{"id":4629,"date":"2025-09-02T16:57:14","date_gmt":"2025-09-02T16:57:14","guid":{"rendered":"https:\/\/blog.vpntracker.com\/dead-peer-detection-dpd\/"},"modified":"2025-09-04T11:22:34","modified_gmt":"2025-09-04T11:22:34","slug":"dead-peer-detection-dpd","status":"publish","type":"post","link":"https:\/\/blog.vpntracker.com\/de\/dead-peer-detection-dpd\/","title":{"rendered":"Dead Peer Detection (DPD): Zuverl\u00e4ssigeres VPN in 60s"},"content":{"rendered":"
\"Frustrierter

VPN-Probleme bleiben oft unbemerkt, bis die Produktivit\u00e4t leidet \u2013 Dead Peer Detection (DPD) kann das verhindern<\/p><\/div>\n

Eines der h\u00e4ufigsten VPN-Probleme tritt auf, wenn eine Seite der Verbindung stillschweigend offline geht. Der Tunnel wirkt weiterhin aktiv, aber es flie\u00dfen keine Daten mehr. Das f\u00fchrt zu Problemen wie getrennten Netzlaufwerken, gestoppten Cloud-Syncs, abgest\u00fcrzten Anwendungen oder unterbrochenen Videoanrufen. Ohne eine zuverl\u00e4ssige Erkennung solcher Fehler sinkt die Produktivit\u00e4t.<\/p>\n

Genau hier kommt DPD (Dead Peer Detection) ins Spiel. Es handelt sich um einen leichtgewichtigen Mechanismus, den VPN-Clients und Gateways nutzen, um zu pr\u00fcfen, ob die Gegenstelle noch reagiert. Bleibt eine Antwort innerhalb eines festgelegten Intervalls aus, wird die VPN-Verbindung sicher geschlossen und neu gestartet. So lassen sich stille Ausf\u00e4lle und lange Wartezeiten vermeiden.<\/p>\n

VPN Tracker unterst\u00fctzt DPD standardm\u00e4\u00dfig und erweitert es mit intelligentem Verhalten f\u00fcr unterschiedliche Tunneltypen. Egal ob bei instabilem WLAN oder beim Netzwerkwechsel \u2013 VPN Tracker sorgt daf\u00fcr, dass Ihre Verbindung zuverl\u00e4ssig und reaktionsschnell bleibt.<\/p>\n

\"Diagramm

Ohne DPD erscheinen VPN-Tunnel aktiv, auch wenn eine Seite nicht mehr erreichbar ist.<\/p><\/div>\n

Was ist Dead Peer Detection (DPD)?<\/h2>\n

Dead Peer Detection, kurz DPD, ist ein VPN-Mechanismus, der erkennt, wenn die Gegenstelle eines VPN-Tunnels nicht mehr antwortet. Es sch\u00fctzt vor stillen Tunnelabbr\u00fcchen \u2013 Situationen, in denen eine VPN-Verbindung zwar aktiv wirkt, die zugrunde liegende Verbindung jedoch bereits verloren gegangen ist.<\/p>\n

Dabei werden in regelm\u00e4\u00dfigen Abst\u00e4nden kleine \u201eBist-du-da?\u201c-Nachrichten (Keep-Alive- oder DPD-Requests) gesendet. Reagiert die Gegenstelle nach mehreren Versuchen nicht, wird der Tunnel als inaktiv markiert. Die Verbindung kann dann sauber geschlossen und neu aufgebaut werden, anstatt in einem defekten Zustand zu verharren.<\/p>\n

F\u00fcr IKEv1 ist das Verfahren in RFC 3706, f\u00fcr IKEv2 in RFC 5996 definiert und wird von den meisten modernen VPN-Ger\u00e4ten und Clients unterst\u00fctzt. Es wurde urspr\u00fcnglich eingef\u00fchrt, um typische Probleme in IPsec-Tunneln zu l\u00f6sen \u2013 besonders in mobilen Szenarien, bei schlechtem WLAN oder in Netzwerken mit NAT oder Firewalls.<\/p>\n

Ein einfaches Beispiel: Ihr Laptop ist im Caf\u00e9 mit dem Firmen-VPN verbunden. Das WLAN bricht kurz ab, aber Ihr VPN-Client zeigt weiterhin \u201everbunden\u201c an. In Wirklichkeit stoppen jedoch Ihre Dateisynchronisierungen und Ihr Videoanruf friert ein. Mit DPD erkennt der Client schnell, dass die Gegenstelle nicht antwortet, schlie\u00dft den defekten Tunnel sauber und stellt automatisch wieder eine Verbindung her \u2013 ganz ohne Ihr Zutun.<\/p>\n

Warum DPD f\u00fcr die VPN-Stabilit\u00e4t wichtig ist<\/h2>\n

Ohne Peer-Erkennung k\u00f6nnen VPN-Tunnel stillschweigend fehlschlagen \u2013 oft durch instabiles Internet, Netzwerkwechsel oder NAT-Timeouts. Der Client zeigt dann zwar \u201everbunden\u201c an, doch Daten flie\u00dfen nicht mehr.<\/p>\n

F\u00fcr Anwender f\u00fchrt das zu frustrierenden Problemen: getrennte Netzlaufwerke, h\u00e4ngende Cloud-Syncs, App-Timeouts oder eingefrorene Videokonferenzen. Da der Tunnel scheinbar aktiv ist, wird auch keine automatische Neuverbindung angesto\u00dfen.<\/p>\n

Genau diese Probleme l\u00f6st DPD: Wenn die Gegenstelle nicht reagiert, wird die Verbindung als inaktiv markiert und sicher neu gestartet. So bleibt die VPN-Verbindung stabil und Nutzer k\u00f6nnen schneller weiterarbeiten \u2013 besonders im Homeoffice oder unterwegs, wo sich die Netzqualit\u00e4t oft \u00e4ndert.<\/p>\n

\"AblaufWie Dead Peer Detection funktioniert<\/h2>\n

Dead Peer Detection (DPD) pr\u00fcft, ob die andere Seite eines VPN-Tunnels erreichbar ist. Der VPN-Client oder das Gateway sendet eine kleine Nachricht \u2013 einen sogenannten DPD-Request oder Keep-Alive-Ping. Antwortet die Gegenstelle, gilt die Verbindung als stabil.<\/p>\n

Bleibt die Antwort aus, wartet das System ein bestimmtes Intervall und versucht es erneut \u2013 mehrfach, je nach Einstellung. Beispiel: Bei einer Pr\u00fcfung alle 10 Sekunden mit 5 Versuchen hat die Gegenstelle rund 50 Sekunden Zeit, zu reagieren. Schl\u00e4gt dies fehl, wird der Tunnel als unerreichbar markiert und geschlossen oder neu aufgebaut.<\/p>\n

VPN Tracker<\/a> geht noch weiter: Zus\u00e4tzlich wird der normale Netzwerkverkehr \u00fcberwacht. Geht also ein einzelnes DPD-Paket verloren, aber Datenverkehr l\u00e4uft weiterhin, bleibt die Verbindung bestehen. So werden unn\u00f6tige Abbr\u00fcche vermieden und Sitzungen stabiler.<\/p>\n

Besonders n\u00fctzlich ist DPD, wenn gerade kein Datenverkehr flie\u00dft. Ohne diesen Mechanismus w\u00fcrde VPN-Software einen Verbindungsabbruch erst bemerken, wenn der Nutzer Daten sendet \u2013 zu sp\u00e4t f\u00fcr Echtzeitanwendungen oder kritische \u00dcbertragungen. Mit DPD erkennt VPN Tracker Probleme fr\u00fchzeitig, reagiert intelligent und stellt die Verbindung schnell wieder her.<\/p>\n

DPD vs. IKE Keep-Alive: Die wichtigsten Unterschiede<\/h2>\n

Dead Peer Detection und IKE Keep-Alive werden oft verwechselt, erf\u00fcllen aber unterschiedliche Aufgaben und sollten nicht gleichzeitig aktiviert werden.<\/p>\n

DPD ist ein Industriestandard und in RFC 3706 (IKEv1) und RFC 5996 (IKEv2) definiert. Es pr\u00fcft aktiv, ob die Gegenstelle noch reagiert. Bleiben Antworten nach mehreren Versuchen aus, wird die Verbindung als tot markiert und beendet.<\/p>\n

IKE Keep-Alive hingegen ist meist herstellerspezifisch. Es sendet leere Pakete, um Leerlauf-Timeouts bei NAT-Routern oder Firewalls zu verhindern. Es erkennt jedoch nicht unbedingt, ob die Gegenstelle wirklich verf\u00fcgbar ist, und ist nicht immer kompatibel mit allen Ger\u00e4ten.<\/p>\n

Werden beide Mechanismen gleichzeitig genutzt, k\u00f6nnen sie sich gegenseitig st\u00f6ren \u2013 etwa durch st\u00e4ndige Neuverhandlungen. Best Practice: Entweder DPD oder IKE Keep-Alive nutzen, nicht beides. In modernen Setups ist DPD die zuverl\u00e4ssigere L\u00f6sung.<\/p>\n

\"Screenshot

VPN Tracker 365 in Aktion: Tunnelzustand \u00fcberwachen und mit InfiniConnect verbunden bleiben.<\/p><\/div>\n

Wie VPN Tracker DPD implementiert<\/h2>\n
\n

VPN Tracker unterst\u00fctzt DPD standardm\u00e4\u00dfig und bietet zwei Optionen zur Feinabstimmung. DPD wird vor allem mit IPsec-basierten Protokollen wie IKEv1 und IKEv2 verwendet, funktioniert in VPN Tracker aber auch mit anderen Protokollen \u2013 au\u00dfer WireGuard, das DPD generell nicht unterst\u00fctzt. Keep Alive ist f\u00fcr IKEv1, IKEv2, WireGuard und OpenVPN verf\u00fcgbar.<\/p>\n

Bei IPsec-Profilen wird DPD empfohlen und kann in den Einstellungen aktiviert werden.<\/p>\n<\/div>\n

    \n
  1. Als DPD-f\u00e4hig melden
    \nWenn aktiviert, teilt VPN Tracker dem Gateway mit, dass es DPD unterst\u00fctzt. Das ist mit den meisten modernen Gateways kompatibel und sollte standardm\u00e4\u00dfig aktiv bleiben.<\/li>\n
  2. Aktives Dead Peer Detection durchf\u00fchren
    \nManche Gateways senden selbst keine DPD-Anfragen. Mit dieser Option \u00fcbernimmt VPN Tracker den aktiven Versand. Bleibt die Antwort aus, wird die Verbindung getrennt oder neu aufgebaut.<\/li>\n
  3. Um Fehlabbr\u00fcche zu vermeiden, aktiviert VPN Tracker DPD erst, nachdem mindestens ein Ping vom Gateway empfangen wurde. So wird ein Tunnel nicht direkt nach dem Aufbau f\u00e4lschlich beendet.<\/li>\n<\/ol>\n
    Dank dieser intelligenten Voreinstellungen bleiben Verbindungen zuverl\u00e4ssig \u2013 ohne manuelles Eingreifen.<\/div>\n

    \"Unterst\u00fctzteBest Practices und Ger\u00e4tekompatibilit\u00e4t<\/h2>\n
    Damit DPD optimal funktioniert, sind richtige Einstellungen und Wissen \u00fcber die Ger\u00e4teunterst\u00fctzung wichtig.<\/div>\n

    Empfohlene Einstellungen<\/h3>\n
    F\u00fcr die meisten IPsec-Verbindungen eignet sich ein Pr\u00fcfintervall von 10\u201330 Sekunden mit 3\u20135 Wiederholungen. H\u00e4ufig genutzt: alle 10 Sekunden pr\u00fcfen, 5 Versuche zulassen \u2013 so hat die Gegenstelle rund 50 Sekunden Zeit zu antworten.<\/div>\n
    In mobilen oder hochlatenzlastigen Umgebungen k\u00f6nnen l\u00e4ngere Intervalle unn\u00f6tige Abbr\u00fcche reduzieren.<\/div>\n

    Tunnel-Flapping vermeiden<\/h3>\n
    Ein h\u00e4ufiger Fehler ist, DPD nur auf einer Seite zu aktivieren. Das f\u00fchrt zu instabilen Tunneln. Aktivieren oder deaktivieren Sie DPD daher auf beiden Seiten.
    \nKombinieren Sie DPD au\u00dferdem nicht mit herstellerspezifischen Mechanismen wie IKE Keep-Alive, au\u00dfer die Dokumentation erlaubt es explizit.<\/div>\n

    Ger\u00e4tekompatibilit\u00e4t<\/h3>\n

    VPN Tracker unterst\u00fctzt DPD mit allen g\u00e4ngigen IPsec-Ger\u00e4ten, darunter:<\/p>\n