Seminar Endian UTM – VPN mit OpenVPN und IPsec

Das dreitägige Seminar behandelt Remote Access und Standortkopplung mit OpenVPN, IPsec und L2TP. Zertifikate, kryptografische Profile, Benutzer, Tunnelnetze, Routen, Firewall und NAT werden als zusammenhängender Kommunikationspfad konfiguriert. Neben dem Aufbau stehen Rekeying, Leitungswechsel, Widerruf, Fehlkonfiguration und systematische Diagnose im Mittelpunkt.

Inhaltsübersicht

• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Lernziele

• VPN-Verfahren passend zum Anwendungsfall auswählen
• Zertifikate und sichere kryptografische Profile vorbereiten
• OpenVPN für Remote Access und Gateway-zu-Gateway konfigurieren
• IPsec-Site-to-Site und Remote Access umsetzen
• Routing, Firewall, Failover und Fehleranalyse beherrschen

Zielgruppe

Netzwerk- und Security-Administration, Remote-Access-Betrieb und technische Consultants

Voraussetzungen

Gute TCP/IP-, Routing- und Firewallkenntnisse; sichere UTM-Grundlagen; für Standortkopplung eine zweite Gegenstelle oder vorbereitete Laborumgebung

Seminarinhalte

Modul 1: VPN-Architektur und Vertrauensmodell planen

1. Standorte, mobile Benutzer, Netze, Adressüberschneidungen und Schutzbedarf erfassen.
2. OpenVPN, IPsec, L2TP und VPN-Portal nach Anwendungsfall und Endgerät abgrenzen.
3. Authentifizierung, Zertifikate, Verschlüsselung, Routing und Firewall als Gesamtpfad modellieren.
4. Betriebs-, Support- und Widerrufsprozesse für Zugänge festlegen.

Modul 2: Zertifikate und kryptografische Profile vorbereiten

1. Interne oder externe Zertifizierungsstelle und Zertifikatslaufzeiten bestimmen.
2. Server-, Client- und Gegenstellenzertifikate sicher erzeugen oder importieren.
3. Algorithmen, Hashverfahren, Diffie-Hellman-Gruppen und Perfect Forward Secrecy angemessen auswählen.
4. Erneuerung, Sperrung und Kompromittierung mit dokumentierten Abläufen abdecken.

Modul 3: OpenVPN-Serverinstanzen konfigurieren

1. Gerouteten oder gebrückten Betrieb, Adresspool und erreichbare Netze festlegen.
2. Serverinstanz, Port, Protokoll, Zertifikate und Authentifizierung konfigurieren.
3. DNS, Routen, Domänensuffixe und Client-zu-Client-Kommunikation gezielt steuern.
4. Konfiguration mit mehreren Benutzer- und Netzwerkprofilen testen.

Modul 4: OpenVPN-Remote-Access bereitstellen

1. Benutzer und Gruppen mit minimalen Zugriffsrechten zuordnen.
2. Clientpakete sicher bereitstellen und Endgeräte kontrolliert konfigurieren.
3. Anmeldung, Tunnelaufbau, DNS und Zugriff auf erlaubte Ressourcen prüfen.
4. Sperrung, Zertifikatswiderruf und verlorene Endgeräte als Notfallfall testen.

Modul 5: OpenVPN-Gateway-zu-Gateway-Verbindungen aufbauen

1. Lokale und entfernte Netze, Tunnelendpunkte und Überschneidungen erfassen.
2. Clientverbindung mit Pre-Shared Key, Zertifikat oder kombinierter Authentifizierung konfigurieren.
3. Routen, Firewall und gegenseitige Erreichbarkeit schrittweise freigeben.
4. Neustart, Leitungswechsel und Wiederverbindung reproduzierbar testen.

Modul 6: IPsec-Site-to-Site konfigurieren

1. IKE-Version, Authentifizierung, lokale und entfernte Netze sowie Peer-Adressen abstimmen.
2. Phase-1- und Phase-2-Profile mit sicheren, kompatiblen Parametern einrichten.
3. NAT-Traversal, Dead Peer Detection und Perfect Forward Secrecy passend konfigurieren.
4. Aushandlung, Tunnelstatus und bidirektionale Kommunikation mit der Gegenstelle prüfen.

Modul 7: IPsec- und L2TP-Remote-Access umsetzen

1. Unterstützte Endgeräte, Benutzergruppen und Authentifizierungsverfahren festlegen.
2. Roadwarrior-Verbindung mit XAuth, L2TP oder geeignetem IPsec-Profil konfigurieren.
3. Adressvergabe, DNS, Routen und Zugriffsregeln auf den erforderlichen Umfang beschränken.
4. Anmeldung und Abweisung mit unterschiedlichen Benutzerzuständen testen.

Modul 8: VPN-Routing, Firewall und NAT abstimmen

1. Tunnelnetze und VPN-Objekte eindeutig in die Kommunikationsmatrix aufnehmen.
2. VPN-Firewallregeln nach Benutzergruppe, Tunnel oder Gegenstelle konfigurieren.
3. NAT nur bei begründetem Bedarf einsetzen und Rückwege vollständig prüfen.
4. Seitwärtsbewegung, unerlaubte Client-Kommunikation und alternative Pfade mit Negativtests ausschließen.

Modul 9: VPN-Betrieb und Failover testen

1. Tunnelaufbau, Rekeying, Abbruch und automatische Wiederverbindung beobachten.
2. Uplink-Ausfall und Rückkehr mit bestehenden sowie neuen Sitzungen testen.
3. Zertifikatsablauf, falsche Zeit, gesperrte Benutzer und fehlerhafte Routen simulieren.
4. Monitoring, Alarmierung und standardisierte Fehleranalyse für den Regelbetrieb festlegen.

Modul 10: VPN-Verbindungen diagnostizieren

1. Erreichbarkeit, Zeit, Zertifikate, Benutzerstatus und vorgeschaltete Firewall prüfen.
2. Aushandlung, Authentifizierung, Tunnelaufbau und Routenzuweisung getrennt bewerten.
3. VPN-Firewall, NAT, DNS und Rückwege nach erfolgreichem Tunnelaufbau kontrollieren.
4. Fehler mit Client-, Server- und Gegenstellenprotokollen zeitlich korrelieren.

Praxisübungen

• Aufbau eines OpenVPN-Remote-Access mit Gruppenrechten
• Konfiguration einer OpenVPN-Gateway-zu-Gateway-Verbindung
• Einrichtung eines IPsec-Site-to-Site-Tunnels mit sicheren Profilen
• Prüfung von VPN-Firewall, DNS, Routen und NAT
• Simulation von Zertifikats-, Uplink- und Aushandlungsfehlern

Methodik

Fachliche Einordnung, nachvollziehbare Demonstrationen, schrittweise Konfiguration, praktische Übungen am System, Positiv- und Negativtests, strukturierte Fehleranalyse sowie dokumentierte Abnahme der erarbeiteten Konfiguration.