03.1 – Änderung nach Fertigstellung des neuen Hauptstandorts

Änderungsanhang – neuer Hauptstandort Lathen-Mühlentannen

Ausgangslage

Nach Fertigstellung des neuen Hauptstandorts in Lathen-Mühlentannen entfallen die Standorte Bahnhofstraße und Gartenstraße. Die NetBird-Architektur muss deshalb so aufgebaut werden, dass diese Änderung keine grundlegende Neuplanung des Overlays erfordert.

Zielbild

flowchart TB
    CP["Self-hosted NetBird<br/>Control Plane + Relay"]

    MT["NEUER Hauptstandort<br/>Lathen – Mühlentannen<br/>OPNsense + NetBird Routing Peers<br/>Daten-LAN(s) + Voice-VLAN(s)<br/>OmniPCX"]
    NO["Barsbüttel<br/>OPNsense + Routing Peer<br/>192.168.104.0/24 + Voice"]
    SU["Heppenheim<br/>OPNsense + Routing Peer<br/>192.168.0.0/24 + Voice"]
    HO["HomeOffice"]
    RW["Roadwarrior / Tablets"]

    CP -.-> MT
    CP -.-> NO
    CP -.-> SU
    CP -.-> HO
    CP -.-> RW

    MT <-->|"NetBird Site-to-Site"| NO
    MT <-->|"NetBird Site-to-Site"| SU
    HO <-->|"NetBird"| MT
    RW <-->|"NetBird"| MT

Erforderliche Änderungen

1. Neue LAN-/VLAN-Struktur des Hauptstandorts vollständig aufnehmen.
2. Neue Routing-Peers am Hauptstandort bereitstellen und testen.
3. Neue Daten- und Voice-Ressourcen in NetBird anlegen.
4. Policies auf die neuen Ressourcen umstellen.
5. OmniPCX-Kommunikation aus allen Niederlassungen zum neuen Netz testen.
6. DNS-, DHCP-, AD-, NTP- und sonstige Infrastrukturabhängigkeiten auf neue Adressen anpassen.
7. Bahnhofstraße und Gartenstraße erst nach vollständiger Dienstmigration aus NetBird entfernen.
8. Alte Routing-Peers deaktivieren und anschließend löschen.
9. Nicht mehr benötigte Network Resources und Policies entfernen.
10. Alte OPNsense-/WireGuard-Konfigurationen dokumentiert stilllegen.
11. Dokumentation und Netzpläne auf den neuen Sollzustand aktualisieren.

Wichtiger Grundsatz

IP-Netze des Neubaus dürfen nicht allein aus Bequemlichkeit aus der Altstruktur übernommen werden. Vor Festlegung ist zu prüfen, ob der Neubau für eine saubere Segmentierung genutzt werden soll. NetBird darf dabei nicht als Ersatz für VLAN-Trennung und lokale Firewallsegmentierung missverstanden werden.