Seminar IPFire – WireGuard VPN

Inhaltsverzeichnis

• Einordnung und Lernziel
• Lernziele
• Zielgruppe
• Voraussetzungen
• Schrittweises Fachprogramm
• Praxisübungen
• Methodik

Einordnung und Lernziel

WireGuard bietet ein schlankes VPN-Modell mit öffentlichen Schlüsseln und klaren Peer-Beziehungen. Dieses Seminar zeigt die sichere Umsetzung in IPFire für Fernzugriff und überschaubare Netzkopplungen, ohne Routing und Berechtigungen in der Peer-Konfiguration zu vermischen.

Peers, Tunneladressen, erlaubte Netze, Schlüsselwechsel, Firewall-Regeln und Tests werden als vollständiger Lebenszyklus behandelt. Typische Fehler durch überbreite Allowed-IPs, fehlende Rückwege oder falsche Endpunkte werden praktisch analysiert.

Lernziele

• WireGuard-Architektur, Peer-Modell und Einsatzgrenzen verstehen
• Tunnelnetz, Schlüssel und erlaubte Netze sicher planen
• Peers in IPFire und auf Endgeräten einrichten
• Routing und Firewall-Berechtigungen getrennt und minimal konfigurieren
• Verbindungs-, Handshake- und Datenpfadfehler systematisch beheben

Zielgruppe

Netzwerk- und Firewall-Administration, IT-Security, Clientmanagement und technische Projektteams für moderne VPN-Zugänge.

Voraussetzungen

Gute IPv4-, Routing- und Firewall-Kenntnisse sowie grundlegende IPFire-Administration.

Schrittweises Fachprogramm

1. Schritt 1: Einsatzszenario auswählen
   Fernzugriff, Host-zu-Netz oder Netzkopplung werden voneinander abgegrenzt. Nutzer, Geräte, erreichbare Ziele und Verantwortlichkeiten werden festgelegt.
2. Schritt 2: Tunneladressierung planen
   Ein eigenes, konfliktfreies Tunnelnetz und eindeutige Peer-Adressen werden definiert. Überschneidungen mit lokalen, entfernten und VPN-Netzen werden ausgeschlossen.
3. Schritt 3: Schlüssel sicher erzeugen und zuordnen
   Private und öffentliche Schlüssel werden getrennt behandelt. Eigentümer, Gerät, Ausgabe, Ersatz und Widerruf werden dokumentiert.
4. Schritt 4: WireGuard-Instanz konfigurieren
   Lauschport, Tunnelnetz und lokale Parameter werden in IPFire eingerichtet. Öffentliche Erreichbarkeit und notwendige Eingangsregel werden begrenzt geprüft.
5. Schritt 5: Peer anlegen
   Öffentlicher Schlüssel, Tunneladresse, Endpunkt und erlaubte Netze werden minimal eingetragen. Breite Standardpräfixe werden nur bei begründetem Volltunnelbedarf verwendet.
6. Schritt 6: Firewall und Routing ergänzen
   Erreichbare interne Ziele werden über separate Regeln begrenzt. Für Netzkopplungen werden Rückwege auf beiden Seiten geprüft.
7. Schritt 7: Verbindung testen
   Handshake, Tunneladresse, Zielerreichbarkeit, DNS, erlaubte und blockierte Dienste sowie Verhalten nach Netzwechsel werden kontrolliert.
8. Schritt 8: Fehler und Schlüsselwechsel bearbeiten
   Falsche Schlüssel, Endpunkte, Ports, Allowed-IPs, Uhrzeit, Rückwege und Firewall-Blockaden werden mit einer festen Prüfkette analysiert. Ein Peer wird kontrolliert ersetzt.

Praxisübungen

• Planen eines konfliktfreien WireGuard-Tunnelnetzes
• Einrichten eines Fernzugriffs-Peers mit minimalen Berechtigungen
• Aufbauen einer kleinen Netzkopplung mit korrektem Rückweg
• Diagnostizieren von Handshake-, Routing- und Allowed-IPs-Fehlern

Methodik

Ein Peer wird vollständig von der Planung bis zum Schlüsselwechsel betrieben. Kleine, gezielte Fehlkonfigurationen zeigen die Trennung zwischen Handshake, Tunnelrouting und Firewall-Berechtigung. Alle Tests enthalten erlaubte und gesperrte Ziele.