Seminar Pritunl – Kompaktseminar VPN und Zero Trust

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Produktlandschaft, Komponenten und Einsatzgrenzen
6. Kapitel 2: Installation des VPN-Servers
7. Kapitel 3: Organisationen, Benutzer, Gruppen und Berechtigungsmodell
8. Kapitel 4: OpenVPN und WireGuard im direkten Vergleich
9. Kapitel 5: Routing, Split Tunnel und Full Tunnel
10. Kapitel 6: Geschützte Webdienste bereitstellen
11. Kapitel 7: SSH-Zertifizierungsstelle und kurzlebige Benutzerzertifikate
12. Kapitel 8: Rollenmodell und Least-Privilege-Zugriff
13. Kapitel 9: Integriertes Abschlusslabor Enterprise Access
14. Praxislabor
15. Methodik

Seminarprofil

Das dreitägige Kompaktformat bietet einen konzentrierten, praxisorientierten Einstieg in beide Produktbereiche. Es ist breiter als ein einzelnes Fachseminar und deutlich verdichteter als die Intensivprogramme.

Im Labor werden ein kleiner VPN-Dienst, ein geschützter Webdienst und ein SSH-Zertifikatszugriff aufgebaut. Benutzer, Rollen, Protokolle, Routen, DNS, starke Authentisierung und grundlegende Betriebsprüfungen werden so weit behandelt, dass eine fundierte Pilotierung möglich ist.

Zielgruppe

Administratoren, Architekten, Security- und Projektteams, die in kurzer Zeit einen belastbaren Gesamtüberblick mit praktischer Umsetzung benötigen.

Voraussetzungen

Linux-, Netzwerk-, DNS- und VPN-Grundkenntnisse. Erfahrung mit Reverse Proxy oder SSH ist hilfreich, aber nicht zwingend.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Produktlandschaft, Komponenten und Einsatzgrenzen

Inhaltsverzeichnis dieses Kapitels

1. Anforderungen klassifizieren
2. Komponenten zuordnen
3. Pritunl Zero einordnen
4. Daten-, Steuer- und Managementpfade kennzeichnen und die erforderlichen Fir…
5. Funktions- und Lizenzvoraussetzungen je gewünschter Funktion prüfen, damit…
6. Für jeden Anwendungsfall eine begründete Zuordnung zu VPN, Zero Trust oder…
7. Praxisübung

Die technische Einordnung trennt Netzwerkzugriff, Anwendungszugriff und administrative Zugriffspfade. Dadurch entsteht eine belastbare Grundlage für die spätere Architekturentscheidung.

Schritt-für-Schritt-Anleitung

1. Anforderungen klassifizieren: Remote Access, Standortkopplung, Cloud-Vernetzung, abgesicherte Webanwendungen und SSH-Zugriffe getrennt erfassen.
2. Komponenten zuordnen: Pritunl-Server, MongoDB, VPN-Hosts, Serverinstanzen, Organisationen, Benutzerprofile und Clients in einem Architekturdiagramm abbilden.
3. Pritunl Zero einordnen: Webdienste, SSH-Zertifizierungsstelle, Rollen, Richtlinien, Identitätsanbieter und optionale Endpoint-Signale ergänzen.
4. Daten-, Steuer- und Managementpfade kennzeichnen und die erforderlichen Firewall-, DNS- und Zeitdienste dokumentieren.
5. Funktions- und Lizenzvoraussetzungen je gewünschter Funktion prüfen, damit das Sollkonzept keine nicht verfügbaren Merkmale voraussetzt.
6. Für jeden Anwendungsfall eine begründete Zuordnung zu VPN, Zero Trust oder einer kombinierten Architektur festhalten.

Praxisübung

Für ein Beispielunternehmen mit Außendienst, Rechenzentrum, zwei Cloud-Netzen und administrierten Linux-Systemen wird eine vollständige Komponenten- und Zugriffsmatrix erstellt.

Kapitel 2: Installation des VPN-Servers

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Plattform, Paketquelle und Versionsstand anhand der vorgesehen…
2. Hostnamen, DNS-Auflösung, NTP, Systemressourcen, Datenträger, Firewallregel…
3. MongoDB-Verbindung und Authentifizierung planen
4. Pritunl-Pakete installieren, Dienste aktivieren und den initialen Setup-Sch…
5. Webkonsole aufrufen, Datenbankverbindung setzen, Erstkennwort ändern und ei…
6. Dienststatus, Datenbankzugriff, Webkonsole, Protokolle und Neustartverhalte…
7. Praxisübung

Die Installation wird reproduzierbar vorbereitet, durchgeführt und unmittelbar gegen eine technische Baseline geprüft.

Schritt-für-Schritt-Anleitung

1. Unterstützte Plattform, Paketquelle und Versionsstand anhand der vorgesehenen Betriebsumgebung auswählen und dokumentieren.
2. Hostnamen, DNS-Auflösung, NTP, Systemressourcen, Datenträger, Firewallregeln und administrativen Zugriff vorbereiten.
3. MongoDB-Verbindung und Authentifizierung planen; Datenbank und Anwendung nach Möglichkeit in getrennten Sicherheitszonen betreiben.
4. Pritunl-Pakete installieren, Dienste aktivieren und den initialen Setup-Schlüssel kontrolliert auslesen.
5. Webkonsole aufrufen, Datenbankverbindung setzen, Erstkennwort ändern und ein individuelles TLS-Konzept vorbereiten.
6. Dienststatus, Datenbankzugriff, Webkonsole, Protokolle und Neustartverhalten mit einer Installationscheckliste prüfen.

Praxisübung

Eine leere Linux-Instanz wird bis zur betriebsbereiten Administrationsoberfläche aufgebaut; alle Prüfpunkte werden in einem Installationsprotokoll festgehalten.

Kapitel 3: Organisationen, Benutzer, Gruppen und Berechtigungsmodell

Inhaltsverzeichnis dieses Kapitels

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlich…
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen…
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigk…
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zug…
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als sta…
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und üb…
7. Praxisübung

Ein sauberes Objektmodell verhindert, dass technische VPN-Profile zum unkontrollierten Sammelbecken für alle Beschäftigten werden.

Schritt-für-Schritt-Anleitung

1. Organisationen nach Mandant, Sicherheitszone oder fachlicher Verantwortlichkeit abgrenzen und Namenskonventionen festlegen.
2. Gruppen und Benutzerattribute so strukturieren, dass Zugriffsentscheidungen ohne individuelle Sonderfälle möglich bleiben.
3. Benutzerkonten anlegen, Einmalinformationen sicher ausgeben und die Gültigkeit von Profilen und zweiten Faktoren definieren.
4. Organisationen gezielt mit VPN-Servern verbinden und die resultierenden Zugriffsmöglichkeiten gegen die Sollmatrix prüfen.
5. Sperren, Widerruf, Profilneuausgabe und Ausscheiden eines Benutzers als standardisierten Lebenszyklus beschreiben.
6. Regelmäßige Bestandsprüfung für verwaiste Konten, ungenutzte Profile und überbreite Gruppenzuordnungen einrichten.

Praxisübung

Aus einer Personal- und Rollenliste wird ein Organisations- und Gruppenmodell aufgebaut; Eintritt, Rollenwechsel und Austritt werden vollständig durchgespielt.

Kapitel 4: OpenVPN und WireGuard im direkten Vergleich

Inhaltsverzeichnis dieses Kapitels

1. Gemeinsames Tunnelnetzkonzept, Zielrouten, DNS und Testbenutzer für den Ver…
2. OpenVPN-Profil mit geeignetem Transport und konservativen Stabilitätsparame…
3. WireGuard-Profil für denselben Zugriffsumfang auf einer Pilotgruppe bereits…
4. Verbindungsaufbau, Roaming, MTU, Durchsatz, CPU-Last und Clientkompatibilit…
5. Entscheidungskriterien pro Endgeräte- und Netzwerkklasse dokumentieren.
6. Fallback- und Migrationsweg festlegen, ohne dauerhaft unkontrollierte Doppe…
7. Praxisübung

Beide Protokolle werden in einer gemeinsamen Referenzumgebung aufgebaut und anhand identischer Anforderungen bewertet.

Schritt-für-Schritt-Anleitung

1. Gemeinsames Tunnelnetzkonzept, Zielrouten, DNS und Testbenutzer für den Vergleich vorbereiten.
2. OpenVPN-Profil mit geeignetem Transport und konservativen Stabilitätsparametern einrichten.
3. WireGuard-Profil für denselben Zugriffsumfang auf einer Pilotgruppe bereitstellen.
4. Verbindungsaufbau, Roaming, MTU, Durchsatz, CPU-Last und Clientkompatibilität vergleichen.
5. Entscheidungskriterien pro Endgeräte- und Netzwerkklasse dokumentieren.
6. Fallback- und Migrationsweg festlegen, ohne dauerhaft unkontrollierte Doppelprofile zu erzeugen.

Praxisübung

Zwei funktional gleichwertige Profile werden gemessen und einer begründeten Einsatzempfehlung zugeordnet.

Kapitel 5: Routing, Split Tunnel und Full Tunnel

Inhaltsverzeichnis dieses Kapitels

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikat…
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und…
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Net…
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen…
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade…
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollieru…
7. Praxisübung

Routen werden aus dem tatsächlichen Kommunikationsbedarf abgeleitet. Pauschale Standardrouten werden nur eingesetzt, wenn Sicherheits- und Kapazitätsfolgen geklärt sind.

Schritt-für-Schritt-Anleitung

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikationsmatrix erfassen.
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und Cloud-Netzen kollidieren.
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Netzbereiche entfernen.
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen und Ausfallszenarien vollständig planen.
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade vermeiden.
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollierung für jeden freigegebenen Pfad testen.

Praxisübung

Eine fehlerhafte Beispieltopologie mit fehlender Rückroute und zu breiter Standardroute wird korrigiert und mit Positiv- sowie Negativtests abgenommen.

Kapitel 6: Geschützte Webdienste bereitstellen

Inhaltsverzeichnis dieses Kapitels

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen un…
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Z…
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwi…
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der rea…
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifika…
7. Praxisübung

Bestehende Webanwendungen erhalten eine vorgeschaltete Authentisierung, ohne dass die Anwendung selbst grundlegend verändert werden muss.

Schritt-für-Schritt-Anleitung

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen und verantwortliches Team erfassen.
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Zero-Zugriffsschicht ausrichten.
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwingen.
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der realen Anwendung testen.
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifikat als definierte Fehlerfälle prüfen.

Praxisübung

Eine interne Beispielanwendung wird geschützt veröffentlicht; Anmeldung, Rollenprüfung, Weiterleitung und Abmeldung werden Ende-zu-Ende abgenommen.

Kapitel 7: SSH-Zertifizierungsstelle und kurzlebige Benutzerzertifikate

Inhaltsverzeichnis dieses Kapitels

1. Authority, zulässige Principals, Zielumgebungen, Zertifikatslaufzeit und ve…
2. Vertrauenswürdigen öffentlichen CA-Schlüssel kontrolliert auf den Zielhosts…
3. Benutzer erzeugt oder verwendet ein eigenes SSH-Schlüsselpaar
4. Benutzer authentisiert sich bei Pritunl Zero und fordert ein kurzlebiges Ze…
5. SSH-Server prüft CA-Signatur, Principal und Laufzeit statt eines dauerhaft…
6. Ablauf, Rollenentzug, kompromittierter Schlüssel und CA-Wechsel als Lebensz…
7. Praxisübung

SSH-Zertifikate ersetzen die unkontrollierte Verteilung einzelner Schlüssel durch eine zentrale, zeitlich begrenzte Vertrauensentscheidung.

Schritt-für-Schritt-Anleitung

1. Authority, zulässige Principals, Zielumgebungen, Zertifikatslaufzeit und verantwortliches Team festlegen.
2. Vertrauenswürdigen öffentlichen CA-Schlüssel kontrolliert auf den Zielhosts bereitstellen.
3. Benutzer erzeugt oder verwendet ein eigenes SSH-Schlüsselpaar; der private Schlüssel verbleibt auf dem Endgerät.
4. Benutzer authentisiert sich bei Pritunl Zero und fordert ein kurzlebiges Zertifikat für den öffentlichen Schlüssel an.
5. SSH-Server prüft CA-Signatur, Principal und Laufzeit statt eines dauerhaft hinterlegten individuellen Schlüssels.
6. Ablauf, Rollenentzug, kompromittierter Schlüssel und CA-Wechsel als Lebenszyklus- und Notfallfälle testen.

Praxisübung

Ein Linux-Zielhost wird auf CA-Vertrauen umgestellt; Anmeldung mit gültigem, abgelaufenem und unzulässigem Principal wird geprüft.

Kapitel 8: Rollenmodell und Least-Privilege-Zugriff

Inhaltsverzeichnis dieses Kapitels

1. Anwendungen und SSH-Ziele nach Funktion, Umgebung und Schutzbedarf gruppieren.
2. Rollen aus tatsächlichen Aufgaben statt aus einzelnen Personen ableiten.
3. Identitätsgruppen eindeutig auf Rollen abbilden und Groß-/Kleinschreibung s…
4. Rollen nur den erforderlichen Diensten, Authorities oder Netzwerkbedingunge…
5. Sammelrollen, Administratorrollen und temporäre Projektrollen getrennt beha…
6. Regelmäßige Rezertifizierung mit Eigentümer, Mitgliederliste, zugeordneten…
7. Praxisübung

Rollen werden fachlich verständlich, technisch eindeutig und ohne unkontrollierte Verschachtelung aufgebaut.

Schritt-für-Schritt-Anleitung

1. Anwendungen und SSH-Ziele nach Funktion, Umgebung und Schutzbedarf gruppieren.
2. Rollen aus tatsächlichen Aufgaben statt aus einzelnen Personen ableiten.
3. Identitätsgruppen eindeutig auf Rollen abbilden und Groß-/Kleinschreibung sowie Namenskonventionen prüfen.
4. Rollen nur den erforderlichen Diensten, Authorities oder Netzwerkbedingungen zuweisen.
5. Sammelrollen, Administratorrollen und temporäre Projektrollen getrennt behandeln.
6. Regelmäßige Rezertifizierung mit Eigentümer, Mitgliederliste, zugeordneten Zielen und letzter Nutzung durchführen.

Praxisübung

Aus einer gemischten Benutzerliste entsteht ein Rollenmodell für Produktion, Test, Support und externe Wartung; überbreite Zuordnungen werden entfernt.

Kapitel 9: Integriertes Abschlusslabor Enterprise Access

Inhaltsverzeichnis dieses Kapitels

1. Zielarchitektur für Remote Access, zwei Webdienste und einen SSH-Administra…
2. VPN-Grunddienst mit Organisation, Benutzer, Protokoll, Routen und DNS berei…
3. Webdienst über Pritunl Zero mit Rolle, starker Authentisierung und TLS verö…
4. SSH-Zugriff mit Authority, kurzlebigem Zertifikat und optionaler Bastion ei…
5. Monitoring, Protokollierung, Sicherung und zwei aussagekräftige Alarme ergä…
6. Positiv-, Negativ-, Ausfall- und Wiederherstellungstests durchführen und di…
7. Praxisübung

Das Labor verbindet VPN, Zero Trust, Identität, Netzwerk, Zertifikate, Monitoring und Betrieb in einem durchgängigen Szenario.

Schritt-für-Schritt-Anleitung

1. Zielarchitektur für Remote Access, zwei Webdienste und einen SSH-Administrationspfad aus einer Anforderungsliste ableiten.
2. VPN-Grunddienst mit Organisation, Benutzer, Protokoll, Routen und DNS bereitstellen.
3. Webdienst über Pritunl Zero mit Rolle, starker Authentisierung und TLS veröffentlichen.
4. SSH-Zugriff mit Authority, kurzlebigem Zertifikat und optionaler Bastion einrichten.
5. Monitoring, Protokollierung, Sicherung und zwei aussagekräftige Alarme ergänzen.
6. Positiv-, Negativ-, Ausfall- und Wiederherstellungstests durchführen und die Betriebsfreigabe dokumentieren.

Praxisübung

Ein vollständiger Musterbetrieb wird aus einer leeren Umgebung aufgebaut, abgenommen, gezielt gestört und wiederhergestellt.

Praxislabor

In drei Tagen entsteht ein Pilot mit Remote-Access-VPN, klarer Route und DNS, einer Zero-geschützten Webanwendung sowie einem SSH-Zertifikatszugriff. Rollen und starke Authentisierung werden ergänzt; eine kombinierte Abnahme prüft erlaubte und unerlaubte Zugriffe.

Methodik

Verdichtete Fachblöcke, Live-Demonstrationen und geführte Laborphasen. Das Format priorisiert die tragenden Konzepte und einen funktionsfähigen Pilot; Spezialthemen wie umfassende HA oder tiefgehende Automatisierung werden eingeordnet, aber nicht vollständig ausgebaut.