Verbessere Challenge-Angaben, TLS-Fixes und Windows-Tauglichkeit

Fachliche Fixes: - Easy-RSA: explizites --subject-alt-name (SAN) ergaenzt, sonst scheitert curl trotz CA-Import - HSTS: max-age auf 3600 reduziert, includeSubDomains erklaert, Warnung zur host-weiten Browser-Falle + Reset-Weg - Challenge 9: Backup-/Restore-Schritte fuer nginx.conf - Compose-Portwechsel: redeploy statt proxy-reload klargestellt - log_format-Platzierung (http-Block) dokumentiert - add_header-Vererbungsfalle erklaert (Ch. 4 + Abgrenzung Ch. 8) Angabe-Struktur (alle 13 Challenges): - Einheitliches Schema: Ausgangszustand, Schritte (Muss), Zielzustand/Akzeptanz, erwartete Done-Check-Ausgaben - Arbeitsweise global geklaert (additiv, Ausnahme Ch. 9, Reset) Robustheit/Kosmetik: - Load-Balancing: eindeutiger INSTANCE-Marker statt fragilem grep - Challenge-3-Titel auf "Alias-Route" korrigiert - HTTPS_PORT in .env.example parametrisiert - Umlaut-Konsistenz (ASCII) Windows-Tauglichkeit: - Klargestellt: Test-Kommandos laufen in WSL bash, nicht PowerShell (curl-Alias-Falle), Stack-Steuerung per Wrapper oder WSL - Wireshark: empfohlener Capture-Weg in WSL (tshark), npcap-Hinweis - CA-Import: Linux-Trust-Store (WSL) vs Windows-Browser (certutil) Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-05-31 22:08:41 +02:00
parent 1739810044
commit 79a13f0919
12 changed files with 294 additions and 96 deletions
@@ -176,6 +176,12 @@
        </div>
      </section>

+      <section class="panel">
+        <h2>Wo laufen die Kommandos? (Windows)</h2>
+        <p>Stack steuern geht aus PowerShell (<code>scripts/workshop.ps1</code>) <b>oder</b> WSL. Aber <b>alle</b> Test-Kommandos (<code>curl</code>, <code>openssl</code>, <code>grep</code>, <code>for</code>-Schleifen, <code>./scripts/compose.sh</code>) laufen im <b>WSL-Terminal (bash)</b>.</p>
+        <p><span class="kw">Warnung:</span> In PowerShell ist <code>curl</code> ein Alias fuer <code>Invoke-WebRequest</code> und versteht <code>-I</code>/<code>-k</code>/<code>--cacert</code> nicht. Immer im WSL-Terminal testen.</p>
+      </section>
+
      <section class="panel">
        <h2>Abgabe-Format</h2>
        <ul>
@@ -196,8 +202,9 @@
            <li>Welche <code>location</code> matched <code>/service/a</code>?</li>
            <li>Welcher <code>upstream</code> wird verwendet?</li>
          </ul>
-          <pre><code>curl http://localhost:8080/service/a
-curl http://localhost:8080/service/b</code></pre>
+          <p><span class="kw">Zielzustand:</span> Du kannst Location &rarr; Upstream &rarr; Backend benennen und begruenden, warum A und B unterschiedlich antworten.</p>
+          <pre><code>curl http://localhost:8080/service/a   # -&gt; "Target A"
+curl http://localhost:8080/service/b   # -&gt; "Target B"</code></pre>
        </details>

        <details id="challenge-2-backend-c">
@@ -205,16 +212,18 @@ curl http://localhost:8080/service/b</code></pre>
          <p><span class="kw">Muss:</span> Compose-Service + Upstream + Route <code>/service/c</code>.</p>
          <p><span class="kw">Zusatz:</span> <code>backends/c/index.html</code> ist vorhanden und darf angepasst werden.</p>
          <p><span class="kw">Warum wichtig:</span> Neue Services kommen laufend dazu; Erweiterungen ohne Seiteneffekte sind Praxisalltag.</p>
-          <pre><code>curl http://localhost:8080/service/c
-curl http://localhost:8080/service/a
-curl http://localhost:8080/service/b</code></pre>
+          <p><span class="kw">Zielzustand:</span> <code>/service/c</code> liefert Backend C; A und B laufen unveraendert weiter.</p>
+          <pre><code>curl http://localhost:8080/service/c   # -&gt; "Reverse Proxy Target C"
+curl http://localhost:8080/service/a   # -&gt; weiterhin "Target A"
+curl http://localhost:8080/service/b   # -&gt; weiterhin "Target B"</code></pre>
        </details>

        <details>
          <summary><span class="badge easy">Easy</span> 3) Eigene Route /demo/a</summary>
          <p><span class="kw">Muss:</span> Alias-Route bauen, die auf Backend A fuehrt.</p>
          <p><span class="kw">Warum wichtig:</span> Der Proxy entkoppelt externe Pfade von internen Backend-Implementierungen.</p>
-          <pre><code>curl http://localhost:8080/demo/a</code></pre>
+          <p><span class="kw">Zielzustand:</span> <code>/demo/a</code> liefert dieselbe Antwort wie <code>/service/a</code>.</p>
+          <pre><code>curl http://localhost:8080/demo/a   # -&gt; "Target A"</code></pre>
        </details>
      </section>

@@ -226,7 +235,9 @@ curl http://localhost:8080/service/b</code></pre>
          <p>Setze mindestens <code>nosniff</code>, <code>DENY</code>, <code>strict-origin-when-cross-origin</code>, <code>Permissions-Policy</code>, <code>COOP</code>, <code>CORP</code>.</p>
          <p><span class="kw">Optional:</span> CSP fuer statische Seiten.</p>
          <p><span class="kw">Warum wichtig:</span> Diese Header reduzieren konkrete Browser-Angriffsvektoren und gehoeren zur Security-Baseline.</p>
-          <pre><code>curl -I http://localhost:8080/</code></pre>
+          <p><span class="kw">Fallstrick:</span> Header im <code>server {}</code>-Block setzen. Sobald in einem <code>location {}</code> ein <code>add_header</code> steht, verwirft Nginx dort <b>alle</b> Server-Header &rarr; dann erneut setzen.</p>
+          <p><span class="kw">Zielzustand:</span> <code>curl -I /</code> zeigt alle geforderten Security-Header.</p>
+          <pre><code>curl -I http://localhost:8080/   # -&gt; nosniff, DENY, Referrer-Policy, Permissions-Policy, COOP, CORP</code></pre>
        </details>

        <details>
@@ -234,25 +245,29 @@ curl http://localhost:8080/service/b</code></pre>
          <p><span class="kw">Muss:</span> <code>/internal/status</code> nur fuer <code>127.0.0.1</code>.</p>
          <p><span class="kw">Wichtig:</span> Host-Request zeigt typischerweise 403 (Docker-Netzwerk).</p>
          <p><span class="kw">Warum wichtig:</span> Nicht jeder Endpoint darf oeffentlich erreichbar sein; Netzsegmentierung beginnt oft am Proxy.</p>
-          <pre><code>curl -i http://localhost:8080/internal/status
-./scripts/compose.sh exec -T reverse-proxy sh -lc "wget -qO- http://127.0.0.1/internal/status"</code></pre>
+          <p><span class="kw">Zielzustand:</span> Host &rarr; 403; container-intern (127.0.0.1) &rarr; Antwort.</p>
+          <pre><code>curl -i http://localhost:8080/internal/status   # -&gt; 403 (vom Host)
+./scripts/compose.sh exec -T reverse-proxy sh -lc "wget -qO- http://127.0.0.1/internal/status"   # -&gt; "internal ok"</code></pre>
        </details>

        <details>
          <summary><span class="badge medium">Medium</span> 6) Logging verbessern</summary>
          <p>Eigenes <code>log_format</code> mit Upstream-Infos einbauen.</p>
+          <p><span class="kw">Hinweis:</span> <code>log_format</code> gehoert in den <code>http {}</code>-Block, sonst startet Nginx nicht.</p>
          <p><span class="kw">Warum wichtig:</span> Ohne brauchbare Logs dauert Fehleranalyse deutlich laenger und Incident-Response wird unzuverlaessig.</p>
+          <p><span class="kw">Zielzustand:</span> Log-Zeile im neuen Format mit Upstream-Infos (<code>upstream=...</code>, <code>urt=...</code>).</p>
          <pre><code>curl http://localhost:8080/service/a
-./scripts/compose.sh logs reverse-proxy</code></pre>
+./scripts/compose.sh logs reverse-proxy   # -&gt; neue Zeile mit upstream=... urt=...</code></pre>
        </details>

        <details>
          <summary><span class="badge medium">Medium</span> 7) Load Balancing</summary>
          <p>Zweite Instanz von Backend A (<code>backend-a2</code>) einbauen und Round-Robin zeigen.</p>
          <p><span class="kw">Warum wichtig:</span> Lastverteilung ist Kernnutzen eines Reverse Proxys fuer Skalierung und Verfuegbarkeit.</p>
+          <p><span class="kw">Zielzustand:</span> Ueber mehrere Requests antworten <b>beide</b> Instanzen (Mischung aus A und A2).</p>
          <pre><code>for i in $(seq 1 8); do
-  curl -s http://localhost:8080/service/a | grep -o "Target A2\|Target A"
-done</code></pre>
+  curl -s http://localhost:8080/service/a | grep -o "INSTANCE=[A-Za-z0-9]*"
+done   # -&gt; Mischung aus "INSTANCE=A" und "INSTANCE=A2"</code></pre>
        </details>

        <details>
@@ -260,16 +275,19 @@ done</code></pre>
          <p>Mindestens einen Backend-Response-Header per <code>proxy_hide_header</code> ausblenden.</p>
          <p><span class="kw">Abgrenzung zu #4:</span> #4 setzt Schutz-Header, #8 entfernt unnoetige Header aus Upstream-Responses.</p>
          <p><span class="kw">Warum wichtig:</span> Weniger preisgegebene Metadaten erschweren Fingerprinting und zielgerichtete Angriffe.</p>
-          <pre><code>curl -I http://localhost:8080/service/a</code></pre>
+          <p><span class="kw">Zielzustand:</span> Der ausgeblendete Header (z. B. <code>ETag</code>) fehlt jetzt in der Antwort.</p>
+          <pre><code>curl -I http://localhost:8080/service/a   # -&gt; ETag/Last-Modified nicht mehr vorhanden</code></pre>
        </details>

        <details>
          <summary><span class="badge medium">Medium</span> 9) Debugging Challenge</summary>
          <p>Mit <code>proxy/nginx.broken.conf</code> arbeiten, Fehler finden und reparieren.</p>
+          <p><span class="kw">Zuerst sichern:</span> diese Challenge ueberschreibt deine <code>nginx.conf</code> &rarr; vorher <code>cp proxy/nginx.conf proxy/nginx.conf.bak</code>, am Ende zurueckkopieren.</p>
          <p><span class="kw">Warum wichtig:</span> In der Praxis geht es oft um Diagnose unter Zeitdruck, nicht nur um Greenfield-Konfiguration.</p>
          <p><span class="kw">Typische Fehler in der kaputten Datei:</span> Upstream-Name-Mismatch, falscher Port, fehlender Trailing Slash in <code>proxy_pass</code>.</p>
-          <pre><code>curl http://localhost:8080/service/a
-curl http://localhost:8080/service/b
+          <p><span class="kw">Zielzustand:</span> Nach den Fixes liefern A und B wieder ihre Backends; Nginx startet fehlerfrei.</p>
+          <pre><code>curl http://localhost:8080/service/a   # -&gt; "Target A"
+curl http://localhost:8080/service/b   # -&gt; "Target B"
 ./scripts/compose.sh logs reverse-proxy</code></pre>
        </details>
      </section>
@@ -280,22 +298,27 @@ curl http://localhost:8080/service/b
        <details>
          <summary><span class="badge hard">Hard</span> 10) HTTPS von 0 (Easy-RSA)</summary>
          <p>Zertifikat fuer <code>localhost</code>, Port <code>8443:443</code>, Root-CA importiert.</p>
+          <p><span class="kw">Wichtig:</span> Der neue Port ist eine Compose-Aenderung &rarr; mit <code>make redeploy</code> deployen, nicht nur <code>make proxy-reload</code>.</p>
          <p><span class="kw">Warum wichtig:</span> TLS-Grundaufbau ist Voraussetzung fuer vertrauliche und manipulationssichere Kommunikation.</p>
-          <pre><code>curl https://localhost:8443/service/a</code></pre>
+          <p><span class="kw">Zielzustand:</span> Aufruf liefert Backend A <b>ohne</b> <code>-k</code> (kein SAN-/Zertifikatsfehler). Zertifikat mit SAN signieren!</p>
+          <pre><code>curl https://localhost:8443/service/a   # -&gt; Backend A, KEIN "SSL certificate problem"</code></pre>
        </details>

        <details>
          <summary><span class="badge hard">Hard</span> 11) HTTP -&gt; HTTPS Redirect</summary>
          <p><span class="kw">Voraussetzung:</span> Challenge 10 abgeschlossen. Bestehende Config weiterverwenden.</p>
          <p><span class="kw">Warum wichtig:</span> Redirect verhindert unabsichtliche Klartext-Nutzung und erzwingt den sicheren Transport.</p>
-          <pre><code>curl -I http://localhost:8080/service/a</code></pre>
+          <p><span class="kw">Zielzustand:</span> HTTP auf <code>8080</code> antwortet mit <code>301</code> und <code>Location: https://localhost:8443/...</code>.</p>
+          <pre><code>curl -I http://localhost:8080/service/a   # -&gt; 301, Location: https://localhost:8443/service/a</code></pre>
        </details>

        <details>
          <summary><span class="badge hard">Hard</span> 12) TLS Haertung + Chain + HSTS</summary>
          <p><span class="kw">Voraussetzung:</span> Challenge 10 und 11 abgeschlossen. Gleiche Config weiter erweitern.</p>
          <p><span class="kw">Warum wichtig:</span> Erst Haertung + HSTS reduzieren Downgrade-Risiken und sorgen fuer dauerhaft sichere Clients.</p>
-          <pre><code>curl -I https://localhost:8443/service/a
+          <p><span class="kw">Warnung (HSTS-Falle):</span> Der Browser merkt sich HSTS host-weit fuer <code>localhost</code> (nicht pro Port). Nach <code>https://localhost:8443</code> wird auch <code>http://localhost:8080</code> auf https erzwungen. Zum Testen <code>curl</code> nutzen; Browser-HSTS ggf. unter <code>chrome://net-internals/#hsts</code> fuer <code>localhost</code> loeschen. <code>max-age</code> ist im Lab bewusst kurz (1h).</p>
+          <p><span class="kw">Zielzustand:</span> <code>curl -I</code> zeigt <code>Strict-Transport-Security</code>; <code>s_client</code> verhandelt TLSv1.2/1.3 mit <code>Verify return code: 0 (ok)</code>.</p>
+          <pre><code>curl -I https://localhost:8443/service/a   # -&gt; enthaelt Strict-Transport-Security
 openssl s_client -connect localhost:8443 -servername localhost</code></pre>
        </details>
      </section>
@@ -313,6 +336,7 @@ openssl s_client -connect localhost:8443 -servername localhost</code></pre>
            <li>3-5 Bulletpoints: was ist sichtbar, was ist geschuetzt?</li>
          </ol>
          <p><span class="kw">Optional:</span> TLS Decrypt mit <code>SSLKEYLOGFILE</code>.</p>
+          <p><span class="kw">Zielzustand:</span> HTTP-Mitschnitt zeigt Pfad/Header im Klartext; HTTPS zeigt nur den Handshake, Nutzdaten ohne Key nicht lesbar.</p>
          <p><span class="kw">Abgabe:</span> mind. 3 Screenshots + technische Interpretation.</p>
        </details>
      </section>
@@ -173,7 +173,7 @@ cd certs/easyrsa
 ./easyrsa init-pki
 ./easyrsa build-ca nopass
 ./easyrsa gen-req localhost nopass
-./easyrsa sign-req server localhost</code></pre>
+./easyrsa --subject-alt-name="DNS:localhost,IP:127.0.0.1" sign-req server localhost</code></pre>
            <p>Nur Runtime-Certs mounten (z. B. <code>certs/live</code>), nicht die komplette PKI.</p>
          </article>
          <article class="card">
@@ -104,7 +104,7 @@
      <section class="panel">
        <h1>HTL Reverse Proxy & TLS Lab</h1>
        <p>
-          Basis läuft mit HTTP. Ziel im Workshop: Reverse Proxy verstehen und HTTPS/TLS manuell
+          Basis laeuft mit HTTP. Ziel im Workshop: Reverse Proxy verstehen und HTTPS/TLS manuell
          aufbauen.
        </p>
        <div class="top-links">
@@ -125,6 +125,10 @@
          <li><code>curl http://localhost:8080/service/b</code></li>
          <li><code>./scripts/compose.sh ps</code></li>
        </ul>
+        <p>
+          <b>Windows:</b> Diese Kommandos im <b>WSL-Terminal (bash)</b> ausfuehren, nicht in PowerShell
+          (dort ist <code>curl</code> ein Alias fuer <code>Invoke-WebRequest</code>).
+        </p>
      </section>

      <section class="panel">
@@ -215,7 +215,7 @@ location /service/c {
        </details>

        <details>
-          <summary><span class="badge easy">Easy</span> 3) Rewrite Route</summary>
+          <summary><span class="badge easy">Easy</span> 3) Alias-Route /demo/a</summary>
          <p><span class="kw">Dateien:</span> <code>proxy/nginx.conf</code></p>
          <p><span class="kw">Commands noetig:</span> ja</p>
          <pre><code>location = /demo/a {
@@ -238,6 +238,7 @@ add_header Referrer-Policy "strict-origin-when-cross-origin" always;
 add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
 add_header Cross-Origin-Opener-Policy "same-origin" always;
 add_header Cross-Origin-Resource-Policy "same-origin" always;</code></pre>
+          <p><span class="kw">Platzierung:</span> in den <code>server {}</code>-Block, damit alle Locations sie erben. Sobald eine Location ein eigenes <code>add_header</code> hat, verwirft Nginx dort die Server-Header und sie muessen wiederholt werden.</p>
          <p><span class="kw">Optional CSP (statisch, inline styles erlaubt):</span></p>
          <pre><code>add_header Content-Security-Policy "default-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; object-src 'none'; base-uri 'none'; frame-ancestors 'none'" always;</code></pre>
          <p><span class="kw">Check:</span> <code>curl -I http://localhost:8080/</code></p>
@@ -262,6 +263,7 @@ add_header Cross-Origin-Resource-Policy "same-origin" always;</code></pre>
          <summary><span class="badge medium">Medium</span> 6) Logging verbessern</summary>
          <p><span class="kw">Dateien:</span> <code>proxy/nginx.conf</code></p>
          <p><span class="kw">Commands noetig:</span> ja</p>
+          <p><span class="kw">Platzierung:</span> <code>log_format</code> muss in den <code>http {}</code>-Block (sonst startet Nginx nicht). <code>access_log</code> darf in <code>http</code>, <code>server</code> oder <code>location</code>.</p>
          <pre><code>log_format workshop '$remote_addr - $request '
                   'status=$status upstream=$upstream_addr '
                   'rt=$request_time urt=$upstream_response_time';
@@ -289,8 +291,9 @@ access_log /var/log/nginx/access.log workshop;</code></pre>
 }</code></pre>
          <p><span class="kw">Check:</span></p>
          <pre><code>for i in $(seq 1 8); do
-  curl -s http://localhost:8080/service/a | grep -o "Target A2\|Target A"
+  curl -s http://localhost:8080/service/a | grep -o "INSTANCE=[A-Za-z0-9]*"
 done</code></pre>
+          <p><span class="kw">Marker:</span> Backend A/A2 enthalten unsichtbar <code>&lt;!-- INSTANCE=A --&gt;</code> bzw. <code>INSTANCE=A2</code>. <code>[A-Za-z0-9]*</code> matched das ganze Token (kein Prefix-Problem A vs. A2).</p>
        </details>

        <details>
@@ -298,6 +301,7 @@ done</code></pre>
          <p><span class="kw">Dateien:</span> <code>proxy/nginx.conf</code></p>
          <p><span class="kw">Commands noetig:</span> ja</p>
          <p><span class="kw">Abgrenzung zu #4:</span> #4 fuegt Schutz-Header hinzu, #8 entfernt unnoetige Upstream-Metadaten.</p>
+          <p><span class="kw">Gut zu wissen:</span> <code>proxy_hide_header</code> ist kein <code>add_header</code> &rarr; es loest die Vererbungsfalle aus #4 nicht aus. Die Server-Header bleiben in dieser Location erhalten.</p>
          <pre><code>location /service/a {
  proxy_pass http://backend_a/;
  proxy_hide_header ETag;
@@ -310,10 +314,14 @@ done</code></pre>
          <summary><span class="badge medium">Medium</span> 9) Debugging Challenge</summary>
          <p><span class="kw">Dateien:</span> <code>proxy/nginx.broken.conf</code>, <code>proxy/nginx.conf</code></p>
          <p><span class="kw">Commands noetig:</span> ja</p>
-          <p><span class="kw">Ablauf:</span> Kopiere testweise <code>proxy/nginx.broken.conf</code> auf <code>proxy/nginx.conf</code>, behebe die Fehler und stelle danach die funktionierende Konfiguration wieder her.</p>
-          <pre><code>cp proxy/nginx.broken.conf proxy/nginx.conf
+          <p><span class="kw">Ablauf:</span> Zuerst die eigene Config sichern (diese Challenge ueberschreibt sie!), dann die kaputte aktivieren, Fehler beheben und am Ende die eigene Config wiederherstellen.</p>
+          <pre><code>cp proxy/nginx.conf proxy/nginx.conf.bak      # 1. eigene Config sichern
+cp proxy/nginx.broken.conf proxy/nginx.conf   # 2. kaputte aktivieren
 make proxy-reload
-./scripts/compose.sh logs reverse-proxy</code></pre>
+./scripts/compose.sh logs reverse-proxy        # 3. Fehler finden + fixen</code></pre>
+          <p><span class="kw">Am Ende eigene Config zurueck:</span></p>
+          <pre><code>cp proxy/nginx.conf.bak proxy/nginx.conf
+make proxy-reload</code></pre>
          <p><span class="kw">Konkrete Fehler und Fixes:</span></p>
          <ol>
            <li><span class="kw">Upstream-Mismatch:</span> <code>backend_a_typo</code> ist definiert, aber <code>backend_a</code> wird referenziert -> Namen angleichen.</li>
@@ -340,15 +348,16 @@ cd certs/easyrsa
 ./easyrsa init-pki
 ./easyrsa build-ca nopass
 ./easyrsa gen-req localhost nopass
-./easyrsa sign-req server localhost</code></pre>
+./easyrsa --subject-alt-name="DNS:localhost,IP:127.0.0.1" sign-req server localhost</code></pre>
          <p><span class="kw">Compose:</span></p>
          <pre><code>reverse-proxy:
  ports:
-    - "8080:80"
-    - "8443:443"
+    - "${HTTP_PORT:-8080}:80"
+    - "${HTTPS_PORT:-8443}:443"
  volumes:
    - ./certs/live:/etc/nginx/certs:ro,z</code></pre>
          <p><span class="kw">Wichtig:</span> Nicht die komplette PKI in den Container mounten. Nur Runtime-Zertifikat + Key bereitstellen.</p>
+          <p><span class="kw">Deploy:</span> Port- und Volume-Aenderungen sind Compose-Aenderungen &rarr; <code>make redeploy</code> (nicht <code>make proxy-reload</code>), sonst greift der neue Port nicht.</p>
          <p><span class="kw">Nginx TLS-Pfade:</span> <code>ssl_certificate /etc/nginx/certs/localhost.crt;</code> und <code>ssl_certificate_key /etc/nginx/certs/localhost.key;</code></p>
          <p><span class="kw">Check:</span> <code>curl https://localhost:8443/service/a</code> (ohne <code>-k</code> nach CA-Import)</p>
        </details>
@@ -381,7 +390,7 @@ cd certs/easyrsa
          <p><span class="kw">Commands noetig:</span> ja</p>
          <pre><code>ssl_protocols TLSv1.2 TLSv1.3;
 ssl_prefer_server_ciphers on;
-add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;</code></pre>
+add_header Strict-Transport-Security "max-age=3600; includeSubDomains" always;</code></pre>
          <p><span class="kw">Check:</span></p>
          <pre><code>curl -I https://localhost:8443/service/a
 openssl s_client -connect localhost:8443 -servername localhost</code></pre>