Seminar OpenBSD – VPNs mit IKEv2, IPsec und WireGuard

VPNs verbinden Netze und Nutzer nur dann sicher, wenn Identitäten, Kryptografie, Routing und Paketfilter gemeinsam geplant werden. Das Seminar behandelt IKEv2/IPsec und WireGuard als unterschiedliche, klar abgegrenzte Werkzeuge.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• VPN-Anforderungen, Vertrauensgrenzen und Schlüsselverwaltung nachvollziehbar planen
• IKEv2- und IPsec-Verbindungen mit iked sicher konfigurieren und betreiben
• WireGuard-Tunnel für statische Peer-Szenarien aufbauen
• Routing, DNS, PF, Monitoring und Fehleranalyse für VPNs integrieren

Zielgruppe

Netzwerk- und Sicherheitsadministration, Firewall-Betrieb, DevOps, Remote-Access- und Standortvernetzungsteams.

Voraussetzungen

Gute TCP/IP-, Routing-, PF- und OpenBSD-Kenntnisse. Grundlagen von Kryptografie, Zertifikaten und Public-Key-Verfahren sind erforderlich.

Seminarinhalte

1. Schritt 1: VPN-Szenarien und Schutzbedarf bestimmen

   Standortkopplung, Remotezugang, einzelne Hosts, Netzbereiche, Verfügbarkeit, Adressierung, Identitäten und erwartete Datenflüsse werden dokumentiert.

2. Schritt 2: Kryptografische Grundlagen einordnen

   Schlüsselaustausch, Authentifizierung, Verschlüsselung, Integrität, Perfect Forward Secrecy, Lebensdauern und Rekeying werden auf die Konfiguration abgebildet.

3. Schritt 3: Zertifikate und Schlüssel verwalten

   Erzeugung, Verteilung, Dateirechte, Identitätszuordnung, Ablauf, Erneuerung, Widerruf und Notfallwechsel werden als Lebenszyklus organisiert.

4. Schritt 4: iked-Grundkonfiguration aufbauen

   Listener, aktive und passive Rollen, lokale und entfernte Identitäten, Adressen, Vorschläge und Protokollierung werden schrittweise eingerichtet.

5. Schritt 5: IKEv2-Standortverbindung konfigurieren

   Lokale und entfernte Netze, Policies, Child SAs, Routing, PF-Freigaben und Ende-zu-Ende-Tests werden umgesetzt.

6. Schritt 6: Remotezugang planen und absichern

   Adressvergabe, Identität, DNS, erlaubte Netze, Split- oder Volltunnel, Clientgrenzen und Protokollierung werden nach Schutzbedarf festgelegt.

7. Schritt 7: IPsec-Zustände überwachen

   IKE- und Child-SA-Zustände, Lebensdauern, Rekeying, Fehlerantworten, Routen und Paketfluss werden miteinander korreliert.

8. Schritt 8: WireGuard-Grundkonfiguration erstellen

   Schlüssel, Tunnelinterface, Adressen, Peers, Endpunkte, Allowed IPs und persistent keepalive werden für ein überschaubares Szenario eingerichtet.

9. Schritt 9: WireGuard in Routing und PF integrieren

   Routen, Rückwege, Weiterleitung, NAT, Filterung und Mehrfach-Peers werden mit eindeutigen Zuständigkeiten konfiguriert.

10. Schritt 10: DNS und Namensauflösung im VPN behandeln

    Interne Zonen, Resolverpfade, Split-DNS, Suchdomänen und Ausfallverhalten werden für Remote- und Standortzugänge geprüft.

11. Schritt 11: Fehler systematisch diagnostizieren

    Erreichbarkeit, Uhrzeit, Identität, Schlüssel, Vorschläge, SA-Zustand, Route, PF, MTU und Gegenstelle werden in fester Reihenfolge untersucht.

12. Schritt 12: Betrieb und Schlüsselwechsel organisieren

    Monitoring, Protokolle, Zertifikatsfristen, Peer-Inventar, Wartung, Rotation, Sperrung und Wiederherstellung werden in eine VPN-Betriebsakte überführt.

Praxisübungen

• Eine IKEv2-Standortkopplung mit Zertifikatsauthentifizierung und PF-Regeln aufbauen
• Einen WireGuard-Tunnel mit mehreren Netzen und kontrollierten Allowed IPs konfigurieren
• Authentifizierungs-, Routing-, PF- und MTU-Fehler anhand eines Diagnoseplans unterscheiden

Methodik

Die Vermittlung verbindet fachliche Einordnung, demonstrierte Systemarbeit und schrittweise Laborübungen. Konfigurationen werden zunächst geplant, anschließend in einer Übungsumgebung umgesetzt, geprüft und dokumentiert. Fehlerbilder und Wiederherstellungswege werden bewusst einbezogen.