Seminar NCP VS GovNet – Server Advanced Administration

Komplexe Behörden- und Unternehmensnetze verlangen mehr als eine funktionierende Standardkonfiguration. Die Schulung behandelt den Server als hochskalierbares VPN-Gateway mit klar getrennten Mandanten, Netzen, Identitäten und Betriebsverantwortungen.

Seminarprofil

Die Übungen bauen mehrere Domänen-Gruppen, Backend-Systeme und Gateway-Instanzen auf. Konfigurationen werden anhand von Routingtabellen, Protokollen und messbaren Tunnelzuständen geprüft.

Inhaltsübersicht

1. Kapitel 1: Erweiterte Serverarchitektur und Konfigurationsmodell
2. Kapitel 2: Routing, NAT und Stateful Firewall
3. Kapitel 3: IKEv2, IPsec und kryptografische Profile
4. Kapitel 4: Authentisierung und Zertifikatsprüfung
5. Kapitel 5: Mandantenfähigkeit und Ressourcensteuerung
6. Kapitel 6: Load Balancing, Tunnelweiterleitung und Skalierung
7. Kapitel 7: DDNS, Erreichbarkeit und mobile Endpunkte
8. Kapitel 8: Monitoring, Statistik und externe Protokollierung
9. Kapitel 9: Performance- und Fehleranalyse

Zielsetzung

Ziel ist die sichere Administration komplexer Serverkonfigurationen einschließlich Segmentierung, Skalierung, Hochverfügbarkeit und tiefgehender Fehleranalyse.

Zielgruppe

Erfahrene VPN-, Netzwerk- und Security-Administratoren sowie technische Architekten.

Voraussetzungen

Sichere Administration des NCP VS GovNet Servers oder Teilnahme am Grundseminar. Sehr gute Kenntnisse in TCP/IP, Routing, NAT, Firewalling, IPsec/IKEv2, PKI und Verzeichnisdiensten.

Kapitel 1: Erweiterte Serverarchitektur und Konfigurationsmodell

Inhaltsverzeichnis des Kapitels

• Daten- und Managementpfade
• Domänen-Gruppen
• Konfigurationsobjekte
• Änderungs- und Rückfallstrategie

Schritt-für-Schritt-Anleitung

1. Schritt 1: Komplexe Datenflüsse werden nach Mandant, Zielnetz und Authentisierung getrennt modelliert.
2. Schritt 2: Domänen-Gruppen erhalten eindeutige Zuständigkeiten und Adressbereiche.
3. Schritt 3: Konfigurationsobjekte werden modular und wiederverwendbar strukturiert.
4. Schritt 4: Änderungen werden mit Abhängigkeiten, Pilot und Rückfall vorbereitet.

Kapitel 2: Routing, NAT und Stateful Firewall

Inhaltsverzeichnis des Kapitels

• Statische und dynamische Pfade
• IP-Pools und Rückrouten
• NAT-Traversal und NAT
• Port- und Segmentfilter

Schritt-für-Schritt-Anleitung

1. Schritt 1: Tunnelnetze, Zielnetze und Rückwege werden in einer vollständigen Routingmatrix erfasst.
2. Schritt 2: IP-Pools werden überschneidungsfrei und mandantenspezifisch geplant.
3. Schritt 3: NAT- und NAT-Traversal-Fälle werden bewusst getrennt konfiguriert.
4. Schritt 4: Stateful-Regeln werden mit erlaubten und blockierten Verbindungen sowie asymmetrischen Pfaden getestet.

Kapitel 3: IKEv2, IPsec und kryptografische Profile

Inhaltsverzeichnis des Kapitels

• IKE- und Child-SA
• MOBIKE und Rekeying
• PFS und Algorithmen
• Fragmentierung und MTU

Schritt-für-Schritt-Anleitung

1. Schritt 1: Identitäten, Vorschläge und Lebensdauern werden pro Profil festgelegt.
2. Schritt 2: Rekeying und PFS werden unter laufender Verbindung beobachtet.
3. Schritt 3: Zulässige kryptografische Verfahren werden auf Server und Connector deckungsgleich eingestellt.
4. Schritt 4: MTU-, Fragmentierungs- und NAT-Probleme werden mit gezielten Testpaketen analysiert.

Kapitel 4: Authentisierung und Zertifikatsprüfung

Inhaltsverzeichnis des Kapitels

• Lokale Benutzer
• RADIUS, LDAP und Active Directory
• Zertifikate und PKCS#12
• CRL, CARL und OCSP

Schritt-für-Schritt-Anleitung

1. Schritt 1: Das geeignete Backend wird pro Benutzergruppe ausgewählt.
2. Schritt 2: Attribute und Gruppen werden einer eindeutigen Autorisierung zugeordnet.
3. Schritt 3: Server- und Benutzerzertifikate werden mit vollständiger Vertrauenskette bereitgestellt.
4. Schritt 4: Sperrlisten- und Online-Prüfung werden mit erreichbaren und bewusst gestörten Prüfdiensten getestet.

Kapitel 5: Mandantenfähigkeit und Ressourcensteuerung

Inhaltsverzeichnis des Kapitels

• Domänen-Gruppen
• GRE, VLAN und Tunnelweiterleitung
• Filtergruppen
• Bandbreitenbegrenzung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Mandanten werden durch Adressierung, Routing, Filter und Administration getrennt.
2. Schritt 2: Weiterleitungsvarianten werden dem jeweiligen Zielnetz und Sicherheitsmodell zugeordnet.
3. Schritt 3: Filtergruppen und IP-Pools werden ohne Überschneidung zugewiesen.
4. Schritt 4: Bandbreitenregeln werden unter Last gemessen und auf unerwünschte Wechselwirkungen geprüft.

Kapitel 6: Load Balancing, Tunnelweiterleitung und Skalierung

Inhaltsverzeichnis des Kapitels

• Mehrere Gateways
• Gesundheitsprüfung
• Lastverteilung
• Kapazitäts- und Wachstumsplanung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Gateway-Instanzen werden mit konsistenten Profilen und getrennten Fehlerdomänen aufgebaut.
2. Schritt 2: Gesundheitskriterien werden so gewählt, dass nicht nur Prozess-, sondern auch Dienstfähigkeit geprüft wird.
3. Schritt 3: Neue und bestehende Tunnel werden bei Ausfall und Wiederkehr beobachtet.
4. Schritt 4: Kapazität wird anhand Tunnelzahl, Durchsatz, CPU, Speicher und Protokollvolumen geplant.

Kapitel 7: DDNS, Erreichbarkeit und mobile Endpunkte

Inhaltsverzeichnis des Kapitels

• Dynamische Adressen
• Namensregistrierung
• MOBIKE und Medienwechsel
• Apple-indigo-Gegenstelle als Einsatzvariante

Schritt-für-Schritt-Anleitung

1. Schritt 1: Anforderungen an die Erreichbarkeit mobiler Clients werden festgelegt.
2. Schritt 2: DDNS-Aktualisierung und Namensauflösung werden mit wechselnden Adressen getestet.
3. Schritt 3: MOBIKE und Medienwechsel werden auf Tunnel- und Anwendungsebene beobachtet.
4. Schritt 4: Alternative zugelassene Endpunktklassen werden in Routing, Authentisierung und Betriebskonzept eingeordnet.

Kapitel 8: Monitoring, Statistik und externe Protokollierung

Inhaltsverzeichnis des Kapitels

• Tunnel- und Benutzerstatistik
• Syslog über UDP oder TCP
• Schwellenwerte
• Kapazitätsindikatoren

Schritt-für-Schritt-Anleitung

1. Schritt 1: Betriebsrelevante Kennzahlen und Ereignisse werden festgelegt.
2. Schritt 2: Syslog-Ziele werden mit gesichertem Netzpfad und vollständiger Zeitbasis angebunden.
3. Schritt 3: Warnschwellen werden aus Baseline und Kapazitätsplanung abgeleitet.
4. Schritt 4: Statistik und Protokolle werden zur Erkennung schleichender Engpässe korreliert.

Kapitel 9: Performance- und Fehleranalyse

Inhaltsverzeichnis des Kapitels

• IKE- und Zertifikatsfehler
• Routing und Asymmetrie
• MTU und Fragmentierung
• Last und Ressourcen

Schritt-für-Schritt-Anleitung

1. Schritt 1: Ein funktionierender Tunnel wird als Vergleichsprofil aufgezeichnet.
2. Schritt 2: Fehler werden jeweils auf Authentisierung, Aushandlung, Datenpfad oder Ressource eingegrenzt.
3. Schritt 3: Routingtabellen, Firewallentscheidungen und Paketgrößen werden mit Protokollen abgeglichen.
4. Schritt 4: Optimierungen werden einzeln umgesetzt und durch reproduzierbare Messungen bewertet.