Seminar Pomerium – TCP- und UDP-Zugriff, SSH und Datenbankdienste

Administrative und datenbanknahe Zugriffe werden über HTTP-basierte Tunnel identitätsgesichert bereitgestellt. Pauschale Netzfreigaben und dauerhaft erreichbare Bastion-Netze werden durch anwendungsbezogene Zugriffswege ersetzt.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Tunnelarchitektur
5. Route und Policy
6. Clientbetrieb
7. SSH und RDP
8. Datenbanken und Redis
9. Verbindungslebenszyklus
10. Monitoring und Diagnose
11. Praxisübungen
12. Didaktik und Arbeitsweise

Zielsetzung

Die Schulung führt von nachvollziehbaren Anforderungen über konkrete Konfigurationen bis zu überprüfbaren Betriebs- und Sicherheitsschritten. Jede fachliche Entscheidung wird mit einem technischen Prüfpunkt und einem dokumentierten Negativfall verbunden.

Zielgruppe und Voraussetzungen

Zielgruppe: System- und Datenbankadministration, Netzwerkbetrieb, Plattformengineering, DevOps, Security Engineering und Service Desk.

Voraussetzungen: Pomerium-Routen- und Policy-Grundkenntnisse, sichere TCP/IP-, DNS- und TLS-Kenntnisse sowie Erfahrung mit mindestens einem Zielprotokoll.

Lernziele

• die Zusammenhänge von Tunnelarchitektur fachlich einordnen
• die Konfigurationsschritte zu Route und Policy reproduzierbar ausführen
• erlaubte und abgelehnte Zugriffe mit definierten Testfällen prüfen
• Fehler entlang von Identität, Policy, Transport und Upstream systematisch abgrenzen
• Änderungen, Rücknahme und Betriebsverantwortung nachvollziehbar dokumentieren
• die behandelten Verfahren auf eine produktive Zielumgebung übertragen

Tunnelarchitektur

Dieses Kapitel behandelt Tunnelarchitektur. Ausgangspunkt ist, Zieldienste, Ports und Nutzergruppen inventarisieren. Anschließend werden TCP- und UDP-Anforderungen unterscheiden und interaktive und automatisierte Nutzung klassifizieren. Die technische Umsetzung wird durch die Schritte Clientvoraussetzungen und lokale Portbindung prüfen und Latenz- und Timeout-Anforderungen erfassen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Zieldienste, Ports und Nutzergruppen inventarisieren
2. TCP- und UDP-Anforderungen unterscheiden
3. interaktive und automatisierte Nutzung klassifizieren
4. Clientvoraussetzungen und lokale Portbindung prüfen
5. Latenz- und Timeout-Anforderungen erfassen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Route und Policy

Dieses Kapitel behandelt Route und Policy. Ausgangspunkt ist, From-Adresse und Protokolltyp festlegen. Anschließend werden Upstream-Host und Zielport definieren und TLS-Verhalten und interne CA prüfen. Die technische Umsetzung wird durch die Schritte berechtigte Identität auswählen und privilegierte Zugriffe mit starker Authentisierung versehen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. From-Adresse und Protokolltyp festlegen
2. Upstream-Host und Zielport definieren
3. TLS-Verhalten und interne CA prüfen
4. berechtigte Identität auswählen
5. privilegierte Zugriffe mit starker Authentisierung versehen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Clientbetrieb

Dieses Kapitel behandelt Clientbetrieb. Ausgangspunkt ist, freigegebenen CLI- oder Desktop-Client bereitstellen. Anschließend werden Anmeldung und lokale Tunneladresse konfigurieren und lokalen Port restriktiv binden. Die technische Umsetzung wird durch die Schritte Zielanwendung auf lokalen Endpunkt umstellen und Client-Update und Konfigurationsverteilung dokumentieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. freigegebenen CLI- oder Desktop-Client bereitstellen
2. Anmeldung und lokale Tunneladresse konfigurieren
3. lokalen Port restriktiv binden
4. Zielanwendung auf lokalen Endpunkt umstellen
5. Client-Update und Konfigurationsverteilung dokumentieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

SSH und RDP

Dieses Kapitel behandelt SSH und RDP. Ausgangspunkt ist, administratives Ziel und Port erfassen. Anschließend werden restriktive Tunnelroute erstellen und kurze Sitzung und starke Authentisierung festlegen. Die technische Umsetzung wird durch die Schritte Clientkonfiguration anpassen und Abbruch und erneuten Aufbau testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. administratives Ziel und Port erfassen
2. restriktive Tunnelroute erstellen
3. kurze Sitzung und starke Authentisierung festlegen
4. Clientkonfiguration anpassen
5. Abbruch und erneuten Aufbau testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Datenbanken und Redis

Dieses Kapitel behandelt Datenbanken und Redis. Ausgangspunkt ist, Hostname, Port und TLS-Modus dokumentieren. Anschließend werden Upstream-Vertrauen konfigurieren und Client auf lokalen Tunnelport verbinden. Die technische Umsetzung wird durch die Schritte Datenbankzertifikat und Anmeldung getrennt prüfen und Pooling und Leerlaufzeiten testen überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. Hostname, Port und TLS-Modus dokumentieren
2. Upstream-Vertrauen konfigurieren
3. Client auf lokalen Tunnelport verbinden
4. Datenbankzertifikat und Anmeldung getrennt prüfen
5. Pooling und Leerlaufzeiten testen

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Verbindungslebenszyklus

Dieses Kapitel behandelt Verbindungslebenszyklus. Ausgangspunkt ist, maximale Verbindungs- und Leerlaufzeit festlegen. Anschließend werden Policy-Prüfpunkt beim Aufbau dokumentieren und Rollenentzug während bestehender Verbindung testen. Die technische Umsetzung wird durch die Schritte Token und lokale Ports absichern und Notfalltrennung und Widerruf vorbereiten überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. maximale Verbindungs- und Leerlaufzeit festlegen
2. Policy-Prüfpunkt beim Aufbau dokumentieren
3. Rollenentzug während bestehender Verbindung testen
4. Token und lokale Ports absichern
5. Notfalltrennung und Widerruf vorbereiten

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Monitoring und Diagnose

Dieses Kapitel behandelt Monitoring und Diagnose. Ausgangspunkt ist, lokale Portbindung und Clientstatus prüfen. Anschließend werden DNS und TLS zum Eingang kontrollieren und Anmeldung und Policy-Ablehnung unterscheiden. Die technische Umsetzung wird durch die Schritte Upstream-DNS, Port und Vertrauen prüfen und Timeouts und Abbrüche korrelieren überprüfbar abgeschlossen. Konfiguration, Positivfall, Negativfall und Rücknahmemöglichkeit werden dabei getrennt dokumentiert.

Schritt-für-Schritt-Vorgehen

1. lokale Portbindung und Clientstatus prüfen
2. DNS und TLS zum Eingang kontrollieren
3. Anmeldung und Policy-Ablehnung unterscheiden
4. Upstream-DNS, Port und Vertrauen prüfen
5. Timeouts und Abbrüche korrelieren

Prüfpunkte

• Ausgangszustand, Änderung und erwarteter Sollzustand sind dokumentiert.
• Mindestens ein erlaubter und ein abgelehnter Fall werden reproduzierbar geprüft.
• Fehlerbild, Diagnoseweg und Rücknahmeschritt sind im Arbeitsprotokoll festgehalten.

Praxisübungen

1. SSH-Tunnel mit Gruppenpolicy bereitstellen
2. Datenbankverbindung über lokalen Tunnel testen
3. Tokenablauf und Neuverbindung beobachten
4. Zielport-, TLS- und Policy-Fehler diagnostizieren
5. Client- und Notfallcheckliste erstellen

Didaktik und Arbeitsweise

Zwei Tage sind erforderlich, weil neben der Konfiguration auch Integration, Negativtests, Fehlerdiagnose und dokumentierte Rücknahme praktisch bearbeitet werden. Ein eintägiges Format würde diese Betriebsnachweise nicht abdecken.

Kurze Fachimpulse wechseln mit Demonstrationen, geführten Konfigurationsschritten, kontrollierten Fehlerfällen und eigenständigen Übungen. Alle Aufgaben verwenden definierte Ausgangswerte, erwartete Prüfergebnisse und dokumentierte Rücknahmeschritte.