Seminar Pritunl Zero – SSH-Zugriff, Bastion Hosts und Hostzertifikate

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: SSH-Zertifizierungsstelle und kurzlebige Benutzerzertifikate
6. Kapitel 2: SSH-Client-Rollout und Benutzerworkflow
7. Kapitel 3: Bastion Hosts und private Zielnetze
8. Kapitel 4: SSH-Hostzertifikate und strikte Hostprüfung
9. Kapitel 5: SSH-Rollen, Principals und Zugriffsrichtlinien
10. Kapitel 6: Betrieb, Protokollierung und Störungsanalyse für SSH
11. Kapitel 7: Protokollierung und Fehleranalyse in Pritunl Zero
12. Praxislabor
13. Methodik

Seminarprofil

Das dreitägige SSH-Security-Seminar ersetzt dauerhaft verteilte Einzelschlüssel durch eine zentrale Zertifizierungs- und Richtlinienstruktur. Benutzerzertifikate sind kurzlebig und an Rolle sowie Principal gebunden; Zielhosts vertrauen einer definierten CA.

Private Netze werden über eine gehärtete Bastion erreicht. Hostzertifikate und strikte Hostprüfung schützen zusätzlich vor falschen Zielsystemen. Clientrollout, Zertifikatsablauf, Rollenentzug, Bastionausfall und kompromittierter Schlüssel werden praktisch behandelt.

Zielgruppe

Linux- und Security-Administratoren, Pritunl-Zero-Betreiber, IAM- und Plattformteams, SRE, DevOps und technische Auditoren.

Voraussetzungen

Sichere Linux- und OpenSSH-Kenntnisse, DNS, Netzwerksegmentierung, Public-Key-Kryptografie und grundlegendes Identity Management.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: SSH-Zertifizierungsstelle und kurzlebige Benutzerzertifikate

Inhaltsverzeichnis dieses Kapitels

1. Authority, zulässige Principals, Zielumgebungen, Zertifikatslaufzeit und ve…
2. Vertrauenswürdigen öffentlichen CA-Schlüssel kontrolliert auf den Zielhosts…
3. Benutzer erzeugt oder verwendet ein eigenes SSH-Schlüsselpaar
4. Benutzer authentisiert sich bei Pritunl Zero und fordert ein kurzlebiges Ze…
5. SSH-Server prüft CA-Signatur, Principal und Laufzeit statt eines dauerhaft…
6. Ablauf, Rollenentzug, kompromittierter Schlüssel und CA-Wechsel als Lebensz…
7. Praxisübung

SSH-Zertifikate ersetzen die unkontrollierte Verteilung einzelner Schlüssel durch eine zentrale, zeitlich begrenzte Vertrauensentscheidung.

Schritt-für-Schritt-Anleitung

1. Authority, zulässige Principals, Zielumgebungen, Zertifikatslaufzeit und verantwortliches Team festlegen.
2. Vertrauenswürdigen öffentlichen CA-Schlüssel kontrolliert auf den Zielhosts bereitstellen.
3. Benutzer erzeugt oder verwendet ein eigenes SSH-Schlüsselpaar; der private Schlüssel verbleibt auf dem Endgerät.
4. Benutzer authentisiert sich bei Pritunl Zero und fordert ein kurzlebiges Zertifikat für den öffentlichen Schlüssel an.
5. SSH-Server prüft CA-Signatur, Principal und Laufzeit statt eines dauerhaft hinterlegten individuellen Schlüssels.
6. Ablauf, Rollenentzug, kompromittierter Schlüssel und CA-Wechsel als Lebenszyklus- und Notfallfälle testen.

Praxisübung

Ein Linux-Zielhost wird auf CA-Vertrauen umgestellt; Anmeldung mit gültigem, abgelaufenem und unzulässigem Principal wird geprüft.

Kapitel 2: SSH-Client-Rollout und Benutzerworkflow

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Clientplattformen und vorhandene OpenSSH-Versionen inventarisi…
2. Pritunl-Zero-SSH-Client kontrolliert installieren und den Pfad zu lokalem S…
3. Benutzeranmeldung, Zertifikatsanforderung und sichere Ablage des kurzlebige…
4. SSH-Konfiguration für Zielmuster, Benutzernamen, Identitätsdatei und gegebe…
5. Verbindung, Zertifikatsablauf, erneute Anforderung und Rollenentzug testen.
6. Supportanleitung für Zeitfehler, fehlende Rolle, falschen Principal, DNS un…
7. Praxisübung

Der Benutzerworkflow wird so gestaltet, dass Zertifikatsanforderung, lokale Schlüssel, Konfiguration und Fehlerbehandlung reproduzierbar bleiben.

Schritt-für-Schritt-Anleitung

1. Unterstützte Clientplattformen und vorhandene OpenSSH-Versionen inventarisieren.
2. Pritunl-Zero-SSH-Client kontrolliert installieren und den Pfad zu lokalem Schlüsselmaterial definieren.
3. Benutzeranmeldung, Zertifikatsanforderung und sichere Ablage des kurzlebigen Zertifikats durchführen.
4. SSH-Konfiguration für Zielmuster, Benutzernamen, Identitätsdatei und gegebenenfalls Bastion bereitstellen.
5. Verbindung, Zertifikatsablauf, erneute Anforderung und Rollenentzug testen.
6. Supportanleitung für Zeitfehler, fehlende Rolle, falschen Principal, DNS und nicht erreichbare Authority erstellen.

Praxisübung

Ein standardisierter Clientworkflow wird auf zwei Betriebssystemen eingerichtet; Zertifikatserneuerung und Rollenentzug werden beobachtet.

Kapitel 3: Bastion Hosts und private Zielnetze

Inhaltsverzeichnis dieses Kapitels

1. Private Zielnetze, erlaubte Quellgruppen, benötigte SSH-Ziele und DNS-Namen…
2. Bastion in einer gehärteten Zone mit minimalen eingehenden und ausgehenden…
3. Pritunl-Zero-Authority und zulässige Rollen mit dem Bastionzugriff verbinden.
4. Clientkonfiguration mit ProxyJump oder entsprechendem Bastionpfad für defin…
5. Direkten Zugriff auf Zielhosts blockieren und nur den Bastionpfad als Posit…
6. Bastionausfall, Kapazität, Protokollierung, Wartung und Notfallzugang dokum…
7. Praxisübung

Eine Bastion bündelt den kontrollierten Eintritt in private Netze, ohne die Zielhosts direkt aus untrusted Netzen zu veröffentlichen.

Schritt-für-Schritt-Anleitung

1. Private Zielnetze, erlaubte Quellgruppen, benötigte SSH-Ziele und DNS-Namen erfassen.
2. Bastion in einer gehärteten Zone mit minimalen eingehenden und ausgehenden Pfaden bereitstellen.
3. Pritunl-Zero-Authority und zulässige Rollen mit dem Bastionzugriff verbinden.
4. Clientkonfiguration mit ProxyJump oder entsprechendem Bastionpfad für definierte Hostmuster ausrollen.
5. Direkten Zugriff auf Zielhosts blockieren und nur den Bastionpfad als Positivfall zulassen.
6. Bastionausfall, Kapazität, Protokollierung, Wartung und Notfallzugang dokumentieren.

Praxisübung

Zwei private Zielhosts werden ausschließlich über eine Bastion erreichbar gemacht; direkter Netzwerk- und SSH-Zugriff muss scheitern.

Kapitel 4: SSH-Hostzertifikate und strikte Hostprüfung

Inhaltsverzeichnis dieses Kapitels

1. Hostdomain und eindeutige DNS-Namen für alle verwalteten Systeme festlegen.
2. Host-CA-Vertrauen auf den Clients für das definierte Namensmuster konfiguri…
3. Hostclient auf einem Zielsystem installieren und Besitz des vorgesehenen Na…
4. Signiertes Hostzertifikat ausstellen, dem SSH-Dienst zuordnen und Dienst ne…
5. Strikte Hostprüfung aktivieren und gültigen, unbekannten sowie absichtlich…
6. Erneuerung, Namenswechsel, Neuinstallation und Widerruf beziehungsweise Ent…
7. Praxisübung

Hostzertifikate schützen vor der Verbindung zu falschen Zielsystemen und reduzieren manuell gepflegte Hostschlüsseldateien.

Schritt-für-Schritt-Anleitung

1. Hostdomain und eindeutige DNS-Namen für alle verwalteten Systeme festlegen.
2. Host-CA-Vertrauen auf den Clients für das definierte Namensmuster konfigurieren.
3. Hostclient auf einem Zielsystem installieren und Besitz des vorgesehenen Namens nach dem unterstützten Verfahren nachweisen.
4. Signiertes Hostzertifikat ausstellen, dem SSH-Dienst zuordnen und Dienst neu laden.
5. Strikte Hostprüfung aktivieren und gültigen, unbekannten sowie absichtlich falschen Host testen.
6. Erneuerung, Namenswechsel, Neuinstallation und Widerruf beziehungsweise Entfernung des Hosts dokumentieren.

Praxisübung

Ein Zielhost erhält ein Hostzertifikat; ein zweites System mit demselben Namen wird als möglicher Man-in-the-Middle-Fall blockiert.

Kapitel 5: SSH-Rollen, Principals und Zugriffsrichtlinien

Inhaltsverzeichnis dieses Kapitels

1. Zielsysteme nach Produktion, Test, Infrastruktur und Supportbereich klassif…
2. Zulässige Betriebskonten und Principals pro Zielklasse festlegen.
3. Rollen aus Identitätsgruppen ableiten und mit Authority sowie Principal-Umf…
4. Mehrfaktor-, WebAuthn- und Netzwerkbedingungen nach Schutzbedarf staffeln.
5. Temporären Notfallzugriff mit Genehmigung, kurzer Laufzeit und nachträglich…
6. Testfälle für falsche Rolle, falsches Konto, abgelaufenes Zertifikat und ge…
7. Praxisübung

SSH-Zugriff wird nach Umgebung, Funktion und Betriebskonto getrennt; pauschale Administratorberechtigungen bleiben die Ausnahme.

Schritt-für-Schritt-Anleitung

1. Zielsysteme nach Produktion, Test, Infrastruktur und Supportbereich klassifizieren.
2. Zulässige Betriebskonten und Principals pro Zielklasse festlegen.
3. Rollen aus Identitätsgruppen ableiten und mit Authority sowie Principal-Umfang verbinden.
4. Mehrfaktor-, WebAuthn- und Netzwerkbedingungen nach Schutzbedarf staffeln.
5. Temporären Notfallzugriff mit Genehmigung, kurzer Laufzeit und nachträglicher Prüfung ausstatten.
6. Testfälle für falsche Rolle, falsches Konto, abgelaufenes Zertifikat und gesperrtes Netzwerk ausführen.

Praxisübung

Ein Rollenmodell für Entwickler, Betrieb und externe Wartung wird aufgebaut; Zugriff auf Produktions-root bleibt technisch ausgeschlossen.

Kapitel 6: Betrieb, Protokollierung und Störungsanalyse für SSH

Inhaltsverzeichnis dieses Kapitels

1. Zertifikatsausstellungen, abgelehnte Anforderungen, Rollenänderungen und ad…
2. Bei einer Störung zuerst Systemzeit, Zertifikatslaufzeit, Principal und lok…
3. DNS, Hostdomain, Hostzertifikat und strikte Hostprüfung getrennt vom Benutz…
4. Bastionpfad, Netzwerkfreigaben und Zielhost-SSH-Protokoll zeitlich korrelie…
5. CA-, Host- und Benutzerzertifikate mit ausreichend Vorlauf überwachen und R…
6. Incident-Fall für kompromittierten Benutzerschlüssel oder Bastionhost mit S…
7. Praxisübung

SSH-Störungen werden entlang von Identität, Zertifikat, Client, DNS, Bastion, Hostvertrauen und Zielsystem eingegrenzt.

Schritt-für-Schritt-Anleitung

1. Zertifikatsausstellungen, abgelehnte Anforderungen, Rollenänderungen und administrative Aktionen zentral erfassen.
2. Bei einer Störung zuerst Systemzeit, Zertifikatslaufzeit, Principal und lokale Schlüsseldateien prüfen.
3. DNS, Hostdomain, Hostzertifikat und strikte Hostprüfung getrennt vom Benutzerzertifikat untersuchen.
4. Bastionpfad, Netzwerkfreigaben und Zielhost-SSH-Protokoll zeitlich korrelieren.
5. CA-, Host- und Benutzerzertifikate mit ausreichend Vorlauf überwachen und Rotationen testen.
6. Incident-Fall für kompromittierten Benutzerschlüssel oder Bastionhost mit Sperre, Austausch und Nachkontrolle vorbereiten.

Praxisübung

Ein abgelaufenes Benutzerzertifikat, ein falscher Principal und ein ungültiges Hostzertifikat werden anhand der jeweiligen Prüfschicht unterschieden.

Kapitel 7: Protokollierung und Fehleranalyse in Pritunl Zero

Inhaltsverzeichnis dieses Kapitels

1. Fehlerbild mit Dienstname, Benutzer, Rolle, Netzwerk, Zeitpunkt und Browser…
2. DNS-Auflösung, Erreichbarkeit, Zertifikatskette und Systemzeit als äußere V…
3. SSO-, MFA-, WebAuthn-, Rollen- und Netzwerkrichtlinien anhand der Protokoll…
4. Bei Webdiensten Proxyverbindung, Backendstatus, Header, Weiterleitung und Z…
5. Bei SSH Authority, Zertifikatslaufzeit, Principal, Bastion, Hostzertifikat…
6. Ursache und Korrektur mit einem reproduzierbaren Positiv- und Negativtest a…
7. Praxisübung

Fehler werden anhand des tatsächlichen Pfads von DNS über TLS und Identität bis Backend oder SSH-Ziel eingegrenzt.

Schritt-für-Schritt-Anleitung

1. Fehlerbild mit Dienstname, Benutzer, Rolle, Netzwerk, Zeitpunkt und Browser- beziehungsweise SSH-Clientdaten erfassen.
2. DNS-Auflösung, Erreichbarkeit, Zertifikatskette und Systemzeit als äußere Voraussetzungen prüfen.
3. SSO-, MFA-, WebAuthn-, Rollen- und Netzwerkrichtlinien anhand der Protokolle unterscheiden.
4. Bei Webdiensten Proxyverbindung, Backendstatus, Header, Weiterleitung und Zeitüberschreitung kontrollieren.
5. Bei SSH Authority, Zertifikatslaufzeit, Principal, Bastion, Hostzertifikat und Zielhostprotokoll prüfen.
6. Ursache und Korrektur mit einem reproduzierbaren Positiv- und Negativtest abschließen.

Praxisübung

Vier vorbereitete Störungen – falsches DNS, SSO-Gruppenfehler, nicht erreichbares Backend und falscher SSH-Principal – werden schichtweise diagnostiziert.

Praxislabor

Eine private Linux-Zone wird ausschließlich über Bastion erreichbar gemacht. Benutzer- und Host-CA, kurzlebiges Zertifikat, Rollen, Principals und strikte Hostprüfung werden eingerichtet. Abgelaufenes Zertifikat, falscher Principal, falscher Host und Bastionausfall werden als getrennte Fehlerbilder geprüft.

Methodik

Architektur, geführter CA- und Hostaufbau, Clientkonfiguration, Bastionlabor und gezielte Sicherheits-Negativtests. Alle Vertrauensanker, Laufzeiten, Rollen und Notfallwege werden dokumentiert.