Hier baut ihr das VPN wirklich: zwei verschiedene Systeme, drei Netze, ein Ausfall, der im Test gezogen wird, und eine Dokumentation, mit der der Betrieb allein zurechtkommt.
Sprint 6Brückenstufe 4
Eure Story: Als IT-Leitung HLG will ich Station und Lager über einen sicheren Tunnel im Hub, damit Kameras und Büros auch dann laufen, wenn eine Leitung ausfällt.
Input · VPN einrichten und betreiben. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 3 bis 6.
Ihr richtet die Tunnel ein, prüft das Routing aller drei Netze, stellt Überwachung und Umschaltung ein, zieht den Richtfunk und schreibt die Betriebsdokumentation.
0 von 7 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Ein VPN ist erst fertig, wenn jemand anderes es nachts um drei wieder zum Laufen bringt.
Am Ende hast du: ein laufendes VPN zwischen Hub, Station und Lager mit Testprotokoll, einen gemessenen Ausfall mit Umschaltung und die Betriebsdokumentation für Querwind.
Karte „Adressen und Routing kompakt“: Was du aus dem Netzaufbau brauchst, auf einer Seite: Adressen, Subnetze, Routing, die drei Standorte. Die Karte steht im Wissensspeicher.
Erst du, dann die anderen
Der Betrieb von Querwind fragt: „Wie merkt ihr, dass der Tunnel zum Lager weg ist, und was passiert dann?“ Wie würdest du die Überwachung anlegen?
So gehen andere vor. Such dir einen Weg aus.
- Prüfping durch den Tunnel. Das Lager-Gateway pingt alle paar Sekunden einen festen Server im Hub an. Bleiben Antworten aus, schaltet es um. Das ist einfach und prüft genau das, was zählt. Es erzeugt aber ständig ein wenig Verkehr und braucht eine sinnvolle Schwelle.
- Zustand des Tunnels abfragen. Ihr lest am Gateway ab, wann zuletzt ein Schlüsseltausch oder ein Lebenszeichen kam. Das kostet keinen zusätzlichen Verkehr. Ein Tunnel kann aber als „oben“ gelten, während das Routing dahinter kaputt ist.
- Zentrale Überwachung im Hub. Ein Überwachungsdienst im Hub prüft alle Tunnel und alarmiert die Bereitschaft. Das sieht alles an einer Stelle. Fällt aber genau die Strecke aus, merkt das Lager selbst nichts und schaltet nicht um.
Es gibt hier nicht den einen richtigen Weg. Viele Teams kombinieren zwei Wege. In Aufgabe 13.5 legt ihr euch fest.
Gegebene Werte: Einrichtung und Betrieb · aufklappen, wenn du sie brauchst
Gegebene Werte: Einrichtung und Betrieb
- Endpunkte
- Hub 203.0.113.2 (vpn.hlg.example); Station dynamisch über station.hlg.example (Beispiel 198.51.100.77); Lager 198.51.100.20 über Richtfunk, über 5G ohne eigene Adresse
- Netze
- Hub 10.10.0.0/16, Station 10.20.0.0/16, Lager 10.30.0.0/16
- Transfernetz der Tunnel
- 10.250.0.0/24: Hub .1, Station .2, Lager .3 (Unterrichtswert, kollidiert mit keinem Standortnetz)
- Ports
- IKEv2 UDP 500, NAT-Traversal UDP 4500, ESP IP-Protokoll 50, WireGuard UDP 51820
- Verfahren für IKEv2
- AES-256-GCM, PRF SHA-256, Diffie-Hellman-Gruppe 19 (ECP 256), Anmeldung mit den Zertifikaten aus Teil 5
- Keepalive hinter Carrier-NAT
- alle 25 s ein Lebenszeichen vom Lager
- Prüfping
- alle 5 s an 10.10.40.10 im Hub; nach 3 ausbleibenden Antworten gilt der Weg als ausgefallen
- Prüfserver
- 10.10.40.10 im Hub, 10.20.40.10 in der Station, 10.30.40.10 im Lager
- Verfügbarkeiten aus Teil 1
- Richtfunk 98 %, 5G 97 %, beide zusammen 99,94 %
Alle Werte sind Unterrichtswerte. Im Labor ersetzt ihr die öffentlichen Adressen durch die Adressen eures Labornetzes und schreibt die Zuordnung in die Dokumentation.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Laufendes VPN mit Betriebsdokumentation
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- den eingerichteten Tunneln Hub und Station sowie Hub und Lager, auf zwei verschiedenen Systemen
- der Routingtabelle je Standort für 10.10/16, 10.20/16 und 10.30/16
- dem Testprotokoll: jede Richtung zwischen den drei Netzen einmal geprüft
- dem Ausfallprotokoll: Richtfunk gezogen, Erkennung, Umschaltung, Zeit
- der Betriebsdokumentation mit Endpunkten, Schlüsselverwaltung, Routing, Überwachung und Störungsablauf
Zur Dokumentation
Die Betriebsdokumentation ist für die Bereitschaft geschrieben, nicht für euch: kurze Abschnitte, Befehle zum Kopieren, ein Ablauf je Störung. Private Schlüssel stehen nie darin, nur ihre Fingerabdrücke und wo sie liegen.
Mit diesem Lernprodukt geht ihr in das Übergabegespräch M4.
Deine Aufgaben
13.1Lege die Tunnelparameter fest
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 3Öffnen ▾Schließen ▴
Aufgabe 13.1
Lege die Tunnelparameter fest:
- Fülle für jeden Tunnel eine Zeile aus: Enden, wer aufbaut, Protokoll, Port, Transferadressen.
- Ordne jedem Tunnel die Netze zu, die durch ihn laufen dürfen.
- Ergänze die Filtertabelle aus Teil 4 um die nötigen Regeln am Hub.
- Prüfe, dass sich kein Netz doppelt zugeordnet ist.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
13.2Richte das VPN zwischen zwei verschiedenen Systemen ein
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 3Öffnen ▾Schließen ▴
Aufgabe 13.2
Richte das VPN zwischen zwei verschiedenen Systemen ein:
- Richte den Tunnel Hub und Lager ein (im Labor: VM im Hub, Raspberry Pi im Lager).
- Richte den Tunnel Hub und Station mit IKEv2 zwischen zwei verschiedenen Systemen ein.
- Stelle die Verfahren auf beiden Seiten identisch ein und notiere sie.
- Halte fest, was du über die Oberfläche und was über eine Konfigurationsdatei eingerichtet hast.
Im Team Diese Aufgabe bearbeitet ihr im Team.
13.3Prüfe das Routing der drei Netze
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 3Öffnen ▾Schließen ▴
Aufgabe 13.3
Prüfe das Routing der drei Netze:
- Trage die Routen je Standort in eine Tabelle ein: Zielnetz, über welchen Tunnel.
- Prüfe mit Ping und Traceroute jede der sechs Richtungen zwischen den drei Netzen.
- Prüfe den Weg von der Station ins Lager und erkläre ihn an der Topologie.
- Halte jedes Ergebnis im Testprotokoll fest.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
13.4Untersuche eine Verbindung, die nur halb funktioniert
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 3 und 6Öffnen ▾Schließen ▴
Aufgabe 13.4
Untersuche eine Verbindung, die nur halb funktioniert:
- Stelle im Labor die Tunnel-MTU absichtlich auf 1500.
- Prüfe Ping, eine kleine Webseite und einen großen Download aus dem Hub.
- Erkläre das Verhalten mit der Overhead-Rechnung aus LA 12.
- Behebe den Fehler und weise die Behebung nach.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
13.5Stelle Überwachung und Umschaltung ein und ziehe den Ausfall
Jetzt seid ihr dran · Im Team · 6 Arbeitsschritte
zahlt ein auf AB 4Öffnen ▾Schließen ▴
Aufgabe 13.5
Stelle Überwachung und Umschaltung ein und ziehe den Ausfall:
- Lege fest, wer was überwacht und ab wann alarmiert wird.
- Richte den Ausweichweg über 5G ein.
- Ziehe im Test den Richtfunk.
- Miss die Zeit vom Ausfall bis zum ersten erfolgreichen Ping über 5G.
- Prüfe, ob die Bereitschaft den Alarm bekommen hat.
- Stelle den Richtfunk wieder her und prüfe die Rückschaltung.
Im Team Diese Aufgabe bearbeitet ihr im Team.
13.6Schreibe die Betriebsdokumentation
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 5Öffnen ▾Schließen ▴
Aufgabe 13.6
Schreibe die Betriebsdokumentation:
- Gliedere sie nach den fünf Bausteinen aus der Abbildung.
- Schreibe für den Ausfall des Richtfunks einen Ablauf in höchstens zehn Schritten.
- Beschreibe den Wechsel eines Schlüssels oder Zertifikats.
- Lass eine Person aus einem anderen Team, die nicht dabei war, einen Ausfall nur mit der Doku beheben, und bessere nach.
Im Team Diese Aufgabe bearbeitet ihr im Team.
13.7Bewerte die Umschaltung für die IT-Leitung
Jetzt seid ihr dran · Im Team · 3 Arbeitsschritte
zahlt ein auf AB 4Öffnen ▾Schließen ▴
Aufgabe 13.7
Bewerte die Umschaltung für die IT-Leitung:
- Entscheide, ob die Kameras bei Ausfall des Richtfunks über 5G weiterlaufen, lokal aufzeichnen oder in geringerer Qualität senden.
- Begründe deine Entscheidung mit der Rechnung aus LA 12 und den Kosten.
- Formuliere, was du der IT-Leitung im Übergabegespräch dazu sagst.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Laborvorschlag zu LA 13 (zweimal 90 Minuten)
Packet Tracer: Site-to-Site-VPN mit IPsec zwischen drei Routern als Modell der Topologie, Routing der drei /16-Netze, Test mit Ping aus jedem Netz.
WireGuard zwischen Raspberry Pi und VM: Der Pi ist das Gateway des Lagers, eine Linux-VM das Hub. Der Pi baut auf und hält mit PersistentKeepalive = 25 offen. Für den Ausweichweg bekommt der Pi eine zweite Schnittstelle; ein kleines Skript pingt alle 5 s 10.10.40.10 und setzt nach drei Fehlschlägen die Route um. Das Hub erkennt den Pi am Schlüssel und übernimmt die neue äußere Adresse von selbst.
Systemübergreifend mit strongSwan: Auf einer zweiten Linux-VM als Station läuft strongSwan mit IKEv2 und Zertifikat; die Gegenseite ist ein anderes System, etwa eine OPNsense-VM als Hub oder ein Router in Packet Tracer. Gleiche Verfahren auf beiden Seiten, Mitschnitt des Aufbaus mit Wireshark (UDP 500, dann UDP 4500 oder ESP).
Umbau aus dem TTCN
Dieses Lernangebot übernimmt die Story CN-P109-2 „VPN Server“ und baut sie um: Pflicht ist hier die Standortkopplung. Der Fernzugang für einzelne Personen folgt als Wahlstory A „Fernwartung“.
Veränderter Fall
Das Lager zieht um und bekommt für sechs Wochen nur Mobilfunk. Überprüfe deine Betriebsdokumentation und deine Überwachung: Was gilt in diesen sechs Wochen nicht mehr, was musst du ändern, und wie viele Ausfallstunden muss die Bereitschaft in der Zeit erwarten?