Seminar IPFire Intensivseminar – Firewall, Netzwerk und Routing

Inhaltsverzeichnis

• Einordnung und Lernziel
• Lernziele
• Zielgruppe
• Voraussetzungen
• Schrittweises Fachprogramm
• Praxisübungen
• Methodik

Einordnung und Lernziel

Dieses Intensivseminar bündelt Netzwerkdienste, Segmentierung, Firewall-Grundlagen, fortgeschrittenes Regelwerksdesign, NAT, Routing, Bandbreitensteuerung und Gastzugänge. Aus einem Schutzbedarfs- und Kommunikationsmodell entsteht eine mehrzonige IPFire-Umgebung mit überprüfbaren Datenpfaden.

Alle Themen werden in einer zusammenhängenden Topologie mit VLANs, DMZ, internen Routern und mehreren Clientgruppen umgesetzt. Jeder erlaubte Pfad wird durch Positivtests, jeder Schutzbereich durch Negativtests belegt.

Lernziele

• Adressierung, DNS, DHCP und Zonen als konsistentes Netzwerkfundament planen
• VLANs und DMZs sicher in IPFire integrieren
• Basis- und Advanced-Regelwerke einschließlich NAT entwickeln
• Statische Routen und Multi-Site-Pfade vollständig prüfen
• Gastzugänge und QoS kontrolliert ergänzen und abnehmen

Zielgruppe

Netzwerk- und Firewall-Administration, IT-Security, Infrastrukturarchitektur und technische Projektteams mit Verantwortung für Segmentierung und Datenpfade.

Voraussetzungen

Sichere Grundlagen zu IPv4, Subnetzen, Switching, VLANs, TCP, UDP, Ports und Routing. IPFire-Vorkenntnisse sind hilfreich.

Schrittweises Fachprogramm

1. Schritt 1: Schutzbedarf und Kommunikationsmatrix erstellen
   Benutzer, Server, Gäste, öffentliche Dienste, Verwaltung und externe Ziele werden nach Vertrauensniveau geordnet. Erforderliche Verbindungen erhalten Quelle, Ziel, Dienst und Zweck.
2. Schritt 2: Adressierung, DNS und DHCP planen
   Subnetze, statische Bereiche, dynamische Bereiche, Reservierungen, lokale Namen und Resolverwege werden ohne Überschneidungen entworfen.
3. Schritt 3: Zonen- und VLAN-Topologie aufbauen
   GREEN, RED, BLUE und ORANGE werden mit physischen oder getaggten Schnittstellen verbunden. Switch- und Firewall-Konfiguration werden als gemeinsamer Ende-zu-Ende-Pfad geprüft.
4. Schritt 4: DMZ und Gastnetz sicher integrieren
   Öffentliche Dienste und Gäste erhalten getrennte Segmente, begrenzte DNS- und Internetpfade sowie kontrollierte Verwaltungszugänge. Interne Vertrauenspfade bleiben gesperrt.
5. Schritt 5: Stateful Firewalling anwenden
   Paketfluss, Zustände, Objekte, Dienste, Gruppen und Regelreihenfolge werden an der Kommunikationsmatrix umgesetzt. Breite Freigaben werden konsequent reduziert.
6. Schritt 6: Advanced-Regelwerk entwickeln
   Komplexe Objektgruppen, zeitlich begrenzte Ausnahmen, Verwaltungsregeln und Protokollierung werden strukturiert. Überschneidungen und Schattenwirkungen werden getestet.
7. Schritt 7: DNAT, SNAT und Veröffentlichungen konfigurieren
   Externe Dienste werden mit begrenzten Quellen, erforderlichen Ports und eindeutigen Rückwegen veröffentlicht. Quellumschreibung wird nur bei dokumentiertem Bedarf eingesetzt.
8. Schritt 8: Statische Routen und Transitnetze einrichten
   Interne Router, entfernte Netze und Rückwege werden über spezifische Routen eingebunden. Routing, NAT und Firewall werden als getrennte Entscheidungsebenen geprüft.
9. Schritt 9: Multi-Site-Pfade testen
   Mehrstufige Wege, asymmetrische Routen, überlappende Präfixe und VPN-nahe Netze werden mit Tabellen, Traces und Logs analysiert.
10. Schritt 10: Captive Portal bereitstellen
    BLUE-Zone, DHCP, Portal, Voucher, Ablaufzeiten und minimale Gastregeln werden eingerichtet. Isolation und Sitzungsende werden aus Endgerätesicht geprüft.
11. Schritt 11: Quality of Service umsetzen
    Reale Leitungswerte, wenige Verkehrsklassen und messbare Prioritäten werden konfiguriert. Lasttests vergleichen Latenz und Durchsatz vor und nach Aktivierung.
12. Schritt 12: Gesamttopologie abnehmen
    DNS, DHCP, Segmentierung, Regelwerk, NAT, Routing, Gastnetz und QoS werden mit einer priorisierten Testmatrix und dokumentierten Sollwerten geprüft.

Praxisübungen

• Entwerfen und Aufbauen einer mehrzonigen VLAN-Topologie
• Konfigurieren von DNS, DHCP und lokalen Namen für mehrere Segmente
• Umsetzen eines vollständigen Basis- und Advanced-Regelwerks
• Veröffentlichen eines DMZ-Dienstes mit DNAT und Negativtests
• Einrichten statischer Routen über ein Transitnetz
• Aufbauen eines Captive Portals und Prüfen der Gastisolation
• Durchführen eines reproduzierbaren QoS-Lasttests

Methodik

Die fünftägige Laborumgebung wächst schrittweise von der Adressplanung zur vollständigen Mehrzonen-Infrastruktur. Jede Erweiterung muss die bereits abgenommenen Schutzgrenzen erhalten. Fehler auf Client, Switch, Router und Firewall werden gemeinsam betrachtet.