration von VPN Connections noch nicht implementiert ist. Mit überschaubarem zusätzlichem Entwicklungsaufwand lässt sich der Dienst jedoch bereits heute, durch die Verwendung der API, gut in bestehende Automatisierungs- und Deployment-Prozesse integrieren.
Das STACKIT VPN kann nur in Verbindung mit einer STACKIT Network Area genutzt werden. Die Network Area fungiert als zentrales Routing‑Konstrukt und ermöglicht es, Netzwerke, Projekte und deren virtuelle Netze übergreifend miteinander zu verbinden.
Das VPN Gateway erhält eine zentrale IP‑Adresse aus der Network Area, und über statische Routen werden die CIDR‑Ranges weiterer Netzwerke dorthin geleitet. Dadurch eignet sich der Service besonders gut für Hub‑and‑Spoke‑Architekturen.
Das STACKIT VPN unterscheidet zwischen zwei Ressourcentypen:
Das VPN Gateway bildet den zentralen Einstiegspunkt und definiert die grundlegenden Eigenschaften der VPN‑Anbindung:
Für jede angegebene Availability Zone wird automatisch ein eigenes Tunnel Interface erzeugt. Dadurch entstehen immer zwei Tunnel, was eine hochverfügbare Anbindung ermöglicht.
Hinweis: SKUs bzw. Performanceklassen können nicht herabgestuft werden. Wenn eine kleinere Leistungsstufe benötigt wird, ist ein entsprechendes Redeployment erforderlich.
Ein VPN Gateway kann mit einer oder mehreren VPN Connection‑Ressourcen verknüpft werden.
In diesen Objekten wird die eigentliche Site‑to‑Site‑Verbindung definiert:
STACKIT unterstützt alle gängigen modernen Verschlüsselungs‑ und Integritätsalgorithmen, was eine sehr gute Interoperabilität mit gängigen Gegenstellen ermöglicht.
Die Hochverfügbarkeit ist integraler Bestandteil des Designs:
Das erhöht zwar minimal den Konfigurationsaufwand, sorgt aber für eine ausfallsichere Verbindung.
Die Konfiguration erfolgt aktuell ausschließlich über die STACKIT API. In der Praxis lässt sich das sehr gut mit Terraform umsetzen, beispielsweise über Local Blocks und den offiziellen STACKIT Terraform Provider. Auch Beta‑Ressourcen werden unterstützt. Es ist nur eine Frage der Zeit, bis der das STACKIT VPN vollwertig mit eigenen STACKIT Terraform Resource-Blocks unterstützt wird.
Für IaC‑getriebene Umgebungen ist das STACKIT VPN dadurch gut reproduzierbar und versionskontrolliert betreibbar.
Unsere bisherigen Erfahrungen mit STACKIT Managed VPN sind durchweg positiv. Der Aufbau der VPN-Tunnel funktionierte in verschiedenen Szenarien zuverlässig und ohne größere Herausforderungen. Auch im laufenden Betrieb erwiesen sich die Verbindungen über längere Zeiträume hinweg als stabil. Die Unterstützung moderner IPsec-Algorithmen trägt zusätzlich zu einer sicheren und zuverlässigen Konnektivität bei.
Derzeit größte Einschränkung ist die noch begrenzte Transparenz des Dienstes. Der Service bietet aktuell zwar die Möglichkeit per GUI oder API den Status der Komponenten abzufragen, jedoch keine Möglichkeit, Logs oder Metriken für Monitoring- und Analysezwecke zu exportieren.
Für viele Network Engineers dürfte außerdem die Bezeichnung der Schlüsselaustauschgruppen zunächst ungewohnt sein. Während in der Praxis häufig die klassischen IPsec-DH-Gruppennummern (z. B. Gruppe 19, 20 oder 21) verwendet werden, setzt STACKIT auf die kryptografischen Gruppenbezeichnungen wie ecp256, ecp384 oder ecp521. Technisch handelt es sich um dieselben elliptischen Kurven, die alternative Benennung kann bei der Konfiguration jedoch zunächst für Verwirrung sorgen.
Ebenfalls erwähnenswert sind die vergleichsweise strengen Anforderungen an den Pre-Shared Key (PSK). Dieser muss:
Diese Vorgaben sind aus Sicherheitsgründen nachvollziehbar, sollten jedoch bei der Planung und Automatisierung von VPN-Verbindungen berücksichtigt werden.
Das STACKIT VPN ist unserer Meinung nach ein technisch ausgereifter Dienst:
Sobald die Terraform-Unterstützung vollständig verfügbar ist, dürfte sich der Service auch für Infrastructure-as-Code-affine Teams deutlich wartbarer und sauberer integrieren lassen. Für Teams, die primär über API oder Web-UI arbeiten, ist STACKIT VPN eine sehr solide und praxistaugliche Lösung.
Willkommen bei unserem exklusiven Support für Bestandskunden. Hier finden Sie alle nötigen Informationen, um schnell und unkompliziert Hilfe bei technischen Anfragen zu erhalten.
Für eine direkte Unterstützung per Fernwartung, laden Sie bitte unser TeamViewer-Modul herunter:
Bitte beachten Sie: Dieser Kanal ist speziell für technische Anfragen unserer Bestandskunden vorgesehen. Für allgemeine Anfragen, Informationen zu unseren Dienstleistungen oder eine Erstberatung nutzen Sie bitte unser Kontaktformular oder schreiben Sie eine E-Mail an [email protected].
