Seminar Pomerium – Migration von VPN und klassischen Zugangsproxies

Die Migration wird nicht als reiner Proxy-Tausch behandelt. Netzwerkfreigaben, Gruppenmodelle, Betriebsprozesse und Nutzungsgewohnheiten werden gemeinsam überführt, ohne kritische Administrations- oder Notfallzugänge unkontrolliert zu unterbrechen.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Ist-Aufnahme
5. Klassifizierung und Wellen
6. Zielarchitektur und Policy-Mapping
7. Pilot und Abnahme
8. Parallelbetrieb und Change
9. Cutover und Rollback
10. Rückbau und Nachkontrolle
11. Praxisübungen
12. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: Enterprise- und Security-Architektur, Netzwerkbetrieb, IAM, Plattformbetrieb, Anwendungsverantwortung, Service Management und Change Management.

Voraussetzungen: Kenntnisse der bestehenden VPN- oder Proxy-Landschaft, Pomerium-, OIDC-, TLS- und Policy-Grundlagen sowie Zugriff auf Nutzungs- und Regelwerksdaten.

Lernziele

• die Zusammenhänge von Ist-Aufnahme fachlich einordnen
• die Konfigurationsschritte zu Klassifizierung und Wellen reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Ist-Aufnahme

Dieses Kapitel behandelt Ist-Aufnahme. Ausgangspunkt ist, VPN-Profile, Proxy-Regeln, Bastion Hosts und Direktfreigaben inventarisieren. Anschließend werden Nutzergruppen, Servicekonten und Notfallkonten zuordnen und Anwendungen, Protokolle, Ports und Datenflüsse erfassen. Die technische Umsetzung wird durch die Schritte tatsächliche Nutzung bewerten und unbekannte Zugänge als Klärfälle markieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. VPN-Profile, Proxy-Regeln, Bastion Hosts und Direktfreigaben inventarisieren
2. Nutzergruppen, Servicekonten und Notfallkonten zuordnen
3. Anwendungen, Protokolle, Ports und Datenflüsse erfassen
4. tatsächliche Nutzung bewerten
5. unbekannte Zugänge als Klärfälle markieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Klassifizierung und Wellen

Dieses Kapitel behandelt Klassifizierung und Wellen. Ausgangspunkt ist, Schutzbedarf und Kritikalität bestimmen. Anschließend werden Eignung für HTTP oder Tunnelzugriff prüfen und DNS-, TLS-, IdP- und Clientabhängigkeiten erfassen. Die technische Umsetzung wird durch die Schritte Pilot-, Standard- und Sonderfallwellen bilden und Go- und No-Go-Kriterien festlegen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Schutzbedarf und Kritikalität bestimmen
2. Eignung für HTTP oder Tunnelzugriff prüfen
3. DNS-, TLS-, IdP- und Clientabhängigkeiten erfassen
4. Pilot-, Standard- und Sonderfallwellen bilden
5. Go- und No-Go-Kriterien festlegen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Zielarchitektur und Policy-Mapping

Dieses Kapitel behandelt Zielarchitektur und Policy-Mapping. Ausgangspunkt ist, From- und Upstream-Adressen je Anwendung definieren. Anschließend werden bestehende Gruppen auf IdP-Attribute abbilden und breite Netzrechte in anwendungsspezifische Regeln zerlegen. Die technische Umsetzung wird durch die Schritte privilegierte und Maschinenzugriffe separat behandeln und Policy-Testmatrix erstellen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. From- und Upstream-Adressen je Anwendung definieren
2. bestehende Gruppen auf IdP-Attribute abbilden
3. breite Netzrechte in anwendungsspezifische Regeln zerlegen
4. privilegierte und Maschinenzugriffe separat behandeln
5. Policy-Testmatrix erstellen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Pilot und Abnahme

Dieses Kapitel behandelt Pilot und Abnahme. Ausgangspunkt ist, Pilotanwendung und Nutzergruppe auswählen. Anschließend werden Route, Claims und TLS konfigurieren und Parallelzugang bewusst erhalten. Die technische Umsetzung wird durch die Schritte Funktion, Performance und Support messen und Fehler- und Rückfallkriterien testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Pilotanwendung und Nutzergruppe auswählen
2. Route, Claims und TLS konfigurieren
3. Parallelzugang bewusst erhalten
4. Funktion, Performance und Support messen
5. Fehler- und Rückfallkriterien testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Parallelbetrieb und Change

Dieses Kapitel behandelt Parallelbetrieb und Change. Ausgangspunkt ist, Nutzerkommunikation nach Zielgruppe erstellen. Anschließend werden Support und Eskalation besetzen und Zugangswege kennzeichnen und Telemetrie vergleichen. Die technische Umsetzung wird durch die Schritte neue Berechtigungsanträge auf Zielmodell umstellen und Ausnahmen mit Ablaufdatum erfassen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Nutzerkommunikation nach Zielgruppe erstellen
2. Support und Eskalation besetzen
3. Zugangswege kennzeichnen und Telemetrie vergleichen
4. neue Berechtigungsanträge auf Zielmodell umstellen
5. Ausnahmen mit Ablaufdatum erfassen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Cutover und Rollback

Dieses Kapitel behandelt Cutover und Rollback. Ausgangspunkt ist, Änderungsfenster und Freigabekette festlegen. Anschließend werden Konfiguration und Altzustand sichern und Pomerium-Zugang final testen. Die technische Umsetzung wird durch die Schritte Altzugang sperren oder beschränken und Smoke-Test und Rollbackschwellen anwenden überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Änderungsfenster und Freigabekette festlegen
2. Konfiguration und Altzustand sichern
3. Pomerium-Zugang final testen
4. Altzugang sperren oder beschränken
5. Smoke-Test und Rollbackschwellen anwenden

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Rückbau und Nachkontrolle

Dieses Kapitel behandelt Rückbau und Nachkontrolle. Ausgangspunkt ist, Restnutzung und Ausnahmen prüfen. Anschließend werden Firewall-, VPN- und Proxy-Regeln entfernen und Konten und Schlüssel widerrufen. Die technische Umsetzung wird durch die Schritte Bastion Hosts und Clientprofile stilllegen und Dokumentation und Asset-Bestand aktualisieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Restnutzung und Ausnahmen prüfen
2. Firewall-, VPN- und Proxy-Regeln entfernen
3. Konten und Schlüssel widerrufen
4. Bastion Hosts und Clientprofile stilllegen
5. Dokumentation und Asset-Bestand aktualisieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. Zugangsportfolio inventarisieren und priorisieren
2. breite VPN-Regel in Pomerium-Policies überführen
3. Pilotplan mit Messwerten erstellen
4. Cutover mit Claim-Fehler simulieren
5. Rückbaucheckliste erstellen

Didaktik und Arbeitsweise

Drei Tage sind erforderlich, weil mehrere technische Verantwortungsbereiche gemeinsam aufgebaut, getestet und in einen belastbaren Betriebs- oder Migrationsprozess überführt werden. Theorie allein reicht für diese Lernziele nicht aus.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.