Netzwerk & VPN

Netzwerk & VPN– Sicherer Zugriff, überall

Ihre Mitarbeitenden greifen sicher auf interne Dienste zu, im Büro wie im Home-Office. Ein Reverse Proxy nimmt alle Anfragen entgegen und verschlüsselt sie. Ein Mesh-VPN verbindet die Geräte direkt miteinander. Ein DNS-Filter blockt schädliche Adressen.

Demo anfragen

Auf einen Blick

Reverse Proxy als zentraler Eingang
Zertifikate, die sich selbst erneuern
Mesh-VPN unter eigener Regie
DNS-Filter
Dienste sprechen nur verschlüsselt (mTLS)
Zero-Trust-Zugriff

Funktionen im Überblick

Vom sicheren Eingang bis zum Mesh-VPN: Alle Teile passen zusammen. Sie machen die Plattform sicher und lassen sie wachsen.

Reverse Proxy

Der Proxy ist der Eingang zu allen Diensten. Neue Dienste in Containern oder auf Kubernetes erkennt er von selbst.

Automatische Zertifikate

Sie müssen sich nicht um Zertifikate kümmern. Sie kommen kostenlos von einer öffentlichen Stelle und werden von selbst erneuert. Auch Wildcard-Zertifikate für alle Subdomains sind möglich.

Mesh-VPN

Das VPN nutzt ein modernes, schnelles Protokoll mit aktueller Verschlüsselung. Es ist fest in Linux eingebaut und kostet kaum Leistung.

Steuerung des VPN

Ein Server verteilt die Schlüssel und regelt, welche Geräte ins VPN dürfen. Er läuft auf Ihren Servern, ist Open Source und passt zu gängigen VPN-Apps.

DNS-Filter

Der Filter prüft jede Anfrage nach einer Adresse. Er blockt Werbung, Tracking, Schadsoftware und Inhalte, die Sie nicht wollen. Das gilt für das ganze Netz.

mTLS zwischen Diensten

Auch die Dienste untereinander sprechen nur verschlüsselt (gegenseitiges TLS). Das erledigt ein Service Mesh im Hintergrund. So ist Zero Trust der Normalfall.

Technologie & Integration

Proxy, VPN und DNS-Filter greifen ineinander. Der Proxy leitet den Webverkehr, das VPN verschlüsselt die Verbindungen zwischen Standorten. Der DNS-Filter blockt schädliche Ziele. Das klappt in einer kleinen Installation mit Containern und auf Kubernetes.

• Reverse Proxy für Container und Kubernetes
• Server für das VPN, passt zu gängigen VPN-Apps
• VPN direkt im Kern von Linux
• DNS-Filter für das ganze Netz
• Kostenlose öffentliche Zertifikate
• Zertifikate auch auf Kubernetes von selbst

Technische Grundlage

SecTepe.Comm nutzt bewährte Open-Source-Bausteine. Traefik v3 ist der Reverse Proxy, Zertifikate kommen von Let's Encrypt (auf Kubernetes über cert-manager). Das VPN nutzt Headscale mit WireGuard und dem Tailscale-Client. Keycloak übernimmt die Anmeldung, Linkerd das mTLS. AdGuard Home filtert DNS, auf Kubernetes leitet CoreDNS dorthin weiter. Es nutzt Listen wie URLhaus, Phishing Army, HageZi und OISD. Sein Protokoll kann an Wazuh gehen.

Ihre Vorteile

Zertifikate, die Sie nie mehr von Hand erneuern
Sichere Verbindungen zwischen Standorten
Zero-Trust-Zugriff für Home-Office & Mobile
Ein Filter für alle gegen Phishing, Werbung & Tracking
Passt zu gängigen VPN-Apps, ohne Bindung an eine Cloud
Keine Abhängigkeit von öffentlichen VPN-Diensten

So funktioniert die Netzwerkschicht im Alltag

Drei Open-Source-Teile bilden die Netzwerkschicht. Der Reverse Proxy nimmt den gesamten eingehenden Webverkehr an und entschlüsselt ihn. Ein Steuerserver betreibt das VPN, in dem sich Geräte direkt miteinander verbinden (Mesh-VPN). Der DNS-Filter beantwortet Adressanfragen und blockiert bekannte schädliche Domains.

So fließt der Verkehr

Der Proxy akzeptiert nur moderne Verschlüsselung (TLS 1.2 und neuer).
In einer einfachen Container-Umgebung holt der Proxy Zertifikate selbst ab. Auf Kubernetes übernimmt das ein Zertifikatsmanager.
Am Eingang gelten Obergrenzen für Anfragen. Anmeldeseiten haben eine strengere Grenze. Das bremst Angriffe, die gestohlene Passwörter massenhaft durchprobieren.
Auf Kubernetes verschlüsselt ein Service Mesh den Verkehr zwischen den SecTepe-Diensten (gegenseitiges TLS). Die Anwendungen brauchen dafür keine Änderung.

Ins VPN kommen

Ihre Mitarbeitenden öffnen das Anmeldeportal und melden sich mit ihrem Firmenkonto an (Single Sign-on). Sie erhalten einen kurzlebigen Zugangsschlüssel und eine Anleitung für ihr Gerät. Geräte treten mit einer gängigen Open-Source-VPN-App bei. Der Desktop-Client von SecTepe.Comm hat das VPN schon eingebaut. Dort ist keine Zusatz-App nötig.

Die Zugriffsregeln stehen in einer Richtliniendatei. Sie teilt den Admin-Zugriff in vier Stufen. Die Regeln legen fest, welche Stufe welche Server und Ports erreicht. Die Admin-Oberfläche des VPN verlangt Single Sign-on und einen Hardware-Passkey.

DNS-Filter

Der DNS-Filter beantwortet Anfragen von VPN-Geräten und Containern. Auf Kubernetes schickt jeder Dienst seine externen Anfragen ebenfalls an den Filter. Der Filter lädt öffentliche Sperrlisten, die die Security-Community pflegt. Eine gesperrte Domain bekommt keine brauchbare Antwort. So kommt keine Verbindung zustande. Erlaubte Anfragen gehen verschlüsselt hinaus (DNS over HTTPS). Das Anfrageprotokoll kann in das SIEM fließen, das zentrale Sicherheitsprotokoll.

Häufige Fragen

Melden sich unsere Geräte bei einer öffentlichen VPN-Cloud an? Nein. Sie nutzen eine gängige Open-Source-VPN-App, aber der Anmeldeserver gehört Ihnen. Er betreibt auch einen eigenen Relay-Server. Die öffentlichen Relays des App-Herstellers stehen ab Werk noch als Rückfall in der Liste.

Wird der alte VPN-Aufbau noch genutzt? Nein. Der frühere Aufbau ist abgekündigt und wird auf Kubernetes nicht ausgerollt. Das Mesh-VPN ist der einzige aktive Weg.

Lässt sich auch der Internetverkehr filtern? Ja. Nutzer können ihren gesamten Internetverkehr über einen filternden Ausgang leiten. Dieser Web-Proxy entschlüsselt HTTPS-Verkehr, und ein Scan-Gateway prüft die Inhalte. Sensible Bereiche wie Banken, Gesundheit und Behörden sind von dieser Prüfung ausgenommen.

Bereit für sicheres Netzwerk?

Wir planen Ihr Mesh-VPN und richten den Reverse Proxy sauber ein. Den DNS-Verkehr überwachen wir für Sie.

Demo anfragen Zurück zu SecTepe.Comm

So arbeiten wir mit Ihnen zusammen

Wir wollen lange mit Ihnen arbeiten, nicht nur einmal liefern. Unser Weg hat vier Schritte. So wissen Sie stets, was als Nächstes kommt, wer was macht und was am Ende steht.

1. Erstes Gespräch, kostenlos

Wir lernen Ihre Lage und Ihre Ziele kennen. In 30 bis 45 Minuten prüfen wir, ob wir zu Ihnen passen. Wir zeigen Wege auf und klären Ihre Fragen.

2. Bestandsaufnahme

Wir prüfen, wo Sie heute stehen: bei Technik, Abläufen und Vorgaben. Sie bekommen eine Liste mit Stärken und Lücken, nach Dringlichkeit sortiert. Darauf baut unser Angebot auf.

3. Umsetzung mit festem Kontakt

Eine erfahrene Leitung führt Sie durch das Projekt. Es gibt klare Ziele, einen offenen Plan für Zeit und Kosten und jede Woche einen Stand. Alle Ergebnisse sind dokumentiert und gehören Ihnen.

4. Betrieb und Prüfung

Nach dem Projekt bleiben wir an Ihrer Seite. Wir betreiben Systeme für Sie, prüfen sie in festen Abständen und behalten offene Punkte im Blick. Bei neuen Gefahren oder neuen Regeln melden wir uns von selbst.

Häufige Fragen

Diese Fragen hören wir oft im ersten Gespräch. Für alles andere schreiben Sie an hello@sectepe.de oder rufen Sie uns an.

Wie starten wir eine Zusammenarbeit mit SecTepe?: Jedes Projekt beginnt mit einem kostenlosen Gespräch. Danach bekommen Sie ein Angebot mit Aufwand, Zeitplan und Ergebnis. Auf Wunsch starten wir klein, mit einem Test. So lernen Sie uns kennen, bevor es richtig losgeht.
Für welche Firmen und Branchen arbeiten Sie?: Wir arbeiten für kleine und mittlere Firmen, für Teile großer Konzerne und für Betreiber kritischer Anlagen (KRITIS). Oft sind das Industrie, Handwerk, Gesundheit, Banken, Energie und Behörden. Der Kern ist der Mittelstand in Deutschland, Österreich und der Schweiz.
Arbeiten Sie vor Ort, remote oder hybrid?: Beides. Prüfungen, Beratung und die meisten Dienste laufen aus der Ferne, aus deutschen Rechenzentren. Für Workshops, Schulungen und Notfälle kommen wir vor allem in NRW, im Rheinland und im Ruhrgebiet zu Ihnen. Wenn nötig, fahren wir auch weiter.
Nach welchen Normen arbeiten Sie?: Wir arbeiten nach ISO 27001:2022, BSI IT-Grundschutz, TISAX, B3S KRITIS, NIS2 und DORA und nach den Regeln einzelner Branchen. Unsere Methoden stützen sich auf bekannte Rahmenwerke wie NIST CSF, MITRE ATT&CK, OWASP und OSSTMM. Wir wählen sie je nach Projekt.
Wie schützen Sie die Vertraulichkeit meiner Daten?: Durch Vertrag und durch Technik. Vor jedem Projekt unterschreiben beide Seiten eine Pflicht zur Geheimhaltung. Ihre Daten bleiben in deutschen Rechenzentren. Jeder Zugriff braucht eine Anmeldung mit zweitem Faktor und wird einzeln geprüft. Unser ganzes Team ist per Vertrag und nach DSGVO zum Schweigen verpflichtet.

Ein Gespräch vereinbaren