IPSec Abschaltung in China: Alternativen

Warum China IPSec-VPNs abschaltet

Die IPSec-Abschaltung in China bezeichnet die schrittweise Blockade grenzüberschreitender IPSec-VPN-Tunnel durch die chinesischen Behörden, wodurch Unternehmen mit Standorten in China ihre gewohnte Standortverbindung ins Ausland verlieren.

Viele deutsche Unternehmen unterhalten VPNs nach China, um ihre dortigen Standorte an das Unternehmensnetz anzubinden. Die chinesische Cyber-Security-Behörde möchte die Internetnutzung in China kontrollieren und vor allem auch internationale Websites blocken. Dies erfolgt durch die „Great Firewall of China“. Durch diese muss jeder Internetverkehr hindurch und dort gezielt gefiltert werden. In der Vergangenheit konnten Internetnutzer in China jene Firewall mittels internationaler IPSec-VPN-Tunnel-Services umgehen. Für einen monatlichen Beitrag konnte man bei einem Online-Serviceprovider einen nicht regulierten, offenen Internetzugang nutzen, und ein riesiger Graumarkt bildete sich. Mit dem chinesischen Cybersecurity-Gesetz von 2017 wurde dieser Graumarkt konsequent eliminiert, Zuwiderhandlungen werden seither mit empfindlichen Freiheitsstrafen belegt. Auch deutsche Unternehmen sind hiervon betroffen, da sie ihren Mitarbeitern meist einen Zugang zum internationalen Internet und auch den eigenen Servern und Diensten im Ausland gewähren. Technisch wird dies mittels IPSec-Tunneln oder MPLS-VPN realisiert.

Die offizielle chinesische Regulierung

Die offizielle Chinese Government Policy hierzu lautet wie folgt:

• Any business entity and individual who setup or rent lines (including VPN services) for the purpose of cross-border transaction or activities, is strictly prohibited without authorization from the Chinese Telecom Management Authority.
• The Cloud Service Provider who owns service infrastructure in China and requires connection to foreign country networks shall establish the connection through authorized international internet access service providers approved by the Ministry of Industry and Information Technology (MIIT). Leased lines, VPNs and any unstated self-invented network communication channels are strictly prohibited.
• CDN and SD-WAN operation, including cross-border data transmission, shall comply with the above rules for future management.

In der Praxis bedeutet dies, dass seitens der chinesischen Behörden die Ports 80, 443, 8080 sowie IPSec/S2S-VPN geblockt werden. IPSec nutzt aus technischer Sicht die Ports 50, 51, 500, 4500 und so weiter, ohne dass es ein offizielles Dokument gibt, welches gezielt diese Ports anspricht. Dennoch werden nach und nach alle Cross-Country-IPSec-Ports geblockt. Nur reine China-domestic-IPSec-Connections sind nicht betroffen. Welche Alternativen haben Unternehmen dann, um ihre chinesischen Standorte an ihre internationalen Niederlassungen beziehungsweise ausländische Server anzubinden? Unbetroffen von den Abschaltungen sind Carrier-MPLS-Verbindungen, da sie einer anderen Regulierung unterliegen. Da sie so teuer sind, befürchten die chinesischen Behörden nicht, dass jene Leitungen massenhaft zum Surfen im unregulierten Internet eingesetzt würden. Vielen Unternehmen ist eine MPLS-Verbindung nach China jedoch zu teuer. Daher bietet China Telecom nun eine regulierte, verlässliche und günstigere Alternative zu MPLS.

Die China Telecom SD-WAN Plattform

Hier wird über eine bestehende Internetverbindung vor Ort mittels einer vorkonfigurierten China Telecom SD-WAN Box eine Verbindung über den Business-User-Backbone von China Telecom geschaltet, der sich außerhalb der Great Firewall of China befindet und auch weit performanter ist. Über SD-WAN-POPs in Peking, Shenzhen und Guangzhou wird der Verkehr in das latenzarme CTG-DCI-Netz weitergeführt, um dann über ein Gateway in Hongkong international weitergeleitet zu werden. Der Traffic kann dann zum Beispiel in Frankfurt per Internet übergeben werden. SAVECALL hat eine solche Lösung gemeinsam mit China Telecom realisiert und bereits für viele deutsche Unternehmen in Betrieb genommen. Ab 10 Mbit bieten wir Verbindungen an, die innerhalb von rund 14 Tagen betriebsbereit übergeben werden, eine verlässliche Lösung, die weit günstiger ist als ein MPLS-VPN.