ko0ler/homelabGNS3-Heimlabor, das ein segmentiertes Netzwerk mit Cisco ASAv Firewall, L3-Core, DMZ und einer Active-Directory-Domäne dokumentiert, um Netzwerk-, Sysadmin- und Offensive-Security-Praktiken zu üben.
HomeLab ist ein GNS3-Lab, das auf einem einzigen Laptop (OMEN 16, i7-14650HX, 32 GB RAM, RTX 4060 8 GB) aufgebaut ist, um Netzwerkbetrieb, Systemadministration und offensive Sicherheit in einer Umgebung zu üben. Es modelliert einen Perimeter mit einer Firewall (Cisco ASAv), einer DMZ (Ubuntu Server), einem gerouteten Core (SW-L3 + zwei Access-Switches) und einer Active-Directory-Domäne kooler.local, die auf Windows Server 2025 läuft. Angreiferplattformen (Kali, Exegol) befinden sich im nicht vertrauenswürdigen Außensegment neben einem NAT-Gateway zum Internet. Die Anzahl der Assets, Host-Typen und konfigurierten Dienste basiert auf meinen Host-Spezifikationen, damit die gesamte Umgebung gleichzeitig laufen kann, ohne dass der PC zu sehr schwitzt, und damit die VMs über angemessene zugewiesene Ressourcen verfügen.
Hinweis: Dies ist ein Basis-Setup zum Einstieg, also passe es nach Bedarf an. Tools und Konzepte wie Server-Härtung, SIEM, EDR, C2-Server und LAN-Pivoting für weitere Tests müssen je nach Trainingsziel selbst implementiert und umgesetzt werden. Im Laufe der Zeit wird nur die globale Architektur aus Gründen der Benutzerfreundlichkeit dokumentiert und schließlich in CHANGELOG.md nachverfolgt. Da die Firewall zudem nicht tatsächlich lizenziert ist (Evaluierungsmodus), ist die involvierte Bandbreite gedrosselt, was die Netzwerkleistung stark beeinträchtigt (externe Quelle → DMZ, intern → Internet). Daher verwende ich vorübergehend einen zusätzlichen Netzwerkadapter auf den VMs (VMware NAT) für anspruchsvollen Netzwerkverkehr wie Systemupdates oder große Software-Downloads. Erstelle Snapshots von Komponenten, während du testest und Dinge kaputt machst. Viel Spaß und gutes Wachsen!
Kette: Kali/Exegol + NAT (Switch-X) → Router → ASAv Firewall (mit DMZ-Anbindung) → SW-L3 → L2-SW-1 / L2-SW-2 (VLANs).
| Segment | Subnetz | Hinweise |
|---|---|---|
| Außen / nicht vertrauenswürdig | 192.168.160.0/24 | Switch-X: Kali/Exegol, NAT-Cloud; Router unter .100 |
| Router ↔ FW außen | 10.10.3.0/29 | Router .1, ASA außen .2, DMZ NAT .3 |
| FW ↔ DMZ | 10.10.2.0/30 | ASA dmz .2, Ubuntu .1 |
| FW ↔ SW-L3 (innen) | 10.10.1.0/30 | ASA innen .2, SW-L3 .1 |
| VLAN 30 (VPCS) | 192.168.30.0/24 | PC-C, PC-D |
| VLAN 40 (Workstations) | 192.168.40.0/24 | hinter L2-SW-2 — Windows 10, PC-B |
| VLAN 50 (Server) | 192.168.50.0/24 | hinter L2-SW-1 — Windows Server 2025 (DC01), PC-A |
| VLAN 100 (Mngmt) | 192.168.100.0/24 | SVI auf SW-L3 vorhanden; getrunkt, noch nicht in ASA-Objektgruppe |
Die Trunk-Links SW-L3 ↔ L2-SW-1/L2-SW-2 führen die VLANs 30, 40, 50, 100 (native VLAN 999, dot1q).
| Gerät | Rolle | Plattform | Wichtige Schnittstellen |
|---|---|---|---|
| Router | Edge-Router, Gateway auf NAT-Seite | Cisco IOSv 15.9 | Gi0/0 10.10.3.1/29 (zur FW); Gi0/1 192.168.160.100/24 (zu Switch-X) |
| FW | Perimeter-Firewall, DMZ | Cisco ASAv 9.22(1)1 | outside 10.10.3.2/29; dmz 10.10.2.2/30; inside 10.10.1.2/30 |
| SW-L3 | Core-L3-Switch, Inter-VLAN-Routing | Cisco IOSv L2 15.2 | Gi0/0 10.10.1.1/30 (zur FW); Gi0/1-0/2 Trunks zu L2-SW-1/2; SVIs für VLAN 30/40/50/100; VTP-Servermodus |
| L2-SW-1 | Access-Switch | Cisco IOSv L2 15.2 | VLAN 50 Access-Ports (WinServer2025, PC-A); VTP-Clientmodus |
| L2-SW-2 | Access-Switch | Cisco IOSv L2 15.2 | VLAN 40 Access-Ports (Windows 10, PC-B); VLAN 30 (PC-D); VTP-Clientmodus |
ASAv ist unter Smart Licensing Using Policy lizenziert und läuft im Evaluierungsmodus mit Feature-Tier standard und lokal deklariertem Durchsatz-Level 1G (keine CSSM-Registrierung).
| Host / Ressourcen | OS / Build | Hostname | IP / VLAN | Dienste |
|---|---|---|---|---|
| Kali (1 CPU, 8 Kerne, 4/80GB) | Kali Linux 2026.2 (VMware amd64) | Kali | 192.168.160.130 (außerhalb des Segments) | Angreifer-Plattform |
| Ubuntu (1 CPU, 2 Kerne, 3/60GB) | Ubuntu Desktop 26.04 | ko0ler-VMware-Virtual-Platform | 10.10.2.1 (DMZ) | DVWA, bWAPP, httpbin, FTP, Samba, MySQL |
| WindowsServer 2025 (1 CPU, 4 Kerne, 4/60GB) | Windows Server 2025 | DC01 | 192.168.50.10 (VLAN 50) | ADCS, ADDS, DHCP, DNS, MSSQL — Domänencontroller für kooler.local |
| Windows 10 (1 CPU, 2 Kerne, 4/60GB) | Windows 10 | PC1 | DHCP (VLAN 40) | Domänenbeitritts-Workstation |
| PC-A | VPCS | — | VLAN 50 (.15) | — |
| PC-B | VPCS | — | VLAN 40 (.15) | — |
| PC-C | VPCS | — | VLAN 30 (.1) | — |
| PC-D | VPCS | — | VLAN 30 (.2) | — |
VPCS werden hauptsächlich für Konnektivitätstests verwendet.
Domänencontroller: DC01 (Windows Server 2025, 192.168.50.10), auf dem ADCS, ADDS, DHCP, DNS und MSSQL parallel laufen — ein bewusst überdimensionierter DC für Übungen zur Angriffsfläche (Offenlegung von Dienstkonten, Fehlkonfiguration von ADCS-Vorlagen, SQL auf einem DC usw.).
| Konto | Geltungsbereich | Hinweise |
|---|---|---|
| Administrator | Lokal (DC01) | Integrierter lokaler Administrator |
| Ko0ler | Domänenbenutzer | — |
| user1 | Domänenbenutzer | — |
Windows 10 (PC1) ist mit kooler.local verbunden; die lokale Anmeldung ko0ler existiert auf diesem Rechner ebenfalls, getrennt vom Domänenkonto.
| Zonenpaar | Richtung | Erlaubt |
|---|---|---|
| outside → DMZ | eingehend | HTTP(80), HTTPS(443), 8080, 8070, 8060 zu Ubuntu (10.10.2.1); ICMP |
| DMZ → outside | ausgehend | HTTP, HTTPS, DNS(53) |
| DMZ → inside | — | verweigert |
| inside → DMZ | ausgehend | vollständiges IP zu Ubuntu |
| inside → outside | ausgehend | vollständiges IP, PAT über die ASA-outside-Schnittstelle |
NAT: PAT für die inside-Subnetze (192.168.30/40/50.0/24, dynamisch, über ASA outside) und statisches NAT für den DMZ-Host (10.10.2.1 → 10.10.3.3, DMZ_MAPPED). Hinweis: Der Verkehr zwischen den VLANs 30/40/50 durchquert niemals die ASA — SW-L3 routet ihn lokal, sodass die Firewall nur Nord-Süd-Verkehr (DMZ/outside) sieht.
Verfolgt in CHANGELOG.md.
Lab-Anmeldedaten werden bewusst nicht in dieses Repository eingecheckt.
| Geltungsbereich | Konto | Hostname |
|---|---|---|
| Lokal | kali | ko0ler-VMware-Virtual-Platform (Kali) |
| Lokal | ko0ler | Ubuntu |
| Lokal | ko0ler | PC1 (Windows 10) |
| Lokal | Administrator | DC01 (WindowsServer 2025) |
| Domäne (kooler.local) | Ko0ler | — |
| Domäne (kooler.local) | user1 | — |
