Merksatz:

MAC = lokal.
IP = logisch.
Port = Dienst.
DNS = Anwendung.
Kabel = Signal.

Richtig ist:

C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen.

Begründung:

Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2
und leitet Ethernet-Frames anhand von MAC-Adressen weiter.

Richtig ist:

B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation.

Begründung:

Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten.
Das TCP/IP-Modell ist praxisnäher und wird zur Beschreibung realer Internetkommunikation genutzt.

Merksatz:

TCP/IP-Anwendung umfasst OSI-Sitzung,
Darstellung
und Anwendung.

Wahrscheinlich betroffen:

DNS

Begründung:

Wenn die IP-Adresse erreichbar ist,
aber der Name nicht funktioniert,
ist die Grundverbindung wahrscheinlich vorhanden.
Das Problem liegt wahrscheinlich bei der Namensauflösung.

IHK-sichere Antwort:

Da die IP-Adresse erreichbar ist,
der Name aber nicht aufgelöst wird,
sollte DNS geprüft werden.

Das ist eine APIPA-Adresse.

Bedeutung:

Der Client hat wahrscheinlich keine gültige IP-Adresse von einem DHCP-Server erhalten.

Typische Ursachen:

DHCP-Server nicht erreichbar
falsches VLAN
DHCP-Scope erschöpft
DHCP-Relay fehlt
Netzwerkverbindung fehlerhaft

Merksatz:

169.254.x.x deutet auf DHCP-Problem hin.

Zuerst prüfen:

Standardgateway

Weitere mögliche Ursachen:

Routing
NAT
Firewall
DNS bei Zugriff über Namen

Begründung:

Wenn lokale Kommunikation funktioniert,
aber externe Netze nicht erreichbar sind,
fehlt häufig der Weg aus dem eigenen Netz.

Merksatz:

Lokal ja,
extern nein:
Gateway prüfen.

Kapselung bedeutet:

Beim Senden werden Daten von Schicht zu Schicht weitergegeben
und jede Schicht ergänzt eigene Steuerinformationen.

Beispiel:

Anwendungsdaten
werden zu TCP-Segmenten,
IP-Paketen,
Ethernet-Frames
und schließlich Bits.

IHK-sichere Kurzformulierung:

Kapselung beschreibt das Verpacken von Daten durch die einzelnen Netzwerkschichten.
Jede Schicht ergänzt eigene Informationen,
die für die Kommunikation auf dieser Schicht benötigt werden.

Richtige Reihenfolge von oben nach unten:

Daten

Segment

Paket

Frame

Bits

Zuordnung:

Betroffen ist:

OSI-Schicht 1

Begründung:

Ein defektes Kabel betrifft die physische Signalübertragung.

Merksatz:

Kabel,
Stecker,
Funk
und Signal gehören zu Schicht 1.

Betroffen ist hauptsächlich:

OSI-Schicht 2

Begründung:

VLANs trennen Netzbereiche auf Layer 2.
Ein falsches VLAN kann dazu führen,
dass ein Gerät im falschen Broadcast-Bereich landet
oder eine falsche IP-Konfiguration erhält.

Betroffen ist:

OSI-Schicht 3

Begründung:

IP-Adresse,
Subnetzmaske,
Gateway
und Routing gehören zur Vermittlungsschicht.

Merksatz:

IP-Konfiguration ist Schicht 3.

Betroffen ist mindestens:

OSI-Schicht 4

Begründung:

TCP und Ports gehören zur Transportschicht.
TCP 443 ist der typische Port für HTTPS.

Wichtig:

Eine Firewall kann je nach Funktion auch auf mehreren Schichten arbeiten.

Betroffen ist hauptsächlich:

OSI-Schicht 6

Begründung:

TLS,
Zertifikate
Verschlüsselung
und Darstellung gehören zur Darstellungsschicht.

Merksatz:

Zertifikatsfehler:
Schicht 6.

Betroffen ist hauptsächlich:

OSI-Schicht 7

Begründung:

HTTP ist ein Anwendungsprotokoll.
Ein HTTP-500-Fehler deutet auf einen serverseitigen Anwendungsfehler hin.

Merksatz:

HTTP-Statuscodes gehören zur Anwendungsschicht.

Richtig ist:

B: ping prüft ICMP-Erreichbarkeit.

Begründung:

ping nutzt ICMP.
Ein erfolgreicher ping bedeutet nicht automatisch,
dass ein bestimmter Dienst wie HTTPS,
SSH
oder SMB funktioniert.

Merksatz:

ping ist kein Diensttest.

Authentifizierung:

Prüfung der Identität.

Beispiel:

Benutzer meldet sich mit Passwort und MFA an.

Autorisierung:

Prüfung der Berechtigung.

Beispiel:

Benutzer darf eine Datei lesen oder nicht.

Merksatz:

Authentifizierung:
Wer bist du?

Autorisierung:
Was darfst du?

Wahrscheinlicher ist:

Autorisierungsproblem

Begründung:

Die Anmeldung funktioniert bereits.
Das Problem liegt daher wahrscheinlich bei Berechtigungen,
Gruppen,
ACLs,
Freigaberechten
oder Dateisystemrechten.

Merksatz:

Login ja,
Zugriff nein:
Rechte prüfen.

TCP:

verbindungsorientiert
zuverlässig
bestätigt Daten
stellt Reihenfolge sicher
mehr Overhead

UDP:

verbindungslos
schneller
weniger Overhead
keine eingebaute Zustellgarantie

Beispiele:

Merksatz:

TCP = zuverlässig.
UDP = schnell und schlank.

ARP steht für:

Address Resolution Protocol

Aufgabe:

ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.

Beispiel:

Ein Client möchte sein Gateway erreichen.
Dafür benötigt er die MAC-Adresse des Gateways.
Diese ermittelt er mit ARP.

Merksatz:

ARP findet MAC-Adressen im lokalen IPv4-Netz.

Verwendet wird:

die MAC-Adresse des Standardgateways

Begründung:

Das IP-Ziel bleibt der entfernte Zielhost.
Aber lokal wird das Frame an den nächsten Hop gesendet,
also an das Gateway.

Merksatz:

IP zeigt zum Endziel.
MAC zeigt zum nächsten lokalen Hop.

Switch:

arbeitet hauptsächlich auf Schicht 2
leitet Frames anhand von MAC-Adressen weiter
verbindet Geräte im lokalen Netz

Router:

arbeitet auf Schicht 3
leitet Pakete anhand von IP-Adressen weiter
verbindet unterschiedliche IP-Netze

Merksatz:

Switch verbindet lokal.
Router verbindet Netze.

VLAN:

logische Trennung auf Schicht 2

Subnetz:

logische IP-Aufteilung auf Schicht 3

Wichtig:

In der Praxis wird einem VLAN häufig ein eigenes IP-Subnetz zugeordnet.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.

Merksatz:

VLAN = Layer 2.
Subnetz = Layer 3.

VLANs sind voneinander getrennte Layer-2-Bereiche.

Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können, braucht man Routing zwischen diesen Netzen.

Das nennt man:

Inter-VLAN-Routing

Möglich über:

Router
Layer-3-Switch
Firewall

Merksatz:

VLANs trennen.
Routing verbindet gezielt.

NAT:

übersetzt IP-Adressen

Firewall:

erlaubt oder blockiert Verkehr anhand von Regeln

Wichtig:

Viele Geräte kombinieren NAT und Firewall.
Fachlich bleiben es unterschiedliche Funktionen.

Merksatz:

NAT übersetzt.
Firewall filtert.

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden, um viele interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden.

Merksatz:

PAT nutzt Ports zur Zuordnung mehrerer Verbindungen.

Any-to-Any ist kritisch, weil dadurch jede Quelle zu jedem Ziel kommunizieren darf.

Risiken:

große Angriffsfläche
schlechte Nachvollziehbarkeit
Umgehung von Sicherheitszonen
unnötige Freigaben

Besser:

genaue Regeln mit Quelle,
Ziel,
Port,
Protokoll
und Zweck.

Merksatz:

Firewall-Regeln so genau wie möglich formulieren.

Default Deny bedeutet:

Standardmäßig ist Verkehr verboten.

Nur ausdrücklich erlaubter Verkehr wird zugelassen.

Vorteil:

bessere Kontrolle
kleinere Angriffsfläche
weniger ungewollte Freigaben

Merksatz:

Erst blockieren,
dann gezielt erlauben.

RPO:

Recovery Point Objective

maximal akzeptabler Datenverlust

RTO:

Recovery Time Objective

maximal akzeptable Wiederherstellungszeit

Merksatz:

RPO = Datenverlust.
RTO = Zeit bis Wiederherstellung.

Ein Snapshot ersetzt kein Backup, weil er oft auf demselben Speicher oder System liegt wie die Produktivdaten.

Risiken:

Speicherdefekt betrifft Snapshot ebenfalls
Ransomware kann Snapshot erreichen
Snapshot kann gelöscht werden
Speicherplatz kann volllaufen

Merksatz:

Snapshot ist Momentaufnahme,
aber kein vollständiges Backup-Konzept.

Merksatz:

Erst Schutzziel erkennen,
dann Maßnahme auswählen.

IDS:

Intrusion Detection System

erkennt und meldet Angriffe

IPS:

Intrusion Prevention System

erkennt und blockiert Angriffe zusätzlich

Merksatz:

IDS meldet.
IPS blockiert.

Least Privilege bedeutet:

Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie für ihre Aufgabe wirklich benötigen.

Ziel:

Schaden bei Fehlern oder Angriffen begrenzen.

Merksatz:

So wenig Rechte wie möglich,
so viele wie nötig.

MFA steht für:

Multi-Faktor-Authentifizierung

Dabei werden mehrere Faktoren kombiniert.

Beispiele:

Wissen:
Passwort

Besitz:
Smartphone,
Token,
Smartcard

Sein:
biometrisches Merkmal

Merksatz:

MFA sorgt dafür,
dass ein Passwort allein nicht reicht.

Brute Force:

viele Passwortversuche gegen ein Konto oder Ziel

Password Spraying:

ein häufiges Passwort gegen viele Konten

Credential Stuffing:

bereits geleakte Zugangsdaten werden bei anderen Diensten getestet

Merksatz:

Brute Force:
viele Versuche.

Password Spraying:
ein Passwort,
viele Konten.

Credential Stuffing:
geleakte Zugangsdaten.

Hardening bedeutet:

ein System sicherer zu konfigurieren,
indem unnötige Funktionen deaktiviert
und Angriffsflächen reduziert werden.

Beispiele:

unnötige Dienste deaktivieren
Standardpasswörter ändern
unsichere Protokolle abschalten
Rechte begrenzen
Logging aktivieren
Updates einspielen

Merksatz:

Hardening verringert die Angriffsfläche.

IaaS:

Infrastructure as a Service

virtuelle Infrastruktur,
zum Beispiel virtuelle Maschinen,
Netzwerk
und Speicher

PaaS:

Platform as a Service

verwaltete Plattform für Anwendungen

SaaS:

Software as a Service

fertige Anwendung aus der Cloud

Merksatz:

IaaS = Infrastruktur.
PaaS = Plattform.
SaaS = Software.

Shared Responsibility bedeutet:

Cloud-Anbieter und Kunde teilen sich die Verantwortung.

Typisch:

Anbieter schützt die Cloud-Infrastruktur.

Kunde schützt Daten,
Identitäten,
Zugriffsrechte,
Konfigurationen
und Anwendungen je nach Modell.

Merksatz:

Cloud bedeutet geteilte Verantwortung.

B ist besser.

Begründung:

Die Antwort nennt eine wahrscheinliche Ursache
und begründet sie mit dem Fehlerbild.

Merksatz:

Ursache,
Begründung,
Prüfung.

B ist besser.

Begründung:

Die Antwort nennt ein konkretes Risiko
und passende Schutzmaßnahmen.

Merksatz:

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.

Betroffen ist:

OSI-Schicht 1

Begründung:

Ein defektes Kabel betrifft die physische Signalübertragung.
Kabel,
Stecker,
Funk,
Licht
und elektrische Signale gehören zur Bitübertragungsschicht.

Merksatz:

Kabelproblem = Schicht 1.

Merksatz:

Kupfer elektrisch,
Glasfaser optisch,
WLAN Funk.

Twisted-Pair-Kabel ist ein Kupferkabel, bei dem Adernpaare miteinander verdrillt sind.

Ziel der Verdrillung:

Störungen reduzieren

Übersprechen verringern

Signalqualität verbessern

Typische Nutzung:

Ethernet-LAN

Merksatz:

Twisted Pair = verdrillte Kupferadern für LAN.

Die Adernpaare sind verdrillt, um elektromagnetische Störungen und Übersprechen zu reduzieren.

Dadurch wird die Signalqualität verbessert.

Merksatz:

Verdrillung schützt vor Störungen.

Richtig ist:

C: LWL überträgt Daten mit Licht.

Begründung:

Lichtwellenleiter übertragen Signale optisch
und eignen sich besonders für hohe Bandbreiten
und lange Strecken.

Mögliche Vorteile:

hohe Bandbreite

große Reichweite

unempfindlicher gegen elektromagnetische Störungen

galvanische Trennung

schwerer unbemerkt abzuhören als Kupfer

IHK-sichere Antwort:

Lichtwellenleiter ermöglichen hohe Übertragungsraten über lange Strecken
und sind unempfindlich gegenüber elektromagnetischen Störungen.

Mögliche Nachteile:

empfindlicher gegenüber Knicken

aufwendigere Montage

spezielle Spleiß- oder Stecktechnik nötig

oft teurere aktive Komponenten

Verschmutzung an Steckern kann Probleme verursachen

Merksatz:

LWL ist leistungsfähig,
aber empfindlich bei Montage und Handhabung.

Dämpfung bedeutet:

Das Signal wird auf dem Übertragungsweg schwächer.

Ursachen:

Kabellänge
schlechte Stecker
Knicke
schlechte Spleiße
Störungen
minderwertiges Kabel
Verschmutzung bei LWL

Merksatz:

Dämpfung = Signalverlust auf dem Weg.

Mögliche Folgen:

Verbindungsabbrüche

Paketverluste

geringere Übertragungsrate

instabile Verbindung

kein Link

hohe Fehlerrate

Merksatz:

Zu viel Dämpfung macht Verbindungen langsam,
instabil
oder unmöglich.

Link bedeutet:

Die physische Verbindung zwischen zwei Netzwerkkomponenten ist erkannt.

Beispiel:

Netzwerkkarte und Switchport erkennen,
dass eine Verbindung besteht.

Wichtig:

Link vorhanden heißt nicht automatisch,
dass IP,
DNS
oder Anwendung funktionieren.

Merksatz:

Link bedeutet physische Verbindung,
nicht vollständige Netzwerkfunktion.

Mögliche Ursachen:

Kabel defekt

Stecker nicht richtig eingesteckt

falscher Port

Netzwerkkarte deaktiviert

Switchport deaktiviert

Gegenstelle ausgeschaltet

falsches oder beschädigtes Patchkabel

SFP-Modul defekt

LWL-Stecker verschmutzt

Merksatz:

Kein Link:
zuerst Schicht 1 prüfen.

Half-Duplex bedeutet:

Ein Gerät kann senden oder empfangen,
aber nicht gleichzeitig beides.

Beispiel:

Funkgerät-Prinzip:
Einer spricht,
der andere hört.

Merksatz:

Half-Duplex = nicht gleichzeitig senden und empfangen.

Full-Duplex bedeutet:

Ein Gerät kann gleichzeitig senden und empfangen.

Typisch bei:

modernen Ethernet-Verbindungen über Switches

Merksatz:

Full-Duplex = gleichzeitig senden und empfangen.

Ein Duplex-Mismatch entsteht, wenn eine Seite Full-Duplex und die andere Seite Half-Duplex verwendet.

Folgen:

schlechte Performance

Kollisionen

Paketverluste

viele Fehler auf dem Interface

langsame oder instabile Verbindung

Merksatz:

Duplex-Mismatch verursacht oft schwer erkennbare Performance-Probleme.

Auto-Negotiation bedeutet:

Netzwerkgeräte handeln automatisch Geschwindigkeit
und Duplexmodus aus.

Beispiel:

1 Gbit/s Full-Duplex

Vorteil:

weniger manuelle Konfiguration

Problem:

Fehlkonfiguration oder alte Geräte können falsche Werte aushandeln.

Merksatz:

Auto-Negotiation handelt Geschwindigkeit und Duplex aus.

Typische Prüfungen:

Kabel korrekt gesteckt?

Link vorhanden?

Port aktiv?

Gegenstelle eingeschaltet?

richtige Geschwindigkeit?

richtiger Duplexmodus?

Kabel beschädigt?

Stecker beschädigt?

LWL sauber?

WLAN-Signal ausreichend?

Merksatz:

Schicht 1 prüft Medium,
Signal
und Verbindung.

Hub:

arbeitet vereinfacht auf Schicht 1

sendet eingehende Bits an alle Ports weiter

keine MAC-Adresstabelle

gemeinsame Kollisionsdomäne

Switch:

arbeitet hauptsächlich auf Schicht 2

lernt MAC-Adressen

leitet Frames gezielt weiter

Merksatz:

Hub verteilt blind.
Switch leitet gezielt.

Ein Repeater verstärkt oder regeneriert Signale, damit sie über größere Strecken übertragen werden können.

Typische Schicht:

OSI-Schicht 1

Merksatz:

Repeater verlängert physische Signalübertragung.

Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien.

Beispiel:

Kupfer-Ethernet

zu

Glasfaser

Typischer Einsatz:

Übergang von Twisted Pair auf LWL

Merksatz:

Medienkonverter verbindet Kupfer und LWL.

SFP steht für:

Small Form-factor Pluggable

Ein SFP-Modul ist ein steckbares Transceiver-Modul, zum Beispiel für Glasfaser- oder Kupferverbindungen.

Typische Nutzung:

Switches

Router

Firewalls

Servernetzwerkkarten

Merksatz:

SFP ist ein steckbares Modul für Netzwerkverbindungen.

Ein verschmutzter LWL-Stecker kann das Lichtsignal dämpfen oder stören.

Folgen:

hohe Fehlerrate

instabile Verbindung

niedrige Signalqualität

kein Link

Merksatz:

LWL-Stecker müssen sauber sein,
weil Licht präzise übertragen wird.

Singlemode:

für sehr lange Strecken geeignet

kleiner Faserkern

meist Laserlicht

Multimode:

eher für kürzere Strecken im Gebäude oder Rechenzentrum

größerer Faserkern

meist kürzere Reichweite als Singlemode

Merksatz:

Singlemode für lange Strecken.
Multimode für kürzere Strecken.

Richtig ist:

B: Singlemode eignet sich eher für lange Strecken.

Begründung:

Singlemode-LWL wird typischerweise für größere Entfernungen verwendet,
während Multimode häufig für kürzere Strecken genutzt wird.

Strukturierte Verkabelung bedeutet:

eine geplante,
normierte
und dokumentierte Verkabelungsstruktur in Gebäuden oder Standorten.

Typische Bereiche:

Primärbereich:
Standort- oder Gebäudeanbindung

Sekundärbereich:
Steigbereich zwischen Etagen

Tertiärbereich:
Etagenverkabelung bis zum Arbeitsplatz

Merksatz:

Strukturierte Verkabelung sorgt für Ordnung,
Erweiterbarkeit
und Wartbarkeit.

Merksatz:

Primär weit,
Sekundär Etagen,
Tertiär Arbeitsplatz.

Ein Patchpanel ist ein Verteilerfeld, an dem feste Gebäudeverkabelung endet.

Von dort werden Verbindungen mit Patchkabeln zum Switch hergestellt.

Vorteil:

übersichtliche Verkabelung

einfache Änderungen

bessere Dokumentation

Merksatz:

Patchpanel verbindet feste Verkabelung mit flexibler Patchung.

Installationskabel:

fest verlegt

meist in Wänden,
Kabelkanälen
oder Gebäudestruktur

Patchkabel:

flexible kurze Verbindung

zum Beispiel zwischen Patchpanel und Switch
oder zwischen Netzwerkdose und Endgerät

Merksatz:

Installationskabel fest.
Patchkabel flexibel.

WLAN ist ein drahtloses Übertragungsmedium.

Es nutzt Funkwellen, um Daten zwischen Endgeräten und Access Points zu übertragen.

Typische Vorteile:

Mobilität

flexible Nutzung

weniger Kabelbedarf

Typische Nachteile:

Störungen

geteiltes Medium

Reichweitenbegrenzung

Sicherheitsrisiken bei falscher Konfiguration

Merksatz:

WLAN ist flexibel,
aber störanfälliger als Kabel.

WLAN ist ein geteiltes Medium, weil mehrere Geräte denselben Funkkanal verwenden können.

Folge:

Geräte müssen sich die verfügbare Funkzeit teilen.

Dadurch können entstehen:

geringere Datenrate pro Gerät

höhere Latenz

Kollisionen oder Wartezeiten

Leistungseinbruch bei vielen Clients

Merksatz:

WLAN-Bandbreite wird geteilt.

Mögliche Ursachen:

zu große Entfernung zum Access Point

Wände oder Hindernisse

Störungen durch andere Funknetze

zu viele Clients

falscher Kanal

schlechte Access-Point-Position

alte WLAN-Standards

schlechte Antennenausrichtung

zu hohe oder zu niedrige Sendeleistung

Merksatz:

WLAN-Probleme hängen oft mit Signal,
Störung,
Kanal
und Auslastung zusammen.

MIMO steht für:

Multiple Input Multiple Output

Bedeutung:

Mehrere Antennen werden genutzt,
um Datenübertragung zu verbessern.

Vorteile:

höhere Datenrate

bessere Funkleistung

bessere Ausnutzung des Funkkanals

Merksatz:

MIMO nutzt mehrere Antennen.

MIMO:

mehrere Antennen für bessere Übertragung

MU-MIMO:

Multi User MIMO

Access Point kann mehrere Clients effizienter gleichzeitig bedienen

Merksatz:

MU-MIMO verbessert die Bedienung mehrerer Nutzer.

EIRP steht für:

Equivalent Isotropically Radiated Power

Bedeutung:

effektive abgestrahlte Sendeleistung bezogen auf einen isotropen Strahler.

Wichtig bei WLAN:

gesetzliche Grenzwerte

Antennengewinn

Sendeleistung

Merksatz:

EIRP beschreibt die wirksame abgestrahlte Leistung.

Dezibel ist eine logarithmische Einheit, mit der Verhältnisse beschrieben werden.

In Netzwerken und Funktechnik wird dB genutzt für:

Dämpfung

Verstärkung

Antennengewinn

Signalpegel

Merksatz:

dB beschreibt Verhältnisse,
nicht einfach normale lineare Werte.

Richtig ist:

B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN.

Begründung:

WLAN sollte verschlüsselt und sicher authentifiziert werden.
Gäste sollten getrennt vom internen Netz betrieben werden.

Merksatz:

WLAN-Sicherheit braucht Verschlüsselung,
starke Zugangsdaten
und Netztrennung.

Ein Gast-WLAN sollte getrennt sein, damit Gäste nicht auf interne Systeme zugreifen können.

Schutz:

interne Server

Clients

Drucker

Managementoberflächen

sensible Daten

Typische Umsetzung:

eigenes VLAN

Firewall-Regeln

nur Internetzugriff erlauben

Merksatz:

Gast-WLAN gehört nicht ins interne Netz.

Sinnvolle Reihenfolge:

1. Kabel steckt korrekt?

2. Link-LED aktiv?

3. anderes Patchkabel testen?

4. anderen Switchport testen?

5. Netzwerkdose prüfen?

6. Endgerät-Netzwerkkarte aktiv?

7. Switchport administrativ aktiv?

8. Geschwindigkeit und Duplex prüfen?

Merksatz:

Bei „keine Verbindung“ zuerst physisch prüfen.

Mögliche Ursachen:

defektes Kabel

schlechte Steckverbindung

Duplex-Mismatch

falsche Geschwindigkeit

hohe Dämpfung

Störungen

beschädigter Port

fehlerhaftes SFP-Modul

LWL-Stecker verschmutzt

Merksatz:

Link vorhanden heißt nicht,
dass die Signalqualität gut ist.

B ist besser.

Begründung:

Bei fehlender Netzwerkverbindung beginnt die Fehlersuche auf Schicht 1.
Erst wenn Link und physische Verbindung passen,
werden IP,
Gateway,
DNS
und Dienste geprüft.

Merksatz:

Erst Schicht 1,
dann höhere Schichten.

B ist besser.

Begründung:

Die Antwort nennt konkrete technische Vorteile
und ist damit prüfungssicherer.

Merksatz:

Nicht „moderner“ schreiben,
sondern technischen Nutzen nennen.

OSI-Schicht 2 heißt:

Sicherungsschicht

Englisch:

Data Link Layer

Aufgabe:

lokale Übertragung von Frames über MAC-Adressen.

Merksatz:

Schicht 2 = Sicherungsschicht.

Richtig ist:

B: MAC-Adresse

Begründung:

MAC-Adressen werden auf OSI-Schicht 2 zur lokalen Zustellung im LAN verwendet.

Merksatz:

MAC-Adresse = Schicht 2.

Eine MAC-Adresse ist eine Hardware-Adresse einer Netzwerkschnittstelle.

Sie dient zur lokalen Kommunikation im Netzwerksegment.

Beispiel:

AA:BB:CC:11:22:33

Typisch:

48 Bit lang

hexadezimale Schreibweise

Merksatz:

MAC-Adresse identifiziert eine Netzwerkschnittstelle im lokalen Netz.

Ein Ethernet-Frame ist die Dateneinheit auf OSI-Schicht 2.

Er enthält unter anderem:

Ziel-MAC-Adresse

Quell-MAC-Adresse

Nutzdaten

Prüfinformationen

Merksatz:

Ethernet überträgt Frames.

Merksatz:

Der Frame transportiert höhere Schichten als Nutzdaten.

Ein Switch verbindet Geräte im lokalen Netzwerk.

Er arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter.

Merksatz:

Switch = lokale Weiterleitung anhand MAC-Adressen.

Ein Switch lernt aus der Quell-MAC-Adresse eingehender Frames.

Wenn ein Frame an Port 3 ankommt, merkt sich der Switch:

Diese Quell-MAC-Adresse ist über Port 3 erreichbar.

Merksatz:

Switch lernt aus Quell-MAC-Adressen.

Der Switch leitet den Frame gezielt an den Port weiter, an dem die Ziel-MAC-Adresse bekannt ist.

Merksatz:

bekannte Ziel-MAC:
gezielte Weiterleitung.

Der Switch flutet den Frame.

Das bedeutet:

Er sendet den Frame an alle Ports im gleichen VLAN,
außer an den Eingangsport.

Merksatz:

unbekannte Ziel-MAC:
Flooding.

Flooding bedeutet:

Ein Switch sendet einen Frame an alle Ports im gleichen VLAN,
außer an den Port,
über den der Frame gekommen ist.

Flooding passiert bei:

unbekannter Ziel-MAC-Adresse

Broadcast

bestimmten Multicast-Fällen

Merksatz:

Flooding ist nicht immer ein Fehler.

Ein Broadcast ist eine Nachricht an alle Geräte im gleichen Broadcast-Bereich.

Beispiel:

ARP Request

Broadcasts bleiben normalerweise im gleichen VLAN.

Merksatz:

Broadcast erreicht alle Geräte im gleichen VLAN.

Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden.

Ohne VLAN:

oft gesamtes Switch-Netz

Mit VLAN:

jedes VLAN ist eine eigene Broadcast-Domäne

Merksatz:

VLANs trennen Broadcast-Domänen.

VLAN steht für:

Virtual Local Area Network

Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Layer-2-Bereiche.

Beispiele:

VLAN 10 Verwaltung

VLAN 20 Clients

VLAN 30 Server

VLAN 40 Gäste

Merksatz:

VLAN = logische Trennung auf Schicht 2.

Mögliche Gründe:

logische Netztrennung

kleinere Broadcast-Domänen

bessere Struktur

Trennung von Abteilungen

Trennung von Gästen und internem Netz

Trennung von Servern und Clients

separate Managementnetze

IHK-sichere Antwort:

VLANs werden eingesetzt,
um Netzbereiche logisch zu trennen
und Broadcast-Domänen zu verkleinern.

Nein.

VLAN:

logische Trennung auf OSI-Schicht 2

IP-Subnetz:

logische IP-Aufteilung auf OSI-Schicht 3

Wichtig:

In der Praxis bekommt ein VLAN häufig ein eigenes IP-Subnetz.
Fachlich sind VLAN und Subnetz aber nicht dasselbe.

Merksatz:

VLAN = Layer 2.
Subnetz = Layer 3.

Ein Access-Port gehört normalerweise zu genau einem VLAN.

Typische Nutzung:

PC

Drucker

Telefon

normales Endgerät

Das Endgerät muss das VLAN meist nicht selbst kennen.

Merksatz:

Access-Port = ein VLAN für Endgeräte.

Ein Trunk-Port transportiert mehrere VLANs über eine Verbindung.

Typische Nutzung:

Verbindung zwischen Switches

Verbindung zu Router

Verbindung zu Firewall

Verbindung zu Hypervisor

Verbindung zu VLAN-fähigem Access Point

Merksatz:

Trunk-Port = mehrere VLANs über eine Verbindung.

Merksatz:

Access = ein VLAN.
Trunk = mehrere VLANs.

VLAN-Tagging bedeutet:

Ein Ethernet-Frame enthält eine VLAN-Information.

Häufiger Standard:

IEEE 802.1Q

Typisch bei:

Trunk-Verbindungen

Merksatz:

802.1Q markiert Frames mit VLAN-Information.

Untagged:

Frame enthält keinen VLAN-Tag für das Endgerät.

Typisch:

Access-Port

Tagged:

Frame enthält VLAN-Information.

Typisch:

Trunk-Port

Merksatz:

Access meist untagged.
Trunk meist tagged.

ARP steht für:

Address Resolution Protocol

Aufgabe:

ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf.

Beispiel:

Der Client kennt die IP-Adresse des Gateways,
braucht aber für Ethernet die MAC-Adresse des Gateways.

Merksatz:

ARP findet die MAC-Adresse zu einer IPv4-Adresse.

IPv4 arbeitet mit IP-Adressen.

Ethernet im lokalen Netz benötigt aber MAC-Adressen.

ARP verbindet diese beiden Ebenen, indem eine IPv4-Adresse einer MAC-Adresse zugeordnet wird.

Merksatz:

IP sagt,
welches Ziel gemeint ist.

MAC sagt,
wohin lokal gesendet wird.

Verwendet wird:

die MAC-Adresse des Zielservers

Begründung:

Das Ziel liegt im gleichen lokalen Subnetz.
Der Client kann daher direkt lokal per Ethernet an die MAC-Adresse des Zielservers senden.

Merksatz:

gleiches Subnetz:
MAC des Zielhosts.

Verwendet wird:

die MAC-Adresse des Standardgateways

Begründung:

Das Ziel liegt außerhalb des lokalen Subnetzes.
Der Client sendet das Ethernet-Frame lokal an das Gateway.
Das IP-Ziel bleibt aber der entfernte Server.

Merksatz:

anderes Subnetz:
MAC des Gateways.

Ein ARP Request ist eine Anfrage per Broadcast.

Vereinfacht:

Wer hat diese IPv4-Adresse?

Beispiel:

Wer hat 192.168.1.1?

Merksatz:

ARP Request = Broadcast-Frage.

Ein ARP Reply ist die Antwort auf einen ARP Request.

Vereinfacht:

Diese IPv4-Adresse gehört zu dieser MAC-Adresse.

Merksatz:

ARP Reply liefert die MAC-Adresse.

Die ARP-Tabelle speichert bekannte Zuordnungen:

IPv4-Adresse

zu

MAC-Adresse

Vorteil:

Der Host muss nicht für jedes Paket erneut per ARP fragen.

Merksatz:

ARP-Tabelle = Zwischenspeicher für IP-zu-MAC.

ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden.

Ziel:

Datenverkehr umleiten

Man-in-the-Middle ermöglichen

Kommunikation stören

Schutzmaßnahmen:

Dynamic ARP Inspection

Netzwerksegmentierung

Switch-Sicherheitsfunktionen

Monitoring

Verschlüsselung höherer Schichten

Merksatz:

ARP-Spoofing manipuliert lokale IP-zu-MAC-Zuordnungen.

STP steht für:

Spanning Tree Protocol

Aufgabe:

Layer-2-Schleifen verhindern

Warum wichtig?

Schleifen können Broadcast-Stürme verursachen
und das Netzwerk stark belasten oder lahmlegen.

Merksatz:

STP verhindert Switch-Schleifen.

Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden.

Folgen:

Netz wird langsam

Switches werden überlastet

Clients verlieren Verbindung

Dienste brechen ab

Merksatz:

Layer-2-Schleifen können das Netzwerk lahmlegen.

Naheliegend ist:

falsches VLAN

Begründung:

Wenn ein Client am falschen VLAN hängt,
kann er vom falschen DHCP-Scope eine Adresse erhalten.

Merksatz:

falsches VLAN:
häufig falsche IP-Konfiguration.

Mögliche Ursachen:

Switchport deaktiviert

falsches Access-VLAN

Kabel oder Dose defekt

Port Security blockiert

VLAN nicht korrekt zugewiesen

Endgerät defekt

Merksatz:

Nur ein Port betroffen:
Port,
VLAN,
Kabel
und Endgerät prüfen.

Prüfen:

Trunk-Port aktiv?

VLANs auf Trunk erlaubt?

VLANs auf beiden Switches vorhanden?

Tagging korrekt?

Native VLAN passend?

Gegenstelle korrekt konfiguriert?

Merksatz:

Mehrere VLANs betroffen:
Trunk prüfen.

Mögliche Ursachen:

falsches VLAN

ARP-Problem

lokale Firewall

Switchport blockiert

Port Security

MAC-Adresstabelle fehlerhaft oder veraltet

Duplex- oder Linkproblem

Merksatz:

Gleiches Subnetz heißt nicht automatisch,
dass Layer 2 sauber funktioniert.

Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind.

Ziel:

unautorisierte Geräte erschweren

einfache Angriffe reduzieren

Portmissbrauch begrenzen

Merksatz:

Port Security kontrolliert MAC-Adressen am Switchport.

802.1X ist portbasierte Netzwerkzugangskontrolle.

Prinzip:

Ein Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.

Typisch mit:

RADIUS

Zertifikaten

Benutzerkonto

Merksatz:

802.1X prüft Zugriff vor Netzzugang.

Richtig ist:

B: VLANs trennen Broadcast-Domänen.

Begründung:

VLANs trennen Layer-2-Bereiche logisch.
Sie ersetzen aber keine Firewall,
wenn Verkehr zwischen VLANs kontrolliert werden soll.

Merksatz:

VLAN trennt.
Firewall kontrolliert.

B ist besser.

Begründung:

Die Antwort erklärt die technische Trennung auf Schicht 2
und den Bedarf für Routing auf Schicht 3.

Merksatz:

VLANs trennen.
Routing verbindet.

B ist besser.

Begründung:

Flooding ist ein normales Switching-Verhalten,
wenn die Ziel-MAC-Adresse unbekannt ist.
Es ist nicht automatisch ein Fehler.

Merksatz:

Flooding normal,
Broadcast-Sturm kritisch.

MAC-Adresse:

lokale Zustellung auf Schicht 2

IP-Adresse:

logische Adressierung auf Schicht 3

Port:

Zuordnung zu Dienst oder Prozess auf Schicht 4

Merksatz:

MAC lokal.
IP logisch.
Port Dienst.

OSI-Schicht 3 heißt:

Vermittlungsschicht

oder:

Netzwerkschicht

Englisch:

Network Layer

Aufgabe:

logische Adressierung
und Routing zwischen IP-Netzen.

Merksatz:

Schicht 3 = IP und Routing.

Richtig ist:

B: IP-Adresse

Begründung:

IP-Adressen gehören zur OSI-Schicht 3
und dienen der logischen Adressierung in Netzwerken.

Merksatz:

IP-Adresse = Schicht 3.

Eine IPv4-Adresse identifiziert einen Host logisch in einem IP-Netz.

Sie wird verwendet, damit Pakete zu einem bestimmten Zielsystem gesendet werden können.

Beispiel:

192.168.1.50

Merksatz:

IP-Adresse = logische Adresse eines Hosts.

Eine IPv4-Adresse hat:

32 Bit

Sie besteht aus:

4 Oktetten

Jedes Oktett hat:

8 Bit

Beispiel:

192.168.1.10

Merksatz:

IPv4 = 32 Bit = 4 Oktette.

Die Schreibweise /24 bedeutet:

24 Bit gehören zum Netzanteil.

Da IPv4 insgesamt 32 Bit hat:

32 - 24 = 8 Hostbits

Merksatz:

Präfix = Anzahl der Netzbits.

Zu /24 gehört:

255.255.255.0

Begründung:

Die ersten 24 Bit sind Netzbits.
Das entspricht drei vollständigen Oktetten mit 255.

Merksatz:

/24 = 255.255.255.0.

Zu /26 gehört:

255.255.255.192

Begründung:

/26 bedeutet:
26 Netzbits.

24 Bit sind:
255.255.255.0

zusätzlich 2 Netzbits im letzten Oktett:
11000000 = 192

Merksatz:

/26 = 255.255.255.192.

Berechnung:

Hostbits = 32 - 26 = 6

Gesamtadressen = 2 hoch 6 = 64

nutzbare Hosts = 64 - 2 = 62

Antwort:

62 nutzbare Hosts

Merksatz:

nutzbare Hosts = 2 hoch Hostbits minus 2.

Berechnung:

Hostbits = 32 - 27 = 5

Gesamtadressen = 2 hoch 5 = 32

nutzbare Hosts = 32 - 2 = 30

Antwort:

30 nutzbare Hosts

Merksatz:

/27 hat 30 nutzbare Hosts.

Richtig ist:

B: Je größer der Präfix,
desto kleiner das Netz.

Begründung:

Ein größerer Präfix bedeutet mehr Netzbits
und weniger Hostbits.

Merksatz:

Präfix größer:
Netz kleiner.

Merksatz:

Von /24 zu /25 halbiert sich die Adressanzahl.
Von /25 zu /26 halbiert sie sich wieder.

Die Netzadresse ist die erste Adresse eines Subnetzes.

Sie bezeichnet das Netz selbst und wird nicht als normale Hostadresse verwendet.

Beispiel:

192.168.1.0/24

Netzadresse:

192.168.1.0

Merksatz:

Netzadresse = erste Adresse im Subnetz.

Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes.

Sie dient dazu, alle Hosts in diesem Subnetz zu erreichen.

Beispiel:

192.168.1.0/24

Broadcastadresse:

192.168.1.255

Merksatz:

Broadcastadresse = letzte Adresse im Subnetz.

Nicht als normale Hostadressen nutzbar sind:

Netzadresse

Broadcastadresse

Begründung:

Die Netzadresse bezeichnet das Subnetz selbst.
Die Broadcastadresse adressiert alle Hosts im Subnetz.

Merksatz:

Erste und letzte Adresse sind nicht für Hosts.

Bei /26 gilt:

Blockgröße 64

Subnetzbereiche:

192.168.1.0 bis 192.168.1.63

192.168.1.64 bis 192.168.1.127

192.168.1.128 bis 192.168.1.191

192.168.1.192 bis 192.168.1.255

Die Adresse 192.168.1.70 liegt im Bereich:

192.168.1.64 bis 192.168.1.127

Merksatz:

IP liegt immer in genau einem Subnetzbereich.

Bei /27 gilt:

Blockgröße 32

Bereiche im letzten Oktett:

0 bis 31

32 bis 63

64 bis 95

96 bis 127

128 bis 159

160 bis 191

192 bis 223

224 bis 255

Die Adresse 200 liegt im Bereich:

192 bis 223

Merksatz:

/27 springt in 32er-Schritten.

Zu /28 gehört die Maske:

255.255.255.240

Blockgröße:

256 - 240 = 16

Antwort:

16

Merksatz:

/28 springt in 16er-Schritten.

Richtig ist:

B: /26

Begründung:

/27 hat 30 nutzbare Hosts.
Das reicht nicht.

/26 hat 62 nutzbare Hosts.
Das reicht.

Merksatz:

Immer das kleinste passende Subnetz wählen.

Prüfung:

/26 = 62 nutzbare Hosts

/25 = 126 nutzbare Hosts

/24 = 254 nutzbare Hosts

Ergebnis:

/25

Begründung:

/26 reicht nicht,
/25 reicht.

Merksatz:

Bedarf prüfen,
dann kleinstes passendes Netz wählen.

Ja.

Bei /24 ist das Netz:

192.168.10.0/24

Nutzbarer Bereich:

192.168.10.1 bis 192.168.10.254

Beide Adressen liegen im gleichen Netz.

Merksatz:

Gleiches /24:
gleiche ersten drei Oktette.

Nein.

Erste Adresse liegt im Netz:

192.168.10.0/24

Zweite Adresse liegt im Netz:

192.168.11.0/24

Merksatz:

Bei /24 entscheidet das dritte Oktett über das Netz.

Ja.

Bei /26 gilt Blockgröße 64.

Bereich:

192.168.1.64 bis 192.168.1.127

Beide Adressen liegen in diesem Bereich.

Merksatz:

/26-Bereiche:
0-63,
64-127,
128-191,
192-255.

Nein.

192.168.1.70 liegt im Bereich:

192.168.1.64 bis 192.168.1.127

192.168.1.130 liegt im Bereich:

192.168.1.128 bis 192.168.1.191

Merksatz:

Unterschiedliche Subnetzbereiche brauchen Routing.

Das Standardgateway ist der Router, über den ein Host Ziele außerhalb seines eigenen Subnetzes erreicht.

Ohne korrektes Gateway kann ein Client normalerweise nur lokal kommunizieren.

Merksatz:

Gateway = Ausgang in andere Netze.

Das Gateway muss lokal erreichbar sein, damit der Client sein Ethernet-Frame an die MAC-Adresse des Gateways senden kann.

Wenn das Gateway außerhalb des lokalen Subnetzes liegt, kann der Client es nicht direkt erreichen.

Merksatz:

Gateway muss für den Client lokal erreichbar sein.

Nein.

Client-Netz:

192.168.10.0/24

Gateway liegt im Netz:

192.168.20.0/24

Das Gateway liegt nicht im lokalen Subnetz des Clients.

Merksatz:

Gateway außerhalb des Subnetzes ist falsch.

Wahrscheinliche Ursachen:

Gateway fehlt

Gateway falsch

Routingproblem

NAT fehlt oder fehlerhaft

Firewall blockiert

DNS zusätzlich bei Zugriff über Namen

Erste Prüfung:

Standardgateway

Merksatz:

Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.

Routing bedeutet:

Weiterleitung von IP-Paketen zwischen verschiedenen IP-Netzen.

Ein Router nutzt seine Routing-Tabelle, um den nächsten Hop oder das Ausgangsinterface zu bestimmen.

Merksatz:

Routing verbindet IP-Netze.

Eine Routing-Tabelle enthält typischerweise:

Zielnetz

Präfix oder Netzmaske

Next Hop

Interface

Metrik

Merksatz:

Routing-Tabelle bestimmt den nächsten Weg.

Eine Standardroute ist die Route für alle Ziele, für die keine spezifischere Route existiert.

IPv4-Schreibweise:

0.0.0.0/0

Typisch:

Weg zum Internetrouter

Merksatz:

Standardroute = Weg für unbekannte Ziele.

Wenn mehrere Routen zu einem Ziel passen, wird die Route mit dem längsten passenden Präfix verwendet.

Beispiel:

192.168.10.0/24

ist spezifischer als:

192.168.0.0/16

Merksatz:

Längster passender Präfix gewinnt.

ICMP steht für:

Internet Control Message Protocol

Aufgabe:

Kontroll-
Fehler-
und Diagnosemeldungen im IP-Netz

Typische Nutzung:

ping

traceroute

Merksatz:

ICMP hilft bei Diagnose auf Schicht 3.

ping prüft, ob ein Ziel per ICMP Echo Request und Echo Reply erreichbar ist.

Wichtig:

ping prüft nicht,
ob ein bestimmter Dienst wie HTTPS,
SSH
oder SMB funktioniert.

Merksatz:

ping prüft ICMP-Erreichbarkeit,
nicht den Dienst.

Wahrscheinlich:

DNS-Problem

Begründung:

Die IP-Kommunikation funktioniert,
aber der Name wird nicht korrekt aufgelöst.

Merksatz:

IP ja,
Name nein:
DNS.

Ping prüft nur ICMP.

Mögliche Ursachen:

TCP 443 blockiert

Webserver läuft nicht

Firewall blockiert

TLS-Problem

Reverse Proxy fehlerhaft

Anwendung defekt

Merksatz:

Ping erfolgreich heißt nicht,
dass HTTPS funktioniert.

traceroute oder tracert zeigt den Weg zum Ziel über Router.

Es zeigt typischerweise:

Hops

Antwortzeiten

mögliche Unterbrechungen

Wichtig:

Nicht jeder Router antwortet.
Sternchen bedeuten nicht automatisch,
dass der gesamte Weg defekt ist.

Merksatz:

traceroute zeigt den Weg,
muss aber interpretiert werden.

Das ist eine APIPA-Adresse.

Bedeutung:

Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten
und sich selbst eine automatische Adresse gegeben.

Merksatz:

169.254.x.x:
DHCP nicht erreicht.

Private IPv4-Bereiche:

Merksatz:

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

B ist besser.

Begründung:

Die Antwort leitet die Ursache aus dem Fehlerbild ab.

Wichtig:

DNS kann zusätzlich betroffen sein,
wenn nur Namen nicht funktionieren.
Wenn aber externe IP-Ziele nicht erreichbar sind,
sind Gateway,
Routing,
NAT
oder Firewall wahrscheinlicher.

Merksatz:

Fehlerbild genau lesen.

B ist besser.

Begründung:

Die Antwort erklärt fachlich,
was ping prüft
und was ping nicht prüft.

Merksatz:

ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.

OSI-Schicht 4 heißt:

Transportschicht

Englisch:

Transport Layer

Aufgabe:

Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen.

Merksatz:

Schicht 4 = TCP,
UDP
und Ports.

Richtig ist:

A: TCP und UDP

Begründung:

TCP und UDP sind Transportprotokolle
und gehören zur OSI-Schicht 4.

Merksatz:

TCP und UDP = Transportschicht.

Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem Host angesprochen wird.

Beispiel:

192.168.1.10:443

Bedeutung:

Host:
192.168.1.10

Dienst:
Port 443

Merksatz:

IP findet den Host.
Port findet den Dienst.

Portnummern gehören zu:

OSI-Schicht 4

Begründung:

Ports werden von TCP und UDP genutzt,
um Daten dem richtigen Dienst oder Prozess zuzuordnen.

Merksatz:

Ports = Schicht 4.

IP-Adresse:

identifiziert den Host logisch im Netzwerk

Port:

identifiziert den Dienst oder Prozess auf diesem Host

Beispiel:

192.168.1.10:22

192.168.1.10 = Host

22 = SSH-Dienst

Merksatz:

IP = welcher Rechner?
Port = welcher Dienst?

Quellport:

Port auf dem sendenden System

beim Client oft dynamisch

Zielport:

Port des angesprochenen Dienstes auf dem Server

Beispiel:

Client:
192.168.1.50:52344

Server:
93.184.216.34:443

Hier ist 52344 der Quellport und 443 der Zielport.

Merksatz:

Zielport zeigt meistens den Dienst.

Richtig ist:

C: TCP ist verbindungsorientiert und zuverlässig.

Begründung:

TCP baut eine Verbindung auf,
bestätigt Daten
und kann verlorene Daten erneut übertragen.

Merksatz:

TCP = zuverlässig.

Richtig ist:

B: UDP ist verbindungslos und hat wenig Overhead.

Begründung:

UDP verzichtet auf einen Verbindungsaufbau
und auf eingebaute Zustellgarantien.
Dadurch ist es schlanker und schneller,
aber weniger zuverlässig als TCP.

Merksatz:

UDP = verbindungslos und schlank.

Merksatz:

TCP für zuverlässige Übertragung.
UDP für schnelle und schlanke Kommunikation.

Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP.

Ablauf:

1. SYN

2. SYN-ACK

3. ACK

Bedeutung:

Client fragt Verbindung an.

Server bestätigt und antwortet.

Client bestätigt die Verbindung.

Merksatz:

TCP startet mit SYN,
SYN-ACK,
ACK.

TCP hat mehr Overhead, weil es zusätzliche Funktionen bietet.

Dazu gehören:

Verbindungsaufbau

Bestätigungen

Sequenznummern

erneute Übertragung

Reihenfolgeprüfung

Flusskontrolle

Merksatz:

TCP ist aufwendiger,
weil es Zuverlässigkeit bietet.

DNS-Anfragen sind oft klein und sollen schnell beantwortet werden.

UDP ist dafür geeignet, weil es wenig Overhead hat und keinen TCP-Verbindungsaufbau benötigt.

Wichtig:

DNS kann bei Bedarf auch TCP 53 nutzen.

Merksatz:

DNS nutzt häufig UDP 53,
aber TCP 53 nicht vergessen.

Bei VoIP ist geringe Verzögerung wichtig.

Ein verlorenes Sprachpaket ist meist weniger schlimm als eine stark verspätete Übertragung.

UDP ist dafür geeignet, weil es schnell und verbindungslos arbeitet.

Merksatz:

VoIP braucht geringe Latenz,
daher ist UDP sinnvoll.

Merksatz:

Portnummer immer mit TCP oder UDP lernen.

SSH nutzt typischerweise:

TCP 22

SSH steht für:

Secure Shell

Merksatz:

SSH = TCP 22.

HTTPS nutzt typischerweise:

TCP 443

HTTPS bedeutet:

HTTP über TLS

Merksatz:

HTTPS = TCP 443.

DHCP nutzt:

UDP 67 für den DHCP-Server

UDP 68 für den DHCP-Client

Merksatz:

DHCP = UDP 67 und 68.

DNS nutzt:

UDP 53

und bei Bedarf:

TCP 53

Merksatz:

DNS = UDP/TCP 53.

SMB nutzt typischerweise:

TCP 445

SMB wird genutzt für:

Datei- und Druckfreigaben

Netzlaufwerke

Merksatz:

SMB = TCP 445.

RDP nutzt typischerweise:

TCP 3389

RDP steht für:

Remote Desktop Protocol

Merksatz:

RDP = TCP 3389.

LISTEN bedeutet:

Ein Dienst wartet auf eingehende Verbindungen.

Beispiel:

Ein Webserver lauscht auf TCP 443.

Merksatz:

LISTEN = Dienst wartet auf Verbindung.

ESTABLISHED bedeutet:

Eine TCP-Verbindung besteht.

Client und Server haben eine aktive Verbindung aufgebaut.

Merksatz:

ESTABLISHED = Verbindung besteht.

SYN_SENT bedeutet:

Der Client hat einen Verbindungsaufbau gestartet
und wartet auf eine Antwort.

Mögliche Ursache, wenn es hängen bleibt:

Ziel antwortet nicht

Firewall blockiert

Dienst läuft nicht

Routingproblem

Merksatz:

SYN_SENT hängt oft bei fehlender Antwort.

Ping prüft ICMP. SSH nutzt TCP 22.

Mögliche Ursachen:

TCP 22 blockiert

SSH-Dienst läuft nicht

SSH lauscht auf anderem Port

Firewall blockiert

Zugriff nur aus bestimmten Netzen erlaubt

Benutzer oder Schlüssel falsch

Merksatz:

Host erreichbar heißt nicht,
dass der Dienst erreichbar ist.

Zu prüfen:

TCP 443 erreichbar?

Webserver läuft?

Dienst lauscht auf Port 443?

Firewall erlaubt TCP 443?

Reverse Proxy korrekt?

TLS-Zertifikat korrekt?

Anwendung fehlerfrei?

Merksatz:

ping geht,
HTTPS nicht:
TCP 443,
Dienst
und Firewall prüfen.

ping prüft ICMP-Erreichbarkeit.

ping prüft nicht:

TCP 22

TCP 443

TCP 445

UDP 53

Dienststatus

Anmeldung

Rechte

Anwendung

Merksatz:

ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.

Eine saubere Firewall-Regel enthält:

Quelle

Ziel

Protokoll

Port

Richtung

Aktion

Zweck

Beispiel:

Quelle:
Adminnetz

Ziel:
Server

Protokoll:
TCP

Port:
22

Aktion:
erlauben

Zweck:
SSH-Administration

Merksatz:

Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.

Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist.

Bei DNS ist wichtig:

UDP 53 für normale Abfragen

TCP 53 für große Antworten,
Zonentransfers
oder bestimmte Spezialfälle

Merksatz:

Portnummer ohne TCP oder UDP ist unvollständig.

Well-Known Ports sind bekannte Standardports.

Bereich:

0 bis 1023

Beispiele:

TCP 22 SSH

TCP 80 HTTP

TCP 443 HTTPS

UDP/TCP 53 DNS

Merksatz:

Well-Known Ports sind bekannte Dienstports.

Dynamische Ports werden häufig von Clients als Quellports verwendet.

Bereich:

49152 bis 65535

Beispiel:

Client nutzt Quellport 52344
und verbindet sich zu Server TCP 443.

Merksatz:

Server hat bekannten Zielport.
Client nutzt oft dynamischen Quellport.

Der Webdienst wird durch den Zielport angezeigt:

TCP 443

Der Quellport 52344 ist ein dynamischer Clientport.

Merksatz:

Zielport zeigt den Dienst.

RDP ist ein häufiges Angriffsziel.

Risiken:

Brute-Force-Angriffe

Credential Stuffing

Exploits

unberechtigter Fernzugriff

Sicherer:

VPN

RDP-Gateway

MFA

Firewall-Beschränkung auf bekannte Quellnetze

Logging

Merksatz:

RDP nicht offen ins Internet stellen.

SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein.

Risiken:

Datenabfluss

Malware-Ausbreitung

Brute Force

Ausnutzung von Schwachstellen

Zugriff auf interne Freigaben

Merksatz:

SMB gehört nicht offen ins Internet.

FTP:

klassisches File Transfer Protocol

meist TCP 21

unverschlüsselt

FTPS:

FTP mit TLS-Verschlüsselung

SFTP:

Dateiübertragung über SSH

nutzt TCP 22

Merksatz:

FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.

Richtig ist:

A: SFTP nutzt normalerweise TCP 22.

Begründung:

SFTP läuft über SSH
und nutzt daher typischerweise TCP 22.

Merksatz:

SFTP gehört zu SSH,
nicht zu FTPS.

Sinnvolle Prüfungen:

Lauscht der Dienst auf dem erwarteten Port?

Nutzt er TCP oder UDP?

Lauscht er auf der richtigen Schnittstelle?

Blockiert die lokale Firewall?

Blockiert eine Netzwerkfirewall?

Ist NAT oder Portweiterleitung korrekt?

Gibt es Logs?

Merksatz:

Bei Dienstproblemen Port,
Protokoll,
Dienststatus
und Firewall prüfen.

Möglicherweise fehlt:

UDP 53

und je nach Fall auch:

TCP 53

Begründung:

DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.

Merksatz:

DNS-Firewallregel:
UDP 53 nicht vergessen,
TCP 53 mitdenken.

B ist besser.

Begründung:

Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP
und Dienst-Erreichbarkeit über TCP-Port.

Merksatz:

Fehlerbild genau nach Protokoll einordnen.

B ist besser.

Begründung:

Die Antwort erklärt,
warum die Protokollangabe technisch relevant ist.

Merksatz:

Port plus Protokoll nennen.

B ist besser.

Begründung:

Die Antwort nennt die technischen Eigenschaften,
die bei Dateiübertragung wichtig sind.

Merksatz:

Bei Begründungen immer die passende Eigenschaft nennen.

OSI-Schicht 4 heißt:

Transportschicht

Englisch:

Transport Layer

Aufgabe:

Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen.

Merksatz:

Schicht 4 = TCP,
UDP
und Ports.

Richtig ist:

A: TCP und UDP

Begründung:

TCP und UDP sind Transportprotokolle
und gehören zur OSI-Schicht 4.

Merksatz:

TCP und UDP = Transportschicht.

Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem Host angesprochen wird.

Beispiel:

192.168.1.10:443

Bedeutung:

Host:
192.168.1.10

Dienst:
Port 443

Merksatz:

IP findet den Host.
Port findet den Dienst.

Portnummern gehören zu:

OSI-Schicht 4

Begründung:

Ports werden von TCP und UDP genutzt,
um Daten dem richtigen Dienst oder Prozess zuzuordnen.

Merksatz:

Ports = Schicht 4.

IP-Adresse:

identifiziert den Host logisch im Netzwerk

Port:

identifiziert den Dienst oder Prozess auf diesem Host

Beispiel:

192.168.1.10:22

192.168.1.10 = Host

22 = SSH-Dienst

Merksatz:

IP = welcher Rechner?
Port = welcher Dienst?

Quellport:

Port auf dem sendenden System

beim Client oft dynamisch

Zielport:

Port des angesprochenen Dienstes auf dem Server

Beispiel:

Client:
192.168.1.50:52344

Server:
93.184.216.34:443

Hier ist 52344 der Quellport und 443 der Zielport.

Merksatz:

Zielport zeigt meistens den Dienst.

Richtig ist:

C: TCP ist verbindungsorientiert und zuverlässig.

Begründung:

TCP baut eine Verbindung auf,
bestätigt Daten
und kann verlorene Daten erneut übertragen.

Merksatz:

TCP = zuverlässig.

Richtig ist:

B: UDP ist verbindungslos und hat wenig Overhead.

Begründung:

UDP verzichtet auf einen Verbindungsaufbau
und auf eingebaute Zustellgarantien.
Dadurch ist es schlanker und schneller,
aber weniger zuverlässig als TCP.

Merksatz:

UDP = verbindungslos und schlank.

Merksatz:

TCP für zuverlässige Übertragung.
UDP für schnelle und schlanke Kommunikation.

Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP.

Ablauf:

1. SYN

2. SYN-ACK

3. ACK

Bedeutung:

Client fragt Verbindung an.

Server bestätigt und antwortet.

Client bestätigt die Verbindung.

Merksatz:

TCP startet mit SYN,
SYN-ACK,
ACK.

TCP hat mehr Overhead, weil es zusätzliche Funktionen bietet.

Dazu gehören:

Verbindungsaufbau

Bestätigungen

Sequenznummern

erneute Übertragung

Reihenfolgeprüfung

Flusskontrolle

Merksatz:

TCP ist aufwendiger,
weil es Zuverlässigkeit bietet.

DNS-Anfragen sind oft klein und sollen schnell beantwortet werden.

UDP ist dafür geeignet, weil es wenig Overhead hat und keinen TCP-Verbindungsaufbau benötigt.

Wichtig:

DNS kann bei Bedarf auch TCP 53 nutzen.

Merksatz:

DNS nutzt häufig UDP 53,
aber TCP 53 nicht vergessen.

Bei VoIP ist geringe Verzögerung wichtig.

Ein verlorenes Sprachpaket ist meist weniger schlimm als eine stark verspätete Übertragung.

UDP ist dafür geeignet, weil es schnell und verbindungslos arbeitet.

Merksatz:

VoIP braucht geringe Latenz,
daher ist UDP sinnvoll.

Merksatz:

Portnummer immer mit TCP oder UDP lernen.

SSH nutzt typischerweise:

TCP 22

SSH steht für:

Secure Shell

Merksatz:

SSH = TCP 22.

HTTPS nutzt typischerweise:

TCP 443

HTTPS bedeutet:

HTTP über TLS

Merksatz:

HTTPS = TCP 443.

DHCP nutzt:

UDP 67 für den DHCP-Server

UDP 68 für den DHCP-Client

Merksatz:

DHCP = UDP 67 und 68.

DNS nutzt:

UDP 53

und bei Bedarf:

TCP 53

Merksatz:

DNS = UDP/TCP 53.

SMB nutzt typischerweise:

TCP 445

SMB wird genutzt für:

Datei- und Druckfreigaben

Netzlaufwerke

Merksatz:

SMB = TCP 445.

RDP nutzt typischerweise:

TCP 3389

RDP steht für:

Remote Desktop Protocol

Merksatz:

RDP = TCP 3389.

LISTEN bedeutet:

Ein Dienst wartet auf eingehende Verbindungen.

Beispiel:

Ein Webserver lauscht auf TCP 443.

Merksatz:

LISTEN = Dienst wartet auf Verbindung.

ESTABLISHED bedeutet:

Eine TCP-Verbindung besteht.

Client und Server haben eine aktive Verbindung aufgebaut.

Merksatz:

ESTABLISHED = Verbindung besteht.

SYN_SENT bedeutet:

Der Client hat einen Verbindungsaufbau gestartet
und wartet auf eine Antwort.

Mögliche Ursache, wenn es hängen bleibt:

Ziel antwortet nicht

Firewall blockiert

Dienst läuft nicht

Routingproblem

Merksatz:

SYN_SENT hängt oft bei fehlender Antwort.

Ping prüft ICMP. SSH nutzt TCP 22.

Mögliche Ursachen:

TCP 22 blockiert

SSH-Dienst läuft nicht

SSH lauscht auf anderem Port

Firewall blockiert

Zugriff nur aus bestimmten Netzen erlaubt

Benutzer oder Schlüssel falsch

Merksatz:

Host erreichbar heißt nicht,
dass der Dienst erreichbar ist.

Zu prüfen:

TCP 443 erreichbar?

Webserver läuft?

Dienst lauscht auf Port 443?

Firewall erlaubt TCP 443?

Reverse Proxy korrekt?

TLS-Zertifikat korrekt?

Anwendung fehlerfrei?

Merksatz:

ping geht,
HTTPS nicht:
TCP 443,
Dienst
und Firewall prüfen.

ping prüft ICMP-Erreichbarkeit.

ping prüft nicht:

TCP 22

TCP 443

TCP 445

UDP 53

Dienststatus

Anmeldung

Rechte

Anwendung

Merksatz:

ping prüft Host-Erreichbarkeit,
nicht Dienstfunktion.

Eine saubere Firewall-Regel enthält:

Quelle

Ziel

Protokoll

Port

Richtung

Aktion

Zweck

Beispiel:

Quelle:
Adminnetz

Ziel:
Server

Protokoll:
TCP

Port:
22

Aktion:
erlauben

Zweck:
SSH-Administration

Merksatz:

Firewall-Regeln brauchen Quelle,
Ziel,
Port
und Protokoll.

Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist.

Bei DNS ist wichtig:

UDP 53 für normale Abfragen

TCP 53 für große Antworten,
Zonentransfers
oder bestimmte Spezialfälle

Merksatz:

Portnummer ohne TCP oder UDP ist unvollständig.

Well-Known Ports sind bekannte Standardports.

Bereich:

0 bis 1023

Beispiele:

TCP 22 SSH

TCP 80 HTTP

TCP 443 HTTPS

UDP/TCP 53 DNS

Merksatz:

Well-Known Ports sind bekannte Dienstports.

Dynamische Ports werden häufig von Clients als Quellports verwendet.

Bereich:

49152 bis 65535

Beispiel:

Client nutzt Quellport 52344
und verbindet sich zu Server TCP 443.

Merksatz:

Server hat bekannten Zielport.
Client nutzt oft dynamischen Quellport.

Der Webdienst wird durch den Zielport angezeigt:

TCP 443

Der Quellport 52344 ist ein dynamischer Clientport.

Merksatz:

Zielport zeigt den Dienst.

RDP ist ein häufiges Angriffsziel.

Risiken:

Brute-Force-Angriffe

Credential Stuffing

Exploits

unberechtigter Fernzugriff

Sicherer:

VPN

RDP-Gateway

MFA

Firewall-Beschränkung auf bekannte Quellnetze

Logging

Merksatz:

RDP nicht offen ins Internet stellen.

SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein.

Risiken:

Datenabfluss

Malware-Ausbreitung

Brute Force

Ausnutzung von Schwachstellen

Zugriff auf interne Freigaben

Merksatz:

SMB gehört nicht offen ins Internet.

FTP:

klassisches File Transfer Protocol

meist TCP 21

unverschlüsselt

FTPS:

FTP mit TLS-Verschlüsselung

SFTP:

Dateiübertragung über SSH

nutzt TCP 22

Merksatz:

FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.

Richtig ist:

A: SFTP nutzt normalerweise TCP 22.

Begründung:

SFTP läuft über SSH
und nutzt daher typischerweise TCP 22.

Merksatz:

SFTP gehört zu SSH,
nicht zu FTPS.

Sinnvolle Prüfungen:

Lauscht der Dienst auf dem erwarteten Port?

Nutzt er TCP oder UDP?

Lauscht er auf der richtigen Schnittstelle?

Blockiert die lokale Firewall?

Blockiert eine Netzwerkfirewall?

Ist NAT oder Portweiterleitung korrekt?

Gibt es Logs?

Merksatz:

Bei Dienstproblemen Port,
Protokoll,
Dienststatus
und Firewall prüfen.

Möglicherweise fehlt:

UDP 53

und je nach Fall auch:

TCP 53

Begründung:

DNS nutzt meistens UDP 53,
kann aber auch TCP 53 verwenden.

Merksatz:

DNS-Firewallregel:
UDP 53 nicht vergessen,
TCP 53 mitdenken.

B ist besser.

Begründung:

Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP
und Dienst-Erreichbarkeit über TCP-Port.

Merksatz:

Fehlerbild genau nach Protokoll einordnen.

B ist besser.

Begründung:

Die Antwort erklärt,
warum die Protokollangabe technisch relevant ist.

Merksatz:

Port plus Protokoll nennen.

B ist besser.

Begründung:

Die Antwort nennt die technischen Eigenschaften,
die bei Dateiübertragung wichtig sind.

Merksatz:

Bei Begründungen immer die passende Eigenschaft nennen.

OSI-Schicht 5 heißt:

Sitzungsschicht

Englisch:

Session Layer

Aufgabe:

Kommunikationssitzungen aufbauen,
verwalten
und beenden.

Merksatz:

Schicht 5 = Sitzungen.

OSI-Schicht 6 heißt:

Darstellungsschicht

Englisch:

Presentation Layer

Aufgabe:

Datenformat,
Codierung,
Kompression
und Verschlüsselung darstellen oder umwandeln.

Merksatz:

Schicht 6 = Darstellung,
Format
und Verschlüsselung.

OSI-Schicht 7 heißt:

Anwendungsschicht

Englisch:

Application Layer

Aufgabe:

Netzwerkdienste für Anwendungen bereitstellen.

Beispiele:

HTTP

DNS

DHCP

SMTP

IMAP

SMB

Merksatz:

Schicht 7 = Anwendungsprotokolle.

Merksatz:

Session = 5.
TLS = 6.
HTTP und DNS = 7.

Eine Session ist eine zusammenhängende Kommunikationssitzung zwischen Client und Server.

Beispiel:

Benutzer meldet sich bei einer Webanwendung an.

Die Anwendung merkt sich über eine Session,
dass der Benutzer angemeldet ist.

Typische Begriffe:

Session-ID

Cookie

Token

Timeout

Merksatz:

Session = zusammenhängende Sitzung.

Ein Session-Timeout beendet eine Sitzung nach einer bestimmten Zeit ohne Aktivität oder nach Ablauf einer festgelegten Zeit.

Zweck:

Sicherheit erhöhen

verlassene Sitzungen beenden

Ressourcen freigeben

Merksatz:

Timeout beendet inaktive oder abgelaufene Sitzungen.

Wahrscheinlich betroffen:

OSI-Schicht 5

Mögliche Ursachen:

Session-Timeout zu kurz

Cookie wird nicht gespeichert

Token läuft ab

Load Balancer ohne Session Persistence

Browser blockiert Cookies

Merksatz:

Ständige Abmeldung:
Session,
Cookie
oder Token prüfen.

Ein Cookie ist eine kleine Information, die der Browser für eine Webseite speichert.

Nutzung:

Session-ID speichern

Login-Status unterstützen

Einstellungen speichern

Warenkorb erhalten

Sicherheitsattribute:

Secure

HttpOnly

SameSite

Merksatz:

Cookie kann helfen,
eine Sitzung wiederzuerkennen.

Secure bedeutet:

Das Cookie soll nur über HTTPS übertragen werden.

Ziel:

Schutz vor Übertragung über unverschlüsselte Verbindungen.

Merksatz:

Secure-Cookie nur über HTTPS.

HttpOnly bedeutet:

Das Cookie soll nicht durch JavaScript ausgelesen werden können.

Ziel:

Risiko bei XSS-Angriffen reduzieren.

Merksatz:

HttpOnly erschwert Cookie-Diebstahl per JavaScript.

SameSite steuert, ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden.

Ziel:

Schutz gegen CSRF-Angriffe verbessern.

Merksatz:

SameSite hilft gegen CSRF.

TLS steht für:

Transport Layer Security

Aufgabe:

verschlüsselte und abgesicherte Kommunikation ermöglichen.

TLS schützt unter anderem:

Vertraulichkeit

Integrität

Authentizität des Servers über Zertifikate

Typisch bei:

HTTPS

Merksatz:

TLS verschlüsselt und schützt die Verbindung.

Am besten passt:

OSI-Schicht 6

Begründung:

TLS,
Zertifikate,
Verschlüsselung
und Darstellung der Daten werden typischerweise der Darstellungsschicht zugeordnet.

Merksatz:

TLS und Zertifikate:
Schicht 6.

Ein Zertifikat bestätigt die Identität eines Servers oder einer Stelle.

Es enthält unter anderem:

Namen des Inhabers

öffentlichen Schlüssel

Aussteller

Gültigkeitszeitraum

Signatur der Zertifizierungsstelle

Zweck:

Serverauthentizität prüfen

verschlüsselte Verbindung absichern

Merksatz:

Zertifikat bestätigt:
Dieser Server ist der richtige.

Typische Fehler:

Zertifikat abgelaufen

Hostname passt nicht

Zertifikatskette unvollständig

Zertifizierungsstelle nicht vertrauenswürdig

Systemzeit falsch

falsches Zertifikat installiert

Merksatz:

Zertifikatsfehler:
Ablauf,
Name,
Kette,
Vertrauen,
Zeit.

Prüfen:

Ablaufdatum des Zertifikats

Hostname / SAN / CN

Zertifikatskette

vertrauenswürdige CA

Systemzeit des Clients

richtiges Zertifikat auf dem Server

Merksatz:

Zertifikatswarnung:
Ablauf,
Name,
Kette
und Zeit prüfen.

HTTP:

unverschlüsselte Webkommunikation

typischer Port:
TCP 80

HTTPS:

HTTP über TLS

verschlüsselte Webkommunikation

typischer Port:
TCP 443

Merksatz:

HTTPS = HTTP plus TLS.

HTTP gehört zu:

OSI-Schicht 7

Begründung:

HTTP ist ein Anwendungsprotokoll für Webkommunikation.

Merksatz:

HTTP = Anwendungsschicht.

Merksatz:

4xx eher Client,
Anfrage
oder Rechte.

5xx eher Server,
Anwendung
oder Backend.

HTTP 401 bedeutet:

nicht authentifiziert

Der Benutzer ist nicht oder nicht korrekt angemeldet.

Merksatz:

401 = Anmeldung fehlt oder ungültig.

HTTP 403 bedeutet:

verboten

Der Benutzer ist zwar möglicherweise bekannt, hat aber keine Berechtigung für die Ressource.

Merksatz:

403 = Zugriff verboten.

HTTP 404 bedeutet:

nicht gefunden

Die angeforderte Ressource existiert unter dieser Adresse nicht oder ist nicht erreichbar.

Merksatz:

404 = Ressource nicht gefunden.

HTTP 500 bedeutet:

interner Serverfehler

Das Problem liegt eher auf Serverseite, zum Beispiel in Anwendung, Konfiguration oder Backend.

Merksatz:

500 = serverseitiger Anwendungsfehler.

HTTP 502 bedeutet:

Bad Gateway

Typisch bei:

Reverse Proxy

Load Balancer

Gateway

Mögliche Ursache:

Backend nicht erreichbar

Backend antwortet fehlerhaft

falsche Proxy-Konfiguration

Merksatz:

502:
Gateway oder Proxy erreicht Backend nicht korrekt.

DNS steht für:

Domain Name System

Aufgabe:

Namen in IP-Adressen auflösen.

Beispiel:

www.example.com

wird zu:

IPv4- oder IPv6-Adresse

OSI-Schicht:

Schicht 7

Merksatz:

DNS löst Namen auf.

Wahrscheinlich:

DNS-Problem

Begründung:

Die IP-Kommunikation funktioniert,
aber die Namensauflösung funktioniert nicht korrekt.

Prüfen:

DNS-Server

DNS-Eintrag

DNS-Cache

DNS-Suffix

Split-DNS

Merksatz:

IP ja,
Name nein:
DNS.

DHCP steht für:

Dynamic Host Configuration Protocol

Aufgabe:

automatische Verteilung von Netzwerkkonfigurationen.

Typische Informationen:

IP-Adresse

Subnetzmaske

Standardgateway

DNS-Server

Lease-Zeit

OSI-Schicht:

Schicht 7

Merksatz:

DHCP verteilt IP-Konfiguration.

DORA beschreibt den DHCP-Ablauf:

Discover

Offer

Request

Acknowledge

Merksatz:

DHCP-DORA:
Discover,
Offer,
Request,
Acknowledge.

DHCP nutzt:

UDP 67 für den DHCP-Server

UDP 68 für den DHCP-Client

Merksatz:

DHCP = UDP 67 und 68.

169.254.x.x ist eine APIPA-Adresse.

Bedeutung:

Der Client hat wahrscheinlich keine gültige Adresse per DHCP erhalten
und sich selbst eine automatische Adresse gegeben.

Merksatz:

169.254.x.x deutet auf DHCP-Problem hin.

SMTP steht für:

Simple Mail Transfer Protocol

Aufgabe:

E-Mails senden

Typische Nutzung:

Mailserver zu Mailserver

Mailversand durch Clients je nach Port und Konfiguration

Merksatz:

SMTP sendet E-Mails.

IMAP steht für:

Internet Message Access Protocol

Aufgabe:

E-Mails auf dem Mailserver abrufen und synchron verwalten.

Vorteil:

E-Mails bleiben serverseitig verwaltet
und sind auf mehreren Geräten synchron.

Merksatz:

IMAP synchronisiert E-Mails.

POP3 steht für:

Post Office Protocol Version 3

Aufgabe:

E-Mails vom Server abrufen.

Typisch:

eher einfaches Herunterladen von E-Mails

Merksatz:

POP3 ruft E-Mails ab,
IMAP synchronisiert sie.

Merksatz:

SMTP raus.
IMAP und POP3 rein.

SMB steht für:

Server Message Block

Aufgabe:

Datei- und Druckfreigaben im Netzwerk bereitstellen.

Typische Nutzung:

Netzlaufwerke

Windows-Freigaben

Druckerfreigaben

Typischer Port:

TCP 445

Merksatz:

SMB = Dateifreigaben über TCP 445.

FTP:

klassisches File Transfer Protocol

meist TCP 21

unverschlüsselt

FTPS:

FTP mit TLS

SFTP:

Dateiübertragung über SSH

meist TCP 22

Merksatz:

FTPS = FTP mit TLS.
SFTP = Dateiübertragung über SSH.

Wahrscheinlich:

Autorisierungs- oder Berechtigungsproblem

Begründung:

Die Anmeldung funktioniert bereits.
Das Problem liegt daher eher bei Rechten,
Gruppen,
ACLs,
Freigaberechten
oder Dateisystemrechten.

Merksatz:

Login ja,
Zugriff nein:
Rechte prüfen.

Wahrscheinlich:

Authentifizierungsproblem

Mögliche Ursachen:

falsches Passwort

Konto gesperrt

MFA-Problem

Verzeichnisdienst nicht erreichbar

Zeitproblem bei Kerberos oder Token

Merksatz:

Anmeldung scheitert:
Authentifizierung prüfen.

B ist besser.

Begründung:

Die Antwort ordnet den Statuscode fachlich korrekt ein
und nennt eine sinnvolle Prüfung.

Merksatz:

5xx:
Server,
Anwendung
oder Backend prüfen.

B ist besser.

Begründung:

Die Antwort nennt die technischen Sicherheitsfunktionen:
Verschlüsselung
und Zertifikatsprüfung.

Merksatz:

HTTPS = HTTP plus TLS.

Eine Firewall filtert Netzwerkverkehr.

Sie entscheidet anhand von Regeln, ob Verkehr erlaubt oder blockiert wird.

Typische Kriterien:

Quelle

Ziel

Port

Protokoll

Richtung

Zone

Benutzer

Anwendung

Zustand der Verbindung

Merksatz:

Firewall = kontrollierter Verkehr.

Eine saubere Firewall-Regel enthält:

Quelle

Ziel

Protokoll

Port

Richtung

Aktion

Zweck

Verantwortlicher

Datum oder Änderungsgrund

Beispiel:

Merksatz:

Firewall-Regeln brauchen Quelle,
Ziel,
Port,
Protokoll
und Zweck.

Default Deny bedeutet:

Standardmäßig ist Verkehr verboten.

Nur ausdrücklich erlaubter Verkehr wird zugelassen.

Vorteile:

kleinere Angriffsfläche

bessere Kontrolle

weniger unbeabsichtigte Freigaben

klarere Sicherheitsstruktur

Merksatz:

Erst blockieren,
dann gezielt erlauben.

Any-to-Any bedeutet:

jede Quelle

zu

jedem Ziel

Risiken:

sehr große Angriffsfläche

schlechte Nachvollziehbarkeit

Sicherheitszonen werden umgangen

unnötige Freigaben

Fehler schwerer erkennbar

Besser:

genaue Regel mit Quelle,
Ziel,
Port,
Protokoll
und dokumentiertem Zweck.

Merksatz:

Any-to-Any ist fast immer kritisch.

Stateless Firewall:

prüft jedes Paket einzeln

merkt sich keinen Verbindungszustand

Stateful Firewall:

merkt sich bestehende Verbindungen

lässt Antwortpakete zu bestehenden Verbindungen automatisch zu

Beispiel:

Client startet HTTPS-Verbindung nach außen.

Stateful Firewall erkennt,
dass die Antwortpakete zur bestehenden Verbindung gehören.

Merksatz:

Stateful Firewall kennt Verbindungszustände.

Eine Firewall-Zone ist ein Netzbereich mit bestimmtem Schutzbedarf.

Beispiele:

Internet

DMZ

internes Netz

Servernetz

Clientnetz

Gastnetz

Managementnetz

Ziel:

Regeln übersichtlich nach Sicherheitsbereichen aufbauen.

Merksatz:

Zonen strukturieren Sicherheitsregeln.

DMZ steht für:

Demilitarized Zone

Eine DMZ ist ein getrenntes Netzwerk für Dienste, die von außen erreichbar sein müssen.

Beispiele:

Webserver

Reverse Proxy

Mail-Gateway

VPN-Gateway

Ziel:

öffentliche Dienste vom internen Netz trennen.

Merksatz:

DMZ trennt öffentliche Dienste vom internen Netz.

Öffentlich erreichbare Server haben eine größere Angriffsfläche.

Wenn ein solcher Server kompromittiert wird, soll der Angreifer nicht direkt Zugriff auf interne Systeme erhalten.

Deshalb werden solche Systeme in eine DMZ gestellt und durch Firewall-Regeln vom internen Netz getrennt.

Merksatz:

Öffentliche Dienste gehören in eine getrennte Zone.

Sicherer ist:

B

Begründung:

Die Regel ist gezielter.
Sie erlaubt nur HTTPS-Verkehr zum Webserver in der DMZ.
Regel A erlaubt dagegen sehr breit Verkehr aus dem Internet ins interne Netz.

Merksatz:

Je genauer die Regel,
desto besser kontrollierbar.

NAT steht für:

Network Address Translation

Aufgabe:

IP-Adressen übersetzen.

Typischer Einsatz:

private interne IPv4-Adressen werden beim Zugriff ins Internet
in eine öffentliche IPv4-Adresse übersetzt.

Merksatz:

NAT übersetzt Adressen.

Gründe:

private IPv4-Adressen intern nutzen

öffentliche IPv4-Adressen sparen

vielen Clients Internetzugriff ermöglichen

interne Adressen nach außen verbergen

Wichtig:

NAT ersetzt keine Firewall.

Merksatz:

NAT hilft bei Adressübersetzung,
ist aber kein vollständiges Sicherheitskonzept.

Private IPv4-Bereiche:

Merksatz:

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT, bei der zusätzlich Portnummern genutzt werden.

Zweck:

Viele interne Clients können über eine öffentliche IP-Adresse ins Internet,
weil Verbindungen über Ports unterschieden werden.

Merksatz:

PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.

NAT:

übersetzt IP-Adressen

PAT:

übersetzt IP-Adressen und Ports

Typischer Praxisfall:

Viele interne Geräte nutzen über PAT eine gemeinsame öffentliche IP-Adresse.

Merksatz:

NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.

Portweiterleitung bedeutet:

Eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.

Beispiel:

öffentliche IP:
TCP 443

wird weitergeleitet an:

interner Webserver:
192.168.10.20 TCP 443

Merksatz:

Portweiterleitung macht interne Dienste von außen erreichbar.

Portweiterleitung macht einen internen Dienst von außen erreichbar.

Dadurch kann der Dienst aus dem Internet angegriffen werden.

Risiken:

Exploits

Brute-Force-Angriffe

Fehlkonfiguration

Datenabfluss

DoS

Schutzmaßnahmen:

nur notwendige Ports freigeben

Dienst patchen

starke Authentifizierung

TLS nutzen

Logging aktivieren

Zugriff einschränken

DMZ verwenden

Merksatz:

Jeder veröffentlichte Port ist eine mögliche Angriffsfläche.

Ausgehendes NAT:

interne Clients greifen nach außen zu

private IP wird nach außen übersetzt

Portweiterleitung:

externe Clients greifen auf internen Dienst zu

externer Port wird nach intern weitergeleitet

Merksatz:

NAT nach außen ist nicht dasselbe wie Zugriff von außen nach innen.

NAT:

übersetzt Adressen

Firewall:

erlaubt oder blockiert Verkehr

Wichtig:

Viele Geräte kombinieren beide Funktionen.
Fachlich bleiben sie verschieden.

Merksatz:

NAT übersetzt.
Firewall filtert.

Mögliche Ursachen:

Standardgateway fehlt

Standardgateway falsch

Routingfehler

NAT fehlt oder fehlerhaft

Firewall blockiert

Providerverbindung gestört

DNS zusätzlich bei Zugriff über Namen

Merksatz:

Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.

Eher nein.

Wenn externe IP-Adressen erreichbar sind, funktionieren Gateway, Routing und NAT wahrscheinlich grundsätzlich.

Wenn nur Namen nicht funktionieren, ist DNS wahrscheinlicher.

Merksatz:

IP ja,
Name nein:
DNS.

Mögliche Ursachen:

falscher externer Port

falsche interne IP-Adresse

falscher interner Port

Webdienst läuft nicht

Dienst lauscht nicht auf richtiger Schnittstelle

lokale Firewall blockiert

Router-Firewall blockiert

NAT-Regel fehlt oder falsch

DNS zeigt auf falsche öffentliche IP

doppeltes NAT

CGNAT beim Provider

Zertifikat oder Anwendung fehlerhaft

Merksatz:

Portweiterleitung braucht DNS,
NAT,
Firewall
und laufenden Dienst.

Doppeltes NAT bedeutet:

Verkehr wird durch zwei NAT-Geräte übersetzt.

Beispiel:

Provider-Router

und dahinter

eigener Router

Problem:

Portweiterleitungen werden schwieriger,
weil beide Geräte korrekt konfiguriert werden müssen.

Merksatz:

Doppeltes NAT erschwert eingehende Verbindungen.

CGNAT steht für:

Carrier-Grade NAT

Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.

Problem:

Der Kunde hat oft keine eigene öffentlich erreichbare IPv4-Adresse.
Eingehende Portweiterleitungen funktionieren dadurch meist nicht direkt.

Merksatz:

CGNAT erschwert Zugriff von außen auf eigene Dienste.

Bei CGNAT liegt die öffentliche IPv4-Adresse nicht direkt am eigenen Router.

Der Router ist hinter einer NAT-Struktur des Providers.

Dadurch erreichen eingehende Verbindungen die eigene Portweiterleitung nicht direkt.

Merksatz:

Ohne eigene öffentliche IPv4-Adresse ist Portweiterleitung von außen schwierig.

Hairpin NAT oder NAT Loopback bedeutet:

Ein interner Client greift über die öffentliche Adresse oder Domain
auf einen internen Dienst zu.

Der Router leitet die Verbindung wieder zurück ins interne Netz.

Problem:

Nicht jeder Router unterstützt das sauber.

Merksatz:

Hairpin NAT betrifft internen Zugriff über externe Adresse.

Mögliche Ursachen:

Portweiterleitung fehlt

externe Firewall blockiert

öffentliche IP falsch

DNS zeigt falsch

doppeltes NAT

CGNAT

Dienst bindet nur an interne Adresse

Zertifikat oder Hostname falsch

Provider blockiert Port

Merksatz:

Intern erreichbar heißt nicht automatisch extern erreichbar.

Mögliche Ursachen:

Hairpin NAT fehlt

Split-DNS fehlt

interne DNS-Auflösung zeigt auf falsche Adresse

Firewall-Regel für internen Zugriff fehlt

Zertifikat oder Hostname passt nicht

Merksatz:

Externe Domain intern nutzen:
Hairpin NAT oder Split-DNS prüfen.

Split-DNS bedeutet:

Ein Name kann intern und extern unterschiedlich aufgelöst werden.

Beispiel:

extern:
app.firma.de zeigt auf öffentliche IP

intern:
app.firma.de zeigt auf interne IP

Vorteil:

interne Clients können den Dienst direkt intern erreichen,
ohne Hairpin NAT zu benötigen.

Merksatz:

Split-DNS kann interne und externe Wege trennen.

Sinnvolle Regel:

Quelle:
Internet

Ziel:
Webserver in der DMZ

Protokoll:
TCP

Port:
443

Aktion:
erlauben

Zweck:
HTTPS-Zugriff auf Webserver

Wichtig:

Nicht pauschal Zugriff vom Internet ins interne Netz erlauben.

Merksatz:

Öffentlich nur den benötigten Dienst freigeben.

Gezielte Regel:

Quelle:
Webserver-DMZ

Ziel:
Datenbankserver intern

Protokoll:
TCP

Port:
Datenbankport,
zum Beispiel 5432 oder 3306

Aktion:
erlauben

Zweck:
Anwendung greift auf Datenbank zu

Wichtig:

Nur exakt benötigten Zugriff erlauben.
Kein Any-to-Any zwischen DMZ und internem Netz.

Merksatz:

DMZ zu intern nur minimal und gezielt erlauben.

Ein Datenbankserver enthält oft sensible Daten und ist ein attraktives Angriffsziel.

Risiken:

Brute Force

Exploits

Datenabfluss

Manipulation

DoS

Besser:

Zugriff nur vom Anwendungsserver

Firewall-Beschränkung

kein direkter Internetzugriff

starke Authentifizierung

Monitoring

Merksatz:

Datenbankports gehören nicht offen ins Internet.

Typische Regeln:

Gastnetz zu Internet:
erlauben

Gastnetz zu internem Netz:
blockieren

Gastnetz zu Managementnetz:
blockieren

Gastnetz zu Servernetz:
blockieren,
außer ausdrücklich benötigte Dienste

Merksatz:

Gastnetz nur ins Internet,
nicht ins interne Netz.

Ein Managementnetz sollte nur für Administration genutzt werden.

Typische Regeln:

Adminnetz zu Servern:
benötigte Adminports erlauben

Adminnetz zu Switches:
SSH oder HTTPS erlauben

normale Clientnetze zu Management:
blockieren

Internet zu Management:
blockieren

Merksatz:

Managementzugänge besonders schützen.

Prüfen:

richtige öffentliche IP?

DNS zeigt auf richtige IP?

Portweiterleitung korrekt?

externe Firewall erlaubt?

interne Firewall erlaubt?

Dienst läuft intern?

Dienst lauscht auf richtigem Port?

Dienst lauscht auf richtiger Schnittstelle?

doppeltes NAT?

CGNAT?

Provider blockiert Port?

Merksatz:

Externer Porttest:
DNS,
NAT,
Firewall,
Dienst
und Provider prüfen.

Die Aussage ist zu ungenau.

Besser ist:

Quelle prüfen

Ziel prüfen

Port prüfen

Protokoll prüfen

Richtung prüfen

Zone prüfen

Regelreihenfolge prüfen

Firewall-Logs prüfen

Merksatz:

Firewallprüfung braucht konkrete Angaben.

Viele Firewalls verarbeiten Regeln in einer bestimmten Reihenfolge.

Eine frühere Regel kann spätere Regeln überdecken.

Beispiel:

Eine Block-Regel vor einer Erlauben-Regel kann Zugriff verhindern.

Merksatz:

Bei Firewalls auch Regelreihenfolge prüfen.

B ist besser.

Begründung:

Die Antwort trennt die Funktionen fachlich korrekt.

Merksatz:

NAT übersetzt,
Firewall kontrolliert.

B ist besser.

Begründung:

Die Antwort erklärt den Sicherheitszweck der DMZ.

Merksatz:

DMZ begrenzt Schaden bei öffentlichen Diensten.

B ist besser.

Begründung:

Die Antwort nennt systematisch die beteiligten Komponenten.

Merksatz:

Portweiterleitung ist Zusammenspiel aus DNS,
NAT,
Firewall
und Dienst.

B ist besser.

Begründung:

Die Antwort nennt konkrete Risiken
und eine bessere Alternative.

Merksatz:

Bewertung braucht Risiko und bessere Maßnahme.

VPN steht für:

Virtual Private Network

Ein VPN stellt eine geschützte Verbindung über ein unsicheres Netz her, zum Beispiel über das Internet.

Typische Ziele:

Vertraulichkeit

Integrität

Authentifizierung

sicherer Fernzugriff

Merksatz:

VPN = verschlüsselter Tunnel über unsicheres Netz.

VPN wird genutzt für:

sicheren Fernzugriff

Homeoffice

Standortvernetzung

Zugriff auf interne Dienste

geschützte Administration

sichere Kommunikation über das Internet

Merksatz:

VPN ermöglicht sicheren Zugriff auf interne Ressourcen.

Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation.

Typische Inhalte:

interne Webseiten

interne Dokumente

interne Anwendungen

interne Dateiablagen

interne Kommunikation

Zugriff:

normalerweise nur für berechtigte interne Benutzer.

Merksatz:

Intranet = internes Netz oder internes Informationssystem.

Ein Extranet ist ein kontrollierter Zugriff auf interne Dienste für externe Personen oder Organisationen.

Beispiele:

Lieferantenportal

Kundenportal

Partnerzugang

externer Dienstleisterzugriff

Wichtig:

Zugriff ist begrenzt und kontrolliert.

Merksatz:

Extranet = kontrollierter Zugriff für Externe.

Intranet:

internes Netzwerk oder interne Dienste für eigene Organisation

Extranet:

kontrollierter Zugriff für externe Partner,
Kunden
oder Dienstleister

Merksatz:

Intranet intern.
Extranet kontrolliert extern.

Remote-Access-VPN bedeutet:

Ein einzelner Benutzer oder Client verbindet sich von außen sicher ins Firmennetz.

Typische Nutzung:

Homeoffice

Außendienst

Administratorzugriff

Zugriff auf interne Anwendungen

Merksatz:

Remote-Access-VPN = einzelner Benutzer ins Netz.

Site-to-Site-VPN bedeutet:

Zwei Netzwerke oder Standorte werden über einen VPN-Tunnel verbunden.

Beispiele:

Hauptstandort zu Filiale

Rechenzentrum zu Cloud-Netz

Firma zu Partnernetz

Merksatz:

Site-to-Site-VPN = Netz zu Netz.

Merksatz:

Remote Access = Benutzer.
Site-to-Site = Standort.

Ein VPN-Gateway ist die Gegenstelle, an der VPN-Verbindungen aufgebaut werden.

Beispiele:

Firewall

Router

VPN-Server

Cloud-VPN-Gateway

Aufgabe:

VPN-Tunnel terminieren

Benutzer oder Gegenstelle authentifizieren

Verkehr entschlüsseln und weiterleiten

Merksatz:

VPN-Gateway = Eingangspunkt des VPN-Tunnels.

Ein Tunnel bedeutet:

Daten werden in eine geschützte Verbindung eingepackt
und über ein anderes Netz transportiert.

Der eigentliche Datenverkehr ist dabei für das unsichere Netz geschützt.

Merksatz:

Tunnel = geschützter Transportweg durch ein anderes Netz.

VPN unterstützt besonders:

Vertraulichkeit

Integrität

Authentizität

Begründung:

Daten werden verschlüsselt,
Manipulationen können erkannt werden
und Gegenstellen werden authentifiziert.

Merksatz:

VPN schützt nicht nur den Weg,
sondern auch Identität und Datenintegrität.

Split-Tunneling bedeutet:

Nur bestimmter Verkehr läuft durch den VPN-Tunnel.

Beispiel:

Zugriff auf Firmennetz läuft durch VPN.

normaler Internetverkehr läuft direkt ins Internet.

Vorteil:

weniger Last auf VPN-Gateway

oft bessere Internetgeschwindigkeit

Risiko:

weniger zentrale Kontrolle des gesamten Verkehrs

Merksatz:

Split-Tunneling = nur ausgewählter Verkehr durch VPN.

Full-Tunneling bedeutet:

Der gesamte Netzwerkverkehr des Clients läuft durch den VPN-Tunnel.

Beispiel:

interne Dienste

Internetzugriff

DNS

Webverkehr

alles wird über das Firmennetz geleitet.

Vorteil:

zentrale Kontrolle

einheitliche Sicherheitsrichtlinien

Nachteil:

mehr Last auf VPN-Infrastruktur

Merksatz:

Full-Tunneling = gesamter Verkehr durch VPN.

Merksatz:

Split spart Last.
Full gibt mehr Kontrolle.

IPsec ist eine Protokollfamilie zur Absicherung von IP-Kommunikation.

Typische Nutzung:

Site-to-Site-VPN

Remote-Access-VPN

Eigenschaften:

Verschlüsselung

Integritätsschutz

Authentifizierung

Merksatz:

IPsec sichert IP-Verkehr.

IKEv2 steht für:

Internet Key Exchange Version 2

Aufgabe:

Aufbau und Aushandlung von IPsec-Verbindungen unterstützen.

IKEv2 wird häufig zusammen mit IPsec genutzt.

Merksatz:

IKEv2 hilft beim Aufbau von IPsec-VPNs.

OpenVPN ist eine VPN-Lösung, die häufig TLS zur Absicherung verwendet.

Typische Nutzung:

Remote-Access-VPN

flexible VPN-Szenarien

Eigenschaften:

weit verbreitet

zertifikatsbasiert möglich

über TCP oder UDP betreibbar

Merksatz:

OpenVPN nutzt häufig TLS und ist flexibel einsetzbar.

WireGuard ist ein modernes VPN-Protokoll.

Eigenschaften:

schlank

vergleichsweise einfach konfigurierbar

nutzt moderne Kryptografie

häufig gute Performance

Merksatz:

WireGuard ist ein schlankes modernes VPN-Protokoll.

Ein TLS-VPN nutzt TLS zur Absicherung der Verbindung.

Typisch:

Zugriff über VPN-Client

teilweise Zugriff über Browserportal

sichere Verbindung über bekannte Web-Techniken

Merksatz:

TLS-VPN nutzt TLS für geschützte Kommunikation.

Merksatz:

IPsec sichert IP.
IKEv2 handelt IPsec aus.
OpenVPN und TLS-VPN nutzen TLS-Techniken.
WireGuard ist modern und schlank.

VPN muss prüfen, wer oder was sich verbinden darf.

Mögliche Verfahren:

Benutzername und Passwort

MFA

Zertifikate

Schlüssel

Geräteprüfung

Ziel:

nur berechtigte Benutzer oder Standorte dürfen Zugriff erhalten.

Merksatz:

VPN ohne starke Authentifizierung ist ein hohes Risiko.

MFA schützt, wenn ein Passwort gestohlen wurde.

Ohne MFA reicht ein gestohlenes Passwort eventuell für VPN-Zugriff.

Mit MFA wird zusätzlich ein zweiter Faktor benötigt.

Merksatz:

VPN plus MFA schützt besser gegen Passwortmissbrauch.

Risiken:

Passwortmissbrauch

Brute-Force-Angriffe

Credential Stuffing

unberechtigter Zugriff ins interne Netz

laterale Bewegung nach erfolgreichem Login

Datenabfluss

Merksatz:

VPN-Zugang ist ein Eingang ins Netz und muss stark geschützt werden.

VPN-Routing bestimmt, welche Zielnetze über den VPN-Tunnel erreichbar sind.

Beispiele:

10.10.0.0/16 über VPN

192.168.50.0/24 über VPN

Wichtig:

Routen müssen auf Client,
VPN-Gateway
und Gegenseite passen.

Merksatz:

VPN-Tunnel allein reicht nicht.
Die Routen müssen stimmen.

Mögliche Ursachen:

fehlende VPN-Route

falsche Route

Firewall-Regel blockiert

DNS löst falsch auf

Benutzer hat keine Berechtigung

Zielnetz nicht erlaubt

Rückroute fehlt

IP-Adresskonflikt

Merksatz:

VPN verbunden heißt nicht automatisch,
dass alle internen Dienste erreichbar sind.

Ein IP-Adresskonflikt entsteht, wenn das lokale Netz des Benutzers denselben IP-Bereich nutzt wie das entfernte Firmennetz.

Beispiel:

Heimnetz:
192.168.1.0/24

Firmennetz:
192.168.1.0/24

Problem:

Der Client kann nicht eindeutig entscheiden,
ob ein Ziel lokal oder über VPN erreichbar ist.

Merksatz:

Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme.

Interne Dienste werden oft über interne Namen angesprochen.

Beispiele:

intranet.firma.local

fileserver.intern

app.firma.de intern

VPN muss häufig passende DNS-Server oder DNS-Suffixe bereitstellen.

Merksatz:

VPN braucht oft internes DNS.

Wahrscheinlich:

DNS-Problem im VPN

Mögliche Ursachen:

falscher DNS-Server

DNS-Server nicht über VPN erreichbar

DNS-Suffix fehlt

Split-DNS falsch

DNS-Cache veraltet

Merksatz:

VPN-IP ja,
VPN-Name nein:
VPN-DNS prüfen.

Split-DNS bedeutet:

interne und externe DNS-Auflösung liefern unterschiedliche Antworten.

Beispiel:

intern über VPN:
app.firma.de zeigt auf private IP

extern:
app.firma.de zeigt auf öffentliche IP

Merksatz:

Split-DNS sorgt dafür,
dass interne Namen über VPN passend aufgelöst werden.

Firewalls können VPN-Verkehr blockieren, wenn benötigte Protokolle oder Ports nicht erlaubt sind.

Außerdem können Regeln nach erfolgreichem VPN-Aufbau den Zugriff auf interne Ziele blockieren.

Prüfen:

VPN-Aufbau erlaubt?

Zielnetz erlaubt?

Benutzergruppe erlaubt?

Port zum Ziel erlaubt?

Richtung korrekt?

Logs prüfen.

Merksatz:

VPN braucht Regeln für Tunnelaufbau und Zielzugriff.

Bei direkter Portweiterleitung ist RDP direkt aus dem Internet erreichbar.

Risiken:

Brute Force

Exploits

Credential Stuffing

Bei VPN:

RDP ist nicht direkt öffentlich erreichbar.

Erst nach VPN-Authentifizierung ist Zugriff möglich.

Zusätzlich sinnvoll:

MFA

Firewall-Regeln

Logging

Zugriff nur für Adminnetz oder Benutzergruppen

Merksatz:

VPN schützt Adminzugriffe besser als direkt veröffentlichte Ports.

Nein.

VPN muss sicher konfiguriert werden.

Wichtige Maßnahmen:

MFA

starke Authentifizierung

aktuelle VPN-Software

sichere Verschlüsselung

Rechtebegrenzung

Logging

Zugriff nach Gruppen

Geräteprüfung

keine unnötigen Zielnetze freigeben

Merksatz:

VPN ist nur so sicher wie seine Konfiguration.

Least Privilege bei VPN bedeutet:

Benutzer erhalten nur Zugriff auf die Netze und Dienste,
die sie wirklich benötigen.

Beispiele:

Dienstleister nur auf einen Server

Mitarbeiter nur auf benötigte Anwendungen

Adminzugriff nur aus Adminrollen

Merksatz:

VPN-Zugang nicht pauschal ins gesamte Netz erlauben.

Sinnvolle Logs:

erfolgreiche Anmeldungen

fehlgeschlagene Anmeldungen

Benutzername

Quell-IP

Zeitpunkt

zugewiesene VPN-IP

verwendete Authentifizierung

getrennte Verbindungen

auffällige Loginversuche

Zugriff auf Zielsysteme je nach System

Merksatz:

VPN-Logs sind wichtig für Sicherheit und Fehlersuche.

Ein Site-to-Site-VPN zwischen Firma und Cloud verbindet:

lokales Firmennetz

mit

Cloud-Netzwerk

Beispiel:

internes Rechenzentrum

zu

Cloud-VPC oder virtuellem Netzwerk

Ziel:

private Kommunikation zwischen Standorten und Cloud-Ressourcen.

Merksatz:

Site-to-Site kann auch On-Premises und Cloud verbinden.

Mögliche Ursachen:

Rückroute fehlt

Firewall blockiert Rückverkehr

falsche Phase-2-Netze bei IPsec

NAT-Regel greift falsch

asymmetrisches Routing

Security Group oder Cloud-Firewall blockiert

lokale ACL blockiert

Merksatz:

Kommunikation braucht Hinweg und Rückweg.

Ein VPN-Client ist die Software oder Funktion auf dem Endgerät, die eine VPN-Verbindung zum VPN-Gateway aufbaut.

Beispiele:

Firmenlaptop mit VPN-Software

Smartphone mit VPN-Profil

Betriebssystemeigener VPN-Client

Merksatz:

VPN-Client baut den Tunnel zum Gateway auf.

B ist besser.

Begründung:

Die Antwort leitet die Prüfung aus dem Fehlerbild ab
und unterscheidet IP-Erreichbarkeit von Namensauflösung.

Merksatz:

IP ja,
Name nein:
DNS.

B ist besser.

Begründung:

Die Antwort nennt das Prinzip
und erklärt die Sicherheitswirkung.

Merksatz:

Sicherheitsantwort:
Risiko,
Maßnahme,
Wirkung.

B ist besser.

Begründung:

Die Antwort nennt das konkrete Risiko
und beschreibt die bessere Schutzwirkung.

Merksatz:

Nicht Adminports veröffentlichen,
sondern sicheren Zugang davor setzen.

Cloud Computing bedeutet: