Seminar ocserv / OpenConnect – Architektur, Einsatzplanung und Sicherheitsmodell

Der Workshop schafft eine gemeinsame technische Entscheidungsgrundlage vor Installation, Migration oder Beschaffung. Datenpfad, Kontrollkanal, Identitäten, Netzwerkzonen, Clients und Betriebsverantwortung werden als zusammenhängendes System bewertet.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

Architekturworkshop zu ocserv und OpenConnect: Protokollkanäle, Prozesse, Authentifizierung, Netzplatzierung, Risiken und tragfähige Zielkonzepte. Die festgelegte Dauer ist fachlich begründet: Ein konzentrierter Seminartag reicht für Architekturverständnis, Entscheidungsparameter, Bedrohungsmodell und eine belastbare Zielskizze, da keine vollständige Implementierung vorgesehen ist.

Lernziele

• Kontroll- und Datenkanäle einordnen.
• Prozess-, Rechte- und Isolationsmodell bewerten.
• Authentifizierungsoptionen passend zum Schutzbedarf auswählen.
• Netzwerkplatzierung und Clientwege planen.
• Eine prüfbare Zielarchitektur formulieren.

Zielgruppe

IT-Architektur, Informationssicherheit, Netzwerkplanung, technische Projektleitung, Plattformverantwortliche und erfahrene Administration.

Voraussetzungen

Solide Grundlagen in TCP/IP, Routing, TLS, Authentifizierung und Linux-basierten Diensten.

Seminarinhalte

Schritt 1: Einsatzszenario und Schutzbedarf

Remote Access, Administratorzugriff, Partnerzugang, Datenarten, Benutzergruppen und Verfügbarkeitsziele werden sauber voneinander abgegrenzt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Einsatzszenario und Schutzbedarf
• Konfiguration und kontrollierte Umsetzung von Einsatzszenario und Schutzbedarf
• Funktions-, Sicherheits- und Fehlerprüfung für Einsatzszenario und Schutzbedarf
• Betriebscheckliste, Abnahme und Rückfallweg für Einsatzszenario und Schutzbedarf

Schritt 2: TLS-, TCP- und DTLS-Kanäle

Steuerkanal, bevorzugter UDP-Datenkanal und TCP-Rückfall werden hinsichtlich Firewall, NAT, Latenz und Diagnose betrachtet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für TLS-, TCP- und DTLS-Kanäle
• Konfiguration und kontrollierte Umsetzung von TLS-, TCP- und DTLS-Kanäle
• Funktions-, Sicherheits- und Fehlerprüfung für TLS-, TCP- und DTLS-Kanäle
• Betriebscheckliste, Abnahme und Rückfallweg für TLS-, TCP- und DTLS-Kanäle

Schritt 3: Prozess- und Sicherheitsmodell

Privilegtrennung, eingeschränkte Systemaufrufe, Dateirechte und die Übergabe des Pakettransports an das Betriebssystem fließen in die Risikoanalyse ein. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Prozess- und Sicherheitsmodell
• Konfiguration und kontrollierte Umsetzung von Prozess- und Sicherheitsmodell
• Funktions-, Sicherheits- und Fehlerprüfung für Prozess- und Sicherheitsmodell
• Betriebscheckliste, Abnahme und Rückfallweg für Prozess- und Sicherheitsmodell

Schritt 4: Identitäten und Vertrauensanker

PAM, RADIUS, Kerberos, OIDC, Zertifikate, Smartcards und Token werden nach Sicherheitsniveau, Gruppensteuerung und Betriebsaufwand verglichen. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Identitäten und Vertrauensanker
• Konfiguration und kontrollierte Umsetzung von Identitäten und Vertrauensanker
• Funktions-, Sicherheits- und Fehlerprüfung für Identitäten und Vertrauensanker
• Betriebscheckliste, Abnahme und Rückfallweg für Identitäten und Vertrauensanker

Schritt 5: Netzwerkplatzierung und Zonen

DMZ, Management, interne Netze, Adresspools, Rückrouten, DNS und Protokollfreigaben werden als durchgängiger Pfad geplant. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Netzwerkplatzierung und Zonen
• Konfiguration und kontrollierte Umsetzung von Netzwerkplatzierung und Zonen
• Funktions-, Sicherheits- und Fehlerprüfung für Netzwerkplatzierung und Zonen
• Betriebscheckliste, Abnahme und Rückfallweg für Netzwerkplatzierung und Zonen

Schritt 6: Client- und Supportlandschaft

Kommandozeile, Desktopintegration, zentrale Verteilung, Zertifikatsspeicher, Proxy und Supportzuständigkeiten werden eingeordnet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Client- und Supportlandschaft
• Konfiguration und kontrollierte Umsetzung von Client- und Supportlandschaft
• Funktions-, Sicherheits- und Fehlerprüfung für Client- und Supportlandschaft
• Betriebscheckliste, Abnahme und Rückfallweg für Client- und Supportlandschaft

Schritt 7: Verfügbarkeit und Skalierung

Einzelinstanz, aktive Redundanz, Lastverteilung, Sitzungszustand und Wiederverbindung werden realistisch bewertet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Verfügbarkeit und Skalierung
• Konfiguration und kontrollierte Umsetzung von Verfügbarkeit und Skalierung
• Funktions-, Sicherheits- und Fehlerprüfung für Verfügbarkeit und Skalierung
• Betriebscheckliste, Abnahme und Rückfallweg für Verfügbarkeit und Skalierung

Schritt 8: Zielarchitektur und Abnahmekriterien

Datenflüsse, Vertrauensgrenzen, Risiken, Gegenmaßnahmen und technische Prüfungen werden zu einer Entscheidungsunterlage zusammengeführt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Zielarchitektur und Abnahmekriterien
• Konfiguration und kontrollierte Umsetzung von Zielarchitektur und Abnahmekriterien
• Funktions-, Sicherheits- und Fehlerprüfung für Zielarchitektur und Abnahmekriterien
• Betriebscheckliste, Abnahme und Rückfallweg für Zielarchitektur und Abnahmekriterien

Praxisübungen

1. Einsatzszenario und Schutzbedarf anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. TLS-, TCP- und DTLS-Kanäle anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. Prozess- und Sicherheitsmodell anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. Identitäten und Vertrauensanker anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. Netzwerkplatzierung und Zonen anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. Client- und Supportlandschaft anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Workshop ist der empfohlene Einstieg vor Installation, Netzwerkdesign, PKI und Enterprise-Rollout.