Seminar Pritunl – Intensivseminar VPN Administration und Betrieb

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Anforderungsaufnahme und Zielarchitektur
6. Kapitel 2: Installation des VPN-Servers
7. Kapitel 3: MongoDB-Grundkonfiguration und Absicherung
8. Kapitel 4: Organisationen, Benutzer, Gruppen und Berechtigungsmodell
9. Kapitel 5: Client-Rollout und Profilbereitstellung
10. Kapitel 6: OpenVPN und WireGuard im direkten Vergleich
11. Kapitel 7: Routing, Split Tunnel und Full Tunnel
12. Kapitel 8: DNS, Split DNS und IPv6
13. Kapitel 9: Pritunl Link – Architektur und Bereitstellung
14. Kapitel 10: Site-to-Site-Verbindungen und Serverkopplung
15. Kapitel 11: Multi-Cloud-Routing und Routenveröffentlichung
16. Kapitel 12: Hochverfügbarkeit, Skalierung und Betriebsüberwachung
17. Kapitel 13: Systemhärtung und Schutz der Managementebene
18. Kapitel 14: Gerätebindung und Device Authentication
19. Kapitel 15: Single Sign-On und Mehrfaktor-Authentifizierung
20. Kapitel 16: Monitoring, Protokollierung und Alarmierung
21. Kapitel 17: Backup, Upgrade und Wiederanlauf
22. Kapitel 18: API, Plugins und wiederholbare Administration
23. Kapitel 19: Abschlusslabor VPN-Plattform
24. Praxislabor
25. Methodik

Seminarprofil

Das fünftägige Intensivseminar bündelt alle VPN-bezogenen Einzelthemen zu einem vollständigen Administrations- und Betriebsprogramm. Von Planung und Installation über Benutzer, Protokolle, Routing und Standortkopplung bis zu Hochverfügbarkeit, Sicherheit, Monitoring und Automatisierung entsteht ein durchgängiger technischer Zusammenhang.

Der Aufbau richtet sich an Teams, die eine Plattform neu einführen, übernehmen oder professionalisieren. Besonderer Wert liegt auf reproduzierbaren Betriebsverfahren, Negativtests, Sicherung, Ausfallbeherrschung und klaren Grenzen der Automatisierung.

Zielgruppe

Pritunl-, Linux- und Netzwerkadministratoren, Plattform- und SRE-Teams, Systemintegratoren, technische Architekten und Betreiber größerer VPN-Umgebungen.

Voraussetzungen

Gute Linux-, IPv4-/IPv6-, Routing-, DNS-, Firewall- und VPN-Kenntnisse. MongoDB- und Automatisierungsgrundlagen sind hilfreich.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Anforderungsaufnahme und Zielarchitektur

Inhaltsverzeichnis dieses Kapitels

1. Benutzergruppen, Endgeräte, Standorte, Zielnetze, Anwendungen und Administr…
2. Schutzbedarf, Datenklassifikation, Trennungsanforderungen und zulässige Ver…
3. Gleichzeitige Sitzungen, Bandbreite, Latenz, Wachstumsreserve und gewünscht…
4. Identitätsquelle, Gruppenmodell, Mehrfaktorverfahren, Notfallkonten und Pro…
5. DNS-Namen, Zertifikatswege, Ports, Routing, NAT, Proxy- und Load-Balancer-A…
6. Abnahmekriterien, Testfälle, Betriebsverantwortung und einen realistischen…
7. Praxisübung

Vor der Installation werden fachliche Ziele, Schutzbedarf und technische Randbedingungen in messbare Architekturvorgaben übersetzt.

Schritt-für-Schritt-Anleitung

1. Benutzergruppen, Endgeräte, Standorte, Zielnetze, Anwendungen und Administrationswege inventarisieren.
2. Schutzbedarf, Datenklassifikation, Trennungsanforderungen und zulässige Vertrauensgrenzen je Zugriffspfad festlegen.
3. Gleichzeitige Sitzungen, Bandbreite, Latenz, Wachstumsreserve und gewünschte Wiederanlaufzeiten abschätzen.
4. Identitätsquelle, Gruppenmodell, Mehrfaktorverfahren, Notfallkonten und Prozesse für Eintritt, Wechsel und Austritt definieren.
5. DNS-Namen, Zertifikatswege, Ports, Routing, NAT, Proxy- und Load-Balancer-Anforderungen in einem technischen Plan zusammenführen.
6. Abnahmekriterien, Testfälle, Betriebsverantwortung und einen realistischen Rückfallweg vor Beginn der Umsetzung festschreiben.

Praxisübung

Aus einer unvollständigen Projektbeschreibung wird eine prüfbare Anforderungsliste mit Muss-, Soll- und Kann-Kriterien sowie einer Zielskizze abgeleitet.

Kapitel 2: Installation des VPN-Servers

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Plattform, Paketquelle und Versionsstand anhand der vorgesehen…
2. Hostnamen, DNS-Auflösung, NTP, Systemressourcen, Datenträger, Firewallregel…
3. MongoDB-Verbindung und Authentifizierung planen
4. Pritunl-Pakete installieren, Dienste aktivieren und den initialen Setup-Sch…
5. Webkonsole aufrufen, Datenbankverbindung setzen, Erstkennwort ändern und ei…
6. Dienststatus, Datenbankzugriff, Webkonsole, Protokolle und Neustartverhalte…
7. Praxisübung

Die Installation wird reproduzierbar vorbereitet, durchgeführt und unmittelbar gegen eine technische Baseline geprüft.

Schritt-für-Schritt-Anleitung

1. Unterstützte Plattform, Paketquelle und Versionsstand anhand der vorgesehenen Betriebsumgebung auswählen und dokumentieren.
2. Hostnamen, DNS-Auflösung, NTP, Systemressourcen, Datenträger, Firewallregeln und administrativen Zugriff vorbereiten.
3. MongoDB-Verbindung und Authentifizierung planen; Datenbank und Anwendung nach Möglichkeit in getrennten Sicherheitszonen betreiben.
4. Pritunl-Pakete installieren, Dienste aktivieren und den initialen Setup-Schlüssel kontrolliert auslesen.
5. Webkonsole aufrufen, Datenbankverbindung setzen, Erstkennwort ändern und ein individuelles TLS-Konzept vorbereiten.
6. Dienststatus, Datenbankzugriff, Webkonsole, Protokolle und Neustartverhalten mit einer Installationscheckliste prüfen.

Praxisübung

Eine leere Linux-Instanz wird bis zur betriebsbereiten Administrationsoberfläche aufgebaut; alle Prüfpunkte werden in einem Installationsprotokoll festgehalten.

Kapitel 3: MongoDB-Grundkonfiguration und Absicherung

Inhaltsverzeichnis dieses Kapitels

1. Datenbanktopologie, Netzwerkbindung und getrennte Administrationskonten für…
2. Authentifizierung aktivieren, starke Zugangsdaten erzeugen und die Verbindu…
3. Netzwerkzugriffe auf benötigte Pritunl-Hosts und Administrationssysteme bes…
4. Datenträgerkapazität, Protokollrotation, Uhrzeit und Systemüberwachung für…
5. Eine erste konsistente Sicherung erzeugen, verschlüsselt ablegen und die Wi…
6. Für spätere Hochverfügbarkeit die Voraussetzungen eines Replica Sets und di…
7. Praxisübung

MongoDB ist der zentrale Zustands- und Konfigurationsspeicher. Fehlende Absicherung oder ungeprüfte Sicherungen machen selbst eine saubere VPN-Konfiguration wertlos.

Schritt-für-Schritt-Anleitung

1. Datenbanktopologie, Netzwerkbindung und getrennte Administrationskonten für Anwendung und Datenbank festlegen.
2. Authentifizierung aktivieren, starke Zugangsdaten erzeugen und die Verbindungszeichenfolge geschützt hinterlegen.
3. Netzwerkzugriffe auf benötigte Pritunl-Hosts und Administrationssysteme beschränken.
4. Datenträgerkapazität, Protokollrotation, Uhrzeit und Systemüberwachung für den Datenbankhost konfigurieren.
5. Eine erste konsistente Sicherung erzeugen, verschlüsselt ablegen und die Wiederherstellbarkeit in einer separaten Testinstanz prüfen.
6. Für spätere Hochverfügbarkeit die Voraussetzungen eines Replica Sets und die notwendigen Fehlerdomänen dokumentieren.

Praxisübung

Eine unsicher konfigurierte Beispieldatenbank wird gehärtet; anschließend wird eine Sicherung erstellt und in einer isolierten Umgebung wiederhergestellt.

Kapitel 4: Organisationen, Benutzer, Gruppen und Berechtigungsmodell

Inhaltsverzeichnis dieses Kapitels

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlich…
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen…
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigk…
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zug…
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als sta…
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und üb…
7. Praxisübung

Ein sauberes Objektmodell verhindert, dass technische VPN-Profile zum unkontrollierten Sammelbecken für alle Beschäftigten werden.

Schritt-für-Schritt-Anleitung

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlichkeit abgrenzen und Namenskonventionen festlegen.
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen ohne individuelle Sonderfälle möglich bleiben.
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigkeit von Profilen und zweiten Faktoren definieren.
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zugriffsmöglichkeiten gegen die Sollmatrix prüfen.
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als standardisierten Lebenszyklus beschreiben.
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und überbreite Gruppenzuordnungen einrichten.

Praxisübung

Aus einer Personal- und Rollenliste wird ein Organisations- und Gruppenmodell aufgebaut; Eintritt, Rollenwechsel und Austritt werden vollständig durchgespielt.

Kapitel 5: Client-Rollout und Profilbereitstellung

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Betriebssysteme, Clientvarianten und erforderliche Protokollfu…
2. Installationspakete über vorhandene Softwareverteilung bereitstellen und ad…
3. Profile über einen authentisierten Prozess ausgeben
4. Erstverbindung, zweiter Faktor, Gerätezustand, automatische Profilaktualisi…
5. Clientupdates zunächst in einer Pilotgruppe testen und anschließend in kont…
6. Verlust, Gerätewechsel, Profilwiderruf und Neuaufnahme als dokumentierte Su…
7. Praxisübung

Ein sicherer Client-Rollout verbindet technische Profile mit nachvollziehbarer Ausgabe, Aktualisierung und Unterstützung der Endgeräte.

Schritt-für-Schritt-Anleitung

1. Unterstützte Betriebssysteme, Clientvarianten und erforderliche Protokollfunktionen je Endgeräteklasse festlegen.
2. Installationspakete über vorhandene Softwareverteilung bereitstellen und administrative Installationsrechte begrenzen.
3. Profile über einen authentisierten Prozess ausgeben; unverschlüsselte Ablage in E-Mail, Tickets oder gemeinsamen Ordnern vermeiden.
4. Erstverbindung, zweiter Faktor, Gerätezustand, automatische Profilaktualisierung und Benutzerhinweise standardisieren.
5. Clientupdates zunächst in einer Pilotgruppe testen und anschließend in kontrollierten Ringen verteilen.
6. Verlust, Gerätewechsel, Profilwiderruf und Neuaufnahme als dokumentierte Supportfälle abbilden.

Praxisübung

Ein Rolloutplan für Windows-, macOS- und Linux-Endgeräte wird einschließlich Pilotgruppe, Rückfalloption, Supporttext und Widerrufsprozess erstellt.

Kapitel 6: OpenVPN und WireGuard im direkten Vergleich

Inhaltsverzeichnis dieses Kapitels

1. Gemeinsames Tunnelnetzkonzept, Zielrouten, DNS und Testbenutzer für den Ver…
2. OpenVPN-Profil mit geeignetem Transport und konservativen Stabilitätsparame…
3. WireGuard-Profil für denselben Zugriffsumfang auf einer Pilotgruppe bereits…
4. Verbindungsaufbau, Roaming, MTU, Durchsatz, CPU-Last und Clientkompatibilit…
5. Entscheidungskriterien pro Endgeräte- und Netzwerkklasse dokumentieren.
6. Fallback- und Migrationsweg festlegen, ohne dauerhaft unkontrollierte Doppe…
7. Praxisübung

Beide Protokolle werden in einer gemeinsamen Referenzumgebung aufgebaut und anhand identischer Anforderungen bewertet.

Schritt-für-Schritt-Anleitung

1. Gemeinsames Tunnelnetzkonzept, Zielrouten, DNS und Testbenutzer für den Vergleich vorbereiten.
2. OpenVPN-Profil mit geeignetem Transport und konservativen Stabilitätsparametern einrichten.
3. WireGuard-Profil für denselben Zugriffsumfang auf einer Pilotgruppe bereitstellen.
4. Verbindungsaufbau, Roaming, MTU, Durchsatz, CPU-Last und Clientkompatibilität vergleichen.
5. Entscheidungskriterien pro Endgeräte- und Netzwerkklasse dokumentieren.
6. Fallback- und Migrationsweg festlegen, ohne dauerhaft unkontrollierte Doppelprofile zu erzeugen.

Praxisübung

Zwei funktional gleichwertige Profile werden gemessen und einer begründeten Einsatzempfehlung zugeordnet.

Kapitel 7: Routing, Split Tunnel und Full Tunnel

Inhaltsverzeichnis dieses Kapitels

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikat…
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und…
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Net…
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen…
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade…
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollieru…
7. Praxisübung

Routen werden aus dem tatsächlichen Kommunikationsbedarf abgeleitet. Pauschale Standardrouten werden nur eingesetzt, wenn Sicherheits- und Kapazitätsfolgen geklärt sind.

Schritt-für-Schritt-Anleitung

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikationsmatrix erfassen.
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und Cloud-Netzen kollidieren.
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Netzbereiche entfernen.
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen und Ausfallszenarien vollständig planen.
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade vermeiden.
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollierung für jeden freigegebenen Pfad testen.

Praxisübung

Eine fehlerhafte Beispieltopologie mit fehlender Rückroute und zu breiter Standardroute wird korrigiert und mit Positiv- sowie Negativtests abgenommen.

Kapitel 8: DNS, Split DNS und IPv6

Inhaltsverzeichnis dieses Kapitels

1. Interne und externe Namensräume, Suchdomänen, Resolver und bedingte Weiterl…
2. Festlegen, welche DNS-Server über den Tunnel verwendet werden und welche An…
3. Split-DNS-Fälle mit identischen internen und externen Namen eindeutig testen.
4. IPv6-Unterstützung, IPv6-Routen und potenzielle Umgehungspfade neben einem…
5. DNS-Leaks, lokale Resolver-Caches, Suchsuffixe und unterschiedliche Clientb…
6. Ausfall- und Fallbackverhalten der Resolver prüfen und die erwarteten Fehle…
7. Praxisübung

Namensauflösung und IP-Versionen werden als Teil des Zugriffskonzepts behandelt. Ein funktionierender Tunnel mit falschem DNS ist betrieblich trotzdem eine Störung.

Schritt-für-Schritt-Anleitung

1. Interne und externe Namensräume, Suchdomänen, Resolver und bedingte Weiterleitungen dokumentieren.
2. Festlegen, welche DNS-Server über den Tunnel verwendet werden und welche Anfragen lokal verbleiben dürfen.
3. Split-DNS-Fälle mit identischen internen und externen Namen eindeutig testen.
4. IPv6-Unterstützung, IPv6-Routen und potenzielle Umgehungspfade neben einem reinen IPv4-Tunnel bewerten.
5. DNS-Leaks, lokale Resolver-Caches, Suchsuffixe und unterschiedliche Clientbetriebssysteme in die Testmatrix aufnehmen.
6. Ausfall- und Fallbackverhalten der Resolver prüfen und die erwarteten Fehlermeldungen für den Support dokumentieren.

Praxisübung

Ein gemischter IPv4-/IPv6-Testaufbau mit internem Split DNS wird erstellt; fehlerhafte Resolverpriorität und ein möglicher Bypass werden identifiziert.

Kapitel 9: Pritunl Link – Architektur und Bereitstellung

Inhaltsverzeichnis dieses Kapitels

1. Zu verbindende Standorte, Cloud-Netze, Präfixe, Latenzen, Bandbreiten und F…
2. Link-Endpunkte, Managementpfade, erforderliche Ports und Vertrauensbeziehun…
3. Tunnel- und Transfernetze ohne Überschneidungen festlegen.
4. Link-Komponenten auf vorbereiteten Hosts installieren, registrieren und ein…
5. Nur die benötigten Netze veröffentlichen und Rückwege in den angeschlossene…
6. Status, Routen, Datenfluss und Wiederverbindung nach Dienstneustart prüfen.
7. Praxisübung

Pritunl Link wird als kontrollierter Verbindungsbaustein für Netze und Standorte geplant, nicht als Ersatz für fehlendes Routingdesign.

Schritt-für-Schritt-Anleitung

1. Zu verbindende Standorte, Cloud-Netze, Präfixe, Latenzen, Bandbreiten und Fehlerdomänen erfassen.
2. Link-Endpunkte, Managementpfade, erforderliche Ports und Vertrauensbeziehungen in einer Topologie darstellen.
3. Tunnel- und Transfernetze ohne Überschneidungen festlegen.
4. Link-Komponenten auf vorbereiteten Hosts installieren, registrieren und einer klaren Standortkennung zuordnen.
5. Nur die benötigten Netze veröffentlichen und Rückwege in den angeschlossenen Routern ergänzen.
6. Status, Routen, Datenfluss und Wiederverbindung nach Dienstneustart prüfen.

Praxisübung

Zwei Standorte werden in einer Laborumgebung verbunden; veröffentlichte und nicht veröffentlichte Netze werden mit Positiv- und Negativtests geprüft.

Kapitel 10: Site-to-Site-Verbindungen und Serverkopplung

Inhaltsverzeichnis dieses Kapitels

1. Lokale und entfernte Präfixe, Rückrouten, NAT, MTU und erlaubte Dienste vol…
2. Geeignete Kopplungsart anhand Gegenstelle, Protokollanforderung und Betrieb…
3. Tunnelendpunkte und Authentisierung getrennt von den transportierten Nutzne…
4. Spezifische Routen veröffentlichen und asymmetrische Pfade durch klare Rück…
5. Verbindung mit mehreren Diensten, großen Paketen und länger laufenden Sitzu…
6. Ausfall, Wiederaufbau, Schlüsselwechsel und geplante Wartung in Monitoring…
7. Praxisübung

Standortkopplungen erhalten eine eindeutige Netz- und Verantwortungsstruktur sowie definierte Wiederanlauf- und Überwachungsprozesse.

Schritt-für-Schritt-Anleitung

1. Lokale und entfernte Präfixe, Rückrouten, NAT, MTU und erlaubte Dienste vollständig erfassen.
2. Geeignete Kopplungsart anhand Gegenstelle, Protokollanforderung und Betriebsverantwortung auswählen.
3. Tunnelendpunkte und Authentisierung getrennt von den transportierten Nutznetzen konfigurieren.
4. Spezifische Routen veröffentlichen und asymmetrische Pfade durch klare Rückwege vermeiden.
5. Verbindung mit mehreren Diensten, großen Paketen und länger laufenden Sitzungen testen.
6. Ausfall, Wiederaufbau, Schlüsselwechsel und geplante Wartung in Monitoring und Runbook aufnehmen.

Praxisübung

Eine Standortkopplung mit zwei Teilnetzen und einem unerwünschten Transitpfad wird aufgebaut; der Transit muss technisch ausgeschlossen werden.

Kapitel 11: Multi-Cloud-Routing und Routenveröffentlichung

Inhaltsverzeichnis dieses Kapitels

1. VPC- und VNet-Präfixe, Regionen, Transitkomponenten, Internetpfade und vorh…
2. Überlappungen und unerwünschte transitive Erreichbarkeit vor dem Tunnelaufb…
3. VPN- oder Link-Endpunkte mit passenden Cloud-Sicherheitsgruppen und hochver…
4. Routen in Pritunl und den jeweiligen Cloud-Routentabellen konsistent veröff…
5. Routenänderungen automatisiert oder kontrolliert propagieren und fehlerhaft…
6. Regionsausfall, Wechsel des aktiven Pfads und Rückkehr in den Normalbetrieb…
7. Praxisübung

Mehrere Cloud-Netze werden mit konsistenter Adressierung, Cloud-Routentabellen und kontrollierten Sicherheitsgruppen verbunden.

Schritt-für-Schritt-Anleitung

1. VPC- und VNet-Präfixe, Regionen, Transitkomponenten, Internetpfade und vorhandene Peering-Verbindungen inventarisieren.
2. Überlappungen und unerwünschte transitive Erreichbarkeit vor dem Tunnelaufbau bewerten.
3. VPN- oder Link-Endpunkte mit passenden Cloud-Sicherheitsgruppen und hochverfügbarer Platzierung bereitstellen.
4. Routen in Pritunl und den jeweiligen Cloud-Routentabellen konsistent veröffentlichen.
5. Routenänderungen automatisiert oder kontrolliert propagieren und fehlerhafte Präfixe durch Freigaben verhindern.
6. Regionsausfall, Wechsel des aktiven Pfads und Rückkehr in den Normalbetrieb anhand definierter Messpunkte testen.

Praxisübung

Drei Cloud-Netze mit einer absichtlichen Präfixüberschneidung werden bewertet; eine sichere Zieltopologie und ein Failovertest werden ausgearbeitet.

Kapitel 12: Hochverfügbarkeit, Skalierung und Betriebsüberwachung

Inhaltsverzeichnis dieses Kapitels

1. Fehlerdomänen, Zielverfügbarkeit, Sitzungszahl und Bandbreite in ein Kapazi…
2. Mehrere Pritunl-Knoten und ein MongoDB-Replica-Set mit klaren Gesundheitspr…
3. VPN-Server auf Hosts verteilen und Management- beziehungsweise Synchronisat…
4. Metriken, Logs und Alarme für Knoten, Datenbank, Sitzungen und Netzwerk ein…
5. Host- und Datenbankausfall mit laufenden sowie neuen Verbindungen testen.
6. Wartung, Sicherung, Wiederherstellung und Kapazitätserweiterung in einem ge…
7. Praxisübung

Anwendungs-, Datenbank- und Datenpfadverfügbarkeit werden gemeinsam geplant und getestet.

Schritt-für-Schritt-Anleitung

1. Fehlerdomänen, Zielverfügbarkeit, Sitzungszahl und Bandbreite in ein Kapazitäts- und HA-Modell überführen.
2. Mehrere Pritunl-Knoten und ein MongoDB-Replica-Set mit klaren Gesundheitsprüfungen entwerfen.
3. VPN-Server auf Hosts verteilen und Management- beziehungsweise Synchronisationsadresse hochverfügbar bereitstellen.
4. Metriken, Logs und Alarme für Knoten, Datenbank, Sitzungen und Netzwerk einrichten.
5. Host- und Datenbankausfall mit laufenden sowie neuen Verbindungen testen.
6. Wartung, Sicherung, Wiederherstellung und Kapazitätserweiterung in einem gemeinsamen Runbook dokumentieren.

Praxisübung

Eine Zwei-Zonen-Architektur wird samt Überwachung und Failover-Drehbuch entworfen und in einer verkleinerten Laborumgebung getestet.

Kapitel 13: Systemhärtung und Schutz der Managementebene

Inhaltsverzeichnis dieses Kapitels

1. Betriebssystem minimal installieren, unnötige Dienste entfernen und zeitnah…
2. Administrationszugriff auf definierte Netze und starke, getrennte Konten be…
3. TLS-Zertifikate, sichere Namensauflösung und Schutz der privaten Schlüssel…
4. MongoDB authentisieren, Netzwerkzugriff einschränken und Anwendungszugangsd…
5. Host- und Netzwerkfirewall auf erforderliche Management-, VPN- und Replikat…
6. Härtungsstand regelmäßig gegen eine Checkliste prüfen und Abweichungen als…
7. Praxisübung

Die Managementebene erhält strengere Kontrollen als der normale Benutzerzugang, da Änderungen unmittelbar alle Zugriffswege betreffen.

Schritt-für-Schritt-Anleitung

1. Betriebssystem minimal installieren, unnötige Dienste entfernen und zeitnahe Sicherheitsupdates organisieren.
2. Administrationszugriff auf definierte Netze und starke, getrennte Konten begrenzen; Notfallzugang separat verwahren.
3. TLS-Zertifikate, sichere Namensauflösung und Schutz der privaten Schlüssel einrichten.
4. MongoDB authentisieren, Netzwerkzugriff einschränken und Anwendungszugangsdaten geschützt speichern.
5. Host- und Netzwerkfirewall auf erforderliche Management-, VPN- und Replikationspfade reduzieren.
6. Härtungsstand regelmäßig gegen eine Checkliste prüfen und Abweichungen als genehmigte Ausnahme oder Maßnahme behandeln.

Praxisübung

Ein absichtlich zu offen konfiguriertes System wird anhand einer Härtungscheckliste bereinigt und mit Port-, Konto- und Zertifikatsprüfungen abgenommen.

Kapitel 14: Gerätebindung und Device Authentication

Inhaltsverzeichnis dieses Kapitels

1. Geeignete Endgeräte, Pritunl-Clientversionen und verfügbare Hardware-Sicher…
2. Registrierungsprozess, Eigentümerzuordnung und Freigabe für neue Geräte def…
3. Geräteauthentisierung in einer Pilotorganisation aktivieren und ein Referen…
4. Verbindung mit korrektem Gerät, fremdem Gerät, kopiertem Profil und zurückg…
5. Verlust, Austausch, Reparatur und Widerruf als Helpdesk- und Sicherheitspro…
6. Fallback für nicht geeignete Geräte eng begrenzen und regelmäßig auf fortbe…
7. Praxisübung

Gerätebindung ergänzt Benutzeridentität um einen kryptografisch nachweisbaren Gerätekontext. Plattform- und Lizenzvoraussetzungen werden vorab geprüft.

Schritt-für-Schritt-Anleitung

1. Geeignete Endgeräte, Pritunl-Clientversionen und verfügbare Hardware-Sicherheitsfunktionen inventarisieren.
2. Registrierungsprozess, Eigentümerzuordnung und Freigabe für neue Geräte definieren.
3. Geräteauthentisierung in einer Pilotorganisation aktivieren und ein Referenzgerät registrieren.
4. Verbindung mit korrektem Gerät, fremdem Gerät, kopiertem Profil und zurückgesetztem Gerät testen.
5. Verlust, Austausch, Reparatur und Widerruf als Helpdesk- und Sicherheitsprozess dokumentieren.
6. Fallback für nicht geeignete Geräte eng begrenzen und regelmäßig auf fortbestehende Notwendigkeit prüfen.

Praxisübung

Ein Benutzerprofil wird auf ein registriertes Gerät gebunden; Kopie auf ein zweites Gerät, Widerruf und kontrollierte Neuaufnahme werden getestet.

Kapitel 15: Single Sign-On und Mehrfaktor-Authentifizierung

Inhaltsverzeichnis dieses Kapitels

1. Identitätsanbieter, unterstützte Integrationsart, Gruppeninformationen, Meh…
2. Anwendung beim Identitätsanbieter registrieren und Rücksprungadressen, Gehe…
3. Gruppen oder Organisationsnamen eindeutig dem Pritunl-Berechtigungsmodell z…
4. SSO in einer Pilotorganisation aktivieren und Anmeldung, Reauthentisierung,…
5. Gesperrte, gelöschte, nicht zugewiesene und falsch gruppierte Benutzer als…
6. Lokales Notfallkonto, Geheimnisrotation, Ablauf von Zertifikaten und Störun…
7. Praxisübung

Die Identitätsintegration übernimmt Benutzerstatus und Gruppenbezug aus einer zentralen Quelle, ohne lokale Notfall- und Administrationswege zu vernachlässigen.

Schritt-für-Schritt-Anleitung

1. Identitätsanbieter, unterstützte Integrationsart, Gruppeninformationen, Mehrfaktorverfahren und Lizenzvoraussetzungen prüfen.
2. Anwendung beim Identitätsanbieter registrieren und Rücksprungadressen, Geheimnisse sowie erlaubte Benutzergruppen festlegen.
3. Gruppen oder Organisationsnamen eindeutig dem Pritunl-Berechtigungsmodell zuordnen.
4. SSO in einer Pilotorganisation aktivieren und Anmeldung, Reauthentisierung, zweiten Faktor sowie Gruppenwechsel testen.
5. Gesperrte, gelöschte, nicht zugewiesene und falsch gruppierte Benutzer als Negativfälle prüfen.
6. Lokales Notfallkonto, Geheimnisrotation, Ablauf von Zertifikaten und Störung des Identitätsanbieters in einem Betriebsverfahren abbilden.

Praxisübung

Eine Testintegration wird mit zwei Gruppen und einem Mehrfaktorverfahren aufgebaut; Eintritt, Gruppenwechsel, Sperre und Ausfall des Identitätsanbieters werden getestet.

Kapitel 16: Monitoring, Protokollierung und Alarmierung

Inhaltsverzeichnis dieses Kapitels

1. Zu überwachende Komponenten aus Host, Anwendung, MongoDB, VPN-Servern, Schn…
2. Metriken für CPU, Speicher, Datenträger, Netzwerk, Sitzungen, Verbindungsfe…
3. Anwendungs-, System- und Datenbankprotokolle zentral sammeln, Zeitstempel v…
4. Warn- und Kritisch-Schwellen mit Verzögerung und Entstörung formulieren, da…
5. Technische Alarme mit Verantwortlichen, Bereitschaft, Ticketweg und Reaktio…
6. Geplante Testalarme auslösen und prüfen, ob Meldung, Diagnose, Eskalation u…
7. Praxisübung

Überwachung verbindet technische Verfügbarkeit, Kapazität und Sicherheitsereignisse. Einzelne grüne Dienstanzeigen reichen nicht aus.

Schritt-für-Schritt-Anleitung

1. Zu überwachende Komponenten aus Host, Anwendung, MongoDB, VPN-Servern, Schnittstellen und externen Abhängigkeiten ableiten.
2. Metriken für CPU, Speicher, Datenträger, Netzwerk, Sitzungen, Verbindungsfehler und Datenbankzustand festlegen.
3. Anwendungs-, System- und Datenbankprotokolle zentral sammeln, Zeitstempel vereinheitlichen und Aufbewahrung definieren.
4. Warn- und Kritisch-Schwellen mit Verzögerung und Entstörung formulieren, damit einzelne Messspitzen keine Alarmflut auslösen.
5. Technische Alarme mit Verantwortlichen, Bereitschaft, Ticketweg und Reaktionsanweisung verbinden.
6. Geplante Testalarme auslösen und prüfen, ob Meldung, Diagnose, Eskalation und Abschluss lückenlos funktionieren.

Praxisübung

Ein Monitoringkatalog mit Messwert, Quelle, Intervall, Schwelle, Alarmtext, Verantwortlichem und Reaktionsschritt wird aufgebaut.

Kapitel 17: Backup, Upgrade und Wiederanlauf

Inhaltsverzeichnis dieses Kapitels

1. Sicherungsumfang, RPO, RTO, Aufbewahrung und geschützte Ablage festlegen.
2. Datenbank und relevante Konfiguration sichern und in einer Testumgebung wie…
3. Zielversion und Kompatibilität von Anwendung, Datenbank, Betriebssystem und…
4. Upgrade in Test und Produktion mit fester Reihenfolge und Abnahmematrix dur…
5. Rollbackgrenze und Wiederherstellung bei nicht kompatiblen Datenbankänderun…
6. Notfallhandbuch mit Zuständigkeiten, Zugangsdatenweg und regelmäßiger Übung…
7. Praxisübung

Sicherung, Aktualisierung und Notfallwiederherstellung werden als zusammenhängender Betriebsprozess behandelt.

Schritt-für-Schritt-Anleitung

1. Sicherungsumfang, RPO, RTO, Aufbewahrung und geschützte Ablage festlegen.
2. Datenbank und relevante Konfiguration sichern und in einer Testumgebung wiederherstellen.
3. Zielversion und Kompatibilität von Anwendung, Datenbank, Betriebssystem und Clients prüfen.
4. Upgrade in Test und Produktion mit fester Reihenfolge und Abnahmematrix durchführen.
5. Rollbackgrenze und Wiederherstellung bei nicht kompatiblen Datenbankänderungen festlegen.
6. Notfallhandbuch mit Zuständigkeiten, Zugangsdatenweg und regelmäßiger Übung pflegen.

Praxisübung

Ein kompletter Wartungszyklus aus Sicherung, Test-Restore, Upgrade und simuliertem Wiederanlauf wird dokumentiert.

Kapitel 18: API, Plugins und wiederholbare Administration

Inhaltsverzeichnis dieses Kapitels

1. Automatisierungsfälle nach Häufigkeit, Fehlerfolgen und Genehmigungsbedarf…
2. API-Zugang mit minimalen Rechten und rotierbaren Geheimnissen einrichten.
3. Bestandsabfrage und idempotentes Benutzer-Onboarding implementieren.
4. Plugin oder Ereignisintegration mit Zeitüberschreitung und sicherem Fehlerp…
5. Tests, Versionsverwaltung, Codeprüfung und Pilotdeployment etablieren.
6. Laufzeit, Fehlerquote, Änderungen und manuellen Nachbearbeitungsbedarf über…
7. Praxisübung

Automatisierung wird auf sichere, prüfbare Kernprozesse begrenzt und in den regulären Change-Prozess eingebunden.

Schritt-für-Schritt-Anleitung

1. Automatisierungsfälle nach Häufigkeit, Fehlerfolgen und Genehmigungsbedarf priorisieren.
2. API-Zugang mit minimalen Rechten und rotierbaren Geheimnissen einrichten.
3. Bestandsabfrage und idempotentes Benutzer-Onboarding implementieren.
4. Plugin oder Ereignisintegration mit Zeitüberschreitung und sicherem Fehlerpfad ergänzen.
5. Tests, Versionsverwaltung, Codeprüfung und Pilotdeployment etablieren.
6. Laufzeit, Fehlerquote, Änderungen und manuellen Nachbearbeitungsbedarf überwachen.

Praxisübung

Ein kleiner automatisierter Lebenszyklus wird von der Anforderung bis zum kontrollierten Entzug umgesetzt und getestet.

Kapitel 19: Abschlusslabor VPN-Plattform

Inhaltsverzeichnis dieses Kapitels

1. Adress-, Identitäts-, Kapazitäts- und HA-Plan für zwei Standorte und Remote…
2. Pritunl und MongoDB installieren, härten und sichern.
3. OpenVPN- und WireGuard-Zugriff mit Gruppen, Routen, DNS und Clientprofilen…
4. Standort- oder Cloud-Verbindung mit klaren Rückwegen ergänzen.
5. SSO, Mehrfaktor und einen automatisierten Benutzerprozess einrichten.
6. Monitoring, Backup, Upgradeplan und Failovertest durchführen und als Betrie…
7. Praxisübung

Die Laboraufgabe bildet Planung, Installation, Remote Access, Standortkopplung, Sicherheit und Betrieb einer kleinen Unternehmensplattform ab.

Schritt-für-Schritt-Anleitung

1. Adress-, Identitäts-, Kapazitäts- und HA-Plan für zwei Standorte und Remote-Benutzer erstellen.
2. Pritunl und MongoDB installieren, härten und sichern.
3. OpenVPN- und WireGuard-Zugriff mit Gruppen, Routen, DNS und Clientprofilen aufbauen.
4. Standort- oder Cloud-Verbindung mit klaren Rückwegen ergänzen.
5. SSO, Mehrfaktor und einen automatisierten Benutzerprozess einrichten.
6. Monitoring, Backup, Upgradeplan und Failovertest durchführen und als Betriebsdokumentation übergeben.

Praxisübung

Die vollständige Lösung wird anhand einer Abnahmematrix bewertet; falsch erlaubte Netze oder ungetestete Wiederherstellung gelten als nicht bestanden.

Praxislabor

Eine Unternehmens-VPN-Plattform wird von der Anforderung bis zur Betriebsübergabe aufgebaut. Enthalten sind mehrere Benutzergruppen, OpenVPN und WireGuard, differenzierte Routen und DNS, eine Standortkopplung, Hochverfügbarkeitsentwurf, SSO, Härtung, Monitoring, Sicherung, Upgradeplanung und ein automatisierter Lebenszyklusprozess.

Methodik

Fünf Tage mit hohem Praxisanteil, täglichen Kontrollpunkten und einem fortlaufenden Labor. Architekturentscheidungen werden dokumentiert, Konfigurationen mit Negativtests geprüft und Betriebsschritte in Checklisten und Runbooks überführt.