Seminar NCP VS GovNet – Intensivseminar: Planung, Implementierung und Betrieb

Die Intensivwoche bildet den vollständigen Lebenszyklus einer VS-GovNet-Umgebung ab. Planung, Aufbau, Absicherung, Betrieb und Störungsbehebung erfolgen an einer gemeinsamen Laborarchitektur, sodass Abhängigkeiten unmittelbar sichtbar werden.

Seminarprofil

Die Stoffdichte ist hoch und setzt belastbare Administrationskenntnisse voraus. Einzelthemen werden kompakter behandelt als in den jeweiligen Spezialseminaren, jedoch zu einem vollständigen Ende-zu-Ende-Betriebsmodell verbunden.

Inhaltsübersicht

1. Kapitel 1: Anforderungen und Zielarchitektur
2. Kapitel 2: Installation des VS GovNet Servers
3. Kapitel 3: Secure Enterprise Management
4. Kapitel 4: Connector-Installation und Rollout
5. Kapitel 5: PKI, SmartCards und starke Authentisierung
6. Kapitel 6: Firewall und sichere Netzwechsel
7. Kapitel 7: Windows Pre-Logon und Domänenzugriff
8. Kapitel 8: Skalierung, Hochverfügbarkeit und Notfallvorsorge
9. Kapitel 9: Monitoring, Logging und Troubleshooting
10. Kapitel 10: Hardening, Lifecycle und Betriebsübergabe

Zielsetzung

Ziel ist die selbstständige Planung, Implementierung, Absicherung, Inbetriebnahme und grundlegende Betriebsführung einer vollständigen NCP VS GovNet Umgebung.

Zielgruppe

Erfahrene Netzwerk-, Windows-, VPN- und Sicherheitsadministratoren, technische Projektleiter und Infrastrukturarchitekten.

Voraussetzungen

Sehr gute Kenntnisse in TCP/IP, Routing, Firewalling, Windows, Active Directory, Zertifikaten und IPsec. Praktische Administrationserfahrung und sichere Arbeit in komplexen Testumgebungen sind erforderlich.

Kapitel 1: Anforderungen und Zielarchitektur

Inhaltsverzeichnis des Kapitels

• Schutzbedarf und Nutzungsszenarien
• Komponenten und Schnittstellen
• Netz- und Identitätsmodell
• Abnahmekriterien

Schritt-für-Schritt-Anleitung

1. Schritt 1: Anwendungsfälle, Benutzergruppen und Zielnetze werden abgegrenzt.
2. Schritt 2: Connector, Server, Management, PKI und Backend-Systeme werden in einem Komponentenmodell verbunden.
3. Schritt 3: Kommunikationsbeziehungen und Vertrauensgrenzen werden als Netz- und Identitätsplan dokumentiert.
4. Schritt 4: Messbare Kriterien für Verbindung, Sicherheit, Betrieb und Wiederanlauf werden festgelegt.

Kapitel 2: Installation des VS GovNet Servers

Inhaltsverzeichnis des Kapitels

• Hardware- und Netzvorbereitung
• Software-Appliance
• Basisparameter
• Management-Anbindung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Serverhardware, Schnittstellen, SmartCard-Leser und Netzsegmente werden geprüft.
2. Schritt 2: Die Appliance wird installiert und mit Zeit, DNS, Administration und Netzparametern grundlegend eingerichtet.
3. Schritt 3: Das System wird dem zentralen Management zugeordnet.
4. Schritt 4: Installationszustand und administrative Erreichbarkeit werden als Baseline gesichert.

Kapitel 3: Secure Enterprise Management

Inhaltsverzeichnis des Kapitels

• Management-Architektur
• Gruppen und Rollen
• Server- und Connector-Plug-ins
• Konfigurationsverteilung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Management, Datenbank und administrative Rollen werden eingerichtet.
2. Schritt 2: Eine Gruppenstruktur für Standorte, Benutzer und Geräte wird aufgebaut.
3. Schritt 3: Server- und Connector-Konfigurationen werden als versionierte Objekte angelegt.
4. Schritt 4: Zuweisung, Sperrung, Verteilung und Rückmeldung werden mit Testobjekten geprüft.

Kapitel 4: Connector-Installation und Rollout

Inhaltsverzeichnis des Kapitels

• Installationspakete
• Verbindungsprofile
• Softwareverteilung
• Integritäts- und Funktionsprüfung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Ein reproduzierbares Connector-Paket wird vorbereitet.
2. Schritt 2: Gateway, Authentisierung, Routen und Richtlinien werden einem Profil zugeordnet.
3. Schritt 3: Der Rollout wird zunächst auf eine Pilotgruppe begrenzt.
4. Schritt 4: Installation, Self Check, Profilübernahme und erster Tunnel werden automatisiert kontrolliert.

Kapitel 5: PKI, SmartCards und starke Authentisierung

Inhaltsverzeichnis des Kapitels

• Zertifikatsprofile
• ECC und Vertrauensketten
• SmartCard-Betrieb
• Sperrprüfung und Backend-Anbindung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Benutzer-, Geräte- und Serverzertifikate werden nach getrennten Profilen bereitgestellt.
2. Schritt 2: Vertrauensketten und zulässige Schlüsselverwendung werden auf Connector und Server geprüft.
3. Schritt 3: SmartCard, Leser, PIN und Zuordnung zum Benutzer werden getestet.
4. Schritt 4: CRL- oder OCSP-Prüfung sowie RADIUS-, LDAP- oder AD-Anbindung werden validiert.

Kapitel 6: Firewall und sichere Netzwechsel

Inhaltsverzeichnis des Kapitels

• Personal Firewall
• Friendly Net Detection
• Hotspot-Anmeldung
• VPN Path Finder und Roaming

Schritt-für-Schritt-Anleitung

1. Schritt 1: Ein restriktives Regelwerk für externe Netze und den VPN-Tunnel wird erstellt.
2. Schritt 2: Das vertrauenswürdige Netz wird zertifikatsbasiert erkannt und mit eigenen Regeln versehen.
3. Schritt 3: Ein Captive Portal wird ausschließlich über die abgesicherte Hotspot-Funktion durchlaufen.
4. Schritt 4: Blockiertes IPsec und Medienwechsel werden mit Fallback und Wiederverbindung getestet.

Kapitel 7: Windows Pre-Logon und Domänenzugriff

Inhaltsverzeichnis des Kapitels

• PLAP
• Active Directory und DNS
• Benutzerzertifikat und PIN
• Sonderfälle

Schritt-für-Schritt-Anleitung

1. Schritt 1: Domänendienste werden über den VPN-Tunnel vor der Benutzeranmeldung erreichbar gemacht.
2. Schritt 2: Der Pre-Logon Access Provider wird zentral konfiguriert und verteilt.
3. Schritt 3: VPN-Aufbau und anschließende Windows-Anmeldung werden Ende zu Ende getestet.
4. Schritt 4: Abgelaufenes Kennwort, Offline-Situation und neues Benutzerprofil werden kontrolliert geprüft.

Kapitel 8: Skalierung, Hochverfügbarkeit und Notfallvorsorge

Inhaltsverzeichnis des Kapitels

• Load Balancing
• Tunnelweiterleitung
• Backup Management
• Sicherung und Wiederanlauf

Schritt-für-Schritt-Anleitung

1. Schritt 1: Gateway-Redundanz und Lastverteilung werden anhand der Zielarchitektur umgesetzt.
2. Schritt 2: Ausfall eines Gateways und alternative Tunnelannahme werden getestet.
3. Schritt 3: Management-Replikation und Datenbanksicherung werden eingerichtet.
4. Schritt 4: Ein dokumentierter Wiederanlauf wird in einer isolierten Übung durchgeführt.

Kapitel 9: Monitoring, Logging und Troubleshooting

Inhaltsverzeichnis des Kapitels

• Connector- und Audit-Protokolle
• Serverstatistik und Syslog
• Management-Dashboard
• Schichtweise Diagnose

Schritt-für-Schritt-Anleitung

1. Schritt 1: Zeitquellen und Protokollweiterleitung werden vereinheitlicht.
2. Schritt 2: Ein funktionsfähiger Tunnel dient als Vergleichsbasis für spätere Störungen.
3. Schritt 3: Fehler in DNS, Zertifikat, IKE, Routing und Firewall werden nacheinander erzeugt und lokalisiert.
4. Schritt 4: Jede Korrektur wird mit vollständigem Funktions- und Sicherheitsnachweis abgeschlossen.

Kapitel 10: Hardening, Lifecycle und Betriebsübergabe

Inhaltsverzeichnis des Kapitels

• Administrationsschutz
• Patch- und Updateverfahren
• Rollout-Wellen und Rückfall
• Dokumentation und Abnahme

Schritt-für-Schritt-Anleitung

1. Schritt 1: Nicht benötigte Zugriffe werden entfernt und administrative Rechte aufgeteilt.
2. Schritt 2: Updatepfade für Management, Server und Connector werden mit Pilot und Rückfallplan festgelegt.
3. Schritt 3: Konfigurationen, Zertifikate, Sicherungen und Prüffälle werden versioniert dokumentiert.
4. Schritt 4: Die Laborumgebung wird anhand der vereinbarten Abnahmekriterien vollständig geprüft und an den Regelbetrieb übergeben.