Seminar Firezone – Gateways bereitstellen und härten

Sizing, Site-Design, Linux, systemd, Docker, NixOS, Enrollment, Routing, DNS, Firewall, Hochverfügbarkeit, Härtung, Updates und Lasttests werden praktisch umgesetzt.

Das viertägige Format verbindet fachliche Planung, geführte Konfiguration, Sicherheitsprüfung und Betriebsübergabe. Jeder Arbeitsschritt erhält einen messbaren Prüfpunkt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Ausgangslage, Schutzbedarf und technische Abhängigkeiten vollständig erfassen
• Firezone-Komponenten und Konfigurationen reproduzierbar planen und umsetzen
• Least Privilege, sichere Geheimnisverwaltung und klare Verantwortlichkeiten anwenden
• Positiv-, Negativ-, Ausfall- und Änderungsfälle systematisch prüfen
• Ergebnisse in eine belastbare Architektur- und Betriebsdokumentation überführen

Zielgruppe

Linux-, Netzwerk-, Cloud- und Firezone-Administration, DevOps, Plattformbetrieb und Informationssicherheit.

Voraussetzungen

Gute Linux-, Routing-, DNS- und Firewallkenntnisse; Grundkenntnisse zu systemd und Containern.

Seminarinhalte

1. Schritt 1: Anforderungen
   Ressourcen, Bandbreite, Clientzahl, Latenz, Ausfallziele und Sicherheitszonen erfassen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
2. Schritt 2: Site-Design
   Gateways nahe an Ressourcen und in klaren Vertrauensgrenzen platzieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
3. Schritt 3: Sizing
   CPU, RAM, Netzwerkdurchsatz, Architektur, Reserve und horizontale Skalierung auswählen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
4. Schritt 4: Linux-Vorbereitung
   Kernel, Pakete, Firewallwerkzeuge, Zeitdienst, DNS, Dienstkonto und Rechte prüfen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
5. Schritt 5: Enrollment
   Site-Zuordnung, Tokenausgabe, sichere Übertragung und Entfernung temporärer Secrets steuern. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
6. Schritt 6: systemd
   Binary, Dienstkonto, Umgebungsdatei, Startreihenfolge, Neustart und Journaldaten einrichten. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
7. Schritt 7: Docker
   Netzwerkmodus, Capabilities, Secret-Injektion, Healthcheck und Upgradepfad konfigurieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
8. Schritt 8: NixOS und Standalone
   Deklarative und benutzerdefinierte Bereitstellung nach Supportfähigkeit bewerten. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
9. Schritt 9: Routing und DNS
   Ressourcenerreichbarkeit, Rückwege, Resolver, überlappende Netze und Ziel-Firewalls prüfen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
10. Schritt 10: Ausgehende Freigaben
    Kontrollverbindung, STUN, Relay und Zielverkehr minimal dokumentieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
11. Schritt 11: Hochverfügbarkeit
    Mehrere Gateways pro Site über unabhängige Fehlerdomänen verteilen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
12. Schritt 12: Härtung
    Minimalbetriebssystem, Patches, SSH, Dienstkonto, Dateirechte, Secrets und Logs absichern. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
13. Schritt 13: Updates
    Rollierende Aktualisierung, Pilotknoten, Abbruchkriterien und Wiederherstellung planen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
14. Schritt 14: Leistungstest
    Durchsatz, CPU, Latenz, gleichzeitige Verbindungen, Ausfall und Relay-Fallback messen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
15. Schritt 15: Betriebsübergabe
    Inventar, Eigentümer, Version, Site, Alarmierung, Diagnose und Notfallverfahren abschließen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.

Praxisübungen

1. Anforderungen anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
2. Linux-Vorbereitung anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
3. Docker anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
4. Ausgehende Freigaben anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
5. Updates anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.

Methodik

Fachliche Einordnung, Live-Demonstrationen, geführte Konfiguration, strukturierte Laboraufgaben und gemeinsame Auswertung werden kombiniert. Fehler werden nicht nur korrigiert, sondern ihrer Ursache in Identität, Policy, DNS, Netzwerk, Gateway, Client oder Zielressource zugeordnet.