Seminar Netmaker Intensivseminar – Hybrid Cloud, Site-to-Site und Kubernetes

Das Intensivformat verbindet Rechenzentrum, mehrere Clouds, Kubernetes-Cluster und Edge-Standorte zu einer gemeinsamen privaten Kommunikationsarchitektur. Alle Pfade werden mit Rückrouting, DNS, Zugriffsregeln, Verfügbarkeit und Betriebsnachweisen geplant und praktisch getestet.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Praxisübungen

Zielsetzung

Im Mittelpunkt stehen folgende fachliche und praktische Schwerpunkte:

• Hybride Topologien und Adressräume für Standorte, VPCs, Cluster und Edge-Systeme konfliktarm entwerfen.
• Site-to-Site-, Egress-, Gateway- und Relay-Pfade sicher und hochverfügbar umsetzen.
• Den Kubernetes Operator für Ingress, Egress, API-Zugriff und Multi-Cluster-Kommunikation einsetzen.
• Monitoring, Automatisierung und Wiederanlauf für die gesamte Hybridarchitektur etablieren.

Zielgruppe

Cloud- und Netzwerkarchitektur, Platform Engineering, Kubernetes-Administration, DevOps, Multi-Cloud-Betrieb und technische Infrastrukturleitung

Voraussetzungen

Fundierte IP-, Routing-, NAT-, DNS-, Linux- und Kubernetes-Kenntnisse; WireGuard- und Netmaker-Grundwissen

Seminarinhalte

Modul 1: Hybridarchitektur und Kommunikationsmatrix

Alle Standorte, Clouds, Cluster und Edge-Komponenten werden als Geräte, Sites und Dienste klassifiziert.

1. Schritt 1: Kommunikationsbeziehungen und Schutzbedarfe erfassen.
2. Schritt 2: Mesh, Site-to-Site, Remote Access und Servicezugriff als getrennte Pfadtypen auswählen.
3. Schritt 3: Steuerungs-, Daten- und DNS-Pfade in einem Zielbild dokumentieren.

Modul 2: Adressierung und überlappende Netze

Adressplanung berücksichtigt bestehende VPCs, Clusterbereiche und wiederverwendete Standortnetze.

1. Schritt 1: Overlay-, Pod-, Service-, LAN- und VPC-Bereiche inventarisieren.
2. Schritt 2: Konflikte und Rückwegprobleme vor der Umsetzung identifizieren.
3. Schritt 3: Renumbering, direkte NAT- oder virtuelle Adressierungsstrategien bewerten.

Modul 3: Site-to-Site und Routerintegration

Standorte werden über Egress-Knoten oder statische WireGuard-Router verbunden.

1. Schritt 1: Je Standort geeignete Routingknoten und Rückwege festlegen.
2. Schritt 2: Routen, NAT und lokale Firewallregeln konfigurieren.
3. Schritt 3: Hub-, Teilmesh- und Full-Mesh-Verkehr mit Traceroute und Anwendungstests prüfen.

Modul 4: Gateways, Relays und HA-Egress

Schwierige NAT-Pfade und kritische Standortzugänge werden redundant abgesichert.

1. Schritt 1: Gateways in getrennten Regionen oder Netzen bereitstellen.
2. Schritt 2: Auto-Relay und automatische Gateway-Auswahl für eingeschränkte Endpunkte einsetzen.
3. Schritt 3: HA-Egress mit identischen Policies und Ausfalltest umsetzen.

Modul 5: DNS, ACLs und App-bezogenes Routing

Namensauflösung und Richtlinien folgen dem gleichen hybriden Zielbild.

1. Schritt 1: Split DNS für interne Zonen und Cluster-Dienste konfigurieren.
2. Schritt 2: Benutzer-, Ressourcen- und Site-to-Site-ACLs nach minimalem Zugriff erstellen.
3. Schritt 3: Domänen- und katalogbasiertes App Routing editions- und versionsabhängig bewerten.

Modul 6: Kubernetes Operator installieren

Der Operator wird mit sicherer Tokenablage und kontrollierten Rechten bereitgestellt.

1. Schritt 1: Cluster-, Helm-, Netmaker- und Netzwerkvoraussetzungen prüfen.
2. Schritt 2: Namespace, Secret und Operator-Deployment installieren.
3. Schritt 3: Pods, Controllerlogs, Netzbeitritt und WireGuard-Konnektivität verifizieren.

Modul 7: Kubernetes Egress und Ingress

Kubernetes-Workloads greifen auf externe private Dienste zu und stellen interne Services privat bereit.

1. Schritt 1: Egress-Service für Datenbank oder API im Netmaker-Netz definieren.
2. Schritt 2: Ingress-Service mit Netmaker-IP oder internem DNS-Namen bereitstellen.
3. Schritt 3: Richtlinien, Ports, Service Discovery und Fehlerpfade testen.

Modul 8: API-Zugriff und Multi-Cluster

Clusteradministration und clusterübergreifende Dienste werden privat verbunden.

1. Schritt 1: API-Proxy-Modus und RBAC-Anforderungen festlegen.
2. Schritt 2: Benutzer- oder Gruppenzuordnung mit Kubernetes-Rollen abgleichen.
3. Schritt 3: Ingress und Egress zwischen zwei Clustern zu einem kontrollierten Dienstpfad kombinieren.

Modul 9: Edge-Integration und Flottenzugriff

Edge-Geräte und Standort-Gateways werden in die Hybridarchitektur aufgenommen.

1. Schritt 1: Netclient, statische Konfiguration oder Router-Gateway je Geräteklasse auswählen.
2. Schritt 2: Enrollment Keys, Tags und Genehmigungen für skalierbares Onboarding einsetzen.
3. Schritt 3: Edge-zu-Cloud- und Edge-zu-Kubernetes-Verkehr mit ACLs begrenzen.

Modul 10: Monitoring, Automatisierung und Wiederanlauf

Die Gesamtarchitektur wird beobachtbar und reproduzierbar betrieben.

1. Schritt 1: Konnektivität, Latenz, Gateway-, Egress- und Operatorzustand überwachen.
2. Schritt 2: Netz- und Policy-Objekte mit nmctl oder API versioniert bereitstellen.
3. Schritt 3: Ausfall von Standort, Gateway, Egress und Operator simulieren und Runbooks aktualisieren.

Praxisübungen

• Hybriddesign mit Rechenzentrum, zwei Clouds, zwei Kubernetes-Clustern und Edge-Standort.
• Site-to-Site-Aufbau mit überlappendem CIDR und dokumentierter Übersetzungsstrategie.
• HA-Gateway- und HA-Egress-Ausfalltest mit Monitoring.
• Operator-Installation sowie privater Ingress-, Egress- und API-Pfad.
• Multi-Cluster-Servicepfad und Edge-Zugriff mit ACL- und DNS-Prüfung.