6. OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht

ICMP (Internet Control Message Protocol)

ICMP einfach erklärt

ICMP steht für Internet Control Message Protocol.

ICMP ist ein Kontroll- und Fehlerprotokoll der Internetprotokollfamilie. Es wird nicht wie TCP oder UDP verwendet, um normale Nutzdaten zwischen Anwendungen zu übertragen, sondern um Statusinformationen, Fehlermeldungen und Diagnoseinformationen im IP-Netzwerk zu senden.

Kurz gesagt:

TCP  = zuverlässige Datenübertragung zwischen Anwendungen
UDP  = schnelle, verbindungslose Datenübertragung zwischen Anwendungen
ICMP = Kontroll- und Fehlermeldungen im IP-Netzwerk

Wofür wird ICMP verwendet?

ICMP wird verwendet, um Netzwerkprobleme zu melden oder die Erreichbarkeit von Geräten zu prüfen.

Typische Einsatzbereiche:

- Erreichbarkeit eines Hosts prüfen
- Netzwerkfehler melden
- Routing-Probleme anzeigen
- Zeitüberschreitungen melden
- Paketgrößenprobleme melden
- Diagnosewerkzeuge wie ping und traceroute ermöglichen

ICMP ist also eher ein Hilfsprotokoll für IP-Netzwerke.

ICMP ist kein normales Transportprotokoll wie TCP oder UDP

TCP und UDP transportieren Daten zwischen Anwendungen.

Beispiele:

- HTTPS
- SSH
- DNS
- VoIP
- Streaming
- Online-Gaming

ICMP macht das normalerweise nicht.

ICMP wird eher verwendet, damit Geräte im Netzwerk melden können:

- Ziel nicht erreichbar.
- Paket konnte nicht zugestellt werden.
- Zeit wurde überschritten.
- Paket ist zu groß.
- Host antwortet auf Ping.

Merksatz:

TCP und UDP übertragen Anwendungsdaten.
ICMP meldet Netzwerkzustände und Fehler.

Beispiel: Ping mit ICMP

Das bekannteste Beispiel für ICMP ist ping.

Mit ping prüft man, ob ein Gerät im Netzwerk erreichbar ist.

Beim klassischen ping wird ICMP verwendet.

Bei IPv4:

ICMP Echo Request
ICMP Echo Reply

Bei IPv6:

ICMPv6 Echo Request
ICMPv6 Echo Reply

Ablauf vereinfacht:

Dein PC                        Zielhost

ICMP Echo Request  --------->

ICMP Echo Reply    <---------

Das bedeutet:

Echo Request = Bist du erreichbar?
Echo Reply   = Ja, ich bin erreichbar.

Wenn eine Antwort zurückkommt, weiß man:

Der Zielhost ist grundsätzlich erreichbar.

Wenn keine Antwort zurückkommt, kann das verschiedene Gründe haben:

- Zielhost ist ausgeschaltet
- Netzwerkweg ist unterbrochen
- Firewall blockiert ICMP
- Zielhost antwortet nicht auf Ping
- Routing-Problem liegt vor

Wichtig:

Wenn ping nicht funktioniert, heißt das nicht automatisch,
dass der Host komplett offline ist.

Ein Gerät kann erreichbar sein, aber ICMP blockieren.

Nutzt Ping immer ICMP?

Das klassische Betriebssystem-Tool ping nutzt normalerweise ICMP.

Also zum Beispiel:

Windows ping
Linux ping
macOS ping

Diese klassischen ping-Befehle senden ICMP Echo Requests und erwarten ICMP Echo Replies.

Prüfungssicher gesagt:

Klassisches ping = ICMP Echo Request und ICMP Echo Reply

Aber:

Der Begriff "Ping" wird im Alltag nicht immer ausschließlich für ICMP verwendet.

Manchmal sagen Menschen auch "Ping", wenn sie allgemein eine Erreichbarkeit oder Antwortzeit testen.

Beispiele:

- TCP-Ping
- UDP-Ping
- HTTP-Ping
- Game-Ping

Das ist dann oft kein echtes ICMP-Ping, sondern ein anderer Latenz- oder Erreichbarkeitstest.

Beispiele:

TCP-Ping prüft, ob ein bestimmter TCP-Port erreichbar ist.
HTTP-Ping prüft, ob ein Webserver antwortet.
Game-Ping zeigt oft die Antwortzeit zum Spielserver.
UDP-Ping kann mit eigenen UDP-Anfragen und Antworten arbeiten.

Wichtige Unterscheidung:

Klassisches ping-Tool = ICMP
Umgangssprachlicher Ping = manchmal auch anderer Verbindungstest

Ist ICMP nur für Ping da?

Nein.

ICMP wird nicht nur für Ping verwendet.

Ping ist nur eine bekannte Anwendung von ICMP.

ICMP kann auch viele andere Kontroll- und Fehlermeldungen übertragen.

Beispiele:

- Destination Unreachable
- Time Exceeded
- Fragmentation Needed
- Redirect

Also:

Ping nutzt ICMP.
Aber ICMP ist nicht nur Ping.

Merksatz:

Klassisches ping nutzt ICMP.
ICMP wird aber nicht ausschließlich für ping verwendet.

ICMP arbeitet nicht mit Ports

Ein wichtiger Unterschied zu TCP und UDP ist:

TCP und UDP verwenden Ports.
ICMP verwendet keine Ports.

Beispiele für TCP und UDP:

TCP 443 = HTTPS
TCP 22  = SSH
UDP 53  = DNS
UDP 123 = NTP

ICMP hat keine Portnummern.

Stattdessen arbeitet ICMP mit Typen und Codes.

Merksatz:

TCP/UDP = Ports
ICMP    = Typen und Codes

ICMP-Typen und Codes

ICMP verwendet Typen und Codes, um verschiedene Meldungen zu unterscheiden.

ICMP-Meldung Bedeutung
Echo Request Anfrage bei ping
Echo Reply Antwort auf ping
Destination Unreachable Ziel nicht erreichbar
Time Exceeded Zeit überschritten
Redirect Hinweis auf besseren Weg
Fragmentation Needed Paket ist zu groß und müsste fragmentiert werden

Die genaue Bedeutung wird über ICMP-Typ und ICMP-Code festgelegt.

Beispiel:

Echo Request = Ping-Anfrage
Echo Reply   = Ping-Antwort

Merksatz:

TCP/UDP nutzen Ports.
ICMP nutzt Typen und Codes.

Beispiel: Destination Unreachable

Eine typische ICMP-Fehlermeldung ist:

Destination Unreachable

Auf Deutsch:

Ziel nicht erreichbar

Das kann passieren, wenn ein Paket nicht zugestellt werden kann.

Mögliche Gründe:

- Zielnetz ist nicht erreichbar
- Zielhost ist nicht erreichbar
- Port oder Dienst ist nicht erreichbar
- Firewall blockiert den Verkehr
- Routing fehlt oder ist falsch

Vereinfacht gesagt meldet ein Router oder Zielsystem:

Ich kann dieses Paket nicht zustellen.

Beispiel: Time Exceeded

Eine weitere wichtige ICMP-Meldung ist:

Time Exceeded

Auf Deutsch:

Zeit überschritten

Das hängt mit dem TTL-Wert zusammen.

TTL steht für:

Time To Live

Jedes IP-Paket hat einen TTL-Wert. Dieser Wert wird bei jedem Router um 1 verringert.

Wenn der TTL-Wert bei 0 angekommen ist, wird das Paket verworfen.

Dann kann eine ICMP-Meldung zurückgesendet werden:

Time Exceeded

Das bedeutet:

Das Paket hat sein Ziel nicht rechtzeitig erreicht.
Es wurde unterwegs verworfen.

Diese Funktion wird zum Beispiel bei traceroute genutzt.

ICMP und traceroute

Traceroute zeigt, über welche Router ein Paket zum Ziel läuft.

Dafür nutzt traceroute unter anderem ICMP-Time-Exceeded-Meldungen.

Vereinfacht:

1. Das erste Paket bekommt TTL 1.
2. Der erste Router verringert TTL auf 0.
3. Der Router verwirft das Paket.
4. Der Router sendet ICMP Time Exceeded zurück.
5. Dadurch erkennt traceroute den ersten Router.
6. Danach wird TTL erhöht.
7. So werden die nächsten Router sichtbar.

Dadurch kann man den Weg durch das Netzwerk nachvollziehen.

Merksatz:

Ping prüft, ob ein Ziel antwortet.
Traceroute zeigt den Weg zum Ziel.

ICMP und Paketgröße

ICMP kann auch melden, dass ein Paket zu groß ist.

Das ist wichtig für die sogenannte Path MTU Discovery.

MTU steht für:

Maximum Transmission Unit

Die MTU beschreibt, wie groß ein Paket auf einem Netzwerkabschnitt maximal sein darf.

Wenn ein Paket zu groß ist und nicht fragmentiert werden darf, kann eine ICMP-Meldung zurückkommen:

Fragmentation Needed

Das bedeutet:

Das Paket ist für diesen Netzwerkweg zu groß.
Der Absender soll kleinere Pakete senden.

Wichtig:

Wenn solche ICMP-Meldungen blockiert werden,
kann es zu Verbindungsproblemen kommen.

Zum Beispiel können Webseiten teilweise laden oder VPN-Verbindungen Probleme machen.

ICMP im Vergleich zu TCP und UDP

Merkmal TCP UDP ICMP
Voller Name Transmission Control Protocol User Datagram Protocol Internet Control Message Protocol
Hauptaufgabe zuverlässige Datenübertragung schnelle Datagramm-Übertragung Kontroll- und Fehlermeldungen
Verbindungsaufbau Ja, 3-Wege-Handshake Nein Nein
Ports Ja Ja Nein
Arbeitet mit Ports, Sequenznummern, ACKs Ports, Datagrammen Typen und Codes
Zustellgarantie Ja, eingebaut Nein Nein
Reihenfolgekontrolle Ja Nein Nein
Typische Nutzung HTTPS, SSH, E-Mail DNS, VoIP, Streaming ping, traceroute, Fehlermeldungen
Nutzdaten von Anwendungen Ja Ja Normalerweise nein

TCP, UDP und ICMP einfach unterschieden

TCP:

TCP baut zuerst eine Verbindung auf.
TCP überträgt Daten zuverlässig.
TCP bestätigt empfangene Daten.
TCP sendet verlorene Daten erneut.
TCP nutzt Ports.

UDP:

UDP baut keine Verbindung auf.
UDP sendet Daten direkt los.
UDP hat weniger Verwaltungsaufwand.
UDP garantiert keine Zustellung.
UDP nutzt Ports.

ICMP:

ICMP überträgt normalerweise keine Anwendungsdaten.
ICMP meldet Fehler und Zustände im Netzwerk.
ICMP wird für Diagnose genutzt.
ICMP nutzt keine Ports.
ICMP arbeitet mit Typen und Codes.

ICMP und Firewall

Firewalls können ICMP erlauben oder blockieren.

Beispiele:

- Ping erlauben
- Ping blockieren
- bestimmte ICMP-Fehlermeldungen erlauben
- bestimmte ICMP-Typen blockieren

Wichtig:

ICMP komplett zu blockieren ist nicht immer sinnvoll.

Warum?

Bestimmte ICMP-Meldungen sind wichtig für die korrekte Funktion von Netzwerken.

Beispiele:

- Destination Unreachable
- Time Exceeded
- Fragmentation Needed

Wenn diese Meldungen blockiert werden, kann die Fehlersuche schwieriger werden oder bestimmte Verbindungen können Probleme machen.

Prüfungssicherer Gedanke:

ICMP sollte nicht blind komplett blockiert werden.
Besser ist es, gezielt festzulegen, welche ICMP-Typen erlaubt oder blockiert werden.

Ist ICMP gefährlich?

ICMP ist nicht automatisch gefährlich.

Es kann aber für Angriffe oder Informationsgewinnung missbraucht werden.

Beispiele:

- Ping-Scans zur Erkennung erreichbarer Hosts
- ICMP-Flooding als DoS-Angriff
- Netzwerkaufklärung durch traceroute

Deshalb wird ICMP in vielen Netzwerken eingeschränkt.

Aber:

ICMP hat auch wichtige Diagnose- und Fehlerfunktionen.

Deshalb ist die beste Lösung meistens nicht:

Alles blockieren.

Sondern besser:

Nur benötigte ICMP-Typen erlauben.
Unnötige oder gefährliche ICMP-Nutzung einschränken.

Wichtige ICMP-Begriffe

Begriff Bedeutung
ICMP Internet Control Message Protocol
ICMPv6 ICMP für IPv6
Echo Request Ping-Anfrage
Echo Reply Ping-Antwort
Destination Unreachable Ziel nicht erreichbar
Time Exceeded Zeit überschritten
TTL Time To Live
MTU Maximum Transmission Unit
Typ Art der ICMP-Meldung
Code genauere Beschreibung der ICMP-Meldung

Beispielhafte Einordnung im Netzwerk

Normale Datenübertragung mit TCP:

Client → TCP-Verbindung → Server
Beispiel: HTTPS-Webseite über TCP-Port 443

Normale Datenübertragung mit UDP:

Client → UDP-Datagramm → Server
Beispiel: DNS-Anfrage über UDP-Port 53

Kontrollmeldung mit ICMP:

Router oder Zielhost → ICMP-Meldung → Absender
Beispiel: Ziel nicht erreichbar oder Zeit überschritten

IHK-sichere Kurzformulierung

ICMP ist ein Kontrollprotokoll der Internetprotokollfamilie. Es dient nicht der normalen Datenübertragung zwischen Anwendungen, sondern wird für Fehler- und Statusmeldungen im IP-Netzwerk verwendet. Typische Beispiele sind das klassische ping mit ICMP Echo Request und ICMP Echo Reply sowie Fehlermeldungen wie Destination Unreachable oder Time Exceeded. Im Gegensatz zu TCP und UDP verwendet ICMP keine Ports, sondern Typen und Codes. Wichtig ist: Klassisches ping nutzt ICMP, aber ICMP wird nicht ausschließlich für ping verwendet. Außerdem wird der Begriff "Ping" umgangssprachlich manchmal auch für andere Latenz- oder Erreichbarkeitstests genutzt, zum Beispiel TCP-Ping, HTTP-Ping oder Game-Ping.

Merksätze

TCP transportiert zuverlässig.

UDP transportiert schnell und einfach.

ICMP meldet, prüft und diagnostiziert.

TCP und UDP verwenden Ports.

ICMP verwendet keine Ports.

TCP = Verbindung und Zuverlässigkeit

UDP = keine Verbindung und wenig Verwaltungsaufwand

ICMP = Kontroll- und Fehlermeldungen

Klassisches ping nutzt ICMP Echo Request und ICMP Echo Reply.

ICMP ist aber nicht nur für ping da.

Der Begriff "Ping" wird umgangssprachlich manchmal auch für andere Antwortzeit-Tests verwendet.

Traceroute nutzt unter anderem ICMP Time Exceeded.

Wenn ping nicht funktioniert,
heißt das nicht automatisch,
dass der Zielhost komplett offline ist.

ICMP sollte nicht pauschal komplett blockiert werden,
weil einige ICMP-Meldungen für Diagnose und Netzwerkfunktion wichtig sind.

6.1 OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht

Die Vermittlungsschicht ist Schicht 3 des OSI-Modells.

Sie wird auch genannt:

Netzwerkschicht

Die wichtigste Aufgabe von Schicht 3 ist:

Daten zwischen verschiedenen Netzwerken weiterleiten.

Dabei geht es vor allem um:

- IP-Adressen
- IP-Pakete
- Subnetze
- Routing
- Router
- Standard-Gateway
- Netzmaske
- IPv4
- IPv6
- ICMP

Merksatz:

Schicht 3 = IP-Adressen, Pakete und Routing.

Grundidee von Schicht 3

Schicht 2 ist für die lokale Übertragung im LAN zuständig.

Schicht 3 geht darüber hinaus.

Schicht 3 ermöglicht Kommunikation zwischen unterschiedlichen Netzwerken.

Beispiel:

PC im LAN
→ Router
→ Internet
→ Webserver

Dabei wird nicht mehr nur lokal mit MAC-Adressen gearbeitet, sondern mit IP-Adressen.

Merksatz:

Schicht 2 verbindet lokal.
Schicht 3 verbindet Netze.

Einordnung im OSI-Modell

OSI-Schicht Name Aufgabe
7 Anwendungsschicht Netzwerkdienste für Anwendungen
6 Darstellungsschicht Darstellung, Codierung, Verschlüsselung
5 Sitzungsschicht Sitzungen verwalten
4 Transportschicht Transport zwischen Anwendungen
3 Vermittlungsschicht / Netzwerkschicht IP-Adressierung und Routing
2 Sicherungsschicht Frames, MAC-Adressen, lokale Übertragung
1 Bitübertragungsschicht Bits als Signale übertragen

Merksatz:

Schicht 3 liegt zwischen lokaler Übertragung und Transport.

Warum braucht man Schicht 3?

Ein lokales Netzwerk allein reicht nicht aus, wenn Geräte in unterschiedlichen Netzen kommunizieren sollen.

Beispiel:

PC A:
192.168.10.20

Server B:
192.168.30.50

Diese Geräte liegen in unterschiedlichen IP-Netzen.

Damit sie kommunizieren können, braucht man Routing.

Routing gehört zu Schicht 3.

Merksatz:

Unterschiedliche IP-Netze brauchen Schicht-3-Vermittlung.

Begriff: IP-Adresse

Eine IP-Adresse ist eine logische Adresse auf Schicht 3.

Sie dient dazu, Geräte in IP-Netzen erreichbar zu machen.

Beispiele:

IPv4:
192.168.10.20

IPv6:
2001:db8::10

IP-Adressen werden für die netzübergreifende Kommunikation verwendet.

Merksatz:

IP-Adresse = logische Adresse auf Schicht 3.

MAC-Adresse und IP-Adresse unterscheiden

Adresse Schicht Aufgabe
MAC-Adresse 2 lokale Zustellung im LAN
IP-Adresse 3 logische Adressierung zwischen Netzen

Wichtig:

MAC-Adressen gelten nur lokal auf einem Netzwerkabschnitt.
IP-Adressen dienen der Zustellung über Netzgrenzen hinweg.

Merksatz:

MAC = lokal.
IP = netzübergreifend.

Begriff: IP-Paket

Ein IP-Paket ist die Datenübertragungseinheit auf Schicht 3.

Ein IP-Paket enthält unter anderem:

- Quell-IP-Adresse
- Ziel-IP-Adresse
- Nutzdaten
- Steuerinformationen

Vereinfacht:

Ein IP-Paket ist der Datenbehälter für die Zustellung zwischen IP-Netzen.

Merksatz:

IP-Paket = Datenform auf Schicht 3.

Frame, Paket und Segment unterscheiden

Begriff Schicht Bedeutung
Frame 2 lokale Übertragung mit MAC-Adressen
Paket 3 IP-Übertragung zwischen Netzen
Segment 4 TCP-Datenübertragung
Datagramm 4 UDP-Datenübertragung

Prüfungsfalle:

Ethernet arbeitet mit Frames.
IP arbeitet mit Paketen.
TCP arbeitet mit Segmenten.

Merksatz:

Schicht 2 = Frame.
Schicht 3 = Paket.
Schicht 4 = Segment oder Datagramm.

Quell-IP und Ziel-IP

Ein IP-Paket enthält normalerweise:

- Quell-IP-Adresse
- Ziel-IP-Adresse

Die Quell-IP-Adresse gibt an:

Von welchem Gerät stammt das Paket?

Die Ziel-IP-Adresse gibt an:

Zu welchem Gerät soll das Paket?

Beispiel:

PC sendet an Webserver.

Quell-IP:
IP-Adresse des PCs

Ziel-IP:
IP-Adresse des Webservers

Merksatz:

Quell-IP = woher.
Ziel-IP = wohin.

IP-Adresse bleibt über Router hinweg erhalten

Wenn ein IP-Paket über mehrere Router läuft, bleibt die Ziel-IP-Adresse grundsätzlich gleich.

Beispiel:

PC → Router 1 → Router 2 → Server

Die Ethernet-Frames ändern sich auf jedem Abschnitt.

Die IP-Adressen im IP-Paket bleiben grundsätzlich erhalten.

Ausnahme:

NAT oder PAT kann IP-Adressen verändern.

Merksatz:

MAC ändert sich pro Abschnitt.
IP bleibt grundsätzlich Ende-zu-Ende erhalten.

Router

Ein Router ist ein typisches Gerät auf Schicht 3.

Aufgabe:

IP-Pakete zwischen unterschiedlichen Netzwerken weiterleiten.

Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet werden soll.

Dafür nutzt er eine Routing-Tabelle.

Merksatz:

Router = Schicht-3-Gerät für IP-Weiterleitung.

Switch und Router unterscheiden

Gerät typische Schicht Arbeitsweise
Switch 2 leitet Frames anhand von MAC-Adressen weiter
Router 3 leitet IP-Pakete anhand von IP-Adressen weiter

Wichtig:

Ein Switch verbindet Geräte im lokalen Netz.
Ein Router verbindet verschiedene IP-Netze.

Merksatz:

Switch = MAC.
Router = IP.

Standard-Gateway

Das Standard-Gateway ist der Router, den ein Gerät verwendet, wenn das Ziel nicht im eigenen IP-Netz liegt.

Beispiel:

PC:
192.168.10.20/24

Gateway:
192.168.10.1

Wenn der PC ein Ziel außerhalb von 192.168.10.0/24 erreichen möchte, sendet er das Paket an das Standard-Gateway.

Merksatz:

Standard-Gateway = Ausgang in andere Netze.

Wann braucht ein Gerät das Gateway?

Ein Gerät braucht das Gateway, wenn die Ziel-IP-Adresse nicht im eigenen Subnetz liegt.

Beispiel:

PC:
192.168.10.20/24

Ziel:
192.168.10.30

Das Ziel liegt im gleichen Netz.

Kein Gateway nötig.

Beispiel:

PC:
192.168.10.20/24

Ziel:
8.8.8.8

Das Ziel liegt nicht im gleichen Netz.

Gateway nötig.

Merksatz:

Gleiches Subnetz = direkt.
Anderes Subnetz = über Gateway.

Subnetz

Ein Subnetz ist ein Teilbereich eines IP-Netzes.

Beispiel:

192.168.10.0/24

Dieses Subnetz enthält IP-Adressen von:

192.168.10.1
bis
192.168.10.254

Die Netzadresse ist:

192.168.10.0

Die Broadcast-Adresse ist:

192.168.10.255

Merksatz:

Subnetz = logischer IP-Adressbereich.

Netzadresse

Die Netzadresse bezeichnet das Netzwerk selbst.

Beispiel:

192.168.10.0/24

Die Netzadresse ist:

192.168.10.0

Diese Adresse wird normalerweise nicht einem Endgerät zugewiesen.

Merksatz:

Netzadresse = Adresse des Netzes.

Broadcast-Adresse

Die Broadcast-Adresse ist die Adresse für alle Geräte im Subnetz.

Beispiel:

192.168.10.0/24

Broadcast-Adresse:

192.168.10.255

Diese Adresse wird normalerweise nicht einem einzelnen Endgerät zugewiesen.

Merksatz:

Broadcast-Adresse = alle Geräte im Subnetz.

Host-Adresse

Host-Adressen sind die nutzbaren Adressen für Geräte im Subnetz.

Beispiel:

192.168.10.0/24

Nutzbare Host-Adressen:

192.168.10.1
bis
192.168.10.254

Diese Adressen können Geräten zugewiesen werden.

Beispiele:

PC
Server
Drucker
Router-Interface
Access Point

Merksatz:

Host-Adresse = nutzbare Adresse für ein Gerät.

Subnetzmaske

Die Subnetzmaske legt fest, welcher Teil einer IP-Adresse zum Netz gehört und welcher Teil zum Host gehört.

Beispiel:

IP-Adresse:
192.168.10.20

Subnetzmaske:
255.255.255.0

Das entspricht:

/24

Merksatz:

Subnetzmaske trennt Netzanteil und Hostanteil.

CIDR-Schreibweise

CIDR steht für:

Classless Inter-Domain Routing

Die CIDR-Schreibweise gibt an, wie viele Bits zur Netzadresse gehören.

Beispiel:

192.168.10.20/24

Das bedeutet:

Die ersten 24 Bit gehören zum Netzanteil.

Häufige Beispiele:

CIDR Subnetzmaske
/24 255.255.255.0
/25 255.255.255.128
/26 255.255.255.192
/27 255.255.255.224
/28 255.255.255.240
/30 255.255.255.252

Merksatz:

/24 bedeutet:
24 Bit Netzanteil.

Netzanteil und Hostanteil

Eine IP-Adresse besteht aus:

Netzanteil
und
Hostanteil

Beispiel:

192.168.10.20/24

Bei /24 ist vereinfacht:

Netzanteil:
192.168.10

Hostanteil:
20

Das Netz ist:

192.168.10.0/24

Merksatz:

Netzanteil bestimmt das Netzwerk.
Hostanteil bestimmt das Gerät im Netzwerk.

Routing

Routing bedeutet:

IP-Pakete zwischen Netzwerken weiterleiten.

Ein Router prüft die Ziel-IP-Adresse und entscheidet anhand seiner Routing-Tabelle, wohin das Paket weitergeleitet wird.

Dabei interessiert ihn nicht die Ziel-MAC-Adresse des ursprünglichen Frames.

Der Router arbeitet auf Schicht 3.

Merksatz:

Routing = Wegentscheidung für IP-Pakete.

Routing-Tabelle

Eine Routing-Tabelle enthält Informationen darüber, welche Netze über welchen Weg erreichbar sind.

Vereinfacht enthält sie:

- Zielnetz
- Netzmaske oder Präfix
- nächster Hop
- Ausgangsschnittstelle
- Metrik

Beispiel:

Zielnetz Nächster Hop Schnittstelle
192.168.10.0/24 direkt verbunden LAN
192.168.20.0/24 192.168.10.1 LAN
0.0.0.0/0 Provider-Router WAN

Merksatz:

Routing-Tabelle = Wegweiser für IP-Pakete.

Nächster Hop

Der nächste Hop ist das nächste Gerät, an das ein Router ein Paket weitergibt.

Meist ist das ein anderer Router.

Beispiel:

Zielnetz:
10.20.30.0/24

nächster Hop:
192.168.1.1

Der Router sendet das Paket an den nächsten Hop, damit es dem Ziel näherkommt.

Merksatz:

Nächster Hop = nächster Router auf dem Weg zum Ziel.

Direkt verbundenes Netz

Ein Router kennt Netze, die direkt an seinen Schnittstellen angeschlossen sind.

Beispiel:

Router-Interface:
192.168.10.1/24

Dann kennt der Router direkt:

192.168.10.0/24

Für direkt verbundene Netze braucht der Router keinen weiteren Router als nächsten Hop.

Merksatz:

Direkt verbunden = Netz liegt an eigener Schnittstelle.

Default Route

Eine Default Route ist eine Standardroute für alle Ziele, für die keine genauere Route vorhanden ist.

IPv4-Schreibweise:

0.0.0.0/0

Bedeutung:

alle IPv4-Ziele

Beispiel:

Alles Unbekannte geht zum Provider-Router.

Merksatz:

Default Route = Route für alles, was nicht genauer bekannt ist.

Longest Prefix Match

Ein Router wählt bei mehreren passenden Routen die genaueste Route.

Das nennt man:

Longest Prefix Match

Beispiel:

Route A:
192.168.0.0/16

Route B:
192.168.10.0/24

Ziel:

192.168.10.50

Beide Routen passen.

Die /24-Route ist genauer und wird gewählt.

Merksatz:

Genaueste passende Route gewinnt.

Statisches Routing

Beim statischen Routing werden Routen manuell eingetragen.

Vorteile:

- einfach bei kleinen Netzen
- gut kontrollierbar
- wenig Protokoll-Overhead

Nachteile:

- hoher Aufwand bei großen Netzen
- Änderungen müssen manuell gepflegt werden
- Ausfälle werden nicht automatisch umgangen

Merksatz:

Statische Route = manuell eingetragener Weg.

Dynamisches Routing

Beim dynamischen Routing tauschen Router automatisch Routing-Informationen aus.

Dafür werden Routing-Protokolle verwendet.

Beispiele:

- OSPF
- RIP
- BGP

Vorteile:

- automatische Anpassung
- besser für größere Netze
- alternative Wege möglich

Nachteile:

- komplexer
- muss geplant und abgesichert werden

Merksatz:

Dynamisches Routing = Router lernen Wege automatisch.

Routing-Protokolle kurz eingeordnet

Protokoll typischer Einsatz
RIP einfach, älter, kleine Netze
OSPF interne Unternehmensnetze
BGP Internet und Provider-Routing

Für AP1/AP2 ist besonders wichtig:

OSPF wird häufig in internen Netzen verwendet.
BGP ist zentral für das Routing im Internet.

Merksatz:

OSPF intern.
BGP zwischen großen Netzen im Internet.

ICMP

ICMP steht für:

Internet Control Message Protocol

ICMP gehört zum IP-Umfeld und wird für Kontroll- und Fehlermeldungen verwendet.

Typische Nutzung:

- Ping
- Traceroute
- Fehlermeldungen im IP-Netz

Wichtig:

ICMP nutzt keine TCP- oder UDP-Ports.

Merksatz:

ICMP = Kontrollmeldungen für IP.

Ping

Ping prüft, ob ein Ziel grundsätzlich per IP erreichbar ist.

Dazu wird häufig ICMP Echo Request und Echo Reply verwendet.

Vereinfacht:

Echo Request:
Bist du erreichbar?

Echo Reply:
Ja, ich antworte.

Wichtig:

Wenn Ping nicht funktioniert,
heißt das nicht automatisch,
dass das Ziel komplett unerreichbar ist.

ICMP kann durch Firewalls blockiert werden.

Merksatz:

Ping prüft IP-Erreichbarkeit,
aber ist kein vollständiger Diensttest.

Traceroute

Traceroute zeigt den Weg zu einem Ziel über mehrere Router.

Je nach Betriebssystem heißt der Befehl zum Beispiel:

tracert
traceroute
tracepath

Traceroute hilft zu erkennen:

über welche Router ein Paket läuft
und
wo die Verbindung möglicherweise stoppt.

Merksatz:

Traceroute zeigt den Weg durch das IP-Netz.

TTL

TTL steht für:

Time To Live

TTL begrenzt die Lebensdauer eines IP-Pakets.

Jeder Router verringert den TTL-Wert.

Wenn TTL 0 erreicht, wird das Paket verworfen.

Zweck:

Pakete sollen nicht endlos im Netz kreisen.

Merksatz:

TTL verhindert endloses Kreisen von IP-Paketen.

IPv4 und IPv6

Schicht 3 kann mit IPv4 oder IPv6 arbeiten.

Version Beispiel
IPv4 192.168.10.20
IPv6 2001:db8::10

IPv4 verwendet 32-Bit-Adressen.

IPv6 verwendet 128-Bit-Adressen.

Merksatz:

IPv4 = 32 Bit.
IPv6 = 128 Bit.

Private IPv4-Adressen

Private IPv4-Adressen werden in lokalen Netzwerken verwendet.

Wichtige Bereiche:

Bereich CIDR
10.0.0.0 – 10.255.255.255 10.0.0.0/8
172.16.0.0 – 172.31.255.255 172.16.0.0/12
192.168.0.0 – 192.168.255.255 192.168.0.0/16

Private Adressen sind im öffentlichen Internet nicht direkt geroutet.

Merksatz:

Private IPv4-Adressen werden im LAN genutzt.

NAT kurz eingeordnet

NAT steht für:

Network Address Translation

NAT verändert IP-Adressen beim Übergang zwischen Netzen.

Typisches Beispiel:

viele private Geräte im LAN
teilen sich eine öffentliche IPv4-Adresse

NAT wird besonders häufig am Internet-Router eingesetzt.

Merksatz:

NAT übersetzt IP-Adressen.

PAT kurz eingeordnet

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT.

Dabei teilen sich mehrere interne Geräte eine öffentliche IP-Adresse und werden über Port-Zuordnungen unterschieden.

Typisch im Heimnetz:

viele Geräte
eine öffentliche IPv4-Adresse

Merksatz:

PAT = viele interne Geräte über eine öffentliche IP mit Ports unterscheiden.

Schicht 3 und VLANs

VLANs gehören zu Schicht 2.

Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing auf Schicht 3.

Das nennt man:

Inter-VLAN-Routing

Dafür nutzt man:

- Router
- Layer-3-Switch
- Firewall

Merksatz:

VLAN trennt auf Schicht 2.
Routing verbindet auf Schicht 3.

Was Schicht 3 nicht macht

Schicht 3 macht nicht:

- Ethernet-Frames lokal anhand von MAC-Adressen switchen
- TCP-Verbindungen aufbauen
- UDP-Ports auswerten
- DNS-Namen auflösen
- Webseiten bereitstellen
- Benutzer anmelden
- Dateifreigaben bereitstellen

Diese Aufgaben liegen auf anderen Schichten.

Merksatz:

Schicht 3 routet IP-Pakete,
aber stellt keine Anwendung bereit.

Typische Schicht-3-Fehler

Typische Fehler auf Schicht 3 sind:

- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Standard-Gateway
- fehlende Route
- falsche Route
- doppelte IP-Adresse
- NAT-Problem
- Routing-Schleife
- Firewall-Regel auf IP-Ebene
- falsches VLAN-Subnetz-Zusammenspiel

Merksatz:

Schicht-3-Fehler betreffen IP, Subnetze, Gateway und Routing.

Einordnung bei der Fehlersuche

Eine sinnvolle Reihenfolge:

1. Schicht 1:
   Link, Kabel, Signal

2. Schicht 2:
   MAC, VLAN, ARP

3. Schicht 3:
   IP-Adresse, Subnetzmaske, Gateway, Route

4. Schicht 4:
   TCP-/UDP-Port

5. Schicht 7:
   Anwendung, DNS, Dienst

Merksatz:

Erst Link,
dann MAC/VLAN,
dann IP/Routing.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Welche Aufgabe hat die Vermittlungsschicht?
- Was ist eine IP-Adresse?
- Was ist ein IP-Paket?
- Was macht ein Router?
- Was ist ein Standard-Gateway?
- Wann wird ein Gateway benötigt?
- Was ist ein Subnetz?
- Was bedeutet CIDR?
- Was ist eine Routing-Tabelle?
- Was bedeutet Default Route?
- Was bedeutet Longest Prefix Match?
- Was ist der Unterschied zwischen statischem und dynamischem Routing?
- Was ist ICMP?
- Wofür wird Ping verwendet?
- Was zeigt Traceroute?
- Was ist TTL?
- Was ist der Unterschied zwischen MAC-Adresse und IP-Adresse?

Typische Prüfungsfallen

Schicht 3 arbeitet mit IP-Paketen.

Schicht 2 arbeitet mit Frames.

MAC-Adressen gehören zu Schicht 2.

IP-Adressen gehören zu Schicht 3.

Switch = Schicht 2.

Router = Schicht 3.

Gateway wird benötigt,
wenn das Ziel nicht im eigenen Subnetz liegt.

Gleiches Subnetz = direkte lokale Zustellung.

Anderes Subnetz = über Gateway.

Default Route = 0.0.0.0/0.

Genaueste passende Route gewinnt.

Ping nutzt ICMP,
nicht TCP oder UDP.

ICMP hat keine TCP- oder UDP-Ports.

IPv4 hat 32 Bit.

IPv6 hat 128 Bit.

VLAN ist Schicht 2.

Inter-VLAN-Routing ist Schicht 3.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Vermittlungsschicht OSI-Schicht 3
Netzwerkschicht anderer Begriff für Schicht 3
IP-Adresse logische Adresse auf Schicht 3
IP-Paket Datenform auf Schicht 3
Quell-IP Absender-IP-Adresse
Ziel-IP Empfänger-IP-Adresse
Router Gerät zur Weiterleitung zwischen Netzen
Standard-Gateway Router für Ziele außerhalb des eigenen Netzes
Subnetz logischer IP-Adressbereich
Netzadresse Adresse des Netzes
Broadcast-Adresse Adresse für alle Hosts im Subnetz
Host-Adresse nutzbare Adresse für ein Gerät
Subnetzmaske trennt Netzanteil und Hostanteil
CIDR Schreibweise für Präfixlänge
Routing Weiterleitung zwischen IP-Netzen
Routing-Tabelle Tabelle mit Wegen zu Zielnetzen
Nächster Hop nächster Router auf dem Weg
Default Route Standardroute für unbekannte Ziele
Longest Prefix Match genaueste passende Route gewinnt
ICMP Kontroll- und Fehlermeldungen für IP
Ping ICMP-Erreichbarkeitstest
Traceroute zeigt Weg über Router
TTL begrenzt Lebensdauer eines IP-Pakets
NAT Übersetzung von IP-Adressen
PAT Übersetzung mit Port-Zuordnung

IHK-sichere Kurzformulierung

Die Vermittlungsschicht beziehungsweise Netzwerkschicht ist Schicht 3 des OSI-Modells. Sie ist für die logische Adressierung und Weiterleitung von IP-Paketen zwischen verschiedenen Netzwerken zuständig. Dafür werden IP-Adressen, Subnetzmasken, Gateways und Routing-Tabellen verwendet. Ein Router arbeitet typischerweise auf Schicht 3 und entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, wird das Paket an das Standard-Gateway gesendet. ICMP gehört zum IP-Umfeld und wird unter anderem für Ping und Traceroute verwendet.

Merksätze

Schicht 3 = Vermittlungsschicht / Netzwerkschicht.

Schicht 3 = IP-Adressen, Pakete und Routing.

IP-Adresse = logische Adresse.

IP-Paket = Datenform auf Schicht 3.

MAC = Schicht 2.

IP = Schicht 3.

MAC gilt lokal.

IP gilt netzübergreifend.

Switch = MAC.

Router = IP.

Gateway = Ausgang in andere Netze.

Gleiches Subnetz = direkt.

Anderes Subnetz = über Gateway.

Subnetzmaske trennt Netzanteil und Hostanteil.

CIDR gibt die Präfixlänge an.

Routing = Weiterleitung zwischen IP-Netzen.

Routing-Tabelle = Wegweiser für Pakete.

Default Route = 0.0.0.0/0.

Genaueste passende Route gewinnt.

ICMP = Kontrollmeldungen für IP.

Ping nutzt ICMP.

ICMP nutzt keine TCP- oder UDP-Ports.

Traceroute zeigt den Weg durch das IP-Netz.

TTL verhindert endloses Kreisen von IP-Paketen.

IPv4 = 32 Bit.

IPv6 = 128 Bit.

VLAN = Schicht 2.

Inter-VLAN-Routing = Schicht 3.

Erst Link,
dann MAC/VLAN,
dann IP/Routing.

6.2 IPv4-Adressen, Subnetze und Netzmasken

IPv4 ist eine der wichtigsten Grundlagen auf OSI-Schicht 3.

IPv4-Adressen werden verwendet, um Geräte in IP-Netzen logisch zu adressieren.

Beispiel:

192.168.10.20

Eine IPv4-Adresse allein reicht aber nicht aus.

Man muss zusätzlich wissen:

Welcher Teil gehört zum Netzwerk?
Welcher Teil gehört zum Gerät?
Welche Adressen sind nutzbar?
Welche Adresse ist die Netzadresse?
Welche Adresse ist die Broadcast-Adresse?

Dafür braucht man die Subnetzmaske oder CIDR-Schreibweise.

Merksatz:

IPv4-Adresse + Subnetzmaske = vollständige Netzzuordnung.

IPv4 kurz erklärt

IPv4 steht für:

Internet Protocol Version 4

Eine IPv4-Adresse besteht aus:

32 Bit

Sie wird meistens dezimal in vier Blöcken dargestellt.

Beispiel:

192.168.10.20

Diese vier Blöcke nennt man oft:

Oktette

Warum Oktette?

Jeder Block entspricht 8 Bit.

4 Oktette ergeben:

4 × 8 Bit = 32 Bit

Merksatz:

IPv4 = 32 Bit = 4 Oktette.

Aufbau einer IPv4-Adresse

Beispiel:

192.168.10.20

Die Adresse besteht aus vier Oktetten:

Oktett Wert
1 192
2 168
3 10
4 20

Jedes Oktett kann Werte von 0 bis 255 enthalten.

Warum?

8 Bit können 256 verschiedene Werte darstellen.

Von:

0

bis:

255

Merksatz:

Ein IPv4-Oktett hat Werte von 0 bis 255.

Binäre Darstellung

Computer arbeiten intern mit Bits.

Eine IPv4-Adresse kann deshalb auch binär dargestellt werden.

Beispiel:

192.168.10.20

Binär:

Dezimal Binär
192 11000000
168 10101000
10 00001010
20 00010100

Gesamt:

11000000.10101000.00001010.00010100

Merksatz:

IPv4 sieht dezimal aus,
besteht technisch aber aus 32 Bits.

Netzanteil und Hostanteil

Eine IPv4-Adresse besteht aus zwei Teilen:

Netzanteil
und
Hostanteil

Der Netzanteil sagt:

Zu welchem Netzwerk gehört die Adresse?

Der Hostanteil sagt:

Welches Gerät ist es in diesem Netzwerk?

Beispiel:

192.168.10.20/24

Bei /24 gehören die ersten 24 Bit zum Netzanteil.

Vereinfacht:

Netzanteil:
192.168.10

Hostanteil:
20

Merksatz:

Netzanteil = Netzwerk.
Hostanteil = Gerät im Netzwerk.

Subnetzmaske

Die Subnetzmaske legt fest, welcher Teil der IP-Adresse zum Netz gehört und welcher Teil zum Host gehört.

Beispiel:

IP-Adresse:
192.168.10.20

Subnetzmaske:
255.255.255.0

Das bedeutet:

192.168.10 = Netzanteil
20 = Hostanteil

Die Subnetzmaske trennt also Netz und Host.

Merksatz:

Subnetzmaske trennt Netzanteil und Hostanteil.

CIDR-Schreibweise

CIDR steht für:

Classless Inter-Domain Routing

Die CIDR-Schreibweise gibt an, wie viele Bits zur Netzadresse gehören.

Beispiel:

192.168.10.20/24

Das bedeutet:

Die ersten 24 Bit gehören zum Netzanteil.

Die Subnetzmaske dazu lautet:

255.255.255.0

Merksatz:

/24 bedeutet:
24 Bit Netzanteil.

CIDR und Subnetzmaske

Wichtige CIDR-Schreibweisen:

CIDR Subnetzmaske Anzahl Host-Bits
/8 255.0.0.0 24
/16 255.255.0.0 16
/24 255.255.255.0 8
/25 255.255.255.128 7
/26 255.255.255.192 6
/27 255.255.255.224 5
/28 255.255.255.240 4
/29 255.255.255.248 3
/30 255.255.255.252 2
/32 255.255.255.255 0

Merksatz:

Je größer die CIDR-Zahl,
desto kleiner das Netz.

Host-Bits

Host-Bits sind die Bits, die für Geräteadressen im Subnetz übrig bleiben.

IPv4 hat insgesamt:

32 Bit

Wenn ein Netz /24 ist, dann gilt:

24 Bit Netzanteil
8 Bit Hostanteil

Wenn ein Netz /26 ist, dann gilt:

26 Bit Netzanteil
6 Bit Hostanteil

Merksatz:

Host-Bits = 32 minus CIDR-Präfix.

Anzahl der Adressen berechnen

Die Anzahl aller Adressen in einem Subnetz berechnet man mit:

2 hoch Anzahl der Host-Bits

Beispiel /24:

Host-Bits:
8

2 hoch 8 = 256 Adressen

Beispiel /26:

Host-Bits:
6

2 hoch 6 = 64 Adressen

Merksatz:

Anzahl Adressen = 2 hoch Host-Bits.

Nutzbare Host-Adressen

In klassischen IPv4-Subnetzen sind normalerweise zwei Adressen nicht für Endgeräte nutzbar:

Netzadresse
Broadcast-Adresse

Deshalb gilt meistens:

nutzbare Hosts = 2 hoch Host-Bits minus 2

Beispiel /24:

2 hoch 8 = 256
256 - 2 = 254 nutzbare Hosts

Beispiel /26:

2 hoch 6 = 64
64 - 2 = 62 nutzbare Hosts

Merksatz:

Nutzbare Hosts = alle Adressen minus Netzadresse und Broadcast-Adresse.

Netzadresse

Die Netzadresse bezeichnet das Subnetz selbst.

Beispiel:

192.168.10.0/24

Die Netzadresse ist:

192.168.10.0

Diese Adresse wird normalerweise keinem Endgerät zugewiesen.

Merksatz:

Netzadresse = Adresse des Netzes.

Broadcast-Adresse

Die Broadcast-Adresse ist die letzte Adresse im Subnetz.

Sie steht für:

alle Geräte in diesem Subnetz

Beispiel:

192.168.10.0/24

Broadcast-Adresse:

192.168.10.255

Diese Adresse wird normalerweise keinem einzelnen Gerät zugewiesen.

Merksatz:

Broadcast-Adresse = letzte Adresse im Subnetz.

Hostbereich

Der Hostbereich umfasst die nutzbaren Adressen für Geräte.

Beispiel:

Netz:
192.168.10.0/24

Netzadresse:
192.168.10.0

Hostbereich:
192.168.10.1 bis 192.168.10.254

Broadcast-Adresse:
192.168.10.255

Merksatz:

Hostbereich = nutzbare Geräteadressen zwischen Netzadresse und Broadcast-Adresse.

Beispiel /24

Netz:

192.168.10.0/24

Subnetzmaske:

255.255.255.0
Bereich Adresse
Netzadresse 192.168.10.0
erster Host 192.168.10.1
letzter Host 192.168.10.254
Broadcast-Adresse 192.168.10.255
alle Adressen 256
nutzbare Hosts 254

Merksatz:

/24 ist ein häufiges Standard-LAN mit 254 nutzbaren Host-Adressen.

Beispiel /25

Netz:

192.168.10.0/25

Subnetzmaske:

255.255.255.128

Host-Bits:

7

Alle Adressen:

2 hoch 7 = 128

Nutzbare Hosts:

128 - 2 = 126
Bereich Adresse
Netzadresse 192.168.10.0
erster Host 192.168.10.1
letzter Host 192.168.10.126
Broadcast-Adresse 192.168.10.127
alle Adressen 128
nutzbare Hosts 126

Merksatz:

/25 halbiert ein /24 in zwei gleich große Netze.

Zweites /25 im gleichen /24-Bereich

Wenn ein /24 in zwei /25-Netze geteilt wird, entstehen:

Netz Bereich
192.168.10.0/25 192.168.10.0 – 192.168.10.127
192.168.10.128/25 192.168.10.128 – 192.168.10.255

Zweites Netz:

192.168.10.128/25
Bereich Adresse
Netzadresse 192.168.10.128
erster Host 192.168.10.129
letzter Host 192.168.10.254
Broadcast-Adresse 192.168.10.255

Merksatz:

/25-Netze springen in 128er-Schritten.

Beispiel /26

Netz:

192.168.10.0/26

Subnetzmaske:

255.255.255.192

Host-Bits:

6

Alle Adressen:

2 hoch 6 = 64

Nutzbare Hosts:

64 - 2 = 62
Bereich Adresse
Netzadresse 192.168.10.0
erster Host 192.168.10.1
letzter Host 192.168.10.62
Broadcast-Adresse 192.168.10.63

Merksatz:

/26-Netze haben 64 Adressen und 62 nutzbare Hosts.

/26-Netze innerhalb eines /24

Ein /24 kann in vier /26-Netze geteilt werden.

Netz Bereich
192.168.10.0/26 192.168.10.0 – 192.168.10.63
192.168.10.64/26 192.168.10.64 – 192.168.10.127
192.168.10.128/26 192.168.10.128 – 192.168.10.191
192.168.10.192/26 192.168.10.192 – 192.168.10.255

Merksatz:

/26-Netze springen in 64er-Schritten.

Beispiel /27

Netz:

192.168.10.0/27

Subnetzmaske:

255.255.255.224

Host-Bits:

5

Alle Adressen:

2 hoch 5 = 32

Nutzbare Hosts:

32 - 2 = 30
Bereich Adresse
Netzadresse 192.168.10.0
erster Host 192.168.10.1
letzter Host 192.168.10.30
Broadcast-Adresse 192.168.10.31

Merksatz:

/27-Netze haben 32 Adressen und 30 nutzbare Hosts.

/27-Netze innerhalb eines /24

Ein /24 kann in acht /27-Netze geteilt werden.

Die Schrittweite beträgt:

32
Netz Bereich
192.168.10.0/27 192.168.10.0 – 192.168.10.31
192.168.10.32/27 192.168.10.32 – 192.168.10.63
192.168.10.64/27 192.168.10.64 – 192.168.10.95
192.168.10.96/27 192.168.10.96 – 192.168.10.127
192.168.10.128/27 192.168.10.128 – 192.168.10.159
192.168.10.160/27 192.168.10.160 – 192.168.10.191
192.168.10.192/27 192.168.10.192 – 192.168.10.223
192.168.10.224/27 192.168.10.224 – 192.168.10.255

Merksatz:

/27-Netze springen in 32er-Schritten.

Schrittweite

Die Schrittweite zeigt, in welchen Abständen neue Subnetze beginnen.

Beispiele im vierten Oktett:

CIDR Subnetzmaske Schrittweite
/25 255.255.255.128 128
/26 255.255.255.192 64
/27 255.255.255.224 32
/28 255.255.255.240 16
/29 255.255.255.248 8
/30 255.255.255.252 4

Merksatz:

Schrittweite = Größe eines Subnetzes im betroffenen Oktett.

Schnelle Regel zur Schrittweite

Bei Subnetzen im vierten Oktett kann man die Schrittweite schnell berechnen:

256 minus Maskenwert im vierten Oktett

Beispiel /26:

Subnetzmaske:
255.255.255.192

256 - 192 = 64

Schrittweite:

64

Beispiel /28:

Subnetzmaske:
255.255.255.240

256 - 240 = 16

Schrittweite:

16

Merksatz:

Schrittweite = 256 minus Maskenwert im interessanten Oktett.

Beispiel: In welchem Subnetz liegt eine IP?

IP-Adresse:

192.168.10.70/26

/26 bedeutet:

Schrittweite 64

Subnetze:

192.168.10.0 – 192.168.10.63
192.168.10.64 – 192.168.10.127
192.168.10.128 – 192.168.10.191
192.168.10.192 – 192.168.10.255

Die IP 192.168.10.70 liegt im Bereich:

192.168.10.64 – 192.168.10.127

Also:

Bereich Adresse
Netzadresse 192.168.10.64
erster Host 192.168.10.65
letzter Host 192.168.10.126
Broadcast-Adresse 192.168.10.127

Merksatz:

IP in den passenden Schrittweitenbereich einordnen.

Beispiel: 192.168.10.200/27

/27 bedeutet:

Schrittweite 32

Subnetze:

0 – 31
32 – 63
64 – 95
96 – 127
128 – 159
160 – 191
192 – 223
224 – 255

Die IP 192.168.10.200 liegt im Bereich:

192.168.10.192 – 192.168.10.223

Also:

Bereich Adresse
Netzadresse 192.168.10.192
erster Host 192.168.10.193
letzter Host 192.168.10.222
Broadcast-Adresse 192.168.10.223

Merksatz:

Bei /27 beginnt jedes neue Netz alle 32 Adressen.

Private IPv4-Adressen

Private IPv4-Adressen werden in lokalen Netzwerken verwendet.

Sie sind im öffentlichen Internet nicht direkt geroutet.

Wichtige private Bereiche:

Bereich CIDR
10.0.0.0 – 10.255.255.255 10.0.0.0/8
172.16.0.0 – 172.31.255.255 172.16.0.0/12
192.168.0.0 – 192.168.255.255 192.168.0.0/16

Typisch im Heimnetz:

192.168.x.x

Typisch in größeren Netzen:

10.x.x.x

Merksatz:

Private IPv4-Adressen sind für interne Netze gedacht.

Öffentliche IPv4-Adressen

Öffentliche IPv4-Adressen sind im Internet eindeutig geroutet.

Sie werden zum Beispiel verwendet für:

- Webserver
- Mailserver
- öffentliche DNS-Server
- Internetanschlüsse
- Cloud-Systeme

Da IPv4-Adressen knapp sind, nutzen viele private Netze NAT oder PAT.

Merksatz:

Öffentliche IPv4-Adressen sind im Internet routbar.

APIPA

APIPA steht für:

Automatic Private IP Addressing

APIPA-Adressen liegen im Bereich:

169.254.0.0/16

Ein Gerät kann eine APIPA-Adresse erhalten, wenn es keine Adresse per DHCP bekommt.

Beispiel:

169.254.23.80

Typischer Hinweis:

DHCP funktioniert nicht
oder
DHCP-Server ist nicht erreichbar.

Merksatz:

169.254.x.x weist oft auf DHCP-Probleme hin.

Loopback-Adresse

Die IPv4-Loopback-Adresse ist:

127.0.0.1

Sie zeigt auf das eigene Gerät.

Der Bereich:

127.0.0.0/8

ist für Loopback reserviert.

Typischer Test:

ping 127.0.0.1

Damit prüft man den lokalen IP-Stack des eigenen Systems.

Merksatz:

127.0.0.1 = eigenes Gerät.

0.0.0.0

Die Adresse 0.0.0.0 kann verschiedene Bedeutungen haben.

Typische Bedeutungen:

- keine konkrete Adresse
- alle IPv4-Adressen
- Default Route als 0.0.0.0/0
- Dienst lauscht auf allen Schnittstellen

Beispiel Routing:

0.0.0.0/0

bedeutet:

alle Ziele,
für die keine genauere Route existiert.

Merksatz:

0.0.0.0/0 = Default Route für alle IPv4-Ziele.

255.255.255.255

Die Adresse:

255.255.255.255

ist ein begrenzter Broadcast.

Sie wird verwendet, um alle Geräte im lokalen Netzwerksegment anzusprechen.

Beispiel:

DHCP-Anfragen können diesen Broadcast verwenden.

Merksatz:

255.255.255.255 = lokaler IPv4-Broadcast.

IPv4 und VLANs

VLANs gehören zu Schicht 2.

IP-Subnetze gehören zu Schicht 3.

In der Praxis wird häufig jedem VLAN ein eigenes IPv4-Subnetz zugeordnet.

Beispiel:

VLAN Zweck Subnetz
10 Mitarbeiter 192.168.10.0/24
20 Gäste 192.168.20.0/24
30 Server 192.168.30.0/24

Merksatz:

VLAN trennt auf Schicht 2.
Subnetz trennt auf Schicht 3.

Warum pro VLAN oft ein eigenes Subnetz?

Ein VLAN ist eine eigene Broadcast-Domäne.

Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing.

Damit Routing sauber funktioniert, bekommt jedes VLAN normalerweise ein eigenes IP-Subnetz.

Beispiel:

VLAN 10:
192.168.10.0/24

VLAN 20:
192.168.20.0/24

Merksatz:

Ein VLAN und ein Subnetz werden oft zusammen geplant,
sind aber nicht dasselbe.

Typische IPv4-Konfigurationsfehler

Typische Fehler sind:

- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Gateway
- doppelte IP-Adresse
- IP aus falschem Netz
- APIPA-Adresse
- falscher DHCP-Bereich
- falsches VLAN zur IP-Adresse
- fehlende Route

Merksatz:

Viele Schicht-3-Probleme beginnen mit falscher IP-Konfiguration.

Beispiel: falsche Subnetzmaske

PC A:

192.168.10.20/24

PC B:

192.168.10.30/25

Beide IP-Adressen sehen ähnlich aus.

Aber durch unterschiedliche Subnetzmasken kann ein Gerät anders entscheiden, ob ein Ziel lokal oder über das Gateway erreichbar ist.

Folge:

Kommunikation kann unzuverlässig oder einseitig wirken.

Merksatz:

IP-Adresse und Subnetzmaske müssen zusammenpassen.

Beispiel: falsches Gateway

PC:

IP-Adresse:
192.168.10.20/24

Gateway:
192.168.20.1

Problem:

Das Gateway liegt nicht im eigenen Subnetz.

Der PC kann dieses Gateway normalerweise nicht direkt erreichen.

Richtig wäre zum Beispiel:

192.168.10.1

Merksatz:

Das Standard-Gateway muss im eigenen lokalen Subnetz erreichbar sein.

Beispiel: IP aus falschem VLAN

Ein PC hängt im Mitarbeiter-VLAN, bekommt aber eine IP-Adresse aus dem Gastnetz.

Beispiel:

Soll:
VLAN 10
192.168.10.0/24

Ist:
VLAN 20
192.168.20.0/24

Mögliche Ursachen:

- Switch-Port im falschen VLAN
- falsche SSID-VLAN-Zuordnung
- DHCP-Bereich falsch zugeordnet
- Trunk falsch konfiguriert

Merksatz:

Falsche IP-Adresse kann auf falsches VLAN hinweisen.

Einordnung in das OSI-Modell

Thema Schicht
Ethernet-Frame 2
MAC-Adresse 2
VLAN 2
IPv4-Adresse 3
Subnetzmaske 3
Gateway 3
Routing 3
NAT 3 / 4-Bezug
TCP-Port 4
DNS 7

Merksatz:

VLAN = Schicht 2.
IPv4-Subnetz = Schicht 3.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Wie viele Bit hat eine IPv4-Adresse?
- Was ist ein Oktett?
- Was macht die Subnetzmaske?
- Was bedeutet CIDR?
- Was bedeutet /24?
- Wie viele nutzbare Hosts hat ein /24?
- Was ist die Netzadresse?
- Was ist die Broadcast-Adresse?
- Was ist der Hostbereich?
- Wie berechnet man die Schrittweite?
- In welchem Subnetz liegt eine bestimmte IP-Adresse?
- Was sind private IPv4-Adressen?
- Was bedeutet 169.254.x.x?
- Was ist die Loopback-Adresse?
- Warum braucht jedes VLAN häufig ein eigenes Subnetz?

Typische Prüfungsfallen

IPv4 hat 32 Bit.

Ein Oktett hat 8 Bit.

Ein Oktett geht von 0 bis 255.

/24 bedeutet 24 Bit Netzanteil.

Host-Bits = 32 minus CIDR-Präfix.

Alle Adressen = 2 hoch Host-Bits.

Nutzbare Hosts = alle Adressen minus 2.

Netzadresse ist nicht für ein Endgerät.

Broadcast-Adresse ist nicht für ein Endgerät.

Je größer die CIDR-Zahl,
desto kleiner das Netz.

VLAN ist nicht Subnetz.

Gateway muss im eigenen Subnetz erreichbar sein.

169.254.x.x weist oft auf DHCP-Probleme hin.

127.0.0.1 ist Loopback.

0.0.0.0/0 ist die Default Route.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
IPv4 Internet Protocol Version 4
IPv4-Adresse 32-Bit-Adresse auf Schicht 3
Oktett 8-Bit-Block einer IPv4-Adresse
Netzanteil Teil der Adresse für das Netzwerk
Hostanteil Teil der Adresse für das Gerät
Subnetzmaske trennt Netzanteil und Hostanteil
CIDR Schreibweise mit Präfixlänge
Präfix Anzahl der Netz-Bits
Host-Bits Bits für Geräteadressen
Netzadresse Adresse des Subnetzes
Broadcast-Adresse Adresse für alle Hosts im Subnetz
Hostbereich nutzbare Geräteadressen
Schrittweite Abstand zwischen Subnetzen
private IPv4-Adresse interne, nicht öffentlich geroutete Adresse
öffentliche IPv4-Adresse im Internet routbare Adresse
APIPA automatische Adresse bei DHCP-Problem
Loopback Adresse des eigenen Geräts
Default Route Route für unbekannte Ziele

IHK-sichere Kurzformulierung

Eine IPv4-Adresse besteht aus 32 Bit und wird meist in vier Oktetten dargestellt. Die Subnetzmaske oder CIDR-Schreibweise legt fest, welcher Teil der Adresse zum Netzanteil und welcher Teil zum Hostanteil gehört. Aus dem Netzanteil ergibt sich die Netzadresse, aus dem Hostanteil der nutzbare Adressbereich und die Broadcast-Adresse. Die Anzahl der Adressen in einem Subnetz ergibt sich aus 2 hoch Anzahl der Host-Bits. In klassischen IPv4-Subnetzen sind Netzadresse und Broadcast-Adresse nicht für Endgeräte nutzbar. VLANs gehören zu Schicht 2, IP-Subnetze zu Schicht 3, werden in der Praxis aber häufig gemeinsam geplant.

Merksätze

IPv4 = 32 Bit.

IPv4 besteht aus 4 Oktetten.

Ein Oktett = 8 Bit.

Ein Oktett geht von 0 bis 255.

IP-Adresse + Subnetzmaske = Netzzuordnung.

Subnetzmaske trennt Netzanteil und Hostanteil.

CIDR zeigt die Anzahl der Netz-Bits.

/24 = 24 Bit Netzanteil.

Host-Bits = 32 minus CIDR-Präfix.

Alle Adressen = 2 hoch Host-Bits.

Nutzbare Hosts = alle Adressen minus 2.

Netzadresse = Adresse des Netzes.

Broadcast-Adresse = letzte Adresse im Subnetz.

Hostbereich = nutzbare Geräteadressen.

Je größer das Präfix,
desto kleiner das Netz.

/25 springt in 128er-Schritten.

/26 springt in 64er-Schritten.

/27 springt in 32er-Schritten.

/28 springt in 16er-Schritten.

Private IPv4-Adressen sind nicht direkt im Internet geroutet.

169.254.x.x weist oft auf DHCP-Probleme hin.

127.0.0.1 = Loopback.

0.0.0.0/0 = Default Route.

VLAN = Schicht 2.

IPv4-Subnetz = Schicht 3.

Gateway muss im eigenen Subnetz erreichbar sein.

6.3 Routing, Gateway und Routing-Tabelle

Routing gehört zu OSI-Schicht 3.

Routing bedeutet:

IP-Pakete zwischen verschiedenen Netzwerken weiterleiten.

Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein IP-Paket als Nächstes gesendet wird.

Dafür verwendet er eine Routing-Tabelle.

Merksatz:

Routing = Wegentscheidung für IP-Pakete.

Warum braucht man Routing?

Geräte im gleichen IP-Subnetz können direkt miteinander kommunizieren.

Geräte in unterschiedlichen IP-Subnetzen brauchen einen Router.

Beispiel:

PC A:
192.168.10.20/24

Server B:
192.168.30.50/24

Diese Geräte liegen in unterschiedlichen Netzen:

192.168.10.0/24
192.168.30.0/24

Damit die Kommunikation funktioniert, braucht man Routing.

Merksatz:

Unterschiedliche IP-Netze brauchen Routing.

Gleiches Subnetz oder anderes Subnetz?

Ein Gerät entscheidet zuerst:

Liegt das Ziel im eigenen Subnetz?
Oder liegt das Ziel in einem anderen Subnetz?

Beispiel 1:

PC:
192.168.10.20/24

Ziel:
192.168.10.50

Das Ziel liegt im gleichen Subnetz.

Direkte lokale Zustellung möglich.

Beispiel 2:

PC:
192.168.10.20/24

Ziel:
192.168.20.50

Das Ziel liegt in einem anderen Subnetz.

Standard-Gateway nötig.

Merksatz:

Gleiches Subnetz = direkt.
Anderes Subnetz = Gateway.

Standard-Gateway

Das Standard-Gateway ist der Router, den ein Gerät für Ziele außerhalb des eigenen Subnetzes verwendet.

Beispiel:

PC:
192.168.10.20/24

Standard-Gateway:
192.168.10.1

Wenn der PC ein Ziel außerhalb von 192.168.10.0/24 erreichen möchte, sendet er das Paket an das Gateway.

Merksatz:

Standard-Gateway = Ausgang in andere Netze.

Gateway muss im eigenen Subnetz liegen

Das Standard-Gateway muss für den Client lokal erreichbar sein.

Beispiel korrekt:

PC:
192.168.10.20/24

Gateway:
192.168.10.1

Beide liegen im Netz:

192.168.10.0/24

Beispiel falsch:

PC:
192.168.10.20/24

Gateway:
192.168.20.1

Das Gateway liegt nicht im eigenen Subnetz und ist für den PC nicht direkt erreichbar.

Merksatz:

Das Gateway muss im eigenen lokalen Subnetz erreichbar sein.

Router

Ein Router verbindet verschiedene IP-Netze miteinander.

Er besitzt meistens mehrere Schnittstellen.

Jede Schnittstelle gehört zu einem bestimmten Netz.

Beispiel:

Router-Schnittstelle IP-Adresse Netz
LAN 1 192.168.10.1/24 192.168.10.0/24
LAN 2 192.168.20.1/24 192.168.20.0/24
WAN öffentliche IP Internet

Der Router kann Pakete zwischen diesen Netzen weiterleiten.

Merksatz:

Router haben Schnittstellen in verschiedenen IP-Netzen.

Router und Switch unterscheiden

Gerät typische Schicht Aufgabe
Switch 2 leitet Frames anhand von MAC-Adressen weiter
Router 3 leitet IP-Pakete zwischen Netzen weiter

Ein Switch entscheidet anhand von:

MAC-Adressen

Ein Router entscheidet anhand von:

IP-Adressen

Merksatz:

Switch = MAC.
Router = IP.

Routing-Tabelle

Eine Routing-Tabelle enthält Wege zu Zielnetzen.

Ein Router nutzt diese Tabelle, um zu entscheiden, wohin ein Paket weitergeleitet wird.

Eine Routing-Tabelle enthält typischerweise:

- Zielnetz
- Subnetzmaske oder Präfix
- nächster Hop
- Ausgangsschnittstelle
- Metrik

Merksatz:

Routing-Tabelle = Wegweiser für IP-Pakete.

Beispiel einer Routing-Tabelle

Vereinfachte Routing-Tabelle:

Zielnetz Präfix Nächster Hop Schnittstelle
192.168.10.0 /24 direkt verbunden LAN 1
192.168.20.0 /24 direkt verbunden LAN 2
10.10.0.0 /16 192.168.20.254 LAN 2
0.0.0.0 /0 Provider-Router WAN

Bedeutung:

192.168.10.0/24 liegt direkt an LAN 1.
192.168.20.0/24 liegt direkt an LAN 2.
10.10.0.0/16 ist über 192.168.20.254 erreichbar.
Alles andere geht über die Default Route.

Merksatz:

Jede Route beschreibt einen Weg zu einem Zielnetz.

Direkt verbundene Route

Eine direkt verbundene Route entsteht, wenn eine Router-Schnittstelle eine IP-Adresse aus diesem Netz hat.

Beispiel:

Router-Interface:
192.168.10.1/24

Dann kennt der Router direkt:

192.168.10.0/24

Für dieses Netz braucht der Router keinen nächsten Router.

Merksatz:

Direkt verbunden = Netz liegt an eigener Schnittstelle.

Statische Route

Eine statische Route wird manuell eingetragen.

Beispiel:

Zielnetz:
10.20.30.0/24

nächster Hop:
192.168.10.254

Der Administrator legt also fest:

Pakete zu 10.20.30.0/24 gehen über 192.168.10.254.

Vorteile:

- einfach bei kleinen Netzen
- gut kontrollierbar
- kein Routing-Protokoll nötig

Nachteile:

- manuelle Pflege
- fehleranfällig bei Änderungen
- keine automatische Anpassung bei Ausfällen

Merksatz:

Statische Route = manuell eingetragener Weg.

Dynamische Route

Dynamische Routen werden automatisch über Routing-Protokolle gelernt.

Beispiele für Routing-Protokolle:

- RIP
- OSPF
- BGP

Router tauschen dabei Informationen über erreichbare Netze aus.

Vorteile:

- automatische Anpassung
- besser für größere Netze
- alternative Wege möglich

Nachteile:

- komplexer
- muss richtig geplant werden
- braucht Absicherung

Merksatz:

Dynamische Route = automatisch gelernter Weg.

Default Route

Eine Default Route wird verwendet, wenn keine genauere Route passt.

IPv4-Schreibweise:

0.0.0.0/0

Bedeutung:

alle IPv4-Ziele

Beispiel:

Wenn der Router das Zielnetz nicht genauer kennt,
sendet er das Paket an den Provider-Router.

Merksatz:

Default Route = Route für alles Unbekannte.

Warum ist die Default Route wichtig?

Ohne Default Route kennt ein Router oder Client nur bestimmte Netze.

Ein normaler Client kennt meistens:

eigenes Subnetz
Standard-Gateway

Für Internetziele braucht der Client sein Gateway.

Der Router braucht wiederum oft eine Default Route Richtung Internet.

Merksatz:

Ohne Default Route funktionieren unbekannte externe Ziele nicht.

Nächster Hop

Der nächste Hop ist das nächste Gerät auf dem Weg zum Ziel.

Meistens ist das ein Router.

Beispiel:

Zielnetz:
10.10.0.0/16

nächster Hop:
192.168.20.254

Der Router sendet das Paket an 192.168.20.254, damit es von dort weitergeleitet wird.

Merksatz:

Nächster Hop = nächster Router auf dem Weg.

Ausgangsschnittstelle

Die Ausgangsschnittstelle ist die Schnittstelle, über die ein Paket den Router verlässt.

Beispiele:

LAN
WAN
VLAN 10
VLAN 20
SFP-Port
Tunnel-Interface

Bei direkt verbundenen Netzen reicht oft die Ausgangsschnittstelle.

Bei entfernten Netzen wird häufig ein nächster Hop angegeben.

Merksatz:

Ausgangsschnittstelle = Port oder Interface, über das das Paket weitergeht.

Metrik

Die Metrik ist ein Wert zur Bewertung einer Route.

Wenn mehrere Wege zum gleichen Ziel vorhanden sind, kann die Metrik bei der Auswahl helfen.

Eine kleinere Metrik bedeutet häufig:

bevorzugter Weg

Die genaue Bedeutung hängt vom Routing-Verfahren ab.

Merksatz:

Metrik = Bewertung eines Weges.

Longest Prefix Match

Wenn mehrere Routen passen, wählt der Router die genaueste Route.

Das nennt man:

Longest Prefix Match

Beispiel:

Route passt für Ziel 192.168.10.50?
192.168.0.0/16 ja
192.168.10.0/24 ja
192.168.10.48/28 ja
0.0.0.0/0 ja

Die genaueste Route ist:

192.168.10.48/28

Warum?

/28 hat den längsten passenden Präfix.

Merksatz:

Genaueste passende Route gewinnt.

Default Route und Longest Prefix Match

Die Default Route passt immer.

Aber sie ist am wenigsten genau.

Beispiel:

Route Präfix
192.168.10.0/24 /24
192.168.0.0/16 /16
0.0.0.0/0 /0

Für das Ziel:

192.168.10.20

wird die /24-Route gewählt.

Die Default Route wird nur verwendet, wenn keine genauere Route passt.

Merksatz:

Default Route ist der letzte Ausweg.

Routing-Entscheidung Schritt für Schritt

Ein Router arbeitet vereinfacht so:

1. IP-Paket kommt an.
2. Router liest die Ziel-IP-Adresse.
3. Router sucht passende Route in der Routing-Tabelle.
4. Genaueste passende Route wird gewählt.
5. Router bestimmt nächsten Hop oder Ausgangsschnittstelle.
6. Router erstellt einen neuen lokalen Frame.
7. Paket wird weitergeleitet.

Merksatz:

Router entscheidet nach Ziel-IP,
nicht nach Ziel-MAC des alten Frames.

Was passiert mit dem Ethernet-Frame am Router?

Ein Router trennt Schicht-2-Abschnitte.

Wenn ein Frame beim Router ankommt, passiert vereinfacht:

Der Router entfernt den alten Ethernet-Frame.
Das IP-Paket wird geprüft.
Der Router entscheidet den nächsten Weg.
Für den nächsten Abschnitt wird ein neuer Ethernet-Frame erstellt.

Dabei ändern sich:

Quell-MAC-Adresse
Ziel-MAC-Adresse

Grundsätzlich gleich bleiben:

Quell-IP-Adresse
Ziel-IP-Adresse

Ausnahme:

NAT oder PAT kann IP-Adressen verändern.

Merksatz:

Router erneuert den Frame,
aber routet das IP-Paket weiter.

ARP beim Routing

Auch Router brauchen lokale MAC-Adressen.

Wenn ein Router ein Paket zum nächsten Hop senden soll, muss er die MAC-Adresse des nächsten Hops kennen.

Dafür verwendet er bei IPv4 ARP.

Beispiel:

nächster Hop:
192.168.20.254

Der Router fragt per ARP:

Wer hat 192.168.20.254?

Merksatz:

Routing entscheidet den Weg,
ARP findet die lokale MAC für den nächsten Abschnitt.

Routing zwischen VLANs

VLANs trennen auf Schicht 2.

Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing.

Das nennt man:

Inter-VLAN-Routing

Beispiel:

VLAN 10:
192.168.10.0/24

VLAN 20:
192.168.20.0/24

Kommunikation zwischen VLAN 10 und VLAN 20 benötigt eine Schicht-3-Komponente.

Merksatz:

VLAN zu VLAN braucht Routing.

Router-on-a-Stick

Router-on-a-Stick ist eine Methode für Inter-VLAN-Routing.

Dabei gibt es eine Trunk-Verbindung zwischen Switch und Router.

Über diesen Trunk laufen mehrere VLANs.

Der Router nutzt logische Unterinterfaces.

Beispiel:

Unterinterface VLAN Gateway-IP
G0/0.10 VLAN 10 192.168.10.1
G0/0.20 VLAN 20 192.168.20.1
G0/0.30 VLAN 30 192.168.30.1

Merksatz:

Router-on-a-Stick = Routing mehrerer VLANs über einen Router-Trunk.

Layer-3-Switch

Ein Layer-3-Switch kann Switching und Routing kombinieren.

Er arbeitet:

auf Schicht 2 als Switch
und
auf Schicht 3 als Router

Er kann zwischen VLANs routen, ohne dass ein separater Router nötig ist.

Dafür nutzt er oft virtuelle Schnittstellen.

Diese heißen je nach System zum Beispiel:

SVI
VLAN-Interface
Routing-Interface

Merksatz:

Layer-3-Switch = Switch mit Routing-Funktion.

Firewall als Gateway

In vielen Netzwerken ist eine Firewall das Standard-Gateway für VLANs.

Beispiel:

VLAN Gateway auf Firewall
VLAN 10 192.168.10.1
VLAN 20 192.168.20.1
VLAN 30 192.168.30.1

Vorteil:

Die Firewall kann den Verkehr zwischen VLANs kontrollieren.

Beispiel:

Gäste dürfen ins Internet.
Gäste dürfen nicht auf Server.
Mitarbeiter dürfen auf bestimmte Serverdienste.

Merksatz:

Firewall als Gateway verbindet Routing mit Zugriffskontrolle.

Routing und Firewall unterscheiden

Routing entscheidet:

Wohin soll ein Paket weitergeleitet werden?

Firewall entscheidet:

Darf dieses Paket weitergeleitet werden?

Beide Funktionen können im gleichen Gerät sitzen.

Beispiel:

Eine Firewall routet zwischen VLANs
und prüft dabei Regeln.

Merksatz:

Routing findet den Weg.
Firewall erlaubt oder blockiert.

NAT und Routing unterscheiden

Routing leitet Pakete zwischen Netzen weiter.

NAT verändert IP-Adressen.

Beispiel Routing:

Paket wird von VLAN 10 ins Internet weitergeleitet.

Beispiel NAT:

private Quell-IP 192.168.10.20 wird zur öffentlichen IP des Routers übersetzt.

Merksatz:

Routing leitet weiter.
NAT übersetzt Adressen.

PAT und Internetzugang

PAT ist eine häufige Form von NAT.

PAT steht für:

Port Address Translation

Viele interne Geräte teilen sich eine öffentliche IPv4-Adresse.

Beispiel:

PC 1:
192.168.10.20

PC 2:
192.168.10.30

Beide nutzen nach außen dieselbe öffentliche IP-Adresse.

Der Router unterscheidet die Verbindungen über Port-Zuordnungen.

Merksatz:

PAT ermöglicht vielen privaten Geräten gemeinsamen Internetzugang über eine öffentliche IP.

Routing-Schleife

Eine Routing-Schleife entsteht, wenn Router Pakete im Kreis weiterleiten.

Beispiel:

Router A sendet zu Router B.
Router B sendet zurück zu Router A.

Folge:

Das Paket kreist im Netz,
bis die TTL abläuft.

Merksatz:

Routing-Schleife = Paket läuft auf Schicht 3 im Kreis.

TTL bei Routing-Schleifen

TTL steht für:

Time To Live

Jeder Router verringert die TTL eines IP-Pakets.

Wenn TTL 0 erreicht, wird das Paket verworfen.

Zweck:

IP-Pakete sollen nicht endlos im Netz kreisen.

Merksatz:

TTL begrenzt Routing-Schleifen.

Traceroute und Routing

Traceroute nutzt TTL-Verhalten, um den Weg zu einem Ziel sichtbar zu machen.

Je nach Betriebssystem heißt der Befehl:

tracert
traceroute
tracepath

Traceroute zeigt:

welche Router auf dem Weg liegen
und
wo die Verbindung möglicherweise stoppt.

Merksatz:

Traceroute hilft beim Prüfen des Routing-Wegs.

Ping und Routing

Ping kann helfen zu prüfen, ob ein Ziel per IP erreichbar ist.

Ping nutzt typischerweise ICMP Echo Request und Echo Reply.

Wenn Ping nicht funktioniert, kann das viele Ursachen haben:

- Ziel aus
- falsche IP-Adresse
- falsches Gateway
- fehlende Route
- Firewall blockiert ICMP
- Routing-Problem
- Schicht-1- oder Schicht-2-Problem

Merksatz:

Ping prüft Erreichbarkeit,
aber erklärt nicht allein die Ursache.

Typische Routing-Fehler

Typische Fehler sind:

- falsches Standard-Gateway
- fehlende Default Route
- fehlende Route zum Zielnetz
- falscher nächster Hop
- Gateway nicht erreichbar
- falsche Subnetzmaske
- Routing-Schleife
- asymmetrisches Routing
- Firewall blockiert Verkehr
- NAT falsch konfiguriert

Merksatz:

Routing-Fehler betreffen Wege zwischen IP-Netzen.

Fehlerbild: Gateway nicht erreichbar

Mögliche Ursachen:

- Gateway-IP falsch eingetragen
- Gateway liegt nicht im eigenen Subnetz
- falsches VLAN
- Router-Interface down
- ARP zum Gateway funktioniert nicht
- Schicht-1-Problem
- Schicht-2-Problem

Prüfung:

IP-Adresse prüfen.
Subnetzmaske prüfen.
Gateway prüfen.
ARP-Eintrag prüfen.
VLAN prüfen.
Link prüfen.

Merksatz:

Gateway-Probleme können Schicht 2 oder Schicht 3 betreffen.

Fehlerbild: Internet funktioniert nicht

Wenn ein Client das Internet nicht erreicht, kann ein Routing-Problem vorliegen.

Mögliche Ursachen:

- falsches Gateway
- Gateway nicht erreichbar
- DNS funktioniert nicht
- Default Route fehlt
- NAT fehlt
- Firewall blockiert
- Provider-Verbindung gestört
- IP-Konfiguration falsch

Wichtig:

DNS-Problem und Routing-Problem unterscheiden.

Beispiel:

Ping auf 8.8.8.8 funktioniert,
aber www.example.com nicht.

Dann ist Routing wahrscheinlich grundsätzlich möglich, aber DNS könnte das Problem sein.

Merksatz:

IP-Ziel testen,
danach DNS prüfen.

Fehlerbild: Ein Netz erreicht anderes Netz nicht

Beispiel:

VLAN 10 erreicht VLAN 20 nicht.

Mögliche Ursachen:

- Inter-VLAN-Routing fehlt
- Gateway-IP fehlt
- falsche Firewall-Regel
- falsche Route
- VLAN nicht korrekt angebunden
- Subnetzmaske falsch
- Rückroute fehlt

Merksatz:

Kommunikation zwischen Netzen braucht Hin- und Rückweg.

Rückroute

Eine Rückroute ist der Weg zurück zum Absendernetz.

Kommunikation braucht nicht nur einen Hinweg, sondern auch einen Rückweg.

Beispiel:

Netz A sendet zu Netz B.
Netz B muss Antwortpakete zurück zu Netz A senden können.

Wenn die Rückroute fehlt, sieht es so aus, als ob das Ziel nicht antwortet.

Merksatz:

Ohne Rückroute keine funktionierende Antwort.

Asymmetrisches Routing

Asymmetrisches Routing bedeutet:

Hinweg und Rückweg nehmen unterschiedliche Pfade.

Das ist nicht immer ein Fehler.

Aber es kann problematisch sein, wenn Firewalls oder zustandsbehaftete Prüfungen beteiligt sind.

Warum?

Eine Firewall erwartet oft,
dass sie beide Richtungen einer Verbindung sieht.

Merksatz:

Asymmetrisches Routing kann Firewalls stören.

Routing und Dokumentation

Routing sollte sauber dokumentiert werden.

Wichtige Informationen:

- Netze
- Subnetze
- Gateways
- Routing-Tabellen
- Default Routes
- Firewall-Zonen
- VLAN-Zuordnung
- NAT-Regeln
- WAN-Verbindungen

Merksatz:

Ohne Dokumentation wird Routing-Fehlersuche schnell unübersichtlich.

Einordnung in das OSI-Modell

Thema Schicht
Ethernet-Frame 2
MAC-Adresse 2
VLAN 2
IP-Adresse 3
IP-Paket 3
Routing 3
Router 3
Gateway 3
Routing-Tabelle 3
ICMP 3
TCP-Port 4
DNS 7

Merksatz:

MAC/VLAN = Schicht 2.
IP/Routing = Schicht 3.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was bedeutet Routing?
- Welche Aufgabe hat ein Router?
- Was ist eine Routing-Tabelle?
- Was ist eine Default Route?
- Was bedeutet 0.0.0.0/0?
- Was ist ein Standard-Gateway?
- Wann wird ein Gateway benötigt?
- Was ist ein nächster Hop?
- Was bedeutet Longest Prefix Match?
- Was ist der Unterschied zwischen statischem und dynamischem Routing?
- Was ist Inter-VLAN-Routing?
- Was ist Router-on-a-Stick?
- Was ist ein Layer-3-Switch?
- Was ist eine Routing-Schleife?
- Warum ist TTL wichtig?
- Warum braucht Kommunikation auch eine Rückroute?

Typische Prüfungsfallen

Routing gehört zu Schicht 3.

Router leiten IP-Pakete weiter,
keine Ethernet-Frames über mehrere Netze.

Switches leiten Frames anhand von MAC-Adressen weiter.

Router entscheiden anhand von IP-Adressen.

Gateway wird nur für Ziele außerhalb des eigenen Subnetzes benötigt.

Das Standard-Gateway muss im eigenen Subnetz liegen.

Default Route = 0.0.0.0/0.

Genaueste passende Route gewinnt.

Direkt verbundene Netze brauchen keinen nächsten Hop.

Kommunikation braucht Hinweg und Rückweg.

Fehlende Rückroute kann wie ein Zielproblem aussehen.

Routing ist nicht NAT.

Routing ist nicht Firewall.

VLAN zu VLAN braucht Routing.

TTL begrenzt Routing-Schleifen.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Routing Weiterleitung von IP-Paketen zwischen Netzen
Router Gerät zur Verbindung verschiedener IP-Netze
Routing-Tabelle Tabelle mit Wegen zu Zielnetzen
Zielnetz Netz, zu dem ein Paket geleitet werden soll
Nächster Hop nächster Router auf dem Weg
Ausgangsschnittstelle Interface, über das das Paket weitergeht
Metrik Bewertung eines Weges
Direkt verbunden Netz liegt an eigener Schnittstelle
Statische Route manuell eingetragene Route
Dynamische Route automatisch gelernte Route
Default Route Route für unbekannte Ziele
Longest Prefix Match genaueste passende Route gewinnt
Standard-Gateway Router für Ziele außerhalb des eigenen Netzes
Inter-VLAN-Routing Routing zwischen VLANs
Router-on-a-Stick Inter-VLAN-Routing über Router-Trunk
Layer-3-Switch Switch mit Routing-Funktion
NAT Übersetzung von IP-Adressen
PAT NAT mit Port-Zuordnung
Routing-Schleife Paket läuft auf Schicht 3 im Kreis
TTL begrenzt Lebensdauer eines IP-Pakets
Rückroute Weg zurück zum Absendernetz
asymmetrisches Routing Hin- und Rückweg sind unterschiedlich

IHK-sichere Kurzformulierung

Routing ist die Weiterleitung von IP-Paketen zwischen unterschiedlichen IP-Netzen und gehört zu OSI-Schicht 3. Ein Router entscheidet anhand der Ziel-IP-Adresse und seiner Routing-Tabelle, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, sendet ein Client das Paket an sein Standard-Gateway. Die Default Route 0.0.0.0/0 wird verwendet, wenn keine genauere Route vorhanden ist. Bei mehreren passenden Routen gilt das Longest Prefix Match, also die genaueste passende Route gewinnt. Für funktionierende Kommunikation müssen Hinweg und Rückweg vorhanden sein.

Merksätze

Routing = Schicht 3.

Routing = IP-Pakete zwischen Netzen weiterleiten.

Router entscheidet anhand der Ziel-IP.

Switch entscheidet anhand der Ziel-MAC.

Routing-Tabelle = Wegweiser für IP-Pakete.

Gateway = Ausgang in andere Netze.

Gleiches Subnetz = direkt.

Anderes Subnetz = Gateway.

Gateway muss im eigenen Subnetz liegen.

Direkt verbunden = eigene Schnittstelle im Zielnetz.

Statische Route = manuell.

Dynamische Route = automatisch gelernt.

Default Route = 0.0.0.0/0.

Default Route = letzter Ausweg.

Longest Prefix Match = genaueste Route gewinnt.

Nächster Hop = nächster Router.

Router erneuert den Ethernet-Frame.

IP-Paket wird weitergeroutet.

MAC ändert sich pro Abschnitt.

IP bleibt grundsätzlich erhalten.

VLAN zu VLAN braucht Routing.

Routing findet den Weg.

Firewall entscheidet erlaubt oder blockiert.

NAT übersetzt Adressen.

TTL begrenzt Routing-Schleifen.

Kommunikation braucht Hinweg und Rückweg.

6.4 ICMP, Ping und Traceroute

ICMP gehört zu den wichtigsten Protokollen im Umfeld von OSI-Schicht 3.

ICMP steht für:

Internet Control Message Protocol

Auf Deutsch sinngemäß:

Internet-Kontrollnachrichten-Protokoll

ICMP wird verwendet, um Kontroll- und Fehlermeldungen im IP-Netz zu übertragen.

Merksatz:

ICMP = Kontroll- und Fehlermeldungen für IP.

Warum gibt es ICMP?

IP selbst ist ein verbindungsloses Protokoll.

Das bedeutet:

IP sendet Pakete weiter,
baut aber keine Verbindung wie TCP auf.

Wenn im IP-Netz etwas nicht funktioniert, braucht man trotzdem Rückmeldungen.

Beispiele:

Ziel nicht erreichbar
Paket zu groß
TTL abgelaufen
Echo-Anfrage
Echo-Antwort

Diese Meldungen werden über ICMP übertragen.

Merksatz:

ICMP ergänzt IP um Kontroll- und Fehlermeldungen.

ICMP im OSI-Modell

ICMP gehört fachlich zum IP-Umfeld.

Es wird meistens bei Schicht 3 eingeordnet.

Warum?

ICMP arbeitet mit IP.
ICMP wird für IP-Kontrollmeldungen verwendet.
ICMP nutzt keine TCP- oder UDP-Ports.

Wichtig:

ICMP ist nicht TCP.
ICMP ist nicht UDP.

Merksatz:

ICMP gehört zum IP-Umfeld auf Schicht 3.

ICMP und Ports

ICMP nutzt keine TCP- oder UDP-Ports.

Das ist eine wichtige Prüfungsfalle.

TCP und UDP arbeiten mit Ports.

Beispiele:

TCP 80 = HTTP
TCP 443 = HTTPS
UDP 53 = DNS

ICMP arbeitet anders.

ICMP verwendet:

Typ
und
Code

Merksatz:

ICMP hat keine Ports,
sondern Typ und Code.

ICMP-Typ und ICMP-Code

ICMP-Nachrichten werden durch Typ und Code genauer beschrieben.

Der Typ sagt grob, welche Art von Nachricht es ist.

Der Code beschreibt die Nachricht genauer.

Beispiel:

ICMP-Nachricht Bedeutung
Echo Request Anfrage bei Ping
Echo Reply Antwort bei Ping
Destination Unreachable Ziel nicht erreichbar
Time Exceeded Zeit / TTL abgelaufen

Für AP1/AP2 reicht meistens:

ICMP nutzt Typ und Code,
nicht TCP- oder UDP-Ports.

Merksatz:

Typ = Art der ICMP-Nachricht.
Code = genauere Ursache.

Ping

Ping ist ein Werkzeug zur Prüfung der IP-Erreichbarkeit.

Ping verwendet klassisch ICMP Echo Request und ICMP Echo Reply.

Vereinfacht:

Echo Request:
Bist du erreichbar?

Echo Reply:
Ja, ich bin erreichbar.

Wenn eine Antwort kommt, weiß man:

Das Ziel ist grundsätzlich per IP erreichbar.
Der Rückweg funktioniert ebenfalls.
ICMP wird nicht blockiert.

Merksatz:

Ping prüft grundlegende IP-Erreichbarkeit.

Ping-Ablauf

Beispiel:

PC pingt 192.168.10.1

Vereinfacht passiert:

1. PC erstellt ICMP Echo Request.
2. ICMP wird in ein IP-Paket verpackt.
3. IP-Paket wird lokal als Ethernet-Frame gesendet.
4. Zielgerät empfängt die Anfrage.
5. Zielgerät sendet ICMP Echo Reply zurück.
6. PC misst Antwortzeit und Paketverlust.

Merksatz:

Ping sendet ICMP-Anfrage und erwartet ICMP-Antwort.

Was Ping anzeigen kann

Ping kann zeigen:

- Ziel antwortet oder antwortet nicht
- ungefähre Antwortzeit
- Paketverlust
- Namensauflösung, wenn ein Name verwendet wird
- ob grundsätzlich IP-Kommunikation möglich ist

Beispiel:

ping 192.168.10.1

prüft direkt eine IP-Adresse.

Beispiel:

ping www.example.com

prüft zusätzlich, ob der Name aufgelöst werden kann.

Merksatz:

Ping auf IP prüft IP-Erreichbarkeit.
Ping auf Name prüft zusätzlich DNS-Auflösung.

Was Ping nicht sicher beweist

Ein erfolgreicher Ping bedeutet nicht automatisch:

Webseite funktioniert.
TCP-Port ist offen.
Anwendung läuft.
Benutzer kann sich anmelden.
Firewall erlaubt alle Dienste.
DNS ist vollständig korrekt.
Netzwerk ist fehlerfrei.

Ping prüft nur eine bestimmte Art von Erreichbarkeit.

Ein Gerät kann Ping beantworten, aber trotzdem keinen Webdienst bereitstellen.

Merksatz:

Ping erreichbar heißt nicht:
Anwendung funktioniert.

Wenn Ping nicht funktioniert

Wenn Ping nicht funktioniert, kann das viele Ursachen haben.

Mögliche Ursachen:

- Zielgerät ausgeschaltet
- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Gateway
- fehlende Route
- Firewall blockiert ICMP
- ICMP am Ziel deaktiviert
- VLAN-Problem
- ARP-Problem
- Schicht-1-Problem
- Schicht-2-Problem

Wichtig:

Kein Ping bedeutet nicht automatisch,
dass das Ziel komplett unerreichbar ist.

Merksatz:

Ping-Fehler ist ein Hinweis,
aber noch keine eindeutige Ursache.

Ping und Firewall

Firewalls können ICMP blockieren.

Das bedeutet:

Ein Ziel kann erreichbar sein,
aber auf Ping nicht antworten.

Beispiel:

HTTPS funktioniert.
Ping funktioniert nicht.

Mögliche Erklärung:

TCP 443 ist erlaubt,
ICMP Echo ist blockiert.

Merksatz:

Geblockter Ping bedeutet nicht automatisch:
Ziel ist offline.

Ping und DNS unterscheiden

Wenn man einen Namen pingt, wird zuerst DNS benötigt.

Beispiel:

ping www.example.com

Vor dem eigentlichen Ping muss das System herausfinden:

Welche IP-Adresse gehört zu www.example.com?

Wenn DNS nicht funktioniert, kann der Ping auf den Namen scheitern.

Ein Ping auf die IP-Adresse kann trotzdem funktionieren.

Merksatz:

Ping auf Namen prüft auch DNS.
Ping auf IP prüft DNS nicht.

Beispiel: DNS oder Routing?

Fehlerbild:

ping 8.8.8.8 funktioniert.
ping www.example.com funktioniert nicht.

Wahrscheinliche Ursache:

DNS-Problem

Warum?

Die IP-Kommunikation ins Internet funktioniert grundsätzlich.
Aber der Name kann nicht aufgelöst werden.

Merksatz:

IP funktioniert,
Name nicht:
DNS prüfen.

Beispiel: Gateway prüfen

Ein sinnvoller erster Ping-Test im LAN ist oft das Standard-Gateway.

Beispiel:

Client:
192.168.10.20/24

Gateway:
192.168.10.1

Test:

ping 192.168.10.1

Wenn das Gateway nicht erreichbar ist, prüft man:

- IP-Adresse des Clients
- Subnetzmaske
- Gateway-Adresse
- VLAN
- ARP
- Switch-Port
- Link

Merksatz:

Gateway-Ping prüft die lokale Verbindung zum Router.

Beispiel: Internet-IP prüfen

Nach dem Gateway kann man eine externe IP-Adresse testen.

Beispiel:

ping 8.8.8.8

Wenn Gateway erreichbar ist, aber externe IP nicht, prüft man:

- Default Route
- Router
- Firewall
- NAT
- Provider-Verbindung
- Rückroute
- Internetanschluss

Merksatz:

Externe IP prüft Routing Richtung Internet,
aber nicht DNS.

Beispiel: Namen prüfen

Danach kann man einen Namen testen.

Beispiel:

ping www.example.com

Wenn externe IP erreichbar ist, aber Name nicht, prüft man:

- DNS-Server
- DNS-Konfiguration
- DNS-Erreichbarkeit
- Firewall-Regeln für DNS
- falsche Suchdomäne
- lokale Hosts-Datei

Merksatz:

Name funktioniert nicht:
DNS prüfen.

Ping-Reihenfolge bei Fehlersuche

Eine einfache Reihenfolge:

1. eigene IP-Konfiguration prüfen
2. eigenes Gateway pingen
3. anderes Gerät im gleichen Netz pingen
4. externe IP-Adresse pingen
5. DNS-Namen pingen
6. Dienst gezielt prüfen

Beispiel:

ping 192.168.10.1
ping 8.8.8.8
ping www.example.com

Merksatz:

Erst lokal,
dann extern,
dann Name.

Traceroute

Traceroute ist ein Werkzeug, um den Weg zu einem Ziel sichtbar zu machen.

Je nach Betriebssystem heißt der Befehl:

Windows:
tracert

Linux:
traceroute

Linux teilweise:
tracepath

macOS:
traceroute

Traceroute zeigt die Router auf dem Weg zum Ziel.

Merksatz:

Traceroute zeigt den Weg durch das IP-Netz.

Wofür nutzt man Traceroute?

Traceroute hilft bei Fragen wie:

Über welche Router läuft die Verbindung?
Wo stoppt die Verbindung?
Wie viele Hops gibt es?
Gibt es hohe Verzögerungen auf einem Abschnitt?
Gibt es Routing-Probleme?
Gibt es ungewöhnliche Wege?

Traceroute ist besonders hilfreich bei Problemen zwischen Netzen.

Merksatz:

Traceroute hilft bei der Routing-Fehlersuche.

Begriff: Hop

Ein Hop ist ein Schritt über einen Router.

Beispiel:

PC
→ Router 1
→ Router 2
→ Router 3
→ Ziel

Hier gibt es mehrere Hops.

Jeder Router auf dem Weg zählt als Hop.

Merksatz:

Hop = ein Router-Schritt auf dem Weg.

TTL

TTL steht für:

Time To Live

TTL ist ein Feld im IP-Paket.

Es begrenzt, wie lange ein Paket im Netz weitergeleitet werden darf.

Jeder Router verringert die TTL um 1.

Wenn TTL 0 erreicht, wird das Paket verworfen.

Merksatz:

TTL begrenzt die Lebensdauer eines IP-Pakets.

Warum ist TTL wichtig?

TTL verhindert, dass IP-Pakete endlos im Netz kreisen.

Das kann zum Beispiel bei einer Routing-Schleife passieren.

Ohne TTL könnten Pakete dauerhaft im Kreis laufen.

Mit TTL gilt:

Jeder Router verringert den Wert.
Bei 0 wird das Paket verworfen.

Merksatz:

TTL schützt vor endlosen Routing-Schleifen.

Traceroute und TTL

Traceroute nutzt das TTL-Verhalten aus.

Vereinfacht:

1. Erstes Paket wird mit TTL 1 gesendet.
2. Erster Router verringert TTL auf 0.
3. Erster Router verwirft das Paket.
4. Erster Router sendet eine ICMP-Time-Exceeded-Meldung zurück.
5. Traceroute kennt dadurch den ersten Router.

Dann:

Paket mit TTL 2
Paket mit TTL 3
Paket mit TTL 4

So wird Schritt für Schritt der Weg sichtbar.

Merksatz:

Traceroute findet Router,
indem TTL schrittweise erhöht wird.

ICMP Time Exceeded

Wenn TTL 0 erreicht, verwirft ein Router das Paket.

Oft sendet er dann eine ICMP-Meldung zurück.

Diese Meldung heißt:

Time Exceeded

Auf Deutsch sinngemäß:

Zeit überschritten

Traceroute nutzt diese Meldungen, um Router auf dem Weg zu erkennen.

Merksatz:

Time Exceeded zeigt:
TTL ist abgelaufen.

Traceroute-Ausgabe verstehen

Eine typische Traceroute-Ausgabe zeigt pro Zeile einen Hop.

Beispiel vereinfacht:

Hop Gerät Bedeutung
1 192.168.10.1 eigenes Gateway
2 Provider-Router erster Router beim Provider
3 weiterer Router Weg durchs Netz
4 Ziel Ziel erreicht

Zusätzlich werden Antwortzeiten angezeigt.

Merksatz:

Jede Zeile bei Traceroute zeigt meist einen Router-Hop.

Sterne in Traceroute

In Traceroute-Ausgaben sieht man manchmal Sterne.

Beispiel:

* * *

Das bedeutet häufig:

keine Antwort auf diese Messung

Mögliche Ursachen:

- Router antwortet nicht auf ICMP
- Firewall blockiert
- Paket wurde verworfen
- Antwortweg funktioniert nicht
- Router priorisiert solche Antworten niedrig

Wichtig:

Sterne bedeuten nicht automatisch,
dass dort ein echter Ausfall ist.

Merksatz:

Sterne bei Traceroute können Blockierung oder fehlende Antwort bedeuten.

Hohe Zeiten in Traceroute

Hohe Antwortzeiten bei einem Hop können auf Verzögerung hinweisen.

Aber Vorsicht:

Router priorisieren Weiterleitung oft höher als Antworten an Traceroute.

Das bedeutet:

Ein Hop kann langsam antworten,
aber normalen Datenverkehr trotzdem schnell weiterleiten.

Wichtig ist besonders:

Steigen die Zeiten ab einem Hop dauerhaft?
Oder ist nur ein einzelner Hop auffällig?

Merksatz:

Traceroute-Zeiten immer vorsichtig interpretieren.

Traceroute und Firewall

Firewalls können Traceroute beeinflussen.

Mögliche Effekte:

- einzelne Hops antworten nicht
- Ziel antwortet nicht
- ICMP wird blockiert
- UDP-Traceroute wird blockiert
- Pfad wirkt unvollständig

Trotzdem kann die Anwendung funktionieren.

Merksatz:

Traceroute kann durch Firewalls unvollständig aussehen.

Traceroute ist nicht immer symmetrisch

Traceroute zeigt normalerweise den Hinweg aus Sicht des Absenders.

Der Rückweg kann anders verlaufen.

Das nennt man:

asymmetrisches Routing

Bei Internetverbindungen ist das nicht ungewöhnlich.

Merksatz:

Traceroute zeigt meist nur den Hinweg,
nicht sicher den Rückweg.

Pathping

Unter Windows gibt es zusätzlich:

pathping

Pathping kombiniert Eigenschaften von Ping und Traceroute.

Es zeigt den Weg und misst Paketverluste über längere Zeit.

Typischer Nutzen:

Paketverlust auf bestimmten Wegabschnitten erkennen

Merksatz:

Pathping kombiniert Weganzeige und Verlustmessung.

MTR

Unter Linux und macOS wird häufig MTR genutzt.

MTR kombiniert ebenfalls Ping und Traceroute.

Es zeigt laufend:

- Hops
- Antwortzeiten
- Paketverluste
- Schwankungen

MTR ist besonders hilfreich bei instabilen Netzwerkproblemen.

Merksatz:

MTR = laufende Traceroute- und Ping-Analyse.

ICMP Destination Unreachable

Destination Unreachable bedeutet:

Ziel nicht erreichbar

Das kann verschiedene Gründe haben.

Beispiele:

- Zielnetz nicht erreichbar
- Zielhost nicht erreichbar
- Protokoll nicht erreichbar
- Port nicht erreichbar
- Fragmentierung nötig, aber nicht möglich

Für AP1/AP2 reicht meist:

ICMP kann melden,
dass ein Ziel oder Weg nicht erreichbar ist.

Merksatz:

Destination Unreachable = Ziel oder Weg nicht erreichbar.

Paket zu groß und MTU

ICMP kann auch helfen, MTU-Probleme zu melden.

Wenn ein Paket zu groß ist und nicht fragmentiert werden darf, kann eine ICMP-Meldung zurückkommen.

Das ist wichtig für:

Path MTU Discovery

Dabei wird herausgefunden, welche maximale Paketgröße auf dem Weg möglich ist.

Merksatz:

ICMP kann bei MTU-Problemen wichtige Hinweise liefern.

Path MTU Discovery

Path MTU Discovery versucht herauszufinden, wie groß Pakete auf dem gesamten Weg maximal sein dürfen.

Wenn ICMP-Meldungen blockiert werden, kann es zu schwer erkennbaren Problemen kommen.

Mögliche Symptome:

kleine Daten funktionieren
große Datenübertragungen hängen
Webseiten laden teilweise
VPN macht Probleme

Merksatz:

ICMP komplett zu blockieren kann MTU-Probleme verschleiern.

ICMPv4 und ICMPv6

IPv4 verwendet:

ICMPv4

IPv6 verwendet:

ICMPv6

ICMPv6 ist bei IPv6 besonders wichtig.

Warum?

IPv6 nutzt ICMPv6 unter anderem für Neighbor Discovery.

Wichtig:

ICMPv6 sollte nicht pauschal blockiert werden,
weil IPv6 sonst gestört werden kann.

Merksatz:

IPv6 braucht ICMPv6 für wichtige Grundfunktionen.

ICMP und Sicherheit

ICMP kann für Diagnose sehr nützlich sein.

Aber ICMP kann auch missbraucht werden.

Mögliche Risiken:

- Netzwerkerkundung
- Ping-Flood
- Informationsgewinn über erreichbare Systeme
- bestimmte Angriffsmuster

Deshalb blockieren oder begrenzen manche Firewalls ICMP.

Wichtig:

Nicht blind alles blockieren.
Sinnvoll filtern und begrenzen.

Merksatz:

ICMP ist nützlich,
sollte aber kontrolliert erlaubt werden.

Ping-Flood

Ein Ping-Flood ist ein Angriff oder Störungsszenario, bei dem sehr viele ICMP Echo Requests gesendet werden.

Ziel:

System oder Netzwerk überlasten

Schutzmaßnahmen:

- Rate Limiting
- Firewall-Regeln
- Monitoring
- DDoS-Schutz
- ICMP begrenzen

Merksatz:

Ping-Flood = viele ICMP-Anfragen zur Überlastung.

ICMP in der Fehlersuche

ICMP ist besonders hilfreich für:

- Erreichbarkeit prüfen
- Routing-Probleme erkennen
- TTL-Probleme verstehen
- Traceroute nutzen
- Paketverluste sehen
- Latenz messen
- MTU-Probleme erkennen

Aber:

ICMP-Ergebnisse müssen richtig interpretiert werden.

Merksatz:

ICMP ist Diagnosewerkzeug,
aber kein vollständiger Anwendungstest.

Systematische Prüfung mit Ping

Eine einfache Prüf-Reihenfolge:

1. eigene IP-Konfiguration prüfen
2. Loopback testen
3. eigene IP testen
4. Gateway testen
5. anderes Gerät im LAN testen
6. externe IP testen
7. DNS-Namen testen
8. Anwendung oder Dienst testen

Beispiele:

ping 127.0.0.1
ping eigene IP
ping Gateway
ping externe IP
ping DNS-Name

Merksatz:

Ping systematisch von nah nach fern einsetzen.

Loopback-Ping

Ein Ping auf die Loopback-Adresse prüft den lokalen IP-Stack.

IPv4-Loopback:

127.0.0.1

Beispiel:

ping 127.0.0.1

Wenn das funktioniert, arbeitet der lokale IP-Stack grundsätzlich.

Wenn es nicht funktioniert, liegt das Problem lokal am System.

Merksatz:

127.0.0.1 prüft das eigene System.

Eigene IP pingen

Nach dem Loopback kann man die eigene IP-Adresse testen.

Beispiel:

ping 192.168.10.20

Das prüft, ob die IP-Adresse am eigenen Adapter aktiv ist.

Wenn Loopback funktioniert, aber eigene IP nicht, prüft man:

- Netzwerkkarte
- IP-Konfiguration
- Adapterstatus
- Firewall
- Betriebssystem

Merksatz:

Eigene IP prüft lokale IP-Konfiguration am Adapter.

Gateway pingen

Danach prüft man das Standard-Gateway.

Beispiel:

ping 192.168.10.1

Wenn das Gateway nicht erreichbar ist, prüft man:

- Link
- VLAN
- ARP
- IP-Adresse
- Subnetzmaske
- Gateway-Adresse
- Switch-Port
- Router-Interface

Merksatz:

Gateway-Ping prüft lokale Netz- und Router-Erreichbarkeit.

Externe IP pingen

Wenn das Gateway erreichbar ist, kann man eine externe IP testen.

Beispiel:

ping 8.8.8.8

Wenn das nicht funktioniert, prüft man:

- Default Route
- NAT
- Firewall
- Provider
- Router
- Rückroute
- Internetverbindung

Merksatz:

Externe IP prüft Routing über das lokale Netz hinaus.

DNS-Namen pingen

Wenn externe IP funktioniert, aber ein Name nicht, liegt der Fehler häufig bei DNS.

Beispiel:

ping www.example.com

Mögliche Ursachen:

- falscher DNS-Server
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falsche Suchdomäne
- lokale Namensauflösung fehlerhaft

Merksatz:

IP erreichbar,
Name nicht:
DNS prüfen.

Ping und Anwendungstest unterscheiden

Ping zeigt nicht, ob ein bestimmter Dienst funktioniert.

Beispiel:

ping server funktioniert

Aber:

Webseite lädt nicht.

Mögliche Ursachen:

- Webserver läuft nicht
- TCP-Port 80 oder 443 blockiert
- Zertifikatsproblem
- DNS zeigt auf falsche IP
- Reverse Proxy falsch
- Anwendung abgestürzt

Merksatz:

Ping prüft Erreichbarkeit,
nicht den Dienst.

Einordnung in das OSI-Modell

Thema Schicht
Ethernet-Link 1
MAC-Adresse 2
VLAN 2
ARP 2 / 3-Bezug
IP-Adresse 3
Routing 3
ICMP 3
Ping 3
Traceroute 3
TTL 3
TCP-Port 4
DNS 7
HTTP / HTTPS 7

Merksatz:

Ping und Traceroute prüfen vor allem Schicht 3.

Was ICMP nicht macht

ICMP macht nicht:

- TCP-Verbindung aufbauen
- UDP-Datenstrom verwalten
- Webseiten ausliefern
- DNS-Namen auflösen
- Benutzer authentifizieren
- Dateien übertragen
- Verschlüsselung bereitstellen

ICMP ist hauptsächlich für Kontroll- und Diagnosemeldungen im IP-Netz zuständig.

Merksatz:

ICMP ist Kontrolle und Diagnose,
nicht Anwendungstransport.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was bedeutet ICMP?
- Wofür wird ICMP verwendet?
- Nutzt ICMP TCP- oder UDP-Ports?
- Was ist der Unterschied zwischen ICMP-Typ und Port?
- Was macht Ping?
- Was ist ein Echo Request?
- Was ist ein Echo Reply?
- Warum kann Ping blockiert sein?
- Was zeigt Traceroute?
- Was ist ein Hop?
- Was bedeutet TTL?
- Warum verhindert TTL endlose Routing-Schleifen?
- Wie nutzt Traceroute TTL?
- Was bedeutet Destination Unreachable?
- Warum ist ICMPv6 wichtig?

Typische Prüfungsfallen

ICMP ist nicht TCP.

ICMP ist nicht UDP.

ICMP nutzt keine TCP- oder UDP-Ports.

ICMP nutzt Typ und Code.

Ping nutzt typischerweise ICMP Echo Request und Echo Reply.

Ping-Erfolg bedeutet nicht,
dass eine Anwendung funktioniert.

Ping-Fehler bedeutet nicht automatisch,
dass ein Ziel offline ist.

Firewalls können ICMP blockieren.

Ping auf Namen prüft auch DNS.

Ping auf IP prüft DNS nicht.

Traceroute zeigt den Weg über Router.

TTL gehört zu IP auf Schicht 3.

TTL verhindert endloses Kreisen von IP-Paketen.

Sterne bei Traceroute bedeuten nicht automatisch Ausfall.

ICMPv6 ist für IPv6 besonders wichtig.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
ICMP Internet Control Message Protocol
ICMPv4 ICMP für IPv4
ICMPv6 ICMP für IPv6
Echo Request Ping-Anfrage
Echo Reply Ping-Antwort
Destination Unreachable Ziel oder Weg nicht erreichbar
Time Exceeded TTL abgelaufen
Typ Art der ICMP-Nachricht
Code genauere Beschreibung der ICMP-Nachricht
Ping Werkzeug zur Erreichbarkeitsprüfung
Traceroute Werkzeug zur Wegverfolgung
tracert Windows-Variante von Traceroute
Hop Router-Schritt auf dem Weg
TTL Time To Live, Lebensdauerbegrenzung für IP-Pakete
Pathping Windows-Werkzeug aus Ping und Traceroute
MTR laufende Ping- und Traceroute-Analyse
Path MTU Discovery Ermittlung der maximalen Paketgröße auf dem Weg
Ping-Flood Überlastung durch viele ICMP-Anfragen

IHK-sichere Kurzformulierung

ICMP steht für Internet Control Message Protocol und gehört zum IP-Umfeld auf OSI-Schicht 3. Es wird für Kontroll- und Fehlermeldungen in IP-Netzen verwendet und nutzt keine TCP- oder UDP-Ports, sondern Typen und Codes. Ping verwendet typischerweise ICMP Echo Request und Echo Reply, um die grundlegende IP-Erreichbarkeit eines Ziels zu prüfen. Traceroute zeigt den Weg zu einem Ziel über mehrere Router und nutzt dabei das TTL-Verhalten von IP-Paketen. Ein erfolgreicher Ping beweist nicht, dass ein bestimmter Dienst funktioniert, und ein fehlgeschlagener Ping bedeutet nicht automatisch, dass das Ziel offline ist, da ICMP durch Firewalls blockiert werden kann.

Merksätze

ICMP = Internet Control Message Protocol.

ICMP gehört zum IP-Umfeld.

ICMP wird meist Schicht 3 zugeordnet.

ICMP ist nicht TCP.

ICMP ist nicht UDP.

ICMP nutzt keine Ports.

ICMP nutzt Typ und Code.

Ping nutzt Echo Request und Echo Reply.

Ping prüft IP-Erreichbarkeit.

Ping auf IP prüft kein DNS.

Ping auf Namen prüft auch DNS.

Ping-Erfolg heißt nicht:
Anwendung funktioniert.

Ping-Fehler heißt nicht automatisch:
Ziel offline.

Firewall kann ICMP blockieren.

Traceroute zeigt Router-Hops.

Hop = Router-Schritt.

TTL = Time To Live.

Jeder Router verringert TTL.

TTL 0 = Paket wird verworfen.

TTL verhindert Routing-Endlosschleifen.

Traceroute nutzt TTL.

Time Exceeded = TTL abgelaufen.

Sterne bei Traceroute vorsichtig interpretieren.

ICMPv6 ist für IPv6 wichtig.

ICMP ist Diagnose,
kein Anwendungstest.

6.5 IPv6-Grundlagen

IPv6 steht für:

Internet Protocol Version 6

IPv6 wurde entwickelt, weil IPv4-Adressen knapp geworden sind und moderne Netzwerke mehr Adressen benötigen.

Der wichtigste Unterschied:

IPv4 hat 32 Bit.
IPv6 hat 128 Bit.

Merksatz:

IPv6 = IP-Adressierung auf Schicht 3 mit 128 Bit.

Warum gibt es IPv6?

IPv4 bietet ungefähr 4,3 Milliarden Adressen.

Das klingt viel, reicht aber für die heutige Anzahl an Geräten weltweit nicht mehr aus.

Gründe für IPv6:

- deutlich größerer Adressraum
- sehr viele Geräte weltweit
- weniger Abhängigkeit von NAT
- moderne Autokonfiguration
- bessere Unterstützung für große Netze
- feste Struktur für heutige Netzwerkanforderungen

Merksatz:

IPv6 löst vor allem das Adressmangelproblem von IPv4.

IPv4 und IPv6 im Vergleich

Merkmal IPv4 IPv6
Adresslänge 32 Bit 128 Bit
Schreibweise dezimal hexadezimal
Beispiel 192.168.10.20 2001:db8::10
Broadcast ja nein
Multicast ja ja
ARP ja nein
NDP nein ja
NAT häufig nötig ja normalerweise nicht notwendig

Merksatz:

IPv4 = 32 Bit.
IPv6 = 128 Bit.

IPv6-Adresse

Eine IPv6-Adresse besteht aus 128 Bit.

Sie wird hexadezimal geschrieben.

Beispiel:

2001:0db8:0000:0000:0000:0000:0000:0010

Eine IPv6-Adresse besteht aus 8 Blöcken.

Jeder Block hat 16 Bit.

8 Blöcke × 16 Bit ergeben:

128 Bit

Merksatz:

IPv6-Adresse = 8 Blöcke mit je 16 Bit.

Hexadezimale Schreibweise

IPv6 nutzt hexadezimale Zeichen.

Erlaubte Zeichen sind:

0 1 2 3 4 5 6 7 8 9
A B C D E F

Beispiel:

2001:db8:abcd:0012:0000:0000:0000:0001

Groß- und Kleinschreibung ist bei IPv6-Adressen nicht entscheidend.

Beispiel:

db8

und

DB8

meinen denselben Wert.

Merksatz:

IPv6 wird hexadezimal geschrieben.

Blöcke in IPv6

Eine vollständige IPv6-Adresse hat 8 Blöcke.

Beispiel:

2001:0db8:0000:0000:0000:0000:0000:0010

Die Blöcke sind:

Block Wert
1 2001
2 0db8
3 0000
4 0000
5 0000
6 0000
7 0000
8 0010

Merksatz:

IPv6 hat 8 hexadezimale Blöcke.

IPv6 kürzen

IPv6-Adressen können verkürzt geschrieben werden.

Regel 1:

Führende Nullen in einem Block dürfen weggelassen werden.

Beispiel:

0db8

wird zu:

db8

Beispiel:

0010

wird zu:

10

Merksatz:

Führende Nullen pro Block dürfen wegfallen.

Nullblöcke zusammenfassen

Mehrere aufeinanderfolgende Nullblöcke dürfen durch zwei Doppelpunkte ersetzt werden.

Das Zeichen dafür ist:

::

Beispiel vollständig:

2001:0db8:0000:0000:0000:0000:0000:0010

Gekürzt:

2001:db8::10

Merksatz:

:: ersetzt zusammenhängende Nullblöcke.

Wichtige Regel zu ::

Die Abkürzung mit zwei Doppelpunkten darf in einer IPv6-Adresse nur einmal verwendet werden.

Warum?

Sonst wäre nicht eindeutig,
wie viele Nullblöcke ersetzt wurden.

Richtig:

2001:db8::10

Falsch:

2001::db8::10

Merksatz:

:: darf pro IPv6-Adresse nur einmal vorkommen.

Beispiel: IPv6 richtig kürzen

Vollständig:

2001:0db8:0000:0000:0000:0000:0000:0001

Schritt 1: führende Nullen entfernen

2001:db8:0:0:0:0:0:1

Schritt 2: zusammenhängende Nullblöcke mit :: ersetzen

2001:db8::1

Merksatz:

Erst führende Nullen entfernen,
dann längste Nullfolge mit :: kürzen.

Beispiel: IPv6 ausschreiben

Gekürzt:

2001:db8::10

Ausschreiben auf 8 Blöcke:

2001:0db8:0000:0000:0000:0000:0000:0010

Warum?

Es müssen insgesamt 8 Blöcke entstehen.

Merksatz:

Beim Ausschreiben muss IPv6 wieder 8 Blöcke haben.

IPv6-Präfix

Wie bei IPv4 gibt es auch bei IPv6 eine Präfixlänge.

Beispiel:

2001:db8:1234:10::1/64

Das /64 bedeutet:

Die ersten 64 Bit gehören zum Netzanteil.

Der Rest gehört zum Interface-Anteil.

Merksatz:

IPv6 nutzt Präfixlängen wie IPv4.

Typisches IPv6-/64-Netz

In IPv6 ist /64 für viele lokale Netze besonders typisch.

Beispiel:

2001:db8:1234:10::/64

Ein Gerät in diesem Netz könnte zum Beispiel haben:

2001:db8:1234:10::20

Wichtig:

In normalen LANs ist /64 sehr häufig.

Merksatz:

IPv6-LANs nutzen häufig /64.

IPv6-Netzanteil und Interface-Anteil

Eine IPv6-Adresse besteht vereinfacht aus:

Netzanteil
und
Interface-Anteil

Beispiel:

2001:db8:1234:10::20/64

Netzanteil:

2001:db8:1234:10::/64

Interface-Anteil:

::20

Merksatz:

Präfix = Netz.
Interface-Anteil = Adresse des Geräts im Netz.

IPv6 hat keine klassische Broadcast-Adresse

IPv4 kennt Broadcasts.

IPv6 verwendet keinen Broadcast.

Stattdessen nutzt IPv6:

Multicast

Beispiele:

alle Router
alle Nodes
bestimmte Gruppen

Das ist effizienter als klassische Broadcasts.

Merksatz:

IPv6 hat keinen Broadcast,
sondern nutzt Multicast.

IPv6 und Multicast

Multicast bedeutet:

Nachricht an eine bestimmte Gruppe von Geräten.

IPv6 nutzt Multicast für viele grundlegende Funktionen.

Beispiel:

Router finden
Nachbarn finden
bestimmte Gerätegruppen ansprechen

IPv6-Multicast-Adressen beginnen mit:

ff

Beispiel:

ff02::1

steht für alle Nodes im lokalen Link.

Merksatz:

IPv6 nutzt Multicast für lokale Gruppenkommunikation.

fe80::

Beispiel:

fe80::1

Jede IPv6-fähige Schnittstelle hat normalerweise eine Link-Local-Adresse.

Wofür wird sie genutzt?

- lokale Kommunikation
- Neighbor Discovery
- Router Discovery
- Standard-Gateway bei IPv6

Merksatz:

Wichtig: Link-Local ist nicht routbar

Link-Local-Adressen gelten nur auf dem lokalen Link.

Sie werden nicht über Router hinweg weitergeleitet.

Beispiel:

fe80::1

kann auf mehreren Netzwerkabschnitten vorkommen.

Deshalb braucht man bei manchen Befehlen zusätzlich die Schnittstelle.

Beispiel sinngemäß:

fe80::1%eth0

Merksatz:

Global Unicast Address

Global Unicast Addresses sind weltweit eindeutige IPv6-Adressen.

Sie sind für die Kommunikation über Netzgrenzen hinweg gedacht.

Typischer Bereich:

2000::/3

Beispiel:

2001:db8:1234:10::20

Wichtig:

2001:db8::/32 ist ein Dokumentationsbereich und wird für Beispiele verwendet.

Merksatz:

Global Unicast = weltweit routbare IPv6-Adresse.

Unique Local Address

Unique Local Addresses sind private IPv6-Adressen für interne Netze.

Sie beginnen typischerweise mit:

fc00::/7

In der Praxis häufig:

fd00::/8

Beispiel:

fd12:3456:789a::1

Sie sind ungefähr vergleichbar mit privaten IPv4-Adressen, aber technisch nicht identisch.

Merksatz:

ULA = interne IPv6-Adresse.

IPv6-Adressarten im Überblick

Adressart Bereich / Beispiel Bedeutung
Link-Local fe80::/10 nur lokaler Link
Global Unicast 2000::/3 weltweit routbar
Unique Local fc00::/7 intern genutzt
Multicast ff00::/8 Gruppe von Empfängern
Loopback ::1 eigenes Gerät
Unspecified :: keine konkrete Adresse

Merksatz:

fe80 lokal.
2000 global.
fd intern.
ff Multicast.

IPv6-Loopback

Die IPv6-Loopback-Adresse lautet:

::1

Sie zeigt auf das eigene Gerät.

Vergleich:

Protokoll Loopback
IPv4 127.0.0.1
IPv6 ::1

Typischer Test:

ping ::1

Merksatz:

::1 = eigenes Gerät bei IPv6.

Unspecified Address

Die unspecified IPv6-Adresse lautet:

::

Sie bedeutet:

keine konkrete Adresse

Sie wird zum Beispiel verwendet, wenn ein Gerät noch keine eigene IPv6-Adresse hat.

Nicht verwechseln mit:

::1

Merksatz:

:: = keine Adresse.
::1 = Loopback.

NDP statt ARP

IPv4 verwendet ARP.

IPv6 verwendet kein ARP.

IPv6 nutzt stattdessen:

NDP

NDP steht für:

Neighbor Discovery Protocol

NDP übernimmt unter anderem:

- Nachbarn im lokalen Netz finden
- MAC-Adresse zu IPv6-Adresse ermitteln
- Router finden
- Adresskonflikte erkennen

Merksatz:

IPv6 nutzt NDP statt ARP.

NDP und ICMPv6

NDP basiert auf ICMPv6.

Das ist wichtig.

Wenn ICMPv6 zu stark blockiert wird, können grundlegende IPv6-Funktionen gestört werden.

Beispiele:

Router finden
Nachbarn finden
Adresskonflikte erkennen

Merksatz:

IPv6 braucht ICMPv6 für wichtige Grundfunktionen.

Neighbor Solicitation

Neighbor Solicitation ist eine NDP-Nachricht.

Sie ähnelt vom Zweck her einer ARP-Anfrage bei IPv4.

Aufgabe:

Zu einer IPv6-Adresse die passende Layer-2-Adresse finden.

Vereinfacht:

Wer hat diese IPv6-Adresse?

Merksatz:

Neighbor Solicitation sucht den Nachbarn.

Neighbor Advertisement

Neighbor Advertisement ist die Antwort auf eine Neighbor Solicitation.

Sie enthält Informationen über den Nachbarn.

Vereinfacht:

Diese IPv6-Adresse gehört zu dieser Schnittstelle.

Merksatz:

Neighbor Advertisement antwortet auf Neighbor Solicitation.

Router Solicitation

Router Solicitation ist eine Anfrage eines Clients an Router im lokalen Netz.

Vereinfacht:

Gibt es hier einen Router?

Damit kann ein Gerät Routerinformationen anfordern.

Merksatz:

Router Solicitation fragt nach Routern im lokalen Netz.

Router Advertisement

Router Advertisement ist eine Nachricht eines Routers an Clients.

Sie enthält wichtige Informationen, zum Beispiel:

- Präfix
- Router-Information
- Autokonfiguration
- Hinweise zu DNS oder DHCPv6 je nach Umgebung

Router Advertisements sind wichtig für IPv6-Autokonfiguration.

Merksatz:

Router Advertisement liefert IPv6-Netzinformationen.

SLAAC

SLAAC steht für:

Stateless Address Autoconfiguration

Mit SLAAC kann ein IPv6-Gerät selbstständig eine Adresse bilden.

Dazu nutzt es Informationen aus Router Advertisements.

Vereinfacht:

Router teilt das Präfix mit.
Client bildet daraus seine IPv6-Adresse.

Merksatz:

SLAAC = automatische IPv6-Adresse ohne klassischen DHCP-Adressserver.

DHCPv6

DHCPv6 ist die IPv6-Variante von DHCP.

Es kann IPv6-Konfigurationsinformationen bereitstellen.

Je nach Netzwerk kann DHCPv6 genutzt werden für:

- IPv6-Adressen
- DNS-Server
- weitere Optionen

Wichtig:

IPv6 kann SLAAC,
DHCPv6
oder eine Kombination nutzen.

Merksatz:

DHCPv6 ergänzt oder übernimmt IPv6-Konfiguration.

SLAAC und DHCPv6 unterscheiden

Verfahren Grundidee
SLAAC Client bildet Adresse selbst anhand Router Advertisement
DHCPv6 Server liefert Konfigurationsinformationen
SLAAC + DHCPv6 Kombination aus automatischer Adresse und Zusatzinfos

Merksatz:

SLAAC kommt vom Router Advertisement.
DHCPv6 kommt vom DHCPv6-Server.

IPv6 und Standard-Gateway

Bei IPv6 wird das Standard-Gateway häufig über Router Advertisements gelernt.

Interessant:

Das Gateway ist oft eine Link-Local-Adresse.

Beispiel:

Gateway:
fe80::1

Das ist normal, weil das Gateway nur auf dem lokalen Link erreichbar sein muss.

Merksatz:

IPv6-Gateway ist häufig eine Link-Local-Adresse.

IPv6 und NAT

Bei IPv4 wird NAT sehr häufig verwendet, weil öffentliche IPv4-Adressen knapp sind.

Bei IPv6 ist NAT normalerweise nicht notwendig.

Warum?

IPv6 hat einen sehr großen Adressraum.

Das bedeutet nicht:

alles ist automatisch ungeschützt.

Sicherheit erfolgt weiterhin über:

- Firewall-Regeln
- Netztrennung
- Zugriffskontrolle
- saubere Adressplanung

Merksatz:

IPv6 braucht normalerweise kein NAT,
aber trotzdem Firewall-Schutz.

IPv6 und Firewall

IPv6-Adressen können global erreichbar sein.

Deshalb ist eine Firewall besonders wichtig.

Wichtige Regel:

Nicht auf NAT als Schutz verlassen.

Bei IPv6 sollte man gezielt regeln:

- welche eingehenden Verbindungen erlaubt sind
- welche ausgehenden Verbindungen erlaubt sind
- welche Netze miteinander sprechen dürfen
- welche ICMPv6-Typen nötig sind

Merksatz:

IPv6-Sicherheit bedeutet Firewall-Regeln,
nicht NAT-Versteck.

IPv6 und DNS

DNS kann auch IPv6-Adressen auflösen.

Dafür gibt es sogenannte AAAA-Records.

Vergleich:

DNS-Record Bedeutung
A Name zu IPv4-Adresse
AAAA Name zu IPv6-Adresse

Beispiel:

www.example.com
→ IPv6-Adresse über AAAA-Record

Merksatz:

A = IPv4.
AAAA = IPv6.

Dual Stack

Dual Stack bedeutet:

IPv4 und IPv6 laufen gleichzeitig.

Ein Gerät kann dann beide Protokolle nutzen.

Beispiel:

IPv4-Adresse:
192.168.10.20

IPv6-Adresse:
2001:db8:1234:10::20

Vorteil:

IPv4-Kompatibilität bleibt erhalten.
IPv6 kann zusätzlich genutzt werden.

Merksatz:

Dual Stack = IPv4 und IPv6 gleichzeitig.

IPv6-only

IPv6-only bedeutet:

Ein Netzwerk arbeitet nur mit IPv6.

IPv4 wird dabei nicht direkt verwendet.

Damit IPv4-Dienste trotzdem erreichbar sein können, braucht man Übergangstechniken.

Beispiele:

NAT64
DNS64

Für AP1/AP2 reicht meistens:

IPv6-only braucht Mechanismen,
wenn IPv4-Ziele erreicht werden sollen.

Merksatz:

IPv6-only = nur IPv6,
IPv4 nur über Übergangstechniken.

Dual Stack und Namensauflösung

Wenn ein Name sowohl IPv4 als auch IPv6 hat, kann ein Client beide Adressen erhalten.

Beispiel:

A-Record:
IPv4-Adresse

AAAA-Record:
IPv6-Adresse

Viele Systeme bevorzugen IPv6, wenn es funktioniert.

Wenn IPv6 falsch konfiguriert ist, kann das zu schwer erkennbaren Verbindungsproblemen führen.

Merksatz:

Bei Dual Stack immer IPv4 und IPv6 prüfen.

IPv6 in der Fehlersuche

Typische Prüffragen:

Hat das Gerät eine IPv6-Adresse?
Hat es eine Link-Local-Adresse?
Gibt es ein passendes Präfix?
Gibt es ein Gateway?
Kommen Router Advertisements an?
Funktioniert DNS mit AAAA-Records?
Wird ICMPv6 blockiert?
Gibt es Firewall-Regeln für IPv6?
Funktioniert IPv4, aber IPv6 nicht?

Merksatz:

IPv6-Fehlersuche braucht Adressen, RA, NDP, DNS und Firewall.

Typische IPv6-Fehler

Typische Fehler sind:

- keine globale IPv6-Adresse
- nur Link-Local-Adresse vorhanden
- Router Advertisements fehlen
- ICMPv6 wird blockiert
- falsches Präfix
- falsche Firewall-Regeln
- DNS liefert IPv6, aber IPv6 funktioniert nicht
- DHCPv6 falsch konfiguriert
- Gateway nicht erreichbar
- NDP-Probleme

Merksatz:

Viele IPv6-Probleme entstehen durch RA-, NDP-, DNS- oder Firewall-Fehler.

IPv6-Befehle und Tests

Je nach Betriebssystem gibt es unterschiedliche Befehle.

Typische Prüfungen:

IPv6-Adresse anzeigen
Gateway prüfen
Nachbarn anzeigen
DNS-Auflösung prüfen
Ping auf IPv6-Adresse
Ping auf ::1
Traceroute mit IPv6
Firewall-Regeln prüfen

Beispiele:

ping ::1

ping 2001:db8::1

Wichtig:

Beispieladressen aus 2001:db8::/32 sind nur für Dokumentation gedacht.

Merksatz:

Bei IPv6 gezielt IPv6-Adressen und IPv6-DNS prüfen.

IPv6 und private Adressen nicht verwechseln

Bei IPv4 sind private Adressen sehr bekannt:

192.168.0.0/16
10.0.0.0/8
172.16.0.0/12

Bei IPv6 gibt es Unique Local Addresses:

fc00::/7

häufig praktisch:

fd00::/8

Aber:

IPv6 ist nicht einfach IPv4 mit längeren Adressen.

Merksatz:

IPv6 hat eigene Adresstypen und eigene Mechanismen.

IPv6 und Broadcast nicht verwechseln

IPv4 nutzt Broadcast.

IPv6 nutzt keinen Broadcast.

IPv6 verwendet stattdessen:

Multicast

Prüfungsfalle:

Eine IPv6-Broadcast-Adresse gibt es nicht wie bei IPv4.

Merksatz:

IPv6 hat keinen Broadcast.

Einordnung in das OSI-Modell

Thema Schicht
MAC-Adresse 2
Ethernet-Frame 2
IPv6-Adresse 3
IPv6-Paket 3
NDP 3 mit Schicht-2-Bezug
ICMPv6 3
Router Advertisement 3
SLAAC 3
DHCPv6 Anwendungsschicht mit Netzwerkbezug
TCP-Port 4
DNS AAAA 7

Merksatz:

IPv6 = Schicht 3.
NDP verbindet IPv6 mit lokaler Zustellung.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Wie viele Bit hat eine IPv6-Adresse?
- Wie wird eine IPv6-Adresse geschrieben?
- Wie kann man IPv6-Adressen kürzen?
- Wie oft darf :: in einer IPv6-Adresse vorkommen?
- Was bedeutet /64 bei IPv6?
- Was ist eine Link-Local-Adresse?
- Was ist eine Global Unicast Address?
- Was ist eine Unique Local Address?
- Warum nutzt IPv6 kein ARP?
- Was ist NDP?
- Warum ist ICMPv6 wichtig?
- Was ist SLAAC?
- Was ist ein Router Advertisement?
- Was ist Dual Stack?
- Warum braucht IPv6 normalerweise kein NAT?
- Was ist ein AAAA-Record?

Typische Prüfungsfallen

IPv6 hat 128 Bit.

IPv4 hat 32 Bit.

IPv6 wird hexadezimal geschrieben.

IPv6 hat 8 Blöcke.

Führende Nullen dürfen weggelassen werden.

:: darf nur einmal verwendet werden.

IPv6-LANs nutzen häufig /64.

fe80::/10 ist Link-Local.

Link-Local ist nicht routbar.

::1 ist Loopback.

:: ist keine konkrete Adresse.

IPv6 hat keinen Broadcast.

IPv6 nutzt Multicast.

IPv6 nutzt kein ARP.

IPv6 nutzt NDP.

NDP basiert auf ICMPv6.

ICMPv6 nicht pauschal blockieren.

A-Record = IPv4.

AAAA-Record = IPv6.

Dual Stack = IPv4 und IPv6 gleichzeitig.

IPv6 braucht normalerweise kein NAT,
aber trotzdem Firewall-Regeln.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
IPv6 Internet Protocol Version 6
IPv6-Adresse 128-Bit-Adresse auf Schicht 3
Hexadezimal Zahlensystem mit 0–9 und A–F
Präfix Netzanteil einer IPv6-Adresse
/64 häufiges IPv6-LAN-Präfix
Interface-Anteil gerätespezifischer Teil der IPv6-Adresse
Link-Local nur lokaler Netzwerkabschnitt
Global Unicast weltweit routbare IPv6-Adresse
Unique Local Address interne IPv6-Adresse
Multicast Nachricht an eine Gruppe
Loopback Adresse des eigenen Geräts
::1 IPv6-Loopback
:: unspecified address
NDP Neighbor Discovery Protocol
ICMPv6 ICMP für IPv6
Neighbor Solicitation Nachbar-Anfrage
Neighbor Advertisement Nachbar-Antwort
Router Solicitation Router-Anfrage
Router Advertisement Router-Information
SLAAC automatische IPv6-Adressbildung
DHCPv6 DHCP für IPv6
Dual Stack IPv4 und IPv6 gleichzeitig
AAAA-Record DNS-Record für IPv6

IHK-sichere Kurzformulierung

IPv6 ist die Version 6 des Internet Protocols und gehört zu OSI-Schicht 3. Eine IPv6-Adresse ist 128 Bit lang und wird hexadezimal in acht Blöcken dargestellt. Führende Nullen können weggelassen werden, und eine zusammenhängende Folge von Nullblöcken darf einmalig mit :: abgekürzt werden. IPv6 verwendet keinen Broadcast und kein ARP, sondern Multicast und das Neighbor Discovery Protocol. NDP basiert auf ICMPv6 und ist für grundlegende Funktionen wie Nachbarerkennung, Router Discovery und Autokonfiguration wichtig. In lokalen IPv6-Netzen ist /64 häufig, und Link-Local-Adressen aus fe80::/10 werden für lokale Kommunikation verwendet.

Merksätze

IPv6 = Internet Protocol Version 6.

IPv6 gehört zu Schicht 3.

IPv6 hat 128 Bit.

IPv4 hat 32 Bit.

IPv6 wird hexadezimal geschrieben.

IPv6 hat 8 Blöcke.

Führende Nullen dürfen wegfallen.

:: ersetzt Nullblöcke.

:: darf nur einmal vorkommen.

/64 ist typisch im IPv6-LAN.

fe80::/10 = Link-Local.

Link-Local ist nicht routbar.

2000::/3 = Global Unicast.

fc00::/7 = Unique Local.

ff00::/8 = Multicast.

::1 = Loopback.

:: = unspecified.

IPv6 hat keinen Broadcast.

IPv6 nutzt Multicast.

IPv6 nutzt kein ARP.

IPv6 nutzt NDP.

NDP basiert auf ICMPv6.

ICMPv6 ist für IPv6 wichtig.

SLAAC = automatische IPv6-Adresse.

Router Advertisement liefert Netzinfos.

A-Record = IPv4.

AAAA-Record = IPv6.

Dual Stack = IPv4 und IPv6 gleichzeitig.

IPv6 braucht normalerweise kein NAT.

IPv6 braucht trotzdem Firewall-Regeln.

6.6 NAT, PAT und private IP-Adressen

NAT gehört zum Umfeld von OSI-Schicht 3.

NAT steht für:

Network Address Translation

Auf Deutsch sinngemäß:

Netzwerkadressübersetzung

NAT wird verwendet, um IP-Adressen beim Übergang zwischen Netzwerken zu ändern.

Typisches Beispiel:

Ein privates Heim- oder Firmennetz nutzt interne IPv4-Adressen.
Beim Zugriff ins Internet werden diese in eine öffentliche IPv4-Adresse übersetzt.

Merksatz:

NAT = Übersetzung von IP-Adressen.

Warum braucht man NAT?

IPv4-Adressen sind knapp.

Deshalb verwenden viele lokale Netzwerke private IPv4-Adressen.

Private IPv4-Adressen sind im öffentlichen Internet nicht direkt erreichbar.

Damit Geräte mit privaten Adressen trotzdem ins Internet können, wird NAT verwendet.

Beispiel:

PC intern:
192.168.10.20

öffentliche Adresse des Routers:
93.184.100.10

Nach außen sieht die Verbindung so aus, als käme sie von der öffentlichen Adresse des Routers.

Merksatz:

NAT ermöglicht Internetzugang für private IPv4-Adressen.

Private IPv4-Adressen

Private IPv4-Adressen sind für interne Netzwerke reserviert.

Wichtige private Bereiche:

Bereich CIDR
10.0.0.0 – 10.255.255.255 10.0.0.0/8
172.16.0.0 – 172.31.255.255 172.16.0.0/12
192.168.0.0 – 192.168.255.255 192.168.0.0/16

Diese Adressen werden im Internet nicht direkt geroutet.

Merksatz:

Private IPv4-Adressen sind für interne Netze gedacht.

Öffentliche IPv4-Adressen

Öffentliche IPv4-Adressen sind im Internet eindeutig erreichbar und routbar.

Sie werden zum Beispiel verwendet für:

- Internetanschlüsse
- Webserver
- Mailserver
- öffentliche DNS-Server
- Cloud-Systeme
- VPN-Gateways

Ein Gerät mit privater IPv4-Adresse braucht für direkte Internetkommunikation normalerweise NAT über ein Gerät mit öffentlicher Adresse.

Merksatz:

Öffentliche IPv4-Adressen sind im Internet routbar.

Private und öffentliche IP-Adressen unterscheiden

Merkmal private IPv4-Adresse öffentliche IPv4-Adresse
Einsatz internes Netz Internet
direkt im Internet routbar nein ja
Beispiel 192.168.10.20 93.184.216.34
häufig mit NAT ja nein
weltweit eindeutig nur im eigenen Netz ja

Merksatz:

Privat = intern.
Öffentlich = im Internet routbar.

Grundprinzip von NAT

Ein internes Gerät sendet ein Paket ins Internet.

Beispiel:

Quell-IP intern:
192.168.10.20

Ziel-IP:
8.8.8.8

Der Router übersetzt die Quell-IP.

Nach außen sieht das Paket zum Beispiel so aus:

Quell-IP öffentlich:
93.184.100.10

Ziel-IP:
8.8.8.8

Die Antwort aus dem Internet geht zurück an die öffentliche IP des Routers.

Der Router ordnet die Antwort wieder dem internen Gerät zu.

Merksatz:

NAT ersetzt private Adressen durch öffentliche Adressen.

NAT-Tabelle

Ein NAT-Gerät merkt sich, welche interne Verbindung zu welcher externen Verbindung gehört.

Dafür nutzt es eine NAT-Tabelle.

Vereinfacht:

Intern Extern
192.168.10.20 93.184.100.10
192.168.10.30 93.184.100.10

Bei PAT kommen zusätzlich Ports dazu.

Merksatz:

NAT-Tabelle merkt sich Übersetzungen.

PAT

PAT steht für:

Port Address Translation

PAT ist eine besondere Form von NAT.

Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse.

Die Unterscheidung erfolgt über Port-Zuordnungen.

Typisches Heimnetz:

viele interne Geräte
eine öffentliche IPv4-Adresse

Merksatz:

PAT = viele interne Geräte über eine öffentliche IP mit Port-Zuordnung.

Warum braucht man PAT?

Ohne PAT könnte ein Router bei vielen internen Geräten schwer unterscheiden, zu welchem Gerät eine Antwort gehört.

PAT nutzt deshalb zusätzlich Ports.

Beispiel:

Internes Gerät interner Port öffentliche IP externer Port
192.168.10.20 51520 93.184.100.10 40001
192.168.10.30 51520 93.184.100.10 40002
192.168.10.40 51520 93.184.100.10 40003

Nach außen nutzen alle dieselbe öffentliche IP.

Die Ports unterscheiden die Verbindungen.

Merksatz:

PAT unterscheidet Verbindungen über Ports.

NAT und PAT im Vergleich

Begriff Bedeutung Typischer Einsatz
NAT Übersetzung von IP-Adressen private IP zu öffentlicher IP
PAT Übersetzung mit Port-Zuordnung viele Geräte teilen eine öffentliche IP

In der Praxis meint man mit „NAT im Heimrouter“ oft PAT.

Merksatz:

NAT übersetzt Adressen.
PAT nutzt zusätzlich Ports.

Source NAT

Source NAT verändert die Quelladresse eines Pakets.

Typischer Fall:

internes Gerät → Internet

Beispiel vorher:

Quell-IP:
192.168.10.20

Nach NAT:

Quell-IP:
93.184.100.10

Ziel:

Das Paket kann mit einer öffentlichen Adresse ins Internet gesendet werden.

Merksatz:

Source NAT verändert die Quell-IP.

Destination NAT

Destination NAT verändert die Zieladresse eines Pakets.

Typischer Fall:

Zugriff von außen auf internen Server

Beispiel:

öffentlich:
93.184.100.10:443

wird weitergeleitet an:

intern:
192.168.10.50:443

Das wird häufig bei Portweiterleitungen verwendet.

Merksatz:

Destination NAT verändert die Ziel-IP.

Portweiterleitung

Portweiterleitung bedeutet:

Ein bestimmter Port an der öffentlichen IP wird an ein internes Gerät weitergeleitet.

Beispiel:

öffentliche IP:
93.184.100.10

öffentlicher Port:
443

interner Server:
192.168.10.50

interner Port:
443

Anfragen von außen an 93.184.100.10:443 werden zum internen Server weitergeleitet.

Merksatz:

Portweiterleitung macht einen internen Dienst von außen erreichbar.

Portweiterleitung und Sicherheit

Portweiterleitungen müssen vorsichtig geplant werden.

Warum?

Ein interner Dienst wird von außen erreichbar.

Mögliche Risiken:

- Angriffe aus dem Internet
- unsichere Dienste
- schwache Passwörter
- veraltete Software
- falsche Firewall-Regeln
- versehentlich freigegebene Systeme

Sinnvolle Schutzmaßnahmen:

- nur notwendige Ports freigeben
- Dienste aktuell halten
- starke Authentifizierung nutzen
- Firewall-Regeln einschränken
- VPN bevorzugen
- Logs und Monitoring prüfen

Merksatz:

Jeder freigegebene Port ist eine Angriffsfläche.

NAT und Firewall unterscheiden

NAT und Firewall werden oft verwechselt.

NAT macht:

Adressen übersetzen.

Firewall macht:

Verkehr erlauben oder blockieren.

Beide Funktionen können im gleichen Gerät sitzen.

Beispiel:

Ein Internet-Router macht NAT
und
filtert gleichzeitig eingehende Verbindungen.

Merksatz:

NAT ist Übersetzung.
Firewall ist Filterung.

NAT und Routing unterscheiden

Routing entscheidet:

Wohin wird ein Paket weitergeleitet?

NAT verändert:

Welche IP-Adresse im Paket steht?

Beispiel:

Routing:
Paket wird Richtung Internet geschickt.

NAT:
private Quell-IP wird zur öffentlichen Quell-IP.

Merksatz:

Routing findet den Weg.
NAT ändert Adressen.

NAT und Schichtenmodell

NAT wird meistens Schicht 3 zugeordnet, weil IP-Adressen verändert werden.

PAT hat zusätzlich Bezug zu Schicht 4, weil Ports verwendet werden.

Technik Bezug
NAT Schicht 3
PAT Schicht 3 mit Schicht-4-Bezug
Firewall nach IP Schicht 3
Firewall nach TCP-/UDP-Port Schicht 4
Anwendungsschutz Schicht 7

Merksatz:

NAT = Schicht 3.
PAT = Schicht 3 mit Ports aus Schicht 4.

Beispiel: Heimnetz mit PAT

Ein Heimnetz hat mehrere Geräte:

Gerät private IP
Notebook 192.168.0.10
Smartphone 192.168.0.20
Smart-TV 192.168.0.30
NAS 192.168.0.40

Der Router hat nach außen eine öffentliche IPv4-Adresse:

93.184.100.10

Alle Geräte gehen über diese eine öffentliche Adresse ins Internet.

Der Router unterscheidet die Verbindungen über PAT.

Merksatz:

PAT ist typisch für Heimrouter und kleine Firmennetze.

Beispiel: Zugriff von innen nach außen

Ein PC öffnet eine Webseite.

Intern:

PC:
192.168.10.20

Ziel:
93.184.216.34:443

Am Router passiert:

Quell-IP wird übersetzt.
Quell-Port wird zugeordnet.
Verbindung wird in NAT-Tabelle gespeichert.

Nach außen:

öffentliche IP des Routers
mit einem zugeordneten Port

Antworten kommen zurück zum Router.

Der Router ordnet sie dem PC zu.

Merksatz:

Von innen nach außen funktioniert NAT meist automatisch.

Beispiel: Zugriff von außen nach innen

Ein externer Client möchte auf einen internen Server zugreifen.

Problem:

Der interne Server hat eine private IP-Adresse.
Diese ist aus dem Internet nicht direkt erreichbar.

Lösung:

Portweiterleitung oder VPN.

Beispiel Portweiterleitung:

Extern:
93.184.100.10:443

Intern:
192.168.10.50:443

Merksatz:

Von außen nach innen braucht man gezielte Freigabe oder VPN.

Statisches NAT

Statisches NAT bedeutet:

Eine interne IP-Adresse wird fest einer externen IP-Adresse zugeordnet.

Beispiel:

intern:
192.168.10.50

extern:
93.184.100.50

Diese Zuordnung bleibt gleich.

Typischer Einsatz:

Server,
die dauerhaft von außen erreichbar sein sollen.

Merksatz:

Statisches NAT = feste 1:1-Adressübersetzung.

Dynamisches NAT

Dynamisches NAT bedeutet:

Interne Geräte bekommen bei Bedarf eine externe Adresse aus einem Pool.

Beispiel:

interner Adressbereich:
192.168.10.0/24

öffentlicher Pool:
93.184.100.10 bis 93.184.100.20

Die Zuordnung kann sich ändern.

Merksatz:

Dynamisches NAT nutzt einen Adresspool.

NAT Overload

NAT Overload ist ein anderer Begriff für PAT.

Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse.

Die Unterscheidung erfolgt über Ports.

Typischer Einsatz:

Internetzugang für viele Clients über eine öffentliche IPv4-Adresse.

Merksatz:

NAT Overload = PAT.

CGNAT

CGNAT steht für:

Carrier-Grade NAT

Dabei verwendet der Internetanbieter selbst NAT.

Das bedeutet:

Der Kunde bekommt keine eigene öffentliche IPv4-Adresse direkt am Router,
sondern eine Adresse hinter dem NAT des Providers.

Mögliche Folge:

Eingehende Verbindungen von außen sind schwer oder nicht direkt möglich.

Typische Probleme:

- Portweiterleitung funktioniert nicht wie erwartet
- eigener Server von außen nicht erreichbar
- VPN von außen schwieriger
- Online-Dienste können Einschränkungen haben

Merksatz:

CGNAT bedeutet:
NAT findet schon beim Provider statt.

CGNAT erkennen

Hinweise auf CGNAT:

WAN-IP am Router ist nicht die gleiche wie die öffentliche IP,
die Webseiten anzeigen.

Oder:

WAN-IP liegt in einem privaten oder speziellen Provider-NAT-Bereich.

Ein häufiger CGNAT-Bereich ist:

100.64.0.0/10

Wichtig:

CGNAT hängt vom Anbieter und Anschluss ab.

Merksatz:

Bei CGNAT hat der Router oft keine eigene echte öffentliche IPv4-Adresse.

100.64.0.0/10

Der Bereich:

100.64.0.0/10

wird häufig für Carrier-Grade NAT verwendet.

Er ist nicht normaler privater RFC1918-Bereich wie:

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

Er ist speziell für Provider-NAT vorgesehen.

Merksatz:

100.64.0.0/10 weist oft auf CGNAT hin.

NAT und Serverbetrieb

Wenn ein interner Server von außen erreichbar sein soll, müssen mehrere Dinge passen.

Prüfpunkte:

- öffentliche IP vorhanden?
- kein CGNAT?
- Portweiterleitung korrekt?
- Firewall-Regel erlaubt?
- Server hört auf richtigem Port?
- Ziel-IP intern korrekt?
- DNS zeigt auf richtige öffentliche IP?
- Zertifikat korrekt?
- Dienst sicher konfiguriert?

Merksatz:

Server hinter NAT braucht Portweiterleitung,
Firewall-Regel
und erreichbare öffentliche Adresse.

NAT und VPN

VPN kann helfen, interne Dienste sicher erreichbar zu machen.

Statt einzelne Ports ins Internet zu öffnen, baut man eine verschlüsselte Verbindung ins interne Netz auf.

Vorteile:

- weniger offene Ports
- Zugriff nur für berechtigte Benutzer
- bessere Kontrolle
- interne Dienste bleiben geschützt

Beispiele:

- Standort-VPN
- Remote-Access-VPN
- WireGuard
- IPsec
- OpenVPN

Merksatz:

VPN ist oft sicherer als viele Portweiterleitungen.

NAT und IPv6

Bei IPv6 ist NAT normalerweise nicht notwendig.

Warum?

IPv6 hat einen sehr großen Adressraum.

Geräte können global eindeutige IPv6-Adressen haben.

Aber:

Das bedeutet nicht,
dass sie ungeschützt sein sollen.

Statt NAT braucht man bei IPv6:

- Firewall-Regeln
- Netztrennung
- saubere Adressplanung
- Zugriffskontrolle

Merksatz:

IPv6 braucht normalerweise kein NAT,
aber trotzdem Firewall-Schutz.

NAT ist kein vollständiges Sicherheitskonzept

NAT wird manchmal als Sicherheitsfunktion verstanden.

Das ist nur teilweise richtig.

NAT verhindert oft unbeabsichtigte direkte eingehende Verbindungen, weil keine Zuordnung existiert.

Aber:

NAT ersetzt keine Firewall.
NAT prüft keine Anwendungssicherheit.
NAT erkennt keine Angriffe zuverlässig.
NAT schützt nicht vor unsicheren ausgehenden Verbindungen.

Merksatz:

NAT kann abschirmen,
ist aber keine vollständige Sicherheitslösung.

NAT und Protokollprobleme

Manche Protokolle kommen mit NAT schlechter zurecht.

Warum?

NAT verändert Adressen und manchmal Ports.

Probleme können entstehen bei:

- VoIP
- SIP
- bestimmten VPNs
- Peer-to-Peer-Anwendungen
- Spielen
- Protokollen mit IP-Adressen in den Nutzdaten

Mögliche Lösungen:

- spezielle NAT-Hilfsfunktionen
- STUN / TURN
- VPN
- Portweiterleitung
- Protokollanpassung

Merksatz:

NAT kann Protokolle stören,
wenn Adressen oder Ports wichtig sind.

Hairpin NAT

Hairpin NAT bedeutet:

Ein internes Gerät greift über die öffentliche Adresse auf einen internen Dienst zu.

Beispiel:

Internes Notebook öffnet:
https://meinedomain.de

DNS zeigt auf:

öffentliche IP des Routers

Der Dienst liegt aber intern auf:

192.168.10.50

Damit das funktioniert, muss der Router Hairpin NAT unterstützen.

Merksatz:

Hairpin NAT erlaubt internen Zugriff über die öffentliche Adresse auf interne Dienste.

Split DNS als Alternative

Split DNS bedeutet:

Interne Clients bekommen für einen Namen eine interne IP-Adresse.
Externe Clients bekommen für denselben Namen eine öffentliche IP-Adresse.

Beispiel:

intern:
wiki.firma.de → 192.168.10.50

extern:
wiki.firma.de → 93.184.100.10

Vorteil:

Interne Clients müssen nicht über Hairpin NAT gehen.

Merksatz:

Split DNS gibt intern und extern unterschiedliche Antworten.

NAT und Logs

Bei NAT ist Logging wichtig.

Warum?

Viele interne Geräte können nach außen dieselbe öffentliche IP-Adresse nutzen.

Ohne Logs ist später schwer nachvollziehbar:

welches interne Gerät
zu welcher Zeit
welche externe Verbindung genutzt hat.

Wichtige Informationen:

- interne IP
- interner Port
- öffentliche IP
- externer Port
- Zieladresse
- Zeitstempel

Merksatz:

Bei NAT braucht man Logs,
um Verbindungen nachvollziehen zu können.

Typische NAT-Fehler

Typische Fehler sind:

- NAT-Regel fehlt
- falsche interne Ziel-IP
- falscher Port
- Firewall blockiert
- Dienst läuft nicht
- CGNAT beim Provider
- DNS zeigt auf falsche IP
- doppelte Portweiterleitung
- falsches Interface
- NAT-Regel in falscher Reihenfolge
- Rückroute fehlt
- Hairpin NAT fehlt

Merksatz:

NAT-Fehler können wie Routing-, Firewall- oder DNS-Probleme aussehen.

Fehlerbild: Internet geht nicht

Mögliche NAT-bezogene Ursachen:

- Source NAT fehlt
- PAT falsch konfiguriert
- Default Route fehlt
- Firewall blockiert ausgehend
- Provider-Verbindung gestört
- DNS-Problem
- falsches Gateway
- Rückweg fehlt

Prüfung:

Client-IP prüfen.
Gateway prüfen.
Ping auf externe IP testen.
NAT-Regel prüfen.
Firewall prüfen.
DNS prüfen.

Merksatz:

Internetproblem kann Routing, NAT, Firewall oder DNS sein.

Fehlerbild: Portweiterleitung funktioniert nicht

Mögliche Ursachen:

- keine öffentliche IPv4-Adresse
- CGNAT
- falscher externer Port
- falsche interne IP
- interner Dienst läuft nicht
- Firewall blockiert am Router
- Firewall blockiert am Server
- DNS zeigt falsch
- Test aus internem Netz ohne Hairpin NAT
- ISP blockiert Ports

Merksatz:

Portweiterleitung braucht öffentliche Erreichbarkeit,
NAT-Regel,
Firewall-Freigabe
und laufenden Dienst.

Fehlerbild: Von innen geht es, von außen nicht

Wenn ein Dienst intern funktioniert, aber extern nicht, prüft man:

- öffentliche IP vorhanden?
- CGNAT?
- DNS zeigt auf richtige IP?
- Portweiterleitung korrekt?
- Firewall-Regeln korrekt?
- Dienst hört auf richtiger Schnittstelle?
- Zertifikat oder Reverse Proxy korrekt?
- Provider blockiert Port?

Merksatz:

Intern erreichbar heißt nicht automatisch extern erreichbar.

NAT und Rückweg

NAT funktioniert nur, wenn Antworten zurück zum NAT-Gerät gelangen.

Wenn der Rückweg falsch ist, kann die Verbindung scheitern.

Beispiel:

Paket geht über Router A hinaus.
Antwort kommt über Router B zurück.

Wenn Router B die NAT-Zuordnung nicht kennt, kann er die Antwort nicht korrekt zuordnen.

Merksatz:

NAT braucht passenden Hin- und Rückweg über dasselbe NAT-Gerät.

Asymmetrisches Routing und NAT

Asymmetrisches Routing bedeutet:

Hinweg und Rückweg nehmen unterschiedliche Pfade.

Bei NAT kann das problematisch sein.

Warum?

Das NAT-Gerät muss die Verbindung kennen,
um Antworten zurückübersetzen zu können.

Wenn die Antwort an einem anderen Gerät ankommt, fehlt dort die passende NAT-Tabelle.

Merksatz:

NAT und asymmetrisches Routing passen oft schlecht zusammen.

Einordnung in das OSI-Modell

Thema Schicht
MAC-Adresse 2
VLAN 2
IP-Adresse 3
Routing 3
NAT 3
PAT 3 / 4
TCP-Port 4
UDP-Port 4
Firewall nach IP 3
Firewall nach Port 4
DNS 7

Merksatz:

NAT verändert IP-Adressen.
PAT nutzt zusätzlich Ports.

Was NAT nicht macht

NAT macht nicht:

- DNS-Namen auflösen
- Dienste starten
- Benutzer authentifizieren
- Verschlüsselung bereitstellen
- automatisch Firewall-Regeln sicher machen
- Schwachstellen beseitigen
- Routing ersetzen
- VLANs trennen

NAT hat eine klare Aufgabe:

Adressen übersetzen.

Merksatz:

NAT ist Adressübersetzung,
keine komplette Sicherheits- oder Netzwerklösung.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was bedeutet NAT?
- Warum wird NAT bei IPv4 häufig verwendet?
- Was sind private IPv4-Adressen?
- Was ist der Unterschied zwischen privater und öffentlicher IP-Adresse?
- Was bedeutet PAT?
- Warum können viele interne Geräte eine öffentliche IP-Adresse nutzen?
- Was ist Source NAT?
- Was ist Destination NAT?
- Was ist eine Portweiterleitung?
- Was ist CGNAT?
- Warum funktioniert eine Portweiterleitung bei CGNAT oft nicht?
- Was ist der Unterschied zwischen NAT und Firewall?
- Was ist der Unterschied zwischen NAT und Routing?
- Warum braucht IPv6 normalerweise kein NAT?

Typische Prüfungsfallen

NAT = Network Address Translation.

PAT = Port Address Translation.

NAT übersetzt IP-Adressen.

PAT nutzt zusätzlich Ports.

Private IPv4-Adressen sind im Internet nicht direkt geroutet.

Öffentliche IPv4-Adressen sind im Internet routbar.

10.0.0.0/8 ist privat.

172.16.0.0/12 ist privat.

192.168.0.0/16 ist privat.

100.64.0.0/10 weist oft auf CGNAT hin.

Source NAT verändert die Quell-IP.

Destination NAT verändert die Ziel-IP.

Portweiterleitung macht interne Dienste von außen erreichbar.

NAT ist nicht dasselbe wie Firewall.

NAT ist nicht dasselbe wie Routing.

NAT ersetzt keine Sicherheitsplanung.

IPv6 braucht normalerweise kein NAT.

NAT kann Protokolle stören.

NAT braucht passenden Rückweg.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
NAT Network Address Translation
PAT Port Address Translation
Source NAT Übersetzung der Quelladresse
Destination NAT Übersetzung der Zieladresse
Portweiterleitung Weiterleitung eines externen Ports an internes Ziel
private IPv4-Adresse interne IPv4-Adresse, nicht öffentlich geroutet
öffentliche IPv4-Adresse im Internet routbare IPv4-Adresse
NAT-Tabelle Zuordnung übersetzter Verbindungen
NAT Overload anderer Begriff für PAT
CGNAT Provider-NAT beim Internetanbieter
100.64.0.0/10 häufiger Bereich für CGNAT
Hairpin NAT interner Zugriff über öffentliche Adresse auf internen Dienst
Split DNS interne und externe DNS-Antworten unterscheiden sich
Rückroute Weg zurück zum Absendernetz
asymmetrisches Routing Hin- und Rückweg sind unterschiedlich

IHK-sichere Kurzformulierung

NAT steht für Network Address Translation und bezeichnet die Übersetzung von IP-Adressen beim Übergang zwischen Netzwerken. Es wird bei IPv4 häufig verwendet, damit Geräte mit privaten IP-Adressen über eine öffentliche IPv4-Adresse ins Internet kommunizieren können. PAT ist eine Form von NAT, bei der zusätzlich Ports verwendet werden, damit viele interne Geräte dieselbe öffentliche IP-Adresse nutzen können. Source NAT verändert die Quelladresse, Destination NAT verändert die Zieladresse und wird häufig bei Portweiterleitungen genutzt. NAT ist nicht dasselbe wie Routing oder Firewall und ersetzt keine Sicherheitsplanung.

Merksätze

NAT = Network Address Translation.

NAT = IP-Adressen übersetzen.

PAT = Port Address Translation.

PAT = NAT mit Port-Zuordnung.

Private IPv4-Adressen sind intern.

Öffentliche IPv4-Adressen sind im Internet routbar.

NAT ermöglicht privaten IPv4-Geräten Internetzugang.

Source NAT verändert die Quell-IP.

Destination NAT verändert die Ziel-IP.

Portweiterleitung macht interne Dienste von außen erreichbar.

NAT-Tabelle merkt sich Übersetzungen.

Heimrouter nutzen meist PAT.

NAT Overload = PAT.

CGNAT = NAT beim Provider.

100.64.0.0/10 weist oft auf CGNAT hin.

NAT ist nicht Firewall.

NAT ist nicht Routing.

Routing findet den Weg.

Firewall erlaubt oder blockiert.

NAT übersetzt Adressen.

IPv6 braucht normalerweise kein NAT.

IPv6 braucht trotzdem Firewall-Regeln.

NAT kann Protokolle stören.

NAT braucht passenden Rückweg.

Portweiterleitung braucht öffentliche Erreichbarkeit,
NAT-Regel,
Firewall-Freigabe
und laufenden Dienst.

6.7 Fehlersuche auf Schicht 3

Fehler auf OSI-Schicht 3 betreffen die logische IP-Kommunikation.

Dabei geht es vor allem um:

- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- Routing
- Routing-Tabelle
- ICMP
- NAT
- IPv4
- IPv6
- Firewall-Regeln auf IP-Ebene

Schicht 3 liegt zwischen der lokalen Frame-Weiterleitung auf Schicht 2 und der Transportkommunikation auf Schicht 4.

Merksatz:

Schicht-3-Fehlersuche = IP, Subnetz, Gateway und Routing prüfen.

Grundidee der Schicht-3-Fehlersuche

Auf Schicht 3 prüft man, ob IP-Pakete den richtigen Weg finden.

Typische Fragen:

Hat das Gerät eine passende IP-Adresse?
Passt die Subnetzmaske?
Liegt das Gateway im eigenen Subnetz?
Gibt es eine Route zum Ziel?
Gibt es eine Rückroute?
Wird NAT benötigt?
Blockiert eine Firewall?
Funktioniert ICMP?
Ist IPv4 oder IPv6 betroffen?

Merksatz:

Auf Schicht 3 wird geprüft,
ob IP-Pakete korrekt weitergeleitet werden.

Reihenfolge bei der Fehlersuche

Eine sinnvolle Reihenfolge ist:

1. Schicht 1 prüfen:
   Link, Kabel, Signal, Port

2. Schicht 2 prüfen:
   MAC-Adresse, VLAN, ARP, Switch-Port

3. Schicht 3 prüfen:
   IP-Adresse, Subnetzmaske, Gateway, Routing

4. Schicht 4 prüfen:
   TCP-/UDP-Port

5. Schicht 7 prüfen:
   DNS, Anwendung, Dienst

Wichtig:

Schicht 3 kann nur funktionieren,
wenn Schicht 1 und Schicht 2 grundsätzlich funktionieren.

Merksatz:

Erst Link,
dann MAC/VLAN,
dann IP/Routing.

Typische Schicht-3-Fehler

Typische Fehler auf Schicht 3 sind:

- falsche IP-Adresse
- falsche Subnetzmaske
- falsches Standard-Gateway
- Gateway nicht erreichbar
- fehlende Route
- falsche Route
- fehlende Default Route
- doppelte IP-Adresse
- falsches VLAN-Subnetz-Zusammenspiel
- NAT fehlt oder ist falsch
- Rückroute fehlt
- Firewall blockiert IP-Verkehr
- Routing-Schleife
- IPv6 falsch konfiguriert

Merksatz:

Schicht-3-Fehler betreffen IP-Konfiguration und Wege zwischen Netzen.

Fehlerbild: Keine IP-Adresse

Wenn ein Gerät keine IP-Adresse hat, kann es nicht sinnvoll auf Schicht 3 kommunizieren.

Mögliche Ursachen:

- DHCP-Server nicht erreichbar
- DHCP-Server ausgeschaltet
- falsches VLAN
- Trunk-Fehler
- DHCP-Relay fehlt
- Netzwerkkarte deaktiviert
- Schicht-1-Problem
- Schicht-2-Problem
- manuelle IP-Konfiguration fehlt

Wichtig:

Keine IP-Adresse ist nicht immer ein reines Schicht-3-Problem.
Die Ursache kann auch auf Schicht 1 oder Schicht 2 liegen.

Merksatz:

Keine IP-Adresse:
DHCP, VLAN und Link prüfen.

Fehlerbild: APIPA-Adresse

APIPA-Adressen liegen im Bereich:

169.254.0.0/16

Beispiel:

169.254.23.80

Eine APIPA-Adresse bedeutet häufig:

Das Gerät konnte keine IP-Adresse per DHCP erhalten.

Mögliche Ursachen:

- DHCP-Server nicht erreichbar
- falsches VLAN
- DHCP-Relay fehlt
- Switch-Port falsch konfiguriert
- Netzwerkverbindung gestört

Merksatz:

169.254.x.x weist oft auf DHCP-Probleme hin.

Fehlerbild: Falsche IP-Adresse

Eine falsche IP-Adresse kann dazu führen, dass ein Gerät im falschen Netz landet.

Beispiel:

erwartet:
192.168.10.20/24

tatsächlich:
192.168.20.20/24

Mögliche Ursachen:

- falsches VLAN
- falscher DHCP-Bereich
- falsche manuelle Konfiguration
- falsche SSID-VLAN-Zuordnung
- falscher Standort oder Switch-Port

Merksatz:

Falsche IP-Adresse kann auf falsches VLAN oder falschen DHCP-Bereich hinweisen.

Fehlerbild: Falsche Subnetzmaske

Eine falsche Subnetzmaske kann dazu führen, dass ein Gerät falsch entscheidet:

Ziel ist lokal
oder
Ziel muss über das Gateway erreicht werden

Beispiel:

PC A:
192.168.10.20/24

PC B:
192.168.10.130/25

Diese Geräte können unterschiedlich bewerten, ob sie im gleichen Netz liegen.

Mögliche Folgen:

- einseitige Kommunikation
- Gateway wird falsch genutzt
- ARP-Anfragen laufen ins Leere
- Ziele wirken unerreichbar

Merksatz:

IP-Adresse und Subnetzmaske müssen zusammenpassen.

Fehlerbild: Falsches Standard-Gateway

Das Standard-Gateway ist der Weg in andere Netze.

Wenn es falsch eingetragen ist, funktionieren Ziele außerhalb des eigenen Subnetzes nicht.

Beispiel falsch:

Client:
192.168.10.20/24

Gateway:
192.168.20.1

Problem:

Das Gateway liegt nicht im eigenen Subnetz.

Richtig wäre zum Beispiel:

192.168.10.1

Merksatz:

Gateway muss im eigenen Subnetz erreichbar sein.

Fehlerbild: Gateway nicht erreichbar

Wenn das Gateway nicht erreichbar ist, kann der Client keine anderen Netze erreichen.

Mögliche Ursachen:

- falsche Gateway-IP
- Router-Interface down
- falsches VLAN
- ARP zum Gateway funktioniert nicht
- Schicht-1-Problem
- Schicht-2-Problem
- Firewall blockiert ICMP
- Gateway antwortet nicht auf Ping

Prüfung:

IP-Konfiguration prüfen.
Subnetzmaske prüfen.
VLAN prüfen.
ARP-Eintrag prüfen.
Ping zum Gateway testen.
Switch-Port prüfen.

Merksatz:

Gateway-Probleme können Schicht 2 und Schicht 3 betreffen.

Fehlerbild: Gleiches Netz funktioniert, anderes Netz nicht

Wenn Geräte im gleichen Subnetz erreichbar sind, aber andere Netze nicht, liegt das Problem häufig bei Gateway oder Routing.

Beispiel:

PC erreicht Drucker im gleichen VLAN.
PC erreicht Server in anderem VLAN nicht.

Mögliche Ursachen:

- Standard-Gateway fehlt
- falsches Gateway
- Inter-VLAN-Routing fehlt
- Firewall blockiert
- Route fehlt
- Rückroute fehlt

Merksatz:

Gleiches Netz geht,
anderes Netz nicht:
Gateway und Routing prüfen.

Fehlerbild: Ein Zielnetz ist nicht erreichbar

Wenn nur ein bestimmtes Zielnetz nicht erreichbar ist, kann eine Route fehlen.

Beispiel:

192.168.10.0/24 erreicht 192.168.20.0/24.
192.168.10.0/24 erreicht 10.10.30.0/24 nicht.

Mögliche Ursachen:

- Route zum Zielnetz fehlt
- falscher nächster Hop
- Rückroute fehlt
- Firewall-Regel blockiert
- Zielnetz existiert nicht
- Router-Interface down
- falsche Subnetzmaske

Merksatz:

Einzelnes Netz nicht erreichbar:
Routing-Tabelle und Rückroute prüfen.

Fehlerbild: Internet funktioniert nicht

Wenn ein Client nicht ins Internet kommt, können mehrere Schichten beteiligt sein.

Mögliche Schicht-3-Ursachen:

- falsches Gateway
- Gateway nicht erreichbar
- Default Route fehlt
- NAT fehlt
- Firewall blockiert
- Provider-Routing gestört
- falsche IP-Adresse
- falsche Subnetzmaske

Prüfidee:

Gateway testen.
externe IP testen.
DNS-Namen testen.

Merksatz:

Internetproblem:
erst Gateway,
dann externe IP,
dann DNS prüfen.

Fehlerbild: IP funktioniert, Name funktioniert nicht

Beispiel:

ping 8.8.8.8 funktioniert.
ping www.example.com funktioniert nicht.

Dann ist IP-Kommunikation grundsätzlich möglich.

Wahrscheinliche Ursache:

DNS-Problem

Mögliche DNS-Ursachen:

- falscher DNS-Server
- DNS-Server nicht erreichbar
- Firewall blockiert DNS
- falsche Suchdomäne
- lokaler DNS-Cache fehlerhaft

Merksatz:

IP geht,
Name nicht:
DNS prüfen.

Fehlerbild: Ping funktioniert, Anwendung nicht

Beispiel:

ping server funktioniert.
Webseite lädt nicht.

Dann ist Schicht 3 wahrscheinlich grundsätzlich erreichbar.

Mögliche Ursachen auf höheren Schichten:

- TCP-Port blockiert
- Webserver läuft nicht
- Firewall blockiert Port 80 oder 443
- Zertifikatsproblem
- Reverse Proxy falsch
- Anwendung abgestürzt

Merksatz:

Ping-Erfolg beweist nicht,
dass der Dienst funktioniert.

Fehlerbild: Ping funktioniert nicht, Dienst funktioniert aber

Beispiel:

Webseite funktioniert.
Ping funktioniert nicht.

Mögliche Ursache:

ICMP wird blockiert.

Viele Firewalls erlauben TCP 443, blockieren aber ICMP Echo.

Deshalb bedeutet ein fehlgeschlagener Ping nicht automatisch, dass das Ziel nicht erreichbar ist.

Merksatz:

Kein Ping heißt nicht automatisch:
Ziel offline.

Fehlerbild: Rückroute fehlt

Kommunikation braucht Hinweg und Rückweg.

Beispiel:

Netz A kann Paket zu Netz B senden.
Netz B kennt aber keinen Weg zurück zu Netz A.

Dann kommt keine Antwort an.

Mögliche Ursachen:

- Rückroute fehlt
- falsche Default Route
- NAT fehlt oder falsch
- asymmetrisches Routing
- Firewall blockiert Antwortverkehr

Merksatz:

Ohne Rückroute keine Antwort.

Fehlerbild: Asymmetrisches Routing

Asymmetrisches Routing bedeutet:

Hinweg und Rückweg nehmen unterschiedliche Pfade.

Das ist nicht immer falsch.

Problematisch wird es oft bei:

- Firewalls
- NAT
- zustandsbehafteter Paketprüfung
- VPN-Verbindungen
- mehreren Internetanschlüssen

Warum?

Eine Firewall erwartet häufig,
beide Richtungen einer Verbindung zu sehen.

Merksatz:

Asymmetrisches Routing kann Firewalls und NAT stören.

Fehlerbild: NAT funktioniert nicht

Wenn NAT nicht funktioniert, können interne Geräte eventuell keine externen Ziele erreichen.

Mögliche Ursachen:

- NAT-Regel fehlt
- falsches Interface
- falsches Quellnetz
- Firewall blockiert
- Default Route fehlt
- Rückroute fehlt
- Provider-Verbindung gestört

Prüfung:

interne IP prüfen.
Gateway prüfen.
NAT-Regel prüfen.
Firewall-Regel prüfen.
externe IP testen.

Merksatz:

NAT-Fehler wirken oft wie Internet- oder Routing-Probleme.

Fehlerbild: Portweiterleitung funktioniert nicht

Wenn ein interner Dienst von außen nicht erreichbar ist, kann das mehrere Ursachen haben.

Mögliche Ursachen:

- keine öffentliche IPv4-Adresse
- CGNAT beim Provider
- falscher externer Port
- falsche interne Ziel-IP
- Dienst läuft nicht
- Firewall blockiert am Router
- Firewall blockiert am Server
- DNS zeigt auf falsche IP
- Hairpin NAT fehlt bei internem Test

Merksatz:

Portweiterleitung braucht öffentliche Erreichbarkeit,
NAT-Regel,
Firewall-Freigabe
und laufenden Dienst.

Fehlerbild: IPv6 funktioniert nicht

IPv6-Fehler können andere Ursachen haben als IPv4-Fehler.

Mögliche Ursachen:

- keine globale IPv6-Adresse
- nur Link-Local-Adresse vorhanden
- Router Advertisements fehlen
- ICMPv6 wird blockiert
- NDP funktioniert nicht
- falsches Präfix
- falsche Firewall-Regeln
- DNS liefert AAAA-Record, aber IPv6 funktioniert nicht

Merksatz:

IPv6-Fehlersuche:
Adresse, Präfix, Gateway, NDP, ICMPv6 und DNS prüfen.

Fehlerbild: IPv4 geht, IPv6 nicht

Wenn IPv4 funktioniert, aber IPv6 nicht, prüft man gezielt IPv6.

Mögliche Ursachen:

- kein IPv6-Präfix
- Router Advertisement fehlt
- Firewall blockiert ICMPv6
- DHCPv6 oder SLAAC falsch
- kein IPv6-Gateway
- Provider liefert kein IPv6
- DNS bevorzugt IPv6, aber Verbindung scheitert

Merksatz:

Bei Dual Stack IPv4 und IPv6 getrennt prüfen.

Fehlerbild: IPv6 geht, IPv4 nicht

Auch der umgekehrte Fall ist möglich.

Mögliche Ursachen:

- keine IPv4-Adresse
- DHCPv4 funktioniert nicht
- NAT fehlt
- IPv4-Gateway falsch
- IPv4-Route fehlt
- Firewall blockiert IPv4
- DNS liefert nur IPv6 oder falsche IPv4-Daten

Merksatz:

Dual Stack bedeutet:
beide Protokolle separat kontrollieren.

Werkzeuge für Schicht-3-Fehlersuche

Typische Werkzeuge und Informationen:

Werkzeug / Anzeige Nutzen
IP-Konfiguration IP, Maske, Gateway, DNS prüfen
Routing-Tabelle Wege zu Zielnetzen prüfen
Ping grundlegende IP-Erreichbarkeit prüfen
Traceroute Weg über Router prüfen
ARP-Tabelle lokale IP-MAC-Zuordnung prüfen
Neighbor Table IPv6-Nachbarn prüfen
Firewall-Logs erlaubte und blockierte Pakete prüfen
NAT-Tabelle NAT-Zuordnungen prüfen
DNS-Test Namensauflösung prüfen
Packet Capture Pakete genauer analysieren

Merksatz:

Schicht-3-Fehlersuche nutzt IP-Konfiguration,
Routing-Tabelle,
Ping
und Traceroute.

IP-Konfiguration prüfen

Bei einem Client prüft man zuerst:

- IP-Adresse
- Subnetzmaske
- Standard-Gateway
- DNS-Server
- DHCP oder statisch
- IPv4 und IPv6
- richtige Schnittstelle

Typische Hinweise:

169.254.x.x = häufig DHCP-Problem
falsches Netz = VLAN oder DHCP prüfen
kein Gateway = nur lokales Netz erreichbar

Merksatz:

IP-Konfiguration ist der erste Schicht-3-Prüfpunkt.

Routing-Tabelle prüfen

In der Routing-Tabelle prüft man:

- gibt es eine Route zum Zielnetz?
- gibt es eine Default Route?
- ist der nächste Hop korrekt?
- ist die Ausgangsschnittstelle korrekt?
- gibt es eine genauere Route?
- ist die Metrik sinnvoll?

Wichtig:

Bei mehreren passenden Routen gewinnt die genaueste Route.

Merksatz:

Routing-Tabelle zeigt,
welchen Weg Pakete nehmen sollen.

Ping gezielt verwenden

Ping kann gezielt eingesetzt werden.

Sinnvolle Reihenfolge:

1. Loopback testen
2. eigene IP testen
3. Gateway testen
4. anderes Gerät im gleichen Netz testen
5. Ziel in anderem Netz testen
6. externe IP testen
7. DNS-Namen testen

Merksatz:

Ping von nah nach fern einsetzen.

Traceroute gezielt verwenden

Traceroute hilft, den Weg zum Ziel zu prüfen.

Damit kann man erkennen:

- wie weit Pakete kommen
- bei welchem Hop es stoppt
- ob der Weg ungewöhnlich ist
- ob Routing-Schleifen sichtbar sind
- ob Firewalls Antworten blockieren

Wichtig:

Traceroute-Ausgaben müssen vorsichtig interpretiert werden.

Merksatz:

Traceroute zeigt Hinweise auf den Routing-Weg.

ARP und Schicht 3

ARP gehört zu IPv4 und verbindet Schicht 3 mit Schicht 2.

Bei IPv4 prüft man:

Gibt es einen ARP-Eintrag für das Gateway?
Stimmt die MAC-Adresse?
Ändert sich der Eintrag ständig?
Gibt es doppelte IP-Adressen?

Wenn ARP zum Gateway nicht funktioniert, kann der Client andere Netze nicht erreichen.

Merksatz:

Ohne ARP zum Gateway kein IPv4-Weg ins andere Netz.

NDP und Schicht 3

Bei IPv6 übernimmt NDP ähnliche Aufgaben wie ARP bei IPv4.

NDP basiert auf ICMPv6.

Bei IPv6 prüft man:

- Neighbor Table
- Link-Local-Adresse
- Router Advertisement
- Default Gateway
- ICMPv6-Filterung
- Präfixinformationen

Merksatz:

IPv6 braucht NDP und ICMPv6 für Grundfunktionen.

Firewall als Schicht-3-Fehlerquelle

Eine Firewall kann IP-Verkehr blockieren.

Beispiele:

- bestimmtes Quellnetz blockiert
- bestimmtes Zielnetz blockiert
- ICMP blockiert
- ausgehender Verkehr blockiert
- eingehender Verkehr blockiert
- NAT-Regel fehlt
- falsche Zone

Wichtig:

Firewall-Problem ist nicht immer Schicht 3.
Bei Port- oder Anwendungskontrolle können auch Schicht 4 oder 7 beteiligt sein.

Merksatz:

Firewall kann Routing erlauben oder verhindern.

Schicht 3 oder Schicht 4?

Eine einfache Unterscheidung:

Frage eher Schicht
Hat der Client eine passende IP-Adresse? 3
Ist das Gateway erreichbar? 3
Gibt es eine Route zum Zielnetz? 3
Funktioniert Ping auf eine IP? 3
Ist TCP-Port 443 offen? 4
Ist UDP-Port 53 erreichbar? 4
Läuft der Webdienst? 7
Löst der DNS-Name korrekt auf? 7

Merksatz:

IP-Erreichbarkeit = Schicht 3.
Port-Erreichbarkeit = Schicht 4.

Schicht 3 oder DNS?

DNS gehört zur Anwendungsschicht, wird aber oft bei IP-Problemen vermutet.

Unterscheidung:

Test Bedeutung
IP-Adresse erreichbar, Name nicht DNS prüfen
IP-Adresse nicht erreichbar Routing, Gateway, Firewall, Link prüfen
Name zeigt auf falsche IP DNS-Zone oder DNS-Cache prüfen
interner Name geht extern nicht Split DNS oder öffentliche DNS-Zone prüfen

Merksatz:

Erst IP testen,
dann Namen testen.

Schicht 3 oder VLAN?

VLAN gehört zu Schicht 2.

Subnetz gehört zu Schicht 3.

Beide hängen in der Praxis eng zusammen.

Beispiel:

Client bekommt IP aus falschem Subnetz.

Mögliche Ursache:

Switch-Port im falschen VLAN.

Deshalb gilt:

Bei falscher IP-Adresse auch VLAN prüfen.

Merksatz:

VLAN-Fehler können wie Schicht-3-Fehler aussehen.

Schicht 3 oder NAT?

Wenn interne Kommunikation funktioniert, aber Internet nicht, kann NAT beteiligt sein.

Unterscheidung:

Beobachtung mögliche Ursache
Gateway erreichbar, externe IP nicht Routing, NAT, Firewall, Provider
externe IP erreichbar, Name nicht DNS
intern erreichbar, extern nicht Portweiterleitung, CGNAT, Firewall
nur Rückverkehr fehlt NAT oder Rückroute

Merksatz:

NAT-Probleme zeigen sich oft beim Übergang ins Internet.

Beispiel: Client erreicht Gateway nicht

Fehlerbild:

Client kann Gateway nicht pingen.

Prüfung:

Wahrscheinliche Bereiche:

Schicht 1
Schicht 2
Schicht 3

Merksatz:

Gateway nicht erreichbar:
lokal prüfen.

Beispiel: Client erreicht Internet-IP nicht

Fehlerbild:

Gateway erreichbar,
aber externe IP nicht.

Prüfung:

1. Default Route auf Gateway prüfen
2. NAT/PAT prüfen
3. Firewall-Regeln prüfen
4. WAN-Verbindung prüfen
5. Provider-Gateway prüfen
6. Rückweg prüfen

Merksatz:

Gateway geht,
Internet-IP nicht:
Routing, NAT und Firewall prüfen.

Beispiel: Client erreicht Server in anderem VLAN nicht

Fehlerbild:

Client in VLAN 10 erreicht Server in VLAN 30 nicht.

Mögliche Ursachen:

- Inter-VLAN-Routing fehlt
- Firewall blockiert zwischen VLANs
- falsches Gateway im VLAN 10
- falsches Gateway im VLAN 30
- Rückroute fehlt
- Server-Firewall blockiert
- Server im falschen VLAN
- falsche Subnetzmaske

Merksatz:

Zwischen VLANs braucht man Routing und erlaubte Regeln.

Beispiel: VPN erreicht internes Netz nicht

Fehlerbild:

VPN-Verbindung steht,
aber interne Systeme sind nicht erreichbar.

Mögliche Ursachen:

- Route ins interne Netz fehlt
- Rückroute zum VPN-Netz fehlt
- Firewall blockiert VPN-Netz
- Split-Tunnel falsch
- NAT-Regel fehlt oder stört
- DNS liefert falsche interne Adresse
- VPN-Client bekommt falsches Netz

Merksatz:

VPN-Probleme sind oft Routing-, Firewall- oder DNS-Probleme.

Typische Prüf-Reihenfolge bei IP-Problemen

Eine einfache Reihenfolge:

1. IP-Adresse prüfen
2. Subnetzmaske prüfen
3. Gateway prüfen
4. eigenes Subnetz testen
5. Gateway pingen
6. ARP oder NDP prüfen
7. Routing-Tabelle prüfen
8. Zielnetzroute prüfen
9. Rückroute prüfen
10. Firewall und NAT prüfen
11. DNS prüfen
12. Dienst prüfen

Merksatz:

IP-Probleme systematisch von lokal nach entfernt prüfen.

Einordnung in das OSI-Modell

Thema Schicht
Kabel, Link, Signal 1
MAC, VLAN, ARP 2 / 3-Bezug
IP-Adresse 3
Subnetzmaske 3
Gateway 3
Routing-Tabelle 3
ICMP, Ping, Traceroute 3
NAT 3
PAT 3 / 4
TCP-/UDP-Port 4
DNS 7
Anwendung 7

Merksatz:

Schicht 3 prüft IP-Erreichbarkeit,
nicht automatisch den Dienst.

Was Schicht-3-Fehlersuche nicht löst

Wenn IP und Routing korrekt funktionieren, können trotzdem Probleme bestehen.

Dann prüft man höhere Schichten:

- TCP-Port offen?
- UDP-Port erreichbar?
- DNS korrekt?
- Zertifikat gültig?
- Anwendung läuft?
- Benutzerrechte korrekt?
- Proxy oder Reverse Proxy korrekt?
- Dienst lauscht auf richtiger Schnittstelle?

Merksatz:

IP erreichbar heißt nicht:
Anwendung funktioniert.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Welche Fehler gehören typischerweise zu Schicht 3?
- Wie prüft man eine IP-Konfiguration?
- Warum muss das Gateway im eigenen Subnetz liegen?
- Was bedeutet 169.254.x.x?
- Was prüft man, wenn das Internet nicht funktioniert?
- Wie unterscheidet man DNS- und Routing-Probleme?
- Was bedeutet fehlende Rückroute?
- Warum kann falsches VLAN wie ein IP-Problem wirken?
- Warum beweist Ping keinen funktionierenden Dienst?
- Was prüft Traceroute?
- Warum kann ICMP blockiert sein?
- Welche Rolle spielt NAT bei Internetproblemen?

Typische Prüfungsfallen

Keine IP-Adresse kann ein DHCP- oder VLAN-Problem sein.

169.254.x.x weist oft auf DHCP-Probleme hin.

Gateway muss im eigenen Subnetz liegen.

Gleiches Subnetz erreichbar,
anderes nicht:
Gateway und Routing prüfen.

IP geht,
Name nicht:
DNS prüfen.

Ping geht,
Anwendung nicht:
Schicht 4 oder 7 prüfen.

Ping geht nicht,
Dienst kann trotzdem funktionieren.

ICMP kann blockiert sein.

Fehlende Rückroute verhindert Antworten.

NAT braucht passenden Hin- und Rückweg.

Falsches VLAN kann falsche IP-Adresse verursachen.

IPv4 und IPv6 getrennt prüfen.

ICMPv6 nicht pauschal blockieren.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Schicht-3-Fehler Fehler bei IP, Subnetz, Gateway oder Routing
IP-Konfiguration IP-Adresse, Maske, Gateway, DNS
APIPA 169.254.0.0/16 bei DHCP-Problem
Gateway-Problem Router ins andere Netz nicht erreichbar
Routing-Problem Weg zum Zielnetz fehlt oder ist falsch
Rückroute Weg zurück zum Absendernetz
asymmetrisches Routing Hin- und Rückweg sind unterschiedlich
NAT-Problem Adressübersetzung fehlt oder ist falsch
ICMP Kontrollmeldungen für IP
Ping Test auf IP-Erreichbarkeit
Traceroute Wegprüfung über Router
ARP IPv4-IP-zu-MAC-Auflösung
NDP IPv6-Nachbarerkennung
DNS-Problem Name wird nicht korrekt aufgelöst
Dual Stack IPv4 und IPv6 gleichzeitig

IHK-sichere Kurzformulierung

Fehlersuche auf OSI-Schicht 3 bedeutet, die IP-Kommunikation zu prüfen. Dazu gehören IP-Adresse, Subnetzmaske, Standard-Gateway, Routing-Tabelle, ICMP, NAT und bei IPv6 auch NDP und ICMPv6. Typische Schicht-3-Fehler sind falsche IP-Konfiguration, falsches Gateway, fehlende Routen, fehlende Rückrouten, NAT-Probleme oder falsche Firewall-Regeln. Bei der Fehlersuche prüft man zuerst die lokale IP-Konfiguration, dann das Gateway, anschließend Routing zu externen oder entfernten Netzen und danach DNS oder Dienste auf höheren Schichten.

Merksätze

Schicht-3-Fehlersuche = IP, Gateway und Routing prüfen.

Erst Schicht 1,
dann Schicht 2,
dann Schicht 3.

Keine IP = DHCP, VLAN oder Link prüfen.

169.254.x.x = häufig DHCP-Problem.

Falsche IP kann falsches VLAN bedeuten.

Subnetzmaske muss passen.

Gateway muss im eigenen Subnetz liegen.

Gateway nicht erreichbar = lokal prüfen.

Gleiches Netz geht,
anderes Netz nicht:
Gateway prüfen.

Zielnetz nicht erreichbar:
Route prüfen.

Kommunikation braucht Hinweg und Rückweg.

Ohne Rückroute keine Antwort.

NAT braucht passenden Rückweg.

IP erreichbar,
Name nicht:
DNS prüfen.

Ping erreichbar heißt nicht:
Dienst funktioniert.

Ping nicht erreichbar heißt nicht automatisch:
Ziel offline.

Traceroute zeigt den Routing-Weg.

IPv4 und IPv6 getrennt prüfen.

ICMPv6 ist für IPv6 wichtig.

VLAN-Fehler können wie IP-Probleme aussehen.

Erst lokal,
dann entfernt,
dann DNS,
dann Dienst.

6.8 Merksätze und Prüfungswissen zu OSI-Schicht 3

Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 3 zusammen.

OSI-Schicht 3 heißt:

Vermittlungsschicht

Sie wird auch genannt:

Netzwerkschicht

Die Hauptaufgabe von Schicht 3 ist:

IP-Pakete zwischen verschiedenen Netzwerken weiterleiten.

Merksatz:

Schicht 3 = IP-Adressen, Pakete und Routing.

Grundidee von Schicht 3

Schicht 2 arbeitet lokal im LAN.

Schicht 3 verbindet unterschiedliche IP-Netze.

Beispiel:

Client im LAN
→ Router
→ anderes Netz
→ Server

Dafür werden IP-Adressen und Routing verwendet.

Merksatz:

Schicht 2 bringt Frames lokal weiter.
Schicht 3 bringt IP-Pakete in andere Netze.

Schicht 1, 2, 3 und 4 unterscheiden

Schicht Name Datenform wichtige Begriffe
1 Bitübertragungsschicht Bits Signal, Link, Kabel
2 Sicherungsschicht Frame MAC, Switch, VLAN
3 Vermittlungsschicht / Netzwerkschicht Paket IP, Router, Routing
4 Transportschicht Segment / Datagramm TCP, UDP, Port

Merksatz:

Bit = Schicht 1.
Frame = Schicht 2.
Paket = Schicht 3.
Segment oder Datagramm = Schicht 4.

IP-Adresse

Eine IP-Adresse ist eine logische Adresse auf Schicht 3.

Sie dient dazu, Geräte in IP-Netzen zu adressieren.

Beispiele:

IPv4:
192.168.10.20

IPv6:
2001:db8::20

Merksatz:

IP-Adresse = logische Adresse auf Schicht 3.

MAC-Adresse und IP-Adresse unterscheiden

Adresse Schicht Aufgabe
MAC-Adresse 2 lokale Zustellung im LAN
IP-Adresse 3 netzübergreifende Adressierung

Wichtig:

MAC-Adressen gelten lokal.
IP-Adressen gelten netzübergreifend.

Merksatz:

MAC = lokal.
IP = netzübergreifend.

IP-Paket

Ein IP-Paket ist die Datenform auf Schicht 3.

Ein IP-Paket enthält unter anderem:

- Quell-IP-Adresse
- Ziel-IP-Adresse
- Steuerinformationen
- Nutzdaten höherer Schichten

Merksatz:

IP-Paket = Datenbehälter auf Schicht 3.

Quell-IP und Ziel-IP

Ein IP-Paket enthält normalerweise:

Quell-IP-Adresse
Ziel-IP-Adresse

Die Quell-IP sagt:

Von welchem Gerät stammt das Paket?

Die Ziel-IP sagt:

Zu welchem Gerät soll das Paket?

Merksatz:

Quell-IP = woher.
Ziel-IP = wohin.

MAC ändert sich, IP bleibt grundsätzlich erhalten

Wenn ein IP-Paket über Router läuft, wird auf jedem Netzwerkabschnitt ein neuer Schicht-2-Frame erstellt.

Dabei ändern sich:

- Quell-MAC-Adresse
- Ziel-MAC-Adresse

Grundsätzlich gleich bleiben:

- Quell-IP-Adresse
- Ziel-IP-Adresse

Ausnahme:

NAT oder PAT kann IP-Adressen verändern.

Merksatz:

MAC ändert sich pro Abschnitt.
IP bleibt grundsätzlich Ende-zu-Ende.

Router

Ein Router ist ein typisches Gerät auf Schicht 3.

Ein Router verbindet verschiedene IP-Netze.

Er entscheidet anhand der Ziel-IP-Adresse, wohin ein IP-Paket weitergeleitet wird.

Dafür verwendet er eine Routing-Tabelle.

Merksatz:

Router = Schicht-3-Gerät für IP-Weiterleitung.

Switch und Router unterscheiden

Gerät typische Schicht Entscheidung nach
Hub 1 Signal
Switch 2 MAC-Adresse
Router 3 IP-Adresse

Merksatz:

Hub = Signal.
Switch = MAC.
Router = IP.

Subnetz

Ein Subnetz ist ein logischer IP-Adressbereich.

Beispiel:

192.168.10.0/24

Zu einem Subnetz gehören:

- Netzadresse
- nutzbare Host-Adressen
- Broadcast-Adresse bei IPv4
- Subnetzmaske oder Präfix

Merksatz:

Subnetz = IP-Adressbereich auf Schicht 3.

Netzadresse

Die Netzadresse bezeichnet das Netzwerk selbst.

Beispiel:

192.168.10.0/24

Netzadresse:

192.168.10.0

Sie wird normalerweise nicht einem Endgerät zugewiesen.

Merksatz:

Netzadresse = Adresse des Netzes.

Broadcast-Adresse bei IPv4

Die Broadcast-Adresse ist die letzte Adresse im IPv4-Subnetz.

Beispiel:

192.168.10.0/24

Broadcast-Adresse:

192.168.10.255

Sie adressiert alle Geräte im Subnetz.

Merksatz:

Broadcast-Adresse = letzte Adresse im IPv4-Subnetz.

Hostbereich

Der Hostbereich enthält die nutzbaren Adressen für Geräte.

Beispiel:

Netz:
192.168.10.0/24

Netzadresse:
192.168.10.0

Hostbereich:
192.168.10.1 bis 192.168.10.254

Broadcast-Adresse:
192.168.10.255

Merksatz:

Hostbereich = nutzbare Geräteadressen.

Subnetzmaske

Die Subnetzmaske trennt Netzanteil und Hostanteil.

Beispiel:

IP-Adresse:
192.168.10.20

Subnetzmaske:
255.255.255.0

Das entspricht:

/24

Merksatz:

Subnetzmaske trennt Netz und Host.

CIDR

CIDR steht für:

Classless Inter-Domain Routing

CIDR gibt an, wie viele Bits zum Netzanteil gehören.

Beispiel:

192.168.10.20/24

Bedeutung:

24 Bit Netzanteil

Merksatz:

CIDR-Präfix = Anzahl der Netz-Bits.

Host-Bits und nutzbare Hosts

IPv4 hat insgesamt:

32 Bit

Host-Bits berechnet man mit:

32 minus CIDR-Präfix

Beispiel /24:

32 - 24 = 8 Host-Bits

Alle Adressen:

2 hoch 8 = 256

Nutzbare Hosts:

256 - 2 = 254

Merksatz:

Nutzbare Hosts = 2 hoch Host-Bits minus 2.

Wichtige IPv4-Präfixe

CIDR Subnetzmaske alle Adressen nutzbare Hosts
/24 255.255.255.0 256 254
/25 255.255.255.128 128 126
/26 255.255.255.192 64 62
/27 255.255.255.224 32 30
/28 255.255.255.240 16 14
/29 255.255.255.248 8 6
/30 255.255.255.252 4 2

Merksatz:

Je größer die CIDR-Zahl,
desto kleiner das Netz.

Schrittweite

Die Schrittweite zeigt, in welchen Abständen neue Subnetze beginnen.

Beispiele:

CIDR Schrittweite
/25 128
/26 64
/27 32
/28 16
/29 8
/30 4

Schnelle Regel:

Schrittweite = 256 minus Maskenwert im interessanten Oktett

Merksatz:

Schrittweite = Größe des Subnetzes im betroffenen Oktett.

Private IPv4-Adressen

Private IPv4-Adressen werden in internen Netzen verwendet.

Wichtige Bereiche:

Bereich CIDR
10.0.0.0 – 10.255.255.255 10.0.0.0/8
172.16.0.0 – 172.31.255.255 172.16.0.0/12
192.168.0.0 – 192.168.255.255 192.168.0.0/16

Private IPv4-Adressen sind im öffentlichen Internet nicht direkt geroutet.

Merksatz:

Private IPv4-Adressen = interne Adressen.

Besondere IPv4-Adressen

Adresse / Bereich Bedeutung
127.0.0.1 Loopback, eigenes Gerät
127.0.0.0/8 Loopback-Bereich
169.254.0.0/16 APIPA, häufig DHCP-Problem
0.0.0.0/0 Default Route
255.255.255.255 lokaler Broadcast
100.64.0.0/10 häufig Carrier-Grade NAT

Merksatz:

127.0.0.1 = eigenes Gerät.
169.254.x.x = oft DHCP-Problem.
0.0.0.0/0 = Default Route.

Standard-Gateway

Das Standard-Gateway ist der Router für Ziele außerhalb des eigenen Subnetzes.

Beispiel:

Client:
192.168.10.20/24

Gateway:
192.168.10.1

Wenn das Ziel nicht in 192.168.10.0/24 liegt, sendet der Client an das Gateway.

Merksatz:

Standard-Gateway = Ausgang in andere Netze.

Gateway muss erreichbar sein

Das Standard-Gateway muss im eigenen lokalen Subnetz liegen.

Falsch:

Client:
192.168.10.20/24

Gateway:
192.168.20.1

Warum falsch?

Das Gateway liegt nicht im Netz 192.168.10.0/24.

Merksatz:

Gateway muss im eigenen Subnetz erreichbar sein.

Gleiches oder anderes Subnetz

Ein Gerät entscheidet:

Ziel im eigenen Subnetz?
Dann direkt lokal senden.

Ziel in anderem Subnetz?
Dann zum Gateway senden.

Beispiel:

192.168.10.20/24 zu 192.168.10.50
= gleiches Subnetz

192.168.10.20/24 zu 192.168.20.50
= anderes Subnetz

Merksatz:

Gleiches Subnetz = direkt.
Anderes Subnetz = Gateway.

Routing

Routing bedeutet:

IP-Pakete zwischen Netzwerken weiterleiten.

Ein Router prüft die Ziel-IP-Adresse und sucht eine passende Route.

Merksatz:

Routing = Wegentscheidung für IP-Pakete.

Routing-Tabelle

Eine Routing-Tabelle enthält Wege zu Zielnetzen.

Typische Bestandteile:

- Zielnetz
- Präfix
- nächster Hop
- Ausgangsschnittstelle
- Metrik

Merksatz:

Routing-Tabelle = Wegweiser für IP-Pakete.

Direkt verbundene Route

Eine direkt verbundene Route entsteht, wenn ein Router mit einer Schnittstelle direkt in einem Netz hängt.

Beispiel:

Router-Interface:
192.168.10.1/24

Direkt verbundenes Netz:

192.168.10.0/24

Merksatz:

Direkt verbunden = Netz liegt an eigener Schnittstelle.

Statische Route

Eine statische Route wird manuell eingetragen.

Vorteile:

- einfach bei kleinen Netzen
- gut kontrollierbar

Nachteile:

- manuelle Pflege
- keine automatische Anpassung bei Ausfällen

Merksatz:

Statische Route = manuell eingetragener Weg.

Dynamische Route

Dynamische Routen werden automatisch über Routing-Protokolle gelernt.

Beispiele:

- RIP
- OSPF
- BGP

Merksatz:

Dynamische Route = automatisch gelernter Weg.

Routing-Protokolle

Protokoll typische Einordnung
RIP älter, einfach, kleine Netze
OSPF interne Unternehmensnetze
BGP Internet und Provider-Routing

Merksatz:

OSPF intern.
BGP im Internet zwischen großen Netzen.

Default Route

Die Default Route wird verwendet, wenn keine genauere Route vorhanden ist.

IPv4:

0.0.0.0/0

Bedeutung:

alle IPv4-Ziele

Merksatz:

Default Route = Route für alles Unbekannte.

Longest Prefix Match

Wenn mehrere Routen passen, gewinnt die genaueste Route.

Beispiel:

Route Präfix
192.168.0.0/16 /16
192.168.10.0/24 /24
0.0.0.0/0 /0

Ziel:

192.168.10.50

Gewählt wird:

192.168.10.0/24

Merksatz:

Genaueste passende Route gewinnt.

Nächster Hop

Der nächste Hop ist der nächste Router auf dem Weg zum Ziel.

Beispiel:

Zielnetz:
10.10.0.0/16

nächster Hop:
192.168.20.254

Merksatz:

Nächster Hop = nächster Router.

Rückroute

Kommunikation braucht Hinweg und Rückweg.

Wenn der Rückweg fehlt, kommt keine Antwort zurück.

Beispiel:

Netz A erreicht Netz B.
Netz B kennt aber keinen Weg zurück zu Netz A.

Folge:

Verbindung funktioniert nicht.

Merksatz:

Ohne Rückroute keine Antwort.

Asymmetrisches Routing

Asymmetrisches Routing bedeutet:

Hinweg und Rückweg nehmen unterschiedliche Pfade.

Das kann funktionieren, aber bei Firewalls oder NAT problematisch sein.

Warum?

Stateful Firewalls und NAT-Geräte müssen die Verbindung kennen.

Merksatz:

Asymmetrisches Routing kann Firewalls und NAT stören.

TTL

TTL steht für:

Time To Live

TTL begrenzt die Lebensdauer eines IP-Pakets.

Jeder Router verringert den TTL-Wert.

Wenn TTL 0 erreicht, wird das Paket verworfen.

Merksatz:

TTL verhindert endloses Kreisen von IP-Paketen.

ICMP

ICMP steht für:

Internet Control Message Protocol

ICMP wird für Kontroll- und Fehlermeldungen im IP-Netz verwendet.

Wichtig:

ICMP nutzt keine TCP- oder UDP-Ports.
ICMP nutzt Typ und Code.

Merksatz:

ICMP = Kontrollmeldungen für IP.

Ping

Ping nutzt typischerweise ICMP Echo Request und Echo Reply.

Ping prüft:

grundlegende IP-Erreichbarkeit

Aber Ping beweist nicht:

dass ein bestimmter Dienst funktioniert.

Merksatz:

Ping prüft IP-Erreichbarkeit,
nicht die Anwendung.

Traceroute

Traceroute zeigt den Weg zu einem Ziel über mehrere Router.

Je nach System heißt der Befehl:

tracert
traceroute
tracepath

Traceroute nutzt das TTL-Verhalten von IP-Paketen.

Merksatz:

Traceroute zeigt Router-Hops.

NAT

NAT steht für:

Network Address Translation

NAT verändert IP-Adressen beim Übergang zwischen Netzen.

Typischer Einsatz:

private IPv4-Adresse
→ öffentliche IPv4-Adresse

Merksatz:

NAT = IP-Adressen übersetzen.

PAT

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT mit Port-Zuordnung.

Dadurch können viele interne Geräte eine öffentliche IPv4-Adresse gemeinsam nutzen.

Merksatz:

PAT = NAT mit Ports.

Source NAT und Destination NAT

Art Bedeutung typischer Einsatz
Source NAT Quell-IP wird verändert internes Gerät ins Internet
Destination NAT Ziel-IP wird verändert Portweiterleitung nach innen

Merksatz:

Source NAT verändert Quelle.
Destination NAT verändert Ziel.

Portweiterleitung

Portweiterleitung bedeutet:

Ein externer Port wird an einen internen Dienst weitergeleitet.

Beispiel:

öffentlich:
93.184.100.10:443

intern:
192.168.10.50:443

Merksatz:

Portweiterleitung macht interne Dienste von außen erreichbar.

CGNAT

CGNAT steht für:

Carrier-Grade NAT

Dabei macht der Provider NAT.

Mögliche Folge:

Der eigene Router hat keine echte öffentliche IPv4-Adresse.

Typischer Hinweis:

WAN-Adresse am Router liegt im Bereich 100.64.0.0/10
oder unterscheidet sich von der öffentlich angezeigten Adresse.

Merksatz:

CGNAT erschwert eingehende Verbindungen von außen.

IPv6

IPv6 ist ebenfalls Schicht 3.

Eine IPv6-Adresse hat:

128 Bit

Beispiel:

2001:db8::10

Merksatz:

IPv6 = 128 Bit.

IPv6-Adressarten

Art Bereich / Beispiel Bedeutung
Link-Local fe80::/10 nur lokaler Link
Global Unicast 2000::/3 weltweit routbar
Unique Local fc00::/7 interne Nutzung
Multicast ff00::/8 Gruppe von Empfängern
Loopback ::1 eigenes Gerät
Unspecified :: keine konkrete Adresse

Merksatz:

fe80 lokal.
2000 global.
fd intern.
ff Multicast.

IPv6-Abkürzungen

Bei IPv6 gilt:

Führende Nullen dürfen weggelassen werden.
Zusammenhängende Nullblöcke dürfen mit :: ersetzt werden.
:: darf nur einmal pro Adresse vorkommen.

Beispiel:

2001:0db8:0000:0000:0000:0000:0000:0010

wird zu:

2001:db8::10

Merksatz:

:: darf nur einmal vorkommen.

IPv6 nutzt kein ARP

IPv4 nutzt ARP.

IPv6 nutzt kein ARP.

IPv6 nutzt stattdessen:

NDP

NDP steht für:

Neighbor Discovery Protocol

NDP basiert auf ICMPv6.

Merksatz:

IPv6 nutzt NDP statt ARP.

ICMPv6

ICMPv6 ist für IPv6 besonders wichtig.

Es wird benötigt für:

- Neighbor Discovery
- Router Discovery
- Router Advertisements
- Fehler- und Kontrollmeldungen

Wichtig:

ICMPv6 nicht pauschal blockieren.

Merksatz:

IPv6 braucht ICMPv6 für Grundfunktionen.

SLAAC und DHCPv6

SLAAC steht für:

Stateless Address Autoconfiguration

Der Client bildet seine IPv6-Adresse anhand von Router Advertisements.

DHCPv6 kann zusätzlich oder alternativ Konfigurationsinformationen liefern.

Merksatz:

SLAAC = automatische IPv6-Adresse.
DHCPv6 = IPv6-Konfigurationsdienst.

Dual Stack

Dual Stack bedeutet:

IPv4 und IPv6 laufen gleichzeitig.

Ein Gerät kann dann beide Protokolle nutzen.

Wichtig:

Bei Problemen IPv4 und IPv6 getrennt prüfen.

Merksatz:

Dual Stack = IPv4 und IPv6 gleichzeitig.

DNS bei IPv4 und IPv6

DNS kann IPv4- und IPv6-Adressen liefern.

DNS-Record Bedeutung
A Name zu IPv4-Adresse
AAAA Name zu IPv6-Adresse

Merksatz:

A = IPv4.
AAAA = IPv6.

Schicht 3 und VLANs

VLANs gehören zu Schicht 2.

IP-Subnetze gehören zu Schicht 3.

In der Praxis wird häufig pro VLAN ein eigenes Subnetz verwendet.

Beispiel:

VLAN Subnetz
VLAN 10 192.168.10.0/24
VLAN 20 192.168.20.0/24

Merksatz:

VLAN = Schicht 2.
Subnetz = Schicht 3.

Inter-VLAN-Routing

Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing.

Dafür nutzt man zum Beispiel:

- Router
- Layer-3-Switch
- Firewall

Merksatz:

VLAN zu VLAN braucht Routing.

Schicht-3-Fehlersuche

Typische Prüfpunkte:

- IP-Adresse korrekt?
- Subnetzmaske korrekt?
- Gateway korrekt?
- Gateway erreichbar?
- Routing-Tabelle korrekt?
- Default Route vorhanden?
- Rückroute vorhanden?
- NAT korrekt?
- Firewall-Regel passend?
- IPv4 und IPv6 getrennt geprüft?

Merksatz:

Schicht-3-Fehlersuche = IP, Gateway, Routing und NAT prüfen.

Typische Schicht-3-Fehler

Fehlerbild mögliche Ursache
keine IP-Adresse DHCP, VLAN, Link
169.254.x.x DHCP nicht erreichbar
falsche IP-Adresse falsches VLAN oder falscher DHCP-Bereich
Gateway nicht erreichbar falsches Gateway, VLAN, ARP
Internet geht nicht Gateway, Default Route, NAT, DNS
IP geht, Name nicht DNS-Problem
Ping geht, Dienst nicht Schicht 4 oder 7 prüfen
VLAN zu VLAN geht nicht Inter-VLAN-Routing oder Firewall
extern nicht erreichbar NAT, Firewall, CGNAT, DNS
IPv6 geht nicht RA, NDP, ICMPv6, Firewall

Merksatz:

Viele sichtbare IP-Probleme haben Ursachen in Gateway, VLAN, Routing oder DNS.

Was Schicht 3 nicht macht

Schicht 3 macht nicht:

- Ethernet-Frames anhand von MAC-Adressen switchen
- VLAN-Tags setzen
- TCP-Verbindungen aufbauen
- UDP-Ports auswerten
- DNS-Namen auflösen
- Webseiten bereitstellen
- Benutzer authentifizieren
- Zertifikate prüfen

Merksatz:

Schicht 3 routet IP-Pakete,
stellt aber keine Anwendung bereit.

Prüfungswissen: wichtigste Zuordnungen

Begriff richtige Einordnung
IP-Adresse Schicht 3
IP-Paket Schicht 3
Router Schicht 3
Routing Schicht 3
Standard-Gateway Schicht 3
Subnetzmaske Schicht 3
ICMP Schicht 3
Ping Schicht 3
Traceroute Schicht 3
TTL Schicht 3
NAT Schicht 3
PAT Schicht 3 / 4
VLAN Schicht 2
MAC-Adresse Schicht 2
TCP-Port Schicht 4
DNS Schicht 7

Merksatz:

IP, Router, Routing, ICMP = Schicht 3.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Welche Aufgabe hat OSI-Schicht 3?
- Was ist eine IP-Adresse?
- Was ist ein IP-Paket?
- Was ist der Unterschied zwischen MAC und IP?
- Was macht ein Router?
- Was ist ein Standard-Gateway?
- Wann wird ein Gateway benötigt?
- Was ist ein Subnetz?
- Was bedeutet CIDR?
- Wie berechnet man nutzbare Hosts?
- Was ist eine Routing-Tabelle?
- Was ist eine Default Route?
- Was bedeutet Longest Prefix Match?
- Was macht ICMP?
- Warum nutzt ICMP keine Ports?
- Was prüfen Ping und Traceroute?
- Was ist NAT?
- Was ist PAT?
- Was ist der Unterschied zwischen IPv4 und IPv6?
- Warum nutzt IPv6 kein ARP?

Typische Prüfungsfallen

Schicht 3 arbeitet mit IP-Paketen.

Schicht 2 arbeitet mit Frames.

MAC-Adresse gehört zu Schicht 2.

IP-Adresse gehört zu Schicht 3.

Switch = Schicht 2.

Router = Schicht 3.

Gleiches Subnetz = direkt.

Anderes Subnetz = Gateway.

Gateway muss im eigenen Subnetz liegen.

Default Route = 0.0.0.0/0.

Genaueste passende Route gewinnt.

Kommunikation braucht Hinweg und Rückweg.

Ping nutzt ICMP.

ICMP nutzt keine TCP- oder UDP-Ports.

Ping-Erfolg bedeutet nicht,
dass eine Anwendung funktioniert.

NAT ist nicht Routing.

NAT ist nicht Firewall.

PAT nutzt Ports.

IPv4 hat 32 Bit.

IPv6 hat 128 Bit.

IPv6 hat keinen Broadcast.

IPv6 nutzt NDP statt ARP.

ICMPv6 ist für IPv6 wichtig.

VLAN ist nicht Subnetz.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Vermittlungsschicht OSI-Schicht 3
Netzwerkschicht anderer Begriff für Schicht 3
IP-Adresse logische Adresse auf Schicht 3
IP-Paket Datenform auf Schicht 3
Subnetz logischer IP-Adressbereich
Subnetzmaske trennt Netzanteil und Hostanteil
CIDR Schreibweise mit Präfixlänge
Standard-Gateway Router für Ziele außerhalb des eigenen Subnetzes
Router Gerät zur Weiterleitung zwischen IP-Netzen
Routing Weiterleitung von IP-Paketen
Routing-Tabelle Tabelle mit Wegen zu Zielnetzen
Default Route Route für unbekannte Ziele
Longest Prefix Match genaueste passende Route gewinnt
Nächster Hop nächster Router auf dem Weg
Rückroute Weg zurück zum Absender
TTL Lebensdauerbegrenzung von IP-Paketen
ICMP Kontrollmeldungen für IP
Ping ICMP-Erreichbarkeitstest
Traceroute Weganzeige über Router
NAT Übersetzung von IP-Adressen
PAT NAT mit Port-Zuordnung
IPv6 Internet Protocol Version 6
NDP Neighbor Discovery Protocol
SLAAC automatische IPv6-Adressbildung
Dual Stack IPv4 und IPv6 gleichzeitig

IHK-sichere Gesamtformulierung

Die Vermittlungsschicht beziehungsweise Netzwerkschicht ist Schicht 3 des OSI-Modells. Sie ist für die logische Adressierung und Weiterleitung von IP-Paketen zwischen verschiedenen Netzwerken zuständig. Dazu werden IP-Adressen, Subnetzmasken, Standard-Gateways, Routing-Tabellen und Router verwendet. Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, wird das Paket an das Standard-Gateway gesendet. ICMP wird für Kontroll- und Fehlermeldungen verwendet, NAT übersetzt IP-Adressen und IPv6 erweitert den Adressraum auf 128 Bit.

Wichtigste Merksätze

Schicht 3 = Vermittlungsschicht / Netzwerkschicht.

Schicht 3 = IP, Pakete und Routing.

IP-Adresse = logische Adresse.

IP-Paket = Datenform auf Schicht 3.

MAC = lokal.

IP = netzübergreifend.

MAC-Adresse = Schicht 2.

IP-Adresse = Schicht 3.

Switch = Schicht 2.

Router = Schicht 3.

Router entscheidet anhand der Ziel-IP.

Routing = Wegentscheidung für IP-Pakete.

Gleiches Subnetz = direkt.

Anderes Subnetz = Gateway.

Gateway muss im eigenen Subnetz liegen.

Subnetzmaske trennt Netz und Host.

CIDR gibt Netz-Bits an.

Host-Bits = 32 minus Präfix.

Nutzbare Hosts = 2 hoch Host-Bits minus 2.

Default Route = 0.0.0.0/0.

Longest Prefix Match = genaueste Route gewinnt.

Kommunikation braucht Hinweg und Rückweg.

TTL verhindert endloses Kreisen von IP-Paketen.

ICMP = Kontrollmeldungen für IP.

ICMP nutzt Typ und Code,
keine Ports.

Ping prüft IP-Erreichbarkeit.

Traceroute zeigt Router-Hops.

NAT übersetzt IP-Adressen.

PAT nutzt zusätzlich Ports.

IPv4 = 32 Bit.

IPv6 = 128 Bit.

IPv6 nutzt NDP statt ARP.

ICMPv6 ist für IPv6 wichtig.

VLAN = Schicht 2.

Subnetz = Schicht 3.

Inter-VLAN-Routing = Schicht 3.

Erst Link,
dann MAC/VLAN,
dann IP/Routing.