Seminar ocserv / OpenConnect – Netzwerkdesign mit IPv4, IPv6, Routing, DNS und Split-Tunneling

Die meisten produktiven VPN-Probleme entstehen nicht beim Login, sondern im Datenpfad. Jedes Paket wird vom Client über Tunnel, Server, Firewall und Zielnetz bis zum Rückweg verfolgt; IPv4 und IPv6 werden gleichwertig geplant.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

Dreitägige ocserv-Netzwerkschulung zu IPv4, IPv6, Routen, Split-Tunnel, Split-DNS, Firewall, NAT, Rückwegen und MTU. Die festgelegte Dauer ist fachlich begründet: Drei Tage sind notwendig, um IPv4 und IPv6, Routen in beide Richtungen, DNS-Varianten, Firewall, NAT, MTU und Verbindungs-Skripte mit Tests zu behandeln.

Lernziele

• Adressräume konfliktfrei planen.
• Client- und interne Routen aufbauen.
• Split-Tunnel und Split-DNS auswählen.
• Rückroute, NAT und Firewall beherrschen.
• MTU- und Asymmetriefehler diagnostizieren.

Zielgruppe

Netzwerkadministration und -architektur, Linux-Plattformbetrieb, Security Engineering und technische VPN-Verantwortliche.

Voraussetzungen

Sichere TCP/IP-, Subnetz-, Routing-, DNS-, Firewall- und Linux-Netzwerkkenntnisse.

Seminarinhalte

Schritt 1: Adress- und Konfliktanalyse

Private und öffentliche IPv4-Bereiche, IPv6-Präfixe, Heimnetze, Unternehmensstandorte, Cloudnetze, Reserven und Mehrstandortbetrieb werden geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Adress- und Konfliktanalyse
• Konfiguration und kontrollierte Umsetzung von Adress- und Konfliktanalyse
• Funktions-, Sicherheits- und Fehlerprüfung für Adress- und Konfliktanalyse
• Betriebscheckliste, Abnahme und Rückfallweg für Adress- und Konfliktanalyse

Schritt 2: Tunnelinterface und Kernelpfad

Virtuelles Interface, Routingtabelle, Richtlinienrouting, Forwarding, Firewall und Netzwerk-Namespace bestimmen den serverseitigen Datenweg. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Tunnelinterface und Kernelpfad
• Konfiguration und kontrollierte Umsetzung von Tunnelinterface und Kernelpfad
• Funktions-, Sicherheits- und Fehlerprüfung für Tunnelinterface und Kernelpfad
• Betriebscheckliste, Abnahme und Rückfallweg für Tunnelinterface und Kernelpfad

Schritt 3: Routen zum Client

Volltunnel, Split-Tunnel, ausgeschlossene Netze, lokale Überschneidungen, Metriken, Plattformunterschiede und gruppenspezifische Sets werden geplant. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Routen zum Client
• Konfiguration und kontrollierte Umsetzung von Routen zum Client
• Funktions-, Sicherheits- und Fehlerprüfung für Routen zum Client
• Betriebscheckliste, Abnahme und Rückfallweg für Routen zum Client

Schritt 4: Interne Routen

Netze hinter Clients, eindeutige Sitzungszuordnung, Überlappung, Transitverkehr und Firewallautorisation werden abgesichert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Interne Routen
• Konfiguration und kontrollierte Umsetzung von Interne Routen
• Funktions-, Sicherheits- und Fehlerprüfung für Interne Routen
• Betriebscheckliste, Abnahme und Rückfallweg für Interne Routen

Schritt 5: DNS und Split-DNS

Interne und öffentliche Namensräume, Resolver, Suchdomänen, domänenspezifische Zuordnung, Leaks, Caches und Rücknahme beim Trennen werden geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für DNS und Split-DNS
• Konfiguration und kontrollierte Umsetzung von DNS und Split-DNS
• Funktions-, Sicherheits- und Fehlerprüfung für DNS und Split-DNS
• Betriebscheckliste, Abnahme und Rückfallweg für DNS und Split-DNS

Schritt 6: IPv6-Datenpfad

Clientpräfix, Zielpräfixe, Forwarding, Filter, Link-Local-Adressen, Router Advertisements, Rückweg und mögliche Bypässe werden durchgängig getestet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für IPv6-Datenpfad
• Konfiguration und kontrollierte Umsetzung von IPv6-Datenpfad
• Funktions-, Sicherheits- und Fehlerprüfung für IPv6-Datenpfad
• Betriebscheckliste, Abnahme und Rückfallweg für IPv6-Datenpfad

Schritt 7: Rückroute oder NAT

Erhalt der Clientadresse, Änderungen im Zielnetz, Protokollierung, Asymmetrie und mehrere Gateways werden gegen den einfacheren NAT-Betrieb abgewogen. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Rückroute oder NAT
• Konfiguration und kontrollierte Umsetzung von Rückroute oder NAT
• Funktions-, Sicherheits- und Fehlerprüfung für Rückroute oder NAT
• Betriebscheckliste, Abnahme und Rückfallweg für Rückroute oder NAT

Schritt 8: Firewall und Segmentierung

Eingang für TLS/DTLS, Forwarding, Ausgang, Default-Deny, Gruppen- und Quellpoolregeln sowie getrenntes Management bilden das Erlaubnismodell. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Firewall und Segmentierung
• Konfiguration und kontrollierte Umsetzung von Firewall und Segmentierung
• Funktions-, Sicherheits- und Fehlerprüfung für Firewall und Segmentierung
• Betriebscheckliste, Abnahme und Rückfallweg für Firewall und Segmentierung

Schritt 9: MTU, MSS und ICMP

Tunnelheader, Path-MTU, Black-Hole-Symptome, ICMP-Weitergabe, MSS und Unterschiede zwischen TCP und UDP werden praktisch analysiert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für MTU, MSS und ICMP
• Konfiguration und kontrollierte Umsetzung von MTU, MSS und ICMP
• Funktions-, Sicherheits- und Fehlerprüfung für MTU, MSS und ICMP
• Betriebscheckliste, Abnahme und Rückfallweg für MTU, MSS und ICMP

Schritt 10: Connect- und Disconnect-Skripte

Eingabedaten, Rechte, Zeitüberschreitungen, idempotenter Aufbau, Cleanup und Fehlerbehandlung schützen dynamische Integrationen. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Connect- und Disconnect-Skripte
• Konfiguration und kontrollierte Umsetzung von Connect- und Disconnect-Skripte
• Funktions-, Sicherheits- und Fehlerprüfung für Connect- und Disconnect-Skripte
• Betriebscheckliste, Abnahme und Rückfallweg für Connect- und Disconnect-Skripte

Praxisübungen

1. Adress- und Konfliktanalyse anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. Tunnelinterface und Kernelpfad anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. Routen zum Client anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. Interne Routen anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. DNS und Split-DNS anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. IPv6-Datenpfad anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Kurs folgt auf Grundinstallation und ist Grundlage für Richtlinien, Performance, Hochverfügbarkeit und Troubleshooting.