VPN

Mit ThinVPN greifen deine Geräte aus dem Homeoffice sicher auf das Firmennetz zu. Als VPN-Technologie kommt NetBird zum Einsatz — die Open-Source-Plattform des gleichnamigen deutschen Unternehmens (ZTNA über WireGuard). Du richtest die Verbindung einmal ein und schaltest danach einzelne Clients per Klick frei. Du findest alles im Navigationspunkt VPN in der Seitenleiste.

Empfehlung: Für die VPN-Funktion solltest du die VPN-Option von ThinForge buchen. Zur grundsätzlichen Freischaltung erhältst du von thinforge.org eine URL und einen Key, mit denen du die VPN-Funktion aktivierst. Die Konditionen stehen in der Preistabelle.

Bevor du startest

Solange noch keine Verbindung besteht, zeigt der Tab nur die Karte „VPN nicht eingerichtet" mit einem Setup-Button. Für die Einrichtung brauchst du die beiden Angaben (URL und Key), die du nach Buchung der VPN-Option von thinforge.org erhältst:

ThinVPN-Adresse — die vollständige Adresse deines VPN-Servers, z. B. https://vpn.deinefirma.de.
Zugangs-Token — der Schlüssel, den du nach Buchung der VPN-Option von thinforge.org erhältst.

Hinweis: Verwechsle den Zugangs-Token nicht mit einem Aktivierungs-Schlüssel. Aktivierungs-Schlüssel sind gerätespezifisch und entstehen automatisch, wenn du einen Client freischaltest — du trägst sie nie selbst ein.

Solange nichts eingerichtet ist, zeigt der VPN-Bereich nur die Karte „VPN nicht eingerichtet" mit dem Setup-Button.

VPN einrichten

Ein Klick auf „VPN einrichten" öffnet einen Assistenten mit drei Schritten:

Verbindung — ThinVPN-Adresse und Zugangs-Token eintragen, dann „Verbindung testen & weiter".
Server anmelden — der ThinForge-Server meldet sich beim VPN-Server an. Erkannter Hostname und LAN-Subnetz werden angezeigt.
Fertig — Bestätigung, dass die Einrichtung abgeschlossen ist.

Danach lösen interne Namen (etwa Hosts deiner lokalen Domain) auf den Endgeräten automatisch über den Tunnel auf. Voraussetzung ist eine gesetzte lokale Domain im Netzwerk-Bereich unter DNS.

VPN-Assistent Schritt 1 — Schritt 1 des Assistenten: ThinVPN-Adresse und Zugangs-Token eintragen und die Verbindung testen.

VPN-Assistent Schritt 2 — Schritt 2: Der ThinForge-Server meldet sich beim VPN-Server an — erkannter Hostname und LAN-Subnetz werden bestätigt.

Die VPN-Ansicht nach der Einrichtung

Ist alles eingerichtet, zeigt die Ansicht oben einen Status (ein grüner Chip „ThinVPN aktiv" und die Anzahl freigeschalteter Clients) und die Verbindungs-Karte mit der aktuellen Adresse und dem Status, mit den Aktionen „Verbindung testen", „Token rotieren" und „Trennen & löschen".

Darunter findest du mehrere Tabs:

Clients — eine Tabelle aller bekannten Geräte mit ihrem VPN-Status.
Konfiguration — der abgeglichene VPN-Stand und die Freigaben (Lokale Ressourcen).
Gruppen — die VPN-Gruppen.
Tasks — die laufenden und abgeschlossenen VPN-Aufgaben.

Hinweis: „Trennen & löschen" räumt die gesamte Einrichtung am VPN-Server wieder ab — inklusive aller freigeschalteten Geräte. Der Schritt ist nicht umkehrbar; eine erneute Einrichtung legt alles sauber neu an.

Eingerichtete VPN-Ansicht — Die eingerichtete VPN-Ansicht: Status, Verbindungs-Karte und die Tabs Clients, Konfiguration, Gruppen und Tasks.

Gruppen, Clients und Freigaben konfigurieren

Im Tab Gruppen verwaltest du die VPN-Gruppen. Eine Gruppe ist eine benannte Sammlung von Geräten — sie dient später dazu, Freigaben gezielt für eine Auswahl von Clients zu vergeben. Über „Neue Gruppe" legst du eine Gruppe mit einem Namen an (z. B. „Buchhaltung"). Die Spalte Peers zeigt, wie viele Geräte aktuell in der Gruppe sind. Drei Systemgruppen sind fest vergeben und lassen sich nicht löschen; alle weiteren Gruppen kannst du frei anlegen und wieder entfernen.

Im Tab Clients sind die Geräte nach der Gruppe gegliedert, der sie angehören. Beim Freischalten eines Geräts (Aktion „Aktivieren") wählst du im Dialog die Gruppe, in die der Client aufgenommen wird — vorbelegt ist die Standardgruppe „Clients". Über diese Gruppenzugehörigkeit entscheidet sich, welche Freigaben für das Gerät gelten. Ein Client bekommt keine eigene Adressregel; seine Zugriffsrechte ergeben sich allein aus der Gruppe.

Die eigentlichen Freigaben definierst du im Tab Konfiguration. Dort zeigt die obere Karte den abgeglichenen Soll-Zustand (Netzwerk, Routing, Gruppen und bestehende Freigaben) schreibgeschützt an; mit „Konfig anwenden" wird ein geänderter Stand sofort auf den VPN-Server übertragen. Darunter, in der Karte Lokale Ressourcen, legst du über „Neue Ressource" eine Freigabe an. Eine Freigabe besteht aus:

Name — eine Bezeichnung für die Freigabe (z. B. „W22").
Host-Adresse — das Ziel, das erreichbar werden soll: entweder eine einzelne IP (ein einzelner Host, z. B. 192.168.20.3) oder ein ganzer Netzbereich in CIDR-Schreibweise (z. B. 192.168.20.0/24).
Quell-Group — die Gruppe, deren Mitglieder das Ziel erreichen dürfen (vorbelegt mit „Clients").
Zugriffs-Regeln — je Regel ein Protokoll (TCP, UDP oder alle) und die freigegebenen Ports (kommasepariert).

Eine Freigabe lässt sich nicht nachträglich bearbeiten — zum Ändern löschst du sie und legst sie neu an. Über das Lösch-Symbol in der Zeile wird eine Freigabe nach Rückfrage entfernt und unmittelbar vom VPN-Server gelöscht.

Standardverhalten: Ein frisch freigeschalteter Client erreicht von sich aus nur den ThinForge-Server (für Namensauflösung und die Verwaltung) — sonst nichts. Jeder weitere Zugriff muss als Freigabe ausdrücklich erlaubt werden. Möchtest du also, dass eine Gruppe einen einzelnen Host oder einen ganzen Netzbereich im Firmennetz erreicht, trägst du dieses Ziel als Freigabe mit der passenden Quell-Group ein. So unterscheidet sich „nur Server" (keine zusätzliche Freigabe) von „Netzbereich" (eine Freigabe mit einer Netzbereich-Adresse).

VPN-Konfiguration — Der Tab „Konfiguration": der abgeglichene VPN-Stand (Netzwerk, Gruppen, Richtlinien) und darunter die „Lokalen Ressourcen" — die Freigaben.

Geräte freischalten und sperren

In der Tabelle VPN-Clients findest du je Gerät eine Aktions-Spalte:

Aktivieren — ThinForge bereitet das Gerät vor und schaltet es beim nächsten Abgleich frei. Sobald es sich verbindet, wechselt der Status auf „aktiv". Du kannst Geräte schon vorbereiten, lange bevor sie ins Homeoffice gehen — die Freischaltung läuft nicht ab.
Deaktivieren — nach einer Rückfrage wird der VPN-Zugang sofort entzogen und am Gerät entfernt. Eine erneute Aktivierung ist jederzeit möglich.

Wichtig: Die Freischaltung kannst du vorbereiten, die Konfiguration erhält der Client aber erst, wenn er eingeschaltet und im LAN des ThinForge-Servers erreichbar ist. Der Agent holt sie dann beim Status-Abgleich ab und richtet den Tunnel ein — solange der Tunnel noch nicht steht, erreicht das Gerät den Server nur lokal. Danach funktioniert der VPN-Zugang auch von außerhalb.

Danach baut der Client den Tunnel vollautomatisch auf, sobald sich das Gerät außerhalb des Firmennetzes befindet — der Mitarbeiter muss dafür nichts starten, anklicken oder eintragen. Im Büro, also im LAN des ThinForge-Servers, trennt der Client den Tunnel von selbst wieder, sodass dort der direkte Netzwerkzugang genutzt wird.

Häufige Fragen

Muss der Mitarbeiter im Homeoffice etwas tun? Nein. Der VPN-Client startet automatisch, sobald das Gerät außerhalb des Büros läuft, und schaltet sich im Büro selbst wieder ab.

Was, wenn ein Gerät verloren geht? Den Client im VPN-Tab deaktivieren — der Zugang ist sofort gesperrt.

Was, wenn der VPN-Server kurz nicht erreichbar ist? Bestehende Verbindungen laufen weiter. Neue Freischaltungen sind erst wieder möglich, wenn der Server antwortet.

Warum erscheint „VPN-Tier-Limit erreicht"? Dein Tarif erlaubt nur eine bestimmte Anzahl aktiver Clients. Deaktiviere ein nicht mehr benötigtes Gerät oder erweitere die Lizenz.