Seminar OpenBSD Intensiv – Netzwerk, Firewall, Routing und VPN

Das Intensivseminar verbindet IPv4 und IPv6, PF, Hochverfügbarkeit, dynamisches Routing, RPKI, VPNs und Paketanalyse in einer mehrsegmentigen Laborlandschaft. Planung, Umsetzung, Test und Störungsbehandlung werden als zusammenhängender Netzwerkbetrieb behandelt.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• OpenBSD als Router, Firewall und VPN-Gateway sicher planen und konfigurieren
• IPv4- und IPv6-Netze, PF-Regeln und hochverfügbare Übergänge betreiben
• OSPF, BGP und RPKI kontrolliert in eine Routingarchitektur integrieren
• Netzwerkverkehr messen, protokollieren und systematisch diagnostizieren

Zielgruppe

Netzwerk- und Sicherheitsadministration, Firewall- und Routingteams, Internet- und Rechenzentrumsbetrieb sowie technische Architekten.

Voraussetzungen

Gute TCP/IP-, Subnetz-, Routing- und Unix-Grundkenntnisse. Für den Routingteil sind Kenntnisse von Präfixen und autonomen Systemen hilfreich.

Seminarinhalte

1. Schritt 1: Tag 1: Netzwerkgrundlagen und OpenBSD-Interfaces

   Schnittstellen, Adressen, Routen, VLANs, Bridges, Trunks, Namensauflösung und Startkonfiguration werden in einer segmentierten Laborumgebung aufgebaut.

2. Schritt 2: IPv6 systematisch integrieren

   Adressarten, Präfixe, Router Advertisements, SLAAC, DHCP-bezogene Informationen, Neighbor Discovery, Firewallregeln und Dual-Stack-Diagnose werden umgesetzt.

3. Schritt 3: Tag 2: PF-Firewall entwerfen

   Zonen, Datenflüsse, Standardverhalten, Zustände, Normalisierung, ICMP, Dienste und Verwaltungszugänge werden in ein minimales Regelwerk übersetzt.

4. Schritt 4: NAT, Umleitungen und Tabellen einsetzen

   Quellübersetzung, Portweiterleitung, Hairpin-Verkehr, dynamische Adressmengen, Anker und Protokollierung werden in praxisnahen Szenarien ergänzt.

5. Schritt 5: Tag 3: Hochverfügbarkeit aufbauen

   Zwei Gateways werden mit CARP, Demotion und pfsync verbunden. Zustandsübernahme, Wartung und definierte Fehlerfälle werden getestet.

6. Schritt 6: Netzwerk-Monitoring und Paketanalyse anwenden

   Interface-Zähler, Routingtabellen, PF-Statistiken, pflog und tcpdump werden zu einem festen Diagnoseablauf kombiniert.

7. Schritt 7: Tag 4: Internes Routing mit OSPF

   Nachbarschaften, Bereiche, Netze, Kosten, passive Interfaces, Filter und kontrollierte Ankündigungen werden mit ospfd aufgebaut und geprüft.

8. Schritt 8: Externes Routing mit OpenBGPD

   Peers, Richtlinien, Präfixfilter, Communities, lokale Präferenzen, Mehrwege und kontrollierte Routenverteilung werden in einem Labor-AS umgesetzt.

9. Schritt 9: RPKI-basierte Validierung integrieren

   ROA-Daten, Validierungszustände, Aktualisierung, Fehlerfälle und routingpolitische Behandlung werden mit rpki-client in den BGP-Prozess eingebunden.

10. Schritt 10: Tag 5: IKEv2 und IPsec konfigurieren

    Identitäten, Zertifikate oder Schlüssel, Policies, Child SAs, Routing, PF-Freigaben, Rekeying und Diagnose werden für Standort- und Remotezugänge behandelt.

11. Schritt 11: WireGuard-Tunnel betreiben

    Schlüssel, Peers, Allowed IPs, Tunneladressen, Keepalive, Routing und PF-Regeln werden für einfache, statische Tunnel umgesetzt.

12. Schritt 12: Gesamtszenario testen und dokumentieren

    Ende-zu-Ende-Verbindungen, Umschaltung, Routingänderung, VPN-Ausfall, Filterfehler und IPv6-Probleme werden anhand einer Testmatrix geprüft und in einer Netzwerkakte dokumentiert.

Praxisübungen

• Eine Dual-Stack-Netzlandschaft mit segmentierenden PF-Regeln und kontrolliertem NAT aufbauen
• Zwei hochverfügbare Router mit OSPF, BGP und RPKI-Validierung betreiben
• IKEv2- und WireGuard-Tunnel integrieren und mehrere Fehlerfälle mit tcpdump und pfctl diagnostizieren

Methodik

Die Vermittlung verbindet fachliche Einordnung, demonstrierte Systemarbeit und schrittweise Laborübungen. Konfigurationen werden zunächst geplant, anschließend in einer Übungsumgebung umgesetzt, geprüft und dokumentiert. Fehlerbilder und Wiederherstellungswege werden bewusst einbezogen.