Vom Elektroniker zum Fachinformatiker.

Um mehrere Dienste unabhängig voneinander betreiben zu können, sollte eine Virtualisierungsplattform entstehen, die strukturiert erweiterbar ist und den Ausfall einzelner Datenträger übersteht.

Als Basis dient Proxmox VE auf einem Debian-System. Vier NVMe-SSDs sind zu zwei getrennten ZFS-Spiegeln zusammengefasst: Das kleinere Paar trägt System und Boot, das größere den Datenpool der virtuellen Maschinen. Darauf laufen derzeit dreizehn Maschinen. Als organisatorische Konvention kodieren die VM-IDs zusätzlich VLAN und Hostanteil und erlauben dadurch eine schnelle Zuordnung.

Der Ausfall eines Datenträgers je Spiegel bleibt folgenlos, und System und Nutzdaten liegen getrennt voneinander. Dadurch lassen sich einzelne Dienste ergänzen oder neu aufsetzen, ohne die Plattform als Ganzes anzufassen.

Management, öffentliche Dienste, interne Systeme, Monitoring und Fernzugriff sollten logisch voneinander isoliert werden, statt sämtliche Maschinen in ein gemeinsames Netz zu hängen.

OPNsense übernimmt Routing und Filterung zentral und ist die einzige Maschine an der Uplink-Bridge. Alle übrigen Systeme hängen an einer zweiten, VLAN-fähigen Linux Bridge ohne physischen Port. Sieben VLANs trennen die Bereiche voneinander, Kea DHCP versorgt die zugehörigen Subnetze mit IPv4- und IPv6-Adressen.

Die Kommunikation zwischen zwei Netzen läuft zwangsläufig über die Firewall. Dadurch lässt sich der Verkehr zwischen den VLANs an einer zentralen Stelle kontrollieren und nur dort freigeben, wo er tatsächlich benötigt wird.

Um die Segmentierung wirksam zu machen, sollte die Kommunikation zwischen den Netzen auf die tatsächlich benötigten Verbindungen beschränkt werden.

Die Regeln liegen nicht an einzelnen Interfaces, sondern in Gruppen für Uplink, Management, VLANs und die einzelnen Tunnel. Quellen, Ziele und Ports stehen ausschließlich in Aliasen, sodass eine Netzänderung genau eine Stelle betrifft. Am Uplink filtern zusätzlich mehrere Blocklisten sowie die Bogon-Netze vor allen weiteren Regeln.

Zwischen den VLANs besteht standardmäßig keine Kommunikation. Jede Verbindung ist eine bewusste Freigabe, und bei einer Änderung am Netz bleibt das Regelwerk selbst unangetastet.

Um Webdienste öffentlich bereitzustellen, ohne die dahinterliegenden Maschinen direkt aus dem Internet erreichbar zu machen, war ein kontrollierter Einstiegspunkt nötig.

Von außen sind ausschließlich TCP 80 und 443 erreichbar. OPNsense leitet beide per DNAT an eine nginx-Instanz in einem eigenen Proxy-VLAN weiter, die dort TLS terminiert und die Anfragen an die zuständigen Docker-Dienste im Web-VLAN weiterreicht. Öffentlich erreichbare und rein interne Docker-Hosts sind dabei voneinander getrennt; für die internen Seiten arbeitet eine zweite nginx-Instanz.

Kein Dienst ist direkt aus dem Internet erreichbar. Neue Anwendungen werden über den Proxy veröffentlicht, ohne dass dafür eine weitere Portfreigabe an der Firewall entsteht.

Unterschiedliche Zugriffsarten sollten voneinander getrennt werden, statt einen einzigen VPN-Zugang für alle Zwecke zu verwenden.

Vier WireGuard-Instanzen laufen parallel, jede mit eigenem Tunnelnetz und einer eigenen Regelgruppe auf der Firewall. Für administrative Aufgaben steht eine Remote-Maschine im Fernzugriffsnetz bereit, die über einen festgelegten Port für Fernwartung erreichbar ist.

Kein Zugang erhält automatisch Zugriff auf sämtliche internen Netze. Welche Ziele über welchen Tunnel erreichbar sind, steht ausschließlich in der jeweiligen Regelgruppe.

Zustand und Erreichbarkeit der wichtigen Systeme sollten überwacht werden, ohne dass das Monitoring dafür Zugriff auf alles bekommt.

Checkmk läuft auf einem eigenen Host in einem eigenen Monitoring-VLAN. Die Firewall gibt von dort aus gezielt die Verbindungen zu den überwachten Systemen frei, ICMP nur dort, wo es zur Diagnose gebraucht wird. Syncthing übernimmt daneben einen definierten Abgleich zwischen zwei Netzen über feste Ports.

Das Monitoring arbeitet über einzeln definierte Kommunikationsbeziehungen statt über pauschale Rechte. Fällt der Monitoring-Host aus, bleibt kein weit geöffneter Netzzugang zurück.