Seminar Pritunl Zero – Sichere Webdienste und Reverse Proxy

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Geschützte Webdienste bereitstellen
6. Kapitel 2: Reverse-Proxy-Verhalten und Anwendungsintegration
7. Kapitel 3: DNS und automatisierte TLS-Zertifikate
8. Kapitel 4: Richtlinien für Webzugriffe
9. Kapitel 5: Protokollierung und Fehleranalyse in Pritunl Zero
10. Praxislabor
11. Methodik

Seminarprofil

Das zweitägige Web-Access-Seminar schützt bestehende interne Anwendungen mit einer vorgeschalteten Authentisierungs- und Richtlinienschicht. Dienstname, DNS, TLS, Backend, Rolle und Authentisierungsstärke werden als ein zusammenhängender Zugriffspfad konfiguriert.

Anwendungsspezifische Themen wie Hostheader, Cookies, WebSockets, lange Anfragen und Logout werden systematisch getestet. Direkte Backend-Erreichbarkeit bleibt ein ausdrücklicher Negativfall. Fehleranalyse folgt dem Pfad von DNS und TLS über Identität und Richtlinie bis zum Backend.

Zielgruppe

Pritunl-Zero-, Web-, Linux- und Security-Administratoren, Plattformteams, Anwendungsverantwortliche und Systemintegratoren.

Voraussetzungen

Linux, DNS, TLS, HTTP, Reverse Proxy und grundlegende SSO- und Rollenkenntnisse.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Geschützte Webdienste bereitstellen

Inhaltsverzeichnis dieses Kapitels

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen un…
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Z…
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwi…
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der rea…
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifika…
7. Praxisübung

Bestehende Webanwendungen erhalten eine vorgeschaltete Authentisierung, ohne dass die Anwendung selbst grundlegend verändert werden muss.

Schritt-für-Schritt-Anleitung

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen und verantwortliches Team erfassen.
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Zero-Zugriffsschicht ausrichten.
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwingen.
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der realen Anwendung testen.
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifikat als definierte Fehlerfälle prüfen.

Praxisübung

Eine interne Beispielanwendung wird geschützt veröffentlicht; Anmeldung, Rollenprüfung, Weiterleitung und Abmeldung werden Ende-zu-Ende abgenommen.

Kapitel 2: Reverse-Proxy-Verhalten und Anwendungsintegration

Inhaltsverzeichnis dieses Kapitels

1. Anwendung auf Hostheader, Ursprungsschema, Pfade, WebSockets, lange Anfrage…
2. Backendprotokoll, Zertifikatsprüfung und erlaubte Zieladresse festlegen.
3. Weiterleitungs- und Identitätsheader nur nach dokumentiertem Bedarf aktivie…
4. Zeitüberschreitungen so setzen, dass normale Langläufer funktionieren, häng…
5. Cookies, SameSite-Verhalten, absolute Links und Logoutpfade in mehreren Bro…
6. Backend darf nicht direkt aus untrusted Netzen erreichbar sein
7. Praxisübung

Proxyparameter werden an die Anwendung angepasst, ohne Sicherheitskontrollen durch unnötig breite Ausnahmen zu schwächen.

Schritt-für-Schritt-Anleitung

1. Anwendung auf Hostheader, Ursprungsschema, Pfade, WebSockets, lange Anfragen und maximale Uploadgröße untersuchen.
2. Backendprotokoll, Zertifikatsprüfung und erlaubte Zieladresse festlegen.
3. Weiterleitungs- und Identitätsheader nur nach dokumentiertem Bedarf aktivieren und im Backend absichern.
4. Zeitüberschreitungen so setzen, dass normale Langläufer funktionieren, hängen gebliebene Verbindungen aber beendet werden.
5. Cookies, SameSite-Verhalten, absolute Links und Logoutpfade in mehreren Browsern testen.
6. Backend darf nicht direkt aus untrusted Netzen erreichbar sein; dieser Umgehungsweg wird als Negativtest geprüft.

Praxisübung

Eine Anwendung mit WebSocket und lang laufender Anfrage wird integriert; direkte Backend-Erreichbarkeit und manipulierte Header müssen ausgeschlossen bleiben.

Kapitel 3: DNS und automatisierte TLS-Zertifikate

Inhaltsverzeichnis dieses Kapitels

1. Namensschema für Administration, Webdienste und gegebenenfalls Wildcardbere…
2. DNS-Eigentümer, TTL, Änderungsprozess und Auflösung aus internen sowie exte…
3. HTTP- oder DNS-basierte Validierung passend zur Erreichbarkeit und Sicherhe…
4. Zertifikat für einen Testdienst ausstellen und Kette, Namen, Ablauf sowie p…
5. Automatische Erneuerung überwachen und rechtzeitig vor Ablauf alarmieren.
6. Fehlerfälle durch falschen DNS-Eintrag, blockierten Validierungspfad und en…
7. Praxisübung

Zertifikatsautomation funktioniert nur mit sauberer DNS-Verantwortung, erreichbarer Validierung und überwachten Erneuerungen.

Schritt-für-Schritt-Anleitung

1. Namensschema für Administration, Webdienste und gegebenenfalls Wildcardbereiche definieren.
2. DNS-Eigentümer, TTL, Änderungsprozess und Auflösung aus internen sowie externen Netzen dokumentieren.
3. HTTP- oder DNS-basierte Validierung passend zur Erreichbarkeit und Sicherheitsvorgabe auswählen.
4. Zertifikat für einen Testdienst ausstellen und Kette, Namen, Ablauf sowie privaten Schlüsselzugriff prüfen.
5. Automatische Erneuerung überwachen und rechtzeitig vor Ablauf alarmieren.
6. Fehlerfälle durch falschen DNS-Eintrag, blockierten Validierungspfad und entzogenes DNS-Recht nachstellen.

Praxisübung

Ein Einzel- und ein Wildcard-Szenario werden geplant; mindestens ein Zertifikat wird ausgestellt und ein absichtlich fehlerhafter Erneuerungsfall diagnostiziert.

Kapitel 4: Richtlinien für Webzugriffe

Inhaltsverzeichnis dieses Kapitels

1. Schutzbedarf und zulässige Benutzergruppen für den Dienst festlegen.
2. Erforderliche SSO-, Mehrfaktor- oder WebAuthn-Bedingung definieren.
3. Erlaubte und gesperrte Netze mit eindeutiger Priorität und dokumentierter A…
4. Rolle, Richtlinie und Dienst so verknüpfen, dass keine indirekte Sammelroll…
5. Testmatrix aus Benutzergruppe, Authentisierungsstärke, Netzwerk und Browser…
6. Temporäre Ausnahme mit Eigentümer, Enddatum und anschließender Kontrolle ve…
7. Praxisübung

Zugriff wird aus Rolle, Authentisierungsstärke, Netzwerkherkunft und gegebenenfalls zusätzlichem Gerätekontext gebildet.

Schritt-für-Schritt-Anleitung

1. Schutzbedarf und zulässige Benutzergruppen für den Dienst festlegen.
2. Erforderliche SSO-, Mehrfaktor- oder WebAuthn-Bedingung definieren.
3. Erlaubte und gesperrte Netze mit eindeutiger Priorität und dokumentierter Ausnahme verwalten.
4. Rolle, Richtlinie und Dienst so verknüpfen, dass keine indirekte Sammelrolle unnötige Zugriffe eröffnet.
5. Testmatrix aus Benutzergruppe, Authentisierungsstärke, Netzwerk und Browserzustand ausführen.
6. Temporäre Ausnahme mit Eigentümer, Enddatum und anschließender Kontrolle versehen.

Praxisübung

Für eine kritische und eine normale Webanwendung werden unterschiedlich strenge Richtlinien erstellt und gegen eine kombinierte Testmatrix geprüft.

Kapitel 5: Protokollierung und Fehleranalyse in Pritunl Zero

Inhaltsverzeichnis dieses Kapitels

1. Fehlerbild mit Dienstname, Benutzer, Rolle, Netzwerk, Zeitpunkt und Browser…
2. DNS-Auflösung, Erreichbarkeit, Zertifikatskette und Systemzeit als äußere V…
3. SSO-, MFA-, WebAuthn-, Rollen- und Netzwerkrichtlinien anhand der Protokoll…
4. Bei Webdiensten Proxyverbindung, Backendstatus, Header, Weiterleitung und Z…
5. Bei SSH Authority, Zertifikatslaufzeit, Principal, Bastion, Hostzertifikat…
6. Ursache und Korrektur mit einem reproduzierbaren Positiv- und Negativtest a…
7. Praxisübung

Fehler werden anhand des tatsächlichen Pfads von DNS über TLS und Identität bis Backend oder SSH-Ziel eingegrenzt.

Schritt-für-Schritt-Anleitung

1. Fehlerbild mit Dienstname, Benutzer, Rolle, Netzwerk, Zeitpunkt und Browser- beziehungsweise SSH-Clientdaten erfassen.
2. DNS-Auflösung, Erreichbarkeit, Zertifikatskette und Systemzeit als äußere Voraussetzungen prüfen.
3. SSO-, MFA-, WebAuthn-, Rollen- und Netzwerkrichtlinien anhand der Protokolle unterscheiden.
4. Bei Webdiensten Proxyverbindung, Backendstatus, Header, Weiterleitung und Zeitüberschreitung kontrollieren.
5. Bei SSH Authority, Zertifikatslaufzeit, Principal, Bastion, Hostzertifikat und Zielhostprotokoll prüfen.
6. Ursache und Korrektur mit einem reproduzierbaren Positiv- und Negativtest abschließen.

Praxisübung

Vier vorbereitete Störungen – falsches DNS, SSO-Gruppenfehler, nicht erreichbares Backend und falscher SSH-Principal – werden schichtweise diagnostiziert.

Praxislabor

Zwei unterschiedliche Anwendungen werden veröffentlicht: ein normaler Webdienst und eine Anwendung mit WebSocket beziehungsweise langer Anfrage. Rollen, starke Authentisierung, TLS und DNS werden eingerichtet. Direkter Backendzugriff, manipulierte Header und fehlerhafte Zertifikatsvalidierung dienen als Negativtests.

Methodik

Technischer Vortrag, Live-Demonstration, geführte Dienstkonfiguration und anwendungsnahe Fehlerbilder. Jede Veröffentlichung erhält eine vollständige Dienst-, DNS-, Rollen- und Abnahmecheckliste.