Seminar OpenBSD – Routing mit OpenBGPD, OSPF und RPKI

Dynamisches Routing verlangt klare Präfixverantwortung, restriktive Richtlinien und laufende Validierung. Das Seminar verbindet internes OSPF, externes BGP und RPKI-basierte Herkunftsprüfung in einer kontrollierten OpenBSD-Routingarchitektur.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Routingarchitektur, Präfixe und Richtlinien nachvollziehbar planen
• OSPF-Nachbarschaften, Bereiche und Routenverteilung mit ospfd betreiben
• BGP-Peering und Filterrichtlinien mit OpenBGPD sicher umsetzen
• RPKI-Daten mit rpki-client erzeugen und in Routingentscheidungen einbeziehen

Zielgruppe

Netzwerkadministration, Internet- und Rechenzentrumsbetrieb, Routingteams, Provider, Sicherheitsverantwortliche und Netzwerkarchitekten.

Voraussetzungen

Sehr gute TCP/IP-, Subnetz- und Routingkenntnisse sowie sichere OpenBSD-Administration. BGP-Grundbegriffe, autonome Systeme und Präfixfilter sollten bekannt sein.

Seminarinhalte

1. Schritt 1: Tag 1: Routinggrundlagen und Architektur planen

   Statische und dynamische Routen, administrative Zuständigkeiten, interne und externe Domänen, Konvergenz, Redundanz und Fehlergrenzen werden in einem Zielbild festgehalten.

2. Schritt 2: OpenBSD als Router vorbereiten

   Weiterleitung, Interfaces, Loopbacks, VLANs, Routen, PF-Schutz, Zeitbasis, Protokollierung und Managementzugang werden für Routingdienste eingerichtet.

3. Schritt 3: OSPF-Konzept entwickeln

   Router-IDs, Bereiche, Netztypen, Kosten, passive Interfaces, Stub-Bereiche, Zusammenfassung und gewünschte Routenverteilung werden geplant.

4. Schritt 4: Tag 2: ospfd konfigurieren

   Interfaces, Areas, Nachbarschaften, Authentifizierungsoptionen, Metriken, Redistribution und Filter werden schrittweise umgesetzt.

5. Schritt 5: OSPF-Betrieb und Fehleranalyse

   Neighbor-Status, Link-State-Datenbank, SPF-Ergebnis, Routingtabelle, MTU, Timer und Filter werden bei mehreren Störungsszenarien untersucht.

6. Schritt 6: BGP-Politik vorbereiten

   Eigene und fremde Präfixe, Peers, Import- und Exportrichtlinien, bogons, maximale Präfixzahlen, Communities und lokale Präferenzen werden dokumentiert.

7. Schritt 7: Tag 3: OpenBGPD-Grundkonfiguration aufbauen

   Globale Parameter, Router-ID, eigenes AS, Nachbarn, Gruppen, Sessions und kontrollierte Netzankündigungen werden eingerichtet.

8. Schritt 8: BGP-Filter und Attribute einsetzen

   Präfixsets, AS-Sets, Import- und Exportfilter, Local Preference, MED, Communities, AS-Pfad und Blackhole-Kennzeichnungen werden praxisnah angewendet.

9. Schritt 9: Redundanz und Pfadauswahl prüfen

   Mehrere Upstreams, internes Weiterreichen, next-hop, Multipath, Graceful-Verhalten und definierte Ausfallreaktionen werden getestet.

10. Schritt 10: BGP überwachen und diagnostizieren

    Sessionzustände, Adj-RIB, Loc-RIB, ausgewählte Pfade, Filtertreffer, Updates und Protokolle werden mit einer festen Prüfreihenfolge ausgewertet.

11. Schritt 11: Tag 4: RPKI-Grundlagen und Vertrauenskette verstehen

    ROA, VRP, Trust Anchors, Repository-Abruf und die Zustände valid, invalid und not found werden auf die lokale Routingpolitik abgebildet.

12. Schritt 12: rpki-client betreiben

    Datenabruf, Validierung, Ausgabeformate, Aktualisierung, Fehlerbehandlung, Zeitbasis und lokale Aufbewahrung werden eingerichtet.

13. Schritt 13: RPKI in OpenBGPD integrieren

    Validierungsdaten werden eingelesen und mit Präfixfiltern kombiniert. Behandlung ungültiger oder unbekannter Routen wird risikobasiert festgelegt.

14. Schritt 14: Routingänderungen kontrollieren

    Peeränderung, Filterfreigabe, Vorabprüfung, Beobachtung, Rückfall und Nachkontrolle werden als formaler Change-Prozess durchgeführt.

15. Schritt 15: Gesamtszenario und Notfallverfahren testen

    OSPF-Ausfall, BGP-Peerwechsel, Präfixleck, RPKI-Fehler und unerwartete Pfadwahl werden simuliert und dokumentiert.

Praxisübungen

• Ein mehrbereichiges OSPF-Labor mit gefilterter Routenverteilung aufbauen
• Ein OpenBGPD-Szenario mit zwei Peers, Präfixsets, Communities und kontrollierter Pfadauswahl konfigurieren
• RPKI-Validierungsdaten erzeugen, integrieren und ungültige Präfixankündigungen gezielt behandeln

Methodik

Die Vermittlung verbindet fachliche Einordnung, demonstrierte Systemarbeit und schrittweise Laborübungen. Konfigurationen werden zunächst geplant, anschließend in einer Übungsumgebung umgesetzt, geprüft und dokumentiert. Fehlerbilder und Wiederherstellungswege werden bewusst einbezogen.