Seminar NCP VS GovNet – Firewall, Friendly Net Detection und Hotspot-Anmeldung

Remote-Arbeitsplätze wechseln regelmäßig zwischen Behördennetz, Homeoffice, Mobilfunk und öffentlichen WLANs. Die Schulung zeigt, wie der Connector in jeder Umgebung nur die ausdrücklich zulässige Kommunikation freigibt.

Seminarprofil

Der Tag ist als technische Werkstatt aufgebaut. Jede Funktion wird mit einem Baseline-Regelwerk, einer gezielten Störung und einem dokumentierten Gegenversuch geprüft.

Inhaltsübersicht

1. Kapitel 1: Netzzonen und Bedrohungsmodell
2. Kapitel 2: Personal-Firewall-Regelwerk
3. Kapitel 3: Friendly Net Detection
4. Kapitel 4: Abgesicherte Hotspot-Anmeldung
5. Kapitel 5: VPN Path Finder und Medienwechsel
6. Kapitel 6: Prüfung und Fehleranalyse

Zielsetzung

Ziel ist die sichere Konfiguration und Prüfung von Firewall-Regeln und automatischen Netzentscheidungen des Connectors.

Zielgruppe

VPN-, Netzwerk- und Client-Administratoren sowie IT-Sicherheitsfachkräfte.

Voraussetzungen

Gute TCP/IP- und Firewall-Kenntnisse sowie Grundkenntnisse in der Administration des NCP VS GovNet Connectors.

Kapitel 1: Netzzonen und Bedrohungsmodell

Inhaltsverzeichnis des Kapitels

• Vertrauenswürdige und nicht vertrauenswürdige Netze
• Kommunikation vor und nach dem Tunnelaufbau
• Administrationszugriffe
• Default-Deny-Prinzip

Schritt-für-Schritt-Anleitung

1. Schritt 1: Netzumgebungen werden nach Vertrauensniveau und erlaubten Betriebsarten klassifiziert.
2. Schritt 2: Kommunikation wird den Phasen Systemstart, Netzanmeldung, Tunnelaufbau und Tunnelbetrieb zugeordnet.
3. Schritt 3: Notwendige Administrationspfade werden von Anwenderkommunikation getrennt.
4. Schritt 4: Für jede Zone wird ein restriktiver Ausgangszustand definiert.

Kapitel 2: Personal-Firewall-Regelwerk

Inhaltsverzeichnis des Kapitels

• Ports und Protokolle
• IP-Adressen und Segmente
• Applikationsregeln
• Regeln innerhalb und außerhalb des Tunnels

Schritt-für-Schritt-Anleitung

1. Schritt 1: Erlaubte Datenflüsse werden aus einer Kommunikationsmatrix abgeleitet.
2. Schritt 2: Regeln werden in kleine, nachvollziehbare Einheiten mit eindeutiger Richtung aufgeteilt.
3. Schritt 3: Ausnahmen erhalten Zweck, Verantwortlichen und Prüftermin.
4. Schritt 4: Regelreihenfolge und Wirksamkeit werden mit erlaubten und blockierten Testverbindungen geprüft.

Kapitel 3: Friendly Net Detection

Inhaltsverzeichnis des Kapitels

• Zertifikatsbasierte Erkennung
• Verhalten im sicheren Netz
• Firewall-Umschaltung
• Unterbindung manueller Tunnel

Schritt-für-Schritt-Anleitung

1. Schritt 1: Der Erkennungsdienst wird mit eindeutiger Identität und erreichbarem Prüfpfad bereitgestellt.
2. Schritt 2: Der Connector erhält die erwartete Vertrauenskette und das Verhalten für positive Erkennung.
3. Schritt 3: Regeln für Datenaustausch und administrative Zugriffe im Friendly Net werden aktiviert.
4. Schritt 4: Gefälschte, abgelaufene und nicht erreichbare Erkennungsdienste werden als Negativfälle getestet.

Kapitel 4: Abgesicherte Hotspot-Anmeldung

Inhaltsverzeichnis des Kapitels

• Captive Portal
• Dedizierter Browser
• Temporäre Firewall-Regeln
• Automatischer VPN-Aufbau

Schritt-für-Schritt-Anleitung

1. Schritt 1: Ein öffentliches Test-WLAN mit Anmeldeseite wird bereitgestellt.
2. Schritt 2: Die Hotspot-Funktion wird aus dem Connector gestartet, ohne einen normalen Browser zu verwenden.
3. Schritt 3: Nur die für die Anmeldung erforderliche Kommunikation wird temporär zugelassen.
4. Schritt 4: Nach erfolgreicher Anmeldung werden temporäre Regeln beendet und der VPN-Tunnel automatisch geprüft.

Kapitel 5: VPN Path Finder und Medienwechsel

Inhaltsverzeichnis des Kapitels

• Blockiertes IPsec
• Fallback über HTTPS-Port
• WLAN und Mobilfunk
• Seamless Roaming

Schritt-für-Schritt-Anleitung

1. Schritt 1: Eine Netzbedingung mit blockiertem regulärem IPsec wird kontrolliert erzeugt.
2. Schritt 2: Der automatische Wechsel auf den alternativen Tunnelpfad wird verifiziert.
3. Schritt 3: Ein Wechsel zwischen LAN, WLAN und Mobilfunk wird ohne Änderung der Sicherheitsregeln durchgeführt.
4. Schritt 4: Sitzungsfortbestand, erneute Authentisierung und Protokolle werden ausgewertet.

Kapitel 6: Prüfung und Fehleranalyse

Inhaltsverzeichnis des Kapitels

• Testmatrix
• Paket- und Ereignisspuren
• Fehlkonfigurationen
• Freigabe des Regelwerks

Schritt-für-Schritt-Anleitung

1. Schritt 1: Für jede Zone werden erlaubte und verbotene Kommunikationsfälle definiert.
2. Schritt 2: Connector-Protokolle und kontrollierte Netzbeobachtung werden zeitlich korreliert.
3. Schritt 3: Breite Regeln, falsche Reihenfolge und unerwartete Ausnahmen werden gezielt identifiziert.
4. Schritt 4: Das finale Regelwerk wird versioniert, freigegeben und als wiederholbarer Prüfsatz dokumentiert.