Seminar eduVPN / Let’s Connect! – Installation auf Fedora und Enterprise Linux

Serverinstallation mit SELinux und distributionsgerechter Härtung

Das Seminar führt durch Installation, SELinux-konforme Dienstintegration, Firewall, Routing, TLS und funktionale Abnahme auf Fedora- und Enterprise-Linux-Systemen.

Die Inhalte werden anhand einer konsistenten Laborumgebung schrittweise aufgebaut. Jede Änderung wird vor der nächsten Ausbaustufe geprüft, dokumentiert und in den betrieblichen Gesamtzusammenhang eingeordnet.

Inhaltsübersicht

1. Plattform, Varianten und Einsatzmodelle einordnen
2. Architektur und Verbindungsablauf modellieren
3. Server auf Fedora und Enterprise Linux installieren
4. VPN-Profile und Zugriffsarten konfigurieren
5. Routing, DNS und Firewall konsistent umsetzen
6. TLS, Zertifikate und Systemhärtung umsetzen

Zielgruppe

• Linux-Administration
• Red-Hat-nahe Plattformteams
• Netzwerkbetrieb
• Informationssicherheit

Voraussetzungen

• Sichere Linux-Grundkenntnisse
• Kenntnisse von SELinux und Firewallzonen sind hilfreich
• Laborzugriff mit administrativen Rechten

Seminarinhalte

Kapitel 1: Plattform, Varianten und Einsatzmodelle einordnen

Kapitel-Inhaltsverzeichnis: gemeinsame Serverplattform; eduVPN und Let’s Connect!; Institute Access; Secure Internet; Verantwortungsgrenzen.

1. Schritt 1: Die gemeinsame technische Basis von eduVPN und Let’s Connect! wird von Branding, Zielgruppe und organisatorischem Betrieb getrennt betrachtet.
2. Schritt 2: Die Einsatzmodelle Institute Access und Secure Internet werden anhand von Datenfluss, Vertrauensgrenzen und Nutzerweg gegenübergestellt.
3. Schritt 3: Portal, VPN-Knoten, Identitätsdienst, Client und Netzwerkdienste werden als getrennte Betriebsbausteine erfasst.
4. Schritt 4: Für jeden Baustein werden fachliche Zuständigkeit, technische Administration und Eskalationsweg festgelegt.
5. Schritt 5: Ein belastbares Zielbild wird als Systemkontext mit Abhängigkeiten, Annahmen und Abnahmekriterien dokumentiert.

Kapitel 2: Architektur und Verbindungsablauf modellieren

Kapitel-Inhaltsverzeichnis: Portal; Authentisierung; Autorisierung; VPN-Knoten; Clientfluss; Zustandsdaten.

1. Schritt 1: Der vollständige Verbindungsablauf wird vom Start im Client bis zur aktiven VPN-Sitzung in Einzelschritte zerlegt.
2. Schritt 2: Authentisierung, Berechtigungsentscheidung, Profilauswahl und Tunnelerzeugung werden als getrennte Kontrollpunkte modelliert.
3. Schritt 3: Die Kommunikationsbeziehungen zwischen Portal, Identitätsquelle, API, VPN-Knoten und Zielnetzen werden in einer Port- und Flussmatrix erfasst.
4. Schritt 4: Zustandsbehaftete und zustandsarme Komponenten werden identifiziert, damit Skalierung und Wiederanlauf planbar bleiben.
5. Schritt 5: Die Architektur wird durch Positiv-, Negativ- und Ausfallszenarien gegen die fachlichen Anforderungen geprüft.

Kapitel 3: Server auf Fedora und Enterprise Linux installieren

Kapitel-Inhaltsverzeichnis: Paketbasis; SELinux; Firewall; Webdienst; Dienstkonten; Ersttest.

1. Schritt 1: Die Systembasis wird auf minimale Pakete, eindeutige Zeitsynchronisation, Namensauflösung und getrennte Administrationswege ausgerichtet.
2. Schritt 2: Serverpakete und Webkomponenten werden installiert, ohne die Sicherheitsmechanismen der Distribution pauschal zu deaktivieren.
3. Schritt 3: SELinux-Kontexte, Dienstberechtigungen und zulässige Netzwerkzugriffe werden anhand der tatsächlichen Kommunikationsflüsse geprüft.
4. Schritt 4: Firewallzonen, Weiterleitung, NAT und freigegebene VPN-Ports werden nachvollziehbar mit dem Adress- und Profilkonzept verbunden.
5. Schritt 5: Die Installation wird über Portalzugriff, Authentisierung, Profilauswahl, Tunnelaufbau und Protokollkontrolle vollständig verifiziert.

Kapitel 4: VPN-Profile und Zugriffsarten konfigurieren

Kapitel-Inhaltsverzeichnis: Profilstruktur; Full Tunnel; Split Tunnel; IPv4 und IPv6; Client-zu-Client; Diensttrennung.

1. Schritt 1: Profile werden nach fachlichem Zweck, Nutzergruppe, Zielnetz, Protokoll und Sicherheitsniveau eindeutig benannt und abgegrenzt.
2. Schritt 2: Full-Tunnel- und Split-Tunnel-Varianten werden mit ihren Auswirkungen auf Routing, Datenschutz, Support und Internetzugang bewertet.
3. Schritt 3: IPv4- und IPv6-Adresspools werden konfliktfrei dimensioniert und mit Rückwegen, NAT sowie Namensauflösung abgestimmt.
4. Schritt 4: Client-zu-Client-Kommunikation wird nur dort zugelassen, wo ein dokumentierter Anwendungsfall und passende Segmentierung vorliegen.
5. Schritt 5: Jedes Profil wird mit einer Testmatrix aus berechtigten, unberechtigten, internen, externen und fehlerhaften Zugriffen abgenommen.

Kapitel 5: Routing, DNS und Firewall konsistent umsetzen

Kapitel-Inhaltsverzeichnis: Adressplan; Rückrouten; NAT; DNS-Server; Firewallregeln; MTU.

1. Schritt 1: Alle Clientpools, Zielnetze, Überschneidungen und Rückwege werden vor der Konfiguration in einem verbindlichen Adressplan festgehalten.
2. Schritt 2: Für jedes Profil wird entschieden, ob geroutet, übersetzt oder über einen definierten Internetausgang geführt wird.
3. Schritt 3: DNS-Server, Suchdomänen und interne Namensräume werden so zugewiesen, dass keine unbeabsichtigten Informationsabflüsse entstehen.
4. Schritt 4: Firewallregeln werden aus Kommunikationsbeziehungen abgeleitet und anschließend von einer breiten Laborfreigabe auf minimale Regeln reduziert.
5. Schritt 5: Erreichbarkeit, Rückweg, Namensauflösung, Fragmentierung und MTU werden mit reproduzierbaren Tests je Protokoll und Clientplattform geprüft.

Kapitel 6: TLS, Zertifikate und Systemhärtung umsetzen

Kapitel-Inhaltsverzeichnis: TLS; CA-Vertrauen; Schlüssel; Diensthärtung; Patchen; Vorfallbehandlung.

1. Schritt 1: Externe und interne Vertrauensbeziehungen werden inventarisiert und mit Eigentümer, Gültigkeit, Erneuerung und Widerruf versehen.
2. Schritt 2: TLS-Konfiguration, Zertifikatskette, Hostnamen und automatisierte Erneuerung werden ohne unsichere Dauer-Ausnahmen geprüft.
3. Schritt 3: Geheimnisse und Schlüssel werden mit minimalen Dateirechten, getrennten Dienstkonten und geregelter Rotation geschützt.
4. Schritt 4: Betriebssystem, Webdienst, PHP-Laufzeit, Datenhaltung, Firewall und Administrationszugang werden nach dem Minimalprinzip gehärtet.
5. Schritt 5: Patchen, Schwachstellenbewertung, Alarmierung, Beweissicherung, Eindämmung und Wiederanlauf werden in einen Vorfallprozess eingebettet.

Praxisübungen

• Systembasis mit Paketquellen, Zeit, DNS, Zugängen und Sicherheitsstatus prüfen.
• Serverkomponenten installieren und die notwendigen SELinux-Zugriffe nachvollziehen.
• Webdienst, TLS, Firewallzonen, Weiterleitung und NAT kontrolliert einrichten.
• Erstes Profil mit IPv4- oder IPv6-Pool sowie Zielnetz konfigurieren.
• Portal, Authentisierung, Tunnel, DNS, Routing und Sicherheitsprotokolle abnehmen.

Lernziele

• Fedora- und Enterprise-Linux-Systeme sicher vorbereiten.
• SELinux und Firewall ohne pauschale Deaktivierung integrieren.
• Portal, TLS, Routing und Profile reproduzierbar einrichten.
• Fehler zwischen Sicherheitsrichtlinie, Dienst und Netzwerk unterscheiden.
• Installation mit technischen und betrieblichen Nachweisen übergeben.