Seminar Pritunl – Netzwerkdesign, Routing, DNS und IPv6

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Routing, Split Tunnel und Full Tunnel
6. Kapitel 2: DNS, Split DNS und IPv6
7. Kapitel 3: Netzwerkabbildung, Portweiterleitung und dynamische Firewall
8. Kapitel 4: Überlappende Netze und Adresskonflikte
9. Kapitel 5: Performanceanalyse und Kapazitätsbewertung
10. Kapitel 6: Technische Abnahme und Negativtests
11. Kapitel 7: Governance, Dokumentation und Zugriffskontrolle
12. Praxislabor
13. Methodik

Seminarprofil

Das dreitägige Fachseminar behandelt die häufigsten Ursachen für funktional scheinende, aber betrieblich unzuverlässige VPN-Umgebungen: unklare Rückwege, zu breite Routen, DNS-Fehler, Adressüberschneidungen und unbeachtete IPv6-Pfade.

Aus einer Kommunikationsmatrix entsteht ein nachvollziehbares Netzwerkdesign. Split und Full Tunnel, NAT, Netzwerkabbildung und dynamische Freigaben werden nur nach klaren Einsatzkriterien verwendet. Positiv- und Negativtests belegen, dass erlaubte Pfade funktionieren und unerlaubte tatsächlich gesperrt bleiben.

Zielgruppe

Netzwerk-, Firewall- und Pritunl-Administratoren, Cloud-Netzwerkteams, technische Architekten und Systemintegratoren.

Voraussetzungen

Sichere IPv4-Kenntnisse, Routing, NAT, DNS und Firewallregeln. IPv6-Grundkenntnisse werden vorausgesetzt.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Routing, Split Tunnel und Full Tunnel

Inhaltsverzeichnis dieses Kapitels

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikat…
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und…
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Net…
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen…
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade…
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollieru…
7. Praxisübung

Routen werden aus dem tatsächlichen Kommunikationsbedarf abgeleitet. Pauschale Standardrouten werden nur eingesetzt, wenn Sicherheits- und Kapazitätsfolgen geklärt sind.

Schritt-für-Schritt-Anleitung

1. Quellgruppen, Zielnetze, Rückwege und zuständige Router in einer Kommunikationsmatrix erfassen.
2. Tunnelnetze so wählen, dass sie weder mit Heimnetzen noch mit Standort- und Cloud-Netzen kollidieren.
3. Benötigte Zielnetze als spezifische Routen veröffentlichen und unnötige Netzbereiche entfernen.
4. Für Full Tunnel Bandbreite, Internetausleitung, DNS, Sicherheitskontrollen und Ausfallszenarien vollständig planen.
5. Rückroute oder NAT je Zielnetz bewusst entscheiden und asymmetrische Pfade vermeiden.
6. Erreichbarkeit, Nicht-Erreichbarkeit, Rückweg, Traceroute und Protokollierung für jeden freigegebenen Pfad testen.

Praxisübung

Eine fehlerhafte Beispieltopologie mit fehlender Rückroute und zu breiter Standardroute wird korrigiert und mit Positiv- sowie Negativtests abgenommen.

Kapitel 2: DNS, Split DNS und IPv6

Inhaltsverzeichnis dieses Kapitels

1. Interne und externe Namensräume, Suchdomänen, Resolver und bedingte Weiterl…
2. Festlegen, welche DNS-Server über den Tunnel verwendet werden und welche An…
3. Split-DNS-Fälle mit identischen internen und externen Namen eindeutig testen.
4. IPv6-Unterstützung, IPv6-Routen und potenzielle Umgehungspfade neben einem…
5. DNS-Leaks, lokale Resolver-Caches, Suchsuffixe und unterschiedliche Clientb…
6. Ausfall- und Fallbackverhalten der Resolver prüfen und die erwarteten Fehle…
7. Praxisübung

Namensauflösung und IP-Versionen werden als Teil des Zugriffskonzepts behandelt. Ein funktionierender Tunnel mit falschem DNS ist betrieblich trotzdem eine Störung.

Schritt-für-Schritt-Anleitung

1. Interne und externe Namensräume, Suchdomänen, Resolver und bedingte Weiterleitungen dokumentieren.
2. Festlegen, welche DNS-Server über den Tunnel verwendet werden und welche Anfragen lokal verbleiben dürfen.
3. Split-DNS-Fälle mit identischen internen und externen Namen eindeutig testen.
4. IPv6-Unterstützung, IPv6-Routen und potenzielle Umgehungspfade neben einem reinen IPv4-Tunnel bewerten.
5. DNS-Leaks, lokale Resolver-Caches, Suchsuffixe und unterschiedliche Clientbetriebssysteme in die Testmatrix aufnehmen.
6. Ausfall- und Fallbackverhalten der Resolver prüfen und die erwarteten Fehlermeldungen für den Support dokumentieren.

Praxisübung

Ein gemischter IPv4-/IPv6-Testaufbau mit internem Split DNS wird erstellt; fehlerhafte Resolverpriorität und ein möglicher Bypass werden identifiziert.

Kapitel 3: Netzwerkabbildung, Portweiterleitung und dynamische Firewall

Inhaltsverzeichnis dieses Kapitels

1. Anwendungsfall und gewünschte Quell- beziehungsweise Zieladresssicht vor de…
2. Adressbereiche und Portbeziehungen ohne Konflikt zu bestehenden Routen und…
3. Netzwerkabbildung oder Portweiterleitung zunächst auf ein einzelnes Testzie…
4. Dynamische Firewallfreigaben an einen eindeutig authentisierten Benutzer- o…
5. Regelreihenfolge, Protokollierung, Ablauf und Widerruf der temporären Freig…
6. Mit Negativtests sicherstellen, dass andere Benutzer, Geräte und nicht vorg…
7. Praxisübung

Sonderfunktionen für Adressabbildung und dynamische Freigaben werden nur dort eingesetzt, wo sie gegenüber klassischen Routen einen klaren Sicherheits- oder Betriebsnutzen haben.

Schritt-für-Schritt-Anleitung

1. Anwendungsfall und gewünschte Quell- beziehungsweise Zieladresssicht vor der Konfiguration festlegen.
2. Adressbereiche und Portbeziehungen ohne Konflikt zu bestehenden Routen und NAT-Regeln planen.
3. Netzwerkabbildung oder Portweiterleitung zunächst auf ein einzelnes Testziel begrenzen.
4. Dynamische Firewallfreigaben an einen eindeutig authentisierten Benutzer- oder Gerätekontext binden.
5. Regelreihenfolge, Protokollierung, Ablauf und Widerruf der temporären Freigabe prüfen.
6. Mit Negativtests sicherstellen, dass andere Benutzer, Geräte und nicht vorgesehene Ports gesperrt bleiben.

Praxisübung

Ein Administrationsdienst wird für eine definierte Gruppe kontrolliert veröffentlicht; unzulässige Quellgeräte und alternative Ports müssen nachweislich blockiert bleiben.

Kapitel 4: Überlappende Netze und Adresskonflikte

Inhaltsverzeichnis dieses Kapitels

1. Alle internen, externen, Partner-, Heim- und Tunnelnetze in einer zentralen…
2. Überlappungen nach Häufigkeit, betroffenen Diensten und möglicher Umnummeri…
3. Spezifischere Routen, Netzwerkabbildung, NAT oder getrennte Serverprofile a…
4. Ausgewählte Lösung mit eindeutigen Quell- und Zieladressen dokumentieren.
5. Clientseitige Routentabelle und serverseitigen Rückweg unter mehreren lokal…
6. Dauerhafte Bereinigung im IP-Adressmanagement verankern, damit der Workarou…
7. Praxisübung

Überlappende private Netze treten besonders bei Heimarbeitsplätzen, Firmenübernahmen und Multi-Cloud-Umgebungen auf. Sie werden bewusst aufgelöst statt durch Zufall überdeckt.

Schritt-für-Schritt-Anleitung

1. Alle internen, externen, Partner-, Heim- und Tunnelnetze in einer zentralen Adressübersicht zusammenführen.
2. Überlappungen nach Häufigkeit, betroffenen Diensten und möglicher Umnummerierung bewerten.
3. Spezifischere Routen, Netzwerkabbildung, NAT oder getrennte Serverprofile als Lösungsvarianten vergleichen.
4. Ausgewählte Lösung mit eindeutigen Quell- und Zieladressen dokumentieren.
5. Clientseitige Routentabelle und serverseitigen Rückweg unter mehreren lokalen Netzen testen.
6. Dauerhafte Bereinigung im IP-Adressmanagement verankern, damit der Workaround nicht zum unkontrollierten Standard wird.

Praxisübung

Ein Standortnetz und ein typisches Heimnetz verwenden denselben Adressbereich. Drei Lösungsvarianten werden getestet und hinsichtlich Aufwand und Risiko bewertet.

Kapitel 5: Performanceanalyse und Kapazitätsbewertung

Inhaltsverzeichnis dieses Kapitels

1. Messziel, Ausgangsnetz, Zielsystem, Protokoll, Paketgröße und erwartete Ban…
2. Latenz, Verlust und Durchsatz ohne Tunnel als Referenz erfassen.
3. Identischen Test durch den Tunnel durchführen und CPU, Speicher, Netzwerk s…
4. OpenVPN- und WireGuard-Ergebnisse, unterschiedliche Ports und geeignete MTU…
5. Engpass anhand korrelierter Messwerte lokalisieren, statt nur den VPN-Host…
6. Kapazitätsgrenze, Reserve, Skalierungsmaßnahme und nächstes Prüffrist in ei…
7. Praxisübung

Durchsatzprobleme werden entlang von Client, Internetpfad, VPN-Host, Verschlüsselung, Routing und Zielsystem gemessen.

Schritt-für-Schritt-Anleitung

1. Messziel, Ausgangsnetz, Zielsystem, Protokoll, Paketgröße und erwartete Bandbreite vor dem Test definieren.
2. Latenz, Verlust und Durchsatz ohne Tunnel als Referenz erfassen.
3. Identischen Test durch den Tunnel durchführen und CPU, Speicher, Netzwerk sowie aktive Sitzungen parallel beobachten.
4. OpenVPN- und WireGuard-Ergebnisse, unterschiedliche Ports und geeignete MTU- beziehungsweise MSS-Werte vergleichen.
5. Engpass anhand korrelierter Messwerte lokalisieren, statt nur den VPN-Host zu vergrößern.
6. Kapazitätsgrenze, Reserve, Skalierungsmaßnahme und nächstes Prüffrist in einem Bericht festhalten.

Praxisübung

Ein reproduzierbarer Last- und Durchsatztest wird ausgeführt; der tatsächliche Engpass wird aus Messdaten statt aus Vermutungen bestimmt.

Kapitel 6: Technische Abnahme und Negativtests

Inhaltsverzeichnis dieses Kapitels

1. Testbenutzer, Testgerät, Ausgangsnetz, Zielsystem und erwartetes Resultat j…
2. Authentisierung, Tunnelaufbau, zugewiesene Adresse, Routen und DNS-Konfigur…
3. Erlaubte Dienste mit Anwendungs- und Porttests prüfen und Ergebnisse zeitli…
4. Nicht erlaubte Netze, Ports, Benutzergruppen und abgelaufene Profile als Ne…
5. Neustart, Verbindungsabbruch, Netzwechsel und Wiederverbindung in die Abnah…
6. Abweichungen mit Ursache, Korrektur und erneutem Test dokumentieren
7. Praxisübung

Die Abnahme beweist nicht nur erlaubte Verbindungen, sondern ebenso die wirksame Trennung nicht freigegebener Ziele.

Schritt-für-Schritt-Anleitung

1. Testbenutzer, Testgerät, Ausgangsnetz, Zielsystem und erwartetes Resultat je Fall festlegen.
2. Authentisierung, Tunnelaufbau, zugewiesene Adresse, Routen und DNS-Konfiguration kontrollieren.
3. Erlaubte Dienste mit Anwendungs- und Porttests prüfen und Ergebnisse zeitlich protokollieren.
4. Nicht erlaubte Netze, Ports, Benutzergruppen und abgelaufene Profile als Negativtests ausführen.
5. Neustart, Verbindungsabbruch, Netzwechsel und Wiederverbindung in die Abnahme aufnehmen.
6. Abweichungen mit Ursache, Korrektur und erneutem Test dokumentieren; erst danach die Freigabe erteilen.

Praxisübung

Eine standardisierte Abnahmematrix wird ausgefüllt und für einen fehlerhaften sowie einen korrekten Aufbau vollständig durchgeführt.

Kapitel 7: Governance, Dokumentation und Zugriffskontrolle

Inhaltsverzeichnis dieses Kapitels

1. Für jeden Server, Dienst, Link, Rolle und Identitätsanbieter einen fachlich…
2. Änderungen nach Risiko kategorisieren und Freigabe, Test sowie Rückfallweg…
3. Namens-, Tagging- und Dokumentationsstandards für produktive und nicht prod…
4. Regelmäßige Zugriffsprüfung für Benutzer, Gruppen, Rollen, Administratoren,…
5. Ablauf und Rotation für Geheimnisse, Zertifikate, API-Zugänge und Notfallko…
6. Stillgelegte Dienste vollständig aus DNS, Routing, Rollen, Profilen, Monito…
7. Praxisübung

Technische Konfiguration wird mit Eigentümerschaft, Genehmigung, Rezertifizierung und nachvollziehbarer Stilllegung verbunden.

Schritt-für-Schritt-Anleitung

1. Für jeden Server, Dienst, Link, Rolle und Identitätsanbieter einen fachlichen sowie technischen Eigentümer benennen.
2. Änderungen nach Risiko kategorisieren und Freigabe, Test sowie Rückfallweg verpflichtend dokumentieren.
3. Namens-, Tagging- und Dokumentationsstandards für produktive und nicht produktive Objekte festlegen.
4. Regelmäßige Zugriffsprüfung für Benutzer, Gruppen, Rollen, Administratoren, Geräte und Ausnahmen terminieren.
5. Ablauf und Rotation für Geheimnisse, Zertifikate, API-Zugänge und Notfallkonten überwachen.
6. Stillgelegte Dienste vollständig aus DNS, Routing, Rollen, Profilen, Monitoring und Dokumentation entfernen.

Praxisübung

Ein unübersichtlicher Objektbestand wird Eigentümern, Prüfintervallen und Stilllegungsregeln zugeordnet; verwaiste Objekte werden identifiziert.

Praxislabor

Eine Umgebung mit Standortnetz, Cloud-Netz, Heimnetzüberlappung, internem Split DNS und gemischtem IPv4/IPv6 wird korrigiert. Split- und Full-Tunnel-Varianten werden gemessen, Rückwege geprüft und unerwünschte Bypass-Pfade ausgeschlossen.

Methodik

Netzwerkplanung am Whiteboard, Konfigurationsdemonstrationen, Paket- und Routenanalyse, geführte Fehlerbilder und eine formale Abnahmematrix. Jede Route erhält Quelle, Ziel, Rückweg, Eigentümer und Testfall.