Seminar SoftEther VPN – Site-to-Site-VPN und Standortkopplung

Inhaltsverzeichnis

• Zielsetzung
• Modul 1: Anforderungen und L2-/L3-Entscheidung
• Modul 2: Cascade-Verbindungen
• Modul 3: VPN Bridge und Local Bridge am Standort
• Modul 4: EtherIP und L2TPv3 über IPsec
• Modul 5: Routing, Redundanz und Schleifenschutz
• Modul 6: Monitoring, Abnahme und Betriebsverfahren
• Zielgruppe und Voraussetzungen
• Praxisnutzen

Zielsetzung

Standortkopplungen erweitern den Fehler- und Broadcastbereich eines Netzes. Das Seminar legt deshalb besonderen Wert auf die Entscheidung zwischen Layer 2 und Layer 3, eindeutige Initiierungsrollen, kontrollierte Rückwege und das Vermeiden von Schleifen.

Mehrere Standorte können mit SoftEther über geeignete L2- oder L3-Verfahren verbunden, abgesichert, überwacht und bei Pfad- oder Gegenstellenfehlern systematisch diagnostiziert werden.

Modul 1: Anforderungen und L2-/L3-Entscheidung

Standortbedarf wird in eine geeignete Kopplungstopologie übersetzt.

Schrittweise Umsetzung

1. Schritt 1: Standorte, Netze, Anwendungen, Broadcastbedarf und Serviceziele erfassen.
2. Schritt 2: Layer-2-Bridging und Layer-3-Routing nach Fehlerdomäne, Skalierung und Anwendung vergleichen.
3. Schritt 3: Zentrale, initiierende und empfangende Rollen festlegen.
4. Schritt 4: Adressierung, Rückrouten, DNS, DHCP und Ausfallpfade dokumentieren.

Praxisübung

Für drei Standorte wird eine begründete L2-/L3-Entscheidung mit Datenflussplan getroffen.

Kontrollpunkte

• Keine unnötige Broadcast-Ausdehnung.
• Rückwege sind vollständig.
• Initiierungsrollen sind eindeutig.

Modul 2: Cascade-Verbindungen

Virtual Hubs werden über kontrollierte und überwachte Cascade-Sitzungen verbunden.

Schrittweise Umsetzung

1. Schritt 1: Empfangenden Hub, Dienstkonto und minimale Sicherheitsrichtlinien vorbereiten.
2. Schritt 2: Cascade auf der initiierenden Seite mit Servername, Port, Hub und Authentisierung anlegen.
3. Schritt 3: Serverzertifikatsprüfung, Online-Status und Wiederverbindung testen.
4. Schritt 4: Sitzung, Logeinträge, MAC- und IP-Lernen auf beiden Seiten auswerten.

Praxisübung

Zwei Hubs werden über eine abgesicherte Cascade verbunden und kontrolliert getrennt.

Kontrollpunkte

• Dienstkonto ist nur für die Kopplung nutzbar.
• Serveridentität wird geprüft.
• Statusänderungen sind im Monitoring sichtbar.

Modul 3: VPN Bridge und Local Bridge am Standort

Physische LANs werden kontrolliert an die virtuelle Standortverbindung angebunden.

Schrittweise Umsetzung

1. Schritt 1: VPN Bridge gegenüber vollständigem VPN Server nach Standortbedarf auswählen.
2. Schritt 2: Geeignete Netzwerkschnittstelle und Betriebssystembindung vorbereiten.
3. Schritt 3: Local Bridge zum Standort-LAN erstellen und Bridge-Status prüfen.
4. Schritt 4: VLAN-, Broadcast-, DHCP- und Schleifenverhalten mit isolierten Tests verifizieren.

Praxisübung

Ein Außenstellen-LAN wird über VPN Bridge und Cascade an den zentralen Hub angebunden.

Kontrollpunkte

• Nur vorgesehene Schnittstelle ist gebrückt.
• DHCP gelangt nicht in unerlaubte Segmente.
• Keine Layer-2-Schleife.

Modul 4: EtherIP und L2TPv3 über IPsec

Heterogene Router werden als definierte Standortendpunkte eingebunden.

Schrittweise Umsetzung

1. Schritt 1: Routerfähigkeit, IPsec-Parameter und benötigte Identifikatoren prüfen.
2. Schritt 2: EtherIP- beziehungsweise L2TPv3-Geräteeintrag dem Zielhub und Benutzer zuordnen.
3. Schritt 3: Firewall, NAT, IKE und Datenpfad auf beiden Seiten konfigurieren.
4. Schritt 4: Interoperabilität, Wiederanlauf und fehlerhafte Identifikatoren mit Testfällen prüfen.

Praxisübung

Ein externer Router wird über EtherIP oder L2TPv3 an einen Virtual Hub gekoppelt.

Kontrollpunkte

• Identität ist eindeutig.
• IPsec-Pfad funktioniert bidirektional.
• Fehlerfälle sind diagnostizierbar.

Modul 5: Routing, Redundanz und Schleifenschutz

Standortpfade bleiben auch bei mehreren Verbindungen kontrollierbar.

Schrittweise Umsetzung

1. Schritt 1: Statische Routen, Standardrouten und Rückrouten je Standort festlegen.
2. Schritt 2: Mehrfachpfade auf Layer-2-Schleifen und asymmetrisches Routing prüfen.
3. Schritt 3: Redundanz nur mit klarer Aktiv-/Standby- oder Layer-3-Logik umsetzen.
4. Schritt 4: Ausfall, Wiederverbindung und unerwünschten Doppelpfad praktisch testen.

Praxisübung

Eine fehlerhafte redundante Topologie wird in ein kontrolliertes Ausfallmodell überführt.

Kontrollpunkte

• Kein Layer-2-Ring.
• Aktiver Pfad ist erkennbar.
• Umschaltung erhält den Rückweg.

Modul 6: Monitoring, Abnahme und Betriebsverfahren

Die Standortkopplung wird messbar überwacht und sicher gewartet.

Schrittweise Umsetzung

1. Schritt 1: Cascade-, Bridge-, Router- und Hub-Sitzungen als Betriebsobjekte definieren.
2. Schritt 2: Latenz, Verlust, Durchsatz, Wiederverbindungen und Tabellenänderungen überwachen.
3. Schritt 3: Abnahmetests für Erreichbarkeit, Sperren, Ausfall, Wiederanlauf und Leistung ausführen.
4. Schritt 4: Runbooks für Standortausfall, Konto- oder Zertifikatsproblem und geplante Wartung erstellen.

Praxisübung

Eine Standortstörung wird anhand von Monitoringdaten eingegrenzt und nach Runbook behoben.

Kontrollpunkte

• Monitoring erkennt Pfadverlust.
• Abnahme umfasst Negativtests.
• Runbook trennt Netz-, Identitäts- und Bridgefehler.

Zielgruppe und Voraussetzungen

Zielgruppe: Netzwerkadministration, WAN- und Standortbetrieb, Infrastrukturengineering, technische Architektur und Third-Level-Support

Voraussetzungen: Sehr gute Kenntnisse in Ethernet, VLAN, IPv4, Routing, NAT, IPsec, Firewallregeln und SoftEther-Grundadministration

Praxisnutzen

Das Seminar liefert wiederverwendbare Topologie- und Abnahmeverfahren für kleine Außenstellen, zentrale Hubs und heterogene Routeranbindungen.