ko0ler/homelabGNS3-Heimlabor, das ein segmentiertes Netzwerk mit Cisco ASAv Firewall, L3-Core, DMZ und einer Active-Directory-Domäne dokumentiert, um Netzwerk-, Sysadmin- und Offensive-Security-Praktiken zu üben.
HomeLab ist ein GNS3-Lab, das auf einem einzigen Laptop (OMEN 16, i7-14650HX, 32 GB RAM, RTX 4060 8 GB) aufgebaut ist, um Netzwerkbetrieb, Systemadministration und offensive Sicherheit in einer Umgebung zu üben. Es modelliert ein Perimeter mit einer DMZ (Cisco ASAv), einem gerouteten Core (SW-L3 + zwei Access-Switches) und einer Active-Directory-Domäne kooler.local, die auf Windows Server 2025 läuft. Angreiferplattformen (Kali, ParrotOS/Exegol) befinden sich im nicht vertrauenswürdigen Außensegment neben einem NAT-Gateway zum Internet.
Kette: Kali/Exegol + NAT (Switch-X) → Router → ASAv Firewall (mit DMZ-Anbindung) → SW-L3 → L2-SW-1 / L2-SW-2 (VLANs).
| Segment | Subnetz | Hinweise |
|---|---|---|
| Außen / nicht vertrauenswürdig | 192.168.160.0/24 | Switch-X: Kali/Exegol, NAT-Cloud; Router bei .100 |
| Router ↔ FW außen | 10.10.3.0/29 | Router .1, ASA außen .2 |
| FW ↔ DMZ | 10.10.2.0/30 | ASA dmz .2, Ubuntu .1 |
| FW ↔ SW-L3 (innen) | 10.10.1.0/30 | ASA innen .2, SW-L3 .1 |
| VLAN 30 | 192.168.30.0/24 | PC-C, PC-D |
| VLAN 40 | 192.168.40.0/24 | hinter L2-SW-2 — Windows 10, PC-B |
| VLAN 50 | 192.168.50.0/24 | hinter L2-SW-1 — Windows Server 2025 (DC01), PC-A |
| VLAN 100 | 192.168.100.0/24 | SVI auf SW-L3 vorhanden; getrunkt, noch nicht in ASA-Objektgruppe |
Trunk-Links SW-L3 ↔ L2-SW-1/L2-SW-2 übertragen VLANs 30, 40, 50, 100 (native VLAN 999, dot1q).
| Gerät | Rolle | Plattform | Wichtige Schnittstellen |
|---|---|---|---|
| Router | Edge-Router, NAT-seitiges Gateway | Cisco IOSv 15.9 | Gi0/0 10.10.3.1/29 (zu FW); Gi0/1 192.168.160.100/24 (zu Switch-X) |
| FW | Perimeter-Firewall, DMZ | Cisco ASAv 9.22(1)1 | outside 10.10.3.2/29; dmz 10.10.2.2/30; inside 10.10.1.2/30 |
| SW-L3 | Core-L3-Switch, Inter-VLAN-Routing | Cisco IOSv L2 15.2 | Gi0/0 10.10.1.1/30 (zu FW); Gi0/1-0/2 Trunks zu L2-SW-1/2; SVIs für VLAN 30/40/50/100 |
| L2-SW-1 | Access-Switch | Cisco IOSv L2 15.2 | VLAN 50 Access-Ports (WinServer2025, PC-A) |
| L2-SW-2 | Access-Switch | Cisco IOSv L2 15.2 | VLAN 40 Access-Ports (Windows 10, PC-B); VLAN 30 (PC-D) |
ASAv ist unter Smart Licensing Using Policy lizenziert und läuft im Evaluierungsmodus mit Feature-Tier standard und lokal deklariertem Durchsatzlevel 1G (keine CSSM-Registrierung).
| Host | OS / Build | Hostname | IP / VLAN | Dienste |
|---|---|---|---|---|
| Kali | Kali Linux 2026.2 (VMware amd64) | Kali | 192.168.160.130 (Außensegment) | Angreiferplattform |
| ParrotOS/Exegol | ParrotOS + Exegol | — | Außensegment (Switch-X) | Angreiferplattform |
| Ubuntu | Ubuntu Desktop 26.04 | ko0ler-VMware-Virtual-Platform | 10.10.2.1 (DMZ) | DVWA, bWAPP, httpbin, FTP, Samba, MySQL |
| WindowsServer 2025 | Windows Server 2025 | DC01 | 192.168.50.10 (VLAN 50) | ADCS, ADDS, DHCP, DNS, MSSQL — Domänencontroller für kooler.local |
| Windows 10 | Windows 10 | PC1 | DHCP (VLAN 40) | Domänenbeigetretene Workstation |
| PC-A | VPCS | — | VLAN 50 (.15) | — |
| PC-B | VPCS | — | VLAN 40 (.15) | — |
| PC-C | VPCS | — | VLAN 30 (.1) | — |
| PC-D | VPCS | — | VLAN 30 (.2) | — |
Domänencontroller: DC01 (Windows Server 2025, 192.168.50.10), auf dem ADCS, ADDS, DHCP, DNS und MSSQL parallel laufen — ein bewusst überprovisionierter DC für Übungen zur Angriffsfläche (Offenlegung von Dienstkonten, Fehlkonfiguration von ADCS-Vorlagen, SQL auf einem DC usw.).
| Konto | Bereich | Hinweise |
|---|---|---|
| Administrator | Lokal (DC01) | Integrierter lokaler Administrator |
| Ko0ler | Domänenbenutzer | — |
| user1 | Domänenbenutzer | — |
Windows 10 (PC1) ist mit kooler.local verbunden; die lokale Anmeldung ko0ler existiert auf diesem Rechner ebenfalls, getrennt vom Domänenkonto.
| Zonenpaar | Richtung | Erlaubt |
|---|---|---|
| outside → DMZ | eingehend | HTTP(80), HTTPS(443), 8080, 8070, 8060 zu Ubuntu (10.10.2.1); ICMP |
| DMZ → outside | ausgehend | HTTP, HTTPS, DNS(53) |
| DMZ → inside | — | verweigert |
| inside → DMZ | ausgehend | vollständiges IP zu Ubuntu |
| inside → outside | ausgehend | vollständiges IP, PAT über ASA-Außenschnittstelle |
NAT: PAT für innere Subnetze (192.168.30/40/50.0/24, dynamisch, über ASA außen) und statisches NAT für den DMZ-Host (10.10.2.1 → 10.10.3.3, DMZ_MAPPED). Hinweis: Inter-VLAN-Verkehr zwischen VLANs 30/40/50 durchläuft niemals die ASA — SW-L3 routet ihn lokal, sodass die Firewall nur Nord-Süd-Verkehr (DMZ/outside) sieht.
Verfolgt in CHANGELOG.md.
Lab-Anmeldedaten werden absichtlich nicht in dieses Repository eingecheckt.
| Bereich | Konto | Host |
|---|---|---|
| Lokal | kali | Kali |
| Lokal | ko0ler | Ubuntu |
| Lokal | ko0ler | Windows 10 (PC1) |
| Lokal | Administrator | DC01 |
| Domäne (kooler.local) | Ko0ler | — |
| Domäne (kooler.local) | user1 | — |
