Great Firewall of China: VPN nach China

Was ist die Great Firewall of China?

Die Great Firewall of China ist das staatliche Zensur- und Filtersystem, mit dem die chinesische Regierung den Zugriff auf ausländische Internetdienste kontrolliert und den grenzüberschreitenden Datenverkehr reguliert.

Die „Great Firewall of China“ (GFC/GFW) wird vom chinesischen Ministerium für Informationstechnologien (MIIT) betrieben und kommt somit direkt von der chinesischen Regierung. Diese gibt vor, welche Webseiten und sogenannte „Keywörter“ geblockt oder gefiltert werden müssen, nur ein VPN nach China ermöglichte bisher noch den Datenverkehr. Die Firewall verhindert nicht nur eine Erreichbarkeit von Diensten wie YouTube, Twitter, Facebook, Google und vielen anderen Plattformen aus dem Ausland in China, sondern erschwert auch die Kommunikation von Unternehmen mit ihren dortigen Zweigstellen.

Wie Unternehmen die Great Firewall früher umgangen haben

In der Vergangenheit gab es immer wieder Mittel und Wege, mit Hilfe eines VPN nach China das Ganze zu umgehen. Verschiedene VPN-Software wurde auf einem lokalen Computer und einem entfernten Server installiert und baute zwischen diesen einen verschlüsselten Tunnel (IPSec) auf. Die Daten vom lokalen Computer in China wurden durch den verschlüsselten VPN-Tunnel zu dem sich im Ausland befindenden Server gesendet. Dieser hat dann den Verbindungsaufbau zu YouTube & Co. durchgeführt und die Daten verschlüsselt zurückgesendet. Die GFC konnte die verschlüsselten Daten nicht als „verboten“ erkennen und hat auch entsprechend nicht blockiert. Die gleiche Methode haben Unternehmen für ihre Kommunikation genutzt.

Regulierung seit 2017 und der heutige Stand

Mit einer Neuregelung vom 22. Januar 2017 erklärte die chinesische Regierung genau dieser VPN-Tunnel-Lücke den Kampf. Ziel war es, alle VPN-Verbindungen abzustellen, die den Zugang zum freien Internet ermöglichen. Die ursprünglich für Ende März 2018 vorgesehene Umsetzungsfrist wurde damals bis Ende März 2019 verlängert.

Seither hat sich die Kontrolle nicht gelockert, sondern verstetigt: Die GFC filtert auffällige IP-Adressen aus und sperrt diese dauerhaft. Dafür reicht mitunter schon eine einzelne Google-Suche eines beliebigen Mitarbeiters nach Facebook, Instagram und Co., und eine wertvolle IP-Adresse aus dem eigenen Bestand ist für immer gesperrt und unbrauchbar. So lässt sich regelrecht beobachten, wie IP-Adressen eine nach der anderen „gefangen“ werden, bis am Ende keine Möglichkeit mehr besteht, überhaupt eine Verbindung aufzubauen. Unternehmen mit einer oder mehreren Niederlassungen in China, die weiterhin über verschlüsselte VPN-Tunnel (IPSec) kommunizieren, stehen daher bis heute unter Handlungsdruck.

Warum Unternehmen die Great Firewall umgehen

Unternehmen nutzen VPNs, um sich von ihren lokalen Servern (China Inland) in ihr Intranet einzuwählen oder ihre Kommunikation vor Dritten zu schützen. Sensible Daten wie

• Gehaltsabrechnungen
• Baupläne
• Strategiegespräche
• etc.

können so übermittelt werden, ohne mitgelesen zu werden.

Welche Lösung gibt es heute für Unternehmen

Bevor konkrete Maßnahmen zur Ausfallreduzierung umgesetzt werden, sollte eine Vorabanalyse klären, welche Unternehmensdaten hinsichtlich Verfügbarkeit und Qualität von besonderer Wichtigkeit sind. Erst auf Basis dieser Vorabanalyse und einer Kalkulation des vorhandenen Ausfallrisikos sollten entsprechende Lösungsansätze ausgearbeitet werden. Grundsätzlich gibt es zwei Lösungsansätze, die wirkliche Alternativen für ein VPN nach China darstellen. Eine davon ist das MPLS-VPN. Allerdings sind MPLS Verbindungen nach China sehr kostenintensiv, für eine kleine dedizierte MPLS Bandbreite kann durchaus ein fünfstelliger Betrag im Monat fällig werden. Eine kostengünstigere Alternative zum MPLS-VPN ist SD-WAN China. Die Lösung kann auf Basis von lokalen Internetleitungen oder bereits vor Ort befindlichen Internetleitungen aufgebaut werden. Innerhalb des SD-WAN findet eine Verschlüsselung statt, darüber hinaus kann noch eine weitere, eigene Encryption eingesetzt werden, ohne dass der Schlüssel bei einer chinesischen Behörde hinterlegt werden muss. SD-WAN ist nicht nur eine alleinstehende Lösung, sondern lässt sich auch flexibel zur Erweiterung bestehender MPLS-Netze einsetzen, etwa über SAVECALL Dedicated China Connect.