# 5. OSI-Schicht 2 – Sicherungsschicht # 5.1 OSI-Schicht 2 – Sicherungsschicht Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie liegt direkt über der Bitübertragungsschicht. Während Schicht 1 nur Bits als Signale überträgt, organisiert Schicht 2 diese Bits zu sinnvollen Übertragungseinheiten im lokalen Netzwerk. Diese Übertragungseinheiten heißen: Frames Bei Ethernet spricht man deshalb auch von: Ethernet-Frames Merksatz: Schicht 2 = Frames und MAC-Adressen. --- **Grundaufgabe der Sicherungsschicht** Die Hauptaufgabe der Sicherungsschicht ist: Daten im lokalen Netzwerk zuverlässig von einem Gerät zum nächsten übertragen. Dabei geht es besonders um: - Frames - MAC-Adressen - lokale Zustellung - Zugriff auf das Übertragungsmedium - Fehlererkennung - Switches - VLANs - Broadcasts - Kollisions- und Broadcast-Domänen Wichtig: Schicht 2 arbeitet innerhalb eines lokalen Netzwerks. Schicht 3 ist für IP und Routing zwischen Netzwerken zuständig. Merksatz: Schicht 2 kümmert sich um die lokale Übertragung im LAN. --- **Einordnung im OSI-Modell** | OSI-Schicht | Name | Aufgabe | |---:|---|---| | 7 | Anwendungsschicht | Netzwerkdienste für Anwendungen | | 6 | Darstellungsschicht | Darstellung, Codierung, Verschlüsselung | | 5 | Sitzungsschicht | Sitzungen verwalten | | 4 | Transportschicht | Transport zwischen Anwendungen | | 3 | Vermittlungsschicht | IP-Adressierung und Routing | | 2 | Sicherungsschicht | Frames, MAC-Adressen, lokale Übertragung | | 1 | Bitübertragungsschicht | Bits als Signale übertragen | Merksatz: Schicht 1 = Bits. Schicht 2 = Frames. Schicht 3 = IP-Pakete. --- **Warum braucht man Schicht 2?** Schicht 1 überträgt nur einzelne Bits. Aber ein Netzwerkgerät muss wissen: Wo beginnt eine Datenübertragung? Wo endet sie? Für welches Gerät ist sie bestimmt? Von welchem Gerät kommt sie? Ist der Frame beschädigt? Soll der Frame weitergeleitet werden? Diese Aufgaben übernimmt Schicht 2. Merksatz: Schicht 2 macht aus reiner Bitübertragung eine lokale Datenübertragung. --- **Begriff: Frame** Ein Frame ist die Datenübertragungseinheit auf Schicht 2. Bei Ethernet spricht man von: Ethernet-Frame Ein Frame enthält unter anderem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Nutzdaten - Prüfinformationen Vereinfacht: Ein Frame ist ein Datenpaket für das lokale Netzwerk. Fachlich genauer: Ein Frame ist die Protocol Data Unit der Sicherungsschicht. Merksatz: Frame = Datenrahmen auf Schicht 2. --- **Frame und Paket unterscheiden** Die Begriffe Frame und Paket werden im Alltag oft vermischt. Fachlich sollte man unterscheiden: | Begriff | Schicht | Bedeutung | |---|---:|---| | Frame | Schicht 2 | lokale Übertragung mit MAC-Adressen | | Paket | Schicht 3 | IP-Übertragung zwischen Netzwerken | | Segment | Schicht 4 | TCP-Datenübertragung | | Datagramm | Schicht 4 | UDP-Datenübertragung | Prüfungsfalle: Ethernet arbeitet mit Frames, IP arbeitet mit Paketen. Merksatz: Schicht 2 = Frame. Schicht 3 = Paket. --- **Begriff: MAC-Adresse** MAC steht für: Media Access Control Eine MAC-Adresse ist eine Hardwareadresse einer Netzwerkschnittstelle. Beispiele für Netzwerkschnittstellen: - Ethernet-Netzwerkkarte - WLAN-Adapter - Switch-Port mit eigener Management-Schnittstelle - virtuelle Netzwerkkarte Eine MAC-Adresse dient zur lokalen Adressierung im Netzwerk. Merksatz: MAC-Adresse = lokale Hardwareadresse einer Netzwerkschnittstelle. --- **Aufbau einer MAC-Adresse** Eine MAC-Adresse besteht aus 48 Bit. Sie wird häufig hexadezimal dargestellt. Beispiel: 00:1A:2B:3C:4D:5E Oder auch: 00-1A-2B-3C-4D-5E Hexadezimal bedeutet: Darstellung mit den Zeichen 0 bis 9 und A bis F. Merksatz: MAC-Adresse = 48 Bit, meist hexadezimal dargestellt. --- **Quell-MAC-Adresse und Ziel-MAC-Adresse** Ein Ethernet-Frame enthält normalerweise: - Ziel-MAC-Adresse - Quell-MAC-Adresse Die Ziel-MAC-Adresse gibt an: An welches Gerät im lokalen Netzwerk soll der Frame gehen? Die Quell-MAC-Adresse gibt an: Von welchem Gerät kommt der Frame? Beispiel: PC A sendet an PC B. Dann enthält der Frame: Quell-MAC-Adresse: MAC von PC A Ziel-MAC-Adresse: MAC von PC B Merksatz: Ziel-MAC = wohin im lokalen Netz. Quell-MAC = woher im lokalen Netz. --- **Lokale Bedeutung der MAC-Adresse** MAC-Adressen gelten für die lokale Übertragung im gleichen Netzwerksegment. Wichtig: MAC-Adressen werden nicht über Router hinweg unverändert für die gesamte Strecke verwendet. Wenn ein IP-Paket über mehrere Router läuft, ändern sich auf jedem lokalen Abschnitt die Schicht-2-Adressen. Die IP-Adressen bleiben dagegen grundsätzlich Ende-zu-Ende erhalten, außer bei NAT. Merksatz: MAC-Adressen gelten lokal. IP-Adressen gelten netzübergreifend. --- **Beispiel: MAC und IP** Ein PC möchte eine Webseite im Internet öffnen. Dabei gibt es mehrere Ebenen: Schicht 2: lokale Zustellung zum nächsten Gerät, zum Beispiel Router Schicht 3: IP-Zustellung zum Zielnetz Vereinfacht: Der PC sendet den Ethernet-Frame lokal an die MAC-Adresse des Routers. Im IP-Paket steht aber die IP-Adresse des Webservers. Merksatz: MAC bringt den Frame zum nächsten lokalen Ziel. IP bringt das Paket zum Zielnetz. --- **Schicht 2 im lokalen Netzwerk** Schicht 2 ist besonders wichtig im LAN. LAN steht für: Local Area Network Typische Schicht-2-Techniken im LAN: - Ethernet - WLAN - Switches - MAC-Adressen - VLANs - ARP im Zusammenspiel mit IP - Broadcasts Merksatz: Schicht 2 ist die lokale Ebene im LAN. --- **Ethernet** Ethernet ist die wichtigste LAN-Technik in kabelgebundenen Netzwerken. Ethernet beschreibt unter anderem: - Frame-Aufbau - MAC-Adressen - Zugriff auf das Medium - Übertragungsstandards - Zusammenarbeit mit Schicht 1 Ethernet betrifft Schicht 1 und Schicht 2. Schicht 1: physische Übertragung Schicht 2: Frames und MAC-Adressen Merksatz: Ethernet verbindet Schicht 1 und Schicht 2. --- **WLAN und Schicht 2** Auch WLAN arbeitet mit Schicht-2-Konzepten. Bei WLAN gibt es ebenfalls: - MAC-Adressen - Frames - Zugriff auf das Medium - Authentifizierung und Assoziierung - SSID - Access Points WLAN unterscheidet sich technisch von Ethernet, erfüllt aber ebenfalls Aufgaben der Sicherungsschicht. Merksatz: WLAN hat ebenfalls Schicht-2-Funktionen. --- **Begriff: Switch** Ein Switch ist ein Netzwerkgerät, das auf Schicht 2 arbeitet. Ein Switch leitet Ethernet-Frames anhand von MAC-Adressen weiter. Er merkt sich, an welchem Port welche MAC-Adresse erreichbar ist. Diese Informationen speichert er in einer Tabelle. Diese Tabelle nennt man häufig: MAC-Adresstabelle Oder: Switching-Tabelle Merksatz: Switch = Schicht-2-Gerät für gezielte Frame-Weiterleitung. --- **Hub und Switch unterscheiden** Ein Hub arbeitet auf Schicht 1. Ein Switch arbeitet typischerweise auf Schicht 2. | Gerät | Schicht | Arbeitsweise | |---|---:|---| | Hub | 1 | verteilt Signale an alle Ports | | Switch | 2 | leitet Frames anhand von MAC-Adressen weiter | Wichtig: Ein Switch ist intelligenter als ein Hub, weil er MAC-Adressen auswertet. Merksatz: Hub verteilt blind. Switch entscheidet anhand von MAC-Adressen. --- **MAC-Adresstabelle** Ein Switch lernt MAC-Adressen automatisch. Wenn ein Frame an einem Switch-Port eingeht, merkt sich der Switch: Diese Quell-MAC-Adresse ist an diesem Port erreichbar. Beispiel: Frame kommt an Port 3 an. Quell-MAC-Adresse ist AA:BB:CC:11:22:33. Der Switch merkt sich: AA:BB:CC:11:22:33 → Port 3 Merksatz: Switch lernt MAC-Adressen über die Quell-MAC-Adresse. --- **Frame-Weiterleitung durch den Switch** Wenn ein Switch einen Frame erhält, prüft er die Ziel-MAC-Adresse. Dann gibt es drei typische Fälle: | Fall | Verhalten | |---|---| | Ziel-MAC bekannt | Frame wird gezielt an passenden Port weitergeleitet | | Ziel-MAC unbekannt | Frame wird an mehrere Ports geflutet | | Ziel-MAC ist Broadcast | Frame wird an alle relevanten Ports gesendet | Dieses Fluten nennt man: Flooding Merksatz: Bekannte MAC = gezielt. Unbekannte MAC = Flooding. --- **Broadcast** Ein Broadcast ist eine Nachricht an alle Geräte im lokalen Netz. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Broadcasts werden zum Beispiel verwendet bei: - ARP-Anfragen - DHCP-Anfragen - bestimmten lokalen Such- und Steuerdiensten Wichtig: Broadcasts bleiben normalerweise innerhalb einer Broadcast-Domäne. Merksatz: Broadcast = Nachricht an alle im lokalen Netz. --- **Broadcast-Domäne** Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden. Alle Geräte in derselben Broadcast-Domäne können Broadcasts voneinander empfangen. Typisch: Ein VLAN bildet eine eigene Broadcast-Domäne. Router trennen Broadcast-Domänen. Merksatz: Broadcast-Domäne = Bereich, in dem Broadcasts weitergegeben werden. --- **Kollisionsdomäne** Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können. Bei einem Hub: alle Ports gehören zu einer gemeinsamen Kollisionsdomäne. Bei einem Switch: jeder Port ist normalerweise eine eigene Kollisionsdomäne. In modernen Vollduplex-Switch-Netzen spielen klassische Kollisionen praktisch keine Rolle mehr. Merksatz: Hub = eine Kollisionsdomäne. Switch = getrennte Kollisionsbereiche pro Port. --- **Fehlererkennung auf Schicht 2** Schicht 2 kann Übertragungsfehler erkennen. Dazu enthält ein Ethernet-Frame eine Prüfinformation. Diese nennt man: FCS FCS steht für: Frame Check Sequence Die FCS basiert auf einer Prüfsumme. Häufig wird dabei der Begriff CRC verwendet. CRC steht für: Cyclic Redundancy Check Merksatz: FCS/CRC erkennt beschädigte Frames. --- **Wichtig: Fehlererkennung ist nicht Fehlerkorrektur** Schicht 2 kann beschädigte Frames erkennen. Aber: Ethernet korrigiert fehlerhafte Frames normalerweise nicht. Wenn ein Frame fehlerhaft ist, wird er verworfen. Eine erneute Übertragung erfolgt dann gegebenenfalls durch höhere Schichten, zum Beispiel durch TCP. Merksatz: Schicht 2 erkennt viele Fehler, korrigiert sie aber normalerweise nicht selbst. --- **VLAN kurz eingeordnet** VLAN steht für: Virtual Local Area Network Ein VLAN ist ein logisch getrenntes Netzwerk auf Schicht 2. VLANs ermöglichen es, mehrere logische Netze über dieselbe physische Switch-Infrastruktur zu betreiben. Beispiel: | VLAN | Zweck | |---:|---| | VLAN 10 | Mitarbeiter | | VLAN 20 | Gäste | | VLAN 30 | Server | | VLAN 40 | VoIP | Merksatz: VLAN = logische Netztrennung auf Schicht 2. --- **Schicht 2 und ARP** ARP steht für: Address Resolution Protocol ARP verbindet Schicht 3 und Schicht 2. Aufgabe: Zu einer bekannten IP-Adresse wird die passende MAC-Adresse im lokalen Netzwerk gesucht. Beispiel: PC kennt IP-Adresse des Routers. PC braucht MAC-Adresse des Routers. ARP fragt im lokalen Netz nach der passenden MAC-Adresse. Merksatz: ARP findet zur IP-Adresse die passende MAC-Adresse im lokalen Netz. --- **Schicht 2 und IP unterscheiden** | Thema | Schicht | |---|---:| | MAC-Adresse | Schicht 2 | | Ethernet-Frame | Schicht 2 | | Switch | Schicht 2 | | VLAN | Schicht 2 | | IP-Adresse | Schicht 3 | | IP-Paket | Schicht 3 | | Router | Schicht 3 | | Routing | Schicht 3 | Merksatz: MAC = lokal. IP = netzübergreifend. --- **Was Schicht 2 nicht macht** Schicht 2 macht nicht: - Routing zwischen IP-Netzen - Auswahl des besten IP-Wegs - TCP-Verbindungsaufbau - UDP-Port-Auswertung - DNS-Auflösung - HTTP-Anfragen - Benutzeranmeldung in Anwendungen Diese Aufgaben gehören zu höheren Schichten. Merksatz: Schicht 2 leitet lokal weiter, aber routet nicht zwischen IP-Netzen. --- **Typische Schicht-2-Fehler** Typische Fehler auf Schicht 2 sind: - falsches VLAN - MAC-Adresse nicht gelernt - Broadcast-Stürme - Schleifen im Switch-Netz - STP-Probleme - Port im falschen Modus - fehlerhafte Trunk-Konfiguration - doppelte MAC-Adressen - falsche Access-Point- oder SSID-VLAN-Zuordnung Wichtig: Schicht-2-Probleme können so wirken, als wäre IP falsch, obwohl die Ursache im lokalen Netz liegt. Merksatz: Schicht-2-Fehler betreffen Frames, MACs, VLANs und lokale Weiterleitung. --- **Einordnung bei der Fehlersuche** Eine sinnvolle Reihenfolge: 1. Schicht 1 prüfen: Link, Kabel, Signal, Port 2. Schicht 2 prüfen: MAC-Adresse, VLAN, Switch-Port, Frames 3. Schicht 3 prüfen: IP-Adresse, Gateway, Routing 4. höhere Schichten prüfen: DNS, Ports, Anwendung Merksatz: Erst Link, dann MAC/VLAN, dann IP. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Sicherungsschicht? - Was ist ein Frame? - Was ist eine MAC-Adresse? - Wofür wird eine MAC-Adresse verwendet? - Was macht ein Switch? - Wie lernt ein Switch MAC-Adressen? - Was ist eine MAC-Adresstabelle? - Was ist ein Broadcast? - Was ist eine Broadcast-Domäne? - Was ist der Unterschied zwischen Hub und Switch? - Was ist ein VLAN? - Was ist der Unterschied zwischen MAC-Adresse und IP-Adresse? - Was macht ARP? - Was bedeutet FCS oder CRC? --- **Typische Prüfungsfallen** Schicht 2 arbeitet mit Frames, nicht mit IP-Paketen. MAC-Adressen sind Schicht 2. IP-Adressen sind Schicht 3. Ein Switch arbeitet typischerweise auf Schicht 2. Ein Router arbeitet typischerweise auf Schicht 3. Ein Hub arbeitet auf Schicht 1. Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse. Broadcast-MAC-Adresse ist FF:FF:FF:FF:FF:FF. VLANs trennen logisch auf Schicht 2. Ein VLAN ist nicht dasselbe wie ein IP-Subnetz, wird aber häufig zusammen damit geplant. ARP fragt nach der MAC-Adresse zu einer IP-Adresse im lokalen Netz. FCS/CRC erkennt beschädigte Frames, korrigiert sie aber normalerweise nicht. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Sicherungsschicht | OSI-Schicht 2 | | Frame | Datenrahmen auf Schicht 2 | | Ethernet-Frame | Frame im Ethernet-LAN | | MAC-Adresse | lokale Hardwareadresse einer Netzwerkschnittstelle | | Ziel-MAC | Empfängeradresse im lokalen Netz | | Quell-MAC | Absenderadresse im lokalen Netz | | Switch | Schicht-2-Gerät für Frame-Weiterleitung | | MAC-Adresstabelle | Tabelle mit MAC-Adresse und Switch-Port | | Flooding | Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC | | Broadcast | Nachricht an alle Geräte im lokalen Netz | | Broadcast-Domäne | Bereich, in dem Broadcasts verteilt werden | | Kollisionsdomäne | Bereich, in dem Kollisionen auftreten können | | VLAN | logisches LAN auf Schicht 2 | | ARP | sucht MAC-Adresse zu einer IP-Adresse im lokalen Netz | | FCS | Frame Check Sequence | | CRC | Prüfsummenverfahren zur Fehlererkennung | --- **IHK-sichere Kurzformulierung** Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie ist für die lokale Übertragung von Daten in Form von Frames zuständig. Im Ethernet-LAN werden dafür MAC-Adressen verwendet. Ein Ethernet-Frame enthält unter anderem eine Quell-MAC-Adresse und eine Ziel-MAC-Adresse. Switches arbeiten typischerweise auf Schicht 2 und leiten Frames anhand von MAC-Adressen weiter. Sie lernen MAC-Adressen über die Quelladresse eingehender Frames und speichern diese in einer MAC-Adresstabelle. VLANs ermöglichen eine logische Trennung von Netzbereichen auf Schicht 2. Fehlerhafte Frames können über FCS/CRC erkannt und verworfen werden. --- **Merksätze** Schicht 2 = Sicherungsschicht. Schicht 2 arbeitet mit Frames. Ethernet-Frame = Datenrahmen im LAN. MAC-Adresse = lokale Hardwareadresse. Ziel-MAC = wohin lokal. Quell-MAC = woher lokal. MAC ist Schicht 2. IP ist Schicht 3. Switch = Schicht 2. Hub = Schicht 1. Router = Schicht 3. Switch lernt über Quell-MAC-Adressen. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast = an alle. Broadcast-MAC = FF:FF:FF:FF:FF:FF. VLAN = logische Trennung auf Schicht 2. ARP verbindet IP-Adresse mit MAC-Adresse im lokalen Netz. FCS/CRC erkennt beschädigte Frames. Schicht 2 routet nicht zwischen IP-Netzen. # 5.2 Ethernet-Frame und MAC-Adressen Auf OSI-Schicht 2 werden Daten in sogenannten Frames übertragen. Bei Ethernet heißen diese Datenrahmen: Ethernet-Frames Ein Ethernet-Frame enthält alle Informationen, die für die lokale Übertragung im LAN notwendig sind. Besonders wichtig sind: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Nutzdaten - Prüfsumme Merksatz: Ethernet-Frame = Datenrahmen für die lokale Übertragung im Ethernet-LAN. --- **Warum gibt es Frames?** Schicht 1 überträgt nur Bits als Signale. Schicht 2 muss daraus geordnete Einheiten bilden. Ein Empfänger muss erkennen können: Wo beginnt die Übertragung? Wo endet die Übertragung? Von wem kommt sie? Für wen ist sie bestimmt? Sind die Daten beschädigt? Diese geordnete Einheit ist der Frame. Merksatz: Frames machen aus einzelnen Bits eine nutzbare lokale Datenübertragung. --- **Begriff: Frame** Ein Frame ist die Protocol Data Unit der OSI-Schicht 2. PDU steht für: Protocol Data Unit Auf Deutsch sinngemäß: Protokolldateneinheit Ein Frame ist also die typische Datenform auf der Sicherungsschicht. Vergleich: | Schicht | typische Datenform | |---|---| | Schicht 1 | Bits | | Schicht 2 | Frame | | Schicht 3 | Paket | | Schicht 4 | Segment oder Datagramm | Merksatz: Schicht 2 arbeitet mit Frames. --- **Ethernet-Frame vereinfacht** Ein Ethernet-Frame besteht vereinfacht aus mehreren Teilen. | Bestandteil | Aufgabe | |---|---| | Ziel-MAC-Adresse | Empfänger im lokalen Netzwerk | | Quell-MAC-Adresse | Absender im lokalen Netzwerk | | Typ / Länge | gibt an, welches Protokoll oder welche Länge folgt | | Nutzdaten | transportierte Daten höherer Schichten | | FCS | Prüfinformation zur Fehlererkennung | Vereinfacht: Ziel Absender Inhalt Prüfung Merksatz: Ein Ethernet-Frame enthält Ziel, Absender, Inhalt und Prüfinformation. --- **Ziel-MAC-Adresse** Die Ziel-MAC-Adresse gibt an, an welches Gerät der Frame im lokalen Netzwerk gesendet werden soll. Beispiel: PC A sendet an PC B. Dann steht im Ethernet-Frame: Ziel-MAC-Adresse = MAC-Adresse von PC B Die Ziel-MAC-Adresse ist für Switches besonders wichtig. Ein Switch prüft die Ziel-MAC-Adresse und entscheidet dann, an welchen Port der Frame weitergeleitet wird. Merksatz: Ziel-MAC = lokaler Empfänger des Frames. --- **Quell-MAC-Adresse** Die Quell-MAC-Adresse gibt an, von welchem Gerät der Frame stammt. Beispiel: PC A sendet an PC B. Dann steht im Ethernet-Frame: Quell-MAC-Adresse = MAC-Adresse von PC A Switches lernen MAC-Adressen über die Quell-MAC-Adresse. Wenn ein Frame an einem Switch-Port eingeht, merkt sich der Switch: Diese MAC-Adresse ist über diesen Port erreichbar. Merksatz: Quell-MAC = lokaler Absender des Frames. --- **MAC-Adresse** MAC steht für: Media Access Control Eine MAC-Adresse ist eine lokale Hardwareadresse einer Netzwerkschnittstelle. Typische Netzwerkschnittstellen: - Ethernet-Port - WLAN-Adapter - virtuelle Netzwerkkarte - Server-Netzwerkkarte - USB-LAN-Adapter Eine MAC-Adresse identifiziert eine Schnittstelle im lokalen Netzwerk. Merksatz: MAC-Adresse = lokale Adresse einer Netzwerkschnittstelle. --- **Aufbau einer MAC-Adresse** Eine klassische MAC-Adresse hat: 48 Bit Sie wird meist hexadezimal dargestellt. Beispiel: 00:1A:2B:3C:4D:5E Oder: 00-1A-2B-3C-4D-5E Hexadezimal bedeutet: Ziffern 0 bis 9 und Buchstaben A bis F Ein Byte wird dabei durch zwei Hex-Zeichen dargestellt. Merksatz: MAC-Adresse = 48 Bit, meist hexadezimal geschrieben. --- **OUI und Geräteanteil** Eine MAC-Adresse kann in zwei Bereiche unterteilt werden. | Bereich | Bedeutung | |---|---| | OUI | Herstellerkennung | | Geräteanteil | eindeutiger Teil für das Gerät | OUI steht für: Organizationally Unique Identifier Der OUI-Bereich zeigt, welchem Hersteller ein MAC-Adressbereich zugeordnet wurde. Wichtig: In der Praxis können MAC-Adressen auch virtuell erzeugt oder geändert werden. Deshalb ist die MAC-Adresse nicht immer ein absolut sicherer Gerätenachweis. Merksatz: OUI = Herstellerkennung in der MAC-Adresse. --- **Unicast-MAC-Adresse** Unicast bedeutet: ein Absender an einen bestimmten Empfänger Eine Unicast-MAC-Adresse gehört zu einer einzelnen Netzwerkschnittstelle. Beispiel: PC A sendet einen Frame direkt an PC B. Dann verwendet PC A die Ziel-MAC-Adresse von PC B. Merksatz: Unicast = einer an einen. --- **Broadcast-MAC-Adresse** Broadcast bedeutet: ein Absender an alle Geräte im lokalen Netzwerk Die Ethernet-Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Ein Broadcast wird an alle Geräte innerhalb der Broadcast-Domäne gesendet. Typische Beispiele: - ARP-Anfrage - DHCP-Anfrage Merksatz: Broadcast = einer an alle. --- **Multicast-MAC-Adresse** Multicast bedeutet: ein Absender an eine bestimmte Gruppe von Empfängern Nicht alle Geräte sollen den Frame erhalten, sondern nur Mitglieder einer bestimmten Gruppe. Multicast wird zum Beispiel verwendet bei: - Streaming - IPTV - bestimmten Protokollen - Gruppenkommunikation Merksatz: Multicast = einer an eine Gruppe. --- **Unicast, Broadcast und Multicast im Vergleich** | Art | Bedeutung | Beispiel | |---|---|---| | Unicast | einer an einen | PC an Server | | Broadcast | einer an alle | ARP-Anfrage | | Multicast | einer an eine Gruppe | Streaming-Gruppe | Prüfungstauglich: Unicast = gezielt. Broadcast = alle. Multicast = Gruppe. --- **EtherType** Im Ethernet-Frame gibt es ein Feld, das häufig angibt, welches Protokoll in den Nutzdaten enthalten ist. Dieses Feld nennt man: EtherType Beispiele: | EtherType | Bedeutung | |---|---| | 0x0800 | IPv4 | | 0x86DD | IPv6 | | 0x0806 | ARP | Wichtig: Der Ethernet-Frame kann Daten verschiedener höherer Protokolle transportieren. Merksatz: EtherType zeigt, welches Protokoll im Frame transportiert wird. --- **Nutzdaten im Ethernet-Frame** Die Nutzdaten sind der Inhalt, den der Ethernet-Frame transportiert. Das können zum Beispiel sein: - ein IPv4-Paket - ein IPv6-Paket - eine ARP-Nachricht - andere Protokolldaten Wichtig: Der Ethernet-Frame transportiert Daten höherer Schichten. Schicht 2 interessiert sich dabei nicht für die vollständige Bedeutung der Anwendung. Merksatz: Ethernet transportiert Nutzdaten höherer Schichten lokal weiter. --- **FCS** FCS steht für: Frame Check Sequence Die FCS ist eine Prüfinformation am Ende des Ethernet-Frames. Sie dient zur Fehlererkennung. Der Empfänger kann damit prüfen, ob der Frame während der Übertragung beschädigt wurde. Merksatz: FCS = Prüfinformation zur Fehlererkennung im Frame. --- **CRC** CRC steht für: Cyclic Redundancy Check CRC ist ein Verfahren zur Fehlererkennung. Die FCS im Ethernet-Frame basiert auf einem CRC-Verfahren. Wenn die Prüfung fehlschlägt, gilt der Frame als beschädigt. Dann wird er verworfen. Merksatz: CRC erkennt Übertragungsfehler. --- **Fehlererkennung, aber keine Fehlerkorrektur** Ethernet kann über FCS/CRC beschädigte Frames erkennen. Aber: Ethernet korrigiert den beschädigten Frame normalerweise nicht selbst. Ein fehlerhafter Frame wird verworfen. Wenn eine erneute Übertragung nötig ist, passiert das durch höhere Schichten. Beispiel: TCP kann fehlende Daten erneut übertragen lassen. Merksatz: Schicht 2 erkennt viele Fehler, korrigiert sie aber normalerweise nicht selbst. --- **Präambel und SFD** Vor dem eigentlichen Ethernet-Frame gibt es technische Felder zur Synchronisation. Dazu gehören: Präambel SFD SFD steht für: Start Frame Delimiter Aufgabe: Der Empfänger soll erkennen, dass ein Frame beginnt. Für die Prüfung ist meist nur wichtig: Ethernet braucht eine Möglichkeit, den Beginn eines Frames zu erkennen. Merksatz: Präambel und SFD helfen beim Erkennen des Frame-Beginns. --- **Ethernet-Frame grob dargestellt** Vereinfacht sieht ein Ethernet-Frame so aus: | Bereich | Aufgabe | |---|---| | Präambel / SFD | Synchronisation und Frame-Beginn | | Ziel-MAC | lokaler Empfänger | | Quell-MAC | lokaler Absender | | Typ / Länge | Protokoll oder Längenangabe | | Nutzdaten | Inhalt höherer Schichten | | FCS | Fehlererkennung | Wichtig: Für AP1/AP2 sind vor allem Ziel-MAC, Quell-MAC, Nutzdaten und FCS wichtig. --- **Frame-Größe** Ein normaler Ethernet-Frame hat eine begrenzte Größe. Typisch ist eine maximale Nutzlast von: 1500 Byte Diese Nutzlast nennt man oft: MTU MTU steht für: Maximum Transmission Unit Wichtig: MTU beschreibt die maximale Größe der Nutzdaten, die auf einer Verbindung ohne Fragmentierung übertragen werden können. Merksatz: MTU = maximale Nutzdaten-Größe einer Verbindung. --- **Jumbo Frames** Jumbo Frames sind Ethernet-Frames mit größerer Nutzlast als der Standardwert. Sie werden manchmal in Rechenzentren oder Speichernetzwerken verwendet. Vorteil: weniger Overhead bei großen Datenübertragungen Nachteil: alle beteiligten Geräte müssen Jumbo Frames unterstützen und passend konfiguriert sein Wichtig: In normalen LANs sind Standard-Frames üblich. Merksatz: Jumbo Frames brauchen durchgängige Unterstützung auf der Strecke. --- **Frame, Paket und Segment im Ablauf** Wenn eine Anwendung Daten sendet, werden diese durch die Schichten gekapselt. Vereinfacht: Anwendung erzeugt Daten. TCP macht daraus Segmente. IP macht daraus Pakete. Ethernet macht daraus Frames. Schicht 1 überträgt Bits als Signale. Beim Empfänger läuft der Prozess umgekehrt. Merksatz: Segment in Paket, Paket in Frame, Frame in Bits. --- **Kapselung im Ethernet-Frame** Ein Ethernet-Frame kann ein IP-Paket transportieren. Vereinfacht: Ethernet-Frame enthält IP-Paket enthält TCP-Segment enthält Anwendungsdaten Das nennt man: Kapselung Merksatz: Schicht 2 kapselt Schicht-3-Daten in Frames. --- **Lokale Zustellung mit MAC-Adressen** MAC-Adressen werden für die lokale Zustellung verwendet. Beispiel im gleichen LAN: PC A will PC B erreichen. Dann benötigt PC A die MAC-Adresse von PC B. Der Ethernet-Frame wird lokal an diese Ziel-MAC-Adresse gesendet. Merksatz: Im gleichen LAN wird direkt an die Ziel-MAC gesendet. --- **Zustellung zu einem anderen Netzwerk** Wenn das Ziel in einem anderen IP-Netz liegt, sendet der PC den Frame nicht direkt an die MAC-Adresse des entfernten Servers. Stattdessen sendet er den Frame lokal an die MAC-Adresse des Standard-Gateways. Beispiel: PC will Webserver im Internet erreichen. Dann gilt: Ziel-IP im IP-Paket = Webserver Ziel-MAC im Ethernet-Frame = Router / Standard-Gateway Merksatz: Entferntes Netz: Ziel-MAC ist das Gateway, Ziel-IP bleibt das eigentliche Ziel. --- **MAC-Adresse ändert sich pro Abschnitt** Bei einer Übertragung über mehrere Router ändert sich der Ethernet-Frame auf jedem lokalen Abschnitt. Das bedeutet: Quell-MAC und Ziel-MAC ändern sich von Link zu Link. Die IP-Adressen bleiben grundsätzlich erhalten, außer bei NAT. Beispiel: PC → Router 1 Router 1 → Router 2 Router 2 → Server Jeder Abschnitt hat eigene MAC-Adressen. Merksatz: MAC-Adressen gelten nur lokal bis zum nächsten Router. --- **IP-Adresse bleibt netzübergreifend** Im Gegensatz zur MAC-Adresse wird die IP-Adresse für die netzübergreifende Zustellung verwendet. Das IP-Paket enthält: Quell-IP Ziel-IP Diese IP-Adressen bleiben über Router hinweg grundsätzlich erhalten. Ausnahme: NAT oder PAT kann IP-Adressen verändern. Merksatz: MAC = lokal. IP = netzübergreifend. --- **ARP und MAC-Adresse** ARP wird verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. ARP steht für: Address Resolution Protocol Beispiel: PC kennt die IP-Adresse des Gateways. PC braucht die MAC-Adresse des Gateways. Dann sendet der PC eine ARP-Anfrage. Merksatz: ARP findet MAC-Adresse zu IP-Adresse im lokalen Netz. --- **ARP-Anfrage als Broadcast** Eine ARP-Anfrage wird als Broadcast gesendet. Grund: Der Absender kennt die MAC-Adresse des Zielgeräts noch nicht. Deshalb fragt er alle Geräte im lokalen Netz: Wer hat diese IP-Adresse? Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Merksatz: ARP-Anfrage = Broadcast. --- **ARP-Antwort als Unicast** Die ARP-Antwort kommt normalerweise als Unicast zurück. Das Gerät mit der gesuchten IP-Adresse antwortet: Diese IP-Adresse gehört zu dieser MAC-Adresse. Danach kann der Absender den Frame gezielt an diese MAC-Adresse senden. Merksatz: ARP-Antwort = meistens Unicast. --- **MAC-Adresstabelle und Ethernet-Frames** Ein Switch verwendet Ethernet-Frames, um seine MAC-Adresstabelle zu füllen. Er schaut auf die Quell-MAC-Adresse eingehender Frames. Beispiel: Frame kommt an Port 5 an. Quell-MAC ist 00:11:22:33:44:55. Der Switch lernt: 00:11:22:33:44:55 ist an Port 5 erreichbar. Merksatz: Switch lernt über die Quell-MAC. --- **Weiterleitung bekannter Ziel-MAC** Wenn der Switch die Ziel-MAC-Adresse kennt, leitet er den Frame gezielt weiter. Beispiel: Ziel-MAC ist an Port 8 bekannt. Dann sendet der Switch den Frame nur an Port 8. Vorteil: weniger unnötiger Datenverkehr bessere Effizienz mehr Sicherheit als Hub Merksatz: Bekannte Ziel-MAC = gezielte Weiterleitung. --- **Unbekannte Ziel-MAC und Flooding** Wenn der Switch die Ziel-MAC-Adresse nicht kennt, muss er den Frame verteilen. Er sendet den Frame an alle passenden Ports außer dem Eingangsport. Das nennt man: Flooding Wenn die Zielstation antwortet, lernt der Switch deren MAC-Adresse. Merksatz: Unbekannte Ziel-MAC = Flooding. --- **Broadcast und Flooding unterscheiden** Broadcast und Flooding werden manchmal verwechselt. | Begriff | Bedeutung | |---|---| | Broadcast | Frame ist ausdrücklich an alle adressiert | | Flooding | Switch verteilt Frame, weil Ziel-MAC unbekannt ist | Beide können dazu führen, dass Frames an mehrere Ports gehen. Aber der Grund ist unterschiedlich. Merksatz: Broadcast = Ziel ist alle. Flooding = Ziel ist unbekannt. --- **Frame-Fehler und Switch-Port-Statistiken** Switches können Fehler zählen. Typische Hinweise: - CRC-Fehler - FCS-Fehler - zu kurze Frames - zu lange Frames - verworfene Frames - Kollisionen bei alten Halbduplex-Links Solche Fehler können auf Schicht-1- oder Schicht-2-Probleme hinweisen. Merksatz: Frame-Fehler helfen bei der Fehlersuche. --- **Schicht 2 und Schicht 1 zusammen** Schicht 2 ist auf Schicht 1 angewiesen. Beispiel: Wenn das Kabel defekt ist, kommen Bits fehlerhaft an. Dann können Frames beschädigt werden. Schicht 2 erkennt den Fehler über FCS/CRC und verwirft den Frame. Merksatz: Schlechte Signale können beschädigte Frames verursachen. --- **Was ein Ethernet-Frame nicht enthält** Ein Ethernet-Frame enthält keine vollständige Information über den gesamten Weg durch das Internet. Er enthält nur Informationen für den lokalen Abschnitt. Ein Ethernet-Frame enthält nicht als Hauptaufgabe: - Routingentscheidung über mehrere Netze - DNS-Name - HTTP-URL - Benutzername - TCP-Sitzungsverwaltung Diese Themen gehören zu höheren Schichten. Merksatz: Ethernet-Frame = lokale Zustellung, nicht kompletter Internetweg. --- **Typische Fehler mit Frames und MAC-Adressen** Mögliche Fehler: - falsches VLAN - MAC-Adresse wird nicht gelernt - MAC-Adresstabelle veraltet - Broadcast-Sturm - Schleife im Switch-Netz - falsche Port-Konfiguration - beschädigte Frames durch Signalprobleme - doppelte MAC-Adresse - ARP-Probleme Merksatz: Schicht-2-Probleme betreffen lokale Zustellung und Frames. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Ethernet-Frame? - Welche wichtigen Felder enthält ein Ethernet-Frame? - Was ist eine Ziel-MAC-Adresse? - Was ist eine Quell-MAC-Adresse? - Wie ist eine MAC-Adresse aufgebaut? - Was ist die Broadcast-MAC-Adresse? - Was ist der Unterschied zwischen Unicast, Broadcast und Multicast? - Was macht die FCS? - Was bedeutet CRC? - Was ist die MTU? - Warum ändern sich MAC-Adressen auf dem Weg über Router? - Warum bleibt die IP-Adresse grundsätzlich erhalten? - Was macht ARP? - Was ist der Unterschied zwischen Broadcast und Flooding? --- **Typische Prüfungsfallen** Frame ist Schicht 2. Paket ist Schicht 3. Segment ist Schicht 4 bei TCP. MAC-Adressen gelten lokal. IP-Adressen gelten netzübergreifend. Ziel-MAC ist nicht immer die MAC-Adresse des endgültigen Internetservers. Bei Ziel in anderem Netz ist Ziel-MAC die MAC-Adresse des Gateways. Switches lernen über Quell-MAC-Adressen. Broadcast-MAC-Adresse ist FF:FF:FF:FF:FF:FF. ARP-Anfragen sind Broadcasts. ARP-Antworten sind meistens Unicast. Broadcast und Flooding sind nicht dasselbe. FCS/CRC erkennt Fehler, korrigiert sie aber nicht automatisch. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Ethernet-Frame | Datenrahmen auf Schicht 2 | | Frame | Protocol Data Unit der Sicherungsschicht | | Ziel-MAC-Adresse | lokaler Empfänger des Frames | | Quell-MAC-Adresse | lokaler Absender des Frames | | MAC-Adresse | lokale Hardwareadresse einer Netzwerkschnittstelle | | OUI | Herstellerkennung in einer MAC-Adresse | | Unicast | einer an einen | | Broadcast | einer an alle | | Multicast | einer an eine Gruppe | | Broadcast-MAC | FF:FF:FF:FF:FF:FF | | EtherType | Feld zur Angabe des enthaltenen Protokolls | | Nutzdaten | transportierter Inhalt höherer Schichten | | FCS | Frame Check Sequence | | CRC | Prüfsummenverfahren zur Fehlererkennung | | MTU | Maximum Transmission Unit | | Jumbo Frame | Frame mit größerer Nutzlast | | ARP | sucht MAC-Adresse zu IP-Adresse | | Flooding | Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC | --- **IHK-sichere Kurzformulierung** Ein Ethernet-Frame ist die Datenübertragungseinheit auf OSI-Schicht 2. Er enthält unter anderem eine Ziel-MAC-Adresse, eine Quell-MAC-Adresse, Nutzdaten und eine Prüfinformation zur Fehlererkennung. MAC-Adressen dienen der lokalen Zustellung innerhalb eines Netzwerks. Switches leiten Frames anhand der Ziel-MAC-Adresse weiter und lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Wenn das Ziel in einem anderen IP-Netz liegt, wird der Frame lokal an die MAC-Adresse des Standard-Gateways gesendet, während die Ziel-IP-Adresse im IP-Paket das eigentliche entfernte Ziel bleibt. Über FCS/CRC können beschädigte Frames erkannt und verworfen werden. --- **Merksätze** Ethernet-Frame = Schicht 2. IP-Paket = Schicht 3. TCP-Segment = Schicht 4. Frame = lokaler Datenrahmen. Ziel-MAC = lokaler Empfänger. Quell-MAC = lokaler Absender. MAC-Adresse = 48 Bit. MAC-Adressen werden meist hexadezimal geschrieben. Unicast = einer an einen. Broadcast = einer an alle. Multicast = einer an Gruppe. Broadcast-MAC = FF:FF:FF:FF:FF:FF. EtherType zeigt das enthaltene Protokoll. FCS/CRC erkennt beschädigte Frames. Ethernet korrigiert beschädigte Frames normalerweise nicht selbst. MTU = maximale Nutzdaten-Größe. MAC gilt lokal. IP gilt netzübergreifend. Entferntes Ziel: Ziel-MAC = Gateway. ARP findet MAC zu IP im lokalen Netz. ARP-Anfrage = Broadcast. ARP-Antwort = meistens Unicast. Switch lernt über Quell-MAC. Bekannte Ziel-MAC = gezielt. Unbekannte Ziel-MAC = Flooding. Broadcast und Flooding sind nicht dasselbe. # 5.3 Switching, MAC-Adresstabelle und Flooding Ein Switch ist eines der wichtigsten Geräte auf OSI-Schicht 2. Er verbindet Geräte in einem lokalen Netzwerk und leitet Ethernet-Frames weiter. Dabei arbeitet ein Switch nicht mit IP-Adressen, sondern mit MAC-Adressen. Merksatz: Switch = Schicht-2-Gerät für lokale Frame-Weiterleitung. --- **Grundaufgabe eines Switches** Ein Switch soll Frames möglichst gezielt an den richtigen Port weiterleiten. Beispiel: PC A sendet Daten an PC B. Der Switch soll den Frame nicht unnötig an alle Geräte senden, sondern möglichst nur an den Port, an dem PC B angeschlossen ist. Dafür nutzt der Switch: - Ziel-MAC-Adresse - Quell-MAC-Adresse - MAC-Adresstabelle - Ports Merksatz: Ein Switch leitet Frames anhand von MAC-Adressen weiter. --- **Switch im OSI-Modell** Ein Switch arbeitet typischerweise auf: OSI-Schicht 2 Diese Schicht heißt: Sicherungsschicht Warum? Ein Switch wertet Ethernet-Frames aus. Ethernet-Frames gehören zu Schicht 2. MAC-Adressen gehören zu Schicht 2. Wichtig: Ein normaler Switch routet nicht zwischen IP-Netzen. Routing gehört zu Schicht 3. Merksatz: Switch = Schicht 2. Router = Schicht 3. --- **Switch und physische Ports** Ein Switch besitzt mehrere physische Anschlüsse. Diese Anschlüsse nennt man: Ports Beispiele: Port 1 Port 2 Port 3 Port 4 An diesen Ports können angeschlossen sein: - PCs - Server - Drucker - Access Points - andere Switches - Router - Firewalls Wichtig: Hier ist mit Port der physische Anschluss gemeint, nicht ein TCP- oder UDP-Port. Merksatz: Switch-Port = physischer Anschluss. TCP-/UDP-Port = Dienstadresse auf Schicht 4. --- **MAC-Adresstabelle** Ein Switch speichert, welche MAC-Adresse an welchem Port erreichbar ist. Diese Tabelle nennt man: MAC-Adresstabelle Oder auch: Switching-Tabelle Beispiel: | MAC-Adresse | Switch-Port | |---|---:| | AA:AA:AA:AA:AA:01 | Port 1 | | BB:BB:BB:BB:BB:02 | Port 2 | | CC:CC:CC:CC:CC:03 | Port 3 | Mit dieser Tabelle kann der Switch Frames gezielt weiterleiten. Merksatz: MAC-Adresstabelle = Zuordnung MAC-Adresse zu Switch-Port. --- **Wie lernt ein Switch MAC-Adressen?** Ein Switch lernt MAC-Adressen automatisch. Dafür schaut er auf die Quell-MAC-Adresse eingehender Frames. Beispiel: Ein Frame kommt an Port 1 an. Die Quell-MAC-Adresse lautet AA:AA:AA:AA:AA:01. Dann lernt der Switch: AA:AA:AA:AA:AA:01 ist an Port 1 erreichbar. Wichtig: Der Switch lernt über die Quell-MAC-Adresse, nicht über die Ziel-MAC-Adresse. Merksatz: Switch lernt MAC-Adressen über die Quell-MAC. --- **Warum lernt der Switch über die Quell-MAC?** Die Quell-MAC-Adresse zeigt, von welchem Gerät ein Frame kommt. Wenn ein Frame an einem bestimmten Port eingeht, weiß der Switch: Der Absender dieses Frames befindet sich hinter diesem Port. Dadurch kann der Switch seine MAC-Adresstabelle aufbauen. Beispiel: Frame kommt von PC A an Port 1. Also ist PC A über Port 1 erreichbar. Merksatz: Eingangsport + Quell-MAC = Lerninformation für den Switch. --- **Weiterleitung anhand der Ziel-MAC** Wenn ein Switch einen Frame erhält, prüft er die Ziel-MAC-Adresse. Dann entscheidet er: Kenne ich diese Ziel-MAC-Adresse? Wenn ja, an welchem Port ist sie erreichbar? Wenn nein, muss ich den Frame fluten? Merksatz: Ziel-MAC entscheidet über die Weiterleitung. --- **Fall 1: Ziel-MAC ist bekannt** Wenn die Ziel-MAC-Adresse in der MAC-Adresstabelle steht, leitet der Switch den Frame gezielt an den passenden Port weiter. Beispiel: | MAC-Adresse | Switch-Port | |---|---:| | AA:AA:AA:AA:AA:01 | Port 1 | | BB:BB:BB:BB:BB:02 | Port 2 | PC A sendet an PC B. Frame: Quell-MAC: AA:AA:AA:AA:AA:01 Ziel-MAC: BB:BB:BB:BB:BB:02 Der Switch sieht: BB:BB:BB:BB:BB:02 ist an Port 2. Er leitet den Frame nur an Port 2 weiter. Merksatz: Bekannte Ziel-MAC = gezielte Weiterleitung. --- **Fall 2: Ziel-MAC ist unbekannt** Wenn die Ziel-MAC-Adresse nicht in der MAC-Adresstabelle steht, kennt der Switch den passenden Port noch nicht. Dann sendet er den Frame an alle passenden Ports außer dem Eingangsport. Das nennt man: Flooding Beispiel: Frame kommt an Port 1 an. Ziel-MAC ist unbekannt. Der Switch sendet den Frame an: Port 2 Port 3 Port 4 Aber nicht zurück an Port 1. Merksatz: Unbekannte Ziel-MAC = Flooding. --- **Begriff: Flooding** Flooding bedeutet: Ein Switch verteilt einen Frame an mehrere Ports, weil er die Ziel-MAC-Adresse nicht kennt. Flooding ist kein Fehler. Es ist ein normales Verhalten eines Switches, wenn ihm eine Ziel-MAC-Adresse unbekannt ist. Sobald die Zielstation antwortet, kann der Switch deren MAC-Adresse lernen. Merksatz: Flooding hilft dem Switch, unbekannte Ziele trotzdem zu erreichen. --- **Fall 3: Broadcast** Ein Broadcast ist ein Frame an alle Geräte im lokalen Netz. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Wenn ein Switch einen Broadcast empfängt, leitet er ihn an alle passenden Ports weiter, außer an den Eingangsport. Typische Broadcasts: - ARP-Anfragen - DHCP-Anfragen Merksatz: Broadcast = absichtlich an alle. --- **Broadcast und Flooding unterscheiden** Broadcast und Flooding sehen ähnlich aus, weil Frames an mehrere Ports gesendet werden. Der Unterschied liegt im Grund. | Begriff | Warum wird an mehrere Ports gesendet? | |---|---| | Broadcast | Zieladresse ist ausdrücklich „alle“ | | Flooding | Ziel-MAC ist dem Switch unbekannt | Wichtig: Broadcast ist eine Adressierungsart. Flooding ist ein Verhalten des Switches. Merksatz: Broadcast = Ziel ist alle. Flooding = Ziel ist unbekannt. --- **Fall 4: Frame geht an denselben Port zurück** Ein Switch leitet einen Frame normalerweise nicht an denselben Port zurück, über den er gekommen ist. Beispiel: Frame kommt an Port 1 an. Ziel-MAC ist ebenfalls über Port 1 bekannt. Dann verwirft der Switch den Frame für die Weiterleitung. Warum? Ziel und Quelle liegen aus Sicht des Switches hinter demselben Port. Eine Weiterleitung ist nicht nötig. Merksatz: Ein Switch sendet einen Frame nicht zurück auf den Eingangsport. --- **Aging der MAC-Adresstabelle** Einträge in der MAC-Adresstabelle bleiben nicht für immer gespeichert. Nach einer gewissen Zeit ohne neue Frames können Einträge gelöscht werden. Das nennt man: Aging Warum ist das sinnvoll? Geräte können umgesteckt werden. Geräte können ausgeschaltet werden. Netzwerke können sich verändern. Der Switch muss seine Tabelle aktuell halten. Merksatz: Aging entfernt alte MAC-Einträge aus der Tabelle. --- **MAC-Adresse wandert auf einen anderen Port** Wenn ein Gerät umgesteckt wird, kann seine MAC-Adresse an einem anderen Port auftauchen. Beispiel: PC war vorher an Port 1. PC wird an Port 5 gesteckt. Sobald der Switch einen Frame von diesem PC an Port 5 sieht, aktualisiert er die MAC-Adresstabelle. Merksatz: Der Switch aktualisiert MAC-Einträge durch neue Quell-MAC-Informationen. --- **MAC-Adresstabelle und Sicherheit** Die MAC-Adresstabelle hilft beim gezielten Weiterleiten. Sie ist aber kein starker Sicherheitsmechanismus. Warum? MAC-Adressen können gefälscht werden. Geräte können umgesteckt werden. Ein Angreifer kann viele gefälschte MAC-Adressen erzeugen. Für zusätzliche Sicherheit nutzt man zum Beispiel: - Port Security - 802.1X - VLANs - Firewall-Regeln - Monitoring Merksatz: MAC-Adresstabelle dient der Weiterleitung, nicht als alleiniger Sicherheitsnachweis. --- **MAC-Flooding als Angriff** MAC-Flooding ist ein Angriff auf die MAC-Adresstabelle eines Switches. Dabei sendet ein Angreifer sehr viele Frames mit verschiedenen gefälschten Quell-MAC-Adressen. Ziel: Die MAC-Adresstabelle des Switches soll überfüllt werden. Mögliche Folge: Der Switch kennt viele Ziel-MAC-Adressen nicht mehr zuverlässig und flutet mehr Frames. Schutzmaßnahmen: - Port Security - Begrenzung erlaubter MAC-Adressen pro Port - Monitoring - 802.1X Merksatz: MAC-Flooding versucht, die MAC-Adresstabelle zu überlasten. --- **Port Security** Port Security ist eine Sicherheitsfunktion auf Switches. Damit kann festgelegt werden, welche oder wie viele MAC-Adressen an einem Port erlaubt sind. Beispiel: An Port 5 ist nur eine MAC-Adresse erlaubt. Wenn dort plötzlich mehrere MAC-Adressen auftauchen, kann der Switch reagieren. Mögliche Reaktionen: - Port sperren - Frames verwerfen - Warnung erzeugen - Ereignis protokollieren Merksatz: Port Security begrenzt MAC-Adressen pro Switch-Port. --- **Switching und Broadcast-Domäne** Ein normaler Switch trennt Kollisionsdomänen, aber nicht automatisch Broadcast-Domänen. Das bedeutet: Broadcasts werden innerhalb desselben VLANs weitergeleitet. Alle Ports im gleichen VLAN gehören zur gleichen Broadcast-Domäne. Router oder Layer-3-Grenzen trennen Broadcast-Domänen. Merksatz: Switch trennt Kollisionsdomänen. VLAN oder Router trennen Broadcast-Domänen. --- **Switching und Kollisionsdomäne** Bei modernen Switches ist jeder Port normalerweise eine eigene Kollisionsdomäne. Das ist ein wichtiger Unterschied zum Hub. | Gerät | Kollisionsdomäne | |---|---| | Hub | alle Ports gemeinsam | | Switch | jeder Port separat | Bei Vollduplex-Verbindungen treten klassische Kollisionen praktisch nicht mehr auf. Merksatz: Switch reduziert Kollisionsprobleme durch getrennte Ports. --- **Store-and-Forward** Store-and-Forward ist eine typische Weiterleitungsmethode bei Switches. Dabei empfängt der Switch den gesamten Frame. Dann prüft er den Frame, zum Beispiel anhand der FCS. Erst danach leitet er den Frame weiter. Vorteil: Fehlerhafte Frames können erkannt und verworfen werden. Nachteil: etwas mehr Verzögerung als bei sofortiger Weiterleitung. Merksatz: Store-and-Forward prüft den Frame vor der Weiterleitung. --- **Cut-Through** Cut-Through ist eine andere Weiterleitungsmethode. Dabei beginnt der Switch mit der Weiterleitung, sobald er die Ziel-MAC-Adresse gelesen hat. Vorteil: geringere Verzögerung Nachteil: Fehlerhafte Frames können eventuell weitergeleitet werden, bevor der gesamte Frame geprüft wurde. Merksatz: Cut-Through ist schneller, prüft aber weniger vollständig vor der Weiterleitung. --- **Store-and-Forward und Cut-Through im Vergleich** | Methode | Arbeitsweise | Vorteil | Nachteil | |---|---|---|---| | Store-and-Forward | ganzer Frame wird empfangen und geprüft | Fehlererkennung vor Weiterleitung | etwas mehr Latenz | | Cut-Through | Weiterleitung beginnt früh | geringe Latenz | fehlerhafte Frames können weitergehen | Für die Prüfung ist vor allem wichtig: Store-and-Forward prüft vollständiger. Cut-Through ist schneller. --- **Switching und VLANs** Ein Switch kann Ports verschiedenen VLANs zuordnen. Beispiel: | Port | VLAN | Gerät | |---:|---:|---| | 1 | VLAN 10 | Mitarbeiter-PC | | 2 | VLAN 10 | Mitarbeiter-PC | | 3 | VLAN 20 | Gastgerät | | 4 | VLAN 30 | Server | Frames werden normalerweise nur innerhalb desselben VLANs weitergeleitet. Dadurch entstehen getrennte logische Netze. Merksatz: VLANs trennen Switching-Bereiche logisch. --- **Access-Port** Ein Access-Port gehört normalerweise zu genau einem VLAN. Typischer Einsatz: - PC - Drucker - IP-Telefon - Access Point mit einfacher Konfiguration Beispiel: Port 1 ist Access-Port in VLAN 10. Ein Gerät an diesem Port gehört dann logisch zu VLAN 10. Merksatz: Access-Port = ein VLAN für ein Endgerät. --- **Trunk-Port** Ein Trunk-Port kann mehrere VLANs transportieren. Typischer Einsatz: - Switch zu Switch - Switch zu Router - Switch zu Firewall - Switch zu Access Point mit mehreren SSIDs Bei Ethernet wird dafür häufig VLAN-Tagging verwendet. Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. --- **Switching-Schleifen** Eine Switching-Schleife entsteht, wenn Frames im Netzwerk endlos im Kreis laufen können. Das kann passieren, wenn Switches mehrfach miteinander verbunden sind und keine Schutzmechanismen aktiv sind. Folgen: - Broadcast-Sturm - hohe Switch-Last - Netzwerk wird langsam oder fällt aus - MAC-Adresstabelle wird instabil Merksatz: Schleifen im Layer-2-Netz können sehr gefährlich sein. --- **Spanning Tree Protocol** STP steht für: Spanning Tree Protocol STP verhindert Schleifen in Layer-2-Netzen. Es blockiert bestimmte redundante Wege, damit keine Schleife entsteht. Wenn eine Verbindung ausfällt, kann STP einen anderen Weg aktivieren. Merksatz: STP schützt vor Switching-Schleifen. --- **Broadcast-Sturm** Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcasts im Netzwerk unterwegs sind. Mögliche Ursachen: - Layer-2-Schleife - fehlerhafte Geräte - falsch konfigurierte Switches - Angriffe - sehr viele Broadcast-Anfragen Folgen: - hohe Netzwerklast - hohe CPU-Last auf Geräten - Verbindungsprobleme - Netzwerkausfall Merksatz: Broadcast-Sturm = zu viele Broadcasts im lokalen Netz. --- **Switching und Fehlersuche** Bei Schicht-2-Problemen prüft man zum Beispiel: - Ist der richtige Switch-Port verwendet? - Ist der Port aktiv? - Wird die MAC-Adresse gelernt? - Ist das richtige VLAN konfiguriert? - Ist der Port Access oder Trunk? - Gibt es Fehler am Port? - Gibt es STP-Blockierungen? - Gibt es Broadcast-Stürme? - Gibt es doppelte MAC-Adressen? - Wurde das Gerät umgesteckt? Merksatz: Bei Schicht 2 prüft man MAC-Adressen, VLANs und Switch-Ports. --- **Beispiel: MAC-Adresse wird nicht gelernt** Fehlerbild: Ein Gerät ist physisch verbunden, aber der Switch lernt keine MAC-Adresse. Mögliche Ursachen: - Gerät sendet keine Frames - falscher Port - Port deaktiviert - Link ist doch nicht aktiv - VLAN falsch - Netzwerkkarte deaktiviert - Kabelproblem - Port Security blockiert - Gerät hängt an falscher Stelle Merksatz: Keine gelernte MAC kann auf Schicht 1 oder Schicht 2 hinweisen. --- **Beispiel: Gerät im falschen VLAN** Fehlerbild: Ein PC bekommt keine passende IP-Adresse oder erreicht die erwarteten Server nicht. Mögliche Ursache: Der Switch-Port ist im falschen VLAN. Beispiel: PC soll in VLAN 10 sein. Port ist aber in VLAN 20. Folge: Der PC befindet sich logisch im falschen Netz. Merksatz: Falsches VLAN kann wie ein IP-Problem aussehen. --- **Beispiel: Trunk falsch konfiguriert** Fehlerbild: Mehrere VLANs funktionieren über eine Switch-Verbindung nicht. Mögliche Ursachen: - Port ist kein Trunk - VLAN nicht auf dem Trunk erlaubt - falsches Native VLAN - Gegenstelle anders konfiguriert - Tagging stimmt nicht - STP blockiert den Port Merksatz: Trunk-Probleme betreffen oft mehrere VLANs gleichzeitig. --- **Was ein Switch nicht macht** Ein normaler Layer-2-Switch macht nicht: - Routing zwischen IP-Netzen - NAT oder PAT - DNS-Auflösung - TCP-Verbindungsaufbau - Anwendungsschutz - Internetzugang allein - Firewall-Regeln auf Anwendungsebene Dafür braucht man andere Funktionen oder Geräte, zum Beispiel: - Router - Layer-3-Switch - Firewall - DNS-Server Merksatz: Ein Layer-2-Switch verbindet lokal, routet aber nicht zwischen Netzen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht ein Switch? - Auf welcher OSI-Schicht arbeitet ein Switch? - Wie lernt ein Switch MAC-Adressen? - Was ist eine MAC-Adresstabelle? - Was passiert bei bekannter Ziel-MAC? - Was passiert bei unbekannter Ziel-MAC? - Was bedeutet Flooding? - Was ist der Unterschied zwischen Broadcast und Flooding? - Was ist Port Security? - Was ist eine Kollisionsdomäne? - Was ist eine Broadcast-Domäne? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was ist STP? - Warum sind Layer-2-Schleifen gefährlich? --- **Typische Prüfungsfallen** Ein Switch lernt über die Quell-MAC-Adresse. Die Ziel-MAC entscheidet über die Weiterleitung. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast und Flooding sind nicht dasselbe. Ein normaler Switch arbeitet auf Schicht 2. Ein Hub arbeitet auf Schicht 1. Ein Router arbeitet auf Schicht 3. Ein Switch trennt Kollisionsdomänen. Ein Switch trennt Broadcast-Domänen nur durch VLANs. Ein Access-Port gehört normalerweise zu einem VLAN. Ein Trunk-Port transportiert mehrere VLANs. STP schützt vor Layer-2-Schleifen. Falsches VLAN kann wie ein IP-Problem aussehen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Switch | Schicht-2-Gerät zur Frame-Weiterleitung | | Switch-Port | physischer Anschluss am Switch | | MAC-Adresstabelle | Zuordnung von MAC-Adresse zu Switch-Port | | Quell-MAC | Absenderadresse im Frame | | Ziel-MAC | Empfängeradresse im Frame | | Learning | Lernen von MAC-Adressen über Quell-MAC | | Forwarding | gezielte Weiterleitung an bekannten Port | | Flooding | Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC | | Broadcast | Nachricht an alle Geräte im lokalen Netz | | Aging | automatisches Entfernen alter MAC-Einträge | | Port Security | Begrenzung erlaubter MAC-Adressen pro Port | | MAC-Flooding | Angriff auf die MAC-Adresstabelle | | Kollisionsdomäne | Bereich möglicher Kollisionen | | Broadcast-Domäne | Bereich, in dem Broadcasts verteilt werden | | Access-Port | Switch-Port für ein VLAN | | Trunk-Port | Switch-Port für mehrere VLANs | | STP | Spanning Tree Protocol zur Schleifenvermeidung | | Broadcast-Sturm | übermäßige Broadcast-Last im Netz | --- **IHK-sichere Kurzformulierung** Ein Switch arbeitet typischerweise auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter. Er lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames und speichert die Zuordnung von MAC-Adresse zu Switch-Port in einer MAC-Adresstabelle. Ist die Ziel-MAC-Adresse bekannt, wird der Frame gezielt an den passenden Port weitergeleitet. Ist die Ziel-MAC-Adresse unbekannt, wird der Frame an mehrere Ports geflutet. Broadcasts werden innerhalb der Broadcast-Domäne verteilt. VLANs können Broadcast-Domänen logisch trennen. STP verhindert Schleifen in Layer-2-Netzen. --- **Merksätze** Switch = Schicht 2. Switch arbeitet mit Frames. Switch arbeitet mit MAC-Adressen. Switch lernt über Quell-MAC. Ziel-MAC entscheidet über Weiterleitung. MAC-Adresstabelle = MAC zu Port. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast = an alle. Flooding = Ziel unbekannt. Broadcast und Flooding sind nicht dasselbe. Hub = Schicht 1. Switch = Schicht 2. Router = Schicht 3. Switch trennt Kollisionsdomänen. VLAN trennt Broadcast-Domänen. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. STP schützt vor Schleifen. Layer-2-Schleifen können Broadcast-Stürme verursachen. Falsches VLAN kann wie ein IP-Problem aussehen. # 5.4 VLANs und Broadcast-Domänen VLANs gehören zu OSI-Schicht 2. VLAN steht für: Virtual Local Area Network Auf Deutsch sinngemäß: virtuelles lokales Netzwerk Mit VLANs kann man ein physisches Switch-Netz in mehrere logisch getrennte Netzbereiche aufteilen. Merksatz: VLAN = logische Netztrennung auf Schicht 2. --- **Grundidee eines VLANs** Ohne VLAN befinden sich viele Geräte im gleichen lokalen Netzwerkbereich. Das bedeutet: Sie befinden sich in derselben Broadcast-Domäne. Mit VLANs kann ein Switch mehrere getrennte logische Netze bereitstellen. Beispiel: ein Switch aber mehrere getrennte Netze Typische VLANs: - Mitarbeiter - Gäste - Server - VoIP - Drucker - Management - IoT Merksatz: Ein physischer Switch kann mehrere logische Netze enthalten. --- **Warum nutzt man VLANs?** VLANs helfen dabei, Netzwerke sauber zu strukturieren. Vorteile: - logische Trennung von Geräten - bessere Übersicht - weniger Broadcast-Verkehr pro Netz - mehr Sicherheit - einfachere Verwaltung - Trennung von Abteilungen oder Gerätetypen - bessere Netzplanung - Grundlage für Firewall-Regeln Beispiel: Gäste sollen ins Internet, aber nicht auf interne Server. Dafür kann man ein eigenes Gast-VLAN verwenden. Merksatz: VLANs trennen Geräte logisch, auch wenn sie am gleichen Switch hängen. --- **VLAN und physische Verkabelung** Ohne VLAN müsste man für getrennte Netze oft getrennte Switches verwenden. Beispiel ohne VLAN: Switch 1 für Mitarbeiter Switch 2 für Gäste Switch 3 für Server Mit VLANs kann ein einzelner Switch mehrere logische Netze bereitstellen. Beispiel mit VLAN: VLAN 10 = Mitarbeiter VLAN 20 = Gäste VLAN 30 = Server Alle VLANs können auf demselben physischen Switch existieren. Merksatz: VLANs sparen physische Trennung durch logische Trennung. --- **Begriff: Broadcast** Ein Broadcast ist eine Nachricht an alle Geräte im lokalen Netzwerkbereich. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Broadcasts werden zum Beispiel verwendet bei: - ARP-Anfragen - DHCP-Anfragen - bestimmten lokalen Suchdiensten Merksatz: Broadcast = Nachricht an alle Geräte im lokalen Netz. --- **Begriff: Broadcast-Domäne** Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden. Alle Geräte innerhalb derselben Broadcast-Domäne erhalten Broadcasts. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Beispiel: VLAN 10 = eigene Broadcast-Domäne VLAN 20 = eigene Broadcast-Domäne VLAN 30 = eigene Broadcast-Domäne Broadcasts aus VLAN 10 werden nicht automatisch an VLAN 20 weitergegeben. Merksatz: Ein VLAN = eine Broadcast-Domäne. --- **Warum Broadcast-Domänen begrenzen?** Zu viele Broadcasts können ein Netzwerk belasten. Broadcasts werden an alle Geräte im gleichen lokalen Netz gesendet. Wenn sehr viele Geräte in einer Broadcast-Domäne sind, kann unnötiger Datenverkehr entstehen. VLANs helfen dabei, Broadcast-Verkehr zu begrenzen. Beispiel: ARP-Broadcast aus dem Gäste-Netz erreicht nicht automatisch das Server-Netz. Merksatz: VLANs begrenzen Broadcasts auf einen logischen Bereich. --- **VLAN-ID** Ein VLAN wird durch eine Nummer gekennzeichnet. Diese Nummer heißt: VLAN-ID Beispiele: | VLAN-ID | Zweck | |---:|---| | 10 | Mitarbeiter | | 20 | Gäste | | 30 | Server | | 40 | VoIP | | 99 | Management | Die VLAN-ID dient zur eindeutigen Zuordnung eines Frames zu einem VLAN. Merksatz: VLAN-ID = Nummer eines VLANs. --- **VLAN und Name** Neben der VLAN-ID kann ein VLAN auch einen Namen haben. Beispiel: | VLAN-ID | VLAN-Name | |---:|---| | 10 | Mitarbeiter | | 20 | Gast | | 30 | Server | | 40 | VoIP | | 99 | Management | Der Name dient der Übersicht. Technisch entscheidend ist aber die VLAN-ID. Merksatz: VLAN-Name hilft Menschen. VLAN-ID ist technisch entscheidend. --- **VLAN und IP-Subnetz** Ein VLAN ist nicht dasselbe wie ein IP-Subnetz. VLAN gehört zu: OSI-Schicht 2 IP-Subnetz gehört zu: OSI-Schicht 3 In der Praxis wird aber häufig jedem VLAN ein eigenes IP-Subnetz zugeordnet. Beispiel: | VLAN | Zweck | IP-Subnetz | |---:|---|---| | VLAN 10 | Mitarbeiter | 192.168.10.0/24 | | VLAN 20 | Gäste | 192.168.20.0/24 | | VLAN 30 | Server | 192.168.30.0/24 | Merksatz: VLAN = Schicht 2. IP-Subnetz = Schicht 3. --- **Warum VLAN und Subnetz oft zusammengehören** Wenn zwei VLANs getrennte Broadcast-Domänen sind, können Geräte darin nicht einfach direkt auf Schicht 2 miteinander kommunizieren. Damit Kommunikation zwischen VLANs möglich ist, braucht man Routing. Routing arbeitet auf Schicht 3. Deshalb plant man meistens: ein VLAN = ein eigenes IP-Subnetz Beispiel: VLAN 10 → 192.168.10.0/24 VLAN 20 → 192.168.20.0/24 Merksatz: Pro VLAN häufig ein eigenes IP-Subnetz. --- **Access-Port** Ein Access-Port ist ein Switch-Port, der normalerweise zu genau einem VLAN gehört. Typischer Einsatz: - PC - Drucker - IP-Kamera - einzelnes Endgerät - einfacher Access Point - VoIP-Telefon mit bestimmter Konfiguration Beispiel: Port 1 ist Access-Port in VLAN 10. Ein Gerät an Port 1 gehört dann logisch zu VLAN 10. Merksatz: Access-Port = ein VLAN für ein Endgerät. --- **Access-Port-Beispiel** Beispiel-Switch: | Port | Modus | VLAN | Gerät | |---:|---|---:|---| | 1 | Access | 10 | Mitarbeiter-PC | | 2 | Access | 10 | Mitarbeiter-PC | | 3 | Access | 20 | Gäste-PC | | 4 | Access | 30 | Server | Wichtig: Geräte an Access-Ports müssen normalerweise nichts von VLANs wissen. Der Switch ordnet den Port intern dem VLAN zu. Merksatz: Beim Access-Port übernimmt der Switch die VLAN-Zuordnung. --- **Trunk-Port** Ein Trunk-Port kann mehrere VLANs über eine einzige Verbindung transportieren. Typischer Einsatz: - Switch zu Switch - Switch zu Router - Switch zu Firewall - Switch zu Access Point mit mehreren SSIDs - Switch zu Virtualisierungshost Beispiel: VLAN 10 VLAN 20 VLAN 30 laufen gemeinsam über einen Trunk-Port. Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. --- **Warum braucht man Trunk-Ports?** Trunk-Ports werden benötigt, wenn mehrere VLANs über eine gemeinsame Verbindung transportiert werden sollen. Beispiel: Switch A hat VLAN 10, 20 und 30. Switch B soll diese VLANs ebenfalls nutzen. Dann braucht die Verbindung zwischen beiden Switches einen Trunk. Ohne Trunk müsste man für jedes VLAN eine eigene physische Verbindung verwenden. Merksatz: Trunk spart Kabel, indem mehrere VLANs über eine Verbindung laufen. --- **VLAN-Tagging** Damit ein Trunk mehrere VLANs unterscheiden kann, müssen Frames markiert werden. Diese Markierung nennt man: VLAN-Tag Der VLAN-Tag enthält die VLAN-ID. Dadurch weiß die Gegenstelle: Dieser Frame gehört zu VLAN 10. Dieser Frame gehört zu VLAN 20. Dieser Frame gehört zu VLAN 30. Merksatz: VLAN-Tag = Markierung eines Frames mit der VLAN-ID. --- **IEEE 802.1Q** IEEE 802.1Q ist der Standard für VLAN-Tagging bei Ethernet. 802.1Q fügt einem Ethernet-Frame eine VLAN-Information hinzu. Diese Information enthält unter anderem: - VLAN-ID - Prioritätsinformationen Für AP1/AP2 ist besonders wichtig: 802.1Q = VLAN-Tagging bei Ethernet Merksatz: IEEE 802.1Q = VLAN-Tagging-Standard. --- **Tagged und Untagged** Bei VLANs unterscheidet man häufig: tagged untagged Tagged bedeutet: Der Ethernet-Frame enthält einen VLAN-Tag. Untagged bedeutet: Der Ethernet-Frame enthält keinen VLAN-Tag. Typisch: Access-Port: meist untagged zum Endgerät Trunk-Port: mehrere VLANs tagged Merksatz: tagged = mit VLAN-Markierung. untagged = ohne VLAN-Markierung. --- **Access-Port und untagged Frames** Ein normales Endgerät an einem Access-Port sendet meist untagged Frames. Das bedeutet: Der PC sendet normale Ethernet-Frames ohne VLAN-Tag. Der Switch weiß aber: Dieser Port gehört zu VLAN 10. Also ordnet der Switch die Frames intern VLAN 10 zu. Merksatz: Access-Port: Endgerät sendet meist untagged, Switch ordnet VLAN zu. --- **Trunk-Port und tagged Frames** Auf einem Trunk-Port laufen mehrere VLANs. Damit die Gegenstelle die VLANs unterscheiden kann, werden Frames meistens tagged übertragen. Beispiel: Frame mit Tag VLAN 10 Frame mit Tag VLAN 20 Frame mit Tag VLAN 30 Die Gegenstelle liest den VLAN-Tag und ordnet den Frame dem richtigen VLAN zu. Merksatz: Trunk-Port: mehrere VLANs werden durch Tags unterschieden. --- **Native VLAN** Bei manchen Switch-Konzepten gibt es auf Trunk-Ports ein sogenanntes Native VLAN. Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können. Wichtig: Falsch konfigurierte Native VLANs können Sicherheits- oder Verbindungsprobleme verursachen. Für die Prüfung reicht meistens: Native VLAN = untagged VLAN auf einem Trunk Merksatz: Native VLAN auf beiden Seiten eines Trunks korrekt konfigurieren. --- **Allowed VLANs** Auf einem Trunk kann festgelegt werden, welche VLANs erlaubt sind. Beispiel: erlaubt: VLAN 10 VLAN 20 VLAN 30 nicht erlaubt: VLAN 40 Wenn ein VLAN auf dem Trunk nicht erlaubt ist, wird es darüber nicht transportiert. Merksatz: Allowed VLANs bestimmen, welche VLANs über einen Trunk laufen dürfen. --- **VLANs und WLAN** Access Points können mehrere WLAN-Namen bereitstellen. Diese WLAN-Namen heißen: SSIDs Jede SSID kann einem eigenen VLAN zugeordnet werden. Beispiel: | SSID | VLAN | Zweck | |---|---:|---| | Firma-Mitarbeiter | VLAN 10 | internes Netzwerk | | Firma-Gast | VLAN 20 | Gastzugang | | Firma-IoT | VLAN 30 | Geräte-Netz | Der Switch-Port zum Access Point ist dann oft ein Trunk-Port. Merksatz: Mehrere SSIDs nutzen häufig VLANs über einen Trunk. --- **VLANs und VoIP** VoIP steht für: Voice over IP In Unternehmen gibt es häufig ein eigenes VLAN für Telefone. Beispiel: VLAN 10 = PCs VLAN 40 = VoIP-Telefone Warum? - Sprachverkehr kann getrennt behandelt werden - Priorisierung ist einfacher - Sicherheit und Übersicht werden besser - eigene DHCP-Optionen können genutzt werden Merksatz: VoIP wird oft in einem eigenen VLAN betrieben. --- **Management-VLAN** Ein Management-VLAN wird zur Verwaltung von Netzwerkgeräten verwendet. Darin befinden sich zum Beispiel: - Switch-Management - Access-Point-Management - Controller - Monitoring-Systeme - Administrationszugänge Ziel: Management-Zugriffe sollen vom normalen Benutzerverkehr getrennt werden. Merksatz: Management-VLAN = separates Netz für Verwaltung. --- **Gast-VLAN** Ein Gast-VLAN ist ein separates Netz für Besucher oder private Geräte. Ziel: Gäste sollen Internetzugang haben, aber keinen Zugriff auf interne Systeme. Typische Regeln: Gast-VLAN → Internet erlaubt Gast-VLAN → interne Server blockiert Gast-VLAN → andere Gäste eventuell blockiert Merksatz: Gast-VLAN vom internen Netzwerk trennen. --- **IoT-VLAN** IoT steht für: Internet of Things In einem IoT-VLAN können Geräte gesammelt werden wie: - Kameras - Sensoren - Smart-TVs - Drucker - Steuergeräte - andere eingebettete Geräte Warum? IoT-Geräte sind oft schlechter wartbar oder unsicherer als normale Clients. Ein eigenes VLAN erleichtert Kontrolle und Firewall-Regeln. Merksatz: IoT-Geräte sinnvoll vom normalen Client-Netz trennen. --- **Inter-VLAN-Routing** Geräte in unterschiedlichen VLANs können nicht direkt nur über Schicht 2 miteinander kommunizieren. Wenn VLAN 10 mit VLAN 20 kommunizieren soll, braucht man Routing. Das nennt man: Inter-VLAN-Routing Dafür nutzt man zum Beispiel: - Router - Layer-3-Switch - Firewall Merksatz: Kommunikation zwischen VLANs braucht Schicht-3-Routing. --- **Router-on-a-Stick** Router-on-a-Stick ist eine Methode für Inter-VLAN-Routing. Dabei verbindet ein einzelner physischer Router-Port mehrere VLANs über einen Trunk. Der Router besitzt dafür logische Unterinterfaces. Beispiel: Router-Port mit VLAN 10 VLAN 20 VLAN 30 über eine Trunk-Verbindung zum Switch. Merksatz: Router-on-a-Stick = Inter-VLAN-Routing über einen Trunk zum Router. --- **Layer-3-Switch** Ein Layer-3-Switch kann Switching und Routing kombinieren. Er kann: - auf Schicht 2 Frames switchen - auf Schicht 3 zwischen VLANs routen In größeren Netzwerken ist Inter-VLAN-Routing häufig auf einem Layer-3-Switch umgesetzt. Merksatz: Layer-3-Switch = Switch mit Routing-Funktion. --- **Firewall zwischen VLANs** In vielen Netzwerken wird die Kommunikation zwischen VLANs über eine Firewall geregelt. Beispiel: Mitarbeiter-VLAN darf auf Server-VLAN zugreifen. Gast-VLAN darf nur ins Internet. IoT-VLAN darf nur bestimmte Dienste erreichen. Vorteil: Zugriffe können kontrolliert und protokolliert werden. Merksatz: VLAN-Trennung wird durch Firewall-Regeln wirksam abgesichert. --- **VLANs und Sicherheit** VLANs erhöhen die Sicherheit, weil sie Netzbereiche logisch trennen. Aber: VLANs allein sind keine vollständige Sicherheitslösung. Zusätzlich braucht man je nach Umgebung: - Firewall-Regeln - Zugriffskontrolle - sichere Switch-Konfiguration - 802.1X - Port Security - Monitoring - saubere Dokumentation Merksatz: VLAN trennt logisch, Firewall regelt den Zugriff. --- **VLANs und DHCP** DHCP stellt IP-Adressen automatisch bereit. Da VLANs meist eigene IP-Subnetze haben, benötigt jedes VLAN eine passende DHCP-Konfiguration. Beispiel: | VLAN | Subnetz | DHCP-Bereich | |---:|---|---| | 10 | 192.168.10.0/24 | 192.168.10.100–192.168.10.200 | | 20 | 192.168.20.0/24 | 192.168.20.100–192.168.20.200 | | 30 | 192.168.30.0/24 | 192.168.30.100–192.168.30.200 | Wenn ein Client im falschen VLAN ist, bekommt er eventuell eine falsche oder keine IP-Adresse. Merksatz: VLAN und DHCP-Bereich müssen zusammenpassen. --- **DHCP-Relay** Ein DHCP-Server steht nicht immer direkt in jedem VLAN. Wenn Clients in mehreren VLANs IP-Adressen erhalten sollen, kann ein DHCP-Relay eingesetzt werden. Aufgabe: DHCP-Anfragen aus einem VLAN an einen zentralen DHCP-Server weiterleiten. DHCP-Relay arbeitet im Zusammenspiel mit Schicht 3. Merksatz: DHCP-Relay hilft, DHCP über VLAN-Grenzen hinweg zu nutzen. --- **VLANs und Fehlersuche** Typische VLAN-Fehler: - Port im falschen VLAN - Access-Port statt Trunk - Trunk statt Access-Port - VLAN auf Trunk nicht erlaubt - falsches Native VLAN - VLAN auf Switch nicht angelegt - falsche SSID-VLAN-Zuordnung - falscher DHCP-Bereich - fehlendes Inter-VLAN-Routing - Firewall blockiert Kommunikation Merksatz: VLAN-Fehler wirken oft wie IP- oder DHCP-Probleme. --- **Fehlerbild: Client bekommt falsche IP-Adresse** Mögliche Ursache: Der Switch-Port ist im falschen VLAN. Beispiel: Client soll in VLAN 10 sein. Port ist aber in VLAN 20. Folge: Client erhält eine IP-Adresse aus dem falschen Subnetz oder erreicht nicht die erwarteten Dienste. Merksatz: Falsches VLAN kann falsche IP-Adresse verursachen. --- **Fehlerbild: Access Point mit mehreren SSIDs funktioniert nicht richtig** Mögliche Ursachen: - Switch-Port ist kein Trunk - VLANs sind auf dem Trunk nicht erlaubt - SSID ist falschem VLAN zugeordnet - Native VLAN falsch - DHCP fehlt für ein VLAN - Firewall blockiert Gastnetz - Access Point unterstützt Konfiguration nicht Merksatz: Mehrere SSIDs brauchen meist korrektes VLAN-Tagging. --- **Fehlerbild: Zwei VLANs erreichen sich nicht** Mögliche Ursachen: - kein Inter-VLAN-Routing - falsches Gateway - Firewall blockiert - falsche Subnetzmaske - VLAN nicht korrekt angelegt - Trunk transportiert VLAN nicht - Routing-Schnittstelle fehlt Wichtig: Wenn zwei VLANs kommunizieren sollen, braucht man eine Schicht-3-Komponente. Merksatz: VLAN zu VLAN braucht Routing. --- **Einordnung in das OSI-Modell** | Thema | Schicht | |---|---:| | VLAN | Schicht 2 | | VLAN-Tag | Schicht 2 | | Access-Port | Schicht 2 | | Trunk-Port | Schicht 2 | | MAC-Adresse | Schicht 2 | | Broadcast-Domäne | Schicht 2 | | IP-Subnetz | Schicht 3 | | Inter-VLAN-Routing | Schicht 3 | | DHCP | Anwendungsschicht mit Netzwerkbezug | | Firewall-Regeln nach IP/Port | Schicht 3 / 4 | Merksatz: VLAN ist Schicht 2. Routing zwischen VLANs ist Schicht 3. --- **VLAN und Subnetz nicht verwechseln** | Begriff | Schicht | Aufgabe | |---|---:|---| | VLAN | 2 | logische Trennung im LAN | | Subnetz | 3 | logischer IP-Adressbereich | | Router / Layer-3-Switch | 3 | Verbindung zwischen Netzen | | Firewall | 3 / 4 / 7 | Zugriff kontrollieren | Wichtig: In der Praxis werden VLAN und Subnetz oft gemeinsam geplant, bleiben aber unterschiedliche Konzepte. Merksatz: VLAN trennt Frames. Subnetz trennt IP-Bereiche. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VLAN? - Auf welcher OSI-Schicht arbeitet ein VLAN? - Was ist eine Broadcast-Domäne? - Warum nutzt man VLANs? - Was ist eine VLAN-ID? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet VLAN-Tagging? - Was ist IEEE 802.1Q? - Was bedeutet tagged und untagged? - Warum braucht man Inter-VLAN-Routing? - Was ist Router-on-a-Stick? - Warum ist ein VLAN nicht dasselbe wie ein IP-Subnetz? - Warum kann ein falsches VLAN zu DHCP-Problemen führen? - Warum reichen VLANs allein nicht als vollständige Sicherheitslösung? --- **Typische Prüfungsfallen** VLANs gehören zu Schicht 2. IP-Subnetze gehören zu Schicht 3. VLAN und Subnetz sind nicht dasselbe. Ein VLAN bildet normalerweise eine Broadcast-Domäne. Access-Port = normalerweise ein VLAN. Trunk-Port = mehrere VLANs. Tagged = mit VLAN-Tag. Untagged = ohne VLAN-Tag. IEEE 802.1Q = VLAN-Tagging. Kommunikation zwischen VLANs braucht Routing. VLANs allein ersetzen keine Firewall-Regeln. Falsches VLAN kann wie ein IP- oder DHCP-Problem aussehen. Mehrere SSIDs auf einem Access Point nutzen häufig VLANs. Native VLAN muss auf Trunk-Verbindungen korrekt passen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | VLAN | Virtual Local Area Network, logisches LAN | | VLAN-ID | Nummer eines VLANs | | VLAN-Name | lesbarer Name eines VLANs | | Broadcast | Nachricht an alle im lokalen Netz | | Broadcast-Domäne | Bereich, in dem Broadcasts verteilt werden | | Access-Port | Switch-Port für ein einzelnes VLAN | | Trunk-Port | Switch-Port für mehrere VLANs | | VLAN-Tag | Markierung eines Frames mit VLAN-ID | | IEEE 802.1Q | Standard für VLAN-Tagging | | tagged | Frame mit VLAN-Tag | | untagged | Frame ohne VLAN-Tag | | Native VLAN | untagged VLAN auf einem Trunk | | Allowed VLANs | VLANs, die über einen Trunk erlaubt sind | | Inter-VLAN-Routing | Routing zwischen VLANs | | Router-on-a-Stick | Inter-VLAN-Routing über Router-Trunk | | Layer-3-Switch | Switch mit Routing-Funktion | | Management-VLAN | VLAN zur Verwaltung von Netzwerkgeräten | | Gast-VLAN | separates VLAN für Gäste | | IoT-VLAN | separates VLAN für IoT-Geräte | | DHCP-Relay | Weiterleitung von DHCP-Anfragen zu zentralem DHCP-Server | --- **IHK-sichere Kurzformulierung** Ein VLAN ist ein virtuelles lokales Netzwerk auf OSI-Schicht 2. Mit VLANs können Geräte logisch getrennt werden, auch wenn sie an derselben physischen Switch-Infrastruktur angeschlossen sind. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Access-Ports gehören meist zu genau einem VLAN und werden für Endgeräte verwendet. Trunk-Ports können mehrere VLANs transportieren und nutzen dafür VLAN-Tagging nach IEEE 802.1Q. VLANs sind nicht dasselbe wie IP-Subnetze, werden in der Praxis aber häufig gemeinsam geplant. Kommunikation zwischen VLANs benötigt Routing, zum Beispiel über einen Router, eine Firewall oder einen Layer-3-Switch. --- **Merksätze** VLAN = Virtual Local Area Network. VLAN = logische Netztrennung auf Schicht 2. Ein VLAN bildet eine Broadcast-Domäne. VLAN-ID = Nummer des VLANs. VLAN-Name = lesbare Bezeichnung. VLAN ist nicht IP-Subnetz. VLAN = Schicht 2. IP-Subnetz = Schicht 3. Pro VLAN häufig ein eigenes Subnetz. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. Tagged = mit VLAN-Tag. Untagged = ohne VLAN-Tag. IEEE 802.1Q = VLAN-Tagging. Native VLAN = untagged VLAN auf einem Trunk. Allowed VLANs bestimmen, welche VLANs über einen Trunk laufen. Mehrere SSIDs nutzen häufig VLANs. Gast-VLAN vom internen Netz trennen. IoT-VLAN für unsichere Geräte sinnvoll. VLAN zu VLAN braucht Routing. Router-on-a-Stick = Inter-VLAN-Routing über Trunk. Layer-3-Switch kann zwischen VLANs routen. VLAN trennt logisch, Firewall regelt den Zugriff. Falsches VLAN kann DHCP- und IP-Probleme verursachen. # 5.5 ARP – IP-Adresse zur MAC-Adresse auflösen ARP gehört zu den wichtigsten Grundlagen im lokalen Netzwerk. ARP steht für: Address Resolution Protocol Auf Deutsch sinngemäß: Adressauflösungsprotokoll ARP wird benötigt, damit ein Gerät zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk herausfinden kann. Merksatz: ARP findet die MAC-Adresse zu einer IP-Adresse im lokalen Netz. --- **Warum braucht man ARP?** IP-Adressen gehören zu OSI-Schicht 3. MAC-Adressen gehören zu OSI-Schicht 2. Ein Ethernet-Frame braucht für die lokale Zustellung eine Ziel-MAC-Adresse. Wenn ein PC nur die Ziel-IP-Adresse kennt, muss er herausfinden: Welche MAC-Adresse gehört zu dieser IP-Adresse? Genau dafür wird ARP verwendet. Merksatz: IP allein reicht im Ethernet-LAN nicht aus, der Frame braucht eine Ziel-MAC-Adresse. --- **Schicht 2 und Schicht 3 zusammengedacht** Ein Gerät arbeitet beim Senden im LAN mit mehreren Schichten gleichzeitig. Beispiel: Ziel-IP-Adresse: 192.168.10.20 Damit der Frame im lokalen Ethernet gesendet werden kann, braucht der PC zusätzlich: Ziel-MAC-Adresse: zum Beispiel AA:BB:CC:11:22:33 ARP verbindet diese beiden Ebenen. | Adresse | Schicht | Aufgabe | |---|---:|---| | MAC-Adresse | 2 | lokale Zustellung im LAN | | IP-Adresse | 3 | logische Adressierung im IP-Netz | Merksatz: ARP verbindet IP-Adresse und MAC-Adresse im lokalen Netz. --- **Grundprinzip von ARP** ARP arbeitet nach dem Prinzip: Wer hat diese IP-Adresse? Bitte melde deine MAC-Adresse. Ein Gerät sendet also eine Anfrage ins lokale Netzwerk. Das Gerät mit der gesuchten IP-Adresse antwortet mit seiner MAC-Adresse. Merksatz: ARP fragt: Wer hat diese IP? --- **ARP-Anfrage** Eine ARP-Anfrage wird verwendet, wenn ein Gerät die MAC-Adresse zu einer IP-Adresse noch nicht kennt. Beispiel: PC A möchte PC B erreichen. PC A kennt die IP-Adresse von PC B. PC A kennt aber noch nicht die MAC-Adresse von PC B. Dann sendet PC A eine ARP-Anfrage. Sinngemäß: Wer hat 192.168.10.20? Bitte 192.168.10.10 antworten. Merksatz: ARP-Anfrage = Suche nach der MAC-Adresse zu einer IP-Adresse. --- **ARP-Anfrage als Broadcast** Eine ARP-Anfrage wird als Broadcast gesendet. Warum? Der Absender kennt die Ziel-MAC-Adresse noch nicht. Deshalb wird die Anfrage an alle Geräte im lokalen Netz geschickt. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Alle Geräte im lokalen Netz empfangen die ARP-Anfrage. Aber nur das Gerät mit der gesuchten IP-Adresse antwortet. Merksatz: ARP-Anfrage = Broadcast. --- **ARP-Antwort** Die ARP-Antwort kommt von dem Gerät, das die gesuchte IP-Adresse besitzt. Die Antwort enthält die passende MAC-Adresse. Beispiel: PC B antwortet: 192.168.10.20 gehört zu AA:BB:CC:11:22:33 Danach kann PC A Ethernet-Frames gezielt an die MAC-Adresse von PC B senden. Merksatz: ARP-Antwort liefert die gesuchte MAC-Adresse. --- **ARP-Antwort als Unicast** Eine ARP-Antwort wird normalerweise als Unicast gesendet. Das bedeutet: Die Antwort geht gezielt an den Absender der ARP-Anfrage. Beispiel: PC B antwortet direkt an PC A. Warum? PC B kennt aus der ARP-Anfrage bereits die MAC-Adresse von PC A. Merksatz: ARP-Antwort = meistens Unicast. --- **ARP im gleichen IP-Netz** ARP funktioniert für Ziele im gleichen lokalen IP-Netz. Beispiel: | Gerät | IP-Adresse | |---|---| | PC A | 192.168.10.10/24 | | PC B | 192.168.10.20/24 | Beide Geräte befinden sich im gleichen Subnetz: 192.168.10.0/24 Wenn PC A PC B erreichen möchte, sucht PC A per ARP die MAC-Adresse von PC B. Merksatz: Gleiches Subnetz: ARP sucht die MAC-Adresse des Zielgeräts. --- **ARP bei Ziel in anderem Netz** Wenn das Ziel in einem anderen IP-Netz liegt, sucht der PC nicht die MAC-Adresse des entfernten Zielservers. Stattdessen sucht er die MAC-Adresse seines Standard-Gateways. Beispiel: PC: 192.168.10.10/24 Ziel: 8.8.8.8 Das Ziel liegt nicht im lokalen Netz. Der PC sendet deshalb den Ethernet-Frame an die MAC-Adresse des Routers. Im IP-Paket bleibt als Ziel-IP aber weiterhin: 8.8.8.8 Merksatz: Anderes Netz: ARP sucht die MAC-Adresse des Gateways. --- **Standard-Gateway und ARP** Das Standard-Gateway ist der Router, über den ein Gerät andere Netzwerke erreicht. Wenn ein Ziel nicht im eigenen Subnetz liegt, sendet der PC an das Standard-Gateway. Dafür braucht der PC die MAC-Adresse des Gateways. Diese wird per ARP ermittelt. Beispiel: Gateway-IP: 192.168.10.1 ARP fragt: Wer hat 192.168.10.1? Merksatz: Für entfernte Ziele braucht der PC die MAC-Adresse des Gateways. --- **MAC-Adresse ändert sich pro Netzwerkabschnitt** Wenn Daten über Router übertragen werden, ändern sich die MAC-Adressen auf jedem lokalen Abschnitt. Beispiel: PC → Router → weiterer Router → Server Auf jedem Abschnitt gibt es neue Ethernet-Frames mit neuen Quell- und Ziel-MAC-Adressen. Die IP-Adressen bleiben grundsätzlich erhalten, außer bei NAT oder PAT. Merksatz: MAC-Adressen gelten nur lokal bis zum nächsten Router. --- **IP-Adresse bleibt grundsätzlich erhalten** Während sich die MAC-Adressen von Abschnitt zu Abschnitt ändern, bleibt die Ziel-IP-Adresse normalerweise gleich. Beispiel: PC möchte 8.8.8.8 erreichen. Auf dem ersten Ethernet-Abschnitt gilt: Ziel-MAC = Router Ziel-IP = 8.8.8.8 Der Router entfernt den alten Ethernet-Frame und erstellt für den nächsten Abschnitt einen neuen Frame. Die Ziel-IP bleibt dabei weiterhin 8.8.8.8. Merksatz: MAC ändert sich pro Hop. IP bleibt grundsätzlich Ende-zu-Ende. --- **ARP-Tabelle** Ein Gerät speichert bekannte Zuordnungen von IP-Adresse zu MAC-Adresse in einer ARP-Tabelle. Diese Tabelle wird auch genannt: ARP-Cache Beispiel: | IP-Adresse | MAC-Adresse | |---|---| | 192.168.10.1 | 00:11:22:33:44:55 | | 192.168.10.20 | AA:BB:CC:11:22:33 | Der Vorteil: Das Gerät muss nicht vor jedem einzelnen Frame erneut eine ARP-Anfrage senden. Merksatz: ARP-Cache speichert IP-zu-MAC-Zuordnungen. --- **ARP-Cache ist zeitlich begrenzt** ARP-Einträge bleiben nicht dauerhaft gespeichert. Nach einiger Zeit werden sie automatisch gelöscht oder erneuert. Warum? Geräte können ausgeschaltet werden. Geräte können eine andere Netzwerkkarte nutzen. IP-Adressen können neu vergeben werden. Netzwerkstrukturen können sich ändern. Merksatz: ARP-Einträge altern und werden aktualisiert. --- **Statische und dynamische ARP-Einträge** ARP-Einträge können dynamisch oder statisch sein. | Art | Bedeutung | |---|---| | dynamischer ARP-Eintrag | automatisch durch ARP gelernt | | statischer ARP-Eintrag | manuell fest eingetragen | In normalen Netzwerken werden meistens dynamische ARP-Einträge verwendet. Statische Einträge sind Sonderfälle und können Wartung erschweren. Merksatz: ARP ist normalerweise dynamisch. --- **ARP und Switches** Ein Switch leitet ARP-Frames wie andere Ethernet-Frames weiter. Wichtig: Eine ARP-Anfrage ist ein Broadcast. Der Switch verteilt sie innerhalb des VLANs. Eine ARP-Antwort ist meistens Unicast. Der Switch leitet sie gezielt weiter, wenn die Ziel-MAC bekannt ist. Dabei lernt der Switch weiterhin MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Merksatz: ARP hilft Endgeräten, Switches lernen trotzdem über Quell-MACs. --- **ARP und VLANs** ARP bleibt innerhalb einer Broadcast-Domäne. Da ein VLAN normalerweise eine eigene Broadcast-Domäne bildet, bleibt eine ARP-Anfrage innerhalb dieses VLANs. Beispiel: ARP-Anfrage in VLAN 10 bleibt in VLAN 10. Sie wird nicht automatisch in VLAN 20 weitergeleitet. Merksatz: ARP-Broadcasts bleiben im VLAN. --- **ARP und Router** Router leiten ARP-Broadcasts normalerweise nicht in andere Netze weiter. Warum? Broadcasts sollen auf das lokale Netz begrenzt bleiben. Wenn ein Router ein IP-Paket weiterleitet, nutzt er auf dem nächsten Netzwerkabschnitt selbst wieder ARP, um die nächste lokale Ziel-MAC zu finden. Merksatz: Router trennen ARP-Broadcasts. --- **ARP und DHCP** ARP und DHCP sind unterschiedliche Protokolle. DHCP dient dazu, IP-Konfiguration automatisch zu vergeben. ARP dient dazu, zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. | Protokoll | Aufgabe | |---|---| | DHCP | IP-Adresse und Netzwerkkonfiguration vergeben | | ARP | MAC-Adresse zu einer IP-Adresse finden | Beide nutzen Broadcasts im lokalen Netz. Merksatz: DHCP vergibt IP. ARP findet MAC zu IP. --- **ARP und DNS** ARP und DNS werden häufig verwechselt, weil beide etwas „auflösen“. Aber sie lösen unterschiedliche Dinge auf. | Protokoll | Auflösung | |---|---| | DNS | Name zu IP-Adresse | | ARP | IP-Adresse zu MAC-Adresse | Beispiel: DNS: www.example.com → 93.184.216.34 ARP: 192.168.10.1 → 00:11:22:33:44:55 Merksatz: DNS findet IP zu Name. ARP findet MAC zu IP. --- **Ablauf: Webseite im Internet öffnen** Beispiel: PC öffnet eine Webseite im Internet. Vereinfacht passiert: 1. DNS löst den Namen zur IP-Adresse auf. 2. PC erkennt: Ziel-IP liegt nicht im eigenen Subnetz. 3. PC braucht das Standard-Gateway. 4. PC sucht per ARP die MAC-Adresse des Gateways. 5. PC sendet Ethernet-Frame an die MAC-Adresse des Gateways. 6. Im IP-Paket steht die Ziel-IP des Webservers. 7. Router leitet das IP-Paket weiter. Merksatz: Zum Internetziel geht der erste Frame lokal an das Gateway. --- **Ablauf: Gerät im gleichen LAN erreichen** Beispiel: PC A will PC B im gleichen Subnetz erreichen. Vereinfacht passiert: 1. PC A prüft: Ziel-IP liegt im eigenen Subnetz. 2. PC A sucht per ARP die MAC-Adresse von PC B. 3. PC B antwortet mit seiner MAC-Adresse. 4. PC A speichert die Zuordnung im ARP-Cache. 5. PC A sendet Ethernet-Frames direkt an die MAC-Adresse von PC B. Merksatz: Im gleichen Subnetz wird direkt an die Ziel-MAC gesendet. --- **Ablauf: Gerät in anderem VLAN erreichen** Beispiel: PC in VLAN 10 will Server in VLAN 30 erreichen. VLANs sind getrennte Broadcast-Domänen. PC kann nicht direkt per ARP die MAC-Adresse des Servers in VLAN 30 ermitteln. Stattdessen: PC sendet an das Gateway von VLAN 10. Das Gateway routet Richtung VLAN 30. Dort wird für den nächsten lokalen Abschnitt wieder ARP verwendet. Merksatz: Zwischen VLANs braucht man Routing, nicht direkte ARP-Auflösung zum Zielgerät. --- **Gratuitous ARP** Gratuitous ARP bedeutet: Ein Gerät sendet eine ARP-Information über sich selbst, ohne dass vorher jemand danach gefragt hat. Mögliche Zwecke: - ARP-Cache anderer Geräte aktualisieren - IP-Adresskonflikte erkennen - Failover-Szenarien unterstützen - neue MAC-Zuordnung bekannt machen Für AP1/AP2 reicht meist: Gratuitous ARP informiert das lokale Netz über eine IP-MAC-Zuordnung. Merksatz: Gratuitous ARP = ARP-Information ohne direkte Anfrage. --- **ARP-Probe** Eine ARP-Probe kann verwendet werden, um zu prüfen, ob eine IP-Adresse bereits im lokalen Netz verwendet wird. Beispiel: Ein Gerät möchte eine IP-Adresse nutzen. Vorher fragt es im Netz, ob jemand diese IP-Adresse bereits verwendet. Das hilft, IP-Adresskonflikte zu vermeiden. Merksatz: ARP kann helfen, doppelte IP-Adressen zu erkennen. --- **IP-Adresskonflikt** Ein IP-Adresskonflikt entsteht, wenn zwei Geräte dieselbe IP-Adresse im gleichen Netz verwenden. Mögliche Folgen: - Verbindungsabbrüche - wechselnde Erreichbarkeit - ARP-Einträge ändern sich ständig - falsches Gerät antwortet - Netzwerkprobleme schwer nachvollziehbar ARP kann Hinweise auf solche Konflikte liefern. Merksatz: Doppelte IP-Adressen können ARP-Probleme verursachen. --- **ARP-Spoofing** ARP-Spoofing ist ein Angriff auf ARP. Dabei sendet ein Angreifer falsche ARP-Informationen ins Netzwerk. Ziel: Andere Geräte sollen eine falsche MAC-Adresse zu einer IP-Adresse speichern. Beispiel: Angreifer behauptet: Ich bin das Gateway. Dann senden Clients ihre Frames möglicherweise an den Angreifer. Merksatz: ARP-Spoofing = falsche IP-MAC-Zuordnung einschleusen. --- **ARP-Poisoning** ARP-Poisoning ist eng mit ARP-Spoofing verwandt. Dabei wird der ARP-Cache anderer Geräte mit falschen Informationen „vergiftet“. Mögliche Folgen: - Man-in-the-Middle-Angriff - Datenverkehr wird umgeleitet - Verbindungsausfall - Abhören oder Manipulation von Daten Merksatz: ARP-Poisoning manipuliert ARP-Caches. --- **Warum ist ARP angreifbar?** ARP wurde für lokale Netze entwickelt und vertraut Antworten im lokalen Netzwerk relativ stark. Problem: Geräte prüfen ARP-Antworten nicht immer ausreichend. Auch ungefragte ARP-Informationen können übernommen werden. Angreifer im lokalen Netz können falsche Zuordnungen senden. Deshalb ist Netztrennung und Zugriffskontrolle wichtig. Merksatz: ARP ist im lokalen Netz nützlich, aber nicht besonders stark gegen Manipulation geschützt. --- **Schutzmaßnahmen gegen ARP-Angriffe** Mögliche Schutzmaßnahmen: - VLAN-Trennung - 802.1X - Port Security - Dynamic ARP Inspection - DHCP Snooping - statische ARP-Einträge in Sonderfällen - Monitoring - sichere Switch-Konfiguration - keine unnötigen Geräte im internen Netz Für AP1/AP2 ist besonders wichtig: ARP-Angriffe werden durch saubere Netztrennung und Switch-Sicherheitsfunktionen erschwert. Merksatz: ARP-Schutz beginnt mit sauberer Layer-2-Sicherheit. --- **Dynamic ARP Inspection** Dynamic ARP Inspection ist eine Switch-Sicherheitsfunktion. Sie kann ARP-Nachrichten prüfen und gefälschte ARP-Informationen blockieren. Häufig arbeitet sie zusammen mit DHCP Snooping. Für AP1/AP2 reicht: Dynamic ARP Inspection schützt vor gefälschten ARP-Antworten. Merksatz: Dynamic ARP Inspection prüft ARP auf dem Switch. --- **DHCP Snooping** DHCP Snooping ist eine Switch-Sicherheitsfunktion. Sie unterscheidet vertrauenswürdige und nicht vertrauenswürdige Ports für DHCP. Ziel: unerlaubte DHCP-Server verhindern und Informationen über IP-MAC-Zuordnungen sammeln Diese Informationen können wiederum für Dynamic ARP Inspection genutzt werden. Merksatz: DHCP Snooping hilft gegen falsche DHCP-Server und unterstützt ARP-Schutz. --- **ARP und IPv6** ARP wird bei IPv4 verwendet. Bei IPv6 wird ARP nicht mehr verwendet. IPv6 nutzt stattdessen: Neighbor Discovery Protocol Abkürzung: NDP NDP übernimmt ähnliche Aufgaben in IPv6-Netzen. Merksatz: IPv4 nutzt ARP. IPv6 nutzt NDP. --- **ARP in der Fehlersuche** ARP ist sehr hilfreich bei der Fehlersuche im lokalen Netzwerk. Typische Prüffragen: Gibt es einen ARP-Eintrag für das Gateway? Stimmt die MAC-Adresse zum erwarteten Gerät? Ändert sich ein ARP-Eintrag ständig? Gibt es doppelte IP-Adressen? Wird die MAC-Adresse des Ziels gelernt? Liegt das Ziel im gleichen Subnetz? Ist das richtige VLAN aktiv? Merksatz: ARP zeigt, ob IP und MAC lokal zusammenfinden. --- **Typische ARP-Fehlerbilder** | Fehlerbild | mögliche Ursache | |---|---| | kein ARP-Eintrag für Gateway | Gateway nicht erreichbar, falsches VLAN, Schicht-1-Problem | | wechselnde MAC-Adresse zu einer IP | IP-Konflikt oder ARP-Spoofing | | ARP klappt, aber Ping nicht | Firewall, ICMP blockiert, Routing oder Zielproblem | | keine ARP-Antwort | Ziel aus, falsches VLAN, falsches Subnetz | | falsche MAC im ARP-Cache | ARP-Spoofing oder veralteter Eintrag | Merksatz: ARP-Fehler können auf VLAN-, IP- oder Sicherheitsprobleme hinweisen. --- **ARP-Cache anzeigen** Auf vielen Systemen kann man den ARP-Cache anzeigen. Beispiele: Windows: arp -a Linux: ip neigh macOS: arp -a Diese Befehle zeigen bekannte IP-MAC-Zuordnungen. Wichtig: Die genaue Ausgabe hängt vom Betriebssystem ab. Merksatz: ARP-Cache zeigt bekannte lokale IP-MAC-Zuordnungen. --- **ARP-Cache leeren** Manchmal kann es sinnvoll sein, alte ARP-Einträge zu entfernen. Beispiele: Gerät wurde ausgetauscht. Gateway hat neue MAC-Adresse. ARP-Eintrag ist veraltet. IP-Konflikt wurde behoben. Danach kann das Gerät die MAC-Adresse neu per ARP lernen. Merksatz: ARP-Cache leeren erzwingt neue ARP-Auflösung. --- **Einordnung in das OSI-Modell** ARP liegt zwischen Schicht 2 und Schicht 3. Warum? ARP fragt zu einer IP-Adresse die passende MAC-Adresse ab. | Thema | Schicht | |---|---:| | MAC-Adresse | 2 | | Ethernet-Frame | 2 | | ARP-Nachricht im LAN | 2 / 3-Bezug | | IP-Adresse | 3 | | Routing | 3 | | TCP-Port | 4 | | DNS | 7 | Prüfungstauglich: ARP wird meist im Zusammenhang mit Schicht 2 und 3 betrachtet. Merksatz: ARP verbindet Schicht 3 mit Schicht 2. --- **Was ARP nicht macht** ARP macht nicht: - DNS-Namen auflösen - IP-Adressen vergeben - zwischen VLANs routen - TCP-Verbindungen aufbauen - Internetseiten laden - Firewall-Regeln prüfen - Verschlüsselung bereitstellen ARP hat eine sehr konkrete Aufgabe: IP-Adresse zu MAC-Adresse im lokalen Netz auflösen. Merksatz: ARP ist keine Namensauflösung, sondern Adressauflösung im LAN. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet ARP? - Welche Aufgabe hat ARP? - Warum braucht man ARP? - Was ist eine ARP-Anfrage? - Warum ist die ARP-Anfrage ein Broadcast? - Warum ist die ARP-Antwort meist ein Unicast? - Was steht im ARP-Cache? - Was passiert, wenn das Ziel in einem anderen Netz liegt? - Welche MAC-Adresse wird verwendet, wenn das Ziel nicht im eigenen Subnetz liegt? - Was ist der Unterschied zwischen ARP und DNS? - Was ist der Unterschied zwischen ARP und DHCP? - Was ist ARP-Spoofing? - Warum verwendet IPv6 kein ARP? --- **Typische Prüfungsfallen** ARP findet MAC-Adresse zu IP-Adresse. DNS findet IP-Adresse zu Name. DHCP vergibt IP-Konfiguration. ARP-Anfrage ist Broadcast. ARP-Antwort ist meistens Unicast. ARP funktioniert lokal innerhalb der Broadcast-Domäne. ARP-Broadcasts werden normalerweise nicht über Router weitergeleitet. Bei Ziel im gleichen Subnetz wird die MAC des Zielgeräts gesucht. Bei Ziel in anderem Subnetz wird die MAC des Gateways gesucht. MAC-Adresse ändert sich pro Netzwerkabschnitt. IP-Adresse bleibt grundsätzlich über Router hinweg erhalten. IPv4 nutzt ARP. IPv6 nutzt NDP. ARP kann durch Spoofing manipuliert werden. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | ARP | Address Resolution Protocol | | ARP-Anfrage | Anfrage nach der MAC-Adresse zu einer IP-Adresse | | ARP-Antwort | Antwort mit IP-MAC-Zuordnung | | ARP-Cache | gespeicherte IP-MAC-Zuordnungen | | Broadcast | Nachricht an alle Geräte im lokalen Netz | | Unicast | Nachricht an ein bestimmtes Gerät | | MAC-Adresse | lokale Hardwareadresse | | IP-Adresse | logische Adresse auf Schicht 3 | | Standard-Gateway | Router ins andere Netz | | Gratuitous ARP | ungefragte ARP-Information über eigene IP-MAC-Zuordnung | | ARP-Probe | Prüfung, ob eine IP-Adresse bereits verwendet wird | | IP-Adresskonflikt | zwei Geräte nutzen gleiche IP-Adresse | | ARP-Spoofing | falsche ARP-Informationen senden | | ARP-Poisoning | ARP-Cache mit falschen Informationen manipulieren | | Dynamic ARP Inspection | Switch-Schutz gegen gefälschte ARP-Informationen | | DHCP Snooping | Switch-Schutz gegen unerlaubte DHCP-Server | | NDP | Neighbor Discovery Protocol bei IPv6 | --- **IHK-sichere Kurzformulierung** ARP steht für Address Resolution Protocol und wird in IPv4-Netzen verwendet, um zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk zu ermitteln. Eine ARP-Anfrage wird als Broadcast gesendet, weil die Ziel-MAC-Adresse noch unbekannt ist. Das Gerät mit der gesuchten IP-Adresse antwortet normalerweise per Unicast mit seiner MAC-Adresse. Wenn sich das Ziel im gleichen Subnetz befindet, wird die MAC-Adresse des Zielgeräts gesucht. Befindet sich das Ziel in einem anderen Netz, wird die MAC-Adresse des Standard-Gateways ermittelt. ARP arbeitet lokal innerhalb einer Broadcast-Domäne und verbindet die IP-Adressierung auf Schicht 3 mit der MAC-Adressierung auf Schicht 2. --- **Merksätze** ARP = Address Resolution Protocol. ARP findet MAC-Adresse zu IP-Adresse. ARP gehört zu IPv4. IPv6 nutzt NDP statt ARP. ARP verbindet Schicht 3 mit Schicht 2. IP-Adresse = Schicht 3. MAC-Adresse = Schicht 2. ARP-Anfrage = Broadcast. ARP-Antwort = meistens Unicast. Broadcast-MAC = FF:FF:FF:FF:FF:FF. ARP bleibt im lokalen Netz. Router leiten ARP-Broadcasts nicht weiter. Gleiches Subnetz: ARP sucht Ziel-MAC. Anderes Subnetz: ARP sucht Gateway-MAC. MAC-Adresse ändert sich pro Netzwerkabschnitt. IP-Adresse bleibt grundsätzlich erhalten. ARP-Cache speichert IP-MAC-Zuordnungen. DNS ist nicht ARP. DHCP ist nicht ARP. ARP-Spoofing manipuliert IP-MAC-Zuordnungen. Erst ARP verstehen, dann Switching und Routing wirklich verstehen. # 5.6 STP, Schleifen und Broadcast-Stürme Auf OSI-Schicht 2 können Schleifen besonders gefährlich sein. Eine Schleife entsteht, wenn es in einem Switch-Netz mehrere aktive Wege gibt, über die Frames endlos im Kreis laufen können. Das kann dazu führen, dass ein Netzwerk sehr schnell überlastet wird. Merksatz: Layer-2-Schleifen können ein Netzwerk lahmlegen. --- **Warum sind Schleifen auf Schicht 2 gefährlich?** Auf Schicht 3 gibt es bei IP-Paketen ein Feld, das die Lebensdauer begrenzt. Dieses Feld heißt: TTL TTL steht für: Time To Live Bei Ethernet-Frames auf Schicht 2 gibt es so eine Begrenzung nicht in gleicher Weise. Das bedeutet: Ein Frame kann bei einer Schleife immer wieder weitergeleitet werden. Dadurch kann ein Netzwerk überlastet werden. Merksatz: Ethernet-Frames haben keine TTL wie IP-Pakete. --- **Begriff: Schleife** Eine Schleife im Netzwerk bedeutet: Es gibt einen Kreisweg, über den Frames immer wieder weitergeleitet werden können. Beispiel: Switch A → Switch B → Switch C → zurück zu Switch A Wenn alle Verbindungen aktiv sind und keine Schutzmechanismen greifen, können Frames im Kreis laufen. Merksatz: Schleife = Frames können im Kreis laufen. --- **Wie entsteht eine Layer-2-Schleife?** Eine Schleife kann entstehen durch: - doppelte Switch-Verbindungen - falsch gesteckte Kabel - redundante Leitungen ohne STP - falsch konfigurierte Switches - falsche Trunk-Konfiguration - versehentlich verbundenes Patchkabel - mehrere Wege zwischen denselben Switches Beispiel: Ein Mitarbeiter steckt versehentlich zwei Netzwerkdosen mit einem Patchkabel zusammen. Oder: Zwei Switches werden mehrfach verbunden, ohne dass STP aktiv ist. Merksatz: Schleifen entstehen oft durch redundante oder falsch gesteckte Verbindungen. --- **Warum baut man überhaupt redundante Verbindungen?** Redundanz bedeutet: Es gibt einen zusätzlichen Ersatzweg. Das ist grundsätzlich sinnvoll. Wenn eine Verbindung ausfällt, kann eine andere Verbindung übernehmen. Beispiel: Switch A ist über zwei Wege mit Switch B verbunden. Vorteil: höhere Ausfallsicherheit Problem: Ohne Schutzmechanismus kann daraus eine Schleife entstehen. Merksatz: Redundanz ist gut, aber auf Schicht 2 muss sie kontrolliert werden. --- **Folgen einer Layer-2-Schleife** Eine Layer-2-Schleife kann schwere Folgen haben. Typische Auswirkungen: - Broadcast-Sturm - sehr hohe Switch-Last - volle Netzwerkbandbreite - instabile MAC-Adresstabelle - Paketverluste - hohe Latenz - Verbindungsabbrüche - Netzwerk kaum noch nutzbar - Dienste nicht erreichbar Merksatz: Eine kleine Schleife kann ein ganzes LAN stören. --- **Broadcast-Sturm** Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcast-Frames im Netzwerk unterwegs sind. Bei einer Schleife können Broadcasts immer wieder weitergeleitet werden. Da Broadcasts an alle Ports im VLAN gesendet werden, vervielfachen sie sich sehr schnell. Typische Broadcasts sind zum Beispiel: - ARP-Anfragen - DHCP-Anfragen - bestimmte lokale Suchdienste Merksatz: Broadcast-Sturm = zu viele Broadcasts im lokalen Netz. --- **Warum vervielfachen sich Broadcasts?** Ein Switch leitet Broadcasts innerhalb eines VLANs an alle passenden Ports weiter. Wenn eine Schleife vorhanden ist, kann derselbe Broadcast über mehrere Wege zurückkommen. Dann wird er erneut verteilt. Das kann sich schnell aufschaukeln. Vereinfacht: Broadcast kommt rein. Switch verteilt ihn. Broadcast kommt über anderen Weg zurück. Switch verteilt ihn wieder. Merksatz: In einer Schleife können Broadcasts immer wieder neu verteilt werden. --- **Unicast-Flooding durch Schleifen** Nicht nur Broadcasts können problematisch sein. Auch unbekannte Unicast-Frames können geflutet werden. Unbekannter Unicast bedeutet: Ziel-MAC ist dem Switch nicht bekannt. Dann sendet der Switch den Frame an mehrere Ports. Wenn zusätzlich eine Schleife besteht, kann auch dieser Verkehr stark zunehmen. Merksatz: Schleifen verstärken Broadcasts und unbekannten Unicast-Verkehr. --- **MAC-Adresstabelle wird instabil** Switches lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Bei einer Schleife kann derselbe Frame über verschiedene Ports wieder auftauchen. Dadurch kann der Switch glauben: dieselbe MAC-Adresse ist plötzlich an einem anderen Port erreichbar. Die MAC-Adresse „wandert“ dann ständig in der Tabelle. Das nennt man häufig: MAC Flapping Merksatz: MAC Flapping = dieselbe MAC-Adresse erscheint ständig an wechselnden Ports. --- **Begriff: MAC Flapping** MAC Flapping bedeutet: Eine MAC-Adresse wird vom Switch immer wieder an unterschiedlichen Ports gelernt. Mögliche Ursachen: - Layer-2-Schleife - falsch verkabelte Switches - fehlerhafte Redundanz - falsch konfigurierte Link Aggregation - virtuelle Systeme mit wechselnden Pfaden In vielen Fällen ist MAC Flapping ein ernstes Warnsignal. Merksatz: MAC Flapping kann auf eine Schleife hinweisen. --- **STP** STP steht für: Spanning Tree Protocol STP ist ein Protokoll, das Schleifen in Layer-2-Netzen verhindern soll. Die Grundidee: Es darf nur ein schleifenfreier aktiver Pfad bestehen. Redundante Pfade werden nicht entfernt, sondern blockiert. Wenn eine aktive Verbindung ausfällt, kann ein blockierter Ersatzweg freigeschaltet werden. Merksatz: STP verhindert Layer-2-Schleifen. --- **Warum heißt es Spanning Tree?** Spanning Tree bedeutet sinngemäß: aufspannender Baum Ein Baum hat in der Netzwerktopologie keine Schleifen. STP berechnet aus einem vermaschten Switch-Netz eine schleifenfreie Baumstruktur. Vereinfacht: Viele mögliche Wege werden auf einen schleifenfreien aktiven Weg reduziert. Merksatz: STP macht aus einem vermaschten Netz einen schleifenfreien Baum. --- **Grundprinzip von STP** STP arbeitet vereinfacht so: 1. Switches tauschen STP-Informationen aus. 2. Eine Root Bridge wird bestimmt. 3. Jeder Switch berechnet seinen besten Weg zur Root Bridge. 4. Bestimmte Ports bleiben aktiv. 5. Andere Ports werden blockiert, um Schleifen zu verhindern. Merksatz: STP entscheidet, welche Ports weiterleiten und welche blockieren. --- **Root Bridge** Die Root Bridge ist der zentrale Bezugspunkt im STP-Netz. Alle Switches berechnen ihre Wege zur Root Bridge. Die Root Bridge wird anhand einer Priorität und der Bridge-ID bestimmt. In der Praxis sollte man die Root Bridge gezielt planen. Warum? Sonst kann ein ungeeigneter Switch Root Bridge werden. Merksatz: Root Bridge = zentraler Bezugspunkt für STP. --- **Bridge-ID** Die Bridge-ID dient zur Auswahl der Root Bridge. Sie besteht vereinfacht aus: - Bridge-Priorität - MAC-Adresse des Switches Der Switch mit der niedrigsten Bridge-ID wird Root Bridge. Wenn die Priorität gleich ist, entscheidet die MAC-Adresse. Merksatz: Niedrigste Bridge-ID gewinnt die Root-Bridge-Wahl. --- **STP-Priorität** Die STP-Priorität beeinflusst, welcher Switch Root Bridge wird. Ein niedrigerer Prioritätswert ist besser. Beispiel: Switch A Priorität 4096 Switch B Priorität 32768 Switch A hat die bessere Priorität und wird eher Root Bridge. Merksatz: Niedrigere STP-Priorität = bevorzugte Root Bridge. --- **BPDU** BPDU steht für: Bridge Protocol Data Unit BPDUs sind STP-Nachrichten zwischen Switches. Über BPDUs tauschen Switches Informationen aus, zum Beispiel: - Bridge-ID - Root-Bridge-Information - Pfadkosten - Portinformationen Merksatz: BPDU = STP-Nachricht zwischen Switches. --- **Root Port** Ein Root Port ist der Port eines Switches mit dem besten Weg zur Root Bridge. Jeder Nicht-Root-Switch hat normalerweise genau einen Root Port. Dieser Port zeigt aus Sicht des Switches in Richtung Root Bridge. Merksatz: Root Port = bester Weg zur Root Bridge. --- **Designated Port** Ein Designated Port ist ein Port, der in einem Netzwerksegment Frames weiterleiten darf. Für jedes Segment wird ein Port ausgewählt, der den Verkehr Richtung Root Bridge beziehungsweise in das Segment weiterleitet. Merksatz: Designated Port = aktiver Weiterleitungsport für ein Segment. --- **Blocked Port** Ein Blocked Port ist ein Port, der durch STP blockiert wird, um eine Schleife zu verhindern. Ein blockierter Port leitet keine normalen Datenframes weiter. Er kann aber weiterhin STP-Informationen empfangen. Wenn eine aktive Verbindung ausfällt, kann ein blockierter Port später aktiv werden. Merksatz: Blocked Port = verhindert Schleifen. --- **STP-Portrollen kurz zusammengefasst** | Rolle | Bedeutung | |---|---| | Root Port | bester Weg zur Root Bridge | | Designated Port | aktiver Port für ein Segment | | Blocked Port | blockierter Port zur Schleifenvermeidung | Merksatz: Root und Designated leiten weiter. Blocked verhindert Schleifen. --- **STP-Portzustände** Klassisches STP kennt verschiedene Portzustände. Wichtige Zustände sind: | Zustand | Bedeutung | |---|---| | Blocking | keine Nutzdatenweiterleitung | | Listening | hört STP-Informationen | | Learning | lernt MAC-Adressen | | Forwarding | leitet Frames weiter | | Disabled | administrativ oder technisch deaktiviert | Für die Prüfung reicht oft: Forwarding = leitet Frames. Blocking = blockiert zur Schleifenvermeidung. Merksatz: STP-Ports leiten nicht sofort weiter, sondern durchlaufen Zustände. --- **RSTP** RSTP steht für: Rapid Spanning Tree Protocol RSTP ist eine schnellere Weiterentwicklung von STP. Es reagiert schneller auf Änderungen im Netzwerk. Technische Bezeichnung: IEEE 802.1w Vorteil: schnellere Umschaltung bei Ausfall einer Verbindung Merksatz: RSTP = schnelleres STP. --- **MSTP** MSTP steht für: Multiple Spanning Tree Protocol MSTP ermöglicht mehrere Spanning-Tree-Instanzen. Das ist besonders nützlich bei VLANs. Technische Bezeichnung: IEEE 802.1s Für AP1/AP2 reicht meistens: MSTP ist eine Erweiterung für mehrere VLAN- oder Instanz-Bereiche. Merksatz: MSTP = mehrere Spanning Trees für größere VLAN-Umgebungen. --- **STP, RSTP und MSTP im Vergleich** | Protokoll | Bedeutung | Grundidee | |---|---|---| | STP | Spanning Tree Protocol | Schleifen verhindern | | RSTP | Rapid Spanning Tree Protocol | schneller reagieren | | MSTP | Multiple Spanning Tree Protocol | mehrere Instanzen unterstützen | Merksatz: STP verhindert Schleifen. RSTP ist schneller. MSTP ist flexibler für VLAN-Umgebungen. --- **STP und Redundanz** STP ermöglicht Redundanz ohne Schleifen. Beispiel: Switch A ist über zwei Wege mit Switch B verbunden. STP blockiert einen Weg. Wenn der aktive Weg ausfällt, kann STP den blockierten Weg aktivieren. Vorteil: Ausfallsicherheit Nachteil: nicht alle redundanten Wege werden gleichzeitig genutzt Merksatz: STP blockiert Reservewege, bis sie gebraucht werden. --- **STP und Link Aggregation unterscheiden** STP und Link Aggregation werden manchmal verwechselt. Link Aggregation bündelt mehrere physische Verbindungen zu einer logischen Verbindung. STP blockiert dagegen redundante Schleifenwege. | Technik | Aufgabe | |---|---| | STP | Schleifen verhindern | | Link Aggregation | mehrere Links logisch bündeln | Wichtig: Werden mehrere Kabel zwischen zwei Switches genutzt, sollte klar sein, ob sie als Link Aggregation konfiguriert sind oder ob STP eingreifen muss. Merksatz: Link Aggregation bündelt. STP blockiert Schleifen. --- **Link Aggregation kurz erklärt** Link Aggregation bedeutet: mehrere physische Verbindungen werden zu einer logischen Verbindung zusammengefasst. Vorteile: - mehr Gesamtkapazität - Redundanz - weniger STP-Blockierung zwischen denselben Geräten Häufige Begriffe: - LAG - Port Channel - EtherChannel - Bündelung Merksatz: Link Aggregation = mehrere Kabel als ein logischer Link. --- **LACP** LACP steht für: Link Aggregation Control Protocol LACP ist ein Protokoll zur automatischen Aushandlung von Link Aggregation. Technische Bezeichnung: IEEE 802.3ad Für AP1/AP2 reicht: LACP hilft, mehrere physische Links zu einem logischen Link zusammenzufassen. Merksatz: LACP = Protokoll für Link Aggregation. --- **STP und VLANs** STP wirkt in Layer-2-Netzen und hängt oft mit VLANs zusammen. Je nach Switch-System gibt es verschiedene Varianten: ein Spanning Tree für alle VLANs oder mehrere Instanzen für verschiedene VLANs Wichtig für die Prüfung: VLANs trennen Broadcast-Domänen. STP verhindert Schleifen innerhalb der Layer-2-Struktur. Merksatz: VLAN trennt logisch. STP verhindert Schleifen. --- **Broadcast-Sturm erkennen** Typische Hinweise auf einen Broadcast-Sturm: - Netzwerk extrem langsam - Switch-LEDs blinken ungewöhnlich stark - hohe Auslastung auf vielen Ports - Geräte verlieren Verbindung - viele Broadcasts im Mitschnitt - CPU-Last auf Switches steigt - MAC-Adressen wechseln ständig Ports - DHCP oder ARP funktioniert unzuverlässig Merksatz: Broadcast-Sturm zeigt sich oft als plötzliches Netzwerkausfall-Problem. --- **Layer-2-Schleife erkennen** Hinweise auf eine Layer-2-Schleife: - MAC Flapping - Broadcast-Sturm - hohe Switch-Auslastung - Ports laufen voll - Netzwerk bricht plötzlich ein - STP-Logs zeigen Änderungen - gleiche MAC-Adresse an mehreren Ports - nach Entfernen eines Kabels stabilisiert sich das Netz Merksatz: MAC Flapping und Broadcast-Sturm sind starke Schleifen-Hinweise. --- **Fehlersuche bei Layer-2-Schleifen** Sinnvolle Schritte: 1. Symptome prüfen: Broadcast-Sturm, MAC Flapping, hohe Last 2. Switch-Logs prüfen: STP-Meldungen, Port-Changes 3. Topologie prüfen: Welche Switches sind mehrfach verbunden? 4. Kabelwege prüfen: versehentliche Schleifen suchen 5. STP-Status prüfen: Root Bridge, blockierte Ports 6. Testweise verdächtige Verbindung trennen 7. Ursache sauber dokumentieren und korrigieren Merksatz: Bei Schleifenproblemen Topologie und STP prüfen. --- **Typische Ursachen in der Praxis** Häufige Praxisursachen: - jemand steckt beide Enden eines Patchkabels in zwei Netzwerkdosen - zwei kleine Switches werden mehrfach miteinander verbunden - unmanaged Switch ohne STP wird angeschlossen - Access Point oder Bridge ist falsch verkabelt - Trunk-Ports sind falsch konfiguriert - Link Aggregation wurde nicht korrekt eingerichtet - STP wurde deaktiviert - Root Bridge ist ungünstig gewählt Merksatz: Kleine Verkabelungsfehler können große Layer-2-Probleme auslösen. --- **Unmanaged Switches und STP** Ein unmanaged Switch hat oft keine oder nur sehr eingeschränkte Konfigurationsmöglichkeiten. Problem: STP ist eventuell nicht vorhanden oder nicht kontrollierbar. Wenn ein unmanaged Switch falsch angeschlossen wird, kann er Schleifen verursachen. In professionellen Netzen sollte man daher vorsichtig sein, wenn zusätzliche kleine Switches angeschlossen werden. Merksatz: Unmanaged Switches können in Firmen-LANs ein Risiko sein. --- **BPDU Guard** BPDU Guard ist eine Schutzfunktion auf Switches. Sie kann Ports deaktivieren, wenn dort unerwartet STP-BPDUs empfangen werden. Typischer Einsatz: Access-Ports für Endgeräte Warum? An einem normalen PC-Port sollte normalerweise kein weiterer Switch hängen. Wenn dort BPDUs auftauchen, könnte ein nicht autorisierter Switch angeschlossen worden sein. Merksatz: BPDU Guard schützt Access-Ports vor unerwarteten Switch-Verbindungen. --- **Root Guard** Root Guard verhindert, dass ein unerwünschter Switch Root Bridge wird. Das ist wichtig, damit die geplante STP-Topologie erhalten bleibt. Typischer Einsatz: Ports zu weniger vertrauenswürdigen Switches oder Bereichen Merksatz: Root Guard schützt die geplante Root Bridge. --- **Storm Control** Storm Control ist eine Schutzfunktion gegen übermäßigen Broadcast-, Multicast- oder Unicast-Verkehr. Ein Switch kann begrenzen, wie viel solcher Verkehr pro Port erlaubt ist. Wenn ein Grenzwert überschritten wird, kann der Switch reagieren. Mögliche Reaktionen: - Verkehr begrenzen - Frames verwerfen - Port sperren - Ereignis protokollieren Merksatz: Storm Control begrenzt übermäßigen Layer-2-Verkehr. --- **Schutzmaßnahmen gegen Layer-2-Schleifen** Sinnvolle Maßnahmen: - STP oder RSTP aktivieren - Root Bridge gezielt planen - BPDU Guard auf Access-Ports nutzen - Root Guard an passenden Stellen nutzen - Storm Control konfigurieren - Link Aggregation korrekt einrichten - unmanaged Switches vermeiden oder kontrollieren - Netzwerkdosen dokumentieren - Ports für Endgeräte klar konfigurieren - Monitoring und Logs prüfen Merksatz: Schleifenschutz besteht aus STP, sauberer Konfiguration und Kontrolle. --- **STP und Fehlersuche nicht verwechseln** Wenn ein Port durch STP blockiert wird, ist das nicht automatisch ein Fehler. Es kann genau das gewünschte Verhalten sein. STP blockiert Ports, um Schleifen zu verhindern. Problematisch ist es erst, wenn: ein wichtiger Weg unerwartet blockiert wird oder STP falsch geplant ist oder eine Schleife nicht verhindert wird. Merksatz: STP-Blocking kann normal und gewollt sein. --- **Einordnung in das OSI-Modell** | Thema | Schicht | |---|---:| | Ethernet-Frame | 2 | | Switch | 2 | | MAC-Adresse | 2 | | VLAN | 2 | | Broadcast-Domäne | 2 | | STP | 2 | | RSTP | 2 | | LACP / Link Aggregation | 2 | | IP-Adresse | 3 | | Routing | 3 | | TTL | 3 | Merksatz: STP schützt Layer 2. TTL gehört zu Layer 3. --- **Was STP nicht macht** STP macht nicht: - IP-Routing - Firewall-Regeln - VLAN-Erstellung - DHCP-Vergabe - DNS-Auflösung - Verschlüsselung - Benutzerverwaltung - Anwendungsschutz STP hat eine klare Aufgabe: Schleifen auf Schicht 2 verhindern. Merksatz: STP ist Schleifenschutz, kein Routing- oder Sicherheitskonzept für alles. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum sind Schleifen auf Schicht 2 gefährlich? - Was ist ein Broadcast-Sturm? - Warum gibt es bei Ethernet-Frames keine TTL wie bei IP? - Was bedeutet STP? - Welche Aufgabe hat STP? - Was ist eine Root Bridge? - Was ist eine BPDU? - Was ist ein Root Port? - Was ist ein Designated Port? - Was ist ein blockierter Port? - Was ist RSTP? - Was ist der Unterschied zwischen STP und Link Aggregation? - Was ist MAC Flapping? - Welche Schutzmaßnahmen gibt es gegen Layer-2-Schleifen? --- **Typische Prüfungsfallen** Layer-2-Schleifen sind gefährlich, weil Frames im Kreis laufen können. Ethernet-Frames haben keine TTL wie IP-Pakete. Broadcasts können sich bei Schleifen stark vervielfachen. STP verhindert Schleifen. STP entfernt keine Kabel, sondern blockiert Ports logisch. Root Bridge ist der zentrale Bezugspunkt für STP. Niedrigste Bridge-ID gewinnt die Root-Bridge-Wahl. BPDU = STP-Nachricht. RSTP ist schneller als klassisches STP. Link Aggregation ist nicht dasselbe wie STP. MAC Flapping kann auf eine Schleife hinweisen. Ein blockierter STP-Port ist nicht automatisch ein Fehler. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Layer-2-Schleife | Kreis im Switch-Netz, über den Frames immer wieder laufen | | Broadcast-Sturm | sehr viele Broadcasts überlasten das Netz | | MAC Flapping | MAC-Adresse erscheint ständig an unterschiedlichen Ports | | STP | Spanning Tree Protocol, verhindert Schleifen | | Root Bridge | zentraler Bezugspunkt im STP | | Bridge-ID | Kennung zur Wahl der Root Bridge | | STP-Priorität | Wert zur Beeinflussung der Root-Bridge-Wahl | | BPDU | Bridge Protocol Data Unit, STP-Nachricht | | Root Port | bester Port Richtung Root Bridge | | Designated Port | aktiver Port für ein Segment | | Blocked Port | blockierter Port zur Schleifenvermeidung | | RSTP | Rapid Spanning Tree Protocol | | MSTP | Multiple Spanning Tree Protocol | | Link Aggregation | mehrere physische Links als ein logischer Link | | LACP | Protokoll für Link Aggregation | | BPDU Guard | Schutz vor unerwarteten BPDUs auf Access-Ports | | Root Guard | Schutz der geplanten Root Bridge | | Storm Control | Begrenzung übermäßigen Layer-2-Verkehrs | --- **IHK-sichere Kurzformulierung** Layer-2-Schleifen entstehen, wenn es in einem Switch-Netz mehrere aktive Kreiswege gibt, über die Ethernet-Frames endlos weitergeleitet werden können. Da Ethernet-Frames keine TTL wie IP-Pakete besitzen, können sich Broadcasts und unbekannte Unicast-Frames stark vervielfachen. Die Folge kann ein Broadcast-Sturm mit hoher Netzwerklast und Verbindungsproblemen sein. STP, das Spanning Tree Protocol, verhindert solche Schleifen, indem es eine schleifenfreie Baumstruktur berechnet und redundante Ports logisch blockiert. RSTP ist eine schnellere Weiterentwicklung von STP. Link Aggregation ist davon zu unterscheiden, da sie mehrere physische Verbindungen zu einer logischen Verbindung bündelt. --- **Merksätze** Layer-2-Schleifen sind gefährlich. Ethernet-Frames haben keine TTL. Broadcast-Sturm = zu viele Broadcasts. Schleifen können ein LAN lahmlegen. MAC Flapping kann auf Schleifen hinweisen. STP = Spanning Tree Protocol. STP verhindert Layer-2-Schleifen. STP blockiert Ports logisch. Root Bridge = zentraler Bezugspunkt. Niedrigste Bridge-ID gewinnt. BPDU = STP-Nachricht. Root Port = bester Weg zur Root Bridge. Designated Port = aktiver Port im Segment. Blocked Port = blockiert zur Schleifenvermeidung. RSTP = schnelleres STP. MSTP = mehrere Spanning-Tree-Instanzen. Link Aggregation ist nicht STP. LACP bündelt mehrere Links. BPDU Guard schützt Access-Ports. Root Guard schützt die Root-Bridge-Planung. Storm Control begrenzt übermäßigen Verkehr. STP-Blocking ist nicht automatisch ein Fehler. # 5.7 Fehlersuche auf Schicht 2 Fehler auf OSI-Schicht 2 betreffen die lokale Datenübertragung im Netzwerk. Dabei geht es vor allem um: - Ethernet-Frames - MAC-Adressen - Switches - VLANs - Access-Ports - Trunk-Ports - ARP - Broadcasts - STP - Layer-2-Schleifen Schicht 2 liegt zwischen der physischen Verbindung auf Schicht 1 und der IP-Kommunikation auf Schicht 3. Merksatz: Schicht 2 = lokale Übertragung mit Frames, MAC-Adressen und VLANs. --- **Grundidee der Schicht-2-Fehlersuche** Bei der Fehlersuche auf Schicht 2 prüft man, ob Frames im lokalen Netzwerk korrekt weitergeleitet werden. Typische Fragen: Wird die MAC-Adresse gelernt? Ist das richtige VLAN aktiv? Ist der Switch-Port korrekt konfiguriert? Ist der Port Access oder Trunk? Wird das VLAN über den Trunk transportiert? Gibt es Schleifen? Gibt es Broadcast-Stürme? Funktioniert ARP? Blockiert STP einen Port? Merksatz: Auf Schicht 2 prüft man lokale Weiterleitung, MAC-Adressen und VLANs. --- **Reihenfolge bei der Fehlersuche** Eine sinnvolle Reihenfolge ist: 1. Schicht 1 prüfen: Link, Kabel, Port, Signal 2. Schicht 2 prüfen: MAC-Adresse, VLAN, Switch-Port, ARP, STP 3. Schicht 3 prüfen: IP-Adresse, Subnetzmaske, Gateway, Routing 4. höhere Schichten prüfen: DNS, TCP/UDP-Port, Anwendung Wichtig: Wenn Schicht 1 nicht funktioniert, kann Schicht 2 nicht zuverlässig funktionieren. Merksatz: Erst Link, dann MAC/VLAN, dann IP. --- **Typische Schicht-2-Fehler** Typische Fehler auf Schicht 2 sind: - falsches VLAN - Port im falschen Modus - Access-Port statt Trunk - Trunk statt Access-Port - VLAN auf Trunk nicht erlaubt - falsches Native VLAN - MAC-Adresse wird nicht gelernt - MAC-Adresse erscheint auf falschem Port - MAC Flapping - Broadcast-Sturm - Layer-2-Schleife - STP blockiert unerwartet - ARP funktioniert nicht - doppelte MAC-Adresse - Port Security blockiert Gerät Merksatz: Schicht-2-Fehler betreffen Frames, MACs, VLANs und Switch-Weiterleitung. --- **Fehlerbild: MAC-Adresse wird nicht gelernt** Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Wenn eine MAC-Adresse nicht gelernt wird, kann der Switch das Gerät nicht korrekt in seiner MAC-Adresstabelle eintragen. Mögliche Ursachen: - Gerät sendet keine Frames - Gerät ist ausgeschaltet - falscher Switch-Port - Port deaktiviert - Link ist nicht aktiv - falsches VLAN - Port Security blockiert - Netzwerkkarte deaktiviert - Kabelproblem auf Schicht 1 Merksatz: Keine gelernte MAC-Adresse kann Schicht 1 oder Schicht 2 betreffen. --- **Fehlerbild: MAC-Adresse auf falschem Port** Ein Switch kann eine MAC-Adresse an einem Port lernen, an dem man sie nicht erwartet. Mögliche Ursachen: - Gerät wurde umgesteckt - Dokumentation ist veraltet - Patchfeld falsch gepatcht - Gerät hängt hinter einem anderen Switch - virtuelle Maschine nutzt diese MAC-Adresse - falsche Verkabelung - Layer-2-Schleife Merksatz: Unerwartete MAC-Port-Zuordnung kann auf falsche Patchung oder Topologieprobleme hinweisen. --- **Fehlerbild: MAC Flapping** MAC Flapping bedeutet: dieselbe MAC-Adresse wird ständig an unterschiedlichen Switch-Ports gelernt. Das ist ein Warnsignal. Mögliche Ursachen: - Layer-2-Schleife - falsch konfigurierte Link Aggregation - Gerät ist über mehrere Wege angeschlossen - virtuelle Umgebung sendet über wechselnde Ports - falsche Switch-Verkabelung - redundante Links ohne funktionierendes STP Merksatz: MAC Flapping kann auf eine Layer-2-Schleife hinweisen. --- **Fehlerbild: Falsches VLAN** Ein Gerät kann physisch korrekt verbunden sein, sich aber logisch im falschen Netz befinden. Beispiel: PC soll in VLAN 10 sein. Switch-Port ist aber in VLAN 20. Mögliche Folgen: - falsche IP-Adresse - keine IP-Adresse - falsches Gateway - Server nicht erreichbar - Drucker nicht erreichbar - Internet funktioniert nicht - Zugriff auf falsche Netzwerkressourcen Merksatz: Falsches VLAN kann wie ein IP-Problem aussehen. --- **Fehlerbild: Client bekommt keine IP-Adresse** Wenn ein Client keine IP-Adresse erhält, denkt man oft zuerst an DHCP. Die Ursache kann aber auf Schicht 2 liegen. Mögliche Ursachen: - Port im falschen VLAN - VLAN auf Trunk nicht erlaubt - DHCP-Server nicht im VLAN erreichbar - DHCP-Relay fehlt - Access-Port falsch konfiguriert - Trunk zum Router oder zur Firewall falsch - STP blockiert den Pfad - Port Security blockiert Frames Merksatz: DHCP-Probleme können durch VLAN-Fehler entstehen. --- **Fehlerbild: Client bekommt falsche IP-Adresse** Wenn ein Client eine IP-Adresse aus dem falschen Netz bekommt, ist häufig das VLAN falsch. Beispiel: Erwartet: VLAN 10 192.168.10.0/24 Tatsächlich: VLAN 20 192.168.20.0/24 Mögliche Ursachen: - Switch-Port im falschen VLAN - falsche SSID-VLAN-Zuordnung - Trunk falsch konfiguriert - falsches Native VLAN - falscher DHCP-Bereich Merksatz: Falsche IP-Adresse kann falsche VLAN-Zuordnung bedeuten. --- **Fehlerbild: Trunk transportiert VLAN nicht** Ein Trunk-Port soll mehrere VLANs transportieren. Wenn ein VLAN über den Trunk nicht funktioniert, können Geräte in diesem VLAN nicht kommunizieren. Mögliche Ursachen: - VLAN ist auf dem Trunk nicht erlaubt - VLAN existiert auf einem Switch nicht - Gegenstelle ist kein Trunk - Native VLAN passt nicht - Tagging stimmt nicht - STP blockiert für dieses VLAN - falsche Port-Konfiguration Merksatz: Trunk-Fehler betreffen oft mehrere Geräte oder ganze VLANs. --- **Fehlerbild: Access-Port statt Trunk** Ein Port ist als Access-Port konfiguriert, obwohl mehrere VLANs darüber laufen sollen. Typisches Beispiel: Access Point mit mehreren SSIDs soll VLAN 10, 20 und 30 nutzen. Der Switch-Port ist aber nur Access-Port in VLAN 10. Folge: Nur ein VLAN funktioniert. Andere SSIDs bekommen keine passende Verbindung. Merksatz: Mehrere VLANs brauchen normalerweise einen Trunk. --- **Fehlerbild: Trunk statt Access-Port** Ein Port ist als Trunk konfiguriert, obwohl ein normales Endgerät angeschlossen ist. Mögliche Folgen: - Endgerät versteht VLAN-Tags nicht - Gerät landet im falschen VLAN - Sicherheitsrisiko - unerwartetes Netzwerkverhalten - DHCP-Probleme Typische Endgeräte an Access-Ports: - PC - Drucker - Kamera - einzelnes Telefon - einfaches Endgerät Merksatz: Normale Endgeräte gehören meistens an Access-Ports. --- **Fehlerbild: Falsches Native VLAN** Bei Trunk-Ports kann ein Native VLAN für untagged Frames verwendet werden. Wenn das Native VLAN auf beiden Seiten unterschiedlich ist, kann es zu Problemen kommen. Mögliche Folgen: - Frames landen im falschen VLAN - Sicherheitsproblem - Verbindungsprobleme - schwer erkennbare Fehlleitung Merksatz: Native VLAN muss auf beiden Seiten eines Trunks passen. --- **Fehlerbild: ARP funktioniert nicht** ARP wird benötigt, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. Wenn ARP nicht funktioniert, kann lokale Kommunikation scheitern. Mögliche Ursachen: - Zielgerät ist aus - Zielgerät ist im falschen VLAN - Absender ist im falschen VLAN - falsche Subnetzmaske - falsches Gateway - ARP wird durch Sicherheitsfunktion blockiert - IP-Adresskonflikt - ARP-Spoofing - Schicht-1-Problem Merksatz: ARP-Probleme zeigen, dass IP und MAC lokal nicht zusammenfinden. --- **Fehlerbild: ARP-Eintrag ändert sich ständig** Wenn sich die MAC-Adresse zu einer IP-Adresse ständig ändert, ist das auffällig. Mögliche Ursachen: - IP-Adresskonflikt - ARP-Spoofing - Gateway-Failover - Cluster oder Hochverfügbarkeit - falsche Konfiguration - virtuelle Systeme Wichtig: Nicht jede Änderung ist automatisch ein Angriff. In Failover- oder Cluster-Umgebungen kann das gewollt sein. Merksatz: Wechselnde ARP-Zuordnungen immer prüfen und einordnen. --- **Fehlerbild: Broadcast-Sturm** Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcast-Frames das Netzwerk belasten. Mögliche Ursachen: - Layer-2-Schleife - fehlerhaftes Gerät - falsche Switch-Verkabelung - Broadcast-lastige Anwendung - Angriff - STP deaktiviert oder falsch konfiguriert Typische Symptome: - Netzwerk extrem langsam - viele Switch-LEDs blinken stark - hohe Port-Auslastung - Geräte verlieren Verbindung - DHCP oder ARP funktioniert unzuverlässig Merksatz: Broadcast-Sturm kann ein Layer-2-Netz lahmlegen. --- **Fehlerbild: STP blockiert einen Port** Wenn STP einen Port blockiert, ist das nicht automatisch ein Fehler. STP blockiert Ports, um Schleifen zu verhindern. Problematisch wird es, wenn: - der falsche Port blockiert wird - die Root Bridge ungünstig gewählt ist - ein wichtiger Pfad unerwartet ausfällt - STP auf manchen Switches deaktiviert ist - eine Schleife trotzdem entsteht Merksatz: STP-Blocking kann normal sein, muss aber zur geplanten Topologie passen. --- **Fehlerbild: Layer-2-Schleife** Eine Layer-2-Schleife kann durch falsche Verkabelung oder falsche Redundanz entstehen. Typische Hinweise: - MAC Flapping - Broadcast-Sturm - hohe Switch-Auslastung - Netzwerk wird plötzlich sehr langsam - viele Frames auf vielen Ports - STP-Logs zeigen Änderungen - nach Entfernen eines Kabels wird das Netz stabil Merksatz: MAC Flapping und Broadcast-Sturm sind starke Hinweise auf Schleifen. --- **Fehlerbild: Port Security blockiert Gerät** Port Security kann festlegen, welche oder wie viele MAC-Adressen an einem Port erlaubt sind. Wenn ein anderes Gerät angeschlossen wird, kann der Switch reagieren. Mögliche Reaktionen: - Frames verwerfen - Warnung erzeugen - Port deaktivieren - Ereignis protokollieren Mögliche Ursachen: - Gerät wurde getauscht - anderer PC angeschlossen - kleiner Switch angeschlossen - virtuelle Maschinen erzeugen mehrere MAC-Adressen - falsche Port-Security-Konfiguration Merksatz: Port Security schützt, kann aber bei Gerätewechseln Verbindungen blockieren. --- **Fehlerbild: Doppelte MAC-Adresse** MAC-Adressen sollten eindeutig sein. In der Praxis können doppelte MAC-Adressen trotzdem auftreten. Mögliche Ursachen: - falsch konfigurierte virtuelle Maschinen - manuell gesetzte MAC-Adresse - geklonte Systeme - fehlerhafte Geräte - absichtliches MAC-Spoofing Mögliche Folgen: - instabile Verbindung - MAC-Flapping - falsche Weiterleitung - schwer nachvollziehbare Netzwerkprobleme Merksatz: Doppelte MAC-Adressen stören die Switch-Weiterleitung. --- **Werkzeuge für Schicht-2-Fehlersuche** Typische Werkzeuge und Informationsquellen: | Werkzeug / Anzeige | Nutzen | |---|---| | MAC-Adresstabelle | zeigt MAC-Adresse zu Switch-Port | | Switch-Port-Konfiguration | zeigt Access, Trunk, VLAN | | VLAN-Liste | zeigt vorhandene VLANs | | Trunk-Status | zeigt erlaubte und aktive VLANs | | STP-Status | zeigt Root Bridge und blockierte Ports | | Port-Security-Status | zeigt erlaubte oder blockierte MAC-Adressen | | ARP-Tabelle | zeigt IP-zu-MAC-Zuordnung | | Switch-Logs | zeigen STP, Port-Changes, Security-Events | | Packet Capture | zeigt Frames und ARP-Verkehr | | Dokumentation | zeigt Soll-Zustand | Merksatz: Schicht-2-Fehlersuche braucht Switch-Informationen und saubere Dokumentation. --- **Wichtige Switch-Informationen** Bei Schicht-2-Problemen sind diese Informationen besonders nützlich: - Port aktiv oder deaktiviert? - Access-Port oder Trunk-Port? - welches VLAN? - welche MAC-Adressen gelernt? - welche VLANs auf dem Trunk erlaubt? - STP-Status? - Port Security aktiv? - Fehlerzähler? - Broadcast- oder Multicast-Last? - Logs zu Port-Änderungen? Merksatz: Der Switch zeigt oft, wo Schicht-2-Probleme entstehen. --- **Schicht-2-Prüfung bei einem Client** Wenn ein Client Probleme hat, prüft man: 1. Link vorhanden? 2. richtiger Switch-Port? 3. Port aktiv? 4. richtiges VLAN? 5. MAC-Adresse gelernt? 6. Port Security aktiv? 7. DHCP aus richtigem Netz? 8. ARP zum Gateway vorhanden? 9. Gateway erreichbar? 10. Firewall oder Routing prüfen Merksatz: Beim Client erst Port und VLAN prüfen, dann IP und Gateway. --- **Schicht-2-Prüfung bei einem Access Point** Bei einem Access Point mit mehreren SSIDs prüft man: - Switch-Port als Trunk konfiguriert? - richtige VLANs erlaubt? - Native VLAN korrekt? - SSID-VLAN-Zuordnung korrekt? - Management-VLAN erreichbar? - DHCP pro VLAN vorhanden? - Firewall-Regeln passend? - Client landet im richtigen VLAN? Merksatz: Mehrere SSIDs bedeuten oft mehrere VLANs über einen Trunk. --- **Schicht-2-Prüfung bei Switch-zu-Switch-Verbindung** Bei einer Verbindung zwischen Switches prüft man: - Link aktiv? - Trunk oder Access korrekt? - gleiche VLANs vorhanden? - allowed VLANs korrekt? - Native VLAN korrekt? - STP-Status korrekt? - Link Aggregation korrekt? - MAC-Adressen werden über erwarteten Port gelernt? - keine Schleife vorhanden? Merksatz: Switch-zu-Switch-Verbindungen sind häufig Trunks und müssen sauber passen. --- **Schicht-2-Prüfung bei Server oder Virtualisierung** Bei Servern und Virtualisierung können mehrere MAC-Adressen über einen Port erscheinen. Mögliche Gründe: - virtuelle Maschinen - Container - Bridges - VLAN-Trunks - Bonding oder Teaming - Hypervisor-Netzwerke Wichtig: Port Security oder falsche VLAN-Konfiguration kann hier Probleme verursachen. Merksatz: Virtualisierung kann mehrere MAC-Adressen hinter einem Port erzeugen. --- **Schicht-2-Fehler und höhere Symptome** Schicht-2-Fehler können wie Schicht-3- oder Anwendungsprobleme aussehen. | sichtbares Problem | mögliche Schicht-2-Ursache | |---|---| | keine IP-Adresse | falsches VLAN, Trunk-Fehler | | falsche IP-Adresse | falsches VLAN | | Gateway nicht erreichbar | ARP/VLAN-Problem | | nur manche Server erreichbar | VLAN- oder Firewall-Zuordnung | | WLAN-Gäste im internen Netz | falsche SSID-VLAN-Zuordnung | | Netzwerk plötzlich langsam | Broadcast-Sturm oder Schleife | | Verbindung instabil | MAC Flapping oder Port Security | Merksatz: Viele IP-Probleme beginnen mit falscher Schicht-2-Zuordnung. --- **Schicht 2 oder Schicht 3?** Eine einfache Unterscheidung: | Frage | eher Schicht | |---|---:| | Wird die MAC-Adresse gelernt? | 2 | | Ist das richtige VLAN aktiv? | 2 | | Ist der Port Access oder Trunk? | 2 | | Funktioniert ARP zum Gateway? | 2 / 3 | | Hat der Client eine passende IP-Adresse? | 3 | | Ist das Gateway korrekt? | 3 | | Gibt es eine Route zum Ziel? | 3 | | Ist ein TCP-Port erreichbar? | 4 | Merksatz: MAC und VLAN = Schicht 2. IP und Routing = Schicht 3. --- **Wichtige Befehle und Anzeigen** Je nach System oder Hersteller unterscheiden sich die Befehle. Typische Informationen, die man sucht: MAC-Adresstabelle anzeigen VLAN-Zuordnung anzeigen Port-Konfiguration anzeigen Trunk-Status anzeigen STP-Status anzeigen ARP-Tabelle anzeigen Port-Security-Status anzeigen Logs anzeigen Wichtig: Nicht der konkrete Befehl ist immer prüfungsentscheidend, sondern welche Information du damit prüfen willst. Merksatz: Bei Fehlersuche zählt: Welche Information brauche ich? --- **Beispiel: Falsches VLAN** Fehlerbild: Ein PC bekommt eine IP-Adresse aus dem Gastnetz, obwohl er im Mitarbeiter-Netz sein soll. Wahrscheinliche Schicht-2-Ursache: Der Switch-Port ist im falschen VLAN. Prüfung: Port-Konfiguration prüfen. VLAN-Zuordnung prüfen. Dokumentation prüfen. DHCP-Bereich vergleichen. Lösung: Port dem richtigen VLAN zuordnen. Merksatz: IP-Bereich verrät oft, in welchem VLAN ein Client wirklich gelandet ist. --- **Beispiel: Access Point Gast-WLAN funktioniert nicht** Fehlerbild: Mitarbeiter-WLAN funktioniert. Gast-WLAN funktioniert nicht. Mögliche Ursache: VLAN für Gastnetz wird nicht über den Trunk transportiert. Prüfung: SSID-VLAN-Zuordnung prüfen. Switch-Port zum Access Point prüfen. Trunk-Konfiguration prüfen. Allowed VLANs prüfen. DHCP im Gast-VLAN prüfen. Firewall-Regeln prüfen. Merksatz: Wenn nur eine SSID nicht funktioniert, oft VLAN-Zuordnung oder Trunk prüfen. --- **Beispiel: Netzwerk plötzlich extrem langsam** Fehlerbild: Das ganze lokale Netz ist plötzlich sehr langsam. Mögliche Schicht-2-Ursachen: - Broadcast-Sturm - Layer-2-Schleife - MAC Flapping - defektes Gerät sendet massenhaft Frames - STP falsch konfiguriert - unmanaged Switch verursacht Schleife Prüfung: Switch-Auslastung prüfen. Port-Statistiken prüfen. MAC-Flapping-Meldungen prüfen. STP-Status prüfen. auffällige Ports isolieren. Merksatz: Plötzliche starke LAN-Probleme können Layer-2-Schleifen sein. --- **Was Schicht-2-Fehlersuche nicht löst** Nicht jedes Problem liegt auf Schicht 2. Wenn MAC, VLAN, ARP und Switching korrekt sind, prüft man weiter: - IP-Adresse - Subnetzmaske - Gateway - Routing - Firewall - DNS - TCP-/UDP-Port - Anwendung - Benutzerrechte Merksatz: Schicht 2 ist wichtig, aber nicht jede Störung ist ein VLAN- oder Switch-Problem. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Fehler gehören typischerweise zu Schicht 2? - Warum kann ein falsches VLAN wie ein IP-Problem aussehen? - Wie prüft man, ob ein Switch eine MAC-Adresse gelernt hat? - Was bedeutet MAC Flapping? - Was kann ein Broadcast-Sturm verursachen? - Warum ist ein Trunk-Port wichtig? - Was passiert, wenn ein VLAN auf einem Trunk nicht erlaubt ist? - Warum kann Port Security ein Gerät blockieren? - Was prüft man bei ARP-Problemen? - Warum sollte man bei Netzwerkfehlern erst Schicht 1 und dann Schicht 2 prüfen? --- **Typische Prüfungsfallen** Falsches VLAN kann DHCP-Probleme verursachen. Falsches VLAN kann wie falsche IP-Konfiguration wirken. Ein Access-Port transportiert normalerweise ein VLAN. Ein Trunk-Port transportiert mehrere VLANs. VLAN auf Trunk nicht erlaubt = VLAN funktioniert über diese Verbindung nicht. MAC-Adresse nicht gelernt kann auch Schicht 1 bedeuten. MAC Flapping kann auf Schleifen hinweisen. Broadcast-Sturm kann ein ganzes LAN stören. STP-Blocking ist nicht automatisch ein Fehler. Port Security kann legitime Geräte nach einem Wechsel blockieren. ARP-Probleme können VLAN-, IP- oder Sicherheitsursachen haben. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Schicht-2-Fehler | Fehler bei lokaler Frame-Weiterleitung | | MAC-Adresstabelle | Zuordnung von MAC-Adresse zu Switch-Port | | MAC Flapping | MAC-Adresse erscheint wechselnd an verschiedenen Ports | | VLAN-Fehler | falsche logische Netzzuordnung | | Access-Port | Port für ein VLAN | | Trunk-Port | Port für mehrere VLANs | | Allowed VLANs | VLANs, die über einen Trunk erlaubt sind | | Native VLAN | untagged VLAN auf einem Trunk | | ARP-Problem | IP-MAC-Auflösung funktioniert nicht korrekt | | Broadcast-Sturm | übermäßige Broadcast-Last | | Layer-2-Schleife | Kreis im Switch-Netz | | STP-Blocking | Port wird zur Schleifenvermeidung blockiert | | Port Security | Begrenzung erlaubter MAC-Adressen | | doppelte MAC-Adresse | gleiche MAC-Adresse mehrfach im Netz | | Packet Capture | Mitschnitt von Netzwerkverkehr | | Switch-Logs | Ereignisprotokolle des Switches | --- **IHK-sichere Kurzformulierung** Fehlersuche auf OSI-Schicht 2 bedeutet, die lokale Weiterleitung von Ethernet-Frames zu prüfen. Dabei betrachtet man MAC-Adressen, MAC-Adresstabellen, Switch-Ports, VLANs, Access- und Trunk-Ports, ARP, STP und Broadcast-Domänen. Typische Schicht-2-Fehler sind falsche VLAN-Zuordnungen, nicht erlaubte VLANs auf Trunks, MAC Flapping, Broadcast-Stürme, Layer-2-Schleifen, ARP-Probleme oder blockierte Ports durch Port Security oder STP. Viele dieser Fehler wirken wie IP- oder DHCP-Probleme, obwohl die Ursache auf der lokalen Sicherungsschicht liegt. --- **Merksätze** Schicht-2-Fehlersuche = MAC, VLAN, Switch und ARP prüfen. Erst Schicht 1, dann Schicht 2. MAC-Adresse gelernt? VLAN richtig? Port korrekt? Falsches VLAN kann wie ein IP-Problem aussehen. Keine IP-Adresse kann ein VLAN-Problem sein. Falsche IP-Adresse kann falsches VLAN bedeuten. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. VLAN auf Trunk nicht erlaubt = VLAN kommt nicht durch. Native VLAN muss passen. ARP zeigt, ob IP und MAC lokal zusammenfinden. MAC Flapping kann auf Schleifen hinweisen. Broadcast-Sturm kann ein LAN lahmlegen. STP blockiert Ports zur Schleifenvermeidung. STP-Blocking ist nicht automatisch falsch. Port Security kann Geräte blockieren. Viele DHCP-Probleme beginnen auf Schicht 2. MAC und VLAN = Schicht 2. IP und Routing = Schicht 3. Erst Link, dann MAC/VLAN, dann IP. # 5.8 Merksätze und Prüfungswissen zu OSI-Schicht 2 Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 2 zusammen. OSI-Schicht 2 heißt: Sicherungsschicht Sie liegt zwischen: Schicht 1: Bitübertragungsschicht und Schicht 3: Vermittlungsschicht / Netzwerkschicht Die Hauptaufgabe von Schicht 2 ist: lokale Datenübertragung im Netzwerk mit Frames und MAC-Adressen. Merksatz: Schicht 2 = Frames, MAC-Adressen, Switches und VLANs. --- **Grundidee von Schicht 2** Schicht 1 überträgt nur Bits als Signale. Schicht 2 organisiert diese Bits zu Frames. Ein Frame enthält Informationen für die lokale Übertragung. Wichtig sind vor allem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Nutzdaten - Prüfinformation Merksatz: Schicht 2 macht aus Bits nutzbare lokale Datenrahmen. --- **Schicht 1, 2 und 3 unterscheiden** | Schicht | Name | Datenform | wichtige Begriffe | |---:|---|---|---| | 1 | Bitübertragungsschicht | Bits | Signal, Kabel, Link, Hub | | 2 | Sicherungsschicht | Frame | MAC, Switch, VLAN, ARP | | 3 | Vermittlungsschicht | Paket | IP, Router, Subnetz, Routing | Merksatz: Schicht 1 = Bits. Schicht 2 = Frames. Schicht 3 = Pakete. --- **Frame** Ein Frame ist die Datenübertragungseinheit auf Schicht 2. Bei Ethernet spricht man von: Ethernet-Frame Ein Ethernet-Frame enthält unter anderem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - EtherType oder Länge - Nutzdaten - FCS Merksatz: Frame = Datenrahmen auf Schicht 2. --- **Frame, Paket und Segment** Diese Begriffe dürfen nicht verwechselt werden. | Begriff | Schicht | Bedeutung | |---|---:|---| | Bit | 1 | einzelne Informationseinheit | | Frame | 2 | lokale Übertragung | | Paket | 3 | IP-Übertragung zwischen Netzen | | Segment | 4 | TCP-Datenübertragung | | Datagramm | 4 | UDP-Datenübertragung | Prüfungsfalle: Ethernet arbeitet mit Frames. IP arbeitet mit Paketen. TCP arbeitet mit Segmenten. Merksatz: Frame ist nicht Paket. --- **MAC-Adresse** MAC steht für: Media Access Control Eine MAC-Adresse ist die lokale Hardwareadresse einer Netzwerkschnittstelle. Typische Netzwerkschnittstellen: - Ethernet-Port - WLAN-Adapter - virtuelle Netzwerkkarte - Server-Netzwerkkarte - USB-LAN-Adapter Merksatz: MAC-Adresse = lokale Adresse einer Netzwerkschnittstelle. --- **Aufbau einer MAC-Adresse** Eine klassische MAC-Adresse hat: 48 Bit Sie wird meist hexadezimal dargestellt. Beispiel: 00:1A:2B:3C:4D:5E Oder: 00-1A-2B-3C-4D-5E Merksatz: MAC-Adresse = 48 Bit, hexadezimal dargestellt. --- **Quell-MAC und Ziel-MAC** Ein Ethernet-Frame enthält normalerweise: Quell-MAC-Adresse Ziel-MAC-Adresse Die Quell-MAC-Adresse sagt: Von welchem Gerät kommt der Frame? Die Ziel-MAC-Adresse sagt: Zu welchem lokalen Gerät soll der Frame? Merksatz: Quell-MAC = woher. Ziel-MAC = wohin. --- **MAC-Adresse und IP-Adresse unterscheiden** | Adresse | Schicht | Aufgabe | |---|---:|---| | MAC-Adresse | 2 | lokale Zustellung im LAN | | IP-Adresse | 3 | netzübergreifende Adressierung | Wichtig: MAC-Adressen gelten nur lokal im jeweiligen Netzwerkabschnitt. IP-Adressen dienen der Kommunikation über Netzgrenzen hinweg. Merksatz: MAC = lokal. IP = netzübergreifend. --- **MAC-Adresse auf dem Weg durch Router** Wenn Daten über Router laufen, ändern sich die MAC-Adressen auf jedem Abschnitt. Beispiel: PC → Router → weiterer Router → Server Auf jedem lokalen Abschnitt gibt es neue Frames mit neuen MAC-Adressen. Die IP-Adressen bleiben grundsätzlich erhalten. Ausnahme: NAT oder PAT kann IP-Adressen verändern. Merksatz: MAC ändert sich pro Hop. IP bleibt grundsätzlich erhalten. --- **Unicast, Broadcast und Multicast** | Art | Bedeutung | Beispiel | |---|---|---| | Unicast | einer an einen | PC an Server | | Broadcast | einer an alle | ARP-Anfrage | | Multicast | einer an eine Gruppe | Streaming-Gruppe | Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Merksatz: Unicast = einer. Broadcast = alle. Multicast = Gruppe. --- **FCS und CRC** FCS steht für: Frame Check Sequence CRC steht für: Cyclic Redundancy Check Die FCS dient zur Fehlererkennung im Ethernet-Frame. Wenn ein Frame beschädigt ist, kann das erkannt werden. Wichtig: Ethernet korrigiert beschädigte Frames normalerweise nicht selbst. Fehlerhafte Frames werden verworfen. Merksatz: FCS/CRC erkennt beschädigte Frames. --- **MTU** MTU steht für: Maximum Transmission Unit Die MTU beschreibt die maximale Nutzdaten-Größe einer Verbindung. Bei Ethernet ist häufig relevant: 1500 Byte Nutzlast Wichtig: Zu große Pakete können Fragmentierung oder Verbindungsprobleme verursachen, wenn die Strecke sie nicht unterstützt. Merksatz: MTU = maximale Nutzdaten-Größe. --- **Switch** Ein Switch ist ein typisches Gerät auf Schicht 2. Er leitet Ethernet-Frames anhand von MAC-Adressen weiter. Ein Switch nutzt dazu eine Tabelle. Diese nennt man: MAC-Adresstabelle Oder: Switching-Tabelle Merksatz: Switch = Schicht-2-Gerät für Frame-Weiterleitung. --- **Hub, Switch und Router unterscheiden** | Gerät | typische Schicht | Aufgabe | |---|---:|---| | Hub | 1 | verteilt Signale an alle Ports | | Switch | 2 | leitet Frames anhand von MAC-Adressen weiter | | Router | 3 | leitet IP-Pakete zwischen Netzen weiter | Prüfungsfalle: Ein Switch ist kein Router. Ein Hub ist kein Switch. Merksatz: Hub = Signal. Switch = MAC. Router = IP. --- **MAC-Adresstabelle** Die MAC-Adresstabelle enthält Zuordnungen wie: | MAC-Adresse | Switch-Port | |---|---:| | AA:AA:AA:AA:AA:01 | Port 1 | | BB:BB:BB:BB:BB:02 | Port 2 | | CC:CC:CC:CC:CC:03 | Port 3 | Damit kann ein Switch Frames gezielt weiterleiten. Merksatz: MAC-Adresstabelle = MAC-Adresse zu Port. --- **Wie lernt ein Switch MAC-Adressen?** Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Beispiel: Frame kommt an Port 4 an. Quell-MAC ist AA:BB:CC:11:22:33. Der Switch lernt: AA:BB:CC:11:22:33 ist über Port 4 erreichbar. Merksatz: Switch lernt über Quell-MAC. --- **Weiterleitung durch den Switch** Ein Switch prüft die Ziel-MAC-Adresse. Dann gibt es drei typische Fälle: | Situation | Verhalten | |---|---| | Ziel-MAC bekannt | gezielte Weiterleitung | | Ziel-MAC unbekannt | Flooding | | Broadcast | Weiterleitung an alle passenden Ports | Merksatz: Ziel-MAC entscheidet über die Weiterleitung. --- **Flooding** Flooding bedeutet: Der Switch verteilt einen Frame an mehrere Ports, weil die Ziel-MAC-Adresse unbekannt ist. Flooding ist normales Switch-Verhalten bei unbekanntem Ziel. Nicht verwechseln mit Broadcast. Merksatz: Flooding = Ziel-MAC unbekannt. --- **Broadcast** Broadcast bedeutet: Der Frame ist ausdrücklich an alle Geräte im lokalen Netz adressiert. Broadcast-MAC: FF:FF:FF:FF:FF:FF Typische Beispiele: - ARP-Anfrage - DHCP-Anfrage Merksatz: Broadcast = Ziel ist alle. --- **Broadcast und Flooding unterscheiden** | Begriff | Grund | |---|---| | Broadcast | Zieladresse ist „alle“ | | Flooding | Ziel-MAC ist unbekannt | Beide können dazu führen, dass Frames an mehrere Ports gehen. Aber: Der Grund ist unterschiedlich. Merksatz: Broadcast ist eine Adresse. Flooding ist ein Switch-Verhalten. --- **Broadcast-Domäne** Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Router trennen Broadcast-Domänen. Merksatz: Broadcast-Domäne = Bereich für Broadcasts. --- **Kollisionsdomäne** Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können. Bei einem Hub: alle Ports in einer Kollisionsdomäne Bei einem Switch: normalerweise jeder Port eigene Kollisionsdomäne In modernen Vollduplex-Switch-Netzen spielen klassische Kollisionen praktisch keine Rolle mehr. Merksatz: Hub = eine Kollisionsdomäne. Switch = getrennte Kollisionsbereiche. --- **VLAN** VLAN steht für: Virtual Local Area Network Ein VLAN ist ein logisch getrenntes LAN auf Schicht 2. VLANs ermöglichen mehrere logische Netze auf derselben physischen Switch-Infrastruktur. Beispiel: | VLAN | Zweck | |---:|---| | 10 | Mitarbeiter | | 20 | Gäste | | 30 | Server | | 40 | VoIP | | 99 | Management | Merksatz: VLAN = logische Netztrennung auf Schicht 2. --- **VLAN und Subnetz unterscheiden** | Begriff | Schicht | Aufgabe | |---|---:|---| | VLAN | 2 | logische Trennung im LAN | | IP-Subnetz | 3 | logischer IP-Adressbereich | In der Praxis wird häufig pro VLAN ein eigenes IP-Subnetz verwendet. Beispiel: | VLAN | Subnetz | |---:|---| | VLAN 10 | 192.168.10.0/24 | | VLAN 20 | 192.168.20.0/24 | Merksatz: VLAN ist nicht Subnetz. VLAN = Schicht 2. Subnetz = Schicht 3. --- **Access-Port** Ein Access-Port gehört normalerweise zu genau einem VLAN. Typischer Einsatz: - PC - Drucker - Kamera - einzelnes Endgerät Das Endgerät sendet meist untagged Frames. Der Switch ordnet diese Frames dem VLAN des Ports zu. Merksatz: Access-Port = ein VLAN für ein Endgerät. --- **Trunk-Port** Ein Trunk-Port kann mehrere VLANs über eine Verbindung transportieren. Typischer Einsatz: - Switch zu Switch - Switch zu Router - Switch zu Firewall - Switch zu Access Point mit mehreren SSIDs - Switch zu Virtualisierungshost Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. --- **VLAN-Tagging** VLAN-Tagging markiert Frames mit einer VLAN-ID. Der Standard dafür heißt: IEEE 802.1Q Tagged bedeutet: Frame enthält VLAN-Tag. Untagged bedeutet: Frame enthält keinen VLAN-Tag. Merksatz: 802.1Q = VLAN-Tagging. --- **Native VLAN** Das Native VLAN ist bei bestimmten Trunk-Konzepten das untagged VLAN auf einem Trunk. Wichtig: Das Native VLAN muss auf beiden Seiten korrekt zusammenpassen. Falsche Native-VLAN-Konfiguration kann zu Problemen und Sicherheitsrisiken führen. Merksatz: Native VLAN = untagged VLAN auf dem Trunk. --- **Inter-VLAN-Routing** Geräte in unterschiedlichen VLANs können nicht nur über Schicht 2 miteinander kommunizieren. Für Kommunikation zwischen VLANs braucht man Routing. Das nennt man: Inter-VLAN-Routing Dafür nutzt man zum Beispiel: - Router - Layer-3-Switch - Firewall Merksatz: VLAN zu VLAN braucht Routing. --- **ARP** ARP steht für: Address Resolution Protocol ARP wird in IPv4-Netzen verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. ARP-Anfrage: Broadcast ARP-Antwort: meistens Unicast Merksatz: ARP findet MAC zu IP im lokalen Netz. --- **ARP im gleichen Subnetz** Wenn sich das Ziel im gleichen Subnetz befindet, sucht ARP die MAC-Adresse des Zielgeräts. Beispiel: PC A sucht MAC von PC B. Dann sendet PC A eine ARP-Anfrage ins lokale Netz. Merksatz: Gleiches Subnetz: ARP sucht Ziel-MAC. --- **ARP bei anderem Subnetz** Wenn das Ziel in einem anderen Netz liegt, sucht ARP nicht die MAC-Adresse des entfernten Servers. Stattdessen sucht ARP die MAC-Adresse des Standard-Gateways. Beispiel: Ziel-IP ist im Internet. Ziel-MAC im lokalen Frame ist das Gateway. Merksatz: Anderes Netz: ARP sucht Gateway-MAC. --- **ARP, DNS und DHCP unterscheiden** | Protokoll | Aufgabe | |---|---| | ARP | IP-Adresse zu MAC-Adresse | | DNS | Name zu IP-Adresse | | DHCP | IP-Konfiguration automatisch vergeben | Prüfungsfalle: ARP ist keine Namensauflösung. DNS ist keine MAC-Auflösung. Merksatz: ARP = MAC zu IP. DNS = IP zu Name. DHCP = IP vergeben. --- **IPv4 und IPv6** ARP wird bei IPv4 verwendet. IPv6 nutzt nicht ARP. IPv6 verwendet stattdessen: NDP NDP steht für: Neighbor Discovery Protocol Merksatz: IPv4 nutzt ARP. IPv6 nutzt NDP. --- **STP** STP steht für: Spanning Tree Protocol STP verhindert Schleifen in Layer-2-Netzen. Warum ist das wichtig? Ethernet-Frames haben keine TTL wie IP-Pakete. Frames können bei einer Schleife immer weiterlaufen. Broadcasts können sich stark vervielfachen. Merksatz: STP schützt vor Layer-2-Schleifen. --- **Root Bridge** Die Root Bridge ist der zentrale Bezugspunkt im STP-Netz. Switches berechnen ihre besten Wege zur Root Bridge. Die Root Bridge wird über die Bridge-ID bestimmt. Merksatz: Root Bridge = zentraler STP-Bezugspunkt. --- **BPDU** BPDU steht für: Bridge Protocol Data Unit BPDUs sind STP-Nachrichten zwischen Switches. Damit tauschen Switches Informationen über die STP-Topologie aus. Merksatz: BPDU = STP-Nachricht. --- **STP-Portrollen** | Rolle | Bedeutung | |---|---| | Root Port | bester Weg zur Root Bridge | | Designated Port | aktiver Port für ein Segment | | Blocked Port | blockierter Port zur Schleifenvermeidung | Merksatz: Root und Designated leiten weiter. Blocked verhindert Schleifen. --- **RSTP und MSTP** | Protokoll | Bedeutung | |---|---| | STP | verhindert Schleifen | | RSTP | schnellere Weiterentwicklung von STP | | MSTP | mehrere Spanning-Tree-Instanzen | Merksatz: STP verhindert Schleifen. RSTP ist schneller. MSTP ist flexibler für VLAN-Umgebungen. --- **Layer-2-Schleife** Eine Layer-2-Schleife entsteht, wenn Frames in einem Switch-Netz im Kreis laufen können. Typische Ursachen: - falsch gesteckte Kabel - redundante Verbindungen ohne STP - unmanaged Switches - falsch konfigurierte Link Aggregation - STP deaktiviert Mögliche Folgen: - Broadcast-Sturm - MAC Flapping - hohe Switch-Last - Netzwerkausfall Merksatz: Layer-2-Schleifen können ein LAN lahmlegen. --- **Broadcast-Sturm** Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcasts das Netzwerk belasten. Eine Layer-2-Schleife kann Broadcasts stark vervielfachen. Typische Symptome: - Netzwerk plötzlich extrem langsam - Switch-LEDs blinken stark - viele Broadcasts im Mitschnitt - Geräte verlieren Verbindung - MAC-Adressen wechseln Ports Merksatz: Broadcast-Sturm = zu viele Broadcasts im LAN. --- **MAC Flapping** MAC Flapping bedeutet: dieselbe MAC-Adresse wird ständig an unterschiedlichen Switch-Ports gelernt. Mögliche Ursachen: - Layer-2-Schleife - falsche Link Aggregation - falsche Verkabelung - virtuelle Umgebung - doppelte MAC-Adresse Merksatz: MAC Flapping ist ein Warnsignal. --- **Port Security** Port Security ist eine Switch-Sicherheitsfunktion. Damit kann man festlegen: welche MAC-Adressen oder wie viele MAC-Adressen an einem Port erlaubt sind. Mögliche Reaktionen bei Verstoß: - Frames verwerfen - Port sperren - Warnung erzeugen - Ereignis protokollieren Merksatz: Port Security begrenzt MAC-Adressen pro Port. --- **ARP-Spoofing und ARP-Poisoning** ARP-Spoofing bedeutet: Ein Angreifer sendet falsche ARP-Informationen. ARP-Poisoning bedeutet: ARP-Caches werden mit falschen Zuordnungen manipuliert. Mögliche Folge: Datenverkehr wird zum Angreifer umgeleitet. Schutzmaßnahmen: - VLAN-Trennung - 802.1X - Port Security - DHCP Snooping - Dynamic ARP Inspection - Monitoring Merksatz: ARP-Spoofing manipuliert IP-MAC-Zuordnungen. --- **DHCP Snooping** DHCP Snooping ist eine Switch-Sicherheitsfunktion. Ziele: - unerlaubte DHCP-Server verhindern - IP-MAC-Zuordnungen erfassen - Dynamic ARP Inspection unterstützen Merksatz: DHCP Snooping schützt vor falschen DHCP-Servern. --- **Dynamic ARP Inspection** Dynamic ARP Inspection prüft ARP-Nachrichten auf dem Switch. Ziel: gefälschte ARP-Informationen erkennen und blockieren. Häufig arbeitet diese Funktion mit DHCP Snooping zusammen. Merksatz: Dynamic ARP Inspection schützt vor ARP-Manipulation. --- **BPDU Guard** BPDU Guard schützt Access-Ports vor unerwarteten STP-Nachrichten. Wenn an einem Endgeräte-Port plötzlich BPDUs auftauchen, könnte dort ein unerlaubter Switch angeschlossen sein. Mögliche Reaktion: Port wird deaktiviert. Merksatz: BPDU Guard schützt Access-Ports. --- **Root Guard** Root Guard verhindert, dass ein unerwünschter Switch Root Bridge wird. Dadurch bleibt die geplante STP-Struktur erhalten. Merksatz: Root Guard schützt die geplante Root Bridge. --- **Storm Control** Storm Control begrenzt übermäßigen Broadcast-, Multicast- oder unbekannten Unicast-Verkehr. Ziel: Schutz vor Überlastung durch zu viel Layer-2-Verkehr. Merksatz: Storm Control begrenzt Broadcast-Stürme. --- **Schicht-2-Fehlersuche** Typische Prüfpunkte: - MAC-Adresse gelernt? - richtiger Switch-Port? - richtiges VLAN? - Access oder Trunk? - VLAN auf Trunk erlaubt? - Native VLAN korrekt? - ARP zum Gateway vorhanden? - STP blockiert Port? - MAC Flapping sichtbar? - Broadcast-Sturm vorhanden? - Port Security aktiv? Merksatz: Schicht-2-Fehlersuche = MAC, VLAN, ARP, STP und Switch-Port prüfen. --- **Typische Schicht-2-Fehler** | Fehlerbild | mögliche Ursache | |---|---| | keine IP-Adresse | falsches VLAN, Trunk-Fehler | | falsche IP-Adresse | falsches VLAN | | Gateway nicht per ARP erreichbar | VLAN- oder ARP-Problem | | Netzwerk plötzlich langsam | Broadcast-Sturm oder Schleife | | MAC wechselt ständig Port | MAC Flapping | | einzelne SSID funktioniert nicht | falsche SSID-VLAN-Zuordnung | | Gerät nach Tausch blockiert | Port Security | | VLAN kommt nicht durch | Trunk erlaubt VLAN nicht | Merksatz: Viele IP-Probleme beginnen auf Schicht 2. --- **Was Schicht 2 nicht macht** Schicht 2 macht nicht: - Routing zwischen IP-Netzen - NAT oder PAT - TCP-Verbindungen aufbauen - UDP-Ports auswerten - DNS-Namen auflösen - Webseiten bereitstellen - Benutzer authentifizieren - Internetzugang allein herstellen Diese Aufgaben liegen auf höheren Schichten. Merksatz: Schicht 2 leitet lokal weiter, routet aber nicht zwischen IP-Netzen. --- **Prüfungswissen: wichtigste Zuordnungen** | Begriff | richtige Einordnung | |---|---| | Ethernet-Frame | Schicht 2 | | MAC-Adresse | Schicht 2 | | Switch | Schicht 2 | | VLAN | Schicht 2 | | Access-Port | Schicht 2 | | Trunk-Port | Schicht 2 | | ARP | Schicht 2 / 3-Bezug | | STP | Schicht 2 | | Broadcast-Domäne | Schicht 2 | | IP-Adresse | Schicht 3 | | Router | Schicht 3 | | TCP-Port | Schicht 4 | | DNS | Schicht 7 | Merksatz: Frame, MAC, Switch, VLAN = Schicht 2. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Sicherungsschicht? - Was ist ein Ethernet-Frame? - Was ist eine MAC-Adresse? - Wie lernt ein Switch MAC-Adressen? - Was passiert bei unbekannter Ziel-MAC? - Was ist Flooding? - Was ist ein Broadcast? - Was ist eine Broadcast-Domäne? - Was ist ein VLAN? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet IEEE 802.1Q? - Was macht ARP? - Warum wird eine ARP-Anfrage als Broadcast gesendet? - Was ist STP? - Warum sind Layer-2-Schleifen gefährlich? - Was bedeutet MAC Flapping? - Wie grenzt man Schicht-2-Fehler ein? --- **Typische Prüfungsfallen** Schicht 2 arbeitet mit Frames. IP-Pakete gehören zu Schicht 3. MAC-Adressen gehören zu Schicht 2. IP-Adressen gehören zu Schicht 3. Switches lernen über Quell-MAC-Adressen. Die Ziel-MAC entscheidet über die Weiterleitung. Unbekannte Ziel-MAC führt zu Flooding. Broadcast und Flooding sind nicht dasselbe. Ein VLAN ist kein IP-Subnetz. VLAN gehört zu Schicht 2. Subnetz gehört zu Schicht 3. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. IEEE 802.1Q = VLAN-Tagging. ARP ist nicht DNS. ARP ist nicht DHCP. IPv4 nutzt ARP. IPv6 nutzt NDP. STP verhindert Layer-2-Schleifen. Ethernet-Frames haben keine TTL. Falsches VLAN kann wie ein IP-Problem aussehen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Sicherungsschicht | OSI-Schicht 2 | | Frame | Datenrahmen auf Schicht 2 | | Ethernet-Frame | Frame im Ethernet-LAN | | MAC-Adresse | lokale Hardwareadresse | | Quell-MAC | Absenderadresse im Frame | | Ziel-MAC | Empfängeradresse im Frame | | Switch | Schicht-2-Gerät | | MAC-Adresstabelle | Zuordnung MAC-Adresse zu Port | | Learning | Lernen über Quell-MAC | | Forwarding | gezielte Weiterleitung | | Flooding | Weiterleitung bei unbekannter Ziel-MAC | | Broadcast | Nachricht an alle | | Broadcast-Domäne | Bereich, in dem Broadcasts verteilt werden | | Kollisionsdomäne | Bereich möglicher Kollisionen | | VLAN | logisches LAN auf Schicht 2 | | Access-Port | Port für ein VLAN | | Trunk-Port | Port für mehrere VLANs | | 802.1Q | VLAN-Tagging | | ARP | IP-Adresse zu MAC-Adresse | | STP | Schleifenvermeidung auf Schicht 2 | | BPDU | STP-Nachricht | | Broadcast-Sturm | sehr viele Broadcasts im LAN | | MAC Flapping | MAC-Adresse wechselt ständig Ports | | Port Security | Begrenzung erlaubter MAC-Adressen | | DHCP Snooping | Schutz vor unerlaubten DHCP-Servern | | Dynamic ARP Inspection | Schutz vor ARP-Manipulation | --- **IHK-sichere Gesamtformulierung** Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie ist für die lokale Datenübertragung in Form von Frames zuständig. Im Ethernet-LAN werden MAC-Adressen verwendet, um Frames lokal zuzustellen. Switches arbeiten typischerweise auf Schicht 2, lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames und leiten Frames anhand der Ziel-MAC-Adresse weiter. VLANs ermöglichen eine logische Trennung von Broadcast-Domänen auf Schicht 2. ARP wird in IPv4-Netzen verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu ermitteln. STP verhindert Layer-2-Schleifen, die sonst Broadcast-Stürme und Netzwerkausfälle verursachen können. --- **Wichtigste Merksätze** Schicht 2 = Sicherungsschicht. Schicht 2 arbeitet mit Frames. Ethernet-Frame = lokaler Datenrahmen. MAC-Adresse = lokale Hardwareadresse. MAC = Schicht 2. IP = Schicht 3. MAC gilt lokal. IP gilt netzübergreifend. Switch = Schicht 2. Router = Schicht 3. Hub = Schicht 1. Switch lernt über Quell-MAC. Ziel-MAC entscheidet über Weiterleitung. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast = an alle. Broadcast-MAC = FF:FF:FF:FF:FF:FF. Broadcast und Flooding sind nicht dasselbe. VLAN = logische Trennung auf Schicht 2. VLAN ist nicht Subnetz. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. 802.1Q = VLAN-Tagging. VLAN zu VLAN braucht Routing. ARP findet MAC zu IP. ARP-Anfrage = Broadcast. ARP-Antwort = meistens Unicast. IPv4 nutzt ARP. IPv6 nutzt NDP. STP verhindert Layer-2-Schleifen. Ethernet-Frames haben keine TTL. Broadcast-Sturm kann ein LAN lahmlegen. MAC Flapping kann auf eine Schleife hinweisen. Falsches VLAN kann wie ein IP-Problem aussehen. Erst Link, dann MAC/VLAN, dann IP.