Seminar ocserv / OpenConnect – Performance, DTLS, MTU und Kapazitätsplanung

Performanceprobleme lassen sich nur beurteilen, wenn Datenkanal, Paketgröße, Lastprofil und Systemressourcen bekannt sind. Netzwerk-, Kryptografie-, Server- und Anwendungsengpässe werden messbar getrennt.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

ocserv messen und dimensionieren: TLS/DTLS, TCP-Rückfall, MTU, DPD, CPU, Speicher, Dateideskriptoren, Limits und Kapazitätsmodell. Die festgelegte Dauer ist fachlich begründet: Zwei Tage reichen für Messmethodik, DTLS/TCP-Vergleich, MTU- und NAT-Effekte, Ressourcenanalyse, Limits und ein belastbares Kapazitätsmodell.

Lernziele

• Lastprofile definieren.
• DTLS und TCP-Rückfall vergleichen.
• MTU- und NAT-Probleme beheben.
• Systemressourcen und Limits auswerten.
• Kapazität mit Reserve planen.

Zielgruppe

Plattform- und Netzwerkbetrieb, SRE, Performance Engineering, Systemarchitektur und technische Betriebsleitung.

Voraussetzungen

Gute ocserv-, Linux-, TCP/UDP- und Netzwerkdiagnosekenntnisse.

Seminarinhalte

Schritt 1: Messziele und Lastprofile

Sitzungen, Anmelderate, Paketrate, Latenz, Verlust, Durchsatz, CPU, Speicher und Identitätsantworten werden für Büro-, Datei- und Administrationsverkehr definiert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Messziele und Lastprofile
• Konfiguration und kontrollierte Umsetzung von Messziele und Lastprofile
• Funktions-, Sicherheits- und Fehlerprüfung für Messziele und Lastprofile
• Betriebscheckliste, Abnahme und Rückfallweg für Messziele und Lastprofile

Schritt 2: TLS-, TCP- und DTLS-Pfad

Kontrollkanal, bevorzugter UDP-Datenkanal, TCP-Rückfall, Firewall, NAT und Lastverteiler werden unter identischer Last verglichen. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für TLS-, TCP- und DTLS-Pfad
• Konfiguration und kontrollierte Umsetzung von TLS-, TCP- und DTLS-Pfad
• Funktions-, Sicherheits- und Fehlerprüfung für TLS-, TCP- und DTLS-Pfad
• Betriebscheckliste, Abnahme und Rückfallweg für TLS-, TCP- und DTLS-Pfad

Schritt 3: Kryptografie und CPU

Algorithmen, Schlüsseltypen, Hardwarebeschleunigung, Kernzahl, Einzelstrom und parallele Sitzungen werden an Sicherheitsvorgaben und realem Durchsatz gemessen. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Kryptografie und CPU
• Konfiguration und kontrollierte Umsetzung von Kryptografie und CPU
• Funktions-, Sicherheits- und Fehlerprüfung für Kryptografie und CPU
• Betriebscheckliste, Abnahme und Rückfallweg für Kryptografie und CPU

Schritt 4: MTU und Fragmentierung

Tunnelheader, Paketgrößenleiter, Path-MTU, ICMP, MSS, Black-Hole-Symptome und Plattformunterschiede werden untersucht. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für MTU und Fragmentierung
• Konfiguration und kontrollierte Umsetzung von MTU und Fragmentierung
• Funktions-, Sicherheits- und Fehlerprüfung für MTU und Fragmentierung
• Betriebscheckliste, Abnahme und Rückfallweg für MTU und Fragmentierung

Schritt 5: DPD, Keepalive und NAT

Totenerkennung, Idle-Verhalten, Mobilität, UDP-/TCP-Zeitüberschreitungen und Wiederverbindung nach Netzwechsel werden abgestimmt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für DPD, Keepalive und NAT
• Konfiguration und kontrollierte Umsetzung von DPD, Keepalive und NAT
• Funktions-, Sicherheits- und Fehlerprüfung für DPD, Keepalive und NAT
• Betriebscheckliste, Abnahme und Rückfallweg für DPD, Keepalive und NAT

Schritt 6: Speicher und Dateideskriptoren

Speicher pro Sitzung, System- und Dienstlimits, Warteschlangen und Logvolumen werden gegen das Mengengerüst geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Speicher und Dateideskriptoren
• Konfiguration und kontrollierte Umsetzung von Speicher und Dateideskriptoren
• Funktions-, Sicherheits- und Fehlerprüfung für Speicher und Dateideskriptoren
• Betriebscheckliste, Abnahme und Rückfallweg für Speicher und Dateideskriptoren

Schritt 7: Sitzungs- und Bandbreitenlimits

Maximale Clients, Sitzungen pro Benutzer, Ein- und Ausgangsbandbreite sowie Schutz gegen Anmelde- und Verbindungsfluten werden getestet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Sitzungs- und Bandbreitenlimits
• Konfiguration und kontrollierte Umsetzung von Sitzungs- und Bandbreitenlimits
• Funktions-, Sicherheits- und Fehlerprüfung für Sitzungs- und Bandbreitenlimits
• Betriebscheckliste, Abnahme und Rückfallweg für Sitzungs- und Bandbreitenlimits

Schritt 8: Kapazitätsmodell

Nutzbare Instanzkapazität, Spitzenlast, N+1-Reserve, Wartungsreserve, Wachstum und Schwellen für horizontale Erweiterung werden berechnet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Kapazitätsmodell
• Konfiguration und kontrollierte Umsetzung von Kapazitätsmodell
• Funktions-, Sicherheits- und Fehlerprüfung für Kapazitätsmodell
• Betriebscheckliste, Abnahme und Rückfallweg für Kapazitätsmodell

Praxisübungen

1. Messziele und Lastprofile anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. TLS-, TCP- und DTLS-Pfad anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. Kryptografie und CPU anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. MTU und Fragmentierung anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. DPD, Keepalive und NAT anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. Speicher und Dateideskriptoren anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Kurs ergänzt Netzwerkdesign, Monitoring und Hochverfügbarkeit. Automatisierung unterstützt reproduzierbare Skalierung.