Seminar Netmaker Egress, Internet-Gateways und App Routing

Egress verbindet das Overlay mit vorhandenen LANs, VPCs, Rechenzentren, Anwendungen und dem Internet. Das Seminar zeigt, wie Routen und Rückwege geplant, NAT-Varianten ausgewählt, Zugriffe begrenzt und redundante Egress-Pfade ohne Routing-Lecks betrieben werden.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxisübungen

Zielsetzung

Im Mittelpunkt stehen folgende fachliche und praktische Schwerpunkte:

• Egress-Routen für CIDR-Bereiche, Einzelziele und domänenbasierte Ziele korrekt entwerfen.
• Direkte und virtuelle NAT-Modelle sowie den Umgang mit überlappenden Netzen bewerten.
• Internet-Gateways und anwendungsbezogenes Routing mit restriktiven Zugriffsregeln absichern.
• HA-Egress, Monitoring und Fehleranalyse für produktive Verkehrswege umsetzen.

Zielgruppe

Netzwerk- und Cloud-Administration, Infrastrukturengineering, Security Engineering, DevOps und Plattformbetrieb

Voraussetzungen

Sichere Kenntnisse zu IP-Routing, CIDR, NAT, Firewallregeln und Netmaker-Grundfunktionen

Seminarinhalte

Modul 1: Egress-Architektur und Rückwege

Ein Egress-Pfad funktioniert nur mit konsistentem Hin- und Rückrouting.

1. Schritt 1: Quellgruppen, Zielnetze, Gateway-Knoten und Rückwege in einem Flussplan erfassen.
2. Schritt 2: Geeigneten stabilen Linux-Knoten mit Zugriff auf das Zielnetz auswählen.
3. Schritt 3: IP-Forwarding, Firewall und mögliche Source-NAT-Anforderungen vorab prüfen.

Modul 2: Routen und Zieltypen

Ziele werden möglichst eng gefasst und eindeutig benannt.

1. Schritt 1: CIDR-Bereiche und Einzeladressen als getrennte Egress-Ressourcen modellieren.
2. Schritt 2: Domänenbasierte Ziele nur mit geklärter DNS- und Versionsunterstützung einsetzen.
3. Schritt 3: Route erstellen, Knoten zuweisen und Erreichbarkeit aus mehreren Quellgruppen testen.

Modul 3: NAT-Modi und überlappende Adressräume

Adressüberschneidungen erfordern ein bewusstes Übersetzungs- und Betriebsmodell.

1. Schritt 1: Direktes NAT für eindeutig adressierte Standorte konfigurieren.
2. Schritt 2: Überlappende lokale Netze erkennen und Auswirkungen auf Routing und DNS dokumentieren.
3. Schritt 3: Virtuelle Adressierung als editionsabhängige Option planen und Übersetzungstabellen testen.

Modul 4: Internet-Gateway und Full Tunnel

Default-Routing wird nur für definierte Geräte oder Benutzer aktiviert.

1. Schritt 1: Geeigneten Ausgangsknoten mit ausreichender Kapazität und sicherem DNS auswählen.
2. Schritt 2: Default-Route und NAT kontrolliert aktivieren und lokale Ausnahmen prüfen.
3. Schritt 3: Öffentliche Quelladresse, DNS-Pfad, Lecktests und Rückfallverhalten validieren.

Modul 5: ACLs und App Routing

Zugriff wird auf notwendige Nutzer, Knoten, Tags, IPs und Anwendungen begrenzt.

1. Schritt 1: Benutzer- und Ressourcenrichtlinien für jede Egress-Ressource definieren.
2. Schritt 2: Einzelne IP-Ziele innerhalb großer Bereiche mit restriktiven Regeln absichern.
3. Schritt 3: Anwendungskatalog und domänenbasierte Vorlagen als editions- und versionsabhängige Erweiterung prüfen.

Modul 6: HA-Egress und Fehleranalyse

Redundante Egress-Knoten werden nur mit gemeinsamer Konfiguration und eindeutiger Zustandsüberwachung belastbar.

1. Schritt 1: Mehrere geeignete Knoten über Tags oder Gruppen einer Route zuordnen.
2. Schritt 2: Ausfall, Umschaltung und Wiederkehr mit laufenden Verbindungen testen.
3. Schritt 3: Routingtabellen, AllowedIPs, NAT-Regeln, ACLs, MTU und DNS schrittweise diagnostizieren.

Praxisübungen

• Egress-Route zu einem privaten LAN mit restriktiver Benutzer- und Ressourcenrichtlinie.
• Simulation zweier Standorte mit identischem lokalen CIDR und dokumentierter Übersetzungsstrategie.
• Full-Tunnel-Internet-Gateway mit DNS- und Leckprüfung.
• HA-Egress-Ausfalltest einschließlich Monitoring, Umschaltung und Rückkehr zum Normalbetrieb.