Seminar Netmaker Gateways, Relays und NAT-Traversal

Gateways verbinden unterschiedliche Endpunkttypen und übernehmen Routing, Relay- oder Internetfunktionen. Das Seminar zeigt, wie Gateways passend dimensioniert, zugewiesen, redundant betrieben und hinter NAT beziehungsweise restriktiven Firewalls zuverlässig eingesetzt werden.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxisübungen

Zielsetzung

Im Mittelpunkt stehen folgende fachliche und praktische Schwerpunkte:

• Gateway-Rollen für Benutzergeräte, statische WireGuard-Endpunkte und Netclient-Knoten unterscheiden.
• Gateway-Zuweisung, Auto-Relay und hochverfügbare Gateway-Auswahl kontrolliert konfigurieren.
• NAT-Traversal, statische Endpoints, Ports und Relay-Fallbacks methodisch planen.
• Leistung, Ausfallsicherheit und Sicherheit von Gateway-Pfaden messen und verbessern.

Zielgruppe

Netzwerk- und Systemadministration, Cloud- und Plattformbetrieb, Remote-Access-Verantwortung und technische Infrastrukturplanung

Voraussetzungen

Gute Kenntnisse zu IP-Routing, NAT, Firewallregeln und WireGuard; Netmaker-Grundkenntnisse werden vorausgesetzt

Seminarinhalte

Modul 1: Gateway-Rollen und Verkehrsmodelle

Gateways werden nach Zugang, Transit, Relay und Internet-Egress getrennt geplant.

1. Schritt 1: Endpunkttypen und benötigte Kommunikationsrichtungen erfassen.
2. Schritt 2: Gateway, Relay, Egress und Internet-Gateway funktional voneinander abgrenzen.
3. Schritt 3: Transitpfade, Vertrauensgrenzen und mögliche Engpässe in einer Topologie markieren.

Modul 2: Gateway bereitstellen und zuweisen

Ein stabiler Gateway-Knoten benötigt passende Erreichbarkeit, Forwarding und Kapazität.

1. Schritt 1: Linux-Knoten anhand von Verfügbarkeit, Standort, Latenz und Bandbreite auswählen.
2. Schritt 2: Gateway-Funktion aktivieren und Knotenstatus kontrollieren.
3. Schritt 3: Netclient-Knoten, Konfigurationsdateien und Benutzerzugänge gezielt zuweisen.

Modul 3: Statische WireGuard-Endpunkte und Benutzerzugänge

Nicht verwaltete Geräte werden über kontrollierte Konfigurationen an ein Gateway angebunden.

1. Schritt 1: Eindeutigen Namen, Schlüssel, DNS und zusätzliche Adressen festlegen.
2. Schritt 2: Konfiguration erzeugen, sicher verteilen und am Endgerät aktivieren.
3. Schritt 3: Peerstatus, Handshake, Routing und Widerruf im Gateway prüfen.

Modul 4: NAT-Traversal und Relay-Strategie

Direkte Verbindungen bleiben das Ziel, Relays sichern schwierige Netzpfade ab.

1. Schritt 1: NAT-Typ, öffentliche Erreichbarkeit und Firewallgrenzen je Standort untersuchen.
2. Schritt 2: Statische Ports, Endpoint-Vorgaben und Keepalive nur bei begründetem Bedarf einsetzen.
3. Schritt 3: Auto-Relay aktivieren und Latenz sowie Datenpfad vor und nach dem Fallback vergleichen.

Modul 5: HA-Gateways und automatische Auswahl

Mehrere Gateways reduzieren Ausfallrisiken, erfordern aber gleichwertige Konfiguration und Tests.

1. Schritt 1: Mindestens zwei Gateways in unterschiedlichen Fehlerdomänen bereitstellen.
2. Schritt 2: Automatische Gateway-Auswahl für geeignete Knoten oder Benutzerzugänge aktivieren.
3. Schritt 3: Ausfall, Umschaltung, Wiederkehr und Latenzentscheidung mit laufenden Tests beobachten.

Modul 6: Internet-Gateway, Absicherung und Diagnose

Full-Tunnel-Pfade werden mit restriktiver Zuweisung und überprüfbarer Namensauflösung betrieben.

1. Schritt 1: Default-Route, NAT und DNS-Pfad für ausgewählte Endpunkte konfigurieren.
2. Schritt 2: ACLs, Hostfirewall und administrative Zugriffe auf den Gateway-Knoten härten.
3. Schritt 3: Routingtabellen, WireGuard-Zähler, Forwarding und Firewallregeln schrittweise diagnostizieren.

Praxisübungen

• Anbindung eines statischen WireGuard-Endpunkts über ein dediziertes Gateway.
• Vergleich einer direkten Peer-Verbindung mit einem Auto-Relay-Pfad unter restriktiver Firewall.
• HA-Gateway-Test mit erzwungenem Ausfall und Messung der Umschaltung.
• Internet-Gateway mit begrenzter Benutzergruppe, DNS-Prüfung und Lecktest.