Seminar NethSecurity – VPN mit IPsec und WireGuard

Das Seminar vermittelt Planung und Betrieb von IPsec- und WireGuard-Verbindungen. Beide Verfahren werden anhand von Standortkopplung, Fernzugriff, Schlüsseln, Routen, Firewall-Regeln, NAT, MTU und Diagnose verglichen und praktisch umgesetzt. Die Auswahl erfolgt nach Anforderungen und Gegenstellen, nicht nach Mode.

Inhaltsverzeichnis

• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen

Lernziele

• IPsec und WireGuard technisch und betrieblich vergleichen
• Adress-, Routing- und Schlüsselkonzepte für Tunnel erstellen
• IPsec-Standortkopplungen mit passenden Parametern einrichten
• WireGuard-Peers und erlaubte Netze sicher konfigurieren
• Tunnel, Rückwege, MTU und Schlüsselwechsel systematisch prüfen

Zielgruppe

• Erfahrene Netzwerk- und Firewalladministration
• Administratoren verteilter Standorte
• IT-Sicherheitsbetrieb
• Technische Verantwortliche für Partner- und Cloudanbindungen

Voraussetzungen

Gute Kenntnisse zu IP-Adressierung, Routing, NAT, Firewall-Regeln und VPN-Grundbegriffen. Die Netze und öffentlichen Erreichbarkeiten der Gegenstellen müssen bekannt sein.

Seminarinhalte

Schritt 1: Anforderungen und Gegenstellen aufnehmen

Lokale und entfernte Netze, dynamische oder feste Adressen, Gegenstellenprodukte, Authentifizierung, Verfügbarkeit und zulässige Algorithmen werden erfasst.

Schritt 2: Verfahren auswählen

IPsec wird für breite Herstellerkompatibilität und etablierte Standortkopplungen bewertet; WireGuard für schlanke Peer-Konfigurationen und klare Schlüsselzuordnung. Betriebswerkzeuge und Gegenstellen entscheiden mit.

Schritt 3: Adressüberschneidungen prüfen

Lokale, entfernte und Tunnelnetze werden verglichen. Überlappungen werden vor der Umsetzung bereinigt oder mit bewusst geplanter Übersetzung behandelt.

Schritt 4: Firewall und Erreichbarkeit vorbereiten

Notwendige externe Protokolle und Ports werden nur auf der vorgesehenen WAN-Adresse zugelassen. Doppelte NAT-Strecken, Providerfilter und dynamische Adressen werden berücksichtigt.

Schritt 5: IPsec-Parameter abstimmen

IKE-Version, Authentifizierung, Verschlüsselung, Integrität, Schlüsselaustausch, Lebensdauer und Verkehrsselektoren werden auf beiden Seiten konsistent festgelegt.

Schritt 6: IPsec-Tunnel einrichten

Lokale und entfernte Identität, Netze, Gegenstelle und Schlüsselmaterial werden konfiguriert. Aufbauphase und Datenphase werden getrennt beobachtet.

Schritt 7: IPsec-Datenverkehr freigeben

Tunnelaufbau allein erlaubt noch keine Nutzkommunikation. Zonen- und Firewall-Regeln werden auf die benötigten Netze und Dienste begrenzt.

Schritt 8: WireGuard-Schlüssel erzeugen und schützen

Jeder Peer erhält ein eigenes Schlüsselpaar. Private Schlüssel bleiben ausschließlich auf dem jeweiligen System; öffentliche Schlüssel werden eindeutig zugeordnet.

Schritt 9: WireGuard-Peers konfigurieren

Endpunkt, erlaubte Netze, Keepalive und Routen werden passend zum Szenario gesetzt. Die Liste erlaubter Netze dient zugleich als Routing- und Sicherheitskontrolle.

Schritt 10: WireGuard-Datenverkehr freigeben

Schnittstelle oder Zone und zugehörige Firewall-Regeln werden eingerichtet. Peer-Verbindungen werden mit Positiv- und Negativtests geprüft.

Schritt 11: Routing und NAT kontrollieren

Hin- und Rückwege, statische Routen, Policy Routing und NAT-Ausnahmen werden je Tunnel analysiert. Tunnelverkehr darf nicht versehentlich über eine allgemeine WAN-Regel übersetzt werden.

Schritt 12: MTU und Fragmentierung behandeln

Bei teilweise funktionierenden Verbindungen werden Paketgröße, Path-MTU und gekapselte Protokolle untersucht. Anpassungen werden nur nach Messung vorgenommen.

Schritt 13: Schlüsselwechsel organisieren

Vor Ablauf oder bei Verdacht auf Kompromittierung werden neue Schlüssel parallel vorbereitet, abgestimmt aktiviert und alte Schlüssel anschließend entfernt.

Schritt 14: Tunnel diagnostizieren

Öffentliche Erreichbarkeit, Zeit, Authentifizierung, Aushandlung, Handshake, Routen, Firewall, NAT und Gegenstellenprotokolle werden in einer festen Reihenfolge geprüft.

Praxisübungen

• Vergleich und Auswahl von IPsec oder WireGuard für zwei Szenarien
• Aufbau einer IPsec-Standortkopplung
• Einrichtung eines WireGuard-Peers mit begrenzten Netzen
• Diagnose eines absichtlich erzeugten Routing- oder Parametersfehlers