2. Grundwerkzeuge und Befehle

• 2.0 Werkzeugwahl, Kennzeichnungen und sichere Anwendung
• 2.1 Windows-Netzwerkbefehle
• 2.2 PowerShell-Netzwerkdiagnose
• 2.3 Linux-Netzwerkbefehle
• 2.4 macOS-Netzwerkdiagnose
• 2.5 Wireshark und TShark – Netzwerkverkehr aufzeichnen und analysieren
• 2.6 tcpdump und Capture-Filter – Paketmitschnitte im Terminal
• 2.7 Nmap im autorisierten Netz – Hosts, Ports und Dienste untersuchen
• 2.8 iPerf3 – Bandbreite, Durchsatz, Jitter und Paketverlust messen
• 2.9 curl – HTTP-, HTTPS-, API-, DNS-, Proxy- und Verbindungsdiagnose
• 2.10 OpenSSL – TLS-Verbindungen, Zertifikate und Zertifikatsketten prüfen
• 2.11 Microsoft Sysinternals – Windows-Prozesse und Systemaktivitäten analysieren
• 2.12 Protokolle und Logs systematisch auswerten
• 2.13 Monitoringdaten und Leistungswerte richtig interpretieren
• 2.14 Sichere Paketmitschnitte, Datenschutz und Beweissicherung

2.0 Werkzeugwahl, Kennzeichnungen und sichere Anwendung

Ziel dieser Seite

Diese Seite erklärt, wie für eine konkrete Diagnosefrage das passende Werkzeug ausgewählt wird. Sie legt außerdem die Kennzeichnungen fest, die in diesem Kapitel vor den Befehlen verwendet werden.

Die wichtigste Grundregel lautet:

Erst die Diagnosefrage formulieren, dann das Werkzeug auswählen und erst danach den Befehl ausführen.

Ein Werkzeug ist ein Messinstrument. Es ersetzt weder eine Hypothese noch die Bewertung des Ergebnisses.

1. Grundhaltung bei der Werkzeugwahl

Administratoren sollten nicht möglichst viele Befehle ausführen, sondern mit möglichst wenigen, gezielten Prüfungen die Fehlerdomäne eingrenzen.

Vor jedem Befehl werden deshalb fünf Fragen beantwortet:

1. Was möchte ich mit diesem Befehl feststellen?
2. Welches Ergebnis erwarte ich bei einem funktionierenden System?
3. Welches Ergebnis würde meine Hypothese widerlegen?
4. Kann der Befehl den Zustand des Systems verändern?
5. Welche Daten muss ich zusammen mit dem Ergebnis dokumentieren?

Ein Befehl ohne konkrete Diagnosefrage erzeugt häufig nur zusätzliche Informationen, aber noch keine Erkenntnis.

Beispiel

Ungeeignete Fragestellung:

Ich führe erst einmal alle Netzwerkbefehle aus.

Geeignete Fragestellung:

Ich möchte feststellen, über welches Interface und welches Gateway der Client das Ziel 192.0.2.25 erreichen würde.

Dazu wird zunächst die Routingentscheidung geprüft. Ein Paketmitschnitt oder ein Portscan wäre zu diesem Zeitpunkt normalerweise noch nicht erforderlich.

2. Bedeutung der Kennzeichnungen

Die folgenden Kennzeichnungen stehen in diesem Buch vor Befehlen. Sie gehören nicht zum Befehl und dürfen nicht mit eingegeben werden.

Kennzeichnungen können kombiniert werden.

Beispiele:

[RO] ip address

2.1 Windows-Netzwerkbefehle

Ziel dieser Seite

Diese Seite enthält die wichtigsten klassischen Windows-Befehle für die praktische Netzwerkdiagnose. Sie behandelt vor allem Werkzeuge, die über die Eingabeaufforderung cmd.exe oder aus PowerShell heraus gestartet werden können.

Die objektorientierten PowerShell-Cmdlets wie Get-NetIPConfiguration, Get-NetRoute, Resolve-DnsName und Test-NetConnection folgen auf der nächsten Seite.

1. Wichtige Hinweise zur Verwendung

Die Kennzeichnungen wie [RO], [TEST] und [CHANGE] gehören nicht zum Befehl und dürfen nicht mit eingegeben werden.

Die Beispiele verwenden reservierte Dokumentationsadressen und -namen:

Vor einer Veränderung sollten zuerst die [RO]-Befehle ausgeführt und deren Ergebnisse gesichert werden.

2. Schnellübersicht

3. Empfohlene Reihenfolge für eine erste Windows-Netzwerkdiagnose

Diese Reihenfolge ist ein Ausgangspunkt. Sie wird an das konkrete Fehlerbild angepasst.

4. Computername und MAC-Adressen

Computername anzeigen

Kennzeichnung: [RO]

hostname

Der Befehl zeigt den Hostnamenanteil des vollständigen Computernamens an.

Das ist nützlich, um sicherzustellen, dass die Diagnose tatsächlich auf dem vorgesehenen System durchgeführt wird.

Computername über die Umgebungsvariable anzeigen

Kennzeichnung: [RO]

echo %COMPUTERNAME%

%COMPUTERNAME% zeigt üblicherweise denselben Computernamen in Großbuchstaben an. In Clusterumgebungen kann sich die Ausgabe von hostname jedoch durch die Variable _CLUSTER_NETWORK_NAME_ unterscheiden.

MAC-Adressen und zugehörige Adapter anzeigen

Kennzeichnung: [RO]

getmac /v

Ausführliche Ausgabe als Liste:

getmac /v /fo list

Ausgabe als CSV:

getmac /v /fo csv

Wichtige Felder:

Wichtig

Bei WLAN können private beziehungsweise zufällige MAC-Adressen verwendet werden. Die aktuell verwendete MAC-Adresse muss deshalb nicht dauerhaft mit der auf dem Gerät aufgedruckten Hardwareadresse übereinstimmen.

5. IP-Konfiguration mit ipconfig untersuchen

Grundlegende Konfiguration anzeigen

Kennzeichnung: [RO]

ipconfig

Der Befehl zeigt unter anderem:

• IPv4-Adressen;
• IPv6-Adressen;
• Subnetzmasken;
• Standardgateways;
• Adapter mit getrenntem Medium.

Vollständige Konfiguration anzeigen

Kennzeichnung: [RO][SENS]

ipconfig /all

ipconfig /all ist einer der wichtigsten ersten Diagnosebefehle auf Windows-Systemen.

Die Ausgabe kann interne Adressen, DNS-Suffixe, DHCP-Server und andere Infrastrukturinformationen enthalten und sollte deshalb als sensibel behandelt werden.

Wichtige Felder in der Ausgabe

Typische Auffälligkeiten

APIPA richtig bewerten

Eine Adresse aus 169.254.0.0/16 wird von Windows automatisch vergeben, wenn ein DHCP-konfigurierter Adapter keine verwendbare DHCP-Antwort erhält.

Damit ist unter Umständen Kommunikation mit anderen Systemen im selben lokalen Segment möglich, die ebenfalls eine passende Link-Local-Adresse besitzen. Normale geroutete Kommunikation in andere Subnetze ist damit jedoch nicht möglich.

Eine APIPA-Adresse beweist noch nicht, an welcher Stelle DHCP scheitert. Mögliche Ursachen sind unter anderem:

• keine physische Verbindung;
• falsches VLAN;
• DHCP-Server nicht erreichbar;
• DHCP-Scope erschöpft oder deaktiviert;
• DHCP-Relay fehlt;
• Firewall oder DHCP-Snooping blockiert;
• DHCP-Clientdienst gestört.

6. DNS-Clientcache mit ipconfig prüfen

DNS-Clientcache anzeigen

Kennzeichnung: [RO][SENS]

ipconfig /displaydns

Der Cache kann enthalten:

• Einträge aus der lokalen hosts-Datei;
• zuvor abgefragte DNS-Einträge;
• positive DNS-Antworten;
• negative Cacheeinträge;
• Record-Typen und TTL-Werte.

Die Ausgabe sollte möglichst vor dem Leeren des Caches gesichert werden.

DNS-Clientcache in eine Datei schreiben

Kennzeichnung: [RO][FILE][SENS]

ipconfig /displaydns > "<Ausgabepfad>\dns-cache.txt"

DNS-Clientcache leeren

Kennzeichnung: [CHANGE]

ipconfig /flushdns

Der Befehl entfernt dynamisch hinzugefügte positive und negative Einträge aus dem DNS-Clientcache.

Nicht sofort ausführen

Das Leeren des Caches kann:

• einen wichtigen Fehlerzustand beseitigen;
• einen veralteten oder negativen Cacheeintrag als Ursache verbergen;
• die anschließende DNS-Anfrage verändern;
• dazu führen, dass ein sporadischer Fehler vorübergehend nicht mehr reproduzierbar ist.

Deshalb zuerst:

ipconfig /displaydns

Danach bei begründeter Hypothese:

ipconfig /flushdns

Anschließend denselben Namen erneut testen.

Dynamische DNS-Registrierung anstoßen

Kennzeichnung: [TEST][CHANGE]

ipconfig /registerdns

Der Befehl stößt die manuelle dynamische Registrierung der konfigurierten DNS-Namen und IP-Adressen an.

Er ist für Probleme mit dynamischen DNS-Updates gedacht und nicht als allgemeiner erster Reparaturbefehl.

Nach der Ausführung sollten zusätzlich geprüft werden:

• DNS-Zone;
• Berechtigungen für dynamische Updates;
• DNS-Server-Ereignisse;
• Windows-Ereignisprotokolle;
• tatsächlich angelegte oder aktualisierte Records.

7. DHCP-Lease erneuern

Aktuelle DHCP-Konfiguration eines Adapters freigeben

Kennzeichnung: [CHANGE][DISRUPT]

ipconfig /release "<Adaptername>"

Für alle DHCP-konfigurierten IPv4-Adapter:

ipconfig /release

Dadurch wird die aktuelle DHCP-Konfiguration verworfen. Die Netzwerkverbindung kann unterbrochen werden.

DHCP-Konfiguration erneuern

Kennzeichnung: [TEST][CHANGE]

ipconfig /renew "<Adaptername>"

Für alle DHCP-konfigurierten IPv4-Adapter:

ipconfig /renew

DHCPv6-Konfiguration freigeben und erneuern

Kennzeichnung: [CHANGE][DISRUPT]

ipconfig /release6 "<Adaptername>"

Kennzeichnung: [TEST][CHANGE]

ipconfig /renew6 "<Adaptername>"

Wichtige Sicherheitsregel

ipconfig /release darf nicht unüberlegt in einer entfernten Administrationssitzung ausgeführt werden. Die Verbindung zum System kann dadurch sofort abbrechen.

Vorher sichern

ipconfig /all

Nachher vergleichen

ipconfig /all

Zu vergleichen sind insbesondere:

• IP-Adresse;
• Subnetzmaske;
• Standardgateway;
• DNS-Server;
• DHCP-Server;
• DNS-Suffix;
• Lease-Beginn;
• Lease-Ablauf.

Auswertung

8. Erreichbarkeit mit ping prüfen

ping sendet ICMP-Echoanforderungen und zeigt empfangene Echoantworten sowie die jeweilige Round-Trip-Zeit an.

Ein erfolgreicher Ping beweist nicht, dass ein bestimmter TCP- oder UDP-Dienst funktioniert.

Ein fehlgeschlagener Ping beweist nicht sicher, dass das Ziel ausgeschaltet ist. ICMP kann gefiltert, begrenzt oder deaktiviert sein.

IPv4-Ziel testen

Kennzeichnung: [TEST]

ping /4 192.0.2.25

IPv6-Ziel testen

Kennzeichnung: [TEST]

ping /6 server.example.test

Namen testen

Kennzeichnung: [TEST]

ping server.example.test

Die erste Ausgabezeile zeigt normalerweise, in welche IP-Adresse der Name aufgelöst wurde.

Mehrere Anfragen senden

Kennzeichnung: [TEST]

ping /n 10 192.0.2.25

Windows sendet standardmäßig vier Echoanforderungen. /n 10 erhöht die Anzahl auf zehn.

Zeitüberschreitung festlegen

Kennzeichnung: [TEST]

ping /n 10 /w 1000 192.0.2.25

/w 1000 wartet pro Anfrage maximal 1000 Millisekunden auf eine Antwort.

Dauerhaft testen

Kennzeichnung: [TEST]

ping /t 192.0.2.25

Steuerung:

Ein dauerhafter Ping sollte nicht unbeaufsichtigt laufen.

IPv4 oder IPv6 gezielt erzwingen

ping /4 server.example.test

ping /6 server.example.test

Damit lässt sich erkennen, ob nur einer der beiden Protokollpfade betroffen ist.

Paketgröße testen

Kennzeichnung: [TEST]

ping /4 /f /l 1472 192.0.2.25

Bedeutung:

1472 Byte plus 20 Byte IPv4-Header und 8 Byte ICMP-Header ergeben 1500 Byte. Das ist ein üblicher Startwert für Ethernet mit einer MTU von 1500, aber nicht für jeden Pfad passend.

Wenn eine Fragmentierungsmeldung erscheint, kann die Nutzlast schrittweise reduziert werden.

Beispiel:

ping /4 /f /l 1464 192.0.2.25

ping /4 /f /l 1400 192.0.2.25

Dieser Test kann Hinweise auf Probleme mit folgenden Komponenten geben:

• VPN-Tunnel;
• PPPoE;
• IPsec;
• GRE;
• Providerpfad;
• falsch konfigurierte MTU;
• gestörte Path-MTU-Discovery.

Ping-Ausgaben interpretieren

Bei Destination host unreachable ist entscheidend, welche IP-Adresse die Meldung sendet:

• eigene Adresse: Problem wahrscheinlich lokal oder im lokalen Segment;
• Standardgateway: Gateway besitzt möglicherweise keine passende Route;
• Zwischenrouter: Fehler weiter entfernt im Datenpfad.

TTL nicht als exakte Hopanzahl interpretieren

Der angezeigte TTL-Wert ist der verbleibende TTL-Wert der empfangenen Antwort. Da der ursprüngliche Startwert des Zielsystems normalerweise nicht sicher bekannt ist, kann daraus nicht zuverlässig die genaue Zahl der durchlaufenen Router berechnet werden.

9. Systematischer Ping-Test

Die folgende Reihenfolge grenzt den Fehler schrittweise ein.

1. Lokalen IPv4-Loopback testen

ping 127.0.0.1

Prüft grundlegende lokale IPv4-Verarbeitung. Der Test verlässt den Computer nicht.

2. Lokalen IPv6-Loopback testen

ping ::1

Prüft grundlegende lokale IPv6-Verarbeitung.

3. Eigene IP-Adresse testen

ping <Eigene-IP-Adresse>

Prüft die Bindung der Adresse an den lokalen Netzwerkstack. Der Test beweist noch keine funktionierende physische Verbindung.

4. Standardgateway testen

ping <Gateway-IP>

Prüft die ICMP-Kommunikation zum Gateway, sofern dieses ICMP beantwortet.

5. Entfernte IP-Adresse testen

ping <Entfernte-IP-Adresse>

Prüft den gerouteten IP-Pfad ohne Abhängigkeit von der DNS-Namensauflösung.

6. Zielname testen

ping server.example.test

Vergleich:

10. Netzwerkpfad mit tracert untersuchen

tracert erhöht schrittweise den TTL-Wert und versucht dadurch, die Router auf dem Weg zum Ziel sichtbar zu machen.

Pfad zu einem Ziel anzeigen

Kennzeichnung: [TEST]

tracert server.example.test

Namensauflösung der Zwischenstationen deaktivieren

Kennzeichnung: [TEST]

tracert /d 192.0.2.25

/d verhindert Reverse-DNS-Abfragen für Zwischenrouter. Dadurch wird die Ausgabe häufig schneller und DNS-Verzögerungen beeinflussen die Messung weniger.

IPv4 erzwingen

tracert /4 server.example.test

IPv6 erzwingen

tracert /6 server.example.test

Maximale Hopanzahl begrenzen

tracert /d /h 15 192.0.2.25

Wartezeit pro Antwort verringern

tracert /d /w 1000 192.0.2.25

/w 1000 wartet bis zu 1000 Millisekunden auf die jeweilige ICMP-Antwort.

Ausgabe interpretieren

Wichtig

Drei Sternchen bedeuten nur, dass für diese Versuche keine erwartete ICMP-Antwort empfangen wurde. Sie beweisen nicht automatisch einen Paketverlust für normalen Anwendungsverkehr.

11. Paketverlust und Latenz mit pathping untersuchen

pathping kombiniert eine Pfadermittlung mit wiederholten ICMP-Messungen zu den Zwischenstationen.

Standardtest

Kennzeichnung: [TEST]

pathping 192.0.2.25

Ohne Namensauflösung

Kennzeichnung: [TEST]

pathping /n 192.0.2.25

Anzahl der Abfragen begrenzen

pathping /n /q 20 192.0.2.25

Zeitabstand zwischen aufeinanderfolgenden Pings festlegen

pathping /n /q 20 /p 500 192.0.2.25

Wartezeit beachten

pathping benötigt deutlich länger als tracert, weil nach der Pfaderkennung über einen Zeitraum Messwerte gesammelt werden.

Verlust richtig interpretieren

Wenn ein Zwischenrouter bei an ihn gerichteten ICMP-Paketen Verlust zeigt, aber alle folgenden Hops und das Ziel keinen entsprechenden Verlust zeigen, ist die Weiterleitung wahrscheinlich nicht im gleichen Maß betroffen.

Mögliche Erklärung:

• ICMP-Antworten des Routers werden begrenzt;
• der Router priorisiert Transitverkehr höher als eigene Diagnoseantworten;
• die Control Plane ist ausgelastet, während die Weiterleitung weiterhin funktioniert.

Wird ein Verlust ab einem bestimmten Link angezeigt und setzt sich bis zum Ziel fort, ist dieser Abschnitt wesentlich verdächtiger.

Pathping ist kein Beweis für Anwendungsleistung

Der Befehl prüft ICMP. Eine TCP-, UDP-, TLS- oder Anwendungsstörung muss mit dem tatsächlichen Protokoll weiter untersucht werden.

12. Routingtabelle mit route anzeigen

Gesamte Routingtabelle anzeigen

Kennzeichnung: [RO][SENS]

route print

Die Ausgabe enthält:

• Interface List;
• IPv4-Routingtabelle;
• IPv6-Routingtabelle;
• aktive Routen;
• persistente Routen;
• Netzwerkziele;
• Netzmasken beziehungsweise Präfixe;
• Gateways;
• Interfaceadressen;
• Metriken.

Routen für einen bestimmten Bereich filtern

Kennzeichnung: [RO]

route print 192.0.2.*

Wichtige Bestandteile

Default Route erkennen

Network Destination: 0.0.0.0
Netmask:              0.0.0.0

Diese Route wird verwendet, wenn keine spezifischere passende IPv4-Route vorhanden ist.

Routenauswahl vereinfacht

Windows berücksichtigt grundsätzlich:

1. passende Zielpräfixe;
2. die spezifischste passende Route;
3. bei gleich spezifischen Routen die Metriken;
4. die zugehörige Interfacemetrik und Routenkonfiguration.

Eine Route zu 192.0.2.0/24 ist beispielsweise spezifischer als die Default Route 0.0.0.0/0.

Typische Auffälligkeiten

Verändernde route-Befehle

Folgende Befehle verändern die Routingtabelle und sind keine reinen Diagnosebefehle:

route add
route change
route delete
route /f

route /f entfernt einen großen Teil der Routingeinträge und kann Netzwerk- sowie Remotesitzungen unterbrechen. Der Befehl darf nicht als allgemeiner Reparaturversuch verwendet werden.

13. ARP-Cache und IPv4-Nachbartabelle prüfen

ARP ordnet IPv4-Adressen im lokalen Segment den zugehörigen MAC-Adressen zu.

ARP-Cache aller Interfaces anzeigen

Kennzeichnung: [RO][SENS]

arp -a

Ein bestimmtes Ziel anzeigen

arp -a 192.0.2.25

Tabelle eines bestimmten Interfaces anzeigen

arp -a -N <Lokale-Interface-IP>

Ausgabe interpretieren

Gezielte Prüfung

Zuerst das lokale Ziel ansprechen:

ping 192.0.2.25

Danach ARP-Tabelle prüfen:

arp -a 192.0.2.25

Wenn das Ziel im selben IPv4-Subnetz liegt, aber trotz eines Kommunikationsversuchs keine passende MAC-Adresse gelernt wird, sollten unter anderem geprüft werden:

• VLAN-Zuordnung;
• Switchport;
• Kabel oder WLAN;
• falsche Subnetzmaske;
• Zielsystem ausgeschaltet;
• ARP-Filterung;
• Duplicate Address;
• Security-Funktionen wie Dynamic ARP Inspection;
• virtuelle Switches und Bridges.

ARP-Eintrag löschen

Kennzeichnung: [PRIV][CHANGE]

arp -d 192.0.2.25

Der Eintrag sollte erst gelöscht werden, nachdem sein vorheriger Zustand dokumentiert wurde.

Das Löschen erzwingt bei der nächsten Kommunikation eine neue ARP-Auflösung. Es beweist jedoch nicht, warum ein vorheriger Eintrag falsch oder veraltet war.

IPv6 beachten

arp gilt für IPv4. IPv6 verwendet Neighbor Discovery.

IPv6-Nachbarn anzeigen:

netsh interface ipv6 show neighbors

14. DNS mit nslookup prüfen

nslookup kann DNS-Server direkt abfragen und unterstützt einen nicht interaktiven sowie einen interaktiven Modus.

Einzelnen Namen mit dem Standard-DNS-Server abfragen

Kennzeichnung: [TEST][SENS]

nslookup server.example.test

Bestimmten DNS-Server abfragen

nslookup server.example.test 192.0.2.53

So können Antworten unterschiedlicher DNS-Server miteinander verglichen werden.

IPv4-A-Record abfragen

nslookup -type=A server.example.test 192.0.2.53

IPv6-AAAA-Record abfragen

nslookup -type=AAAA server.example.test 192.0.2.53

Mailserver abfragen

nslookup -type=MX example.test 192.0.2.53

Nameserver einer Zone abfragen

nslookup -type=NS example.test 192.0.2.53

TXT-Record abfragen

nslookup -type=TXT example.test 192.0.2.53

SRV-Record abfragen

nslookup -type=SRV _ldap._tcp.dc._msdcs.example.test 192.0.2.53

Reverse Lookup ausführen

nslookup 192.0.2.25 192.0.2.53

Dabei wird nach einem PTR-Record gesucht.

Interaktiven Modus starten

nslookup

Beispiel innerhalb des interaktiven Modus:

server 192.0.2.53
set type=AAAA
server.example.test
exit

Ausgabe interpretieren

Wichtige Einschränkung

Eine erfolgreiche nslookup-Abfrage beweist nicht, dass eine Anwendung denselben Namen auf dieselbe Weise auflöst.

Zusätzlich relevant sein können:

• Windows-DNS-Clientcache;
• hosts-Datei;
• DNS-Suffixsuchliste;
• VPN-Namensauflösung;
• Split-DNS;
• DoH in einem Browser;
• Proxyauflösung;
• anwendungseigener DNS-Cache;
• NetBIOS oder LLMNR.

Die Anwendung sollte deshalb anschließend ebenfalls direkt getestet werden.

15. NetBIOS-Namensauflösung mit nbtstat prüfen

nbtstat ist hauptsächlich für ältere beziehungsweise weiterhin verwendete NetBIOS-over-TCP/IP-Umgebungen relevant.

Lokale NetBIOS-Namenstabelle anzeigen

Kennzeichnung: [RO][SENS]

nbtstat /n

NetBIOS-Namenscache anzeigen

nbtstat /c

Remote-Tabelle über den NetBIOS-Namen abfragen

Kennzeichnung: [TEST][SENS]

nbtstat /a <Remote-NetBIOS-Name>

Remote-Tabelle über die IPv4-Adresse abfragen

nbtstat /A 192.0.2.25

Groß- und Kleinschreibung der Optionen ist hier wichtig:

nbtstat sollte nur verwendet werden, wenn NetBIOS, WINS, ältere SMB-Namensauflösung oder eine entsprechende Legacy-Anwendung tatsächlich relevant ist.

16. Verbindungen, Listener und Ports mit netstat prüfen

Aktive TCP-Verbindungen anzeigen

Kennzeichnung: [RO][SENS]

netstat

Alle Verbindungen und Listener numerisch anzeigen

netstat -an

Verbindungen, Listener und Prozess-IDs anzeigen

netstat -ano

Bedeutung:

Ausführbare Programme anzeigen

Kennzeichnung: [RO][PRIV][SENS]

netstat -abno

-b kann langsam sein und benötigt ausreichende Rechte.

Nach einem Port filtern

Kennzeichnung: [RO][SENS]

netstat -ano | findstr ":443"

Achtung

Die Suche findet :443 sowohl bei lokalen als auch bei entfernten Adressen. Das Ergebnis muss anhand der Spalte Local Address beziehungsweise Foreign Address bewertet werden.

Nur Listener suchen

netstat -ano | findstr "LISTENING"

Auf einem deutschsprachigen Windows kann die Zustandsbezeichnung lokalisiert ausgegeben werden. Für zuverlässig automatisierbare Abfragen sind die PowerShell-Cmdlets der nächsten Seite besser geeignet.

Prozess zu einer PID suchen

tasklist /FI "PID eq 1234"

Wenn mehrere Windows-Dienste von einem gemeinsamen svchost.exe-Prozess gehostet werden:

tasklist /SVC /FI "PID eq 1234"

Protokollstatistiken anzeigen

netstat -s

Ethernet- und Protokollstatistiken anzeigen

netstat -e -s

Routingtabelle über netstat anzeigen

netstat -r

Das entspricht funktional weitgehend:

route print

Ausgabe regelmäßig aktualisieren

netstat -ano 5

Die Ausgabe wird alle fünf Sekunden aktualisiert. Mit Strg + C wird die Wiederholung beendet.

17. TCP-Zustände interpretieren

Ein einzelner Zustand ist selten ausreichend. Entscheidend sind:

• Anzahl;
• Dauer;
• betroffene lokale und entfernte Endpunkte;
• zugehöriger Prozess;
• Entwicklung während der Störung;
• Vergleich mit einem funktionierenden System.

18. Netzwerkinterfaces mit netsh prüfen

Status aller Netzwerkinterfaces anzeigen

Kennzeichnung: [RO]

netsh interface show interface

Typische Felder:

IPv4-Interfaces anzeigen

netsh interface ipv4 show interfaces

IPv6-Interfaces anzeigen

netsh interface ipv6 show interfaces

IPv4-Konfiguration anzeigen

netsh interface ipv4 show config

IPv4-Adressen anzeigen

netsh interface ipv4 show addresses

IPv4-Routen anzeigen

netsh interface ipv4 show route

IPv4-Nachbarn anzeigen

netsh interface ipv4 show neighbors

IPv6-Adressen anzeigen

netsh interface ipv6 show addresses

IPv6-Routen anzeigen

netsh interface ipv6 show route

IPv6-Nachbarn anzeigen

netsh interface ipv6 show neighbors

Subinterfaces und MTU anzeigen

netsh interface ipv4 show subinterfaces

Diese Ausgabe ist unter anderem für folgende Probleme hilfreich:

• falsche MTU;
• VPN- oder Tunnelinterface;
• mehrere aktive Adapter;
• unerwartete Interface-Metrik;
• falsche Nachbarzuordnung;
• IPv4 funktioniert, IPv6 nicht;
• Datenverkehr verwendet ein virtuelles Interface.

19. WLAN mit netsh untersuchen

Aktuelle WLAN-Verbindung anzeigen

Kennzeichnung: [RO][SENS]

netsh wlan show interfaces

Mögliche Angaben:

• Name des WLAN-Interfaces;
• Beschreibung und Treiber;
• Status;
• SSID;
• BSSID;
• verwendeter Funkstandard;
• Authentifizierung;
• Verschlüsselung;
• Kanal;
• Empfangs- und Senderate;
• Signalstärke;
• Profilname.

WLAN-Treiber und Fähigkeiten anzeigen

netsh wlan show drivers

Damit lassen sich unter anderem prüfen:

• unterstützte Funktypen;
• unterstützte Authentifizierungsverfahren;
• unterstützte Verschlüsselungsverfahren;
• Treiberversion;
• Hersteller;
• Datum des Treibers;
• unterstützte WLAN-Funktionen.

Sichtbare WLANs anzeigen

Kennzeichnung: [TEST][SENS]

netsh wlan show networks

Sichtbare WLANs einschließlich BSSIDs anzeigen

netsh wlan show networks mode=bssid

Damit können unter anderem verglichen werden:

• SSID;
• BSSID des Access Points;
• Signalstärke;
• Kanal;
• Authentifizierung;
• Verschlüsselung;
• mehrere Access Points derselben SSID.

Gespeicherte WLAN-Profile anzeigen

Kennzeichnung: [RO][SENS]

netsh wlan show profiles

Bestimmtes WLAN-Profil anzeigen

netsh wlan show profile name="<Profilname>"

Die Liste gespeicherter SSIDs kann sensible Informationen über Standorte oder interne Netzwerknamen enthalten.

WLAN-Bericht erzeugen

Kennzeichnung: [FILE][SENS]

netsh wlan show wlanreport

Windows erzeugt einen HTML-Bericht und zeigt den Speicherort in der Ausgabe an.

Der Bericht kann Informationen enthalten über:

• WLAN-Sitzungen;
• Verbindungsabbrüche;
• Verbindungsdauer;
• Fehlergründe;
• Netzwerkadapter;
• Treiber;
• gespeicherte oder verwendete Netzwerke;
• Systemereignisse.

Der Bericht ist als sensible Diagnosedatei zu behandeln.

Typische WLAN-Auffälligkeiten

20. Proxykonfiguration prüfen

WinHTTP-Proxy anzeigen

Kennzeichnung: [RO][SENS]

netsh winhttp show proxy

Der Befehl zeigt die Proxykonfiguration für Anwendungen und Dienste an, die WinHTTP verwenden.

Mögliche Ausgaben:

• direkter Zugriff ohne Proxy;
• Proxyserver;
• Proxyport;
• Bypass-Liste.

Wichtige Einschränkung

Die WinHTTP-Konfiguration ist nicht automatisch identisch mit:

• Browser-Proxyeinstellungen;
• benutzerspezifischen Systemeinstellungen;
• PAC-Dateien;
• Proxykonfiguration einer Anwendung;
• Umgebungsvariablen;
• VPN- oder Security-Agent-Konfigurationen.

Ein funktionierender Browser beweist daher nicht, dass ein Windows-Dienst mit WinHTTP ebenfalls den richtigen Proxy verwendet.

Nicht ungeprüft ausführen

Folgende Befehle verändern die Proxykonfiguration:

netsh winhttp set proxy
netsh winhttp reset proxy
netsh winhttp import proxy

Sie benötigen eine begründete Änderung, eine dokumentierte Ausgangskonfiguration und einen Rückfallplan.

21. Windows-Firewallstatus prüfen

Status aller Firewallprofile anzeigen

Kennzeichnung: [RO]

netsh advfirewall show allprofiles state

Aktuelles Firewallprofil anzeigen

netsh advfirewall show currentprofile

Firewallrichtlinie des aktuellen Profils anzeigen

netsh advfirewall show currentprofile firewallpolicy

Protokollierung des aktuellen Profils anzeigen

netsh advfirewall show currentprofile logging

Zu prüfen sind:

• aktives Profil;
• Firewallstatus;
• Standardaktion für eingehende Verbindungen;
• Standardaktion für ausgehende Verbindungen;
• Protokollierung verworfener Verbindungen;
• Speicherort des Firewalllogs;
• Gruppenrichtlinien oder zentrale Verwaltung.

Firewall nicht pauschal deaktivieren

Das vollständige Ausschalten der Firewall ist kein geeigneter erster Diagnosetest.

Besser:

1. betroffenes Profil feststellen;
2. Richtung bestimmen;
3. Protokoll und Port bestimmen;
4. lokale und entfernte Adresse bestimmen;
5. passende Regeln und Logs prüfen;
6. nur bei Freigabe eine eng begrenzte temporäre Testregel verwenden;
7. Testregel anschließend wieder entfernen.

22. Diagnoseausgaben sichern

IP-Konfiguration exportieren

Kennzeichnung: [RO][FILE][SENS]

ipconfig /all > "<Ausgabepfad>\ipconfig-all.txt"

Routingtabelle exportieren

route print > "<Ausgabepfad>\route-print.txt"

ARP-Tabelle exportieren

arp -a > "<Ausgabepfad>\arp-cache.txt"

Verbindungen und Listener exportieren

netstat -ano > "<Ausgabepfad>\netstat-ano.txt"

Pfadtest exportieren

Kennzeichnung: [TEST][FILE][SENS]

tracert /d 192.0.2.25 > "<Ausgabepfad>\tracert.txt"

Standardausgabe und Fehlermeldungen gemeinsam sichern

pathping /n 192.0.2.25 > "<Ausgabepfad>\pathping.txt" 2>&1

An eine vorhandene Datei anhängen

ipconfig /all >> "<Ausgabepfad>\netzdiagnose.txt"

Bedeutung:

Vor dem Überschreiben einer vorhandenen Diagnosedatei muss geprüft werden, ob sie noch benötigt wird.

23. Kompakter Erfassungsblock

Die folgenden Befehle verändern keine Netzwerkkonfiguration. Die Ausgabe kann jedoch sensible Informationen enthalten.

hostname
getmac /v
ipconfig /all
route print
arp -a
netstat -ano
netsh interface show interface
netsh interface ipv4 show neighbors
netsh interface ipv6 show neighbors
netsh winhttp show proxy
netsh advfirewall show allprofiles state

Bei WLAN-Systemen zusätzlich:

netsh wlan show interfaces
netsh wlan show drivers
netsh wlan show profiles

Diese Sammlung ist nur eine Bestandsaufnahme. Sie ersetzt keine gezielte Bewertung der Ergebnisse.

24. Diagnosepfade für häufige Fehlerbilder

Fehlerbild: Keine Netzwerkverbindung

netsh interface show interface
ipconfig /all
route print
arp -a

Prüfen:

• Adapter administrativ aktiviert?
• Medium verbunden?
• gültige IP-Adresse?
• Standardgateway vorhanden?
• DNS-Server vorhanden?
• APIPA-Adresse?
• passende Route vorhanden?

Fehlerbild: IP-Adresse vorhanden, aber kein Internet

ipconfig /all
ping <Gateway-IP>
ping /4 <Bekannte-Ziel-IP>
nslookup <Bekannter-Zielname>
tracert /d <Bekannte-Ziel-IP>
netsh winhttp show proxy
netsh advfirewall show currentprofile

Auswertung:

Fehlerbild: DNS funktioniert nicht

ipconfig /all
ipconfig /displaydns
nslookup server.example.test
nslookup server.example.test 192.0.2.53
ping /4 server.example.test
ping /6 server.example.test

Prüfen:

• korrekte DNS-Server?
• antworten alle eingetragenen DNS-Server?
• unterschiedliche Antworten je DNS-Server?
• A- und AAAA-Record korrekt?
• negativer Cacheeintrag?
• falsches DNS-Suffix?
• Split-DNS oder VPN relevant?
• hosts-Datei oder Anwendungscache relevant?

Fehlerbild: Ein lokaler Dienst ist nicht erreichbar

netstat -ano | findstr ":443"
tasklist /FI "PID eq <PID>"
netsh advfirewall show currentprofile

Prüfen:

• existiert ein LISTENING-Eintrag?
• lauscht der Dienst auf der erwarteten Adresse?
• lauscht er nur auf 127.0.0.1 oder ::1?
• stimmt der Port?
• stimmt die PID mit dem erwarteten Prozess überein?
• ist die Firewallregel für das aktive Profil gültig?

Der Test eines entfernten TCP-Ports folgt auf der nächsten Seite mit Test-NetConnection.

Fehlerbild: Verbindung ist langsam oder instabil

ping /n 50 <Gateway-IP>
ping /n 50 <Ziel-IP>
tracert /d <Ziel-IP>
pathping /n <Ziel-IP>
netstat -e -s

Bei WLAN zusätzlich:

netsh wlan show interfaces
netsh wlan show networks mode=bssid
netsh wlan show wlanreport

Prüfen:

• Verlust bereits zum Gateway?
• nur entferntes Ziel betroffen?
• steigende Latenz ab bestimmtem Abschnitt?
• schwankendes WLAN-Signal?
• Kanal oder BSSID wechseln?
• Fehlerzähler steigen während der Störung?
• ist nur ICMP oder auch die Anwendung betroffen?

Fehlerbild: Nur IPv4 oder nur IPv6 funktioniert

ipconfig /all
ping /4 server.example.test
ping /6 server.example.test
tracert /4 server.example.test
tracert /6 server.example.test
route print
netsh interface ipv4 show route
netsh interface ipv6 show route
netsh interface ipv6 show neighbors

Prüfen:

• A- und AAAA-Record vorhanden?
• IPv6-Adresse außer Link-Local vorhanden?
• IPv6-Default-Route vorhanden?
• Router Advertisements funktionieren?
• VPN oder Firewall behandelt IPv4 und IPv6 unterschiedlich?
• Anwendung bevorzugt einen nicht funktionierenden IPv6-Pfad?

25. Typische Fehlinterpretationen

26. Befehle mit besonderer Vorsicht

Vor diesen Befehlen müssen Ausgangszustand, Auswirkung und Rückfallplan dokumentiert werden.

27. Grenzen der klassischen Windows-Befehle

Die klassischen Befehle sind schnell verfügbar und eignen sich gut für eine erste Diagnose. Sie haben jedoch einige Einschränkungen:

• Ausgaben sind teilweise sprachabhängig;
• Textausgaben sind für Automatisierung schlechter geeignet;
• komplexe Filterungen sind umständlich;
• IPv4- und IPv6-Informationen sind teilweise getrennt;
• strukturierte Weiterverarbeitung ist begrenzt;
• ein beliebiger entfernter TCP-Port lässt sich mit den klassischen Grundbefehlen nicht so bequem testen;
• mehrere Adapter und Routen sind in Textausgaben schwerer vergleichbar.

Für strukturierte und gezielte Windows-Diagnosen folgt deshalb:

2.2 PowerShell-Netzwerkdiagnose

Quellen und weiterführende Dokumentation

• Microsoft Learn – hostname:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/hostname

• Microsoft Learn – getmac:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/getmac

• Microsoft Learn – ipconfig:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/ipconfig

• Microsoft Learn – Automatic Private IP Addressing:
  https://learn.microsoft.com/en-us/windows-server/troubleshoot/how-to-use-automatic-tcpip-addressing-without-a-dh

• Microsoft Learn – ping:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/ping

• Microsoft Learn – tracert:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/tracert

• Microsoft Learn – pathping:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/pathping

• Microsoft Learn – route:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/route_ws2008

• Microsoft Learn – arp:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/arp

• Microsoft Learn – nslookup:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/nslookup

• Microsoft Learn – nbtstat:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/nbtstat

• Microsoft Learn – netstat:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netstat

• Microsoft Learn – TCP-Zustände:
  https://learn.microsoft.com/en-us/windows/win32/api/mstcpip/ne-mstcpip-tcpstate

• Microsoft Learn – tasklist:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/tasklist

• Microsoft Learn – findstr:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/findstr

• Microsoft Learn – Network Shell netsh:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh

• Microsoft Learn – netsh interface:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh-interface

• Microsoft Learn – netsh wlan:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh-wlan

• Microsoft Learn – netsh winhttp:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh-winhttp

• Microsoft Learn – netsh advfirewall:
  https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/netsh-advfirewall

2.2 PowerShell-Netzwerkdiagnose

PowerShell stellt Netzwerkdaten als strukturierte Objekte bereit. Dadurch lassen sich Informationen gezielt filtern, sortieren, vergleichen und exportieren.

Die Cmdlets dieser Seite gehören zu Windows-Modulen wie NetAdapter, NetTCPIP, DnsClient und NetSecurity. Sie sind für die Netzwerkdiagnose unter Windows vorgesehen.

Kennzeichnungen

Für die erste Diagnose möglichst mit [RO]-Befehlen beginnen. Veränderungen sollten erst erfolgen, wenn die Ursache ausreichend eingegrenzt und eine Rückfallmöglichkeit vorhanden ist.

Get-NetIPConfiguration -All |
    Select-Object InterfaceAlias,
                  InterfaceDescription,
                  NetProfile,
                  IPv4Address,
                  IPv6Address,
                  IPv4DefaultGateway,
                  DNSServer

Resolve-DnsName example.com -DnsOnly
Resolve-DnsName example.com -Server 192.0.2.53 -DnsOnly
Resolve-DnsName example.com -Server 1.1.1.1 -DnsOnly

Get-NetTCPConnection -State Listen |
    Select-Object LocalAddress,
                  LocalPort,
                  OwningProcess,
                  @{
                      Name = "ProcessName"
                      Expression = {
                          (Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue).ProcessName
                      }
                  } |
    Sort-Object LocalPort

Get-NetTCPConnection -State Established |
    Select-Object LocalAddress,
                  LocalPort,
                  RemoteAddress,
                  RemotePort,
                  OwningProcess,
                  @{
                      Name = "ProcessName"
                      Expression = {
                          (Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue).ProcessName
                      }
                  }

$Vorher = Get-NetTCPConnection
Start-Sleep -Seconds 10
$Nachher = Get-NetTCPConnection

Compare-Object $Vorher $Nachher -Property State, LocalAddress, LocalPort, RemoteAddress, RemotePort

Get-NetAdapter |
    Select-Object Name, Status, LinkSpeed, MacAddress, ifIndex

Get-NetIPConfiguration -All

Get-NetRoute -DestinationPrefix "0.0.0.0/0"
Get-DnsClientServerAddress

Test-NetConnection 192.0.2.1 -InformationLevel Detailed

Test-NetConnection 1.1.1.1 -InformationLevel Detailed

Resolve-DnsName example.com -DnsOnly

Test-NetConnection example.com -Port 443 -InformationLevel Detailed

Find-NetRoute -RemoteIPAddress 1.1.1.1
Test-NetConnection example.com -TraceRoute

Get-NetTCPConnection -State Listen |
    Sort-Object LocalPort

Get-NetFirewallProfile
Get-NetFirewallRule -Enabled True |
    Select-Object DisplayName, Direction, Action, Profile

Kurzreferenz

Merksatz

PowerShell-Netzwerkdiagnose bedeutet nicht, möglichst viele Befehle auszuführen. Entscheidend ist, die Ergebnisse als zusammenhängende Beweiskette auszuwerten: Adapter → IP-Konfiguration → Gateway → Route → DNS → Zielport → lokaler Dienst → Firewall.

Quellen

• Microsoft Learn – NetAdapter-Modul
• Microsoft Learn – NetTCPIP-Modul
• Microsoft Learn – DnsClient-Modul
• Microsoft Learn – NetSecurity-Modul
• Microsoft Learn – Test-NetConnection
• Microsoft Learn – Resolve-DnsName
• Microsoft Learn – Windows-Firewall über die Befehlszeile verwalten

2.3 Linux-Netzwerkbefehle

Linux stellt für die Netzwerkdiagnose verschiedene Werkzeuge bereit. Welche Befehle verfügbar sind, hängt von Distribution, Installation und verwendeter Netzwerkverwaltung ab.

Die wichtigsten Werkzeuggruppen sind:

• iproute2 mit ip und ss
• iputils mit ping und tracepath
• DNS-Werkzeuge wie resolvectl, dig, host und getent
• NetworkManager mit nmcli
• systemd-networkd mit networkctl
• Treiber- und Linkdiagnose mit ethtool
• Socket- und Prozessdiagnose mit ss, lsof und fuser
• Firewallanalyse mit nft, iptables, ufw oder firewall-cmd
• Protokollanalyse mit journalctl und dmesg

Kennzeichnungen

Vor Veränderungen sollten zunächst die lesenden [RO]-Befehle verwendet und deren Ergebnisse dokumentiert werden.

default via 192.0.2.1 dev enp1s0 proto dhcp src 192.0.2.10 metric 100
192.0.2.0/24 dev enp1s0 proto kernel scope link src 192.0.2.10 metric 100

sudo ss -lntup

nc -vz -w 3 example.com 443

ip -brief address show > addresses-vorher.txt
ip route show table all > routes-vorher.txt

# Messung oder freigegebene Änderung durchführen

ip -brief address show > addresses-nachher.txt
ip route show table all > routes-nachher.txt

diff -u addresses-vorher.txt addresses-nachher.txt
diff -u routes-vorher.txt routes-nachher.txt

cat /etc/os-release
systemctl is-active NetworkManager
systemctl is-active systemd-networkd

ip -brief link show
ip -statistics link show

ip -brief address show

ip route show default
ip route get 1.1.1.1
ip rule show

ip neighbour show

ping -c 4 192.0.2.1

ping -c 4 1.1.1.1

cat /etc/resolv.conf
resolvectl status

getent hosts example.com
dig example.com

nc -vz -w 3 example.com 443

sudo ss -lntup

tracepath example.com
mtr --report --numeric --report-cycles 20 example.com

sudo nft list ruleset

sudo journalctl -u NetworkManager --since "30 minutes ago"
sudo journalctl -kernel --since "30 minutes ago"

Kurzreferenz

Veraltete und moderne Befehle

Ältere Werkzeuge können weiterhin installiert sein. Für neue Dokumentationen und aktuelle Linux-Systeme sollten grundsätzlich die iproute2-Werkzeuge verwendet werden.

Merksatz

Die Linux-Netzwerkdiagnose folgt einer festen Kette: Schnittstelle → Link → IP-Adresse → Nachbartabelle → Route → Gateway → DNS → Zielport → lokaler Dienst → Firewall → Protokolle.

Quellen

• Linux-Manpage – ip
• Linux-Manpage – ip-address
• Linux-Manpage – ip-link
• Linux-Manpage – ip-route
• Linux-Manpage – ip-neighbour
• Linux-Manpage – ss
• Linux-Manpage – ping
• NetworkManager-Dokumentation – nmcli
• NetworkManager-Dokumentation – nmcli-Beispiele
• systemd-Dokumentation – networkctl
• systemd-Dokumentation – resolvectl
• systemd-Dokumentation – journalctl

2.4 macOS-Netzwerkdiagnose

macOS basiert auf Darwin und stellt zahlreiche BSD- und Apple-spezifische Netzwerkwerkzeuge bereit. Einige Befehle ähneln Linux-Kommandos, verwenden aber teilweise andere Optionen und Ausgabeformate.

Wichtige macOS-Werkzeuge sind:

• networksetup für Netzwerkdienste und deren Konfiguration
• scutil für System Configuration, DNS, Proxys und Netzwerkstatus
• ifconfig für Netzwerkschnittstellen
• route und netstat für Routingtabellen
• arp und ndp für Nachbartabellen
• ping und traceroute für Erreichbarkeit und Netzwerkpfade
• dig, host und dscacheutil für DNS
• wdutil und Wireless Diagnostics für WLAN
• networkQuality für Kapazität und Reaktionsfähigkeit
• lsof, netstat und nc für Ports und Verbindungen
• log für das Unified Logging System
• socketfilterfw und pfctl für die Firewalldiagnose

Kennzeichnungen

Vor Änderungen sollten Netzwerkdienst, Schnittstelle, IP-Konfiguration, Route, DNS-Server und aktive VPN- beziehungsweise Proxykonfiguration dokumentiert werden.

ifconfig -a > interfaces-vorher.txt
netstat -rn > routes-vorher.txt
scutil --dns > dns-vorher.txt

# Messung oder freigegebene Änderung durchführen

ifconfig -a > interfaces-nachher.txt
netstat -rn > routes-nachher.txt
scutil --dns > dns-nachher.txt

diff -u interfaces-vorher.txt interfaces-nachher.txt
diff -u routes-vorher.txt routes-nachher.txt
diff -u dns-vorher.txt dns-nachher.txt

networksetup -getinfo "Wi-Fi"
ifconfig en0
route -n get default
scutil --dns
ping -c 4 192.0.2.1
ping -c 4 1.1.1.1
dig example.com
nc -vz -w 3 example.com 443

sw_vers

networksetup -listallhardwareports
networksetup -listnetworkserviceorder

ifconfig -a
netstat -ibn

networksetup -getinfo "Wi-Fi"
ipconfig getifaddr en0

route -n get default
route -n get 1.1.1.1

arp -an
ndp -an

ping -c 4 192.0.2.1

ping -c 4 1.1.1.1

scutil --dns
networksetup -getdnsservers "Wi-Fi"

dscacheutil -q host -a name example.com
dig example.com

scutil --proxy
scutil --nwi
ifconfig -l | tr ' ' '\n' | grep '^utun'

nc -vz -w 3 example.com 443

sudo lsof -nP -iTCP -sTCP:LISTEN

traceroute -n example.com

networkQuality -v

/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
sudo pfctl -s info
sudo log show --last 30m --style compact

Kurzreferenz

Veraltete beziehungsweise nicht mehr zuverlässige Werkzeuge

Merksatz

Die macOS-Netzwerkdiagnose folgt der Kette: Netzwerkdienst → Schnittstelle → Link → IP-Adresse → Nachbartabelle → Route → Gateway → DNS → Proxy/VPN → Zielport → lokaler Dienst → Firewall → Protokolle.

Quellen

• Apple Support – Internetverbindungsprobleme auf dem Mac lösen
• Apple Support – Netzwerkstatus auf dem Mac prüfen
• Apple Support – Wireless Diagnostics verwenden
• Apple Support – Wi-Fi-Statusmenü verwenden
• Apple Support – Wi-Fi-Einstellungen auf dem Mac
• Apple Support – Informationen zu networksetup
• Apple Support – Terminal-Benutzerhandbuch
• Lokale Apple-Manpages: man networksetup, man scutil, man ifconfig, man route, man netstat, man arp, man ndp, man ping, man traceroute, man networkQuality, man pfctl

2.5 Wireshark und TShark – Netzwerkverkehr aufzeichnen und analysieren

Ziel dieser Seite

Wireshark und TShark ermöglichen die detaillierte Untersuchung des Netzwerkverkehrs. Sie helfen unter anderem bei der Analyse von:

• Verbindungsabbrüchen;
• langsamen Netzwerkverbindungen;
• DNS-Problemen;
• TCP-Verbindungsfehlern;
• Paketverlusten und Übertragungswiederholungen;
• DHCP-Problemen;
• TLS-Verbindungsabbrüchen;
• fehlerhaften Anwendungen und Protokollen;
• Kommunikationsproblemen zwischen Clients und Servern.

Ein Paketmitschnitt sollte erst dann begonnen werden, wenn die betroffenen Systeme, der ungefähre Fehlerzeitpunkt und der erwartete Kommunikationsweg bekannt sind.

Wichtig: Paketmitschnitte dürfen ausschließlich in Netzwerken und auf Systemen durchgeführt werden, für die eine entsprechende Berechtigung vorliegt. Aufzeichnungen können Benutzernamen, IP-Adressen, DNS-Anfragen, Sitzungsinformationen und unverschlüsselte Anwendungsdaten enthalten.

Kennzeichnungen

1. Was ist der Unterschied zwischen Wireshark, TShark und Dumpcap?

2. Welche Voraussetzungen müssen vor einem Paketmitschnitt geprüft werden?

3. Wie wird die richtige Netzwerkschnittstelle ausgewählt?

[RO] tshark -D

[RO] dumpcap -D

1. \Device\NPF_{...} (Ethernet)
2. \Device\NPF_{...} (WLAN)
3. \Device\NPF_Loopback (Adapter for loopback traffic capture)

1. enp0s31f6
2. wlan0
3. lo

1. en0
2. en1
3. lo0

[TEST][PRIV] tshark -i 1

[TEST][PRIV] tshark -i en0

4. Wie wird mit Wireshark ein kontrollierter Mitschnitt erstellt?

5. Was ist der Unterschied zwischen Capture-Filter und Display-Filter?

tcp port 443

tcp.port == 443

6. Welche Capture-Filter werden häufig verwendet?

[TEST][PRIV][FILE][SENS] tshark -i 1 -f "host 198.51.100.20 and tcp port 443" -a duration:60 -w https-test.pcapng

7. Welche Display-Filter werden häufig verwendet?