Seminar ocserv / OpenConnect – Benutzer-, Gruppen-, Richtlinien- und Virtual-Host-Konfiguration

Nach erfolgreicher Anmeldung beginnt die eigentliche Autorisierung. Rollen und Benutzer werden in kontrollierte Netzwerkpfade, DNS-Sichten, Sitzungsgrenzen und getrennte virtuelle Dienste übersetzt.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

ocserv-Richtlinien sicher konfigurieren: Benutzer, Gruppen, Profile, Routen, Limits, Ausnahmen, SNI-basierte Virtual Hosts und Tests. Die festgelegte Dauer ist fachlich begründet: Zwei Tage sind notwendig, um Zuordnungsquellen, Konfigurationsprioritäten, Gruppenprofile, individuelle Ausnahmen und mehrere virtuelle Dienste praktisch aufzubauen.

Lernziele

• Gruppenquellen definieren.
• Profile für Routen, DNS und Limits erstellen.
• Benutzerausnahmen kontrollieren.
• Virtuelle Dienste konfigurieren.
• Richtlinien mit Negativtests verifizieren.

Zielgruppe

VPN-Administration, Netzwerk- und Security Engineering, IAM, Plattformbetrieb und technische Serviceverantwortliche.

Voraussetzungen

Grundkenntnisse in ocserv, Authentifizierung, Routing und DNS sowie mehrere Testidentitäten.

Seminarinhalte

Schritt 1: Rollen- und Richtlinienmodell

Organisatorische Rollen, VPN-Profile, Schutzbereiche und Zielnetze werden getrennt und mit eindeutigen Eigentümern dokumentiert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Rollen- und Richtlinienmodell
• Konfiguration und kontrollierte Umsetzung von Rollen- und Richtlinienmodell
• Funktions-, Sicherheits- und Fehlerprüfung für Rollen- und Richtlinienmodell
• Betriebscheckliste, Abnahme und Rückfallweg für Rollen- und Richtlinienmodell

Schritt 2: Gruppenzuordnung

Zertifikatsmerkmale, RADIUS-Attribute, OIDC-Claims und lokale Zuordnungen werden nach Vertrauen, Priorität und Verhalten bei fehlenden Werten bewertet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Gruppenzuordnung
• Konfiguration und kontrollierte Umsetzung von Gruppenzuordnung
• Funktions-, Sicherheits- und Fehlerprüfung für Gruppenzuordnung
• Betriebscheckliste, Abnahme und Rückfallweg für Gruppenzuordnung

Schritt 3: Gruppenprofile

Routen, DNS, Split-DNS, Bandbreite, Clientisolation, UDP-Nutzung, Sitzungs- und Zeitgrenzen werden rollenbezogen gebündelt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Gruppenprofile
• Konfiguration und kontrollierte Umsetzung von Gruppenprofile
• Funktions-, Sicherheits- und Fehlerprüfung für Gruppenprofile
• Betriebscheckliste, Abnahme und Rückfallweg für Gruppenprofile

Schritt 4: Interne Routen

Serverseitige Routen für besondere Clientnetze werden eindeutig zugeordnet und gegen Überlappung oder Transitmissbrauch abgesichert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Interne Routen
• Konfiguration und kontrollierte Umsetzung von Interne Routen
• Funktions-, Sicherheits- und Fehlerprüfung für Interne Routen
• Betriebscheckliste, Abnahme und Rückfallweg für Interne Routen

Schritt 5: Benutzerspezifische Ausnahmen

Vererbung, Priorität, Befristung, Ablaufdatum und die Alternative einer neuen Gruppe werden für Sonderfälle geregelt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Benutzerspezifische Ausnahmen
• Konfiguration und kontrollierte Umsetzung von Benutzerspezifische Ausnahmen
• Funktions-, Sicherheits- und Fehlerprüfung für Benutzerspezifische Ausnahmen
• Betriebscheckliste, Abnahme und Rückfallweg für Benutzerspezifische Ausnahmen

Schritt 6: SNI-basierte virtuelle Dienste

Getrennte Hostnamen, Zertifikate, Identitätsquellen und Profile ermöglichen Partner-, Mitarbeiter- oder Administrationszugänge auf gemeinsamer Infrastruktur. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für SNI-basierte virtuelle Dienste
• Konfiguration und kontrollierte Umsetzung von SNI-basierte virtuelle Dienste
• Funktions-, Sicherheits- und Fehlerprüfung für SNI-basierte virtuelle Dienste
• Betriebscheckliste, Abnahme und Rückfallweg für SNI-basierte virtuelle Dienste

Schritt 7: Sitzungs- und Ressourcenregeln

Globale und gruppenbezogene Grenzen schützen vor Mehrfachnutzung und Überbelegung, ohne legitime Mehrgerätefälle unkontrolliert zu blockieren. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Sitzungs- und Ressourcenregeln
• Konfiguration und kontrollierte Umsetzung von Sitzungs- und Ressourcenregeln
• Funktions-, Sicherheits- und Fehlerprüfung für Sitzungs- und Ressourcenregeln
• Betriebscheckliste, Abnahme und Rückfallweg für Sitzungs- und Ressourcenregeln

Schritt 8: Richtlinienmatrix

Für jede Testidentität werden erwarteter Dienst, Adresspool, DNS, Route sowie ausdrücklich verweigerte Zugriffe festgelegt und regressionsfähig geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Richtlinienmatrix
• Konfiguration und kontrollierte Umsetzung von Richtlinienmatrix
• Funktions-, Sicherheits- und Fehlerprüfung für Richtlinienmatrix
• Betriebscheckliste, Abnahme und Rückfallweg für Richtlinienmatrix

Praxisübungen

1. Rollen- und Richtlinienmodell anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. Gruppenzuordnung anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. Gruppenprofile anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. Interne Routen anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. Benutzerspezifische Ausnahmen anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. SNI-basierte virtuelle Dienste anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Kurs folgt auf Authentifizierung und Netzwerkdesign. Hardening, Monitoring und Automatisierung vertiefen den produktiven Betrieb.