SoftEther VPN: Tsukubas Multi-Protokoll-Server, sein HTTPS-Tunnel und VPN Gate

SoftEther („Software Ethernet“) ist eine kostenlose Open-Source-VPN-Software von der University of Tsukuba in Japan. Ein SoftEther-Server spricht sein eigenes SSL-VPN-Protokoll über HTTPS und gleichzeitig mehrere gängige VPN-Protokolle, sodass fast jedes Gerät eine Verbindung herstellen kann. Das native Protokoll tarnt den Tunnel als gewöhnlichen Web-Traffic, womit er Portfilter und restriktive Firewalls passiert. Dieselbe Universität betreibt auch VPN Gate, ein von Freiwilligen gepflegtes Relay-Netzwerk, das kostenlos nutzbar ist, aber wenig Datenschutz bietet.

Was SoftEther ist und woher es kommt

Der Name steht für Software Ethernet: Das Paket emuliert in Software Ethernet-Switches und Netzwerkadapter, sodass eine Session ganze Ethernet-Frames auf Layer 2 überträgt, nicht nur IP-Pakete. Das Projekt begann als Masterarbeit von Daiyuu Nobori an der Universität Tsukuba und wird dort vom SoftEther VPN Project gepflegt. Es wurde am 4. Januar 2014 unter der GPLv2 veröffentlicht und am 21. Januar 2019 auf die Apache License 2.0 umlizenziert. Es gibt keinen bezahlten Tarif; die offizielle Website des SoftEther VPN Project bietet Downloads und Handbuch.

Wie das native Protokoll Traffic transportiert

Der Virtual Hub ist ein softwarebasierter Ethernet-Switch, und ein SoftEther-Server kann mehrere isolierte Virtual Hubs hosten, jeweils mit eigenen Administratoren, Nutzern und Paketfiltern. Clients verbinden sich über einen virtuellen Adapter unter Windows, Linux oder macOS, und der Tunnel transportiert Ethernet-Frames innerhalb einer HTTPS-Session standardmäßig an TCP-Port 443. Um auf langsamen oder latenzreichen Verbindungen mehr herauszuholen, kann der Client 1 bis 32 parallele TCP-Verbindungen in einer Session öffnen. NAT-Traversal ist standardmäßig aktiviert, sodass ein Server hinter einem Heimrouter Verbindungen ohne Portweiterleitung annimmt. VPN over ICMP und VPN over DNS sind Ausweichmodi: schmerzhaft langsam, aber sie verbinden dort, wo nur Ping- oder DNS-Pakete durchkommen.

Ein Server, viele Protokolle

VPN Bridge, Cascade-Verbindungen und lokale Bridges decken über diese Protokolle hinaus Site-to-Site-Szenarien ab.

Warum Firewalls ihn durchlassen – und wo die Tarnung versagt

Für eine portbasierte Firewall oder einen Proxy sieht eine SoftEther-Session wie ein Besuch einer HTTPS-Website auf Port 443 aus, einem Port, den kaum ein Netzwerk schließen kann, ohne das Web zu zerstören. Gegen ernsthafte DPI sieht es anders aus: Systeme, die TLS-Handshakes per Fingerprint erkennen, langlebige TCP-Sessions mit hohem Volumen verfolgen oder Server aktiv abfragen, können den Tunnel dennoch markieren, denn die HTTPS-Tarnung ist keine dedizierte Verschleierungsschicht. Das Tunneln über TCP wird zudem auf verlustbehafteten Verbindungen langsamer, was die parallelen Verbindungen nur teilweise ausgleichen. In stark zensierten Ländern sollten Sie ein Stealth-Protokoll zur Hand haben.

VPN Gate: Was es ist und ob kostenlose Relays sicher sind

VPN Gate ist ein eigenes akademisches Experiment in Tsukuba, gestartet am 8. März 2013, aufgebaut als Plug-in auf dem SoftEther VPN Server mit standardmäßig deaktivierter Relay-Funktion. Freiwillige aktivieren sie, und ihre Rechner, oft gewöhnliche Heimanschlüsse, erscheinen in einer öffentlichen Liste, für die kein Konto erforderlich ist; akzeptiert werden das SoftEther-SSL-VPN-Protokoll, L2TP/IPsec, OpenVPN und MS-SSTP. Laut dem VPNRadarLab-Anbieterprofil sind 3137 freiwillige Relay-Server aufgeführt.

Was VPN Gate loggt und wer es liest

Verbindungs-Logs werden zentral mindestens 3 Monate aufbewahrt und verknüpfen Ihre Quell-IP-Adresse mit jeder Session; jeder Freiwillige speichert Paket-Header-Logs mindestens 2 Wochen lang. Verbindungs-Logs werden auf Anfrage an Polizei, Staatsanwaltschaft und Gerichte herausgegeben. Unabhängig davon vergibt das VPNRadarLab-Anbieterprofil an VPN Gate ein Warnsignal wegen der Speicherung der IP-Adresse bei der Verbindung.

Weitere Risiken öffentlicher Relays

Der Freiwillige, der ein Relay betreibt, ist Ihr Exit-Punkt und kann unverschlüsselten Traffic und die von Ihnen besuchten Ziele einsehen. Es gibt keinen Kill Switch, keine angegebene DNS-Leak-Schutz-Funktion, keine Verschleierung, und ein Relay verschwindet, sobald sein Eigentümer den Rechner ausschaltet. Ausgehende E-Mails auf TCP-Port 25 sind blockiert, und Zensoren lesen dieselbe Liste und sperren die dort gefundenen Adressen.

SoftEther mit einem VPN-Dienst

Von den 371 Diensten im VPNRadarLab-Hauptranking geben 11 SoftEther-Unterstützung an, und ein weiterer Dienst unterstützt es teilweise; die Liste, Bewertungen und Preise finden Sie auf der SoftEther-Ranking-Seite.

FAQ

Ist SoftEther kostenlos?

Ja. Server und Client sind Open Source; ein Anbieter berechnet für seine eigene Infrastruktur Gebühren.

Ist SoftEther dasselbe wie VPN Gate?

Nein. SoftEther ist die Software; VPN Gate ist ein Freiwilligennetzwerk darauf, das im Server standardmäßig deaktiviert ist.

Kann sich mein Smartphone mit einem SoftEther-Server verbinden?

Ja, über den integrierten L2TP/IPsec-Client oder eine OpenVPN-App; der dedizierte Client ist nur für Computer.

Funktioniert SoftEther bei starker Zensur?

Er passiert Portfilter und einfache Inspektion, nicht aber gezielte Deep Packet Inspection – planen Sie dort ein Stealth-Protokoll ein.

SoftEther: Überblick

SoftEther ist eine Open-Source-VPN-Software der University of Tsukuba, die aus einer einzigen Server-Installation heraus mehrere Protokolle betreibt, darunter ihren eigenen Ethernet-over-HTTPS-Tunnel. Sie überwindet Portfilter und einfache Inspektion, nicht aber gezielte Deep Packet Inspection. VPN Gate stellt die Software kostenlos auf Freiwilligen-Rechnern bereit – zum Preis langer Speicherfristen für Logs und nicht überprüfbarer Ausgangsknoten.