Seminar eduVPN / Let’s Connect! – Kompaktseminar Installation, Identität und Betrieb

Der komprimierte Einstieg für ein tragfähiges erstes Betriebsmodell

Das Kompaktseminar verbindet Plattformverständnis, eine ausgewählte Linux-Installation, Profile, Netzwerk, Identitätsanbindung, Portal, Monitoring und Sicherheit in drei intensiven Tagen.

Die Inhalte werden anhand einer konsistenten Laborumgebung schrittweise aufgebaut. Jede Änderung wird vor der nächsten Ausbaustufe geprüft, dokumentiert und in den betrieblichen Gesamtzusammenhang eingeordnet.

Inhaltsübersicht

1. Plattform, Varianten und Einsatzmodelle einordnen
2. Architektur und Verbindungsablauf modellieren
3. Anforderungen, Kapazität und Einführung planen
4. Server auf Debian und Ubuntu installieren
5. Server auf Fedora und Enterprise Linux installieren
6. VPN-Profile und Zugriffsarten konfigurieren
7. Routing, DNS und Firewall konsistent umsetzen
8. OpenVPN, WireGuard und ProxyGuard gezielt einsetzen
9. LDAP- und RADIUS-Authentisierung integrieren
10. Benutzer- und Administrationsportal betreiben
11. Monitoring, Logging und Fehleranalyse etablieren
12. TLS, Zertifikate und Systemhärtung umsetzen

Zielgruppe

• Linux- und Netzwerkadministration
• IAM
• Plattformbetrieb
• technische Projektteams

Voraussetzungen

• Grundkenntnisse in Linux, IP-Netzen und Authentisierung
• Laborserver und mindestens ein Testclient

Seminarinhalte

Kapitel 1: Plattform, Varianten und Einsatzmodelle einordnen

Kapitel-Inhaltsverzeichnis: gemeinsame Serverplattform; eduVPN und Let’s Connect!; Institute Access; Secure Internet; Verantwortungsgrenzen.

1. Schritt 1: Die gemeinsame technische Basis von eduVPN und Let’s Connect! wird von Branding, Zielgruppe und organisatorischem Betrieb getrennt betrachtet.
2. Schritt 2: Die Einsatzmodelle Institute Access und Secure Internet werden anhand von Datenfluss, Vertrauensgrenzen und Nutzerweg gegenübergestellt.
3. Schritt 3: Portal, VPN-Knoten, Identitätsdienst, Client und Netzwerkdienste werden als getrennte Betriebsbausteine erfasst.
4. Schritt 4: Für jeden Baustein werden fachliche Zuständigkeit, technische Administration und Eskalationsweg festgelegt.
5. Schritt 5: Ein belastbares Zielbild wird als Systemkontext mit Abhängigkeiten, Annahmen und Abnahmekriterien dokumentiert.

Kapitel 2: Architektur und Verbindungsablauf modellieren

Kapitel-Inhaltsverzeichnis: Portal; Authentisierung; Autorisierung; VPN-Knoten; Clientfluss; Zustandsdaten.

1. Schritt 1: Der vollständige Verbindungsablauf wird vom Start im Client bis zur aktiven VPN-Sitzung in Einzelschritte zerlegt.
2. Schritt 2: Authentisierung, Berechtigungsentscheidung, Profilauswahl und Tunnelerzeugung werden als getrennte Kontrollpunkte modelliert.
3. Schritt 3: Die Kommunikationsbeziehungen zwischen Portal, Identitätsquelle, API, VPN-Knoten und Zielnetzen werden in einer Port- und Flussmatrix erfasst.
4. Schritt 4: Zustandsbehaftete und zustandsarme Komponenten werden identifiziert, damit Skalierung und Wiederanlauf planbar bleiben.
5. Schritt 5: Die Architektur wird durch Positiv-, Negativ- und Ausfallszenarien gegen die fachlichen Anforderungen geprüft.

Kapitel 3: Anforderungen, Kapazität und Einführung planen

Kapitel-Inhaltsverzeichnis: Nutzergruppen; Standorte; Bandbreite; Adressräume; Serviceziele; Abnahme.

1. Schritt 1: Nutzerzahlen, gleichzeitige Sitzungen, Endgeräte, Standorte und Schutzbedarfe werden in einem Anforderungskatalog zusammengeführt.
2. Schritt 2: Adressräume, Namensauflösung, Zielnetze, Internetzugang und Split-Tunnel-Vorgaben werden auf Überschneidungen geprüft.
3. Schritt 3: Kapazitätsannahmen für Portal, Authentisierung, VPN-Knoten, Netzwerk und Protokollierung werden mit Reserven versehen.
4. Schritt 4: Pilot, gestufter Rollout, Supportbereitschaft und Rückfalloptionen werden in eine umsetzbare Einführungsfolge überführt.
5. Schritt 5: Abnahmekriterien für Funktion, Sicherheit, Leistung, Wiederherstellung und Endanwendererlebnis werden vor der Umsetzung festgeschrieben.

Kapitel 4: Server auf Debian und Ubuntu installieren

Kapitel-Inhaltsverzeichnis: Betriebssystembasis; Pakete; Webdienst; TLS; Firewall; Erstkonfiguration.

1. Schritt 1: Eine minimale, gepflegte Serverbasis wird mit konsistenter Zeit, Namensauflösung, Administrationszugang und Paketquellen vorbereitet.
2. Schritt 2: Die benötigten Serverkomponenten werden installiert und ihre Dienste, Verzeichnisse und Konfigurationsgrenzen nachvollzogen.
3. Schritt 3: Webdienst, Hostname, Zertifikatsbereitstellung und sichere Weiterleitung werden so eingerichtet, dass Portal und API eindeutig erreichbar sind.
4. Schritt 4: Weiterleitung, Firewallregeln und VPN-relevante Kernelparameter werden nach dem geplanten Datenfluss gesetzt und einzeln geprüft.
5. Schritt 5: Die Erstkonfiguration wird mit Benutzeranmeldung, Profilausgabe, Tunnelaufbau, DNS-Auflösung und Zielzugriff technisch abgenommen.

Kapitel 5: Server auf Fedora und Enterprise Linux installieren

Kapitel-Inhaltsverzeichnis: Paketbasis; SELinux; Firewall; Webdienst; Dienstkonten; Ersttest.

1. Schritt 1: Die Systembasis wird auf minimale Pakete, eindeutige Zeitsynchronisation, Namensauflösung und getrennte Administrationswege ausgerichtet.
2. Schritt 2: Serverpakete und Webkomponenten werden installiert, ohne die Sicherheitsmechanismen der Distribution pauschal zu deaktivieren.
3. Schritt 3: SELinux-Kontexte, Dienstberechtigungen und zulässige Netzwerkzugriffe werden anhand der tatsächlichen Kommunikationsflüsse geprüft.
4. Schritt 4: Firewallzonen, Weiterleitung, NAT und freigegebene VPN-Ports werden nachvollziehbar mit dem Adress- und Profilkonzept verbunden.
5. Schritt 5: Die Installation wird über Portalzugriff, Authentisierung, Profilauswahl, Tunnelaufbau und Protokollkontrolle vollständig verifiziert.

Kapitel 6: VPN-Profile und Zugriffsarten konfigurieren

Kapitel-Inhaltsverzeichnis: Profilstruktur; Full Tunnel; Split Tunnel; IPv4 und IPv6; Client-zu-Client; Diensttrennung.

1. Schritt 1: Profile werden nach fachlichem Zweck, Nutzergruppe, Zielnetz, Protokoll und Sicherheitsniveau eindeutig benannt und abgegrenzt.
2. Schritt 2: Full-Tunnel- und Split-Tunnel-Varianten werden mit ihren Auswirkungen auf Routing, Datenschutz, Support und Internetzugang bewertet.
3. Schritt 3: IPv4- und IPv6-Adresspools werden konfliktfrei dimensioniert und mit Rückwegen, NAT sowie Namensauflösung abgestimmt.
4. Schritt 4: Client-zu-Client-Kommunikation wird nur dort zugelassen, wo ein dokumentierter Anwendungsfall und passende Segmentierung vorliegen.
5. Schritt 5: Jedes Profil wird mit einer Testmatrix aus berechtigten, unberechtigten, internen, externen und fehlerhaften Zugriffen abgenommen.

Kapitel 7: Routing, DNS und Firewall konsistent umsetzen

Kapitel-Inhaltsverzeichnis: Adressplan; Rückrouten; NAT; DNS-Server; Firewallregeln; MTU.

1. Schritt 1: Alle Clientpools, Zielnetze, Überschneidungen und Rückwege werden vor der Konfiguration in einem verbindlichen Adressplan festgehalten.
2. Schritt 2: Für jedes Profil wird entschieden, ob geroutet, übersetzt oder über einen definierten Internetausgang geführt wird.
3. Schritt 3: DNS-Server, Suchdomänen und interne Namensräume werden so zugewiesen, dass keine unbeabsichtigten Informationsabflüsse entstehen.
4. Schritt 4: Firewallregeln werden aus Kommunikationsbeziehungen abgeleitet und anschließend von einer breiten Laborfreigabe auf minimale Regeln reduziert.
5. Schritt 5: Erreichbarkeit, Rückweg, Namensauflösung, Fragmentierung und MTU werden mit reproduzierbaren Tests je Protokoll und Clientplattform geprüft.

Kapitel 8: OpenVPN, WireGuard und ProxyGuard gezielt einsetzen

Kapitel-Inhaltsverzeichnis: Protokollwahl; UDP und TCP; Roaming; Performance; MTU; Fallback.

1. Schritt 1: Die Protokolle werden nach Netzverträglichkeit, Mobilität, Durchsatz, Betriebsaufwand und Fehlersichtbarkeit verglichen.
2. Schritt 2: OpenVPN-Profile werden für Umgebungen bewertet, in denen etablierte Kompatibilität und klarer TCP- oder UDP-Betrieb benötigt werden.
3. Schritt 3: WireGuard wird für schlanke, performante Tunnel mit sauberem Schlüssel- und Sitzungslebenszyklus eingeordnet.
4. Schritt 4: ProxyGuard wird als WireGuard-Transport über TCP für restriktive Netze geplant und gegen ungeeignete Dauernutzung abgegrenzt.
5. Schritt 5: Protokollreihenfolge, Fallback, MTU, Zeitüberschreitungen und Supporthinweise werden in einer einheitlichen Clientstrategie festgelegt.

Kapitel 9: LDAP- und RADIUS-Authentisierung integrieren

Kapitel-Inhaltsverzeichnis: Verzeichnisbindung; TLS; Attributzuordnung; RADIUS; Gruppen; Fehlerdiagnose.

1. Schritt 1: Identitätsquelle, eindeutiger Benutzerbezug, benötigte Attribute und Gruppen werden vor der technischen Kopplung fachlich festgelegt.
2. Schritt 2: LDAP-Verbindungen werden mit abgesicherter Transportstrecke, begrenztem Dienstkonto, Suchbasis und eindeutigen Filtern aufgebaut.
3. Schritt 3: RADIUS wird mit klaren Shared-Secret-, Quelladress-, Zeitüberschreitungs- und Redundanzregeln integriert.
4. Schritt 4: Attribute und Gruppen werden in Berechtigungen überführt, ohne die Authentisierung mit zu vielen fachlichen Entscheidungen zu überladen.
5. Schritt 5: Positive Anmeldung, falsches Kennwort, gesperrtes Konto, fehlende Gruppe, Ausfall und Zeitüberschreitung werden systematisch getestet.

Kapitel 10: Benutzer- und Administrationsportal betreiben

Kapitel-Inhaltsverzeichnis: Portalrollen; Profile; Branding; Nutzungsbedingungen; Supportinformationen; Mandantenwirkung.

1. Schritt 1: Administrationsfunktionen werden nach Rolle und Aufgabe getrennt, damit Profilpflege, Nutzerbetreuung und Plattformbetrieb nicht unnötig vermischt werden.
2. Schritt 2: Profilnamen, Kurztexte, Reihenfolge und Sichtbarkeit werden auf einen verständlichen Nutzerweg ausgerichtet.
3. Schritt 3: Branding, Sprache, Kontakt, Supporthinweise und rechtliche Texte werden konsistent für eduVPN oder Let’s Connect! gepflegt.
4. Schritt 4: Änderungen werden zunächst in einer kontrollierten Umgebung mit unterschiedlichen Rollen und Clienttypen geprüft.
5. Schritt 5: Ein Freigabeprozess verhindert, dass Portaländerungen unbeabsichtigt Profilzugriff, Clientverhalten oder Supportkommunikation verändern.

Kapitel 11: Monitoring, Logging und Fehleranalyse etablieren

Kapitel-Inhaltsverzeichnis: Dienststatus; Metriken; Protokolle; Alarmierung; Korrelation; Runbooks.

1. Schritt 1: Portal, Authentisierung, VPN-Knoten, Netzwerkpfade und externe Abhängigkeiten erhalten jeweils messbare Zustandskriterien.
2. Schritt 2: Metriken für Erreichbarkeit, Sitzungen, Fehlerquoten, Latenz, Kapazität und Ressourcen werden mit sinnvollen Schwellen versehen.
3. Schritt 3: Protokolle werden nach technischer Diagnose, Sicherheitsnachweis und Datenschutzbedarf getrennt aufbewahrt und zugänglich gemacht.
4. Schritt 4: Alarmierungen werden priorisiert, entdoppelt und mit einer klaren Erstmaßnahme sowie einem Verantwortungsbereich verbunden.
5. Schritt 5: Typische Störungen werden über Zeitbezug, Profil, Protokoll, Nutzerkontext und Netzwerkpfad reproduzierbar eingegrenzt.

Kapitel 12: TLS, Zertifikate und Systemhärtung umsetzen

Kapitel-Inhaltsverzeichnis: TLS; CA-Vertrauen; Schlüssel; Diensthärtung; Patchen; Vorfallbehandlung.

1. Schritt 1: Externe und interne Vertrauensbeziehungen werden inventarisiert und mit Eigentümer, Gültigkeit, Erneuerung und Widerruf versehen.
2. Schritt 2: TLS-Konfiguration, Zertifikatskette, Hostnamen und automatisierte Erneuerung werden ohne unsichere Dauer-Ausnahmen geprüft.
3. Schritt 3: Geheimnisse und Schlüssel werden mit minimalen Dateirechten, getrennten Dienstkonten und geregelter Rotation geschützt.
4. Schritt 4: Betriebssystem, Webdienst, PHP-Laufzeit, Datenhaltung, Firewall und Administrationszugang werden nach dem Minimalprinzip gehärtet.
5. Schritt 5: Patchen, Schwachstellenbewertung, Alarmierung, Beweissicherung, Eindämmung und Wiederanlauf werden in einen Vorfallprozess eingebettet.

Praxisübungen

• Distro-Entscheidung treffen und eine vollständige Installation auf dem gewählten Laborpfad durchführen.
• Profil, Clientpool, Routing, DNS, Firewall und Protokollvariante gemeinsam abnehmen.
• LDAP oder RADIUS anbinden und Profilberechtigung mit positiven und negativen Konten testen.
• Portal und Clientweg für einen Pilotnutzer nachvollziehbar gestalten.
• Monitoring-, Backup- und Härtungscheckliste für den Betriebsübergang erstellen.

Lernziele

• Plattform und Einsatzmodell schnell, aber belastbar einordnen.
• Eine funktionsfähige Serverinstallation aufbauen.
• Profile, Routing, DNS und Protokolle korrekt konfigurieren.
• Eine zentrale Identitätsquelle integrieren.
• Portal, Monitoring und Sicherheitsgrundbetrieb für den Pilot vorbereiten.