Seminar ATXServer2 – Reverse Proxy, TLS und Netzwerksicherheit

Das Seminar entwickelt eine sichere Netzwerk- und Veröffentlichungsarchitektur für ATXServer2. Reverse Proxy, TLS, DNS, Proxyheader, WebSocket- und Streamingpfade, Provider- und Geräteendpunkte, Android-ADB, iOS-WDA, Firewallregeln, Zertifikatswechsel und Netzwerkdiagnose werden als zusammenhängendes Sicherheitsdesign umgesetzt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Vertrauenszonen und erlaubte Kommunikationsbeziehungen vollständig modellieren.
• ATXServer2 sicher über einen TLS-terminierenden Reverse Proxy veröffentlichen.
• Proxyheader, WebSocket- und Bildstrompfade korrekt behandeln.
• Provider-, ADB- und WDA-Verbindungen auf notwendige Pfade begrenzen.
• Zertifikatswechsel, Netzwerkfehler und Notzugang in Runbooks dokumentieren.

Schrittweise Seminarinhalte

1. Netzwerkzonen und Kommunikationsmatrix

Schwerpunkt: Benutzernetz, Managementnetz, Server, RethinkDB, Android-Provider, iOS-Provider, Geräte, CI-Runner, DNS, Zeitdienst und erlaubte Datenflüsse.

1. Ausgangslage, Systemzustand, Schutzbedarf und Zielkriterien für den Themenblock „Netzwerkzonen und Kommunikationsmatrix“ erfassen.
2. Relevante Komponenten, Konfigurationswerte, Rollen und Abhängigkeiten anhand von Benutzernetz, Managementnetz, Server, RethinkDB, Android-Provider, iOS-Provider, Geräte, CI-Runner, DNS, Zeitdienst und erlaubte Datenflüsse modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenschritt dokumentieren.
4. Funktion, Berechtigungen, Protokollierung, Fehlerverhalten und Wiederanlauf mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges Zonen- und Firewallmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. DNS, Namen und TLS-Zertifikate

Schwerpunkt: FQDN, interne und externe Namen, Zertifikatskette, SAN, Schlüssel, Trust Stores, Laufzeit, Erneuerung, Sperrung und Testverfahren.

1. Ausgangslage, Systemzustand, Schutzbedarf und Zielkriterien für den Themenblock „DNS, Namen und TLS-Zertifikate“ erfassen.
2. Relevante Komponenten, Konfigurationswerte, Rollen und Abhängigkeiten anhand von FQDN, interne und externe Namen, Zertifikatskette, SAN, Schlüssel, Trust Stores, Laufzeit, Erneuerung, Sperrung und Testverfahren modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenschritt dokumentieren.
4. Funktion, Berechtigungen, Protokollierung, Fehlerverhalten und Wiederanlauf mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Namens- und Zertifikatsplan dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Reverse Proxy und Proxyheader

Schwerpunkt: TLS-Terminierung, Backend-Port 4000, X-Real-IP, X-Forwarded-For, X-Headers-Vertrauen, Headerbereinigung, Limits und Fehlerseiten.

1. Ausgangslage, Systemzustand, Schutzbedarf und Zielkriterien für den Themenblock „Reverse Proxy und Proxyheader“ erfassen.
2. Relevante Komponenten, Konfigurationswerte, Rollen und Abhängigkeiten anhand von TLS-Terminierung, Backend-Port 4000, X-Real-IP, X-Forwarded-For, X-Headers-Vertrauen, Headerbereinigung, Limits und Fehlerseiten modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenschritt dokumentieren.
4. Funktion, Berechtigungen, Protokollierung, Fehlerverhalten und Wiederanlauf mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine gehärtete Proxykonfiguration dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. WebSocket, Bildstrom und Remote Control

Schwerpunkt: Upgrade-Header, Timeouts, Pufferung, Android-Bildstrom, iOS-MJPEG, WDA-Screen, Latenz, Verbindungsabbruch und Skalierungsgrenzen.

1. Ausgangslage, Systemzustand, Schutzbedarf und Zielkriterien für den Themenblock „WebSocket, Bildstrom und Remote Control“ erfassen.
2. Relevante Komponenten, Konfigurationswerte, Rollen und Abhängigkeiten anhand von Upgrade-Header, Timeouts, Pufferung, Android-Bildstrom, iOS-MJPEG, WDA-Screen, Latenz, Verbindungsabbruch und Skalierungsgrenzen modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenschritt dokumentieren.
4. Funktion, Berechtigungen, Protokollierung, Fehlerverhalten und Wiederanlauf mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine funktionsfähige Streaming- und Steuerungsstrecke dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Provider- und Android-Netzpfade

Schwerpunkt: Provider-URL, Heartbeat, App-Installation, atxAgentAddress, Remote-ADB, Eingabedienst, allow-remote, Hostnetzwerk und Portbegrenzung.

1. Ausgangslage, Systemzustand, Schutzbedarf und Zielkriterien für den Themenblock „Provider- und Android-Netzpfade“ erfassen.
2. Relevante Komponenten, Konfigurationswerte, Rollen und Abhängigkeiten anhand von Provider-URL, Heartbeat, App-Installation, atxAgentAddress, Remote-ADB, Eingabedienst, allow-remote, Hostnetzwerk und Portbegrenzung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenschritt dokumentieren.
4. Funktion, Berechtigungen, Protokollierung, Fehlerverhalten und Wiederanlauf mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine minimal freigegebene Android-Kommunikationsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

6. iOS-Netzpfade und Portweiterleitung

Schwerpunkt: WDA-URL, WDA-Port, MJPEG-Port, usbmuxd, iproxy, dynamische Ports, Providerzugriff, Firewall und Funktionsprüfung.

1. Ausgangslage, Systemzustand, Schutzbedarf und Zielkriterien für den Themenblock „iOS-Netzpfade und Portweiterleitung“ erfassen.
2. Relevante Komponenten, Konfigurationswerte, Rollen und Abhängigkeiten anhand von WDA-URL, WDA-Port, MJPEG-Port, usbmuxd, iproxy, dynamische Ports, Providerzugriff, Firewall und Funktionsprüfung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenschritt dokumentieren.
4. Funktion, Berechtigungen, Protokollierung, Fehlerverhalten und Wiederanlauf mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine kontrollierte iOS-Kommunikationsmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

7. Monitoring, Zertifikatswechsel und Fehleranalyse

Schwerpunkt: TLS-Ablauf, Handshake, DNS, Proxylogs, Backendstatus, WebSocket, Timeouts, Portkollisionen, Change-Fenster, Rollback und Notzugang.

1. Ausgangslage, Systemzustand, Schutzbedarf und Zielkriterien für den Themenblock „Monitoring, Zertifikatswechsel und Fehleranalyse“ erfassen.
2. Relevante Komponenten, Konfigurationswerte, Rollen und Abhängigkeiten anhand von TLS-Ablauf, Handshake, DNS, Proxylogs, Backendstatus, WebSocket, Timeouts, Portkollisionen, Change-Fenster, Rollback und Notzugang modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenschritt dokumentieren.
4. Funktion, Berechtigungen, Protokollierung, Fehlerverhalten und Wiederanlauf mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein Netzwerk- und Zertifikatsbetriebsrunbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Erstellung einer Zonen- und Kommunikationsmatrix für eine gemischte Gerätefarm.
• Konfiguration eines TLS-terminierenden Reverse Proxys mit sicheren Proxyheadern.
• Test von Weboberfläche, API, WebSocket und Bildstrom über den Proxy.
• Simulation eines Zertifikatswechsels und mehrerer Netzwerkfehler.

Zielgruppe und Voraussetzungen

Zielgruppe: Netzwerkadministration, Security Engineering, DevOps, Plattformbetrieb, ATXServer2-Administration und technische Architektur

Voraussetzungen: Gute Kenntnisse in TCP/IP, DNS, TLS, Reverse Proxys und Firewalls sowie Grundkenntnisse der ATXServer2-Komponenten

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.