Seminar ocserv / OpenConnect – Installation und Grundkonfiguration

Der Kurs führt von einem vorbereiteten Linux-System zu einer getesteten VPN-Instanz. Jeder Schritt wird begründet, geprüft und dokumentiert, damit die Basis später sicher erweitert und betrieben werden kann.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

ocserv installieren und konfigurieren: TLS, Benutzer, Adresspool, Routing, DNS, Firewall, NAT, Systemdienst, Clienttest und Basisschutz. Die festgelegte Dauer ist fachlich begründet: Zwei Tage sind für Installation, Zertifikate, Authentifizierung, Adressierung, Routing, Firewall, Clienttest, Hardening-Baseline und Wiederanlaufprüfung erforderlich.

Lernziele

• Systemvoraussetzungen vorbereiten.
• Serverzertifikat und Anmeldung konfigurieren.
• Adresspools, Routen und DNS einrichten.
• Firewall und Rückweg umsetzen.
• Mit OpenConnect den Datenpfad prüfen.

Zielgruppe

Linux- und Netzwerkadministration, Plattformbetrieb, Security Engineering und technische Einsteiger in Remote-Access-VPN.

Voraussetzungen

Linux-Kommandozeile, Pakete, Systemdienste, TCP/IP, DNS und Firewall-Grundlagen sowie administrative Laborrechte.

Seminarinhalte

Schritt 1: Labor, DNS und Zeit

Hostname, Namensauflösung, Zeitsynchronisation, Netzschnittstellen, Paketquellen und getrennter Managementzugang werden vor der Installation geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Labor, DNS und Zeit
• Konfiguration und kontrollierte Umsetzung von Labor, DNS und Zeit
• Funktions-, Sicherheits- und Fehlerprüfung für Labor, DNS und Zeit
• Betriebscheckliste, Abnahme und Rückfallweg für Labor, DNS und Zeit

Schritt 2: Paket und Verzeichnisstruktur

Binärdatei, Standardkonfiguration, Systemdienst, Laufzeitverzeichnisse, Dienstkonto und Ausgangssicherung werden inventarisiert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Paket und Verzeichnisstruktur
• Konfiguration und kontrollierte Umsetzung von Paket und Verzeichnisstruktur
• Funktions-, Sicherheits- und Fehlerprüfung für Paket und Verzeichnisstruktur
• Betriebscheckliste, Abnahme und Rückfallweg für Paket und Verzeichnisstruktur

Schritt 3: Serverzertifikat

Dienstname, Zertifikatskette, privater Schlüssel, Laufzeit, Dateirechte und Clientvertrauen werden korrekt eingerichtet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Serverzertifikat
• Konfiguration und kontrollierte Umsetzung von Serverzertifikat
• Funktions-, Sicherheits- und Fehlerprüfung für Serverzertifikat
• Betriebscheckliste, Abnahme und Rückfallweg für Serverzertifikat

Schritt 4: Basisparameter und Anmeldung

Port, Zertifikatsdateien, Prozessparameter, Sitzungsgrenzen sowie lokale oder PAM-basierte Anmeldung bilden die erste lauffähige Konfiguration. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Basisparameter und Anmeldung
• Konfiguration und kontrollierte Umsetzung von Basisparameter und Anmeldung
• Funktions-, Sicherheits- und Fehlerprüfung für Basisparameter und Anmeldung
• Betriebscheckliste, Abnahme und Rückfallweg für Basisparameter und Anmeldung

Schritt 5: Adresspool, Routen und DNS

Tunneladressen, Voll- oder Split-Tunnel, Zielnetze, DNS-Server und Suchdomänen werden ohne Überlappung geplant. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Adresspool, Routen und DNS
• Konfiguration und kontrollierte Umsetzung von Adresspool, Routen und DNS
• Funktions-, Sicherheits- und Fehlerprüfung für Adresspool, Routen und DNS
• Betriebscheckliste, Abnahme und Rückfallweg für Adresspool, Routen und DNS

Schritt 6: Forwarding, Firewall und Rückweg

IP-Forwarding, Eingangs- und Weiterleitungsregeln, Rückroute oder begründetes NAT verbinden den Tunnel mit erlaubten Zielen. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Forwarding, Firewall und Rückweg
• Konfiguration und kontrollierte Umsetzung von Forwarding, Firewall und Rückweg
• Funktions-, Sicherheits- und Fehlerprüfung für Forwarding, Firewall und Rückweg
• Betriebscheckliste, Abnahme und Rückfallweg für Forwarding, Firewall und Rückweg

Schritt 7: Systemdienst und Basisschutz

Start, Status, Logs, Neustart nach Boot, Ressourcenlimits, Dateirechte und minimale Portfreigaben werden geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Systemdienst und Basisschutz
• Konfiguration und kontrollierte Umsetzung von Systemdienst und Basisschutz
• Funktions-, Sicherheits- und Fehlerprüfung für Systemdienst und Basisschutz
• Betriebscheckliste, Abnahme und Rückfallweg für Systemdienst und Basisschutz

Schritt 8: OpenConnect-Abnahme

DNS, TCP/TLS, Zertifikat, Anmeldung, Tunneladresse, Route, DNS, Zielanwendung, DTLS und TCP-Rückfall werden als Kette getestet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für OpenConnect-Abnahme
• Konfiguration und kontrollierte Umsetzung von OpenConnect-Abnahme
• Funktions-, Sicherheits- und Fehlerprüfung für OpenConnect-Abnahme
• Betriebscheckliste, Abnahme und Rückfallweg für OpenConnect-Abnahme

Schritt 9: Sicherung und Ausbauplan

Paketstand, Konfiguration, Zertifikate, Firewall und Prüfergebnisse werden gesichert; IAM, Gruppen, Hardening und Monitoring werden priorisiert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Sicherung und Ausbauplan
• Konfiguration und kontrollierte Umsetzung von Sicherung und Ausbauplan
• Funktions-, Sicherheits- und Fehlerprüfung für Sicherung und Ausbauplan
• Betriebscheckliste, Abnahme und Rückfallweg für Sicherung und Ausbauplan

Praxisübungen

1. Labor, DNS und Zeit anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. Paket und Verzeichnisstruktur anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. Serverzertifikat anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. Basisparameter und Anmeldung anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. Adresspool, Routen und DNS anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. Forwarding, Firewall und Rückweg anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Kurs ist der praktische Einstieg. Danach folgen Netzwerkdesign, Authentifizierung, Richtlinien, PKI und Hardening.