Differences

This shows you the differences between two versions of the page.

--- teknik:infrastruktur:totalloesningpoc [2026/10/09 04:49] – created smarken
+++ teknik:infrastruktur:totalloesningpoc [2026/10/12 04:59] (current) – [Referencearkitektur] smarken
@@ Line 8: / Line 8: @@
   - **Ingen closed source** – alle komponenter i datavævet er open source (flere af dem kommer direkte fra SUSEs egen open source-portefølje).
-  - **Zero Trust i stedet for "slot og grav"** – adgang afgøres af identitet og enhed, ikke af netværksplacering. En hjemmenetværks-PC og en kontor-PC behandles ens mistænkeligt.
+  - **Zero Trust i stedet for "slot og grav"** – adgang afgøres af identitet og enhed, ikke af netværksplacering. En hjemmenetværks-PC og en kontor-PC behandles ens sikkerhedsmessigt.
   - **Digital suverænitet** – ingen trafik, identiteter eller logs sendes gennem en udenlandsk cloud. Alting kan køre på egen infrastruktur (on-prem eller europæisk cloud).
+----
 ===== Overblik: hvad erstatter hvad? =====
@@ Line 24: / Line 26: @@
 ===== Referencearkitektur =====
+\\
+<mermaid>
-<code mermaid>
 flowchart TD
   subgraph Felt["Medarbejder / hjemmekontor"]
@@ Line 56: / Line 59: @@
   uyuni --> laptop
   siem --> Kerne
-</code>
+</mermaid>
+\\
-> **Bemærkning:** Mermaid-diagrammet kræver et Mermaid-plugin i DokuWiki (f.eks. "mermaid"- eller "graphviz"-effekten via [[https://www.dokuwiki.org/plugin:mermaid|DokuWiki Mermaid-plugin]]). Uden plugin vises kildekoden som almindelig kodeblok.
+**Bemærkning:** diagrammet er lavet med Mermaid-plugin i DokuWiki  [[https://www.dokuwiki.org/plugin:mermaid|DokuWiki Mermaid-plugin]]). Uden plugin vises kildekoden som almindelig kodeblok.
-**Sådan læses diagrammet:** Den eneste port, der er åben mod internet, er NetBirds control plane og reverse proxyens HTTPS. Arbejdsstationer opretter direkte, krypterede peer-to-peer-tunneller (WireGuard) til interne tjenester – ikke gennem én central VPN-boks. Control plane udleverer kun nøgler og politikker til enheder, som Keycloak har godkendt med MFA.
+**Sådan læses diagrammet:** De eneste porte, der er åbne mod internet, er NetBirds control plane og reverse proxyens HTTPS. Arbejdsstationer opretter direkte, krypterede peer-to-peer-tunneller (WireGuard) til interne tjenester – ikke gennem én central VPN-boks. Control plane udleverer kun nøgler og politikker til enheder, som Keycloak har godkendt med MFA.
 ===== Komponenterne i detaljer =====
@@ Line 136: / Line 141: @@
 En virksomhed kan opnå bigtech-grads sikkerhed for fjernarbejde med udelukkende open source: SUSE Linux som fundament, WireGuard/NetBird som krypteret zero trust-netværk, Keycloak+FreeIPA som identitet med phishing-resistent MFA, Uyuni som endpoint-styring, Guacamole/Harvester til fjernskriveborde og Wazuh til detection. Sikkerheden ligger i arkitekturens principper – ikke i lukket software – og hele stakken kan bygges, auditeres og driftes uden en eneste closed source-komponent.
+----
+===== Dokumentationslinks: Sikker fjernadgang med åben kildekode =====
+==== Operativsystem (SUSE / openSUSE) ====
+  * [[https://documentation.suse.com/sles/|SUSE Linux Enterprise Server (SLES 16)]] – komplet administration, sikkerhed og installationsdokumentation
+  * [[https://documentation.suse.com/sled/|SUSE Linux Enterprise Desktop (SLED)]] – desktopversionen til arbejdsstationer
+  * [[https://documentation.suse.com/sle-micro/|SUSE Linux Enterprise Micro]] – immutable OS til gateways og edge
+  * [[https://doc.opensuse.org/|openSUSE Leap]] – den frie, binærkompatible distribution
+  * [[https://en.opensuse.org/openSUSE:ALP|openSUSE ALP (Adaptable Linux Platform)]] – wiki og arkitektur-oversigt
+  * [[https://agama-project.github.io/|Agama-installeren]] – SLES 16s nye installationssystem
+  * [[https://cockpit-project.org/guide/latest/|Cockpit]] – webbaseret fjernadministration
+  * [[https://wiki.archlinux.org/title/Snapper|Snapper]] / Btrfs-snapshots på openSUSE: [[https://doc.opensuse.org/documentation/leap/reference/html/book-reference/cha-snapper.html|openSUSE Snapper-kapitel]]
+==== Netværk og VPN (WireGuard / zero trust) ====
+  * [[https://www.wireguard.com/|WireGuard]] – oversigt, protokoldokumentation og installationsvejledninger
+  * [[https://www.wireguard.com/quickstart/|WireGuard Quick Start]] – hurtig opsætningsguide
+  * [[https://docs.netbird.io/|NetBird]] – dokumentation af self-hostet control plane, ACL'er og OIDC-integration
+  * [[https://headscale.net/|Headscale]] – selvhostet Tailscale-kontrolserver (dokumentation og konfiguration)
+  * [[https://docs.strongswan.org/|strongSwan-dokumentation]] – IKEv2/IPsec til site-to-site
+  * [[https://wiki.strongswan.org/|strongSwan wiki]] – howtos og opskrifter
+==== Identitet, SSO og MFA ====
+  * [[https://www.keycloak.org/documentation|Keycloak]] – serveradmin-, OIDC/SAML- og autentificeringsdokumentation
+  * [[https://www.keycloak.org/docs/latest/server_admin/|Keycloak Server Admin Guide]] – MFA/WebAuthn-opsætning
+  * [[https://www.freeipa.org/page/Documentation|FreeIPA]] – dokumentationsportal (LDAP, Kerberos, CA, HBAC)
+  * [[https://www.freeipa.org/page/Deployment_Recommendations|FreeIPA Deployment Recommendations]] – anbefalinger til produktionsudrulning
+  * [[https://fidoalliance.org/specifications/|FIDO2 / WebAuthn-specifikationerne]] – standarden bag hardwarenøgler
+==== Endpoint-styring og konfigurationshåndtering ====
+  * [[https://www.uyuni-project.org/uyuni-docs/|Uyuni]] – dokumentation (patch-, software- og compliance-styring)
+  * [[https://documentation.suse.com/suma/|SUSE Multi-Linux Manager]] – SUSEs enterprise-udgave af Uyuni
+  * [[https://docs.saltproject.io/|Salt]] – konfigurationsstyring (bruges af Uyuni)
+  * [[https://www.openscap.org/|OpenSCAP]] – SCAP-auditering og CIS/DISA-benchmarks
+==== Applikationsadgang og virtualisering ====
+  * [[https://guacamole.apache.org/doc/gug/|Apache Guacamole – User's Guide]] – klientløs remote desktop (RDP/VNC/SSH)
+  * [[https://doc.traefik.io/traefik/|Traefik]] – reverse proxy med OIDC/mTLS
+  * [[https://www.haproxy.com/documentation/|HAProxy-dokumentation]] – load balancer/proxy
+  * [[https://docs.harvesterhci.io/|Harvester]] – open source hyperconverged infrastruktur (virtuelle maskiner)
+  * [[https://ranchermanager.docs.rancher.com/|Rancher Manager]] – Kubernetes- og Harvester-håndtering
+==== Certifikater og PKI ====
+  * [[https://smallstep.com/docs/step-ca/|step-ca]] – open source certificate authority
+  * [[https://smallstep.com/docs/step-cli/|step CLI]] – certifikathåndtering fra kommandolinjen
+==== Overvågning, detection og hardening ====
+  * [[https://documentation.wazuh.com/|Wazuh]] – SIEM/IDS-dokumentation (installation, regler, compliance-moduler)
+  * [[https://prometheus.io/docs/|Prometheus]] – metrik- og overvågningssystem
+  * [[https://grafana.com/docs/|Grafana]] – dashboards og visualisering
+  * [[https://grafana.com/docs/loki/latest/|Loki]] – logaggregering
+  * [[https://github.com/fail2ban/fail2ban/wiki|fail2ban]] – bruteforce-beskyttelse af internetvendte tjenester
+  * [[https://github.com/linux-audit/audit-documentation|Linux Audit Framework (auditd)]] – audit-logging på værterne
+==== Kryptering og OS-sikkerhed ====
+  * [[https://gitlab.com/cryptsetup/cryptsetup/-/blob/main/docs/LUKS2-on-disk-format.pdf|LUKS2 (cryptsetup)]] – fuld disk-kryptering
+  * [[https://github.com/SELinuxProject/selinux/wiki|SELinux]] – mandatory access control
+  * [[https://documentation.suse.com/sles/16-0/html/SLES-securityhardening/index.html|SLES 16 Security and Hardening Guide]] – hardening af serverbasen