Seminar Pritunl – Intensivseminar Enterprise Access mit VPN und Zero

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Produktlandschaft, Komponenten und Einsatzgrenzen
6. Kapitel 2: Anforderungsaufnahme und Zielarchitektur
7. Kapitel 3: Installation des VPN-Servers
8. Kapitel 4: Organisationen, Benutzer, Gruppen und Berechtigungsmodell
9. Kapitel 5: Client-Rollout und Profilbereitstellung
10. Kapitel 6: OpenVPN und WireGuard im direkten Vergleich
11. Kapitel 7: Routing, Split Tunnel und Full Tunnel
12. Kapitel 8: DNS, Split DNS und IPv6
13. Kapitel 9: Pritunl Link – Architektur und Bereitstellung
14. Kapitel 10: Multi-Cloud-Routing und Routenveröffentlichung
15. Kapitel 11: Hochverfügbarkeit, Skalierung und Betriebsüberwachung
16. Kapitel 12: Backup, Upgrade und Wiederanlauf
17. Kapitel 13: Härtung, Identität und Automatisierung
18. Kapitel 14: Installation und Basiskonfiguration von Pritunl Zero
19. Kapitel 15: Geschützte Webdienste bereitstellen
20. Kapitel 16: DNS und automatisierte TLS-Zertifikate
21. Kapitel 17: SSH-Zugriff mit CA, Bastion und Hostzertifikaten
22. Kapitel 18: Zero-Trust-Rollen, starke Authentisierung und Endpoint-Signale
23. Kapitel 19: Hochverfügbarkeit und Lastverteilung für Pritunl Zero
24. Kapitel 20: Integriertes Abschlusslabor Enterprise Access
25. Praxislabor
26. Methodik

Seminarprofil

Das fünftägige Gesamtprogramm fasst die fachlichen und technischen Kernthemen des gesamten Portfolios in einem zusammenhängenden Aufbau zusammen. Pritunl VPN und Pritunl Zero werden nicht als getrennte Inseln, sondern als gemeinsame Enterprise-Access-Plattform geplant, installiert, abgesichert und betrieben.

Die Verdichtung setzt ein hohes Lerntempo voraus, lässt aber Raum für praktische Umsetzung. OpenVPN, WireGuard, Netzwerkdesign, Hochverfügbarkeit, Identität, Gerätebindung, API, Webdienste, SSH-Zertifikate, Bastion, TLS und Endpoint-Basisüberwachung fließen in ein durchgängiges Abschlusslabor ein.

Zielgruppe

Erfahrene Administratoren, Architekten, Security- und Plattformteams, Systemintegratoren sowie technische Projektteams, die VPN- und Zero-Trust-Zugriffe gemeinsam planen oder betreiben.

Voraussetzungen

Sichere Linux-, Netzwerk-, DNS-, TLS- und Identitätskenntnisse. Praktische Erfahrung mit VPN oder Reverse Proxy ist empfehlenswert.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Produktlandschaft, Komponenten und Einsatzgrenzen

Inhaltsverzeichnis dieses Kapitels

1. Anforderungen klassifizieren
2. Komponenten zuordnen
3. Pritunl Zero einordnen
4. Daten-, Steuer- und Managementpfade kennzeichnen und die erforderlichen Fir…
5. Funktions- und Lizenzvoraussetzungen je gewünschter Funktion prüfen, damit…
6. Für jeden Anwendungsfall eine begründete Zuordnung zu VPN, Zero Trust oder…
7. Praxisübung

Die technische Einordnung trennt Netzwerkzugriff, Anwendungszugriff und administrative Zugriffspfade. Dadurch entsteht eine belastbare Grundlage für die spätere Architekturentscheidung.

Schritt-für-Schritt-Anleitung

1. Anforderungen klassifizieren: Remote Access, Standortkopplung, Cloud-Vernetzung, abgesicherte Webanwendungen und SSH-Zugriffe getrennt erfassen.
2. Komponenten zuordnen: Pritunl-Server, MongoDB, VPN-Hosts, Serverinstanzen, Organisationen, Benutzerprofile und Clients in einem Architekturdiagramm abbilden.
3. Pritunl Zero einordnen: Webdienste, SSH-Zertifizierungsstelle, Rollen, Richtlinien, Identitätsanbieter und optionale Endpoint-Signale ergänzen.
4. Daten-, Steuer- und Managementpfade kennzeichnen und die erforderlichen Firewall-, DNS- und Zeitdienste dokumentieren.
5. Funktions- und Lizenzvoraussetzungen je gewünschter Funktion prüfen, damit das Sollkonzept keine nicht verfügbaren Merkmale voraussetzt.
6. Für jeden Anwendungsfall eine begründete Zuordnung zu VPN, Zero Trust oder einer kombinierten Architektur festhalten.

Praxisübung

Für ein Beispielunternehmen mit Außendienst, Rechenzentrum, zwei Cloud-Netzen und administrierten Linux-Systemen wird eine vollständige Komponenten- und Zugriffsmatrix erstellt.

Kapitel 2: Anforderungsaufnahme und Zielarchitektur

Inhaltsverzeichnis dieses Kapitels

1. Benutzergruppen, Endgeräte, Standorte, Zielnetze, Anwendungen und Administr…
2. Schutzbedarf, Datenklassifikation, Trennungsanforderungen und zulässige Ver…
3. Gleichzeitige Sitzungen, Bandbreite, Latenz, Wachstumsreserve und gewünscht…
4. Identitätsquelle, Gruppenmodell, Mehrfaktorverfahren, Notfallkonten und Pro…
5. DNS-Namen, Zertifikatswege, Ports, Routing, NAT, Proxy- und Load-Balancer-A…
6. Abnahmekriterien, Testfälle, Betriebsverantwortung und einen realistischen…
7. Praxisübung

Vor der Installation werden fachliche Ziele, Schutzbedarf und technische Randbedingungen in messbare Architekturvorgaben übersetzt.

Schritt-für-Schritt-Anleitung

1. Benutzergruppen, Endgeräte, Standorte, Zielnetze, Anwendungen und Administrationswege inventarisieren.
2. Schutzbedarf, Datenklassifikation, Trennungsanforderungen und zulässige Vertrauensgrenzen je Zugriffspfad festlegen.
3. Gleichzeitige Sitzungen, Bandbreite, Latenz, Wachstumsreserve und gewünschte Wiederanlaufzeiten abschätzen.
4. Identitätsquelle, Gruppenmodell, Mehrfaktorverfahren, Notfallkonten und Prozesse für Eintritt, Wechsel und Austritt definieren.
5. DNS-Namen, Zertifikatswege, Ports, Routing, NAT, Proxy- und Load-Balancer-Anforderungen in einem technischen Plan zusammenführen.
6. Abnahmekriterien, Testfälle, Betriebsverantwortung und einen realistischen Rückfallweg vor Beginn der Umsetzung festschreiben.

Praxisübung

Aus einer unvollständigen Projektbeschreibung wird eine prüfbare Anforderungsliste mit Muss-, Soll- und Kann-Kriterien sowie einer Zielskizze abgeleitet.

Kapitel 3: Installation des VPN-Servers

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Plattform, Paketquelle und Versionsstand anhand der vorgesehen…
2. Hostnamen, DNS-Auflösung, NTP, Systemressourcen, Datenträger, Firewallregel…
3. MongoDB-Verbindung und Authentifizierung planen
4. Pritunl-Pakete installieren, Dienste aktivieren und den initialen Setup-Sch…
5. Webkonsole aufrufen, Datenbankverbindung setzen, Erstkennwort ändern und ei…
6. Dienststatus, Datenbankzugriff, Webkonsole, Protokolle und Neustartverhalte…
7. Praxisübung

Die Installation wird reproduzierbar vorbereitet, durchgeführt und unmittelbar gegen eine technische Baseline geprüft.

Schritt-für-Schritt-Anleitung

1. Unterstützte Plattform, Paketquelle und Versionsstand anhand der vorgesehenen Betriebsumgebung auswählen und dokumentieren.
2. Hostnamen, DNS-Auflösung, NTP, Systemressourcen, Datenträger, Firewallregeln und administrativen Zugriff vorbereiten.
3. MongoDB-Verbindung und Authentifizierung planen; Datenbank und Anwendung nach Möglichkeit in getrennten Sicherheitszonen betreiben.
4. Pritunl-Pakete installieren, Dienste aktivieren und den initialen Setup-Schlüssel kontrolliert auslesen.
5. Webkonsole aufrufen, Datenbankverbindung setzen, Erstkennwort ändern und ein individuelles TLS-Konzept vorbereiten.
6. Dienststatus, Datenbankzugriff, Webkonsole, Protokolle und Neustartverhalten mit einer Installationscheckliste prüfen.

Praxisübung

Eine leere Linux-Instanz wird bis zur betriebsbereiten Administrationsoberfläche aufgebaut; alle Prüfpunkte werden in einem Installationsprotokoll festgehalten.

Kapitel 4: Organisationen, Benutzer, Gruppen und Berechtigungsmodell

Inhaltsverzeichnis dieses Kapitels

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlich…
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen…
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigk…
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zug…
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als sta…
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und üb…
7. Praxisübung

Ein sauberes Objektmodell verhindert, dass technische VPN-Profile zum unkontrollierten Sammelbecken für alle Beschäftigten werden.

Schritt-für-Schritt-Anleitung

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlichkeit abgrenzen und Namenskonventionen festlegen.
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen ohne individuelle Sonderfälle möglich bleiben.
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigkeit von Profilen und zweiten Faktoren definieren.
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zugriffsmöglichkeiten gegen die Sollmatrix prüfen.
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als standardisierten Lebenszyklus beschreiben.
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und überbreite Gruppenzuordnungen einrichten.

Praxisübung

Aus einer Personal- und Rollenliste wird ein Organisations- und Gruppenmodell aufgebaut; Eintritt, Rollenwechsel und Austritt werden vollständig durchgespielt.

Kapitel 5: Client-Rollout und Profilbereitstellung

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Betriebssysteme, Clientvarianten und erforderliche Protokollfu…
2. Installationspakete über vorhandene Softwareverteilung bereitstellen und ad…
3. Profile über einen authentisierten Prozess ausgeben
4. Erstverbindung, zweiter Faktor, Gerätezustand, automatische Profilaktualisi…
5. Clientupdates zunächst in einer Pilotgruppe testen und anschließend in kont…
6. Verlust, Gerätewechsel, Profilwiderruf und Neuaufnahme als dokumentierte Su…
7. Praxisübung

Ein sicherer Client-Rollout verbindet technische Profile mit nachvollziehbarer Ausgabe, Aktualisierung und Unterstützung der Endgeräte.

Schritt-für-Schritt-Anleitung

1. Unterstützte Betriebssysteme, Clientvarianten und erforderliche Protokollfunktionen je Endgeräteklasse festlegen.
2. Installationspakete über vorhandene Softwareverteilung bereitstellen und administrative Installationsrechte begrenzen.
3. Profile über einen authentisierten Prozess ausgeben; unverschlüsselte Ablage in E-Mail, Tickets oder gemeinsamen Ordnern vermeiden.
4. Erstverbindung, zweiter Faktor, Gerätezustand, automatische Profilaktualisierung und Benutzerhinweise standardisieren.
5. Clientupdates zunächst in einer Pilotgruppe testen und anschließend in kontrollierten Ringen verteilen.
6. Verlust, Gerätewechsel, Profilwiderruf und Neuaufnahme als dokumentierte Supportfälle abbilden.

Praxisübung

Ein Rolloutplan für Windows-, macOS- und Linux-Endgeräte wird einschließlich Pilotgruppe, Rückfalloption, Supporttext und Widerrufsprozess erstellt.

Kapitel 6: OpenVPN und WireGuard im direkten Vergleich

Inhaltsverzeichnis dieses Kapitels

1. Gemeinsames Tunnelnetzkonzept, Zielrouten, DNS und Testbenutzer für den Ver…
2. OpenVPN-Profil mit geeignetem Transport und konservativen Stabilitätsparame…
3. WireGuard-Profil für denselben Zugriffsumfang auf einer Pilotgruppe bereits…
4. Verbindungsaufbau, Roaming, MTU, Durchsatz, CPU-Last und Clientkompatibilit…
5. Entscheidungskriterien pro Endgeräte- und Netzwerkklasse dokumentieren.
6. Fallback- und Migrationsweg festlegen, ohne dauerhaft unkontrollierte Doppe…
7. Praxisübung

Beide Protokolle werden in einer gemeinsamen Referenzumgebung aufgebaut und anhand identischer Anforderungen bewertet.

Schritt-für-Schritt-Anleitung

1. Gemeinsames Tunnelnetzkonzept, Zielrouten, DNS und Testbenutzer für den Vergleich vorbereiten.
2. OpenVPN-Profil mit geeignetem Transport und konservativen Stabilitätsparametern einrichten.
3. WireGuard-Profil für denselben Zugriffsumfang auf einer Pilotgruppe bereitstellen.
4. Verbindungsaufbau, Roaming, MTU, Durchsatz, CPU-Last und Clientkompatibilität vergleichen.
5. Entscheidungskriterien pro Endgeräte- und Netzwerkklasse dokumentieren.
6. Fallback- und Migrationsweg festlegen, ohne dauerhaft unkontrollierte Doppelprofile zu erzeugen.

Praxisübung

Zwei funktional gleichwertige Profile werden gemessen und einer begründeten Einsatzempfehlung zugeordnet.

Kapitel 7: Routing, Split Tunnel und Full Tunnel

Inhaltsverzeichnis dieses Kapitels

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikat…
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und…
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Net…
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen…
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade…
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollieru…
7. Praxisübung

Routen werden aus dem tatsächlichen Kommunikationsbedarf abgeleitet. Pauschale Standardrouten werden nur eingesetzt, wenn Sicherheits- und Kapazitätsfolgen geklärt sind.

Schritt-für-Schritt-Anleitung

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikationsmatrix erfassen.
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und Cloud-Netzen kollidieren.
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Netzbereiche entfernen.
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen und Ausfallszenarien vollständig planen.
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade vermeiden.
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollierung für jeden freigegebenen Pfad testen.

Praxisübung

Eine fehlerhafte Beispieltopologie mit fehlender Rückroute und zu breiter Standardroute wird korrigiert und mit Positiv- sowie Negativtests abgenommen.

Kapitel 8: DNS, Split DNS und IPv6

Inhaltsverzeichnis dieses Kapitels

1. Interne und externe Namensräume, Suchdomänen, Resolver und bedingte Weiterl…
2. Festlegen, welche DNS-Server über den Tunnel verwendet werden und welche An…
3. Split-DNS-Fälle mit identischen internen und externen Namen eindeutig testen.
4. IPv6-Unterstützung, IPv6-Routen und potenzielle Umgehungspfade neben einem…
5. DNS-Leaks, lokale Resolver-Caches, Suchsuffixe und unterschiedliche Clientb…
6. Ausfall- und Fallbackverhalten der Resolver prüfen und die erwarteten Fehle…
7. Praxisübung

Namensauflösung und IP-Versionen werden als Teil des Zugriffskonzepts behandelt. Ein funktionierender Tunnel mit falschem DNS ist betrieblich trotzdem eine Störung.

Schritt-für-Schritt-Anleitung

1. Interne und externe Namensräume, Suchdomänen, Resolver und bedingte Weiterleitungen dokumentieren.
2. Festlegen, welche DNS-Server über den Tunnel verwendet werden und welche Anfragen lokal verbleiben dürfen.
3. Split-DNS-Fälle mit identischen internen und externen Namen eindeutig testen.
4. IPv6-Unterstützung, IPv6-Routen und potenzielle Umgehungspfade neben einem reinen IPv4-Tunnel bewerten.
5. DNS-Leaks, lokale Resolver-Caches, Suchsuffixe und unterschiedliche Clientbetriebssysteme in die Testmatrix aufnehmen.
6. Ausfall- und Fallbackverhalten der Resolver prüfen und die erwarteten Fehlermeldungen für den Support dokumentieren.

Praxisübung

Ein gemischter IPv4-/IPv6-Testaufbau mit internem Split DNS wird erstellt; fehlerhafte Resolverpriorität und ein möglicher Bypass werden identifiziert.

Kapitel 9: Pritunl Link – Architektur und Bereitstellung

Inhaltsverzeichnis dieses Kapitels

1. Zu verbindende Standorte, Cloud-Netze, Präfixe, Latenzen, Bandbreiten und F…
2. Link-Endpunkte, Managementpfade, erforderliche Ports und Vertrauensbeziehun…
3. Tunnel- und Transfernetze ohne Überschneidungen festlegen.
4. Link-Komponenten auf vorbereiteten Hosts installieren, registrieren und ein…
5. Nur die benötigten Netze veröffentlichen und Rückwege in den angeschlossene…
6. Status, Routen, Datenfluss und Wiederverbindung nach Dienstneustart prüfen.
7. Praxisübung

Pritunl Link wird als kontrollierter Verbindungsbaustein für Netze und Standorte geplant, nicht als Ersatz für fehlendes Routingdesign.

Schritt-für-Schritt-Anleitung

1. Zu verbindende Standorte, Cloud-Netze, Präfixe, Latenzen, Bandbreiten und Fehlerdomänen erfassen.
2. Link-Endpunkte, Managementpfade, erforderliche Ports und Vertrauensbeziehungen in einer Topologie darstellen.
3. Tunnel- und Transfernetze ohne Überschneidungen festlegen.
4. Link-Komponenten auf vorbereiteten Hosts installieren, registrieren und einer klaren Standortkennung zuordnen.
5. Nur die benötigten Netze veröffentlichen und Rückwege in den angeschlossenen Routern ergänzen.
6. Status, Routen, Datenfluss und Wiederverbindung nach Dienstneustart prüfen.

Praxisübung

Zwei Standorte werden in einer Laborumgebung verbunden; veröffentlichte und nicht veröffentlichte Netze werden mit Positiv- und Negativtests geprüft.

Kapitel 10: Multi-Cloud-Routing und Routenveröffentlichung

Inhaltsverzeichnis dieses Kapitels

1. VPC- und VNet-Präfixe, Regionen, Transitkomponenten, Internetpfade und vorh…
2. Überlappungen und unerwünschte transitive Erreichbarkeit vor dem Tunnelaufb…
3. VPN- oder Link-Endpunkte mit passenden Cloud-Sicherheitsgruppen und hochver…
4. Routen in Pritunl und den jeweiligen Cloud-Routentabellen konsistent veröff…
5. Routenänderungen automatisiert oder kontrolliert propagieren und fehlerhaft…
6. Regionsausfall, Wechsel des aktiven Pfads und Rückkehr in den Normalbetrieb…
7. Praxisübung

Mehrere Cloud-Netze werden mit konsistenter Adressierung, Cloud-Routentabellen und kontrollierten Sicherheitsgruppen verbunden.

Schritt-für-Schritt-Anleitung

1. VPC- und VNet-Präfixe, Regionen, Transitkomponenten, Internetpfade und vorhandene Peering-Verbindungen inventarisieren.
2. Überlappungen und unerwünschte transitive Erreichbarkeit vor dem Tunnelaufbau bewerten.
3. VPN- oder Link-Endpunkte mit passenden Cloud-Sicherheitsgruppen und hochverfügbarer Platzierung bereitstellen.
4. Routen in Pritunl und den jeweiligen Cloud-Routentabellen konsistent veröffentlichen.
5. Routenänderungen automatisiert oder kontrolliert propagieren und fehlerhafte Präfixe durch Freigaben verhindern.
6. Regionsausfall, Wechsel des aktiven Pfads und Rückkehr in den Normalbetrieb anhand definierter Messpunkte testen.

Praxisübung

Drei Cloud-Netze mit einer absichtlichen Präfixüberschneidung werden bewertet; eine sichere Zieltopologie und ein Failovertest werden ausgearbeitet.

Kapitel 11: Hochverfügbarkeit, Skalierung und Betriebsüberwachung

Inhaltsverzeichnis dieses Kapitels

1. Fehlerdomänen, Zielverfügbarkeit, Sitzungszahl und Bandbreite in ein Kapazi…
2. Mehrere Pritunl-Knoten und ein MongoDB-Replica-Set mit klaren Gesundheitspr…
3. VPN-Server auf Hosts verteilen und Management- beziehungsweise Synchronisat…
4. Metriken, Logs und Alarme für Knoten, Datenbank, Sitzungen und Netzwerk ein…
5. Host- und Datenbankausfall mit laufenden sowie neuen Verbindungen testen.
6. Wartung, Sicherung, Wiederherstellung und Kapazitätserweiterung in einem ge…
7. Praxisübung

Anwendungs-, Datenbank- und Datenpfadverfügbarkeit werden gemeinsam geplant und getestet.

Schritt-für-Schritt-Anleitung

1. Fehlerdomänen, Zielverfügbarkeit, Sitzungszahl und Bandbreite in ein Kapazitäts- und HA-Modell überführen.
2. Mehrere Pritunl-Knoten und ein MongoDB-Replica-Set mit klaren Gesundheitsprüfungen entwerfen.
3. VPN-Server auf Hosts verteilen und Management- beziehungsweise Synchronisationsadresse hochverfügbar bereitstellen.
4. Metriken, Logs und Alarme für Knoten, Datenbank, Sitzungen und Netzwerk einrichten.
5. Host- und Datenbankausfall mit laufenden sowie neuen Verbindungen testen.
6. Wartung, Sicherung, Wiederherstellung und Kapazitätserweiterung in einem gemeinsamen Runbook dokumentieren.

Praxisübung

Eine Zwei-Zonen-Architektur wird samt Überwachung und Failover-Drehbuch entworfen und in einer verkleinerten Laborumgebung getestet.

Kapitel 12: Backup, Upgrade und Wiederanlauf

Inhaltsverzeichnis dieses Kapitels

1. Sicherungsumfang, RPO, RTO, Aufbewahrung und geschützte Ablage festlegen.
2. Datenbank und relevante Konfiguration sichern und in einer Testumgebung wie…
3. Zielversion und Kompatibilität von Anwendung, Datenbank, Betriebssystem und…
4. Upgrade in Test und Produktion mit fester Reihenfolge und Abnahmematrix dur…
5. Rollbackgrenze und Wiederherstellung bei nicht kompatiblen Datenbankänderun…
6. Notfallhandbuch mit Zuständigkeiten, Zugangsdatenweg und regelmäßiger Übung…
7. Praxisübung

Sicherung, Aktualisierung und Notfallwiederherstellung werden als zusammenhängender Betriebsprozess behandelt.

Schritt-für-Schritt-Anleitung

1. Sicherungsumfang, RPO, RTO, Aufbewahrung und geschützte Ablage festlegen.
2. Datenbank und relevante Konfiguration sichern und in einer Testumgebung wiederherstellen.
3. Zielversion und Kompatibilität von Anwendung, Datenbank, Betriebssystem und Clients prüfen.
4. Upgrade in Test und Produktion mit fester Reihenfolge und Abnahmematrix durchführen.
5. Rollbackgrenze und Wiederherstellung bei nicht kompatiblen Datenbankänderungen festlegen.
6. Notfallhandbuch mit Zuständigkeiten, Zugangsdatenweg und regelmäßiger Übung pflegen.

Praxisübung

Ein kompletter Wartungszyklus aus Sicherung, Test-Restore, Upgrade und simuliertem Wiederanlauf wird dokumentiert.

Kapitel 13: Härtung, Identität und Automatisierung

Inhaltsverzeichnis dieses Kapitels

1. Managementzugang, TLS, Datenbank, Firewall und Patchprozess nach einer Härt…
2. SSO, Mehrfaktor und optional geeignete Gerätebindung für eine Pilotgruppe e…
3. API-Konto mit minimalem Umfang und geschützter Secret-Ablage bereitstellen.
4. Benutzer-Onboarding und Widerruf idempotent automatisieren.
5. Administrative Änderungen, API-Läufe und Sicherheitsereignisse zentral prot…
6. Notfallkonto, Widerruf, Secret-Rotation und Deaktivierung der Automatisieru…
7. Praxisübung

Sicherheitskontrollen werden mit wiederholbaren Verwaltungsabläufen verbunden, ohne Geheimnisse oder überbreite API-Rechte zu erzeugen.

Schritt-für-Schritt-Anleitung

1. Managementzugang, TLS, Datenbank, Firewall und Patchprozess nach einer Härtungsbaseline absichern.
2. SSO, Mehrfaktor und optional geeignete Gerätebindung für eine Pilotgruppe einführen.
3. API-Konto mit minimalem Umfang und geschützter Secret-Ablage bereitstellen.
4. Benutzer-Onboarding und Widerruf idempotent automatisieren.
5. Administrative Änderungen, API-Läufe und Sicherheitsereignisse zentral protokollieren.
6. Notfallkonto, Widerruf, Secret-Rotation und Deaktivierung der Automatisierung testen.

Praxisübung

Ein gehärteter Pilot mit SSO und automatisiertem Benutzerlebenszyklus wird aufgebaut; Secret-Verlust und Rollenentzug werden simuliert.

Kapitel 14: Installation und Basiskonfiguration von Pritunl Zero

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Plattform, Ressourcen, Hostname, DNS, NTP, MongoDB und Firewal…
2. Separate Namen für Administrationsoberfläche und erste geschützte Dienste f…
3. Erforderliche HTTP- und HTTPS-Pfade für den gewählten Zertifikatsvalidierun…
4. Pakete und Dienste installieren, Datenbankverbindung setzen und den initial…
5. Root-Domain, Zertifikatsoptionen, Zeit, Protokollierung und grundlegende Sy…
6. Dienststatus, Datenbankzugriff, Administrationsoberfläche, Neustart und Zer…
7. Praxisübung

Die Erstinstallation verbindet vorbereitete DNS-Namen, TLS-Anforderungen, Datenbank und einen abgesicherten Administratorzugang.

Schritt-für-Schritt-Anleitung

1. Unterstützte Plattform, Ressourcen, Hostname, DNS, NTP, MongoDB und Firewallpfade vorbereiten.
2. Separate Namen für Administrationsoberfläche und erste geschützte Dienste festlegen.
3. Erforderliche HTTP- und HTTPS-Pfade für den gewählten Zertifikatsvalidierungsweg freigeben.
4. Pakete und Dienste installieren, Datenbankverbindung setzen und den initialen Administratorzugang absichern.
5. Root-Domain, Zertifikatsoptionen, Zeit, Protokollierung und grundlegende Systemeinstellungen prüfen.
6. Dienststatus, Datenbankzugriff, Administrationsoberfläche, Neustart und Zertifikatsausstellung mit einer Baseline abnehmen.

Praxisübung

Eine frische Instanz wird bis zur abgesicherten Administrationsoberfläche installiert und anhand einer reproduzierbaren Checkliste validiert.

Kapitel 15: Geschützte Webdienste bereitstellen

Inhaltsverzeichnis dieses Kapitels

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen un…
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Z…
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwi…
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der rea…
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifika…
7. Praxisübung

Bestehende Webanwendungen erhalten eine vorgeschaltete Authentisierung, ohne dass die Anwendung selbst grundlegend verändert werden muss.

Schritt-für-Schritt-Anleitung

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen und verantwortliches Team erfassen.
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Zero-Zugriffsschicht ausrichten.
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwingen.
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der realen Anwendung testen.
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifikat als definierte Fehlerfälle prüfen.

Praxisübung

Eine interne Beispielanwendung wird geschützt veröffentlicht; Anmeldung, Rollenprüfung, Weiterleitung und Abmeldung werden Ende-zu-Ende abgenommen.

Kapitel 16: DNS und automatisierte TLS-Zertifikate

Inhaltsverzeichnis dieses Kapitels

1. Namensschema für Administration, Webdienste und gegebenenfalls Wildcardbere…
2. DNS-Eigentümer, TTL, Änderungsprozess und Auflösung aus internen sowie exte…
3. HTTP- oder DNS-basierte Validierung passend zur Erreichbarkeit und Sicherhe…
4. Zertifikat für einen Testdienst ausstellen und Kette, Namen, Ablauf sowie p…
5. Automatische Erneuerung überwachen und rechtzeitig vor Ablauf alarmieren.
6. Fehlerfälle durch falschen DNS-Eintrag, blockierten Validierungspfad und en…
7. Praxisübung

Zertifikatsautomation funktioniert nur mit sauberer DNS-Verantwortung, erreichbarer Validierung und überwachten Erneuerungen.

Schritt-für-Schritt-Anleitung

1. Namensschema für Administration, Webdienste und gegebenenfalls Wildcardbereiche definieren.
2. DNS-Eigentümer, TTL, Änderungsprozess und Auflösung aus internen sowie externen Netzen dokumentieren.
3. HTTP- oder DNS-basierte Validierung passend zur Erreichbarkeit und Sicherheitsvorgabe auswählen.
4. Zertifikat für einen Testdienst ausstellen und Kette, Namen, Ablauf sowie privaten Schlüsselzugriff prüfen.
5. Automatische Erneuerung überwachen und rechtzeitig vor Ablauf alarmieren.
6. Fehlerfälle durch falschen DNS-Eintrag, blockierten Validierungspfad und entzogenes DNS-Recht nachstellen.

Praxisübung

Ein Einzel- und ein Wildcard-Szenario werden geplant; mindestens ein Zertifikat wird ausgestellt und ein absichtlich fehlerhafter Erneuerungsfall diagnostiziert.

Kapitel 17: SSH-Zugriff mit CA, Bastion und Hostzertifikaten

Inhaltsverzeichnis dieses Kapitels

1. Authority, Rollen, Principals, Hostdomain und Bastiontopologie entwerfen.
2. CA-Vertrauen auf Zielhosts und Host-CA-Vertrauen auf Clients bereitstellen.
3. Benutzerzertifikat nach starker Authentisierung ausstellen und zeitlich beg…
4. Private Ziele ausschließlich über den Bastionpfad erreichbar machen.
5. Hostzertifikat ausstellen und strikte Hostprüfung aktivieren.
6. Abgelaufenes Zertifikat, falscher Principal, falscher Host und Bastionausfa…
7. Praxisübung

Benutzer- und Hostvertrauen werden mit kurzlebigen Zertifikaten und einem kontrollierten Pfad in private Netze verbunden.

Schritt-für-Schritt-Anleitung

1. Authority, Rollen, Principals, Hostdomain und Bastiontopologie entwerfen.
2. CA-Vertrauen auf Zielhosts und Host-CA-Vertrauen auf Clients bereitstellen.
3. Benutzerzertifikat nach starker Authentisierung ausstellen und zeitlich begrenzen.
4. Private Ziele ausschließlich über den Bastionpfad erreichbar machen.
5. Hostzertifikat ausstellen und strikte Hostprüfung aktivieren.
6. Abgelaufenes Zertifikat, falscher Principal, falscher Host und Bastionausfall testen.

Praxisübung

Ein vollständiger SSH-Pfad wird Ende-zu-Ende aufgebaut und mit vier gezielten Negativtests abgenommen.

Kapitel 18: Zero-Trust-Rollen, starke Authentisierung und Endpoint-Signale

Inhaltsverzeichnis dieses Kapitels

1. Rollen aus Aufgaben und Zielsystemen ableiten und auf Identitätsgruppen abb…
2. SSO sowie risikogerechte Mehrfaktor- oder WebAuthn-Anforderungen konfigurie…
3. Erlaubte und gesperrte Netze mit eindeutiger Priorität festlegen.
4. Linux-Endpoint-Agent auf einem Referenzsystem registrieren und verfügbare B…
5. Alarme für fehlende Daten und kritische Systemzustände einrichten.
6. Zugriffs- und Monitoringdaten gemeinsam auswerten, ohne Endpoint-Telemetrie…
7. Praxisübung

Identität, Rolle, Netzwerkbedingung und verfügbare Endpoint-Basisdaten werden zu einer nachvollziehbaren Zugriffspolitik verbunden.

Schritt-für-Schritt-Anleitung

1. Rollen aus Aufgaben und Zielsystemen ableiten und auf Identitätsgruppen abbilden.
2. SSO sowie risikogerechte Mehrfaktor- oder WebAuthn-Anforderungen konfigurieren.
3. Erlaubte und gesperrte Netze mit eindeutiger Priorität festlegen.
4. Linux-Endpoint-Agent auf einem Referenzsystem registrieren und verfügbare Basiskennzahlen prüfen.
5. Alarme für fehlende Daten und kritische Systemzustände einrichten.
6. Zugriffs- und Monitoringdaten gemeinsam auswerten, ohne Endpoint-Telemetrie als vollständige EDR zu missverstehen.

Praxisübung

Eine Rolle mit starker Authentisierung und ein überwachter Linux-Endpunkt werden eingerichtet; Gruppenentzug und stummer Agent werden getestet.

Kapitel 19: Hochverfügbarkeit und Lastverteilung für Pritunl Zero

Inhaltsverzeichnis dieses Kapitels

1. Fehlerdomänen und gewünschte Verfügbarkeit für Administration, Webproxy und…
2. Mehrere Zero-Knoten mit gemeinsamer, hochverfügbarer MongoDB-Topologie bere…
3. Load Balancer mit korrektem Protokoll-, Quelladress- und Gesundheitsprüfung…
4. DNS-Namen, Zertifikate und Vertrauensanker auf den hochverfügbaren Endpunkt…
5. Bestehende Websitzungen, neue Anmeldungen und SSH-Zertifikatsanforderungen…
6. Wartung, Rückkehr des Knotens, Datenbankwahl und Zertifikatserneuerung in e…
7. Praxisübung

Web- und SSH-Zugriffe benötigen eine hochverfügbare Zugriffsschicht, Datenbank und Namensauflösung mit abgestimmten Gesundheitsprüfungen.

Schritt-für-Schritt-Anleitung

1. Fehlerdomänen und gewünschte Verfügbarkeit für Administration, Webproxy und SSH-Zertifikatsausgabe festlegen.
2. Mehrere Zero-Knoten mit gemeinsamer, hochverfügbarer MongoDB-Topologie bereitstellen.
3. Load Balancer mit korrektem Protokoll-, Quelladress- und Gesundheitsprüfungsverhalten konfigurieren.
4. DNS-Namen, Zertifikate und Vertrauensanker auf den hochverfügbaren Endpunkt ausrichten.
5. Bestehende Websitzungen, neue Anmeldungen und SSH-Zertifikatsanforderungen bei Knotenausfall prüfen.
6. Wartung, Rückkehr des Knotens, Datenbankwahl und Zertifikatserneuerung in einem Runbook dokumentieren.

Praxisübung

Ein Zwei-Knoten-Aufbau vor einem Load Balancer wird getestet; Knoten- und Datenbankausfall werden getrennt simuliert.

Kapitel 20: Integriertes Abschlusslabor Enterprise Access

Inhaltsverzeichnis dieses Kapitels

1. Zielarchitektur für Remote Access, zwei Webdienste und einen SSH-Administra…
2. VPN-Grunddienst mit Organisation, Benutzer, Protokoll, Routen und DNS berei…
3. Webdienst über Pritunl Zero mit Rolle, starker Authentisierung und TLS verö…
4. SSH-Zugriff mit Authority, kurzlebigem Zertifikat und optionaler Bastion ei…
5. Monitoring, Protokollierung, Sicherung und zwei aussagekräftige Alarme ergä…
6. Positiv-, Negativ-, Ausfall- und Wiederherstellungstests durchführen und di…
7. Praxisübung

Das Labor verbindet VPN, Zero Trust, Identität, Netzwerk, Zertifikate, Monitoring und Betrieb in einem durchgängigen Szenario.

Schritt-für-Schritt-Anleitung

1. Zielarchitektur für Remote Access, zwei Webdienste und einen SSH-Administrationspfad aus einer Anforderungsliste ableiten.
2. VPN-Grunddienst mit Organisation, Benutzer, Protokoll, Routen und DNS bereitstellen.
3. Webdienst über Pritunl Zero mit Rolle, starker Authentisierung und TLS veröffentlichen.
4. SSH-Zugriff mit Authority, kurzlebigem Zertifikat und optionaler Bastion einrichten.
5. Monitoring, Protokollierung, Sicherung und zwei aussagekräftige Alarme ergänzen.
6. Positiv-, Negativ-, Ausfall- und Wiederherstellungstests durchführen und die Betriebsfreigabe dokumentieren.

Praxisübung

Ein vollständiger Musterbetrieb wird aus einer leeren Umgebung aufgebaut, abgenommen, gezielt gestört und wiederhergestellt.

Praxislabor

Über fünf Tage entsteht eine integrierte Musterumgebung. Remote-Benutzer erhalten klar begrenzten VPN-Zugriff, eine Webanwendung wird über Zero Trust veröffentlicht und Linux-Systeme werden über kurzlebige SSH-Zertifikate sowie Bastion administriert. SSO, starke Authentisierung, Monitoring, Sicherung und Ausfalltests vervollständigen den Aufbau.

Methodik

Intensiver Wechsel aus Architektur, Demonstration, geführter Konfiguration, eigenständigen Arbeitspaketen und täglicher Zwischenabnahme. Das Abschlusslabor verbindet alle Themen; ungetestete Sicherheits- oder Wiederherstellungsannahmen gelten nicht als abgeschlossen.