Projekterfahrung aus Netzwerk und IT-Sicherheit

VorgehenZuerst ein Wired-NAC-Proof-of-Concept mit EAP-TLS und MAB. Danach die Live-Implementierung: Anbindung an Active Directory und Entra ID über den REST ID Store, EAP-TLS mit Zertifikaten der kundeneigenen CA und ein Autorisierungsregelwerk in drei Gerätespuren auf Basis von AD- und Entra-Gruppen. Nach dem PoC entschied der Kunde, auf eine Intune-Anbindung zu verzichten.

ErgebnisEin NAC-Regelwerk, das drei Gerätewelten unterscheidet, dazu drei Dokumente: PoC-Bericht, Vorbereitungsleitfaden für die Abstimmungstermine und Implementierungsleitfaden mit 15 Kapiteln.

VorgehenSplit-Upgrade beider Knoten über alle Phasen: Upgrade Readiness Tool ausgeführt, Repository-Fehler behoben, nach dem Upgrade Rollen neu vergeben und Indizes neu aufgebaut. Parallel die Planung des neuen PSN für WLAN-NAC am Auslandsstandort: VM-Dimensionierung korrigiert und die x86-64-v2-CPU-Anforderung von ISE 3.4 berücksichtigt.

ErgebnisBeide Knoten laufen auf 3.4. Die Erweiterung ist so geplant, dass VM-Größe und CPU-Architektur zu den Anforderungen von ISE 3.4 passen, bevor der Kunde Ressourcen bereitstellt.

VorgehenDer komplette Lebenszyklus in einem Durchgang: Azure-VM neu ausgerollt, Zertifikate mit den von ISE geforderten EKU-Eigenschaften erstellt, Beitritt zu zwei AD-Domänen, Smart Licensing erneuert, die Monitoring-Rolle (MnT) getauscht und zum Schluss die Gesundheit des gesamten Deployments geprüft.

ErgebnisDas Deployment läuft wieder mit zwei Knoten. Ablauf und Zertifikatsanforderungen sind für den Kunden dokumentiert.

VorgehenUmstellung der Gastzustimmung von Central Web Authentication in ISE auf Local WebAuth am Catalyst 9800. Die bisherige ISE-Konfiguration für Gäste blieb als Rollback-Pfad erhalten, das RADIUS-Accounting lief vorerst weiter. Umgeschaltet wurde erst nach erfolgreichem Funktionstest.

ErgebnisDas Gast-WLAN läuft mit lokaler Zustimmung am Controller, ohne Abhängigkeit vom ISE-Gastportal und mit einem Rückweg, falls sich das Verhalten im Betrieb anders zeigt als im Test.

VorgehenIm Kundenworkshop wurden die Anforderungen an LAN- und WLAN-Zugänge aufgenommen. Anschließend Neuaufbau der ISE-Umgebung mit 802.1X, Zertifikatsauthentisierung und MAB. Nach der Inbetriebnahme folgten Eingrenzung von Authentisierungsproblemen, Versionsupdates und Troubleshooting an Cisco-ASA- und Fortinet-Firewalls in derselben Umgebung.

ErgebnisDie Anmeldung am Netz läuft über ISE mit 802.1X, Zertifikaten und MAB. Der Kunde bekam die im Workshop vereinbarten Zugangsverfahren und danach einen Ansprechpartner für Störungen und Updates.

VorgehenGesamtprojektleitung mit Koordination von Bestandsanalyse und fachlicher Planung. Aus der vorhandenen Netzstruktur wurden ein Segmentierungskonzept und Empfehlungen für das Firewall-Regelwerk abgeleitet. Die Analyse der aktuellen Umgebung war dabei der erste Schritt, nicht das fertige Zielbild.

ErgebnisEine abgestimmte fachliche Grundlage für die Umsetzung der Segmentierung: welche Bereiche getrennt werden und welche Verbindungen erlaubt bleiben.

VorgehenAnalyse der Bestandsumgebung, Planung des Wechsels und Beratung vor Ort. Auf XGS4300 entstanden ein Active/Standby-Cluster, neue RED-Anbindungen zu den anderen Standorten, SSL-VPN, IPsec und IPS. Die Webserver-Konfiguration wurde in den Wechsel einbezogen und die Umstellung im Wartungsfenster durchgeführt.

ErgebnisDie Firewall-Umgebung läuft als Active/Standby-Cluster auf XGS4300. Fernzugänge, RED-Standortanbindungen, IPS und Webserver-Konfiguration wurden im Wartungsfenster übernommen.

VorgehenPlanung und Installation der XGS2100-Umgebung, Übernahme der bestehenden Konfiguration von der SG-Plattform und Einrichtung des Active/Standby-Clusters. Die beiden Standorte wurden über Sophos SD-WAN verbunden; Backup und Wiederherstellung, Firmware-Arbeiten und eine Visio-Zeichnung der Topologie gehörten dazu.

ErgebnisActive/Standby-Cluster und SD-WAN-Verbindung sind in Betrieb. Übernommene Konfiguration, Backup und Wiederherstellung sowie die Topologie-Dokumentation machen den Aufbau für den Betrieb nachvollziehbar.

VorgehenSophos-XGS-Cluster im Active/Standby-Betrieb, die Cisco FPR1120 als Gateway und die Cisco-Switches konfiguriert. Zum Sicherheitsumfang gehörten SSL-VPN, IPsec mit Zertifikaten, IPS und das Firewall-Regelwerk; beim Neuaufbau kamen Analyse der Bestandsumgebung, Verkabelung mit Storage und Servern und ein Funktionstest dazu.

ErgebnisCluster, Gateway und Switching laufen wie vom Kunden gewünscht. VPN, IPS und Regeln sind dokumentiert, und der Kunde hat für Updates und Störungen einen Ansprechpartner, der beide Herstellerwelten kennt.

VorgehenAufbau und Konfiguration von Cisco-Switches, Routern, Wireless-LAN-Controllern, Access Points und Firewalls. Dazu die neue WLAN-Umgebung, Updates und Upgrades, Störungsbearbeitung und die Arbeit mit Cisco DNA Center.

ErgebnisDie Netzwerkkomponenten sind aufgebaut und konfiguriert, die neue WLAN-Umgebung ist eingerichtet. Updates, Upgrades und Fehleranalyse liefen anschließend aus derselben Hand weiter.

VorgehenIncidents, Problems und Changes inklusive Netzwerk-Rufbereitschaft. Für diesen und weitere Kunden aus Gesundheitswesen, Energie, Industrie und Service-Provider-Umfeld: Layer-2- und Layer-3-Infrastruktur mit VLANs, STP, EtherChannel und HSRP; dynamisches Routing mit OSPF, EIGRP und BGP; IPsec-VPNs zwischen Niederlassungen und Rechenzentrum; Firewalls von Cisco, Sophos, Check Point und OPNsense; Zugriffskontrollen mit ACLs und AAA über TACACS+ und RADIUS. Mehrere Niederlassungs- und Campus-Netze wurden in dieser Zeit neu gestaltet.

ErgebnisDer Kunde hatte eine feste technische Verantwortung für sein Netz, auch außerhalb der Geschäftszeiten.

VorgehenKonfiguration der FortiGate und Anbindung an FortiManager. In einer anderen Umgebung kamen Fortinet Endpoint Protection und das zugehörige Patch-Management dazu.

ErgebnisEine Firewall mit zentraler Verwaltung über FortiManager.

VorgehenNeuinstallation, Migration und Troubleshooting in mehreren Kundenumgebungen. Umfang und Zeiträume der einzelnen Einsätze nennen wir im Gespräch.

ErgebnisPraxis mit Palo Alto Networks über Installation, Migration und Fehleranalyse hinweg.

VorgehenAdministration der Firewalls, Bearbeitung technischer Störungen und Konfiguration von OSPF für das Routing zwischen den Standorten.

ErgebnisAdministrierte Firewalls und OSPF-Routing zwischen den Standorten aus einer Hand.

VorgehenMitarbeit an der technischen Migration und Konfiguration der MDS-9000-Switches, verwaltet über Cisco DCNM.

ErgebnisMitarbeit an der Ablösung durch Cisco MDS 9000, inklusive Konfiguration der neuen Switches.

VorgehenKonfiguration der Switches, Bearbeitung von Netzwerkproblemen und Einrichtung des WLANs.

ErgebnisSwitching und WLAN lagen bei einem Ansprechpartner.