The Rise of the VPN: From Dial-Up Tunnels to WireGuard and Zero Trust
2026-08-22 · 10 min
A VPN's core idea has not changed since the mid-1990s: wrap traffic in an encrypted tunnel so it can cross a network you do not trust - typically the public Internet - while behaving as if it were still on the private network at the other end. What has changed dramatically, generation after generation, is how that tunnel is built, how strong its encryption is, how fast it runs, and eventually, whether the whole concept of a single trusted 'inside' the tunnel still makes sense at all.
That evolution tracks almost exactly against the Internet's own growth from a curiosity to critical infrastructure: each new protocol generation exists because the previous one's weaknesses became too expensive, too slow, or too insecure to keep tolerating at the new scale.
1996
PPTP is developed
Microsoft and a consortium of vendors create the Point-to-Point Tunneling Protocol, the first widely deployed consumer/enterprise VPN protocol, built into Windows 95's OSR2 update.
1999
L2TP is standardized
Layer 2 Tunneling Protocol (RFC 2661) combines the best ideas of PPTP and Cisco's L2F, but has no built-in encryption of its own - it is almost always paired with IPsec.
1998-2005
IPsec matures
The IPsec suite (RFC 2401 and successors) becomes the enterprise standard for site-to-site VPNs, providing strong, standardized encryption and authentication at the network layer.
2001
OpenVPN is released
James Yonan releases OpenVPN, an open-source SSL/TLS-based VPN that runs over standard UDP or TCP - easy to firewall-traverse and free from any single vendor's control.
2002-2003
SSL VPNs go mainstream
SSL/TLS-based 'clientless' VPNs (accessible from a browser) emerge as a lighter alternative to IPsec for remote-access use cases, avoiding IPsec's notorious firewall/NAT traversal headaches.
2005
IKEv2 is published
RFC 4306 (later RFC 7296) modernizes IPsec's key exchange, adding fast reconnection after a dropped connection - the feature that made IPsec genuinely usable on mobile devices switching between WiFi and cellular.
2012
WireGuard development begins
Jason A. Donenfeld starts designing WireGuard around a radical goal: a fraction of the code size of IPsec or OpenVPN, using a small, fixed set of modern cryptographic primitives instead of dozens of negotiable, sometimes-outdated options.
2018
Linus Torvalds merges WireGuard into Linux
WireGuard enters the Linux kernel mainline, a strong technical endorsement, and rapidly becomes the reference implementation for a new generation of fast, minimal VPN protocols.
2020
Zero Trust goes mainstream
NIST publishes SP 800-207, formalizing the Zero Trust Architecture model: verify every request individually regardless of network location, rather than trusting anything already 'inside' a VPN tunnel.
2020-2024
SASE and ZTNA displace classic remote-access VPN
Secure Access Service Edge and Zero Trust Network Access platforms increasingly replace always-on, full-network VPN access with per-application, continuously verified access - the direct architectural response to VPN's long-standing 'once you're in, you're trusted everywhere' weakness.
Why VPNs exist at all
Before broadband and cloud services, reaching a corporate file server or mainframe from outside the office meant a direct dial-up modem connection into a bank of remote-access servers - reliable but expensive to scale and entirely dependent on phone infrastructure. As the public Internet became cheap and ubiquitous in the mid-1990s, the obvious next step was to reuse it as the transport, but that only works if the traffic crossing it is protected from the untrusted networks in between - which is exactly the problem PPTP was built to solve in 1996.
Every VPN protocol since has been solving some combination of the same three problems: how to build the tunnel, how to prove both ends are who they claim to be, and how to encrypt what flows through it - with each generation making different tradeoffs between security strength, connection speed, and how well it survives firewalls, NAT, and unreliable networks.
A VPN wraps a client's traffic in an encrypted tunnel across an untrusted network (typically the public Internet) to a gateway, which then forwards it onto the private network as if the client were directly attached.
The first generation: PPTP, L2TP, and IPsec
PPTP was fast and simple to set up - genuinely groundbreaking for 1996 - but its encryption (Microsoft's MS-CHAP-based scheme) was progressively broken by researchers over the following decade and is now considered insecure for anything sensitive. L2TP, standardized in 1999, fixed PPTP's tunneling design but deliberately left out encryption entirely, on the assumption it would always be paired with a separate encryption layer.
That layer was IPsec, and the combination of L2TP for tunneling plus IPsec for encryption became the de facto enterprise standard through the 2000s. IPsec's strength was operating at the network layer, meaning it could secure any IP traffic transparently without any application even being aware of it - but that same low-level design made it notoriously difficult to get through firewalls and NAT devices, a persistent operational headache for anyone deploying it at scale.
SSL VPNs and OpenVPN: solving the firewall problem
The mid-2000s answer to IPsec's traversal problems was to build VPNs on top of SSL/TLS instead - the same protocol securing HTTPS traffic, which every firewall on Earth already had to let through on port 443. 'Clientless' SSL VPNs, accessible straight from a browser, made remote access dramatically simpler to deploy for basic use cases, while OpenVPN (released in 2001, but reaching wide enterprise adoption through this period) offered the same SSL/TLS-based approach as a full, flexible, open-source tunnel that could run over either UDP or TCP.
OpenVPN's open-source nature mattered as much as its technical design: unlike IPsec's dozens of vendor implementations with inconsistent interoperability, or PPTP's Microsoft-controlled evolution, anyone could audit, extend, or embed OpenVPN, and it became the default choice for consumer VPN services and self-hosted deployments alike for the better part of two decades.
WireGuard and the move toward radical simplicity
By the 2010s, IPsec and OpenVPN both carried real technical debt: large codebases (tens of thousands of lines), dozens of negotiable cryptographic algorithms (several since deprecated as insecure), and correspondingly large attack surfaces. WireGuard's answer, starting in 2012, was almost the opposite design philosophy: roughly 4,000 lines of code, a single fixed, modern cryptographic suite with no negotiation, and a connectionless design built around the same principles as SSH's key-based authentication rather than certificate hierarchies.
The result measurably outperforms both predecessors on speed and battery life on mobile devices, while its small codebase is genuinely auditable in a way IPsec's implementations never realistically were - which is exactly why Linus Torvalds merged it directly into the Linux kernel in 2018, an endorsement almost no other VPN protocol has received.
The next shift: from VPN to Zero Trust
Every protocol generation up to this point solved how to build a better tunnel. The most recent shift questions the tunnel model itself: a classic VPN grants broad access to an entire private network once a user authenticates, which means a single compromised laptop or stolen credential can move laterally across everything that network reaches - a weakness behind a long list of major breaches.
NIST's 2020 Zero Trust Architecture framework (SP 800-207) reframes the problem: instead of one strong perimeter check followed by implicit trust, verify every single request independently, regardless of whether it originates 'inside' or 'outside' any tunnel. Zero Trust Network Access (ZTNA) and Secure Access Service Edge (SASE) platforms implement that model in practice, granting access per application rather than to the whole network - not a replacement for the encryption VPNs pioneered, but a fundamentally different answer to the access-control question a VPN alone was never actually designed to solve.
Fazit
Encryption strength was never really the bottleneck in this history - AES has been considered sound for decades. What actually changed, generation after generation, was operational reality: making tunnels traverse real-world firewalls and NAT (SSL VPN, OpenVPN), making reconnection survivable on flaky mobile networks (IKEv2), making the whole implementation small enough to actually audit (WireGuard), and finally questioning whether 'inside the tunnel' should ever again mean 'implicitly trusted' (Zero Trust). Each generation is a direct answer to the previous one's most painful real-world limitation, not a purely academic improvement.
Ihre öffentliche IP-Adresse und Ihr Netzwerkstandort, automatisch erkannt.
Wird beim Öffnen von NetChecks automatisch geladen — keine Eingabe nötig. Nutzen Sie die Schaltfläche Aktualisieren nach einem Netzwerk- oder VPN-Wechsel.
Ihr Browser
All-in-One-Scan
Führt in einem Durchgang alle relevanten Prüfungen für eine IP-Adresse oder einen Hostnamen aus: DNS, Whois, Ping, Traceroute, ein Scan der bekannten Ports (1–1024), HTTP-Header und das SSL-Zertifikat.
Geben Sie eine Domain oder IP-Adresse ein und starten Sie den Scan, um DNS, Whois, Ping, Traceroute, gängige Ports, HTTP-Header und das SSL-Zertifikat auf einmal zu prüfen.
Die meisten Prüfungen laufen parallel – dauert in der Regel etwa 30 Sekunden, länger, wenn das Ziel langsam oder nicht erreichbar ist.
Der Portscan-Schritt läuft erst, wenn das Einwilligungskästchen oben aktiviert ist – alle anderen Prüfungen laufen unabhängig davon.
Ping
Sendet ICMP-Echo-Anfragen an einen Host, um Erreichbarkeit und Latenz zu prüfen.
Geben Sie einen Hostnamen oder eine IP-Adresse ein und klicken Sie auf Ping, um ICMP-Echo-Anfragen zu senden und die Round-Trip-Latenz zu messen.
Mehr erfahren über Ping
Was es ist
Ping sendet ICMP-Echo-Request-Pakete an einen Host und misst, wie lange die ICMP-Echo-Reply-Pakete für die Rückkehr benötigen. Es ist der grundlegendste Netzwerkkonnektivitätstest überhaupt: Er beantwortet genau eine Frage - "Ist dieser Rechner erreichbar, und wie schnell?". Das ICMP-Protokoll (RFC 792) wurde 1981 speziell dafür entwickelt, Steuer- und Diagnosenachrichten über IP-Netzwerke zu übertragen, unabhängig von jeglichem Anwendungsverkehr - Ping ist seine bekannteste und am universellsten verfügbare Implementierung, praktisch auf jedem Betriebssystem und Netzwerkgerät seit dessen frühesten Versionen vorhanden.
Wie es funktioniert
Jedes ICMP-Paket trägt ein TTL-Feld (Time To Live), das bei jedem durchquerten Router um eins verringert wird; erreicht es null, bevor das Ziel erreicht ist, wird das Paket verworfen und ein Fehler an den Absender zurückgesendet. Die gemessene Umlaufzeit (RTT) in Millisekunden spiegelt die kumulierte Netzwerklatenz über die gesamte Hin- und Rückstrecke wider, nicht nur den letzten Abschnitt in der Nähe des Ziels - ein Punkt, der oft missverstanden wird, da langsame Ping-Ergebnisse ihre eigentliche Ursache an jeder Stelle des Pfades haben können, nicht zwingend in der Nähe des getesteten Servers. Ein Ping sendet in der Regel mehrere Pakete hintereinander statt nur eines, wodurch sich ein einmaliger Latenz-Ausreißer von einem wiederkehrenden Problem unterscheiden und eine Paketverlustrate über die Stichprobe berechnen lässt.
Ergebnisse interpretieren
Eine stabile, niedrige RTT - wenige Millisekunden in einem lokalen Netzwerk, 10 bis 50 ms für ein Ziel im selben Land, und deutlich mehr bei einer interkontinentalen Verbindung - deutet auf eine gesunde Verbindung hin. Selbst ein geringer Paketverlust (über 1-2 %) wirkt sich besonders schädlich auf latenzempfindliche Anwendungen wie VoIP oder interaktive Remote-Sitzungen aus, bei denen sich jedes verlorene Paket als Aussetzer oder hörbarer Abriss bemerkbar macht. Eine stark schwankende Latenz von Paket zu Paket (Jitter) ist für dieselben Anwendungsfälle oft problematischer als eine hohe, aber vollkommen stabile Latenz. "Zeitüberschreitung der Anfrage" bedeutet, dass innerhalb der vorgesehenen Zeit keine Antwort eingetroffen ist - der Host könnte tatsächlich ausgefallen sein, eine Firewall könnte ICMP stillschweigend blockieren, oder eine Route könnte irgendwo auf dem Pfad unterbrochen sein; "Ziel nicht erreichbar" ist etwas anderes und aussagekräftiger: Ein zwischengeschalteter Router hat ausdrücklich eine Nachricht zurückgesendet, dass er das Paket nicht weiterleiten konnte, was hilft, den Ort des tatsächlichen Problems einzugrenzen.
Häufige Fehler
Der häufigste Fehlschluss ist es, einen Host in dem Moment als "ausgefallen" zu betrachten, in dem ein Ping fehlschlägt, obwohl sehr viele Server und Geräte - besonders hinter einer gut gehärteten Firewall oder bei großen Cloud-Anbietern gehostet - eingehendes ICMP bewusst als Richtlinie blockieren, während sie auf ihren tatsächlichen Diensten (HTTP, eine Datenbank usw.) voll funktionsfähig und erreichbar sind. Eine ausbleibende Ping-Antwort ist deshalb nur dann ein aussagekräftiger Beleg für einen Ausfall, wenn sie mit anderen Signalen kombiniert wird, etwa dass auch die Anwendung selbst nicht antwortet. Umgekehrt garantiert ein erfolgreicher Ping keineswegs, dass der auf dieser Maschine gehostete Anwendungsdienst korrekt funktioniert - das sind zwei völlig unabhängige Schichten des Netzwerk-Stacks.
Wann man es einsetzt
Das Erste, was vor einer Ticket-Eskalation geprüft werden sollte: Reagiert die Maschine überhaupt, bevor weiter nachgeforscht wird? Bestätigung der Konnektivität nach einer Änderung einer Firewall-Regel oder einer Routing-Tabelle, um sicherzustellen, dass die Änderung den Zugriff nicht unterbrochen hat. Ermittlung einer Latenz-Baseline vor einem VoIP-Rollout oder einem Betreiberleitungs-Failover, um bei später eingehenden Beschwerden über die Anrufqualität einen objektiven Vergleichspunkt zu haben. Eine schlanke, ressourcenschonende regelmäßige Zustandsprüfung für einen MSP, der mehrere Kundenstandorte parallel überwacht, stets als Ergänzung zu - niemals als Ersatz für - eine tiefergehende Überwachung auf Anwendungsebene.
Traceroute
Verfolgt den Netzwerkpfad (Hop für Hop) zu einem Zielhost.
Geben Sie einen Hostnamen oder eine IP-Adresse ein und starten Sie den Scan, um jeden Netzwerk-Hop zwischen diesem Server und dem Ziel mit der jeweiligen Latenz zu sehen.
Geben Sie eine Domain ein, wählen Sie einen Eintragstyp (A, AAAA, MX, TXT, NS, CNAME, SOA, PTR, SRV oder CAA) und starten Sie die Abfrage.
Whois
Ruft Registrierungsinformationen für eine Domain oder IP-Adresse ab.
Geben Sie eine Domain oder IP-Adresse ein, um deren Registrierungsdaten abzurufen: Registrar, Inhaberorganisation und wichtige Daten.
Blacklist-Prüfung
Prüft, ob eine IP-Adresse oder Domain auf öffentlichen Spam-/Missbrauchs-Blacklists (DNSBL) gelistet ist.
Geben Sie eine IPv4-Adresse oder Domain ein und starten Sie die Prüfung, um 7 öffentliche DNSBL/RBL-Blacklists gleichzeitig abzufragen - jede wird als gelistet, nicht gelistet oder Prüfung fehlgeschlagen angezeigt.
TCP-Portscan
Prüft, ob TCP-Ports auf einem Host oder einer IP offen sind: gängige Ports, eine benutzerdefinierte Liste oder der vollständige Bereich 1–65535.
Geben Sie einen Host oder eine IP ein, wählen Sie gängige Ports, eine benutzerdefinierte Liste oder den vollen Bereich, und scannen Sie, um zu sehen, welche TCP-Ports antworten.
Ein vollständiger Bereichsscan kann bis zu ca. 100 Sekunden dauern. Große Scans (mehr als 100 Ports, einschließlich benutzerdefinierter Bereiche/Listen) sind auf 1 pro Minute und Besucher begrenzt.
Offene Ports (0)
HTTP-Header-Prüfung
Ruft den HTTP-Antwortstatus und die Header für eine URL ab.
Geben Sie eine URL ein, um deren HTTP-Statuscode und alle vom Server gesendeten Antwort-Header abzurufen.
SSL-/TLS-Zertifikatsprüfung
Prüft das TLS-Zertifikat eines Hosts: Aussteller, Gültigkeitsdaten und verbleibende Tage.
Geben Sie einen Hostnamen ein, um dessen TLS-Zertifikat zu prüfen: Aussteller, Gültigkeitsdaten und verbleibende Tage bis zum Ablauf.
Geo-IP-Abfrage
Ruft den geografischen Standort und Netzwerkinformationen für eine IP-Adresse ab. Leer lassen, um Ihre eigene öffentliche IP abzufragen.
Geben Sie eine beliebige IP-Adresse ein, oder lassen Sie das Feld leer, um Ihre eigene abzufragen, und sehen Sie deren ungefähren Standort sowie Netzwerk-/ISP-Informationen.
Wird vollständig in Ihrem Browser berechnet — es werden keine Daten an den Server gesendet.
Geben Sie eine IP-Adresse und ein CIDR-Präfix ein (z. B. 192.168.1.0/24), um sofort den Netzwerkbereich, die Broadcast-Adresse und die Anzahl nutzbarer Hosts zu berechnen.
Geschwindigkeitstest
Einfacher Download-/Upload-Durchsatztest gegenüber diesem Server (die Genauigkeit hängt von der Uplink-Anbindung des Servers ab).
Klicken Sie auf Start, um Download- und Upload-Durchsatz gegen diesen Server zu messen. Die Genauigkeit hängt von der eigenen Verbindung dieses Servers ab.
Ländercode-Verzeichnis
ISO-3166-1-Alpha-2-Ländercodes — die Suche erfolgt vollständig in Ihrem Browser.
Durchsuchen Sie die Liste der ISO-3166-1-Alpha-2-Ländercodes, die vollständig in Ihrem Browser durchsucht wird.
Land
ISO-Code
Telefonvorwahl-Verzeichnis
Internationale Vorwahlen nach Land — die Suche erfolgt vollständig in Ihrem Browser.
Durchsuchen Sie internationale Landesvorwahlen nach Land, vollständig in Ihrem Browser durchsucht.
Land
Vorwahl
Weltzeituhr
Wählen Sie eine Zeitzone, um die aktuelle Uhrzeit zu sehen – ziehen Sie den Globus, um ihn zu drehen.
Wählen Sie eine Zeitzone aus der Liste oder ziehen Sie den Globus, um die aktuelle Uhrzeit dort zu sehen.
Deine Zeit
--:--:--
—
—
Ausgewahlte Zeit
--:--:--
—
—UTC±00:00
Unterschied zu dir—
—
Ziehen, um den Globus zu drehen.
Status des französischen Mobilfunknetzes
Mobilfunk-Antennenstandorte in Frankreich, die ausgefallen oder in Wartung sind, nach Betreiber (Orange, Free, SFR, Bouygues Telecom), auf Basis der öffentlichen Daten der ARCEP. Der Stand wird einmal täglich von der ARCEP aktualisiert – kein minutengenauer Feed.
Durchsuchen Sie Daten zu Mobilfunk- und Glasfaser-Ausfällen nach französischem Betreiber — keine Eingabe nötig, automatisch aktualisiert aus den öffentlichen Arcep-Daten.
Quelle: ARCEP, Datensatz „Sites indisponibles“, veröffentlicht unter Licence Ouverte / Etalab 2.0 – kommerzielle Weiterverwendung ausdrücklich erlaubt, anders als die zuvor in diesem Tab verwendeten IODA/CAIDA-Daten. Das Symbol Normal/Beobachtung/Alarm ist eine hausinterne Schätzung (heutige Ausfallzahl im Vergleich zum Median der Vortage), keine offizielle ARCEP-Einstufung. Quellenlinks unten.
Am stärksten betroffene Departements
Anzahl der aktuell ausgefallenen oder in Wartung befindlichen Standorte, nach Departement. Klicken Sie oben auf einen Betreiber, um zu filtern.
Qualität des Glasfasernetzes (FTTH) nach Betreiber: gemeldete Ausfallrate und Anschluss-Fehlerrate, auf Basis der öffentlichen Daten der ARCEP. Monatliche Kennzahlen, gleitender 6-Monats-Durchschnitt – kein Live-Feed wie beim Mobilfunkteil.
Quelle: ARCEP, Datensatz „Qualité des réseaux en fibre optique“, veröffentlicht unter Licence Ouverte / Etalab 2.0 – kommerzielle Weiterverwendung ausdrücklich erlaubt. Quellenlinks unten.
Nach Betreiber (Muttergesellschaft)
Durchschnittswerte der letzten 6 verfügbaren Monate, je Infrastrukturbetreiber-Muttergesellschaft.
NetChecks wird ausschließlich für rechtmäßige Netzwerkdiagnosen und Bildungszwecke bereitgestellt, für Systeme, Domains und IP-Adressen, die Ihnen gehören oder für die Sie ausdrücklich zum Testen berechtigt sind.
Das Durchführen von Portscans, DNS-/Whois-Abfragen, Traceroutes oder anderen Prüfungen gegen Systeme Dritter ohne Genehmigung kann gegen Gesetze zum Missbrauch von Computern in Ihrer Rechtsordnung verstoßen (zum Beispiel den Computer Fraud and Abuse Act in den USA, die „Loi Godfrain“ in Frankreich oder gleichwertige lokale Gesetze). Sie sind allein dafür verantwortlich, sicherzustellen, dass Sie berechtigt sind, jedes hier eingegebene Ziel zu testen.
Diese Website und ihre Ergebnisse werden „wie besehen“ ohne jegliche Gewährleistung bereitgestellt. Der Betreiber dieser Website übernimmt keine Haftung für direkte, indirekte oder Folgeschäden, rechtliche Konsequenzen oder Missbrauch, die sich aus der Nutzung dieser Website ergeben.
Anfragen werden ratenbegrenzt, um Missbrauch zu verhindern. Der Betreiber dieser Instanz kann optional eine Protokollierung der Anfrageaktivität aktivieren - falls dies der Fall ist, kann jede Tool-Anfrage (deine IP-Adresse, Zeitstempel, das verwendete Tool und das eingegebene Ziel/die Abfrage) zu Sicherheits-, Missbrauchspräventions- und Nutzungsanalysezwecken in einer Datenbank gespeichert werden. Dies ist standardmäßig deaktiviert. Durch die Nutzung dieser Website stimmen Sie diesen Bedingungen zu; wenn Sie nicht einverstanden sind, nutzen Sie die Website bitte nicht.
Die programmatische (API-)Nutzung dieser Website unterliegt denselben Bedingungen, einschließlich der oben genannten Genehmigungspflicht.
Feedback senden
Melde ein Problem, hinterlasse einen Kommentar oder schlage eine neue Funktion vor.
Diese Website verwendet Werbung und, falls Sie zustimmen, Cookies von Werbepartnern, um das Hosting mitzufinanzieren. Sie können ablehnen und alle Werkzeuge weiterhin werbefrei nutzen.