Seminar Netmaker Site-to-Site und Hybrid-Cloud-Vernetzung

Standorte und Clouds besitzen häufig unterschiedliche Routing-, Firewall- und Adressierungsmodelle. Das Seminar entwickelt daraus einen kontrollierten Site-to-Site-Pfad, der nicht nur einen Tunnel aufbaut, sondern auch Rückwege, DNS, Zugriffsregeln, Redundanz und Betrieb berücksichtigt.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxisübungen

Zielsetzung

Im Mittelpunkt stehen folgende fachliche und praktische Schwerpunkte:

• Geeignete Site-to-Site-Topologie für Standorte, VPCs und Rechenzentren auswählen.
• Egress-Knoten oder statische WireGuard-Router mit korrektem Hin- und Rückrouting einrichten.
• NAT, überlappende Adressbereiche, DNS und ACLs in einem konsistenten Design lösen.
• Redundanz, Monitoring und Fehleranalyse für standortübergreifende Pfade umsetzen.

Zielgruppe

Netzwerk- und Cloud-Administration, Infrastrukturarchitektur, DevOps, Rechenzentrumsbetrieb und technische Projektleitung

Voraussetzungen

Fundierte Kenntnisse zu IP-Routing, CIDR, NAT, Firewall, DNS und WireGuard; Netmaker-Grundkenntnisse

Seminarinhalte

Modul 1: Anforderungen, Sites und Topologien

Standorte werden als Netze mit eigenen Routen, Sicherheitsgrenzen und Betriebsverantwortungen modelliert.

1. Schritt 1: LANs, VPCs, Rechenzentren, Ziele und Kommunikationsrichtungen erfassen.
2. Schritt 2: Hub-and-Spoke, Teilmesh und Full Mesh anhand Latenz, Aufwand und Sicherheit bewerten.
3. Schritt 3: Gateway-, Egress- und Routerrollen je Site festlegen.

Modul 2: Adress- und Routingplan

Der Routingplan bildet Overlay, lokale Netze und Rückwege vollständig ab.

1. Schritt 1: Alle CIDR-Bereiche und Default-Routen inventarisieren.
2. Schritt 2: Hin- und Rückweg je Kommunikationsbeziehung dokumentieren.
3. Schritt 3: Konflikte, asymmetrische Pfade und erforderliche lokale Routen identifizieren.

Modul 3: Egress-basierte Site-Anbindung

Ein Netclient-Knoten übernimmt Routing zwischen Overlay und lokalem Standortnetz.

1. Schritt 1: Stabilen Linux-Knoten mit IP-Forwarding und Standortzugriff vorbereiten.
2. Schritt 2: Egress-Ressource, Zielbereich, NAT und ACLs konfigurieren.
3. Schritt 3: Verkehr vom Overlay zum LAN und zurück mit Route, Traceroute und Porttest prüfen.

Modul 4: Router und statische WireGuard-Konfiguration

Vorhandene Router werden ohne Netclient über ein Gateway eingebunden.

1. Schritt 1: Gateway auswählen und WireGuard-Konfiguration für den Router erzeugen.
2. Schritt 2: AllowedIPs, zusätzliche Adressen und lokale Routerregeln festlegen.
3. Schritt 3: Standort-zu-Standort-Verkehr und Widerruf der Konfiguration testen.

Modul 5: NAT und überlappende CIDR-Bereiche

Wiederverwendete private Adressen erfordern Übersetzung oder Neunummerierung.

1. Schritt 1: Überlappungen und dadurch entstehende doppelte Routen nachweisen.
2. Schritt 2: Direktes NAT, statische Übersetzung oder Renumbering gegeneinander bewerten.
3. Schritt 3: Virtuelle Adressierung als editionsabhängige Option konfigurieren und dokumentieren.

Modul 6: DNS und Zugriffsrichtlinien

Standortressourcen werden über kontrollierte Namen und Regeln veröffentlicht.

1. Schritt 1: Interne Resolver und Match Domains pro Standort definieren.
2. Schritt 2: DNS-Resolver über passende Egress-Routen erreichbar machen.
3. Schritt 3: Benutzer-, Ressourcen- und Site-to-Site-ACLs mit Negativtests prüfen.

Modul 7: Hochverfügbarkeit und Troubleshooting

Kritische Site-Pfade werden redundant und beobachtbar betrieben.

1. Schritt 1: Zweite Gateway- oder Egress-Instanz in anderer Fehlerdomäne bereitstellen.
2. Schritt 2: Ausfall und Umschaltung mit laufender Messung testen.
3. Schritt 3: Routing, AllowedIPs, NAT, Firewall, MTU und DNS schichtweise diagnostizieren.

Praxisübungen

• Design einer drei Standorte umfassenden Hybrid-Cloud-Topologie.
• Egress-basierte Anbindung eines privaten LANs mit restriktiver ACL.
• Routerintegration über statische WireGuard-Konfiguration.
• Überlappendes Standortnetz mit dokumentierter NAT- oder virtueller Adressstrategie.
• HA- und Fehlerübung mit asymmetrischem Rückweg oder falschem DNS-Pfad.