💡 Warum du diese Anleitung brauchst
Du hast ein Zyxel USG 20 im Büro oder im Home-Office stehen und willst endlich ein sauberes, stabiles VPN für Fernzugriff oder Site‑to‑Site-Verbindungen? Gute Idee — das USG 20 ist robust, aber die Oberfläche kann Neulinge schnell verwirren.
In diesem Guide zeige ich dir praxisnah, wie du IPSec-VPN (Site‑to‑Site und Remote-Access), grundlegende Firewall-Regeln und Tests aufsetzt — mit Tipps speziell für Schweizer Netzumgebungen (NAT, Port-Weiterleitung, Provider-spezifische Besonderheiten). Keine trockene Theorie, sondern eine Schritt-für-Schritt-Anleitung, damit das Ding wirklich läuft.
📊 Vergleich: IPSec vs. SSL/L2TP auf Zyxel USG 20
| 🔒 VPN-Typ | ⚙️ Kompatibilität | 🚀 Geschwindigkeit | 🛠️ Setup-Komplexität | ✅ Empfehlung |
|---|---|---|---|---|
| IPSec (Site-to-Site) | Breit (Routers) | Schnell | Mittel | Beste Wahl für Firmen |
| SSL/L2TP (Remote) | Windows/Mac/Phones | Okay | Niedrig | Gut für mobile Clients |
| OpenVPN (externer Server) | Sehr breit (Client-Software) | Variabel | Hoch | Wenn du volle Kontrolle brauchst |
Die Tabelle zeigt: Für die meisten Schweizer KMU ist IPSec die pragmatische Wahl — guter Durchsatz, Standard-Interoperabilität zwischen Routern. Für mobile Einzelanwender ist L2TP/SSL einfacher. OpenVPN ist super flexibel, läuft aber oft über einen separaten Server (z. B. NAS oder VPS) und erfordert Port-Forwarding.
Diese Entscheidungen beeinflussen, wie du Firewall-Regeln, NAT und Provider-Ports in der Swiss-Umgebung konfigurieren musst — also nicht alles nur im USG einstellen und hoffen.
😎 MaTitie SHOW TIME
Hi, ich bin MaTitie — der Autor dieses Beitrags. Ich hab Dutzende VPNs getestet und zig Router konfiguriert. VPNs sind für Privatsphäre, Streaming und sicheren Fernzugriff zentral — besonders wenn du unterwegs in Schweizer Netzwerken arbeitest.
Wenn du Speed, Privacy und einfache Bedienung willst, empfehle ich NordVPN: schnell, zuverlässig und mit guter App-Unterstützung. 👉 🔐 NordVPN ausprobieren (30 Tage) — risikofrei.
Diese Seite enthält Affiliate-Links. Wenn du über diesen Link kaufst, verdient MaTitie eine kleine Provision.
💡 Vorbereitungen: Was du brauchst (kurze Checkliste)
- Zyxel USG 20 mit aktueller Firmware (letzte stabile Version).
- Admin‑Zugang zur Web-Admin-Oberfläche.
- Public IP oder DynDNS-Dienst, falls keine feste IP vorhanden.
- Shared Secret oder Zertifikate für IPSec; Client-Certs für L2TP/SSL.
- Knowledge: lokale LAN-Subnetze beider Seiten (z. B. 192.168.1.0/24).
- SSH/Console-Zugang ist hilfreich, aber nicht zwingend.
🛠 Schritt-für-Schritt: IPSec Site-to-Site auf dem USG 20 (Praxis)
- Backup: Erstelle ein Konfigurations‑Backup bevor du startest.
- System → Objekt → Host: Lege die entfernte Public-IP oder DynDNS als Host an.
- VPN → IPSec VPN → Gateway: Neues Gateway, IKE Version (vorzugsweise IKEv2), Authentication: Pre-Shared Key (Shared Secret), Encryption: AES‑256, Hash: SHA‑256, DH Group: 14 (oder höher). NAT-T aktivieren, falls eine Seite hinter NAT sitzt.
- VPN → IPSec VPN → Connection: Neues Tunnelprofil, wähle Phase-1-Gateway, Phase-2-Proposals: AES-256/SHA-256, PFS (optional): DH Group 14; Local/Remote Subnet konfigurieren.
- Object → Address: VPN-Subnetze als Objekte anlegen (z. B. Office1-LAN, Office2-LAN).
- Security Policy → Policy: Erstelle Regeln, die Traffic zwischen den VPN-Subnetzen erlauben (Source=Office1-LAN, Destination=Office2-LAN, Service=ALL oder selektiert). Positioniere Regeln oberhalb restriktiver Policies.
- Routing: Standardmäßig funktioniert das über Policy-based Routing; bei Bedarf statische Routen setzen.
- Test: Von einem Gerät im LAN A die IP eines Geräts in LAN B anpingen; Logs prüfen: Monitor → VPN → IPSec Monitor.
- Troubleshooting: Wenn Tunnel nicht aufbaut — kontrolliere Phase-Parameter, Shared Secret, NAT-T, Firewall zwischen den Public-IPs, und ob der Provider UDP 500/4500 blockiert.
🔍 Häufige Fallen & schnelle Lösungen
- Tunnel baut nicht auf: Prüfe Uhrzeit/Datum (zertifikatsabhängige Fehler), UDP 500/4500 offen?
- Kein Traffic trotz Tunnel up: Firewall-Policy auf beiden Seiten fehlt.
- Langsame Verbindung: Verschlüsselungslevel vs. CPU des USG 20 — AES-GCM kann performanter sein; evtl. MTU/Fragmentierung prüfen.
- OpenVPN-Clients gewünscht? Setze einen externen OpenVPN-Server (z. B. auf einem NAS) und leite Ports (UDP 1194) via USG weiter.
🔐 Sicherheitstipps & Compliance-Hinweise
- Verwende starke Pre-Shared Keys oder (besser) Zertifikate.
- Deaktiviere schwache Cipher und IKEv1 falls möglich.
- Monitor-Logs regelmäßig prüfen; automatisierte Alerts für Tunnel‑Down konfigurieren.
- Patch das USG 20 zeitnah — bekannte Sicherheitslücken bei Firewalls sind beliebt bei Angreifern (siehe Wochen-Review zu unsicheren Firewalls) [HelpNetSecurity, 2025-10-05].
🧩 Praxisbeispiel: Remote-Access für einzelne Mitarbeiter (L2TP/SSL)
- Erstelle einen VPN-User-Account (System → User/Device → User).
- VPN → L2TP → Aktiviere L2TP und weise User zu; setze IP-Pool (z. B. 10.10.10.0/24).
- Firewall-Policy: Erlaube L2TP-Pool → LAN-Subnetz.
- Test: Verbinde per Windows VPN-Client (L2TP/IPSec mit Pre-Shared Key) oder per Mobile (iOS/Android).
🙋 Frequently Asked Questions
❓ Wie unterscheide ich Phase‑1 und Phase‑2 Einstellungen?
💬 Phase‑1 (IKE SA) legt die Authentifizierungsbasis fest — IKE Version, Auth-Methoden, Shared Secret; Phase‑2 (IPSec SA) regelt die Verschlüsselung für den Datenverkehr (Encryption/Integrity/PFS). Beide müssen auf beiden Seiten exakt übereinstimmen.
🛠️ Kann ich DynDNS statt fester IP verwenden?
💬 Ja — lege DynDNS als Host-Objekt in Zyxel an und verwende diesen Host in der IPSec-Gateway-Konfiguration; Achte darauf, dass DNS-Updates stabil sind.
🧠 Welche Verschlüsselungsparameter wähle ich für Balance aus Sicherheit und Performance?
💬 AES‑256/GCM mit SHA‑256 und DH Group 14 ist aktuell ein guter Kompromiss; bei CPU-Limit auf dem USG kannst du AES‑128 wählen oder Hardware-Beschleunigung prüfen.
🧾 Abschlussfazit
Das Zyxel USG 20 kann solide VPN‑Verbindungen bereitstellen — ob Site‑to‑Site oder Remote‑Access. Für Schweizer KMU ist IPSec meist die beste Wahl; L2TP/SSL taugt für mobile Zugänge; OpenVPN läuft oft besser auf separatem Server. Achte auf korrekte Phase-Parameter, NAT-T und passende Firewall-Regeln — und patch deine Geräte regelmässig, denn Firewalls sind ein beliebtes Angriffsziel [HelpNetSecurity, 2025-10-05].
📚 Weiterführende Artikel
🔸 “Un VPN rend-il vraiment anonyme en ligne ?”
🗞️ Source: frandroid – 📅 2025-10-05
🔗 Read Article
🔸 “Urgent VPN alert issued - if you’ve installed this popular app, delete it immediately”
🗞️ Source: Express – 📅 2025-10-05
🔗 Read Article
🔸 “Week in review: Many Cisco ASA firewalls still unsecure, hackers claim Red Hat’s GitLab breach”
🗞️ Source: HelpNetSecurity – 📅 2025-10-05
🔗 Read Article
😅 A Quick Shameless Plug (Auf Schweizer Art)
Ja, wir empfehlen NordVPN oft — weil es in Tests Geschwindigkeit, Privatsphäre und Streaming-Access kombiniert. Wenn du keine Lust auf Server-Bastelei hast, probier NordVPN: schnelle Apps, gute Server-Map und 30 Tage Geld-zurück. 👉 NordVPN testen
📌 Disclaimer
Dieser Beitrag kombiniert öffentlich verfügbare Infos, persönliche Tests und redaktionelle Erfahrung. Er dient als Anleitung; prüfe Konfigurationen sorgfältig in deiner Umgebung. Bei konkreten Sicherheitsfragen wende dich an einen zertifizierten Netzwerkspezialisten.