Seminar Pritunl Zero – Intensivseminar Web-, SSH- und Endpoint-Zugriffe

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
5. Kapitel 1: Pritunl-Zero-Architektur und Zugriffspfade
6. Kapitel 2: Installation und Basiskonfiguration von Pritunl Zero
7. Kapitel 3: Rollenmodell und Least-Privilege-Zugriff
8. Kapitel 4: SSO, Mehrfaktor und WebAuthn
9. Kapitel 5: Geschützte Webdienste bereitstellen
10. Kapitel 6: Reverse-Proxy-Verhalten und Anwendungsintegration
11. Kapitel 7: DNS und automatisierte TLS-Zertifikate
12. Kapitel 8: SSH-Zugriff mit CA, Bastion und Hostzertifikaten
13. Kapitel 9: Endpoint Monitoring, Health und Alarmierung
14. Kapitel 10: Hochverfügbarkeit und Lastverteilung für Pritunl Zero
15. Kapitel 11: Protokollierung und Fehleranalyse in Pritunl Zero
16. Kapitel 12: Governance, Dokumentation und Zugriffskontrolle
17. Kapitel 13: Abschlusslabor Zero-Trust-Zugriff
18. Praxislabor
19. Methodik

Seminarprofil

Das fünftägige Intensivseminar bündelt alle Pritunl-Zero-Einzelthemen in einem durchgängigen Praxisprogramm. Webanwendungen und SSH-Systeme werden mit zentraler Identität, Rollen, starker Authentisierung, Zertifikaten und kontrollierten Netzwerkpfaden geschützt.

Die Endpoint-Funktion wird als ergänzende Linux-Basisüberwachung integriert. Hochverfügbarkeit, Sicherung, Zertifikatserneuerung, Protokollierung und Incident-Fälle sorgen dafür, dass der Aufbau nicht bei der erfolgreichen Anmeldung endet. Ein umfassendes Abschlusslabor verbindet alle Funktionsbereiche.

Zielgruppe

Pritunl-Zero-, Linux- und Security-Administratoren, IAM- und Plattformteams, SRE, Systemintegratoren und technische Architekten.

Voraussetzungen

Gute Linux-, DNS-, TLS-, Reverse-Proxy-, SSH- und IAM-Kenntnisse. MongoDB- und Load-Balancer-Grundlagen sind empfehlenswert.

Seminarinhalte

Die folgenden Kapitel verbinden fachliche Einordnung, nachvollziehbare Konfigurationsschritte, technische Kontrollen und eine praktische Übung. Jede Änderung wird mit einem Sollzustand sowie mindestens einem Prüfpunkt abgeschlossen.

Kapitel 1: Pritunl-Zero-Architektur und Zugriffspfade

Inhaltsverzeichnis dieses Kapitels

1. Webzugriff, SSH-Zertifikatszugriff, Bastion, Hostzertifikate und optionale…
2. Komponenten aus Zero-Server, MongoDB, Diensten, Authorities, Rollen, Identi…
3. Benutzerpfad vom Aufruf über SSO, MFA oder WebAuthn bis zur Freigabe des Zi…
4. Management-, Proxy-, Zertifikats- und SSH-Datenpfade mit benötigten Ports u…
5. Hochverfügbarkeits-, Sicherungs- und Protokollierungsanforderungen bereits…
6. Nicht geeignete Protokolle und Anwendungen identifizieren, die weiterhin ei…
7. Praxisübung

Pritunl Zero schützt Webanwendungen und SSH-Zugriffe mit vorgeschalteter Authentisierung, Richtlinien und kurzlebigen Vertrauensnachweisen.

Schritt-für-Schritt-Anleitung

1. Webzugriff, SSH-Zertifikatszugriff, Bastion, Hostzertifikate und optionale Endpoint-Überwachung fachlich voneinander trennen.
2. Komponenten aus Zero-Server, MongoDB, Diensten, Authorities, Rollen, Identitätsanbieter, DNS und Zertifikaten darstellen.
3. Benutzerpfad vom Aufruf über SSO, MFA oder WebAuthn bis zur Freigabe des Zielsystems nachzeichnen.
4. Management-, Proxy-, Zertifikats- und SSH-Datenpfade mit benötigten Ports und Vertrauensgrenzen dokumentieren.
5. Hochverfügbarkeits-, Sicherungs- und Protokollierungsanforderungen bereits im Grunddesign berücksichtigen.
6. Nicht geeignete Protokolle und Anwendungen identifizieren, die weiterhin einen VPN- oder anderen kontrollierten Netzwerkpfad benötigen.

Praxisübung

Für drei Webanwendungen und eine Linux-Administrationszone wird eine vollständige Zero-Trust-Zugriffsskizze erstellt.

Kapitel 2: Installation und Basiskonfiguration von Pritunl Zero

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Plattform, Ressourcen, Hostname, DNS, NTP, MongoDB und Firewal…
2. Separate Namen für Administrationsoberfläche und erste geschützte Dienste f…
3. Erforderliche HTTP- und HTTPS-Pfade für den gewählten Zertifikatsvalidierun…
4. Pakete und Dienste installieren, Datenbankverbindung setzen und den initial…
5. Root-Domain, Zertifikatsoptionen, Zeit, Protokollierung und grundlegende Sy…
6. Dienststatus, Datenbankzugriff, Administrationsoberfläche, Neustart und Zer…
7. Praxisübung

Die Erstinstallation verbindet vorbereitete DNS-Namen, TLS-Anforderungen, Datenbank und einen abgesicherten Administratorzugang.

Schritt-für-Schritt-Anleitung

1. Unterstützte Plattform, Ressourcen, Hostname, DNS, NTP, MongoDB und Firewallpfade vorbereiten.
2. Separate Namen für Administrationsoberfläche und erste geschützte Dienste festlegen.
3. Erforderliche HTTP- und HTTPS-Pfade für den gewählten Zertifikatsvalidierungsweg freigeben.
4. Pakete und Dienste installieren, Datenbankverbindung setzen und den initialen Administratorzugang absichern.
5. Root-Domain, Zertifikatsoptionen, Zeit, Protokollierung und grundlegende Systemeinstellungen prüfen.
6. Dienststatus, Datenbankzugriff, Administrationsoberfläche, Neustart und Zertifikatsausstellung mit einer Baseline abnehmen.

Praxisübung

Eine frische Instanz wird bis zur abgesicherten Administrationsoberfläche installiert und anhand einer reproduzierbaren Checkliste validiert.

Kapitel 3: Rollenmodell und Least-Privilege-Zugriff

Inhaltsverzeichnis dieses Kapitels

1. Anwendungen und SSH-Ziele nach Funktion, Umgebung und Schutzbedarf gruppieren.
2. Rollen aus tatsächlichen Aufgaben statt aus einzelnen Personen ableiten.
3. Identitätsgruppen eindeutig auf Rollen abbilden und Groß-/Kleinschreibung s…
4. Rollen nur den erforderlichen Diensten, Authorities oder Netzwerkbedingunge…
5. Sammelrollen, Administratorrollen und temporäre Projektrollen getrennt beha…
6. Regelmäßige Rezertifizierung mit Eigentümer, Mitgliederliste, zugeordneten…
7. Praxisübung

Rollen werden fachlich verständlich, technisch eindeutig und ohne unkontrollierte Verschachtelung aufgebaut.

Schritt-für-Schritt-Anleitung

1. Anwendungen und SSH-Ziele nach Funktion, Umgebung und Schutzbedarf gruppieren.
2. Rollen aus tatsächlichen Aufgaben statt aus einzelnen Personen ableiten.
3. Identitätsgruppen eindeutig auf Rollen abbilden und Groß-/Kleinschreibung sowie Namenskonventionen prüfen.
4. Rollen nur den erforderlichen Diensten, Authorities oder Netzwerkbedingungen zuweisen.
5. Sammelrollen, Administratorrollen und temporäre Projektrollen getrennt behandeln.
6. Regelmäßige Rezertifizierung mit Eigentümer, Mitgliederliste, zugeordneten Zielen und letzter Nutzung durchführen.

Praxisübung

Aus einer gemischten Benutzerliste entsteht ein Rollenmodell für Produktion, Test, Support und externe Wartung; überbreite Zuordnungen werden entfernt.

Kapitel 4: SSO, Mehrfaktor und WebAuthn

Inhaltsverzeichnis dieses Kapitels

1. Identitätsanbieter, Gruppenabfrage, Rücksprungadressen und benötigte Anwend…
2. SSO-Anwendung mit minimalen Berechtigungen registrieren und Geheimnisrotati…
3. Gruppennamen auf vorhandene Rollen abbilden und eine kleine Pilotgruppe zuw…
4. Mehrfaktorverfahren des Providers und zusätzliche WebAuthn-Anforderung nach…
5. Root-Domain und Geltungsbereich der WebAuthn-Anmeldung korrekt planen.
6. Erfolg, abgelehnten zweiten Faktor, fehlende Gruppe, gesperrten Benutzer un…
7. Praxisübung

Zentrale Identitäten werden mit starken, risikogerechten Zusatzanforderungen verbunden.

Schritt-für-Schritt-Anleitung

1. Identitätsanbieter, Gruppenabfrage, Rücksprungadressen und benötigte Anwendungsberechtigungen festlegen.
2. SSO-Anwendung mit minimalen Berechtigungen registrieren und Geheimnisrotation dokumentieren.
3. Gruppennamen auf vorhandene Rollen abbilden und eine kleine Pilotgruppe zuweisen.
4. Mehrfaktorverfahren des Providers und zusätzliche WebAuthn-Anforderung nach Schutzbedarf konfigurieren.
5. Root-Domain und Geltungsbereich der WebAuthn-Anmeldung korrekt planen.
6. Erfolg, abgelehnten zweiten Faktor, fehlende Gruppe, gesperrten Benutzer und Provider-Ausfall testen.

Praxisübung

Eine Pilotintegration mit zwei Rollen wird aufgebaut; Anmeldung mit und ohne geforderten zweiten Faktor sowie Gruppenentzug werden geprüft.

Kapitel 5: Geschützte Webdienste bereitstellen

Inhaltsverzeichnis dieses Kapitels

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen un…
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Z…
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwi…
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der rea…
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifika…
7. Praxisübung

Bestehende Webanwendungen erhalten eine vorgeschaltete Authentisierung, ohne dass die Anwendung selbst grundlegend verändert werden muss.

Schritt-für-Schritt-Anleitung

1. Backenddienst, Protokoll, Port, Gesundheitsprüfung, erwarteten Hostnamen und verantwortliches Team erfassen.
2. Öffentlichen beziehungsweise internen Dienstnamen anlegen und DNS auf die Zero-Zugriffsschicht ausrichten.
3. Webdienst mit Backendziel, TLS-Verhalten und zulässigen Rollen konfigurieren.
4. SSO- und Richtlinienanforderungen vor dem Weiterleiten an das Backend erzwingen.
5. Header, Cookies, Weiterleitungen, große Antworten und Abmeldung mit der realen Anwendung testen.
6. Nicht berechtigte Benutzer, fehlerhaftes Backend und abgelaufenes Zertifikat als definierte Fehlerfälle prüfen.

Praxisübung

Eine interne Beispielanwendung wird geschützt veröffentlicht; Anmeldung, Rollenprüfung, Weiterleitung und Abmeldung werden Ende-zu-Ende abgenommen.

Kapitel 6: Reverse-Proxy-Verhalten und Anwendungsintegration

Inhaltsverzeichnis dieses Kapitels

1. Anwendung auf Hostheader, Ursprungsschema, Pfade, WebSockets, lange Anfrage…
2. Backendprotokoll, Zertifikatsprüfung und erlaubte Zieladresse festlegen.
3. Weiterleitungs- und Identitätsheader nur nach dokumentiertem Bedarf aktivie…
4. Zeitüberschreitungen so setzen, dass normale Langläufer funktionieren, häng…
5. Cookies, SameSite-Verhalten, absolute Links und Logoutpfade in mehreren Bro…
6. Backend darf nicht direkt aus untrusted Netzen erreichbar sein
7. Praxisübung

Proxyparameter werden an die Anwendung angepasst, ohne Sicherheitskontrollen durch unnötig breite Ausnahmen zu schwächen.

Schritt-für-Schritt-Anleitung

1. Anwendung auf Hostheader, Ursprungsschema, Pfade, WebSockets, lange Anfragen und maximale Uploadgröße untersuchen.
2. Backendprotokoll, Zertifikatsprüfung und erlaubte Zieladresse festlegen.
3. Weiterleitungs- und Identitätsheader nur nach dokumentiertem Bedarf aktivieren und im Backend absichern.
4. Zeitüberschreitungen so setzen, dass normale Langläufer funktionieren, hängen gebliebene Verbindungen aber beendet werden.
5. Cookies, SameSite-Verhalten, absolute Links und Logoutpfade in mehreren Browsern testen.
6. Backend darf nicht direkt aus untrusted Netzen erreichbar sein; dieser Umgehungsweg wird als Negativtest geprüft.

Praxisübung

Eine Anwendung mit WebSocket und lang laufender Anfrage wird integriert; direkte Backend-Erreichbarkeit und manipulierte Header müssen ausgeschlossen bleiben.

Kapitel 7: DNS und automatisierte TLS-Zertifikate

Inhaltsverzeichnis dieses Kapitels

1. Namensschema für Administration, Webdienste und gegebenenfalls Wildcardbere…
2. DNS-Eigentümer, TTL, Änderungsprozess und Auflösung aus internen sowie exte…
3. HTTP- oder DNS-basierte Validierung passend zur Erreichbarkeit und Sicherhe…
4. Zertifikat für einen Testdienst ausstellen und Kette, Namen, Ablauf sowie p…
5. Automatische Erneuerung überwachen und rechtzeitig vor Ablauf alarmieren.
6. Fehlerfälle durch falschen DNS-Eintrag, blockierten Validierungspfad und en…
7. Praxisübung

Zertifikatsautomation funktioniert nur mit sauberer DNS-Verantwortung, erreichbarer Validierung und überwachten Erneuerungen.

Schritt-für-Schritt-Anleitung

1. Namensschema für Administration, Webdienste und gegebenenfalls Wildcardbereiche definieren.
2. DNS-Eigentümer, TTL, Änderungsprozess und Auflösung aus internen sowie externen Netzen dokumentieren.
3. HTTP- oder DNS-basierte Validierung passend zur Erreichbarkeit und Sicherheitsvorgabe auswählen.
4. Zertifikat für einen Testdienst ausstellen und Kette, Namen, Ablauf sowie privaten Schlüsselzugriff prüfen.
5. Automatische Erneuerung überwachen und rechtzeitig vor Ablauf alarmieren.
6. Fehlerfälle durch falschen DNS-Eintrag, blockierten Validierungspfad und entzogenes DNS-Recht nachstellen.

Praxisübung

Ein Einzel- und ein Wildcard-Szenario werden geplant; mindestens ein Zertifikat wird ausgestellt und ein absichtlich fehlerhafter Erneuerungsfall diagnostiziert.

Kapitel 8: SSH-Zugriff mit CA, Bastion und Hostzertifikaten

Inhaltsverzeichnis dieses Kapitels

1. Authority, Rollen, Principals, Hostdomain und Bastiontopologie entwerfen.
2. CA-Vertrauen auf Zielhosts und Host-CA-Vertrauen auf Clients bereitstellen.
3. Benutzerzertifikat nach starker Authentisierung ausstellen und zeitlich beg…
4. Private Ziele ausschließlich über den Bastionpfad erreichbar machen.
5. Hostzertifikat ausstellen und strikte Hostprüfung aktivieren.
6. Abgelaufenes Zertifikat, falscher Principal, falscher Host und Bastionausfa…
7. Praxisübung

Benutzer- und Hostvertrauen werden mit kurzlebigen Zertifikaten und einem kontrollierten Pfad in private Netze verbunden.

Schritt-für-Schritt-Anleitung

1. Authority, Rollen, Principals, Hostdomain und Bastiontopologie entwerfen.
2. CA-Vertrauen auf Zielhosts und Host-CA-Vertrauen auf Clients bereitstellen.
3. Benutzerzertifikat nach starker Authentisierung ausstellen und zeitlich begrenzen.
4. Private Ziele ausschließlich über den Bastionpfad erreichbar machen.
5. Hostzertifikat ausstellen und strikte Hostprüfung aktivieren.
6. Abgelaufenes Zertifikat, falscher Principal, falscher Host und Bastionausfall testen.

Praxisübung

Ein vollständiger SSH-Pfad wird Ende-zu-Ende aufgebaut und mit vier gezielten Negativtests abgenommen.

Kapitel 9: Endpoint Monitoring, Health und Alarmierung

Inhaltsverzeichnis dieses Kapitels

1. Unterstützte Systeme und verfügbare Telemetrie der eingesetzten Version prü…
2. Agent sicher installieren, registrieren und eindeutig einem Eigentümer zuor…
3. Normalbereiche für Ressourcen und Erreichbarkeit pro Systemklasse definieren.
4. Warn- und Kritisch-Alarme einschließlich Verzögerung und Reaktionsanweisung…
5. Stummen Agenten, hohe Dauerlast und knappen Datenträger gezielt simulieren.
6. Dubletten, stillgelegte Systeme, Agentupdates und Grenzen der Telemetrie im…
7. Praxisübung

Die Endpoint-Funktion liefert grundlegende Linux-Systemsignale und wird in einen realistischen Monitoringprozess eingebettet.

Schritt-für-Schritt-Anleitung

1. Unterstützte Systeme und verfügbare Telemetrie der eingesetzten Version prüfen.
2. Agent sicher installieren, registrieren und eindeutig einem Eigentümer zuordnen.
3. Normalbereiche für Ressourcen und Erreichbarkeit pro Systemklasse definieren.
4. Warn- und Kritisch-Alarme einschließlich Verzögerung und Reaktionsanweisung einrichten.
5. Stummen Agenten, hohe Dauerlast und knappen Datenträger gezielt simulieren.
6. Dubletten, stillgelegte Systeme, Agentupdates und Grenzen der Telemetrie im Betrieb behandeln.

Praxisübung

Ein Referenzhost wird überwacht und mit drei technisch ausgelösten Alarmfällen bis zur Entstörung geprüft.

Kapitel 10: Hochverfügbarkeit und Lastverteilung für Pritunl Zero

Inhaltsverzeichnis dieses Kapitels

1. Fehlerdomänen und gewünschte Verfügbarkeit für Administration, Webproxy und…
2. Mehrere Zero-Knoten mit gemeinsamer, hochverfügbarer MongoDB-Topologie bere…
3. Load Balancer mit korrektem Protokoll-, Quelladress- und Gesundheitsprüfung…
4. DNS-Namen, Zertifikate und Vertrauensanker auf den hochverfügbaren Endpunkt…
5. Bestehende Websitzungen, neue Anmeldungen und SSH-Zertifikatsanforderungen…
6. Wartung, Rückkehr des Knotens, Datenbankwahl und Zertifikatserneuerung in e…
7. Praxisübung

Web- und SSH-Zugriffe benötigen eine hochverfügbare Zugriffsschicht, Datenbank und Namensauflösung mit abgestimmten Gesundheitsprüfungen.

Schritt-für-Schritt-Anleitung

1. Fehlerdomänen und gewünschte Verfügbarkeit für Administration, Webproxy und SSH-Zertifikatsausgabe festlegen.
2. Mehrere Zero-Knoten mit gemeinsamer, hochverfügbarer MongoDB-Topologie bereitstellen.
3. Load Balancer mit korrektem Protokoll-, Quelladress- und Gesundheitsprüfungsverhalten konfigurieren.
4. DNS-Namen, Zertifikate und Vertrauensanker auf den hochverfügbaren Endpunkt ausrichten.
5. Bestehende Websitzungen, neue Anmeldungen und SSH-Zertifikatsanforderungen bei Knotenausfall prüfen.
6. Wartung, Rückkehr des Knotens, Datenbankwahl und Zertifikatserneuerung in einem Runbook dokumentieren.

Praxisübung

Ein Zwei-Knoten-Aufbau vor einem Load Balancer wird getestet; Knoten- und Datenbankausfall werden getrennt simuliert.

Kapitel 11: Protokollierung und Fehleranalyse in Pritunl Zero

Inhaltsverzeichnis dieses Kapitels

1. Fehlerbild mit Dienstname, Benutzer, Rolle, Netzwerk, Zeitpunkt und Browser…
2. DNS-Auflösung, Erreichbarkeit, Zertifikatskette und Systemzeit als äußere V…
3. SSO-, MFA-, WebAuthn-, Rollen- und Netzwerkrichtlinien anhand der Protokoll…
4. Bei Webdiensten Proxyverbindung, Backendstatus, Header, Weiterleitung und Z…
5. Bei SSH Authority, Zertifikatslaufzeit, Principal, Bastion, Hostzertifikat…
6. Ursache und Korrektur mit einem reproduzierbaren Positiv- und Negativtest a…
7. Praxisübung

Fehler werden anhand des tatsächlichen Pfads von DNS über TLS und Identität bis Backend oder SSH-Ziel eingegrenzt.

Schritt-für-Schritt-Anleitung

1. Fehlerbild mit Dienstname, Benutzer, Rolle, Netzwerk, Zeitpunkt und Browser- beziehungsweise SSH-Clientdaten erfassen.
2. DNS-Auflösung, Erreichbarkeit, Zertifikatskette und Systemzeit als äußere Voraussetzungen prüfen.
3. SSO-, MFA-, WebAuthn-, Rollen- und Netzwerkrichtlinien anhand der Protokolle unterscheiden.
4. Bei Webdiensten Proxyverbindung, Backendstatus, Header, Weiterleitung und Zeitüberschreitung kontrollieren.
5. Bei SSH Authority, Zertifikatslaufzeit, Principal, Bastion, Hostzertifikat und Zielhostprotokoll prüfen.
6. Ursache und Korrektur mit einem reproduzierbaren Positiv- und Negativtest abschließen.

Praxisübung

Vier vorbereitete Störungen – falsches DNS, SSO-Gruppenfehler, nicht erreichbares Backend und falscher SSH-Principal – werden schichtweise diagnostiziert.

Kapitel 12: Governance, Dokumentation und Zugriffskontrolle

Inhaltsverzeichnis dieses Kapitels

1. Für jeden Server, Dienst, Link, Rolle und Identitätsanbieter einen fachlich…
2. Änderungen nach Risiko kategorisieren und Freigabe, Test sowie Rückfallweg…
3. Namens-, Tagging- und Dokumentationsstandards für produktive und nicht prod…
4. Regelmäßige Zugriffsprüfung für Benutzer, Gruppen, Rollen, Administratoren,…
5. Ablauf und Rotation für Geheimnisse, Zertifikate, API-Zugänge und Notfallko…
6. Stillgelegte Dienste vollständig aus DNS, Routing, Rollen, Profilen, Monito…
7. Praxisübung

Technische Konfiguration wird mit Eigentümerschaft, Genehmigung, Rezertifizierung und nachvollziehbarer Stilllegung verbunden.

Schritt-für-Schritt-Anleitung

1. Für jeden Server, Dienst, Link, Rolle und Identitätsanbieter einen fachlichen sowie technischen Eigentümer benennen.
2. Änderungen nach Risiko kategorisieren und Freigabe, Test sowie Rückfallweg verpflichtend dokumentieren.
3. Namens-, Tagging- und Dokumentationsstandards für produktive und nicht produktive Objekte festlegen.
4. Regelmäßige Zugriffsprüfung für Benutzer, Gruppen, Rollen, Administratoren, Geräte und Ausnahmen terminieren.
5. Ablauf und Rotation für Geheimnisse, Zertifikate, API-Zugänge und Notfallkonten überwachen.
6. Stillgelegte Dienste vollständig aus DNS, Routing, Rollen, Profilen, Monitoring und Dokumentation entfernen.

Praxisübung

Ein unübersichtlicher Objektbestand wird Eigentümern, Prüfintervallen und Stilllegungsregeln zugeordnet; verwaiste Objekte werden identifiziert.

Kapitel 13: Abschlusslabor Zero-Trust-Zugriff

Inhaltsverzeichnis dieses Kapitels

1. DNS-, Zertifikats-, Rollen- und Identitätskonzept für zwei Webdienste und e…
2. Pritunl Zero und MongoDB installieren, härten und eine technische Baseline…
3. Webdienste mit unterschiedlichen Rollen- und Authentisierungsanforderungen…
4. SSH-Authority, Benutzerzertifikat, Bastion und Hostzertifikat einrichten.
5. Linux-Endpoint registrieren und grundlegende Alarme konfigurieren.
6. Knotenausfall, SSO-Gruppenentzug, Backendfehler und abgelaufenes SSH-Zertif…
7. Praxisübung

Die Laboraufgabe verbindet Web-, SSH- und Endpoint-Funktionen mit Identität, Zertifikaten, Hochverfügbarkeit und Betrieb.

Schritt-für-Schritt-Anleitung

1. DNS-, Zertifikats-, Rollen- und Identitätskonzept für zwei Webdienste und eine private SSH-Zone erstellen.
2. Pritunl Zero und MongoDB installieren, härten und eine technische Baseline dokumentieren.
3. Webdienste mit unterschiedlichen Rollen- und Authentisierungsanforderungen bereitstellen.
4. SSH-Authority, Benutzerzertifikat, Bastion und Hostzertifikat einrichten.
5. Linux-Endpoint registrieren und grundlegende Alarme konfigurieren.
6. Knotenausfall, SSO-Gruppenentzug, Backendfehler und abgelaufenes SSH-Zertifikat testen und dokumentieren.

Praxisübung

Ein produktionsnaher Zero-Trust-Pilot wird aufgebaut und durch eine kombinierte Funktions-, Sicherheits- und Ausfallprüfung abgenommen.

Praxislabor

Über fünf Tage entsteht eine produktionsnahe Zero-Trust-Umgebung mit zwei Webdiensten, differenzierten Rollen, SSO und starker Authentisierung. Eine private SSH-Zone wird mit CA, Bastion und Hostzertifikaten angebunden. Ein Linux-Endpoint, HA-Entwurf, Monitoring und mehrere Störungsfälle vervollständigen die Plattform.

Methodik

Hoher Praxisanteil mit täglichen Zwischenabnahmen, Architekturarbeit, geführten Konfigurationen und eigenständigen Laborpaketen. Das Abschlusslabor verlangt Funktions-, Sicherheits-, Ausfall- und Wiederherstellungsnachweise.