2.4 MACos-Netzwerkdiagnose

Hinweis zu macOS-Versionen

Nicht jedes Werkzeug steht in jeder macOS-Version zur Verfügung:

• networkQuality ist auf aktuellen macOS-Versionen vorhanden.
• wdutil ist auf aktuellen macOS-Versionen das Kommandozeilenwerkzeug für WLAN-Diagnosedaten.
• Das frühere private airport-Werkzeug ist auf aktuellen macOS-Versionen nicht mehr als zuverlässiger Standard verfügbar.
• Optionen und Ausgaben können sich zwischen macOS-Versionen ändern.

Unter macOS muss zwischen einem Netzwerkdienst und der technischen Schnittstelle unterschieden werden.

Beispiele:

Zuordnung prüfen

Wichtiger Unterschied

• Wi-Fi ist normalerweise der Name eines Netzwerkdienstes.
• en0 ist der Name einer technischen Netzwerkschnittstelle.
• networksetup erwartet je nach Option entweder einen Dienstnamen oder einen Gerätenamen.
• Der Gerätename darf nicht anhand eines anderen Macs geraten werden.

Vor jedem Befehl mit en0, en1 oder einem Dienstnamen muss die tatsächliche Zuordnung mit networksetup -listallhardwareports geprüft werden.

Wichtige Angaben von ifconfig

Typische Fehlerbilder

Prüfpunkte

• Wurde die erwartete IPv4-Adresse vergeben?
• Stimmt die Subnetzmaske?
• Ist der Router korrekt?
• Ist der erwartete DHCP-Server sichtbar?
• Sind DNS-Server vorhanden?
• Befindet sich die Adresse im Bereich 169.254.0.0/16?
• Existieren mehrere aktive Schnittstellen mit konkurrierenden Routen?
• Ist ein VPN aktiv, das die Routenauswahl verändert?

ipconfig getpacket zeigt die zuletzt erhaltenen DHCP-Informationen. Die Ausgabe kann interne Netzwerkinformationen enthalten.

Wichtige Angaben von route -n get

Wichtige Flags der Routingtabelle

Typische Fehlerbilder

• Standardroute fehlt.
• Standardroute verwendet die falsche Schnittstelle.
• VPN- oder utun-Schnittstelle übernimmt die Route.
• Ethernet und WLAN sind gleichzeitig aktiv und besitzen konkurrierende Wege.
• Die Reihenfolge der Netzwerkdienste entspricht nicht der erwarteten Priorität.
• Eine spezifischere Route überschreibt den allgemeinen Weg.

Typische Beobachtungen

Ein fehlender ARP-Eintrag beweist nicht automatisch einen Fehler. Ein Eintrag entsteht normalerweise erst, wenn das Ziel angesprochen wurde.

Wichtige Ergebnisse

Interpretation

Auswertung

• Ein einzelner Hop ohne Antwort beweist keinen Fehler.
• Router können Diagnosepakete ignorieren und Nutzdaten trotzdem weiterleiten.
• Mehrere unterschiedliche Hops können durch Load Balancing entstehen.
• Entscheidend ist, ob das Ziel erreicht wird.
• Ein Abbruch ab einem bestimmten Hop kann auf Routing, Firewall oder eine Netzstörung hinweisen.
• Unterschiedliche Protokolle können unterschiedliche Pfade beziehungsweise Antworten zeigen.

scutil --dns zeigt die tatsächlich vom macOS-System verwendete Resolverkonfiguration. Die Ausgabe kann mehrere Resolver für verschiedene Domänen und Schnittstellen enthalten.

Warum kann macOS mehrere Resolver anzeigen?

macOS kann Resolver abhängig von folgenden Faktoren auswählen:

• Netzwerkdienst
• VPN-Verbindung
• Suchdomäne
• Split-DNS-Konfiguration
• verwaltetes Konfigurationsprofil
• iCloud Private Relay
• Network Extension
• lokale Hosts-Datei
• Anwendungsinterner DNS-Resolver

Typische Fehlerbilder

Für die tatsächliche Resolverauswahl von macOS ist scutil --dns normalerweise aussagekräftiger als eine isolierte Betrachtung einzelner Konfigurationsfelder.

Mögliche Einflussfaktoren

• Unternehmens-VPN
• Content-Filter
• Endpoint-Security-Software
• DNS-Filter
• Webproxy
• PAC-Datei
• iCloud Private Relay
• lokale Firewall
• Network Extension
• Sicherheitssoftware eines Drittanbieters

Typisches Fehlerbild

Zuordnung und Status

Vor der Verwendung von en0 muss die tatsächliche Wi-Fi-Schnittstelle mit networksetup -listallhardwareports bestimmt werden.

Wichtige WLAN-Werte

Signalbewertung als grobe Orientierung

RSSI-Werte allein beweisen keinen Fehler. Kanalbelegung, Störungen, Rauschen, Wiederholungen, Access-Point-Auslastung und Roaming müssen ebenfalls berücksichtigt werden.

Grafische Wireless Diagnostics öffnen

1. Wahltaste beziehungsweise Option gedrückt halten.
2. In der Menüleiste auf das Wi-Fi-Symbol klicken.
3. Wireless Diagnostics öffnen auswählen.
4. Anweisungen des Assistenten befolgen.

Wireless Diagnostics verändert laut Apple nicht die Netzwerksettings. Nach einer Analyse kann eine Diagnosedatei unter /var/tmp erzeugt werden. Der Dateiname beginnt mit WirelessDiagnostics und endet mit .tar.gz.

networkQuality misst nicht nur die verfügbare Kapazität, sondern auch die Reaktionsfähigkeit der Verbindung unter Last.

Typische Ergebnisfelder

Hinweise

• Die Messung erzeugt aktiven Netzwerkverkehr.
• Andere Benutzer und Anwendungen können das Ergebnis beeinflussen.
• WLAN- und Ethernet-Ergebnisse sollten getrennt betrachtet werden.
• Ein einzelner Test ist keine belastbare Langzeitmessung.
• Für Vergleiche sollten mehrere Messungen unter ähnlichen Bedingungen durchgeführt werden.
• VPN, Proxy, Filtersoftware und Private Relay können das Ergebnis beeinflussen.

Interpretation

Mögliche Ergebnisse

Bei UDP kann ein fehlendes Ergebnis nicht zuverlässig beweisen, dass ein Port offen oder geschlossen ist.

macOS besitzt verschiedene Sicherheitskomponenten:

• Application Firewall
• Packet Filter pf
• Network Extensions
• Content Filter und Endpoint-Security-Produkte

Application Firewall

Packet Filter

Prüfreihenfolge

1. Prüfen, ob der Dienst lokal auf dem erwarteten Port lauscht.
2. Bind-Adresse des Dienstes prüfen.
3. Application-Firewallstatus prüfen.
4. PF-Status und Regeln prüfen.
5. Network Extensions und Sicherheitssoftware berücksichtigen.
6. Port von einem autorisierten zweiten System testen.

Die Firewall nicht pauschal deaktivieren. Dadurch wird die Sicherheitslage verändert und das ursprüngliche Fehlerbild verfälscht.

macOS verwendet das Unified Logging System.

Prüfpunkte

• Exakter Zeitstempel der Störung
• Betroffene Schnittstelle
• DHCP-Ereignisse
• DNS-Fehler
• Verbindungsabbrüche
• WLAN-Roaming
• Authentifizierungsfehler
• VPN- oder Network-Extension-Ereignisse
• Interface-Wechsel
• Schlaf- und Aufwachereignisse

Das macOS-Protokoll kann private und sensible Inhalte maskieren. Mit Administratorrechten können dennoch schützenswerte System- und Netzwerkdaten sichtbar werden.

Zwei Zustände vergleichen

ifconfig -a > interfaces-vorher.txt
netstat -rn > routes-vorher.txt
scutil --dns > dns-vorher.txt

# Messung oder freigegebene Änderung durchführen

ifconfig -a > interfaces-nachher.txt
netstat -rn > routes-nachher.txt
scutil --dns > dns-nachher.txt

diff -u interfaces-vorher.txt interfaces-nachher.txt
diff -u routes-vorher.txt routes-nachher.txt
diff -u dns-vorher.txt dns-nachher.txt

Datenschutz

Diagnoseausgaben können enthalten:

• interne und externe IP-Adressen
• MAC-Adressen
• DNS-Suchdomänen
• WLAN-Namen und BSSIDs
• VPN- und Proxyinformationen
• Prozessnamen
• Benutzerinformationen
• installierte Network Extensions
• interne Netzwerkstrukturen

Vor einer Weitergabe müssen sensible Angaben redigiert werden.

Die folgenden Befehle verändern einen Zustand und können eine Remoteverbindung sofort unterbrechen.

en0 und Wi-Fi sind Beispiele. Vorher müssen die tatsächliche Schnittstelle und der tatsächliche Netzwerkdienst bestimmt werden.

Vor einem Eingriff prüfen

• Erfolgt der Zugriff lokal oder per Remotezugriff?
• Wird die aktive Managementverbindung unterbrochen?
• Ist die aktuelle manuelle IP-Konfiguration dokumentiert?
• Sind DNS-, Proxy- und VPN-Einstellungen gesichert?
• Ist ein lokaler Zugriff auf den Mac möglich?
• Wird der Mac durch MDM oder ein Konfigurationsprofil verwaltet?
• Existiert eine geeignete Rückfallmöglichkeit?

Rollback-Beispiele

Verifikation nach einer Änderung

networksetup -getinfo "Wi-Fi"
ifconfig en0
route -n get default
scutil --dns
ping -c 4 192.0.2.1
ping -c 4 1.1.1.1
dig example.com
nc -vz -w 3 example.com 443

Schritt 1 – macOS-Version erfassen

sw_vers

Schritt 2 – Netzwerkdienst und Schnittstelle zuordnen

networksetup -listallhardwareports
networksetup -listnetworkserviceorder

Schritt 3 – Schnittstellenstatus prüfen

ifconfig -a
netstat -ibn

Schritt 4 – IP-Konfiguration prüfen

networksetup -getinfo "Wi-Fi"
ipconfig getifaddr en0

Schritt 5 – Standardroute prüfen

route -n get default
route -n get 1.1.1.1

Schritt 6 – Nachbartabelle prüfen

arp -an
ndp -an

Schritt 7 – Standardgateway testen

ping -c 4 192.0.2.1

Schritt 8 – Externe IP-Adresse testen

ping -c 4 1.1.1.1

Schritt 9 – DNS-Konfiguration prüfen

scutil --dns
networksetup -getdnsservers "Wi-Fi"

Schritt 10 – DNS-Auflösung testen

dscacheutil -q host -a name example.com
dig example.com

Schritt 11 – Proxy und VPN prüfen

scutil --proxy
scutil --nwi
ifconfig -l | tr ' ' '\n' | grep '^utun'

Schritt 12 – Zielport testen

nc -vz -w 3 example.com 443

Schritt 13 – Lokale Ports prüfen

sudo lsof -nP -iTCP -sTCP:LISTEN

Schritt 14 – Netzwerkpfad prüfen

traceroute -n example.com

Schritt 15 – Netzwerkqualität messen

networkQuality -v

Schritt 16 – Firewall und Protokolle prüfen

/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
sudo pfctl -s info
sudo log show --last 30m --style compact

Diagnoselogik