Seminar SonicWall Intensivseminar: Firewall, Security Services, VPN und Hochverfügbarkeit

Dieses Intensivseminar bündelt die vollständige Firewall-Kernadministration mit Sicherheitsdiensten, TLS-Inspektion, Identität, Standort- und Fernzugriff, Hochverfügbarkeit, Härtung und Diagnose. Das Labornetz wird über fünf Tage schrittweise aufgebaut und in Ausfall- sowie Sicherheitsfällen geprüft.

Inhaltsverzeichnis

1. Kompetenzziele
2. Zielgruppe und Vorkenntnisse
3. Lernblock 1: Plattformarchitektur, SonicOS 8 und Lizenzmodell
4. Lernblock 2: Grundkonfiguration und sichere Administration
5. Lernblock 3: Interfaces, Zonen und Sicherheitsgrenzen
6. Lernblock 4: VLANs und Netzwerksegmentierung
7. Lernblock 5: Routing, Pfadauswahl und Erreichbarkeit
8. Lernblock 6: NAT-Richtlinien systematisch entwickeln
9. Lernblock 7: Zugriffsregeln nach dem Minimalprinzip
10. Lernblock 8: Intrusion Prevention, Malware-Schutz und Sicherheitsprofile
11. Lernblock 9: Anwendungssteuerung und Inhaltsfilterung
12. Lernblock 10: TLS-Inspektion, Zertifikate und Ausnahmen
13. Lernblock 11: Benutzeridentität, Verzeichnisdienste und Rollen
14. Lernblock 12: IKE, IPsec und kryptografische Grundlagen
15. Lernblock 13: Site-to-Site-VPN konfigurieren
16. Lernblock 14: IPsec-VPN überwachen und entstören
17. Lernblock 15: Remote-Access-Architektur und Clientauswahl
18. Lernblock 16: SSL-VPN und Zugriffsrichtlinien konfigurieren
19. Lernblock 17: SAML, Mehrfaktorauthentisierung und Zertifikatsvertrauen
20. Lernblock 18: Hochverfügbarkeitsdesign und Voraussetzungen
21. Lernblock 19: HA-Konfiguration und Zustandssynchronisation
22. Lernblock 20: Failover-Tests, Wartung und Fehlerbehebung
23. Lernblock 21: Firewall-Härtung und administrative Schutzmaßnahmen
24. Lernblock 22: Paketmonitor, Verbindungen und Diagnoseinformationen
25. Lernblock 23: Abschließende Praxiswerkstatt
26. Einordnung in den Lernpfad

Kompetenzziele

• Architektur und Abhängigkeiten des Lernpfads Intensiv fachlich einordnen.
• Konfigurationen aus einem dokumentierten Sollzustand in nachvollziehbaren Schritten umsetzen.
• Wirksamkeit durch Positiv-, Negativ-, Ausfall- und Fehlerfalltests belegen.
• Betrieb, Änderung, Sicherung und Diagnose in wiederholbare Verfahren überführen.

Zielgruppe

Netzwerk- und Security-Administratoren, System Engineers und technische Betreiber mit umfassender Firewall-Verantwortung.

Vorkenntnisse

Solide TCP/IP-, Routing- und VLAN-Kenntnisse; praktische Firewall-Erfahrung ist vorteilhaft.

Lernblock 1: Plattformarchitektur, SonicOS 8 und Lizenzmodell

Die technische Einordnung schafft eine belastbare Grundlage für alle folgenden Konfigurationsschritte.

1. Firewall-Modelle, virtuelle Varianten und typische Einsatzgrenzen nach Standortgröße und Datenverkehr einordnen.
2. Management-, Daten- und Sicherheitsebene voneinander abgrenzen und ihre Abhängigkeiten dokumentieren.
3. SonicOS-Version, Firmwarestand, registrierte Dienste und Laufzeiten in einer Bestandsübersicht erfassen.
4. Lizenzierte Sicherheitsdienste den vorgesehenen Schutzfunktionen und den betroffenen Datenpfaden zuordnen.
5. Eine Zielarchitektur mit Verantwortlichkeiten, Administrationswegen und Freigabeprozess festlegen.

Praxisübung: Bestandsaufnahme einer bereitgestellten Appliance oder Laborinstanz und Erstellung eines kompakten Architekturblatts.

Lernblock 2: Grundkonfiguration und sichere Administration

Die Basiskonfiguration wird so aufgebaut, dass spätere Änderungen nachvollziehbar und risikoarm erfolgen.

1. Managementzugang über ein dediziertes Netz oder eine klar begrenzte Verwaltungszone planen.
2. Gerätenamen, Zeitzone, DNS, NTP und Benachrichtigungsparameter konsistent konfigurieren.
3. Administrative Konten nach Rollen trennen und nicht benötigte Standardzugänge deaktivieren.
4. Zugriffsprotokolle, erlaubte Quellnetze und Sitzungsgrenzen für die Verwaltung einschränken.
5. Ausgangskonfiguration sichern, Prüfsumme und Ablageort protokollieren und einen Rückweg definieren.

Praxisübung: Einrichtung eines gehärteten Managementzugangs einschließlich Rollenprüfung und Konfigurationssicherung.

Lernblock 3: Interfaces, Zonen und Sicherheitsgrenzen

Interfaces und Zonen bilden das technische Gerüst für Regeln, NAT, VPN und Sicherheitsdienste.

1. Physische und logische Interfaces anhand des Netzplans eindeutig benennen und adressieren.
2. Zonen nach Schutzbedarf statt nur nach technischer Topologie definieren.
3. Managementdienste je Interface auf das notwendige Minimum reduzieren.
4. Interzonen-Kommunikation als explizite Datenflussmatrix erfassen.
5. Konnektivität schrittweise mit Gateway-, ARP- und Erreichbarkeitstests prüfen.

Praxisübung: Aufbau einer mehrzonigen Laborstruktur mit LAN, DMZ, WAN und Managementsegment.

Lernblock 4: VLANs und Netzwerksegmentierung

Segmentierung begrenzt Ausbreitungswege und vereinfacht die Durchsetzung unterschiedlicher Schutzprofile.

1. VLAN-Bedarf aus Rollen, Anwendungen, Standorten und Schutzklassen ableiten.
2. VLAN-Subinterfaces mit eindeutiger Kennzeichnung, Tag und Adressierung anlegen.
3. DHCP-, Relay- oder statische Adressierung je Segment kontrolliert bereitstellen.
4. Erlaubte Übergänge zwischen Segmenten mit einem Minimalprinzip festlegen.
5. Segmentgrenzen durch Positiv- und Negativtests sowie Protokollauswertung verifizieren.

Praxisübung: Einrichtung von Benutzer-, Server- und Gastsegmenten einschließlich kontrollierter Übergänge.

Lernblock 5: Routing, Pfadauswahl und Erreichbarkeit

Eine nachvollziehbare Routingstruktur verhindert asymmetrische Pfade und erleichtert die Fehleranalyse.

1. Direkt verbundene, statische und dynamisch gelernte Routen in einer Pfadübersicht zusammenführen.
2. Metriken, Prioritäten und Fallback-Pfade für jede relevante Zielgruppe festlegen.
3. Policy-basierte Routen nur für klar begründete Sonderfälle definieren.
4. Rückwege und mögliche Asymmetrien bereits vor der Regelprüfung kontrollieren.
5. Routingentscheidungen mit Diagnosewerkzeugen und gezielten Testpaketen nachvollziehen.

Praxisübung: Erstellung einer redundanten Pfadsteuerung und Prüfung des Rückwegs für mehrere Zielnetze.

Lernblock 6: NAT-Richtlinien systematisch entwickeln

NAT wird getrennt von Zugriffsregeln geplant, damit Adressumsetzung und Berechtigung eindeutig bleiben.

1. Quell-, Ziel-, Dienst- und Interfacebezug jedes Datenflusses vor der Umsetzung erfassen.
2. Original- und übersetzte Objekte mit konsistentem Namensschema anlegen.
3. Ausgehende, eingehende und ausgenommene Datenflüsse getrennt modellieren.
4. Regelreihenfolge auf Überschneidungen und unbeabsichtigte Schattenregeln prüfen.
5. Umsetzung mit Paketmonitor, Verbindungsübersicht und Gegenstellenprotokoll validieren.

Praxisübung: Konfiguration von Source NAT, veröffentlichtem Dienst und einer gezielten NAT-Ausnahme.

Lernblock 7: Zugriffsregeln nach dem Minimalprinzip

Regeln werden aus dokumentierten Geschäftsanforderungen abgeleitet und technisch eng begrenzt.

1. Anforderung in Quelle, Ziel, Dienst, Benutzerbezug, Zeitfenster und Schutzprofil zerlegen.
2. Wiederverwendbare Adress- und Dienstobjekte mit eindeutigen Namen erstellen.
3. Spezifische Freigaben vor allgemeinen Regeln positionieren und implizite Abhängigkeiten vermeiden.
4. Protokollierung und Kommentar so setzen, dass Zweck und Genehmigung später erkennbar bleiben.
5. Regel mit erlaubten und ausdrücklich unerlaubten Testfällen prüfen und das Ergebnis dokumentieren.

Praxisübung: Umsetzung einer abgestuften Regelbasis für Benutzer, Server, Administration und Gastzugriffe.

Lernblock 8: Intrusion Prevention, Malware-Schutz und Sicherheitsprofile

Die Sicherheitsdienste werden risikobasiert aktiviert, abgestimmt und in kontrollierten Schritten ausgerollt.

1. Verfügbare Schutzdienste, Signaturstatus und Lizenzlaufzeiten kontrollieren.
2. Schutzprofile nach Datenfluss und Kritikalität statt als pauschale Globaleinstellung entwickeln.
3. Erkennungs- und Blockiermodus zunächst für ausgewählte Verkehrsgruppen festlegen.
4. Ausnahmen nur mit konkreter Begründung, begrenztem Geltungsbereich und Ablaufdatum erstellen.
5. Treffer, Fehlalarme und Leistungswerte regelmäßig auswerten und Profile nachschärfen.

Praxisübung: Aktivierung eines abgestuften Schutzprofils und Auswertung kontrollierter Testereignisse.

Lernblock 9: Anwendungssteuerung und Inhaltsfilterung

Anwendungen und Webkategorien werden anhand betrieblicher Rollen und nicht allein anhand von Ports gesteuert.

1. Nutzungsanforderungen und verbotene Anwendungsklassen je Benutzergruppe aufnehmen.
2. Anwendungs- und Inhaltskategorien in abgestufte Richtlinien überführen.
3. Identitätsbezug, Zeitpläne und Bandbreitenvorgaben in die Richtlinie einarbeiten.
4. Warnen, protokollieren und blockieren als getrennte Einführungsstufen planen.
5. Trefferlisten prüfen und begründete Ausnahmen mit Eigentümer und Ablaufdatum verwalten.

Praxisübung: Erstellung einer rollenbasierten Richtlinie für Webzugriffe und ausgewählte Anwendungsklassen.

Lernblock 10: TLS-Inspektion, Zertifikate und Ausnahmen

Verschlüsselter Datenverkehr wird kontrolliert geprüft, ohne Vertrauensketten oder sensible Prozesse unnötig zu beeinträchtigen.

1. Inspektionsbedarf, rechtliche Rahmenbedingungen und technisch nicht prüfbare Anwendungen erfassen.
2. Interne Zertifizierungsstelle, Vertrauenskette und Verteilung des Inspektionszertifikats vorbereiten.
3. Ein- und ausgehende Inspektionsrichtlinien mit klaren Quell- und Zielgruppen definieren.
4. Ausnahmen für technisch oder organisatorisch begründete Ziele minimal und nachvollziehbar anlegen.
5. Handshake, Zertifikatspfad, Anwendungskompatibilität und Protokollierung systematisch testen.

Praxisübung: Einrichtung einer begrenzten ausgehenden TLS-Inspektion einschließlich Zertifikats- und Ausnahmetest.

Lernblock 11: Benutzeridentität, Verzeichnisdienste und Rollen

Identitätsbasierte Regeln verbinden technische Datenflüsse mit nachvollziehbaren Benutzer- und Gruppenrechten.

1. Verzeichnisstruktur, Gruppenmodell und benötigte Attribute vor der Anbindung erfassen.
2. LDAP- oder vergleichbare Verzeichnisanbindung mit einem minimal berechtigten Dienstkonto konfigurieren.
3. Gruppenauflösung, Zeitabweichung, Namensauflösung und Zertifikatsvertrauen kontrollieren.
4. Benutzer- und Gruppenobjekte den vorgesehenen Zugriffsregeln zuordnen.
5. Anmeldung, Gruppenwechsel, Fehlerfall und Protokollierung mit Testkonten prüfen.

Praxisübung: Anbindung eines Laborverzeichnisses und Umsetzung einer gruppenabhängigen Zugriffsregel.

Lernblock 12: IKE, IPsec und kryptografische Grundlagen

Ein gemeinsames Verständnis der Aushandlungsphasen verhindert widersprüchliche Parameter an den Gegenstellen.

1. Authentisierung, Schlüsselaustausch und Datenverschlüsselung den jeweiligen Aushandlungsphasen zuordnen.
2. Algorithmen, Schlüssellängen, Lebenszeiten und Perfect Forward Secrecy nach Sicherheitsvorgabe auswählen.
3. Pre-Shared Keys und Zertifikate hinsichtlich Betrieb, Wechsel und Skalierbarkeit vergleichen.
4. Lokale und entfernte Netze sowie mögliche Adressüberschneidungen vollständig erfassen.
5. NAT-Traversal, Dead Peer Detection und Wiederaufbauverhalten für den Einsatzfall festlegen.

Praxisübung: Ableitung eines kompatiblen und gehärteten Vorschlagssatzes für zwei vorgegebene Gegenstellen.

Lernblock 13: Site-to-Site-VPN konfigurieren

Der Tunnel wird zusammen mit Routing, NAT-Ausnahmen und Zugriffsregeln als vollständiger Datenpfad umgesetzt.

1. VPN-Typ und Adressierungsmodell anhand der Routing- und Redundanzanforderung auswählen.
2. Lokale und entfernte Gateways, Identitäten und Vorschläge konsistent konfigurieren.
3. Netzdefinitionen oder Tunnelinterfaces anlegen und erforderliche Routen ergänzen.
4. NAT-Ausnahmen und Zugriffsregeln für beide Richtungen explizit umsetzen.
5. Tunnelaufbau, Nutzdatenverkehr, Rückweg und Wiederaufbau mit kontrollierten Tests prüfen.

Praxisübung: Aufbau eines standortübergreifenden Tunnels mit bidirektionalem Test und dokumentierter Regelabhängigkeit.

Lernblock 14: IPsec-VPN überwachen und entstören

Aushandlungsfehler und Nutzdatenprobleme werden getrennt untersucht, damit die Ursache nicht verdeckt wird.

1. Tunnelstatus und Zeitstempel kontrollieren und zwischen IKE- und IPsec-Problem unterscheiden.
2. Identitäten, Vorschläge, Lebenszeiten und Authentisierungsdaten beider Seiten abgleichen.
3. Selektoren, Routen, NAT-Ausnahmen und Regeln für den Nutzdatenpfad prüfen.
4. Protokolle und Paketaufzeichnung zeitlich korrelieren und die erste Abweichung identifizieren.
5. Korrektur einzeln umsetzen, Tunnel neu aushandeln und beide Richtungen erneut testen.

Praxisübung: Diagnose mehrerer vorbereiteter Fehlerbilder von der Phase-1-Störung bis zum fehlenden Rückweg.

Lernblock 15: Remote-Access-Architektur und Clientauswahl

Fernzugriff wird nach Anwendung, Endgerät, Identität und notwendiger Netzreichweite gestaltet.

1. Anwendungsfälle in Webzugriff, vollständigen Netzwerktunnel und administrativen Sonderzugriff gliedern.
2. Geeigneten Client- oder Portalzugang für Betriebssysteme und Geräteeigentum festlegen.
3. Adresspools, DNS, Routen, Split-Tunneling und erreichbare Zielnetze planen.
4. Benutzergruppen, Geräteanforderungen und Freigabezeiten in einer Zugriffsmatrix dokumentieren.
5. Kapazität, Zertifikate, Supportweg und Notfallzugang in das Betriebsmodell aufnehmen.

Praxisübung: Entwurf eines Remote-Access-Konzepts für interne Geräte, externe Partner und Administration.

Lernblock 16: SSL-VPN und Zugriffsrichtlinien konfigurieren

Der Fernzugriff wird mit klaren Benutzerrechten und begrenzten Zielnetzen in Betrieb genommen.

1. SSL-VPN-Bereich, Adresspool, DNS und Clientrouten ohne Überschneidungen konfigurieren.
2. Benutzer oder Verzeichnisgruppen den vorgesehenen Diensten und Zielnetzen zuordnen.
3. Firewallregeln für den Verkehr aus der SSL-VPN-Zone minimal freigeben.
4. Clientprofil, Verbindungsparameter und Zertifikatsprüfung für die unterstützten Plattformen festlegen.
5. Anmeldung, Adressvergabe, Namensauflösung, Zielzugriff und Abmeldung vollständig testen.

Praxisübung: Einrichtung eines gruppenbasierten Fernzugriffs mit unterschiedlichem Zielumfang.

Lernblock 17: SAML, Mehrfaktorauthentisierung und Zertifikatsvertrauen

Föderierte Anmeldung wird als vollständige Vertrauenskette zwischen Dienst, Identitätsanbieter und Benutzer geprüft.

1. Entitäten, Rücksprungadressen, Zertifikate und benötigte Attribute vor der Konfiguration erfassen.
2. Dienstanbieter- und Identitätsanbieterparameter wechselseitig und ohne manuelle Abweichungen hinterlegen.
3. Gruppen- oder Rollenattribute eindeutig den lokalen Berechtigungen zuordnen.
4. Mehrfaktorauthentisierung und Ausnahmeregeln nach Schutzbedarf festlegen.
5. Erfolgsfall, abgelaufenes Zertifikat, fehlendes Attribut und Zeitabweichung kontrolliert testen.

Praxisübung: Anbindung eines Labor-Identitätsanbieters einschließlich Gruppenmapping und MFA-Testfällen.

Lernblock 18: Hochverfügbarkeitsdesign und Voraussetzungen

Ein belastbares HA-Konzept beginnt mit identischen Plattformen, klarer Verkabelung und definierten Fehlerfällen.

1. Kompatibilität von Modellen, Firmware, Lizenzen und Schnittstellenbelegung beider Systeme prüfen.
2. Primär-, Sekundär-, Steuerungs- und gegebenenfalls Überwachungsverbindungen im Netzplan kennzeichnen.
3. Gemeinsame virtuelle Adressen, Managementadressen und Abhängigkeiten zu Switches und Providern festlegen.
4. Zu überwachende Interfaces, Ziele und Ausfallkriterien nach Geschäftsrelevanz auswählen.
5. Failover-, Wartungs- und Split-Brain-Szenarien mit erwarteter Reaktion dokumentieren.

Praxisübung: Erstellung eines HA-Anschluss- und Testplans für eine zweigliedrige Firewall-Umgebung.

Lernblock 19: HA-Konfiguration und Zustandssynchronisation

Die Paarbildung wird kontrolliert aufgebaut und vor Produktivverkehr vollständig verifiziert.

1. Ausgangskonfigurationen sichern und beide Systeme auf einen kompatiblen Softwarestand bringen.
2. HA-Rollen, Partnerkennung und dedizierte Steuerungsverbindung konfigurieren.
3. Synchronisation der Konfiguration und, soweit vorgesehen, der Verbindungszustände aktivieren.
4. Status, Serienzuordnung, Lizenzübernahme und Konfigurationsgleichheit auf beiden Knoten prüfen.
5. Managementzugriff auf aktiven und passiven Knoten getrennt testen und dokumentieren.

Praxisübung: Aufbau eines HA-Paars im Labor einschließlich Synchronisations- und Rollenprüfung.

Lernblock 20: Failover-Tests, Wartung und Fehlerbehebung

Geplante Umschaltungen müssen dieselben Prüfungen bestehen wie echte Ausfälle.

1. Messpunkte für Paketverlust, Sitzungsfortbestand, VPN-Verhalten und Wiederanlaufzeit festlegen.
2. Manuelle Umschaltung auslösen und Statusänderung auf beiden Knoten beobachten.
3. Interface-, Pfad-, Strom- und Gerätausfall nacheinander kontrolliert simulieren.
4. Ungeplantes Zurückschalten vermeiden und Wiederaufnahme des Normalbetriebs bewusst steuern.
5. Abweichungen anhand von HA-Status, Ereignisprotokollen und Verkabelung systematisch eingrenzen.

Praxisübung: Durchführung einer abgestuften Failover-Matrix mit dokumentierten Messwerten und Rückkehr zum Sollzustand.

Lernblock 21: Firewall-Härtung und administrative Schutzmaßnahmen

Die Härtung reduziert Angriffsfläche und Fehlkonfigurationen, ohne den geregelten Betrieb zu behindern.

1. Nicht benötigte Dienste, Interfaces, Regeln, Objekte und Administrationswege identifizieren.
2. Managementzugriff auf vertrauenswürdige Netze, starke Authentisierung und getrennte Rollen begrenzen.
3. Unsichere Protokolle, schwache kryptografische Verfahren und veraltete Gegenstellen beseitigen.
4. Regelwerk, Sicherheitsprofile und Ausnahmen auf unnötige Reichweite prüfen.
5. Härtungsstand als prüfbare Baseline dokumentieren und regelmäßige Abweichungsprüfung einplanen.

Praxisübung: Durchführung eines strukturierten Härtungschecks mit Maßnahmenliste und Priorisierung.

Lernblock 22: Paketmonitor, Verbindungen und Diagnoseinformationen

Paket- und Sitzungsdaten zeigen, an welcher Stelle ein Datenfluss zugelassen, verändert oder verworfen wird.

1. Filter aus Quelladresse, Zieladresse, Dienst, Interface und Richtung ableiten.
2. Paketaufzeichnung so begrenzen, dass relevante Daten ohne unnötige Last erfasst werden.
3. Eingang, Regelentscheidung, NAT, Routing, Sicherheitsprüfung und Ausgang nacheinander nachvollziehen.
4. Drop-Codes, Verbindungszustände und zugehörige Protokolle miteinander korrelieren.
5. Aufzeichnung beenden, sensible Daten behandeln und aussagekräftige Befunde sichern.

Praxisübung: Analyse eines absichtlich fehlerhaften Datenflusses vom ersten Paket bis zur korrigierten Verbindung.

Lernblock 23: Abschließende Praxiswerkstatt

Die zuvor erarbeiteten Bausteine werden in einem zusammenhängenden Szenario geplant, umgesetzt und geprüft.

1. Ausgangslage, Anforderungen, Schutzbedarf und messbare Abnahmekriterien analysieren.
2. Zielkonfiguration und Arbeitsschritte mit Abhängigkeiten und Rückfallpunkten planen.
3. Konfiguration in einer nachvollziehbaren Reihenfolge umsetzen und Zwischenstände sichern.
4. Positiv-, Negativ-, Ausfall- und Wiederherstellungstests durchführen.
5. Ergebnis, Abweichungen, Betriebsübergabe und offene Maßnahmen dokumentieren.

Praxisübung: Durchgängige Umsetzung eines Szenarios mit technischer Abnahme und Betriebsübergabe.

Einordnung in den Lernpfad

Der Kurs gehört zum Lernpfad Intensiv. Die angesetzte Dauer von 5 Tagen folgt aus Umfang, Abhängigkeiten und notwendigem Praxisanteil. Für den produktiven Einsatz werden die erarbeiteten Checklisten, Testfälle und Betriebsnachweise als wiederverwendbare Arbeitsgrundlage geführt.