Netzwerktechnik 1. Grundlagen der Netzwerktechnik Netzwerk Ziel dieser Zusammenfassung Diese Zusammenfassung führt Schritt für Schritt durch zentrale Themen der Netzwerktechnik. Behandelte Themen: Grundlagen von Netzwerken OSI-Schichtenmodell Schicht 0: Übertragungsmedien Ethernet-Frame Sniffer Schicht 1: Netzwerkkarte und Hub Schicht 2: MAC-Adresse, Switch, VLAN Schicht 3: IPv4, IPv6, DHCP, DNS, Routing Schicht 4: Ports, TCP, UDP, NAT Firewall-Grundlagen SPI-Firewall DMZ 1. Grundlagen der Netzwerktechnik Ein Netzwerk verbindet mehrere Geräte miteinander, damit diese Daten austauschen und gemeinsame Ressourcen verwenden können. Typische Geräte in einem Netzwerk: PC Notebook Smartphone Server Drucker NAS Switch Router Firewall Access Point Ein Netzwerk besteht also nicht nur aus Computern, sondern aus allen Geräten, die miteinander kommunizieren können. 1.1 Vorteile von Netzwerken Netzwerke werden eingesetzt, weil sie viele praktische Vorteile bieten: schneller Datenaustausch gemeinsame Nutzung von Druckern und Servern zentrale Datenspeicherung zentrale Benutzerverwaltung gemeinsame Internetnutzung einfachere Sicherung von Daten bessere Zusammenarbeit im Unternehmen Beispiel: In einem Unternehmen müssen nicht alle Mitarbeiter eigene Drucker besitzen. Alle können über das Netzwerk denselben Netzwerkdrucker verwenden. 1.2 Nachteile und Risiken von Netzwerken Netzwerke bringen auch Risiken mit sich: Schadsoftware kann sich schneller verbreiten Angriffe von innen und außen sind möglich falsche Konfiguration kann Sicherheitslücken erzeugen Ausfall zentraler Systeme kann viele Benutzer betreffen Wartung und Administration verursachen Kosten Deshalb sind Schutzmaßnahmen wie Firewalls, VLANs, Benutzerrechte, Updates und Backups wichtig. 1.3 Netzwerkgrößen Netzwerke werden oft nach ihrer räumlichen Ausdehnung unterschieden. Begriff Bedeutung Beispiel LAN Local Area Network Netzwerk in einem Büro, Schule oder Zuhause MAN Metropolitan Area Network Netzwerk innerhalb einer Stadt WAN Wide Area Network Netzwerk über große Entfernungen, z. B. Internet 1.4 Topologien Eine Topologie beschreibt, wie Geräte in einem Netzwerk miteinander verbunden sind. Topologie Erklärung Bus Alle Geräte hängen an einer gemeinsamen Leitung. Heute veraltet. Ring Geräte sind ringförmig verbunden. Daten laufen im Kreis. Stern Alle Geräte sind mit einem zentralen Gerät verbunden, meistens einem Switch. Mesh Geräte sind mehrfach miteinander verbunden. Dadurch entsteht Redundanz. Grafik: Sterntopologie flowchart TD SW[Switch] PC1[PC 1] PC2[PC 2] PC3[PC 3] PR[Drucker] NAS[NAS / Server] SW --- PC1 SW --- PC2 SW --- PC3 SW --- PR SW --- NAS Die Sterntopologie ist heute im LAN am häufigsten. Fällt ein einzelnes Kabel aus, ist meist nur ein Gerät betroffen. Fällt aber der zentrale Switch aus, sind alle daran angeschlossenen Geräte betroffen. 1.5 Simplex, Halbduplex und Vollduplex Begriff Bedeutung Beispiel Simplex Kommunikation nur in eine Richtung Radio, Fernsehsendung Halbduplex Kommunikation in beide Richtungen, aber nicht gleichzeitig Funkgerät Vollduplex Kommunikation gleichzeitig in beide Richtungen modernes Ethernet mit Switch Merksatz: Hub = meistens Halbduplex Switch = Vollduplex möglich 2. OSI-Schichtenmodell Das OSI-Modell teilt Netzwerkkommunikation in 7 Schichten ein. Jede Schicht hat eine bestimmte Aufgabe. Der Vorteil: Netzwerkprobleme lassen sich besser eingrenzen. Beispiel: Wenn ein PC keine Webseite öffnen kann, kann man schrittweise prüfen: Ist das Kabel verbunden? Hat der PC eine IP-Adresse? Funktioniert DNS? Ist der Webserver erreichbar? Blockiert eine Firewall? 2.1 Die 7 OSI-Schichten Schicht Name Aufgabe Beispiele 7 Anwendung Dienste für Anwendungen HTTP, HTTPS, DNS, SMTP 6 Darstellung Datenformat, Codierung, Verschlüsselung TLS, Zeichencodierung 5 Sitzung Verbindungen zwischen Anwendungen verwalten Sitzungen, Logins 4 Transport Ende-zu-Ende-Kommunikation TCP, UDP, Ports 3 Vermittlung logische Adressierung und Routing IP, Router 2 Sicherung lokale Zustellung im LAN MAC-Adresse, Switch, Ethernet 1 Bitübertragung elektrische, optische oder Funk-Signale Netzwerkkarte, Kabel 0 Übertragungsmedium physisches Medium selbst Kupfer, Glasfaser, Funk Hinweis: Schicht 0 gehört nicht offiziell zum OSI-Modell, wird im Unterricht aber oft als praktische Ergänzung verwendet. 2.2 Merksatz für das OSI-Modell Von oben nach unten: Alle Deutschen Schüler Trinken Verschiedene Sorten Brause Wort Schicht Alle Anwendung Deutschen Darstellung Schüler Sitzung Trinken Transport Verschiedene Vermittlung Sorten Sicherung Brause Bitübertragung 2.3 OSI-Modell als Grafik flowchart TB L7["7 Anwendung
HTTP, HTTPS, DNS"] L6["6 Darstellung
Format, Verschlüsselung"] L5["5 Sitzung
Sitzungen, Verbindungen"] L4["4 Transport
TCP, UDP, Ports"] L3["3 Vermittlung
IP, Routing"] L2["2 Sicherung
MAC, Switch, Ethernet"] L1["1 Bitübertragung
Signale, Netzwerkkarte"] L0["0 Medium
Kabel, Glasfaser, Funk"] L7 --> L6 --> L5 --> L4 --> L3 --> L2 --> L1 --> L0 2.4 TCP/IP-Modell In der Praxis wird häufig das TCP/IP-Modell verwendet. Es ist weniger theoretisch als das OSI-Modell und orientiert sich stärker an realen Netzwerken. TCP/IP-Schicht Entspricht ungefähr OSI Beispiele Anwendung OSI 5–7 HTTP, HTTPS, DNS, SMTP Transport OSI 4 TCP, UDP Internet OSI 3 IPv4, IPv6, ICMP Netzzugang OSI 1–2 Ethernet, WLAN, MAC 2.5 Datenkapselung Beim Senden werden Daten auf jeder Schicht verpackt. Jede Schicht fügt eigene Steuerinformationen hinzu. Beispiel beim Aufruf einer Webseite: flowchart TD A["HTTP-Daten
Webseiteninhalt"] B["TCP-Header + HTTP-Daten
Port 80/443"] C["IP-Header + TCP + Daten
Quell-IP / Ziel-IP"] D["Ethernet-Header + IP + TCP + Daten
Quell-MAC / Ziel-MAC"] E["Bits auf Kabel / Glasfaser / Funk"] A --> B --> C --> D --> E Wichtig für die IHK: MAC-Adresse arbeitet auf Schicht 2 IP-Adresse arbeitet auf Schicht 3 Ports arbeiten auf Schicht 4 Anwendungen wie HTTP oder DNS liegen oben im Modell 3. Schicht 0 – Übertragungsmedien Schicht 0 beschreibt das Medium, über das Daten übertragen werden. Typische Medien: Koaxialkabel Twisted-Pair-Kabel Lichtwellenleiter Funk bei WLAN 3.1 Koaxialkabel Koaxialkabel wurden früher häufig in Bus-Netzwerken verwendet. Heute sind sie in klassischen LANs veraltet. Merkmale: früher für Ethernet verwendet Bus-Topologie störanfällig bei schlechter Verkabelung heute kaum noch relevant für moderne LANs 3.2 Twisted-Pair-Kabel Twisted-Pair-Kabel sind die typischen Netzwerkkabel mit RJ45-Stecker. Die Adernpaare sind verdrillt. Dadurch werden Störungen reduziert. Kategorie Typische Verwendung Cat 5e bis 1 Gbit/s Cat 6 1 Gbit/s, teilweise 2,5/5 Gbit/s Cat 6A bis 10 Gbit/s Cat 7 hochwertige Gebäudeverkabelung Cat 8 sehr hohe Datenraten im kurzen Bereich Faustregel: Für normale Büro- und Heimnetzwerke ist Cat 6 oder Cat 6A meistens ausreichend. 3.3 Lichtwellenleiter Lichtwellenleiter übertragen Daten mit Licht statt mit elektrischen Signalen. Vorteile: hohe Reichweite hohe Geschwindigkeit unempfindlicher gegen elektromagnetische Störungen gut für Gebäudeverbindungen und Rechenzentren Nachteile: empfindlicher gegen Knicken teurer in Installation und Technik Spleißen und Messung benötigen Fachwissen 3.4 Multimode und Singlemode Typ Erklärung Einsatz Multimode Licht läuft auf mehreren Wegen durch die Faser kurze bis mittlere Strecken Singlemode Licht läuft auf einem sehr engen Weg lange Strecken Merksatz: Multimode = kürzere Strecken Singlemode = lange Strecken 3.5 Verkabelungsregel Eine einfache praktische Regel: Entfernung Medium bis ca. 100 m Twisted-Pair-Kupferkabel bis mehrere hundert Meter Multimode-LWL größere Entfernungen Singlemode-LWL 3.6 WLAN WLAN überträgt Daten per Funk. Wichtige Frequenzbereiche: Frequenz Eigenschaften 2,4 GHz hohe Reichweite, aber oft stärker belegt 5 GHz schneller, weniger Reichweite 6 GHz modern, hohe Geschwindigkeit, kürzere Reichweite Wichtige WLAN-Generationen: Name Standard Wi-Fi 4 IEEE 802.11n Wi-Fi 5 IEEE 802.11ac Wi-Fi 6 IEEE 802.11ax Wi-Fi 6E IEEE 802.11ax mit 6 GHz Wi-Fi 7 IEEE 802.11be 3.7 WLAN-Sicherheit Für die IHK wichtig: WLAN sollte verschlüsselt sein WPA2 ist Mindeststandard WPA3 ist empfohlen Gastnetz getrennt vom internen Netz betreiben unsichere alte Standards vermeiden starke Passwörter verwenden 4. Ethernet-Frame Ethernet arbeitet auf Schicht 2. Die Daten werden in Frames übertragen. Ein Ethernet-Frame enthält unter anderem: Ziel-MAC-Adresse Quell-MAC-Adresse Typfeld Nutzdaten Prüfsumme 4.1 Ethernet-Frame als Grafik flowchart LR A["Präambel"] B["Ziel-MAC"] C["Quell-MAC"] D["Typ"] E["Daten
z. B. IP + TCP + HTTP"] F["FCS / Prüfsumme"] A --> B --> C --> D --> E --> F 4.2 MAC-Adresse Eine MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle. Eigenschaften: 48 Bit lang hexadezimale Schreibweise Beispiel: 00:1A:2B:3C:4D:5E arbeitet auf OSI-Schicht 2 wird im lokalen Netzwerk verwendet Wichtig: Eine MAC-Adresse wird nur im lokalen Netzwerksegment verwendet. Sobald ein Paket über einen Router weitergeleitet wird, ändern sich die MAC-Adressen auf dem Weg. Die IP-Adressen bleiben dagegen im Normalfall gleich. 4.3 FCS / CRC Die Prüfsumme dient zur Fehlererkennung. Wenn ein Frame beschädigt ist, kann dies erkannt werden. Der Frame wird dann verworfen. Wichtig: Ethernet korrigiert Fehler nicht selbst. Fehlerhafte Frames werden verworfen. Höhere Schichten, zum Beispiel TCP, können dann eine erneute Übertragung auslösen. 4.4 MTU und Nutzdaten Die übliche MTU bei Ethernet beträgt 1500 Byte. Das bedeutet: Ein Ethernet-Frame kann typischerweise 1500 Byte Nutzdaten für die nächsthöhere Schicht transportieren. Da IP- und TCP-Header ebenfalls Platz benötigen, bleiben für reine Anwendungsdaten weniger als 1500 Byte übrig. 5. Sniffer Ein Sniffer ist ein Werkzeug zur Analyse von Netzwerkverkehr. Beispiele: Wireshark tcpdump Windump Sniffer werden zur Fehlersuche eingesetzt. Beispiele: Warum bekommt ein Client keine IP-Adresse? Wird DNS korrekt aufgelöst? Sendet ein Gerät ARP-Anfragen? Kommt eine TCP-Verbindung zustande? 5.1 Rechtlicher Hinweis Sniffing darf nur erlaubt und kontrolliert eingesetzt werden. In Unternehmen gilt: Vorgesetzte informieren Datenschutz beachten Betriebsrat einbeziehen, falls vorhanden nicht heimlich fremde Daten mitschneiden Für Ausbildung und Laborumgebungen ist Sniffing sinnvoll, solange keine fremden Daten ausspioniert werden. 6. Schicht 1 – Bitübertragung Schicht 1 beschreibt die technische Übertragung der Bits. Dazu gehören: elektrische Signale optische Signale Funkwellen Netzwerkkarten physische Anschlüsse 6.1 Netzwerkkarte Die Netzwerkkarte verbindet den Computer mit dem Netzwerk. Aufgaben: Daten senden und empfangen Signale erzeugen Prüfsummen prüfen Zugriff auf das Medium steuern MAC-Adresse bereitstellen 6.2 CSMA/CD und CSMA/CA Verfahren Bedeutung Einsatz CSMA/CD Kollisionserkennung alte kabelgebundene Netze mit Hub CSMA/CA Kollisionsvermeidung WLAN Merksatz: CD = Collision Detection = Kollision erkennen CA = Collision Avoidance = Kollision vermeiden 6.3 Hub Ein Hub ist ein veraltetes Netzwerkgerät. Eigenschaften: verteilt Daten an alle Ports kennt keine MAC-Adressen erzeugt unnötigen Datenverkehr Sniffing ist leicht möglich nur Halbduplex praktisch durch Switches ersetzt 7. Schicht 2 – Sicherungsschicht Schicht 2 ist für die lokale Kommunikation im gleichen Netzwerk zuständig. Wichtige Begriffe: MAC-Adresse Ethernet-Frame Switch VLAN ARP Broadcast 7.1 Switch Ein Switch verbindet Geräte in einem LAN. Er arbeitet hauptsächlich auf Schicht 2 und leitet Frames anhand der MAC-Adresse weiter. Vorteile gegenüber einem Hub: sendet Frames gezielt an den richtigen Port weniger unnötiger Datenverkehr Vollduplex möglich höhere Geschwindigkeit bessere Sicherheit 7.2 Switch-Tabelle Ein Switch merkt sich, welche MAC-Adresse an welchem Port erreichbar ist. Diese Tabelle wird oft MAC Address Table, SAT-Tabelle oder Forwarding Table genannt. Ablauf: Ein Frame kommt am Switch an. Der Switch liest die Quell-MAC-Adresse. Er merkt sich: Diese MAC-Adresse befindet sich an diesem Port. Bei späteren Frames zur gleichen MAC-Adresse kann der Switch gezielt weiterleiten. 7.3 ARP ARP bedeutet Address Resolution Protocol. ARP wird bei IPv4 verwendet, um zu einer IP-Adresse die passende MAC-Adresse zu finden. Beispiel: Ein PC möchte an 192.168.1.20 senden, kennt aber nur die IP-Adresse. Dann fragt er per Broadcast: „Wer hat 192.168.1.20?“ Das Zielgerät antwortet: „Ich habe 192.168.1.20, meine MAC-Adresse ist ...“ 7.4 ARP als Grafik sequenceDiagram participant PC1 as PC 1 participant LAN as LAN / Switch participant PC2 as PC 2 PC1->>LAN: ARP Request: Wer hat 192.168.1.20? LAN->>PC2: Broadcast wird weitergeleitet PC2->>PC1: ARP Reply: Ich habe die IP, meine MAC ist AA:BB:CC... 7.5 Managed und unmanaged Switch Typ Erklärung Unmanaged Switch keine Konfiguration nötig, einfache Nutzung Managed Switch konfigurierbar, z. B. VLAN, Port-Mirroring, STP, PoE Für Unternehmen sind managed Switches wichtig, weil sie mehr Kontrolle und Sicherheit bieten. 7.6 Port-Mirroring Beim Port-Mirroring wird der Datenverkehr eines Ports auf einen anderen Port kopiert. Einsatz: Analyse mit Wireshark Fehlersuche Sicherheitsanalyse 7.7 Link Aggregation Bei Link Aggregation werden mehrere physische Netzwerkverbindungen zu einer logischen Verbindung zusammengefasst. Vorteile: höhere Gesamtbandbreite Redundanz bessere Auslastung Wichtig: Eine einzelne Verbindung wird nicht automatisch doppelt so schnell. Die Last wird meistens auf mehrere Verbindungen verteilt. 7.8 Power over Ethernet Power over Ethernet, kurz PoE, überträgt Daten und Strom über dasselbe Netzwerkkabel. Typische Geräte: IP-Telefone Access Points Überwachungskameras kleine Netzwerkgeräte Vorteil: Man braucht nicht an jedem Gerät eine eigene Steckdose. 7.9 Spanning Tree Protocol Das Spanning Tree Protocol verhindert Schleifen zwischen Switches. Warum ist das wichtig? Wenn Switches mehrfach miteinander verbunden sind, kann ein Broadcast endlos im Kreis laufen. Dadurch kann das Netzwerk stark überlastet werden. STP blockiert bestimmte Verbindungen logisch und aktiviert sie bei Bedarf wieder, wenn eine andere Verbindung ausfällt. 7.10 Spanning Tree als Grafik flowchart TD SW1[Switch 1] SW2[Switch 2] SW3[Switch 3] SW4[Switch 4] SW1 --- SW2 SW2 --- SW3 SW3 -. blockiert durch STP .- SW4 SW4 --- SW1 Die gestrichelte Verbindung ist vorhanden, wird aber logisch blockiert. Fällt eine andere Verbindung aus, kann STP neu berechnen und die blockierte Verbindung wieder aktivieren. 7.11 VLAN VLAN bedeutet Virtual Local Area Network. Ein VLAN teilt ein physisches Netzwerk in mehrere logische Netzwerke auf. Beispiel: Ein Switch kann gleichzeitig mehrere getrennte Netze bereitstellen: VLAN 10 = Verwaltung VLAN 20 = Schüler / Mitarbeiter VLAN 30 = Gäste VLAN 40 = Server Vorteile: bessere Sicherheit weniger Broadcast-Verkehr klare Trennung von Bereichen einfachere Netzwerkstruktur 7.12 VLAN als Grafik flowchart TD SW[Managed Switch] PC1[PC Verwaltung
VLAN 10] PC2[PC Verwaltung
VLAN 10] PC3[Gastgerät
VLAN 30] PC4[Server
VLAN 40] SW --- PC1 SW --- PC2 SW --- PC3 SW --- PC4 Geräte im gleichen VLAN können direkt miteinander kommunizieren. Geräte in unterschiedlichen VLANs benötigen Routing, meist über einen Router, Layer-3-Switch oder eine Firewall. 7.13 Tagged und Untagged VLAN Begriff Erklärung Untagged Port Port gehört fest zu einem VLAN, z. B. Endgerät Tagged Port VLAN-Information wird im Frame mitgesendet, z. B. Verbindung zwischen Switches Trunk Verbindung, die mehrere VLANs transportiert Beispiel: Ein PC-Port ist meistens untagged. Eine Verbindung zwischen zwei Switches ist meistens tagged. 8. Schicht 3 – Vermittlungsschicht Schicht 3 ist für logische Adressierung und Routing zuständig. Wichtige Themen: IPv4 IPv6 Subnetzmaske Routing DHCP DNS Router Layer-3-Switch 8.1 IPv4-Adresse Eine IPv4-Adresse ist 32 Bit lang. Sie wird in vier Oktette aufgeteilt. Beispiel: 192.168.1.10 Binär: 11000000.10101000.00000001.00001010 Jedes Oktett hat 8 Bit und kann Werte von 0 bis 255 enthalten. 8.2 Subnetzmaske Die Subnetzmaske trennt eine IP-Adresse in Netzanteil und Hostanteil. Beispiel: IP-Adresse: 192.168.1.10 Subnetzmaske: 255.255.255.0 CIDR-Schreibweise: /24 Das bedeutet: die ersten 24 Bit gehören zum Netzanteil die restlichen 8 Bit gehören zum Hostanteil Netz: 192.168.1.0/24 Hostbereich: 192.168.1.1 bis 192.168.1.254 Broadcast: 192.168.1.255 8.3 IPv4-Netz als Grafik flowchart LR A["192.168.1.0
Netzadresse"] B["192.168.1.1
erster Host"] C["192.168.1.10
Host"] D["192.168.1.254
letzter Host"] E["192.168.1.255
Broadcast"] A --> B --> C --> D --> E 8.4 Netzadresse und Broadcast In jedem IPv4-Netz gibt es zwei besondere Adressen: Adresse Bedeutung erste Adresse Netzadresse letzte Adresse Broadcast-Adresse Diese beiden Adressen können nicht als normale Hostadresse verwendet werden. Beispiel bei 192.168.1.0/24 : Typ Adresse Netzadresse 192.168.1.0 erster Host 192.168.1.1 letzter Host 192.168.1.254 Broadcast 192.168.1.255 8.5 Private IPv4-Adressbereiche Private IP-Adressen werden in lokalen Netzwerken verwendet und nicht direkt im Internet geroutet. Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Diese Bereiche sind besonders wichtig für Heimnetzwerke, Firmennetze, Labore und virtuelle Umgebungen. 8.6 Besondere IPv4-Adressen Adresse Bedeutung 0.0.0.0 unspezifizierte Adresse 127.0.0.1 localhost / Loopback 169.254.0.0/16 APIPA / Link Local 255.255.255.255 lokaler Broadcast APIPA sieht man häufig, wenn ein Client keine Adresse vom DHCP-Server bekommt. 8.7 Subnetting Subnetting bedeutet, ein größeres Netzwerk in kleinere Teilnetze aufzuteilen. Warum macht man Subnetting? bessere Struktur weniger Broadcast-Verkehr bessere Sicherheit Trennung von Abteilungen effizientere Adressvergabe Beispiel: Aus 192.168.1.0/24 werden zwei Subnetze: Subnetz Bereich 192.168.1.0/25 192.168.1.0 bis 192.168.1.127 192.168.1.128/25 192.168.1.128 bis 192.168.1.255 Nutzbare Hosts: Subnetz nutzbare Hosts 192.168.1.0/25 192.168.1.1 bis 192.168.1.126 192.168.1.128/25 192.168.1.129 bis 192.168.1.254 8.8 Subnetting-Regel Formel: Anzahl Adressen = 2^(Hostbits) nutzbare Hosts = 2^(Hostbits) - 2 Beispiel /24 : 32 Bit insgesamt 24 Bit Netzanteil 8 Bit Hostanteil 2⁸ = 256 Adressen 256 - 2 = 254 nutzbare Hosts 8.9 Häufige CIDR-Werte CIDR Subnetzmaske Adressen nutzbare Hosts /24 255.255.255.0 256 254 /25 255.255.255.128 128 126 /26 255.255.255.192 64 62 /27 255.255.255.224 32 30 /28 255.255.255.240 16 14 /29 255.255.255.248 8 6 /30 255.255.255.252 4 2 Für IHK-Aufgaben sind diese Werte sehr wichtig. 8.10 IPv6 IPv6 ist der Nachfolger von IPv4. Eigenschaften: 128 Bit lang hexadezimale Schreibweise sehr großer Adressraum kein klassisches Broadcast wie bei IPv4 nutzt Multicast und Neighbor Discovery Beispiel: 2001:0db8:0000:0000:0000:ff00:0042:8329 Gekürzt: 2001:db8::ff00:42:8329 8.11 IPv6 kürzen Regeln: führende Nullen in einem Block dürfen weggelassen werden eine zusammenhängende Folge von Null-Blöcken darf einmal durch :: ersetzt werden Beispiel: Lang: 2001:0db8:0000:0000:0000:0000:0000:0001 Kurz: 2001:db8::1 Wichtig: :: darf nur einmal in einer IPv6-Adresse verwendet werden, sonst wäre die Adresse nicht eindeutig. 8.12 Besondere IPv6-Adressen Adresse / Bereich Bedeutung :: unspezifizierte Adresse ::1 Loopback fe80::/10 Link Local fc00::/7 Unique Local Address ff00::/8 Multicast 8.13 DHCP DHCP vergibt automatisch Netzwerkkonfigurationen an Clients. Typische DHCP-Informationen: IP-Adresse Subnetzmaske Standardgateway DNS-Server Lease-Zeit 8.14 DHCP-Ablauf Der typische DHCP-Ablauf besteht aus vier Schritten: Schritt Bedeutung Discover Client sucht DHCP-Server Offer Server bietet Adresse an Request Client fordert Adresse an Acknowledge Server bestätigt die Vergabe Merksatz: DORA Discover Offer Request Acknowledge 8.15 DHCP als Grafik sequenceDiagram participant C as Client participant S as DHCP-Server C->>S: DHCP Discover S->>C: DHCP Offer C->>S: DHCP Request S->>C: DHCP Acknowledge 8.16 DNS DNS bedeutet Domain Name System. DNS übersetzt Namen in IP-Adressen. Beispiel: www.example.com wird zu einer IP-Adresse aufgelöst. Warum ist DNS wichtig? Menschen merken sich Namen leichter als IP-Adressen. 8.17 FQDN FQDN bedeutet Fully Qualified Domain Name. Beispiel: server01.firma.local Bestandteile: Teil Bedeutung server01 Hostname firma Domain local Top-Level oder interner Namensraum 8.18 Routing Routing bedeutet, Datenpakete zwischen verschiedenen Netzwerken weiterzuleiten. Ein Router verbindet mehrere IP-Netze. Beispiel: Netz A: 192.168.1.0/24 Netz B: 192.168.2.0/24 Damit Geräte aus beiden Netzen kommunizieren können, braucht man einen Router oder Layer-3-Switch. 8.19 Routing als Grafik flowchart LR A["PC A
192.168.1.10/24"] R["Router
192.168.1.1 / 192.168.2.1"] B["PC B
192.168.2.10/24"] A --- R --- B Wenn PC A mit PC B kommunizieren möchte, erkennt PC A: PC B liegt nicht im eigenen Netz. Deshalb sendet PC A das Paket an sein Standardgateway. 8.20 Statisches und dynamisches Routing Art Erklärung statisches Routing Routen werden manuell eingetragen dynamisches Routing Router tauschen Routen automatisch aus Für kleinere Netze reichen statische Routen oft aus. In größeren Netzen verwendet man dynamische Routing-Protokolle. 8.21 Layer-3-Switch Ein Layer-3-Switch kann zusätzlich zum Switching auch Routing übernehmen. Typischer Einsatz: VLANs miteinander verbinden schnelles Routing im LAN Entlastung eines Routers Beispiel: VLAN 10 und VLAN 20 können über einen Layer-3-Switch miteinander kommunizieren, wenn Routing erlaubt ist. 9. Schicht 4 – Transportschicht Schicht 4 ist für die Kommunikation zwischen Anwendungen zuständig. Wichtige Themen: TCP UDP Ports Verbindungsaufbau Verbindungsabbau NAT Portweiterleitung 9.1 Ports Ports dienen dazu, Anwendungen auf einem Gerät zu unterscheiden. Ein Gerät kann eine IP-Adresse haben, aber viele Dienste gleichzeitig anbieten. Beispiel: Dienst Port HTTP 80 HTTPS 443 DNS 53 SSH 22 SMTP 25 IMAP 143 RDP 3389 Die IP-Adresse sagt, welches Gerät gemeint ist. Der Port sagt, welche Anwendung auf dem Gerät gemeint ist. 9.2 Schreibweise IP-Adresse mit Port Beispiele: 192.168.1.10:80 10.0.0.5:22 https://example.com:443 9.3 Portbereiche Bereich Name Bedeutung 0–1023 System Ports / Well-known Ports bekannte Standarddienste 1024–49151 User Ports registrierte Anwendungen 49152–65535 Dynamic / Private Ports temporäre Client-Ports 9.4 TCP TCP ist verbindungsorientiert. Eigenschaften: zuverlässige Übertragung Reihenfolge der Daten wird sichergestellt verlorene Daten werden erneut gesendet Verbindung wird aufgebaut und beendet mehr Verwaltungsaufwand als UDP Typische TCP-Dienste: HTTP HTTPS SSH SMTP IMAP FTP 9.5 TCP-Verbindungsaufbau TCP nutzt den Three-Way-Handshake. sequenceDiagram participant C as Client participant S as Server C->>S: SYN S->>C: SYN/ACK C->>S: ACK Danach ist die Verbindung aufgebaut. 9.6 TCP-Verbindungsabbau Eine TCP-Verbindung wird kontrolliert beendet. Vereinfacht: sequenceDiagram participant C as Client participant S as Server C->>S: FIN S->>C: ACK S->>C: FIN C->>S: ACK 9.7 UDP UDP ist verbindungslos. Eigenschaften: kein Verbindungsaufbau keine Garantie für Zustellung keine automatische Wiederholung schneller und schlanker als TCP Typische UDP-Dienste: DNS DHCP VoIP Streaming Gaming 9.8 TCP und UDP Vergleich Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit hoch keine Garantie Reihenfolge wird sichergestellt nicht garantiert Geschwindigkeit mehr Overhead weniger Overhead Beispiele HTTPS, SSH, SMTP DNS, DHCP, VoIP 9.9 NAT NAT bedeutet Network Address Translation. NAT übersetzt IP-Adressen. Typischer Fall: Viele private Geräte im LAN nutzen eine gemeinsame öffentliche IP-Adresse für den Zugriff ins Internet. Beispiel: PC intern: 192.168.1.10 Router öffentlich: 84.x.x.x Der Router ersetzt beim Senden ins Internet die private Quelladresse durch seine öffentliche Adresse. 9.10 NAT als Grafik flowchart LR PC["PC
192.168.1.10"] R["Router / NAT
innen: 192.168.1.1
außen: öffentliche IP"] INET["Internet
Webserver"] PC --> R --> INET INET --> R --> PC 9.11 PAT PAT bedeutet Port Address Translation. PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden. Dadurch können viele interne Geräte gleichzeitig über eine öffentliche IP-Adresse kommunizieren. Beispiel: Intern Extern 192.168.1.10:50001 öffentliche-IP:61001 192.168.1.11:50002 öffentliche-IP:61002 Der Router merkt sich diese Zuordnung in einer NAT-Tabelle. 9.12 Portforwarding Portforwarding wird auch Destination NAT genannt. Dabei wird eine Anfrage von außen an ein internes Gerät weitergeleitet. Beispiel: Anfrage aus dem Internet an: öffentliche-IP:443 wird weitergeleitet an: 192.168.1.20:443 Typische Verwendung: Webserver im internen Netzwerk VPN-Server Spieleserver Remote-Zugriff Sicherheitswarnung: Portforwarding öffnet Dienste nach außen. Deshalb sollte man nur notwendige Ports freigeben und Dienste aktuell halten. 9.13 Portforwarding als Grafik flowchart LR I["Client im Internet"] R["Router / Firewall
Port 443 offen"] S["Interner Webserver
192.168.1.20:443"] I --> R --> S 9.14 Allowlist und Blocklist Begriff Bedeutung Allowlist Nur ausdrücklich erlaubte Dinge sind erlaubt Blocklist Nur ausdrücklich verbotene Dinge sind blockiert Sicherer ist meistens das Allowlist-Prinzip: Alles ist verboten, außer es wurde ausdrücklich erlaubt. 10. Firewalls Eine Firewall kontrolliert Netzwerkverkehr anhand von Regeln. Sie entscheidet: Wer darf wohin? Von welcher Quelle? Zu welchem Ziel? Über welches Protokoll? Über welchen Port? In welche Richtung? Eine Firewall schützt nicht automatisch vor allem. Sie ist nur so gut wie ihre Regeln und ihre Platzierung im Netzwerk. 10.1 Aufgaben einer Firewall Eine Firewall kann: unerwünschten Datenverkehr blockieren erlaubte Kommunikation zulassen Netze voneinander trennen Server in einer DMZ schützen Zugriffe protokollieren Angriffsfläche reduzieren Regeln für ein- und ausgehenden Verkehr erzwingen 10.2 Personal Firewall und Unternehmens-Firewall Typ Erklärung Personal Firewall läuft direkt auf einem einzelnen PC oder Server Unternehmens-Firewall schützt ein gesamtes Netzwerk oder mehrere Netzbereiche Beispiel: Die Windows Defender Firewall ist eine Personal Firewall. Eine Firewall zwischen LAN und Internet ist eine Unternehmens-Firewall. 10.3 Paketfilter-Firewall Eine einfache Paketfilter-Firewall prüft einzelne Pakete anhand von Regeln. Sie betrachtet zum Beispiel: Quell-IP Ziel-IP Protokoll Port Nachteil: Klassische Paketfilter kennen oft keinen Verbindungszustand. Hin- und Rückweg müssen dann separat erlaubt werden. Für die IHK wichtig: Paketfilter-Firewalls sind weiterhin prüfungsrelevant, auch wenn moderne Firewalls meist zustandsorientiert arbeiten. 10.4 Stateful Packet Inspection Firewall Eine SPI-Firewall ist zustandsorientiert. SPI bedeutet Stateful Packet Inspection. Das bedeutet: Die Firewall merkt sich bestehende Verbindungen. Vorteil: Wenn ein Client aus dem LAN eine Verbindung nach außen aufbaut, kann die Antwort automatisch wieder zurückgelassen werden. Der Rückweg muss nicht extra als neue Regel eingerichtet werden. 10.5 Paketfilter vs. SPI-Firewall Merkmal Paketfilter SPI-Firewall prüft einzelne Pakete ja ja kennt Verbindungszustand nein oder begrenzt ja Rückweg automatisch erlaubt nein ja, wenn Verbindung gültig Sicherheit geringer höher heutige Praxis eher veraltet üblich 10.6 Firewall-Regeln nach OSI-Schichten Eine Firewall kann je nach Typ verschiedene Informationen prüfen. OSI-Schicht Prüfkriterium Beispiel Schicht 2 MAC-Adresse Nur Gerät mit bestimmter MAC erlauben Schicht 3 IP-Adresse Quelle 192.168.1.10 erlauben Schicht 4 TCP / UDP und Ports TCP 443 erlauben Schicht 7 Anwendung HTTP, DNS, bestimmte URLs Wichtig: Je höher die Schicht, desto genauer kann geprüft werden. Dafür braucht die Firewall aber mehr Leistung und mehr Verständnis des Datenverkehrs. 10.7 Grundprinzip: Default Deny Ein sicheres Firewall-Konzept arbeitet häufig nach diesem Prinzip: Alles ist verboten, außer es wurde ausdrücklich erlaubt. Das nennt man Default Deny. Beispiel: Erlaubt: LAN → Internet: HTTPS LAN → DNS-Server: DNS Admin-PC → Server: SSH oder RDP Verboten: Internet → LAN Gäste-WLAN → internes Servernetz unbekannte Ports unnötige Dienste 10.8 Firewall als Grenze zwischen Netzen flowchart LR LAN["Internes LAN
vertrauenswürdiger Bereich"] FW["Firewall
Regelprüfung"] WAN["Internet
nicht vertrauenswürdiger Bereich"] LAN --> FW --> WAN WAN --> FW --> LAN Die Firewall steht zwischen verschiedenen Sicherheitszonen. 10.9 Typische Firewall-Zonen Zone Bedeutung LAN internes vertrauenswürdiges Netz WAN Internet / externes Netz DMZ separates Netz für öffentlich erreichbare Server Gäste-Netz getrenntes Netz für Besucher Servernetz separates Netz für wichtige Server 10.10 DMZ DMZ bedeutet Demilitarisierte Zone. Eine DMZ ist ein separates Netzwerk für Server, die aus dem Internet erreichbar sein müssen. Beispiele: Webserver Mailserver VPN-Gateway Reverse Proxy Warum DMZ? Wenn ein öffentlich erreichbarer Server kompromittiert wird, soll der Angreifer nicht direkt im internen LAN stehen. 10.11 DMZ als Grafik flowchart LR WAN["Internet"] FW["Firewall"] LAN["Internes LAN
Clients, Dateien, interne Server"] DMZ["DMZ
Webserver / Reverse Proxy"] WAN --- FW FW --- LAN FW --- DMZ Regelbeispiel: Richtung Regel Internet → DMZ Nur HTTPS zum Webserver erlauben Internet → LAN blockieren DMZ → LAN nur absolut notwendige Verbindungen LAN → DMZ Administration nur von Admin-PCs LAN → Internet notwendige Dienste erlauben 10.12 Einstufige und zweistufige DMZ Einstufige DMZ Eine Firewall trennt Internet, LAN und DMZ. Vorteil: einfacher Aufbau weniger Geräte günstiger Nachteil: die Sicherheit hängt stark an einer Firewall Zweistufige DMZ Zwei Firewalls trennen Internet, DMZ und LAN. Vorteil: bessere Trennung höheres Sicherheitsniveau Nachteil: mehr Aufwand höhere Kosten komplexere Administration 10.13 Einstufige DMZ flowchart LR I["Internet"] FW["Firewall mit 3 Schnittstellen"] LAN["LAN"] DMZ["DMZ"] I --- FW FW --- LAN FW --- DMZ 10.14 Zweistufige DMZ flowchart LR I["Internet"] FW1["Firewall 1"] DMZ["DMZ"] FW2["Firewall 2"] LAN["Internes LAN"] I --- FW1 --- DMZ --- FW2 --- LAN 10.15 Firewall-Regeln verstehen Eine Firewall-Regel besteht typischerweise aus: Bestandteil Beispiel Quelle 192.168.10.0/24 Ziel 8.8.8.8 Protokoll TCP oder UDP Port 53, 80, 443 Aktion erlauben oder blockieren Richtung eingehend, ausgehend, weitergeleitet Beispielregel: LAN darf per TCP Port 443 ins Internet. Das bedeutet: Quelle: LAN Ziel: Internet Protokoll: TCP Port: 443 Aktion: erlauben 10.16 INPUT, OUTPUT und FORWARD Bei Linux-Firewalls mit iptables sind drei Richtungen besonders wichtig. Chain Bedeutung INPUT Verkehr zur Firewall selbst OUTPUT Verkehr von der Firewall selbst nach außen FORWARD Verkehr durch die Firewall hindurch Beispiele: Situation Chain Admin greift per SSH auf Firewall zu INPUT Firewall macht selbst DNS-Abfrage OUTPUT PC im LAN geht über Firewall ins Internet FORWARD 10.17 INPUT, OUTPUT und FORWARD als Grafik flowchart LR LAN["LAN-Client"] FW["Firewall-System"] NET["Internet"] LAN -- "FORWARD
durch die Firewall" --> FW FW -- "FORWARD" --> NET LAN -- "INPUT
zur Firewall selbst" --> FW FW -- "OUTPUT
von der Firewall selbst" --> NET 10.18 Beispiel für einfache Firewall-Logik Ziel: LAN darf ins Internet Antworten aus dem Internet dürfen zurück Internet darf keine neuen Verbindungen ins LAN starten Regellogik: Erlaube bestehende und zugehörige Verbindungen. Erlaube LAN → Internet für notwendige Dienste. Blockiere neue Verbindungen von Internet → LAN. Protokolliere unerwünschte Zugriffe. Standardregel: blockieren. 10.19 Beispiel-Regelkonzept Nr. Quelle Ziel Dienst Aktion 1 LAN Internet DNS erlauben 2 LAN Internet HTTP/HTTPS erlauben 3 LAN Internet NTP erlauben 4 Internet LAN alle blockieren 5 Admin-PC Server SSH/RDP erlauben 6 Gäste-WLAN LAN alle blockieren 10.20 Firewall und VLAN VLANs trennen Netze logisch. Eine Firewall kann anschließend regeln, welche VLANs miteinander kommunizieren dürfen. Beispiel: flowchart TD FW["Firewall / Layer-3-Gateway"] V10["VLAN 10
Verwaltung"] V20["VLAN 20
Mitarbeiter"] V30["VLAN 30
Gäste"] V40["VLAN 40
Server"] V10 --- FW V20 --- FW V30 --- FW V40 --- FW Beispielregeln: Richtung Erlaubt? Verwaltung → Server ja Mitarbeiter → Server teilweise Gäste → Internet ja Gäste → Server nein Gäste → Verwaltung nein 10.21 Typische Prüfungsfragen zur Firewall Was macht eine Firewall? Eine Firewall kontrolliert Netzwerkverkehr anhand von Regeln. Sie erlaubt oder blockiert Verbindungen abhängig von Quelle, Ziel, Protokoll, Port und Richtung. Was ist der Unterschied zwischen Paketfilter und SPI-Firewall? Ein Paketfilter prüft einzelne Pakete. Eine SPI-Firewall merkt sich zusätzlich den Zustand einer Verbindung und kann Rückverkehr automatisch zuordnen. Was bedeutet Default Deny? Alles ist standardmäßig verboten. Nur ausdrücklich erlaubte Verbindungen sind zugelassen. Warum verwendet man eine DMZ? Eine DMZ trennt öffentlich erreichbare Server vom internen LAN. Dadurch wird das interne Netzwerk besser geschützt, falls ein öffentlicher Server kompromittiert wird. Auf welcher OSI-Schicht arbeiten Firewalls? Einfache Firewalls arbeiten vor allem auf Schicht 3 und 4. Moderne Firewalls können zusätzlich höhere Schichten prüfen, zum Beispiel Anwendungen auf Schicht 7. 11. IHK-Merkliste MAC-Adresse Schicht 2 lokale Zustellung im LAN wird vom Switch verwendet IP-Adresse Schicht 3 logische Adresse wird vom Router verwendet Port Schicht 4 unterscheidet Anwendungen und Dienste Switch arbeitet hauptsächlich auf Schicht 2 leitet anhand von MAC-Adressen weiter Router arbeitet auf Schicht 3 verbindet verschiedene IP-Netze Firewall kontrolliert Verkehr zwischen Netzen prüft Regeln kann auf mehreren Schichten arbeiten NAT übersetzt Adressen private Geräte nutzen öffentliche IP Portforwarding leitet externe Anfragen an interne Server weiter Sicherheitsrisiko, wenn falsch konfiguriert VLAN logische Trennung in einem physischen Netzwerk braucht Routing oder Firewall für Kommunikation zwischen VLANs DMZ separates Netz für öffentlich erreichbare Server schützt das interne LAN 12. Kurzer Gesamtüberblick als Grafik flowchart TB A["Schicht 0
Kabel, Glasfaser, Funk"] B["Schicht 1
Signale, Netzwerkkarte"] C["Schicht 2
MAC, Switch, Ethernet, VLAN"] D["Schicht 3
IP, Routing, DHCP, DNS"] E["Schicht 4
TCP, UDP, Ports, NAT"] F["Firewall
Regeln zwischen Netzen"] G["Anwendungen
HTTP, HTTPS, Mail, DNS"] A --> B --> C --> D --> E --> F --> G 13. Beispiel: Webseitenaufruf im Netzwerk Ein Client ruft eine Webseite auf. Ablauf vereinfacht: Client prüft seine IP-Konfiguration. Client fragt DNS nach der IP-Adresse der Webseite. Client baut per TCP eine Verbindung zum Webserver auf. Bei HTTPS wird Port 443 verwendet. Daten werden in TCP-Segmente verpackt. TCP wird in IP-Pakete verpackt. IP wird in Ethernet-Frames verpackt. Switch leitet Frames anhand der MAC-Adresse weiter. Router oder Firewall leitet Pakete ins Internet weiter. NAT übersetzt private Adresse in öffentliche Adresse. Antwortpakete kommen zurück. SPI-Firewall erkennt die bestehende Verbindung und lässt die Antwort passieren. 14. Webseitenaufruf als Grafik sequenceDiagram participant PC as Client-PC participant DNS as DNS-Server participant FW as Router / Firewall / NAT participant WEB as Webserver PC->>DNS: Wie lautet die IP von example.com? DNS->>PC: Antwort: IP-Adresse PC->>FW: TCP SYN an Webserver Port 443 FW->>WEB: Weiterleitung mit NAT WEB->>FW: SYN/ACK zurück FW->>PC: Antwort wird wegen SPI erlaubt PC->>WEB: HTTPS-Datenübertragung 15. Prüfungsorientierte Zusammenfassung Für die IHK solltest du besonders sicher beherrschen: OSI-Schichten und typische Geräte/Protokolle Unterschied zwischen MAC-Adresse, IP-Adresse und Port IPv4-Subnetting private IP-Bereiche DHCP-Ablauf DORA DNS-Grundprinzip Unterschied TCP und UDP NAT und Portforwarding VLAN-Grundprinzip Firewall-Regeln Unterschied Paketfilter und SPI-Firewall Zweck einer DMZ Merksatz: MAC findet Geräte im lokalen Netz. IP findet Netze. Ports finden Anwendungen. Firewalls entscheiden, was erlaubt ist. OSI-Modell OSI-Modell – Geräte & Firewall-Bezug IHK-sichere Hauptzuordnung der Schichten, Geräte und Firewall-Arten Schicht Name Worum geht es? Typische Geräte / Komponenten Firewall-Bezug Layer 7 Anwendungs- schicht Anwendungen und Dienste Proxy, Application Gateway, Webserver, DNS-Server ▣ ◉ ▤ ◌ Proxy-Firewall, Application-Level Gateway, WAF, NGFW-Anwendungsfilter Layer 6 Darstellungs- schicht Datenformat, Verschlüsselung, Komprimierung meist keine klassischen Netzwerkgeräte; ggf. TLS-/SSL-Proxy Prüfung hier meist nur bei TLS-Inspection Layer 5 Sitzungs- schicht Aufbau, Verwaltung und Abbau von Sitzungen meist keine klassischen Netzwerkgeräte; teilweise Proxy/Gateway für die IHK eher Zusatzwissen, nicht Haupt-Firewall-Schicht Layer 4 Transport- schicht Ports, Ende-zu-Ende- Verbindungen, TCP/UDP Firewall, Load Balancer ▦ ⚖ Stateful Firewall, Portfilter, TCP-/UDP-Regeln Layer 3 Vermittlungs- schicht IP-Adressierung und Routing zwischen Netzen Router, Layer-3-Switch, Firewall ◎ ⇄ ▦ Paketfilter-Firewall, ACLs, IP-Filter Layer 2 Sicherungs- schicht Kommunikation im lokalen Netz über MAC-Adressen Switch, Bridge, Access Point, Netzwerkkarte ▤ ≋ ◖ VLAN-Trennung, MAC-Filter, transparente/Bridge-Firewall als Sonderfall Layer 1 Bitübertragungs- schicht Physische Übertragung von Bits Kabel, Hub, Repeater, Medienkonverter ⌁ ▭ ↻ Keine klassische Firewall-Funktion Wichtige IHK-Merksätze ✓ Layer 2 = MAC / Switch ✓ Layer 3 = IP / Router / Paketfilter ✓ Layer 4 = TCP/UDP / Ports / Stateful Firewall ✓ Layer 7 = Anwendung / Proxy / WAF Wichtiger Hinweis Reale Geräte können mehrere OSI-Schichten abdecken. Für die IHK ist meistens die Hauptzuordnung entscheidend. Kurz merken: Switch = Layer 2 · Router = Layer 3 · Stateful Firewall = Layer 3/4 · Proxy/WAF = Layer 7 · NGFW = Layer 3 bis 7 OSI-Modell – Geräte und Firewall-Bezug (IHK-sicher) Das OSI-Modell teilt Netzwerkkommunikation in 7 Schichten ein. Für die IHK ist wichtig, dass du nicht nur die Namen der Schichten kennst, sondern auch verstehst, welche Aufgabe die jeweilige Schicht hat , welche Geräte dort typischerweise arbeiten und welche Firewall-Art dazu passt . Wichtig: Das OSI-Modell ist ein theoretisches Referenzmodell . Reale Geräte arbeiten oft auf mehreren Schichten gleichzeitig. Für Prüfungsaufgaben zählt meistens die Hauptzuordnung . OSI-Schicht Name Worum geht es? Typische Geräte / Komponenten Firewall-Bezug 7 Anwendungsschicht Anwendungen und Dienste Proxy, Application Gateway, Webserver, DNS-Server Proxy-Firewall, Application-Level Gateway, WAF, NGFW-Anwendungsfilter 6 Darstellungsschicht Datenformat, Verschlüsselung, Komprimierung meist keine klassischen Netzwerkgeräte; ggf. TLS-/SSL-Proxy Prüfung hier meist nur bei TLS-Inspection 5 Sitzungsschicht Aufbau, Verwaltung und Abbau von Sitzungen meist keine klassischen Netzwerkgeräte; teilweise Proxy-/Gateway-Funktionen Für die IHK eher Zusatzwissen, nicht die Haupt-Firewall-Schicht 4 Transportschicht Ports, Ende-zu-Ende-Verbindungen, TCP/UDP Firewall, Load Balancer Stateful Firewall, Portfilter, TCP-/UDP-Regeln 3 Vermittlungsschicht IP-Adressierung und Routing zwischen Netzen Router, Layer-3-Switch, Firewall Paketfilter-Firewall, ACLs, IP-Filter 2 Sicherungsschicht Kommunikation im lokalen Netz über MAC-Adressen Switch, Bridge, Access Point, Netzwerkkarte VLAN-Trennung, MAC-Filter, transparente/Bridge-Firewall als Sonderfall 1 Bitübertragungsschicht Physische Übertragung von Bits Kabel, Hub, Repeater, Medienkonverter Keine klassische Firewall-Funktion Layer 7 – Anwendungsschicht Die Anwendungsschicht ist die oberste Schicht des OSI-Modells. Hier befinden sich Netzwerkdienste und Anwendungen, mit denen Benutzer oder Programme arbeiten. Typische Beispiele sind: HTTP HTTPS DNS SMTP FTP IMAP SSH Auf dieser Schicht geht es nicht mehr nur darum, welche IP-Adresse oder welcher Port verwendet wird, sondern darum, welche Anwendung oder welcher Dienst tatsächlich kommuniziert. Beispiel: Wenn ein Benutzer eine Webseite aufruft, findet die eigentliche Webkommunikation über HTTP oder HTTPS auf der Anwendungsschicht statt. Typische Komponenten: Proxy Application Gateway Webserver DNS-Server Web Application Firewall (WAF) Firewall-Bezug: Eine Proxy-Firewall oder ein Application-Level Gateway arbeitet auf Anwendungsebene. Sie betrachtet nicht nur IP-Adressen und Ports, sondern kann anwendungsbezogene Inhalte prüfen. Eine WAF schützt speziell Webanwendungen. Sie prüft HTTP- und HTTPS-Anfragen zum Beispiel auf Angriffe wie SQL-Injection oder Cross-Site-Scripting. Eine NGFW kann ebenfalls Anwendungen erkennen und filtern, zum Beispiel Webmail, Streaming, Messenger oder andere Dienste. IHK-Merksatz: Layer 7 = Anwendung, Inhalte, Proxy, WAF Layer 6 – Darstellungsschicht Die Darstellungsschicht kümmert sich darum, wie Daten dargestellt, codiert, verschlüsselt oder komprimiert werden. Typische Aufgaben: Datenformate umwandeln Zeichencodierung festlegen Daten komprimieren Daten verschlüsseln oder entschlüsseln Typische Beispiele: TLS/SSL UTF-8 JPEG PNG Komprimierung Für die IHK ist wichtig: Layer 6 ist eher eine theoretische Schicht. In vielen praktischen Netzwerkaufgaben stehen Layer 2, 3, 4 und 7 stärker im Vordergrund. Firewall-Bezug: Eine Firewall kann verschlüsselten HTTPS-Verkehr nicht vollständig inhaltlich prüfen, solange sie den Verkehr nicht entschlüsselt. Eine tiefere Inhaltsprüfung ist nur mit TLS-Inspection beziehungsweise SSL-Inspection möglich. Wichtig: TLS/SSL wird in Lernunterlagen oft der Darstellungsschicht zugeordnet, in der Praxis liegt es technisch zwischen Anwendung und Transport. Für IHK-Lernzwecke reicht: Layer 6 = Verschlüsselung, Darstellung, Datenformat . IHK-Merksatz: Layer 6 = Darstellung, Format, Verschlüsselung, Komprimierung Layer 5 – Sitzungsschicht Die Sitzungsschicht ist für den Aufbau, die Verwaltung und den Abbau von Sitzungen zuständig. Eine Sitzung ist ein logischer Kommunikationszusammenhang zwischen zwei Systemen. Dabei geht es zum Beispiel darum, eine Verbindung beziehungsweise einen Dialog zu starten, aufrechtzuerhalten und sauber zu beenden. Typische Aufgaben: Sitzung aufbauen Sitzung verwalten Sitzung beenden Dialogsteuerung Wiederaufnahme von Kommunikationsabläufen Für die IHK ist wichtig: Layer 5 ist meistens weniger praxisnah als Layer 2, 3, 4 und 7. In Firewall-Fragen wird Layer 5 normalerweise nicht als wichtigste Schicht abgefragt. Firewall-Bezug: Manche Gateway- oder Proxy-Funktionen können sitzungsbezogene Informationen berücksichtigen. Für die Prüfung solltest du aber vor allem diese klare Zuordnung lernen: Paketfilter-Firewall = Layer 3/4 Stateful Firewall = Layer 3/4 Proxy-Firewall = Layer 7 WAF = Layer 7 NGFW = Layer 3 bis 7 IHK-Merksatz: Layer 5 = Sitzung aufbauen, verwalten und beenden Layer 4 – Transportschicht Die Transportschicht regelt die Kommunikation zwischen Anwendungen auf zwei Systemen. Hier sind vor allem TCP , UDP und Ports wichtig. Wichtige Begriffe: TCP UDP Portnummern Verbindungen Verbindungsstatus Ende-zu-Ende-Kommunikation TCP ist verbindungsorientiert. Das bedeutet: Es wird eine Verbindung aufgebaut, Daten werden geordnet übertragen und der Empfang kann bestätigt werden. UDP ist verbindungslos. Das bedeutet: Es ist einfacher und schneller, bietet aber keine gleiche zuverlässige Verbindungssteuerung wie TCP. Typische Ports: Dienst Protokoll / Port HTTP TCP 80 HTTPS TCP 443 DNS UDP/TCP 53 SSH TCP 22 RDP TCP 3389 SMTP TCP 25 Typische Geräte / Komponenten: Firewall Layer-4-Load-Balancer Firewall-Bezug: Eine Firewall kann auf Layer 4 prüfen, welche Ports und Transportprotokolle verwendet werden. Eine Stateful Firewall prüft zusätzlich, ob ein Paket zu einer bereits erlaubten Verbindung gehört. Sie führt dafür eine Verbindungstabelle. Beispiel: Ein Client aus dem internen Netzwerk baut eine HTTPS-Verbindung zu einem Webserver auf. Die Antwortpakete aus dem Internet werden erlaubt, weil sie zu dieser bestehenden Verbindung gehören. IHK-Merksatz: Layer 4 = TCP/UDP, Ports, Verbindungen, Stateful Firewall Layer 3 – Vermittlungsschicht Die Vermittlungsschicht ist für IP-Adressierung und Routing zuständig. Hier wird entschieden, wie Datenpakete von einem Netzwerk in ein anderes Netzwerk gelangen. Wichtige Themen: IPv4 IPv6 Routing Subnetze Standardgateway ICMP IPsec Paketweiterleitung Typische Geräte: Router Layer-3-Switch Firewall Ein Router verbindet unterschiedliche Netzwerke miteinander. Er entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird. Ein Layer-3-Switch kann zusätzlich zu klassischen Switch-Funktionen auch Routing-Funktionen übernehmen, zum Beispiel zwischen VLANs. Firewall-Bezug: Eine Paketfilter-Firewall prüft auf Layer 3 zum Beispiel: Quell-IP-Adresse Ziel-IP-Adresse Protokoll Netzbereich Richtung des Datenverkehrs Sobald zusätzlich Ports geprüft werden, ist auch Layer 4 beteiligt. Deshalb ist die IHK-sichere Formulierung: Paketfilter-Firewall = Layer 3/4 Beispielregel: Ein internes Netz 192.168.10.0/24 darf per TCP-Port 443 ins Internet, aber nicht per TCP-Port 23 . IHK-Merksatz: Layer 3 = IP-Adresse, Routing, Router, Paketfilter Layer 2 – Sicherungsschicht Die Sicherungsschicht ist für die Kommunikation im lokalen Netzwerk zuständig. Hier geht es vor allem um MAC-Adressen , Ethernet-Frames , Switching und VLANs . Wichtige Themen: MAC-Adressen Ethernet-Frames Switches Bridges VLANs ARP WLAN im lokalen Netz Fehlererkennung auf Frame-Ebene Typische Geräte: Switch Bridge Access Point Netzwerkkarte Ein Switch arbeitet hauptsächlich auf Layer 2. Er lernt MAC-Adressen und leitet Frames an den passenden Port weiter. Für die IHK ist sehr wichtig: Switch = MAC-Adresse = Layer 2 Ein Switch verwendet also normalerweise MAC-Adressen, während ein Router IP-Adressen verwendet. Firewall-Bezug: Layer 2 ist nicht die klassische Firewall-Schicht. Trotzdem gibt es sicherheitsrelevante Funktionen auf Layer 2: VLAN-Trennung MAC-Filter Port-Security transparente Firewall / Bridge-Firewall als Sonderfall Wichtig: MAC-Filter allein sind kein starker Schutz, weil MAC-Adressen gefälscht werden können. Für IHK-Grundlagen reicht aber die Einordnung: MAC-Adressen gehören zu Layer 2. IHK-Merksatz: Layer 2 = MAC-Adresse, Switch, lokales Netzwerk Layer 1 – Bitübertragungsschicht Die Bitübertragungsschicht ist die unterste Schicht des OSI-Modells. Hier geht es um die physische Übertragung von Bits. Wichtige Themen: elektrische Signale optische Signale Funkübertragung Kabel Stecker Netzwerkkarte auf physischer Ebene Repeater Hub Medienkonverter Typische Geräte und Komponenten: Netzwerkkabel Glasfaserkabel Hub Repeater Medienkonverter Stecker und Ports Ein Hub arbeitet auf Layer 1. Er verteilt Signale, trifft aber keine intelligenten Weiterleitungsentscheidungen wie ein Switch. Ein Repeater arbeitet ebenfalls auf Layer 1. Er verstärkt oder erneuert ein Signal. Firewall-Bezug: Auf Layer 1 gibt es keine klassische Firewall-Funktion. Eine Firewall entscheidet nicht anhand von reinen elektrischen oder optischen Signalen, sondern anhand von Informationen höherer Schichten. IHK-Merksatz: Layer 1 = Kabel, Signal, Bits, physische Übertragung Firewall-Arten und OSI-Zuordnung Firewall-Art OSI-Zuordnung Prüft hauptsächlich Wichtig für die IHK Paketfilter-Firewall Layer 3/4 IP-Adressen, Protokolle, Ports einfache Filterregeln Stateful Firewall Layer 3/4 IPs, Ports und Verbindungsstatus merkt sich erlaubte Verbindungen Proxy-Firewall Layer 7 Anwendungsdaten und Inhalte arbeitet stellvertretend für den Client Application-Level Gateway Layer 7 anwendungsspezifische Protokolle prüft Inhalte auf Anwendungsebene WAF Layer 7 HTTP-/HTTPS-Anfragen an Webanwendungen Schutz für Webanwendungen NGFW Layer 3 bis 7 IPs, Ports, Anwendungen, Inhalte kombiniert mehrere Sicherheitsfunktionen Hardware-Firewall keine eigene OSI-Schicht abhängig von Funktion Bauform, nicht OSI-Schicht Software-Firewall keine eigene OSI-Schicht abhängig von Funktion Installationsart, nicht OSI-Schicht Wichtige IHK-Merksätze Thema Merksatz Switch arbeitet hauptsächlich auf Layer 2 Router arbeitet hauptsächlich auf Layer 3 Hub arbeitet auf Layer 1 Repeater arbeitet auf Layer 1 Bridge arbeitet hauptsächlich auf Layer 2 Portfilter arbeitet hauptsächlich auf Layer 4 Paketfilter arbeitet auf Layer 3/4 Stateful Firewall arbeitet auf Layer 3/4 und merkt sich Verbindungen Proxy-Firewall arbeitet auf Layer 7 WAF arbeitet auf Layer 7 NGFW kann Layer 3 bis Layer 7 auswerten Layer 6 und 5 eher theoretisch, bei Firewall-Zuordnung meist Zusatzwissen Ganz kurzer Prüfungs-Merksatz Layer 2 = MAC / Switch Layer 3 = IP / Router / Paketfilter Layer 4 = TCP/UDP / Ports / Stateful Firewall Layer 7 = Anwendung / Proxy / WAF Beispiel zur Einordnung Ein Benutzer öffnet eine Webseite über HTTPS. Schritt OSI-Schicht Erklärung Kabel oder WLAN überträgt Signale Layer 1 Bits werden physisch übertragen Der Switch leitet Frames im lokalen Netz weiter Layer 2 Weiterleitung anhand von MAC-Adressen Der Router leitet Pakete ins Internet Layer 3 Weiterleitung anhand von IP-Adressen Die Verbindung nutzt TCP-Port 443 Layer 4 Kommunikation über TCP und Portnummer TLS verschlüsselt die Verbindung Layer 6 Verschlüsselung und Darstellung Der Browser ruft eine Webseite per HTTPS auf Layer 7 Anwendungsebene Eine Stateful Firewall erlaubt Antwortpakete Layer 3/4 Verbindung wurde vorher erlaubt Eine WAF prüft HTTP-/HTTPS-Anfragen Layer 7 Schutz der Webanwendung Typische Prüfungsfallen Falsche oder ungenaue Aussage Besser / IHK-sicher Eine Firewall arbeitet immer nur auf Layer 3 Kommt auf die Firewall-Art an Paketfilter arbeitet nur auf Layer 3 Besser: Paketfilter arbeitet Layer 3/4 Eine WAF schützt das ganze Netzwerk vollständig Eine WAF schützt vor allem Webanwendungen auf Layer 7 Hardware-Firewall ist eine eigene OSI-Schicht Nein, Hardware beschreibt nur die Bauform Switch und Router machen dasselbe Nein, Switch = Layer 2 / MAC, Router = Layer 3 / IP Layer 6 und 5 sind die wichtigsten Firewall-Schichten Nein, für Firewalls sind meist Layer 3/4 und Layer 7 wichtig OSI Testfragen Testfragen Netzwerktechnik bis Firewall 1. Was ist der Hauptzweck eines Netzwerks? Antwort anzeigen Ein Netzwerk verbindet mehrere Geräte miteinander, damit sie Daten austauschen und gemeinsame Ressourcen nutzen können, zum Beispiel Drucker, Server, Internetzugang oder zentrale Datenspeicher. 2. Nenne drei Vorteile von Netzwerken. Antwort anzeigen Drei Vorteile sind: schneller Datenaustausch gemeinsame Nutzung von Ressourcen, zum Beispiel Drucker oder Server zentrale Datenspeicherung und einfachere Datensicherung 3. Nenne drei Nachteile oder Risiken von Netzwerken. Antwort anzeigen Drei Nachteile oder Risiken sind: Schadsoftware kann sich schneller verbreiten Angriffe oder Spionage von innen und außen sind möglich Aufbau, Wartung und Administration verursachen Kosten 4. Was bedeutet LAN? Antwort anzeigen LAN bedeutet Local Area Network. Es beschreibt ein lokales Netzwerk, zum Beispiel in einer Wohnung, Schule, Firma oder einem Büro. 5. Was ist der Unterschied zwischen LAN, MAN und WAN? Antwort anzeigen LAN ist ein lokales Netzwerk in einem begrenzten Bereich. MAN verbindet Netzwerke innerhalb einer Stadt oder Region. WAN verbindet Netzwerke über große Entfernungen, zum Beispiel über Länder oder Kontinente hinweg. Das Internet ist ein Beispiel für ein WAN. 6. Welche Topologie wird heute in LANs meistens verwendet? Antwort anzeigen Meistens wird die Sterntopologie verwendet. Dabei sind die Endgeräte zentral mit einem Switch verbunden. 7. Was bedeutet Vollduplex? Antwort anzeigen Vollduplex bedeutet, dass Daten gleichzeitig in beide Richtungen übertragen werden können. Beispiel: Ein PC kann gleichzeitig Daten senden und empfangen. 8. Was bedeutet Halbduplex? Antwort anzeigen Halbduplex bedeutet, dass Daten in beide Richtungen übertragen werden können, aber nicht gleichzeitig. Beispiel: Erst sendet Gerät A, danach Gerät B. 9. Wozu dient das OSI-Schichtenmodell? Antwort anzeigen Das OSI-Schichtenmodell teilt Netzwerkkommunikation in einzelne Schichten auf. Dadurch kann man besser verstehen, welche Aufgabe auf welcher Ebene passiert, und Fehler systematisch eingrenzen. 10. Wie heißen die 7 OSI-Schichten von oben nach unten? Antwort anzeigen Von oben nach unten: Anwendung Darstellung Sitzung Transport Vermittlung Sicherung Bitübertragung 11. Auf welcher OSI-Schicht arbeitet die MAC-Adresse? Antwort anzeigen Die MAC-Adresse arbeitet auf Schicht 2, der Sicherungsschicht. 12. Auf welcher OSI-Schicht arbeitet die IP-Adresse? Antwort anzeigen Die IP-Adresse arbeitet auf Schicht 3, der Vermittlungsschicht. 13. Auf welcher OSI-Schicht arbeiten TCP und UDP? Antwort anzeigen TCP und UDP arbeiten auf Schicht 4, der Transportschicht. 14. Was ist der Unterschied zwischen OSI-Modell und TCP/IP-Modell? Antwort anzeigen Das OSI-Modell hat 7 Schichten und ist eher ein theoretisches Referenzmodell. Das TCP/IP-Modell ist praxisnäher und wird im echten Netzwerkbetrieb häufiger verwendet. Es fasst mehrere OSI-Schichten zusammen. 15. Was bedeutet Datenkapselung? Antwort anzeigen Datenkapselung bedeutet, dass jede Netzwerkschicht eigene Steuerinformationen zu den Daten hinzufügt. Beispiel: Anwendungsdaten werden in TCP verpackt, TCP wird in IP verpackt, IP wird in Ethernet verpackt. 16. Was gehört zur Schicht 0 im Unterrichtskontext? Antwort anzeigen Zur Schicht 0 gehören die eigentlichen Übertragungsmedien, zum Beispiel: Kupferkabel Glasfaser Funk bei WLAN Schicht 0 gehört nicht offiziell zum OSI-Modell, wird aber oft zur Erklärung genutzt. 17. Was ist ein Twisted-Pair-Kabel? Antwort anzeigen Ein Twisted-Pair-Kabel ist ein Netzwerkkabel mit verdrillten Adernpaaren. Die Verdrillung reduziert Störungen. Es wird häufig mit RJ45-Steckern im LAN verwendet. 18. Wie weit darf ein normales Twisted-Pair-Ethernet-Kabel ungefähr sein? Antwort anzeigen In der Praxis gilt meistens eine maximale Länge von ungefähr 100 Metern. 19. Was ist der Unterschied zwischen Multimode- und Singlemode-LWL? Antwort anzeigen Multimode-LWL wird eher für kürzere bis mittlere Strecken verwendet. Singlemode-LWL wird für lange Strecken verwendet und hat einen kleineren Faserkern. 20. Warum darf man nicht direkt in eine Glasfaser schauen? Antwort anzeigen Weil dort unsichtbares Laserlicht austreten kann. Dieses Licht kann die Augen schädigen, auch wenn man es nicht sieht. 21. Welche WLAN-Verschlüsselung sollte mindestens verwendet werden? Antwort anzeigen Mindestens WPA2 sollte verwendet werden. Besser ist WPA3, wenn alle Geräte es unterstützen. 22. Warum ist ein Gäste-WLAN sinnvoll? Antwort anzeigen Ein Gäste-WLAN trennt fremde oder private Geräte vom internen Netzwerk. Gäste sollen zum Beispiel ins Internet kommen, aber nicht auf interne Server, Drucker oder NAS-Systeme zugreifen können. 23. Was ist ein Ethernet-Frame? Antwort anzeigen Ein Ethernet-Frame ist die Datenübertragungseinheit auf Schicht 2. Er enthält unter anderem Ziel-MAC-Adresse, Quell-MAC-Adresse, Nutzdaten und eine Prüfsumme. 24. Was ist die Aufgabe der FCS oder CRC im Ethernet-Frame? Antwort anzeigen FCS beziehungsweise CRC dient zur Fehlererkennung. Damit kann erkannt werden, ob ein Ethernet-Frame beschädigt wurde. Fehlerhafte Frames werden verworfen. 25. Was ist eine MAC-Adresse? Antwort anzeigen Eine MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle. Sie ist normalerweise 48 Bit lang und wird hexadezimal dargestellt. Beispiel: 00:1A:2B:3C:4D:5E 26. Was macht ein Switch? Antwort anzeigen Ein Switch verbindet Geräte in einem LAN und leitet Ethernet-Frames anhand der MAC-Adresse gezielt an den richtigen Port weiter. 27. Was ist der Unterschied zwischen einem Hub und einem Switch? Antwort anzeigen Ein Hub sendet empfangene Daten an alle Ports weiter. Ein Switch lernt MAC-Adressen und sendet Frames gezielt nur an den passenden Port. Ein Switch ist dadurch effizienter und sicherer als ein Hub. 28. Was ist eine SAT-Tabelle oder MAC Address Table? Antwort anzeigen Das ist die Tabelle eines Switches, in der gespeichert wird, welche MAC-Adresse an welchem Port erreichbar ist. Dadurch kann der Switch Frames gezielt weiterleiten. 29. Was macht ARP? Antwort anzeigen ARP bedeutet Address Resolution Protocol. ARP ermittelt zu einer IPv4-Adresse die passende MAC-Adresse im lokalen Netzwerk. 30. Was ist ein ARP-Request? Antwort anzeigen Ein ARP-Request ist eine Anfrage im lokalen Netzwerk: „Wer hat diese IP-Adresse? Bitte sende mir deine MAC-Adresse.“ Diese Anfrage wird als Broadcast gesendet. 31. Was ist ein ARP-Reply? Antwort anzeigen Ein ARP-Reply ist die Antwort auf einen ARP-Request. Das Zielgerät antwortet mit seiner MAC-Adresse. 32. Was ist ein Managed Switch? Antwort anzeigen Ein Managed Switch ist ein konfigurierbarer Switch. Man kann zum Beispiel VLANs, Port-Mirroring, Spanning Tree, Link Aggregation oder Port-Sicherheit einrichten. 33. Was ist Port-Mirroring? Antwort anzeigen Beim Port-Mirroring wird der Datenverkehr eines Ports auf einen anderen Port gespiegelt. Dadurch kann man den Verkehr zum Beispiel mit Wireshark analysieren. 34. Was ist Link Aggregation? Antwort anzeigen Link Aggregation fasst mehrere physische Netzwerkverbindungen zu einer logischen Verbindung zusammen. Vorteile: höhere Gesamtbandbreite bessere Ausfallsicherheit Lastverteilung 35. Was ist Power over Ethernet? Antwort anzeigen Power over Ethernet, kurz PoE, bedeutet, dass Strom und Daten über dasselbe Netzwerkkabel übertragen werden. Typische Geräte sind Access Points, IP-Telefone und Überwachungskameras. 36. Wozu dient das Spanning Tree Protocol? Antwort anzeigen Das Spanning Tree Protocol verhindert Netzwerkschleifen zwischen Switches. Es blockiert bestimmte redundante Verbindungen logisch und kann sie bei Ausfall einer anderen Verbindung wieder aktivieren. 37. Was ist ein VLAN? Antwort anzeigen Ein VLAN ist ein Virtual Local Area Network. Damit kann ein physisches Netzwerk in mehrere logisch getrennte Netzwerke aufgeteilt werden. 38. Warum setzt man VLANs ein? Antwort anzeigen VLANs werden eingesetzt, um Netzbereiche logisch zu trennen. Vorteile: mehr Sicherheit bessere Struktur weniger Broadcast-Verkehr Trennung von Abteilungen, Gästen oder Servern 39. Was ist ein Tagged Port? Antwort anzeigen Ein Tagged Port überträgt VLAN-Informationen im Ethernet-Frame mit. Er wird häufig für Verbindungen zwischen Switches oder zwischen Switch und Router/Firewall verwendet. 40. Was ist ein Untagged Port? Antwort anzeigen Ein Untagged Port gehört fest zu einem VLAN. Endgeräte wie PCs oder Drucker werden meistens an untagged Ports angeschlossen. 41. Was ist eine IPv4-Adresse? Antwort anzeigen Eine IPv4-Adresse ist eine 32-Bit-Adresse zur logischen Adressierung von Geräten in einem Netzwerk. Beispiel: 192.168.1.10 42. Was macht die Subnetzmaske? Antwort anzeigen Die Subnetzmaske trennt eine IP-Adresse in Netzanteil und Hostanteil. Beispiel: 192.168.1.10/24 Hier gehören die ersten 24 Bit zum Netzanteil. 43. Was ist die Netzadresse bei 192.168.1.10/24? Antwort anzeigen Die Netzadresse ist: 192.168.1.0 Bei /24 gehören die ersten drei Oktette zum Netz. Das letzte Oktett ist der Hostanteil. 44. Was ist die Broadcast-Adresse bei 192.168.1.10/24? Antwort anzeigen Die Broadcast-Adresse ist: 192.168.1.255 Sie ist die letzte Adresse im Netz 192.168.1.0/24 . 45. Wie viele nutzbare Hosts gibt es in einem /24-Netz? Antwort anzeigen Ein /24 -Netz hat 256 Adressen. Davon sind 2 nicht nutzbar: Netzadresse Broadcast-Adresse Also gibt es 254 nutzbare Hostadressen. 46. Welche privaten IPv4-Adressbereiche gibt es? Antwort anzeigen Private IPv4-Adressbereiche sind: 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 Diese Adressen werden in privaten Netzwerken verwendet und nicht direkt im Internet geroutet. 47. Was bedeutet APIPA? Antwort anzeigen APIPA ist ein automatischer IPv4-Adressbereich, den ein Gerät verwenden kann, wenn kein DHCP-Server erreichbar ist. Der Bereich lautet: 169.254.0.0/16 48. Was ist DHCP? Antwort anzeigen DHCP bedeutet Dynamic Host Configuration Protocol. DHCP vergibt automatisch Netzwerkkonfigurationen an Clients, zum Beispiel: IP-Adresse Subnetzmaske Standardgateway DNS-Server 49. Wie lautet der DHCP-Ablauf? Antwort anzeigen Der DHCP-Ablauf lautet DORA: Discover Offer Request Acknowledge Der Client sucht einen DHCP-Server, bekommt ein Angebot, fordert die Adresse an und erhält eine Bestätigung. 50. Was macht DNS? Antwort anzeigen DNS bedeutet Domain Name System. DNS übersetzt Namen in IP-Adressen. Beispiel: www.example.com wird in eine passende IP-Adresse aufgelöst. 51. Was ist Routing? Antwort anzeigen Routing bedeutet, Datenpakete zwischen verschiedenen Netzwerken weiterzuleiten. Ein Router verbindet zum Beispiel zwei unterschiedliche IP-Netze miteinander. 52. Was ist ein Standardgateway? Antwort anzeigen Das Standardgateway ist der Router, an den ein Gerät Pakete sendet, wenn das Ziel nicht im eigenen lokalen Netzwerk liegt. 53. Was ist der Unterschied zwischen statischem und dynamischem Routing? Antwort anzeigen Beim statischen Routing werden Routen manuell eingetragen. Beim dynamischen Routing tauschen Router Informationen automatisch über Routing-Protokolle aus. 54. Was ist ein Layer-3-Switch? Antwort anzeigen Ein Layer-3-Switch kann nicht nur auf Schicht 2 switchen, sondern auch auf Schicht 3 routen. Er wird häufig eingesetzt, um VLANs im LAN miteinander zu verbinden. 55. Was ist ein Port in der Netzwerktechnik? Antwort anzeigen Ein Port ist eine Nummer auf Schicht 4, mit der Anwendungen oder Dienste auf einem Gerät unterschieden werden. Beispiel: HTTP: Port 80 HTTPS: Port 443 SSH: Port 22 56. Was ist der Unterschied zwischen IP-Adresse und Port? Antwort anzeigen Die IP-Adresse sagt, welches Gerät gemeint ist. Der Port sagt, welcher Dienst oder welche Anwendung auf diesem Gerät gemeint ist. Beispiel: 192.168.1.10:443 Gerät: 192.168.1.10 Dienst: Port 443 57. Was ist TCP? Antwort anzeigen TCP ist ein verbindungsorientiertes Transportprotokoll. Es sorgt für zuverlässige Datenübertragung, richtige Reihenfolge und erneute Übertragung bei Verlust. 58. Was ist UDP? Antwort anzeigen UDP ist ein verbindungsloses Transportprotokoll. Es ist schneller und schlanker als TCP, garantiert aber keine Zustellung und keine richtige Reihenfolge. 59. Was ist der TCP-Three-Way-Handshake? Antwort anzeigen Der TCP-Three-Way-Handshake baut eine TCP-Verbindung auf. Ablauf: Client sendet SYN Server antwortet mit SYN/ACK Client bestätigt mit ACK Danach ist die Verbindung aufgebaut. 60. Nenne je zwei typische Dienste für TCP und UDP. Antwort anzeigen Typische TCP-Dienste: HTTPS SSH Typische UDP-Dienste: DNS DHCP 61. Was ist NAT? Antwort anzeigen NAT bedeutet Network Address Translation. Dabei werden IP-Adressen übersetzt, zum Beispiel private interne IP-Adressen in eine öffentliche IP-Adresse für den Internetzugang. 62. Was ist PAT? Antwort anzeigen PAT bedeutet Port Address Translation. Dabei werden zusätzlich Ports verwendet, damit mehrere interne Geräte gleichzeitig über eine öffentliche IP-Adresse ins Internet kommunizieren können. 63. Was ist Portforwarding? Antwort anzeigen Portforwarding leitet Anfragen von außen an ein internes Gerät weiter. Beispiel: Eine Anfrage an die öffentliche IP auf Port 443 wird an einen internen Webserver weitergeleitet. 64. Warum kann Portforwarding ein Sicherheitsrisiko sein? Antwort anzeigen Portforwarding macht interne Dienste von außen erreichbar. Wenn der Dienst schlecht abgesichert, veraltet oder falsch konfiguriert ist, kann er angegriffen werden. 65. Was ist eine Allowlist? Antwort anzeigen Eine Allowlist erlaubt nur ausdrücklich freigegebene Verbindungen, Programme, Geräte oder Benutzer. Alles andere wird blockiert. 66. Was ist eine Blocklist? Antwort anzeigen Eine Blocklist blockiert ausdrücklich verbotene Verbindungen, Programme, Geräte oder Benutzer. Alles, was nicht auf der Blocklist steht, kann erlaubt sein. 67. Was ist sicherer: Allowlist oder Blocklist? Antwort anzeigen Eine Allowlist ist meistens sicherer, weil nur ausdrücklich erlaubte Dinge zugelassen werden. Das Prinzip lautet: Alles ist verboten, außer es wurde erlaubt. 68. Was macht eine Firewall? Antwort anzeigen Eine Firewall kontrolliert Netzwerkverkehr anhand von Regeln. Sie entscheidet, welche Verbindungen erlaubt oder blockiert werden. 69. Welche Kriterien kann eine Firewall prüfen? Antwort anzeigen Eine Firewall kann zum Beispiel prüfen: Quell-IP-Adresse Ziel-IP-Adresse Protokoll Port Richtung Verbindungszustand teilweise auch Anwendung oder Inhalt 70. Was bedeutet Default Deny? Antwort anzeigen Default Deny bedeutet: Alles ist standardmäßig verboten. Nur ausdrücklich erlaubte Verbindungen werden zugelassen. Das ist ein sicheres Grundprinzip für Firewall-Regeln. 71. Was ist eine Paketfilter-Firewall? Antwort anzeigen Eine Paketfilter-Firewall prüft einzelne Pakete anhand von Informationen wie Quell-IP, Ziel-IP, Protokoll und Port. Sie betrachtet normalerweise nicht den vollständigen Verbindungszustand. 72. Was ist eine SPI-Firewall? Antwort anzeigen SPI bedeutet Stateful Packet Inspection. Eine SPI-Firewall merkt sich bestehende Verbindungen und kann Antworten automatisch einer erlaubten Verbindung zuordnen. 73. Was ist der Unterschied zwischen Paketfilter und SPI-Firewall? Antwort anzeigen Ein Paketfilter prüft einzelne Pakete anhand fester Regeln. Eine SPI-Firewall prüft zusätzlich den Zustand der Verbindung. Dadurch kann sie erkennen, ob ein Paket zu einer bereits erlaubten Verbindung gehört. 74. Was ist eine DMZ? Antwort anzeigen DMZ bedeutet Demilitarisierte Zone. Eine DMZ ist ein separates Netzwerk für Server, die von außen erreichbar sein müssen, zum Beispiel Webserver oder Reverse Proxy. 75. Warum verwendet man eine DMZ? Antwort anzeigen Eine DMZ schützt das interne LAN. Wenn ein öffentlich erreichbarer Server in der DMZ angegriffen oder kompromittiert wird, soll der Angreifer nicht direkt Zugriff auf das interne Netzwerk bekommen. 76. Was ist der Unterschied zwischen einstufiger und zweistufiger DMZ? Antwort anzeigen Bei einer einstufigen DMZ trennt eine Firewall Internet, DMZ und LAN. Bei einer zweistufigen DMZ gibt es zwei Firewalls: eine zwischen Internet und DMZ und eine zwischen DMZ und LAN. Die zweistufige DMZ ist sicherer, aber aufwendiger. 77. Was ist die INPUT-Chain bei einer Linux-Firewall? Antwort anzeigen INPUT betrifft Datenverkehr, der direkt an die Firewall selbst gerichtet ist. Beispiel: Ein Administrator verbindet sich per SSH mit der Firewall. 78. Was ist die OUTPUT-Chain bei einer Linux-Firewall? Antwort anzeigen OUTPUT betrifft Datenverkehr, der von der Firewall selbst ausgeht. Beispiel: Die Firewall stellt selbst eine DNS-Anfrage oder lädt Updates herunter. 79. Was ist die FORWARD-Chain bei einer Linux-Firewall? Antwort anzeigen FORWARD betrifft Datenverkehr, der durch die Firewall hindurchgeleitet wird. Beispiel: Ein Client aus dem LAN geht über die Firewall ins Internet. 80. Warum ist eine Firewall allein kein vollständiger Schutz? Antwort anzeigen Eine Firewall schützt nur nach ihren Regeln und an der Stelle, an der sie eingesetzt wird. Zusätzlich braucht man: Updates sichere Passwörter Benutzerrechte Backups Monitoring Virenschutz sichere Konfiguration Schulung der Benutzer 2. Grundlagen der Schichtenmodelle: OSI und TCP/IP 2.1 Warum gibt es Schichtenmodelle? Ein Schichtenmodell hilft dabei, Netzwerktechnik verständlich und übersichtlich zu erklären. Netzwerkkommunikation besteht aus vielen einzelnen Aufgaben. Zum Beispiel müssen Daten erzeugt, adressiert, verpackt, weitergeleitet, übertragen und beim Empfänger wieder zusammengesetzt werden. Damit diese vielen Aufgaben nicht durcheinander geraten, werden sie in einzelne Schichten aufgeteilt. Jede Schicht hat eine bestimmte Aufgabe. Grundidee Ein Schichtenmodell zerlegt die Netzwerkkommunikation in mehrere Ebenen. Jede Ebene kümmert sich um einen bestimmten Teil der Kommunikation. Beispiel: Die Anwendung erzeugt Daten. TCP oder UDP sorgt für den Transport zwischen Anwendungen. IP sorgt für die Adressierung zwischen Netzwerken. Ethernet sorgt für die Übertragung im lokalen Netzwerk. Das Kabel oder WLAN überträgt die Signale. Dadurch kann man besser verstehen, welche Technik an welcher Stelle gebraucht wird. Warum ist das sinnvoll? Schichtenmodelle sind sinnvoll, weil sie komplexe Netzwerktechnik in kleinere und verständlichere Bereiche aufteilen. Wichtige Vorteile: - Netzwerkkommunikation wird übersichtlicher. - Fehler lassen sich besser einer Schicht zuordnen. - Protokolle und Geräte können fachlich eingeordnet werden. - Einzelne Schichten können verändert werden, ohne alles neu zu bauen. - Hersteller können Geräte und Protokolle nach gemeinsamen Regeln entwickeln. Ein wichtiger Gedanke ist: Eine Schicht kann ausgetauscht werden, ohne dass alle anderen Schichten komplett verändert werden müssen. Beispiel: IPv4 kann durch IPv6 ersetzt werden. Die Anwendung darüber muss deshalb nicht komplett neu erfunden werden. Begriff: Schicht Eine Schicht ist eine Ebene innerhalb eines Kommunikationsmodells. Jede Schicht übernimmt bestimmte Aufgaben. Beispiele: Schicht Aufgabe Schicht 1 Bits über ein Medium übertragen Schicht 2 Daten im lokalen Netzwerk als Frames übertragen Schicht 3 Pakete zwischen Netzwerken weiterleiten Schicht 4 Kommunikation zwischen Anwendungen transportieren Schicht 7 Dienste für Anwendungen bereitstellen Merksatz: Eine Schicht hat eine bestimmte Aufgabe und arbeitet mit der Schicht darüber und darunter zusammen. Begriff: Protokoll Ein Protokoll ist eine Sammlung von Regeln für die Kommunikation. Ein Netzwerkprotokoll legt fest: - wie Daten aufgebaut sind - wie Daten gesendet werden - wie Daten empfangen werden - wie Fehler erkannt werden - wie Geräte miteinander kommunizieren Beispiele für Protokolle: Protokoll Aufgabe Ethernet Übertragung im lokalen Netzwerk IP Adressierung und Weiterleitung zwischen Netzwerken TCP zuverlässige Datenübertragung UDP verbindungslose Datenübertragung HTTP Übertragung von Webseiten DNS Namensauflösung Kurz gesagt: Ein Protokoll ist eine gemeinsame Sprache zwischen Netzwerkgeräten oder Anwendungen. Begriff: Modell Ein Modell ist eine vereinfachte Darstellung der Wirklichkeit. Das OSI-Modell beschreibt nicht jedes technische Detail eines echten Netzwerks. Es hilft aber dabei, Netzwerktechnik zu strukturieren und besser zu verstehen. Das TCP/IP-Modell ist praxisnäher, weil es sich stärker an der realen Internetkommunikation orientiert. Wichtig: OSI-Modell = gutes Lern- und Einordnungsmodell TCP/IP-Modell = praxisnahes Modell für reale Netzwerke und das Internet Warum braucht man das in der Praxis? In der Praxis hilft das Schichtenmodell besonders bei der Fehlersuche. Wenn ein Netzwerkproblem auftritt, kann man schrittweise prüfen, auf welcher Ebene der Fehler liegt. Beispiel: Kein Link-Licht am Switch → Problem wahrscheinlich bei Kabel, Netzwerkkarte oder Port → Schicht 1 MAC-Adresse wird nicht gelernt → Problem wahrscheinlich im lokalen Ethernet-Bereich → Schicht 2 IP-Adresse oder Gateway falsch → Problem wahrscheinlich bei IP-Konfiguration oder Routing → Schicht 3 Dienst auf Port 443 nicht erreichbar → Problem wahrscheinlich bei TCP, Port, Firewall oder Dienst → Schicht 4 oder höher Das Schichtenmodell hilft also, Fehler systematisch einzugrenzen. Einfaches Beispiel: Webseite aufrufen Wenn ein Client eine Webseite aufruft, arbeiten mehrere Schichten zusammen. Vereinfacht: Der Browser möchte eine Webseite laden. HTTP oder HTTPS beschreibt die Anfrage. TCP sorgt für eine zuverlässige Verbindung. IP sorgt für die Adressierung zum Zielsystem. Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk. Kabel, Glasfaser oder Funk übertragen die Signale. Jede Schicht erfüllt dabei ihre eigene Aufgabe. Austauschbarkeit der Schichten Ein wichtiger Vorteil von Schichtenmodellen ist die Austauschbarkeit. Das bedeutet: Eine Technik auf einer Schicht kann ersetzt werden, ohne dass alle anderen Schichten komplett geändert werden müssen. Beispiele: Änderung Betroffene Schicht Kupferkabel wird durch Glasfaser ersetzt Schicht 0 / Schicht 1 Hub wird durch Switch ersetzt Schicht 1 / Schicht 2 IPv4 wird durch IPv6 ersetzt Schicht 3 TCP wird durch UDP ersetzt Schicht 4 HTTP wird durch HTTPS ergänzt Schicht 7 / Sicherheit Das ist einer der wichtigsten Gründe, warum Schichtenmodelle in der Netzwerktechnik so nützlich sind. OSI-Modell und TCP/IP-Modell In der Netzwerktechnik begegnen dir besonders zwei Modelle: Modell Bedeutung OSI-Modell theoretisches Referenzmodell mit 7 Schichten TCP/IP-Modell praxisnahes Modell für Internet und reale Netzwerke Das OSI-Modell wird häufig zum Lernen und zur Prüfungsvorbereitung verwendet. Das TCP/IP-Modell beschreibt eher, wie Netzwerke in der Praxis aufgebaut sind. Wichtig für die IHK: Du solltest beide Modelle grundsätzlich kennen. Du solltest typische Protokolle und Geräte den passenden Schichten zuordnen können. Du solltest erklären können, warum Schichtenmodelle bei Fehlersuche und Strukturierung helfen. Typische IHK-Fragen zu diesem Thema In Prüfungen kann zum Beispiel gefragt werden: - Warum verwendet man Schichtenmodelle? - Welche Vorteile hat die Aufteilung in Schichten? - Welche Aufgabe hat eine bestimmte Schicht? - Welches Protokoll gehört zu welcher Schicht? - Auf welcher Schicht arbeitet ein bestimmtes Gerät? - Auf welcher Schicht liegt ein bestimmter Fehler? - Was ist der Unterschied zwischen OSI-Modell und TCP/IP-Modell? Du musst dabei meistens nicht alles extrem tief erklären, aber du solltest die Grundidee sicher beherrschen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht Ebene mit einer bestimmten Aufgabe im Netzwerkmodell Protokoll Regelwerk für Kommunikation OSI-Modell 7-Schichten-Modell zur Einordnung von Netzwerktechnik TCP/IP-Modell praxisnahes Modell für Internetkommunikation Kapselung Daten werden von Schicht zu Schicht mit zusätzlichen Informationen verpackt Schnittstelle Übergang zwischen zwei Schichten oder Systemen Austauschbarkeit Technik einer Schicht kann ersetzt werden, ohne alles neu zu bauen Fehlersuche systematisches Eingrenzen eines Problems nach Schichten Prüfungswissen Für AP1 und AP2 solltest du besonders können: - den Zweck von Schichtenmodellen erklären - die OSI-Schichten grob benennen - TCP/IP und OSI grob vergleichen - typische Protokolle den Schichten zuordnen - typische Geräte den Schichten zuordnen - Fehler anhand der Schichten eingrenzen - den Begriff Kapselung verstehen Besonders wichtig ist nicht nur das Auswendiglernen der Schichten, sondern das Verstehen der Aufgaben. Merksätze Schichtenmodelle machen Netzwerktechnik übersichtlicher. Jede Schicht hat eine bestimmte Aufgabe. Eine Schicht nutzt die Dienste der darunterliegenden Schicht. Eine Schicht stellt der darüberliegenden Schicht eigene Dienste bereit. Das OSI-Modell hilft beim Lernen und bei der Fehlersuche. Das TCP/IP-Modell ist näher an der Praxis und am Internet. Fehler lassen sich leichter finden, wenn man weiß, auf welcher Schicht man suchen muss. Die wichtigste Idee ist: Komplexe Kommunikation wird in kleinere Aufgaben zerlegt. 2.2 OSI-Modell Überblick Das OSI-Modell ist ein Referenzmodell für Netzwerkkommunikation. OSI steht für: Open Systems Interconnection Auf Deutsch bedeutet das sinngemäß: Kommunikation zwischen offenen Systemen Das OSI-Modell teilt Netzwerkkommunikation in 7 Schichten ein. Jede Schicht hat eine eigene Aufgabe. Das Modell hilft dabei, Netzwerktechnik besser zu verstehen, Protokolle einzuordnen und Fehler systematisch zu suchen. Warum ist das OSI-Modell wichtig? Das OSI-Modell ist besonders wichtig, weil es Netzwerkkommunikation in einzelne Aufgabenbereiche zerlegt. Dadurch kann man besser erkennen: - welche Aufgabe eine bestimmte Technik hat - auf welcher Schicht ein Gerät arbeitet - zu welcher Schicht ein Protokoll gehört - wo ein Netzwerkfehler liegen könnte - wie Daten Schritt für Schritt übertragen werden Für die IHK ist das OSI-Modell wichtig, weil viele Netzwerkthemen darüber eingeordnet werden können. Beispiele: MAC-Adresse → Schicht 2 IP-Adresse → Schicht 3 TCP und UDP → Schicht 4 HTTP, DNS, SMTP → Schicht 7 Die 7 OSI-Schichten Schicht Deutscher Name Englischer Name Hauptaufgabe 7 Anwendungsschicht Application Layer Dienste für Anwendungen bereitstellen 6 Darstellungsschicht Presentation Layer Daten darstellen, codieren, komprimieren oder verschlüsseln 5 Sitzungsschicht Session Layer Sitzungen zwischen Kommunikationspartnern verwalten 4 Transportschicht Transport Layer Ende-zu-Ende-Kommunikation zwischen Anwendungen 3 Vermittlungsschicht / Netzwerkschicht Network Layer logische Adressierung und Routing 2 Sicherungsschicht Data Link Layer lokale Übertragung mit MAC-Adressen und Frames 1 Bitübertragungsschicht Physical Layer Bits als elektrische, optische oder Funk-Signale übertragen OSI-Schicht 1 – Bitübertragungsschicht Die Bitübertragungsschicht ist die unterste offizielle OSI-Schicht. Sie beschreibt, wie Bits physisch übertragen werden. Typische Themen: - elektrische Signale - Lichtsignale - Funksignale - Netzwerkkarte - Kabelanschluss - Hub - Übertragungsgeschwindigkeit - Steckertypen und physische Verbindung Wichtig: Schicht 1 interessiert sich nicht dafür, welche Bedeutung die Daten haben. Sie überträgt nur Bits. Merksatz: Schicht 1 = Bits und Signale OSI-Schicht 2 – Sicherungsschicht Die Sicherungsschicht kümmert sich um die Übertragung im lokalen Netzwerk. Hier spielen MAC-Adressen und Ethernet-Frames eine wichtige Rolle. Typische Themen: - MAC-Adresse - Ethernet-Frame - Switch - VLAN - ARP im LAN-Bezug - CRC/FCS - Port Mirroring - Spanning Tree - Link Aggregation Ein Switch arbeitet typischerweise auf Schicht 2, weil er anhand von MAC-Adressen entscheidet, an welchen Port ein Frame weitergeleitet wird. Merksatz: Schicht 2 = MAC-Adresse, Frame und Switch OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht Die Vermittlungsschicht kümmert sich um die logische Adressierung und Weiterleitung zwischen Netzwerken. Hier geht es vor allem um IP-Adressen und Routing. Typische Themen: - IPv4 - IPv6 - IP-Adresse - Subnetzmaske - CIDR - Routing - Router - Layer-3-Switch - ICMP - Ping - Traceroute Ein Router arbeitet typischerweise auf Schicht 3, weil er Pakete zwischen verschiedenen Netzwerken weiterleitet. Merksatz: Schicht 3 = IP-Adresse und Routing OSI-Schicht 4 – Transportschicht Die Transportschicht kümmert sich um die Kommunikation zwischen Anwendungen auf verschiedenen Geräten. Hier spielen Ports, TCP und UDP eine wichtige Rolle. Typische Themen: - TCP - UDP - Ports - Sockets - TCP-Handshake - Sequenznummern - ACKs - Portbereiche - QUIC mit UDP-Bezug TCP sorgt für eine zuverlässige Verbindung. UDP sendet verbindungslos und mit weniger Verwaltungsaufwand. Merksatz: Schicht 4 = Ports, TCP und UDP OSI-Schicht 5 – Sitzungsschicht Die Sitzungsschicht kümmert sich um Sitzungen zwischen Kommunikationspartnern. Eine Sitzung ist eine logisch zusammengehörende Kommunikation zwischen zwei Systemen oder Anwendungen. Typische Aufgaben: - Sitzung aufbauen - Sitzung verwalten - Sitzung beenden - Dialogsteuerung - Wiederaufnahme einer Verbindung auf Anwendungsebene In modernen Netzwerken sind die Aufgaben von Schicht 5 oft in Anwendungsprotokollen oder Bibliotheken integriert. Wichtig für die Prüfung: Schicht 5 muss man kennen, auch wenn sie in der Praxis nicht immer klar getrennt sichtbar ist. Merksatz: Schicht 5 = Sitzung verwalten OSI-Schicht 6 – Darstellungsschicht Die Darstellungsschicht kümmert sich darum, wie Daten dargestellt oder umgewandelt werden. Typische Aufgaben: - Zeichencodierung - Datenformatierung - Kompression - Verschlüsselung - Umwandlung von Datenformaten Beispiele für Schicht-6-Bezug: - UTF-8 - ASCII - JPEG - PNG - MP3 - Kompression - TLS/SSL im Darstellungs- und Sicherheitsbezug Wichtig: Schicht 6 sorgt dafür, dass Daten in einer verständlichen Form verarbeitet werden können. Merksatz: Schicht 6 = Darstellung, Codierung und Umwandlung OSI-Schicht 7 – Anwendungsschicht Die Anwendungsschicht ist die oberste OSI-Schicht. Sie stellt Netzwerkdienste für Anwendungen bereit. Typische Protokolle und Dienste: - HTTP - HTTPS - DNS - DHCP - SMTP - POP3 - IMAP - FTP - SSH im Anwendungsbezug Wichtig: Schicht 7 ist nicht das Programm selbst, sondern die Netzwerkschnittstelle bzw. der Netzwerkdienst, den eine Anwendung nutzt. Beispiel: Der Browser ist eine Anwendung. HTTP oder HTTPS ist das Protokoll auf Schicht 7. Merksatz: Schicht 7 = Dienste für Anwendungen OSI-Modell von unten nach oben Wenn Daten gesendet werden, kann man die Schichten von oben nach unten betrachten. Beispiel beim Senden: Schicht 7: Anwendung erzeugt Daten Schicht 6: Daten werden dargestellt oder verschlüsselt Schicht 5: Sitzung wird verwaltet Schicht 4: TCP oder UDP transportiert die Daten Schicht 3: IP adressiert und routet die Daten Schicht 2: Ethernet verpackt die Daten in Frames Schicht 1: Bits werden als Signale übertragen Beim Empfangen läuft der Vorgang wieder umgekehrt. OSI-Modell von oben nach unten merken Ein bekannter Merksatz von oben nach unten lautet: Alle Deutschen Schüler Trinken Verschiedene Sorten Brause Das steht für: Wort Schicht Alle Anwendung Deutschen Darstellung Schüler Sitzung Trinken Transport Verschiedene Vermittlung Sorten Sicherung Brause Bitübertragung Also: Anwendung Darstellung Sitzung Transport Vermittlung Sicherung Bitübertragung OSI-Modell von unten nach oben merken Von unten nach oben kann man sich merken: Bits Frames Pakete Segmente Sitzungen Darstellung Anwendung Etwas fachlicher: Schicht typische Dateneinheit 7 Daten 6 Daten 5 Daten 4 Segment oder Datagramm 3 Paket 2 Frame 1 Bits Wichtig: Bei TCP spricht man auf Schicht 4 oft von Segmenten. Bei UDP spricht man auf Schicht 4 oft von Datagrammen. Bei IP spricht man auf Schicht 3 von Paketen. Bei Ethernet spricht man auf Schicht 2 von Frames. Auf Schicht 1 werden Bits übertragen. Typische Geräte und ihre Schichten Gerät Typische Schicht Begründung Hub Schicht 1 verteilt Signale ohne MAC- oder IP-Auswertung Switch Schicht 2 leitet anhand von MAC-Adressen weiter Router Schicht 3 leitet anhand von IP-Adressen zwischen Netzen weiter Layer-3-Switch Schicht 3 kombiniert Switching mit Routing Firewall mehrere Schichten kann je nach Typ IPs, Ports, Zustände oder Anwendungen prüfen Access Point Schicht 1/2 Funkübertragung und WLAN-Zugriff Wichtig: Manche Geräte arbeiten nicht nur auf genau einer Schicht. Eine Firewall kann zum Beispiel auf mehreren Schichten prüfen. Typische Protokolle und ihre Schichten Protokoll / Technik Typische Einordnung Ethernet Schicht 2 MAC Schicht 2 VLAN Schicht 2 IP Schicht 3 ICMP Schicht 3 TCP Schicht 4 UDP Schicht 4 HTTP Schicht 7 DNS Schicht 7 mit starkem Schicht-3-Bezug DHCP Schicht 7 mit starkem Schicht-3-Bezug SMTP Schicht 7 IMAP Schicht 7 POP3 Schicht 7 Prüfungshinweis: DNS und DHCP werden oft im Zusammenhang mit IP-Konfiguration und Namensauflösung gelernt. Fachlich sind es aber Anwendungsprotokolle, die TCP oder UDP verwenden. Beispiel: Fehler nach OSI-Schichten einordnen Das OSI-Modell hilft bei der Fehlersuche. Beispiele: Fehlerbild mögliche Schicht Kein Link-Licht am Switch Schicht 1 falsches oder defektes Kabel Schicht 1 MAC-Adresse wird nicht gelernt Schicht 2 VLAN falsch zugeordnet Schicht 2 falsche IP-Adresse Schicht 3 falsches Gateway Schicht 3 Routing fehlt Schicht 3 Port 443 ist blockiert Schicht 4 / Firewall DNS-Name wird nicht aufgelöst Schicht 7 mit Schicht-3-Bezug Webseite lädt nicht Schicht 4 bis 7 möglich Wichtig: Ein Fehler auf einer unteren Schicht kann alle oberen Schichten beeinflussen. Beispiel: Wenn das Netzwerkkabel defekt ist, funktionieren IP, TCP, DNS und HTTP auch nicht. IHK-Prüfungswissen Für AP1 und AP2 solltest du können: - die 7 OSI-Schichten benennen - die Reihenfolge der Schichten kennen - typische Geräte den Schichten zuordnen - typische Protokolle den Schichten zuordnen - einfache Fehlerbilder einer Schicht zuordnen - den Unterschied zwischen MAC-Adresse, IP-Adresse und Port erklären - verstehen, dass Firewalls mehrere Schichten prüfen können - wissen, dass ICMP nicht zu TCP oder UDP gehört - wissen, dass TCP und UDP Schicht-4-Protokolle sind Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung OSI Open Systems Interconnection Schicht Ebene mit bestimmter Aufgabe im Netzwerkmodell Bit kleinste Informationseinheit, 0 oder 1 Frame Dateneinheit auf Schicht 2 Paket Dateneinheit auf Schicht 3 Segment TCP-Dateneinheit auf Schicht 4 Datagramm UDP-Dateneinheit auf Schicht 4 MAC-Adresse Hardwareadresse im lokalen Netzwerk IP-Adresse logische Adresse für Netzwerke Port Dienstadresse auf einem Host Protokoll Regelwerk für Kommunikation Routing Weiterleitung zwischen Netzwerken Kapselung Verpacken von Daten durch mehrere Schichten Typische Prüfungsfallen ICMP ist kein Transportprotokoll wie TCP oder UDP. ICMP gehört in den IP-/Netzwerkbereich. Ein Switch arbeitet normalerweise auf Schicht 2. Ein Router arbeitet normalerweise auf Schicht 3. Ein Port ist keine IP-Adresse. Ein Port zeigt auf einen Dienst oder eine Anwendung. Eine MAC-Adresse ist nicht dasselbe wie eine IP-Adresse. MAC-Adresse = lokale Zustellung im LAN. IP-Adresse = logische Adressierung zwischen Netzen. Schicht 7 ist nicht einfach "der Benutzer", sondern die Anwendungsschicht mit Netzwerkdiensten. Firewalls können je nach Art auf mehreren Schichten arbeiten. Merksätze Schicht 1 = Bits und Signale Schicht 2 = MAC-Adresse und Frame Schicht 3 = IP-Adresse und Routing Schicht 4 = Ports, TCP und UDP Schicht 5 = Sitzung verwalten Schicht 6 = Daten darstellen, codieren oder verschlüsseln Schicht 7 = Dienste für Anwendungen MAC-Adresse = lokales Netzwerk IP-Adresse = Netzwerkübergreifende Adressierung Port = Dienst auf einem Host TCP = zuverlässig und verbindungsorientiert UDP = verbindungslos und schlank ICMP = Kontroll- und Fehlermeldungen im IP-Netz Das OSI-Modell ist eine Landkarte für Netzwerktechnik. 2.3 TCP/IP-Modell Überblick Das TCP/IP-Modell ist ein praxisnahes Schichtenmodell für Netzwerke und das Internet. TCP/IP steht für: Transmission Control Protocol / Internet Protocol Der Name kommt von zwei besonders wichtigen Protokollen: TCP = Transmission Control Protocol IP = Internet Protocol Wichtig: TCP/IP bezeichnet nicht nur TCP und IP allein, sondern eine ganze Protokollfamilie. Deshalb spricht man auch von der: Internetprotokollfamilie Warum ist das TCP/IP-Modell wichtig? Das TCP/IP-Modell ist besonders wichtig, weil es die Grundlage moderner Netzwerke und des Internets bildet. Während das OSI-Modell vor allem als theoretisches Referenzmodell zum Lernen und Einordnen verwendet wird, ist das TCP/IP-Modell näher an der praktischen Umsetzung. Vereinfacht gesagt: OSI-Modell = Lern- und Referenzmodell TCP/IP-Modell = praxisnahes Modell für reale Netzwerke und das Internet Für die IHK ist wichtig: Du solltest das OSI-Modell kennen, aber auch verstehen, wie TCP/IP praktisch dazu passt. Begriff: TCP/IP-Modell Das TCP/IP-Modell beschreibt, wie Daten in IP-basierten Netzwerken übertragen werden. Es ordnet Netzwerkaufgaben in mehrere Schichten ein. Typische Aufgaben sind: - Daten von Anwendungen bereitstellen - Transport zwischen Anwendungen ermöglichen - IP-Adressierung und Routing durchführen - Daten im lokalen Netzwerk übertragen - Bits über ein Medium senden Die Schichten des TCP/IP-Modells Das TCP/IP-Modell wird häufig mit vier Schichten dargestellt. TCP/IP-Schicht Aufgabe Beispiele Anwendungsschicht Dienste für Anwendungen bereitstellen HTTP, DNS, DHCP, SMTP, IMAP Transportschicht Kommunikation zwischen Anwendungen transportieren TCP, UDP Internetschicht logische Adressierung und Routing IP, ICMP Netzzugangsschicht Zugriff auf das lokale Netzwerk und Übertragung Ethernet, WLAN, MAC Wichtig: Das TCP/IP-Modell hat weniger Schichten als das OSI-Modell. Das bedeutet aber nicht, dass Aufgaben fehlen. Mehrere OSI-Schichten werden im TCP/IP-Modell zusammengefasst. TCP/IP-Schicht 1: Netzzugangsschicht Die Netzzugangsschicht beschreibt, wie Daten im lokalen Netzwerk übertragen werden. Sie umfasst im TCP/IP-Modell Aufgaben, die im OSI-Modell hauptsächlich zu Schicht 1 und Schicht 2 gehören. Typische Themen: - Netzwerkkarte - Ethernet - WLAN - MAC-Adresse - Switch - Ethernet-Frame - Übertragungsmedium - Zugriff auf das Netzwerk Fachlich genauer: Die Netzzugangsschicht fasst Aufgaben der Bitübertragungsschicht und der Sicherungsschicht zusammen. Bezug zum OSI-Modell: TCP/IP OSI-Bezug Netzzugangsschicht OSI-Schicht 1 und OSI-Schicht 2 Merksatz: Netzzugangsschicht = lokales Netzwerk, MAC-Adresse, Ethernet, WLAN TCP/IP-Schicht 2: Internetschicht Die Internetschicht kümmert sich um die logische Adressierung und die Weiterleitung zwischen Netzwerken. Das wichtigste Protokoll dieser Schicht ist IP. Typische Themen: - IPv4 - IPv6 - IP-Adresse - Subnetzmaske - Routing - Router - ICMP - Ping - Traceroute Die Internetschicht sorgt dafür, dass Datenpakete über Netzwerkgrenzen hinweg zum Ziel gelangen können. Bezug zum OSI-Modell: TCP/IP OSI-Bezug Internetschicht OSI-Schicht 3 Merksatz: Internetschicht = IP-Adresse und Routing Begriff: IP IP steht für: Internet Protocol IP ist für die logische Adressierung und Weiterleitung von Paketen zuständig. Das bedeutet: IP legt fest, von welcher IP-Adresse ein Paket kommt und zu welcher IP-Adresse es gesendet werden soll. Wichtig: IP stellt keine zuverlässige Zustellung sicher. IP kümmert sich hauptsächlich um Adressierung und Weiterleitung. Die zuverlässige Übertragung übernimmt bei Bedarf eine höhere Schicht, zum Beispiel TCP. TCP/IP-Schicht 3: Transportschicht Die Transportschicht sorgt für die Kommunikation zwischen Anwendungen auf verschiedenen Geräten. Die wichtigsten Protokolle dieser Schicht sind: TCP UDP TCP ist verbindungsorientiert und zuverlässig. UDP ist verbindungslos und hat weniger Verwaltungsaufwand. Typische Themen: - Ports - Sockets - TCP - UDP - TCP-Handshake - Sequenznummern - ACK-Bestätigungen - Datagramme - Verbindungsaufbau - Verbindungsabbau Bezug zum OSI-Modell: TCP/IP OSI-Bezug Transportschicht OSI-Schicht 4 Merksatz: Transportschicht = TCP, UDP und Ports Begriff: TCP TCP steht für: Transmission Control Protocol TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. TCP sorgt unter anderem für: - Verbindungsaufbau - geordnete Datenübertragung - Bestätigungen - erneute Übertragung verlorener Daten - Verbindungsabbau Typisches Beispiel: HTTPS über TCP-Port 443 Merksatz: TCP = zuverlässig und verbindungsorientiert Begriff: UDP UDP steht für: User Datagram Protocol UDP ist ein verbindungsloses Transportprotokoll. UDP sendet Daten ohne vorherigen Verbindungsaufbau. UDP bietet keine eingebaute Garantie für: - Zustellung - Reihenfolge - erneute Übertragung verlorener Daten Typische Beispiele: DNS DHCP VoIP Streaming Online-Gaming Merksatz: UDP = verbindungslos und mit wenig Verwaltungsaufwand TCP/IP-Schicht 4: Anwendungsschicht Die Anwendungsschicht stellt Netzwerkdienste für Programme bereit. Sie fasst im TCP/IP-Modell Aufgaben zusammen, die im OSI-Modell den Schichten 5, 6 und 7 zugeordnet werden. Typische Protokolle und Dienste: - HTTP - HTTPS - DNS - DHCP - SMTP - POP3 - IMAP - FTP - SSH Bezug zum OSI-Modell: TCP/IP OSI-Bezug Anwendungsschicht OSI-Schicht 5, 6 und 7 Wichtig: Im TCP/IP-Modell werden Sitzungsschicht, Darstellungsschicht und Anwendungsschicht meistens zur Anwendungsschicht zusammengefasst. Merksatz: Anwendungsschicht = Netzwerkdienste für Anwendungen TCP/IP-Modell und OSI-Modell grob zugeordnet TCP/IP-Modell OSI-Modell Beispiele Anwendungsschicht Schicht 5 bis 7 HTTP, DNS, DHCP, SMTP Transportschicht Schicht 4 TCP, UDP, Ports Internetschicht Schicht 3 IP, ICMP, Routing Netzzugangsschicht Schicht 1 bis 2 Ethernet, WLAN, MAC, Switch Wichtig: Die Zuordnung ist eine fachliche Orientierung. In der Praxis sind die Grenzen nicht immer so sauber sichtbar wie im Modell. Begriff: Protokollfamilie Eine Protokollfamilie ist eine Gruppe von Protokollen, die zusammenarbeiten. TCP/IP ist eine Protokollfamilie. Beispiele aus der TCP/IP-Protokollfamilie: Protokoll Aufgabe IP Adressierung und Routing ICMP Kontroll- und Fehlermeldungen TCP zuverlässiger Transport UDP verbindungsloser Transport HTTP Webseitenübertragung DNS Namensauflösung DHCP automatische IP-Konfiguration SMTP E-Mail-Versand IMAP E-Mail-Abruf Merksatz: TCP/IP ist nicht nur TCP und IP, sondern eine ganze Familie zusammenarbeitender Netzwerkprotokolle. Begriff: Host Ein Host ist ein Gerät in einem Netzwerk, das eine eigene Netzwerkadresse besitzt und kommunizieren kann. Beispiele: - PC - Notebook - Server - Smartphone - Drucker - NAS - virtuelle Maschine Im TCP/IP-Kontext bedeutet das: Ein Host hat normalerweise eine IP-Adresse und kann Daten senden oder empfangen. Begriff: Router Ein Router verbindet verschiedene Netzwerke miteinander. Er entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet werden soll. Typischer Bezug: TCP/IP-Internetschicht OSI-Schicht 3 Merksatz: Router verbinden Netze. Switches verbinden Geräte im lokalen Netz. Begriff: Paket Ein Paket ist eine Dateneinheit auf der IP-Ebene. Bei IPv4 oder IPv6 spricht man von IP-Paketen. Ein IP-Paket enthält unter anderem: - Quell-IP-Adresse - Ziel-IP-Adresse - Steuerinformationen - Nutzdaten Merksatz: Paket = Dateneinheit der IP-Schicht Begriff: Frame Ein Frame ist eine Dateneinheit im lokalen Netzwerk, zum Beispiel bei Ethernet. Ein Ethernet-Frame enthält unter anderem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Typfeld - Nutzdaten - Prüfsumme Merksatz: Frame = Dateneinheit im lokalen Netzwerk Begriff: Segment und Datagramm Auf der Transportschicht unterscheidet man häufig: TCP-Segment UDP-Datagramm Ein TCP-Segment gehört zu TCP. Ein UDP-Datagramm gehört zu UDP. Merksatz: TCP arbeitet mit Segmenten. UDP arbeitet mit Datagrammen. Warum hat TCP/IP weniger Schichten als OSI? Das OSI-Modell beschreibt die Kommunikation sehr genau in sieben Schichten. Das TCP/IP-Modell ist stärker an der praktischen Umsetzung orientiert und fasst bestimmte Aufgaben zusammen. Beispiel: OSI-Schicht 5 = Sitzungsschicht OSI-Schicht 6 = Darstellungsschicht OSI-Schicht 7 = Anwendungsschicht Im TCP/IP-Modell werden diese Aufgaben meistens zusammengefasst zur: Anwendungsschicht Auch OSI-Schicht 1 und OSI-Schicht 2 werden im TCP/IP-Modell häufig zusammengefasst zur: Netzzugangsschicht Beispiel: Webseite aufrufen im TCP/IP-Modell Wenn ein Client eine Webseite aufruft, arbeiten mehrere TCP/IP-Schichten zusammen. Beispiel: Anwendungsschicht: Der Browser verwendet HTTP oder HTTPS. Transportschicht: TCP stellt eine Verbindung zum Server her. Internetschicht: IP adressiert das Paket zum Zielserver. Netzzugangsschicht: Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk. Vereinfacht: HTTP/HTTPS → TCP → IP → Ethernet/WLAN Oder als Ablauf: Browser erzeugt HTTP-Anfrage. TCP transportiert die Anfrage zuverlässig. IP sorgt für die Adressierung zum Webserver. Ethernet oder WLAN überträgt die Daten im lokalen Netz. Beispiel: DNS-Anfrage im TCP/IP-Modell DNS wird häufig verwendet, um einen Namen in eine IP-Adresse aufzulösen. Beispiel: www.example.org → passende IP-Adresse Ablauf vereinfacht: Anwendungsschicht: DNS-Anfrage wird erzeugt. Transportschicht: UDP wird häufig für DNS-Anfragen verwendet. Internetschicht: IP adressiert die Anfrage zum DNS-Server. Netzzugangsschicht: Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk. Vereinfacht: DNS → UDP → IP → Ethernet/WLAN Wichtig: DNS ist ein Anwendungsprotokoll, nutzt aber häufig UDP auf der Transportschicht und IP auf der Internetschicht. IHK-Prüfungswissen Für AP1 und AP2 solltest du zum TCP/IP-Modell besonders können: - erklären, dass TCP/IP ein praxisnahes Schichtenmodell ist - TCP/IP als Protokollfamilie verstehen - die wichtigsten TCP/IP-Schichten benennen - TCP/IP grob dem OSI-Modell zuordnen - TCP und UDP der Transportschicht zuordnen - IP und ICMP der Internetschicht zuordnen - Ethernet und WLAN der Netzzugangsschicht zuordnen - HTTP, DNS, DHCP und E-Mail-Protokolle der Anwendungsschicht zuordnen - erklären, warum TCP/IP weniger Schichten als OSI hat Typische Prüfungsfallen TCP/IP ist nicht nur TCP und IP. TCP/IP bezeichnet eine Protokollfamilie. IP ist nicht zuverlässig im Sinne von TCP. IP adressiert und routet Pakete. TCP und UDP gehören zur Transportschicht. ICMP gehört nicht zu TCP oder UDP. ICMP gehört in den IP-/Internetschicht-Bereich. DNS ist kein Schicht-3-Protokoll, auch wenn es für IP-Adressen wichtig ist. DHCP ist kein reines Schicht-3-Protokoll, auch wenn es IP-Konfiguration bereitstellt. Das TCP/IP-Modell ist praxisnäher als das OSI-Modell. Das OSI-Modell hat sieben Schichten. Das TCP/IP-Modell wird häufig mit vier Schichten dargestellt. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung TCP/IP Protokollfamilie für IP-basierte Netzwerke TCP zuverlässiges, verbindungsorientiertes Transportprotokoll UDP verbindungsloses Transportprotokoll mit wenig Verwaltungsaufwand IP Protokoll für logische Adressierung und Routing ICMP Kontroll- und Fehlermeldeprotokoll im IP-Netz HTTP Protokoll zur Übertragung von Webseiten DNS Namensauflösung von Namen zu IP-Adressen DHCP automatische Vergabe von IP-Konfiguration Ethernet Technik für lokale Netzwerke WLAN drahtloses lokales Netzwerk Host Gerät mit Netzwerkadresse Router Gerät zur Verbindung verschiedener Netzwerke Frame Dateneinheit im lokalen Netzwerk Paket Dateneinheit auf IP-Ebene Segment TCP-Dateneinheit Datagramm UDP-Dateneinheit Merksätze TCP/IP ist die Grundlage moderner IP-Netzwerke. TCP/IP ist eine Protokollfamilie, nicht nur TCP und IP. Das TCP/IP-Modell ist praxisnäher als das OSI-Modell. OSI hat 7 Schichten. TCP/IP wird häufig mit 4 Schichten dargestellt. Anwendungsschicht = HTTP, DNS, DHCP, SMTP Transportschicht = TCP, UDP, Ports Internetschicht = IP, ICMP, Routing Netzzugangsschicht = Ethernet, WLAN, MAC TCP = zuverlässiger Transport UDP = verbindungsloser Transport IP = Adressierung und Routing ICMP = Kontroll- und Fehlermeldungen Ethernet = lokale Übertragung im LAN DNS → UDP/TCP → IP → Ethernet HTTP/HTTPS → TCP → IP → Ethernet 2.4 OSI-Modell versus TCP/IP-Modell Das OSI-Modell und das TCP/IP-Modell sind Schichtenmodelle für Netzwerkkommunikation. Beide Modelle helfen dabei, Netzwerktechnik in einzelne Aufgabenbereiche aufzuteilen. Der wichtigste Unterschied ist: Das OSI-Modell ist ein theoretisches Referenzmodell mit 7 Schichten. Das TCP/IP-Modell ist ein praxisnahes Modell für reale IP-Netzwerke und das Internet. Grundidee Netzwerkkommunikation besteht aus mehreren Aufgaben. Zum Beispiel: - Daten werden von einer Anwendung erzeugt. - Daten werden für den Transport vorbereitet. - Daten werden adressiert. - Daten werden über ein Netzwerk weitergeleitet. - Daten werden über ein Medium übertragen. - Daten werden beim Empfänger wieder zusammengesetzt. Schichtenmodelle helfen dabei, diese Aufgaben fachlich einzuordnen. OSI-Modell kurz erklärt OSI steht für: Open Systems Interconnection Das OSI-Modell besteht aus 7 Schichten. OSI-Schicht Deutscher Name Englischer Name Hauptaufgabe 7 Anwendungsschicht Application Layer Netzwerkdienste für Anwendungen 6 Darstellungsschicht Presentation Layer Darstellung, Codierung, Kompression, Verschlüsselung 5 Sitzungsschicht Session Layer Sitzungen aufbauen, verwalten und beenden 4 Transportschicht Transport Layer Transport zwischen Anwendungen 3 Vermittlungsschicht / Netzwerkschicht Network Layer logische Adressierung und Routing 2 Sicherungsschicht Data Link Layer lokale Übertragung mit Frames und MAC-Adressen 1 Bitübertragungsschicht Physical Layer Übertragung von Bits als Signale Merksatz: OSI = 7 Schichten zur fachlichen Einordnung von Netzwerkkommunikation TCP/IP-Modell kurz erklärt TCP/IP steht für: Transmission Control Protocol / Internet Protocol Der Begriff TCP/IP bezeichnet nicht nur TCP und IP, sondern eine ganze Protokollfamilie. Das TCP/IP-Modell wird häufig mit 4 Schichten dargestellt. TCP/IP-Schicht Hauptaufgabe Beispiele Anwendungsschicht Dienste für Anwendungen bereitstellen HTTP, DNS, DHCP, SMTP, IMAP Transportschicht Kommunikation zwischen Anwendungen transportieren TCP, UDP Internetschicht logische Adressierung und Routing IP, ICMP Netzzugangsschicht Zugriff auf das lokale Netzwerk und Übertragung Ethernet, WLAN, MAC Merksatz: TCP/IP = praxisnahes Modell für IP-Netzwerke und das Internet Direkter Vergleich Merkmal OSI-Modell TCP/IP-Modell Art des Modells Referenzmodell praxisnahes Protokollmodell Anzahl der Schichten 7 Schichten häufig 4 Schichten Zweck Lernen, Einordnen, Fehlersuche Beschreibung realer IP-Kommunikation Praxisbezug eher theoretisch sehr praxisnah Anwendung Prüfung, Dokumentation, Analyse reale Netzwerke und Internet Beispiele Schicht 1 bis 7 Anwendung, Transport, Internet, Netzzugang Wichtig: Das OSI-Modell ist genauer unterteilt. Das TCP/IP-Modell fasst mehrere OSI-Schichten zusammen. Zuordnung OSI-Modell zu TCP/IP-Modell TCP/IP-Modell Entsprechende OSI-Schichten Beispiele Anwendungsschicht OSI-Schicht 5, 6 und 7 HTTP, DNS, DHCP, SMTP, IMAP Transportschicht OSI-Schicht 4 TCP, UDP, Ports Internetschicht OSI-Schicht 3 IP, ICMP, Routing Netzzugangsschicht OSI-Schicht 1 und 2 Ethernet, WLAN, MAC, Switch Diese Zuordnung ist besonders wichtig für die IHK. Man muss nicht jedes Detail auswendig lernen, aber man sollte verstehen, welche Aufgaben zusammengehören. Warum hat das TCP/IP-Modell weniger Schichten? Das TCP/IP-Modell fasst mehrere Aufgabenbereiche zusammen. Beispiel 1: OSI-Schicht 5 = Sitzungsschicht OSI-Schicht 6 = Darstellungsschicht OSI-Schicht 7 = Anwendungsschicht Diese drei Schichten werden im TCP/IP-Modell meist zusammengefasst zur: Anwendungsschicht Beispiel 2: OSI-Schicht 1 = Bitübertragungsschicht OSI-Schicht 2 = Sicherungsschicht Diese beiden Schichten werden im TCP/IP-Modell häufig zusammengefasst zur: Netzzugangsschicht Merksatz: TCP/IP fasst mehrere OSI-Schichten zusammen, weil es stärker an der praktischen Internetkommunikation orientiert ist. Anwendungsschicht im Vergleich Im OSI-Modell gibt es oben drei getrennte Schichten: Schicht 7 = Anwendungsschicht Schicht 6 = Darstellungsschicht Schicht 5 = Sitzungsschicht Im TCP/IP-Modell werden diese Aufgaben meistens zusammengefasst. OSI-Schicht Aufgabe TCP/IP-Zuordnung 7 Netzwerkdienste für Anwendungen Anwendungsschicht 6 Daten darstellen, codieren, komprimieren oder verschlüsseln Anwendungsschicht 5 Sitzungen verwalten Anwendungsschicht Beispiele: HTTP HTTPS DNS DHCP SMTP IMAP POP3 Wichtig: Im TCP/IP-Modell sind Sitzung, Darstellung und Anwendung meist nicht getrennt sichtbar. Transportschicht im Vergleich Die Transportschicht ist in beiden Modellen gut vergleichbar. Modell Schicht Beispiele OSI-Modell Schicht 4 – Transportschicht TCP, UDP TCP/IP-Modell Transportschicht TCP, UDP Typische Begriffe: Port Socket TCP UDP Segment Datagramm Verbindungsaufbau Zuverlässigkeit Reihenfolgekontrolle Merksatz: Schicht 4 = TCP, UDP und Ports Internetschicht und Vermittlungsschicht im Vergleich Die Internetschicht des TCP/IP-Modells entspricht grob der OSI-Schicht 3. Modell Schicht Beispiele OSI-Modell Schicht 3 – Vermittlungsschicht / Netzwerkschicht IP, ICMP, Routing TCP/IP-Modell Internetschicht IP, ICMP, Routing Typische Begriffe: IP-Adresse IPv4 IPv6 Subnetzmaske CIDR Routing Router ICMP Ping Traceroute Merksatz: Schicht 3 = IP-Adresse und Routing Netzzugangsschicht im Vergleich Die Netzzugangsschicht des TCP/IP-Modells fasst OSI-Schicht 1 und OSI-Schicht 2 zusammen. OSI-Schicht Aufgabe TCP/IP-Zuordnung 2 lokale Übertragung mit MAC-Adressen und Frames Netzzugangsschicht 1 Übertragung von Bits als Signale Netzzugangsschicht Typische Begriffe: Ethernet WLAN MAC-Adresse Ethernet-Frame Switch Netzwerkkarte Kabel Glasfaser Funk Bits Signale Merksatz: Netzzugangsschicht = lokale Übertragung im Netzwerk Beispiel: Webseitenaufruf im OSI-Modell Wenn ein Client eine Webseite aufruft, kann man den Vorgang im OSI-Modell einordnen. Vereinfacht: Schicht 7: HTTP oder HTTPS stellt den Webdienst bereit. Schicht 6: Daten können dargestellt, codiert oder verschlüsselt werden. Schicht 5: Eine Sitzung oder Kommunikationsbeziehung kann verwaltet werden. Schicht 4: TCP transportiert die Daten zuverlässig über Ports. Schicht 3: IP adressiert die Pakete zum Zielserver. Schicht 2: Ethernet oder WLAN überträgt Frames im lokalen Netzwerk. Schicht 1: Bits werden als elektrische, optische oder Funk-Signale übertragen. Beispiel: Webseitenaufruf im TCP/IP-Modell Der gleiche Vorgang im TCP/IP-Modell ist kompakter. Anwendungsschicht: HTTP oder HTTPS Transportschicht: TCP Internetschicht: IP Netzzugangsschicht: Ethernet oder WLAN Vereinfacht: HTTP/HTTPS → TCP → IP → Ethernet/WLAN Das zeigt: Das TCP/IP-Modell beschreibt den gleichen Vorgang, aber mit weniger Schichten. Begriff: Referenzmodell Ein Referenzmodell ist ein Modell, das als Orientierung und Vergleichsgrundlage dient. Das OSI-Modell ist ein Referenzmodell. Es hilft dabei: - Netzwerkaufgaben zu ordnen - Protokolle einzuordnen - Geräte einzuordnen - Fehler systematisch zu suchen - Fachbegriffe eindeutig zu verwenden Merksatz: Das OSI-Modell ist eine fachliche Landkarte für Netzwerktechnik. Begriff: Protokollmodell Ein Protokollmodell beschreibt, wie Protokolle in der Praxis zusammenarbeiten. Das TCP/IP-Modell ist praxisnäher, weil es direkt aus der realen Internetkommunikation stammt. Es zeigt zum Beispiel: Anwendung nutzt TCP oder UDP. TCP oder UDP nutzt IP. IP nutzt Ethernet oder WLAN. Beispiel: DNS → UDP → IP → Ethernet Oder: HTTPS → TCP → IP → Ethernet Merksatz: Das TCP/IP-Modell zeigt besonders gut, wie reale Internetprotokolle zusammenarbeiten. Typische Protokolle im Vergleich Protokoll / Technik OSI-Einordnung TCP/IP-Einordnung HTTP Schicht 7 Anwendungsschicht HTTPS Schicht 7 mit Sicherheitsbezug Anwendungsschicht DNS Schicht 7 Anwendungsschicht DHCP Schicht 7 Anwendungsschicht SMTP Schicht 7 Anwendungsschicht IMAP Schicht 7 Anwendungsschicht TCP Schicht 4 Transportschicht UDP Schicht 4 Transportschicht IP Schicht 3 Internetschicht ICMP Schicht 3 Internetschicht Ethernet Schicht 2 Netzzugangsschicht WLAN Schicht 1/2 Netzzugangsschicht MAC-Adresse Schicht 2 Netzzugangsschicht Wichtig: Manche Techniken haben Bezüge zu mehreren Schichten. Für die Prüfung ist meistens die typische Hauptzuordnung entscheidend. Typische Geräte im Vergleich Gerät Typische OSI-Schicht Begründung Hub Schicht 1 verteilt Signale ohne Auswertung von MAC- oder IP-Adressen Switch Schicht 2 leitet Frames anhand von MAC-Adressen weiter Router Schicht 3 leitet Pakete anhand von IP-Adressen zwischen Netzen weiter Layer-3-Switch Schicht 3 verbindet Switching mit Routing Firewall mehrere Schichten kann IP-Adressen, Ports, Zustände oder Anwendungen prüfen Access Point Schicht 1/2 Funkübertragung und Zugriff auf WLAN Prüfungshinweis: Bei Geräten wird meist nach der typischen Hauptfunktion gefragt. Warum braucht man beide Modelle? Das OSI-Modell ist wichtig, weil es sehr genau zwischen den Aufgaben unterscheidet. Das TCP/IP-Modell ist wichtig, weil es näher an realen Netzwerken und dem Internet liegt. Man braucht beide Modelle, weil sie unterschiedliche Stärken haben. Modell Stärke OSI-Modell genaue fachliche Einordnung TCP/IP-Modell praktische Internetkommunikation Ein guter Netzwerktechniker sollte beide Modelle grob verstehen und miteinander verbinden können. Typische IHK-Aufgaben In AP1 und AP2 können Aufgaben zum Beispiel so aussehen: - Ordnen Sie Protokolle den OSI-Schichten zu. - Ordnen Sie Geräte den OSI-Schichten zu. - Nennen Sie die Aufgabe der Transportschicht. - Erklären Sie den Unterschied zwischen TCP und IP. - Vergleichen Sie OSI-Modell und TCP/IP-Modell. - Erklären Sie, warum das TCP/IP-Modell weniger Schichten hat. - Ordnen Sie HTTP, TCP, IP und Ethernet den passenden Schichten zu. - Bestimmen Sie, auf welcher Schicht ein Fehler liegt. Typische Prüfungsfallen TCP/IP ist nicht nur TCP und IP. TCP/IP bezeichnet eine ganze Protokollfamilie. OSI-Schicht 7 ist nicht das Benutzerprogramm selbst, sondern die Anwendungsschicht mit Netzwerkdiensten. DNS und DHCP sind Anwendungsprotokolle, auch wenn sie eng mit IP-Konfiguration und IP-Adressen zusammenhängen. ICMP ist kein Transportprotokoll. ICMP gehört in den IP-/Internetschicht-Bereich. TCP und UDP gehören zur Transportschicht. IP gehört zur Vermittlungsschicht bzw. Internetschicht. Ethernet gehört zur Sicherungsschicht bzw. Netzzugangsschicht. Ein Switch ist normalerweise Schicht 2. Ein Router ist normalerweise Schicht 3. Eine Firewall kann je nach Funktion mehrere Schichten betreffen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung OSI-Modell Referenzmodell mit 7 Schichten zur Einordnung von Netzwerkkommunikation TCP/IP-Modell praxisnahes Modell für IP-basierte Netzwerke Referenzmodell Modell zur fachlichen Orientierung und Einordnung Protokollfamilie Gruppe zusammenarbeitender Protokolle Anwendungsschicht stellt Netzwerkdienste für Anwendungen bereit Transportschicht transportiert Daten zwischen Anwendungen Internetschicht sorgt für IP-Adressierung und Routing Netzzugangsschicht beschreibt Zugriff und Übertragung im lokalen Netzwerk Kapselung Daten werden beim Durchlaufen der Schichten mit Steuerinformationen ergänzt Protokoll Regelwerk für Kommunikation Host Gerät mit Netzwerkadresse Router Gerät zur Verbindung verschiedener Netzwerke Switch Gerät zur Weiterleitung im lokalen Netzwerk anhand von MAC-Adressen IHK-sichere Kurzformulierung Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten. Es dient der fachlichen Einordnung von Netzwerkkommunikation, Protokollen, Geräten und Fehlern. Das TCP/IP-Modell ist ein praxisnahes Modell für IP-basierte Netzwerke und das Internet. Es wird häufig mit vier Schichten dargestellt: Anwendungsschicht, Transportschicht, Internetschicht und Netzzugangsschicht. Die TCP/IP-Anwendungsschicht umfasst grob die OSI-Schichten 5 bis 7. Die TCP/IP-Transportschicht entspricht grob der OSI-Schicht 4. Die TCP/IP-Internetschicht entspricht grob der OSI-Schicht 3. Die TCP/IP-Netzzugangsschicht umfasst grob die OSI-Schichten 1 und 2. Merksätze OSI = 7 Schichten zur fachlichen Einordnung TCP/IP = praxisnahes Modell für Internetkommunikation OSI ist genauer unterteilt. TCP/IP fasst mehrere OSI-Schichten zusammen. OSI-Schicht 1 und 2 entsprechen grob der TCP/IP-Netzzugangsschicht. OSI-Schicht 3 entspricht grob der TCP/IP-Internetschicht. OSI-Schicht 4 entspricht grob der TCP/IP-Transportschicht. OSI-Schicht 5 bis 7 entsprechen grob der TCP/IP-Anwendungsschicht. TCP und UDP gehören zur Transportschicht. IP und ICMP gehören zur Internetschicht. Ethernet, WLAN und MAC gehören zur Netzzugangsschicht. HTTP, DNS, DHCP und E-Mail-Protokolle gehören zur Anwendungsschicht. Das OSI-Modell hilft beim Lernen und bei der Fehlersuche. Das TCP/IP-Modell beschreibt die Praxis moderner IP-Netzwerke. 2.5 Kapselung einfach erklärt Kapselung ist ein Grundprinzip der Netzwerkkommunikation. Wenn Daten über ein Netzwerk gesendet werden, laufen sie durch mehrere Schichten. Jede Schicht fügt eigene Steuerinformationen hinzu, damit die Daten auf dieser Schicht verarbeitet werden können. Fachlich gesagt: Kapselung bedeutet, dass Nutzdaten beim Durchlaufen der Schichten jeweils um Protokollinformationen der jeweiligen Schicht ergänzt werden. Vereinfacht gesagt: Jede Schicht verpackt die Daten weiter, damit sie ihre Aufgabe erfüllen kann. Warum ist Kapselung wichtig? Netzwerkkommunikation besteht nicht nur aus den eigentlichen Nutzdaten. Damit Daten ihr Ziel erreichen, werden zusätzliche Informationen benötigt. Beispiele: - Welche Anwendung ist gemeint? - Welcher Dienst oder Port ist gemeint? - Welche IP-Adresse ist das Ziel? - Welche MAC-Adresse ist im lokalen Netzwerk das nächste Ziel? - Über welches Medium werden die Bits übertragen? Diese Informationen werden nicht alle auf einmal hinzugefügt, sondern schrittweise durch die einzelnen Schichten. Begriff: Nutzdaten Nutzdaten sind die eigentlichen Inhalte, die übertragen werden sollen. Beispiele: - Inhalt einer Webseite - E-Mail-Text - Dateiinhalt - DNS-Anfrage - Bilddaten - Audio- oder Videodaten Wichtig: Nutzdaten sind das, was die Anwendung eigentlich senden oder empfangen möchte. Die Protokollinformationen außen herum dienen dazu, diese Nutzdaten korrekt zu übertragen. Begriff: Header Ein Header ist ein Kopfbereich mit Steuerinformationen. Ein Header steht vor den eigentlichen Nutzdaten einer bestimmten Schicht. Beispiele für Informationen in Headern: - Quelladresse - Zieladresse - Portnummern - Protokollinformationen - Längenangaben - Prüfinformationen - Steuerbits Merksatz: Header = Steuerinformationen vor den Daten Begriff: Trailer Ein Trailer ist ein Abschlussbereich hinter den Nutzdaten. Nicht jede Schicht nutzt einen Trailer. Ein bekanntes Beispiel ist der Ethernet-Frame auf Schicht 2. Dort gibt es am Ende eine Prüfsumme. Diese Prüfsumme heißt: FCS = Frame Check Sequence Sie dient der Fehlererkennung bei der Übertragung im lokalen Netzwerk. Merksatz: Trailer = Zusatzinformationen hinter den Daten Kapselung beim Senden Beim Senden laufen die Daten im OSI-Modell von oben nach unten. Vereinfacht: Schicht 7: Anwendung erzeugt Nutzdaten Schicht 4: TCP oder UDP fügt Transportinformationen hinzu Schicht 3: IP fügt IP-Adressen hinzu Schicht 2: Ethernet fügt MAC-Adressen hinzu Schicht 1: Bits werden als Signale übertragen Jede Schicht nimmt die Daten der höheren Schicht und fügt eigene Informationen hinzu. Beispiel: Webseite aufrufen Ein Browser möchte eine Webseite aufrufen. Die ursprünglichen Nutzdaten sind zum Beispiel eine HTTP-Anfrage. Vereinfacht: HTTP-Anfrage Dann fügt die Transportschicht Informationen hinzu: TCP-Header + HTTP-Anfrage Dann fügt die Vermittlungsschicht Informationen hinzu: IP-Header + TCP-Header + HTTP-Anfrage Dann fügt die Sicherungsschicht Informationen hinzu: Ethernet-Header + IP-Header + TCP-Header + HTTP-Anfrage + Ethernet-Trailer Dann wird alles auf Schicht 1 als Bits übertragen. Kapselung im TCP/IP-Beispiel Typische Reihenfolge bei einer HTTPS-Verbindung: HTTPS TCP IP Ethernet Bits / Signale Als Verpackung kann man sich das so vorstellen: Nutzdaten TCP-Segment IP-Paket Ethernet-Frame Bits auf dem Medium Fachlich genauer: Schritt Schicht Ergebnis 1 Anwendungsschicht Daten 2 Transportschicht TCP-Segment oder UDP-Datagramm 3 Vermittlungsschicht / Internetschicht IP-Paket 4 Sicherungsschicht / Netzzugang Ethernet-Frame 5 Bitübertragungsschicht Bits / Signale Dateneinheiten der Schichten In der Netzwerktechnik haben die Daten je nach Schicht unterschiedliche Bezeichnungen. Schicht typische Dateneinheit OSI-Schicht 7 Daten OSI-Schicht 6 Daten OSI-Schicht 5 Daten OSI-Schicht 4 Segment oder Datagramm OSI-Schicht 3 Paket OSI-Schicht 2 Frame OSI-Schicht 1 Bits Wichtig: Bei TCP spricht man häufig von Segmenten. Bei UDP spricht man häufig von Datagrammen. Bei IP spricht man von Paketen. Bei Ethernet spricht man von Frames. Auf Schicht 1 werden Bits übertragen. TCP-Segment Ein TCP-Segment ist die Dateneinheit von TCP auf der Transportschicht. Ein TCP-Segment enthält unter anderem: - Quellport - Zielport - Sequenznummer - ACK-Informationen - Steuerbits - Nutzdaten TCP nutzt diese Informationen, um Daten zuverlässig und in richtiger Reihenfolge zu übertragen. Merksatz: TCP-Segment = TCP-Header + Daten UDP-Datagramm Ein UDP-Datagramm ist die Dateneinheit von UDP auf der Transportschicht. Ein UDP-Datagramm enthält unter anderem: - Quellport - Zielport - Länge - Prüfsumme - Nutzdaten UDP hat weniger Verwaltungsaufwand als TCP. Merksatz: UDP-Datagramm = UDP-Header + Daten IP-Paket Ein IP-Paket ist die Dateneinheit der Vermittlungsschicht bzw. Internetschicht. Ein IP-Paket enthält unter anderem: - Quell-IP-Adresse - Ziel-IP-Adresse - Protokollangabe - TTL - Nutzdaten Die Nutzdaten des IP-Pakets sind meist ein TCP-Segment oder ein UDP-Datagramm. Merksatz: IP-Paket = IP-Header + TCP-Segment oder UDP-Datagramm Ethernet-Frame Ein Ethernet-Frame ist die Dateneinheit der Sicherungsschicht im lokalen Netzwerk. Ein Ethernet-Frame enthält unter anderem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Typfeld - Nutzdaten - FCS-Prüfsumme Die Nutzdaten des Ethernet-Frames sind meistens ein IP-Paket. Merksatz: Ethernet-Frame = Ethernet-Header + IP-Paket + Ethernet-Trailer Bits und Signale Auf der Bitübertragungsschicht werden die Daten als Bits übertragen. Bits sind die kleinste Informationseinheit. Ein Bit kann zwei Zustände haben: 0 1 Diese Bits werden je nach Medium übertragen als: - elektrische Signale über Kupferkabel - Lichtsignale über Glasfaser - Funksignale über WLAN Merksatz: Schicht 1 überträgt Bits als Signale. Kapselung als Verpackung Man kann Kapselung wie mehrere Verpackungen verstehen. Beispiel: Inhalt: HTTP-Daten erste Verpackung: TCP-Header zweite Verpackung: IP-Header dritte Verpackung: Ethernet-Header und Ethernet-Trailer Transport: Bits über Kabel, Glasfaser oder Funk Vereinfacht: Ethernet verpackt IP. IP verpackt TCP oder UDP. TCP oder UDP verpackt Anwendungsdaten. Kapselung mit Schokoladen-Metapher Man kann sich das TCP/IP-Modell auch wie eine verpackte Schokolade vorstellen. Ganz innen: Die Schokolade = die eigentlichen Daten Darum herum: Silberpapier = TCP oder UDP Darum herum: buntes Papier = IP Darum herum: Tüte = Ethernet / MAC-Adresse Transport: Einkaufswagen / Weg = Übertragungsmedium Diese Metapher zeigt: Die eigentlichen Daten werden nicht alleine übertragen. Sie werden auf mehreren Ebenen verpackt. Entkapselung beim Empfangen Beim Empfänger passiert der Vorgang umgekehrt. Das nennt man Entkapselung. Fachlich gesagt: Entkapselung bedeutet, dass die hinzugefügten Protokollinformationen beim Empfänger schrittweise wieder ausgewertet und entfernt werden. Vereinfacht: Der Empfänger packt die Daten Schicht für Schicht wieder aus. Ablauf: Schicht 1: Signale werden als Bits empfangen. Schicht 2: Ethernet prüft den Frame und entfernt Ethernet-Informationen. Schicht 3: IP prüft die Ziel-IP-Adresse und entfernt IP-Informationen. Schicht 4: TCP oder UDP prüft Ports und Transportinformationen. Schicht 7: Die Anwendung erhält die eigentlichen Nutzdaten. Kapselung und Entkapselung im Vergleich Richtung Vorgang Bedeutung Senden Kapselung Daten werden Schicht für Schicht verpackt Empfangen Entkapselung Daten werden Schicht für Schicht ausgepackt Merksatz: Sender kapselt ein. Empfänger kapselt aus. Warum braucht jede Schicht eigene Informationen? Jede Schicht hat eine andere Aufgabe. Darum braucht jede Schicht eigene Steuerinformationen. Beispiele: Schicht Steuerinformation Zweck 4 Portnummern richtige Anwendung finden 3 IP-Adressen Zielhost bzw. Zielnetz finden 2 MAC-Adressen nächstes Gerät im lokalen Netzwerk erreichen 1 Signale Bits physisch übertragen Wichtig: Portnummer, IP-Adresse und MAC-Adresse haben unterschiedliche Aufgaben. Portnummer, IP-Adresse und MAC-Adresse Diese drei Begriffe werden in Prüfungen häufig verwechselt. Begriff Schicht Aufgabe Portnummer Schicht 4 Dienst oder Anwendung auf einem Host IP-Adresse Schicht 3 logische Adresse eines Hosts oder Netzes MAC-Adresse Schicht 2 lokale Hardwareadresse im LAN Merksatz: Port = welcher Dienst? IP-Adresse = welcher Host oder welches Netz? MAC-Adresse = welches Gerät im lokalen Netzwerk? Wichtig: MAC-Adresse ändert sich auf dem Weg Die IP-Adresse bleibt auf dem Weg zum Ziel grundsätzlich erhalten. Die MAC-Adresse kann sich aber bei jedem Netzwerkabschnitt ändern. Warum? MAC-Adressen gelten nur im lokalen Netzwerkabschnitt. Wenn ein Router ein Paket weiterleitet, wird ein neuer Ethernet-Frame für das nächste Netz erstellt. Beispiel: PC → Router: Ziel-MAC = MAC-Adresse des Routers Router → nächster Router: Ziel-MAC = MAC-Adresse des nächsten Geräts letzter Router → Server: Ziel-MAC = MAC-Adresse des Servers Wichtig: Die IP-Adressen bleiben für die Ende-zu-Ende-Kommunikation wichtig. Die MAC-Adressen werden pro lokalem Abschnitt neu verwendet. Wichtig: Portnummer bleibt für den Dienst wichtig Die Portnummer gehört zur Transportschicht. Sie zeigt, welcher Dienst oder welche Anwendung auf einem Host gemeint ist. Beispiel: Ziel-IP-Adresse: 93.184.216.34 Ziel-Port: 443 Bedeutung: Sende die Daten an den Host mit dieser IP-Adresse. Dort ist der Dienst auf Port 443 gemeint. Typischer Dienst: TCP 443 = HTTPS Beispiel: DNS-Anfrage Eine DNS-Anfrage zeigt gut, wie Kapselung funktioniert. Vereinfacht: DNS-Anfrage UDP-Header + DNS-Anfrage IP-Header + UDP-Header + DNS-Anfrage Ethernet-Header + IP-Header + UDP-Header + DNS-Anfrage + FCS Bits auf dem Medium Schichtbezug: Bestandteil Schicht DNS Schicht 7 UDP Schicht 4 IP Schicht 3 Ethernet Schicht 2 Bits Schicht 1 Merksatz: DNS nutzt häufig UDP. UDP nutzt IP. IP nutzt Ethernet oder WLAN. Beispiel: HTTPS-Webseite Eine HTTPS-Verbindung zeigt ebenfalls die Kapselung. Vereinfacht: HTTPS-Daten TCP-Header + HTTPS-Daten IP-Header + TCP-Header + HTTPS-Daten Ethernet-Header + IP-Header + TCP-Header + HTTPS-Daten + FCS Bits auf dem Medium Schichtbezug: Bestandteil Schicht HTTPS Schicht 7 mit Sicherheitsbezug TCP Schicht 4 IP Schicht 3 Ethernet Schicht 2 Bits Schicht 1 Merksatz: HTTPS nutzt meistens TCP. TCP nutzt IP. IP nutzt Ethernet oder WLAN. Kapselung und MTU MTU steht für: Maximum Transmission Unit Die MTU beschreibt, wie groß die Nutzdaten eines Frames auf einem Netzwerkabschnitt maximal sein dürfen. Bei Ethernet beträgt die häufige Standard-MTU: 1500 Byte Wichtig: In diesen 1500 Byte steckt nicht nur die Anwendung, sondern auch IP- und TCP- oder UDP-Informationen. Dadurch bleibt für die eigentlichen Anwendungsdaten weniger Platz. Merksatz: Header brauchen Platz. Deshalb ist nicht jedes Byte im Frame reine Nutzlast. Kapselung und Fehlersuche Kapselung hilft auch bei der Fehlersuche. Wenn man weiß, welche Schicht welche Informationen hinzufügt, kann man Fehler besser eingrenzen. Beispiele: Fehlerbild mögliche Schicht kein Link am Switch Schicht 1 falsche MAC-Adresse oder VLAN-Problem Schicht 2 falsche IP-Adresse oder Subnetzmaske Schicht 3 Port nicht erreichbar Schicht 4 DNS-Name wird nicht aufgelöst Schicht 7 mit Schicht-3-Bezug Webseite lädt nicht mehrere Schichten möglich Wichtig: Ein Fehler auf einer unteren Schicht kann alle oberen Schichten beeinflussen. Typische Prüfungsfragen In AP1 oder AP2 kann zum Beispiel gefragt werden: - Was bedeutet Kapselung? - Was passiert beim Senden von Daten durch die Schichten? - Was passiert beim Empfangen? - Welche Dateneinheit gehört zu welcher Schicht? - Was ist der Unterschied zwischen Frame, Paket und Segment? - Welche Aufgabe hat ein Header? - Welche Aufgabe hat ein Trailer? - Warum braucht TCP einen Header? - Warum braucht IP einen Header? - Warum braucht Ethernet MAC-Adressen? - Welche Adresse gehört zu welcher Schicht? Typische Prüfungsfallen Ein Frame ist nicht dasselbe wie ein Paket. Ein Paket ist nicht dasselbe wie ein Segment. Eine MAC-Adresse ist nicht dasselbe wie eine IP-Adresse. Eine Portnummer ist keine IP-Adresse. TCP und UDP gehören zur Transportschicht. IP gehört zur Vermittlungsschicht bzw. Internetschicht. Ethernet gehört zur Sicherungsschicht bzw. Netzzugangsschicht. Die MAC-Adresse gilt nur für den lokalen Netzwerkabschnitt. Die IP-Adresse ist für die logische Ende-zu-Ende-Adressierung wichtig. Die Portnummer zeigt auf den Dienst oder die Anwendung. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Kapselung Daten werden beim Senden von Schicht zu Schicht mit Protokollinformationen ergänzt Entkapselung Protokollinformationen werden beim Empfangen schrittweise ausgewertet und entfernt Nutzdaten eigentliche Daten der Anwendung Header Steuerinformationen vor den Nutzdaten Trailer Steuerinformationen nach den Nutzdaten Segment typische TCP-Dateneinheit auf Schicht 4 Datagramm typische UDP-Dateneinheit auf Schicht 4 Paket Dateneinheit auf IP-Ebene Frame Dateneinheit im lokalen Netzwerk Bit kleinste Informationseinheit MAC-Adresse lokale Hardwareadresse im LAN IP-Adresse logische Adresse für Netzwerkkommunikation Port Dienstadresse auf einem Host MTU maximale Größe der Nutzdaten auf einem Netzwerkabschnitt IHK-sichere Kurzformulierung Kapselung bedeutet, dass Daten beim Senden durch die Schichten eines Netzwerkmodells laufen und dabei von jeder Schicht um eigene Protokollinformationen ergänzt werden. Auf der Transportschicht entstehen zum Beispiel TCP-Segmente oder UDP-Datagramme, auf der Vermittlungsschicht IP-Pakete und auf der Sicherungsschicht Ethernet-Frames. Beim Empfänger werden diese Informationen in umgekehrter Reihenfolge wieder ausgewertet und entfernt. Dieser Vorgang heißt Entkapselung. Merksätze Kapselung = Daten werden verpackt. Entkapselung = Daten werden ausgepackt. Jede Schicht fügt eigene Steuerinformationen hinzu. Header stehen vor den Daten. Trailer stehen hinter den Daten. TCP-Segment oder UDP-Datagramm gehört zu Schicht 4. IP-Paket gehört zu Schicht 3. Ethernet-Frame gehört zu Schicht 2. Bits gehören zu Schicht 1. Portnummer = Dienst oder Anwendung. IP-Adresse = logische Adresse. MAC-Adresse = lokale Adresse im LAN. Sender kapselt ein. Empfänger kapselt aus. HTTP → TCP → IP → Ethernet → Bits DNS → UDP → IP → Ethernet → Bits 2.6 Datenweg durch die Schichten Beim Senden und Empfangen von Daten arbeiten mehrere Netzwerkschichten zusammen. Ein einzelner Webseitenaufruf besteht nicht nur aus „Browser fragt Server“. Technisch laufen viele Schritte ab: - Anwendung erzeugt Daten - Transportprotokoll bereitet die Übertragung vor - IP sorgt für Adressierung und Weiterleitung - Ethernet oder WLAN überträgt im lokalen Netzwerk - Bits werden über Kabel, Glasfaser oder Funk gesendet - beim Empfänger wird alles wieder entpackt Das nennt man auch: Kapselung beim Sender Entkapselung beim Empfänger Grundidee Beim Sender laufen die Daten im OSI-Modell von oben nach unten. Beim Empfänger laufen die Daten wieder von unten nach oben. Vereinfacht: Sender: Anwendung → Transport → Vermittlung → Sicherung → Bitübertragung Empfänger: Bitübertragung → Sicherung → Vermittlung → Transport → Anwendung Das bedeutet: Beim Senden werden Daten verpackt. Beim Empfangen werden Daten wieder ausgepackt. Begriff: Datenweg Der Datenweg beschreibt, welchen Weg Daten durch die einzelnen Schichten nehmen. Dabei kann man zwei Arten von Wegen unterscheiden: Begriff Bedeutung logischer Datenweg Kommunikation zwischen den passenden Schichten von Sender und Empfänger physischer Datenweg tatsächliche Übertragung über Kabel, Glasfaser oder Funk Vereinfacht: Logisch spricht Schicht 4 mit Schicht 4. Physisch laufen die Daten aber durch alle unteren Schichten und über das Medium. Beispiel: Webseite aufrufen Ein Client ruft eine Webseite auf. Beispiel: Der Benutzer öffnet im Browser eine Webseite. Dafür arbeiten mehrere Protokolle und Schichten zusammen. Vereinfacht: Browser HTTPS TCP IP Ethernet oder WLAN Bits / Signale Als Schichtenfolge: Schritt Schicht Aufgabe 1 Anwendungsschicht Browser erzeugt eine Anfrage 2 Transportschicht TCP transportiert die Daten zuverlässig 3 Vermittlungsschicht IP adressiert das Ziel 4 Sicherungsschicht Ethernet oder WLAN überträgt lokal 5 Bitübertragungsschicht Bits werden als Signale übertragen Schritt 1: Anwendung erzeugt Daten Der Browser erzeugt eine Anfrage an den Webserver. Beispiel: Der Browser möchte eine Webseite laden. Auf Anwendungsebene wird dafür ein Anwendungsprotokoll genutzt. Typische Beispiele: HTTP HTTPS DNS SMTP IMAP Bei einer Webseite ist es meistens: HTTP oder HTTPS Wichtig: Der Browser ist das Programm. HTTP oder HTTPS ist das Anwendungsprotokoll. Merksatz: Anwendungsschicht = Netzwerkdienste für Anwendungen Schritt 2: Namensauflösung durch DNS Bevor der Client eine Webseite aufrufen kann, muss oft zuerst der Name in eine IP-Adresse aufgelöst werden. Beispiel: www.example.org Der Computer braucht aber eine IP-Adresse, um das Ziel im Netzwerk zu erreichen. Dafür wird DNS verwendet. DNS steht für: Domain Name System DNS löst Namen in IP-Adressen auf. Beispiel: www.example.org → 93.184.216.34 Wichtig: DNS ist ein Anwendungsprotokoll, hat aber einen starken Bezug zur IP-Kommunikation, weil am Ende eine IP-Adresse benötigt wird. DNS-Anfrage als eigener Datenweg Auch die DNS-Anfrage läuft durch die Schichten. Vereinfacht: DNS → UDP → IP → Ethernet/WLAN → Bits Typischer Ablauf: 1. Client fragt den DNS-Server nach der IP-Adresse. 2. DNS-Anfrage wird häufig über UDP gesendet. 3. IP adressiert die Anfrage zum DNS-Server. 4. Ethernet oder WLAN überträgt die Daten im lokalen Netzwerk. 5. DNS-Server antwortet mit der passenden IP-Adresse. Merksatz: Vor vielen Verbindungen kommt zuerst die Namensauflösung. Schritt 3: Transportschicht bereitet die Verbindung vor Wenn die Ziel-IP-Adresse bekannt ist, kann die eigentliche Verbindung zum Webserver vorbereitet werden. Bei HTTPS wird meistens TCP verwendet. TCP steht für: Transmission Control Protocol TCP ist verbindungsorientiert und zuverlässig. Bei TCP wird vor der eigentlichen Nutzdatenübertragung eine Verbindung aufgebaut. Das nennt man: 3-Wege-Handshake Ablauf: Client Server 1. SYN ---------------------> Verbindungswunsch 2. SYN-ACK <------------------ Bestätigung + eigene Start-Sequenznummer 3. ACK ---------------------> Bestätigung Danach ist die TCP-Verbindung aufgebaut. Wichtig: Erst nach dem TCP-Verbindungsaufbau werden die eigentlichen Nutzdaten übertragen. Merksatz: TCP = erst Verbindung aufbauen, dann Nutzdaten senden Schritt 4: Ports bestimmen den Dienst Auf Schicht 4 werden Ports verwendet. Ein Port zeigt, welcher Dienst oder welche Anwendung auf einem Host gemeint ist. Beispiel: Ziel-IP-Adresse: 93.184.216.34 Ziel-Port: 443 Bedeutung: Sende die Daten an den Host 93.184.216.34 und dort an den Dienst HTTPS auf Port 443. Typische Ports: Port Protokoll / Dienst 80 HTTP 443 HTTPS 53 DNS 22 SSH 25 SMTP 110 POP3 143 IMAP Merksatz: IP-Adresse = welcher Host? Port = welcher Dienst? Schritt 5: IP adressiert das Ziel Auf Schicht 3 wird IP verwendet. IP steht für: Internet Protocol IP sorgt für die logische Adressierung und Weiterleitung von Paketen. Ein IP-Paket enthält unter anderem: - Quell-IP-Adresse - Ziel-IP-Adresse - Steuerinformationen - Nutzdaten Beispiel: Quell-IP-Adresse: 192.168.1.20 Ziel-IP-Adresse: 93.184.216.34 Die IP-Adresse sagt: Von welchem Host kommt das Paket? Zu welchem Host soll das Paket? Merksatz: IP-Adresse = logische Adresse für Netzwerkkommunikation Schritt 6: Routing entscheidet den Weg Wenn Ziel und Quelle nicht im selben lokalen Netzwerk liegen, muss ein Router das Paket weiterleiten. Routing bedeutet: Weiterleitung von Paketen zwischen Netzwerken Ein Router betrachtet die Ziel-IP-Adresse und entscheidet, wohin das Paket als Nächstes gesendet wird. Beispiel: Client → Standard-Gateway → Internet → Zielserver Das Standard-Gateway ist meistens der Router im lokalen Netzwerk. Merksatz: Router verbinden Netzwerke. Switches verbinden Geräte im lokalen Netzwerk. Schritt 7: Ethernet oder WLAN überträgt lokal Auf Schicht 2 wird das IP-Paket in einen Frame verpackt. Bei kabelgebundenem LAN ist das häufig ein Ethernet-Frame. Ein Ethernet-Frame enthält unter anderem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Typfeld - Nutzdaten - FCS-Prüfsumme Die MAC-Adresse wird für die lokale Zustellung im aktuellen Netzwerkabschnitt verwendet. Wichtig: MAC-Adressen gelten nur im lokalen Netzwerkabschnitt. IP-Adressen sind für die logische Kommunikation über Netzwerke hinweg wichtig. Merksatz: MAC-Adresse = lokale Zustellung im LAN Schritt 8: ARP findet die passende MAC-Adresse Wenn ein Gerät eine IP-Adresse im lokalen Netzwerk erreichen möchte, braucht es die passende MAC-Adresse. Dafür wird bei IPv4 ARP verwendet. ARP steht für: Address Resolution Protocol ARP fragt sinngemäß: Wer hat diese IP-Adresse? Ich brauche die passende MAC-Adresse. Beispiel: Wer hat 192.168.1.1? Antwort: 192.168.1.1 hat die MAC-Adresse aa:bb:cc:dd:ee:ff Wichtig: ARP löst IPv4-Adressen zu MAC-Adressen auf. ARP ist für die lokale Kommunikation im LAN wichtig. Merksatz: ARP verbindet IP-Adresse und MAC-Adresse im lokalen Netzwerk. Schritt 9: Schicht 1 überträgt Bits Auf Schicht 1 werden die Daten als Bits übertragen. Ein Bit kann zwei Zustände haben: 0 1 Je nach Übertragungsmedium werden diese Bits übertragen als: - elektrische Signale über Kupferkabel - Lichtsignale über Glasfaser - Funksignale über WLAN Wichtig: Schicht 1 interessiert sich nicht für IP-Adressen, Ports oder Anwendungen. Schicht 1 überträgt nur Bits als Signale. Merksatz: Schicht 1 = Bits und Signale Der Datenweg beim Sender Beim Sender werden die Daten schrittweise verpackt. Vereinfacht: Anwendung: HTTPS-Daten Transportschicht: TCP-Header + HTTPS-Daten Vermittlungsschicht: IP-Header + TCP-Header + HTTPS-Daten Sicherungsschicht: Ethernet-Header + IP-Header + TCP-Header + HTTPS-Daten + Ethernet-Trailer Bitübertragungsschicht: Bits werden als Signale übertragen Fachbegriffe: Schicht Ergebnis Anwendungsschicht Daten Transportschicht TCP-Segment Vermittlungsschicht IP-Paket Sicherungsschicht Ethernet-Frame Bitübertragungsschicht Bits Der Datenweg beim Empfänger Beim Empfänger passiert der Vorgang umgekehrt. Die Daten werden Schicht für Schicht entpackt. Vereinfacht: Schicht 1: Signale werden als Bits empfangen. Schicht 2: Ethernet-Frame wird geprüft. Ethernet-Header und Trailer werden ausgewertet. Schicht 3: IP-Paket wird ausgewertet. Ziel-IP-Adresse wird geprüft. Schicht 4: TCP-Segment wird ausgewertet. Port und Sequenzinformationen werden geprüft. Schicht 7: Die Anwendung erhält die Nutzdaten. Das nennt man: Entkapselung Merksatz: Sender kapselt ein. Empfänger kapselt aus. Beispiel mit TCP/IP-Modell Im TCP/IP-Modell sieht der gleiche Ablauf kompakter aus. Beispiel HTTPS: TCP/IP-Schicht Beispiel Anwendungsschicht HTTPS Transportschicht TCP Internetschicht IP Netzzugangsschicht Ethernet oder WLAN Vereinfacht: HTTPS → TCP → IP → Ethernet/WLAN Oder allgemein: Anwendung → Transport → Internet → Netzzugang Beispiel mit DNS Eine DNS-Anfrage hat einen ähnlichen Weg, nutzt aber häufig UDP statt TCP. Vereinfacht: DNS → UDP → IP → Ethernet/WLAN Schichtbezug: Bestandteil Schicht DNS OSI-Schicht 7 UDP OSI-Schicht 4 IP OSI-Schicht 3 Ethernet/WLAN OSI-Schicht 1/2 Wichtig: DNS ist ein Anwendungsprotokoll. UDP ist das Transportprotokoll. IP sorgt für Adressierung und Routing. Ethernet oder WLAN sorgt für lokale Übertragung. Beispiel mit Ping Ping nutzt klassisch ICMP. ICMP steht für: Internet Control Message Protocol Ping verwendet normalerweise: ICMP Echo Request ICMP Echo Reply Schichtbezug: Bestandteil Schicht ICMP OSI-Schicht 3 IP OSI-Schicht 3 Ethernet/WLAN OSI-Schicht 1/2 Wichtig: ICMP nutzt keine Ports. ICMP gehört nicht zu TCP oder UDP. ICMP verwendet Typen und Codes. Merksatz: Ping prüft Erreichbarkeit. ICMP meldet, prüft und diagnostiziert. Was passiert beim Weg über einen Router? Wenn ein Paket über einen Router weitergeleitet wird, ändert sich der Ethernet-Frame. Wichtig: Das IP-Paket bleibt grundsätzlich erhalten. Der Ethernet-Frame wird pro Netzwerkabschnitt neu erstellt. Beispiel: PC → Router: Ethernet-Frame mit Ziel-MAC des Routers Router → nächster Router: neuer Ethernet-Frame mit neuer Ziel-MAC letzter Router → Server: Ethernet-Frame mit Ziel-MAC des Servers Das bedeutet: MAC-Adressen ändern sich pro Netzwerkabschnitt. IP-Adressen bleiben für die Ende-zu-Ende-Kommunikation wichtig. Merksatz: MAC-Adresse = nächster lokaler Schritt IP-Adresse = logisches Ziel über Netzwerke hinweg Was bleibt gleich und was ändert sich? Information Bleibt auf dem Weg grundsätzlich gleich? Erklärung Ziel-IP-Adresse ja Zielhost bleibt derselbe Quell-IP-Adresse meistens ja außer bei NAT/PAT Ziel-Port ja Dienst bleibt derselbe Quell-Port ja Client-Verbindung bleibt zuordenbar Ziel-MAC-Adresse nein ändert sich je Netzwerkabschnitt Quell-MAC-Adresse nein ändert sich je Netzwerkabschnitt Wichtig: NAT/PAT kann IP-Adressen und Ports verändern. Ohne NAT bleiben Quell- und Ziel-IP grundsätzlich erhalten. NAT/PAT als Sonderfall Bei NAT/PAT kann sich die Quell-IP-Adresse verändern. NAT steht für: Network Address Translation PAT steht für: Port Address Translation Typischer Fall: Ein interner Client nutzt eine private IP-Adresse. Der Router ersetzt diese private Quell-IP durch seine öffentliche IP-Adresse. Beispiel: intern: 192.168.1.20:51544 extern: 84.10.20.30:40001 Dadurch können mehrere interne Geräte über eine gemeinsame öffentliche IP-Adresse ins Internet. Merksatz: NAT/PAT verändert Adressen oder Ports an der Router-/Firewall-Grenze. Datenweg und Firewall Eine Firewall kann den Datenweg kontrollieren. Sie kann zum Beispiel prüfen: - Quell-IP-Adresse - Ziel-IP-Adresse - Quell-Port - Ziel-Port - Protokoll - Verbindungszustand - teilweise auch Anwendungsdaten Beispiel: Port 443 erlaubt Port 22 blockiert Wichtig: Eine Firewall kann je nach Art auf mehreren OSI-Schichten arbeiten. Merksatz: Firewall = kontrolliert erlaubte und verbotene Kommunikation Warum ist der Datenweg für die Fehlersuche wichtig? Wenn man den Datenweg versteht, kann man Netzwerkfehler systematisch eingrenzen. Man prüft am besten von unten nach oben. Beispiel: 1. Gibt es eine physische Verbindung? 2. Funktioniert die lokale Verbindung? 3. Stimmt die IP-Konfiguration? 4. Ist das Gateway erreichbar? 5. Funktioniert DNS? 6. Ist der Zielhost erreichbar? 7. Ist der Zielport erreichbar? 8. Antwortet die Anwendung? Das nennt man häufig: schichtweise Fehlersuche Beispielhafte Fehlersuche nach Schichten Fehlerbild mögliche Schicht Beispiel kein Link-Licht Schicht 1 Kabel, Port, Netzwerkkarte falsches VLAN Schicht 2 Client im falschen Netz falsche IP-Adresse Schicht 3 kein Routing möglich falsches Gateway Schicht 3 Internet nicht erreichbar DNS funktioniert nicht Schicht 7 mit Schicht-3-Bezug Name wird nicht aufgelöst Port blockiert Schicht 4 / Firewall Dienst nicht erreichbar Webserver antwortet nicht Schicht 7 Anwendung oder Dienstproblem Wichtig: Ein Fehler auf einer unteren Schicht kann alle höheren Schichten beeinflussen. Beispiel: Wenn das Kabel defekt ist, funktionieren IP, TCP, DNS und HTTP ebenfalls nicht. Typischer Ablauf: Webseite funktioniert nicht Wenn eine Webseite nicht funktioniert, kann man prüfen: 1. Link vorhanden? 2. IP-Adresse vorhanden? 3. Standard-Gateway vorhanden? 4. DNS-Auflösung möglich? 5. Ziel-IP erreichbar? 6. Zielport erreichbar? 7. Webserver antwortet? Beispiele für Werkzeuge: Prüfung Werkzeug IP-Konfiguration ipconfig, ip addr Erreichbarkeit ping Weg zum Ziel tracert, traceroute DNS-Auflösung nslookup, dig Port erreichbar Test-NetConnection, nc Paketanalyse Wireshark, tcpdump Begriff: Standard-Gateway Das Standard-Gateway ist der Router, an den ein Host Pakete sendet, wenn das Ziel nicht im eigenen lokalen Netzwerk liegt. Beispiel: Client: 192.168.1.20 Gateway: 192.168.1.1 Wenn der Client eine externe IP-Adresse erreichen möchte, sendet er das Paket an das Standard-Gateway. Merksatz: Standard-Gateway = Ausgang aus dem eigenen Netzwerk Begriff: Ende-zu-Ende-Kommunikation Ende-zu-Ende-Kommunikation beschreibt die logische Kommunikation zwischen Sender und Empfänger. Beispiel: Client-Anwendung ↔ Server-Anwendung Bei TCP bedeutet das: Die TCP-Verbindung besteht logisch zwischen Client und Server. Dazwischen können aber mehrere Router liegen. Merksatz: Ende-zu-Ende = vom ursprünglichen Sender bis zum endgültigen Empfänger Begriff: Hop Ein Hop ist ein Zwischenschritt auf dem Weg durch ein Netzwerk. Meist ist damit ein Router gemeint. Beispiel: Client → Router 1 → Router 2 → Zielserver Hier gibt es mehrere Hops. Traceroute zeigt solche Zwischenschritte an. Merksatz: Hop = ein Netzwerksprung über ein Zwischengerät Typische Prüfungsfragen In AP1 oder AP2 kann zum Beispiel gefragt werden: - Beschreiben Sie den Weg eines Datenpakets durch die Schichten. - Welche Schicht fügt welche Informationen hinzu? - Was passiert beim Empfänger? - Was ist Kapselung? - Was ist Entkapselung? - Welche Dateneinheit gehört zu welcher Schicht? - Warum ändert sich die MAC-Adresse auf dem Weg? - Warum bleibt die IP-Adresse grundsätzlich erhalten? - Welche Rolle spielt das Standard-Gateway? - Auf welcher Schicht liegt ein bestimmter Fehler? Typische Prüfungsfallen Ein Switch leitet normalerweise anhand von MAC-Adressen weiter. Das ist Schicht 2. Ein Router leitet anhand von IP-Adressen weiter. Das ist Schicht 3. TCP und UDP nutzen Ports. Das ist Schicht 4. ICMP nutzt keine Ports. ICMP gehört in den IP-/Netzwerkbereich. DNS ist ein Anwendungsprotokoll, auch wenn es für IP-Adressen wichtig ist. Die MAC-Adresse gilt nur im lokalen Netzwerkabschnitt. Die IP-Adresse beschreibt das logische Ziel. Ein Port beschreibt den Dienst auf einem Host. NAT/PAT kann IP-Adressen und Ports verändern. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Datenweg Weg der Daten durch Schichten und Netzwerkgeräte Kapselung Daten werden beim Senden Schicht für Schicht verpackt Entkapselung Daten werden beim Empfangen Schicht für Schicht ausgepackt Nutzdaten eigentlicher Inhalt der Anwendung Header Steuerinformationen vor den Nutzdaten Frame Dateneinheit auf Schicht 2 Paket Dateneinheit auf Schicht 3 Segment TCP-Dateneinheit auf Schicht 4 Datagramm UDP-Dateneinheit auf Schicht 4 MAC-Adresse lokale Hardwareadresse im LAN IP-Adresse logische Adresse für Netzwerkkommunikation Port Dienstadresse auf einem Host Router Gerät zur Verbindung verschiedener Netzwerke Switch Gerät zur Weiterleitung im lokalen Netzwerk anhand von MAC-Adressen Standard-Gateway Router für Ziele außerhalb des eigenen Netzes Hop Zwischenschritt über ein Netzwerkgerät Routing Weiterleitung von Paketen zwischen Netzwerken ARP Auflösung von IPv4-Adresse zu MAC-Adresse DNS Namensauflösung von Namen zu IP-Adressen IHK-sichere Kurzformulierung Beim Senden von Daten werden die Nutzdaten durch die Schichten eines Netzwerkmodells verarbeitet und jeweils um Steuerinformationen ergänzt. Dieser Vorgang heißt Kapselung. Auf der Transportschicht entstehen zum Beispiel TCP-Segmente oder UDP-Datagramme, auf der Vermittlungsschicht IP-Pakete und auf der Sicherungsschicht Ethernet-Frames. Auf der Bitübertragungsschicht werden die Daten als Bits über ein Medium übertragen. Beim Empfänger werden die Informationen in umgekehrter Reihenfolge ausgewertet und entfernt. Dieser Vorgang heißt Entkapselung. Merksätze Sender kapselt ein. Empfänger kapselt aus. Anwendung erzeugt Daten. TCP oder UDP transportiert zwischen Anwendungen. IP adressiert und routet zwischen Netzwerken. Ethernet oder WLAN überträgt im lokalen Netzwerk. Schicht 1 überträgt Bits als Signale. Port = welcher Dienst? IP-Adresse = welcher Host oder welches Netz? MAC-Adresse = welches Gerät im lokalen Netzwerkabschnitt? Switch = Schicht 2 Router = Schicht 3 TCP und UDP = Schicht 4 ICMP = Schicht 3 DNS = Anwendungsschicht mit starkem IP-Bezug MAC-Adressen können sich auf dem Weg ändern. IP-Adressen bleiben grundsätzlich für die Ende-zu-Ende-Kommunikation erhalten. NAT/PAT ist ein Sonderfall, weil dabei IP-Adressen oder Ports verändert werden können. Bei der Fehlersuche zuerst die unteren Schichten prüfen. 2.7 Schichtenmodelle: Merksätze und Prüfungswissen Diese Seite fasst die wichtigsten Punkte zu OSI-Modell, TCP/IP-Modell, Kapselung und Datenweg zusammen. Sie dient als Wiederholungsseite für AP1 und AP2. Ziel ist nicht, jeden Sonderfall auswendig zu lernen, sondern die Grundstruktur sicher zu beherrschen. Wichtig für die Prüfung: Schichtenmodelle helfen, Netzwerkkommunikation fachlich einzuordnen, Protokolle und Geräte zuzuordnen und Fehler systematisch zu suchen. Grundidee von Schichtenmodellen Ein Schichtenmodell teilt Netzwerkkommunikation in mehrere Ebenen ein. Jede Schicht hat eine bestimmte Aufgabe. Fachlich wichtig: Eine Schicht nutzt die Dienste der darunterliegenden Schicht und stellt der darüberliegenden Schicht eigene Dienste bereit. Vereinfacht gesagt: Jede Schicht kümmert sich um einen bestimmten Teil der Kommunikation. Beispiele: Aufgabe typische Schicht Bits übertragen Schicht 1 Frames im LAN übertragen Schicht 2 IP-Pakete routen Schicht 3 Daten zwischen Anwendungen transportieren Schicht 4 Netzwerkdienste für Anwendungen bereitstellen Schicht 7 Merksatz: Schichtenmodelle machen Netzwerktechnik übersichtlicher. OSI-Modell: die 7 Schichten Das OSI-Modell ist ein Referenzmodell mit 7 Schichten. Schicht Deutscher Name Englischer Name Kurzaufgabe 7 Anwendungsschicht Application Layer Netzwerkdienste für Anwendungen 6 Darstellungsschicht Presentation Layer Darstellung, Codierung, Kompression, Verschlüsselung 5 Sitzungsschicht Session Layer Sitzungen aufbauen, verwalten und beenden 4 Transportschicht Transport Layer Transport zwischen Anwendungen 3 Vermittlungsschicht / Netzwerkschicht Network Layer logische Adressierung und Routing 2 Sicherungsschicht Data Link Layer lokale Übertragung mit Frames und MAC-Adressen 1 Bitübertragungsschicht Physical Layer Übertragung von Bits als Signale IHK-sichere Kurzformulierung: Das OSI-Modell ist ein Referenzmodell, das Netzwerkkommunikation in sieben Schichten einteilt. Merksatz für das OSI-Modell Von oben nach unten: Alle Deutschen Schüler Trinken Verschiedene Sorten Brause Das bedeutet: Wort OSI-Schicht Alle Anwendungsschicht Deutschen Darstellungsschicht Schüler Sitzungsschicht Trinken Transportschicht Verschiedene Vermittlungsschicht Sorten Sicherungsschicht Brause Bitübertragungsschicht Fachlich ausgeschrieben: Anwendung Darstellung Sitzung Transport Vermittlung Sicherung Bitübertragung OSI-Schichten von unten nach oben Von unten nach oben merkt man sich besonders gut die technische Verarbeitung: Schicht Name typische Begriffe 1 Bitübertragungsschicht Bits, Signale, Kabel, Glasfaser, Funk 2 Sicherungsschicht MAC-Adresse, Frame, Switch, VLAN 3 Vermittlungsschicht IP-Adresse, Routing, Router, ICMP 4 Transportschicht TCP, UDP, Ports, Segment, Datagramm 5 Sitzungsschicht Sitzung, Dialogsteuerung 6 Darstellungsschicht Codierung, Kompression, Verschlüsselung 7 Anwendungsschicht HTTP, DNS, DHCP, SMTP, IMAP Merksatz: Unten wird übertragen. In der Mitte wird adressiert und transportiert. Oben arbeiten die Netzwerkdienste. TCP/IP-Modell: die wichtigsten Schichten Das TCP/IP-Modell ist praxisnah und wird häufig mit 4 Schichten dargestellt. TCP/IP-Schicht Aufgabe Beispiele Anwendungsschicht Netzwerkdienste für Anwendungen HTTP, DNS, DHCP, SMTP, IMAP Transportschicht Transport zwischen Anwendungen TCP, UDP, Ports Internetschicht IP-Adressierung und Routing IP, ICMP Netzzugangsschicht Zugriff auf das lokale Netzwerk Ethernet, WLAN, MAC Wichtig: TCP/IP ist nicht nur TCP und IP. TCP/IP bezeichnet eine Protokollfamilie. Merksatz: TCP/IP ist das praxisnahe Modell für IP-Netzwerke und das Internet. OSI-Modell und TCP/IP-Modell vergleichen OSI-Modell TCP/IP-Modell Beispiele Schicht 7, 6, 5 Anwendungsschicht HTTP, DNS, DHCP, SMTP Schicht 4 Transportschicht TCP, UDP, Ports Schicht 3 Internetschicht IP, ICMP, Routing Schicht 2, 1 Netzzugangsschicht Ethernet, WLAN, MAC IHK-sichere Kurzformulierung: Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten. Das TCP/IP-Modell ist praxisnäher und wird häufig mit vier Schichten dargestellt. Dabei fasst TCP/IP mehrere OSI-Schichten zusammen. Die wichtigsten Begriffe pro Schicht Begriff Schicht Erklärung Bit 1 kleinste Informationseinheit, 0 oder 1 Signal 1 physische Darstellung von Bits Frame 2 Dateneinheit im lokalen Netzwerk MAC-Adresse 2 Hardwareadresse im lokalen Netzwerk Paket 3 Dateneinheit auf IP-Ebene IP-Adresse 3 logische Adresse eines Hosts oder Netzes Segment 4 TCP-Dateneinheit Datagramm 4 UDP-Dateneinheit Port 4 Dienstadresse auf einem Host Protokoll allgemein Regelwerk für Kommunikation Merksatz: Bit → Frame → Paket → Segment/Datagramm → Daten Dateneinheiten der Schichten In Prüfungen wird häufig gefragt, welche Dateneinheit zu welcher Schicht gehört. OSI-Schicht typische Dateneinheit 7 Daten 6 Daten 5 Daten 4 Segment oder Datagramm 3 Paket 2 Frame 1 Bits Wichtig: TCP arbeitet mit Segmenten. UDP arbeitet mit Datagrammen. IP arbeitet mit Paketen. Ethernet arbeitet mit Frames. Schicht 1 überträgt Bits. Adressen und ihre Aufgaben In der Netzwerktechnik werden MAC-Adresse, IP-Adresse und Portnummer häufig verwechselt. Begriff Schicht Aufgabe MAC-Adresse Schicht 2 lokale Zustellung im LAN IP-Adresse Schicht 3 logische Adressierung über Netzwerke hinweg Portnummer Schicht 4 Zuordnung zu Dienst oder Anwendung Merksätze: MAC-Adresse = welches Gerät im lokalen Netzwerkabschnitt? IP-Adresse = welcher Host oder welches Netz? Portnummer = welcher Dienst auf dem Host? Geräte den Schichten zuordnen Gerät typische Schicht Begründung Hub Schicht 1 verteilt Signale ohne Auswertung Switch Schicht 2 leitet anhand von MAC-Adressen weiter Router Schicht 3 leitet anhand von IP-Adressen zwischen Netzen weiter Layer-3-Switch Schicht 3 verbindet Switching mit Routing Firewall mehrere Schichten prüft je nach Art IP, Ports, Zustände oder Anwendungen Access Point Schicht 1/2 Funkübertragung und WLAN-Zugriff Prüfungshinweis: Bei Geräten ist meistens die Hauptfunktion entscheidend. Beispiel: Ein Switch arbeitet typischerweise auf Schicht 2, auch wenn moderne Switches Zusatzfunktionen besitzen können. Protokolle den Schichten zuordnen Protokoll / Technik typische OSI-Schicht typische TCP/IP-Schicht Ethernet Schicht 2 Netzzugangsschicht WLAN Schicht 1/2 Netzzugangsschicht ARP Schicht 2 / Schicht-3-Bezug Netzzugangsschicht IP Schicht 3 Internetschicht ICMP Schicht 3 Internetschicht TCP Schicht 4 Transportschicht UDP Schicht 4 Transportschicht HTTP Schicht 7 Anwendungsschicht HTTPS Schicht 7 Anwendungsschicht DNS Schicht 7 Anwendungsschicht DHCP Schicht 7 Anwendungsschicht SMTP Schicht 7 Anwendungsschicht POP3 Schicht 7 Anwendungsschicht IMAP Schicht 7 Anwendungsschicht SSH Schicht 7 Anwendungsschicht Wichtig: Manche Protokolle haben Bezüge zu mehreren Schichten. Für die IHK ist meistens die typische Hauptzuordnung entscheidend. Kapselung kurz erklärt Kapselung bedeutet, dass Daten beim Senden von Schicht zu Schicht mit zusätzlichen Protokollinformationen ergänzt werden. Vereinfacht: Jede Schicht verpackt die Daten für ihre Aufgabe weiter. Beispiel: Anwendungsdaten TCP-Header + Anwendungsdaten IP-Header + TCP-Header + Anwendungsdaten Ethernet-Header + IP-Header + TCP-Header + Anwendungsdaten + Ethernet-Trailer Bits auf dem Medium Fachlich wichtig: Beim Sender findet Kapselung statt. Beim Empfänger findet Entkapselung statt. Merksatz: Sender kapselt ein. Empfänger kapselt aus. Entkapselung kurz erklärt Entkapselung bedeutet, dass die hinzugefügten Protokollinformationen beim Empfänger schrittweise ausgewertet und entfernt werden. Vereinfacht: Der Empfänger packt die Daten Schicht für Schicht wieder aus. Ablauf: Bits werden empfangen. Ethernet-Frame wird ausgewertet. IP-Paket wird ausgewertet. TCP-Segment oder UDP-Datagramm wird ausgewertet. Anwendung erhält die Nutzdaten. Merksatz: Entkapselung ist der umgekehrte Vorgang der Kapselung. Typischer Datenweg bei HTTPS Ein typischer Webseitenaufruf mit HTTPS kann vereinfacht so dargestellt werden: HTTPS → TCP → IP → Ethernet/WLAN → Bits Schichtbezug: Bestandteil OSI-Schicht HTTPS Schicht 7 TCP Schicht 4 IP Schicht 3 Ethernet/WLAN Schicht 1/2 Bits Schicht 1 Wichtig: HTTPS nutzt typischerweise TCP. TCP nutzt IP. IP nutzt Ethernet oder WLAN. Typischer Datenweg bei DNS Eine typische DNS-Anfrage kann vereinfacht so dargestellt werden: DNS → UDP → IP → Ethernet/WLAN → Bits Schichtbezug: Bestandteil OSI-Schicht DNS Schicht 7 UDP Schicht 4 IP Schicht 3 Ethernet/WLAN Schicht 1/2 Bits Schicht 1 Wichtig: DNS ist ein Anwendungsprotokoll. DNS nutzt häufig UDP. DNS kann aber auch TCP verwenden. Typischer Datenweg bei Ping Ping nutzt klassisch ICMP. ICMP steht für: Internet Control Message Protocol Schichtbezug: Bestandteil OSI-Schicht ICMP Schicht 3 IP Schicht 3 Ethernet/WLAN Schicht 1/2 Wichtig: ICMP nutzt keine Ports. ICMP gehört nicht zu TCP oder UDP. Merksatz: ICMP = Kontroll- und Fehlermeldungen im IP-Netz TCP kurz erklärt TCP steht für: Transmission Control Protocol TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. TCP sorgt unter anderem für: - Verbindungsaufbau - Bestätigungen - Reihenfolgekontrolle - erneute Übertragung verlorener Daten - Verbindungsabbau Merksatz: TCP = zuverlässig und verbindungsorientiert UDP kurz erklärt UDP steht für: User Datagram Protocol UDP ist ein verbindungsloses Transportprotokoll. UDP sendet Daten ohne vorherigen Verbindungsaufbau. UDP bietet keine eingebaute Garantie für: - Zustellung - Reihenfolge - erneute Übertragung verlorener Daten Merksatz: UDP = verbindungslos und mit wenig Verwaltungsaufwand IP kurz erklärt IP steht für: Internet Protocol IP ist für logische Adressierung und Routing zuständig. IP sorgt dafür, dass Pakete anhand von IP-Adressen zum Ziel gelangen können. Wichtig: IP garantiert keine zuverlässige Zustellung wie TCP. IP kümmert sich vor allem um Adressierung und Weiterleitung. Merksatz: IP = Adressierung und Routing ICMP kurz erklärt ICMP steht für: Internet Control Message Protocol ICMP wird für Kontroll- und Fehlermeldungen im IP-Netz verwendet. Typische Beispiele: - Echo Request - Echo Reply - Destination Unreachable - Time Exceeded Wichtig: ICMP ist kein Transportprotokoll wie TCP oder UDP. ICMP verwendet keine Ports. Merksatz: ICMP = Diagnose, Kontrolle und Fehlermeldungen im IP-Netz DNS kurz erklärt DNS steht für: Domain Name System DNS löst Namen in IP-Adressen auf. Beispiel: www.example.org → IP-Adresse Wichtig: DNS ist ein Anwendungsprotokoll. DNS hat aber einen starken Bezug zur IP-Kommunikation, weil am Ende eine IP-Adresse benötigt wird. Merksatz: DNS = Namensauflösung DHCP kurz erklärt DHCP steht für: Dynamic Host Configuration Protocol DHCP weist einem Client automatisch Netzwerkkonfiguration zu. Typische Informationen: - IP-Adresse - Subnetzmaske - Standard-Gateway - DNS-Server Wichtig: DHCP ist ein Anwendungsprotokoll, auch wenn es IP-Konfiguration bereitstellt. Merksatz: DHCP = automatische IP-Konfiguration ARP kurz erklärt ARP steht für: Address Resolution Protocol ARP wird bei IPv4 verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netzwerk zu ermitteln. Vereinfacht fragt ARP: Wer hat diese IP-Adresse? Ich brauche die passende MAC-Adresse. Wichtig: ARP funktioniert im lokalen Netzwerk. ARP verbindet IP-Adresse und MAC-Adresse im LAN. Merksatz: ARP = IPv4-Adresse zu MAC-Adresse im lokalen Netzwerk Wichtige Unterschiede Vergleich Unterschied MAC-Adresse vs. IP-Adresse MAC lokal im LAN, IP logisch über Netzwerke IP-Adresse vs. Port IP = Host oder Netz, Port = Dienst TCP vs. UDP TCP zuverlässig, UDP verbindungslos Frame vs. Paket Frame Schicht 2, Paket Schicht 3 Paket vs. Segment Paket IP-Ebene, Segment TCP-Ebene Switch vs. Router Switch MAC-basiert, Router IP-basiert OSI vs. TCP/IP OSI 7 Schichten, TCP/IP häufig 4 Schichten Fehlersuche nach Schichten Das OSI-Modell hilft bei der systematischen Fehlersuche. Man prüft häufig von unten nach oben. Prüfung mögliche Schicht Kabel angeschlossen? Schicht 1 Link-Licht vorhanden? Schicht 1 MAC-Adresse sichtbar? Schicht 2 VLAN korrekt? Schicht 2 IP-Adresse korrekt? Schicht 3 Subnetzmaske korrekt? Schicht 3 Standard-Gateway korrekt? Schicht 3 Ziel-IP erreichbar? Schicht 3 Zielport erreichbar? Schicht 4 DNS-Auflösung möglich? Schicht 7 Anwendung antwortet? Schicht 7 Merksatz: Ein Fehler auf einer unteren Schicht kann alle oberen Schichten beeinflussen. Typische Werkzeuge zur Fehlersuche Werkzeug Zweck ipconfig IP-Konfiguration unter Windows anzeigen ip addr IP-Konfiguration unter Linux anzeigen ping Erreichbarkeit testen tracert Weg zum Ziel unter Windows anzeigen traceroute Weg zum Ziel unter Linux anzeigen nslookup DNS-Auflösung prüfen dig DNS-Auflösung detailliert prüfen netstat Netzwerkverbindungen anzeigen ss Netzwerkverbindungen unter Linux anzeigen Test-NetConnection Verbindung und Port unter Windows prüfen nc Verbindung und Port testen Wireshark Pakete grafisch analysieren tcpdump Pakete auf der Konsole analysieren Wichtig: Das Werkzeug muss zur vermuteten Schicht passen. Typische IHK-Fragen In AP1 oder AP2 können Aufgaben zum Beispiel so aussehen: - Nennen Sie die 7 Schichten des OSI-Modells. - Ordnen Sie Protokolle den OSI-Schichten zu. - Ordnen Sie Geräte den OSI-Schichten zu. - Erklären Sie den Unterschied zwischen OSI-Modell und TCP/IP-Modell. - Beschreiben Sie den Vorgang der Kapselung. - Unterscheiden Sie Frame, Paket und Segment. - Erklären Sie den Unterschied zwischen MAC-Adresse, IP-Adresse und Port. - Erklären Sie die Aufgabe von TCP. - Erklären Sie die Aufgabe von UDP. - Erklären Sie die Aufgabe von IP. - Beschreiben Sie den Weg eines Datenpakets durch die Schichten. - Grenzen Sie einen Fehler anhand der Schichten ein. Typische Prüfungsfallen TCP/IP ist nicht nur TCP und IP. TCP/IP bezeichnet eine Protokollfamilie. DNS ist ein Anwendungsprotokoll, auch wenn es IP-Adressen liefert. DHCP ist ein Anwendungsprotokoll, auch wenn es IP-Konfiguration vergibt. ICMP gehört nicht zu TCP oder UDP. ICMP nutzt keine Ports. Ein Switch arbeitet typischerweise auf Schicht 2. Ein Router arbeitet typischerweise auf Schicht 3. Eine Firewall kann je nach Art mehrere Schichten betreffen. Eine MAC-Adresse ist keine IP-Adresse. Eine Portnummer ist keine IP-Adresse. Ein Frame ist nicht dasselbe wie ein Paket. Ein Paket ist nicht dasselbe wie ein Segment. Schicht 7 ist nicht einfach der Benutzer, sondern die Anwendungsschicht mit Netzwerkdiensten. Prüfungstabelle: sehr wichtige Zuordnungen Thema richtige Zuordnung Kabel, Glasfaser, Funk Schicht 1 Bit Schicht 1 MAC-Adresse Schicht 2 Ethernet-Frame Schicht 2 Switch Schicht 2 VLAN Schicht 2 IP-Adresse Schicht 3 Router Schicht 3 Routing Schicht 3 ICMP Schicht 3 Port Schicht 4 TCP Schicht 4 UDP Schicht 4 HTTP Schicht 7 DNS Schicht 7 DHCP Schicht 7 SMTP Schicht 7 IMAP Schicht 7 SSH Schicht 7 Prüfungstabelle: Kurzdefinitionen Begriff IHK-taugliche Kurzdefinition OSI-Modell Referenzmodell zur Einordnung von Netzwerkkommunikation in sieben Schichten TCP/IP-Modell praxisnahes Schichtenmodell für IP-basierte Netzwerke Protokoll Regelwerk für die Kommunikation zwischen Systemen Kapselung Ergänzen von Daten um Protokollinformationen beim Durchlaufen der Schichten Entkapselung Auswerten und Entfernen von Protokollinformationen beim Empfänger Frame Dateneinheit der Sicherungsschicht Paket Dateneinheit der Vermittlungsschicht Segment Dateneinheit bei TCP auf der Transportschicht Datagramm Dateneinheit bei UDP MAC-Adresse Adresse zur lokalen Zustellung im LAN IP-Adresse logische Adresse zur Kommunikation über Netzwerke Port Nummer zur Zuordnung eines Dienstes oder einer Anwendung Routing Weiterleitung von Paketen zwischen Netzwerken Mini-Wiederholung Frage Antwort Welche Schicht überträgt Bits? Schicht 1 Welche Schicht nutzt MAC-Adressen? Schicht 2 Welche Schicht nutzt IP-Adressen? Schicht 3 Welche Schicht nutzt Ports? Schicht 4 Welche Schicht enthält HTTP? Schicht 7 Welche Schicht enthält TCP? Schicht 4 Welche Schicht enthält UDP? Schicht 4 Welche Schicht enthält ICMP? Schicht 3 Welche Schicht enthält Ethernet? Schicht 2 Welche Schicht enthält DNS? Schicht 7 Welche Schicht enthält DHCP? Schicht 7 Welche Schicht ist ein Switch? Schicht 2 Welche Schicht ist ein Router? Schicht 3 IHK-sichere Gesamtformulierung Das OSI-Modell ist ein Referenzmodell, das Netzwerkkommunikation in sieben Schichten einteilt. Jede Schicht übernimmt bestimmte Aufgaben und stellt der darüberliegenden Schicht Dienste bereit. Die unteren Schichten kümmern sich vor allem um Übertragung, lokale Zustellung und Adressierung. Die mittleren Schichten kümmern sich um Routing und Transport. Die oberen Schichten stellen Netzwerkdienste für Anwendungen bereit. Das TCP/IP-Modell ist ein praxisnahes Modell für IP-basierte Netzwerke und das Internet. Es wird häufig mit vier Schichten dargestellt: Anwendungsschicht, Transportschicht, Internetschicht und Netzzugangsschicht. Dabei fasst das TCP/IP-Modell mehrere OSI-Schichten zusammen. Beim Senden werden Daten durch die Schichten von oben nach unten verarbeitet und mit Protokollinformationen ergänzt. Dieser Vorgang heißt Kapselung. Beim Empfänger werden diese Informationen in umgekehrter Reihenfolge ausgewertet und entfernt. Dieser Vorgang heißt Entkapselung. Wichtigste Merksätze OSI = 7 Schichten. TCP/IP = häufig 4 Schichten. OSI ist ein Referenzmodell. TCP/IP ist praxisnah und internetbezogen. Schicht 1 = Bits und Signale. Schicht 2 = MAC-Adresse und Frame. Schicht 3 = IP-Adresse und Routing. Schicht 4 = TCP, UDP und Ports. Schicht 5 = Sitzung. Schicht 6 = Darstellung, Codierung, Kompression, Verschlüsselung. Schicht 7 = Netzwerkdienste für Anwendungen. Switch = Schicht 2. Router = Schicht 3. TCP und UDP = Schicht 4. IP und ICMP = Schicht 3. HTTP, DNS, DHCP, SMTP, IMAP = Schicht 7. MAC-Adresse = lokaler Netzwerkabschnitt. IP-Adresse = logische Netzwerkadresse. Port = Dienst oder Anwendung. Frame = Schicht 2. Paket = Schicht 3. Segment oder Datagramm = Schicht 4. Sender kapselt ein. Empfänger kapselt aus. Bei der Fehlersuche zuerst die unteren Schichten prüfen. 3. OSI-Schicht 0 – Übertragungsmedien und Verkabelung 3.1 Schicht 0 – Übertragungsmedien und Verkabelung Schicht 0 ist keine offizielle Schicht des OSI-Modells. Sie wird hier als didaktische Ergänzung verwendet, um die physische Grundlage eines Netzwerks verständlich einzuordnen. Gemeint sind vor allem: - Kabel - Glasfaser - Funkstrecken - Steckverbindungen - Patchfelder - Gebäudeverkabelung - physische Wege der Datenübertragung Wichtig für die IHK: Das offizielle OSI-Modell beginnt mit Schicht 1, der Bitübertragungsschicht. Schicht 0 hilft aber dabei, die Infrastruktur unterhalb der eigentlichen Signalübertragung zu verstehen. Warum Schicht 0? Bevor Bits übertragen werden können, braucht man ein geeignetes Übertragungsmedium. Beispiele: - Kupferkabel - Lichtwellenleiter - WLAN-Funk - Patchkabel - Netzwerkdosen - Verlegekabel - Rangierfelder - SFP-Module - Medienkonverter Diese Dinge bilden die physische Grundlage eines Netzwerks. Vereinfacht gesagt: Schicht 0 beschreibt die Wege, über die Schicht 1 später Bits als Signale übertragen kann. Abgrenzung zu OSI-Schicht 1 OSI-Schicht 1 heißt: Bitübertragungsschicht Die Bitübertragungsschicht beschreibt die Übertragung von Bits als elektrische, optische oder elektromagnetische Signale. Schicht 0 betrachtet eher die darunterliegende Infrastruktur. Bereich Bedeutung Schicht 0 Kabel, Glasfaser, Funkstrecke, Dosen, Patchfelder, physischer Weg Schicht 1 Bits, Signale, Pegel, Übertragungsgeschwindigkeit, physische Schnittstelle Wichtig: Schicht 0 ist eine Lernhilfe. Schicht 1 ist Teil des offiziellen OSI-Modells. Begriff: Übertragungsmedium Ein Übertragungsmedium ist der physische Weg, über den Daten übertragen werden. Typische Übertragungsmedien sind: Medium Beschreibung Kupferkabel elektrische Signalübertragung Lichtwellenleiter optische Signalübertragung mit Licht Funk drahtlose Übertragung über elektromagnetische Wellen Merksatz: Das Übertragungsmedium ist der physische Weg der Daten. Kupferkabel Kupferkabel übertragen Daten über elektrische Signale. In modernen Netzwerken sind vor allem Twisted-Pair-Kabel wichtig. Typische Beispiele: - Patchkabel - Verlegekabel - Netzwerkkabel mit RJ45-Stecker - strukturierte Gebäudeverkabelung Kupferkabel werden häufig im LAN eingesetzt. LAN steht für: Local Area Network Auf Deutsch: lokales Netzwerk Typischer Einsatz: PC → Netzwerkdose → Patchfeld → Switch Merksatz: Kupferkabel übertragen Daten elektrisch. Twisted-Pair-Kabel Twisted Pair bedeutet: verdrilltes Adernpaar Bei Twisted-Pair-Kabeln sind die Adern paarweise miteinander verdrillt. Das hilft gegen elektromagnetische Störungen. Typische Kategorien: Kategorie typischer Einsatz CAT 5e Gigabit-Ethernet möglich CAT 6 Gigabit-Ethernet und teilweise höhere Datenraten CAT 6A 10-Gigabit-Ethernet bis 100 m CAT 7 / CAT 8 höhere Anforderungen und Datenraten, je nach Einsatzbereich Wichtig: Die Kategorie beschreibt die Leistungsfähigkeit des Kabels, nicht automatisch die tatsächliche Geschwindigkeit der Verbindung. Die tatsächliche Verbindung hängt auch ab von: - Netzwerkkarte - Switch-Port - Kabelqualität - Kabellänge - Steckverbindungen - Störeinflüssen Merksatz: Twisted Pair = verdrillte Adernpaare für elektrische Datenübertragung. RJ45 RJ45 wird im Alltag häufig als Bezeichnung für den typischen Netzwerkstecker verwendet. Gemeint ist der Stecker, der bei vielen Ethernet-Patchkabeln verwendet wird. Typischer Einsatz: Patchkabel zwischen PC und Netzwerkdose Patchkabel zwischen Patchfeld und Switch Wichtig: In der Praxis sagt man oft „RJ45-Netzwerkkabel“, auch wenn die genaue Normbezeichnung fachlich etwas genauer betrachtet werden kann. Für die Prüfung reicht meist: RJ45 = typischer Stecker für Ethernet über Twisted-Pair-Kabel Koaxialkabel Koaxialkabel wurden früher in Ethernet-Netzwerken eingesetzt. Heute sind sie für klassische LAN-Verkabelung weitgehend veraltet. Typischer historischer Bezug: Bus-Topologie 10BASE2 10BASE2 bedeutet vereinfacht: Bestandteil Bedeutung 10 10 Mbit/s BASE Basisbandübertragung 2 ungefähr 200 Yard maximale Segmentlänge Wichtig: Koaxialkabel sind für moderne strukturierte LAN-Verkabelung nicht mehr üblich. Merksatz: Koaxialkabel = ältere Ethernet-Technik, früher bei Bus-Topologien. Lichtwellenleiter Lichtwellenleiter werden häufig mit LWL abgekürzt. LWL übertragen Daten mit Licht. Andere Bezeichnungen: Glasfaser Fiber Lichtleiter Typische Vorteile: - hohe Reichweiten - hohe Datenraten - unempfindlich gegenüber elektromagnetischen Störungen - geeignet für Gebäudeverbindungen - geeignet für Backbone-Verbindungen Typische Nachteile: - empfindlicher bei falscher Handhabung - aufwendigere Stecktechnik - spezielle Module oder Medienkonverter nötig - nicht so einfach zu reparieren wie Kupferkabel Merksatz: LWL überträgt Daten optisch mit Licht. Multimode-LWL Multimode-LWL wird häufig für kürzere Strecken eingesetzt. Multimode bedeutet: Mehrere Lichtwege beziehungsweise Moden breiten sich in der Faser aus. Typische Eigenschaften: - größerer Kerndurchmesser als Singlemode - häufig für Gebäude- oder Campusverkabelung - kürzere Reichweite als Singlemode - oft günstiger in der aktiven Technik Merksatz: Multimode = mehrere Lichtwege, eher kürzere Strecken. Singlemode-LWL Singlemode-LWL wird häufig für längere Strecken eingesetzt. Singlemode bedeutet: Das Licht breitet sich überwiegend in einem einzelnen Modus aus. Typische Eigenschaften: - kleinerer Kerndurchmesser als Multimode - sehr hohe Reichweiten möglich - häufig bei Provider-, WAN- und Backbone-Verbindungen - oft für lange Glasfaserstrecken geeignet Singlemode wird auch Monomode genannt. Merksatz: Singlemode = ein Lichtweg, eher lange Strecken. WLAN als Übertragungsmedium WLAN steht für: Wireless Local Area Network WLAN ist ein drahtloses lokales Netzwerk. Die Übertragung erfolgt über Funk. Typische Frequenzbereiche: - 2,4 GHz - 5 GHz - 6 GHz WLAN nutzt Standards aus der IEEE-802.11-Familie. Beispiele: Bezeichnung technischer Standard Wi-Fi 4 IEEE 802.11n Wi-Fi 5 IEEE 802.11ac Wi-Fi 6 IEEE 802.11ax Wi-Fi 6E IEEE 802.11ax mit zusätzlichem 6-GHz-Band Wi-Fi 7 IEEE 802.11be Wichtig: WLAN ist flexibel, aber stärker abhängig von Entfernung, Hindernissen, Störungen und anderen Funknetzen. Merksatz: WLAN = drahtlose Übertragung im lokalen Netzwerk. Strukturierte Verkabelung Strukturierte Verkabelung beschreibt eine geplante, einheitliche Gebäudeverkabelung. Ziel ist eine übersichtliche und wartbare Netzwerk-Infrastruktur. Typische Bestandteile: - Gebäudeverteiler - Etagenverteiler - Patchfelder - Netzwerkdosen - Verlegekabel - Patchkabel - Switches - Rangierbereiche Vorteile: - bessere Übersicht - einfachere Fehlersuche - bessere Erweiterbarkeit - klare Dokumentation - saubere Trennung von Verlegekabel und Patchkabel Merksatz: Strukturierte Verkabelung macht Netzwerke planbar und wartbar. Patchkabel und Verlegekabel Patchkabel und Verlegekabel haben unterschiedliche Aufgaben. Kabelart Aufgabe Patchkabel flexible Verbindung zwischen Gerät und Dose oder Patchfeld und Switch Verlegekabel feste Installation in Wand, Decke, Kabelkanal oder Gebäudeinfrastruktur Patchkabel sind flexibel. Verlegekabel sind für feste Installation gedacht. Typischer Aufbau: PC → Patchkabel → Netzwerkdose → Verlegekabel → Patchfeld → Patchkabel → Switch Merksatz: Patchkabel verbindet flexibel. Verlegekabel bleibt fest installiert. Patchfeld Ein Patchfeld ist ein Anschlussfeld im Netzwerkschrank. Dort enden die fest verlegten Netzwerkkabel. Von dort aus werden Verbindungen mit Patchkabeln zum Switch hergestellt. Typischer Zweck: - saubere Verkabelung - flexible Zuordnung von Netzwerkdosen zu Switch-Ports - bessere Übersicht im Netzwerkschrank - einfachere Wartung Merksatz: Patchfeld = Sammel- und Anschlussstelle für Verlegekabel. Switch im Zusammenhang mit Verkabelung Der Switch gehört fachlich zur OSI-Schicht 2. Im Zusammenhang mit Schicht 0 ist er aber wichtig, weil alle Kabelverbindungen häufig am Switch zusammenlaufen. Typischer Aufbau im LAN: Endgerät → Netzwerkdose → Patchfeld → Switch Wichtig: Die Verkabelung schafft die physische Verbindung. Der Switch leitet Frames anhand von MAC-Adressen weiter. Merksatz: Kabel verbinden physisch. Switches leiten logisch im lokalen Netzwerk weiter. Medienkonverter Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien. Beispiel: Kupfer Ethernet ↔ Glasfaser Typischer Einsatz: Ein Gerät besitzt nur einen Kupferanschluss, die Strecke soll aber über Glasfaser geführt werden. Wichtig: Medienkonverter ändern das Übertragungsmedium, nicht automatisch das Netzwerkprotokoll. Merksatz: Medienkonverter = Übergang zwischen unterschiedlichen Medien. SFP-Modul SFP steht für: Small Form-factor Pluggable Ein SFP-Modul ist ein steckbares Transceiver-Modul. Es wird häufig in Switches, Routern oder Medienkonvertern eingesetzt. Typische Varianten: - SFP für 1 Gbit/s - SFP+ für 10 Gbit/s - Module für Multimode-LWL - Module für Singlemode-LWL - teilweise auch Kupfer-SFP-Module Wichtig: SFP-Module müssen zur Strecke und zum Gerät passen. Beispiel: Multimode-Modul zu Multimode-Faser Singlemode-Modul zu Singlemode-Faser Merksatz: SFP = steckbares Modul für Netzwerkverbindungen. Dämpfung Dämpfung bedeutet, dass ein Signal auf dem Übertragungsweg schwächer wird. Dämpfung gibt es bei: - Kupferkabeln - Glasfaser - Funkverbindungen Je länger oder schlechter die Strecke ist, desto stärker kann das Signal gedämpft werden. Bei Lichtwellenleitern hängt die Dämpfung unter anderem von der Wellenlänge, der Faserart, Steckverbindungen und der Strecke ab. Merksatz: Dämpfung = Signal wird schwächer. Störungen Störungen können die Datenübertragung beeinträchtigen. Typische Ursachen: - elektromagnetische Einflüsse - schlechte Steckverbindungen - defekte Kabel - zu lange Leitungen - falsche Kabelkategorie - beschädigte Glasfaser - Funkstörungen bei WLAN - Hindernisse bei WLAN Wichtig: Viele Netzwerkprobleme beginnen auf der physischen Ebene. Merksatz: Schlechte Verkabelung verursacht oft schwer zu findende Fehler. Typische Kabellängen als Orientierung Medium typische Orientierung Twisted-Pair-Kupfer häufig bis 100 m Multimode-LWL für kürzere bis mittlere Glasfaserstrecken Singlemode-LWL für lange Glasfaserstrecken WLAN stark abhängig von Umgebung, Hindernissen und Funkstörungen Wichtig: Die tatsächlich mögliche Entfernung hängt von Standard, Kabelqualität, aktiver Technik und Umgebung ab. Merksatz: Kupfer für kurze LAN-Strecken. Glasfaser für hohe Datenraten und längere Strecken. Schicht 0 und Fehlersuche Viele Netzwerkfehler entstehen durch einfache physische Ursachen. Beispiele: - Kabel nicht gesteckt - Kabel defekt - falscher Port - falsches Patchfeld - beschädigte Netzwerkdose - defektes SFP-Modul - falscher Fasertyp - verschmutzter Glasfaserstecker - zu schwaches WLAN-Signal Typische Prüfung: Link-LED am Gerät oder Switch-Port prüfen. Wenn kein Link vorhanden ist, liegt das Problem oft bei: - Kabel - Port - Netzwerkkarte - SFP-Modul - Gegenstelle - Stromversorgung des Geräts Merksatz: Ohne physische Verbindung funktionieren die höheren Schichten nicht. Begriff: Link Ein Link ist eine aktive Verbindung zwischen zwei Netzwerkkomponenten auf der physischen Ebene. Beispiel: PC ↔ Switch Wenn die Link-LED leuchtet, besteht grundsätzlich eine physische Verbindung. Wichtig: Ein Link bedeutet nicht automatisch, dass IP, DNS oder Internet funktionieren. Merksatz: Link vorhanden = physische Verbindung grundsätzlich aktiv. Begriff: Bandbreite Bandbreite beschreibt im Netzwerkbereich häufig die theoretisch mögliche Übertragungsrate. Beispiele: 100 Mbit/s 1 Gbit/s 10 Gbit/s Wichtig: Die nutzbare Datenrate kann geringer sein, weil Protokoll-Overhead, Geräte, Auslastung und Störungen eine Rolle spielen. Merksatz: Bandbreite = mögliche Übertragungskapazität. Begriff: Latenz Latenz ist die Verzögerungszeit bei der Datenübertragung. Sie beschreibt, wie lange ein Signal oder Datenpaket bis zum Ziel benötigt. Typische Einflussfaktoren: - Entfernung - Übertragungsmedium - Netzwerkgeräte - Auslastung - Verarbeitung durch Router oder Firewalls - Funkqualität bei WLAN Merksatz: Latenz = Verzögerung auf dem Übertragungsweg. Begriff: Durchsatz Durchsatz beschreibt, wie viele Daten tatsächlich pro Zeit übertragen werden. Der Durchsatz ist oft niedriger als die theoretische Bandbreite. Gründe: - Protokoll-Overhead - Kollisionen oder Wiederholungen - Störungen - langsame Geräte - volle Leitungen - CPU- oder Speicherbegrenzungen - WLAN-Signalqualität Merksatz: Durchsatz = tatsächlich erreichte Datenrate. Abgrenzung: Bandbreite, Latenz und Durchsatz Begriff Bedeutung Bandbreite theoretische Übertragungskapazität Latenz Verzögerungszeit Durchsatz tatsächlich erreichte Datenrate Beispiel: Eine Verbindung kann 1 Gbit/s Bandbreite haben, aber trotzdem hohe Latenz oder geringen Durchsatz zeigen. Prüfungshinweis: Bandbreite und Durchsatz sind nicht dasselbe. Typische IHK-Fragen In AP1 und AP2 können Aufgaben zum Beispiel so aussehen: - Welche Übertragungsmedien gibt es? - Wofür wird Twisted-Pair-Kabel verwendet? - Was ist der Unterschied zwischen Multimode- und Singlemode-LWL? - Warum wird Glasfaser für längere Strecken eingesetzt? - Was bedeutet strukturierte Verkabelung? - Was ist ein Patchfeld? - Was ist der Unterschied zwischen Patchkabel und Verlegekabel? - Welche Ursachen kann ein fehlender Link haben? - Was bedeutet Dämpfung? - Was ist der Unterschied zwischen Bandbreite, Durchsatz und Latenz? Typische Prüfungsfallen Schicht 0 ist keine offizielle OSI-Schicht. Das offizielle OSI-Modell beginnt mit Schicht 1. Twisted-Pair-Kabel übertragen elektrisch. Lichtwellenleiter übertragen optisch. WLAN überträgt per Funk. Die Kabelkategorie allein garantiert nicht automatisch die Verbindungsgeschwindigkeit. Ein leuchtender Link bedeutet nicht automatisch, dass IP oder DNS funktionieren. Bandbreite ist nicht dasselbe wie Durchsatz. Multimode und Singlemode dürfen nicht beliebig gemischt werden. SFP-Module müssen zur Faserart und zur Gegenstelle passen. Bei Glasfaser niemals in die Faser oder in optische Ports schauen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht 0 didaktische Ergänzung für Verkabelung und Übertragungsmedien Übertragungsmedium physischer Weg der Datenübertragung Twisted Pair Kupferkabel mit verdrillten Adernpaaren Koaxialkabel älteres Kabelmedium, früher bei Ethernet-Bus-Topologien LWL Lichtwellenleiter, optische Datenübertragung Multimode Glasfaser für eher kürzere Strecken mit mehreren Lichtwegen Singlemode Glasfaser für lange Strecken mit einem Lichtweg WLAN drahtloses lokales Netzwerk strukturierte Verkabelung geplante und einheitliche Gebäudeverkabelung Patchkabel flexibles Verbindungskabel Verlegekabel fest installiertes Kabel Patchfeld Anschlussfeld für fest verlegte Netzwerkkabel Medienkonverter verbindet unterschiedliche Übertragungsmedien SFP steckbares Modul für Netzwerkverbindungen Dämpfung Abschwächung eines Signals Link aktive physische Verbindung Bandbreite theoretische Übertragungskapazität Latenz Verzögerungszeit Durchsatz tatsächlich erreichte Datenrate IHK-sichere Kurzformulierung Schicht 0 ist keine offizielle Schicht des OSI-Modells, sondern eine didaktische Ergänzung zur Einordnung von Übertragungsmedien und Verkabelung. Dazu gehören zum Beispiel Kupferkabel, Lichtwellenleiter, WLAN-Funkstrecken, Patchfelder, Netzwerkdosen und strukturierte Gebäudeverkabelung. Die offizielle OSI-Schicht 1 ist die Bitübertragungsschicht. Sie beschreibt die Übertragung von Bits als elektrische, optische oder elektromagnetische Signale. Eine fehlerhafte physische Infrastruktur kann alle höheren Netzwerkschichten beeinträchtigen. Merksätze Schicht 0 ist eine Lernhilfe, keine offizielle OSI-Schicht. Das OSI-Modell beginnt offiziell mit Schicht 1. Schicht 0 = Verkabelung und Übertragungsmedien. Schicht 1 = Bits und Signale. Kupfer überträgt elektrisch. Glasfaser überträgt optisch. WLAN überträgt per Funk. Twisted Pair = verdrillte Adernpaare. LWL = Lichtwellenleiter. Multimode = eher kürzere Glasfaserstrecken. Singlemode = eher lange Glasfaserstrecken. Patchkabel = flexibel. Verlegekabel = fest installiert. Patchfeld = Anschlussstelle für Gebäudeverkabelung. Dämpfung = Signal wird schwächer. Bandbreite = mögliche Datenrate. Durchsatz = tatsächlich erreichte Datenrate. Latenz = Verzögerung. Kein Link bedeutet: zuerst Kabel, Port, Netzwerkkarte, SFP oder Gegenstelle prüfen. Ohne funktionierende physische Verbindung funktionieren die höheren Schichten nicht. 3.2 Koaxialkabel Koaxialkabel sind ältere Übertragungsmedien, die früher auch in Ethernet-Netzwerken eingesetzt wurden. Heute werden Koaxialkabel in klassischen LAN-Installationen kaum noch verwendet. Moderne lokale Netzwerke nutzen meistens Twisted-Pair-Kabel oder Lichtwellenleiter. Wichtig für die Einordnung: Koaxialkabel gehören zum Bereich der Übertragungsmedien. Sie sind damit fachlich im Bereich Schicht 0 / Schicht 1 einzuordnen. Begriff: Koaxialkabel Ein Koaxialkabel ist ein Kabel mit einem zentralen Innenleiter und einem äußeren Schirm. Der Aufbau ist vereinfacht: Innenleiter Isolierung Abschirmung Außenmantel Die Abschirmung schützt das Signal vor äußeren elektromagnetischen Störungen. Merksatz: Koaxialkabel = Kabel mit Innenleiter und Abschirmung. Historische Bedeutung im Netzwerk Koaxialkabel wurden früher in Ethernet-Netzwerken eingesetzt. Typischer Einsatz: - ältere LAN-Technik - Bus-Topologie - 10BASE2 - 10BASE5 Heute sind sie im normalen Büro-LAN weitgehend durch Twisted-Pair-Kabel ersetzt worden. Wichtig: Für moderne Netzwerke ist Koaxialkabel historisch interessant, aber nicht mehr die übliche Standardverkabelung im LAN. Begriff: Bus-Topologie Eine Bus-Topologie ist eine Netzwerktopologie, bei der mehrere Geräte an einem gemeinsamen Übertragungsmedium angeschlossen sind. Vereinfacht: Alle Geräte hängen an einer gemeinsamen Leitung. Beispielhafte Darstellung: PC 1 ─ PC 2 ─ PC 3 ─ PC 4 Bei alten Koaxial-Ethernet-Netzen wurde diese Struktur verwendet. Nachteil: Wenn das gemeinsame Kabel oder ein Abschluss fehlerhaft ist, kann das gesamte Netzwerksegment gestört sein. Merksatz: Bus-Topologie = alle Geräte teilen sich eine gemeinsame Leitung. Begriff: Ethernet Ethernet ist eine weit verbreitete Netzwerktechnik für lokale Netzwerke. Ethernet beschreibt unter anderem: - Rahmenformat - Zugriff auf das Medium - Übertragung im LAN - technische Varianten mit verschiedenen Medien Heute denkt man bei Ethernet meistens an Twisted-Pair-Kabel mit RJ45-Steckern. Historisch gab es Ethernet aber auch über Koaxialkabel. Merksatz: Ethernet = wichtige LAN-Technik für lokale Netzwerke. 10BASE2 10BASE2 war eine frühere Ethernet-Variante über Koaxialkabel. Die Bezeichnung kann man zerlegen: Bestandteil Bedeutung 10 10 Mbit/s Übertragungsgeschwindigkeit BASE Basisbandübertragung 2 ungefähr 200 Yard maximale Segmentlänge Wichtig: 10BASE2 wurde auch als Thin Ethernet bezeichnet. Typischer Einsatz: ältere Netzwerke mit Koaxialkabel und Bus-Topologie Merksatz: 10BASE2 = altes Ethernet über dünnes Koaxialkabel mit 10 Mbit/s. Begriff: Basisbandübertragung Basisbandübertragung bedeutet, dass das gesamte Übertragungsmedium für ein digitales Signal genutzt wird. Im Zusammenhang mit Ethernet bedeutet BASE: Basisband Beispiele: 10BASE2 10BASE-T 100BASE-TX 1000BASE-T Merksatz: BASE steht bei Ethernet-Bezeichnungen für Basisbandübertragung. 10BASE5 10BASE5 war ebenfalls eine ältere Ethernet-Variante über Koaxialkabel. Sie wurde auch als Thick Ethernet bezeichnet. Die Bezeichnung kann man zerlegen: Bestandteil Bedeutung 10 10 Mbit/s Übertragungsgeschwindigkeit BASE Basisbandübertragung 5 ungefähr 500 m maximale Segmentlänge 10BASE5 nutzte ein dickeres Koaxialkabel als 10BASE2. Wichtig: 10BASE5 ist heute veraltet, kann aber in Prüfungs- oder Grundlagenzusammenhängen als historische Ethernet-Technik vorkommen. Merksatz: 10BASE5 = altes Ethernet über dickes Koaxialkabel. Warum ist Koaxial-Ethernet veraltet? Koaxial-Ethernet wird heute kaum noch eingesetzt, weil moderne LAN-Techniken viele Vorteile bieten. Nachteile alter Koaxialnetze: - gemeinsame Leitung für mehrere Geräte - Störungen können viele Geräte gleichzeitig betreffen - aufwendigere Fehlersuche - geringere Flexibilität - geringere Datenrate - Bus-Topologie ist störanfälliger als moderne Sternverkabelung Moderne Netzwerke verwenden meistens: - Twisted-Pair-Kabel - Switches - sternförmige Verkabelung - strukturierte Gebäudeverkabelung Merksatz: Koaxial-Ethernet wurde durch geswitchte Ethernet-Netze mit Twisted Pair weitgehend ersetzt. Vergleich: Koaxialkabel und Twisted Pair Merkmal Koaxialkabel Twisted-Pair-Kabel Einsatz im modernen LAN kaum noch üblich sehr üblich historische Bedeutung hoch heute Standard im LAN typische Topologie früher Bus Stern typische aktive Komponente keine zentrale Switch-Struktur Switch Fehlersuche oft schwieriger meist einfacher Flexibilität geringer höher heutige Relevanz für LAN eher historisch sehr hoch Wichtig: Twisted Pair ist heute im Büro-LAN wesentlich wichtiger als Koaxialkabel. Begriff: Stern-Topologie Bei einer Stern-Topologie sind alle Endgeräte mit einem zentralen Gerät verbunden. Typisch ist heute: PC → Switch Notebook → Switch Drucker → Switch Server → Switch Vorteil: Wenn ein einzelnes Kabel ausfällt, ist meistens nur ein Gerät betroffen. Das ist ein wichtiger Unterschied zur alten Bus-Topologie. Merksatz: Stern-Topologie = jedes Gerät hat eine eigene Verbindung zum zentralen Gerät. Koaxialkabel außerhalb klassischer LANs Auch wenn Koaxialkabel im modernen LAN kaum noch verwendet werden, gibt es weiterhin Einsatzbereiche. Beispiele: - Kabelfernsehen - Antennentechnik - Breitbandkabelanschlüsse - Messtechnik - teilweise Spezialtechnik Wichtig: Koaxialkabel sind nicht generell verschwunden. Sie sind nur für moderne klassische Ethernet-LANs nicht mehr üblich. Merksatz: Koaxialkabel gibt es noch, aber im modernen Büro-LAN ist Twisted Pair typischer. Typische Fehler bei Koaxialnetzen Bei alten Koaxialnetzen konnten schon kleine physische Probleme große Auswirkungen haben. Mögliche Fehler: - Kabelbruch - lockerer Stecker - fehlender Abschlusswiderstand - beschädigte Leitung - schlechte Abschirmung - fehlerhafte Verbindung an einem Gerät Besonders problematisch: Bei einer Bus-Topologie kann ein Fehler auf der gemeinsamen Leitung das gesamte Segment betreffen. Merksatz: Bei Bus-Topologie kann ein Fehler viele Teilnehmer gleichzeitig stören. Begriff: Abschlusswiderstand Ein Abschlusswiderstand beendet eine Leitung elektrisch korrekt. Bei alten Koaxial-Ethernet-Netzen waren Abschlusswiderstände wichtig, damit Signale nicht am Leitungsende reflektiert werden. Fehlt der Abschluss, kann die Kommunikation gestört werden. Merksatz: Abschlusswiderstand = korrekter elektrischer Abschluss einer Leitung. Einordnung in das Schichtenmodell Koaxialkabel gehört nicht zu einer höheren Protokollschicht. Es betrifft die physische Übertragung. Thema Einordnung Koaxialkabel Schicht 0 / Schicht 1 elektrische Signalübertragung Schicht 1 Ethernet-Frame Schicht 2 IP-Adresse Schicht 3 TCP / UDP Schicht 4 Wichtig: Das Kabel selbst überträgt keine IP-Adressen oder Ports. Es transportiert physische Signale. Merksatz: Kabel übertragen Signale, nicht logisch selbst IP oder TCP. Prüfungswissen Für AP1 und AP2 solltest du zu Koaxialkabeln vor allem wissen: - Koaxialkabel sind ältere Übertragungsmedien. - Sie wurden früher für Ethernet in Bus-Topologien verwendet. - 10BASE2 ist eine alte Ethernet-Variante mit 10 Mbit/s. - Koaxialkabel sind im modernen LAN weitgehend veraltet. - Moderne LANs nutzen meistens Twisted-Pair-Kabel oder Lichtwellenleiter. - Koaxialkabel gehören fachlich zur physischen Übertragung. - Bus-Topologien sind störanfälliger als moderne Stern-Topologien mit Switches. Typische IHK-Fragen In Prüfungen kann zum Beispiel gefragt werden: - Welches Übertragungsmedium wurde früher bei Bus-Topologien eingesetzt? - Was bedeutet 10BASE2? - Warum sind Koaxialnetze heute weitgehend veraltet? - Welche Topologie wurde bei alten Koaxial-Ethernet-Netzen verwendet? - Welche Nachteile hat eine Bus-Topologie? - Welche Verkabelung ist heute im LAN üblich? - Auf welcher Ebene ist ein Koaxialkabel einzuordnen? Typische Prüfungsfallen Koaxialkabel sind nicht die heutige Standardverkabelung im LAN. Koaxialkabel wurden historisch häufig mit Bus-Topologien verwendet. Moderne Ethernet-LANs verwenden meist Twisted Pair und Switches. 10BASE2 bedeutet nicht 2 Mbit/s. Die 10 steht für 10 Mbit/s. BASE steht für Basisbandübertragung. Koaxialkabel gehören zur physischen Übertragung, nicht zu IP, TCP oder UDP. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Koaxialkabel Kabel mit Innenleiter und Abschirmung Bus-Topologie mehrere Geräte teilen sich eine gemeinsame Leitung Ethernet LAN-Technik für lokale Netzwerke 10BASE2 alte Ethernet-Variante über dünnes Koaxialkabel mit 10 Mbit/s 10BASE5 alte Ethernet-Variante über dickes Koaxialkabel mit 10 Mbit/s Basisband Übertragungsverfahren, bei dem das Medium für ein digitales Signal genutzt wird Abschlusswiderstand elektrischer Abschluss einer Leitung Twisted Pair modernes Kupferkabel mit verdrillten Adernpaaren Stern-Topologie jedes Gerät ist mit einem zentralen Gerät verbunden Switch zentrales Gerät zur Weiterleitung im LAN anhand von MAC-Adressen IHK-sichere Kurzformulierung Koaxialkabel sind ältere Übertragungsmedien, die früher in Ethernet-Netzwerken mit Bus-Topologie eingesetzt wurden. Ein bekanntes Beispiel ist 10BASE2 mit 10 Mbit/s Übertragungsgeschwindigkeit. In modernen lokalen Netzwerken werden Koaxialkabel weitgehend nicht mehr verwendet. Stattdessen nutzt man meist Twisted-Pair-Kabel mit Switches in Stern-Topologie oder Lichtwellenleiter für höhere Reichweiten und Datenraten. Merksätze Koaxialkabel = ältere Ethernet-Verkabelung. Koaxialkabel wurden früher bei Bus-Topologien genutzt. 10BASE2 = 10 Mbit/s, Basisband, altes Koaxial-Ethernet. 10BASE2 bedeutet nicht 2 Mbit/s. BASE = Basisbandübertragung. Bus-Topologie = gemeinsame Leitung. Stern-Topologie = zentrale Verbindung über Switch. Moderne LANs nutzen meistens Twisted Pair. Koaxialkabel gehören zur physischen Übertragung. Kabel übertragen Signale, nicht selbst IP-Adressen oder Ports. 3.3 Twisted-Pair-Kabel Twisted-Pair-Kabel Twisted-Pair-Kabel sind heute die typische Kupferverkabelung in lokalen Netzwerken. Sie werden häufig für Ethernet-Verbindungen im LAN eingesetzt. Typische Beispiele: PC → Netzwerkdose Netzwerkdose → Patchfeld Patchfeld → Switch Server → Switch Access Point → Switch Twisted Pair bedeutet: verdrilltes Adernpaar Die Adern sind paarweise miteinander verdrillt, um Störungen zu verringern. Begriff: Twisted Pair Twisted Pair bedeutet auf Deutsch: verdrilltes Adernpaar Bei einem Twisted-Pair-Kabel sind jeweils zwei Adern miteinander verdrillt. Ein typisches Netzwerkkabel besitzt: 8 Adern 4 Adernpaare Diese verdrillten Adernpaare helfen dabei, elektromagnetische Störungen zu reduzieren. Merksatz: Twisted Pair = verdrillte Adernpaare zur störungsärmeren Datenübertragung. Warum werden die Adern verdrillt? Bei elektrischer Datenübertragung können Störungen entstehen. Beispiele für Störquellen: - Stromleitungen - Netzteile - Leuchtstofflampen - Motoren - andere Datenleitungen - elektromagnetische Felder Durch die Verdrillung der Adern wirken Störungen auf beide Adern eines Paares ähnlich ein. Dadurch können Störeinflüsse besser unterdrückt werden. Vereinfacht gesagt: Die Verdrillung macht das Signal unempfindlicher gegen äußere Störungen. Merksatz: Verdrillung reduziert elektromagnetische Störeinflüsse. Einsatz im LAN Twisted-Pair-Kabel werden in modernen Ethernet-Netzwerken sehr häufig eingesetzt. Typische Verwendung: - Büroarbeitsplätze - Schulungsräume - Serverräume - Netzwerkschränke - Patchfelder - Access Points - Drucker - VoIP-Telefone - Kameras - Heimnetzwerke In der Praxis ist Twisted Pair die Standardverkabelung für viele kabelgebundene LAN-Verbindungen. LAN steht für: Local Area Network Auf Deutsch: lokales Netzwerk Merksatz: Twisted Pair ist die typische Kupferverkabelung im LAN. Begriff: Ethernet über Twisted Pair Ethernet ist eine weit verbreitete Netzwerktechnik für lokale Netzwerke. Bei Ethernet über Twisted Pair werden Daten elektrisch über Kupferadern übertragen. Typische Ethernet-Bezeichnungen: Bezeichnung Bedeutung 10BASE-T 10 Mbit/s über Twisted Pair 100BASE-TX 100 Mbit/s über Twisted Pair 1000BASE-T 1 Gbit/s über Twisted Pair 2.5GBASE-T 2,5 Gbit/s über Twisted Pair 5GBASE-T 5 Gbit/s über Twisted Pair 10GBASE-T 10 Gbit/s über Twisted Pair Merksatz: BASE-T steht bei Ethernet für Basisbandübertragung über Twisted Pair. Aufbau eines typischen Netzwerkkabels Ein typisches Twisted-Pair-Netzwerkkabel besteht aus: - Außenmantel - 4 verdrillten Adernpaaren - insgesamt 8 Adern - je nach Kabeltyp zusätzlicher Schirmung - Stecker oder Anschlussmodul Die 8 Adern werden je nach Ethernet-Standard unterschiedlich genutzt. Wichtig: Für moderne Gigabit-Verbindungen werden normalerweise alle 8 Adern genutzt. Adernpaare Ein Twisted-Pair-Kabel besitzt typischerweise vier Adernpaare. Vereinfacht: Adernpaar Bedeutung Paar 1 Datenübertragung Paar 2 Datenübertragung Paar 3 Datenübertragung Paar 4 Datenübertragung Bei älteren Ethernet-Varianten wurden nicht immer alle Adern genutzt. Beispiel: 10BASE-T und 100BASE-TX nutzen typischerweise nur 4 Adern. Bei 1000BASE-T werden alle 8 Adern verwendet. Merksatz: Gigabit-Ethernet über Kupfer nutzt alle 8 Adern. Kabelkategorien Twisted-Pair-Kabel werden in Kategorien eingeteilt. Die Kategorie beschreibt die Leistungsfähigkeit des Kabels. Typische Kategorien: Kategorie typische Einordnung CAT 3 ältere Technik, zum Beispiel 10 Mbit/s CAT 5 ältere Fast-Ethernet-Verkabelung CAT 5e Gigabit-Ethernet möglich CAT 6 Gigabit-Ethernet und teilweise höhere Datenraten CAT 6A 10-Gigabit-Ethernet bis 100 m CAT 7 hochwertige geschirmte Verkabelung, häufig für 10-Gigabit-Umgebungen CAT 8 sehr hohe Datenraten auf kurzen Strecken Wichtig: Die Kabelkategorie allein garantiert nicht automatisch die tatsächliche Verbindungsgeschwindigkeit. Auch diese Komponenten müssen passen: - Netzwerkkarte - Switch-Port - Patchkabel - Verlegekabel - Anschlussdose - Patchfeld - Kabellänge - Qualität der Installation Merksatz: Die Verbindung ist nur so gut wie die gesamte Übertragungsstrecke. CAT 3 CAT 3 ist eine ältere Kabelkategorie. Typischer Bezug: 10BASE-T Das bedeutet: 10 Mbit/s Basisbandübertragung Twisted Pair Bei 10BASE-T werden typischerweise die Adern 1, 2, 3 und 6 genutzt. Wichtig: CAT 3 ist für moderne LAN-Installationen nicht mehr zeitgemäß. Merksatz: CAT 3 = alte Twisted-Pair-Verkabelung für niedrige Datenraten. CAT 5 CAT 5 wurde häufig für Fast Ethernet eingesetzt. Typischer Bezug: 100BASE-TX Das bedeutet: 100 Mbit/s Basisbandübertragung Twisted Pair Bei 100BASE-TX werden typischerweise die Adern 1, 2, 3 und 6 genutzt. Wichtig: CAT 5 ist heute weitgehend durch CAT 5e, CAT 6 oder höher ersetzt. Merksatz: CAT 5 = ältere Verkabelung für 100 Mbit/s. CAT 5e CAT 5e ist eine verbesserte Variante von CAT 5. Das e steht für: enhanced Also: verbessert Typischer Bezug: 1000BASE-T Das bedeutet: 1000 Mbit/s 1 Gbit/s Basisbandübertragung Twisted Pair Bei 1000BASE-T werden alle 8 Adern genutzt. Merksatz: CAT 5e = Gigabit-Ethernet über Kupfer möglich. CAT 6 CAT 6 ist eine häufige Kabelkategorie für moderne LAN-Verkabelung. Typische Einsatzbereiche: - 1 Gbit/s - 2,5 Gbit/s - 5 Gbit/s - je nach Strecke und Installation auch höhere Anforderungen CAT 6 bietet bessere Übertragungseigenschaften als CAT 5e. Wichtig: Die tatsächlich erreichbare Geschwindigkeit hängt von der gesamten Strecke und den eingesetzten Geräten ab. Merksatz: CAT 6 = moderne Kupferverkabelung mit Reserven gegenüber CAT 5e. CAT 6A CAT 6A ist für 10-Gigabit-Ethernet über Kupfer besonders wichtig. Das A steht für: augmented Also: erweitert Typischer Bezug: 10GBASE-T Das bedeutet: 10 Gbit/s Basisbandübertragung Twisted Pair CAT 6A ist für 10GBASE-T bis 100 m vorgesehen, wenn die gesamte Strecke entsprechend ausgelegt ist. Merksatz: CAT 6A = wichtige Kategorie für 10-Gigabit-Ethernet bis 100 m. CAT 7 und CAT 8 CAT 7 und CAT 8 sind Kategorien mit hohen Anforderungen an Schirmung und Übertragungseigenschaften. CAT 7 wird in der Praxis häufig in hochwertiger Gebäudeverkabelung eingesetzt. CAT 8 ist für sehr hohe Datenraten auf kurzen Strecken vorgesehen. Wichtig fachlich: Für die tatsächliche Nutzung hoher Datenraten müssen Kabel, Stecker, Patchfeld, Dosen, Switches und Netzwerkkarten zusammenpassen. Bei sehr hohen Datenraten wie 25 Gbit/s oder 40 Gbit/s über Kupfer sind die Strecken deutlich kürzer als bei klassischem 1-Gbit/s- oder 10-Gbit/s-Ethernet. Merksatz: CAT 7 / CAT 8 = hohe Anforderungen, aber die gesamte Strecke entscheidet. RJ45-Stecker RJ45 wird im Alltag häufig als Bezeichnung für den typischen Netzwerkstecker verwendet. Typischer Einsatz: - Patchkabel - Netzwerkdosen - Switch-Ports - Netzwerkkarten Wichtig: Im Alltag sagt man meistens RJ45, wenn der typische Ethernet-Stecker gemeint ist. Für die Prüfung reicht in der Regel: RJ45 = typischer Stecker für Ethernet über Twisted Pair Merksatz: RJ45 = typischer Netzwerkstecker im LAN. Patchkabel Ein Patchkabel ist ein flexibles Netzwerkkabel. Es wird für kurze Verbindungen eingesetzt. Beispiele: PC → Netzwerkdose Patchfeld → Switch Server → Switch Access Point → Netzwerkdose Patchkabel sind beweglich und für häufigeres Umstecken geeignet. Merksatz: Patchkabel = flexible Netzwerkverbindung. Verlegekabel Ein Verlegekabel ist für die feste Installation vorgesehen. Es liegt zum Beispiel: - in Wänden - in Decken - in Kabelkanälen - zwischen Netzwerkdose und Patchfeld Verlegekabel sind normalerweise nicht dafür gedacht, ständig bewegt oder umgesteckt zu werden. Merksatz: Verlegekabel = fest installierte Gebäudeverkabelung. Patchkabel und Verlegekabel im Vergleich Kabelart Aufgabe Patchkabel flexible Verbindung zwischen Gerät und Anschluss Verlegekabel feste Verbindung innerhalb der Gebäudeverkabelung Typischer Datenweg im Büro: PC → Patchkabel → Netzwerkdose → Verlegekabel → Patchfeld → Patchkabel → Switch Merksatz: Patchkabel verbindet flexibel. Verlegekabel verbindet dauerhaft. Schirmung bei Twisted-Pair-Kabeln Twisted-Pair-Kabel können unterschiedlich geschirmt sein. Schirmung schützt vor elektromagnetischen Störungen. Typische Bezeichnungen: Bezeichnung Bedeutung U/UTP keine Gesamtschirmung, keine Paarschirmung F/UTP Folienschirm um alle Paare U/FTP Folienschirm um die einzelnen Paare S/FTP Geflechtschirm außen und Folienschirm um die Paare Wichtig: Je nach Umgebung kann geschirmtes Kabel sinnvoll oder notwendig sein. Beispiele für störanfällige Umgebungen: - Industrie - Nähe zu starken Stromleitungen - Maschinen - lange Kabelwege - viele parallel verlegte Leitungen Merksatz: Schirmung schützt vor elektromagnetischen Störungen. Begriff: elektromagnetische Störung Eine elektromagnetische Störung ist eine Beeinflussung eines Signals durch elektrische oder magnetische Felder. Mögliche Ursachen: - Stromkabel - Motoren - Netzteile - Funkquellen - Maschinen - schlechte Abschirmung Folge: Das Signal kann gestört werden. Es kann zu Fehlern, Wiederholungen oder schlechter Datenrate kommen. Merksatz: Störungen können den Durchsatz und die Stabilität verschlechtern. Maximale Länge bei Kupfer-Ethernet Für klassische Ethernet-Verbindungen über Twisted Pair gilt häufig als Orientierung: maximal 100 m Diese 100 m beziehen sich typischerweise auf die gesamte Strecke. Beispiel: Patchkabel + Verlegekabel + Patchkabel = gesamte Verbindung Wichtig: Zu lange Kabelstrecken können zu Signalproblemen führen. Merksatz: Twisted Pair im LAN: häufig maximal 100 m. Auto-Negotiation Auto-Negotiation bedeutet, dass zwei Netzwerkgeräte automatisch aushandeln, mit welcher Geschwindigkeit und welchem Duplexmodus sie arbeiten. Dabei können zum Beispiel ausgehandelt werden: - 100 Mbit/s - 1 Gbit/s - 2,5 Gbit/s - 5 Gbit/s - 10 Gbit/s - Halbduplex oder Vollduplex Wichtig: Wenn Kabel, Port oder Gegenstelle eine Geschwindigkeit nicht unterstützen, wird eine niedrigere Geschwindigkeit ausgehandelt oder es kommt keine stabile Verbindung zustande. Merksatz: Auto-Negotiation = automatische Aushandlung der Verbindungseigenschaften. Duplexmodus Der Duplexmodus beschreibt, in welche Richtung gleichzeitig übertragen werden kann. Modus Bedeutung Halbduplex Senden oder Empfangen, aber nicht gleichzeitig Vollduplex Senden und Empfangen gleichzeitig Moderne geswitchte Ethernet-Verbindungen arbeiten normalerweise mit Vollduplex. Merksatz: Vollduplex = gleichzeitig senden und empfangen. PoE über Twisted Pair PoE steht für: Power over Ethernet PoE bedeutet, dass über ein Netzwerkkabel nicht nur Daten, sondern auch Strom übertragen werden. Typische Geräte mit PoE: - Access Points - IP-Kameras - VoIP-Telefone - kleine Switches - Sensoren Wichtig: Switch oder PoE-Injektor muss PoE unterstützen. Das Endgerät muss PoE unterstützen. Die Leistung muss zur Anforderung des Geräts passen. Merksatz: PoE = Stromversorgung über Netzwerkkabel. Typische Fehler bei Twisted-Pair-Verbindungen Mögliche Fehler: - Kabel defekt - falsche oder schlechte Crimpung - Ader vertauscht - zu lange Strecke - falsche Kabelkategorie - beschädigte Netzwerkdose - defektes Patchfeld - defekter Switch-Port - schlechte Schirmung - elektromagnetische Störungen - nur 100 Mbit/s statt 1 Gbit/s wegen Aderproblem Wichtig: Wenn bei einer Verbindung nur 100 Mbit/s statt 1 Gbit/s ausgehandelt werden, kann ein Problem mit einzelnen Adern oder der Verkabelung vorliegen. Merksatz: Gigabit benötigt alle 8 Adern. Twisted Pair und Fehlersuche Bei Problemen mit Twisted-Pair-Verkabelung prüft man zuerst die physische Verbindung. Typische Fragen: - Leuchtet die Link-LED? - Wird die richtige Geschwindigkeit angezeigt? - Ist das Kabel richtig gesteckt? - Ist das Kabel beschädigt? - Ist die Netzwerkdose korrekt aufgelegt? - Ist das Patchfeld korrekt verbunden? - Ist der richtige Switch-Port gepatcht? - Unterstützen beide Geräte die gewünschte Geschwindigkeit? Mögliche Werkzeuge: - Kabeltester - Netzwerktester - Switch-Port-Anzeige - Betriebssystemanzeige der Link-Geschwindigkeit - Dokumentation der Patchfelder Merksatz: Bei Verkabelungsproblemen zuerst Link, Kabel, Dose, Patchfeld und Port prüfen. Einordnung in das Schichtenmodell Twisted-Pair-Kabel gehört zur physischen Infrastruktur. Thema Einordnung Twisted-Pair-Kabel Schicht 0 / Schicht 1 elektrische Signalübertragung OSI-Schicht 1 Ethernet-Frame OSI-Schicht 2 IP-Adresse OSI-Schicht 3 TCP / UDP OSI-Schicht 4 Wichtig: Das Kabel selbst verarbeitet keine MAC-Adressen, IP-Adressen oder Ports. Es stellt nur den physischen Übertragungsweg bereit. Merksatz: Twisted Pair transportiert elektrische Signale. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Twisted Pair? - Warum sind die Adern verdrillt? - Wie viele Adern hat ein typisches Netzwerkkabel? - Welche Kabelkategorien gibt es? - Welche Kategorie eignet sich für 10GBASE-T? - Warum garantiert die Kabelkategorie allein nicht die Geschwindigkeit? - Was ist der Unterschied zwischen Patchkabel und Verlegekabel? - Was bedeutet RJ45? - Welche maximale Länge ist bei Twisted Pair im LAN typisch? - Was bedeutet PoE? - Warum kann eine Verbindung nur mit 100 Mbit/s statt 1 Gbit/s laufen? Typische Prüfungsfallen Twisted Pair bedeutet verdrilltes Adernpaar, nicht einfach nur Netzwerkkabel. Ein typisches Ethernet-Kupferkabel hat 8 Adern. 10BASE-T und 100BASE-TX nutzen typischerweise 4 Adern. 1000BASE-T nutzt alle 8 Adern. CAT 6A ist wichtig für 10GBASE-T bis 100 m. Die Kabelkategorie allein garantiert nicht die Geschwindigkeit. Patchkabel und Verlegekabel sind nicht dasselbe. RJ45 bezeichnet im Alltag den typischen Ethernet-Stecker. Twisted Pair gehört zur physischen Übertragung, nicht zu IP oder TCP. PoE bedeutet Stromversorgung über das Netzwerkkabel. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Twisted Pair verdrilltes Adernpaar Adernpaar zwei miteinander verdrillte Adern CAT Kategorie eines Netzwerkkabels CAT 5e Kategorie, die Gigabit-Ethernet ermöglicht CAT 6 moderne LAN-Verkabelung mit besseren Eigenschaften als CAT 5e CAT 6A Kategorie für 10GBASE-T bis 100 m RJ45 typischer Stecker für Ethernet über Twisted Pair Patchkabel flexibles Verbindungskabel Verlegekabel fest installiertes Kabel Schirmung Schutz gegen elektromagnetische Störungen UTP ungeschirmtes Twisted-Pair-Kabel S/FTP geschirmtes Kabel mit Geflecht- und Paarschirmung Auto-Negotiation automatische Aushandlung von Geschwindigkeit und Duplexmodus Duplex Übertragungsrichtung einer Verbindung Vollduplex gleichzeitiges Senden und Empfangen PoE Power over Ethernet, Stromversorgung über Netzwerkkabel IHK-sichere Kurzformulierung Twisted-Pair-Kabel sind Kupferkabel mit paarweise verdrillten Adern. Sie werden in modernen lokalen Netzwerken häufig für Ethernet-Verbindungen eingesetzt. Ein typisches Netzwerkkabel besitzt acht Adern beziehungsweise vier Adernpaare. Die Verdrillung reduziert elektromagnetische Störeinflüsse. Die Leistungsfähigkeit wird unter anderem durch die Kabelkategorie bestimmt, zum Beispiel CAT 5e, CAT 6 oder CAT 6A. Für Gigabit-Ethernet werden alle acht Adern genutzt. Für 10GBASE-T bis 100 m ist CAT 6A eine wichtige Kategorie. Die tatsächliche Verbindungsgeschwindigkeit hängt jedoch von der gesamten Übertragungsstrecke und den eingesetzten Geräten ab. Merksätze Twisted Pair = verdrillte Adernpaare. Typisches Netzwerkkabel = 8 Adern = 4 Adernpaare. Verdrillung reduziert elektromagnetische Störungen. Twisted Pair überträgt elektrisch. Twisted Pair ist die typische Kupferverkabelung im LAN. 10BASE-T = 10 Mbit/s über Twisted Pair. 100BASE-TX = 100 Mbit/s über Twisted Pair. 1000BASE-T = 1 Gbit/s über Twisted Pair. 10GBASE-T = 10 Gbit/s über Twisted Pair. Gigabit-Ethernet nutzt alle 8 Adern. CAT 5e = Gigabit möglich. CAT 6 = moderne LAN-Verkabelung. CAT 6A = wichtig für 10GBASE-T bis 100 m. Patchkabel = flexibel. Verlegekabel = fest installiert. RJ45 = typischer Ethernet-Stecker. PoE = Strom über Netzwerkkabel. Die gesamte Strecke entscheidet über die erreichbare Verbindung. 3.4 Lichtwellenleiter LWL Lichtwellenleiter werden in der Netzwerktechnik häufig mit LWL abgekürzt. Andere Bezeichnungen sind: Glasfaser Glasfaserkabel Fiber Lichtwellenleiter übertragen Daten nicht elektrisch, sondern optisch. Das bedeutet: Die Daten werden mit Licht übertragen. LWL wird besonders dort eingesetzt, wo hohe Datenraten, große Entfernungen oder eine störungsarme Übertragung wichtig sind. Begriff: Lichtwellenleiter Ein Lichtwellenleiter ist ein Übertragungsmedium, das Licht zur Datenübertragung verwendet. Fachlich vereinfacht: Ein Lichtwellenleiter führt Lichtsignale durch eine Faser. Die Lichtsignale stehen dabei für digitale Informationen. Wichtig: LWL überträgt keine elektrischen Signale, sondern optische Signale. Merksatz: LWL = Datenübertragung mit Licht. Einordnung in das Schichtenmodell Lichtwellenleiter gehören zur physischen Übertragung. Thema Einordnung LWL-Kabel Schicht 0 / Schicht 1 Lichtsignal OSI-Schicht 1 Ethernet-Frame OSI-Schicht 2 IP-Adresse OSI-Schicht 3 TCP / UDP OSI-Schicht 4 Wichtig: Das Glasfaserkabel selbst verarbeitet keine IP-Adressen, keine MAC-Adressen und keine Ports. Es stellt den physischen Übertragungsweg bereit. Merksatz: LWL gehört zur physischen Datenübertragung. Warum verwendet man LWL? Lichtwellenleiter haben gegenüber Kupferkabeln mehrere Vorteile. Typische Vorteile: - hohe Datenraten - große Entfernungen - geringe elektromagnetische Störempfindlichkeit - keine elektrische Verbindung zwischen den Geräten - gut geeignet für Backbone-Verbindungen - gut geeignet für Gebäudeverbindungen - gut geeignet für Provider- und WAN-Strecken Besonders wichtig: LWL ist unempfindlich gegenüber elektromagnetischen Störungen. Das ist ein großer Vorteil gegenüber Kupferleitungen in störungsreichen Umgebungen. Merksatz: Glasfaser ist schnell, weitreichend und störungsarm. Elektrisch versus optisch Kupferkabel und LWL unterscheiden sich grundsätzlich in der Signalübertragung. Medium Signalart Twisted-Pair-Kabel elektrische Signale Koaxialkabel elektrische Signale Lichtwellenleiter Lichtsignale WLAN Funkwellen Wichtig: Kupfer = elektrisch LWL = optisch WLAN = Funk Merksatz: Kupfer sendet Stromsignale. Glasfaser sendet Lichtsignale. Aufbau eines Lichtwellenleiters Ein Lichtwellenleiter besteht vereinfacht aus mehreren Bereichen. Typischer Aufbau: Kern Mantel Schutzschichten Außenmantel Der Kern führt das Licht. Der Mantel sorgt dafür, dass das Licht in der Faser geführt wird. Die Schutzschichten schützen die empfindliche Faser mechanisch. Merksatz: Der Kern führt das Licht. Der Mantel hilft, das Licht in der Faser zu halten. Begriff: Kern Der Kern ist der innere Bereich der Glasfaser. In diesem Bereich wird das Licht geführt. Je nach Fasertyp ist der Kern unterschiedlich groß. Typische Einordnung: Fasertyp Kerndurchmesser Multimode größerer Kern Singlemode kleinerer Kern Merksatz: Der Kern ist der Lichtweg in der Glasfaser. Begriff: Mantel Der Mantel umgibt den Kern. Er sorgt durch seine optischen Eigenschaften dafür, dass das Licht im Kern geführt wird. Vereinfacht gesagt: Der Mantel verhindert, dass das Licht einfach aus der Faser austritt. Merksatz: Der Mantel hält das Licht im Kern. Multimode-LWL Multimode-LWL ist ein Lichtwellenleiter mit größerem Kerndurchmesser. Multimode bedeutet: mehrere Lichtwege Fachlich spricht man auch von: Moden Bei Multimode können sich mehrere Lichtwege gleichzeitig in der Faser ausbreiten. Typische Eigenschaften: - größerer Kerndurchmesser - für kürzere bis mittlere Strecken - häufig innerhalb von Gebäuden - häufig im Campus- oder Rechenzentrumsumfeld - aktive Technik oft günstiger als bei Singlemode Merksatz: Multimode = mehrere Lichtwege, eher kürzere Strecken. Singlemode-LWL Singlemode-LWL ist ein Lichtwellenleiter mit kleinerem Kerndurchmesser. Singlemode bedeutet: ein Lichtweg Singlemode wird auch genannt: Monomode Typische Eigenschaften: - kleinerer Kerndurchmesser - für lange Strecken geeignet - hohe Reichweiten möglich - häufig bei Providerstrecken - häufig bei WAN- und Backbone-Verbindungen - sehr gute Übertragungseigenschaften über große Entfernungen Merksatz: Singlemode = ein Lichtweg, eher lange Strecken. Multimode und Singlemode im Vergleich Merkmal Multimode Singlemode Lichtwege mehrere Moden eine Mode Kerndurchmesser größer kleiner typische Strecke kürzer bis mittel lang Einsatz Gebäude, Campus, Rechenzentrum Provider, WAN, Backbone aktive Technik oft günstiger oft teurer, aber sehr leistungsfähig andere Bezeichnung Mehrmodenfaser Einmodenfaser / Monomode IHK-tauglich vereinfacht: Multimode wird eher für kürzere Strecken verwendet. Singlemode wird eher für längere Strecken verwendet. Begriff: Mode Eine Mode beschreibt vereinfacht einen möglichen Lichtweg in der Glasfaser. Bei Multimode gibt es mehrere Lichtwege. Bei Singlemode gibt es im Idealfall nur einen hauptsächlichen Lichtweg. Merksatz: Mode = Lichtweg in der Glasfaser. Warum ist Singlemode für längere Strecken geeignet? Bei Multimode laufen mehrere Lichtwege durch die Faser. Diese Lichtwege können unterschiedlich lange Wege nehmen. Dadurch können Signale über längere Strecken stärker auseinanderlaufen. Bei Singlemode gibt es im Wesentlichen nur einen Lichtweg. Dadurch bleibt das Signal über größere Entfernungen besser erhalten. Vereinfacht gesagt: Weniger unterschiedliche Lichtwege bedeuten weniger Signalverzerrung. Merksatz: Singlemode ist für lange Strecken besser geeignet. Begriff: Dämpfung Dämpfung bedeutet, dass ein Signal auf dem Weg schwächer wird. Bei LWL bedeutet das: Das Lichtsignal wird über die Strecke schwächer. Ursachen können sein: - Länge der Glasfaser - Steckverbindungen - Spleiße - Verschmutzung - Biegeradius unterschritten - falsche Faser - falsches Modul - beschädigte Faser Merksatz: Dämpfung = Signal wird schwächer. Dämpfung bei LWL Bei Lichtwellenleitern ist Dämpfung besonders wichtig, weil optische Signale eine bestimmte Mindeststärke haben müssen. Wenn das Signal zu stark gedämpft wird, kann die Gegenstelle es nicht mehr sauber auswerten. Typische Folgen: - keine Verbindung - instabile Verbindung - Paketverluste - niedriger Durchsatz - Verbindungsabbrüche Wichtig: Auch Glasfaser ist nicht unbegrenzt lang nutzbar. Die zulässige Strecke hängt von Faser, Modul, Wellenlänge und Dämpfungsbudget ab. Merksatz: Auch Licht wird auf dem Weg schwächer. Begriff: Wellenlänge Licht hat eine Wellenlänge. In der Netzwerktechnik werden bei LWL bestimmte Wellenlängen verwendet. Typische Bereiche sind zum Beispiel: 850 nm 1310 nm 1550 nm nm steht für: Nanometer Diese Wellenlängen liegen im nicht sichtbaren Bereich. Wichtig: Man kann gefährliches Laserlicht nicht unbedingt sehen. Merksatz: LWL arbeitet mit bestimmten Lichtwellenlängen. Sicherheitsregel bei LWL Bei Glasfaser gilt eine sehr wichtige Sicherheitsregel: Niemals direkt in eine Glasfaser oder in einen optischen Port schauen. Grund: Es kann unsichtbares Laserlicht austreten. Auch wenn man kein Licht sieht, kann es gefährlich für die Augen sein. Merksatz: Niemals in Glasfaser oder optische Ports schauen. Begriff: SX, LX und ZX Bei Glasfaserverbindungen tauchen häufig Bezeichnungen wie SX, LX und ZX auf. Sie stehen vereinfacht für unterschiedliche optische Varianten beziehungsweise Reichweitenbereiche. Typische Zuordnung: Bezeichnung typischer Bezug SX eher kurze Strecken, häufig 850 nm LX längere Strecken, häufig um 1310 nm ZX sehr lange Strecken, häufig um 1550 nm Wichtig: Modul, Faserart und Gegenstelle müssen zusammenpassen. Merksatz: SX, LX und ZX beschreiben typische optische Varianten und Reichweitenbereiche. SFP-Module bei LWL Für Glasfaserverbindungen werden häufig SFP-Module verwendet. SFP steht für: Small Form-factor Pluggable Ein SFP-Modul ist ein steckbares Transceiver-Modul. Transceiver bedeutet: Sender und Empfänger in einem Modul Typische Varianten: - SFP für 1 Gbit/s - SFP+ für 10 Gbit/s - SFP28 für 25 Gbit/s - QSFP-Varianten für noch höhere Datenraten Wichtig: Das SFP-Modul muss zur Glasfaserstrecke passen. Merksatz: SFP = steckbares Modul für Netzwerkverbindungen. LWL-Steckertypen Bei Lichtwellenleitern gibt es verschiedene Steckertypen. Häufige Beispiele: - LC - SC - ST In modernen Netzwerken ist LC sehr häufig, besonders bei SFP-Modulen. Wichtig: Stecker und Modul müssen zusammenpassen. Verschmutzte Glasfaserstecker können starke Probleme verursachen. Merksatz: Glasfaserstecker müssen sauber und passend sein. Begriff: Duplex bei LWL Viele Glasfaserverbindungen verwenden zwei Fasern. Eine Faser sendet in eine Richtung. Die andere Faser sendet in die Gegenrichtung. Das nennt man häufig Duplex-Verbindung. Vereinfacht: Faser 1: Senden Faser 2: Empfangen Wichtig: TX und RX müssen richtig verbunden sein. TX bedeutet: Transmit Also: Senden RX bedeutet: Receive Also: Empfangen Merksatz: TX muss auf RX der Gegenstelle treffen. Simplex und Duplex Bei Glasfaser können die Begriffe Simplex und Duplex vorkommen. Begriff Bedeutung Simplex eine Faser oder eine Richtung Duplex zwei Richtungen beziehungsweise Senden und Empfangen In der Praxis meint Duplex bei Glasfaser häufig: zwei Fasern für eine Verbindung Merksatz: Duplex-LWL nutzt häufig zwei Fasern. Medienkonverter Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien. Typisches Beispiel: Kupfer Ethernet ↔ Glasfaser Einsatz: Wenn ein Gerät nur RJ45-Kupfer hat, die Strecke aber über LWL geführt werden soll. Wichtig: Der Medienkonverter ersetzt nicht IP, TCP oder Ethernet als Protokollstruktur. Er wandelt das Übertragungsmedium. Merksatz: Medienkonverter = Übergang zwischen Kupfer und Glasfaser. LWL im Vergleich zu Twisted Pair Merkmal Twisted Pair LWL Signalart elektrisch optisch Medium Kupfer Glasfaser typische LAN-Strecke häufig bis 100 m deutlich längere Strecken möglich Störempfindlichkeit anfällig für elektromagnetische Störungen sehr unempfindlich gegen elektromagnetische Störungen Stromübertragung PoE möglich keine Stromversorgung über die Faser Installation einfacher empfindlicher und aufwendiger Einsatz Arbeitsplatzverkabelung Backbone, Gebäudeverbindung, lange Strecken Merksatz: Kupfer ist einfach und praktisch. Glasfaser ist schnell, weitreichend und störungsarm. Wann nimmt man LWL statt Kupfer? LWL ist besonders sinnvoll, wenn: - die Strecke länger als typische Kupfergrenzen ist - hohe Datenraten benötigt werden - starke elektromagnetische Störungen auftreten können - Gebäude miteinander verbunden werden - ein Backbone aufgebaut wird - elektrische Trennung gewünscht ist - viele Daten über zentrale Strecken laufen Typische Beispiele: Serverraum ↔ Etagenverteiler Gebäude A ↔ Gebäude B Core-Switch ↔ Distribution-Switch Provider ↔ Kundenanschluss Rechenzentrum ↔ Rechenzentrum Merksatz: LWL wird oft für Backbone und längere Strecken eingesetzt. Begriff: Backbone Ein Backbone ist ein leistungsfähiger Hauptübertragungsweg in einem Netzwerk. Er verbindet wichtige Netzbereiche miteinander. Beispiele: - mehrere Etagenverteiler - mehrere Gebäude - zentrale Switches - Rechenzentrumsbereiche Backbone-Verbindungen müssen oft besonders leistungsfähig und zuverlässig sein. Merksatz: Backbone = leistungsfähiges Rückgrat des Netzwerks. Begriff: Biegeradius Der Biegeradius beschreibt, wie stark ein Kabel gebogen werden darf. Bei LWL ist das besonders wichtig. Wenn Glasfaser zu stark gebogen wird, kann das Licht schlechter geführt werden. Folgen: - höhere Dämpfung - instabile Verbindung - Signalverlust - beschädigte Faser Merksatz: Glasfaser nicht zu stark knicken oder biegen. Begriff: Spleiß Ein Spleiß ist eine dauerhafte Verbindung von zwei Glasfasern. Spleiße werden häufig mit speziellen Geräten hergestellt. Ziel: zwei Faserenden möglichst verlustarm verbinden Wichtig: Ein schlechter Spleiß kann zusätzliche Dämpfung verursachen. Merksatz: Spleiß = feste Verbindung zweier Glasfasern. Typische Fehler bei LWL-Verbindungen Mögliche Fehler: - falsches SFP-Modul - falscher Fasertyp - Multimode und Singlemode verwechselt - TX und RX vertauscht - verschmutzte Stecker - beschädigte Faser - zu enger Biegeradius - zu hohe Dämpfung - falsche Wellenlänge - Gegenstelle unterstützt Modul nicht Wichtig: Bei LWL-Problemen müssen Modul, Faser, Stecker, Dämpfung und Gegenstelle zusammen betrachtet werden. Merksatz: Bei Glasfaser muss die gesamte optische Strecke zusammenpassen. Fehlersuche bei LWL Bei Problemen mit LWL-Verbindungen prüft man zum Beispiel: - Ist das richtige Modul eingesetzt? - Passen Multimode oder Singlemode? - Passen Wellenlänge und Reichweite? - Sind TX und RX richtig gesteckt? - Sind die Stecker sauber? - Ist der Biegeradius eingehalten? - Ist die Strecke zu lang? - Wird am Switch ein Link angezeigt? - Unterstützt die Gegenstelle das Modul? Mögliche Werkzeuge: - optischer Leistungsmesser - LWL-Tester - Sichtprüfung der Patchung - Switch-Status - Dokumentation der Strecke Wichtig: Nicht mit dem Auge prüfen, ob Licht aus der Faser kommt. Merksatz: LWL prüfen ja, aber niemals in die Faser schauen. LWL und PoE Über Glasfaser wird kein Strom für Endgeräte übertragen. Das bedeutet: PoE funktioniert über LWL nicht direkt. PoE steht für: Power over Ethernet PoE ist typisch bei Twisted-Pair-Kupferverkabelung. Wenn ein Gerät über Glasfaser angebunden wird, braucht es eine eigene Stromversorgung oder zusätzliche Technik. Merksatz: Glasfaser überträgt Licht, aber keinen PoE-Strom. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet LWL? - Welche Signalart nutzt LWL? - Was ist der Unterschied zwischen Multimode und Singlemode? - Wann verwendet man Singlemode? - Wann verwendet man Multimode? - Warum ist LWL unempfindlich gegen elektromagnetische Störungen? - Was bedeutet Dämpfung? - Warum darf man nicht in eine Glasfaser schauen? - Was ist ein SFP-Modul? - Was macht ein Medienkonverter? - Warum ist LWL für lange Strecken geeignet? - Warum funktioniert PoE nicht direkt über Glasfaser? Typische Prüfungsfallen LWL überträgt optisch, nicht elektrisch. LWL ist Glasfaser, nicht Kupfer. Multimode und Singlemode sind nicht beliebig austauschbar. Multimode ist eher für kürzere Strecken. Singlemode ist eher für längere Strecken. SFP-Modul, Faserart und Gegenstelle müssen zusammenpassen. Über Glasfaser funktioniert PoE nicht direkt. Niemals direkt in Glasfaser oder optische Ports schauen. Ein Link-Problem bei LWL kann durch TX/RX-Vertauschung entstehen. Verschmutzte Stecker können starke Dämpfung verursachen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung LWL Lichtwellenleiter, optische Datenübertragung Glasfaser Übertragungsmedium aus lichtleitender Faser optisches Signal Signalübertragung mit Licht Multimode Glasfaser mit mehreren Lichtwegen, eher kürzere Strecken Singlemode Glasfaser mit einem Lichtweg, eher lange Strecken Monomode andere Bezeichnung für Singlemode Mode Lichtweg in einer Glasfaser Dämpfung Abschwächung eines Signals Wellenlänge Eigenschaft des verwendeten Lichts, z. B. 850 nm oder 1310 nm SFP steckbares Transceiver-Modul Transceiver Sender und Empfänger in einem Gerät oder Modul Medienkonverter verbindet unterschiedliche Übertragungsmedien TX Senden RX Empfangen Duplex Senden und Empfangen, bei LWL oft über zwei Fasern Backbone leistungsfähiger Hauptübertragungsweg im Netzwerk Biegeradius zulässige Biegung eines Kabels Spleiß feste Verbindung zweier Glasfasern IHK-sichere Kurzformulierung Lichtwellenleiter, kurz LWL, übertragen Daten optisch mit Licht. Sie werden besonders für hohe Datenraten, lange Strecken und störungsarme Verbindungen eingesetzt. Man unterscheidet vor allem Multimode- und Singlemode-Fasern. Multimode-Fasern werden eher für kürzere Strecken eingesetzt, Singlemode-Fasern eher für längere Strecken. LWL ist unempfindlich gegenüber elektromagnetischen Störungen, erfordert aber passende Module, passende Faserarten und saubere Steckverbindungen. Bei Glasfaser darf niemals direkt in die Faser oder in optische Ports geschaut werden. Merksätze LWL = Lichtwellenleiter. Glasfaser überträgt optisch. Kupfer überträgt elektrisch. WLAN überträgt per Funk. Multimode = mehrere Lichtwege. Singlemode = ein Lichtweg. Multimode = eher kürzere Strecken. Singlemode = eher lange Strecken. Monomode = andere Bezeichnung für Singlemode. Dämpfung = Signal wird schwächer. SFP = steckbares Transceiver-Modul. TX = Senden. RX = Empfangen. TX muss auf RX der Gegenstelle treffen. Medienkonverter = Übergang zwischen Kupfer und Glasfaser. LWL ist gut für Backbone und Gebäudeverbindungen. PoE funktioniert nicht direkt über Glasfaser. Niemals in Glasfaser oder optische Ports schauen. Bei LWL muss die gesamte optische Strecke zusammenpassen. 3.5 Dämpfung und Signalqualität Dämpfung beschreibt die Abschwächung eines Signals auf dem Übertragungsweg. Fachlich gesagt: Dämpfung bedeutet, dass die Signalstärke zwischen Sender und Empfänger abnimmt. Vereinfacht gesagt: Das Signal wird auf dem Weg schwächer. Dämpfung gibt es bei verschiedenen Übertragungsmedien: - Kupferkabel - Lichtwellenleiter - WLAN-Funkstrecken Besonders wichtig ist der Begriff bei Lichtwellenleitern, weil dort das Lichtsignal über die Strecke schwächer wird. Begriff: Dämpfung Dämpfung ist das Gegenteil von Verstärkung. Verstärkung bedeutet: Ein Signal wird stärker. Dämpfung bedeutet: Ein Signal wird schwächer. Je stärker die Dämpfung ist, desto schwächer kommt das Signal beim Empfänger an. Merksatz: Dämpfung = Signalverlust auf dem Übertragungsweg. Warum ist Dämpfung wichtig? Ein Empfänger kann ein Signal nur korrekt auswerten, wenn es stark genug und sauber genug ankommt. Wenn die Dämpfung zu hoch ist, kann es zu Problemen kommen. Typische Folgen: - keine Verbindung - instabile Verbindung - Paketverluste - Verbindungsabbrüche - niedriger Durchsatz - häufige Wiederholungen - Fehler bei der Datenübertragung Wichtig: Eine Verbindung kann physisch vorhanden sein, aber trotzdem schlecht funktionieren, wenn die Signalqualität nicht ausreicht. Merksatz: Link vorhanden bedeutet nicht automatisch gute Signalqualität. Signalqualität Signalqualität beschreibt, wie gut ein Signal beim Empfänger ankommt. Dabei geht es nicht nur darum, ob überhaupt ein Signal vorhanden ist. Wichtig sind auch: - Signalstärke - Störungen - Dämpfung - Rauschen - Reflexionen - saubere Steckverbindungen - passende Übertragungsstrecke Eine schlechte Signalqualität kann dazu führen, dass Daten erneut übertragen werden müssen oder Verbindungen abbrechen. Merksatz: Signalqualität = wie sauber und nutzbar ein Signal ankommt. Dämpfung bei Kupferkabeln Bei Kupferkabeln werden Daten elektrisch übertragen. Das elektrische Signal wird mit zunehmender Kabellänge schwächer. Typische Ursachen für Dämpfung oder schlechte Signalqualität bei Kupfer: - zu lange Kabelstrecke - schlechte Kabelqualität - falsche Kabelkategorie - beschädigte Adern - schlechte Steckverbindungen - schlechte Crimpung - elektromagnetische Störungen - zu enge Biegeradien - falsche oder beschädigte Netzwerkdosen Wichtig: Bei Twisted-Pair-Ethernet ist die typische maximale Streckenlänge häufig 100 m. Merksatz: Bei Kupfer wird das elektrische Signal über die Strecke schwächer. Dämpfung bei Lichtwellenleitern Bei Lichtwellenleitern werden Daten optisch übertragen. Das Lichtsignal wird auf dem Weg durch die Faser schwächer. Typische Ursachen für Dämpfung bei LWL: - Länge der Glasfaser - Steckverbindungen - Spleiße - verschmutzte Stecker - beschädigte Faser - zu enger Biegeradius - falsche Faserart - falsches SFP-Modul - falsche Wellenlänge Wichtig: Glasfaser ist sehr leistungsfähig, aber empfindlich gegenüber Verschmutzung, Knicken und falscher Komponentenwahl. Merksatz: Bei LWL wird das Lichtsignal über die Strecke schwächer. Dämpfung bei WLAN Bei WLAN werden Daten per Funk übertragen. Das Funksignal wird durch Entfernung, Hindernisse und Störungen schwächer. Typische Ursachen für schlechte WLAN-Signalqualität: - große Entfernung zum Access Point - Wände und Decken - Metallflächen - andere WLAN-Netze - Bluetooth-Geräte - Mikrowellen - ungünstige Antennenposition - zu viele Clients - falsche Kanalwahl Wichtig: WLAN ist flexibler als Kabel, aber stärker von der Umgebung abhängig. Merksatz: WLAN-Signalqualität hängt stark von Umgebung und Entfernung ab. Begriff: Störung Eine Störung ist eine unerwünschte Beeinflussung eines Signals. Störungen können dazu führen, dass Daten fehlerhaft oder unvollständig übertragen werden. Beispiele für Störquellen: - Stromleitungen - Motoren - Netzteile - Maschinen - Funkquellen - andere Netzwerkkabel - defekte Komponenten - schlechte Abschirmung Merksatz: Störungen verschlechtern die Signalqualität. Begriff: Rauschen Rauschen ist ein unerwünschtes Signal, das die eigentliche Datenübertragung überlagern kann. Vereinfacht gesagt: Das Nutzsignal wird durch unerwünschte Signale gestört. Je stärker das Rauschen im Verhältnis zum Nutzsignal ist, desto schwieriger ist die Auswertung. Merksatz: Rauschen macht das Nutzsignal schwerer erkennbar. Begriff: Reflexion Reflexion bedeutet, dass ein Teil des Signals zurückgeworfen wird. Reflexionen können bei elektrischen, optischen und Funk-Signalen auftreten. Mögliche Ursachen: - schlechte Steckverbindungen - beschädigte Kabel - falsche Abschlussbedingungen - Knicke oder Fehler in der Glasfaser - Hindernisse bei Funkverbindungen Reflexionen können die Signalqualität verschlechtern. Merksatz: Reflexion = Signalanteile werden zurückgeworfen. Begriff: Biegeradius Der Biegeradius beschreibt, wie stark ein Kabel gebogen werden darf. Besonders wichtig ist das bei Lichtwellenleitern. Wenn ein Kabel zu stark gebogen wird, kann das Signal schlechter übertragen werden. Folgen: - höhere Dämpfung - instabile Verbindung - Signalverlust - beschädigtes Kabel Merksatz: Kabel nicht zu stark knicken oder biegen. Begriff: Spleiß Ein Spleiß ist eine feste Verbindung zwischen zwei Glasfasern. Spleiße werden verwendet, um Glasfaserstrecken dauerhaft miteinander zu verbinden. Ein schlechter Spleiß kann zusätzliche Dämpfung verursachen. Merksatz: Spleiß = feste Verbindung zweier Glasfasern. Begriff: Steckverbindung Eine Steckverbindung verbindet zwei Netzwerkkomponenten oder Kabelabschnitte miteinander. Beispiele: - RJ45-Stecker - Netzwerkdose - Patchfeld - LC-Stecker - SC-Stecker - SFP-Modul Schlechte oder verschmutzte Steckverbindungen können die Signalqualität verschlechtern. Besonders bei LWL gilt: Glasfaserstecker müssen sauber sein. Merksatz: Schlechte Steckverbindungen verursachen oft Signalprobleme. Dämpfung und Dezibel Dämpfung wird häufig in Dezibel angegeben. Die Abkürzung lautet: dB Dezibel beschreibt ein Verhältnis. Im Netzwerkbereich wird dB zum Beispiel verwendet, um Signalverluste oder Signalverhältnisse zu beschreiben. Wichtig: Ein höherer Dämpfungswert bedeutet mehr Signalverlust. Merksatz: dB beschreibt ein Verhältnis, nicht einfach eine normale Längeneinheit. Dämpfung bei LWL und Wellenlänge Bei Lichtwellenleitern hängt die Dämpfung auch von der verwendeten Wellenlänge ab. Typische Wellenlängenbereiche in der Netzwerktechnik sind: 850 nm 1310 nm 1550 nm nm steht für: Nanometer Wichtig: Die passende Wellenlänge hängt von Modul, Faserart und Strecke ab. Merksatz: LWL-Komponenten müssen zur Wellenlänge und Faserart passen. Begriff: Dämpfungsbudget Das Dämpfungsbudget beschreibt, wie viel Signalverlust eine optische Verbindung insgesamt maximal verträgt. Dabei werden alle Verluste zusammengerechnet. Dazu gehören zum Beispiel: - Faserlänge - Steckverbindungen - Spleiße - Patchkabel - Verschmutzung - Sicherheitsreserve Wenn die tatsächliche Dämpfung größer ist als erlaubt, funktioniert die Verbindung nicht zuverlässig. Merksatz: Dämpfungsbudget = maximal zulässiger Signalverlust einer Strecke. Begriff: Signalstärke Signalstärke beschreibt, wie stark ein Signal beim Empfänger ankommt. Bei guter Signalstärke kann der Empfänger die Daten sauber erkennen. Bei zu geringer Signalstärke entstehen Fehler. Merksatz: Signalstärke = wie kräftig das Signal ankommt. Begriff: Signal-Rausch-Abstand Der Signal-Rausch-Abstand beschreibt das Verhältnis zwischen Nutzsignal und Störsignal. Fachlich wird häufig auch die Abkürzung verwendet: SNR SNR steht für: Signal-to-Noise Ratio Je größer der Abstand zwischen Nutzsignal und Rauschen ist, desto besser kann der Empfänger das Signal auswerten. Merksatz: Hoher Signal-Rausch-Abstand = bessere Signalqualität. Dämpfung und Datenrate Hohe Datenraten stellen höhere Anforderungen an die Übertragungsstrecke. Beispiel: 1 Gbit/s ist oft weniger anspruchsvoll als 10 Gbit/s. Je höher die Datenrate, desto wichtiger werden: - Kabelqualität - Kategorie - Schirmung - Länge - Steckverbindungen - saubere Installation Wichtig: Eine Strecke kann für 1 Gbit/s funktionieren, aber für 10 Gbit/s ungeeignet sein. Merksatz: Höhere Datenrate = höhere Anforderungen an die Strecke. Dämpfung und Kabellänge Je länger eine Übertragungsstrecke ist, desto stärker kann die Dämpfung werden. Das gilt für: - Kupferkabel - Glasfaser - Funkstrecken Beispiele: Bei Kupfer-Ethernet ist häufig 100 m eine wichtige Orientierung. Bei LWL hängt die Reichweite stark von Faserart und Modul ab. Bei WLAN nimmt die Signalqualität mit Entfernung und Hindernissen ab. Merksatz: Länge erhöht meist die Dämpfung. Dämpfung und Fehlersuche Dämpfungsprobleme erkennt man nicht immer sofort. Manchmal ist ein Link vorhanden, aber die Verbindung ist instabil. Typische Hinweise: - Verbindung bricht ab - Geschwindigkeit wird niedriger ausgehandelt - viele Fehler am Switch-Port - Paketverluste - hohe Latenz - schlechter Durchsatz - nur 100 Mbit/s statt 1 Gbit/s - kein Link bei LWL - Link nur auf einer Seite sichtbar Merksatz: Instabile Verbindung kann ein Hinweis auf schlechte Signalqualität sein. Fehlersuche bei Kupfer Bei Kupferverbindungen prüft man zum Beispiel: - Kabel richtig gesteckt? - Link-LED vorhanden? - richtige Geschwindigkeit ausgehandelt? - Kabel beschädigt? - richtige Kabelkategorie? - Kabellänge eingehalten? - Dose korrekt aufgelegt? - Patchfeld korrekt verbunden? - Switch-Port in Ordnung? - starke Störquellen in der Nähe? Mögliche Werkzeuge: - Kabeltester - Netzwerktester - Switch-Port-Statistik - Betriebssystemanzeige der Link-Geschwindigkeit Merksatz: Bei Kupfer zuerst Kabel, Dose, Patchfeld und Port prüfen. Fehlersuche bei LWL Bei Glasfaserverbindungen prüft man zum Beispiel: - richtiges SFP-Modul? - richtige Faserart? - Multimode oder Singlemode passend? - TX und RX richtig gesteckt? - Stecker sauber? - Biegeradius eingehalten? - Strecke zu lang? - Dämpfungsbudget eingehalten? - Gegenstelle kompatibel? - Link am Switch sichtbar? Wichtig: Niemals direkt in eine Glasfaser oder in einen optischen Port schauen. Merksatz: Bei LWL müssen Modul, Faser, Stecker und Strecke zusammenpassen. Fehlersuche bei WLAN Bei WLAN-Problemen prüft man zum Beispiel: - Signalstärke ausreichend? - Entfernung zum Access Point zu groß? - Hindernisse vorhanden? - richtiger WLAN-Standard? - richtiger Frequenzbereich? - Kanal überlastet? - zu viele Clients? - Störungen durch andere Geräte? - Access Point richtig positioniert? Mögliche Werkzeuge: - WLAN-Analyse-App - Controller-Ansicht - Access-Point-Statistik - Speedtest im lokalen Netzwerk - Ping und Paketverlustmessung Merksatz: WLAN-Probleme sind oft Umgebungsprobleme. Signalqualität und Fehlereingrenzung nach Schichten Dämpfung und Signalqualität betreffen vor allem die unteren Schichten. Problem typische Einordnung Kabel defekt Schicht 0 / 1 schlechte Steckverbindung Schicht 0 / 1 Glasfaser verschmutzt Schicht 0 / 1 WLAN-Signal zu schwach Schicht 1 / 2 Link vorhanden, aber viele Fehler Schicht 1 / 2 IP-Adresse falsch Schicht 3 Port blockiert Schicht 4 Anwendung antwortet nicht Schicht 7 Wichtig: Fehler auf den unteren Schichten können alle oberen Schichten beeinflussen. Merksatz: Bei Signalproblemen zuerst unten im Schichtenmodell suchen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Dämpfung? - Warum ist Dämpfung bei LWL wichtig? - Was bedeutet dB? - Welche Ursachen kann schlechte Signalqualität haben? - Warum darf eine Glasfaser nicht zu stark gebogen werden? - Was ist ein Dämpfungsbudget? - Warum können verschmutzte LWL-Stecker Probleme verursachen? - Warum ist WLAN stärker von der Umgebung abhängig? - Warum ist Bandbreite nicht dasselbe wie Durchsatz? - Wie kann man eine instabile Verbindung systematisch prüfen? Typische Prüfungsfallen Dämpfung bedeutet nicht Verstärkung, sondern Abschwächung. Ein vorhandener Link bedeutet nicht automatisch gute Signalqualität. Dämpfung gibt es nicht nur bei LWL, sondern auch bei Kupfer und Funk. Bei LWL können verschmutzte Stecker starke Probleme verursachen. Bei Glasfaser niemals direkt in die Faser oder in optische Ports schauen. Höhere Datenraten stellen höhere Anforderungen an die Strecke. Eine Verbindung kann für 1 Gbit/s funktionieren, aber für 10 Gbit/s ungeeignet sein. WLAN-Probleme liegen oft an Umgebung, Entfernung, Störungen oder Auslastung. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Dämpfung Abschwächung eines Signals Verstärkung Erhöhung der Signalstärke Signalqualität Güte eines empfangenen Signals Signalstärke Stärke des Signals beim Empfänger Störung unerwünschte Beeinflussung eines Signals Rauschen unerwünschtes Signal, das das Nutzsignal überlagert Reflexion Zurückwerfen von Signalanteilen dB Dezibel, Angabe eines Verhältnisses Wellenlänge Eigenschaft des verwendeten Lichts bei LWL Dämpfungsbudget maximal zulässiger Signalverlust einer Strecke Biegeradius zulässige Biegung eines Kabels Spleiß feste Verbindung zweier Glasfasern SNR Signal-Rausch-Abstand Link aktive physische Verbindung Durchsatz tatsächlich erreichte Datenrate IHK-sichere Kurzformulierung Dämpfung bezeichnet die Abschwächung eines Signals auf dem Übertragungsweg. Sie kann bei Kupferkabeln, Lichtwellenleitern und Funkverbindungen auftreten. Bei Lichtwellenleitern bedeutet Dämpfung, dass das Lichtsignal über die Strecke schwächer wird. Ursachen können zum Beispiel Leitungslänge, Steckverbindungen, Spleiße, Verschmutzung oder ein zu enger Biegeradius sein. Eine zu hohe Dämpfung oder schlechte Signalqualität kann zu Verbindungsabbrüchen, Paketverlusten oder geringem Durchsatz führen. Merksätze Dämpfung = Signal wird schwächer. Verstärkung = Signal wird stärker. Signalqualität = wie gut das Signal ankommt. Link vorhanden bedeutet nicht automatisch gute Signalqualität. Dämpfung gibt es bei Kupfer, Glasfaser und Funk. Bei LWL wird das Lichtsignal schwächer. Bei Kupfer wird das elektrische Signal schwächer. Bei WLAN wird das Funksignal schwächer. dB beschreibt ein Verhältnis. Dämpfungsbudget = maximal zulässiger Signalverlust. Schlechte Steckverbindungen verursachen oft Signalprobleme. Verschmutzte LWL-Stecker können starke Dämpfung verursachen. Glasfaser nicht knicken. Niemals in Glasfaser oder optische Ports schauen. Höhere Datenraten brauchen bessere Strecken. Bei Signalproblemen zuerst die unteren Schichten prüfen. 3.6 Strukturierte Verkabelung Strukturierte Verkabelung bezeichnet eine geplante, einheitliche und dauerhaft nutzbare Netzwerkverkabelung innerhalb eines Gebäudes oder Standorts. Ziel ist: Netzwerkanschlüsse übersichtlich, erweiterbar, wartbar und dokumentierbar aufzubauen. Eine strukturierte Verkabelung ist besonders wichtig in: - Bürogebäuden - Schulen - Rechenzentren - Werkstätten - Industrieumgebungen - größeren Heim- oder Homelab-Netzwerken Begriff: strukturierte Verkabelung Strukturierte Verkabelung bedeutet, dass Netzwerkleitungen nicht zufällig verlegt werden, sondern nach einem festen Konzept. Dabei werden Netzwerkdosen, Verlegekabel, Patchfelder und Switches systematisch miteinander verbunden. Vereinfacht gesagt: Jede Netzwerkdose im Raum führt über ein fest verlegtes Kabel zu einem Patchfeld im Netzwerkschrank. Von dort wird die Verbindung mit Patchkabeln zum Switch hergestellt. Merksatz: Strukturierte Verkabelung = geplante und übersichtliche Gebäudeverkabelung. Warum braucht man strukturierte Verkabelung? Ohne strukturierte Verkabelung entsteht schnell Chaos. Beispiele: - Kabel liegen ungeordnet herum. - Anschlüsse sind nicht dokumentiert. - Fehler sind schwer zu finden. - Erweiterungen werden unübersichtlich. - Räume können nicht flexibel genutzt werden. - Switch-Ports und Netzwerkdosen sind schwer zuzuordnen. Strukturierte Verkabelung sorgt dafür, dass Netzwerkanschlüsse sauber geplant und verwaltet werden können. Vorteile: - bessere Übersicht - einfachere Fehlersuche - saubere Dokumentation - leichtere Erweiterung - flexible Nutzung von Anschlüssen - bessere Wartbarkeit - klare Trennung von fester Verkabelung und flexibler Patchung Merksatz: Strukturierte Verkabelung macht Netzwerke planbar und wartbar. Grundaufbau Ein typischer Aufbau sieht vereinfacht so aus: Endgerät → Patchkabel → Netzwerkdose → Verlegekabel → Patchfeld → Patchkabel → Switch Beispiel: PC im Büro → Patchkabel → Netzwerkdose im Raum → festes Verlegekabel in der Wand → Patchfeld im Netzwerkschrank → Patchkabel zum Switch → Netzwerk Wichtig: Die feste Gebäudeverkabelung endet meistens am Patchfeld. Die flexible Zuordnung erfolgt mit Patchkabeln. Begriff: Netzwerkdose Eine Netzwerkdose ist der Anschluss im Raum, an den ein Endgerät angeschlossen wird. Typische Geräte an einer Netzwerkdose: - PC - Notebook-Dockingstation - Drucker - VoIP-Telefon - Access Point - IP-Kamera Die Netzwerkdose ist mit einem fest verlegten Kabel mit dem Patchfeld verbunden. Merksatz: Netzwerkdose = Netzwerkanschluss im Raum. Begriff: Verlegekabel Ein Verlegekabel ist ein fest installiertes Netzwerkkabel. Es liegt zum Beispiel: - in Wänden - in Decken - in Kabelkanälen - unter Doppelböden - zwischen Etagenverteiler und Netzwerkdose Verlegekabel sind nicht dafür gedacht, ständig bewegt oder umgesteckt zu werden. Sie verbinden meist: Netzwerkdose ↔ Patchfeld Merksatz: Verlegekabel = fest installierte Leitung in der Gebäudeverkabelung. Begriff: Patchfeld Ein Patchfeld ist ein Anschlussfeld im Netzwerkschrank. Dort enden die fest verlegten Netzwerkkabel. Auf der Vorderseite des Patchfelds befinden sich Anschlüsse, die mit Patchkabeln zum Switch verbunden werden können. Aufgabe des Patchfelds: - Abschluss der Verlegekabel - übersichtliche Zuordnung der Netzwerkdosen - flexible Verbindung zum Switch - einfache Wartung und Fehlersuche - saubere Dokumentation Merksatz: Patchfeld = Anschluss- und Verteilerfeld für fest verlegte Netzwerkkabel. Begriff: Patchkabel Ein Patchkabel ist ein flexibles Netzwerkkabel. Es wird verwendet für Verbindungen wie: PC → Netzwerkdose Patchfeld → Switch Server → Switch Access Point → Netzwerkdose Patchkabel sind für bewegliche und flexible Verbindungen gedacht. Merksatz: Patchkabel = flexibles Verbindungskabel. Patchkabel und Verlegekabel im Vergleich Kabelart Aufgabe Typischer Einsatz Patchkabel flexible Verbindung Gerät zu Dose, Patchfeld zu Switch Verlegekabel feste Installation Netzwerkdose zu Patchfeld Wichtig: Patchkabel und Verlegekabel erfüllen unterschiedliche Aufgaben. Ein Verlegekabel sollte nicht wie ein Patchkabel ständig bewegt werden. Ein Patchkabel ist dagegen für flexibles Stecken gedacht. Merksatz: Verlegekabel bleibt fest. Patchkabel wird flexibel gesteckt. Begriff: Netzwerkschrank Ein Netzwerkschrank ist ein Schrank zur Aufnahme von Netzwerkkomponenten. Typische Komponenten im Netzwerkschrank: - Patchfelder - Switches - Router - Firewalls - USV - Kabelmanagement - Glasfaserabschluss - Server oder NAS Der Netzwerkschrank sorgt für Ordnung, Schutz und zentrale Verwaltung der Netzwerkverkabelung. Merksatz: Netzwerkschrank = zentraler Ort für Netzwerkkomponenten und Verkabelung. Begriff: Rangieren Rangieren bedeutet, Verbindungen im Netzwerkschrank mit Patchkabeln herzustellen oder zu ändern. Beispiel: Eine Netzwerkdose soll mit einem bestimmten Switch-Port verbunden werden. Dann wird ein Patchkabel vom passenden Patchfeld-Port zum gewünschten Switch-Port gesteckt. Merksatz: Rangieren = flexible Verbindung im Netzwerkschrank herstellen. Begriff: Port Ein Port ist in diesem Zusammenhang ein physischer Anschluss. Beispiele: - Port am Switch - Port am Patchfeld - Port an der Netzwerkdose Wichtig: Hier ist mit Port der physische Anschluss gemeint. Nicht verwechseln mit: TCP- oder UDP-Port auf Schicht 4 Merksatz: Physischer Port = Anschluss am Gerät. TCP-/UDP-Port = Dienstadresse auf Schicht 4. Typischer Aufbau im Büro Ein Büroarbeitsplatz ist häufig so angebunden: PC → Patchkabel → Netzwerkdose → Verlegekabel → Patchfeld → Patchkabel → Switch → Router / Firewall / Server / Internet Dadurch kann der Arbeitsplatz flexibel genutzt werden. Wenn der Arbeitsplatz umzieht, muss nicht die Wandverkabelung geändert werden. Es reicht oft, im Netzwerkschrank anders zu patchen. Merksatz: Die feste Verkabelung bleibt. Die Zuordnung wird über Patchkabel geändert. Horizontale Verkabelung Horizontale Verkabelung bezeichnet die Verkabelung innerhalb einer Etage. Typischer Weg: Etagenverteiler → Verlegekabel → Netzwerkdose im Raum Beispiele: Netzwerkschrank auf der Etage zu den Netzwerkdosen in Büros oder Klassenräumen Merksatz: Horizontale Verkabelung = Verkabelung innerhalb einer Etage. Vertikale Verkabelung Vertikale Verkabelung bezeichnet die Verbindung zwischen Etagen oder Gebäudebereichen. Sie wird auch häufig als Steigbereich bezeichnet. Typischer Einsatz: Hauptverteiler → Etagenverteiler Oder: zentraler Serverraum → Netzwerkschrank auf anderer Etage Für vertikale Verkabelung wird häufig Lichtwellenleiter eingesetzt, besonders bei längeren Strecken oder höheren Datenraten. Merksatz: Vertikale Verkabelung = Verbindung zwischen Etagen oder Verteilern. Begriff: Hauptverteiler Der Hauptverteiler ist ein zentraler Verteilerpunkt im Netzwerk. Dort laufen wichtige Verbindungen zusammen. Typische Aufgaben: - Verbindung zu Etagenverteilern - Verbindung zu zentralen Netzwerkkomponenten - Verbindung zu Serverraum oder Core-Switch - eventuell Verbindung zum Provideranschluss Merksatz: Hauptverteiler = zentraler Verteilerpunkt des Netzwerks. Begriff: Etagenverteiler Ein Etagenverteiler ist ein Verteilerpunkt für eine Etage oder einen Gebäudebereich. Typischer Aufbau: Etagenverteiler → Patchfelder → Switches → Verbindungen zu Netzwerkdosen der Etage Der Etagenverteiler ist meist mit dem Hauptverteiler verbunden. Merksatz: Etagenverteiler = Verteilerpunkt für eine Etage. Kupfer oder Glasfaser in der strukturierten Verkabelung In der strukturierten Verkabelung werden häufig verschiedene Medien kombiniert. Typisch: Bereich häufiges Medium Arbeitsplatz bis Etagenverteiler Twisted-Pair-Kupfer Etagenverteiler bis Hauptverteiler oft Lichtwellenleiter Gebäudeverbindung häufig Lichtwellenleiter Server- und Backbone-Strecken häufig Lichtwellenleiter Warum? Kupfer ist praktisch für Arbeitsplätze. Glasfaser ist gut für längere Strecken und hohe Datenraten. Merksatz: Kupfer zum Arbeitsplatz, Glasfaser für längere und zentrale Strecken. Maximale Länge bei Twisted Pair Bei Twisted-Pair-Ethernet gilt häufig als Orientierung: maximal 100 m Diese Strecke umfasst die gesamte Verbindung. Beispiel: Patchkabel + Verlegekabel + Patchkabel = gesamte Übertragungsstrecke Wichtig: Die tatsächliche Eignung hängt von Kabelkategorie, Installation, Steckverbindungen und gewünschter Datenrate ab. Merksatz: Bei Kupfer-Ethernet sind 100 m eine wichtige Orientierung. Kabelmanagement Kabelmanagement bedeutet, Kabel geordnet zu führen und zu befestigen. Ziele: - bessere Übersicht - weniger Kabelsalat - bessere Luftzirkulation im Schrank - einfachere Fehlersuche - geringere Gefahr beschädigter Kabel - saubere Dokumentation Typische Hilfsmittel: - Rangierleisten - Klettbänder - Kabelführungen - Beschriftungen - Farbcodierung Merksatz: Gutes Kabelmanagement spart Zeit bei Wartung und Fehlersuche. Beschriftung und Dokumentation Eine strukturierte Verkabelung ist nur dann wirklich hilfreich, wenn sie dokumentiert ist. Wichtig sind zum Beispiel: - Nummer der Netzwerkdose - Raum - Patchfeld-Port - Switch-Port - VLAN - Nutzung - zuständige Abteilung - Datum der Änderung Beispiel: Raum Dose Patchfeld Switch-Port VLAN 101 D01 PF1-01 SW1-05 VLAN 10 101 D02 PF1-02 SW1-06 VLAN 20 205 D01 PF2-12 SW2-03 VLAN 10 Merksatz: Ohne Dokumentation wird auch strukturierte Verkabelung schnell unübersichtlich. VLAN-Bezug VLANs gehören fachlich zur Sicherungsschicht. VLAN steht für: Virtual Local Area Network Bei strukturierter Verkabelung ist wichtig: Die physische Dose entscheidet nicht allein, in welchem Netz ein Gerät ist. Das VLAN wird meist am Switch-Port konfiguriert. Beispiel: Dose 101-D01 → Patchfeld PF1-01 → Switch-Port SW1-05 → VLAN 10 Wenn anders gepatcht oder konfiguriert wird, kann derselbe physische Anschluss einem anderen logischen Netz zugeordnet werden. Merksatz: Verkabelung ist physisch. VLAN-Zuordnung ist logisch. PoE in der strukturierten Verkabelung PoE steht für: Power over Ethernet PoE bedeutet, dass über ein Twisted-Pair-Netzwerkkabel zusätzlich Strom übertragen wird. Typische PoE-Geräte: - Access Points - IP-Kameras - VoIP-Telefone - kleine Switches - Sensoren Wichtig: Der Switch oder PoE-Injektor muss PoE liefern können. Das Endgerät muss PoE unterstützen. Die verfügbare Leistung muss ausreichen. Merksatz: PoE = Stromversorgung über Netzwerkkabel. Typische Fehler in der strukturierten Verkabelung Mögliche Fehler: - falscher Patchfeld-Port - falscher Switch-Port - Kabel nicht gesteckt - defektes Patchkabel - defekte Netzwerkdose - falsch aufgelegtes Verlegekabel - beschädigtes Kabel - falsche Dokumentation - falsches VLAN am Switch-Port - PoE-Leistung reicht nicht aus - Verbindung länger als zulässig Wichtig: Viele Fehler wirken wie IP- oder Anwendungsprobleme, beginnen aber bei der Verkabelung. Merksatz: Erst Verkabelung prüfen, dann höhere Schichten untersuchen. Fehlersuche bei strukturierter Verkabelung Sinnvolle Prüfschritte: 1. Ist das Endgerät richtig angeschlossen? 2. Leuchtet die Link-LED? 3. Ist das richtige Patchkabel verwendet? 4. Ist die richtige Netzwerkdose dokumentiert? 5. Ist der passende Patchfeld-Port gepatcht? 6. Ist der richtige Switch-Port verbunden? 7. Ist der Switch-Port aktiv? 8. Ist das richtige VLAN konfiguriert? 9. Wird die erwartete Geschwindigkeit ausgehandelt? 10. Funktioniert PoE, falls benötigt? Mögliche Werkzeuge: - Kabeltester - Netzwerktester - Switch-Port-Status - Patchplan - Dokumentation - Beschriftung - Link-LED - Betriebssystemanzeige der Verbindung Merksatz: Bei Verkabelungsproblemen systematisch von Gerät zu Switch prüfen. Einordnung in das Schichtenmodell Strukturierte Verkabelung betrifft vor allem die physische Infrastruktur. Thema Einordnung Netzwerkdose Schicht 0 / Schicht 1 Verlegekabel Schicht 0 / Schicht 1 Patchfeld Schicht 0 / Schicht 1 Patchkabel Schicht 0 / Schicht 1 elektrische Signalübertragung OSI-Schicht 1 Switch-Weiterleitung anhand MAC OSI-Schicht 2 VLAN OSI-Schicht 2 IP-Adresse OSI-Schicht 3 Wichtig: Die Verkabelung stellt den physischen Weg bereit. Die logische Kommunikation erfolgt über höhere Schichten. Merksatz: Verkabelung = physisch. Switching, Routing und Dienste = höhere Schichten. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was versteht man unter strukturierter Verkabelung? - Welche Bestandteile gehören zu einer strukturierten Verkabelung? - Was ist ein Patchfeld? - Was ist der Unterschied zwischen Patchkabel und Verlegekabel? - Was ist eine Netzwerkdose? - Was ist ein Etagenverteiler? - Was ist ein Hauptverteiler? - Warum ist Dokumentation wichtig? - Welche Fehler können durch falsche Patchung entstehen? - Warum ist Glasfaser für Backbone-Strecken geeignet? - Wie geht man bei der Fehlersuche in der Verkabelung vor? Typische Prüfungsfallen Patchkabel und Verlegekabel sind nicht dasselbe. Ein Patchfeld ist kein Switch. Eine Netzwerkdose entscheidet nicht automatisch über das VLAN. VLANs werden logisch am Switch-Port konfiguriert. Ein Link bedeutet nicht automatisch, dass IP-Konfiguration und Dienste funktionieren. Ohne Dokumentation ist Fehlersuche deutlich schwieriger. Kupfer-Ethernet hat typische Längengrenzen. Glasfaser wird häufig für längere und zentrale Strecken eingesetzt. Ein physischer Port ist nicht dasselbe wie ein TCP- oder UDP-Port. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung strukturierte Verkabelung geplante und einheitliche Gebäudeverkabelung Netzwerkdose Anschluss im Raum für Endgeräte Verlegekabel fest installiertes Kabel zwischen Dose und Patchfeld Patchkabel flexibles Verbindungskabel Patchfeld Anschlussfeld für fest verlegte Netzwerkkabel Netzwerkschrank zentraler Ort für Netzwerkkomponenten Rangieren Herstellen oder Ändern von Verbindungen mit Patchkabeln physischer Port Anschluss an Gerät, Dose oder Patchfeld TCP-/UDP-Port Dienstadresse auf Schicht 4 Hauptverteiler zentraler Verteilerpunkt eines Netzwerks Etagenverteiler Verteilerpunkt für eine Etage horizontale Verkabelung Verkabelung innerhalb einer Etage vertikale Verkabelung Verbindung zwischen Etagen oder Verteilern Kabelmanagement geordnete Führung und Beschriftung von Kabeln VLAN logisches Teilnetz auf Schicht 2 PoE Stromversorgung über Netzwerkkabel IHK-sichere Kurzformulierung Strukturierte Verkabelung bezeichnet eine geplante und einheitliche Gebäudeverkabelung. Sie besteht typischerweise aus Netzwerkdosen, Verlegekabeln, Patchfeldern, Patchkabeln, Netzwerkschränken und Switches. Verlegekabel verbinden Netzwerkdosen dauerhaft mit Patchfeldern. Patchkabel stellen flexible Verbindungen zwischen Endgerät und Dose oder zwischen Patchfeld und Switch her. Eine strukturierte Verkabelung erleichtert Wartung, Erweiterung, Dokumentation und Fehlersuche im Netzwerk. Merksätze Strukturierte Verkabelung = geplante Gebäudeverkabelung. Netzwerkdose = Anschluss im Raum. Verlegekabel = fest installiert. Patchkabel = flexibel gesteckt. Patchfeld = Anschlussfeld für Verlegekabel. Patchfeld ist kein Switch. Netzwerkschrank = zentraler Ort für Netzwerkkomponenten. Rangieren = Patchkabel gezielt stecken. Kupfer häufig bis 100 m. Glasfaser häufig für Backbone und längere Strecken. Verkabelung ist physisch. VLAN ist logisch. Physischer Port ist nicht TCP-/UDP-Port. Gute Dokumentation erleichtert Fehlersuche. Ohne saubere Verkabelung funktionieren höhere Schichten nicht zuverlässig. 3.7 Bindeglied zwischen Kupfer und LWL In Netzwerken werden oft unterschiedliche Übertragungsmedien miteinander verbunden. Beispiele: Kupferkabel Lichtwellenleiter WLAN-Funkstrecken Besonders häufig ist die Verbindung zwischen: Twisted-Pair-Kupfer und Lichtwellenleiter Dafür benötigt man passende Komponenten. Typische Komponenten sind: - Medienkonverter - SFP-Module - Switches mit SFP-Ports - Glasfaser-Patchkabel - Kupfer-Patchkabel Warum braucht man ein Bindeglied? Kupfer und Glasfaser übertragen Daten auf unterschiedliche Weise. Medium Signalart Twisted-Pair-Kupfer elektrische Signale Lichtwellenleiter optische Signale Ein normales RJ45-Kupferkabel kann nicht direkt mit einer Glasfaserstrecke verbunden werden. Der Grund: Kupfer arbeitet elektrisch. Glasfaser arbeitet optisch. Deshalb braucht man eine Komponente, die zwischen elektrischer und optischer Übertragung vermittelt. Merksatz: Kupfer und LWL brauchen passende Übergangstechnik. Begriff: Medienkonverter Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien miteinander. Typisches Beispiel: Kupfer Ethernet ↔ Glasfaser Ethernet Ein Medienkonverter nimmt auf der einen Seite ein elektrisches Signal entgegen und gibt auf der anderen Seite ein optisches Signal aus. Oder umgekehrt: optisch → elektrisch Typischer Aufbau: Switch mit RJ45-Port → Kupfer-Patchkabel → Medienkonverter → Glasfaser → Medienkonverter → Kupfer-Patchkabel → Endgerät oder Switch Merksatz: Medienkonverter = Übergang zwischen Kupfer und Glasfaser. Was macht ein Medienkonverter genau? Ein Medienkonverter wandelt das Übertragungsmedium. Er verbindet zum Beispiel: RJ45-Kupferanschluss mit Glasfaseranschluss Wichtig: Ein Medienkonverter ist normalerweise kein Router. Ein Medienkonverter ist normalerweise kein Layer-3-Gerät. Ein Medienkonverter ändert nicht die IP-Adresse. Ein Medienkonverter ändert nicht den TCP-Port. Er sorgt nur dafür, dass die Daten über ein anderes physisches Medium weiter übertragen werden können. Merksatz: Medienkonverter wandeln das Medium, nicht die logische Netzwerkadresse. Einordnung in das Schichtenmodell Medienkonverter gehören hauptsächlich in den Bereich der physischen Übertragung. Thema Einordnung Kupferkabel Schicht 0 / Schicht 1 Lichtwellenleiter Schicht 0 / Schicht 1 elektrische Signalübertragung OSI-Schicht 1 optische Signalübertragung OSI-Schicht 1 Ethernet-Frame OSI-Schicht 2 IP-Adresse OSI-Schicht 3 TCP / UDP OSI-Schicht 4 Wichtig: Der Medienkonverter ermöglicht die Weiterleitung über ein anderes Medium. Die höheren Schichten bleiben dabei grundsätzlich unverändert. Merksatz: Medienkonverter arbeiten im Bereich der physischen Übertragung. Begriff: SFP SFP steht für: Small Form-factor Pluggable Ein SFP ist ein kleines steckbares Modul für Netzwerkgeräte. Es wird zum Beispiel eingesetzt in: - Switches - Routern - Firewalls - Medienkonvertern - Netzwerkkarten Ein SFP-Modul stellt die passende physische Schnittstelle bereit. Beispiele: - Glasfaser über Multimode - Glasfaser über Singlemode - Kupfer über RJ45 Merksatz: SFP = steckbares Netzwerkmodul für unterschiedliche Verbindungstypen. Begriff: Mini-GBIC Mini-GBIC ist eine ältere Bezeichnung für SFP. GBIC steht für: Gigabit Interface Converter Mini-GBIC meint in der Praxis meist ein SFP-Modul. Wichtig: SFP und Mini-GBIC werden oft im gleichen Zusammenhang verwendet. Merksatz: Mini-GBIC = ältere Bezeichnung für SFP. Begriff: Transceiver Ein Transceiver ist eine Kombination aus Sender und Empfänger. Das Wort setzt sich zusammen aus: Transmitter = Sender Receiver = Empfänger Ein SFP-Modul ist ein Transceiver-Modul. Es kann Daten senden und empfangen. Merksatz: Transceiver = Sender und Empfänger in einem Modul. SFP-Port Ein SFP-Port ist ein Steckplatz für ein SFP-Modul. Ohne SFP-Modul ist der Port noch keine vollständige Netzwerkverbindung. Beispiel: Switch besitzt SFP-Port → SFP-Modul wird eingesteckt → Glasfaser-Patchkabel wird angeschlossen Wichtig: Der SFP-Port allein reicht nicht. Das passende Modul wird benötigt. Merksatz: SFP-Port = Steckplatz. SFP-Modul = eigentliche Schnittstelle. SFP und SFP+ Es gibt verschiedene Modularten für unterschiedliche Datenraten. Modulart typische Datenrate SFP 1 Gbit/s SFP+ 10 Gbit/s SFP28 25 Gbit/s QSFP+ 40 Gbit/s QSFP28 100 Gbit/s Für viele IHK-Grundlagen ist vor allem wichtig: SFP = häufig 1 Gbit/s SFP+ = häufig 10 Gbit/s Merksatz: Das Plus bei SFP+ steht in der Praxis häufig für 10-Gigabit-Verbindungen. Glasfaser-SFP Ein Glasfaser-SFP stellt eine optische Verbindung bereit. Es sendet und empfängt Lichtsignale. Dabei muss das Modul zur Glasfaser passen. Wichtig sind: - Multimode oder Singlemode - Wellenlänge - Reichweite - Steckertyp - Datenrate - Kompatibilität zum Gerät Beispiele: SFP SX für Multimode SFP LX für Singlemode oder bestimmte längere Strecken SFP ZX für sehr lange Strecken Merksatz: Glasfaser-SFP muss zur Faser und Strecke passen. Kupfer-SFP Es gibt auch SFP-Module mit RJ45-Anschluss. Diese ermöglichen Kupfer-Ethernet über einen SFP-Port. Typisches Beispiel: Switch hat nur SFP-Port frei. Man steckt ein RJ45-SFP-Modul ein. Danach kann ein normales Twisted-Pair-Kabel angeschlossen werden. Wichtig: RJ45-SFP-Module können wärmer werden und sind nicht in jedem Gerät oder jeder Geschwindigkeit problemlos einsetzbar. Merksatz: Kupfer-SFP = RJ45-Anschluss über SFP-Steckplatz. SX, LX und ZX Bei Glasfaser-Modulen tauchen häufig Bezeichnungen wie SX, LX und ZX auf. Sie beschreiben vereinfacht unterschiedliche optische Varianten und Reichweitenbereiche. Bezeichnung typische Einordnung SX kurze Strecken, häufig Multimode LX längere Strecken, häufig Singlemode ZX sehr lange Strecken, häufig Singlemode Wichtig: Diese Begriffe müssen immer zusammen mit Modul, Faserart, Wellenlänge und Reichweite betrachtet werden. Merksatz: SX kurz, LX länger, ZX sehr lang. Multimode-SFP Ein Multimode-SFP ist für Multimode-Glasfaser vorgesehen. Typische Merkmale: - eher kürzere Strecken - häufig 850 nm - oft Bezeichnung SX - häufig in Gebäuden oder Rechenzentren Wichtig: Multimode-SFP und Multimode-Faser müssen zusammenpassen. Merksatz: Multimode-SFP = eher kurze Glasfaserstrecken. Singlemode-SFP Ein Singlemode-SFP ist für Singlemode-Glasfaser vorgesehen. Typische Merkmale: - längere Strecken - häufig 1310 nm oder 1550 nm - oft Bezeichnung LX, EX oder ZX - häufig bei Gebäudeverbindungen, WAN- oder Providerstrecken Wichtig: Singlemode-SFP und Singlemode-Faser müssen zusammenpassen. Merksatz: Singlemode-SFP = eher lange Glasfaserstrecken. LC-Stecker LC ist ein sehr häufiger Glasfaserstecker bei SFP-Modulen. Viele moderne SFP-Module verwenden LC-Duplex-Anschlüsse. Typischer Aufbau: zwei kleine LC-Stecker einer für Senden einer für Empfangen Wichtig: Der Steckertyp des Patchkabels muss zum Modul passen. Merksatz: LC ist ein häufiger Stecker bei SFP-Glasfaserverbindungen. TX und RX Bei Glasfaserverbindungen sind TX und RX wichtig. TX steht für: Transmit Das bedeutet: Senden RX steht für: Receive Das bedeutet: Empfangen Bei einer Verbindung muss gelten: TX der einen Seite → RX der anderen Seite RX der einen Seite ← TX der anderen Seite Wenn TX und RX vertauscht sind, kommt meistens kein Link zustande. Merksatz: TX muss auf RX der Gegenstelle treffen. Duplex-LWL Viele Glasfaserverbindungen nutzen zwei Fasern. Eine Faser ist für das Senden. Die andere Faser ist für das Empfangen. Vereinfacht: Faser 1: Gerät A sendet zu Gerät B Faser 2: Gerät B sendet zu Gerät A Das nennt man häufig Duplex-Verbindung. Merksatz: Duplex-LWL nutzt häufig zwei Fasern: eine zum Senden, eine zum Empfangen. BiDi-SFP BiDi steht für: Bidirectional Ein BiDi-SFP kann Senden und Empfangen über eine einzige Glasfaser ermöglichen. Dabei werden unterschiedliche Wellenlängen für Senden und Empfangen verwendet. Wichtig: BiDi-Module müssen als passendes Paar eingesetzt werden. Beispiel: Seite A sendet mit Wellenlänge 1310 nm und empfängt 1550 nm. Seite B sendet mit Wellenlänge 1550 nm und empfängt 1310 nm. Merksatz: BiDi = bidirektionale Übertragung über eine einzelne Faser. DAC-Kabel DAC steht für: Direct Attach Copper Ein DAC-Kabel ist ein direktes Kupferkabel mit fest verbundenen Steckmodulen. Es wird häufig für kurze Verbindungen im Serverschrank verwendet. Typische Einsatzbereiche: - Switch zu Switch - Server zu Switch - kurze 10G-Verbindungen - Rechenzentrum - Rack-interne Verbindungen Wichtig: DAC ist kein Glasfaser-Patchkabel, sondern eine Kupfer-Direktverbindung. Merksatz: DAC = kurze direkte Kupferverbindung zwischen SFP-/SFP+-Ports. AOC-Kabel AOC steht für: Active Optical Cable Ein AOC-Kabel ist ein aktives optisches Kabel mit fest verbundenen Transceiver-Enden. Es wird ähnlich wie DAC eingesetzt, aber optisch übertragen. Typische Einsatzbereiche: - kurze bis mittlere Verbindungen im Rechenzentrum - Switch zu Switch - Server zu Switch Merksatz: AOC = aktives optisches Kabel mit festen Modulen. Medienkonverter oder Switch mit SFP-Port? Es gibt zwei typische Möglichkeiten, Kupfer und Glasfaser zu verbinden. Variante 1: Medienkonverter verwenden Variante 2: Switch mit SFP-Port verwenden Vergleich: Lösung Vorteil Nachteil Medienkonverter einfach nachrüstbar zusätzliches Gerät und Netzteil Switch mit SFP-Port sauberer und zentraler Gerät muss passende Ports haben In professionellen Netzwerken ist ein Switch mit SFP- oder SFP+-Port oft die sauberere Lösung. Ein Medienkonverter ist praktisch, wenn vorhandene Geräte keine Glasfaseranschlüsse besitzen. Merksatz: Medienkonverter sind praktisch. SFP-Ports im Switch sind oft sauberer. Typischer Einsatz: Gebäudeverbindung Ein häufiger Einsatz für LWL-Übergangstechnik ist die Verbindung zwischen Gebäuden. Beispiel: Gebäude A: Switch mit SFP-Modul Glasfaserstrecke: Singlemode oder Multimode Gebäude B: Switch mit SFP-Modul Vorteile von Glasfaser zwischen Gebäuden: - größere Reichweite - hohe Datenrate - unempfindlich gegen elektromagnetische Störungen - elektrische Trennung zwischen Gebäuden Merksatz: Für Gebäudeverbindungen ist Glasfaser oft sinnvoller als Kupfer. Typischer Einsatz: Etagenverteiler Auch zwischen Hauptverteiler und Etagenverteiler wird häufig Glasfaser verwendet. Beispiel: Hauptverteiler → Glasfaser → Etagenverteiler Dort werden dann Endgeräte meist wieder über Kupfer angebunden. Typisch: Backbone über LWL Arbeitsplatz über Twisted Pair Merksatz: Glasfaser für zentrale Strecken, Kupfer für Arbeitsplätze. Kompatibilität Bei SFP- und LWL-Verbindungen müssen mehrere Dinge zusammenpassen. Wichtige Punkte: - Datenrate - SFP-Typ - Multimode oder Singlemode - Wellenlänge - Reichweite - Steckertyp - Gegenstelle - Herstellerkompatibilität - Switch-Unterstützung Wenn eine dieser Eigenschaften nicht passt, kommt eventuell kein Link zustande. Merksatz: Bei SFP-Verbindungen muss die gesamte Strecke zusammenpassen. Typische Fehler Häufige Fehler bei Kupfer-LWL-Übergängen: - falsches SFP-Modul - falsche Faserart - Multimode und Singlemode verwechselt - falsche Wellenlänge - TX und RX vertauscht - SFP vom Switch nicht unterstützt - Stecker verschmutzt - Glasfaser beschädigt - Medienkonverter ohne Strom - falsche Geschwindigkeit - falscher Port verwendet - DAC/AOC mit Gerät nicht kompatibel Merksatz: Kein Link bei LWL heißt oft: Modul, Faser, TX/RX und Kompatibilität prüfen. Fehlersuche Bei Problemen mit Medienkonvertern oder SFP-Verbindungen prüft man systematisch: 1. Ist das richtige Modul eingesetzt? 2. Passt die Datenrate? 3. Passt Multimode oder Singlemode? 4. Passt die Wellenlänge? 5. Passt der Steckertyp? 6. Sind TX und RX richtig gesteckt? 7. Sind die Stecker sauber? 8. Unterstützt der Switch das Modul? 9. Hat der Medienkonverter Strom? 10. Zeigt der Switch einen Link? 11. Wird die richtige Geschwindigkeit ausgehandelt? Wichtig: Niemals direkt in Glasfaser oder optische Ports schauen. Merksatz: Bei LWL-Fehlern immer zuerst Modul, Faser und Link prüfen. Einordnung: Medienkonverter, SFP und OSI Komponente typische Einordnung Begründung Medienkonverter Schicht 1 wandelt elektrische und optische Übertragung SFP-Modul Schicht 1 stellt physische Schnittstelle bereit Glasfaser-Patchkabel Schicht 0 / 1 physisches Medium Kupfer-Patchkabel Schicht 0 / 1 physisches Medium Switch mit SFP-Port Schicht 2 leitet Frames anhand von MAC-Adressen weiter Router mit SFP-Port Schicht 3 leitet Pakete anhand von IP-Adressen weiter Wichtig: Ein SFP-Port macht einen Switch nicht automatisch zum Router. Die Funktion des Gerätes entscheidet über die höhere Schicht. Merksatz: Modul = physische Schnittstelle. Gerät = bestimmt die logische Funktion. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht ein Medienkonverter? - Wofür wird ein SFP-Modul verwendet? - Was bedeutet SFP? - Was bedeutet Mini-GBIC? - Was ist ein Transceiver? - Warum braucht man bei Kupfer und LWL eine Übergangstechnik? - Was ist der Unterschied zwischen Multimode- und Singlemode-SFP? - Warum müssen TX und RX richtig verbunden sein? - Welche Ursachen kann ein fehlender LWL-Link haben? - Was ist der Unterschied zwischen Medienkonverter und Switch mit SFP-Port? - Warum eignet sich Glasfaser für Gebäudeverbindungen? Typische Prüfungsfallen Ein Medienkonverter ist normalerweise kein Router. Ein Medienkonverter ändert nicht die IP-Adresse. SFP-Port und SFP-Modul sind nicht dasselbe. Mini-GBIC ist eine ältere Bezeichnung für SFP. SFP-Module müssen zur Faserart passen. Multimode und Singlemode dürfen nicht beliebig gemischt werden. TX muss auf RX der Gegenstelle treffen. Glasfaser überträgt optisch, Kupfer überträgt elektrisch. RJ45-SFP ist Kupfer, nicht Glasfaser. DAC ist Kupfer, AOC ist optisch. Niemals direkt in Glasfaser oder optische Ports schauen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Medienkonverter verbindet unterschiedliche Übertragungsmedien, z. B. Kupfer und LWL SFP Small Form-factor Pluggable, steckbares Netzwerkmodul Mini-GBIC ältere Bezeichnung für SFP Transceiver Sender und Empfänger in einem Modul SFP-Port Steckplatz für ein SFP-Modul SFP+ SFP-Variante für häufig 10 Gbit/s Multimode-SFP Modul für Multimode-Glasfaser Singlemode-SFP Modul für Singlemode-Glasfaser LC-Stecker häufiger Glasfaserstecker bei SFP-Modulen TX Transmit, Senden RX Receive, Empfangen Duplex-LWL Glasfaserverbindung mit Senden und Empfangen BiDi bidirektionale Übertragung über eine einzelne Faser DAC Direct Attach Copper, direktes Kupferkabel für SFP-Ports AOC Active Optical Cable, aktives optisches Kabel SX kurze optische Strecke, häufig Multimode LX längere optische Strecke ZX sehr lange optische Strecke IHK-sichere Kurzformulierung Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien, zum Beispiel Twisted-Pair-Kupfer und Lichtwellenleiter. Dabei wird die elektrische Übertragung auf Kupfer in eine optische Übertragung über Glasfaser umgesetzt oder umgekehrt. SFP-Module sind steckbare Transceiver-Module, die in Switches, Routern, Firewalls, Netzwerkkarten oder Medienkonvertern eingesetzt werden. Sie müssen zur Datenrate, Faserart, Wellenlänge, Reichweite und Gegenstelle passen. Ein Medienkonverter arbeitet hauptsächlich im Bereich der physischen Übertragung und ändert normalerweise keine IP-Adressen oder Ports. Merksätze Kupfer überträgt elektrisch. Glasfaser überträgt optisch. Medienkonverter verbindet unterschiedliche Medien. Medienkonverter ist normalerweise kein Router. Medienkonverter ändert nicht die IP-Adresse. SFP = steckbares Netzwerkmodul. Mini-GBIC = ältere Bezeichnung für SFP. Transceiver = Sender und Empfänger. SFP-Port = Steckplatz. SFP-Modul = physische Schnittstelle. SFP häufig 1 Gbit/s. SFP+ häufig 10 Gbit/s. Multimode = eher kurze Strecken. Singlemode = eher lange Strecken. TX muss auf RX. LC ist ein häufiger Stecker bei SFP-Modulen. DAC = direkte Kupferverbindung. AOC = aktives optisches Kabel. Bei SFP-Verbindungen muss die gesamte Strecke zusammenpassen. Niemals in Glasfaser oder optische Ports schauen. 3.8 Einfache Regel für die Verkabelung Bei der Auswahl eines Übertragungsmediums ist die Entfernung ein sehr wichtiger Faktor. Für die Praxis kann man sich eine einfache Grundregel merken: kurze Strecken: Twisted-Pair-Kupfer mittlere Strecken: Multimode-LWL lange Strecken: Singlemode-LWL Diese Regel hilft bei der schnellen Einordnung, welches Medium für welche Strecke sinnvoll ist. Warum braucht man eine Verkabelungsregel? Nicht jedes Kabel ist für jede Entfernung geeignet. Die Wahl des Übertragungsmediums hängt unter anderem ab von: - Entfernung - gewünschter Datenrate - Störanfälligkeit der Umgebung - Kosten - vorhandener Infrastruktur - benötigter Stromversorgung - aktiver Netzwerktechnik - Zukunftssicherheit In der Prüfung geht es oft nicht darum, jedes Detail einer Norm auswendig zu kennen. Wichtig ist: Du sollst erkennen, welches Medium für welchen Einsatzzweck sinnvoll ist. Grundregel Als einfache Orientierung gilt: Entfernung / Einsatz sinnvolles Medium bis ca. 100 m Twisted-Pair-Kupfer mittlere Strecken Multimode-LWL lange Strecken Singlemode-LWL Vereinfacht gesagt: Kupfer für kurze LAN-Strecken. Multimode für kürzere bis mittlere Glasfaserstrecken. Singlemode für lange Glasfaserstrecken. Merksatz: kurz = Kupfer mittel = Multimode lang = Singlemode Twisted Pair bis ca. 100 m Twisted-Pair-Kabel sind typische Kupferkabel im LAN. Sie werden häufig für Arbeitsplatzverkabelung verwendet. Beispiele: PC → Netzwerkdose Netzwerkdose → Patchfeld Patchfeld → Switch Access Point → Netzwerkdose Drucker → Netzwerkdose Als wichtige Orientierung gilt: Twisted-Pair-Ethernet häufig bis 100 m Diese Strecke umfasst die gesamte Verbindung. Beispiel: Patchkabel + Verlegekabel + Patchkabel = gesamte Übertragungsstrecke Merksatz: Twisted Pair ist typisch für Arbeitsplatzverkabelung bis ca. 100 m. Warum ist Kupfer für kurze Strecken praktisch? Twisted-Pair-Kupfer hat mehrere Vorteile. Typische Vorteile: - günstig - weit verbreitet - einfach zu installieren - RJ45-Anschlüsse sind üblich - Endgeräte haben häufig Kupferanschlüsse - PoE ist möglich - ideal für Arbeitsplatzverkabelung PoE steht für: Power over Ethernet Das bedeutet: Stromversorgung über das Netzwerkkabel Typische PoE-Geräte: - Access Points - IP-Kameras - VoIP-Telefone Merksatz: Kupfer ist praktisch, günstig und PoE-fähig. Grenzen von Kupfer Kupferkabel haben auch Grenzen. Typische Einschränkungen: - begrenzte Reichweite - anfällig für elektromagnetische Störungen - höhere Datenraten stellen höhere Anforderungen an Kabel und Installation - Potentialunterschiede zwischen Gebäuden können problematisch sein - bei langen Strecken ungeeignet Wichtig: Kupfer ist nicht die beste Wahl für lange Gebäudeverbindungen. Merksatz: Kupfer ist gut für kurze Strecken, aber nicht ideal für lange Verbindungen. Multimode-LWL für mittlere Strecken Multimode-LWL ist eine Glasfaserart für eher kürzere bis mittlere Strecken. Multimode bedeutet: mehrere Lichtwege Fachlich werden diese Lichtwege auch Moden genannt. Typische Einsatzbereiche: - innerhalb eines Gebäudes - zwischen Etagenverteilern - im Serverraum - im Rechenzentrum - Campusverbindungen mit überschaubarer Entfernung Multimode wird häufig eingesetzt, wenn Kupfer nicht mehr ausreicht, aber Singlemode nicht zwingend erforderlich ist. Merksatz: Multimode = Glasfaser für kürzere bis mittlere Strecken. Warum Multimode? Multimode-LWL hat mehrere Vorteile. Typische Vorteile: - höhere Reichweite als Kupfer - hohe Datenraten möglich - unempfindlich gegen elektromagnetische Störungen - gut für Gebäudebereiche und Serverräume - aktive Technik kann günstiger sein als bei Singlemode Wichtig: Multimode ist nicht für beliebig lange Strecken gedacht. Die mögliche Entfernung hängt von Faserklasse, Datenrate und Modul ab. Merksatz: Multimode ist ein guter Mittelweg zwischen Kupfer und Singlemode. Singlemode-LWL für lange Strecken Singlemode-LWL ist eine Glasfaserart für lange Strecken. Singlemode bedeutet: ein Lichtweg Singlemode wird auch genannt: Monomode Typische Einsatzbereiche: - Gebäudeverbindungen - Providerstrecken - WAN-Verbindungen - Backbone-Strecken - lange Campusverbindungen - Verbindungen zwischen Rechenzentren Singlemode eignet sich besonders, wenn große Entfernungen oder hohe Anforderungen an Reichweite und Übertragungsqualität bestehen. Merksatz: Singlemode = Glasfaser für lange Strecken. Warum Singlemode für lange Strecken? Bei Singlemode gibt es im Wesentlichen nur einen hauptsächlichen Lichtweg. Dadurch entstehen weniger Laufzeitunterschiede zwischen verschiedenen Lichtwegen. Das Signal bleibt über längere Strecken besser nutzbar. Vereinfacht gesagt: Singlemode führt das Licht besonders präzise und ist deshalb für große Entfernungen geeignet. Merksatz: Weniger Lichtwege bedeuten bessere Eignung für lange Strecken. Vergleich der Medien Medium Signalart typischer Einsatz Merksatz Twisted Pair elektrisch Arbeitsplatz, kurze LAN-Strecken kurz und praktisch Multimode-LWL optisch mittlere Glasfaserstrecken mittlere Entfernung Singlemode-LWL optisch lange Strecken, Backbone, Provider große Entfernung Wichtig: Die tatsächliche Reichweite hängt immer von Standard, Datenrate, Kabelqualität, Modulen und Installation ab. Beispiel 1: Arbeitsplatz im Büro Ein PC steht in einem Büro und soll mit dem Netzwerk verbunden werden. Typischer Aufbau: PC → Patchkabel → Netzwerkdose → Verlegekabel → Patchfeld → Patchkabel → Switch Sinnvolles Medium: Twisted-Pair-Kupfer Warum? - kurze Strecke - RJ45 üblich - kostengünstig - einfach zu warten - PoE wäre bei passenden Geräten möglich Merksatz: Arbeitsplatzverkabelung meist über Twisted Pair. Beispiel 2: Etagenverteiler zum Hauptverteiler Ein Etagenverteiler soll mit dem Hauptverteiler verbunden werden. Typischer Aufbau: Etagenverteiler → Glasfaser → Hauptverteiler Sinnvolles Medium: häufig Lichtwellenleiter Je nach Strecke: Multimode bei kürzeren bis mittleren Strecken Singlemode bei längeren Strecken Warum? - höhere Reichweite - hohe Datenraten - störungsarm - gut für zentrale Verbindungen Merksatz: Verteilerverbindungen häufig über Glasfaser. Beispiel 3: Verbindung zwischen Gebäuden Zwei Gebäude sollen miteinander verbunden werden. Sinnvolles Medium: meist Singlemode-LWL Warum? - längere Entfernung - elektrische Trennung zwischen Gebäuden - hohe Datenraten - unempfindlich gegen elektromagnetische Störungen - gut für Backbone-Strecken Kupfer wäre hier oft ungünstig oder nicht zulässig beziehungsweise technisch problematisch. Merksatz: Gebäudeverbindungen besser mit Glasfaser, oft mit Singlemode. Begriff: elektrische Trennung Elektrische Trennung bedeutet, dass zwischen zwei Geräten keine leitende elektrische Verbindung besteht. Bei Glasfaser ist das der Fall, weil Licht statt Strom übertragen wird. Das ist besonders nützlich zwischen Gebäuden. Vorteile: - keine Ausgleichsströme über Netzwerkkabel - weniger Probleme durch Potentialunterschiede - keine direkte elektrische Verbindung - unempfindlich gegen viele elektromagnetische Einflüsse Merksatz: Glasfaser verbindet optisch, aber nicht elektrisch leitend. Begriff: Backbone Ein Backbone ist ein leistungsfähiger Hauptübertragungsweg in einem Netzwerk. Er verbindet wichtige Netzbereiche miteinander. Beispiele: - Hauptverteiler mit Etagenverteilern - zentrale Switches miteinander - Gebäude miteinander - Rechenzentrumsbereiche miteinander Für Backbone-Verbindungen wird häufig LWL eingesetzt. Merksatz: Backbone = Rückgrat des Netzwerks. Begriff: Campusverkabelung Campusverkabelung bezeichnet die Vernetzung mehrerer Gebäude oder Gebäudeteile an einem Standort. Beispiel: Gebäude A Gebäude B Werkstatt Verwaltung Schulungsgebäude Für solche Verbindungen wird häufig Glasfaser verwendet. Merksatz: Campusverkabelung verbindet mehrere Gebäudebereiche an einem Standort. Entscheidungskriterien Bei der Wahl des Mediums sollte man mehrere Kriterien betrachten. Kriterium Bedeutung Entfernung Wie weit ist die Strecke? Datenrate Welche Geschwindigkeit wird benötigt? Störungen Gibt es elektromagnetische Störquellen? Kosten Welche Lösung ist wirtschaftlich? PoE Muss Strom über das Kabel übertragen werden? Zukunftssicherheit Soll die Strecke später höhere Datenraten unterstützen? vorhandene Technik Welche Ports und Module sind vorhanden? Installationsumgebung Büro, Industrie, Rechenzentrum, Außenbereich Wichtig: Die beste Lösung ist nicht immer die technisch stärkste, sondern die passende Lösung für den Einsatzfall. Merksatz: Medium nach Strecke, Datenrate und Umgebung auswählen. Kupfer oder Glasfaser? Frage eher Kupfer eher Glasfaser kurze Arbeitsplatzstrecke? ja eher nicht nötig PoE benötigt? ja nein lange Strecke? eher nein ja starke elektromagnetische Störungen? eher nein ja Gebäudeverbindung? eher nein ja Backbone-Verbindung? selten häufig günstige Standardverkabelung im Büro? ja nicht immer nötig Merksatz: Kupfer für Endgeräte. Glasfaser für lange und zentrale Strecken. Multimode oder Singlemode? Frage eher Multimode eher Singlemode kürzere Glasfaserstrecke? ja möglich, aber nicht immer nötig lange Glasfaserstrecke? eher nein ja Provider- oder WAN-Strecke? eher nein ja Gebäudeverbindung mit großer Entfernung? möglich, aber abhängig oft sinnvoll Rechenzentrum / kurze Glasfaserstrecke? häufig auch möglich maximale Zukunftssicherheit bei Reichweite? begrenzt hoch Merksatz: Multimode für kürzer. Singlemode für länger. Wichtig: Standards und reale Reichweiten Die einfache Regel hilft beim Lernen, ersetzt aber keine technische Prüfung. Die echte Reichweite hängt ab von: - Ethernet-Standard - Datenrate - Kabeltyp - Faserart - SFP-Modul - Wellenlänge - Dämpfung - Steckverbindungen - Spleißen - Installationsqualität Beispiel: 1 Gbit/s, 10 Gbit/s, 25 Gbit/s oder 40 Gbit/s können unterschiedliche Anforderungen an Kabel und Strecke stellen. Merksatz: Die Faustregel hilft, aber die konkrete Technik muss passen. PoE als Entscheidungspunkt PoE steht für: Power over Ethernet PoE funktioniert über Twisted-Pair-Kupfer. Typische PoE-Geräte: - Access Points - IP-Kameras - VoIP-Telefone Über Glasfaser funktioniert PoE nicht direkt. Wenn ein entferntes Gerät über Glasfaser angebunden wird, braucht es: - eigene Stromversorgung - oder zusätzliche Technik am Zielort Merksatz: PoE spricht für Kupfer, lange Strecken sprechen für Glasfaser. Störungen als Entscheidungspunkt Kupferkabel übertragen elektrisch. Darum können elektromagnetische Störungen eine Rolle spielen. Glasfaser überträgt optisch. Darum ist Glasfaser unempfindlich gegenüber elektromagnetischen Störungen. Beispiele für störungsreiche Umgebungen: - Industriehallen - Maschinen - Motoren - starke Stromleitungen - Aufzüge - Produktionsanlagen Merksatz: Bei starken Störungen ist Glasfaser oft die bessere Wahl. Außenbereich und Gebäudeverbindung Zwischen Gebäuden ist Glasfaser häufig sinnvoll. Gründe: - längere Strecken möglich - elektrische Trennung - keine Ausgleichsströme über Kupfer - weniger Probleme durch Blitz- oder Potentialunterschiede - hohe Datenraten möglich Kupfer zwischen Gebäuden kann problematisch sein. Merksatz: Zwischen Gebäuden möglichst Glasfaser einplanen. Typische Fehlentscheidungen Fehlerhafte Planung kann später Probleme verursachen. Beispiele: - Kupferstrecke länger als sinnvoll - falsche Kabelkategorie - Multimode für zu lange Strecke gewählt - Singlemode-Modul mit Multimode-Faser kombiniert - PoE benötigt, aber Glasfaser ohne Stromversorgung geplant - SFP-Modul passt nicht zur Faser - Datenrate später höher als ursprünglich geplant - keine Reserven im Backbone Merksatz: Verkabelung immer mit Reserve und passend zum Einsatz planen. Fehlersuche bei falscher Medienwahl Typische Hinweise auf ungeeignete oder fehlerhafte Verkabelung: - kein Link - instabiler Link - niedrige ausgehandelte Geschwindigkeit - Paketverluste - hoher Fehlerzähler am Switch-Port - Verbindung funktioniert nur zeitweise - hohe Latenz - niedriger Durchsatz Mögliche Ursachen: - Strecke zu lang - falsches Medium - falsches Modul - zu hohe Dämpfung - schlechte Steckverbindung - Störungen - falsche Portgeschwindigkeit Merksatz: Schlechte Medienwahl zeigt sich oft als instabile Verbindung. Einordnung in das Schichtenmodell Die Auswahl des Übertragungsmediums betrifft vor allem die unteren Schichten. Thema Einordnung Kabelart Schicht 0 / Schicht 1 Glasfaserart Schicht 0 / Schicht 1 elektrische Signalübertragung Schicht 1 optische Signalübertragung Schicht 1 Funkübertragung Schicht 1 Ethernet-Frame Schicht 2 IP-Adresse Schicht 3 Wichtig: Das Medium entscheidet nicht über IP oder Port, sondern über den physischen Übertragungsweg. Merksatz: Medium = physischer Weg, IP und Ports = höhere Schichten. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welches Medium eignet sich für kurze LAN-Strecken? - Wann verwendet man Twisted-Pair-Kupfer? - Wann verwendet man Multimode-LWL? - Wann verwendet man Singlemode-LWL? - Warum ist Glasfaser für Gebäudeverbindungen geeignet? - Warum ist Kupfer für PoE wichtig? - Warum ist Glasfaser unempfindlich gegen elektromagnetische Störungen? - Welche Faktoren beeinflussen die Auswahl eines Übertragungsmediums? - Warum ist die Kabelkategorie allein nicht ausreichend? - Warum muss das SFP-Modul zur Faser passen? Typische Prüfungsfallen Kupfer ist nicht für beliebig lange Strecken geeignet. Die 100-m-Regel bei Twisted Pair bezieht sich auf die gesamte Verbindung. Glasfaser überträgt kein PoE. Multimode und Singlemode sind nicht beliebig austauschbar. Singlemode ist typischer für lange Strecken. Multimode ist typischer für kürzere Glasfaserstrecken. SFP-Modul, Faserart und Wellenlänge müssen zusammenpassen. Die einfache Regel ersetzt keine technische Detailprüfung. Höhere Datenraten stellen höhere Anforderungen an die Strecke. Medium und IP-Adresse sind unterschiedliche Ebenen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Übertragungsmedium physischer Weg der Datenübertragung Twisted Pair Kupferkabel mit verdrillten Adernpaaren Multimode-LWL Glasfaser mit mehreren Lichtwegen, eher kürzere Strecken Singlemode-LWL Glasfaser mit einem Lichtweg, eher lange Strecken Monomode andere Bezeichnung für Singlemode Backbone leistungsfähiger Hauptübertragungsweg im Netzwerk Campusverkabelung Vernetzung mehrerer Gebäude oder Gebäudeteile elektrische Trennung keine leitende elektrische Verbindung zwischen Geräten PoE Stromversorgung über Netzwerkkabel SFP steckbares Netzwerkmodul Dämpfung Abschwächung eines Signals Datenrate Geschwindigkeit der Datenübertragung Durchsatz tatsächlich erreichte Datenmenge pro Zeit Link aktive physische Verbindung IHK-sichere Kurzformulierung Für die Verkabelung gilt als einfache Orientierung: Twisted-Pair-Kupfer wird typischerweise für kurze LAN-Strecken bis etwa 100 m eingesetzt. Multimode-Lichtwellenleiter eignen sich eher für kürzere bis mittlere Glasfaserstrecken, zum Beispiel innerhalb von Gebäuden oder Rechenzentren. Singlemode-Lichtwellenleiter eignen sich eher für lange Strecken, Gebäudeverbindungen, Backbone- und Providerstrecken. Die konkrete Auswahl hängt von Entfernung, Datenrate, Störeinflüssen, Kosten, vorhandener Technik und benötigter Stromversorgung ab. Merksätze Kurz = Twisted-Pair-Kupfer. Mittel = Multimode-LWL. Lang = Singlemode-LWL. Kupfer überträgt elektrisch. Glasfaser überträgt optisch. Kupfer ist typisch für Arbeitsplatzverkabelung. Glasfaser ist typisch für Backbone und Gebäudeverbindungen. Multimode = eher kürzere Glasfaserstrecken. Singlemode = eher lange Glasfaserstrecken. PoE funktioniert über Kupfer, nicht direkt über Glasfaser. Glasfaser ist unempfindlich gegen elektromagnetische Störungen. Zwischen Gebäuden ist Glasfaser oft sinnvoller als Kupfer. Die gesamte Strecke muss zur gewünschten Datenrate passen. Die Faustregel hilft, aber Modul, Kabel, Standard und Strecke müssen technisch zusammenpassen. 3.9 WLAN als Übertragungsmedium WLAN ist ein drahtloses lokales Netzwerk. WLAN steht für: Wireless Local Area Network Auf Deutsch: drahtloses lokales Netzwerk Bei WLAN werden Daten nicht über ein Kabel übertragen, sondern per Funk. Damit gehört WLAN fachlich zur drahtlosen Datenübertragung und betrifft vor allem die unteren Netzwerkschichten. Wichtig: WLAN ersetzt auf der Zugangsstrecke das Netzwerkkabel, aber nicht IP, TCP, UDP oder Anwendungen. Begriff: WLAN WLAN bezeichnet ein lokales Netzwerk, bei dem Endgeräte drahtlos über Funk mit dem Netzwerk verbunden werden. Typische WLAN-Geräte: - Notebook - Smartphone - Tablet - Access Point - WLAN-Router - Drucker - Smart-TV - IoT-Gerät - IP-Kamera Merksatz: WLAN = lokales Netzwerk über Funk. Begriff: Wi-Fi Wi-Fi ist eine Vermarktungs- und Zertifizierungsbezeichnung für WLAN-Technik nach IEEE 802.11. Im Alltag werden WLAN und Wi-Fi oft gleich verwendet. Fachlich genauer: WLAN beschreibt das drahtlose lokale Netzwerk. Wi-Fi bezeichnet zertifizierte WLAN-Technik nach bestimmten Standards. Für die Prüfung reicht meist: WLAN / Wi-Fi = drahtlose Netzwerkverbindung im lokalen Netzwerk. Begriff: IEEE 802.11 IEEE 802.11 ist die Normfamilie für WLAN. IEEE steht für: Institute of Electrical and Electronics Engineers IEEE 802.11 beschreibt technische WLAN-Standards. Beispiele: IEEE 802.11n IEEE 802.11ac IEEE 802.11ax IEEE 802.11be Merksatz: IEEE 802.11 = technische Normfamilie für WLAN. WLAN als Funkübertragung WLAN überträgt Daten über elektromagnetische Wellen. Diese Funkübertragung ist abhängig von: - Entfernung - Hindernissen - Wänden - Decken - anderen WLAN-Netzen - Funkstörungen - Antennen - Sendeleistung - Frequenzband - Anzahl der Clients Wichtig: WLAN ist flexibler als Kabel, aber meist weniger stabil und planbarer als eine feste Kabelverbindung. Merksatz: WLAN ist praktisch, aber stärker von der Umgebung abhängig. Einordnung in das Schichtenmodell WLAN betrifft vor allem OSI-Schicht 1 und OSI-Schicht 2. Thema Einordnung Funkwellen OSI-Schicht 1 Frequenz, Kanal, Signalstärke OSI-Schicht 1 WLAN-Zugriff OSI-Schicht 2 MAC-Adresse OSI-Schicht 2 Verschlüsselung im WLAN-Zugang OSI-Schicht 2 / Sicherheitsbezug IP-Adresse OSI-Schicht 3 TCP / UDP OSI-Schicht 4 HTTP / DNS / DHCP OSI-Schicht 7 Wichtig: WLAN selbst ist nicht IP. IP läuft über WLAN. Merksatz: WLAN stellt den drahtlosen Zugang zum Netzwerk bereit. WLAN im Vergleich zu LAN-Kabel Merkmal WLAN LAN-Kabel Übertragungsmedium Funk Kupfer oder Glasfaser Beweglichkeit hoch gering Stabilität abhängig von Umgebung meist stabiler Störungen häufiger möglich weniger abhängig von Funkumgebung Bandbreite geteilt und schwankend meist planbarer Sicherheit Verschlüsselung besonders wichtig physischer Zugriff schwieriger Einsatz mobile Geräte feste Arbeitsplätze, Server, Drucker Merksatz: WLAN ist flexibel. Kabel ist meist stabiler. Frequenzbereiche WLAN nutzt verschiedene Frequenzbereiche. Typische Bereiche sind: 2,4 GHz 5 GHz 6 GHz GHz steht für: Gigahertz Ein Hertz beschreibt eine Schwingung pro Sekunde. Gigahertz bedeutet: Milliarden Schwingungen pro Sekunde Merksatz: WLAN funkt typischerweise im 2,4-GHz-, 5-GHz- und 6-GHz-Bereich. 2,4 GHz Das 2,4-GHz-Band hat eine größere Reichweite als höhere Frequenzbereiche. Typische Eigenschaften: - größere Reichweite - bessere Durchdringung von Wänden - geringere maximale Datenrate als moderne 5-GHz- oder 6-GHz-Verbindungen - stärker belegt - häufiger Störungen durch andere Geräte Typische Störquellen: - andere WLAN-Netze - Bluetooth - Mikrowellen - Funkgeräte - IoT-Geräte Merksatz: 2,4 GHz = größere Reichweite, aber oft stärker überlastet. 5 GHz Das 5-GHz-Band bietet meist höhere Datenraten und mehr nutzbare Kanäle als 2,4 GHz. Typische Eigenschaften: - höhere Datenraten möglich - mehr Kanäle - weniger überlaufen als 2,4 GHz - geringere Reichweite als 2,4 GHz - schlechtere Wanddurchdringung Merksatz: 5 GHz = schneller, aber geringere Reichweite als 2,4 GHz. 6 GHz Das 6-GHz-Band wird bei neueren WLAN-Standards genutzt. Typischer Bezug: Wi-Fi 6E Wi-Fi 7 Typische Eigenschaften: - zusätzliche Kanäle - hohe Datenraten möglich - weniger Altgeräte - geringere Reichweite als 2,4 GHz - hohe Anforderungen an Endgeräte und Access Points Merksatz: 6 GHz = moderne Erweiterung mit viel Kapazität, aber geringerer Reichweite. WLAN-Standards WLAN-Standards gehören zur IEEE-802.11-Familie. Wi-Fi-Bezeichnung technischer Standard typische Frequenzbereiche Wi-Fi 4 IEEE 802.11n 2,4 GHz und 5 GHz Wi-Fi 5 IEEE 802.11ac 5 GHz Wi-Fi 6 IEEE 802.11ax 2,4 GHz und 5 GHz Wi-Fi 6E IEEE 802.11ax 2,4 GHz, 5 GHz und 6 GHz Wi-Fi 7 IEEE 802.11be 2,4 GHz, 5 GHz und 6 GHz Wichtig: Die Wi-Fi-Bezeichnung ist einfacher zu merken. Die IEEE-Bezeichnung ist die technische Normbezeichnung. Merksatz: Wi-Fi 6 = IEEE 802.11ax. Wi-Fi 7 = IEEE 802.11be. Ältere WLAN-Standards Historisch sind auch ältere Standards wichtig. Standard typischer Frequenzbereich IEEE 802.11a 5 GHz IEEE 802.11b 2,4 GHz IEEE 802.11g 2,4 GHz IEEE 802.11n 2,4 GHz und 5 GHz IEEE 802.11ac 5 GHz IEEE 802.11ax 2,4 GHz, 5 GHz und bei Wi-Fi 6E zusätzlich 6 GHz IEEE 802.11be 2,4 GHz, 5 GHz und 6 GHz Prüfungshinweis: Alte Standards können in Vergleichsfragen auftauchen, moderne Praxis nutzt aber meist Wi-Fi 5, Wi-Fi 6, Wi-Fi 6E oder Wi-Fi 7. Begriff: Access Point Ein Access Point ist ein WLAN-Zugangspunkt. Er verbindet WLAN-Clients mit dem kabelgebundenen Netzwerk. Typischer Aufbau: WLAN-Client → Funkverbindung → Access Point → Switch → Router / Server / Internet Ein Access Point arbeitet vor allem im Bereich Schicht 1 und Schicht 2. Merksatz: Access Point = Zugangspunkt vom WLAN ins LAN. Begriff: WLAN-Router Ein WLAN-Router kombiniert mehrere Funktionen in einem Gerät. Typische Funktionen: - Router - Access Point - Switch - Firewall - DHCP-Server - NAT/PAT - Internetzugang Wichtig: Ein WLAN-Router ist nicht nur ein Access Point. Er vereint mehrere Netzwerkfunktionen. Merksatz: WLAN-Router = Kombigerät mit WLAN und Routing-Funktionen. Begriff: SSID SSID steht für: Service Set Identifier Die SSID ist der Name eines WLANs. Beispiel: Firma-Mitarbeiter Firma-Gast Schule-WLAN Heimnetz Wichtig: Die SSID ist nicht das Passwort. Die SSID ist der sichtbare oder konfigurierte Netzwerkname. Merksatz: SSID = WLAN-Name. Begriff: BSSID BSSID bezeichnet die MAC-Adresse eines Access Points für ein bestimmtes WLAN. In größeren WLAN-Umgebungen kann es mehrere Access Points mit gleicher SSID geben. Beispiel: SSID: Firma-WLAN Access Point 1: eigene BSSID Access Point 2: eigene BSSID Access Point 3: eigene BSSID Merksatz: SSID = WLAN-Name. BSSID = MAC-Adresse eines konkreten Access Points. Begriff: Kanal Ein WLAN-Kanal ist ein Teilbereich eines Frequenzbandes. Mehrere WLANs können sich gegenseitig stören, wenn sie gleiche oder überlappende Kanäle nutzen. Besonders im 2,4-GHz-Band ist das wichtig, weil dort nur wenige überlappungsfreie Kanäle zur Verfügung stehen. Merksatz: Kanal = genutzter Frequenzbereich innerhalb eines WLAN-Bandes. Kanalbreite Die Kanalbreite beschreibt, wie breit ein WLAN-Kanal genutzt wird. Typische Kanalbreiten: 20 MHz 40 MHz 80 MHz 160 MHz 320 MHz Größere Kanalbreite kann höhere Datenraten ermöglichen. Aber: Größere Kanalbreite benötigt mehr freien Frequenzbereich und kann eher zu Störungen mit anderen Netzen führen. Merksatz: Größere Kanalbreite kann schneller sein, braucht aber mehr sauberen Funkraum. Begriff: Roaming Roaming bedeutet, dass ein WLAN-Client zwischen Access Points wechselt. Beispiel: Ein Notebook bewegt sich durch ein Gebäude. Es wechselt vom Access Point im Raum 101 zum Access Point im Flur. Wichtig: Roaming funktioniert nur gut, wenn WLAN-Abdeckung, SSID, Sicherheitseinstellungen und Access-Point-Planung passen. Merksatz: Roaming = Wechsel zwischen Access Points. Begriff: Funkzelle Eine Funkzelle ist der Bereich, den ein Access Point mit WLAN-Signal versorgt. Die Größe der Funkzelle hängt ab von: - Sendeleistung - Antennen - Frequenzband - Wänden - Decken - Störungen - Umgebung Merksatz: Funkzelle = Abdeckungsbereich eines Access Points. Begriff: Reichweite Reichweite beschreibt, wie weit ein WLAN-Signal nutzbar ist. Die Reichweite hängt ab von: - Frequenzband - Sendeleistung - Antennen - Hindernissen - Störungen - Endgerät - Access Point Wichtig: Eine hohe Signalreichweite bedeutet nicht automatisch hohe Datenrate. Merksatz: WLAN-Reichweite und WLAN-Geschwindigkeit sind nicht dasselbe. Signalstärke und Datenrate Je schlechter das WLAN-Signal ist, desto niedriger kann die nutzbare Datenrate werden. Gründe: - niedrigere Modulationsverfahren - Wiederholungen - Paketverluste - Störungen - größere Entfernung - Hindernisse Wichtig: WLAN passt die Verbindung häufig dynamisch an die Funkqualität an. Merksatz: Schlechteres Signal bedeutet oft weniger Durchsatz. Bandbreite und Durchsatz bei WLAN Die beworbene WLAN-Geschwindigkeit ist meist eine theoretische Bruttodatenrate. Der tatsächliche Durchsatz ist oft geringer. Gründe: - Protokoll-Overhead - geteiltes Medium - Funkstörungen - Entfernung - andere Clients - Wanddurchdringung - Kanalbelegung - Gerätefähigkeiten Merksatz: WLAN-Bruttodatenrate ist nicht gleich tatsächlicher Durchsatz. WLAN als geteiltes Medium WLAN ist ein geteiltes Übertragungsmedium. Das bedeutet: Mehrere Clients teilen sich den verfügbaren Funkbereich. Wenn viele Clients gleichzeitig aktiv sind, kann die Leistung pro Client sinken. Beispiel: 30 Clients an einem Access Point teilen sich die verfügbare Funkkapazität. Merksatz: WLAN-Kapazität wird zwischen Clients geteilt. Halbduplex bei WLAN WLAN arbeitet grundsätzlich nicht wie eine voll-duplexfähige Kabelverbindung. WLAN ist typischerweise halbduplexartig. Das bedeutet vereinfacht: Ein Gerät sendet, während andere warten müssen. Der Zugriff auf das Funkmedium muss koordiniert werden. Merksatz: WLAN ist ein geteiltes Funkmedium und nicht wie ein Vollduplex-Kabel. CSMA/CA CSMA/CA steht für: Carrier Sense Multiple Access / Collision Avoidance Auf Deutsch sinngemäß: Mehrfachzugriff mit Trägerprüfung und Kollisionsvermeidung WLAN nutzt Kollisionsvermeidung, weil Kollisionen im Funk möglichst vermieden werden sollen. Merksatz: CSMA/CA = Kollisionsvermeidung bei WLAN. CSMA/CD im Vergleich CSMA/CD steht für: Carrier Sense Multiple Access / Collision Detection Das bedeutet: Kollisionserkennung CSMA/CD ist historisch mit klassischen Ethernet-Umgebungen verbunden. Wichtig für den Vergleich: Verfahren Bedeutung typischer Bezug CSMA/CD Kollisionserkennung ältere drahtgebundene Ethernet-Umgebungen CSMA/CA Kollisionsvermeidung WLAN Merksatz: CD = Collision Detection CA = Collision Avoidance WLAN-Sicherheit kurz eingeordnet Da WLAN per Funk übertragen wird, kann das Signal grundsätzlich auch außerhalb eines Raumes oder Gebäudes empfangbar sein. Deshalb ist Verschlüsselung besonders wichtig. Typische Sicherheitsstandards: - WPA2 - WPA3 Nicht mehr zeitgemäß: - WEP Wichtig: WLAN sollte mindestens mit WPA2, besser mit WPA3 abgesichert werden. Merksatz: WLAN braucht starke Verschlüsselung, weil Funk nicht an der Wand endet. Gast-WLAN Ein Gast-WLAN ist ein eigenes WLAN für Besucher oder private Geräte. Ziel: Gäste sollen Internetzugang erhalten, aber keinen direkten Zugriff auf interne Systeme bekommen. Typische Trennung: Mitarbeiter-WLAN Gäste-WLAN IoT-WLAN Technisch kann die Trennung zum Beispiel über VLANs und Firewall-Regeln erfolgen. Merksatz: Gäste-WLAN vom internen Netzwerk trennen. WLAN und VLAN Ein Access Point kann mehrere SSIDs bereitstellen. Jede SSID kann einem anderen VLAN zugeordnet werden. Beispiel: SSID VLAN Zweck Firma-Mitarbeiter VLAN 10 internes Netzwerk Firma-Gast VLAN 20 Gastzugang Firma-IoT VLAN 30 Geräte-Netz Wichtig: SSID ist der WLAN-Name. VLAN ist die logische Netztrennung. Merksatz: SSID sichtbar für Nutzer, VLAN logisch für Netztrennung. Typische WLAN-Probleme Mögliche Ursachen für WLAN-Probleme: - zu große Entfernung - schwaches Signal - falsche Access-Point-Position - zu viele Clients - Kanalüberlappung - Störungen durch andere Funkquellen - veralteter WLAN-Standard - falsches Passwort - falsche Verschlüsselung - DHCP-Probleme - DNS-Probleme - Roaming-Probleme - falsches VLAN Wichtig: Nicht jedes WLAN-Problem ist ein Funkproblem. Es kann auch an IP, DHCP, DNS oder Firewall-Regeln liegen. Fehlersuche bei WLAN Sinnvolle Prüfschritte: 1. Ist WLAN am Client aktiviert? 2. Ist die richtige SSID ausgewählt? 3. Stimmt das Passwort? 4. Ist die Signalstärke ausreichend? 5. Hat der Client eine IP-Adresse erhalten? 6. Stimmt das Standard-Gateway? 7. Funktioniert DNS? 8. Ist das Ziel per IP erreichbar? 9. Funktioniert der gewünschte Dienst? 10. Gibt es VLAN- oder Firewall-Regeln? Merksatz: Bei WLAN zuerst Funkverbindung prüfen, danach IP, DNS und Dienste. Einordnung häufiger WLAN-Fehler nach Schichten Fehlerbild mögliche Schicht kein WLAN-Signal Schicht 1 schwaches Signal Schicht 1 falsches Passwort / Authentifizierung Schicht 2 / Sicherheit falsches VLAN Schicht 2 keine IP-Adresse Schicht 3 / DHCP-Bezug falsches Gateway Schicht 3 DNS funktioniert nicht Schicht 7 mit Schicht-3-Bezug Webseite lädt nicht Schicht 4 bis 7 möglich Merksatz: WLAN-Probleme können Funk, Sicherheit, IP-Konfiguration oder Anwendungen betreffen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet WLAN? - Was bedeutet IEEE 802.11? - Welche Frequenzbereiche werden bei WLAN genutzt? - Was ist der Unterschied zwischen 2,4 GHz und 5 GHz? - Was ist eine SSID? - Was ist ein Access Point? - Warum ist WLAN-Sicherheit besonders wichtig? - Warum ist WLAN ein geteiltes Medium? - Was bedeutet CSMA/CA? - Warum ist der tatsächliche WLAN-Durchsatz geringer als die Bruttodatenrate? - Warum kann ein Gast-WLAN sinnvoll sein? - Wie kann man WLAN logisch vom internen Netz trennen? Typische Prüfungsfallen WLAN ist nicht dasselbe wie Internet. WLAN ist der drahtlose Zugang zum lokalen Netzwerk. Wi-Fi ist die Vermarktungs- bzw. Zertifizierungsbezeichnung. SSID ist der WLAN-Name, nicht das Passwort. WLAN nutzt Funk und ist deshalb störanfällig. 2,4 GHz hat meist mehr Reichweite, aber oft mehr Störungen. 5 GHz ermöglicht meist höhere Datenraten, hat aber geringere Reichweite. 6 GHz bietet zusätzliche Kapazität, aber benötigt passende Geräte. WLAN-Bruttodatenrate ist nicht gleich tatsächlicher Durchsatz. WLAN ist ein geteiltes Medium. WLAN sollte mindestens mit WPA2, besser mit WPA3 abgesichert werden. Ein Access Point ist nicht automatisch ein Router. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung WLAN Wireless Local Area Network, drahtloses lokales Netzwerk Wi-Fi Zertifizierungs- und Vermarktungsbezeichnung für WLAN-Technik IEEE 802.11 Normfamilie für WLAN Access Point WLAN-Zugangspunkt zum lokalen Netzwerk WLAN-Router Kombigerät mit Router- und WLAN-Funktionen SSID Name eines WLANs BSSID MAC-Adresse eines konkreten Access Points Kanal Frequenzbereich innerhalb eines WLAN-Bandes Kanalbreite Breite des genutzten Funkkanals Roaming Wechsel eines Clients zwischen Access Points Funkzelle Versorgungsbereich eines Access Points Signalstärke Stärke des empfangenen WLAN-Signals Durchsatz tatsächlich erreichte Datenrate CSMA/CA Zugriffsverfahren mit Kollisionsvermeidung WPA2 moderner WLAN-Sicherheitsstandard WPA3 neuerer WLAN-Sicherheitsstandard Gast-WLAN separates WLAN für Gäste VLAN logisches Netz zur Trennung von Datenverkehr IHK-sichere Kurzformulierung WLAN steht für Wireless Local Area Network und bezeichnet ein drahtloses lokales Netzwerk. Die Datenübertragung erfolgt per Funk nach Standards der IEEE-802.11-Familie. WLAN nutzt typischerweise Frequenzbereiche wie 2,4 GHz, 5 GHz und 6 GHz. Ein Access Point stellt den drahtlosen Zugang zum lokalen Netzwerk bereit. Da WLAN ein geteiltes und störanfälliges Funkmedium ist, hängen Reichweite und Durchsatz stark von Umgebung, Kanalwahl, Frequenzband, Anzahl der Clients und Signalqualität ab. WLAN sollte mindestens mit WPA2, besser mit WPA3 abgesichert werden. Merksätze WLAN = drahtloses lokales Netzwerk. Wi-Fi = Zertifizierungs- und Vermarktungsbezeichnung. IEEE 802.11 = WLAN-Normfamilie. Access Point = WLAN-Zugangspunkt. SSID = WLAN-Name. WLAN ist nicht dasselbe wie Internet. WLAN ersetzt das Kabel auf der Zugangsstrecke. WLAN nutzt Funk. 2,4 GHz = größere Reichweite, aber oft mehr Störungen. 5 GHz = höhere Datenraten, aber geringere Reichweite. 6 GHz = moderne zusätzliche Kapazität. WLAN ist ein geteiltes Medium. WLAN-Bruttodatenrate ist nicht echter Durchsatz. CSMA/CA = Kollisionsvermeidung bei WLAN. WLAN braucht Verschlüsselung. WPA2 ist Mindeststandard, WPA3 ist besser. Gast-WLAN vom internen Netzwerk trennen. SSID ist sichtbar, VLAN trennt logisch. 3.10 MIMO und MU-MIMO MIMO und MU-MIMO sind Verfahren in modernen WLAN-Systemen. Sie sollen die Datenübertragung über Funk leistungsfähiger machen. Die Grundidee ist: Mehrere Antennen können mehrere Datenströme übertragen. Dadurch kann WLAN schneller und effizienter arbeiten. Wichtig: MIMO und MU-MIMO betreffen vor allem WLAN-Funktechnik und damit die unteren Schichten des Netzwerks. Begriff: MIMO MIMO steht für: Multiple Input Multiple Output Auf Deutsch sinngemäß: mehrere Eingänge und mehrere Ausgänge Gemeint ist: Ein Gerät verwendet mehrere Antennen, um mehrere Funkdatenströme zu senden oder zu empfangen. Vereinfacht gesagt: Statt nur über eine Antenne zu senden, werden mehrere Antennen genutzt. Merksatz: MIMO = mehrere Antennen für mehrere Datenströme. Warum gibt es MIMO? WLAN ist ein Funkmedium. Funk ist abhängig von: - Entfernung - Hindernissen - Reflexionen - Störungen - Signalqualität - Anzahl der Clients - genutztem Frequenzband MIMO nutzt mehrere Antennen, um die Funkübertragung zu verbessern. Ziele von MIMO: - höhere Datenrate - bessere Funkabdeckung - stabilere Verbindung - bessere Nutzung von Reflexionen - effizientere Übertragung Merksatz: MIMO verbessert die Funkübertragung durch mehrere Antennen. Begriff: Antenne Eine Antenne sendet oder empfängt elektromagnetische Wellen. Bei WLAN bedeutet das: Die Antenne überträgt oder empfängt Funksignale. Ein Access Point kann mehrere Antennen besitzen. Auch viele Notebooks, Smartphones oder Tablets besitzen mehrere interne Antennen. Merksatz: Antenne = Bauteil zum Senden und Empfangen von Funkwellen. Begriff: Datenstrom Ein Datenstrom ist ein Strom von Daten, der übertragen wird. Bei MIMO spricht man häufig von räumlichen Datenströmen. Fachlich wird auch der Begriff verwendet: Spatial Stream Ein Spatial Stream ist ein räumlich getrennter Datenstrom über Funk. Merksatz: Spatial Stream = räumlicher Datenstrom bei MIMO. Einfaches Beispiel für MIMO Ein Access Point hat 4 Antennen. Ein Notebook hat 2 Antennen. Dann kann das Notebook maximal so viele Datenströme nutzen, wie beide Seiten gemeinsam unterstützen. Vereinfacht: Access Point: 4 Antennen Notebook: 2 Antennen Dann kann die Verbindung zum Notebook zum Beispiel mit 2 Datenströmen arbeiten. Wichtig: Nicht nur der Access Point ist entscheidend. Auch der Client muss MIMO unterstützen. Merksatz: Die schwächere Seite begrenzt die Verbindung. MIMO als Alltagsvergleich Man kann MIMO vereinfacht mit mehreren Fahrspuren vergleichen. Eine Fahrspur: Weniger gleichzeitiger Verkehr möglich. Mehrere Fahrspuren: Mehr Verkehr kann parallel fließen. Übertragen auf WLAN: Eine Antenne / ein Datenstrom = weniger parallele Übertragung. Mehrere Antennen / Datenströme = mehr parallele Übertragung möglich. Wichtig: Der Vergleich ist vereinfacht. Funktechnik ist technisch komplexer. Merksatz: MIMO nutzt mehrere „Funkwege“ gleichzeitig. MIMO und Reflexionen In Innenräumen werden Funksignale oft reflektiert. Reflexionen entstehen zum Beispiel an: - Wänden - Decken - Möbeln - Metallflächen - Türen - Menschen Früher waren Reflexionen vor allem ein Problem. MIMO kann Reflexionen teilweise nutzen, um mehrere räumliche Signalwege zu verwenden. Vereinfacht: Funkwellen kommen über mehrere Wege beim Empfänger an. MIMO kann daraus zusätzliche Übertragungsmöglichkeiten gewinnen. Merksatz: MIMO kann mehrere Funkwege besser ausnutzen. Begriff: SU-MIMO SU-MIMO steht für: Single User MIMO Das bedeutet: MIMO für einen einzelnen Client zur gleichen Zeit. Bei SU-MIMO kann ein Access Point mehrere Antennen für die Verbindung zu einem Client verwenden. Wenn mehrere Clients vorhanden sind, bedient der Access Point sie nacheinander. Merksatz: SU-MIMO = mehrere Antennen für einen Client zur gleichen Zeit. Begriff: MU-MIMO MU-MIMO steht für: Multi User MIMO Das bedeutet: MIMO für mehrere Clients. Bei MU-MIMO kann ein Access Point mehrere Clients gleichzeitig mit getrennten Datenströmen bedienen. Vereinfacht gesagt: Der Access Point kann seine Antennen besser auf mehrere Geräte aufteilen. Merksatz: MU-MIMO = mehrere Clients gleichzeitig über mehrere Datenströme. MIMO und MU-MIMO im Vergleich Begriff Bedeutung Grundidee MIMO Multiple Input Multiple Output mehrere Antennen und Datenströme SU-MIMO Single User MIMO mehrere Datenströme für einen Client MU-MIMO Multi User MIMO mehrere Clients gleichzeitig bedienen Wichtig: MIMO ist der Oberbegriff. MU-MIMO ist eine Weiterentwicklung für mehrere Nutzer. Beispiel: MIMO ohne MU-MIMO Ein Access Point hat 4 Antennen. Zwei Notebooks haben jeweils 2 Antennen. Ohne MU-MIMO kann der Access Point die Clients vereinfacht nacheinander bedienen. Ablauf vereinfacht: Access Point kommuniziert mit Notebook A. Danach kommuniziert er mit Notebook B. Danach wieder mit Notebook A. Die Clients teilen sich die verfügbare Funkzeit. Merksatz: Ohne MU-MIMO werden mehrere Clients eher nacheinander bedient. Beispiel: MU-MIMO Ein Access Point hat 4 Antennen. Zwei Notebooks haben jeweils 2 Antennen. Mit MU-MIMO kann der Access Point vereinfacht beide Notebooks gleichzeitig bedienen. Beispiel: 2 Datenströme zu Notebook A 2 Datenströme zu Notebook B Dadurch kann die verfügbare Funkkapazität besser genutzt werden. Merksatz: MU-MIMO kann mehrere Clients gleichzeitig versorgen. Warum ist MU-MIMO sinnvoll? In modernen Netzwerken gibt es oft viele WLAN-Geräte. Beispiele: - Notebooks - Smartphones - Tablets - Drucker - Kameras - IoT-Geräte - Smart-TVs - VoIP-Geräte Wenn viele Geräte gleichzeitig aktiv sind, wird WLAN stärker belastet. MU-MIMO kann helfen, die verfügbare Funkkapazität effizienter zu nutzen. Merksatz: MU-MIMO ist besonders bei mehreren Clients sinnvoll. Wichtig: MU-MIMO erhöht nicht automatisch alles MU-MIMO bedeutet nicht automatisch, dass jedes Gerät immer schneller wird. Die Wirkung hängt ab von: - Access Point - WLAN-Standard - Client-Unterstützung - Anzahl der Antennen - Signalqualität - Entfernung - Kanalbreite - Frequenzband - Anzahl der aktiven Clients - Umgebung Wichtig: Access Point und Client müssen die Technik unterstützen. Merksatz: MU-MIMO funktioniert nur sinnvoll, wenn Geräte und Funkumgebung passen. Begriff: Client Ein Client ist ein Endgerät, das einen Dienst nutzt. Im WLAN ist ein Client zum Beispiel: - Notebook - Smartphone - Tablet - Drucker - IP-Kamera Der Client verbindet sich mit einem Access Point. Merksatz: WLAN-Client = Endgerät im WLAN. Begriff: Access Point Ein Access Point ist ein WLAN-Zugangspunkt. Er verbindet WLAN-Clients mit dem lokalen Netzwerk. Typischer Aufbau: WLAN-Client → Funkverbindung → Access Point → Switch → Router / Server / Internet Merksatz: Access Point = Zugangspunkt vom WLAN ins LAN. Begriff: Spatial Stream Spatial Stream bedeutet: räumlicher Datenstrom Ein Spatial Stream ist ein eigener Datenstrom innerhalb einer MIMO-Verbindung. Beispiel: 2x2 MIMO kann bis zu zwei räumliche Datenströme verwenden. Wichtig: Mehr Spatial Streams können höhere Datenraten ermöglichen, wenn beide Seiten und die Funkumgebung es unterstützen. Merksatz: Spatial Streams sind parallele Datenströme bei MIMO. MIMO-Bezeichnungen wie 2x2 oder 4x4 Bei WLAN-Geräten sieht man manchmal Angaben wie: 2x2 MIMO 3x3 MIMO 4x4 MIMO Vereinfacht bedeutet das: Anzahl der Sende- und Empfangsantennen beziehungsweise Datenströme. Beispiel: Bezeichnung vereinfachte Bedeutung 1x1 ein Datenstrom 2x2 bis zu zwei Datenströme 3x3 bis zu drei Datenströme 4x4 bis zu vier Datenströme Wichtig: Die tatsächliche Leistung hängt auch vom Client ab. Merksatz: 4x4 bringt wenig, wenn der Client nur 1x1 unterstützt. MIMO und Datenrate Mehr räumliche Datenströme können die theoretische Datenrate erhöhen. Beispiel vereinfacht: 1 Datenstrom = bestimmte Grunddatenrate 2 Datenströme = höhere mögliche Datenrate 4 Datenströme = noch höhere mögliche Datenrate Aber: Das ist eine theoretische Betrachtung. In der Praxis wirken zusätzlich: - Signalqualität - Entfernung - Störungen - Kanalbreite - WLAN-Standard - Endgerät - Access Point - Anzahl der Clients Merksatz: Mehr Datenströme können schneller sein, garantieren aber nicht automatisch hohen Durchsatz. MIMO und Durchsatz Durchsatz bedeutet: tatsächlich erreichte Datenmenge pro Zeit Der Durchsatz ist meist niedriger als die theoretische Bruttodatenrate. Gründe: - Protokoll-Overhead - geteiltes Funkmedium - Störungen - Wiederholungen - schwaches Signal - viele Clients - geringere Client-Fähigkeiten Merksatz: Bruttodatenrate ist nicht gleich echter Durchsatz. MIMO und WLAN-Standards MIMO ist besonders mit modernen WLAN-Standards wichtig geworden. Typische Einordnung: Standard Bezug zu MIMO IEEE 802.11n / Wi-Fi 4 MIMO wurde wichtig IEEE 802.11ac / Wi-Fi 5 MU-MIMO wurde stärker relevant IEEE 802.11ax / Wi-Fi 6 effizientere Mehrbenutzer-Techniken IEEE 802.11be / Wi-Fi 7 weitere Verbesserungen bei hoher WLAN-Leistung Wichtig: Die genaue Unterstützung hängt vom Gerät ab, nicht nur vom Namen des Standards. Merksatz: Moderne WLAN-Standards nutzen MIMO-Techniken zur Leistungssteigerung. MU-MIMO und OFDMA Bei Wi-Fi 6 kommt zusätzlich häufig OFDMA vor. OFDMA steht für: Orthogonal Frequency Division Multiple Access OFDMA ist ein Verfahren, um Funkressourcen effizient auf mehrere Clients aufzuteilen. Wichtig: MU-MIMO und OFDMA sind nicht dasselbe. Vereinfacht: MU-MIMO nutzt räumliche Trennung über mehrere Antennen. OFDMA teilt den Funkkanal in kleinere Ressourceneinheiten auf. Merksatz: MU-MIMO = mehrere räumliche Datenströme. OFDMA = bessere Aufteilung des Funkkanals. MIMO und Antennenanzahl Mehr Antennen können mehr Möglichkeiten bieten. Aber: Mehr Antennen bedeuten nicht automatisch bessere Verbindung für jedes Gerät. Entscheidend ist: - wie viele Antennen der Access Point hat - wie viele Antennen der Client hat - wie viele Spatial Streams unterstützt werden - wie gut die Funkbedingungen sind Beispiel: Access Point: 4x4 MIMO Smartphone: 2x2 MIMO Dann kann das Smartphone nicht automatisch alle 4 Streams nutzen. Merksatz: Client-Fähigkeiten begrenzen die nutzbare MIMO-Leistung. MIMO und Reichweite MIMO kann die Verbindung stabiler machen. Aber: MIMO ersetzt keine gute WLAN-Planung. Für gute WLAN-Abdeckung bleiben wichtig: - passende Access-Point-Position - geeignete Kanalplanung - ausreichend Signalstärke - nicht zu viele Clients pro Access Point - passende Frequenzbänder - wenig Störungen Merksatz: MIMO hilft, aber ersetzt keine saubere WLAN-Planung. MIMO und Beamforming Beamforming ist ein Verfahren, bei dem die Funkübertragung gezielter in Richtung eines Clients ausgerichtet wird. Vereinfacht: Der Access Point versucht, das Signal besser zum Client zu lenken. Beamforming wird oft zusammen mit modernen MIMO-Techniken eingesetzt. Wichtig: Beamforming ist nicht dasselbe wie MIMO, kann aber mit MIMO zusammenarbeiten. Merksatz: Beamforming = gezieltere Funkabstrahlung zum Client. MIMO und geteiltes Medium Auch mit MIMO bleibt WLAN ein geteiltes Funkmedium. Das bedeutet: Mehrere Clients teilen sich die verfügbare Funkkapazität. MIMO und MU-MIMO können die Nutzung verbessern. Aber: Sie machen WLAN nicht zu einer festen Vollduplex-Kabelverbindung. Merksatz: WLAN bleibt ein geteiltes Medium, auch mit MIMO. Einordnung in das Schichtenmodell MIMO und MU-MIMO gehören zur WLAN-Funktechnik. Thema Einordnung Funkwellen OSI-Schicht 1 Antennen OSI-Schicht 1 MIMO OSI-Schicht 1 / WLAN-Technik MU-MIMO OSI-Schicht 1 / WLAN-Technik WLAN-Zugriff OSI-Schicht 2 MAC-Adresse OSI-Schicht 2 IP-Adresse OSI-Schicht 3 TCP / UDP OSI-Schicht 4 Wichtig: MIMO verändert nicht die IP-Adresse. MIMO verändert nicht TCP oder UDP. MIMO verbessert die Funkübertragung. Merksatz: MIMO gehört zur Funktechnik, nicht zu IP oder TCP. Typische Fehler oder Missverständnisse Häufige Missverständnisse: - Mehr Antennen bedeuten automatisch mehr Internetgeschwindigkeit. - MU-MIMO hilft jedem Client immer gleich stark. - Ein 4x4-Access-Point macht jedes Smartphone zu 4x4. - WLAN-Bruttodatenrate entspricht dem echten Durchsatz. - MIMO ersetzt gute Access-Point-Planung. - MU-MIMO löst alle Probleme bei vielen Clients. Fachlich richtig: Die tatsächliche Leistung hängt immer von Access Point, Client, Funkumgebung und Netzwerkauslastung ab. Merksatz: WLAN-Leistung ist immer eine Kombination aus Technik und Umgebung. Fehlersuche bei MIMO/MU-MIMO-WLAN Wenn WLAN trotz moderner Technik schlecht funktioniert, prüft man: - Unterstützt der Client den Standard? - Unterstützt der Client MIMO oder MU-MIMO? - Wie viele Spatial Streams unterstützt der Client? - Ist das Signal stark genug? - Ist der Access Point passend positioniert? - Gibt es Kanalstörungen? - Sind zu viele Clients verbunden? - Wird das passende Frequenzband genutzt? - Ist die Firmware aktuell? - Sind Access Points richtig geplant? Wichtig: Ein moderner Access Point allein garantiert kein gutes WLAN. Merksatz: Bei WLAN immer Access Point, Client und Funkumgebung gemeinsam betrachten. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet MIMO? - Was bedeutet MU-MIMO? - Warum verwenden moderne WLAN-Systeme mehrere Antennen? - Was ist ein Spatial Stream? - Was ist der Unterschied zwischen SU-MIMO und MU-MIMO? - Warum erhöht MIMO nicht automatisch den echten Durchsatz? - Warum müssen Access Point und Client die Technik unterstützen? - Warum bleibt WLAN trotz MIMO ein geteiltes Medium? - Was ist der Unterschied zwischen MIMO und OFDMA? - Warum ist WLAN-Planung trotz MIMO wichtig? Typische Prüfungsfallen MIMO bedeutet Multiple Input Multiple Output. MU-MIMO bedeutet Multi User MIMO. MIMO ist nicht dasselbe wie MU-MIMO. MU-MIMO bedient mehrere Clients effizienter. MIMO erhöht nicht automatisch den echten Durchsatz. Access Point und Client müssen die Technik unterstützen. Ein 4x4-Access-Point bringt einem 1x1-Client keine 4 Datenströme. WLAN bleibt ein geteiltes Medium. Bruttodatenrate ist nicht gleich tatsächlicher Durchsatz. MIMO gehört zur WLAN-Funktechnik, nicht zu IP oder TCP. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung MIMO Multiple Input Multiple Output, mehrere Antennen und Datenströme MU-MIMO Multi User MIMO, mehrere Clients gleichzeitig bedienen SU-MIMO Single User MIMO, mehrere Datenströme für einen Client Antenne Bauteil zum Senden und Empfangen von Funkwellen Datenstrom übertragener Datenfluss Spatial Stream räumlicher Datenstrom bei MIMO Client Endgerät im Netzwerk Access Point WLAN-Zugangspunkt Beamforming gezieltere Funkabstrahlung zum Client OFDMA Verfahren zur effizienteren Aufteilung des Funkkanals Durchsatz tatsächlich erreichte Datenrate Bruttodatenrate theoretische maximale Datenrate Funkmedium drahtloser Übertragungsbereich Signalqualität Güte des empfangenen Funksignals IHK-sichere Kurzformulierung MIMO steht für Multiple Input Multiple Output und bezeichnet ein Verfahren, bei dem mehrere Antennen und räumliche Datenströme zur WLAN-Übertragung genutzt werden. Dadurch können Datenrate und Stabilität einer Funkverbindung verbessert werden. MU-MIMO steht für Multi User MIMO und ermöglicht es einem Access Point, mehrere Clients gleichzeitig effizienter zu bedienen. Die tatsächliche Leistung hängt jedoch von Access Point, Client, Anzahl der Antennen, unterstützten Spatial Streams, WLAN-Standard und Funkumgebung ab. Merksätze MIMO = Multiple Input Multiple Output. MIMO nutzt mehrere Antennen. Spatial Stream = räumlicher Datenstrom. SU-MIMO = ein Client zur gleichen Zeit. MU-MIMO = mehrere Clients gleichzeitig. MU-MIMO ist besonders bei mehreren Clients sinnvoll. Access Point und Client müssen die Technik unterstützen. Die schwächere Seite begrenzt die Verbindung. Mehr Antennen bedeuten nicht automatisch mehr Durchsatz. Bruttodatenrate ist nicht gleich echter Durchsatz. WLAN bleibt ein geteiltes Medium. MIMO verbessert Funktechnik, aber ersetzt keine WLAN-Planung. MU-MIMO ist nicht dasselbe wie OFDMA. Beamforming kann MIMO ergänzen. MIMO gehört zur WLAN-Funktechnik, nicht zu IP oder TCP. 3.11 Sicherheit im WLAN WLAN muss besonders gut abgesichert werden, weil die Datenübertragung per Funk erfolgt. Bei einem kabelgebundenen Netzwerk muss man meistens physischen Zugang zu einer Netzwerkdose oder einem Kabel haben. Bei WLAN kann das Funksignal je nach Reichweite auch außerhalb des Gebäudes empfangbar sein. Deshalb gilt: WLAN ohne ausreichende Verschlüsselung ist ein Sicherheitsrisiko. Warum ist WLAN-Sicherheit wichtig? WLAN ist ein Funknetz. Das bedeutet: Die Daten werden über elektromagnetische Wellen übertragen. Diese Funkwellen können sich über Räume, Wände und teilweise auch über Gebäudegrenzen hinaus ausbreiten. Mögliche Risiken: - unbefugter Zugriff auf das Netzwerk - Mitlesen unverschlüsselter Daten - Nutzung des Internetanschlusses durch Fremde - Zugriff auf interne Systeme - Angriffe auf Clients oder Server - Missbrauch des Netzwerks für illegale Aktivitäten Merksatz: WLAN endet nicht automatisch an der Wand. Begriff: WLAN-Verschlüsselung WLAN-Verschlüsselung schützt die Funkverbindung zwischen Client und Access Point. Ziel: Daten sollen nicht im Klartext über Funk übertragen werden. Vereinfacht gesagt: Nur berechtigte Geräte mit passenden Zugangsdaten sollen das WLAN nutzen können. Wichtig: WLAN-Verschlüsselung schützt die Funkstrecke. Sie ersetzt keine Firewall, keine Benutzerrechte und keine sichere Anwendungskommunikation. Merksatz: WLAN-Verschlüsselung schützt die drahtlose Verbindung. WEP WEP steht für: Wired Equivalent Privacy WEP ist ein alter WLAN-Sicherheitsstandard. WEP gilt heute als unsicher und sollte nicht mehr verwendet werden. Problem: WEP kann mit heutigen Mitteln relativ leicht angegriffen werden. Für die Prüfung wichtig: WEP ist veraltet und unsicher. Merksatz: WEP nicht mehr verwenden. WPA WPA steht für: Wi-Fi Protected Access WPA wurde als Nachfolger von WEP eingeführt. WPA war sicherer als WEP, gilt heute aber ebenfalls als veraltet. Für moderne WLANs sollte WPA nicht mehr als bevorzugter Sicherheitsstandard verwendet werden. Merksatz: WPA war ein Zwischenschritt, ist heute aber nicht mehr Stand der Technik. WPA2 WPA2 steht für: Wi-Fi Protected Access 2 WPA2 ist lange Zeit der wichtigste Sicherheitsstandard für WLAN gewesen. WPA2 verwendet in der Praxis meistens AES zur Verschlüsselung. AES steht für: Advanced Encryption Standard Wichtig: WPA2 gilt deutlich sicherer als WEP und WPA. Für viele Netze ist WPA2 weiterhin verbreitet. Wenn möglich, sollte WPA3 verwendet werden. Merksatz: WPA2 ist der ältere moderne Mindeststandard. WPA3 WPA3 steht für: Wi-Fi Protected Access 3 WPA3 ist der neuere WLAN-Sicherheitsstandard. Er verbessert die Sicherheit gegenüber WPA2. Vorteile: - besserer Schutz bei schwachen Passwörtern - moderneres Authentifizierungsverfahren - verbesserte Sicherheit in offenen Netzen - stärkerer Schutz gegen bestimmte Angriffe Wichtig: Access Point und Client müssen WPA3 unterstützen. Merksatz: WPA3 ist aktueller und sicherer als WPA2. WPA2 versus WPA3 Merkmal WPA2 WPA3 Alter älter neuer Sicherheit gut, wenn korrekt konfiguriert besser Geräteunterstützung sehr weit verbreitet abhängig von Gerät und Betriebssystem Passwortschutz abhängig von Passwortstärke besser gegen bestimmte Angriffe Empfehlung Mindeststandard bevorzugt, wenn verfügbar Prüfungstauglich: WLAN sollte mindestens mit WPA2, besser mit WPA3 abgesichert werden. Begriff: Pre-Shared Key Pre-Shared Key bedeutet: vorab geteilter Schlüssel Abkürzung: PSK Bei WPA2-Personal oder WPA3-Personal verwenden alle berechtigten Nutzer dasselbe WLAN-Passwort. Beispiel: SSID: Firma-Gast Passwort: gemeinsames WLAN-Passwort Vorteil: einfach einzurichten Nachteil: Das Passwort wird mit mehreren Personen geteilt. Merksatz: PSK = gemeinsames WLAN-Passwort. WPA-Personal WPA-Personal wird häufig in kleinen Netzen oder Heimnetzen verwendet. Dabei wird ein gemeinsames WLAN-Passwort verwendet. Typische Einsatzbereiche: - Heimnetz - kleines Büro - Gast-WLAN - einfache WLAN-Umgebung Wichtig: Das Passwort muss ausreichend lang und sicher sein. Merksatz: WPA-Personal = WLAN-Zugang mit gemeinsamem Passwort. WPA-Enterprise WPA-Enterprise wird häufig in Unternehmen, Schulen und größeren Organisationen verwendet. Dabei meldet sich jeder Benutzer oder jedes Gerät individuell an. Häufige Technik: 802.1X RADIUS-Server Vorteile: - individuelle Benutzerkonten - zentrale Verwaltung - einzelne Benutzer können gesperrt werden - besser für größere Umgebungen - keine gemeinsame Passwortweitergabe nötig Merksatz: WPA-Enterprise = individuelle Anmeldung statt gemeinsamem WLAN-Passwort. Begriff: 802.1X 802.1X ist ein Standard für portbasierte Netzwerkzugangskontrolle. Er wird bei kabelgebundenen und drahtlosen Netzwerken eingesetzt. Im WLAN-Kontext ermöglicht 802.1X eine Anmeldung mit individuellen Benutzerdaten oder Zertifikaten. Typischer Zusammenhang: Client Access Point RADIUS-Server Merksatz: 802.1X = kontrollierter Netzwerkzugang mit Authentifizierung. Begriff: RADIUS RADIUS steht für: Remote Authentication Dial-In User Service RADIUS ist ein Dienst zur zentralen Authentifizierung. Im WLAN kann ein RADIUS-Server prüfen, ob ein Benutzer oder Gerät Zugang erhalten darf. Typische Aufgabe: Benutzername und Passwort oder Zertifikat prüfen. Merksatz: RADIUS = zentrale Prüfung von Zugangsdaten. Begriff: Authentifizierung Authentifizierung bedeutet: Nachweis der Identität Beispiel: Ein Benutzer meldet sich mit Benutzername und Passwort an. Ein Gerät weist sich mit einem Zertifikat aus. Im WLAN bedeutet Authentifizierung: Der Client muss nachweisen, dass er das WLAN nutzen darf. Merksatz: Authentifizierung = Wer bist du? Begriff: Autorisierung Autorisierung bedeutet: Festlegen, was ein Benutzer oder Gerät darf. Beispiel: Ein Mitarbeiter darf ins interne WLAN. Ein Gast darf nur ins Internet. Ein IoT-Gerät darf nur bestimmte Server erreichen. Merksatz: Authentifizierung = Wer bist du? Autorisierung = Was darfst du? Begriff: SSID SSID steht für: Service Set Identifier Die SSID ist der Name eines WLANs. Beispiele: Firma-Mitarbeiter Firma-Gast Firma-IoT Wichtig: Die SSID ist nicht das Passwort. Die SSID ist nur der Name des WLANs. Merksatz: SSID = WLAN-Name. SSID-Trennung Es ist sinnvoll, verschiedene WLANs für verschiedene Zwecke zu verwenden. Beispiele: SSID Zweck Firma-Mitarbeiter interne Geräte und Benutzer Firma-Gast Besucher und private Geräte Firma-IoT Kameras, Sensoren, Smart-Geräte Firma-Admin administrative Geräte Vorteil: Unterschiedliche Nutzergruppen können voneinander getrennt werden. Wichtig: Die Trennung erfolgt nicht nur durch verschiedene Namen, sondern technisch durch VLANs und Firewall-Regeln. Merksatz: Mehrere SSIDs helfen bei der Trennung von Nutzergruppen. Gast-WLAN Ein Gast-WLAN ist ein separates WLAN für Besucher. Ziel: Gäste erhalten Internetzugang, aber keinen Zugriff auf interne Systeme. Typische Eigenschaften: - eigene SSID - eigenes VLAN - getrennte Firewall-Regeln - kein Zugriff auf Server oder Clients im internen Netz - häufig zeitlich begrenzter Zugang - oft mit Captive Portal Merksatz: Gast-WLAN vom internen Netzwerk trennen. Begriff: VLAN VLAN steht für: Virtual Local Area Network Ein VLAN ist ein logisch getrenntes Netzwerk innerhalb einer physischen Netzwerkinfrastruktur. Im WLAN kann jede SSID einem VLAN zugeordnet werden. Beispiel: SSID VLAN Zweck Firma-Mitarbeiter VLAN 10 internes Netzwerk Firma-Gast VLAN 20 Gastzugang Firma-IoT VLAN 30 Geräte-Netz Merksatz: SSID = WLAN-Name. VLAN = logische Netztrennung. Firewall-Regeln für WLAN Eine Firewall kann festlegen, welche Kommunikation erlaubt oder blockiert wird. Beispiele: Mitarbeiter-WLAN darf auf interne Server zugreifen. Gast-WLAN darf nur ins Internet. IoT-WLAN darf nur zu bestimmten Diensten. Admin-WLAN darf auf Netzwerkgeräte zugreifen. Wichtig: Ein separates WLAN ohne passende Firewall-Regeln ist keine vollständige Sicherheitslösung. Merksatz: VLAN trennt logisch. Firewall regelt den Zugriff. Begriff: Captive Portal Ein Captive Portal ist eine Anmeldeseite für Netzwerke. Es wird häufig bei Gast-WLANs eingesetzt. Beispiel: Ein Gast verbindet sich mit dem WLAN. Danach öffnet sich eine Webseite. Dort muss er Nutzungsbedingungen akzeptieren oder Zugangsdaten eingeben. Merksatz: Captive Portal = Anmeldeseite für Netzwerkzugang. Sichere WLAN-Passwörter Bei WPA-Personal ist ein sicheres Passwort sehr wichtig. Ein gutes WLAN-Passwort sollte: - lang sein - nicht leicht zu erraten sein - keine Wörterbuchbegriffe enthalten - nicht mehrfach verwendet werden - regelmäßig überprüft werden - bei Verdacht geändert werden Wichtig: Ein kurzer oder einfacher Schlüssel schwächt auch moderne Verschlüsselung. Merksatz: Starkes WLAN-Passwort = wichtiger Sicherheitsfaktor. MAC-Filter Ein MAC-Filter erlaubt oder blockiert Geräte anhand ihrer MAC-Adresse. Problem: MAC-Adressen können gefälscht werden. Deshalb gilt: MAC-Filter können eine kleine Zusatzhürde sein, ersetzen aber keine echte WLAN-Sicherheit. Wichtig für die Prüfung: MAC-Filter sind kein ausreichender Schutz. Merksatz: MAC-Filter ist Zusatz, aber keine starke Sicherheit. SSID verstecken Manche WLANs verstecken ihre SSID. Das bedeutet: Der WLAN-Name wird nicht aktiv sichtbar ausgesendet. Problem: Versteckte SSIDs können trotzdem erkannt werden. Deshalb gilt: SSID verstecken ist keine echte Sicherheitsmaßnahme. Merksatz: Versteckte SSID ersetzt keine Verschlüsselung. WPS WPS steht für: Wi-Fi Protected Setup WPS soll das Verbinden von Geräten erleichtern. Beispiele: Verbindung per Taste Verbindung per PIN Problem: Besonders WPS-PIN kann ein Sicherheitsrisiko sein. Empfehlung: WPS deaktivieren, wenn es nicht benötigt wird. Merksatz: WPS ist bequem, kann aber ein Sicherheitsrisiko sein. WLAN und Updates Access Points, WLAN-Router und Controller sollten aktuell gehalten werden. Gründe: - Sicherheitslücken schließen - Stabilität verbessern - Kompatibilität verbessern - neue Funktionen erhalten - bekannte Angriffe erschweren Wichtig: Auch Netzwerkgeräte benötigen regelmäßige Sicherheitsupdates. Merksatz: WLAN-Sicherheit braucht auch aktuelle Firmware. WLAN und Gerätesicherheit Nicht nur der Access Point ist wichtig. Auch die Endgeräte müssen sicher sein. Dazu gehören: - aktuelles Betriebssystem - aktuelle Treiber - aktuelle Sicherheitsupdates - sichere Benutzerkonten - Virenschutz bzw. Endpoint-Schutz - keine unsicheren gespeicherten WLANs Merksatz: WLAN-Sicherheit betrifft Access Point und Clients. Offene WLANs Ein offenes WLAN hat keine Verschlüsselung auf der Funkstrecke. Risiken: - Daten können leichter mitgelesen werden - fremde Geräte können sich verbinden - höhere Missbrauchsgefahr - Nutzer verlassen sich eventuell fälschlich auf Sicherheit Wichtig: Auch wenn Anwendungen HTTPS nutzen, sollte das WLAN selbst trotzdem sicher konfiguriert werden. Merksatz: Offenes WLAN ist nur mit zusätzlicher Absicherung sinnvoll. WLAN und HTTPS HTTPS verschlüsselt die Verbindung zwischen Browser und Webserver. Das ist wichtig, aber: HTTPS ersetzt keine WLAN-Verschlüsselung. Warum? WLAN-Verschlüsselung schützt die Funkstrecke. HTTPS schützt die Anwendungskommunikation zwischen Client und Server. Beide schützen unterschiedliche Bereiche. Merksatz: WPA schützt WLAN. HTTPS schützt Webkommunikation. Rogue Access Point Ein Rogue Access Point ist ein unerlaubter oder nicht autorisierter Access Point im Netzwerk. Beispiele: - Mitarbeiter steckt privaten WLAN-Router ins Firmennetz - Angreifer stellt ein gefälschtes WLAN bereit - falsch konfigurierte WLAN-Hardware wird angeschlossen Risiko: Sicherheitsregeln können umgangen werden. Benutzer können sich mit falschen WLANs verbinden. Merksatz: Rogue Access Point = unerlaubter Access Point. Evil Twin Ein Evil Twin ist ein gefälschter Access Point, der eine bekannte SSID nachahmt. Ziel: Benutzer sollen sich versehentlich mit dem falschen WLAN verbinden. Beispiel: echtes WLAN: Firma-WLAN gefälschtes WLAN: Firma-WLAN Schutz: - WPA-Enterprise mit Zertifikatsprüfung - Benutzer sensibilisieren - WLAN-Monitoring - keine automatischen Verbindungen zu unbekannten Netzen Merksatz: Evil Twin = gefälschtes WLAN mit bekanntem Namen. Client-Isolation Client-Isolation bedeutet, dass WLAN-Clients nicht direkt miteinander kommunizieren dürfen. Das ist besonders sinnvoll bei Gast-WLANs. Beispiel: Gast A kann nicht auf Gerät von Gast B zugreifen. Vorteil: weniger Risiko durch Angriffe zwischen verbundenen Clients Merksatz: Client-Isolation trennt WLAN-Clients voneinander. WLAN-Sicherheit in Unternehmen In Unternehmen sollte WLAN-Sicherheit geplant und dokumentiert werden. Wichtige Punkte: - WPA2 oder besser WPA3 - bei größeren Umgebungen WPA-Enterprise - getrennte SSIDs - VLAN-Trennung - Firewall-Regeln - Gast-WLAN getrennt vom internen Netz - regelmäßige Updates - sichere Passwörter oder Zertifikate - Monitoring - Dokumentation - Deaktivierung unsicherer Altstandards Merksatz: WLAN-Sicherheit besteht aus Verschlüsselung, Trennung und Kontrolle. Einordnung in das Schichtenmodell WLAN-Sicherheit betrifft mehrere Ebenen. Thema Einordnung Funkübertragung OSI-Schicht 1 WLAN-Zugriff und MAC OSI-Schicht 2 WPA2 / WPA3 WLAN-Sicherheitsverfahren im Zugangsbereich VLAN OSI-Schicht 2 IP-Netztrennung OSI-Schicht 3 Firewall mit Ports OSI-Schicht 3 / 4 HTTPS OSI-Schicht 7 mit Sicherheitsbezug Wichtig: WLAN-Sicherheit ist nicht nur ein Passwort. Sie besteht aus mehreren technischen Maßnahmen. Merksatz: WLAN-Sicherheit betrifft Funk, Zugang, Netztrennung und Dienste. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum muss WLAN verschlüsselt werden? - Warum ist WEP unsicher? - Was ist der Unterschied zwischen WPA2 und WPA3? - Was bedeutet WPA-Personal? - Was bedeutet WPA-Enterprise? - Was ist ein Pre-Shared Key? - Was ist eine SSID? - Warum ist ein Gast-WLAN sinnvoll? - Warum sollte ein Gast-WLAN vom internen Netz getrennt werden? - Was ist der Unterschied zwischen SSID und VLAN? - Warum ist MAC-Filter kein ausreichender Schutz? - Warum ersetzt HTTPS keine WLAN-Verschlüsselung? - Was ist ein Rogue Access Point? - Was ist ein Evil Twin? Typische Prüfungsfallen WLAN ohne Verschlüsselung ist unsicher. WEP gilt als veraltet und unsicher. WPA ist ebenfalls nicht mehr Stand der Technik. WPA2 ist Mindeststandard, WPA3 ist besser. SSID ist der WLAN-Name, nicht das Passwort. Eine versteckte SSID ist keine echte Sicherheitsmaßnahme. MAC-Filter ersetzt keine Verschlüsselung. HTTPS ersetzt keine WLAN-Verschlüsselung. Ein Gast-WLAN braucht Trennung vom internen Netz. Mehrere SSIDs allein reichen nicht, wenn VLANs und Firewall-Regeln fehlen. WPA-Enterprise ist für größere Umgebungen besser geeignet als ein gemeinsames Passwort. WPS kann ein Sicherheitsrisiko sein. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung WLAN-Verschlüsselung Schutz der Funkverbindung zwischen Client und Access Point WEP alter und unsicherer WLAN-Sicherheitsstandard WPA älterer Nachfolger von WEP WPA2 moderner verbreiteter WLAN-Sicherheitsstandard WPA3 neuerer WLAN-Sicherheitsstandard PSK Pre-Shared Key, gemeinsames WLAN-Passwort WPA-Personal WLAN-Zugang mit gemeinsamem Passwort WPA-Enterprise WLAN-Zugang mit individueller Authentifizierung 802.1X Standard für Netzwerkzugangskontrolle RADIUS zentraler Dienst zur Authentifizierung Authentifizierung Nachweis der Identität Autorisierung Festlegung erlaubter Zugriffe SSID Name eines WLANs VLAN logische Netztrennung Gast-WLAN separates WLAN für Gäste Captive Portal Anmeldeseite für Netzwerkzugang MAC-Filter Zugriffskontrolle anhand von MAC-Adressen WPS vereinfachtes WLAN-Verbinden, kann Sicherheitsrisiko sein Rogue Access Point unerlaubter Access Point Evil Twin gefälschtes WLAN mit bekanntem Namen Client-Isolation Trennung von WLAN-Clients untereinander IHK-sichere Kurzformulierung WLAN muss abgesichert werden, weil die Datenübertragung per Funk erfolgt und das Signal auch außerhalb des direkten Raumes empfangbar sein kann. Veraltete Verfahren wie WEP gelten als unsicher und sollten nicht mehr verwendet werden. WLAN sollte mindestens mit WPA2, besser mit WPA3 verschlüsselt werden. In größeren Umgebungen ist WPA-Enterprise mit 802.1X und RADIUS sinnvoll. Gast-WLANs sollten vom internen Netzwerk getrennt werden, zum Beispiel durch eigene SSIDs, VLANs und Firewall-Regeln. MAC-Filter oder versteckte SSIDs sind keine ausreichenden Sicherheitsmaßnahmen. Merksätze WLAN braucht Verschlüsselung. WEP ist unsicher. WPA ist veraltet. WPA2 ist Mindeststandard. WPA3 ist besser. PSK = gemeinsames WLAN-Passwort. WPA-Personal = gemeinsames Passwort. WPA-Enterprise = individuelle Anmeldung. 802.1X = Netzwerkzugangskontrolle. RADIUS = zentrale Authentifizierung. SSID = WLAN-Name. VLAN = logische Netztrennung. Gast-WLAN vom internen Netz trennen. MAC-Filter ist kein ausreichender Schutz. Versteckte SSID ist keine echte Sicherheit. WPS kann ein Risiko sein. HTTPS ersetzt keine WLAN-Verschlüsselung. WPA schützt die Funkstrecke. Firewall-Regeln steuern den Zugriff. WLAN-Sicherheit besteht aus Verschlüsselung, Trennung und Kontrolle. 3.12 Dezibel, Antennengewinn, EIRP und ERP In der Funktechnik und Netzwerktechnik begegnen dir häufig Begriffe wie: dB dBm dBi Antennengewinn EIRP ERP Diese Begriffe sind wichtig, wenn es um WLAN, Funkleistung, Antennen und erlaubte Sendeleistung geht. Wichtig: Eine Antenne erzeugt keine zusätzliche Energie. Sie kann Energie nur in bestimmte Richtungen stärker bündeln. Begriff: Dezibel Dezibel wird mit dB abgekürzt. dB beschreibt ein Verhältnis. Das bedeutet: dB gibt an, wie viel stärker oder schwächer ein Signal im Vergleich zu einem anderen Signal ist. Wichtig: dB ist keine normale Längeneinheit. dB beschreibt ein logarithmisches Verhältnis. Vereinfacht gesagt: dB zeigt, um welchen Faktor sich eine Leistung verändert. Merksatz: dB = Verhältniswert. Warum verwendet man dB? In der Funk- und Netzwerktechnik können Unterschiede sehr groß sein. Beispiele: - ein Signal wird 10-mal stärker - ein Signal wird 100-mal stärker - ein Signal wird 1000-mal stärker - ein Signal wird auf einer Strecke schwächer Mit normalen Zahlen werden solche Unterschiede schnell unübersichtlich. Dezibel macht große Verhältnisse kompakter darstellbar. Merksatz: dB macht große Signalverhältnisse übersichtlicher. dB bei Leistung Bei Leistungswerten gilt vereinfacht: dB-Wert Faktor 3 dB ungefähr Faktor 2 10 dB Faktor 10 13 dB ungefähr Faktor 20 20 dB Faktor 100 30 dB Faktor 1000 40 dB Faktor 10000 Wichtig: +10 dB bedeutet bei Leistung: zehnfache Leistung. -10 dB bedeutet bei Leistung: ein Zehntel der Leistung. Merksatz: 10 dB = Faktor 10 bei Leistung. Positive und negative dB-Werte dB-Werte können positiv oder negativ sein. dB-Wert Bedeutung positiver dB-Wert Verstärkung oder Gewinn negativer dB-Wert Dämpfung oder Verlust Beispiele: +10 dB = Signal wird stärker -10 dB = Signal wird schwächer In der Praxis: Antennengewinn wird oft positiv angegeben. Kabelverluste oder Dämpfung werden oft als Verlust angegeben. Merksatz: Plus-dB = mehr. Minus-dB = weniger. Begriff: Dämpfung Dämpfung bedeutet: Ein Signal wird schwächer. Dämpfung kann entstehen durch: - Kabellänge - Steckverbindungen - Wände - Luftstrecke - Störungen - schlechte Kabel - schlechte Antennenposition - verschmutzte Glasfaserstecker Bei Funk und WLAN bedeutet Dämpfung: Das Funksignal kommt schwächer beim Empfänger an. Merksatz: Dämpfung = Signalverlust. Begriff: Verstärkung Verstärkung bedeutet: Ein Signal wird stärker. In der Funktechnik muss man genau unterscheiden: Ein Verstärker kann ein Signal aktiv stärker machen. Eine Antenne verstärkt nicht aktiv, sondern bündelt die vorhandene Energie. Wichtig: Antennengewinn ist keine Energieerzeugung. Merksatz: Verstärker erhöht aktiv. Antenne bündelt passiv. Antennengewinn Antennengewinn beschreibt, wie stark eine Antenne die abgestrahlte Energie in eine bestimmte Richtung bündelt. Eine Antenne kann keine Leistung erzeugen. Sie kann nur die vorhandene Leistung anders verteilen. Vereinfacht gesagt: In eine Richtung wird mehr abgestrahlt. In andere Richtungen wird dafür weniger abgestrahlt. Merksatz: Antennengewinn = Bündelung der Funkenergie. Taschenlampen-Vergleich Eine Antenne kann man vereinfacht mit einer Taschenlampe vergleichen. Ohne Reflektor: Das Licht verteilt sich in viele Richtungen. Es ist überall etwas hell, aber nirgends besonders stark. Mit Reflektor: Das Licht wird in eine Richtung gebündelt. In diese Richtung ist es deutlich heller. Übertragen auf Antennen: Eine Antenne erzeugt keine neue Energie. Sie bündelt die vorhandene Energie in bestimmte Richtungen. Merksatz: Antenne = kein zusätzlicher Strom, sondern gezieltere Abstrahlung. Rundstrahlantenne Eine Rundstrahlantenne strahlt vereinfacht in alle horizontalen Richtungen ab. Typischer Einsatz: - WLAN-Access-Point - Heimrouter - allgemeine Funkabdeckung - Räume oder kleinere Bereiche Vorteil: mehrere Richtungen werden abgedeckt Nachteil: weniger gezielte Reichweite in eine bestimmte Richtung Merksatz: Rundstrahlantenne = breite Abdeckung. Richtantenne Eine Richtantenne bündelt die Funkenergie stärker in eine bestimmte Richtung. Typischer Einsatz: - Punkt-zu-Punkt-Verbindung - Gebäudeverbindung - gezielte Funkstrecke - Außenbereich - Richtfunk Vorteil: höhere Reichweite in eine Richtung Nachteil: andere Richtungen werden weniger gut versorgt Merksatz: Richtantenne = gezielte Funkstrecke. dBi dBi beschreibt den Antennengewinn bezogen auf einen idealen isotropen Strahler. Ein isotroper Strahler ist ein theoretischer Bezugspunkt. Er strahlt ideal gleichmäßig in alle Richtungen. Wichtig: dBi ist eine Angabe für Antennengewinn. Beispiel: Antennengewinn: 5 dBi Das bedeutet: Die Antenne bündelt im Vergleich zu einem idealen Rundumstrahler stärker in bestimmte Richtungen. Merksatz: dBi = Antennengewinn bezogen auf isotropen Strahler. dBd dBd beschreibt den Antennengewinn bezogen auf einen Halbwellendipol. Ein Dipol ist eine reale Antennenform, die als Bezugspunkt verwendet werden kann. Wichtig: dBi und dBd sind nicht dasselbe. Näherungsweise gilt: 0 dBd ≈ 2,15 dBi Oder anders gesagt: dBi-Wert ≈ dBd-Wert + 2,15 dB Merksatz: dBi und dBd haben unterschiedliche Bezugspunkte. dBm dBm ist eine Leistungsangabe. dBm bezieht sich auf: 1 Milliwatt Wichtig: dB beschreibt ein Verhältnis. dBm beschreibt eine absolute Leistung bezogen auf 1 mW. Typische Werte: Leistung dBm 1 mW 0 dBm 10 mW 10 dBm 100 mW 20 dBm 1000 mW 30 dBm Merksatz: dBm = absolute Leistung bezogen auf 1 mW. dB, dBi und dBm unterscheiden Diese Begriffe werden häufig verwechselt. Begriff Bedeutung dB Verhältniswert dBi Antennengewinn bezogen auf isotropen Strahler dBd Antennengewinn bezogen auf Dipol dBm absolute Leistung bezogen auf 1 mW Prüfungshinweis: dB ist ein Verhältnis. dBm ist eine Leistung. dBi ist ein Antennengewinn. Merksatz: dB ≠ dBm ≠ dBi. EIRP EIRP steht für: Equivalent Isotropically Radiated Power Auf Deutsch sinngemäß: äquivalente isotrope Strahlungsleistung EIRP beschreibt die abgestrahlte Leistung bezogen auf einen idealen isotropen Strahler. EIRP berücksichtigt: - Sendeleistung - Antennengewinn - Leitungs- und Steckerverluste Fachlich wichtig: EIRP ist entscheidend, wenn es um gesetzlich erlaubte Sendeleistung bei Funk geht. Merksatz: EIRP = wirksame abgestrahlte Leistung bezogen auf isotropen Strahler. ERP ERP steht für: Effective Radiated Power Auf Deutsch sinngemäß: effektive Strahlungsleistung ERP ist ähnlich wie EIRP, verwendet aber einen anderen Bezugspunkt. ERP bezieht sich auf einen Halbwellendipol. Wichtig: EIRP und ERP sind nicht identisch. Näherungsweise gilt: EIRP = ERP + 2,15 dB Oder: ERP = EIRP - 2,15 dB Merksatz: EIRP bezieht sich auf isotrop. ERP bezieht sich auf Dipol. Warum sind EIRP und ERP wichtig? Bei Funk darf nicht beliebig stark gesendet werden. Der Gesetzgeber begrenzt die maximal erlaubte abgestrahlte Leistung. Grund: Andere Funkdienste sollen nicht gestört werden. WLANs sollen sich gegenseitig nicht unnötig stark stören. Funkbereiche müssen gemeinsam nutzbar bleiben. Wichtig: Nicht nur die Sendeleistung des Geräts zählt. Auch der Antennengewinn zählt mit. Merksatz: Starke Antenne kann bedeuten: Sendeleistung muss reduziert werden. Vereinfachte Berechnung von EIRP In dB-Werten kann man vereinfacht rechnen: EIRP = Sendeleistung + Antennengewinn - Verluste Fachlich als dB-Rechnung: EIRP in dBm = Sendeleistung in dBm + Antennengewinn in dBi - Kabelverluste in dB Beispiel: Sendeleistung: 10 dBm Antennengewinn: 5 dBi Kabelverlust: 1 dB Rechnung: 10 dBm + 5 dBi - 1 dB = 14 dBm EIRP Merksatz: Leistung plus Gewinn minus Verlust ergibt EIRP. Beispiel mit 100 mW und 13 dB Antennengewinn Angenommen: maximal erlaubte EIRP: 100 mW Antennengewinn: 13 dB 13 dB entsprechen ungefähr: Faktor 20 Wenn die Antenne das Signal ungefähr um Faktor 20 bündelt, darf die zugeführte Sendeleistung entsprechend kleiner sein. Vereinfacht: 100 mW / 20 = 5 mW Das bedeutet: Bei 13 dB Antennengewinn dürfte der Sender vereinfacht nur etwa 5 mW an die Antenne liefern, wenn maximal 100 mW EIRP erlaubt sind und keine weiteren Verluste berücksichtigt werden. Wichtig: In der Praxis müssen zusätzlich Kabelverluste, genaue Antennenangaben, Frequenzbereich und gesetzliche Vorgaben berücksichtigt werden. Merksatz: Je höher der Antennengewinn, desto niedriger muss oft die Sendeleistung eingestellt werden. Einfache Faktor-Tabelle dB ungefährer Leistungsfaktor 3 dB 2 6 dB 4 10 dB 10 13 dB 20 16 dB 40 20 dB 100 30 dB 1000 Wichtig: Diese Werte dienen als Orientierung. Für genaue Berechnungen nutzt man logarithmische Formeln. Merksatz: 3 dB ungefähr doppelt, 10 dB zehnfach. Antennengewinn und Abstrahlrichtung Eine Antenne mit höherem Gewinn strahlt nicht automatisch überall stärker. Sie bündelt die Energie stärker in bestimmte Richtungen. Das bedeutet: In Hauptrichtung stärker. In andere Richtungen schwächer. Beispiel: Eine Richtantenne kann weit in eine Richtung senden, versorgt aber seitlich oder nach hinten schlechter. Merksatz: Antennengewinn verändert die Verteilung der Energie. Antennengewinn und WLAN-Abdeckung Ein hoher Antennengewinn ist nicht immer besser. Bei WLAN im Gebäude kann eine zu stark gerichtete oder ungünstig ausgerichtete Antenne sogar Probleme verursachen. Mögliche Probleme: - ungleichmäßige Abdeckung - Funklöcher - Störungen in entfernten Bereichen - schlechte Versorgung direkt unter oder neben der Antenne - Überschneidungen mit anderen Funkzellen Wichtig: Gute WLAN-Abdeckung entsteht durch Planung, nicht nur durch hohe Sendeleistung. Merksatz: Mehr Antennengewinn ist nicht automatisch besseres WLAN. Sendeleistung Sendeleistung ist die Leistung, mit der ein Funkgerät ein Signal erzeugt. Beispiele: Access Point WLAN-Router Funkmodul Die Sendeleistung allein sagt aber noch nicht, wie stark das Signal in eine Richtung abgestrahlt wird. Dafür müssen zusätzlich betrachtet werden: - Antennengewinn - Kabelverluste - Stecker - Frequenzband - Umgebung Merksatz: Sendeleistung ist nur ein Teil der Funkstrecke. Kabelverlust Zwischen Funkgerät und Antenne kann ein Kabel liegen. Dieses Kabel verursacht Verluste. Diese Verluste werden meist in dB angegeben. Beispiel: Sendeleistung: 20 dBm Kabelverlust: 2 dB Antennengewinn: 5 dBi EIRP: 20 dBm - 2 dB + 5 dBi = 23 dBm EIRP Merksatz: Kabelverluste verringern die wirksame abgestrahlte Leistung. Freiraumdämpfung Freiraumdämpfung beschreibt die Abschwächung eines Funksignals über Entfernung im freien Raum. Je weiter der Empfänger entfernt ist, desto schwächer wird das Signal. Wichtig: Höhere Frequenzen haben bei gleicher Entfernung oft andere Ausbreitungseigenschaften als niedrigere Frequenzen. Für WLAN bedeutet das vereinfacht: 2,4 GHz hat meist größere Reichweite. 5 GHz und 6 GHz haben meist geringere Reichweite, können aber höhere Datenraten ermöglichen. Merksatz: Entfernung schwächt Funk signal deutlich. Signalstärke bei WLAN WLAN-Signalstärke wird häufig in dBm angezeigt. Typische Anzeige: -40 dBm -60 dBm -80 dBm Wichtig: Diese Werte sind negativ, weil die empfangene Leistung sehr klein ist. Grob vereinfacht: Signalwert grobe Einordnung -40 dBm sehr stark -60 dBm gut -70 dBm noch brauchbar -80 dBm schwach -90 dBm sehr schwach Wichtig: Die genaue Bewertung hängt von Anwendung, Störungen, Datenrate und Gerät ab. Merksatz: Bei WLAN ist -50 dBm stärker als -80 dBm. SNR bei WLAN SNR steht für: Signal-to-Noise Ratio Auf Deutsch: Signal-Rausch-Abstand SNR beschreibt das Verhältnis zwischen Nutzsignal und Störrauschen. Je höher der SNR-Wert, desto besser kann das Signal ausgewertet werden. Wichtig: Gute Signalstärke allein reicht nicht, wenn gleichzeitig viel Rauschen oder Störung vorhanden ist. Merksatz: SNR = Abstand zwischen Nutzsignal und Störung. Antennengewinn und gesetzliche Grenzen Bei WLAN gelten je nach Land und Frequenzbereich gesetzliche Grenzwerte. Diese Grenzwerte beziehen sich häufig auf die maximal erlaubte EIRP. Das bedeutet: Gerät, Antenne und Verluste müssen zusammen betrachtet werden. Wichtig: Eine stärkere Antenne kann dazu führen, dass die Sendeleistung reduziert werden muss. Merksatz: Gesetzliche Grenzen beziehen sich auf die wirksame abgestrahlte Leistung. Warum darf man nicht einfach stärker senden? Zu hohe Sendeleistung kann Probleme verursachen. Mögliche Folgen: - Störung anderer WLANs - Störung anderer Funkdienste - größere Funkzellen als geplant - mehr Überschneidungen - schlechteres Roaming - rechtliche Probleme - asymmetrische Verbindung Asymmetrisch bedeutet hier: Der Access Point sendet stark, aber der Client kann nicht stark genug zurücksenden. Dann sieht der Client zwar das WLAN, aber die Verbindung funktioniert schlecht. Merksatz: Stark senden allein löst WLAN-Probleme nicht. Asymmetrische WLAN-Verbindung Bei WLAN müssen beide Seiten senden und empfangen können. Beispiel: Access Point hat hohe Sendeleistung. Smartphone hat geringe Sendeleistung. Dann kann es passieren: Das Smartphone sieht den Access Point. Der Access Point empfängt das Smartphone aber schlecht. Ergebnis: instabile Verbindung niedriger Durchsatz Verbindungsabbrüche Merksatz: WLAN ist Kommunikation in beide Richtungen. Einordnung in das Schichtenmodell Dezibel, Antennengewinn, EIRP und ERP gehören vor allem zur Funktechnik. Thema Einordnung Funkwellen OSI-Schicht 1 Sendeleistung OSI-Schicht 1 Antenne OSI-Schicht 1 dB, dBi, dBm physikalische Funkgrößen EIRP / ERP wirksame abgestrahlte Leistung WLAN-Zugriff OSI-Schicht 2 IP-Adresse OSI-Schicht 3 TCP / UDP OSI-Schicht 4 Wichtig: Antennengewinn verändert nicht IP-Adressen, MAC-Adressen oder Ports. Merksatz: Antennentechnik gehört zur Funkübertragung, nicht zu IP oder TCP. Typische Rechenaufgaben In Prüfungen oder Übungen kann zum Beispiel gefragt werden: - Welcher Faktor gehört zu einem dB-Wert? - Wie wirkt sich Antennengewinn auf die erlaubte Sendeleistung aus? - Was bedeutet 10 dB? - Was bedeutet 20 dB? - Wie berechnet man vereinfacht EIRP? - Warum darf man bei hoher Antennenverstärkung die Sendeleistung nicht beliebig lassen? Beispiel: erlaubte EIRP: 100 mW Antennengewinn: 10 dB 10 dB entspricht Faktor 10. Vereinfachte Rechnung: 100 mW / 10 = 10 mW Ergebnis: Der Sender dürfte vereinfacht 10 mW an die Antenne liefern, wenn keine weiteren Verluste berücksichtigt werden. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet dB? - Was beschreibt Antennengewinn? - Warum erzeugt eine Antenne keine zusätzliche Energie? - Was ist EIRP? - Was ist ERP? - Warum ist die gesetzlich erlaubte Sendeleistung begrenzt? - Warum muss bei hohem Antennengewinn die Sendeleistung reduziert werden? - Was bedeutet dBm? - Was ist der Unterschied zwischen dB, dBi und dBm? - Warum ist mehr Sendeleistung nicht automatisch besseres WLAN? - Was bedeutet asymmetrische WLAN-Verbindung? Typische Prüfungsfallen dB ist ein Verhältnis, keine absolute Leistung. dBm ist eine absolute Leistung bezogen auf 1 mW. dBi ist Antennengewinn bezogen auf einen isotropen Strahler. Eine Antenne erzeugt keine zusätzliche Energie. Antennengewinn bedeutet Bündelung. Höherer Antennengewinn kann eine geringere erlaubte Sendeleistung bedeuten. EIRP berücksichtigt Sendeleistung, Antennengewinn und Verluste. Mehr Sendeleistung bedeutet nicht automatisch besseres WLAN. WLAN braucht Kommunikation in beide Richtungen. Ein Client muss auch zurücksenden können. EIRP und ERP haben unterschiedliche Bezugspunkte. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung dB Dezibel, Verhältniswert dBm Leistungswert bezogen auf 1 mW dBi Antennengewinn bezogen auf isotropen Strahler dBd Antennengewinn bezogen auf Dipol Dämpfung Abschwächung eines Signals Verstärkung Erhöhung einer Signalstärke Antennengewinn Bündelung der abgestrahlten Energie Rundstrahlantenne Antenne mit breiter horizontaler Abstrahlung Richtantenne Antenne mit gezielter Abstrahlung in eine Richtung EIRP wirksame abgestrahlte Leistung bezogen auf isotropen Strahler ERP wirksame abgestrahlte Leistung bezogen auf Dipol Sendeleistung Leistung, mit der ein Funkgerät sendet Kabelverlust Leistungsverlust zwischen Sender und Antenne Freiraumdämpfung Abschwächung eines Funksignals über Entfernung SNR Signal-Rausch-Abstand asymmetrische Verbindung eine Seite sendet deutlich stärker als die andere IHK-sichere Kurzformulierung Dezibel, kurz dB, beschreibt ein logarithmisches Verhältnis, zum Beispiel eine Dämpfung oder einen Gewinn. Bei Leistungswerten entspricht 10 dB dem Faktor 10 und 20 dB dem Faktor 100. Antennengewinn bedeutet nicht, dass eine Antenne zusätzliche Energie erzeugt, sondern dass vorhandene Energie stärker in bestimmte Richtungen gebündelt wird. EIRP beschreibt die wirksame abgestrahlte Leistung bezogen auf einen idealen isotropen Strahler. Dabei werden Sendeleistung, Antennengewinn und Leitungsverluste berücksichtigt. Bei WLAN und anderen Funktechniken müssen gesetzliche Grenzwerte eingehalten werden. Merksätze dB = Verhältniswert. dBm = Leistung bezogen auf 1 mW. dBi = Antennengewinn bezogen auf isotropen Strahler. dBd = Antennengewinn bezogen auf Dipol. 3 dB ≈ Faktor 2. 10 dB = Faktor 10. 20 dB = Faktor 100. Dämpfung = Signal wird schwächer. Antennengewinn = Bündelung, nicht Energieerzeugung. Eine Antenne kann nichts „gewinnen“, sie verteilt Energie nur anders. EIRP = Sendeleistung + Antennengewinn - Verluste. Hoher Antennengewinn kann geringere Sendeleistung erfordern. Mehr Sendeleistung ist nicht automatisch besseres WLAN. WLAN muss in beide Richtungen funktionieren. Antennentechnik gehört zur Funkübertragung, nicht zu IP oder TCP. 3.13 Merksätze und Prüfungswissen zu Schicht 0 Diese Seite fasst die wichtigsten Inhalte zu Schicht 0 zusammen. Schicht 0 ist keine offizielle Schicht des OSI-Modells. Sie wird hier als Lernhilfe verwendet, um Übertragungsmedien, Verkabelung und physische Infrastruktur besser einzuordnen. Wichtig: Das offizielle OSI-Modell beginnt mit Schicht 1, der Bitübertragungsschicht. Schicht 0 hilft beim Verständnis der physischen Grundlage eines Netzwerks. Grundidee von Schicht 0 Schicht 0 beschreibt die physische Grundlage der Datenübertragung. Dazu gehören zum Beispiel: - Kupferkabel - Koaxialkabel - Twisted-Pair-Kabel - Lichtwellenleiter - WLAN-Funkstrecken - Patchkabel - Verlegekabel - Netzwerkdosen - Patchfelder - Netzwerkschränke - SFP-Module - Medienkonverter - Antennen Merksatz: Schicht 0 = physische Infrastruktur unterhalb der eigentlichen Bitübertragung. Abgrenzung zu OSI-Schicht 1 Schicht 0 ist eine didaktische Ergänzung. OSI-Schicht 1 ist offiziell Teil des OSI-Modells. Bereich Bedeutung Schicht 0 Verkabelung, Übertragungsmedien, physische Infrastruktur OSI-Schicht 1 Bitübertragungsschicht, Signale, Pegel, physische Übertragung Wichtig: Schicht 0 betrachtet eher das Medium und die Infrastruktur. Schicht 1 betrachtet die Übertragung von Bits als Signale. Merksatz: Schicht 0 = worüber übertragen wird. Schicht 1 = wie Bits als Signale übertragen werden. Wichtige Übertragungsmedien Medium Signalart typischer Einsatz Koaxialkabel elektrisch alte Ethernet-Bus-Topologien, heute im LAN veraltet Twisted Pair elektrisch moderne LAN-Arbeitsplatzverkabelung Lichtwellenleiter optisch Backbone, Gebäudeverbindung, lange Strecken WLAN Funk drahtlose lokale Netzwerke Merksätze: Kupfer überträgt elektrisch. Glasfaser überträgt optisch. WLAN überträgt per Funk. Koaxialkabel kurz wiederholt Koaxialkabel wurden früher in Ethernet-Netzwerken eingesetzt. Typischer historischer Bezug: 10BASE2 Bus-Topologie 10BASE2 bedeutet: Bestandteil Bedeutung 10 10 Mbit/s BASE Basisbandübertragung 2 ungefähr 200 Yard Segmentlänge Wichtig: Koaxialkabel sind im modernen LAN weitgehend veraltet. Merksatz: Koaxialkabel = alte Ethernet-Technik mit Bus-Topologie. Twisted-Pair-Kabel kurz wiederholt Twisted Pair bedeutet: verdrilltes Adernpaar Ein typisches Netzwerkkabel besitzt: 8 Adern 4 Adernpaare Die Verdrillung reduziert elektromagnetische Störeinflüsse. Typischer Einsatz: Arbeitsplatzverkabelung im LAN Merksatz: Twisted Pair = typische Kupferverkabelung im modernen LAN. Kabelkategorien kurz wiederholt Kategorie typische Einordnung CAT 3 ältere Technik, niedrige Datenraten CAT 5 ältere Fast-Ethernet-Verkabelung CAT 5e Gigabit-Ethernet möglich CAT 6 moderne LAN-Verkabelung CAT 6A wichtig für 10GBASE-T bis 100 m CAT 7 / CAT 8 hohe Anforderungen und hohe Datenraten, abhängig von Strecke und Technik Wichtig: Die Kabelkategorie allein garantiert nicht automatisch die tatsächliche Verbindungsgeschwindigkeit. Auch Switch, Netzwerkkarte, Patchfeld, Netzwerkdose, Kabellänge und Installation müssen passen. Merksatz: Die gesamte Strecke entscheidet. Wichtige Ethernet-Bezeichnungen Bezeichnung Bedeutung 10BASE-T 10 Mbit/s über Twisted Pair 100BASE-TX 100 Mbit/s über Twisted Pair 1000BASE-T 1 Gbit/s über Twisted Pair 2.5GBASE-T 2,5 Gbit/s über Twisted Pair 5GBASE-T 5 Gbit/s über Twisted Pair 10GBASE-T 10 Gbit/s über Twisted Pair Merksatz: BASE-T = Ethernet über Twisted Pair. Adern bei Twisted Pair Bei Twisted-Pair-Ethernet ist wichtig: Standard typische Nutzung 10BASE-T 4 Adern 100BASE-TX 4 Adern 1000BASE-T 8 Adern 10GBASE-T 8 Adern Prüfungsfalle: Wenn eine Verbindung nur 100 Mbit/s statt 1 Gbit/s erreicht, kann ein Problem mit einzelnen Adern oder der Verkabelung vorliegen. Merksatz: Gigabit-Ethernet nutzt alle 8 Adern. Patchkabel und Verlegekabel Kabelart Aufgabe Patchkabel flexible Verbindung Verlegekabel feste Installation Typischer Aufbau: PC → Patchkabel → Netzwerkdose → Verlegekabel → Patchfeld → Patchkabel → Switch Merksätze: Patchkabel = flexibel. Verlegekabel = fest installiert. Strukturierte Verkabelung Strukturierte Verkabelung bedeutet: geplante, einheitliche, dokumentierte und wartbare Gebäudeverkabelung. Typische Bestandteile: - Netzwerkdose - Verlegekabel - Patchfeld - Patchkabel - Netzwerkschrank - Switch - Dokumentation Vorteile: - bessere Übersicht - einfachere Fehlersuche - leichtere Erweiterung - saubere Dokumentation - flexible Nutzung von Anschlüssen Merksatz: Strukturierte Verkabelung macht Netzwerke planbar und wartbar. Patchfeld kurz erklärt Ein Patchfeld ist ein Anschlussfeld im Netzwerkschrank. Dort enden die fest verlegten Netzwerkkabel. Von dort werden Verbindungen mit Patchkabeln zum Switch hergestellt. Wichtig: Ein Patchfeld ist kein Switch. Merksatz: Patchfeld = Anschlussfeld für Verlegekabel. Physischer Port und TCP-/UDP-Port Der Begriff Port kann Unterschiedliches bedeuten. Begriff Bedeutung physischer Port Anschluss an Switch, Patchfeld, Netzwerkdose oder Gerät TCP-/UDP-Port Dienstadresse auf Schicht 4 Beispiele: Switch-Port 5 = physischer Anschluss TCP-Port 443 = HTTPS-Dienst Prüfungsfalle: Physischer Port und TCP-/UDP-Port nicht verwechseln. Merksatz: Physischer Port = Anschluss. TCP-/UDP-Port = Dienst. Lichtwellenleiter kurz wiederholt Lichtwellenleiter werden mit LWL abgekürzt. Andere Bezeichnungen: Glasfaser Fiber LWL überträgt Daten optisch mit Licht. Vorteile: - hohe Datenraten - lange Strecken - störungsarm - elektrische Trennung - gut für Backbone und Gebäudeverbindungen Merksatz: LWL = Datenübertragung mit Licht. Multimode und Singlemode Fasertyp Bedeutung typischer Einsatz Multimode mehrere Lichtwege kürzere bis mittlere Strecken Singlemode ein Lichtweg lange Strecken Singlemode wird auch genannt: Monomode Merksätze: Multimode = eher kürzer. Singlemode = eher länger. LWL-Sicherheit Bei Glasfaser gilt: Niemals direkt in eine Glasfaser oder in einen optischen Port schauen. Grund: Es kann unsichtbares Laserlicht austreten. Auch wenn man kein Licht sieht, kann es gefährlich für die Augen sein. Merksatz: Niemals in Glasfaser oder optische Ports schauen. SFP und Medienkonverter SFP steht für: Small Form-factor Pluggable Ein SFP ist ein steckbares Netzwerkmodul. Mini-GBIC ist eine ältere Bezeichnung für SFP. Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien. Typisches Beispiel: Kupfer Ethernet ↔ Glasfaser Ethernet Wichtig: Ein Medienkonverter ändert normalerweise keine IP-Adresse. Ein Medienkonverter ist normalerweise kein Router. Merksätze: SFP = steckbares Netzwerkmodul. Medienkonverter = Übergang zwischen Kupfer und Glasfaser. TX und RX Bei Glasfaserverbindungen sind TX und RX wichtig. TX steht für: Transmit Also: Senden RX steht für: Receive Also: Empfangen Wichtig: TX der einen Seite muss auf RX der anderen Seite treffen. Merksatz: TX muss auf RX. Einfache Regel für die Verkabelung Als einfache Orientierung gilt: Strecke / Einsatz sinnvolles Medium kurze LAN-Strecke Twisted-Pair-Kupfer mittlere Glasfaserstrecke Multimode-LWL lange Strecke Singlemode-LWL Noch kürzer: kurz = Kupfer mittel = Multimode lang = Singlemode Wichtig: Die konkrete Auswahl hängt von Datenrate, Entfernung, Störungen, Kosten, vorhandener Technik und Stromversorgung ab. 100-m-Regel bei Twisted Pair Bei Twisted-Pair-Ethernet gilt häufig als Orientierung: maximal 100 m Diese Strecke umfasst die gesamte Verbindung. Beispiel: Patchkabel + Verlegekabel + Patchkabel = gesamte Strecke Merksatz: Twisted Pair im LAN: häufig bis ca. 100 m. PoE kurz erklärt PoE steht für: Power over Ethernet PoE bedeutet: Stromversorgung über das Netzwerkkabel. Typische PoE-Geräte: - Access Points - IP-Kameras - VoIP-Telefone - Sensoren Wichtig: PoE funktioniert über Twisted-Pair-Kupfer, aber nicht direkt über Glasfaser. Merksatz: PoE = Strom über Netzwerkkabel. Dämpfung kurz wiederholt Dämpfung bedeutet: Ein Signal wird schwächer. Dämpfung gibt es bei: - Kupfer - Glasfaser - WLAN-Funk Typische Ursachen: - Kabellänge - schlechte Steckverbindungen - Verschmutzung - falsches Medium - Biegeradius unterschritten - Störungen - zu hohe Entfernung Merksatz: Dämpfung = Signalverlust. Signalqualität Signalqualität beschreibt, wie gut ein Signal beim Empfänger ankommt. Eine schlechte Signalqualität kann verursachen: - instabile Verbindung - Paketverluste - niedrigen Durchsatz - Verbindungsabbrüche - niedrig ausgehandelte Geschwindigkeit Wichtig: Link vorhanden bedeutet nicht automatisch gute Signalqualität. Merksatz: Signalqualität = wie sauber und nutzbar ein Signal ankommt. Bandbreite, Durchsatz und Latenz Begriff Bedeutung Bandbreite theoretische Übertragungskapazität Durchsatz tatsächlich erreichte Datenrate Latenz Verzögerungszeit Prüfungsfalle: Bandbreite und Durchsatz sind nicht dasselbe. Merksätze: Bandbreite = möglich. Durchsatz = tatsächlich erreicht. Latenz = Verzögerung. WLAN kurz wiederholt WLAN steht für: Wireless Local Area Network WLAN ist ein drahtloses lokales Netzwerk. Die Datenübertragung erfolgt per Funk. Typische Frequenzbereiche: 2,4 GHz 5 GHz 6 GHz Merksatz: WLAN = lokales Netzwerk über Funk. WLAN-Standards Wi-Fi-Bezeichnung technischer Standard Wi-Fi 4 IEEE 802.11n Wi-Fi 5 IEEE 802.11ac Wi-Fi 6 IEEE 802.11ax Wi-Fi 6E IEEE 802.11ax mit 6-GHz-Erweiterung Wi-Fi 7 IEEE 802.11be Wichtig: IEEE 802.11 ist die Normfamilie für WLAN. Merksatz: Wi-Fi 6 = IEEE 802.11ax. Wi-Fi 7 = IEEE 802.11be. 2,4 GHz, 5 GHz und 6 GHz Frequenzbereich typische Eigenschaft 2,4 GHz größere Reichweite, oft stärker belegt 5 GHz höhere Datenraten, geringere Reichweite 6 GHz moderne zusätzliche Kapazität, passende Geräte nötig Merksatz: 2,4 GHz reicht weiter. 5 GHz ist oft schneller. 6 GHz bietet zusätzliche Kapazität. SSID, BSSID und VLAN Begriff Bedeutung SSID Name eines WLANs BSSID MAC-Adresse eines konkreten Access Points VLAN logische Netztrennung Beispiel: SSID VLAN Zweck Firma-Mitarbeiter VLAN 10 internes Netzwerk Firma-Gast VLAN 20 Gastzugang Firma-IoT VLAN 30 Geräte-Netz Merksatz: SSID = WLAN-Name. VLAN = logische Trennung. WLAN-Sicherheit WLAN muss abgesichert werden, weil Funk nicht an der Wand endet. Wichtige Sicherheitsstandards: Standard Einordnung WEP veraltet und unsicher WPA veraltet WPA2 Mindeststandard WPA3 besser und moderner Wichtig: WLAN sollte mindestens mit WPA2, besser mit WPA3 abgesichert werden. Merksatz: WLAN braucht Verschlüsselung. WPA-Personal und WPA-Enterprise Verfahren Bedeutung WPA-Personal gemeinsames WLAN-Passwort WPA-Enterprise individuelle Anmeldung über 802.1X / RADIUS WPA-Personal nutzt häufig einen PSK. PSK steht für: Pre-Shared Key WPA-Enterprise ist besonders für größere Umgebungen sinnvoll. Merksatz: Personal = gemeinsames Passwort. Enterprise = individuelle Anmeldung. Gast-WLAN Ein Gast-WLAN sollte vom internen Netzwerk getrennt sein. Typische Umsetzung: eigene SSID eigenes VLAN Firewall-Regeln Client-Isolation eventuell Captive Portal Ziel: Gäste dürfen ins Internet, aber nicht auf interne Systeme. Merksatz: Gast-WLAN vom internen Netz trennen. MIMO und MU-MIMO MIMO steht für: Multiple Input Multiple Output MU-MIMO steht für: Multi User MIMO Kurz erklärt: Begriff Bedeutung MIMO mehrere Antennen und Datenströme MU-MIMO mehrere Clients gleichzeitig effizienter bedienen Wichtig: Access Point und Client müssen die Technik unterstützen. Merksatz: MIMO verbessert Funkübertragung, ersetzt aber keine WLAN-Planung. CSMA/CA CSMA/CA steht für: Carrier Sense Multiple Access / Collision Avoidance WLAN nutzt Kollisionsvermeidung. Merksatz: CSMA/CA = Kollisionsvermeidung bei WLAN. Nicht verwechseln mit: CSMA/CD = Kollisionserkennung bei älteren drahtgebundenen Ethernet-Umgebungen. Dezibel und Antennengewinn dB beschreibt ein Verhältnis. dBm beschreibt eine absolute Leistung bezogen auf 1 mW. dBi beschreibt Antennengewinn bezogen auf einen isotropen Strahler. Begriff Bedeutung dB Verhältniswert dBm Leistung bezogen auf 1 mW dBi Antennengewinn EIRP wirksame abgestrahlte Leistung ERP effektive Strahlungsleistung bezogen auf Dipol Merksatz: dB ≠ dBm ≠ dBi. Antennengewinn Antennengewinn bedeutet: Die Antenne bündelt die vorhandene Energie stärker in bestimmte Richtungen. Wichtig: Eine Antenne erzeugt keine zusätzliche Energie. Merksatz: Antennengewinn = Bündelung, nicht Energieerzeugung. EIRP kurz erklärt EIRP steht für: Equivalent Isotropically Radiated Power EIRP beschreibt die wirksame abgestrahlte Leistung bezogen auf einen idealen isotropen Strahler. Vereinfacht: EIRP = Sendeleistung + Antennengewinn - Verluste Wichtig: Gesetzliche Grenzwerte beziehen sich häufig auf die wirksame abgestrahlte Leistung. Merksatz: Hoher Antennengewinn kann geringere Sendeleistung erfordern. Wichtige Prüfungszuordnungen Thema richtige Einordnung Koaxialkabel ältere Ethernet-Verkabelung Twisted Pair typische Kupferverkabelung im LAN LWL optische Datenübertragung Multimode eher kürzere Glasfaserstrecken Singlemode eher lange Glasfaserstrecken Patchfeld Anschlussfeld für Verlegekabel Medienkonverter Übergang zwischen Medien SFP steckbares Netzwerkmodul WLAN drahtloses lokales Netzwerk SSID WLAN-Name VLAN logische Netztrennung WPA2 / WPA3 WLAN-Sicherheit MIMO mehrere Antennen und Datenströme dB Verhältniswert EIRP wirksame abgestrahlte Leistung Typische Prüfungsfragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist Schicht 0 keine offizielle OSI-Schicht? - Welche Übertragungsmedien gibt es? - Was bedeutet Twisted Pair? - Warum sind Adernpaare verdrillt? - Was ist der Unterschied zwischen Patchkabel und Verlegekabel? - Was ist ein Patchfeld? - Was ist strukturierte Verkabelung? - Was ist der Unterschied zwischen Multimode und Singlemode? - Warum verwendet man LWL für lange Strecken? - Was bedeutet Dämpfung? - Was ist ein SFP-Modul? - Was macht ein Medienkonverter? - Was bedeutet WLAN? - Was ist eine SSID? - Warum muss WLAN verschlüsselt werden? - Was bedeutet MIMO? - Was bedeutet dB? - Was ist EIRP? Typische Prüfungsfallen Schicht 0 ist keine offizielle OSI-Schicht. Das OSI-Modell beginnt offiziell mit Schicht 1. Koaxialkabel ist im modernen LAN weitgehend veraltet. 10BASE2 bedeutet nicht 2 Mbit/s. Twisted Pair bedeutet verdrilltes Adernpaar. Gigabit-Ethernet nutzt alle 8 Adern. Kabelkategorie allein garantiert nicht die Geschwindigkeit. Patchfeld ist kein Switch. Physischer Port ist nicht TCP-/UDP-Port. Multimode und Singlemode sind nicht beliebig austauschbar. Glasfaser überträgt kein PoE. SFP-Port und SFP-Modul sind nicht dasselbe. TX muss auf RX. WLAN ist nicht dasselbe wie Internet. SSID ist nicht das Passwort. WPA2 ist Mindeststandard, WPA3 ist besser. MAC-Filter ersetzt keine WLAN-Verschlüsselung. dB ist kein absoluter Leistungswert. Eine Antenne erzeugt keine zusätzliche Energie. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht 0 didaktische Ergänzung für Übertragungsmedien und Infrastruktur Übertragungsmedium physischer Weg der Datenübertragung Koaxialkabel ältere Ethernet-Verkabelung mit Innenleiter und Schirmung Twisted Pair Kupferkabel mit verdrillten Adernpaaren LWL Lichtwellenleiter, optische Datenübertragung Multimode Glasfaser mit mehreren Lichtwegen Singlemode Glasfaser mit einem Lichtweg Patchkabel flexibles Verbindungskabel Verlegekabel fest installiertes Kabel Patchfeld Anschlussfeld für fest verlegte Kabel strukturierte Verkabelung geplante und dokumentierte Gebäudeverkabelung Medienkonverter verbindet unterschiedliche Übertragungsmedien SFP steckbares Netzwerkmodul Dämpfung Abschwächung eines Signals WLAN drahtloses lokales Netzwerk SSID Name eines WLANs VLAN logisches Teilnetz WPA2 verbreiteter WLAN-Sicherheitsstandard WPA3 neuerer WLAN-Sicherheitsstandard MIMO mehrere Antennen und Datenströme dB Verhältniswert dBm Leistung bezogen auf 1 mW dBi Antennengewinn EIRP wirksame abgestrahlte Leistung IHK-sichere Gesamtformulierung Schicht 0 ist keine offizielle Schicht des OSI-Modells, sondern eine didaktische Ergänzung zur Einordnung von Übertragungsmedien und physischer Infrastruktur. Dazu gehören Koaxialkabel, Twisted-Pair-Kabel, Lichtwellenleiter, WLAN-Funkstrecken, Patchkabel, Verlegekabel, Netzwerkdosen, Patchfelder und Netzwerkschränke. Twisted Pair ist die typische Kupferverkabelung im LAN. Lichtwellenleiter übertragen Daten optisch und eignen sich besonders für lange Strecken, Backbone-Verbindungen und störungsarme Übertragung. WLAN überträgt Daten per Funk und muss wegen der drahtlosen Ausbreitung besonders abgesichert werden. Eine fehlerhafte physische Infrastruktur kann alle höheren Netzwerkschichten beeinträchtigen. Wichtigste Merksätze Schicht 0 ist eine Lernhilfe. OSI beginnt offiziell mit Schicht 1. Schicht 0 = Übertragungsmedien und Verkabelung. Schicht 1 = Bits und Signale. Kupfer = elektrisch. Glasfaser = optisch. WLAN = Funk. Koaxialkabel = ältere Ethernet-Technik. Twisted Pair = verdrillte Adernpaare. Typisches Netzwerkkabel = 8 Adern. Gigabit nutzt alle 8 Adern. Patchkabel = flexibel. Verlegekabel = fest installiert. Patchfeld = kein Switch. LWL = Lichtwellenleiter. Multimode = eher kürzere Strecken. Singlemode = eher lange Strecken. Medienkonverter = Kupfer zu Glasfaser. SFP = steckbares Netzwerkmodul. TX muss auf RX. Dämpfung = Signal wird schwächer. Bandbreite ist nicht Durchsatz. WLAN = drahtloses lokales Netzwerk. SSID = WLAN-Name. VLAN = logische Trennung. WPA2 mindestens, WPA3 besser. MIMO = mehrere Antennen und Datenströme. dB = Verhältniswert. Antennengewinn = Bündelung, nicht Energieerzeugung. EIRP = wirksame abgestrahlte Leistung. Ohne funktionierende physische Infrastruktur funktionieren die höheren Schichten nicht zuverlässig. 4. OSI-Schicht 1 – Bitübertragungsschicht 4.1 OSI-Schicht 1 – Bitübertragungsschicht Die Bitübertragungsschicht ist die unterste offizielle Schicht des OSI-Modells. Sie beschreibt, wie einzelne Bits physisch übertragen werden. Das bedeutet: Daten werden auf Schicht 1 nicht als Webseite, Datei, IP-Adresse oder TCP-Verbindung betrachtet, sondern nur als Folge von Bits. Ein Bit kann zwei Zustände haben: 0 1 Diese Bits werden je nach Medium als Signale übertragen. Grundaufgabe der Bitübertragungsschicht Die Hauptaufgabe der Bitübertragungsschicht ist: Bits über ein physisches Medium übertragen. Dabei geht es vor allem um: - elektrische Signale - optische Signale - Funksignale - Stecker - Schnittstellen - Übertragungsgeschwindigkeit - Signalpegel - Taktung - physische Verbindung - Netzwerkkarte - Hub Merksatz: Schicht 1 = Bits und Signale. Einordnung im OSI-Modell OSI-Schicht Name Aufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Darstellung, Codierung, Kompression, Verschlüsselung 5 Sitzungsschicht Sitzungen verwalten 4 Transportschicht Transport zwischen Anwendungen 3 Vermittlungsschicht IP-Adressierung und Routing 2 Sicherungsschicht lokale Übertragung mit Frames und MAC-Adressen 1 Bitübertragungsschicht Bits als Signale übertragen Wichtig: Schicht 1 ist die unterste offizielle OSI-Schicht. Abgrenzung zu Schicht 0 In unserem Lernsystem gibt es vorher das Kapitel Schicht 0. Schicht 0 ist aber keine offizielle OSI-Schicht. Bereich Bedeutung Schicht 0 Verkabelung, Übertragungsmedien, physische Infrastruktur OSI-Schicht 1 Bitübertragung, Signale, Pegel, Schnittstellen Vereinfacht: Schicht 0 = worüber übertragen wird. Schicht 1 = wie Bits als Signale übertragen werden. Beispiel: Twisted-Pair-Kabel = Schicht 0 / Medium elektrische Signalübertragung über das Kabel = Schicht 1 Merksatz: Schicht 0 ist die physische Grundlage. Schicht 1 überträgt Bits als Signale. Begriff: Bit Ein Bit ist die kleinste Informationseinheit in der digitalen Datenverarbeitung. Ein Bit kann zwei Zustände haben: 0 1 Auf Schicht 1 werden Bits physisch übertragen. Je nach Technik können diese Zustände dargestellt werden durch: - elektrische Spannungszustände - Lichtimpulse - Funksignale - Signaländerungen Merksatz: Bit = kleinste Informationseinheit. Begriff: Signal Ein Signal ist die physische Darstellung von Information. Auf Schicht 1 werden Bits als Signale übertragen. Beispiele: Medium Signalart Kupferkabel elektrische Signale Lichtwellenleiter optische Signale WLAN elektromagnetische Funksignale Wichtig: Schicht 1 kennt keine IP-Adressen, keine MAC-Adressen und keine Ports. Schicht 1 überträgt nur Signale. Merksatz: Signal = physische Darstellung von Bits. Elektrische Signalübertragung Bei Kupferkabeln werden Bits als elektrische Signale übertragen. Typische Medien: - Twisted-Pair-Kabel - Koaxialkabel Beispiel: Bei Ethernet über Twisted Pair werden elektrische Signale über Kupferadern übertragen. Wichtig: Die Qualität der elektrischen Übertragung hängt unter anderem von Kabellänge, Kabelqualität, Störungen und Steckverbindungen ab. Merksatz: Kupfer überträgt elektrisch. Optische Signalübertragung Bei Lichtwellenleitern werden Bits als Lichtsignale übertragen. Typisches Medium: Lichtwellenleiter Andere Bezeichnungen: Glasfaser LWL Fiber Vorteile: - hohe Datenraten - lange Strecken - geringe Störempfindlichkeit gegenüber elektromagnetischen Einflüssen Wichtig: Niemals direkt in eine Glasfaser oder in optische Ports schauen. Merksatz: Glasfaser überträgt optisch. Funkübertragung Bei WLAN werden Bits über Funk übertragen. Typische Technik: IEEE 802.11 Typische Frequenzbereiche: 2,4 GHz 5 GHz 6 GHz Bei Funkübertragung ist die Signalqualität stark abhängig von: - Entfernung - Hindernissen - Störungen - Kanalbelegung - Antennen - Sendeleistung - Anzahl der Clients Merksatz: WLAN überträgt per Funk. Begriff: Physische Schnittstelle Eine physische Schnittstelle ist der konkrete Anschluss oder Übergang zur Übertragung. Beispiele: - RJ45-Anschluss - Glasfaseranschluss - SFP-Port mit SFP-Modul - WLAN-Funkschnittstelle - Netzwerkkarte Wichtig: Die physische Schnittstelle stellt die Verbindung zur Übertragungstechnik bereit. Merksatz: Physische Schnittstelle = Anschluss zur Datenübertragung. Netzwerkkarte Die Netzwerkkarte ist das Bindeglied zwischen Rechner und Netzwerk. Andere Bezeichnungen: Netzwerkadapter NIC Network Interface Card Eine Netzwerkkarte kann zum Beispiel sein: - Ethernet-Netzwerkkarte - WLAN-Adapter - Glasfaser-Netzwerkkarte - Onboard-Netzwerkanschluss - USB-Netzwerkadapter Merksatz: Netzwerkkarte = Schnittstelle zwischen Computer und Netzwerk. Aufgaben der Netzwerkkarte auf Schicht 1 Auf Schicht 1 ist die Netzwerkkarte für die physische Signalübertragung wichtig. Typische Aufgaben im Schicht-1-Bezug: - Bits senden - Bits empfangen - Signale erzeugen - Signale auswerten - Verbindungsgeschwindigkeit aushandeln - physische Verbindung herstellen - Link-Status erkennen Wichtig: Moderne Netzwerkkarten haben auch Funktionen, die Schicht 2 betreffen, zum Beispiel MAC-Adresse und Frame-Verarbeitung. Für Schicht 1 ist aber besonders die physische Übertragung entscheidend. Merksatz: Netzwerkkarte überträgt Bits zwischen Computer und Netzwerk. Begriff: Link Ein Link ist eine aktive physische Verbindung zwischen zwei Netzwerkkomponenten. Beispiel: PC ↔ Switch Wenn die Link-LED leuchtet, besteht grundsätzlich eine physische Verbindung. Wichtig: Link vorhanden bedeutet nicht automatisch, dass IP, DNS oder Internet funktionieren. Ein Link zeigt zuerst nur: Die physische Verbindung ist grundsätzlich aktiv. Merksatz: Link = aktive physische Verbindung. Link-LED Viele Netzwerkgeräte besitzen eine Link-LED. Diese LED zeigt an, ob eine physische Verbindung erkannt wurde. Typische Anzeigen: LED aus: keine physische Verbindung LED an: physische Verbindung vorhanden LED blinkt: Datenübertragung oder Aktivität Wichtig: Die genaue Bedeutung hängt vom Gerät ab. Merksatz: Link-LED hilft bei der Prüfung von Schicht 1. Übertragungsgeschwindigkeit Die Übertragungsgeschwindigkeit beschreibt, mit welcher Datenrate eine Verbindung arbeiten kann. Beispiele: 100 Mbit/s 1 Gbit/s 2,5 Gbit/s 10 Gbit/s Die mögliche Geschwindigkeit hängt ab von: - Netzwerkkarte - Switch-Port - Kabel - Stecker - Patchfeld - Standard - Konfiguration - Signalqualität Merksatz: Die langsamste oder ungeeignete Komponente kann die Verbindung begrenzen. Auto-Negotiation Auto-Negotiation bedeutet: Zwei Netzwerkgeräte handeln automatisch aus, mit welcher Geschwindigkeit und welchem Duplexmodus sie arbeiten. Dabei wird zum Beispiel ausgehandelt: - 100 Mbit/s - 1 Gbit/s - 2,5 Gbit/s - 10 Gbit/s - Halbduplex - Vollduplex Wichtig: Wenn Kabel, Port oder Gegenstelle eine Geschwindigkeit nicht unterstützen, wird eventuell eine niedrigere Geschwindigkeit genutzt oder es kommt kein stabiler Link zustande. Merksatz: Auto-Negotiation = automatische Aushandlung der Verbindungseigenschaften. Duplexmodus Der Duplexmodus beschreibt, ob gleichzeitig gesendet und empfangen werden kann. Modus Bedeutung Halbduplex Senden oder Empfangen, aber nicht gleichzeitig Vollduplex Senden und Empfangen gleichzeitig Moderne geswitchte Ethernet-Verbindungen arbeiten normalerweise mit Vollduplex. Historisch war Halbduplex besonders bei Hubs wichtig. Merksatz: Vollduplex = gleichzeitig senden und empfangen. Simplex, Halbduplex und Vollduplex Begriff Bedeutung Vergleich Simplex nur eine Richtung Einbahnstraße Halbduplex abwechselnd in beide Richtungen Baustellenampel Vollduplex gleichzeitig in beide Richtungen zweispurige Straße Prüfungshinweis: Bei modernen Switch-Verbindungen ist Vollduplex üblich. Bei alten Hub-Umgebungen war Halbduplex typisch. Hub Ein Hub ist ein älteres Netzwerkgerät. Ein Hub arbeitet auf Schicht 1. Er verteilt eingehende Signale an alle angeschlossenen Ports. Das bedeutet: Ein Signal, das an einem Port eingeht, wird an alle anderen Ports weitergegeben. Ein Hub wertet keine MAC-Adressen aus. Ein Hub wertet keine IP-Adressen aus. Merksatz: Hub = Schicht 1, verteilt Signale an alle Ports. Hub im Vergleich zum Switch Gerät typische Schicht Arbeitsweise Hub Schicht 1 verteilt Signale an alle Ports Switch Schicht 2 leitet Frames anhand von MAC-Adressen weiter Wichtig: Ein Hub ist kein Switch. Ein Hub ist deutlich einfacher und älter. Ein Switch ist heute die übliche Komponente im LAN. Merksatz: Hub verteilt blind. Switch entscheidet anhand von MAC-Adressen. Warum sind Hubs veraltet? Hubs werden in modernen LANs praktisch nicht mehr eingesetzt. Nachteile: - alle Daten werden an alle Ports verteilt - unnötiger Datenverkehr - schlechte Netzwerkeffizienz - nur Halbduplex - höhere Kollisionsgefahr - Sniffing einfacher möglich - keine gezielte Weiterleitung anhand von MAC-Adressen Moderne Netzwerke verwenden stattdessen Switches. Merksatz: Hubs sind durch Switches ersetzt worden. Kollisionen Eine Kollision entsteht, wenn mehrere Geräte gleichzeitig auf demselben Übertragungsmedium senden und sich die Signale stören. Historisch war das besonders bei gemeinsam genutzten Ethernet-Medien und Hubs wichtig. Bei modernen Switch-Verbindungen mit Vollduplex spielen Kollisionen praktisch keine Rolle mehr. Merksatz: Kollision = gleichzeitiges Senden auf gemeinsamem Medium. Kollisionsdomäne Eine Kollisionsdomäne ist ein Netzwerkbereich, in dem Kollisionen auftreten können. Bei einem Hub gehören alle angeschlossenen Geräte zur gleichen Kollisionsdomäne. Bei einem Switch ist normalerweise jeder Port eine eigene Kollisionsdomäne. Merksatz: Hub = eine große Kollisionsdomäne. Switch = Portweise getrennte Kollisionsbereiche. CSMA/CD CSMA/CD steht für: Carrier Sense Multiple Access / Collision Detection Auf Deutsch sinngemäß: Mehrfachzugriff mit Trägerprüfung und Kollisionserkennung CSMA/CD wurde bei älteren Ethernet-Umgebungen verwendet, um mit Kollisionen umzugehen. Grundidee: Vor dem Senden wird geprüft, ob das Medium frei ist. Wenn es trotzdem zu einer Kollision kommt, wird diese erkannt. Danach wird später erneut gesendet. Merksatz: CSMA/CD = Kollisionserkennung bei älteren drahtgebundenen Ethernet-Umgebungen. CSMA/CA CSMA/CA steht für: Carrier Sense Multiple Access / Collision Avoidance Auf Deutsch sinngemäß: Mehrfachzugriff mit Trägerprüfung und Kollisionsvermeidung CSMA/CA wird bei WLAN verwendet. Grundidee: Kollisionen sollen möglichst vermieden werden, weil sie bei Funk schwerer direkt erkannt werden können. Merksatz: CSMA/CA = Kollisionsvermeidung bei WLAN. CSMA/CD und CSMA/CA im Vergleich Verfahren Bedeutung typischer Bezug CSMA/CD Collision Detection ältere drahtgebundene Ethernet-Umgebungen CSMA/CA Collision Avoidance WLAN Merksätze: CD = Collision Detection = Kollisionserkennung. CA = Collision Avoidance = Kollisionsvermeidung. Schicht 1 und Fehlersuche Viele Netzwerkprobleme beginnen auf Schicht 1. Typische Schicht-1-Probleme: - Kabel nicht gesteckt - Kabel defekt - falsches Kabel - Port defekt - Netzwerkkarte deaktiviert - falsches SFP-Modul - TX/RX bei Glasfaser vertauscht - zu lange Kabelstrecke - schlechte Signalqualität - WLAN-Signal zu schwach - Stromversorgung fehlt - Hub oder Medienkonverter defekt Merksatz: Bei Netzwerkproblemen zuerst Schicht 1 prüfen. Typische Prüfungen auf Schicht 1 Sinnvolle Prüfschritte: 1. Ist das Kabel eingesteckt? 2. Leuchtet die Link-LED? 3. Ist der richtige Port verwendet? 4. Ist das Kabel beschädigt? 5. Ist die Netzwerkkarte aktiv? 6. Wird eine Geschwindigkeit ausgehandelt? 7. Unterstützen beide Seiten dieselbe Geschwindigkeit? 8. Ist das SFP-Modul passend? 9. Sind TX und RX richtig verbunden? 10. Ist das WLAN-Signal ausreichend? Mögliche Werkzeuge: - Sichtprüfung - Kabeltester - Link-LED - Switch-Port-Status - Betriebssystemanzeige - WLAN-Signalstärke - LWL-Tester Merksatz: Schicht 1 prüft man zuerst physisch und elektrisch/optisch/funktechnisch. Schicht 1 und höhere Schichten Ein Fehler auf Schicht 1 kann alle höheren Schichten beeinflussen. Beispiel: Wenn kein Link vorhanden ist, funktionieren auch IP, TCP, DNS und HTTP nicht. Das bedeutet: Ohne funktionierende physische Übertragung kann keine höhere Netzwerkkommunikation stattfinden. Merksatz: Ohne Schicht 1 keine höheren Schichten. Was gehört nicht zu Schicht 1? Nicht alles, was mit Netzwerk zu tun hat, gehört zu Schicht 1. Thema typische Schicht MAC-Adresse Schicht 2 Ethernet-Frame Schicht 2 VLAN Schicht 2 IP-Adresse Schicht 3 Routing Schicht 3 TCP / UDP Schicht 4 Portnummer Schicht 4 DNS Schicht 7 HTTP Schicht 7 Wichtig: Schicht 1 überträgt Bits. Sie wertet keine MAC-Adressen, IP-Adressen oder Ports aus. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Bitübertragungsschicht? - Was wird auf Schicht 1 übertragen? - Welche Signalarten gibt es? - Welche Geräte arbeiten auf Schicht 1? - Was ist ein Hub? - Warum ist ein Hub kein Switch? - Was bedeutet Halbduplex? - Was bedeutet Vollduplex? - Was bedeutet Auto-Negotiation? - Was ist CSMA/CD? - Was ist CSMA/CA? - Welche Fehler liegen typischerweise auf Schicht 1? - Warum beeinflusst ein Fehler auf Schicht 1 alle höheren Schichten? Typische Prüfungsfallen Schicht 1 überträgt Bits, keine IP-Pakete im fachlichen Sinne. Ein Hub arbeitet auf Schicht 1. Ein Switch arbeitet typischerweise auf Schicht 2. Ein Router arbeitet typischerweise auf Schicht 3. Link vorhanden bedeutet nicht automatisch, dass IP oder DNS funktionieren. Ein Kabelproblem kann wie ein IP-Problem wirken. CSMA/CD gehört zu älteren drahtgebundenen Ethernet-Umgebungen. CSMA/CA gehört zu WLAN. Halbduplex und Vollduplex nicht verwechseln. Auto-Negotiation kann durch Kabel- oder Portprobleme beeinflusst werden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Bitübertragungsschicht OSI-Schicht 1, überträgt Bits als Signale Bit kleinste Informationseinheit, 0 oder 1 Signal physische Darstellung von Information elektrische Signale Signalübertragung über Kupfer optische Signale Signalübertragung über Lichtwellenleiter Funksignale drahtlose Signalübertragung physische Schnittstelle Anschluss zur Datenübertragung Netzwerkkarte Schnittstelle zwischen Computer und Netzwerk NIC Network Interface Card, Netzwerkkarte Link aktive physische Verbindung Link-LED Anzeige für physische Verbindung Auto-Negotiation automatische Aushandlung von Geschwindigkeit und Duplex Halbduplex abwechselnd senden oder empfangen Vollduplex gleichzeitig senden und empfangen Hub Schicht-1-Gerät, verteilt Signale an alle Ports Kollision gleichzeitiges Senden auf gemeinsamem Medium Kollisionsdomäne Bereich, in dem Kollisionen auftreten können CSMA/CD Kollisionserkennung bei älteren Ethernet-Umgebungen CSMA/CA Kollisionsvermeidung bei WLAN IHK-sichere Kurzformulierung Die Bitübertragungsschicht ist Schicht 1 des OSI-Modells. Sie ist für die Übertragung einzelner Bits über ein physisches Medium zuständig. Die Bits werden je nach Medium als elektrische, optische oder elektromagnetische Signale übertragen. Typische Themen sind Netzwerkkarte, physische Schnittstellen, Link, Übertragungsgeschwindigkeit, Duplexmodus, Auto-Negotiation und Hub. Ein Hub arbeitet auf Schicht 1 und verteilt Signale an alle Ports, während ein Switch auf Schicht 2 anhand von MAC-Adressen weiterleitet. Fehler auf Schicht 1 können alle höheren Schichten beeinflussen. Merksätze Schicht 1 = Bitübertragungsschicht. Schicht 1 überträgt Bits als Signale. Bit = 0 oder 1. Kupfer = elektrische Signale. Glasfaser = optische Signale. WLAN = Funksignale. Netzwerkkarte = Schnittstelle zwischen Computer und Netzwerk. Link = aktive physische Verbindung. Link vorhanden bedeutet nicht automatisch, dass IP funktioniert. Auto-Negotiation = automatische Aushandlung. Halbduplex = abwechselnd. Vollduplex = gleichzeitig. Hub = Schicht 1. Switch = Schicht 2. Router = Schicht 3. Hub verteilt Signale an alle Ports. CSMA/CD = Kollisionserkennung. CSMA/CA = Kollisionsvermeidung. Ohne funktionierende Schicht 1 funktionieren die höheren Schichten nicht zuverlässig. 4.2 Bits, Signale und Übertragungsarten Auf OSI-Schicht 1 werden Daten als Bits übertragen. Ein Bit ist entweder: 0 oder 1 Damit diese Bits über ein Medium übertragen werden können, müssen sie physisch dargestellt werden. Das geschieht durch Signale. Je nach Übertragungsmedium können das sein: - elektrische Signale - optische Signale - Funksignale Merksatz: Bits sind logisch. Signale sind physisch. Vom Bit zum Signal Ein Computer verarbeitet digitale Daten als Bits. Damit diese Bits über ein Netzwerk übertragen werden können, müssen sie in Signale umgesetzt werden. Beispiel: Bitfolge: 1 0 1 1 0 0 1 Diese Bitfolge wird auf dem Übertragungsmedium als Signalfolge dargestellt. Je nach Technik kann das zum Beispiel bedeuten: - unterschiedliche Spannungszustände - Lichtimpulse - Frequenzänderungen - Phasenänderungen - Signalpegeländerungen Wichtig: Schicht 1 beschäftigt sich nicht mit der Bedeutung der Daten. Sie überträgt nur Bits als Signale. Merksatz: Schicht 1 fragt nicht „Was bedeuten die Daten?“, sondern „Wie werden die Bits übertragen?“ Digitale Daten Digitale Daten bestehen aus diskreten Werten. In Computern sind das normalerweise Bits. Ein Bit kann zwei Zustände annehmen: Bit Bedeutung 0 Zustand 0 1 Zustand 1 Mehrere Bits ergeben größere Informationseinheiten. Beispiele: Einheit Größe 1 Bit kleinste Informationseinheit 1 Byte 8 Bit 1 Kilobyte ungefähr 1000 Byte 1 Megabyte ungefähr 1 Million Byte Merksatz: Digitale Daten bestehen aus Bits. Analoge Signale Ein analoges Signal kann kontinuierliche Werte annehmen. Beispiel: Spannung kann stufenlos steigen oder fallen. Analoge Signale kennt man zum Beispiel aus: - klassischer Telefontechnik - Radio - Audio - Funktechnik - Sensorik In der Netzwerktechnik werden digitale Daten oft über physische Signale übertragen, die technisch als elektrische, optische oder elektromagnetische Signalverläufe auftreten. Wichtig: Die Daten sind digital. Die physische Übertragung erfolgt über reale Signale. Merksatz: Digitale Information wird physisch als Signal übertragen. Elektrische Signale Elektrische Signale werden über Kupfer übertragen. Typische Medien: - Twisted-Pair-Kabel - Koaxialkabel Bei elektrischen Signalen können Bits zum Beispiel durch verschiedene Spannungszustände oder Signalverläufe dargestellt werden. Typische Einflussfaktoren: - Kabellänge - Kabelqualität - Schirmung - Dämpfung - Störungen - Steckverbindungen - elektromagnetische Einflüsse Merksatz: Kupfer überträgt Bits elektrisch. Optische Signale Optische Signale werden über Lichtwellenleiter übertragen. Typisches Medium: LWL Andere Bezeichnungen: Glasfaser Fiber Bei optischen Signalen werden Bits durch Lichtsignale übertragen. Typische Einflussfaktoren: - Faserart - Wellenlänge - Dämpfung - Steckverbindungen - Spleiße - Verschmutzung - Biegeradius - passendes SFP-Modul Wichtig: Niemals direkt in Glasfaser oder optische Ports schauen. Merksatz: Glasfaser überträgt Bits optisch. Funksignale Funksignale werden drahtlos übertragen. Typisches Beispiel: WLAN WLAN nutzt elektromagnetische Wellen. Typische Einflussfaktoren: - Entfernung - Wände - Decken - andere WLAN-Netze - Kanalbelegung - Frequenzband - Sendeleistung - Antennen - Anzahl der Clients Merksatz: WLAN überträgt Bits per Funk. Signalpegel Ein Signalpegel beschreibt die Stärke eines Signals. Je nach Technik kann ein Signalpegel zum Beispiel eine elektrische Spannung, eine optische Leistung oder eine Funk-Signalstärke beschreiben. Ein zu schwaches Signal kann dazu führen, dass der Empfänger die Bits nicht mehr sicher erkennt. Mögliche Folgen: - Übertragungsfehler - Paketverluste - niedriger Durchsatz - Verbindungsabbrüche - keine Verbindung Merksatz: Signalpegel = Stärke eines Signals. Dämpfung Dämpfung bedeutet: Ein Signal wird schwächer. Dämpfung kann auftreten bei: - Kupferkabeln - Glasfaser - WLAN-Funkstrecken Typische Ursachen: - lange Strecke - schlechte Steckverbindung - beschädigtes Kabel - zu enger Biegeradius - Verschmutzung - Störungen - falsches Medium Merksatz: Dämpfung = Signalverlust. Störung Eine Störung ist eine unerwünschte Beeinflussung eines Signals. Beispiele: - elektromagnetische Störung - Funkstörung - Rauschen - schlechte Abschirmung - Übersprechen zwischen Adern - Reflexionen - defekte Komponenten Störungen können dazu führen, dass Bits falsch erkannt werden. Merksatz: Störung = unerwünschte Beeinflussung der Signalübertragung. Rauschen Rauschen ist ein unerwünschtes Signal, das das eigentliche Nutzsignal überlagern kann. Je stärker das Rauschen ist, desto schwieriger kann der Empfänger das Nutzsignal korrekt erkennen. Wichtig: Nicht nur die Signalstärke ist entscheidend. Auch das Verhältnis zwischen Nutzsignal und Störung ist wichtig. Merksatz: Rauschen erschwert die sichere Erkennung von Bits. Signal-Rausch-Abstand Der Signal-Rausch-Abstand beschreibt das Verhältnis zwischen Nutzsignal und Störsignal. Abkürzung: SNR SNR steht für: Signal-to-Noise Ratio Je größer der Signal-Rausch-Abstand ist, desto besser kann der Empfänger das Signal auswerten. Merksatz: Hoher SNR = bessere Signalqualität. Codierung auf Schicht 1 Damit Bits übertragen werden können, müssen sie in eine Signalform gebracht werden. Das nennt man Codierung. Codierung bedeutet hier: Bits werden nach einer festgelegten Regel als Signale dargestellt. Beispiel vereinfacht: Bit 1 = bestimmter Signalzustand Bit 0 = anderer Signalzustand In echten Netzwerken sind die Codierungsverfahren deutlich komplexer. Wichtig für die Prüfung: Die Bitübertragungsschicht legt fest, wie Bits physisch als Signale übertragen werden. Merksatz: Codierung = Regel zur Darstellung von Bits als Signale. Leitungscodierung Leitungscodierung beschreibt, wie digitale Bits auf einer Leitung als Signal dargestellt werden. Dabei geht es zum Beispiel um: - Signalwechsel - Spannungszustände - Taktrückgewinnung - Störsicherheit - Synchronisation Die genaue technische Umsetzung hängt vom jeweiligen Standard ab. Beispiele für Ethernet-Standards: - 100BASE-TX - 1000BASE-T - 10GBASE-T Wichtig: Verschiedene Ethernet-Standards können unterschiedliche Codierungsverfahren nutzen. Merksatz: Leitungscodierung macht Bits auf dem Medium übertragbar. Modulation Modulation bedeutet: Ein Trägersignal wird verändert, um Informationen zu übertragen. Das ist besonders bei Funktechnik wichtig. Bei WLAN können Informationen zum Beispiel durch Änderungen von Eigenschaften eines Funksignals übertragen werden. Solche Eigenschaften können sein: - Amplitude - Frequenz - Phase Wichtig: Für AP1/AP2 reicht meistens das Grundverständnis: Modulation verändert ein Signal, damit Daten übertragen werden können. Merksatz: Modulation = Information auf ein Signal aufprägen. Amplitude Amplitude beschreibt vereinfacht die Stärke oder Auslenkung eines Signals. Bei einem elektrischen Signal kann das mit der Spannung zusammenhängen. Bei einem Funksignal kann es mit der Signalstärke zusammenhängen. Merksatz: Amplitude = Stärke beziehungsweise Auslenkung eines Signals. Frequenz Frequenz beschreibt, wie oft sich ein Signal pro Sekunde wiederholt. Einheit: Hertz Abkürzung: Hz Beispiele: 2,4 GHz 5 GHz 6 GHz GHz bedeutet: Gigahertz Also: Milliarden Schwingungen pro Sekunde Merksatz: Frequenz = Schwingungen pro Sekunde. Phase Phase beschreibt die Lage einer Schwingung zu einem bestimmten Zeitpunkt. In der Funktechnik kann auch die Phase genutzt werden, um Informationen zu übertragen. Für die Prüfung reicht meistens: Phase ist eine Eigenschaft eines Signals. Merksatz: Phase = Lage einer Schwingung. Taktung Damit Sender und Empfänger Bits richtig verstehen, müssen sie zeitlich zusammenarbeiten. Der Empfänger muss wissen: Wann beginnt ein Bit? Wann endet ein Bit? Wann soll das Signal ausgewertet werden? Diese zeitliche Abstimmung nennt man Taktung oder Synchronisation. Merksatz: Taktung hilft dem Empfänger, die Bits zum richtigen Zeitpunkt zu erkennen. Synchronisation Synchronisation bedeutet: Sender und Empfänger stimmen sich zeitlich aufeinander ab. Ohne Synchronisation könnte der Empfänger die Bitfolge falsch interpretieren. Beispiel: Sender sendet eine Folge von Bits. Empfänger muss erkennen, wo die einzelnen Bits beginnen und enden. Merksatz: Synchronisation = zeitliche Abstimmung zwischen Sender und Empfänger. Bitrate Die Bitrate beschreibt, wie viele Bits pro Sekunde übertragen werden. Einheit: bit/s Typische Angaben: Mbit/s Gbit/s Beispiele: Angabe Bedeutung 100 Mbit/s 100 Millionen Bit pro Sekunde 1 Gbit/s 1 Milliarde Bit pro Sekunde 10 Gbit/s 10 Milliarden Bit pro Sekunde Merksatz: Bitrate = Bits pro Sekunde. Baudrate Baudrate beschreibt die Anzahl der Signalzustandswechsel oder Symbole pro Sekunde. Wichtig: Bitrate und Baudrate sind nicht immer dasselbe. Ein Symbol kann je nach Codierung oder Modulation mehr als ein Bit enthalten. Für die Prüfung reicht meistens: Bitrate = Datenmenge in Bit pro Sekunde. Baudrate = Symbolrate. Merksatz: Bitrate ≠ Baudrate. Symbol Ein Symbol ist ein übertragener Signalzustand. Je nach Verfahren kann ein Symbol ein oder mehrere Bits darstellen. Beispiel vereinfacht: einfaches Verfahren: 1 Symbol = 1 Bit komplexeres Verfahren: 1 Symbol = mehrere Bits Dadurch können höhere Datenraten erreicht werden. Merksatz: Symbol = Signalzustand zur Informationsübertragung. Bandbreite Bandbreite kann je nach Zusammenhang unterschiedlich verwendet werden. In der Netzwerktechnik meint man im Alltag oft: maximale Übertragungskapazität Beispiel: 1 Gbit/s Ethernet Fachlich kann Bandbreite auch einen Frequenzbereich beschreiben. Wichtig für die Prüfung: Bandbreite ist nicht automatisch gleich tatsächlicher Durchsatz. Merksatz: Bandbreite = mögliche Kapazität, Durchsatz = tatsächlich erreicht. Durchsatz Durchsatz beschreibt die tatsächlich übertragene Datenmenge pro Zeit. Der Durchsatz ist oft niedriger als die theoretische Bandbreite. Gründe: - Protokoll-Overhead - Störungen - Wiederholungen - schwache Signalqualität - viele Clients - langsame Gegenstelle - Engpässe im Netzwerk Merksatz: Durchsatz = reale Nutzdatenrate. Latenz Latenz beschreibt die Verzögerung bei der Übertragung. Beispiel: Wie lange dauert es, bis ein Signal oder Paket beim Ziel ankommt? Latenz ist besonders wichtig bei: - VoIP - Videokonferenzen - Gaming - Echtzeitanwendungen - industrieller Steuerung Merksatz: Latenz = Verzögerungszeit. Jitter Jitter beschreibt Schwankungen der Latenz. Beispiel: Ein Paket braucht 20 ms. Das nächste Paket braucht 80 ms. Das nächste wieder 30 ms. Solche Schwankungen können Probleme verursachen. Besonders kritisch bei: - Sprache - Video - Echtzeitkommunikation Merksatz: Jitter = schwankende Verzögerung. Bitfehler Ein Bitfehler entsteht, wenn ein Bit falsch erkannt wird. Beispiel: gesendet: 1 empfangen: 0 Ursachen können sein: - Störungen - Dämpfung - schlechte Signalqualität - defektes Kabel - falsche Übertragungsstrecke - schlechte Funkverbindung Merksatz: Bitfehler = Bit wird falsch übertragen oder erkannt. Bitfehlerrate Die Bitfehlerrate beschreibt, wie viele Bits fehlerhaft übertragen werden. Abkürzung: BER BER steht für: Bit Error Rate Eine hohe Bitfehlerrate weist auf schlechte Übertragungsqualität hin. Merksatz: BER = Anteil fehlerhafter Bits. Schicht 1 und Fehlererkennung Schicht 1 überträgt Bits als Signale. Die eigentliche Erkennung fehlerhafter Frames erfolgt häufig auf Schicht 2, zum Beispiel durch Prüfsummen im Ethernet-Frame. Wichtig: Schicht 1 kann Ursache für Fehler sein. Schicht 2 erkennt viele Übertragungsfehler in Frames. Merksatz: Schicht 1 verursacht oft Signalprobleme. Schicht 2 erkennt viele Framefehler. Typische Schicht-1-Fehlerbilder Typische Fehlerbilder bei Problemen mit Bits und Signalen: - kein Link - instabiler Link - niedrige ausgehandelte Geschwindigkeit - viele CRC- oder FCS-Fehler am Switch-Port - Paketverluste - niedriger Durchsatz - hohe Wiederholungsrate - schlechtes WLAN-Signal - Glasfaser-Link kommt nicht hoch Wichtig: CRC- oder FCS-Fehler werden auf Schicht 2 erkannt, können aber durch Schicht-1-Probleme verursacht werden. Merksatz: Schicht-1-Probleme zeigen sich oft als Fehler auf höheren Schichten. Beispiele für Schicht-1-Prüfung Bei Kupfer: - Kabel steckt richtig? - Link-LED leuchtet? - Kabel beschädigt? - richtige Kabelkategorie? - richtige Geschwindigkeit? - Port aktiv? - Adern korrekt aufgelegt? Bei LWL: - passendes SFP-Modul? - richtige Faserart? - TX und RX korrekt? - Stecker sauber? - Strecke zu lang? - Dämpfungsbudget eingehalten? Bei WLAN: - Signal stark genug? - richtiger Frequenzbereich? - Kanal überlastet? - Störungen vorhanden? - Access Point richtig positioniert? Merksatz: Schicht 1 prüft man immer am Übertragungsmedium und an der Signalqualität. Was Schicht 1 nicht macht Schicht 1 überträgt nur Bits. Schicht 1 entscheidet nicht über: - MAC-Adressen - IP-Adressen - VLANs - Routing - TCP-Ports - UDP-Ports - DNS-Namen - HTTP-Anfragen - Benutzeranmeldungen Diese Themen gehören zu höheren Schichten. Merksatz: Schicht 1 kennt keine Adressen und keine Dienste. Einordnung wichtiger Begriffe Begriff Einordnung Bit Schicht 1 Signal Schicht 1 Spannung Schicht 1 Lichtimpuls Schicht 1 Funksignal Schicht 1 Frequenz Schicht 1 Taktung Schicht 1 Codierung Schicht 1 MAC-Adresse Schicht 2 IP-Adresse Schicht 3 TCP-Port Schicht 4 DNS Schicht 7 Merksatz: Bit, Signal, Frequenz und Taktung gehören zu Schicht 1. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wie werden Bits auf Schicht 1 übertragen? - Was ist ein Signal? - Was ist der Unterschied zwischen Bit und Signal? - Welche Signalarten gibt es? - Was bedeutet Dämpfung? - Was bedeutet Signal-Rausch-Abstand? - Was ist Codierung? - Was ist Modulation? - Was ist der Unterschied zwischen Bitrate und Baudrate? - Was ist ein Bitfehler? - Was bedeutet Bitfehlerrate? - Warum ist Bandbreite nicht gleich Durchsatz? - Warum können Schicht-1-Probleme zu Fehlern auf höheren Schichten führen? Typische Prüfungsfallen Bits sind nicht dasselbe wie Signale. Schicht 1 kennt keine IP-Adressen. Schicht 1 kennt keine MAC-Adressen. Schicht 1 kennt keine TCP- oder UDP-Ports. Dämpfung bedeutet Signalverlust. Signalstärke allein reicht nicht, auch Störungen sind wichtig. Bitrate und Baudrate sind nicht immer gleich. Bandbreite und Durchsatz sind nicht dasselbe. CRC-Fehler werden auf Schicht 2 erkannt, können aber durch Schicht-1-Probleme verursacht werden. WLAN-Probleme können Funkprobleme sein, aber auch IP-, DNS- oder Sicherheitsprobleme. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Bit kleinste Informationseinheit, 0 oder 1 Signal physische Darstellung von Information elektrisches Signal Signal über Kupfer optisches Signal Signal über Lichtwellenleiter Funksignal drahtloses elektromagnetisches Signal Signalpegel Stärke eines Signals Dämpfung Abschwächung eines Signals Störung unerwünschte Beeinflussung eines Signals Rauschen unerwünschtes Signal neben dem Nutzsignal SNR Signal-Rausch-Abstand Codierung Darstellung von Bits als Signale Leitungscodierung Codierung für die Übertragung auf Leitungen Modulation Aufprägen von Information auf ein Signal Amplitude Stärke beziehungsweise Auslenkung eines Signals Frequenz Schwingungen pro Sekunde Phase Lage einer Schwingung Taktung zeitliche Einteilung der Signalübertragung Synchronisation zeitliche Abstimmung zwischen Sender und Empfänger Bitrate Bits pro Sekunde Baudrate Symbole pro Sekunde Symbol Signalzustand zur Informationsübertragung Bandbreite mögliche Kapazität oder Frequenzbereich Durchsatz tatsächlich erreichte Datenrate Latenz Verzögerung Jitter Schwankung der Verzögerung Bitfehler falsch übertragenes oder falsch erkanntes Bit BER Bit Error Rate, Bitfehlerrate IHK-sichere Kurzformulierung Auf OSI-Schicht 1 werden Bits als physische Signale übertragen. Digitale Daten bestehen aus Bits, die je nach Medium als elektrische, optische oder elektromagnetische Signale dargestellt werden. Damit Sender und Empfänger die Bits korrekt verstehen, sind Codierung, Taktung, Synchronisation, Signalpegel und Signalqualität wichtig. Störungen, Dämpfung oder Rauschen können zu Bitfehlern führen. Schicht 1 kennt keine MAC-Adressen, IP-Adressen oder Ports, sondern ist ausschließlich für die physische Bitübertragung zuständig. Merksätze Bits sind logisch. Signale sind physisch. Schicht 1 überträgt Bits als Signale. Kupfer = elektrische Signale. Glasfaser = optische Signale. WLAN = Funksignale. Dämpfung = Signalverlust. Störung = unerwünschte Beeinflussung. SNR = Signal-Rausch-Abstand. Codierung = Bits als Signale darstellen. Modulation = Information auf ein Signal aufprägen. Frequenz = Schwingungen pro Sekunde. Bitrate = Bits pro Sekunde. Baudrate = Symbole pro Sekunde. Bitrate und Baudrate sind nicht immer dasselbe. Bandbreite ist nicht Durchsatz. Latenz = Verzögerung. Jitter = schwankende Verzögerung. Bitfehler = Bit wird falsch erkannt. Schicht 1 kennt keine MAC-Adresse. Schicht 1 kennt keine IP-Adresse. Schicht 1 kennt keine Ports. Schicht-1-Probleme können höhere Schichten beeinflussen. 4.3 Übertragungsrichtungen, Duplex und Auto-Negotiation Auf OSI-Schicht 1 ist nicht nur wichtig, dass Bits übertragen werden. Wichtig ist auch: In welche Richtung können Daten übertragen werden? Können beide Seiten gleichzeitig senden? Welche Geschwindigkeit wird genutzt? Wie einigen sich zwei Geräte auf die Verbindung? Diese Themen gehören zur physischen Verbindung und sind besonders wichtig bei Ethernet, Switches, Netzwerkkarten und älterer Hub-Technik. Grundidee Wenn zwei Netzwerkgeräte miteinander verbunden sind, müssen sie bestimmte Eigenschaften der Verbindung festlegen. Dazu gehören zum Beispiel: - Übertragungsgeschwindigkeit - Duplexmodus - Signalart - physische Verbindung - unterstützter Standard - Link-Status Beispiel: PC ↔ Switch Beide Seiten müssen technisch zusammenarbeiten können. Merksatz: Eine Netzwerkverbindung funktioniert nur, wenn beide Seiten kompatible Verbindungseigenschaften nutzen. Begriff: Übertragungsrichtung Die Übertragungsrichtung beschreibt, in welche Richtung Daten übertragen werden können. Es gibt drei wichtige Grundformen: - Simplex - Halbduplex - Vollduplex Diese Begriffe beschreiben, ob Kommunikation nur in eine Richtung, abwechselnd oder gleichzeitig in beide Richtungen möglich ist. Merksatz: Übertragungsrichtung beschreibt, wie Geräte miteinander senden und empfangen können. Simplex Simplex bedeutet: Datenübertragung nur in eine Richtung. Ein Gerät sendet. Das andere Gerät empfängt. Eine Rückübertragung ist über denselben Kanal nicht vorgesehen. Alltagsvergleich: Radio Lautsprecheranlage Einbahnstraße Beispiel: Sender → Empfänger Merksatz: Simplex = nur eine Richtung. Halbduplex Halbduplex bedeutet: Datenübertragung in beide Richtungen, aber nicht gleichzeitig. Beide Seiten können senden und empfangen. Aber: Wenn eine Seite sendet, muss die andere Seite warten. Alltagsvergleich: Walkie-Talkie Baustellenampel einspurige Straße mit wechselnder Fahrtrichtung Beispiel: Gerät A sendet → Gerät B empfängt Danach: Gerät B sendet → Gerät A empfängt Merksatz: Halbduplex = beide Richtungen, aber nur abwechselnd. Vollduplex Vollduplex bedeutet: Datenübertragung in beide Richtungen gleichzeitig. Beide Geräte können zur gleichen Zeit senden und empfangen. Alltagsvergleich: Telefonat zweispurige Straße gleichzeitiges Sprechen und Hören Beispiel: Gerät A sendet gleichzeitig zu Gerät B. Gerät B sendet gleichzeitig zu Gerät A. Merksatz: Vollduplex = senden und empfangen gleichzeitig. Simplex, Halbduplex und Vollduplex im Vergleich Modus Richtung Gleichzeitig? Beispiel Simplex nur eine Richtung nein Radio Halbduplex beide Richtungen nein, nur abwechselnd Walkie-Talkie Vollduplex beide Richtungen ja Telefonat Prüfungstauglich: Simplex = eine Richtung. Halbduplex = abwechselnd. Vollduplex = gleichzeitig. Duplex bei Ethernet Moderne Ethernet-Verbindungen über Switches arbeiten normalerweise mit Vollduplex. Beispiel: PC ↔ Switch Der PC kann gleichzeitig Daten senden und empfangen. Der Switch kann ebenfalls gleichzeitig senden und empfangen. Das ist effizienter als Halbduplex. Merksatz: Moderne Switch-Verbindungen arbeiten normalerweise mit Vollduplex. Halbduplex bei älterer Technik Halbduplex war besonders bei älteren Ethernet-Umgebungen wichtig. Typisches Gerät: Hub Ein Hub arbeitet auf OSI-Schicht 1. Er verteilt Signale an alle Ports. Da alle Geräte sich das gleiche Übertragungsmedium teilen, konnte nicht jedes Gerät gleichzeitig störungsfrei senden. Dadurch waren Kollisionen möglich. Merksatz: Halbduplex gehört vor allem zu älterer Hub-Technik. Hub und Halbduplex Ein Hub verteilt eingehende Signale an alle angeschlossenen Ports. Er entscheidet nicht anhand von MAC-Adressen. Er versteht keine Frames. Er kennt keine IP-Adressen. Dadurch teilen sich alle angeschlossenen Geräte denselben Übertragungsbereich. Folgen: - nur abwechselndes Senden sinnvoll - Kollisionen möglich - geringere Effizienz - alle Geräte teilen sich die Bandbreite Merksatz: Hub = Schicht 1 und typisch Halbduplex. Switch und Vollduplex Ein Switch arbeitet typischerweise auf OSI-Schicht 2. Er leitet Ethernet-Frames anhand von MAC-Adressen gezielt weiter. Bei modernen Switch-Verbindungen hat jeder Port eine eigene Verbindung zum angeschlossenen Gerät. Dadurch ist Vollduplex möglich. Vorteile: - gleichzeitiges Senden und Empfangen - keine klassischen Kollisionen pro Vollduplex-Link - bessere Leistung - gezielte Weiterleitung - weniger unnötiger Datenverkehr Merksatz: Switch = Schicht 2 und typisch Vollduplex. Kollisionen Eine Kollision entsteht, wenn mehrere Geräte gleichzeitig auf einem gemeinsam genutzten Medium senden. Die Signale überlagern sich. Dadurch können Daten nicht korrekt übertragen werden. Kollisionen waren vor allem wichtig bei: - Koaxial-Ethernet - Hub-Netzwerken - Halbduplex-Ethernet Bei modernen geswitchten Vollduplex-Verbindungen spielen klassische Kollisionen praktisch keine Rolle mehr. Merksatz: Kollision = gleichzeitiges Senden auf gemeinsamem Medium. Kollisionsdomäne Eine Kollisionsdomäne ist ein Netzwerkbereich, in dem Kollisionen auftreten können. Bei einem Hub: Alle angeschlossenen Geräte befinden sich in einer gemeinsamen Kollisionsdomäne. Bei einem Switch: Jeder Port ist normalerweise eine eigene Kollisionsdomäne. Wichtig: Vollduplex-Verbindungen vermeiden klassische Kollisionen. Merksatz: Hub = eine gemeinsame Kollisionsdomäne. Switch = getrennte Kollisionsbereiche pro Port. CSMA/CD CSMA/CD steht für: Carrier Sense Multiple Access / Collision Detection Auf Deutsch sinngemäß: Mehrfachzugriff mit Trägerprüfung und Kollisionserkennung Dieses Verfahren wurde bei älteren Ethernet-Umgebungen verwendet. Grundidee: Gerät prüft, ob das Medium frei ist. Wenn frei, wird gesendet. Wenn trotzdem eine Kollision entsteht, wird sie erkannt. Danach wird später erneut gesendet. Merksatz: CSMA/CD = Kollisionserkennung bei älterem Ethernet. Warum CSMA/CD heute weniger wichtig ist In modernen LANs werden fast immer Switches verwendet. Switch-Verbindungen arbeiten meist mit Vollduplex. Dadurch gibt es keine klassische gemeinsame Kollisionsdomäne mehr wie bei Hubs. Deshalb ist CSMA/CD heute vor allem historisch und prüfungsbezogen wichtig. Merksatz: CSMA/CD ist wichtig zum Verständnis alter Ethernet-Technik. CSMA/CA im Vergleich CSMA/CA steht für: Carrier Sense Multiple Access / Collision Avoidance Das bedeutet: Kollisionsvermeidung CSMA/CA wird bei WLAN verwendet. Warum? Bei Funk können Kollisionen schwieriger direkt erkannt werden. Deshalb versucht WLAN, Kollisionen vorher zu vermeiden. Vergleich: Verfahren Bedeutung typischer Einsatz CSMA/CD Collision Detection älteres kabelgebundenes Ethernet CSMA/CA Collision Avoidance WLAN Merksatz: CD = Detection = Erkennung. CA = Avoidance = Vermeidung. Übertragungsgeschwindigkeit Die Übertragungsgeschwindigkeit beschreibt, mit welcher Datenrate eine Verbindung arbeitet. Typische Ethernet-Geschwindigkeiten: Bezeichnung Datenrate Fast Ethernet 100 Mbit/s Gigabit Ethernet 1 Gbit/s 2.5 Gigabit Ethernet 2,5 Gbit/s 5 Gigabit Ethernet 5 Gbit/s 10 Gigabit Ethernet 10 Gbit/s Wichtig: Die tatsächlich nutzbare Geschwindigkeit hängt von allen beteiligten Komponenten ab. Merksatz: Die langsamste oder ungeeignete Komponente begrenzt die Verbindung. Was beeinflusst die Geschwindigkeit? Die ausgehandelte oder mögliche Verbindungsgeschwindigkeit hängt ab von: - Netzwerkkarte - Switch-Port - Kabelkategorie - Kabellänge - Patchfeld - Netzwerkdose - Patchkabel - SFP-Modul - Glasfaserart - Treiber - Konfiguration - Signalqualität Beispiel: Eine 10-Gbit/s-Netzwerkkarte bringt nichts, wenn der Switch-Port nur 1 Gbit/s unterstützt. Merksatz: Die gesamte Strecke muss zur gewünschten Geschwindigkeit passen. Auto-Negotiation Auto-Negotiation bedeutet: Zwei Netzwerkgeräte handeln automatisch die Verbindungseigenschaften aus. Dabei geht es zum Beispiel um: - Geschwindigkeit - Duplexmodus - teilweise weitere Fähigkeiten Beispiel: PC unterstützt 1 Gbit/s. Switch unterstützt 1 Gbit/s. Kabel ist geeignet. Dann können beide Seiten 1 Gbit/s Vollduplex aushandeln. Merksatz: Auto-Negotiation = automatische Aushandlung der Verbindung. Was wird bei Auto-Negotiation ausgehandelt? Typische Eigenschaften: - 10 Mbit/s - 100 Mbit/s - 1 Gbit/s - 2,5 Gbit/s - 5 Gbit/s - 10 Gbit/s - Halbduplex - Vollduplex Wichtig: Beide Seiten müssen die jeweilige Betriebsart unterstützen. Wenn eine Seite etwas nicht unterstützt, wird eine andere gemeinsame Möglichkeit gewählt. Merksatz: Es wird eine gemeinsame Betriebsart gesucht. Beispiel Auto-Negotiation Gerät A unterstützt: 10 Mbit/s 100 Mbit/s 1 Gbit/s Gerät B unterstützt: 10 Mbit/s 100 Mbit/s Gemeinsam möglich ist maximal: 100 Mbit/s Ergebnis: Die Verbindung arbeitet mit 100 Mbit/s, obwohl Gerät A 1 Gbit/s könnte. Merksatz: Beide Seiten bestimmen gemeinsam die Verbindung. Warum wird manchmal nur 100 Mbit/s ausgehandelt? Eine Verbindung kann auf 100 Mbit/s zurückfallen, obwohl eigentlich 1 Gbit/s erwartet wird. Mögliche Ursachen: - defektes Kabel - nur vier Adern verbunden - schlechte Netzwerkdose - falsch aufgelegtes Verlegekabel - defekter Switch-Port - alte Netzwerkkarte - alter Switch - falsche Konfiguration - schlechte Signalqualität Wichtig: Gigabit-Ethernet benötigt bei Twisted Pair alle 8 Adern. Merksatz: Nur 100 Mbit/s statt 1 Gbit/s kann ein Verkabelungsproblem sein. Duplex-Mismatch Ein Duplex-Mismatch entsteht, wenn zwei Geräte unterschiedliche Duplexmodi verwenden. Beispiel: Gerät A: Vollduplex Gerät B: Halbduplex Mögliche Folgen: - schlechte Leistung - Paketverluste - viele Fehler - langsame Verbindung - Verbindungsprobleme Duplex-Mismatch war früher häufiger, wenn Auto-Negotiation deaktiviert oder falsch konfiguriert wurde. Merksatz: Duplex-Mismatch = beide Seiten nutzen nicht denselben Duplexmodus. Warum ist Duplex-Mismatch problematisch? Wenn eine Seite Vollduplex nutzt, erwartet sie gleichzeitiges Senden und Empfangen. Wenn die andere Seite Halbduplex nutzt, erwartet sie abwechselnde Übertragung und mögliche Kollisionen. Dadurch interpretieren beide Seiten die Verbindung unterschiedlich. Das kann zu Fehlern und schlechter Leistung führen. Merksatz: Beide Seiten müssen beim Duplexmodus zusammenpassen. Manuelle Konfiguration Manchmal kann Geschwindigkeit oder Duplexmodus manuell eingestellt werden. Beispiel: Switch-Port fest auf 100 Mbit/s Vollduplex Das kann in Sonderfällen sinnvoll sein. Aber: Wenn nur eine Seite manuell eingestellt wird und die andere Seite Auto-Negotiation nutzt, können Probleme entstehen. Prüfungstauglich: Auto-Negotiation sollte konsistent auf beiden Seiten betrachtet werden. Merksatz: Manuelle Einstellungen müssen auf beiden Seiten passen. Link-Speed Link-Speed bedeutet: die aktuell ausgehandelte Verbindungsgeschwindigkeit. Beispiele: 100 Mbit/s 1 Gbit/s 10 Gbit/s Den Link-Speed sieht man zum Beispiel: - im Betriebssystem - im Switch-Interface - in der Router- oder Firewall-Oberfläche - über Monitoring - teilweise über LED-Farben am Port Merksatz: Link-Speed = aktuell genutzte Verbindungsgeschwindigkeit. Link-Status Der Link-Status zeigt, ob eine physische Verbindung besteht. Typische Zustände: Zustand Bedeutung Link up physische Verbindung aktiv Link down keine physische Verbindung Link flapping Verbindung geht ständig hoch und runter Link flapping kann ein Hinweis sein auf: - defektes Kabel - schlechten Stecker - defekten Port - falsches SFP-Modul - schlechte Signalqualität - Stromproblem - Treiberproblem Merksatz: Link flapping = instabile physische Verbindung. Link-LED und Geschwindigkeit Viele Netzwerkgeräte zeigen über LEDs den Zustand der Verbindung an. Mögliche Anzeigen: - LED aus: kein Link - LED an: Link vorhanden - LED blinkt: Aktivität - verschiedene Farben: unterschiedliche Geschwindigkeiten Wichtig: Die genaue Bedeutung hängt vom Gerät ab. Merksatz: LEDs helfen, ersetzen aber keine genaue Prüfung. Speed und Duplex in der Fehlersuche Bei Netzwerkproblemen sollte man prüfen: - Ist der Link aktiv? - Welche Geschwindigkeit wurde ausgehandelt? - Welcher Duplexmodus wird genutzt? - Gibt es Fehlerzähler am Port? - Gibt es CRC- oder FCS-Fehler? - Gibt es Link-Flapping? - Sind beide Seiten korrekt konfiguriert? - Passt das Kabel zur Geschwindigkeit? Merksatz: Link-Speed und Duplex gehören zur Basisprüfung. Typische Fehlerbilder Fehlerbild mögliche Ursache kein Link Kabel, Port, Netzwerkkarte, SFP, Gegenstelle nur 100 Mbit/s statt 1 Gbit/s Aderproblem, altes Gerät, schlechte Strecke schlechter Durchsatz Duplex-Mismatch, Fehler, Störungen Link flapping instabile physische Verbindung viele CRC-Fehler Signalproblem, Kabelproblem WLAN langsam Signal, Kanal, Störung, viele Clients Wichtig: Ein Schicht-1-Problem kann sich wie ein höheres Netzwerkproblem anfühlen. Merksatz: Physische Fehler zeigen sich oft als Performance-Probleme. Halbduplex, Vollduplex und WLAN WLAN arbeitet nicht wie eine klassische Vollduplex-Kabelverbindung. WLAN ist ein geteiltes Funkmedium. Mehrere Clients teilen sich die Funkzeit. Vereinfacht: Ein Gerät sendet, andere warten. Darum wird WLAN oft halbduplexartig beschrieben. Merksatz: WLAN ist ein geteiltes Medium, nicht wie eine Vollduplex-Switch-Verbindung. Vollduplex bedeutet nicht doppelte Internetgeschwindigkeit Vollduplex bedeutet: gleichzeitig senden und empfangen. Es bedeutet nicht automatisch: doppelte Internetgeschwindigkeit Die tatsächliche Internetgeschwindigkeit hängt unter anderem ab von: - Internetanschluss - Router - Switch - Server - Gegenstelle - Auslastung - Protokoll-Overhead Merksatz: Vollduplex beschreibt die Richtung, nicht allein die Internetgeschwindigkeit. Einordnung in das Schichtenmodell Thema typische Schicht Simplex Schicht 1 Halbduplex Schicht 1 Vollduplex Schicht 1 Auto-Negotiation Schicht 1 Link-Speed Schicht 1 Hub Schicht 1 Switch-Weiterleitung Schicht 2 MAC-Adresse Schicht 2 IP-Adresse Schicht 3 TCP-/UDP-Port Schicht 4 Wichtig: Duplex und Geschwindigkeit gehören zur physischen Verbindung. MAC-Adressierung und Frames gehören zur Schicht 2. Was gehört nicht zu Duplex? Duplex beschreibt nur die Übertragungsrichtung. Duplex beschreibt nicht: - IP-Adresse - Subnetzmaske - Gateway - DNS-Server - TCP-Port - Anwendung - Benutzerrechte - Verschlüsselung auf Anwendungsebene Merksatz: Duplex ist eine Eigenschaft der Verbindung, nicht der IP-Konfiguration. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Simplex? - Was bedeutet Halbduplex? - Was bedeutet Vollduplex? - Welcher Duplexmodus ist bei modernen Switch-Verbindungen üblich? - Warum waren Hubs problematisch? - Was ist eine Kollision? - Was ist eine Kollisionsdomäne? - Was bedeutet CSMA/CD? - Was bedeutet CSMA/CA? - Was ist Auto-Negotiation? - Warum kann eine Verbindung nur 100 Mbit/s statt 1 Gbit/s aushandeln? - Was ist ein Duplex-Mismatch? - Warum ist WLAN nicht wie eine Vollduplex-Kabelverbindung? Typische Prüfungsfallen Simplex bedeutet nur eine Richtung. Halbduplex bedeutet abwechselnd. Vollduplex bedeutet gleichzeitig. Vollduplex bedeutet nicht automatisch doppelte Internetgeschwindigkeit. Hubs arbeiten auf Schicht 1. Switches arbeiten typischerweise auf Schicht 2. Hubs teilen eine Kollisionsdomäne. Moderne Switch-Verbindungen haben normalerweise keine klassischen Kollisionen. Auto-Negotiation muss auf beiden Seiten sinnvoll zusammenpassen. Nur 100 Mbit/s statt 1 Gbit/s kann an der Verkabelung liegen. Gigabit über Twisted Pair benötigt alle 8 Adern. WLAN ist ein geteiltes Funkmedium. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Simplex Übertragung nur in eine Richtung Halbduplex Übertragung in beide Richtungen, aber abwechselnd Vollduplex Übertragung in beide Richtungen gleichzeitig Duplexmodus Art der Übertragungsrichtung Hub Schicht-1-Gerät, verteilt Signale an alle Ports Switch Schicht-2-Gerät, leitet Frames anhand von MAC-Adressen weiter Kollision gleichzeitiges Senden auf gemeinsamem Medium Kollisionsdomäne Bereich, in dem Kollisionen auftreten können CSMA/CD Kollisionserkennung bei älterem Ethernet CSMA/CA Kollisionsvermeidung bei WLAN Auto-Negotiation automatische Aushandlung von Geschwindigkeit und Duplex Link-Speed aktuell ausgehandelte Verbindungsgeschwindigkeit Link-Status Zustand der physischen Verbindung Link flapping Verbindung geht ständig hoch und runter Duplex-Mismatch unterschiedliche Duplexmodi auf beiden Seiten CRC-Fehler erkannter Übertragungsfehler auf Frame-Ebene FCS-Fehler Fehler bei der Frame-Prüfsumme IHK-sichere Kurzformulierung Simplex, Halbduplex und Vollduplex beschreiben die Richtung der Datenübertragung. Simplex bedeutet Übertragung nur in eine Richtung. Halbduplex bedeutet Übertragung in beide Richtungen, aber nur abwechselnd. Vollduplex bedeutet gleichzeitiges Senden und Empfangen. Moderne Ethernet-Verbindungen über Switches arbeiten normalerweise mit Vollduplex. Hubs arbeiten auf Schicht 1, verteilen Signale an alle Ports und bilden eine gemeinsame Kollisionsdomäne. Auto-Negotiation dient dazu, Verbindungseigenschaften wie Geschwindigkeit und Duplexmodus automatisch zwischen zwei Geräten auszuhandeln. Merksätze Simplex = eine Richtung. Halbduplex = abwechselnd. Vollduplex = gleichzeitig. Moderne Switch-Verbindungen sind meist Vollduplex. Hub = Schicht 1. Switch = Schicht 2. Hub verteilt Signale an alle Ports. Hub = gemeinsame Kollisionsdomäne. Switch = gezielte Weiterleitung anhand von MAC-Adressen. Kollision = gleichzeitiges Senden auf gemeinsamem Medium. CSMA/CD = Kollisionserkennung. CSMA/CA = Kollisionsvermeidung. Auto-Negotiation = automatische Aushandlung. Link-Speed = ausgehandelte Geschwindigkeit. Duplex-Mismatch = beide Seiten passen nicht zusammen. Nur 100 Mbit/s statt 1 Gbit/s kann ein Verkabelungsproblem sein. Gigabit über Twisted Pair braucht alle 8 Adern. WLAN ist ein geteiltes Medium. Duplex beschreibt die Übertragungsrichtung, nicht die IP-Konfiguration. 4.4 Geräte und Komponenten auf Schicht 1 Auf OSI-Schicht 1 geht es um die physische Übertragung von Bits. Deshalb gehören zu Schicht 1 vor allem Geräte und Komponenten, die Signale senden, empfangen, verstärken, umsetzen oder weiterleiten. Typische Schicht-1-Komponenten sind: - Netzwerkkarte - Hub - Repeater - Medienkonverter - SFP-Modul - Kabel - Stecker - Antennen - physische Schnittstellen Wichtig: Schicht-1-Geräte verstehen keine IP-Adressen. Schicht-1-Geräte treffen keine Routing-Entscheidungen. Schicht-1-Geräte werten keine TCP- oder UDP-Ports aus. Grundidee von Schicht-1-Komponenten Schicht-1-Komponenten arbeiten mit Signalen. Sie beschäftigen sich mit Fragen wie: Kommt ein Signal an? Ist das Signal stark genug? Wird das Signal korrekt übertragen? Passt das Medium? Passt die Schnittstelle? Besteht ein Link? Welche Geschwindigkeit ist möglich? Merksatz: Schicht-1-Komponenten arbeiten mit Bits und Signalen. Netzwerkkarte Eine Netzwerkkarte verbindet ein Endgerät mit dem Netzwerk. Andere Bezeichnungen: Netzwerkadapter NIC Network Interface Card Beispiele: - Ethernet-Port am PC - WLAN-Adapter im Notebook - USB-LAN-Adapter - Glasfaser-Netzwerkkarte - Onboard-LAN-Port Auf Schicht 1 ist die Netzwerkkarte zuständig für: - Signale senden - Signale empfangen - Link erkennen - Geschwindigkeit aushandeln - physische Verbindung bereitstellen Merksatz: Netzwerkkarte = physische Schnittstelle zwischen Gerät und Netzwerk. Netzwerkkarte und Schicht 2 Eine Netzwerkkarte hat auch Aufgaben auf Schicht 2. Dazu gehört zum Beispiel: - MAC-Adresse - Ethernet-Frame-Verarbeitung - Zugriff auf das lokale Netz Wichtig: Die Netzwerkkarte kann Schicht 1 und Schicht 2 betreffen. Für Schicht 1 ist besonders wichtig: Wie werden Bits als Signale übertragen? Für Schicht 2 ist besonders wichtig: Wie werden Frames mit MAC-Adressen übertragen? Merksatz: NIC ist physisch Schicht 1, arbeitet aber auch mit Schicht-2-Funktionen. Begriff: Hub Ein Hub ist ein altes Netzwerkgerät auf OSI-Schicht 1. Ein Hub verbindet mehrere Geräte miteinander. Er arbeitet sehr einfach: Ein Signal kommt an einem Port an. Der Hub gibt dieses Signal an alle anderen Ports weiter. Ein Hub prüft nicht: - Ziel-MAC-Adresse - IP-Adresse - TCP-Port - VLAN - Anwendung Merksatz: Hub = Schicht-1-Gerät, verteilt Signale an alle Ports. Hub-Arbeitsweise Beispiel: PC A sendet Daten an PC B. Bei einem Hub passiert vereinfacht: PC A sendet ein Signal an den Hub. Der Hub verteilt das Signal an alle Ports. PC B bekommt das Signal. PC C und PC D bekommen das Signal ebenfalls. Der Hub weiß nicht, für wen die Daten bestimmt sind. Er verteilt nur das Signal. Merksatz: Hub leitet nicht gezielt weiter, sondern verteilt an alle. Warum ist ein Hub veraltet? Hubs sind heute praktisch veraltet. Nachteile: - alle Geräte teilen sich die Bandbreite - alle Signale werden an alle Ports verteilt - Kollisionen sind möglich - nur Halbduplex - schlechte Effizienz - einfache Mithörbarkeit im Netz - keine MAC-Adress-Tabelle - keine VLAN-Unterstützung Heute werden im LAN fast immer Switches eingesetzt. Merksatz: Hubs wurden durch Switches ersetzt. Hub und Kollisionsdomäne Bei einem Hub teilen sich alle angeschlossenen Geräte dasselbe Übertragungsmedium. Das bedeutet: Alle Geräte befinden sich in einer gemeinsamen Kollisionsdomäne. Wenn zwei Geräte gleichzeitig senden, kann es zu Kollisionen kommen. Merksatz: Hub = eine gemeinsame Kollisionsdomäne. Hub und Broadcast-Domäne Ein Hub trennt keine Broadcast-Domänen. Da ein Hub nur Signale verteilt, bleiben alle angeschlossenen Geräte im selben lokalen Netzwerkbereich. Wichtig: Broadcast-Domänen werden typischerweise durch Router oder Layer-3-Grenzen getrennt. VLANs können Broadcast-Domänen logisch trennen. Ein Hub kann das nicht. Merksatz: Hub trennt weder Kollisionsdomänen noch Broadcast-Domänen. Begriff: Repeater Ein Repeater ist ein Gerät, das Signale erneut aufbereitet und weiterleitet. Aufgabe: Ein schwächer gewordenes Signal wird aufgenommen, regeneriert und weitergegeben. Ein Repeater arbeitet auf Schicht 1. Er versteht keine IP-Adressen. Er versteht keine MAC-Adressen. Merksatz: Repeater = Signal auffrischen und weiterleiten. Warum braucht man Repeater? Signale werden über eine Strecke schwächer. Das nennt man: Dämpfung Wenn ein Signal zu schwach wird, kann der Empfänger es nicht mehr korrekt erkennen. Ein Repeater kann helfen, eine physische Strecke zu verlängern, indem er das Signal neu erzeugt. Wichtig: Ein Repeater verbessert nicht die logische Netzstruktur. Er arbeitet nur auf Signalebene. Merksatz: Repeater bekämpft Signalverlust, aber ersetzt keine saubere Netzplanung. Repeater im Vergleich zum Hub Ein Hub kann vereinfacht als Mehrport-Repeater betrachtet werden. Gerät Aufgabe Schicht Repeater Signal auffrischen und weitergeben 1 Hub Signal an mehrere Ports verteilen 1 Beide arbeiten auf Schicht 1. Beide werten keine MAC-Adressen oder IP-Adressen aus. Merksatz: Hub = Repeater mit mehreren Ports. Begriff: Medienkonverter Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien miteinander. Typisches Beispiel: Kupfer Ethernet ↔ Lichtwellenleiter Ethernet Dabei wird zum Beispiel ein elektrisches Signal in ein optisches Signal umgesetzt. Oder umgekehrt: optisch ↔ elektrisch Merksatz: Medienkonverter = Übergang zwischen unterschiedlichen Medien. Medienkonverter und Schicht 1 Ein Medienkonverter arbeitet hauptsächlich auf Schicht 1. Er verändert normalerweise nicht: - IP-Adresse - MAC-Adresse - TCP-Port - UDP-Port - Anwendung Er sorgt dafür, dass die physische Übertragung über ein anderes Medium möglich wird. Beispiel: Switch mit RJ45-Port → Kupferkabel → Medienkonverter → Glasfaser → Medienkonverter → Kupferkabel → anderes Gerät Merksatz: Medienkonverter wandelt das Medium, nicht die Netzwerkadresse. Begriff: SFP-Modul SFP steht für: Small Form-factor Pluggable Ein SFP-Modul ist ein steckbares Netzwerkmodul. Es wird eingesetzt in: - Switches - Routern - Firewalls - Server-Netzwerkkarten - Medienkonvertern Ein SFP-Modul stellt die passende physische Schnittstelle bereit. Beispiele: - Glasfaser-Multimode - Glasfaser-Singlemode - RJ45-Kupfer - DAC-Kabel - AOC-Kabel Merksatz: SFP = steckbare physische Netzwerkschnittstelle. SFP-Port und SFP-Modul Ein SFP-Port ist nur der Steckplatz. Das SFP-Modul ist die eigentliche Schnittstelle. Beispiel: Switch hat SFP-Port. Glasfaser-SFP wird eingesteckt. LC-Glasfaser-Patchkabel wird angeschlossen. Wichtig: Ohne passendes SFP-Modul ist der SFP-Port nicht nutzbar. Merksatz: SFP-Port = Steckplatz. SFP-Modul = Schnittstelle. SFP und Datenrate Verschiedene Modularten unterstützen unterschiedliche Datenraten. Modulart typische Datenrate SFP 1 Gbit/s SFP+ 10 Gbit/s SFP28 25 Gbit/s QSFP+ 40 Gbit/s QSFP28 100 Gbit/s Für AP1/AP2 ist besonders wichtig: SFP häufig 1 Gbit/s. SFP+ häufig 10 Gbit/s. Merksatz: Modul und Port müssen zur Datenrate passen. SFP und Kompatibilität Bei SFP-Verbindungen müssen mehrere Dinge zusammenpassen. Wichtige Punkte: - Datenrate - Faserart - Wellenlänge - Reichweite - Steckertyp - Gegenstelle - Herstellerkompatibilität - Switch-Unterstützung Wenn etwas nicht passt, entsteht oft kein Link. Typische Fehler: falsches Modul falsche Faser falsche Wellenlänge TX/RX vertauscht Modul wird vom Switch nicht unterstützt Merksatz: Bei SFP muss die gesamte Verbindung passen. Kabel als Schicht-1-Komponente Kabel gehören zur physischen Übertragung. Beispiele: - Twisted-Pair-Kabel - Koaxialkabel - Lichtwellenleiter - Patchkabel - Verlegekabel - DAC-Kabel Kabel beeinflussen: - Signalqualität - maximale Entfernung - mögliche Datenrate - Störanfälligkeit - Dämpfung - Link-Stabilität Merksatz: Kabel sind Grundlage der physischen Übertragung. Stecker und Anschlüsse Stecker und Anschlüsse sind ebenfalls wichtig für Schicht 1. Beispiele: - RJ45 - LC - SC - ST - SFP-Port - Netzwerkdose - Patchfeld-Port Schlechte oder verschmutzte Steckverbindungen können zu Fehlern führen. Mögliche Folgen: - kein Link - instabiler Link - viele Fehler - niedrige Geschwindigkeit - Paketverluste Merksatz: Schlechte Steckverbindungen verursachen oft Schicht-1-Probleme. Antennen als Schicht-1-Komponente Bei WLAN sind Antennen Teil der physischen Übertragung. Antennen senden und empfangen elektromagnetische Wellen. Sie beeinflussen: - Reichweite - Abstrahlrichtung - Signalqualität - Funkzellen - Verbindungsstabilität Wichtig: Eine Antenne erzeugt keine zusätzliche Energie. Sie verteilt vorhandene Energie anders. Merksatz: Antenne = Schicht-1-Komponente für Funkübertragung. Access Point und Schicht 1 Ein Access Point hat Schicht-1-Funktionen. Dazu gehören: - Funksignale senden - Funksignale empfangen - Frequenzband nutzen - Kanäle verwenden - Signalstärke beeinflussen - Antennen nutzen Aber ein Access Point arbeitet nicht nur auf Schicht 1. Er hat auch Schicht-2-Funktionen. Zum Beispiel: - WLAN-Frames - MAC-Adressen - SSID - Authentifizierung - Verbindung zum LAN Merksatz: Access Point betrifft Schicht 1 und Schicht 2. Switch und Schicht 1 Ein Switch hat physische Ports. Diese Ports gehören aus Sicht der Signalübertragung zu Schicht 1. Beispiele: - RJ45-Port - SFP-Port - Link-Speed - Auto-Negotiation - Link-Status Die eigentliche Switch-Funktion ist aber Schicht 2. Ein Switch leitet Ethernet-Frames anhand von MAC-Adressen weiter. Merksatz: Switch-Port hat Schicht-1-Anteil. Switch-Weiterleitung ist Schicht 2. Router und Schicht 1 Ein Router hat ebenfalls physische Schnittstellen. Beispiele: - Ethernet-Port - SFP-Port - WAN-Port - WLAN-Funkschnittstelle Diese physischen Anschlüsse gehören zur Übertragung auf Schicht 1. Die eigentliche Routing-Funktion gehört aber zu Schicht 3. Ein Router leitet IP-Pakete zwischen Netzen weiter. Merksatz: Router-Port hat Schicht-1-Anteil. Routing ist Schicht 3. Firewall und Schicht 1 Auch eine Firewall besitzt physische Schnittstellen. Beispiele: - LAN-Port - WAN-Port - DMZ-Port - SFP-Port Diese Ports ermöglichen die physische Verbindung. Die eigentliche Firewall-Funktion arbeitet aber auf höheren Schichten. Zum Beispiel: - IP-Adressen - Ports - Protokolle - Regeln - Sitzungen - Anwendungen Merksatz: Firewall-Port ist physisch. Firewall-Regeln sind höhere Schichten. Gerät versus Funktion Ein Gerät kann mehrere Schichten betreffen. Beispiel Switch: Schicht 1: physischer Port, Link, Geschwindigkeit, Signalübertragung Schicht 2: MAC-Adressen, Frames, Switching, VLANs Beispiel Router: Schicht 1: physische Schnittstelle Schicht 3: IP-Adresse, Routing, Weiterleitung zwischen Netzen Wichtig: Die Schicht hängt von der betrachteten Funktion ab. Merksatz: Nicht nur das Gerät zählt, sondern welche Funktion gemeint ist. Typische Gerätezuordnung Gerät / Komponente typische Schicht Begründung Kabel 0 / 1 physisches Medium Stecker 0 / 1 physische Verbindung Netzwerkkarte 1 / 2 Signalübertragung und MAC-Funktion Hub 1 verteilt Signale Repeater 1 regeneriert Signale Medienkonverter 1 wandelt Übertragungsmedium SFP-Modul 1 physische Schnittstelle Access Point 1 / 2 Funk und WLAN-Zugriff Switch 2 leitet Frames anhand von MAC-Adressen Router 3 leitet IP-Pakete zwischen Netzen Firewall 3 / 4 / 7 filtert je nach Funktion auf mehreren Schichten Merksatz: Die Funktion entscheidet über die Schicht. Schicht-1-Geräte erkennen Ein Gerät oder eine Komponente ist Schicht 1, wenn es hauptsächlich um Folgendes geht: - Signal - Bitübertragung - Medium - Link - Pegel - elektrische Übertragung - optische Übertragung - Funkübertragung - Geschwindigkeit - Duplex - physische Verbindung Ein Gerät ist nicht nur deshalb Schicht 1, weil es einen Anschluss hat. Beispiel: Ein Router hat physische Anschlüsse, aber seine Hauptfunktion ist Routing auf Schicht 3. Merksatz: Schicht 1 erkennt man an Signal und physischer Übertragung. Was Schicht-1-Geräte nicht auswerten Reine Schicht-1-Geräte werten nicht aus: - MAC-Adressen - IP-Adressen - VLAN-Tags - TCP-Ports - UDP-Ports - DNS-Namen - HTTP-Inhalte - Benutzerkonten Beispiel Hub: Er verteilt Signale, ohne die Zieladresse zu beachten. Merksatz: Schicht 1 kennt keine logischen Adressen. Typische Schicht-1-Fehler durch Komponenten Fehlerbild mögliche Schicht-1-Ursache kein Link Kabel, Port, Netzwerkkarte, SFP, Strom Link flapping defektes Kabel, Wackelkontakt, SFP-Problem nur 100 Mbit/s Aderproblem, alte Komponente, schlechte Strecke viele CRC-Fehler Signalqualität, Kabel, Störung LWL-Link down TX/RX vertauscht, falsches Modul, verschmutzter Stecker WLAN schwach Antenne, Entfernung, Hindernisse, Störung Medienkonverter ohne Verbindung Strom, falsches Medium, falsche Geschwindigkeit Merksatz: Physische Komponenten sind häufig Ursache für instabile Verbindungen. Fehlersuche bei Schicht-1-Komponenten Sinnvolle Prüffragen: 1. Ist das Gerät eingeschaltet? 2. Ist das Kabel korrekt gesteckt? 3. Leuchtet die Link-LED? 4. Ist der richtige Port verwendet? 5. Ist das Kabel beschädigt? 6. Passt das SFP-Modul? 7. Passt die Geschwindigkeit? 8. Ist TX/RX bei LWL korrekt? 9. Ist die WLAN-Signalstärke ausreichend? 10. Gibt es Fehlerzähler am Switch-Port? Merksatz: Bei Schicht 1 zuerst physisch prüfen, dann logisch weitergehen. Beispiel: Kein Link am PC Fehlerbild: PC hat keine Netzwerkverbindung. Mögliche Schicht-1-Ursachen: - Netzwerkkabel nicht gesteckt - Patchkabel defekt - Netzwerkdose nicht gepatcht - Switch-Port deaktiviert - Netzwerkkarte deaktiviert - falscher Port - Kabelbruch - keine Stromversorgung beim Switch Erst danach prüft man höhere Schichten wie: IP-Adresse Gateway DNS Firewall Merksatz: Ohne Link zuerst Schicht 1 prüfen. Beispiel: Glasfaser-Link kommt nicht hoch Fehlerbild: Zwei Switches sind über LWL verbunden, aber es entsteht kein Link. Mögliche Schicht-1-Ursachen: - falsches SFP-Modul - SFP nicht unterstützt - Multimode und Singlemode verwechselt - falsche Wellenlänge - TX und RX vertauscht - Glasfaser defekt - Stecker verschmutzt - Strecke zu lang - Dämpfung zu hoch Merksatz: Bei LWL zuerst Modul, Faser, TX/RX und Stecker prüfen. Beispiel: WLAN-Verbindung instabil Fehlerbild: WLAN verbindet sich, bricht aber immer wieder ab. Mögliche Schicht-1-Ursachen: - schwaches Signal - große Entfernung - ungünstige Access-Point-Position - Störungen - falsches Frequenzband - überlasteter Kanal - schlechte Antennenposition - Hindernisse Mögliche höhere Ursachen: - falsches Passwort - DHCP-Problem - VLAN-Fehler - Firewall-Regeln - DNS-Problem Merksatz: WLAN-Fehler können Schicht 1, Schicht 2 oder höhere Schichten betreffen. Praktische Reihenfolge bei Netzwerkfehlern Eine einfache Reihenfolge: 1. Stromversorgung prüfen 2. Kabel und Stecker prüfen 3. Link-LED prüfen 4. Portstatus prüfen 5. Geschwindigkeit und Duplex prüfen 6. Fehlerzähler prüfen 7. IP-Adresse prüfen 8. Gateway prüfen 9. DNS prüfen 10. Anwendung prüfen Warum? Wenn die physische Verbindung nicht funktioniert, können die höheren Schichten nicht zuverlässig arbeiten. Merksatz: Von unten nach oben prüfen. Einordnung nach OSI-Schichten Prüfung typische Schicht Kabel gesteckt? 1 Link-LED an? 1 Geschwindigkeit ausgehandelt? 1 MAC-Adresse sichtbar? 2 VLAN korrekt? 2 IP-Adresse vorhanden? 3 Gateway erreichbar? 3 TCP-Port offen? 4 DNS-Auflösung funktioniert? 7 Webseite lädt? 7 Merksatz: Erst Link, dann MAC, dann IP, dann Dienst. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Geräte arbeiten auf Schicht 1? - Warum arbeitet ein Hub auf Schicht 1? - Was macht ein Repeater? - Was macht ein Medienkonverter? - Was ist ein SFP-Modul? - Warum ist ein Switch nicht einfach ein Schicht-1-Gerät? - Warum kann ein Gerät mehrere Schichten betreffen? - Welche Schicht hat ein Router? - Welche Schicht hat ein Hub? - Warum entscheidet die Funktion über die Schicht? - Welche Schicht prüft man bei fehlendem Link zuerst? Typische Prüfungsfallen Ein Hub ist kein Switch. Ein Hub arbeitet auf Schicht 1. Ein Switch arbeitet typischerweise auf Schicht 2. Ein Router arbeitet typischerweise auf Schicht 3. Ein Medienkonverter arbeitet hauptsächlich auf Schicht 1. Ein SFP-Port ist nicht dasselbe wie ein SFP-Modul. Ein Gerät kann mehrere Schichten betreffen. Die betrachtete Funktion entscheidet über die Schicht. Reine Schicht-1-Geräte kennen keine MAC-Adressen. Reine Schicht-1-Geräte kennen keine IP-Adressen. Kein Link ist zuerst ein Schicht-1-Problem. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht-1-Komponente Komponente für physische Bit- und Signalübertragung Netzwerkkarte Schnittstelle zwischen Endgerät und Netzwerk NIC Network Interface Card Hub verteilt Signale an alle Ports Repeater regeneriert und verstärkt Signale Medienkonverter wandelt zwischen Übertragungsmedien SFP steckbares Netzwerkmodul SFP-Port Steckplatz für ein SFP-Modul SFP-Modul physische Schnittstelle für Kupfer oder Glasfaser Kabel physisches Übertragungsmedium Stecker physische Verbindung zwischen Komponenten Antenne sendet und empfängt Funkwellen Access Point WLAN-Zugangspunkt, betrifft Schicht 1 und 2 Switch leitet Frames anhand von MAC-Adressen weiter Router leitet IP-Pakete zwischen Netzen weiter Firewall filtert Datenverkehr je nach Funktion auf mehreren Schichten Link aktive physische Verbindung Link flapping instabile physische Verbindung Kollisionsdomäne Bereich, in dem Kollisionen auftreten können IHK-sichere Kurzformulierung Zu OSI-Schicht 1 gehören Geräte und Komponenten, die für die physische Übertragung von Bits als Signale zuständig sind. Dazu zählen zum Beispiel Netzwerkkarten, Hubs, Repeater, Medienkonverter, SFP-Module, Kabel, Stecker und Antennen. Ein Hub arbeitet auf Schicht 1, weil er eingehende Signale an alle Ports weitergibt, ohne MAC- oder IP-Adressen auszuwerten. Ein Switch besitzt zwar physische Ports, seine eigentliche Weiterleitungsfunktion arbeitet aber auf Schicht 2 anhand von MAC-Adressen. Bei der Schichtzuordnung ist deshalb immer die betrachtete Funktion entscheidend. Merksätze Schicht 1 = Bits und Signale. Schicht-1-Geräte arbeiten mit physischer Übertragung. Hub = Schicht 1. Repeater = Schicht 1. Medienkonverter = hauptsächlich Schicht 1. SFP-Modul = physische Schnittstelle. Kabel und Stecker sind physische Komponenten. Antennen gehören zur Funkübertragung. Access Point betrifft Schicht 1 und 2. Switch-Port hat Schicht-1-Anteil. Switch-Weiterleitung ist Schicht 2. Router-Port hat Schicht-1-Anteil. Routing ist Schicht 3. Die Funktion entscheidet über die Schicht. Reine Schicht-1-Geräte kennen keine MAC-Adressen. Reine Schicht-1-Geräte kennen keine IP-Adressen. Kein Link bedeutet zuerst Schicht 1 prüfen. Erst physisch prüfen, dann logisch weitergehen. 4.5 Fehlersuche auf Schicht 1 Fehler auf OSI-Schicht 1 betreffen die physische Übertragung. Das bedeutet: Es gibt ein Problem mit Kabel, Stecker, Port, Signal, Funk, Glasfaser, SFP-Modul oder Netzwerkkarte. Schicht 1 ist bei der Fehlersuche besonders wichtig, weil ohne funktionierende physische Verbindung keine höheren Schichten zuverlässig arbeiten können. Merksatz: Ohne Schicht 1 keine Netzwerkkommunikation. Grundidee der Schicht-1-Fehlersuche Auf Schicht 1 prüft man zuerst, ob überhaupt eine physische Verbindung besteht. Typische Fragen: Ist das Kabel eingesteckt? Leuchtet die Link-LED? Ist der richtige Port verwendet? Ist das Kabel beschädigt? Ist die Netzwerkkarte aktiv? Ist das SFP-Modul passend? Ist das WLAN-Signal stark genug? Erst wenn die physische Verbindung funktioniert, prüft man höhere Schichten wie MAC, IP, DNS oder Anwendung. Merksatz: Erst physisch prüfen, dann logisch weitergehen. Typische Schicht-1-Fehler Typische Fehler auf Schicht 1 sind: - Kabel nicht eingesteckt - Kabel defekt - falsches Kabel - beschädigter Stecker - defekte Netzwerkdose - falsch aufgelegtes Verlegekabel - defekter Switch-Port - Netzwerkkarte deaktiviert - falsches SFP-Modul - TX und RX bei LWL vertauscht - zu hohe Dämpfung - WLAN-Signal zu schwach - Stromversorgung fehlt - Medienkonverter defekt - falsche Geschwindigkeit ausgehandelt Merksatz: Schicht-1-Fehler sind oft einfache physische Ursachen. Fehlerbild: Kein Link Kein Link bedeutet: Die physische Verbindung wird nicht erkannt. Typische Hinweise: - Link-LED ist aus - Betriebssystem zeigt „Netzwerkkabel wurde entfernt“ - Switch-Port ist down - kein Link am Medienkonverter - kein Link am SFP-Port Mögliche Ursachen: - Kabel nicht gesteckt - falscher Port - defektes Kabel - defekte Netzwerkdose - defekter Switch-Port - Netzwerkkarte deaktiviert - falsches oder inkompatibles SFP-Modul - kein Strom am Gerät - TX/RX bei Glasfaser vertauscht Merksatz: Kein Link ist zuerst ein Schicht-1-Problem. Fehlerbild: Link flapping Link flapping bedeutet: Die Verbindung geht ständig hoch und runter. Typische Anzeige: Link up Link down Link up Link down Mögliche Ursachen: - Wackelkontakt - defektes Patchkabel - beschädigte Netzwerkdose - schlechter Stecker - defekter Port - falsches SFP-Modul - schlechte Glasfaserverbindung - zu hohe Dämpfung - Stromproblem - Treiberproblem Merksatz: Link flapping weist auf eine instabile physische Verbindung hin. Fehlerbild: Nur 100 Mbit/s statt 1 Gbit/s Wenn eine Verbindung nur 100 Mbit/s statt 1 Gbit/s aushandelt, kann das ein Hinweis auf ein Verkabelungsproblem sein. Mögliche Ursachen: - nicht alle 8 Adern verbunden - defektes Patchkabel - falsch aufgelegte Netzwerkdose - defektes Verlegekabel - altes Gerät unterstützt nur 100 Mbit/s - Switch-Port unterstützt nur 100 Mbit/s - schlechte Signalqualität - falsche Auto-Negotiation Wichtig: 100BASE-TX nutzt bei Twisted Pair typischerweise 4 Adern. 1000BASE-T nutzt alle 8 Adern. Merksatz: Nur 100 Mbit/s statt 1 Gbit/s kann an fehlenden oder fehlerhaften Adern liegen. Fehlerbild: Schlechter Durchsatz Schlechter Durchsatz bedeutet: Die tatsächlich erreichte Datenrate ist niedriger als erwartet. Mögliche Schicht-1-Ursachen: - schlechte Signalqualität - beschädigtes Kabel - zu lange Strecke - falsche Kabelkategorie - elektromagnetische Störungen - schlechte Steckverbindung - Duplex-Mismatch - viele Übertragungsfehler - schwaches WLAN-Signal - überlasteter Funkkanal Wichtig: Schlechter Durchsatz kann auch durch höhere Schichten verursacht werden. Man muss deshalb systematisch prüfen. Merksatz: Schlechter Durchsatz kann physische Ursachen haben, muss aber nicht. Fehlerbild: Paketverluste Paketverluste bedeuten: Daten erreichen ihr Ziel nicht zuverlässig. Mögliche Schicht-1-Ursachen: - instabile Verbindung - schlechte Signalqualität - defektes Kabel - schlechte Funkverbindung - Dämpfung - Störungen - Fehler auf der Glasfaserstrecke - Link flapping Wichtig: Paketverluste werden auf höheren Schichten sichtbar, können aber auf Schicht 1 verursacht werden. Merksatz: Physische Probleme können sich als Paketverluste zeigen. Fehlerbild: Viele CRC- oder FCS-Fehler CRC- oder FCS-Fehler werden bei Ethernet-Frames erkannt. Das gehört fachlich zur Schicht 2. Die Ursache liegt aber häufig auf Schicht 1. Mögliche Schicht-1-Ursachen: - defektes Kabel - schlechte Steckverbindung - elektromagnetische Störungen - zu lange Kabelstrecke - beschädigtes Patchfeld - defekter Port - schlechte Glasfaserverbindung - Duplex-Probleme Wichtig: Schicht 2 erkennt den Fehler. Schicht 1 verursacht ihn oft. Merksatz: CRC/FCS-Fehler sind ein Hinweis auf mögliche Signalprobleme. Fehlerbild: WLAN langsam oder instabil Bei WLAN können Schicht-1-Probleme durch die Funkübertragung entstehen. Mögliche Ursachen: - Signal zu schwach - zu große Entfernung - Wände oder Decken - Störungen durch andere Funkquellen - überlasteter Kanal - falsches Frequenzband - ungünstige Access-Point-Position - zu viele Clients - schlechte Antennenposition Wichtig: WLAN-Probleme können auch durch Authentifizierung, VLAN, DHCP, DNS oder Firewall-Regeln entstehen. Merksatz: WLAN-Fehlersuche beginnt mit Signal und Funkumgebung. Fehlerbild: Glasfaser-Link kommt nicht hoch Bei LWL-Verbindungen gibt es typische Schicht-1-Fehler. Mögliche Ursachen: - falsches SFP-Modul - SFP nicht vom Switch unterstützt - Multimode und Singlemode verwechselt - falsche Wellenlänge - falscher Steckertyp - TX und RX vertauscht - Glasfaser beschädigt - Stecker verschmutzt - Strecke zu lang - Dämpfung zu hoch - Gegenstelle nicht aktiv Wichtig: Niemals direkt in Glasfaser oder optische Ports schauen. Merksatz: Bei LWL zuerst Modul, Faser, TX/RX und Sauberkeit prüfen. Fehlerbild: PoE-Gerät startet nicht PoE steht für: Power over Ethernet Wenn ein PoE-Gerät nicht startet, kann auch das ein physisches Problem sein. Typische PoE-Geräte: - Access Point - IP-Kamera - VoIP-Telefon Mögliche Ursachen: - Switch liefert kein PoE - PoE am Port deaktiviert - PoE-Budget überschritten - Kabel defekt - zu lange Strecke - Endgerät benötigt mehr Leistung - falscher PoE-Standard - defektes Endgerät Merksatz: Bei PoE immer Datenverbindung und Stromversorgung prüfen. Schicht-1-Prüfung bei Kupfer Bei Twisted-Pair-Kupfer prüft man: 1. Ist das Kabel eingesteckt? 2. Ist das Patchkabel intakt? 3. Leuchtet die Link-LED? 4. Ist die Netzwerkdose richtig gepatcht? 5. Ist das Verlegekabel korrekt aufgelegt? 6. Ist die richtige Kabelkategorie vorhanden? 7. Ist die maximale Länge eingehalten? 8. Wird die erwartete Geschwindigkeit ausgehandelt? 9. Gibt es Fehlerzähler am Switch-Port? 10. Gibt es Störquellen in der Nähe? Merksatz: Bei Kupfer zuerst Kabel, Dose, Patchfeld und Port prüfen. Schicht-1-Prüfung bei LWL Bei Lichtwellenleitern prüft man: 1. Passt das SFP-Modul? 2. Passt die Datenrate? 3. Passt Multimode oder Singlemode? 4. Passt die Wellenlänge? 5. Passt der Steckertyp? 6. Sind TX und RX richtig verbunden? 7. Sind die Stecker sauber? 8. Ist die Strecke zu lang? 9. Ist die Dämpfung zu hoch? 10. Ist die Gegenstelle aktiv? Wichtig: Glasfaserstecker sind empfindlich gegenüber Schmutz. Merksatz: Bei LWL müssen Modul, Faser und Strecke zusammenpassen. Schicht-1-Prüfung bei WLAN Bei WLAN prüft man: 1. Ist WLAN am Client aktiviert? 2. Ist der Access Point aktiv? 3. Ist die Signalstärke ausreichend? 4. Ist das passende Frequenzband gewählt? 5. Ist der Kanal überlastet? 6. Gibt es Störungen? 7. Ist die Entfernung zu groß? 8. Sind Hindernisse vorhanden? 9. Ist die Antennenposition sinnvoll? 10. Sind zu viele Clients verbunden? Danach prüft man höhere Themen wie: - Passwort - Authentifizierung - VLAN - DHCP - DNS - Firewall Merksatz: Bei WLAN zuerst Funkqualität, dann Netzwerkkonfiguration prüfen. Werkzeuge für Schicht-1-Fehlersuche Typische Werkzeuge: Werkzeug Einsatz Sichtprüfung Kabel, Stecker, LEDs prüfen Link-LED physische Verbindung erkennen Kabeltester Adern und Durchgang prüfen Netzwerktester Verkabelung und Link prüfen Switch-Port-Status Link, Speed, Duplex, Fehlerzähler prüfen LWL-Reinigungswerkzeug Glasfaserstecker reinigen optischer Leistungsmesser LWL-Signalstärke messen WLAN-Analyzer Signalstärke, Kanäle und Störungen prüfen Betriebssystemanzeige Link-Speed und Adapterstatus prüfen Merksatz: Gute Fehlersuche nutzt Beobachtung, Messung und systematische Eingrenzung. Switch-Port-Status Ein Switch kann wichtige Informationen zur Verbindung anzeigen. Typische Werte: - Link up / down - Geschwindigkeit - Duplexmodus - Fehlerzähler - CRC-Fehler - FCS-Fehler - Paketanzahl - Port deaktiviert oder aktiv - PoE-Status Diese Informationen helfen, physische Probleme zu erkennen. Merksatz: Switch-Port-Statistiken sind sehr hilfreich bei Schicht-1-Fehlern. Betriebssystemanzeige Auch das Betriebssystem zeigt oft Informationen zur Verbindung. Beispiele: - Netzwerkadapter aktiv oder deaktiviert - Verbindungsgeschwindigkeit - WLAN-Signalstärke - verbundene SSID - kein Netzwerkkabel erkannt - IP-Adresse vorhanden oder nicht Wichtig: Die Betriebssystemanzeige zeigt nicht immer die Ursache, aber oft den ersten Hinweis. Merksatz: Adapterstatus und Link-Speed im Betriebssystem prüfen. Ping und Schicht 1 Ping prüft nicht direkt Schicht 1. Ping nutzt ICMP und gehört damit zu höheren Schichten. Trotzdem kann Ping bei der Fehlersuche helfen. Beispiel: Kein Ping möglich Das kann viele Ursachen haben: - kein Link - falsche IP-Adresse - falsches Gateway - Firewall blockiert ICMP - Zielgerät aus - Routing-Problem Wichtig: Wenn kein Link vorhanden ist, kann Ping nicht funktionieren. Merksatz: Ping ist hilfreich, aber kein reiner Schicht-1-Test. ipconfig, ifconfig und ip addr Befehle wie ipconfig, ifconfig oder ip addr zeigen Netzwerkinformationen an. Sie zeigen zum Beispiel: - IP-Adresse - Netzmaske - Gateway - Adapterstatus - MAC-Adresse Wichtig: Diese Befehle prüfen nicht nur Schicht 1, sondern auch höhere Schichten. Trotzdem sieht man oft Hinweise auf: - Adapter deaktiviert - kein Link - keine IP-Adresse - falsche Schnittstelle Merksatz: Betriebssystembefehle helfen, aber Schicht 1 muss physisch geprüft werden. Systematische Fehlersuche von unten nach oben Eine gute Reihenfolge: 1. Stromversorgung prüfen 2. Kabel und Stecker prüfen 3. Link-LED prüfen 4. Portstatus prüfen 5. Geschwindigkeit und Duplex prüfen 6. Fehlerzähler prüfen 7. MAC/VLAN prüfen 8. IP-Adresse prüfen 9. Gateway prüfen 10. DNS prüfen 11. Anwendung prüfen Diese Reihenfolge orientiert sich am Schichtenmodell. Merksatz: Erst Schicht 1, dann Schicht 2, dann Schicht 3, dann höhere Schichten. Beispiel: Internet funktioniert nicht Fehlerbild: Ein PC kommt nicht ins Internet. Nicht sofort mit DNS oder Router beginnen. Zuerst prüfen: - Netzwerkkabel steckt? - Link-LED leuchtet? - Adapter aktiv? - richtige Geschwindigkeit? - Switch-Port aktiv? Danach: - IP-Adresse vorhanden? - Gateway erreichbar? - DNS funktioniert? - Firewall blockiert? - Internetanschluss aktiv? Merksatz: Internetproblem kann bei Schicht 1 beginnen. Beispiel: Server nicht erreichbar Fehlerbild: Ein Server ist nicht erreichbar. Mögliche Schicht-1-Prüfung: - Server eingeschaltet? - Netzwerkkarte aktiv? - Kabel gesteckt? - Link am Serverport? - Link am Switchport? - richtige Geschwindigkeit? - Fehler am Port? - SFP korrekt? - Stromversorgung vorhanden? Danach prüft man: - VLAN - IP-Adresse - Routing - Firewall - Dienst läuft? Merksatz: Server nicht erreichbar heißt nicht automatisch Anwendungsfehler. Beispiel: Drucker im Netzwerk nicht erreichbar Fehlerbild: Netzwerkdrucker antwortet nicht. Schicht-1-Prüfung: - Drucker eingeschaltet? - Netzwerkkabel gesteckt? - Link-LED am Drucker? - Netzwerkdose gepatcht? - Switch-Port aktiv? - PoE relevant? - WLAN-Signal ausreichend, falls WLAN-Drucker? Danach: - IP-Adresse korrekt? - Drucker im richtigen VLAN? - DNS-Name korrekt? - Druckdienst erreichbar? Merksatz: Auch Druckerprobleme zuerst physisch eingrenzen. Schicht-1-Fehler und höhere Symptome Ein physischer Fehler kann sich auf höheren Schichten zeigen. sichtbares Problem mögliche physische Ursache Webseite lädt langsam schlechte Verbindung, Paketverluste VPN bricht ab instabiler Link VoIP klingt schlecht Jitter durch Verbindungsprobleme Dateiübertragung langsam schlechte Signalqualität DNS wirkt langsam Paketverluste oder instabile Verbindung Server nicht erreichbar kein Link oder Port down Merksatz: Höhere Symptome können durch untere Schichten verursacht werden. Was Schicht 1 nicht löst Nicht jedes Problem ist Schicht 1. Wenn Schicht 1 funktioniert, können Probleme trotzdem entstehen durch: - falsches VLAN - falsche IP-Adresse - falsche Subnetzmaske - falsches Gateway - DHCP-Problem - DNS-Problem - Firewall-Regel - Dienst läuft nicht - falscher Benutzerzugriff - Zertifikatsproblem Merksatz: Schicht 1 ist die Basis, aber nicht die einzige Fehlerquelle. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Fehler gehören typischerweise zu Schicht 1? - Warum prüft man bei Netzwerkproblemen zuerst die physische Verbindung? - Was bedeutet kein Link? - Was bedeutet Link flapping? - Warum kann nur 100 Mbit/s statt 1 Gbit/s ausgehandelt werden? - Warum können CRC-Fehler auf ein Schicht-1-Problem hinweisen? - Welche Ursachen kann ein nicht funktionierender LWL-Link haben? - Welche Werkzeuge helfen bei der Schicht-1-Fehlersuche? - Warum ist Ping kein reiner Schicht-1-Test? - Wie geht man bei einer Netzwerkstörung systematisch vor? Typische Prüfungsfallen Kein Link ist zuerst ein Schicht-1-Thema. Ping prüft nicht direkt Schicht 1. Eine leuchtende Link-LED bedeutet nicht automatisch, dass IP korrekt ist. CRC- oder FCS-Fehler werden auf Schicht 2 erkannt, können aber durch Schicht 1 verursacht werden. Nur 100 Mbit/s statt 1 Gbit/s kann ein Aderproblem sein. Gigabit über Twisted Pair benötigt alle 8 Adern. WLAN-Probleme sind nicht immer nur Passwortprobleme. LWL-Probleme liegen häufig an Modul, Faser, TX/RX, Dämpfung oder Verschmutzung. Erst physische Verbindung prüfen, dann IP und Dienste. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht-1-Fehler Fehler bei physischer Übertragung kein Link keine aktive physische Verbindung Link flapping Verbindung geht ständig hoch und runter Link-Speed ausgehandelte Verbindungsgeschwindigkeit Duplex Übertragungsrichtung der Verbindung CRC-Fehler erkannter Fehler bei Frame-Prüfung FCS-Fehler Fehler bei der Frame-Prüfsumme Dämpfung Abschwächung eines Signals Signalqualität Güte des empfangenen Signals Kabeltester Werkzeug zur Prüfung von Kabeln WLAN-Analyzer Werkzeug zur Prüfung von Funkumgebung optischer Leistungsmesser Messgerät für LWL-Signalstärke Switch-Port-Status Anzeige von Link, Speed, Duplex und Fehlern Ping ICMP-Test für Erreichbarkeit auf höheren Schichten PoE Stromversorgung über Netzwerkkabel IHK-sichere Kurzformulierung Fehlersuche auf OSI-Schicht 1 bedeutet, die physische Verbindung und Signalübertragung zu prüfen. Typische Schicht-1-Fehler sind nicht gesteckte oder defekte Kabel, fehlender Link, falsche Geschwindigkeit, Link flapping, defekte Ports, falsche SFP-Module, vertauschte TX/RX-Fasern, schlechte Signalqualität oder schwaches WLAN-Signal. Werkzeuge wie Link-LED, Kabeltester, Switch-Port-Status, Fehlerzähler, WLAN-Analyzer oder LWL-Messgeräte helfen bei der Eingrenzung. Bei Netzwerkproblemen sollte zuerst die physische Verbindung geprüft werden, bevor höhere Schichten wie IP, DNS oder Anwendungen untersucht werden. Merksätze Schicht-1-Fehlersuche = physische Verbindung prüfen. Kein Link = zuerst Schicht 1 prüfen. Link-LED hilft, ist aber kein vollständiger Test. Link vorhanden bedeutet nicht automatisch IP korrekt. Link flapping = instabile physische Verbindung. Nur 100 Mbit/s statt 1 Gbit/s kann ein Kabelproblem sein. Gigabit über Twisted Pair braucht alle 8 Adern. CRC/FCS-Fehler können durch Schicht-1-Probleme entstehen. Bei Kupfer: Kabel, Dose, Patchfeld, Port prüfen. Bei LWL: Modul, Faser, TX/RX, Stecker prüfen. Bei WLAN: Signal, Kanal, Störung, Entfernung prüfen. Ping ist kein reiner Schicht-1-Test. Erst physisch, dann logisch. Von unten nach oben prüfen. Schicht 1 ist die Grundlage für alle höheren Schichten. 4.6 Merksätze und Prüfungswissen zu OSI-Schicht 1 Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 1 zusammen. OSI-Schicht 1 heißt: Bitübertragungsschicht Sie ist die unterste offizielle Schicht des OSI-Modells. Ihre Hauptaufgabe ist: Bits als physische Signale übertragen. Wichtig: Schicht 1 kennt keine IP-Adressen, keine MAC-Adressen, keine Ports und keine Anwendungen. Grundidee von Schicht 1 Schicht 1 beschäftigt sich mit der physischen Übertragung. Dabei geht es um: - Bits - Signale - elektrische Übertragung - optische Übertragung - Funkübertragung - Signalpegel - Taktung - Synchronisation - Geschwindigkeit - Duplex - physische Schnittstellen - Link-Status Merksatz: Schicht 1 = Bits und Signale. Offizielle Einordnung im OSI-Modell OSI-Schicht Name Kurzaufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Daten darstellen, codieren, verschlüsseln 5 Sitzungsschicht Sitzungen verwalten 4 Transportschicht Ende-zu-Ende-Transport 3 Vermittlungsschicht IP-Adressierung und Routing 2 Sicherungsschicht Frames und MAC-Adressen 1 Bitübertragungsschicht Bits als Signale übertragen Wichtig: Schicht 1 ist die unterste offizielle OSI-Schicht. Schicht 0 und Schicht 1 unterscheiden In unserem Lernsystem wurde vorher Schicht 0 als Lernhilfe verwendet. Schicht 0 ist nicht offiziell im OSI-Modell. Bereich Bedeutung Schicht 0 Übertragungsmedien und Verkabelung Schicht 1 Bitübertragung über Signale Beispiel: Twisted-Pair-Kabel = Schicht 0 / Medium elektrische Signalübertragung = Schicht 1 Glasfaser = Schicht 0 / Medium Lichtsignal = Schicht 1 Merksatz: Schicht 0 = worüber übertragen wird. Schicht 1 = wie Bits übertragen werden. Bit und Signal Begriff Bedeutung Bit kleinste Informationseinheit, 0 oder 1 Signal physische Darstellung eines Bits oder einer Bitfolge Ein Bit ist logisch. Ein Signal ist physisch. Beispiel: Bitfolge: 1 0 1 1 Diese Bitfolge muss auf dem Medium als Signal dargestellt werden. Merksatz: Bits sind logisch. Signale sind physisch. Signalarten Je nach Medium gibt es unterschiedliche Signalarten. Medium Signalart Kupferkabel elektrische Signale Lichtwellenleiter optische Signale WLAN elektromagnetische Funksignale Merksätze: Kupfer = elektrisch. Glasfaser = optisch. WLAN = Funk. Elektrische Übertragung Elektrische Übertragung findet über Kupfer statt. Typische Medien: - Twisted-Pair-Kabel - Koaxialkabel Typische Einflussfaktoren: - Kabellänge - Kabelqualität - Schirmung - Steckverbindungen - elektromagnetische Störungen - Dämpfung Merksatz: Kupfer überträgt Bits als elektrische Signale. Optische Übertragung Optische Übertragung findet über Lichtwellenleiter statt. Andere Bezeichnungen: - LWL - Glasfaser - Fiber Typische Einflussfaktoren: - Faserart - Wellenlänge - SFP-Modul - Steckverbindungen - Verschmutzung - Dämpfung - Biegeradius - TX/RX Wichtig: Niemals direkt in Glasfaser oder optische Ports schauen. Merksatz: Glasfaser überträgt Bits als Lichtsignale. Funkübertragung Funkübertragung findet bei WLAN statt. Typische Frequenzbereiche: - 2,4 GHz - 5 GHz - 6 GHz Typische Einflussfaktoren: - Entfernung - Wände - Decken - Störungen - Kanalbelegung - Signalstärke - Access-Point-Position - Anzahl der Clients Merksatz: WLAN überträgt Bits per Funk. Codierung Codierung bedeutet: Bits werden nach einer festgelegten Regel als Signale dargestellt. Vereinfacht: Bit 0 = bestimmter Signalzustand Bit 1 = anderer Signalzustand In echten Netzwerken sind die Verfahren komplexer. Für die Prüfung reicht: Schicht 1 legt fest, wie Bits physisch übertragen werden. Merksatz: Codierung macht Bits auf dem Medium übertragbar. Modulation Modulation bedeutet: Information wird auf ein Signal aufgeprägt. Besonders wichtig ist Modulation bei Funktechnik. Eigenschaften eines Signals können verändert werden, zum Beispiel: - Amplitude - Frequenz - Phase Merksatz: Modulation = Information auf ein Signal aufprägen. Taktung und Synchronisation Sender und Empfänger müssen zeitlich zusammenpassen. Der Empfänger muss erkennen: Wann beginnt ein Bit? Wann endet ein Bit? Wann soll das Signal ausgewertet werden? Dazu dienen: - Taktung - Synchronisation Merksatz: Synchronisation sorgt dafür, dass Sender und Empfänger die Bitfolge gleich verstehen. Bitrate und Baudrate Begriff Bedeutung Bitrate übertragene Bits pro Sekunde Baudrate übertragene Symbole pro Sekunde Wichtig: Bitrate und Baudrate sind nicht immer dasselbe. Ein Symbol kann je nach Verfahren ein oder mehrere Bits darstellen. Merksatz: Bitrate = Bits pro Sekunde. Baudrate = Symbole pro Sekunde. Bandbreite, Durchsatz und Latenz Diese Begriffe werden oft verwechselt. Begriff Bedeutung Bandbreite theoretische oder mögliche Übertragungskapazität Durchsatz tatsächlich erreichte Datenrate Latenz Verzögerungszeit Jitter Schwankung der Verzögerung Prüfungsfalle: Bandbreite ist nicht automatisch Durchsatz. Merksätze: Bandbreite = möglich. Durchsatz = tatsächlich erreicht. Latenz = Verzögerung. Jitter = schwankende Verzögerung. Dämpfung und Signalqualität Dämpfung bedeutet: Ein Signal wird schwächer. Signalqualität beschreibt: wie gut ein Signal beim Empfänger ankommt. Typische Ursachen schlechter Signalqualität: - zu lange Strecke - defektes Kabel - schlechte Steckverbindung - Störungen - Rauschen - Verschmutzung bei LWL - falsches SFP-Modul - schwaches WLAN-Signal Merksatz: Dämpfung = Signalverlust. SNR SNR steht für: Signal-to-Noise Ratio Auf Deutsch: Signal-Rausch-Abstand Ein hoher SNR-Wert bedeutet: Das Nutzsignal ist deutlich stärker als das Störsignal. Ein niedriger SNR-Wert bedeutet: Das Nutzsignal ist schwerer vom Rauschen zu unterscheiden. Merksatz: Hoher SNR = bessere Signalqualität. Bitfehler und Bitfehlerrate Ein Bitfehler entsteht, wenn ein Bit falsch erkannt wird. Beispiel: gesendet: 1 empfangen: 0 Die Bitfehlerrate beschreibt, wie viele Bits fehlerhaft übertragen werden. Abkürzung: BER BER steht für: Bit Error Rate Merksatz: BER = Anteil fehlerhafter Bits. Simplex, Halbduplex und Vollduplex Modus Bedeutung Beispiel Simplex nur eine Richtung Radio Halbduplex beide Richtungen, aber abwechselnd Walkie-Talkie Vollduplex beide Richtungen gleichzeitig Telefonat Prüfungstauglich: Simplex = eine Richtung. Halbduplex = abwechselnd. Vollduplex = gleichzeitig. Merksatz: Vollduplex ist bei modernen Switch-Verbindungen üblich. Auto-Negotiation Auto-Negotiation bedeutet: Zwei Netzwerkgeräte handeln automatisch Verbindungseigenschaften aus. Dazu gehören zum Beispiel: - Geschwindigkeit - Duplexmodus - unterstützte Betriebsarten Beispiel: PC und Switch einigen sich auf 1 Gbit/s Vollduplex. Wichtig: Beide Seiten müssen die Betriebsart unterstützen. Merksatz: Auto-Negotiation = automatische Aushandlung der Verbindung. Link und Link-LED Ein Link ist eine aktive physische Verbindung. Die Link-LED zeigt häufig an, ob eine Verbindung erkannt wurde. Typische Bedeutung: Anzeige Bedeutung LED aus kein Link LED an Link vorhanden LED blinkt Aktivität andere Farbe oft andere Geschwindigkeit Wichtig: Link vorhanden bedeutet nicht automatisch, dass IP oder DNS funktionieren. Merksatz: Link = physische Verbindung, nicht vollständige Netzwerkfunktion. Hub Ein Hub ist ein altes Schicht-1-Gerät. Ein Hub arbeitet so: Signal kommt an einem Port an. Hub verteilt das Signal an alle anderen Ports. Ein Hub prüft nicht: - MAC-Adresse - IP-Adresse - VLAN - TCP-Port - Anwendung Merksatz: Hub = Schicht 1, verteilt Signale an alle Ports. Repeater Ein Repeater arbeitet auf Schicht 1. Aufgabe: Signal aufnehmen, neu aufbereiten, weitergeben. Ein Repeater hilft gegen Signalabschwächung. Er trifft aber keine logischen Weiterleitungsentscheidungen. Merksatz: Repeater = Signal regenerieren. Medienkonverter Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien. Typisches Beispiel: Kupfer Ethernet ↔ Glasfaser Ethernet Er wandelt zum Beispiel: elektrisches Signal ↔ optisches Signal Wichtig: Ein Medienkonverter ändert normalerweise keine IP-Adresse. Merksatz: Medienkonverter = Medium wandeln, nicht IP-Adresse ändern. SFP-Modul SFP steht für: Small Form-factor Pluggable Ein SFP-Modul ist ein steckbares Netzwerkmodul. Es stellt eine physische Schnittstelle bereit. Beispiele: - Multimode-LWL - Singlemode-LWL - RJ45-Kupfer - DAC - AOC Merksatz: SFP = steckbare physische Netzwerkschnittstelle. SFP-Port und SFP-Modul Nicht verwechseln: Begriff Bedeutung SFP-Port Steckplatz am Gerät SFP-Modul eingesteckte physische Schnittstelle Prüfungsfalle: Ein SFP-Port allein ist noch keine Glasfaserverbindung. Merksatz: SFP-Port = Steckplatz. SFP-Modul = Schnittstelle. Kollisionen Eine Kollision entsteht, wenn mehrere Geräte gleichzeitig auf einem gemeinsamen Medium senden. Das war besonders relevant bei: - Koaxial-Ethernet - Hubs - Halbduplex-Ethernet Bei modernen Switch-Verbindungen mit Vollduplex spielen klassische Kollisionen praktisch keine Rolle mehr. Merksatz: Kollision = gleichzeitiges Senden auf gemeinsamem Medium. Kollisionsdomäne Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können. Bei einem Hub: alle Ports in einer gemeinsamen Kollisionsdomäne Bei einem Switch: normalerweise jeder Port eigene Kollisionsdomäne Merksatz: Hub = eine Kollisionsdomäne. Switch = getrennte Kollisionsbereiche pro Port. CSMA/CD und CSMA/CA Verfahren Bedeutung Einsatz CSMA/CD Collision Detection älteres kabelgebundenes Ethernet CSMA/CA Collision Avoidance WLAN CSMA/CD bedeutet: Kollisionserkennung CSMA/CA bedeutet: Kollisionsvermeidung Merksatz: CD = Detection. CA = Avoidance. Typische Schicht-1-Geräte und Komponenten Gerät / Komponente Schicht-1-Bezug Netzwerkkarte sendet und empfängt Signale Hub verteilt Signale Repeater regeneriert Signale Medienkonverter wandelt Übertragungsmedium SFP-Modul stellt physische Schnittstelle bereit Kabel physisches Medium Stecker physische Verbindung Antenne Funkübertragung Access Point Funk auf Schicht 1, WLAN-Zugriff auf Schicht 2 Switch-Port physischer Anschluss auf Schicht 1 Wichtig: Ein Gerät kann mehrere Schichten betreffen. Die betrachtete Funktion entscheidet über die Schicht. Gerätezuordnung für die Prüfung Gerät typische Hauptschicht Hub Schicht 1 Repeater Schicht 1 Medienkonverter Schicht 1 Switch Schicht 2 Bridge Schicht 2 Router Schicht 3 Layer-3-Switch Schicht 2 und 3 Firewall je nach Funktion Schicht 3, 4 oder 7 Access Point Schicht 1 und 2 Merksatz: Hub = Schicht 1. Switch = Schicht 2. Router = Schicht 3. Was Schicht 1 nicht macht Schicht 1 macht nicht: - MAC-Adressen auswerten - Ethernet-Frames gezielt weiterleiten - VLANs trennen - IP-Adressen verwalten - Routing durchführen - TCP- oder UDP-Ports auswerten - DNS-Namen auflösen - Webseiten bereitstellen - Benutzer authentifizieren Merksatz: Schicht 1 kennt keine logischen Adressen und keine Dienste. Typische Schicht-1-Fehler Typische Fehler: - kein Link - Link flapping - Kabel defekt - Stecker beschädigt - falsches SFP-Modul - TX/RX bei LWL vertauscht - WLAN-Signal zu schwach - falsche Geschwindigkeit - Duplex-Mismatch - zu hohe Dämpfung - schlechte Signalqualität - Stromversorgung fehlt Merksatz: Schicht-1-Fehler sind physische Verbindungsfehler. Fehlerbild: Kein Link Kein Link bedeutet: keine aktive physische Verbindung. Mögliche Ursachen: - Kabel nicht gesteckt - falscher Port - defektes Kabel - defekter Switch-Port - Netzwerkkarte deaktiviert - falsches SFP-Modul - TX/RX vertauscht - kein Strom Merksatz: Kein Link = zuerst Schicht 1 prüfen. Fehlerbild: Nur 100 Mbit/s statt 1 Gbit/s Mögliche Ursachen: - nur 4 Adern verbunden - Kabel defekt - Dose falsch aufgelegt - Patchfeldproblem - altes Gerät - schlechter Port - schlechte Signalqualität Wichtig: 1000BASE-T benötigt alle 8 Adern. Merksatz: Gigabit über Twisted Pair braucht alle 8 Adern. Fehlerbild: CRC- oder FCS-Fehler CRC- und FCS-Fehler werden auf Schicht 2 erkannt. Die Ursache liegt aber oft auf Schicht 1. Mögliche Ursachen: - schlechtes Kabel - Störungen - schlechte Steckverbindung - zu lange Strecke - Duplex-Probleme - schlechte Glasfaserstrecke Merksatz: Schicht 2 erkennt den Fehler, Schicht 1 verursacht ihn oft. Schicht-1-Fehlersuche Sinnvolle Reihenfolge: 1. Strom prüfen 2. Kabel prüfen 3. Stecker prüfen 4. Link-LED prüfen 5. Port prüfen 6. Geschwindigkeit prüfen 7. Duplex prüfen 8. Fehlerzähler prüfen 9. SFP / LWL prüfen 10. WLAN-Signal prüfen Danach: MAC, VLAN, IP, DNS, Anwendung Merksatz: Erst physisch, dann logisch. Typische Werkzeuge Werkzeug Einsatz Sichtprüfung Kabel, Stecker, LEDs prüfen Kabeltester Adern und Durchgang prüfen Switch-Port-Status Link, Speed, Duplex, Fehler prüfen Betriebssystemanzeige Adapterstatus und Link-Speed prüfen WLAN-Analyzer Signal, Kanal und Störungen prüfen optischer Leistungsmesser LWL-Signal prüfen LWL-Reinigungswerkzeug Glasfaserstecker reinigen Merksatz: Gute Fehlersuche kombiniert Prüfen, Messen und Eingrenzen. Schicht-1-Fehler und höhere Symptome Schicht-1-Fehler können sich wie höhere Netzwerkprobleme anfühlen. Symptom mögliche Schicht-1-Ursache Webseite langsam Paketverluste durch schlechte Verbindung VPN bricht ab Link flapping VoIP klingt schlecht Jitter durch instabile Verbindung Dateiübertragung langsam schlechte Signalqualität Server nicht erreichbar kein Link WLAN langsam schwaches Signal oder Störungen Merksatz: Probleme oben können unten verursacht werden. Prüfungswissen: wichtigste Zuordnungen Begriff richtige Einordnung Bit Schicht 1 Signal Schicht 1 Link Schicht 1 Hub Schicht 1 Repeater Schicht 1 Medienkonverter Schicht 1 SFP-Modul Schicht 1 MAC-Adresse Schicht 2 Ethernet-Frame Schicht 2 VLAN Schicht 2 IP-Adresse Schicht 3 Routing Schicht 3 TCP-Port Schicht 4 DNS Schicht 7 Merksatz: Signal = Schicht 1. MAC = Schicht 2. IP = Schicht 3. Port = Schicht 4. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Bitübertragungsschicht? - Was wird auf Schicht 1 übertragen? - Was ist der Unterschied zwischen Bit und Signal? - Welche Signalarten gibt es? - Was macht ein Hub? - Was macht ein Repeater? - Was macht ein Medienkonverter? - Was ist ein SFP-Modul? - Was bedeutet Auto-Negotiation? - Was bedeutet Simplex, Halbduplex und Vollduplex? - Was ist eine Kollision? - Was ist eine Kollisionsdomäne? - Was bedeutet CSMA/CD? - Was bedeutet CSMA/CA? - Welche Fehler gehören zu Schicht 1? - Warum prüft man bei Netzwerkfehlern zuerst Schicht 1? Typische Prüfungsfallen Schicht 1 ist die unterste offizielle OSI-Schicht. Schicht 1 überträgt Bits, keine IP-Pakete im fachlichen Sinne. Bits und Signale sind nicht dasselbe. Schicht 1 kennt keine MAC-Adressen. Schicht 1 kennt keine IP-Adressen. Schicht 1 kennt keine TCP- oder UDP-Ports. Hub ist Schicht 1. Switch ist typischerweise Schicht 2. Router ist typischerweise Schicht 3. Link vorhanden bedeutet nicht automatisch, dass IP korrekt ist. Kein Link ist zuerst ein Schicht-1-Problem. CRC/FCS-Fehler werden auf Schicht 2 erkannt, können aber durch Schicht 1 verursacht werden. Gigabit über Twisted Pair braucht alle 8 Adern. WLAN ist ein geteiltes Funkmedium. Auto-Negotiation kann durch Kabelprobleme beeinflusst werden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Bitübertragungsschicht OSI-Schicht 1 Bit kleinste Informationseinheit Signal physische Darstellung von Information elektrische Signale Übertragung über Kupfer optische Signale Übertragung über Licht Funksignale drahtlose Übertragung Codierung Darstellung von Bits als Signale Modulation Information auf ein Signal aufprägen Taktung zeitliche Einteilung der Übertragung Synchronisation zeitliche Abstimmung Bitrate Bits pro Sekunde Baudrate Symbole pro Sekunde Dämpfung Signalverlust SNR Signal-Rausch-Abstand BER Bitfehlerrate Link aktive physische Verbindung Auto-Negotiation automatische Aushandlung Simplex eine Richtung Halbduplex abwechselnd Vollduplex gleichzeitig Hub Schicht-1-Gerät Repeater Signalregenerator Medienkonverter wandelt Übertragungsmedien SFP steckbares Netzwerkmodul IHK-sichere Gesamtformulierung Die Bitübertragungsschicht ist Schicht 1 des OSI-Modells. Sie ist für die physische Übertragung einzelner Bits über ein Übertragungsmedium zuständig. Bits werden je nach Medium als elektrische, optische oder elektromagnetische Signale übertragen. Zur Schicht 1 gehören Themen wie Signalpegel, Codierung, Modulation, Taktung, Synchronisation, Link, Übertragungsgeschwindigkeit, Duplexmodus, Auto-Negotiation, Hub, Repeater, Medienkonverter und SFP-Module. Schicht 1 kennt keine MAC-Adressen, IP-Adressen oder TCP-/UDP-Ports. Fehler auf Schicht 1 können alle höheren Schichten beeinflussen und sollten bei der Fehlersuche zuerst geprüft werden. Wichtigste Merksätze Schicht 1 = Bitübertragungsschicht. Schicht 1 ist die unterste offizielle OSI-Schicht. Schicht 1 überträgt Bits als Signale. Bits sind logisch. Signale sind physisch. Kupfer = elektrische Signale. Glasfaser = optische Signale. WLAN = Funksignale. Codierung = Bits als Signale darstellen. Modulation = Information auf ein Signal aufprägen. Dämpfung = Signalverlust. SNR = Signal-Rausch-Abstand. Bitrate = Bits pro Sekunde. Baudrate = Symbole pro Sekunde. Bandbreite ist nicht Durchsatz. Simplex = eine Richtung. Halbduplex = abwechselnd. Vollduplex = gleichzeitig. Auto-Negotiation = automatische Aushandlung. Link = aktive physische Verbindung. Link vorhanden bedeutet nicht automatisch IP korrekt. Hub = Schicht 1. Switch = Schicht 2. Router = Schicht 3. Medienkonverter = hauptsächlich Schicht 1. SFP-Modul = physische Schnittstelle. Schicht 1 kennt keine MAC-Adressen. Schicht 1 kennt keine IP-Adressen. Schicht 1 kennt keine Ports. Kein Link = zuerst Schicht 1 prüfen. Erst physisch, dann logisch. Ohne funktionierende Schicht 1 funktionieren höhere Schichten nicht zuverlässig. 5. OSI-Schicht 2 – Sicherungsschicht 5.1 OSI-Schicht 2 – Sicherungsschicht Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie liegt direkt über der Bitübertragungsschicht. Während Schicht 1 nur Bits als Signale überträgt, organisiert Schicht 2 diese Bits zu sinnvollen Übertragungseinheiten im lokalen Netzwerk. Diese Übertragungseinheiten heißen: Frames Bei Ethernet spricht man deshalb auch von: Ethernet-Frames Merksatz: Schicht 2 = Frames und MAC-Adressen. Grundaufgabe der Sicherungsschicht Die Hauptaufgabe der Sicherungsschicht ist: Daten im lokalen Netzwerk zuverlässig von einem Gerät zum nächsten übertragen. Dabei geht es besonders um: - Frames - MAC-Adressen - lokale Zustellung - Zugriff auf das Übertragungsmedium - Fehlererkennung - Switches - VLANs - Broadcasts - Kollisions- und Broadcast-Domänen Wichtig: Schicht 2 arbeitet innerhalb eines lokalen Netzwerks. Schicht 3 ist für IP und Routing zwischen Netzwerken zuständig. Merksatz: Schicht 2 kümmert sich um die lokale Übertragung im LAN. Einordnung im OSI-Modell OSI-Schicht Name Aufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Darstellung, Codierung, Verschlüsselung 5 Sitzungsschicht Sitzungen verwalten 4 Transportschicht Transport zwischen Anwendungen 3 Vermittlungsschicht IP-Adressierung und Routing 2 Sicherungsschicht Frames, MAC-Adressen, lokale Übertragung 1 Bitübertragungsschicht Bits als Signale übertragen Merksatz: Schicht 1 = Bits. Schicht 2 = Frames. Schicht 3 = IP-Pakete. Warum braucht man Schicht 2? Schicht 1 überträgt nur einzelne Bits. Aber ein Netzwerkgerät muss wissen: Wo beginnt eine Datenübertragung? Wo endet sie? Für welches Gerät ist sie bestimmt? Von welchem Gerät kommt sie? Ist der Frame beschädigt? Soll der Frame weitergeleitet werden? Diese Aufgaben übernimmt Schicht 2. Merksatz: Schicht 2 macht aus reiner Bitübertragung eine lokale Datenübertragung. Begriff: Frame Ein Frame ist die Datenübertragungseinheit auf Schicht 2. Bei Ethernet spricht man von: Ethernet-Frame Ein Frame enthält unter anderem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Nutzdaten - Prüfinformationen Vereinfacht: Ein Frame ist ein Datenpaket für das lokale Netzwerk. Fachlich genauer: Ein Frame ist die Protocol Data Unit der Sicherungsschicht. Merksatz: Frame = Datenrahmen auf Schicht 2. Frame und Paket unterscheiden Die Begriffe Frame und Paket werden im Alltag oft vermischt. Fachlich sollte man unterscheiden: Begriff Schicht Bedeutung Frame Schicht 2 lokale Übertragung mit MAC-Adressen Paket Schicht 3 IP-Übertragung zwischen Netzwerken Segment Schicht 4 TCP-Datenübertragung Datagramm Schicht 4 UDP-Datenübertragung Prüfungsfalle: Ethernet arbeitet mit Frames, IP arbeitet mit Paketen. Merksatz: Schicht 2 = Frame. Schicht 3 = Paket. Begriff: MAC-Adresse MAC steht für: Media Access Control Eine MAC-Adresse ist eine Hardwareadresse einer Netzwerkschnittstelle. Beispiele für Netzwerkschnittstellen: - Ethernet-Netzwerkkarte - WLAN-Adapter - Switch-Port mit eigener Management-Schnittstelle - virtuelle Netzwerkkarte Eine MAC-Adresse dient zur lokalen Adressierung im Netzwerk. Merksatz: MAC-Adresse = lokale Hardwareadresse einer Netzwerkschnittstelle. Aufbau einer MAC-Adresse Eine MAC-Adresse besteht aus 48 Bit. Sie wird häufig hexadezimal dargestellt. Beispiel: 00:1A:2B:3C:4D:5E Oder auch: 00-1A-2B-3C-4D-5E Hexadezimal bedeutet: Darstellung mit den Zeichen 0 bis 9 und A bis F. Merksatz: MAC-Adresse = 48 Bit, meist hexadezimal dargestellt. Quell-MAC-Adresse und Ziel-MAC-Adresse Ein Ethernet-Frame enthält normalerweise: - Ziel-MAC-Adresse - Quell-MAC-Adresse Die Ziel-MAC-Adresse gibt an: An welches Gerät im lokalen Netzwerk soll der Frame gehen? Die Quell-MAC-Adresse gibt an: Von welchem Gerät kommt der Frame? Beispiel: PC A sendet an PC B. Dann enthält der Frame: Quell-MAC-Adresse: MAC von PC A Ziel-MAC-Adresse: MAC von PC B Merksatz: Ziel-MAC = wohin im lokalen Netz. Quell-MAC = woher im lokalen Netz. Lokale Bedeutung der MAC-Adresse MAC-Adressen gelten für die lokale Übertragung im gleichen Netzwerksegment. Wichtig: MAC-Adressen werden nicht über Router hinweg unverändert für die gesamte Strecke verwendet. Wenn ein IP-Paket über mehrere Router läuft, ändern sich auf jedem lokalen Abschnitt die Schicht-2-Adressen. Die IP-Adressen bleiben dagegen grundsätzlich Ende-zu-Ende erhalten, außer bei NAT. Merksatz: MAC-Adressen gelten lokal. IP-Adressen gelten netzübergreifend. Beispiel: MAC und IP Ein PC möchte eine Webseite im Internet öffnen. Dabei gibt es mehrere Ebenen: Schicht 2: lokale Zustellung zum nächsten Gerät, zum Beispiel Router Schicht 3: IP-Zustellung zum Zielnetz Vereinfacht: Der PC sendet den Ethernet-Frame lokal an die MAC-Adresse des Routers. Im IP-Paket steht aber die IP-Adresse des Webservers. Merksatz: MAC bringt den Frame zum nächsten lokalen Ziel. IP bringt das Paket zum Zielnetz. Schicht 2 im lokalen Netzwerk Schicht 2 ist besonders wichtig im LAN. LAN steht für: Local Area Network Typische Schicht-2-Techniken im LAN: - Ethernet - WLAN - Switches - MAC-Adressen - VLANs - ARP im Zusammenspiel mit IP - Broadcasts Merksatz: Schicht 2 ist die lokale Ebene im LAN. Ethernet Ethernet ist die wichtigste LAN-Technik in kabelgebundenen Netzwerken. Ethernet beschreibt unter anderem: - Frame-Aufbau - MAC-Adressen - Zugriff auf das Medium - Übertragungsstandards - Zusammenarbeit mit Schicht 1 Ethernet betrifft Schicht 1 und Schicht 2. Schicht 1: physische Übertragung Schicht 2: Frames und MAC-Adressen Merksatz: Ethernet verbindet Schicht 1 und Schicht 2. WLAN und Schicht 2 Auch WLAN arbeitet mit Schicht-2-Konzepten. Bei WLAN gibt es ebenfalls: - MAC-Adressen - Frames - Zugriff auf das Medium - Authentifizierung und Assoziierung - SSID - Access Points WLAN unterscheidet sich technisch von Ethernet, erfüllt aber ebenfalls Aufgaben der Sicherungsschicht. Merksatz: WLAN hat ebenfalls Schicht-2-Funktionen. Begriff: Switch Ein Switch ist ein Netzwerkgerät, das auf Schicht 2 arbeitet. Ein Switch leitet Ethernet-Frames anhand von MAC-Adressen weiter. Er merkt sich, an welchem Port welche MAC-Adresse erreichbar ist. Diese Informationen speichert er in einer Tabelle. Diese Tabelle nennt man häufig: MAC-Adresstabelle Oder: Switching-Tabelle Merksatz: Switch = Schicht-2-Gerät für gezielte Frame-Weiterleitung. Hub und Switch unterscheiden Ein Hub arbeitet auf Schicht 1. Ein Switch arbeitet typischerweise auf Schicht 2. Gerät Schicht Arbeitsweise Hub 1 verteilt Signale an alle Ports Switch 2 leitet Frames anhand von MAC-Adressen weiter Wichtig: Ein Switch ist intelligenter als ein Hub, weil er MAC-Adressen auswertet. Merksatz: Hub verteilt blind. Switch entscheidet anhand von MAC-Adressen. MAC-Adresstabelle Ein Switch lernt MAC-Adressen automatisch. Wenn ein Frame an einem Switch-Port eingeht, merkt sich der Switch: Diese Quell-MAC-Adresse ist an diesem Port erreichbar. Beispiel: Frame kommt an Port 3 an. Quell-MAC-Adresse ist AA:BB:CC:11:22:33. Der Switch merkt sich: AA:BB:CC:11:22:33 → Port 3 Merksatz: Switch lernt MAC-Adressen über die Quell-MAC-Adresse. Frame-Weiterleitung durch den Switch Wenn ein Switch einen Frame erhält, prüft er die Ziel-MAC-Adresse. Dann gibt es drei typische Fälle: Fall Verhalten Ziel-MAC bekannt Frame wird gezielt an passenden Port weitergeleitet Ziel-MAC unbekannt Frame wird an mehrere Ports geflutet Ziel-MAC ist Broadcast Frame wird an alle relevanten Ports gesendet Dieses Fluten nennt man: Flooding Merksatz: Bekannte MAC = gezielt. Unbekannte MAC = Flooding. Broadcast Ein Broadcast ist eine Nachricht an alle Geräte im lokalen Netz. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Broadcasts werden zum Beispiel verwendet bei: - ARP-Anfragen - DHCP-Anfragen - bestimmten lokalen Such- und Steuerdiensten Wichtig: Broadcasts bleiben normalerweise innerhalb einer Broadcast-Domäne. Merksatz: Broadcast = Nachricht an alle im lokalen Netz. Broadcast-Domäne Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden. Alle Geräte in derselben Broadcast-Domäne können Broadcasts voneinander empfangen. Typisch: Ein VLAN bildet eine eigene Broadcast-Domäne. Router trennen Broadcast-Domänen. Merksatz: Broadcast-Domäne = Bereich, in dem Broadcasts weitergegeben werden. Kollisionsdomäne Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können. Bei einem Hub: alle Ports gehören zu einer gemeinsamen Kollisionsdomäne. Bei einem Switch: jeder Port ist normalerweise eine eigene Kollisionsdomäne. In modernen Vollduplex-Switch-Netzen spielen klassische Kollisionen praktisch keine Rolle mehr. Merksatz: Hub = eine Kollisionsdomäne. Switch = getrennte Kollisionsbereiche pro Port. Fehlererkennung auf Schicht 2 Schicht 2 kann Übertragungsfehler erkennen. Dazu enthält ein Ethernet-Frame eine Prüfinformation. Diese nennt man: FCS FCS steht für: Frame Check Sequence Die FCS basiert auf einer Prüfsumme. Häufig wird dabei der Begriff CRC verwendet. CRC steht für: Cyclic Redundancy Check Merksatz: FCS/CRC erkennt beschädigte Frames. Wichtig: Fehlererkennung ist nicht Fehlerkorrektur Schicht 2 kann beschädigte Frames erkennen. Aber: Ethernet korrigiert fehlerhafte Frames normalerweise nicht. Wenn ein Frame fehlerhaft ist, wird er verworfen. Eine erneute Übertragung erfolgt dann gegebenenfalls durch höhere Schichten, zum Beispiel durch TCP. Merksatz: Schicht 2 erkennt viele Fehler, korrigiert sie aber normalerweise nicht selbst. VLAN kurz eingeordnet VLAN steht für: Virtual Local Area Network Ein VLAN ist ein logisch getrenntes Netzwerk auf Schicht 2. VLANs ermöglichen es, mehrere logische Netze über dieselbe physische Switch-Infrastruktur zu betreiben. Beispiel: VLAN Zweck VLAN 10 Mitarbeiter VLAN 20 Gäste VLAN 30 Server VLAN 40 VoIP Merksatz: VLAN = logische Netztrennung auf Schicht 2. Schicht 2 und ARP ARP steht für: Address Resolution Protocol ARP verbindet Schicht 3 und Schicht 2. Aufgabe: Zu einer bekannten IP-Adresse wird die passende MAC-Adresse im lokalen Netzwerk gesucht. Beispiel: PC kennt IP-Adresse des Routers. PC braucht MAC-Adresse des Routers. ARP fragt im lokalen Netz nach der passenden MAC-Adresse. Merksatz: ARP findet zur IP-Adresse die passende MAC-Adresse im lokalen Netz. Schicht 2 und IP unterscheiden Thema Schicht MAC-Adresse Schicht 2 Ethernet-Frame Schicht 2 Switch Schicht 2 VLAN Schicht 2 IP-Adresse Schicht 3 IP-Paket Schicht 3 Router Schicht 3 Routing Schicht 3 Merksatz: MAC = lokal. IP = netzübergreifend. Was Schicht 2 nicht macht Schicht 2 macht nicht: - Routing zwischen IP-Netzen - Auswahl des besten IP-Wegs - TCP-Verbindungsaufbau - UDP-Port-Auswertung - DNS-Auflösung - HTTP-Anfragen - Benutzeranmeldung in Anwendungen Diese Aufgaben gehören zu höheren Schichten. Merksatz: Schicht 2 leitet lokal weiter, aber routet nicht zwischen IP-Netzen. Typische Schicht-2-Fehler Typische Fehler auf Schicht 2 sind: - falsches VLAN - MAC-Adresse nicht gelernt - Broadcast-Stürme - Schleifen im Switch-Netz - STP-Probleme - Port im falschen Modus - fehlerhafte Trunk-Konfiguration - doppelte MAC-Adressen - falsche Access-Point- oder SSID-VLAN-Zuordnung Wichtig: Schicht-2-Probleme können so wirken, als wäre IP falsch, obwohl die Ursache im lokalen Netz liegt. Merksatz: Schicht-2-Fehler betreffen Frames, MACs, VLANs und lokale Weiterleitung. Einordnung bei der Fehlersuche Eine sinnvolle Reihenfolge: 1. Schicht 1 prüfen: Link, Kabel, Signal, Port 2. Schicht 2 prüfen: MAC-Adresse, VLAN, Switch-Port, Frames 3. Schicht 3 prüfen: IP-Adresse, Gateway, Routing 4. höhere Schichten prüfen: DNS, Ports, Anwendung Merksatz: Erst Link, dann MAC/VLAN, dann IP. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Sicherungsschicht? - Was ist ein Frame? - Was ist eine MAC-Adresse? - Wofür wird eine MAC-Adresse verwendet? - Was macht ein Switch? - Wie lernt ein Switch MAC-Adressen? - Was ist eine MAC-Adresstabelle? - Was ist ein Broadcast? - Was ist eine Broadcast-Domäne? - Was ist der Unterschied zwischen Hub und Switch? - Was ist ein VLAN? - Was ist der Unterschied zwischen MAC-Adresse und IP-Adresse? - Was macht ARP? - Was bedeutet FCS oder CRC? Typische Prüfungsfallen Schicht 2 arbeitet mit Frames, nicht mit IP-Paketen. MAC-Adressen sind Schicht 2. IP-Adressen sind Schicht 3. Ein Switch arbeitet typischerweise auf Schicht 2. Ein Router arbeitet typischerweise auf Schicht 3. Ein Hub arbeitet auf Schicht 1. Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse. Broadcast-MAC-Adresse ist FF:FF:FF:FF:FF:FF. VLANs trennen logisch auf Schicht 2. Ein VLAN ist nicht dasselbe wie ein IP-Subnetz, wird aber häufig zusammen damit geplant. ARP fragt nach der MAC-Adresse zu einer IP-Adresse im lokalen Netz. FCS/CRC erkennt beschädigte Frames, korrigiert sie aber normalerweise nicht. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Sicherungsschicht OSI-Schicht 2 Frame Datenrahmen auf Schicht 2 Ethernet-Frame Frame im Ethernet-LAN MAC-Adresse lokale Hardwareadresse einer Netzwerkschnittstelle Ziel-MAC Empfängeradresse im lokalen Netz Quell-MAC Absenderadresse im lokalen Netz Switch Schicht-2-Gerät für Frame-Weiterleitung MAC-Adresstabelle Tabelle mit MAC-Adresse und Switch-Port Flooding Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC Broadcast Nachricht an alle Geräte im lokalen Netz Broadcast-Domäne Bereich, in dem Broadcasts verteilt werden Kollisionsdomäne Bereich, in dem Kollisionen auftreten können VLAN logisches LAN auf Schicht 2 ARP sucht MAC-Adresse zu einer IP-Adresse im lokalen Netz FCS Frame Check Sequence CRC Prüfsummenverfahren zur Fehlererkennung IHK-sichere Kurzformulierung Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie ist für die lokale Übertragung von Daten in Form von Frames zuständig. Im Ethernet-LAN werden dafür MAC-Adressen verwendet. Ein Ethernet-Frame enthält unter anderem eine Quell-MAC-Adresse und eine Ziel-MAC-Adresse. Switches arbeiten typischerweise auf Schicht 2 und leiten Frames anhand von MAC-Adressen weiter. Sie lernen MAC-Adressen über die Quelladresse eingehender Frames und speichern diese in einer MAC-Adresstabelle. VLANs ermöglichen eine logische Trennung von Netzbereichen auf Schicht 2. Fehlerhafte Frames können über FCS/CRC erkannt und verworfen werden. Merksätze Schicht 2 = Sicherungsschicht. Schicht 2 arbeitet mit Frames. Ethernet-Frame = Datenrahmen im LAN. MAC-Adresse = lokale Hardwareadresse. Ziel-MAC = wohin lokal. Quell-MAC = woher lokal. MAC ist Schicht 2. IP ist Schicht 3. Switch = Schicht 2. Hub = Schicht 1. Router = Schicht 3. Switch lernt über Quell-MAC-Adressen. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast = an alle. Broadcast-MAC = FF:FF:FF:FF:FF:FF. VLAN = logische Trennung auf Schicht 2. ARP verbindet IP-Adresse mit MAC-Adresse im lokalen Netz. FCS/CRC erkennt beschädigte Frames. Schicht 2 routet nicht zwischen IP-Netzen. 5.2 Ethernet-Frame und MAC-Adressen Auf OSI-Schicht 2 werden Daten in sogenannten Frames übertragen. Bei Ethernet heißen diese Datenrahmen: Ethernet-Frames Ein Ethernet-Frame enthält alle Informationen, die für die lokale Übertragung im LAN notwendig sind. Besonders wichtig sind: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Nutzdaten - Prüfsumme Merksatz: Ethernet-Frame = Datenrahmen für die lokale Übertragung im Ethernet-LAN. Warum gibt es Frames? Schicht 1 überträgt nur Bits als Signale. Schicht 2 muss daraus geordnete Einheiten bilden. Ein Empfänger muss erkennen können: Wo beginnt die Übertragung? Wo endet die Übertragung? Von wem kommt sie? Für wen ist sie bestimmt? Sind die Daten beschädigt? Diese geordnete Einheit ist der Frame. Merksatz: Frames machen aus einzelnen Bits eine nutzbare lokale Datenübertragung. Begriff: Frame Ein Frame ist die Protocol Data Unit der OSI-Schicht 2. PDU steht für: Protocol Data Unit Auf Deutsch sinngemäß: Protokolldateneinheit Ein Frame ist also die typische Datenform auf der Sicherungsschicht. Vergleich: Schicht typische Datenform Schicht 1 Bits Schicht 2 Frame Schicht 3 Paket Schicht 4 Segment oder Datagramm Merksatz: Schicht 2 arbeitet mit Frames. Ethernet-Frame vereinfacht Ein Ethernet-Frame besteht vereinfacht aus mehreren Teilen. Bestandteil Aufgabe Ziel-MAC-Adresse Empfänger im lokalen Netzwerk Quell-MAC-Adresse Absender im lokalen Netzwerk Typ / Länge gibt an, welches Protokoll oder welche Länge folgt Nutzdaten transportierte Daten höherer Schichten FCS Prüfinformation zur Fehlererkennung Vereinfacht: Ziel Absender Inhalt Prüfung Merksatz: Ein Ethernet-Frame enthält Ziel, Absender, Inhalt und Prüfinformation. Ziel-MAC-Adresse Die Ziel-MAC-Adresse gibt an, an welches Gerät der Frame im lokalen Netzwerk gesendet werden soll. Beispiel: PC A sendet an PC B. Dann steht im Ethernet-Frame: Ziel-MAC-Adresse = MAC-Adresse von PC B Die Ziel-MAC-Adresse ist für Switches besonders wichtig. Ein Switch prüft die Ziel-MAC-Adresse und entscheidet dann, an welchen Port der Frame weitergeleitet wird. Merksatz: Ziel-MAC = lokaler Empfänger des Frames. Quell-MAC-Adresse Die Quell-MAC-Adresse gibt an, von welchem Gerät der Frame stammt. Beispiel: PC A sendet an PC B. Dann steht im Ethernet-Frame: Quell-MAC-Adresse = MAC-Adresse von PC A Switches lernen MAC-Adressen über die Quell-MAC-Adresse. Wenn ein Frame an einem Switch-Port eingeht, merkt sich der Switch: Diese MAC-Adresse ist über diesen Port erreichbar. Merksatz: Quell-MAC = lokaler Absender des Frames. MAC-Adresse MAC steht für: Media Access Control Eine MAC-Adresse ist eine lokale Hardwareadresse einer Netzwerkschnittstelle. Typische Netzwerkschnittstellen: - Ethernet-Port - WLAN-Adapter - virtuelle Netzwerkkarte - Server-Netzwerkkarte - USB-LAN-Adapter Eine MAC-Adresse identifiziert eine Schnittstelle im lokalen Netzwerk. Merksatz: MAC-Adresse = lokale Adresse einer Netzwerkschnittstelle. Aufbau einer MAC-Adresse Eine klassische MAC-Adresse hat: 48 Bit Sie wird meist hexadezimal dargestellt. Beispiel: 00:1A:2B:3C:4D:5E Oder: 00-1A-2B-3C-4D-5E Hexadezimal bedeutet: Ziffern 0 bis 9 und Buchstaben A bis F Ein Byte wird dabei durch zwei Hex-Zeichen dargestellt. Merksatz: MAC-Adresse = 48 Bit, meist hexadezimal geschrieben. OUI und Geräteanteil Eine MAC-Adresse kann in zwei Bereiche unterteilt werden. Bereich Bedeutung OUI Herstellerkennung Geräteanteil eindeutiger Teil für das Gerät OUI steht für: Organizationally Unique Identifier Der OUI-Bereich zeigt, welchem Hersteller ein MAC-Adressbereich zugeordnet wurde. Wichtig: In der Praxis können MAC-Adressen auch virtuell erzeugt oder geändert werden. Deshalb ist die MAC-Adresse nicht immer ein absolut sicherer Gerätenachweis. Merksatz: OUI = Herstellerkennung in der MAC-Adresse. Unicast-MAC-Adresse Unicast bedeutet: ein Absender an einen bestimmten Empfänger Eine Unicast-MAC-Adresse gehört zu einer einzelnen Netzwerkschnittstelle. Beispiel: PC A sendet einen Frame direkt an PC B. Dann verwendet PC A die Ziel-MAC-Adresse von PC B. Merksatz: Unicast = einer an einen. Broadcast-MAC-Adresse Broadcast bedeutet: ein Absender an alle Geräte im lokalen Netzwerk Die Ethernet-Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Ein Broadcast wird an alle Geräte innerhalb der Broadcast-Domäne gesendet. Typische Beispiele: - ARP-Anfrage - DHCP-Anfrage Merksatz: Broadcast = einer an alle. Multicast-MAC-Adresse Multicast bedeutet: ein Absender an eine bestimmte Gruppe von Empfängern Nicht alle Geräte sollen den Frame erhalten, sondern nur Mitglieder einer bestimmten Gruppe. Multicast wird zum Beispiel verwendet bei: - Streaming - IPTV - bestimmten Protokollen - Gruppenkommunikation Merksatz: Multicast = einer an eine Gruppe. Unicast, Broadcast und Multicast im Vergleich Art Bedeutung Beispiel Unicast einer an einen PC an Server Broadcast einer an alle ARP-Anfrage Multicast einer an eine Gruppe Streaming-Gruppe Prüfungstauglich: Unicast = gezielt. Broadcast = alle. Multicast = Gruppe. EtherType Im Ethernet-Frame gibt es ein Feld, das häufig angibt, welches Protokoll in den Nutzdaten enthalten ist. Dieses Feld nennt man: EtherType Beispiele: EtherType Bedeutung 0x0800 IPv4 0x86DD IPv6 0x0806 ARP Wichtig: Der Ethernet-Frame kann Daten verschiedener höherer Protokolle transportieren. Merksatz: EtherType zeigt, welches Protokoll im Frame transportiert wird. Nutzdaten im Ethernet-Frame Die Nutzdaten sind der Inhalt, den der Ethernet-Frame transportiert. Das können zum Beispiel sein: - ein IPv4-Paket - ein IPv6-Paket - eine ARP-Nachricht - andere Protokolldaten Wichtig: Der Ethernet-Frame transportiert Daten höherer Schichten. Schicht 2 interessiert sich dabei nicht für die vollständige Bedeutung der Anwendung. Merksatz: Ethernet transportiert Nutzdaten höherer Schichten lokal weiter. FCS FCS steht für: Frame Check Sequence Die FCS ist eine Prüfinformation am Ende des Ethernet-Frames. Sie dient zur Fehlererkennung. Der Empfänger kann damit prüfen, ob der Frame während der Übertragung beschädigt wurde. Merksatz: FCS = Prüfinformation zur Fehlererkennung im Frame. CRC CRC steht für: Cyclic Redundancy Check CRC ist ein Verfahren zur Fehlererkennung. Die FCS im Ethernet-Frame basiert auf einem CRC-Verfahren. Wenn die Prüfung fehlschlägt, gilt der Frame als beschädigt. Dann wird er verworfen. Merksatz: CRC erkennt Übertragungsfehler. Fehlererkennung, aber keine Fehlerkorrektur Ethernet kann über FCS/CRC beschädigte Frames erkennen. Aber: Ethernet korrigiert den beschädigten Frame normalerweise nicht selbst. Ein fehlerhafter Frame wird verworfen. Wenn eine erneute Übertragung nötig ist, passiert das durch höhere Schichten. Beispiel: TCP kann fehlende Daten erneut übertragen lassen. Merksatz: Schicht 2 erkennt viele Fehler, korrigiert sie aber normalerweise nicht selbst. Präambel und SFD Vor dem eigentlichen Ethernet-Frame gibt es technische Felder zur Synchronisation. Dazu gehören: Präambel SFD SFD steht für: Start Frame Delimiter Aufgabe: Der Empfänger soll erkennen, dass ein Frame beginnt. Für die Prüfung ist meist nur wichtig: Ethernet braucht eine Möglichkeit, den Beginn eines Frames zu erkennen. Merksatz: Präambel und SFD helfen beim Erkennen des Frame-Beginns. Ethernet-Frame grob dargestellt Vereinfacht sieht ein Ethernet-Frame so aus: Bereich Aufgabe Präambel / SFD Synchronisation und Frame-Beginn Ziel-MAC lokaler Empfänger Quell-MAC lokaler Absender Typ / Länge Protokoll oder Längenangabe Nutzdaten Inhalt höherer Schichten FCS Fehlererkennung Wichtig: Für AP1/AP2 sind vor allem Ziel-MAC, Quell-MAC, Nutzdaten und FCS wichtig. Frame-Größe Ein normaler Ethernet-Frame hat eine begrenzte Größe. Typisch ist eine maximale Nutzlast von: 1500 Byte Diese Nutzlast nennt man oft: MTU MTU steht für: Maximum Transmission Unit Wichtig: MTU beschreibt die maximale Größe der Nutzdaten, die auf einer Verbindung ohne Fragmentierung übertragen werden können. Merksatz: MTU = maximale Nutzdaten-Größe einer Verbindung. Jumbo Frames Jumbo Frames sind Ethernet-Frames mit größerer Nutzlast als der Standardwert. Sie werden manchmal in Rechenzentren oder Speichernetzwerken verwendet. Vorteil: weniger Overhead bei großen Datenübertragungen Nachteil: alle beteiligten Geräte müssen Jumbo Frames unterstützen und passend konfiguriert sein Wichtig: In normalen LANs sind Standard-Frames üblich. Merksatz: Jumbo Frames brauchen durchgängige Unterstützung auf der Strecke. Frame, Paket und Segment im Ablauf Wenn eine Anwendung Daten sendet, werden diese durch die Schichten gekapselt. Vereinfacht: Anwendung erzeugt Daten. TCP macht daraus Segmente. IP macht daraus Pakete. Ethernet macht daraus Frames. Schicht 1 überträgt Bits als Signale. Beim Empfänger läuft der Prozess umgekehrt. Merksatz: Segment in Paket, Paket in Frame, Frame in Bits. Kapselung im Ethernet-Frame Ein Ethernet-Frame kann ein IP-Paket transportieren. Vereinfacht: Ethernet-Frame enthält IP-Paket enthält TCP-Segment enthält Anwendungsdaten Das nennt man: Kapselung Merksatz: Schicht 2 kapselt Schicht-3-Daten in Frames. Lokale Zustellung mit MAC-Adressen MAC-Adressen werden für die lokale Zustellung verwendet. Beispiel im gleichen LAN: PC A will PC B erreichen. Dann benötigt PC A die MAC-Adresse von PC B. Der Ethernet-Frame wird lokal an diese Ziel-MAC-Adresse gesendet. Merksatz: Im gleichen LAN wird direkt an die Ziel-MAC gesendet. Zustellung zu einem anderen Netzwerk Wenn das Ziel in einem anderen IP-Netz liegt, sendet der PC den Frame nicht direkt an die MAC-Adresse des entfernten Servers. Stattdessen sendet er den Frame lokal an die MAC-Adresse des Standard-Gateways. Beispiel: PC will Webserver im Internet erreichen. Dann gilt: Ziel-IP im IP-Paket = Webserver Ziel-MAC im Ethernet-Frame = Router / Standard-Gateway Merksatz: Entferntes Netz: Ziel-MAC ist das Gateway, Ziel-IP bleibt das eigentliche Ziel. MAC-Adresse ändert sich pro Abschnitt Bei einer Übertragung über mehrere Router ändert sich der Ethernet-Frame auf jedem lokalen Abschnitt. Das bedeutet: Quell-MAC und Ziel-MAC ändern sich von Link zu Link. Die IP-Adressen bleiben grundsätzlich erhalten, außer bei NAT. Beispiel: PC → Router 1 Router 1 → Router 2 Router 2 → Server Jeder Abschnitt hat eigene MAC-Adressen. Merksatz: MAC-Adressen gelten nur lokal bis zum nächsten Router. IP-Adresse bleibt netzübergreifend Im Gegensatz zur MAC-Adresse wird die IP-Adresse für die netzübergreifende Zustellung verwendet. Das IP-Paket enthält: Quell-IP Ziel-IP Diese IP-Adressen bleiben über Router hinweg grundsätzlich erhalten. Ausnahme: NAT oder PAT kann IP-Adressen verändern. Merksatz: MAC = lokal. IP = netzübergreifend. ARP und MAC-Adresse ARP wird verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. ARP steht für: Address Resolution Protocol Beispiel: PC kennt die IP-Adresse des Gateways. PC braucht die MAC-Adresse des Gateways. Dann sendet der PC eine ARP-Anfrage. Merksatz: ARP findet MAC-Adresse zu IP-Adresse im lokalen Netz. ARP-Anfrage als Broadcast Eine ARP-Anfrage wird als Broadcast gesendet. Grund: Der Absender kennt die MAC-Adresse des Zielgeräts noch nicht. Deshalb fragt er alle Geräte im lokalen Netz: Wer hat diese IP-Adresse? Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Merksatz: ARP-Anfrage = Broadcast. ARP-Antwort als Unicast Die ARP-Antwort kommt normalerweise als Unicast zurück. Das Gerät mit der gesuchten IP-Adresse antwortet: Diese IP-Adresse gehört zu dieser MAC-Adresse. Danach kann der Absender den Frame gezielt an diese MAC-Adresse senden. Merksatz: ARP-Antwort = meistens Unicast. MAC-Adresstabelle und Ethernet-Frames Ein Switch verwendet Ethernet-Frames, um seine MAC-Adresstabelle zu füllen. Er schaut auf die Quell-MAC-Adresse eingehender Frames. Beispiel: Frame kommt an Port 5 an. Quell-MAC ist 00:11:22:33:44:55. Der Switch lernt: 00:11:22:33:44:55 ist an Port 5 erreichbar. Merksatz: Switch lernt über die Quell-MAC. Weiterleitung bekannter Ziel-MAC Wenn der Switch die Ziel-MAC-Adresse kennt, leitet er den Frame gezielt weiter. Beispiel: Ziel-MAC ist an Port 8 bekannt. Dann sendet der Switch den Frame nur an Port 8. Vorteil: weniger unnötiger Datenverkehr bessere Effizienz mehr Sicherheit als Hub Merksatz: Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC und Flooding Wenn der Switch die Ziel-MAC-Adresse nicht kennt, muss er den Frame verteilen. Er sendet den Frame an alle passenden Ports außer dem Eingangsport. Das nennt man: Flooding Wenn die Zielstation antwortet, lernt der Switch deren MAC-Adresse. Merksatz: Unbekannte Ziel-MAC = Flooding. Broadcast und Flooding unterscheiden Broadcast und Flooding werden manchmal verwechselt. Begriff Bedeutung Broadcast Frame ist ausdrücklich an alle adressiert Flooding Switch verteilt Frame, weil Ziel-MAC unbekannt ist Beide können dazu führen, dass Frames an mehrere Ports gehen. Aber der Grund ist unterschiedlich. Merksatz: Broadcast = Ziel ist alle. Flooding = Ziel ist unbekannt. Frame-Fehler und Switch-Port-Statistiken Switches können Fehler zählen. Typische Hinweise: - CRC-Fehler - FCS-Fehler - zu kurze Frames - zu lange Frames - verworfene Frames - Kollisionen bei alten Halbduplex-Links Solche Fehler können auf Schicht-1- oder Schicht-2-Probleme hinweisen. Merksatz: Frame-Fehler helfen bei der Fehlersuche. Schicht 2 und Schicht 1 zusammen Schicht 2 ist auf Schicht 1 angewiesen. Beispiel: Wenn das Kabel defekt ist, kommen Bits fehlerhaft an. Dann können Frames beschädigt werden. Schicht 2 erkennt den Fehler über FCS/CRC und verwirft den Frame. Merksatz: Schlechte Signale können beschädigte Frames verursachen. Was ein Ethernet-Frame nicht enthält Ein Ethernet-Frame enthält keine vollständige Information über den gesamten Weg durch das Internet. Er enthält nur Informationen für den lokalen Abschnitt. Ein Ethernet-Frame enthält nicht als Hauptaufgabe: - Routingentscheidung über mehrere Netze - DNS-Name - HTTP-URL - Benutzername - TCP-Sitzungsverwaltung Diese Themen gehören zu höheren Schichten. Merksatz: Ethernet-Frame = lokale Zustellung, nicht kompletter Internetweg. Typische Fehler mit Frames und MAC-Adressen Mögliche Fehler: - falsches VLAN - MAC-Adresse wird nicht gelernt - MAC-Adresstabelle veraltet - Broadcast-Sturm - Schleife im Switch-Netz - falsche Port-Konfiguration - beschädigte Frames durch Signalprobleme - doppelte MAC-Adresse - ARP-Probleme Merksatz: Schicht-2-Probleme betreffen lokale Zustellung und Frames. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Ethernet-Frame? - Welche wichtigen Felder enthält ein Ethernet-Frame? - Was ist eine Ziel-MAC-Adresse? - Was ist eine Quell-MAC-Adresse? - Wie ist eine MAC-Adresse aufgebaut? - Was ist die Broadcast-MAC-Adresse? - Was ist der Unterschied zwischen Unicast, Broadcast und Multicast? - Was macht die FCS? - Was bedeutet CRC? - Was ist die MTU? - Warum ändern sich MAC-Adressen auf dem Weg über Router? - Warum bleibt die IP-Adresse grundsätzlich erhalten? - Was macht ARP? - Was ist der Unterschied zwischen Broadcast und Flooding? Typische Prüfungsfallen Frame ist Schicht 2. Paket ist Schicht 3. Segment ist Schicht 4 bei TCP. MAC-Adressen gelten lokal. IP-Adressen gelten netzübergreifend. Ziel-MAC ist nicht immer die MAC-Adresse des endgültigen Internetservers. Bei Ziel in anderem Netz ist Ziel-MAC die MAC-Adresse des Gateways. Switches lernen über Quell-MAC-Adressen. Broadcast-MAC-Adresse ist FF:FF:FF:FF:FF:FF. ARP-Anfragen sind Broadcasts. ARP-Antworten sind meistens Unicast. Broadcast und Flooding sind nicht dasselbe. FCS/CRC erkennt Fehler, korrigiert sie aber nicht automatisch. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Ethernet-Frame Datenrahmen auf Schicht 2 Frame Protocol Data Unit der Sicherungsschicht Ziel-MAC-Adresse lokaler Empfänger des Frames Quell-MAC-Adresse lokaler Absender des Frames MAC-Adresse lokale Hardwareadresse einer Netzwerkschnittstelle OUI Herstellerkennung in einer MAC-Adresse Unicast einer an einen Broadcast einer an alle Multicast einer an eine Gruppe Broadcast-MAC FF:FF:FF:FF:FF:FF EtherType Feld zur Angabe des enthaltenen Protokolls Nutzdaten transportierter Inhalt höherer Schichten FCS Frame Check Sequence CRC Prüfsummenverfahren zur Fehlererkennung MTU Maximum Transmission Unit Jumbo Frame Frame mit größerer Nutzlast ARP sucht MAC-Adresse zu IP-Adresse Flooding Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC IHK-sichere Kurzformulierung Ein Ethernet-Frame ist die Datenübertragungseinheit auf OSI-Schicht 2. Er enthält unter anderem eine Ziel-MAC-Adresse, eine Quell-MAC-Adresse, Nutzdaten und eine Prüfinformation zur Fehlererkennung. MAC-Adressen dienen der lokalen Zustellung innerhalb eines Netzwerks. Switches leiten Frames anhand der Ziel-MAC-Adresse weiter und lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Wenn das Ziel in einem anderen IP-Netz liegt, wird der Frame lokal an die MAC-Adresse des Standard-Gateways gesendet, während die Ziel-IP-Adresse im IP-Paket das eigentliche entfernte Ziel bleibt. Über FCS/CRC können beschädigte Frames erkannt und verworfen werden. Merksätze Ethernet-Frame = Schicht 2. IP-Paket = Schicht 3. TCP-Segment = Schicht 4. Frame = lokaler Datenrahmen. Ziel-MAC = lokaler Empfänger. Quell-MAC = lokaler Absender. MAC-Adresse = 48 Bit. MAC-Adressen werden meist hexadezimal geschrieben. Unicast = einer an einen. Broadcast = einer an alle. Multicast = einer an Gruppe. Broadcast-MAC = FF:FF:FF:FF:FF:FF. EtherType zeigt das enthaltene Protokoll. FCS/CRC erkennt beschädigte Frames. Ethernet korrigiert beschädigte Frames normalerweise nicht selbst. MTU = maximale Nutzdaten-Größe. MAC gilt lokal. IP gilt netzübergreifend. Entferntes Ziel: Ziel-MAC = Gateway. ARP findet MAC zu IP im lokalen Netz. ARP-Anfrage = Broadcast. ARP-Antwort = meistens Unicast. Switch lernt über Quell-MAC. Bekannte Ziel-MAC = gezielt. Unbekannte Ziel-MAC = Flooding. Broadcast und Flooding sind nicht dasselbe. 5.3 Switching, MAC-Adresstabelle und Flooding Ein Switch ist eines der wichtigsten Geräte auf OSI-Schicht 2. Er verbindet Geräte in einem lokalen Netzwerk und leitet Ethernet-Frames weiter. Dabei arbeitet ein Switch nicht mit IP-Adressen, sondern mit MAC-Adressen. Merksatz: Switch = Schicht-2-Gerät für lokale Frame-Weiterleitung. Grundaufgabe eines Switches Ein Switch soll Frames möglichst gezielt an den richtigen Port weiterleiten. Beispiel: PC A sendet Daten an PC B. Der Switch soll den Frame nicht unnötig an alle Geräte senden, sondern möglichst nur an den Port, an dem PC B angeschlossen ist. Dafür nutzt der Switch: - Ziel-MAC-Adresse - Quell-MAC-Adresse - MAC-Adresstabelle - Ports Merksatz: Ein Switch leitet Frames anhand von MAC-Adressen weiter. Switch im OSI-Modell Ein Switch arbeitet typischerweise auf: OSI-Schicht 2 Diese Schicht heißt: Sicherungsschicht Warum? Ein Switch wertet Ethernet-Frames aus. Ethernet-Frames gehören zu Schicht 2. MAC-Adressen gehören zu Schicht 2. Wichtig: Ein normaler Switch routet nicht zwischen IP-Netzen. Routing gehört zu Schicht 3. Merksatz: Switch = Schicht 2. Router = Schicht 3. Switch und physische Ports Ein Switch besitzt mehrere physische Anschlüsse. Diese Anschlüsse nennt man: Ports Beispiele: Port 1 Port 2 Port 3 Port 4 An diesen Ports können angeschlossen sein: - PCs - Server - Drucker - Access Points - andere Switches - Router - Firewalls Wichtig: Hier ist mit Port der physische Anschluss gemeint, nicht ein TCP- oder UDP-Port. Merksatz: Switch-Port = physischer Anschluss. TCP-/UDP-Port = Dienstadresse auf Schicht 4. MAC-Adresstabelle Ein Switch speichert, welche MAC-Adresse an welchem Port erreichbar ist. Diese Tabelle nennt man: MAC-Adresstabelle Oder auch: Switching-Tabelle Beispiel: MAC-Adresse Switch-Port AA:AA:AA:AA:AA:01 Port 1 BB:BB:BB:BB:BB:02 Port 2 CC:CC:CC:CC:CC:03 Port 3 Mit dieser Tabelle kann der Switch Frames gezielt weiterleiten. Merksatz: MAC-Adresstabelle = Zuordnung MAC-Adresse zu Switch-Port. Wie lernt ein Switch MAC-Adressen? Ein Switch lernt MAC-Adressen automatisch. Dafür schaut er auf die Quell-MAC-Adresse eingehender Frames. Beispiel: Ein Frame kommt an Port 1 an. Die Quell-MAC-Adresse lautet AA:AA:AA:AA:AA:01. Dann lernt der Switch: AA:AA:AA:AA:AA:01 ist an Port 1 erreichbar. Wichtig: Der Switch lernt über die Quell-MAC-Adresse, nicht über die Ziel-MAC-Adresse. Merksatz: Switch lernt MAC-Adressen über die Quell-MAC. Warum lernt der Switch über die Quell-MAC? Die Quell-MAC-Adresse zeigt, von welchem Gerät ein Frame kommt. Wenn ein Frame an einem bestimmten Port eingeht, weiß der Switch: Der Absender dieses Frames befindet sich hinter diesem Port. Dadurch kann der Switch seine MAC-Adresstabelle aufbauen. Beispiel: Frame kommt von PC A an Port 1. Also ist PC A über Port 1 erreichbar. Merksatz: Eingangsport + Quell-MAC = Lerninformation für den Switch. Weiterleitung anhand der Ziel-MAC Wenn ein Switch einen Frame erhält, prüft er die Ziel-MAC-Adresse. Dann entscheidet er: Kenne ich diese Ziel-MAC-Adresse? Wenn ja, an welchem Port ist sie erreichbar? Wenn nein, muss ich den Frame fluten? Merksatz: Ziel-MAC entscheidet über die Weiterleitung. Fall 1: Ziel-MAC ist bekannt Wenn die Ziel-MAC-Adresse in der MAC-Adresstabelle steht, leitet der Switch den Frame gezielt an den passenden Port weiter. Beispiel: MAC-Adresse Switch-Port AA:AA:AA:AA:AA:01 Port 1 BB:BB:BB:BB:BB:02 Port 2 PC A sendet an PC B. Frame: Quell-MAC: AA:AA:AA:AA:AA:01 Ziel-MAC: BB:BB:BB:BB:BB:02 Der Switch sieht: BB:BB:BB:BB:BB:02 ist an Port 2. Er leitet den Frame nur an Port 2 weiter. Merksatz: Bekannte Ziel-MAC = gezielte Weiterleitung. Fall 2: Ziel-MAC ist unbekannt Wenn die Ziel-MAC-Adresse nicht in der MAC-Adresstabelle steht, kennt der Switch den passenden Port noch nicht. Dann sendet er den Frame an alle passenden Ports außer dem Eingangsport. Das nennt man: Flooding Beispiel: Frame kommt an Port 1 an. Ziel-MAC ist unbekannt. Der Switch sendet den Frame an: Port 2 Port 3 Port 4 Aber nicht zurück an Port 1. Merksatz: Unbekannte Ziel-MAC = Flooding. Begriff: Flooding Flooding bedeutet: Ein Switch verteilt einen Frame an mehrere Ports, weil er die Ziel-MAC-Adresse nicht kennt. Flooding ist kein Fehler. Es ist ein normales Verhalten eines Switches, wenn ihm eine Ziel-MAC-Adresse unbekannt ist. Sobald die Zielstation antwortet, kann der Switch deren MAC-Adresse lernen. Merksatz: Flooding hilft dem Switch, unbekannte Ziele trotzdem zu erreichen. Fall 3: Broadcast Ein Broadcast ist ein Frame an alle Geräte im lokalen Netz. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Wenn ein Switch einen Broadcast empfängt, leitet er ihn an alle passenden Ports weiter, außer an den Eingangsport. Typische Broadcasts: - ARP-Anfragen - DHCP-Anfragen Merksatz: Broadcast = absichtlich an alle. Broadcast und Flooding unterscheiden Broadcast und Flooding sehen ähnlich aus, weil Frames an mehrere Ports gesendet werden. Der Unterschied liegt im Grund. Begriff Warum wird an mehrere Ports gesendet? Broadcast Zieladresse ist ausdrücklich „alle“ Flooding Ziel-MAC ist dem Switch unbekannt Wichtig: Broadcast ist eine Adressierungsart. Flooding ist ein Verhalten des Switches. Merksatz: Broadcast = Ziel ist alle. Flooding = Ziel ist unbekannt. Fall 4: Frame geht an denselben Port zurück Ein Switch leitet einen Frame normalerweise nicht an denselben Port zurück, über den er gekommen ist. Beispiel: Frame kommt an Port 1 an. Ziel-MAC ist ebenfalls über Port 1 bekannt. Dann verwirft der Switch den Frame für die Weiterleitung. Warum? Ziel und Quelle liegen aus Sicht des Switches hinter demselben Port. Eine Weiterleitung ist nicht nötig. Merksatz: Ein Switch sendet einen Frame nicht zurück auf den Eingangsport. Aging der MAC-Adresstabelle Einträge in der MAC-Adresstabelle bleiben nicht für immer gespeichert. Nach einer gewissen Zeit ohne neue Frames können Einträge gelöscht werden. Das nennt man: Aging Warum ist das sinnvoll? Geräte können umgesteckt werden. Geräte können ausgeschaltet werden. Netzwerke können sich verändern. Der Switch muss seine Tabelle aktuell halten. Merksatz: Aging entfernt alte MAC-Einträge aus der Tabelle. MAC-Adresse wandert auf einen anderen Port Wenn ein Gerät umgesteckt wird, kann seine MAC-Adresse an einem anderen Port auftauchen. Beispiel: PC war vorher an Port 1. PC wird an Port 5 gesteckt. Sobald der Switch einen Frame von diesem PC an Port 5 sieht, aktualisiert er die MAC-Adresstabelle. Merksatz: Der Switch aktualisiert MAC-Einträge durch neue Quell-MAC-Informationen. MAC-Adresstabelle und Sicherheit Die MAC-Adresstabelle hilft beim gezielten Weiterleiten. Sie ist aber kein starker Sicherheitsmechanismus. Warum? MAC-Adressen können gefälscht werden. Geräte können umgesteckt werden. Ein Angreifer kann viele gefälschte MAC-Adressen erzeugen. Für zusätzliche Sicherheit nutzt man zum Beispiel: - Port Security - 802.1X - VLANs - Firewall-Regeln - Monitoring Merksatz: MAC-Adresstabelle dient der Weiterleitung, nicht als alleiniger Sicherheitsnachweis. MAC-Flooding als Angriff MAC-Flooding ist ein Angriff auf die MAC-Adresstabelle eines Switches. Dabei sendet ein Angreifer sehr viele Frames mit verschiedenen gefälschten Quell-MAC-Adressen. Ziel: Die MAC-Adresstabelle des Switches soll überfüllt werden. Mögliche Folge: Der Switch kennt viele Ziel-MAC-Adressen nicht mehr zuverlässig und flutet mehr Frames. Schutzmaßnahmen: - Port Security - Begrenzung erlaubter MAC-Adressen pro Port - Monitoring - 802.1X Merksatz: MAC-Flooding versucht, die MAC-Adresstabelle zu überlasten. Port Security Port Security ist eine Sicherheitsfunktion auf Switches. Damit kann festgelegt werden, welche oder wie viele MAC-Adressen an einem Port erlaubt sind. Beispiel: An Port 5 ist nur eine MAC-Adresse erlaubt. Wenn dort plötzlich mehrere MAC-Adressen auftauchen, kann der Switch reagieren. Mögliche Reaktionen: - Port sperren - Frames verwerfen - Warnung erzeugen - Ereignis protokollieren Merksatz: Port Security begrenzt MAC-Adressen pro Switch-Port. Switching und Broadcast-Domäne Ein normaler Switch trennt Kollisionsdomänen, aber nicht automatisch Broadcast-Domänen. Das bedeutet: Broadcasts werden innerhalb desselben VLANs weitergeleitet. Alle Ports im gleichen VLAN gehören zur gleichen Broadcast-Domäne. Router oder Layer-3-Grenzen trennen Broadcast-Domänen. Merksatz: Switch trennt Kollisionsdomänen. VLAN oder Router trennen Broadcast-Domänen. Switching und Kollisionsdomäne Bei modernen Switches ist jeder Port normalerweise eine eigene Kollisionsdomäne. Das ist ein wichtiger Unterschied zum Hub. Gerät Kollisionsdomäne Hub alle Ports gemeinsam Switch jeder Port separat Bei Vollduplex-Verbindungen treten klassische Kollisionen praktisch nicht mehr auf. Merksatz: Switch reduziert Kollisionsprobleme durch getrennte Ports. Store-and-Forward Store-and-Forward ist eine typische Weiterleitungsmethode bei Switches. Dabei empfängt der Switch den gesamten Frame. Dann prüft er den Frame, zum Beispiel anhand der FCS. Erst danach leitet er den Frame weiter. Vorteil: Fehlerhafte Frames können erkannt und verworfen werden. Nachteil: etwas mehr Verzögerung als bei sofortiger Weiterleitung. Merksatz: Store-and-Forward prüft den Frame vor der Weiterleitung. Cut-Through Cut-Through ist eine andere Weiterleitungsmethode. Dabei beginnt der Switch mit der Weiterleitung, sobald er die Ziel-MAC-Adresse gelesen hat. Vorteil: geringere Verzögerung Nachteil: Fehlerhafte Frames können eventuell weitergeleitet werden, bevor der gesamte Frame geprüft wurde. Merksatz: Cut-Through ist schneller, prüft aber weniger vollständig vor der Weiterleitung. Store-and-Forward und Cut-Through im Vergleich Methode Arbeitsweise Vorteil Nachteil Store-and-Forward ganzer Frame wird empfangen und geprüft Fehlererkennung vor Weiterleitung etwas mehr Latenz Cut-Through Weiterleitung beginnt früh geringe Latenz fehlerhafte Frames können weitergehen Für die Prüfung ist vor allem wichtig: Store-and-Forward prüft vollständiger. Cut-Through ist schneller. Switching und VLANs Ein Switch kann Ports verschiedenen VLANs zuordnen. Beispiel: Port VLAN Gerät 1 VLAN 10 Mitarbeiter-PC 2 VLAN 10 Mitarbeiter-PC 3 VLAN 20 Gastgerät 4 VLAN 30 Server Frames werden normalerweise nur innerhalb desselben VLANs weitergeleitet. Dadurch entstehen getrennte logische Netze. Merksatz: VLANs trennen Switching-Bereiche logisch. Access-Port Ein Access-Port gehört normalerweise zu genau einem VLAN. Typischer Einsatz: - PC - Drucker - IP-Telefon - Access Point mit einfacher Konfiguration Beispiel: Port 1 ist Access-Port in VLAN 10. Ein Gerät an diesem Port gehört dann logisch zu VLAN 10. Merksatz: Access-Port = ein VLAN für ein Endgerät. Trunk-Port Ein Trunk-Port kann mehrere VLANs transportieren. Typischer Einsatz: - Switch zu Switch - Switch zu Router - Switch zu Firewall - Switch zu Access Point mit mehreren SSIDs Bei Ethernet wird dafür häufig VLAN-Tagging verwendet. Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. Switching-Schleifen Eine Switching-Schleife entsteht, wenn Frames im Netzwerk endlos im Kreis laufen können. Das kann passieren, wenn Switches mehrfach miteinander verbunden sind und keine Schutzmechanismen aktiv sind. Folgen: - Broadcast-Sturm - hohe Switch-Last - Netzwerk wird langsam oder fällt aus - MAC-Adresstabelle wird instabil Merksatz: Schleifen im Layer-2-Netz können sehr gefährlich sein. Spanning Tree Protocol STP steht für: Spanning Tree Protocol STP verhindert Schleifen in Layer-2-Netzen. Es blockiert bestimmte redundante Wege, damit keine Schleife entsteht. Wenn eine Verbindung ausfällt, kann STP einen anderen Weg aktivieren. Merksatz: STP schützt vor Switching-Schleifen. Broadcast-Sturm Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcasts im Netzwerk unterwegs sind. Mögliche Ursachen: - Layer-2-Schleife - fehlerhafte Geräte - falsch konfigurierte Switches - Angriffe - sehr viele Broadcast-Anfragen Folgen: - hohe Netzwerklast - hohe CPU-Last auf Geräten - Verbindungsprobleme - Netzwerkausfall Merksatz: Broadcast-Sturm = zu viele Broadcasts im lokalen Netz. Switching und Fehlersuche Bei Schicht-2-Problemen prüft man zum Beispiel: - Ist der richtige Switch-Port verwendet? - Ist der Port aktiv? - Wird die MAC-Adresse gelernt? - Ist das richtige VLAN konfiguriert? - Ist der Port Access oder Trunk? - Gibt es Fehler am Port? - Gibt es STP-Blockierungen? - Gibt es Broadcast-Stürme? - Gibt es doppelte MAC-Adressen? - Wurde das Gerät umgesteckt? Merksatz: Bei Schicht 2 prüft man MAC-Adressen, VLANs und Switch-Ports. Beispiel: MAC-Adresse wird nicht gelernt Fehlerbild: Ein Gerät ist physisch verbunden, aber der Switch lernt keine MAC-Adresse. Mögliche Ursachen: - Gerät sendet keine Frames - falscher Port - Port deaktiviert - Link ist doch nicht aktiv - VLAN falsch - Netzwerkkarte deaktiviert - Kabelproblem - Port Security blockiert - Gerät hängt an falscher Stelle Merksatz: Keine gelernte MAC kann auf Schicht 1 oder Schicht 2 hinweisen. Beispiel: Gerät im falschen VLAN Fehlerbild: Ein PC bekommt keine passende IP-Adresse oder erreicht die erwarteten Server nicht. Mögliche Ursache: Der Switch-Port ist im falschen VLAN. Beispiel: PC soll in VLAN 10 sein. Port ist aber in VLAN 20. Folge: Der PC befindet sich logisch im falschen Netz. Merksatz: Falsches VLAN kann wie ein IP-Problem aussehen. Beispiel: Trunk falsch konfiguriert Fehlerbild: Mehrere VLANs funktionieren über eine Switch-Verbindung nicht. Mögliche Ursachen: - Port ist kein Trunk - VLAN nicht auf dem Trunk erlaubt - falsches Native VLAN - Gegenstelle anders konfiguriert - Tagging stimmt nicht - STP blockiert den Port Merksatz: Trunk-Probleme betreffen oft mehrere VLANs gleichzeitig. Was ein Switch nicht macht Ein normaler Layer-2-Switch macht nicht: - Routing zwischen IP-Netzen - NAT oder PAT - DNS-Auflösung - TCP-Verbindungsaufbau - Anwendungsschutz - Internetzugang allein - Firewall-Regeln auf Anwendungsebene Dafür braucht man andere Funktionen oder Geräte, zum Beispiel: - Router - Layer-3-Switch - Firewall - DNS-Server Merksatz: Ein Layer-2-Switch verbindet lokal, routet aber nicht zwischen Netzen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht ein Switch? - Auf welcher OSI-Schicht arbeitet ein Switch? - Wie lernt ein Switch MAC-Adressen? - Was ist eine MAC-Adresstabelle? - Was passiert bei bekannter Ziel-MAC? - Was passiert bei unbekannter Ziel-MAC? - Was bedeutet Flooding? - Was ist der Unterschied zwischen Broadcast und Flooding? - Was ist Port Security? - Was ist eine Kollisionsdomäne? - Was ist eine Broadcast-Domäne? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was ist STP? - Warum sind Layer-2-Schleifen gefährlich? Typische Prüfungsfallen Ein Switch lernt über die Quell-MAC-Adresse. Die Ziel-MAC entscheidet über die Weiterleitung. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast und Flooding sind nicht dasselbe. Ein normaler Switch arbeitet auf Schicht 2. Ein Hub arbeitet auf Schicht 1. Ein Router arbeitet auf Schicht 3. Ein Switch trennt Kollisionsdomänen. Ein Switch trennt Broadcast-Domänen nur durch VLANs. Ein Access-Port gehört normalerweise zu einem VLAN. Ein Trunk-Port transportiert mehrere VLANs. STP schützt vor Layer-2-Schleifen. Falsches VLAN kann wie ein IP-Problem aussehen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Switch Schicht-2-Gerät zur Frame-Weiterleitung Switch-Port physischer Anschluss am Switch MAC-Adresstabelle Zuordnung von MAC-Adresse zu Switch-Port Quell-MAC Absenderadresse im Frame Ziel-MAC Empfängeradresse im Frame Learning Lernen von MAC-Adressen über Quell-MAC Forwarding gezielte Weiterleitung an bekannten Port Flooding Weiterleitung an mehrere Ports bei unbekannter Ziel-MAC Broadcast Nachricht an alle Geräte im lokalen Netz Aging automatisches Entfernen alter MAC-Einträge Port Security Begrenzung erlaubter MAC-Adressen pro Port MAC-Flooding Angriff auf die MAC-Adresstabelle Kollisionsdomäne Bereich möglicher Kollisionen Broadcast-Domäne Bereich, in dem Broadcasts verteilt werden Access-Port Switch-Port für ein VLAN Trunk-Port Switch-Port für mehrere VLANs STP Spanning Tree Protocol zur Schleifenvermeidung Broadcast-Sturm übermäßige Broadcast-Last im Netz IHK-sichere Kurzformulierung Ein Switch arbeitet typischerweise auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter. Er lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames und speichert die Zuordnung von MAC-Adresse zu Switch-Port in einer MAC-Adresstabelle. Ist die Ziel-MAC-Adresse bekannt, wird der Frame gezielt an den passenden Port weitergeleitet. Ist die Ziel-MAC-Adresse unbekannt, wird der Frame an mehrere Ports geflutet. Broadcasts werden innerhalb der Broadcast-Domäne verteilt. VLANs können Broadcast-Domänen logisch trennen. STP verhindert Schleifen in Layer-2-Netzen. Merksätze Switch = Schicht 2. Switch arbeitet mit Frames. Switch arbeitet mit MAC-Adressen. Switch lernt über Quell-MAC. Ziel-MAC entscheidet über Weiterleitung. MAC-Adresstabelle = MAC zu Port. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast = an alle. Flooding = Ziel unbekannt. Broadcast und Flooding sind nicht dasselbe. Hub = Schicht 1. Switch = Schicht 2. Router = Schicht 3. Switch trennt Kollisionsdomänen. VLAN trennt Broadcast-Domänen. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. STP schützt vor Schleifen. Layer-2-Schleifen können Broadcast-Stürme verursachen. Falsches VLAN kann wie ein IP-Problem aussehen. 5.4 VLANs und Broadcast-Domänen VLANs gehören zu OSI-Schicht 2. VLAN steht für: Virtual Local Area Network Auf Deutsch sinngemäß: virtuelles lokales Netzwerk Mit VLANs kann man ein physisches Switch-Netz in mehrere logisch getrennte Netzbereiche aufteilen. Merksatz: VLAN = logische Netztrennung auf Schicht 2. Grundidee eines VLANs Ohne VLAN befinden sich viele Geräte im gleichen lokalen Netzwerkbereich. Das bedeutet: Sie befinden sich in derselben Broadcast-Domäne. Mit VLANs kann ein Switch mehrere getrennte logische Netze bereitstellen. Beispiel: ein Switch aber mehrere getrennte Netze Typische VLANs: - Mitarbeiter - Gäste - Server - VoIP - Drucker - Management - IoT Merksatz: Ein physischer Switch kann mehrere logische Netze enthalten. Warum nutzt man VLANs? VLANs helfen dabei, Netzwerke sauber zu strukturieren. Vorteile: - logische Trennung von Geräten - bessere Übersicht - weniger Broadcast-Verkehr pro Netz - mehr Sicherheit - einfachere Verwaltung - Trennung von Abteilungen oder Gerätetypen - bessere Netzplanung - Grundlage für Firewall-Regeln Beispiel: Gäste sollen ins Internet, aber nicht auf interne Server. Dafür kann man ein eigenes Gast-VLAN verwenden. Merksatz: VLANs trennen Geräte logisch, auch wenn sie am gleichen Switch hängen. VLAN und physische Verkabelung Ohne VLAN müsste man für getrennte Netze oft getrennte Switches verwenden. Beispiel ohne VLAN: Switch 1 für Mitarbeiter Switch 2 für Gäste Switch 3 für Server Mit VLANs kann ein einzelner Switch mehrere logische Netze bereitstellen. Beispiel mit VLAN: VLAN 10 = Mitarbeiter VLAN 20 = Gäste VLAN 30 = Server Alle VLANs können auf demselben physischen Switch existieren. Merksatz: VLANs sparen physische Trennung durch logische Trennung. Begriff: Broadcast Ein Broadcast ist eine Nachricht an alle Geräte im lokalen Netzwerkbereich. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Broadcasts werden zum Beispiel verwendet bei: - ARP-Anfragen - DHCP-Anfragen - bestimmten lokalen Suchdiensten Merksatz: Broadcast = Nachricht an alle Geräte im lokalen Netz. Begriff: Broadcast-Domäne Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden. Alle Geräte innerhalb derselben Broadcast-Domäne erhalten Broadcasts. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Beispiel: VLAN 10 = eigene Broadcast-Domäne VLAN 20 = eigene Broadcast-Domäne VLAN 30 = eigene Broadcast-Domäne Broadcasts aus VLAN 10 werden nicht automatisch an VLAN 20 weitergegeben. Merksatz: Ein VLAN = eine Broadcast-Domäne. Warum Broadcast-Domänen begrenzen? Zu viele Broadcasts können ein Netzwerk belasten. Broadcasts werden an alle Geräte im gleichen lokalen Netz gesendet. Wenn sehr viele Geräte in einer Broadcast-Domäne sind, kann unnötiger Datenverkehr entstehen. VLANs helfen dabei, Broadcast-Verkehr zu begrenzen. Beispiel: ARP-Broadcast aus dem Gäste-Netz erreicht nicht automatisch das Server-Netz. Merksatz: VLANs begrenzen Broadcasts auf einen logischen Bereich. VLAN-ID Ein VLAN wird durch eine Nummer gekennzeichnet. Diese Nummer heißt: VLAN-ID Beispiele: VLAN-ID Zweck 10 Mitarbeiter 20 Gäste 30 Server 40 VoIP 99 Management Die VLAN-ID dient zur eindeutigen Zuordnung eines Frames zu einem VLAN. Merksatz: VLAN-ID = Nummer eines VLANs. VLAN und Name Neben der VLAN-ID kann ein VLAN auch einen Namen haben. Beispiel: VLAN-ID VLAN-Name 10 Mitarbeiter 20 Gast 30 Server 40 VoIP 99 Management Der Name dient der Übersicht. Technisch entscheidend ist aber die VLAN-ID. Merksatz: VLAN-Name hilft Menschen. VLAN-ID ist technisch entscheidend. VLAN und IP-Subnetz Ein VLAN ist nicht dasselbe wie ein IP-Subnetz. VLAN gehört zu: OSI-Schicht 2 IP-Subnetz gehört zu: OSI-Schicht 3 In der Praxis wird aber häufig jedem VLAN ein eigenes IP-Subnetz zugeordnet. Beispiel: VLAN Zweck IP-Subnetz VLAN 10 Mitarbeiter 192.168.10.0/24 VLAN 20 Gäste 192.168.20.0/24 VLAN 30 Server 192.168.30.0/24 Merksatz: VLAN = Schicht 2. IP-Subnetz = Schicht 3. Warum VLAN und Subnetz oft zusammengehören Wenn zwei VLANs getrennte Broadcast-Domänen sind, können Geräte darin nicht einfach direkt auf Schicht 2 miteinander kommunizieren. Damit Kommunikation zwischen VLANs möglich ist, braucht man Routing. Routing arbeitet auf Schicht 3. Deshalb plant man meistens: ein VLAN = ein eigenes IP-Subnetz Beispiel: VLAN 10 → 192.168.10.0/24 VLAN 20 → 192.168.20.0/24 Merksatz: Pro VLAN häufig ein eigenes IP-Subnetz. Access-Port Ein Access-Port ist ein Switch-Port, der normalerweise zu genau einem VLAN gehört. Typischer Einsatz: - PC - Drucker - IP-Kamera - einzelnes Endgerät - einfacher Access Point - VoIP-Telefon mit bestimmter Konfiguration Beispiel: Port 1 ist Access-Port in VLAN 10. Ein Gerät an Port 1 gehört dann logisch zu VLAN 10. Merksatz: Access-Port = ein VLAN für ein Endgerät. Access-Port-Beispiel Beispiel-Switch: Port Modus VLAN Gerät 1 Access 10 Mitarbeiter-PC 2 Access 10 Mitarbeiter-PC 3 Access 20 Gäste-PC 4 Access 30 Server Wichtig: Geräte an Access-Ports müssen normalerweise nichts von VLANs wissen. Der Switch ordnet den Port intern dem VLAN zu. Merksatz: Beim Access-Port übernimmt der Switch die VLAN-Zuordnung. Trunk-Port Ein Trunk-Port kann mehrere VLANs über eine einzige Verbindung transportieren. Typischer Einsatz: - Switch zu Switch - Switch zu Router - Switch zu Firewall - Switch zu Access Point mit mehreren SSIDs - Switch zu Virtualisierungshost Beispiel: VLAN 10 VLAN 20 VLAN 30 laufen gemeinsam über einen Trunk-Port. Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. Warum braucht man Trunk-Ports? Trunk-Ports werden benötigt, wenn mehrere VLANs über eine gemeinsame Verbindung transportiert werden sollen. Beispiel: Switch A hat VLAN 10, 20 und 30. Switch B soll diese VLANs ebenfalls nutzen. Dann braucht die Verbindung zwischen beiden Switches einen Trunk. Ohne Trunk müsste man für jedes VLAN eine eigene physische Verbindung verwenden. Merksatz: Trunk spart Kabel, indem mehrere VLANs über eine Verbindung laufen. VLAN-Tagging Damit ein Trunk mehrere VLANs unterscheiden kann, müssen Frames markiert werden. Diese Markierung nennt man: VLAN-Tag Der VLAN-Tag enthält die VLAN-ID. Dadurch weiß die Gegenstelle: Dieser Frame gehört zu VLAN 10. Dieser Frame gehört zu VLAN 20. Dieser Frame gehört zu VLAN 30. Merksatz: VLAN-Tag = Markierung eines Frames mit der VLAN-ID. IEEE 802.1Q IEEE 802.1Q ist der Standard für VLAN-Tagging bei Ethernet. 802.1Q fügt einem Ethernet-Frame eine VLAN-Information hinzu. Diese Information enthält unter anderem: - VLAN-ID - Prioritätsinformationen Für AP1/AP2 ist besonders wichtig: 802.1Q = VLAN-Tagging bei Ethernet Merksatz: IEEE 802.1Q = VLAN-Tagging-Standard. Tagged und Untagged Bei VLANs unterscheidet man häufig: tagged untagged Tagged bedeutet: Der Ethernet-Frame enthält einen VLAN-Tag. Untagged bedeutet: Der Ethernet-Frame enthält keinen VLAN-Tag. Typisch: Access-Port: meist untagged zum Endgerät Trunk-Port: mehrere VLANs tagged Merksatz: tagged = mit VLAN-Markierung. untagged = ohne VLAN-Markierung. Access-Port und untagged Frames Ein normales Endgerät an einem Access-Port sendet meist untagged Frames. Das bedeutet: Der PC sendet normale Ethernet-Frames ohne VLAN-Tag. Der Switch weiß aber: Dieser Port gehört zu VLAN 10. Also ordnet der Switch die Frames intern VLAN 10 zu. Merksatz: Access-Port: Endgerät sendet meist untagged, Switch ordnet VLAN zu. Trunk-Port und tagged Frames Auf einem Trunk-Port laufen mehrere VLANs. Damit die Gegenstelle die VLANs unterscheiden kann, werden Frames meistens tagged übertragen. Beispiel: Frame mit Tag VLAN 10 Frame mit Tag VLAN 20 Frame mit Tag VLAN 30 Die Gegenstelle liest den VLAN-Tag und ordnet den Frame dem richtigen VLAN zu. Merksatz: Trunk-Port: mehrere VLANs werden durch Tags unterschieden. Native VLAN Bei manchen Switch-Konzepten gibt es auf Trunk-Ports ein sogenanntes Native VLAN. Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können. Wichtig: Falsch konfigurierte Native VLANs können Sicherheits- oder Verbindungsprobleme verursachen. Für die Prüfung reicht meistens: Native VLAN = untagged VLAN auf einem Trunk Merksatz: Native VLAN auf beiden Seiten eines Trunks korrekt konfigurieren. Allowed VLANs Auf einem Trunk kann festgelegt werden, welche VLANs erlaubt sind. Beispiel: erlaubt: VLAN 10 VLAN 20 VLAN 30 nicht erlaubt: VLAN 40 Wenn ein VLAN auf dem Trunk nicht erlaubt ist, wird es darüber nicht transportiert. Merksatz: Allowed VLANs bestimmen, welche VLANs über einen Trunk laufen dürfen. VLANs und WLAN Access Points können mehrere WLAN-Namen bereitstellen. Diese WLAN-Namen heißen: SSIDs Jede SSID kann einem eigenen VLAN zugeordnet werden. Beispiel: SSID VLAN Zweck Firma-Mitarbeiter VLAN 10 internes Netzwerk Firma-Gast VLAN 20 Gastzugang Firma-IoT VLAN 30 Geräte-Netz Der Switch-Port zum Access Point ist dann oft ein Trunk-Port. Merksatz: Mehrere SSIDs nutzen häufig VLANs über einen Trunk. VLANs und VoIP VoIP steht für: Voice over IP In Unternehmen gibt es häufig ein eigenes VLAN für Telefone. Beispiel: VLAN 10 = PCs VLAN 40 = VoIP-Telefone Warum? - Sprachverkehr kann getrennt behandelt werden - Priorisierung ist einfacher - Sicherheit und Übersicht werden besser - eigene DHCP-Optionen können genutzt werden Merksatz: VoIP wird oft in einem eigenen VLAN betrieben. Management-VLAN Ein Management-VLAN wird zur Verwaltung von Netzwerkgeräten verwendet. Darin befinden sich zum Beispiel: - Switch-Management - Access-Point-Management - Controller - Monitoring-Systeme - Administrationszugänge Ziel: Management-Zugriffe sollen vom normalen Benutzerverkehr getrennt werden. Merksatz: Management-VLAN = separates Netz für Verwaltung. Gast-VLAN Ein Gast-VLAN ist ein separates Netz für Besucher oder private Geräte. Ziel: Gäste sollen Internetzugang haben, aber keinen Zugriff auf interne Systeme. Typische Regeln: Gast-VLAN → Internet erlaubt Gast-VLAN → interne Server blockiert Gast-VLAN → andere Gäste eventuell blockiert Merksatz: Gast-VLAN vom internen Netzwerk trennen. IoT-VLAN IoT steht für: Internet of Things In einem IoT-VLAN können Geräte gesammelt werden wie: - Kameras - Sensoren - Smart-TVs - Drucker - Steuergeräte - andere eingebettete Geräte Warum? IoT-Geräte sind oft schlechter wartbar oder unsicherer als normale Clients. Ein eigenes VLAN erleichtert Kontrolle und Firewall-Regeln. Merksatz: IoT-Geräte sinnvoll vom normalen Client-Netz trennen. Inter-VLAN-Routing Geräte in unterschiedlichen VLANs können nicht direkt nur über Schicht 2 miteinander kommunizieren. Wenn VLAN 10 mit VLAN 20 kommunizieren soll, braucht man Routing. Das nennt man: Inter-VLAN-Routing Dafür nutzt man zum Beispiel: - Router - Layer-3-Switch - Firewall Merksatz: Kommunikation zwischen VLANs braucht Schicht-3-Routing. Router-on-a-Stick Router-on-a-Stick ist eine Methode für Inter-VLAN-Routing. Dabei verbindet ein einzelner physischer Router-Port mehrere VLANs über einen Trunk. Der Router besitzt dafür logische Unterinterfaces. Beispiel: Router-Port mit VLAN 10 VLAN 20 VLAN 30 über eine Trunk-Verbindung zum Switch. Merksatz: Router-on-a-Stick = Inter-VLAN-Routing über einen Trunk zum Router. Layer-3-Switch Ein Layer-3-Switch kann Switching und Routing kombinieren. Er kann: - auf Schicht 2 Frames switchen - auf Schicht 3 zwischen VLANs routen In größeren Netzwerken ist Inter-VLAN-Routing häufig auf einem Layer-3-Switch umgesetzt. Merksatz: Layer-3-Switch = Switch mit Routing-Funktion. Firewall zwischen VLANs In vielen Netzwerken wird die Kommunikation zwischen VLANs über eine Firewall geregelt. Beispiel: Mitarbeiter-VLAN darf auf Server-VLAN zugreifen. Gast-VLAN darf nur ins Internet. IoT-VLAN darf nur bestimmte Dienste erreichen. Vorteil: Zugriffe können kontrolliert und protokolliert werden. Merksatz: VLAN-Trennung wird durch Firewall-Regeln wirksam abgesichert. VLANs und Sicherheit VLANs erhöhen die Sicherheit, weil sie Netzbereiche logisch trennen. Aber: VLANs allein sind keine vollständige Sicherheitslösung. Zusätzlich braucht man je nach Umgebung: - Firewall-Regeln - Zugriffskontrolle - sichere Switch-Konfiguration - 802.1X - Port Security - Monitoring - saubere Dokumentation Merksatz: VLAN trennt logisch, Firewall regelt den Zugriff. VLANs und DHCP DHCP stellt IP-Adressen automatisch bereit. Da VLANs meist eigene IP-Subnetze haben, benötigt jedes VLAN eine passende DHCP-Konfiguration. Beispiel: VLAN Subnetz DHCP-Bereich 10 192.168.10.0/24 192.168.10.100–192.168.10.200 20 192.168.20.0/24 192.168.20.100–192.168.20.200 30 192.168.30.0/24 192.168.30.100–192.168.30.200 Wenn ein Client im falschen VLAN ist, bekommt er eventuell eine falsche oder keine IP-Adresse. Merksatz: VLAN und DHCP-Bereich müssen zusammenpassen. DHCP-Relay Ein DHCP-Server steht nicht immer direkt in jedem VLAN. Wenn Clients in mehreren VLANs IP-Adressen erhalten sollen, kann ein DHCP-Relay eingesetzt werden. Aufgabe: DHCP-Anfragen aus einem VLAN an einen zentralen DHCP-Server weiterleiten. DHCP-Relay arbeitet im Zusammenspiel mit Schicht 3. Merksatz: DHCP-Relay hilft, DHCP über VLAN-Grenzen hinweg zu nutzen. VLANs und Fehlersuche Typische VLAN-Fehler: - Port im falschen VLAN - Access-Port statt Trunk - Trunk statt Access-Port - VLAN auf Trunk nicht erlaubt - falsches Native VLAN - VLAN auf Switch nicht angelegt - falsche SSID-VLAN-Zuordnung - falscher DHCP-Bereich - fehlendes Inter-VLAN-Routing - Firewall blockiert Kommunikation Merksatz: VLAN-Fehler wirken oft wie IP- oder DHCP-Probleme. Fehlerbild: Client bekommt falsche IP-Adresse Mögliche Ursache: Der Switch-Port ist im falschen VLAN. Beispiel: Client soll in VLAN 10 sein. Port ist aber in VLAN 20. Folge: Client erhält eine IP-Adresse aus dem falschen Subnetz oder erreicht nicht die erwarteten Dienste. Merksatz: Falsches VLAN kann falsche IP-Adresse verursachen. Fehlerbild: Access Point mit mehreren SSIDs funktioniert nicht richtig Mögliche Ursachen: - Switch-Port ist kein Trunk - VLANs sind auf dem Trunk nicht erlaubt - SSID ist falschem VLAN zugeordnet - Native VLAN falsch - DHCP fehlt für ein VLAN - Firewall blockiert Gastnetz - Access Point unterstützt Konfiguration nicht Merksatz: Mehrere SSIDs brauchen meist korrektes VLAN-Tagging. Fehlerbild: Zwei VLANs erreichen sich nicht Mögliche Ursachen: - kein Inter-VLAN-Routing - falsches Gateway - Firewall blockiert - falsche Subnetzmaske - VLAN nicht korrekt angelegt - Trunk transportiert VLAN nicht - Routing-Schnittstelle fehlt Wichtig: Wenn zwei VLANs kommunizieren sollen, braucht man eine Schicht-3-Komponente. Merksatz: VLAN zu VLAN braucht Routing. Einordnung in das OSI-Modell Thema Schicht VLAN Schicht 2 VLAN-Tag Schicht 2 Access-Port Schicht 2 Trunk-Port Schicht 2 MAC-Adresse Schicht 2 Broadcast-Domäne Schicht 2 IP-Subnetz Schicht 3 Inter-VLAN-Routing Schicht 3 DHCP Anwendungsschicht mit Netzwerkbezug Firewall-Regeln nach IP/Port Schicht 3 / 4 Merksatz: VLAN ist Schicht 2. Routing zwischen VLANs ist Schicht 3. VLAN und Subnetz nicht verwechseln Begriff Schicht Aufgabe VLAN 2 logische Trennung im LAN Subnetz 3 logischer IP-Adressbereich Router / Layer-3-Switch 3 Verbindung zwischen Netzen Firewall 3 / 4 / 7 Zugriff kontrollieren Wichtig: In der Praxis werden VLAN und Subnetz oft gemeinsam geplant, bleiben aber unterschiedliche Konzepte. Merksatz: VLAN trennt Frames. Subnetz trennt IP-Bereiche. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VLAN? - Auf welcher OSI-Schicht arbeitet ein VLAN? - Was ist eine Broadcast-Domäne? - Warum nutzt man VLANs? - Was ist eine VLAN-ID? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet VLAN-Tagging? - Was ist IEEE 802.1Q? - Was bedeutet tagged und untagged? - Warum braucht man Inter-VLAN-Routing? - Was ist Router-on-a-Stick? - Warum ist ein VLAN nicht dasselbe wie ein IP-Subnetz? - Warum kann ein falsches VLAN zu DHCP-Problemen führen? - Warum reichen VLANs allein nicht als vollständige Sicherheitslösung? Typische Prüfungsfallen VLANs gehören zu Schicht 2. IP-Subnetze gehören zu Schicht 3. VLAN und Subnetz sind nicht dasselbe. Ein VLAN bildet normalerweise eine Broadcast-Domäne. Access-Port = normalerweise ein VLAN. Trunk-Port = mehrere VLANs. Tagged = mit VLAN-Tag. Untagged = ohne VLAN-Tag. IEEE 802.1Q = VLAN-Tagging. Kommunikation zwischen VLANs braucht Routing. VLANs allein ersetzen keine Firewall-Regeln. Falsches VLAN kann wie ein IP- oder DHCP-Problem aussehen. Mehrere SSIDs auf einem Access Point nutzen häufig VLANs. Native VLAN muss auf Trunk-Verbindungen korrekt passen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung VLAN Virtual Local Area Network, logisches LAN VLAN-ID Nummer eines VLANs VLAN-Name lesbarer Name eines VLANs Broadcast Nachricht an alle im lokalen Netz Broadcast-Domäne Bereich, in dem Broadcasts verteilt werden Access-Port Switch-Port für ein einzelnes VLAN Trunk-Port Switch-Port für mehrere VLANs VLAN-Tag Markierung eines Frames mit VLAN-ID IEEE 802.1Q Standard für VLAN-Tagging tagged Frame mit VLAN-Tag untagged Frame ohne VLAN-Tag Native VLAN untagged VLAN auf einem Trunk Allowed VLANs VLANs, die über einen Trunk erlaubt sind Inter-VLAN-Routing Routing zwischen VLANs Router-on-a-Stick Inter-VLAN-Routing über Router-Trunk Layer-3-Switch Switch mit Routing-Funktion Management-VLAN VLAN zur Verwaltung von Netzwerkgeräten Gast-VLAN separates VLAN für Gäste IoT-VLAN separates VLAN für IoT-Geräte DHCP-Relay Weiterleitung von DHCP-Anfragen zu zentralem DHCP-Server IHK-sichere Kurzformulierung Ein VLAN ist ein virtuelles lokales Netzwerk auf OSI-Schicht 2. Mit VLANs können Geräte logisch getrennt werden, auch wenn sie an derselben physischen Switch-Infrastruktur angeschlossen sind. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Access-Ports gehören meist zu genau einem VLAN und werden für Endgeräte verwendet. Trunk-Ports können mehrere VLANs transportieren und nutzen dafür VLAN-Tagging nach IEEE 802.1Q. VLANs sind nicht dasselbe wie IP-Subnetze, werden in der Praxis aber häufig gemeinsam geplant. Kommunikation zwischen VLANs benötigt Routing, zum Beispiel über einen Router, eine Firewall oder einen Layer-3-Switch. Merksätze VLAN = Virtual Local Area Network. VLAN = logische Netztrennung auf Schicht 2. Ein VLAN bildet eine Broadcast-Domäne. VLAN-ID = Nummer des VLANs. VLAN-Name = lesbare Bezeichnung. VLAN ist nicht IP-Subnetz. VLAN = Schicht 2. IP-Subnetz = Schicht 3. Pro VLAN häufig ein eigenes Subnetz. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. Tagged = mit VLAN-Tag. Untagged = ohne VLAN-Tag. IEEE 802.1Q = VLAN-Tagging. Native VLAN = untagged VLAN auf einem Trunk. Allowed VLANs bestimmen, welche VLANs über einen Trunk laufen. Mehrere SSIDs nutzen häufig VLANs. Gast-VLAN vom internen Netz trennen. IoT-VLAN für unsichere Geräte sinnvoll. VLAN zu VLAN braucht Routing. Router-on-a-Stick = Inter-VLAN-Routing über Trunk. Layer-3-Switch kann zwischen VLANs routen. VLAN trennt logisch, Firewall regelt den Zugriff. Falsches VLAN kann DHCP- und IP-Probleme verursachen. 5.5 ARP – IP-Adresse zur MAC-Adresse auflösen ARP gehört zu den wichtigsten Grundlagen im lokalen Netzwerk. ARP steht für: Address Resolution Protocol Auf Deutsch sinngemäß: Adressauflösungsprotokoll ARP wird benötigt, damit ein Gerät zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk herausfinden kann. Merksatz: ARP findet die MAC-Adresse zu einer IP-Adresse im lokalen Netz. Warum braucht man ARP? IP-Adressen gehören zu OSI-Schicht 3. MAC-Adressen gehören zu OSI-Schicht 2. Ein Ethernet-Frame braucht für die lokale Zustellung eine Ziel-MAC-Adresse. Wenn ein PC nur die Ziel-IP-Adresse kennt, muss er herausfinden: Welche MAC-Adresse gehört zu dieser IP-Adresse? Genau dafür wird ARP verwendet. Merksatz: IP allein reicht im Ethernet-LAN nicht aus, der Frame braucht eine Ziel-MAC-Adresse. Schicht 2 und Schicht 3 zusammengedacht Ein Gerät arbeitet beim Senden im LAN mit mehreren Schichten gleichzeitig. Beispiel: Ziel-IP-Adresse: 192.168.10.20 Damit der Frame im lokalen Ethernet gesendet werden kann, braucht der PC zusätzlich: Ziel-MAC-Adresse: zum Beispiel AA:BB:CC:11:22:33 ARP verbindet diese beiden Ebenen. Adresse Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 logische Adressierung im IP-Netz Merksatz: ARP verbindet IP-Adresse und MAC-Adresse im lokalen Netz. Grundprinzip von ARP ARP arbeitet nach dem Prinzip: Wer hat diese IP-Adresse? Bitte melde deine MAC-Adresse. Ein Gerät sendet also eine Anfrage ins lokale Netzwerk. Das Gerät mit der gesuchten IP-Adresse antwortet mit seiner MAC-Adresse. Merksatz: ARP fragt: Wer hat diese IP? ARP-Anfrage Eine ARP-Anfrage wird verwendet, wenn ein Gerät die MAC-Adresse zu einer IP-Adresse noch nicht kennt. Beispiel: PC A möchte PC B erreichen. PC A kennt die IP-Adresse von PC B. PC A kennt aber noch nicht die MAC-Adresse von PC B. Dann sendet PC A eine ARP-Anfrage. Sinngemäß: Wer hat 192.168.10.20? Bitte 192.168.10.10 antworten. Merksatz: ARP-Anfrage = Suche nach der MAC-Adresse zu einer IP-Adresse. ARP-Anfrage als Broadcast Eine ARP-Anfrage wird als Broadcast gesendet. Warum? Der Absender kennt die Ziel-MAC-Adresse noch nicht. Deshalb wird die Anfrage an alle Geräte im lokalen Netz geschickt. Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Alle Geräte im lokalen Netz empfangen die ARP-Anfrage. Aber nur das Gerät mit der gesuchten IP-Adresse antwortet. Merksatz: ARP-Anfrage = Broadcast. ARP-Antwort Die ARP-Antwort kommt von dem Gerät, das die gesuchte IP-Adresse besitzt. Die Antwort enthält die passende MAC-Adresse. Beispiel: PC B antwortet: 192.168.10.20 gehört zu AA:BB:CC:11:22:33 Danach kann PC A Ethernet-Frames gezielt an die MAC-Adresse von PC B senden. Merksatz: ARP-Antwort liefert die gesuchte MAC-Adresse. ARP-Antwort als Unicast Eine ARP-Antwort wird normalerweise als Unicast gesendet. Das bedeutet: Die Antwort geht gezielt an den Absender der ARP-Anfrage. Beispiel: PC B antwortet direkt an PC A. Warum? PC B kennt aus der ARP-Anfrage bereits die MAC-Adresse von PC A. Merksatz: ARP-Antwort = meistens Unicast. ARP im gleichen IP-Netz ARP funktioniert für Ziele im gleichen lokalen IP-Netz. Beispiel: Gerät IP-Adresse PC A 192.168.10.10/24 PC B 192.168.10.20/24 Beide Geräte befinden sich im gleichen Subnetz: 192.168.10.0/24 Wenn PC A PC B erreichen möchte, sucht PC A per ARP die MAC-Adresse von PC B. Merksatz: Gleiches Subnetz: ARP sucht die MAC-Adresse des Zielgeräts. ARP bei Ziel in anderem Netz Wenn das Ziel in einem anderen IP-Netz liegt, sucht der PC nicht die MAC-Adresse des entfernten Zielservers. Stattdessen sucht er die MAC-Adresse seines Standard-Gateways. Beispiel: PC: 192.168.10.10/24 Ziel: 8.8.8.8 Das Ziel liegt nicht im lokalen Netz. Der PC sendet deshalb den Ethernet-Frame an die MAC-Adresse des Routers. Im IP-Paket bleibt als Ziel-IP aber weiterhin: 8.8.8.8 Merksatz: Anderes Netz: ARP sucht die MAC-Adresse des Gateways. Standard-Gateway und ARP Das Standard-Gateway ist der Router, über den ein Gerät andere Netzwerke erreicht. Wenn ein Ziel nicht im eigenen Subnetz liegt, sendet der PC an das Standard-Gateway. Dafür braucht der PC die MAC-Adresse des Gateways. Diese wird per ARP ermittelt. Beispiel: Gateway-IP: 192.168.10.1 ARP fragt: Wer hat 192.168.10.1? Merksatz: Für entfernte Ziele braucht der PC die MAC-Adresse des Gateways. MAC-Adresse ändert sich pro Netzwerkabschnitt Wenn Daten über Router übertragen werden, ändern sich die MAC-Adressen auf jedem lokalen Abschnitt. Beispiel: PC → Router → weiterer Router → Server Auf jedem Abschnitt gibt es neue Ethernet-Frames mit neuen Quell- und Ziel-MAC-Adressen. Die IP-Adressen bleiben grundsätzlich erhalten, außer bei NAT oder PAT. Merksatz: MAC-Adressen gelten nur lokal bis zum nächsten Router. IP-Adresse bleibt grundsätzlich erhalten Während sich die MAC-Adressen von Abschnitt zu Abschnitt ändern, bleibt die Ziel-IP-Adresse normalerweise gleich. Beispiel: PC möchte 8.8.8.8 erreichen. Auf dem ersten Ethernet-Abschnitt gilt: Ziel-MAC = Router Ziel-IP = 8.8.8.8 Der Router entfernt den alten Ethernet-Frame und erstellt für den nächsten Abschnitt einen neuen Frame. Die Ziel-IP bleibt dabei weiterhin 8.8.8.8. Merksatz: MAC ändert sich pro Hop. IP bleibt grundsätzlich Ende-zu-Ende. ARP-Tabelle Ein Gerät speichert bekannte Zuordnungen von IP-Adresse zu MAC-Adresse in einer ARP-Tabelle. Diese Tabelle wird auch genannt: ARP-Cache Beispiel: IP-Adresse MAC-Adresse 192.168.10.1 00:11:22:33:44:55 192.168.10.20 AA:BB:CC:11:22:33 Der Vorteil: Das Gerät muss nicht vor jedem einzelnen Frame erneut eine ARP-Anfrage senden. Merksatz: ARP-Cache speichert IP-zu-MAC-Zuordnungen. ARP-Cache ist zeitlich begrenzt ARP-Einträge bleiben nicht dauerhaft gespeichert. Nach einiger Zeit werden sie automatisch gelöscht oder erneuert. Warum? Geräte können ausgeschaltet werden. Geräte können eine andere Netzwerkkarte nutzen. IP-Adressen können neu vergeben werden. Netzwerkstrukturen können sich ändern. Merksatz: ARP-Einträge altern und werden aktualisiert. Statische und dynamische ARP-Einträge ARP-Einträge können dynamisch oder statisch sein. Art Bedeutung dynamischer ARP-Eintrag automatisch durch ARP gelernt statischer ARP-Eintrag manuell fest eingetragen In normalen Netzwerken werden meistens dynamische ARP-Einträge verwendet. Statische Einträge sind Sonderfälle und können Wartung erschweren. Merksatz: ARP ist normalerweise dynamisch. ARP und Switches Ein Switch leitet ARP-Frames wie andere Ethernet-Frames weiter. Wichtig: Eine ARP-Anfrage ist ein Broadcast. Der Switch verteilt sie innerhalb des VLANs. Eine ARP-Antwort ist meistens Unicast. Der Switch leitet sie gezielt weiter, wenn die Ziel-MAC bekannt ist. Dabei lernt der Switch weiterhin MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Merksatz: ARP hilft Endgeräten, Switches lernen trotzdem über Quell-MACs. ARP und VLANs ARP bleibt innerhalb einer Broadcast-Domäne. Da ein VLAN normalerweise eine eigene Broadcast-Domäne bildet, bleibt eine ARP-Anfrage innerhalb dieses VLANs. Beispiel: ARP-Anfrage in VLAN 10 bleibt in VLAN 10. Sie wird nicht automatisch in VLAN 20 weitergeleitet. Merksatz: ARP-Broadcasts bleiben im VLAN. ARP und Router Router leiten ARP-Broadcasts normalerweise nicht in andere Netze weiter. Warum? Broadcasts sollen auf das lokale Netz begrenzt bleiben. Wenn ein Router ein IP-Paket weiterleitet, nutzt er auf dem nächsten Netzwerkabschnitt selbst wieder ARP, um die nächste lokale Ziel-MAC zu finden. Merksatz: Router trennen ARP-Broadcasts. ARP und DHCP ARP und DHCP sind unterschiedliche Protokolle. DHCP dient dazu, IP-Konfiguration automatisch zu vergeben. ARP dient dazu, zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. Protokoll Aufgabe DHCP IP-Adresse und Netzwerkkonfiguration vergeben ARP MAC-Adresse zu einer IP-Adresse finden Beide nutzen Broadcasts im lokalen Netz. Merksatz: DHCP vergibt IP. ARP findet MAC zu IP. ARP und DNS ARP und DNS werden häufig verwechselt, weil beide etwas „auflösen“. Aber sie lösen unterschiedliche Dinge auf. Protokoll Auflösung DNS Name zu IP-Adresse ARP IP-Adresse zu MAC-Adresse Beispiel: DNS: www.example.com → 93.184.216.34 ARP: 192.168.10.1 → 00:11:22:33:44:55 Merksatz: DNS findet IP zu Name. ARP findet MAC zu IP. Ablauf: Webseite im Internet öffnen Beispiel: PC öffnet eine Webseite im Internet. Vereinfacht passiert: 1. DNS löst den Namen zur IP-Adresse auf. 2. PC erkennt: Ziel-IP liegt nicht im eigenen Subnetz. 3. PC braucht das Standard-Gateway. 4. PC sucht per ARP die MAC-Adresse des Gateways. 5. PC sendet Ethernet-Frame an die MAC-Adresse des Gateways. 6. Im IP-Paket steht die Ziel-IP des Webservers. 7. Router leitet das IP-Paket weiter. Merksatz: Zum Internetziel geht der erste Frame lokal an das Gateway. Ablauf: Gerät im gleichen LAN erreichen Beispiel: PC A will PC B im gleichen Subnetz erreichen. Vereinfacht passiert: 1. PC A prüft: Ziel-IP liegt im eigenen Subnetz. 2. PC A sucht per ARP die MAC-Adresse von PC B. 3. PC B antwortet mit seiner MAC-Adresse. 4. PC A speichert die Zuordnung im ARP-Cache. 5. PC A sendet Ethernet-Frames direkt an die MAC-Adresse von PC B. Merksatz: Im gleichen Subnetz wird direkt an die Ziel-MAC gesendet. Ablauf: Gerät in anderem VLAN erreichen Beispiel: PC in VLAN 10 will Server in VLAN 30 erreichen. VLANs sind getrennte Broadcast-Domänen. PC kann nicht direkt per ARP die MAC-Adresse des Servers in VLAN 30 ermitteln. Stattdessen: PC sendet an das Gateway von VLAN 10. Das Gateway routet Richtung VLAN 30. Dort wird für den nächsten lokalen Abschnitt wieder ARP verwendet. Merksatz: Zwischen VLANs braucht man Routing, nicht direkte ARP-Auflösung zum Zielgerät. Gratuitous ARP Gratuitous ARP bedeutet: Ein Gerät sendet eine ARP-Information über sich selbst, ohne dass vorher jemand danach gefragt hat. Mögliche Zwecke: - ARP-Cache anderer Geräte aktualisieren - IP-Adresskonflikte erkennen - Failover-Szenarien unterstützen - neue MAC-Zuordnung bekannt machen Für AP1/AP2 reicht meist: Gratuitous ARP informiert das lokale Netz über eine IP-MAC-Zuordnung. Merksatz: Gratuitous ARP = ARP-Information ohne direkte Anfrage. ARP-Probe Eine ARP-Probe kann verwendet werden, um zu prüfen, ob eine IP-Adresse bereits im lokalen Netz verwendet wird. Beispiel: Ein Gerät möchte eine IP-Adresse nutzen. Vorher fragt es im Netz, ob jemand diese IP-Adresse bereits verwendet. Das hilft, IP-Adresskonflikte zu vermeiden. Merksatz: ARP kann helfen, doppelte IP-Adressen zu erkennen. IP-Adresskonflikt Ein IP-Adresskonflikt entsteht, wenn zwei Geräte dieselbe IP-Adresse im gleichen Netz verwenden. Mögliche Folgen: - Verbindungsabbrüche - wechselnde Erreichbarkeit - ARP-Einträge ändern sich ständig - falsches Gerät antwortet - Netzwerkprobleme schwer nachvollziehbar ARP kann Hinweise auf solche Konflikte liefern. Merksatz: Doppelte IP-Adressen können ARP-Probleme verursachen. ARP-Spoofing ARP-Spoofing ist ein Angriff auf ARP. Dabei sendet ein Angreifer falsche ARP-Informationen ins Netzwerk. Ziel: Andere Geräte sollen eine falsche MAC-Adresse zu einer IP-Adresse speichern. Beispiel: Angreifer behauptet: Ich bin das Gateway. Dann senden Clients ihre Frames möglicherweise an den Angreifer. Merksatz: ARP-Spoofing = falsche IP-MAC-Zuordnung einschleusen. ARP-Poisoning ARP-Poisoning ist eng mit ARP-Spoofing verwandt. Dabei wird der ARP-Cache anderer Geräte mit falschen Informationen „vergiftet“. Mögliche Folgen: - Man-in-the-Middle-Angriff - Datenverkehr wird umgeleitet - Verbindungsausfall - Abhören oder Manipulation von Daten Merksatz: ARP-Poisoning manipuliert ARP-Caches. Warum ist ARP angreifbar? ARP wurde für lokale Netze entwickelt und vertraut Antworten im lokalen Netzwerk relativ stark. Problem: Geräte prüfen ARP-Antworten nicht immer ausreichend. Auch ungefragte ARP-Informationen können übernommen werden. Angreifer im lokalen Netz können falsche Zuordnungen senden. Deshalb ist Netztrennung und Zugriffskontrolle wichtig. Merksatz: ARP ist im lokalen Netz nützlich, aber nicht besonders stark gegen Manipulation geschützt. Schutzmaßnahmen gegen ARP-Angriffe Mögliche Schutzmaßnahmen: - VLAN-Trennung - 802.1X - Port Security - Dynamic ARP Inspection - DHCP Snooping - statische ARP-Einträge in Sonderfällen - Monitoring - sichere Switch-Konfiguration - keine unnötigen Geräte im internen Netz Für AP1/AP2 ist besonders wichtig: ARP-Angriffe werden durch saubere Netztrennung und Switch-Sicherheitsfunktionen erschwert. Merksatz: ARP-Schutz beginnt mit sauberer Layer-2-Sicherheit. Dynamic ARP Inspection Dynamic ARP Inspection ist eine Switch-Sicherheitsfunktion. Sie kann ARP-Nachrichten prüfen und gefälschte ARP-Informationen blockieren. Häufig arbeitet sie zusammen mit DHCP Snooping. Für AP1/AP2 reicht: Dynamic ARP Inspection schützt vor gefälschten ARP-Antworten. Merksatz: Dynamic ARP Inspection prüft ARP auf dem Switch. DHCP Snooping DHCP Snooping ist eine Switch-Sicherheitsfunktion. Sie unterscheidet vertrauenswürdige und nicht vertrauenswürdige Ports für DHCP. Ziel: unerlaubte DHCP-Server verhindern und Informationen über IP-MAC-Zuordnungen sammeln Diese Informationen können wiederum für Dynamic ARP Inspection genutzt werden. Merksatz: DHCP Snooping hilft gegen falsche DHCP-Server und unterstützt ARP-Schutz. ARP und IPv6 ARP wird bei IPv4 verwendet. Bei IPv6 wird ARP nicht mehr verwendet. IPv6 nutzt stattdessen: Neighbor Discovery Protocol Abkürzung: NDP NDP übernimmt ähnliche Aufgaben in IPv6-Netzen. Merksatz: IPv4 nutzt ARP. IPv6 nutzt NDP. ARP in der Fehlersuche ARP ist sehr hilfreich bei der Fehlersuche im lokalen Netzwerk. Typische Prüffragen: Gibt es einen ARP-Eintrag für das Gateway? Stimmt die MAC-Adresse zum erwarteten Gerät? Ändert sich ein ARP-Eintrag ständig? Gibt es doppelte IP-Adressen? Wird die MAC-Adresse des Ziels gelernt? Liegt das Ziel im gleichen Subnetz? Ist das richtige VLAN aktiv? Merksatz: ARP zeigt, ob IP und MAC lokal zusammenfinden. Typische ARP-Fehlerbilder Fehlerbild mögliche Ursache kein ARP-Eintrag für Gateway Gateway nicht erreichbar, falsches VLAN, Schicht-1-Problem wechselnde MAC-Adresse zu einer IP IP-Konflikt oder ARP-Spoofing ARP klappt, aber Ping nicht Firewall, ICMP blockiert, Routing oder Zielproblem keine ARP-Antwort Ziel aus, falsches VLAN, falsches Subnetz falsche MAC im ARP-Cache ARP-Spoofing oder veralteter Eintrag Merksatz: ARP-Fehler können auf VLAN-, IP- oder Sicherheitsprobleme hinweisen. ARP-Cache anzeigen Auf vielen Systemen kann man den ARP-Cache anzeigen. Beispiele: Windows: arp -a Linux: ip neigh macOS: arp -a Diese Befehle zeigen bekannte IP-MAC-Zuordnungen. Wichtig: Die genaue Ausgabe hängt vom Betriebssystem ab. Merksatz: ARP-Cache zeigt bekannte lokale IP-MAC-Zuordnungen. ARP-Cache leeren Manchmal kann es sinnvoll sein, alte ARP-Einträge zu entfernen. Beispiele: Gerät wurde ausgetauscht. Gateway hat neue MAC-Adresse. ARP-Eintrag ist veraltet. IP-Konflikt wurde behoben. Danach kann das Gerät die MAC-Adresse neu per ARP lernen. Merksatz: ARP-Cache leeren erzwingt neue ARP-Auflösung. Einordnung in das OSI-Modell ARP liegt zwischen Schicht 2 und Schicht 3. Warum? ARP fragt zu einer IP-Adresse die passende MAC-Adresse ab. Thema Schicht MAC-Adresse 2 Ethernet-Frame 2 ARP-Nachricht im LAN 2 / 3-Bezug IP-Adresse 3 Routing 3 TCP-Port 4 DNS 7 Prüfungstauglich: ARP wird meist im Zusammenhang mit Schicht 2 und 3 betrachtet. Merksatz: ARP verbindet Schicht 3 mit Schicht 2. Was ARP nicht macht ARP macht nicht: - DNS-Namen auflösen - IP-Adressen vergeben - zwischen VLANs routen - TCP-Verbindungen aufbauen - Internetseiten laden - Firewall-Regeln prüfen - Verschlüsselung bereitstellen ARP hat eine sehr konkrete Aufgabe: IP-Adresse zu MAC-Adresse im lokalen Netz auflösen. Merksatz: ARP ist keine Namensauflösung, sondern Adressauflösung im LAN. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet ARP? - Welche Aufgabe hat ARP? - Warum braucht man ARP? - Was ist eine ARP-Anfrage? - Warum ist die ARP-Anfrage ein Broadcast? - Warum ist die ARP-Antwort meist ein Unicast? - Was steht im ARP-Cache? - Was passiert, wenn das Ziel in einem anderen Netz liegt? - Welche MAC-Adresse wird verwendet, wenn das Ziel nicht im eigenen Subnetz liegt? - Was ist der Unterschied zwischen ARP und DNS? - Was ist der Unterschied zwischen ARP und DHCP? - Was ist ARP-Spoofing? - Warum verwendet IPv6 kein ARP? Typische Prüfungsfallen ARP findet MAC-Adresse zu IP-Adresse. DNS findet IP-Adresse zu Name. DHCP vergibt IP-Konfiguration. ARP-Anfrage ist Broadcast. ARP-Antwort ist meistens Unicast. ARP funktioniert lokal innerhalb der Broadcast-Domäne. ARP-Broadcasts werden normalerweise nicht über Router weitergeleitet. Bei Ziel im gleichen Subnetz wird die MAC des Zielgeräts gesucht. Bei Ziel in anderem Subnetz wird die MAC des Gateways gesucht. MAC-Adresse ändert sich pro Netzwerkabschnitt. IP-Adresse bleibt grundsätzlich über Router hinweg erhalten. IPv4 nutzt ARP. IPv6 nutzt NDP. ARP kann durch Spoofing manipuliert werden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung ARP Address Resolution Protocol ARP-Anfrage Anfrage nach der MAC-Adresse zu einer IP-Adresse ARP-Antwort Antwort mit IP-MAC-Zuordnung ARP-Cache gespeicherte IP-MAC-Zuordnungen Broadcast Nachricht an alle Geräte im lokalen Netz Unicast Nachricht an ein bestimmtes Gerät MAC-Adresse lokale Hardwareadresse IP-Adresse logische Adresse auf Schicht 3 Standard-Gateway Router ins andere Netz Gratuitous ARP ungefragte ARP-Information über eigene IP-MAC-Zuordnung ARP-Probe Prüfung, ob eine IP-Adresse bereits verwendet wird IP-Adresskonflikt zwei Geräte nutzen gleiche IP-Adresse ARP-Spoofing falsche ARP-Informationen senden ARP-Poisoning ARP-Cache mit falschen Informationen manipulieren Dynamic ARP Inspection Switch-Schutz gegen gefälschte ARP-Informationen DHCP Snooping Switch-Schutz gegen unerlaubte DHCP-Server NDP Neighbor Discovery Protocol bei IPv6 IHK-sichere Kurzformulierung ARP steht für Address Resolution Protocol und wird in IPv4-Netzen verwendet, um zu einer bekannten IP-Adresse die passende MAC-Adresse im lokalen Netzwerk zu ermitteln. Eine ARP-Anfrage wird als Broadcast gesendet, weil die Ziel-MAC-Adresse noch unbekannt ist. Das Gerät mit der gesuchten IP-Adresse antwortet normalerweise per Unicast mit seiner MAC-Adresse. Wenn sich das Ziel im gleichen Subnetz befindet, wird die MAC-Adresse des Zielgeräts gesucht. Befindet sich das Ziel in einem anderen Netz, wird die MAC-Adresse des Standard-Gateways ermittelt. ARP arbeitet lokal innerhalb einer Broadcast-Domäne und verbindet die IP-Adressierung auf Schicht 3 mit der MAC-Adressierung auf Schicht 2. Merksätze ARP = Address Resolution Protocol. ARP findet MAC-Adresse zu IP-Adresse. ARP gehört zu IPv4. IPv6 nutzt NDP statt ARP. ARP verbindet Schicht 3 mit Schicht 2. IP-Adresse = Schicht 3. MAC-Adresse = Schicht 2. ARP-Anfrage = Broadcast. ARP-Antwort = meistens Unicast. Broadcast-MAC = FF:FF:FF:FF:FF:FF. ARP bleibt im lokalen Netz. Router leiten ARP-Broadcasts nicht weiter. Gleiches Subnetz: ARP sucht Ziel-MAC. Anderes Subnetz: ARP sucht Gateway-MAC. MAC-Adresse ändert sich pro Netzwerkabschnitt. IP-Adresse bleibt grundsätzlich erhalten. ARP-Cache speichert IP-MAC-Zuordnungen. DNS ist nicht ARP. DHCP ist nicht ARP. ARP-Spoofing manipuliert IP-MAC-Zuordnungen. Erst ARP verstehen, dann Switching und Routing wirklich verstehen. 5.6 STP, Schleifen und Broadcast-Stürme Auf OSI-Schicht 2 können Schleifen besonders gefährlich sein. Eine Schleife entsteht, wenn es in einem Switch-Netz mehrere aktive Wege gibt, über die Frames endlos im Kreis laufen können. Das kann dazu führen, dass ein Netzwerk sehr schnell überlastet wird. Merksatz: Layer-2-Schleifen können ein Netzwerk lahmlegen. Warum sind Schleifen auf Schicht 2 gefährlich? Auf Schicht 3 gibt es bei IP-Paketen ein Feld, das die Lebensdauer begrenzt. Dieses Feld heißt: TTL TTL steht für: Time To Live Bei Ethernet-Frames auf Schicht 2 gibt es so eine Begrenzung nicht in gleicher Weise. Das bedeutet: Ein Frame kann bei einer Schleife immer wieder weitergeleitet werden. Dadurch kann ein Netzwerk überlastet werden. Merksatz: Ethernet-Frames haben keine TTL wie IP-Pakete. Begriff: Schleife Eine Schleife im Netzwerk bedeutet: Es gibt einen Kreisweg, über den Frames immer wieder weitergeleitet werden können. Beispiel: Switch A → Switch B → Switch C → zurück zu Switch A Wenn alle Verbindungen aktiv sind und keine Schutzmechanismen greifen, können Frames im Kreis laufen. Merksatz: Schleife = Frames können im Kreis laufen. Wie entsteht eine Layer-2-Schleife? Eine Schleife kann entstehen durch: - doppelte Switch-Verbindungen - falsch gesteckte Kabel - redundante Leitungen ohne STP - falsch konfigurierte Switches - falsche Trunk-Konfiguration - versehentlich verbundenes Patchkabel - mehrere Wege zwischen denselben Switches Beispiel: Ein Mitarbeiter steckt versehentlich zwei Netzwerkdosen mit einem Patchkabel zusammen. Oder: Zwei Switches werden mehrfach verbunden, ohne dass STP aktiv ist. Merksatz: Schleifen entstehen oft durch redundante oder falsch gesteckte Verbindungen. Warum baut man überhaupt redundante Verbindungen? Redundanz bedeutet: Es gibt einen zusätzlichen Ersatzweg. Das ist grundsätzlich sinnvoll. Wenn eine Verbindung ausfällt, kann eine andere Verbindung übernehmen. Beispiel: Switch A ist über zwei Wege mit Switch B verbunden. Vorteil: höhere Ausfallsicherheit Problem: Ohne Schutzmechanismus kann daraus eine Schleife entstehen. Merksatz: Redundanz ist gut, aber auf Schicht 2 muss sie kontrolliert werden. Folgen einer Layer-2-Schleife Eine Layer-2-Schleife kann schwere Folgen haben. Typische Auswirkungen: - Broadcast-Sturm - sehr hohe Switch-Last - volle Netzwerkbandbreite - instabile MAC-Adresstabelle - Paketverluste - hohe Latenz - Verbindungsabbrüche - Netzwerk kaum noch nutzbar - Dienste nicht erreichbar Merksatz: Eine kleine Schleife kann ein ganzes LAN stören. Broadcast-Sturm Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcast-Frames im Netzwerk unterwegs sind. Bei einer Schleife können Broadcasts immer wieder weitergeleitet werden. Da Broadcasts an alle Ports im VLAN gesendet werden, vervielfachen sie sich sehr schnell. Typische Broadcasts sind zum Beispiel: - ARP-Anfragen - DHCP-Anfragen - bestimmte lokale Suchdienste Merksatz: Broadcast-Sturm = zu viele Broadcasts im lokalen Netz. Warum vervielfachen sich Broadcasts? Ein Switch leitet Broadcasts innerhalb eines VLANs an alle passenden Ports weiter. Wenn eine Schleife vorhanden ist, kann derselbe Broadcast über mehrere Wege zurückkommen. Dann wird er erneut verteilt. Das kann sich schnell aufschaukeln. Vereinfacht: Broadcast kommt rein. Switch verteilt ihn. Broadcast kommt über anderen Weg zurück. Switch verteilt ihn wieder. Merksatz: In einer Schleife können Broadcasts immer wieder neu verteilt werden. Unicast-Flooding durch Schleifen Nicht nur Broadcasts können problematisch sein. Auch unbekannte Unicast-Frames können geflutet werden. Unbekannter Unicast bedeutet: Ziel-MAC ist dem Switch nicht bekannt. Dann sendet der Switch den Frame an mehrere Ports. Wenn zusätzlich eine Schleife besteht, kann auch dieser Verkehr stark zunehmen. Merksatz: Schleifen verstärken Broadcasts und unbekannten Unicast-Verkehr. MAC-Adresstabelle wird instabil Switches lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Bei einer Schleife kann derselbe Frame über verschiedene Ports wieder auftauchen. Dadurch kann der Switch glauben: dieselbe MAC-Adresse ist plötzlich an einem anderen Port erreichbar. Die MAC-Adresse „wandert“ dann ständig in der Tabelle. Das nennt man häufig: MAC Flapping Merksatz: MAC Flapping = dieselbe MAC-Adresse erscheint ständig an wechselnden Ports. Begriff: MAC Flapping MAC Flapping bedeutet: Eine MAC-Adresse wird vom Switch immer wieder an unterschiedlichen Ports gelernt. Mögliche Ursachen: - Layer-2-Schleife - falsch verkabelte Switches - fehlerhafte Redundanz - falsch konfigurierte Link Aggregation - virtuelle Systeme mit wechselnden Pfaden In vielen Fällen ist MAC Flapping ein ernstes Warnsignal. Merksatz: MAC Flapping kann auf eine Schleife hinweisen. STP STP steht für: Spanning Tree Protocol STP ist ein Protokoll, das Schleifen in Layer-2-Netzen verhindern soll. Die Grundidee: Es darf nur ein schleifenfreier aktiver Pfad bestehen. Redundante Pfade werden nicht entfernt, sondern blockiert. Wenn eine aktive Verbindung ausfällt, kann ein blockierter Ersatzweg freigeschaltet werden. Merksatz: STP verhindert Layer-2-Schleifen. Warum heißt es Spanning Tree? Spanning Tree bedeutet sinngemäß: aufspannender Baum Ein Baum hat in der Netzwerktopologie keine Schleifen. STP berechnet aus einem vermaschten Switch-Netz eine schleifenfreie Baumstruktur. Vereinfacht: Viele mögliche Wege werden auf einen schleifenfreien aktiven Weg reduziert. Merksatz: STP macht aus einem vermaschten Netz einen schleifenfreien Baum. Grundprinzip von STP STP arbeitet vereinfacht so: 1. Switches tauschen STP-Informationen aus. 2. Eine Root Bridge wird bestimmt. 3. Jeder Switch berechnet seinen besten Weg zur Root Bridge. 4. Bestimmte Ports bleiben aktiv. 5. Andere Ports werden blockiert, um Schleifen zu verhindern. Merksatz: STP entscheidet, welche Ports weiterleiten und welche blockieren. Root Bridge Die Root Bridge ist der zentrale Bezugspunkt im STP-Netz. Alle Switches berechnen ihre Wege zur Root Bridge. Die Root Bridge wird anhand einer Priorität und der Bridge-ID bestimmt. In der Praxis sollte man die Root Bridge gezielt planen. Warum? Sonst kann ein ungeeigneter Switch Root Bridge werden. Merksatz: Root Bridge = zentraler Bezugspunkt für STP. Bridge-ID Die Bridge-ID dient zur Auswahl der Root Bridge. Sie besteht vereinfacht aus: - Bridge-Priorität - MAC-Adresse des Switches Der Switch mit der niedrigsten Bridge-ID wird Root Bridge. Wenn die Priorität gleich ist, entscheidet die MAC-Adresse. Merksatz: Niedrigste Bridge-ID gewinnt die Root-Bridge-Wahl. STP-Priorität Die STP-Priorität beeinflusst, welcher Switch Root Bridge wird. Ein niedrigerer Prioritätswert ist besser. Beispiel: Switch A Priorität 4096 Switch B Priorität 32768 Switch A hat die bessere Priorität und wird eher Root Bridge. Merksatz: Niedrigere STP-Priorität = bevorzugte Root Bridge. BPDU BPDU steht für: Bridge Protocol Data Unit BPDUs sind STP-Nachrichten zwischen Switches. Über BPDUs tauschen Switches Informationen aus, zum Beispiel: - Bridge-ID - Root-Bridge-Information - Pfadkosten - Portinformationen Merksatz: BPDU = STP-Nachricht zwischen Switches. Root Port Ein Root Port ist der Port eines Switches mit dem besten Weg zur Root Bridge. Jeder Nicht-Root-Switch hat normalerweise genau einen Root Port. Dieser Port zeigt aus Sicht des Switches in Richtung Root Bridge. Merksatz: Root Port = bester Weg zur Root Bridge. Designated Port Ein Designated Port ist ein Port, der in einem Netzwerksegment Frames weiterleiten darf. Für jedes Segment wird ein Port ausgewählt, der den Verkehr Richtung Root Bridge beziehungsweise in das Segment weiterleitet. Merksatz: Designated Port = aktiver Weiterleitungsport für ein Segment. Blocked Port Ein Blocked Port ist ein Port, der durch STP blockiert wird, um eine Schleife zu verhindern. Ein blockierter Port leitet keine normalen Datenframes weiter. Er kann aber weiterhin STP-Informationen empfangen. Wenn eine aktive Verbindung ausfällt, kann ein blockierter Port später aktiv werden. Merksatz: Blocked Port = verhindert Schleifen. STP-Portrollen kurz zusammengefasst Rolle Bedeutung Root Port bester Weg zur Root Bridge Designated Port aktiver Port für ein Segment Blocked Port blockierter Port zur Schleifenvermeidung Merksatz: Root und Designated leiten weiter. Blocked verhindert Schleifen. STP-Portzustände Klassisches STP kennt verschiedene Portzustände. Wichtige Zustände sind: Zustand Bedeutung Blocking keine Nutzdatenweiterleitung Listening hört STP-Informationen Learning lernt MAC-Adressen Forwarding leitet Frames weiter Disabled administrativ oder technisch deaktiviert Für die Prüfung reicht oft: Forwarding = leitet Frames. Blocking = blockiert zur Schleifenvermeidung. Merksatz: STP-Ports leiten nicht sofort weiter, sondern durchlaufen Zustände. RSTP RSTP steht für: Rapid Spanning Tree Protocol RSTP ist eine schnellere Weiterentwicklung von STP. Es reagiert schneller auf Änderungen im Netzwerk. Technische Bezeichnung: IEEE 802.1w Vorteil: schnellere Umschaltung bei Ausfall einer Verbindung Merksatz: RSTP = schnelleres STP. MSTP MSTP steht für: Multiple Spanning Tree Protocol MSTP ermöglicht mehrere Spanning-Tree-Instanzen. Das ist besonders nützlich bei VLANs. Technische Bezeichnung: IEEE 802.1s Für AP1/AP2 reicht meistens: MSTP ist eine Erweiterung für mehrere VLAN- oder Instanz-Bereiche. Merksatz: MSTP = mehrere Spanning Trees für größere VLAN-Umgebungen. STP, RSTP und MSTP im Vergleich Protokoll Bedeutung Grundidee STP Spanning Tree Protocol Schleifen verhindern RSTP Rapid Spanning Tree Protocol schneller reagieren MSTP Multiple Spanning Tree Protocol mehrere Instanzen unterstützen Merksatz: STP verhindert Schleifen. RSTP ist schneller. MSTP ist flexibler für VLAN-Umgebungen. STP und Redundanz STP ermöglicht Redundanz ohne Schleifen. Beispiel: Switch A ist über zwei Wege mit Switch B verbunden. STP blockiert einen Weg. Wenn der aktive Weg ausfällt, kann STP den blockierten Weg aktivieren. Vorteil: Ausfallsicherheit Nachteil: nicht alle redundanten Wege werden gleichzeitig genutzt Merksatz: STP blockiert Reservewege, bis sie gebraucht werden. STP und Link Aggregation unterscheiden STP und Link Aggregation werden manchmal verwechselt. Link Aggregation bündelt mehrere physische Verbindungen zu einer logischen Verbindung. STP blockiert dagegen redundante Schleifenwege. Technik Aufgabe STP Schleifen verhindern Link Aggregation mehrere Links logisch bündeln Wichtig: Werden mehrere Kabel zwischen zwei Switches genutzt, sollte klar sein, ob sie als Link Aggregation konfiguriert sind oder ob STP eingreifen muss. Merksatz: Link Aggregation bündelt. STP blockiert Schleifen. Link Aggregation kurz erklärt Link Aggregation bedeutet: mehrere physische Verbindungen werden zu einer logischen Verbindung zusammengefasst. Vorteile: - mehr Gesamtkapazität - Redundanz - weniger STP-Blockierung zwischen denselben Geräten Häufige Begriffe: - LAG - Port Channel - EtherChannel - Bündelung Merksatz: Link Aggregation = mehrere Kabel als ein logischer Link. LACP LACP steht für: Link Aggregation Control Protocol LACP ist ein Protokoll zur automatischen Aushandlung von Link Aggregation. Technische Bezeichnung: IEEE 802.3ad Für AP1/AP2 reicht: LACP hilft, mehrere physische Links zu einem logischen Link zusammenzufassen. Merksatz: LACP = Protokoll für Link Aggregation. STP und VLANs STP wirkt in Layer-2-Netzen und hängt oft mit VLANs zusammen. Je nach Switch-System gibt es verschiedene Varianten: ein Spanning Tree für alle VLANs oder mehrere Instanzen für verschiedene VLANs Wichtig für die Prüfung: VLANs trennen Broadcast-Domänen. STP verhindert Schleifen innerhalb der Layer-2-Struktur. Merksatz: VLAN trennt logisch. STP verhindert Schleifen. Broadcast-Sturm erkennen Typische Hinweise auf einen Broadcast-Sturm: - Netzwerk extrem langsam - Switch-LEDs blinken ungewöhnlich stark - hohe Auslastung auf vielen Ports - Geräte verlieren Verbindung - viele Broadcasts im Mitschnitt - CPU-Last auf Switches steigt - MAC-Adressen wechseln ständig Ports - DHCP oder ARP funktioniert unzuverlässig Merksatz: Broadcast-Sturm zeigt sich oft als plötzliches Netzwerkausfall-Problem. Layer-2-Schleife erkennen Hinweise auf eine Layer-2-Schleife: - MAC Flapping - Broadcast-Sturm - hohe Switch-Auslastung - Ports laufen voll - Netzwerk bricht plötzlich ein - STP-Logs zeigen Änderungen - gleiche MAC-Adresse an mehreren Ports - nach Entfernen eines Kabels stabilisiert sich das Netz Merksatz: MAC Flapping und Broadcast-Sturm sind starke Schleifen-Hinweise. Fehlersuche bei Layer-2-Schleifen Sinnvolle Schritte: 1. Symptome prüfen: Broadcast-Sturm, MAC Flapping, hohe Last 2. Switch-Logs prüfen: STP-Meldungen, Port-Changes 3. Topologie prüfen: Welche Switches sind mehrfach verbunden? 4. Kabelwege prüfen: versehentliche Schleifen suchen 5. STP-Status prüfen: Root Bridge, blockierte Ports 6. Testweise verdächtige Verbindung trennen 7. Ursache sauber dokumentieren und korrigieren Merksatz: Bei Schleifenproblemen Topologie und STP prüfen. Typische Ursachen in der Praxis Häufige Praxisursachen: - jemand steckt beide Enden eines Patchkabels in zwei Netzwerkdosen - zwei kleine Switches werden mehrfach miteinander verbunden - unmanaged Switch ohne STP wird angeschlossen - Access Point oder Bridge ist falsch verkabelt - Trunk-Ports sind falsch konfiguriert - Link Aggregation wurde nicht korrekt eingerichtet - STP wurde deaktiviert - Root Bridge ist ungünstig gewählt Merksatz: Kleine Verkabelungsfehler können große Layer-2-Probleme auslösen. Unmanaged Switches und STP Ein unmanaged Switch hat oft keine oder nur sehr eingeschränkte Konfigurationsmöglichkeiten. Problem: STP ist eventuell nicht vorhanden oder nicht kontrollierbar. Wenn ein unmanaged Switch falsch angeschlossen wird, kann er Schleifen verursachen. In professionellen Netzen sollte man daher vorsichtig sein, wenn zusätzliche kleine Switches angeschlossen werden. Merksatz: Unmanaged Switches können in Firmen-LANs ein Risiko sein. BPDU Guard BPDU Guard ist eine Schutzfunktion auf Switches. Sie kann Ports deaktivieren, wenn dort unerwartet STP-BPDUs empfangen werden. Typischer Einsatz: Access-Ports für Endgeräte Warum? An einem normalen PC-Port sollte normalerweise kein weiterer Switch hängen. Wenn dort BPDUs auftauchen, könnte ein nicht autorisierter Switch angeschlossen worden sein. Merksatz: BPDU Guard schützt Access-Ports vor unerwarteten Switch-Verbindungen. Root Guard Root Guard verhindert, dass ein unerwünschter Switch Root Bridge wird. Das ist wichtig, damit die geplante STP-Topologie erhalten bleibt. Typischer Einsatz: Ports zu weniger vertrauenswürdigen Switches oder Bereichen Merksatz: Root Guard schützt die geplante Root Bridge. Storm Control Storm Control ist eine Schutzfunktion gegen übermäßigen Broadcast-, Multicast- oder Unicast-Verkehr. Ein Switch kann begrenzen, wie viel solcher Verkehr pro Port erlaubt ist. Wenn ein Grenzwert überschritten wird, kann der Switch reagieren. Mögliche Reaktionen: - Verkehr begrenzen - Frames verwerfen - Port sperren - Ereignis protokollieren Merksatz: Storm Control begrenzt übermäßigen Layer-2-Verkehr. Schutzmaßnahmen gegen Layer-2-Schleifen Sinnvolle Maßnahmen: - STP oder RSTP aktivieren - Root Bridge gezielt planen - BPDU Guard auf Access-Ports nutzen - Root Guard an passenden Stellen nutzen - Storm Control konfigurieren - Link Aggregation korrekt einrichten - unmanaged Switches vermeiden oder kontrollieren - Netzwerkdosen dokumentieren - Ports für Endgeräte klar konfigurieren - Monitoring und Logs prüfen Merksatz: Schleifenschutz besteht aus STP, sauberer Konfiguration und Kontrolle. STP und Fehlersuche nicht verwechseln Wenn ein Port durch STP blockiert wird, ist das nicht automatisch ein Fehler. Es kann genau das gewünschte Verhalten sein. STP blockiert Ports, um Schleifen zu verhindern. Problematisch ist es erst, wenn: ein wichtiger Weg unerwartet blockiert wird oder STP falsch geplant ist oder eine Schleife nicht verhindert wird. Merksatz: STP-Blocking kann normal und gewollt sein. Einordnung in das OSI-Modell Thema Schicht Ethernet-Frame 2 Switch 2 MAC-Adresse 2 VLAN 2 Broadcast-Domäne 2 STP 2 RSTP 2 LACP / Link Aggregation 2 IP-Adresse 3 Routing 3 TTL 3 Merksatz: STP schützt Layer 2. TTL gehört zu Layer 3. Was STP nicht macht STP macht nicht: - IP-Routing - Firewall-Regeln - VLAN-Erstellung - DHCP-Vergabe - DNS-Auflösung - Verschlüsselung - Benutzerverwaltung - Anwendungsschutz STP hat eine klare Aufgabe: Schleifen auf Schicht 2 verhindern. Merksatz: STP ist Schleifenschutz, kein Routing- oder Sicherheitskonzept für alles. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum sind Schleifen auf Schicht 2 gefährlich? - Was ist ein Broadcast-Sturm? - Warum gibt es bei Ethernet-Frames keine TTL wie bei IP? - Was bedeutet STP? - Welche Aufgabe hat STP? - Was ist eine Root Bridge? - Was ist eine BPDU? - Was ist ein Root Port? - Was ist ein Designated Port? - Was ist ein blockierter Port? - Was ist RSTP? - Was ist der Unterschied zwischen STP und Link Aggregation? - Was ist MAC Flapping? - Welche Schutzmaßnahmen gibt es gegen Layer-2-Schleifen? Typische Prüfungsfallen Layer-2-Schleifen sind gefährlich, weil Frames im Kreis laufen können. Ethernet-Frames haben keine TTL wie IP-Pakete. Broadcasts können sich bei Schleifen stark vervielfachen. STP verhindert Schleifen. STP entfernt keine Kabel, sondern blockiert Ports logisch. Root Bridge ist der zentrale Bezugspunkt für STP. Niedrigste Bridge-ID gewinnt die Root-Bridge-Wahl. BPDU = STP-Nachricht. RSTP ist schneller als klassisches STP. Link Aggregation ist nicht dasselbe wie STP. MAC Flapping kann auf eine Schleife hinweisen. Ein blockierter STP-Port ist nicht automatisch ein Fehler. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Layer-2-Schleife Kreis im Switch-Netz, über den Frames immer wieder laufen Broadcast-Sturm sehr viele Broadcasts überlasten das Netz MAC Flapping MAC-Adresse erscheint ständig an unterschiedlichen Ports STP Spanning Tree Protocol, verhindert Schleifen Root Bridge zentraler Bezugspunkt im STP Bridge-ID Kennung zur Wahl der Root Bridge STP-Priorität Wert zur Beeinflussung der Root-Bridge-Wahl BPDU Bridge Protocol Data Unit, STP-Nachricht Root Port bester Port Richtung Root Bridge Designated Port aktiver Port für ein Segment Blocked Port blockierter Port zur Schleifenvermeidung RSTP Rapid Spanning Tree Protocol MSTP Multiple Spanning Tree Protocol Link Aggregation mehrere physische Links als ein logischer Link LACP Protokoll für Link Aggregation BPDU Guard Schutz vor unerwarteten BPDUs auf Access-Ports Root Guard Schutz der geplanten Root Bridge Storm Control Begrenzung übermäßigen Layer-2-Verkehrs IHK-sichere Kurzformulierung Layer-2-Schleifen entstehen, wenn es in einem Switch-Netz mehrere aktive Kreiswege gibt, über die Ethernet-Frames endlos weitergeleitet werden können. Da Ethernet-Frames keine TTL wie IP-Pakete besitzen, können sich Broadcasts und unbekannte Unicast-Frames stark vervielfachen. Die Folge kann ein Broadcast-Sturm mit hoher Netzwerklast und Verbindungsproblemen sein. STP, das Spanning Tree Protocol, verhindert solche Schleifen, indem es eine schleifenfreie Baumstruktur berechnet und redundante Ports logisch blockiert. RSTP ist eine schnellere Weiterentwicklung von STP. Link Aggregation ist davon zu unterscheiden, da sie mehrere physische Verbindungen zu einer logischen Verbindung bündelt. Merksätze Layer-2-Schleifen sind gefährlich. Ethernet-Frames haben keine TTL. Broadcast-Sturm = zu viele Broadcasts. Schleifen können ein LAN lahmlegen. MAC Flapping kann auf Schleifen hinweisen. STP = Spanning Tree Protocol. STP verhindert Layer-2-Schleifen. STP blockiert Ports logisch. Root Bridge = zentraler Bezugspunkt. Niedrigste Bridge-ID gewinnt. BPDU = STP-Nachricht. Root Port = bester Weg zur Root Bridge. Designated Port = aktiver Port im Segment. Blocked Port = blockiert zur Schleifenvermeidung. RSTP = schnelleres STP. MSTP = mehrere Spanning-Tree-Instanzen. Link Aggregation ist nicht STP. LACP bündelt mehrere Links. BPDU Guard schützt Access-Ports. Root Guard schützt die Root-Bridge-Planung. Storm Control begrenzt übermäßigen Verkehr. STP-Blocking ist nicht automatisch ein Fehler. 5.7 Fehlersuche auf Schicht 2 Fehler auf OSI-Schicht 2 betreffen die lokale Datenübertragung im Netzwerk. Dabei geht es vor allem um: - Ethernet-Frames - MAC-Adressen - Switches - VLANs - Access-Ports - Trunk-Ports - ARP - Broadcasts - STP - Layer-2-Schleifen Schicht 2 liegt zwischen der physischen Verbindung auf Schicht 1 und der IP-Kommunikation auf Schicht 3. Merksatz: Schicht 2 = lokale Übertragung mit Frames, MAC-Adressen und VLANs. Grundidee der Schicht-2-Fehlersuche Bei der Fehlersuche auf Schicht 2 prüft man, ob Frames im lokalen Netzwerk korrekt weitergeleitet werden. Typische Fragen: Wird die MAC-Adresse gelernt? Ist das richtige VLAN aktiv? Ist der Switch-Port korrekt konfiguriert? Ist der Port Access oder Trunk? Wird das VLAN über den Trunk transportiert? Gibt es Schleifen? Gibt es Broadcast-Stürme? Funktioniert ARP? Blockiert STP einen Port? Merksatz: Auf Schicht 2 prüft man lokale Weiterleitung, MAC-Adressen und VLANs. Reihenfolge bei der Fehlersuche Eine sinnvolle Reihenfolge ist: 1. Schicht 1 prüfen: Link, Kabel, Port, Signal 2. Schicht 2 prüfen: MAC-Adresse, VLAN, Switch-Port, ARP, STP 3. Schicht 3 prüfen: IP-Adresse, Subnetzmaske, Gateway, Routing 4. höhere Schichten prüfen: DNS, TCP/UDP-Port, Anwendung Wichtig: Wenn Schicht 1 nicht funktioniert, kann Schicht 2 nicht zuverlässig funktionieren. Merksatz: Erst Link, dann MAC/VLAN, dann IP. Typische Schicht-2-Fehler Typische Fehler auf Schicht 2 sind: - falsches VLAN - Port im falschen Modus - Access-Port statt Trunk - Trunk statt Access-Port - VLAN auf Trunk nicht erlaubt - falsches Native VLAN - MAC-Adresse wird nicht gelernt - MAC-Adresse erscheint auf falschem Port - MAC Flapping - Broadcast-Sturm - Layer-2-Schleife - STP blockiert unerwartet - ARP funktioniert nicht - doppelte MAC-Adresse - Port Security blockiert Gerät Merksatz: Schicht-2-Fehler betreffen Frames, MACs, VLANs und Switch-Weiterleitung. Fehlerbild: MAC-Adresse wird nicht gelernt Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Wenn eine MAC-Adresse nicht gelernt wird, kann der Switch das Gerät nicht korrekt in seiner MAC-Adresstabelle eintragen. Mögliche Ursachen: - Gerät sendet keine Frames - Gerät ist ausgeschaltet - falscher Switch-Port - Port deaktiviert - Link ist nicht aktiv - falsches VLAN - Port Security blockiert - Netzwerkkarte deaktiviert - Kabelproblem auf Schicht 1 Merksatz: Keine gelernte MAC-Adresse kann Schicht 1 oder Schicht 2 betreffen. Fehlerbild: MAC-Adresse auf falschem Port Ein Switch kann eine MAC-Adresse an einem Port lernen, an dem man sie nicht erwartet. Mögliche Ursachen: - Gerät wurde umgesteckt - Dokumentation ist veraltet - Patchfeld falsch gepatcht - Gerät hängt hinter einem anderen Switch - virtuelle Maschine nutzt diese MAC-Adresse - falsche Verkabelung - Layer-2-Schleife Merksatz: Unerwartete MAC-Port-Zuordnung kann auf falsche Patchung oder Topologieprobleme hinweisen. Fehlerbild: MAC Flapping MAC Flapping bedeutet: dieselbe MAC-Adresse wird ständig an unterschiedlichen Switch-Ports gelernt. Das ist ein Warnsignal. Mögliche Ursachen: - Layer-2-Schleife - falsch konfigurierte Link Aggregation - Gerät ist über mehrere Wege angeschlossen - virtuelle Umgebung sendet über wechselnde Ports - falsche Switch-Verkabelung - redundante Links ohne funktionierendes STP Merksatz: MAC Flapping kann auf eine Layer-2-Schleife hinweisen. Fehlerbild: Falsches VLAN Ein Gerät kann physisch korrekt verbunden sein, sich aber logisch im falschen Netz befinden. Beispiel: PC soll in VLAN 10 sein. Switch-Port ist aber in VLAN 20. Mögliche Folgen: - falsche IP-Adresse - keine IP-Adresse - falsches Gateway - Server nicht erreichbar - Drucker nicht erreichbar - Internet funktioniert nicht - Zugriff auf falsche Netzwerkressourcen Merksatz: Falsches VLAN kann wie ein IP-Problem aussehen. Fehlerbild: Client bekommt keine IP-Adresse Wenn ein Client keine IP-Adresse erhält, denkt man oft zuerst an DHCP. Die Ursache kann aber auf Schicht 2 liegen. Mögliche Ursachen: - Port im falschen VLAN - VLAN auf Trunk nicht erlaubt - DHCP-Server nicht im VLAN erreichbar - DHCP-Relay fehlt - Access-Port falsch konfiguriert - Trunk zum Router oder zur Firewall falsch - STP blockiert den Pfad - Port Security blockiert Frames Merksatz: DHCP-Probleme können durch VLAN-Fehler entstehen. Fehlerbild: Client bekommt falsche IP-Adresse Wenn ein Client eine IP-Adresse aus dem falschen Netz bekommt, ist häufig das VLAN falsch. Beispiel: Erwartet: VLAN 10 192.168.10.0/24 Tatsächlich: VLAN 20 192.168.20.0/24 Mögliche Ursachen: - Switch-Port im falschen VLAN - falsche SSID-VLAN-Zuordnung - Trunk falsch konfiguriert - falsches Native VLAN - falscher DHCP-Bereich Merksatz: Falsche IP-Adresse kann falsche VLAN-Zuordnung bedeuten. Fehlerbild: Trunk transportiert VLAN nicht Ein Trunk-Port soll mehrere VLANs transportieren. Wenn ein VLAN über den Trunk nicht funktioniert, können Geräte in diesem VLAN nicht kommunizieren. Mögliche Ursachen: - VLAN ist auf dem Trunk nicht erlaubt - VLAN existiert auf einem Switch nicht - Gegenstelle ist kein Trunk - Native VLAN passt nicht - Tagging stimmt nicht - STP blockiert für dieses VLAN - falsche Port-Konfiguration Merksatz: Trunk-Fehler betreffen oft mehrere Geräte oder ganze VLANs. Fehlerbild: Access-Port statt Trunk Ein Port ist als Access-Port konfiguriert, obwohl mehrere VLANs darüber laufen sollen. Typisches Beispiel: Access Point mit mehreren SSIDs soll VLAN 10, 20 und 30 nutzen. Der Switch-Port ist aber nur Access-Port in VLAN 10. Folge: Nur ein VLAN funktioniert. Andere SSIDs bekommen keine passende Verbindung. Merksatz: Mehrere VLANs brauchen normalerweise einen Trunk. Fehlerbild: Trunk statt Access-Port Ein Port ist als Trunk konfiguriert, obwohl ein normales Endgerät angeschlossen ist. Mögliche Folgen: - Endgerät versteht VLAN-Tags nicht - Gerät landet im falschen VLAN - Sicherheitsrisiko - unerwartetes Netzwerkverhalten - DHCP-Probleme Typische Endgeräte an Access-Ports: - PC - Drucker - Kamera - einzelnes Telefon - einfaches Endgerät Merksatz: Normale Endgeräte gehören meistens an Access-Ports. Fehlerbild: Falsches Native VLAN Bei Trunk-Ports kann ein Native VLAN für untagged Frames verwendet werden. Wenn das Native VLAN auf beiden Seiten unterschiedlich ist, kann es zu Problemen kommen. Mögliche Folgen: - Frames landen im falschen VLAN - Sicherheitsproblem - Verbindungsprobleme - schwer erkennbare Fehlleitung Merksatz: Native VLAN muss auf beiden Seiten eines Trunks passen. Fehlerbild: ARP funktioniert nicht ARP wird benötigt, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. Wenn ARP nicht funktioniert, kann lokale Kommunikation scheitern. Mögliche Ursachen: - Zielgerät ist aus - Zielgerät ist im falschen VLAN - Absender ist im falschen VLAN - falsche Subnetzmaske - falsches Gateway - ARP wird durch Sicherheitsfunktion blockiert - IP-Adresskonflikt - ARP-Spoofing - Schicht-1-Problem Merksatz: ARP-Probleme zeigen, dass IP und MAC lokal nicht zusammenfinden. Fehlerbild: ARP-Eintrag ändert sich ständig Wenn sich die MAC-Adresse zu einer IP-Adresse ständig ändert, ist das auffällig. Mögliche Ursachen: - IP-Adresskonflikt - ARP-Spoofing - Gateway-Failover - Cluster oder Hochverfügbarkeit - falsche Konfiguration - virtuelle Systeme Wichtig: Nicht jede Änderung ist automatisch ein Angriff. In Failover- oder Cluster-Umgebungen kann das gewollt sein. Merksatz: Wechselnde ARP-Zuordnungen immer prüfen und einordnen. Fehlerbild: Broadcast-Sturm Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcast-Frames das Netzwerk belasten. Mögliche Ursachen: - Layer-2-Schleife - fehlerhaftes Gerät - falsche Switch-Verkabelung - Broadcast-lastige Anwendung - Angriff - STP deaktiviert oder falsch konfiguriert Typische Symptome: - Netzwerk extrem langsam - viele Switch-LEDs blinken stark - hohe Port-Auslastung - Geräte verlieren Verbindung - DHCP oder ARP funktioniert unzuverlässig Merksatz: Broadcast-Sturm kann ein Layer-2-Netz lahmlegen. Fehlerbild: STP blockiert einen Port Wenn STP einen Port blockiert, ist das nicht automatisch ein Fehler. STP blockiert Ports, um Schleifen zu verhindern. Problematisch wird es, wenn: - der falsche Port blockiert wird - die Root Bridge ungünstig gewählt ist - ein wichtiger Pfad unerwartet ausfällt - STP auf manchen Switches deaktiviert ist - eine Schleife trotzdem entsteht Merksatz: STP-Blocking kann normal sein, muss aber zur geplanten Topologie passen. Fehlerbild: Layer-2-Schleife Eine Layer-2-Schleife kann durch falsche Verkabelung oder falsche Redundanz entstehen. Typische Hinweise: - MAC Flapping - Broadcast-Sturm - hohe Switch-Auslastung - Netzwerk wird plötzlich sehr langsam - viele Frames auf vielen Ports - STP-Logs zeigen Änderungen - nach Entfernen eines Kabels wird das Netz stabil Merksatz: MAC Flapping und Broadcast-Sturm sind starke Hinweise auf Schleifen. Fehlerbild: Port Security blockiert Gerät Port Security kann festlegen, welche oder wie viele MAC-Adressen an einem Port erlaubt sind. Wenn ein anderes Gerät angeschlossen wird, kann der Switch reagieren. Mögliche Reaktionen: - Frames verwerfen - Warnung erzeugen - Port deaktivieren - Ereignis protokollieren Mögliche Ursachen: - Gerät wurde getauscht - anderer PC angeschlossen - kleiner Switch angeschlossen - virtuelle Maschinen erzeugen mehrere MAC-Adressen - falsche Port-Security-Konfiguration Merksatz: Port Security schützt, kann aber bei Gerätewechseln Verbindungen blockieren. Fehlerbild: Doppelte MAC-Adresse MAC-Adressen sollten eindeutig sein. In der Praxis können doppelte MAC-Adressen trotzdem auftreten. Mögliche Ursachen: - falsch konfigurierte virtuelle Maschinen - manuell gesetzte MAC-Adresse - geklonte Systeme - fehlerhafte Geräte - absichtliches MAC-Spoofing Mögliche Folgen: - instabile Verbindung - MAC-Flapping - falsche Weiterleitung - schwer nachvollziehbare Netzwerkprobleme Merksatz: Doppelte MAC-Adressen stören die Switch-Weiterleitung. Werkzeuge für Schicht-2-Fehlersuche Typische Werkzeuge und Informationsquellen: Werkzeug / Anzeige Nutzen MAC-Adresstabelle zeigt MAC-Adresse zu Switch-Port Switch-Port-Konfiguration zeigt Access, Trunk, VLAN VLAN-Liste zeigt vorhandene VLANs Trunk-Status zeigt erlaubte und aktive VLANs STP-Status zeigt Root Bridge und blockierte Ports Port-Security-Status zeigt erlaubte oder blockierte MAC-Adressen ARP-Tabelle zeigt IP-zu-MAC-Zuordnung Switch-Logs zeigen STP, Port-Changes, Security-Events Packet Capture zeigt Frames und ARP-Verkehr Dokumentation zeigt Soll-Zustand Merksatz: Schicht-2-Fehlersuche braucht Switch-Informationen und saubere Dokumentation. Wichtige Switch-Informationen Bei Schicht-2-Problemen sind diese Informationen besonders nützlich: - Port aktiv oder deaktiviert? - Access-Port oder Trunk-Port? - welches VLAN? - welche MAC-Adressen gelernt? - welche VLANs auf dem Trunk erlaubt? - STP-Status? - Port Security aktiv? - Fehlerzähler? - Broadcast- oder Multicast-Last? - Logs zu Port-Änderungen? Merksatz: Der Switch zeigt oft, wo Schicht-2-Probleme entstehen. Schicht-2-Prüfung bei einem Client Wenn ein Client Probleme hat, prüft man: 1. Link vorhanden? 2. richtiger Switch-Port? 3. Port aktiv? 4. richtiges VLAN? 5. MAC-Adresse gelernt? 6. Port Security aktiv? 7. DHCP aus richtigem Netz? 8. ARP zum Gateway vorhanden? 9. Gateway erreichbar? 10. Firewall oder Routing prüfen Merksatz: Beim Client erst Port und VLAN prüfen, dann IP und Gateway. Schicht-2-Prüfung bei einem Access Point Bei einem Access Point mit mehreren SSIDs prüft man: - Switch-Port als Trunk konfiguriert? - richtige VLANs erlaubt? - Native VLAN korrekt? - SSID-VLAN-Zuordnung korrekt? - Management-VLAN erreichbar? - DHCP pro VLAN vorhanden? - Firewall-Regeln passend? - Client landet im richtigen VLAN? Merksatz: Mehrere SSIDs bedeuten oft mehrere VLANs über einen Trunk. Schicht-2-Prüfung bei Switch-zu-Switch-Verbindung Bei einer Verbindung zwischen Switches prüft man: - Link aktiv? - Trunk oder Access korrekt? - gleiche VLANs vorhanden? - allowed VLANs korrekt? - Native VLAN korrekt? - STP-Status korrekt? - Link Aggregation korrekt? - MAC-Adressen werden über erwarteten Port gelernt? - keine Schleife vorhanden? Merksatz: Switch-zu-Switch-Verbindungen sind häufig Trunks und müssen sauber passen. Schicht-2-Prüfung bei Server oder Virtualisierung Bei Servern und Virtualisierung können mehrere MAC-Adressen über einen Port erscheinen. Mögliche Gründe: - virtuelle Maschinen - Container - Bridges - VLAN-Trunks - Bonding oder Teaming - Hypervisor-Netzwerke Wichtig: Port Security oder falsche VLAN-Konfiguration kann hier Probleme verursachen. Merksatz: Virtualisierung kann mehrere MAC-Adressen hinter einem Port erzeugen. Schicht-2-Fehler und höhere Symptome Schicht-2-Fehler können wie Schicht-3- oder Anwendungsprobleme aussehen. sichtbares Problem mögliche Schicht-2-Ursache keine IP-Adresse falsches VLAN, Trunk-Fehler falsche IP-Adresse falsches VLAN Gateway nicht erreichbar ARP/VLAN-Problem nur manche Server erreichbar VLAN- oder Firewall-Zuordnung WLAN-Gäste im internen Netz falsche SSID-VLAN-Zuordnung Netzwerk plötzlich langsam Broadcast-Sturm oder Schleife Verbindung instabil MAC Flapping oder Port Security Merksatz: Viele IP-Probleme beginnen mit falscher Schicht-2-Zuordnung. Schicht 2 oder Schicht 3? Eine einfache Unterscheidung: Frage eher Schicht Wird die MAC-Adresse gelernt? 2 Ist das richtige VLAN aktiv? 2 Ist der Port Access oder Trunk? 2 Funktioniert ARP zum Gateway? 2 / 3 Hat der Client eine passende IP-Adresse? 3 Ist das Gateway korrekt? 3 Gibt es eine Route zum Ziel? 3 Ist ein TCP-Port erreichbar? 4 Merksatz: MAC und VLAN = Schicht 2. IP und Routing = Schicht 3. Wichtige Befehle und Anzeigen Je nach System oder Hersteller unterscheiden sich die Befehle. Typische Informationen, die man sucht: MAC-Adresstabelle anzeigen VLAN-Zuordnung anzeigen Port-Konfiguration anzeigen Trunk-Status anzeigen STP-Status anzeigen ARP-Tabelle anzeigen Port-Security-Status anzeigen Logs anzeigen Wichtig: Nicht der konkrete Befehl ist immer prüfungsentscheidend, sondern welche Information du damit prüfen willst. Merksatz: Bei Fehlersuche zählt: Welche Information brauche ich? Beispiel: Falsches VLAN Fehlerbild: Ein PC bekommt eine IP-Adresse aus dem Gastnetz, obwohl er im Mitarbeiter-Netz sein soll. Wahrscheinliche Schicht-2-Ursache: Der Switch-Port ist im falschen VLAN. Prüfung: Port-Konfiguration prüfen. VLAN-Zuordnung prüfen. Dokumentation prüfen. DHCP-Bereich vergleichen. Lösung: Port dem richtigen VLAN zuordnen. Merksatz: IP-Bereich verrät oft, in welchem VLAN ein Client wirklich gelandet ist. Beispiel: Access Point Gast-WLAN funktioniert nicht Fehlerbild: Mitarbeiter-WLAN funktioniert. Gast-WLAN funktioniert nicht. Mögliche Ursache: VLAN für Gastnetz wird nicht über den Trunk transportiert. Prüfung: SSID-VLAN-Zuordnung prüfen. Switch-Port zum Access Point prüfen. Trunk-Konfiguration prüfen. Allowed VLANs prüfen. DHCP im Gast-VLAN prüfen. Firewall-Regeln prüfen. Merksatz: Wenn nur eine SSID nicht funktioniert, oft VLAN-Zuordnung oder Trunk prüfen. Beispiel: Netzwerk plötzlich extrem langsam Fehlerbild: Das ganze lokale Netz ist plötzlich sehr langsam. Mögliche Schicht-2-Ursachen: - Broadcast-Sturm - Layer-2-Schleife - MAC Flapping - defektes Gerät sendet massenhaft Frames - STP falsch konfiguriert - unmanaged Switch verursacht Schleife Prüfung: Switch-Auslastung prüfen. Port-Statistiken prüfen. MAC-Flapping-Meldungen prüfen. STP-Status prüfen. auffällige Ports isolieren. Merksatz: Plötzliche starke LAN-Probleme können Layer-2-Schleifen sein. Was Schicht-2-Fehlersuche nicht löst Nicht jedes Problem liegt auf Schicht 2. Wenn MAC, VLAN, ARP und Switching korrekt sind, prüft man weiter: - IP-Adresse - Subnetzmaske - Gateway - Routing - Firewall - DNS - TCP-/UDP-Port - Anwendung - Benutzerrechte Merksatz: Schicht 2 ist wichtig, aber nicht jede Störung ist ein VLAN- oder Switch-Problem. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Fehler gehören typischerweise zu Schicht 2? - Warum kann ein falsches VLAN wie ein IP-Problem aussehen? - Wie prüft man, ob ein Switch eine MAC-Adresse gelernt hat? - Was bedeutet MAC Flapping? - Was kann ein Broadcast-Sturm verursachen? - Warum ist ein Trunk-Port wichtig? - Was passiert, wenn ein VLAN auf einem Trunk nicht erlaubt ist? - Warum kann Port Security ein Gerät blockieren? - Was prüft man bei ARP-Problemen? - Warum sollte man bei Netzwerkfehlern erst Schicht 1 und dann Schicht 2 prüfen? Typische Prüfungsfallen Falsches VLAN kann DHCP-Probleme verursachen. Falsches VLAN kann wie falsche IP-Konfiguration wirken. Ein Access-Port transportiert normalerweise ein VLAN. Ein Trunk-Port transportiert mehrere VLANs. VLAN auf Trunk nicht erlaubt = VLAN funktioniert über diese Verbindung nicht. MAC-Adresse nicht gelernt kann auch Schicht 1 bedeuten. MAC Flapping kann auf Schleifen hinweisen. Broadcast-Sturm kann ein ganzes LAN stören. STP-Blocking ist nicht automatisch ein Fehler. Port Security kann legitime Geräte nach einem Wechsel blockieren. ARP-Probleme können VLAN-, IP- oder Sicherheitsursachen haben. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht-2-Fehler Fehler bei lokaler Frame-Weiterleitung MAC-Adresstabelle Zuordnung von MAC-Adresse zu Switch-Port MAC Flapping MAC-Adresse erscheint wechselnd an verschiedenen Ports VLAN-Fehler falsche logische Netzzuordnung Access-Port Port für ein VLAN Trunk-Port Port für mehrere VLANs Allowed VLANs VLANs, die über einen Trunk erlaubt sind Native VLAN untagged VLAN auf einem Trunk ARP-Problem IP-MAC-Auflösung funktioniert nicht korrekt Broadcast-Sturm übermäßige Broadcast-Last Layer-2-Schleife Kreis im Switch-Netz STP-Blocking Port wird zur Schleifenvermeidung blockiert Port Security Begrenzung erlaubter MAC-Adressen doppelte MAC-Adresse gleiche MAC-Adresse mehrfach im Netz Packet Capture Mitschnitt von Netzwerkverkehr Switch-Logs Ereignisprotokolle des Switches IHK-sichere Kurzformulierung Fehlersuche auf OSI-Schicht 2 bedeutet, die lokale Weiterleitung von Ethernet-Frames zu prüfen. Dabei betrachtet man MAC-Adressen, MAC-Adresstabellen, Switch-Ports, VLANs, Access- und Trunk-Ports, ARP, STP und Broadcast-Domänen. Typische Schicht-2-Fehler sind falsche VLAN-Zuordnungen, nicht erlaubte VLANs auf Trunks, MAC Flapping, Broadcast-Stürme, Layer-2-Schleifen, ARP-Probleme oder blockierte Ports durch Port Security oder STP. Viele dieser Fehler wirken wie IP- oder DHCP-Probleme, obwohl die Ursache auf der lokalen Sicherungsschicht liegt. Merksätze Schicht-2-Fehlersuche = MAC, VLAN, Switch und ARP prüfen. Erst Schicht 1, dann Schicht 2. MAC-Adresse gelernt? VLAN richtig? Port korrekt? Falsches VLAN kann wie ein IP-Problem aussehen. Keine IP-Adresse kann ein VLAN-Problem sein. Falsche IP-Adresse kann falsches VLAN bedeuten. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. VLAN auf Trunk nicht erlaubt = VLAN kommt nicht durch. Native VLAN muss passen. ARP zeigt, ob IP und MAC lokal zusammenfinden. MAC Flapping kann auf Schleifen hinweisen. Broadcast-Sturm kann ein LAN lahmlegen. STP blockiert Ports zur Schleifenvermeidung. STP-Blocking ist nicht automatisch falsch. Port Security kann Geräte blockieren. Viele DHCP-Probleme beginnen auf Schicht 2. MAC und VLAN = Schicht 2. IP und Routing = Schicht 3. Erst Link, dann MAC/VLAN, dann IP. 5.8 Merksätze und Prüfungswissen zu OSI-Schicht 2 Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 2 zusammen. OSI-Schicht 2 heißt: Sicherungsschicht Sie liegt zwischen: Schicht 1: Bitübertragungsschicht und Schicht 3: Vermittlungsschicht / Netzwerkschicht Die Hauptaufgabe von Schicht 2 ist: lokale Datenübertragung im Netzwerk mit Frames und MAC-Adressen. Merksatz: Schicht 2 = Frames, MAC-Adressen, Switches und VLANs. Grundidee von Schicht 2 Schicht 1 überträgt nur Bits als Signale. Schicht 2 organisiert diese Bits zu Frames. Ein Frame enthält Informationen für die lokale Übertragung. Wichtig sind vor allem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - Nutzdaten - Prüfinformation Merksatz: Schicht 2 macht aus Bits nutzbare lokale Datenrahmen. Schicht 1, 2 und 3 unterscheiden Schicht Name Datenform wichtige Begriffe 1 Bitübertragungsschicht Bits Signal, Kabel, Link, Hub 2 Sicherungsschicht Frame MAC, Switch, VLAN, ARP 3 Vermittlungsschicht Paket IP, Router, Subnetz, Routing Merksatz: Schicht 1 = Bits. Schicht 2 = Frames. Schicht 3 = Pakete. Frame Ein Frame ist die Datenübertragungseinheit auf Schicht 2. Bei Ethernet spricht man von: Ethernet-Frame Ein Ethernet-Frame enthält unter anderem: - Ziel-MAC-Adresse - Quell-MAC-Adresse - EtherType oder Länge - Nutzdaten - FCS Merksatz: Frame = Datenrahmen auf Schicht 2. Frame, Paket und Segment Diese Begriffe dürfen nicht verwechselt werden. Begriff Schicht Bedeutung Bit 1 einzelne Informationseinheit Frame 2 lokale Übertragung Paket 3 IP-Übertragung zwischen Netzen Segment 4 TCP-Datenübertragung Datagramm 4 UDP-Datenübertragung Prüfungsfalle: Ethernet arbeitet mit Frames. IP arbeitet mit Paketen. TCP arbeitet mit Segmenten. Merksatz: Frame ist nicht Paket. MAC-Adresse MAC steht für: Media Access Control Eine MAC-Adresse ist die lokale Hardwareadresse einer Netzwerkschnittstelle. Typische Netzwerkschnittstellen: - Ethernet-Port - WLAN-Adapter - virtuelle Netzwerkkarte - Server-Netzwerkkarte - USB-LAN-Adapter Merksatz: MAC-Adresse = lokale Adresse einer Netzwerkschnittstelle. Aufbau einer MAC-Adresse Eine klassische MAC-Adresse hat: 48 Bit Sie wird meist hexadezimal dargestellt. Beispiel: 00:1A:2B:3C:4D:5E Oder: 00-1A-2B-3C-4D-5E Merksatz: MAC-Adresse = 48 Bit, hexadezimal dargestellt. Quell-MAC und Ziel-MAC Ein Ethernet-Frame enthält normalerweise: Quell-MAC-Adresse Ziel-MAC-Adresse Die Quell-MAC-Adresse sagt: Von welchem Gerät kommt der Frame? Die Ziel-MAC-Adresse sagt: Zu welchem lokalen Gerät soll der Frame? Merksatz: Quell-MAC = woher. Ziel-MAC = wohin. MAC-Adresse und IP-Adresse unterscheiden Adresse Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 netzübergreifende Adressierung Wichtig: MAC-Adressen gelten nur lokal im jeweiligen Netzwerkabschnitt. IP-Adressen dienen der Kommunikation über Netzgrenzen hinweg. Merksatz: MAC = lokal. IP = netzübergreifend. MAC-Adresse auf dem Weg durch Router Wenn Daten über Router laufen, ändern sich die MAC-Adressen auf jedem Abschnitt. Beispiel: PC → Router → weiterer Router → Server Auf jedem lokalen Abschnitt gibt es neue Frames mit neuen MAC-Adressen. Die IP-Adressen bleiben grundsätzlich erhalten. Ausnahme: NAT oder PAT kann IP-Adressen verändern. Merksatz: MAC ändert sich pro Hop. IP bleibt grundsätzlich erhalten. Unicast, Broadcast und Multicast Art Bedeutung Beispiel Unicast einer an einen PC an Server Broadcast einer an alle ARP-Anfrage Multicast einer an eine Gruppe Streaming-Gruppe Die Broadcast-MAC-Adresse lautet: FF:FF:FF:FF:FF:FF Merksatz: Unicast = einer. Broadcast = alle. Multicast = Gruppe. FCS und CRC FCS steht für: Frame Check Sequence CRC steht für: Cyclic Redundancy Check Die FCS dient zur Fehlererkennung im Ethernet-Frame. Wenn ein Frame beschädigt ist, kann das erkannt werden. Wichtig: Ethernet korrigiert beschädigte Frames normalerweise nicht selbst. Fehlerhafte Frames werden verworfen. Merksatz: FCS/CRC erkennt beschädigte Frames. MTU MTU steht für: Maximum Transmission Unit Die MTU beschreibt die maximale Nutzdaten-Größe einer Verbindung. Bei Ethernet ist häufig relevant: 1500 Byte Nutzlast Wichtig: Zu große Pakete können Fragmentierung oder Verbindungsprobleme verursachen, wenn die Strecke sie nicht unterstützt. Merksatz: MTU = maximale Nutzdaten-Größe. Switch Ein Switch ist ein typisches Gerät auf Schicht 2. Er leitet Ethernet-Frames anhand von MAC-Adressen weiter. Ein Switch nutzt dazu eine Tabelle. Diese nennt man: MAC-Adresstabelle Oder: Switching-Tabelle Merksatz: Switch = Schicht-2-Gerät für Frame-Weiterleitung. Hub, Switch und Router unterscheiden Gerät typische Schicht Aufgabe Hub 1 verteilt Signale an alle Ports Switch 2 leitet Frames anhand von MAC-Adressen weiter Router 3 leitet IP-Pakete zwischen Netzen weiter Prüfungsfalle: Ein Switch ist kein Router. Ein Hub ist kein Switch. Merksatz: Hub = Signal. Switch = MAC. Router = IP. MAC-Adresstabelle Die MAC-Adresstabelle enthält Zuordnungen wie: MAC-Adresse Switch-Port AA:AA:AA:AA:AA:01 Port 1 BB:BB:BB:BB:BB:02 Port 2 CC:CC:CC:CC:CC:03 Port 3 Damit kann ein Switch Frames gezielt weiterleiten. Merksatz: MAC-Adresstabelle = MAC-Adresse zu Port. Wie lernt ein Switch MAC-Adressen? Ein Switch lernt MAC-Adressen über die Quell-MAC-Adresse eingehender Frames. Beispiel: Frame kommt an Port 4 an. Quell-MAC ist AA:BB:CC:11:22:33. Der Switch lernt: AA:BB:CC:11:22:33 ist über Port 4 erreichbar. Merksatz: Switch lernt über Quell-MAC. Weiterleitung durch den Switch Ein Switch prüft die Ziel-MAC-Adresse. Dann gibt es drei typische Fälle: Situation Verhalten Ziel-MAC bekannt gezielte Weiterleitung Ziel-MAC unbekannt Flooding Broadcast Weiterleitung an alle passenden Ports Merksatz: Ziel-MAC entscheidet über die Weiterleitung. Flooding Flooding bedeutet: Der Switch verteilt einen Frame an mehrere Ports, weil die Ziel-MAC-Adresse unbekannt ist. Flooding ist normales Switch-Verhalten bei unbekanntem Ziel. Nicht verwechseln mit Broadcast. Merksatz: Flooding = Ziel-MAC unbekannt. Broadcast Broadcast bedeutet: Der Frame ist ausdrücklich an alle Geräte im lokalen Netz adressiert. Broadcast-MAC: FF:FF:FF:FF:FF:FF Typische Beispiele: - ARP-Anfrage - DHCP-Anfrage Merksatz: Broadcast = Ziel ist alle. Broadcast und Flooding unterscheiden Begriff Grund Broadcast Zieladresse ist „alle“ Flooding Ziel-MAC ist unbekannt Beide können dazu führen, dass Frames an mehrere Ports gehen. Aber: Der Grund ist unterschiedlich. Merksatz: Broadcast ist eine Adresse. Flooding ist ein Switch-Verhalten. Broadcast-Domäne Eine Broadcast-Domäne ist ein Bereich, in dem Broadcasts verteilt werden. Ein VLAN bildet normalerweise eine eigene Broadcast-Domäne. Router trennen Broadcast-Domänen. Merksatz: Broadcast-Domäne = Bereich für Broadcasts. Kollisionsdomäne Eine Kollisionsdomäne ist ein Bereich, in dem Kollisionen auftreten können. Bei einem Hub: alle Ports in einer Kollisionsdomäne Bei einem Switch: normalerweise jeder Port eigene Kollisionsdomäne In modernen Vollduplex-Switch-Netzen spielen klassische Kollisionen praktisch keine Rolle mehr. Merksatz: Hub = eine Kollisionsdomäne. Switch = getrennte Kollisionsbereiche. VLAN VLAN steht für: Virtual Local Area Network Ein VLAN ist ein logisch getrenntes LAN auf Schicht 2. VLANs ermöglichen mehrere logische Netze auf derselben physischen Switch-Infrastruktur. Beispiel: VLAN Zweck 10 Mitarbeiter 20 Gäste 30 Server 40 VoIP 99 Management Merksatz: VLAN = logische Netztrennung auf Schicht 2. VLAN und Subnetz unterscheiden Begriff Schicht Aufgabe VLAN 2 logische Trennung im LAN IP-Subnetz 3 logischer IP-Adressbereich In der Praxis wird häufig pro VLAN ein eigenes IP-Subnetz verwendet. Beispiel: VLAN Subnetz VLAN 10 192.168.10.0/24 VLAN 20 192.168.20.0/24 Merksatz: VLAN ist nicht Subnetz. VLAN = Schicht 2. Subnetz = Schicht 3. Access-Port Ein Access-Port gehört normalerweise zu genau einem VLAN. Typischer Einsatz: - PC - Drucker - Kamera - einzelnes Endgerät Das Endgerät sendet meist untagged Frames. Der Switch ordnet diese Frames dem VLAN des Ports zu. Merksatz: Access-Port = ein VLAN für ein Endgerät. Trunk-Port Ein Trunk-Port kann mehrere VLANs über eine Verbindung transportieren. Typischer Einsatz: - Switch zu Switch - Switch zu Router - Switch zu Firewall - Switch zu Access Point mit mehreren SSIDs - Switch zu Virtualisierungshost Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. VLAN-Tagging VLAN-Tagging markiert Frames mit einer VLAN-ID. Der Standard dafür heißt: IEEE 802.1Q Tagged bedeutet: Frame enthält VLAN-Tag. Untagged bedeutet: Frame enthält keinen VLAN-Tag. Merksatz: 802.1Q = VLAN-Tagging. Native VLAN Das Native VLAN ist bei bestimmten Trunk-Konzepten das untagged VLAN auf einem Trunk. Wichtig: Das Native VLAN muss auf beiden Seiten korrekt zusammenpassen. Falsche Native-VLAN-Konfiguration kann zu Problemen und Sicherheitsrisiken führen. Merksatz: Native VLAN = untagged VLAN auf dem Trunk. Inter-VLAN-Routing Geräte in unterschiedlichen VLANs können nicht nur über Schicht 2 miteinander kommunizieren. Für Kommunikation zwischen VLANs braucht man Routing. Das nennt man: Inter-VLAN-Routing Dafür nutzt man zum Beispiel: - Router - Layer-3-Switch - Firewall Merksatz: VLAN zu VLAN braucht Routing. ARP ARP steht für: Address Resolution Protocol ARP wird in IPv4-Netzen verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu finden. ARP-Anfrage: Broadcast ARP-Antwort: meistens Unicast Merksatz: ARP findet MAC zu IP im lokalen Netz. ARP im gleichen Subnetz Wenn sich das Ziel im gleichen Subnetz befindet, sucht ARP die MAC-Adresse des Zielgeräts. Beispiel: PC A sucht MAC von PC B. Dann sendet PC A eine ARP-Anfrage ins lokale Netz. Merksatz: Gleiches Subnetz: ARP sucht Ziel-MAC. ARP bei anderem Subnetz Wenn das Ziel in einem anderen Netz liegt, sucht ARP nicht die MAC-Adresse des entfernten Servers. Stattdessen sucht ARP die MAC-Adresse des Standard-Gateways. Beispiel: Ziel-IP ist im Internet. Ziel-MAC im lokalen Frame ist das Gateway. Merksatz: Anderes Netz: ARP sucht Gateway-MAC. ARP, DNS und DHCP unterscheiden Protokoll Aufgabe ARP IP-Adresse zu MAC-Adresse DNS Name zu IP-Adresse DHCP IP-Konfiguration automatisch vergeben Prüfungsfalle: ARP ist keine Namensauflösung. DNS ist keine MAC-Auflösung. Merksatz: ARP = MAC zu IP. DNS = IP zu Name. DHCP = IP vergeben. IPv4 und IPv6 ARP wird bei IPv4 verwendet. IPv6 nutzt nicht ARP. IPv6 verwendet stattdessen: NDP NDP steht für: Neighbor Discovery Protocol Merksatz: IPv4 nutzt ARP. IPv6 nutzt NDP. STP STP steht für: Spanning Tree Protocol STP verhindert Schleifen in Layer-2-Netzen. Warum ist das wichtig? Ethernet-Frames haben keine TTL wie IP-Pakete. Frames können bei einer Schleife immer weiterlaufen. Broadcasts können sich stark vervielfachen. Merksatz: STP schützt vor Layer-2-Schleifen. Root Bridge Die Root Bridge ist der zentrale Bezugspunkt im STP-Netz. Switches berechnen ihre besten Wege zur Root Bridge. Die Root Bridge wird über die Bridge-ID bestimmt. Merksatz: Root Bridge = zentraler STP-Bezugspunkt. BPDU BPDU steht für: Bridge Protocol Data Unit BPDUs sind STP-Nachrichten zwischen Switches. Damit tauschen Switches Informationen über die STP-Topologie aus. Merksatz: BPDU = STP-Nachricht. STP-Portrollen Rolle Bedeutung Root Port bester Weg zur Root Bridge Designated Port aktiver Port für ein Segment Blocked Port blockierter Port zur Schleifenvermeidung Merksatz: Root und Designated leiten weiter. Blocked verhindert Schleifen. RSTP und MSTP Protokoll Bedeutung STP verhindert Schleifen RSTP schnellere Weiterentwicklung von STP MSTP mehrere Spanning-Tree-Instanzen Merksatz: STP verhindert Schleifen. RSTP ist schneller. MSTP ist flexibler für VLAN-Umgebungen. Layer-2-Schleife Eine Layer-2-Schleife entsteht, wenn Frames in einem Switch-Netz im Kreis laufen können. Typische Ursachen: - falsch gesteckte Kabel - redundante Verbindungen ohne STP - unmanaged Switches - falsch konfigurierte Link Aggregation - STP deaktiviert Mögliche Folgen: - Broadcast-Sturm - MAC Flapping - hohe Switch-Last - Netzwerkausfall Merksatz: Layer-2-Schleifen können ein LAN lahmlegen. Broadcast-Sturm Ein Broadcast-Sturm entsteht, wenn sehr viele Broadcasts das Netzwerk belasten. Eine Layer-2-Schleife kann Broadcasts stark vervielfachen. Typische Symptome: - Netzwerk plötzlich extrem langsam - Switch-LEDs blinken stark - viele Broadcasts im Mitschnitt - Geräte verlieren Verbindung - MAC-Adressen wechseln Ports Merksatz: Broadcast-Sturm = zu viele Broadcasts im LAN. MAC Flapping MAC Flapping bedeutet: dieselbe MAC-Adresse wird ständig an unterschiedlichen Switch-Ports gelernt. Mögliche Ursachen: - Layer-2-Schleife - falsche Link Aggregation - falsche Verkabelung - virtuelle Umgebung - doppelte MAC-Adresse Merksatz: MAC Flapping ist ein Warnsignal. Port Security Port Security ist eine Switch-Sicherheitsfunktion. Damit kann man festlegen: welche MAC-Adressen oder wie viele MAC-Adressen an einem Port erlaubt sind. Mögliche Reaktionen bei Verstoß: - Frames verwerfen - Port sperren - Warnung erzeugen - Ereignis protokollieren Merksatz: Port Security begrenzt MAC-Adressen pro Port. ARP-Spoofing und ARP-Poisoning ARP-Spoofing bedeutet: Ein Angreifer sendet falsche ARP-Informationen. ARP-Poisoning bedeutet: ARP-Caches werden mit falschen Zuordnungen manipuliert. Mögliche Folge: Datenverkehr wird zum Angreifer umgeleitet. Schutzmaßnahmen: - VLAN-Trennung - 802.1X - Port Security - DHCP Snooping - Dynamic ARP Inspection - Monitoring Merksatz: ARP-Spoofing manipuliert IP-MAC-Zuordnungen. DHCP Snooping DHCP Snooping ist eine Switch-Sicherheitsfunktion. Ziele: - unerlaubte DHCP-Server verhindern - IP-MAC-Zuordnungen erfassen - Dynamic ARP Inspection unterstützen Merksatz: DHCP Snooping schützt vor falschen DHCP-Servern. Dynamic ARP Inspection Dynamic ARP Inspection prüft ARP-Nachrichten auf dem Switch. Ziel: gefälschte ARP-Informationen erkennen und blockieren. Häufig arbeitet diese Funktion mit DHCP Snooping zusammen. Merksatz: Dynamic ARP Inspection schützt vor ARP-Manipulation. BPDU Guard BPDU Guard schützt Access-Ports vor unerwarteten STP-Nachrichten. Wenn an einem Endgeräte-Port plötzlich BPDUs auftauchen, könnte dort ein unerlaubter Switch angeschlossen sein. Mögliche Reaktion: Port wird deaktiviert. Merksatz: BPDU Guard schützt Access-Ports. Root Guard Root Guard verhindert, dass ein unerwünschter Switch Root Bridge wird. Dadurch bleibt die geplante STP-Struktur erhalten. Merksatz: Root Guard schützt die geplante Root Bridge. Storm Control Storm Control begrenzt übermäßigen Broadcast-, Multicast- oder unbekannten Unicast-Verkehr. Ziel: Schutz vor Überlastung durch zu viel Layer-2-Verkehr. Merksatz: Storm Control begrenzt Broadcast-Stürme. Schicht-2-Fehlersuche Typische Prüfpunkte: - MAC-Adresse gelernt? - richtiger Switch-Port? - richtiges VLAN? - Access oder Trunk? - VLAN auf Trunk erlaubt? - Native VLAN korrekt? - ARP zum Gateway vorhanden? - STP blockiert Port? - MAC Flapping sichtbar? - Broadcast-Sturm vorhanden? - Port Security aktiv? Merksatz: Schicht-2-Fehlersuche = MAC, VLAN, ARP, STP und Switch-Port prüfen. Typische Schicht-2-Fehler Fehlerbild mögliche Ursache keine IP-Adresse falsches VLAN, Trunk-Fehler falsche IP-Adresse falsches VLAN Gateway nicht per ARP erreichbar VLAN- oder ARP-Problem Netzwerk plötzlich langsam Broadcast-Sturm oder Schleife MAC wechselt ständig Port MAC Flapping einzelne SSID funktioniert nicht falsche SSID-VLAN-Zuordnung Gerät nach Tausch blockiert Port Security VLAN kommt nicht durch Trunk erlaubt VLAN nicht Merksatz: Viele IP-Probleme beginnen auf Schicht 2. Was Schicht 2 nicht macht Schicht 2 macht nicht: - Routing zwischen IP-Netzen - NAT oder PAT - TCP-Verbindungen aufbauen - UDP-Ports auswerten - DNS-Namen auflösen - Webseiten bereitstellen - Benutzer authentifizieren - Internetzugang allein herstellen Diese Aufgaben liegen auf höheren Schichten. Merksatz: Schicht 2 leitet lokal weiter, routet aber nicht zwischen IP-Netzen. Prüfungswissen: wichtigste Zuordnungen Begriff richtige Einordnung Ethernet-Frame Schicht 2 MAC-Adresse Schicht 2 Switch Schicht 2 VLAN Schicht 2 Access-Port Schicht 2 Trunk-Port Schicht 2 ARP Schicht 2 / 3-Bezug STP Schicht 2 Broadcast-Domäne Schicht 2 IP-Adresse Schicht 3 Router Schicht 3 TCP-Port Schicht 4 DNS Schicht 7 Merksatz: Frame, MAC, Switch, VLAN = Schicht 2. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Sicherungsschicht? - Was ist ein Ethernet-Frame? - Was ist eine MAC-Adresse? - Wie lernt ein Switch MAC-Adressen? - Was passiert bei unbekannter Ziel-MAC? - Was ist Flooding? - Was ist ein Broadcast? - Was ist eine Broadcast-Domäne? - Was ist ein VLAN? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet IEEE 802.1Q? - Was macht ARP? - Warum wird eine ARP-Anfrage als Broadcast gesendet? - Was ist STP? - Warum sind Layer-2-Schleifen gefährlich? - Was bedeutet MAC Flapping? - Wie grenzt man Schicht-2-Fehler ein? Typische Prüfungsfallen Schicht 2 arbeitet mit Frames. IP-Pakete gehören zu Schicht 3. MAC-Adressen gehören zu Schicht 2. IP-Adressen gehören zu Schicht 3. Switches lernen über Quell-MAC-Adressen. Die Ziel-MAC entscheidet über die Weiterleitung. Unbekannte Ziel-MAC führt zu Flooding. Broadcast und Flooding sind nicht dasselbe. Ein VLAN ist kein IP-Subnetz. VLAN gehört zu Schicht 2. Subnetz gehört zu Schicht 3. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. IEEE 802.1Q = VLAN-Tagging. ARP ist nicht DNS. ARP ist nicht DHCP. IPv4 nutzt ARP. IPv6 nutzt NDP. STP verhindert Layer-2-Schleifen. Ethernet-Frames haben keine TTL. Falsches VLAN kann wie ein IP-Problem aussehen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Sicherungsschicht OSI-Schicht 2 Frame Datenrahmen auf Schicht 2 Ethernet-Frame Frame im Ethernet-LAN MAC-Adresse lokale Hardwareadresse Quell-MAC Absenderadresse im Frame Ziel-MAC Empfängeradresse im Frame Switch Schicht-2-Gerät MAC-Adresstabelle Zuordnung MAC-Adresse zu Port Learning Lernen über Quell-MAC Forwarding gezielte Weiterleitung Flooding Weiterleitung bei unbekannter Ziel-MAC Broadcast Nachricht an alle Broadcast-Domäne Bereich, in dem Broadcasts verteilt werden Kollisionsdomäne Bereich möglicher Kollisionen VLAN logisches LAN auf Schicht 2 Access-Port Port für ein VLAN Trunk-Port Port für mehrere VLANs 802.1Q VLAN-Tagging ARP IP-Adresse zu MAC-Adresse STP Schleifenvermeidung auf Schicht 2 BPDU STP-Nachricht Broadcast-Sturm sehr viele Broadcasts im LAN MAC Flapping MAC-Adresse wechselt ständig Ports Port Security Begrenzung erlaubter MAC-Adressen DHCP Snooping Schutz vor unerlaubten DHCP-Servern Dynamic ARP Inspection Schutz vor ARP-Manipulation IHK-sichere Gesamtformulierung Die Sicherungsschicht ist Schicht 2 des OSI-Modells. Sie ist für die lokale Datenübertragung in Form von Frames zuständig. Im Ethernet-LAN werden MAC-Adressen verwendet, um Frames lokal zuzustellen. Switches arbeiten typischerweise auf Schicht 2, lernen MAC-Adressen über die Quell-MAC-Adresse eingehender Frames und leiten Frames anhand der Ziel-MAC-Adresse weiter. VLANs ermöglichen eine logische Trennung von Broadcast-Domänen auf Schicht 2. ARP wird in IPv4-Netzen verwendet, um zu einer IP-Adresse die passende MAC-Adresse im lokalen Netz zu ermitteln. STP verhindert Layer-2-Schleifen, die sonst Broadcast-Stürme und Netzwerkausfälle verursachen können. Wichtigste Merksätze Schicht 2 = Sicherungsschicht. Schicht 2 arbeitet mit Frames. Ethernet-Frame = lokaler Datenrahmen. MAC-Adresse = lokale Hardwareadresse. MAC = Schicht 2. IP = Schicht 3. MAC gilt lokal. IP gilt netzübergreifend. Switch = Schicht 2. Router = Schicht 3. Hub = Schicht 1. Switch lernt über Quell-MAC. Ziel-MAC entscheidet über Weiterleitung. Bekannte Ziel-MAC = gezielte Weiterleitung. Unbekannte Ziel-MAC = Flooding. Broadcast = an alle. Broadcast-MAC = FF:FF:FF:FF:FF:FF. Broadcast und Flooding sind nicht dasselbe. VLAN = logische Trennung auf Schicht 2. VLAN ist nicht Subnetz. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. 802.1Q = VLAN-Tagging. VLAN zu VLAN braucht Routing. ARP findet MAC zu IP. ARP-Anfrage = Broadcast. ARP-Antwort = meistens Unicast. IPv4 nutzt ARP. IPv6 nutzt NDP. STP verhindert Layer-2-Schleifen. Ethernet-Frames haben keine TTL. Broadcast-Sturm kann ein LAN lahmlegen. MAC Flapping kann auf eine Schleife hinweisen. Falsches VLAN kann wie ein IP-Problem aussehen. Erst Link, dann MAC/VLAN, dann IP. 6. OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht ICMP (Internet Control Message Protocol) ICMP einfach erklärt ICMP steht für Internet Control Message Protocol . ICMP ist ein Kontroll- und Fehlerprotokoll der Internetprotokollfamilie. Es wird nicht wie TCP oder UDP verwendet, um normale Nutzdaten zwischen Anwendungen zu übertragen, sondern um Statusinformationen, Fehlermeldungen und Diagnoseinformationen im IP-Netzwerk zu senden. Kurz gesagt: TCP = zuverlässige Datenübertragung zwischen Anwendungen UDP = schnelle, verbindungslose Datenübertragung zwischen Anwendungen ICMP = Kontroll- und Fehlermeldungen im IP-Netzwerk Wofür wird ICMP verwendet? ICMP wird verwendet, um Netzwerkprobleme zu melden oder die Erreichbarkeit von Geräten zu prüfen. Typische Einsatzbereiche: - Erreichbarkeit eines Hosts prüfen - Netzwerkfehler melden - Routing-Probleme anzeigen - Zeitüberschreitungen melden - Paketgrößenprobleme melden - Diagnosewerkzeuge wie ping und traceroute ermöglichen ICMP ist also eher ein Hilfsprotokoll für IP-Netzwerke. ICMP ist kein normales Transportprotokoll wie TCP oder UDP TCP und UDP transportieren Daten zwischen Anwendungen. Beispiele: - HTTPS - SSH - DNS - VoIP - Streaming - Online-Gaming ICMP macht das normalerweise nicht. ICMP wird eher verwendet, damit Geräte im Netzwerk melden können: - Ziel nicht erreichbar. - Paket konnte nicht zugestellt werden. - Zeit wurde überschritten. - Paket ist zu groß. - Host antwortet auf Ping. Merksatz: TCP und UDP übertragen Anwendungsdaten. ICMP meldet Netzwerkzustände und Fehler. Beispiel: Ping mit ICMP Das bekannteste Beispiel für ICMP ist ping . Mit ping prüft man, ob ein Gerät im Netzwerk erreichbar ist. Beim klassischen ping wird ICMP verwendet. Bei IPv4: ICMP Echo Request ICMP Echo Reply Bei IPv6: ICMPv6 Echo Request ICMPv6 Echo Reply Ablauf vereinfacht: Dein PC Zielhost ICMP Echo Request ---------> ICMP Echo Reply <--------- Das bedeutet: Echo Request = Bist du erreichbar? Echo Reply = Ja, ich bin erreichbar. Wenn eine Antwort zurückkommt, weiß man: Der Zielhost ist grundsätzlich erreichbar. Wenn keine Antwort zurückkommt, kann das verschiedene Gründe haben: - Zielhost ist ausgeschaltet - Netzwerkweg ist unterbrochen - Firewall blockiert ICMP - Zielhost antwortet nicht auf Ping - Routing-Problem liegt vor Wichtig: Wenn ping nicht funktioniert, heißt das nicht automatisch, dass der Host komplett offline ist. Ein Gerät kann erreichbar sein, aber ICMP blockieren. Nutzt Ping immer ICMP? Das klassische Betriebssystem-Tool ping nutzt normalerweise ICMP. Also zum Beispiel: Windows ping Linux ping macOS ping Diese klassischen ping-Befehle senden ICMP Echo Requests und erwarten ICMP Echo Replies. Prüfungssicher gesagt: Klassisches ping = ICMP Echo Request und ICMP Echo Reply Aber: Der Begriff "Ping" wird im Alltag nicht immer ausschließlich für ICMP verwendet. Manchmal sagen Menschen auch "Ping", wenn sie allgemein eine Erreichbarkeit oder Antwortzeit testen. Beispiele: - TCP-Ping - UDP-Ping - HTTP-Ping - Game-Ping Das ist dann oft kein echtes ICMP-Ping, sondern ein anderer Latenz- oder Erreichbarkeitstest. Beispiele: TCP-Ping prüft, ob ein bestimmter TCP-Port erreichbar ist. HTTP-Ping prüft, ob ein Webserver antwortet. Game-Ping zeigt oft die Antwortzeit zum Spielserver. UDP-Ping kann mit eigenen UDP-Anfragen und Antworten arbeiten. Wichtige Unterscheidung: Klassisches ping-Tool = ICMP Umgangssprachlicher Ping = manchmal auch anderer Verbindungstest Ist ICMP nur für Ping da? Nein. ICMP wird nicht nur für Ping verwendet. Ping ist nur eine bekannte Anwendung von ICMP. ICMP kann auch viele andere Kontroll- und Fehlermeldungen übertragen. Beispiele: - Destination Unreachable - Time Exceeded - Fragmentation Needed - Redirect Also: Ping nutzt ICMP. Aber ICMP ist nicht nur Ping. Merksatz: Klassisches ping nutzt ICMP. ICMP wird aber nicht ausschließlich für ping verwendet. ICMP arbeitet nicht mit Ports Ein wichtiger Unterschied zu TCP und UDP ist: TCP und UDP verwenden Ports. ICMP verwendet keine Ports. Beispiele für TCP und UDP: TCP 443 = HTTPS TCP 22 = SSH UDP 53 = DNS UDP 123 = NTP ICMP hat keine Portnummern. Stattdessen arbeitet ICMP mit Typen und Codes . Merksatz: TCP/UDP = Ports ICMP = Typen und Codes ICMP-Typen und Codes ICMP verwendet Typen und Codes, um verschiedene Meldungen zu unterscheiden. ICMP-Meldung Bedeutung Echo Request Anfrage bei ping Echo Reply Antwort auf ping Destination Unreachable Ziel nicht erreichbar Time Exceeded Zeit überschritten Redirect Hinweis auf besseren Weg Fragmentation Needed Paket ist zu groß und müsste fragmentiert werden Die genaue Bedeutung wird über ICMP-Typ und ICMP-Code festgelegt. Beispiel: Echo Request = Ping-Anfrage Echo Reply = Ping-Antwort Merksatz: TCP/UDP nutzen Ports. ICMP nutzt Typen und Codes. Beispiel: Destination Unreachable Eine typische ICMP-Fehlermeldung ist: Destination Unreachable Auf Deutsch: Ziel nicht erreichbar Das kann passieren, wenn ein Paket nicht zugestellt werden kann. Mögliche Gründe: - Zielnetz ist nicht erreichbar - Zielhost ist nicht erreichbar - Port oder Dienst ist nicht erreichbar - Firewall blockiert den Verkehr - Routing fehlt oder ist falsch Vereinfacht gesagt meldet ein Router oder Zielsystem: Ich kann dieses Paket nicht zustellen. Beispiel: Time Exceeded Eine weitere wichtige ICMP-Meldung ist: Time Exceeded Auf Deutsch: Zeit überschritten Das hängt mit dem TTL-Wert zusammen. TTL steht für: Time To Live Jedes IP-Paket hat einen TTL-Wert. Dieser Wert wird bei jedem Router um 1 verringert. Wenn der TTL-Wert bei 0 angekommen ist, wird das Paket verworfen. Dann kann eine ICMP-Meldung zurückgesendet werden: Time Exceeded Das bedeutet: Das Paket hat sein Ziel nicht rechtzeitig erreicht. Es wurde unterwegs verworfen. Diese Funktion wird zum Beispiel bei traceroute genutzt. ICMP und traceroute Traceroute zeigt, über welche Router ein Paket zum Ziel läuft. Dafür nutzt traceroute unter anderem ICMP-Time-Exceeded-Meldungen. Vereinfacht: 1. Das erste Paket bekommt TTL 1. 2. Der erste Router verringert TTL auf 0. 3. Der Router verwirft das Paket. 4. Der Router sendet ICMP Time Exceeded zurück. 5. Dadurch erkennt traceroute den ersten Router. 6. Danach wird TTL erhöht. 7. So werden die nächsten Router sichtbar. Dadurch kann man den Weg durch das Netzwerk nachvollziehen. Merksatz: Ping prüft, ob ein Ziel antwortet. Traceroute zeigt den Weg zum Ziel. ICMP und Paketgröße ICMP kann auch melden, dass ein Paket zu groß ist. Das ist wichtig für die sogenannte Path MTU Discovery. MTU steht für: Maximum Transmission Unit Die MTU beschreibt, wie groß ein Paket auf einem Netzwerkabschnitt maximal sein darf. Wenn ein Paket zu groß ist und nicht fragmentiert werden darf, kann eine ICMP-Meldung zurückkommen: Fragmentation Needed Das bedeutet: Das Paket ist für diesen Netzwerkweg zu groß. Der Absender soll kleinere Pakete senden. Wichtig: Wenn solche ICMP-Meldungen blockiert werden, kann es zu Verbindungsproblemen kommen. Zum Beispiel können Webseiten teilweise laden oder VPN-Verbindungen Probleme machen. ICMP im Vergleich zu TCP und UDP Merkmal TCP UDP ICMP Voller Name Transmission Control Protocol User Datagram Protocol Internet Control Message Protocol Hauptaufgabe zuverlässige Datenübertragung schnelle Datagramm-Übertragung Kontroll- und Fehlermeldungen Verbindungsaufbau Ja, 3-Wege-Handshake Nein Nein Ports Ja Ja Nein Arbeitet mit Ports, Sequenznummern, ACKs Ports, Datagrammen Typen und Codes Zustellgarantie Ja, eingebaut Nein Nein Reihenfolgekontrolle Ja Nein Nein Typische Nutzung HTTPS, SSH, E-Mail DNS, VoIP, Streaming ping, traceroute, Fehlermeldungen Nutzdaten von Anwendungen Ja Ja Normalerweise nein TCP, UDP und ICMP einfach unterschieden TCP: TCP baut zuerst eine Verbindung auf. TCP überträgt Daten zuverlässig. TCP bestätigt empfangene Daten. TCP sendet verlorene Daten erneut. TCP nutzt Ports. UDP: UDP baut keine Verbindung auf. UDP sendet Daten direkt los. UDP hat weniger Verwaltungsaufwand. UDP garantiert keine Zustellung. UDP nutzt Ports. ICMP: ICMP überträgt normalerweise keine Anwendungsdaten. ICMP meldet Fehler und Zustände im Netzwerk. ICMP wird für Diagnose genutzt. ICMP nutzt keine Ports. ICMP arbeitet mit Typen und Codes. ICMP und Firewall Firewalls können ICMP erlauben oder blockieren. Beispiele: - Ping erlauben - Ping blockieren - bestimmte ICMP-Fehlermeldungen erlauben - bestimmte ICMP-Typen blockieren Wichtig: ICMP komplett zu blockieren ist nicht immer sinnvoll. Warum? Bestimmte ICMP-Meldungen sind wichtig für die korrekte Funktion von Netzwerken. Beispiele: - Destination Unreachable - Time Exceeded - Fragmentation Needed Wenn diese Meldungen blockiert werden, kann die Fehlersuche schwieriger werden oder bestimmte Verbindungen können Probleme machen. Prüfungssicherer Gedanke: ICMP sollte nicht blind komplett blockiert werden. Besser ist es, gezielt festzulegen, welche ICMP-Typen erlaubt oder blockiert werden. Ist ICMP gefährlich? ICMP ist nicht automatisch gefährlich. Es kann aber für Angriffe oder Informationsgewinnung missbraucht werden. Beispiele: - Ping-Scans zur Erkennung erreichbarer Hosts - ICMP-Flooding als DoS-Angriff - Netzwerkaufklärung durch traceroute Deshalb wird ICMP in vielen Netzwerken eingeschränkt. Aber: ICMP hat auch wichtige Diagnose- und Fehlerfunktionen. Deshalb ist die beste Lösung meistens nicht: Alles blockieren. Sondern besser: Nur benötigte ICMP-Typen erlauben. Unnötige oder gefährliche ICMP-Nutzung einschränken. Wichtige ICMP-Begriffe Begriff Bedeutung ICMP Internet Control Message Protocol ICMPv6 ICMP für IPv6 Echo Request Ping-Anfrage Echo Reply Ping-Antwort Destination Unreachable Ziel nicht erreichbar Time Exceeded Zeit überschritten TTL Time To Live MTU Maximum Transmission Unit Typ Art der ICMP-Meldung Code genauere Beschreibung der ICMP-Meldung Beispielhafte Einordnung im Netzwerk Normale Datenübertragung mit TCP: Client → TCP-Verbindung → Server Beispiel: HTTPS-Webseite über TCP-Port 443 Normale Datenübertragung mit UDP: Client → UDP-Datagramm → Server Beispiel: DNS-Anfrage über UDP-Port 53 Kontrollmeldung mit ICMP: Router oder Zielhost → ICMP-Meldung → Absender Beispiel: Ziel nicht erreichbar oder Zeit überschritten IHK-sichere Kurzformulierung ICMP ist ein Kontrollprotokoll der Internetprotokollfamilie. Es dient nicht der normalen Datenübertragung zwischen Anwendungen, sondern wird für Fehler- und Statusmeldungen im IP-Netzwerk verwendet. Typische Beispiele sind das klassische ping mit ICMP Echo Request und ICMP Echo Reply sowie Fehlermeldungen wie Destination Unreachable oder Time Exceeded. Im Gegensatz zu TCP und UDP verwendet ICMP keine Ports, sondern Typen und Codes. Wichtig ist: Klassisches ping nutzt ICMP, aber ICMP wird nicht ausschließlich für ping verwendet. Außerdem wird der Begriff "Ping" umgangssprachlich manchmal auch für andere Latenz- oder Erreichbarkeitstests genutzt, zum Beispiel TCP-Ping, HTTP-Ping oder Game-Ping. Merksätze TCP transportiert zuverlässig. UDP transportiert schnell und einfach. ICMP meldet, prüft und diagnostiziert. TCP und UDP verwenden Ports. ICMP verwendet keine Ports. TCP = Verbindung und Zuverlässigkeit UDP = keine Verbindung und wenig Verwaltungsaufwand ICMP = Kontroll- und Fehlermeldungen Klassisches ping nutzt ICMP Echo Request und ICMP Echo Reply. ICMP ist aber nicht nur für ping da. Der Begriff "Ping" wird umgangssprachlich manchmal auch für andere Antwortzeit-Tests verwendet. Traceroute nutzt unter anderem ICMP Time Exceeded. Wenn ping nicht funktioniert, heißt das nicht automatisch, dass der Zielhost komplett offline ist. ICMP sollte nicht pauschal komplett blockiert werden, weil einige ICMP-Meldungen für Diagnose und Netzwerkfunktion wichtig sind. 6.1 OSI-Schicht 3 – Vermittlungsschicht / Netzwerkschicht Die Vermittlungsschicht ist Schicht 3 des OSI-Modells. Sie wird auch genannt: Netzwerkschicht Die wichtigste Aufgabe von Schicht 3 ist: Daten zwischen verschiedenen Netzwerken weiterleiten. Dabei geht es vor allem um: - IP-Adressen - IP-Pakete - Subnetze - Routing - Router - Standard-Gateway - Netzmaske - IPv4 - IPv6 - ICMP Merksatz: Schicht 3 = IP-Adressen, Pakete und Routing. Grundidee von Schicht 3 Schicht 2 ist für die lokale Übertragung im LAN zuständig. Schicht 3 geht darüber hinaus. Schicht 3 ermöglicht Kommunikation zwischen unterschiedlichen Netzwerken. Beispiel: PC im LAN → Router → Internet → Webserver Dabei wird nicht mehr nur lokal mit MAC-Adressen gearbeitet, sondern mit IP-Adressen. Merksatz: Schicht 2 verbindet lokal. Schicht 3 verbindet Netze. Einordnung im OSI-Modell OSI-Schicht Name Aufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Darstellung, Codierung, Verschlüsselung 5 Sitzungsschicht Sitzungen verwalten 4 Transportschicht Transport zwischen Anwendungen 3 Vermittlungsschicht / Netzwerkschicht IP-Adressierung und Routing 2 Sicherungsschicht Frames, MAC-Adressen, lokale Übertragung 1 Bitübertragungsschicht Bits als Signale übertragen Merksatz: Schicht 3 liegt zwischen lokaler Übertragung und Transport. Warum braucht man Schicht 3? Ein lokales Netzwerk allein reicht nicht aus, wenn Geräte in unterschiedlichen Netzen kommunizieren sollen. Beispiel: PC A: 192.168.10.20 Server B: 192.168.30.50 Diese Geräte liegen in unterschiedlichen IP-Netzen. Damit sie kommunizieren können, braucht man Routing. Routing gehört zu Schicht 3. Merksatz: Unterschiedliche IP-Netze brauchen Schicht-3-Vermittlung. Begriff: IP-Adresse Eine IP-Adresse ist eine logische Adresse auf Schicht 3. Sie dient dazu, Geräte in IP-Netzen erreichbar zu machen. Beispiele: IPv4: 192.168.10.20 IPv6: 2001:db8::10 IP-Adressen werden für die netzübergreifende Kommunikation verwendet. Merksatz: IP-Adresse = logische Adresse auf Schicht 3. MAC-Adresse und IP-Adresse unterscheiden Adresse Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 logische Adressierung zwischen Netzen Wichtig: MAC-Adressen gelten nur lokal auf einem Netzwerkabschnitt. IP-Adressen dienen der Zustellung über Netzgrenzen hinweg. Merksatz: MAC = lokal. IP = netzübergreifend. Begriff: IP-Paket Ein IP-Paket ist die Datenübertragungseinheit auf Schicht 3. Ein IP-Paket enthält unter anderem: - Quell-IP-Adresse - Ziel-IP-Adresse - Nutzdaten - Steuerinformationen Vereinfacht: Ein IP-Paket ist der Datenbehälter für die Zustellung zwischen IP-Netzen. Merksatz: IP-Paket = Datenform auf Schicht 3. Frame, Paket und Segment unterscheiden Begriff Schicht Bedeutung Frame 2 lokale Übertragung mit MAC-Adressen Paket 3 IP-Übertragung zwischen Netzen Segment 4 TCP-Datenübertragung Datagramm 4 UDP-Datenübertragung Prüfungsfalle: Ethernet arbeitet mit Frames. IP arbeitet mit Paketen. TCP arbeitet mit Segmenten. Merksatz: Schicht 2 = Frame. Schicht 3 = Paket. Schicht 4 = Segment oder Datagramm. Quell-IP und Ziel-IP Ein IP-Paket enthält normalerweise: - Quell-IP-Adresse - Ziel-IP-Adresse Die Quell-IP-Adresse gibt an: Von welchem Gerät stammt das Paket? Die Ziel-IP-Adresse gibt an: Zu welchem Gerät soll das Paket? Beispiel: PC sendet an Webserver. Quell-IP: IP-Adresse des PCs Ziel-IP: IP-Adresse des Webservers Merksatz: Quell-IP = woher. Ziel-IP = wohin. IP-Adresse bleibt über Router hinweg erhalten Wenn ein IP-Paket über mehrere Router läuft, bleibt die Ziel-IP-Adresse grundsätzlich gleich. Beispiel: PC → Router 1 → Router 2 → Server Die Ethernet-Frames ändern sich auf jedem Abschnitt. Die IP-Adressen im IP-Paket bleiben grundsätzlich erhalten. Ausnahme: NAT oder PAT kann IP-Adressen verändern. Merksatz: MAC ändert sich pro Abschnitt. IP bleibt grundsätzlich Ende-zu-Ende erhalten. Router Ein Router ist ein typisches Gerät auf Schicht 3. Aufgabe: IP-Pakete zwischen unterschiedlichen Netzwerken weiterleiten. Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet werden soll. Dafür nutzt er eine Routing-Tabelle. Merksatz: Router = Schicht-3-Gerät für IP-Weiterleitung. Switch und Router unterscheiden Gerät typische Schicht Arbeitsweise Switch 2 leitet Frames anhand von MAC-Adressen weiter Router 3 leitet IP-Pakete anhand von IP-Adressen weiter Wichtig: Ein Switch verbindet Geräte im lokalen Netz. Ein Router verbindet verschiedene IP-Netze. Merksatz: Switch = MAC. Router = IP. Standard-Gateway Das Standard-Gateway ist der Router, den ein Gerät verwendet, wenn das Ziel nicht im eigenen IP-Netz liegt. Beispiel: PC: 192.168.10.20/24 Gateway: 192.168.10.1 Wenn der PC ein Ziel außerhalb von 192.168.10.0/24 erreichen möchte, sendet er das Paket an das Standard-Gateway. Merksatz: Standard-Gateway = Ausgang in andere Netze. Wann braucht ein Gerät das Gateway? Ein Gerät braucht das Gateway, wenn die Ziel-IP-Adresse nicht im eigenen Subnetz liegt. Beispiel: PC: 192.168.10.20/24 Ziel: 192.168.10.30 Das Ziel liegt im gleichen Netz. Kein Gateway nötig. Beispiel: PC: 192.168.10.20/24 Ziel: 8.8.8.8 Das Ziel liegt nicht im gleichen Netz. Gateway nötig. Merksatz: Gleiches Subnetz = direkt. Anderes Subnetz = über Gateway. Subnetz Ein Subnetz ist ein Teilbereich eines IP-Netzes. Beispiel: 192.168.10.0/24 Dieses Subnetz enthält IP-Adressen von: 192.168.10.1 bis 192.168.10.254 Die Netzadresse ist: 192.168.10.0 Die Broadcast-Adresse ist: 192.168.10.255 Merksatz: Subnetz = logischer IP-Adressbereich. Netzadresse Die Netzadresse bezeichnet das Netzwerk selbst. Beispiel: 192.168.10.0/24 Die Netzadresse ist: 192.168.10.0 Diese Adresse wird normalerweise nicht einem Endgerät zugewiesen. Merksatz: Netzadresse = Adresse des Netzes. Broadcast-Adresse Die Broadcast-Adresse ist die Adresse für alle Geräte im Subnetz. Beispiel: 192.168.10.0/24 Broadcast-Adresse: 192.168.10.255 Diese Adresse wird normalerweise nicht einem einzelnen Endgerät zugewiesen. Merksatz: Broadcast-Adresse = alle Geräte im Subnetz. Host-Adresse Host-Adressen sind die nutzbaren Adressen für Geräte im Subnetz. Beispiel: 192.168.10.0/24 Nutzbare Host-Adressen: 192.168.10.1 bis 192.168.10.254 Diese Adressen können Geräten zugewiesen werden. Beispiele: PC Server Drucker Router-Interface Access Point Merksatz: Host-Adresse = nutzbare Adresse für ein Gerät. Subnetzmaske Die Subnetzmaske legt fest, welcher Teil einer IP-Adresse zum Netz gehört und welcher Teil zum Host gehört. Beispiel: IP-Adresse: 192.168.10.20 Subnetzmaske: 255.255.255.0 Das entspricht: /24 Merksatz: Subnetzmaske trennt Netzanteil und Hostanteil. CIDR-Schreibweise CIDR steht für: Classless Inter-Domain Routing Die CIDR-Schreibweise gibt an, wie viele Bits zur Netzadresse gehören. Beispiel: 192.168.10.20/24 Das bedeutet: Die ersten 24 Bit gehören zum Netzanteil. Häufige Beispiele: CIDR Subnetzmaske /24 255.255.255.0 /25 255.255.255.128 /26 255.255.255.192 /27 255.255.255.224 /28 255.255.255.240 /30 255.255.255.252 Merksatz: /24 bedeutet: 24 Bit Netzanteil. Netzanteil und Hostanteil Eine IP-Adresse besteht aus: Netzanteil und Hostanteil Beispiel: 192.168.10.20/24 Bei /24 ist vereinfacht: Netzanteil: 192.168.10 Hostanteil: 20 Das Netz ist: 192.168.10.0/24 Merksatz: Netzanteil bestimmt das Netzwerk. Hostanteil bestimmt das Gerät im Netzwerk. Routing Routing bedeutet: IP-Pakete zwischen Netzwerken weiterleiten. Ein Router prüft die Ziel-IP-Adresse und entscheidet anhand seiner Routing-Tabelle, wohin das Paket weitergeleitet wird. Dabei interessiert ihn nicht die Ziel-MAC-Adresse des ursprünglichen Frames. Der Router arbeitet auf Schicht 3. Merksatz: Routing = Wegentscheidung für IP-Pakete. Routing-Tabelle Eine Routing-Tabelle enthält Informationen darüber, welche Netze über welchen Weg erreichbar sind. Vereinfacht enthält sie: - Zielnetz - Netzmaske oder Präfix - nächster Hop - Ausgangsschnittstelle - Metrik Beispiel: Zielnetz Nächster Hop Schnittstelle 192.168.10.0/24 direkt verbunden LAN 192.168.20.0/24 192.168.10.1 LAN 0.0.0.0/0 Provider-Router WAN Merksatz: Routing-Tabelle = Wegweiser für IP-Pakete. Nächster Hop Der nächste Hop ist das nächste Gerät, an das ein Router ein Paket weitergibt. Meist ist das ein anderer Router. Beispiel: Zielnetz: 10.20.30.0/24 nächster Hop: 192.168.1.1 Der Router sendet das Paket an den nächsten Hop, damit es dem Ziel näherkommt. Merksatz: Nächster Hop = nächster Router auf dem Weg zum Ziel. Direkt verbundenes Netz Ein Router kennt Netze, die direkt an seinen Schnittstellen angeschlossen sind. Beispiel: Router-Interface: 192.168.10.1/24 Dann kennt der Router direkt: 192.168.10.0/24 Für direkt verbundene Netze braucht der Router keinen weiteren Router als nächsten Hop. Merksatz: Direkt verbunden = Netz liegt an eigener Schnittstelle. Default Route Eine Default Route ist eine Standardroute für alle Ziele, für die keine genauere Route vorhanden ist. IPv4-Schreibweise: 0.0.0.0/0 Bedeutung: alle IPv4-Ziele Beispiel: Alles Unbekannte geht zum Provider-Router. Merksatz: Default Route = Route für alles, was nicht genauer bekannt ist. Longest Prefix Match Ein Router wählt bei mehreren passenden Routen die genaueste Route. Das nennt man: Longest Prefix Match Beispiel: Route A: 192.168.0.0/16 Route B: 192.168.10.0/24 Ziel: 192.168.10.50 Beide Routen passen. Die /24-Route ist genauer und wird gewählt. Merksatz: Genaueste passende Route gewinnt. Statisches Routing Beim statischen Routing werden Routen manuell eingetragen. Vorteile: - einfach bei kleinen Netzen - gut kontrollierbar - wenig Protokoll-Overhead Nachteile: - hoher Aufwand bei großen Netzen - Änderungen müssen manuell gepflegt werden - Ausfälle werden nicht automatisch umgangen Merksatz: Statische Route = manuell eingetragener Weg. Dynamisches Routing Beim dynamischen Routing tauschen Router automatisch Routing-Informationen aus. Dafür werden Routing-Protokolle verwendet. Beispiele: - OSPF - RIP - BGP Vorteile: - automatische Anpassung - besser für größere Netze - alternative Wege möglich Nachteile: - komplexer - muss geplant und abgesichert werden Merksatz: Dynamisches Routing = Router lernen Wege automatisch. Routing-Protokolle kurz eingeordnet Protokoll typischer Einsatz RIP einfach, älter, kleine Netze OSPF interne Unternehmensnetze BGP Internet und Provider-Routing Für AP1/AP2 ist besonders wichtig: OSPF wird häufig in internen Netzen verwendet. BGP ist zentral für das Routing im Internet. Merksatz: OSPF intern. BGP zwischen großen Netzen im Internet. ICMP ICMP steht für: Internet Control Message Protocol ICMP gehört zum IP-Umfeld und wird für Kontroll- und Fehlermeldungen verwendet. Typische Nutzung: - Ping - Traceroute - Fehlermeldungen im IP-Netz Wichtig: ICMP nutzt keine TCP- oder UDP-Ports. Merksatz: ICMP = Kontrollmeldungen für IP. Ping Ping prüft, ob ein Ziel grundsätzlich per IP erreichbar ist. Dazu wird häufig ICMP Echo Request und Echo Reply verwendet. Vereinfacht: Echo Request: Bist du erreichbar? Echo Reply: Ja, ich antworte. Wichtig: Wenn Ping nicht funktioniert, heißt das nicht automatisch, dass das Ziel komplett unerreichbar ist. ICMP kann durch Firewalls blockiert werden. Merksatz: Ping prüft IP-Erreichbarkeit, aber ist kein vollständiger Diensttest. Traceroute Traceroute zeigt den Weg zu einem Ziel über mehrere Router. Je nach Betriebssystem heißt der Befehl zum Beispiel: tracert traceroute tracepath Traceroute hilft zu erkennen: über welche Router ein Paket läuft und wo die Verbindung möglicherweise stoppt. Merksatz: Traceroute zeigt den Weg durch das IP-Netz. TTL TTL steht für: Time To Live TTL begrenzt die Lebensdauer eines IP-Pakets. Jeder Router verringert den TTL-Wert. Wenn TTL 0 erreicht, wird das Paket verworfen. Zweck: Pakete sollen nicht endlos im Netz kreisen. Merksatz: TTL verhindert endloses Kreisen von IP-Paketen. IPv4 und IPv6 Schicht 3 kann mit IPv4 oder IPv6 arbeiten. Version Beispiel IPv4 192.168.10.20 IPv6 2001:db8::10 IPv4 verwendet 32-Bit-Adressen. IPv6 verwendet 128-Bit-Adressen. Merksatz: IPv4 = 32 Bit. IPv6 = 128 Bit. Private IPv4-Adressen Private IPv4-Adressen werden in lokalen Netzwerken verwendet. Wichtige Bereiche: Bereich CIDR 10.0.0.0 – 10.255.255.255 10.0.0.0/8 172.16.0.0 – 172.31.255.255 172.16.0.0/12 192.168.0.0 – 192.168.255.255 192.168.0.0/16 Private Adressen sind im öffentlichen Internet nicht direkt geroutet. Merksatz: Private IPv4-Adressen werden im LAN genutzt. NAT kurz eingeordnet NAT steht für: Network Address Translation NAT verändert IP-Adressen beim Übergang zwischen Netzen. Typisches Beispiel: viele private Geräte im LAN teilen sich eine öffentliche IPv4-Adresse NAT wird besonders häufig am Internet-Router eingesetzt. Merksatz: NAT übersetzt IP-Adressen. PAT kurz eingeordnet PAT steht für: Port Address Translation PAT ist eine Form von NAT. Dabei teilen sich mehrere interne Geräte eine öffentliche IP-Adresse und werden über Port-Zuordnungen unterschieden. Typisch im Heimnetz: viele Geräte eine öffentliche IPv4-Adresse Merksatz: PAT = viele interne Geräte über eine öffentliche IP mit Ports unterscheiden. Schicht 3 und VLANs VLANs gehören zu Schicht 2. Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing auf Schicht 3. Das nennt man: Inter-VLAN-Routing Dafür nutzt man: - Router - Layer-3-Switch - Firewall Merksatz: VLAN trennt auf Schicht 2. Routing verbindet auf Schicht 3. Was Schicht 3 nicht macht Schicht 3 macht nicht: - Ethernet-Frames lokal anhand von MAC-Adressen switchen - TCP-Verbindungen aufbauen - UDP-Ports auswerten - DNS-Namen auflösen - Webseiten bereitstellen - Benutzer anmelden - Dateifreigaben bereitstellen Diese Aufgaben liegen auf anderen Schichten. Merksatz: Schicht 3 routet IP-Pakete, aber stellt keine Anwendung bereit. Typische Schicht-3-Fehler Typische Fehler auf Schicht 3 sind: - falsche IP-Adresse - falsche Subnetzmaske - falsches Standard-Gateway - fehlende Route - falsche Route - doppelte IP-Adresse - NAT-Problem - Routing-Schleife - Firewall-Regel auf IP-Ebene - falsches VLAN-Subnetz-Zusammenspiel Merksatz: Schicht-3-Fehler betreffen IP, Subnetze, Gateway und Routing. Einordnung bei der Fehlersuche Eine sinnvolle Reihenfolge: 1. Schicht 1: Link, Kabel, Signal 2. Schicht 2: MAC, VLAN, ARP 3. Schicht 3: IP-Adresse, Subnetzmaske, Gateway, Route 4. Schicht 4: TCP-/UDP-Port 5. Schicht 7: Anwendung, DNS, Dienst Merksatz: Erst Link, dann MAC/VLAN, dann IP/Routing. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Vermittlungsschicht? - Was ist eine IP-Adresse? - Was ist ein IP-Paket? - Was macht ein Router? - Was ist ein Standard-Gateway? - Wann wird ein Gateway benötigt? - Was ist ein Subnetz? - Was bedeutet CIDR? - Was ist eine Routing-Tabelle? - Was bedeutet Default Route? - Was bedeutet Longest Prefix Match? - Was ist der Unterschied zwischen statischem und dynamischem Routing? - Was ist ICMP? - Wofür wird Ping verwendet? - Was zeigt Traceroute? - Was ist TTL? - Was ist der Unterschied zwischen MAC-Adresse und IP-Adresse? Typische Prüfungsfallen Schicht 3 arbeitet mit IP-Paketen. Schicht 2 arbeitet mit Frames. MAC-Adressen gehören zu Schicht 2. IP-Adressen gehören zu Schicht 3. Switch = Schicht 2. Router = Schicht 3. Gateway wird benötigt, wenn das Ziel nicht im eigenen Subnetz liegt. Gleiches Subnetz = direkte lokale Zustellung. Anderes Subnetz = über Gateway. Default Route = 0.0.0.0/0. Genaueste passende Route gewinnt. Ping nutzt ICMP, nicht TCP oder UDP. ICMP hat keine TCP- oder UDP-Ports. IPv4 hat 32 Bit. IPv6 hat 128 Bit. VLAN ist Schicht 2. Inter-VLAN-Routing ist Schicht 3. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Vermittlungsschicht OSI-Schicht 3 Netzwerkschicht anderer Begriff für Schicht 3 IP-Adresse logische Adresse auf Schicht 3 IP-Paket Datenform auf Schicht 3 Quell-IP Absender-IP-Adresse Ziel-IP Empfänger-IP-Adresse Router Gerät zur Weiterleitung zwischen Netzen Standard-Gateway Router für Ziele außerhalb des eigenen Netzes Subnetz logischer IP-Adressbereich Netzadresse Adresse des Netzes Broadcast-Adresse Adresse für alle Hosts im Subnetz Host-Adresse nutzbare Adresse für ein Gerät Subnetzmaske trennt Netzanteil und Hostanteil CIDR Schreibweise für Präfixlänge Routing Weiterleitung zwischen IP-Netzen Routing-Tabelle Tabelle mit Wegen zu Zielnetzen Nächster Hop nächster Router auf dem Weg Default Route Standardroute für unbekannte Ziele Longest Prefix Match genaueste passende Route gewinnt ICMP Kontroll- und Fehlermeldungen für IP Ping ICMP-Erreichbarkeitstest Traceroute zeigt Weg über Router TTL begrenzt Lebensdauer eines IP-Pakets NAT Übersetzung von IP-Adressen PAT Übersetzung mit Port-Zuordnung IHK-sichere Kurzformulierung Die Vermittlungsschicht beziehungsweise Netzwerkschicht ist Schicht 3 des OSI-Modells. Sie ist für die logische Adressierung und Weiterleitung von IP-Paketen zwischen verschiedenen Netzwerken zuständig. Dafür werden IP-Adressen, Subnetzmasken, Gateways und Routing-Tabellen verwendet. Ein Router arbeitet typischerweise auf Schicht 3 und entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, wird das Paket an das Standard-Gateway gesendet. ICMP gehört zum IP-Umfeld und wird unter anderem für Ping und Traceroute verwendet. Merksätze Schicht 3 = Vermittlungsschicht / Netzwerkschicht. Schicht 3 = IP-Adressen, Pakete und Routing. IP-Adresse = logische Adresse. IP-Paket = Datenform auf Schicht 3. MAC = Schicht 2. IP = Schicht 3. MAC gilt lokal. IP gilt netzübergreifend. Switch = MAC. Router = IP. Gateway = Ausgang in andere Netze. Gleiches Subnetz = direkt. Anderes Subnetz = über Gateway. Subnetzmaske trennt Netzanteil und Hostanteil. CIDR gibt die Präfixlänge an. Routing = Weiterleitung zwischen IP-Netzen. Routing-Tabelle = Wegweiser für Pakete. Default Route = 0.0.0.0/0. Genaueste passende Route gewinnt. ICMP = Kontrollmeldungen für IP. Ping nutzt ICMP. ICMP nutzt keine TCP- oder UDP-Ports. Traceroute zeigt den Weg durch das IP-Netz. TTL verhindert endloses Kreisen von IP-Paketen. IPv4 = 32 Bit. IPv6 = 128 Bit. VLAN = Schicht 2. Inter-VLAN-Routing = Schicht 3. Erst Link, dann MAC/VLAN, dann IP/Routing. 6.2 IPv4-Adressen, Subnetze und Netzmasken IPv4 ist eine der wichtigsten Grundlagen auf OSI-Schicht 3. IPv4-Adressen werden verwendet, um Geräte in IP-Netzen logisch zu adressieren. Beispiel: 192.168.10.20 Eine IPv4-Adresse allein reicht aber nicht aus. Man muss zusätzlich wissen: Welcher Teil gehört zum Netzwerk? Welcher Teil gehört zum Gerät? Welche Adressen sind nutzbar? Welche Adresse ist die Netzadresse? Welche Adresse ist die Broadcast-Adresse? Dafür braucht man die Subnetzmaske oder CIDR-Schreibweise. Merksatz: IPv4-Adresse + Subnetzmaske = vollständige Netzzuordnung. IPv4 kurz erklärt IPv4 steht für: Internet Protocol Version 4 Eine IPv4-Adresse besteht aus: 32 Bit Sie wird meistens dezimal in vier Blöcken dargestellt. Beispiel: 192.168.10.20 Diese vier Blöcke nennt man oft: Oktette Warum Oktette? Jeder Block entspricht 8 Bit. 4 Oktette ergeben: 4 × 8 Bit = 32 Bit Merksatz: IPv4 = 32 Bit = 4 Oktette. Aufbau einer IPv4-Adresse Beispiel: 192.168.10.20 Die Adresse besteht aus vier Oktetten: Oktett Wert 1 192 2 168 3 10 4 20 Jedes Oktett kann Werte von 0 bis 255 enthalten. Warum? 8 Bit können 256 verschiedene Werte darstellen. Von: 0 bis: 255 Merksatz: Ein IPv4-Oktett hat Werte von 0 bis 255. Binäre Darstellung Computer arbeiten intern mit Bits. Eine IPv4-Adresse kann deshalb auch binär dargestellt werden. Beispiel: 192.168.10.20 Binär: Dezimal Binär 192 11000000 168 10101000 10 00001010 20 00010100 Gesamt: 11000000.10101000.00001010.00010100 Merksatz: IPv4 sieht dezimal aus, besteht technisch aber aus 32 Bits. Netzanteil und Hostanteil Eine IPv4-Adresse besteht aus zwei Teilen: Netzanteil und Hostanteil Der Netzanteil sagt: Zu welchem Netzwerk gehört die Adresse? Der Hostanteil sagt: Welches Gerät ist es in diesem Netzwerk? Beispiel: 192.168.10.20/24 Bei /24 gehören die ersten 24 Bit zum Netzanteil. Vereinfacht: Netzanteil: 192.168.10 Hostanteil: 20 Merksatz: Netzanteil = Netzwerk. Hostanteil = Gerät im Netzwerk. Subnetzmaske Die Subnetzmaske legt fest, welcher Teil der IP-Adresse zum Netz gehört und welcher Teil zum Host gehört. Beispiel: IP-Adresse: 192.168.10.20 Subnetzmaske: 255.255.255.0 Das bedeutet: 192.168.10 = Netzanteil 20 = Hostanteil Die Subnetzmaske trennt also Netz und Host. Merksatz: Subnetzmaske trennt Netzanteil und Hostanteil. CIDR-Schreibweise CIDR steht für: Classless Inter-Domain Routing Die CIDR-Schreibweise gibt an, wie viele Bits zur Netzadresse gehören. Beispiel: 192.168.10.20/24 Das bedeutet: Die ersten 24 Bit gehören zum Netzanteil. Die Subnetzmaske dazu lautet: 255.255.255.0 Merksatz: /24 bedeutet: 24 Bit Netzanteil. CIDR und Subnetzmaske Wichtige CIDR-Schreibweisen: CIDR Subnetzmaske Anzahl Host-Bits /8 255.0.0.0 24 /16 255.255.0.0 16 /24 255.255.255.0 8 /25 255.255.255.128 7 /26 255.255.255.192 6 /27 255.255.255.224 5 /28 255.255.255.240 4 /29 255.255.255.248 3 /30 255.255.255.252 2 /32 255.255.255.255 0 Merksatz: Je größer die CIDR-Zahl, desto kleiner das Netz. Host-Bits Host-Bits sind die Bits, die für Geräteadressen im Subnetz übrig bleiben. IPv4 hat insgesamt: 32 Bit Wenn ein Netz /24 ist, dann gilt: 24 Bit Netzanteil 8 Bit Hostanteil Wenn ein Netz /26 ist, dann gilt: 26 Bit Netzanteil 6 Bit Hostanteil Merksatz: Host-Bits = 32 minus CIDR-Präfix. Anzahl der Adressen berechnen Die Anzahl aller Adressen in einem Subnetz berechnet man mit: 2 hoch Anzahl der Host-Bits Beispiel /24: Host-Bits: 8 2 hoch 8 = 256 Adressen Beispiel /26: Host-Bits: 6 2 hoch 6 = 64 Adressen Merksatz: Anzahl Adressen = 2 hoch Host-Bits. Nutzbare Host-Adressen In klassischen IPv4-Subnetzen sind normalerweise zwei Adressen nicht für Endgeräte nutzbar: Netzadresse Broadcast-Adresse Deshalb gilt meistens: nutzbare Hosts = 2 hoch Host-Bits minus 2 Beispiel /24: 2 hoch 8 = 256 256 - 2 = 254 nutzbare Hosts Beispiel /26: 2 hoch 6 = 64 64 - 2 = 62 nutzbare Hosts Merksatz: Nutzbare Hosts = alle Adressen minus Netzadresse und Broadcast-Adresse. Netzadresse Die Netzadresse bezeichnet das Subnetz selbst. Beispiel: 192.168.10.0/24 Die Netzadresse ist: 192.168.10.0 Diese Adresse wird normalerweise keinem Endgerät zugewiesen. Merksatz: Netzadresse = Adresse des Netzes. Broadcast-Adresse Die Broadcast-Adresse ist die letzte Adresse im Subnetz. Sie steht für: alle Geräte in diesem Subnetz Beispiel: 192.168.10.0/24 Broadcast-Adresse: 192.168.10.255 Diese Adresse wird normalerweise keinem einzelnen Gerät zugewiesen. Merksatz: Broadcast-Adresse = letzte Adresse im Subnetz. Hostbereich Der Hostbereich umfasst die nutzbaren Adressen für Geräte. Beispiel: Netz: 192.168.10.0/24 Netzadresse: 192.168.10.0 Hostbereich: 192.168.10.1 bis 192.168.10.254 Broadcast-Adresse: 192.168.10.255 Merksatz: Hostbereich = nutzbare Geräteadressen zwischen Netzadresse und Broadcast-Adresse. Beispiel /24 Netz: 192.168.10.0/24 Subnetzmaske: 255.255.255.0 Bereich Adresse Netzadresse 192.168.10.0 erster Host 192.168.10.1 letzter Host 192.168.10.254 Broadcast-Adresse 192.168.10.255 alle Adressen 256 nutzbare Hosts 254 Merksatz: /24 ist ein häufiges Standard-LAN mit 254 nutzbaren Host-Adressen. Beispiel /25 Netz: 192.168.10.0/25 Subnetzmaske: 255.255.255.128 Host-Bits: 7 Alle Adressen: 2 hoch 7 = 128 Nutzbare Hosts: 128 - 2 = 126 Bereich Adresse Netzadresse 192.168.10.0 erster Host 192.168.10.1 letzter Host 192.168.10.126 Broadcast-Adresse 192.168.10.127 alle Adressen 128 nutzbare Hosts 126 Merksatz: /25 halbiert ein /24 in zwei gleich große Netze. Zweites /25 im gleichen /24-Bereich Wenn ein /24 in zwei /25-Netze geteilt wird, entstehen: Netz Bereich 192.168.10.0/25 192.168.10.0 – 192.168.10.127 192.168.10.128/25 192.168.10.128 – 192.168.10.255 Zweites Netz: 192.168.10.128/25 Bereich Adresse Netzadresse 192.168.10.128 erster Host 192.168.10.129 letzter Host 192.168.10.254 Broadcast-Adresse 192.168.10.255 Merksatz: /25-Netze springen in 128er-Schritten. Beispiel /26 Netz: 192.168.10.0/26 Subnetzmaske: 255.255.255.192 Host-Bits: 6 Alle Adressen: 2 hoch 6 = 64 Nutzbare Hosts: 64 - 2 = 62 Bereich Adresse Netzadresse 192.168.10.0 erster Host 192.168.10.1 letzter Host 192.168.10.62 Broadcast-Adresse 192.168.10.63 Merksatz: /26-Netze haben 64 Adressen und 62 nutzbare Hosts. /26-Netze innerhalb eines /24 Ein /24 kann in vier /26-Netze geteilt werden. Netz Bereich 192.168.10.0/26 192.168.10.0 – 192.168.10.63 192.168.10.64/26 192.168.10.64 – 192.168.10.127 192.168.10.128/26 192.168.10.128 – 192.168.10.191 192.168.10.192/26 192.168.10.192 – 192.168.10.255 Merksatz: /26-Netze springen in 64er-Schritten. Beispiel /27 Netz: 192.168.10.0/27 Subnetzmaske: 255.255.255.224 Host-Bits: 5 Alle Adressen: 2 hoch 5 = 32 Nutzbare Hosts: 32 - 2 = 30 Bereich Adresse Netzadresse 192.168.10.0 erster Host 192.168.10.1 letzter Host 192.168.10.30 Broadcast-Adresse 192.168.10.31 Merksatz: /27-Netze haben 32 Adressen und 30 nutzbare Hosts. /27-Netze innerhalb eines /24 Ein /24 kann in acht /27-Netze geteilt werden. Die Schrittweite beträgt: 32 Netz Bereich 192.168.10.0/27 192.168.10.0 – 192.168.10.31 192.168.10.32/27 192.168.10.32 – 192.168.10.63 192.168.10.64/27 192.168.10.64 – 192.168.10.95 192.168.10.96/27 192.168.10.96 – 192.168.10.127 192.168.10.128/27 192.168.10.128 – 192.168.10.159 192.168.10.160/27 192.168.10.160 – 192.168.10.191 192.168.10.192/27 192.168.10.192 – 192.168.10.223 192.168.10.224/27 192.168.10.224 – 192.168.10.255 Merksatz: /27-Netze springen in 32er-Schritten. Schrittweite Die Schrittweite zeigt, in welchen Abständen neue Subnetze beginnen. Beispiele im vierten Oktett: CIDR Subnetzmaske Schrittweite /25 255.255.255.128 128 /26 255.255.255.192 64 /27 255.255.255.224 32 /28 255.255.255.240 16 /29 255.255.255.248 8 /30 255.255.255.252 4 Merksatz: Schrittweite = Größe eines Subnetzes im betroffenen Oktett. Schnelle Regel zur Schrittweite Bei Subnetzen im vierten Oktett kann man die Schrittweite schnell berechnen: 256 minus Maskenwert im vierten Oktett Beispiel /26: Subnetzmaske: 255.255.255.192 256 - 192 = 64 Schrittweite: 64 Beispiel /28: Subnetzmaske: 255.255.255.240 256 - 240 = 16 Schrittweite: 16 Merksatz: Schrittweite = 256 minus Maskenwert im interessanten Oktett. Beispiel: In welchem Subnetz liegt eine IP? IP-Adresse: 192.168.10.70/26 /26 bedeutet: Schrittweite 64 Subnetze: 192.168.10.0 – 192.168.10.63 192.168.10.64 – 192.168.10.127 192.168.10.128 – 192.168.10.191 192.168.10.192 – 192.168.10.255 Die IP 192.168.10.70 liegt im Bereich: 192.168.10.64 – 192.168.10.127 Also: Bereich Adresse Netzadresse 192.168.10.64 erster Host 192.168.10.65 letzter Host 192.168.10.126 Broadcast-Adresse 192.168.10.127 Merksatz: IP in den passenden Schrittweitenbereich einordnen. Beispiel: 192.168.10.200/27 /27 bedeutet: Schrittweite 32 Subnetze: 0 – 31 32 – 63 64 – 95 96 – 127 128 – 159 160 – 191 192 – 223 224 – 255 Die IP 192.168.10.200 liegt im Bereich: 192.168.10.192 – 192.168.10.223 Also: Bereich Adresse Netzadresse 192.168.10.192 erster Host 192.168.10.193 letzter Host 192.168.10.222 Broadcast-Adresse 192.168.10.223 Merksatz: Bei /27 beginnt jedes neue Netz alle 32 Adressen. Private IPv4-Adressen Private IPv4-Adressen werden in lokalen Netzwerken verwendet. Sie sind im öffentlichen Internet nicht direkt geroutet. Wichtige private Bereiche: Bereich CIDR 10.0.0.0 – 10.255.255.255 10.0.0.0/8 172.16.0.0 – 172.31.255.255 172.16.0.0/12 192.168.0.0 – 192.168.255.255 192.168.0.0/16 Typisch im Heimnetz: 192.168.x.x Typisch in größeren Netzen: 10.x.x.x Merksatz: Private IPv4-Adressen sind für interne Netze gedacht. Öffentliche IPv4-Adressen Öffentliche IPv4-Adressen sind im Internet eindeutig geroutet. Sie werden zum Beispiel verwendet für: - Webserver - Mailserver - öffentliche DNS-Server - Internetanschlüsse - Cloud-Systeme Da IPv4-Adressen knapp sind, nutzen viele private Netze NAT oder PAT. Merksatz: Öffentliche IPv4-Adressen sind im Internet routbar. APIPA APIPA steht für: Automatic Private IP Addressing APIPA-Adressen liegen im Bereich: 169.254.0.0/16 Ein Gerät kann eine APIPA-Adresse erhalten, wenn es keine Adresse per DHCP bekommt. Beispiel: 169.254.23.80 Typischer Hinweis: DHCP funktioniert nicht oder DHCP-Server ist nicht erreichbar. Merksatz: 169.254.x.x weist oft auf DHCP-Probleme hin. Loopback-Adresse Die IPv4-Loopback-Adresse ist: 127.0.0.1 Sie zeigt auf das eigene Gerät. Der Bereich: 127.0.0.0/8 ist für Loopback reserviert. Typischer Test: ping 127.0.0.1 Damit prüft man den lokalen IP-Stack des eigenen Systems. Merksatz: 127.0.0.1 = eigenes Gerät. 0.0.0.0 Die Adresse 0.0.0.0 kann verschiedene Bedeutungen haben. Typische Bedeutungen: - keine konkrete Adresse - alle IPv4-Adressen - Default Route als 0.0.0.0/0 - Dienst lauscht auf allen Schnittstellen Beispiel Routing: 0.0.0.0/0 bedeutet: alle Ziele, für die keine genauere Route existiert. Merksatz: 0.0.0.0/0 = Default Route für alle IPv4-Ziele. 255.255.255.255 Die Adresse: 255.255.255.255 ist ein begrenzter Broadcast. Sie wird verwendet, um alle Geräte im lokalen Netzwerksegment anzusprechen. Beispiel: DHCP-Anfragen können diesen Broadcast verwenden. Merksatz: 255.255.255.255 = lokaler IPv4-Broadcast. IPv4 und VLANs VLANs gehören zu Schicht 2. IP-Subnetze gehören zu Schicht 3. In der Praxis wird häufig jedem VLAN ein eigenes IPv4-Subnetz zugeordnet. Beispiel: VLAN Zweck Subnetz 10 Mitarbeiter 192.168.10.0/24 20 Gäste 192.168.20.0/24 30 Server 192.168.30.0/24 Merksatz: VLAN trennt auf Schicht 2. Subnetz trennt auf Schicht 3. Warum pro VLAN oft ein eigenes Subnetz? Ein VLAN ist eine eigene Broadcast-Domäne. Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing. Damit Routing sauber funktioniert, bekommt jedes VLAN normalerweise ein eigenes IP-Subnetz. Beispiel: VLAN 10: 192.168.10.0/24 VLAN 20: 192.168.20.0/24 Merksatz: Ein VLAN und ein Subnetz werden oft zusammen geplant, sind aber nicht dasselbe. Typische IPv4-Konfigurationsfehler Typische Fehler sind: - falsche IP-Adresse - falsche Subnetzmaske - falsches Gateway - doppelte IP-Adresse - IP aus falschem Netz - APIPA-Adresse - falscher DHCP-Bereich - falsches VLAN zur IP-Adresse - fehlende Route Merksatz: Viele Schicht-3-Probleme beginnen mit falscher IP-Konfiguration. Beispiel: falsche Subnetzmaske PC A: 192.168.10.20/24 PC B: 192.168.10.30/25 Beide IP-Adressen sehen ähnlich aus. Aber durch unterschiedliche Subnetzmasken kann ein Gerät anders entscheiden, ob ein Ziel lokal oder über das Gateway erreichbar ist. Folge: Kommunikation kann unzuverlässig oder einseitig wirken. Merksatz: IP-Adresse und Subnetzmaske müssen zusammenpassen. Beispiel: falsches Gateway PC: IP-Adresse: 192.168.10.20/24 Gateway: 192.168.20.1 Problem: Das Gateway liegt nicht im eigenen Subnetz. Der PC kann dieses Gateway normalerweise nicht direkt erreichen. Richtig wäre zum Beispiel: 192.168.10.1 Merksatz: Das Standard-Gateway muss im eigenen lokalen Subnetz erreichbar sein. Beispiel: IP aus falschem VLAN Ein PC hängt im Mitarbeiter-VLAN, bekommt aber eine IP-Adresse aus dem Gastnetz. Beispiel: Soll: VLAN 10 192.168.10.0/24 Ist: VLAN 20 192.168.20.0/24 Mögliche Ursachen: - Switch-Port im falschen VLAN - falsche SSID-VLAN-Zuordnung - DHCP-Bereich falsch zugeordnet - Trunk falsch konfiguriert Merksatz: Falsche IP-Adresse kann auf falsches VLAN hinweisen. Einordnung in das OSI-Modell Thema Schicht Ethernet-Frame 2 MAC-Adresse 2 VLAN 2 IPv4-Adresse 3 Subnetzmaske 3 Gateway 3 Routing 3 NAT 3 / 4-Bezug TCP-Port 4 DNS 7 Merksatz: VLAN = Schicht 2. IPv4-Subnetz = Schicht 3. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wie viele Bit hat eine IPv4-Adresse? - Was ist ein Oktett? - Was macht die Subnetzmaske? - Was bedeutet CIDR? - Was bedeutet /24? - Wie viele nutzbare Hosts hat ein /24? - Was ist die Netzadresse? - Was ist die Broadcast-Adresse? - Was ist der Hostbereich? - Wie berechnet man die Schrittweite? - In welchem Subnetz liegt eine bestimmte IP-Adresse? - Was sind private IPv4-Adressen? - Was bedeutet 169.254.x.x? - Was ist die Loopback-Adresse? - Warum braucht jedes VLAN häufig ein eigenes Subnetz? Typische Prüfungsfallen IPv4 hat 32 Bit. Ein Oktett hat 8 Bit. Ein Oktett geht von 0 bis 255. /24 bedeutet 24 Bit Netzanteil. Host-Bits = 32 minus CIDR-Präfix. Alle Adressen = 2 hoch Host-Bits. Nutzbare Hosts = alle Adressen minus 2. Netzadresse ist nicht für ein Endgerät. Broadcast-Adresse ist nicht für ein Endgerät. Je größer die CIDR-Zahl, desto kleiner das Netz. VLAN ist nicht Subnetz. Gateway muss im eigenen Subnetz erreichbar sein. 169.254.x.x weist oft auf DHCP-Probleme hin. 127.0.0.1 ist Loopback. 0.0.0.0/0 ist die Default Route. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung IPv4 Internet Protocol Version 4 IPv4-Adresse 32-Bit-Adresse auf Schicht 3 Oktett 8-Bit-Block einer IPv4-Adresse Netzanteil Teil der Adresse für das Netzwerk Hostanteil Teil der Adresse für das Gerät Subnetzmaske trennt Netzanteil und Hostanteil CIDR Schreibweise mit Präfixlänge Präfix Anzahl der Netz-Bits Host-Bits Bits für Geräteadressen Netzadresse Adresse des Subnetzes Broadcast-Adresse Adresse für alle Hosts im Subnetz Hostbereich nutzbare Geräteadressen Schrittweite Abstand zwischen Subnetzen private IPv4-Adresse interne, nicht öffentlich geroutete Adresse öffentliche IPv4-Adresse im Internet routbare Adresse APIPA automatische Adresse bei DHCP-Problem Loopback Adresse des eigenen Geräts Default Route Route für unbekannte Ziele IHK-sichere Kurzformulierung Eine IPv4-Adresse besteht aus 32 Bit und wird meist in vier Oktetten dargestellt. Die Subnetzmaske oder CIDR-Schreibweise legt fest, welcher Teil der Adresse zum Netzanteil und welcher Teil zum Hostanteil gehört. Aus dem Netzanteil ergibt sich die Netzadresse, aus dem Hostanteil der nutzbare Adressbereich und die Broadcast-Adresse. Die Anzahl der Adressen in einem Subnetz ergibt sich aus 2 hoch Anzahl der Host-Bits. In klassischen IPv4-Subnetzen sind Netzadresse und Broadcast-Adresse nicht für Endgeräte nutzbar. VLANs gehören zu Schicht 2, IP-Subnetze zu Schicht 3, werden in der Praxis aber häufig gemeinsam geplant. Merksätze IPv4 = 32 Bit. IPv4 besteht aus 4 Oktetten. Ein Oktett = 8 Bit. Ein Oktett geht von 0 bis 255. IP-Adresse + Subnetzmaske = Netzzuordnung. Subnetzmaske trennt Netzanteil und Hostanteil. CIDR zeigt die Anzahl der Netz-Bits. /24 = 24 Bit Netzanteil. Host-Bits = 32 minus CIDR-Präfix. Alle Adressen = 2 hoch Host-Bits. Nutzbare Hosts = alle Adressen minus 2. Netzadresse = Adresse des Netzes. Broadcast-Adresse = letzte Adresse im Subnetz. Hostbereich = nutzbare Geräteadressen. Je größer das Präfix, desto kleiner das Netz. /25 springt in 128er-Schritten. /26 springt in 64er-Schritten. /27 springt in 32er-Schritten. /28 springt in 16er-Schritten. Private IPv4-Adressen sind nicht direkt im Internet geroutet. 169.254.x.x weist oft auf DHCP-Probleme hin. 127.0.0.1 = Loopback. 0.0.0.0/0 = Default Route. VLAN = Schicht 2. IPv4-Subnetz = Schicht 3. Gateway muss im eigenen Subnetz erreichbar sein. 6.3 Routing, Gateway und Routing-Tabelle Routing gehört zu OSI-Schicht 3. Routing bedeutet: IP-Pakete zwischen verschiedenen Netzwerken weiterleiten. Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein IP-Paket als Nächstes gesendet wird. Dafür verwendet er eine Routing-Tabelle. Merksatz: Routing = Wegentscheidung für IP-Pakete. Warum braucht man Routing? Geräte im gleichen IP-Subnetz können direkt miteinander kommunizieren. Geräte in unterschiedlichen IP-Subnetzen brauchen einen Router. Beispiel: PC A: 192.168.10.20/24 Server B: 192.168.30.50/24 Diese Geräte liegen in unterschiedlichen Netzen: 192.168.10.0/24 192.168.30.0/24 Damit die Kommunikation funktioniert, braucht man Routing. Merksatz: Unterschiedliche IP-Netze brauchen Routing. Gleiches Subnetz oder anderes Subnetz? Ein Gerät entscheidet zuerst: Liegt das Ziel im eigenen Subnetz? Oder liegt das Ziel in einem anderen Subnetz? Beispiel 1: PC: 192.168.10.20/24 Ziel: 192.168.10.50 Das Ziel liegt im gleichen Subnetz. Direkte lokale Zustellung möglich. Beispiel 2: PC: 192.168.10.20/24 Ziel: 192.168.20.50 Das Ziel liegt in einem anderen Subnetz. Standard-Gateway nötig. Merksatz: Gleiches Subnetz = direkt. Anderes Subnetz = Gateway. Standard-Gateway Das Standard-Gateway ist der Router, den ein Gerät für Ziele außerhalb des eigenen Subnetzes verwendet. Beispiel: PC: 192.168.10.20/24 Standard-Gateway: 192.168.10.1 Wenn der PC ein Ziel außerhalb von 192.168.10.0/24 erreichen möchte, sendet er das Paket an das Gateway. Merksatz: Standard-Gateway = Ausgang in andere Netze. Gateway muss im eigenen Subnetz liegen Das Standard-Gateway muss für den Client lokal erreichbar sein. Beispiel korrekt: PC: 192.168.10.20/24 Gateway: 192.168.10.1 Beide liegen im Netz: 192.168.10.0/24 Beispiel falsch: PC: 192.168.10.20/24 Gateway: 192.168.20.1 Das Gateway liegt nicht im eigenen Subnetz und ist für den PC nicht direkt erreichbar. Merksatz: Das Gateway muss im eigenen lokalen Subnetz erreichbar sein. Router Ein Router verbindet verschiedene IP-Netze miteinander. Er besitzt meistens mehrere Schnittstellen. Jede Schnittstelle gehört zu einem bestimmten Netz. Beispiel: Router-Schnittstelle IP-Adresse Netz LAN 1 192.168.10.1/24 192.168.10.0/24 LAN 2 192.168.20.1/24 192.168.20.0/24 WAN öffentliche IP Internet Der Router kann Pakete zwischen diesen Netzen weiterleiten. Merksatz: Router haben Schnittstellen in verschiedenen IP-Netzen. Router und Switch unterscheiden Gerät typische Schicht Aufgabe Switch 2 leitet Frames anhand von MAC-Adressen weiter Router 3 leitet IP-Pakete zwischen Netzen weiter Ein Switch entscheidet anhand von: MAC-Adressen Ein Router entscheidet anhand von: IP-Adressen Merksatz: Switch = MAC. Router = IP. Routing-Tabelle Eine Routing-Tabelle enthält Wege zu Zielnetzen. Ein Router nutzt diese Tabelle, um zu entscheiden, wohin ein Paket weitergeleitet wird. Eine Routing-Tabelle enthält typischerweise: - Zielnetz - Subnetzmaske oder Präfix - nächster Hop - Ausgangsschnittstelle - Metrik Merksatz: Routing-Tabelle = Wegweiser für IP-Pakete. Beispiel einer Routing-Tabelle Vereinfachte Routing-Tabelle: Zielnetz Präfix Nächster Hop Schnittstelle 192.168.10.0 /24 direkt verbunden LAN 1 192.168.20.0 /24 direkt verbunden LAN 2 10.10.0.0 /16 192.168.20.254 LAN 2 0.0.0.0 /0 Provider-Router WAN Bedeutung: 192.168.10.0/24 liegt direkt an LAN 1. 192.168.20.0/24 liegt direkt an LAN 2. 10.10.0.0/16 ist über 192.168.20.254 erreichbar. Alles andere geht über die Default Route. Merksatz: Jede Route beschreibt einen Weg zu einem Zielnetz. Direkt verbundene Route Eine direkt verbundene Route entsteht, wenn eine Router-Schnittstelle eine IP-Adresse aus diesem Netz hat. Beispiel: Router-Interface: 192.168.10.1/24 Dann kennt der Router direkt: 192.168.10.0/24 Für dieses Netz braucht der Router keinen nächsten Router. Merksatz: Direkt verbunden = Netz liegt an eigener Schnittstelle. Statische Route Eine statische Route wird manuell eingetragen. Beispiel: Zielnetz: 10.20.30.0/24 nächster Hop: 192.168.10.254 Der Administrator legt also fest: Pakete zu 10.20.30.0/24 gehen über 192.168.10.254. Vorteile: - einfach bei kleinen Netzen - gut kontrollierbar - kein Routing-Protokoll nötig Nachteile: - manuelle Pflege - fehleranfällig bei Änderungen - keine automatische Anpassung bei Ausfällen Merksatz: Statische Route = manuell eingetragener Weg. Dynamische Route Dynamische Routen werden automatisch über Routing-Protokolle gelernt. Beispiele für Routing-Protokolle: - RIP - OSPF - BGP Router tauschen dabei Informationen über erreichbare Netze aus. Vorteile: - automatische Anpassung - besser für größere Netze - alternative Wege möglich Nachteile: - komplexer - muss richtig geplant werden - braucht Absicherung Merksatz: Dynamische Route = automatisch gelernter Weg. Default Route Eine Default Route wird verwendet, wenn keine genauere Route passt. IPv4-Schreibweise: 0.0.0.0/0 Bedeutung: alle IPv4-Ziele Beispiel: Wenn der Router das Zielnetz nicht genauer kennt, sendet er das Paket an den Provider-Router. Merksatz: Default Route = Route für alles Unbekannte. Warum ist die Default Route wichtig? Ohne Default Route kennt ein Router oder Client nur bestimmte Netze. Ein normaler Client kennt meistens: eigenes Subnetz Standard-Gateway Für Internetziele braucht der Client sein Gateway. Der Router braucht wiederum oft eine Default Route Richtung Internet. Merksatz: Ohne Default Route funktionieren unbekannte externe Ziele nicht. Nächster Hop Der nächste Hop ist das nächste Gerät auf dem Weg zum Ziel. Meistens ist das ein Router. Beispiel: Zielnetz: 10.10.0.0/16 nächster Hop: 192.168.20.254 Der Router sendet das Paket an 192.168.20.254, damit es von dort weitergeleitet wird. Merksatz: Nächster Hop = nächster Router auf dem Weg. Ausgangsschnittstelle Die Ausgangsschnittstelle ist die Schnittstelle, über die ein Paket den Router verlässt. Beispiele: LAN WAN VLAN 10 VLAN 20 SFP-Port Tunnel-Interface Bei direkt verbundenen Netzen reicht oft die Ausgangsschnittstelle. Bei entfernten Netzen wird häufig ein nächster Hop angegeben. Merksatz: Ausgangsschnittstelle = Port oder Interface, über das das Paket weitergeht. Metrik Die Metrik ist ein Wert zur Bewertung einer Route. Wenn mehrere Wege zum gleichen Ziel vorhanden sind, kann die Metrik bei der Auswahl helfen. Eine kleinere Metrik bedeutet häufig: bevorzugter Weg Die genaue Bedeutung hängt vom Routing-Verfahren ab. Merksatz: Metrik = Bewertung eines Weges. Longest Prefix Match Wenn mehrere Routen passen, wählt der Router die genaueste Route. Das nennt man: Longest Prefix Match Beispiel: Route passt für Ziel 192.168.10.50? 192.168.0.0/16 ja 192.168.10.0/24 ja 192.168.10.48/28 ja 0.0.0.0/0 ja Die genaueste Route ist: 192.168.10.48/28 Warum? /28 hat den längsten passenden Präfix. Merksatz: Genaueste passende Route gewinnt. Default Route und Longest Prefix Match Die Default Route passt immer. Aber sie ist am wenigsten genau. Beispiel: Route Präfix 192.168.10.0/24 /24 192.168.0.0/16 /16 0.0.0.0/0 /0 Für das Ziel: 192.168.10.20 wird die /24-Route gewählt. Die Default Route wird nur verwendet, wenn keine genauere Route passt. Merksatz: Default Route ist der letzte Ausweg. Routing-Entscheidung Schritt für Schritt Ein Router arbeitet vereinfacht so: 1. IP-Paket kommt an. 2. Router liest die Ziel-IP-Adresse. 3. Router sucht passende Route in der Routing-Tabelle. 4. Genaueste passende Route wird gewählt. 5. Router bestimmt nächsten Hop oder Ausgangsschnittstelle. 6. Router erstellt einen neuen lokalen Frame. 7. Paket wird weitergeleitet. Merksatz: Router entscheidet nach Ziel-IP, nicht nach Ziel-MAC des alten Frames. Was passiert mit dem Ethernet-Frame am Router? Ein Router trennt Schicht-2-Abschnitte. Wenn ein Frame beim Router ankommt, passiert vereinfacht: Der Router entfernt den alten Ethernet-Frame. Das IP-Paket wird geprüft. Der Router entscheidet den nächsten Weg. Für den nächsten Abschnitt wird ein neuer Ethernet-Frame erstellt. Dabei ändern sich: Quell-MAC-Adresse Ziel-MAC-Adresse Grundsätzlich gleich bleiben: Quell-IP-Adresse Ziel-IP-Adresse Ausnahme: NAT oder PAT kann IP-Adressen verändern. Merksatz: Router erneuert den Frame, aber routet das IP-Paket weiter. ARP beim Routing Auch Router brauchen lokale MAC-Adressen. Wenn ein Router ein Paket zum nächsten Hop senden soll, muss er die MAC-Adresse des nächsten Hops kennen. Dafür verwendet er bei IPv4 ARP. Beispiel: nächster Hop: 192.168.20.254 Der Router fragt per ARP: Wer hat 192.168.20.254? Merksatz: Routing entscheidet den Weg, ARP findet die lokale MAC für den nächsten Abschnitt. Routing zwischen VLANs VLANs trennen auf Schicht 2. Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing. Das nennt man: Inter-VLAN-Routing Beispiel: VLAN 10: 192.168.10.0/24 VLAN 20: 192.168.20.0/24 Kommunikation zwischen VLAN 10 und VLAN 20 benötigt eine Schicht-3-Komponente. Merksatz: VLAN zu VLAN braucht Routing. Router-on-a-Stick Router-on-a-Stick ist eine Methode für Inter-VLAN-Routing. Dabei gibt es eine Trunk-Verbindung zwischen Switch und Router. Über diesen Trunk laufen mehrere VLANs. Der Router nutzt logische Unterinterfaces. Beispiel: Unterinterface VLAN Gateway-IP G0/0.10 VLAN 10 192.168.10.1 G0/0.20 VLAN 20 192.168.20.1 G0/0.30 VLAN 30 192.168.30.1 Merksatz: Router-on-a-Stick = Routing mehrerer VLANs über einen Router-Trunk. Layer-3-Switch Ein Layer-3-Switch kann Switching und Routing kombinieren. Er arbeitet: auf Schicht 2 als Switch und auf Schicht 3 als Router Er kann zwischen VLANs routen, ohne dass ein separater Router nötig ist. Dafür nutzt er oft virtuelle Schnittstellen. Diese heißen je nach System zum Beispiel: SVI VLAN-Interface Routing-Interface Merksatz: Layer-3-Switch = Switch mit Routing-Funktion. Firewall als Gateway In vielen Netzwerken ist eine Firewall das Standard-Gateway für VLANs. Beispiel: VLAN Gateway auf Firewall VLAN 10 192.168.10.1 VLAN 20 192.168.20.1 VLAN 30 192.168.30.1 Vorteil: Die Firewall kann den Verkehr zwischen VLANs kontrollieren. Beispiel: Gäste dürfen ins Internet. Gäste dürfen nicht auf Server. Mitarbeiter dürfen auf bestimmte Serverdienste. Merksatz: Firewall als Gateway verbindet Routing mit Zugriffskontrolle. Routing und Firewall unterscheiden Routing entscheidet: Wohin soll ein Paket weitergeleitet werden? Firewall entscheidet: Darf dieses Paket weitergeleitet werden? Beide Funktionen können im gleichen Gerät sitzen. Beispiel: Eine Firewall routet zwischen VLANs und prüft dabei Regeln. Merksatz: Routing findet den Weg. Firewall erlaubt oder blockiert. NAT und Routing unterscheiden Routing leitet Pakete zwischen Netzen weiter. NAT verändert IP-Adressen. Beispiel Routing: Paket wird von VLAN 10 ins Internet weitergeleitet. Beispiel NAT: private Quell-IP 192.168.10.20 wird zur öffentlichen IP des Routers übersetzt. Merksatz: Routing leitet weiter. NAT übersetzt Adressen. PAT und Internetzugang PAT ist eine häufige Form von NAT. PAT steht für: Port Address Translation Viele interne Geräte teilen sich eine öffentliche IPv4-Adresse. Beispiel: PC 1: 192.168.10.20 PC 2: 192.168.10.30 Beide nutzen nach außen dieselbe öffentliche IP-Adresse. Der Router unterscheidet die Verbindungen über Port-Zuordnungen. Merksatz: PAT ermöglicht vielen privaten Geräten gemeinsamen Internetzugang über eine öffentliche IP. Routing-Schleife Eine Routing-Schleife entsteht, wenn Router Pakete im Kreis weiterleiten. Beispiel: Router A sendet zu Router B. Router B sendet zurück zu Router A. Folge: Das Paket kreist im Netz, bis die TTL abläuft. Merksatz: Routing-Schleife = Paket läuft auf Schicht 3 im Kreis. TTL bei Routing-Schleifen TTL steht für: Time To Live Jeder Router verringert die TTL eines IP-Pakets. Wenn TTL 0 erreicht, wird das Paket verworfen. Zweck: IP-Pakete sollen nicht endlos im Netz kreisen. Merksatz: TTL begrenzt Routing-Schleifen. Traceroute und Routing Traceroute nutzt TTL-Verhalten, um den Weg zu einem Ziel sichtbar zu machen. Je nach Betriebssystem heißt der Befehl: tracert traceroute tracepath Traceroute zeigt: welche Router auf dem Weg liegen und wo die Verbindung möglicherweise stoppt. Merksatz: Traceroute hilft beim Prüfen des Routing-Wegs. Ping und Routing Ping kann helfen zu prüfen, ob ein Ziel per IP erreichbar ist. Ping nutzt typischerweise ICMP Echo Request und Echo Reply. Wenn Ping nicht funktioniert, kann das viele Ursachen haben: - Ziel aus - falsche IP-Adresse - falsches Gateway - fehlende Route - Firewall blockiert ICMP - Routing-Problem - Schicht-1- oder Schicht-2-Problem Merksatz: Ping prüft Erreichbarkeit, aber erklärt nicht allein die Ursache. Typische Routing-Fehler Typische Fehler sind: - falsches Standard-Gateway - fehlende Default Route - fehlende Route zum Zielnetz - falscher nächster Hop - Gateway nicht erreichbar - falsche Subnetzmaske - Routing-Schleife - asymmetrisches Routing - Firewall blockiert Verkehr - NAT falsch konfiguriert Merksatz: Routing-Fehler betreffen Wege zwischen IP-Netzen. Fehlerbild: Gateway nicht erreichbar Mögliche Ursachen: - Gateway-IP falsch eingetragen - Gateway liegt nicht im eigenen Subnetz - falsches VLAN - Router-Interface down - ARP zum Gateway funktioniert nicht - Schicht-1-Problem - Schicht-2-Problem Prüfung: IP-Adresse prüfen. Subnetzmaske prüfen. Gateway prüfen. ARP-Eintrag prüfen. VLAN prüfen. Link prüfen. Merksatz: Gateway-Probleme können Schicht 2 oder Schicht 3 betreffen. Fehlerbild: Internet funktioniert nicht Wenn ein Client das Internet nicht erreicht, kann ein Routing-Problem vorliegen. Mögliche Ursachen: - falsches Gateway - Gateway nicht erreichbar - DNS funktioniert nicht - Default Route fehlt - NAT fehlt - Firewall blockiert - Provider-Verbindung gestört - IP-Konfiguration falsch Wichtig: DNS-Problem und Routing-Problem unterscheiden. Beispiel: Ping auf 8.8.8.8 funktioniert, aber www.example.com nicht. Dann ist Routing wahrscheinlich grundsätzlich möglich, aber DNS könnte das Problem sein. Merksatz: IP-Ziel testen, danach DNS prüfen. Fehlerbild: Ein Netz erreicht anderes Netz nicht Beispiel: VLAN 10 erreicht VLAN 20 nicht. Mögliche Ursachen: - Inter-VLAN-Routing fehlt - Gateway-IP fehlt - falsche Firewall-Regel - falsche Route - VLAN nicht korrekt angebunden - Subnetzmaske falsch - Rückroute fehlt Merksatz: Kommunikation zwischen Netzen braucht Hin- und Rückweg. Rückroute Eine Rückroute ist der Weg zurück zum Absendernetz. Kommunikation braucht nicht nur einen Hinweg, sondern auch einen Rückweg. Beispiel: Netz A sendet zu Netz B. Netz B muss Antwortpakete zurück zu Netz A senden können. Wenn die Rückroute fehlt, sieht es so aus, als ob das Ziel nicht antwortet. Merksatz: Ohne Rückroute keine funktionierende Antwort. Asymmetrisches Routing Asymmetrisches Routing bedeutet: Hinweg und Rückweg nehmen unterschiedliche Pfade. Das ist nicht immer ein Fehler. Aber es kann problematisch sein, wenn Firewalls oder zustandsbehaftete Prüfungen beteiligt sind. Warum? Eine Firewall erwartet oft, dass sie beide Richtungen einer Verbindung sieht. Merksatz: Asymmetrisches Routing kann Firewalls stören. Routing und Dokumentation Routing sollte sauber dokumentiert werden. Wichtige Informationen: - Netze - Subnetze - Gateways - Routing-Tabellen - Default Routes - Firewall-Zonen - VLAN-Zuordnung - NAT-Regeln - WAN-Verbindungen Merksatz: Ohne Dokumentation wird Routing-Fehlersuche schnell unübersichtlich. Einordnung in das OSI-Modell Thema Schicht Ethernet-Frame 2 MAC-Adresse 2 VLAN 2 IP-Adresse 3 IP-Paket 3 Routing 3 Router 3 Gateway 3 Routing-Tabelle 3 ICMP 3 TCP-Port 4 DNS 7 Merksatz: MAC/VLAN = Schicht 2. IP/Routing = Schicht 3. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Routing? - Welche Aufgabe hat ein Router? - Was ist eine Routing-Tabelle? - Was ist eine Default Route? - Was bedeutet 0.0.0.0/0? - Was ist ein Standard-Gateway? - Wann wird ein Gateway benötigt? - Was ist ein nächster Hop? - Was bedeutet Longest Prefix Match? - Was ist der Unterschied zwischen statischem und dynamischem Routing? - Was ist Inter-VLAN-Routing? - Was ist Router-on-a-Stick? - Was ist ein Layer-3-Switch? - Was ist eine Routing-Schleife? - Warum ist TTL wichtig? - Warum braucht Kommunikation auch eine Rückroute? Typische Prüfungsfallen Routing gehört zu Schicht 3. Router leiten IP-Pakete weiter, keine Ethernet-Frames über mehrere Netze. Switches leiten Frames anhand von MAC-Adressen weiter. Router entscheiden anhand von IP-Adressen. Gateway wird nur für Ziele außerhalb des eigenen Subnetzes benötigt. Das Standard-Gateway muss im eigenen Subnetz liegen. Default Route = 0.0.0.0/0. Genaueste passende Route gewinnt. Direkt verbundene Netze brauchen keinen nächsten Hop. Kommunikation braucht Hinweg und Rückweg. Fehlende Rückroute kann wie ein Zielproblem aussehen. Routing ist nicht NAT. Routing ist nicht Firewall. VLAN zu VLAN braucht Routing. TTL begrenzt Routing-Schleifen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Routing Weiterleitung von IP-Paketen zwischen Netzen Router Gerät zur Verbindung verschiedener IP-Netze Routing-Tabelle Tabelle mit Wegen zu Zielnetzen Zielnetz Netz, zu dem ein Paket geleitet werden soll Nächster Hop nächster Router auf dem Weg Ausgangsschnittstelle Interface, über das das Paket weitergeht Metrik Bewertung eines Weges Direkt verbunden Netz liegt an eigener Schnittstelle Statische Route manuell eingetragene Route Dynamische Route automatisch gelernte Route Default Route Route für unbekannte Ziele Longest Prefix Match genaueste passende Route gewinnt Standard-Gateway Router für Ziele außerhalb des eigenen Netzes Inter-VLAN-Routing Routing zwischen VLANs Router-on-a-Stick Inter-VLAN-Routing über Router-Trunk Layer-3-Switch Switch mit Routing-Funktion NAT Übersetzung von IP-Adressen PAT NAT mit Port-Zuordnung Routing-Schleife Paket läuft auf Schicht 3 im Kreis TTL begrenzt Lebensdauer eines IP-Pakets Rückroute Weg zurück zum Absendernetz asymmetrisches Routing Hin- und Rückweg sind unterschiedlich IHK-sichere Kurzformulierung Routing ist die Weiterleitung von IP-Paketen zwischen unterschiedlichen IP-Netzen und gehört zu OSI-Schicht 3. Ein Router entscheidet anhand der Ziel-IP-Adresse und seiner Routing-Tabelle, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, sendet ein Client das Paket an sein Standard-Gateway. Die Default Route 0.0.0.0/0 wird verwendet, wenn keine genauere Route vorhanden ist. Bei mehreren passenden Routen gilt das Longest Prefix Match, also die genaueste passende Route gewinnt. Für funktionierende Kommunikation müssen Hinweg und Rückweg vorhanden sein. Merksätze Routing = Schicht 3. Routing = IP-Pakete zwischen Netzen weiterleiten. Router entscheidet anhand der Ziel-IP. Switch entscheidet anhand der Ziel-MAC. Routing-Tabelle = Wegweiser für IP-Pakete. Gateway = Ausgang in andere Netze. Gleiches Subnetz = direkt. Anderes Subnetz = Gateway. Gateway muss im eigenen Subnetz liegen. Direkt verbunden = eigene Schnittstelle im Zielnetz. Statische Route = manuell. Dynamische Route = automatisch gelernt. Default Route = 0.0.0.0/0. Default Route = letzter Ausweg. Longest Prefix Match = genaueste Route gewinnt. Nächster Hop = nächster Router. Router erneuert den Ethernet-Frame. IP-Paket wird weitergeroutet. MAC ändert sich pro Abschnitt. IP bleibt grundsätzlich erhalten. VLAN zu VLAN braucht Routing. Routing findet den Weg. Firewall entscheidet erlaubt oder blockiert. NAT übersetzt Adressen. TTL begrenzt Routing-Schleifen. Kommunikation braucht Hinweg und Rückweg. 6.4 ICMP, Ping und Traceroute ICMP gehört zu den wichtigsten Protokollen im Umfeld von OSI-Schicht 3. ICMP steht für: Internet Control Message Protocol Auf Deutsch sinngemäß: Internet-Kontrollnachrichten-Protokoll ICMP wird verwendet, um Kontroll- und Fehlermeldungen im IP-Netz zu übertragen. Merksatz: ICMP = Kontroll- und Fehlermeldungen für IP. Warum gibt es ICMP? IP selbst ist ein verbindungsloses Protokoll. Das bedeutet: IP sendet Pakete weiter, baut aber keine Verbindung wie TCP auf. Wenn im IP-Netz etwas nicht funktioniert, braucht man trotzdem Rückmeldungen. Beispiele: Ziel nicht erreichbar Paket zu groß TTL abgelaufen Echo-Anfrage Echo-Antwort Diese Meldungen werden über ICMP übertragen. Merksatz: ICMP ergänzt IP um Kontroll- und Fehlermeldungen. ICMP im OSI-Modell ICMP gehört fachlich zum IP-Umfeld. Es wird meistens bei Schicht 3 eingeordnet. Warum? ICMP arbeitet mit IP. ICMP wird für IP-Kontrollmeldungen verwendet. ICMP nutzt keine TCP- oder UDP-Ports. Wichtig: ICMP ist nicht TCP. ICMP ist nicht UDP. Merksatz: ICMP gehört zum IP-Umfeld auf Schicht 3. ICMP und Ports ICMP nutzt keine TCP- oder UDP-Ports. Das ist eine wichtige Prüfungsfalle. TCP und UDP arbeiten mit Ports. Beispiele: TCP 80 = HTTP TCP 443 = HTTPS UDP 53 = DNS ICMP arbeitet anders. ICMP verwendet: Typ und Code Merksatz: ICMP hat keine Ports, sondern Typ und Code. ICMP-Typ und ICMP-Code ICMP-Nachrichten werden durch Typ und Code genauer beschrieben. Der Typ sagt grob, welche Art von Nachricht es ist. Der Code beschreibt die Nachricht genauer. Beispiel: ICMP-Nachricht Bedeutung Echo Request Anfrage bei Ping Echo Reply Antwort bei Ping Destination Unreachable Ziel nicht erreichbar Time Exceeded Zeit / TTL abgelaufen Für AP1/AP2 reicht meistens: ICMP nutzt Typ und Code, nicht TCP- oder UDP-Ports. Merksatz: Typ = Art der ICMP-Nachricht. Code = genauere Ursache. Ping Ping ist ein Werkzeug zur Prüfung der IP-Erreichbarkeit. Ping verwendet klassisch ICMP Echo Request und ICMP Echo Reply. Vereinfacht: Echo Request: Bist du erreichbar? Echo Reply: Ja, ich bin erreichbar. Wenn eine Antwort kommt, weiß man: Das Ziel ist grundsätzlich per IP erreichbar. Der Rückweg funktioniert ebenfalls. ICMP wird nicht blockiert. Merksatz: Ping prüft grundlegende IP-Erreichbarkeit. Ping-Ablauf Beispiel: PC pingt 192.168.10.1 Vereinfacht passiert: 1. PC erstellt ICMP Echo Request. 2. ICMP wird in ein IP-Paket verpackt. 3. IP-Paket wird lokal als Ethernet-Frame gesendet. 4. Zielgerät empfängt die Anfrage. 5. Zielgerät sendet ICMP Echo Reply zurück. 6. PC misst Antwortzeit und Paketverlust. Merksatz: Ping sendet ICMP-Anfrage und erwartet ICMP-Antwort. Was Ping anzeigen kann Ping kann zeigen: - Ziel antwortet oder antwortet nicht - ungefähre Antwortzeit - Paketverlust - Namensauflösung, wenn ein Name verwendet wird - ob grundsätzlich IP-Kommunikation möglich ist Beispiel: ping 192.168.10.1 prüft direkt eine IP-Adresse. Beispiel: ping www.example.com prüft zusätzlich, ob der Name aufgelöst werden kann. Merksatz: Ping auf IP prüft IP-Erreichbarkeit. Ping auf Name prüft zusätzlich DNS-Auflösung. Was Ping nicht sicher beweist Ein erfolgreicher Ping bedeutet nicht automatisch: Webseite funktioniert. TCP-Port ist offen. Anwendung läuft. Benutzer kann sich anmelden. Firewall erlaubt alle Dienste. DNS ist vollständig korrekt. Netzwerk ist fehlerfrei. Ping prüft nur eine bestimmte Art von Erreichbarkeit. Ein Gerät kann Ping beantworten, aber trotzdem keinen Webdienst bereitstellen. Merksatz: Ping erreichbar heißt nicht: Anwendung funktioniert. Wenn Ping nicht funktioniert Wenn Ping nicht funktioniert, kann das viele Ursachen haben. Mögliche Ursachen: - Zielgerät ausgeschaltet - falsche IP-Adresse - falsche Subnetzmaske - falsches Gateway - fehlende Route - Firewall blockiert ICMP - ICMP am Ziel deaktiviert - VLAN-Problem - ARP-Problem - Schicht-1-Problem - Schicht-2-Problem Wichtig: Kein Ping bedeutet nicht automatisch, dass das Ziel komplett unerreichbar ist. Merksatz: Ping-Fehler ist ein Hinweis, aber noch keine eindeutige Ursache. Ping und Firewall Firewalls können ICMP blockieren. Das bedeutet: Ein Ziel kann erreichbar sein, aber auf Ping nicht antworten. Beispiel: HTTPS funktioniert. Ping funktioniert nicht. Mögliche Erklärung: TCP 443 ist erlaubt, ICMP Echo ist blockiert. Merksatz: Geblockter Ping bedeutet nicht automatisch: Ziel ist offline. Ping und DNS unterscheiden Wenn man einen Namen pingt, wird zuerst DNS benötigt. Beispiel: ping www.example.com Vor dem eigentlichen Ping muss das System herausfinden: Welche IP-Adresse gehört zu www.example.com? Wenn DNS nicht funktioniert, kann der Ping auf den Namen scheitern. Ein Ping auf die IP-Adresse kann trotzdem funktionieren. Merksatz: Ping auf Namen prüft auch DNS. Ping auf IP prüft DNS nicht. Beispiel: DNS oder Routing? Fehlerbild: ping 8.8.8.8 funktioniert. ping www.example.com funktioniert nicht. Wahrscheinliche Ursache: DNS-Problem Warum? Die IP-Kommunikation ins Internet funktioniert grundsätzlich. Aber der Name kann nicht aufgelöst werden. Merksatz: IP funktioniert, Name nicht: DNS prüfen. Beispiel: Gateway prüfen Ein sinnvoller erster Ping-Test im LAN ist oft das Standard-Gateway. Beispiel: Client: 192.168.10.20/24 Gateway: 192.168.10.1 Test: ping 192.168.10.1 Wenn das Gateway nicht erreichbar ist, prüft man: - IP-Adresse des Clients - Subnetzmaske - Gateway-Adresse - VLAN - ARP - Switch-Port - Link Merksatz: Gateway-Ping prüft die lokale Verbindung zum Router. Beispiel: Internet-IP prüfen Nach dem Gateway kann man eine externe IP-Adresse testen. Beispiel: ping 8.8.8.8 Wenn Gateway erreichbar ist, aber externe IP nicht, prüft man: - Default Route - Router - Firewall - NAT - Provider-Verbindung - Rückroute - Internetanschluss Merksatz: Externe IP prüft Routing Richtung Internet, aber nicht DNS. Beispiel: Namen prüfen Danach kann man einen Namen testen. Beispiel: ping www.example.com Wenn externe IP erreichbar ist, aber Name nicht, prüft man: - DNS-Server - DNS-Konfiguration - DNS-Erreichbarkeit - Firewall-Regeln für DNS - falsche Suchdomäne - lokale Hosts-Datei Merksatz: Name funktioniert nicht: DNS prüfen. Ping-Reihenfolge bei Fehlersuche Eine einfache Reihenfolge: 1. eigene IP-Konfiguration prüfen 2. eigenes Gateway pingen 3. anderes Gerät im gleichen Netz pingen 4. externe IP-Adresse pingen 5. DNS-Namen pingen 6. Dienst gezielt prüfen Beispiel: ping 192.168.10.1 ping 8.8.8.8 ping www.example.com Merksatz: Erst lokal, dann extern, dann Name. Traceroute Traceroute ist ein Werkzeug, um den Weg zu einem Ziel sichtbar zu machen. Je nach Betriebssystem heißt der Befehl: Windows: tracert Linux: traceroute Linux teilweise: tracepath macOS: traceroute Traceroute zeigt die Router auf dem Weg zum Ziel. Merksatz: Traceroute zeigt den Weg durch das IP-Netz. Wofür nutzt man Traceroute? Traceroute hilft bei Fragen wie: Über welche Router läuft die Verbindung? Wo stoppt die Verbindung? Wie viele Hops gibt es? Gibt es hohe Verzögerungen auf einem Abschnitt? Gibt es Routing-Probleme? Gibt es ungewöhnliche Wege? Traceroute ist besonders hilfreich bei Problemen zwischen Netzen. Merksatz: Traceroute hilft bei der Routing-Fehlersuche. Begriff: Hop Ein Hop ist ein Schritt über einen Router. Beispiel: PC → Router 1 → Router 2 → Router 3 → Ziel Hier gibt es mehrere Hops. Jeder Router auf dem Weg zählt als Hop. Merksatz: Hop = ein Router-Schritt auf dem Weg. TTL TTL steht für: Time To Live TTL ist ein Feld im IP-Paket. Es begrenzt, wie lange ein Paket im Netz weitergeleitet werden darf. Jeder Router verringert die TTL um 1. Wenn TTL 0 erreicht, wird das Paket verworfen. Merksatz: TTL begrenzt die Lebensdauer eines IP-Pakets. Warum ist TTL wichtig? TTL verhindert, dass IP-Pakete endlos im Netz kreisen. Das kann zum Beispiel bei einer Routing-Schleife passieren. Ohne TTL könnten Pakete dauerhaft im Kreis laufen. Mit TTL gilt: Jeder Router verringert den Wert. Bei 0 wird das Paket verworfen. Merksatz: TTL schützt vor endlosen Routing-Schleifen. Traceroute und TTL Traceroute nutzt das TTL-Verhalten aus. Vereinfacht: 1. Erstes Paket wird mit TTL 1 gesendet. 2. Erster Router verringert TTL auf 0. 3. Erster Router verwirft das Paket. 4. Erster Router sendet eine ICMP-Time-Exceeded-Meldung zurück. 5. Traceroute kennt dadurch den ersten Router. Dann: Paket mit TTL 2 Paket mit TTL 3 Paket mit TTL 4 So wird Schritt für Schritt der Weg sichtbar. Merksatz: Traceroute findet Router, indem TTL schrittweise erhöht wird. ICMP Time Exceeded Wenn TTL 0 erreicht, verwirft ein Router das Paket. Oft sendet er dann eine ICMP-Meldung zurück. Diese Meldung heißt: Time Exceeded Auf Deutsch sinngemäß: Zeit überschritten Traceroute nutzt diese Meldungen, um Router auf dem Weg zu erkennen. Merksatz: Time Exceeded zeigt: TTL ist abgelaufen. Traceroute-Ausgabe verstehen Eine typische Traceroute-Ausgabe zeigt pro Zeile einen Hop. Beispiel vereinfacht: Hop Gerät Bedeutung 1 192.168.10.1 eigenes Gateway 2 Provider-Router erster Router beim Provider 3 weiterer Router Weg durchs Netz 4 Ziel Ziel erreicht Zusätzlich werden Antwortzeiten angezeigt. Merksatz: Jede Zeile bei Traceroute zeigt meist einen Router-Hop. Sterne in Traceroute In Traceroute-Ausgaben sieht man manchmal Sterne. Beispiel: * * * Das bedeutet häufig: keine Antwort auf diese Messung Mögliche Ursachen: - Router antwortet nicht auf ICMP - Firewall blockiert - Paket wurde verworfen - Antwortweg funktioniert nicht - Router priorisiert solche Antworten niedrig Wichtig: Sterne bedeuten nicht automatisch, dass dort ein echter Ausfall ist. Merksatz: Sterne bei Traceroute können Blockierung oder fehlende Antwort bedeuten. Hohe Zeiten in Traceroute Hohe Antwortzeiten bei einem Hop können auf Verzögerung hinweisen. Aber Vorsicht: Router priorisieren Weiterleitung oft höher als Antworten an Traceroute. Das bedeutet: Ein Hop kann langsam antworten, aber normalen Datenverkehr trotzdem schnell weiterleiten. Wichtig ist besonders: Steigen die Zeiten ab einem Hop dauerhaft? Oder ist nur ein einzelner Hop auffällig? Merksatz: Traceroute-Zeiten immer vorsichtig interpretieren. Traceroute und Firewall Firewalls können Traceroute beeinflussen. Mögliche Effekte: - einzelne Hops antworten nicht - Ziel antwortet nicht - ICMP wird blockiert - UDP-Traceroute wird blockiert - Pfad wirkt unvollständig Trotzdem kann die Anwendung funktionieren. Merksatz: Traceroute kann durch Firewalls unvollständig aussehen. Traceroute ist nicht immer symmetrisch Traceroute zeigt normalerweise den Hinweg aus Sicht des Absenders. Der Rückweg kann anders verlaufen. Das nennt man: asymmetrisches Routing Bei Internetverbindungen ist das nicht ungewöhnlich. Merksatz: Traceroute zeigt meist nur den Hinweg, nicht sicher den Rückweg. Pathping Unter Windows gibt es zusätzlich: pathping Pathping kombiniert Eigenschaften von Ping und Traceroute. Es zeigt den Weg und misst Paketverluste über längere Zeit. Typischer Nutzen: Paketverlust auf bestimmten Wegabschnitten erkennen Merksatz: Pathping kombiniert Weganzeige und Verlustmessung. MTR Unter Linux und macOS wird häufig MTR genutzt. MTR kombiniert ebenfalls Ping und Traceroute. Es zeigt laufend: - Hops - Antwortzeiten - Paketverluste - Schwankungen MTR ist besonders hilfreich bei instabilen Netzwerkproblemen. Merksatz: MTR = laufende Traceroute- und Ping-Analyse. ICMP Destination Unreachable Destination Unreachable bedeutet: Ziel nicht erreichbar Das kann verschiedene Gründe haben. Beispiele: - Zielnetz nicht erreichbar - Zielhost nicht erreichbar - Protokoll nicht erreichbar - Port nicht erreichbar - Fragmentierung nötig, aber nicht möglich Für AP1/AP2 reicht meist: ICMP kann melden, dass ein Ziel oder Weg nicht erreichbar ist. Merksatz: Destination Unreachable = Ziel oder Weg nicht erreichbar. Paket zu groß und MTU ICMP kann auch helfen, MTU-Probleme zu melden. Wenn ein Paket zu groß ist und nicht fragmentiert werden darf, kann eine ICMP-Meldung zurückkommen. Das ist wichtig für: Path MTU Discovery Dabei wird herausgefunden, welche maximale Paketgröße auf dem Weg möglich ist. Merksatz: ICMP kann bei MTU-Problemen wichtige Hinweise liefern. Path MTU Discovery Path MTU Discovery versucht herauszufinden, wie groß Pakete auf dem gesamten Weg maximal sein dürfen. Wenn ICMP-Meldungen blockiert werden, kann es zu schwer erkennbaren Problemen kommen. Mögliche Symptome: kleine Daten funktionieren große Datenübertragungen hängen Webseiten laden teilweise VPN macht Probleme Merksatz: ICMP komplett zu blockieren kann MTU-Probleme verschleiern. ICMPv4 und ICMPv6 IPv4 verwendet: ICMPv4 IPv6 verwendet: ICMPv6 ICMPv6 ist bei IPv6 besonders wichtig. Warum? IPv6 nutzt ICMPv6 unter anderem für Neighbor Discovery. Wichtig: ICMPv6 sollte nicht pauschal blockiert werden, weil IPv6 sonst gestört werden kann. Merksatz: IPv6 braucht ICMPv6 für wichtige Grundfunktionen. ICMP und Sicherheit ICMP kann für Diagnose sehr nützlich sein. Aber ICMP kann auch missbraucht werden. Mögliche Risiken: - Netzwerkerkundung - Ping-Flood - Informationsgewinn über erreichbare Systeme - bestimmte Angriffsmuster Deshalb blockieren oder begrenzen manche Firewalls ICMP. Wichtig: Nicht blind alles blockieren. Sinnvoll filtern und begrenzen. Merksatz: ICMP ist nützlich, sollte aber kontrolliert erlaubt werden. Ping-Flood Ein Ping-Flood ist ein Angriff oder Störungsszenario, bei dem sehr viele ICMP Echo Requests gesendet werden. Ziel: System oder Netzwerk überlasten Schutzmaßnahmen: - Rate Limiting - Firewall-Regeln - Monitoring - DDoS-Schutz - ICMP begrenzen Merksatz: Ping-Flood = viele ICMP-Anfragen zur Überlastung. ICMP in der Fehlersuche ICMP ist besonders hilfreich für: - Erreichbarkeit prüfen - Routing-Probleme erkennen - TTL-Probleme verstehen - Traceroute nutzen - Paketverluste sehen - Latenz messen - MTU-Probleme erkennen Aber: ICMP-Ergebnisse müssen richtig interpretiert werden. Merksatz: ICMP ist Diagnosewerkzeug, aber kein vollständiger Anwendungstest. Systematische Prüfung mit Ping Eine einfache Prüf-Reihenfolge: 1. eigene IP-Konfiguration prüfen 2. Loopback testen 3. eigene IP testen 4. Gateway testen 5. anderes Gerät im LAN testen 6. externe IP testen 7. DNS-Namen testen 8. Anwendung oder Dienst testen Beispiele: ping 127.0.0.1 ping eigene IP ping Gateway ping externe IP ping DNS-Name Merksatz: Ping systematisch von nah nach fern einsetzen. Loopback-Ping Ein Ping auf die Loopback-Adresse prüft den lokalen IP-Stack. IPv4-Loopback: 127.0.0.1 Beispiel: ping 127.0.0.1 Wenn das funktioniert, arbeitet der lokale IP-Stack grundsätzlich. Wenn es nicht funktioniert, liegt das Problem lokal am System. Merksatz: 127.0.0.1 prüft das eigene System. Eigene IP pingen Nach dem Loopback kann man die eigene IP-Adresse testen. Beispiel: ping 192.168.10.20 Das prüft, ob die IP-Adresse am eigenen Adapter aktiv ist. Wenn Loopback funktioniert, aber eigene IP nicht, prüft man: - Netzwerkkarte - IP-Konfiguration - Adapterstatus - Firewall - Betriebssystem Merksatz: Eigene IP prüft lokale IP-Konfiguration am Adapter. Gateway pingen Danach prüft man das Standard-Gateway. Beispiel: ping 192.168.10.1 Wenn das Gateway nicht erreichbar ist, prüft man: - Link - VLAN - ARP - IP-Adresse - Subnetzmaske - Gateway-Adresse - Switch-Port - Router-Interface Merksatz: Gateway-Ping prüft lokale Netz- und Router-Erreichbarkeit. Externe IP pingen Wenn das Gateway erreichbar ist, kann man eine externe IP testen. Beispiel: ping 8.8.8.8 Wenn das nicht funktioniert, prüft man: - Default Route - NAT - Firewall - Provider - Router - Rückroute - Internetverbindung Merksatz: Externe IP prüft Routing über das lokale Netz hinaus. DNS-Namen pingen Wenn externe IP funktioniert, aber ein Name nicht, liegt der Fehler häufig bei DNS. Beispiel: ping www.example.com Mögliche Ursachen: - falscher DNS-Server - DNS-Server nicht erreichbar - Firewall blockiert DNS - falsche Suchdomäne - lokale Namensauflösung fehlerhaft Merksatz: IP erreichbar, Name nicht: DNS prüfen. Ping und Anwendungstest unterscheiden Ping zeigt nicht, ob ein bestimmter Dienst funktioniert. Beispiel: ping server funktioniert Aber: Webseite lädt nicht. Mögliche Ursachen: - Webserver läuft nicht - TCP-Port 80 oder 443 blockiert - Zertifikatsproblem - DNS zeigt auf falsche IP - Reverse Proxy falsch - Anwendung abgestürzt Merksatz: Ping prüft Erreichbarkeit, nicht den Dienst. Einordnung in das OSI-Modell Thema Schicht Ethernet-Link 1 MAC-Adresse 2 VLAN 2 ARP 2 / 3-Bezug IP-Adresse 3 Routing 3 ICMP 3 Ping 3 Traceroute 3 TTL 3 TCP-Port 4 DNS 7 HTTP / HTTPS 7 Merksatz: Ping und Traceroute prüfen vor allem Schicht 3. Was ICMP nicht macht ICMP macht nicht: - TCP-Verbindung aufbauen - UDP-Datenstrom verwalten - Webseiten ausliefern - DNS-Namen auflösen - Benutzer authentifizieren - Dateien übertragen - Verschlüsselung bereitstellen ICMP ist hauptsächlich für Kontroll- und Diagnosemeldungen im IP-Netz zuständig. Merksatz: ICMP ist Kontrolle und Diagnose, nicht Anwendungstransport. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet ICMP? - Wofür wird ICMP verwendet? - Nutzt ICMP TCP- oder UDP-Ports? - Was ist der Unterschied zwischen ICMP-Typ und Port? - Was macht Ping? - Was ist ein Echo Request? - Was ist ein Echo Reply? - Warum kann Ping blockiert sein? - Was zeigt Traceroute? - Was ist ein Hop? - Was bedeutet TTL? - Warum verhindert TTL endlose Routing-Schleifen? - Wie nutzt Traceroute TTL? - Was bedeutet Destination Unreachable? - Warum ist ICMPv6 wichtig? Typische Prüfungsfallen ICMP ist nicht TCP. ICMP ist nicht UDP. ICMP nutzt keine TCP- oder UDP-Ports. ICMP nutzt Typ und Code. Ping nutzt typischerweise ICMP Echo Request und Echo Reply. Ping-Erfolg bedeutet nicht, dass eine Anwendung funktioniert. Ping-Fehler bedeutet nicht automatisch, dass ein Ziel offline ist. Firewalls können ICMP blockieren. Ping auf Namen prüft auch DNS. Ping auf IP prüft DNS nicht. Traceroute zeigt den Weg über Router. TTL gehört zu IP auf Schicht 3. TTL verhindert endloses Kreisen von IP-Paketen. Sterne bei Traceroute bedeuten nicht automatisch Ausfall. ICMPv6 ist für IPv6 besonders wichtig. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung ICMP Internet Control Message Protocol ICMPv4 ICMP für IPv4 ICMPv6 ICMP für IPv6 Echo Request Ping-Anfrage Echo Reply Ping-Antwort Destination Unreachable Ziel oder Weg nicht erreichbar Time Exceeded TTL abgelaufen Typ Art der ICMP-Nachricht Code genauere Beschreibung der ICMP-Nachricht Ping Werkzeug zur Erreichbarkeitsprüfung Traceroute Werkzeug zur Wegverfolgung tracert Windows-Variante von Traceroute Hop Router-Schritt auf dem Weg TTL Time To Live, Lebensdauerbegrenzung für IP-Pakete Pathping Windows-Werkzeug aus Ping und Traceroute MTR laufende Ping- und Traceroute-Analyse Path MTU Discovery Ermittlung der maximalen Paketgröße auf dem Weg Ping-Flood Überlastung durch viele ICMP-Anfragen IHK-sichere Kurzformulierung ICMP steht für Internet Control Message Protocol und gehört zum IP-Umfeld auf OSI-Schicht 3. Es wird für Kontroll- und Fehlermeldungen in IP-Netzen verwendet und nutzt keine TCP- oder UDP-Ports, sondern Typen und Codes. Ping verwendet typischerweise ICMP Echo Request und Echo Reply, um die grundlegende IP-Erreichbarkeit eines Ziels zu prüfen. Traceroute zeigt den Weg zu einem Ziel über mehrere Router und nutzt dabei das TTL-Verhalten von IP-Paketen. Ein erfolgreicher Ping beweist nicht, dass ein bestimmter Dienst funktioniert, und ein fehlgeschlagener Ping bedeutet nicht automatisch, dass das Ziel offline ist, da ICMP durch Firewalls blockiert werden kann. Merksätze ICMP = Internet Control Message Protocol. ICMP gehört zum IP-Umfeld. ICMP wird meist Schicht 3 zugeordnet. ICMP ist nicht TCP. ICMP ist nicht UDP. ICMP nutzt keine Ports. ICMP nutzt Typ und Code. Ping nutzt Echo Request und Echo Reply. Ping prüft IP-Erreichbarkeit. Ping auf IP prüft kein DNS. Ping auf Namen prüft auch DNS. Ping-Erfolg heißt nicht: Anwendung funktioniert. Ping-Fehler heißt nicht automatisch: Ziel offline. Firewall kann ICMP blockieren. Traceroute zeigt Router-Hops. Hop = Router-Schritt. TTL = Time To Live. Jeder Router verringert TTL. TTL 0 = Paket wird verworfen. TTL verhindert Routing-Endlosschleifen. Traceroute nutzt TTL. Time Exceeded = TTL abgelaufen. Sterne bei Traceroute vorsichtig interpretieren. ICMPv6 ist für IPv6 wichtig. ICMP ist Diagnose, kein Anwendungstest. 6.5 IPv6-Grundlagen IPv6 steht für: Internet Protocol Version 6 IPv6 wurde entwickelt, weil IPv4-Adressen knapp geworden sind und moderne Netzwerke mehr Adressen benötigen. Der wichtigste Unterschied: IPv4 hat 32 Bit. IPv6 hat 128 Bit. Merksatz: IPv6 = IP-Adressierung auf Schicht 3 mit 128 Bit. Warum gibt es IPv6? IPv4 bietet ungefähr 4,3 Milliarden Adressen. Das klingt viel, reicht aber für die heutige Anzahl an Geräten weltweit nicht mehr aus. Gründe für IPv6: - deutlich größerer Adressraum - sehr viele Geräte weltweit - weniger Abhängigkeit von NAT - moderne Autokonfiguration - bessere Unterstützung für große Netze - feste Struktur für heutige Netzwerkanforderungen Merksatz: IPv6 löst vor allem das Adressmangelproblem von IPv4. IPv4 und IPv6 im Vergleich Merkmal IPv4 IPv6 Adresslänge 32 Bit 128 Bit Schreibweise dezimal hexadezimal Beispiel 192.168.10.20 2001:db8::10 Broadcast ja nein Multicast ja ja ARP ja nein NDP nein ja NAT häufig nötig ja normalerweise nicht notwendig Merksatz: IPv4 = 32 Bit. IPv6 = 128 Bit. IPv6-Adresse Eine IPv6-Adresse besteht aus 128 Bit. Sie wird hexadezimal geschrieben. Beispiel: 2001:0db8:0000:0000:0000:0000:0000:0010 Eine IPv6-Adresse besteht aus 8 Blöcken. Jeder Block hat 16 Bit. 8 Blöcke × 16 Bit ergeben: 128 Bit Merksatz: IPv6-Adresse = 8 Blöcke mit je 16 Bit. Hexadezimale Schreibweise IPv6 nutzt hexadezimale Zeichen. Erlaubte Zeichen sind: 0 1 2 3 4 5 6 7 8 9 A B C D E F Beispiel: 2001:db8:abcd:0012:0000:0000:0000:0001 Groß- und Kleinschreibung ist bei IPv6-Adressen nicht entscheidend. Beispiel: db8 und DB8 meinen denselben Wert. Merksatz: IPv6 wird hexadezimal geschrieben. Blöcke in IPv6 Eine vollständige IPv6-Adresse hat 8 Blöcke. Beispiel: 2001:0db8:0000:0000:0000:0000:0000:0010 Die Blöcke sind: Block Wert 1 2001 2 0db8 3 0000 4 0000 5 0000 6 0000 7 0000 8 0010 Merksatz: IPv6 hat 8 hexadezimale Blöcke. IPv6 kürzen IPv6-Adressen können verkürzt geschrieben werden. Regel 1: Führende Nullen in einem Block dürfen weggelassen werden. Beispiel: 0db8 wird zu: db8 Beispiel: 0010 wird zu: 10 Merksatz: Führende Nullen pro Block dürfen wegfallen. Nullblöcke zusammenfassen Mehrere aufeinanderfolgende Nullblöcke dürfen durch zwei Doppelpunkte ersetzt werden. Das Zeichen dafür ist: :: Beispiel vollständig: 2001:0db8:0000:0000:0000:0000:0000:0010 Gekürzt: 2001:db8::10 Merksatz: :: ersetzt zusammenhängende Nullblöcke. Wichtige Regel zu :: Die Abkürzung mit zwei Doppelpunkten darf in einer IPv6-Adresse nur einmal verwendet werden. Warum? Sonst wäre nicht eindeutig, wie viele Nullblöcke ersetzt wurden. Richtig: 2001:db8::10 Falsch: 2001::db8::10 Merksatz: :: darf pro IPv6-Adresse nur einmal vorkommen. Beispiel: IPv6 richtig kürzen Vollständig: 2001:0db8:0000:0000:0000:0000:0000:0001 Schritt 1: führende Nullen entfernen 2001:db8:0:0:0:0:0:1 Schritt 2: zusammenhängende Nullblöcke mit :: ersetzen 2001:db8::1 Merksatz: Erst führende Nullen entfernen, dann längste Nullfolge mit :: kürzen. Beispiel: IPv6 ausschreiben Gekürzt: 2001:db8::10 Ausschreiben auf 8 Blöcke: 2001:0db8:0000:0000:0000:0000:0000:0010 Warum? Es müssen insgesamt 8 Blöcke entstehen. Merksatz: Beim Ausschreiben muss IPv6 wieder 8 Blöcke haben. IPv6-Präfix Wie bei IPv4 gibt es auch bei IPv6 eine Präfixlänge. Beispiel: 2001:db8:1234:10::1/64 Das /64 bedeutet: Die ersten 64 Bit gehören zum Netzanteil. Der Rest gehört zum Interface-Anteil. Merksatz: IPv6 nutzt Präfixlängen wie IPv4. Typisches IPv6-/64-Netz In IPv6 ist /64 für viele lokale Netze besonders typisch. Beispiel: 2001:db8:1234:10::/64 Ein Gerät in diesem Netz könnte zum Beispiel haben: 2001:db8:1234:10::20 Wichtig: In normalen LANs ist /64 sehr häufig. Merksatz: IPv6-LANs nutzen häufig /64. IPv6-Netzanteil und Interface-Anteil Eine IPv6-Adresse besteht vereinfacht aus: Netzanteil und Interface-Anteil Beispiel: 2001:db8:1234:10::20/64 Netzanteil: 2001:db8:1234:10::/64 Interface-Anteil: ::20 Merksatz: Präfix = Netz. Interface-Anteil = Adresse des Geräts im Netz. IPv6 hat keine klassische Broadcast-Adresse IPv4 kennt Broadcasts. IPv6 verwendet keinen Broadcast. Stattdessen nutzt IPv6: Multicast Beispiele: alle Router alle Nodes bestimmte Gruppen Das ist effizienter als klassische Broadcasts. Merksatz: IPv6 hat keinen Broadcast, sondern nutzt Multicast. IPv6 und Multicast Multicast bedeutet: Nachricht an eine bestimmte Gruppe von Geräten. IPv6 nutzt Multicast für viele grundlegende Funktionen. Beispiel: Router finden Nachbarn finden bestimmte Gerätegruppen ansprechen IPv6-Multicast-Adressen beginnen mit: ff Beispiel: ff02::1 steht für alle Nodes im lokalen Link. Merksatz: IPv6 nutzt Multicast für lokale Gruppenkommunikation. Link-Local-Adresse Eine Link-Local-Adresse gilt nur im lokalen Netzwerkabschnitt. IPv6-Link-Local-Adressen beginnen mit: fe80:: Beispiel: fe80::1 Jede IPv6-fähige Schnittstelle hat normalerweise eine Link-Local-Adresse. Wofür wird sie genutzt? - lokale Kommunikation - Neighbor Discovery - Router Discovery - Standard-Gateway bei IPv6 Merksatz: fe80::/10 = Link-Local-Bereich. Wichtig: Link-Local ist nicht routbar Link-Local-Adressen gelten nur auf dem lokalen Link. Sie werden nicht über Router hinweg weitergeleitet. Beispiel: fe80::1 kann auf mehreren Netzwerkabschnitten vorkommen. Deshalb braucht man bei manchen Befehlen zusätzlich die Schnittstelle. Beispiel sinngemäß: fe80::1%eth0 Merksatz: Link-Local bleibt lokal. Global Unicast Address Global Unicast Addresses sind weltweit eindeutige IPv6-Adressen. Sie sind für die Kommunikation über Netzgrenzen hinweg gedacht. Typischer Bereich: 2000::/3 Beispiel: 2001:db8:1234:10::20 Wichtig: 2001:db8::/32 ist ein Dokumentationsbereich und wird für Beispiele verwendet. Merksatz: Global Unicast = weltweit routbare IPv6-Adresse. Unique Local Address Unique Local Addresses sind private IPv6-Adressen für interne Netze. Sie beginnen typischerweise mit: fc00::/7 In der Praxis häufig: fd00::/8 Beispiel: fd12:3456:789a::1 Sie sind ungefähr vergleichbar mit privaten IPv4-Adressen, aber technisch nicht identisch. Merksatz: ULA = interne IPv6-Adresse. IPv6-Adressarten im Überblick Adressart Bereich / Beispiel Bedeutung Link-Local fe80::/10 nur lokaler Link Global Unicast 2000::/3 weltweit routbar Unique Local fc00::/7 intern genutzt Multicast ff00::/8 Gruppe von Empfängern Loopback ::1 eigenes Gerät Unspecified :: keine konkrete Adresse Merksatz: fe80 lokal. 2000 global. fd intern. ff Multicast. IPv6-Loopback Die IPv6-Loopback-Adresse lautet: ::1 Sie zeigt auf das eigene Gerät. Vergleich: Protokoll Loopback IPv4 127.0.0.1 IPv6 ::1 Typischer Test: ping ::1 Merksatz: ::1 = eigenes Gerät bei IPv6. Unspecified Address Die unspecified IPv6-Adresse lautet: :: Sie bedeutet: keine konkrete Adresse Sie wird zum Beispiel verwendet, wenn ein Gerät noch keine eigene IPv6-Adresse hat. Nicht verwechseln mit: ::1 Merksatz: :: = keine Adresse. ::1 = Loopback. NDP statt ARP IPv4 verwendet ARP. IPv6 verwendet kein ARP. IPv6 nutzt stattdessen: NDP NDP steht für: Neighbor Discovery Protocol NDP übernimmt unter anderem: - Nachbarn im lokalen Netz finden - MAC-Adresse zu IPv6-Adresse ermitteln - Router finden - Adresskonflikte erkennen Merksatz: IPv6 nutzt NDP statt ARP. NDP und ICMPv6 NDP basiert auf ICMPv6. Das ist wichtig. Wenn ICMPv6 zu stark blockiert wird, können grundlegende IPv6-Funktionen gestört werden. Beispiele: Router finden Nachbarn finden Adresskonflikte erkennen Merksatz: IPv6 braucht ICMPv6 für wichtige Grundfunktionen. Neighbor Solicitation Neighbor Solicitation ist eine NDP-Nachricht. Sie ähnelt vom Zweck her einer ARP-Anfrage bei IPv4. Aufgabe: Zu einer IPv6-Adresse die passende Layer-2-Adresse finden. Vereinfacht: Wer hat diese IPv6-Adresse? Merksatz: Neighbor Solicitation sucht den Nachbarn. Neighbor Advertisement Neighbor Advertisement ist die Antwort auf eine Neighbor Solicitation. Sie enthält Informationen über den Nachbarn. Vereinfacht: Diese IPv6-Adresse gehört zu dieser Schnittstelle. Merksatz: Neighbor Advertisement antwortet auf Neighbor Solicitation. Router Solicitation Router Solicitation ist eine Anfrage eines Clients an Router im lokalen Netz. Vereinfacht: Gibt es hier einen Router? Damit kann ein Gerät Routerinformationen anfordern. Merksatz: Router Solicitation fragt nach Routern im lokalen Netz. Router Advertisement Router Advertisement ist eine Nachricht eines Routers an Clients. Sie enthält wichtige Informationen, zum Beispiel: - Präfix - Router-Information - Autokonfiguration - Hinweise zu DNS oder DHCPv6 je nach Umgebung Router Advertisements sind wichtig für IPv6-Autokonfiguration. Merksatz: Router Advertisement liefert IPv6-Netzinformationen. SLAAC SLAAC steht für: Stateless Address Autoconfiguration Mit SLAAC kann ein IPv6-Gerät selbstständig eine Adresse bilden. Dazu nutzt es Informationen aus Router Advertisements. Vereinfacht: Router teilt das Präfix mit. Client bildet daraus seine IPv6-Adresse. Merksatz: SLAAC = automatische IPv6-Adresse ohne klassischen DHCP-Adressserver. DHCPv6 DHCPv6 ist die IPv6-Variante von DHCP. Es kann IPv6-Konfigurationsinformationen bereitstellen. Je nach Netzwerk kann DHCPv6 genutzt werden für: - IPv6-Adressen - DNS-Server - weitere Optionen Wichtig: IPv6 kann SLAAC, DHCPv6 oder eine Kombination nutzen. Merksatz: DHCPv6 ergänzt oder übernimmt IPv6-Konfiguration. SLAAC und DHCPv6 unterscheiden Verfahren Grundidee SLAAC Client bildet Adresse selbst anhand Router Advertisement DHCPv6 Server liefert Konfigurationsinformationen SLAAC + DHCPv6 Kombination aus automatischer Adresse und Zusatzinfos Merksatz: SLAAC kommt vom Router Advertisement. DHCPv6 kommt vom DHCPv6-Server. IPv6 und Standard-Gateway Bei IPv6 wird das Standard-Gateway häufig über Router Advertisements gelernt. Interessant: Das Gateway ist oft eine Link-Local-Adresse. Beispiel: Gateway: fe80::1 Das ist normal, weil das Gateway nur auf dem lokalen Link erreichbar sein muss. Merksatz: IPv6-Gateway ist häufig eine Link-Local-Adresse. IPv6 und NAT Bei IPv4 wird NAT sehr häufig verwendet, weil öffentliche IPv4-Adressen knapp sind. Bei IPv6 ist NAT normalerweise nicht notwendig. Warum? IPv6 hat einen sehr großen Adressraum. Das bedeutet nicht: alles ist automatisch ungeschützt. Sicherheit erfolgt weiterhin über: - Firewall-Regeln - Netztrennung - Zugriffskontrolle - saubere Adressplanung Merksatz: IPv6 braucht normalerweise kein NAT, aber trotzdem Firewall-Schutz. IPv6 und Firewall IPv6-Adressen können global erreichbar sein. Deshalb ist eine Firewall besonders wichtig. Wichtige Regel: Nicht auf NAT als Schutz verlassen. Bei IPv6 sollte man gezielt regeln: - welche eingehenden Verbindungen erlaubt sind - welche ausgehenden Verbindungen erlaubt sind - welche Netze miteinander sprechen dürfen - welche ICMPv6-Typen nötig sind Merksatz: IPv6-Sicherheit bedeutet Firewall-Regeln, nicht NAT-Versteck. IPv6 und DNS DNS kann auch IPv6-Adressen auflösen. Dafür gibt es sogenannte AAAA-Records. Vergleich: DNS-Record Bedeutung A Name zu IPv4-Adresse AAAA Name zu IPv6-Adresse Beispiel: www.example.com → IPv6-Adresse über AAAA-Record Merksatz: A = IPv4. AAAA = IPv6. Dual Stack Dual Stack bedeutet: IPv4 und IPv6 laufen gleichzeitig. Ein Gerät kann dann beide Protokolle nutzen. Beispiel: IPv4-Adresse: 192.168.10.20 IPv6-Adresse: 2001:db8:1234:10::20 Vorteil: IPv4-Kompatibilität bleibt erhalten. IPv6 kann zusätzlich genutzt werden. Merksatz: Dual Stack = IPv4 und IPv6 gleichzeitig. IPv6-only IPv6-only bedeutet: Ein Netzwerk arbeitet nur mit IPv6. IPv4 wird dabei nicht direkt verwendet. Damit IPv4-Dienste trotzdem erreichbar sein können, braucht man Übergangstechniken. Beispiele: NAT64 DNS64 Für AP1/AP2 reicht meistens: IPv6-only braucht Mechanismen, wenn IPv4-Ziele erreicht werden sollen. Merksatz: IPv6-only = nur IPv6, IPv4 nur über Übergangstechniken. Dual Stack und Namensauflösung Wenn ein Name sowohl IPv4 als auch IPv6 hat, kann ein Client beide Adressen erhalten. Beispiel: A-Record: IPv4-Adresse AAAA-Record: IPv6-Adresse Viele Systeme bevorzugen IPv6, wenn es funktioniert. Wenn IPv6 falsch konfiguriert ist, kann das zu schwer erkennbaren Verbindungsproblemen führen. Merksatz: Bei Dual Stack immer IPv4 und IPv6 prüfen. IPv6 in der Fehlersuche Typische Prüffragen: Hat das Gerät eine IPv6-Adresse? Hat es eine Link-Local-Adresse? Gibt es ein passendes Präfix? Gibt es ein Gateway? Kommen Router Advertisements an? Funktioniert DNS mit AAAA-Records? Wird ICMPv6 blockiert? Gibt es Firewall-Regeln für IPv6? Funktioniert IPv4, aber IPv6 nicht? Merksatz: IPv6-Fehlersuche braucht Adressen, RA, NDP, DNS und Firewall. Typische IPv6-Fehler Typische Fehler sind: - keine globale IPv6-Adresse - nur Link-Local-Adresse vorhanden - Router Advertisements fehlen - ICMPv6 wird blockiert - falsches Präfix - falsche Firewall-Regeln - DNS liefert IPv6, aber IPv6 funktioniert nicht - DHCPv6 falsch konfiguriert - Gateway nicht erreichbar - NDP-Probleme Merksatz: Viele IPv6-Probleme entstehen durch RA-, NDP-, DNS- oder Firewall-Fehler. IPv6-Befehle und Tests Je nach Betriebssystem gibt es unterschiedliche Befehle. Typische Prüfungen: IPv6-Adresse anzeigen Gateway prüfen Nachbarn anzeigen DNS-Auflösung prüfen Ping auf IPv6-Adresse Ping auf ::1 Traceroute mit IPv6 Firewall-Regeln prüfen Beispiele: ping ::1 ping 2001:db8::1 Wichtig: Beispieladressen aus 2001:db8::/32 sind nur für Dokumentation gedacht. Merksatz: Bei IPv6 gezielt IPv6-Adressen und IPv6-DNS prüfen. IPv6 und private Adressen nicht verwechseln Bei IPv4 sind private Adressen sehr bekannt: 192.168.0.0/16 10.0.0.0/8 172.16.0.0/12 Bei IPv6 gibt es Unique Local Addresses: fc00::/7 häufig praktisch: fd00::/8 Aber: IPv6 ist nicht einfach IPv4 mit längeren Adressen. Merksatz: IPv6 hat eigene Adresstypen und eigene Mechanismen. IPv6 und Broadcast nicht verwechseln IPv4 nutzt Broadcast. IPv6 nutzt keinen Broadcast. IPv6 verwendet stattdessen: Multicast Prüfungsfalle: Eine IPv6-Broadcast-Adresse gibt es nicht wie bei IPv4. Merksatz: IPv6 hat keinen Broadcast. Einordnung in das OSI-Modell Thema Schicht MAC-Adresse 2 Ethernet-Frame 2 IPv6-Adresse 3 IPv6-Paket 3 NDP 3 mit Schicht-2-Bezug ICMPv6 3 Router Advertisement 3 SLAAC 3 DHCPv6 Anwendungsschicht mit Netzwerkbezug TCP-Port 4 DNS AAAA 7 Merksatz: IPv6 = Schicht 3. NDP verbindet IPv6 mit lokaler Zustellung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wie viele Bit hat eine IPv6-Adresse? - Wie wird eine IPv6-Adresse geschrieben? - Wie kann man IPv6-Adressen kürzen? - Wie oft darf :: in einer IPv6-Adresse vorkommen? - Was bedeutet /64 bei IPv6? - Was ist eine Link-Local-Adresse? - Was ist eine Global Unicast Address? - Was ist eine Unique Local Address? - Warum nutzt IPv6 kein ARP? - Was ist NDP? - Warum ist ICMPv6 wichtig? - Was ist SLAAC? - Was ist ein Router Advertisement? - Was ist Dual Stack? - Warum braucht IPv6 normalerweise kein NAT? - Was ist ein AAAA-Record? Typische Prüfungsfallen IPv6 hat 128 Bit. IPv4 hat 32 Bit. IPv6 wird hexadezimal geschrieben. IPv6 hat 8 Blöcke. Führende Nullen dürfen weggelassen werden. :: darf nur einmal verwendet werden. IPv6-LANs nutzen häufig /64. fe80::/10 ist Link-Local. Link-Local ist nicht routbar. ::1 ist Loopback. :: ist keine konkrete Adresse. IPv6 hat keinen Broadcast. IPv6 nutzt Multicast. IPv6 nutzt kein ARP. IPv6 nutzt NDP. NDP basiert auf ICMPv6. ICMPv6 nicht pauschal blockieren. A-Record = IPv4. AAAA-Record = IPv6. Dual Stack = IPv4 und IPv6 gleichzeitig. IPv6 braucht normalerweise kein NAT, aber trotzdem Firewall-Regeln. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung IPv6 Internet Protocol Version 6 IPv6-Adresse 128-Bit-Adresse auf Schicht 3 Hexadezimal Zahlensystem mit 0–9 und A–F Präfix Netzanteil einer IPv6-Adresse /64 häufiges IPv6-LAN-Präfix Interface-Anteil gerätespezifischer Teil der IPv6-Adresse Link-Local nur lokaler Netzwerkabschnitt Global Unicast weltweit routbare IPv6-Adresse Unique Local Address interne IPv6-Adresse Multicast Nachricht an eine Gruppe Loopback Adresse des eigenen Geräts ::1 IPv6-Loopback :: unspecified address NDP Neighbor Discovery Protocol ICMPv6 ICMP für IPv6 Neighbor Solicitation Nachbar-Anfrage Neighbor Advertisement Nachbar-Antwort Router Solicitation Router-Anfrage Router Advertisement Router-Information SLAAC automatische IPv6-Adressbildung DHCPv6 DHCP für IPv6 Dual Stack IPv4 und IPv6 gleichzeitig AAAA-Record DNS-Record für IPv6 IHK-sichere Kurzformulierung IPv6 ist die Version 6 des Internet Protocols und gehört zu OSI-Schicht 3. Eine IPv6-Adresse ist 128 Bit lang und wird hexadezimal in acht Blöcken dargestellt. Führende Nullen können weggelassen werden, und eine zusammenhängende Folge von Nullblöcken darf einmalig mit :: abgekürzt werden. IPv6 verwendet keinen Broadcast und kein ARP, sondern Multicast und das Neighbor Discovery Protocol. NDP basiert auf ICMPv6 und ist für grundlegende Funktionen wie Nachbarerkennung, Router Discovery und Autokonfiguration wichtig. In lokalen IPv6-Netzen ist /64 häufig, und Link-Local-Adressen aus fe80::/10 werden für lokale Kommunikation verwendet. Merksätze IPv6 = Internet Protocol Version 6. IPv6 gehört zu Schicht 3. IPv6 hat 128 Bit. IPv4 hat 32 Bit. IPv6 wird hexadezimal geschrieben. IPv6 hat 8 Blöcke. Führende Nullen dürfen wegfallen. :: ersetzt Nullblöcke. :: darf nur einmal vorkommen. /64 ist typisch im IPv6-LAN. fe80::/10 = Link-Local. Link-Local ist nicht routbar. 2000::/3 = Global Unicast. fc00::/7 = Unique Local. ff00::/8 = Multicast. ::1 = Loopback. :: = unspecified. IPv6 hat keinen Broadcast. IPv6 nutzt Multicast. IPv6 nutzt kein ARP. IPv6 nutzt NDP. NDP basiert auf ICMPv6. ICMPv6 ist für IPv6 wichtig. SLAAC = automatische IPv6-Adresse. Router Advertisement liefert Netzinfos. A-Record = IPv4. AAAA-Record = IPv6. Dual Stack = IPv4 und IPv6 gleichzeitig. IPv6 braucht normalerweise kein NAT. IPv6 braucht trotzdem Firewall-Regeln. 6.6 NAT, PAT und private IP-Adressen NAT gehört zum Umfeld von OSI-Schicht 3. NAT steht für: Network Address Translation Auf Deutsch sinngemäß: Netzwerkadressübersetzung NAT wird verwendet, um IP-Adressen beim Übergang zwischen Netzwerken zu ändern. Typisches Beispiel: Ein privates Heim- oder Firmennetz nutzt interne IPv4-Adressen. Beim Zugriff ins Internet werden diese in eine öffentliche IPv4-Adresse übersetzt. Merksatz: NAT = Übersetzung von IP-Adressen. Warum braucht man NAT? IPv4-Adressen sind knapp. Deshalb verwenden viele lokale Netzwerke private IPv4-Adressen. Private IPv4-Adressen sind im öffentlichen Internet nicht direkt erreichbar. Damit Geräte mit privaten Adressen trotzdem ins Internet können, wird NAT verwendet. Beispiel: PC intern: 192.168.10.20 öffentliche Adresse des Routers: 93.184.100.10 Nach außen sieht die Verbindung so aus, als käme sie von der öffentlichen Adresse des Routers. Merksatz: NAT ermöglicht Internetzugang für private IPv4-Adressen. Private IPv4-Adressen Private IPv4-Adressen sind für interne Netzwerke reserviert. Wichtige private Bereiche: Bereich CIDR 10.0.0.0 – 10.255.255.255 10.0.0.0/8 172.16.0.0 – 172.31.255.255 172.16.0.0/12 192.168.0.0 – 192.168.255.255 192.168.0.0/16 Diese Adressen werden im Internet nicht direkt geroutet. Merksatz: Private IPv4-Adressen sind für interne Netze gedacht. Öffentliche IPv4-Adressen Öffentliche IPv4-Adressen sind im Internet eindeutig erreichbar und routbar. Sie werden zum Beispiel verwendet für: - Internetanschlüsse - Webserver - Mailserver - öffentliche DNS-Server - Cloud-Systeme - VPN-Gateways Ein Gerät mit privater IPv4-Adresse braucht für direkte Internetkommunikation normalerweise NAT über ein Gerät mit öffentlicher Adresse. Merksatz: Öffentliche IPv4-Adressen sind im Internet routbar. Private und öffentliche IP-Adressen unterscheiden Merkmal private IPv4-Adresse öffentliche IPv4-Adresse Einsatz internes Netz Internet direkt im Internet routbar nein ja Beispiel 192.168.10.20 93.184.216.34 häufig mit NAT ja nein weltweit eindeutig nur im eigenen Netz ja Merksatz: Privat = intern. Öffentlich = im Internet routbar. Grundprinzip von NAT Ein internes Gerät sendet ein Paket ins Internet. Beispiel: Quell-IP intern: 192.168.10.20 Ziel-IP: 8.8.8.8 Der Router übersetzt die Quell-IP. Nach außen sieht das Paket zum Beispiel so aus: Quell-IP öffentlich: 93.184.100.10 Ziel-IP: 8.8.8.8 Die Antwort aus dem Internet geht zurück an die öffentliche IP des Routers. Der Router ordnet die Antwort wieder dem internen Gerät zu. Merksatz: NAT ersetzt private Adressen durch öffentliche Adressen. NAT-Tabelle Ein NAT-Gerät merkt sich, welche interne Verbindung zu welcher externen Verbindung gehört. Dafür nutzt es eine NAT-Tabelle. Vereinfacht: Intern Extern 192.168.10.20 93.184.100.10 192.168.10.30 93.184.100.10 Bei PAT kommen zusätzlich Ports dazu. Merksatz: NAT-Tabelle merkt sich Übersetzungen. PAT PAT steht für: Port Address Translation PAT ist eine besondere Form von NAT. Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse. Die Unterscheidung erfolgt über Port-Zuordnungen. Typisches Heimnetz: viele interne Geräte eine öffentliche IPv4-Adresse Merksatz: PAT = viele interne Geräte über eine öffentliche IP mit Port-Zuordnung. Warum braucht man PAT? Ohne PAT könnte ein Router bei vielen internen Geräten schwer unterscheiden, zu welchem Gerät eine Antwort gehört. PAT nutzt deshalb zusätzlich Ports. Beispiel: Internes Gerät interner Port öffentliche IP externer Port 192.168.10.20 51520 93.184.100.10 40001 192.168.10.30 51520 93.184.100.10 40002 192.168.10.40 51520 93.184.100.10 40003 Nach außen nutzen alle dieselbe öffentliche IP. Die Ports unterscheiden die Verbindungen. Merksatz: PAT unterscheidet Verbindungen über Ports. NAT und PAT im Vergleich Begriff Bedeutung Typischer Einsatz NAT Übersetzung von IP-Adressen private IP zu öffentlicher IP PAT Übersetzung mit Port-Zuordnung viele Geräte teilen eine öffentliche IP In der Praxis meint man mit „NAT im Heimrouter“ oft PAT. Merksatz: NAT übersetzt Adressen. PAT nutzt zusätzlich Ports. Source NAT Source NAT verändert die Quelladresse eines Pakets. Typischer Fall: internes Gerät → Internet Beispiel vorher: Quell-IP: 192.168.10.20 Nach NAT: Quell-IP: 93.184.100.10 Ziel: Das Paket kann mit einer öffentlichen Adresse ins Internet gesendet werden. Merksatz: Source NAT verändert die Quell-IP. Destination NAT Destination NAT verändert die Zieladresse eines Pakets. Typischer Fall: Zugriff von außen auf internen Server Beispiel: öffentlich: 93.184.100.10:443 wird weitergeleitet an: intern: 192.168.10.50:443 Das wird häufig bei Portweiterleitungen verwendet. Merksatz: Destination NAT verändert die Ziel-IP. Portweiterleitung Portweiterleitung bedeutet: Ein bestimmter Port an der öffentlichen IP wird an ein internes Gerät weitergeleitet. Beispiel: öffentliche IP: 93.184.100.10 öffentlicher Port: 443 interner Server: 192.168.10.50 interner Port: 443 Anfragen von außen an 93.184.100.10:443 werden zum internen Server weitergeleitet. Merksatz: Portweiterleitung macht einen internen Dienst von außen erreichbar. Portweiterleitung und Sicherheit Portweiterleitungen müssen vorsichtig geplant werden. Warum? Ein interner Dienst wird von außen erreichbar. Mögliche Risiken: - Angriffe aus dem Internet - unsichere Dienste - schwache Passwörter - veraltete Software - falsche Firewall-Regeln - versehentlich freigegebene Systeme Sinnvolle Schutzmaßnahmen: - nur notwendige Ports freigeben - Dienste aktuell halten - starke Authentifizierung nutzen - Firewall-Regeln einschränken - VPN bevorzugen - Logs und Monitoring prüfen Merksatz: Jeder freigegebene Port ist eine Angriffsfläche. NAT und Firewall unterscheiden NAT und Firewall werden oft verwechselt. NAT macht: Adressen übersetzen. Firewall macht: Verkehr erlauben oder blockieren. Beide Funktionen können im gleichen Gerät sitzen. Beispiel: Ein Internet-Router macht NAT und filtert gleichzeitig eingehende Verbindungen. Merksatz: NAT ist Übersetzung. Firewall ist Filterung. NAT und Routing unterscheiden Routing entscheidet: Wohin wird ein Paket weitergeleitet? NAT verändert: Welche IP-Adresse im Paket steht? Beispiel: Routing: Paket wird Richtung Internet geschickt. NAT: private Quell-IP wird zur öffentlichen Quell-IP. Merksatz: Routing findet den Weg. NAT ändert Adressen. NAT und Schichtenmodell NAT wird meistens Schicht 3 zugeordnet, weil IP-Adressen verändert werden. PAT hat zusätzlich Bezug zu Schicht 4, weil Ports verwendet werden. Technik Bezug NAT Schicht 3 PAT Schicht 3 mit Schicht-4-Bezug Firewall nach IP Schicht 3 Firewall nach TCP-/UDP-Port Schicht 4 Anwendungsschutz Schicht 7 Merksatz: NAT = Schicht 3. PAT = Schicht 3 mit Ports aus Schicht 4. Beispiel: Heimnetz mit PAT Ein Heimnetz hat mehrere Geräte: Gerät private IP Notebook 192.168.0.10 Smartphone 192.168.0.20 Smart-TV 192.168.0.30 NAS 192.168.0.40 Der Router hat nach außen eine öffentliche IPv4-Adresse: 93.184.100.10 Alle Geräte gehen über diese eine öffentliche Adresse ins Internet. Der Router unterscheidet die Verbindungen über PAT. Merksatz: PAT ist typisch für Heimrouter und kleine Firmennetze. Beispiel: Zugriff von innen nach außen Ein PC öffnet eine Webseite. Intern: PC: 192.168.10.20 Ziel: 93.184.216.34:443 Am Router passiert: Quell-IP wird übersetzt. Quell-Port wird zugeordnet. Verbindung wird in NAT-Tabelle gespeichert. Nach außen: öffentliche IP des Routers mit einem zugeordneten Port Antworten kommen zurück zum Router. Der Router ordnet sie dem PC zu. Merksatz: Von innen nach außen funktioniert NAT meist automatisch. Beispiel: Zugriff von außen nach innen Ein externer Client möchte auf einen internen Server zugreifen. Problem: Der interne Server hat eine private IP-Adresse. Diese ist aus dem Internet nicht direkt erreichbar. Lösung: Portweiterleitung oder VPN. Beispiel Portweiterleitung: Extern: 93.184.100.10:443 Intern: 192.168.10.50:443 Merksatz: Von außen nach innen braucht man gezielte Freigabe oder VPN. Statisches NAT Statisches NAT bedeutet: Eine interne IP-Adresse wird fest einer externen IP-Adresse zugeordnet. Beispiel: intern: 192.168.10.50 extern: 93.184.100.50 Diese Zuordnung bleibt gleich. Typischer Einsatz: Server, die dauerhaft von außen erreichbar sein sollen. Merksatz: Statisches NAT = feste 1:1-Adressübersetzung. Dynamisches NAT Dynamisches NAT bedeutet: Interne Geräte bekommen bei Bedarf eine externe Adresse aus einem Pool. Beispiel: interner Adressbereich: 192.168.10.0/24 öffentlicher Pool: 93.184.100.10 bis 93.184.100.20 Die Zuordnung kann sich ändern. Merksatz: Dynamisches NAT nutzt einen Adresspool. NAT Overload NAT Overload ist ein anderer Begriff für PAT. Dabei teilen sich viele interne Geräte eine öffentliche IP-Adresse. Die Unterscheidung erfolgt über Ports. Typischer Einsatz: Internetzugang für viele Clients über eine öffentliche IPv4-Adresse. Merksatz: NAT Overload = PAT. CGNAT CGNAT steht für: Carrier-Grade NAT Dabei verwendet der Internetanbieter selbst NAT. Das bedeutet: Der Kunde bekommt keine eigene öffentliche IPv4-Adresse direkt am Router, sondern eine Adresse hinter dem NAT des Providers. Mögliche Folge: Eingehende Verbindungen von außen sind schwer oder nicht direkt möglich. Typische Probleme: - Portweiterleitung funktioniert nicht wie erwartet - eigener Server von außen nicht erreichbar - VPN von außen schwieriger - Online-Dienste können Einschränkungen haben Merksatz: CGNAT bedeutet: NAT findet schon beim Provider statt. CGNAT erkennen Hinweise auf CGNAT: WAN-IP am Router ist nicht die gleiche wie die öffentliche IP, die Webseiten anzeigen. Oder: WAN-IP liegt in einem privaten oder speziellen Provider-NAT-Bereich. Ein häufiger CGNAT-Bereich ist: 100.64.0.0/10 Wichtig: CGNAT hängt vom Anbieter und Anschluss ab. Merksatz: Bei CGNAT hat der Router oft keine eigene echte öffentliche IPv4-Adresse. 100.64.0.0/10 Der Bereich: 100.64.0.0/10 wird häufig für Carrier-Grade NAT verwendet. Er ist nicht normaler privater RFC1918-Bereich wie: 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 Er ist speziell für Provider-NAT vorgesehen. Merksatz: 100.64.0.0/10 weist oft auf CGNAT hin. NAT und Serverbetrieb Wenn ein interner Server von außen erreichbar sein soll, müssen mehrere Dinge passen. Prüfpunkte: - öffentliche IP vorhanden? - kein CGNAT? - Portweiterleitung korrekt? - Firewall-Regel erlaubt? - Server hört auf richtigem Port? - Ziel-IP intern korrekt? - DNS zeigt auf richtige öffentliche IP? - Zertifikat korrekt? - Dienst sicher konfiguriert? Merksatz: Server hinter NAT braucht Portweiterleitung, Firewall-Regel und erreichbare öffentliche Adresse. NAT und VPN VPN kann helfen, interne Dienste sicher erreichbar zu machen. Statt einzelne Ports ins Internet zu öffnen, baut man eine verschlüsselte Verbindung ins interne Netz auf. Vorteile: - weniger offene Ports - Zugriff nur für berechtigte Benutzer - bessere Kontrolle - interne Dienste bleiben geschützt Beispiele: - Standort-VPN - Remote-Access-VPN - WireGuard - IPsec - OpenVPN Merksatz: VPN ist oft sicherer als viele Portweiterleitungen. NAT und IPv6 Bei IPv6 ist NAT normalerweise nicht notwendig. Warum? IPv6 hat einen sehr großen Adressraum. Geräte können global eindeutige IPv6-Adressen haben. Aber: Das bedeutet nicht, dass sie ungeschützt sein sollen. Statt NAT braucht man bei IPv6: - Firewall-Regeln - Netztrennung - saubere Adressplanung - Zugriffskontrolle Merksatz: IPv6 braucht normalerweise kein NAT, aber trotzdem Firewall-Schutz. NAT ist kein vollständiges Sicherheitskonzept NAT wird manchmal als Sicherheitsfunktion verstanden. Das ist nur teilweise richtig. NAT verhindert oft unbeabsichtigte direkte eingehende Verbindungen, weil keine Zuordnung existiert. Aber: NAT ersetzt keine Firewall. NAT prüft keine Anwendungssicherheit. NAT erkennt keine Angriffe zuverlässig. NAT schützt nicht vor unsicheren ausgehenden Verbindungen. Merksatz: NAT kann abschirmen, ist aber keine vollständige Sicherheitslösung. NAT und Protokollprobleme Manche Protokolle kommen mit NAT schlechter zurecht. Warum? NAT verändert Adressen und manchmal Ports. Probleme können entstehen bei: - VoIP - SIP - bestimmten VPNs - Peer-to-Peer-Anwendungen - Spielen - Protokollen mit IP-Adressen in den Nutzdaten Mögliche Lösungen: - spezielle NAT-Hilfsfunktionen - STUN / TURN - VPN - Portweiterleitung - Protokollanpassung Merksatz: NAT kann Protokolle stören, wenn Adressen oder Ports wichtig sind. Hairpin NAT Hairpin NAT bedeutet: Ein internes Gerät greift über die öffentliche Adresse auf einen internen Dienst zu. Beispiel: Internes Notebook öffnet: https://meinedomain.de DNS zeigt auf: öffentliche IP des Routers Der Dienst liegt aber intern auf: 192.168.10.50 Damit das funktioniert, muss der Router Hairpin NAT unterstützen. Merksatz: Hairpin NAT erlaubt internen Zugriff über die öffentliche Adresse auf interne Dienste. Split DNS als Alternative Split DNS bedeutet: Interne Clients bekommen für einen Namen eine interne IP-Adresse. Externe Clients bekommen für denselben Namen eine öffentliche IP-Adresse. Beispiel: intern: wiki.firma.de → 192.168.10.50 extern: wiki.firma.de → 93.184.100.10 Vorteil: Interne Clients müssen nicht über Hairpin NAT gehen. Merksatz: Split DNS gibt intern und extern unterschiedliche Antworten. NAT und Logs Bei NAT ist Logging wichtig. Warum? Viele interne Geräte können nach außen dieselbe öffentliche IP-Adresse nutzen. Ohne Logs ist später schwer nachvollziehbar: welches interne Gerät zu welcher Zeit welche externe Verbindung genutzt hat. Wichtige Informationen: - interne IP - interner Port - öffentliche IP - externer Port - Zieladresse - Zeitstempel Merksatz: Bei NAT braucht man Logs, um Verbindungen nachvollziehen zu können. Typische NAT-Fehler Typische Fehler sind: - NAT-Regel fehlt - falsche interne Ziel-IP - falscher Port - Firewall blockiert - Dienst läuft nicht - CGNAT beim Provider - DNS zeigt auf falsche IP - doppelte Portweiterleitung - falsches Interface - NAT-Regel in falscher Reihenfolge - Rückroute fehlt - Hairpin NAT fehlt Merksatz: NAT-Fehler können wie Routing-, Firewall- oder DNS-Probleme aussehen. Fehlerbild: Internet geht nicht Mögliche NAT-bezogene Ursachen: - Source NAT fehlt - PAT falsch konfiguriert - Default Route fehlt - Firewall blockiert ausgehend - Provider-Verbindung gestört - DNS-Problem - falsches Gateway - Rückweg fehlt Prüfung: Client-IP prüfen. Gateway prüfen. Ping auf externe IP testen. NAT-Regel prüfen. Firewall prüfen. DNS prüfen. Merksatz: Internetproblem kann Routing, NAT, Firewall oder DNS sein. Fehlerbild: Portweiterleitung funktioniert nicht Mögliche Ursachen: - keine öffentliche IPv4-Adresse - CGNAT - falscher externer Port - falsche interne IP - interner Dienst läuft nicht - Firewall blockiert am Router - Firewall blockiert am Server - DNS zeigt falsch - Test aus internem Netz ohne Hairpin NAT - ISP blockiert Ports Merksatz: Portweiterleitung braucht öffentliche Erreichbarkeit, NAT-Regel, Firewall-Freigabe und laufenden Dienst. Fehlerbild: Von innen geht es, von außen nicht Wenn ein Dienst intern funktioniert, aber extern nicht, prüft man: - öffentliche IP vorhanden? - CGNAT? - DNS zeigt auf richtige IP? - Portweiterleitung korrekt? - Firewall-Regeln korrekt? - Dienst hört auf richtiger Schnittstelle? - Zertifikat oder Reverse Proxy korrekt? - Provider blockiert Port? Merksatz: Intern erreichbar heißt nicht automatisch extern erreichbar. NAT und Rückweg NAT funktioniert nur, wenn Antworten zurück zum NAT-Gerät gelangen. Wenn der Rückweg falsch ist, kann die Verbindung scheitern. Beispiel: Paket geht über Router A hinaus. Antwort kommt über Router B zurück. Wenn Router B die NAT-Zuordnung nicht kennt, kann er die Antwort nicht korrekt zuordnen. Merksatz: NAT braucht passenden Hin- und Rückweg über dasselbe NAT-Gerät. Asymmetrisches Routing und NAT Asymmetrisches Routing bedeutet: Hinweg und Rückweg nehmen unterschiedliche Pfade. Bei NAT kann das problematisch sein. Warum? Das NAT-Gerät muss die Verbindung kennen, um Antworten zurückübersetzen zu können. Wenn die Antwort an einem anderen Gerät ankommt, fehlt dort die passende NAT-Tabelle. Merksatz: NAT und asymmetrisches Routing passen oft schlecht zusammen. Einordnung in das OSI-Modell Thema Schicht MAC-Adresse 2 VLAN 2 IP-Adresse 3 Routing 3 NAT 3 PAT 3 / 4 TCP-Port 4 UDP-Port 4 Firewall nach IP 3 Firewall nach Port 4 DNS 7 Merksatz: NAT verändert IP-Adressen. PAT nutzt zusätzlich Ports. Was NAT nicht macht NAT macht nicht: - DNS-Namen auflösen - Dienste starten - Benutzer authentifizieren - Verschlüsselung bereitstellen - automatisch Firewall-Regeln sicher machen - Schwachstellen beseitigen - Routing ersetzen - VLANs trennen NAT hat eine klare Aufgabe: Adressen übersetzen. Merksatz: NAT ist Adressübersetzung, keine komplette Sicherheits- oder Netzwerklösung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet NAT? - Warum wird NAT bei IPv4 häufig verwendet? - Was sind private IPv4-Adressen? - Was ist der Unterschied zwischen privater und öffentlicher IP-Adresse? - Was bedeutet PAT? - Warum können viele interne Geräte eine öffentliche IP-Adresse nutzen? - Was ist Source NAT? - Was ist Destination NAT? - Was ist eine Portweiterleitung? - Was ist CGNAT? - Warum funktioniert eine Portweiterleitung bei CGNAT oft nicht? - Was ist der Unterschied zwischen NAT und Firewall? - Was ist der Unterschied zwischen NAT und Routing? - Warum braucht IPv6 normalerweise kein NAT? Typische Prüfungsfallen NAT = Network Address Translation. PAT = Port Address Translation. NAT übersetzt IP-Adressen. PAT nutzt zusätzlich Ports. Private IPv4-Adressen sind im Internet nicht direkt geroutet. Öffentliche IPv4-Adressen sind im Internet routbar. 10.0.0.0/8 ist privat. 172.16.0.0/12 ist privat. 192.168.0.0/16 ist privat. 100.64.0.0/10 weist oft auf CGNAT hin. Source NAT verändert die Quell-IP. Destination NAT verändert die Ziel-IP. Portweiterleitung macht interne Dienste von außen erreichbar. NAT ist nicht dasselbe wie Firewall. NAT ist nicht dasselbe wie Routing. NAT ersetzt keine Sicherheitsplanung. IPv6 braucht normalerweise kein NAT. NAT kann Protokolle stören. NAT braucht passenden Rückweg. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung NAT Network Address Translation PAT Port Address Translation Source NAT Übersetzung der Quelladresse Destination NAT Übersetzung der Zieladresse Portweiterleitung Weiterleitung eines externen Ports an internes Ziel private IPv4-Adresse interne IPv4-Adresse, nicht öffentlich geroutet öffentliche IPv4-Adresse im Internet routbare IPv4-Adresse NAT-Tabelle Zuordnung übersetzter Verbindungen NAT Overload anderer Begriff für PAT CGNAT Provider-NAT beim Internetanbieter 100.64.0.0/10 häufiger Bereich für CGNAT Hairpin NAT interner Zugriff über öffentliche Adresse auf internen Dienst Split DNS interne und externe DNS-Antworten unterscheiden sich Rückroute Weg zurück zum Absendernetz asymmetrisches Routing Hin- und Rückweg sind unterschiedlich IHK-sichere Kurzformulierung NAT steht für Network Address Translation und bezeichnet die Übersetzung von IP-Adressen beim Übergang zwischen Netzwerken. Es wird bei IPv4 häufig verwendet, damit Geräte mit privaten IP-Adressen über eine öffentliche IPv4-Adresse ins Internet kommunizieren können. PAT ist eine Form von NAT, bei der zusätzlich Ports verwendet werden, damit viele interne Geräte dieselbe öffentliche IP-Adresse nutzen können. Source NAT verändert die Quelladresse, Destination NAT verändert die Zieladresse und wird häufig bei Portweiterleitungen genutzt. NAT ist nicht dasselbe wie Routing oder Firewall und ersetzt keine Sicherheitsplanung. Merksätze NAT = Network Address Translation. NAT = IP-Adressen übersetzen. PAT = Port Address Translation. PAT = NAT mit Port-Zuordnung. Private IPv4-Adressen sind intern. Öffentliche IPv4-Adressen sind im Internet routbar. NAT ermöglicht privaten IPv4-Geräten Internetzugang. Source NAT verändert die Quell-IP. Destination NAT verändert die Ziel-IP. Portweiterleitung macht interne Dienste von außen erreichbar. NAT-Tabelle merkt sich Übersetzungen. Heimrouter nutzen meist PAT. NAT Overload = PAT. CGNAT = NAT beim Provider. 100.64.0.0/10 weist oft auf CGNAT hin. NAT ist nicht Firewall. NAT ist nicht Routing. Routing findet den Weg. Firewall erlaubt oder blockiert. NAT übersetzt Adressen. IPv6 braucht normalerweise kein NAT. IPv6 braucht trotzdem Firewall-Regeln. NAT kann Protokolle stören. NAT braucht passenden Rückweg. Portweiterleitung braucht öffentliche Erreichbarkeit, NAT-Regel, Firewall-Freigabe und laufenden Dienst. 6.7 Fehlersuche auf Schicht 3 Fehler auf OSI-Schicht 3 betreffen die logische IP-Kommunikation. Dabei geht es vor allem um: - IP-Adresse - Subnetzmaske - Standard-Gateway - Routing - Routing-Tabelle - ICMP - NAT - IPv4 - IPv6 - Firewall-Regeln auf IP-Ebene Schicht 3 liegt zwischen der lokalen Frame-Weiterleitung auf Schicht 2 und der Transportkommunikation auf Schicht 4. Merksatz: Schicht-3-Fehlersuche = IP, Subnetz, Gateway und Routing prüfen. Grundidee der Schicht-3-Fehlersuche Auf Schicht 3 prüft man, ob IP-Pakete den richtigen Weg finden. Typische Fragen: Hat das Gerät eine passende IP-Adresse? Passt die Subnetzmaske? Liegt das Gateway im eigenen Subnetz? Gibt es eine Route zum Ziel? Gibt es eine Rückroute? Wird NAT benötigt? Blockiert eine Firewall? Funktioniert ICMP? Ist IPv4 oder IPv6 betroffen? Merksatz: Auf Schicht 3 wird geprüft, ob IP-Pakete korrekt weitergeleitet werden. Reihenfolge bei der Fehlersuche Eine sinnvolle Reihenfolge ist: 1. Schicht 1 prüfen: Link, Kabel, Signal, Port 2. Schicht 2 prüfen: MAC-Adresse, VLAN, ARP, Switch-Port 3. Schicht 3 prüfen: IP-Adresse, Subnetzmaske, Gateway, Routing 4. Schicht 4 prüfen: TCP-/UDP-Port 5. Schicht 7 prüfen: DNS, Anwendung, Dienst Wichtig: Schicht 3 kann nur funktionieren, wenn Schicht 1 und Schicht 2 grundsätzlich funktionieren. Merksatz: Erst Link, dann MAC/VLAN, dann IP/Routing. Typische Schicht-3-Fehler Typische Fehler auf Schicht 3 sind: - falsche IP-Adresse - falsche Subnetzmaske - falsches Standard-Gateway - Gateway nicht erreichbar - fehlende Route - falsche Route - fehlende Default Route - doppelte IP-Adresse - falsches VLAN-Subnetz-Zusammenspiel - NAT fehlt oder ist falsch - Rückroute fehlt - Firewall blockiert IP-Verkehr - Routing-Schleife - IPv6 falsch konfiguriert Merksatz: Schicht-3-Fehler betreffen IP-Konfiguration und Wege zwischen Netzen. Fehlerbild: Keine IP-Adresse Wenn ein Gerät keine IP-Adresse hat, kann es nicht sinnvoll auf Schicht 3 kommunizieren. Mögliche Ursachen: - DHCP-Server nicht erreichbar - DHCP-Server ausgeschaltet - falsches VLAN - Trunk-Fehler - DHCP-Relay fehlt - Netzwerkkarte deaktiviert - Schicht-1-Problem - Schicht-2-Problem - manuelle IP-Konfiguration fehlt Wichtig: Keine IP-Adresse ist nicht immer ein reines Schicht-3-Problem. Die Ursache kann auch auf Schicht 1 oder Schicht 2 liegen. Merksatz: Keine IP-Adresse: DHCP, VLAN und Link prüfen. Fehlerbild: APIPA-Adresse APIPA-Adressen liegen im Bereich: 169.254.0.0/16 Beispiel: 169.254.23.80 Eine APIPA-Adresse bedeutet häufig: Das Gerät konnte keine IP-Adresse per DHCP erhalten. Mögliche Ursachen: - DHCP-Server nicht erreichbar - falsches VLAN - DHCP-Relay fehlt - Switch-Port falsch konfiguriert - Netzwerkverbindung gestört Merksatz: 169.254.x.x weist oft auf DHCP-Probleme hin. Fehlerbild: Falsche IP-Adresse Eine falsche IP-Adresse kann dazu führen, dass ein Gerät im falschen Netz landet. Beispiel: erwartet: 192.168.10.20/24 tatsächlich: 192.168.20.20/24 Mögliche Ursachen: - falsches VLAN - falscher DHCP-Bereich - falsche manuelle Konfiguration - falsche SSID-VLAN-Zuordnung - falscher Standort oder Switch-Port Merksatz: Falsche IP-Adresse kann auf falsches VLAN oder falschen DHCP-Bereich hinweisen. Fehlerbild: Falsche Subnetzmaske Eine falsche Subnetzmaske kann dazu führen, dass ein Gerät falsch entscheidet: Ziel ist lokal oder Ziel muss über das Gateway erreicht werden Beispiel: PC A: 192.168.10.20/24 PC B: 192.168.10.130/25 Diese Geräte können unterschiedlich bewerten, ob sie im gleichen Netz liegen. Mögliche Folgen: - einseitige Kommunikation - Gateway wird falsch genutzt - ARP-Anfragen laufen ins Leere - Ziele wirken unerreichbar Merksatz: IP-Adresse und Subnetzmaske müssen zusammenpassen. Fehlerbild: Falsches Standard-Gateway Das Standard-Gateway ist der Weg in andere Netze. Wenn es falsch eingetragen ist, funktionieren Ziele außerhalb des eigenen Subnetzes nicht. Beispiel falsch: Client: 192.168.10.20/24 Gateway: 192.168.20.1 Problem: Das Gateway liegt nicht im eigenen Subnetz. Richtig wäre zum Beispiel: 192.168.10.1 Merksatz: Gateway muss im eigenen Subnetz erreichbar sein. Fehlerbild: Gateway nicht erreichbar Wenn das Gateway nicht erreichbar ist, kann der Client keine anderen Netze erreichen. Mögliche Ursachen: - falsche Gateway-IP - Router-Interface down - falsches VLAN - ARP zum Gateway funktioniert nicht - Schicht-1-Problem - Schicht-2-Problem - Firewall blockiert ICMP - Gateway antwortet nicht auf Ping Prüfung: IP-Konfiguration prüfen. Subnetzmaske prüfen. VLAN prüfen. ARP-Eintrag prüfen. Ping zum Gateway testen. Switch-Port prüfen. Merksatz: Gateway-Probleme können Schicht 2 und Schicht 3 betreffen. Fehlerbild: Gleiches Netz funktioniert, anderes Netz nicht Wenn Geräte im gleichen Subnetz erreichbar sind, aber andere Netze nicht, liegt das Problem häufig bei Gateway oder Routing. Beispiel: PC erreicht Drucker im gleichen VLAN. PC erreicht Server in anderem VLAN nicht. Mögliche Ursachen: - Standard-Gateway fehlt - falsches Gateway - Inter-VLAN-Routing fehlt - Firewall blockiert - Route fehlt - Rückroute fehlt Merksatz: Gleiches Netz geht, anderes Netz nicht: Gateway und Routing prüfen. Fehlerbild: Ein Zielnetz ist nicht erreichbar Wenn nur ein bestimmtes Zielnetz nicht erreichbar ist, kann eine Route fehlen. Beispiel: 192.168.10.0/24 erreicht 192.168.20.0/24. 192.168.10.0/24 erreicht 10.10.30.0/24 nicht. Mögliche Ursachen: - Route zum Zielnetz fehlt - falscher nächster Hop - Rückroute fehlt - Firewall-Regel blockiert - Zielnetz existiert nicht - Router-Interface down - falsche Subnetzmaske Merksatz: Einzelnes Netz nicht erreichbar: Routing-Tabelle und Rückroute prüfen. Fehlerbild: Internet funktioniert nicht Wenn ein Client nicht ins Internet kommt, können mehrere Schichten beteiligt sein. Mögliche Schicht-3-Ursachen: - falsches Gateway - Gateway nicht erreichbar - Default Route fehlt - NAT fehlt - Firewall blockiert - Provider-Routing gestört - falsche IP-Adresse - falsche Subnetzmaske Prüfidee: Gateway testen. externe IP testen. DNS-Namen testen. Merksatz: Internetproblem: erst Gateway, dann externe IP, dann DNS prüfen. Fehlerbild: IP funktioniert, Name funktioniert nicht Beispiel: ping 8.8.8.8 funktioniert. ping www.example.com funktioniert nicht. Dann ist IP-Kommunikation grundsätzlich möglich. Wahrscheinliche Ursache: DNS-Problem Mögliche DNS-Ursachen: - falscher DNS-Server - DNS-Server nicht erreichbar - Firewall blockiert DNS - falsche Suchdomäne - lokaler DNS-Cache fehlerhaft Merksatz: IP geht, Name nicht: DNS prüfen. Fehlerbild: Ping funktioniert, Anwendung nicht Beispiel: ping server funktioniert. Webseite lädt nicht. Dann ist Schicht 3 wahrscheinlich grundsätzlich erreichbar. Mögliche Ursachen auf höheren Schichten: - TCP-Port blockiert - Webserver läuft nicht - Firewall blockiert Port 80 oder 443 - Zertifikatsproblem - Reverse Proxy falsch - Anwendung abgestürzt Merksatz: Ping-Erfolg beweist nicht, dass der Dienst funktioniert. Fehlerbild: Ping funktioniert nicht, Dienst funktioniert aber Beispiel: Webseite funktioniert. Ping funktioniert nicht. Mögliche Ursache: ICMP wird blockiert. Viele Firewalls erlauben TCP 443, blockieren aber ICMP Echo. Deshalb bedeutet ein fehlgeschlagener Ping nicht automatisch, dass das Ziel nicht erreichbar ist. Merksatz: Kein Ping heißt nicht automatisch: Ziel offline. Fehlerbild: Rückroute fehlt Kommunikation braucht Hinweg und Rückweg. Beispiel: Netz A kann Paket zu Netz B senden. Netz B kennt aber keinen Weg zurück zu Netz A. Dann kommt keine Antwort an. Mögliche Ursachen: - Rückroute fehlt - falsche Default Route - NAT fehlt oder falsch - asymmetrisches Routing - Firewall blockiert Antwortverkehr Merksatz: Ohne Rückroute keine Antwort. Fehlerbild: Asymmetrisches Routing Asymmetrisches Routing bedeutet: Hinweg und Rückweg nehmen unterschiedliche Pfade. Das ist nicht immer falsch. Problematisch wird es oft bei: - Firewalls - NAT - zustandsbehafteter Paketprüfung - VPN-Verbindungen - mehreren Internetanschlüssen Warum? Eine Firewall erwartet häufig, beide Richtungen einer Verbindung zu sehen. Merksatz: Asymmetrisches Routing kann Firewalls und NAT stören. Fehlerbild: NAT funktioniert nicht Wenn NAT nicht funktioniert, können interne Geräte eventuell keine externen Ziele erreichen. Mögliche Ursachen: - NAT-Regel fehlt - falsches Interface - falsches Quellnetz - Firewall blockiert - Default Route fehlt - Rückroute fehlt - Provider-Verbindung gestört Prüfung: interne IP prüfen. Gateway prüfen. NAT-Regel prüfen. Firewall-Regel prüfen. externe IP testen. Merksatz: NAT-Fehler wirken oft wie Internet- oder Routing-Probleme. Fehlerbild: Portweiterleitung funktioniert nicht Wenn ein interner Dienst von außen nicht erreichbar ist, kann das mehrere Ursachen haben. Mögliche Ursachen: - keine öffentliche IPv4-Adresse - CGNAT beim Provider - falscher externer Port - falsche interne Ziel-IP - Dienst läuft nicht - Firewall blockiert am Router - Firewall blockiert am Server - DNS zeigt auf falsche IP - Hairpin NAT fehlt bei internem Test Merksatz: Portweiterleitung braucht öffentliche Erreichbarkeit, NAT-Regel, Firewall-Freigabe und laufenden Dienst. Fehlerbild: IPv6 funktioniert nicht IPv6-Fehler können andere Ursachen haben als IPv4-Fehler. Mögliche Ursachen: - keine globale IPv6-Adresse - nur Link-Local-Adresse vorhanden - Router Advertisements fehlen - ICMPv6 wird blockiert - NDP funktioniert nicht - falsches Präfix - falsche Firewall-Regeln - DNS liefert AAAA-Record, aber IPv6 funktioniert nicht Merksatz: IPv6-Fehlersuche: Adresse, Präfix, Gateway, NDP, ICMPv6 und DNS prüfen. Fehlerbild: IPv4 geht, IPv6 nicht Wenn IPv4 funktioniert, aber IPv6 nicht, prüft man gezielt IPv6. Mögliche Ursachen: - kein IPv6-Präfix - Router Advertisement fehlt - Firewall blockiert ICMPv6 - DHCPv6 oder SLAAC falsch - kein IPv6-Gateway - Provider liefert kein IPv6 - DNS bevorzugt IPv6, aber Verbindung scheitert Merksatz: Bei Dual Stack IPv4 und IPv6 getrennt prüfen. Fehlerbild: IPv6 geht, IPv4 nicht Auch der umgekehrte Fall ist möglich. Mögliche Ursachen: - keine IPv4-Adresse - DHCPv4 funktioniert nicht - NAT fehlt - IPv4-Gateway falsch - IPv4-Route fehlt - Firewall blockiert IPv4 - DNS liefert nur IPv6 oder falsche IPv4-Daten Merksatz: Dual Stack bedeutet: beide Protokolle separat kontrollieren. Werkzeuge für Schicht-3-Fehlersuche Typische Werkzeuge und Informationen: Werkzeug / Anzeige Nutzen IP-Konfiguration IP, Maske, Gateway, DNS prüfen Routing-Tabelle Wege zu Zielnetzen prüfen Ping grundlegende IP-Erreichbarkeit prüfen Traceroute Weg über Router prüfen ARP-Tabelle lokale IP-MAC-Zuordnung prüfen Neighbor Table IPv6-Nachbarn prüfen Firewall-Logs erlaubte und blockierte Pakete prüfen NAT-Tabelle NAT-Zuordnungen prüfen DNS-Test Namensauflösung prüfen Packet Capture Pakete genauer analysieren Merksatz: Schicht-3-Fehlersuche nutzt IP-Konfiguration, Routing-Tabelle, Ping und Traceroute. IP-Konfiguration prüfen Bei einem Client prüft man zuerst: - IP-Adresse - Subnetzmaske - Standard-Gateway - DNS-Server - DHCP oder statisch - IPv4 und IPv6 - richtige Schnittstelle Typische Hinweise: 169.254.x.x = häufig DHCP-Problem falsches Netz = VLAN oder DHCP prüfen kein Gateway = nur lokales Netz erreichbar Merksatz: IP-Konfiguration ist der erste Schicht-3-Prüfpunkt. Routing-Tabelle prüfen In der Routing-Tabelle prüft man: - gibt es eine Route zum Zielnetz? - gibt es eine Default Route? - ist der nächste Hop korrekt? - ist die Ausgangsschnittstelle korrekt? - gibt es eine genauere Route? - ist die Metrik sinnvoll? Wichtig: Bei mehreren passenden Routen gewinnt die genaueste Route. Merksatz: Routing-Tabelle zeigt, welchen Weg Pakete nehmen sollen. Ping gezielt verwenden Ping kann gezielt eingesetzt werden. Sinnvolle Reihenfolge: 1. Loopback testen 2. eigene IP testen 3. Gateway testen 4. anderes Gerät im gleichen Netz testen 5. Ziel in anderem Netz testen 6. externe IP testen 7. DNS-Namen testen Merksatz: Ping von nah nach fern einsetzen. Traceroute gezielt verwenden Traceroute hilft, den Weg zum Ziel zu prüfen. Damit kann man erkennen: - wie weit Pakete kommen - bei welchem Hop es stoppt - ob der Weg ungewöhnlich ist - ob Routing-Schleifen sichtbar sind - ob Firewalls Antworten blockieren Wichtig: Traceroute-Ausgaben müssen vorsichtig interpretiert werden. Merksatz: Traceroute zeigt Hinweise auf den Routing-Weg. ARP und Schicht 3 ARP gehört zu IPv4 und verbindet Schicht 3 mit Schicht 2. Bei IPv4 prüft man: Gibt es einen ARP-Eintrag für das Gateway? Stimmt die MAC-Adresse? Ändert sich der Eintrag ständig? Gibt es doppelte IP-Adressen? Wenn ARP zum Gateway nicht funktioniert, kann der Client andere Netze nicht erreichen. Merksatz: Ohne ARP zum Gateway kein IPv4-Weg ins andere Netz. NDP und Schicht 3 Bei IPv6 übernimmt NDP ähnliche Aufgaben wie ARP bei IPv4. NDP basiert auf ICMPv6. Bei IPv6 prüft man: - Neighbor Table - Link-Local-Adresse - Router Advertisement - Default Gateway - ICMPv6-Filterung - Präfixinformationen Merksatz: IPv6 braucht NDP und ICMPv6 für Grundfunktionen. Firewall als Schicht-3-Fehlerquelle Eine Firewall kann IP-Verkehr blockieren. Beispiele: - bestimmtes Quellnetz blockiert - bestimmtes Zielnetz blockiert - ICMP blockiert - ausgehender Verkehr blockiert - eingehender Verkehr blockiert - NAT-Regel fehlt - falsche Zone Wichtig: Firewall-Problem ist nicht immer Schicht 3. Bei Port- oder Anwendungskontrolle können auch Schicht 4 oder 7 beteiligt sein. Merksatz: Firewall kann Routing erlauben oder verhindern. Schicht 3 oder Schicht 4? Eine einfache Unterscheidung: Frage eher Schicht Hat der Client eine passende IP-Adresse? 3 Ist das Gateway erreichbar? 3 Gibt es eine Route zum Zielnetz? 3 Funktioniert Ping auf eine IP? 3 Ist TCP-Port 443 offen? 4 Ist UDP-Port 53 erreichbar? 4 Läuft der Webdienst? 7 Löst der DNS-Name korrekt auf? 7 Merksatz: IP-Erreichbarkeit = Schicht 3. Port-Erreichbarkeit = Schicht 4. Schicht 3 oder DNS? DNS gehört zur Anwendungsschicht, wird aber oft bei IP-Problemen vermutet. Unterscheidung: Test Bedeutung IP-Adresse erreichbar, Name nicht DNS prüfen IP-Adresse nicht erreichbar Routing, Gateway, Firewall, Link prüfen Name zeigt auf falsche IP DNS-Zone oder DNS-Cache prüfen interner Name geht extern nicht Split DNS oder öffentliche DNS-Zone prüfen Merksatz: Erst IP testen, dann Namen testen. Schicht 3 oder VLAN? VLAN gehört zu Schicht 2. Subnetz gehört zu Schicht 3. Beide hängen in der Praxis eng zusammen. Beispiel: Client bekommt IP aus falschem Subnetz. Mögliche Ursache: Switch-Port im falschen VLAN. Deshalb gilt: Bei falscher IP-Adresse auch VLAN prüfen. Merksatz: VLAN-Fehler können wie Schicht-3-Fehler aussehen. Schicht 3 oder NAT? Wenn interne Kommunikation funktioniert, aber Internet nicht, kann NAT beteiligt sein. Unterscheidung: Beobachtung mögliche Ursache Gateway erreichbar, externe IP nicht Routing, NAT, Firewall, Provider externe IP erreichbar, Name nicht DNS intern erreichbar, extern nicht Portweiterleitung, CGNAT, Firewall nur Rückverkehr fehlt NAT oder Rückroute Merksatz: NAT-Probleme zeigen sich oft beim Übergang ins Internet. Beispiel: Client erreicht Gateway nicht Fehlerbild: Client kann Gateway nicht pingen. Prüfung: 1. Link vorhanden? 2. Client im richtigen VLAN? 3. IP-Adresse korrekt? 4. Subnetzmaske korrekt? 5. Gateway-IP korrekt? 6. ARP-Eintrag vorhanden? 7. Router-Interface aktiv? 8. Firewall blockiert ICMP? Wahrscheinliche Bereiche: Schicht 1 Schicht 2 Schicht 3 Merksatz: Gateway nicht erreichbar: lokal prüfen. Beispiel: Client erreicht Internet-IP nicht Fehlerbild: Gateway erreichbar, aber externe IP nicht. Prüfung: 1. Default Route auf Gateway prüfen 2. NAT/PAT prüfen 3. Firewall-Regeln prüfen 4. WAN-Verbindung prüfen 5. Provider-Gateway prüfen 6. Rückweg prüfen Merksatz: Gateway geht, Internet-IP nicht: Routing, NAT und Firewall prüfen. Beispiel: Client erreicht Server in anderem VLAN nicht Fehlerbild: Client in VLAN 10 erreicht Server in VLAN 30 nicht. Mögliche Ursachen: - Inter-VLAN-Routing fehlt - Firewall blockiert zwischen VLANs - falsches Gateway im VLAN 10 - falsches Gateway im VLAN 30 - Rückroute fehlt - Server-Firewall blockiert - Server im falschen VLAN - falsche Subnetzmaske Merksatz: Zwischen VLANs braucht man Routing und erlaubte Regeln. Beispiel: VPN erreicht internes Netz nicht Fehlerbild: VPN-Verbindung steht, aber interne Systeme sind nicht erreichbar. Mögliche Ursachen: - Route ins interne Netz fehlt - Rückroute zum VPN-Netz fehlt - Firewall blockiert VPN-Netz - Split-Tunnel falsch - NAT-Regel fehlt oder stört - DNS liefert falsche interne Adresse - VPN-Client bekommt falsches Netz Merksatz: VPN-Probleme sind oft Routing-, Firewall- oder DNS-Probleme. Typische Prüf-Reihenfolge bei IP-Problemen Eine einfache Reihenfolge: 1. IP-Adresse prüfen 2. Subnetzmaske prüfen 3. Gateway prüfen 4. eigenes Subnetz testen 5. Gateway pingen 6. ARP oder NDP prüfen 7. Routing-Tabelle prüfen 8. Zielnetzroute prüfen 9. Rückroute prüfen 10. Firewall und NAT prüfen 11. DNS prüfen 12. Dienst prüfen Merksatz: IP-Probleme systematisch von lokal nach entfernt prüfen. Einordnung in das OSI-Modell Thema Schicht Kabel, Link, Signal 1 MAC, VLAN, ARP 2 / 3-Bezug IP-Adresse 3 Subnetzmaske 3 Gateway 3 Routing-Tabelle 3 ICMP, Ping, Traceroute 3 NAT 3 PAT 3 / 4 TCP-/UDP-Port 4 DNS 7 Anwendung 7 Merksatz: Schicht 3 prüft IP-Erreichbarkeit, nicht automatisch den Dienst. Was Schicht-3-Fehlersuche nicht löst Wenn IP und Routing korrekt funktionieren, können trotzdem Probleme bestehen. Dann prüft man höhere Schichten: - TCP-Port offen? - UDP-Port erreichbar? - DNS korrekt? - Zertifikat gültig? - Anwendung läuft? - Benutzerrechte korrekt? - Proxy oder Reverse Proxy korrekt? - Dienst lauscht auf richtiger Schnittstelle? Merksatz: IP erreichbar heißt nicht: Anwendung funktioniert. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Fehler gehören typischerweise zu Schicht 3? - Wie prüft man eine IP-Konfiguration? - Warum muss das Gateway im eigenen Subnetz liegen? - Was bedeutet 169.254.x.x? - Was prüft man, wenn das Internet nicht funktioniert? - Wie unterscheidet man DNS- und Routing-Probleme? - Was bedeutet fehlende Rückroute? - Warum kann falsches VLAN wie ein IP-Problem wirken? - Warum beweist Ping keinen funktionierenden Dienst? - Was prüft Traceroute? - Warum kann ICMP blockiert sein? - Welche Rolle spielt NAT bei Internetproblemen? Typische Prüfungsfallen Keine IP-Adresse kann ein DHCP- oder VLAN-Problem sein. 169.254.x.x weist oft auf DHCP-Probleme hin. Gateway muss im eigenen Subnetz liegen. Gleiches Subnetz erreichbar, anderes nicht: Gateway und Routing prüfen. IP geht, Name nicht: DNS prüfen. Ping geht, Anwendung nicht: Schicht 4 oder 7 prüfen. Ping geht nicht, Dienst kann trotzdem funktionieren. ICMP kann blockiert sein. Fehlende Rückroute verhindert Antworten. NAT braucht passenden Hin- und Rückweg. Falsches VLAN kann falsche IP-Adresse verursachen. IPv4 und IPv6 getrennt prüfen. ICMPv6 nicht pauschal blockieren. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht-3-Fehler Fehler bei IP, Subnetz, Gateway oder Routing IP-Konfiguration IP-Adresse, Maske, Gateway, DNS APIPA 169.254.0.0/16 bei DHCP-Problem Gateway-Problem Router ins andere Netz nicht erreichbar Routing-Problem Weg zum Zielnetz fehlt oder ist falsch Rückroute Weg zurück zum Absendernetz asymmetrisches Routing Hin- und Rückweg sind unterschiedlich NAT-Problem Adressübersetzung fehlt oder ist falsch ICMP Kontrollmeldungen für IP Ping Test auf IP-Erreichbarkeit Traceroute Wegprüfung über Router ARP IPv4-IP-zu-MAC-Auflösung NDP IPv6-Nachbarerkennung DNS-Problem Name wird nicht korrekt aufgelöst Dual Stack IPv4 und IPv6 gleichzeitig IHK-sichere Kurzformulierung Fehlersuche auf OSI-Schicht 3 bedeutet, die IP-Kommunikation zu prüfen. Dazu gehören IP-Adresse, Subnetzmaske, Standard-Gateway, Routing-Tabelle, ICMP, NAT und bei IPv6 auch NDP und ICMPv6. Typische Schicht-3-Fehler sind falsche IP-Konfiguration, falsches Gateway, fehlende Routen, fehlende Rückrouten, NAT-Probleme oder falsche Firewall-Regeln. Bei der Fehlersuche prüft man zuerst die lokale IP-Konfiguration, dann das Gateway, anschließend Routing zu externen oder entfernten Netzen und danach DNS oder Dienste auf höheren Schichten. Merksätze Schicht-3-Fehlersuche = IP, Gateway und Routing prüfen. Erst Schicht 1, dann Schicht 2, dann Schicht 3. Keine IP = DHCP, VLAN oder Link prüfen. 169.254.x.x = häufig DHCP-Problem. Falsche IP kann falsches VLAN bedeuten. Subnetzmaske muss passen. Gateway muss im eigenen Subnetz liegen. Gateway nicht erreichbar = lokal prüfen. Gleiches Netz geht, anderes Netz nicht: Gateway prüfen. Zielnetz nicht erreichbar: Route prüfen. Kommunikation braucht Hinweg und Rückweg. Ohne Rückroute keine Antwort. NAT braucht passenden Rückweg. IP erreichbar, Name nicht: DNS prüfen. Ping erreichbar heißt nicht: Dienst funktioniert. Ping nicht erreichbar heißt nicht automatisch: Ziel offline. Traceroute zeigt den Routing-Weg. IPv4 und IPv6 getrennt prüfen. ICMPv6 ist für IPv6 wichtig. VLAN-Fehler können wie IP-Probleme aussehen. Erst lokal, dann entfernt, dann DNS, dann Dienst. 6.8 Merksätze und Prüfungswissen zu OSI-Schicht 3 Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 3 zusammen. OSI-Schicht 3 heißt: Vermittlungsschicht Sie wird auch genannt: Netzwerkschicht Die Hauptaufgabe von Schicht 3 ist: IP-Pakete zwischen verschiedenen Netzwerken weiterleiten. Merksatz: Schicht 3 = IP-Adressen, Pakete und Routing. Grundidee von Schicht 3 Schicht 2 arbeitet lokal im LAN. Schicht 3 verbindet unterschiedliche IP-Netze. Beispiel: Client im LAN → Router → anderes Netz → Server Dafür werden IP-Adressen und Routing verwendet. Merksatz: Schicht 2 bringt Frames lokal weiter. Schicht 3 bringt IP-Pakete in andere Netze. Schicht 1, 2, 3 und 4 unterscheiden Schicht Name Datenform wichtige Begriffe 1 Bitübertragungsschicht Bits Signal, Link, Kabel 2 Sicherungsschicht Frame MAC, Switch, VLAN 3 Vermittlungsschicht / Netzwerkschicht Paket IP, Router, Routing 4 Transportschicht Segment / Datagramm TCP, UDP, Port Merksatz: Bit = Schicht 1. Frame = Schicht 2. Paket = Schicht 3. Segment oder Datagramm = Schicht 4. IP-Adresse Eine IP-Adresse ist eine logische Adresse auf Schicht 3. Sie dient dazu, Geräte in IP-Netzen zu adressieren. Beispiele: IPv4: 192.168.10.20 IPv6: 2001:db8::20 Merksatz: IP-Adresse = logische Adresse auf Schicht 3. MAC-Adresse und IP-Adresse unterscheiden Adresse Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 netzübergreifende Adressierung Wichtig: MAC-Adressen gelten lokal. IP-Adressen gelten netzübergreifend. Merksatz: MAC = lokal. IP = netzübergreifend. IP-Paket Ein IP-Paket ist die Datenform auf Schicht 3. Ein IP-Paket enthält unter anderem: - Quell-IP-Adresse - Ziel-IP-Adresse - Steuerinformationen - Nutzdaten höherer Schichten Merksatz: IP-Paket = Datenbehälter auf Schicht 3. Quell-IP und Ziel-IP Ein IP-Paket enthält normalerweise: Quell-IP-Adresse Ziel-IP-Adresse Die Quell-IP sagt: Von welchem Gerät stammt das Paket? Die Ziel-IP sagt: Zu welchem Gerät soll das Paket? Merksatz: Quell-IP = woher. Ziel-IP = wohin. MAC ändert sich, IP bleibt grundsätzlich erhalten Wenn ein IP-Paket über Router läuft, wird auf jedem Netzwerkabschnitt ein neuer Schicht-2-Frame erstellt. Dabei ändern sich: - Quell-MAC-Adresse - Ziel-MAC-Adresse Grundsätzlich gleich bleiben: - Quell-IP-Adresse - Ziel-IP-Adresse Ausnahme: NAT oder PAT kann IP-Adressen verändern. Merksatz: MAC ändert sich pro Abschnitt. IP bleibt grundsätzlich Ende-zu-Ende. Router Ein Router ist ein typisches Gerät auf Schicht 3. Ein Router verbindet verschiedene IP-Netze. Er entscheidet anhand der Ziel-IP-Adresse, wohin ein IP-Paket weitergeleitet wird. Dafür verwendet er eine Routing-Tabelle. Merksatz: Router = Schicht-3-Gerät für IP-Weiterleitung. Switch und Router unterscheiden Gerät typische Schicht Entscheidung nach Hub 1 Signal Switch 2 MAC-Adresse Router 3 IP-Adresse Merksatz: Hub = Signal. Switch = MAC. Router = IP. Subnetz Ein Subnetz ist ein logischer IP-Adressbereich. Beispiel: 192.168.10.0/24 Zu einem Subnetz gehören: - Netzadresse - nutzbare Host-Adressen - Broadcast-Adresse bei IPv4 - Subnetzmaske oder Präfix Merksatz: Subnetz = IP-Adressbereich auf Schicht 3. Netzadresse Die Netzadresse bezeichnet das Netzwerk selbst. Beispiel: 192.168.10.0/24 Netzadresse: 192.168.10.0 Sie wird normalerweise nicht einem Endgerät zugewiesen. Merksatz: Netzadresse = Adresse des Netzes. Broadcast-Adresse bei IPv4 Die Broadcast-Adresse ist die letzte Adresse im IPv4-Subnetz. Beispiel: 192.168.10.0/24 Broadcast-Adresse: 192.168.10.255 Sie adressiert alle Geräte im Subnetz. Merksatz: Broadcast-Adresse = letzte Adresse im IPv4-Subnetz. Hostbereich Der Hostbereich enthält die nutzbaren Adressen für Geräte. Beispiel: Netz: 192.168.10.0/24 Netzadresse: 192.168.10.0 Hostbereich: 192.168.10.1 bis 192.168.10.254 Broadcast-Adresse: 192.168.10.255 Merksatz: Hostbereich = nutzbare Geräteadressen. Subnetzmaske Die Subnetzmaske trennt Netzanteil und Hostanteil. Beispiel: IP-Adresse: 192.168.10.20 Subnetzmaske: 255.255.255.0 Das entspricht: /24 Merksatz: Subnetzmaske trennt Netz und Host. CIDR CIDR steht für: Classless Inter-Domain Routing CIDR gibt an, wie viele Bits zum Netzanteil gehören. Beispiel: 192.168.10.20/24 Bedeutung: 24 Bit Netzanteil Merksatz: CIDR-Präfix = Anzahl der Netz-Bits. Host-Bits und nutzbare Hosts IPv4 hat insgesamt: 32 Bit Host-Bits berechnet man mit: 32 minus CIDR-Präfix Beispiel /24: 32 - 24 = 8 Host-Bits Alle Adressen: 2 hoch 8 = 256 Nutzbare Hosts: 256 - 2 = 254 Merksatz: Nutzbare Hosts = 2 hoch Host-Bits minus 2. Wichtige IPv4-Präfixe CIDR Subnetzmaske alle Adressen nutzbare Hosts /24 255.255.255.0 256 254 /25 255.255.255.128 128 126 /26 255.255.255.192 64 62 /27 255.255.255.224 32 30 /28 255.255.255.240 16 14 /29 255.255.255.248 8 6 /30 255.255.255.252 4 2 Merksatz: Je größer die CIDR-Zahl, desto kleiner das Netz. Schrittweite Die Schrittweite zeigt, in welchen Abständen neue Subnetze beginnen. Beispiele: CIDR Schrittweite /25 128 /26 64 /27 32 /28 16 /29 8 /30 4 Schnelle Regel: Schrittweite = 256 minus Maskenwert im interessanten Oktett Merksatz: Schrittweite = Größe des Subnetzes im betroffenen Oktett. Private IPv4-Adressen Private IPv4-Adressen werden in internen Netzen verwendet. Wichtige Bereiche: Bereich CIDR 10.0.0.0 – 10.255.255.255 10.0.0.0/8 172.16.0.0 – 172.31.255.255 172.16.0.0/12 192.168.0.0 – 192.168.255.255 192.168.0.0/16 Private IPv4-Adressen sind im öffentlichen Internet nicht direkt geroutet. Merksatz: Private IPv4-Adressen = interne Adressen. Besondere IPv4-Adressen Adresse / Bereich Bedeutung 127.0.0.1 Loopback, eigenes Gerät 127.0.0.0/8 Loopback-Bereich 169.254.0.0/16 APIPA, häufig DHCP-Problem 0.0.0.0/0 Default Route 255.255.255.255 lokaler Broadcast 100.64.0.0/10 häufig Carrier-Grade NAT Merksatz: 127.0.0.1 = eigenes Gerät. 169.254.x.x = oft DHCP-Problem. 0.0.0.0/0 = Default Route. Standard-Gateway Das Standard-Gateway ist der Router für Ziele außerhalb des eigenen Subnetzes. Beispiel: Client: 192.168.10.20/24 Gateway: 192.168.10.1 Wenn das Ziel nicht in 192.168.10.0/24 liegt, sendet der Client an das Gateway. Merksatz: Standard-Gateway = Ausgang in andere Netze. Gateway muss erreichbar sein Das Standard-Gateway muss im eigenen lokalen Subnetz liegen. Falsch: Client: 192.168.10.20/24 Gateway: 192.168.20.1 Warum falsch? Das Gateway liegt nicht im Netz 192.168.10.0/24. Merksatz: Gateway muss im eigenen Subnetz erreichbar sein. Gleiches oder anderes Subnetz Ein Gerät entscheidet: Ziel im eigenen Subnetz? Dann direkt lokal senden. Ziel in anderem Subnetz? Dann zum Gateway senden. Beispiel: 192.168.10.20/24 zu 192.168.10.50 = gleiches Subnetz 192.168.10.20/24 zu 192.168.20.50 = anderes Subnetz Merksatz: Gleiches Subnetz = direkt. Anderes Subnetz = Gateway. Routing Routing bedeutet: IP-Pakete zwischen Netzwerken weiterleiten. Ein Router prüft die Ziel-IP-Adresse und sucht eine passende Route. Merksatz: Routing = Wegentscheidung für IP-Pakete. Routing-Tabelle Eine Routing-Tabelle enthält Wege zu Zielnetzen. Typische Bestandteile: - Zielnetz - Präfix - nächster Hop - Ausgangsschnittstelle - Metrik Merksatz: Routing-Tabelle = Wegweiser für IP-Pakete. Direkt verbundene Route Eine direkt verbundene Route entsteht, wenn ein Router mit einer Schnittstelle direkt in einem Netz hängt. Beispiel: Router-Interface: 192.168.10.1/24 Direkt verbundenes Netz: 192.168.10.0/24 Merksatz: Direkt verbunden = Netz liegt an eigener Schnittstelle. Statische Route Eine statische Route wird manuell eingetragen. Vorteile: - einfach bei kleinen Netzen - gut kontrollierbar Nachteile: - manuelle Pflege - keine automatische Anpassung bei Ausfällen Merksatz: Statische Route = manuell eingetragener Weg. Dynamische Route Dynamische Routen werden automatisch über Routing-Protokolle gelernt. Beispiele: - RIP - OSPF - BGP Merksatz: Dynamische Route = automatisch gelernter Weg. Routing-Protokolle Protokoll typische Einordnung RIP älter, einfach, kleine Netze OSPF interne Unternehmensnetze BGP Internet und Provider-Routing Merksatz: OSPF intern. BGP im Internet zwischen großen Netzen. Default Route Die Default Route wird verwendet, wenn keine genauere Route vorhanden ist. IPv4: 0.0.0.0/0 Bedeutung: alle IPv4-Ziele Merksatz: Default Route = Route für alles Unbekannte. Longest Prefix Match Wenn mehrere Routen passen, gewinnt die genaueste Route. Beispiel: Route Präfix 192.168.0.0/16 /16 192.168.10.0/24 /24 0.0.0.0/0 /0 Ziel: 192.168.10.50 Gewählt wird: 192.168.10.0/24 Merksatz: Genaueste passende Route gewinnt. Nächster Hop Der nächste Hop ist der nächste Router auf dem Weg zum Ziel. Beispiel: Zielnetz: 10.10.0.0/16 nächster Hop: 192.168.20.254 Merksatz: Nächster Hop = nächster Router. Rückroute Kommunikation braucht Hinweg und Rückweg. Wenn der Rückweg fehlt, kommt keine Antwort zurück. Beispiel: Netz A erreicht Netz B. Netz B kennt aber keinen Weg zurück zu Netz A. Folge: Verbindung funktioniert nicht. Merksatz: Ohne Rückroute keine Antwort. Asymmetrisches Routing Asymmetrisches Routing bedeutet: Hinweg und Rückweg nehmen unterschiedliche Pfade. Das kann funktionieren, aber bei Firewalls oder NAT problematisch sein. Warum? Stateful Firewalls und NAT-Geräte müssen die Verbindung kennen. Merksatz: Asymmetrisches Routing kann Firewalls und NAT stören. TTL TTL steht für: Time To Live TTL begrenzt die Lebensdauer eines IP-Pakets. Jeder Router verringert den TTL-Wert. Wenn TTL 0 erreicht, wird das Paket verworfen. Merksatz: TTL verhindert endloses Kreisen von IP-Paketen. ICMP ICMP steht für: Internet Control Message Protocol ICMP wird für Kontroll- und Fehlermeldungen im IP-Netz verwendet. Wichtig: ICMP nutzt keine TCP- oder UDP-Ports. ICMP nutzt Typ und Code. Merksatz: ICMP = Kontrollmeldungen für IP. Ping Ping nutzt typischerweise ICMP Echo Request und Echo Reply. Ping prüft: grundlegende IP-Erreichbarkeit Aber Ping beweist nicht: dass ein bestimmter Dienst funktioniert. Merksatz: Ping prüft IP-Erreichbarkeit, nicht die Anwendung. Traceroute Traceroute zeigt den Weg zu einem Ziel über mehrere Router. Je nach System heißt der Befehl: tracert traceroute tracepath Traceroute nutzt das TTL-Verhalten von IP-Paketen. Merksatz: Traceroute zeigt Router-Hops. NAT NAT steht für: Network Address Translation NAT verändert IP-Adressen beim Übergang zwischen Netzen. Typischer Einsatz: private IPv4-Adresse → öffentliche IPv4-Adresse Merksatz: NAT = IP-Adressen übersetzen. PAT PAT steht für: Port Address Translation PAT ist eine Form von NAT mit Port-Zuordnung. Dadurch können viele interne Geräte eine öffentliche IPv4-Adresse gemeinsam nutzen. Merksatz: PAT = NAT mit Ports. Source NAT und Destination NAT Art Bedeutung typischer Einsatz Source NAT Quell-IP wird verändert internes Gerät ins Internet Destination NAT Ziel-IP wird verändert Portweiterleitung nach innen Merksatz: Source NAT verändert Quelle. Destination NAT verändert Ziel. Portweiterleitung Portweiterleitung bedeutet: Ein externer Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentlich: 93.184.100.10:443 intern: 192.168.10.50:443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. CGNAT CGNAT steht für: Carrier-Grade NAT Dabei macht der Provider NAT. Mögliche Folge: Der eigene Router hat keine echte öffentliche IPv4-Adresse. Typischer Hinweis: WAN-Adresse am Router liegt im Bereich 100.64.0.0/10 oder unterscheidet sich von der öffentlich angezeigten Adresse. Merksatz: CGNAT erschwert eingehende Verbindungen von außen. IPv6 IPv6 ist ebenfalls Schicht 3. Eine IPv6-Adresse hat: 128 Bit Beispiel: 2001:db8::10 Merksatz: IPv6 = 128 Bit. IPv6-Adressarten Art Bereich / Beispiel Bedeutung Link-Local fe80::/10 nur lokaler Link Global Unicast 2000::/3 weltweit routbar Unique Local fc00::/7 interne Nutzung Multicast ff00::/8 Gruppe von Empfängern Loopback ::1 eigenes Gerät Unspecified :: keine konkrete Adresse Merksatz: fe80 lokal. 2000 global. fd intern. ff Multicast. IPv6-Abkürzungen Bei IPv6 gilt: Führende Nullen dürfen weggelassen werden. Zusammenhängende Nullblöcke dürfen mit :: ersetzt werden. :: darf nur einmal pro Adresse vorkommen. Beispiel: 2001:0db8:0000:0000:0000:0000:0000:0010 wird zu: 2001:db8::10 Merksatz: :: darf nur einmal vorkommen. IPv6 nutzt kein ARP IPv4 nutzt ARP. IPv6 nutzt kein ARP. IPv6 nutzt stattdessen: NDP NDP steht für: Neighbor Discovery Protocol NDP basiert auf ICMPv6. Merksatz: IPv6 nutzt NDP statt ARP. ICMPv6 ICMPv6 ist für IPv6 besonders wichtig. Es wird benötigt für: - Neighbor Discovery - Router Discovery - Router Advertisements - Fehler- und Kontrollmeldungen Wichtig: ICMPv6 nicht pauschal blockieren. Merksatz: IPv6 braucht ICMPv6 für Grundfunktionen. SLAAC und DHCPv6 SLAAC steht für: Stateless Address Autoconfiguration Der Client bildet seine IPv6-Adresse anhand von Router Advertisements. DHCPv6 kann zusätzlich oder alternativ Konfigurationsinformationen liefern. Merksatz: SLAAC = automatische IPv6-Adresse. DHCPv6 = IPv6-Konfigurationsdienst. Dual Stack Dual Stack bedeutet: IPv4 und IPv6 laufen gleichzeitig. Ein Gerät kann dann beide Protokolle nutzen. Wichtig: Bei Problemen IPv4 und IPv6 getrennt prüfen. Merksatz: Dual Stack = IPv4 und IPv6 gleichzeitig. DNS bei IPv4 und IPv6 DNS kann IPv4- und IPv6-Adressen liefern. DNS-Record Bedeutung A Name zu IPv4-Adresse AAAA Name zu IPv6-Adresse Merksatz: A = IPv4. AAAA = IPv6. Schicht 3 und VLANs VLANs gehören zu Schicht 2. IP-Subnetze gehören zu Schicht 3. In der Praxis wird häufig pro VLAN ein eigenes Subnetz verwendet. Beispiel: VLAN Subnetz VLAN 10 192.168.10.0/24 VLAN 20 192.168.20.0/24 Merksatz: VLAN = Schicht 2. Subnetz = Schicht 3. Inter-VLAN-Routing Wenn Geräte in unterschiedlichen VLANs kommunizieren sollen, braucht man Routing. Dafür nutzt man zum Beispiel: - Router - Layer-3-Switch - Firewall Merksatz: VLAN zu VLAN braucht Routing. Schicht-3-Fehlersuche Typische Prüfpunkte: - IP-Adresse korrekt? - Subnetzmaske korrekt? - Gateway korrekt? - Gateway erreichbar? - Routing-Tabelle korrekt? - Default Route vorhanden? - Rückroute vorhanden? - NAT korrekt? - Firewall-Regel passend? - IPv4 und IPv6 getrennt geprüft? Merksatz: Schicht-3-Fehlersuche = IP, Gateway, Routing und NAT prüfen. Typische Schicht-3-Fehler Fehlerbild mögliche Ursache keine IP-Adresse DHCP, VLAN, Link 169.254.x.x DHCP nicht erreichbar falsche IP-Adresse falsches VLAN oder falscher DHCP-Bereich Gateway nicht erreichbar falsches Gateway, VLAN, ARP Internet geht nicht Gateway, Default Route, NAT, DNS IP geht, Name nicht DNS-Problem Ping geht, Dienst nicht Schicht 4 oder 7 prüfen VLAN zu VLAN geht nicht Inter-VLAN-Routing oder Firewall extern nicht erreichbar NAT, Firewall, CGNAT, DNS IPv6 geht nicht RA, NDP, ICMPv6, Firewall Merksatz: Viele sichtbare IP-Probleme haben Ursachen in Gateway, VLAN, Routing oder DNS. Was Schicht 3 nicht macht Schicht 3 macht nicht: - Ethernet-Frames anhand von MAC-Adressen switchen - VLAN-Tags setzen - TCP-Verbindungen aufbauen - UDP-Ports auswerten - DNS-Namen auflösen - Webseiten bereitstellen - Benutzer authentifizieren - Zertifikate prüfen Merksatz: Schicht 3 routet IP-Pakete, stellt aber keine Anwendung bereit. Prüfungswissen: wichtigste Zuordnungen Begriff richtige Einordnung IP-Adresse Schicht 3 IP-Paket Schicht 3 Router Schicht 3 Routing Schicht 3 Standard-Gateway Schicht 3 Subnetzmaske Schicht 3 ICMP Schicht 3 Ping Schicht 3 Traceroute Schicht 3 TTL Schicht 3 NAT Schicht 3 PAT Schicht 3 / 4 VLAN Schicht 2 MAC-Adresse Schicht 2 TCP-Port Schicht 4 DNS Schicht 7 Merksatz: IP, Router, Routing, ICMP = Schicht 3. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat OSI-Schicht 3? - Was ist eine IP-Adresse? - Was ist ein IP-Paket? - Was ist der Unterschied zwischen MAC und IP? - Was macht ein Router? - Was ist ein Standard-Gateway? - Wann wird ein Gateway benötigt? - Was ist ein Subnetz? - Was bedeutet CIDR? - Wie berechnet man nutzbare Hosts? - Was ist eine Routing-Tabelle? - Was ist eine Default Route? - Was bedeutet Longest Prefix Match? - Was macht ICMP? - Warum nutzt ICMP keine Ports? - Was prüfen Ping und Traceroute? - Was ist NAT? - Was ist PAT? - Was ist der Unterschied zwischen IPv4 und IPv6? - Warum nutzt IPv6 kein ARP? Typische Prüfungsfallen Schicht 3 arbeitet mit IP-Paketen. Schicht 2 arbeitet mit Frames. MAC-Adresse gehört zu Schicht 2. IP-Adresse gehört zu Schicht 3. Switch = Schicht 2. Router = Schicht 3. Gleiches Subnetz = direkt. Anderes Subnetz = Gateway. Gateway muss im eigenen Subnetz liegen. Default Route = 0.0.0.0/0. Genaueste passende Route gewinnt. Kommunikation braucht Hinweg und Rückweg. Ping nutzt ICMP. ICMP nutzt keine TCP- oder UDP-Ports. Ping-Erfolg bedeutet nicht, dass eine Anwendung funktioniert. NAT ist nicht Routing. NAT ist nicht Firewall. PAT nutzt Ports. IPv4 hat 32 Bit. IPv6 hat 128 Bit. IPv6 hat keinen Broadcast. IPv6 nutzt NDP statt ARP. ICMPv6 ist für IPv6 wichtig. VLAN ist nicht Subnetz. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Vermittlungsschicht OSI-Schicht 3 Netzwerkschicht anderer Begriff für Schicht 3 IP-Adresse logische Adresse auf Schicht 3 IP-Paket Datenform auf Schicht 3 Subnetz logischer IP-Adressbereich Subnetzmaske trennt Netzanteil und Hostanteil CIDR Schreibweise mit Präfixlänge Standard-Gateway Router für Ziele außerhalb des eigenen Subnetzes Router Gerät zur Weiterleitung zwischen IP-Netzen Routing Weiterleitung von IP-Paketen Routing-Tabelle Tabelle mit Wegen zu Zielnetzen Default Route Route für unbekannte Ziele Longest Prefix Match genaueste passende Route gewinnt Nächster Hop nächster Router auf dem Weg Rückroute Weg zurück zum Absender TTL Lebensdauerbegrenzung von IP-Paketen ICMP Kontrollmeldungen für IP Ping ICMP-Erreichbarkeitstest Traceroute Weganzeige über Router NAT Übersetzung von IP-Adressen PAT NAT mit Port-Zuordnung IPv6 Internet Protocol Version 6 NDP Neighbor Discovery Protocol SLAAC automatische IPv6-Adressbildung Dual Stack IPv4 und IPv6 gleichzeitig IHK-sichere Gesamtformulierung Die Vermittlungsschicht beziehungsweise Netzwerkschicht ist Schicht 3 des OSI-Modells. Sie ist für die logische Adressierung und Weiterleitung von IP-Paketen zwischen verschiedenen Netzwerken zuständig. Dazu werden IP-Adressen, Subnetzmasken, Standard-Gateways, Routing-Tabellen und Router verwendet. Ein Router entscheidet anhand der Ziel-IP-Adresse, wohin ein Paket weitergeleitet wird. Befindet sich ein Ziel nicht im eigenen Subnetz, wird das Paket an das Standard-Gateway gesendet. ICMP wird für Kontroll- und Fehlermeldungen verwendet, NAT übersetzt IP-Adressen und IPv6 erweitert den Adressraum auf 128 Bit. Wichtigste Merksätze Schicht 3 = Vermittlungsschicht / Netzwerkschicht. Schicht 3 = IP, Pakete und Routing. IP-Adresse = logische Adresse. IP-Paket = Datenform auf Schicht 3. MAC = lokal. IP = netzübergreifend. MAC-Adresse = Schicht 2. IP-Adresse = Schicht 3. Switch = Schicht 2. Router = Schicht 3. Router entscheidet anhand der Ziel-IP. Routing = Wegentscheidung für IP-Pakete. Gleiches Subnetz = direkt. Anderes Subnetz = Gateway. Gateway muss im eigenen Subnetz liegen. Subnetzmaske trennt Netz und Host. CIDR gibt Netz-Bits an. Host-Bits = 32 minus Präfix. Nutzbare Hosts = 2 hoch Host-Bits minus 2. Default Route = 0.0.0.0/0. Longest Prefix Match = genaueste Route gewinnt. Kommunikation braucht Hinweg und Rückweg. TTL verhindert endloses Kreisen von IP-Paketen. ICMP = Kontrollmeldungen für IP. ICMP nutzt Typ und Code, keine Ports. Ping prüft IP-Erreichbarkeit. Traceroute zeigt Router-Hops. NAT übersetzt IP-Adressen. PAT nutzt zusätzlich Ports. IPv4 = 32 Bit. IPv6 = 128 Bit. IPv6 nutzt NDP statt ARP. ICMPv6 ist für IPv6 wichtig. VLAN = Schicht 2. Subnetz = Schicht 3. Inter-VLAN-Routing = Schicht 3. Erst Link, dann MAC/VLAN, dann IP/Routing. 7. OSI-Schicht 4 – Transportschicht TCP (Transmission Control Protocol) Erklärung TCP einfach erklärt TCP steht für Transmission Control Protocol . TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. Es arbeitet auf der Transportschicht des TCP/IP-Modells und sorgt dafür, dass Daten möglichst vollständig, geordnet und fehlerfrei beim Empfänger ankommen. Typische Anwendungen mit TCP sind zum Beispiel: HTTP/HTTPS SSH E-Mail Dateiübertragung Remote Desktop Grundidee von TCP TCP wird verwendet, wenn Daten zuverlässig übertragen werden sollen. Das bedeutet: - vor der Datenübertragung wird eine Verbindung aufgebaut - Daten werden nummeriert - empfangene Daten werden bestätigt - fehlende Daten können erneut übertragen werden - Daten werden in der richtigen Reihenfolge an die Anwendung weitergegeben TCP ist dadurch zuverlässiger als UDP, hat aber mehr Verwaltungsaufwand. Merksatz: TCP = verbindungsorientiert, zuverlässig und geordnet UDP = verbindungslos, schnell und mit weniger Kontrolle TCP arbeitet mit Ports Eine IP-Adresse zeigt auf einen Host im Netzwerk. Beispiel: 192.168.0.50 Ein Port zeigt auf einen bestimmten Dienst oder eine Anwendung auf diesem Host. Beispiel: 192.168.0.50:443 Das bedeutet: 192.168.0.50 = Host / Gerät 443 = Dienst / Anwendung, hier HTTPS Typische TCP-Ports: 80 = HTTP 443 = HTTPS 22 = SSH 25 = SMTP 110 = POP3 143 = IMAP 3389 = Remote Desktop Merksatz: IP-Adresse = welcher Host? Port = welcher Dienst? Socket = IP-Adresse + Port Socket bei TCP Ein Socket ist die Kombination aus IP-Adresse und Port. Beispiel: 192.168.0.50:443 Bei einer TCP-Verbindung gibt es immer zwei Seiten: Client-Socket: 192.168.0.20:51544 Server-Socket: 93.184.216.34:443 Der Client verwendet oft einen zufälligen hohen Quellport. Der Server verwendet meistens einen bekannten festen Zielport. Eine vollständige TCP-Verbindung wird also durch diese Informationen beschrieben: Quell-IP Quell-Port Ziel-IP Ziel-Port Protokoll TCP TCP-Verbindungsaufbau: 3-Wege-Handshake Bevor TCP Daten überträgt, wird eine Verbindung aufgebaut. Dieser Verbindungsaufbau heißt 3-Wege-Handshake . Dabei tauschen Client und Server Kontrollinformationen aus. Ablauf: Client Server 1. SYN ---------------------> Verbindungswunsch 2. SYN-ACK <------------------ Verbindungswunsch bestätigt 3. ACK ---------------------> Bestätigung zurück Verbindung steht Was bedeutet SYN? SYN ist die Abkürzung für: Synchronize Auf Deutsch: synchronisieren Beim TCP-Verbindungsaufbau bedeutet SYN: Der Client möchte eine neue TCP-Verbindung starten und seine Start-Sequenznummer mit dem Server synchronisieren. SYN ist also nicht einfach nur „Hallo“, sondern enthält auch technische Informationen für den Start der Verbindung. Was bedeutet SYN-ACK? SYN-ACK besteht aus zwei Teilen: SYN = Server möchte ebenfalls seine Start-Sequenznummer synchronisieren ACK = Server bestätigt den SYN des Clients Der Server sagt damit vereinfacht: Ich habe deinen Verbindungswunsch erhalten. Ich bin bereit. Hier ist meine eigene Start-Sequenznummer. Was bedeutet ACK? ACK steht für: Acknowledgement Auf Deutsch: Bestätigung Beim dritten Schritt bestätigt der Client die Antwort des Servers. Danach gilt: Die TCP-Verbindung ist aufgebaut. Daten können übertragen werden. Merksatz: SYN = Verbindungswunsch + Start-Sequenznummer synchronisieren SYN-ACK = Verbindungswunsch bestätigen + eigene Start-Sequenznummer senden ACK = Bestätigung zurücksenden Sequenznummer ist keine Portnummer Eine Sequenznummer ist nicht dasselbe wie eine Portnummer. Eine Portnummer sagt: Welcher Dienst oder welches Programm ist gemeint? Eine Sequenznummer sagt: An welcher Stelle im TCP-Datenstrom befinden sich diese Daten? Merksatz: Portnummer = welcher Dienst? Sequenznummer = welche Stelle im Datenstrom? Oder einfacher: Portnummer ist wie die Türnummer eines Dienstes. Sequenznummer ist wie die Position der Daten im Datenstrom. Was macht die Sequenznummer bei TCP? TCP nummeriert nicht einfach nur einzelne Pakete wie „Paket 1, Paket 2, Paket 3“. Technisch genauer: TCP nummeriert die Bytes im Datenstrom. Dadurch weiß der Empfänger: - wo ein empfangenes TCP-Segment im Datenstrom beginnt - ob Daten in der richtigen Reihenfolge angekommen sind - ob Daten fehlen - ob Daten doppelt angekommen sind Ein TCP-Segment enthält eine Sequenznummer. Diese Sequenznummer zeigt, an welcher Position im Datenstrom die enthaltenen Daten beginnen. Einfaches Beispiel für Sequenznummern Segment 1: Sequenznummer 1000, enthält 500 Byte Segment 2: Sequenznummer 1500, enthält 500 Byte Segment 3: Sequenznummer 2000, enthält 500 Byte Das bedeutet: Segment 1 beginnt bei Byte 1000. Segment 2 beginnt bei Byte 1500. Segment 3 beginnt bei Byte 2000. Wenn alles korrekt ankommt, kann der Empfänger die Daten in der richtigen Reihenfolge zusammensetzen. Was passiert, wenn Daten verloren gehen? Angenommen, Segment 2 geht verloren: Segment 1 kommt an: Sequenznummer 1000 Segment 2 fehlt: Sequenznummer 1500 Segment 3 kommt an: Sequenznummer 2000 Der Empfänger merkt: Ich habe Daten ab 1000 bekommen. Danach müsste eigentlich 1500 kommen. Jetzt kommt aber schon 2000. Also fehlt der Bereich ab 1500. TCP erkennt dadurch, dass ein Teil der Daten fehlt. Die fehlenden Daten können dann erneut übertragen werden. ACK = Bestätigung empfangener Daten Mit einem ACK bestätigt der Empfänger, welche Daten korrekt angekommen sind. Vereinfacht gesagt: ACK 1500 = Ich habe alles bis vor 1500 korrekt erhalten. Bitte sende als Nächstes die Daten ab 1500. Wenn Daten fehlen, bestätigt der Empfänger nicht einfach alles als vollständig. Stattdessen signalisiert er sinngemäß: Ich erwarte weiterhin die Daten ab dieser Sequenznummer. Dadurch erkennt der Sender, dass Daten erneut übertragen werden müssen. Muss TCP komplett warten, wenn ein Segment fehlt? Nicht unbedingt. Später angekommene Daten können zwischengespeichert werden. Beispiel: Segment 1 kommt an. Segment 2 fehlt. Segment 3 kommt schon an. TCP kann Segment 3 intern speichern. Wichtig ist aber: An die Anwendung werden die Daten erst in der richtigen Reihenfolge weitergegeben. Das bedeutet: Die Anwendung bekommt Segment 3 nicht vor Segment 2. Erst wenn die fehlenden Daten angekommen sind, werden die Daten geordnet weitergegeben. Dadurch sieht die Anwendung einen zuverlässigen und geordneten Datenstrom. Warum ist TCP zuverlässig? TCP gilt als zuverlässig, weil es mehrere Kontrollmechanismen verwendet. Dazu gehören: - Verbindungsaufbau durch 3-Wege-Handshake - Sequenznummern - ACK-Bestätigungen - erneute Übertragung verlorener Daten - Reihenfolgekontrolle - Erkennung doppelt empfangener Daten - Flusskontrolle Dadurch kann TCP sicherstellen, dass Daten vollständig und in der richtigen Reihenfolge beim Empfänger ankommen. Flusskontrolle bei TCP TCP verwendet Flusskontrolle, damit ein schneller Sender einen langsameren Empfänger nicht überfordert. Der Empfänger kann dem Sender mitteilen, wie viele Daten er aktuell aufnehmen kann. Das nennt man vereinfacht: Empfangsfenster Wenn der Empfänger nur wenig Speicher frei hat, kann er dem Sender signalisieren: Sende langsamer oder warte kurz. Dadurch wird verhindert, dass der Empfänger mit zu vielen Daten überlastet wird. TCP-Verbindungsabbau Eine TCP-Verbindung wird nicht einfach abrupt beendet, sondern kontrolliert geschlossen. Dafür werden unter anderem FIN- und ACK-Nachrichten verwendet. Vereinfacht: Eine Seite sagt: Ich möchte die Verbindung beenden. Die andere Seite bestätigt das. Danach kann auch die andere Seite ihre Richtung schließen. Typische Steuerbits beim Verbindungsabbau: FIN = Verbindung geordnet beenden ACK = Bestätigung Merksatz: SYN = Verbindung aufbauen FIN = Verbindung beenden ACK = bestätigen TCP im Vergleich zu UDP TCP: - verbindungsorientiert - zuverlässig - geordnete Datenübertragung - Bestätigungen durch ACKs - erneute Übertragung verlorener Daten - mehr Verwaltungsaufwand UDP: - verbindungslos - geringer Verwaltungsaufwand - keine eingebaute Zustellgarantie - keine eingebaute Reihenfolgekontrolle - keine eingebaute erneute Übertragung - oft latenzärmer als TCP TCP wird verwendet, wenn Zuverlässigkeit wichtig ist. UDP wird häufig verwendet, wenn geringe Verzögerung wichtiger ist als vollständige Kontrolle. Beispiel: TCP beim Webseitenaufruf Wenn ein Client eine HTTPS-Webseite aufruft, passiert vereinfacht Folgendes: 1. Client möchte Website aufrufen. 2. Client baut TCP-Verbindung zum Server-Port 443 auf. 3. TCP führt den 3-Wege-Handshake aus. 4. Danach werden Daten übertragen. 5. TCP nummeriert die Daten mit Sequenznummern. 6. Der Empfänger bestätigt empfangene Daten mit ACKs. 7. Fehlende Daten werden erneut übertragen. 8. Die Anwendung erhält die Daten in der richtigen Reihenfolge. Beispiel: Client: 192.168.0.20:51544 Server: 93.184.216.34:443 Protokoll: TCP Wichtige TCP-Begriffe TCP = Transmission Control Protocol SYN = Synchronize ACK = Acknowledgement FIN = Finish Port = Dienstadresse auf einem Host Socket = IP-Adresse + Port Sequenznummer = Position der Daten im TCP-Datenstrom 3-Wege-Handshake = Verbindungsaufbau bei TCP IHK-sichere Kurzformulierung TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. Vor der Datenübertragung wird durch den 3-Wege-Handshake eine Verbindung aufgebaut. TCP verwendet Sequenznummern, um die Reihenfolge der übertragenen Daten im Datenstrom festzulegen. Mit ACKs bestätigt der Empfänger korrekt erhaltene Daten. Fehlende Daten können erkannt und erneut übertragen werden. Dadurch stellt TCP eine geordnete und zuverlässige Datenübertragung bereit. Merksätze TCP = verbindungsorientiert, zuverlässig und geordnet SYN = Verbindung starten SYN-ACK = Verbindung bestätigen und eigene Startnummer senden ACK = Bestätigung Portnummer = welcher Dienst? Sequenznummer = welche Stelle im Datenstrom? Sequenznummern helfen TCP zu erkennen, ob Daten fehlen, doppelt angekommen sind oder in falscher Reihenfolge eintreffen. ACK bestätigt, bis wohin Daten korrekt empfangen wurden. Fehlende Daten werden erneut übertragen. Später angekommene Daten können zwischengespeichert werden. An die Anwendung geht alles erst in der richtigen Reihenfolge. SYN = Verbindung aufbauen FIN = Verbindung beenden ACK = bestätigen UDP (User Datagram Protocol) Erklärung UDP einfach erklärt UDP steht für User Datagram Protocol . UDP ist ein verbindungsloses Transportprotokoll. Es arbeitet auf der Transportschicht des TCP/IP-Modells und wird verwendet, wenn Daten schnell und mit möglichst wenig Verwaltungsaufwand übertragen werden sollen. UDP ist einfacher aufgebaut als TCP. Dafür bietet UDP aber keine eingebaute Garantie, dass Daten ankommen, vollständig sind oder in der richtigen Reihenfolge eintreffen. Typische Anwendungen mit UDP sind zum Beispiel: DNS DHCP VoIP Video-Streaming Audio-Streaming Online-Gaming QUIC / HTTP/3 Grundidee von UDP UDP wird verwendet, wenn eine schnelle und einfache Datenübertragung wichtiger ist als vollständige Kontrolle. Das bedeutet: - keine feste Verbindung vor der Datenübertragung - kein 3-Wege-Handshake - keine eingebaute Zustellgarantie - keine eingebaute Reihenfolgekontrolle - keine automatische erneute Übertragung verlorener Daten - geringer Verwaltungsaufwand UDP sendet Daten einfach los. Ob die Gegenseite erreichbar ist oder ob die Daten vollständig ankommen, wird von UDP selbst nicht zuverlässig kontrolliert. Merksatz: UDP = verbindungslos, einfach und schnell TCP = verbindungsorientiert, zuverlässig und geordnet UDP arbeitet mit Ports Auch UDP verwendet Ports, genau wie TCP. Eine IP-Adresse zeigt auf einen Host im Netzwerk. Beispiel: 192.168.0.50 Ein Port zeigt auf einen bestimmten Dienst oder eine Anwendung auf diesem Host. Beispiel: 192.168.0.50:53 Das bedeutet: 192.168.0.50 = Host / Gerät 53 = Dienst / Anwendung, hier DNS Typische UDP-Ports: 53 = DNS 67 = DHCP Server 68 = DHCP Client 123 = NTP 500 = IKE / IPsec 1194 = OpenVPN 51820 = WireGuard 443 = QUIC / HTTP/3 Wichtig: Ein Port kann bei TCP und UDP unterschiedlich verwendet werden. Beispiel: TCP 443 = HTTPS über TCP UDP 443 = QUIC / HTTP/3 Merksatz: IP-Adresse = welcher Host? Port = welcher Dienst? Socket = IP-Adresse + Port Socket bei UDP Ein Socket ist die Kombination aus IP-Adresse und Port. Beispiel: 192.168.0.50:53 Bei UDP kann ein Datenpaket von einem Quell-Socket zu einem Ziel-Socket gesendet werden. Beispiel: Client-Socket: 192.168.0.20:53000 Server-Socket: 192.168.0.1:53 Das bedeutet: Client fragt von Port 53000 aus einen DNS-Server auf Port 53 an. Eine UDP-Kommunikation wird also durch diese Informationen beschrieben: Quell-IP Quell-Port Ziel-IP Ziel-Port Protokoll UDP UDP hat keinen Verbindungsaufbau Bei TCP gibt es vor der Datenübertragung einen 3-Wege-Handshake. Bei UDP gibt es diesen Verbindungsaufbau nicht. TCP: Client Server 1. SYN ---------------------> 2. SYN-ACK <------------------ 3. ACK ---------------------> Verbindung steht UDP: Client Server Datenpaket ------------------> Keine vorherige Verbindung Keine SYN-Nachricht Kein SYN-ACK Kein ACK durch UDP selbst UDP sendet also direkt ein Datagramm an den Empfänger. Merksatz: TCP fragt vorher: Darf ich eine Verbindung aufbauen? UDP sendet direkt los. Was ist ein UDP-Datagramm? Die Dateneinheit bei UDP nennt man Datagramm . Ein UDP-Datagramm enthält unter anderem: - Quellport - Zielport - Länge - Prüfsumme - Nutzdaten UDP ist dadurch sehr schlank aufgebaut. Wichtig: UDP nummeriert die Daten nicht wie TCP mit Sequenznummern. Deshalb kann UDP selbst nicht zuverlässig erkennen, ob ein Datagramm fehlt oder in falscher Reihenfolge angekommen ist. UDP hat keine Sequenznummern wie TCP TCP verwendet Sequenznummern, um die Position der Daten im Datenstrom festzulegen. UDP macht das nicht. TCP: Segment 1: Sequenznummer 1000 Segment 2: Sequenznummer 1500 Segment 3: Sequenznummer 2000 UDP: Datagramm 1 wird gesendet. Datagramm 2 wird gesendet. Datagramm 3 wird gesendet. UDP selbst merkt sich keine Reihenfolge. Wenn ein UDP-Datagramm verloren geht, wird es von UDP nicht automatisch erneut angefordert. Wenn UDP-Datagramme in falscher Reihenfolge ankommen, sortiert UDP sie nicht automatisch. Merksatz: TCP kontrolliert die Reihenfolge. UDP sendet einzelne Datagramme ohne Reihenfolgegarantie. UDP hat keine eingebaute Zustellgarantie UDP garantiert nicht, dass ein Datagramm beim Empfänger ankommt. Ein UDP-Datagramm kann unterwegs verloren gehen, zum Beispiel durch: - Netzwerküberlastung - Paketverlust - Routing-Probleme - Firewall-Regeln - fehlerhafte Übertragung UDP selbst sendet verlorene Datagramme nicht automatisch erneut. Das bedeutet: Wenn ein UDP-Datagramm verloren geht, merkt UDP selbst das nicht zuverlässig und fordert es nicht automatisch erneut an. Wenn eine Anwendung trotzdem Zuverlässigkeit braucht, muss sie diese selbst oberhalb von UDP einbauen. Beispiele dafür sind: - eigene Bestätigungen - eigene Sequenznummern - eigene Wiederholungen - Fehlerkorrektur auf Anwendungsebene UDP hat keine eingebaute Reihenfolgekontrolle UDP garantiert nicht, dass Datagramme in der gesendeten Reihenfolge ankommen. Beispiel: Gesendet: Datagramm 1 Datagramm 2 Datagramm 3 Angekommen: Datagramm 1 Datagramm 3 Datagramm 2 UDP sortiert diese Datagramme nicht automatisch. Wenn die Reihenfolge wichtig ist, muss die Anwendung selbst dafür sorgen. Beispiel: Eine Anwendung kann eigene Nummern in die Nutzdaten schreiben, um die Reihenfolge später selbst zu prüfen. Merksatz: UDP liefert Datagramme so ab, wie sie ankommen. UDP sortiert nicht automatisch. UDP hat weniger Verwaltungsaufwand als TCP UDP hat weniger Verwaltungsaufwand, weil es keinen Verbindungsaufbau, keine Sequenznummern, keine ACKs und keine automatische Wiederholung verlorener Daten gibt. Dadurch ist UDP oft: - einfacher - schneller beim Start - latenzärmer - ressourcenschonender Wichtig: UDP ist nicht automatisch immer schneller im Sinne von höherer Datenrate. Besser formuliert: UDP hat weniger Verwaltungsaufwand als TCP und kann dadurch schneller bzw. latenzärmer sein. Das ist besonders bei Anwendungen wichtig, bei denen Echtzeit wichtiger ist als perfekte Vollständigkeit. Warum nutzt man UDP trotz fehlender Garantie? UDP wird genutzt, weil bei manchen Anwendungen verlorene Daten weniger schlimm sind als Verzögerungen. Beispiel VoIP: Bei einem Telefonat ist es besser, wenn ein kleines Audiostück kurz fehlt, als wenn die Sprache stark verzögert ankommt. Beispiel Online-Gaming: Bei schnellen Positionsdaten ist es oft besser, aktuelle Daten zu bekommen, als alte verlorene Daten nachträglich zu übertragen. Beispiel Streaming: Bei Live-Video ist geringe Verzögerung wichtiger als jedes einzelne Paket nachträglich zu retten. Merksatz: UDP wird häufig verwendet, wenn Aktualität wichtiger ist als vollständige Nachlieferung. Beispiel: DNS mit UDP DNS verwendet sehr häufig UDP auf Port 53. Ablauf vereinfacht: 1. Client möchte wissen, welche IP-Adresse zu einer Domain gehört. 2. Client sendet eine DNS-Anfrage per UDP an Port 53. 3. DNS-Server antwortet per UDP. 4. Die Antwort enthält die passende IP-Adresse. Beispiel: Client: 192.168.0.20:53000 DNS-Server: 192.168.0.1:53 Protokoll: UDP Warum UDP hier sinnvoll ist: - DNS-Anfragen sind meist klein - eine Verbindung vorher aufzubauen wäre zusätzlicher Aufwand - bei Verlust kann die Anfrage einfach erneut gestellt werden Wichtig: DNS kann auch TCP verwenden, zum Beispiel bei größeren Antworten oder Zonentransfers. Beispiel: VoIP mit UDP Bei VoIP werden Sprachdaten in kleinen Paketen übertragen. UDP eignet sich hier gut, weil geringe Verzögerung besonders wichtig ist. Beispiel: Sprecher → Sprachpakete → Netzwerk → Empfänger Wenn ein kleines Sprachpaket verloren geht, ist das meist weniger schlimm als eine große Verzögerung. Deshalb ist bei VoIP oft wichtiger: geringe Latenz statt vollständige Nachlieferung Beispiel: Online-Gaming mit UDP Online-Spiele übertragen häufig Positionsdaten, Bewegungen und Zustände. Beispiel: Spielerposition Blickrichtung Bewegung Aktionen Wenn ein altes Positionspaket verloren geht, ist es oft nicht sinnvoll, es später noch nachzuliefern. Wichtiger ist: Der aktuelle Zustand soll möglichst schnell ankommen. Deshalb wird für solche Echtzeitdaten häufig UDP genutzt. QUIC und HTTP/3 nutzen UDP QUIC ist ein modernes Transportprotokoll, das auf UDP basiert. HTTP/3 verwendet QUIC. Vereinfacht: HTTP/3 läuft über QUIC. QUIC läuft über UDP. UDP läuft über IP. Wichtig: QUIC nutzt UDP als Grundlage, baut aber eigene Funktionen für Zuverlässigkeit, Verschlüsselung und Verbindungssteuerung ein. Das bedeutet: UDP selbst ist einfach und verbindungslos. QUIC ergänzt darauf zusätzliche moderne Funktionen. UDP und Firewall Firewalls können UDP-Verkehr filtern, genau wie TCP-Verkehr. Dabei werden zum Beispiel geprüft: - Quell-IP - Ziel-IP - Quellport - Zielport - Protokoll UDP Da UDP keine feste Verbindung wie TCP aufbaut, ist die Zustandsverfolgung schwieriger. Eine Stateful Firewall kann sich aber trotzdem merken, dass ein interner Client ein UDP-Datagramm nach außen gesendet hat. Beispiel: Client sendet DNS-Anfrage an DNS-Server. Firewall merkt sich diese Anfrage kurzzeitig. DNS-Antwort darf zurück. Unerwartete UDP-Pakete von außen werden blockiert. Merksatz: Auch UDP kann von einer Stateful Firewall verfolgt werden, aber ohne echten TCP-Verbindungszustand. UDP und NAT/PAT Auch UDP kann über NAT/PAT ins Internet gehen. Beispiel: Interner Client: 192.168.0.20:53000 Öffentliche IP: 84.10.20.30:40001 DNS-Server: 1.1.1.1:53 Die Firewall bzw. der Router merkt sich die Zuordnung: 192.168.0.20:53000 → 84.10.20.30:40001 Wenn die Antwort vom DNS-Server zurückkommt, weiß der Router: Diese Antwort gehört zurück an 192.168.0.20:53000. Wichtig: Bei UDP sind solche NAT-Zuordnungen meist zeitlich begrenzt, weil es keine dauerhaft aufgebaute Verbindung wie bei TCP gibt. UDP im Vergleich zu TCP TCP: - verbindungsorientiert - 3-Wege-Handshake - zuverlässig - Sequenznummern - ACK-Bestätigungen - erneute Übertragung verlorener Daten - Reihenfolgekontrolle - mehr Verwaltungsaufwand UDP: - verbindungslos - kein 3-Wege-Handshake - keine eingebaute Zustellgarantie - keine eingebaute Reihenfolgekontrolle - keine automatische erneute Übertragung - weniger Verwaltungsaufwand - oft latenzärmer Merksatz: TCP kontrolliert stärker. UDP ist schlanker und direkter. Wann verwendet man TCP? TCP verwendet man, wenn Daten zuverlässig und vollständig ankommen müssen. Beispiele: - Webseiten über HTTP/HTTPS - Dateiübertragung - SSH - E-Mail - Remote Desktop Hier wäre es schlecht, wenn Daten fehlen oder in falscher Reihenfolge bei der Anwendung ankommen. Wann verwendet man UDP? UDP verwendet man häufig, wenn geringe Verzögerung wichtiger ist als vollständige Kontrolle. Beispiele: - DNS - DHCP - VoIP - Live-Streaming - Online-Gaming - NTP - VPN-Protokolle wie WireGuard - QUIC / HTTP/3 Hier ist es oft besser, schnell weiterzumachen, statt verlorene alte Daten nachzuliefern. Ist UDP unsicherer als TCP? UDP ist nicht automatisch „unsicherer“ als TCP. UDP hat nur weniger eingebaute Kontrollfunktionen. Sicherheit hängt vor allem davon ab: - welches Anwendungsprotokoll verwendet wird - ob Verschlüsselung eingesetzt wird - wie die Firewall konfiguriert ist - ob der Dienst korrekt abgesichert ist Beispiel: QUIC nutzt UDP, kann aber trotzdem verschlüsselte Kommunikation ermöglichen. UDP bedeutet also nicht automatisch unsicher. Es bedeutet nur: UDP selbst garantiert weniger als TCP. Wichtige UDP-Begriffe UDP = User Datagram Protocol Datagramm = einzelne UDP-Dateneinheit Port = Dienstadresse auf einem Host Socket = IP-Adresse + Port Quellport = Port des sendenden Systems Zielport = Port des empfangenden Dienstes Prüfsumme = einfache Fehlererkennung im UDP-Datagramm IHK-sichere Kurzformulierung UDP ist ein verbindungsloses Transportprotokoll mit geringem Verwaltungsaufwand. Im Gegensatz zu TCP baut UDP vor der Datenübertragung keine Verbindung auf und bietet keine eingebaute Garantie für Zustellung, Reihenfolge oder erneute Übertragung verlorener Daten. Dadurch ist UDP besonders für Anwendungen geeignet, bei denen geringe Verzögerung wichtiger ist als vollständige Kontrolle, zum Beispiel DNS, VoIP, Streaming oder Online-Gaming. Merksätze UDP = verbindungslos, einfach und mit wenig Verwaltungsaufwand UDP sendet direkt los. TCP baut vorher eine Verbindung auf. UDP garantiert nicht, dass Datagramme ankommen, in richtiger Reihenfolge ankommen oder erneut übertragen werden. UDP ist oft latenzärmer als TCP, aber nicht automatisch immer schneller in jeder Situation. TCP = Zuverlässigkeit und Kontrolle UDP = Geschwindigkeit und geringer Verwaltungsaufwand Wenn UDP Zuverlässigkeit braucht, muss die Anwendung diese selbst einbauen. DNS, VoIP, Streaming und Online-Gaming sind typische Beispiele für UDP. TCP versus UDP TCP und UDP sind beide Transportprotokolle. Sie arbeiten auf der Transportschicht und sorgen dafür, dass Daten zwischen Anwendungen auf verschiedenen Geräten übertragen werden können. Der wichtigste Unterschied ist: TCP baut vor der Datenübertragung eine Verbindung auf. UDP sendet Daten ohne vorherigen Verbindungsaufbau direkt los. TCP kurz erklärt TCP steht für Transmission Control Protocol . TCP ist: - verbindungsorientiert - zuverlässig - geordnet - kontrolliert - mit mehr Verwaltungsaufwand verbunden Bei TCP wird vor der Übertragung der eigentlichen Nutzdaten zuerst eine Verbindung aufgebaut. Dieser Verbindungsaufbau heißt 3-Wege-Handshake . Client Server 1. SYN ---------------------> Verbindungswunsch 2. SYN-ACK <------------------ Bestätigung + eigene Start-Sequenznummer 3. ACK ---------------------> Bestätigung Danach ist die TCP-Verbindung aufgebaut. Erst danach werden die eigentlichen Nutzdaten übertragen. Wichtig: Nicht ACK ist der erste Schritt. Der erste Schritt ist SYN. ACK ist die Bestätigung im dritten Schritt. Was bedeutet SYN bei TCP? SYN steht für: Synchronize Auf Deutsch: synchronisieren SYN bedeutet beim TCP-Verbindungsaufbau: Der Client möchte eine neue TCP-Verbindung starten und seine Start-Sequenznummer mit dem Server synchronisieren. SYN ist also der Verbindungswunsch und gleichzeitig der Start der Synchronisation der Sequenznummern. Was bedeutet SYN-ACK bei TCP? SYN-ACK besteht aus zwei Teilen: SYN = Server möchte ebenfalls seine Start-Sequenznummer synchronisieren ACK = Server bestätigt den SYN des Clients Der Server sagt damit vereinfacht: Ich habe deinen Verbindungswunsch erhalten. Ich bin bereit. Hier ist meine eigene Start-Sequenznummer. Was bedeutet ACK bei TCP? ACK steht für: Acknowledgement Auf Deutsch: Bestätigung Mit ACK bestätigt eine Seite, dass bestimmte Daten oder Steuerinformationen angekommen sind. Beim 3-Wege-Handshake bestätigt der Client mit ACK die Antwort des Servers. Merksatz: SYN = Verbindung starten und Sequenznummer synchronisieren SYN-ACK = Verbindung bestätigen und eigene Startnummer senden ACK = Bestätigung zurücksenden UDP kurz erklärt UDP steht für User Datagram Protocol . UDP ist: - verbindungslos - einfach - schnell bzw. oft latenzärmer - mit wenig Verwaltungsaufwand verbunden - ohne eingebaute Zustellgarantie - ohne eingebaute Reihenfolgekontrolle - ohne automatische erneute Übertragung verlorener Daten Bei UDP gibt es keinen 3-Wege-Handshake. Client Server Daten -----------------------> Kein SYN Kein SYN-ACK Kein verbindungsaufbauendes ACK UDP sendet Datagramme direkt los. UDP selbst prüft nicht zuverlässig, ob die Gegenseite bereit ist oder ob die Daten vollständig angekommen sind. Nutzdaten bei TCP und UDP Nutzdaten sind die eigentlichen Inhalte, die eine Anwendung übertragen möchte. Beispiele: - Webseiteninhalte - Dateien - Sprache - Videodaten - DNS-Anfragen - Spielinformationen Bei TCP gilt: Erst Verbindungsaufbau, dann Nutzdaten. Bei UDP gilt: Kein Verbindungsaufbau, Nutzdaten werden direkt als Datagramm gesendet. Sequenznummern bei TCP TCP verwendet Sequenznummern. Eine Sequenznummer ist keine Portnummer. Portnummer = welcher Dienst? Sequenznummer = welche Stelle im Datenstrom? TCP nummeriert technisch gesehen die Bytes im Datenstrom. Dadurch kann der Empfänger erkennen: - welche Daten angekommen sind - ob Daten fehlen - ob Daten doppelt angekommen sind - ob Daten in falscher Reihenfolge angekommen sind Beispiel: Segment 1: Sequenznummer 1000, enthält 500 Byte Segment 2: Sequenznummer 1500, enthält 500 Byte Segment 3: Sequenznummer 2000, enthält 500 Byte Wenn Segment 2 fehlt, merkt TCP: Nach 1000 müsste 1500 kommen. Wenn schon 2000 kommt, fehlt der Bereich ab 1500. Fehlende Daten können dann erneut übertragen werden. UDP hat keine TCP-Sequenznummern UDP nummeriert die Daten nicht wie TCP mit Sequenznummern. UDP sendet einzelne Datagramme. Datagramm 1 wird gesendet. Datagramm 2 wird gesendet. Datagramm 3 wird gesendet. UDP selbst merkt sich dabei keine Reihenfolge. Wenn ein Datagramm verloren geht, fordert UDP es nicht automatisch erneut an. Wenn Datagramme in falscher Reihenfolge ankommen, sortiert UDP sie nicht automatisch. Zuverlässigkeit TCP ist zuverlässig, weil es mehrere Kontrollmechanismen verwendet: - Verbindungsaufbau durch 3-Wege-Handshake - Sequenznummern - ACK-Bestätigungen - erneute Übertragung verlorener Daten - Reihenfolgekontrolle - Erkennung doppelt empfangener Daten - Flusskontrolle UDP hat diese Zuverlässigkeit nicht eingebaut. UDP garantiert nicht: - dass Daten ankommen - dass Daten vollständig ankommen - dass Daten in der richtigen Reihenfolge ankommen - dass verlorene Daten erneut übertragen werden Wenn eine Anwendung über UDP trotzdem Zuverlässigkeit benötigt, muss sie diese selbst einbauen. Beispiele: - eigene Bestätigungen - eigene Sequenznummern - eigene Wiederholungen - Fehlerkorrektur auf Anwendungsebene Geschwindigkeit und Verwaltungsaufwand TCP hat mehr Verwaltungsaufwand, weil es Verbindungen aufbaut, Daten bestätigt, Reihenfolgen prüft und verlorene Daten erneut überträgt. UDP hat weniger Verwaltungsaufwand, weil es diese Funktionen nicht eingebaut hat. Deshalb ist UDP oft latenzärmer. Wichtig: UDP ist nicht automatisch immer schneller im Sinne von höherer Datenrate. UDP hat aber weniger Verwaltungsaufwand und kann dadurch schneller reagieren. Besser formuliert: UDP ist oft latenzärmer als TCP, weil es keinen Verbindungsaufbau und weniger Kontrollmechanismen hat. Typische Anwendungen für TCP TCP wird verwendet, wenn Daten zuverlässig und vollständig ankommen müssen. Beispiele: - HTTP/HTTPS über TCP - SSH - E-Mail - Dateiübertragung - Remote Desktop - Datenbankverbindungen Hier wäre es problematisch, wenn Daten fehlen oder in falscher Reihenfolge bei der Anwendung ankommen. Beispiel: Bei einer Dateiübertragung darf kein Teil der Datei fehlen. Bei SSH müssen Befehle korrekt und in richtiger Reihenfolge ankommen. Bei Webseiten sollen Inhalte vollständig übertragen werden. Typische Anwendungen für UDP UDP wird häufig verwendet, wenn geringe Verzögerung wichtiger ist als vollständige Kontrolle. Beispiele: - DNS - DHCP - VoIP - Live-Streaming - Online-Gaming - NTP - WireGuard - QUIC / HTTP/3 Beispiel VoIP: Bei einem Telefonat ist es besser, wenn ein kleines Audiostück kurz fehlt, als wenn die Sprache stark verzögert ankommt. Beispiel Online-Gaming: Bei schnellen Positionsdaten ist der aktuelle Zustand wichtiger als ein altes verlorenes Paket nachträglich zu übertragen. DNS als Beispiel für UDP DNS nutzt sehr häufig UDP auf Port 53. Ablauf vereinfacht: 1. Client fragt per UDP beim DNS-Server an. 2. DNS-Server antwortet per UDP. 3. Die Antwort enthält die passende IP-Adresse zur Domain. Beispiel: Client: 192.168.0.20:53000 DNS-Server: 192.168.0.1:53 Protokoll: UDP Warum UDP hier sinnvoll ist: - DNS-Anfragen sind meist klein. - Ein TCP-Verbindungsaufbau wäre zusätzlicher Aufwand. - Bei Verlust kann die Anfrage einfach erneut gestellt werden. Wichtig: DNS kann auch TCP verwenden, zum Beispiel bei größeren Antworten oder Zonentransfers. QUIC und HTTP/3 QUIC ist ein modernes Transportprotokoll, das auf UDP basiert. HTTP/3 läuft über QUIC. QUIC läuft über UDP. UDP läuft über IP. Wichtig: UDP selbst ist einfach und verbindungslos. QUIC baut darauf eigene Funktionen für Verbindung, Zuverlässigkeit und Verschlüsselung auf. Das bedeutet: Nur weil UDP selbst keine TCP-Zuverlässigkeit bietet, kann ein Protokoll oberhalb von UDP trotzdem eigene Kontrollmechanismen einbauen. TCP und UDP mit Ports Sowohl TCP als auch UDP verwenden Ports. IP-Adresse = welcher Host? Port = welcher Dienst? Socket = IP-Adresse + Port Wichtig: TCP-Port 443 und UDP-Port 443 sind technisch getrennt. Beispiel: TCP 443 = HTTPS über TCP UDP 443 = QUIC / HTTP/3 Ein Dienst kann also denselben Port bei TCP und UDP unterschiedlich verwenden. Firewall-Bezug Firewalls können sowohl TCP als auch UDP filtern. Dabei prüfen sie zum Beispiel: - Quell-IP - Ziel-IP - Quellport - Zielport - Protokoll TCP oder UDP Bei TCP kann eine Stateful Firewall den Verbindungszustand gut erkennen: SYN → SYN-ACK → ACK → Verbindung steht Bei UDP gibt es keinen echten Verbindungszustand wie bei TCP. Eine Stateful Firewall kann sich aber trotzdem kurzzeitig merken, dass ein internes Gerät ein UDP-Datagramm nach außen gesendet hat. Beispiel: Client sendet DNS-Anfrage per UDP nach außen. Firewall merkt sich diese Anfrage kurzzeitig. DNS-Antwort darf zurück. Unerwartete UDP-Pakete von außen werden blockiert. TCP versus UDP als Tabelle Merkmal TCP UDP Voller Name Transmission Control Protocol User Datagram Protocol Verbindungsaufbau Ja, 3-Wege-Handshake Nein Erste Nachricht SYN Direkt Datagramm/Nutzdaten Zuverlässigkeit Eingebaut Nicht eingebaut Reihenfolgekontrolle Ja Nein Sequenznummern Ja Nicht wie TCP ACK-Bestätigungen Ja Nicht durch UDP selbst Erneute Übertragung Ja Nein Verwaltungsaufwand Höher Geringer Latenz Oft höher Oft geringer Typische Nutzung Zuverlässige Datenübertragung Echtzeit oder kleine schnelle Anfragen Beispiele HTTPS, SSH, E-Mail, Dateiübertragung DNS, VoIP, Streaming, Gaming, QUIC Einfacher Vergleich TCP ist wie ein Einschreiben: Es wird geprüft, bestätigt und bei Problemen erneut gesendet. UDP ist wie eine Postkarte: Sie wird direkt abgeschickt, aber es gibt keine eingebaute Garantie, dass sie ankommt oder in welcher Reihenfolge sie ankommt. IHK-sichere Kurzformulierung TCP ist ein verbindungsorientiertes und zuverlässiges Transportprotokoll. Vor der Datenübertragung wird über den 3-Wege-Handshake eine Verbindung aufgebaut. TCP verwendet Sequenznummern, ACK-Bestätigungen, Reihenfolgekontrolle und erneute Übertragung verlorener Daten. Dadurch eignet sich TCP für Anwendungen, bei denen Daten vollständig und korrekt ankommen müssen. UDP ist ein verbindungsloses Transportprotokoll mit geringem Verwaltungsaufwand. UDP baut vor dem Senden keine Verbindung auf und bietet keine eingebaute Garantie für Zustellung, Reihenfolge oder erneute Übertragung verlorener Daten. Dadurch eignet sich UDP besonders für Anwendungen, bei denen geringe Verzögerung wichtiger ist als vollständige Kontrolle. Merksätze TCP = erst Verbindung aufbauen, dann Nutzdaten senden UDP = keine Verbindung aufbauen, Daten direkt senden TCP = zuverlässig, geordnet und kontrolliert UDP = verbindungslos, schlank und oft latenzärmer TCP fragt vorher: "Darf ich eine Verbindung aufbauen?" UDP sendet direkt: "Hier sind die Daten." TCP nutzt SYN, SYN-ACK und ACK für den Verbindungsaufbau. UDP hat keinen 3-Wege-Handshake. TCP erkennt fehlende Daten und überträgt sie erneut. UDP macht das nicht automatisch. TCP eignet sich für vollständige Daten. UDP eignet sich für schnelle oder zeitkritische Daten. 7.1 OSI-Schicht 4 – Transportschicht Die Transportschicht ist Schicht 4 des OSI-Modells. Sie liegt zwischen: Schicht 3: Vermittlungsschicht / Netzwerkschicht und Schicht 5: Sitzungsschicht Die Hauptaufgabe von Schicht 4 ist: Daten zwischen Anwendungen auf Endgeräten transportieren. Dabei geht es besonders um: - TCP - UDP - Ports - Verbindungen - Zuverlässigkeit - Reihenfolge - Flusskontrolle - Fehlerbehandlung - Segmentierung Merksatz: Schicht 4 = Transport zwischen Anwendungen mit TCP, UDP und Ports. Grundidee von Schicht 4 Schicht 3 bringt IP-Pakete von einem Gerät zu einem anderen Gerät. Schicht 4 sorgt dafür, dass die Daten zur richtigen Anwendung auf diesem Gerät gelangen. Beispiel: Ein Server hat eine IP-Adresse. Auf dem Server laufen mehrere Dienste. Zum Beispiel: Webserver SSH Mailserver Datenbank Damit klar ist, welcher Dienst gemeint ist, nutzt Schicht 4 Ports. Merksatz: IP bringt zum Gerät. Port bringt zur Anwendung. Einordnung im OSI-Modell OSI-Schicht Name Aufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Darstellung, Codierung, Verschlüsselung 5 Sitzungsschicht Sitzungen verwalten 4 Transportschicht Transport zwischen Anwendungen 3 Vermittlungsschicht / Netzwerkschicht IP-Adressierung und Routing 2 Sicherungsschicht Frames, MAC-Adressen, lokale Übertragung 1 Bitübertragungsschicht Bits als Signale übertragen Merksatz: Schicht 4 sitzt über IP und unter den Anwendungsschichten. Warum braucht man Schicht 4? Schicht 3 kennt IP-Adressen. Eine IP-Adresse sagt: welches Gerät? Aber ein Gerät kann viele Dienste gleichzeitig anbieten. Beispiel Server: Dienst typischer Port HTTP 80 HTTPS 443 SSH 22 DNS 53 SMTP 25 IMAP 143 RDP 3389 Schicht 4 sorgt dafür, dass Daten beim richtigen Dienst landen. Merksatz: Ohne Ports wüsste ein Gerät nicht, für welchen Dienst die Daten bestimmt sind. Ports Ein Port ist eine logische Nummer auf Schicht 4. Ports werden verwendet, um Anwendungen oder Dienste auf einem Gerät zu unterscheiden. Beispiel: IP-Adresse: 192.168.10.50 Port: 443 Zusammen: 192.168.10.50:443 Das bedeutet: Dienst auf Port 443 auf dem Gerät 192.168.10.50 Merksatz: Port = logische Dienstnummer auf Schicht 4. Port ist nicht gleich Switch-Port Der Begriff Port kann verwirrend sein. Begriff Bedeutung Schicht Switch-Port physischer Anschluss am Switch 1 / 2 TCP-Port logische Dienstnummer 4 UDP-Port logische Dienstnummer 4 Beispiel: Switch-Port 5: Kabel steckt am Switch. TCP-Port 443: HTTPS-Dienst auf einem Server. Merksatz: Switch-Port = physisch. TCP-/UDP-Port = logisch. TCP TCP steht für: Transmission Control Protocol TCP ist ein verbindungsorientiertes Transportprotokoll. Das bedeutet: Vor der eigentlichen Datenübertragung wird eine Verbindung aufgebaut. TCP bietet unter anderem: - Verbindungsaufbau - zuverlässige Übertragung - Reihenfolge der Daten - Bestätigungen - erneute Übertragung bei Verlust - Flusskontrolle - Staukontrolle Merksatz: TCP = zuverlässig und verbindungsorientiert. UDP UDP steht für: User Datagram Protocol UDP ist ein verbindungsloses Transportprotokoll. Das bedeutet: Es wird keine Verbindung wie bei TCP aufgebaut. UDP sendet Datagramme ohne eingebaute Garantie für: - Zustellung - Reihenfolge - erneute Übertragung - Bestätigung UDP ist dadurch einfacher und schneller, aber weniger zuverlässig. Merksatz: UDP = schnell und verbindungslos. TCP und UDP im Vergleich Merkmal TCP UDP Verbindungsaufbau ja nein Zuverlässigkeit hoch keine eingebaute Garantie Reihenfolge wird sichergestellt keine eingebaute Garantie Bestätigung ja nein erneute Übertragung ja nein Overhead höher geringer typische Nutzung Web, Mail, SSH DNS, VoIP, Streaming, Gaming Merksatz: TCP = sicherer Transport. UDP = schlanker Transport. Verbindungsorientiert Verbindungsorientiert bedeutet: Vor der Datenübertragung wird eine Verbindung aufgebaut. TCP arbeitet verbindungsorientiert. Dabei wird geprüft: Ist die Gegenstelle erreichbar? Können beide Seiten kommunizieren? Welche Anfangswerte werden verwendet? Erst danach werden Nutzdaten übertragen. Merksatz: Verbindungsorientiert = Verbindung vor Datenübertragung. Verbindungslos Verbindungslos bedeutet: Es wird keine feste Verbindung aufgebaut. UDP arbeitet verbindungslos. Ein UDP-Datagramm wird einfach gesendet. Der Sender weiß durch UDP allein nicht sicher: ob es angekommen ist ob es in richtiger Reihenfolge angekommen ist ob es mehrfach angekommen ist Wenn eine Anwendung Zuverlässigkeit braucht, muss sie das selbst lösen. Merksatz: Verbindungslos = senden ohne vorherigen Verbindungsaufbau. TCP-Handshake TCP baut eine Verbindung mit dem sogenannten Drei-Wege-Handshake auf. Die drei Schritte sind: 1. SYN 2. SYN-ACK 3. ACK Vereinfacht: Client: Ich möchte eine Verbindung aufbauen. Server: Einverstanden, ich bestätige. Client: Bestätigung erhalten. Danach beginnt die eigentliche Datenübertragung. Merksatz: TCP-Verbindung startet mit SYN, SYN-ACK, ACK. Drei-Wege-Handshake Schritt Richtung Bedeutung 1 Client → Server SYN 2 Server → Client SYN-ACK 3 Client → Server ACK SYN bedeutet: Synchronize ACK bedeutet: Acknowledgement Nach dem dritten Schritt gilt die TCP-Verbindung als aufgebaut. Merksatz: Drei-Wege-Handshake = SYN, SYN-ACK, ACK. TCP-Bestätigungen TCP arbeitet mit Bestätigungen. Wenn Daten ankommen, bestätigt der Empfänger den Empfang. Wenn Daten verloren gehen, können sie erneut übertragen werden. Dadurch erreicht TCP eine zuverlässige Datenübertragung. Beispiel: Sender sendet Daten. Empfänger bestätigt Empfang. Sender weiß: Daten sind angekommen. Merksatz: TCP nutzt ACKs zur Bestätigung. Reihenfolge bei TCP TCP sorgt dafür, dass Daten in der richtigen Reihenfolge an die Anwendung übergeben werden. Wenn Datenpakete unterwegs vertauscht ankommen, kann TCP sie wieder sortieren. Beispiel: gesendet: Teil 1, Teil 2, Teil 3 angekommen: Teil 1, Teil 3, Teil 2 TCP kann die Reihenfolge für die Anwendung wieder herstellen. Merksatz: TCP stellt die Reihenfolge der Daten sicher. Sequenznummern TCP nutzt Sequenznummern. Sie helfen dabei: - Daten in Reihenfolge zu bringen - fehlende Daten zu erkennen - Daten korrekt zu bestätigen Wichtig: Sequenznummern sind keine Ports. Ports zeigen den Dienst. Sequenznummern zeigen die Position von Daten im TCP-Datenstrom. Merksatz: Port = Dienst. Sequenznummer = Position im TCP-Datenstrom. TCP-Segment Die Datenform bei TCP auf Schicht 4 heißt: Segment Ein TCP-Segment enthält unter anderem: - Quell-Port - Ziel-Port - Sequenznummer - Bestätigungsnummer - Steuerbits - Nutzdaten Merksatz: TCP arbeitet mit Segmenten. UDP-Datagramm Die Datenform bei UDP auf Schicht 4 heißt: Datagramm Ein UDP-Datagramm enthält unter anderem: - Quell-Port - Ziel-Port - Länge - Prüfsumme - Nutzdaten UDP ist einfacher aufgebaut als TCP. Merksatz: UDP arbeitet mit Datagrammen. Segment und Datagramm unterscheiden Protokoll Datenform auf Schicht 4 TCP Segment UDP Datagramm Wichtig: In der Praxis wird oft allgemein von Paketen gesprochen. Fachlich genauer sollte man unterscheiden. Merksatz: TCP = Segment. UDP = Datagramm. Portnummern Portnummern liegen im Bereich: 0 bis 65535 Warum? Ports sind 16 Bit groß. 16 Bit ermöglichen: 65536 verschiedene Werte Von: 0 bis: 65535 Merksatz: Portnummern gehen von 0 bis 65535. Well-Known Ports Well-Known Ports sind bekannte, standardisierte Ports. Sie liegen im Bereich: 0 bis 1023 Beispiele: Dienst Protokoll Port FTP TCP 21 SSH TCP 22 SMTP TCP 25 DNS TCP / UDP 53 HTTP TCP 80 HTTPS TCP 443 Merksatz: Well-Known Ports = 0 bis 1023. Registered Ports Registered Ports liegen im Bereich: 1024 bis 49151 Sie werden häufig von Anwendungen, Herstellern oder Diensten genutzt. Beispiele können je nach Anwendung unterschiedlich sein. Für die Prüfung ist meistens wichtiger: Well-Known Ports kennen und Portbereiche grob einordnen. Merksatz: Registered Ports = 1024 bis 49151. Dynamic oder Ephemeral Ports Dynamic Ports werden auch genannt: Ephemeral Ports Sie liegen im Bereich: 49152 bis 65535 Clients nutzen solche Ports oft als temporäre Quell-Ports. Beispiel: Client öffnet Webseite. Quell-Port: 52344 Ziel-Port: 443 Der Quell-Port wird temporär für diese Verbindung genutzt. Merksatz: Ephemeral Port = temporärer Client-Port. Quell-Port und Ziel-Port Ein TCP- oder UDP-Paket enthält: - Quell-Port - Ziel-Port Beispiel HTTPS-Aufruf: Client: 192.168.10.20:52344 Server: 93.184.216.34:443 Der Ziel-Port 443 zeigt: Der Client möchte HTTPS erreichen. Der Quell-Port 52344 hilft dem Client, die Antwort der richtigen Verbindung zuzuordnen. Merksatz: Ziel-Port = gewünschter Dienst. Quell-Port = Rückzuordnung beim Absender. Socket Ein Socket beschreibt eine Kombination aus: IP-Adresse und Port Beispiel: 192.168.10.20:52344 Oder: 93.184.216.34:443 Bei TCP-Verbindungen betrachtet man oft die Kombination aus: Quell-IP Quell-Port Ziel-IP Ziel-Port Protokoll Diese Kombination macht eine Verbindung eindeutig. Merksatz: Socket = IP-Adresse plus Port. Typische Dienste und Ports Dienst Protokoll Port FTP Steuerverbindung TCP 21 SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS TCP / UDP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 IMAP TCP 143 HTTPS TCP 443 RDP TCP 3389 Merksatz: Die wichtigsten Standardports sollte man sicher kennen. DNS und TCP/UDP DNS nutzt häufig UDP Port 53. Warum? Normale DNS-Anfragen sind meist klein und schnell. DNS kann aber auch TCP Port 53 verwenden. Zum Beispiel: - Zonentransfers - große Antworten - bestimmte DNS-Sicherheits- oder Sonderfälle Prüfungsfalle: DNS ist nicht nur UDP, sondern kann TCP und UDP 53 nutzen. Merksatz: DNS = UDP 53 häufig, TCP 53 ebenfalls möglich. DHCP und UDP DHCP nutzt UDP. Wichtige Ports: Richtung Port DHCP Server UDP 67 DHCP Client UDP 68 DHCP wird genutzt, um IP-Konfiguration automatisch zu vergeben. Merksatz: DHCP nutzt UDP 67 und 68. HTTP und HTTPS HTTP nutzt typischerweise: TCP 80 HTTPS nutzt typischerweise: TCP 443 HTTPS ist HTTP über TLS-Verschlüsselung. Wichtig: HTTPS ist nicht einfach nur ein anderer Port, sondern nutzt Verschlüsselung über TLS. Merksatz: HTTP = TCP 80. HTTPS = TCP 443. SSH und Telnet SSH nutzt typischerweise: TCP 22 Telnet nutzt typischerweise: TCP 23 Wichtiger Unterschied: SSH ist verschlüsselt. Telnet ist unverschlüsselt. In modernen Netzen sollte SSH verwendet werden, nicht Telnet. Merksatz: SSH sicherer als Telnet. Transport und Anwendung Schicht 4 transportiert Daten zwischen Anwendungen. Die Anwendung selbst liegt höher. Beispiel: HTTPS nutzt TCP 443. Dabei ist: TCP = Schicht 4 HTTPS = Anwendungsschicht mit TLS-Bezug Merksatz: Port gehört zu Schicht 4. Dienst gehört zu höheren Schichten. TCP und Firewall Firewalls nutzen häufig Schicht-4-Informationen. Beispiel-Regel: Erlaube TCP 443 von Client-Netz zum Internet. Das bedeutet: HTTPS-Verbindungen nach außen sind erlaubt. Andere Ports können blockiert werden. Merksatz: Firewall-Regeln nutzen oft IP-Adressen und Ports. UDP und Firewall Auch UDP kann durch Firewalls erlaubt oder blockiert werden. Beispiele: DNS über UDP 53 DHCP über UDP 67/68 VoIP über UDP VPN über UDP NTP über UDP 123 Da UDP verbindungslos ist, muss eine Firewall den Verkehr anders verfolgen als bei TCP. Merksatz: UDP braucht passende Firewall-Regeln, auch ohne TCP-Verbindung. TCP-Verbindungszustände TCP kennt verschiedene Verbindungszustände. Beispiele: LISTEN SYN-SENT ESTABLISHED FIN-WAIT TIME-WAIT CLOSED Für AP1/AP2 ist besonders wichtig: LISTEN bedeutet: Dienst wartet auf eingehende Verbindungen. ESTABLISHED bedeutet: Verbindung besteht. Merksatz: LISTEN = Dienst wartet. ESTABLISHED = Verbindung steht. Port offen oder geschlossen Ein Port kann aus Sicht eines Clients unterschiedlich wirken. Zustand Bedeutung offen Dienst nimmt Verbindungen an geschlossen kein Dienst hört auf diesem Port gefiltert Firewall blockiert oder verwirft Wichtig: Ein offener Port bedeutet, dass ein Dienst erreichbar ist. Ein geschlossener Port bedeutet nicht zwingend, dass das Gerät offline ist. Merksatz: Portstatus sagt etwas über den Dienst, nicht nur über das Gerät. Typische Schicht-4-Fehler Typische Fehler auf Schicht 4 sind: - falscher Port - Dienst hört nicht auf erwartetem Port - Firewall blockiert TCP oder UDP - TCP-Verbindung wird nicht aufgebaut - UDP-Antwort kommt nicht zurück - Portweiterleitung auf falschen Port - NAT/PAT-Portzuordnung falsch - Anwendung nutzt anderes Protokoll als erwartet - TCP-Handshake scheitert Merksatz: Schicht-4-Fehler betreffen TCP, UDP und Ports. Schicht 3 oder Schicht 4 unterscheiden Frage eher Schicht Ist die IP-Adresse erreichbar? 3 Funktioniert Ping auf IP? 3 Gibt es eine Route? 3 Ist TCP-Port 443 erreichbar? 4 Ist UDP-Port 53 erreichbar? 4 Baut TCP eine Verbindung auf? 4 Antwortet der Webdienst korrekt? 7 Merksatz: IP erreichbar = Schicht 3. Port erreichbar = Schicht 4. Beispiel: Ping geht, Webseite geht nicht Fehlerbild: ping server funktioniert. Webseite funktioniert nicht. Dann ist Schicht 3 wahrscheinlich grundsätzlich erreichbar. Mögliche Ursachen: - TCP-Port 80 oder 443 blockiert - Webserver läuft nicht - Dienst hört auf anderer IP - Dienst hört auf anderem Port - Firewall blockiert - Reverse Proxy falsch - TLS-Problem Merksatz: Ping geht, Dienst nicht: Schicht 4 und 7 prüfen. Beispiel: Port 443 blockiert Ein Client möchte HTTPS nutzen. Ziel: server.example.local:443 Mögliche Fehler: - Server ist erreichbar, aber TCP 443 ist geschlossen - Firewall blockiert TCP 443 - Dienst läuft nur auf TCP 8443 - Portweiterleitung zeigt auf falschen Port Merksatz: HTTPS braucht erreichbaren TCP-Port 443. Beispiel: DNS funktioniert nicht DNS nutzt häufig UDP 53 und teilweise TCP 53. Wenn DNS nicht funktioniert, prüft man: - DNS-Server-IP korrekt? - DNS-Server erreichbar? - UDP 53 erlaubt? - TCP 53 erlaubt? - Firewall blockiert? - DNS-Dienst läuft? - Antwort kommt zurück? Merksatz: DNS-Probleme können Schicht 3, 4 oder 7 betreffen. Beispiel: UDP-Dienst antwortet nicht Bei UDP gibt es keinen TCP-Handshake. Wenn ein UDP-Dienst nicht antwortet, kann das viele Ursachen haben: - Dienst läuft nicht - Firewall blockiert - Antwortweg fehlt - NAT/PAT-Problem - Anwendung antwortet nur auf gültige Anfragen - Paketverlust - falscher Port Merksatz: UDP-Fehler sind oft schwerer eindeutig zu erkennen als TCP-Fehler. Einordnung in das OSI-Modell Thema Schicht IP-Adresse 3 Routing 3 ICMP 3 TCP 4 UDP 4 Port 4 Socket 4 mit IP-Bezug TCP-Handshake 4 DNS-Protokoll 7, nutzt TCP/UDP 53 HTTP 7, nutzt TCP 80 HTTPS 7, nutzt TCP 443 und TLS DHCP 7, nutzt UDP 67/68 Merksatz: TCP, UDP und Ports = Schicht 4. Was Schicht 4 nicht macht Schicht 4 macht nicht: - IP-Routing zwischen Netzen - MAC-Adressen im LAN auflösen - DNS-Namen in IP-Adressen auflösen - Webseiten darstellen - Benutzer authentifizieren - Zertifikate prüfen - Inhalte interpretieren - Dateien speichern Diese Aufgaben liegen auf anderen Schichten. Merksatz: Schicht 4 transportiert, interpretiert aber keine Anwendung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Transportschicht? - Was ist ein Port? - Was ist der Unterschied zwischen Switch-Port und TCP-Port? - Was ist TCP? - Was ist UDP? - Was ist der Unterschied zwischen TCP und UDP? - Was bedeutet verbindungsorientiert? - Was bedeutet verbindungslos? - Wie funktioniert der TCP-Handshake? - Welche Ports haben HTTP, HTTPS, SSH, DNS und DHCP? - Warum nutzt DNS TCP und UDP? - Was bedeutet Socket? - Was ist ein Ephemeral Port? - Warum kann Ping funktionieren, aber HTTPS nicht? - Warum nutzt ICMP keine Ports? Typische Prüfungsfallen TCP gehört zu Schicht 4. UDP gehört zu Schicht 4. Ports gehören zu Schicht 4. ICMP nutzt keine TCP- oder UDP-Ports. Switch-Port ist nicht TCP-Port. TCP ist verbindungsorientiert. UDP ist verbindungslos. TCP ist zuverlässiger als UDP. UDP ist schlanker als TCP. TCP-Handshake = SYN, SYN-ACK, ACK. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. SSH nutzt TCP 22. DNS nutzt UDP 53 und auch TCP 53. DHCP nutzt UDP 67 und 68. Ping funktioniert heißt nicht, dass ein TCP-Port offen ist. Port offen heißt nicht automatisch, dass die Anwendung korrekt funktioniert. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Transportschicht OSI-Schicht 4 TCP verbindungsorientiertes Transportprotokoll UDP verbindungsloses Transportprotokoll Port logische Dienstnummer TCP-Port Port für TCP-Dienst UDP-Port Port für UDP-Dienst Socket IP-Adresse plus Port Segment TCP-Datenform auf Schicht 4 Datagramm UDP-Datenform auf Schicht 4 SYN TCP-Verbindungsaufbau-Anfrage ACK Bestätigung bei TCP Drei-Wege-Handshake SYN, SYN-ACK, ACK Sequenznummer Position im TCP-Datenstrom Well-Known Port Port 0 bis 1023 Registered Port Port 1024 bis 49151 Ephemeral Port temporärer Client-Port LISTEN Dienst wartet auf Verbindung ESTABLISHED TCP-Verbindung besteht IHK-sichere Kurzformulierung Die Transportschicht ist Schicht 4 des OSI-Modells. Sie ist für den Transport von Daten zwischen Anwendungen auf Endgeräten zuständig. Dafür werden vor allem TCP, UDP und Ports verwendet. TCP ist verbindungsorientiert und bietet zuverlässige Übertragung mit Verbindungsaufbau, Bestätigungen, Reihenfolge und erneuter Übertragung. UDP ist verbindungslos, schlanker und bietet keine eingebaute Garantie für Zustellung oder Reihenfolge. Ports dienen dazu, Dienste auf einem Gerät zu unterscheiden. Ein Socket besteht aus IP-Adresse und Port. Der TCP-Verbindungsaufbau erfolgt über den Drei-Wege-Handshake mit SYN, SYN-ACK und ACK. Merksätze Schicht 4 = Transportschicht. Schicht 4 = TCP, UDP und Ports. IP bringt zum Gerät. Port bringt zur Anwendung. Port = logische Dienstnummer. Switch-Port ist physisch. TCP-Port ist logisch. TCP = verbindungsorientiert. UDP = verbindungslos. TCP = zuverlässig. UDP = schlank und schnell. TCP-Handshake = SYN, SYN-ACK, ACK. TCP nutzt Segmente. UDP nutzt Datagramme. Portnummern gehen von 0 bis 65535. Well-Known Ports = 0 bis 1023. Ephemeral Ports = temporäre Client-Ports. HTTP = TCP 80. HTTPS = TCP 443. SSH = TCP 22. DNS = UDP 53 und TCP 53. DHCP = UDP 67 und 68. ICMP nutzt keine Ports. Ping prüft nicht, ob ein TCP-Port offen ist. IP erreichbar = Schicht 3. Port erreichbar = Schicht 4. Anwendung korrekt = höhere Schicht. 7.2 TCP und UDP im Detail TCP und UDP sind die wichtigsten Transportprotokolle auf OSI-Schicht 4. Beide haben dieselbe Grundaufgabe: Daten zwischen Anwendungen auf Endgeräten transportieren. Der große Unterschied liegt darin, wie sie das machen. TCP arbeitet: verbindungsorientiert zuverlässig mit Bestätigungen UDP arbeitet: verbindungslos schlanker ohne eingebaute Zustellgarantie Merksatz: TCP = zuverlässig. UDP = schnell und einfach. Warum gibt es TCP und UDP? Nicht jede Anwendung hat dieselben Anforderungen. Manche Anwendungen brauchen sichere und vollständige Datenübertragung. Beispiele: - Webseite laden - Datei übertragen - E-Mail senden - SSH-Verbindung - Datenbankzugriff Andere Anwendungen brauchen vor allem geringe Verzögerung. Beispiele: - VoIP - Livestreaming - Online-Gaming - DNS-Anfragen - Video-Konferenzen Deshalb gibt es unterschiedliche Transportprotokolle. Merksatz: Unterschiedliche Anwendungen brauchen unterschiedliche Transportarten. TCP-Grundidee TCP steht für: Transmission Control Protocol TCP stellt eine Verbindung zwischen zwei Anwendungen her. Dabei sorgt TCP dafür, dass Daten: - vollständig ankommen - in der richtigen Reihenfolge ankommen - bestätigt werden - bei Verlust erneut gesendet werden - kontrolliert übertragen werden Merksatz: TCP kümmert sich um zuverlässige Datenübertragung. UDP-Grundidee UDP steht für: User Datagram Protocol UDP sendet einzelne Datagramme ohne vorherigen Verbindungsaufbau. UDP kümmert sich nicht selbst darum, ob Daten: - angekommen sind - vollständig angekommen sind - in richtiger Reihenfolge angekommen sind - erneut gesendet werden müssen Dafür ist UDP sehr schlank. Merksatz: UDP sendet einfach, ohne Verbindung aufzubauen. TCP und UDP direkt vergleichen Merkmal TCP UDP Verbindungsaufbau ja nein Verbindung verbindungsorientiert verbindungslos Zustellgarantie ja, durch Mechanismen nein Reihenfolge wird sichergestellt nicht sichergestellt Bestätigungen ja nein erneute Übertragung ja nein Geschwindigkeit mehr Overhead weniger Overhead Datenform Segment Datagramm typische Nutzung HTTP, HTTPS, SSH, Mail DNS, DHCP, VoIP, Streaming Merksatz: TCP kontrolliert mehr. UDP ist einfacher. Verbindungsorientiert bei TCP Verbindungsorientiert bedeutet: Vor der eigentlichen Datenübertragung wird eine Verbindung aufgebaut. TCP prüft dabei, ob beide Seiten bereit sind. Der Verbindungsaufbau erfolgt durch den Drei-Wege-Handshake: SYN SYN-ACK ACK Erst danach werden Nutzdaten übertragen. Merksatz: TCP baut vor der Datenübertragung eine Verbindung auf. Verbindungslos bei UDP Verbindungslos bedeutet: Es gibt keinen Verbindungsaufbau wie bei TCP. UDP sendet ein Datagramm direkt an Ziel-IP und Ziel-Port. Der Sender erhält durch UDP selbst keine sichere Information darüber: ob das Datagramm angekommen ist ob es verworfen wurde ob mehrere Datagramme in richtiger Reihenfolge ankamen Merksatz: UDP hat keinen Drei-Wege-Handshake. TCP-Drei-Wege-Handshake Der TCP-Verbindungsaufbau besteht aus drei Schritten. Schritt Richtung Bedeutung 1 Client → Server SYN 2 Server → Client SYN-ACK 3 Client → Server ACK Vereinfacht: Client fragt an. Server bestätigt und fragt zurück. Client bestätigt. Danach ist die Verbindung aufgebaut. Merksatz: TCP-Handshake = SYN, SYN-ACK, ACK. SYN SYN steht für: Synchronize Ein SYN wird beim TCP-Verbindungsaufbau gesendet. Der Client sagt damit vereinfacht: Ich möchte eine TCP-Verbindung aufbauen. Das SYN enthält unter anderem Startinformationen für die TCP-Kommunikation. Merksatz: SYN startet den TCP-Verbindungsaufbau. SYN-ACK SYN-ACK ist die Antwort des Servers auf das SYN des Clients. Der Server sagt damit vereinfacht: Ich habe deine Anfrage erhalten und bin bereit für die Verbindung. SYN-ACK enthält: SYN des Servers ACK als Bestätigung des Client-SYN Merksatz: SYN-ACK bestätigt die Anfrage und synchronisiert zurück. ACK ACK steht für: Acknowledgement ACK bedeutet: Bestätigung Im dritten Schritt bestätigt der Client das SYN-ACK des Servers. Danach gilt die TCP-Verbindung als aufgebaut. Merksatz: ACK bestätigt empfangene TCP-Informationen. TCP-Datenübertragung nach dem Handshake Nach dem Drei-Wege-Handshake können Nutzdaten übertragen werden. TCP nutzt dafür: - Sequenznummern - Bestätigungsnummern - Prüfsummen - Fenstergröße - erneute Übertragung bei Verlust Dadurch wird die Übertragung zuverlässiger. Merksatz: Nach dem Handshake sorgt TCP für geordnete Datenübertragung. Sequenznummern TCP nutzt Sequenznummern, um Daten zu ordnen. Sie helfen dabei: - Reihenfolge wiederherzustellen - fehlende Daten zu erkennen - Daten korrekt zu bestätigen Beispiel: Teil 1 kommt an. Teil 3 kommt an. Teil 2 fehlt. TCP erkennt: Es fehlt etwas. Dann kann die fehlende Information erneut übertragen werden. Merksatz: Sequenznummern helfen TCP, Daten richtig zu sortieren. Bestätigungsnummern Bestätigungsnummern zeigen dem Sender, welche Daten angekommen sind. Der Empfänger bestätigt nicht nur: Ich habe etwas bekommen. Sondern sinngemäß: Ich habe alles bis zu dieser Stelle bekommen und erwarte als Nächstes diese Nummer. Merksatz: TCP bestätigt empfangene Daten mit ACKs. Erneute Übertragung bei TCP Wenn TCP erkennt, dass Daten fehlen, können sie erneut übertragen werden. Mögliche Gründe für erneute Übertragung: - Paketverlust - beschädigte Daten - keine Bestätigung erhalten - Timeout - Überlastung im Netz Dadurch ist TCP zuverlässiger als UDP. Merksatz: TCP kann verlorene Daten erneut senden. Reihenfolge bei TCP IP-Pakete können im Netzwerk unterschiedliche Wege nehmen. Dadurch können Daten in anderer Reihenfolge ankommen. TCP kann sie wieder richtig zusammensetzen. Beispiel: Gesendet: 1, 2, 3, 4 Angekommen: 1, 3, 2, 4 TCP übergibt der Anwendung die Daten wieder in korrekter Reihenfolge. Merksatz: TCP sorgt für richtige Reihenfolge. Flusskontrolle Flusskontrolle bedeutet: Der Sender soll den Empfänger nicht überfordern. TCP nutzt dafür unter anderem die Fenstergröße. Die Fenstergröße gibt an, wie viele Daten gesendet werden dürfen, bevor weitere Bestätigungen nötig sind. Vereinfacht: Empfänger sagt: So viel kann ich gerade aufnehmen. Merksatz: Flusskontrolle schützt den Empfänger vor Überlastung. Staukontrolle Staukontrolle bedeutet: TCP versucht, Überlastung im Netzwerk zu vermeiden. Wenn Paketverlust oder Verzögerung auftritt, kann TCP die Sendeleistung anpassen. Ziel: Das Netzwerk soll nicht weiter überlastet werden. Merksatz: Staukontrolle schützt das Netzwerk vor Überlastung. TCP-Verbindungsabbau TCP-Verbindungen werden geordnet beendet. Dabei kommen häufig FIN- und ACK-Nachrichten vor. Vereinfacht: Eine Seite sagt: Ich möchte die Verbindung beenden. Die andere Seite bestätigt. Es gibt auch RST. RST bedeutet: Verbindung sofort abbrechen. Merksatz: FIN beendet geordnet. RST bricht ab. TCP-Zustände TCP kennt verschiedene Zustände. Wichtige Beispiele: Zustand Bedeutung LISTEN Dienst wartet auf eingehende Verbindung SYN-SENT Client hat SYN gesendet SYN-RECEIVED Server hat SYN erhalten und SYN-ACK gesendet ESTABLISHED Verbindung besteht FIN-WAIT Verbindung wird beendet TIME-WAIT Wartephase nach Verbindungsende CLOSED Verbindung geschlossen Merksatz: ESTABLISHED bedeutet: TCP-Verbindung steht. UDP-Datagramm UDP nutzt Datagramme. Ein UDP-Datagramm enthält unter anderem: - Quell-Port - Ziel-Port - Länge - Prüfsumme - Nutzdaten UDP hat deutlich weniger Steuerinformationen als TCP. Merksatz: UDP-Datagramm = einfache Transport-Dateneinheit. Warum UDP trotz fehlender Garantie sinnvoll ist UDP ist sinnvoll, wenn Geschwindigkeit oder geringe Verzögerung wichtiger ist als perfekte Vollständigkeit. Beispiel VoIP: Wenn ein kleines Audiopaket verloren geht, ist es oft besser, einfach weiterzumachen. Eine spätere erneute Übertragung wäre zu spät und würde nur stören. Merksatz: Bei Echtzeitdiensten ist spät manchmal schlimmer als verloren. UDP bei DNS DNS nutzt häufig UDP Port 53. Warum? DNS-Anfragen sind oft kurz. DNS-Antworten sind oft klein. Es soll schnell gehen. DNS kann aber auch TCP Port 53 verwenden. Beispiele: - große Antworten - Zonentransfers - bestimmte DNSSEC-Fälle Merksatz: DNS nutzt häufig UDP 53, kann aber auch TCP 53 nutzen. UDP bei DHCP DHCP nutzt UDP. Wichtige Ports: Richtung Port DHCP-Server UDP 67 DHCP-Client UDP 68 Warum UDP? Ein Client hat am Anfang oft noch keine vollständige IP-Konfiguration. DHCP muss früh im Netzwerkprozess funktionieren. Merksatz: DHCP nutzt UDP 67 und 68. UDP bei VoIP und Streaming VoIP, Videokonferenzen und Streaming nutzen häufig UDP. Grund: geringe Verzögerung ist wichtig. Wenn ein Paket verloren geht, ist eine spätere Wiederholung oft nicht sinnvoll. Beispiel: Ein verlorener Tonfetzen bei Telefonie ist kurz störend. Eine verspätete Wiederholung würde das Gespräch stärker stören. Merksatz: Echtzeitkommunikation nutzt häufig UDP. TCP bei Web und Dateiübertragung Webseiten, Dateiübertragungen und viele Verwaltungsdienste nutzen TCP. Beispiele: - HTTP - HTTPS - SSH - FTP - SMTP - IMAP - POP3 Warum? Daten sollen vollständig und korrekt ankommen. Bei einer Datei wäre es schlecht, wenn Teile fehlen oder vertauscht sind. Merksatz: Wenn Vollständigkeit wichtig ist, ist TCP häufig geeignet. TCP und HTTPS HTTPS nutzt typischerweise TCP Port 443. Dabei kommen mehrere Dinge zusammen: IP-Adresse für das Zielgerät TCP-Port 443 für den Dienst TCP-Verbindung für Transport TLS für Verschlüsselung HTTP für die Webanwendung Merksatz: HTTPS nutzt TCP, ist aber selbst eine höhere Anwendung mit TLS. UDP und QUIC QUIC ist ein modernes Transportprotokoll, das auf UDP basiert. HTTP/3 nutzt QUIC. Warum UDP als Grundlage? QUIC bringt eigene Mechanismen für Verbindungen, Sicherheit und Zuverlässigkeit mit, nutzt aber UDP als Transportbasis. Für AP1/AP2 reicht meistens: HTTP/3 nutzt QUIC über UDP. Merksatz: UDP bedeutet nicht automatisch, dass keine Zuverlässigkeit möglich ist; sie kann in höheren Protokollen umgesetzt werden. TCP-Overhead TCP hat mehr Overhead als UDP. Warum? - Verbindungsaufbau - Bestätigungen - Sequenznummern - erneute Übertragung - Flusskontrolle - Staukontrolle - Verbindungsabbau Dieser Overhead lohnt sich, wenn zuverlässige Übertragung wichtig ist. Merksatz: TCP hat mehr Kontrolle, aber auch mehr Aufwand. UDP-Overhead UDP hat wenig Overhead. Warum? - kein Handshake - keine TCP-Bestätigungen - keine TCP-Sequenzsteuerung - kein TCP-Verbindungszustand Das macht UDP schlank und schnell. Aber: Die Anwendung muss selbst entscheiden, ob sie zusätzliche Zuverlässigkeit braucht. Merksatz: UDP ist schlank, aber einfacher. Ports bei TCP und UDP TCP und UDP haben jeweils eigene Portbereiche. Das bedeutet: TCP 53 und UDP 53 sind nicht derselbe Kommunikationskanal. Beispiel DNS: UDP 53 für typische Abfragen TCP 53 für bestimmte Fälle Eine Firewall-Regel für TCP 53 erlaubt nicht automatisch UDP 53. Merksatz: TCP-Port und UDP-Port sind getrennt zu betrachten. Gleiche Portnummer, anderes Protokoll Die gleiche Portnummer kann bei TCP und UDP unterschiedliche Bedeutung haben. Beispiel: TCP 53 UDP 53 Beide gehören zu DNS, aber technisch sind es verschiedene Transportprotokolle. Beispiel: TCP 443 UDP 443 TCP 443 ist klassisches HTTPS. UDP 443 kann bei QUIC / HTTP/3 relevant sein. Merksatz: Portnummer immer zusammen mit TCP oder UDP betrachten. Quell-Port und Ziel-Port bei TCP Beispiel HTTPS: Client: 192.168.10.20:52344 Server: 93.184.216.34:443 Dabei ist: 52344 = temporärer Quell-Port des Clients 443 = Ziel-Port des HTTPS-Dienstes Die Antwort kommt zurück an: 192.168.10.20:52344 Merksatz: Ziel-Port zeigt den Dienst. Quell-Port hilft beim Rückweg zur Verbindung. Quell-Port und Ziel-Port bei UDP Auch UDP nutzt Quell-Port und Ziel-Port. Beispiel DNS: Client: 192.168.10.20:54001 DNS-Server: 192.168.10.1:53 Der Client sendet von einem temporären Port an UDP 53. Die Antwort kommt zurück an den temporären Client-Port. Merksatz: Auch UDP nutzt Ports für Dienst und Rückzuordnung. Ephemeral Ports Ephemeral Ports sind temporäre Client-Ports. Sie werden für ausgehende Verbindungen genutzt. Typischer Bereich: 49152 bis 65535 Beispiel: Client nutzt 53210 als Quell-Port für Verbindung zu Server TCP 443. Nach Ende der Verbindung kann der Port später wiederverwendet werden. Merksatz: Ephemeral Port = temporärer Quell-Port eines Clients. Well-Known Ports Well-Known Ports liegen im Bereich: 0 bis 1023 Sie sind bekannten Standarddiensten zugeordnet. Beispiele: Dienst Protokoll Port FTP TCP 21 SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS TCP / UDP 53 HTTP TCP 80 HTTPS TCP 443 Merksatz: Well-Known Ports sollte man für die Prüfung sicher kennen. TCP-Fehlersuche Typische TCP-Fragen: Ist der Zielhost erreichbar? Ist der Ziel-Port offen? Lauscht der Dienst auf dem Port? Kommt ein SYN beim Server an? Antwortet der Server mit SYN-ACK? Blockiert eine Firewall? Wird die Verbindung zurückgesetzt? Gibt es NAT- oder Portweiterleitungsfehler? Merksatz: Bei TCP prüft man besonders den Verbindungsaufbau. UDP-Fehlersuche UDP-Fehlersuche ist oft schwieriger. Warum? Es gibt keinen Handshake. Wenn keine Antwort kommt, ist nicht sofort klar: Paket verloren? Dienst nicht erreichbar? Firewall blockiert? Anfrage ungültig? Antwortweg gestört? NAT-Problem? Deshalb braucht man oft Logs, Mitschnitte oder passende Testwerkzeuge. Merksatz: UDP-Fehler sind schwerer eindeutig zu erkennen als TCP-Fehler. TCP-Handshake scheitert Wenn ein TCP-Handshake scheitert, kann die Verbindung nicht aufgebaut werden. Mögliche Ursachen: - Server nicht erreichbar - Dienst hört nicht auf dem Port - Firewall blockiert SYN - Firewall blockiert SYN-ACK - NAT oder Portweiterleitung falsch - Server lehnt Verbindung ab - Rückroute fehlt Merksatz: Kein TCP-Handshake = keine TCP-Verbindung. TCP Reset Ein TCP Reset wird mit RST gekennzeichnet. RST bedeutet: Verbindung sofort abbrechen. Mögliche Ursachen: - Port geschlossen - Dienst lehnt Verbindung ab - Anwendung beendet Verbindung - Firewall sendet Reset - fehlerhafte Verbindung Merksatz: RST = TCP-Verbindung wird sofort zurückgesetzt. TCP Timeout Ein Timeout bedeutet: Eine erwartete Antwort kommt nicht rechtzeitig. Mögliche Ursachen: - Paket geht verloren - Firewall verwirft still - Server antwortet nicht - Rückweg fehlt - Routing-Problem - NAT-Problem Merksatz: Timeout bedeutet: keine rechtzeitige Antwort. Gefilterter Port Ein Port wirkt gefiltert, wenn eine Firewall Pakete blockiert oder verwirft. Unterschied: geschlossen: Ziel antwortet aktiv, dass kein Dienst vorhanden ist. gefiltert: keine oder keine klare Antwort. Merksatz: Gefiltert bedeutet oft: Firewall im Weg. Offener Port Ein Port ist offen, wenn ein Dienst auf diesem Port Verbindungen annimmt oder Anfragen beantwortet. Beispiel: TCP 443 offen bedeutet: Ein Dienst akzeptiert HTTPS-Verbindungen oder zumindest TCP-Verbindungen auf Port 443. Aber: Das sagt noch nicht, dass die Webanwendung korrekt funktioniert. Merksatz: Offener Port bedeutet: Dienst ist grundsätzlich erreichbar. Geschlossener Port Ein Port ist geschlossen, wenn kein Dienst auf diesem Port lauscht. Beispiel: Server erreichbar, aber TCP 22 geschlossen Das bedeutet: Der Server antwortet, aber SSH läuft dort nicht oder nicht auf Port 22. Merksatz: Geschlossener Port heißt: Host kann erreichbar sein, Dienst aber nicht. TCP und Paketmitschnitt In einem Mitschnitt kann man TCP gut erkennen. Wichtige Hinweise: SYN SYN-ACK ACK RST FIN Retransmission Window Size Duplicate ACK Damit kann man sehen: Wird die Verbindung aufgebaut? Wo bleibt die Antwort aus? Wird zurückgesetzt? Gibt es Paketverlust? Merksatz: TCP lässt sich im Mitschnitt gut analysieren. UDP und Paketmitschnitt Bei UDP sieht man im Mitschnitt: Quell-Port Ziel-Port Länge Prüfsumme Nutzdaten Aber man sieht keinen Handshake. Deshalb muss man prüfen: Geht die Anfrage raus? Kommt eine Antwort zurück? Ist die Antwort korrekt? Wird etwas blockiert? Ist der Port richtig? Merksatz: Bei UDP vergleicht man Anfrage und Antwort. TCP oder UDP bei Firewall-Regeln Firewall-Regeln müssen das richtige Protokoll berücksichtigen. Beispiel: DNS erlauben Nicht ausreichend, wenn nur steht: Port 53 erlauben Genauer: UDP 53 erlauben TCP 53 bei Bedarf ebenfalls erlauben Beispiel HTTPS: TCP 443 erlauben Bei HTTP/3 kann zusätzlich relevant sein: UDP 443 erlauben Merksatz: Firewall-Regeln brauchen Protokoll und Port. TCP oder UDP bei Portweiterleitungen Auch Portweiterleitungen müssen das richtige Protokoll nutzen. Beispiel: Webserver klassisch: TCP 80 TCP 443 Beispiel DNS-Server: UDP 53 TCP 53 Beispiel Spielserver: je nach Spiel oft UDP oder TCP unterschiedlich Prüfungsfalle: TCP-Portweiterleitung hilft nicht, wenn der Dienst UDP nutzt. Merksatz: Portweiterleitung muss TCP oder UDP richtig treffen. NAT/PAT und TCP/UDP PAT nutzt Port-Zuordnungen. Bei TCP kann ein NAT-Gerät Verbindungszustände gut verfolgen. Bei UDP gibt es keinen echten Verbindungszustand. Deshalb nutzt NAT bei UDP Zeitfenster und Zuordnungstabellen. Wenn die Zuordnung abläuft, können Antworten verloren gehen. Merksatz: NAT verfolgt TCP leichter als UDP. Typische Anwendungen und Transportprotokolle Anwendung / Dienst typisches Transportprotokoll HTTP TCP HTTPS TCP HTTP/3 UDP SSH TCP Telnet TCP SMTP TCP IMAP TCP POP3 TCP DNS UDP und TCP DHCP UDP NTP UDP VoIP häufig UDP Streaming häufig UDP oder TCP je nach Technik VPN je nach Lösung TCP oder UDP Merksatz: Dienst immer mit Protokoll und Port betrachten. TCP und UDP in der Praxisentscheidung TCP ist sinnvoll, wenn wichtig ist: - Vollständigkeit - Reihenfolge - Zuverlässigkeit - fehlerfreie Dateiübertragung - stabile Verbindung UDP ist sinnvoll, wenn wichtig ist: - geringe Latenz - wenig Overhead - Echtzeitverhalten - kurze Anfragen - Anwendung übernimmt eigene Steuerung Merksatz: TCP für Genauigkeit. UDP für Geschwindigkeit und Echtzeit. Einordnung in das OSI-Modell Thema Schicht IP-Adresse 3 Routing 3 ICMP 3 TCP 4 UDP 4 Port 4 TCP-Handshake 4 Sequenznummer 4 ACK 4 DNS-Dienst 7, nutzt TCP/UDP 53 HTTP 7, nutzt TCP HTTPS 7, nutzt TCP und TLS HTTP/3 7, nutzt QUIC über UDP Merksatz: TCP und UDP gehören zur Transportschicht. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist TCP? - Was ist UDP? - Worin unterscheiden sich TCP und UDP? - Was bedeutet verbindungsorientiert? - Was bedeutet verbindungslos? - Wie funktioniert der TCP-Drei-Wege-Handshake? - Was bedeuten SYN, SYN-ACK und ACK? - Warum ist TCP zuverlässig? - Warum ist UDP schneller beziehungsweise schlanker? - Wann eignet sich TCP? - Wann eignet sich UDP? - Warum nutzt DNS UDP und TCP? - Warum nutzt DHCP UDP? - Warum nutzen Echtzeitdienste häufig UDP? - Warum kann Ping funktionieren, aber TCP 443 nicht? - Warum muss eine Firewall zwischen TCP und UDP unterscheiden? Typische Prüfungsfallen TCP ist verbindungsorientiert. UDP ist verbindungslos. TCP nutzt den Drei-Wege-Handshake. UDP nutzt keinen Drei-Wege-Handshake. TCP bietet Zuverlässigkeit durch Bestätigungen und erneute Übertragung. UDP bietet keine eingebaute Zustellgarantie. TCP stellt Reihenfolge sicher. UDP stellt Reihenfolge nicht selbst sicher. TCP nutzt Segmente. UDP nutzt Datagramme. DNS nutzt UDP 53 und TCP 53. DHCP nutzt UDP 67 und 68. HTTP/3 nutzt QUIC über UDP. Gleiche Portnummer bei TCP und UDP ist technisch nicht dasselbe. Firewall-Regeln müssen TCP oder UDP korrekt angeben. Portweiterleitungen müssen TCP oder UDP korrekt treffen. Ping nutzt ICMP, nicht TCP oder UDP. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung TCP Transmission Control Protocol UDP User Datagram Protocol verbindungsorientiert Verbindung wird vor Datenübertragung aufgebaut verbindungslos Daten werden ohne vorherige Verbindung gesendet SYN Start einer TCP-Verbindung SYN-ACK Antwort auf SYN mit Bestätigung ACK Bestätigung Drei-Wege-Handshake TCP-Verbindungsaufbau mit SYN, SYN-ACK, ACK Sequenznummer Position von Daten im TCP-Strom Bestätigungsnummer bestätigt empfangene Daten Retransmission erneute Übertragung Flusskontrolle schützt Empfänger vor Überlastung Staukontrolle schützt Netzwerk vor Überlastung FIN geordneter TCP-Verbindungsabbau RST sofortiger TCP-Abbruch Timeout erwartete Antwort bleibt zu lange aus Segment TCP-Dateneinheit Datagramm UDP-Dateneinheit IHK-sichere Kurzformulierung TCP und UDP sind Transportprotokolle auf OSI-Schicht 4. TCP ist verbindungsorientiert und baut vor der Datenübertragung mit SYN, SYN-ACK und ACK eine Verbindung auf. Es bietet Zuverlässigkeit durch Bestätigungen, Sequenznummern, erneute Übertragung und Reihenfolgesicherung. UDP ist verbindungslos und sendet Datagramme ohne Verbindungsaufbau und ohne eingebaute Garantie für Zustellung oder Reihenfolge. Dadurch ist UDP schlanker und eignet sich gut für Echtzeitdienste oder kurze Anfragen. TCP- und UDP-Ports sind getrennt zu betrachten, auch wenn dieselbe Portnummer verwendet wird. Merksätze TCP = Transmission Control Protocol. UDP = User Datagram Protocol. Beide gehören zu Schicht 4. TCP ist verbindungsorientiert. UDP ist verbindungslos. TCP baut Verbindung auf. UDP sendet ohne Handshake. TCP-Handshake = SYN, SYN-ACK, ACK. TCP nutzt ACKs. TCP nutzt Sequenznummern. TCP kann erneut übertragen. TCP stellt Reihenfolge sicher. UDP bietet keine eingebaute Zustellgarantie. UDP ist schlanker als TCP. TCP = Segment. UDP = Datagramm. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. HTTP/3 nutzt QUIC über UDP. Gleiche Portnummer bei TCP und UDP ist nicht dasselbe. Firewall-Regel braucht Protokoll und Port. TCP-Portweiterleitung hilft nicht bei UDP-Dienst. Ping ist ICMP, nicht TCP oder UDP. TCP für Zuverlässigkeit. UDP für geringe Verzögerung. 7.3 Ports, Dienste und typische Standardports Ports gehören zu OSI-Schicht 4. Sie dienen dazu, Daten auf einem Gerät der richtigen Anwendung oder dem richtigen Dienst zuzuordnen. Eine IP-Adresse zeigt: zu welchem Gerät? Ein Port zeigt: zu welchem Dienst auf diesem Gerät? Beispiel: 192.168.10.50:443 Bedeutung: Gerät: 192.168.10.50 Dienst: Port 443 Merksatz: IP bringt zum Gerät. Port bringt zum Dienst. Warum braucht man Ports? Ein Server kann viele Dienste gleichzeitig anbieten. Beispiel: Dienst Port SSH 22 DNS 53 HTTP 80 HTTPS 443 RDP 3389 Alle Dienste können auf derselben IP-Adresse laufen. Die Portnummer entscheidet, welcher Dienst angesprochen wird. Merksatz: Mehrere Dienste auf einer IP-Adresse werden durch Ports unterschieden. Portnummern Portnummern sind 16 Bit groß. Deshalb gibt es Portnummern von: 0 bis: 65535 Insgesamt sind das: 65536 mögliche Werte Wichtig: TCP und UDP haben jeweils eigene Portbereiche. Das bedeutet: TCP 53 und UDP 53 sind technisch getrennte Kommunikationsmöglichkeiten. Merksatz: Portnummern gehen von 0 bis 65535. TCP-Port und UDP-Port unterscheiden Ein Port muss immer zusammen mit dem Transportprotokoll betrachtet werden. Beispiel: TCP 53 UDP 53 Beide können DNS betreffen, aber technisch sind sie nicht dasselbe. Eine Firewall-Regel für TCP 53 erlaubt nicht automatisch UDP 53. Eine Portweiterleitung für UDP 53 leitet nicht automatisch TCP 53 weiter. Merksatz: Portnummer immer mit TCP oder UDP nennen. Portbereiche Portnummern werden grob in drei Bereiche eingeteilt. Bereich Portnummern Bedeutung Well-Known Ports 0 – 1023 bekannte Standarddienste Registered Ports 1024 – 49151 registrierte Anwendungsports Dynamic / Ephemeral Ports 49152 – 65535 temporäre Client-Ports Merksatz: 0–1023 bekannt, 1024–49151 registriert, 49152–65535 temporär. Well-Known Ports Well-Known Ports sind bekannte Standardports. Sie werden für häufig genutzte Netzwerkdienste verwendet. Beispiele: Dienst Protokoll Port FTP Steuerverbindung TCP 21 SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS TCP / UDP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 IMAP TCP 143 NTP UDP 123 HTTPS TCP 443 Merksatz: Well-Known Ports sind prüfungsrelevant. Registered Ports Registered Ports liegen im Bereich: 1024 bis 49151 Sie werden häufig von Anwendungen, Herstellern oder Diensten genutzt. Beispiele: Dienst / Anwendung Protokoll Port MySQL / MariaDB TCP 3306 RDP TCP 3389 PostgreSQL TCP 5432 VNC TCP 5900 HTTP-Alternative TCP 8080 HTTPS-Alternative TCP 8443 Wichtig: Nicht jeder Port in diesem Bereich ist automatisch sicher oder unsicher. Entscheidend ist, welcher Dienst dort tatsächlich läuft. Merksatz: Registered Ports werden häufig von Anwendungen genutzt. Dynamic oder Ephemeral Ports Dynamic Ports werden auch Ephemeral Ports genannt. Sie liegen häufig im Bereich: 49152 bis 65535 Clients nutzen diese Ports meistens als temporäre Quell-Ports. Beispiel: Client: 192.168.10.20:52344 Server: 93.184.216.34:443 Der Client nutzt Port 52344 nur vorübergehend für diese Verbindung. Merksatz: Ephemeral Port = temporärer Client-Port. Quell-Port und Ziel-Port Ein TCP- oder UDP-Header enthält: Quell-Port Ziel-Port Beispiel HTTPS: Client: 192.168.10.20:52344 Server: 93.184.216.34:443 Dabei ist: 52344 = Quell-Port des Clients 443 = Ziel-Port des Servers Merksatz: Ziel-Port zeigt den gewünschten Dienst. Quell-Port hilft bei der Rückzuordnung. Warum ist der Quell-Port wichtig? Ein Client kann mehrere Verbindungen gleichzeitig öffnen. Beispiel: Browser-Tab 1 zu HTTPS Browser-Tab 2 zu HTTPS Update-Dienst zu HTTPS Cloud-Sync zu HTTPS Alle können zu Port 443 gehen. Der Client nutzt unterschiedliche Quell-Ports, damit Antworten korrekt zugeordnet werden. Merksatz: Quell-Ports unterscheiden gleichzeitige Verbindungen eines Clients. Socket Ein Socket besteht aus: IP-Adresse und Port Beispiel: 192.168.10.20:52344 Bei TCP-Verbindungen ist die Verbindung eindeutig über: Quell-IP Quell-Port Ziel-IP Ziel-Port Protokoll Beispiel: 192.168.10.20:52344 → 93.184.216.34:443 TCP Merksatz: Socket = IP-Adresse plus Port. Dienst hört auf einem Port Ein Dienst muss auf einem Port lauschen, damit Verbindungen oder Anfragen angenommen werden können. Beispiel: Webserver hört auf TCP 443. Das bedeutet: Der Dienst wartet auf HTTPS-Verbindungen. Wenn kein Dienst auf einem Port lauscht, ist der Port aus Sicht des Clients geschlossen. Merksatz: Dienst muss auf dem Port lauschen. LISTEN und ESTABLISHED Bei TCP sind zwei Zustände besonders wichtig. Zustand Bedeutung LISTEN Dienst wartet auf eingehende Verbindungen ESTABLISHED Verbindung besteht Beispiel: Webserver im Zustand LISTEN auf TCP 443 bedeutet: Der Webserver wartet auf HTTPS-Verbindungen. Merksatz: LISTEN = Dienst wartet. ESTABLISHED = Verbindung steht. Offener Port Ein Port ist offen, wenn ein Dienst dort erreichbar ist. Beispiel: TCP 443 offen Bedeutung: Ein Dienst nimmt TCP-Verbindungen auf Port 443 an. Aber: Ein offener Port beweist nicht automatisch, dass die Anwendung korrekt funktioniert. Merksatz: Offener Port = Dienst grundsätzlich erreichbar. Geschlossener Port Ein Port ist geschlossen, wenn kein Dienst auf diesem Port lauscht. Beispiel: Server ist per Ping erreichbar. TCP 22 ist geschlossen. Bedeutung: Der Host ist erreichbar, aber SSH läuft dort nicht oder nicht auf Port 22. Merksatz: Geschlossener Port heißt nicht: Gerät ist offline. Gefilterter Port Ein Port wirkt gefiltert, wenn eine Firewall Pakete blockiert oder verwirft. Typisch: keine klare Antwort Timeout Verbindung bleibt hängen Mögliche Ursachen: - Firewall blockiert - Paketfilter verwirft still - NAT-Regel fehlt - Rückweg fehlt - Security-Gruppe blockiert Merksatz: Gefiltert bedeutet häufig: Firewall oder Paketfilter im Weg. Portstatus im Vergleich Status Bedeutung offen Dienst antwortet oder nimmt Verbindung an geschlossen Host erreichbar, aber kein Dienst auf diesem Port gefiltert keine klare Antwort, oft Firewall offen, aber Anwendung fehlerhaft Port erreichbar, Dienstproblem auf höherer Schicht Merksatz: Portstatus hilft, Schicht 4 von höheren Schichten zu trennen. Wichtige Standardports Dienst Protokoll Port Zweck FTP TCP 21 Dateiübertragung Steuerverbindung SSH TCP 22 sicherer Fernzugriff Telnet TCP 23 unsicherer Fernzugriff SMTP TCP 25 E-Mail-Versand zwischen Servern DNS TCP / UDP 53 Namensauflösung DHCP Server UDP 67 IP-Konfiguration anbieten DHCP Client UDP 68 IP-Konfiguration empfangen HTTP TCP 80 unverschlüsselte Webübertragung POP3 TCP 110 E-Mail-Abruf NTP UDP 123 Zeitsynchronisation IMAP TCP 143 E-Mail-Abruf und Verwaltung HTTPS TCP 443 verschlüsselte Webübertragung RDP TCP 3389 Windows-Remote-Desktop Merksatz: HTTP 80, HTTPS 443, SSH 22, DNS 53, DHCP 67/68. FTP FTP steht für: File Transfer Protocol Typischer Port: TCP 21 FTP dient der Dateiübertragung. Wichtig: Klassisches FTP ist unverschlüsselt. Benutzername, Passwort und Daten können ohne Schutz übertragen werden. Sichere Alternativen sind zum Beispiel: SFTP FTPS Merksatz: FTP = TCP 21, klassisch unverschlüsselt. SSH SSH steht für: Secure Shell Typischer Port: TCP 22 SSH wird genutzt für: - sicheren Fernzugriff - Administration von Servern - sichere Kommandozeile - Tunnel - Dateiübertragung über SFTP Merksatz: SSH = TCP 22, verschlüsselter Fernzugriff. Telnet Telnet nutzt typischerweise: TCP 23 Telnet ist ein älteres Fernzugriffsprotokoll. Problem: Telnet ist unverschlüsselt. Deshalb sollte Telnet in modernen Netzwerken nicht für administrative Zugriffe verwendet werden. Merksatz: Telnet = TCP 23, unsicher und unverschlüsselt. SMTP SMTP steht für: Simple Mail Transfer Protocol Typischer Port: TCP 25 SMTP wird für den E-Mail-Transport verwendet, besonders zwischen Mailservern. Weitere Mailports können sein: 587 für Mail Submission 465 für SMTPS Für AP1/AP2 ist besonders wichtig: SMTP = Mailversand Merksatz: SMTP = E-Mail-Versand. POP3 POP3 steht für: Post Office Protocol Version 3 Typischer Port: TCP 110 POP3 dient dem Abruf von E-Mails. Häufig werden Mails dabei vom Server heruntergeladen. Verschlüsselte Variante: POP3S über TCP 995 Merksatz: POP3 = E-Mail-Abruf. IMAP IMAP steht für: Internet Message Access Protocol Typischer Port: TCP 143 IMAP dient ebenfalls dem Abruf und der Verwaltung von E-Mails. Im Unterschied zu POP3 bleiben Mails häufig auf dem Server und werden zwischen Geräten synchronisiert. Verschlüsselte Variante: IMAPS über TCP 993 Merksatz: IMAP = E-Mail-Verwaltung auf dem Server. SMTP, POP3 und IMAP unterscheiden Protokoll Richtung / Zweck typischer Port SMTP E-Mail senden / transportieren TCP 25 POP3 E-Mail abrufen TCP 110 IMAP E-Mail abrufen und verwalten TCP 143 Merksatz: SMTP sendet. POP3 und IMAP holen ab. DNS DNS steht für: Domain Name System DNS ordnet Namen IP-Adressen zu. Typischer Port: UDP 53 DNS kann auch nutzen: TCP 53 Beispiele für TCP bei DNS: - große Antworten - Zonentransfers - bestimmte DNSSEC-Fälle Merksatz: DNS = UDP 53 häufig, TCP 53 ebenfalls möglich. DHCP DHCP steht für: Dynamic Host Configuration Protocol DHCP vergibt automatisch IP-Konfigurationen. Wichtige Ports: Rolle Protokoll Port DHCP-Server UDP 67 DHCP-Client UDP 68 DHCP vergibt zum Beispiel: - IP-Adresse - Subnetzmaske - Gateway - DNS-Server Merksatz: DHCP = UDP 67 und 68. HTTP HTTP steht für: Hypertext Transfer Protocol Typischer Port: TCP 80 HTTP wird für Webseiten und Webdienste verwendet. Wichtig: HTTP ist unverschlüsselt. Heute wird für Webseiten meist HTTPS bevorzugt. Merksatz: HTTP = TCP 80, unverschlüsselt. HTTPS HTTPS steht für: Hypertext Transfer Protocol Secure Typischer Port: TCP 443 HTTPS nutzt Verschlüsselung über TLS. HTTPS schützt unter anderem: - Vertraulichkeit - Integrität - Serverauthentizität über Zertifikate Merksatz: HTTPS = TCP 443, HTTP mit TLS-Verschlüsselung. NTP NTP steht für: Network Time Protocol Typischer Port: UDP 123 NTP dient zur Zeitsynchronisation. Warum wichtig? Viele IT-Funktionen benötigen korrekte Zeit. Beispiele: - Zertifikate - Kerberos - Logs - Monitoring - Dateisynchronisation Merksatz: NTP = UDP 123, Zeitsynchronisation. RDP RDP steht für: Remote Desktop Protocol Typischer Port: TCP 3389 RDP wird häufig für grafischen Fernzugriff auf Windows-Systeme genutzt. Wichtig: RDP sollte nicht ungeschützt direkt ins Internet geöffnet werden. Besser: VPN Zugriffsbeschränkung Multi-Faktor-Authentifizierung sichere Gateway-Lösungen Merksatz: RDP = TCP 3389, Fernzugriff sorgfältig absichern. Sichere und unsichere Protokolle Einige ältere Protokolle übertragen Daten unverschlüsselt. eher unsicher / unverschlüsselt sicherere Alternative Telnet SSH FTP SFTP oder FTPS HTTP HTTPS POP3 POP3S IMAP IMAPS SMTP ohne TLS SMTP mit STARTTLS oder SMTPS Merksatz: Für Administration und sensible Daten verschlüsselte Protokolle nutzen. Ports und Firewall-Regeln Firewalls arbeiten häufig mit IP-Adressen und Ports. Beispiel-Regel: Erlaube TCP 443 von Client-Netz zum Internet Bedeutung: HTTPS-Verbindungen nach außen sind erlaubt. Andere Ports können weiterhin blockiert sein. Merksatz: Firewall-Regel = Quelle, Ziel, Protokoll, Port, Aktion. Firewall-Regel vollständig denken Eine sinnvolle Firewall-Regel enthält: - Quelle - Ziel - Protokoll - Port - Richtung - Aktion - Kommentar oder Zweck Beispiel: Quelle: Mitarbeiter-VLAN Ziel: Internet Protokoll: TCP Port: 443 Aktion: erlauben Merksatz: Nicht nur Port nennen, sondern Quelle, Ziel und Protokoll. TCP und UDP bei Firewall-Regeln Ports müssen bei Firewalls mit TCP oder UDP angegeben werden. Beispiel DNS: UDP 53 erlauben TCP 53 erlauben, wenn benötigt Beispiel HTTPS: TCP 443 erlauben Beispiel HTTP/3: UDP 443 kann zusätzlich relevant sein Prüfungsfalle: TCP 53 erlaubt nicht automatisch UDP 53. Merksatz: Firewall-Regeln brauchen Protokoll und Port. Ports und Portweiterleitung Bei Portweiterleitungen muss ebenfalls das richtige Protokoll gewählt werden. Beispiel Webserver: TCP 80 TCP 443 Beispiel DNS-Server: UDP 53 TCP 53 Beispiel Spielserver: je nach Anwendung TCP oder UDP Merksatz: Portweiterleitung muss TCP oder UDP korrekt treffen. Portweiterleitung und Dienst Eine Portweiterleitung funktioniert nur, wenn mehrere Dinge passen. Prüfpunkte: - öffentliche Erreichbarkeit vorhanden? - kein CGNAT? - externer Port korrekt? - internes Ziel korrekt? - internes Ziel hört auf dem Port? - Firewall erlaubt? - Dienst läuft? - DNS zeigt auf richtige IP? Merksatz: Portweiterleitung reicht nicht, wenn der Dienst nicht läuft oder blockiert wird. Ports und NAT/PAT PAT nutzt Port-Zuordnungen. Beispiel: Intern Extern 192.168.10.20:52344 93.184.100.10:40001 192.168.10.30:52344 93.184.100.10:40002 Dadurch können mehrere interne Geräte dieselbe öffentliche IP-Adresse nutzen. Merksatz: PAT unterscheidet Verbindungen über Ports. Ports und Dienste prüfen Typische Fragen bei der Prüfung eines Dienstes: Ist der Host per IP erreichbar? Ist der richtige Port offen? Nutzt der Dienst TCP oder UDP? Läuft der Dienst wirklich? Hört der Dienst auf der richtigen Schnittstelle? Blockiert eine Firewall? Gibt es NAT oder Portweiterleitung? Ist die Anwendung korrekt konfiguriert? Merksatz: Dienstproblem = IP, Port, Protokoll, Firewall und Anwendung prüfen. Ping und Porttest unterscheiden Ping nutzt ICMP. Ping prüft keine TCP- oder UDP-Ports. Beispiel: ping server funktioniert Das bedeutet nicht automatisch: TCP 443 ist offen. Um Ports zu prüfen, braucht man andere Tests. Beispiele sinngemäß: Verbindung zu TCP-Port testen Dienstabfrage durchführen Portscan kontrolliert einsetzen Logs prüfen Merksatz: Ping prüft IP. Porttest prüft Schicht 4. Portscan Ein Portscan prüft, welche Ports auf einem Ziel erreichbar sind. Er kann nützlich sein für: - Administration - Fehlersuche - Sicherheitsprüfung - Inventarisierung Aber: Portscans dürfen nur in erlaubten Netzen durchgeführt werden. Unberechtigte Scans können als Angriff gewertet werden. Merksatz: Portscan nur mit Berechtigung durchführen. Port offen heißt nicht automatisch sicher Ein offener Port bedeutet: Dort ist ein Dienst erreichbar. Das sagt noch nicht: ob der Dienst sicher konfiguriert ist ob er aktuell ist ob die Authentifizierung stark ist ob Schwachstellen vorhanden sind Beispiel: SSH offen kann normal sein. SSH mit schwachem Passwort ist gefährlich. Merksatz: Sicherheit hängt nicht nur vom Port, sondern vom Dienst ab. Port geschlossen heißt nicht automatisch geschützt Ein geschlossener Port bedeutet: Auf diesem Port lauscht aktuell kein Dienst. Aber: andere Ports können offen sein. Dienste können später gestartet werden. Firewall-Regeln können sich ändern. interne Angriffe können andere Wege nutzen. Merksatz: Geschlossene Ports sind gut, ersetzen aber kein Sicherheitskonzept. Prinzip: Nur notwendige Ports öffnen Ein wichtiges Sicherheitsprinzip lautet: Nur notwendige Dienste und Ports freigeben. Das reduziert die Angriffsfläche. Beispiele: SSH nur für Admin-Netz erlauben. Datenbank nicht direkt ins Internet öffnen. RDP nur über VPN bereitstellen. Webserver nur mit benötigten Ports freigeben. Gastnetz von internen Diensten trennen. Merksatz: Weniger offene Ports = kleinere Angriffsfläche. Typische Port-Fehler Typische Fehler sind: - falscher Port - falsches Protokoll TCP statt UDP - falsches Protokoll UDP statt TCP - Dienst läuft nicht - Dienst hört nur auf localhost - Firewall blockiert - NAT-Regel fehlt - Portweiterleitung falsch - DNS zeigt auf falschen Server - Reverse Proxy nutzt falschen Zielport - Client nutzt alten Port Merksatz: Portprobleme sind oft Konfigurationsfehler zwischen Dienst, Firewall und NAT. Beispiel: HTTPS funktioniert nicht Fehlerbild: Server ist per Ping erreichbar. Webseite öffnet nicht über HTTPS. Mögliche Ursachen: - TCP 443 geschlossen - Firewall blockiert TCP 443 - Webserver läuft nicht - Webserver hört auf anderem Port - TLS-Zertifikat fehlerhaft - Reverse Proxy falsch - DNS zeigt auf falsche IP - NAT-Portweiterleitung falsch Merksatz: Ping geht, HTTPS nicht: TCP 443 und Anwendung prüfen. Beispiel: DNS funktioniert nicht Fehlerbild: Internet-IP ist erreichbar. Namen werden nicht aufgelöst. Mögliche Ursachen: - DNS-Server falsch - UDP 53 blockiert - TCP 53 blockiert bei großen Antworten - DNS-Dienst läuft nicht - Firewall blockiert - falsche DNS-Zone - DNS-Cache fehlerhaft Merksatz: DNS braucht Namensdienst und passende Ports. Beispiel: DHCP funktioniert nicht Fehlerbild: Client bekommt keine IP-Adresse. Mögliche Ursachen: - DHCP-Server nicht erreichbar - UDP 67/68 blockiert - falsches VLAN - DHCP-Relay fehlt - DHCP-Bereich erschöpft - DHCP-Dienst läuft nicht - Trunk transportiert VLAN nicht Merksatz: DHCP-Probleme können Schicht 2, 3, 4 und 7 berühren. Beispiel: SSH funktioniert nicht Fehlerbild: Server ist erreichbar, aber SSH-Verbindung klappt nicht. Mögliche Ursachen: - TCP 22 geschlossen - SSH-Dienst läuft nicht - Firewall blockiert - SSH hört auf anderem Port - Zugriff nur aus bestimmten Netzen erlaubt - Benutzer oder Schlüssel falsch - Fail2ban oder Schutzsystem blockiert Merksatz: SSH braucht TCP-Port, laufenden Dienst und gültige Anmeldung. Einordnung in das OSI-Modell Thema Schicht IP-Adresse 3 Routing 3 TCP 4 UDP 4 Port 4 Socket 4 mit IP-Bezug DNS-Dienst 7, nutzt TCP/UDP 53 DHCP-Dienst 7, nutzt UDP 67/68 HTTP 7, nutzt TCP 80 HTTPS 7, nutzt TCP 443 SSH 7, nutzt TCP 22 Firewall nach Port 3 / 4 NAT/PAT 3 / 4 Merksatz: Port = Schicht 4. Dienst = höhere Schicht. Was Ports nicht leisten Ports lösen nicht automatisch: - Namensauflösung - Authentifizierung - Verschlüsselung - Benutzerrechte - Dienstkonfiguration - Zertifikatsprüfung - Anwendungslogik - Routing - VLAN-Zuordnung Ports sagen nur: welcher Dienst angesprochen werden soll. Merksatz: Port erreichbar heißt nicht: Anwendung korrekt. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Port? - Warum braucht man Ports? - Was ist der Unterschied zwischen IP-Adresse und Port? - Was ist der Unterschied zwischen Switch-Port und TCP-Port? - In welchem Bereich liegen Portnummern? - Was sind Well-Known Ports? - Was sind Ephemeral Ports? - Welche Ports nutzen HTTP, HTTPS, SSH, DNS und DHCP? - Warum muss man bei Portfreigaben TCP und UDP unterscheiden? - Was bedeutet offener, geschlossener oder gefilterter Port? - Warum kann Ping funktionieren, aber ein Dienst nicht? - Warum sollte man nur notwendige Ports öffnen? Typische Prüfungsfallen Port gehört zu Schicht 4. Dienst gehört zu höheren Schichten. IP-Adresse zeigt zum Gerät. Port zeigt zum Dienst. Switch-Port ist nicht TCP-Port. TCP-Port und UDP-Port sind getrennt. Portnummern gehen von 0 bis 65535. Well-Known Ports = 0 bis 1023. Ephemeral Ports = temporäre Client-Ports. HTTP = TCP 80. HTTPS = TCP 443. SSH = TCP 22. DNS = UDP 53 und TCP 53. DHCP = UDP 67 und 68. NTP = UDP 123. RDP = TCP 3389. Ping nutzt ICMP und prüft keine Ports. Firewall-Regeln brauchen Protokoll und Port. Portweiterleitung braucht richtiges Protokoll. Offener Port bedeutet nicht automatisch sichere Anwendung. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Port logische Dienstnummer auf Schicht 4 TCP-Port Port für TCP-Kommunikation UDP-Port Port für UDP-Kommunikation Switch-Port physischer Anschluss am Switch Quell-Port Port des Absenders Ziel-Port Port des gewünschten Dienstes Socket IP-Adresse plus Port Well-Known Port Port 0 bis 1023 Registered Port Port 1024 bis 49151 Ephemeral Port temporärer Client-Port LISTEN Dienst wartet auf Verbindung ESTABLISHED Verbindung besteht offener Port Dienst erreichbar geschlossener Port kein Dienst lauscht gefilterter Port Firewall oder Filter blockiert Portweiterleitung externer Port wird intern weitergeleitet Portscan Prüfung erreichbarer Ports IHK-sichere Kurzformulierung Ports sind logische Dienstnummern auf OSI-Schicht 4. Sie werden zusammen mit TCP oder UDP verwendet, um Daten auf einem Gerät dem richtigen Dienst zuzuordnen. Eine IP-Adresse identifiziert das Gerät, der Port identifiziert den Dienst auf diesem Gerät. Portnummern reichen von 0 bis 65535 und werden in Well-Known Ports, Registered Ports und Dynamic beziehungsweise Ephemeral Ports eingeteilt. TCP- und UDP-Ports sind getrennt zu betrachten. Firewall-Regeln und Portweiterleitungen müssen deshalb immer das richtige Protokoll und den richtigen Port berücksichtigen. Merksätze Port = logische Dienstnummer. Port gehört zu Schicht 4. IP bringt zum Gerät. Port bringt zum Dienst. Switch-Port ist physisch. TCP-/UDP-Port ist logisch. TCP-Port und UDP-Port sind nicht dasselbe. Portnummern gehen von 0 bis 65535. Well-Known Ports = 0 bis 1023. Registered Ports = 1024 bis 49151. Ephemeral Ports = 49152 bis 65535. Ziel-Port zeigt den Dienst. Quell-Port hilft bei der Rückzuordnung. Socket = IP-Adresse plus Port. LISTEN = Dienst wartet. ESTABLISHED = Verbindung steht. HTTP = TCP 80. HTTPS = TCP 443. SSH = TCP 22. DNS = UDP 53 und TCP 53. DHCP = UDP 67 und 68. NTP = UDP 123. RDP = TCP 3389. Ping prüft keine Ports. Firewall-Regel braucht Quelle, Ziel, Protokoll und Port. Portweiterleitung braucht richtiges Protokoll. Nur notwendige Ports öffnen. Offener Port heißt nicht automatisch sicher. Port erreichbar heißt nicht automatisch: Anwendung funktioniert. 7.4 Fehlersuche auf Schicht 4 Fehler auf OSI-Schicht 4 betreffen den Transport zwischen Anwendungen. Dabei geht es vor allem um: - TCP - UDP - Ports - Verbindungsaufbau - Verbindungszustände - Firewall-Regeln - Portweiterleitungen - NAT/PAT - Timeouts - Resets - Dienst-Erreichbarkeit Schicht 4 liegt zwischen: Schicht 3: IP, Routing, Gateway und Schicht 5 bis 7: Sitzung, Darstellung, Anwendung Merksatz: Schicht-4-Fehlersuche = TCP, UDP und Ports prüfen. Grundidee der Schicht-4-Fehlersuche Auf Schicht 3 prüft man: Ist das Zielgerät per IP erreichbar? Auf Schicht 4 prüft man: Ist der gewünschte Dienst-Port erreichbar? Beispiel: Server per Ping erreichbar: ja HTTPS auf TCP 443 erreichbar: nein Dann ist die reine IP-Erreichbarkeit nicht das Problem. Man muss TCP-Port, Firewall, Dienst oder Portweiterleitung prüfen. Merksatz: IP erreichbar heißt nicht automatisch: Port erreichbar. Schicht 3 und Schicht 4 unterscheiden Frage Schicht Hat der Client eine IP-Adresse? 3 Ist das Gateway erreichbar? 3 Gibt es eine Route zum Ziel? 3 Funktioniert Ping auf die IP? 3 Ist TCP 443 offen? 4 Ist UDP 53 erreichbar? 4 Kommt der TCP-Handshake zustande? 4 Läuft der Webdienst korrekt? 7 Merksatz: IP = Schicht 3. Port = Schicht 4. Dienstinhalt = Schicht 7. Typische Schicht-4-Fehler Typische Fehler auf Schicht 4 sind: - falscher Ziel-Port - falsches Protokoll TCP statt UDP - falsches Protokoll UDP statt TCP - Dienst lauscht nicht - Dienst lauscht auf anderer IP-Adresse - Dienst lauscht auf anderem Port - Firewall blockiert TCP oder UDP - TCP-Handshake scheitert - TCP Reset - Timeout - NAT/PAT-Zuordnung falsch - Portweiterleitung falsch - Rückweg fehlt - UDP-Antwort kommt nicht zurück Merksatz: Schicht-4-Fehler betreffen Erreichbarkeit von TCP- oder UDP-Diensten. Reihenfolge bei der Fehlersuche Eine sinnvolle Reihenfolge ist: 1. Schicht 1 prüfen: Link, Kabel, Signal 2. Schicht 2 prüfen: MAC, VLAN, ARP 3. Schicht 3 prüfen: IP, Gateway, Routing 4. Schicht 4 prüfen: TCP, UDP, Port 5. Schicht 7 prüfen: Anwendung, DNS, Authentifizierung, Zertifikat Merksatz: Erst IP-Erreichbarkeit prüfen, dann Port-Erreichbarkeit prüfen. Fehlerbild: Ping funktioniert, Dienst funktioniert nicht Beispiel: ping server funktioniert Aber: Webseite über HTTPS funktioniert nicht. Dann ist das Zielgerät grundsätzlich per IP erreichbar. Mögliche Ursachen: - TCP 443 geschlossen - Firewall blockiert TCP 443 - Webserver läuft nicht - Webserver hört auf anderem Port - Dienst hört nur auf localhost - Reverse Proxy falsch - TLS-Zertifikat fehlerhaft - Anwendung abgestürzt Merksatz: Ping geht, Dienst nicht: Schicht 4 und Schicht 7 prüfen. Fehlerbild: Port geschlossen Ein Port ist geschlossen, wenn kein Dienst auf diesem Port lauscht. Beispiel: Server erreichbar, aber TCP 22 geschlossen. Bedeutung: Der Host ist erreichbar, aber SSH läuft dort nicht oder SSH nutzt einen anderen Port. Mögliche Ursachen: - Dienst nicht gestartet - Dienst deaktiviert - falscher Port - Dienst hört nur auf anderer Schnittstelle - Konfigurationsfehler - Dienst abgestürzt Merksatz: Geschlossener Port heißt: Host kann erreichbar sein, Dienst aber nicht. Fehlerbild: Port gefiltert Ein Port wirkt gefiltert, wenn keine klare Antwort kommt. Typisches Verhalten: Timeout keine Rückmeldung Verbindung bleibt hängen Mögliche Ursachen: - Firewall verwirft Pakete - Paketfilter blockiert - Security-Gruppe blockiert - NAT-Regel fehlt - Rückroute fehlt - Provider blockiert Port Merksatz: Gefilterter Port bedeutet oft: Firewall oder Filter im Weg. Fehlerbild: Port offen, Anwendung funktioniert trotzdem nicht Ein offener Port bedeutet nur: Ein Dienst nimmt Verbindungen an oder antwortet auf Anfragen. Das bedeutet nicht automatisch: Anwendung ist korrekt konfiguriert. Anmeldung funktioniert. Zertifikat ist gültig. Datenbank ist erreichbar. Webanwendung läuft fehlerfrei. Beispiel: TCP 443 offen, aber Webseite zeigt Fehler 500. Dann ist Schicht 4 grundsätzlich erreichbar, aber die Anwendung auf höherer Schicht hat ein Problem. Merksatz: Port offen heißt nicht: Anwendung korrekt. Fehlerbild: TCP-Handshake scheitert Der TCP-Verbindungsaufbau besteht aus: SYN SYN-ACK ACK Wenn dieser Handshake nicht vollständig zustande kommt, kann keine TCP-Verbindung aufgebaut werden. Mögliche Ursachen: - SYN kommt nicht beim Server an - Server antwortet nicht mit SYN-ACK - SYN-ACK kommt nicht zum Client zurück - Firewall blockiert eine Richtung - NAT oder Portweiterleitung falsch - Dienst lauscht nicht - Rückroute fehlt Merksatz: Kein vollständiger TCP-Handshake = keine TCP-Verbindung. Fehlerbild: SYN ohne SYN-ACK Wenn der Client SYN sendet, aber kein SYN-ACK zurückkommt, gibt es mehrere Möglichkeiten. Mögliche Ursachen: - Server nicht erreichbar - Firewall blockiert SYN - Firewall blockiert SYN-ACK - Dienst lauscht nicht - Paket geht auf dem Weg verloren - NAT-Regel fehlt - Rückroute fehlt Wichtig: Ohne Mitschnitt oder Logs sieht man oft nur einen Timeout. Merksatz: SYN ohne Antwort deutet oft auf Filter, Routing oder Dienstproblem hin. Fehlerbild: TCP Reset TCP Reset wird mit RST gekennzeichnet. RST bedeutet: Verbindung sofort abbrechen. Mögliche Ursachen: - Port geschlossen - Dienst lehnt Verbindung ab - Anwendung beendet Verbindung - Firewall sendet Reset - falsches Protokoll auf richtigem Port - Server akzeptiert Verbindung nicht Merksatz: RST = Verbindung wird aktiv zurückgesetzt. Fehlerbild: TCP Timeout Timeout bedeutet: Eine erwartete Antwort kommt nicht rechtzeitig. Mögliche Ursachen: - Firewall verwirft still - Server antwortet nicht - Rückweg fehlt - NAT-Zuordnung fehlt - Netzwerkverlust - Dienst überlastet - falsche Zieladresse - falscher Port Merksatz: Timeout = keine rechtzeitige Antwort. Fehlerbild: Verbindung wird langsam Eine TCP-Verbindung kann funktionieren, aber sehr langsam sein. Mögliche Ursachen: - Paketverlust - viele Retransmissions - hohe Latenz - MTU-Probleme - Überlastung - zu kleine TCP-Fenstergröße - Staukontrolle greift - Firewall oder Proxy bremst Merksatz: Langsame TCP-Verbindung kann Paketverlust oder MTU-Problem bedeuten. Fehlerbild: TCP Retransmissions Retransmission bedeutet: TCP sendet Daten erneut. Das passiert, wenn TCP annimmt, dass Daten verloren gegangen sind. Mögliche Ursachen: - Paketverlust - Überlastung - schlechte Verbindung - fehlerhafte Netzkomponente - MTU-Probleme - Funkprobleme - Duplex- oder Linkproblem Merksatz: Viele Retransmissions deuten auf Übertragungsprobleme hin. Fehlerbild: UDP-Dienst antwortet nicht UDP hat keinen Verbindungsaufbau. Wenn ein UDP-Dienst nicht antwortet, ist die Ursache oft schwerer zu erkennen. Mögliche Ursachen: - falscher UDP-Port - Dienst läuft nicht - Firewall blockiert UDP - Antwortweg fehlt - NAT-Zuordnung abgelaufen - Anfrage ist ungültig - Dienst antwortet nur auf bestimmte Quellen - Paketverlust Merksatz: UDP-Probleme brauchen oft Logs oder Mitschnitt. TCP und UDP bei Firewalls Firewalls unterscheiden zwischen TCP und UDP. Beispiel DNS: UDP 53 TCP 53 Wenn nur TCP 53 erlaubt ist, funktionieren normale DNS-Anfragen über UDP möglicherweise nicht. Wenn nur UDP 53 erlaubt ist, können große DNS-Antworten oder Zonentransfers scheitern. Merksatz: Firewall-Regel muss Protokoll und Port korrekt enthalten. Fehlerbild: Falsches Protokoll Ein häufiger Fehler ist: TCP erlaubt, aber Dienst nutzt UDP Oder: UDP weitergeleitet, aber Dienst nutzt TCP Beispiel: DNS benötigt häufig UDP 53. Nur TCP 53 wurde freigegeben. Folge: DNS funktioniert nicht oder nur teilweise. Merksatz: Richtige Portnummer reicht nicht, TCP oder UDP muss ebenfalls stimmen. Fehlerbild: Portweiterleitung funktioniert nicht Eine Portweiterleitung leitet einen externen Port an ein internes Ziel weiter. Mögliche Fehler: - falscher externer Port - falscher interner Port - falsche interne IP-Adresse - falsches Protokoll TCP/UDP - Dienst läuft intern nicht - Firewall blockiert am Router - Firewall blockiert am Server - CGNAT beim Provider - DNS zeigt auf falsche öffentliche IP - Hairpin NAT fehlt bei internem Test Merksatz: Portweiterleitung braucht richtige IP, richtigen Port, richtiges Protokoll und laufenden Dienst. Fehlerbild: Dienst hört nur auf localhost Ein Dienst kann so konfiguriert sein, dass er nur lokal erreichbar ist. Beispiel: Dienst hört auf: 127.0.0.1:8080 Dann ist er nur vom eigenen Gerät aus erreichbar. Von anderen Geräten im Netzwerk funktioniert der Zugriff nicht. Richtig wäre je nach Bedarf zum Beispiel: 0.0.0.0:8080 oder konkrete Server-IP:8080 Merksatz: localhost bedeutet: nur lokal auf dem eigenen Gerät. Fehlerbild: Dienst hört auf falscher Schnittstelle Ein Server kann mehrere IP-Adressen haben. Beispiel: 192.168.10.50 10.0.0.50 Ein Dienst kann nur auf einer dieser Adressen lauschen. Wenn Clients die andere IP-Adresse nutzen, ist der Dienst dort nicht erreichbar. Merksatz: Dienst muss auf der richtigen IP-Adresse lauschen. Fehlerbild: Dienst nutzt anderen Port Ein Dienst kann auf einem anderen Port konfiguriert sein als erwartet. Beispiele: Weboberfläche auf TCP 8080 statt TCP 80 HTTPS auf TCP 8443 statt TCP 443 SSH auf TCP 2222 statt TCP 22 Dann schlägt der Zugriff auf den Standardport fehl. Merksatz: Standardport prüfen, aber tatsächliche Dienstkonfiguration beachten. Fehlerbild: Firewall auf dem Server blockiert Auch wenn Netzwerk und Router korrekt sind, kann die lokale Firewall auf dem Server blockieren. Mögliche Systeme: Windows Defender Firewall Linux-Firewall Host-Firewall Sicherheitssoftware Cloud-Security-Groups Typische Prüfung: Ist der Dienst lokal erreichbar? Ist der Port auf dem Server erlaubt? Darf die Client-Quelle zugreifen? Merksatz: Nicht nur Netzwerk-Firewall prüfen, auch Host-Firewall prüfen. Fehlerbild: Stateful Firewall blockiert Eine Stateful Firewall merkt sich Verbindungszustände. Bei TCP kann sie den Handshake und bestehende Verbindungen verfolgen. Probleme entstehen bei: - asymmetrischem Routing - fehlender Rückroute - NAT über anderen Weg - ungültigen TCP-Zuständen - Verbindung läuft über andere Firewall zurück Merksatz: Stateful Firewall muss Hin- und Rückrichtung richtig sehen. Fehlerbild: NAT/PAT-Zuordnung fehlt Bei PAT werden Verbindungen über Ports zugeordnet. Wenn die Zuordnung fehlt oder abläuft, kann Rückverkehr nicht richtig zugestellt werden. Besonders bei UDP kann das auftreten, weil UDP keinen echten Verbindungszustand hat. Mögliche Folgen: - Antwort kommt nicht an - Verbindung bricht ab - Dienst wirkt instabil Merksatz: PAT braucht passende Port-Zuordnung für den Rückverkehr. Fehlerbild: MTU-Problem wirkt wie Schicht-4-Problem Manchmal funktionieren kleine Verbindungen, aber größere Datenübertragungen hängen. Mögliche Ursache: MTU-Problem Symptome: Ping mit kleiner Größe funktioniert. Webseite lädt teilweise. VPN funktioniert instabil. Dateiübertragung bleibt hängen. TLS-Verbindung hängt beim Aufbau. Obwohl die Ursache tiefer liegen kann, sieht es oft wie ein TCP- oder Anwendungsproblem aus. Merksatz: Teilweise funktionierende Verbindungen können auf MTU-Probleme hinweisen. Werkzeuge für Schicht-4-Fehlersuche Typische Werkzeuge und Informationen: Werkzeug / Anzeige Nutzen Porttest prüft TCP- oder UDP-Port netstat / ss zeigt lauschende Dienste und Verbindungen Firewall-Logs zeigt erlaubte oder blockierte Verbindungen Dienststatus zeigt, ob Dienst läuft Packet Capture zeigt SYN, ACK, RST, UDP-Anfragen NAT-Tabelle zeigt Port-Zuordnungen Portscan zeigt offene Ports, nur mit Berechtigung Anwendungslog zeigt Fehler des Dienstes Merksatz: Schicht 4 prüft man mit Porttests, Logs und Mitschnitten. Porttest Ein Porttest prüft, ob ein bestimmter TCP- oder UDP-Port erreichbar ist. Beispielhafte Prüffragen: Ist TCP 443 erreichbar? Ist TCP 22 erreichbar? Ist UDP 53 erreichbar? Antwortet der Dienst? Kommt ein Timeout? Kommt ein Reset? Wichtig: Ping ist kein Porttest. Merksatz: Porttest prüft Schicht 4, Ping prüft ICMP auf Schicht 3. Lauschende Dienste prüfen Auf einem Server sollte man prüfen: Lauscht der Dienst? Auf welchem Port lauscht er? Auf welcher IP-Adresse lauscht er? Nutzt er TCP oder UDP? Ist er nur lokal erreichbar? Ist der Dienst wirklich gestartet? Typische Zustände: LISTEN ESTABLISHED Merksatz: Dienst muss laufen und auf der richtigen Adresse lauschen. Packet Capture bei TCP In einem Mitschnitt kann man erkennen: - SYN - SYN-ACK - ACK - RST - FIN - Retransmissions - Timeouts - Quell-Port - Ziel-Port Typische Interpretation: SYN geht raus, keine Antwort: Filter, Routing oder Dienstproblem. SYN, SYN-ACK, ACK: Verbindung aufgebaut. RST: Verbindung wird zurückgesetzt. Merksatz: TCP-Mitschnitt zeigt den Verbindungsaufbau sehr gut. Packet Capture bei UDP Bei UDP sieht man keinen Handshake. Man prüft: - geht Anfrage raus? - ist Ziel-Port korrekt? - kommt Antwort zurück? - ist Quell-Port passend? - blockiert Firewall? - antwortet Dienst überhaupt? Beispiel DNS: Anfrage an UDP 53 Antwort von UDP 53 zurück Merksatz: Bei UDP vergleicht man Anfrage und Antwort. Firewall-Logs prüfen Firewall-Logs können zeigen: - Quelle - Ziel - Protokoll - Port - Aktion - Zeit - Regelname - Interface oder Zone Wichtige Fragen: Wird die Verbindung erlaubt? Wird sie blockiert? Welche Regel greift? Ist TCP oder UDP betroffen? Gibt es Rückverkehr? Merksatz: Firewall-Logs zeigen oft, ob Schicht 4 blockiert wird. NAT- und Portweiterleitungsprüfung Bei NAT oder Portweiterleitung prüft man: - externe IP korrekt? - kein CGNAT? - externer Port korrekt? - internes Ziel korrekt? - internes Ziel erreichbar? - TCP oder UDP korrekt? - Firewall erlaubt? - Dienst läuft? - Rückweg vorhanden? - Hairpin NAT nötig? Merksatz: NAT-Fehlersuche braucht Port, Protokoll, Ziel-IP und Rückweg. Typische Prüf-Reihenfolge bei Dienstproblemen Eine einfache Reihenfolge: 1. Ziel-IP erreichbar? 2. Route und Gateway korrekt? 3. richtiger Port? 4. richtiges Protokoll TCP oder UDP? 5. Dienst läuft? 6. Dienst lauscht auf richtiger IP? 7. lokale Server-Firewall erlaubt? 8. Netzwerk-Firewall erlaubt? 9. NAT oder Portweiterleitung korrekt? 10. Anwendung selbst prüfen Merksatz: Erst IP, dann Port, dann Dienst. Beispiel: HTTPS intern nicht erreichbar Fehlerbild: Client erreicht Server-IP per Ping. HTTPS auf TCP 443 funktioniert nicht. Prüfung: 1. Hört der Webserver auf TCP 443? 2. Ist TCP 443 auf der Server-Firewall erlaubt? 3. Ist Netzwerk-Firewall im Weg? 4. Nutzt der Dienst vielleicht TCP 8443? 5. Gibt es TLS- oder Anwendungsfehler? 6. Funktioniert Zugriff lokal auf dem Server? Merksatz: Ping geht, HTTPS nicht: TCP 443 und Dienst prüfen. Beispiel: DNS antwortet nicht Fehlerbild: Client kann externe IPs erreichen, aber Namen werden nicht aufgelöst. Prüfung: 1. DNS-Server-IP korrekt? 2. DNS-Server per IP erreichbar? 3. UDP 53 erlaubt? 4. TCP 53 bei Bedarf erlaubt? 5. DNS-Dienst läuft? 6. DNS-Zone korrekt? 7. Firewall-Logs prüfen. Merksatz: DNS-Fehler können Port- und Dienstfehler sein. Beispiel: SSH von außen nicht erreichbar Fehlerbild: SSH funktioniert intern, aber nicht von außen. Mögliche Ursachen: - Portweiterleitung fehlt - falscher externer Port - falsches Ziel intern - CGNAT - Firewall blockiert - SSH hört nur intern - Zugriff nur von bestimmten IPs erlaubt - Provider blockiert - DNS zeigt falsch Merksatz: Von außen braucht man öffentliche Erreichbarkeit, NAT-Regel, Firewall und laufenden Dienst. Beispiel: UDP-VPN instabil Fehlerbild: VPN verbindet manchmal, bricht aber ab oder bleibt instabil. Mögliche Ursachen: - UDP wird gefiltert - NAT-Zuordnung läuft ab - MTU-Problem - Paketverlust - Firewall-Zeitlimit - falscher Port - Provider filtert - asymmetrisches Routing Merksatz: UDP-VPN-Probleme können NAT-, Firewall- oder MTU-Ursachen haben. Schicht 4 oder Schicht 7? Nicht jedes Dienstproblem ist ein Portproblem. Beobachtung eher Ursache TCP-Verbindung kommt nicht zustande Schicht 4 / Firewall TCP 443 offen, aber Zertifikatsfehler Schicht 6 / 7 TCP 443 offen, aber HTTP 500 Anwendung DNS-Port erreichbar, aber falsche Antwort DNS-Konfiguration SSH-Port offen, aber Login scheitert Benutzer, Schlüssel, Rechte Datenbank-Port offen, aber Anmeldung scheitert Anwendung / Rechte Merksatz: Port erreichbar bedeutet nur: Transportweg zum Dienst ist möglich. Schicht 4 oder Firewall? Firewalls können auf Schicht 3 und 4 filtern. Typische Regelbestandteile: Quelle Ziel Protokoll Port Richtung Aktion Beispiel: Quelle: Mitarbeiter-Netz Ziel: Server-Netz Protokoll: TCP Port: 443 Aktion: erlauben Merksatz: Firewall-Regeln müssen Quelle, Ziel, Protokoll und Port passend erlauben. Schicht 4 oder NAT? Wenn ein Dienst intern funktioniert, aber extern nicht, ist NAT oder Portweiterleitung ein häufiger Prüfpunkte. Typische Unterscheidung: Beobachtung mögliche Ursache intern geht, extern nicht NAT, Firewall, CGNAT, DNS extern kommt falscher Dienst falsche Portweiterleitung nur TCP geht, UDP nicht falsches Protokoll freigegeben Rückverkehr fehlt NAT oder Rückroute Test intern über Domain geht nicht Hairpin NAT oder Split DNS Merksatz: Externe Dienstprobleme oft mit NAT und Firewall prüfen. Was Schicht-4-Fehlersuche nicht löst Wenn TCP oder UDP korrekt funktioniert, können trotzdem Anwendungsfehler bestehen. Dann prüft man: - Anwendungskonfiguration - Benutzerrechte - Zertifikate - TLS-Version - Datenbankverbindung - Reverse Proxy - DNS-Inhalte - API-Endpunkte - Logs der Anwendung Merksatz: Schicht 4 transportiert, Schicht 7 verarbeitet. Einordnung in das OSI-Modell Thema Schicht Kabel und Link 1 MAC und VLAN 2 IP und Routing 3 TCP und UDP 4 Ports 4 TCP-Handshake 4 Firewall nach IP 3 Firewall nach Port 4 TLS-Zertifikat 6 / 7 DNS-Dienst 7 Webanwendung 7 Merksatz: Schicht 4 sagt: Kommt der Transport zum Dienst zustande? Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was prüft man auf Schicht 4? - Warum reicht Ping nicht als Diensttest? - Was bedeutet offener Port? - Was bedeutet geschlossener Port? - Was bedeutet gefilterter Port? - Warum muss man TCP und UDP unterscheiden? - Warum kann TCP 443 blockiert sein, obwohl Ping funktioniert? - Was passiert beim TCP-Handshake? - Was bedeutet RST? - Was bedeutet Timeout? - Warum ist UDP-Fehlersuche schwieriger als TCP-Fehlersuche? - Welche Rolle spielen Firewall-Regeln bei Schicht 4? - Welche Rolle spielen NAT und Portweiterleitung? Typische Prüfungsfallen Ping prüft keine TCP- oder UDP-Ports. ICMP hat keine Ports. IP erreichbar heißt nicht: Dienst erreichbar. Port erreichbar heißt nicht: Anwendung korrekt. TCP und UDP sind getrennt zu betrachten. Gleiche Portnummer bei TCP und UDP ist nicht dasselbe. TCP-Handshake = SYN, SYN-ACK, ACK. Kein SYN-ACK kann Firewall-, Routing- oder Dienstproblem sein. RST bedeutet aktiver Abbruch. Timeout bedeutet keine rechtzeitige Antwort. UDP hat keinen Handshake. UDP-Fehler sind oft schwerer zu erkennen. Firewall-Regel braucht Protokoll und Port. Portweiterleitung braucht richtiges Protokoll. Dienst muss auf richtiger IP und richtigem Port lauschen. localhost ist nur lokal. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht-4-Fehler Fehler bei TCP, UDP oder Ports Porttest Prüfung eines TCP- oder UDP-Ports offener Port Dienst ist grundsätzlich erreichbar geschlossener Port kein Dienst lauscht gefilterter Port Firewall oder Filter blockiert TCP-Handshake Verbindungsaufbau mit SYN, SYN-ACK, ACK SYN TCP-Verbindungsanfrage SYN-ACK Antwort und Bestätigung auf SYN ACK Bestätigung RST sofortiger TCP-Abbruch Timeout Antwort kommt nicht rechtzeitig Retransmission erneute Übertragung LISTEN Dienst wartet auf Verbindung ESTABLISHED Verbindung besteht localhost eigenes Gerät, 127.0.0.1 Host-Firewall Firewall direkt auf dem Server Portweiterleitung externer Port wird intern weitergeleitet NAT-Tabelle Zuordnung übersetzter Verbindungen IHK-sichere Kurzformulierung Fehlersuche auf OSI-Schicht 4 bedeutet, TCP, UDP und Ports zu prüfen. Während Schicht 3 die IP-Erreichbarkeit eines Zielgeräts betrachtet, prüft Schicht 4, ob der gewünschte Dienst-Port erreichbar ist. Typische Schicht-4-Probleme sind geschlossene oder gefilterte Ports, fehlgeschlagene TCP-Handshakes, Timeouts, TCP-Resets, falsche TCP-/UDP-Freigaben, blockierende Firewalls oder fehlerhafte NAT- und Portweiterleitungen. Ein erfolgreicher Ping beweist nicht, dass ein TCP- oder UDP-Dienst erreichbar ist, und ein erreichbarer Port beweist nicht automatisch, dass die Anwendung korrekt funktioniert. Merksätze Schicht-4-Fehlersuche = TCP, UDP und Ports prüfen. IP erreichbar heißt nicht: Port erreichbar. Ping prüft ICMP, nicht TCP oder UDP. Porttest prüft Schicht 4. Dienstproblem = IP, Port, Protokoll, Firewall und Anwendung prüfen. TCP und UDP getrennt betrachten. Gleiche Portnummer bei TCP und UDP ist nicht dasselbe. TCP-Handshake = SYN, SYN-ACK, ACK. Kein Handshake = keine TCP-Verbindung. RST = aktiver Abbruch. Timeout = keine rechtzeitige Antwort. Offener Port = Dienst grundsätzlich erreichbar. Geschlossener Port = kein Dienst lauscht. Gefilterter Port = Firewall oder Filter im Weg. UDP hat keinen Handshake. UDP braucht Anfrage-Antwort-Prüfung. Firewall-Regel braucht Quelle, Ziel, Protokoll und Port. Portweiterleitung braucht richtige IP, richtigen Port und richtiges Protokoll. Dienst muss auf richtiger Schnittstelle lauschen. localhost ist nur lokal. Erst IP, dann Port, dann Dienst. 7.5 Merksätze und Prüfungswissen zu OSI-Schicht 4 Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 4 zusammen. OSI-Schicht 4 heißt: Transportschicht Die Hauptaufgabe von Schicht 4 ist: Daten zwischen Anwendungen auf Endgeräten transportieren. Dabei sind besonders wichtig: - TCP - UDP - Ports - Verbindungsaufbau - Zuverlässigkeit - Dienst-Erreichbarkeit - Firewall-Regeln nach Port - NAT/PAT mit Port-Zuordnung Merksatz: Schicht 4 = TCP, UDP und Ports. Grundidee von Schicht 4 Schicht 3 bringt Daten zum richtigen Gerät. Schicht 4 bringt Daten zur richtigen Anwendung auf diesem Gerät. Beispiel: IP-Adresse: 192.168.10.50 Port: 443 Zusammen: 192.168.10.50:443 Das bedeutet: Gerät 192.168.10.50 Dienst auf Port 443 Merksatz: IP bringt zum Gerät. Port bringt zum Dienst. Schicht 3 und Schicht 4 unterscheiden Frage Schicht Welche IP-Adresse hat das Ziel? 3 Gibt es eine Route zum Ziel? 3 Ist das Gateway erreichbar? 3 Funktioniert Ping auf die IP? 3 Ist TCP 443 erreichbar? 4 Ist UDP 53 erreichbar? 4 Kommt der TCP-Handshake zustande? 4 Läuft die Webanwendung korrekt? 7 Merksatz: IP-Erreichbarkeit = Schicht 3. Port-Erreichbarkeit = Schicht 4. TCP TCP steht für: Transmission Control Protocol TCP ist: verbindungsorientiert zuverlässig reihenfolgetreu bestätigungsbasiert TCP sorgt dafür, dass Daten vollständig und in richtiger Reihenfolge bei der Anwendung ankommen. Merksatz: TCP = zuverlässig und verbindungsorientiert. UDP UDP steht für: User Datagram Protocol UDP ist: verbindungslos schlank schnell ohne eingebaute Zustellgarantie UDP sendet Datagramme ohne vorherigen Verbindungsaufbau. Merksatz: UDP = schnell und verbindungslos. TCP und UDP vergleichen Merkmal TCP UDP Verbindungsaufbau ja nein Verbindung verbindungsorientiert verbindungslos Zustellgarantie ja nein Reihenfolge wird sichergestellt nicht sichergestellt Bestätigungen ja nein erneute Übertragung ja nein Overhead höher geringer Datenform Segment Datagramm Merksatz: TCP kontrolliert. UDP sendet schlank. Verbindungsorientiert Verbindungsorientiert bedeutet: Vor der Datenübertragung wird eine Verbindung aufgebaut. TCP arbeitet verbindungsorientiert. Der Verbindungsaufbau erfolgt mit: SYN SYN-ACK ACK Merksatz: Verbindungsorientiert = Verbindung vor Datenübertragung. Verbindungslos Verbindungslos bedeutet: Es wird keine feste Verbindung aufgebaut. UDP sendet direkt ein Datagramm an Ziel-IP und Ziel-Port. UDP prüft nicht selbst: ob das Datagramm angekommen ist ob die Reihenfolge stimmt ob eine erneute Übertragung nötig ist Merksatz: Verbindungslos = senden ohne Handshake. TCP-Drei-Wege-Handshake Der TCP-Verbindungsaufbau besteht aus drei Schritten. Schritt Richtung Bedeutung 1 Client → Server SYN 2 Server → Client SYN-ACK 3 Client → Server ACK Nach dem dritten Schritt ist die TCP-Verbindung aufgebaut. Merksatz: TCP-Handshake = SYN, SYN-ACK, ACK. SYN SYN steht für: Synchronize SYN startet den TCP-Verbindungsaufbau. Vereinfacht sagt der Client: Ich möchte eine Verbindung aufbauen. Merksatz: SYN = Start der TCP-Verbindung. SYN-ACK SYN-ACK ist die Antwort des Servers auf das SYN. Der Server sagt vereinfacht: Ich habe deine Anfrage erhalten und bin bereit. Merksatz: SYN-ACK = Antwort und Bestätigung. ACK ACK steht für: Acknowledgement ACK bedeutet: Bestätigung Der Client bestätigt damit das SYN-ACK des Servers. Merksatz: ACK = Bestätigung. TCP-Zuverlässigkeit TCP bietet Zuverlässigkeit durch: - Sequenznummern - Bestätigungsnummern - ACKs - erneute Übertragung - Reihenfolgesicherung - Flusskontrolle - Staukontrolle Dadurch eignet sich TCP gut für Daten, die vollständig und korrekt ankommen müssen. Merksatz: TCP nutzt mehrere Mechanismen für zuverlässigen Transport. Sequenznummern Sequenznummern helfen TCP, Daten in die richtige Reihenfolge zu bringen. Sie zeigen: an welcher Stelle im Datenstrom ein Teil gehört. Damit kann TCP erkennen: Daten fehlen. Daten kamen doppelt. Daten kamen in falscher Reihenfolge. Merksatz: Sequenznummer = Position im TCP-Datenstrom. Bestätigungen TCP bestätigt empfangene Daten mit ACKs. Der Empfänger teilt dem Sender mit: welche Daten angekommen sind und welche Daten als Nächstes erwartet werden. Wenn eine Bestätigung fehlt, können Daten erneut gesendet werden. Merksatz: TCP bestätigt empfangene Daten. Retransmission Retransmission bedeutet: erneute Übertragung TCP sendet Daten erneut, wenn sie vermutlich verloren gegangen sind. Mögliche Ursachen: - Paketverlust - Timeout - beschädigte Daten - Überlastung - schlechte Verbindung Merksatz: Retransmission = TCP sendet erneut. Flusskontrolle Flusskontrolle schützt den Empfänger. Der Empfänger signalisiert, wie viele Daten er aufnehmen kann. Dadurch soll der Sender den Empfänger nicht überlasten. Merksatz: Flusskontrolle schützt den Empfänger. Staukontrolle Staukontrolle schützt das Netzwerk. TCP kann die Sendeleistung anpassen, wenn Paketverlust oder Überlastung erkannt wird. Ziel: Das Netzwerk soll nicht weiter überlastet werden. Merksatz: Staukontrolle schützt das Netzwerk. TCP-Verbindungsabbau TCP-Verbindungen können geordnet beendet werden. Wichtige Steuerbits: FIN ACK FIN bedeutet: Verbindung geordnet beenden. RST bedeutet: Verbindung sofort abbrechen. Merksatz: FIN beendet geordnet. RST bricht sofort ab. TCP-Zustände Wichtige TCP-Zustände: Zustand Bedeutung LISTEN Dienst wartet auf eingehende Verbindung SYN-SENT Client hat SYN gesendet SYN-RECEIVED Server hat SYN erhalten und SYN-ACK gesendet ESTABLISHED Verbindung besteht FIN-WAIT Verbindung wird beendet TIME-WAIT Wartephase nach Verbindungsende CLOSED Verbindung ist geschlossen Merksatz: LISTEN = Dienst wartet. ESTABLISHED = Verbindung steht. TCP-Segment Die Datenform von TCP auf Schicht 4 heißt: Segment Ein TCP-Segment enthält unter anderem: - Quell-Port - Ziel-Port - Sequenznummer - Bestätigungsnummer - Steuerbits - Prüfsumme - Nutzdaten Merksatz: TCP arbeitet mit Segmenten. UDP-Datagramm Die Datenform von UDP auf Schicht 4 heißt: Datagramm Ein UDP-Datagramm enthält unter anderem: - Quell-Port - Ziel-Port - Länge - Prüfsumme - Nutzdaten Merksatz: UDP arbeitet mit Datagrammen. Segment und Datagramm unterscheiden Protokoll Datenform TCP Segment UDP Datagramm Prüfungsfalle: In der Umgangssprache sagt man oft „Paket“. Fachlich ist TCP auf Schicht 4 ein Segment. UDP auf Schicht 4 ist ein Datagramm. Merksatz: TCP = Segment. UDP = Datagramm. Ports Ein Port ist eine logische Dienstnummer auf Schicht 4. Ports unterscheiden Dienste auf einem Gerät. Beispiel: 192.168.10.50:22 192.168.10.50:80 192.168.10.50:443 Gleiche IP-Adresse, aber unterschiedliche Dienste. Merksatz: Port = Dienstnummer. Port ist nicht gleich Switch-Port Begriff Bedeutung Schicht Switch-Port physischer Anschluss 1 / 2 TCP-Port logische Dienstnummer 4 UDP-Port logische Dienstnummer 4 Merksatz: Switch-Port = physisch. TCP-/UDP-Port = logisch. Portnummern Portnummern gehen von: 0 bis: 65535 Grund: Ports sind 16 Bit groß. 16 Bit ermöglichen: 65536 Werte Merksatz: Portnummern = 0 bis 65535. Portbereiche Bereich Portnummern Bedeutung Well-Known Ports 0 – 1023 bekannte Standarddienste Registered Ports 1024 – 49151 registrierte Anwendungsports Dynamic / Ephemeral Ports 49152 – 65535 temporäre Client-Ports Merksatz: Well-Known = bekannt. Ephemeral = temporär. Quell-Port und Ziel-Port Ein TCP- oder UDP-Header enthält: Quell-Port Ziel-Port Beispiel HTTPS: Client: 192.168.10.20:52344 Server: 93.184.216.34:443 Dabei gilt: Ziel-Port 443 = HTTPS-Dienst Quell-Port 52344 = temporärer Client-Port Merksatz: Ziel-Port zeigt den Dienst. Quell-Port hilft bei der Rückzuordnung. Socket Ein Socket besteht aus: IP-Adresse und Port Beispiel: 192.168.10.20:52344 Eine TCP-Verbindung wird eindeutig durch folgende Kombination: Quell-IP Quell-Port Ziel-IP Ziel-Port Protokoll Merksatz: Socket = IP-Adresse plus Port. TCP-Port und UDP-Port getrennt betrachten Die gleiche Portnummer kann bei TCP und UDP getrennt existieren. Beispiel: TCP 53 UDP 53 Beide können DNS betreffen, sind aber technisch unterschiedliche Transportwege. Eine Firewall-Regel für TCP 53 erlaubt nicht automatisch UDP 53. Merksatz: Portnummer immer mit TCP oder UDP nennen. Wichtige Standardports Dienst Protokoll Port FTP Steuerverbindung TCP 21 SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS TCP / UDP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 NTP UDP 123 IMAP TCP 143 HTTPS TCP 443 IMAPS TCP 993 POP3S TCP 995 RDP TCP 3389 Merksatz: HTTP 80, HTTPS 443, SSH 22, DNS 53, DHCP 67/68. DNS DNS nutzt häufig: UDP 53 DNS kann aber auch nutzen: TCP 53 Beispiele für TCP bei DNS: - große Antworten - Zonentransfers - bestimmte DNSSEC-Fälle Merksatz: DNS = UDP 53 häufig, TCP 53 ebenfalls möglich. DHCP DHCP nutzt UDP. Wichtige Ports: Rolle Protokoll Port DHCP-Server UDP 67 DHCP-Client UDP 68 Merksatz: DHCP = UDP 67 und 68. HTTP und HTTPS HTTP nutzt typischerweise: TCP 80 HTTPS nutzt typischerweise: TCP 443 HTTPS nutzt zusätzlich TLS für Verschlüsselung. Merksatz: HTTP = TCP 80. HTTPS = TCP 443. SSH und Telnet SSH nutzt: TCP 22 Telnet nutzt: TCP 23 Wichtiger Unterschied: SSH ist verschlüsselt. Telnet ist unverschlüsselt. Merksatz: SSH statt Telnet verwenden. E-Mail-Protokolle Protokoll Zweck typischer Port SMTP E-Mail senden / transportieren TCP 25 POP3 E-Mail abrufen TCP 110 IMAP E-Mail abrufen und verwalten TCP 143 IMAPS IMAP verschlüsselt TCP 993 POP3S POP3 verschlüsselt TCP 995 Merksatz: SMTP sendet. POP3 und IMAP holen ab. NTP NTP steht für: Network Time Protocol Typischer Port: UDP 123 NTP dient der Zeitsynchronisation. Wichtig für: - Zertifikate - Kerberos - Logs - Monitoring - Fehlersuche Merksatz: NTP = UDP 123. RDP RDP steht für: Remote Desktop Protocol Typischer Port: TCP 3389 RDP dient dem grafischen Fernzugriff auf Windows-Systeme. Wichtig: RDP nicht ungeschützt direkt ins Internet öffnen. Merksatz: RDP = TCP 3389, sorgfältig absichern. Portstatus Ein Port kann aus Sicht eines Clients unterschiedlich wirken. Status Bedeutung offen Dienst nimmt Verbindung an oder antwortet geschlossen kein Dienst lauscht auf diesem Port gefiltert Firewall oder Paketfilter blockiert offen, aber Anwendung fehlerhaft Schicht 4 erreichbar, höhere Schicht fehlerhaft Merksatz: Portstatus hilft bei der Eingrenzung. Offener Port Ein offener Port bedeutet: Ein Dienst ist grundsätzlich erreichbar. Aber ein offener Port beweist nicht: dass die Anwendung korrekt funktioniert dass Login klappt dass Zertifikate stimmen dass keine Fehler in der Anwendung bestehen Merksatz: Offener Port = Transport zum Dienst möglich. Geschlossener Port Ein geschlossener Port bedeutet: Kein Dienst lauscht auf diesem Port. Der Host kann trotzdem erreichbar sein. Beispiel: Ping funktioniert. TCP 22 geschlossen. Dann ist der Host erreichbar, aber SSH läuft dort nicht oder nicht auf Port 22. Merksatz: Geschlossener Port heißt nicht: Gerät offline. Gefilterter Port Ein gefilterter Port bedeutet häufig: Firewall oder Paketfilter blockiert. Typisches Verhalten: Timeout keine klare Antwort Verbindung hängt Merksatz: Gefiltert = oft Firewall im Weg. Firewall-Regeln auf Schicht 4 Firewalls nutzen häufig Ports. Eine vollständige Regel enthält idealerweise: - Quelle - Ziel - Protokoll - Port - Richtung - Aktion - Kommentar oder Zweck Beispiel: Quelle: Mitarbeiter-Netz Ziel: Internet Protokoll: TCP Port: 443 Aktion: erlauben Merksatz: Firewall-Regel = Quelle, Ziel, Protokoll, Port, Aktion. Portweiterleitung Portweiterleitung bedeutet: Ein externer Port wird an ein internes Ziel weitergeleitet. Beispiel: öffentlich: 93.184.100.10:443 intern: 192.168.10.50:443 Wichtig: Protokoll muss stimmen. Ziel-IP muss stimmen. Dienst muss laufen. Firewall muss erlauben. Merksatz: Portweiterleitung braucht richtige IP, richtigen Port, richtiges Protokoll und laufenden Dienst. NAT/PAT und Ports PAT nutzt Ports, um Verbindungen zu unterscheiden. Beispiel: Intern Extern 192.168.10.20:52344 93.184.100.10:40001 192.168.10.30:52344 93.184.100.10:40002 Dadurch können mehrere interne Geräte dieselbe öffentliche IP-Adresse nutzen. Merksatz: PAT unterscheidet Verbindungen über Ports. TCP und UDP bei NAT/PAT Bei TCP kann ein NAT-Gerät Verbindungszustände gut verfolgen. Bei UDP gibt es keinen echten Verbindungsaufbau. Deshalb arbeitet NAT bei UDP häufig mit Zeitfenstern und Zuordnungstabellen. Wenn eine Zuordnung abläuft, können Antworten verloren gehen. Merksatz: NAT verfolgt TCP leichter als UDP. Ping und Porttest unterscheiden Ping nutzt ICMP. ICMP nutzt keine TCP- oder UDP-Ports. Deshalb gilt: Ping prüft IP-Erreichbarkeit, aber keinen Dienst-Port. Beispiel: Ping funktioniert. Das beweist nicht: TCP 443 ist offen. Merksatz: Ping prüft Schicht 3. Porttest prüft Schicht 4. Typische Schicht-4-Fehler Typische Fehler sind: - falscher Port - falsches Protokoll TCP oder UDP - Dienst läuft nicht - Dienst lauscht auf falscher IP - Dienst lauscht nur auf localhost - Firewall blockiert - TCP-Handshake scheitert - RST - Timeout - Portweiterleitung falsch - NAT/PAT-Zuordnung fehlt - Rückweg fehlt - UDP-Antwort kommt nicht zurück Merksatz: Schicht-4-Fehler betreffen Transport zum Dienst. Fehlerbild: Ping geht, Dienst nicht Beispiel: ping server funktioniert. HTTPS funktioniert nicht. Mögliche Ursachen: - TCP 443 geschlossen - Firewall blockiert TCP 443 - Webserver läuft nicht - Webserver hört auf anderem Port - TLS- oder Anwendungsproblem - Reverse Proxy falsch Merksatz: Ping geht, Dienst nicht: Schicht 4 und 7 prüfen. Fehlerbild: TCP-Handshake scheitert Der TCP-Handshake lautet: SYN SYN-ACK ACK Wenn der Handshake nicht vollständig ist, entsteht keine TCP-Verbindung. Mögliche Ursachen: - Dienst lauscht nicht - Firewall blockiert - Rückroute fehlt - NAT falsch - Server lehnt ab - Netzwerkverlust Merksatz: Kein vollständiger Handshake = keine TCP-Verbindung. Fehlerbild: RST RST bedeutet: Reset Ein RST bricht eine TCP-Verbindung sofort ab. Mögliche Ursachen: - Port geschlossen - Dienst lehnt Verbindung ab - Firewall sendet Reset - Anwendung bricht ab - falsches Protokoll Merksatz: RST = aktiver TCP-Abbruch. Fehlerbild: Timeout Timeout bedeutet: Eine erwartete Antwort kommt nicht rechtzeitig. Mögliche Ursachen: - Firewall verwirft still - Server antwortet nicht - Rückweg fehlt - NAT-Zuordnung fehlt - falsches Ziel - Paketverlust Merksatz: Timeout = keine rechtzeitige Antwort. Fehlerbild: UDP antwortet nicht UDP hat keinen Handshake. Wenn keine Antwort kommt, kann das bedeuten: - Dienst läuft nicht - UDP-Port falsch - Firewall blockiert - Anfrage ungültig - Antwortweg fehlt - NAT-Zuordnung abgelaufen - Paketverlust Merksatz: UDP braucht Anfrage-Antwort-Prüfung. Schicht 4 oder Schicht 7? Beobachtung eher Ursache TCP-Verbindung kommt nicht zustande Schicht 4 / Firewall TCP-Port offen, aber Login scheitert Anwendung / Authentifizierung TCP 443 offen, aber Zertifikatsfehler Darstellung / Anwendung DNS-Port erreichbar, aber falsche Antwort DNS-Konfiguration Webserver antwortet mit Fehler 500 Anwendung SSH-Port offen, aber Schlüssel abgelehnt Benutzer / Schlüssel / Rechte Merksatz: Port erreichbar bedeutet: Transport ist möglich, Anwendung muss trotzdem geprüft werden. Was Schicht 4 nicht macht Schicht 4 macht nicht: - IP-Adressen vergeben - Routing zwischen Netzen durchführen - MAC-Adressen auflösen - DNS-Namen auflösen - Webseiten bereitstellen - Benutzer authentifizieren - Zertifikate prüfen - Inhalte interpretieren - Dateirechte verwalten Merksatz: Schicht 4 transportiert, interpretiert aber keine Anwendung. Prüfungswissen: wichtigste Zuordnungen Begriff richtige Einordnung TCP Schicht 4 UDP Schicht 4 Port Schicht 4 TCP-Handshake Schicht 4 Segment TCP auf Schicht 4 Datagramm UDP auf Schicht 4 Socket Schicht 4 mit IP-Bezug ICMP Schicht 3 IP-Adresse Schicht 3 Routing Schicht 3 DNS Schicht 7, nutzt TCP/UDP 53 HTTP Schicht 7, nutzt TCP 80 HTTPS Schicht 7, nutzt TCP 443 DHCP Schicht 7, nutzt UDP 67/68 Merksatz: TCP, UDP und Ports = Schicht 4. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Transportschicht? - Was ist TCP? - Was ist UDP? - Was ist der Unterschied zwischen TCP und UDP? - Was bedeutet verbindungsorientiert? - Was bedeutet verbindungslos? - Wie funktioniert der TCP-Drei-Wege-Handshake? - Was ist ein Port? - Warum braucht man Ports? - Was ist ein Socket? - Welche Portbereiche gibt es? - Welche Standardports sollte man kennen? - Warum nutzt DNS TCP und UDP? - Warum nutzt DHCP UDP? - Warum reicht Ping nicht als Diensttest? - Was bedeutet offener, geschlossener oder gefilterter Port? - Warum muss eine Firewall TCP und UDP unterscheiden? Typische Prüfungsfallen TCP gehört zu Schicht 4. UDP gehört zu Schicht 4. Ports gehören zu Schicht 4. ICMP nutzt keine Ports. Ping ist kein Porttest. TCP ist verbindungsorientiert. UDP ist verbindungslos. TCP-Handshake = SYN, SYN-ACK, ACK. TCP nutzt Segmente. UDP nutzt Datagramme. TCP-Port und UDP-Port sind getrennt. Gleiche Portnummer bedeutet nicht gleiches Protokoll. DNS nutzt UDP 53 und TCP 53. DHCP nutzt UDP 67 und 68. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. SSH nutzt TCP 22. RDP nutzt TCP 3389. Offener Port heißt nicht automatisch: Anwendung funktioniert. Geschlossener Port heißt nicht: Gerät offline. Gefilterter Port heißt oft: Firewall im Weg. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Transportschicht OSI-Schicht 4 TCP zuverlässiges, verbindungsorientiertes Transportprotokoll UDP verbindungsloses Transportprotokoll Port logische Dienstnummer TCP-Port Dienstnummer für TCP UDP-Port Dienstnummer für UDP Socket IP-Adresse plus Port Segment TCP-Dateneinheit Datagramm UDP-Dateneinheit SYN Start des TCP-Verbindungsaufbaus SYN-ACK Antwort und Bestätigung auf SYN ACK Bestätigung RST sofortiger TCP-Abbruch FIN geordneter TCP-Abbau Timeout Antwort bleibt zu lange aus Retransmission erneute Übertragung LISTEN Dienst wartet auf Verbindung ESTABLISHED Verbindung besteht Well-Known Port Port 0 bis 1023 Ephemeral Port temporärer Client-Port Portweiterleitung externer Port wird intern weitergeleitet gefilterter Port Firewall oder Paketfilter blockiert IHK-sichere Gesamtformulierung Die Transportschicht ist Schicht 4 des OSI-Modells. Sie sorgt für den Transport von Daten zwischen Anwendungen auf Endgeräten. Dafür werden vor allem TCP, UDP und Ports verwendet. TCP ist verbindungsorientiert und zuverlässig, baut eine Verbindung über SYN, SYN-ACK und ACK auf und nutzt Bestätigungen, Sequenznummern und erneute Übertragung. UDP ist verbindungslos, schlanker und bietet keine eingebaute Zustellgarantie. Ports dienen dazu, Dienste auf einem Gerät zu unterscheiden. Eine IP-Adresse zeigt zum Gerät, der Port zeigt zum Dienst. TCP- und UDP-Ports sind getrennt zu betrachten. Wichtigste Merksätze Schicht 4 = Transportschicht. Schicht 4 = TCP, UDP und Ports. IP bringt zum Gerät. Port bringt zum Dienst. Port = logische Dienstnummer. Switch-Port ist physisch. TCP-Port ist logisch. TCP = verbindungsorientiert. UDP = verbindungslos. TCP = zuverlässig. UDP = schlank und schnell. TCP-Handshake = SYN, SYN-ACK, ACK. TCP nutzt ACKs. TCP nutzt Sequenznummern. TCP kann erneut übertragen. TCP stellt Reihenfolge sicher. UDP hat keinen Handshake. UDP bietet keine eingebaute Zustellgarantie. TCP = Segment. UDP = Datagramm. Portnummern gehen von 0 bis 65535. Well-Known Ports = 0 bis 1023. Ephemeral Ports = temporäre Client-Ports. Ziel-Port zeigt den Dienst. Quell-Port hilft bei der Rückzuordnung. Socket = IP-Adresse plus Port. HTTP = TCP 80. HTTPS = TCP 443. SSH = TCP 22. DNS = UDP 53 und TCP 53. DHCP = UDP 67 und 68. NTP = UDP 123. RDP = TCP 3389. Ping nutzt ICMP, nicht TCP oder UDP. Ping ist kein Porttest. IP erreichbar = Schicht 3. Port erreichbar = Schicht 4. Anwendung korrekt = höhere Schicht. Offener Port heißt nicht automatisch sicher. Firewall-Regel braucht Quelle, Ziel, Protokoll und Port. Portweiterleitung braucht richtige IP, richtigen Port und richtiges Protokoll. 8. OSI-Schicht 5 – Sitzungsschicht 8.1 OSI-Schicht 5 – Sitzungsschicht Die Sitzungsschicht ist Schicht 5 des OSI-Modells. Sie liegt zwischen: Schicht 4: Transportschicht und Schicht 6: Darstellungsschicht Die Hauptaufgabe von Schicht 5 ist: Sitzungen zwischen Kommunikationspartnern aufbauen, verwalten und beenden. Dabei geht es vor allem um: - Sitzungen - Dialogsteuerung - Verbindungsverwaltung auf Sitzungsebene - Wiederaufnahme von Sitzungen - Synchronisationspunkte - geordnete Kommunikation zwischen Anwendungen Merksatz: Schicht 5 = Sitzungen zwischen Anwendungen verwalten. Grundidee von Schicht 5 Schicht 4 transportiert Daten mit TCP oder UDP. Schicht 5 organisiert die logische Sitzung zwischen Anwendungen. Eine Sitzung ist dabei eine zusammenhängende Kommunikationsbeziehung. Beispiel: Benutzer meldet sich an einem Dienst an. Der Dienst merkt sich: Dieser Benutzer gehört zu dieser Sitzung. Solange die Sitzung besteht, kann der Benutzer weiterarbeiten. Merksatz: Schicht 4 transportiert. Schicht 5 verwaltet die Sitzung. Was ist eine Sitzung? Eine Sitzung ist ein zusammenhängender Kommunikationsabschnitt zwischen zwei Systemen oder Anwendungen. Beispiele: - Benutzer ist an einer Webanwendung angemeldet - Remote-Verbindung ist aktiv - Dateiübertragung läuft - Datenbankverbindung besteht - Videokonferenz ist verbunden - Anwendung merkt sich den Zustand eines Benutzers Merksatz: Sitzung = zusammenhängende Kommunikationsbeziehung. Warum braucht man Sitzungen? Viele Anwendungen müssen wissen: Wer kommuniziert gerade? Ist der Benutzer angemeldet? Welche Aktion gehört zu welcher Verbindung? Welche Daten gehören zusammen? Wo wurde eine Übertragung unterbrochen? Kann eine Sitzung wieder aufgenommen werden? Ohne Sitzungsverwaltung müsste jede Anfrage komplett unabhängig betrachtet werden. Merksatz: Sitzungen helfen, zusammengehörige Kommunikation zu verwalten. Einordnung im OSI-Modell OSI-Schicht Name Aufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Darstellung, Codierung, Verschlüsselung 5 Sitzungsschicht Sitzungen aufbauen, verwalten und beenden 4 Transportschicht TCP, UDP, Ports 3 Vermittlungsschicht / Netzwerkschicht IP, Routing 2 Sicherungsschicht Frames, MAC, VLAN 1 Bitübertragungsschicht Bits, Signale Merksatz: Schicht 5 liegt über TCP/UDP und unter Darstellung und Anwendung. Sitzungsschicht im Prüfungsverständnis Die Sitzungsschicht ist in modernen Netzwerken nicht immer klar als eigenes Protokoll sichtbar. Viele Aufgaben der Sitzungsschicht werden heute durch Anwendungen, Bibliotheken oder Protokolle höherer Schichten übernommen. Trotzdem ist die Grundidee wichtig: Sitzungen starten, Sitzungen steuern, Sitzungen aufrechterhalten, Sitzungen beenden. Merksatz: Schicht 5 ist im Alltag oft weniger sichtbar, aber für das OSI-Verständnis wichtig. Schicht 4 und Schicht 5 unterscheiden Thema Schicht TCP-Verbindung 4 UDP-Datagramm 4 Portnummer 4 Verbindungsaufbau mit SYN, SYN-ACK, ACK 4 Benutzer-Sitzung 5 / 7-Bezug Session-ID 5 / 7-Bezug Anmeldung bleibt erhalten 5 / 7-Bezug Sitzungswiederaufnahme 5 / 6 / 7-Bezug Merksatz: TCP-Verbindung ist nicht automatisch dasselbe wie Benutzersitzung. TCP-Verbindung ist nicht gleich Sitzung Eine TCP-Verbindung ist eine Transportverbindung auf Schicht 4. Eine Sitzung ist eine logische Kommunikationsbeziehung auf Schicht 5 oder höher. Beispiel Webanwendung: TCP-Verbindung wird aufgebaut. HTTPS-Anfrage wird gesendet. Benutzer bleibt durch Session-Cookie angemeldet. Die Benutzersitzung kann länger bestehen als eine einzelne TCP-Verbindung. Merksatz: TCP verbindet technisch. Sitzung hält den logischen Zusammenhang. Beispiel: Webanmeldung Ein Benutzer meldet sich an einer Webseite an. Ablauf vereinfacht: 1. Benutzer öffnet Webseite. 2. Verbindung wird aufgebaut. 3. Benutzer gibt Zugangsdaten ein. 4. Server prüft Anmeldung. 5. Server erstellt eine Sitzung. 6. Browser erhält eine Session-ID oder ein Token. 7. Weitere Anfragen werden der Sitzung zugeordnet. Dadurch bleibt der Benutzer angemeldet. Merksatz: Websitzungen sorgen dafür, dass ein Benutzer wiedererkannt wird. Session-ID Eine Session-ID ist eine Kennung für eine Sitzung. Sie hilft dem Server, Anfragen einer bestimmten Sitzung zuzuordnen. Beispiel: Anfrage 1: Benutzer meldet sich an. Anfrage 2: Benutzer öffnet eine geschützte Seite. Der Server erkennt anhand der Session-ID: Diese Anfrage gehört zur angemeldeten Sitzung. Merksatz: Session-ID = Kennung einer Sitzung. Session-Cookie Bei Webanwendungen wird eine Session-ID häufig in einem Cookie gespeichert. Der Browser sendet dieses Cookie bei weiteren Anfragen mit. Dadurch erkennt der Server die Sitzung wieder. Wichtig: Cookies gehören fachlich eher zur Anwendungsschicht, erfüllen aber eine typische Sitzungsfunktion. Merksatz: Session-Cookie hilft, eine Websitzung wiederzuerkennen. Token Ein Token kann ebenfalls zur Sitzungs- oder Zugriffserkennung genutzt werden. Beispiele: - Session-Token - Access Token - Refresh Token - API-Token Ein Token kann dem Server zeigen: Wer fragt an? Welche Rechte hat diese Anfrage? Ist die Sitzung noch gültig? Merksatz: Token können Sitzungs- und Zugriffsinformationen tragen. Sitzung aufbauen Eine Sitzung wird aufgebaut, wenn zwei Kommunikationspartner eine zusammenhängende Kommunikation beginnen. Beispiele: - Benutzer meldet sich an - Remote-Sitzung wird gestartet - Datenbankclient verbindet sich - Dateiübertragung beginnt - Videokonferenz wird betreten Merksatz: Sitzungsaufbau = Beginn einer logischen Kommunikation. Sitzung verwalten Während einer Sitzung müssen Zustände verwaltet werden. Beispiele: - Benutzer ist angemeldet - Warenkorb enthält Artikel - Dateiübertragung ist bei 60 Prozent - Remote-Desktop-Sitzung ist aktiv - Datenbanktransaktion läuft - Videokonferenzteilnehmer sind verbunden Merksatz: Sitzungsverwaltung merkt sich den Zustand einer Kommunikation. Sitzung beenden Eine Sitzung kann geordnet beendet werden. Beispiele: - Benutzer meldet sich ab - Remote-Verbindung wird geschlossen - Dateiübertragung ist abgeschlossen - Anwendung beendet Verbindung - Sitzung läuft wegen Inaktivität ab Merksatz: Sitzungsende = Kommunikation wird logisch abgeschlossen. Timeout Ein Timeout beendet eine Sitzung nach einer bestimmten Zeit ohne Aktivität. Beispiel: Benutzer ist 30 Minuten inaktiv. Webanwendung meldet den Benutzer automatisch ab. Warum ist das sinnvoll? - Sicherheit - Ressourcenschonung - Schutz vor vergessenen Anmeldungen Merksatz: Timeout beendet inaktive Sitzungen automatisch. Sitzungswiederaufnahme Manche Systeme können eine Sitzung nach einer Unterbrechung wieder aufnehmen. Beispiele: - Remote-Desktop-Sitzung reconnect - VPN-Verbindung stellt Sitzung wieder her - Dateiübertragung wird fortgesetzt - TLS-Sitzung wird wiederverwendet - Webanwendung nutzt gespeichertes Token Merksatz: Sitzungswiederaufnahme spart Zeit und erhält Zustand. Synchronisationspunkte Synchronisationspunkte helfen, eine Übertragung an bestimmten Stellen abzusichern. Wenn eine Unterbrechung passiert, muss nicht immer von vorne begonnen werden. Beispiel: Eine große Datei wird übertragen. Nach einer Unterbrechung wird ab einem bestimmten Punkt fortgesetzt. Im OSI-Modell wird diese Idee der Sitzungsschicht zugeordnet. Merksatz: Synchronisationspunkte helfen bei Wiederaufnahme nach Unterbrechung. Dialogsteuerung Dialogsteuerung bedeutet: Wer darf wann senden? Wie wird die Kommunikation koordiniert? Gibt es einen geordneten Ablauf? Beispiele: - Anfrage und Antwort - abwechselnde Kommunikation - gleichzeitiger Austausch - Steuerung einer Remote-Sitzung Merksatz: Dialogsteuerung organisiert den Ablauf einer Kommunikation. Halbduplex und Vollduplex als Denkmodell Bei der Dialogsteuerung kann man sich vereinfacht vorstellen: Halbduplex: Kommunikation abwechselnd Vollduplex: Kommunikation gleichzeitig in beide Richtungen Diese Begriffe wurden schon bei unteren Schichten verwendet, können aber auch als Denkmodell für Dialogabläufe helfen. Merksatz: Dialogsteuerung regelt, wie Kommunikationspartner miteinander sprechen. Sitzungen bei Remote Desktop Bei Remote Desktop gibt es eine Benutzersitzung. Beispiel: Benutzer verbindet sich per RDP. Desktop-Sitzung wird gestartet. Programme laufen innerhalb dieser Sitzung. Verbindung kann getrennt werden. Sitzung kann später wieder verbunden werden. Wichtig: Die Benutzersitzung kann weiter bestehen, obwohl die Netzwerkverbindung kurz getrennt wurde. Merksatz: Remote-Sitzung kann länger leben als die einzelne Verbindung. Sitzungen bei SSH Bei SSH gibt es ebenfalls eine Sitzung. Beispiele: - Shell-Sitzung - Kommandoausführung - SFTP-Sitzung - Tunnel Wenn die SSH-Verbindung beendet wird, endet normalerweise auch die Sitzung. Mit zusätzlichen Werkzeugen können Sitzungen erhalten bleiben. Beispiele: - tmux - screen Merksatz: SSH-Verbindung und Arbeitssitzung hängen oft eng zusammen. Sitzungen bei Datenbanken Datenbankverbindungen nutzen Sitzungszustände. Beispiele: - angemeldeter Benutzer - aktive Transaktion - temporäre Tabellen - gesetzte Rollen - aktuelle Datenbank - Session-Variablen Wenn die Sitzung endet, gehen manche sitzungsbezogenen Zustände verloren. Merksatz: Datenbanksitzungen speichern Kontext für die Verbindung. Sitzungen bei Webanwendungen Webanwendungen nutzen Sitzungen, obwohl HTTP ursprünglich zustandslos ist. Zustandslos bedeutet: Jede Anfrage ist zunächst unabhängig. Damit ein Benutzer angemeldet bleiben kann, nutzt man zum Beispiel: - Cookies - Session-IDs - Tokens - serverseitige Sitzungsdaten Merksatz: Websitzungen machen zustandslose Anfragen zusammenhängend. HTTP ist zustandslos HTTP behandelt einzelne Anfragen grundsätzlich unabhängig. Beispiel: Anfrage 1: Login-Seite öffnen Anfrage 2: Passwort senden Anfrage 3: Dashboard öffnen Ohne Sitzungsmechanismus wüsste der Server bei Anfrage 3 nicht automatisch, dass der Benutzer bereits angemeldet ist. Merksatz: HTTP ist zustandslos, Sitzungen schaffen Zusammenhang. Session-State Session-State bedeutet: Zustand einer Sitzung Beispiele: - Benutzer-ID - Rollen und Rechte - Warenkorb - Spracheinstellung - Login-Status - letzter Zugriff - CSRF-Token Session-State kann serverseitig oder clientseitig unterstützt werden. Merksatz: Session-State = gespeicherter Zustand einer Sitzung. Sitzung und Authentifizierung Sitzungen hängen oft mit Authentifizierung zusammen. Authentifizierung bedeutet: Wer bist du? Nach erfolgreicher Anmeldung wird häufig eine Sitzung erstellt. Danach muss der Benutzer nicht bei jeder Anfrage Benutzername und Passwort neu senden. Merksatz: Anmeldung startet oft eine Sitzung. Sitzung und Autorisierung Autorisierung bedeutet: Was darfst du? Eine Sitzung kann Informationen enthalten oder referenzieren wie: - Benutzerrolle - Berechtigungen - Gruppenmitgliedschaft - Zugriffsebene Beispiel: Benutzer ist angemeldet, darf aber nicht in den Adminbereich. Merksatz: Authentifizierung prüft Identität. Autorisierung prüft Rechte. Sitzung und Sicherheit Sitzungen müssen geschützt werden. Wichtige Risiken: - Session-Hijacking - Session-Fixation - gestohlene Cookies - zu lange Sitzungsdauer - fehlender Logout - unsichere Tokens - fehlende HTTPS-Verschlüsselung Merksatz: Wer eine Sitzung übernimmt, kann oft wie der Benutzer handeln. Session-Hijacking Session-Hijacking bedeutet: Ein Angreifer übernimmt eine gültige Sitzung. Mögliche Ursachen: - gestohlenes Session-Cookie - unsichere Verbindung - Schadsoftware - XSS-Angriff - unsichere Token-Speicherung Schutzmaßnahmen: - HTTPS verwenden - sichere Cookie-Attribute - kurze Lebensdauer sensibler Sitzungen - erneute Anmeldung bei kritischen Aktionen - Logout ermöglichen - Schutz vor XSS Merksatz: Session-Hijacking = Übernahme einer gültigen Sitzung. Session-Fixation Session-Fixation bedeutet: Ein Angreifer bringt einen Benutzer dazu, eine vorher bekannte Session-ID zu verwenden. Wenn sich der Benutzer dann anmeldet, kennt der Angreifer die Sitzung bereits. Schutzmaßnahme: Session-ID nach erfolgreichem Login erneuern. Merksatz: Nach Login sollte eine neue Session-ID vergeben werden. Sichere Cookies Bei Websitzungen sind sichere Cookie-Einstellungen wichtig. Beispiele: Secure: Cookie nur über HTTPS senden. HttpOnly: JavaScript soll Cookie nicht auslesen können. SameSite: Schutz gegen bestimmte Cross-Site-Angriffe. Merksatz: Sichere Cookies schützen Websitzungen. Logout Ein Logout beendet eine Sitzung bewusst. Dabei sollte die Sitzung auf dem Server ungültig gemacht werden. Nur das Browserfenster zu schließen reicht nicht immer. Wichtig: Nach Logout sollte die Session-ID nicht mehr gültig sein. Merksatz: Logout sollte die Sitzung serverseitig beenden. Session-Timeout und Sicherheit Ein Session-Timeout reduziert Risiken durch vergessene Sitzungen. Beispiel: Benutzer bleibt an einem öffentlichen PC angemeldet. Nach Inaktivität wird die Sitzung automatisch beendet. Für kritische Systeme sind kürzere Timeouts sinnvoll. Merksatz: Timeout schützt vor dauerhaft offenen Sitzungen. Keepalive Keepalive-Mechanismen können Verbindungen oder Sitzungen aktiv halten. Beispiele: - Anwendung sendet regelmäßig kleine Nachrichten - Server prüft, ob Client noch verbunden ist - Verbindung wird nicht wegen Inaktivität geschlossen Wichtig: Keepalive kann sinnvoll sein, aber auch Ressourcen verbrauchen. Merksatz: Keepalive hält Kommunikation aktiv. Sitzung und TLS TLS gehört eher zu Schicht 6 beziehungsweise zwischen Transport und Anwendung. Trotzdem gibt es bei TLS Sitzungsmechanismen. Beispiele: - TLS Session Resumption - Wiederverwendung von Schlüsselinformationen - schnellerer erneuter Verbindungsaufbau Merksatz: TLS kann Sitzungen wieder aufnehmen, gehört aber nicht rein zu Schicht 5. Warum Schicht 5 oft schwer abzugrenzen ist In der Praxis werden die OSI-Schichten 5, 6 und 7 oft gemeinsam betrachtet. Viele moderne Protokolle und Anwendungen übernehmen mehrere Aufgaben gleichzeitig. Beispiel HTTPS: TCP: Transport auf Schicht 4 TLS: Verschlüsselung und Darstellungsschutz HTTP: Anwendung Cookies / Tokens: Sitzungsverwaltung Merksatz: Schicht 5 ist in modernen Protokollen oft in Anwendungen integriert. Typische Protokolle mit Sitzungsbezug Beispiel Sitzungsbezug NetBIOS Session Service klassische Sitzungskommunikation RPC entfernte Funktionsaufrufe mit Kommunikationskontext SMB Datei- und Freigabesitzungen RDP Remote-Desktop-Sitzung SSH Shell- oder SFTP-Sitzung Datenbankverbindung angemeldeter Datenbankkontext Webanwendung Session-ID, Cookie oder Token Merksatz: Sitzungsfunktionen können in vielen Protokollen stecken. SMB und Sitzungen SMB wird für Datei- und Druckerfreigaben verwendet. Dabei gibt es sitzungsähnliche Zustände. Beispiele: - Benutzer authentifiziert sich - Zugriff auf Freigabe wird aufgebaut - Dateien werden geöffnet - Berechtigungen werden geprüft - Sitzung wird beendet Merksatz: Dateifreigaben brauchen Sitzungs- und Zugriffskontext. RPC und Sitzungen RPC steht für: Remote Procedure Call Damit kann ein Programm Funktionen auf einem entfernten System aufrufen. Dabei kann ein Kommunikationskontext entstehen. Beispiele: - Windows-Dienste - Verwaltungsfunktionen - verteilte Anwendungen Merksatz: RPC ermöglicht entfernte Funktionsaufrufe mit Kommunikationskontext. Schicht 5 und Fehlersuche Typische Fragen bei Sitzungsproblemen: Wird die Sitzung aufgebaut? Bleibt die Sitzung bestehen? Wird der Benutzer abgemeldet? Läuft die Sitzung wegen Timeout ab? Wird die Session-ID korrekt übertragen? Werden Cookies blockiert? Wird ein Token ungültig? Geht die Sitzung nach Verbindungswechsel verloren? Gibt es Load-Balancer-Probleme? Wird die Sitzung auf dem richtigen Server gespeichert? Merksatz: Sitzungsprobleme zeigen sich oft als unerwartete Abmeldung oder verlorener Zustand. Fehlerbild: Benutzer wird ständig abgemeldet Mögliche Ursachen: - Session-Cookie wird nicht gespeichert - Cookie wird blockiert - Session-Timeout zu kurz - Server verliert Session-State - Load Balancer verteilt ohne Session-Stickiness - falsche Domain oder falscher Pfad im Cookie - Zeitproblem zwischen Systemen - Anwendung invalidiert Sitzung Merksatz: Ständige Abmeldung deutet oft auf Sitzungs- oder Cookie-Probleme hin. Fehlerbild: Warenkorb ist plötzlich leer Bei Webshops kann der Warenkorb Teil der Sitzung sein. Mögliche Ursachen: - Session-ID verloren - Cookie gelöscht - serverseitige Sitzung abgelaufen - Benutzer wechselt Gerät oder Browser - Load-Balancer-Problem - Anwendung speichert Zustand falsch Merksatz: Verlorener Warenkorb kann verlorene Sitzung bedeuten. Fehlerbild: Nach Login wieder auf Login-Seite Mögliche Ursachen: - Session-Cookie wird nicht gesetzt - Cookie wird nicht zurückgesendet - HTTPS/HTTP-Wechsel stört Cookie - falsche Domain im Cookie - SameSite-Problem - Server speichert Sitzung nicht - Uhrzeit oder Token-Gültigkeit falsch Merksatz: Login-Schleife ist oft ein Sitzungsproblem. Fehlerbild: Remote-Sitzung bricht ab Mögliche Ursachen: - Netzwerkunterbrechung - Timeout - Server beendet Sitzung - Lizenz- oder Ressourcenproblem - Firewall trennt inaktive Verbindung - VPN verliert Verbindung - Keepalive fehlt Merksatz: Remote-Sitzungsabbrüche können Netzwerk- oder Sitzungsursachen haben. Fehlerbild: Load Balancer und Sitzungen Bei mehreren Webservern kann ein Load Balancer Anfragen verteilen. Problem: Anfrage 1 geht an Server A. Anfrage 2 geht an Server B. Wenn die Sitzung nur auf Server A gespeichert ist, kennt Server B den Benutzer nicht. Lösungen: - Session-Stickiness - zentrale Session-Datenbank - verteiltes Cache-System - stateless Token Merksatz: Bei mehreren Servern muss der Session-State sauber geplant sein. Session-Stickiness Session-Stickiness bedeutet: Ein Benutzer wird während einer Sitzung möglichst immer zum gleichen Server geleitet. Das hilft, wenn Sitzungsdaten lokal auf einem Server gespeichert sind. Nachteil: Lastverteilung wird weniger flexibel. Serverausfall kann Sitzungen betreffen. Merksatz: Session-Stickiness bindet eine Sitzung an einen Server. Stateful und Stateless Stateful bedeutet: Ein System merkt sich Zustand. Stateless bedeutet: Jede Anfrage enthält alle nötigen Informationen oder wird unabhängig verarbeitet. Beispiel stateful: Server speichert Session-Daten. Beispiel stateless: Token enthält relevante Informationen, Server muss keine klassische Sitzung speichern. Merksatz: Stateful speichert Zustand. Stateless vermeidet serverseitigen Sitzungszustand. Sitzungsschicht und Datenschutz Sitzungen können sensible Informationen enthalten. Beispiele: - Benutzerkennung - Rollen - Anmeldestatus - Zugriffstoken - Kundendaten - Warenkorb - Arbeitsstand Deshalb müssen Sitzungsdaten geschützt werden. Merksatz: Sitzungsdaten können sicherheits- und datenschutzrelevant sein. Was Schicht 5 nicht macht Schicht 5 macht nicht: - Bits über Kabel übertragen - MAC-Adressen im LAN verwenden - IP-Pakete routen - TCP-Ports öffnen - Daten verschlüsseln - Zeichencodierung umwandeln - konkrete Anwendungslogik vollständig bereitstellen Diese Aufgaben liegen auf anderen Schichten. Merksatz: Schicht 5 verwaltet Sitzungen, aber transportiert nicht selbst wie TCP. Einordnung in das OSI-Modell Thema Schicht Kabel, Signal 1 MAC-Adresse, Frame 2 IP-Adresse, Routing 3 TCP, UDP, Port 4 Sitzung, Session-ID, Dialogsteuerung 5 Codierung, Verschlüsselung, Kompression 6 HTTP, DNS, SMTP, Anwendung 7 Merksatz: Sitzung = Schicht 5. Port = Schicht 4. Anwendung = Schicht 7. Schicht 5, 6 und 7 gemeinsam verstehen Die oberen OSI-Schichten sind in der Praxis oft eng miteinander verbunden. Schicht Grundidee 5 Sitzung verwalten 6 Daten darstellen, codieren, verschlüsseln 7 Anwendung und Netzwerkdienst Beispiel Web: Sitzung: Login-Status und Session-Cookie Darstellung: TLS, Zeichencodierung, Datenformat Anwendung: HTTP, Webseite, API Merksatz: Schicht 5 bis 7 arbeiten in modernen Anwendungen oft zusammen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Sitzungsschicht? - Was ist eine Sitzung? - Warum sind Sitzungen für Anwendungen wichtig? - Was ist eine Session-ID? - Was ist ein Session-Cookie? - Was bedeutet Timeout? - Was ist Sitzungswiederaufnahme? - Was bedeutet Dialogsteuerung? - Warum ist HTTP ohne Zusatzmechanismen zustandslos? - Warum kann ein Benutzer ständig abgemeldet werden? - Warum ist Sitzungsverwaltung sicherheitsrelevant? - Was ist der Unterschied zwischen TCP-Verbindung und Anwendungssitzung? Typische Prüfungsfallen Schicht 5 heißt Sitzungsschicht. Schicht 5 verwaltet Sitzungen. Eine TCP-Verbindung ist Schicht 4. Eine Benutzersitzung ist nicht automatisch dasselbe wie eine TCP-Verbindung. HTTP ist grundsätzlich zustandslos. Websitzungen nutzen oft Cookies oder Tokens. Session-ID muss geschützt werden. Session-Hijacking bedeutet Übernahme einer Sitzung. Session-Fixation wird durch neue Session-ID nach Login verhindert. Timeout kann Sitzungen automatisch beenden. Load Balancer können Sitzungsprobleme verursachen. Schicht 5 ist in modernen Protokollen oft schwer getrennt sichtbar. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Sitzungsschicht OSI-Schicht 5 Sitzung zusammenhängende Kommunikationsbeziehung Session englischer Begriff für Sitzung Session-ID Kennung einer Sitzung Session-Cookie Cookie zur Wiedererkennung einer Websitzung Token Kennung oder Nachweis für Zugriff oder Sitzung Dialogsteuerung Steuerung des Kommunikationsablaufs Synchronisationspunkt Wiederaufnahmepunkt in einer Kommunikation Timeout automatische Beendigung nach Inaktivität Keepalive Mechanismus zum Aktivhalten Session-State gespeicherter Zustand einer Sitzung Session-Hijacking Übernahme einer gültigen Sitzung Session-Fixation Ausnutzung einer vorher bekannten Session-ID Session-Stickiness Bindung einer Sitzung an einen Server Stateful System speichert Zustand Stateless Anfragen werden ohne gespeicherten Zustand verarbeitet IHK-sichere Kurzformulierung Die Sitzungsschicht ist Schicht 5 des OSI-Modells. Sie ist für den Aufbau, die Verwaltung und das Beenden von Sitzungen zwischen Kommunikationspartnern zuständig. Eine Sitzung ist eine zusammenhängende Kommunikationsbeziehung, zum Beispiel eine angemeldete Websitzung, eine Remote-Desktop-Sitzung oder eine Datenbanksitzung. Die Sitzungsschicht kann Dialogsteuerung, Sitzungswiederaufnahme und Synchronisationspunkte unterstützen. In modernen Netzwerken sind Aufgaben der Sitzungsschicht oft in Anwendungen oder Protokolle höherer Schichten integriert, zum Beispiel durch Session-IDs, Cookies oder Tokens. Merksätze Schicht 5 = Sitzungsschicht. Sitzung = zusammenhängende Kommunikationsbeziehung. Schicht 4 transportiert. Schicht 5 verwaltet Sitzungen. TCP-Verbindung ist nicht automatisch Benutzersitzung. Session-ID = Kennung einer Sitzung. Session-Cookie erkennt Websitzung wieder. HTTP ist grundsätzlich zustandslos. Sitzungen schaffen Zusammenhang zwischen Anfragen. Timeout beendet inaktive Sitzungen. Keepalive hält Kommunikation aktiv. Synchronisationspunkte helfen bei Wiederaufnahme. Dialogsteuerung organisiert Kommunikation. Session-Hijacking = Sitzung übernommen. Session-Fixation = bekannte Session-ID wird missbraucht. Nach Login Session-ID erneuern. Logout sollte Sitzung serverseitig beenden. Load Balancer können Sitzungsprobleme verursachen. Stateful = Zustand wird gespeichert. Stateless = kein serverseitiger Sitzungszustand. Schicht 5 ist in modernen Protokollen oft in Anwendungen integriert. 9. OSI-Schicht 6 – Darstellungsschicht 9.1 OSI-Schicht 6 – Darstellungsschicht Die Darstellungsschicht ist Schicht 6 des OSI-Modells. Sie liegt zwischen: Schicht 5: Sitzungsschicht und Schicht 7: Anwendungsschicht Die Hauptaufgabe von Schicht 6 ist: Daten so darzustellen, umzuwandeln oder zu schützen, dass Anwendungen sie korrekt verstehen können. Dabei geht es vor allem um: - Datenformate - Zeichencodierung - Kompression - Verschlüsselung - Entschlüsselung - Datenumwandlung - Darstellung von Informationen Merksatz: Schicht 6 = Darstellung, Codierung, Kompression und Verschlüsselung. Grundidee von Schicht 6 Schicht 6 sorgt dafür, dass Daten in einer passenden Form vorliegen. Ein Sender kann Daten in einem bestimmten Format erzeugen. Der Empfänger muss diese Daten richtig interpretieren können. Beispiele: Text muss mit der richtigen Zeichencodierung gelesen werden. Bilder müssen im richtigen Dateiformat verstanden werden. Verschlüsselte Daten müssen entschlüsselt werden. Komprimierte Daten müssen entpackt werden. Merksatz: Schicht 6 kümmert sich darum, wie Daten dargestellt und interpretiert werden. Warum braucht man die Darstellungsschicht? Unterschiedliche Systeme können Daten unterschiedlich speichern oder darstellen. Beispiele: - Textcodierung - Zahlenformat - Dateiformat - Bildformat - Audioformat - Verschlüsselung - Kompression Damit Sender und Empfänger dieselben Daten gleich verstehen, braucht man Regeln für die Darstellung. Merksatz: Gleiche Daten müssen auf beiden Seiten gleich verstanden werden. Einordnung im OSI-Modell OSI-Schicht Name Aufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Darstellung, Codierung, Verschlüsselung 5 Sitzungsschicht Sitzungen aufbauen, verwalten und beenden 4 Transportschicht TCP, UDP, Ports 3 Vermittlungsschicht / Netzwerkschicht IP, Routing 2 Sicherungsschicht Frames, MAC, VLAN 1 Bitübertragungsschicht Bits, Signale Merksatz: Schicht 6 liegt zwischen Sitzung und Anwendung. Schicht 5, 6 und 7 unterscheiden Schicht Grundidee Beispiel 5 Sitzung verwalten Benutzer bleibt angemeldet 6 Daten darstellen oder umwandeln UTF-8, TLS, Kompression 7 Anwendung und Dienst HTTP, DNS, SMTP Merksatz: Schicht 5 = Sitzung. Schicht 6 = Darstellung. Schicht 7 = Anwendung. Darstellung bedeutet nicht Bildschirmdarstellung Der Begriff Darstellungsschicht wird manchmal falsch verstanden. Es geht nicht nur darum: was auf dem Bildschirm angezeigt wird. Es geht fachlich darum: wie Daten codiert, formatiert, komprimiert, verschlüsselt oder interpretiert werden. Beispiel: Ein Text kann gleich aussehen, aber intern unterschiedlich codiert sein. Merksatz: Darstellungsschicht meint Datenrepräsentation, nicht nur grafische Anzeige. Datenformate Ein Datenformat legt fest, wie Informationen aufgebaut sind. Beispiele: Datenart Beispiele Text TXT, HTML, XML, JSON Bild JPEG, PNG, GIF, SVG Audio WAV, MP3, AAC Video MP4, H.264, H.265 Dokument PDF, DOCX Archiv ZIP, 7z Wenn ein Empfänger das Format nicht versteht, kann er die Daten nicht korrekt verarbeiten. Merksatz: Datenformat = Regel, wie Daten aufgebaut sind. Beispiel: JSON JSON steht für: JavaScript Object Notation JSON wird häufig verwendet, um strukturierte Daten zwischen Anwendungen auszutauschen. Beispiel: { "name": "Felix", "rolle": "FISI", "aktiv": true } JSON ist besonders häufig bei: - APIs - Webanwendungen - Konfigurationsdaten - Datenaustausch zwischen Diensten Merksatz: JSON ist ein häufiges Datenformat für strukturierte Daten. Beispiel: XML XML steht für: Extensible Markup Language XML ist ein textbasiertes Format zur strukturierten Darstellung von Daten. Beispiel: Felix FISI XML wird unter anderem genutzt bei: - Schnittstellen - Konfigurationen - Dokumentenformaten - älteren Webservices Merksatz: XML ist ein strukturiertes Textformat. JSON und XML vergleichen Merkmal JSON XML Schreibweise kompakter ausführlicher Struktur Objekte und Arrays Tags und Elemente häufig bei Web-APIs ältere Schnittstellen, Dokumente Lesbarkeit meist einfach oft länger Datenaustausch sehr verbreitet weiterhin verbreitet Merksatz: JSON und XML sind Formate für strukturierten Datenaustausch. Zeichencodierung Zeichencodierung legt fest, wie Zeichen als Zahlen oder Bits gespeichert werden. Beispiele für Zeichen: A ä ß € 中 😊 Damit ein Computer diese Zeichen speichern kann, braucht er eine Codierung. Merksatz: Zeichencodierung übersetzt Zeichen in digitale Werte. ASCII ASCII ist eine ältere Zeichencodierung. ASCII umfasst grundlegende Zeichen wie: - englische Buchstaben - Ziffern - Satzzeichen - Steuerzeichen ASCII ist auf einfache englische Zeichen beschränkt. Deutsche Umlaute wie: ä ö ü ß sind in klassischem ASCII nicht enthalten. Merksatz: ASCII ist einfach, aber für viele Sprachen zu begrenzt. Unicode Unicode ist ein Standard, der Zeichen vieler Schriftsysteme abbilden kann. Dazu gehören zum Beispiel: - lateinische Zeichen - Umlaute - griechische Zeichen - kyrillische Zeichen - asiatische Schriftzeichen - Symbole - Emojis Unicode beschreibt, welche Zeichen es gibt und welche Nummer sie haben. Merksatz: Unicode ist ein großer Zeichensatz für viele Sprachen und Symbole. UTF-8 UTF-8 ist eine sehr verbreitete Codierung für Unicode-Zeichen. UTF-8 ist wichtig für: - Webseiten - Linux-Systeme - Konfigurationsdateien - APIs - Datenbanken - E-Mails Vorteil: UTF-8 kann sehr viele Zeichen darstellen und ist mit einfachem ASCII weitgehend kompatibel. Merksatz: UTF-8 ist die wichtigste moderne Zeichencodierung. Typisches Problem: falsche Zeichencodierung Wenn Text mit falscher Codierung interpretiert wird, entstehen fehlerhafte Zeichen. Beispiel: ä wird falsch angezeigt als: ä Mögliche Ursachen: - falsche Zeichencodierung - falscher HTTP-Header - falsche Datenbankcodierung - falsche Dateicodierung - falsche Import- oder Exporteinstellung Merksatz: Falsche Codierung führt zu Zeichenfehlern. Beispiel: Umlaute falsch dargestellt Fehlerbild: Müller wird angezeigt als: Müller Das deutet häufig auf ein Codierungsproblem hin. Mögliche Ursache: UTF-8-Daten werden als eine andere Codierung interpretiert. Prüfung: Dateicodierung prüfen. Datenbankcodierung prüfen. HTTP-Header prüfen. Anwendungseinstellung prüfen. Merksatz: Kaputte Umlaute sind oft ein Schicht-6-Thema. Kompression Kompression bedeutet: Daten werden verkleinert. Ziel: weniger Speicherplatz weniger Übertragungsvolumen schnellere Übertragung Beispiele: - ZIP - gzip - Brotli - JPEG - MP3 - H.264 Merksatz: Kompression reduziert Datenmenge. Verlustfreie Kompression Verlustfreie Kompression bedeutet: Die Originaldaten können vollständig wiederhergestellt werden. Beispiele: - ZIP - gzip - PNG - FLAC Typisch für: - Textdateien - Programme - Dokumente - Datenbanken - Quellcode Merksatz: Verlustfrei = nach dem Entpacken exakt wiederherstellbar. Verlustbehaftete Kompression Verlustbehaftete Kompression bedeutet: Daten werden verkleinert, aber ein Teil der ursprünglichen Informationen geht verloren. Beispiele: - JPEG - MP3 - AAC - H.264 - H.265 Typisch für: - Fotos - Musik - Videos Merksatz: Verlustbehaftet = kleiner, aber nicht mehr exakt original. Kompression im Web Webserver können Inhalte komprimiert senden. Beispiele: gzip Brotli Das reduziert die Datenmenge bei: - HTML - CSS - JavaScript - JSON - XML Der Browser entpackt die Daten wieder. Merksatz: Web-Kompression spart Bandbreite. Verschlüsselung Verschlüsselung bedeutet: Daten werden so umgewandelt, dass sie ohne passenden Schlüssel nicht lesbar sind. Ziele: - Vertraulichkeit - Schutz vor Mitlesen - Schutz sensibler Informationen Beispiele: - HTTPS - VPN - E-Mail-Verschlüsselung - Festplattenverschlüsselung Merksatz: Verschlüsselung schützt die Vertraulichkeit von Daten. Entschlüsselung Entschlüsselung bedeutet: Verschlüsselte Daten werden mit dem passenden Schlüssel wieder lesbar gemacht. Ohne passenden Schlüssel bleiben die Daten unverständlich. Merksatz: Entschlüsselung macht verschlüsselte Daten wieder lesbar. TLS TLS steht für: Transport Layer Security TLS wird unter anderem bei HTTPS verwendet. HTTPS bedeutet: HTTP über TLS TLS schützt unter anderem: - Vertraulichkeit - Integrität - Authentizität des Servers Typisches Beispiel: https://example.com Merksatz: HTTPS = HTTP mit TLS-Schutz. TLS und OSI-Schicht 6 TLS wird im OSI-Modell oft der Darstellungsschicht zugeordnet, weil es Daten verschlüsselt und entschlüsselt. In der Praxis liegt TLS zwischen Anwendung und Transport. Beispiel: HTTP → TLS → TCP → IP Wichtig für die Prüfung: TLS hat starken Bezug zu Schicht 6, weil Verschlüsselung und Darstellung betroffen sind. Merksatz: TLS schützt Daten zwischen Anwendung und Transport. TLS-Zertifikat Ein TLS-Zertifikat hilft dem Client zu prüfen, ob er mit dem richtigen Server spricht. Ein Zertifikat enthält unter anderem: - Domainname - öffentlicher Schlüssel - Aussteller - Gültigkeitszeitraum - Signatur der Zertifizierungsstelle Merksatz: Zertifikat hilft bei der Vertrauensprüfung des Servers. Typische Zertifikatsfehler Typische Fehler sind: - Zertifikat abgelaufen - Zertifikat gilt für falschen Namen - Zertifikat nicht vertrauenswürdig - Zwischenzertifikat fehlt - Uhrzeit am Client falsch - selbstsigniertes Zertifikat ohne Vertrauen - falsches Zertifikat auf dem Server Merksatz: Zertifikatsfehler sind oft Darstellungs- oder Anwendungsschicht-Themen. Beispiel: Name passt nicht zum Zertifikat Fehlerbild: Browser warnt vor Zertifikat. Mögliche Ursache: Zertifikat wurde ausgestellt für: server.local Aufgerufen wurde aber: wiki.firma.de Dann passt der Name nicht. Merksatz: Der aufgerufene Name muss zum Zertifikat passen. Beispiel: Zertifikat abgelaufen Ein Zertifikat hat einen Gültigkeitszeitraum. Wenn dieser überschritten ist, warnen Clients. Mögliche Ursache: Zertifikat wurde nicht rechtzeitig erneuert. Folge: Browser zeigt Warnung. API-Verbindungen können scheitern. Anwendungen verweigern Verbindung. Merksatz: Zertifikate müssen gültig und aktuell sein. Datenintegrität Integrität bedeutet: Daten wurden nicht unbemerkt verändert. TLS schützt nicht nur vor Mitlesen, sondern auch vor unbemerkter Manipulation während der Übertragung. Merksatz: Integrität = Daten bleiben unverändert. Authentizität Authentizität bedeutet: Die Gegenstelle ist die, für die sie sich ausgibt. Bei HTTPS prüft der Browser: Passt das Zertifikat zur Domain? Ist das Zertifikat vertrauenswürdig? Ist es gültig? Merksatz: Authentizität = Echtheit der Gegenstelle. Codierung und Verschlüsselung unterscheiden Codierung und Verschlüsselung werden oft verwechselt. Begriff Ziel Schutz? Codierung Daten in anderes Format bringen nein Kompression Datenmenge reduzieren nein Verschlüsselung Daten vor unbefugtem Lesen schützen ja Beispiel: Base64 ist Codierung, aber keine Verschlüsselung. Merksatz: Codierung ist nicht automatisch Sicherheit. Base64 Base64 ist eine Codierung. Sie wandelt Binärdaten in Textzeichen um. Typische Nutzung: - E-Mail-Anhänge - Tokens - Zertifikatsdaten - API-Daten - Binärdaten in Textformaten Wichtig: Base64 ist leicht rückgängig zu machen. Es ist keine Verschlüsselung. Merksatz: Base64 ist Codierung, keine Verschlüsselung. Hashing kurz eingeordnet Hashing ist keine Verschlüsselung. Ein Hash bildet Daten auf einen festen Prüfwert ab. Beispiele: - SHA-256 - SHA-512 Eigenschaften: - Einwegfunktion - gleiche Eingabe ergibt gleichen Hash - kleine Änderung ergibt anderen Hash - Originaldaten sollen nicht aus dem Hash zurückgerechnet werden Merksatz: Hashing prüft Integrität, verschlüsselt aber nicht. Hash und Passwortspeicherung Passwörter sollten nicht im Klartext gespeichert werden. Stattdessen werden Passwort-Hashes gespeichert. Wichtig: Für Passwörter nutzt man spezielle Verfahren, zum Beispiel mit Salt und langsamen Hashfunktionen. Beispiele: bcrypt Argon2 PBKDF2 Merksatz: Passwörter nicht verschlüsseln, sondern sicher hashen. Datenumwandlung Schicht 6 kann Daten zwischen Formaten umwandeln. Beispiele: - Textcodierung ändern - Bildformat konvertieren - Dateiformat umwandeln - Daten serialisieren - Daten deserialisieren - Zahlenformat anpassen Merksatz: Datenumwandlung sorgt dafür, dass Empfänger Daten verstehen. Serialisierung Serialisierung bedeutet: Datenstrukturen werden in ein übertragbares oder speicherbares Format umgewandelt. Beispiel: Objekt in Anwendung → JSON → Übertragung über Netzwerk Empfänger: JSON → Objekt in Anwendung Merksatz: Serialisierung macht Daten übertragbar. Deserialisierung Deserialisierung ist die Rückumwandlung. Beispiel: JSON-Text wird in ein Objekt der Anwendung umgewandelt. Wichtig: Unsichere Deserialisierung kann Sicherheitsrisiken erzeugen. Merksatz: Deserialisierung macht übertragene Daten wieder nutzbar. Endianness kurz erklärt Endianness beschreibt die Reihenfolge von Bytes bei mehrbyteigen Zahlen. Begriffe: Big Endian Little Endian In Netzwerken ist oft die sogenannte Netzwerk-Byte-Reihenfolge wichtig. Für AP1/AP2 reicht meistens: Unterschiedliche Systeme können Zahlen intern unterschiedlich darstellen. Merksatz: Darstellung betrifft auch die interne Reihenfolge von Daten. Schicht 6 und Webanwendungen Bei Webanwendungen sieht man Schicht-6-Themen häufig bei: - TLS - Zertifikaten - Zeichencodierung - JSON - XML - gzip-Kompression - Datenformaten - Dateiformaten - MIME-Typen Merksatz: Webprobleme können Darstellungsprobleme sein. MIME-Type Ein MIME-Type beschreibt den Medientyp von Daten. Beispiele: MIME-Type Bedeutung text/html HTML-Dokument application/json JSON-Daten image/png PNG-Bild image/jpeg JPEG-Bild text/css CSS-Datei application/pdf PDF-Dokument Der MIME-Type hilft dem Client, Daten richtig zu interpretieren. Merksatz: MIME-Type sagt, was für Daten übertragen werden. Fehlerbild: Datei wird falsch angezeigt Mögliche Ursachen: - falscher MIME-Type - falsche Dateiendung - falsches Dateiformat - beschädigte Datei - fehlende Anwendung zum Öffnen - falsche Codierung Beispiel: JSON wird als Text angezeigt, statt als application/json verarbeitet zu werden. Merksatz: Falsche Darstellung kann am Format oder MIME-Type liegen. Fehlerbild: Webseite zeigt komische Zeichen Mögliche Ursachen: - falsche Zeichencodierung - fehlende UTF-8-Angabe - Datenbank speichert andere Codierung - Import falsch durchgeführt - Datei in falscher Codierung gespeichert Merksatz: Komische Zeichen sind oft Codierungsprobleme. Fehlerbild: HTTPS-Warnung Mögliche Ursachen: - Zertifikat abgelaufen - Domainname passt nicht - Zertifizierungsstelle nicht vertraut - Zertifikatskette unvollständig - Uhrzeit am Client falsch - selbstsigniertes Zertifikat Merksatz: HTTPS-Warnungen oft durch Zertifikatsprobleme. Fehlerbild: API versteht Daten nicht Eine API kann Daten ablehnen, wenn Format oder Codierung nicht stimmen. Mögliche Ursachen: - ungültiges JSON - falscher Content-Type - falsche Zeichencodierung - fehlende Pflichtfelder - falsche Datentypen - falsches Datumsformat Merksatz: API-Fehler können Darstellungs- oder Formatprobleme sein. Fehlerbild: Komprimierte Daten können nicht gelesen werden Mögliche Ursachen: - falsches Kompressionsverfahren - beschädigte Datei - falsche Dateiendung - Empfänger unterstützt Verfahren nicht - Header gibt falsche Kompression an Merksatz: Kompression muss vom Empfänger unterstützt werden. Darstellungsschicht und Sicherheit Viele Sicherheitsfunktionen haben Bezug zur Darstellungsschicht. Beispiele: - TLS-Verschlüsselung - Zertifikate - sichere Codierung - sichere Deserialisierung - Integritätsprüfung - Schutz vor Datenmanipulation Wichtig: Falsche Darstellung oder unsichere Verarbeitung kann Sicherheitslücken erzeugen. Merksatz: Schicht 6 ist auch für Sicherheit wichtig. Typische Angriffsbezüge Darstellung und Datenverarbeitung können Angriffsflächen sein. Beispiele: - unsichere Deserialisierung - fehlerhafte Parser - manipulierte Dateiformate - falsche Zertifikatsprüfung - schwache Verschlüsselung - XSS durch falsche Ausgabe-Codierung Merksatz: Daten müssen sicher interpretiert und verarbeitet werden. Was Schicht 6 nicht macht Schicht 6 macht nicht: - Bits über Kabel übertragen - MAC-Adressen verwenden - IP-Pakete routen - TCP-Verbindungen aufbauen - Ports bereitstellen - Sitzungen verwalten - konkrete Netzwerkdienste vollständig bereitstellen Diese Aufgaben liegen auf anderen Schichten. Merksatz: Schicht 6 stellt Daten dar, transportiert sie aber nicht selbst. Einordnung in das OSI-Modell Thema Schicht Kabel, Signal 1 MAC-Adresse, Frame 2 IP-Adresse, Routing 3 TCP, UDP, Port 4 Sitzung, Session-ID 5 UTF-8, JSON, TLS, Kompression 6 HTTP, DNS, SMTP, Anwendung 7 Merksatz: Codierung, Kompression und Verschlüsselung = Schicht 6. Schicht 6 und Schicht 7 unterscheiden Thema eher Schicht HTTP-Anfrage 7 DNS-Abfrage 7 JSON-Datenformat 6 / 7-Bezug UTF-8-Codierung 6 TLS-Verschlüsselung 6 Zertifikat 6 / 7-Bezug gzip-Kompression 6 Anwendung verarbeitet Formular 7 Merksatz: Schicht 6 beschreibt die Form der Daten. Schicht 7 beschreibt den Dienst. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Darstellungsschicht? - Was bedeutet Zeichencodierung? - Was ist UTF-8? - Was ist der Unterschied zwischen Codierung und Verschlüsselung? - Was ist Kompression? - Was ist der Unterschied zwischen verlustfrei und verlustbehaftet? - Was macht TLS? - Warum gibt es Zertifikatswarnungen? - Was ist ein MIME-Type? - Warum kann eine Webseite falsche Zeichen anzeigen? - Warum ist Base64 keine Verschlüsselung? - Was ist Serialisierung? - Warum können Formatfehler bei APIs auftreten? Typische Prüfungsfallen Schicht 6 heißt Darstellungsschicht. Darstellung bedeutet Datenrepräsentation, nicht nur Bildschirmdarstellung. UTF-8 ist eine Zeichencodierung. ASCII ist begrenzt. Unicode ist ein Zeichensatzstandard. JSON und XML sind Datenformate. Kompression ist keine Verschlüsselung. Codierung ist keine Verschlüsselung. Base64 ist keine Verschlüsselung. Hashing ist keine Verschlüsselung. TLS verschlüsselt und schützt Daten. HTTPS nutzt TLS. Zertifikat muss gültig und passend sein. MIME-Type hilft beim richtigen Interpretieren von Daten. Falsche Codierung führt zu Zeichenfehlern. Schicht 6 ist in der Praxis oft mit Schicht 7 verbunden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Darstellungsschicht OSI-Schicht 6 Datenformat Struktur und Aufbau von Daten Zeichencodierung Zuordnung von Zeichen zu digitalen Werten ASCII ältere einfache Zeichencodierung Unicode Standard für viele Zeichen weltweit UTF-8 verbreitete Unicode-Codierung Kompression Verkleinerung von Daten verlustfrei Original vollständig wiederherstellbar verlustbehaftet Datenverlust zugunsten kleinerer Größe Verschlüsselung Daten für Unbefugte unlesbar machen Entschlüsselung verschlüsselte Daten wieder lesbar machen TLS Verschlüsselung und Schutz zwischen Anwendung und Transport Zertifikat Vertrauensnachweis für Serveridentität MIME-Type Angabe des Medientyps von Daten Base64 Codierung von Binärdaten als Text Hashing Einweg-Prüfwertbildung Serialisierung Umwandlung in übertragbares Format Deserialisierung Rückumwandlung aus übertragbarem Format IHK-sichere Kurzformulierung Die Darstellungsschicht ist Schicht 6 des OSI-Modells. Sie sorgt dafür, dass Daten in einer Form vorliegen, die vom Empfänger korrekt interpretiert werden kann. Dazu gehören Datenformate, Zeichencodierung, Kompression, Verschlüsselung und Datenumwandlung. Beispiele sind UTF-8 für Zeichencodierung, JSON oder XML als Datenformate, gzip als Kompression und TLS für verschlüsselte Kommunikation. Codierung und Kompression sind nicht dasselbe wie Verschlüsselung. In modernen Netzwerken sind Aufgaben der Darstellungsschicht oft eng mit der Anwendungsschicht verbunden. Merksätze Schicht 6 = Darstellungsschicht. Schicht 6 = Daten darstellen und umwandeln. Darstellung bedeutet Datenrepräsentation. Datenformat legt Aufbau von Daten fest. Zeichencodierung übersetzt Zeichen in digitale Werte. ASCII ist begrenzt. Unicode umfasst viele Zeichen. UTF-8 ist sehr verbreitet. Falsche Codierung erzeugt Zeichenfehler. Kompression reduziert Datenmenge. Verlustfrei = exakt wiederherstellbar. Verlustbehaftet = kleiner, aber nicht exakt original. Verschlüsselung schützt Vertraulichkeit. Entschlüsselung macht Daten wieder lesbar. TLS schützt Daten bei HTTPS. Zertifikat prüft Serververtrauen. Codierung ist keine Verschlüsselung. Base64 ist keine Verschlüsselung. Hashing ist keine Verschlüsselung. MIME-Type beschreibt den Datentyp. JSON und XML sind Datenformate. Serialisierung macht Daten übertragbar. Schicht 6 ist oft eng mit Schicht 7 verbunden. 9.2 TLS, Zertifikate und Verschlüsselung TLS gehört zu den wichtigsten Sicherheitsgrundlagen moderner Netzwerke. TLS steht für: Transport Layer Security TLS wird genutzt, um Daten bei der Übertragung zu schützen. Das bekannteste Beispiel ist: HTTPS HTTPS bedeutet: HTTP über TLS Merksatz: TLS schützt Daten zwischen Client und Server. Warum braucht man TLS? Ohne Verschlüsselung können Daten auf dem Übertragungsweg mitgelesen oder manipuliert werden. Beispiele für sensible Daten: - Passwörter - Session-Cookies - Kundendaten - Zahlungsdaten - persönliche Daten - API-Tokens - interne Verwaltungsdaten TLS schützt diese Daten während der Übertragung. Merksatz: TLS schützt Daten unterwegs. Welche Schutzziele hat TLS? TLS schützt vor allem drei Dinge: Schutzziel Bedeutung Vertraulichkeit Daten können nicht einfach mitgelesen werden Integrität Daten können nicht unbemerkt verändert werden Authentizität Gegenstelle kann überprüft werden Merksatz: TLS schützt Vertraulichkeit, Integrität und Authentizität. Vertraulichkeit Vertraulichkeit bedeutet: Nur berechtigte Kommunikationspartner können die Daten lesen. Beispiel: Ein Benutzer meldet sich auf einer Webseite an. Ohne TLS könnten Zugangsdaten im Netzwerk mitgelesen werden. Mit TLS werden die Daten verschlüsselt übertragen. Merksatz: Vertraulichkeit = Schutz vor Mitlesen. Integrität Integrität bedeutet: Daten werden nicht unbemerkt verändert. Beispiel: Ein Angreifer verändert unterwegs eine Antwort des Servers. TLS soll solche Manipulationen erkennbar machen. Wenn die Daten verändert wurden, wird die Verbindung als ungültig erkannt. Merksatz: Integrität = Schutz vor unbemerkter Veränderung. Authentizität Authentizität bedeutet: Der Kommunikationspartner ist wirklich der, für den er sich ausgibt. Beispiel: Browser verbindet sich mit: https://bank.example Der Browser prüft über das Zertifikat: Passt das Zertifikat zum Namen? Ist es gültig? Ist es vertrauenswürdig? Merksatz: Authentizität = Echtheit der Gegenstelle. TLS und HTTPS HTTP ist unverschlüsselt. HTTPS ist HTTP über TLS. Vergleich: Protokoll Verschlüsselung typischer Port HTTP nein TCP 80 HTTPS ja, TLS TCP 443 Bei HTTPS werden HTTP-Daten innerhalb einer TLS-geschützten Verbindung übertragen. Merksatz: HTTPS = HTTP + TLS. TLS im OSI-Modell TLS wird oft der Darstellungsschicht zugeordnet. Warum? TLS verschlüsselt, entschlüsselt und schützt die Darstellung der übertragenen Daten. In der Praxis liegt TLS zwischen Anwendung und Transport. Vereinfacht: HTTP TLS TCP IP Ethernet Merksatz: TLS liegt praktisch zwischen Anwendung und TCP. TLS ist nicht TCP TLS und TCP dürfen nicht verwechselt werden. Thema Einordnung TCP Transportprotokoll auf Schicht 4 TLS Verschlüsselungs- und Schutzschicht HTTPS HTTP über TLS Port 443 typischer HTTPS-Port TCP baut die Transportverbindung auf. TLS schützt die darüber übertragenen Daten. Merksatz: TCP transportiert. TLS schützt. TLS ist nicht HTTPS TLS ist die Schutzschicht. HTTPS ist ein Anwendungsprotokoll, das TLS nutzt. Beispiel: HTTPS = HTTP über TLS TLS kann aber auch bei anderen Protokollen verwendet werden. Beispiele: - SMTPS - IMAPS - POP3S - LDAPS - FTPS Merksatz: HTTPS nutzt TLS, aber TLS ist nicht nur HTTPS. Zertifikat Ein Zertifikat ist ein digitaler Nachweis. Es hilft dem Client zu prüfen: Spreche ich wirklich mit dem richtigen Server? Ein TLS-Zertifikat enthält unter anderem: - Domainname - öffentlicher Schlüssel - Aussteller - Gültigkeitszeitraum - Signatur - alternative Namen Merksatz: Zertifikat = digitaler Vertrauensnachweis. Domainname im Zertifikat Ein Zertifikat muss zum aufgerufenen Namen passen. Beispiel: Aufgerufen: wiki.firma.de Das Zertifikat muss für diesen Namen gültig sein. Wenn das Zertifikat nur für einen anderen Namen gilt, warnt der Browser. Beispiel Fehler: Zertifikat gilt für: server.local Aufgerufen wird: wiki.firma.de Merksatz: Der Name im Browser muss zum Zertifikat passen. Subject Alternative Name Moderne Zertifikate nutzen häufig sogenannte alternative Namen. Diese heißen: Subject Alternative Name Kurz: SAN Dort stehen die Namen, für die das Zertifikat gültig ist. Beispiele: wiki.firma.de cloud.firma.de www.firma.de Merksatz: SAN enthält gültige Namen eines Zertifikats. Wildcard-Zertifikat Ein Wildcard-Zertifikat gilt für mehrere Subdomains einer Domain. Beispiel: *.firma.de Das kann gelten für: wiki.firma.de cloud.firma.de mail.firma.de Aber normalerweise nicht automatisch für: firma.de intern.wiki.firma.de Merksatz: Wildcard-Zertifikat gilt für viele Subdomains einer Ebene. Zertifizierungsstelle Eine Zertifizierungsstelle wird auch genannt: Certificate Authority Kurz: CA Die CA stellt Zertifikate aus und signiert sie. Der Client vertraut dem Zertifikat, wenn er der ausstellenden CA vertraut. Merksatz: CA = vertrauenswürdige Stelle für Zertifikate. Zertifikatskette Ein Serverzertifikat steht meistens nicht allein. Es gehört zu einer Zertifikatskette. Typische Bestandteile: - Serverzertifikat - Zwischenzertifikat - Root-Zertifikat Der Client prüft die Kette bis zu einer vertrauenswürdigen Root-CA. Merksatz: Zertifikatskette verbindet Serverzertifikat mit vertrauenswürdiger CA. Root-Zertifikat Ein Root-Zertifikat ist ein besonders vertrauenswürdiges Zertifikat einer CA. Betriebssysteme und Browser bringen viele Root-Zertifikate bereits mit. Wenn ein Root-Zertifikat vertraut wird, können daraus abgeleitete Zertifikatsketten ebenfalls vertraut werden. Merksatz: Root-Zertifikat = Vertrauensanker. Zwischenzertifikat Zwischenzertifikate liegen zwischen Root-CA und Serverzertifikat. Sie werden auch genannt: Intermediate Certificates Wenn ein Zwischenzertifikat fehlt, kann die Vertrauenskette unvollständig sein. Folge: Browser oder Client zeigt Zertifikatswarnung. Merksatz: Fehlendes Zwischenzertifikat kann TLS-Warnungen verursachen. Selbstsigniertes Zertifikat Ein selbstsigniertes Zertifikat wurde nicht von einer allgemein vertrauenswürdigen CA ausgestellt. Es kann technisch verschlüsseln, aber der Client vertraut ihm normalerweise nicht automatisch. Typische Nutzung: - Testumgebung - internes Labor - Homelab - Entwicklung Für produktive öffentliche Dienste nutzt man normalerweise ein Zertifikat einer vertrauenswürdigen CA. Merksatz: Selbstsigniert kann verschlüsseln, ist aber nicht automatisch vertrauenswürdig. Gültigkeitszeitraum Zertifikate sind zeitlich begrenzt gültig. Ein Zertifikat hat: gültig ab gültig bis Wenn ein Zertifikat abgelaufen ist, zeigen Clients Warnungen. Auch eine falsche Systemzeit kann Zertifikatsfehler auslösen. Merksatz: Zertifikat und Systemzeit müssen gültig sein. Öffentlicher und privater Schlüssel TLS verwendet asymmetrische Kryptografie. Dabei gibt es: öffentlichen Schlüssel privaten Schlüssel Der öffentliche Schlüssel steckt im Zertifikat. Der private Schlüssel bleibt geheim auf dem Server. Wichtig: Der private Schlüssel darf nicht weitergegeben werden. Merksatz: Öffentlicher Schlüssel darf bekannt sein. Privater Schlüssel muss geheim bleiben. Warum darf der private Schlüssel nicht verloren gehen? Wenn ein Angreifer den privaten Schlüssel besitzt, kann er sich unter Umständen als der Server ausgeben oder geschützte Kommunikation gefährden. Deshalb muss der private Schlüssel geschützt werden. Schutzmaßnahmen: - Dateirechte - sichere Speicherung - Zugriffsbeschränkung - keine Weitergabe - regelmäßige Erneuerung bei Verdacht Merksatz: Privater Schlüssel ist kritisch. TLS-Handshake Beim TLS-Handshake einigen sich Client und Server auf die geschützte Kommunikation. Vereinfacht passiert: 1. Client kontaktiert Server. 2. Server sendet Zertifikat. 3. Client prüft Zertifikat. 4. Beide einigen sich auf Verschlüsselungsverfahren. 5. Sitzungsschlüssel werden gebildet. 6. Danach werden Daten verschlüsselt übertragen. Merksatz: TLS-Handshake bereitet die sichere Verbindung vor. TCP-Handshake und TLS-Handshake unterscheiden Bei HTTPS passieren mehrere Schritte. Vereinfacht: 1. TCP-Verbindung wird aufgebaut. 2. TLS-Handshake wird durchgeführt. 3. HTTP-Daten werden verschlüsselt übertragen. Unterschied: Vorgang Zweck TCP-Handshake Transportverbindung aufbauen TLS-Handshake sichere Verschlüsselung aushandeln HTTP-Anfrage Anwendungskommunikation Merksatz: Erst TCP, dann TLS, dann HTTP. Symmetrische und asymmetrische Verschlüsselung TLS nutzt Konzepte aus beiden Bereichen. Asymmetrisch: öffentlicher und privater Schlüssel Symmetrisch: gemeinsamer Sitzungsschlüssel Warum? Asymmetrische Verfahren helfen beim sicheren Aushandeln. Symmetrische Verfahren sind schneller für die Datenübertragung. Merksatz: Asymmetrisch für Aushandlung, symmetrisch für schnelle Datenübertragung. Sitzungsschlüssel Ein Sitzungsschlüssel ist ein temporärer Schlüssel für eine konkrete Verbindung. Er wird während des TLS-Handshakes ausgehandelt. Danach werden die Nutzdaten mit diesem Sitzungsschlüssel verschlüsselt. Merksatz: Sitzungsschlüssel schützt die konkrete TLS-Verbindung. TLS-Versionen TLS hat verschiedene Versionen. Wichtige Versionen: TLS 1.2 TLS 1.3 Ältere Versionen wie SSL oder TLS 1.0 und TLS 1.1 gelten heute als veraltet. Für moderne Systeme gilt: aktuelle TLS-Versionen verwenden alte unsichere Verfahren deaktivieren Merksatz: SSL ist veraltet. TLS 1.2 und TLS 1.3 sind heute wichtig. SSL und TLS SSL steht für: Secure Sockets Layer SSL ist der ältere Vorgänger von TLS. Im Alltag sagen manche noch „SSL-Zertifikat“. Technisch korrekt ist heute meistens: TLS-Zertifikat oder einfach: Zertifikat für HTTPS Merksatz: SSL ist alt, TLS ist der moderne Begriff. Cipher Suite Eine Cipher Suite beschreibt, welche kryptografischen Verfahren für eine TLS-Verbindung genutzt werden. Dazu gehören zum Beispiel: - Schlüsselaustausch - Verschlüsselung - Integritätsschutz Moderne Systeme sollten sichere Cipher Suites verwenden. Merksatz: Cipher Suite = Kombination kryptografischer Verfahren. Perfect Forward Secrecy Perfect Forward Secrecy bedeutet: Selbst wenn später ein langfristiger Schlüssel kompromittiert wird, sollen alte aufgezeichnete Verbindungen nicht nachträglich entschlüsselt werden können. Dafür werden kurzlebige Sitzungsschlüssel verwendet. Für AP1/AP2 reicht meistens: Moderne TLS-Konfigurationen sollen alte Verbindungen besser schützen. Merksatz: Forward Secrecy schützt alte Sitzungen besser. Zertifikatsprüfung durch den Client Ein Client prüft bei TLS unter anderem: - Ist das Zertifikat noch gültig? - Passt der Name zur aufgerufenen Adresse? - Ist die Zertifikatskette vollständig? - Ist die ausstellende CA vertrauenswürdig? - Wurde das Zertifikat widerrufen? - Ist die Signatur korrekt? Wenn eine Prüfung fehlschlägt, erscheint eine Warnung oder die Verbindung wird blockiert. Merksatz: TLS-Vertrauen entsteht durch mehrere Prüfungen. Zertifikatswiderruf Ein Zertifikat kann vor Ablauf ungültig werden. Gründe: - privater Schlüssel kompromittiert - Zertifikat falsch ausgestellt - Domain nicht mehr berechtigt - Sicherheitsvorfall Möglichkeiten zur Prüfung: - CRL - OCSP Merksatz: Zertifikate können vor Ablauf widerrufen werden. Häufige Zertifikatsfehler Typische Zertifikatsfehler sind: - Zertifikat abgelaufen - Zertifikat noch nicht gültig - falscher Domainname - Zertifikat nicht vertrauenswürdig - Zwischenzertifikat fehlt - selbstsigniertes Zertifikat - Zertifikat wurde widerrufen - Systemzeit falsch - falsches Zertifikat auf dem Server Merksatz: Zertifikatsfehler sind häufig Namens-, Zeit- oder Vertrauensprobleme. Fehlerbild: Zertifikat abgelaufen Symptom: Browser meldet abgelaufenes Zertifikat. Mögliche Ursachen: - Zertifikat nicht erneuert - automatische Erneuerung fehlgeschlagen - falsches Zertifikat aktiv - Server lädt alte Zertifikatsdatei - Systemzeit falsch Lösungsidee: Zertifikat erneuern, Dienst neu laden, Zertifikatskette prüfen. Merksatz: Abgelaufenes Zertifikat muss erneuert werden. Fehlerbild: Name passt nicht Symptom: Browser meldet, dass das Zertifikat nicht zum Namen passt. Beispiel: Aufruf: https://wiki.firma.de Zertifikat gültig für: cloud.firma.de Mögliche Ursachen: - falsches Zertifikat installiert - falscher virtueller Host - DNS zeigt auf falschen Server - Reverse Proxy liefert falsches Zertifikat - SAN-Eintrag fehlt Merksatz: Aufgerufener Name muss im Zertifikat enthalten sein. Fehlerbild: Zertifikat nicht vertrauenswürdig Symptom: Client vertraut dem Zertifikat nicht. Mögliche Ursachen: - selbstsigniertes Zertifikat - interne CA nicht installiert - Zertifikatskette unvollständig - unbekannte CA - manipuliertes Zertifikat - Proxy mit eigener CA Merksatz: Client muss der ausstellenden CA vertrauen. Fehlerbild: Zwischenzertifikat fehlt Symptom: Manche Clients akzeptieren Zertifikat, andere zeigen Warnungen. Mögliche Ursache: Server liefert die Zertifikatskette nicht vollständig aus. Besonders ältere oder strengere Clients können dann nicht bis zur Root-CA prüfen. Merksatz: Server muss vollständige Zertifikatskette liefern. Fehlerbild: Falsche Systemzeit Symptom: Viele Zertifikate wirken plötzlich ungültig. Mögliche Ursache: Datum oder Uhrzeit des Clients ist falsch. Warum? Zertifikate haben einen Gültigkeitszeitraum. Wenn die Systemzeit falsch ist, kann ein gültiges Zertifikat als ungültig bewertet werden. Merksatz: Falsche Uhrzeit kann TLS-Probleme verursachen. Fehlerbild: TLS-Version zu alt Symptom: Verbindung zu einem Dienst schlägt fehl, obwohl IP und Port erreichbar sind. Mögliche Ursache: Client oder Server unterstützt nur veraltete TLS-Versionen. Beispiele: TLS 1.0 TLS 1.1 alte SSL-Versionen Moderne Systeme blockieren solche Verbindungen oft. Merksatz: Alte TLS-Versionen können Verbindungen verhindern. Fehlerbild: Cipher Suite passt nicht Symptom: TLS-Verbindung kommt nicht zustande. Mögliche Ursache: Client und Server finden kein gemeinsames sicheres Verfahren. Das kann passieren bei: - alten Clients - alten Servern - zu strenger TLS-Konfiguration - veralteten Verschlüsselungsverfahren - fehlenden Updates Merksatz: Client und Server brauchen gemeinsame TLS-Verfahren. Fehlerbild: HTTPS geht intern, extern nicht Mögliche Ursachen: - DNS intern und extern unterschiedlich - Reverse Proxy liefert extern anderes Zertifikat - Portweiterleitung falsch - Firewall blockiert TCP 443 - Zertifikat gilt nicht für externen Namen - CGNAT oder Providerproblem - interne CA wird extern nicht vertraut Merksatz: HTTPS-Probleme können DNS, TLS, Firewall und NAT betreffen. Fehlerbild: HTTPS geht, aber Browser warnt Wenn eine Webseite erreichbar ist, aber der Browser warnt, ist meist der Transportweg bis zum Server möglich. Das Problem liegt dann häufig bei: - Zertifikat - Name - Vertrauenskette - Gültigkeit - TLS-Konfiguration Merksatz: Erreichbar mit Warnung bedeutet oft: TLS-Vertrauen stimmt nicht. Verschlüsselung ist nicht gleich Authentifizierung Verschlüsselung bedeutet: Daten sind nicht lesbar für Unbefugte. Authentifizierung bedeutet: Identität wird geprüft. TLS kann beides unterstützen: Verschlüsselung der Daten Prüfung des Serverzertifikats Aber: Ein verschlüsselter Kanal allein sagt nicht, dass der Benutzer berechtigt ist. Merksatz: Verschlüsselung schützt Daten. Authentifizierung prüft Identität. Serverauthentifizierung Bei HTTPS authentifiziert sich normalerweise der Server gegenüber dem Client. Der Browser prüft das Serverzertifikat. Ziel: Der Client soll wissen, dass er mit dem richtigen Server spricht. Merksatz: Serverzertifikat bestätigt die Serveridentität. Clientzertifikat TLS kann auch Clientzertifikate verwenden. Dann authentifiziert sich nicht nur der Server, sondern auch der Client mit einem Zertifikat. Das nennt man häufig: mTLS mTLS steht für: mutual TLS Typische Nutzung: - interne APIs - Zero-Trust-Umgebungen - besonders geschützte Systeme - Maschinen-zu-Maschinen-Kommunikation Merksatz: mTLS = beide Seiten weisen sich mit Zertifikat aus. TLS und E-Mail-Protokolle Auch E-Mail-Protokolle können TLS nutzen. Beispiele: Protokoll unverschlüsselt verschlüsselte Variante SMTP TCP 25 STARTTLS oder SMTPS IMAP TCP 143 IMAPS TCP 993 POP3 TCP 110 POP3S TCP 995 Merksatz: Viele klassische Protokolle haben TLS-geschützte Varianten. STARTTLS STARTTLS bedeutet: Eine Verbindung beginnt zunächst unverschlüsselt und wird dann auf TLS umgestellt. Typisch bei: SMTP IMAP POP3 Wichtig: STARTTLS ist nicht dasselbe wie von Anfang an verschlüsselte Verbindung auf eigenem TLS-Port. Merksatz: STARTTLS schaltet innerhalb einer bestehenden Verbindung auf TLS um. Ende-zu-Ende-Verschlüsselung und Transportverschlüsselung TLS ist normalerweise Transportverschlüsselung. Das bedeutet: Die Verbindung zwischen zwei Kommunikationspunkten ist geschützt. Ende-zu-Ende-Verschlüsselung bedeutet: Daten bleiben vom Absender bis zum endgültigen Empfänger geschützt, auch wenn Zwischenserver beteiligt sind. Beispiel: TLS schützt Verbindung zum Mailserver. E-Mail-Ende-zu-Ende-Verschlüsselung schützt den Inhalt bis zum Empfänger. Merksatz: TLS ist meist Transportverschlüsselung, nicht automatisch Ende-zu-Ende-Verschlüsselung. TLS und Reverse Proxy Ein Reverse Proxy kann TLS beenden. Das nennt man: TLS Termination Ablauf: Client → HTTPS → Reverse Proxy Reverse Proxy → HTTP oder HTTPS → interner Server Vorteile: - zentrale Zertifikatsverwaltung - einheitliche TLS-Konfiguration - Lastverteilung - Schutz interner Dienste Risiko: Interne Strecke muss ebenfalls passend geschützt werden, wenn dort sensible Daten laufen. Merksatz: TLS Termination beendet TLS am Reverse Proxy. TLS Passthrough TLS Passthrough bedeutet: Der Reverse Proxy leitet die TLS-Verbindung weiter, ohne sie selbst zu entschlüsseln. Der interne Server verarbeitet dann TLS selbst. Vorteil: TLS bleibt bis zum Zielserver bestehen. Nachteil: Proxy kann Inhalte nicht so einfach auswerten oder steuern. Merksatz: TLS Passthrough leitet verschlüsselt weiter. HSTS HSTS steht für: HTTP Strict Transport Security HSTS teilt dem Browser mit: Diese Webseite soll nur noch über HTTPS aufgerufen werden. Dadurch wird verhindert, dass der Browser versehentlich unverschlüsselt über HTTP verbindet. Merksatz: HSTS erzwingt HTTPS im Browser. Mixed Content Mixed Content bedeutet: Eine HTTPS-Seite lädt unsichere HTTP-Inhalte nach. Beispiel: Seite selbst: https://wiki.firma.de eingebundenes Bild oder Script: http://example.com/script.js Das kann Sicherheitswarnungen verursachen oder blockiert werden. Merksatz: HTTPS-Seite sollte keine HTTP-Inhalte nachladen. TLS und Performance TLS braucht Rechenleistung, besonders beim Verbindungsaufbau. Moderne TLS-Versionen sind aber effizient. Möglichkeiten zur Optimierung: - TLS 1.3 - Session Resumption - moderne Cipher Suites - HTTP/2 oder HTTP/3 - saubere Zertifikatskette Merksatz: TLS kostet etwas Aufwand, ist aber für Sicherheit unverzichtbar. TLS-Fehlersuche systematisch Eine sinnvolle Reihenfolge: 1. IP-Erreichbarkeit prüfen 2. TCP-Port 443 prüfen 3. Zertifikat prüfen 4. Domainname prüfen 5. Zertifikatskette prüfen 6. Gültigkeitszeitraum prüfen 7. Systemzeit prüfen 8. TLS-Version und Cipher Suites prüfen 9. Reverse Proxy prüfen 10. Anwendungslogs prüfen Merksatz: Erst Verbindung, dann TLS-Vertrauen, dann Anwendung. TLS oder DNS? Viele TLS-Fehler hängen mit DNS zusammen. Beispiel: DNS zeigt auf falschen Server. Folge: Man erreicht einen Server, aber dieser liefert ein Zertifikat für eine andere Domain. Prüfung: Welche IP liefert DNS? Welcher Server antwortet? Welches Zertifikat wird geliefert? Passt der Name? Merksatz: Falsches DNS kann falsches Zertifikat verursachen. TLS oder Firewall? Wenn der TCP-Port 443 nicht erreichbar ist, kommt TLS gar nicht richtig zum Einsatz. Dann prüft man zuerst: - Routing - Firewall - NAT - Portweiterleitung - Dienst lauscht auf TCP 443 Wenn TCP 443 erreichbar ist, aber eine Zertifikatswarnung erscheint, prüft man TLS und Zertifikat. Merksatz: Kein TCP 443 = Schicht 4 prüfen. Zertifikatswarnung = TLS prüfen. TLS oder Anwendung? Wenn TLS erfolgreich ist, kann die Anwendung trotzdem Fehler haben. Beispiele: - HTTP 404 - HTTP 500 - Loginfehler - Berechtigungsfehler - API-Fehler - falscher Reverse-Proxy-Pfad Dann ist nicht TLS das Hauptproblem, sondern die Anwendung auf höherer Schicht. Merksatz: TLS erfolgreich heißt nicht: Anwendung korrekt. Was TLS nicht macht TLS macht nicht: - IP-Adresse vergeben - Routing übernehmen - TCP-Port öffnen - DNS-Namen auflösen - Benutzerrechte festlegen - Webanwendung fehlerfrei machen - Server automatisch sicher konfigurieren - Schadsoftware verhindern TLS schützt nur einen wichtigen Teil: die Verbindung und Vertrauensprüfung. Merksatz: TLS schützt die Übertragung, ersetzt aber kein Sicherheitskonzept. Einordnung in das OSI-Modell Thema Schicht IP-Adresse 3 Routing 3 TCP 443 4 TLS-Handshake 6 mit Schicht-4-/7-Bezug Zertifikat 6 / 7 HTTPS 7 über TLS HTTP-Inhalt 7 DNS-Name 7 Cookie 7 mit Sitzungsbezug Merksatz: TCP 443 ist Schicht 4. TLS schützt darüber. HTTPS ist die Anwendung darüber. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist TLS? - Wofür wird TLS verwendet? - Was ist der Unterschied zwischen HTTP und HTTPS? - Welche Schutzziele bietet TLS? - Was ist ein Zertifikat? - Was prüft ein Client bei einem Zertifikat? - Warum erscheint eine Zertifikatswarnung? - Was ist eine Zertifizierungsstelle? - Was ist eine Zertifikatskette? - Was ist ein selbstsigniertes Zertifikat? - Warum muss der Domainname zum Zertifikat passen? - Was ist der Unterschied zwischen Verschlüsselung und Authentifizierung? - Was ist STARTTLS? - Was bedeutet TLS Termination? - Warum ist TLS allein kein vollständiges Sicherheitskonzept? Typische Prüfungsfallen TLS ist nicht TCP. TLS ist nicht HTTPS. HTTPS nutzt TLS. HTTP ist unverschlüsselt. HTTPS nutzt typischerweise TCP 443. TCP-Handshake kommt vor TLS-Handshake. Zertifikat muss zum Namen passen. Zertifikat muss gültig sein. Client muss der CA vertrauen. Zertifikatskette muss vollständig sein. Selbstsigniert heißt nicht automatisch vertrauenswürdig. Falsche Systemzeit kann Zertifikatsfehler verursachen. SSL ist veraltet. TLS ist der moderne Begriff. Verschlüsselung ist nicht dasselbe wie Authentifizierung. TLS schützt die Übertragung, aber nicht automatisch die Anwendung. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung TLS Transport Layer Security SSL älterer Vorgänger von TLS HTTPS HTTP über TLS Zertifikat digitaler Vertrauensnachweis CA Zertifizierungsstelle Root-Zertifikat Vertrauensanker Zwischenzertifikat Verbindung zwischen Root und Serverzertifikat Zertifikatskette Kette von Serverzertifikat bis Root-CA SAN alternative Namen im Zertifikat Wildcard-Zertifikat Zertifikat für mehrere Subdomains öffentlicher Schlüssel Schlüssel im Zertifikat privater Schlüssel geheimer Schlüssel des Servers TLS-Handshake Aushandlung sicherer Kommunikation Cipher Suite Kombination kryptografischer Verfahren Session Key temporärer Schlüssel für eine Verbindung STARTTLS Umschalten einer Verbindung auf TLS mTLS gegenseitige Zertifikatsauthentifizierung TLS Termination TLS endet am Proxy TLS Passthrough TLS wird verschlüsselt weitergeleitet HSTS Browser soll HTTPS erzwingen Mixed Content HTTPS-Seite lädt HTTP-Inhalte IHK-sichere Kurzformulierung TLS steht für Transport Layer Security und schützt Daten bei der Übertragung zwischen Client und Server. Es bietet Vertraulichkeit, Integrität und Authentizität. Bei HTTPS wird HTTP über TLS übertragen, typischerweise über TCP-Port 443. Ein TLS-Zertifikat hilft dem Client zu prüfen, ob er mit dem richtigen Server spricht. Dazu prüft der Client unter anderem den Domainnamen, den Gültigkeitszeitraum, die Zertifikatskette und die Vertrauenswürdigkeit der Zertifizierungsstelle. TLS ist nicht dasselbe wie TCP und nicht dasselbe wie HTTPS: TCP stellt den Transport bereit, TLS schützt die Verbindung und HTTPS nutzt TLS für Webkommunikation. Merksätze TLS = Transport Layer Security. TLS schützt Daten bei der Übertragung. HTTPS = HTTP über TLS. HTTP = unverschlüsselt. HTTPS = verschlüsselt. HTTPS nutzt typischerweise TCP 443. TCP transportiert. TLS schützt. HTTP ist Anwendung. TLS bietet Vertraulichkeit. TLS bietet Integrität. TLS bietet Authentizität. Zertifikat = Vertrauensnachweis. CA = Zertifizierungsstelle. Root-Zertifikat = Vertrauensanker. Zertifikatskette muss vollständig sein. Domainname muss zum Zertifikat passen. Zertifikat darf nicht abgelaufen sein. Client muss der CA vertrauen. Selbstsigniert ist nicht automatisch vertrauenswürdig. Privater Schlüssel muss geheim bleiben. Erst TCP-Handshake, dann TLS-Handshake, dann HTTP. SSL ist veraltet. TLS ist modern. STARTTLS schaltet auf TLS um. TLS Termination beendet TLS am Proxy. TLS Passthrough leitet TLS verschlüsselt weiter. HSTS erzwingt HTTPS. Mixed Content vermeiden. TLS schützt die Verbindung, ersetzt aber kein vollständiges Sicherheitskonzept. 9.3 Merksätze und Prüfungswissen zu OSI-Schicht 6 Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 6 zusammen. OSI-Schicht 6 heißt: Darstellungsschicht Die Hauptaufgabe von Schicht 6 ist: Daten so darstellen, codieren, komprimieren oder verschlüsseln, dass sie vom Empfänger korrekt verstanden werden können. Dabei sind besonders wichtig: - Datenformate - Zeichencodierung - Kompression - Verschlüsselung - Entschlüsselung - Zertifikate - TLS - Datenumwandlung - Serialisierung - MIME-Typen Merksatz: Schicht 6 = Darstellung, Codierung, Kompression und Verschlüsselung. Grundidee von Schicht 6 Schicht 6 beschreibt, in welcher Form Daten vorliegen. Beispiele: Text als UTF-8 Bild als JPEG Daten als JSON Webseite über TLS verschlüsselt Datei als ZIP komprimiert Damit Kommunikation funktioniert, müssen Sender und Empfänger die Daten gleich interpretieren. Merksatz: Schicht 6 sorgt dafür, dass Daten richtig verstanden werden. Schicht 5, 6 und 7 unterscheiden Schicht Name Grundidee 5 Sitzungsschicht Sitzungen verwalten 6 Darstellungsschicht Daten darstellen, codieren, schützen 7 Anwendungsschicht Netzwerkdienste für Anwendungen Beispiel Webanwendung: Schicht 5: Benutzer bleibt angemeldet. Schicht 6: Daten sind UTF-8-codiert und per TLS geschützt. Schicht 7: HTTP liefert Webseite oder API. Merksatz: Schicht 5 = Sitzung. Schicht 6 = Darstellung. Schicht 7 = Anwendung. Darstellung bedeutet Datenrepräsentation Darstellungsschicht bedeutet nicht nur: Anzeige auf dem Bildschirm Sondern fachlich: Wie sind Daten codiert? In welchem Format liegen sie vor? Sind sie komprimiert? Sind sie verschlüsselt? Wie werden sie interpretiert? Merksatz: Darstellungsschicht meint Datenrepräsentation, nicht nur optische Anzeige. Datenformat Ein Datenformat legt fest, wie Daten aufgebaut sind. Beispiele: Datenart Beispiele Text / Struktur JSON, XML, HTML Bild JPEG, PNG, GIF, SVG Audio WAV, MP3, AAC, FLAC Video MP4, H.264, H.265 Dokument PDF, DOCX Archiv ZIP, 7z Wenn der Empfänger das Format nicht versteht, kann er die Daten nicht korrekt verarbeiten. Merksatz: Datenformat = Aufbau und Struktur von Daten. JSON JSON steht für: JavaScript Object Notation JSON ist ein häufiges Format für strukturierte Daten. Typisch bei: - APIs - Webanwendungen - Konfigurationsdateien - Datenaustausch zwischen Systemen Beispiel: { "name": "Felix", "rolle": "FISI", "aktiv": true } Merksatz: JSON ist ein kompaktes Format für strukturierte Daten. XML XML steht für: Extensible Markup Language XML ist ein strukturiertes Textformat mit Tags. Typisch bei: - älteren Schnittstellen - Konfigurationsdateien - Dokumentenformaten - Webservices - Datenaustausch Beispiel: Felix FISI Merksatz: XML nutzt Tags zur Strukturierung von Daten. JSON und XML vergleichen Merkmal JSON XML Schreibweise kompakter ausführlicher Struktur Objekte und Arrays Tags und Elemente häufig bei moderne Web-APIs ältere Schnittstellen, Dokumente Lesbarkeit meist kürzer oft länger Datenaustausch sehr verbreitet weiterhin wichtig Merksatz: JSON und XML sind Formate für strukturierten Datenaustausch. Zeichencodierung Zeichencodierung legt fest, wie Zeichen als digitale Werte gespeichert werden. Beispiele für Zeichen: A ä ß € 中 😊 Ohne passende Codierung können Zeichen falsch dargestellt werden. Merksatz: Zeichencodierung übersetzt Zeichen in digitale Werte. ASCII ASCII ist eine ältere Zeichencodierung. ASCII enthält vor allem: - englische Buchstaben - Ziffern - Satzzeichen - Steuerzeichen Klassisches ASCII enthält keine deutschen Umlaute wie: ä ö ü ß Merksatz: ASCII ist einfach, aber für viele Sprachen zu begrenzt. Unicode Unicode ist ein Standard für sehr viele Zeichen. Dazu gehören: - lateinische Zeichen - deutsche Umlaute - griechische Zeichen - kyrillische Zeichen - asiatische Schriftzeichen - Symbole - Emojis Unicode beschreibt, welche Zeichen es gibt. Merksatz: Unicode ist ein großer Zeichensatzstandard. UTF-8 UTF-8 ist eine sehr verbreitete Codierung für Unicode. UTF-8 wird häufig verwendet bei: - Webseiten - Linux-Systemen - APIs - Datenbanken - Konfigurationsdateien - E-Mails Vorteil: UTF-8 kann sehr viele Zeichen darstellen und ist mit einfachem ASCII gut kompatibel. Merksatz: UTF-8 ist die wichtigste moderne Zeichencodierung. Typischer Codierungsfehler Ein typischer Fehler ist: Müller wird angezeigt als: Müller Das deutet häufig darauf hin, dass UTF-8-Daten mit falscher Codierung interpretiert wurden. Mögliche Ursachen: - falsche Dateicodierung - falsche Datenbankcodierung - falscher HTTP-Header - falscher Import - falsche Anwendungseinstellung Merksatz: Kaputte Umlaute sind oft Codierungsprobleme. Kompression Kompression bedeutet: Daten werden verkleinert. Ziele: - weniger Speicherplatz - weniger Datenverkehr - schnellere Übertragung - geringere Bandbreitennutzung Beispiele: ZIP gzip Brotli JPEG MP3 H.264 Merksatz: Kompression reduziert die Datenmenge. Verlustfreie Kompression Verlustfreie Kompression bedeutet: Die Originaldaten können vollständig wiederhergestellt werden. Beispiele: - ZIP - gzip - PNG - FLAC Typisch für: - Text - Dokumente - Programme - Datenbanken - Quellcode Merksatz: Verlustfrei = exakt wiederherstellbar. Verlustbehaftete Kompression Verlustbehaftete Kompression bedeutet: Daten werden verkleinert, aber ein Teil der ursprünglichen Information geht verloren. Beispiele: - JPEG - MP3 - AAC - H.264 - H.265 Typisch für: - Fotos - Musik - Videos Merksatz: Verlustbehaftet = kleiner, aber nicht exakt original. Codierung, Kompression und Verschlüsselung unterscheiden Begriff Ziel Sicherheitsfunktion Codierung Daten in anderes Format bringen nein Kompression Datenmenge reduzieren nein Verschlüsselung Daten vor unbefugtem Lesen schützen ja Wichtig: Base64 ist Codierung, aber keine Verschlüsselung. ZIP ist Kompression, aber ohne Passwort keine Verschlüsselung. Merksatz: Codierung ist nicht automatisch Sicherheit. Verschlüsselung Verschlüsselung bedeutet: Daten werden so umgewandelt, dass sie ohne passenden Schlüssel nicht lesbar sind. Ziel: Schutz der Vertraulichkeit Beispiele: - HTTPS - TLS - VPN - E-Mail-Verschlüsselung - Festplattenverschlüsselung Merksatz: Verschlüsselung schützt vor unbefugtem Lesen. Entschlüsselung Entschlüsselung bedeutet: Verschlüsselte Daten werden mit dem passenden Schlüssel wieder lesbar gemacht. Ohne passenden Schlüssel bleiben die Daten unverständlich. Merksatz: Entschlüsselung macht verschlüsselte Daten wieder lesbar. TLS TLS steht für: Transport Layer Security TLS schützt Daten bei der Übertragung. Wichtige Schutzziele: - Vertraulichkeit - Integrität - Authentizität Das bekannteste Beispiel ist: HTTPS Merksatz: TLS schützt Daten zwischen Client und Server. HTTPS HTTPS bedeutet: HTTP über TLS Vergleich: Protokoll Verschlüsselung typischer Port HTTP nein TCP 80 HTTPS ja, TLS TCP 443 Merksatz: HTTPS = HTTP mit TLS-Schutz. TLS im OSI-Modell TLS wird häufig der Darstellungsschicht zugeordnet, weil es Daten verschlüsselt, entschlüsselt und schützt. In der Praxis liegt TLS zwischen Anwendung und Transport. Vereinfacht: HTTP TLS TCP IP Ethernet Merksatz: TLS wird oft Schicht 6 zugeordnet, hat aber praktischen Bezug zu Schicht 4 und 7. TLS ist nicht TCP TCP ist ein Transportprotokoll. TLS ist eine Schutzschicht für die übertragenen Daten. Unterschied: Thema Einordnung TCP Transport auf Schicht 4 TLS Verschlüsselung und Schutz HTTP Anwendung auf Schicht 7 HTTPS HTTP über TLS Merksatz: TCP transportiert. TLS schützt. HTTP verwendet. Zertifikat Ein Zertifikat ist ein digitaler Vertrauensnachweis. Es hilft dem Client zu prüfen: Spreche ich mit dem richtigen Server? Ein Zertifikat enthält unter anderem: - Domainname - öffentlicher Schlüssel - Aussteller - Gültigkeitszeitraum - Signatur - alternative Namen Merksatz: Zertifikat = digitaler Vertrauensnachweis. Zertifizierungsstelle Eine Zertifizierungsstelle wird genannt: Certificate Authority Kurz: CA Die CA stellt Zertifikate aus und signiert sie. Der Client vertraut einem Zertifikat, wenn er der ausstellenden CA oder der Zertifikatskette vertraut. Merksatz: CA = vertrauenswürdige Stelle für Zertifikate. Zertifikatskette Eine Zertifikatskette verbindet das Serverzertifikat mit einer vertrauenswürdigen Root-CA. Typische Bestandteile: - Serverzertifikat - Zwischenzertifikat - Root-Zertifikat Wenn ein Zwischenzertifikat fehlt, kann es zu Zertifikatswarnungen kommen. Merksatz: Zertifikatskette muss vollständig und vertrauenswürdig sein. Domainname im Zertifikat Das Zertifikat muss zum aufgerufenen Namen passen. Beispiel: Aufgerufen: wiki.firma.de Das Zertifikat muss für diesen Namen gültig sein. Wenn das Zertifikat für einen anderen Namen gilt, zeigt der Browser eine Warnung. Merksatz: Aufgerufener Name muss im Zertifikat enthalten sein. Gültigkeitszeitraum Zertifikate sind nur für einen bestimmten Zeitraum gültig. Wenn ein Zertifikat abgelaufen ist, zeigen Clients Warnungen oder blockieren die Verbindung. Auch falsche Systemzeit kann Zertifikatsfehler erzeugen. Merksatz: Zertifikat und Systemzeit müssen gültig sein. Selbstsigniertes Zertifikat Ein selbstsigniertes Zertifikat wurde nicht von einer allgemein vertrauenswürdigen CA signiert. Es kann technisch verschlüsseln, ist aber für Clients nicht automatisch vertrauenswürdig. Typische Nutzung: - Testumgebung - Labor - Homelab - interne Systeme Merksatz: Selbstsigniert kann verschlüsseln, ist aber nicht automatisch vertrauenswürdig. Öffentlicher und privater Schlüssel Bei asymmetrischer Kryptografie gibt es: öffentlichen Schlüssel privaten Schlüssel Der öffentliche Schlüssel darf bekannt sein. Der private Schlüssel muss geheim bleiben. Bei TLS steckt der öffentliche Schlüssel im Zertifikat. Merksatz: Öffentlicher Schlüssel darf öffentlich sein. Privater Schlüssel muss geheim bleiben. TLS-Handshake Beim TLS-Handshake wird die sichere Verbindung vorbereitet. Vereinfacht: 1. Client verbindet sich mit Server. 2. Server sendet Zertifikat. 3. Client prüft Zertifikat. 4. Verfahren werden ausgehandelt. 5. Sitzungsschlüssel werden gebildet. 6. Nutzdaten werden verschlüsselt übertragen. Merksatz: TLS-Handshake bereitet verschlüsselte Kommunikation vor. TCP-Handshake und TLS-Handshake unterscheiden Bei HTTPS passiert vereinfacht: 1. TCP-Handshake 2. TLS-Handshake 3. HTTP-Kommunikation Unterschied: Vorgang Zweck TCP-Handshake Transportverbindung aufbauen TLS-Handshake sichere Verbindung aushandeln HTTP-Kommunikation Anwendungskommunikation Merksatz: Erst TCP, dann TLS, dann HTTP. Schutzziele von TLS Schutzziel Bedeutung Vertraulichkeit Schutz vor Mitlesen Integrität Schutz vor unbemerkter Veränderung Authentizität Prüfung der Gegenstelle Merksatz: TLS schützt Vertraulichkeit, Integrität und Authentizität. Base64 Base64 ist eine Codierung. Sie wandelt Binärdaten in Textzeichen um. Typische Nutzung: - E-Mail-Anhänge - Tokens - Zertifikatsdaten - API-Daten Wichtig: Base64 ist leicht rückgängig zu machen. Base64 ist keine Verschlüsselung. Merksatz: Base64 = Codierung, nicht Verschlüsselung. Hashing Hashing ist keine Verschlüsselung. Ein Hash ist ein Prüfwert. Beispiele: - SHA-256 - SHA-512 Eigenschaften: - gleiche Eingabe ergibt gleichen Hash - kleine Änderung ergibt anderen Hash - Einwegfunktion - Original soll nicht aus Hash zurückgerechnet werden Merksatz: Hashing prüft Integrität, verschlüsselt aber nicht. Passwort-Hashing Passwörter sollten nicht im Klartext gespeichert werden. Auch normale schnelle Hashfunktionen sind für Passwörter oft nicht ideal. Für Passwörter nutzt man spezielle Verfahren mit Salt und Arbeitsfaktor. Beispiele: - bcrypt - Argon2 - PBKDF2 Merksatz: Passwörter sicher hashen, nicht im Klartext speichern. Serialisierung Serialisierung bedeutet: Datenstrukturen werden in ein übertragbares oder speicherbares Format umgewandelt. Beispiel: Objekt in Anwendung → JSON → Übertragung → JSON wird beim Empfänger wieder verarbeitet Merksatz: Serialisierung macht Daten übertragbar. Deserialisierung Deserialisierung ist die Rückumwandlung aus einem übertragenen Format. Beispiel: JSON → Objekt in Anwendung Wichtig: Unsichere Deserialisierung kann gefährlich sein, wenn fremde Daten ungeprüft verarbeitet werden. Merksatz: Deserialisierung macht Daten wieder nutzbar. MIME-Type Ein MIME-Type beschreibt, welche Art von Daten übertragen wird. Beispiele: MIME-Type Bedeutung text/html HTML-Dokument application/json JSON-Daten image/png PNG-Bild image/jpeg JPEG-Bild text/css CSS-Datei application/pdf PDF-Dokument Merksatz: MIME-Type sagt dem Client, wie Daten zu interpretieren sind. Typische Schicht-6-Fehler Typische Fehler auf Schicht 6 sind: - falsche Zeichencodierung - falscher MIME-Type - ungültiges JSON - ungültiges XML - falsches Dateiformat - defekte Kompression - nicht unterstütztes Kompressionsverfahren - Zertifikat abgelaufen - Zertifikat passt nicht zum Namen - Zertifikatskette unvollständig - TLS-Version zu alt - Cipher Suite nicht kompatibel - Base64 mit Verschlüsselung verwechselt Merksatz: Schicht-6-Fehler betreffen Darstellung, Format, Codierung oder Schutz der Daten. Fehlerbild: Komische Zeichen Beispiel: Müller wird angezeigt als: Müller Mögliche Ursachen: - falsche Zeichencodierung - falsche Datenbankcodierung - falscher HTTP-Header - falscher Import - Datei falsch gespeichert Merksatz: Komische Zeichen = oft Codierungsproblem. Fehlerbild: HTTPS-Warnung Mögliche Ursachen: - Zertifikat abgelaufen - Domainname passt nicht - CA nicht vertrauenswürdig - Zwischenzertifikat fehlt - selbstsigniertes Zertifikat - Systemzeit falsch - Zertifikat wurde widerrufen Merksatz: HTTPS-Warnung = Zertifikat und TLS prüfen. Fehlerbild: API versteht Daten nicht Mögliche Ursachen: - ungültiges JSON - falscher Content-Type - falsche Zeichencodierung - falsche Datentypen - fehlende Pflichtfelder - falsches Datumsformat - ungültige Serialisierung Merksatz: API-Fehler können Format- oder Darstellungsprobleme sein. Fehlerbild: Datei lässt sich nicht öffnen Mögliche Ursachen: - falsches Dateiformat - falsche Dateiendung - beschädigte Datei - falscher MIME-Type - fehlender Codec - nicht unterstützte Kompression - Datei unvollständig übertragen Merksatz: Datei-Probleme können Format- oder Codierungsprobleme sein. Schicht 6 und Sicherheit Schicht 6 hat starken Sicherheitsbezug. Wichtige Themen: - TLS - Zertifikate - Verschlüsselung - Integrität - sichere Codierung - sichere Deserialisierung - Hashing - Schutz vor unsicherer Datenverarbeitung Merksatz: Falsche Datenverarbeitung kann Sicherheitslücken erzeugen. Was Schicht 6 nicht macht Schicht 6 macht nicht: - Bits über Kabel übertragen - MAC-Adressen verwenden - IP-Pakete routen - TCP-Verbindungen aufbauen - Ports öffnen - Sitzungen verwalten - DNS-Namen auflösen - konkrete Anwendung bereitstellen Diese Aufgaben liegen auf anderen Schichten. Merksatz: Schicht 6 stellt Daten dar, transportiert sie aber nicht selbst. Prüfungswissen: wichtigste Zuordnungen Begriff richtige Einordnung UTF-8 Schicht 6 ASCII Schicht 6 Unicode Schicht 6 JSON Schicht 6 / 7-Bezug XML Schicht 6 / 7-Bezug Kompression Schicht 6 Verschlüsselung Schicht 6 TLS häufig Schicht 6, praktisch zwischen 4 und 7 Zertifikat Schicht 6 / 7-Bezug MIME-Type Schicht 6 / 7-Bezug Base64 Codierung, Schicht 6 Hashing Sicherheits-/Integritätsbezug TCP Schicht 4 HTTP Schicht 7 DNS Schicht 7 Merksatz: Codierung, Kompression und Verschlüsselung sind typische Schicht-6-Themen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Darstellungsschicht? - Was bedeutet Datenformat? - Was ist Zeichencodierung? - Was ist UTF-8? - Warum werden Umlaute manchmal falsch angezeigt? - Was ist Kompression? - Was ist der Unterschied zwischen verlustfrei und verlustbehaftet? - Was ist Verschlüsselung? - Was ist TLS? - Was ist HTTPS? - Warum ist Base64 keine Verschlüsselung? - Was ist ein Zertifikat? - Warum muss der Name zum Zertifikat passen? - Was ist eine Zertifizierungsstelle? - Was ist eine Zertifikatskette? - Warum kann eine HTTPS-Warnung erscheinen? - Was ist ein MIME-Type? - Was ist Serialisierung? Typische Prüfungsfallen Schicht 6 heißt Darstellungsschicht. Darstellung bedeutet Datenrepräsentation. Schicht 6 ist nicht nur Bildschirmdarstellung. UTF-8 ist eine Zeichencodierung. ASCII ist begrenzt. Unicode ist der Zeichensatzstandard. JSON und XML sind Datenformate. Kompression ist keine Verschlüsselung. Codierung ist keine Verschlüsselung. Base64 ist keine Verschlüsselung. Hashing ist keine Verschlüsselung. TLS schützt Daten bei der Übertragung. HTTPS nutzt TLS. TLS ist nicht TCP. TLS ist nicht HTTPS. Zertifikat muss zum Domainnamen passen. Zertifikat muss gültig sein. Client muss der CA vertrauen. Fehlende Zwischenzertifikate können Warnungen verursachen. Falsche Systemzeit kann Zertifikatsfehler verursachen. MIME-Type hilft bei der Interpretation von Daten. Schicht 6 ist in der Praxis oft eng mit Schicht 7 verbunden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Darstellungsschicht OSI-Schicht 6 Datenformat Aufbau und Struktur von Daten Zeichencodierung Zuordnung von Zeichen zu digitalen Werten ASCII ältere einfache Zeichencodierung Unicode Standard für viele Zeichen weltweit UTF-8 verbreitete Unicode-Codierung Kompression Verkleinerung von Daten verlustfrei Original exakt wiederherstellbar verlustbehaftet Datenverlust zugunsten kleinerer Größe Verschlüsselung Daten unlesbar für Unbefugte machen Entschlüsselung verschlüsselte Daten wieder lesbar machen TLS Schutzschicht für Übertragung HTTPS HTTP über TLS Zertifikat digitaler Vertrauensnachweis CA Zertifizierungsstelle Zertifikatskette Vertrauenskette von Serverzertifikat zu Root-CA MIME-Type Angabe des Medientyps Base64 Codierung von Binärdaten als Text Hashing Bildung eines Einweg-Prüfwerts Serialisierung Umwandlung in übertragbares Format Deserialisierung Rückumwandlung aus übertragbarem Format IHK-sichere Gesamtformulierung Die Darstellungsschicht ist Schicht 6 des OSI-Modells. Sie sorgt dafür, dass Daten in einer geeigneten Form dargestellt, codiert, komprimiert, verschlüsselt oder umgewandelt werden, damit der Empfänger sie korrekt interpretieren kann. Typische Themen sind Zeichencodierung wie UTF-8, Datenformate wie JSON oder XML, Kompression wie gzip oder ZIP, Verschlüsselung mit TLS sowie Zertifikate bei HTTPS. TLS wird häufig der Darstellungsschicht zugeordnet, liegt in der Praxis aber zwischen Anwendung und Transport. Codierung, Kompression und Verschlüsselung sind voneinander zu unterscheiden. Wichtigste Merksätze Schicht 6 = Darstellungsschicht. Schicht 6 = Daten darstellen, codieren, komprimieren und verschlüsseln. Darstellung bedeutet Datenrepräsentation. Datenformat legt den Aufbau von Daten fest. JSON und XML sind Datenformate. Zeichencodierung übersetzt Zeichen in digitale Werte. ASCII ist begrenzt. Unicode umfasst viele Zeichen. UTF-8 ist sehr verbreitet. Falsche Codierung erzeugt Zeichenfehler. Kompression reduziert Datenmenge. Verlustfrei = exakt wiederherstellbar. Verlustbehaftet = kleiner, aber nicht exakt original. Verschlüsselung schützt Vertraulichkeit. Entschlüsselung macht Daten wieder lesbar. TLS schützt Daten bei der Übertragung. HTTPS = HTTP über TLS. TLS ist nicht TCP. TLS ist nicht HTTPS. TCP transportiert. TLS schützt. HTTP verwendet. Zertifikat = Vertrauensnachweis. CA = Zertifizierungsstelle. Zertifikatskette muss vollständig sein. Domainname muss zum Zertifikat passen. Zertifikat muss gültig sein. Base64 ist Codierung, keine Verschlüsselung. Hashing ist keine Verschlüsselung. MIME-Type beschreibt den Datentyp. Serialisierung macht Daten übertragbar. Schicht 6 ist oft eng mit Schicht 7 verbunden. 10. OSI-Schicht 7 – Anwendungsschicht 10.1 OSI-Schicht 7 – Anwendungsschicht Die Anwendungsschicht ist Schicht 7 des OSI-Modells. Sie ist die oberste Schicht. Die Hauptaufgabe von Schicht 7 ist: Netzwerkdienste für Anwendungen bereitstellen. Dabei geht es vor allem um Protokolle und Dienste, die direkt von Anwendungen genutzt werden. Typische Beispiele: - HTTP - HTTPS - DNS - DHCP - SMTP - IMAP - POP3 - FTP - SSH - SMB - LDAP - SNMP - NTP Merksatz: Schicht 7 = Netzwerkdienste für Anwendungen. Grundidee von Schicht 7 Schicht 7 ist die Schicht, mit der Anwendungen direkt arbeiten. Beispiele: Webbrowser nutzt HTTP oder HTTPS. Mailprogramm nutzt SMTP, IMAP oder POP3. Betriebssystem nutzt DNS zur Namensauflösung. Client nutzt DHCP zur automatischen IP-Konfiguration. Administrator nutzt SSH zur Fernverwaltung. Wichtig: Die Anwendungsschicht ist nicht die Anwendung selbst, sondern die Netzwerkschnittstelle beziehungsweise das Protokoll, das die Anwendung nutzt. Merksatz: Schicht 7 beschreibt Dienste und Protokolle, die Anwendungen für Netzwerkkommunikation verwenden. Einordnung im OSI-Modell OSI-Schicht Name Aufgabe 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Darstellung, Codierung, Verschlüsselung 5 Sitzungsschicht Sitzungen aufbauen, verwalten und beenden 4 Transportschicht TCP, UDP, Ports 3 Vermittlungsschicht / Netzwerkschicht IP, Routing 2 Sicherungsschicht Frames, MAC, VLAN 1 Bitübertragungsschicht Bits, Signale Merksatz: Schicht 7 ist die oberste OSI-Schicht. Schicht 7 ist nicht einfach „das Programm“ Ein häufiger Fehler ist: Browser = Schicht 7 Besser formuliert: Der Browser ist eine Anwendung. Der Browser nutzt Protokolle der Anwendungsschicht, zum Beispiel HTTP oder HTTPS. Beispiel: Firefox, Chrome oder Safari = Anwendung HTTP, HTTPS = Protokolle der Anwendungsschicht Merksatz: Programm nutzt Schicht 7, ist aber nicht automatisch selbst die Schicht. Was macht die Anwendungsschicht? Die Anwendungsschicht stellt Funktionen bereit wie: - Webseiten abrufen - Namen in IP-Adressen auflösen - E-Mails senden und empfangen - Dateien übertragen - Zeit synchronisieren - Netzwerkgeräte überwachen - Verzeichnisdienste abfragen - automatische IP-Konfiguration anstoßen - entfernte Systeme verwalten Merksatz: Schicht 7 stellt konkrete Netzwerkdienste bereit. Schicht 7 und Ports Viele Anwendungsschicht-Protokolle nutzen Ports auf Schicht 4. Beispiele: Anwendungsschicht-Protokoll Transport typischer Port HTTP TCP 80 HTTPS TCP 443 DNS UDP / TCP 53 DHCP UDP 67 / 68 SSH TCP 22 SMTP TCP 25 IMAP TCP 143 POP3 TCP 110 NTP UDP 123 Wichtig: Port gehört zu Schicht 4. Dienstprotokoll gehört zu Schicht 7. Merksatz: Port = Schicht 4. Protokoll/Dienst = Schicht 7. HTTP HTTP steht für: Hypertext Transfer Protocol HTTP wird verwendet, um Webseiten und Webdaten zu übertragen. Typischer Port: TCP 80 HTTP ist unverschlüsselt. Beispiele für HTTP-Kommunikation: Browser ruft Webseite ab. Webanwendung liefert HTML. API sendet Daten. Client lädt Dateien von einem Webserver. Merksatz: HTTP = Webprotokoll ohne TLS-Verschlüsselung. HTTPS HTTPS steht für: Hypertext Transfer Protocol Secure HTTPS ist: HTTP über TLS Typischer Port: TCP 443 HTTPS schützt die Übertragung durch TLS. Schutzziele: - Vertraulichkeit - Integrität - Authentizität Merksatz: HTTPS = HTTP mit TLS-Schutz. HTTP und HTTPS unterscheiden Merkmal HTTP HTTPS Verschlüsselung nein ja, TLS typischer Port TCP 80 TCP 443 Zertifikat nötig nein ja Schutz vor Mitlesen nein ja Schutz vor Manipulation nein ja Merksatz: HTTP ist unverschlüsselt. HTTPS ist verschlüsselt. DNS DNS steht für: Domain Name System DNS löst Namen in IP-Adressen auf. Beispiel: www.example.com → 93.184.216.34 DNS wird benötigt, damit Benutzer und Anwendungen mit Namen arbeiten können, statt sich IP-Adressen merken zu müssen. Typischer Port: UDP 53 TCP 53 Merksatz: DNS = Name zu IP-Adresse. A-Record und AAAA-Record DNS kann verschiedene Einträge liefern. Wichtige Einträge: DNS-Record Bedeutung A Name zu IPv4-Adresse AAAA Name zu IPv6-Adresse CNAME Alias auf anderen Namen MX Mailserver einer Domain TXT Textinformationen, oft für Prüfungen NS zuständiger Nameserver Merksatz: A = IPv4. AAAA = IPv6. MX = Mailserver. DNS und Schicht 7 DNS ist ein Anwendungsschicht-Protokoll, obwohl es UDP oder TCP auf Schicht 4 nutzt. Wichtig: DNS-Port 53 gehört zu Schicht 4. DNS-Protokoll gehört zu Schicht 7. Merksatz: DNS nutzt Ports, ist aber ein Dienst der Anwendungsschicht. DHCP DHCP steht für: Dynamic Host Configuration Protocol DHCP vergibt automatisch Netzwerkkonfigurationen. Ein Client kann per DHCP erhalten: - IP-Adresse - Subnetzmaske - Standard-Gateway - DNS-Server - Lease-Zeit - weitere Optionen Typische Ports: DHCP-Server: UDP 67 DHCP-Client: UDP 68 Merksatz: DHCP = automatische IP-Konfiguration. DHCP und Schicht 7 DHCP ist ein Anwendungsschicht-Protokoll, auch wenn es IP-Konfigurationen für Schicht 3 bereitstellt. Das ist wichtig: DHCP vergibt IP-Daten, aber das DHCP-Protokoll selbst gehört zur Anwendungsschicht. Merksatz: DHCP liefert Schicht-3-Konfiguration, ist aber ein Schicht-7-Protokoll. SMTP SMTP steht für: Simple Mail Transfer Protocol SMTP wird für das Senden und Weiterleiten von E-Mails verwendet. Typischer Port: TCP 25 Weitere häufige Ports: TCP 587 für Mail Submission TCP 465 für SMTPS Merksatz: SMTP = E-Mail senden und transportieren. POP3 POP3 steht für: Post Office Protocol Version 3 POP3 wird zum Abrufen von E-Mails verwendet. Typischer Port: TCP 110 Verschlüsselte Variante: POP3S über TCP 995 POP3 lädt E-Mails häufig vom Server herunter. Merksatz: POP3 = E-Mail abrufen. IMAP IMAP steht für: Internet Message Access Protocol IMAP wird zum Abrufen und Verwalten von E-Mails verwendet. Typischer Port: TCP 143 Verschlüsselte Variante: IMAPS über TCP 993 IMAP lässt E-Mails häufig auf dem Server und synchronisiert sie zwischen Geräten. Merksatz: IMAP = E-Mail verwalten und synchronisieren. SMTP, POP3 und IMAP unterscheiden Protokoll Hauptaufgabe typischer Port SMTP E-Mail senden / transportieren TCP 25 POP3 E-Mail abrufen TCP 110 IMAP E-Mail abrufen und verwalten TCP 143 Merksatz: SMTP sendet. POP3 und IMAP empfangen. FTP FTP steht für: File Transfer Protocol FTP dient zur Dateiübertragung. Typischer Port: TCP 21 Wichtig: Klassisches FTP ist unverschlüsselt. Sicherere Alternativen sind zum Beispiel: - SFTP - FTPS Merksatz: FTP = Dateiübertragung, klassisch unverschlüsselt. SFTP und FTPS unterscheiden SFTP und FTPS werden oft verwechselt. Begriff Bedeutung SFTP Dateiübertragung über SSH FTPS FTP mit TLS-Schutz Typische Einordnung: SFTP nutzt SSH. FTPS nutzt TLS. Merksatz: SFTP ist nicht dasselbe wie FTPS. SSH SSH steht für: Secure Shell SSH dient zur sicheren Fernverwaltung. Typischer Port: TCP 22 SSH wird genutzt für: - sichere Shell - Serveradministration - SFTP - Tunnel - sichere Befehlsausführung Merksatz: SSH = sicherer Fernzugriff. Telnet Telnet ist ein älteres Fernzugriffsprotokoll. Typischer Port: TCP 23 Problem: Telnet ist unverschlüsselt. Benutzernamen, Passwörter und Eingaben können mitgelesen werden. Heute sollte man für Administration SSH verwenden. Merksatz: Telnet ist unsicher, SSH ist die sichere Alternative. SMB SMB steht für: Server Message Block SMB wird häufig für Datei- und Druckerfreigaben verwendet. Typischer Port: TCP 445 Typische Nutzung: - Windows-Dateifreigaben - Netzlaufwerke - Druckerfreigaben - Dateiablage im LAN Merksatz: SMB = Datei- und Freigabedienst. LDAP LDAP steht für: Lightweight Directory Access Protocol LDAP dient zur Abfrage und Verwaltung von Verzeichnisdiensten. Typische Nutzung: - Benutzerverzeichnisse - Gruppen - Authentifizierungsinformationen - zentrale Identitätsverwaltung Typische Ports: LDAP: TCP/UDP 389 LDAPS: TCP 636 Merksatz: LDAP = Zugriff auf Verzeichnisdienste. SNMP SNMP steht für: Simple Network Management Protocol SNMP wird für Überwachung und Verwaltung von Netzwerkgeräten genutzt. Typische Nutzung: - Switches überwachen - Router überwachen - Drucker überwachen - Serverwerte abfragen - Monitoring-Systeme anbinden Typische Ports: UDP 161 für Abfragen UDP 162 für Traps Merksatz: SNMP = Netzwerkgeräte überwachen. NTP NTP steht für: Network Time Protocol NTP synchronisiert die Uhrzeit von Systemen. Typischer Port: UDP 123 Korrekte Zeit ist wichtig für: - Zertifikate - Kerberos - Logs - Monitoring - Fehlersuche - Authentifizierung Merksatz: NTP = Zeitsynchronisation. RDP RDP steht für: Remote Desktop Protocol RDP wird für grafischen Fernzugriff verwendet, besonders bei Windows-Systemen. Typischer Port: TCP 3389 Wichtig: RDP sollte nicht ungeschützt direkt ins Internet geöffnet werden. Besser: - VPN - Zugriffsbeschränkung - Multi-Faktor-Authentifizierung - Remote Desktop Gateway - starke Passwörter Merksatz: RDP = grafischer Fernzugriff, sorgfältig absichern. Anwendungsschicht und Benutzer Schicht 7 ist die OSI-Schicht, die am nächsten an der Benutzeranwendung liegt. Beispiele: Browser lädt Webseite. Mailprogramm ruft E-Mails ab. Datei-Explorer öffnet Netzfreigabe. Monitoring fragt Gerätedaten ab. Admin verbindet sich per SSH. Wichtig: Der Benutzer sieht oft nur die Anwendung. Technisch arbeitet die Anwendung mit Schicht-7-Protokollen. Merksatz: Schicht 7 ist die benutzernahe Netzwerkschicht. Client und Server Viele Anwendungsschicht-Protokolle arbeiten nach dem Client-Server-Prinzip. Client: stellt Anfrage Server: liefert Antwort oder Dienst Beispiel HTTP: Browser = Client Webserver = Server Beispiel DNS: DNS-Resolver = Client DNS-Server = Server Merksatz: Client fragt an, Server antwortet. Request und Response Viele Anwendungsschicht-Protokolle arbeiten mit Anfrage und Antwort. Beispiel HTTP: Request: Client fordert eine Webseite an. Response: Server liefert die Webseite zurück. Beispiel DNS: Request: Client fragt nach IP-Adresse. Response: DNS-Server liefert Adresse zurück. Merksatz: Request = Anfrage. Response = Antwort. HTTP-Methoden HTTP nutzt Methoden, um die Art einer Anfrage zu beschreiben. Wichtige Methoden: Methode Bedeutung GET Daten abrufen POST Daten senden / erstellen PUT Daten ersetzen PATCH Daten teilweise ändern DELETE Daten löschen HEAD nur Kopfzeilen abrufen Merksatz: GET liest. POST sendet. DELETE löscht. HTTP-Statuscodes HTTP-Statuscodes zeigen das Ergebnis einer Anfrage. Wichtige Bereiche: Bereich Bedeutung 1xx Information 2xx Erfolg 3xx Weiterleitung 4xx Clientfehler 5xx Serverfehler Beispiele: Statuscode Bedeutung 200 OK 301 dauerhaft weitergeleitet 302 vorübergehend weitergeleitet 400 fehlerhafte Anfrage 401 nicht authentifiziert 403 verboten 404 nicht gefunden 500 interner Serverfehler 502 Bad Gateway 503 Dienst nicht verfügbar Merksatz: 2xx gut, 4xx Clientproblem, 5xx Serverproblem. API API steht für: Application Programming Interface Eine API ist eine Schnittstelle, über die Anwendungen miteinander kommunizieren. Im Netzwerkumfeld sind Web-APIs häufig. Sie nutzen oft: - HTTP oder HTTPS - JSON - XML - Tokens - Statuscodes Merksatz: API = Schnittstelle zwischen Anwendungen. REST kurz erklärt REST ist ein Architekturstil für Web-APIs. Typisch: Ressourcen werden über URLs angesprochen. HTTP-Methoden beschreiben die Aktion. Daten werden häufig als JSON übertragen. Beispiel: GET /users bedeutet sinngemäß: Benutzerliste abrufen. Merksatz: REST nutzt HTTP-Ideen für APIs. Anwendungsschicht und Authentifizierung Viele Dienste müssen prüfen: Wer bist du? Das nennt man: Authentifizierung Beispiele: - Benutzername und Passwort - SSH-Schlüssel - Zertifikat - Token - Multi-Faktor-Authentifizierung Merksatz: Authentifizierung prüft Identität. Anwendungsschicht und Autorisierung Autorisierung bedeutet: Was darfst du? Beispiel: Benutzer ist angemeldet, darf aber keine Adminseite öffnen. Authentifizierung und Autorisierung unterscheiden: Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Merksatz: Authentifizierung = Identität. Autorisierung = Rechte. Cookies und Sessions Webanwendungen nutzen oft Cookies, um Sitzungen wiederzuerkennen. Beispiel: Benutzer meldet sich an. Server setzt Session-Cookie. Browser sendet Cookie bei weiteren Anfragen mit. Server erkennt Benutzer wieder. Schichtbezug: Session = Schicht 5 / 7-Bezug Cookie = Anwendungsschicht HTTP = Anwendungsschicht Merksatz: Cookies helfen Webanwendungen, Sitzungen wiederzuerkennen. Anwendungsschicht und Datenformate Schicht 7 arbeitet oft mit Datenformaten aus Schicht 6. Beispiele: HTTP überträgt HTML. API überträgt JSON. Mail enthält MIME-Strukturen. Webserver liefert CSS, JavaScript, Bilder. Darum sind Schicht 6 und 7 in der Praxis eng verbunden. Merksatz: Schicht 7 nutzt häufig Datenformate aus Schicht 6. Anwendungsschicht und DNS-Probleme DNS-Probleme wirken oft wie Internetprobleme. Beispiel: ping 8.8.8.8 funktioniert. ping www.example.com funktioniert nicht. Dann ist IP-Kommunikation grundsätzlich möglich, aber Namensauflösung funktioniert nicht. Mögliche Ursachen: - falscher DNS-Server - DNS-Server nicht erreichbar - falscher DNS-Eintrag - DNS-Cache fehlerhaft - Firewall blockiert DNS - Domain nicht vorhanden Merksatz: IP geht, Name nicht: DNS prüfen. Anwendungsschicht und HTTP-Fehler Wenn TCP 443 erreichbar ist, aber die Webseite Fehler zeigt, liegt das Problem oft höher als Schicht 4. Beispiele: 404 Not Found: Ressource nicht gefunden. 500 Internal Server Error: Anwendung oder Serverfehler. 502 Bad Gateway: Proxy oder Gateway bekommt keine passende Antwort. 503 Service Unavailable: Dienst nicht verfügbar. Merksatz: HTTP-Statuscodes helfen bei Schicht-7-Fehlersuche. Anwendungsschicht und E-Mail-Fehler E-Mail-Probleme können viele Ursachen haben. Mögliche Prüfpunkte: - SMTP-Server erreichbar? - IMAP/POP3 erreichbar? - Benutzer angemeldet? - DNS MX-Record korrekt? - Spamfilter blockiert? - TLS korrekt? - Authentifizierung korrekt? - Mailbox voll? - Sender oder Empfänger falsch? Merksatz: E-Mail-Fehler betreffen oft DNS, Authentifizierung, TLS und Mailprotokolle. Anwendungsschicht und DHCP-Fehler Wenn ein Client keine IP-Adresse erhält, denkt man oft zuerst an Schicht 3. Aber DHCP selbst ist ein Anwendungsschicht-Protokoll. Mögliche Ursachen: - DHCP-Server nicht aktiv - DHCP-Bereich erschöpft - DHCP-Relay fehlt - falsches VLAN - Firewall blockiert UDP 67/68 - falsche DHCP-Optionen - Dienstfehler am DHCP-Server Merksatz: DHCP vergibt IP-Daten, ist aber ein Dienstprotokoll. Anwendungsschicht und Sicherheit Schicht 7 ist besonders wichtig für Sicherheit, weil dort konkrete Dienste und Benutzerinteraktion stattfinden. Typische Risiken: - schwache Passwörter - fehlende MFA - unsichere Webanwendungen - fehlerhafte API-Berechtigungen - unsichere Dateifreigaben - veraltete Dienste - Standardpasswörter - offene Verwaltungsdienste Merksatz: Viele Angriffe zielen direkt auf Anwendungsschicht-Dienste. Typische Schutzmaßnahmen auf Schicht 7 Beispiele: - starke Authentifizierung - Multi-Faktor-Authentifizierung - sichere Passwörter - Rechte nach Minimalprinzip - Updates - sichere Konfiguration - Protokollierung - Eingabevalidierung - Web Application Firewall - sichere API-Tokens - nicht benötigte Dienste deaktivieren Merksatz: Schicht-7-Sicherheit schützt konkrete Dienste und Anwendungen. Was Schicht 7 nicht macht Schicht 7 macht nicht: - Bits als elektrische oder optische Signale übertragen - MAC-Adressen im LAN verwenden - IP-Pakete routen - TCP-Verbindungen aufbauen - Ports bereitstellen - reine Verschlüsselungsschicht ersetzen Diese Aufgaben liegen auf unteren Schichten. Merksatz: Schicht 7 nutzt die unteren Schichten, ersetzt sie aber nicht. Einordnung typischer Begriffe Begriff Schicht HTTP 7 HTTPS 7 mit TLS-Bezug DNS 7 DHCP 7 SMTP 7 IMAP 7 POP3 7 FTP 7 SSH 7 SMB 7 LDAP 7 SNMP 7 NTP 7 TCP-Port 4 IP-Adresse 3 MAC-Adresse 2 Merksatz: Dienstprotokolle wie HTTP, DNS und SMTP gehören zu Schicht 7. Schicht 7 und Fehlersuche Typische Fragen bei Schicht-7-Problemen: Funktioniert IP-Erreichbarkeit? Ist der Port erreichbar? Läuft der Dienst? Stimmt der DNS-Name? Antwortet die Anwendung? Gibt es HTTP-Statuscodes? Funktioniert die Anmeldung? Sind Rechte korrekt? Ist TLS gültig? Stimmen Datenformat und API-Anfrage? Gibt es Fehlermeldungen in Logs? Merksatz: Bei Schicht 7 prüft man Dienst, Inhalt, Anmeldung und Anwendung. Fehlerbild: Webseite öffnet nicht Mögliche Ursachen auf verschiedenen Schichten: Schicht 3: keine Route, falsches Gateway Schicht 4: TCP 80 oder 443 blockiert Schicht 6: TLS-Zertifikat fehlerhaft Schicht 7: Webserverfehler, falscher Pfad, HTTP 500 Merksatz: Webfehler können mehrere Schichten betreffen. Fehlerbild: Login funktioniert nicht Mögliche Ursachen: - falscher Benutzername - falsches Passwort - Konto gesperrt - MFA fehlt - Session-Cookie blockiert - Zeitproblem bei Tokens - Berechtigung fehlt - Authentifizierungsdienst nicht erreichbar - LDAP oder Verzeichnisdienst gestört Merksatz: Loginfehler sind meist Anwendung, Authentifizierung oder Sitzung. Fehlerbild: API antwortet mit Fehler Mögliche Ursachen: - falsche URL - falsche HTTP-Methode - fehlender Token - falsche Berechtigung - ungültiges JSON - falscher Content-Type - Serverfehler - Rate Limit - falsche API-Version Merksatz: API-Fehler betreffen oft Methode, Datenformat, Token oder Rechte. Fehlerbild: DNS löst falsch auf Mögliche Ursachen: - falscher A-Record - falscher AAAA-Record - alter DNS-Cache - falscher DNS-Server - Split-DNS-Konfiguration - Tippfehler im Namen - Zone nicht aktualisiert - TTL noch nicht abgelaufen Merksatz: Falscher DNS-Eintrag kann zum falschen Server führen. Fehlerbild: E-Mail kommt nicht an Mögliche Ursachen: - falscher MX-Record - SMTP blockiert - Spamfilter - SPF, DKIM oder DMARC fehlerhaft - Mailbox voll - Empfängeradresse falsch - TLS-Problem - Authentifizierung fehlerhaft - Blacklisting Merksatz: Mailzustellung hängt stark von DNS, SMTP und Sicherheitsprüfungen ab. Schicht 7 und Logs Logs sind bei Schicht-7-Fehlern besonders wichtig. Typische Logs: - Webserver-Log - Anwendungslog - Authentifizierungslog - Mailserver-Log - DNS-Log - Proxy-Log - API-Log - Firewall-Log Logs zeigen oft: - konkrete Fehlermeldungen - Statuscodes - Benutzer - Zeitpunkt - Quelle - Anfragepfad - Antwortcode Merksatz: Schicht-7-Fehler findet man oft in Anwendungs- und Dienstlogs. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Aufgabe hat die Anwendungsschicht? - Welche Protokolle gehören zur Anwendungsschicht? - Was ist der Unterschied zwischen HTTP und HTTPS? - Was macht DNS? - Was ist der Unterschied zwischen A- und AAAA-Record? - Was macht DHCP? - Warum ist DHCP trotz IP-Bezug ein Anwendungsschicht-Protokoll? - Welche Mailprotokolle gibt es? - Was ist der Unterschied zwischen SMTP, POP3 und IMAP? - Was macht SMB? - Was macht LDAP? - Was macht SNMP? - Was bedeuten HTTP-Statuscodes? - Warum reicht ein erfolgreicher Ping nicht für einen funktionierenden Dienst? - Warum können Schicht-7-Fehler trotz offener Ports auftreten? Typische Prüfungsfallen Schicht 7 heißt Anwendungsschicht. Schicht 7 ist nicht einfach das Programm selbst. Anwendungen nutzen Schicht-7-Protokolle. HTTP gehört zu Schicht 7. HTTPS gehört zu Schicht 7, nutzt aber TLS. DNS gehört zu Schicht 7. DHCP gehört zu Schicht 7, obwohl es IP-Konfiguration vergibt. Port gehört zu Schicht 4. Dienstprotokoll gehört zu Schicht 7. TCP 443 offen bedeutet nicht automatisch, dass die Webseite funktioniert. HTTP-Statuscode 404 ist ein Anwendungsschicht-Hinweis. HTTP-Statuscode 500 deutet auf Server- oder Anwendungsproblem hin. SMTP sendet E-Mails. POP3 und IMAP empfangen E-Mails. SFTP ist nicht FTPS. Telnet ist unverschlüsselt. SSH ist sicherer als Telnet. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Anwendungsschicht OSI-Schicht 7 HTTP Webprotokoll HTTPS HTTP über TLS DNS Namensauflösung DHCP automatische IP-Konfiguration SMTP E-Mail senden POP3 E-Mail abrufen IMAP E-Mail abrufen und verwalten FTP Dateiübertragung SFTP Dateiübertragung über SSH FTPS FTP mit TLS SSH sicherer Fernzugriff SMB Datei- und Druckerfreigaben LDAP Verzeichnisdienstzugriff SNMP Netzwerkmanagement NTP Zeitsynchronisation API Schnittstelle zwischen Anwendungen REST Architekturstil für Web-APIs Request Anfrage Response Antwort Statuscode Ergebnis einer HTTP-Anfrage Authentifizierung Identität prüfen Autorisierung Rechte prüfen IHK-sichere Kurzformulierung Die Anwendungsschicht ist Schicht 7 des OSI-Modells. Sie stellt Netzwerkdienste für Anwendungen bereit. Typische Protokolle der Anwendungsschicht sind HTTP, HTTPS, DNS, DHCP, SMTP, POP3, IMAP, FTP, SSH, SMB, LDAP, SNMP und NTP. Die Anwendungsschicht ist nicht einfach das Programm selbst, sondern umfasst die Protokolle und Dienste, die Anwendungen für die Netzwerkkommunikation verwenden. Ports gehören zur Transportschicht, während die eigentlichen Dienstprotokolle zur Anwendungsschicht gehören. Fehler auf Schicht 7 betreffen häufig Dienste, Anmeldungen, DNS, HTTP-Statuscodes, APIs, Datenformate oder Berechtigungen. Merksätze Schicht 7 = Anwendungsschicht. Schicht 7 = Netzwerkdienste für Anwendungen. Anwendung nutzt Schicht-7-Protokoll. Browser ist Anwendung, HTTP ist Protokoll. Port gehört zu Schicht 4. Dienstprotokoll gehört zu Schicht 7. HTTP = Webprotokoll. HTTPS = HTTP über TLS. DNS = Name zu IP-Adresse. A-Record = IPv4. AAAA-Record = IPv6. MX = Mailserver. DHCP = automatische IP-Konfiguration. DHCP ist trotz IP-Bezug Schicht 7. SMTP sendet E-Mails. POP3 ruft E-Mails ab. IMAP verwaltet E-Mails auf dem Server. FTP ist klassische Dateiübertragung. SFTP ist Dateiübertragung über SSH. FTPS ist FTP mit TLS. SSH = sicherer Fernzugriff. SMB = Datei- und Druckerfreigaben. LDAP = Verzeichnisdienst. SNMP = Netzwerküberwachung. NTP = Zeitsynchronisation. 2xx = Erfolg. 4xx = Clientfehler. 5xx = Serverfehler. Offener Port heißt nicht automatisch: Anwendung funktioniert. Schicht 7 prüft Dienst, Inhalt, Anmeldung und Berechtigung. 10.2 HTTP, HTTPS und Webkommunikation HTTP und HTTPS gehören zu den wichtigsten Protokollen der Anwendungsschicht. Sie werden vor allem für Webseiten, Webanwendungen und APIs verwendet. HTTP steht für: Hypertext Transfer Protocol HTTPS steht für: Hypertext Transfer Protocol Secure Der wichtigste Unterschied: HTTP ist unverschlüsselt. HTTPS nutzt TLS-Verschlüsselung. Merksatz: HTTP = Webkommunikation ohne TLS. HTTPS = Webkommunikation mit TLS. Grundidee von HTTP HTTP ist ein Protokoll zur Übertragung von Webinhalten. Ein Client stellt eine Anfrage. Ein Server liefert eine Antwort. Beispiel: Browser fordert Webseite an. Webserver liefert HTML, CSS, JavaScript, Bilder oder Daten zurück. Typische Inhalte: - Webseiten - Bilder - CSS-Dateien - JavaScript-Dateien - JSON-Daten - API-Antworten - Downloads Merksatz: HTTP arbeitet mit Anfrage und Antwort. Client und Server bei HTTP Bei HTTP gibt es meistens: Client Server Client: stellt Anfrage Server: verarbeitet Anfrage und sendet Antwort Beispiel: Browser = Client Webserver = Server Merksatz: Client fragt an, Server antwortet. Request und Response Eine HTTP-Kommunikation besteht aus: Request Response Request bedeutet: Anfrage des Clients Response bedeutet: Antwort des Servers Beispiel: Request: Browser fordert /index.html an. Response: Server liefert die Datei index.html zurück. Merksatz: Request = Anfrage. Response = Antwort. HTTP-Request Ein HTTP-Request enthält unter anderem: - Methode - Pfad oder URL - Header - optionalen Body Beispiel vereinfacht: GET /index.html HTTP/1.1 Host: example.com Bedeutung: Client möchte die Datei /index.html vom Host example.com abrufen. Merksatz: HTTP-Request beschreibt, was der Client vom Server möchte. HTTP-Response Eine HTTP-Response enthält unter anderem: - Statuscode - Header - optionalen Body Beispiel vereinfacht: HTTP/1.1 200 OK Content-Type: text/html ... Bedeutung: Server antwortet erfolgreich mit HTML-Inhalt. Merksatz: HTTP-Response enthält Ergebnis und Inhalt. URL URL steht für: Uniform Resource Locator Eine URL beschreibt, wo eine Ressource erreichbar ist. Beispiel: https://www.example.com:443/docs/index.html?seite=1 Bestandteile: Bestandteil Beispiel Bedeutung Schema https Protokoll Hostname www.example.com Servername Port 443 Dienst-Port Pfad /docs/index.html Ressource Query ?seite=1 zusätzliche Parameter Merksatz: URL = Adresse einer Ressource. Schema Das Schema steht am Anfang einer URL. Beispiele: http:// https:// Das Schema sagt dem Client, welches Protokoll verwendet werden soll. Beispiel: http://example.com nutzt HTTP. https://example.com nutzt HTTPS. Merksatz: Schema zeigt das verwendete Protokoll. Hostname Der Hostname ist der Name des Servers. Beispiel: www.example.com Der Hostname muss meist per DNS in eine IP-Adresse aufgelöst werden. Ablauf vereinfacht: Browser kennt Namen. DNS liefert IP-Adresse. Browser verbindet sich zur IP-Adresse. Merksatz: Hostname wird über DNS zur IP-Adresse. Port bei HTTP und HTTPS HTTP nutzt typischerweise: TCP 80 HTTPS nutzt typischerweise: TCP 443 Wenn kein Port angegeben wird, nutzt der Client den Standardport des Schemas. Beispiele: http://example.com → TCP 80 https://example.com → TCP 443 Merksatz: HTTP = TCP 80. HTTPS = TCP 443. Pfad Der Pfad zeigt, welche Ressource auf dem Server angefordert wird. Beispiele: / /index.html /produkte /api/users /bilder/logo.png Der Server entscheidet, welcher Inhalt zu diesem Pfad geliefert wird. Merksatz: Pfad zeigt die gewünschte Ressource auf dem Server. Query-Parameter Query-Parameter stehen nach einem Fragezeichen. Beispiel: /suche?q=netzwerk&page=2 Bedeutung: q=netzwerk page=2 Query-Parameter übergeben zusätzliche Informationen an den Server. Typisch bei: - Suchfunktionen - Filtern - Seitennummern - API-Abfragen Merksatz: Query-Parameter geben Zusatzinformationen mit. HTTP-Methoden HTTP-Methoden beschreiben, was der Client tun möchte. Wichtige Methoden: Methode Bedeutung GET Daten abrufen POST Daten senden oder erstellen PUT Ressource vollständig ersetzen PATCH Ressource teilweise ändern DELETE Ressource löschen HEAD nur Kopfzeilen abrufen OPTIONS unterstützte Möglichkeiten abfragen Merksatz: GET liest. POST sendet. PUT ersetzt. PATCH ändert teilweise. DELETE löscht. GET GET wird verwendet, um Daten abzurufen. Beispiele: Webseite laden Bild abrufen API-Daten lesen GET sollte normalerweise keine Daten verändern. Beispiel: GET /artikel/10 Bedeutung: Artikel 10 abrufen. Merksatz: GET = Daten abrufen. POST POST wird verwendet, um Daten an den Server zu senden. Beispiele: Formular absenden Benutzer erstellen Datei hochladen API-Daten senden Beispiel: POST /login Bedeutung: Login-Daten werden an den Server gesendet. Merksatz: POST = Daten an Server senden. PUT PUT ersetzt eine Ressource vollständig. Beispiel: PUT /users/5 Bedeutung: Benutzer 5 wird vollständig mit den gesendeten Daten ersetzt. Merksatz: PUT = vollständig ersetzen. PATCH PATCH ändert eine Ressource teilweise. Beispiel: PATCH /users/5 Bedeutung: Bei Benutzer 5 wird nur ein Teil geändert, zum Beispiel die E-Mail-Adresse. Merksatz: PATCH = teilweise ändern. DELETE DELETE löscht eine Ressource. Beispiel: DELETE /users/5 Bedeutung: Benutzer 5 löschen. Merksatz: DELETE = Ressource löschen. HTTP-Header HTTP-Header enthalten Zusatzinformationen zur Anfrage oder Antwort. Beispiele: Header Bedeutung Host angefragter Hostname User-Agent Client-Information Accept gewünschte Antwortformate Content-Type Format des gesendeten Inhalts Authorization Authentifizierungsdaten Cookie Cookie-Daten Set-Cookie Server setzt Cookie Cache-Control Cache-Verhalten Location Weiterleitungsziel Merksatz: Header enthalten Zusatzinformationen. Content-Type Content-Type beschreibt, welches Datenformat im Body enthalten ist. Beispiele: Content-Type Bedeutung text/html HTML-Webseite application/json JSON-Daten application/xml XML-Daten text/plain einfacher Text image/png PNG-Bild application/pdf PDF-Dokument Merksatz: Content-Type sagt, welches Format der Inhalt hat. Accept-Header Der Accept-Header sagt dem Server, welche Antwortformate der Client akzeptiert. Beispiel: Accept: application/json Bedeutung: Client möchte JSON als Antwort erhalten. Merksatz: Accept sagt, was der Client empfangen möchte. Authorization-Header Der Authorization-Header wird für Authentifizierung verwendet. Beispiele: Bearer Token Basic Authentication API-Key-Verfahren Beispiel vereinfacht: Authorization: Bearer eyJ... Wichtig: Solche Daten müssen geschützt übertragen werden. Deshalb sollte dafür HTTPS genutzt werden. Merksatz: Authorization-Header enthält Zugriffsinformationen. Cookies Cookies sind kleine Daten, die der Server im Browser speichern lassen kann. Der Server sendet: Set-Cookie Der Browser sendet später: Cookie Typische Nutzung: - Sitzung wiedererkennen - Login-Status - Spracheinstellung - Warenkorb - Tracking Merksatz: Cookies helfen, Zustand über mehrere HTTP-Anfragen zu merken. HTTP ist zustandslos HTTP ist grundsätzlich zustandslos. Das bedeutet: Jede Anfrage ist zunächst unabhängig. Ohne Cookies, Tokens oder andere Mechanismen wüsste der Server nicht automatisch, dass mehrere Anfragen zum gleichen Benutzer gehören. Beispiel: Anfrage 1: Login Anfrage 2: Dashboard öffnen Der Server braucht einen Mechanismus, um die Sitzung wiederzuerkennen. Merksatz: HTTP ist zustandslos, Sitzungen schaffen Zusammenhang. Session-Cookie Ein Session-Cookie kann eine Session-ID enthalten. Damit erkennt der Server: Diese Anfrage gehört zu einer bestimmten Sitzung. Beispiel: Benutzer meldet sich an. Server setzt Session-Cookie. Browser sendet Cookie bei weiteren Anfragen mit. Server erkennt Benutzer wieder. Merksatz: Session-Cookie verbindet mehrere HTTP-Anfragen zu einer Sitzung. HTTPS HTTPS ist HTTP über TLS. Dabei werden HTTP-Daten verschlüsselt übertragen. Schutz durch TLS: - Schutz vor Mitlesen - Schutz vor unbemerkter Veränderung - Prüfung der Serveridentität über Zertifikat Merksatz: HTTPS schützt HTTP-Kommunikation mit TLS. Ablauf bei HTTPS vereinfacht Bei HTTPS passiert vereinfacht: 1. DNS löst den Namen auf. 2. TCP-Verbindung zu Port 443 wird aufgebaut. 3. TLS-Handshake findet statt. 4. Zertifikat wird geprüft. 5. HTTP-Anfrage wird verschlüsselt gesendet. 6. HTTP-Antwort wird verschlüsselt empfangen. Merksatz: Bei HTTPS kommt vor HTTP zuerst TCP und TLS. HTTP und TLS unterscheiden Thema Einordnung HTTP Anwendungsschicht-Protokoll HTTPS HTTP über TLS TLS Verschlüsselungs- und Schutzschicht TCP 443 Transportverbindung Zertifikat Vertrauensnachweis bei TLS Merksatz: HTTP spricht die Anwendung. TLS schützt die Verbindung. TCP transportiert. HTTP-Versionen Es gibt verschiedene HTTP-Versionen. Wichtige Versionen: Version Kurzidee HTTP/1.1 klassisch, weit verbreitet HTTP/2 effizientere Übertragung über eine Verbindung HTTP/3 nutzt QUIC über UDP Wichtig für die Prüfung: HTTP/3 nutzt QUIC über UDP. Klassisches HTTPS nutzt häufig TCP 443. Merksatz: HTTP/3 nutzt QUIC über UDP. HTTP/1.1 HTTP/1.1 ist eine klassische und weit verbreitete Version. Typische Merkmale: - Request/Response - Header - Host-Header wichtig für virtuelle Hosts - mehrere Anfragen möglich - sehr verbreitet Merksatz: HTTP/1.1 ist die klassische Webkommunikation. HTTP/2 HTTP/2 verbessert die Effizienz der Webkommunikation. Vorteile: - mehrere Streams über eine Verbindung - bessere Nutzung einer Verbindung - Header-Kompression - geringere Ladezeiten möglich Für die Prüfung reicht meist: HTTP/2 ist moderner und effizienter als HTTP/1.1. Merksatz: HTTP/2 kann mehrere Übertragungen effizienter bündeln. HTTP/3 HTTP/3 basiert auf QUIC. QUIC nutzt UDP. Typisch: UDP 443 Vorteile: - schnellerer Verbindungsaufbau - bessere Leistung bei Paketverlust - moderne Webkommunikation Prüfungsfalle: HTTPS bedeutet nicht immer nur TCP 443, bei HTTP/3 kann UDP 443 relevant sein. Merksatz: HTTP/3 = HTTP über QUIC über UDP. Statuscodes HTTP-Statuscodes zeigen das Ergebnis einer Anfrage. Sie stehen in der HTTP-Antwort. Beispiel: 200 OK Bedeutung: Anfrage erfolgreich. Merksatz: Statuscode zeigt, wie der Server die Anfrage beantwortet hat. Statuscode-Bereiche Bereich Bedeutung 1xx Information 2xx Erfolg 3xx Weiterleitung 4xx Clientfehler 5xx Serverfehler Merksatz: 2xx = Erfolg. 3xx = Weiterleitung. 4xx = Clientfehler. 5xx = Serverfehler. Wichtige HTTP-Statuscodes Statuscode Bedeutung 200 OK 201 Created 301 dauerhaft weitergeleitet 302 vorübergehend weitergeleitet 304 nicht verändert 400 fehlerhafte Anfrage 401 nicht authentifiziert 403 verboten 404 nicht gefunden 405 Methode nicht erlaubt 429 zu viele Anfragen 500 interner Serverfehler 502 Bad Gateway 503 Dienst nicht verfügbar 504 Gateway Timeout Merksatz: 404 = nicht gefunden. 500 = Serverfehler. 502 = Gateway-Problem. 503 = Dienst nicht verfügbar. 401 und 403 unterscheiden 401 bedeutet: nicht authentifiziert Der Benutzer ist nicht oder nicht gültig angemeldet. 403 bedeutet: verboten Der Benutzer ist zwar eventuell bekannt, hat aber keine Berechtigung. Merksatz: 401 = wer bist du? 403 = du darfst das nicht. 404 Not Found 404 bedeutet: Ressource nicht gefunden Mögliche Ursachen: - falscher Pfad - Datei fehlt - Route in Anwendung fehlt - Link falsch - Ressource wurde gelöscht - Rewrite-Regel falsch Merksatz: 404 = angeforderte Ressource existiert dort nicht. 500 Internal Server Error 500 bedeutet: interner Serverfehler Mögliche Ursachen: - Fehler in Anwendung - Datenbankfehler - Programmierfehler - falsche Konfiguration - fehlende Rechte - Dienstproblem Merksatz: 500 = Server oder Anwendung hat intern ein Problem. 502 Bad Gateway 502 tritt häufig bei Proxys oder Gateways auf. Bedeutung: Ein Gateway oder Proxy hat keine gültige Antwort vom Backend erhalten. Mögliche Ursachen: - Backend-Dienst down - falscher Backend-Port - Reverse Proxy falsch konfiguriert - Verbindung zum Backend scheitert - Backend antwortet ungültig Merksatz: 502 = Proxy erreicht Backend nicht sauber. 503 Service Unavailable 503 bedeutet: Dienst nicht verfügbar Mögliche Ursachen: - Server überlastet - Wartungsmodus - Anwendung nicht gestartet - Backend nicht verfügbar - Ressourcenmangel Merksatz: 503 = Dienst aktuell nicht verfügbar. 504 Gateway Timeout 504 bedeutet: Gateway Timeout Ein Proxy oder Gateway wartet zu lange auf Antwort vom Backend. Mögliche Ursachen: - Backend langsam - Backend hängt - Netzwerkproblem zum Backend - Timeout zu kurz eingestellt - Datenbankantwort dauert zu lange Merksatz: 504 = Gateway wartet zu lange auf Backend. Weiterleitungen Weiterleitungen gehören zu den 3xx-Statuscodes. Beispiele: 301 302 301 bedeutet: dauerhaft weitergeleitet 302 bedeutet: vorübergehend weitergeleitet Der neue Ort steht häufig im Header: Location Merksatz: 3xx bedeutet: Client soll woanders hin. Cache Caching bedeutet: Inhalte werden zwischengespeichert. Ziel: schnellere Ladezeiten weniger Serverlast weniger Datenverkehr Caches können existieren bei: - Browser - Proxy - CDN - Anwendung - DNS Merksatz: Cache speichert Daten, um spätere Anfragen schneller zu beantworten. Cache-Control Cache-Control ist ein HTTP-Header. Er steuert, wie Inhalte zwischengespeichert werden dürfen. Beispiele: Cache-Control: no-cache Cache-Control: no-store Cache-Control: max-age=3600 Merksatz: Cache-Control steuert HTTP-Caching. API und HTTP Viele APIs nutzen HTTP oder HTTPS. Typisch: URL beschreibt Ressource. HTTP-Methode beschreibt Aktion. Header enthalten Zusatzinformationen. Body enthält Daten. Statuscode zeigt Ergebnis. Beispiel: GET /api/users Bedeutung: Benutzer abrufen. Merksatz: Web-APIs nutzen HTTP als Kommunikationsgrundlage. REST und HTTP REST nutzt HTTP-Ideen für APIs. Typisch: Aktion HTTP-Methode Beispiel lesen GET GET /users erstellen POST POST /users ersetzen PUT PUT /users/5 teilweise ändern PATCH PATCH /users/5 löschen DELETE DELETE /users/5 Merksatz: REST ordnet Aktionen oft HTTP-Methoden zu. JSON bei APIs Viele APIs nutzen JSON als Datenformat. Beispiel: { "id": 5, "name": "Felix", "rolle": "admin" } Wichtig: JSON gehört als Datenformat eher zu Schicht 6, wird aber häufig in Schicht-7-APIs genutzt. Merksatz: APIs nutzen oft JSON für strukturierte Daten. Content-Type bei APIs Bei APIs ist Content-Type besonders wichtig. Beispiel: Content-Type: application/json Bedeutung: Der Body enthält JSON. Wenn Content-Type falsch ist, kann der Server die Daten falsch interpretieren oder ablehnen. Merksatz: Falscher Content-Type kann API-Fehler verursachen. Authentifizierung bei Webdiensten Webdienste können unterschiedliche Authentifizierungsarten nutzen. Beispiele: - Benutzername und Passwort - Session-Cookie - Bearer Token - API-Key - Client-Zertifikat - OAuth - OpenID Connect - Multi-Faktor-Authentifizierung Merksatz: Webdienste müssen oft Benutzer oder Clients prüfen. Bearer Token Ein Bearer Token ist ein Zugriffstoken. Es wird häufig im Authorization-Header gesendet. Beispiel: Authorization: Bearer Wichtig: Wer den Token besitzt, kann ihn oft verwenden. Deshalb muss er geschützt werden. Merksatz: Bearer Token wie ein Passwort schützen. CORS kurz erklärt CORS steht für: Cross-Origin Resource Sharing CORS regelt, ob ein Browser eine Webseite von einer Herkunft auf Ressourcen einer anderen Herkunft zugreifen lässt. Beispiel: Webseite von app.firma.de ruft API von api.firma.de auf Wenn CORS nicht passend konfiguriert ist, blockiert der Browser die Anfrage. Merksatz: CORS ist eine Browser-Sicherheitsregel für Webanfragen. Same-Origin Policy Die Same-Origin Policy ist eine wichtige Browser-Sicherheitsregel. Sie begrenzt, wie Webseiten auf Daten anderer Herkunft zugreifen dürfen. Herkunft besteht aus: - Schema - Host - Port Beispiel: https://app.firma.de:443 Merksatz: Gleiche Herkunft = Schema, Host und Port passen. Mixed Content Mixed Content bedeutet: Eine HTTPS-Seite lädt Inhalte über HTTP nach. Beispiel: Hauptseite: https://wiki.firma.de eingebundenes Script: http://example.com/script.js Browser blockieren solche Inhalte oft oder warnen. Merksatz: HTTPS-Seiten sollten keine HTTP-Inhalte nachladen. Reverse Proxy Ein Reverse Proxy steht vor einem oder mehreren internen Diensten. Ablauf: Client → Reverse Proxy → Backend-Server Typische Aufgaben: - TLS beenden - Anfragen weiterleiten - mehrere Dienste über eine Domainstruktur bereitstellen - Lastverteilung - Zugriffsschutz - Header setzen - Weiterleitungen durchführen Merksatz: Reverse Proxy nimmt Anfragen an und leitet sie intern weiter. Backend Backend bezeichnet den Dienst, der hinter einem Reverse Proxy arbeitet. Beispiel: Client ruft https://wiki.firma.de auf. Reverse Proxy nimmt Anfrage an. Backend ist der interne Webdienst. Mögliche Fehler: - Backend läuft nicht - falscher Backend-Port - falsches Protokoll HTTP/HTTPS - Firewall blockiert intern - falscher Pfad Merksatz: Backend = eigentlicher Dienst hinter Proxy oder Anwendung. Host-Header Der Host-Header sagt dem Webserver, welcher Hostname angefragt wurde. Beispiel: Host: wiki.firma.de Das ist wichtig, wenn mehrere Webseiten auf derselben IP-Adresse laufen. Der Server entscheidet anhand des Host-Headers, welche Webseite ausgeliefert wird. Merksatz: Host-Header ermöglicht mehrere Webseiten auf einer IP. Virtueller Host Ein virtueller Host erlaubt, mehrere Webseiten oder Dienste auf einem Server zu betreiben. Beispiel: wiki.firma.de cloud.firma.de shop.firma.de Alle können auf dieselbe IP zeigen, aber unterschiedliche Inhalte liefern. Merksatz: Virtuelle Hosts unterscheiden Webseiten über Hostnamen. Fehlerbild: Webseite nicht erreichbar Mögliche Ursachen nach Schichten: Schicht 3: IP, Gateway oder Routing falsch Schicht 4: TCP 80 oder 443 nicht erreichbar Schicht 6: TLS-Zertifikat fehlerhaft Schicht 7: HTTP-Fehler, Anwendung, Pfad oder Backend Merksatz: Webfehler systematisch nach Schichten prüfen. Fehlerbild: HTTP 404 Mögliche Ursachen: - falscher Pfad - Datei existiert nicht - Route in Anwendung fehlt - Reverse Proxy leitet falsch weiter - falsche Base-URL - Anwendung erwartet anderen Pfad Merksatz: 404 = Ressource unter diesem Pfad nicht gefunden. Fehlerbild: HTTP 500 Mögliche Ursachen: - Fehler in Anwendung - Datenbank nicht erreichbar - falsche Rechte - Konfigurationsfehler - Abhängigkeit fehlt - Programmfehler - Speicher- oder Ressourcenproblem Merksatz: 500 = Anwendung oder Server hat intern ein Problem. Fehlerbild: HTTP 502 Mögliche Ursachen: - Reverse Proxy erreicht Backend nicht - Backend-Port falsch - Backend-Protokoll falsch - Backend abgestürzt - Firewall blockiert intern - falscher Container-Name oder DNS-Name - Timeout oder ungültige Backend-Antwort Merksatz: 502 = Proxy-zu-Backend prüfen. Fehlerbild: Login-Schleife Eine Login-Schleife bedeutet: Benutzer meldet sich an, landet aber wieder auf Login-Seite. Mögliche Ursachen: - Session-Cookie wird nicht gespeichert - Cookie-Domain falsch - Cookie-Pfad falsch - HTTP/HTTPS-Wechsel - SameSite-Problem - Server verliert Session-State - falsche Systemzeit - Token ungültig Merksatz: Login-Schleifen sind oft Cookie-, Session- oder Token-Probleme. Fehlerbild: API lehnt Anfrage ab Mögliche Ursachen: - falsche HTTP-Methode - falsche URL - fehlender Authorization-Header - Token ungültig - falscher Content-Type - ungültiges JSON - fehlende Pflichtfelder - fehlende Berechtigung - Rate Limit erreicht Merksatz: API-Fehler mit Methode, URL, Header, Body und Statuscode prüfen. Fehlersuche bei Webkommunikation Eine sinnvolle Reihenfolge: 1. DNS-Name wird korrekt aufgelöst? 2. Ziel-IP erreichbar? 3. TCP-Port 80 oder 443 erreichbar? 4. TLS-Zertifikat gültig? 5. HTTP-Statuscode prüfen. 6. Weiterleitungen prüfen. 7. Header prüfen. 8. Cookies und Session prüfen. 9. Reverse Proxy prüfen. 10. Backend und Anwendungslogs prüfen. Merksatz: Bei Webfehlern erst Verbindung, dann TLS, dann HTTP, dann Anwendung prüfen. HTTP-Logs HTTP-Logs helfen bei der Fehlersuche. Typische Informationen: - Client-IP - Zeit - Methode - Pfad - Statuscode - Antwortgröße - User-Agent - Referer - Bearbeitungszeit Beispiele für wichtige Fragen: Kommt die Anfrage beim Server an? Welcher Pfad wird aufgerufen? Welcher Statuscode wird geliefert? Ist der Fehler nur bei bestimmten Clients? Merksatz: HTTP-Logs zeigen, was der Webserver tatsächlich beantwortet. Reverse-Proxy-Logs Reverse-Proxy-Logs sind wichtig, wenn ein Proxy zwischen Client und Backend steht. Sie zeigen oft: - eingehende Anfrage - gewähltes Backend - Statuscode - Upstream-Fehler - Timeout - TLS-Informationen - Weiterleitungsprobleme Merksatz: Bei 502, 503 und 504 zuerst Proxy und Backend prüfen. Sicherheit bei HTTP und HTTPS Wichtige Sicherheitsregeln: - HTTPS statt HTTP verwenden - Zertifikate aktuell halten - sichere Cookies setzen - sensible Daten nicht in URLs schreiben - Eingaben prüfen - Authentifizierung schützen - Rechte sauber prüfen - unnötige Header vermeiden - nicht benötigte Dienste abschalten - Logs datenschutzbewusst behandeln Merksatz: Websicherheit betrifft Transport, Anwendung und Benutzerzugriff. Sensible Daten nicht in URLs Sensible Daten sollten nicht in Query-Parametern stehen. Problem: URLs können in Logs, Browserhistorie, Proxys oder Referer-Headern auftauchen. Schlecht: /login?password=geheim Besser: sensible Daten im Body übertragen und HTTPS verwenden. Merksatz: Passwörter und Tokens gehören nicht in URLs. HTTP und Datenschutz HTTP-Logs können personenbezogene Daten enthalten. Beispiele: - IP-Adressen - Benutzerkennungen - Pfade - Suchbegriffe - Tokens in URLs - Zeitstempel Deshalb wichtig: Logs schützen, Aufbewahrung begrenzen, sensible Daten vermeiden. Merksatz: Weblogs können sensible Informationen enthalten. Einordnung in das OSI-Modell Thema Schicht IP-Adresse 3 TCP 80 / TCP 443 4 TLS 6 mit Bezug zu 4 und 7 HTTP 7 HTTPS 7 über TLS URL 7 HTTP-Header 7 HTTP-Methode 7 HTTP-Statuscode 7 Cookie 7 mit Sitzungsbezug JSON-Format 6 / 7-Bezug Reverse Proxy 7 mit Bezug zu 4 und 6 Merksatz: HTTP ist Schicht 7. TLS schützt darunter. TCP transportiert darunter. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist HTTP? - Was ist HTTPS? - Was ist der Unterschied zwischen HTTP und HTTPS? - Welche Ports nutzen HTTP und HTTPS? - Was ist ein HTTP-Request? - Was ist eine HTTP-Response? - Was ist eine URL? - Was bedeuten GET, POST, PUT, PATCH und DELETE? - Was ist ein HTTP-Header? - Was bedeutet Content-Type? - Was ist ein Cookie? - Warum ist HTTP zustandslos? - Was bedeuten HTTP-Statuscodes? - Was ist der Unterschied zwischen 401 und 403? - Was bedeuten 404, 500, 502, 503 und 504? - Was ist ein Reverse Proxy? - Warum kann eine Webseite trotz offenem Port Fehler anzeigen? Typische Prüfungsfallen HTTP gehört zu Schicht 7. HTTPS gehört zu Schicht 7, nutzt aber TLS. HTTP nutzt typischerweise TCP 80. HTTPS nutzt typischerweise TCP 443. HTTP/3 nutzt QUIC über UDP. Port gehört zu Schicht 4. HTTP-Methode gehört zu Schicht 7. HTTP-Statuscode gehört zu Schicht 7. TLS-Zertifikatsfehler sind nicht einfach HTTP-Fehler. HTTP ist grundsätzlich zustandslos. Cookies helfen bei Sitzungen. GET sollte Daten abrufen. POST sendet Daten an den Server. 401 bedeutet nicht authentifiziert. 403 bedeutet verboten. 404 bedeutet nicht gefunden. 500 bedeutet interner Serverfehler. 502 deutet häufig auf Proxy-Backend-Problem. 503 bedeutet Dienst nicht verfügbar. 504 bedeutet Gateway Timeout. Offener TCP-Port 443 heißt nicht, dass die Webanwendung korrekt funktioniert. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung HTTP Webprotokoll HTTPS HTTP über TLS Request Anfrage des Clients Response Antwort des Servers URL Adresse einer Ressource Schema Protokollteil einer URL Hostname Name des Servers Pfad angeforderte Ressource Query Zusatzparameter in URL Methode Aktion einer HTTP-Anfrage Header Zusatzinformationen Body Nutzdaten einer Anfrage oder Antwort Content-Type Format des Inhalts Cookie gespeicherte Webinformation Session-Cookie Cookie zur Sitzungszuordnung Statuscode Ergebnis einer HTTP-Anfrage Redirect Weiterleitung Cache Zwischenspeicher API Anwendungsschnittstelle REST API-Architekturstil Bearer Token Zugriffstoken CORS Browser-Regel für fremde Herkunft Reverse Proxy vorgelagerter Webserver Backend interner Ziel-Dienst IHK-sichere Kurzformulierung HTTP ist ein Anwendungsschicht-Protokoll zur Übertragung von Webinhalten. Es arbeitet mit Requests und Responses. Ein Client fordert eine Ressource über eine URL an, der Server antwortet mit Headern, einem Statuscode und optionalem Inhalt. HTTPS ist HTTP über TLS und schützt die Übertragung durch Verschlüsselung, Integrität und Serverauthentifizierung. HTTP nutzt typischerweise TCP-Port 80, HTTPS typischerweise TCP-Port 443. HTTP-Methoden wie GET, POST, PUT, PATCH und DELETE beschreiben die gewünschte Aktion. HTTP-Statuscodes zeigen das Ergebnis einer Anfrage an. Fehler wie 404, 500, 502, 503 oder 504 helfen bei der Fehlersuche auf Anwendungsschicht. Merksätze HTTP = Hypertext Transfer Protocol. HTTPS = HTTP über TLS. HTTP gehört zu Schicht 7. HTTPS gehört zu Schicht 7 mit TLS-Bezug. HTTP nutzt typischerweise TCP 80. HTTPS nutzt typischerweise TCP 443. HTTP/3 nutzt QUIC über UDP. Client stellt Request. Server sendet Response. URL zeigt Ressource. Hostname wird per DNS aufgelöst. GET ruft Daten ab. POST sendet Daten. PUT ersetzt vollständig. PATCH ändert teilweise. DELETE löscht. Header enthalten Zusatzinformationen. Content-Type beschreibt das Datenformat. Cookie hilft bei Sitzungen. HTTP ist zustandslos. HTTPS schützt HTTP mit TLS. Erst TCP, dann TLS, dann HTTP. 2xx = Erfolg. 3xx = Weiterleitung. 4xx = Clientfehler. 5xx = Serverfehler. 401 = nicht authentifiziert. 403 = verboten. 404 = nicht gefunden. 500 = interner Serverfehler. 502 = Bad Gateway. 503 = Dienst nicht verfügbar. 504 = Gateway Timeout. Offener Port heißt nicht: Webanwendung funktioniert. Bei Webfehlern DNS, IP, Port, TLS, HTTP und Anwendung prüfen. 10.3 DNS und Namensauflösung DNS gehört zur OSI-Schicht 7. DNS steht für: Domain Name System Die Hauptaufgabe von DNS ist: Namen in IP-Adressen auflösen. Beispiel: www.example.com → 93.184.216.34 Menschen merken sich Namen leichter als IP-Adressen. Computer benötigen aber IP-Adressen, um über das Netzwerk zu kommunizieren. Merksatz: DNS = Name zu IP-Adresse. Warum braucht man DNS? Ohne DNS müsste man sich IP-Adressen merken. Beispiel ohne DNS: 93.184.216.34 Beispiel mit DNS: www.example.com DNS macht Netzwerke benutzerfreundlicher und flexibler. Wenn sich die IP-Adresse eines Servers ändert, kann der DNS-Eintrag angepasst werden, ohne dass sich der Name ändern muss. Merksatz: DNS trennt Namen von IP-Adressen. DNS im OSI-Modell DNS ist ein Anwendungsschicht-Protokoll. Es nutzt Transportprotokolle aus Schicht 4. Typisch: UDP 53 TCP 53 Wichtig: DNS-Port 53 gehört zu Schicht 4. DNS-Protokoll gehört zu Schicht 7. Merksatz: DNS nutzt Ports, ist aber ein Dienst der Anwendungsschicht. DNS und IP-Kommunikation DNS ist nicht nötig, wenn direkt mit einer IP-Adresse kommuniziert wird. Beispiel: ping 8.8.8.8 Hier wird kein DNS-Name benötigt. DNS wird benötigt bei: ping www.example.com Denn der Name muss zuerst in eine IP-Adresse aufgelöst werden. Merksatz: IP-Adresse direkt = kein DNS nötig. Name verwenden = DNS nötig. Typischer Ablauf einer Namensauflösung Vereinfacht: 1. Benutzer gibt Namen ein. 2. Client prüft lokalen Cache. 3. Client fragt DNS-Resolver. 4. Resolver sucht die passende Antwort. 5. Resolver liefert IP-Adresse zurück. 6. Client verbindet sich zur IP-Adresse. Beispiel: Browser: www.example.com öffnen DNS: www.example.com = 93.184.216.34 Browser: Verbindung zu 93.184.216.34 aufbauen Merksatz: Erst Name auflösen, dann Verbindung zur IP-Adresse aufbauen. DNS-Client Der DNS-Client ist das System, das eine DNS-Anfrage stellt. Beispiele: - PC - Smartphone - Server - Browser - Anwendung - Betriebssystem Der Client fragt normalerweise nicht direkt alle DNS-Server im Internet, sondern nutzt einen eingetragenen DNS-Resolver. Merksatz: DNS-Client stellt die Anfrage. DNS-Resolver Ein DNS-Resolver beantwortet DNS-Anfragen für Clients. Er kann: - Antworten aus Cache liefern - andere DNS-Server fragen - rekursive Auflösung durchführen - lokale DNS-Zonen kennen Beispiele für Resolver: - Router im Heimnetz - interner DNS-Server - Provider-DNS - öffentlicher DNS-Dienst Merksatz: Resolver sucht die Antwort für den Client. Rekursive DNS-Abfrage Bei einer rekursiven Abfrage erwartet der Client vom Resolver eine fertige Antwort. Der Client fragt: Welche IP hat www.example.com? Der Resolver kümmert sich darum, die Antwort zu finden. Der Client erhält am Ende: IP-Adresse oder Fehler Merksatz: Rekursiv = Resolver erledigt die Suche für den Client. Iterative DNS-Abfrage Bei einer iterativen Abfrage liefert ein DNS-Server nicht unbedingt die endgültige Antwort. Er kann stattdessen sagen: Frag den nächsten zuständigen Server. Das passiert typischerweise zwischen DNS-Servern bei der Auflösung. Merksatz: Iterativ = Server verweist auf nächsten zuständigen Server. DNS-Hierarchie DNS ist hierarchisch aufgebaut. Vereinfacht: Root Top-Level-Domain Domain Subdomain Hostname Beispiel: www.example.com Aufteilung: Teil Bedeutung . Root com Top-Level-Domain example Domain www Hostname oder Subdomain Merksatz: DNS ist wie ein Baum aufgebaut. Root-DNS-Server Root-DNS-Server stehen ganz oben in der DNS-Hierarchie. Sie kennen nicht jede einzelne Domain, aber sie wissen, welche Nameserver für Top-Level-Domains zuständig sind. Beispiel: Für .de frage diese Nameserver. Für .com frage diese Nameserver. Merksatz: Root-Server verweisen auf TLD-Nameserver. Top-Level-Domain Eine Top-Level-Domain ist der rechte Teil eines Domainnamens. Beispiele: .de .com .org .net .edu Bei: www.example.com ist: .com die Top-Level-Domain. Merksatz: TLD = oberster Domainbereich wie .de oder .com. Authoritative DNS-Server Ein authoritative DNS-Server ist für eine DNS-Zone zuständig. Er enthält verbindliche Informationen für eine Domain. Beispiel: Der authoritative DNS-Server für example.com kennt Einträge wie: www.example.com mail.example.com api.example.com Merksatz: Authoritative DNS-Server liefern verbindliche Antworten für eine Zone. DNS-Zone Eine DNS-Zone ist ein verwalteter Bereich im DNS. Beispiel: example.com In dieser Zone können Einträge liegen wie: www.example.com mail.example.com api.example.com Eine Zone wird von zuständigen DNS-Servern verwaltet. Merksatz: DNS-Zone = verwalteter Namensbereich. Forward Lookup Forward Lookup bedeutet: Name zu IP-Adresse Beispiel: www.example.com → 93.184.216.34 Das ist die häufigste DNS-Nutzung. Merksatz: Forward Lookup = Name zu IP. Reverse Lookup Reverse Lookup bedeutet: IP-Adresse zu Name Beispiel: 93.184.216.34 → www.example.com Dafür werden spezielle DNS-Zonen verwendet. Bei IPv4: in-addr.arpa Bei IPv6: ip6.arpa Merksatz: Reverse Lookup = IP zu Name. DNS-Records DNS speichert Informationen in Records. Ein Record ist ein DNS-Eintrag. Wichtige Record-Typen: Record Bedeutung A Name zu IPv4-Adresse AAAA Name zu IPv6-Adresse CNAME Alias auf anderen Namen MX Mailserver einer Domain NS zuständiger Nameserver TXT Textinformationen PTR Reverse-DNS-Eintrag SRV Dienststandort SOA Start of Authority Merksatz: DNS-Records speichern verschiedene Namensinformationen. A-Record Ein A-Record ordnet einen Namen einer IPv4-Adresse zu. Beispiel: www.example.com → 93.184.216.34 A steht für: Address Merksatz: A-Record = Name zu IPv4. AAAA-Record Ein AAAA-Record ordnet einen Namen einer IPv6-Adresse zu. Beispiel: www.example.com → 2001:db8::10 Warum AAAA? IPv6-Adressen sind 128 Bit groß. IPv4-Adressen sind 32 Bit groß. 128 Bit sind viermal so groß wie 32 Bit. Merksatz: AAAA-Record = Name zu IPv6. CNAME-Record Ein CNAME ist ein Alias. CNAME steht für: Canonical Name Beispiel: shop.example.com → webserver.example.com Der Name shop.example.com zeigt also auf einen anderen Namen. Wichtig: Ein CNAME zeigt auf einen Namen, nicht direkt auf eine IP-Adresse. Merksatz: CNAME = Alias auf anderen DNS-Namen. MX-Record MX steht für: Mail Exchanger Ein MX-Record gibt an, welche Mailserver für eine Domain zuständig sind. Beispiel: example.com MX 10 mail.example.com Die Zahl ist die Priorität. Kleinere Zahl bedeutet: höhere Priorität Merksatz: MX = zuständiger Mailserver einer Domain. NS-Record NS steht für: Name Server Ein NS-Record gibt an, welche Nameserver für eine Zone zuständig sind. Beispiel: example.com NS ns1.example.com example.com NS ns2.example.com Merksatz: NS = zuständiger Nameserver. TXT-Record TXT-Records speichern Textinformationen. Typische Nutzung: - SPF - DKIM - DMARC - Domain-Verifizierung - Sicherheitsinformationen - Dienstnachweise Beispiel: v=spf1 include:example.net -all Merksatz: TXT-Record = Textinformationen im DNS. PTR-Record PTR steht für: Pointer Ein PTR-Record wird für Reverse Lookup verwendet. Er ordnet eine IP-Adresse einem Namen zu. Beispiel: 93.184.216.34 → server.example.com PTR-Records sind besonders bei Mailservern relevant. Merksatz: PTR = Reverse-DNS-Eintrag. SRV-Record SRV steht für: Service Ein SRV-Record beschreibt, wo ein bestimmter Dienst erreichbar ist. Er kann enthalten: - Dienst - Protokoll - Zielhost - Port - Priorität - Gewichtung Typische Nutzung: - Verzeichnisdienste - VoIP - Microsoft-Dienste - XMPP Merksatz: SRV zeigt, wo ein Dienst erreichbar ist. SOA-Record SOA steht für: Start of Authority Der SOA-Record enthält Verwaltungsinformationen einer DNS-Zone. Dazu gehören zum Beispiel: - primärer Nameserver - verantwortliche Kontaktadresse - Seriennummer - Aktualisierungszeiten - Ablaufzeiten Merksatz: SOA enthält Verwaltungsdaten einer DNS-Zone. TTL TTL steht bei DNS für: Time To Live Die TTL gibt an, wie lange ein DNS-Eintrag zwischengespeichert werden darf. Beispiel: TTL 3600 Bedeutung: Eintrag darf 3600 Sekunden, also eine Stunde, gecacht werden. Merksatz: DNS-TTL bestimmt, wie lange eine Antwort im Cache bleiben darf. DNS-Cache Ein DNS-Cache speichert Antworten vorübergehend. Caches gibt es zum Beispiel bei: - Betriebssystem - Browser - DNS-Resolver - Router - Provider - Anwendungen Vorteil: schnellere Antworten weniger Last auf DNS-Servern Nachteil: Änderungen werden nicht sofort überall sichtbar. Merksatz: DNS-Cache macht DNS schneller, kann Änderungen aber verzögern. Warum DNS-Änderungen dauern können DNS-Änderungen sind nicht immer sofort überall sichtbar. Grund: alte Antworten können noch in Caches liegen. Die Dauer hängt stark von der TTL ab. Beispiel: TTL 86400 bedeutet: Antwort darf bis zu 24 Stunden gecacht werden. Merksatz: DNS-Änderungen brauchen wegen Caching Zeit. DNS und DHCP Clients erhalten DNS-Server häufig per DHCP. DHCP kann dem Client mitteilen: - IP-Adresse - Subnetzmaske - Gateway - DNS-Server - Domain-Suffix Wenn der falsche DNS-Server per DHCP verteilt wird, funktioniert Namensauflösung möglicherweise falsch. Merksatz: DHCP verteilt oft die DNS-Serveradresse. DNS-Suffix Ein DNS-Suffix kann bei unvollständigen Namen ergänzt werden. Beispiel: eingegeben: server01 DNS-Suffix: firma.local Abfrage wird zu: server01.firma.local Typisch in Unternehmensnetzen. Merksatz: DNS-Suffix ergänzt kurze Namen. FQDN FQDN steht für: Fully Qualified Domain Name Ein FQDN ist ein vollständiger DNS-Name. Beispiel: server01.firma.local Er beschreibt den Namen eindeutig innerhalb der DNS-Hierarchie. Merksatz: FQDN = vollständiger DNS-Name. Hostname und Domainname Hostname: Name eines Geräts oder Dienstes Domainname: Namensbereich Beispiel: server01.firma.local Dabei ist: server01 = Hostname firma.local = Domain Merksatz: Hostname ist der einzelne Name, Domain ist der Namensbereich. Split DNS Split DNS bedeutet: Ein Name kann intern und extern unterschiedlich aufgelöst werden. Beispiel: wiki.firma.de intern: 192.168.10.50 extern: 93.184.100.10 Das ist häufig sinnvoll, wenn interne Clients interne Adressen verwenden sollen. Merksatz: Split DNS liefert je nach Standort unterschiedliche Antworten. Interne und externe DNS-Zonen Unternehmen nutzen oft interne und externe DNS-Zonen. Extern sichtbar: www.firma.de mail.firma.de Intern zusätzlich: server01.firma.local db01.intern.firma.de printer01.firma.local Wichtig: Interne Namen sollten nicht unkontrolliert öffentlich sichtbar sein. Merksatz: Interne DNS-Zonen dienen interner Namensauflösung. DNS und Active Directory In Windows-Domänen ist DNS besonders wichtig. Active Directory nutzt DNS für: - Domänencontroller finden - Dienste finden - LDAP finden - Kerberos finden - Anmeldung unterstützen Dafür werden unter anderem SRV-Records verwendet. Merksatz: Active Directory braucht funktionierendes DNS. DNS und E-Mail DNS ist für E-Mail sehr wichtig. Wichtige Records: Record Zweck MX zuständiger Mailserver A / AAAA IP-Adresse des Mailservers PTR Reverse-DNS für Mailserver TXT SPF, DKIM, DMARC Ohne korrekte DNS-Einträge kann E-Mail-Zustellung scheitern. Merksatz: Mailzustellung hängt stark von DNS ab. SPF SPF steht für: Sender Policy Framework SPF wird über TXT-Records im DNS veröffentlicht. SPF legt fest, welche Server für eine Domain E-Mails senden dürfen. Merksatz: SPF sagt, welche Server für eine Domain senden dürfen. DKIM DKIM steht für: DomainKeys Identified Mail DKIM nutzt digitale Signaturen, um E-Mails einer Domain zuzuordnen und Manipulationen erkennbar zu machen. Der öffentliche Schlüssel steht im DNS als TXT-Record. Merksatz: DKIM signiert E-Mails kryptografisch. DMARC DMARC steht für: Domain-based Message Authentication, Reporting and Conformance DMARC baut auf SPF und DKIM auf. Es legt fest, wie Empfänger mit verdächtigen E-Mails umgehen sollen. Beispiele: - nur berichten - in Quarantäne verschieben - ablehnen Merksatz: DMARC sagt, wie mit SPF-/DKIM-Fehlern umzugehen ist. DNS und Webseiten Für Webseiten sind häufig wichtig: A-Record AAAA-Record CNAME TXT für Domainprüfung Beispiel: www.firma.de → A-Record oder CNAME Wenn DNS auf die falsche IP zeigt, landet der Browser auf dem falschen Server. Merksatz: Falsches DNS kann falsche Webseite oder falsches Zertifikat bedeuten. DNS und Zertifikate TLS-Zertifikate müssen zum aufgerufenen Namen passen. Wenn DNS auf einen falschen Server zeigt, kann dieser ein falsches Zertifikat ausliefern. Beispiel: DNS für wiki.firma.de zeigt auf Server A. Server A liefert Zertifikat für cloud.firma.de. Folge: Browser zeigt Zertifikatswarnung. Merksatz: DNS und Zertifikate müssen zusammenpassen. DNS und Reverse Proxy Bei einem Reverse Proxy zeigen DNS-Einträge häufig auf den Proxy. Beispiel: wiki.firma.de cloud.firma.de git.firma.de zeigen alle auf: Reverse Proxy Der Proxy entscheidet anhand des Hostnamens, an welches interne Backend weitergeleitet wird. Merksatz: DNS zeigt oft zum Proxy, der Proxy leitet zum Backend. DNS-Fehlersuche Typische Fragen: Welcher DNS-Server wird verwendet? Wird der Name korrekt aufgelöst? Gibt es A- oder AAAA-Records? Gibt es einen falschen CNAME? Ist der Cache veraltet? Ist die TTL noch aktiv? Wird intern anders aufgelöst als extern? Stimmt der MX-Record? Stimmt der PTR-Record? Gibt es Tippfehler im Namen? Merksatz: DNS-Fehlersuche prüft Server, Record, Cache und Sichtweise. Fehlerbild: IP funktioniert, Name nicht Beispiel: ping 8.8.8.8 funktioniert. ping www.example.com funktioniert nicht. Dann ist IP-Kommunikation grundsätzlich möglich. Mögliche Ursachen: - DNS-Server falsch - DNS-Server nicht erreichbar - DNS-Dienst gestört - Firewall blockiert DNS - falscher Domainname - DNS-Cache fehlerhaft Merksatz: IP geht, Name nicht: DNS prüfen. Fehlerbild: Name zeigt auf falsche IP Mögliche Ursachen: - falscher A-Record - falscher AAAA-Record - falscher CNAME - alter Cache - falsche DNS-Zone - Split-DNS falsch - falscher DNS-Server wird gefragt Merksatz: Falsche IP bei DNS: Record und verwendeten DNS-Server prüfen. Fehlerbild: Intern geht, extern nicht Mögliche Ursachen: - interne DNS-Zone anders als externe - externer DNS-Eintrag fehlt - Firewall blockiert extern - NAT oder Portweiterleitung fehlt - Zertifikat gilt nur intern - öffentliche IP falsch - Split DNS falsch geplant Merksatz: Intern und extern getrennt prüfen. Fehlerbild: Extern geht, intern nicht Mögliche Ursachen: - interner DNS-Server liefert falsche Adresse - Hairpin NAT fehlt - Split DNS fehlt - interne Firewall blockiert - interner Proxy falsch - interne Zone überschreibt externe Zone Merksatz: Extern erreichbar heißt nicht automatisch intern erreichbar. Fehlerbild: DNS-Änderung greift nicht Mögliche Ursachen: - DNS-Cache noch aktiv - TTL noch nicht abgelaufen - falscher DNS-Server wird gefragt - Änderung in falscher Zone gemacht - autoritativer Nameserver nicht aktualisiert - Browser oder Betriebssystem cachet noch Merksatz: DNS-Änderungen brauchen Zeit wegen TTL und Cache. Fehlerbild: Webseite zeigt falsches Zertifikat Mögliche Ursachen: - DNS zeigt auf falsche IP - Reverse Proxy liefert falsches Zertifikat - Host-Header passt nicht - falscher virtueller Host - CNAME zeigt unerwartet weiter - interne und externe DNS-Antwort unterscheiden sich Merksatz: Falsches Zertifikat kann DNS- oder Proxy-Ursache haben. DNS-Tools Typische Werkzeuge zur DNS-Prüfung: Werkzeug Zweck nslookup DNS-Abfragen durchführen dig detaillierte DNS-Abfragen host einfache DNS-Abfrage ping zeigt oft aufgelöste IP, prüft aber ICMP ipconfig /displaydns DNS-Cache unter Windows anzeigen ipconfig /flushdns DNS-Cache unter Windows leeren resolvectl DNS-Informationen unter vielen Linux-Systemen scutil --dns DNS-Informationen unter macOS Merksatz: DNS prüft man mit DNS-Werkzeugen, nicht nur mit Ping. Ping ist kein DNS-Test allein Ping kann einen Namen auflösen, aber Ping prüft zusätzlich ICMP. Beispiel: ping www.example.com Dabei passieren zwei Dinge: 1. DNS-Auflösung 2. ICMP-Test Wenn Ping fehlschlägt, muss man unterscheiden: DNS-Auflösung fehlgeschlagen? Oder ICMP blockiert? Merksatz: Ping mit Name vermischt DNS und ICMP. DNS und UDP/TCP 53 DNS nutzt häufig UDP 53. DNS kann aber auch TCP 53 verwenden. TCP 53 ist wichtig bei: - großen Antworten - Zonentransfers - bestimmten DNSSEC-Fällen Prüfungsfalle: DNS ist nicht nur UDP. Merksatz: DNS nutzt UDP 53 häufig, TCP 53 ebenfalls möglich. Zonentransfer Ein Zonentransfer überträgt DNS-Zonendaten zwischen DNS-Servern. Typisch: primärer DNS-Server → sekundärer DNS-Server Zonentransfers sollten nicht öffentlich für jeden erlaubt sein. Warum? Sonst könnten interne DNS-Strukturen sichtbar werden. Merksatz: Zonentransfer nur für berechtigte DNS-Server erlauben. DNSSEC kurz erklärt DNSSEC steht für: Domain Name System Security Extensions DNSSEC schützt DNS-Antworten durch digitale Signaturen. Ziel: Manipulation von DNS-Antworten erkennbar machen. Wichtig: DNSSEC verschlüsselt DNS-Anfragen nicht automatisch. Es schützt vor allem die Integrität und Authentizität der DNS-Daten. Merksatz: DNSSEC signiert DNS-Daten, verschlüsselt sie aber nicht. DNS over HTTPS und DNS over TLS Es gibt auch verschlüsselte DNS-Varianten. Beispiele: DoH = DNS over HTTPS DoT = DNS over TLS Ziel: DNS-Anfragen besser vor Mitlesen oder Manipulation auf dem Transportweg schützen. Wichtig: In Unternehmensnetzen kann das Auswirkungen auf Filterung und Monitoring haben. Merksatz: DoH und DoT verschlüsseln DNS-Transport. Was DNS nicht macht DNS macht nicht: - Webseiten ausliefern - TCP-Verbindungen aufbauen - IP-Pakete routen - Zertifikate ausstellen - Dienste automatisch starten - Firewall-Regeln setzen - Benutzer authentifizieren DNS liefert Namen und zugehörige Informationen. Merksatz: DNS sagt, wohin ein Name zeigt, nicht ob der Dienst funktioniert. Einordnung in das OSI-Modell Thema Schicht DNS-Protokoll 7 DNS-Record 7 A / AAAA / MX / TXT 7 UDP 53 / TCP 53 4 IP-Adresse 3 Reverse Lookup 7 DNSSEC 7 mit Sicherheitsbezug DoH / DoT 7 über TLS/HTTPS DHCP verteilt DNS-Server 7 mit Schicht-3-Bezug Merksatz: DNS gehört zu Schicht 7, nutzt aber Schicht 4 und Schicht 3 darunter. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht DNS? - Wofür steht DNS? - Warum braucht man DNS? - Was ist ein DNS-Resolver? - Was ist ein authoritative DNS-Server? - Was ist eine DNS-Zone? - Was ist der Unterschied zwischen Forward und Reverse Lookup? - Was ist ein A-Record? - Was ist ein AAAA-Record? - Was ist ein CNAME? - Was ist ein MX-Record? - Was ist ein TXT-Record? - Was ist ein PTR-Record? - Was bedeutet TTL? - Warum dauern DNS-Änderungen manchmal? - Warum funktioniert IP, aber Name nicht? - Warum kann falsches DNS ein Zertifikatsproblem verursachen? - Warum nutzt DNS UDP und TCP 53? Typische Prüfungsfallen DNS gehört zu Schicht 7. DNS-Port 53 gehört zu Schicht 4. DNS löst Namen in IP-Adressen auf. A-Record = IPv4. AAAA-Record = IPv6. CNAME = Alias auf anderen Namen. MX = Mailserver. TXT = Textinformationen. PTR = Reverse Lookup. NS = zuständiger Nameserver. TTL steuert DNS-Caching. DNS-Änderungen können wegen Cache dauern. IP geht, Name nicht: DNS prüfen. Ping mit Name ist nicht nur DNS-Test, sondern auch ICMP-Test. DNS ist nicht nur UDP, sondern kann auch TCP 53 nutzen. DNSSEC verschlüsselt DNS nicht automatisch. DNS sagt nicht, ob der Dienst läuft. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung DNS Domain Name System Namensauflösung Name wird zu IP-Adresse aufgelöst Resolver DNS-Server, der Antworten für Clients sucht authoritative DNS zuständiger DNS-Server einer Zone DNS-Zone verwalteter Namensbereich Record DNS-Eintrag A Name zu IPv4 AAAA Name zu IPv6 CNAME Alias auf anderen Namen MX Mailserver NS Nameserver TXT Textinformation PTR Reverse-DNS-Eintrag SRV Dienststandort SOA Verwaltungsdaten einer Zone TTL Cache-Lebensdauer FQDN vollständiger DNS-Name Split DNS unterschiedliche interne und externe Antworten Reverse Lookup IP-Adresse zu Name DNSSEC signierte DNS-Daten DoH DNS über HTTPS DoT DNS über TLS IHK-sichere Kurzformulierung DNS steht für Domain Name System und gehört zur Anwendungsschicht des OSI-Modells. DNS löst Namen in IP-Adressen auf, damit Anwendungen mit verständlichen Namen arbeiten können. Ein Client fragt einen DNS-Resolver, der die passende Antwort liefert oder weitere DNS-Server abfragt. DNS ist hierarchisch aufgebaut und arbeitet mit Records wie A für IPv4, AAAA für IPv6, CNAME für Aliase, MX für Mailserver, NS für Nameserver, TXT für Textinformationen und PTR für Reverse Lookup. DNS nutzt typischerweise UDP-Port 53, kann aber auch TCP-Port 53 verwenden. DNS-Caching wird durch die TTL gesteuert. Merksätze DNS = Domain Name System. DNS gehört zu Schicht 7. DNS löst Namen in IP-Adressen auf. Name zu IP = Forward Lookup. IP zu Name = Reverse Lookup. Resolver sucht Antwort für Client. Authoritative DNS liefert verbindliche Antwort. DNS-Zone = verwalteter Namensbereich. A = IPv4. AAAA = IPv6. CNAME = Alias. MX = Mailserver. NS = Nameserver. TXT = Textinformation. PTR = Reverse Lookup. SRV = Dienststandort. SOA = Zonendaten. TTL = Cache-Zeit. DNS-Cache beschleunigt, verzögert aber Änderungen. FQDN = vollständiger DNS-Name. Split DNS = intern und extern unterschiedliche Antworten. DNS-Port = UDP/TCP 53. DNS ist nicht nur UDP. IP geht, Name nicht: DNS prüfen. Ping mit Name vermischt DNS und ICMP. DNSSEC signiert, verschlüsselt aber nicht automatisch. DoH und DoT verschlüsseln DNS-Transport. DNS sagt, wohin ein Name zeigt, nicht ob der Dienst funktioniert. 10.4 DHCP und automatische IP-Konfiguration* DHCP gehört zur OSI-Schicht 7. DHCP steht für: Dynamic Host Configuration Protocol Die Hauptaufgabe von DHCP ist: Netzwerkkonfiguration automatisch an Clients verteilen. Ein Client kann per DHCP zum Beispiel erhalten: - IP-Adresse - Subnetzmaske - Standard-Gateway - DNS-Server - Domain-Suffix - Lease-Zeit - weitere DHCP-Optionen Merksatz: DHCP = automatische IP-Konfiguration. Warum braucht man DHCP? Ohne DHCP müsste jedes Gerät manuell konfiguriert werden. Das wäre aufwendig und fehleranfällig. Man müsste manuell eintragen: - IP-Adresse - Subnetzmaske - Gateway - DNS-Server - weitere Einstellungen DHCP automatisiert diese Vergabe. Vorteile: - weniger manuelle Arbeit - weniger Tippfehler - zentrale Verwaltung - flexible Adressvergabe - einfache Änderung von DNS oder Gateway - bessere Übersicht über vergebene Adressen Merksatz: DHCP verhindert viele manuelle IP-Konfigurationsfehler. DHCP im OSI-Modell DHCP ist ein Anwendungsschicht-Protokoll. Es gehört zu: OSI-Schicht 7 Aber DHCP verteilt Informationen, die für Schicht 3 wichtig sind. Beispiel: IP-Adresse Subnetzmaske Gateway Wichtig: DHCP-Protokoll = Schicht 7 IP-Adresse und Gateway = Schicht 3 Merksatz: DHCP ist Schicht 7, liefert aber Schicht-3-Konfiguration. DHCP und Ports DHCP nutzt UDP. Wichtige Ports: Rolle Protokoll Port DHCP-Server UDP 67 DHCP-Client UDP 68 Warum UDP? Ein Client hat am Anfang oft noch keine vollständige IP-Konfiguration. DHCP muss bereits funktionieren, bevor der Client normal im IP-Netz arbeiten kann. Merksatz: DHCP nutzt UDP 67 und UDP 68. DHCP-Client Ein DHCP-Client ist ein Gerät, das automatisch eine Netzwerkkonfiguration anfordert. Beispiele: - PC - Notebook - Smartphone - Drucker - IP-Telefon - Server - virtuelle Maschine - IoT-Gerät Der Client fragt: Gibt es einen DHCP-Server, der mir eine IP-Konfiguration geben kann? Merksatz: DHCP-Client fordert IP-Konfiguration an. DHCP-Server Ein DHCP-Server vergibt IP-Konfigurationen an Clients. Er verwaltet unter anderem: - Adressbereiche - Leases - Reservierungen - DHCP-Optionen - verfügbare und vergebene IP-Adressen Beispiele für DHCP-Server: - Router - Windows Server - Linux-Server - Firewall - Netzwerk-Appliance Merksatz: DHCP-Server verteilt Netzwerkkonfiguration. DHCP-Bereich Ein DHCP-Bereich wird auch genannt: DHCP-Scope Er beschreibt, welche IP-Adressen ein DHCP-Server vergeben darf. Beispiel: Netz: 192.168.10.0/24 DHCP-Bereich: 192.168.10.100 bis 192.168.10.200 Der DHCP-Server vergibt dann Adressen aus diesem Bereich. Merksatz: DHCP-Scope = Adressbereich für automatische Vergabe. DHCP-Lease Eine per DHCP vergebene Adresse wird nicht dauerhaft vergeben, sondern für eine bestimmte Zeit. Diese Zeit heißt: Lease-Zeit Beispiel: Client erhält 192.168.10.120 für 8 Stunden. Nach Ablauf muss der Client die Adresse erneuern oder eine neue Konfiguration erhalten. Merksatz: Lease = zeitlich begrenzte Adresszuweisung. Warum gibt es Leases? Leases sorgen dafür, dass IP-Adressen wieder frei werden können. Beispiel: Ein Notebook war im WLAN. Es verlässt das Netzwerk. Nach Ablauf der Lease kann die Adresse wieder vergeben werden. Das ist besonders nützlich bei: - WLANs - Gastnetzen - Schulen - Unternehmen - wechselnden Geräten - mobilen Clients Merksatz: Lease-Zeit verhindert dauerhaft blockierte IP-Adressen. DHCP-Ablauf: DORA Der klassische DHCP-Ablauf wird oft mit DORA beschrieben. DORA steht für: Discover Offer Request Acknowledge Die vier Schritte: Schritt Richtung Bedeutung 1 Client → Netzwerk Discover 2 Server → Client Offer 3 Client → Server Request 4 Server → Client Acknowledge Merksatz: DHCP-Ablauf = DORA. DHCP Discover Beim DHCP Discover sucht der Client nach einem DHCP-Server. Der Client hat zu diesem Zeitpunkt oft noch keine gültige IP-Adresse. Deshalb wird die Anfrage als Broadcast gesendet. Vereinfacht sagt der Client: Gibt es hier einen DHCP-Server? Merksatz: Discover = Client sucht DHCP-Server. DHCP Offer Beim DHCP Offer bietet der DHCP-Server dem Client eine Konfiguration an. Das Angebot enthält zum Beispiel: - IP-Adresse - Subnetzmaske - Gateway - DNS-Server - Lease-Zeit Vereinfacht sagt der Server: Du kannst diese Adresse verwenden. Merksatz: Offer = Server bietet Konfiguration an. DHCP Request Beim DHCP Request nimmt der Client ein Angebot an. Vereinfacht sagt der Client: Ich möchte diese angebotene IP-Adresse verwenden. Wenn mehrere DHCP-Server geantwortet haben, wählt der Client normalerweise ein Angebot aus. Merksatz: Request = Client fordert angebotene Adresse an. DHCP Acknowledge Beim DHCP Acknowledge bestätigt der Server die Vergabe. Vereinfacht sagt der Server: Die Adresse ist für dich reserviert. Danach kann der Client die erhaltene IP-Konfiguration verwenden. Merksatz: Acknowledge = Server bestätigt die Vergabe. DORA als Ablaufbild Der Ablauf vereinfacht: Client → Broadcast: DHCP Discover Server → Client: DHCP Offer Client → Server: DHCP Request Server → Client: DHCP Acknowledge Merksatz: Discover, Offer, Request, Acknowledge. Broadcast bei DHCP DHCP nutzt am Anfang Broadcast, weil der Client noch nicht weiß: welche IP-Adresse er selbst hat welche IP-Adresse der DHCP-Server hat welches Gateway zuständig ist Broadcast bedeutet: Nachricht an alle Geräte im lokalen Netz. Wichtig: Router leiten Broadcasts normalerweise nicht einfach in andere Netze weiter. Merksatz: DHCP startet häufig mit Broadcast im lokalen Netz. DHCP und VLANs In der Praxis gibt es häufig pro VLAN ein eigenes IP-Subnetz. Beispiel: VLAN Subnetz DHCP-Bereich VLAN 10 192.168.10.0/24 192.168.10.100–200 VLAN 20 192.168.20.0/24 192.168.20.100–200 VLAN 30 192.168.30.0/24 192.168.30.100–200 Ein Client im VLAN 20 soll eine Adresse aus dem VLAN-20-Bereich bekommen. Merksatz: Jedes VLAN braucht passende DHCP-Konfiguration. DHCP-Relay Ein DHCP-Relay wird benötigt, wenn DHCP-Client und DHCP-Server in unterschiedlichen Netzen liegen. Problem: DHCP Discover ist Broadcast. Router leiten Broadcasts normalerweise nicht weiter. Lösung: DHCP-Relay nimmt die Anfrage entgegen und leitet sie gezielt an den DHCP-Server weiter. Bei Cisco wird dafür oft der Begriff verwendet: IP Helper Address Merksatz: DHCP-Relay bringt DHCP-Anfragen über Router-Grenzen. Beispiel DHCP-Relay Situation: Client im VLAN 20 DHCP-Server im Servernetz VLAN 100 Ohne DHCP-Relay: DHCP Discover bleibt im VLAN 20. DHCP-Server sieht die Anfrage nicht. Mit DHCP-Relay: Router oder Layer-3-Switch leitet die Anfrage an den DHCP-Server weiter. Merksatz: DHCP-Server muss nicht in jedem VLAN stehen, wenn DHCP-Relay korrekt eingerichtet ist. DHCP-Optionen DHCP kann neben der IP-Adresse weitere Informationen liefern. Wichtige Optionen: Option Bedeutung Subnetzmaske Netzgröße Router / Gateway Standard-Gateway DNS-Server Server für Namensauflösung Domainname DNS-Suffix NTP-Server Zeitserver Lease-Zeit Gültigkeitsdauer PXE-Boot-Optionen Netzwerkstart Merksatz: DHCP liefert mehr als nur IP-Adressen. Standard-Gateway per DHCP DHCP kann das Standard-Gateway an den Client verteilen. Das Gateway wird benötigt, wenn der Client andere Netze erreichen soll. Beispiel: Client: 192.168.10.120/24 Gateway: 192.168.10.1 Wichtig: Das Gateway muss zum Subnetz des Clients passen. Merksatz: Falsches Gateway per DHCP erzeugt Routing-Probleme. DNS-Server per DHCP DHCP verteilt oft auch DNS-Server. Beispiel: DNS-Server: 192.168.10.10 Wenn hier ein falscher DNS-Server eingetragen ist, funktioniert IP-Kommunikation möglicherweise, aber Namensauflösung nicht. Fehlerbild: ping 8.8.8.8 funktioniert ping www.example.com funktioniert nicht Merksatz: Falscher DNS per DHCP verursacht Namensprobleme. DHCP-Reservierung Eine DHCP-Reservierung ordnet einem bestimmten Gerät immer dieselbe IP-Adresse zu. Typische Grundlage: MAC-Adresse des Clients Beispiel: Drucker-MAC: AA:BB:CC:11:22:33 reservierte IP: 192.168.10.50 Der Drucker bekommt dann per DHCP immer dieselbe Adresse. Merksatz: DHCP-Reservierung = gleiche IP für bestimmtes Gerät. Reservierung und statische IP unterscheiden Variante Bedeutung statische IP direkt am Gerät manuell eingetragen DHCP-Reservierung zentral am DHCP-Server festgelegt Vorteil der Reservierung: zentrale Verwaltung weniger Fehler am Gerät DNS und Optionen bleiben konsistent Typisch für: - Drucker - Server - Netzwerkgeräte - Kameras - Spezialgeräte Merksatz: Reservierung ist zentraler als manuelle statische IP. Ausschlussbereich Ein Ausschlussbereich enthält IP-Adressen, die der DHCP-Server nicht automatisch vergeben soll. Beispiel: Netz: 192.168.10.0/24 DHCP-Bereich: 192.168.10.10 bis 192.168.10.250 ausgeschlossen: 192.168.10.1 bis 192.168.10.20 Warum? Diese Adressen sind vielleicht für Gateway, Server oder Drucker reserviert. Merksatz: Ausschlussbereiche verhindern doppelte Vergabe wichtiger Adressen. Adresskonflikt Ein Adresskonflikt entsteht, wenn zwei Geräte dieselbe IP-Adresse verwenden. Mögliche Ursachen: - statische IP liegt im DHCP-Bereich - DHCP-Reservierung doppelt - zwei DHCP-Server vergeben gleiche Bereiche - manuelle Fehlkonfiguration - Gerät verwendet alte Adresse weiter Folgen: - instabile Verbindung - wechselnde Erreichbarkeit - ARP-Probleme - Verbindungsabbrüche Merksatz: Doppelte IP-Adressen verursachen instabile Netzprobleme. DHCP und APIPA Wenn ein Windows-Client keine DHCP-Adresse erhält, kann er sich selbst eine APIPA-Adresse geben. APIPA-Bereich: 169.254.0.0/16 Beispiel: 169.254.23.80 Das bedeutet häufig: DHCP-Server nicht erreichbar oder DHCP-Vergabe fehlgeschlagen Merksatz: 169.254.x.x weist oft auf DHCP-Probleme hin. DHCP und DNS-Dynamik In manchen Netzwerken werden DNS-Einträge automatisch mit DHCP aktualisiert. Beispiel: Client erhält per DHCP: 192.168.10.120 DNS wird aktualisiert: client01.firma.local → 192.168.10.120 Das ist besonders in Windows- und Active-Directory-Umgebungen verbreitet. Merksatz: DHCP kann mit DNS zusammenarbeiten. DHCP und Active Directory In Windows-Umgebungen ist DHCP oft eng mit DNS und Active Directory verbunden. Wichtig: Clients brauchen richtigen DNS-Server, um Domänencontroller zu finden. Wenn per DHCP ein externer DNS-Server verteilt wird, kann die Domänenanmeldung fehlschlagen. Merksatz: In AD-Netzen muss DHCP den internen DNS-Server verteilen. DHCP-Snooping DHCP-Snooping ist eine Sicherheitsfunktion auf Switches. Ziel: Schutz vor unerlaubten DHCP-Servern. Der Switch unterscheidet: vertrauenswürdige Ports nicht vertrauenswürdige Ports DHCP-Antworten dürfen nur von vertrauenswürdigen Ports kommen. Merksatz: DHCP-Snooping schützt vor Rogue-DHCP-Servern. Rogue-DHCP-Server Ein Rogue-DHCP-Server ist ein unerlaubter DHCP-Server im Netzwerk. Er kann falsche Informationen verteilen: - falsches Gateway - falscher DNS-Server - falsche IP-Adressen - falsches Subnetz Folgen: - Clients verlieren Netzwerkzugriff - Datenverkehr wird umgeleitet - Namensauflösung wird manipuliert - Sicherheitsrisiko Merksatz: Unerlaubter DHCP-Server kann ein ganzes Netz stören. DHCP-Starvation DHCP-Starvation ist ein Angriff, bei dem sehr viele DHCP-Anfragen gestellt werden. Ziel: DHCP-Adressbereich erschöpfen. Folge: echte Clients bekommen keine IP-Adresse mehr. Schutzmaßnahmen: - Port Security - DHCP-Snooping - Netzwerkzugangskontrolle - Monitoring - ausreichend Segmentierung Merksatz: DHCP-Starvation leert den DHCP-Adresspool. DHCP und IPv6 Bei IPv6 gibt es mehrere Möglichkeiten zur Adresskonfiguration. Wichtige Begriffe: - SLAAC - DHCPv6 - Router Advertisements SLAAC bedeutet: Client bildet IPv6-Adresse selbst anhand von Router Advertisements. DHCPv6 kann zusätzliche Informationen liefern, zum Beispiel DNS-Server. Merksatz: IPv6 nutzt nicht einfach DHCPv4, sondern SLAAC, RA und DHCPv6. DHCPv4 und DHCPv6 unterscheiden Thema DHCPv4 DHCPv6 Protokollfamilie IPv4 IPv6 Adressvergabe häufig zentral per DHCP möglich, aber auch SLAAC Broadcast ja nein, IPv6 nutzt Multicast Gateway-Verteilung per DHCP möglich meist über Router Advertisements DNS-Verteilung per DHCP per DHCPv6 oder RA-Optionen Merksatz: DHCPv6 funktioniert anders als DHCPv4. DHCP-Fehlersuche Typische Fragen: Hat der Client überhaupt Link? Ist der Client im richtigen VLAN? Gibt es einen DHCP-Server? Ist der DHCP-Bereich aktiv? Sind noch freie Adressen vorhanden? Funktioniert DHCP-Relay? Werden UDP 67 und 68 blockiert? Gibt es einen Rogue-DHCP-Server? Ist die erhaltene IP im richtigen Subnetz? Stimmen Gateway und DNS? Merksatz: DHCP-Fehlersuche beginnt bei Link, VLAN und DHCP-Server. Fehlerbild: Client bekommt keine IP-Adresse Mögliche Ursachen: - kein Link - falsches VLAN - DHCP-Server nicht erreichbar - DHCP-Dienst gestoppt - DHCP-Bereich erschöpft - DHCP-Relay fehlt - Firewall blockiert UDP 67/68 - Rogue-DHCP oder Schutzfunktion stört - Netzwerkkarte deaktiviert - Clientproblem Merksatz: Keine IP-Adresse: Link, VLAN, DHCP und Relay prüfen. Fehlerbild: Client bekommt falsche IP-Adresse Mögliche Ursachen: - Client ist im falschen VLAN - falscher DHCP-Bereich aktiv - Rogue-DHCP-Server - falsche SSID-VLAN-Zuordnung - falscher Switch-Port - fehlerhafte Reservierung - falscher DHCP-Relay-Kontext Merksatz: Falsche DHCP-Adresse deutet oft auf falsches VLAN oder Rogue-DHCP hin. Fehlerbild: Client bekommt IP, aber kein Internet Mögliche Ursachen: - falsches Gateway per DHCP - Gateway nicht erreichbar - DNS falsch - Routing fehlt - NAT fehlt - Firewall blockiert - falsche Subnetzmaske - Client im falschen VLAN Merksatz: DHCP-Erfolg heißt nicht automatisch: Internet funktioniert. Fehlerbild: IP funktioniert, Name nicht Mögliche Ursachen: - falscher DNS-Server per DHCP verteilt - DNS-Server nicht erreichbar - DNS-Dienst gestört - falsches DNS-Suffix - Firewall blockiert DNS - externer DNS statt interner DNS Merksatz: DHCP kann DNS-Probleme verursachen, wenn falsche DNS-Optionen verteilt werden. Fehlerbild: Manche Clients bekommen IP, andere nicht Mögliche Ursachen: - DHCP-Pool fast erschöpft - bestimmte Switch-Ports in falschem VLAN - WLAN-SSID falsch zugeordnet - DHCP-Snooping blockiert bestimmte Ports - MAC-Filter - Reservierungen fehlerhaft - Relay nur für manche VLANs eingerichtet Merksatz: Teilweise DHCP-Probleme nach Standort, VLAN und Port eingrenzen. Fehlerbild: Nach Umzug in anderes VLAN keine IP Mögliche Ursachen: - DHCP-Bereich für neues VLAN fehlt - DHCP-Relay im neuen VLAN fehlt - VLAN nicht auf Trunk erlaubt - Access-Port falsch - Firewall blockiert DHCP-Relay - Gateway-Schnittstelle im VLAN fehlt Merksatz: Neues VLAN braucht passenden DHCP-Bereich und Relay. DHCP-Tools Typische Werkzeuge und Prüfungen: Werkzeug / Prüfung Nutzen IP-Konfiguration anzeigen erhaltene Adresse prüfen Lease erneuern neue DHCP-Anfrage auslösen DHCP-Server-Konsole Bereich, Leases, Reservierungen prüfen DHCP-Logs Vergaben und Fehler prüfen Switch-Port prüfen VLAN und Link kontrollieren Packet Capture DORA-Ablauf sichtbar machen Firewall-Logs UDP 67/68 prüfen ARP-Tabelle Adresskonflikte erkennen Merksatz: DHCP prüft man am Client, am Server und am Netzwerk dazwischen. DHCP-Ablauf im Mitschnitt In einem Paketmitschnitt erkennt man den DHCP-Ablauf: Discover Offer Request Acknowledge Typische Fragen: Sendet der Client Discover? Kommt ein Offer zurück? Sendet der Client Request? Kommt ein Acknowledge? Welche IP wird angeboten? Welcher Server antwortet? Merksatz: Im Mitschnitt sieht man, an welchem DORA-Schritt es scheitert. DHCP und Firewall DHCP kann durch Firewall-Regeln gestört werden. Besonders relevant: UDP 67 UDP 68 Bei DHCP-Relay kann auch Verkehr zwischen Relay und DHCP-Server betroffen sein. Wichtig: DHCP im gleichen LAN nutzt Broadcast. DHCP über Relay muss gezielt erlaubt sein. Merksatz: Firewall kann DHCP verhindern, wenn UDP 67/68 blockiert wird. DHCP und Dokumentation DHCP sollte sauber dokumentiert werden. Wichtige Angaben: - Subnetz - VLAN - DHCP-Bereich - Ausschlüsse - Reservierungen - Gateway - DNS-Server - Lease-Zeit - DHCP-Relay-Adresse - zuständiger Server Merksatz: Gute DHCP-Dokumentation verhindert Fehlvergaben. Was DHCP nicht macht DHCP macht nicht: - Kabelverbindung herstellen - VLAN automatisch richtig setzen - Routing garantieren - NAT einrichten - DNS-Namen zwingend korrekt auflösen - Dienste starten - Benutzer authentifizieren - Firewall-Regeln ersetzen DHCP liefert Konfigurationsdaten, aber andere Netzfunktionen müssen trotzdem korrekt eingerichtet sein. Merksatz: DHCP vergibt Konfiguration, garantiert aber keine vollständige Erreichbarkeit. Einordnung in das OSI-Modell Thema Schicht DHCP-Protokoll 7 DHCP-Optionen 7 mit Schicht-3-Bezug UDP 67 / 68 4 IP-Adresse 3 Subnetzmaske 3 Standard-Gateway 3 DNS-Server-Adresse 3 / 7-Bezug VLAN 2 Broadcast 2 / 3-Bezug DHCP-Relay 3 / 7-Bezug DHCP-Snooping 2-Sicherheitsfunktion Merksatz: DHCP gehört zu Schicht 7, wirkt aber stark auf Schicht 3. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür steht DHCP? - Welche Aufgabe hat DHCP? - Warum ist DHCP sinnvoll? - Welche Informationen kann DHCP verteilen? - Welche Ports nutzt DHCP? - Welches Transportprotokoll nutzt DHCP? - Was bedeutet DORA? - Was passiert bei DHCP Discover? - Was passiert bei DHCP Offer? - Was passiert bei DHCP Request? - Was passiert bei DHCP Acknowledge? - Was ist ein DHCP-Scope? - Was ist eine Lease? - Was ist eine DHCP-Reservierung? - Was ist ein DHCP-Relay? - Warum braucht man DHCP-Relay bei mehreren VLANs? - Was bedeutet APIPA? - Was ist ein Rogue-DHCP-Server? - Warum kann ein Client eine falsche IP-Adresse bekommen? Typische Prüfungsfallen DHCP gehört zu Schicht 7. DHCP nutzt UDP. DHCP-Server nutzt UDP 67. DHCP-Client nutzt UDP 68. DHCP vergibt nicht nur IP-Adressen. DHCP kann auch Gateway und DNS verteilen. DHCP-Ablauf = DORA. Discover sucht DHCP-Server. Offer bietet Konfiguration an. Request fordert Angebot an. Acknowledge bestätigt Vergabe. DHCP startet häufig mit Broadcast. Router leiten Broadcasts normalerweise nicht einfach weiter. DHCP-Relay ist für DHCP über Netzgrenzen nötig. Falsches VLAN führt oft zu falscher DHCP-Adresse. APIPA 169.254.x.x deutet oft auf DHCP-Problem hin. DHCP-Erfolg heißt nicht automatisch, dass DNS oder Internet funktionieren. Rogue-DHCP kann falsche Konfiguration verteilen. DHCPv6 funktioniert anders als DHCPv4. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung DHCP Dynamic Host Configuration Protocol DHCP-Client Gerät, das Konfiguration anfordert DHCP-Server Server, der Konfiguration vergibt DHCP-Scope Adressbereich für DHCP Lease zeitlich begrenzte Adressvergabe DORA Discover, Offer, Request, Acknowledge Discover Client sucht DHCP-Server Offer Server bietet Konfiguration an Request Client fordert Angebot an Acknowledge Server bestätigt Vergabe DHCP-Option zusätzliche Konfigurationsinformation DHCP-Relay Weiterleitung von DHCP-Anfragen in andere Netze IP Helper Begriff für DHCP-Relay bei manchen Herstellern Reservierung feste IP-Zuordnung über DHCP Ausschlussbereich Adressen, die nicht automatisch vergeben werden APIPA automatische 169.254.x.x-Adresse bei DHCP-Problem Rogue-DHCP unerlaubter DHCP-Server DHCP-Snooping Schutzfunktion gegen Rogue-DHCP DHCP-Starvation Angriff auf DHCP-Adresspool DHCPv6 DHCP für IPv6 IHK-sichere Kurzformulierung DHCP steht für Dynamic Host Configuration Protocol und gehört zur Anwendungsschicht des OSI-Modells. Es dient dazu, Clients automatisch mit Netzwerkkonfigurationen zu versorgen. Dazu gehören IP-Adresse, Subnetzmaske, Standard-Gateway, DNS-Server und weitere Optionen. DHCP nutzt UDP, der Server verwendet Port 67 und der Client Port 68. Der klassische DHCP-Ablauf wird mit DORA beschrieben: Discover, Offer, Request und Acknowledge. Befindet sich der DHCP-Server in einem anderen Netz als der Client, wird ein DHCP-Relay benötigt, weil DHCP-Anfragen anfangs häufig als Broadcast gesendet werden und Router Broadcasts nicht einfach weiterleiten. Merksätze DHCP = Dynamic Host Configuration Protocol. DHCP gehört zu Schicht 7. DHCP vergibt automatische Netzwerkkonfiguration. DHCP liefert IP-Adresse, Subnetzmaske, Gateway und DNS-Server. DHCP nutzt UDP. DHCP-Server = UDP 67. DHCP-Client = UDP 68. DHCP-Ablauf = DORA. Discover = Client sucht Server. Offer = Server bietet Konfiguration an. Request = Client fordert Angebot an. Acknowledge = Server bestätigt. DHCP startet häufig mit Broadcast. Router leiten Broadcasts normalerweise nicht weiter. DHCP-Relay leitet DHCP über Netzgrenzen. DHCP-Scope = Adressbereich. Lease = zeitlich begrenzte Vergabe. Reservierung = feste IP per DHCP. Ausschlussbereich = nicht automatisch vergeben. 169.254.x.x = häufig DHCP-Problem. Falsches VLAN kann falsche DHCP-Adresse verursachen. Rogue-DHCP = unerlaubter DHCP-Server. DHCP-Snooping schützt vor Rogue-DHCP. DHCPv6 ist nicht einfach DHCPv4 mit IPv6. DHCP-Erfolg bedeutet nicht automatisch: Internet funktioniert. 10.5 E-Mail-Protokolle: SMTP, POP3 und IMAP E-Mail-Kommunikation gehört zur OSI-Schicht 7. Dabei arbeiten mehrere Protokolle zusammen. Die wichtigsten E-Mail-Protokolle sind: - SMTP - POP3 - IMAP Sie haben unterschiedliche Aufgaben. SMTP wird verwendet für: E-Mails senden und transportieren. POP3 und IMAP werden verwendet für: E-Mails abrufen. Merksatz: SMTP sendet. POP3 und IMAP empfangen. Grundidee von E-Mail-Kommunikation E-Mail ist kein einzelner einfacher Vorgang. Beim Senden und Empfangen arbeiten mehrere Bestandteile zusammen: - E-Mail-Client - Mailserver - DNS - SMTP - POP3 oder IMAP - Authentifizierung - TLS - Spam- und Sicherheitsprüfungen Beispiel: Benutzer schreibt E-Mail im Mailprogramm. Mailprogramm sendet E-Mail an Mailserver. Mailserver transportiert E-Mail weiter. Empfänger ruft E-Mail vom eigenen Mailserver ab. Merksatz: E-Mail nutzt mehrere Protokolle und Dienste zusammen. E-Mail im OSI-Modell E-Mail-Protokolle gehören zur Anwendungsschicht. Thema Schicht SMTP 7 POP3 7 IMAP 7 DNS MX-Record 7 TLS 6 mit Schicht-7-Bezug TCP-Port 4 IP-Adresse 3 Wichtig: Die Protokolle SMTP, POP3 und IMAP gehören zu Schicht 7. Die zugehörigen Ports gehören zu Schicht 4. Merksatz: Mailprotokoll = Schicht 7. Mailport = Schicht 4. SMTP SMTP steht für: Simple Mail Transfer Protocol SMTP wird verwendet für: - E-Mails senden - E-Mails zwischen Mailservern transportieren - E-Mails an den nächsten Mailserver weitergeben Typischer Port: TCP 25 Weitere häufige Ports: TCP 587 TCP 465 Merksatz: SMTP = E-Mail senden und weiterleiten. SMTP zwischen Mailservern Wenn ein Mailserver eine E-Mail an eine andere Domain zustellen möchte, nutzt er SMTP. Beispiel: absender@firma-a.de sendet an empfaenger@firma-b.de Der Mailserver von firma-a.de fragt per DNS, welcher Mailserver für firma-b.de zuständig ist. Danach wird die E-Mail per SMTP an diesen Mailserver übertragen. Merksatz: Mailserver transportieren E-Mails untereinander mit SMTP. SMTP Submission SMTP Submission bedeutet: Ein Mailclient übergibt eine ausgehende E-Mail an den eigenen Mailserver. Typischer Port: TCP 587 Dabei wird normalerweise Authentifizierung verwendet. Beispiel: Mailprogramm meldet sich am Mailserver an und sendet die E-Mail über Port 587. Merksatz: Port 587 ist typisch für authentifiziertes Senden durch Clients. SMTPS SMTPS bezeichnet SMTP mit direkter TLS-Verschlüsselung. Typischer Port: TCP 465 Wichtig: TCP 465 startet normalerweise direkt mit TLS. Bei STARTTLS dagegen beginnt die Verbindung zunächst unverschlüsselt und wird dann auf TLS umgestellt. Merksatz: SMTPS = SMTP direkt über TLS. SMTP-Port 25, 587 und 465 unterscheiden Port Zweck Kurz erklärt 25 SMTP Mailserver zu Mailserver 587 Submission Client sendet authentifiziert an Mailserver 465 SMTPS SMTP direkt über TLS Prüfungsfalle: Port 25 ist nicht der typische Port, über den moderne Mailclients ihre E-Mails authentifiziert einreichen. Merksatz: 25 Servertransport, 587 Client-Abgabe, 465 SMTP über TLS. POP3 POP3 steht für: Post Office Protocol Version 3 POP3 wird verwendet zum: Abrufen von E-Mails vom Mailserver. Typischer Port: TCP 110 Verschlüsselte Variante: POP3S: TCP 995 POP3 lädt E-Mails häufig vom Server herunter. Je nach Einstellung können sie danach vom Server gelöscht werden. Merksatz: POP3 = E-Mails einfach abrufen. POP3-Grundidee POP3 ist eher einfach aufgebaut. Typischer Ablauf: Client verbindet sich mit Mailserver. Client meldet sich an. Client ruft E-Mails ab. E-Mails werden lokal gespeichert. E-Mails können vom Server gelöscht werden. POP3 eignet sich weniger gut, wenn mehrere Geräte dieselbe Mailbox synchron nutzen sollen. Merksatz: POP3 ist einfach, aber weniger gut für moderne Mehrgeräte-Synchronisation. IMAP IMAP steht für: Internet Message Access Protocol IMAP wird verwendet zum: Abrufen und Verwalten von E-Mails auf dem Server. Typischer Port: TCP 143 Verschlüsselte Variante: IMAPS: TCP 993 IMAP lässt E-Mails normalerweise auf dem Server und synchronisiert den Zustand zwischen mehreren Geräten. Merksatz: IMAP = E-Mails auf dem Server verwalten und synchronisieren. IMAP-Grundidee Bei IMAP bleiben E-Mails meist auf dem Mailserver. Der Client synchronisiert: - Posteingang - Ordner - gelesen / ungelesen - gelöscht - verschoben - gesendet - Markierungen Das ist praktisch bei mehreren Geräten. Beispiel: E-Mail auf dem Smartphone gelesen. Am Notebook ist sie ebenfalls als gelesen markiert. Merksatz: IMAP eignet sich gut für mehrere Geräte. POP3 und IMAP vergleichen Merkmal POP3 IMAP Hauptzweck E-Mails abrufen E-Mails abrufen und verwalten Speicherort oft lokal beim Client meist auf dem Server Synchronisation eingeschränkt gut mehrere Geräte weniger geeignet gut geeignet Ordnerverwaltung begrenzt umfangreicher typischer Port TCP 110 TCP 143 verschlüsselt TCP 995 TCP 993 Merksatz: POP3 lädt eher herunter. IMAP synchronisiert mit dem Server. SMTP, POP3 und IMAP direkt vergleichen Protokoll Aufgabe typischer Port SMTP E-Mail senden / transportieren TCP 25 Submission E-Mail vom Client einreichen TCP 587 SMTPS SMTP direkt über TLS TCP 465 POP3 E-Mail abrufen TCP 110 POP3S POP3 über TLS TCP 995 IMAP E-Mail abrufen und verwalten TCP 143 IMAPS IMAP über TLS TCP 993 Merksatz: SMTP raus. POP3/IMAP rein. E-Mail-Client Ein E-Mail-Client ist ein Programm oder eine App, mit der Benutzer E-Mails senden und empfangen. Beispiele: - Outlook - Thunderbird - Apple Mail - Smartphone-Mail-App - Webmail im Browser Der Client nutzt je nach Einrichtung: SMTP zum Senden IMAP oder POP3 zum Empfangen Merksatz: Mailclient nutzt SMTP zum Senden und IMAP/POP3 zum Empfangen. Mailserver Ein Mailserver nimmt E-Mails an, speichert sie und leitet sie weiter. Typische Aufgaben: - E-Mails von Clients annehmen - E-Mails von anderen Mailservern empfangen - E-Mails an andere Mailserver weiterleiten - Postfächer bereitstellen - Spamprüfung durchführen - Virenprüfung durchführen - TLS und Authentifizierung nutzen Merksatz: Mailserver transportiert und verwaltet E-Mails. Webmail Webmail bedeutet: E-Mails werden über eine Webseite genutzt. Beispiel: Benutzer öffnet Mailbox im Browser. Dabei nutzt der Browser: HTTP oder HTTPS Der Webmail-Server selbst kann intern trotzdem mit Maildiensten, Datenbanken oder IMAP arbeiten. Merksatz: Webmail nutzt im Browser HTTP/HTTPS, Mailserver dahinter nutzen Mailprotokolle. DNS und E-Mail DNS ist für E-Mail sehr wichtig. Wichtige DNS-Records: Record Zweck MX zuständiger Mailserver einer Domain A / AAAA IP-Adresse des Mailservers PTR Reverse-DNS TXT SPF, DKIM, DMARC Ohne korrekte DNS-Einträge kann E-Mail-Zustellung scheitern. Merksatz: E-Mail-Zustellung hängt stark von DNS ab. MX-Record MX steht für: Mail Exchanger Ein MX-Record sagt, welcher Mailserver für eine Domain zuständig ist. Beispiel: firma.de MX 10 mail.firma.de Die Zahl ist die Priorität. Kleinere Zahl bedeutet: höhere Priorität Merksatz: MX zeigt auf zuständigen Mailserver. Mailzustellung mit MX vereinfacht Ablauf: 1. Absender-Mailserver erhält E-Mail an benutzer@firma.de. 2. Er fragt DNS nach MX-Record für firma.de. 3. DNS liefert zuständigen Mailserver. 4. Absender-Mailserver verbindet sich per SMTP. 5. Empfänger-Mailserver nimmt E-Mail an. 6. Empfänger ruft E-Mail per IMAP, POP3 oder Webmail ab. Merksatz: MX sagt, wohin E-Mail für eine Domain geliefert werden soll. PTR und Reverse DNS bei E-Mail PTR-Records sind bei Mailservern wichtig. Ein PTR-Record ordnet eine IP-Adresse einem Namen zu. Viele empfangende Mailserver prüfen, ob der sendende Mailserver einen sinnvollen Reverse-DNS-Eintrag hat. Fehlender oder falscher PTR kann die Zustellbarkeit verschlechtern. Merksatz: Reverse DNS ist bei Mailservern wichtig für Vertrauenswürdigkeit. SPF SPF steht für: Sender Policy Framework SPF wird als TXT-Record im DNS veröffentlicht. SPF legt fest, welche Server für eine Domain E-Mails senden dürfen. Beispiel sinngemäß: Nur diese Mailserver dürfen E-Mails für firma.de senden. Merksatz: SPF sagt, welche Server für eine Domain senden dürfen. DKIM DKIM steht für: DomainKeys Identified Mail DKIM signiert E-Mails kryptografisch. Der öffentliche Schlüssel wird im DNS als TXT-Record veröffentlicht. Empfangende Mailserver können prüfen: Wurde die E-Mail wirklich passend signiert? Wurde sie unterwegs verändert? Merksatz: DKIM signiert E-Mails und hilft bei Integritätsprüfung. DMARC DMARC steht für: Domain-based Message Authentication, Reporting and Conformance DMARC baut auf SPF und DKIM auf. DMARC legt fest, wie Empfänger mit E-Mails umgehen sollen, wenn SPF oder DKIM nicht passen. Mögliche Richtlinien: - nur berichten - Quarantäne - ablehnen Merksatz: DMARC steuert den Umgang mit SPF-/DKIM-Fehlern. SPF, DKIM und DMARC unterscheiden Verfahren Hauptaufgabe SPF erlaubt sendende Server DKIM signiert E-Mails DMARC legt Umgang mit Prüfungsfehlern fest Merksatz: SPF erlaubt. DKIM signiert. DMARC entscheidet. STARTTLS bei E-Mail STARTTLS bedeutet: Eine Verbindung beginnt zunächst unverschlüsselt und wird dann auf TLS umgestellt. STARTTLS wird häufig bei Mailprotokollen verwendet. Beispiele: - SMTP - IMAP - POP3 Wichtig: STARTTLS ist nicht dasselbe wie ein von Anfang an verschlüsselter eigener TLS-Port. Merksatz: STARTTLS startet unverschlüsselt und schaltet dann auf TLS um. E-Mail und TLS TLS schützt E-Mail-Verbindungen beim Transport. Beispiele: - SMTP mit STARTTLS - SMTPS - IMAPS - POP3S Wichtig: TLS schützt die Verbindung zwischen zwei Kommunikationspunkten. Das ist nicht automatisch Ende-zu-Ende-Verschlüsselung des E-Mail-Inhalts. Merksatz: TLS schützt die Mailverbindung, aber nicht automatisch den Inhalt bis zum endgültigen Empfänger. Ende-zu-Ende-Verschlüsselung bei E-Mail Ende-zu-Ende-Verschlüsselung bedeutet: Der Inhalt bleibt vom Absender bis zum Empfänger geschützt. Beispiele: - S/MIME - OpenPGP Dabei können Zwischenserver die Inhalte nicht einfach lesen. Unterschied zu TLS: TLS schützt die Verbindung. Ende-zu-Ende-Verschlüsselung schützt den Inhalt selbst. Merksatz: TLS ist Transportverschlüsselung. S/MIME oder OpenPGP schützen den Mailinhalt Ende-zu-Ende. E-Mail-Adresse Eine E-Mail-Adresse besteht aus: lokaler Teil @ Domain Beispiel: felix@firma.de Dabei ist: felix = lokaler Teil firma.de = Domain Für die Domain wird per DNS der zuständige Mailserver gesucht. Merksatz: Rechts vom @ steht die Maildomain. Postfach und Alias Ein Postfach ist ein echter Speicherbereich für E-Mails. Ein Alias ist eine zusätzliche Adresse, die auf ein Postfach oder eine Gruppe zeigen kann. Beispiel: Postfach: felix@firma.de Alias: support@firma.de E-Mails an support@firma.de landen im Postfach oder bei einer Gruppe. Merksatz: Postfach speichert. Alias leitet zu. Verteilergruppe Eine Verteilergruppe sendet eine E-Mail an mehrere Empfänger weiter. Beispiel: it-team@firma.de geht an: admin1@firma.de admin2@firma.de support@firma.de Merksatz: Verteilergruppe verteilt an mehrere Empfänger. Shared Mailbox Eine Shared Mailbox ist ein gemeinsames Postfach. Beispiel: support@firma.de Mehrere Benutzer können Zugriff haben. Typische Nutzung: - Support - Info-Adresse - Team-Postfach - Bewerbungen - Rechnungen Merksatz: Shared Mailbox = gemeinsames Postfach für mehrere Benutzer. Postfachgröße Ein Postfach kann eine Größenbegrenzung haben. Wenn das Postfach voll ist, können Probleme auftreten. Mögliche Folgen: - neue E-Mails werden abgewiesen - Benutzer kann nicht senden - Synchronisation schlägt fehl - Warnungen im Mailclient Merksatz: Volles Postfach kann Mailprobleme verursachen. Spamfilter Spamfilter prüfen eingehende E-Mails auf unerwünschte oder gefährliche Inhalte. Kriterien können sein: - Absenderreputation - Inhalt - Links - Anhänge - SPF - DKIM - DMARC - bekannte Schadsoftware - ungewöhnliches Verhalten Merksatz: Spamfilter entscheiden, ob E-Mails zugestellt, markiert oder blockiert werden. Quarantäne Quarantäne bedeutet: Eine E-Mail wird nicht direkt zugestellt, sondern zurückgehalten. Gründe: - Spamverdacht - Malwareverdacht - gefährlicher Anhang - Phishingverdacht - Richtlinienverstoß Administrator oder Benutzer können je nach System prüfen, ob die Mail freigegeben werden soll. Merksatz: Quarantäne hält verdächtige Mails zurück. Phishing Phishing ist der Versuch, Benutzer zur Preisgabe sensibler Informationen zu bringen. Beispiele: - gefälschte Login-Seite - angebliche Paketbenachrichtigung - falsche Rechnung - gefälschte Bank-Mail - angeblicher IT-Support Ziel: Zugangsdaten, Zahlungsdaten oder Zugriff auf Systeme Merksatz: Phishing täuscht Benutzer, um Daten oder Zugriff zu erhalten. Anhänge und Sicherheit E-Mail-Anhänge können gefährlich sein. Risiken: - Schadsoftware - Makros - manipulierte Dokumente - Archive mit Malware - ausführbare Dateien - Phishing-Dokumente Schutzmaßnahmen: - Anhänge prüfen - Makros einschränken - Antivirus - Sandboxing - Schulung der Benutzer - Dateitypen filtern Merksatz: E-Mail-Anhänge sind ein häufiger Angriffsweg. E-Mail-Header E-Mail-Header enthalten technische Informationen. Beispiele: - Absender - Empfänger - Betreff - Versandzeit - Mailserver-Wege - Message-ID - SPF/DKIM/DMARC-Ergebnisse - Received-Zeilen Header helfen bei der Fehlersuche und Sicherheitsanalyse. Merksatz: Mail-Header zeigen technische Zustellinformationen. Received-Header Received-Header zeigen, über welche Mailserver eine E-Mail gelaufen ist. Jeder Mailserver fügt typischerweise eine Received-Zeile hinzu. Damit kann man den Weg einer E-Mail nachvollziehen. Merksatz: Received-Header zeigen den Mailtransportweg. Bounce-Mail Eine Bounce-Mail ist eine automatische Fehlermeldung, wenn eine E-Mail nicht zugestellt werden konnte. Mögliche Gründe: - Empfänger existiert nicht - Postfach voll - Domain existiert nicht - Mailserver nicht erreichbar - Nachricht wurde abgelehnt - Spamprüfung fehlgeschlagen Merksatz: Bounce-Mail informiert über Zustellfehler. NDR NDR steht für: Non-Delivery Report Das ist eine Nichtzustellbarkeitsmeldung. Sie enthält häufig: - Fehlercode - Grund der Ablehnung - Zieladresse - Zeit - beteiligter Mailserver Merksatz: NDR = Meldung über nicht zugestellte E-Mail. Typische SMTP-Fehlercodes SMTP nutzt Antwortcodes. Grobe Einordnung: Bereich Bedeutung 2xx Erfolg 4xx temporärer Fehler 5xx dauerhafter Fehler Beispiele: Code Bedeutung 250 OK 421 Dienst nicht verfügbar 450 Mailbox vorübergehend nicht verfügbar 550 Mailbox nicht gefunden oder abgelehnt 554 Nachricht abgelehnt Merksatz: 4xx kann später erneut versucht werden. 5xx ist meist dauerhaft. E-Mail-Fehlersuche: Senden Wenn E-Mail-Senden nicht funktioniert, prüft man: - SMTP-Server korrekt? - richtiger Port? - Authentifizierung korrekt? - TLS erforderlich? - Benutzer darf senden? - Absenderadresse erlaubt? - DNS korrekt? - Firewall blockiert? - Mailserver-Logs? - Fehlermeldung oder NDR? Merksatz: Beim Senden SMTP, Authentifizierung, TLS und DNS prüfen. E-Mail-Fehlersuche: Empfangen Wenn E-Mail-Empfang nicht funktioniert, prüft man: - MX-Record korrekt? - Mailserver erreichbar? - Postfach vorhanden? - Postfach voll? - Spamfilter oder Quarantäne? - POP3/IMAP erreichbar? - Client korrekt konfiguriert? - TLS und Anmeldung korrekt? - Mailserver-Logs? Merksatz: Beim Empfangen MX, Postfach, Spamfilter und Abrufprotokoll prüfen. Fehlerbild: Mail kommt nicht an Mögliche Ursachen: - falsche Empfängeradresse - MX-Record falsch - Mailserver nicht erreichbar - Spamfilter blockiert - Quarantäne - Postfach voll - SPF/DKIM/DMARC-Fehler - Absender blockiert - Domain falsch - NDR beachten Merksatz: Nicht zugestellte Mail immer mit NDR und Logs prüfen. Fehlerbild: Mail landet im Spam Mögliche Ursachen: - schlechter Absender-Ruf - SPF fehlt oder falsch - DKIM fehlt oder falsch - DMARC fehlt oder streng - Inhalt wirkt verdächtig - Links sind auffällig - Anhänge sind verdächtig - fehlender PTR-Record - neue oder schlecht bewertete Domain Merksatz: Spamprobleme oft mit DNS-Authentifizierung und Inhalt prüfen. Fehlerbild: Mailclient kann nicht senden Mögliche Ursachen: - falscher SMTP-Server - falscher Port - Authentifizierung falsch - TLS-Einstellung falsch - Passwort falsch - Benutzer darf nicht senden - Firewall blockiert - Provider blockiert Port 25 - Konto gesperrt Merksatz: Sendeprobleme am Client betreffen oft SMTP, Port, TLS und Login. Fehlerbild: Mailclient kann nicht empfangen Mögliche Ursachen: - falscher IMAP- oder POP3-Server - falscher Port - falsches Passwort - TLS-Einstellung falsch - Postfach voll - Konto gesperrt - Firewall blockiert - Serverdienst gestört - Zertifikatsfehler Merksatz: Empfangsprobleme am Client betreffen IMAP/POP3, Port, TLS und Login. Fehlerbild: Zertifikatswarnung im Mailclient Mögliche Ursachen: - Zertifikat abgelaufen - Name passt nicht zum Zertifikat - falscher Mailserver eingetragen - interne CA nicht vertraut - Zwischenzertifikat fehlt - falsche Systemzeit - Proxy oder Sicherheitssoftware greift ein Merksatz: Mail-Zertifikatsfehler wie HTTPS-Zertifikatsfehler prüfen. Fehlerbild: E-Mail verzögert Mögliche Ursachen: - Greylisting - temporärer SMTP-Fehler - überlasteter Mailserver - DNS-Probleme - Spamprüfung dauert - Zielserver nicht erreichbar - Warteschlange auf Mailserver - Rate Limits Merksatz: Verzögerte Mail kann durch temporäre Fehler oder Warteschlangen entstehen. Greylisting Greylisting ist eine Anti-Spam-Technik. Dabei lehnt der empfangende Server eine Mail zunächst temporär ab. Ein seriöser Mailserver versucht später erneut zuzustellen. Viele Spam-Systeme versuchen das nicht. Merksatz: Greylisting verzögert E-Mails absichtlich zur Spamabwehr. Was E-Mail-Protokolle nicht machen E-Mail-Protokolle machen nicht automatisch: - DNS korrekt konfigurieren - Benutzer sicher schulen - Phishing vollständig verhindern - Anhänge automatisch ungefährlich machen - Postfachgrößen unbegrenzt machen - Ende-zu-Ende-Verschlüsselung erzwingen - SPF/DKIM/DMARC automatisch korrekt setzen Merksatz: E-Mail braucht Protokolle, DNS, Sicherheit und Administration zusammen. Einordnung in das OSI-Modell Thema Schicht SMTP 7 POP3 7 IMAP 7 DNS MX 7 SPF/DKIM/DMARC 7 mit Sicherheitsbezug TLS bei Mail 6 mit Schicht-7-Bezug TCP-Port 25/587/465/110/143/993/995 4 IP-Adresse des Mailservers 3 MAC-Adresse 2 Merksatz: Mailprotokolle gehören zu Schicht 7, ihre Ports zu Schicht 4. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Protokolle werden für E-Mail verwendet? - Wofür wird SMTP genutzt? - Wofür wird POP3 genutzt? - Wofür wird IMAP genutzt? - Was ist der Unterschied zwischen POP3 und IMAP? - Welche Ports nutzen SMTP, POP3 und IMAP? - Was ist SMTP Submission? - Was ist STARTTLS? - Was ist ein MX-Record? - Warum ist DNS für E-Mail wichtig? - Was machen SPF, DKIM und DMARC? - Was ist ein NDR? - Warum landet eine Mail im Spam? - Warum ist TLS bei Mail nicht automatisch Ende-zu-Ende-Verschlüsselung? Typische Prüfungsfallen SMTP sendet E-Mails. POP3 ruft E-Mails ab. IMAP ruft E-Mails ab und verwaltet sie auf dem Server. SMTP zwischen Mailservern nutzt häufig TCP 25. SMTP Submission nutzt häufig TCP 587. SMTPS nutzt häufig TCP 465. POP3 nutzt TCP 110. POP3S nutzt TCP 995. IMAP nutzt TCP 143. IMAPS nutzt TCP 993. SMTP ist nicht zum Abrufen von E-Mails gedacht. POP3 ist weniger gut für mehrere Geräte. IMAP ist besser für Synchronisation. MX-Record zeigt zuständigen Mailserver. SPF erlaubt sendende Server. DKIM signiert E-Mails. DMARC legt Umgang mit Fehlern fest. TLS schützt Verbindung, aber nicht automatisch Ende-zu-Ende den Inhalt. Mailprobleme können DNS-, TLS-, Spamfilter- oder Postfachprobleme sein. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung SMTP Protokoll zum Senden und Weiterleiten von E-Mails POP3 Protokoll zum einfachen Abrufen von E-Mails IMAP Protokoll zum Abrufen und Verwalten von E-Mails Submission authentifiziertes Einreichen von E-Mails SMTPS SMTP direkt über TLS POP3S POP3 über TLS IMAPS IMAP über TLS MX DNS-Eintrag für zuständigen Mailserver PTR Reverse-DNS-Eintrag SPF legt erlaubte sendende Server fest DKIM kryptografische Signatur für E-Mails DMARC Richtlinie für SPF-/DKIM-Auswertung STARTTLS Umschalten auf TLS innerhalb einer Verbindung S/MIME Ende-zu-Ende-Verschlüsselung und Signatur für E-Mail OpenPGP Ende-zu-Ende-Verschlüsselung für E-Mail Postfach Speicherbereich für E-Mails Alias zusätzliche Adresse für ein Postfach Shared Mailbox gemeinsames Postfach Spamfilter Filter gegen unerwünschte E-Mails Quarantäne zurückgehaltene verdächtige E-Mail NDR Nichtzustellbarkeitsmeldung Bounce automatische Fehlermeldung bei Zustellproblem IHK-sichere Kurzformulierung E-Mail-Kommunikation gehört zur Anwendungsschicht des OSI-Modells und nutzt mehrere Protokolle. SMTP dient dem Senden und Weiterleiten von E-Mails, POP3 und IMAP dienen dem Abrufen von E-Mails. POP3 lädt E-Mails eher einfach ab, während IMAP E-Mails auf dem Server verwaltet und zwischen mehreren Geräten synchronisiert. DNS ist für E-Mail wichtig, insbesondere durch MX-Records für zuständige Mailserver sowie TXT-Records für SPF, DKIM und DMARC. TLS kann Mailverbindungen schützen, ist aber nicht automatisch Ende-zu-Ende-Verschlüsselung des Mailinhalts. Merksätze E-Mail gehört zu Schicht 7. SMTP sendet E-Mails. POP3 ruft E-Mails ab. IMAP ruft E-Mails ab und verwaltet sie. SMTP = Simple Mail Transfer Protocol. POP3 = Post Office Protocol Version 3. IMAP = Internet Message Access Protocol. SMTP Port 25 = Mailserver zu Mailserver. Submission Port 587 = Client sendet authentifiziert. SMTPS Port 465 = SMTP direkt über TLS. POP3 Port 110 = Abruf unverschlüsselt. POP3S Port 995 = POP3 über TLS. IMAP Port 143 = Abruf und Verwaltung. IMAPS Port 993 = IMAP über TLS. MX = zuständiger Mailserver. PTR = Reverse DNS. SPF sagt, wer senden darf. DKIM signiert E-Mails. DMARC legt Umgang mit Prüfungsfehlern fest. POP3 lädt eher herunter. IMAP synchronisiert besser. STARTTLS schaltet auf TLS um. TLS schützt Mailverbindung, aber nicht automatisch Ende-zu-Ende den Inhalt. S/MIME und OpenPGP schützen Inhalte Ende-zu-Ende. NDR = Nichtzustellbarkeitsmeldung. Mailprobleme mit DNS, Ports, TLS, Authentifizierung, Spamfilter und Logs prüfen. 10.6 Datei- und Freigabeprotokolle: FTP, SFTP, FTPS und SMB Datei- und Freigabeprotokolle gehören zur OSI-Schicht 7. Sie werden genutzt, um Dateien über ein Netzwerk bereitzustellen, zu übertragen oder gemeinsam zu verwenden. Wichtige Protokolle sind: - FTP - SFTP - FTPS - SMB Diese Protokolle haben unterschiedliche Aufgaben und Sicherheitsmerkmale. Merksatz: Dateiübertragung und Dateifreigaben gehören zur Anwendungsschicht. Grundidee von Dateiübertragung Bei der Dateiübertragung werden Dateien von einem System zu einem anderen übertragen. Beispiele: - Datei auf Server hochladen - Datei von Server herunterladen - Backup übertragen - Konfigurationsdatei kopieren - Webseite auf Webserver hochladen - Dokumente zwischen Systemen austauschen Dabei muss geregelt werden: - wer zugreifen darf - welche Dateien übertragen werden - ob verschlüsselt wird - welcher Port genutzt wird - ob nur Dateiübertragung oder echte Freigabe gewünscht ist Merksatz: Dateiübertragung bedeutet: Dateien gezielt zwischen Systemen bewegen. Grundidee von Dateifreigaben Eine Dateifreigabe stellt Dateien im Netzwerk bereit. Dabei sieht ein Benutzer oder Client einen Ordner auf einem entfernten System. Beispiele: - Netzlaufwerk im Unternehmen - gemeinsamer Projektordner - Druckerfreigabe - zentrale Dateiablage - Home-Laufwerk eines Benutzers - NAS-Freigabe Typisch hierfür ist: SMB Merksatz: Dateifreigabe bedeutet: Dateien werden im Netzwerk gemeinsam bereitgestellt. Dateiübertragung und Dateifreigabe unterscheiden Thema Dateiübertragung Dateifreigabe Grundidee Datei von A nach B kopieren Ordner im Netzwerk gemeinsam nutzen typische Protokolle FTP, SFTP, FTPS SMB Nutzung Upload, Download, Transfer Netzlaufwerk, Freigabe, gemeinsames Arbeiten Zugriff meist gezielte Übertragung fortlaufender Zugriff auf entfernte Dateien Beispiel Datei auf Server hochladen Laufwerk \\server\share öffnen Merksatz: FTP/SFTP/FTPS übertragen Dateien. SMB stellt Freigaben bereit. Einordnung im OSI-Modell Thema Schicht FTP 7 SFTP 7, nutzt SSH FTPS 7, nutzt TLS SMB 7 TCP-Port 4 IP-Adresse 3 MAC-Adresse 2 TLS 6 mit Schicht-7-Bezug SSH 7 mit Sicherheitsbezug Merksatz: Protokoll = Schicht 7. Port = Schicht 4. FTP FTP steht für: File Transfer Protocol FTP dient zur Dateiübertragung. Typischer Port: TCP 21 FTP wird klassisch verwendet für: - Dateien hochladen - Dateien herunterladen - Verzeichnisse auflisten - Dateien löschen oder umbenennen - einfache Server-Dateiverwaltung Wichtig: Klassisches FTP ist unverschlüsselt. Merksatz: FTP = Dateiübertragung über TCP 21, aber klassisch unverschlüsselt. FTP ist unverschlüsselt Klassisches FTP überträgt Daten unverschlüsselt. Das betrifft besonders: - Benutzername - Passwort - Befehle - Dateiinhalte Wenn jemand den Netzwerkverkehr mitlesen kann, können sensible Informationen sichtbar werden. Deshalb sollte klassisches FTP heute möglichst vermieden werden. Merksatz: FTP ohne Schutz ist unsicher. FTP-Steuerverbindung und Datenverbindung FTP arbeitet mit zwei Verbindungsarten: Steuerverbindung Datenverbindung Steuerverbindung: Befehle und Anmeldung Datenverbindung: Dateiinhalt und Verzeichnislisten Typisch: TCP 21 für Steuerverbindung Die Datenverbindung hängt vom Modus ab. Merksatz: FTP nutzt Steuerverbindung und Datenverbindung. Aktiver FTP-Modus Beim aktiven FTP-Modus baut der Server eine Datenverbindung zurück zum Client auf. Problem: Firewalls und NAT können das erschweren, weil der Server von außen zum Client verbinden möchte. Typische Schwierigkeit: Client sitzt hinter NAT oder Firewall. Merksatz: Aktives FTP kann mit NAT und Firewalls Probleme machen. Passiver FTP-Modus Beim passiven FTP-Modus baut der Client beide Verbindungen zum Server auf. Das ist heute häufig praktischer, weil Clients oft hinter NAT oder Firewalls sitzen. Der Server teilt dem Client einen Datenport mit, zu dem der Client sich verbindet. Wichtig: Die passiven Portbereiche müssen auf Firewall und Server korrekt erlaubt sein. Merksatz: Passives FTP ist NAT-freundlicher, braucht aber passende Firewall-Regeln. FTP und Firewall-Probleme FTP kann bei Firewalls schwieriger sein als einfache Protokolle. Warum? FTP nutzt nicht nur eine einzelne Verbindung. Typische Fehler: - Login funktioniert, aber Verzeichnisliste lädt nicht - Verbindung funktioniert, aber Dateiübertragung schlägt fehl - passiver Portbereich nicht freigegeben - NAT übersetzt falsche Adresse Merksatz: Bei FTP müssen Steuer- und Datenverbindung funktionieren. SFTP SFTP steht für: SSH File Transfer Protocol SFTP ist Dateiübertragung über SSH. Typischer Port: TCP 22 SFTP ist nicht dasselbe wie FTP. SFTP nutzt SSH als sichere Grundlage. Dadurch werden Anmeldung und Daten verschlüsselt übertragen. Merksatz: SFTP = Dateiübertragung über SSH. SFTP und SSH SFTP läuft über SSH. SSH bietet: - Verschlüsselung - Authentifizierung - sichere Verbindung - Zugriff über Benutzerkonto oder Schlüssel SFTP nutzt diese sichere Verbindung, um Dateien zu übertragen. Typische Nutzung: - Serveradministration - Datei-Upload auf Server - sichere Dateiübertragung - Automatisierung mit Schlüsseln Merksatz: Wer SFTP nutzt, nutzt technisch SSH als Grundlage. SFTP ist nicht FTP über TLS Ein häufiger Fehler ist: SFTP = sicheres FTP Besser: SFTP ist ein eigenes Protokoll über SSH. Es ist nicht: klassisches FTP mit Verschlüsselung Das wäre eher: FTPS Merksatz: SFTP ist nicht FTPS. FTPS FTPS bedeutet: FTP mit TLS-Schutz FTPS basiert auf FTP, nutzt aber TLS zur Verschlüsselung. Es gibt zwei typische Varianten: explizites FTPS implizites FTPS Merksatz: FTPS = FTP mit TLS. Explizites FTPS Explizites FTPS startet zunächst auf dem klassischen FTP-Port. Typischer Port: TCP 21 Dann wird mit einem Befehl auf TLS umgestellt. Das ist ähnlich zur Idee von STARTTLS. Merksatz: Explizites FTPS startet auf TCP 21 und schaltet auf TLS um. Implizites FTPS Implizites FTPS startet direkt mit TLS. Typischer Port: TCP 990 Dabei wird von Beginn an verschlüsselt kommuniziert. Merksatz: Implizites FTPS nutzt typischerweise TCP 990. SFTP und FTPS vergleichen Merkmal SFTP FTPS Grundlage SSH FTP + TLS typischer Port TCP 22 TCP 21 oder TCP 990 Protokollfamilie SSH-basiert FTP-basiert Verschlüsselung durch SSH durch TLS Firewall-Aufwand meist einfacher oft aufwendiger wegen FTP-Datenkanälen nicht verwechseln mit FTPS SFTP Merksatz: SFTP = SSH. FTPS = FTP mit TLS. FTP, SFTP und FTPS vergleichen Protokoll Verschlüsselung typischer Port Kurzidee FTP nein TCP 21 klassische Dateiübertragung SFTP ja, SSH TCP 22 Dateiübertragung über SSH FTPS explizit ja, TLS TCP 21 FTP startet und schaltet auf TLS FTPS implizit ja, TLS TCP 990 FTP direkt über TLS Merksatz: FTP unverschlüsselt. SFTP über SSH. FTPS über TLS. SMB SMB steht für: Server Message Block SMB wird für Datei- und Druckerfreigaben verwendet. Typischer Port: TCP 445 Typische Nutzung: - Windows-Dateifreigaben - Netzlaufwerke - Druckerfreigaben - zentrale Dateiablagen - Zugriff auf NAS-Freigaben - Freigaben in Unternehmensnetzen Merksatz: SMB = Datei- und Druckerfreigaben im Netzwerk. SMB-Freigabe Eine SMB-Freigabe ist ein freigegebener Ordner im Netzwerk. Beispiel Windows-Schreibweise: \\server01\daten Dabei ist: server01 = Servername daten = Freigabename Benutzer können diese Freigabe als Netzlaufwerk verbinden. Merksatz: SMB-Freigabe = Netzwerkordner. UNC-Pfad UNC steht für: Universal Naming Convention Ein UNC-Pfad beschreibt eine Netzwerkfreigabe. Beispiel: \\server01\freigabe\ordner\datei.txt Bestandteile: Servername Freigabename Pfad innerhalb der Freigabe Merksatz: UNC-Pfad zeigt auf eine Netzwerkfreigabe. Netzlaufwerk Ein Netzlaufwerk ist eine eingebundene Netzwerkfreigabe. Beispiel: Laufwerk Z: zeigt auf \\server01\projekte Vorteil: Benutzer kann die Freigabe wie ein Laufwerk verwenden. Merksatz: Netzlaufwerk = eingebundene SMB-Freigabe. SMB und Berechtigungen Bei SMB gibt es meist zwei Berechtigungsebenen: Freigabeberechtigungen Dateisystemberechtigungen In Windows-Umgebungen sind Dateisystemberechtigungen oft NTFS-Berechtigungen. Wichtig: Es gilt am Ende die wirksam einschränkendere Berechtigung. Merksatz: SMB-Zugriff hängt von Freigabe- und Dateisystemrechten ab. Freigabeberechtigungen Freigabeberechtigungen gelten auf Ebene der Netzwerkfreigabe. Beispiele: Lesen Ändern Vollzugriff Sie steuern, was Benutzer über die Freigabe grundsätzlich dürfen. Merksatz: Freigaberechte gelten am Netzwerkzugriffspunkt. Dateisystemberechtigungen Dateisystemberechtigungen gelten auf dem Dateisystem selbst. Beispiele: Lesen Schreiben Ändern Löschen Ausführen Vollzugriff Sie gelten oft auch lokal auf dem Server, nicht nur über das Netzwerk. Merksatz: Dateisystemrechte schützen Dateien und Ordner direkt. Effektive Berechtigung Wenn Freigaberechte und Dateisystemrechte zusammenkommen, zählt die effektiv erlaubte Berechtigung. Beispiel: Freigabe: Vollzugriff Dateisystem: Lesen Ergebnis: Benutzer kann nur lesen. Merksatz: Die strengere Berechtigung begrenzt den Zugriff. Gruppen statt Einzelbenutzer In Unternehmensnetzen vergibt man Rechte möglichst über Gruppen. Beispiel: Gruppe: Projekt_A_Lesen Gruppe: Projekt_A_Aendern Benutzer werden in Gruppen aufgenommen, statt direkt auf einzelne Ordner berechtigt zu werden. Vorteile: - bessere Übersicht - einfachere Verwaltung - weniger Fehler - leichteres Entfernen von Rechten Merksatz: Berechtigungen über Gruppen vergeben. Least Privilege Least Privilege bedeutet: Benutzer erhalten nur die Rechte, die sie wirklich benötigen. Beispiel: Praktikant braucht Leserechte, aber keine Löschrechte. Dieses Prinzip reduziert Sicherheitsrisiken. Merksatz: Nur so viele Rechte wie nötig, so wenige wie möglich. SMB und Active Directory In Windows-Umgebungen wird SMB häufig mit Active Directory kombiniert. Active Directory liefert: Benutzerkonten Gruppen Authentifizierung Richtlinien SMB nutzt diese Informationen, um Freigabezugriffe zu erlauben oder abzulehnen. Merksatz: SMB-Freigaben nutzen oft AD-Benutzer und Gruppen. SMB und DNS SMB-Zugriff nutzt häufig Servernamen. Beispiel: \\fileserver01\projekte Dafür muss Namensauflösung funktionieren. Mögliche Namensauflösung: - DNS - lokale Namensauflösung - ältere NetBIOS-Mechanismen In modernen Netzwerken ist DNS besonders wichtig. Merksatz: SMB-Probleme können DNS-Probleme sein. SMB-Versionen Es gibt verschiedene SMB-Versionen. Wichtig: SMBv1 ist veraltet und unsicher. Moderne Systeme sollten SMBv2 oder SMBv3 verwenden. SMBv3 unterstützt unter anderem bessere Sicherheitsfunktionen und kann Verschlüsselung unterstützen. Merksatz: SMBv1 vermeiden. SMBv2 oder SMBv3 verwenden. SMB und Sicherheit SMB sollte sorgfältig abgesichert werden. Wichtige Punkte: - SMBv1 deaktivieren - Zugriff nur intern oder über VPN - keine SMB-Freigaben direkt ins Internet öffnen - Berechtigungen sauber setzen - Gruppen verwenden - Protokollierung aktivieren - Updates einspielen - Gastzugriff vermeiden - starke Authentifizierung nutzen Merksatz: SMB gehört nicht ungeschützt ins Internet. SMB und Druckerfreigaben SMB kann auch für Druckerfreigaben verwendet werden. Beispiel: \\printserver01\drucker01 Clients verbinden sich mit der Freigabe und senden Druckaufträge an den Druckserver. Merksatz: SMB kann Dateien und Drucker freigeben. FTP oder SMB? Anwendungsfall eher passend einzelne Datei auf Server hochladen SFTP oder FTPS Webseite per Dateiübertragung aktualisieren SFTP gemeinsames Netzlaufwerk im Unternehmen SMB NAS-Freigabe im LAN SMB automatisierter sicherer Dateitransfer SFTP klassische unverschlüsselte Übertragung FTP vermeiden Merksatz: SMB für Freigaben. SFTP/FTPS für Dateiübertragung. Sicherheit: FTP vermeiden Klassisches FTP sollte möglichst vermieden werden, weil es unverschlüsselt ist. Bessere Alternativen: - SFTP - FTPS - HTTPS-Upload - VPN plus interne Freigabe - sichere Cloud- oder Filesharing-Lösung Merksatz: FTP ohne Verschlüsselung ist nicht mehr zeitgemäß. Sicherheit: SFTP bevorzugen SFTP ist oft eine gute Wahl für sichere Dateiübertragung. Vorteile: - nur ein typischer Port - SSH-Verschlüsselung - Schlüsselbasierte Anmeldung möglich - gut automatisierbar - häufig auf Servern verfügbar Merksatz: SFTP ist für sichere Dateiübertragung oft einfacher als FTPS. Dateiübertragung und Datenschutz Bei Dateiübertragung können sensible Daten betroffen sein. Beispiele: - Kundendaten - Rechnungen - Bewerbungen - personenbezogene Daten - Zugangsdaten - interne Dokumente - Backups Deshalb wichtig: - verschlüsselte Übertragung - Zugriffsschutz - Protokollierung - Berechtigungskonzept - Aufbewahrungsregeln - sichere Löschung bei Bedarf Merksatz: Dateiübertragung muss Datenschutz und Zugriffsschutz beachten. Fehlerbild: FTP-Login geht, Dateiübertragung nicht Mögliche Ursachen: - passiver Portbereich nicht freigegeben - aktiver Modus scheitert an NAT - Firewall blockiert Datenverbindung - Server gibt falsche externe IP aus - TLS-Modus passt nicht - Berechtigungen fehlen Merksatz: Bei FTP kann Login funktionieren, obwohl Datenübertragung scheitert. Fehlerbild: SFTP-Verbindung scheitert Mögliche Ursachen: - SSH-Dienst läuft nicht - TCP 22 blockiert - falscher Benutzer - falscher Schlüssel - Passwortlogin deaktiviert - Benutzer hat keine SFTP-Berechtigung - falscher Hostname - Firewall blockiert - Host-Key-Warnung Merksatz: SFTP-Probleme wie SSH-Probleme prüfen. Fehlerbild: FTPS-Zertifikatsfehler Mögliche Ursachen: - Zertifikat abgelaufen - Name passt nicht zum Zertifikat - CA nicht vertrauenswürdig - Zwischenzertifikat fehlt - Client unterstützt TLS-Version nicht - falscher FTPS-Modus Merksatz: FTPS-Zertifikatsfehler wie TLS-Probleme prüfen. Fehlerbild: SMB-Freigabe nicht erreichbar Mögliche Ursachen: - Servername wird nicht aufgelöst - TCP 445 blockiert - Serverdienst läuft nicht - Firewall blockiert SMB - falscher Freigabename - Benutzer hat keine Rechte - falsche Domänenanmeldung - SMB-Version nicht kompatibel - Netzwerkprofil blockiert Freigaben Merksatz: SMB-Probleme mit DNS, TCP 445, Dienst und Berechtigungen prüfen. Fehlerbild: Zugriff verweigert bei SMB Mögliche Ursachen: - Benutzer nicht berechtigt - Gruppe fehlt - Freigabeberechtigung zu streng - NTFS-Berechtigung zu streng - Vererbung falsch - falsches Konto verwendet - gespeicherte alte Anmeldedaten - Datei durch anderen Prozess gesperrt Merksatz: Zugriff verweigert heißt oft: Berechtigungen oder Anmeldung prüfen. Fehlerbild: Netzlaufwerk verbindet nicht Mögliche Ursachen: - Server nicht erreichbar - DNS-Name falsch - Freigabe existiert nicht - Benutzer nicht berechtigt - falsche gespeicherte Zugangsdaten - VPN nicht verbunden - SMB-Port blockiert - Offline-Dateien oder Cache-Problem - Gruppenrichtlinie greift nicht Merksatz: Netzlaufwerkprobleme mit Pfad, DNS, Port, Anmeldung und Rechten prüfen. Fehlerbild: Datei lässt sich nicht speichern Mögliche Ursachen: - keine Schreibrechte - Speicherplatz voll - Quota erreicht - Datei gesperrt - Pfad zu lang - Dateiname ungültig - Netzwerkunterbrechung - Synchronisationsproblem - Antivirus blockiert Merksatz: Speichern auf Freigaben braucht Rechte, Platz und stabile Verbindung. Fehlerbild: Datei ist gesperrt Eine Datei kann durch einen Benutzer oder Prozess gesperrt sein. Mögliche Ursachen: - Datei ist geöffnet - Anwendung hält Sperre - vorherige Sitzung nicht sauber beendet - Synchronisationsdienst greift zu - Backup oder Antivirus scannt Datei Merksatz: Dateisperren verhindern gleichzeitige unsichere Änderungen. Fehlersuche bei Datei- und Freigabeproblemen Eine sinnvolle Reihenfolge: 1. Name oder IP erreichbar? 2. Richtiger Port erreichbar? 3. Richtiger Dienst läuft? 4. Richtiges Protokoll verwendet? 5. Authentifizierung korrekt? 6. Berechtigungen korrekt? 7. Verschlüsselung oder Zertifikat korrekt? 8. Firewall oder NAT im Weg? 9. Serverlogs prüfen. 10. Clientlogs oder Fehlermeldung prüfen. Merksatz: Erst Verbindung, dann Protokoll, dann Anmeldung, dann Rechte. Nützliche Prüfpunkte Prüffrage Bedeutung Ist der Server erreichbar? Schicht 3 prüfen Ist der Port erreichbar? Schicht 4 prüfen Läuft der Dienst? Schicht 7 prüfen Stimmt der Benutzer? Authentifizierung prüfen Hat der Benutzer Rechte? Autorisierung prüfen Ist die Verbindung verschlüsselt? Sicherheit prüfen Gibt es Logs? Ursache genauer finden Merksatz: Datei-Probleme sauber nach Schichten eingrenzen. Was Datei- und Freigabeprotokolle nicht machen Sie machen nicht automatisch: - Benutzer korrekt berechtigen - Daten verschlüsselt speichern - Backups erstellen - Malware verhindern - Datenschutz automatisch erfüllen - Versionierung bereitstellen - Konflikte automatisch sinnvoll lösen - defekte Dateien reparieren Merksatz: Dateiübertragung ersetzt kein Berechtigungs-, Backup- oder Sicherheitskonzept. Typische Ports Protokoll Port Hinweis FTP TCP 21 Steuerverbindung SFTP TCP 22 über SSH FTPS explizit TCP 21 FTP mit TLS-Umschaltung FTPS implizit TCP 990 direkt TLS SMB TCP 445 Datei- und Druckerfreigaben Merksatz: FTP 21, SFTP 22, FTPS 990, SMB 445. Einordnung in das OSI-Modell Thema Schicht FTP 7 SFTP 7 FTPS 7 mit TLS-Bezug SMB 7 TLS bei FTPS 6 SSH bei SFTP 7 mit Sicherheitsbezug TCP-Port 21 / 22 / 445 / 990 4 IP-Adresse des Servers 3 DNS-Name des Servers 7 SMB-Berechtigungen 7 / Betriebssystembezug Merksatz: Datei- und Freigabeprotokolle sind Schicht 7, nutzen aber Schicht 4-Ports. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür wird FTP genutzt? - Warum ist klassisches FTP unsicher? - Was ist der Unterschied zwischen FTP, SFTP und FTPS? - Welcher Port wird typischerweise für SFTP genutzt? - Was ist SMB? - Wofür wird SMB verwendet? - Welcher Port wird für SMB verwendet? - Was ist eine SMB-Freigabe? - Was ist ein UNC-Pfad? - Was ist der Unterschied zwischen Dateiübertragung und Dateifreigabe? - Warum sollte SMB nicht direkt ins Internet geöffnet werden? - Warum kann FTP trotz erfolgreichem Login bei der Dateiübertragung scheitern? - Welche Rolle spielen Berechtigungen bei SMB? - Warum sollte man Berechtigungen über Gruppen vergeben? Typische Prüfungsfallen FTP ist klassisch unverschlüsselt. FTP nutzt typischerweise TCP 21. FTP kann Steuer- und Datenverbindung nutzen. FTP kann mit NAT und Firewall schwierig sein. SFTP ist Dateiübertragung über SSH. SFTP nutzt typischerweise TCP 22. SFTP ist nicht FTPS. FTPS ist FTP mit TLS. Implizites FTPS nutzt häufig TCP 990. SMB nutzt typischerweise TCP 445. SMB ist für Datei- und Druckerfreigaben. SMBv1 ist veraltet und unsicher. UNC-Pfad sieht aus wie `\\server\freigabe`. Freigaberechte und Dateisystemrechte zusammen beachten. Strengere Berechtigung begrenzt den Zugriff. Berechtigungen möglichst über Gruppen vergeben. SMB gehört nicht ungeschützt ins Internet. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung FTP klassisches Dateiübertragungsprotokoll SFTP Dateiübertragung über SSH FTPS FTP mit TLS SMB Datei- und Druckerfreigabeprotokoll Steuerverbindung FTP-Verbindung für Befehle Datenverbindung FTP-Verbindung für Dateiinhalt aktiver FTP-Modus Server baut Datenverbindung zum Client auf passiver FTP-Modus Client baut Datenverbindung zum Server auf SMB-Freigabe freigegebener Netzwerkordner UNC-Pfad Pfad zu einer Netzwerkfreigabe Netzlaufwerk eingebundene Netzwerkfreigabe Freigabeberechtigung Recht auf Netzwerkfreigabeebene Dateisystemberechtigung Recht auf Datei- oder Ordnerebene effektive Berechtigung tatsächlich wirkendes Recht Least Privilege nur notwendige Rechte vergeben SMBv1 veraltete unsichere SMB-Version IHK-sichere Kurzformulierung FTP, SFTP, FTPS und SMB sind Protokolle der Anwendungsschicht. FTP dient der klassischen Dateiübertragung, ist ohne Zusatzschutz jedoch unverschlüsselt und nutzt typischerweise TCP-Port 21. SFTP ist Dateiübertragung über SSH und nutzt typischerweise TCP-Port 22. FTPS ist FTP mit TLS-Schutz und nutzt je nach Variante TCP-Port 21 oder 990. SMB wird für Datei- und Druckerfreigaben verwendet und nutzt typischerweise TCP-Port 445. Bei SMB sind Freigabeberechtigungen und Dateisystemberechtigungen zu unterscheiden. Moderne Systeme sollten SMBv1 vermeiden und SMB-Freigaben nicht ungeschützt aus dem Internet erreichbar machen. Merksätze Dateiübertragung und Freigaben gehören zu Schicht 7. FTP = File Transfer Protocol. FTP nutzt typischerweise TCP 21. FTP ist klassisch unverschlüsselt. FTP nutzt Steuer- und Datenverbindung. Passives FTP ist NAT-freundlicher. SFTP = SSH File Transfer Protocol. SFTP nutzt typischerweise TCP 22. SFTP ist Dateiübertragung über SSH. FTPS = FTP mit TLS. FTPS ist nicht SFTP. Implizites FTPS nutzt häufig TCP 990. SMB = Server Message Block. SMB nutzt typischerweise TCP 445. SMB = Datei- und Druckerfreigaben. SMB-Freigabe = Netzwerkordner. UNC-Pfad = `\\server\freigabe`. Netzlaufwerk = eingebundene Freigabe. Freigaberechte und Dateisystemrechte zusammen prüfen. Die strengere Berechtigung begrenzt den Zugriff. Rechte möglichst über Gruppen vergeben. Least Privilege beachten. SMBv1 vermeiden. SMB nicht ungeschützt ins Internet öffnen. Datei-Probleme mit DNS, Port, Dienst, Anmeldung und Berechtigungen prüfen. 10.7 Verzeichnisdienste, Netzwerkmanagement und Zeitdienste: LDAP, SNMP und NTP LDAP, SNMP und NTP gehören zur OSI-Schicht 7. Sie erfüllen unterschiedliche Aufgaben in Netzwerken: LDAP: Verzeichnisdienste abfragen und verwalten SNMP: Netzwerkgeräte überwachen und verwalten NTP: Uhrzeit synchronisieren Diese Dienste sind besonders in Unternehmensnetzwerken wichtig. Merksatz: LDAP verwaltet Verzeichnisinformationen. SNMP überwacht Geräte. NTP synchronisiert Zeit. Grundidee In Netzwerken müssen nicht nur Daten übertragen werden. Es müssen auch Dienste bereitstehen für: - Benutzerinformationen - Gruppen - Geräteinformationen - zentrale Anmeldung - Monitoring - Zustandsabfragen - Zeitabgleich - Protokollierung - Authentifizierung LDAP, SNMP und NTP unterstützen genau solche Verwaltungsaufgaben. Merksatz: Schicht 7 enthält viele Verwaltungs- und Infrastrukturprotokolle. Einordnung im OSI-Modell Thema Schicht LDAP 7 SNMP 7 NTP 7 TCP-/UDP-Port 4 IP-Adresse 3 TLS bei LDAPS 6 mit Schicht-7-Bezug Benutzer- und Gruppendaten 7 / Verzeichnisdienst Monitoringdaten 7 / Managementdienst Merksatz: Dienstprotokoll = Schicht 7. Port = Schicht 4. LDAP LDAP steht für: Lightweight Directory Access Protocol LDAP dient dazu, Informationen aus einem Verzeichnisdienst abzufragen oder zu verwalten. Typische Informationen: - Benutzer - Gruppen - Computer - Organisationseinheiten - E-Mail-Adressen - Telefonnummern - Rollen - Berechtigungsbezüge Merksatz: LDAP = Zugriff auf Verzeichnisdienste. Was ist ein Verzeichnisdienst? Ein Verzeichnisdienst speichert strukturierte Informationen über Objekte in einer Organisation. Beispiele für Objekte: - Benutzerkonto - Gruppe - Computer - Drucker - Dienstkonto - Kontakt - Organisationseinheit Der Verzeichnisdienst ermöglicht zentrale Verwaltung. Merksatz: Verzeichnisdienst = zentrale Datenbank für Identitäten und Objekte. Typische Verzeichnisdienste Typische Verzeichnisdienste sind: - Microsoft Active Directory - OpenLDAP - FreeIPA - Samba AD - cloudbasierte Identitätsdienste mit LDAP-Anbindung Besonders wichtig im FISI-Umfeld ist: Active Directory Merksatz: Active Directory ist ein sehr verbreiteter Verzeichnisdienst. LDAP und Active Directory Active Directory nutzt LDAP für viele Abfragen. Beispiele: Benutzer anmelden Gruppenmitgliedschaften prüfen Benutzerobjekte suchen Computerobjekte verwalten Verzeichnisinformationen abfragen Wichtig: Active Directory besteht nicht nur aus LDAP. Es nutzt auch DNS, Kerberos, Gruppenrichtlinien und weitere Dienste. Merksatz: LDAP ist ein wichtiger Teil von Active Directory, aber nicht das ganze Active Directory. LDAP-Ports Wichtige LDAP-Ports: Dienst Protokoll Port LDAP TCP / UDP 389 LDAPS TCP 636 LDAP über Port 389 kann zusätzlich mit STARTTLS abgesichert werden. LDAPS nutzt direkt TLS. Merksatz: LDAP = 389. LDAPS = 636. LDAP und LDAPS unterscheiden Begriff Bedeutung LDAP Verzeichniszugriff, klassisch Port 389 LDAPS LDAP über TLS, klassisch Port 636 LDAP mit STARTTLS startet auf 389 und schaltet auf TLS um Wichtig: Für Anmeldedaten und sensible Informationen sollte verschlüsselte Kommunikation genutzt werden. Merksatz: LDAPS schützt LDAP-Kommunikation mit TLS. LDAP-Baumstruktur LDAP-Daten sind hierarchisch organisiert. Man kann sich das wie einen Baum vorstellen. Beispiel: Firma ├── Benutzer ├── Gruppen ├── Computer └── Drucker Jedes Objekt hat eine Position im Verzeichnisbaum. Merksatz: LDAP ist hierarchisch aufgebaut. Distinguished Name Ein Distinguished Name beschreibt die eindeutige Position eines Objekts im LDAP-Verzeichnis. Kurz: DN Beispiel: CN=Felix Ulrich,OU=Benutzer,DC=firma,DC=local Bedeutung: CN = Common Name OU = Organizational Unit DC = Domain Component Merksatz: DN = eindeutiger LDAP-Pfad eines Objekts. Common Name CN steht für: Common Name CN bezeichnet häufig den Namen eines Objekts. Beispiel: CN=Felix Ulrich Merksatz: CN = Name eines LDAP-Objekts. Organizational Unit OU steht für: Organizational Unit Eine OU ist eine Organisationseinheit. Beispiel: OU=Benutzer OU=Computer OU=Berlin OU=Ausbildung OUs helfen, Objekte zu strukturieren und zu verwalten. Merksatz: OU = Organisationseinheit im Verzeichnis. Domain Component DC steht für: Domain Component DC bildet Teile des Domänennamens ab. Beispiel: firma.local wird zu: DC=firma,DC=local Merksatz: DC bildet den Domänennamen im LDAP-Pfad ab. LDAP-Attribute LDAP-Objekte haben Attribute. Beispiele für Benutzerattribute: - cn - givenName - sn - mail - telephoneNumber - memberOf - userPrincipalName - sAMAccountName Diese Attribute beschreiben das Objekt genauer. Merksatz: LDAP-Attribute speichern Eigenschaften eines Objekts. LDAP-Suche Eine LDAP-Suche fragt Objekte aus dem Verzeichnis ab. Typische Suchfragen: Gibt es diesen Benutzer? Welche Gruppen hat der Benutzer? Welche E-Mail-Adresse hat der Benutzer? Welche Computer gehören zu einer OU? Welche Benutzer sind deaktiviert? Merksatz: LDAP-Suche findet Objekte und Attribute im Verzeichnis. LDAP-Filter LDAP-Filter grenzen Suchergebnisse ein. Beispiel sinngemäß: Suche Benutzer mit bestimmtem Namen. Oder: Suche alle Benutzer in einer bestimmten Gruppe. Filter sind wichtig, damit Abfragen gezielt und effizient sind. Merksatz: LDAP-Filter bestimmen, welche Objekte gesucht werden. Bind Bind bedeutet bei LDAP: Anmeldung oder Authentifizierung am Verzeichnisdienst. Ein Client verbindet sich mit dem LDAP-Server und authentifiziert sich. Mögliche Varianten: - anonym - Benutzername und Passwort - Dienstkonto - Kerberos in AD-Umgebungen Merksatz: LDAP Bind = Anmeldung am Verzeichnisdienst. LDAP und Authentifizierung Viele Anwendungen nutzen LDAP, um Benutzer gegen ein zentrales Verzeichnis zu prüfen. Beispiel: Benutzer meldet sich an Anwendung an. Anwendung prüft Benutzer über LDAP. LDAP bestätigt oder lehnt ab. Anwendung prüft zusätzlich Gruppen oder Rollen. Merksatz: LDAP kann zentrale Anmeldung und Gruppenprüfung unterstützen. LDAP und Autorisierung LDAP kann Gruppeninformationen liefern. Beispiel: Benutzer ist Mitglied der Gruppe: IT-Admins Eine Anwendung kann daraus ableiten: Benutzer darf Adminbereich öffnen. Wichtig: LDAP liefert Informationen. Die Anwendung entscheidet oft, welche Rechte daraus entstehen. Merksatz: LDAP liefert Identitäts- und Gruppeninformationen. Typische LDAP-Fehler Typische Fehler sind: - falscher LDAP-Server - falscher Port - DNS-Name nicht auflösbar - falscher Bind-Benutzer - falsches Passwort - Benutzer nicht gefunden - falscher Base-DN - falscher Suchfilter - TLS-Zertifikatsfehler bei LDAPS - Firewall blockiert Port 389 oder 636 Merksatz: LDAP-Fehler betreffen oft Server, Port, Bind, Base-DN oder Zertifikat. Fehlerbild: Anmeldung über LDAP funktioniert nicht Mögliche Ursachen: - Benutzername falsch - Passwort falsch - Benutzerkonto gesperrt - LDAP-Server nicht erreichbar - falscher LDAP-Port - falscher Base-DN - falscher Suchfilter - Gruppe fehlt - LDAPS-Zertifikat ungültig - Anwendung nutzt falsches Dienstkonto Merksatz: LDAP-Anmeldefehler mit Konto, Server, Suche und Gruppen prüfen. SNMP SNMP steht für: Simple Network Management Protocol SNMP wird zur Überwachung und Verwaltung von Netzwerkgeräten genutzt. Typische Geräte: - Switches - Router - Firewalls - Drucker - Server - USV-Anlagen - Access Points - NAS-Systeme Merksatz: SNMP = Netzwerkgeräte überwachen und verwalten. Was kann man mit SNMP abfragen? Mit SNMP kann man viele Geräteinformationen abfragen. Beispiele: - Gerätename - Uptime - CPU-Auslastung - RAM-Auslastung - Interface-Status - Traffic pro Port - Fehlerzähler - Temperatur - Tonerstand - Lüfterstatus - Seriennummer Merksatz: SNMP liefert Messwerte und Zustandsinformationen. SNMP-Manager und SNMP-Agent Bei SNMP gibt es meist: SNMP-Manager SNMP-Agent SNMP-Manager: Monitoring-System, das Werte abfragt. SNMP-Agent: Dienst auf dem überwachten Gerät, der Informationen bereitstellt. Beispiel: Monitoring-Server fragt Switch ab. Switch-Agent liefert Interface-Daten. Merksatz: Manager fragt. Agent antwortet. SNMP-Ports Wichtige SNMP-Ports: Funktion Protokoll Port SNMP-Abfragen UDP 161 SNMP-Traps UDP 162 Merksatz: SNMP-Abfrage = UDP 161. SNMP-Trap = UDP 162. SNMP-Abfrage Bei einer SNMP-Abfrage fragt der Manager gezielt einen Wert ab. Beispiel: Wie hoch ist die CPU-Auslastung? Ist Port 5 am Switch aktiv? Wie viele Fehler gab es auf Interface 1? Der Agent antwortet mit dem passenden Wert. Merksatz: SNMP-Abfrage = Manager fragt Gerät nach Wert. SNMP-Trap Ein SNMP-Trap ist eine Meldung, die ein Gerät von sich aus an den Manager sendet. Beispiele: Link down Lüfter ausgefallen Temperatur zu hoch USV läuft auf Batterie Gerät startet neu Merksatz: Trap = Gerät meldet Ereignis selbstständig. MIB MIB steht für: Management Information Base Die MIB beschreibt, welche Informationen ein Gerät per SNMP bereitstellt. Sie enthält eine strukturierte Sammlung von verwaltbaren Objekten. Merksatz: MIB beschreibt verfügbare SNMP-Informationen. OID OID steht für: Object Identifier Eine OID ist eine eindeutige Nummer für einen bestimmten SNMP-Wert. Beispiel sinngemäß: OID für Gerätenamen OID für Interface-Traffic OID für CPU-Auslastung Merksatz: OID = eindeutige Kennung eines SNMP-Werts. SNMP-Versionen Wichtige SNMP-Versionen: Version Kurzinfo SNMPv1 alt, einfach SNMPv2c verbreitet, Community-String SNMPv3 sicherer mit Authentifizierung und Verschlüsselung Für moderne Umgebungen ist SNMPv3 vorzuziehen. Merksatz: SNMPv3 ist sicherer als SNMPv1/v2c. Community-String Bei SNMPv1 und SNMPv2c wird ein Community-String verwendet. Er wirkt wie ein einfaches Passwort. Beispiele: public private Problem: Community-Strings werden bei alten SNMP-Versionen nicht sicher geschützt. Merksatz: Community-String ist kein starker Schutz. SNMPv3 SNMPv3 bietet bessere Sicherheitsfunktionen. Dazu gehören: - Authentifizierung - Verschlüsselung - Benutzerkonzept - Integritätsschutz Damit ist SNMPv3 deutlich sicherer als ältere Varianten. Merksatz: SNMPv3 für sichere Überwachung bevorzugen. SNMP und Monitoring Monitoring-Systeme nutzen SNMP, um Geräte regelmäßig abzufragen. Beispiele für Monitoring: - Ist Gerät erreichbar? - Ist ein Port down? - Wie hoch ist die Auslastung? - Gibt es Fehler auf Interfaces? - Wird Speicher knapp? - Gibt es Temperaturprobleme? Merksatz: SNMP ist wichtig für Netzwerkmonitoring. Typische SNMP-Fehler Typische Fehler sind: - SNMP-Agent deaktiviert - falsche SNMP-Version - falscher Community-String - falsche SNMPv3-Zugangsdaten - Firewall blockiert UDP 161 oder 162 - Monitoring-Server nicht erlaubt - Gerät unterstützt OID nicht - MIB fehlt im Monitoring-System - ACL auf Gerät blockiert Zugriff Merksatz: SNMP-Fehler betreffen oft Version, Zugangsdaten, Firewall oder OID. Fehlerbild: Monitoring zeigt Gerät als down Mögliche Ursachen: - Gerät wirklich offline - IP-Adresse falsch - DNS falsch - ICMP blockiert - SNMP-Agent aus - Firewall blockiert - falsche SNMP-Zugangsdaten - falsche SNMP-Version - Monitoring fragt falsche Schnittstelle Merksatz: Monitoring-Fehler erst mit Erreichbarkeit und SNMP prüfen. NTP NTP steht für: Network Time Protocol NTP dient zur Zeitsynchronisation von Systemen. Typischer Port: UDP 123 Korrekte Zeit ist in IT-Systemen sehr wichtig. Merksatz: NTP = Zeitsynchronisation über Netzwerk. Warum ist korrekte Zeit wichtig? Korrekte Zeit wird benötigt für: - Zertifikate - Kerberos - Active Directory - Logs - Fehlersuche - Backup-Zeitpunkte - Monitoring - Dateisynchronisation - Datenbanktransaktionen - Sicherheitsereignisse Schon wenige Minuten Abweichung können Probleme verursachen. Merksatz: Falsche Uhrzeit kann viele IT-Probleme verursachen. NTP-Client und NTP-Server Bei NTP gibt es: NTP-Client NTP-Server NTP-Client: fragt Zeit ab. NTP-Server: liefert Zeitinformationen. In Unternehmen synchronisieren Clients oft gegen interne Zeitserver. Merksatz: NTP-Client fragt Zeit vom NTP-Server ab. NTP-Stratum NTP nutzt sogenannte Stratum-Werte. Sie beschreiben die Entfernung zur ursprünglichen Zeitquelle. Beispiel: Stratum 0: direkte Zeitquelle, zum Beispiel Atomuhr oder GPS Stratum 1: Server direkt an Stratum-0-Quelle Stratum 2: Server synchronisiert von Stratum 1 Je kleiner der Stratum-Wert, desto näher an der ursprünglichen Zeitquelle. Merksatz: Stratum beschreibt die Nähe zur Zeitquelle. NTP und Active Directory In Active-Directory-Umgebungen ist Zeit besonders wichtig. Grund: Kerberos ist empfindlich gegenüber Zeitabweichungen. Wenn Client und Domänencontroller zu stark unterschiedliche Zeiten haben, kann Anmeldung fehlschlagen. Merksatz: AD und Kerberos brauchen korrekte Zeit. NTP und Zertifikate Zertifikate haben Gültigkeitszeiträume. Wenn die Systemzeit falsch ist, kann ein eigentlich gültiges Zertifikat als ungültig erscheinen. Beispiel: Client-Uhr geht ein Jahr falsch. Browser meldet Zertifikatsfehler. Merksatz: Falsche Uhrzeit kann Zertifikatswarnungen verursachen. NTP und Logs Logs sind nur sinnvoll, wenn Zeitstempel stimmen. Bei Fehlersuche muss man Ereignisse zeitlich zusammenbringen können. Beispiele: Firewall-Log Server-Log Anwendungslog Authentifizierungslog Wenn Systeme unterschiedliche Uhrzeiten haben, wird die Analyse erschwert. Merksatz: Ohne korrekte Zeit sind Logs schwer auswertbar. NTP und Sicherheit NTP sollte sicher und sinnvoll konfiguriert werden. Wichtige Punkte: - vertrauenswürdige Zeitquellen nutzen - interne Zeitserver verwenden - keine unnötig offenen NTP-Server betreiben - Firewall-Regeln kontrollieren - Zeitabweichungen überwachen - Manipulation vermeiden Merksatz: Zeit ist sicherheitsrelevant. Typische NTP-Fehler Typische Fehler sind: - NTP-Server nicht erreichbar - UDP 123 blockiert - falscher Zeitserver eingetragen - große Zeitabweichung - falsche Zeitzone - Systemzeit driftet - virtuelle Maschinen synchronisieren falsch - mehrere Zeitquellen widersprechen sich - DNS-Name des Zeitservers nicht auflösbar Merksatz: NTP-Fehler betreffen Zeitserver, UDP 123, DNS oder Systemkonfiguration. Fehlerbild: Zertifikate wirken ungültig Mögliche Ursache: Systemzeit ist falsch. Prüfung: Datum prüfen. Uhrzeit prüfen. Zeitzone prüfen. NTP-Status prüfen. Zeitquelle prüfen. Merksatz: Bei vielen Zertifikatsfehlern auch Uhrzeit prüfen. Fehlerbild: Anmeldung an Domäne schlägt fehl Mögliche Ursache: Zeitabweichung zwischen Client und Domänencontroller. Besonders relevant: Kerberos Prüfung: Clientzeit prüfen. Domänencontrollerzeit prüfen. NTP-Konfiguration prüfen. Zeitzone prüfen. Merksatz: Domänenanmeldung braucht passende Zeit. Fehlerbild: Logs passen zeitlich nicht zusammen Mögliche Ursachen: - falsche Systemzeit - falsche Zeitzone - NTP gestört - Zeitquelle falsch - Sommerzeitproblem - Container oder VM nutzt falsche Zeitbasis Merksatz: Log-Auswertung braucht synchronisierte Zeit. LDAP, SNMP und NTP vergleichen Protokoll Hauptaufgabe typischer Port LDAP Verzeichnisdienstzugriff TCP/UDP 389 LDAPS LDAP über TLS TCP 636 SNMP Netzwerkmanagement UDP 161 SNMP-Trap Ereignismeldung UDP 162 NTP Zeitsynchronisation UDP 123 Merksatz: LDAP 389/636, SNMP 161/162, NTP 123. Sicherheitsvergleich Protokoll Sicherheitsaspekt LDAP Anmeldedaten schützen, LDAPS oder STARTTLS nutzen SNMP SNMPv3 bevorzugen, Community-Strings schützen NTP vertrauenswürdige Zeitquellen und Zugriffsbeschränkung LDAPS Zertifikate korrekt prüfen SNMPv1/v2c möglichst vermeiden oder stark einschränken Merksatz: Infrastrukturprotokolle müssen ebenfalls abgesichert werden. Fehlersuche allgemein Eine sinnvolle Reihenfolge: 1. Namensauflösung prüfen. 2. IP-Erreichbarkeit prüfen. 3. Port prüfen. 4. Dienst läuft? 5. Zugangsdaten korrekt? 6. Verschlüsselung oder Zertifikat korrekt? 7. Berechtigungen korrekt? 8. Logs prüfen. Merksatz: Auch Verwaltungsdienste nach Schichten prüfen. Was LDAP, SNMP und NTP nicht machen LDAP macht nicht automatisch: Berechtigungen in jeder Anwendung korrekt. SNMP macht nicht automatisch: Fehlerbehebung, sondern liefert Informationen. NTP macht nicht automatisch: Zeitzonenlogik oder Zertifikatsverwaltung korrekt. Alle drei Dienste brauchen korrekte Konfiguration und passende Sicherheit. Merksatz: Infrastrukturprotokolle unterstützen Administration, ersetzen aber keine saubere Konfiguration. Einordnung in typische Unternehmensnetze In Unternehmen sieht man häufig: LDAP / AD: zentrale Benutzer und Gruppen SNMP: Monitoring von Switches, Routern und Servern NTP: einheitliche Zeit für Clients, Server und Logs Diese Dienste sind nicht immer sichtbar für Benutzer, aber wichtig für stabilen Betrieb. Merksatz: LDAP, SNMP und NTP sind Grundlagen für Betrieb und Verwaltung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür steht LDAP? - Wofür wird LDAP verwendet? - Was ist ein Verzeichnisdienst? - Was ist LDAPS? - Welche Ports nutzen LDAP und LDAPS? - Was ist ein Distinguished Name? - Was ist ein LDAP Bind? - Wofür steht SNMP? - Wofür wird SNMP verwendet? - Was sind SNMP-Manager und SNMP-Agent? - Was ist ein SNMP-Trap? - Welche Ports nutzt SNMP? - Warum ist SNMPv3 sicherer? - Wofür steht NTP? - Warum ist korrekte Zeit wichtig? - Welche Probleme können durch falsche Uhrzeit entstehen? Typische Prüfungsfallen LDAP gehört zu Schicht 7. LDAP ist nicht das gesamte Active Directory. LDAP nutzt typischerweise Port 389. LDAPS nutzt typischerweise Port 636. DN ist der eindeutige LDAP-Pfad. Bind bedeutet LDAP-Anmeldung. SNMP gehört zu Schicht 7. SNMP nutzt UDP. SNMP-Abfragen nutzen UDP 161. SNMP-Traps nutzen UDP 162. SNMPv1/v2c mit Community-String sind unsicherer. SNMPv3 ist sicherer. NTP gehört zu Schicht 7. NTP nutzt UDP 123. Falsche Zeit kann Zertifikatsfehler verursachen. Falsche Zeit kann Kerberos-Probleme verursachen. Logs brauchen synchronisierte Zeit. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung LDAP Protokoll für Verzeichnisdienste LDAPS LDAP über TLS Verzeichnisdienst zentrale Verwaltung von Identitäten und Objekten Active Directory verbreiteter Microsoft-Verzeichnisdienst DN eindeutiger LDAP-Pfad CN Common Name eines Objekts OU Organisationseinheit DC Domain Component Attribut Eigenschaft eines LDAP-Objekts Bind Anmeldung am LDAP-Server SNMP Protokoll für Netzwerkmanagement SNMP-Manager fragt Gerätewerte ab SNMP-Agent liefert Gerätewerte Trap Gerät sendet Ereignis selbstständig MIB Beschreibung verfügbarer SNMP-Werte OID eindeutige Kennung eines SNMP-Werts Community-String einfacher Zugriffstext bei SNMPv1/v2c SNMPv3 sicherere SNMP-Version NTP Protokoll zur Zeitsynchronisation Stratum Nähe zur Zeitquelle Zeitserver Server, der Uhrzeit bereitstellt IHK-sichere Kurzformulierung LDAP, SNMP und NTP sind Protokolle der Anwendungsschicht. LDAP steht für Lightweight Directory Access Protocol und dient dem Zugriff auf Verzeichnisdienste wie Active Directory. Es wird zum Suchen und Verwalten von Benutzern, Gruppen und anderen Objekten verwendet. SNMP steht für Simple Network Management Protocol und wird zur Überwachung von Netzwerkgeräten genutzt. Dabei fragt ein SNMP-Manager Werte von einem SNMP-Agenten ab oder empfängt Traps. NTP steht für Network Time Protocol und synchronisiert die Uhrzeit von Systemen. Korrekte Zeit ist wichtig für Zertifikate, Kerberos, Logs und Fehlersuche. Merksätze LDAP = Lightweight Directory Access Protocol. LDAP gehört zu Schicht 7. LDAP greift auf Verzeichnisdienste zu. Active Directory nutzt LDAP, ist aber mehr als LDAP. LDAP = Port 389. LDAPS = Port 636. DN = eindeutiger LDAP-Pfad. Bind = Anmeldung am LDAP-Server. SNMP = Simple Network Management Protocol. SNMP gehört zu Schicht 7. SNMP überwacht Netzwerkgeräte. SNMP-Manager fragt. SNMP-Agent antwortet. SNMP-Abfrage = UDP 161. SNMP-Trap = UDP 162. MIB beschreibt verfügbare Werte. OID kennzeichnet einen SNMP-Wert. SNMPv3 ist sicherer als SNMPv1/v2c. NTP = Network Time Protocol. NTP gehört zu Schicht 7. NTP nutzt UDP 123. NTP synchronisiert Uhrzeit. Korrekte Zeit ist wichtig für Zertifikate. Korrekte Zeit ist wichtig für Kerberos. Korrekte Zeit ist wichtig für Logs. Infrastrukturprotokolle müssen ebenfalls abgesichert werden. 10.8 Remotezugriff und Fernadministration: SSH, RDP und Telnet Remotezugriff gehört zur OSI-Schicht 7. Remotezugriff bedeutet: Ein Benutzer oder Administrator greift aus der Ferne auf ein anderes System zu. Typische Protokolle sind: - SSH - RDP - Telnet Sie dienen dazu, entfernte Systeme zu bedienen, zu verwalten oder zu konfigurieren. Merksatz: Remotezugriff = entfernte Systeme über das Netzwerk bedienen. Grundidee von Remotezugriff Bei Remotezugriff sitzt der Benutzer nicht direkt vor dem Zielsystem. Stattdessen erfolgt der Zugriff über das Netzwerk. Beispiele: Administrator verbindet sich per SSH auf einen Linux-Server. Benutzer verbindet sich per RDP auf einen Windows-Rechner. Techniker greift auf eine Firewall-Konsole zu. Support meldet sich auf einem Terminalserver an. Ein Server wird aus der Ferne konfiguriert. Merksatz: Remotezugriff ermöglicht Administration ohne direkten physischen Zugriff. Remotezugriff im OSI-Modell Remotezugriffsprotokolle gehören zur Anwendungsschicht. Thema Schicht SSH 7 RDP 7 Telnet 7 TCP-Port 4 IP-Adresse 3 Verschlüsselung 6 / Sicherheitsbezug Benutzeranmeldung 7 / Authentifizierung Wichtig: SSH, RDP und Telnet sind Anwendungsschicht-Protokolle. Die verwendeten Ports gehören zur Transportschicht. Merksatz: Protokoll = Schicht 7. Port = Schicht 4. SSH SSH steht für: Secure Shell SSH wird für sicheren Fernzugriff auf Kommandozeilen verwendet. Typischer Port: TCP 22 SSH wird häufig genutzt bei: - Linux-Servern - Netzwerkgeräten - Firewalls - NAS-Systemen - Routern - Switches - Automatisierung - Dateiübertragung über SFTP Merksatz: SSH = sicherer Fernzugriff auf die Shell. Warum ist SSH wichtig? SSH ermöglicht sichere Administration über ein Netzwerk. SSH bietet: - verschlüsselte Verbindung - Authentifizierung - Integritätsschutz - sichere Befehlsausführung - sichere Dateiübertragung über SFTP - Portweiterleitungen und Tunnel Im Gegensatz zu Telnet überträgt SSH Daten nicht einfach im Klartext. Merksatz: SSH schützt Fernadministration durch Verschlüsselung. SSH-Verbindung vereinfacht Ablauf vereinfacht: 1. Client verbindet sich mit Server auf TCP 22. 2. Server präsentiert seinen Host-Key. 3. Client prüft den Host-Key. 4. Verschlüsselung wird ausgehandelt. 5. Benutzer authentifiziert sich. 6. Shell oder Dienst wird bereitgestellt. Merksatz: SSH prüft Server, verschlüsselt Verbindung und authentifiziert Benutzer. SSH-Client und SSH-Server SSH-Client: Programm, das die Verbindung startet. SSH-Server: Dienst auf dem Zielsystem, der SSH-Verbindungen annimmt. Beispiele: Client: Terminal, PuTTY, OpenSSH-Client Server: OpenSSH-Server auf Linux, SSH-Dienst auf Netzwerkgerät Merksatz: SSH-Client verbindet sich zum SSH-Server. SSH-Host-Key Der SSH-Host-Key identifiziert den SSH-Server. Beim ersten Verbindungsaufbau speichert der Client häufig den Host-Key. Bei späteren Verbindungen prüft der Client: Ist es derselbe Server wie vorher? Wenn sich der Host-Key plötzlich ändert, erscheint eine Warnung. Mögliche Ursachen: - Server wurde neu installiert - Host-Key wurde geändert - DNS zeigt auf anderen Server - IP-Adresse wurde neu vergeben - möglicher Man-in-the-Middle-Angriff Merksatz: SSH-Host-Key schützt vor unbemerktem Serverwechsel. SSH-Authentifizierung mit Passwort Bei Passwortauthentifizierung meldet sich der Benutzer mit Benutzername und Passwort an. Vorteil: einfach einzurichten Nachteile: - anfällig gegen schwache Passwörter - Brute-Force-Angriffe möglich - Passwort kann bei schlechter Verwaltung kompromittiert werden Merksatz: Passwortlogin ist einfach, aber stärker abzusichern. SSH-Authentifizierung mit Schlüssel Bei Schlüsselanmeldung wird ein Schlüsselpaar verwendet. Es besteht aus: privatem Schlüssel öffentlichem Schlüssel Der öffentliche Schlüssel liegt auf dem Server. Der private Schlüssel bleibt beim Benutzer. Wichtig: Der private Schlüssel darf nicht weitergegeben werden. Merksatz: SSH-Schlüssel bestehen aus öffentlichem und privatem Schlüssel. Vorteile von SSH-Schlüsseln SSH-Schlüssel haben mehrere Vorteile: - keine Passwortübertragung - gut für Automatisierung - stärker als einfache Passwörter - Zugriff kann pro Schlüssel verwaltet werden - private Schlüssel können zusätzlich mit Passphrase geschützt werden Merksatz: SSH-Schlüssel sind für sichere Administration sehr wichtig. SSH-Passphrase Eine Passphrase schützt den privaten SSH-Schlüssel. Wenn jemand die Schlüsseldatei kopiert, kann er sie ohne Passphrase nicht sofort verwenden. Merksatz: Passphrase schützt den privaten Schlüssel zusätzlich. SSH-Agent Ein SSH-Agent kann private Schlüssel temporär im Speicher verwalten. Vorteil: Benutzer muss die Passphrase nicht bei jeder Verbindung neu eingeben. Wichtig: SSH-Agent-Weiterleitung muss vorsichtig verwendet werden, weil sie Sicherheitsrisiken erzeugen kann. Merksatz: SSH-Agent erleichtert Schlüsselanmeldung, muss aber sicher genutzt werden. Root-Login über SSH Direkter Root-Login über SSH sollte in vielen Umgebungen deaktiviert werden. Besser: normaler Benutzer meldet sich an und nutzt bei Bedarf sudo oder administrative Rechte. Vorteile: - bessere Nachvollziehbarkeit - weniger Risiko bei Brute-Force-Angriffen - gezieltere Rechtevergabe Merksatz: Direktes Root-Login möglichst vermeiden. SSH und SFTP SFTP steht für: SSH File Transfer Protocol SFTP nutzt SSH als Grundlage. Typischer Port: TCP 22 SFTP ist nicht FTP mit Verschlüsselung, sondern ein eigenes Dateiübertragungsprotokoll über SSH. Merksatz: SFTP läuft über SSH. SSH-Tunnel Mit SSH können Tunnel aufgebaut werden. Ein SSH-Tunnel leitet Netzwerkverkehr sicher durch eine SSH-Verbindung. Typische Nutzung: - internen Dienst sicher erreichen - temporäre Portweiterleitung - Administration über abgesicherte Verbindung - Zugriff auf Datenbank oder Webdienst über SSH Merksatz: SSH-Tunnel leitet Verkehr verschlüsselt weiter. SSH-Portforwarding SSH-Portforwarding bedeutet: Ein lokaler oder entfernter Port wird über SSH weitergeleitet. Beispiel sinngemäß: lokaler Port 8080 → durch SSH → interner Webdienst auf Server Das kann nützlich sein, muss aber kontrolliert werden, weil dadurch Sicherheitsgrenzen umgangen werden können. Merksatz: SSH-Portforwarding kann hilfreich, aber sicherheitskritisch sein. SSH-Sicherheitsmaßnahmen Wichtige Maßnahmen: - starke Passwörter oder Schlüssel verwenden - Root-Login deaktivieren - Passwortlogin nach Möglichkeit einschränken - nur notwendige Benutzer erlauben - Firewall-Regeln setzen - Zugriff per VPN begrenzen - Fail2ban oder ähnliche Schutzmechanismen nutzen - Logs prüfen - alte Schlüssel entfernen - Schlüssel mit Passphrase schützen Merksatz: SSH muss trotz Verschlüsselung sauber abgesichert werden. Typische SSH-Fehler Typische Fehler sind: - TCP 22 blockiert - SSH-Dienst läuft nicht - falscher Hostname - falsche IP-Adresse - falscher Benutzername - falsches Passwort - falscher privater Schlüssel - Rechte auf Schlüsseldatei falsch - Benutzer nicht erlaubt - Host-Key-Warnung - Firewall blockiert Zugriff Merksatz: SSH-Fehler mit Port, Dienst, Benutzer, Schlüssel und Firewall prüfen. Fehlerbild: SSH-Verbindung Timeout Mögliche Ursachen: - Zielhost nicht erreichbar - TCP 22 durch Firewall blockiert - Routingproblem - falsche IP-Adresse - SSH-Dienst lauscht auf anderem Port - NAT oder Portweiterleitung falsch - Server offline Merksatz: SSH-Timeout deutet oft auf Netzwerk, Firewall oder falschen Port hin. Fehlerbild: SSH Connection Refused Connection refused bedeutet: Zielsystem ist erreichbar, aber der Dienst auf dem Zielport nimmt keine Verbindung an. Mögliche Ursachen: - SSH-Dienst läuft nicht - SSH lauscht nicht auf diesem Port - Port falsch - Dienst nur auf bestimmter IP gebunden - lokale Firewall lehnt aktiv ab Merksatz: Connection refused heißt: Host erreichbar, Dienst nimmt nicht an. Fehlerbild: SSH Permission Denied Permission denied bedeutet: Anmeldung wurde abgelehnt. Mögliche Ursachen: - falscher Benutzer - falsches Passwort - falscher Schlüssel - öffentlicher Schlüssel fehlt auf Server - Benutzer darf sich nicht anmelden - Konto gesperrt - Schlüsselrechte falsch - Loginmethode deaktiviert Merksatz: Permission denied = Authentifizierung oder Berechtigung prüfen. Fehlerbild: SSH Host-Key-Warnung Eine Host-Key-Warnung bedeutet: Der Server-Schlüssel passt nicht zu dem, was der Client gespeichert hat. Mögliche Ursachen: - Server neu installiert - anderer Server unter gleicher IP - DNS zeigt auf anderes Ziel - Load Balancer oder Proxy - möglicher Angriff Wichtig: Warnung nicht blind ignorieren. Merksatz: Host-Key-Warnung immer prüfen. RDP RDP steht für: Remote Desktop Protocol RDP wird für grafischen Fernzugriff verwendet. Typischer Port: TCP 3389 RDP ist besonders verbreitet bei Windows-Systemen. Typische Nutzung: - Windows-Server administrieren - Terminalserver nutzen - Remote-Arbeitsplatz - grafische Programme aus der Ferne bedienen Merksatz: RDP = grafischer Fernzugriff. RDP-Grundidee Bei RDP wird eine grafische Sitzung über das Netzwerk übertragen. Der Benutzer sieht: Desktop Fenster Programme Mauszeiger Tastatureingaben Die Anwendung läuft auf dem entfernten System. Der Benutzer bedient sie aus der Ferne. Merksatz: RDP überträgt eine entfernte Benutzeroberfläche. RDP-Client und RDP-Server RDP-Client: startet die Verbindung RDP-Server: nimmt Remote-Desktop-Verbindungen an Beispiel: Benutzer startet Remote Desktop Client. Client verbindet sich zu Windows-Server. Server zeigt grafische Sitzung. Merksatz: RDP-Client verbindet sich zum RDP-Server. RDP und Benutzeranmeldung Für RDP wird normalerweise ein Benutzerkonto benötigt. Dabei können relevant sein: - Benutzername - Passwort - Domänenkonto - lokale Benutzergruppe - Remote-Desktop-Berechtigung - Multi-Faktor-Authentifizierung - Richtlinien Nicht jeder Benutzer darf sich automatisch per RDP anmelden. Merksatz: RDP braucht Anmeldung und passende Berechtigung. RDP und Sicherheit RDP sollte besonders sorgfältig abgesichert werden. Warum? RDP ist ein beliebtes Ziel für Angriffe, besonders wenn es direkt aus dem Internet erreichbar ist. Risiken: - Brute-Force-Angriffe - gestohlene Zugangsdaten - ungepatchte Schwachstellen - Ransomware-Angriffe - unberechtigter Zugriff Merksatz: RDP niemals leichtfertig ins Internet öffnen. RDP sicher betreiben Sinnvolle Maßnahmen: - Zugriff nur über VPN - Remote Desktop Gateway nutzen - starke Passwörter - Multi-Faktor-Authentifizierung - Network Level Authentication aktivieren - Firewall-Regeln einschränken - nur notwendige Benutzer erlauben - Logs überwachen - Systeme aktuell halten - Kontosperrungsrichtlinien nutzen Merksatz: RDP nur geschützt und kontrolliert bereitstellen. Network Level Authentication Network Level Authentication wird kurz genannt: NLA NLA verlangt, dass sich der Benutzer bereits vor dem vollständigen Aufbau der grafischen Sitzung authentifiziert. Vorteil: weniger Angriffsfläche bessere Absicherung vor unerwünschten Sitzungsaufbauten Merksatz: NLA verbessert die Sicherheit bei RDP. Remote Desktop Gateway Ein Remote Desktop Gateway stellt RDP nicht direkt offen bereit, sondern vermittelt den Zugriff über einen Gateway-Dienst. Vorteile: - zentraler Zugriffspunkt - bessere Kontrolle - Authentifizierung - Protokollierung - Zugriff über HTTPS möglich - weniger direkte RDP-Exposition Merksatz: RD Gateway schützt und bündelt RDP-Zugriffe. RDP und VPN Ein VPN kann verwendet werden, damit RDP nur intern erreichbar ist. Ablauf: Benutzer baut VPN auf. Benutzer greift per RDP auf internes System zu. Vorteil: RDP-Port muss nicht direkt öffentlich erreichbar sein. Merksatz: RDP besser über VPN als direkt aus dem Internet. Typische RDP-Fehler Typische Fehler sind: - TCP 3389 blockiert - Remote Desktop deaktiviert - Benutzer nicht berechtigt - falsches Passwort - Konto gesperrt - NLA-Problem - Lizenzproblem bei Terminalserver - Firewall blockiert - DNS-Name falsch - Zielsystem ausgeschaltet - maximale Sitzungsanzahl erreicht Merksatz: RDP-Fehler mit Erreichbarkeit, Dienst, Anmeldung und Berechtigung prüfen. Fehlerbild: RDP verbindet nicht Mögliche Ursachen: - Zielsystem offline - falscher Hostname - DNS falsch - TCP 3389 blockiert - Remote Desktop nicht aktiviert - Firewall blockiert - VPN nicht verbunden - NAT oder Portweiterleitung falsch Merksatz: RDP-Verbindungsfehler zuerst mit Netzwerk und Port prüfen. Fehlerbild: RDP Anmeldung wird abgelehnt Mögliche Ursachen: - Benutzername falsch - Passwort falsch - Benutzer nicht in erlaubter Gruppe - Konto gesperrt - Passwort abgelaufen - Anmeldung per RDP verboten - NLA-Kompatibilitätsproblem - Domänencontroller nicht erreichbar Merksatz: RDP-Anmeldefehler mit Konto und Berechtigung prüfen. Fehlerbild: RDP ist langsam Mögliche Ursachen: - geringe Bandbreite - hohe Latenz - Paketverlust - hohe Bildschirmauflösung - viele Grafikeffekte - Drucker- oder Laufwerksumleitung - Server überlastet - VPN langsam Merksatz: RDP-Leistung hängt von Netzwerk, Grafik und Serverlast ab. Telnet Telnet ist ein älteres Protokoll für Fernzugriff auf eine Kommandozeile. Typischer Port: TCP 23 Problem: Telnet ist unverschlüsselt. Das bedeutet: Benutzername, Passwort und Befehle können im Klartext übertragen werden. Merksatz: Telnet ist unsicher, weil es unverschlüsselt überträgt. Warum Telnet heute vermeiden? Telnet sollte für Administration möglichst nicht mehr verwendet werden. Gründe: - keine Verschlüsselung - Passwörter im Klartext - Befehle im Klartext - leicht mitzulesen - keine moderne Sicherheit - hohes Risiko in unsicheren Netzwerken Bessere Alternative: SSH Merksatz: Telnet durch SSH ersetzen. Telnet als Testwerkzeug Obwohl Telnet als Administrationsprotokoll unsicher ist, wurde es früher oft als einfaches Testwerkzeug verwendet. Beispiel: Kann ich TCP-Port 25 erreichen? Kann ich TCP-Port 80 erreichen? Heute nutzt man dafür besser geeignete Werkzeuge. Beispiele: - nc - Test-NetConnection - openssl s_client - curl Merksatz: Telnet nicht für sichere Administration verwenden. SSH, RDP und Telnet vergleichen Protokoll Zweck Port Sicherheit SSH sichere Shell / Administration TCP 22 verschlüsselt RDP grafischer Fernzugriff TCP 3389 absichern, nicht offen ins Internet Telnet alte Shell / Fernzugriff TCP 23 unverschlüsselt, vermeiden Merksatz: SSH für sichere Shell. RDP für grafischen Zugriff. Telnet vermeiden. Remotezugriff und Authentifizierung Remotezugriff braucht sichere Authentifizierung. Möglichkeiten: - Benutzername und Passwort - SSH-Schlüssel - Zertifikate - Multi-Faktor-Authentifizierung - Domänenkonto - zentrale Identitätsdienste Wichtig: Je mächtiger der Zugriff, desto stärker sollte die Absicherung sein. Merksatz: Fernzugriff braucht starke Authentifizierung. Remotezugriff und Autorisierung Nicht jeder angemeldete Benutzer darf automatisch alles. Autorisierung bedeutet: Welche Rechte hat der Benutzer? Beispiele: - darf sich per RDP anmelden - darf sudo verwenden - darf Server konfigurieren - darf Dateien ändern - darf Dienste neu starten Merksatz: Anmeldung ist nicht gleich Berechtigung. Remotezugriff und Protokollierung Remotezugriffe sollten protokolliert werden. Wichtige Informationen: - wer hat sich angemeldet - wann wurde zugegriffen - von welcher IP-Adresse - welcher Dienst wurde genutzt - war die Anmeldung erfolgreich - welche Fehler sind aufgetreten Logs helfen bei: - Fehlersuche - Sicherheitsanalyse - Nachvollziehbarkeit - Angriffserkennung Merksatz: Remotezugriffe müssen nachvollziehbar sein. Remotezugriff und Firewall Remotezugriffe sollten durch Firewalls eingeschränkt werden. Beispiele: SSH nur von Admin-Netz erlauben. RDP nur über VPN erlauben. Telnet blockieren. Zugriff auf bestimmte IP-Adressen begrenzen. Merksatz: Remotezugriff nur für notwendige Quellen erlauben. Remotezugriff und VPN VPN ist eine wichtige Schutzmaßnahme für Remotezugriff. Ablauf: Benutzer verbindet sich per VPN ins interne Netz. Danach nutzt er interne Dienste wie SSH oder RDP. Vorteil: Administrative Dienste müssen nicht direkt öffentlich erreichbar sein. Merksatz: VPN schützt interne Verwaltungszugänge. Remotezugriff und Zero Trust Zero Trust bedeutet vereinfacht: keinem Zugriff automatisch vertrauen. Auch interne Zugriffe werden geprüft. Wichtige Prinzipien: - Identität prüfen - Gerät prüfen - Rechte begrenzen - Zugriff protokollieren - nur notwendige Dienste freigeben - MFA nutzen Merksatz: Zero Trust prüft jeden Zugriff bewusst. Remotezugriff und Least Privilege Auch beim Remotezugriff gilt: nur notwendige Rechte vergeben. Beispiel: Ein Benutzer darf sich per SSH anmelden, aber nicht automatisch Root-Rechte haben. Oder: Ein Support-Benutzer darf RDP nutzen, aber keine Serverrollen ändern. Merksatz: Fernzugriff nur mit notwendigen Rechten erlauben. Remotezugriff und Brute Force Brute Force bedeutet: Angreifer probiert viele Passwörter aus. Besonders gefährdet: öffentlich erreichbare SSH- oder RDP-Dienste. Schutzmaßnahmen: - starke Passwörter - MFA - Kontosperrung - Fail2ban - Rate Limiting - VPN - IP-Einschränkungen - keine Standardbenutzer Merksatz: Öffentliche Remotezugänge sind Brute-Force-Ziele. Remotezugriff und Updates Remotezugriffsprotokolle und Zielsysteme müssen aktuell gehalten werden. Warum? Schwachstellen in Remotezugriffsdiensten können besonders kritisch sein. Beispiele für Risiken: - unautorisierter Zugriff - Rechteausweitung - Remote Code Execution - Ransomware-Einstieg Merksatz: Remotezugriffsdienste müssen regelmäßig gepatcht werden. Fehlersuche bei Remotezugriff Eine sinnvolle Reihenfolge: 1. Zielname richtig? 2. DNS-Auflösung korrekt? 3. Ziel-IP erreichbar? 4. Richtiger Port erreichbar? 5. Dienst läuft? 6. Firewall erlaubt Zugriff? 7. Benutzer darf sich anmelden? 8. Authentifizierung korrekt? 9. Berechtigungen korrekt? 10. Logs prüfen. Merksatz: Remotezugriff nach DNS, IP, Port, Dienst, Anmeldung und Rechten prüfen. Typische Prüfpunkte nach Protokoll Protokoll Prüfpunkte SSH TCP 22, SSH-Dienst, Benutzer, Schlüssel, Host-Key, Firewall RDP TCP 3389, Remote Desktop aktiv, Benutzerrechte, NLA, VPN, Firewall Telnet TCP 23, Dienst aktiv, aber möglichst vermeiden SFTP TCP 22, SSH-Zugang, SFTP-Rechte RD Gateway HTTPS-Zugriff, Richtlinien, Zertifikat, Benutzerrechte Merksatz: Jedes Remoteprotokoll hat eigene typische Fehlerquellen. Was Remotezugriffsprotokolle nicht machen Remotezugriffsprotokolle machen nicht automatisch: - Benutzer sicher berechtigen - Angriffe verhindern - Updates einspielen - Logs auswerten - MFA erzwingen - Firewall korrekt konfigurieren - unsichere Passwörter verhindern - Datenschutz automatisch sicherstellen Remotezugriff braucht immer ein Sicherheitskonzept. Merksatz: Remotezugriff ist mächtig und muss bewusst abgesichert werden. Einordnung in das OSI-Modell Thema Schicht SSH 7 RDP 7 Telnet 7 SFTP 7 über SSH TCP 22 4 TCP 23 4 TCP 3389 4 IP-Adresse 3 DNS-Name 7 Verschlüsselung bei SSH Sicherheits-/Darstellungsbezug Benutzeranmeldung 7 Merksatz: SSH, RDP und Telnet sind Schicht-7-Protokolle, ihre Ports liegen auf Schicht 4. Typische Ports Protokoll Port Zweck SSH TCP 22 sichere Shell / Administration SFTP TCP 22 Dateiübertragung über SSH Telnet TCP 23 alte unverschlüsselte Shell RDP TCP 3389 grafischer Fernzugriff RD Gateway TCP 443 RDP über Gateway / HTTPS Merksatz: SSH 22, Telnet 23, RDP 3389. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür steht SSH? - Wofür wird SSH verwendet? - Welchen Port nutzt SSH typischerweise? - Warum ist SSH sicherer als Telnet? - Was ist ein SSH-Host-Key? - Was ist SSH-Schlüsselauthentifizierung? - Wofür steht RDP? - Wofür wird RDP genutzt? - Welchen Port nutzt RDP typischerweise? - Warum sollte RDP nicht offen im Internet stehen? - Was ist NLA? - Wofür steht Telnet? - Warum gilt Telnet als unsicher? - Welche Sicherheitsmaßnahmen sind bei Remotezugriff sinnvoll? - Wie grenzt man Remotezugriffsfehler systematisch ein? Typische Prüfungsfallen SSH gehört zu Schicht 7. SSH nutzt typischerweise TCP 22. SSH ist verschlüsselt. SFTP läuft über SSH. SSH-Host-Key identifiziert den Server. Privater SSH-Schlüssel muss geheim bleiben. RDP gehört zu Schicht 7. RDP nutzt typischerweise TCP 3389. RDP ist grafischer Fernzugriff. RDP sollte nicht direkt offen ins Internet. VPN oder RD Gateway sind bessere Schutzmaßnahmen. NLA verbessert RDP-Sicherheit. Telnet gehört zu Schicht 7. Telnet nutzt typischerweise TCP 23. Telnet ist unverschlüsselt. Telnet sollte durch SSH ersetzt werden. Port erreichbar heißt nicht automatisch: Anmeldung erlaubt. Anmeldung erfolgreich heißt nicht automatisch: ausreichende Rechte vorhanden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Remotezugriff Zugriff auf ein entferntes System Fernadministration Verwaltung eines Systems aus der Ferne SSH Secure Shell SSH-Client startet SSH-Verbindung SSH-Server nimmt SSH-Verbindung an Host-Key identifiziert SSH-Server SSH-Schlüssel Schlüsselpaar zur Anmeldung privater Schlüssel geheimer Teil des Schlüssels öffentlicher Schlüssel Teil, der auf dem Server liegen darf Passphrase Schutz für privaten Schlüssel SSH-Tunnel verschlüsselte Weiterleitung über SSH SFTP Dateiübertragung über SSH RDP Remote Desktop Protocol NLA Network Level Authentication RD Gateway Gateway für RDP-Zugriffe Telnet altes unverschlüsseltes Fernzugriffsprotokoll Brute Force massenhaftes Ausprobieren von Passwörtern Least Privilege nur notwendige Rechte vergeben MFA Multi-Faktor-Authentifizierung IHK-sichere Kurzformulierung SSH, RDP und Telnet sind Protokolle der Anwendungsschicht für Remotezugriff und Fernadministration. SSH steht für Secure Shell, nutzt typischerweise TCP-Port 22 und ermöglicht verschlüsselten Zugriff auf eine Kommandozeile sowie Dateiübertragung über SFTP. RDP steht für Remote Desktop Protocol, nutzt typischerweise TCP-Port 3389 und ermöglicht grafischen Fernzugriff, besonders auf Windows-Systeme. Telnet nutzt typischerweise TCP-Port 23, überträgt Daten unverschlüsselt und sollte für Administration durch SSH ersetzt werden. Remotezugriffe müssen durch starke Authentifizierung, passende Berechtigungen, Firewall-Regeln, VPN oder Gateway-Lösungen und Protokollierung abgesichert werden. Merksätze Remotezugriff gehört zu Schicht 7. SSH = Secure Shell. SSH nutzt typischerweise TCP 22. SSH ist verschlüsselt. SSH dient sicherer Fernadministration. SFTP läuft über SSH. SSH-Host-Key identifiziert den Server. Privater SSH-Schlüssel bleibt geheim. RDP = Remote Desktop Protocol. RDP nutzt typischerweise TCP 3389. RDP = grafischer Fernzugriff. RDP nicht direkt ungeschützt ins Internet öffnen. RDP besser über VPN oder Gateway nutzen. NLA verbessert RDP-Sicherheit. Telnet nutzt typischerweise TCP 23. Telnet ist unverschlüsselt. Telnet durch SSH ersetzen. Port offen heißt nicht: Anmeldung erfolgreich. Anmeldung erfolgreich heißt nicht: ausreichende Rechte. Remotezugriff braucht starke Authentifizierung. Remotezugriff braucht Least Privilege. Remotezugriff braucht Logs. Remotezugriff braucht Firewall-Regeln. Remotezugriff ist mächtig und sicherheitskritisch.v 10.9 Authentifizierung, Autorisierung und Anwendungssicherheit Authentifizierung und Autorisierung gehören zu den wichtigsten Sicherheitsgrundlagen auf der Anwendungsschicht. Die Anwendungsschicht ist OSI-Schicht 7. Hier arbeiten viele Dienste direkt mit Benutzern, Anmeldungen, Rollen, Rechten und Anwendungen. Wichtige Begriffe sind: - Authentifizierung - Autorisierung - Identität - Benutzerkonto - Passwort - Token - Session - Rolle - Rechte - Multi-Faktor-Authentifizierung - Single Sign-on - Least Privilege Merksatz: Authentifizierung prüft, wer jemand ist. Autorisierung prüft, was jemand darf. Warum ist das wichtig? Viele Netzwerkdienste müssen entscheiden: Wer greift zu? und: Was darf diese Person oder dieses System tun? Beispiele: Benutzer meldet sich an einer Webanwendung an. Administrator verbindet sich per SSH. Mitarbeiter öffnet eine SMB-Freigabe. Anwendung ruft eine API mit Token auf. Benutzer meldet sich an einem E-Mail-Postfach an. Client greift auf einen Verzeichnisdienst zu. Ohne saubere Authentifizierung und Autorisierung können unberechtigte Zugriffe entstehen. Merksatz: Anmeldung allein reicht nicht. Rechte müssen ebenfalls geprüft werden. Authentifizierung Authentifizierung bedeutet: Die Identität wird überprüft. Frage: Wer bist du? Beispiele: - Benutzername und Passwort - SSH-Schlüssel - Zertifikat - Smartcard - Fingerabdruck - Einmalcode - Hardware-Token - App-Bestätigung Merksatz: Authentifizierung = Identität prüfen. Autorisierung Autorisierung bedeutet: Es wird geprüft, welche Rechte eine authentifizierte Identität hat. Frage: Was darfst du? Beispiele: - Datei lesen - Datei ändern - Benutzer anlegen - Server verwalten - Adminbereich öffnen - API-Daten abrufen - Bestellung freigeben - Konfiguration ändern Merksatz: Autorisierung = Rechte prüfen. Authentifizierung und Autorisierung unterscheiden Begriff Frage Beispiel Authentifizierung Wer bist du? Benutzer meldet sich an Autorisierung Was darfst du? Benutzer darf nur bestimmte Ordner öffnen Beispiel: Felix meldet sich erfolgreich an. Das ist: Authentifizierung Danach prüft das System: Darf Felix diese Datei löschen? Das ist: Autorisierung Merksatz: Erst Identität, dann Rechte. Typischer Fehler Ein häufiger Denkfehler ist: Wenn ein Benutzer angemeldet ist, darf er automatisch alles. Das ist falsch. Ein Benutzer kann korrekt angemeldet sein, aber trotzdem keine Berechtigung für eine bestimmte Aktion haben. Beispiel: Benutzer ist angemeldet, darf aber keine Adminseite öffnen. Merksatz: Angemeldet bedeutet nicht automatisch berechtigt. Identität Eine Identität beschreibt, wer eine Person, ein Dienst oder ein System ist. Beispiele: - Benutzerkonto - Dienstkonto - Computerobjekt - API-Client - Zertifikat - SSH-Schlüssel - Anwendungskonto Identitäten müssen eindeutig verwaltet werden. Merksatz: Identität beschreibt, wer oder was zugreift. Benutzerkonto Ein Benutzerkonto ist eine digitale Identität für eine Person. Es enthält oft: - Benutzername - Kennwort-Hash - Gruppenmitgliedschaften - Profilinformationen - Berechtigungen - Status des Kontos - Anmelderichtlinien Benutzerkonten können lokal oder zentral verwaltet werden. Beispiele: - lokales Windows-Konto - Active-Directory-Konto - LDAP-Konto - Cloud-Konto - Anwendungskonto Merksatz: Benutzerkonto = digitale Identität eines Benutzers. Dienstkonto Ein Dienstkonto wird nicht direkt von einem normalen Benutzer verwendet, sondern von einem Dienst oder einer Anwendung. Beispiele: - Datenbankzugriff einer Webanwendung - Backup-Dienst - Monitoring-Dienst - LDAP-Abfragekonto - API-Integration Wichtig: Dienstkonten sollten nur die Rechte haben, die sie wirklich benötigen. Merksatz: Dienstkonto = Konto für einen Dienst, nicht für normale Benutzerarbeit. Passwort Ein Passwort ist ein geheimer Nachweis, mit dem sich ein Benutzer authentifizieren kann. Sichere Passwörter sollten: - ausreichend lang sein - nicht leicht zu erraten sein - nicht mehrfach verwendet werden - nicht im Klartext gespeichert werden - bei Verdacht geändert werden Wichtig: Länge ist oft wichtiger als komplizierte Sonderzeichen-Regeln. Merksatz: Passwort = geheimer Identitätsnachweis. Passwort-Hash Passwörter sollten nicht im Klartext gespeichert werden. Stattdessen speichert man einen Passwort-Hash. Ein Hash ist ein Einweg-Prüfwert. Bei der Anmeldung wird das eingegebene Passwort erneut gehasht und mit dem gespeicherten Hash verglichen. Merksatz: Passwörter nicht im Klartext speichern, sondern sicher hashen. Salt Ein Salt ist ein zusätzlicher zufälliger Wert beim Passwort-Hashing. Ziel: gleiche Passwörter sollen nicht automatisch gleiche Hashes erzeugen. Beispiel: Zwei Benutzer haben dasselbe Passwort. Durch unterschiedliche Salts entstehen trotzdem unterschiedliche Hashes. Merksatz: Salt schützt gegen einfache Hash-Vergleiche und vorberechnete Tabellen. Multi-Faktor-Authentifizierung Multi-Faktor-Authentifizierung wird kurz genannt: MFA Dabei werden mehrere Faktoren kombiniert. Typische Faktoren: Faktor Beispiel Wissen Passwort Besitz Smartphone, Token, Smartcard Sein Fingerabdruck, Gesichtserkennung Beispiel: Passwort plus Einmalcode aus App Merksatz: MFA kombiniert mehrere Nachweise. Warum ist MFA wichtig? Wenn ein Passwort gestohlen wird, kann ein Angreifer sich ohne zweiten Faktor nicht so einfach anmelden. MFA schützt besonders bei: - Cloud-Konten - VPN-Zugängen - Admin-Konten - E-Mail-Konten - Remotezugriff - kritischen Anwendungen Merksatz: MFA reduziert das Risiko durch gestohlene Passwörter. Einmalpasswort Ein Einmalpasswort wird auch genannt: OTP OTP steht für: One-Time Password Es ist nur einmal oder nur kurzzeitig gültig. Beispiele: - Code aus Authenticator-App - Hardware-Token - SMS-Code - E-Mail-Code Merksatz: OTP = zeitlich oder einmalig gültiger Code. Token Ein Token ist ein digitaler Nachweis für Zugriff. Ein Token kann enthalten: - Benutzerinformationen - Ablaufzeit - Berechtigungen - Aussteller - Signatur - Sitzungsbezug Tokens werden häufig bei Webanwendungen und APIs verwendet. Merksatz: Token = digitaler Zugriffsnachweis. Bearer Token Ein Bearer Token wird häufig bei APIs genutzt. Er wird oft im HTTP-Header übertragen: Authorization: Bearer Wichtig: Wer den Bearer Token besitzt, kann ihn oft verwenden. Deshalb muss er wie ein Passwort geschützt werden. Merksatz: Bearer Token wie ein Passwort behandeln. Session Eine Session ist eine Sitzung zwischen Client und Anwendung. Beispiel: Benutzer meldet sich an. Server erstellt Session. Browser erhält Session-Cookie. Weitere Anfragen werden dieser Session zugeordnet. Sessions helfen, einen Benutzer über mehrere Anfragen hinweg wiederzuerkennen. Merksatz: Session verbindet mehrere Anfragen zu einer Sitzung. Session-Cookie Ein Session-Cookie enthält häufig eine Session-ID. Der Browser sendet dieses Cookie bei weiteren Anfragen mit. Dadurch weiß der Server: Diese Anfrage gehört zu dieser Sitzung. Wichtig: Session-Cookies müssen geschützt werden. Merksatz: Session-Cookie hält die Anmeldung über mehrere Anfragen fest. Sichere Cookie-Eigenschaften Wichtige Cookie-Sicherheitsattribute: Attribut Bedeutung Secure Cookie nur über HTTPS senden HttpOnly Cookie nicht per JavaScript auslesbar SameSite Schutz gegen bestimmte Cross-Site-Angriffe Expires / Max-Age Ablaufzeit des Cookies Merksatz: Sichere Cookies schützen Sitzungen. Session Hijacking Session Hijacking bedeutet: Ein Angreifer übernimmt eine gültige Sitzung. Das kann passieren, wenn ein Session-Cookie gestohlen wird. Mögliche Ursachen: - unsichere Verbindung - XSS-Schwachstelle - unsichere Cookies - gestohlener Token - Malware auf Client - unsichere Speicherung Merksatz: Wer eine Session übernimmt, kann oft wie der Benutzer handeln. Session Timeout Ein Session Timeout beendet eine Sitzung nach einer bestimmten Zeit. Gründe: - Schutz bei vergessener Abmeldung - Begrenzung gestohlener Sessions - Ressourcen sparen - Sicherheitsrichtlinie erfüllen Beispiel: Benutzer ist 30 Minuten inaktiv. Anwendung meldet ihn ab. Merksatz: Timeout begrenzt die Lebensdauer einer Sitzung. Single Sign-on Single Sign-on wird kurz genannt: SSO SSO bedeutet: Ein Benutzer meldet sich einmal an und kann danach mehrere Dienste nutzen. Beispiele: - Anmeldung über Microsoft Entra ID - Anmeldung über Active Directory - Anmeldung über Google Workspace - Anmeldung über zentralen Identitätsanbieter Vorteil: weniger separate Passwörter zentrale Verwaltung bessere Benutzerfreundlichkeit Merksatz: SSO = einmal anmelden, mehrere Dienste nutzen. Identity Provider Ein Identity Provider wird kurz genannt: IdP Ein IdP stellt Identitäten bereit und bestätigt Anmeldungen. Beispiele: - Active Directory - Microsoft Entra ID - Keycloak - Okta - Google Workspace Eine Anwendung kann dem IdP vertrauen, statt eigene Benutzer vollständig selbst zu verwalten. Merksatz: IdP bestätigt die Identität für Anwendungen. Service Provider Ein Service Provider ist die Anwendung oder der Dienst, der Zugriff gewährt. Beispiel: Benutzer meldet sich über IdP an. Webanwendung vertraut dem IdP. Webanwendung lässt Benutzer hinein. Merksatz: Service Provider nutzt Identitätsinformationen vom IdP. OAuth 2.0 OAuth 2.0 ist ein Autorisierungsframework. Es wird häufig verwendet, damit Anwendungen Zugriff auf bestimmte Ressourcen erhalten können, ohne direkt das Passwort des Benutzers zu kennen. Beispiel: Eine App darf auf Kalenderdaten zugreifen, aber nicht auf das Passwort des Benutzers. Merksatz: OAuth 2.0 regelt delegierten Zugriff. OpenID Connect OpenID Connect baut auf OAuth 2.0 auf. Es wird für Authentifizierung verwendet. Kurz: OAuth 2.0: Zugriff erlauben OpenID Connect: Identität bestätigen Merksatz: OpenID Connect ergänzt OAuth um Anmeldung und Identität. SAML SAML steht für: Security Assertion Markup Language SAML wird häufig für Single Sign-on in Unternehmen verwendet. Dabei tauschen Identitätsanbieter und Anwendung Anmeldeinformationen aus. Typisch bei: - Unternehmensanwendungen - Cloud-Diensten - älteren SSO-Umgebungen Merksatz: SAML ist ein verbreiteter SSO-Standard. Rollen Rollen bündeln Berechtigungen. Beispiele: - Benutzer - Administrator - Support - Prüfer - Projektleitung - Gast Ein Benutzer erhält eine Rolle, und die Rolle enthält Rechte. Merksatz: Rolle = Sammlung von Berechtigungen. Rechte Rechte beschreiben konkrete erlaubte Aktionen. Beispiele: - lesen - schreiben - ändern - löschen - ausführen - freigeben - verwalten - Benutzer anlegen Merksatz: Recht = konkrete erlaubte Aktion. Gruppen Gruppen bündeln Benutzer. Beispiel: Gruppe: IT-Support Mitglieder: Felix Maria Jonas Rechte werden häufig Gruppen zugewiesen, nicht einzelnen Benutzern. Vorteil: einfacher zu verwalten übersichtlicher weniger Fehler Merksatz: Benutzer in Gruppen, Rechte an Gruppen. RBAC RBAC steht für: Role-Based Access Control Das bedeutet: Zugriff wird über Rollen gesteuert. Beispiel: Rolle Administrator: darf Benutzer verwalten Rolle Leser: darf Inhalte lesen Rolle Bearbeiter: darf Inhalte ändern Merksatz: RBAC = Rechte über Rollen verwalten. Least Privilege Least Privilege bedeutet: Benutzer und Dienste erhalten nur die Rechte, die sie wirklich benötigen. Beispiel: Ein Dienst braucht nur Leserechte. Dann bekommt er keine Schreibrechte. Ziel: Schaden begrenzen, falls ein Konto missbraucht wird. Merksatz: Nur so viele Rechte wie nötig, so wenige wie möglich. Need-to-know-Prinzip Need-to-know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe benötigt werden. Beispiel: Personalabteilung darf Personaldaten sehen. Andere Abteilungen nicht. Merksatz: Zugriff nur, wenn er fachlich notwendig ist. Privileged Access Privileged Access bedeutet: besonders mächtiger Zugriff. Beispiele: - Administratorrechte - Domain-Admin - Root-Zugriff - Datenbankadministrator - Cloud-Administrator - Firewall-Administrator Solche Zugriffe müssen besonders geschützt werden. Merksatz: Adminrechte sind besonders kritisch. Schutz für Admin-Konten Admin-Konten sollten besonders abgesichert werden. Maßnahmen: - MFA - getrennte Admin-Konten - kein tägliches Arbeiten mit Admin-Konto - starke Protokollierung - Zugriffsbeschränkung - Least Privilege - regelmäßige Prüfung - keine geteilten Konten Merksatz: Admin-Konten besonders schützen und überwachen. Geteilte Konten Geteilte Konten sind Konten, die von mehreren Personen genutzt werden. Problem: Aktionen sind schwer einer Person zuzuordnen. Beispiel: Alle nutzen admin. Besser: persönliche Konten plus gezielte Adminrechte Merksatz: Geteilte Konten vermeiden, weil Nachvollziehbarkeit fehlt. Protokollierung Sicherheitsrelevante Anmeldungen und Zugriffe sollten protokolliert werden. Wichtige Informationen: - Benutzer - Zeitpunkt - Quelle - Zielsystem - erfolgreiche Anmeldung - fehlgeschlagene Anmeldung - Rechteänderung - kritische Aktion Merksatz: Ohne Logs keine saubere Nachvollziehbarkeit. Brute-Force-Angriff Brute Force bedeutet: viele Passwörter werden ausprobiert. Ziel: ein gültiges Passwort finden. Gefährdet sind besonders: - Weblogin - SSH - RDP - VPN - E-Mail - Cloud-Konten Schutzmaßnahmen: - MFA - Kontosperrung - Rate Limiting - starke Passwörter - Monitoring - IP-Beschränkung - Fail2ban Merksatz: Brute Force wird durch Begrenzung und MFA erschwert. Phishing Phishing bedeutet: Benutzer werden getäuscht, um Zugangsdaten oder Tokens preiszugeben. Beispiele: - gefälschte Login-Seite - angebliche Passwortänderung - falsche Paketbenachrichtigung - gefälschte Rechnung - angeblicher IT-Support Schutzmaßnahmen: - Schulung - MFA - sichere Mailfilter - Domainprüfung - Passwortmanager - Meldewege für verdächtige Mails Merksatz: Phishing greift den Menschen und die Anmeldung an. Credential Stuffing Credential Stuffing bedeutet: Angreifer verwenden bekannte Zugangsdaten aus Datenlecks bei anderen Diensten erneut. Problem: Viele Benutzer verwenden gleiche Passwörter mehrfach. Schutzmaßnahmen: - keine Passwortwiederverwendung - MFA - Passwortmanager - Überwachung verdächtiger Logins Merksatz: Wiederverwendete Passwörter sind ein großes Risiko. Passwortspraying Beim Passwortspraying probiert ein Angreifer ein häufiges Passwort gegen viele Benutzerkonten. Beispiel: Sommer2026! gegen viele Konten. Ziel: Kontosperrungen vermeiden, aber trotzdem Treffer finden. Merksatz: Passwortspraying testet wenige Passwörter gegen viele Konten. Account Lockout Account Lockout bedeutet: Ein Konto wird nach mehreren Fehlversuchen gesperrt. Ziel: Brute-Force-Angriffe erschweren. Wichtig: Sperrregeln müssen sinnvoll eingestellt sein, damit Angriffe erschwert werden, aber Benutzer nicht unnötig blockiert werden. Merksatz: Kontosperrung begrenzt Passwortversuche. Rate Limiting Rate Limiting begrenzt, wie viele Anfragen in einer bestimmten Zeit erlaubt sind. Beispiel: maximal 5 Loginversuche pro Minute Ziel: automatisierte Angriffe erschweren Merksatz: Rate Limiting bremst massenhafte Versuche. CAPTCHA CAPTCHA soll prüfen, ob ein Benutzer wahrscheinlich ein Mensch ist. Typische Nutzung: - Login - Registrierung - Formular - Passwortzurücksetzung CAPTCHA kann automatisierte Angriffe erschweren, ersetzt aber keine starke Authentifizierung. Merksatz: CAPTCHA erschwert Bots, ersetzt aber keine Sicherheit. Passwortmanager Ein Passwortmanager speichert Passwörter verschlüsselt. Vorteile: - lange zufällige Passwörter - weniger Passwortwiederverwendung - einfacheres Verwalten vieler Konten - Schutz vor Tippfehlern - teilweise Schutz gegen Phishing durch Domainprüfung Merksatz: Passwortmanager helfen bei starken eindeutigen Passwörtern. Sichere Passwortregeln Sinnvolle Regeln: - lange Passwörter erlauben - Passwortmanager unterstützen - bekannte kompromittierte Passwörter blockieren - MFA nutzen - keine unnötig kurzen Ablaufintervalle ohne Grund - Passwortwiederverwendung vermeiden Merksatz: Lange eindeutige Passwörter plus MFA sind sehr stark. Anwendungssicherheit Anwendungssicherheit bedeutet: Anwendungen so entwickeln, konfigurieren und betreiben, dass Missbrauch erschwert wird. Typische Themen: - sichere Anmeldung - Rechteprüfung - Eingabevalidierung - Schutz vor SQL-Injection - Schutz vor XSS - sichere Sessions - sichere APIs - Logging - Updates - sichere Konfiguration Merksatz: Anwendungssicherheit schützt Dienste auf Schicht 7. SQL-Injection SQL-Injection ist ein Angriff, bei dem schädliche Daten in eine Datenbankabfrage eingeschleust werden. Beispiel sinngemäß: Eingabefeld wird nicht geprüft. Angreifer fügt SQL-Befehl ein. Datenbank führt unerwünschte Abfrage aus. Schutzmaßnahmen: - parametrisierte Abfragen - Eingabevalidierung - minimale Datenbankrechte - Fehlermeldungen nicht offenlegen Merksatz: SQL-Injection nutzt unsichere Datenbankeingaben aus. Cross-Site Scripting Cross-Site Scripting wird kurz genannt: XSS Dabei wird schädlicher Code in eine Webseite eingeschleust. Ziel: im Browser anderer Benutzer ausgeführt werden. Mögliche Folgen: - Session-Cookie stehlen - Inhalte manipulieren - Benutzeraktionen auslösen - Phishing innerhalb der Anwendung Schutzmaßnahmen: - Ausgaben korrekt escapen - Eingaben prüfen - Content Security Policy - HttpOnly-Cookies - sichere Frameworks nutzen Merksatz: XSS greift Benutzer über die Webseite an. CSRF CSRF steht für: Cross-Site Request Forgery Dabei wird ein angemeldeter Benutzer dazu gebracht, unbeabsichtigt eine Aktion in einer Webanwendung auszuführen. Beispiel: Benutzer ist angemeldet. Angreifer bringt Browser dazu, eine unerwünschte Anfrage zu senden. Schutzmaßnahmen: - CSRF-Token - SameSite-Cookies - Prüfung von Origin oder Referer - kritische Aktionen bestätigen lassen Merksatz: CSRF missbraucht eine bestehende Anmeldung. Unsichere direkte Objektreferenz Eine unsichere direkte Objektreferenz entsteht, wenn eine Anwendung nur eine ID prüft, aber nicht die Berechtigung. Beispiel: /rechnung/1001 Benutzer ändert URL zu: /rechnung/1002 Wenn die Anwendung nicht prüft, ob Benutzer Rechnung 1002 sehen darf, entsteht ein Sicherheitsproblem. Merksatz: Jede Ressource braucht Berechtigungsprüfung. Sichere APIs APIs müssen besonders sauber geschützt werden. Wichtige Punkte: - Authentifizierung - Autorisierung - sichere Tokens - HTTPS - Rate Limiting - Eingabevalidierung - saubere Fehlercodes - keine geheimen Daten in Antworten - Logging - Versionierung Merksatz: API-Sicherheit ist Anwendungssicherheit auf Schnittstellenebene. Fehlermeldungen Fehlermeldungen sollten hilfreich, aber nicht zu verräterisch sein. Schlecht: Datenbankfehler mit Tabellenname und SQL-Abfrage wird angezeigt. Besser: Allgemeine Fehlermeldung für Benutzer. Details nur im geschützten Serverlog. Merksatz: Interne Details gehören in Logs, nicht in öffentliche Fehlermeldungen. Updates und Patches Anwendungen und Abhängigkeiten müssen aktuell gehalten werden. Risiken bei veralteter Software: - bekannte Schwachstellen - unsichere Bibliotheken - veraltete Authentifizierungsverfahren - fehlende Sicherheitsupdates - Angriffe über bekannte Exploits Merksatz: Veraltete Anwendungen sind ein Sicherheitsrisiko. Sichere Konfiguration Auch sichere Software kann unsicher betrieben werden, wenn sie falsch konfiguriert ist. Beispiele: - Standardpasswörter - Debug-Modus aktiv - offene Adminbereiche - zu viele Rechte - unsichere CORS-Regeln - veraltete TLS-Versionen - unnötige Dienste aktiv - Verzeichnislisting aktiv Merksatz: Falsche Konfiguration kann sichere Software unsicher machen. Fehlersuche bei Anmeldung und Rechten Eine sinnvolle Reihenfolge: 1. Benutzer existiert? 2. Passwort oder Schlüssel korrekt? 3. Konto aktiv? 4. MFA korrekt? 5. Gruppe oder Rolle vorhanden? 6. Rechte korrekt? 7. Session oder Token gültig? 8. Zeit korrekt? 9. Dienst erreichbar? 10. Logs prüfen. Merksatz: Bei Loginproblemen Identität, Faktor, Rolle und Logs prüfen. Fehlerbild: Anmeldung schlägt fehl Mögliche Ursachen: - falsches Passwort - Benutzername falsch - Konto gesperrt - Konto deaktiviert - Passwort abgelaufen - MFA fehlt - falscher Identity Provider - LDAP oder AD nicht erreichbar - Zeitabweichung - Token ungültig Merksatz: Loginfehler sind nicht immer nur Passwortfehler. Fehlerbild: Zugriff verweigert Mögliche Ursachen: - Benutzer ist nicht in richtiger Gruppe - Rolle fehlt - Berechtigung fehlt - Ressource gehört anderem Benutzer - Richtlinie blockiert - Token enthält falsche Rechte - Anwendung prüft Rechte fehlerhaft - alte Session enthält alte Rechte Merksatz: Zugriff verweigert = Autorisierung prüfen. Fehlerbild: Benutzer ist angemeldet, sieht aber nichts Mögliche Ursachen: - keine Gruppenmitgliedschaft - falsche Rolle - fehlende Lizenz - falscher Mandant - Berechtigungen nicht synchronisiert - Anwendung filtert Daten nach Rechten - Session muss erneuert werden Merksatz: Erfolgreiche Anmeldung bedeutet noch keine sichtbaren Berechtigungen. Fehlerbild: MFA funktioniert nicht Mögliche Ursachen: - falsches Gerät registriert - Uhrzeit falsch - Token abgelaufen - Benutzer hat neues Smartphone - Push-Benachrichtigung blockiert - Konto nicht korrekt für MFA registriert - Netzwerkverbindung fehlt Merksatz: MFA-Probleme mit Gerät, Zeit, Registrierung und Konto prüfen. Fehlerbild: Token abgelaufen Mögliche Ursachen: - Ablaufzeit erreicht - Benutzer wurde abgemeldet - Refresh Token ungültig - Systemzeit falsch - Token wurde widerrufen - Session wurde beendet Merksatz: Tokens haben Lebensdauer und können widerrufen werden. Einordnung in das OSI-Modell Thema Schicht Loginformular 7 API-Token 7 Session-Cookie 7 mit Schicht-5-Bezug LDAP-Anmeldung 7 OAuth / OpenID Connect 7 SAML 7 TLS-Schutz 6 mit Schicht-7-Bezug TCP-Port 4 IP-Adresse 3 Benutzerrechte 7 / Anwendungsebene Merksatz: Anmeldung und Rechte sind typische Schicht-7-Themen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Authentifizierung? - Was bedeutet Autorisierung? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was ist MFA? - Warum ist MFA sinnvoll? - Was ist ein Token? - Was ist eine Session? - Was ist ein Session-Cookie? - Was bedeutet Single Sign-on? - Was ist ein Identity Provider? - Was ist Least Privilege? - Warum sollten Rechte über Gruppen vergeben werden? - Warum sind geteilte Admin-Konten problematisch? - Was ist Brute Force? - Was ist Phishing? - Was ist SQL-Injection? - Was ist XSS? - Warum sind sichere Fehlermeldungen wichtig? Typische Prüfungsfallen Authentifizierung ist nicht Autorisierung. Anmeldung bedeutet nicht automatisch Zugriff. Rechte müssen pro Ressource geprüft werden. MFA erhöht die Sicherheit deutlich. Token müssen wie Passwörter geschützt werden. Session-Cookies müssen sicher gesetzt werden. HTTPS ist wichtig für Login und Tokens. Bearer Token kann von jedem genutzt werden, der ihn besitzt. Geteilte Konten erschweren Nachvollziehbarkeit. Adminrechte besonders schützen. Least Privilege immer beachten. Gruppen erleichtern Rechteverwaltung. Phishing greift oft Zugangsdaten an. SQL-Injection betrifft unsichere Datenbankeingaben. XSS betrifft unsichere Ausgaben im Browser. CSRF missbraucht bestehende Sitzungen. Fehlermeldungen dürfen keine internen Details verraten. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Authentifizierung Identität prüfen Autorisierung Rechte prüfen Identität Benutzer, Dienst oder System Benutzerkonto digitale Identität eines Benutzers Dienstkonto Konto für Anwendungen oder Dienste Passwort geheimer Identitätsnachweis Passwort-Hash Einweg-Prüfwert eines Passworts Salt zusätzlicher Zufallswert beim Hashing MFA Multi-Faktor-Authentifizierung OTP Einmalpasswort Token digitaler Zugriffsnachweis Bearer Token nutzbarer Zugriffstoken Session Sitzung zwischen Client und Anwendung Session-Cookie Cookie zur Sitzungszuordnung SSO Single Sign-on IdP Identity Provider RBAC rollenbasierte Zugriffskontrolle Least Privilege nur notwendige Rechte Brute Force massenhaftes Passwortprobieren Phishing Täuschung zur Datenerbeutung SQL-Injection Einschleusen von SQL-Befehlen XSS Einschleusen von Code in Webseiten CSRF Missbrauch bestehender Anmeldung IHK-sichere Kurzformulierung Authentifizierung und Autorisierung sind zentrale Sicherheitskonzepte auf der Anwendungsschicht. Authentifizierung prüft die Identität eines Benutzers, Dienstes oder Systems. Autorisierung prüft anschließend, welche Rechte diese Identität besitzt. Eine erfolgreiche Anmeldung bedeutet daher nicht automatisch, dass ein Benutzer alle Aktionen durchführen darf. Multi-Faktor-Authentifizierung erhöht die Sicherheit, weil neben dem Passwort ein weiterer Faktor benötigt wird. Rechte sollten möglichst über Gruppen oder Rollen vergeben werden und dem Least-Privilege-Prinzip folgen. Tokens, Session-Cookies und Passwörter müssen geschützt werden, da sie Zugriff auf Anwendungen und Dienste ermöglichen können. Merksätze Authentifizierung = Wer bist du? Autorisierung = Was darfst du? Erst Identität, dann Rechte. Anmeldung ist nicht gleich Berechtigung. Benutzerkonto = digitale Identität. Dienstkonto = Konto für Dienste. Passwörter nicht im Klartext speichern. Passwort-Hash schützt gespeicherte Passwörter. Salt macht Hashes robuster. MFA kombiniert mehrere Faktoren. OTP = Einmalpasswort. Token = digitaler Zugriffsnachweis. Bearer Token wie Passwort schützen. Session verbindet mehrere Anfragen. Session-Cookie schützt Anmeldung. Secure, HttpOnly und SameSite schützen Cookies. SSO = einmal anmelden, mehrere Dienste nutzen. IdP bestätigt Identität. OAuth regelt delegierten Zugriff. OpenID Connect ergänzt Anmeldung. RBAC verwaltet Rechte über Rollen. Least Privilege = nur notwendige Rechte. Admin-Konten besonders schützen. Geteilte Konten vermeiden. Brute Force probiert Passwörter. Phishing täuscht Benutzer. SQL-Injection nutzt unsichere Eingaben. XSS greift Benutzer im Browser an. CSRF missbraucht bestehende Sitzungen. Anwendungssicherheit ist Schicht-7-Sicherheit. 10.10 Fehlersuche auf OSI-Schicht 7 OSI-Schicht 7 ist die Anwendungsschicht. Auf dieser Schicht prüft man nicht mehr nur: Kommt eine Verbindung zustande? Sondern zusätzlich: Funktioniert der konkrete Dienst? Antwortet die Anwendung korrekt? Stimmen Anmeldung, Rechte, Daten und Protokoll? Typische Schicht-7-Dienste sind: - HTTP / HTTPS - DNS - DHCP - SMTP - IMAP - POP3 - FTP - SFTP - SMB - LDAP - SNMP - NTP - SSH - RDP - APIs Merksatz: Schicht 7 prüft den Dienst, nicht nur die Verbindung. Grundidee der Schicht-7-Fehlersuche Bei Schicht 7 geht es um die konkrete Anwendungskommunikation. Ein Port kann erreichbar sein, aber der Dienst kann trotzdem nicht richtig funktionieren. Beispiel: TCP 443 ist offen, aber die Webseite zeigt HTTP 500. Oder: DNS-Server ist erreichbar, aber der Name wird falsch aufgelöst. Oder: SMB-Port 445 ist erreichbar, aber der Benutzer hat keine Berechtigung. Merksatz: Offener Port bedeutet nicht automatisch: Anwendung funktioniert. Schicht 7 erst prüfen, wenn die unteren Schichten passen Vor der Schicht-7-Fehlersuche sollte man prüfen: Schicht 1: physische Verbindung vorhanden? Schicht 2: richtige MAC-Kommunikation, VLAN, Switch? Schicht 3: IP-Adresse, Subnetz, Gateway, Routing? Schicht 4: TCP- oder UDP-Port erreichbar? Erst danach prüft man genauer: Dienst, Protokoll, Anmeldung, Antwort, Daten, Rechte, Logs. Merksatz: Erst unten prüfen, dann oben analysieren. Typische Abgrenzung nach Schichten Fehlerbild wahrscheinliche Schicht Kein Link 1 Falsches VLAN 2 Kein Gateway erreichbar 3 Port nicht erreichbar 4 Zertifikatswarnung 6 HTTP 404 oder 500 7 Login funktioniert nicht 7 Zugriff verweigert 7 DNS löst falsch auf 7 Mail landet im Spam 7 API lehnt Anfrage ab 7 Merksatz: Schicht-7-Fehler betreffen Inhalt, Dienst, Anmeldung oder Berechtigung. Wichtige Prüffragen auf Schicht 7 Bei Anwendungsschichtproblemen stellt man Fragen wie: Läuft der Dienst? Antwortet der Dienst korrekt? Wird das richtige Protokoll verwendet? Wird der richtige Hostname verwendet? Ist die URL korrekt? Ist die Anmeldung korrekt? Hat der Benutzer die nötigen Rechte? Sind Zertifikate gültig? Stimmen Header, Methode und Datenformat? Gibt es Logs? Gibt es eine Fehlermeldung? Betrifft es alle Benutzer oder nur einzelne? Merksatz: Schicht 7 fragt: Was macht der Dienst genau? Dienst läuft oder läuft nicht Ein häufiger Fehler ist: Netzwerk funktioniert, aber Dienst läuft nicht. Beispiele: Webserver gestoppt Datenbank nicht erreichbar SSH-Dienst deaktiviert Maildienst gestört DNS-Dienst nicht gestartet Backend-Container nicht aktiv Anwendung abgestürzt Typisches Fehlerbild: Host erreichbar, aber Dienst antwortet nicht richtig. Merksatz: Erreichbarer Server heißt nicht: Dienst läuft. Falsches Protokoll Manchmal wird das falsche Protokoll verwendet. Beispiele: http:// statt https:// FTP statt SFTP LDAP statt LDAPS IMAP statt POP3 SMB-Pfad statt SFTP-Zugriff HTTPS zum Backend, obwohl Backend nur HTTP spricht Merksatz: Falsches Protokoll kann wie ein Verbindungsfehler aussehen. Falscher Port Ein Dienst kann auf einem anderen Port laufen als erwartet. Beispiele: Webserver läuft auf TCP 8080 statt TCP 80. Adminoberfläche läuft auf TCP 8443 statt TCP 443. SSH läuft auf anderem Port als TCP 22. Anwendung läuft intern auf Port 3000, extern aber über Reverse Proxy auf 443. Merksatz: Immer prüfen: Welcher Dienst lauscht auf welchem Port? Falscher Hostname Bei vielen Diensten ist der Hostname wichtig. Beispiele: HTTPS-Zertifikat muss zum Hostnamen passen. Reverse Proxy entscheidet über Host-Header. Virtuelle Hosts liefern je nach Hostname andere Inhalte. DNS kann intern und extern unterschiedlich auflösen. Fehlerbild: IP ist erreichbar, aber falsche Webseite oder falsches Zertifikat erscheint. Merksatz: Hostname ist auf Schicht 7 oft entscheidend. DNS-Fehler auf Schicht 7 DNS-Probleme sind typische Schicht-7-Probleme. Fehlerbilder: Name löst nicht auf. Name löst auf falsche IP auf. Interne und externe Antwort unterscheiden sich. DNS-Cache ist veraltet. MX-Record fehlt. CNAME zeigt falsch. AAAA-Record zeigt auf nicht erreichbares IPv6-Ziel. Prüffragen: Welcher DNS-Server wird gefragt? Welche Antwort liefert er? Ist die Antwort intern und extern gleich? Ist der Cache noch aktiv? Stimmt die TTL? Merksatz: IP geht, Name nicht: DNS prüfen. HTTP-Fehler auf Schicht 7 Bei Webdiensten sind HTTP-Statuscodes sehr hilfreich. Wichtige Beispiele: Statuscode Bedeutung 200 OK 301 / 302 Weiterleitung 400 fehlerhafte Anfrage 401 nicht authentifiziert 403 verboten 404 nicht gefunden 405 Methode nicht erlaubt 429 zu viele Anfragen 500 interner Serverfehler 502 Bad Gateway 503 Dienst nicht verfügbar 504 Gateway Timeout Merksatz: HTTP-Statuscodes sind wichtige Schicht-7-Hinweise. 401 und 403 bei der Fehlersuche 401 bedeutet: Benutzer ist nicht authentifiziert. Typische Ursachen: - nicht angemeldet - Token fehlt - Token ungültig - Session abgelaufen - falsche Zugangsdaten 403 bedeutet: Benutzer ist bekannt, aber nicht berechtigt. Typische Ursachen: - Rolle fehlt - Gruppe fehlt - Zugriff verboten - Richtlinie blockiert - Ressource nicht erlaubt Merksatz: 401 = Anmeldung fehlt. 403 = Rechte fehlen. 404 bei der Fehlersuche 404 bedeutet: Ressource nicht gefunden. Mögliche Ursachen: - falscher Pfad - falsche URL - Route fehlt - Datei existiert nicht - Reverse Proxy leitet falsch weiter - Anwendung erwartet anderen Basis-Pfad - Tippfehler im Link Merksatz: 404 heißt: Unter diesem Pfad wurde nichts gefunden. 500 bei der Fehlersuche 500 bedeutet: interner Serverfehler. Mögliche Ursachen: - Fehler in der Anwendung - Datenbank nicht erreichbar - Konfigurationsfehler - fehlende Rechte - Programmfehler - Speicherproblem - Abhängigkeit nicht verfügbar Merksatz: 500 ist meist ein Problem der Anwendung oder des Servers. 502, 503 und 504 bei Reverse Proxys Diese Fehler treten häufig bei Reverse Proxys auf. Statuscode typische Bedeutung 502 Proxy bekommt keine gültige Antwort vom Backend 503 Dienst aktuell nicht verfügbar 504 Gateway wartet zu lange auf Backend Typische Ursachen: - Backend läuft nicht - falscher Backend-Port - falsches Protokoll zum Backend - Backend überlastet - Timeout - falscher Container-Name - internes DNS-Problem - Firewall blockiert intern Merksatz: Bei 502, 503 und 504 Proxy und Backend prüfen. API-Fehler auf Schicht 7 APIs haben typische Fehlerquellen. Prüfpunkte: - richtige URL? - richtige HTTP-Methode? - richtiger Content-Type? - gültiges JSON? - Authorization-Header vorhanden? - Token gültig? - Berechtigung vorhanden? - API-Version korrekt? - Rate Limit erreicht? - Pflichtfelder vorhanden? Typische Fehler: 400 Bad Request 401 Unauthorized 403 Forbidden 404 Not Found 405 Method Not Allowed 429 Too Many Requests 500 Internal Server Error Merksatz: API-Fehler mit Methode, Header, Body, Token und Statuscode prüfen. Datenformatfehler Schicht 7 ist oft eng mit Schicht 6 verbunden. Fehler können entstehen durch: - ungültiges JSON - ungültiges XML - falscher Content-Type - falsche Zeichencodierung - fehlende Pflichtfelder - falsches Datumsformat - falscher Dezimaltrenner - falsche Groß- und Kleinschreibung - unerwartete Sonderzeichen Merksatz: Anwendung versteht Daten nur, wenn Format und Inhalt passen. Authentifizierungsfehler Authentifizierung prüft: Wer bist du? Typische Fehler: - falscher Benutzername - falsches Passwort - Konto gesperrt - Konto deaktiviert - Passwort abgelaufen - MFA fehlt - Token ungültig - Zertifikat ungültig - falscher Identity Provider - Zeitabweichung Merksatz: Loginfehler sind nicht immer nur Passwortfehler. Autorisierungsfehler Autorisierung prüft: Was darfst du? Typische Fehler: - Benutzer nicht in richtiger Gruppe - Rolle fehlt - Berechtigung fehlt - Freigaberecht fehlt - Dateisystemrecht fehlt - API-Scope fehlt - Richtlinie blockiert - Mandant falsch - alte Session enthält alte Rechte Merksatz: Zugriff verweigert bedeutet: Rechte prüfen. Session-Fehler Sessions verbinden mehrere Anfragen zu einer Sitzung. Typische Fehlerbilder: Benutzer wird ständig ausgeloggt. Login-Schleife. Warenkorb wird vergessen. Session läuft sofort ab. Benutzer sieht falschen Zustand. Zugriff funktioniert nur in einem Browser. Mögliche Ursachen: - Cookie wird blockiert - Cookie-Domain falsch - Cookie-Pfad falsch - SameSite-Problem - Secure-Flag fehlt oder passt nicht - Zeitabweichung - Session-Speicher gestört - Load Balancer ohne Session-Stickiness Merksatz: Login-Schleifen sind oft Cookie- oder Session-Probleme. TLS- und Zertifikatsfehler Auch wenn TLS eher Schicht 6 zugeordnet wird, wirkt es stark auf Schicht 7. Typische Fehler: - Zertifikat abgelaufen - Name passt nicht - CA nicht vertrauenswürdig - Zwischenzertifikat fehlt - falsche Systemzeit - TLS-Version zu alt - Cipher Suite passt nicht - Reverse Proxy liefert falsches Zertifikat Merksatz: HTTPS-Probleme immer mit Zertifikat, Name und Zeit prüfen. Mailprobleme auf Schicht 7 E-Mail nutzt mehrere Anwendungsschichtprotokolle. Typische Fehlerbilder: Mail kann nicht gesendet werden. Mail kann nicht empfangen werden. Mail landet im Spam. Mail kommt verzögert an. Mailclient kann sich nicht anmelden. Zertifikatswarnung im Mailclient. NDR wird erzeugt. Prüfpunkte: SMTP IMAP POP3 MX SPF DKIM DMARC TLS Authentifizierung Spamfilter Postfachgröße Mailserver-Logs Merksatz: Mailfehler mit Protokoll, DNS, Authentifizierung und Logs prüfen. SMB-Fehler auf Schicht 7 SMB wird für Datei- und Druckerfreigaben genutzt. Typische Fehler: Freigabe nicht erreichbar. Zugriff verweigert. Netzlaufwerk verbindet nicht. Datei kann nicht gespeichert werden. Datei ist gesperrt. Benutzer sieht Freigabe nicht. Prüfpunkte: DNS-Name TCP 445 SMB-Dienst Freigabename Benutzerkonto Gruppe Freigaberecht Dateisystemrecht gespeicherte Anmeldedaten SMB-Version Merksatz: SMB-Fehler oft mit Name, Port, Anmeldung und Rechten prüfen. LDAP-Fehler auf Schicht 7 LDAP wird für Verzeichnisdienste genutzt. Typische Fehler: Benutzer wird nicht gefunden. Anmeldung schlägt fehl. Gruppen werden nicht erkannt. Anwendung kann LDAP nicht verbinden. LDAPS-Zertifikat wird abgelehnt. Prüfpunkte: LDAP-Server Port 389 oder 636 Base-DN Bind-Benutzer Passwort Suchfilter Gruppenpfad Zertifikat bei LDAPS Firewall DNS Merksatz: LDAP-Fehler mit Bind, Base-DN, Filter und Zertifikat prüfen. SNMP-Fehler auf Schicht 7 SNMP wird für Monitoring genutzt. Typische Fehler: Gerät wird als down angezeigt. Werte werden nicht gelesen. Interface-Daten fehlen. Traps kommen nicht an. Monitoring zeigt falsche Werte. Prüfpunkte: SNMP-Agent aktiv? richtige SNMP-Version? Community-String korrekt? SNMPv3-Benutzer korrekt? UDP 161 erlaubt? UDP 162 für Traps erlaubt? OID vorhanden? MIB korrekt? Zugriff vom Monitoring-Server erlaubt? Merksatz: SNMP-Fehler mit Version, Zugangsdaten, Port und OID prüfen. NTP-Fehler auf Schicht 7 NTP synchronisiert Zeit. Typische Fehlerbilder: Systemzeit falsch. Zertifikate wirken ungültig. Kerberos-Anmeldung schlägt fehl. Logs passen zeitlich nicht zusammen. Monitoring-Zeitstempel stimmen nicht. Prüfpunkte: NTP-Server erreichbar? UDP 123 erlaubt? DNS-Name des Zeitservers korrekt? Zeitzone korrekt? Zeitquelle vertrauenswürdig? Zeitabweichung zu groß? VM-Zeitquelle korrekt? Merksatz: Falsche Zeit kann viele scheinbar andere Fehler verursachen. SSH-Fehler auf Schicht 7 SSH dient sicherem Fernzugriff. Typische Fehler: Timeout Connection refused Permission denied Host-Key-Warnung falscher Schlüssel Benutzer darf nicht anmelden Dienst läuft nicht Prüfpunkte: TCP 22 erreichbar? SSH-Dienst aktiv? richtiger Benutzer? richtiger Schlüssel? richtige Dateirechte? Host-Key plausibel? Firewall erlaubt Zugriff? Loginmethode erlaubt? Merksatz: SSH-Fehler mit Port, Dienst, Benutzer, Schlüssel und Host-Key prüfen. RDP-Fehler auf Schicht 7 RDP dient grafischem Fernzugriff. Typische Fehler: Verbindung nicht möglich. Anmeldung abgelehnt. RDP ist langsam. Sitzung wird getrennt. NLA-Fehler. Benutzer hat keine Berechtigung. Prüfpunkte: TCP 3389 erreichbar? Remote Desktop aktiviert? Benutzer berechtigt? NLA kompatibel? VPN verbunden? Firewall erlaubt Zugriff? Konto gesperrt? Server überlastet? Merksatz: RDP-Fehler mit Verbindung, Anmeldung, Berechtigung und Richtlinien prüfen. DHCP-Fehler auf Schicht 7 DHCP ist ein Anwendungsschichtprotokoll, liefert aber Schicht-3-Konfiguration. Typische Fehler: Client bekommt keine IP. Client bekommt falsche IP. Client bekommt 169.254.x.x. Gateway ist falsch. DNS ist falsch. Manche VLANs funktionieren nicht. Prüfpunkte: DHCP-Server aktiv? DHCP-Scope vorhanden? Adressen frei? DHCP-Relay korrekt? VLAN korrekt? UDP 67/68 erlaubt? Rogue-DHCP vorhanden? DHCP-Optionen korrekt? Merksatz: DHCP-Fehler mit VLAN, Scope, Relay und Optionen prüfen. Logs sind auf Schicht 7 besonders wichtig Auf Schicht 7 liefern Logs oft die beste Information. Wichtige Logs: - Webserver-Logs - Anwendungslogs - Authentifizierungslogs - Mailserver-Logs - DNS-Logs - DHCP-Logs - LDAP-Logs - Reverse-Proxy-Logs - Firewall-Logs - Monitoring-Logs - Systemlogs Logs zeigen oft: - Statuscode - Fehlermeldung - Benutzer - Zeit - Quelle - Ziel - Pfad - angefragte Ressource - Authentifizierungsgrund - Backend-Fehler Merksatz: Ohne Logs bleibt Schicht-7-Fehlersuche oft ungenau. Fehlermeldungen richtig lesen Fehlermeldungen liefern wichtige Hinweise. Beispiele: Meldung mögliche Bedeutung Unauthorized nicht angemeldet oder Token ungültig Forbidden keine Berechtigung Not Found Ressource oder Pfad fehlt Bad Gateway Proxy erreicht Backend nicht sauber Connection refused Dienst nimmt Verbindung nicht an Timeout keine Antwort innerhalb der Zeit Invalid credentials Zugangsdaten falsch Certificate expired Zertifikat abgelaufen Name mismatch Zertifikat passt nicht zum Namen Merksatz: Fehlermeldung nicht ignorieren, sondern technisch einordnen. Fehler nur bei einem Benutzer Wenn ein Problem nur bei einem Benutzer auftritt, prüft man eher: - Benutzerkonto - Passwort - MFA - Gruppenmitgliedschaften - Rollen - Berechtigungen - Session - gespeicherte Anmeldedaten - Clientprofil - Browsercache - lokale Einstellungen Merksatz: Einzelner Benutzer betroffen: Konto und Rechte prüfen. Fehler bei allen Benutzern Wenn alle Benutzer betroffen sind, prüft man eher: - Dienst läuft? - Server erreichbar? - DNS korrekt? - Zertifikat gültig? - Datenbank erreichbar? - Backend verfügbar? - zentrale Authentifizierung erreichbar? - Reverse Proxy korrekt? - Lizenz oder Ressourcenproblem? - allgemeine Störung? Merksatz: Alle betroffen: Dienst, Server oder zentrale Infrastruktur prüfen. Fehler nur intern oder nur extern Wenn ein Dienst intern funktioniert, extern aber nicht, prüft man: - externes DNS - Firewall - NAT - Reverse Proxy - Zertifikat - öffentliche IP - Portweiterleitung - Geo- oder Zugriffsbeschränkung Wenn ein Dienst extern funktioniert, intern aber nicht, prüft man: - internes DNS - Split DNS - Hairpin NAT - interne Firewall - Proxy-Einstellungen - Routing intern - Zertifikat und Hostname intern Merksatz: Intern und extern getrennt prüfen. Fehler nur in einem Browser Mögliche Ursachen: - Browsercache - Cookies - gespeicherte Zugangsdaten - Erweiterungen - CORS-Verhalten - alte Session - Zertifikatsspeicher - Proxy-Einstellungen - HSTS-Eintrag Merksatz: Browserabhängige Fehler oft mit Cache, Cookies und Erweiterungen prüfen. Fehler nur auf einem Client Mögliche Ursachen: - falsche DNS-Einstellung - falsche Systemzeit - veraltetes Zertifikat - lokale Firewall - Proxy-Einstellung - VPN aktiv oder inaktiv - falsche gespeicherte Anmeldedaten - veraltete Anwendung - defektes Profil Merksatz: Einzelner Client betroffen: lokale Einstellungen prüfen. Fehler nach Änderung Nach Änderungen prüft man zuerst, was geändert wurde. Beispiele: DNS geändert Zertifikat erneuert Passwort geändert Gruppe geändert Firewall angepasst Anwendung aktualisiert Reverse Proxy geändert Datenbank verschoben Container neu gestartet Port geändert Lizenz geändert Merksatz: Nach Änderung zuerst Änderung prüfen. Systematische Schicht-7-Fehlersuche Eine sinnvolle Reihenfolge: 1. Fehlermeldung genau lesen. 2. Betroffene Benutzer und Systeme eingrenzen. 3. Dienst und Protokoll bestimmen. 4. DNS und Hostname prüfen. 5. IP-Erreichbarkeit prüfen. 6. Port prüfen. 7. TLS oder Zertifikat prüfen. 8. Anwendung oder Dienst prüfen. 9. Anmeldung prüfen. 10. Berechtigung prüfen. 11. Datenformat oder Anfrage prüfen. 12. Logs prüfen. 13. letzte Änderungen prüfen. Merksatz: Erst eingrenzen, dann Schicht für Schicht prüfen. Typische Werkzeuge Werkzeug Zweck Browser-Entwicklertools HTTP-Status, Header, Cookies, Netzwerk curl HTTP/API testen nslookup DNS einfach prüfen dig DNS detailliert prüfen ping IP-Erreichbarkeit grob prüfen traceroute / tracert Weg zum Ziel prüfen telnet / nc TCP-Port testen openssl s_client TLS-Zertifikat prüfen ssh -v SSH-Verbindung detailliert prüfen Ereignisanzeige Windows-Logs prüfen journalctl Linux-Systemlogs prüfen Webserver-Logs HTTP-Anfragen prüfen Mailserver-Logs E-Mail-Zustellung prüfen Merksatz: Das richtige Werkzeug hängt vom Dienst ab. curl für Webfehler curl kann HTTP-Antworten prüfen. Typische Prüfpunkte: - Statuscode - Header - Weiterleitung - TLS-Fehler - Antwortinhalt - API-Antwort Beispielgedanke: Was antwortet der Server wirklich? Merksatz: curl zeigt, was ein Webdienst tatsächlich zurückgibt. Browser-Entwicklertools Browser-Entwicklertools helfen bei Webproblemen. Sie zeigen unter anderem: - HTTP-Requests - HTTP-Responses - Statuscodes - Header - Cookies - Ladezeiten - CORS-Fehler - JavaScript-Fehler - blockierte Inhalte Merksatz: Browser-Entwicklertools sind wichtig für Web-Schicht-7-Fehler. openssl s_client Mit openssl s_client kann man TLS-Verbindungen prüfen. Typische Informationen: - Zertifikat - Zertifikatskette - TLS-Version - Cipher - Name und Zertifikat - Ablaufdatum Besonders hilfreich bei: - HTTPS - LDAPS - IMAPS - SMTPS - POP3S Merksatz: TLS-Probleme mit Zertifikat und Kette prüfen. Paketmitschnitt auf Schicht 7 Ein Paketmitschnitt kann helfen, wenn Logs nicht ausreichen. Man kann sehen: - DNS-Anfragen - DHCP-DORA - TCP-Verbindungsaufbau - TLS-Handshake - unverschlüsselte Protokollinhalte - Fehlercodes - Wiederholungen - Timeouts Wichtig: Bei verschlüsselten Verbindungen sieht man Inhalte nicht einfach im Klartext. Merksatz: Mitschnitt zeigt Verkehr, aber TLS schützt Inhalte. Schicht-7-Fehler und Sicherheit Viele Schicht-7-Fehler haben Sicherheitsbezug. Beispiele: - falsche Rechte - schwache Authentifizierung - unsichere Cookies - offene Adminbereiche - veraltete Webanwendung - unsicheres FTP - Telnet statt SSH - fehlende MFA - falsche CORS-Konfiguration - Tokens in URLs - zu genaue Fehlermeldungen Merksatz: Anwendungsschicht ist häufig Angriffsziel. Was Schicht-7-Fehlersuche nicht ersetzt Schicht-7-Fehlersuche ersetzt nicht: - Prüfung der Verkabelung - VLAN-Prüfung - Routing-Prüfung - Firewall-Prüfung - Portprüfung - Zertifikatsprüfung - Berechtigungskonzept - Sicherheitskonzept - Backup-Konzept - Monitoring Sie ergänzt diese Prüfungen. Merksatz: Schicht 7 ist nur ein Teil der gesamten Fehlersuche. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum reicht ein erfolgreicher Ping nicht aus? - Warum reicht ein offener Port nicht aus? - Was prüft man bei HTTP 404? - Was prüft man bei HTTP 500? - Was bedeutet HTTP 401? - Was bedeutet HTTP 403? - Warum kann ein DNS-Fehler wie ein Internetproblem wirken? - Warum kann ein falsches Zertifikat durch DNS entstehen? - Wie grenzt man Anmeldeprobleme ein? - Wie grenzt man Berechtigungsprobleme ein? - Warum sind Logs bei Schicht-7-Problemen wichtig? - Welche Rolle spielt der Reverse Proxy bei Webfehlern? - Warum kann ein Dienst trotz erreichbarem Server nicht funktionieren? Typische Prüfungsfallen Ping prüft nicht die Anwendung. Offener Port heißt nicht, dass der Dienst korrekt funktioniert. HTTP-Statuscodes gehören zur Anwendungsschicht. 401 bedeutet nicht authentifiziert. 403 bedeutet nicht berechtigt. 404 bedeutet Ressource nicht gefunden. 500 bedeutet interner Serverfehler. 502 deutet oft auf Proxy-Backend-Problem. DNS gehört zu Schicht 7. DHCP gehört zu Schicht 7, auch wenn es IP-Konfiguration verteilt. Mailprobleme sind oft DNS-, TLS- oder Spamfilterprobleme. SMB-Probleme sind oft Rechte- oder Anmeldeprobleme. LDAP-Probleme sind oft Base-DN-, Bind- oder Filterprobleme. NTP-Probleme können Zertifikats- und Loginfehler verursachen. Schicht 7 braucht Logs. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schicht-7-Fehler Fehler im Dienst oder Anwendungsprotokoll Dienst bereitgestellte Netzwerkfunktion Statuscode Antwortcode eines Protokolls HTTP 401 nicht authentifiziert HTTP 403 nicht berechtigt HTTP 404 Ressource nicht gefunden HTTP 500 interner Serverfehler HTTP 502 Bad Gateway Backend interner Ziel-Dienst Reverse Proxy vorgelagerter Webserver Authentifizierung Identität prüfen Autorisierung Rechte prüfen Session Sitzung zwischen Client und Anwendung Token digitaler Zugriffsnachweis Log Protokolldatei mit Ereignissen API Schnittstelle zwischen Anwendungen Content-Type Datenformat im HTTP-Body DNS-Cache zwischengespeicherte DNS-Antwort IHK-sichere Kurzformulierung Fehlersuche auf OSI-Schicht 7 betrifft die Anwendungsschicht und damit konkrete Dienste und Protokolle wie HTTP, DNS, DHCP, SMTP, SMB, LDAP, SNMP, NTP, SSH, RDP und APIs. Dabei reicht es nicht aus, nur IP-Erreichbarkeit oder offene Ports zu prüfen. Ein Dienst kann trotz erreichbarem Server und offenem Port fehlerhaft antworten. Deshalb prüft man auf Schicht 7 insbesondere Dienststatus, Protokoll, Hostname, URL, HTTP-Statuscodes, Anmeldung, Berechtigungen, Datenformat, Zertifikate, Reverse Proxy, Backend und Logs. Schicht-7-Fehler zeigen sich häufig als falsche DNS-Antworten, HTTP-Fehler, Loginprobleme, Zugriff verweigert, Mailprobleme oder fehlerhafte API-Antworten. Merksätze Schicht 7 = Anwendungsschicht. Schicht 7 prüft den konkreten Dienst. Ping prüft nicht die Anwendung. Offener Port heißt nicht: Anwendung funktioniert. Dienst läuft nicht immer, nur weil Server erreichbar ist. Falsches Protokoll erzeugt Fehler. Falscher Hostname kann falsches Zertifikat liefern. DNS-Probleme sind Schicht-7-Probleme. HTTP-Statuscodes helfen bei Webfehlern. 401 = nicht authentifiziert. 403 = nicht berechtigt. 404 = nicht gefunden. 500 = interner Serverfehler. 502 = Proxy-Backend-Problem. 503 = Dienst nicht verfügbar. 504 = Gateway Timeout. API-Fehler mit Methode, Header, Body und Token prüfen. Loginfehler = Authentifizierung prüfen. Zugriff verweigert = Autorisierung prüfen. Login-Schleife = Session und Cookies prüfen. Mailfehler mit DNS, SMTP, IMAP, TLS und Spamfilter prüfen. SMB-Fehler mit Name, Port, Anmeldung und Rechten prüfen. LDAP-Fehler mit Bind, Base-DN und Filter prüfen. SNMP-Fehler mit Version, Zugangsdaten und OID prüfen. NTP-Fehler können viele Folgefehler erzeugen. Logs sind bei Schicht 7 besonders wichtig. Erst eingrenzen, dann Schicht für Schicht prüfen. 10.11 Merksätze und Prüfungswissen zu OSI-Schicht 7 Diese Seite fasst die wichtigsten Inhalte zur OSI-Schicht 7 zusammen. OSI-Schicht 7 heißt: Anwendungsschicht Die Hauptaufgabe von Schicht 7 ist: Netzwerkdienste für Anwendungen bereitstellen. Typische Protokolle und Dienste sind: - HTTP - HTTPS - DNS - DHCP - SMTP - POP3 - IMAP - FTP - SFTP - FTPS - SMB - LDAP - SNMP - NTP - SSH - RDP - Telnet - APIs Merksatz: Schicht 7 = Netzwerkdienste für Anwendungen. Grundidee von Schicht 7 Schicht 7 ist die oberste Schicht des OSI-Modells. Sie ist die Schicht, die Anwendungen am nächsten ist. Wichtig: Die Anwendungsschicht ist nicht einfach das Programm selbst. Besser: Anwendungen nutzen Protokolle der Anwendungsschicht. Beispiel: Browser = Anwendung HTTP / HTTPS = Protokolle der Anwendungsschicht Merksatz: Schicht 7 beschreibt Protokolle und Dienste, die Anwendungen für Netzwerkkommunikation verwenden. Schicht 7 im OSI-Modell Schicht Name Kerngedanke 7 Anwendungsschicht Netzwerkdienste für Anwendungen 6 Darstellungsschicht Daten darstellen, codieren, komprimieren, verschlüsseln 5 Sitzungsschicht Sitzungen aufbauen, verwalten und beenden 4 Transportschicht TCP, UDP, Ports 3 Vermittlungsschicht / Netzwerkschicht IP, Routing 2 Sicherungsschicht Frames, MAC-Adressen, VLAN 1 Bitübertragungsschicht Bits, Signale, Medien Merksatz: Schicht 7 nutzt alle darunterliegenden Schichten. Schicht 7 und Schicht 4 unterscheiden Ein häufiger Prüfungsfehler ist, Ports und Protokolle zu vermischen. Beispiel: TCP 443 = Schicht 4 HTTPS = Schicht 7 mit TLS-Bezug Oder: UDP 53 / TCP 53 = Schicht 4 DNS = Schicht 7 Merksatz: Port = Schicht 4. Dienstprotokoll = Schicht 7. Wichtige Standardports Dienst Protokoll typischer Port HTTP TCP 80 HTTPS TCP 443 DNS UDP / TCP 53 DHCP-Server UDP 67 DHCP-Client UDP 68 SMTP TCP 25 Submission TCP 587 SMTPS TCP 465 POP3 TCP 110 POP3S TCP 995 IMAP TCP 143 IMAPS TCP 993 FTP TCP 21 SFTP TCP 22 SSH TCP 22 Telnet TCP 23 SMB TCP 445 LDAP TCP / UDP 389 LDAPS TCP 636 SNMP UDP 161 SNMP-Trap UDP 162 NTP UDP 123 RDP TCP 3389 Merksatz: Standardports helfen bei Prüfung und Fehlersuche, gehören aber zur Transportschicht. HTTP und HTTPS HTTP steht für: Hypertext Transfer Protocol HTTPS steht für: Hypertext Transfer Protocol Secure HTTP wird für Webkommunikation genutzt. HTTPS ist: HTTP über TLS Typische Ports: HTTP: TCP 80 HTTPS: TCP 443 Merksatz: HTTP = Web ohne TLS. HTTPS = Web mit TLS. HTTP-Request und HTTP-Response HTTP arbeitet mit: Request Response Request: Anfrage des Clients Response: Antwort des Servers Beispiel: Browser fordert Webseite an. Webserver liefert Antwort. Merksatz: HTTP arbeitet mit Anfrage und Antwort. HTTP-Methoden Wichtige HTTP-Methoden: Methode Bedeutung GET Daten abrufen POST Daten senden oder erstellen PUT Ressource vollständig ersetzen PATCH Ressource teilweise ändern DELETE Ressource löschen HEAD nur Kopfzeilen abrufen OPTIONS Möglichkeiten abfragen Merksatz: GET liest. POST sendet. PUT ersetzt. PATCH ändert teilweise. DELETE löscht. HTTP-Statuscodes HTTP-Statuscodes zeigen das Ergebnis einer Anfrage. Bereich Bedeutung 1xx Information 2xx Erfolg 3xx Weiterleitung 4xx Clientfehler 5xx Serverfehler Wichtige Beispiele: Statuscode Bedeutung 200 OK 301 dauerhaft weitergeleitet 302 vorübergehend weitergeleitet 400 fehlerhafte Anfrage 401 nicht authentifiziert 403 verboten 404 nicht gefunden 500 interner Serverfehler 502 Bad Gateway 503 Dienst nicht verfügbar 504 Gateway Timeout Merksatz: 2xx = Erfolg. 4xx = Clientproblem. 5xx = Serverproblem. 401 und 403 unterscheiden 401 bedeutet: nicht authentifiziert Der Benutzer ist nicht angemeldet oder die Anmeldung ist ungültig. 403 bedeutet: verboten Der Benutzer ist möglicherweise angemeldet, hat aber keine Berechtigung. Merksatz: 401 = Wer bist du? 403 = Du darfst das nicht. DNS DNS steht für: Domain Name System DNS löst Namen in IP-Adressen auf. Beispiel: www.example.com → IP-Adresse DNS gehört zur Anwendungsschicht, nutzt aber UDP oder TCP auf Port 53. Merksatz: DNS = Name zu IP-Adresse. Wichtige DNS-Records Record Bedeutung A Name zu IPv4-Adresse AAAA Name zu IPv6-Adresse CNAME Alias auf anderen Namen MX Mailserver einer Domain NS zuständiger Nameserver TXT Textinformationen PTR Reverse-DNS-Eintrag SRV Dienststandort SOA Verwaltungsdaten einer Zone Merksatz: A = IPv4. AAAA = IPv6. MX = Mailserver. PTR = Reverse Lookup. Forward Lookup und Reverse Lookup Forward Lookup bedeutet: Name zu IP-Adresse Beispiel: server01.firma.local → 192.168.10.20 Reverse Lookup bedeutet: IP-Adresse zu Name Beispiel: 192.168.10.20 → server01.firma.local Merksatz: Forward = Name zu IP. Reverse = IP zu Name. DNS-TTL TTL steht für: Time To Live Die TTL gibt an, wie lange ein DNS-Eintrag zwischengespeichert werden darf. Folge: DNS-Änderungen sind nicht immer sofort überall sichtbar. Merksatz: TTL steuert DNS-Caching. DHCP DHCP steht für: Dynamic Host Configuration Protocol DHCP verteilt automatisch Netzwerkkonfigurationen. Ein Client kann erhalten: - IP-Adresse - Subnetzmaske - Standard-Gateway - DNS-Server - Domain-Suffix - Lease-Zeit DHCP gehört zur Anwendungsschicht, liefert aber wichtige Schicht-3-Konfiguration. Merksatz: DHCP = automatische IP-Konfiguration. DHCP-DORA Der klassische DHCP-Ablauf heißt: DORA DORA steht für: Discover Offer Request Acknowledge Ablauf: Client sucht DHCP-Server. Server bietet Konfiguration an. Client fordert Angebot an. Server bestätigt Vergabe. Merksatz: DHCP-Ablauf = DORA. DHCP-Relay DHCP startet häufig mit Broadcast. Router leiten Broadcasts normalerweise nicht einfach weiter. Wenn DHCP-Client und DHCP-Server in verschiedenen Netzen liegen, braucht man: DHCP-Relay Bei manchen Herstellern heißt das: IP Helper Address Merksatz: DHCP-Relay bringt DHCP-Anfragen über Netzgrenzen. APIPA Wenn ein Windows-Client keine DHCP-Adresse erhält, kann er sich selbst eine Adresse aus diesem Bereich geben: 169.254.0.0/16 Das nennt man: APIPA Typisches Fehlerbild: Client hat 169.254.x.x Mögliche Ursache: DHCP fehlgeschlagen Merksatz: 169.254.x.x deutet oft auf DHCP-Probleme hin. E-Mail-Protokolle Die wichtigsten E-Mail-Protokolle sind: SMTP POP3 IMAP Grundregel: SMTP sendet. POP3 und IMAP empfangen. Merksatz: SMTP raus. POP3/IMAP rein. SMTP SMTP steht für: Simple Mail Transfer Protocol SMTP wird verwendet für: - E-Mail senden - E-Mail zwischen Mailservern weiterleiten Typische Ports: TCP 25: Mailserver zu Mailserver TCP 587: Submission, also authentifiziertes Einreichen durch Clients TCP 465: SMTPS, also SMTP direkt über TLS Merksatz: SMTP = E-Mail senden und transportieren. POP3 POP3 steht für: Post Office Protocol Version 3 POP3 dient zum Abrufen von E-Mails. Typische Ports: POP3: TCP 110 POP3S: TCP 995 POP3 lädt E-Mails eher einfach ab und ist weniger gut für mehrere Geräte geeignet. Merksatz: POP3 = E-Mail abrufen. IMAP IMAP steht für: Internet Message Access Protocol IMAP dient zum Abrufen und Verwalten von E-Mails auf dem Server. Typische Ports: IMAP: TCP 143 IMAPS: TCP 993 IMAP eignet sich gut für mehrere Geräte, weil E-Mails und Ordner synchronisiert werden. Merksatz: IMAP = E-Mails auf dem Server verwalten und synchronisieren. SPF, DKIM und DMARC Diese Verfahren helfen bei E-Mail-Sicherheit. Verfahren Hauptaufgabe SPF legt erlaubte sendende Server fest DKIM signiert E-Mails kryptografisch DMARC legt Umgang mit SPF-/DKIM-Fehlern fest Merksatz: SPF erlaubt. DKIM signiert. DMARC entscheidet. FTP, SFTP und FTPS Diese Protokolle dienen der Dateiübertragung. Protokoll Bedeutung Sicherheit FTP File Transfer Protocol klassisch unverschlüsselt SFTP SSH File Transfer Protocol über SSH verschlüsselt FTPS FTP mit TLS über TLS geschützt Typische Ports: FTP: TCP 21 SFTP: TCP 22 FTPS implizit: TCP 990 Merksatz: FTP unverschlüsselt. SFTP über SSH. FTPS über TLS. SFTP und FTPS nicht verwechseln SFTP ist: Dateiübertragung über SSH FTPS ist: FTP mit TLS Das sind unterschiedliche Protokolle. Merksatz: SFTP ist nicht FTPS. SMB SMB steht für: Server Message Block SMB dient für: - Datei-Freigaben - Drucker-Freigaben - Netzlaufwerke - NAS-Freigaben - Windows-Freigaben Typischer Port: TCP 445 Beispiel für einen UNC-Pfad: \\server01\freigabe Merksatz: SMB = Datei- und Druckerfreigaben. SMB-Berechtigungen Bei SMB sind meist zwei Ebenen wichtig: Freigabeberechtigungen Dateisystemberechtigungen Beispiel: Freigabe erlaubt Vollzugriff. Dateisystem erlaubt nur Lesen. Ergebnis: Benutzer kann nur lesen. Merksatz: Die strengere Berechtigung begrenzt den Zugriff. LDAP LDAP steht für: Lightweight Directory Access Protocol LDAP dient dem Zugriff auf Verzeichnisdienste. Typische Nutzung: - Benutzer suchen - Gruppen prüfen - Anmeldungen unterstützen - zentrale Identitätsinformationen abfragen Wichtige Ports: LDAP: TCP/UDP 389 LDAPS: TCP 636 Merksatz: LDAP = Zugriff auf Verzeichnisdienste. Active Directory und LDAP Active Directory nutzt LDAP, ist aber nicht nur LDAP. Active Directory nutzt außerdem unter anderem: - DNS - Kerberos - Gruppenrichtlinien - Verzeichnisdatenbank - Replikation Merksatz: LDAP ist ein wichtiger Teil von Active Directory, aber nicht das ganze Active Directory. SNMP SNMP steht für: Simple Network Management Protocol SNMP dient zur Überwachung und Verwaltung von Netzwerkgeräten. Typische Geräte: - Switches - Router - Firewalls - Drucker - Server - USV - Access Points Wichtige Ports: SNMP-Abfrage: UDP 161 SNMP-Trap: UDP 162 Merksatz: SNMP = Netzwerkgeräte überwachen. SNMPv3 SNMPv3 ist sicherer als ältere SNMP-Versionen. SNMPv3 kann bieten: - Authentifizierung - Verschlüsselung - Integritätsschutz - Benutzerkonzept Ältere Varianten mit Community-String sind weniger sicher. Merksatz: SNMPv3 bevorzugen. NTP NTP steht für: Network Time Protocol NTP synchronisiert die Uhrzeit von Systemen. Typischer Port: UDP 123 Korrekte Zeit ist wichtig für: - Zertifikate - Kerberos - Logs - Monitoring - Fehlersuche - Backups - Authentifizierung Merksatz: NTP = Zeitsynchronisation. SSH SSH steht für: Secure Shell SSH dient sicherer Fernadministration über eine Kommandozeile. Typischer Port: TCP 22 SSH wird häufig genutzt für: - Linux-Server - Netzwerkgeräte - Firewalls - NAS-Systeme - SFTP - Automatisierung Merksatz: SSH = sicherer Fernzugriff auf die Shell. RDP RDP steht für: Remote Desktop Protocol RDP dient grafischem Fernzugriff. Typischer Port: TCP 3389 RDP ist besonders bei Windows-Systemen verbreitet. Wichtig: RDP sollte nicht ungeschützt direkt aus dem Internet erreichbar sein. Merksatz: RDP = grafischer Fernzugriff. Telnet Telnet ist ein älteres Fernzugriffsprotokoll. Typischer Port: TCP 23 Problem: Telnet ist unverschlüsselt. Benutzername, Passwort und Befehle können im Klartext übertragen werden. Merksatz: Telnet vermeiden. SSH verwenden. Authentifizierung Authentifizierung bedeutet: Identität prüfen. Frage: Wer bist du? Beispiele: - Benutzername und Passwort - SSH-Schlüssel - Zertifikat - Smartcard - MFA-Code - Token Merksatz: Authentifizierung = Identität prüfen. Autorisierung Autorisierung bedeutet: Rechte prüfen. Frage: Was darfst du? Beispiele: - Datei lesen - Datei ändern - Adminbereich öffnen - API verwenden - Benutzer anlegen - Server verwalten Merksatz: Autorisierung = Rechte prüfen. Authentifizierung und Autorisierung unterscheiden Begriff Frage Beispiel Authentifizierung Wer bist du? Benutzer meldet sich an Autorisierung Was darfst du? Benutzer darf bestimmten Ordner öffnen Merksatz: Angemeldet bedeutet nicht automatisch berechtigt. MFA MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Beispiele: - Passwort - Smartphone-App - Hardware-Token - Fingerabdruck - Smartcard Merksatz: MFA schützt zusätzlich, wenn ein Passwort gestohlen wurde. SSO SSO steht für: Single Sign-on SSO bedeutet: Einmal anmelden, mehrere Dienste nutzen. Typische Bestandteile: - Identity Provider - Service Provider - Token - zentrale Identität Merksatz: SSO = einmal anmelden, mehrere Dienste nutzen. Token und Session Token: digitaler Zugriffsnachweis Session: Sitzung zwischen Client und Anwendung Session-Cookie: Cookie zur Zuordnung einer Sitzung Wichtig: Tokens und Session-Cookies müssen geschützt werden, weil sie Zugriff ermöglichen können. Merksatz: Token und Session-Cookie wie Zugangsdaten schützen. Least Privilege Least Privilege bedeutet: Benutzer und Dienste erhalten nur die Rechte, die sie wirklich benötigen. Beispiel: Dienst braucht nur Leserechte. Dann bekommt er keine Schreibrechte. Merksatz: Nur so viele Rechte wie nötig, so wenige wie möglich. Typische Schicht-7-Fehler Typische Fehler auf Schicht 7 sind: - DNS löst falsch auf - HTTP 404 - HTTP 500 - HTTP 502 - Login funktioniert nicht - Zugriff verweigert - API lehnt Anfrage ab - falscher Content-Type - ungültiges JSON - Mail kommt nicht an - Mail landet im Spam - SMB-Freigabe verweigert Zugriff - LDAP-Bind schlägt fehl - SNMP-Werte fehlen - NTP synchronisiert nicht - SSH Permission Denied - RDP-Anmeldung abgelehnt Merksatz: Schicht-7-Fehler betreffen Dienst, Inhalt, Anmeldung oder Rechte. Fehlersuche auf Schicht 7 Eine sinnvolle Reihenfolge: 1. Fehlermeldung genau lesen. 2. Betroffene Benutzer und Systeme eingrenzen. 3. Dienst und Protokoll bestimmen. 4. DNS und Hostname prüfen. 5. IP-Erreichbarkeit prüfen. 6. Port prüfen. 7. TLS oder Zertifikat prüfen. 8. Dienststatus prüfen. 9. Anmeldung prüfen. 10. Berechtigung prüfen. 11. Datenformat prüfen. 12. Logs prüfen. 13. letzte Änderungen prüfen. Merksatz: Erst eingrenzen, dann Schicht für Schicht prüfen. Wichtigste Abgrenzung zu unteren Schichten Aussage Einordnung Kabel steckt nicht Schicht 1 VLAN falsch Schicht 2 Gateway falsch Schicht 3 Port blockiert Schicht 4 TLS-Zertifikat ungültig Schicht 6 HTTP 404 Schicht 7 Login falsch Schicht 7 Rechte fehlen Schicht 7 DNS-Record falsch Schicht 7 Merksatz: Schicht 7 beginnt dort, wo der konkrete Dienstinhalt geprüft wird. Typische Prüfungsfallen Schicht 7 heißt Anwendungsschicht. Schicht 7 ist nicht einfach das Programm selbst. Anwendungen nutzen Schicht-7-Protokolle. Port gehört zu Schicht 4. Dienstprotokoll gehört zu Schicht 7. DNS gehört zu Schicht 7. DHCP gehört zu Schicht 7, obwohl es IP-Konfiguration verteilt. HTTP gehört zu Schicht 7. HTTPS ist HTTP über TLS. SMTP sendet E-Mails. POP3 und IMAP empfangen E-Mails. POP3 lädt eher herunter. IMAP synchronisiert besser. FTP ist klassisch unverschlüsselt. SFTP ist nicht FTPS. SMB nutzt TCP 445. LDAP ist nicht das ganze Active Directory. SNMPv3 ist sicherer als SNMPv1/v2c. NTP-Probleme können Zertifikats- und Loginprobleme verursachen. SSH ist sicherer als Telnet. RDP nicht ungeschützt ins Internet öffnen. Authentifizierung ist nicht Autorisierung. Anmeldung bedeutet nicht automatisch Berechtigung. Offener Port bedeutet nicht automatisch, dass die Anwendung funktioniert. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Anwendungsschicht OSI-Schicht 7 Dienst Netzwerkfunktion für Anwendungen Protokoll Regelwerk für Kommunikation HTTP Webprotokoll HTTPS HTTP über TLS DNS Namensauflösung DHCP automatische IP-Konfiguration SMTP E-Mail senden POP3 E-Mail abrufen IMAP E-Mail abrufen und verwalten FTP klassische Dateiübertragung SFTP Dateiübertragung über SSH FTPS FTP mit TLS SMB Datei- und Druckerfreigaben LDAP Verzeichnisdienstzugriff SNMP Netzwerkmanagement NTP Zeitsynchronisation SSH sicherer Shell-Zugriff RDP grafischer Fernzugriff Telnet altes unverschlüsseltes Fernzugriffsprotokoll API Schnittstelle zwischen Anwendungen Authentifizierung Identität prüfen Autorisierung Rechte prüfen MFA Multi-Faktor-Authentifizierung SSO Single Sign-on Token digitaler Zugriffsnachweis Session Sitzung zwischen Client und Anwendung Least Privilege nur notwendige Rechte vergeben IHK-sichere Gesamtformulierung Die Anwendungsschicht ist Schicht 7 des OSI-Modells. Sie stellt Netzwerkdienste für Anwendungen bereit. Typische Protokolle sind HTTP, HTTPS, DNS, DHCP, SMTP, POP3, IMAP, FTP, SFTP, FTPS, SMB, LDAP, SNMP, NTP, SSH, RDP und Telnet. Die Anwendungsschicht ist nicht das Programm selbst, sondern beschreibt die Protokolle und Dienste, die Anwendungen zur Kommunikation verwenden. Ports gehören zur Transportschicht, während die eigentlichen Dienstprotokolle zur Anwendungsschicht gehören. Fehler auf Schicht 7 betreffen häufig DNS, HTTP-Statuscodes, Anmeldungen, Berechtigungen, APIs, Datenformate, Maildienste, Dateifreigaben oder Dienstlogs. Wichtigste Merksätze Schicht 7 = Anwendungsschicht. Schicht 7 = Netzwerkdienste für Anwendungen. Anwendung nutzt Protokoll. Protokoll gehört zu Schicht 7. Port gehört zu Schicht 4. HTTP = Webprotokoll. HTTPS = HTTP über TLS. DNS = Name zu IP-Adresse. DHCP = automatische IP-Konfiguration. SMTP sendet. POP3 ruft ab. IMAP synchronisiert. FTP ist klassisch unverschlüsselt. SFTP läuft über SSH. FTPS nutzt TLS. SMB = Datei- und Druckerfreigaben. LDAP = Verzeichnisdienstzugriff. SNMP = Netzwerküberwachung. NTP = Zeitsynchronisation. SSH = sicherer Fernzugriff. RDP = grafischer Fernzugriff. Telnet ist unsicher. Authentifizierung = Wer bist du? Autorisierung = Was darfst du? Anmeldung ist nicht gleich Berechtigung. MFA erhöht die Sicherheit. Least Privilege immer beachten. Offener Port heißt nicht: Anwendung funktioniert. Schicht-7-Fehler mit Dienst, Protokoll, Anmeldung, Rechten, Daten und Logs prüfen. 11. Firewalls, NAT und DMZ 11.1 Firewalls, NAT und DMZ Firewalls, NAT und DMZ gehören zu den wichtigsten Themen der Netzwerksicherheit. Sie werden verwendet, um Netzwerke zu schützen, Zugriffe zu steuern und interne Systeme vom Internet zu trennen. Wichtige Begriffe: - Firewall - Paketfilter - Stateful Inspection - Firewall-Regel - Allow - Deny - NAT - PAT - Portweiterleitung - DMZ - interne Zone - externe Zone - Sicherheitszone Merksatz: Firewall kontrolliert Zugriffe. NAT übersetzt Adressen. DMZ trennt öffentliche Dienste vom internen Netz. Grundidee einer Firewall Eine Firewall kontrolliert Netzwerkverkehr. Sie entscheidet: Darf dieser Datenverkehr durch? Oder wird er blockiert? Dabei prüft sie je nach Art und Konfiguration zum Beispiel: - Quell-IP-Adresse - Ziel-IP-Adresse - Protokoll - Quellport - Zielport - Verbindungsstatus - Richtung - Benutzer - Anwendung - Sicherheitszone Merksatz: Firewall = kontrollierter Übergang zwischen Netzen. Warum braucht man Firewalls? Ohne Firewall könnten Systeme oft zu viele Verbindungen annehmen. Eine Firewall reduziert die Angriffsfläche. Sie schützt vor: - unerwünschten Zugriffen - offenen Diensten - unkontrolliertem Datenverkehr - Angriffen aus fremden Netzen - ungewollter Kommunikation zwischen Netzbereichen - direktem Zugriff auf interne Systeme Merksatz: Firewall-Regeln begrenzen, wer mit wem sprechen darf. Firewall ist nicht gleich Virenschutz Eine Firewall kontrolliert Netzwerkverkehr. Ein Virenschutz prüft Dateien, Programme oder Verhalten auf Schadsoftware. Unterschied: Schutz Hauptaufgabe Firewall Netzwerkverkehr erlauben oder blockieren Virenschutz Schadsoftware erkennen und blockieren EDR Verhalten auf Endgeräten überwachen IDS/IPS Angriffe im Netzwerk erkennen oder blockieren Merksatz: Firewall schützt Netzwerkzugriffe, ersetzt aber keinen Virenschutz. Firewall im OSI-Modell Firewalls können auf verschiedenen Schichten arbeiten. Firewall-Art typische Schicht Prüft vor allem Paketfilter 3 / 4 IP-Adressen, Protokoll, Ports Stateful Firewall 3 / 4 Verbindungsstatus zusätzlich Application Firewall 7 Anwendungsdaten und Protokolle Web Application Firewall 7 HTTP/HTTPS-Anfragen Merksatz: Firewalls können je nach Art auf mehreren Schichten arbeiten. Paketfilter Ein Paketfilter entscheidet anhand einzelner Pakete. Typische Kriterien: - Quell-IP - Ziel-IP - Protokoll - Quellport - Zielport - Richtung - Interface Beispiel: Erlaube TCP von 192.168.10.0/24 nach 10.0.0.5 auf Port 443. Merksatz: Paketfilter prüft IP-Adressen und Ports. Stateful Firewall Eine Stateful Firewall merkt sich den Zustand von Verbindungen. Sie erkennt: Gehört dieses Paket zu einer bestehenden Verbindung? Beispiel: Client aus internem Netz baut HTTPS-Verbindung nach außen auf. Antwortpakete vom Webserver werden erlaubt, weil sie zu dieser bestehenden Verbindung gehören. Vorteil: Rückverkehr muss nicht immer als komplett neue Verbindung erlaubt werden. Merksatz: Stateful Firewall kennt bestehende Verbindungen. Stateful Inspection Stateful Inspection bedeutet: Die Firewall prüft den Verbindungszustand. Sie unterscheidet zum Beispiel: neue Verbindung bestehende Verbindung zugehörige Antwort ungültiges Paket Das ist besonders wichtig bei TCP. Merksatz: Stateful Inspection prüft, ob Verkehr zu einer erlaubten Verbindung gehört. Stateless Firewall Eine Stateless Firewall merkt sich keine Verbindungen. Sie betrachtet Pakete einzeln. Nachteil: Rückverkehr muss oft explizit geregelt werden. Vorteil: einfacher, schneller, aber weniger intelligent. Merksatz: Stateless = jedes Paket einzeln betrachten. Firewall-Regel Eine Firewall-Regel beschreibt, welcher Verkehr erlaubt oder blockiert wird. Typische Bestandteile: - Aktion - Quelle - Ziel - Dienst oder Port - Protokoll - Richtung - Interface oder Zone - Kommentar oder Beschreibung Beispiel: Erlaube Quelle: Internes Netz Ziel: Webserver in DMZ Dienst: HTTPS TCP 443 Merksatz: Firewall-Regel = Bedingung plus Aktion. Allow und Deny Firewall-Regeln haben meist eine Aktion. Wichtige Aktionen: Allow Deny Drop Reject Allow bedeutet: Verkehr erlauben. Deny, Drop oder Reject bedeuten: Verkehr blockieren. Merksatz: Allow erlaubt. Deny blockiert. Drop und Reject unterscheiden Drop bedeutet: Paket wird verworfen, ohne Antwort. Reject bedeutet: Paket wird abgelehnt, mit Antwort an den Absender. Unterschied: Aktion Verhalten Drop still verwerfen Reject aktiv ablehnen Allow erlauben Merksatz: Drop schweigt. Reject antwortet. Default Deny Default Deny bedeutet: Alles ist verboten, was nicht ausdrücklich erlaubt ist. Das ist ein wichtiges Sicherheitsprinzip. Beispiel: Alle Verbindungen blockieren. Nur notwendige Dienste erlauben. Vorteil: unbekannter oder unnötiger Verkehr wird nicht automatisch erlaubt. Merksatz: Erst alles verbieten, dann gezielt erlauben. Default Allow Default Allow bedeutet: Alles ist erlaubt, was nicht ausdrücklich verboten ist. Das ist oft riskanter, weil neue oder vergessene Dienste automatisch erreichbar sein können. Merksatz: Default Allow ist bequem, aber oft unsicherer. Regelreihenfolge Viele Firewalls arbeiten Regeln von oben nach unten ab. Die erste passende Regel entscheidet. Beispiel: Regel 1: Blockiere Ziel TCP 443 Regel 2: Erlaube Ziel TCP 443 Ergebnis: Wenn Regel 1 zuerst passt, wird blockiert. Merksatz: Reihenfolge der Firewall-Regeln ist entscheidend. Spezifische Regeln vor allgemeinen Regeln Spezifische Regeln sollten vor allgemeinen Regeln stehen. Beispiel: Erlaube Admin-PC zu Server auf SSH. Danach: Blockiere restliches SSH. Wenn die allgemeine Blockregel zuerst steht, kommt die spezifische Erlaubnis nie zum Tragen. Merksatz: Spezifisch vor allgemein. Firewall-Zonen Viele Firewalls arbeiten mit Zonen. Typische Zonen: - LAN - WAN - DMZ - Gastnetz - Servernetz - Managementnetz - VPN - IoT-Netz Zonen helfen, Netzbereiche logisch zu trennen. Merksatz: Zone = Sicherheitsbereich im Netzwerk. LAN und WAN LAN steht für: Local Area Network WAN steht für: Wide Area Network Vereinfacht: LAN = internes Netz WAN = externes Netz oder Internetseite Merksatz: LAN innen, WAN außen. Interne Zone Die interne Zone enthält normalerweise vertrauenswürdigere Systeme. Beispiele: - Clients - interne Server - Drucker - Verwaltungsgeräte - interne Anwendungen Trotzdem gilt: Auch intern sollte nicht alles blind erlaubt sein. Merksatz: Intern ist nicht automatisch sicher. Externe Zone Die externe Zone ist meist das Internet oder ein fremdes Netz. Von dort kommen potenziell untrusted Verbindungen. Deshalb werden eingehende Verbindungen besonders streng kontrolliert. Merksatz: Extern = nicht vertrauenswürdig. DMZ DMZ steht für: Demilitarized Zone Eine DMZ ist ein separates Netz, in dem Dienste stehen, die von außen erreichbar sein müssen. Beispiele: - Webserver - Reverse Proxy - Mailgateway - VPN-Gateway - öffentliche API - DNS-Server für externe Anfragen Merksatz: DMZ = eigenes Netz für öffentlich erreichbare Dienste. Warum gibt es eine DMZ? Eine DMZ schützt das interne Netz. Idee: Öffentliche Dienste sollen nicht direkt im internen LAN stehen. Wenn ein Server in der DMZ kompromittiert wird, soll der Angreifer nicht automatisch Zugriff auf das interne Netz erhalten. Merksatz: DMZ begrenzt Schaden bei öffentlichen Diensten. DMZ-Grundaufbau Typischer Aufbau: Internet → Firewall → DMZ → Firewall-Regeln → internes LAN Oder mit drei Zonen: WAN DMZ LAN Regeln werden gezielt zwischen diesen Zonen erstellt. Merksatz: DMZ liegt kontrolliert zwischen Internet und internem Netz. Regeln für eine DMZ Typische Regelidee: Internet darf nur bestimmte Dienste in der DMZ erreichen. Beispiel: Internet → DMZ-Webserver: TCP 443 erlaubt Internet → internes LAN: blockiert DMZ → internes LAN: nur notwendige Verbindungen erlaubt internes LAN → DMZ: Administration nur von Admin-Systemen Merksatz: DMZ darf nicht freie Brücke ins LAN sein. DMZ und internes Netz Ein häufiger Fehler ist: DMZ-Server dürfen alles im internen Netz erreichen. Das ist gefährlich. Besser: Nur notwendige Verbindungen erlauben. Beispiel: Webserver in DMZ darf nur zur Datenbank auf TCP 5432. Oder: Reverse Proxy in DMZ darf nur zu bestimmten internen Webdiensten. Merksatz: Von DMZ ins LAN nur gezielt erlauben. DMZ und Administration Administrationszugriff auf DMZ-Systeme sollte eingeschränkt sein. Beispiele: Admin-Netz → DMZ-Server SSH erlauben normale Clients → DMZ-Server SSH blockieren Internet → DMZ-Server SSH blockieren Sinnvoll: Administration über VPN, Managementnetz oder Bastion Host. Merksatz: DMZ-Administration nur kontrolliert erlauben. Bastion Host Ein Bastion Host ist ein besonders abgesicherter Sprungserver. Er wird genutzt, um administrative Zugriffe zu bündeln. Beispiel: Admin verbindet sich zum Bastion Host. Von dort aus erfolgt Zugriff auf Server in der DMZ. Vorteile: - zentrale Kontrolle - Protokollierung - weniger direkte Zugriffe - bessere Absicherung Merksatz: Bastion Host = abgesicherter Zugangspunkt für Administration. NAT NAT steht für: Network Address Translation NAT übersetzt IP-Adressen. Typische Nutzung: private interne IP-Adressen werden beim Zugriff ins Internet in eine öffentliche IP-Adresse übersetzt. Beispiel: intern: 192.168.10.50 extern sichtbar: öffentliche Router-IP Merksatz: NAT übersetzt IP-Adressen. Warum braucht man NAT? IPv4-Adressen sind knapp. Private IPv4-Adressen werden intern verwendet und sind im Internet nicht direkt geroutet. NAT ermöglicht, dass viele interne Geräte über eine oder wenige öffentliche IPv4-Adressen ins Internet gehen. Merksatz: NAT spart öffentliche IPv4-Adressen. Private IPv4-Adressbereiche Private IPv4-Adressbereiche sind: Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Diese Adressen werden im Internet nicht direkt geroutet. Merksatz: Private IPv4-Adressen sind für interne Netze gedacht. Öffentliche IP-Adresse Eine öffentliche IP-Adresse ist im Internet routbar. Sie wird zum Beispiel vom Provider vergeben. Beispiel: Router hat öffentliche IP-Adresse am WAN. Interne Clients verwenden private Adressen und werden per NAT nach außen übersetzt. Merksatz: Öffentliche IP ist im Internet erreichbar, private IP normalerweise nicht. Source NAT Source NAT ändert die Quelladresse eines Pakets. Typischer Fall: interner Client geht ins Internet. Vor NAT: Quelle: 192.168.10.50 Ziel: 93.184.216.34 Nach NAT: Quelle: öffentliche Router-IP Ziel: 93.184.216.34 Merksatz: Source NAT ändert die Quelle. Destination NAT Destination NAT ändert die Zieladresse eines Pakets. Typischer Fall: Portweiterleitung von außen nach innen. Vor NAT: Ziel: öffentliche IP TCP 443 Nach NAT: Ziel: interner Webserver 192.168.10.20 TCP 443 Merksatz: Destination NAT ändert das Ziel. PAT PAT steht für: Port Address Translation PAT übersetzt zusätzlich Ports. Dadurch können viele interne Clients gleichzeitig eine öffentliche IP-Adresse nutzen. Beispiel: Client A intern: 192.168.10.10:50001 Client B intern: 192.168.10.11:50002 Extern sichtbar über dieselbe öffentliche IP, aber mit unterschiedlichen Ports. Merksatz: PAT = viele interne Geräte über eine öffentliche IP mit Portübersetzung. NAT und PAT unterscheiden Begriff Bedeutung NAT Übersetzung von IP-Adressen PAT Übersetzung von IP-Adressen und Ports Source NAT Quelladresse wird geändert Destination NAT Zieladresse wird geändert Portweiterleitung eingehender Port wird intern weitergeleitet Merksatz: NAT übersetzt Adressen. PAT übersetzt zusätzlich Ports. Portweiterleitung Portweiterleitung bedeutet: Eine Verbindung von außen auf einen bestimmten Port wird an ein internes Ziel weitergeleitet. Beispiel: öffentliche IP TCP 443 → interner Server 192.168.10.20 TCP 443 Typische Nutzung: - Webserver - Reverse Proxy - VPN-Gateway - Mailserver - Spielserver - Testsysteme Merksatz: Portweiterleitung macht internen Dienst von außen erreichbar. Portweiterleitung und Sicherheit Portweiterleitung erhöht die Angriffsfläche. Warum? Ein interner Dienst wird von außen erreichbar. Deshalb wichtig: - nur notwendige Ports öffnen - Dienste aktuell halten - starke Authentifizierung - TLS verwenden - Logs prüfen - Zugriff einschränken - nach Möglichkeit DMZ nutzen - keine Admin-Dienste offen ins Internet Merksatz: Jeder geöffnete Port ist ein potenzielles Risiko. Firewall-Regel und NAT-Regel unterscheiden Eine NAT-Regel übersetzt Adressen oder Ports. Eine Firewall-Regel erlaubt oder blockiert Verkehr. Beides ist nicht dasselbe. Beispiel: NAT-Regel: öffentliche IP TCP 443 → interner Webserver TCP 443 Firewall-Regel: Erlaube Internet → Webserver TCP 443 Wenn NAT gesetzt ist, aber Firewall blockiert, funktioniert der Zugriff trotzdem nicht. Merksatz: NAT leitet um. Firewall erlaubt oder blockiert. Inbound und Outbound Inbound bedeutet: eingehender Verkehr in Richtung eines Netzes oder Systems. Outbound bedeutet: ausgehender Verkehr aus einem Netz oder System. Beispiel: Client im LAN ruft Webseite im Internet auf: outbound aus LAN Internet greift auf Webserver in DMZ zu: inbound zur DMZ Merksatz: Inbound hinein, outbound hinaus. East-West und North-South Traffic North-South Traffic bedeutet: Verkehr zwischen internem Netz und externen Netzen. Beispiel: Client ins Internet East-West Traffic bedeutet: Verkehr innerhalb eines Rechenzentrums oder interner Netze. Beispiel: Webserver spricht mit Datenbankserver. Merksatz: North-South = nach außen oder innen. East-West = intern zwischen Systemen. Firewall und Routing Firewall und Routing sind nicht dasselbe. Routing entscheidet: Wohin wird ein Paket weitergeleitet? Firewall entscheidet: Darf das Paket weiter? Beides muss passen. Beispiel: Route vorhanden, aber Firewall blockiert: Verbindung geht nicht. Firewall erlaubt, aber Route fehlt: Verbindung geht nicht. Merksatz: Routing findet Weg. Firewall erlaubt Weg. Firewall und DNS DNS-Probleme können wie Firewall-Probleme aussehen. Beispiel: Benutzer ruft service.firma.de auf. DNS zeigt auf falsche IP. Dann erreicht der Client vielleicht den falschen Server oder bekommt gar keine Verbindung. Merksatz: Vor Firewall-Fehlersuche auch DNS prüfen. Firewall und TLS Eine Firewall kann TCP 443 erlauben, aber HTTPS kann trotzdem fehlschlagen. Mögliche Ursachen: - Zertifikat ungültig - falscher Hostname - falsches Backend - Reverse Proxy falsch - TLS-Version inkompatibel - Anwendung antwortet falsch Merksatz: Port 443 offen heißt nicht: HTTPS funktioniert korrekt. Firewall und Protokolle Ein Port allein beschreibt nicht immer alles. Beispiele: DNS nutzt UDP und TCP 53. FTP nutzt Steuer- und Datenverbindungen. SIP oder VoIP können zusätzliche Ports nutzen. HTTP/3 nutzt UDP 443. VPN-Protokolle nutzen unterschiedliche Ports und Protokolle. Merksatz: Immer Protokoll, Port und Verbindungsverhalten beachten. Firewall-Logs Firewall-Logs sind wichtig für Fehlersuche und Sicherheit. Sie zeigen zum Beispiel: - erlaubte Verbindungen - blockierte Verbindungen - Quell-IP - Ziel-IP - Port - Protokoll - Regelname - Zeitstempel - Interface oder Zone Merksatz: Firewall-Logs zeigen, ob Verkehr erlaubt oder blockiert wurde. Typische Firewall-Fehler Typische Fehler sind: - falsche Regelreihenfolge - falsche Quelle - falsches Ziel - falscher Port - falsches Protokoll - Regel in falscher Richtung - falsche Zone - NAT fehlt - Rückweg fehlt - DNS zeigt auf falsches Ziel - Dienst läuft nicht - asymmetrisches Routing Merksatz: Firewall-Fehler sind oft Regel-, Richtungs- oder Zonenfehler. Fehlerbild: Dienst von außen nicht erreichbar Mögliche Ursachen: - Portweiterleitung fehlt - Firewall-Regel fehlt - falscher Zielserver - falscher Zielport - Dienst läuft nicht - öffentliche IP falsch - DNS zeigt falsch - Provider blockiert Port - CGNAT - Reverse Proxy falsch - Zertifikat fehlerhaft Merksatz: Externer Zugriff braucht DNS, NAT, Firewall, Dienst und Rückweg. Fehlerbild: Intern funktioniert, extern nicht Mögliche Ursachen: - externe Firewall blockiert - NAT oder Portweiterleitung fehlt - externer DNS-Eintrag falsch - öffentliche IP falsch - CGNAT - Zertifikat nur intern passend - Dienst nur auf interner Adresse gebunden - Reverse Proxy nur intern konfiguriert Merksatz: Intern und extern getrennt prüfen. Fehlerbild: Extern funktioniert, intern nicht Mögliche Ursachen: - internes DNS zeigt falsch - Split DNS fehlt - Hairpin NAT fehlt - interne Firewall blockiert - interne Route fehlt - Zertifikatname passt intern nicht - Proxy- oder Gatewayproblem Merksatz: Extern erreichbar heißt nicht automatisch intern erreichbar. Hairpin NAT Hairpin NAT wird gebraucht, wenn interne Clients über die öffentliche Adresse auf einen internen Dienst zugreifen sollen. Beispiel: interner Client ruft öffentliche Domain auf. DNS liefert öffentliche IP. Router muss Verbindung wieder nach innen leiten. Wenn Hairpin NAT fehlt, funktioniert der Dienst extern, aber intern über den öffentlichen Namen nicht. Merksatz: Hairpin NAT ermöglicht internen Zugriff über öffentliche Adresse. Split DNS als Alternative Split DNS kann Hairpin NAT vermeiden. Dabei liefert DNS intern und extern unterschiedliche Antworten. Beispiel: service.firma.de extern: öffentliche IP service.firma.de intern: interne IP Vorteil: interne Clients gehen direkt zur internen Adresse. Merksatz: Split DNS liefert intern passende interne Adressen. CGNAT CGNAT steht für: Carrier Grade NAT Dabei hat der Anschluss keine eigene echte öffentliche IPv4-Adresse. Der Provider nutzt NAT für viele Kunden. Folge: eingehende Portweiterleitungen funktionieren oft nicht direkt. Mögliche Lösungen: - echte öffentliche IPv4 buchen - IPv6 nutzen - VPN-Tunnel - Cloud-Tunnel - Reverse Proxy über externen Server Merksatz: CGNAT verhindert oft direkte eingehende IPv4-Verbindungen. Asymmetrisches Routing Asymmetrisches Routing bedeutet: Hinweg und Rückweg laufen über unterschiedliche Wege. Das kann Firewalls stören, weil eine Stateful Firewall den Verbindungszustand auf einem Weg sieht, aber die Antwort über einen anderen Weg zurückkommt. Folge: Verbindung wird möglicherweise blockiert. Merksatz: Stateful Firewalls brauchen passenden Hin- und Rückweg. Any-Any-Regel Eine Any-Any-Regel erlaubt sehr viel. Beispiel: Quelle: any Ziel: any Dienst: any Aktion: allow Das ist gefährlich, weil fast jeder Verkehr erlaubt wird. Any-Any-Regeln sollten vermieden oder sehr gut begründet werden. Merksatz: Any-Any ist bequem, aber riskant. Least Privilege bei Firewall-Regeln Auch bei Firewall-Regeln gilt: nur erlauben, was wirklich benötigt wird. Beispiel schlecht: Erlaube gesamtes LAN zur DMZ auf alle Ports. Besser: Erlaube Admin-PC zur DMZ auf TCP 22. Erlaube Webserver zur Datenbank auf TCP 5432. Merksatz: Firewall-Regeln so eng wie möglich setzen. Dokumentation von Firewall-Regeln Firewall-Regeln sollten dokumentiert werden. Wichtige Angaben: - Zweck - Quelle - Ziel - Dienst - Verantwortlicher - Erstellungsdatum - Ablaufdatum bei temporären Regeln - Ticket oder Änderungsgrund - Risiko - Kommentar Merksatz: Undokumentierte Firewall-Regeln werden schnell zum Sicherheitsproblem. Temporäre Firewall-Regeln Temporäre Regeln sollten ein Ablaufdatum haben. Problem: Testregel wird erstellt. Niemand entfernt sie. Dienst bleibt unnötig offen. Besser: temporäre Regel mit Ablaufdatum, Kommentar und Review. Merksatz: Temporär darf nicht dauerhaft vergessen werden. Firewall-Review Firewall-Regeln sollten regelmäßig überprüft werden. Ziel: - alte Regeln entfernen - unnötige Freigaben schließen - Any-Any-Regeln vermeiden - Dokumentation aktualisieren - Sicherheitsrisiken reduzieren - Regelreihenfolge prüfen Merksatz: Firewall-Regeln brauchen regelmäßige Pflege. Typische Sicherheitszonen Zone Zweck WAN externes Netz / Internet LAN internes Clientnetz DMZ öffentlich erreichbare Dienste Servernetz interne Server Managementnetz Administration Gastnetz Gäste ohne Zugriff auf intern IoT-Netz Geräte mit eingeschränktem Vertrauen VPN-Zone entfernte Benutzer nach VPN-Einwahl Merksatz: Zonen trennen Systeme nach Schutzbedarf. Gastnetz Ein Gastnetz ist ein separates Netz für Besucher oder private Geräte. Ziel: Internetzugang ermöglichen, aber internes Netz schützen. Typische Regeln: Gastnetz → Internet erlaubt Gastnetz → internes LAN blockiert Gastnetz → Managementnetz blockiert Merksatz: Gastnetz darf nicht ins interne Netz führen. Managementnetz Ein Managementnetz dient zur Administration von Systemen. Dort können liegen: - Switch-Management - Firewall-Management - Server-Management - Hypervisor-Management - Storage-Management - IPMI / iLO / iDRAC Dieses Netz sollte besonders geschützt sein. Merksatz: Managementzugänge besonders abschotten. IoT-Netz Ein IoT-Netz trennt Geräte mit höherem Risiko vom restlichen Netz. Beispiele: - Kameras - smarte Sensoren - Türsysteme - Mediengeräte - Smart-Home-Geräte - Drucker je nach Umgebung Regelidee: IoT darf nur notwendige Ziele erreichen. Merksatz: IoT-Geräte nicht blind ins Hauptnetz lassen. Firewall und VPN VPN-Zugänge sollten in Firewall-Regeln berücksichtigt werden. Beispiel: VPN-Benutzer dürfen nur bestimmte interne Dienste erreichen. Nicht automatisch: VPN darf alles im LAN. Besser: VPN-Zone mit gezielten Regeln. Merksatz: VPN-Zugriff ebenfalls nach Least Privilege regeln. Firewall und Monitoring Firewalls sollten überwacht werden. Wichtige Punkte: - CPU und RAM - Verbindungsanzahl - blockierte Angriffe - VPN-Verbindungen - Regel-Treffer - ungewöhnlicher Traffic - Interface-Auslastung - Lizenzstatus - Updates - Log-Speicher Merksatz: Firewall ist kritische Infrastruktur und muss überwacht werden. Firewall-Fehlersuche systematisch Eine sinnvolle Reihenfolge: 1. Quelle bestimmen. 2. Ziel bestimmen. 3. Protokoll bestimmen. 4. Port bestimmen. 5. Richtung bestimmen. 6. Zone oder Interface bestimmen. 7. DNS-Auflösung prüfen. 8. Routing prüfen. 9. NAT-Regeln prüfen. 10. Firewall-Regeln prüfen. 11. Logs prüfen. 12. Dienst auf Zielsystem prüfen. 13. Rückweg prüfen. Merksatz: Quelle, Ziel, Port, Richtung und Logs sind entscheidend. Was Firewalls nicht machen Firewalls machen nicht automatisch: - Anwendungen fehlerfrei - Benutzer sicher - Passwörter stark - Systeme gepatcht - Malware unmöglich - Daten verschlüsselt - Berechtigungen korrekt - Backups vorhanden - Logs automatisch ausgewertet Merksatz: Firewall ist wichtig, aber nur ein Teil des Sicherheitskonzepts. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht eine Firewall? - Was ist der Unterschied zwischen Firewall und NAT? - Was bedeutet Stateful Inspection? - Was ist eine DMZ? - Warum stellt man öffentliche Server in eine DMZ? - Was ist NAT? - Was ist PAT? - Was ist eine Portweiterleitung? - Was ist der Unterschied zwischen Source NAT und Destination NAT? - Warum ist Default Deny sicherer? - Warum ist die Regelreihenfolge wichtig? - Warum sollte man Any-Any-Regeln vermeiden? - Warum funktioniert ein Dienst trotz NAT-Regel nicht? - Was ist der Unterschied zwischen Routing und Firewall? - Warum können interne und externe Zugriffe unterschiedlich funktionieren? - Was ist Hairpin NAT? - Was ist Split DNS? - Was bedeutet CGNAT? Typische Prüfungsfallen Firewall ist nicht NAT. NAT ist nicht automatisch Firewall. NAT übersetzt Adressen. Firewall erlaubt oder blockiert Verkehr. PAT übersetzt zusätzlich Ports. Portweiterleitung macht interne Dienste von außen erreichbar. NAT-Regel allein reicht nicht, wenn Firewall blockiert. Firewall-Regeln haben eine Richtung. Regelreihenfolge ist wichtig. Spezifische Regeln vor allgemeine Regeln. Default Deny ist sicherer als Default Allow. Any-Any-Regeln vermeiden. DMZ ist nicht das interne LAN. DMZ-Server dürfen nicht automatisch alles im LAN erreichen. Öffentliche Dienste gehören besser in die DMZ. Routing entscheidet den Weg. Firewall entscheidet die Erlaubnis. Port 443 offen heißt nicht, dass HTTPS korrekt funktioniert. CGNAT kann eingehende Portweiterleitungen verhindern. Hairpin NAT betrifft internen Zugriff über öffentliche Adresse. Split DNS kann Hairpin NAT vermeiden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Firewall kontrolliert Netzwerkverkehr Paketfilter prüft IP-Adressen, Ports und Protokolle Stateful Firewall merkt sich Verbindungszustände Stateful Inspection Prüfung, ob Verkehr zu bestehender Verbindung gehört Regel Bedingung mit Aktion Allow erlauben Deny blockieren Drop still verwerfen Reject aktiv ablehnen Default Deny alles blockieren außer ausdrücklich erlaubt Zone Sicherheitsbereich im Netzwerk DMZ separates Netz für öffentliche Dienste NAT Übersetzung von IP-Adressen PAT Übersetzung von IP-Adressen und Ports Source NAT Quelladresse wird geändert Destination NAT Zieladresse wird geändert Portweiterleitung externer Port wird intern weitergeleitet Hairpin NAT interner Zugriff über öffentliche Adresse Split DNS intern und extern unterschiedliche DNS-Antworten CGNAT Provider-NAT für mehrere Kunden Any-Any sehr weit gefasste Regel Bastion Host abgesicherter Sprungserver Managementnetz Netz für Administration IHK-sichere Kurzformulierung Eine Firewall kontrolliert Netzwerkverkehr zwischen Systemen oder Netzbereichen und entscheidet anhand von Regeln, ob Verbindungen erlaubt oder blockiert werden. Typische Kriterien sind Quelle, Ziel, Protokoll, Port, Richtung und Zone. Eine Stateful Firewall berücksichtigt zusätzlich den Zustand bestehender Verbindungen. NAT übersetzt IP-Adressen, während PAT zusätzlich Ports übersetzt. Eine Portweiterleitung ist eine Form von Destination NAT, bei der ein externer Port an ein internes Ziel weitergeleitet wird. Eine DMZ ist ein separates Netz für Dienste, die von außen erreichbar sein müssen, damit diese nicht direkt im internen LAN stehen. Firewall, NAT, Routing und DNS müssen gemeinsam korrekt konfiguriert sein, damit ein Dienst erreichbar ist. Merksätze Firewall kontrolliert Verkehr. NAT übersetzt Adressen. PAT übersetzt Adressen und Ports. Firewall ist nicht NAT. NAT ist nicht automatisch Firewall. Routing findet den Weg. Firewall erlaubt den Weg. Default Deny ist sicherer. Regelreihenfolge ist wichtig. Spezifisch vor allgemein. Any-Any vermeiden. Drop schweigt. Reject antwortet. Stateful Firewall kennt Verbindungen. DMZ = separates Netz für öffentliche Dienste. DMZ schützt internes LAN. DMZ darf keine freie Brücke ins LAN sein. Portweiterleitung macht internen Dienst extern erreichbar. NAT-Regel plus Firewall-Regel müssen passen. Source NAT ändert Quelle. Destination NAT ändert Ziel. Private IPv4-Adressen sind intern gedacht. Öffentliche IP-Adressen sind im Internet routbar. CGNAT erschwert eingehende Verbindungen. Hairpin NAT = intern über öffentliche Adresse. Split DNS = intern andere Antwort als extern. Jeder offene Port ist ein Risiko. Firewall-Regeln dokumentieren und regelmäßig prüfen. 11.2 Firewall-Regeln und Regelwerke Firewall-Regeln bestimmen, welcher Netzwerkverkehr erlaubt oder blockiert wird. Eine Firewall-Regel beantwortet im Kern diese Fragen: Wer möchte kommunizieren? Mit wem? Über welches Protokoll? Über welchen Port? In welche Richtung? Aus welcher Zone? In welche Zone? Soll der Verkehr erlaubt oder blockiert werden? Merksatz: Firewall-Regeln steuern, wer mit wem über welchen Dienst kommunizieren darf. Warum sind Firewall-Regeln so wichtig? Eine Firewall ist nur so gut wie ihr Regelwerk. Wenn Regeln zu offen sind, entsteht ein Sicherheitsrisiko. Wenn Regeln zu streng oder falsch sind, funktionieren Dienste nicht. Beispiele: Webserver ist nicht erreichbar, weil TCP 443 blockiert wird. Datenbank ist zu offen erreichbar, weil zu viele Quellen erlaubt sind. Adminzugang ist aus dem Internet erreichbar, weil eine alte Testregel vergessen wurde. Merksatz: Firewall-Regeln müssen sicher und funktionsfähig sein. Bestandteile einer Firewall-Regel Eine typische Firewall-Regel enthält: - Aktion - Quelle - Ziel - Dienst - Protokoll - Port - Richtung - Zone oder Interface - Kommentar - Logging - Zeitplan - Priorität oder Reihenfolge Beispiel: Aktion: Erlauben Quelle: Admin-Netz Ziel: Webserver in DMZ Dienst: SSH TCP 22 Richtung: LAN → DMZ Merksatz: Eine Firewall-Regel braucht Quelle, Ziel, Dienst und Aktion. Aktion Die Aktion sagt, was mit passendem Verkehr passieren soll. Typische Aktionen: Aktion Bedeutung Allow erlauben Deny blockieren Drop still verwerfen Reject aktiv ablehnen Log protokollieren NAT übersetzen oder weiterleiten Merksatz: Aktion = Was macht die Firewall mit dem Verkehr? Quelle Die Quelle beschreibt, woher der Verkehr kommt. Beispiele: - einzelne IP-Adresse - Subnetz - Sicherheitszone - Interface - Benutzergruppe - VPN-Gruppe - Hostobjekt Beispiel: Quelle: 192.168.10.0/24 bedeutet: alle Geräte aus diesem Subnetz. Merksatz: Quelle = Wer startet die Verbindung? Ziel Das Ziel beschreibt, wohin der Verkehr gehen soll. Beispiele: - einzelner Server - Subnetz - DMZ-Zone - Internet - Servergruppe - Datenbankserver - Reverse Proxy Beispiel: Ziel: 192.168.20.10 bedeutet: genau dieser Zielhost. Merksatz: Ziel = Welches System soll erreicht werden? Dienst Der Dienst beschreibt, welche Anwendung oder welcher Port verwendet wird. Beispiele: HTTP HTTPS DNS SSH RDP SMB SMTP LDAP NTP Ein Dienstobjekt besteht meist aus: Protokoll plus Port Beispiel: HTTPS: TCP 443 Merksatz: Dienst = Protokoll und Port des gewünschten Verkehrs. Protokoll Das Protokoll beschreibt, ob zum Beispiel TCP, UDP oder ICMP verwendet wird. Beispiele: Protokoll Beispiel TCP HTTP, HTTPS, SSH, SMB UDP DNS, DHCP, NTP, SNMP ICMP Ping, Fehlermeldungen ESP IPsec GRE bestimmte Tunnel Merksatz: Port allein reicht nicht, das Transportprotokoll muss auch stimmen. Port Der Port gehört zur Transportschicht. Beispiele: Dienst Port HTTP TCP 80 HTTPS TCP 443 SSH TCP 22 RDP TCP 3389 DNS UDP/TCP 53 NTP UDP 123 SMB TCP 445 Wichtig: TCP 53 und UDP 53 sind nicht dasselbe. TCP 443 und UDP 443 sind nicht dasselbe. Merksatz: Port immer zusammen mit TCP oder UDP betrachten. Richtung Die Richtung beschreibt, von welcher Zone oder welchem Interface der Verkehr wohin geht. Beispiele: LAN → WAN WAN → DMZ DMZ → LAN VPN → Servernetz Gastnetz → Internet Managementnetz → Switches Viele Fehler entstehen, weil Regeln in der falschen Richtung erstellt werden. Merksatz: Firewall-Regeln sind richtungsabhängig. Zone Eine Zone ist ein Sicherheitsbereich. Beispiele: - LAN - WAN - DMZ - Gastnetz - Servernetz - Managementnetz - VPN - IoT-Netz Regeln werden häufig von Zone zu Zone definiert. Beispiel: LAN → WAN: HTTPS erlauben WAN → LAN: blockieren Merksatz: Zonen helfen, Netzbereiche mit unterschiedlichem Schutzbedarf zu trennen. Interface Ein Interface ist eine konkrete Netzwerkschnittstelle der Firewall. Beispiele: WAN-Port LAN-Port DMZ-Port VLAN-Interface VPN-Interface Manche Firewalls arbeiten stärker mit Interfaces, andere stärker mit Zonen. Merksatz: Interface = konkrete Schnittstelle, Zone = logischer Sicherheitsbereich. Regelreihenfolge Viele Firewalls prüfen Regeln von oben nach unten. Die erste passende Regel entscheidet. Beispiel: Regel 1: Blockiere LAN → Server TCP 443 Regel 2: Erlaube LAN → Server TCP 443 Ergebnis: Verkehr wird blockiert, weil Regel 1 zuerst passt. Merksatz: Die erste passende Regel gewinnt. Spezifisch vor allgemein Spezifische Regeln sollten vor allgemeinen Regeln stehen. Beispiel richtig: Regel 1: Erlaube Admin-PC → Server SSH Regel 2: Blockiere restliches SSH Beispiel falsch: Regel 1: Blockiere restliches SSH Regel 2: Erlaube Admin-PC → Server SSH Im falschen Beispiel wird die Erlaubnis nie erreicht. Merksatz: Spezifische Regeln vor allgemeine Regeln setzen. Explizite Regeln Explizite Regeln sind bewusst angelegte Regeln. Beispiel: Erlaube Webserver → Datenbank TCP 5432 Diese Regel beschreibt genau: wer wohin über welchen Dienst kommunizieren darf. Merksatz: Explizite Regeln sind gezielte Erlaubnisse oder Verbote. Implizite Regel Viele Firewalls haben am Ende eine implizite Regel. Diese lautet häufig sinngemäß: Alles blockieren, was nicht vorher erlaubt wurde. Das nennt man oft: implicit deny Diese Regel ist nicht immer sichtbar, wirkt aber trotzdem. Merksatz: Am Ende steht oft ein unsichtbares „alles blockieren“. Default Deny Default Deny bedeutet: Standardmäßig ist alles verboten, außer es wurde ausdrücklich erlaubt. Das ist sicherer, weil neue oder vergessene Dienste nicht automatisch erreichbar sind. Beispiel: LAN → WAN nur HTTP, HTTPS und DNS erlauben. Alles andere blockieren. Merksatz: Default Deny ist ein wichtiges Sicherheitsprinzip. Default Allow Default Allow bedeutet: Standardmäßig ist alles erlaubt, außer es wurde ausdrücklich blockiert. Das ist einfacher, aber riskanter. Problem: Unbekannte Dienste können unbeabsichtigt erreichbar sein. Merksatz: Default Allow ist bequem, aber oft unsicherer. Allow-Regel Eine Allow-Regel erlaubt bestimmten Verkehr. Beispiel: Erlaube Quelle: LAN Ziel: Internet Dienst: HTTPS TCP 443 Bedeutung: Clients im LAN dürfen HTTPS-Verbindungen ins Internet aufbauen. Merksatz: Allow-Regel öffnet gezielt Kommunikation. Deny-Regel Eine Deny-Regel blockiert bestimmten Verkehr. Beispiel: Blockiere Quelle: Gastnetz Ziel: LAN Dienst: any Bedeutung: Gäste dürfen nicht auf interne Systeme zugreifen. Merksatz: Deny-Regel verhindert bestimmte Kommunikation. Drop-Regel Drop bedeutet: Paket wird still verworfen. Der Absender bekommt keine direkte Antwort. Vorteil: weniger Informationen für Angreifer Nachteil: Fehlersuche kann schwieriger sein, weil Verbindungen einfach timeouten. Merksatz: Drop = still verwerfen. Reject-Regel Reject bedeutet: Paket wird aktiv abgelehnt. Der Absender erhält eine Rückmeldung. Vorteil: Fehlersuche oft klarer Nachteil: Absender erfährt, dass ein System oder Filter aktiv antwortet. Merksatz: Reject = aktiv ablehnen. Logging bei Firewall-Regeln Logging bedeutet: Treffer einer Regel werden protokolliert. Logs können zeigen: - Quelle - Ziel - Port - Protokoll - Zeit - Aktion - Regelname - Zone - Interface Logging ist wichtig für: - Fehlersuche - Sicherheitsanalyse - Nachvollziehbarkeit - Angriffserkennung Merksatz: Ohne Firewall-Logs ist Fehlersuche oft blind. Nicht jede Regel sollte alles loggen Zu viel Logging kann problematisch sein. Nachteile: - sehr große Logmengen - wichtige Ereignisse gehen unter - Speicherverbrauch - Performancebelastung - unübersichtliche Analyse Sinnvoll: wichtige erlaubte Zugriffe loggen wichtige Blockierungen loggen Standardrauschen begrenzen Merksatz: Logging gezielt einsetzen. Objekte in Firewall-Regeln Viele Firewalls nutzen Objekte. Beispiele: Hostobjekt: webserver01 = 192.168.20.10 Netzwerkobjekt: LAN = 192.168.10.0/24 Dienstobjekt: HTTPS = TCP 443 Vorteil: Regeln werden lesbarer und leichter pflegbar. Merksatz: Objekte machen Firewall-Regeln übersichtlicher. Adressobjekte Adressobjekte beschreiben IP-Adressen oder Netze. Beispiele: Admin-PC = 192.168.10.50 Webserver = 192.168.20.10 Servernetz = 192.168.20.0/24 Gastnetz = 192.168.50.0/24 Merksatz: Adressobjekte benennen IP-Adressen und Netze. Dienstobjekte Dienstobjekte beschreiben Ports und Protokolle. Beispiele: HTTPS = TCP 443 DNS = UDP/TCP 53 SSH = TCP 22 NTP = UDP 123 Merksatz: Dienstobjekte benennen Protokoll-Port-Kombinationen. Gruppenobjekte Objekte können zu Gruppen zusammengefasst werden. Beispiel: Webdienste: HTTP HTTPS Oder: Admin-Hosts: Admin-PC-1 Admin-PC-2 Bastion-Host Vorteil: weniger doppelte Regeln bessere Übersicht Merksatz: Gruppenobjekte vereinfachen Regelwerke. Any Any bedeutet: beliebig Beispiele: Quelle: any Ziel: any Dienst: any Any kann sinnvoll sein, ist aber gefährlich, wenn es zu großzügig verwendet wird. Besonders riskant: Quelle any Ziel any Dienst any Aktion allow Merksatz: Any sparsam verwenden. Any-Any-Regel Eine Any-Any-Regel erlaubt sehr viel. Beispiel: Quelle: any Ziel: any Dienst: any Aktion: allow Das ist meistens ein Sicherheitsproblem. Solche Regeln sollten vermieden, dokumentiert oder zeitlich begrenzt werden. Merksatz: Any-Any ist fast immer zu offen. Temporäre Regeln Temporäre Firewall-Regeln entstehen oft für Tests oder Störungen. Problem: Sie werden später vergessen. Deshalb sollten temporäre Regeln enthalten: - Zweck - Verantwortlicher - Ablaufdatum - Ticketnummer - Kommentar - Review-Datum Merksatz: Temporäre Regeln brauchen Ablaufdatum. Kommentare in Firewall-Regeln Kommentare helfen, den Zweck einer Regel zu verstehen. Ein guter Kommentar enthält: - Warum existiert die Regel? - Wer hat sie angefordert? - Welcher Dienst wird benötigt? - Gibt es ein Ticket? - Ist sie dauerhaft oder temporär? Schlecht: Test Besser: Ticket 1234: Webserver DMZ darf Datenbank TCP 5432 erreichen. Merksatz: Firewall-Regeln ohne Kommentar werden später unklar. Regeln nach Diensten planen Regeln sollten vom benötigten Dienst aus geplant werden. Beispiel: Anwendung braucht Datenbankzugriff. Dann fragt man: Welche Quelle? Welches Ziel? Welcher Port? Welches Protokoll? Welche Richtung? Dauerhaft oder temporär? Muss es geloggt werden? Merksatz: Erst Bedarf klären, dann Regel erstellen. Regel zu breit Eine zu breite Regel erlaubt mehr als nötig. Beispiel schlecht: LAN → Servernetz any erlauben Besser: Anwendungsserver → Datenbank TCP 5432 erlauben Warum? Wenn ein Client kompromittiert wird, kann er bei breiten Regeln mehr Ziele erreichen. Merksatz: Breite Regeln erhöhen die Angriffsfläche. Regel zu eng Eine zu enge oder falsche Regel kann Dienste stören. Beispiel: DNS nur UDP 53 erlaubt, aber TCP 53 wird für bestimmte Antworten benötigt. Oder: FTP-Port 21 erlaubt, aber passive Datenports fehlen. Merksatz: Regeln müssen sicher, aber technisch vollständig sein. Rückverkehr Bei Stateful Firewalls wird Rückverkehr oft automatisch erlaubt, wenn er zu einer bestehenden Verbindung gehört. Beispiel: Client → Webserver TCP 443 erlaubt Antwort: Webserver → Client gehört zur bestehenden Verbindung und wird erlaubt. Bei stateless Regeln muss Rückverkehr oft separat betrachtet werden. Merksatz: Stateful Firewalls erleichtern Rückverkehr. Asymmetrischer Rückweg Eine Stateful Firewall erwartet, dass Hin- und Rückverkehr über dieselbe Firewall laufen. Wenn der Rückweg anders läuft, kennt die Firewall die Verbindung nicht. Folge: Antwortverkehr kann blockiert werden. Merksatz: Stateful Firewalls brauchen passenden Hin- und Rückweg. Regelrichtung bei Client-Server-Kommunikation Bei Client-Server-Kommunikation startet meistens der Client die Verbindung. Beispiel: Client im LAN ruft Webserver in DMZ auf. Regel: Quelle: LAN-Client Ziel: DMZ-Webserver Dienst: HTTPS TCP 443 Nicht umgekehrt. Merksatz: Regelrichtung nach Verbindungsaufbau bestimmen. Quellport und Zielport Bei Client-Server-Verbindungen ist der Zielport meist der bekannte Dienstport. Beispiel: Client-Quellport: zufällig hoher Port Server-Zielport: TCP 443 Firewall-Regeln beziehen sich meist auf den Zielport des Dienstes. Merksatz: Standardport ist meistens Zielport beim Server. Ephemeral Ports Ephemeral Ports sind kurzlebige hohe Ports, die Clients für ausgehende Verbindungen verwenden. Beispiel: Client 192.168.10.50:53124 → Webserver 203.0.113.10:443 Der Quellport 53124 ist ein temporärer Clientport. Merksatz: Clients nutzen temporäre Quellports. ICMP in Firewall-Regeln ICMP ist wichtig für Diagnose und Netzwerkfunktion. Beispiele: - Ping - Ziel nicht erreichbar - Fragmentierung nötig - Time Exceeded bei Traceroute ICMP komplett zu blockieren kann Fehlersuche erschweren und bestimmte Netzwerkfunktionen stören. Merksatz: ICMP ist mehr als nur Ping. Ping erlauben oder blockieren? Ping kann bei Fehlersuche helfen. Aber: Ping offen zeigt, dass ein System erreichbar ist. In vielen Umgebungen wird Ping intern erlaubt, extern aber eingeschränkt. Wichtig ist eine bewusste Entscheidung. Merksatz: ICMP bewusst regeln, nicht blind alles blockieren. DNS-Regeln DNS braucht je nach Fall UDP und TCP 53. Typische Regel: Clients → interner DNS-Server UDP/TCP 53 erlauben Nicht ideal: Alle Clients → beliebige externe DNS-Server erlauben Warum? Interne DNS-Kontrolle, Filterung und Protokollierung können umgangen werden. Merksatz: DNS gezielt zu erlaubten Resolvern steuern. HTTP- und HTTPS-Regeln Typische ausgehende Webregel: Clients → Internet TCP 80 und TCP 443 erlauben Sicherer: über Proxy steuern oder Zielkategorien beschränken Wichtig: TCP 443 erlaubt nicht automatisch sichere Anwendung, weil auch unerwünschter Verkehr über 443 laufen kann. Merksatz: HTTPS-Port offen heißt nicht automatisch sicherer Inhalt. Administrationsregeln Administrative Zugriffe sollten besonders eingeschränkt werden. Beispiele: SSH nur aus Managementnetz RDP nur über VPN Firewall-Webinterface nur von Admin-PCs Datenbankport nicht für Clients öffnen Hypervisor-Management getrennt halten Merksatz: Adminzugriffe nur aus Managementbereichen erlauben. Datenbankregeln Datenbanken sollten nicht allgemein erreichbar sein. Beispiel: Webserver → Datenbank TCP 5432 erlauben Aber nicht: gesamtes LAN → Datenbank any erlauben Datenbankzugriff ist besonders sensibel. Merksatz: Datenbanken nur für notwendige Systeme öffnen. DMZ-Regeln In einer DMZ gilt: Internet → DMZ: nur öffentliche Dienste erlauben DMZ → LAN: nur zwingend notwendige Verbindungen erlauben LAN → DMZ: Administration nur gezielt erlauben Beispiel: Internet → Reverse Proxy TCP 443 erlauben Reverse Proxy → interner Webdienst TCP 8080 erlauben Reverse Proxy → gesamtes LAN any blockieren Merksatz: DMZ-Regeln müssen besonders eng sein. Gastnetz-Regeln Typische Gastnetzregeln: Gastnetz → Internet: HTTP/HTTPS/DNS erlauben Gastnetz → LAN: blockieren Gastnetz → Managementnetz: blockieren Gastnetz → Servernetz: blockieren Merksatz: Gäste bekommen Internet, aber keinen internen Zugriff. IoT-Regeln IoT-Geräte sollten eingeschränkt werden. Beispiele: IoT → Internet nur notwendige Dienste IoT → LAN blockieren Admin-Netz → IoT-Verwaltung erlauben IoT → DNS nur zu internem Resolver IoT → NTP nur zu freigegebenem Zeitserver Merksatz: IoT-Geräte nur kontrolliert kommunizieren lassen. VPN-Regeln VPN-Zugriff sollte nicht automatisch alles erlauben. Besser: VPN-Gruppe Support → bestimmte Server RDP VPN-Gruppe Admin → Managementnetz SSH VPN-Gruppe Extern → nur benötigte Anwendung Merksatz: VPN-Zugriff nach Rolle und Bedarf einschränken. Regelprüfung bei Störung Wenn ein Dienst nicht funktioniert, prüft man bei der Firewall: - kommt Verkehr an? - welche Regel greift? - wird erlaubt oder blockiert? - stimmt Quelle? - stimmt Ziel? - stimmt Port? - stimmt Protokoll? - stimmt Richtung? - greift vorher eine Blockregel? - ist NAT zusätzlich nötig? - gibt es Rückverkehr? Merksatz: Bei Störung immer die tatsächlich getroffene Regel prüfen. Hit Count Viele Firewalls zeigen, wie oft eine Regel getroffen wurde. Das nennt man oft: Hit Count Nützlich für: - aktive Regeln erkennen - ungenutzte Regeln finden - Regelprüfung - Aufräumen - Fehlersuche Aber: Kein Hit Count heißt nicht immer, dass Regel sicher gelöscht werden kann. Merksatz: Hit Count hilft, ersetzt aber keine fachliche Prüfung. Shadowed Rule Eine shadowed rule ist eine Regel, die nie erreicht wird, weil eine vorherige Regel den Verkehr bereits behandelt. Beispiel: Regel 1: Blockiere LAN → Server any Regel 2: Erlaube LAN → Server HTTPS Regel 2 wird nie wirken, wenn Regel 1 vorher greift. Merksatz: Shadowed Rule = Regel wird durch frühere Regel verdeckt. Redundante Regel Eine redundante Regel ist überflüssig, weil eine andere Regel denselben Verkehr bereits behandelt. Problem: Regelwerk wird unübersichtlich. Merksatz: Redundante Regeln erschweren Wartung und Fehlersuche. Regelkonflikt Ein Regelkonflikt entsteht, wenn Regeln widersprüchlich oder unklar wirken. Beispiel: Eine Regel erlaubt Zugriff. Eine andere blockiert scheinbar denselben Zugriff. Entscheidend ist dann: Reihenfolge Genauigkeit Zonen Objekte tatsächlicher Treffer Merksatz: Bei Konflikten zählt die Regel, die tatsächlich zuerst passt. Firewall-Änderungsprozess Firewall-Änderungen sollten kontrolliert ablaufen. Typischer Ablauf: 1. Anforderung stellen. 2. Zweck beschreiben. 3. Quelle, Ziel und Dienst angeben. 4. Risiko bewerten. 5. Änderung genehmigen. 6. Regel umsetzen. 7. Funktion testen. 8. Dokumentation aktualisieren. 9. Regel später überprüfen. Merksatz: Firewall-Änderungen brauchen Kontrolle und Dokumentation. Vor einer Regeländerung klären Vor einer Firewall-Regeländerung sollte klar sein: Wer braucht Zugriff? Von wo nach wo? Welcher Dienst? Welcher Port? TCP oder UDP? Dauerhaft oder temporär? Muss NAT eingerichtet werden? Gibt es Sicherheitsrisiken? Gibt es eine bessere Alternative? Wer ist verantwortlich? Merksatz: Keine Firewall-Regel ohne klaren Zweck. Nach einer Regeländerung testen Nach Änderung testet man: funktioniert der Dienst? ist nur gewünschter Zugriff möglich? sind unerwünschte Zugriffe blockiert? erscheinen Logs korrekt? greift die richtige Regel? ist NAT korrekt? funktioniert Rückverkehr? ist Dokumentation aktualisiert? Merksatz: Firewall-Regel nach Änderung immer testen. Regelbereinigung Regelwerke sollten regelmäßig bereinigt werden. Dabei prüft man: - alte Regeln - temporäre Regeln - ungenutzte Regeln - Any-Any-Regeln - redundante Regeln - shadowed rules - fehlende Kommentare - zu breite Freigaben - nicht mehr benötigte Dienste Merksatz: Firewall-Regelwerke altern und müssen gepflegt werden. Typische Fehler bei Firewall-Regeln Typische Fehler sind: - falsche Richtung - falsche Quelle - falsches Ziel - falscher Port - TCP statt UDP oder umgekehrt - falsche Zone - falsche Regelreihenfolge - NAT vergessen - Rückweg vergessen - DNS-Name zeigt auf anderes Ziel - Objekt falsch gepflegt - temporäre Regel vergessen - zu breite Any-Regel Merksatz: Firewall-Fehler sind oft Detailfehler. Beispiel: Webserver in DMZ freigeben Anforderung: Externe Benutzer sollen Webserver in DMZ per HTTPS erreichen. Benötigt: Quelle: Internet Ziel: Webserver oder Reverse Proxy in DMZ Dienst: HTTPS TCP 443 Richtung: WAN → DMZ NAT: öffentliche IP auf DMZ-Ziel weiterleiten Firewall: TCP 443 erlauben Merksatz: Externer Webdienst braucht NAT und passende Firewall-Regel. Beispiel: Adminzugriff auf DMZ-Server Anforderung: Administrator soll per SSH auf DMZ-Server zugreifen. Besser: Quelle: Admin-Netz oder Bastion Host Ziel: DMZ-Server Dienst: SSH TCP 22 Richtung: Management → DMZ Nicht gut: Internet → DMZ-Server SSH erlauben Merksatz: Administration nicht aus beliebigen Quellen erlauben. Beispiel: Webserver zur Datenbank Anforderung: Webserver braucht Datenbankzugriff. Regel: Quelle: Webserver Ziel: Datenbankserver Dienst: passender Datenbankport Richtung: DMZ oder App-Netz → DB-Netz Wichtig: Nicht gesamtes Netz zur Datenbank erlauben. Merksatz: Datenbankzugriff nur von notwendigen Systemen erlauben. Beispiel: DNS im Clientnetz Anforderung: Clients sollen Namen auflösen. Regel: Quelle: Clientnetz Ziel: interner DNS-Server Dienst: DNS UDP/TCP 53 Optional: externe DNS-Server für Clients blockieren, damit DNS zentral kontrolliert bleibt. Merksatz: Clients sollten definierte DNS-Resolver nutzen. Beispiel: Gastnetz Anforderung: Gäste brauchen Internet, aber keinen Zugriff ins LAN. Regeln: Gastnetz → Internet HTTPS erlauben Gastnetz → Internet DNS erlauben Gastnetz → LAN blockieren Gastnetz → Managementnetz blockieren Gastnetz → Servernetz blockieren Merksatz: Gastnetz strikt vom internen Netz trennen. Was Firewall-Regelwerke nicht lösen Firewall-Regeln lösen nicht automatisch: - falsche Anwendungskonfiguration - schwache Passwörter - fehlende Updates - unsichere Dienste - fehlerhafte DNS-Einträge - falsche Zertifikate - schlechte Berechtigungen - fehlendes Monitoring - fehlende Backups Merksatz: Firewall-Regeln sind wichtig, ersetzen aber kein Gesamtsicherheitskonzept. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche Bestandteile hat eine Firewall-Regel? - Warum ist die Regelreihenfolge wichtig? - Was bedeutet Default Deny? - Was ist der Unterschied zwischen Allow, Drop und Reject? - Warum sind Any-Any-Regeln gefährlich? - Warum sollten spezifische Regeln vor allgemeinen Regeln stehen? - Was ist eine implizite Deny-Regel? - Was ist ein Dienstobjekt? - Was ist ein Adressobjekt? - Was ist eine shadowed rule? - Warum müssen Firewall-Regeln dokumentiert werden? - Warum sind temporäre Regeln riskant? - Wie prüft man eine Firewall-Regel bei einer Störung? - Warum reicht eine NAT-Regel allein nicht aus? - Warum sollte VPN-Zugriff nicht automatisch alles erlauben? Typische Prüfungsfallen Firewall-Regeln sind richtungsabhängig. Die erste passende Regel entscheidet. Spezifisch vor allgemein. Port immer mit Protokoll betrachten. TCP 53 ist nicht UDP 53. TCP 443 ist nicht UDP 443. Any bedeutet beliebig. Any-Any ist meist zu offen. Default Deny ist sicherer als Default Allow. Drop und Reject sind nicht dasselbe. Logging ist wichtig, aber zu viel Logging kann unübersichtlich werden. NAT ersetzt keine Firewall-Regel. Firewall-Regel ersetzt keine NAT-Regel. Rückverkehr bei Stateful Firewalls beachten. Asymmetrisches Routing kann Stateful Firewalls stören. Temporäre Regeln brauchen Ablaufdatum. Regeln ohne Kommentar werden später problematisch. VPN-Zugriff muss ebenfalls eingeschränkt werden. DNS-Regeln sollten UDP und TCP beachten. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Firewall-Regel Bedingung mit Aktion für Netzwerkverkehr Aktion erlauben, blockieren, verwerfen oder ablehnen Quelle System oder Netz, von dem Verkehr ausgeht Ziel System oder Netz, das erreicht werden soll Dienst Protokoll-Port-Kombination Richtung Verkehrsrichtung zwischen Zonen oder Interfaces Zone logischer Sicherheitsbereich Interface konkrete Netzwerkschnittstelle Allow Verkehr erlauben Deny Verkehr blockieren Drop Paket still verwerfen Reject Paket aktiv ablehnen Default Deny alles blockieren, außer erlaubt Any beliebige Quelle, beliebiges Ziel oder beliebiger Dienst Any-Any sehr breite Regel mit beliebig zu beliebig Hit Count Anzahl der Regel-Treffer Shadowed Rule verdeckte Regel, die nie erreicht wird Redundante Regel überflüssige doppelte Regel Dienstobjekt benannter Port mit Protokoll Adressobjekt benannte IP-Adresse oder Netz Regelreview regelmäßige Prüfung des Regelwerks IHK-sichere Kurzformulierung Firewall-Regeln legen fest, welcher Netzwerkverkehr erlaubt oder blockiert wird. Eine Regel besteht typischerweise aus Aktion, Quelle, Ziel, Dienst, Protokoll, Port, Richtung und Zone. Viele Firewalls arbeiten Regeln von oben nach unten ab, sodass die erste passende Regel entscheidet. Deshalb müssen spezifische Regeln vor allgemeinen Regeln stehen. Das Prinzip Default Deny bedeutet, dass alles blockiert wird, was nicht ausdrücklich erlaubt wurde. Firewall-Regeln sollten möglichst eng gefasst, dokumentiert, regelmäßig überprüft und nach Änderungen getestet werden. NAT-Regeln und Firewall-Regeln sind zu unterscheiden: NAT übersetzt Adressen oder Ports, die Firewall erlaubt oder blockiert den Verkehr. Merksätze Firewall-Regel = Quelle, Ziel, Dienst und Aktion. Aktion entscheidet, was mit Verkehr passiert. Quelle = wer startet Verbindung. Ziel = wer soll erreicht werden. Dienst = Protokoll plus Port. Port immer mit TCP oder UDP betrachten. Richtung ist entscheidend. Zone = Sicherheitsbereich. Interface = konkrete Schnittstelle. Die erste passende Regel gewinnt. Spezifisch vor allgemein. Default Deny ist sicherer. Allow erlaubt. Deny blockiert. Drop schweigt. Reject antwortet. Any sparsam verwenden. Any-Any vermeiden. NAT ersetzt keine Firewall-Regel. Firewall-Regel ersetzt keine NAT-Regel. Stateful Firewall kennt Rückverkehr. Asymmetrischer Rückweg kann stören. DNS braucht oft UDP und TCP 53. Adminzugriffe nur aus Managementnetzen erlauben. Datenbanken nur für notwendige Systeme öffnen. VPN-Zugriff nicht automatisch alles erlauben. Temporäre Regeln brauchen Ablaufdatum. Kommentare erklären den Zweck. Hit Count hilft beim Prüfen. Shadowed Rules finden und bereinigen. Firewall-Regeln regelmäßig überprüfen. 11.3 NAT, PAT und Portweiterleitung im Detail NAT und PAT werden in IPv4-Netzwerken sehr häufig eingesetzt. Sie ermöglichen, dass interne private IP-Adressen mit externen Netzen kommunizieren können. NAT steht für: Network Address Translation PAT steht für: Port Address Translation Portweiterleitung wird genutzt, um einen internen Dienst von außen erreichbar zu machen. Merksatz: NAT übersetzt IP-Adressen. PAT übersetzt IP-Adressen und Ports. Portweiterleitung macht interne Dienste erreichbar. Warum gibt es NAT? IPv4-Adressen sind begrenzt. Deshalb werden in lokalen Netzwerken häufig private IPv4-Adressen verwendet. Diese privaten Adressen sind im Internet nicht direkt geroutet. Beispiele: 192.168.1.10 10.0.0.20 172.16.5.30 Damit solche Geräte trotzdem ins Internet können, übersetzt ein Router oder eine Firewall die privaten Adressen in eine öffentliche Adresse. Merksatz: NAT ermöglicht Internetzugang mit privaten IPv4-Adressen. Private IPv4-Adressen Private IPv4-Adressbereiche sind für interne Netze vorgesehen. Bereich CIDR typische Nutzung 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 große interne Netze 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 mittlere interne Netze 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Heimnetze und kleine Netze Diese Adressen sind im öffentlichen Internet nicht direkt erreichbar. Merksatz: Private IPv4-Adressen sind intern nutzbar, aber nicht öffentlich geroutet. Öffentliche IPv4-Adresse Eine öffentliche IPv4-Adresse ist im Internet routbar. Sie wird zum Beispiel vom Internetanbieter zugewiesen. Beispiel: Router WAN-Adresse: öffentliche IPv4-Adresse Client im LAN: private IPv4-Adresse Der Router übersetzt beim Internetzugriff die private Adresse in die öffentliche Adresse. Merksatz: Öffentliche IP-Adresse ist im Internet sichtbar. NAT-Grundprinzip Ein interner Client baut eine Verbindung ins Internet auf. Vor NAT: Quelle: 192.168.10.50 Ziel: 93.184.216.34 Nach NAT: Quelle: öffentliche IP des Routers Ziel: 93.184.216.34 Der externe Server sieht nicht die private IP des Clients, sondern die öffentliche IP der Firewall oder des Routers. Merksatz: NAT versteckt private Quelladressen hinter einer öffentlichen Adresse. NAT-Tabelle Damit Antworten wieder zum richtigen internen Client zurückkommen, führt das NAT-Gerät eine Zuordnungstabelle. Dort steht vereinfacht: Interner Client mit internem Port gehört zu externer Verbindung mit übersetztem Port. Beispiel: intern extern sichtbar Ziel 192.168.10.50:50123 203.0.113.10:61001 93.184.216.34:443 192.168.10.51:50200 203.0.113.10:61002 93.184.216.34:443 Merksatz: NAT merkt sich, welche interne Verbindung zu welcher externen Verbindung gehört. Source NAT Source NAT ändert die Quelladresse. Typischer Fall: interner Client geht ins Internet. Vor Source NAT: Quelle: 192.168.10.50 Ziel: 93.184.216.34 Nach Source NAT: Quelle: öffentliche IP Ziel: 93.184.216.34 Merksatz: Source NAT ändert die Quelle. Destination NAT Destination NAT ändert die Zieladresse. Typischer Fall: externer Zugriff auf internen Dienst. Beispiel: öffentliche IP TCP 443 wird weitergeleitet an interner Webserver TCP 443 Vor Destination NAT: Ziel: öffentliche IP:443 Nach Destination NAT: Ziel: 192.168.10.20:443 Merksatz: Destination NAT ändert das Ziel. PAT PAT steht für: Port Address Translation PAT übersetzt zusätzlich Ports. Das ist besonders wichtig, wenn viele interne Geräte dieselbe öffentliche IPv4-Adresse verwenden. Beispiel: Client A: 192.168.10.10:50001 Client B: 192.168.10.11:50001 Extern kann beides über dieselbe öffentliche IP laufen, weil unterschiedliche übersetzte Ports genutzt werden. Merksatz: PAT macht viele interne Verbindungen über eine öffentliche IP möglich. NAT und PAT vergleichen Begriff Bedeutung Beispiel NAT IP-Adresse wird übersetzt 192.168.10.50 → öffentliche IP PAT IP-Adresse und Port werden übersetzt 192.168.10.50:50123 → öffentliche IP:61001 Source NAT Quelle wird geändert LAN → Internet Destination NAT Ziel wird geändert Internet → interner Server Portweiterleitung externer Port wird intern weitergeleitet WAN:443 → Server:443 Merksatz: NAT = Adresse. PAT = Adresse plus Port. Warum PAT so häufig ist In Heimnetzen und kleinen Unternehmensnetzen gibt es oft nur eine öffentliche IPv4-Adresse. Trotzdem sollen viele Geräte gleichzeitig ins Internet. Beispiele: Notebook Smartphone Server Drucker Smart-TV NAS virtuelle Maschinen PAT unterscheidet diese Verbindungen über Ports. Merksatz: PAT löst das Problem, dass viele interne Geräte eine öffentliche IPv4-Adresse teilen. Portweiterleitung Portweiterleitung bedeutet: Ein Port auf der öffentlichen Adresse wird an ein internes Ziel weitergeleitet. Beispiel: öffentliche IP:443 → 192.168.10.20:443 Oder: öffentliche IP:8443 → 192.168.10.20:443 Portweiterleitung ist eine Form von Destination NAT. Merksatz: Portweiterleitung leitet externe Anfragen an interne Dienste weiter. Beispiel: Webserver intern veröffentlichen Situation: Interner Webserver: 192.168.10.20 Dienst: HTTPS TCP 443 Ziel: Benutzer aus dem Internet sollen den Webserver erreichen. Benötigt: DNS zeigt auf öffentliche IP. Portweiterleitung WAN:443 → 192.168.10.20:443. Firewall-Regel erlaubt TCP 443. Webserver hört auf TCP 443. Zertifikat passt zum Hostnamen. Merksatz: Externer Webzugriff braucht DNS, NAT, Firewall, Dienst und Zertifikat. Portweiterleitung und Firewall-Regel Eine Portweiterleitung allein reicht nicht immer. Man braucht oft zusätzlich eine Firewall-Regel. NAT-Regel: Wohin soll der Verkehr übersetzt werden? Firewall-Regel: Darf der Verkehr überhaupt durch? Beispiel: NAT: WAN:443 → Webserver:443 Firewall: Erlaube WAN → Webserver TCP 443 Wenn die Firewall blockiert, funktioniert der Zugriff trotz NAT nicht. Merksatz: NAT leitet um. Firewall erlaubt oder blockiert. Portweiterleitung und DNS Damit Benutzer einen Dienst bequem erreichen, wird meist ein DNS-Name genutzt. Beispiel: cloud.firma.de → öffentliche IP Dann leitet die Firewall weiter: öffentliche IP:443 → interner Server:443 Wenn DNS auf die falsche IP zeigt, erreicht der Benutzer den falschen Anschluss oder Server. Merksatz: DNS muss zur öffentlichen Adresse der Portweiterleitung passen. Portweiterleitung und Zertifikate Bei HTTPS muss das Zertifikat zum aufgerufenen Namen passen. Beispiel: Benutzer ruft auf: https://cloud.firma.de Zertifikat muss gültig sein für: cloud.firma.de Wenn DNS oder Portweiterleitung auf den falschen Server zeigt, kann ein falsches Zertifikat ausgeliefert werden. Merksatz: HTTPS-Veröffentlichung braucht passenden DNS-Namen und passendes Zertifikat. Portweiterleitung und Reverse Proxy Oft wird nicht jeder interne Dienst direkt veröffentlicht. Stattdessen zeigt die Portweiterleitung auf einen Reverse Proxy. Beispiel: öffentliche IP:443 → Reverse Proxy in DMZ Der Reverse Proxy leitet dann nach Hostname weiter: wiki.firma.de → interner Wiki-Server cloud.firma.de → interner Cloud-Server git.firma.de → interner Git-Server Merksatz: Reverse Proxy kann mehrere interne Webdienste über HTTPS bündeln. Portweiterleitung und mehrere Dienste Ein öffentlicher Port kann auf einer öffentlichen IP nur einmal eindeutig belegt werden. Beispiel: öffentliche IP:443 kann nicht gleichzeitig direkt auf drei verschiedene Server zeigen. Lösung: Reverse Proxy mit Hostnamen oder unterschiedliche externe Ports oder mehrere öffentliche IP-Adressen Merksatz: Ein Port auf einer IP kann nur eindeutig einem Ziel zugeordnet werden. Externer Port und interner Port Bei Portweiterleitung können externer und interner Port gleich oder unterschiedlich sein. Beispiel gleich: WAN:443 → Server:443 Beispiel unterschiedlich: WAN:8443 → Server:443 Das kann für Tests nützlich sein, sollte aber sauber dokumentiert werden. Merksatz: Externer Port und interner Port müssen nicht identisch sein. Sicherheitsrisiko Portweiterleitung Eine Portweiterleitung macht einen internen Dienst von außen erreichbar. Das erhöht die Angriffsfläche. Risiken: - Brute-Force-Angriffe - Ausnutzung von Schwachstellen - Fehlkonfiguration - veraltete Software - offene Adminoberflächen - schwache Passwörter - unnötige Dienste im Internet Merksatz: Jeder veröffentlichte Port ist ein potenzieller Angriffspunkt. Was sollte man nicht direkt veröffentlichen? Nicht direkt ins Internet gehören normalerweise: - SMB TCP 445 - RDP TCP 3389 - Datenbankports - Drucker - interne Adminoberflächen - Hypervisor-Management - NAS-Adminoberflächen - unsichere Webinterfaces - Telnet TCP 23 - unverschlüsseltes FTP Besser: VPN, Reverse Proxy, Zero-Trust-Zugriff, Bastion Host oder gezielte Zugriffsbeschränkung. Merksatz: Administrative und interne Dienste nicht direkt ins Internet öffnen. Portweiterleitung und Quellbeschränkung Eine Portweiterleitung kann sicherer werden, wenn nur bestimmte Quellen erlaubt sind. Beispiel: Nur Admin-IP darf SSH erreichen. Oder: Nur Partnernetz darf API erreichen. Vorteil: nicht jeder im Internet kann den Dienst erreichen. Merksatz: Wenn möglich, Zugriff auf bekannte Quellen beschränken. Portweiterleitung und VPN Oft ist VPN sicherer als direkte Portweiterleitung. Beispiel: Kein RDP direkt aus dem Internet. Stattdessen: Benutzer verbindet sich per VPN. Danach RDP intern nutzen. Vorteil: RDP-Port ist nicht öffentlich sichtbar. Merksatz: Für Administration lieber VPN statt direkter Portweiterleitung. NAT ist keine echte Sicherheitsfunktion NAT verhindert zwar, dass interne private Adressen direkt aus dem Internet erreichbar sind. Aber NAT ist nicht dasselbe wie eine Firewall. Eine Firewall prüft und steuert Verkehr bewusst. NAT übersetzt Adressen. Merksatz: NAT ist nicht automatisch Sicherheit. NAT und IPv6 Bei IPv6 ist NAT normalerweise nicht in derselben Form nötig, weil es sehr viele öffentliche IPv6-Adressen gibt. IPv6-Netze arbeiten eher mit: - Routing - Firewall-Regeln - global eindeutigen Adressen - Prefix Delegation Wichtig: Ohne NAT sind Systeme nicht automatisch ungeschützt. Die Firewall bleibt entscheidend. Merksatz: IPv6 braucht meist weniger NAT, aber weiterhin Firewall-Regeln. NAT und Protokollprobleme Manche Protokolle sind schwierig mit NAT. Gründe: - IP-Adressen stehen im Protokollinhalt - mehrere Verbindungen werden verwendet - dynamische Ports werden genutzt - eingehende Rückverbindungen sind nötig Beispiele: FTP SIP bestimmte VPN-Protokolle ältere Anwendungen Merksatz: NAT kann Protokolle stören, die zusätzliche Verbindungsinformationen enthalten. FTP und NAT FTP kann mit NAT kompliziert sein, weil FTP Steuer- und Datenverbindungen verwendet. Typische Fehler: Login funktioniert, aber Dateiliste nicht. Dateiübertragung startet nicht. Passiver Portbereich ist nicht freigegeben. Server gibt falsche externe IP aus. Merksatz: FTP braucht bei NAT besondere Beachtung. SIP und NAT SIP wird häufig bei VoIP verwendet. SIP kann durch NAT Probleme bekommen, weil Adressen und Ports im Signalisierungsverkehr eine Rolle spielen. Mögliche Fehler: kein Audio nur einseitiges Audio Anrufaufbau scheitert Registrierung bricht ab Merksatz: VoIP-Protokolle können durch NAT besondere Probleme bekommen. NAT Loopback NAT Loopback ist ein anderer Begriff für Hairpin NAT. Es beschreibt, dass interne Clients über die öffentliche Adresse auf einen internen Dienst zugreifen. Beispiel: Client im LAN ruft cloud.firma.de auf. DNS liefert öffentliche IP. Router leitet Verbindung wieder zurück nach innen. Merksatz: NAT Loopback = Hairpin NAT. Hairpin NAT Hairpin NAT bedeutet: Ein interner Client nutzt die öffentliche Adresse, um einen internen Dienst zu erreichen. Ohne Hairpin NAT kann passieren: Dienst funktioniert extern, aber intern über denselben Namen nicht. Alternative: Split DNS Merksatz: Hairpin NAT hilft, wenn interne Clients öffentliche Namen verwenden. Split DNS Split DNS liefert intern und extern unterschiedliche DNS-Antworten. Beispiel: cloud.firma.de extern: öffentliche IP cloud.firma.de intern: interne IP Vorteil: interne Clients gehen direkt zum internen Ziel, ohne Hairpin NAT zu brauchen. Merksatz: Split DNS ist oft sauberer als Hairpin NAT. CGNAT CGNAT steht für: Carrier Grade NAT Dabei teilt der Provider eine öffentliche IPv4-Adresse auf mehrere Kunden auf. Der eigene Router bekommt dann keine echte öffentliche IPv4-Adresse. Folge: klassische eingehende Portweiterleitungen funktionieren oft nicht. Erkennbar oft daran: WAN-IP am Router ist privat oder aus speziellem Providerbereich, aber öffentliche IP im Internet ist eine andere. Merksatz: CGNAT verhindert häufig direkte eingehende IPv4-Verbindungen. Lösungen bei CGNAT Wenn eingehende Verbindungen wegen CGNAT nicht funktionieren, gibt es mögliche Alternativen: - echte öffentliche IPv4-Adresse beim Provider buchen - IPv6 verwenden - VPN zu einem externen Server - Cloud-Tunnel - Reverse SSH Tunnel - Zero-Trust-Tunnel - Hosting eines öffentlichen Einstiegspunkts Merksatz: Bei CGNAT braucht man oft Tunnel, IPv6 oder eine echte öffentliche IPv4-Adresse. Double NAT Double NAT bedeutet: Es gibt zwei NAT-Geräte hintereinander. Beispiel: Provider-Router macht NAT. Eigener Router macht ebenfalls NAT. Folgen: - Portweiterleitungen müssen auf beiden Geräten passen - Fehlersuche wird schwieriger - manche Protokolle machen Probleme - Gaming, VPN oder VoIP können gestört sein Merksatz: Double NAT erschwert eingehende Verbindungen. NAT und Rückweg Damit NAT funktioniert, muss der Rückverkehr wieder über dasselbe NAT-Gerät laufen. Wenn Rückwege anders laufen, kann die Zuordnung fehlen. Das betrifft besonders: - mehrere Router - mehrere Firewalls - asymmetrisches Routing - mehrere Internetanschlüsse - komplexe VPN-Setups Merksatz: NAT braucht passenden Rückweg. Portweiterleitung testen Beim Testen einer Portweiterleitung sollte man prüfen: DNS zeigt auf richtige öffentliche IP? öffentliche IP ist wirklich am Anschluss? CGNAT ausgeschlossen? NAT-Regel korrekt? Firewall-Regel korrekt? Zielserver erreichbar? Dienst läuft auf Zielport? Zielserver-Firewall erlaubt Zugriff? Zertifikat passt? Logs zeigen Verbindungsversuch? Merksatz: Portweiterleitung braucht mehrere passende Bausteine. Typisches Fehlerbild: Portweiterleitung funktioniert nicht Mögliche Ursachen: - falsche öffentliche IP - CGNAT - Double NAT - Portweiterleitung auf falsches Ziel - falscher interner Port - Firewall-Regel fehlt - Dienst läuft nicht - Host-Firewall blockiert - DNS zeigt falsch - Provider blockiert Port - Test aus internem Netz ohne Hairpin NAT - Zertifikatsproblem bei HTTPS Merksatz: Portweiterleitungsfehler sind oft NAT-, Firewall-, DNS- oder Dienstprobleme. Fehlerbild: Von außen geht es, von innen nicht Mögliche Ursachen: - Hairpin NAT fehlt - internes DNS zeigt falsch - Split DNS fehlt - interne Firewall blockiert - Zertifikat passt intern nicht - interner Client nutzt anderen Pfad Lösungsideen: Split DNS einrichten oder Hairpin NAT aktivieren Merksatz: Extern funktioniert, intern nicht: Hairpin NAT oder Split DNS prüfen. Fehlerbild: Von innen geht es, von außen nicht Mögliche Ursachen: - NAT-Regel fehlt - Firewall-Regel fehlt - externe DNS-Antwort falsch - Dienst nur intern gebunden - öffentliche IP falsch - Provider blockiert - CGNAT - Zertifikat oder Reverse Proxy falsch - Zielserver-Firewall blockiert Merksatz: Intern funktioniert, extern nicht: öffentliche Erreichbarkeit prüfen. Fehlerbild: Falscher interner Dienst antwortet Mögliche Ursachen: - Portweiterleitung zeigt auf falschen Host - Reverse Proxy leitet falsch weiter - DNS zeigt auf falsche IP - Host-Header passt nicht - falscher virtueller Host - alte NAT-Regel greift vorher - Regelreihenfolge falsch Merksatz: Falscher Dienst bedeutet oft: DNS, NAT oder Reverse Proxy falsch. Fehlerbild: HTTPS zeigt falsches Zertifikat Mögliche Ursachen: - DNS zeigt auf falsche öffentliche IP - Portweiterleitung zeigt auf falschen Server - Reverse Proxy liefert falsches Zertifikat - Hostname passt nicht - falscher virtueller Host - internes und externes DNS unterscheiden sich falsch Merksatz: Falsches Zertifikat kann durch falsches NAT oder DNS entstehen. NAT und Dokumentation NAT-Regeln sollten dokumentiert werden. Wichtige Angaben: - öffentliche IP - externer Port - internes Ziel - interner Port - Protokoll - Zweck - Verantwortlicher - Datum - Sicherheitsbewertung - zugehörige Firewall-Regel - DNS-Name - Zertifikat Merksatz: NAT-Regeln ohne Dokumentation werden schnell unübersichtlich. Typische NAT-Dokumentation Beispiel: DNS-Name extern intern Zweck wiki.firma.de WAN TCP 443 192.168.10.20 TCP 443 Wiki vpn.firma.de WAN UDP 51820 192.168.10.5 UDP 51820 VPN mail.firma.de WAN TCP 25 192.168.20.10 TCP 25 Mail Merksatz: DNS, externer Port, internes Ziel und Zweck zusammen dokumentieren. NAT und Sicherheit prüfen Regelmäßige Prüfung: Welche Ports sind öffentlich offen? Werden alle Weiterleitungen noch benötigt? Sind die Zielsysteme aktuell? Gibt es alte Testregeln? Sind Adminoberflächen öffentlich? Sind Quellbeschränkungen möglich? Wird TLS genutzt? Gibt es Logs? Gibt es Monitoring? Ist ein VPN besser? Merksatz: Öffentlich erreichbare Dienste regelmäßig prüfen. Was NAT nicht macht NAT macht nicht automatisch: - Dienst sicher - Benutzer authentifizieren - Schwachstellen schließen - TLS einrichten - Firewall-Regeln ersetzen - DNS korrekt setzen - Zertifikate passend machen - Logs auswerten - Angriffe verhindern Merksatz: NAT ist Adressübersetzung, kein vollständiger Schutz. Einordnung in das OSI-Modell Thema Schicht NAT 3 / 4 PAT 3 / 4 Source NAT 3 / 4 Destination NAT 3 / 4 Portweiterleitung 3 / 4 IP-Adresse 3 Port 4 Firewall-Regel 3 / 4 / je nach Firewall auch 7 DNS-Name 7 HTTPS-Zertifikat 6 / 7 Reverse Proxy 7 Merksatz: NAT betrifft IP-Adressen und Ports, also vor allem Schicht 3 und 4. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet NAT? - Warum wird NAT bei IPv4 verwendet? - Was ist PAT? - Was ist der Unterschied zwischen NAT und PAT? - Was ist Source NAT? - Was ist Destination NAT? - Was ist eine Portweiterleitung? - Warum reicht NAT allein nicht als Firewall? - Warum braucht man zusätzlich Firewall-Regeln? - Was ist Hairpin NAT? - Was ist Split DNS? - Was ist CGNAT? - Warum funktioniert eine Portweiterleitung bei CGNAT oft nicht? - Warum kann Double NAT Probleme verursachen? - Warum sollte man RDP oder SMB nicht direkt weiterleiten? - Wie prüft man eine nicht funktionierende Portweiterleitung? Typische Prüfungsfallen NAT ist nicht Firewall. Firewall ist nicht NAT. NAT übersetzt IP-Adressen. PAT übersetzt IP-Adressen und Ports. Source NAT ändert die Quelle. Destination NAT ändert das Ziel. Portweiterleitung ist Destination NAT. Private IPv4-Adressen sind nicht direkt im Internet geroutet. Portweiterleitung macht interne Dienste extern erreichbar. NAT-Regel allein reicht nicht, wenn Firewall blockiert. Firewall-Regel allein reicht nicht, wenn NAT fehlt. DNS muss auf die richtige öffentliche IP zeigen. HTTPS braucht passendes Zertifikat. Ein öffentlicher Port auf einer IP kann nur eindeutig weitergeleitet werden. Reverse Proxy kann mehrere Webdienste über einen Port bündeln. CGNAT verhindert oft eingehende IPv4-Verbindungen. Double NAT erschwert Portweiterleitungen. Hairpin NAT betrifft interne Clients mit öffentlicher Adresse. Split DNS kann Hairpin NAT vermeiden. NAT ist keine vollständige Sicherheitsmaßnahme. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung NAT Network Address Translation PAT Port Address Translation Source NAT Quelladresse wird übersetzt Destination NAT Zieladresse wird übersetzt Portweiterleitung externer Port wird an internes Ziel weitergeleitet private IP-Adresse interne nicht öffentlich geroutete Adresse öffentliche IP-Adresse im Internet routbare Adresse NAT-Tabelle Zuordnung interner und externer Verbindungen Hairpin NAT interner Zugriff über öffentliche Adresse NAT Loopback anderer Begriff für Hairpin NAT Split DNS intern und extern unterschiedliche DNS-Antwort CGNAT Provider-NAT für mehrere Kunden Double NAT zwei NAT-Geräte hintereinander Reverse Proxy leitet Anfragen anhand von Hostnamen weiter WAN-Port externer Port auf öffentlicher Seite interner Port Port auf dem internen Zielsystem Quellport Port des sendenden Systems Zielport Port des Ziel-Dienstes IHK-sichere Kurzformulierung NAT steht für Network Address Translation und übersetzt IP-Adressen, häufig private IPv4-Adressen in eine öffentliche IPv4-Adresse. PAT steht für Port Address Translation und übersetzt zusätzlich Ports, damit mehrere interne Geräte gleichzeitig eine öffentliche Adresse nutzen können. Source NAT ändert die Quelladresse und wird typischerweise für ausgehenden Internetverkehr verwendet. Destination NAT ändert die Zieladresse und wird häufig für Portweiterleitungen genutzt. Eine Portweiterleitung macht einen internen Dienst von außen erreichbar, benötigt aber neben der NAT-Regel auch passende Firewall-Regeln, einen laufenden Dienst, korrekte DNS-Einträge und bei HTTPS ein passendes Zertifikat. NAT ist keine vollständige Sicherheitsmaßnahme und ersetzt keine Firewall. Merksätze NAT = Network Address Translation. PAT = Port Address Translation. NAT übersetzt IP-Adressen. PAT übersetzt IP-Adressen und Ports. Source NAT ändert Quelle. Destination NAT ändert Ziel. Portweiterleitung ist Destination NAT. Private IPv4-Adressen sind intern. Öffentliche IPv4-Adressen sind im Internet routbar. NAT ermöglicht Internetzugang mit privaten IPv4-Adressen. PAT ermöglicht viele Clients über eine öffentliche IP. NAT-Tabelle merkt sich Zuordnungen. NAT ist keine Firewall. Firewall ist kein NAT. NAT-Regel und Firewall-Regel müssen zusammenpassen. Portweiterleitung erhöht die Angriffsfläche. Admin-Dienste nicht direkt ins Internet öffnen. RDP nicht direkt weiterleiten. SMB nicht direkt weiterleiten. SFTP oder VPN sicherer als unverschlüsseltes FTP. Reverse Proxy bündelt Webdienste. DNS muss zur öffentlichen IP passen. Zertifikat muss zum Hostnamen passen. CGNAT verhindert oft eingehende IPv4-Verbindungen. Double NAT erschwert Portweiterleitungen. Hairpin NAT = intern über öffentliche Adresse. Split DNS liefert intern andere Antworten. NAT braucht passenden Rückweg. NAT ersetzt kein Sicherheitskonzept. 11.4 DMZ und Sicherheitszonen im Detail DMZ steht für: Demilitarized Zone Eine DMZ ist ein separates Netzwerksegment für Dienste, die von außen erreichbar sein müssen. Typische Dienste in einer DMZ: - Webserver - Reverse Proxy - Mailgateway - VPN-Gateway - öffentlicher DNS-Server - öffentliche API - Proxyserver - Bastion Host Merksatz: DMZ = eigenes Netz für öffentlich erreichbare Dienste. Warum braucht man eine DMZ? Öffentlich erreichbare Dienste sind stärker gefährdet als rein interne Dienste. Beispiel: Ein Webserver ist aus dem Internet erreichbar. Wenn dieser Webserver kompromittiert wird, soll der Angreifer nicht direkt Zugriff auf das interne LAN bekommen. Die DMZ trennt deshalb öffentliche Dienste vom internen Netz. Merksatz: Eine DMZ begrenzt den Schaden, wenn ein öffentlich erreichbarer Dienst angegriffen wird. Grundidee einer DMZ Eine DMZ liegt logisch zwischen: externem Netz und internem Netz Vereinfacht: Internet → Firewall → DMZ → Firewall-Regeln → internes LAN Die DMZ ist nicht so vertrauenswürdig wie das interne LAN. Aber sie ist kontrollierter als das Internet. Merksatz: DMZ liegt kontrolliert zwischen außen und innen. DMZ ist nicht das interne LAN Ein häufiger Fehler ist: Ein öffentlich erreichbarer Server steht direkt im internen LAN. Das ist riskant. Besser: öffentliche Dienste in DMZ stellen und Zugriffe ins LAN stark einschränken. Warum? Wird ein DMZ-System kompromittiert, soll der Angreifer nicht automatisch interne Clients, Server oder Verwaltungsdienste erreichen. Merksatz: Öffentliche Dienste gehören nicht ungefiltert ins interne LAN. DMZ als Sicherheitszone Eine DMZ ist eine Sicherheitszone. Eine Sicherheitszone ist ein Netzbereich mit eigenem Schutzbedarf. Typische Zonen: - WAN - LAN - DMZ - Servernetz - Managementnetz - Gastnetz - IoT-Netz - VPN-Zone Zwischen diesen Zonen gelten Firewall-Regeln. Merksatz: Sicherheitszonen trennen Netze nach Vertrauensniveau. Vertrauensniveau von Zonen Nicht jedes Netz ist gleich vertrauenswürdig. Beispiel: Zone Vertrauensniveau Beispiel WAN sehr gering Internet Gastnetz gering Besuchergeräte IoT-Netz gering bis mittel Kameras, Sensoren DMZ mittel / eingeschränkt öffentliche Dienste LAN höher interne Clients Servernetz hoch interne Server Managementnetz sehr hoch Adminzugänge Merksatz: Je kritischer eine Zone ist, desto strenger müssen Zugriffe kontrolliert werden. Typischer Drei-Zonen-Aufbau Ein klassischer Aufbau besteht aus drei Zonen: WAN DMZ LAN WAN: externes Netz oder Internet DMZ: öffentliche Dienste LAN: internes Unternehmensnetz Merksatz: Drei-Zonen-Aufbau = WAN, DMZ, LAN. Beispielaufbau Vereinfacht: Internet | Firewall / \ DMZ LAN Web Clients Mail interne Server Die Firewall kontrolliert, welche Zone mit welcher Zone kommunizieren darf. Merksatz: Die Firewall ist der kontrollierte Übergang zwischen den Zonen. Regelidee Internet zur DMZ Vom Internet zur DMZ sollte nur erlaubt sein, was wirklich öffentlich erreichbar sein muss. Beispiele: Quelle Ziel Dienst Aktion Internet Reverse Proxy DMZ HTTPS TCP 443 erlauben Internet Mailgateway DMZ SMTP TCP 25 erlauben Internet VPN-Gateway DMZ VPN-Port erlauben Internet DMZ-Server SSH TCP 22 blockieren Internet interne Server any blockieren Merksatz: Internet darf nur notwendige öffentliche Dienste in der DMZ erreichen. Regelidee DMZ zum LAN Von der DMZ ins LAN sollte sehr wenig erlaubt sein. Beispiele: Quelle Ziel Dienst Aktion Reverse Proxy DMZ interner Webdienst TCP 8080 erlauben Webserver DMZ Datenbankserver TCP 5432 nur wenn nötig Mailgateway DMZ interner Mailserver SMTP nur gezielt DMZ allgemein LAN allgemein any blockieren Wichtig: DMZ darf keine freie Brücke ins interne Netz sein. Merksatz: Von DMZ ins LAN nur das zwingend Notwendige erlauben. Regelidee LAN zur DMZ Das interne LAN darf je nach Bedarf Dienste in der DMZ erreichen. Beispiele: interne Clients → DMZ-Webserver HTTPS Admin-Netz → DMZ-Server SSH Monitoring → DMZ-Systeme SNMP Aber auch hier gilt: nicht alles für jeden erlauben. Merksatz: Auch LAN zur DMZ sollte gezielt geregelt werden. Regelidee Management zur DMZ Administration sollte nicht aus beliebigen Netzen erlaubt sein. Besser: Managementnetz oder Bastion Host oder VPN-Adminzugang Beispiel: Managementnetz → DMZ-Server SSH TCP 22 erlauben Aber nicht: gesamtes LAN → DMZ-Server SSH erlauben Und erst recht nicht: Internet → DMZ-Server SSH erlauben Merksatz: Administration nur aus kontrollierten Managementbereichen erlauben. DMZ und Reverse Proxy Ein Reverse Proxy steht häufig in der DMZ. Er nimmt externe HTTPS-Anfragen entgegen und leitet sie an interne Dienste weiter. Beispiel: Internet → Reverse Proxy DMZ → interner Wiki-Server Vorteile: - zentrale TLS-Verwaltung - weniger direkte Veröffentlichung interner Server - mehrere Dienste über eine öffentliche IP - Zugriffskontrolle - bessere Protokollierung - Trennung zwischen extern und intern Merksatz: Reverse Proxy in der DMZ schützt interne Webdienste besser als direkte Freigabe. DMZ und Webserver Ein Webserver in der DMZ kann öffentliche Webseiten bereitstellen. Wichtig: Der Webserver sollte nur die internen Systeme erreichen, die er wirklich braucht. Beispiel: Webserver braucht Datenbankzugriff. Dann gilt: Webserver DMZ → Datenbankserver TCP 5432 erlauben Aber nicht: Webserver DMZ → gesamtes LAN any erlauben Merksatz: Webserver in DMZ nur mit notwendigen Backend-Zugriffen ausstatten. DMZ und Mailgateway Ein Mailgateway in der DMZ kann E-Mails aus dem Internet annehmen. Typische Aufgabe: Internet → Mailgateway DMZ Mailgateway prüft Spam und Malware Mailgateway leitet an internen Mailserver weiter Vorteil: Der interne Mailserver steht nicht direkt im Internet. Merksatz: Mailgateway in der DMZ schützt interne Mailserver. DMZ und VPN-Gateway Ein VPN-Gateway kann in der DMZ stehen. Ablauf: externer Benutzer verbindet sich zum VPN-Gateway nach erfolgreicher Anmeldung erhält er Zugriff auf erlaubte interne Ressourcen Wichtig: VPN-Zugriff darf nicht automatisch das gesamte LAN erlauben. Besser: VPN-Benutzer in eigene Zone einordnen und gezielte Regeln setzen. Merksatz: VPN-Gateway kann in der DMZ stehen, aber VPN-Rechte müssen begrenzt werden. DMZ und öffentlicher DNS Ein öffentlicher DNS-Server kann in einer DMZ stehen, wenn eine Organisation eigene öffentliche DNS-Zonen bereitstellt. Wichtig: öffentlicher DNS sollte nur öffentliche Informationen enthalten. Interne Servernamen sollten nicht öffentlich sichtbar sein. Merksatz: Öffentlicher DNS darf keine internen Strukturen verraten. DMZ und Bastion Host Ein Bastion Host ist ein besonders abgesicherter Sprungserver. Er kann genutzt werden, um administrative Zugriffe auf DMZ-Systeme zu bündeln. Ablauf: Admin → VPN oder Managementnetz → Bastion Host → DMZ-System Vorteile: - zentrale Kontrolle - bessere Protokollierung - weniger direkte Adminzugänge - zusätzliche Sicherheitsprüfung Merksatz: Bastion Host bündelt und kontrolliert Adminzugriffe. Bastion Host ist besonders kritisch Ein Bastion Host hat oft Zugriff auf wichtige Systeme. Deshalb muss er besonders geschützt werden. Maßnahmen: - MFA - starke Authentifizierung - nur Admins erlauben - Protokollierung - regelmäßige Updates - keine unnötigen Dienste - harte Firewall-Regeln - Monitoring - getrennte Admin-Konten Merksatz: Bastion Host stark absichern, weil er ein zentraler Zugangspunkt ist. DMZ und Datenbankserver Datenbankserver sollten normalerweise nicht direkt in der öffentlichen DMZ stehen. Besser: Datenbank im internen Servernetz und nur gezielter Zugriff vom Webserver oder Anwendungsserver Beispiel: Webserver DMZ → Datenbankserver TCP 5432 Wichtig: kein allgemeiner Zugriff von Internet oder DMZ auf Datenbank. Merksatz: Datenbanken nicht öffentlich platzieren. DMZ und interne Daten DMZ-Systeme sollten möglichst wenig interne Daten enthalten. Warum? Sie sind stärker exponiert. Wenn sensible Daten in der DMZ liegen, ist das Risiko bei einem Angriff höher. Besser: DMZ-Systeme nur mit notwendigen Daten ausstatten und interne Datenbanken geschützt halten. Merksatz: In der DMZ nur Daten, die dort wirklich benötigt werden. DMZ und Protokollierung DMZ-Systeme sollten gut protokolliert werden. Wichtige Logs: - Firewall-Logs - Webserver-Logs - Reverse-Proxy-Logs - Authentifizierungslogs - Systemlogs - IDS/IPS-Logs - VPN-Logs - Mailgateway-Logs Logs helfen bei: - Angriffserkennung - Fehlersuche - Nachvollziehbarkeit - Sicherheitsanalyse Merksatz: DMZ-Systeme brauchen gute Logs. DMZ und Monitoring DMZ-Systeme sollten überwacht werden. Typische Prüfwerte: - Erreichbarkeit - CPU - RAM - Speicherplatz - Dienste - Zertifikate - Loggröße - ungewöhnliche Verbindungen - fehlgeschlagene Logins - Updates - offene Ports Merksatz: DMZ-Systeme müssen aktiv überwacht werden. DMZ und IDS/IPS IDS steht für: Intrusion Detection System IPS steht für: Intrusion Prevention System IDS erkennt verdächtigen Verkehr. IPS kann verdächtigen Verkehr zusätzlich blockieren. In einer DMZ können IDS/IPS-Systeme helfen, Angriffe auf öffentliche Dienste zu erkennen. Merksatz: IDS erkennt. IPS blockiert zusätzlich. DMZ und WAF WAF steht für: Web Application Firewall Eine WAF schützt Webanwendungen auf Anwendungsebene. Sie prüft zum Beispiel HTTP-Anfragen auf: - SQL-Injection - Cross-Site Scripting - ungewöhnliche Muster - bekannte Angriffsversuche - fehlerhafte Requests Eine WAF ersetzt keine sichere Anwendung, kann aber zusätzlichen Schutz bieten. Merksatz: WAF schützt Webanwendungen auf Schicht 7. DMZ und TLS Öffentliche Dienste in der DMZ nutzen häufig TLS. Beispiele: HTTPS SMTPS IMAPS LDAPS VPN mit Zertifikaten Wichtig: Zertifikate aktuell halten private Schlüssel schützen TLS-Versionen sicher konfigurieren Zertifikatskette vollständig liefern Merksatz: Öffentliche Dienste brauchen saubere TLS-Konfiguration. TLS-Terminierung in der DMZ TLS-Terminierung bedeutet: TLS endet am Reverse Proxy oder Load Balancer. Ablauf: Client → HTTPS → Reverse Proxy DMZ Reverse Proxy → HTTP oder HTTPS → Backend Vorteile: - zentrale Zertifikatsverwaltung - Entlastung der Backendserver - bessere Kontrolle - einheitliche Sicherheitsrichtlinien Wichtig: Die interne Verbindung sollte je nach Schutzbedarf ebenfalls gesichert werden. Merksatz: TLS-Terminierung beendet TLS an einem zentralen Punkt. TLS Passthrough TLS Passthrough bedeutet: Die TLS-Verbindung wird durchgereicht, ohne am Proxy entschlüsselt zu werden. Ablauf: Client → TLS → Proxy → TLS → Backend Vorteil: Ende der TLS-Verbindung liegt am Backend. Nachteil: Proxy kann Inhalte weniger gut prüfen oder steuern. Merksatz: TLS Passthrough reicht verschlüsselten Verkehr weiter. DMZ und Updates DMZ-Systeme sind oft exponiert. Deshalb sind Updates besonders wichtig. Betroffen sind: - Betriebssystem - Webserver - Reverse Proxy - Anwendung - Frameworks - Bibliotheken - VPN-Software - Mailgateway - TLS-Komponenten Merksatz: Exponierte Systeme müssen besonders konsequent aktualisiert werden. DMZ und Härtung Härtung bedeutet: Systeme sicher konfigurieren und unnötige Angriffsflächen reduzieren. Maßnahmen: - unnötige Dienste deaktivieren - Standardpasswörter ändern - Adminzugänge beschränken - Updates einspielen - Dateirechte prüfen - sichere TLS-Konfiguration - Logging aktivieren - nur notwendige Ports öffnen - Dienstkonten begrenzen Merksatz: Härtung reduziert Angriffsfläche. DMZ und Least Privilege Auch in der DMZ gilt: nur notwendige Rechte vergeben. Beispiele: Webdienstkonto braucht keinen Domain-Admin. Reverse Proxy braucht nur Zugriff auf definierte Backends. Monitoring braucht nur Leserechte. Adminzugriff nur für Admins. Merksatz: Least Privilege gilt auch für Dienste und Server. DMZ und Netzwerksegmentierung Netzwerksegmentierung bedeutet: Netzbereiche werden getrennt, damit nicht alle Systeme frei miteinander kommunizieren können. Die DMZ ist ein Beispiel für Segmentierung. Weitere Segmentierung: - Servernetz - Datenbanknetz - Managementnetz - Backupnetz - Gastnetz - IoT-Netz Merksatz: Segmentierung begrenzt Bewegungsfreiheit bei Angriffen. Laterale Bewegung Laterale Bewegung bedeutet: Ein Angreifer bewegt sich nach einem ersten Einbruch weiter im Netzwerk. Beispiel: Angriff auf Webserver in DMZ. Danach Versuch, interne Server oder Datenbanken zu erreichen. Segmentierung und Firewall-Regeln sollen das erschweren. Merksatz: DMZ soll laterale Bewegung ins LAN erschweren. DMZ und Zero Trust Zero Trust bedeutet vereinfacht: keinem Zugriff automatisch vertrauen. Auch DMZ-Systeme werden nicht automatisch als sicher betrachtet. Prinzipien: - Identität prüfen - Zugriff begrenzen - Verbindungen protokollieren - nur notwendige Dienste erlauben - Systeme überwachen - Rechte regelmäßig prüfen Merksatz: Auch innerhalb des Netzes nicht blind vertrauen. DMZ und Hochverfügbarkeit Öffentliche Dienste sollen oft zuverlässig erreichbar sein. Möglichkeiten: - zwei Firewalls - zwei Reverse Proxys - Load Balancer - redundante Internetanschlüsse - mehrere Server - Monitoring - automatischer Failover - regelmäßige Backups Merksatz: DMZ-Dienste brauchen je nach Kritikalität Verfügbarkeit und Redundanz. DMZ und Backup DMZ-Systeme brauchen Backups, aber Backups dürfen nicht unsicher erreichbar sein. Wichtig: - Backupzugriff einschränken - Backupdaten schützen - keine Schreibrechte aus DMZ auf zentrale Backups ohne Kontrolle - Wiederherstellung testen - Ransomware-Risiko beachten Merksatz: DMZ-Systeme sichern, aber Backup-Infrastruktur schützen. DMZ und Datenfluss Bei einer DMZ muss man Datenflüsse genau kennen. Fragen: Wer spricht mit wem? Welche Anwendung? Welcher Port? Welche Richtung? Welche Daten? Wie sensibel sind die Daten? Wird verschlüsselt? Wird protokolliert? Ist der Zugriff notwendig? Merksatz: DMZ-Regeln entstehen aus klaren Datenflüssen. Datenflussdiagramm für DMZ Ein einfaches Datenflussdiagramm kann zeigen: Internet → Reverse Proxy TCP 443 Reverse Proxy → interner Webdienst TCP 8080 interner Webdienst → Datenbank TCP 5432 Monitoring → Reverse Proxy SNMP oder Agent-Port Admin-Netz → Reverse Proxy SSH So erkennt man, welche Regeln wirklich nötig sind. Merksatz: Datenflüsse sichtbar machen, bevor Regeln erstellt werden. DMZ und Richtung der Verbindungen Die Richtung der Verbindung ist wichtig. Beispiel: Internet startet Verbindung zum Reverse Proxy. Reverse Proxy startet Verbindung zum Backend. Backend sollte normalerweise nicht beliebig Verbindungen ins Internet starten. Firewall-Regeln müssen nach der tatsächlichen Verbindungsrichtung erstellt werden. Merksatz: Regeln nach Verbindungsstart planen. DMZ und ausgehender Verkehr Auch ausgehender Verkehr aus der DMZ sollte kontrolliert werden. Warum? Ein kompromittiertes DMZ-System könnte versuchen: - Schadsoftware nachzuladen - Daten abzuziehen - Verbindung zu Command-and-Control-Servern aufzubauen - interne Systeme zu scannen - Spam zu versenden Merksatz: DMZ outbound nicht blind erlauben. DMZ und DNS DMZ-Systeme brauchen oft DNS. Aber: Sie sollten möglichst definierte DNS-Resolver nutzen. Regelidee: DMZ-Systeme → interner oder DMZ-DNS UDP/TCP 53 erlauben Nicht ideal: DMZ-Systeme → beliebige externe DNS-Server erlauben Merksatz: DNS aus der DMZ kontrollieren. DMZ und NTP DMZ-Systeme brauchen korrekte Uhrzeit. NTP ist wichtig für: - Zertifikate - Logs - Authentifizierung - Monitoring - Fehlersuche Regelidee: DMZ-Systeme → freigegebener NTP-Server UDP 123 Merksatz: DMZ-Systeme brauchen kontrollierte Zeitsynchronisation. DMZ und Namenskonzept Ein sauberes Namenskonzept hilft bei DMZ-Diensten. Beispiele: extern: www.firma.de vpn.firma.de mail.firma.de intern: reverseproxy01.dmz.firma.local mailgw01.dmz.firma.local Wichtig: öffentliche Namen, interne Namen und Zertifikate müssen zusammenpassen. Merksatz: DNS-Namen und Zertifikate sauber planen. DMZ und interne Authentifizierung Manchmal müssen DMZ-Dienste Benutzer gegen interne Verzeichnisdienste prüfen. Beispiel: Webanwendung in DMZ nutzt LDAP oder SSO. Problem: Direkter Zugriff aus DMZ auf interne Domain Controller kann riskant sein. Mögliche Lösungen: - gezielte LDAPS-Regeln - Reverse Proxy mit Authentifizierung - Federation / SSO - getrennte Identitätsdienste - Proxy-Dienst für Authentifizierung Merksatz: Authentifizierung aus der DMZ ins LAN nur gezielt und sicher erlauben. DMZ und Datenbankzugriff Wenn DMZ-Systeme Datenbankzugriff brauchen, sollte dieser stark begrenzt werden. Prüfen: Muss die Datenbank wirklich intern stehen? Welche Quelle darf zugreifen? Welcher Port? Welches Konto? Welche Rechte? Ist TLS nötig? Gibt es Protokollierung? Gibt es Eingabevalidierung in der Anwendung? Merksatz: Datenbankzugriff aus der DMZ ist kritisch. DMZ und direkte Internetzugriffe Nicht jedes DMZ-System braucht freien Internetzugang. Beispiele für notwendige ausgehende Verbindungen: Updateserver Zertifikatsprüfung Paketquellen Monitoring externe API Besser: gezielte Ziele erlauben oder Proxy nutzen Merksatz: DMZ-Systeme nicht beliebig ins Internet lassen. DMZ und öffentliche APIs Öffentliche APIs sollten besonders geschützt werden. Maßnahmen: - HTTPS - Authentifizierung - Autorisierung - Rate Limiting - Eingabevalidierung - Logging - Monitoring - WAF - API-Gateway - keine unnötigen Daten ausgeben Merksatz: Öffentliche API = stark exponierter Schicht-7-Dienst. DMZ und Fehlersuche Bei DMZ-Problemen prüft man systematisch: 1. DNS zeigt richtig? 2. öffentliche IP korrekt? 3. NAT oder Portweiterleitung korrekt? 4. Firewall-Regel WAN → DMZ korrekt? 5. Dienst in DMZ läuft? 6. Host-Firewall erlaubt Zugriff? 7. Zertifikat passt? 8. Proxy leitet korrekt weiter? 9. Regel DMZ → Backend korrekt? 10. Backend läuft? 11. Logs prüfen. Merksatz: DMZ-Fehlersuche braucht DNS, NAT, Firewall, Dienst und Backend. Fehlerbild: Öffentlicher Webdienst nicht erreichbar Mögliche Ursachen: - DNS zeigt auf falsche öffentliche IP - NAT-Regel fehlt - Firewall-Regel fehlt - Reverse Proxy down - Webserver hört nicht auf Port - Host-Firewall blockiert - Zertifikatfehler - falscher virtueller Host - Backend nicht erreichbar - Provider oder CGNAT-Problem Merksatz: Öffentlicher Webdienst braucht komplette Kette von DNS bis Backend. Fehlerbild: Reverse Proxy zeigt 502 Mögliche Ursachen: - Backend läuft nicht - falscher Backend-Port - falsches Protokoll HTTP/HTTPS - Firewall DMZ → Backend blockiert - Backend-DNS falsch - Container-Name oder interner Hostname falsch - Backend antwortet ungültig - Timeout Merksatz: 502 bedeutet oft: Proxy erreicht Backend nicht sauber. Fehlerbild: DMZ-Server erreicht LAN nicht Mögliche Ursachen: - Firewall-Regel fehlt - falsche Richtung - falsches Ziel - falscher Port - Route fehlt - Rückweg fehlt - Zielserver-Firewall blockiert - DNS löst intern falsch auf - Regel durch frühere Blockregel verdeckt Merksatz: DMZ zu LAN nur gezielt erlauben und sauber prüfen. Fehlerbild: DMZ-Server kann Updates nicht laden Mögliche Ursachen: - kein ausgehender Internetzugang erlaubt - DNS nicht erlaubt - Proxy erforderlich - Zertifikatsprüfung schlägt fehl - NTP falsch und Zertifikat wirkt ungültig - Paketquelle blockiert - Firewall-Regel zu eng Merksatz: Auch ausgehender DMZ-Verkehr braucht passende Regeln. Fehlerbild: Zertifikat passt intern, extern aber nicht Mögliche Ursachen: - extern anderer Hostname - Reverse Proxy liefert falsches Zertifikat - DNS zeigt auf falsche IP - Split DNS falsch - Zertifikat enthält externen Namen nicht - SNI-Konfiguration falsch Merksatz: Zertifikat muss zum tatsächlich aufgerufenen Namen passen. SNI kurz erklärt SNI steht für: Server Name Indication SNI ermöglicht, dass ein Server mehrere TLS-Zertifikate für verschiedene Hostnamen auf derselben IP anbieten kann. Beispiel: wiki.firma.de cloud.firma.de git.firma.de alle über: dieselbe öffentliche IP und TCP 443 Der Client teilt beim TLS-Aufbau den gewünschten Hostnamen mit. Merksatz: SNI hilft bei mehreren HTTPS-Diensten auf einer IP. DMZ und Prüfungsdenken In Prüfungsaufgaben wird oft erwartet, dass man erkennt: Öffentliche Dienste gehören in die DMZ. Interne Systeme gehören nicht direkt ins Internet. DMZ-Systeme dürfen nur notwendige Verbindungen ins LAN aufbauen. Firewall-Regeln müssen Quelle, Ziel, Dienst und Richtung enthalten. NAT und Firewall-Regeln müssen zusammenpassen. Merksatz: DMZ-Aufgaben immer mit Zonen und Datenflüssen lösen. Was eine DMZ nicht macht Eine DMZ macht nicht automatisch: - Webserver sicher - Software aktuell - Passwörter stark - TLS korrekt - Anwendung fehlerfrei - Datenbank geschützt - Angriffe unmöglich - Logs ausgewertet - Backups vorhanden Eine DMZ reduziert Risiken, ersetzt aber keine weiteren Sicherheitsmaßnahmen. Merksatz: DMZ ist Netztrennung, kein vollständiges Sicherheitskonzept. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür steht DMZ? - Was ist der Zweck einer DMZ? - Welche Systeme gehören typischerweise in eine DMZ? - Warum stehen öffentliche Server besser in der DMZ als im LAN? - Welche Regeln braucht ein Webserver in der DMZ? - Warum sollte die DMZ nicht frei ins LAN dürfen? - Was ist ein Reverse Proxy in der DMZ? - Was ist ein Bastion Host? - Was ist der Unterschied zwischen LAN, WAN und DMZ? - Warum sind Sicherheitszonen sinnvoll? - Was bedeutet Netzwerksegmentierung? - Was ist laterale Bewegung? - Welche Rolle spielen Firewall-Regeln zwischen Zonen? - Warum muss auch ausgehender Verkehr aus der DMZ kontrolliert werden? - Warum ist Monitoring in der DMZ wichtig? Typische Prüfungsfallen DMZ steht für Demilitarized Zone. DMZ ist ein separates Netz. DMZ ist nicht das interne LAN. Öffentliche Dienste gehören besser in die DMZ. DMZ schützt das LAN durch Trennung. DMZ darf nicht ungefiltert ins LAN. Internet darf nur notwendige DMZ-Dienste erreichen. Adminzugriff auf DMZ nicht aus dem gesamten Internet erlauben. Reverse Proxy kann in der DMZ stehen. Mailgateway kann in der DMZ stehen. VPN-Gateway kann in der DMZ stehen. Datenbankserver normalerweise nicht öffentlich in die DMZ stellen. DMZ-Systeme brauchen Updates und Härtung. DMZ-Systeme brauchen Monitoring und Logs. Firewall-Regeln zwischen Zonen müssen Richtung beachten. DMZ outbound ebenfalls kontrollieren. NAT-Regeln und Firewall-Regeln müssen zusammenpassen. DMZ ersetzt keine sichere Anwendung. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung DMZ separates Netz für öffentlich erreichbare Dienste Sicherheitszone Netzbereich mit eigenem Schutzbedarf WAN externes Netz oder Internet LAN internes Netz Managementnetz Netz für Administration Gastnetz separates Netz für Gäste Reverse Proxy nimmt Anfragen an und leitet an Backends weiter Mailgateway Mailserver-Schutz- oder Weiterleitungssystem VPN-Gateway Einstiegspunkt für VPN-Verbindungen Bastion Host abgesicherter Sprungserver Segmentierung Aufteilung in getrennte Netzbereiche laterale Bewegung Bewegung eines Angreifers innerhalb des Netzes IDS erkennt Angriffe IPS erkennt und blockiert Angriffe WAF Web Application Firewall TLS-Terminierung TLS endet am Proxy oder Load Balancer TLS Passthrough TLS wird verschlüsselt weitergereicht SNI Hostname-Anzeige beim TLS-Aufbau Härtung sichere Konfiguration eines Systems IHK-sichere Kurzformulierung Eine DMZ, also Demilitarized Zone, ist ein separates Netzwerksegment für Dienste, die aus dem Internet erreichbar sein müssen. Typische Systeme in einer DMZ sind Webserver, Reverse Proxys, Mailgateways oder VPN-Gateways. Der Zweck einer DMZ besteht darin, öffentliche Dienste vom internen LAN zu trennen und dadurch das interne Netz besser zu schützen. Zwischen WAN, DMZ und LAN werden gezielte Firewall-Regeln eingerichtet. Aus dem Internet sollten nur notwendige Dienste in der DMZ erreichbar sein, und von der DMZ ins interne LAN sollten nur zwingend erforderliche Verbindungen erlaubt werden. Eine DMZ reduziert Risiken, ersetzt aber keine Updates, Härtung, sichere Anwendungen, Monitoring oder Protokollierung. Merksätze DMZ = Demilitarized Zone. DMZ = separates Netz für öffentliche Dienste. DMZ ist nicht LAN. DMZ liegt zwischen Internet und internem Netz. Öffentliche Dienste gehören besser in die DMZ. DMZ schützt internes LAN durch Trennung. Internet → DMZ nur notwendige Dienste erlauben. Internet → LAN blockieren. DMZ → LAN nur zwingend notwendige Verbindungen erlauben. LAN → DMZ gezielt erlauben. Adminzugriff nur aus Managementnetz oder über Bastion Host. Reverse Proxy kann in der DMZ stehen. Mailgateway kann in der DMZ stehen. VPN-Gateway kann in der DMZ stehen. Datenbanken nicht direkt öffentlich platzieren. DMZ outbound kontrollieren. DNS und NTP für DMZ gezielt erlauben. DMZ-Systeme brauchen Updates. DMZ-Systeme brauchen Härtung. DMZ-Systeme brauchen Monitoring. DMZ-Systeme brauchen Logs. IDS erkennt Angriffe. IPS blockiert zusätzlich. WAF schützt Webanwendungen. TLS-Terminierung endet am Proxy. TLS Passthrough reicht TLS weiter. SNI ermöglicht mehrere HTTPS-Namen auf einer IP. Segmentierung begrenzt laterale Bewegung. DMZ ersetzt kein vollständiges Sicherheitskonzept. 11.5 Fehlersuche bei Firewalls, NAT und DMZ Bei Problemen mit Firewalls, NAT und DMZ reicht es nicht, nur zu prüfen, ob ein Server grundsätzlich erreichbar ist. Man muss die komplette Verbindungskette prüfen: Client DNS Routing Firewall-Regel NAT-Regel Zielsystem Dienst Rückweg Logs Merksatz: Firewall-Fehlersuche bedeutet: Quelle, Ziel, Port, Richtung, NAT und Logs prüfen. Grundidee der Fehlersuche Bei Firewall- und NAT-Problemen ist die wichtigste Frage: Wo wird der Verkehr unterbrochen? Dazu prüft man Schritt für Schritt: Kommt die Anfrage beim richtigen Ziel an? Wird sie erlaubt oder blockiert? Wird sie richtig übersetzt? Antwortet der Dienst? Kommt die Antwort zurück? Merksatz: Nicht raten, sondern den Weg der Verbindung nachvollziehen. Die wichtigsten Angaben vor der Fehlersuche Vor der Fehlersuche braucht man genaue Informationen. Wichtige Fragen: Wer ist die Quelle? Was ist das Ziel? Welcher Dienst wird genutzt? Welcher Port wird genutzt? TCP oder UDP? In welche Richtung geht die Verbindung? Intern oder extern? Gibt es NAT? Gibt es eine DMZ? Gibt es einen Reverse Proxy? Welche Fehlermeldung erscheint? Merksatz: Ohne Quelle, Ziel, Port und Richtung ist Firewall-Fehlersuche ungenau. Quelle bestimmen Die Quelle ist das System, das die Verbindung startet. Beispiele: Client im LAN externer Benutzer im Internet Server in der DMZ VPN-Client Monitoring-Server Admin-PC Anwendungssystem Wichtig: Die tatsächliche Quell-IP kann durch NAT verändert werden. Merksatz: Quelle = wer startet die Verbindung? Ziel bestimmen Das Ziel ist das System oder der Dienst, der erreicht werden soll. Beispiele: Webserver Datenbankserver Reverse Proxy Mailgateway DNS-Server SMB-Freigabe VPN-Gateway RDP-Server Wichtig: Bei DNS-Namen muss geprüft werden, auf welche IP-Adresse der Name wirklich zeigt. Merksatz: Ziel = welches System soll erreicht werden? Port und Protokoll bestimmen Ein Port allein reicht nicht. Man muss auch wissen: TCP oder UDP? Beispiele: Dienst Protokoll HTTPS TCP 443 DNS UDP/TCP 53 NTP UDP 123 SMB TCP 445 SSH TCP 22 RDP TCP 3389 SNMP UDP 161 HTTP/3 UDP 443 Merksatz: TCP 443 und UDP 443 sind unterschiedliche Dinge. Richtung bestimmen Firewall-Regeln sind richtungsabhängig. Beispiele: LAN → WAN WAN → DMZ DMZ → LAN VPN → Servernetz Managementnetz → DMZ Gastnetz → Internet Ein häufiger Fehler ist, eine Regel in der falschen Richtung anzulegen. Merksatz: Regelrichtung nach dem Verbindungsaufbau bestimmen. Zonen bestimmen Viele Firewalls arbeiten mit Zonen. Beispiele: LAN WAN DMZ VPN Gastnetz IoT-Netz Servernetz Managementnetz Eine Regel muss zur richtigen Zone passen. Beispiel: WAN → DMZ ist nicht dasselbe wie DMZ → WAN. Merksatz: Firewall-Regeln gelten zwischen Zonen oder Interfaces. DNS zuerst prüfen Viele vermeintliche Firewall-Probleme sind eigentlich DNS-Probleme. Beispiele: Domain zeigt auf falsche öffentliche IP. Interner DNS zeigt auf externe IP. Split DNS ist falsch. DNS-Cache enthält alten Eintrag. AAAA-Record zeigt auf nicht erreichbare IPv6-Adresse. CNAME zeigt auf falschen Namen. Merksatz: Falsche DNS-Auflösung führt zur falschen Zieladresse. Routing prüfen Firewall-Regeln helfen nicht, wenn kein gültiger Weg zum Ziel existiert. Zu prüfen: Gibt es eine Route zum Zielnetz? Gibt es einen Rückweg? Ist das richtige Gateway eingetragen? Geht der Rückverkehr über dieselbe Firewall? Gibt es asymmetrisches Routing? Ist ein VPN-Routing beteiligt? Merksatz: Routing bestimmt den Weg, Firewall erlaubt oder blockiert ihn. NAT prüfen Wenn NAT beteiligt ist, muss geprüft werden: Wird die richtige Quelladresse übersetzt? Wird die richtige Zieladresse übersetzt? Stimmt der externe Port? Stimmt der interne Port? Stimmt TCP oder UDP? Zeigt NAT auf das richtige interne Ziel? Gibt es mehrere NAT-Regeln? Greift eine alte Regel vorher? Merksatz: NAT-Fehler entstehen oft durch falsches Ziel, falschen Port oder falsche Reihenfolge. Firewall-Regel prüfen Bei der Firewall-Regel prüft man: Quelle korrekt? Ziel korrekt? Dienst korrekt? Protokoll korrekt? Port korrekt? Richtung korrekt? Zone korrekt? Regel aktiv? Regel an richtiger Position? Logging aktiv? Wird die Regel überhaupt getroffen? Merksatz: Die tatsächlich getroffene Regel ist wichtiger als die gedachte Regel. Regelreihenfolge prüfen Viele Firewalls arbeiten von oben nach unten. Die erste passende Regel entscheidet. Problem: Eine allgemeine Blockregel kann eine spätere Erlaubnisregel verdecken. Beispiel: Regel 1: DMZ → LAN any blockieren Regel 2: DMZ-Webserver → DB-Server TCP 5432 erlauben Wenn Regel 1 zuerst greift, funktioniert Regel 2 nicht. Merksatz: Spezifische Erlaubnis vor allgemeine Blockregel setzen. Logs prüfen Firewall-Logs sind bei der Fehlersuche besonders wichtig. Sie zeigen: Quelle Ziel Port Protokoll Aktion Regelname Zeit Interface Zone NAT-Übersetzung Typische Aktionen im Log: allowed denied dropped rejected Merksatz: Logs zeigen, ob die Firewall erlaubt oder blockiert. Keine Logs sichtbar Wenn keine Logs sichtbar sind, kann das bedeuten: Verkehr kommt gar nicht bei der Firewall an. Falsche Firewall wird geprüft. Falsches Interface wird geprüft. Logging ist für Regel deaktiviert. DNS zeigt auf anderes Ziel. Routing geht anderen Weg. Client sendet gar keine Anfrage. Provider oder vorgeschaltetes Gerät blockiert. Merksatz: Kein Logeintrag heißt nicht automatisch: Firewall ist nicht beteiligt. Dienst auf Zielsystem prüfen Wenn Firewall und NAT korrekt aussehen, muss der Dienst selbst geprüft werden. Fragen: Läuft der Dienst? Lauscht der Dienst auf dem richtigen Port? Lauscht der Dienst auf der richtigen IP-Adresse? Blockiert die Host-Firewall? Gibt es Anwendungslogs? Antwortet der Dienst korrekt? Ist das Zertifikat passend? Ist die Anwendung richtig konfiguriert? Merksatz: Erlaubter Port heißt nicht, dass der Dienst funktioniert. Host-Firewall prüfen Neben der zentralen Firewall kann auch das Zielsystem selbst blockieren. Beispiele: Windows Defender Firewall Linux nftables iptables ufw firewalld lokale Sicherheitssoftware Cloud Security Group Typisches Fehlerbild: Netzwerkfirewall erlaubt, aber Zielsystem lehnt ab oder antwortet nicht. Merksatz: Auch die lokale Firewall des Zielsystems prüfen. Rückweg prüfen Eine Verbindung braucht Hinweg und Rückweg. Wenn der Rückweg fehlt, funktioniert die Verbindung nicht. Mögliche Ursachen: falsches Gateway falsche Route asymmetrisches Routing NAT-Zuordnung fehlt Antwort geht an falsche Firewall Zielsystem antwortet über anderes Interface Merksatz: Verbindung funktioniert nur, wenn Anfrage und Antwort den passenden Weg haben. Asymmetrisches Routing Asymmetrisches Routing bedeutet: Hinweg und Rückweg laufen über unterschiedliche Wege. Bei Stateful Firewalls ist das problematisch, weil die Firewall den Verbindungszustand nur auf einem Weg sieht. Folge: Antwortpakete können als ungültig blockiert werden. Merksatz: Stateful Firewalls brauchen zusammenpassenden Hin- und Rückweg. Typisches Szenario: Externer Webdienst nicht erreichbar Beispiel: Benutzer im Internet kann https://wiki.firma.de nicht öffnen. Prüfreihenfolge: 1. DNS zeigt auf richtige öffentliche IP? 2. Öffentliche IP gehört wirklich zum Anschluss? 3. Kein CGNAT? 4. Portweiterleitung TCP 443 korrekt? 5. Firewall-Regel WAN → DMZ oder WAN → Reverse Proxy korrekt? 6. Reverse Proxy erreichbar? 7. Backend erreichbar? 8. Zertifikat gültig? 9. Webserver-Logs prüfen. 10. Firewall-Logs prüfen. Merksatz: Öffentlicher Webdienst braucht DNS, NAT, Firewall, Proxy, Backend und Zertifikat. Typisches Szenario: Intern funktioniert, extern nicht Wenn ein Dienst intern funktioniert, aber extern nicht, liegen Ursachen oft bei: externem DNS öffentlicher IP Portweiterleitung Firewall-Regel WAN → DMZ CGNAT Providerblockade Reverse Proxy Zertifikat Dienstbindung nur auf interne IP Merksatz: Intern funktioniert, extern nicht: externe Erreichbarkeit prüfen. Typisches Szenario: Extern funktioniert, intern nicht Wenn ein Dienst extern funktioniert, aber intern über denselben Namen nicht, liegen Ursachen oft bei: Hairpin NAT fehlt Split DNS fehlt internes DNS zeigt falsch interne Firewall blockiert Zertifikat passt intern nicht interner Client geht falschen Weg Merksatz: Extern funktioniert, intern nicht: Hairpin NAT oder Split DNS prüfen. Typisches Szenario: Portweiterleitung funktioniert nicht Mögliche Ursachen: - falsche öffentliche IP - CGNAT - Double NAT - NAT-Regel fehlt - NAT-Regel zeigt auf falschen Host - falscher externer Port - falscher interner Port - TCP/UDP verwechselt - Firewall-Regel fehlt - Host-Firewall blockiert - Dienst läuft nicht - DNS zeigt falsch - Test aus internem Netz ohne Hairpin NAT Merksatz: Portweiterleitung braucht korrekte öffentliche IP, NAT, Firewall und Dienst. Typisches Szenario: 502 Bad Gateway Ein 502-Fehler tritt häufig bei Reverse Proxys auf. Mögliche Ursachen: Backend läuft nicht. Backend-Port falsch. Backend-Protokoll falsch. DNS-Name des Backends falsch. Container oder Server nicht erreichbar. Firewall blockiert Proxy → Backend. Backend antwortet ungültig. TLS zum Backend falsch konfiguriert. Merksatz: 502 bedeutet oft: Proxy erreicht Backend nicht korrekt. Typisches Szenario: Zugriff auf Datenbank aus DMZ geht nicht Beispiel: Webserver in DMZ soll Datenbank im Servernetz erreichen. Prüfen: Quelle: Webserver in DMZ Ziel: Datenbankserver im Servernetz Dienst: Datenbankport Richtung: DMZ → Servernetz Zusätzlich: Datenbankdienst läuft? Datenbank lauscht auf richtiger IP? Host-Firewall erlaubt? Benutzerrechte in Datenbank korrekt? Rückweg vorhanden? Merksatz: Datenbankzugriff aus DMZ braucht enge, gezielte Regeln. Typisches Szenario: VPN-Benutzer erreicht internen Server nicht Mögliche Ursachen: - VPN-Verbindung nicht korrekt aufgebaut - VPN-Client bekommt falsche IP - Route zum internen Netz fehlt - Firewall-Regel VPN → Servernetz fehlt - DNS für interne Namen fehlt - Split Tunnel falsch - Zielserver-Firewall blockiert - Benutzergruppe nicht berechtigt - NAT im VPN falsch Merksatz: VPN-Probleme mit Adresse, Route, DNS, Firewall und Berechtigung prüfen. Typisches Szenario: Gastnetz erreicht LAN Das ist ein Sicherheitsproblem. Mögliche Ursachen: - Firewall-Regel zu offen - falsche Zonen-Zuordnung - VLAN falsch konfiguriert - Gastnetz und LAN im selben Netz - Any-Any-Regel - Routing ohne Filter - alte Testregel vergessen Merksatz: Gastnetz darf nicht ins interne LAN führen. Typisches Szenario: IoT-Geräte erreichen interne Server Auch das kann ein Risiko sein. Mögliche Ursachen: - IoT-Netz nicht getrennt - Firewall-Regel zu breit - Geräte im falschen VLAN - mDNS oder Broadcast-Freigaben unkontrolliert - Any-Regel aktiv - fehlende Segmentierung Besser: IoT → Internet nur nötig IoT → LAN blockieren Admin-Netz → IoT gezielt erlauben Merksatz: IoT-Geräte nur kontrolliert kommunizieren lassen. Typisches Szenario: DNS funktioniert nicht Mögliche Ursachen: - UDP 53 blockiert - TCP 53 blockiert - falscher DNS-Server - DNS-Server nicht erreichbar - Firewall erlaubt nur externe DNS - interne DNS-Zone fehlt - Split DNS falsch - DNS-Cache veraltet - DHCP verteilt falschen DNS Merksatz: DNS braucht je nach Fall UDP und TCP 53. Typisches Szenario: NTP funktioniert nicht Mögliche Ursachen: - UDP 123 blockiert - falscher Zeitserver - DNS zum Zeitserver fehlerhaft - Zeitabweichung zu groß - NTP-Dienst läuft nicht - Firewall erlaubt nur TCP statt UDP - VM-Zeitquelle widerspricht NTP Folgeprobleme: Zertifikatsfehler Kerberos-Probleme falsche Logs Monitoringfehler Merksatz: NTP-Probleme können viele Folgefehler erzeugen. Typisches Szenario: RDP funktioniert nicht Mögliche Ursachen: - TCP 3389 blockiert - RDP am Zielsystem deaktiviert - Benutzer nicht berechtigt - Zielsystem ausgeschaltet - VPN nicht verbunden - Firewall-Regel fehlt - Host-Firewall blockiert - NLA-Problem - DNS zeigt falsch Sicherheit: RDP nicht direkt aus dem Internet veröffentlichen. Merksatz: RDP besser über VPN oder Gateway nutzen. Typisches Szenario: SSH funktioniert nicht Mögliche Ursachen: - TCP 22 blockiert - SSH-Dienst läuft nicht - SSH läuft auf anderem Port - falscher Benutzer - falscher Schlüssel - Passwortlogin deaktiviert - Host-Firewall blockiert - Zugriff nur aus Managementnetz erlaubt - Fail2ban blockiert Quelle Merksatz: SSH mit Port, Dienst, Benutzer, Schlüssel und Firewall prüfen. Typisches Szenario: Mailserver empfängt keine Mails Mögliche Ursachen: - MX-Record falsch - DNS zeigt falsch - TCP 25 blockiert - NAT-Regel fehlt - Firewall-Regel fehlt - Mailgateway down - Spamfilter lehnt ab - Zertifikat oder TLS-Problem - Provider blockiert Port 25 - Mailserver nicht zuständig für Domain Merksatz: Mail-Empfang braucht MX, DNS, SMTP, Firewall und Mailserverkonfiguration. Typisches Szenario: Anwendung funktioniert nur teilweise Mögliche Ursachen: - Hauptport erlaubt, Zusatzport fehlt - API erreichbar, Datenbank nicht erreichbar - Weboberfläche erreichbar, WebSocket blockiert - DNS erlaubt, NTP blockiert - FTP-Login geht, Datenports fehlen - Authentifizierung geht, LDAP-Gruppenabfrage blockiert Merksatz: Manche Anwendungen brauchen mehr als nur einen Port. TCP und UDP nicht verwechseln Ein häufiger Fehler ist, nur den Port zu betrachten. Beispiele: DNS kann UDP 53 und TCP 53 brauchen. NTP nutzt UDP 123, nicht TCP 123. SNMP nutzt UDP 161, nicht TCP 161. HTTP/3 nutzt UDP 443, während HTTPS klassisch TCP 443 nutzt. Merksatz: Portnummer ohne Protokoll ist unvollständig. ICMP bei Fehlersuche ICMP wird oft für Diagnose genutzt. Beispiele: Ping Traceroute Ziel nicht erreichbar Time Exceeded Fragmentierung nötig ICMP komplett zu blockieren, kann Fehlersuche erschweren und Netzwerkprobleme verdecken. Merksatz: ICMP ist mehr als Ping. Ping reicht nicht aus Ping zeigt nur, ob ICMP-Echo funktioniert. Ping sagt nicht: ob TCP 443 offen ist ob HTTP funktioniert ob Anmeldung klappt ob DNS korrekt ist ob Zertifikat passt ob Anwendung gesund ist Merksatz: Ping ist nur ein erster Hinweis, kein vollständiger Diensttest. Porttest reicht nicht aus Ein erfolgreicher Porttest zeigt: Zielport ist erreichbar. Er zeigt nicht automatisch: Anwendung antwortet korrekt Authentifizierung klappt Datenformat stimmt Zertifikat passt Reverse Proxy leitet richtig weiter Benutzer hat Rechte Merksatz: Offener Port heißt nicht: Anwendung funktioniert. Typische Testwerkzeuge Werkzeug Zweck ping einfache Erreichbarkeit prüfen traceroute / tracert Weg zum Ziel prüfen nslookup DNS prüfen dig DNS detaillierter prüfen curl HTTP/HTTPS/API testen nc TCP/UDP-Port testen Test-NetConnection Windows-Porttest openssl s_client TLS-Zertifikat prüfen tcpdump Paketmitschnitt Wireshark Paketmitschnitt analysieren Firewall-Log erlaubten oder blockierten Verkehr prüfen Serverlog Dienstfehler prüfen Merksatz: Werkzeug nach Fragestellung auswählen. Paketmitschnitt Ein Paketmitschnitt kann zeigen, ob Verkehr wirklich ankommt. Man sieht zum Beispiel: ARP DNS TCP-Handshake TLS-Handshake ICMP DHCP Wiederholungen Timeouts Reset-Pakete Wichtig: Bei TLS sieht man den Inhalt nicht einfach im Klartext. Merksatz: Paketmitschnitt zeigt den echten Verkehr. TCP-Handshake prüfen Bei TCP ist der Verbindungsaufbau wichtig. Vereinfacht: SYN SYN-ACK ACK Fehlerbilder: Nur SYN: Ziel antwortet nicht oder Firewall blockiert. SYN und RST: Ziel lehnt aktiv ab oder Dienst nicht offen. SYN, SYN-ACK, ACK: TCP-Verbindung wurde aufgebaut. Merksatz: TCP-Handshake zeigt, ob eine TCP-Verbindung entsteht. Timeout Timeout bedeutet: Es kommt keine Antwort innerhalb der erwarteten Zeit. Mögliche Ursachen: - Firewall droppt Pakete - Routingproblem - Ziel nicht erreichbar - Dienst antwortet nicht - Rückweg fehlt - Paket geht an falsches Ziel - Provider blockiert Merksatz: Timeout bedeutet oft: keine oder keine passende Antwort. Connection Refused Connection refused bedeutet: Zielsystem ist erreichbar, aber der Dienst nimmt auf dem Port keine Verbindung an. Mögliche Ursachen: - Dienst läuft nicht - falscher Port - Dienst lauscht nur lokal - Host-Firewall lehnt aktiv ab - Anwendung nicht gestartet Merksatz: Connection refused deutet auf Zielsystem oder Dienst hin. Reset Ein TCP Reset beendet oder verweigert eine Verbindung aktiv. Mögliche Ursachen: - Dienst lehnt Verbindung ab - Firewall sendet Reset - Anwendung beendet Verbindung - falsches Protokoll auf Port - Sicherheitsregel greift Merksatz: Reset ist eine aktive Ablehnung oder Beendigung. Fehlersuche mit Logs kombinieren Am besten kombiniert man: Client-Fehler DNS-Ergebnis Porttest Firewall-Log NAT-Log Serverlog Anwendungstest Beispiel: Client meldet Timeout. Firewall-Log zeigt Drop. Ursache: Firewall-Regel fehlt oder blockiert. Oder: Client meldet 502. Firewall erlaubt. Reverse-Proxy-Log zeigt Backend nicht erreichbar. Ursache: Backend oder interne Regel prüfen. Merksatz: Mehrere Hinweise zusammen ergeben die Ursache. Fehler nach Änderung Wenn ein Problem direkt nach einer Änderung auftritt, prüft man zuerst diese Änderung. Beispiele: neue Firewall-Regel NAT geändert DNS geändert Zertifikat erneuert Reverse Proxy angepasst Dienst neu gestartet Server-IP geändert VLAN geändert VPN-Gruppe geändert Update installiert Merksatz: Nach Änderung zuerst Änderung prüfen. Änderungen dokumentieren Firewall- und NAT-Änderungen sollten dokumentiert werden. Wichtige Angaben: - Datum - Zweck - Quelle - Ziel - Port - Protokoll - Richtung - NAT-Ziel - Verantwortlicher - Ticket - Testergebnis - Rollback-Möglichkeit Merksatz: Gute Dokumentation verkürzt spätere Fehlersuche. Rollback Rollback bedeutet: Änderung zurücknehmen, wenn sie Probleme verursacht. Bei Firewall-Änderungen wichtig: vorherigen Zustand kennen Backup der Konfiguration haben Wartungsfenster beachten Zugriff auf Firewall nicht selbst aussperren Notfallzugang sichern Merksatz: Vor kritischen Änderungen Rückweg planen. Sich nicht selbst aussperren Bei Firewall-Änderungen kann man sich selbst den Zugriff nehmen. Beispiele: Admin-Regel gelöscht. Managementnetz blockiert. VPN-Regel falsch gesetzt. Weboberfläche der Firewall nicht mehr erreichbar. Vorbeugung: Konfiguration sichern. lokalen Zugriff bereithalten. Änderung mit Zeitplan oder Rollback absichern. Managementzugriff nicht ungetestet ändern. Merksatz: Managementzugriff besonders vorsichtig ändern. Checkliste: Firewall-Fehlersuche 1. Fehlerbild genau aufnehmen. 2. Quelle bestimmen. 3. Ziel bestimmen. 4. Port und Protokoll bestimmen. 5. Richtung und Zone bestimmen. 6. DNS prüfen. 7. Routing prüfen. 8. NAT prüfen. 9. Firewall-Regel prüfen. 10. Regelreihenfolge prüfen. 11. Firewall-Logs prüfen. 12. Zielsystem-Firewall prüfen. 13. Dienststatus prüfen. 14. Anwendung testen. 15. Rückweg prüfen. 16. letzte Änderungen prüfen. 17. Ergebnis dokumentieren. Merksatz: Firewall-Fehlersuche ist eine Kette, kein einzelner Test. Was man nicht vorschnell tun sollte Nicht sofort: Any-Any-Regel erstellen. Firewall komplett deaktivieren. alle Ports öffnen. DMZ ins LAN freigeben. Adminport ins Internet öffnen. Logs ignorieren. DNS ungeprüft lassen. NAT und Firewall verwechseln. Warum? Solche Maßnahmen können Sicherheitslücken erzeugen und die eigentliche Ursache verdecken. Merksatz: Nicht Sicherheit opfern, nur um schnell einen Test zu machen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wie geht man bei Firewall-Fehlersuche systematisch vor? - Warum reichen Ping und Porttest nicht aus? - Warum muss man Quelle, Ziel, Port und Richtung kennen? - Warum ist DNS bei Firewallproblemen relevant? - Warum muss NAT zusätzlich zur Firewall geprüft werden? - Warum kann eine Portweiterleitung trotz NAT-Regel nicht funktionieren? - Was bedeutet Timeout? - Was bedeutet Connection Refused? - Was ist asymmetrisches Routing? - Warum sind Firewall-Logs wichtig? - Warum können interne und externe Tests unterschiedliche Ergebnisse liefern? - Warum sollte man nicht einfach Any-Any erlauben? - Warum ist Dokumentation bei Firewall-Regeln wichtig? Typische Prüfungsfallen Ping prüft nicht den Dienst. Porttest prüft nicht die Anwendung. DNS kann wie ein Firewallproblem wirken. NAT-Regel ist nicht Firewall-Regel. Firewall-Regel ist nicht NAT-Regel. TCP und UDP nicht verwechseln. Regelrichtung beachten. Zone beachten. Regelreihenfolge beachten. Rückweg beachten. Stateful Firewalls brauchen Verbindungszustand. Asymmetrisches Routing kann Verbindungen stören. Timeout und Connection Refused bedeuten nicht dasselbe. Host-Firewall zusätzlich prüfen. Dienst muss wirklich laufen. Logs sind zentrale Hinweise. Keine Any-Any-Regel als Dauerlösung. Änderungen dokumentieren. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Quelle System, das Verbindung startet Ziel System, das erreicht werden soll Richtung Weg zwischen Zonen oder Interfaces Zone Sicherheitsbereich der Firewall NAT Adressübersetzung PAT Port- und Adressübersetzung Portweiterleitung externer Port wird intern weitergeleitet Rückweg Antwortweg zurück zur Quelle asymmetrisches Routing Hin- und Rückweg sind unterschiedlich Timeout keine Antwort innerhalb der Zeit Connection Refused Ziel lehnt Verbindung aktiv ab TCP Reset aktive Verbindungsbeendigung Firewall-Log Protokoll erlaubter oder blockierter Verbindungen Host-Firewall Firewall auf dem Zielsystem Hairpin NAT interner Zugriff über öffentliche Adresse Split DNS intern und extern unterschiedliche DNS-Antwort CGNAT Provider-NAT, oft ohne eingehende Ports Rollback Änderung zurücknehmen Any-Any sehr breite Erlaubnisregel IHK-sichere Kurzformulierung Bei der Fehlersuche an Firewalls, NAT und DMZ müssen Quelle, Ziel, Port, Protokoll, Richtung und Zone genau bestimmt werden. Zusätzlich sind DNS, Routing, NAT-Regeln, Firewall-Regeln, Regelreihenfolge, Host-Firewall, Dienststatus, Rückweg und Logs zu prüfen. Eine NAT-Regel übersetzt Adressen oder Ports, ersetzt aber keine Firewall-Regel. Ein erfolgreicher Ping oder ein offener Port beweist nicht, dass der Anwendungdienst korrekt funktioniert. Typische Ursachen für Fehler sind falsche DNS-Einträge, fehlende Portweiterleitungen, blockierende Firewall-Regeln, falsche Richtung, TCP/UDP-Verwechslung, fehlender Rückweg, CGNAT, Double NAT oder ein nicht laufender Dienst. Merksätze Erst Quelle bestimmen. Dann Ziel bestimmen. Dann Port und Protokoll bestimmen. Dann Richtung und Zone prüfen. DNS zuerst nicht vergessen. Routing findet den Weg. Firewall erlaubt oder blockiert den Weg. NAT übersetzt Adressen oder Ports. NAT ersetzt keine Firewall-Regel. Firewall-Regel ersetzt keine NAT-Regel. TCP und UDP nicht verwechseln. Regelreihenfolge beachten. Spezifisch vor allgemein. Logs zeigen, welche Regel greift. Kein Log kann bedeuten, dass Verkehr gar nicht ankommt. Host-Firewall zusätzlich prüfen. Dienst muss wirklich laufen. Rückweg muss stimmen. Timeout bedeutet: keine passende Antwort. Connection Refused bedeutet: Ziel lehnt aktiv ab. Ping reicht nicht aus. Porttest reicht nicht aus. Offener Port heißt nicht: Anwendung funktioniert. Intern und extern getrennt testen. Hairpin NAT oder Split DNS bei internen Tests beachten. CGNAT kann Portweiterleitungen verhindern. Any-Any nicht als schnelle Dauerlösung verwenden. Änderungen dokumentieren. Vor kritischen Änderungen Rollback planen. 11.6 Merksätze und Prüfungswissen zu Firewalls, NAT und DMZ Diese Seite fasst die wichtigsten Inhalte zu Firewalls, NAT, PAT, Portweiterleitung und DMZ zusammen. Diese Themen gehören zu den wichtigsten Grundlagen der Netzwerksicherheit. Wichtige Begriffe: - Firewall - Regelwerk - Paketfilter - Stateful Inspection - NAT - PAT - Portweiterleitung - DMZ - Sicherheitszone - Default Deny - Allow - Drop - Reject - Source NAT - Destination NAT - Hairpin NAT - Split DNS - CGNAT Merksatz: Firewall kontrolliert Verkehr. NAT übersetzt Adressen. DMZ trennt öffentliche Dienste vom internen Netz. Grundidee Firewalls, NAT und DMZ haben unterschiedliche Aufgaben. Firewall: entscheidet, ob Verkehr erlaubt oder blockiert wird. NAT: übersetzt IP-Adressen. PAT: übersetzt IP-Adressen und Ports. DMZ: trennt öffentlich erreichbare Dienste vom internen LAN. Merksatz: Firewall, NAT und DMZ nicht miteinander verwechseln. Firewall Eine Firewall kontrolliert Netzwerkverkehr. Sie prüft je nach Art zum Beispiel: - Quell-IP-Adresse - Ziel-IP-Adresse - Protokoll - Quellport - Zielport - Richtung - Interface - Zone - Verbindungsstatus - Anwendung Merksatz: Firewall = kontrollierter Übergang zwischen Netzen. Firewall-Regel Eine Firewall-Regel beschreibt, welcher Verkehr erlaubt oder blockiert wird. Typische Bestandteile: - Aktion - Quelle - Ziel - Dienst - Protokoll - Port - Richtung - Zone - Kommentar - Logging Merksatz: Firewall-Regel = Quelle, Ziel, Dienst und Aktion. Aktionen einer Firewall Aktion Bedeutung Allow Verkehr erlauben Deny Verkehr blockieren Drop Paket still verwerfen Reject Paket aktiv ablehnen Log Treffer protokollieren Merksatz: Allow erlaubt. Drop schweigt. Reject antwortet. Drop und Reject Drop bedeutet: Paket wird ohne Antwort verworfen. Reject bedeutet: Paket wird aktiv abgelehnt, und der Absender erhält eine Antwort. Typische Wirkung: Drop führt oft zu Timeout. Reject führt oft zu schneller Fehlermeldung. Merksatz: Drop = keine Antwort. Reject = aktive Ablehnung. Paketfilter Ein Paketfilter prüft vor allem: - IP-Adressen - Protokoll - Ports - Richtung - Interface Er arbeitet hauptsächlich auf Schicht 3 und 4. Merksatz: Paketfilter prüft IP und Port. Stateful Firewall Eine Stateful Firewall merkt sich Verbindungen. Sie erkennt: neues Paket bestehende Verbindung zugehörige Antwort ungültiges Paket Vorteil: Rückverkehr zu erlaubten Verbindungen kann automatisch zugelassen werden. Merksatz: Stateful Firewall kennt den Verbindungszustand. Stateful Inspection Stateful Inspection bedeutet: Die Firewall prüft, ob Pakete zu einer bekannten Verbindung gehören. Besonders wichtig bei TCP: SYN SYN-ACK ACK Merksatz: Stateful Inspection prüft Verbindungszusammenhang. Stateless Firewall Eine Stateless Firewall betrachtet Pakete einzeln. Sie merkt sich keinen Verbindungszustand. Folge: Hin- und Rückverkehr müssen genauer einzeln geregelt werden. Merksatz: Stateless = jedes Paket einzeln. Default Deny Default Deny bedeutet: Alles ist verboten, was nicht ausdrücklich erlaubt wurde. Das ist ein wichtiges Sicherheitsprinzip. Vorteil: unbekannter oder unnötiger Verkehr wird nicht automatisch erlaubt. Merksatz: Erst alles blockieren, dann gezielt erlauben. Default Allow Default Allow bedeutet: Alles ist erlaubt, was nicht ausdrücklich verboten wurde. Das ist oft unsicherer, weil vergessene oder neue Dienste automatisch erreichbar sein können. Merksatz: Default Allow ist bequem, aber riskant. Regelreihenfolge Viele Firewalls prüfen Regeln von oben nach unten. Die erste passende Regel entscheidet. Deshalb ist wichtig: spezifische Regeln vor allgemeine Regeln Beispiel: Erlaube Admin-PC → Server SSH vor: Blockiere restliches SSH Merksatz: Die erste passende Regel gewinnt. Spezifisch vor allgemein Spezifische Regeln beschreiben einen engen Fall. Allgemeine Regeln beschreiben einen breiten Fall. Richtig: erst Ausnahme erlauben, dann allgemein blockieren. Falsch: zuerst allgemein blockieren, dann Ausnahme erlauben. Merksatz: Spezifisch vor allgemein. Any und Any-Any Any bedeutet: beliebig Any-Any bedeutet meistens: Quelle beliebig Ziel beliebig Dienst beliebig Das ist sehr weit geöffnet und meist gefährlich. Merksatz: Any-Any vermeiden. Firewall-Zonen Eine Zone ist ein Sicherheitsbereich. Typische Zonen: Zone Zweck WAN Internet oder externes Netz LAN internes Clientnetz DMZ öffentliche Dienste Servernetz interne Server Managementnetz Administration Gastnetz Gäste IoT-Netz Geräte mit eingeschränktem Vertrauen VPN-Zone entfernte Benutzer nach VPN-Einwahl Merksatz: Zonen trennen Netze nach Schutzbedarf. LAN, WAN und DMZ LAN: internes Netz WAN: externes Netz oder Internet DMZ: eigenes Netz für öffentlich erreichbare Dienste Merksatz: LAN innen. WAN außen. DMZ dazwischen. DMZ DMZ steht für: Demilitarized Zone Eine DMZ enthält Dienste, die von außen erreichbar sein müssen. Beispiele: - Webserver - Reverse Proxy - Mailgateway - VPN-Gateway - öffentlicher DNS-Server - Bastion Host Merksatz: DMZ = separates Netz für öffentliche Dienste. Zweck einer DMZ Eine DMZ schützt das interne LAN. Wenn ein öffentlich erreichbarer Server kompromittiert wird, soll der Angreifer nicht direkt ins interne Netz gelangen. Merksatz: DMZ begrenzt Schaden bei öffentlichen Diensten. DMZ-Regelprinzip Typische Regelidee: Internet → DMZ: nur notwendige öffentliche Dienste erlauben Internet → LAN: blockieren DMZ → LAN: nur zwingend notwendige Verbindungen erlauben Managementnetz → DMZ: Administration gezielt erlauben Merksatz: DMZ darf keine freie Brücke ins LAN sein. Reverse Proxy in der DMZ Ein Reverse Proxy nimmt externe Anfragen an und leitet sie an interne Dienste weiter. Vorteile: - zentrale TLS-Verwaltung - mehrere Webdienste über eine öffentliche IP - weniger direkte Veröffentlichung interner Server - bessere Kontrolle - bessere Protokollierung Merksatz: Reverse Proxy bündelt und schützt Webzugriffe. Bastion Host Ein Bastion Host ist ein besonders abgesicherter Sprungserver. Er dient dazu, administrative Zugriffe zu bündeln und zu kontrollieren. Typisch: Admin → Bastion Host → Zielsystem Merksatz: Bastion Host = abgesicherter Zugangspunkt für Administration. NAT NAT steht für: Network Address Translation NAT übersetzt IP-Adressen. Typischer Einsatz: private IPv4-Adresse wird beim Zugriff ins Internet in öffentliche IPv4-Adresse übersetzt. Merksatz: NAT übersetzt IP-Adressen. Warum NAT bei IPv4 wichtig ist Private IPv4-Adressen sind im Internet nicht direkt geroutet. NAT ermöglicht, dass interne Geräte mit privaten Adressen trotzdem ins Internet können. Außerdem spart NAT öffentliche IPv4-Adressen. Merksatz: NAT ermöglicht Internetzugriff mit privaten IPv4-Adressen. Private IPv4-Adressbereiche Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Diese Bereiche sind für interne Netze vorgesehen. Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. Öffentliche IP-Adresse Eine öffentliche IP-Adresse ist im Internet routbar. Sie wird zum Beispiel vom Provider zugewiesen. Interne Geräte sind meist über NAT hinter dieser öffentlichen Adresse sichtbar. Merksatz: Öffentliche IP-Adresse ist im Internet erreichbar. Source NAT Source NAT ändert die Quelladresse. Typischer Fall: Client im LAN baut Verbindung ins Internet auf. Vorher: Quelle: private IP Nachher: Quelle: öffentliche IP des Routers oder der Firewall Merksatz: Source NAT ändert die Quelle. Destination NAT Destination NAT ändert die Zieladresse. Typischer Fall: externer Zugriff wird an internes Ziel weitergeleitet. Beispiel: öffentliche IP:443 → interner Webserver:443 Merksatz: Destination NAT ändert das Ziel. PAT PAT steht für: Port Address Translation PAT übersetzt zusätzlich Ports. Dadurch können viele interne Geräte gleichzeitig über eine öffentliche IP-Adresse kommunizieren. Merksatz: PAT = NAT mit Portübersetzung. NAT und PAT unterscheiden Begriff Bedeutung NAT IP-Adressen werden übersetzt PAT IP-Adressen und Ports werden übersetzt Source NAT Quelladresse wird geändert Destination NAT Zieladresse wird geändert Portweiterleitung externer Port wird intern weitergeleitet Merksatz: NAT = Adresse. PAT = Adresse plus Port. Portweiterleitung Portweiterleitung bedeutet: Ein externer Port wird an ein internes Ziel weitergeleitet. Beispiel: WAN TCP 443 → 192.168.10.20 TCP 443 Portweiterleitung ist eine Form von Destination NAT. Merksatz: Portweiterleitung macht interne Dienste extern erreichbar. Portweiterleitung und Sicherheit Eine Portweiterleitung erhöht die Angriffsfläche. Warum? Ein interner Dienst wird von außen erreichbar. Deshalb wichtig: - nur notwendige Ports öffnen - Dienste aktuell halten - starke Authentifizierung - TLS nutzen - Logs prüfen - Zugriff einschränken - keine Admin-Dienste direkt veröffentlichen Merksatz: Jeder veröffentlichte Port ist ein Risiko. Was man nicht direkt veröffentlichen sollte Normalerweise nicht direkt ins Internet: - SMB TCP 445 - RDP TCP 3389 - Telnet TCP 23 - Datenbankports - NAS-Adminoberflächen - Hypervisor-Management - Drucker - interne Adminoberflächen Besser: VPN, Reverse Proxy, Bastion Host, Zero-Trust-Zugriff oder kontrollierte Quellbeschränkung. Merksatz: Interne Admin-Dienste nicht direkt ins Internet öffnen. NAT-Regel und Firewall-Regel unterscheiden NAT-Regel: Wohin wird Verkehr übersetzt oder weitergeleitet? Firewall-Regel: Darf dieser Verkehr passieren? Beide müssen passen. Beispiel: NAT leitet WAN:443 an Server weiter. Firewall blockiert WAN → Server TCP 443. Ergebnis: Zugriff funktioniert nicht. Merksatz: NAT leitet um. Firewall erlaubt oder blockiert. Routing und Firewall unterscheiden Routing entscheidet: welchen Weg ein Paket nimmt. Firewall entscheidet: ob ein Paket erlaubt wird. Beides muss stimmen. Merksatz: Routing findet den Weg. Firewall erlaubt den Weg. Hairpin NAT Hairpin NAT bedeutet: Ein interner Client greift über die öffentliche Adresse auf einen internen Dienst zu. Beispiel: Client im LAN ruft cloud.firma.de auf. DNS liefert öffentliche IP. Router leitet Verbindung wieder nach innen. Merksatz: Hairpin NAT = intern über öffentliche Adresse. Split DNS Split DNS liefert intern und extern unterschiedliche DNS-Antworten. Beispiel: cloud.firma.de extern: öffentliche IP cloud.firma.de intern: interne IP Vorteil: interne Clients erreichen den Dienst direkt intern. Merksatz: Split DNS kann Hairpin NAT vermeiden. CGNAT CGNAT steht für: Carrier Grade NAT Dabei teilt der Provider eine öffentliche IPv4-Adresse auf mehrere Kunden auf. Folge: eingehende Portweiterleitungen funktionieren oft nicht direkt. Merksatz: CGNAT verhindert oft direkte eingehende IPv4-Verbindungen. Double NAT Double NAT bedeutet: Zwei NAT-Geräte sind hintereinander aktiv. Beispiel: Provider-Router macht NAT. Eigener Router macht NAT. Folge: Portweiterleitungen müssen auf beiden Geräten passen. Merksatz: Double NAT erschwert Portweiterleitungen. Firewall und DNS DNS ist bei Firewall- und NAT-Themen sehr wichtig. Beispiel: DNS zeigt auf falsche öffentliche IP. Dann erreicht der Client nicht das richtige Ziel. Oder: intern wird ein anderer DNS-Eintrag benötigt als extern. Merksatz: Falsches DNS kann wie ein Firewallproblem aussehen. Firewall und TLS Ein offener Port 443 bedeutet nicht automatisch, dass HTTPS korrekt funktioniert. Mögliche zusätzliche Probleme: - falsches Zertifikat - Zertifikat abgelaufen - Hostname passt nicht - Reverse Proxy falsch - Backend nicht erreichbar - TLS-Version passt nicht Merksatz: Port 443 offen heißt nicht: HTTPS funktioniert korrekt. Firewall und Rückweg Eine Verbindung braucht Hinweg und Rückweg. Wenn der Rückweg fehlt, funktioniert die Verbindung nicht. Mögliche Ursachen: - falsches Gateway - fehlende Route - asymmetrisches Routing - NAT-Zuordnung fehlt - Antwort geht über falsches Interface Merksatz: Ohne Rückweg keine funktionierende Verbindung. Asymmetrisches Routing Asymmetrisches Routing bedeutet: Hinweg und Rückweg laufen über unterschiedliche Wege. Das kann Stateful Firewalls stören, weil sie den Verbindungszustand nur auf einem Weg sehen. Merksatz: Stateful Firewalls brauchen passenden Hin- und Rückweg. Firewall-Logs Firewall-Logs zeigen, was mit Verkehr passiert. Wichtige Angaben: - Quelle - Ziel - Port - Protokoll - Aktion - Zeit - Regelname - Zone - Interface - NAT-Übersetzung Merksatz: Logs zeigen, ob Verkehr erlaubt oder blockiert wurde. Typische Fehler bei Firewalls Typische Fehler: - falsche Quelle - falsches Ziel - falscher Port - TCP und UDP verwechselt - falsche Richtung - falsche Zone - falsche Regelreihenfolge - Regel deaktiviert - Host-Firewall blockiert - Dienst läuft nicht - Rückweg fehlt - DNS zeigt falsch Merksatz: Firewall-Fehler sind oft Detailfehler. Typische Fehler bei NAT Typische Fehler: - NAT-Regel fehlt - falsche öffentliche IP - falsches internes Ziel - falscher interner Port - falscher externer Port - TCP und UDP verwechselt - CGNAT - Double NAT - alte NAT-Regel greift - DNS zeigt auf falsche IP - Hairpin NAT fehlt Merksatz: NAT-Fehler betreffen oft Adresse, Port oder Ziel. Typische Fehler bei DMZ Typische Fehler: - öffentliche Dienste im LAN statt in DMZ - DMZ darf zu viel ins LAN - Adminzugang aus Internet erlaubt - Firewall-Regel zu breit - Reverse Proxy erreicht Backend nicht - DNS falsch - Zertifikat falsch - ausgehender DMZ-Verkehr ungefiltert - Monitoring fehlt - Logs fehlen Merksatz: DMZ-Fehler sind oft Zonen- oder Regelprobleme. Systematische Fehlersuche Eine sinnvolle Reihenfolge: 1. Quelle bestimmen. 2. Ziel bestimmen. 3. Port und Protokoll bestimmen. 4. Richtung und Zone bestimmen. 5. DNS prüfen. 6. Routing prüfen. 7. NAT prüfen. 8. Firewall-Regel prüfen. 9. Regelreihenfolge prüfen. 10. Firewall-Logs prüfen. 11. Host-Firewall prüfen. 12. Dienststatus prüfen. 13. Rückweg prüfen. 14. Anwendung testen. 15. Änderungen prüfen. Merksatz: Firewall-Fehlersuche ist eine Verbindungskette. Ping reicht nicht aus Ping prüft nur ICMP-Erreichbarkeit. Ping sagt nicht: ob TCP 443 offen ist ob HTTPS korrekt funktioniert ob NAT stimmt ob Zertifikat passt ob Anmeldung funktioniert ob Anwendung antwortet Merksatz: Ping ist kein vollständiger Diensttest. Porttest reicht nicht aus Ein Porttest zeigt nur: Port erreichbar oder nicht erreichbar. Er zeigt nicht automatisch: Anwendung korrekt Zertifikat korrekt Anmeldung korrekt Rechte korrekt Datenformat korrekt Backend korrekt Merksatz: Offener Port heißt nicht: Dienst funktioniert. Timeout Timeout bedeutet: Es kommt keine Antwort innerhalb der erwarteten Zeit. Mögliche Ursachen: - Firewall droppt - Routingproblem - Dienst antwortet nicht - Rückweg fehlt - falsches Ziel - Provider blockiert Merksatz: Timeout bedeutet oft: keine passende Antwort. Connection Refused Connection refused bedeutet: Zielsystem ist erreichbar, aber der Dienst nimmt auf dem Port keine Verbindung an. Mögliche Ursachen: - Dienst läuft nicht - falscher Port - Dienst lauscht nur lokal - Host-Firewall lehnt ab Merksatz: Connection refused deutet eher auf Zielsystem oder Dienst hin. Wichtige Testwerkzeuge Werkzeug Zweck ping grobe Erreichbarkeit traceroute / tracert Weg zum Ziel nslookup DNS prüfen dig DNS detailliert prüfen curl HTTP/HTTPS testen nc TCP-/UDP-Port testen Test-NetConnection Windows-Porttest openssl s_client TLS prüfen tcpdump Verkehr mitschneiden Wireshark Pakete analysieren Firewall-Logs Regeltreffer prüfen Serverlogs Dienstfehler prüfen Merksatz: Werkzeug nach Fehlerbild auswählen. Sicherheitsprinzipien Wichtige Prinzipien: - Default Deny - Least Privilege - nur notwendige Ports öffnen - Adminzugänge nicht öffentlich machen - Zonen trennen - DMZ verwenden - Regeln dokumentieren - temporäre Regeln befristen - Logs aktivieren - Updates einspielen - Monitoring einsetzen Merksatz: Sicherheit entsteht durch mehrere Maßnahmen zusammen. Least Privilege bei Firewall-Regeln Least Privilege bedeutet: Nur erlauben, was wirklich benötigt wird. Beispiel schlecht: DMZ → LAN any erlauben Beispiel besser: Reverse Proxy → interner Webdienst TCP 8080 erlauben Merksatz: Firewall-Regeln so eng wie möglich setzen. Dokumentation Firewall- und NAT-Regeln sollten dokumentiert werden. Wichtige Angaben: - Zweck - Quelle - Ziel - Port - Protokoll - Richtung - NAT-Ziel - Verantwortlicher - Ticket - Datum - Ablaufdatum bei temporären Regeln Merksatz: Undokumentierte Regeln werden später zum Risiko. Regelreview Firewall-Regelwerke sollten regelmäßig geprüft werden. Dabei sucht man: - alte Regeln - ungenutzte Regeln - temporäre Regeln ohne Ablauf - Any-Any-Regeln - zu breite Freigaben - fehlende Kommentare - shadowed rules - redundante Regeln Merksatz: Firewall-Regeln altern und müssen gepflegt werden. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist die Aufgabe einer Firewall? - Was ist der Unterschied zwischen Firewall und NAT? - Was ist eine Stateful Firewall? - Was bedeutet Stateful Inspection? - Was bedeutet Default Deny? - Warum ist die Regelreihenfolge wichtig? - Warum sind Any-Any-Regeln gefährlich? - Was ist NAT? - Was ist PAT? - Was ist Source NAT? - Was ist Destination NAT? - Was ist eine Portweiterleitung? - Warum reicht eine NAT-Regel allein nicht aus? - Was ist eine DMZ? - Warum stellt man öffentliche Dienste in eine DMZ? - Warum darf die DMZ nicht frei ins LAN? - Was ist Hairpin NAT? - Was ist Split DNS? - Was ist CGNAT? - Wie geht man bei Firewall-Fehlersuche vor? Typische Prüfungsfallen Firewall ist nicht NAT. NAT ist nicht Firewall. NAT übersetzt Adressen. PAT übersetzt Adressen und Ports. Portweiterleitung ist Destination NAT. NAT-Regel ersetzt keine Firewall-Regel. Firewall-Regel ersetzt keine NAT-Regel. Routing entscheidet den Weg. Firewall entscheidet die Erlaubnis. DNS kann wie ein Firewallproblem wirken. Port offen heißt nicht: Anwendung funktioniert. TCP und UDP nicht verwechseln. Regelrichtung beachten. Regelreihenfolge beachten. Spezifisch vor allgemein. Default Deny ist sicherer. Any-Any vermeiden. Drop und Reject unterscheiden. DMZ ist nicht LAN. DMZ darf nicht frei ins LAN. Öffentliche Dienste gehören besser in die DMZ. RDP nicht direkt ins Internet öffnen. SMB nicht direkt ins Internet öffnen. CGNAT kann Portweiterleitung verhindern. Hairpin NAT betrifft interne Zugriffe über öffentliche Adresse. Split DNS kann Hairpin NAT vermeiden. Rückweg prüfen. Logs prüfen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Firewall kontrolliert Netzwerkverkehr Firewall-Regel Bedingung mit Aktion Paketfilter prüft IP-Adressen und Ports Stateful Firewall kennt Verbindungszustände Stateful Inspection Prüfung des Verbindungsstatus Default Deny alles blockieren, außer erlaubt Allow erlauben Deny blockieren Drop still verwerfen Reject aktiv ablehnen Zone Sicherheitsbereich LAN internes Netz WAN externes Netz DMZ Netz für öffentliche Dienste NAT Adressübersetzung PAT Adress- und Portübersetzung Source NAT Quelladresse wird geändert Destination NAT Zieladresse wird geändert Portweiterleitung externer Port wird intern weitergeleitet Hairpin NAT interner Zugriff über öffentliche Adresse Split DNS intern und extern unterschiedliche DNS-Antwort CGNAT Provider-NAT für mehrere Kunden Double NAT zwei NAT-Geräte hintereinander Reverse Proxy leitet Webanfragen an Backends Bastion Host abgesicherter Sprungserver Any-Any sehr breite Regel Rückweg Antwortweg zurück zur Quelle asymmetrisches Routing Hin- und Rückweg unterschiedlich IHK-sichere Gesamtformulierung Eine Firewall kontrolliert Netzwerkverkehr zwischen Systemen oder Netzbereichen und entscheidet anhand von Regeln, ob Verbindungen erlaubt oder blockiert werden. Typische Kriterien sind Quelle, Ziel, Port, Protokoll, Richtung und Zone. NAT übersetzt IP-Adressen, während PAT zusätzlich Ports übersetzt. Eine Portweiterleitung ist eine Form von Destination NAT und macht einen internen Dienst von außen erreichbar. NAT-Regeln und Firewall-Regeln sind zu unterscheiden und müssen zusammenpassen. Eine DMZ ist ein separates Netz für Dienste, die von außen erreichbar sein müssen. Sie schützt das interne LAN, indem öffentliche Dienste getrennt platziert und Zugriffe zwischen WAN, DMZ und LAN gezielt geregelt werden. Wichtigste Merksätze Firewall kontrolliert Verkehr. NAT übersetzt Adressen. PAT übersetzt Adressen und Ports. DMZ trennt öffentliche Dienste vom LAN. Firewall ist nicht NAT. NAT ist nicht Firewall. Routing findet den Weg. Firewall erlaubt den Weg. NAT-Regel leitet um. Firewall-Regel erlaubt oder blockiert. Source NAT ändert Quelle. Destination NAT ändert Ziel. Portweiterleitung ist Destination NAT. Private IPv4-Adressen sind intern. Öffentliche IP-Adressen sind im Internet routbar. Default Deny ist sicherer. Die erste passende Regel gewinnt. Spezifisch vor allgemein. Any-Any vermeiden. Drop schweigt. Reject antwortet. Stateful Firewall kennt Verbindungen. Rückweg muss passen. Asymmetrisches Routing kann stören. DMZ ist nicht LAN. DMZ darf nicht frei ins LAN. Öffentliche Dienste gehören besser in die DMZ. Reverse Proxy kann Dienste bündeln. RDP nicht direkt ins Internet öffnen. SMB nicht direkt ins Internet öffnen. CGNAT kann Portweiterleitungen verhindern. Hairpin NAT = intern über öffentliche Adresse. Split DNS = intern andere DNS-Antwort. DNS, NAT, Firewall, Dienst und Logs gemeinsam prüfen. 12. Sniffing, Analyse und Fehlersuche 12.1 Sniffing, Paketmitschnitt und Netzwerkanalyse Sniffing bedeutet: Netzwerkverkehr mitschneiden und analysieren. Dabei werden Datenpakete sichtbar gemacht, damit man verstehen kann, was im Netzwerk wirklich passiert. Typische Werkzeuge sind: - Wireshark - tcpdump - tshark - Packet Capture auf Firewalls - Switch-Port-Mirroring - Browser-Entwicklertools - Logdateien als Ergänzung Merksatz: Sniffing zeigt den tatsächlichen Netzwerkverkehr. Warum nutzt man Paketmitschnitte? Ein Paketmitschnitt hilft, wenn normale Fehlermeldungen nicht ausreichen. Man kann damit prüfen: Kommt ein Paket überhaupt an? Antwortet das Zielsystem? Wird DNS korrekt gefragt? Findet ein TCP-Handshake statt? Gibt es Wiederholungen? Gibt es Timeouts? Wird die Verbindung aktiv abgelehnt? Wird TLS aufgebaut? Werden DHCP-Pakete gesendet? Gibt es ARP-Probleme? Merksatz: Paketmitschnitt hilft, Vermutungen durch echte Daten zu ersetzen. Sniffing ist nicht immer erlaubt Netzwerkverkehr kann sensible Informationen enthalten. Beispiele: - Benutzernamen - Passwörter - Cookies - Tokens - E-Mail-Inhalte - interne IP-Adressen - Kundendaten - personenbezogene Daten - vertrauliche Kommunikation Deshalb gilt: Paketmitschnitte nur mit Erlaubnis, Zweckbindung und möglichst begrenztem Umfang durchführen. Merksatz: Sniffing ist technisch hilfreich, aber datenschutz- und sicherheitsrelevant. Was sieht man in einem Paketmitschnitt? In einem Paketmitschnitt sieht man je nach Protokoll: - Quell-MAC-Adresse - Ziel-MAC-Adresse - Quell-IP-Adresse - Ziel-IP-Adresse - Protokoll - Quellport - Zielport - Flags - Paketgröße - Zeitstempel - DNS-Anfragen - TCP-Handshake - TLS-Handshake - unverschlüsselte Nutzdaten Bei verschlüsselten Verbindungen sieht man den Inhalt nicht einfach im Klartext. Merksatz: Metadaten sind oft sichtbar, Inhalte bei TLS meist nicht. OSI-Schichten im Paketmitschnitt Ein Paketmitschnitt zeigt mehrere OSI-Schichten gleichzeitig. Sichtbarer Bereich OSI-Schicht MAC-Adressen 2 VLAN-Tags 2 IP-Adressen 3 ICMP 3 TCP / UDP 4 Ports 4 TLS-Handshake 6 / 7-Bezug DNS, HTTP, DHCP, SMTP 7 Merksatz: Paketmitschnitt verbindet die Schichten sichtbar miteinander. Wireshark Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen. Es zeigt Pakete übersichtlich mit: - Paketliste - Paketdetails - Rohdaten - Protokollauswertung - Filtern - Zeitinformationen - Verbindungsübersichten Wireshark eignet sich besonders gut, um Protokolle Schritt für Schritt zu verstehen. Merksatz: Wireshark macht Netzwerkverkehr sichtbar und lesbar. tcpdump tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte. Es wird häufig auf Linux, Unix, Firewalls, Servern oder Netzwerkgeräten verwendet. Vorteile: - schnell - leicht auf Servern nutzbar - gut für SSH-Sitzungen - kann Mitschnitte als Datei speichern - gut für gezielte Filter Merksatz: tcpdump ist Paketmitschnitt auf der Kommandozeile. tshark tshark ist die Kommandozeilenversion von Wireshark. Es kann Pakete aufzeichnen, filtern und Protokolldaten ausgeben. Typische Nutzung: - Analyse auf Servern - automatisierte Auswertung - schnelle Suche in Mitschnitten - Export bestimmter Felder Merksatz: tshark bringt Wireshark-Funktionen auf die Kommandozeile. Packet Capture auf Firewalls Viele Firewalls bieten eine eingebaute Paketmitschnittfunktion. Vorteil: Man sieht, ob Pakete an der Firewall ankommen und auf welchem Interface sie erscheinen. Das ist hilfreich bei: - NAT-Problemen - Routingproblemen - DMZ-Verkehr - VPN-Problemen - Firewall-Regelprüfung - asymmetrischem Routing Merksatz: Mitschnitt auf der Firewall zeigt, was die Firewall wirklich sieht. Switch-Port-Mirroring Ein Switch leitet normalerweise nur relevante Frames an den passenden Port weiter. Damit ein Analysegerät trotzdem Verkehr anderer Ports sehen kann, nutzt man: Port Mirroring oder: SPAN-Port Dabei wird Verkehr von einem oder mehreren Ports auf einen Analyseport kopiert. Merksatz: Port Mirroring kopiert Verkehr zu einem Analyseport. Warum sieht man nicht automatisch alles? In geswitchten Netzwerken sieht ein normaler Client nicht den gesamten Verkehr. Er sieht hauptsächlich: - eigenen Verkehr - Broadcasts - Multicasts - bestimmte lokale Pakete Er sieht normalerweise nicht: den gesamten Verkehr anderer Clients Dafür braucht man Port Mirroring, Mitschnitt am Zielsystem oder Mitschnitt an einer Firewall. Merksatz: In geswitchten Netzen sieht man ohne Mirror nicht alles. Promiscuous Mode Promiscuous Mode bedeutet: Die Netzwerkkarte nimmt auch Frames an, die nicht direkt an ihre eigene MAC-Adresse gerichtet sind. Das ist für Sniffing hilfreich. Aber: In geswitchten Netzwerken reicht Promiscuous Mode allein nicht, um fremden Verkehr zu sehen. Merksatz: Promiscuous Mode hilft, ersetzt aber kein Port Mirroring. Capture Filter und Display Filter Bei Wireshark und tcpdump gibt es unterschiedliche Filterarten. Capture Filter: bestimmen, was überhaupt aufgezeichnet wird. Display Filter: bestimmen, was nachträglich angezeigt wird. Beispiel: Capture Filter: nur Verkehr zu Host 192.168.10.20 mitschneiden Display Filter: im vorhandenen Mitschnitt nur DNS anzeigen Merksatz: Capture Filter begrenzt Aufnahme. Display Filter begrenzt Anzeige. Capture Filter Capture Filter werden vor oder während der Aufnahme angewendet. Vorteil: kleinere Dateien weniger Daten bessere Übersicht weniger sensible Daten Nachteil: was nicht aufgezeichnet wurde, kann man später nicht analysieren. Merksatz: Capture Filter nur setzen, wenn klar ist, was benötigt wird. Display Filter Display Filter werden nach der Aufnahme angewendet. Vorteil: alle Daten bleiben erhalten Ansicht kann beliebig eingegrenzt werden ideal für Analyse Beispiele für Filterideen: nur eine IP-Adresse nur DNS nur TCP-Fehler nur HTTP nur Pakete mit Reset Merksatz: Display Filter sind sicherer für Analyse, weil die Rohdaten erhalten bleiben. Wichtige Filtergedanken Typische Fragen: Welche IP-Adresse interessiert mich? Welcher Port interessiert mich? Welches Protokoll interessiert mich? Welche Richtung interessiert mich? Welche Fehlermeldung sehe ich? Welche Zeitspanne ist relevant? Beispiele: Verkehr eines bestimmten Hosts DNS-Anfragen TCP-Verbindungen zu Port 443 ICMP-Pakete DHCP-DORA ARP-Anfragen Merksatz: Gute Filter entstehen aus einer klaren Fragestellung. MAC-Adressen im Mitschnitt MAC-Adressen gehören zu OSI-Schicht 2. Sie zeigen, welche Geräte im lokalen Netzwerksegment miteinander kommunizieren. Wichtig: MAC-Adressen ändern sich bei jedem Routing-Hop. Ein Paket zum Internet hat im LAN als Ziel-MAC nicht den Webserver im Internet, sondern die MAC-Adresse des Standard-Gateways. Merksatz: Im lokalen Netz ist die Ziel-MAC oft das Gateway. IP-Adressen im Mitschnitt IP-Adressen gehören zu OSI-Schicht 3. Sie zeigen: Quell-IP Ziel-IP Bei NAT können sich IP-Adressen ändern. Beispiel: vor NAT: private Client-IP nach NAT: öffentliche Firewall-IP Merksatz: IP-Adressen zeigen logische Endpunkte, können durch NAT geändert werden. Ports im Mitschnitt Ports gehören zu OSI-Schicht 4. Sie zeigen, welcher Dienst angesprochen wird. Beispiel: Zielport TCP 443: typischerweise HTTPS Zielport TCP 22: typischerweise SSH Zielport UDP 53: typischerweise DNS Merksatz: Ports helfen, Dienste zu erkennen. Quellport und Zielport Bei Client-Server-Verbindungen nutzt der Client meist einen temporären Quellport. Beispiel: Client: 192.168.10.50:53124 Server: 203.0.113.10:443 Dabei ist: 53124 = temporärer Quellport 443 = Zielport des Dienstes Merksatz: Der bekannte Dienstport ist meistens der Zielport beim Server. TCP-Handshake im Mitschnitt TCP baut eine Verbindung mit drei Schritten auf: SYN SYN-ACK ACK Im Mitschnitt sieht man dadurch, ob eine TCP-Verbindung zustande kommt. Beobachtung mögliche Bedeutung SYN, SYN-ACK, ACK Verbindung aufgebaut nur SYN-Wiederholungen keine Antwort, Firewall oder Routingproblem SYN, RST Ziel lehnt aktiv ab SYN, SYN-ACK, danach kein ACK Rückweg oder Clientproblem viele Retransmissions Paketverlust oder Blockierung Merksatz: TCP-Handshake ist einer der wichtigsten Hinweise im Mitschnitt. TCP SYN SYN bedeutet: Client möchte eine TCP-Verbindung starten. Wenn man nur SYN-Pakete sieht, aber keine Antwort, kann das bedeuten: Ziel antwortet nicht. Firewall blockiert. Rückweg fehlt. Ziel-IP ist falsch. Dienst ist nicht erreichbar. Routing stimmt nicht. Merksatz: Nur SYN ohne Antwort deutet auf keine erreichbare Antwort hin. TCP SYN-ACK SYN-ACK bedeutet: Server akzeptiert den Verbindungsaufbau grundsätzlich und antwortet. Wenn SYN-ACK ankommt, ist der Zielport grundsätzlich erreichbar. Danach muss der Client mit ACK bestätigen. Merksatz: SYN-ACK zeigt: Ziel hat auf TCP-Verbindungsversuch geantwortet. TCP ACK ACK bestätigt empfangene Daten oder Verbindungsaufbau. ACKs sind normaler Bestandteil von TCP. Sie zeigen, dass Pakete angekommen sind und die Verbindung fortgesetzt werden kann. Merksatz: ACK bestätigt Empfang. TCP RST RST steht für: Reset Ein RST beendet oder verweigert eine Verbindung aktiv. Mögliche Ursachen: - Dienst läuft nicht - Port geschlossen - Anwendung lehnt ab - Firewall sendet Reset - falsches Protokoll auf Port - Verbindung wird abgebrochen Merksatz: RST = aktive Ablehnung oder Abbruch. TCP Retransmission Retransmission bedeutet: TCP sendet ein Paket erneut. Grund: keine Bestätigung erhalten Mögliche Ursachen: - Paketverlust - Firewall blockiert Pakete - Überlastung - schlechter Link - Rückwegproblem - Ziel antwortet nicht Merksatz: Retransmissions deuten auf verlorene oder unbeantwortete Pakete hin. TCP Window TCP Window beschreibt, wie viele Daten empfangen werden können, bevor eine Bestätigung nötig ist. Wenn das Fenster sehr klein oder null wird, kann das auf Leistungsprobleme hindeuten. Beispiel: Empfänger kann nicht schnell genug verarbeiten. Merksatz: TCP Window betrifft Flusskontrolle und Leistung. UDP im Mitschnitt UDP hat keinen Verbindungsaufbau wie TCP. Es gibt keinen SYN, kein SYN-ACK und kein ACK für den Verbindungsaufbau. Bei UDP prüft man: Wird Anfrage gesendet? Kommt Antwort zurück? Gibt es ICMP-Fehler? Wird der richtige Port genutzt? Merksatz: UDP ist verbindungslos, deshalb sieht man keinen Handshake. ICMP im Mitschnitt ICMP gehört zu Schicht 3. Es wird genutzt für: - Ping - Ziel nicht erreichbar - Time Exceeded - Fragmentierung nötig - Diagnosemeldungen ICMP-Meldungen können wichtige Hinweise geben. Beispiel: Destination Unreachable Merksatz: ICMP liefert oft Hinweise auf Netzwerkprobleme. ARP im Mitschnitt ARP gehört zur lokalen IPv4-Kommunikation. ARP fragt: Welche MAC-Adresse gehört zu dieser IPv4-Adresse? Beispiel: Wer hat 192.168.10.1? Antwort: 192.168.10.1 ist bei MAC-Adresse xx:xx:xx:xx:xx:xx Merksatz: ARP löst IPv4-Adresse zu MAC-Adresse im lokalen Netz auf. ARP-Probleme erkennen Typische Hinweise: viele ARP-Anfragen ohne Antwort falsche MAC-Adresse doppelte IP-Adresse Gateway antwortet nicht Client fragt falsches Ziel direkt Mögliche Ursachen: - Ziel nicht im lokalen Netz - falsche Netzmaske - falsches Gateway - VLAN falsch - IP-Konflikt - Gerät offline Merksatz: ARP-Probleme zeigen oft lokale Layer-2- oder Layer-3-Fehler. DNS im Mitschnitt DNS ist häufig sehr gut im Mitschnitt erkennbar. Man sieht: welche Namen gefragt werden welcher DNS-Server gefragt wird welche Antwort zurückkommt ob A- oder AAAA-Records angefragt werden ob NXDOMAIN zurückkommt ob Antwort verzögert ist Merksatz: DNS-Mitschnitt zeigt, welcher Name wirklich wohin aufgelöst wird. DHCP im Mitschnitt DHCP kann man im Mitschnitt gut erkennen. Der klassische Ablauf: Discover Offer Request Acknowledge Fehlerbilder: Discover ohne Offer: DHCP-Server oder Relay antwortet nicht. Offer kommt, aber kein Ack: Anfrage oder Serverbestätigung gestört. falsche Optionen: Gateway oder DNS falsch verteilt. Merksatz: DHCP-DORA ist im Mitschnitt gut nachvollziehbar. TLS im Mitschnitt Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt. Man sieht aber oft: TLS-Version Server Name Indication Zertifikatsinformationen Cipher-Aushandlung Handshake-Fehler Verbindungsabbrüche Wichtig: Der Inhalt von HTTPS bleibt ohne Entschlüsselung geschützt. Merksatz: TLS versteckt Inhalte, aber der Handshake liefert Hinweise. SNI im Mitschnitt SNI steht für: Server Name Indication Der Client teilt beim TLS-Aufbau mit, welchen Hostnamen er erreichen möchte. Das ist wichtig, wenn mehrere HTTPS-Dienste auf derselben IP laufen. Beispiel: wiki.firma.de cloud.firma.de git.firma.de alle über: dieselbe IP und TCP 443 Merksatz: SNI zeigt den gewünschten TLS-Hostnamen. HTTP im Mitschnitt Unverschlüsseltes HTTP kann im Mitschnitt direkt gelesen werden. Man sieht zum Beispiel: Methode Pfad Host-Header Statuscode Header teilweise Inhalte Bei HTTPS sieht man diese Inhalte normalerweise nicht, weil sie verschlüsselt sind. Merksatz: HTTP ist lesbar, HTTPS schützt den Inhalt. FTP und Telnet im Mitschnitt FTP und Telnet können unverschlüsselte Inhalte übertragen. Bei klassischem FTP können sichtbar sein: Benutzername Passwort Befehle Dateiinhalte Bei Telnet können sichtbar sein: Login Passwort Befehle Merksatz: Unverschlüsselte Protokolle sind im Mitschnitt gefährlich sichtbar. SMB im Mitschnitt SMB-Verkehr kann Hinweise liefern bei: Zugriff verweigert Verbindungsproblemen Namensproblemen Protokollversionsproblemen Dateioperationen Authentifizierungsproblemen Wichtig: Moderne SMB-Kommunikation kann teilweise signiert oder verschlüsselt sein. Merksatz: SMB-Mitschnitte helfen bei Freigabe- und Rechteproblemen. Zeitstempel im Mitschnitt Zeitstempel zeigen, wann Pakete gesendet oder empfangen wurden. Sie helfen bei: Timeouts Verzögerungen Wiederholungen langsamen Antworten Reihenfolge von Ereignissen Wichtig: Systemzeit des Analysegeräts sollte korrekt sein. Merksatz: Ohne korrekte Zeit sind Mitschnitte schwerer auszuwerten. Paketgröße Die Paketgröße kann Hinweise geben. Beispiele: sehr kleine Pakete: Steuerinformationen, ACKs, Handshake große Pakete: Datenübertragung fragmentierte Pakete: MTU- oder Fragmentierungsthemen möglich Merksatz: Paketgrößen können Leistungs- oder MTU-Probleme sichtbar machen. MTU-Probleme im Mitschnitt MTU steht für: Maximum Transmission Unit MTU-Probleme können auftreten, wenn Pakete zu groß sind und Fragmentierung nicht richtig funktioniert. Typische Hinweise: Verbindungen bauen auf, aber größere Datenübertragungen hängen. Webseiten laden teilweise. VPN-Verbindungen haben Probleme. ICMP Fragmentation Needed fehlt oder wird blockiert. Merksatz: MTU-Probleme zeigen sich oft erst bei größeren Paketen. Wo sollte man mitschneiden? Der Ort des Mitschnitts ist entscheidend. Mögliche Stellen: Client Server Firewall WAN Firewall LAN Firewall DMZ Switch Mirror Port Router VPN-Gateway Reverse Proxy Je nach Stelle sieht man unterschiedliche Informationen. Merksatz: Der Mitschnittort entscheidet, was man sehen kann. Clientseitiger Mitschnitt Ein Mitschnitt am Client zeigt: was der Client wirklich sendet welche DNS-Anfragen gestellt werden welche IP erreicht wird ob Antwort zurückkommt welche Fehlversuche entstehen Gut bei: Einzelclient-Problemen DNS-Problemen Browserproblemen VPN-Clientproblemen Merksatz: Client-Mitschnitt zeigt die Sicht des Clients. Serverseitiger Mitschnitt Ein Mitschnitt am Server zeigt: ob Anfragen beim Server ankommen von welcher IP sie ankommen auf welchem Port sie ankommen ob der Server antwortet ob die Host-Firewall beteiligt sein könnte Gut bei: Dienstproblemen Firewallverdacht NAT-Fragen Rückwegproblemen Merksatz: Server-Mitschnitt zeigt, ob der Dienst wirklich erreicht wird. Firewall-Mitschnitt Ein Mitschnitt auf der Firewall zeigt: kommt Verkehr auf WAN an? wird Verkehr nach NAT weitergeleitet? kommt Antwort zurück? auf welchem Interface erscheint Verkehr? wird Rückverkehr sichtbar? Gut bei: NAT DMZ VPN Routing Portweiterleitung asymmetrischem Routing Merksatz: Firewall-Mitschnitt zeigt den Übergang zwischen Zonen. Mehrere Mitschnitte vergleichen Manchmal braucht man Mitschnitte an mehreren Stellen. Beispiel: Client sendet SYN. Firewall WAN sieht SYN. Firewall DMZ sieht weitergeleitetes SYN. Server sieht kein SYN. Dann liegt das Problem zwischen Firewall und Server. Oder: Server antwortet. Firewall sieht Antwort. Client sieht Antwort nicht. Dann Rückweg oder Filter prüfen. Merksatz: Mehrere Mitschnitte zeigen, wo Pakete verschwinden. Paketmitschnitt und Logs kombinieren Paketmitschnitte zeigen Verkehr. Logs zeigen Entscheidungen und Anwendungszustände. Beispiele: Firewall-Log: Paket wurde blockiert. Webserver-Log: Anfrage kam an und erzeugte 500. Auth-Log: Anmeldung wurde abgelehnt. Paketmitschnitt: TCP-Verbindung wurde aufgebaut. Merksatz: Mitschnitt und Logs ergänzen sich. Typische Analysefragen Bei einem Paketmitschnitt fragt man: Sehe ich überhaupt Pakete? Sehe ich die richtige Quelle? Sehe ich das richtige Ziel? Sehe ich den richtigen Port? Sehe ich DNS vorher? Sehe ich einen TCP-Handshake? Sehe ich Reset oder Timeout? Sehe ich TLS-Handshake? Sehe ich Antwortpakete? Sehe ich Wiederholungen? Sehe ich ICMP-Fehler? Passt die Richtung? Merksatz: Mitschnitt immer mit konkreter Frage auswerten. Typisches Fehlerbild: Nur SYN-Wiederholungen Wenn man nur SYN-Pakete sieht, aber keine SYN-ACK-Antwort, kann das bedeuten: Ziel nicht erreichbar Firewall droppt falsche Ziel-IP Routingproblem Rückweg fehlt Dienst oder Host antwortet nicht NAT falsch Merksatz: Nur SYN-Wiederholungen deuten auf fehlende Antwort hin. Typisches Fehlerbild: RST nach SYN Wenn auf ein SYN direkt ein RST kommt, kann das bedeuten: Port geschlossen Dienst läuft nicht Host lehnt Verbindung ab Firewall lehnt aktiv ab falscher Zielport Merksatz: RST nach SYN heißt: Verbindung wird aktiv abgelehnt. Typisches Fehlerbild: DNS NXDOMAIN NXDOMAIN bedeutet: Name existiert nicht. Mögliche Ursachen: falscher Name DNS-Zone fehlt Tippfehler interner DNS nicht genutzt falscher Suchsuffix Split DNS falsch Merksatz: NXDOMAIN heißt: DNS kennt diesen Namen nicht. Typisches Fehlerbild: DHCP Discover ohne Offer Wenn ein Client DHCP Discover sendet, aber kein Offer erhält, kann das bedeuten: DHCP-Server nicht erreichbar DHCP-Relay fehlt VLAN falsch DHCP-Server down Firewall blockiert Scope voll falsches Netzwerk Merksatz: Discover ohne Offer: Client findet keinen antwortenden DHCP-Server. Typisches Fehlerbild: TLS Alert Ein TLS Alert zeigt, dass der TLS-Aufbau ein Problem hat. Mögliche Ursachen: Zertifikatproblem falscher Hostname inkompatible TLS-Version inkompatible Cipher Suite Client oder Server bricht ab mTLS-Zertifikat fehlt Merksatz: TLS Alert deutet auf Problem im TLS-Handshake hin. Typisches Fehlerbild: Viele Retransmissions Viele Retransmissions können bedeuten: Paketverlust Überlastung Firewall blockiert einzelne Pakete Rückwegproblem WLAN-Probleme MTU-Probleme schlechte Verbindung Merksatz: Viele Wiederholungen zeigen, dass Bestätigungen fehlen. Typisches Fehlerbild: ARP ohne Antwort ARP-Anfragen ohne Antwort können bedeuten: Ziel ist nicht im lokalen Netz Ziel ist offline VLAN falsch falsche IP-Adresse falsche Netzmaske Gateway nicht erreichbar IP-Konflikt Merksatz: ARP ohne Antwort zeigt lokale Erreichbarkeitsprobleme. Sicherheit beim Speichern von Mitschnitten Paketmitschnitte können sensible Daten enthalten. Deshalb: nur notwendige Dauer mitschneiden Filter nutzen Dateien sicher speichern Zugriff beschränken Mitschnitte nach Zweck löschen keine Mitschnitte unnötig weitergeben personenbezogene Daten beachten Merksatz: Mitschnittdateien wie sensible Daten behandeln. PCAP-Dateien Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert. Diese Dateien können später geöffnet und analysiert werden. Vorteile: - spätere Analyse möglich - Weitergabe an Fachabteilung möglich - Vergleich mit Logs möglich - Dokumentation eines Fehlerfalls Achtung: PCAP-Dateien können vertrauliche Informationen enthalten. Merksatz: PCAP ist praktisch, aber sensibel. Was ein Paketmitschnitt nicht automatisch liefert Ein Paketmitschnitt zeigt nicht automatisch: warum ein Benutzer keine Berechtigung hat warum eine Anwendung intern Fehler wirft warum ein Passwort falsch ist warum ein Serverprozess abgestürzt ist welche Firewall-Regel intern entschieden hat ob ein Zertifikat fachlich richtig beantragt wurde Dafür braucht man zusätzlich: Logs Konfiguration Berechtigungsprüfung Dienststatus Fachwissen Merksatz: Paketmitschnitt zeigt Verkehr, aber nicht jede Ursache. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was versteht man unter Sniffing? - Wofür nutzt man einen Paketmitschnitt? - Was ist Wireshark? - Was ist tcpdump? - Was ist Port Mirroring? - Warum sieht man in einem geswitchten Netzwerk nicht automatisch allen Verkehr? - Was ist der Unterschied zwischen Capture Filter und Display Filter? - Was sieht man bei einem TCP-Handshake? - Was bedeuten SYN, SYN-ACK und ACK? - Was bedeutet TCP Reset? - Was bedeuten Retransmissions? - Warum sieht man bei HTTPS den Inhalt nicht einfach im Klartext? - Was kann man bei DNS im Mitschnitt erkennen? - Was zeigt DHCP-DORA im Mitschnitt? - Warum sind Paketmitschnitte sensibel? Typische Prüfungsfallen Sniffing zeigt echten Netzwerkverkehr. Sniffing ist datenschutzrelevant. Wireshark ist grafisch. tcpdump ist Kommandozeile. In geswitchten Netzen sieht man nicht automatisch alles. Port Mirroring kopiert Verkehr auf Analyseport. Promiscuous Mode allein reicht im Switch-Netz oft nicht. Capture Filter begrenzt Aufnahme. Display Filter begrenzt Anzeige. Was nicht aufgezeichnet wurde, kann später nicht analysiert werden. TCP hat Handshake. UDP hat keinen Handshake. SYN startet TCP-Verbindung. SYN-ACK ist Serverantwort. ACK bestätigt. RST lehnt ab oder beendet. Retransmission bedeutet erneutes Senden. TLS schützt Inhalte. HTTP ist lesbar, HTTPS normalerweise nicht. FTP und Telnet sind im Mitschnitt gefährlich sichtbar. Mitschnittort ist entscheidend. Logs und Mitschnitt ergänzen sich. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Sniffing Mitschneiden von Netzwerkverkehr Paketmitschnitt Aufzeichnung von Paketen Wireshark grafisches Analysewerkzeug tcpdump Kommandozeilenwerkzeug für Mitschnitte tshark Wireshark auf Kommandozeile PCAP Datei mit Paketmitschnitt Port Mirroring Kopieren von Switch-Verkehr auf Analyseport SPAN Port-Mirroring-Begriff bei Switches Promiscuous Mode Netzwerkkarte nimmt fremde Frames an Capture Filter Filter vor der Aufnahme Display Filter Filter für Anzeige nach Aufnahme SYN TCP-Verbindungsstart SYN-ACK TCP-Antwort des Servers ACK Bestätigung RST Reset, aktive Ablehnung oder Abbruch Retransmission erneutes Senden eines Pakets ARP IPv4-Adresse zu MAC-Adresse ICMP Diagnose- und Fehlermeldungsprotokoll SNI Hostname im TLS-Handshake TLS Alert Fehlermeldung im TLS-Handshake NXDOMAIN DNS-Name existiert nicht DORA DHCP Discover, Offer, Request, Acknowledge IHK-sichere Kurzformulierung Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder Paketmitschnitten auf Firewalls kann geprüft werden, welche Pakete tatsächlich gesendet und empfangen werden. Dabei lassen sich unter anderem MAC-Adressen, IP-Adressen, Ports, Protokolle, TCP-Handshakes, DNS-Anfragen, DHCP-Abläufe, ICMP-Meldungen, TLS-Handshakes und Wiederholungen erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür ist häufig Port Mirroring oder ein Mitschnitt an der richtigen Stelle nötig. Paketmitschnitte können sensible Daten enthalten und müssen deshalb sorgfältig und nur mit berechtigtem Zweck eingesetzt werden. Merksätze Sniffing = Netzwerkverkehr mitschneiden. Paketmitschnitt zeigt echten Verkehr. Wireshark ist grafisch. tcpdump ist Kommandozeile. tshark ist Wireshark für die Kommandozeile. PCAP-Dateien enthalten Mitschnitte. Mitschnitte können sensible Daten enthalten. In geswitchten Netzen sieht man nicht automatisch alles. Port Mirroring kopiert Verkehr. Promiscuous Mode reicht allein oft nicht. Capture Filter begrenzt Aufnahme. Display Filter begrenzt Anzeige. Mitschnittort ist entscheidend. MAC-Adressen gehören zu Schicht 2. IP-Adressen gehören zu Schicht 3. Ports gehören zu Schicht 4. DNS gehört zu Schicht 7. TCP hat Handshake. UDP hat keinen Handshake. SYN startet TCP-Verbindung. SYN-ACK antwortet. ACK bestätigt. RST lehnt ab oder beendet. Retransmission bedeutet erneutes Senden. ARP löst IPv4 zu MAC auf. ICMP liefert Diagnosehinweise. DHCP-DORA ist im Mitschnitt sichtbar. TLS schützt Inhalte. HTTP ist lesbar. HTTPS ist normalerweise nicht lesbar. FTP und Telnet sind unsicher, weil Inhalte sichtbar sein können. Logs und Paketmitschnitt zusammen auswerten. 12.2 Wireshark-Analyse: Filter, Protokolle und typische Fehlerbilder Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkverkehr. Mit Wireshark kann man Paketmitschnitte öffnen, filtern und auswerten. Ziel ist nicht nur: Pakete sehen Sondern: Verstehen, was im Netzwerk wirklich passiert. Merksatz: Wireshark zeigt Pakete, aber die Analyse entsteht durch gezielte Fragen. Grundidee der Wireshark-Analyse Ein Paketmitschnitt kann sehr viele Daten enthalten. Ohne Filter ist die Analyse schnell unübersichtlich. Deshalb arbeitet man mit Fragen: Welche IP-Adresse interessiert mich? Welcher Dienst funktioniert nicht? Welcher Port wird genutzt? Gibt es DNS-Anfragen? Gibt es einen TCP-Handshake? Gibt es Timeouts? Gibt es Reset-Pakete? Gibt es TLS-Fehler? Kommt eine Antwort zurück? Merksatz: Erst Fragestellung, dann Filter. Wireshark-Oberfläche Wireshark zeigt typischerweise drei Bereiche: Bereich Bedeutung Paketliste alle aufgezeichneten Pakete als Übersicht Paketdetails aufgeschlüsselte Protokollinformationen Paketbytes Rohdaten des Pakets Die Paketliste zeigt zum Beispiel: Zeit Quelle Ziel Protokoll Länge Information Merksatz: Paketliste zeigt Überblick, Paketdetails zeigen Inhalt. Paketliste In der Paketliste sieht man jedes Paket als Zeile. Wichtige Spalten: No. Time Source Destination Protocol Length Info Diese Spalten helfen, den Ablauf der Kommunikation zu verstehen. Merksatz: Die Paketliste zeigt die zeitliche Reihenfolge der Pakete. Paketdetails Die Paketdetails zeigen, welche Protokollschichten im Paket enthalten sind. Beispiele: Frame Ethernet IPv4 oder IPv6 TCP oder UDP TLS HTTP DNS DHCP Damit kann man sehen, welche Schichten beteiligt sind. Merksatz: Paketdetails zeigen die Protokolle Schicht für Schicht. Paketbytes Die Paketbytes zeigen die Rohdaten des Pakets. Das ist besonders wichtig, wenn man sehr genau prüfen möchte, welche Daten wirklich übertragen wurden. Für die IHK reicht meist: verstehen, dass dies die Rohdaten sind. Merksatz: Paketbytes sind die technische Rohansicht. Display Filter Display Filter bestimmen, welche Pakete angezeigt werden. Sie ändern nicht die gespeicherte Aufzeichnung. Beispielgedanke: Zeige nur DNS. Zeige nur Pakete zu dieser IP. Zeige nur TCP-Resets. Zeige nur HTTP. Merksatz: Display Filter blenden aus, löschen aber nichts aus der Aufnahme. Capture Filter Capture Filter bestimmen, was überhaupt aufgezeichnet wird. Vorteil: weniger Daten kleinere Datei bessere Übersicht weniger sensible Informationen Nachteil: nicht aufgezeichnete Pakete sind später verloren. Merksatz: Capture Filter vor Aufnahme, Display Filter nach Aufnahme. Capture Filter und Display Filter vergleichen Filterart Zeitpunkt Wirkung Capture Filter vor oder während Aufnahme begrenzt, was aufgezeichnet wird Display Filter nach Aufnahme begrenzt nur die Anzeige Merksatz: Capture Filter spart Daten. Display Filter hilft bei Analyse. Wichtige Wireshark-Display-Filter Ziel Filteridee bestimmte IP anzeigen ip.addr == 192.168.10.20 nur Quelle ip.src == 192.168.10.20 nur Ziel ip.dst == 192.168.10.20 bestimmter TCP-Port tcp.port == 443 bestimmter UDP-Port udp.port == 53 nur DNS dns nur HTTP http nur TLS tls nur ARP arp nur ICMP icmp nur DHCP dhcp nur TCP Reset tcp.flags.reset == 1 nur TCP SYN tcp.flags.syn == 1 TCP Retransmissions tcp.analysis.retransmission Merksatz: Display Filter müssen zur Fragestellung passen. IP-Adresse filtern Wenn ein bestimmter Host untersucht wird, filtert man nach dessen IP-Adresse. Beispiel: ip.addr == 192.168.10.20 Das zeigt Pakete, bei denen diese IP-Adresse Quelle oder Ziel ist. Merksatz: ip.addr zeigt Verkehr mit einer bestimmten IP. Quelle und Ziel unterscheiden Manchmal muss man genauer unterscheiden. Quelle: ip.src == 192.168.10.20 Ziel: ip.dst == 192.168.10.20 Das ist hilfreich, wenn man wissen will: Wer startet die Verbindung? Wer antwortet? Merksatz: ip.src = Quelle. ip.dst = Ziel. Port filtern Ports helfen, Dienste zu erkennen. Beispiel: tcp.port == 443 zeigt TCP-Verkehr, bei dem Port 443 als Quell- oder Zielport vorkommt. Genauer: tcp.dstport == 443 zeigt Pakete, die zu einem Dienst auf Port 443 gehen. Merksatz: Zielport zeigt meist den angesprochenen Dienst. TCP und UDP getrennt betrachten Portnummern allein reichen nicht. Beispiele: tcp.port == 443 ist nicht dasselbe wie: udp.port == 443 Das ist wichtig bei: HTTPS klassisch über TCP 443 HTTP/3 über UDP 443 DNS über UDP/TCP 53 Merksatz: Port immer mit TCP oder UDP betrachten. DNS analysieren DNS ist häufig der erste Schritt vor einer Verbindung. Mit Filter: dns sieht man DNS-Anfragen und Antworten. Wichtige Fragen: Welcher Name wird gefragt? Welcher DNS-Server wird gefragt? Welche IP-Adresse wird zurückgegeben? Kommt NXDOMAIN? Wird IPv4 oder IPv6 angefragt? Gibt es lange Antwortzeiten? Merksatz: DNS zeigt, wohin ein Name wirklich aufgelöst wird. DNS A und AAAA A-Record: Name zu IPv4-Adresse AAAA-Record: Name zu IPv6-Adresse Im Mitschnitt kann man sehen, ob ein Client IPv4, IPv6 oder beides anfragt. Fehlerfall: AAAA zeigt auf nicht erreichbare IPv6-Adresse, obwohl IPv4 funktionieren würde. Merksatz: DNS-Antworten können IPv4 und IPv6 betreffen. DNS NXDOMAIN NXDOMAIN bedeutet: Name existiert nicht. Mögliche Ursachen: - Tippfehler - falscher DNS-Suffix - falscher DNS-Server - interne Zone fehlt - Split DNS falsch - Name wurde nicht angelegt Merksatz: NXDOMAIN heißt: DNS kennt diesen Namen nicht. TCP-Analyse TCP-Verbindungen erkennt man am Handshake: SYN SYN-ACK ACK Mit Wireshark prüft man: Gibt es SYN? Kommt SYN-ACK zurück? Wird ACK gesendet? Gibt es RST? Gibt es Retransmissions? Gibt es Timeouts? Merksatz: TCP-Analyse beginnt oft beim Handshake. TCP SYN filtern Ein SYN startet eine TCP-Verbindung. Filteridee: tcp.flags.syn == 1 Achtung: SYN-ACK enthält ebenfalls SYN. Wenn man nur reine SYN-Pakete ohne ACK sehen möchte, braucht man sinngemäß: SYN gesetzt, ACK nicht gesetzt. Merksatz: SYN zeigt Verbindungsversuche. TCP SYN-ACK erkennen SYN-ACK ist die Antwort des Servers auf ein SYN. Bedeutung: Der Zielport antwortet grundsätzlich. Wenn SYN-ACK zurückkommt, ist der Weg zum Server und zurück zumindest für diesen Schritt vorhanden. Merksatz: SYN-ACK zeigt, dass der Server auf den TCP-Verbindungsaufbau antwortet. TCP ACK erkennen ACK bestätigt den Empfang. Nach SYN und SYN-ACK bestätigt der Client mit ACK. Dann ist der TCP-Verbindungsaufbau abgeschlossen. Merksatz: SYN, SYN-ACK, ACK = TCP-Verbindung aufgebaut. TCP Reset erkennen Ein Reset beendet oder verweigert eine Verbindung. Filter: tcp.flags.reset == 1 Mögliche Ursachen: - Port geschlossen - Dienst läuft nicht - Anwendung lehnt ab - Firewall sendet Reset - falsches Protokoll - Verbindung wird aktiv beendet Merksatz: RST ist eine aktive Ablehnung oder Beendigung. TCP Retransmissions erkennen Retransmissions sind erneute Übertragungen. Filteridee: tcp.analysis.retransmission Mögliche Ursachen: - Paketverlust - Firewall blockiert einzelne Pakete - WLAN-Probleme - Überlastung - Rückwegproblem - MTU-Problem Merksatz: Retransmissions bedeuten: Bestätigung fehlt oder Paket ging verloren. TCP Zero Window TCP Zero Window bedeutet: Empfänger kann aktuell keine weiteren Daten aufnehmen. Mögliche Ursachen: - Anwendung verarbeitet Daten zu langsam - Empfänger überlastet - Ressourcenproblem - System hängt Merksatz: Zero Window deutet auf Empfänger- oder Leistungsproblem hin. TCP Dup ACK Duplicate ACK bedeutet: Eine Bestätigung wird mehrfach gesendet. Das kann auf Paketverlust oder fehlende Segmente hinweisen. In Kombination mit Retransmissions kann es Netzwerkprobleme sichtbar machen. Merksatz: Duplicate ACK kann auf verlorene TCP-Segmente hindeuten. UDP analysieren UDP hat keinen Verbindungsaufbau. Bei UDP prüft man: Wird eine Anfrage gesendet? Kommt eine Antwort zurück? Gibt es ICMP-Fehler? Wird der richtige UDP-Port genutzt? Ist der Server erreichbar? Blockiert eine Firewall? Beispiele: DNS DHCP NTP SNMP VoIP HTTP/3 Merksatz: UDP hat keinen Handshake, deshalb muss man Anfrage und Antwort direkt prüfen. ICMP analysieren ICMP liefert Diagnoseinformationen. Wichtige ICMP-Meldungen: Echo Request Echo Reply Destination Unreachable Time Exceeded Fragmentation Needed ICMP kann Hinweise geben auf: Routingfehler blockierte Ziele MTU-Probleme Traceroute-Ablauf nicht erreichbare Netze Merksatz: ICMP-Fehler sind wichtige Hinweise, nicht nur Ping. ARP analysieren ARP wird im lokalen IPv4-Netz genutzt. Typische ARP-Frage: Wer hat diese IPv4-Adresse? Wenn viele ARP-Anfragen ohne Antwort sichtbar sind, kann das bedeuten: Ziel ist offline. falsches VLAN. falsche Netzmaske. Gateway nicht erreichbar. IP-Konflikt. falsche Adresse. Merksatz: ARP-Probleme sind lokale Netzwerkprobleme. DHCP analysieren DHCP erkennt man am Ablauf: Discover Offer Request Acknowledge Wichtige Fehlerbilder: Beobachtung mögliche Ursache Discover ohne Offer Server oder Relay antwortet nicht Offer kommt, aber kein Request Client akzeptiert Angebot nicht Request ohne ACK Server bestätigt nicht falsche Optionen DHCP-Konfiguration falsch Client bekommt APIPA DHCP fehlgeschlagen Merksatz: DHCP-DORA ist im Mitschnitt gut prüfbar. HTTP analysieren Bei unverschlüsseltem HTTP sieht man: Methode URL-Pfad Host-Header Header Statuscode teilweise Inhalt Wichtige HTTP-Statuscodes: 200 OK 301 / 302 Weiterleitung 400 Bad Request 401 Unauthorized 403 Forbidden 404 Not Found 500 Internal Server Error 502 Bad Gateway 503 Service Unavailable 504 Gateway Timeout Merksatz: HTTP-Statuscodes helfen bei Schicht-7-Fehlersuche. HTTPS analysieren Bei HTTPS ist der Inhalt verschlüsselt. Man sieht normalerweise nicht: Pfad Formularinhalt Session-Cookie HTTP-Header Nutzdaten Man sieht aber häufig: Ziel-IP Port TLS-Handshake SNI Zertifikatsinformationen Verbindungsabbrüche TLS Alerts Merksatz: HTTPS schützt Inhalte, aber Verbindungsmetadaten bleiben sichtbar. TLS-Handshake prüfen Beim TLS-Handshake wird eine sichere Verbindung ausgehandelt. Im Mitschnitt können sichtbar sein: Client Hello Server Hello Zertifikat Cipher-Auswahl TLS-Version SNI TLS Alert Typische Fehler: Zertifikat passt nicht. TLS-Version passt nicht. Cipher Suite passt nicht. Client bricht ab. Server bricht ab. Merksatz: TLS-Handshake zeigt, ob HTTPS-Sicherheit ausgehandelt werden kann. SNI prüfen SNI steht für: Server Name Indication SNI zeigt, welchen Hostnamen der Client beim TLS-Aufbau anfordert. Das ist wichtig bei mehreren HTTPS-Diensten auf einer IP-Adresse. Beispiel: wiki.firma.de cloud.firma.de git.firma.de alle auf derselben IP und TCP 443. Merksatz: SNI hilft, den gewünschten HTTPS-Hostnamen zu erkennen. Zertifikatsinformationen im Mitschnitt Je nach TLS-Version und Situation können Zertifikatsinformationen sichtbar sein. Wichtig zu prüfen: Ausgestellt für welchen Namen? Aussteller? Gültigkeit? Zertifikatskette? Passt der Name zum Aufruf? Achtung: Bei modernen TLS-Versionen und bestimmten Verfahren sind nicht immer alle Informationen gleich sichtbar. Merksatz: Zertifikate geben Hinweise auf HTTPS-Probleme. Follow TCP Stream Wireshark kann zusammengehörende TCP-Daten anzeigen. Funktion: Follow TCP Stream Das ist hilfreich bei unverschlüsselten Protokollen. Beispiele: HTTP Telnet FTP SMTP ohne TLS Achtung: Bei verschlüsseltem HTTPS sieht man den Inhalt nicht im Klartext. Merksatz: Follow TCP Stream zeigt zusammenhängende TCP-Kommunikation. Conversations Wireshark kann Gespräche anzeigen. Conversations zeigen zum Beispiel: welche IPs miteinander gesprochen haben wie viele Pakete übertragen wurden wie viele Bytes übertragen wurden welche TCP-Verbindungen bestanden Das hilft, wichtige Verbindungen im Mitschnitt zu finden. Merksatz: Conversations zeigen, welche Systeme miteinander kommunizieren. Endpoints Endpoints zeigen beteiligte Kommunikationspartner. Beispiele: IP-Adressen MAC-Adressen Ports Das ist nützlich, um herauszufinden: welche Systeme im Mitschnitt aktiv sind wer besonders viel Verkehr erzeugt welche Ziele angesprochen werden Merksatz: Endpoints zeigen beteiligte Systeme. IO Graphs IO Graphs zeigen Netzwerkverkehr über Zeit. Damit erkennt man: Lastspitzen Pausen Übertragungsverlauf Wiederholungsmuster Zeitpunkte von Fehlern Das ist hilfreich bei Performanceproblemen. Merksatz: IO Graphs helfen, Verkehr zeitlich zu verstehen. Expert Information Wireshark bietet Expert Information. Dort werden auffällige Dinge gesammelt, zum Beispiel: Retransmissions Resets Malformed Packets Warnings Fehler Hinweise auf Protokollprobleme Wichtig: Expert Information ist hilfreich, aber nicht jede Warnung ist automatisch die Ursache. Merksatz: Expert Information ist Hinweis, nicht endgültiger Beweis. Farben in Wireshark Wireshark nutzt Farben, um Protokolle und Auffälligkeiten leichter sichtbar zu machen. Beispiele: DNS TCP Fehler Resets ARP Die genaue Farbe ist weniger wichtig als die technische Aussage. Merksatz: Farben helfen beim Überblick, ersetzen aber keine Analyse. Namensauflösung in Wireshark Wireshark kann IP-Adressen als Namen anzeigen. Das kann hilfreich sein, aber auch verwirren. Problem: angezeigter Name kann aus Cache, DNS oder lokaler Auflösung stammen. Für genaue Analyse ist oft besser: echte IP-Adressen anzeigen. Merksatz: Namensauflösung in Wireshark kann hilfreich, aber auch irreführend sein. Zeitansicht Wireshark kann Zeit unterschiedlich anzeigen. Beispiele: Zeit seit Beginn des Mitschnitts absolute Uhrzeit Zeit seit vorherigem Paket Zeit seit vorherigem angezeigten Paket Für Fehlersuche wichtig: Wie lange dauert die Antwort? Wann beginnt Timeout? Welche Pakete gehören zeitlich zusammen? Merksatz: Zeitdarstellung passend zur Analyse wählen. Paketverlust erkennen Hinweise auf Paketverlust: Retransmissions Duplicate ACKs fehlende Antworten lange Wartezeiten Verbindungsabbrüche wiederholte DNS-Anfragen wiederholte SYN-Pakete Mögliche Ursachen: WLAN-Probleme defekte Kabel Überlastung Firewall-Probleme Routingprobleme MTU-Probleme Merksatz: Paketverlust zeigt sich oft durch Wiederholungen. MTU-Probleme erkennen MTU-Probleme sind manchmal schwer zu erkennen. Typische Hinweise: kleine Verbindungen funktionieren große Datenübertragungen hängen TLS-Verbindungen brechen ab VPN-Verbindungen sind instabil Fragmentation Needed erscheint viele Retransmissions bei größeren Paketen Merksatz: Wenn kleine Pakete gehen, große aber nicht, an MTU denken. Falsches Protokoll auf richtigem Port Manchmal wird ein Dienst mit falschem Protokoll angesprochen. Beispiele: HTTPS-Anfrage an HTTP-Port HTTP-Anfrage an HTTPS-Port FTP statt SFTP LDAP statt LDAPS falsches Backend-Protokoll im Reverse Proxy Im Mitschnitt sieht man dann oft: Reset TLS Alert ungültige Antwort sofortiger Abbruch unerwartete Daten Merksatz: Richtiger Port reicht nicht, das Protokoll muss auch stimmen. Firewall-Problem erkennen Mögliche Hinweise auf Firewall-Probleme: SYN ohne Antwort ICMP unreachable keine Antwort trotz korrektem Ziel Verbindung geht aus einem Netz, aber nicht aus anderem Paket kommt an Firewall an, aber nicht am Ziel Firewall-Log zeigt Drop oder Deny Merksatz: Firewall-Probleme erkennt man am besten mit Mitschnitt plus Logs. Dienstproblem erkennen Hinweise auf Dienstproblem: TCP-Verbindung wird aufgebaut, danach kommt Fehler. Server sendet RST. HTTP 500. HTTP 503. Anwendung antwortet falsch. Login wird abgelehnt. Backend antwortet nicht. Dienst lauscht nicht auf erwartetem Port. Merksatz: Wenn TCP steht, aber Anwendung fehlschlägt, Schicht 7 prüfen. DNS-Problem erkennen Hinweise auf DNS-Probleme: keine DNS-Antwort falsche IP-Adresse NXDOMAIN falscher DNS-Server AAAA statt A problematisch interner Name wird extern gefragt Split DNS falsch DNS-Timeout Merksatz: DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch. NAT-Problem erkennen Hinweise auf NAT-Probleme: externe Anfrage kommt an, wird aber nicht intern sichtbar falsche Ziel-IP nach NAT falscher Port nach NAT Antwort kommt nicht zurück Quelladresse unerwartet interner Zugriff über öffentliche IP scheitert Firewall-Mitschnitt zeigt Übersetzung nicht Merksatz: NAT-Probleme erkennt man durch Vergleich vor und nach der Firewall. Reverse-Proxy-Problem erkennen Hinweise: Client bekommt 502. Client bekommt 504. Proxy antwortet, Backend aber nicht. TLS am Proxy funktioniert, interne Verbindung scheitert. Host-Header falsch. falsches Backend ausgewählt. DNS des Backends falsch. Merksatz: Reverse-Proxy-Fehler liegen oft zwischen Proxy und Backend. Mehrere Mitschnittpunkte verwenden Bei unklaren Problemen hilft ein Vergleich. Beispiel: Mitschnitt am Client: Anfrage wird gesendet. Mitschnitt an Firewall: Anfrage kommt an. Mitschnitt am Server: Anfrage kommt nicht an. Dann liegt das Problem zwischen Firewall und Server. Merksatz: Mehrere Mitschnittpunkte zeigen, wo Pakete verloren gehen. Typische Analyse-Reihenfolge Eine sinnvolle Reihenfolge: 1. Fehlerzeitpunkt bestimmen. 2. Richtige Schnittstelle wählen. 3. Mitschnitt starten. 4. Fehler reproduzieren. 5. Mitschnitt stoppen. 6. Nach beteiligter IP filtern. 7. DNS prüfen. 8. TCP- oder UDP-Verhalten prüfen. 9. TLS oder Anwendung prüfen. 10. Resets, Retransmissions und ICMP prüfen. 11. Logs vergleichen. 12. Ergebnis dokumentieren. Merksatz: Mitschnitt gezielt aufnehmen, Fehler nachstellen, dann filtern. Typische Fehler bei der Analyse Häufige Fehler sind: - auf falscher Schnittstelle mitschneiden - zu früh oder zu spät mitschneiden - falscher Filter - wichtigen Verkehr durch Capture Filter ausschließen - DNS nicht beachten - NAT nicht beachten - verschlüsselte Inhalte erwarten - jedes Wireshark-Warning überbewerten - Logs ignorieren - Uhrzeit nicht vergleichen Merksatz: Schlechter Mitschnitt kann zu falschen Schlussfolgerungen führen. Datenschutz bei Wireshark Wireshark-Mitschnitte können sensible Daten enthalten. Beispiele: - IP-Adressen - MAC-Adressen - Benutzernamen - Cookies - Tokens - interne Hostnamen - E-Mail-Inhalte - unverschlüsselte Passwörter - personenbezogene Daten Deshalb: nur so lange wie nötig mitschneiden nur relevanten Verkehr erfassen Zugriff auf PCAP-Dateien beschränken Mitschnitte sicher speichern Mitschnitte nach Zweck löschen Merksatz: Paketmitschnitte wie vertrauliche Daten behandeln. Was Wireshark nicht automatisch löst Wireshark zeigt Verkehr, aber nicht automatisch die Ursache. Man braucht zusätzlich: - Netzwerkwissen - Protokollverständnis - Logs - Konfigurationen - Dienststatus - Berechtigungsinformationen - Firewall-Regeln - DNS-Informationen Merksatz: Wireshark zeigt Hinweise, die Ursache muss man fachlich einordnen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Wireshark? - Wofür verwendet man Display Filter? - Wofür verwendet man Capture Filter? - Was ist der Unterschied zwischen Capture Filter und Display Filter? - Wie erkennt man einen TCP-Handshake? - Was bedeutet SYN? - Was bedeutet SYN-ACK? - Was bedeutet ACK? - Was bedeutet RST? - Was bedeuten Retransmissions? - Warum sieht man HTTPS-Inhalte nicht im Klartext? - Was kann man im TLS-Handshake trotzdem erkennen? - Was bedeutet NXDOMAIN? - Wie erkennt man DHCP-Probleme im Mitschnitt? - Warum ist der Mitschnittort wichtig? - Warum sind Paketmitschnitte datenschutzrelevant? Typische Prüfungsfallen Display Filter ändern nicht die Aufnahme. Capture Filter begrenzen die Aufnahme. Was nicht aufgezeichnet wurde, kann später nicht analysiert werden. ip.addr zeigt Quelle oder Ziel. ip.src zeigt nur Quelle. ip.dst zeigt nur Ziel. tcp.port und udp.port unterscheiden. TCP 443 ist nicht UDP 443. DNS kann UDP und TCP 53 nutzen. TCP hat Handshake. UDP hat keinen Handshake. SYN startet Verbindung. SYN-ACK ist Serverantwort. ACK bestätigt. RST ist aktive Ablehnung oder Abbruch. Retransmission bedeutet erneutes Senden. HTTPS-Inhalte sind verschlüsselt. TLS-Handshake kann trotzdem Hinweise geben. SNI zeigt gewünschten Hostnamen. Wireshark-Warnungen sind Hinweise, nicht automatisch Ursache. Mitschnittort ist entscheidend. PCAP-Dateien können sensible Daten enthalten. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Wireshark grafisches Werkzeug zur Paketanalyse Paketliste Übersicht aller Pakete Paketdetails Protokollinformationen eines Pakets Paketbytes Rohdaten eines Pakets Display Filter Filter für Anzeige Capture Filter Filter für Aufnahme ip.addr IP-Adresse als Quelle oder Ziel ip.src Quell-IP-Adresse ip.dst Ziel-IP-Adresse tcp.port TCP-Port als Quelle oder Ziel udp.port UDP-Port als Quelle oder Ziel SYN TCP-Verbindungsstart SYN-ACK TCP-Antwort des Servers ACK Bestätigung RST Reset Retransmission erneutes Senden Zero Window Empfänger kann keine Daten aufnehmen Dup ACK doppelte Bestätigung NXDOMAIN DNS-Name existiert nicht SNI Hostname im TLS-Handshake TLS Alert TLS-Fehlermeldung Follow TCP Stream zusammenhängende TCP-Daten anzeigen Conversations Kommunikationsbeziehungen Endpoints beteiligte Systeme Expert Information Wireshark-Hinweise auf Auffälligkeiten IHK-sichere Kurzformulierung Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen. Mit Display Filtern kann man die Anzeige eines vorhandenen Mitschnitts eingrenzen, während Capture Filter bereits vor der Aufnahme festlegen, welche Pakete überhaupt aufgezeichnet werden. In Wireshark lassen sich unter anderem DNS-Anfragen, TCP-Handshakes, UDP-Kommunikation, ICMP-Meldungen, ARP, DHCP-Abläufe, TLS-Handshakes, Resets und Retransmissions erkennen. Bei HTTPS sind die Inhalte normalerweise verschlüsselt, aber Metadaten wie IP-Adressen, Ports, TLS-Handshake und häufig SNI können sichtbar sein. Paketmitschnitte müssen gezielt erstellt und datenschutzbewusst behandelt werden, da sie sensible Informationen enthalten können. Merksätze Wireshark zeigt Netzwerkpakete grafisch. Erst Fragestellung, dann Filter. Paketliste zeigt Überblick. Paketdetails zeigen Protokolle. Paketbytes zeigen Rohdaten. Display Filter begrenzen Anzeige. Capture Filter begrenzen Aufnahme. Was nicht aufgenommen wurde, kann später nicht analysiert werden. ip.addr = Quelle oder Ziel. ip.src = Quelle. ip.dst = Ziel. tcp.port ist nicht udp.port. TCP hat Handshake. UDP hat keinen Handshake. SYN startet Verbindung. SYN-ACK antwortet. ACK bestätigt. RST beendet oder lehnt ab. Retransmissions zeigen fehlende Bestätigungen. DNS vor Verbindungsaufbau prüfen. NXDOMAIN heißt: Name existiert nicht. DHCP-DORA ist im Mitschnitt sichtbar. HTTPS schützt Inhalte. TLS-Handshake liefert trotzdem Hinweise. SNI zeigt gewünschten Hostnamen. Follow TCP Stream hilft bei unverschlüsselten Protokollen. Expert Information ist Hinweis, nicht automatisch Ursache. Mitschnittort entscheidet, was sichtbar ist. Mehrere Mitschnitte können Paketverluststellen zeigen. PCAP-Dateien vertraulich behandeln. 12.3 tcpdump, tshark und Paketmitschnitt auf der Kommandozeile Neben Wireshark gibt es wichtige Werkzeuge für Paketmitschnitte auf der Kommandozeile. Besonders wichtig sind: - tcpdump - tshark - netstat / ss - curl - nc - ping - traceroute / tracert - nslookup / dig Diese Werkzeuge sind besonders nützlich, wenn man auf Servern, Firewalls, Routern oder per SSH arbeitet. Merksatz: Wireshark ist grafisch. tcpdump und tshark arbeiten auf der Kommandozeile. Warum Kommandozeilenwerkzeuge wichtig sind In der Praxis hat man nicht immer eine grafische Oberfläche. Beispiele: Linux-Server per SSH Firewall-Konsole Container-Host Cloud-Server NAS-System Router Recovery-Umgebung minimale Serverinstallation Dort sind Kommandozeilenwerkzeuge oft schneller und direkter. Merksatz: Auf Servern ist die Kommandozeile oft das wichtigste Analysewerkzeug. tcpdump tcpdump ist ein Werkzeug, mit dem Netzwerkverkehr auf der Kommandozeile mitgeschnitten werden kann. Es kann: - Pakete live anzeigen - Pakete nach Host filtern - Pakete nach Port filtern - Pakete nach Protokoll filtern - Mitschnitte in Dateien speichern - PCAP-Dateien erzeugen Diese PCAP-Dateien kann man später mit Wireshark öffnen. Merksatz: tcpdump zeichnet Pakete auf und kann PCAP-Dateien erzeugen. tcpdump-Grundidee tcpdump lauscht auf einer Netzwerkschnittstelle. Beispiele für Schnittstellen: eth0 ens18 en0 wlan0 br0 docker0 vlan10 Wichtig: Man muss die richtige Schnittstelle auswählen. Wenn man auf der falschen Schnittstelle mitschneidet, sieht man den relevanten Verkehr nicht. Merksatz: Richtige Schnittstelle wählen, sonst ist der Mitschnitt wertlos. Schnittstellen anzeigen Vor einem Mitschnitt prüft man, welche Schnittstellen vorhanden sind. Typische Idee: tcpdump -D Damit werden verfügbare Interfaces angezeigt. Danach wählt man die passende Schnittstelle aus. Merksatz: Erst Schnittstellen anzeigen, dann Mitschnitt starten. Einfacher tcpdump-Mitschnitt Ein einfacher Mitschnitt auf einer Schnittstelle: tcpdump -i eth0 Bedeutung: -i eth0: auf Schnittstelle eth0 mitschneiden Dieser Mitschnitt zeigt viele Pakete live auf der Konsole. Merksatz: tcpdump -i Schnittstelle startet einen Live-Mitschnitt. Namensauflösung vermeiden tcpdump kann IP-Adressen und Ports in Namen auflösen. Das kann die Ausgabe verlangsamen oder verwirren. Daher nutzt man häufig: -n oder: -nn Bedeutung: keine Namensauflösung keine Portnamenauflösung Beispiel: tcpdump -nn -i eth0 Merksatz: -nn zeigt IPs und Ports unverändert an. Paketinhalt ausführlicher anzeigen Mit mehr Ausführlichkeit sieht man mehr Details. Typisch: -v -vv -vvv Beispiel: tcpdump -nn -vv -i eth0 Aber: mehr Details sind nicht immer übersichtlicher. Merksatz: Mehr Ausgabe hilft nur, wenn man sie auch gezielt auswertet. In Datei speichern Für spätere Analyse speichert man Mitschnitte in eine Datei. Beispiel: tcpdump -nn -i eth0 -w capture.pcap Bedeutung: -w capture.pcap: Mitschnitt in Datei schreiben Die Datei kann später mit Wireshark geöffnet werden. Merksatz: Mit -w speichert tcpdump einen Mitschnitt als Datei. Datei wieder lesen Eine gespeicherte PCAP-Datei kann mit tcpdump gelesen werden. Beispiel: tcpdump -nn -r capture.pcap Bedeutung: -r: Datei lesen Merksatz: Mit -r liest tcpdump gespeicherte Mitschnitte. Nur bestimmten Host mitschneiden Wenn nur ein bestimmter Host interessiert, filtert man nach IP-Adresse. Beispiel: tcpdump -nn -i eth0 host 192.168.10.20 Das zeigt Pakete, bei denen diese IP Quelle oder Ziel ist. Merksatz: host filtert Quelle oder Ziel. Nur Quelle oder Ziel filtern Quelle filtern: tcpdump -nn -i eth0 src host 192.168.10.20 Ziel filtern: tcpdump -nn -i eth0 dst host 192.168.10.20 Merksatz: src = Quelle. dst = Ziel. Nach Netzwerk filtern Man kann auch ganze Netze filtern. Beispiel: tcpdump -nn -i eth0 net 192.168.10.0/24 Das zeigt Verkehr, bei dem dieses Netz beteiligt ist. Merksatz: net filtert ein ganzes Subnetz. Nach Port filtern Beispiel: tcpdump -nn -i eth0 port 443 Das zeigt Pakete, bei denen Port 443 als Quell- oder Zielport vorkommt. Genauer: tcpdump -nn -i eth0 dst port 443 zeigt Pakete, die zu Zielport 443 gehen. Merksatz: port zeigt Quell- oder Zielport. dst port zeigt den Zielport. TCP und UDP filtern Man kann gezielt TCP oder UDP filtern. Beispiel TCP: tcpdump -nn -i eth0 tcp port 443 Beispiel UDP: tcpdump -nn -i eth0 udp port 53 Wichtig: TCP 53 und UDP 53 sind unterschiedlich. Merksatz: Protokoll und Port zusammen prüfen. DNS mitschneiden DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. Beispiel: tcpdump -nn -i eth0 port 53 Oder genauer: tcpdump -nn -i eth0 udp port 53 Wichtig: Bei großen Antworten oder Zonentransfers kann TCP 53 relevant sein. Merksatz: DNS nicht nur als UDP denken, auch TCP 53 beachten. HTTP und HTTPS mitschneiden HTTP: tcpdump -nn -i eth0 tcp port 80 HTTPS: tcpdump -nn -i eth0 tcp port 443 Bei HTTPS sieht man den Inhalt nicht im Klartext, aber man sieht Verbindungsaufbau, IP-Adressen, Ports, TLS-Handshake und Fehler. Merksatz: HTTPS-Inhalte sind verschlüsselt, aber Verbindungsdaten sind sichtbar. SSH mitschneiden SSH nutzt typischerweise TCP 22. Beispiel: tcpdump -nn -i eth0 tcp port 22 Man sieht: Verbindungsaufbau Pakete Abbrüche Timeouts Man sieht nicht: eingegebene Befehle im Klartext, weil SSH verschlüsselt ist. Merksatz: SSH schützt Inhalte, tcpdump sieht aber Verbindungsmetadaten. ICMP mitschneiden ICMP wird für Diagnose genutzt. Beispiel: tcpdump -nn -i eth0 icmp Damit sieht man zum Beispiel: Ping-Anfragen Ping-Antworten Destination Unreachable Time Exceeded Merksatz: ICMP zeigt Diagnose- und Fehlermeldungen. ARP mitschneiden ARP ist wichtig im lokalen IPv4-Netz. Beispiel: tcpdump -nn -i eth0 arp Damit sieht man ARP-Anfragen und ARP-Antworten. Typische Frage: Wer hat diese IP-Adresse? Merksatz: ARP hilft bei lokalen Erreichbarkeitsproblemen. DHCP mitschneiden DHCP nutzt UDP 67 und UDP 68. Beispiel: tcpdump -nn -i eth0 port 67 or port 68 Damit kann man den DORA-Ablauf sehen: Discover Offer Request Acknowledge Merksatz: DHCP-DORA lässt sich mit tcpdump gut prüfen. Filter kombinieren Filter können kombiniert werden. Beispiel: tcpdump -nn -i eth0 host 192.168.10.20 and tcp port 443 Bedeutung: Zeige nur TCP-443-Verkehr mit Host 192.168.10.20. Weitere logische Verknüpfungen: and or not Merksatz: Mit and, or und not werden tcpdump-Filter gezielt. Beispiel: Alles außer SSH anzeigen Wenn man per SSH auf einem Server arbeitet, kann der eigene SSH-Verkehr die Anzeige stören. Dann kann man SSH ausblenden: tcpdump -nn -i eth0 not port 22 Merksatz: Eigenen SSH-Verkehr bei Bedarf ausblenden. Beispiel: Fehler reproduzieren Gute Vorgehensweise: 1. Mitschnitt vorbereiten. 2. Mitschnitt starten. 3. Fehler gezielt auslösen. 4. Mitschnitt stoppen. 5. Datei sichern. 6. Mit Wireshark analysieren. Merksatz: Mitschnitt immer passend zum Fehlerzeitpunkt erstellen. Mitschnitt begrenzen Paketmitschnitte können schnell sehr groß werden. Möglichkeiten: nur bestimmte IP mitschneiden nur bestimmten Port mitschneiden nur kurze Zeit mitschneiden Datei begrenzen Rotation nutzen nicht unnötig viele Daten erfassen Merksatz: So wenig wie möglich, so viel wie nötig mitschneiden. Warum PCAP-Dateien sensibel sind PCAP-Dateien können enthalten: - interne IP-Adressen - MAC-Adressen - Hostnamen - Benutzernamen - Cookies - Tokens - unverschlüsselte Passwörter - E-Mail-Inhalte - interne Protokolle - Kundendaten Deshalb: sicher speichern Zugriff begrenzen nicht unnötig weitergeben nach Zweck löschen Merksatz: PCAP-Dateien wie vertrauliche Daten behandeln. tshark tshark ist die Kommandozeilenversion von Wireshark. Es nutzt ähnliche Analysefunktionen, aber ohne grafische Oberfläche. tshark kann: - live mitschneiden - PCAP-Dateien lesen - Display Filter verwenden - Felder ausgeben - automatisiert auswerten - Protokolle analysieren Merksatz: tshark ist Wireshark für die Kommandozeile. tshark für vorhandene Dateien Eine vorhandene PCAP-Datei kann mit tshark gelesen werden. Beispiel: tshark -r capture.pcap Mit Filtern kann man gezielt suchen. Beispielidee: nur DNS anzeigen nur HTTP anzeigen nur bestimmte IP anzeigen Merksatz: tshark eignet sich gut für schnelle PCAP-Auswertung. tcpdump oder tshark? Werkzeug Stärke tcpdump schnell mitschneiden, auf vielen Systemen verfügbar tshark detailliertere Protokollauswertung auf Kommandozeile Wireshark grafische Analyse, sehr übersichtlich Merksatz: tcpdump zum Aufnehmen, Wireshark oder tshark zum Analysieren. ss ss zeigt Netzwerk-Sockets auf Linux-Systemen. Damit prüft man: welche Dienste lauschen welche Verbindungen bestehen welche Ports offen sind welche Prozesse Ports verwenden Beispielidee: Lauscht ein Dienst wirklich auf Port 443? Merksatz: ss zeigt lokale Ports und Verbindungen. netstat netstat ist ein älteres Werkzeug, das ähnliche Informationen wie ss anzeigen kann. Es zeigt unter anderem: - offene Ports - aktive Verbindungen - Routingtabelle - Schnittstellenstatistiken Auf modernen Linux-Systemen wird häufig ss bevorzugt. Merksatz: netstat ist älter, ss ist auf Linux oft moderner. Lauschende Dienste prüfen Wenn ein Dienst nicht erreichbar ist, prüft man lokal: Lauscht der Dienst überhaupt? Beispielhafte Fragestellung: Hört der Webserver auf TCP 80 oder TCP 443? Hört SSH auf TCP 22? Hört die Datenbank nur auf localhost? Hört der Dienst auf der richtigen IP-Adresse? Merksatz: Dienst muss lokal lauschen, bevor er extern erreichbar sein kann. localhost-Falle Ein Dienst kann nur auf localhost lauschen. Beispiel: 127.0.0.1:8080 Dann ist er nur lokal auf dem System erreichbar, aber nicht von anderen Geräten im Netzwerk. Für externe Erreichbarkeit muss er auf einer passenden Adresse lauschen. Merksatz: Dienst auf localhost ist nicht automatisch im Netzwerk erreichbar. curl curl ist ein Werkzeug zum Testen von HTTP, HTTPS und vielen anderen Protokollen. Es kann zeigen: - Statuscode - Header - Weiterleitungen - TLS-Fehler - Antwortinhalt - API-Antworten Merksatz: curl testet Webdienste und APIs direkt. curl und HTTP-Status Mit curl kann man prüfen, welchen HTTP-Status ein Server zurückgibt. Wichtige Fragen: Kommt 200? Kommt 301 oder 302? Kommt 401? Kommt 403? Kommt 404? Kommt 500? Kommt 502? Merksatz: curl zeigt, was ein Webserver tatsächlich antwortet. curl und Header HTTP-Header enthalten wichtige Informationen. Beispiele: Content-Type Location Server Set-Cookie Authorization Cache-Control Strict-Transport-Security Mit curl kann man Header gezielt anzeigen. Merksatz: Header erklären oft, warum ein Webdienst sich so verhält. curl und TLS curl kann TLS-Probleme sichtbar machen. Typische Fehler: Zertifikat abgelaufen Name passt nicht CA nicht vertrauenswürdig TLS-Version nicht kompatibel Zertifikatskette unvollständig Merksatz: curl hilft bei HTTPS- und Zertifikatsproblemen. nc nc steht für netcat. Es kann verwendet werden, um einfache TCP- oder UDP-Verbindungen zu testen. Typische Nutzung: Ist ein TCP-Port erreichbar? Antwortet ein einfacher Dienst? Kann ich manuell Daten senden? Beispielgedanke: Porttest für TCP 443, TCP 22 oder TCP 25. Merksatz: nc ist ein einfaches Werkzeug für Port- und Verbindungstests. Porttest richtig einordnen Ein erfolgreicher Porttest bedeutet: TCP-Verbindung zum Port ist möglich. Er bedeutet nicht automatisch: Anwendung funktioniert korrekt. Login funktioniert. Zertifikat passt. Berechtigung stimmt. API antwortet richtig. Merksatz: Port offen ist nur ein Teil der Diagnose. ping ping nutzt ICMP Echo Request und Echo Reply. Es prüft grob: Ist ein Ziel per ICMP erreichbar? Ping sagt nicht: ob ein TCP-Port offen ist ob DNS korrekt ist ob HTTPS funktioniert ob Anwendung antwortet ob Anmeldung funktioniert Merksatz: Ping prüft nicht den Dienst. traceroute und tracert traceroute oder tracert zeigen den Weg zu einem Ziel. Sie helfen bei: Routingproblemen Erreichbarkeitsproblemen ungewöhnlichen Pfaden Netzunterbrechungen hoher Latenz Wichtig: Firewalls können traceroute-Ergebnisse beeinflussen. Merksatz: traceroute zeigt Hinweise auf den Weg, aber nicht immer den vollständigen echten Pfad. nslookup nslookup prüft DNS-Auflösung. Damit kann man fragen: Welche IP liefert DNS für diesen Namen? Welcher DNS-Server antwortet? Gibt es überhaupt eine Antwort? Gut für einfache DNS-Prüfung. Merksatz: nslookup prüft Namensauflösung. dig dig ist ein detaillierteres DNS-Werkzeug. Es zeigt unter anderem: - DNS-Antworten - Record-Typen - Antwortzeiten - Nameserver - TTL - Autorität - zusätzliche Antworten dig ist besonders hilfreich, wenn DNS genauer analysiert werden soll. Merksatz: dig ist detaillierte DNS-Analyse. openssl s_client openssl s_client prüft TLS-Verbindungen. Damit kann man sehen: - Zertifikat - Zertifikatskette - TLS-Version - Cipher - Serverantwort - SNI-Verhalten Besonders nützlich bei: HTTPS LDAPS IMAPS SMTPS POP3S Merksatz: openssl s_client hilft bei TLS- und Zertifikatsproblemen. journalctl journalctl zeigt Logs auf Systemen mit systemd. Damit kann man prüfen: Dienst gestartet? Dienst abgestürzt? Fehler beim Start? Berechtigungsproblem? Port bereits belegt? Konfigurationsfehler? Merksatz: journalctl zeigt System- und Dienstlogs auf Linux. Windows-Ereignisanzeige Die Windows-Ereignisanzeige zeigt System- und Anwendungsereignisse. Wichtige Bereiche: Anwendung Sicherheit System Setup Dienstspezifische Protokolle Hilfreich bei: Anmeldefehlern Dienstfehlern RDP-Problemen DNS- oder DHCP-Problemen Zertifikatsproblemen Merksatz: Ereignisanzeige ist wichtig für Windows-Fehlersuche. PowerShell Test-NetConnection Unter Windows kann Test-NetConnection helfen. Es prüft zum Beispiel: Namensauflösung TCP-Verbindung zu einem Port Ziel-IP grundlegende Erreichbarkeit Beispielhafte Fragestellung: Ist TCP 443 erreichbar? Ist TCP 3389 erreichbar? Merksatz: Test-NetConnection ist ein Windows-Werkzeug für Porttests. Werkzeuge richtig kombinieren Kein Werkzeug beantwortet alles. Beispiel Webdienst funktioniert nicht: nslookup: DNS prüfen ping: grobe Erreichbarkeit prüfen Test-NetConnection oder nc: Port prüfen curl: HTTP-Antwort prüfen tcpdump: Verkehr prüfen Logs: Dienstfehler prüfen Merksatz: Diagnose entsteht durch Kombination mehrerer Werkzeuge. Beispiel: HTTPS funktioniert nicht Sinnvolle Prüfung: 1. DNS mit nslookup oder dig prüfen. 2. Port TCP 443 mit nc oder Test-NetConnection prüfen. 3. HTTP-Antwort mit curl prüfen. 4. Zertifikat mit curl oder openssl s_client prüfen. 5. tcpdump oder Wireshark bei Verbindungsproblemen nutzen. 6. Webserver- oder Reverse-Proxy-Logs prüfen. Merksatz: HTTPS-Probleme mit DNS, Port, TLS, Anwendung und Logs prüfen. Beispiel: SSH funktioniert nicht Sinnvolle Prüfung: 1. Ziel-IP oder Hostname prüfen. 2. TCP 22 prüfen. 3. Lokalen SSH-Dienst prüfen. 4. Firewall und Host-Firewall prüfen. 5. Benutzer und Schlüssel prüfen. 6. SSH-Logs prüfen. 7. tcpdump bei Timeout oder unklarer Verbindung nutzen. Merksatz: SSH-Probleme mit Port, Dienst, Benutzer, Schlüssel und Logs prüfen. Beispiel: DNS funktioniert nicht Sinnvolle Prüfung: 1. Welcher DNS-Server ist eingetragen? 2. Ist DNS-Server erreichbar? 3. Antwortet UDP 53? 4. Antwortet bei Bedarf TCP 53? 5. Liefert DNS richtige Antwort? 6. Gibt es NXDOMAIN? 7. Gibt es falschen Cache? 8. tcpdump zeigt echte DNS-Anfrage? Merksatz: DNS-Fehler mit Server, Port, Antwort und Cache prüfen. Beispiel: DHCP funktioniert nicht Sinnvolle Prüfung: 1. Client sendet Discover? 2. DHCP-Server antwortet mit Offer? 3. Client sendet Request? 4. Server sendet Acknowledge? 5. Scope hat freie Adressen? 6. DHCP-Relay korrekt? 7. VLAN korrekt? 8. Firewall blockiert UDP 67/68? Merksatz: DHCP mit DORA analysieren. Beispiel: RDP funktioniert nicht Sinnvolle Prüfung: 1. Hostname oder IP prüfen. 2. TCP 3389 prüfen. 3. Remote Desktop aktiviert? 4. Host-Firewall erlaubt? 5. Benutzer berechtigt? 6. VPN oder Gateway nötig? 7. Windows-Ereignisanzeige prüfen. 8. Nicht direkt aus Internet veröffentlichen. Merksatz: RDP-Probleme mit Port, Dienst, Berechtigung und Sicherheit prüfen. Typische Fehler bei Werkzeugnutzung Häufige Fehler: - nur ping testen und Dienstproblem übersehen - DNS nicht prüfen - TCP und UDP verwechseln - falsche Schnittstelle mitschneiden - falschen Port prüfen - internen und externen Test verwechseln - NAT nicht berücksichtigen - Logs ignorieren - verschlüsselte Inhalte im Klartext erwarten Merksatz: Werkzeugergebnisse immer fachlich einordnen. Diagnose nach Schichten Schicht typische Werkzeuge 1 Link-Status, Kabeltest, Switchport 2 ARP, MAC-Tabelle, VLAN-Prüfung 3 ping, traceroute, Routingtabelle 4 nc, Test-NetConnection, ss, tcpdump 5–6 TLS-Prüfung, openssl s_client 7 curl, nslookup, dig, Logs, Anwendungstest Merksatz: Das Werkzeug richtet sich nach der vermuteten Schicht. Was Kommandozeilenwerkzeuge nicht ersetzen Sie ersetzen nicht: - saubere Dokumentation - Verständnis der Netzstruktur - Firewall-Regelprüfung - Berechtigungsprüfung - Dienstkonfiguration - Monitoring - Sicherheitskonzept - Datenschutz beim Mitschnitt Merksatz: Werkzeuge liefern Hinweise, Fachwissen macht daraus eine Diagnose. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür nutzt man tcpdump? - Was ist eine PCAP-Datei? - Wofür steht tshark? - Was ist der Unterschied zwischen tcpdump und Wireshark? - Warum muss man die richtige Schnittstelle wählen? - Wie filtert man nach Host, Port oder Protokoll? - Warum ist tcpdump mit -w nützlich? - Warum sind Mitschnittdateien sensibel? - Wofür nutzt man curl? - Wofür nutzt man nc? - Was prüft ping? - Warum reicht ping nicht aus? - Wofür nutzt man nslookup oder dig? - Wofür nutzt man openssl s_client? - Wie kombiniert man Werkzeuge bei der Fehlersuche? Typische Prüfungsfallen tcpdump ist Kommandozeile. Wireshark ist grafisch. tshark ist Wireshark auf Kommandozeile. tcpdump kann PCAP-Dateien speichern. PCAP-Dateien können sensible Daten enthalten. Falsche Schnittstelle bedeutet falsche Sicht. -nn verhindert Namensauflösung. host filtert Quelle oder Ziel. src ist Quelle. dst ist Ziel. port filtert Quell- oder Zielport. TCP und UDP getrennt betrachten. DNS kann UDP und TCP 53 nutzen. DHCP nutzt UDP 67 und 68. Ping prüft ICMP, nicht den Dienst. Porttest beweist nicht, dass Anwendung funktioniert. curl prüft Webdienste besser als ping. openssl s_client hilft bei TLS. Logs und Mitschnitt ergänzen sich. Werkzeuge ersetzen keine fachliche Analyse. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung tcpdump Kommandozeilenwerkzeug für Paketmitschnitte tshark Wireshark-Funktion auf Kommandozeile PCAP Datei mit aufgezeichneten Paketen Interface Netzwerkschnittstelle Capture Aufnahme von Paketen -i Schnittstelle auswählen -w Mitschnitt in Datei schreiben -r Mitschnitt aus Datei lesen -n / -nn Namensauflösung abschalten host Quelle oder Ziel filtern src Quelle dst Ziel port Port filtern ss lokale Sockets und Ports anzeigen netstat älteres Werkzeug für Netzwerkstatus curl Web- und API-Anfragen testen nc einfache Port- und Verbindungstests ping ICMP-Erreichbarkeit prüfen traceroute Weg zum Ziel prüfen nslookup DNS einfach prüfen dig DNS detailliert prüfen openssl s_client TLS-Verbindungen prüfen journalctl Linux-Systemlogs anzeigen Ereignisanzeige Windows-Logs anzeigen Test-NetConnection Windows-Porttest IHK-sichere Kurzformulierung tcpdump ist ein Kommandozeilenwerkzeug zum Mitschneiden von Netzwerkverkehr und kann Mitschnitte als PCAP-Datei speichern, die später mit Wireshark analysiert werden kann. tshark ist die Kommandozeilenversion von Wireshark und eignet sich für detaillierte Auswertungen ohne grafische Oberfläche. Bei der Analyse muss die richtige Netzwerkschnittstelle gewählt und gezielt nach Host, Port, Protokoll oder Netz gefiltert werden. Ergänzende Werkzeuge wie curl, nc, ping, traceroute, nslookup, dig, openssl s_client, ss, netstat und Logdateien helfen, DNS, Ports, TLS, Dienste und Verbindungen systematisch zu prüfen. Ein einzelnes Werkzeug reicht selten aus; eine zuverlässige Diagnose entsteht durch die Kombination mehrerer Hinweise. Merksätze tcpdump = Paketmitschnitt auf Kommandozeile. tshark = Wireshark auf Kommandozeile. Wireshark = grafische Analyse. PCAP = gespeicherter Paketmitschnitt. Richtige Schnittstelle ist entscheidend. -nn verhindert Namensauflösung. -w schreibt Mitschnitt in Datei. -r liest Mitschnitt aus Datei. host filtert Quelle oder Ziel. src filtert Quelle. dst filtert Ziel. port filtert Quell- oder Zielport. TCP und UDP nicht verwechseln. DNS kann UDP und TCP nutzen. DHCP nutzt UDP 67 und 68. SSH nutzt typischerweise TCP 22. HTTPS nutzt typischerweise TCP 443. Ping prüft ICMP, nicht Anwendung. Porttest prüft Erreichbarkeit, nicht Anwendungserfolg. curl prüft HTTP und HTTPS. nc testet einfache Verbindungen. nslookup und dig prüfen DNS. openssl s_client prüft TLS. ss zeigt lokale Ports. Logs zeigen Dienstfehler. Mitschnitt und Logs gemeinsam auswerten. PCAP-Dateien vertraulich behandeln. Werkzeuge liefern Hinweise, Fachwissen liefert die Diagnose. 12.4 Systematische Netzwerkfehlersuche nach dem OSI-Modell Netzwerkfehlersuche sollte nicht zufällig erfolgen. Besser ist ein systematisches Vorgehen nach Schichten. Das OSI-Modell hilft dabei, Fehler Schritt für Schritt einzugrenzen. Grundidee: erst einfache Grundlagen prüfen dann höhere Schichten prüfen Fehler sauber eingrenzen Messergebnisse dokumentieren nicht vorschnell raten Merksatz: Systematische Fehlersuche spart Zeit und verhindert falsche Vermutungen. Warum nach Schichten prüfen? Viele Fehler sehen ähnlich aus. Beispiel: Webseite öffnet nicht. Mögliche Ursachen können sein: Kabel defekt WLAN getrennt falsches VLAN falsche IP-Adresse Gateway fehlt DNS falsch Port blockiert Zertifikat ungültig Webserver down Benutzer nicht berechtigt Ohne Struktur sucht man schnell an der falschen Stelle. Merksatz: Ein Symptom kann viele Ursachen auf verschiedenen Schichten haben. Top-Down und Bottom-Up Es gibt zwei typische Vorgehensweisen: Bottom-Up Top-Down Bottom-Up bedeutet: Man beginnt unten bei Schicht 1 und arbeitet sich nach oben. Top-Down bedeutet: Man beginnt bei der Anwendung und arbeitet sich nach unten. Beide Methoden sind sinnvoll, je nach Fehlerbild. Merksatz: Bottom-Up beginnt beim Kabel. Top-Down beginnt bei der Anwendung. Bottom-Up-Methode Bottom-Up prüft von unten nach oben: Schicht 1: Kabel, Link, Signal Schicht 2: MAC, Switch, VLAN Schicht 3: IP, Subnetz, Gateway, Routing Schicht 4: TCP, UDP, Ports Schicht 5–7: Sitzung, Darstellung, Anwendung Vorteil: grundlegende Fehler werden früh erkannt. Merksatz: Bottom-Up ist gut, wenn unklar ist, ob überhaupt Netzverbindung besteht. Top-Down-Methode Top-Down beginnt bei der Anwendung. Beispiel: Benutzer sagt: E-Mail funktioniert nicht. Dann prüft man zuerst: Mailclient Anmeldung Fehlermeldung Servername Protokoll Port DNS Netzwerk Vorteil: schneller, wenn der Fehler klar an einem Dienst hängt. Merksatz: Top-Down ist gut, wenn ein bestimmter Dienst betroffen ist. Divide-and-Conquer-Methode Divide and Conquer bedeutet: Problem in der Mitte eingrenzen. Man prüft zuerst eine mittlere Schicht, zum Beispiel IP-Erreichbarkeit oder Port-Erreichbarkeit. Beispiel: Ping zum Server funktioniert. Dann weiß man: Schicht 1 bis 3 sind wahrscheinlich grundsätzlich ok. Dann prüft man weiter: Port Dienst Anmeldung Anwendung Merksatz: Divide and Conquer halbiert den Suchbereich. Vergleichsmethode Bei der Vergleichsmethode vergleicht man: funktionierendes System mit fehlerhaftem System Beispiele: anderer Client funktioniert anderer Benutzer funktioniert anderes VLAN funktioniert anderer Browser funktioniert anderer DNS-Server liefert andere Antwort Dadurch erkennt man Unterschiede. Merksatz: Vergleich zeigt, was beim fehlerhaften Fall anders ist. Fehler reproduzieren Ein Fehler sollte möglichst reproduzierbar gemacht werden. Fragen: Wann tritt der Fehler auf? Bei welchem Benutzer? Bei welchem Client? Bei welchem Dienst? Seit wann? Nach welcher Änderung? Immer oder nur manchmal? Intern oder extern? Mit WLAN oder LAN? Mit VPN oder ohne VPN? Merksatz: Nur reproduzierbare Fehler lassen sich sauber messen. Fehlerbild genau aufnehmen Vor der Analyse sollte man das Fehlerbild genau aufnehmen. Nicht ausreichend: Internet geht nicht. Besser: Benutzer kann https://intranet.firma.local öffnen, aber https://portal.firma.de nicht. Fehler im Browser: DNS_PROBE_FINISHED_NXDOMAIN. Noch besser: Zeitpunkt, Client-IP, Benutzer, DNS-Server, Fehlermeldung, betroffener Dienst. Merksatz: Genaue Fehlerbeschreibung ist Teil der Diagnose. W-Fragen bei Netzwerkfehlern Wichtige Fragen: Wer ist betroffen? Was funktioniert nicht? Wann tritt der Fehler auf? Wo tritt der Fehler auf? Wie äußert sich der Fehler? Seit wann besteht der Fehler? Was wurde zuletzt geändert? Welche Systeme funktionieren noch? Merksatz: Gute Fragen grenzen den Fehler ein. Einzelner Benutzer oder alle Benutzer? Wenn nur ein Benutzer betroffen ist, prüft man eher: Benutzerkonto Berechtigungen Passwort MFA Clientprofil lokale Einstellungen Browsercache gespeicherte Zugangsdaten Wenn alle Benutzer betroffen sind, prüft man eher: Dienst Server DNS Netzwerk Firewall Zertifikat zentrale Authentifizierung Provider Infrastruktur Merksatz: Einzelner Benutzer = Konto oder Client. Alle Benutzer = Dienst oder Infrastruktur. Ein Client oder mehrere Clients? Wenn nur ein Client betroffen ist, prüft man: Netzwerkkabel WLAN IP-Konfiguration DNS-Einstellungen lokale Firewall Proxy VPN Zertifikatsspeicher lokale Software Wenn mehrere Clients betroffen sind, prüft man: Switch VLAN DHCP DNS Gateway Firewall Server zentrale Dienste Merksatz: Ein Client betroffen: lokal prüfen. Viele Clients betroffen: Infrastruktur prüfen. Intern oder extern betroffen? Wenn intern alles funktioniert, extern aber nicht, prüft man: externe DNS-Auflösung öffentliche IP NAT Firewall WAN → DMZ Provider CGNAT Zertifikat Reverse Proxy Wenn extern funktioniert, intern aber nicht, prüft man: internes DNS Split DNS Hairpin NAT interne Firewall interne Route Proxy-Einstellungen Merksatz: Interne und externe Sicht getrennt prüfen. Nur WLAN oder auch LAN? Wenn nur WLAN betroffen ist, prüft man: WLAN-Signal SSID WLAN-Passwort VLAN-Zuordnung am Access Point DHCP im WLAN-Netz Roaming Störungen Access Point Client-Treiber Wenn LAN auch betroffen ist, liegt die Ursache eher bei: IP-Konfiguration Gateway DNS Firewall Dienst zentraler Infrastruktur Merksatz: WLAN-Fehler nicht automatisch als Internetfehler behandeln. Nur ein VLAN betroffen? Wenn nur ein VLAN betroffen ist, prüft man: VLAN-ID Switchport-Modus Tagged oder Untagged Trunk Access-Port DHCP-Scope Gateway für VLAN Firewall-Regeln Routing ACLs Merksatz: VLAN-bezogene Fehler sind oft Schicht 2 und 3. Nur ein Dienst betroffen? Wenn nur ein Dienst betroffen ist, prüft man eher: DNS-Name des Dienstes Ziel-IP Port Protokoll Firewall-Regel Dienststatus Zertifikat Authentifizierung Berechtigung Anwendungslogs Beispiel: Internet funktioniert, aber SMB-Freigabe nicht. Dann ist nicht das ganze Netzwerk down, sondern ein Dienst oder Zugriffspfad gestört. Merksatz: Ein Dienst betroffen: Dienstkette prüfen. Schicht 1 prüfen Schicht 1 ist die Bitübertragungsschicht. Prüfpunkte: Kabel steckt? Link-LED aktiv? richtiger Port? Netzteil aktiv? SFP-Modul korrekt? Glasfaser richtig gesteckt? WLAN-Signal vorhanden? keine physische Beschädigung? Duplex oder Speed auffällig? Werkzeuge: Sichtprüfung Linkstatus Kabeltester Switchport-Status WLAN-Signalprüfung Merksatz: Ohne funktionierende Schicht 1 funktioniert darüber nichts. Schicht 2 prüfen Schicht 2 ist die Sicherungsschicht. Prüfpunkte: MAC-Adresse sichtbar? Switchport aktiv? VLAN korrekt? Access oder Trunk richtig? MAC-Adresstabelle passend? STP blockiert? Broadcast-Sturm? ARP funktioniert? keine doppelte IP im lokalen Netz? Werkzeuge: Switch-MAC-Tabelle ARP-Tabelle VLAN-Konfiguration Wireshark Switch-Logs Merksatz: Schicht 2 betrifft lokale Kommunikation im richtigen Netzsegment. Schicht 3 prüfen Schicht 3 ist die Vermittlungs- oder Netzwerkschicht. Prüfpunkte: IP-Adresse korrekt? Subnetzmaske korrekt? Gateway korrekt? Routing korrekt? Zielnetz erreichbar? keine APIPA-Adresse? keine doppelte IP? IPv4 oder IPv6 korrekt? Rückweg vorhanden? Werkzeuge: ipconfig ifconfig ip addr ping traceroute / tracert route print ip route Routingtabelle Merksatz: Schicht 3 beantwortet: Komme ich zum richtigen Netz? Schicht 4 prüfen Schicht 4 ist die Transportschicht. Prüfpunkte: TCP oder UDP? richtiger Port? Port offen? Dienst lauscht? Firewall blockiert? TCP-Handshake vollständig? UDP-Antwort vorhanden? NAT oder PAT beteiligt? Rückweg korrekt? Werkzeuge: nc Test-NetConnection ss netstat tcpdump Wireshark Firewall-Logs Merksatz: Schicht 4 beantwortet: Ist der Dienstport erreichbar? Schicht 5 prüfen Schicht 5 ist die Sitzungsschicht. Prüfpunkte: Session wird aufgebaut? Session bleibt bestehen? Benutzer wird ständig ausgeloggt? Cookie korrekt? Session Timeout? Load Balancer mit Session-Stickiness? Session-Speicher erreichbar? Typische Fehler: Login-Schleife Session läuft sofort ab Warenkorb wird vergessen Remote-Sitzung bricht ab Merksatz: Schicht 5 betrifft Sitzungen und deren Verwaltung. Schicht 6 prüfen Schicht 6 ist die Darstellungsschicht. Prüfpunkte: TLS korrekt? Zertifikat gültig? Name passt zum Zertifikat? CA vertrauenswürdig? Datenformat korrekt? Zeichencodierung korrekt? Kompression korrekt? JSON oder XML gültig? Typische Fehler: Zertifikatswarnung falsche Umlaute ungültiges JSON TLS-Handshake-Fehler falscher Content-Type Merksatz: Schicht 6 betrifft Darstellung, Codierung, Kompression und Verschlüsselung. Schicht 7 prüfen Schicht 7 ist die Anwendungsschicht. Prüfpunkte: Dienst läuft? richtige URL? richtiger Hostname? richtige Methode? richtiger Statuscode? Anmeldung korrekt? Berechtigung vorhanden? Anwendung antwortet? API korrekt? Logs vorhanden? Backend erreichbar? Typische Fehler: HTTP 404 HTTP 500 Login fehlgeschlagen Zugriff verweigert DNS falsch Mail kommt nicht an API antwortet mit Fehler Merksatz: Schicht 7 betrifft den konkreten Dienst und seine Antwort. DNS als häufiger Sonderfall DNS gehört zur Anwendungsschicht, wirkt aber auf fast alle anderen Dienste. Wenn DNS falsch ist, sucht man oft am falschen Ziel. Typische DNS-Fehler: falsche IP-Adresse NXDOMAIN falscher DNS-Server Split DNS falsch veralteter Cache IPv6-Antwort nicht erreichbar MX-Record falsch Merksatz: DNS immer früh prüfen, wenn Namen verwendet werden. DHCP als häufiger Sonderfall DHCP gehört zur Anwendungsschicht, liefert aber Schicht-3-Konfiguration. DHCP-Fehler führen zu: keiner IP-Adresse APIPA 169.254.x.x falschem Gateway falschem DNS falschem VLAN falscher Lease Merksatz: DHCP-Fehler wirken wie IP- oder Internetprobleme. Firewall als häufiger Sonderfall Firewalls können mehrere Schichten betreffen. Je nach Firewall prüft sie: IP-Adressen Ports Protokolle Zustand Anwendung Benutzer Zonen Bei Firewall-Verdacht prüfen: Quelle Ziel Port Protokoll Richtung Zone Regel Logs NAT Rückweg Merksatz: Firewall-Fehler mit Quelle, Ziel, Port, Richtung und Logs prüfen. NAT als häufiger Sonderfall NAT kann IP-Adressen und Ports verändern. Deshalb muss man wissen: Welche Adresse sieht der Client? Welche Adresse sieht der Server? Gibt es Source NAT? Gibt es Destination NAT? Gibt es PAT? Gibt es Portweiterleitung? Stimmt der Rückweg? Merksatz: Bei NAT immer vor und nach der Übersetzung denken. Logs immer einbeziehen Logs liefern oft die entscheidenden Hinweise. Wichtige Logs: Client-Logs Server-Logs Firewall-Logs DNS-Logs DHCP-Logs Webserver-Logs Reverse-Proxy-Logs Authentifizierungslogs VPN-Logs Ereignisanzeige journalctl Merksatz: Logs zeigen Entscheidungen, Mitschnitte zeigen Verkehr. Paketmitschnitt gezielt einsetzen Ein Paketmitschnitt ist besonders hilfreich, wenn unklar ist: ob Pakete ankommen ob Antworten zurückkommen ob DNS korrekt gefragt wird ob TCP-Handshake klappt ob UDP-Antworten kommen ob NAT richtig arbeitet ob Retransmissions auftreten ob Reset oder Timeout entsteht Merksatz: Mitschnitt nutzen, wenn der echte Verkehr unklar ist. Fehler nach Änderung Viele Störungen entstehen nach Änderungen. Beispiele: Firewall-Regel geändert DNS-Eintrag geändert DHCP-Scope geändert VLAN geändert Zertifikat erneuert Server-IP geändert Dienst aktualisiert Reverse Proxy angepasst Passwort oder Rechte geändert VPN-Konfiguration geändert Merksatz: Nach Änderung zuerst die Änderung prüfen. Change und Rollback Bei Änderungen sollte vorher klar sein: Was wird geändert? Warum wird es geändert? Wer ist verantwortlich? Wann wird getestet? Wie wird zurückgerollt? Welche Systeme sind betroffen? Gibt es ein Backup? Gibt es Dokumentation? Rollback bedeutet: Änderung zurücknehmen, wenn sie Probleme verursacht. Merksatz: Keine kritische Änderung ohne Rückweg. Dokumentation während der Fehlersuche Während der Fehlersuche sollte man dokumentieren: Fehlerbild Zeitpunkt betroffene Systeme betroffene Benutzer getestete Schritte Messergebnisse Logs Änderungen gefundene Ursache Lösung offene Punkte Merksatz: Gute Dokumentation verhindert doppelte Arbeit. Hypothesen bilden Eine Hypothese ist eine fachliche Vermutung, die getestet wird. Beispiel: Hypothese: DNS zeigt auf falsche IP. Test: nslookup oder dig ausführen. Ergebnis: Wenn DNS falsch ist, Hypothese bestätigt. Wenn nicht: Hypothese verwerfen und nächste Ursache prüfen. Merksatz: Hypothesen müssen getestet, nicht geglaubt werden. Nicht mehrere Dinge gleichzeitig ändern Wenn man mehrere Dinge gleichzeitig ändert, weiß man später nicht, welche Änderung geholfen oder geschadet hat. Besser: eine Änderung durchführen testen Ergebnis dokumentieren nächste Änderung durchführen Merksatz: Eine Änderung pro Testschritt. Workaround und Ursachenbehebung unterscheiden Ein Workaround umgeht ein Problem vorübergehend. Eine Ursachenbehebung beseitigt die Ursache. Beispiel: Workaround: Benutzer nutzt IP-Adresse statt DNS-Namen. Ursache: DNS-Eintrag ist falsch. Die Ursache muss trotzdem behoben werden. Merksatz: Workaround ist nicht automatisch Lösung. Typische Fehlerbilder und erste Einordnung Fehlerbild erste Vermutung Kein Link Schicht 1 IP 169.254.x.x DHCP-Problem Gateway nicht erreichbar Schicht 2 / 3 Name löst nicht auf DNS Ping geht, Port nicht Schicht 4 / Firewall / Dienst Port offen, HTTP 500 Anwendung / Backend Zertifikatswarnung TLS / Zeit / Name Zugriff verweigert Autorisierung Login schlägt fehl Authentifizierung Nur extern gestört NAT / Firewall / DNS extern Nur intern gestört DNS intern / Hairpin NAT / Routing Merksatz: Fehlerbild gibt Hinweis, aber noch keinen Beweis. Beispiel: Webseite öffnet nicht Systematische Prüfung: 1. URL korrekt? 2. DNS löst korrekt auf? 3. Ziel-IP erreichbar? 4. TCP 443 erreichbar? 5. TLS-Zertifikat gültig? 6. HTTP-Statuscode prüfen. 7. Reverse Proxy prüfen. 8. Backend prüfen. 9. Webserver-Logs prüfen. 10. Firewall-Logs prüfen. Merksatz: Webfehler mit DNS, Port, TLS, HTTP und Logs prüfen. Beispiel: Client bekommt keine IP-Adresse Systematische Prüfung: 1. Link vorhanden? 2. VLAN korrekt? 3. DHCP Discover sichtbar? 4. DHCP Offer sichtbar? 5. DHCP-Scope frei? 6. DHCP-Relay korrekt? 7. Firewall erlaubt UDP 67/68? 8. Richtiger DHCP-Server? 9. Keine Rogue-DHCP-Antwort? 10. Client erhält Lease? Merksatz: DHCP-Fehler mit DORA eingrenzen. Beispiel: Server per SSH nicht erreichbar Systematische Prüfung: 1. Ziel-IP oder DNS prüfen. 2. Routing prüfen. 3. TCP 22 erreichbar? 4. SSH-Dienst läuft? 5. Host-Firewall erlaubt? 6. zentrale Firewall erlaubt? 7. Benutzer oder Schlüssel korrekt? 8. SSH-Logs prüfen. 9. Fail2ban oder Sperre prüfen. 10. Host-Key-Warnung prüfen. Merksatz: SSH-Fehler mit Netz, Port, Dienst, Benutzer und Logs prüfen. Beispiel: SMB-Freigabe Zugriff verweigert Systematische Prüfung: 1. Servername löst korrekt auf? 2. TCP 445 erreichbar? 3. SMB-Dienst läuft? 4. Benutzer korrekt angemeldet? 5. Freigabeberechtigung korrekt? 6. Dateisystemberechtigung korrekt? 7. Gruppenmitgliedschaft korrekt? 8. gespeicherte Anmeldedaten falsch? 9. Datei gesperrt? 10. Logs prüfen. Merksatz: SMB-Zugriff braucht Verbindung, Anmeldung und Rechte. Beispiel: E-Mail kommt nicht an Systematische Prüfung: 1. Absender erhält Fehlermeldung? 2. MX-Record korrekt? 3. DNS korrekt? 4. SMTP TCP 25 erreichbar? 5. Mailserver zuständig? 6. Spamfilter oder Quarantäne? 7. SPF, DKIM, DMARC korrekt? 8. Postfach voll? 9. TLS-Problem? 10. Mailserver-Logs prüfen. Merksatz: Mailfehler mit DNS, SMTP, Authentifizierung, Spamfilter und Logs prüfen. Beispiel: VPN verbunden, aber interne Systeme nicht erreichbar Systematische Prüfung: 1. VPN-Verbindung wirklich aktiv? 2. VPN-IP erhalten? 3. Route ins interne Netz vorhanden? 4. DNS für interne Namen korrekt? 5. Firewall-Regel VPN → Zielnetz korrekt? 6. Benutzergruppe berechtigt? 7. Split Tunnel korrekt? 8. Zielsystem-Firewall erlaubt? 9. Rückweg korrekt? 10. Logs prüfen. Merksatz: VPN braucht Tunnel, Adresse, Route, DNS, Firewall und Rechte. Beispiel: Nur langsam, nicht komplett kaputt Bei Performanceproblemen prüft man zusätzlich: Latenz Paketverlust Bandbreite Duplex WLAN-Signal Retransmissions Serverlast DNS-Verzögerungen MTU Proxy VPN Speicher und CPU Festplatten-I/O Merksatz: Langsam ist nicht dasselbe wie nicht erreichbar. Latenz Latenz ist die Verzögerung, bis Daten ihr Ziel erreichen und eine Antwort zurückkommt. Hohe Latenz stört besonders: VoIP Videokonferenzen Remote Desktop Online-Anwendungen Datenbankzugriffe interaktive Anwendungen Merksatz: Latenz = Verzögerung. Paketverlust Paketverlust bedeutet: Pakete gehen unterwegs verloren. Folgen: Verbindungen werden langsam. TCP sendet erneut. Audio oder Video stottert. VPN wird instabil. Webseiten laden unvollständig. Hinweise: Retransmissions verlorene Ping-Antworten Abbrüche Timeouts Merksatz: Paketverlust erzeugt Wiederholungen und Instabilität. Bandbreite Bandbreite beschreibt, wie viele Daten pro Zeit übertragen werden können. Geringe Bandbreite führt zu: langsamen Downloads ruckelnden Streams langen Backups langsamer Dateiübertragung Engpässen bei vielen Benutzern Merksatz: Bandbreite = maximale Datenmenge pro Zeit. Jitter Jitter ist die Schwankung der Verzögerung. Besonders störend bei: VoIP Videokonferenzen Echtzeitanwendungen Streaming Remote-Zugriff Merksatz: Jitter = schwankende Latenz. MTU MTU steht für: Maximum Transmission Unit MTU beschreibt, wie groß ein Paket auf einem Übertragungsweg maximal sein darf. MTU-Probleme können verursachen: Webseiten laden teilweise. VPN ist instabil. große Downloads brechen ab. kleine Pings funktionieren, große Pakete nicht. Merksatz: MTU-Probleme zeigen sich oft erst bei größeren Paketen. Fehlerklasse: Erreichbarkeit Erreichbarkeitsfehler bedeuten: Ziel ist gar nicht oder nur teilweise erreichbar. Prüfen: Link IP Gateway Routing Firewall NAT Port Dienst Merksatz: Erreichbarkeit zuerst technisch eingrenzen. Fehlerklasse: Namensauflösung Namensauflösungsfehler bedeuten: Name wird nicht oder falsch aufgelöst. Prüfen: DNS-Server DNS-Record DNS-Suffix Split DNS Cache A/AAAA CNAME MX interne und externe Antwort Merksatz: Name falsch bedeutet oft Ziel falsch. Fehlerklasse: Authentifizierung Authentifizierungsfehler bedeuten: Identität wird nicht akzeptiert. Prüfen: Benutzername Passwort MFA Konto gesperrt Konto deaktiviert Zertifikat Token Zeit LDAP/AD/IdP Merksatz: Authentifizierung = Wer bist du? Fehlerklasse: Autorisierung Autorisierungsfehler bedeuten: Identität ist bekannt, aber Rechte fehlen. Prüfen: Gruppen Rollen Freigaberechte Dateisystemrechte API-Scopes Richtlinien Mandant alte Session Merksatz: Autorisierung = Was darfst du? Fehlerklasse: Anwendung Anwendungsfehler bedeuten: Netzwerkverbindung besteht, aber der Dienst funktioniert nicht korrekt. Prüfen: Logs Statuscodes Backend Datenbank Konfiguration Version Abhängigkeiten Speicher CPU Berechtigungen Datenformat Merksatz: Wenn Netzwerk steht, aber Dienst fehlerhaft antwortet, Anwendung prüfen. Fehlerklasse: Sicherheit Sicherheitsmechanismen können Verkehr bewusst blockieren. Beispiele: Firewall IDS/IPS WAF Antivirus EDR Spamfilter Proxy MFA Conditional Access Geoblocking Rate Limiting Merksatz: Nicht jede Blockierung ist ein Fehler, manchmal ist sie gewollt. Abschluss einer Fehlersuche Am Ende sollte klar sein: Was war die Ursache? Wie wurde sie nachgewiesen? Was wurde geändert? Welche Systeme waren betroffen? Wie wurde getestet? Ist die Lösung dauerhaft? Muss dokumentiert werden? Muss Monitoring angepasst werden? Muss Prävention verbessert werden? Merksatz: Eine Fehlersuche endet mit Ursache, Lösung und Dokumentation. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum hilft das OSI-Modell bei der Fehlersuche? - Was bedeutet Bottom-Up-Fehlersuche? - Was bedeutet Top-Down-Fehlersuche? - Was ist Divide and Conquer bei der Fehlersuche? - Warum muss man Fehler genau eingrenzen? - Warum reicht „Internet geht nicht“ nicht als Fehlerbeschreibung? - Welche Schichten prüft man bei fehlender Verbindung? - Warum prüft man DNS frühzeitig? - Warum sind Logs wichtig? - Warum sollte man nicht mehrere Dinge gleichzeitig ändern? - Was ist ein Workaround? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Wie geht man bei einem Webfehler systematisch vor? - Wie geht man bei DHCP-Problemen systematisch vor? - Wie geht man bei VPN-Problemen systematisch vor? Typische Prüfungsfallen Nicht sofort die Firewall beschuldigen. Nicht nur ping testen. Nicht nur Port testen. DNS kann viele Fehler verursachen. DHCP gehört zu Schicht 7, wirkt aber auf Schicht 3. Firewall kann mehrere Schichten betreffen. NAT verändert Adressen und Ports. Ein einzelner Benutzer deutet oft auf Konto oder Client. Alle Benutzer deuten eher auf zentrale Infrastruktur. Intern und extern getrennt prüfen. WLAN und LAN getrennt prüfen. Authentifizierung ist nicht Autorisierung. Workaround ist nicht Ursachenbehebung. Eine Änderung pro Testschritt. Nach Änderung zuerst Änderung prüfen. Logs und Mitschnitt ergänzen sich. Langsam ist ein anderes Fehlerbild als nicht erreichbar. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Fehlersuche systematisches Finden einer Ursache Bottom-Up von Schicht 1 nach oben prüfen Top-Down von Anwendung nach unten prüfen Divide and Conquer Suchbereich durch mittlere Prüfung eingrenzen Vergleichsmethode funktionierenden und fehlerhaften Fall vergleichen Fehlerbild beobachtetes Problem Reproduzierbarkeit Fehler lässt sich gezielt erneut auslösen Hypothese testbare Vermutung Workaround vorübergehende Umgehung Ursachenbehebung eigentliche Ursache beseitigen Rollback Änderung zurücknehmen Latenz Verzögerung Paketverlust Pakete gehen verloren Bandbreite Datenmenge pro Zeit Jitter Schwankung der Verzögerung MTU maximale Paketgröße Authentifizierung Identität prüfen Autorisierung Rechte prüfen Log Ereignisprotokoll Paketmitschnitt aufgezeichneter Netzwerkverkehr IHK-sichere Kurzformulierung Das OSI-Modell hilft bei der Netzwerkfehlersuche, weil Fehler systematisch nach Schichten eingegrenzt werden können. Bei der Bottom-Up-Methode beginnt man bei Schicht 1 mit physischer Verbindung und arbeitet sich bis zur Anwendungsschicht hoch. Bei der Top-Down-Methode beginnt man bei der Anwendung und prüft dann nach unten. Wichtig sind eine genaue Fehlerbeschreibung, die Eingrenzung betroffener Benutzer und Systeme, die Prüfung von DNS, DHCP, IP-Konfiguration, Routing, Firewall, NAT, Ports, Diensten, Authentifizierung, Autorisierung und Logs. Messergebnisse sollten dokumentiert werden, und Änderungen sollten einzeln getestet werden. Ein Workaround kann kurzfristig helfen, ersetzt aber nicht die Beseitigung der eigentlichen Ursache. Merksätze OSI-Modell hilft bei Fehlersuche. Nicht raten, sondern schrittweise prüfen. Bottom-Up beginnt bei Schicht 1. Top-Down beginnt bei der Anwendung. Divide and Conquer grenzt den Fehlerbereich ein. Fehlerbild genau aufnehmen. Einzelner Benutzer: Konto oder Client prüfen. Alle Benutzer: Dienst oder Infrastruktur prüfen. Intern und extern getrennt prüfen. WLAN und LAN getrennt prüfen. DNS früh prüfen. DHCP mit DORA prüfen. Firewall mit Quelle, Ziel, Port, Richtung und Logs prüfen. NAT vor und nach Übersetzung denken. Logs zeigen Entscheidungen. Mitschnitte zeigen Verkehr. Nach Änderung zuerst Änderung prüfen. Eine Änderung pro Test. Workaround ist nicht Ursache. Langsam ist nicht gleich nicht erreichbar. Latenz = Verzögerung. Paketverlust = verlorene Pakete. Jitter = schwankende Verzögerung. MTU = maximale Paketgröße. Authentifizierung = Wer bist du? Autorisierung = Was darfst du? Fehlersuche endet mit Ursache, Lösung und Dokumentation. 12.5 Typische Netzwerkfehler und ihre Ursachen Netzwerkfehler können auf vielen verschiedenen Schichten entstehen. Ein sichtbares Problem ist oft nur ein Symptom. Beispiel: Webseite öffnet nicht. Das kann viele Ursachen haben: - DNS falsch - Server nicht erreichbar - Port blockiert - Zertifikat ungültig - Webserver down - Reverse Proxy falsch - Benutzer nicht berechtigt Merksatz: Ein Fehlerbild zeigt nur das Symptom, nicht automatisch die Ursache. Warum Fehlerbilder wichtig sind Fehlerbilder helfen, die Suche einzugrenzen. Man fragt: Was genau funktioniert nicht? Was funktioniert noch? Wer ist betroffen? Seit wann? Wurde etwas geändert? Ist der Fehler dauerhaft oder sporadisch? Gibt es eine Fehlermeldung? Je genauer das Fehlerbild, desto schneller findet man die Ursache. Merksatz: Gute Fehlerbeschreibung ist der erste Diagnoseschritt. Fehlerbild: Kein Netzwerklink Typische Anzeichen: - keine Link-LED - Netzwerkadapter zeigt getrennt - Switchport down - keine Verbindung über Kabel - keine Pakete sichtbar - kein DHCP Discover Mögliche Ursachen: - Kabel defekt - Kabel nicht richtig gesteckt - falscher Port - Switchport deaktiviert - Netzwerkkarte deaktiviert - SFP-Modul defekt - falsches Glasfasermodul - Stromversorgung fehlt Wahrscheinliche Schicht: Schicht 1 Merksatz: Kein Link ist meistens ein physisches Problem. Fehlerbild: Link vorhanden, aber keine IP-Adresse Typische Anzeichen: - Netzwerk verbunden - aber keine gültige IP-Adresse - Windows zeigt 169.254.x.x - DHCP schlägt fehl - keine Verbindung zum Gateway - Client meldet eingeschränkte Konnektivität Mögliche Ursachen: - DHCP-Server nicht erreichbar - DHCP-Scope voll - DHCP-Relay fehlt - falsches VLAN - Firewall blockiert UDP 67/68 - Switchport falsch konfiguriert - Client im falschen Netz - DHCP-Dienst gestoppt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Schicht 7 wegen DHCP Merksatz: 169.254.x.x deutet häufig auf DHCP-Probleme hin. Fehlerbild: Falsche IP-Adresse Typische Anzeichen: - Client hat IP aus falschem Netz - Gateway passt nicht - DNS passt nicht - Zugriff auf interne Dienste funktioniert nicht - nur manche Dienste erreichbar Mögliche Ursachen: - falsches VLAN - falscher DHCP-Scope - Rogue-DHCP-Server - statische IP falsch gesetzt - falsches WLAN - falsche Netzwerkdose - DHCP-Reservierung falsch Wahrscheinliche Schichten: Schicht 2 Schicht 3 Schicht 7 wegen DHCP Merksatz: Falsche IP bedeutet oft: falsches Netz oder falsche DHCP-Konfiguration. Fehlerbild: Gateway nicht erreichbar Typische Anzeichen: - lokale IP vorhanden - andere Geräte im Netz eventuell erreichbar - Internet nicht erreichbar - Ping zum Gateway schlägt fehl - Routing funktioniert nicht Mögliche Ursachen: - falsches Gateway eingetragen - Gateway offline - VLAN falsch - falsche Netzmaske - ARP funktioniert nicht - Firewall blockiert ICMP - Switchport im falschen VLAN - IP-Konflikt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Merksatz: Ohne Gateway keine Kommunikation in andere Netze. Fehlerbild: Lokales Netz funktioniert, Internet nicht Typische Anzeichen: - interne Server erreichbar - Gateway erreichbar - externe Webseiten nicht erreichbar - DNS oder Routing auffällig - nur Internetzugriff betroffen Mögliche Ursachen: - Standardroute fehlt - Internetrouter down - Firewall blockiert WAN - DNS falsch - NAT funktioniert nicht - Providerstörung - Proxy falsch - VPN verändert Routing - öffentliche Verbindung gestört Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 7 Merksatz: Intern geht, extern nicht: Gateway, DNS, NAT und Provider prüfen. Fehlerbild: IP funktioniert, Name nicht Typische Anzeichen: - Zugriff per IP funktioniert - Zugriff per DNS-Name funktioniert nicht - Browser meldet DNS-Fehler - nslookup liefert keine oder falsche Antwort - nur bestimmte Namen betroffen Mögliche Ursachen: - falscher DNS-Server - DNS-Eintrag fehlt - DNS-Eintrag zeigt falsch - DNS-Cache veraltet - Split DNS falsch - Suchsuffix falsch - interne Zone fehlt - IPv6-Record zeigt auf falsches Ziel Wahrscheinliche Schicht: Schicht 7 wegen DNS Merksatz: IP geht, Name nicht: DNS prüfen. Fehlerbild: Name löst auf falsche IP auf Typische Anzeichen: - DNS liefert Antwort - aber falscher Server wird erreicht - falsches Zertifikat erscheint - falsche Webseite wird angezeigt - intern und extern unterschiedliche Ergebnisse Mögliche Ursachen: - falscher A-Record - falscher AAAA-Record - falscher CNAME - Split DNS falsch - DNS-Cache alt - falscher DNS-Server - alte öffentliche IP - interne Zone überschreibt externe Zone Wahrscheinliche Schicht: Schicht 7 Merksatz: Falsche DNS-Antwort führt zum falschen Ziel. Fehlerbild: Ping funktioniert, Dienst nicht Typische Anzeichen: - Ziel antwortet auf Ping - aber Webseite, SSH, SMB oder RDP funktioniert nicht - Porttest schlägt fehl - Anwendung meldet Verbindungsfehler Mögliche Ursachen: - Dienst läuft nicht - Port blockiert - Host-Firewall blockiert - zentrale Firewall blockiert - Dienst lauscht auf falscher IP - falscher Port - falsches Protokoll - Anwendung falsch konfiguriert Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: Ping beweist nicht, dass ein Dienst funktioniert. Fehlerbild: Port offen, Anwendung funktioniert nicht Typische Anzeichen: - Porttest erfolgreich - TCP-Verbindung möglich - aber Anwendung liefert Fehler - HTTP 500 oder 502 - Login schlägt fehl - API antwortet mit Fehler - Dienst bricht Verbindung ab Mögliche Ursachen: - Anwendung defekt - Backend nicht erreichbar - Datenbankfehler - falsche Konfiguration - Authentifizierungsproblem - Berechtigung fehlt - falsches Datenformat - Zertifikatsproblem - Reverse Proxy falsch Wahrscheinliche Schichten: Schicht 5 Schicht 6 Schicht 7 Merksatz: Offener Port ist nur Verbindung, nicht Anwendungserfolg. Fehlerbild: Timeout Timeout bedeutet: Es kommt keine Antwort innerhalb der erwarteten Zeit. Typische Anzeichen: - Verbindung hängt - Browser lädt lange - SSH wartet und bricht ab - Porttest läuft ins Timeout - SYN-Wiederholungen im Mitschnitt Mögliche Ursachen: - Firewall droppt Pakete - Ziel nicht erreichbar - Routingproblem - Rückweg fehlt - Dienst antwortet nicht - falsche IP - NAT falsch - Provider blockiert Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 7 Merksatz: Timeout bedeutet meistens: keine passende Antwort kommt zurück. Fehlerbild: Connection Refused Connection Refused bedeutet: Das Zielsystem lehnt die Verbindung aktiv ab. Typische Anzeichen: - schnelle Fehlermeldung - TCP RST im Mitschnitt - Host erreichbar - Port nimmt keine Verbindung an Mögliche Ursachen: - Dienst läuft nicht - falscher Port - Dienst lauscht nur auf localhost - Host-Firewall lehnt aktiv ab - Anwendung nimmt keine Verbindung an - Dienst wurde gestoppt Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: Connection Refused heißt: Ziel erreichbar, aber Dienst nimmt nicht an. Fehlerbild: Zugriff verweigert Typische Anzeichen: - Anmeldung möglich - aber Ressource nicht zugänglich - HTTP 403 - SMB Zugriff verweigert - API meldet Forbidden - Anwendung zeigt keine Daten Mögliche Ursachen: - Gruppe fehlt - Rolle fehlt - Freigaberecht fehlt - Dateisystemrecht fehlt - API-Scope fehlt - falscher Mandant - Richtlinie blockiert - alte Session - Benutzer nicht autorisiert Wahrscheinliche Schicht: Schicht 7 Merksatz: Zugriff verweigert ist meistens ein Autorisierungsproblem. Fehlerbild: Anmeldung schlägt fehl Typische Anzeichen: - Login nicht möglich - HTTP 401 - falsche Zugangsdaten - MFA schlägt fehl - LDAP-Bind schlägt fehl - Kerberos-Fehler - Konto gesperrt Mögliche Ursachen: - Benutzername falsch - Passwort falsch - Konto gesperrt - Konto deaktiviert - Passwort abgelaufen - MFA nicht eingerichtet - Zeitabweichung - LDAP oder AD nicht erreichbar - falscher Identity Provider Wahrscheinliche Schicht: Schicht 7 Merksatz: Anmeldung fehlgeschlagen: Authentifizierung prüfen. Fehlerbild: Zertifikatswarnung Typische Anzeichen: - Browser warnt vor Zertifikat - Mailclient meldet Zertifikatsfehler - LDAPS oder HTTPS funktioniert nicht - Name passt nicht - Zertifikat abgelaufen - CA nicht vertrauenswürdig Mögliche Ursachen: - Zertifikat abgelaufen - falscher Hostname - falsches Zertifikat - Zwischenzertifikat fehlt - Systemzeit falsch - interne CA nicht vertraut - DNS zeigt auf falschen Server - Reverse Proxy liefert falsches Zertifikat Wahrscheinliche Schichten: Schicht 6 Schicht 7 Merksatz: Zertifikatsfehler mit Name, Zeit, CA und DNS prüfen. Fehlerbild: Webseite zeigt 404 404 bedeutet: Ressource nicht gefunden. Typische Ursachen: - falsche URL - falscher Pfad - Route fehlt - Datei fehlt - Reverse Proxy leitet falsch - Anwendung erwartet anderen Basis-Pfad - falscher virtueller Host Wahrscheinliche Schicht: Schicht 7 Merksatz: 404 bedeutet: Unter diesem Pfad wurde nichts gefunden. Fehlerbild: Webseite zeigt 500 500 bedeutet: interner Serverfehler. Typische Ursachen: - Fehler in Anwendung - Datenbank nicht erreichbar - Konfiguration falsch - fehlende Rechte - Anwendung abgestürzt - Speicherproblem - Backendfehler - Abhängigkeit fehlt Wahrscheinliche Schicht: Schicht 7 Merksatz: 500 ist meist ein Problem der Anwendung oder des Servers. Fehlerbild: Webseite zeigt 502 502 bedeutet: Bad Gateway Typisch bei Reverse Proxys. Mögliche Ursachen: - Backend nicht erreichbar - Backend läuft nicht - falscher Backend-Port - falsches Backend-Protokoll - DNS zum Backend falsch - Firewall blockiert Proxy zu Backend - Backend antwortet ungültig Wahrscheinliche Schicht: Schicht 7 Merksatz: 502 bedeutet oft: Proxy erreicht Backend nicht korrekt. Fehlerbild: Webseite zeigt 503 503 bedeutet: Dienst nicht verfügbar. Mögliche Ursachen: - Dienst gestoppt - Wartungsmodus - Server überlastet - Backend nicht verfügbar - Ressourcenmangel - Anwendung startet gerade - Load Balancer hat keine gesunden Backends Wahrscheinliche Schicht: Schicht 7 Merksatz: 503 bedeutet: Dienst ist aktuell nicht verfügbar. Fehlerbild: Webseite zeigt 504 504 bedeutet: Gateway Timeout Typisch: Proxy oder Gateway wartet zu lange auf Antwort vom Backend. Mögliche Ursachen: - Backend zu langsam - Backend hängt - Firewall blockiert Rückweg - Datenbank langsam - Timeout zu kurz - Netzwerkproblem zwischen Proxy und Backend Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: 504 bedeutet: Gateway wartet vergeblich auf Backend-Antwort. Fehlerbild: Mail kommt nicht an Typische Anzeichen: - Absender erhält Bounce - Empfänger sieht keine Mail - Mail landet im Spam - Mail verzögert sich - SMTP-Fehler - NDR wird erzeugt Mögliche Ursachen: - MX-Record falsch - SMTP-Port blockiert - Mailserver nicht zuständig - Spamfilter blockiert - SPF, DKIM oder DMARC falsch - Postfach voll - Domain falsch - TLS-Problem - Blacklisting Wahrscheinliche Schicht: Schicht 7 Merksatz: Mailfehler mit DNS, SMTP, Spamfilter und Logs prüfen. Fehlerbild: SMB-Freigabe nicht erreichbar Typische Anzeichen: - Netzlaufwerk verbindet nicht - `\\server\freigabe` funktioniert nicht - Zugriff verweigert - Freigabe nicht gefunden - Benutzer sieht Netzlaufwerk nicht Mögliche Ursachen: - DNS-Name falsch - TCP 445 blockiert - SMB-Dienst läuft nicht - Freigabe existiert nicht - Benutzer nicht berechtigt - Freigabe- oder Dateisystemrechte falsch - gespeicherte Zugangsdaten falsch - SMB-Version inkompatibel Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: SMB-Probleme mit Name, Port, Dienst und Rechten prüfen. Fehlerbild: VPN verbunden, aber keine internen Dienste Typische Anzeichen: - VPN zeigt verbunden - interne Server nicht erreichbar - DNS intern funktioniert nicht - nur Internet geht - bestimmte Netze fehlen Mögliche Ursachen: - Route fehlt - Split Tunnel falsch - interne DNS-Server fehlen - Firewall-Regel VPN → LAN fehlt - Benutzergruppe nicht berechtigt - Rückweg fehlt - Zielserver-Firewall blockiert - falscher VPN-Adresspool Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 7 Merksatz: VPN verbunden heißt nicht automatisch: interne Ressourcen erlaubt. Fehlerbild: Nur manche Webseiten gehen nicht Typische Anzeichen: - viele Webseiten funktionieren - einzelne Seiten nicht - bestimmte Domains nicht erreichbar - Zertifikatsfehler nur bei bestimmten Seiten - DNS oder Proxy auffällig Mögliche Ursachen: - DNS-Problem für bestimmte Domain - Proxy blockiert - Firewall-Kategorie blockiert - Zertifikatsproblem - IPv6-Problem - MTU-Problem - CDN-Störung - Geoblocking - Browsercache - HSTS-Problem Wahrscheinliche Schichten: Schicht 3 Schicht 6 Schicht 7 Merksatz: Einzelne Webseiten betroffen: DNS, Proxy, Zertifikat und IPv6 prüfen. Fehlerbild: Verbindung ist langsam Typische Anzeichen: - Webseiten laden langsam - Downloads langsam - RDP verzögert - VoIP stockt - Dateiübertragung langsam - Anwendungen reagieren träge Mögliche Ursachen: - hohe Latenz - Paketverlust - geringe Bandbreite - WLAN-Störung - Duplexproblem - überlasteter Server - überlastete Firewall - DNS-Verzögerung - VPN-Overhead - MTU-Problem Wahrscheinliche Schichten: alle Schichten möglich Merksatz: Langsam ist ein eigenes Fehlerbild, nicht einfach „geht nicht“. Fehlerbild: Verbindung bricht sporadisch ab Typische Anzeichen: - Verbindung funktioniert zeitweise - SSH bricht ab - VPN trennt sich - WLAN verliert Verbindung - RDP friert ein - Downloads brechen ab Mögliche Ursachen: - WLAN-Störungen - Paketverlust - DHCP-Lease-Probleme - instabile Leitung - MTU-Problem - Firewall-Timeout - NAT-Timeout - Serverüberlastung - Energieoptionen am Client - Roaming-Probleme Wahrscheinliche Schichten: Schicht 1 bis 7 möglich Merksatz: Sporadische Fehler brauchen Zeitbezug, Logs und Monitoring. Fehlerbild: Nur große Dateien oder große Webseiten brechen ab Typische Anzeichen: - kleine Webseiten gehen - große Downloads brechen ab - VPN instabil - Uploads hängen - TLS-Verbindung startet, hängt aber später Mögliche Ursachen: - MTU-Problem - Fragmentierung blockiert - Paketverlust - Proxy-Timeout - Firewall-Timeout - Upload-Limit - Speicherproblem - schlechte Verbindung Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 6 Schicht 7 Merksatz: Kleine Daten gehen, große nicht: MTU und Paketverlust prüfen. Fehlerbild: Nur ein VLAN hat Probleme Typische Anzeichen: - andere Netze funktionieren - ein Standort oder Netzsegment betroffen - DHCP nur dort gestört - Gateway nur dort nicht erreichbar - bestimmtes WLAN betroffen Mögliche Ursachen: - VLAN-ID falsch - Trunk lässt VLAN nicht durch - Access-Port falsch - DHCP-Scope falsch - DHCP-Relay fehlt - Gateway des VLANs down - Firewall-Regel für VLAN fehlt - Routing für VLAN fehlt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Merksatz: Ein VLAN betroffen: VLAN, Gateway, DHCP und Routing prüfen. Fehlerbild: Nur ein Standort hat Probleme Typische Anzeichen: - andere Standorte funktionieren - WAN-Verbindung langsam oder down - lokale Dienste funktionieren, zentrale Dienste nicht - VPN oder MPLS gestört Mögliche Ursachen: - Standortleitung gestört - Router down - VPN-Tunnel down - Routingproblem - DNS lokal falsch - lokale Firewall blockiert - Bandbreite ausgelastet - Providerstörung Wahrscheinliche Schichten: Schicht 1 bis 4 Merksatz: Ein Standort betroffen: WAN, Router, VPN, DNS und lokale Infrastruktur prüfen. Fehlerbild: Nur ein Benutzer hat Probleme Typische Anzeichen: - andere Benutzer am gleichen Gerät funktionieren - Benutzer kann sich nicht anmelden - bestimmte Berechtigungen fehlen - Benutzer sieht Daten nicht - MFA funktioniert nicht Mögliche Ursachen: - Passwort falsch - Konto gesperrt - Gruppenmitgliedschaft fehlt - Rolle fehlt - Profilproblem - MFA falsch eingerichtet - Lizenz fehlt - gespeicherte Zugangsdaten falsch - Session alt Wahrscheinliche Schicht: Schicht 7 Merksatz: Einzelner Benutzer: Konto, Rechte und Profil prüfen. Fehlerbild: Nur ein Client hat Probleme Typische Anzeichen: - andere Clients funktionieren - gleicher Benutzer auf anderem Gerät funktioniert - lokaler Browserfehler - lokales Netzwerkproblem - falsche IP oder DNS nur auf diesem Client Mögliche Ursachen: - falsche IP-Konfiguration - falscher DNS - lokale Firewall - Proxy-Einstellungen - VPN aktiv oder falsch - Zertifikatsspeicher - Browsercache - Malware oder Sicherheitssoftware - Treiberproblem - defektes Kabel oder WLAN Wahrscheinliche Schichten: Schicht 1 bis 7 Merksatz: Einzelner Client: lokale Konfiguration prüfen. Fehlerbild: Alle Benutzer haben Probleme Typische Anzeichen: - mehrere Clients betroffen - Dienst generell nicht erreichbar - zentrale Anwendung gestört - viele Tickets gleichzeitig - Monitoring schlägt an Mögliche Ursachen: - Server down - DNS-Störung - DHCP-Störung - Firewall-Änderung - Zertifikat abgelaufen - Datenbank down - Providerstörung - zentrales Update fehlerhaft - Authentifizierungsdienst gestört Wahrscheinliche Schichten: zentrale Infrastruktur oder Dienst Merksatz: Alle betroffen: zentralen Dienst und Infrastruktur prüfen. Fehlerbild: Nach Update funktioniert Dienst nicht Typische Anzeichen: - Fehler begann direkt nach Update - Anwendung startet nicht - neue Fehlermeldung - alte Konfiguration nicht kompatibel - Abhängigkeiten fehlen Mögliche Ursachen: - Versionskonflikt - geänderte Konfigurationsoption - Dienst startet nicht - Rechte geändert - Datenbankmigration fehlgeschlagen - Zertifikat oder TLS geändert - Firewall- oder Portänderung - Cacheproblem Wahrscheinliche Schicht: meist Schicht 7, teilweise Schicht 4 bis 6 Merksatz: Nach Update zuerst Update, Logs und Kompatibilität prüfen. Fehlerbild: Nach Firewall-Änderung funktioniert Dienst nicht Typische Anzeichen: - Fehler direkt nach Regeländerung - bestimmte Verbindungen blockiert - nur bestimmte Richtung betroffen - Firewall-Logs zeigen Drops Mögliche Ursachen: - falsche Regelreihenfolge - falsche Quelle - falsches Ziel - falscher Port - TCP/UDP verwechselt - falsche Zone - NAT vergessen - Rückweg blockiert - temporäre Regel entfernt Wahrscheinliche Schicht: Schicht 3 / 4, je nach Firewall auch Schicht 7 Merksatz: Nach Firewall-Änderung: Regel, Richtung, NAT und Logs prüfen. Fehlerbild: Nach DNS-Änderung falsches Ziel Typische Anzeichen: - einige Clients erreichen neues Ziel - andere noch altes Ziel - Zertifikat passt nicht - falscher Server antwortet - interne und externe Antwort unterschiedlich Mögliche Ursachen: - DNS-Cache - TTL noch aktiv - falscher Record geändert - Split DNS vergessen - CNAME zeigt falsch - alter Record existiert noch - Client nutzt anderen DNS-Server Wahrscheinliche Schicht: Schicht 7 Merksatz: Nach DNS-Änderung: Cache, TTL und richtigen DNS-Server prüfen. Fehlerbild: Nach Zertifikatserneuerung Fehler Typische Anzeichen: - Browser warnt - TLS-Handshake scheitert - App verbindet nicht mehr - Reverse Proxy liefert altes Zertifikat - Zwischenzertifikat fehlt Mögliche Ursachen: - falsches Zertifikat installiert - Zertifikatskette unvollständig - privater Schlüssel passt nicht - Dienst nicht neu geladen - SNI falsch - Zertifikat enthält Namen nicht - Client vertraut CA nicht Wahrscheinliche Schichten: Schicht 6 Schicht 7 Merksatz: Zertifikatserneuerung braucht richtigen Namen, Schlüssel, Kette und Dienstreload. Fehlerbild: Nach VLAN-Änderung keine Verbindung Typische Anzeichen: - Client bekommt falsche oder keine IP - Gateway nicht erreichbar - bestimmter Switchport betroffen - WLAN-SSID betroffen - nur ein Netzsegment betroffen Mögliche Ursachen: - Access-Port falsches VLAN - Trunk erlaubt VLAN nicht - Native VLAN falsch - DHCP-Relay fehlt - Gateway für VLAN fehlt - Firewall-Regel für neues VLAN fehlt - Routing fehlt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Merksatz: Nach VLAN-Änderung: VLAN-Zuordnung, Trunk, Gateway und DHCP prüfen. Fehlerbild: Nach Passwortänderung Anwendung kaputt Typische Anzeichen: - Dienst startet nicht - Anwendung kann Datenbank nicht erreichen - LDAP-Bind schlägt fehl - API-Zugriff schlägt fehl - wiederholte Loginfehler im Log Mögliche Ursachen: - Dienstkonto-Passwort geändert - Passwort nicht in Anwendung aktualisiert - Konto gesperrt - Secret falsch hinterlegt - Token abgelaufen - alte Session ungültig - gespeicherte Zugangsdaten falsch Wahrscheinliche Schicht: Schicht 7 Merksatz: Dienstkonten und gespeicherte Secrets bei Passwortänderungen beachten. Erste Einordnung nach Fehlermeldung Fehlermeldung erste Richtung Kein Netzwerk Schicht 1 bis 3 DNS-Name nicht gefunden DNS Zeitüberschreitung Routing, Firewall, Rückweg, Dienst Verbindung abgelehnt Dienst oder Host-Firewall 401 Unauthorized Authentifizierung 403 Forbidden Autorisierung 404 Not Found falscher Pfad oder Ressource fehlt 500 Internal Server Error Anwendung oder Backend 502 Bad Gateway Reverse Proxy oder Backend Zertifikat ungültig TLS, DNS, Zeit oder CA Zugriff verweigert Rechte Merksatz: Fehlermeldung gibt Richtung, aber ersetzt keine Prüfung. Erste Einordnung nach betroffener Menge Betroffen wahrscheinliche Richtung ein Benutzer Konto, Rechte, MFA, Profil ein Client lokale Konfiguration ein Raum Switch, WLAN, VLAN ein VLAN VLAN, DHCP, Gateway, Firewall ein Standort WAN, Router, Provider, VPN alle Benutzer zentraler Dienst oder Infrastruktur nur extern DNS extern, NAT, Firewall, Provider nur intern DNS intern, Routing, Hairpin NAT, Firewall Merksatz: Betroffene Menge hilft, die Fehlerstelle einzugrenzen. Erste Einordnung nach Änderung Letzte Änderung zuerst prüfen Firewall-Regel Quelle, Ziel, Port, Richtung, Logs NAT-Regel öffentliche IP, Ziel, Port, Protokoll DNS-Eintrag Record, TTL, Cache, interner/externer DNS Zertifikat Name, Kette, Schlüssel, Dienstreload VLAN Access, Trunk, Gateway, DHCP Update Logs, Version, Konfiguration, Abhängigkeiten Passwort Dienstkonto, Secret, Sperrung VPN Route, DNS, Benutzergruppe, Firewall Rechte Gruppen, Rollen, ACLs, Session Merksatz: Die letzte Änderung ist oft der wichtigste Hinweis. Was man vermeiden sollte Nicht vorschnell: Firewall ausschalten alle Ports öffnen Any-Any erlauben Rechte auf Vollzugriff setzen Zertifikatswarnungen ignorieren DNS wild ändern mehrere Dinge gleichzeitig ändern Logs ignorieren Fehlermeldung nur überfliegen Workaround als Lösung stehen lassen Merksatz: Schnelle unsaubere Änderungen erzeugen neue Probleme. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist ein Fehlerbild nur ein Symptom? - Was deutet auf ein DHCP-Problem hin? - Was bedeutet 169.254.x.x? - Warum reicht Ping nicht als Dienstprüfung? - Was bedeutet Timeout? - Was bedeutet Connection Refused? - Was bedeutet HTTP 401? - Was bedeutet HTTP 403? - Was bedeutet HTTP 404? - Was bedeutet HTTP 500? - Was bedeutet HTTP 502? - Warum kann DNS wie ein Firewallproblem wirken? - Warum kann ein Zertifikatsfehler durch DNS entstehen? - Wie grenzt man Fehler nach betroffenen Benutzern ein? - Warum ist die letzte Änderung wichtig? Typische Prüfungsfallen Symptom ist nicht Ursache. 169.254.x.x deutet auf DHCP-Problem. Ping reicht nicht für Dienstprüfung. Port offen reicht nicht für Anwendungserfolg. Timeout und Connection Refused unterscheiden. 401 ist Authentifizierung. 403 ist Autorisierung. 404 ist Ressource oder Pfad. 500 ist Anwendung oder Server. 502 ist häufig Proxy zu Backend. DNS früh prüfen. Zertifikat hängt mit Name, Zeit und Vertrauen zusammen. Einzelner Benutzer bedeutet oft Konto oder Rechte. Alle Benutzer bedeutet eher Infrastruktur. Nur intern oder nur extern getrennt prüfen. Letzte Änderung zuerst prüfen. Nicht mehrere Dinge gleichzeitig ändern. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Fehlerbild sichtbares Symptom eines Problems Ursache eigentlicher technischer Grund Symptom beobachtbare Auswirkung Timeout keine Antwort innerhalb der Zeit Connection Refused Ziel lehnt aktiv ab APIPA automatische 169.254.x.x-Adresse NXDOMAIN DNS-Name existiert nicht HTTP 401 nicht authentifiziert HTTP 403 nicht berechtigt HTTP 404 nicht gefunden HTTP 500 interner Serverfehler HTTP 502 Bad Gateway Rückweg Antwortweg zurück zur Quelle Split DNS intern und extern unterschiedliche DNS-Antwort Hairpin NAT interner Zugriff über öffentliche Adresse Rogue DHCP unerwünschter DHCP-Server Dienstkonto Konto für Anwendung oder Dienst Workaround vorübergehende Umgehung Root Cause eigentliche Ursache IHK-sichere Kurzformulierung Typische Netzwerkfehler müssen anhand ihres Fehlerbildes systematisch eingeordnet werden. Ein Symptom wie „Webseite öffnet nicht“ kann Ursachen auf verschiedenen OSI-Schichten haben, zum Beispiel DNS, Routing, Firewall, Port, TLS, Anwendung oder Berechtigung. Eine Adresse aus dem Bereich 169.254.0.0/16 deutet häufig auf ein DHCP-Problem hin. Ein erfolgreicher Ping beweist nicht, dass ein Dienst funktioniert, und ein offener Port beweist nicht, dass die Anwendung korrekt arbeitet. Timeout, Connection Refused, HTTP-Statuscodes, Zertifikatswarnungen und Zugriff-verweigert-Meldungen geben Hinweise auf die Fehlerursache, müssen aber durch Tests, Logs und Konfigurationsprüfung bestätigt werden. Merksätze Fehlerbild ist Symptom, nicht Ursache. Gute Fehlerbeschreibung spart Zeit. Kein Link: Schicht 1 prüfen. 169.254.x.x: DHCP prüfen. Gateway nicht erreichbar: Schicht 2 und 3 prüfen. IP geht, Name nicht: DNS prüfen. Ping geht, Dienst nicht: Port, Firewall und Dienst prüfen. Port offen, Anwendung kaputt: Schicht 7 prüfen. Timeout: keine passende Antwort. Connection Refused: Ziel lehnt aktiv ab. Zugriff verweigert: Autorisierung prüfen. Login fehlgeschlagen: Authentifizierung prüfen. Zertifikatsfehler: Name, Zeit, CA und DNS prüfen. 404: Pfad oder Ressource fehlt. 500: Anwendung oder Serverproblem. 502: Proxy erreicht Backend nicht sauber. 503: Dienst nicht verfügbar. 504: Gateway wartet zu lange. Mailfehler: DNS, SMTP und Logs prüfen. SMB-Fehler: TCP 445, Anmeldung und Rechte prüfen. VPN verbunden heißt nicht: Zugriff erlaubt. Langsam ist nicht gleich nicht erreichbar. Kleine Daten gehen, große nicht: MTU prüfen. Ein Benutzer: Konto und Rechte prüfen. Ein Client: lokale Konfiguration prüfen. Alle Benutzer: zentrale Infrastruktur prüfen. Letzte Änderung zuerst prüfen. 12.6 Logauswertung, Monitoring und Dokumentation bei Netzwerkfehlern Logs und Monitoring sind wichtige Hilfsmittel bei der Fehlersuche. Ein Paketmitschnitt zeigt, welche Pakete übertragen werden. Logs zeigen, was Systeme, Dienste, Firewalls und Anwendungen entschieden oder gemeldet haben. Monitoring zeigt, ob Systeme und Dienste dauerhaft verfügbar und leistungsfähig sind. Merksatz: Mitschnitt zeigt Verkehr. Logs zeigen Ereignisse. Monitoring zeigt Zustand über Zeit. Warum Logs wichtig sind Viele Fehler sind ohne Logs schwer zu verstehen. Beispiele: Benutzer kann sich nicht anmelden. Firewall blockiert Verbindung. Webserver liefert HTTP 500. Datenbank lehnt Verbindung ab. Zertifikat wird abgelehnt. VPN-Verbindung wird getrennt. DHCP vergibt keine Adresse. DNS liefert falsche Antwort. Ohne Logs sieht man oft nur das Symptom. Merksatz: Logs liefern Hinweise auf die Ursache. Was ist ein Log? Ein Log ist ein Ereignisprotokoll. Darin steht, was ein System oder Dienst festgestellt hat. Typische Angaben: - Zeitpunkt - Quelle - Ziel - Benutzer - Dienst - Aktion - Fehlercode - Meldung - Schweregrad - betroffene Komponente Merksatz: Ein Log ist ein technisches Ereignistagebuch. Typische Logquellen Wichtige Logquellen in Netzwerken: - Firewall-Logs - Router-Logs - Switch-Logs - DNS-Logs - DHCP-Logs - VPN-Logs - Webserver-Logs - Reverse-Proxy-Logs - Authentifizierungslogs - Mailserver-Logs - Datenbank-Logs - Betriebssystem-Logs - Anwendungslogs - Cloud-Logs - Monitoring-Alarme Merksatz: Die richtige Logquelle hängt vom Fehlerbild ab. Firewall-Logs Firewall-Logs zeigen, ob Verkehr erlaubt oder blockiert wurde. Wichtige Informationen: - Quelle - Ziel - Quellport - Zielport - Protokoll - Aktion - Regelname - Interface - Zone - NAT-Übersetzung - Zeit Beispiele für Aktionen: allow deny drop reject Merksatz: Firewall-Logs zeigen, welche Regel wirklich gegriffen hat. Firewall-Log richtig lesen Bei Firewall-Logs prüft man: Kommt der Verkehr an der Firewall an? Welche Quelle sieht die Firewall? Welches Ziel sieht die Firewall? Welcher Port wird genutzt? TCP oder UDP? Wird erlaubt oder blockiert? Welche Regel trifft? Ist NAT sichtbar? Gibt es Rückverkehr? Merksatz: Nicht die gedachte Regel zählt, sondern die tatsächlich getroffene Regel. Keine Firewall-Logs sichtbar Wenn kein passender Logeintrag sichtbar ist, kann das bedeuten: Verkehr kommt gar nicht bei der Firewall an. falsche Firewall wird geprüft. falsches Interface wird geprüft. Logging ist deaktiviert. DNS zeigt auf ein anderes Ziel. Route geht anderen Weg. Client sendet keine Anfrage. vorgeschaltetes Gerät blockiert. Zeitfilter ist falsch gesetzt. Merksatz: Kein Log heißt nicht automatisch: Firewall ist unschuldig. Router-Logs Router-Logs helfen bei: Routingproblemen Verbindungsabbrüchen WAN-Störungen VPN-Tunneln Interface-Fehlern Nachbarschaftsproblemen Routing-Protokollen Typische Hinweise: Interface up/down Route geändert Tunnel down Paket verworfen Gateway nicht erreichbar Merksatz: Router-Logs zeigen Wege und Verbindungszustände. Switch-Logs Switch-Logs sind wichtig für Schicht 2. Sie zeigen zum Beispiel: Port up/down VLAN-Fehler STP-Änderungen Loop-Erkennung Port-Security-Verletzungen Duplex- oder Speed-Probleme MAC-Flapping PoE-Probleme Trunk-Probleme Merksatz: Switch-Logs helfen bei lokalen Netz- und VLAN-Problemen. MAC-Flapping MAC-Flapping bedeutet: dieselbe MAC-Adresse erscheint schnell wechselnd an verschiedenen Switchports. Mögliche Ursachen: - Netzwerkschleife - falsch angeschlossener Switch - falsche Link Aggregation - virtuelle Umgebung - fehlerhafte Redundanz - Loop über Patchkabel Merksatz: MAC-Flapping ist ein Warnzeichen für Schicht-2-Probleme. STP-Logs STP steht für: Spanning Tree Protocol STP verhindert Schleifen in Layer-2-Netzen. STP-Logs zeigen zum Beispiel: Topology Change Port Blocking Port Forwarding Root Bridge Wechsel Loop erkannt Merksatz: STP-Logs sind wichtig bei Schleifen und Broadcast-Stürmen. DNS-Logs DNS-Logs zeigen Namensauflösungen. Wichtige Fragen: Welcher Client fragt? Welcher Name wird gefragt? Welche Antwort wird geliefert? Gibt es NXDOMAIN? Gibt es SERVFAIL? Wird intern oder extern gefragt? Gibt es ungewöhnlich viele Anfragen? Merksatz: DNS-Logs zeigen, welche Namen tatsächlich aufgelöst werden. DHCP-Logs DHCP-Logs zeigen, wie IP-Adressen vergeben werden. Wichtige Informationen: - Client-MAC-Adresse - angebotene IP-Adresse - vergebene IP-Adresse - Lease-Zeit - Scope - DHCP-Optionen - Konflikte - Fehlermeldungen Typische Fehler: Scope voll falscher Scope DHCP-Relay fehlt Lease-Konflikt unbekannter Client Merksatz: DHCP-Logs erklären, warum ein Client welche IP bekommt oder nicht bekommt. VPN-Logs VPN-Logs zeigen, ob ein Tunnel aufgebaut wird und warum er scheitert. Wichtige Hinweise: Benutzername Client-IP VPN-IP Authentifizierung erfolgreich oder fehlgeschlagen Zertifikatsfehler MFA-Fehler Gruppenrichtlinie zugewiesene Routen Tunnel aufgebaut oder getrennt Fehlercode Merksatz: VPN verbunden heißt nicht automatisch: Zugriff auf interne Systeme erlaubt. Webserver-Logs Webserver-Logs zeigen HTTP-Anfragen und Antworten. Typische Angaben: - Client-IP - Zeitpunkt - Methode - Pfad - Statuscode - User-Agent - Antwortgröße - Bearbeitungszeit Beispiele: GET /index.html 200 POST /login 401 GET /admin 403 GET /missing 404 GET /app 500 Merksatz: Webserver-Logs zeigen, was die Anwendung oder der Webserver geantwortet hat. Reverse-Proxy-Logs Reverse-Proxy-Logs sind besonders wichtig bei veröffentlichten Webdiensten. Sie zeigen: - externer Client - Hostname - Pfad - Backend-Ziel - HTTP-Status - TLS-Informationen - Weiterleitungsfehler - Timeout - 502 oder 504 - ausgewähltes Backend Merksatz: Reverse-Proxy-Logs zeigen den Übergang vom Client zum Backend. Authentifizierungslogs Authentifizierungslogs zeigen, ob eine Anmeldung erfolgreich war oder nicht. Typische Hinweise: - Benutzername - Quelle - Zeitpunkt - Erfolg oder Fehler - falsches Passwort - Konto gesperrt - MFA erforderlich - Token ungültig - Gruppenmitgliedschaft - Kerberos- oder LDAP-Fehler Merksatz: Authentifizierungslogs beantworten: Wer wollte sich anmelden, und warum ging es nicht? Autorisierungsfehler in Logs Autorisierung bedeutet: Ein Benutzer ist bekannt, hat aber nicht die nötigen Rechte. Typische Hinweise: Access denied Forbidden Permission denied Insufficient privileges Missing role Group required Scope missing Merksatz: Authentifizierung prüft Identität. Autorisierung prüft Rechte. Mailserver-Logs Mailserver-Logs helfen bei E-Mail-Problemen. Sie zeigen: - eingehende Verbindung - ausgehende Verbindung - Absender - Empfänger - SMTP-Statuscode - Spamfilter-Entscheidung - TLS-Fehler - Zustellversuch - Bounce - Queue-Status Merksatz: Mailserver-Logs zeigen, wo eine E-Mail hängen bleibt oder abgelehnt wird. Datenbank-Logs Datenbank-Logs helfen bei Anwendungsfehlern. Typische Hinweise: - Verbindung fehlgeschlagen - Benutzer nicht berechtigt - Passwort falsch - Datenbank nicht erreichbar - SQL-Fehler - langsame Abfragen - Locking-Probleme - Speicher- oder Verbindungsgrenze erreicht Merksatz: HTTP 500 kann seine Ursache in der Datenbank haben. Betriebssystem-Logs Betriebssystem-Logs zeigen Systemereignisse. Beispiele: Dienst gestartet Dienst gestoppt Dienst abgestürzt Speicher voll Festplatte voll Netzwerkinterface down Treiberfehler Berechtigungsfehler Zeitproblem Zertifikatproblem Merksatz: Systemlogs zeigen, ob das Betriebssystem selbst Probleme meldet. Anwendungslogs Anwendungslogs sind oft die wichtigste Quelle bei Schicht-7-Problemen. Sie zeigen zum Beispiel: Konfigurationsfehler fehlende Datei Datenbankfehler API-Fehler Berechtigungsfehler ungültiges Datenformat ungültige Session Fehler beim Start Stacktrace Timeout zu Backend Merksatz: Wenn Netzwerk steht, aber Anwendung fehlschlägt, Anwendungslogs prüfen. Cloud-Logs In Cloud-Umgebungen gibt es zusätzliche Logquellen. Beispiele: - Security Groups - Network Security Groups - Load Balancer Logs - Cloud Firewall Logs - IAM Logs - Audit Logs - DNS Logs - API Gateway Logs - Container Logs - Kubernetes Events Merksatz: In Cloud-Umgebungen liegen Netzwerkentscheidungen oft in mehreren Diensten. Container-Logs Container-Logs zeigen Ausgaben der Anwendung im Container. Typische Hinweise: Dienst startet nicht. Port ist belegt. Datenbank nicht erreichbar. Umgebungsvariable fehlt. Berechtigung fehlt. Volume fehlt. DNS-Name im Docker-Netz falsch. Backend nicht erreichbar. Zertifikat fehlt. Merksatz: Container-Logs zeigen, was die Anwendung im Container meldet. Zeitstempel in Logs Zeitstempel sind entscheidend. Man muss prüfen: Stimmen Uhrzeiten der Systeme? Welche Zeitzone wird verwendet? Ist NTP korrekt? Passt der Fehlerzeitpunkt? Sind Logs in UTC oder lokaler Zeit? Sind Client, Server und Firewall zeitlich vergleichbar? Merksatz: Ohne korrekte Zeit sind Logs schwer vergleichbar. NTP und Logs NTP sorgt für korrekte Zeitsynchronisation. Falsche Uhrzeiten verursachen Probleme bei: Logvergleich Zertifikaten Kerberos MFA Tokens Monitoring Vorfallanalyse Merksatz: Korrekte Zeit ist Grundlage für sinnvolle Logauswertung. Schweregrade in Logs Logs haben oft Schweregrade. Typische Stufen: Stufe Bedeutung Debug sehr detaillierte Diagnoseinformationen Info normale Information Warning Warnung, mögliches Problem Error Fehler Critical schwerer Fehler Alert sofortige Aufmerksamkeit nötig Emergency System praktisch nicht mehr nutzbar Merksatz: Nicht jede Warnung ist die Ursache, aber jede Warnung ist ein Hinweis. Debug-Logs Debug-Logs sind sehr detailliert. Vorteil: liefern viele Informationen Nachteil: erzeugen große Datenmengen können sensible Informationen enthalten können Leistung beeinflussen sind schwerer zu lesen Debug sollte oft nur gezielt und zeitlich begrenzt aktiviert werden. Merksatz: Debug nur gezielt und vorübergehend nutzen. Logrotation Logrotation bedeutet: alte Logdateien werden archiviert, komprimiert oder gelöscht, damit Speicherplatz nicht voll läuft. Wichtig: Logs dürfen nicht unkontrolliert wachsen. Problem: Wenn Speicher voll läuft, können Dienste ausfallen. Merksatz: Logrotation schützt vor volllaufenden Systemen. Logaufbewahrung Logaufbewahrung beschreibt, wie lange Logs gespeichert werden. Dabei spielen eine Rolle: - gesetzliche Vorgaben - Datenschutz - Sicherheitsanforderungen - Speicherplatz - Vorfallanalyse - Unternehmensrichtlinien Merksatz: Logs so lange wie nötig, aber nicht unnötig lange speichern. Datenschutz bei Logs Logs können personenbezogene oder sensible Daten enthalten. Beispiele: Benutzername IP-Adresse E-Mail-Adresse Standort Login-Zeit Gerät Fehlerdetails Tokens Session-Informationen Deshalb: Zugriff beschränken Zweck beachten Aufbewahrung regeln sensible Daten vermeiden Logs sicher speichern Merksatz: Logs sind oft personenbezogen und müssen geschützt werden. Zentrale Logsammlung In größeren Umgebungen werden Logs zentral gesammelt. Vorteile: - einheitliche Suche - bessere Korrelation - langfristige Auswertung - Alarmierung - Schutz vor Manipulation auf Einzelsystem - bessere Vorfallanalyse Beispiele für Konzepte: Syslog SIEM Logserver zentraler Monitoring-Stack Merksatz: Zentrale Logs erleichtern Analyse und Sicherheit. Syslog Syslog ist ein verbreitetes Verfahren, um Logs von Netzwerkgeräten und Servern zentral zu sammeln. Typische Quellen: Router Switches Firewalls Linux-Systeme Appliances Merksatz: Syslog sammelt Ereignisse zentral. SIEM SIEM steht für: Security Information and Event Management Ein SIEM sammelt, korreliert und bewertet sicherheitsrelevante Ereignisse. Es kann helfen bei: Angriffserkennung Compliance Vorfallanalyse Alarmierung Korrelation von Ereignissen ungewöhnlichem Verhalten Merksatz: SIEM verbindet Logs zu sicherheitsrelevanten Erkenntnissen. Korrelation Korrelation bedeutet: Ereignisse aus mehreren Quellen werden zusammen betrachtet. Beispiel: Firewall meldet blockierte Verbindung. Webserver meldet viele 404. Auth-Log meldet viele Loginfehler. IDS meldet Angriffsmuster. Zusammen kann daraus ein Angriff erkennbar werden. Merksatz: Einzelne Logs sind Hinweise, korrelierte Logs ergeben Zusammenhang. Monitoring Monitoring überwacht Systeme und Dienste dauerhaft. Es beantwortet Fragen wie: Ist der Dienst erreichbar? Ist der Server ausgelastet? Ist Speicherplatz knapp? Läuft der Prozess? Ist das Zertifikat bald abgelaufen? Ist die Latenz erhöht? Gibt es Paketverlust? Ist ein Standort offline? Merksatz: Monitoring erkennt Probleme, bevor Benutzer sie melden. Monitoring-Arten Typische Monitoring-Arten: - Verfügbarkeitsmonitoring - Performance-Monitoring - Netzwerkmonitoring - Dienstmonitoring - Logmonitoring - Sicherheitsmonitoring - Zertifikatsmonitoring - Kapazitätsmonitoring Merksatz: Monitoring kann Verfügbarkeit, Leistung, Sicherheit und Kapazität prüfen. Verfügbarkeitsmonitoring Verfügbarkeitsmonitoring prüft, ob ein System oder Dienst erreichbar ist. Beispiele: Ping erfolgreich? TCP-Port offen? HTTP-Status 200? DNS antwortet? VPN-Tunnel up? Datenbank erreichbar? Merksatz: Verfügbarkeit bedeutet: Dienst antwortet grundsätzlich. Performance-Monitoring Performance-Monitoring prüft Leistungswerte. Beispiele: CPU-Auslastung RAM-Auslastung Festplatten-I/O Netzwerklast Latenz Paketverlust Antwortzeit Datenbankabfragezeit Merksatz: Performance-Monitoring zeigt, ob ein Dienst langsam oder überlastet ist. Netzwerkmonitoring Netzwerkmonitoring prüft Netzwerkkomponenten. Beispiele: Switchports Router Firewalls Access Points VPN-Tunnel WAN-Leitungen Bandbreite Interface-Fehler Paketverlust Latenz Merksatz: Netzwerkmonitoring zeigt Zustand der Infrastruktur. Dienstmonitoring Dienstmonitoring prüft konkrete Dienste. Beispiele: Webserver läuft? Datenbank erreichbar? DNS antwortet? DHCP verfügbar? Mailqueue wächst? Reverse Proxy antwortet? API liefert erwarteten Status? Merksatz: Dienstmonitoring prüft, ob ein Dienst fachlich nutzbar ist. Zertifikatsmonitoring Zertifikatsmonitoring prüft TLS-Zertifikate. Wichtige Fragen: Wann läuft das Zertifikat ab? Passt der Hostname? Ist die Zertifikatskette gültig? Wird das richtige Zertifikat ausgeliefert? Ist die CA vertrauenswürdig? Merksatz: Zertifikate sollten überwacht werden, bevor sie ablaufen. Kapazitätsmonitoring Kapazitätsmonitoring prüft, ob Ressourcen knapp werden. Beispiele: Speicherplatz RAM CPU Bandbreite Datenbankgröße Loggröße Anzahl Verbindungen DHCP-Leases Lizenzgrenzen Merksatz: Kapazitätsprobleme kündigen sich oft vorher an. Alarmierung Monitoring ist nur hilfreich, wenn wichtige Probleme auch gemeldet werden. Alarmierung kann erfolgen über: E-Mail SMS App Dashboard Ticket Chat Pager Wichtig: Nicht zu viele unnötige Alarme, sonst werden wichtige Alarme ignoriert. Merksatz: Gute Alarmierung ist relevant, verständlich und handlungsfähig. False Positive und False Negative False Positive: Alarm, obwohl kein echtes Problem vorliegt. False Negative: Kein Alarm, obwohl ein echtes Problem vorliegt. Beides ist problematisch. Merksatz: Monitoring muss sinnvoll eingestellt und regelmäßig geprüft werden. Schwellwerte Schwellwerte legen fest, wann ein Alarm ausgelöst wird. Beispiele: CPU über 90 Prozent Speicherplatz unter 10 Prozent frei Zertifikat läuft in 14 Tagen ab Ping-Verlust über 5 Prozent Antwortzeit über 2 Sekunden HTTP-Status nicht 200 Merksatz: Schwellwerte müssen zum Dienst passen. Trends Monitoring zeigt nicht nur aktuelle Werte, sondern auch Entwicklungen. Beispiele: Speicherplatz wird jede Woche knapper. Antwortzeiten steigen langsam. Bandbreite ist montags überlastet. Logdateien wachsen ungewöhnlich stark. DHCP-Leases reichen bald nicht mehr. Merksatz: Trends helfen, Probleme vor dem Ausfall zu erkennen. Baseline Eine Baseline beschreibt, was für ein System normal ist. Beispiel: normale CPU-Auslastung normale Antwortzeit normale Anzahl Verbindungen normale DNS-Anfragen normale Bandbreite Ohne Baseline weiß man schwer, ob ein Wert auffällig ist. Merksatz: Baseline = normales Verhalten als Vergleichswert. Dokumentation Dokumentation beschreibt, wie ein System aufgebaut ist und wie es betrieben wird. Wichtige Inhalte: - Netzplan - IP-Adressplan - VLAN-Plan - Firewall-Regeln - NAT-Regeln - DNS-Zonen - DHCP-Scopes - Serverrollen - Dienste - Zugangspfade - Ansprechpartner - Änderungen - Notfallverfahren Merksatz: Gute Dokumentation beschleunigt Fehlersuche. Netzplan Ein Netzplan zeigt, wie Netzbereiche und Geräte verbunden sind. Er enthält zum Beispiel: Router Switches Firewalls Server VLANs Standorte VPNs DMZ Internetanschluss IP-Netze Merksatz: Netzplan zeigt, wie das Netzwerk aufgebaut ist. IP-Adressplan Ein IP-Adressplan zeigt, welche Netze und Adressen verwendet werden. Beispiele: 192.168.10.0/24 Clients 192.168.20.0/24 Server 192.168.30.0/24 DMZ 192.168.40.0/24 Management 192.168.50.0/24 Gäste Merksatz: IP-Adressplan verhindert Verwechslungen und Doppelvergaben. VLAN-Dokumentation Eine VLAN-Dokumentation enthält: VLAN-ID Name Subnetz Gateway DHCP-Scope Zweck zugehörige Switchports Trunks Firewall-Zone Merksatz: VLANs ohne Dokumentation führen schnell zu Fehlkonfigurationen. Firewall- und NAT-Dokumentation Dokumentiert werden sollten: Quelle Ziel Dienst Port Protokoll Richtung Zone NAT-Ziel Zweck Verantwortlicher Ticket Ablaufdatum bei temporären Regeln Merksatz: Firewall-Regeln ohne Zweck sind später schwer bewertbar. DNS-Dokumentation DNS-Dokumentation enthält: Zonen A-Records AAAA-Records CNAMEs MX-Records TXT-Records interne und externe Namen Split-DNS-Regeln TTL zuständige Systeme Merksatz: DNS-Dokumentation verhindert falsche Zielauflösungen. DHCP-Dokumentation DHCP-Dokumentation enthält: Scope Adressbereich Ausschlüsse Reservierungen Lease-Zeit Gateway-Option DNS-Option Relay-Adresse VLAN-Zuordnung Merksatz: DHCP-Dokumentation erklärt, warum Clients welche Konfiguration bekommen. Änderungsdokumentation Änderungen sollten nachvollziehbar sein. Wichtige Angaben: Was wurde geändert? Warum wurde es geändert? Wann wurde es geändert? Wer hat es geändert? Welche Systeme sind betroffen? Wie wurde getestet? Gibt es Rollback? Gibt es ein Ticket? Merksatz: Ohne Änderungsdokumentation ist Fehlersuche nach Änderungen schwer. Incident-Dokumentation Bei Störungen sollte dokumentiert werden: Startzeit Endezeit betroffene Systeme betroffene Benutzer Fehlerbild Ursache Maßnahmen Lösung Workaround Kommunikation Nacharbeiten Merksatz: Incident-Dokumentation hilft, aus Fehlern zu lernen. Root Cause Analysis Root Cause Analysis bedeutet: die eigentliche Ursache eines Problems finden. Nicht nur: Dienst neu starten Sondern fragen: Warum ist der Dienst abgestürzt? Warum war Speicher voll? Warum gab es keinen Alarm? Warum wurde die Logrotation nicht eingerichtet? Merksatz: Root Cause Analysis sucht die Ursache hinter dem Symptom. Post-Mortem Ein Post-Mortem ist eine Nachbesprechung nach einer Störung. Ziele: Ursache verstehen Ablauf rekonstruieren Verbesserungen finden Schuldzuweisungen vermeiden Maßnahmen ableiten Wiederholung verhindern Merksatz: Post-Mortem soll Systeme verbessern, nicht Personen beschuldigen. Lessons Learned Lessons Learned sind Erkenntnisse aus einer Störung. Beispiele: Monitoring muss erweitert werden. Zertifikate müssen überwacht werden. Firewall-Regeln müssen dokumentiert werden. Backups müssen getestet werden. Change-Prozess muss angepasst werden. Runbook muss erstellt werden. Merksatz: Lessons Learned machen aus Störungen Verbesserungen. Runbook Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen. Beispiele: Webdienst neu starten Zertifikat erneuern VPN-Tunnel prüfen DHCP-Scope erweitern Firewall-Regel prüfen Backup wiederherstellen Merksatz: Runbooks machen wiederkehrende Arbeiten sicherer und schneller. Checkliste für Logauswertung 1. Fehlerzeitpunkt bestimmen. 2. Betroffene Systeme bestimmen. 3. Passende Logquelle auswählen. 4. Zeitfilter setzen. 5. Fehlermeldungen suchen. 6. Schweregrad beachten. 7. Ereignisse vor und nach dem Fehler prüfen. 8. Logs mehrerer Systeme vergleichen. 9. Zeitabweichungen beachten. 10. Ergebnis dokumentieren. Merksatz: Logs immer zeitlich und fachlich einordnen. Checkliste für Monitoring 1. Wird der Dienst überwacht? 2. Wird der richtige Port geprüft? 3. Wird die Anwendung geprüft oder nur Ping? 4. Gibt es sinnvolle Schwellwerte? 5. Gibt es Alarmierung? 6. Werden Zertifikate überwacht? 7. Werden Ressourcen überwacht? 8. Werden Trends betrachtet? 9. Gibt es zu viele Fehlalarme? 10. Werden Alarme bearbeitet? Merksatz: Monitoring muss den Dienst wirklich abbilden. Checkliste für Dokumentation 1. Netzplan aktuell? 2. IP-Adressplan aktuell? 3. VLANs dokumentiert? 4. Firewall-Regeln dokumentiert? 5. NAT-Regeln dokumentiert? 6. DNS-Einträge dokumentiert? 7. DHCP-Scopes dokumentiert? 8. Verantwortliche bekannt? 9. Änderungen dokumentiert? 10. Notfallverfahren vorhanden? Merksatz: Dokumentation ist ein Werkzeug, nicht nur Verwaltung. Typische Fehler bei Logs und Monitoring Häufige Fehler: Logs werden nicht aktiviert. Logs werden zu kurz gespeichert. Logs laufen voll. Zeitstempel stimmen nicht. falsche Zeitzone wird übersehen. Monitoring prüft nur Ping. Zertifikate werden nicht überwacht. Alarme gehen an niemanden. zu viele Fehlalarme entstehen. Dokumentation ist veraltet. Änderungen werden nicht dokumentiert. Root Cause wird nicht gesucht. Merksatz: Logs und Monitoring müssen gepflegt werden. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum sind Logs bei der Fehlersuche wichtig? - Welche Informationen enthält ein Firewall-Log? - Warum ist die Uhrzeit bei Logs wichtig? - Warum ist NTP für Logauswertung wichtig? - Was ist Monitoring? - Was ist der Unterschied zwischen Verfügbarkeits- und Performance-Monitoring? - Warum reicht Ping-Monitoring nicht immer aus? - Was ist ein Schwellwert? - Was ist eine Baseline? - Warum müssen Zertifikate überwacht werden? - Was gehört in eine Netzwer dokumentation? - Warum ist Änderungsdokumentation wichtig? - Was ist eine Root Cause Analysis? - Was ist ein Runbook? - Warum können Logs personenbezogene Daten enthalten? Typische Prüfungsfallen Logs zeigen Ereignisse, nicht automatisch die Ursache. Monitoring zeigt Zustand über Zeit. Ping-Monitoring reicht nicht für Anwendungserfolg. Firewall-Logs zeigen getroffene Regeln. Kein Log kann auch falschen Weg bedeuten. Zeitstempel müssen vergleichbar sein. NTP ist wichtig für Logs, Zertifikate und Authentifizierung. Debug-Logs nur gezielt aktivieren. Logs können sensible Daten enthalten. Logrotation verhindert volle Datenträger. Zentrale Logsammlung erleichtert Analyse. SIEM korreliert sicherheitsrelevante Ereignisse. Monitoring braucht sinnvolle Schwellwerte. Zu viele Fehlalarme führen zu Alarmmüdigkeit. Baseline zeigt normales Verhalten. Dokumentation muss aktuell sein. Änderung ohne Dokumentation erschwert Fehlersuche. Root Cause ist wichtiger als nur Neustart. Runbooks helfen bei wiederkehrenden Aufgaben. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Log Ereignisprotokoll Logquelle System oder Dienst, der Logs erzeugt Firewall-Log Protokoll von erlaubtem oder blockiertem Verkehr Systemlog Betriebssystemereignisse Anwendungslog Meldungen einer Anwendung Debug-Log sehr detaillierte Diagnoseausgabe Logrotation Archivieren oder Löschen alter Logs Logaufbewahrung Zeitraum der Speicherung Syslog Verfahren zur zentralen Logsammlung SIEM System zur Sicherheitsauswertung von Logs Korrelation Zusammenführen mehrerer Ereignisse Monitoring dauerhafte Überwachung Schwellwert Grenze für Alarmierung False Positive Fehlalarm False Negative fehlender Alarm trotz Problem Baseline normales Verhalten als Vergleich Netzplan grafische Netzdokumentation IP-Adressplan Übersicht verwendeter Netze und Adressen Änderungsdokumentation Nachweis von Änderungen Incident Störung oder Sicherheitsvorfall Root Cause Analysis Suche nach eigentlicher Ursache Post-Mortem Nachbesprechung nach Störung Lessons Learned Erkenntnisse zur Verbesserung Runbook Schritt-für-Schritt-Anleitung IHK-sichere Kurzformulierung Logs, Monitoring und Dokumentation sind zentrale Bestandteile der Netzwerkfehlersuche. Logs zeigen Ereignisse und Entscheidungen von Systemen, Diensten, Firewalls, Anwendungen und Betriebssystemen. Monitoring überwacht Verfügbarkeit, Leistung, Kapazität und Sicherheit über einen längeren Zeitraum und kann Probleme frühzeitig melden. Wichtig sind korrekte Zeitstempel, NTP, sinnvolle Schwellwerte, Logrotation, Datenschutz und zentrale Logsammlung. Dokumentation wie Netzplan, IP-Adressplan, VLAN-Plan, Firewall-Regeln, NAT-Regeln, DNS-Einträge und DHCP-Scopes hilft, Fehler schneller einzugrenzen. Nach Störungen sollten Ursache, Maßnahmen und Verbesserungen dokumentiert werden. Merksätze Mitschnitt zeigt Verkehr. Logs zeigen Ereignisse. Monitoring zeigt Zustand über Zeit. Dokumentation zeigt Aufbau und Änderungen. Firewall-Logs zeigen getroffene Regeln. DNS-Logs zeigen Namensauflösung. DHCP-Logs zeigen Adressvergabe. VPN-Logs zeigen Tunnel und Anmeldung. Webserver-Logs zeigen HTTP-Antworten. Reverse-Proxy-Logs zeigen Backend-Probleme. Authentifizierungslogs zeigen Loginprobleme. Anwendungslogs zeigen Schicht-7-Fehler. Zeitstempel müssen stimmen. NTP ist wichtig für Logvergleich. Debug nur gezielt aktivieren. Logs können sensible Daten enthalten. Logrotation verhindert volle Datenträger. Zentrale Logs erleichtern Analyse. SIEM korreliert Sicherheitsereignisse. Monitoring erkennt Probleme früh. Ping-Monitoring reicht oft nicht. Schwellwerte müssen sinnvoll sein. Baseline zeigt normales Verhalten. Zertifikate überwachen. Netzplan aktuell halten. IP-Adressplan aktuell halten. Firewall- und NAT-Regeln dokumentieren. Änderungen dokumentieren. Root Cause suchen, nicht nur Symptom beheben. Runbooks helfen bei wiederkehrender Fehlersuche. 12.7 Merksätze und Prüfungswissen zu Sniffing, Analyse und Fehlersuche Diese Seite fasst die wichtigsten Inhalte zu Sniffing, Paketmitschnitt, Wireshark, tcpdump, systematischer Fehlersuche, Logs, Monitoring und Dokumentation zusammen. Diese Themen sind besonders wichtig, weil sie in der Praxis und in Prüfungsaufgaben häufig miteinander verbunden werden. Merksatz: Netzwerkanalyse bedeutet: messen, prüfen, vergleichen und fachlich einordnen. Grundidee der Netzwerkanalyse Netzwerkanalyse soll klären, was wirklich passiert. Dabei nutzt man: - Fehlerbeschreibung - OSI-Modell - Paketmitschnitt - Logs - Monitoring - Konfigurationsprüfung - Vergleich mit funktionierenden Systemen Ziel ist nicht, blind etwas zu ändern. Ziel ist: Ursache finden Ursache nachweisen Ursache beheben Ergebnis dokumentieren Merksatz: Nicht raten, sondern prüfen. Sniffing Sniffing bedeutet: Netzwerkverkehr mitschneiden und analysieren. Dabei werden Pakete sichtbar gemacht. Man erkennt zum Beispiel: - Quell- und Ziel-MAC - Quell- und Ziel-IP - Protokoll - Port - DNS-Anfragen - TCP-Handshake - TLS-Handshake - DHCP-Ablauf - ICMP-Meldungen - Wiederholungen - Resets - Timeouts Merksatz: Sniffing zeigt den tatsächlichen Netzwerkverkehr. Paketmitschnitt Ein Paketmitschnitt ist eine Aufzeichnung von Netzwerkpaketen. Er hilft bei Fragen wie: Kommt das Paket an? Antwortet das Ziel? Wird DNS richtig gefragt? Findet ein TCP-Handshake statt? Gibt es Retransmissions? Gibt es Resets? Gibt es TLS-Fehler? Gibt es ICMP-Fehler? Kommt DHCP-DORA zustande? Merksatz: Paketmitschnitt ersetzt Vermutungen durch Messdaten. PCAP-Datei Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert. Vorteile: - spätere Analyse möglich - Analyse mit Wireshark möglich - Weitergabe an Fachabteilung möglich - Beweissicherung bei Störungen - Vergleich mit Logs möglich Achtung: PCAP-Dateien können sensible Daten enthalten. Merksatz: PCAP-Dateien wie vertrauliche Daten behandeln. Datenschutz bei Paketmitschnitten Paketmitschnitte können enthalten: - IP-Adressen - MAC-Adressen - Hostnamen - Benutzernamen - Cookies - Tokens - unverschlüsselte Passwörter - E-Mail-Inhalte - personenbezogene Daten - interne Strukturen Deshalb: nur mit berechtigtem Zweck nur so lange wie nötig nur relevanten Verkehr sicher speichern Zugriff begrenzen nach Zweck löschen Merksatz: Sniffing ist technisch nützlich, aber datenschutzrelevant. Wireshark Wireshark ist ein grafisches Werkzeug zur Paketanalyse. Es zeigt: - Paketliste - Paketdetails - Paketbytes - Protokolle - Filtermöglichkeiten - Conversations - Endpoints - Expert Information Wireshark eignet sich besonders gut, um Protokollabläufe sichtbar zu machen. Merksatz: Wireshark macht Netzwerkverkehr lesbar. tcpdump tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte. Typische Nutzung: auf Servern auf Firewalls auf Routern per SSH in minimalen Linux-Umgebungen tcpdump kann Mitschnitte live anzeigen oder als PCAP-Datei speichern. Merksatz: tcpdump ist Paketmitschnitt auf der Kommandozeile. tshark tshark ist die Kommandozeilenversion von Wireshark. Es eignet sich für: - PCAP-Auswertung ohne GUI - automatisierte Analyse - Protokollauswertung - Filterung - Ausgabe bestimmter Felder Merksatz: tshark bringt Wireshark-Funktionen auf die Kommandozeile. Capture Filter und Display Filter Capture Filter: bestimmen, was überhaupt aufgezeichnet wird. Display Filter: bestimmen, was nachträglich angezeigt wird. Filterart Zeitpunkt Wirkung Capture Filter vor oder während Aufnahme begrenzt Aufzeichnung Display Filter nach Aufnahme begrenzt Anzeige Merksatz: Capture Filter spart Daten. Display Filter hilft bei Analyse. Wichtige Wireshark-Filter Fragestellung Filteridee bestimmte IP ip.addr == 192.168.10.20 Quell-IP ip.src == 192.168.10.20 Ziel-IP ip.dst == 192.168.10.20 TCP-Port tcp.port == 443 UDP-Port udp.port == 53 DNS dns ARP arp ICMP icmp HTTP http TLS tls TCP Reset tcp.flags.reset == 1 Retransmission tcp.analysis.retransmission Merksatz: Filter müssen zur Frage passen. Wichtige tcpdump-Filter Ziel Beispiel Interface mitschneiden tcpdump -i eth0 keine Namensauflösung tcpdump -nn -i eth0 Host filtern tcpdump -nn -i eth0 host 192.168.10.20 Quelle filtern tcpdump -nn -i eth0 src host 192.168.10.20 Ziel filtern tcpdump -nn -i eth0 dst host 192.168.10.20 Port filtern tcpdump -nn -i eth0 port 443 TCP-Port tcpdump -nn -i eth0 tcp port 443 UDP-Port tcpdump -nn -i eth0 udp port 53 ICMP tcpdump -nn -i eth0 icmp ARP tcpdump -nn -i eth0 arp Datei schreiben tcpdump -nn -i eth0 -w capture.pcap Datei lesen tcpdump -nn -r capture.pcap Merksatz: tcpdump-Filter möglichst gezielt setzen. Mitschnittort Der Ort des Mitschnitts ist entscheidend. Mögliche Stellen: - Client - Server - Firewall - Router - Switch Mirror Port - Reverse Proxy - VPN-Gateway - Container-Host Je nach Ort sieht man andere Pakete. Merksatz: Der Mitschnittort entscheidet, was sichtbar ist. Port Mirroring In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr. Port Mirroring kopiert Verkehr von einem oder mehreren Switchports auf einen Analyseport. Auch genannt: SPAN Merksatz: Port Mirroring macht fremden Switch-Verkehr für Analyse sichtbar. Promiscuous Mode Promiscuous Mode bedeutet: Die Netzwerkkarte nimmt auch Frames an, die nicht direkt an ihre eigene MAC-Adresse gerichtet sind. Wichtig: In geswitchten Netzen reicht das allein oft nicht, weil der Switch fremden Verkehr gar nicht an diesen Port sendet. Merksatz: Promiscuous Mode ersetzt kein Port Mirroring. TCP-Handshake TCP baut eine Verbindung mit drei Schritten auf: SYN SYN-ACK ACK Bedeutung: SYN: Client möchte Verbindung starten. SYN-ACK: Server antwortet und akzeptiert grundsätzlich. ACK: Client bestätigt. Merksatz: SYN, SYN-ACK, ACK = TCP-Verbindung aufgebaut. TCP-Fehlerbilder Beobachtung mögliche Bedeutung nur SYN-Wiederholungen keine Antwort, Firewall, Routing oder Rückweg SYN und RST Port geschlossen oder Verbindung aktiv abgelehnt viele Retransmissions Paketverlust oder fehlende Bestätigung Zero Window Empfänger kann keine Daten aufnehmen SYN, SYN-ACK, kein ACK Rückweg oder Clientproblem Handshake klappt, Anwendung fehlerhaft höhere Schicht prüfen Merksatz: TCP-Analyse beginnt beim Handshake. UDP-Analyse UDP hat keinen Verbindungsaufbau. Es gibt keinen TCP-Handshake. Bei UDP prüft man: Anfrage gesendet? Antwort zurück? richtiger Port? ICMP-Fehler? Firewall blockiert? Dienst antwortet? Beispiele für UDP: DNS DHCP NTP SNMP VoIP Merksatz: UDP hat keinen Handshake, deshalb Anfrage und Antwort direkt prüfen. DNS-Analyse DNS ist häufig der erste Schritt vor einer Verbindung. Prüfen: Welcher DNS-Server wird gefragt? Welcher Name wird gefragt? Welche Antwort kommt zurück? A oder AAAA? NXDOMAIN? falscher DNS-Server? Split DNS? Cache? TTL? Merksatz: DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch. DHCP-Analyse Der klassische DHCP-Ablauf lautet: Discover Offer Request Acknowledge Kurz: DORA Fehlerbilder: Discover ohne Offer: DHCP-Server oder Relay antwortet nicht. Offer ohne Request: Client akzeptiert Angebot nicht. Request ohne Acknowledge: Server bestätigt nicht. Merksatz: DHCP mit DORA prüfen. ARP-Analyse ARP löst im lokalen IPv4-Netz auf: IPv4-Adresse zu MAC-Adresse Typische ARP-Fehler: viele ARP-Anfragen ohne Antwort falsche MAC-Adresse doppelte IP-Adresse Gateway antwortet nicht VLAN falsch falsche Netzmaske Merksatz: ARP-Probleme sind lokale Schicht-2- oder Schicht-3-Probleme. ICMP-Analyse ICMP liefert Diagnose- und Fehlermeldungen. Beispiele: Echo Request Echo Reply Destination Unreachable Time Exceeded Fragmentation Needed Wichtig: ICMP ist mehr als Ping. Merksatz: ICMP-Meldungen können Ursachen sichtbar machen. TLS-Analyse Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt. Man sieht aber häufig: Client Hello Server Hello SNI Zertifikatsinformationen TLS-Version Cipher-Auswahl TLS Alert Typische Probleme: falscher Hostname abgelaufenes Zertifikat nicht vertrauenswürdige CA inkompatible TLS-Version unvollständige Zertifikatskette Merksatz: TLS schützt Inhalte, aber der Handshake liefert Hinweise. SNI SNI steht für: Server Name Indication SNI zeigt beim TLS-Aufbau, welchen Hostnamen der Client erreichen möchte. Wichtig bei: mehreren HTTPS-Diensten auf einer IP-Adresse Merksatz: SNI zeigt den gewünschten HTTPS-Hostnamen. HTTP-Analyse Bei HTTP prüft man: Methode Host-Header Pfad Statuscode Header Weiterleitung Antwortzeit Anwendungsmeldung Wichtige Statuscodes: Code Bedeutung 200 OK 301 / 302 Weiterleitung 400 Bad Request 401 nicht authentifiziert 403 nicht berechtigt 404 nicht gefunden 500 interner Serverfehler 502 Bad Gateway 503 Dienst nicht verfügbar 504 Gateway Timeout Merksatz: HTTP-Statuscodes helfen bei Schicht-7-Fehlern. Ping richtig einordnen Ping prüft ICMP-Erreichbarkeit. Ping zeigt nicht: ob TCP 443 offen ist ob HTTPS funktioniert ob DNS korrekt ist ob Anmeldung klappt ob Berechtigung besteht ob Anwendung gesund ist Merksatz: Ping ist kein vollständiger Diensttest. Porttest richtig einordnen Ein Porttest zeigt: Verbindung zum Port möglich oder nicht. Er zeigt nicht automatisch: Anwendung funktioniert Login funktioniert Zertifikat passt Berechtigung stimmt Datenbank erreichbar API antwortet fachlich korrekt Merksatz: Offener Port heißt nicht: Anwendung funktioniert. Wichtige Analysewerkzeuge Werkzeug Zweck ping ICMP-Erreichbarkeit traceroute / tracert Weg zum Ziel nslookup einfache DNS-Prüfung dig detaillierte DNS-Prüfung curl HTTP/HTTPS/API-Test nc Port- und Verbindungstest Test-NetConnection Windows-Porttest ss lokale Ports und Verbindungen netstat Netzwerkstatus, älter openssl s_client TLS- und Zertifikatsprüfung tcpdump Paketmitschnitt CLI tshark PCAP-Analyse CLI Wireshark grafische Paketanalyse journalctl Linux-Logs Ereignisanzeige Windows-Logs Merksatz: Kein Werkzeug beantwortet alles. Systematische Fehlersuche nach OSI Schicht Prüfung 1 Kabel, Link, Signal, WLAN 2 MAC, VLAN, Switch, ARP 3 IP, Subnetz, Gateway, Routing 4 TCP, UDP, Ports, Firewall 5 Sitzung, Session, Timeout 6 TLS, Zertifikat, Codierung 7 Anwendung, DNS, DHCP, HTTP, Authentifizierung Merksatz: OSI-Modell hilft, den Fehlerbereich einzugrenzen. Bottom-Up Bottom-Up bedeutet: von Schicht 1 nach oben prüfen. Beispiel: Kabel Link VLAN IP Gateway Port Dienst Anwendung Merksatz: Bottom-Up beginnt beim Fundament. Top-Down Top-Down bedeutet: bei der Anwendung beginnen und nach unten prüfen. Beispiel: Webseite HTTP-Status TLS Port DNS Routing Link Merksatz: Top-Down beginnt beim sichtbaren Dienst. Divide and Conquer Divide and Conquer bedeutet: Man prüft eine mittlere Ebene, um den Suchbereich zu verkleinern. Beispiel: Ping geht, aber Webdienst nicht. Dann ist grob klar: IP-Erreichbarkeit ist wahrscheinlich vorhanden, aber Port, Firewall, TLS oder Anwendung müssen weiter geprüft werden. Merksatz: Divide and Conquer halbiert den Suchbereich. Fehlerbild sauber aufnehmen Wichtige Fragen: Wer ist betroffen? Was funktioniert nicht? Was funktioniert noch? Seit wann? Wo tritt der Fehler auf? Intern oder extern? LAN oder WLAN? VPN oder lokal? Nur ein Benutzer oder alle? Welche Fehlermeldung? Was wurde zuletzt geändert? Merksatz: Gute Fehlerbeschreibung ist Diagnosearbeit. Typische Fehlerbilder Fehlerbild erste Richtung kein Link Schicht 1 169.254.x.x DHCP Gateway nicht erreichbar Schicht 2 / 3 IP geht, Name nicht DNS Ping geht, Port nicht Schicht 4 / Firewall / Dienst Port offen, Anwendung fehlerhaft Schicht 7 Timeout keine passende Antwort Connection Refused Dienst lehnt aktiv ab 401 Authentifizierung 403 Autorisierung 404 Pfad oder Ressource fehlt 500 Anwendung oder Server 502 Proxy zu Backend Zertifikatswarnung TLS, DNS, Zeit oder CA Merksatz: Fehlerbild gibt Richtung, aber noch keinen Beweis. Authentifizierung und Autorisierung Authentifizierung bedeutet: Wer bist du? Beispiele: Benutzername Passwort MFA Zertifikat Token Autorisierung bedeutet: Was darfst du? Beispiele: Rolle Gruppe Rechte Freigabe API-Scope Merksatz: 401 ist oft Authentifizierung. 403 ist oft Autorisierung. Timeout und Connection Refused Timeout: Keine Antwort kommt zurück. Mögliche Ursachen: Firewall droppt Routing fehlt Rückweg fehlt Ziel antwortet nicht Connection Refused: Ziel lehnt aktiv ab. Mögliche Ursachen: Dienst läuft nicht falscher Port Dienst lauscht nicht Host lehnt ab Merksatz: Timeout = keine Antwort. Refused = aktive Ablehnung. MTU-Probleme MTU steht für: Maximum Transmission Unit Typische Hinweise: kleine Pakete funktionieren große Übertragungen hängen VPN instabil Webseiten laden teilweise Downloads brechen ab viele Retransmissions Fragmentation Needed fehlt oder wird blockiert Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. Logs Logs zeigen Ereignisse und Entscheidungen. Wichtige Logquellen: - Firewall-Logs - DNS-Logs - DHCP-Logs - VPN-Logs - Webserver-Logs - Reverse-Proxy-Logs - Authentifizierungslogs - Systemlogs - Anwendungslogs - Mailserver-Logs - Datenbank-Logs Merksatz: Logs zeigen, was Systeme entschieden oder gemeldet haben. Monitoring Monitoring überwacht Systeme und Dienste dauerhaft. Es prüft zum Beispiel: Erreichbarkeit Antwortzeiten CPU RAM Speicherplatz Bandbreite Paketverlust Zertifikate Dienste Logs Verbindungen Merksatz: Monitoring erkennt Probleme über Zeit. Dokumentation Gute Dokumentation enthält: - Netzplan - IP-Adressplan - VLAN-Plan - Firewall-Regeln - NAT-Regeln - DNS-Einträge - DHCP-Scopes - Serverrollen - Dienste - Ansprechpartner - Änderungen - Notfallverfahren Merksatz: Dokumentation ist ein Werkzeug für Fehlersuche. Root Cause Analysis Root Cause Analysis bedeutet: die eigentliche Ursache finden. Nicht nur: Dienst neu starten Sondern: Warum ist der Dienst abgestürzt? Warum war Speicher voll? Warum gab es keinen Alarm? Warum wurde die Änderung nicht getestet? Merksatz: Ursache beheben, nicht nur Symptom beseitigen. Workaround und Lösung Workaround: vorübergehende Umgehung Lösung: eigentliche Ursache wird beseitigt Beispiel: Workaround: IP-Adresse statt DNS-Namen verwenden. Ursache: DNS-Eintrag falsch. Lösung: DNS-Eintrag korrigieren. Merksatz: Workaround ist nicht automatisch Lösung. Eine Änderung pro Test Bei Fehlersuche sollte man nicht viele Dinge gleichzeitig ändern. Besser: eine Hypothese bilden einen Test durchführen Ergebnis prüfen dokumentieren nächste Hypothese testen Merksatz: Mehrere Änderungen gleichzeitig verschleiern die Ursache. Nach Änderung zuerst Änderung prüfen Wenn ein Fehler nach einer Änderung auftritt, prüft man zuerst diese Änderung. Beispiele: Firewall-Regel geändert DNS geändert Zertifikat erneuert VLAN geändert Update installiert Passwort geändert Reverse Proxy angepasst VPN geändert Merksatz: Die letzte Änderung ist oft der wichtigste Hinweis. Sicherheitsbewusstsein bei Analyse Analysewerkzeuge können sensible Informationen offenlegen. Beispiele: unverschlüsselte Passwörter Tokens Cookies interne Hostnamen IP-Adressbereiche Benutzerinformationen Fehlermeldungen Konfigurationsdetails Deshalb: Zugriff beschränken Dateien schützen keine unnötigen Mitschnitte Logs nicht ungeschützt teilen Datenschutz beachten Merksatz: Diagnose darf keine neue Sicherheitslücke erzeugen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was versteht man unter Sniffing? - Wofür nutzt man Wireshark? - Wofür nutzt man tcpdump? - Was ist eine PCAP-Datei? - Was ist Port Mirroring? - Warum sieht man im Switch-Netz nicht automatisch allen Verkehr? - Was ist der Unterschied zwischen Capture Filter und Display Filter? - Wie erkennt man einen TCP-Handshake? - Was bedeuten SYN, SYN-ACK und ACK? - Was bedeutet RST? - Was bedeutet Retransmission? - Warum sieht man HTTPS-Inhalte nicht im Klartext? - Was kann man bei DNS im Mitschnitt erkennen? - Wie analysiert man DHCP? - Warum reicht Ping nicht aus? - Warum reicht ein Porttest nicht aus? - Wie hilft das OSI-Modell bei der Fehlersuche? - Was ist Bottom-Up? - Was ist Top-Down? - Was ist Divide and Conquer? - Warum sind Logs wichtig? - Warum ist Monitoring wichtig? - Warum ist Dokumentation wichtig? Typische Prüfungsfallen Sniffing zeigt echten Verkehr. Sniffing ist datenschutzrelevant. Wireshark ist grafisch. tcpdump ist Kommandozeile. tshark ist Wireshark auf Kommandozeile. PCAP-Dateien können sensible Daten enthalten. In geswitchten Netzen sieht man nicht automatisch alles. Port Mirroring kopiert Verkehr. Promiscuous Mode reicht allein oft nicht. Capture Filter begrenzen Aufnahme. Display Filter begrenzen Anzeige. TCP hat Handshake. UDP hat keinen Handshake. SYN startet TCP-Verbindung. SYN-ACK ist Serverantwort. ACK bestätigt. RST lehnt ab oder beendet. Retransmission bedeutet erneutes Senden. DNS früh prüfen. DHCP-DORA kennen. ICMP ist mehr als Ping. HTTPS-Inhalte sind verschlüsselt. TLS-Handshake kann trotzdem Hinweise liefern. SNI zeigt gewünschten Hostnamen. Ping prüft nicht den Dienst. Port offen heißt nicht Anwendung funktioniert. Timeout und Connection Refused unterscheiden. 401 ist Authentifizierung. 403 ist Autorisierung. OSI-Modell hilft beim Eingrenzen. Logs und Mitschnitt ergänzen sich. Monitoring zeigt Zustand über Zeit. Dokumentation beschleunigt Fehlersuche. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Sniffing Mitschneiden von Netzwerkverkehr Paketmitschnitt Aufzeichnung von Paketen PCAP Datei mit Paketmitschnitt Wireshark grafisches Analysewerkzeug tcpdump Kommandozeilenwerkzeug für Mitschnitt tshark Wireshark auf Kommandozeile Port Mirroring Verkehr auf Analyseport kopieren Promiscuous Mode Netzwerkkarte nimmt fremde Frames an Capture Filter Filter vor der Aufnahme Display Filter Filter nach der Aufnahme SYN TCP-Verbindungsstart SYN-ACK TCP-Antwort des Servers ACK Bestätigung RST Reset, aktive Ablehnung oder Abbruch Retransmission erneutes Senden ARP IPv4-Adresse zu MAC-Adresse ICMP Diagnose- und Fehlermeldungsprotokoll DNS Namensauflösung DHCP-DORA Discover, Offer, Request, Acknowledge SNI Hostname im TLS-Handshake TLS Alert TLS-Fehlermeldung Bottom-Up von Schicht 1 nach oben prüfen Top-Down von Anwendung nach unten prüfen Divide and Conquer Suchbereich in der Mitte eingrenzen Timeout keine Antwort Connection Refused aktive Ablehnung Authentifizierung Identität prüfen Autorisierung Rechte prüfen Log Ereignisprotokoll Monitoring dauerhafte Überwachung Root Cause eigentliche Ursache Workaround vorübergehende Umgehung Runbook Schritt-für-Schritt-Anleitung IHK-sichere Gesamtformulierung Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder tshark können Pakete untersucht werden, um DNS-Anfragen, ARP, ICMP, TCP-Handshakes, UDP-Kommunikation, DHCP-DORA, TLS-Handshakes, Resets, Retransmissions und Timeouts zu erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür wird häufig Port Mirroring benötigt. Das OSI-Modell hilft bei der Fehlersuche, indem Fehler schichtweise eingegrenzt werden. Ping und Porttests liefern nur Teilinformationen und ersetzen keine vollständige Prüfung von DNS, Routing, Firewall, NAT, Dienst, TLS, Anwendung, Logs und Berechtigungen. Logs, Monitoring und Dokumentation ergänzen Paketmitschnitte und sind wichtig, um Ursachen nachzuweisen und dauerhaft zu beheben. Wichtigste Merksätze Nicht raten, sondern messen. Sniffing zeigt echten Verkehr. Paketmitschnitt zeigt Pakete. Logs zeigen Ereignisse. Monitoring zeigt Zustand über Zeit. Dokumentation zeigt Aufbau und Änderungen. Wireshark ist grafisch. tcpdump ist Kommandozeile. tshark ist Wireshark auf Kommandozeile. PCAP-Dateien sind sensibel. Mitschnittort ist entscheidend. Port Mirroring kopiert Switch-Verkehr. Capture Filter vor Aufnahme. Display Filter nach Aufnahme. TCP hat Handshake. UDP hat keinen Handshake. SYN, SYN-ACK, ACK = TCP-Verbindung aufgebaut. RST bedeutet aktive Ablehnung oder Abbruch. Retransmission bedeutet erneutes Senden. DNS immer früh prüfen. DHCP mit DORA prüfen. ARP ist lokal wichtig. ICMP ist mehr als Ping. TLS schützt Inhalte. SNI zeigt Hostnamen. HTTP-Statuscodes helfen bei Schicht 7. Ping reicht nicht aus. Port offen reicht nicht aus. Timeout ist keine Antwort. Connection Refused ist aktive Ablehnung. 401 ist Authentifizierung. 403 ist Autorisierung. OSI-Modell grenzt Fehler ein. Bottom-Up beginnt unten. Top-Down beginnt oben. Divide and Conquer grenzt mittig ein. Eine Änderung pro Test. Letzte Änderung zuerst prüfen. Workaround ist nicht automatisch Lösung. Root Cause suchen. Ergebnisse dokumentieren. 13. Verschlüsselung und Sicherheitsgrundlagen Grundlagen zu Verschlüsselung, Schlüsseln, Zertifikaten, Hashwerten, Signaturen und sicheren Protokollen                                              – mit Fokus auf Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit.https://ulrich-wiki.com/uploads/images/gallery/2026-06/crop-y220-660-1920x320.png 13.0 Grundlagen der Verschlüsselung Kurzüberblick Verschlüsselung bedeutet, dass lesbare Daten so umgewandelt werden, dass sie ohne passenden Schlüssel nicht mehr verständlich sind. Aus einer lesbaren Nachricht wird ein unlesbarer Geheimtext. Beispiel: Klartext: Hallo Bob Geheimtext: A4$h!7k9%Lz@8mQ Erst mit dem passenden Schlüssel kann daraus wieder der ursprüngliche Inhalt entstehen. IHK-Merksatz: Verschlüsselung schützt Inhalte vor unbefugtem Mitlesen. Quelle und Einordnung Diese Seite gehört zu: 13. Verschlüsselung und Sicherheitsgrundlagen In unserer BookStack-Struktur steht dieses Kapitel nach: 11. Firewalls, NAT und DMZ 12. Sniffing, Analyse und Fehlersuche und vor: 14. VPN, Intranet und Extranet Warum? Firewalls regeln, wer wohin kommunizieren darf. Sniffing zeigt, dass Datenverkehr mitgelesen werden kann. Verschlüsselung schützt den Inhalt der übertragenen oder gespeicherten Daten. VPN nutzt Verschlüsselung, um sichere Verbindungen über unsichere Netze aufzubauen. Warum braucht man Verschlüsselung? Daten werden in Netzwerken oft über Wege übertragen, die man nicht vollständig kontrolliert. Beispiele: Internet WLAN öffentliche Netze Cloud-Dienste VPN-Verbindungen E-Mail-Kommunikation Webzugriffe über HTTPS Ohne Verschlüsselung könnten Daten leichter mitgelesen oder missbraucht werden. Typische schützenswerte Daten sind: Passwörter Zugangsdaten persönliche Daten Bankdaten Kundendaten Firmendaten Backups private Nachrichten Kurz gesagt: Verschlüsselung sorgt dafür, dass abgefangene Daten ohne Schlüssel nicht sinnvoll gelesen werden können. Grundbegriffe Begriff Bedeutung Klartext ursprüngliche lesbare Nachricht Geheimtext / Chiffrat verschlüsselte Nachricht Schlüssel Wert zum Ver- oder Entschlüsseln Verschlüsseln Klartext wird in Geheimtext umgewandelt Entschlüsseln Geheimtext wird wieder in Klartext umgewandelt Algorithmus mathematisches Verfahren der Verschlüsselung Alice typische Senderin in Kryptografie-Beispielen Bob typischer Empfänger in Kryptografie-Beispielen Eve Angreiferin, Lauscherin oder Manipulatorin Einfaches Ablaufmodell Schritt Erklärung 1 Alice hat eine lesbare Nachricht. 2 Alice verschlüsselt die Nachricht mit einem Schlüssel. 3 Über das Netzwerk wird nur der Geheimtext übertragen. 4 Bob entschlüsselt den Geheimtext mit dem passenden Schlüssel. 5 Bob kann die ursprüngliche Nachricht lesen. Vereinfacht: Klartext + Schlüssel -> Verschlüsselung -> Geheimtext Geheimtext + passender Schlüssel -> Entschlüsselung -> Klartext Die drei wichtigsten Sicherheitsziele Bei Verschlüsselung und IT-Sicherheit tauchen immer wieder drei Begriffe auf: Sicherheitsziel Leitfrage Beispiel Vertraulichkeit Können Unbefugte die Daten lesen? Verschlüsselung, VPN, HTTPS Integrität Wurden die Daten verändert? Hash, digitale Signatur Authentizität Ist der Absender oder die Identität echt? Zertifikat, digitale Signatur, Login IHK-Merksatz: Vertraulichkeit = nur Berechtigte können lesen Integrität = Daten wurden nicht verändert Authentizität = Identität oder Absender ist echt Vertraulichkeit Vertraulichkeit bedeutet: Nur berechtigte Personen oder Systeme können den Inhalt lesen. Beispiele: HTTPS schützt Webdaten. VPN schützt Daten über unsichere Netze. WPA2 / WPA3 schützt WLAN-Datenverkehr. Festplattenverschlüsselung schützt gespeicherte Daten. Merksatz: Vertraulichkeit schützt vor Mitlesen. Integrität Integrität bedeutet: Daten wurden nicht verändert. Man möchte erkennen können, ob eine Nachricht, Datei oder Übertragung manipuliert wurde. Beispiele: Hashwert einer Datei prüfen digitale Signatur prüfen Prüfsumme vergleichen Merksatz: Integrität schützt nicht unbedingt vor Mitlesen, sondern erkennt Veränderungen. Authentizität Authentizität bedeutet: Die Identität ist echt. Die Leitfrage lautet: Bist du wirklich derjenige, für den du dich ausgibst? Beispiele: Benutzer meldet sich mit Passwort an. Webseite weist sich mit Zertifikat aus. Absender signiert eine Nachricht digital. Zwei-Faktor-Authentifizierung bestätigt zusätzlich die Identität. Merksatz: Authentizität prüft Echtheit. Was Verschlüsselung leisten kann Verschlüsselung kann helfen bei: Ziel Erklärung Schutz vor Mitlesen Geheimtext ist ohne Schlüssel nicht verständlich Schutz gespeicherter Daten Daten auf Datenträgern oder in der Cloud werden geschützt sichere Übertragung Daten können über unsichere Netze übertragen werden Grundlage für VPN VPNs nutzen Verschlüsselung für sichere Tunnel Grundlage für HTTPS Webseitenverbindungen werden geschützt Was Verschlüsselung allein nicht automatisch leistet Verschlüsselung ist wichtig, aber sie löst nicht jedes Sicherheitsproblem automatisch. Problem Warum Verschlüsselung allein nicht reicht falscher Empfänger Daten können an die falsche Person gesendet werden gestohlener Schlüssel Angreifer kann entschlüsseln unsicheres Passwort Schlüssel oder Zugang kann erraten werden manipulierte Software Daten können vor oder nach der Verschlüsselung abgegriffen werden unsicheres Endgerät Klartext kann direkt am Gerät gelesen werden fehlende Authentizität Man weiß nicht sicher, mit wem man spricht Achtung Prüfungsfalle: Verschlüsselung schützt den Inhalt, aber nicht automatisch vor allen Angriffen. Wichtige Verfahren im Überblick Verfahren Grundidee symmetrische Verschlüsselung gleicher geheimer Schlüssel auf beiden Seiten asymmetrische Verschlüsselung öffentlicher und privater Schlüssel hybride Verschlüsselung asymmetrisch für Schlüsselaustausch, symmetrisch für Daten digitale Signatur Absender und Unverändertheit prüfen Hashfunktion Prüfwert zur Integritätsprüfung Zertifikat Identität mit öffentlichem Schlüssel verbinden Diffie-Hellman gemeinsames Schlüsselmaterial aushandeln One-Time-Pad theoretisch sicher bei perfekten Bedingungen Steganographie Nachricht in unauffälligen Daten verstecken Symmetrisch, asymmetrisch und hybrid im Kurzvergleich Merkmal Symmetrisch Asymmetrisch Hybrid Schlüsselprinzip ein gemeinsamer geheimer Schlüssel öffentlicher + privater Schlüssel Kombination aus beiden Geschwindigkeit schnell langsamer praktisch schnell Hauptvorteil gut für große Datenmengen löst Schlüsselübergabe kombiniert beide Vorteile Hauptproblem sichere Schlüsselübergabe höherer Rechenaufwand komplexerer Ablauf typischer Einsatz Nutzdaten Schlüssel, Signatur, Zertifikate HTTPS, TLS, VPN Kurzform: Symmetrisch = schnell Asymmetrisch = Schlüsselübergabe lösen Hybrid = Praxislösung Beispiel aus dem Alltag: HTTPS Wenn du eine Webseite über HTTPS aufrufst, spielen mehrere Sicherheitsbausteine zusammen. Vereinfacht: Baustein Aufgabe Zertifikat Browser prüft die Identität der Webseite asymmetrische Verfahren helfen beim sicheren Verbindungsaufbau Sitzungsschlüssel wird für diese Verbindung genutzt symmetrische Verschlüsselung schützt danach die eigentlichen Nutzdaten Hash / Signatur helfen bei Prüfung von Integrität und Vertrauen Das genaue Verfahren ist technisch komplexer, aber für die Grundlagen reicht: HTTPS nutzt mehrere Sicherheitsbausteine zusammen. Typische Prüfungsfragen zu den Grundlagen Was bedeutet Verschlüsselung? Verschlüsselung bedeutet, dass lesbare Daten mit einem Schlüssel in eine unlesbare Form umgewandelt werden. Was ist Klartext? Klartext ist die lesbare ursprüngliche Nachricht. Was ist Geheimtext? Geheimtext ist die verschlüsselte Form einer Nachricht. Was ist ein Schlüssel? Ein Schlüssel ist ein Wert, mit dem Daten ver- oder entschlüsselt werden. Was bedeutet Vertraulichkeit? Nur Berechtigte können die Daten lesen. Was bedeutet Integrität? Daten wurden nicht verändert. Was bedeutet Authentizität? Identität oder Absender ist echt. Warum ist Verschlüsselung im Netzwerk wichtig? Weil Daten über unsichere Netze übertragen werden können und vor Mitlesen geschützt werden sollen. Prüfungsfalle: Verschlüsselung, Hash und Signatur nicht verwechseln Begriff Aufgabe Verschlüsselung Inhalt unlesbar machen Hash Veränderung an Daten erkennen digitale Signatur Absender und Integrität prüfen Zertifikat Identität und öffentlichen Schlüssel verbinden Steganographie Existenz einer Nachricht verstecken Merksatz: Verschlüsselung schützt den Inhalt. Hash prüft Daten. Signatur prüft Absender und Daten. Zertifikat prüft Identität. Steganographie versteckt Nachrichten. Zusammenfassung Verschlüsselung ist ein Grundbaustein der Netzwerksicherheit. Sie wandelt lesbare Daten in eine unlesbare Form um. Nur mit dem passenden Schlüssel können die Daten wieder entschlüsselt werden. Für die IHK sind besonders wichtig: Vertraulichkeit Integrität Authentizität symmetrische Verschlüsselung asymmetrische Verschlüsselung hybride Verschlüsselung Hashfunktion digitale Signatur Zertifikate Diffie-Hellman Perfect Forward Secrecy Brute Force Zufallszahlen One-Time-Pad Steganographie IHK-Spickzettel: Verschlüsselung = Inhalt schützen Vertraulichkeit = nur Berechtigte lesen Integrität = Daten unverändert Authentizität = Identität echt Symmetrisch = gleicher Schlüssel Asymmetrisch = öffentlicher + privater Schlüssel Hybrid = asymmetrisch für Schlüssel, symmetrisch für Daten 13.1 Symmetrische Verschlüsselung Kurzüberblick Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger denselben geheimen Schlüssel . Das bedeutet: Alice hat den geheimen Schlüssel. Bob hat denselben geheimen Schlüssel. Eve darf diesen Schlüssel nicht besitzen. Mit demselben Schlüssel wird verschlüsselt und entschlüsselt. IHK-Merksatz: Symmetrisch bedeutet: ein gemeinsamer geheimer Schlüssel auf beiden Seiten . Grundidee Alice möchte Bob eine geheime Nachricht schicken. Dafür passiert Folgendes: Schritt Erklärung 1 Alice schreibt eine Nachricht im Klartext. 2 Alice verschlüsselt die Nachricht mit dem gemeinsamen geheimen Schlüssel. 3 Über das Netzwerk wird nur der Geheimtext übertragen. 4 Bob entschlüsselt den Geheimtext mit demselben geheimen Schlüssel. 5 Bob erhält wieder den ursprünglichen Klartext. Einfaches Beispiel Zustand Beispiel Klartext Passwort: geheim123 gemeinsamer Schlüssel blauer geheimer Schlüssel Geheimtext / Chiffrat A4$h!7k9%Lz@8mQ entschlüsselter Klartext Passwort: geheim123 Wichtig ist nicht der Beispieltext selbst, sondern das Prinzip: Nur wer den gemeinsamen geheimen Schlüssel besitzt, kann die Nachricht wieder lesen. Eigenschaften der symmetrischen Verschlüsselung Punkt Erklärung Schlüsselanzahl ein gemeinsamer geheimer Schlüssel Schlüsselart beide Seiten nutzen denselben Schlüssel Geschwindigkeit sehr schnell Eignung gut für große Datenmengen Hauptproblem sichere Übergabe des Schlüssels Gefahr Wenn Eve den Schlüssel bekommt, kann sie entschlüsseln typische Beispiele AES, ChaCha20 Sonderfall One-Time-Pad Warum ist symmetrische Verschlüsselung schnell? Symmetrische Verfahren sind für große Datenmengen gut geeignet, weil sie rechnerisch deutlich effizienter sind als asymmetrische Verfahren. Darum wird symmetrische Verschlüsselung in der Praxis häufig genutzt für: große Dateien Datenströme VPN-Datenverkehr HTTPS-Nutzdaten WLAN-Verschlüsselung verschlüsselte Backups Festplattenverschlüsselung Kurz gesagt: Symmetrische Verschlüsselung ist die schnelle Methode für die eigentlichen Nutzdaten. Das Hauptproblem: Schlüsselübergabe Der größte Nachteil ist nicht die eigentliche Verschlüsselung, sondern die Frage: Wie bekommt Bob den geheimen Schlüssel, ohne dass Eve ihn kopieren kann? Alice und Bob brauchen denselben Schlüssel. Dieser Schlüssel muss also irgendwie zu Bob gelangen. Wenn Alice den Schlüssel einfach ungeschützt über das Netzwerk sendet, kann Eve ihn abfangen. Ablauf des Schlüsselübergabe-Problems Schritt Was passiert? Risiko 1 Alice erzeugt einen geheimen Schlüssel. noch sicher 2 Bob braucht eine Kopie dieses Schlüssels. Übergabe nötig 3 Alice sendet den Schlüssel an Bob. Eve könnte mithören 4 Eve kopiert den Schlüssel. Sicherheit verloren 5 Eve kann spätere Nachrichten entschlüsseln. Game Over Achtung Prüfungsfalle: Die Verschlüsselung kann mathematisch stark sein. Wenn der Schlüssel aber in falsche Hände kommt, ist die Kommunikation trotzdem unsicher. Was passiert, wenn Eve den Schlüssel bekommt? Wenn Eve den gemeinsamen geheimen Schlüssel besitzt, kann sie: verschlüsselte Nachrichten entschlüsseln mitlesen eigene Nachrichten verschlüsseln sich eventuell als Teilnehmer ausgeben die Sicherheit der Verbindung zerstören Deshalb gilt: Der Schlüssel ist das eigentliche Geheimnis. Vorteil und Nachteil auf einen Blick Vorteil Nachteil sehr schnell sichere Schlüsselübergabe ist schwierig gut für große Datenmengen beide Seiten brauchen denselben geheimen Schlüssel technisch effizient Schlüsselverlust macht alles unsicher in der Praxis sehr wichtig skaliert schlecht bei vielen Kommunikationspartnern Warum skaliert das schlecht? Wenn nur Alice und Bob miteinander kommunizieren, reicht ein gemeinsamer Schlüssel. Bei vielen Personen wird es schwieriger. Situation Problem Alice und Bob ein gemeinsamer Schlüssel reicht Alice, Bob und Carla mehrere Schlüssel nötig viele Benutzer sehr viele Schlüssel zwischen den Beteiligten nötig Unternehmen oder Internet reine symmetrische Schlüsselverteilung wird unpraktisch Darum nutzt man in der Praxis oft ein hybrides Verfahren : asymmetrisch für den sicheren Schlüsselaustausch symmetrisch für die schnelle Datenverschlüsselung Das wird später bei 13.6 Hybride Verschlüsselung wichtig. Typische Praxisbeispiele Bereich Rolle der symmetrischen Verschlüsselung WLAN Nutzdaten werden verschlüsselt übertragen VPN Daten im Tunnel werden verschlüsselt HTTPS / TLS Nutzdaten werden nach dem Schlüsselaustausch symmetrisch verschlüsselt Festplattenverschlüsselung Daten auf dem Datenträger werden symmetrisch geschützt Backups Sicherungskopien können symmetrisch verschlüsselt werden Typische IHK-Fragen zu symmetrischer Verschlüsselung Was ist symmetrische Verschlüsselung? Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger denselben geheimen Schlüssel zum Ver- und Entschlüsseln. Was ist der wichtigste Vorteil? Sie ist schnell und eignet sich gut für große Datenmengen . Was ist der wichtigste Nachteil? Der gemeinsame geheime Schlüssel muss sicher an beide Kommunikationspartner verteilt werden. Was passiert, wenn ein Angreifer den Schlüssel bekommt? Dann kann der Angreifer die verschlüsselten Daten entschlüsseln. Die Sicherheit ist dann verloren. Warum verwendet man trotzdem symmetrische Verschlüsselung? Weil sie sehr effizient ist und deshalb in der Praxis für die eigentlichen Nutzdaten verwendet wird. Prüfungsfalle: symmetrisch vs. asymmetrisch Merkmal Symmetrisch Asymmetrisch Schlüsselanzahl ein gemeinsamer Schlüssel zwei Schlüssel Schlüsselarten geheimer Schlüssel öffentlicher und privater Schlüssel Geschwindigkeit schnell langsamer Problem sichere Schlüsselübergabe mehr Rechenaufwand typischer Einsatz große Datenmengen Schlüsselaustausch, Signatur, Zertifikate Merksatz: Symmetrisch ist schnell, aber die Schlüsselübergabe ist das Problem. Asymmetrisch hilft bei der Schlüsselübergabe, ist aber langsamer. Zusammenfassung Die symmetrische Verschlüsselung nutzt einen gemeinsamen geheimen Schlüssel . Dieser Schlüssel wird für beide Richtungen verwendet: Alice verschlüsselt mit dem Schlüssel. Bob entschlüsselt mit demselben Schlüssel. Bob kann auch mit demselben Schlüssel verschlüsseln. Alice kann mit demselben Schlüssel entschlüsseln. Der große Vorteil ist die hohe Geschwindigkeit. Der große Nachteil ist die sichere Übergabe des Schlüssels. IHK-Spickzettel: Symmetrisch = gleicher geheimer Schlüssel Vorteil = schnell Nachteil = Schlüsselübergabe Gefahr = Schlüsselverlust Praxis = Nutzdatenverschlüsselung bei WLAN, VPN, HTTPS/TLS, Backups und Festplatten 13.2 Asymmetrische Verschlüsselung Kurzüberblick Bei der asymmetrischen Verschlüsselung gibt es nicht nur einen gemeinsamen Schlüssel, sondern ein Schlüsselpaar . Dieses Schlüsselpaar besteht aus: einem öffentlichen Schlüssel einem privaten Schlüssel Der öffentliche Schlüssel darf verteilt werden. Der private Schlüssel bleibt geheim. IHK-Merksatz: Asymmetrisch bedeutet: zwei unterschiedliche Schlüssel . Einer ist öffentlich, einer bleibt privat. Grundidee Wenn Alice eine geheime Nachricht an Bob senden möchte, muss Bob zuerst ein Schlüsselpaar erzeugen. Das ist wichtig: Der Empfänger des Geheimnisses erzeugt das Schlüsselpaar. In unserem Beispiel ist Bob der Empfänger. Bob erzeugt also: Schlüssel Bedeutung öffentlicher Schlüssel darf an Alice und andere Personen weitergegeben werden privater Schlüssel bleibt geheim bei Bob Alice nutzt dann Bobs öffentlichen Schlüssel , um die Nachricht zu verschlüsseln. Bob nutzt seinen privaten Schlüssel , um die Nachricht zu entschlüsseln. Warum braucht man zwei Schlüssel? Bei der symmetrischen Verschlüsselung gibt es ein Problem: Alice und Bob brauchen denselben geheimen Schlüssel. Dieser Schlüssel muss sicher übertragen werden. Bei der asymmetrischen Verschlüsselung ist das anders: Der öffentliche Schlüssel darf offen verteilt werden. Dadurch muss kein geheimer Schlüssel ungeschützt verschickt werden. Kurz gesagt: Asymmetrische Verschlüsselung hilft beim Problem der sicheren Schlüsselübergabe. Ablauf: Alice sendet ein Geheimnis an Bob Schritt Erklärung 1 Bob erzeugt ein Schlüsselpaar. 2 Bob behält den privaten Schlüssel geheim. 3 Bob veröffentlicht seinen öffentlichen Schlüssel. 4 Alice nimmt Bobs öffentlichen Schlüssel. 5 Alice verschlüsselt damit ihre Nachricht. 6 Die verschlüsselte Nachricht wird über das Netzwerk übertragen. 7 Bob entschlüsselt mit seinem privaten Schlüssel. 8 Bob kann den Klartext lesen. Einfaches Beispiel Rolle Was passiert? Bob erzeugt öffentlichen und privaten Schlüssel Bob gibt den öffentlichen Schlüssel frei Alice verschlüsselt mit Bobs öffentlichem Schlüssel Eve kann den öffentlichen Schlüssel ebenfalls sehen Bob entschlüsselt mit seinem privaten Schlüssel Eve kann nicht entschlüsseln, weil ihr der private Schlüssel fehlt Wichtiger Grundsatz Was mit dem einen Schlüssel verschlüsselt wird, kann nur mit dem anderen passenden Schlüssel entschlüsselt werden. Das bedeutet hier: Aktion Schlüssel Verschlüsseln für Bob Bobs öffentlicher Schlüssel Entschlüsseln durch Bob Bobs privater Schlüssel Merksatz: Zum geheimen Senden an Bob nutzt Alice Bobs öffentlichen Schlüssel . Zum Lesen nutzt Bob seinen privaten Schlüssel . Öffentlicher Schlüssel Der öffentliche Schlüssel darf verteilt werden. Er kann zum Beispiel: auf einer Webseite stehen in einem Zertifikat enthalten sein an Kommunikationspartner gesendet werden von Alice verwendet werden auch von Eve gesehen werden Das ist nicht schlimm, weil der öffentliche Schlüssel allein nicht zum Entschlüsseln reicht. Wichtig: Öffentlich bedeutet nicht unsicher. Der öffentliche Schlüssel ist dafür gedacht, verteilt zu werden. Privater Schlüssel Der private Schlüssel ist das eigentliche Geheimnis. Er darf nicht weitergegeben werden. Wenn der private Schlüssel gestohlen wird, ist die Sicherheit gefährdet. Der private Schlüssel wird genutzt zum Beispiel für: Entschlüsseln digitale Signatur Identitätsnachweis Zugriff auf geschützte Kommunikation Achtung Prüfungsfalle: Der private Schlüssel wird niemals veröffentlicht. Er bleibt beim Besitzer. Vorteile der asymmetrischen Verschlüsselung Vorteil Erklärung kein geheimer Schlüssel muss vorher gemeinsam übertragen werden Der öffentliche Schlüssel darf verteilt werden geeignet für Schlüsselaustausch Ein Sitzungsschlüssel kann sicher übertragen werden ermöglicht digitale Signaturen Absender und Integrität können geprüft werden Grundlage für Zertifikate Identitäten können mit öffentlichen Schlüsseln verbunden werden Nachteile der asymmetrischen Verschlüsselung Nachteil Erklärung langsamer als symmetrische Verschlüsselung Rechenaufwand ist höher nicht ideal für große Datenmengen Für große Daten nutzt man besser symmetrische Verschlüsselung private Schlüssel müssen gut geschützt werden Verlust oder Diebstahl ist kritisch Zertifikatsprüfung kann nötig sein Man muss wissen, ob der öffentliche Schlüssel wirklich zur richtigen Person gehört Warum verschlüsselt man nicht einfach alles asymmetrisch? Asymmetrische Verschlüsselung ist praktisch, aber langsam. Für große Datenmengen wäre das ineffizient. Darum nutzt man in der Praxis meistens ein hybrides Verfahren : asymmetrisch für den sicheren Schlüsselaustausch symmetrisch für die schnelle Datenverschlüsselung Das ist wichtig für: HTTPS TLS VPN sichere Kommunikation im Internet Kurz gesagt: Asymmetrisch löst das Schlüsselübergabe-Problem. Symmetrisch verschlüsselt danach schnell die eigentlichen Daten. Vergleich: symmetrisch und asymmetrisch Merkmal Symmetrisch Asymmetrisch Anzahl der Schlüssel ein gemeinsamer Schlüssel zwei Schlüssel Schlüsselarten geheimer Schlüssel öffentlicher und privater Schlüssel Geschwindigkeit schnell langsamer Hauptproblem Schlüsselübergabe höherer Rechenaufwand typischer Einsatz große Datenmengen Schlüsselaustausch, Zertifikate, Signatur Beispielprinzip Alice und Bob haben denselben Schlüssel Alice nutzt Bobs öffentlichen Schlüssel Bezug zur digitalen Signatur Asymmetrische Verfahren können nicht nur für Verschlüsselung genutzt werden. Sie können auch für digitale Signaturen genutzt werden. Dabei ist die Richtung anders: Zweck Verwendeter Schlüssel Nachricht an Bob verschlüsseln Bobs öffentlicher Schlüssel Nachricht von Bob entschlüsseln Bobs privater Schlüssel Signatur von Bob erstellen Bobs privater Schlüssel Signatur von Bob prüfen Bobs öffentlicher Schlüssel Wichtig: Verschlüsselung schützt die Vertraulichkeit. Signatur prüft Authentizität und Integrität. Typische Praxisbeispiele Bereich Rolle der asymmetrischen Verschlüsselung HTTPS / TLS sicherer Schlüsselaustausch und Zertifikate VPN Aufbau sicherer Verbindungen digitale Signatur Echtheit und Unverändertheit prüfen Zertifikate öffentlicher Schlüssel wird einer Identität zugeordnet E-Mail-Verschlüsselung öffentliche Schlüssel können zum Verschlüsseln genutzt werden SSH Schlüsselpaare können zur Anmeldung genutzt werden Typische IHK-Fragen zur asymmetrischen Verschlüsselung Was ist asymmetrische Verschlüsselung? Bei der asymmetrischen Verschlüsselung gibt es zwei unterschiedliche Schlüssel: einen öffentlichen und einen privaten Schlüssel. Wer erzeugt das Schlüsselpaar? Der Empfänger erzeugt das Schlüsselpaar, wenn er verschlüsselte Nachrichten empfangen möchte. Was passiert mit dem öffentlichen Schlüssel? Der öffentliche Schlüssel darf verteilt werden. Was passiert mit dem privaten Schlüssel? Der private Schlüssel bleibt geheim beim Besitzer. Welchen Schlüssel nutzt Alice, wenn sie Bob eine geheime Nachricht senden möchte? Alice nutzt Bobs öffentlichen Schlüssel . Welchen Schlüssel nutzt Bob zum Entschlüsseln? Bob nutzt seinen privaten Schlüssel . Warum ist asymmetrische Verschlüsselung wichtig? Sie löst das Problem, wie man sicher einen Schlüssel austauschen kann. Warum nutzt man asymmetrische Verschlüsselung nicht für alle Daten? Weil sie langsamer ist als symmetrische Verschlüsselung. Prüfungsfalle: öffentlicher Schlüssel ist nicht geheim Der öffentliche Schlüssel darf von allen gesehen werden. Auch Eve darf ihn kennen. Das ist nicht das Problem. Das Problem wäre nur, wenn Eve den privaten Schlüssel bekommt. Schlüssel Darf Eve ihn sehen? Sicherheitsproblem? öffentlicher Schlüssel ja nein privater Schlüssel nein ja, sehr kritisch Achtung: Öffentlich heißt hier wirklich öffentlich. Geheim bleiben muss nur der private Schlüssel. Prüfungsfalle: Wer verschlüsselt mit welchem Schlüssel? Wenn Alice eine Nachricht geheim an Bob senden möchte: Person Aktion Bob erzeugt Schlüsselpaar Bob veröffentlicht öffentlichen Schlüssel Alice verschlüsselt mit Bobs öffentlichem Schlüssel Bob entschlüsselt mit Bobs privatem Schlüssel Merksatz: Immer an den Empfänger denken: Wer lesen soll, dessen öffentlicher Schlüssel wird zum Verschlüsseln genutzt. Zusammenfassung Die asymmetrische Verschlüsselung nutzt ein Schlüsselpaar: öffentlicher Schlüssel privater Schlüssel Der öffentliche Schlüssel darf verteilt werden. Der private Schlüssel bleibt geheim. Alice verschlüsselt eine Nachricht für Bob mit Bobs öffentlichem Schlüssel . Bob entschlüsselt die Nachricht mit Bobs privatem Schlüssel . Der große Vorteil ist: Die Schlüsselübergabe wird einfacher. Der große Nachteil ist: Das Verfahren ist langsamer als symmetrische Verschlüsselung. IHK-Spickzettel: Asymmetrisch = öffentlicher + privater Schlüssel Öffentlich = darf verteilt werden Privat = bleibt geheim Verschlüsseln für Bob = Bobs öffentlicher Schlüssel Entschlüsseln durch Bob = Bobs privater Schlüssel Vorteil = löst Schlüsselübergabe Nachteil = langsamer als symmetrisch 13.3 Digitale Signatur Kurzüberblick Eine digitale Signatur ist kein Verfahren, um eine Nachricht geheim zu machen. Eine digitale Signatur dient vor allem dazu zu prüfen: Stammt die Nachricht wirklich vom angegebenen Absender? Wurde die Nachricht unterwegs verändert? IHK-Merksatz: Digitale Signatur = Authentizität + Integrität Nicht das Hauptziel = Vertraulichkeit Grundidee Bei der digitalen Signatur wird das asymmetrische Prinzip anders genutzt als bei der Verschlüsselung. Bei der Verschlüsselung gilt: Alice verschlüsselt mit Bobs öffentlichem Schlüssel. Bob entschlüsselt mit Bobs privatem Schlüssel. Ziel: Nur Bob soll lesen können. Bei der Signatur gilt: Bob signiert mit seinem privaten Schlüssel. Alice prüft mit Bobs öffentlichem Schlüssel. Ziel: Alice soll prüfen können, ob es wirklich von Bob stammt. Wichtigster Unterschied Thema Ziel Verschlüsselung Inhalt vor Mitlesen schützen digitale Signatur Absender-Echtheit und Unverändertheit prüfen Kurz gesagt: Verschlüsselung schützt den Inhalt . Signatur prüft Echtheit und Unverändertheit . Welche Schlüssel werden benutzt? Vorgang Schlüssel Signatur erstellen privater Schlüssel des Absenders Signatur prüfen öffentlicher Schlüssel des Absenders Wenn Bob eine Nachricht signiert: Bob benutzt seinen privaten Schlüssel . Alice prüft mit Bobs öffentlichem Schlüssel . Eve kann Bobs öffentlichen Schlüssel auch besitzen. Eve kann damit die Signatur prüfen, aber keine gültige Signatur von Bob erzeugen. Merksatz: Signieren = privater Schlüssel Prüfen = öffentlicher Schlüssel Ablauf einer digitalen Signatur Schritt Erklärung 1 Bob erstellt eine Nachricht. 2 Aus der Nachricht wird ein Hashwert gebildet. 3 Bob signiert diesen Hash mit seinem privaten Schlüssel. 4 Bob sendet Nachricht und Signatur an Alice. 5 Alice berechnet selbst den Hash der empfangenen Nachricht. 6 Alice prüft die Signatur mit Bobs öffentlichem Schlüssel. 7 Wenn die Prüfung passt, sind Absender und Inhalt vertrauenswürdig. Was prüft Alice dadurch? Wenn die Signaturprüfung erfolgreich ist, weiß Alice: Prüfung Bedeutung Authentizität Die Nachricht stammt wirklich von Bob. Integrität Die Nachricht wurde unterwegs nicht verändert. Wenn die Prüfung fehlschlägt, kann das bedeuten: Die Nachricht wurde verändert. Die Signatur passt nicht zur Nachricht. Die Signatur stammt nicht von Bob. Der falsche öffentliche Schlüssel wurde verwendet. Der private Schlüssel wurde möglicherweise missbraucht. Warum wird ein Hash verwendet? In der Praxis wird normalerweise nicht die komplette Nachricht direkt signiert. Stattdessen wird zuerst ein Hashwert der Nachricht gebildet. Ein Hash ist ein Prüfwert fester Länge. Beispiel: Eingabe Hashwert Nachricht A a1b2c3d4... Nachricht A mit kleiner Änderung 9f8e7d6c... Schon eine kleine Änderung an der Nachricht verändert den Hashwert stark. Darum eignet sich ein Hash gut, um Veränderungen an Daten zu erkennen. Wichtig: Ein Hash ist keine Verschlüsselung . Ein Hash wird normalerweise nicht entschlüsselt, sondern verglichen. Signatur mit Hash – vereinfacht Bob macht: Schritt Vorgang 1 Nachricht schreiben 2 Hash der Nachricht berechnen 3 Hash mit privatem Schlüssel signieren 4 Nachricht + Signatur senden Alice macht: Schritt Vorgang 1 Nachricht empfangen 2 Hash der empfangenen Nachricht neu berechnen 3 Signatur mit Bobs öffentlichem Schlüssel prüfen 4 Ergebnis bewerten Warum kann Eve die Signatur nicht einfach fälschen? Eve kann die Nachricht und die Signatur möglicherweise sehen. Aber Eve besitzt nicht Bobs privaten Schlüssel. Deshalb kann Eve keine gültige Signatur erzeugen, die wie eine echte Signatur von Bob geprüft werden kann. Person Hat Bobs privaten Schlüssel? Kann gültig als Bob signieren? Bob ja ja Alice nein nein Eve nein nein Achtung Prüfungsfalle: Der öffentliche Schlüssel darf bekannt sein. Gefährlich wäre der Verlust des privaten Schlüssels. Was passiert bei Manipulation? Angenommen Bob sendet eine signierte Nachricht an Alice. Eve verändert unterwegs den Inhalt. Dann passiert bei Alice: Alice berechnet den Hash der veränderten Nachricht. Alice prüft die Signatur. Der neu berechnete Hash passt nicht mehr zur Signatur. Alice erkennt: Die Nachricht wurde verändert. Damit ist die Integrität verletzt. Was eine digitale Signatur leistet Sicherheitsziel Wird durch Signatur unterstützt? Erklärung Authentizität ja Absender kann geprüft werden Integrität ja Veränderung der Daten kann erkannt werden Vertraulichkeit nein, nicht automatisch Inhalt ist dadurch nicht geheim Was eine digitale Signatur nicht automatisch leistet Eine digitale Signatur macht den Inhalt nicht automatisch geheim. Wenn Bob eine Nachricht nur signiert, aber nicht verschlüsselt, kann Eve den Inhalt eventuell mitlesen. Eve kann die Nachricht zwar nicht unbemerkt verändern, aber sie kann den Inhalt sehen. Darum gilt: Ziel Benötigte Technik Inhalt geheim halten Verschlüsselung Absender prüfen digitale Signatur Veränderung erkennen Hash / digitale Signatur Kombination aus Verschlüsselung und Signatur In der Praxis kann man Signatur und Verschlüsselung kombinieren. Beispiel: Bob möchte Alice eine Nachricht senden. Dafür kann Bob: die Nachricht signieren die Nachricht für Alice verschlüsseln beides an Alice senden Alice kann dann: die Nachricht entschlüsseln die Signatur prüfen Dadurch werden mehrere Sicherheitsziele kombiniert. Ziel Technik Vertraulichkeit Verschlüsselung Authentizität digitale Signatur Integrität digitale Signatur / Hash Vergleich: Verschlüsselung und Signatur Merkmal Verschlüsselung Digitale Signatur Hauptziel Vertraulichkeit Authentizität und Integrität schützt vor Mitlesen ja nein, nicht automatisch erkennt Veränderung nicht Hauptzweck ja beweist Absender nicht Hauptzweck ja Sender nutzt öffentlichen Schlüssel des Empfängers privaten Schlüssel des Senders Empfänger nutzt privaten Schlüssel des Empfängers öffentlichen Schlüssel des Senders Beispiel aus dem Alltag Eine digitale Signatur kann man sich ähnlich wie eine Unterschrift vorstellen. Aber technisch ist sie stärker, weil sie nicht nur sagt: „Das kommt von Bob.“ Sondern auch: „Der Inhalt wurde seit der Signatur nicht verändert.“ Allerdings gilt: Eine normale Unterschrift steht sichtbar auf einem Dokument. Eine digitale Signatur ist ein technischer Prüfwert. Typische Praxisbeispiele Bereich Rolle der digitalen Signatur Software-Downloads prüfen, ob Software vom echten Hersteller stammt Zertifikate Identität und öffentlicher Schlüssel werden abgesichert E-Mail-Sicherheit Absender und Unverändertheit prüfen Dokumente digitale Unterschrift Updates Schutz vor manipulierten Aktualisierungen TLS / HTTPS Zertifikatsprüfung und Vertrauensketten Typische IHK-Fragen zur digitalen Signatur Was ist eine digitale Signatur? Eine digitale Signatur ist ein Verfahren, mit dem man die Echtheit des Absenders und die Unverändertheit der Daten prüfen kann. Welche Sicherheitsziele erfüllt eine digitale Signatur hauptsächlich? Authentizität und Integrität. Bietet eine digitale Signatur automatisch Vertraulichkeit? Nein. Eine digitale Signatur macht den Inhalt nicht automatisch geheim. Welchen Schlüssel nutzt der Absender zum Signieren? Der Absender nutzt seinen privaten Schlüssel. Welchen Schlüssel nutzt der Empfänger zum Prüfen? Der Empfänger nutzt den öffentlichen Schlüssel des Absenders. Warum wird häufig ein Hash verwendet? Weil ein Hash ein kompakter Prüfwert der Nachricht ist und Veränderungen an der Nachricht erkennbar macht. Was passiert, wenn die Nachricht nachträglich verändert wird? Die Signaturprüfung schlägt fehl, weil der Hash nicht mehr passt. Prüfungsfalle: Signatur ist nicht Verschlüsselung Eine digitale Signatur bedeutet nicht automatisch, dass niemand die Nachricht lesen kann. Beispiel: Bob sendet eine signierte, aber unverschlüsselte Nachricht. Dann kann Alice prüfen: Nachricht stammt von Bob. Nachricht wurde nicht verändert. Aber Eve könnte den Inhalt trotzdem lesen, wenn sie die Übertragung sieht. Merksatz: Signatur schützt nicht automatisch vor Mitlesen. Dafür braucht man Verschlüsselung. Prüfungsfalle: Wer benutzt welchen Schlüssel? Ziel Schlüssel beim Sender Schlüssel beim Empfänger Verschlüsseln für Bob Bobs öffentlicher Schlüssel Bobs privater Schlüssel Signatur von Bob Bobs privater Schlüssel Bobs öffentlicher Schlüssel Kurzform: Geheim an Bob senden: Bobs öffentlicher Schlüssel Bob unterschreibt digital: Bobs privater Schlüssel Alice prüft Bob: Bobs öffentlicher Schlüssel Zusammenfassung Die digitale Signatur nutzt asymmetrische Kryptografie. Der Absender signiert mit seinem privaten Schlüssel. Der Empfänger prüft mit dem öffentlichen Schlüssel des Absenders. Dadurch kann geprüft werden: Ist der Absender echt? Wurde die Nachricht verändert? Die digitale Signatur schützt aber nicht automatisch die Vertraulichkeit. IHK-Spickzettel: Digitale Signatur = Authentizität + Integrität Signieren = privater Schlüssel des Absenders Prüfen = öffentlicher Schlüssel des Absenders Hash = Prüfwert der Nachricht Vertraulichkeit = nur mit Verschlüsselung 13.4 Hybride Verschlüsselung Kurzüberblick Die hybride Verschlüsselung kombiniert zwei Verfahren: asymmetrische Verschlüsselung für den sicheren Schlüsselaustausch symmetrische Verschlüsselung für die schnelle Verschlüsselung der eigentlichen Daten IHK-Merksatz: Hybrid = asymmetrisch für den sicheren Schlüsselaustausch, symmetrisch für die schnelle Datenverschlüsselung. Quelle 11.3.5 – Lösung: Übergabe des symmetrischen Schlüssels Das Problem aus der symmetrischen Verschlüsselung war: Alice und Bob brauchen denselben geheimen Schlüssel. Aber wie bekommt Bob diesen Schlüssel sicher? Die Lösung: Man überträgt nicht direkt ein Geheimnis mit asymmetrischer Verschlüsselung, sondern nutzt asymmetrische Verschlüsselung, um den symmetrischen Schlüssel sicher zu übergeben . Danach wird mit diesem symmetrischen Schlüssel die eigentliche Nachricht schnell verschlüsselt. Warum braucht man ein hybrides Verfahren? Symmetrische Verschlüsselung ist schnell, hat aber ein Problem bei der Schlüsselübergabe. Asymmetrische Verschlüsselung löst die Schlüsselübergabe, ist aber langsamer. Hybrid kombiniert beide Vorteile. Verfahren Vorteil Nachteil symmetrisch sehr schnell Schlüssel muss sicher übergeben werden asymmetrisch Schlüsselübergabe ist einfacher langsamer hybrid sicherer Schlüsselaustausch + schnelle Datenverschlüsselung etwas komplexerer Ablauf Kurz gesagt: Hybrid nutzt asymmetrisch nur für den Schlüssel. Die Nutzdaten werden danach symmetrisch verschlüsselt. Grundidee Alice möchte Bob Daten sicher senden. Dafür passiert Folgendes: Alice erzeugt einen zufälligen symmetrischen Sitzungsschlüssel. Alice verschlüsselt die eigentlichen Daten mit diesem Sitzungsschlüssel. Alice verschlüsselt den Sitzungsschlüssel mit Bobs öffentlichem Schlüssel. Alice sendet die verschlüsselten Daten und den verschlüsselten Sitzungsschlüssel an Bob. Bob entschlüsselt den Sitzungsschlüssel mit seinem privaten Schlüssel. Bob entschlüsselt die Daten mit dem Sitzungsschlüssel. Begriffe Begriff Bedeutung Sitzungsschlüssel einmaliger oder zeitlich begrenzter symmetrischer Schlüssel Nutzdaten die eigentlichen Daten, zum Beispiel Datei, Text, Login-Daten öffentlicher Schlüssel wird genutzt, um den Sitzungsschlüssel für Bob zu verschlüsseln privater Schlüssel wird von Bob genutzt, um den Sitzungsschlüssel zu entschlüsseln hybride Verschlüsselung Kombination aus asymmetrischem Schlüsselaustausch und symmetrischer Datenverschlüsselung Ablauf Schritt für Schritt Schritt Was passiert? Genutztes Verfahren 1 Alice erzeugt einen zufälligen Sitzungsschlüssel. symmetrisch 2 Alice verschlüsselt die Nutzdaten mit dem Sitzungsschlüssel. symmetrisch 3 Alice verschlüsselt den Sitzungsschlüssel mit Bobs öffentlichem Schlüssel. asymmetrisch 4 Alice sendet verschlüsselte Nutzdaten und verschlüsselten Sitzungsschlüssel. Übertragung 5 Bob entschlüsselt den Sitzungsschlüssel mit seinem privaten Schlüssel. asymmetrisch 6 Bob entschlüsselt die Nutzdaten mit dem Sitzungsschlüssel. symmetrisch Beispiel Alice möchte Bob WLAN-Anmeldedaten senden. Die eigentlichen Daten sind: SSID: Firma-WLAN Passwort: geheim123 13.5 Hashfunktion und Zertifikate Kurzüberblick Hashfunktionen und Zertifikate gehören zu den wichtigsten Grundlagen der IT-Sicherheit. Sie lösen unterschiedliche Aufgaben: Thema Hauptaufgabe Hashfunktion prüfen, ob Daten verändert wurden Zertifikat prüfen, ob ein öffentlicher Schlüssel zu einer bestimmten Identität gehört IHK-Merksatz: Hash = Integrität prüfen Zertifikat = Identität mit öffentlichem Schlüssel verbinden Quelle 11.4 – Einordnung in die Sicherheitsziele In der Quelle werden drei Sicherheitsziele besonders hervorgehoben: Sicherheitsziel Leitfrage Typische Technik Authentizität Ist die Identität echt? Zertifikat, digitale Signatur, Login Integrität Wurden Daten verändert? Hashfunktion, digitale Signatur, Prüfsumme Vertraulichkeit Können Dritte mitlesen? Verschlüsselung, VPN, HTTPS Diese Seite konzentriert sich auf: Hashfunktion Zertifikate Zusammenhang mit Signatur und HTTPS Hashfunktion Eine Hashfunktion erzeugt aus Daten einen Prüfwert. Dieser Prüfwert heißt: Hash Hashwert Fingerabdruck Prüfsumme im weiteren Sinn Beispiel: Eingabe Hashwert Hallo a1b2c3d4... Halla 9f8e7d6c... Schon eine kleine Änderung an der Eingabe verändert den Hashwert stark. Kurz gesagt: Ein Hash ist wie ein digitaler Fingerabdruck von Daten. Wofür braucht man Hashwerte? Hashwerte werden genutzt, um Veränderungen zu erkennen. Beispiele: Datei wurde verändert Download ist beschädigt Nachricht wurde manipuliert Passwort wird nicht direkt im Klartext gespeichert digitale Signatur prüft den Hash einer Nachricht Einsatz Erklärung Dateiprüfung Ist die Datei noch unverändert? Downloadprüfung Wurde die Datei korrekt übertragen? digitale Signatur Der Hash der Nachricht wird signiert Passwortspeicherung Es wird normalerweise nicht das Passwort selbst gespeichert Integritätsprüfung Veränderungen an Daten können erkannt werden Eigenschaften einer Hashfunktion Eigenschaft Bedeutung feste Länge Der Hashwert hat immer eine feste Länge empfindlich gegen Änderungen kleine Änderung an Daten verändert den Hash stark nicht sinnvoll rückrechenbar aus dem Hash soll man den ursprünglichen Inhalt nicht berechnen können schnell berechenbar der Hash soll effizient erzeugt werden können möglichst kollisionsarm zwei verschiedene Eingaben sollen nicht denselben Hash ergeben Hash ist keine Verschlüsselung Ein häufiger Fehler ist: Hash mit Verschlüsselung zu verwechseln. Das ist falsch. Thema Verschlüsselung Hashfunktion Ziel Inhalt geheim halten Veränderung erkennen Rückweg möglich? ja, mit Schlüssel entschlüsselbar nein, normalerweise nicht rückrechenbar Ergebnis Geheimtext Hashwert braucht Schlüssel? meistens ja klassische Hashfunktion nicht Sicherheitsziel Vertraulichkeit Integrität Achtung Prüfungsfalle: Ein Hash wird nicht entschlüsselt. Ein Hash wird neu berechnet und verglichen. Beispiel: Datei mit Hash prüfen Angenommen, Alice lädt eine Datei herunter. Der Hersteller gibt zusätzlich einen Hashwert an. Alice kann dann selbst den Hash der heruntergeladenen Datei berechnen. Schritt Erklärung 1 Hersteller veröffentlicht Datei und Hashwert. 2 Alice lädt die Datei herunter. 3 Alice berechnet den Hash der Datei selbst. 4 Alice vergleicht den berechneten Hash mit dem veröffentlichten Hash. 5 Stimmen beide überein, wurde die Datei wahrscheinlich nicht verändert. Beispiel mit kleiner Änderung Originaltext: Hallo Hashwert: a1b2c3d4... Geänderter Text: Halla Neuer Hashwert: 9f8e7d6c... Obwohl nur ein Buchstabe anders ist, sieht der Hash komplett anders aus. Merksatz: Kleine Änderung an den Daten = großer Unterschied beim Hash. Hash und Integrität Hashfunktionen gehören zum Sicherheitsziel: Integrität Integrität bedeutet: Daten wurden nicht verändert. Mit einem Hash kann man prüfen: Ist die Datei noch dieselbe? Wurde die Nachricht verändert? Ist der Download beschädigt? Passt die Signatur noch zur Nachricht? Frage Antwort durch Hash möglich? Wurde etwas verändert? ja Wer hat die Daten gesendet? nein, dafür braucht man Signatur oder Zertifikat Können Dritte den Inhalt lesen? nein, dafür braucht man Verschlüsselung Ist der Inhalt geheim? nein Hash und digitale Signatur Bei digitalen Signaturen wird häufig nicht die komplette Nachricht direkt signiert. Stattdessen wird ein Hashwert der Nachricht gebildet. Ablauf: Schritt Erklärung 1 Bob erstellt eine Nachricht. 2 Aus der Nachricht wird ein Hash gebildet. 3 Bob signiert diesen Hash mit seinem privaten Schlüssel. 4 Alice berechnet den Hash der empfangenen Nachricht neu. 5 Alice prüft die Signatur mit Bobs öffentlichem Schlüssel. 6 Wenn alles passt, sind Authentizität und Integrität erfüllt. Kurz gesagt: Der Hash prüft die Daten. Die Signatur prüft, ob der Hash wirklich vom Absender stammt. Was ist ein Zertifikat? Ein Zertifikat ist ein digitaler Nachweis. Es verbindet: eine Identität mit einem öffentlichen Schlüssel Beispiel: Eine Webseite behauptet: Ich bin www.beispiel.de Das Zertifikat hilft dem Browser zu prüfen: Gehört dieser öffentliche Schlüssel wirklich zu dieser Webseite? Warum braucht man Zertifikate? Bei asymmetrischer Verschlüsselung ist der öffentliche Schlüssel frei verteilbar. Das Problem ist aber: Woher weiß Alice, dass der öffentliche Schlüssel wirklich zu Bob gehört? Genau hier helfen Zertifikate. Problem Lösung durch Zertifikat öffentlicher Schlüssel ist sichtbar ist grundsätzlich erlaubt aber Identität muss geprüft werden Zertifikat verbindet Identität und öffentlichen Schlüssel Angreifer könnte falschen Schlüssel anbieten Zertifikatsprüfung soll das erkennen Browser muss Webseite prüfen Zertifikat hilft bei HTTPS Zertifikat als digitaler Ausweis Ein Zertifikat kann man sich wie einen digitalen Ausweis vorstellen. Es sagt vereinfacht: Inhalt Bedeutung Name / Domain Für wen gilt das Zertifikat? öffentlicher Schlüssel Welcher öffentliche Schlüssel gehört dazu? Aussteller Wer hat das Zertifikat bestätigt? Gültigkeitszeitraum Von wann bis wann gilt es? Signatur des Ausstellers Wurde das Zertifikat bestätigt und nicht verändert? Merksatz: Zertifikat = digitaler Ausweis für einen öffentlichen Schlüssel. Zertifikate und Authentizität Zertifikate gehören besonders zum Sicherheitsziel: Authentizität Authentizität bedeutet: Ist die Identität echt? Bei HTTPS fragt der Browser zum Beispiel: Ist diese Webseite wirklich die angeforderte Webseite? Gehört der öffentliche Schlüssel wirklich zu dieser Domain? Ist das Zertifikat gültig? Ist das Zertifikat von einer vertrauenswürdigen Stelle ausgestellt? Ist das Zertifikat abgelaufen oder widerrufen? Zertifikate bei HTTPS Bei HTTPS nutzt der Browser Zertifikate, um die Identität des Servers zu prüfen. Vereinfacht: Schritt Erklärung 1 Browser ruft eine HTTPS-Webseite auf. 2 Server sendet sein Zertifikat. 3 Browser prüft das Zertifikat. 4 Browser prüft, ob die Domain passt. 5 Browser prüft, ob das Zertifikat gültig ist. 6 Danach kann eine sichere Verbindung aufgebaut werden. Was prüft der Browser beim Zertifikat? Typische Prüfungen: Passt der Domainname? Ist das Zertifikat noch gültig? Ist das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt? Wurde das Zertifikat widerrufen? Passt der öffentliche Schlüssel zum Zertifikat? Ist die Zertifikatskette vertrauenswürdig? Achtung Prüfungsfalle: Ein Zertifikat verschlüsselt nicht selbst die Daten. Es hilft dabei, die Identität und den öffentlichen Schlüssel zu prüfen. Public-Key-Zertifikat Ein Public-Key-Zertifikat bestätigt, dass ein bestimmter öffentlicher Schlüssel zu einer bestimmten Identität gehört. Das ist besonders wichtig bei: HTTPS TLS VPN digitalen Signaturen E-Mail-Sicherheit Serveridentifikation Begriff Bedeutung Public Key öffentlicher Schlüssel Zertifikat bestätigte Zuordnung zu einer Identität Zertifizierungsstelle Stelle, die Zertifikate ausstellt Zertifikatskette Vertrauenskette bis zu einer vertrauenswürdigen Stelle Hash, Signatur und Zertifikat im Zusammenspiel Diese Begriffe hängen eng zusammen. Baustein Aufgabe Hash prüft, ob Daten verändert wurden Signatur bestätigt Absender und Integrität Zertifikat bestätigt, wem ein öffentlicher Schlüssel gehört öffentlicher Schlüssel wird zum Prüfen oder Verschlüsseln genutzt privater Schlüssel wird zum Signieren oder Entschlüsseln genutzt Beispiel HTTPS: Bestandteil Rolle Zertifikat Browser prüft Identität des Servers öffentlicher Schlüssel ist im Zertifikat enthalten private Schlüssel bleibt beim Server Hash / Signatur hilft bei Prüfung und Vertrauensaufbau symmetrischer Sitzungsschlüssel schützt später die Nutzdaten Typische Praxisbeispiele Bereich Hashfunktion Zertifikat HTTPS Integrität und Prüfmechanismen Serveridentität prüfen Software-Download Datei-Hash prüfen Herstellerzertifikat möglich digitale Signatur Hash der Nachricht wird signiert öffentlicher Schlüssel wird zugeordnet VPN Integrität und Schlüsselmaterial Identität von Gegenstellen prüfen Passwortspeicherung Passwort-Hash speichern nicht Hauptaufgabe Typische IHK-Fragen zu Hashfunktionen Was ist eine Hashfunktion? Eine Hashfunktion erzeugt aus Daten einen Hashwert fester Länge. Wozu dient ein Hash? Ein Hash dient vor allem zur Integritätsprüfung. Ist ein Hash Verschlüsselung? Nein. Ein Hash wird normalerweise nicht entschlüsselt, sondern neu berechnet und verglichen. Was passiert, wenn Daten verändert werden? Der Hashwert verändert sich deutlich. Welches Sicherheitsziel passt zur Hashfunktion? Integrität. Typische IHK-Fragen zu Zertifikaten Was ist ein Zertifikat? Ein Zertifikat verbindet eine Identität mit einem öffentlichen Schlüssel. Wozu braucht man Zertifikate? Damit geprüft werden kann, ob ein öffentlicher Schlüssel wirklich zu einer bestimmten Person, Organisation oder Webseite gehört. Welches Sicherheitsziel passt besonders zu Zertifikaten? Authentizität. Wo werden Zertifikate häufig verwendet? Bei HTTPS, TLS, VPN, digitalen Signaturen und sicherer Serveridentifikation. Verschlüsselt ein Zertifikat selbst die Daten? Nein. Ein Zertifikat bestätigt vor allem Identität und öffentlichen Schlüssel. Prüfungsfalle: Hash, Signatur und Zertifikat nicht verwechseln Begriff Nicht verwechseln mit Richtige Bedeutung Hash Verschlüsselung Prüfwert zur Integritätskontrolle Signatur reine Verschlüsselung prüft Authentizität und Integrität Zertifikat Datenverschlüsselung selbst verbindet Identität mit öffentlichem Schlüssel öffentlicher Schlüssel geheimer Schlüssel darf verteilt werden privater Schlüssel öffentlicher Schlüssel muss geheim bleiben Kurzform: Hash prüft Daten. Signatur prüft Absender und Daten. Zertifikat prüft Identität und öffentlichen Schlüssel. Zusammenfassung Hashfunktionen und Zertifikate sind wichtige Bausteine der Netzwerksicherheit. Eine Hashfunktion erzeugt einen Prüfwert für Daten. Damit kann man erkennen, ob Daten verändert wurden. Ein Zertifikat verbindet eine Identität mit einem öffentlichen Schlüssel. Damit kann man prüfen, ob ein öffentlicher Schlüssel wirklich zur angegebenen Person, Organisation oder Webseite gehört. IHK-Spickzettel: Hash = Prüfwert Hash ist keine Verschlüsselung Hash gehört zu Integrität Zertifikat = digitaler Ausweis Zertifikat verbindet Identität mit öffentlichem Schlüssel Zertifikat gehört zu Authentizität HTTPS nutzt Zertifikate zur Prüfung der Serveridentität 13.6 Diffie-Hellman und Perfect Forward Secrecy Kurzüberblick Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch . Es wird nicht dafür genutzt, große Datenmengen direkt zu verschlüsseln. Die Grundidee ist: Alice und Bob können über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen. IHK-Merksatz: Diffie-Hellman = Schlüsselaustausch Nicht: direkte Verschlüsselung großer Datenmengen Quelle 11.1 – Einordnung In der Quelle wird Diffie-Hellman bei den Unterscheidungsmerkmalen der Verschlüsselungsverfahren genannt. Es gehört in den Bereich: Schlüsselaustausch asymmetrische Kryptografie sichere Verbindungsaufnahme Grundlage für sichere Protokolle Perfect Forward Secrecy Wichtig ist: Diffie-Hellman ist kein Ersatz für symmetrische Verschlüsselung. Es hilft dabei, einen gemeinsamen Schlüssel zu erzeugen oder auszuhandeln. Warum braucht man Diffie-Hellman? Bei der symmetrischen Verschlüsselung gab es ein Problem: Alice und Bob brauchen denselben geheimen Schlüssel. Aber: Wie bekommen beide denselben Schlüssel, ohne dass Eve ihn einfach kopiert? Diffie-Hellman löst genau dieses Problem. Kurz gesagt: Alice und Bob einigen sich auf ein gemeinsames Geheimnis, ohne dieses Geheimnis direkt über das Netzwerk zu senden. Grundidee ohne Mathematik Alice und Bob wollen einen gemeinsamen Sitzungsschlüssel erhalten. Eve kann den Netzwerkverkehr mithören. Trotzdem soll Eve den fertigen Sitzungsschlüssel nicht kennen. Vereinfacht passiert Folgendes: Schritt Erklärung 1 Alice und Bob tauschen öffentliche Informationen aus. 2 Alice kombiniert diese Informationen mit ihrem privaten Geheimnis. 3 Bob kombiniert diese Informationen mit seinem privaten Geheimnis. 4 Beide kommen dadurch auf dasselbe gemeinsame Geheimnis. 5 Eve sieht nur die öffentlichen Informationen, aber nicht die privaten Geheimnisse. Was sieht Eve? Eve kann den Datenverkehr beobachten. Sie sieht zum Beispiel: öffentliche Austauschwerte Protokollinformationen eventuell Zertifikate verschlüsselte Daten Eve sieht aber nicht: Alices privaten Anteil Bobs privaten Anteil den fertigen gemeinsamen Sitzungsschlüssel Bestandteil Sichtbar für Eve? Kritisch? öffentliche Austauschwerte ja normalerweise nein privater Anteil von Alice nein ja, muss geheim bleiben privater Anteil von Bob nein ja, muss geheim bleiben fertiger Sitzungsschlüssel nein ja, muss geheim bleiben Wichtig: Diffie-Hellman verschlüsselt nicht die Nutzdaten Ein häufiger Fehler ist: Diffie-Hellman mit normaler Verschlüsselung zu verwechseln. Das ist falsch. Thema Aufgabe Diffie-Hellman gemeinsamen Schlüssel aushandeln symmetrische Verschlüsselung Nutzdaten verschlüsseln asymmetrische Verschlüsselung Schlüssel schützen, Signaturen, Zertifikate Hashfunktion Integrität prüfen Zertifikat Identität prüfen Achtung Prüfungsfalle: Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch, nicht die eigentliche Datenverschlüsselung. Bezug zur hybriden Verschlüsselung Diffie-Hellman passt gut zum hybriden Prinzip. Bei der hybriden Verschlüsselung gilt: asymmetrische Technik hilft beim sicheren Schlüsselaustausch symmetrische Technik verschlüsselt danach die Nutzdaten Diffie-Hellman kann dabei helfen, den gemeinsamen Sitzungsschlüssel sicher auszuhandeln. Danach wird dieser Sitzungsschlüssel für symmetrische Verschlüsselung genutzt. Phase Technik Verbindungsaufbau Schlüsselaustausch, zum Beispiel Diffie-Hellman danach symmetrische Verschlüsselung der Nutzdaten zusätzlich Zertifikate / Signaturen zur Identitätsprüfung Einfaches Beispiel Alice und Bob wollen sicher kommunizieren. Sie nutzen Diffie-Hellman, um einen gemeinsamen Sitzungsschlüssel zu erzeugen. Danach verwenden sie diesen Sitzungsschlüssel für die symmetrische Verschlüsselung. Ablauf: Schritt Erklärung 1 Alice und Bob starten den Schlüsselaustausch. 2 Beide tauschen öffentliche Werte aus. 3 Beide nutzen zusätzlich ihr eigenes privates Geheimnis. 4 Beide berechnen denselben Sitzungsschlüssel. 5 Die Nutzdaten werden mit diesem Sitzungsschlüssel symmetrisch verschlüsselt. Warum ist das sicherer als einfaches Senden des Schlüssels? Beim einfachen Senden würde Alice den Schlüssel direkt an Bob übertragen. Dann könnte Eve ihn kopieren. Bei Diffie-Hellman wird der fertige Schlüssel nicht direkt gesendet. Stattdessen wird er auf beiden Seiten berechnet. Direkte Schlüsselübergabe Diffie-Hellman Schlüssel wird übertragen Schlüssel wird auf beiden Seiten berechnet Eve könnte den Schlüssel kopieren Eve sieht nur öffentliche Austauschwerte riskant bei unsicherem Netzwerk besser für unsichere Netzwerke einfach zu verstehen mathematisch komplexer Perfect Forward Secrecy Perfect Forward Secrecy bedeutet: Alte Verbindungen sollen auch dann geschützt bleiben, wenn ein langfristiger privater Schlüssel später kompromittiert wird. Anders gesagt: Wenn ein Angreifer heute einen privaten Schlüssel stiehlt, soll er damit nicht automatisch alte aufgezeichnete Sitzungen entschlüsseln können. IHK-Merksatz: Perfect Forward Secrecy schützt alte Sitzungen besser, weil Sitzungsschlüssel nicht dauerhaft gleich bleiben. Warum ist Perfect Forward Secrecy wichtig? Eve könnte Datenverkehr heute mitschneiden und speichern. Später könnte Eve versuchen, einen privaten Schlüssel zu stehlen. Ohne Perfect Forward Secrecy wäre das gefährlicher. Mit Perfect Forward Secrecy soll gelten: alte Sitzungsschlüssel waren nur kurzzeitig gültig alte Sitzungsschlüssel wurden nicht dauerhaft gespeichert ein später gestohlener Langzeitschlüssel reicht nicht aus, um alte Sitzungen zu entschlüsseln Beispiel ohne Perfect Forward Secrecy Eve macht Folgendes: Eve zeichnet heute verschlüsselten Datenverkehr auf. Eve stiehlt später den privaten Schlüssel eines Servers. Eve versucht, alte Verbindungen nachträglich zu entschlüsseln. Wenn alte Sitzungen vom langfristigen Schlüssel abhängig waren, wäre das problematisch. Beispiel mit Perfect Forward Secrecy Bei Perfect Forward Secrecy wird für Sitzungen eigenes, kurzlebiges Schlüsselmaterial verwendet. Das bedeutet: Jede Sitzung bekommt eigene Schlüssel. Die Sitzungsschlüssel werden später verworfen. Ein später gestohlener Langzeitschlüssel reicht nicht aus, um alte Sitzungen zu entschlüsseln. Ohne PFS Mit PFS alte Sitzungen können stärker vom Langzeitschlüssel abhängen jede Sitzung nutzt kurzlebige Schlüssel späterer Schlüsselverlust kann alte Daten gefährden alte Sitzungen bleiben besser geschützt weniger Schutz bei aufgezeichnetem Datenverkehr besserer Schutz gegen nachträgliches Entschlüsseln Ephemeral Diffie-Hellman Im Zusammenhang mit Perfect Forward Secrecy taucht häufig der Begriff ephemeral auf. Ephemeral bedeutet: kurzlebig oder nur vorübergehend. Bei ephemeral Diffie-Hellman werden für einzelne Sitzungen kurzlebige Schlüsselwerte verwendet. Diese werden nach der Sitzung verworfen. Kurz gesagt: Ephemeral = nur für diese Sitzung gedacht. Dadurch werden alte Sitzungen besser geschützt. Bezug zu HTTPS / TLS Bei HTTPS beziehungsweise TLS ist das wichtig. Vereinfacht: Schritt Erklärung 1 Browser verbindet sich mit einem Server. 2 Zertifikat hilft bei der Prüfung der Serveridentität. 3 Ein Schlüsselaustauschverfahren hilft beim Erzeugen eines Sitzungsschlüssels. 4 Danach werden die Nutzdaten symmetrisch verschlüsselt. 5 Bei PFS werden alte Sitzungen besser gegen späteren Schlüsselverlust geschützt. Bezug zu VPN Auch bei VPNs ist die Idee wichtig. Ein VPN braucht: sichere Identitätsprüfung sicheren Schlüsselaustausch symmetrische Verschlüsselung der Nutzdaten möglichst kurzlebige Sitzungsschlüssel Schutz gegen nachträgliches Entschlüsseln alter Sitzungen Darum passt dieses Thema gut vor das spätere Kapitel: 14. VPN, Intranet und Extranet Diffie-Hellman, PFS und Sitzungsschlüssel Begriff Bedeutung Diffie-Hellman Verfahren zum Schlüsselaustausch Sitzungsschlüssel symmetrischer Schlüssel für eine bestimmte Verbindung PFS Schutz alter Sitzungen bei späterem Schlüsselverlust ephemeral kurzlebig, nur für eine Sitzung symmetrische Verschlüsselung verschlüsselt danach die eigentlichen Daten Typische IHK-Fragen Was ist Diffie-Hellman? Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch. Wozu dient Diffie-Hellman? Es dient dazu, über ein unsicheres Netzwerk ein gemeinsames Geheimnis beziehungsweise Schlüsselmaterial auszuhandeln. Verschlüsselt Diffie-Hellman große Datenmengen direkt? Nein. Es dient dem Schlüsselaustausch. Die eigentlichen Daten werden danach meist symmetrisch verschlüsselt. Was ist Perfect Forward Secrecy? Perfect Forward Secrecy bedeutet, dass alte Sitzungen auch dann besser geschützt bleiben sollen, wenn ein langfristiger privater Schlüssel später kompromittiert wird. Warum sind Sitzungsschlüssel wichtig? Sie schützen eine konkrete Verbindung oder Sitzung und können danach verworfen werden. Was bedeutet ephemeral? Ephemeral bedeutet kurzlebig oder nur für eine Sitzung gültig. Prüfungsfalle: Diffie-Hellman ist nicht dasselbe wie Verschlüsselung der Nutzdaten Aussage Richtig oder falsch? Diffie-Hellman verschlüsselt große Dateien direkt. falsch Diffie-Hellman hilft beim Schlüsselaustausch. richtig Danach kann symmetrisch verschlüsselt werden. richtig PFS schützt alte Sitzungen besser. richtig Der öffentliche Schlüssel muss geheim bleiben. falsch Merksatz: Diffie-Hellman erzeugt oder vereinbart Schlüsselmaterial. Die Datenverschlüsselung passiert danach mit einem symmetrischen Verfahren. Zusammenfassung Diffie-Hellman ist ein Verfahren zum sicheren Schlüsselaustausch. Alice und Bob können damit über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen. Dieses gemeinsame Geheimnis kann anschließend als Grundlage für einen symmetrischen Sitzungsschlüssel dienen. Perfect Forward Secrecy sorgt dafür, dass alte Sitzungen besser geschützt bleiben, selbst wenn später ein langfristiger privater Schlüssel kompromittiert wird. IHK-Spickzettel: Diffie-Hellman = Schlüsselaustausch nicht direkte Nutzdatenverschlüsselung Sitzungsschlüssel = symmetrischer Schlüssel für eine Verbindung PFS = schützt alte Sitzungen besser ephemeral = kurzlebig / nur für diese Sitzung Praxis = HTTPS / TLS / VPN 13.7 Brute Force, Zufallszahlen und One-Time-Pad Kurzüberblick In dieser Seite geht es um die Frage: Ist Verschlüsselung wirklich nicht zu knacken? Die ehrliche Antwort ist: Es kommt darauf an. Eine Verschlüsselung kann theoretisch sehr stark sein, aber in der Praxis trotzdem unsicher werden. Gründe dafür können sein: zu kurze Schlüssel schlechte Passwörter schlechte Zufallszahlen gestohlene Schlüssel Fehler in der Software Hintertüren im Algorithmus falsch konfigurierte Systeme unsichere Endgeräte Benutzerfehler IHK-Merksatz: Starke Verschlüsselung braucht nicht nur einen guten Algorithmus, sondern auch starke Schlüssel, gute Zufallszahlen und eine sichere Umsetzung. Quelle 11.5 – Zusammenfassung Verschlüsselung Die Quelle stellt sinngemäß die Frage: Ist Verschlüsselung nicht zu knacken? Dabei werden mehrere wichtige Punkte genannt: mögliche Hintertüren in Algorithmen fehlerhafte Implementierung in Software echte Zufallszahlen Brute Force steigende Rechenleistung ASICs One-Time-Pad als besonderer Sonderfall Diese Punkte sind wichtig, weil sie zeigen: Verschlüsselung ist nicht automatisch sicher, nur weil irgendwo „verschlüsselt“ steht. Warum Verschlüsselung trotzdem scheitern kann Problem Erklärung schwacher Schlüssel zu kurz oder leicht erratbar schlechtes Passwort kann durch Ausprobieren gefunden werden schlechte Zufallszahlen Schlüssel können vorhersagbar werden gestohlener Schlüssel Angreifer kann entschlüsseln Softwarefehler Algorithmus wird falsch umgesetzt Hintertür absichtlich eingebaute Schwachstelle unsicheres Gerät Klartext oder Schlüssel können direkt abgegriffen werden Benutzerfehler Schlüssel oder Passwörter werden falsch behandelt Kurz gesagt: Der beste Algorithmus hilft wenig, wenn Schlüssel, Software oder Benutzerverhalten unsicher sind. Brute Force Brute Force bedeutet: Ein Angreifer probiert systematisch sehr viele Möglichkeiten aus, bis etwas passt. Zum Beispiel: Passwörter ausprobieren PINs ausprobieren Schlüssel ausprobieren Hashes gegen Wörterbücher testen Zugangsdaten erraten Merksatz: Brute Force = ausprobieren, bis es passt. Einfaches Beispiel Angenommen, ein Passwort besteht nur aus vier Ziffern. Dann gibt es: 0000 bis 9999 Also 10.000 Möglichkeiten. Ein Computer kann solche Kombinationen sehr schnell ausprobieren. Bei einem langen, zufälligen Passwort wird das viel schwieriger. Was beeinflusst Brute Force? Faktor Auswirkung Länge des Passworts längere Passwörter sind schwerer zu knacken Zeichenvorrat mehr mögliche Zeichen erhöhen die Anzahl der Kombinationen Zufälligkeit zufällige Passwörter sind schwerer zu erraten Rechenleistung schnellere Hardware kann mehr Versuche pro Sekunde machen Schutzmechanismen Sperren und Wartezeiten bremsen Angriffe Passwort-Wiederverwendung erhöht das Risiko bei Datenlecks Beispiel: Warum Länge wichtig ist Ein Passwort wie: haus ist viel schwächer als: T7!mQ9#vL2pR Warum? Das zweite Passwort ist: länger zufälliger schwerer zu erraten schwerer per Brute Force zu finden Achtung Prüfungsfalle: Ein langes, zufälliges Passwort ist meistens besser als ein kurzes, kompliziert wirkendes Passwort. Rechenleistung und Brute Force Je mehr Rechenleistung ein Angreifer hat, desto schneller kann er Möglichkeiten ausprobieren. Die Quelle nennt dazu sinngemäß unterschiedliche Leistungsstufen: Hardware Bedeutung normaler PC vergleichsweise langsam Grafikkarte schneller für viele parallele Berechnungen Spezialhardware für bestimmte Aufgaben optimiert ASIC sehr spezialisierte Hardware ASIC bedeutet: anwendungsspezifische integrierte Schaltung Das heißt: Ein Chip wird speziell für eine bestimmte Aufgabe gebaut. Kurz gesagt: Mehr spezialisierte Hardware = mehr Versuche pro Sekunde. Gegenmaßnahmen gegen Brute Force Maßnahme Wirkung lange Passwörter erhöhen die Anzahl möglicher Kombinationen zufällige Passwörter verhindern leichtes Erraten Passwortmanager ermöglicht lange, einzigartige Passwörter Multi-Faktor-Authentifizierung Passwort allein reicht nicht aus Rate Limiting begrenzt Versuche pro Zeit Account-Sperre stoppt viele Fehlversuche starke Schlüssel erschweren vollständiges Durchprobieren moderne Algorithmen vermeiden bekannte Schwächen IHK-Merksatz: Gegen Brute Force helfen vor allem Länge, Zufall, Begrenzung der Versuche und zusätzliche Faktoren. Zufallszahlen Zufallszahlen sind in der Kryptografie extrem wichtig. Warum? Schlüssel sollen nicht erratbar sein. Wenn ein Schlüssel vorhersehbar ist, kann ein Angreifer ihn leichter finden. Das Problem: Ein Computer ist grundsätzlich eine Maschine. Er erzeugt oft nur scheinbaren Zufall, wenn kein guter Zufallszahlengenerator verwendet wird. Warum schlechte Zufallszahlen gefährlich sind Angenommen, ein System erzeugt Schlüssel nicht wirklich zufällig. Dann könnten Schlüssel zum Beispiel: wiederholt auftreten nach einem Muster entstehen aus der Uhrzeit ableitbar sein aus wenigen Startwerten berechenbar sein für Angreifer vorhersagbar werden Dann kann ein eigentlich starker Algorithmus unsicher werden. Merksatz: Starker Algorithmus + schlechter Zufall = unsicheres System. Beispiel: Zufall bei Schlüsseln Ein guter Schlüssel sollte für einen Angreifer nicht vorhersehbar sein. Schlecht: 1234567890 Besser: K7!qP4#zL9@vX2 Noch besser ist ein Schlüssel, der von einem sicheren kryptografischen Zufallszahlengenerator erzeugt wurde. Was muss bei Schlüsseln stimmen? Eigenschaft Warum wichtig? ausreichend lang erschwert Brute Force zufällig verhindert Vorhersagbarkeit geheim sonst kann entschlüsselt werden einmalig oder passend genutzt Wiederverwendung kann gefährlich sein sicher gespeichert verhindert Diebstahl sicher übertragen verhindert Abfangen One-Time-Pad Das One-Time-Pad ist ein besonderer Fall der Verschlüsselung. Es gilt theoretisch als nicht knackbar, wenn alle Bedingungen erfüllt sind. Diese Bedingungen sind aber sehr streng. Bedingungen für ein sicheres One-Time-Pad Bedingung Erklärung Schlüssel ist wirklich zufällig keine Muster, nicht vorhersagbar Schlüssel ist mindestens so lang wie die Nachricht jeder Teil der Nachricht braucht Schlüsselmaterial Schlüssel wird nur einmal verwendet Wiederverwendung zerstört die Sicherheit Schlüssel bleibt geheim sonst kann entschlüsselt werden Schlüssel wird sicher übertragen Schlüssel darf nicht abgefangen werden IHK-Merksatz: One-Time-Pad ist theoretisch extrem sicher, aber praktisch schwer sauber umzusetzen. Warum ist One-Time-Pad praktisch schwierig? Das größte Problem ist die Schlüsselverteilung. Wenn der Schlüssel genauso lang sein muss wie die Nachricht, muss dieser lange Schlüssel vorher sicher zu Bob gelangen. Das ist unpraktisch. Nachricht benötigter Schlüssel 1 MB Datei mindestens 1 MB Schlüssel 100 MB Datei mindestens 100 MB Schlüssel 1 GB Datei mindestens 1 GB Schlüssel Und dieser Schlüssel muss: vorher sicher erzeugt werden sicher an Bob übertragen werden geheim bleiben nach einmaliger Nutzung vernichtet werden niemals wiederverwendet werden Warum darf ein One-Time-Pad-Schlüssel nur einmal verwendet werden? Wenn derselbe Schlüssel mehrfach verwendet wird, können Angreifer aus mehreren verschlüsselten Nachrichten Muster ableiten. Dann ist die theoretische Sicherheit verloren. Deshalb heißt es: One-Time Pad Also: nur einmal verwenden Achtung Prüfungsfalle: One-Time-Pad ist nur sicher, wenn alle Bedingungen wirklich erfüllt sind. Vergleich: normale Verschlüsselung und One-Time-Pad Merkmal Moderne Verschlüsselung One-Time-Pad Schlüssel kürzer als Daten möglich ja nein praktisch gut nutzbar ja schwierig theoretisch nicht knackbar abhängig vom Verfahren ja, wenn Bedingungen erfüllt Schlüsselverteilung handhabbar sehr schwierig Wiederverwendung des Schlüssels abhängig vom Verfahren geregelt verboten wichtig für IHK Grundidee verstehen Sonderfall kennen Zusammenhang: Brute Force, Zufall und One-Time-Pad Diese drei Themen hängen zusammen. Thema Kerngedanke Brute Force Angreifer probiert Möglichkeiten aus Zufallszahlen Schlüssel sollen nicht vorhersagbar sein One-Time-Pad theoretisch sicher bei perfektem Zufall und einmaliger Nutzung Kurz gesagt: Brute Force greift schwache oder zu kurze Schlüssel an. Gute Zufallszahlen machen Schlüssel schwerer vorhersagbar. One-Time-Pad zeigt, wie wichtig echter Zufall und einmalige Nutzung sind. Typische IHK-Fragen Was bedeutet Brute Force? Brute Force bedeutet, dass ein Angreifer systematisch viele Möglichkeiten ausprobiert. Was wird bei Brute Force ausprobiert? Zum Beispiel Passwörter, PINs, Schlüssel oder Hashwerte. Was schützt gegen Brute Force? Lange und zufällige Passwörter, starke Schlüssel, Begrenzung von Fehlversuchen und Multi-Faktor-Authentifizierung. Warum sind Zufallszahlen in der Kryptografie wichtig? Weil Schlüssel nicht vorhersagbar sein dürfen. Was passiert bei schlechten Zufallszahlen? Schlüssel können leichter erraten oder berechnet werden. Was ist das One-Time-Pad? Ein theoretisch extrem sicheres Verfahren, wenn der Schlüssel wirklich zufällig, mindestens so lang wie die Nachricht, geheim und nur einmal verwendet wird. Warum ist One-Time-Pad praktisch schwierig? Weil der Schlüssel sehr lang sein muss und sicher verteilt werden muss. Prüfungsfalle: „verschlüsselt“ heißt nicht automatisch sicher Nur weil Daten verschlüsselt sind, heißt das nicht automatisch, dass alles sicher ist. Man muss fragen: Frage Warum wichtig? Ist der Algorithmus sicher? schwache Verfahren können gebrochen werden Ist der Schlüssel lang genug? kurze Schlüssel sind leichter durchprobierbar Ist der Schlüssel zufällig? vorhersehbare Schlüssel sind gefährlich Ist der Schlüssel geheim geblieben? gestohlene Schlüssel zerstören Sicherheit Ist die Software korrekt umgesetzt? Implementierungsfehler können alles schwächen Ist das Endgerät sicher? Klartext kann dort abgegriffen werden Prüfungsfalle: One-Time-Pad nicht mit normalem Passwort verwechseln Ein One-Time-Pad ist nicht einfach ein normales Passwort. Ein One-Time-Pad-Schlüssel muss: wirklich zufällig sein mindestens so lang wie die Nachricht sein nur einmal verwendet werden geheim bleiben sicher übertragen werden Wenn eine dieser Bedingungen verletzt wird, ist die besondere Sicherheit nicht mehr gegeben. Zusammenfassung Brute Force ist das systematische Ausprobieren vieler Möglichkeiten. Je kürzer oder vorhersehbarer ein Passwort oder Schlüssel ist, desto leichter wird ein Brute-Force-Angriff. Gute Zufallszahlen sind wichtig, damit Schlüssel nicht erratbar oder berechenbar sind. Das One-Time-Pad ist theoretisch extrem sicher, aber praktisch schwer umzusetzen, weil der Schlüssel wirklich zufällig, mindestens so lang wie die Nachricht, geheim und nur einmalig verwendbar sein muss. IHK-Spickzettel: Brute Force = systematisches Ausprobieren Schutz = lange, zufällige Passwörter und starke Schlüssel Zufallszahlen = wichtig für sichere Schlüssel schlechter Zufall = unsicheres System One-Time-Pad = theoretisch nicht knackbar bei perfekten Bedingungen Problem beim One-Time-Pad = sichere Schlüsselverteilung 13.8 Steganographie Kurzüberblick Steganographie bedeutet: Informationen werden in unauffälligen Daten versteckt. Das Ziel ist nicht nur, den Inhalt zu schützen, sondern vor allem zu verbergen, dass überhaupt eine geheime Nachricht vorhanden ist. IHK-Merksatz: Verschlüsselung macht den Inhalt unlesbar. Steganographie versteckt die Existenz der Nachricht. Quelle 11.6 – Steganographie In der Quelle wird Steganographie als das Verstecken von Informationen in alltäglichen, unauffälligen Daten beschrieben. Als Beispiel wird ein Bild verwendet. Ein Bild besteht aus vielen Bildpunkten. Jeder Bildpunkt kann Farbinformationen enthalten, zum Beispiel: Rot Grün Blau Bei einem RGB-Bild besteht ein Bildpunkt also aus drei Farbanteilen. Jeder Farbanteil hat typischerweise 8 Bit. Grundidee Ein Bildpunkt kann vereinfacht so aufgebaut sein: Farbanteil Größe Rot 8 Bit Grün 8 Bit Blau 8 Bit Zusammen ergibt das: Bestandteil Rechnung Rot 8 Bit Grün 8 Bit Blau 8 Bit Gesamt pro Bildpunkt 24 Bit Das bedeutet: Ein Bildpunkt enthält viele kleine Binärinformationen. Wenn man nur sehr kleine Teile davon verändert, sieht das menschliche Auge oft kaum einen Unterschied. Least Significant Bit Das unbedeutendste Bit nennt man: Least Significant Bit Abkürzung: LSB Dieses Bit hat den kleinsten Einfluss auf den Zahlenwert. Wenn man nur dieses letzte Bit ändert, verändert sich die Farbe nur minimal. Beispiel: Wert vorher Wert nachher Änderung 10101100 10101101 nur das letzte Bit geändert 01100101 01100100 nur das letzte Bit geändert 10011010 10011011 nur das letzte Bit geändert Der Farbwert ändert sich dadurch nur sehr wenig. Kurz gesagt: Beim LSB-Verfahren wird Information in den kleinsten, kaum sichtbaren Änderungen versteckt. Beispiel mit einem RGB-Bildpunkt Ein RGB-Bildpunkt besteht aus: Farbe Beispielwert Rot 10101101 Grün 01100101 Blau 10011010 In jedem dieser drei Farbwerte kann man das letzte Bit verändern. Dadurch kann ein einzelner Bildpunkt ungefähr 3 Bit verstecken: Farbe versteckbares Bit Rot 1 Bit Grün 1 Bit Blau 1 Bit Gesamt 3 Bit pro Bildpunkt Merksatz: Ein RGB-Bildpunkt kann bei einfacher LSB-Steganographie ungefähr 3 Bit verstecken. Warum sieht man die Veränderung kaum? Wenn nur das letzte Bit eines Farbwertes verändert wird, ändert sich der Farbwert nur um 1. Bei 8 Bit gibt es 256 mögliche Werte. Das heißt: Eine Änderung um 1 ist sehr klein. Beispiel Bedeutung Farbwert 120 ursprünglicher Farbwert Farbwert 121 nach Änderung des letzten Bits Unterschied kaum sichtbar Für das menschliche Auge ist so eine minimale Änderung meistens nicht erkennbar. Steganographie ist nicht dasselbe wie Verschlüsselung Steganographie und Verschlüsselung werden oft verwechselt. Sie haben aber unterschiedliche Ziele. Technik Ziel Verschlüsselung Inhalt unlesbar machen Steganographie Existenz der Nachricht verstecken Beispiel: Situation Bedeutung verschlüsselte Datei Jeder sieht, dass etwas Verschlüsseltes vorhanden ist steganographisches Bild Es sieht wie ein normales Bild aus verschlüsselte Nachricht im Bild Inhalt ist geschützt und zusätzlich versteckt Achtung Prüfungsfalle: Steganographie macht den Inhalt nicht automatisch sicher. Sie versteckt zunächst nur, dass eine Nachricht vorhanden ist. Vergleich: Verschlüsselung und Steganographie Merkmal Verschlüsselung Steganographie Hauptziel Inhalt schützen Nachricht verstecken Sichtbarkeit Geheimtext ist sichtbar Nachricht soll unauffällig bleiben Wenn entdeckt Inhalt ist hoffentlich noch unlesbar Inhalt könnte lesbar sein Typisches Beispiel AES, RSA, ChaCha20 Nachricht in Bild verstecken Sicherheitsziel Vertraulichkeit Verbergen der Existenz Ideale Nutzung allein möglich besser mit Verschlüsselung kombinieren Ideale Kombination Die beste Vorgehensweise ist oft: Nachricht zuerst verschlüsseln. Verschlüsselte Nachricht anschließend verstecken. Warum? Wenn die versteckte Nachricht entdeckt wird, ist sie immer noch verschlüsselt. Schritt Wirkung Verschlüsseln Inhalt wird unlesbar Verstecken Existenz der Nachricht wird verborgen Kombination Inhalt ist geschützt und schwerer zu finden IHK-Merksatz: Erst verschlüsseln, dann verstecken. So erhält man Vertraulichkeit und Unauffälligkeit. Einfaches Beispiel Alice möchte Bob eine geheime Nachricht schicken. Die Nachricht lautet: Treffen um 18 Uhr Alice verschlüsselt die Nachricht zuerst. Daraus wird zum Beispiel: A7x!9LmQ2# Danach versteckt Alice diesen Geheimtext in einem Bild. Bob erhält ein scheinbar normales Bild. Mit dem passenden Verfahren kann Bob die versteckte Nachricht auslesen und danach entschlüsseln. Was sieht Eve? Wenn Eve das Bild sieht, erkennt sie im besten Fall nicht, dass darin eine Nachricht versteckt ist. Fall Was passiert? Eve erkennt nichts Nachricht bleibt unentdeckt Eve findet versteckte Daten ohne Verschlüsselung könnte der Inhalt lesbar sein Eve findet verschlüsselte versteckte Daten Inhalt bleibt trotzdem geschützt Darum ist die Kombination aus Verschlüsselung und Steganographie sinnvoll. Typische Trägerdaten Steganographie kann Informationen in verschiedenen Dateitypen verstecken. Beispiele: Trägerdatei Möglichkeit Bilddatei Bits in Farbwerten verstecken Audiodatei kleine Änderungen im Audiosignal Videodatei Bild- und Audiodaten nutzen Textdatei Leerzeichen, Formatierung oder Zeichenmuster Netzwerkverkehr versteckte Informationen in Protokollfeldern Für die IHK ist meistens die Grundidee wichtiger als ein spezielles Werkzeug. Vorteile der Steganographie Vorteil Erklärung unauffällig Nachricht soll nicht erkennbar sein kombinierbar kann mit Verschlüsselung kombiniert werden viele Träger möglich Bilder, Audio, Video oder andere Daten zusätzlicher Schutz Angreifer muss zuerst erkennen, dass etwas versteckt ist Nachteile und Risiken Nachteil Erklärung nicht automatisch verschlüsselt Inhalt kann lesbar sein, wenn entdeckt Datei kann verändert werden Kompression oder Bearbeitung kann versteckte Daten zerstören begrenzter Speicherplatz nicht beliebig viel Information passt unauffällig hinein Analyse möglich Spezialwerkzeuge können Auffälligkeiten erkennen falsche Nutzung kann auch für schädliche Zwecke missbraucht werden Problem: Bildkompression Ein wichtiges Problem ist Kompression. Wenn ein Bild nachträglich verändert oder stark komprimiert wird, können versteckte Informationen beschädigt oder zerstört werden. Beispiel: Aktion Risiko Bild verkleinern versteckte Bits können verloren gehen Bild stark komprimieren Farbwerte ändern sich Bildformat wechseln versteckte Daten können zerstört werden Bild bearbeiten versteckte Nachricht kann beschädigt werden Kurz gesagt: Steganographie ist empfindlich gegenüber Veränderungen an der Trägerdatei. Steganographie und Sicherheit Steganographie allein ist keine vollständige Sicherheitslösung. Sie schützt vor allem gegen Aufmerksamkeit. Das heißt: Eve soll möglichst gar nicht merken, dass eine geheime Nachricht existiert. Aber wenn Eve die versteckte Nachricht findet, braucht man zusätzlich Verschlüsselung. Ziel Technik Inhalt unlesbar machen Verschlüsselung Existenz verbergen Steganographie Absender prüfen digitale Signatur Veränderung erkennen Hash / Signatur Typische IHK-Fragen zur Steganographie Was ist Steganographie? Steganographie ist das Verstecken von Informationen in unauffälligen Daten. Was ist das Ziel der Steganographie? Das Ziel ist, die Existenz einer Nachricht zu verbergen. Was ist der Unterschied zur Verschlüsselung? Verschlüsselung macht den Inhalt unlesbar. Steganographie versteckt, dass eine Nachricht vorhanden ist. Warum sollte man Steganographie mit Verschlüsselung kombinieren? Wenn die versteckte Nachricht entdeckt wird, bleibt der Inhalt trotzdem geschützt. Was bedeutet LSB? LSB bedeutet Least Significant Bit, also das unbedeutendste Bit. Warum eignet sich das LSB für Steganographie? Weil eine Änderung am letzten Bit den Farbwert nur minimal verändert und oft kaum sichtbar ist. Wie viele Bit kann ein RGB-Bildpunkt bei einfacher LSB-Steganographie ungefähr verstecken? Ungefähr 3 Bit, also je 1 Bit in Rot, Grün und Blau. Prüfungsfalle: Steganographie schützt nicht automatisch den Inhalt Wenn eine Nachricht nur versteckt, aber nicht verschlüsselt wurde, kann sie bei Entdeckung lesbar sein. Darum gilt: Aussage Bewertung Steganographie versteckt die Nachricht. richtig Steganographie verschlüsselt automatisch den Inhalt. falsch Verschlüsselung macht den Inhalt unlesbar. richtig Kombination aus beidem ist sinnvoll. richtig Achtung: Versteckt ist nicht automatisch verschlüsselt. Prüfungsfalle: Steganographie ist kein Ersatz für Verschlüsselung Steganographie und Verschlüsselung haben unterschiedliche Aufgaben. Aufgabe Besser passende Technik Inhalt geheim halten Verschlüsselung Nachricht unauffällig verstecken Steganographie Absender prüfen digitale Signatur Dateiänderung erkennen Hashfunktion Merksatz: Steganographie ersetzt keine Verschlüsselung. Sie ergänzt Verschlüsselung. Zusammenfassung Steganographie bedeutet, Informationen in unauffälligen Daten zu verstecken. Ein typisches Beispiel ist das Verstecken von Daten in Bildpunkten. Bei RGB-Bildern bestehen Bildpunkte aus Rot, Grün und Blau. Wenn jeweils das letzte Bit verändert wird, kann man Informationen verstecken, ohne dass das Bild sichtbar stark verändert wirkt. Steganographie versteckt aber nur die Existenz der Nachricht. Für echten Schutz des Inhalts sollte die Nachricht vorher verschlüsselt werden. IHK-Spickzettel: Steganographie = Nachricht verstecken Verschlüsselung = Inhalt unlesbar machen LSB = Least Significant Bit RGB-Bildpunkt = Rot + Grün + Blau ungefähr 3 Bit pro Bildpunkt versteckbar beste Kombination = erst verschlüsseln, dann verstecken Prüfungsfalle = versteckt ist nicht automatisch verschlüsselt FRAGEN – Verschlüsselung und Sicherheitsgrundlagen 50 Fragen und Antworten zum Ausklappen Diese Fragen beziehen sich auf die behandelten Themen aus 13. Verschlüsselung und Sicherheitsgrundlagen : symmetrische Verschlüsselung asymmetrische Verschlüsselung hybride Verschlüsselung digitale Signatur Hashfunktion Zertifikate Authentizität, Integrität und Vertraulichkeit Diffie-Hellman Perfect Forward Secrecy Brute Force Zufallszahlen One-Time-Pad Steganographie 1. Was bedeutet Verschlüsselung? Verschlüsselung bedeutet, dass lesbare Daten so umgewandelt werden, dass sie ohne passenden Schlüssel nicht mehr verständlich sind. Aus Klartext wird Geheimtext beziehungsweise Chiffrat. Beispiel: Klartext: Hallo Bob Geheimtext: A4$h!7k9%Lz@8mQ Erst mit dem passenden Schlüssel kann der ursprüngliche Inhalt wiederhergestellt werden. 2. Was ist Klartext? Klartext ist die ursprüngliche, lesbare Nachricht. Beispiel: Passwort: geheim123 Klartext ist also der Inhalt, bevor er verschlüsselt wurde oder nachdem er wieder entschlüsselt wurde. 3. Was ist Geheimtext oder Chiffrat? Geheimtext oder Chiffrat ist die verschlüsselte Form einer Nachricht. Der Inhalt ist ohne passenden Schlüssel nicht sinnvoll lesbar. Beispiel: A4$h!7k9%Lz@8mQ 4. Welche drei Sicherheitsziele sind besonders wichtig? Die drei besonders wichtigen Sicherheitsziele sind: Vertraulichkeit Integrität Authentizität Merksatz: Vertraulichkeit = nur Berechtigte können lesen Integrität = Daten wurden nicht verändert Authentizität = Identität oder Absender ist echt 5. Was bedeutet Vertraulichkeit? Vertraulichkeit bedeutet: Nur berechtigte Personen oder Systeme können den Inhalt lesen. Beispiele: Verschlüsselung HTTPS VPN WPA2 / WPA3 verschlüsselte Festplatten verschlüsselte Backups 6. Was bedeutet Integrität? Integrität bedeutet: Daten wurden nicht verändert. Man möchte erkennen können, ob eine Nachricht, Datei oder Übertragung manipuliert wurde. Beispiele für Techniken zur Integritätsprüfung: Hashfunktion digitale Signatur Prüfsumme Message Authentication Code 7. Was bedeutet Authentizität? Authentizität bedeutet: Die Identität ist echt. Die Leitfrage lautet: Bist du wirklich derjenige, für den du dich ausgibst? Beispiele: Login mit Benutzername und Passwort Zertifikat digitale Signatur Zwei-Faktor-Authentifizierung Shared Secret 8. Was ist symmetrische Verschlüsselung? Bei der symmetrischen Verschlüsselung verwenden Sender und Empfänger denselben geheimen Schlüssel. Alice verschlüsselt mit diesem Schlüssel. Bob entschlüsselt mit demselben Schlüssel. Merksatz: Symmetrisch = gleicher geheimer Schlüssel auf beiden Seiten. 9. Was ist der größte Vorteil symmetrischer Verschlüsselung? Der größte Vorteil ist die Geschwindigkeit. Symmetrische Verschlüsselung ist sehr schnell und eignet sich gut für große Datenmengen. Beispiele: Dateien Datenströme VPN-Datenverkehr HTTPS-Nutzdaten WLAN-Datenverkehr Festplattenverschlüsselung 10. Was ist der größte Nachteil symmetrischer Verschlüsselung? Der größte Nachteil ist die Schlüsselübergabe. Alice und Bob brauchen denselben geheimen Schlüssel. Die wichtige Frage lautet: Wie bekommt Bob den geheimen Schlüssel, ohne dass Eve ihn kopieren kann? 11. Was passiert, wenn Eve den symmetrischen Schlüssel bekommt? Wenn Eve den gemeinsamen geheimen Schlüssel besitzt, kann sie die verschlüsselten Nachrichten entschlüsseln. Dann ist die Sicherheit verloren. Merksatz: Der Schlüssel ist das eigentliche Geheimnis. 12. Warum ist symmetrische Verschlüsselung bei vielen Teilnehmern unpraktisch? Weil viele Teilnehmer viele gemeinsame Schlüssel benötigen. Bei Alice und Bob reicht ein Schlüssel. Bei vielen Benutzern müssen aber sehr viele sichere Schlüsselbeziehungen verwaltet werden. Das skaliert schlecht. 13. Was ist asymmetrische Verschlüsselung? Bei der asymmetrischen Verschlüsselung gibt es zwei verschiedene Schlüssel: öffentlicher Schlüssel privater Schlüssel Der öffentliche Schlüssel darf verteilt werden. Der private Schlüssel bleibt geheim. Merksatz: Asymmetrisch = öffentlicher + privater Schlüssel. 14. Wer erzeugt bei asymmetrischer Verschlüsselung das Schlüsselpaar? Der Empfänger erzeugt das Schlüsselpaar, wenn er verschlüsselte Nachrichten empfangen möchte. Beispiel: Bob möchte geheime Nachrichten empfangen. Also erzeugt Bob einen öffentlichen und einen privaten Schlüssel. 15. Welchen Schlüssel nutzt Alice, wenn sie Bob eine geheime Nachricht senden möchte? Alice nutzt Bobs öffentlichen Schlüssel. Nur Bob kann die Nachricht anschließend mit seinem privaten Schlüssel entschlüsseln. Merksatz: Geheim an Bob senden = Bobs öffentlichen Schlüssel verwenden. 16. Welchen Schlüssel nutzt Bob zum Entschlüsseln? Bob nutzt seinen privaten Schlüssel. Der private Schlüssel darf nicht weitergegeben werden. Wenn der private Schlüssel gestohlen wird, ist die Sicherheit gefährdet. 17. Warum darf der öffentliche Schlüssel öffentlich sein? Der öffentliche Schlüssel ist dafür gedacht, verteilt zu werden. Auch Eve darf ihn sehen. Mit dem öffentlichen Schlüssel allein kann Eve aber nicht entschlüsseln. Geheim bleiben muss der private Schlüssel. 18. Was ist der Vorteil asymmetrischer Verschlüsselung? Der Vorteil ist, dass kein gemeinsamer geheimer Schlüssel vorher sicher übertragen werden muss. Der öffentliche Schlüssel darf offen verteilt werden. Dadurch hilft asymmetrische Verschlüsselung beim Problem der Schlüsselübergabe. 19. Was ist der Nachteil asymmetrischer Verschlüsselung? Asymmetrische Verschlüsselung ist langsamer und rechenaufwendiger als symmetrische Verschlüsselung. Deshalb verschlüsselt man große Datenmengen in der Praxis meistens nicht komplett asymmetrisch. 20. Was ist hybride Verschlüsselung? Hybride Verschlüsselung kombiniert asymmetrische und symmetrische Verschlüsselung. Asymmetrisch wird für den sicheren Schlüsselaustausch genutzt. Symmetrisch wird für die schnelle Verschlüsselung der Nutzdaten genutzt. Merksatz: Hybrid = asymmetrisch für den Schlüssel, symmetrisch für die Daten. 21. Warum nutzt man hybride Verschlüsselung? Man nutzt hybride Verschlüsselung, weil beide Verfahren unterschiedliche Vorteile haben. Symmetrisch: schnell gut für große Datenmengen Problem: Schlüsselübergabe Asymmetrisch: löst Schlüsselübergabe aber langsamer Hybrid kombiniert beide Vorteile. 22. Was wird bei hybrider Verschlüsselung asymmetrisch verschlüsselt? Der symmetrische Sitzungsschlüssel wird asymmetrisch geschützt oder übertragen. Die eigentlichen Nutzdaten werden danach symmetrisch verschlüsselt. 23. Was wird bei hybrider Verschlüsselung symmetrisch verschlüsselt? Die eigentlichen Nutzdaten werden symmetrisch verschlüsselt. Beispiele: Dateien Webseiteninhalte VPN-Daten Login-Daten innerhalb einer sicheren Verbindung 24. Was ist ein Sitzungsschlüssel? Ein Sitzungsschlüssel ist ein symmetrischer Schlüssel für eine bestimmte Verbindung oder Sitzung. Er sollte: zufällig erzeugt werden nur für diese Sitzung gelten geheim bleiben nach der Nutzung verworfen werden 25. Wo wird hybride Verschlüsselung praktisch genutzt? Hybride Verschlüsselung wird zum Beispiel genutzt bei: HTTPS TLS VPN sicherer Datenübertragung im Internet sicherer E-Mail-Kommunikation 26. Was ist eine digitale Signatur? Eine digitale Signatur ist ein Verfahren, mit dem geprüft werden kann: ob der Absender echt ist ob die Daten unverändert sind Eine digitale Signatur dient hauptsächlich Authentizität und Integrität. 27. Bietet eine digitale Signatur automatisch Vertraulichkeit? Nein. Eine digitale Signatur macht den Inhalt nicht automatisch geheim. Sie prüft vor allem: Absender-Echtheit Unverändertheit der Daten Für Vertraulichkeit braucht man Verschlüsselung. 28. Welchen Schlüssel nutzt der Absender zum Signieren? Der Absender nutzt seinen privaten Schlüssel. Beispiel: Bob signiert mit Bobs privatem Schlüssel. 29. Welchen Schlüssel nutzt der Empfänger zum Prüfen einer Signatur? Der Empfänger nutzt den öffentlichen Schlüssel des Absenders. Beispiel: Alice prüft Bobs Signatur mit Bobs öffentlichem Schlüssel. 30. Was ist der Unterschied zwischen Verschlüsselung und Signatur? Verschlüsselung schützt den Inhalt vor Mitlesen. Digitale Signatur prüft Absender und Unverändertheit. Vergleich: Verschlüsselung = Vertraulichkeit Signatur = Authentizität + Integrität 31. Was ist eine Hashfunktion? Eine Hashfunktion erzeugt aus Daten einen Prüfwert fester Länge. Dieser Prüfwert heißt Hash oder Hashwert. Ein Hash ist wie ein digitaler Fingerabdruck von Daten. 32. Ist ein Hash eine Verschlüsselung? Nein. Ein Hash ist keine Verschlüsselung. Ein Hash wird normalerweise nicht entschlüsselt. Stattdessen berechnet man den Hash neu und vergleicht ihn mit einem bekannten Hashwert. 33. Wozu dient ein Hash? Ein Hash dient vor allem zur Integritätsprüfung. Man kann damit erkennen, ob Daten verändert wurden. Beispiele: Datei prüfen Download prüfen Nachricht prüfen Grundlage für digitale Signaturen 34. Was passiert mit dem Hash, wenn sich eine Datei leicht ändert? Schon eine kleine Änderung an der Datei verändert den Hashwert stark. Beispiel: Hallo → a1b2c3d4... Halla → 9f8e7d6c... Merksatz: Kleine Änderung an den Daten = großer Unterschied beim Hash. 35. Was ist ein Zertifikat? Ein Zertifikat ist ein digitaler Nachweis. Es verbindet eine Identität mit einem öffentlichen Schlüssel. Beispiel: Ein Zertifikat kann bestätigen, dass ein öffentlicher Schlüssel wirklich zu www.beispiel.de gehört. 36. Wozu braucht man Zertifikate? Zertifikate helfen dabei, die Identität zu prüfen. Sie beantworten zum Beispiel die Frage: Gehört dieser öffentliche Schlüssel wirklich zu dieser Webseite oder Person? Typische Nutzung: HTTPS TLS VPN digitale Signaturen sichere Serveridentifikation 37. Welches Sicherheitsziel passt besonders zu Zertifikaten? Zertifikate gehören besonders zur Authentizität. Sie helfen zu prüfen, ob eine Identität echt ist. Merksatz: Zertifikat = Identität + öffentlicher Schlüssel. 38. Was ist Diffie-Hellman? Diffie-Hellman ist ein Verfahren zum Schlüsselaustausch. Alice und Bob können damit über ein unsicheres Netzwerk ein gemeinsames Geheimnis erzeugen, ohne dieses Geheimnis direkt zu übertragen. 39. Verschlüsselt Diffie-Hellman direkt große Datenmengen? Nein. Diffie-Hellman dient dem Schlüsselaustausch. Die eigentlichen Daten werden danach meistens symmetrisch verschlüsselt. Merksatz: Diffie-Hellman = Schlüsselaustausch, nicht Nutzdatenverschlüsselung. 40. Was sieht Eve bei Diffie-Hellman? Eve kann öffentliche Austauschwerte sehen. Eve sieht aber nicht: Alices privaten Anteil Bobs privaten Anteil den fertigen Sitzungsschlüssel Dadurch kann Eve den gemeinsamen Schlüssel nicht einfach berechnen. 41. Was bedeutet Perfect Forward Secrecy? Perfect Forward Secrecy bedeutet: Alte Sitzungen sollen besser geschützt bleiben, auch wenn später ein langfristiger privater Schlüssel kompromittiert wird. Merksatz: PFS schützt alte Sitzungen besser. 42. Was bedeutet ephemeral? Ephemeral bedeutet kurzlebig. Im Zusammenhang mit Kryptografie bedeutet es: Schlüsselmaterial wird nur für eine bestimmte Sitzung genutzt und danach verworfen. Das hilft bei Perfect Forward Secrecy. 43. Was ist Brute Force? Brute Force bedeutet: Ein Angreifer probiert systematisch viele Möglichkeiten aus, bis etwas passt. Beispiele: Passwörter ausprobieren PINs ausprobieren Schlüssel ausprobieren Hashes testen Merksatz: Brute Force = ausprobieren, bis es passt. 44. Was schützt gegen Brute Force? Gegen Brute Force helfen: lange Passwörter zufällige Passwörter Passwortmanager Multi-Faktor-Authentifizierung Rate Limiting Account-Sperren starke Schlüssel moderne Algorithmen 45. Warum sind Zufallszahlen in der Kryptografie wichtig? Zufallszahlen sind wichtig, weil Schlüssel nicht vorhersehbar sein dürfen. Wenn ein Schlüssel aus schlechtem Zufall entsteht, kann er leichter erraten oder berechnet werden. Merksatz: Starker Algorithmus + schlechter Zufall = unsicheres System. 46. Was ist ein One-Time-Pad? Das One-Time-Pad ist ein besonderer Fall der Verschlüsselung. Es gilt theoretisch als nicht knackbar, wenn alle Bedingungen erfüllt sind. 47. Welche Bedingungen braucht ein sicheres One-Time-Pad? Ein sicheres One-Time-Pad braucht: Schlüssel ist wirklich zufällig Schlüssel ist mindestens so lang wie die Nachricht Schlüssel wird nur einmal verwendet Schlüssel bleibt geheim Schlüssel wird sicher übertragen Wenn eine Bedingung verletzt wird, ist die besondere Sicherheit nicht mehr gegeben. 48. Warum ist One-Time-Pad praktisch schwierig? Das größte Problem ist die Schlüsselverteilung. Der Schlüssel muss mindestens so lang wie die Nachricht sein und vorher sicher an den Empfänger übertragen werden. Das ist in der Praxis oft unpraktisch. 49. Was ist Steganographie? Steganographie bedeutet: Informationen werden in unauffälligen Daten versteckt. Das Ziel ist, zu verbergen, dass überhaupt eine geheime Nachricht existiert. Beispiel: Eine Nachricht wird in einem Bild versteckt. 50. Was ist der Unterschied zwischen Verschlüsselung und Steganographie? Verschlüsselung macht den Inhalt unlesbar. Steganographie versteckt die Existenz der Nachricht. Beste Kombination: Erst verschlüsseln, dann verstecken. Dann ist der Inhalt geschützt und zusätzlich unauffälliger. Abschluss-Spickzettel Thema Kurzantwort symmetrisch gleicher geheimer Schlüssel asymmetrisch öffentlicher + privater Schlüssel hybrid asymmetrisch für Schlüssel, symmetrisch für Daten Signatur Authentizität + Integrität Hash Integrität prüfen Zertifikat Identität + öffentlicher Schlüssel Diffie-Hellman Schlüsselaustausch PFS alte Sitzungen besser geschützt Brute Force systematisches Ausprobieren Zufallszahlen wichtig für sichere Schlüssel One-Time-Pad theoretisch sicher bei perfekten Bedingungen Steganographie Nachricht verstecken Vertraulichkeit nur Berechtigte können lesen Integrität Daten unverändert Authentizität Identität echt EXTRA: Reticulum Network Stack (RNS) im Vergleich zum OSI- und TCP/IP-Modell Hinweis: Diese Seite ist ein Zukunfts-/Zusatzthema und gehört nicht zum klassischen IHK-Grundlagenstoff. Sie dient nur als technischer Blick darauf, wie moderne, dezentrale Netzwerk-Stacks wie Reticulum anders aufgebaut sein können als klassische Internet-Kommunikation. 1. Grundidee Das klassische OSI-Modell erklärt Netzwerkkommunikation in 7 Schichten: Bitübertragungsschicht Sicherungsschicht Vermittlungsschicht Transportschicht Sitzungsschicht Darstellungsschicht Anwendungsschicht Das TCP/IP-Modell ist praxisnäher und beschreibt grob, wie das heutige Internet funktioniert: Netzzugang / Physical + Link Internet Layer Transport Layer Application Layer Das RNS-Modell von Reticulum denkt anders: Reticulum ist kein einzelnes Protokoll wie TCP, IP oder TLS, sondern ein eigener Netzwerk-Stack, bei dem Identität, Routing, Transport und Verschlüsselung eng miteinander verbunden sind. Reticulum kann über verschiedene darunterliegende Medien laufen, zum Beispiel: normales Internet TCP UDP WLAN Ethernet LoRa Packet Radio serielle Verbindungen I2P Das vorhandene Medium ist dabei nur der Transportweg. Die eigentliche Reticulum-Kommunikation läuft darüber als eigenes kryptografisches Netzwerk. 2. Vergleich: OSI-Modell, TCP/IP-Modell und RNS-Modell Bereich OSI-Modell TCP/IP-Modell RNS / Reticulum Anwendung Application Layer Application Layer Application Layer Extensions Darstellung Presentation Layer meist Teil der Anwendung in Reticulum-Anwendungen integriert Sitzung Session Layer meist Teil der Anwendung durch Reticulum-Links und Sitzungslogik abgedeckt Sicherheit im OSI-Modell keine eigene Pflichtschicht oft zusätzlich durch TLS, VPN oder App-Verschlüsselung fest in Reticulum eingebaut Transport Transport Layer, z. B. TCP/UDP Transport Layer, z. B. TCP/UDP Reticulum übernimmt eigene Transport-/Link-Logik Vermittlung / Routing Network Layer, z. B. IP Internet Layer, z. B. IP kryptografisch gestützte Ziele, Pfade und Transport Sicherung Data Link Layer Network Access / Link abhängig vom verwendeten Medium Physik Physical Layer Physical Layer / Network Access Physical Layer / beliebiges Trägermedium 3. Was ist bei RNS anders? Bei normalem Internetverkehr sieht der Ablauf stark vereinfacht so aus: Schritt Klassisches Internet 1 Eine Anwendung erzeugt Daten, z. B. Browser oder Messenger 2 TLS kann die Verbindung verschlüsseln 3 TCP sorgt für Transport und Reihenfolge 4 IP sorgt für Adressierung und Routing 5 Ethernet, WLAN oder Mobilfunk übertragen die Daten physisch Bei Reticulum sieht die Denkweise anders aus: Schritt Reticulum / RNS 1 Eine Reticulum-Anwendung erzeugt Daten 2 Reticulum adressiert nicht klassisch nur über IP-Adressen, sondern über kryptografische Ziele 3 Reticulum verschlüsselt Inhalte standardmäßig Ende-zu-Ende 4 Reticulum kann temporäre Schlüssel pro Paket oder pro Link verwenden 5 Reticulum verpackt seine Daten in ein verfügbares Trägermedium 6 Dieses Trägermedium kann TCP, UDP, LoRa, Funk, seriell oder etwas anderes sein 4. Gegenüberstellung: Wie wird es bei RNS gemacht? Aufgabe Klassisch im OSI-/TCP/IP-Modell Bei RNS / Reticulum Adresse finden IP-Adresse, DNS, Routingtabellen kryptografische Identitäten und Destinations Daten transportieren TCP oder UDP Reticulum-Pakete, Links und Transportlogik Verbindung absichern häufig TLS, VPN, IPsec oder App-Verschlüsselung Verschlüsselung ist direkt Teil des Reticulum-Stacks Identität prüfen Zertifikate, DNS, CA, Login-Systeme kryptografische Identität des Ziels Daten über Internet senden IP-Paket über Router Reticulum-Paket wird in TCP/UDP/IP eingepackt Daten über Funk senden meist Spezialprotokoll nötig Reticulum kann auch über LoRa, Packet Radio oder serielle Interfaces laufen Zwischenstationen Router sehen IP-Adressen und leiten weiter Reticulum-Knoten leiten Pakete weiter, ohne den Inhalt lesen zu können Anwendungsschicht HTTP, SMTP, DNS, Messenger-Protokolle Reticulum-Anwendungen oder Erweiterungen, z. B. Messaging über LXMF Verschlüsselung oft Zusatzschicht über TCP/IP eingebauter Bestandteil des Netzwerks Abhängigkeit vom Internet meist stark abhängig von IP-Infrastruktur kann IP nutzen, ist aber nicht grundsätzlich davon abhängig 5. Erklärung anhand der Grafik Die Grafik vergleicht drei Modelle: Modell Bedeutung OSI-Modell theoretisches 7-Schichten-Modell zur Erklärung von Netzwerkkommunikation TCP/IP-Modell praxisnahes Modell des heutigen Internets RNS-Modell Reticulum Network Stack als kryptografiebasierter Netzwerk-Stack Im OSI-Modell sind die Aufgaben stark aufgeteilt: Anwendung Darstellung Sitzung Transport Netzwerk Sicherung Physik Im TCP/IP-Modell werden mehrere OSI-Schichten zusammengefasst: Anwendung Transport Netzwerk Physik/Link Im RNS-Modell wird vieles noch stärker zusammengeführt: Application Layer Extensions Secure Extensible Application Layer Physical Layer Das bedeutet: Reticulum legt sehr viele Funktionen, die sonst auf mehrere Schichten verteilt sind, in eine sichere und erweiterbare Reticulum-Schicht. Diese Reticulum-Schicht übernimmt dann unter anderem: kryptografische Identität sichere Ziele Paketverschlüsselung Link-Aufbau Weiterleitung über mehrere Knoten Transport über unterschiedliche Medien Nutzung von TCP/UDP/IP als möglicher Träger Nutzung von Funk, LoRa oder seriellen Verbindungen als möglicher Träger 6. Beispiel: Reticulum über normales Internet Reticulum kann über das bestehende Internet laufen. Dabei wird nicht das normale IP-Paketformat verändert. Stattdessen wird ein Reticulum-Paket in ein normales TCP- oder UDP-Paket eingepackt. Zusatz: Welche Rolle spielt DNS bei Reticulum? Wenn Reticulum über das normale Internet läuft, kann DNS trotzdem vorkommen. DNS ist dann aber nicht dafür zuständig, den eigentlichen Reticulum-Empfänger zu finden. DNS macht nur das, was DNS im klassischen Internet immer macht: Domainname ↓ IP-Adresse Beispiel: reticulum-node.example.org ↓ 203.0.113.10 Damit findet der Rechner zunächst nur einen bekannten Reticulum-Knoten im normalen Internet. Der eigentliche Reticulum-Weg sieht vereinfacht so aus: Alice / Reticulum-App ↓ DNS löst eventuell einen Einstiegsknoten auf ↓ normales Internet bringt das Paket zu diesem Reticulum-Knoten ↓ ab dort übernimmt Reticulum selbst ↓ Reticulum sucht das Ziel über Destinations und Announcements ↓ Paket wird über Reticulum-Knoten weitergeleitet ↓ Bob / Reticulum-Ziel empfängt und entschlüsselt Wichtig ist also: DNS kennt höchstens den Einstiegspunkt ins Reticulum-Netz, aber nicht automatisch den endgültigen Reticulum-Empfänger. Der normale Internet-Router sieht nur: IP A sendet TCP-/UDP-Daten an IP B Er sieht aber nicht: Dieses Reticulum-Paket ist für Bob. Das ist Bobs Reticulum-Destination. Das ist der Inhalt der Nachricht. Reticulum selbst arbeitet nicht hauptsächlich mit Domains oder klassischen IP-Zieladressen, sondern mit kryptografischen Zielen, sogenannten Destinations . Vereinfacht: Aufgabe Klassisches Internet Reticulum Namen auflösen DNS macht aus Domain eine IP-Adresse DNS höchstens für Einstiegsknoten nötig Ziel finden IP-Adresse / Domain Reticulum-Destination Weiterleitung IP-Router leiten anhand der Ziel-IP weiter Reticulum-Knoten leiten anhand bekannter Pfade zu Destinations weiter Herkunft im Paket IP-Pakete enthalten normalerweise eine Quell-IP Reticulum-Pakete enthalten keine klassische Quelladresse Inhalt lesen nur geschützt, wenn z. B. TLS genutzt wird Reticulum-Inhalt ist Ende-zu-Ende verschlüsselt Reticulum-Knoten lernen erreichbare Ziele über sogenannte Announcements . Wenn ein Ziel im Reticulum-Netz angekündigt wird, merken sich andere Reticulum-Knoten, über welchen Nachbarn dieses Ziel erreichbar ist. Später können sie Pakete in diese Richtung weiterleiten. Merksatz: DNS bringt dich bei Reticulum über das Internet höchstens bis zu einem bekannten Reticulum-Knoten. Danach übernimmt Reticulum selbst mit kryptografischen Destinations, Announcements und eigener Weiterleitung. Normale Internet-Router transportieren dabei nur TCP-/UDP-/IP-Pakete, verstehen aber den Reticulum-Inhalt nicht. Ablauf: Schritt Beschreibung 1 Eine Reticulum-Anwendung erstellt eine Nachricht 2 Reticulum verschlüsselt die Nachricht 3 Reticulum erzeugt ein eigenes Reticulum-Paket 4 Dieses Paket wird in TCP oder UDP eingepackt 5 TCP/UDP läuft wie gewohnt über IP 6 Normale Router leiten das Paket weiter 7 Der Empfänger entpackt das Reticulum-Paket 8 Reticulum entschlüsselt die Nachricht beim richtigen Empfänger Vereinfacht: Reticulum-Nachricht ↓ Reticulum-Verschlüsselung ↓ Reticulum-Paket ↓ TCP/UDP-Paket ↓ IP-Paket ↓ Internet ↓ Empfänger entschlüsselt Reticulum-Nachricht 7. Warum braucht RNS nicht zwingend IP? Im klassischen Internet ist IP die zentrale Vermittlungsschicht. Bei Reticulum ist das anders: Reticulum kann IP benutzen, muss es aber nicht. Das heißt: Situation Reticulum-Nutzung normales Heimnetz Reticulum kann über TCP/UDP/IP laufen Internet Reticulum kann über TCP/UDP/IP getunnelt werden LoRa-Funk Reticulum kann direkt über LoRa laufen Packet Radio Reticulum kann über Funkmodems laufen serielle Verbindung Reticulum kann über serielle Schnittstellen laufen I2P Reticulum kann über ein anonymisierendes Overlay laufen Deshalb ist Reticulum besonders interessant für Netze, die nicht immer wie normales Internet funktionieren. Zum Beispiel: Notfallkommunikation Mesh-Netze Funknetze LoRa-Kommunikation dezentrale Kommunikation Kommunikation mit sehr niedriger Bandbreite Kommunikation bei hoher Latenz Netze ohne zentrale Infrastruktur 8. Was bedeutet „Secure Extensible Application Layer“? In der Grafik ist beim RNS-Modell eine große grüne Schicht zu sehen: Secure Extensible Application Layer Das bedeutet vereinfacht: Reticulum stellt eine sichere, erweiterbare Kommunikationsschicht bereit, auf der Anwendungen aufbauen können. Diese Schicht ersetzt nicht einfach nur eine einzelne OSI-Schicht. Sie übernimmt mehrere Aufgaben gleichzeitig. Klassische Aufgabe Bei RNS ungefähr enthalten in Adressierung Secure Extensible Application Layer Routing / Weiterleitung Secure Extensible Application Layer Verschlüsselung Secure Extensible Application Layer Sitzungs-/Link-Aufbau Secure Extensible Application Layer Pakettransport Secure Extensible Application Layer Anwendungserweiterungen Application Layer Extensions Dadurch wirkt RNS im Vergleich zum OSI-Modell viel kompakter. 9. Wichtiger Unterschied zu TLS/HTTPS TLS/HTTPS funktioniert normalerweise so: Ebene Klassisches HTTPS Anwendung Browser / Webserver Sicherheit TLS Transport TCP Netzwerk IP Physik Ethernet, WLAN, Mobilfunk Reticulum funktioniert eher so: Ebene Reticulum Anwendung Reticulum-App Sicherheit direkt in Reticulum Transportlogik direkt in Reticulum Routing/Ziele direkt in Reticulum Trägermedium TCP, UDP, LoRa, Funk, seriell, WLAN usw. Merksatz: TLS schützt eine bestehende TCP/IP-Verbindung. Reticulum baut ein eigenes kryptografisches Netzwerk, das TCP/IP nur als eine mögliche Transportmöglichkeit verwenden kann. 10. Kurze Lernzusammenfassung Reticulum / RNS unterscheidet sich vom OSI- und TCP/IP-Modell vor allem dadurch, dass es nicht einfach eine weitere Verschlüsselungsschicht über das Internet legt. Stattdessen ist Reticulum ein eigener Netzwerk-Stack. Er verbindet: Identität Adressierung Verschlüsselung Transport Routing Anwendungserweiterungen in einem kryptografisch aufgebauten System. Das normale Internet kann dabei weiterhin benutzt werden, ist aber nur ein möglicher Transportweg. Reticulum kann deshalb über TCP/UDP/IP laufen, aber auch über LoRa, Funk, serielle Verbindungen oder andere Medien. 11. Merksatz Das OSI-Modell trennt Netzwerkkommunikation in viele einzelne Schichten. TCP/IP setzt diese Idee praxisnah für das Internet um. RNS/Reticulum geht einen anderen Weg: Es baut ein eigenes kryptografisches Netzwerk, in dem Sicherheit, Identität, Routing und Transport direkt zusammengehören. Das darunterliegende Medium kann normales Internet sein, muss es aber nicht. 12. Mini-Vergleich für den Kopf Frage OSI / TCP/IP RNS / Reticulum Braucht es IP? meistens ja nein, aber IP kann genutzt werden Ist Verschlüsselung automatisch Teil des Modells? nein, meist Zusatz wie TLS/VPN ja, zentraler Bestandteil Für normales Web geeignet? ja nicht als direkter Ersatz für normales Web gedacht Für Mesh/Funk/LoRa geeignet? nur mit Zusatzlösungen genau dafür interessant Müssen Router Reticulum verstehen? nur Reticulum-Knoten müssen es verstehen normale IP-Router leiten nur TCP/UDP weiter Können Zwischenstationen Inhalte lesen? abhängig von Verschlüsselung bei verschlüsselter Reticulum-Kommunikation nein Hauptidee standardisierte Schichten kryptografisches dezentrales Netzwerk 13. Abschluss-Merksatz Reticulum kann das bestehende Internet als Transportweg nutzen, ersetzt es aber nicht einfach. Das klassische Internet bleibt für Web, Browser, Streaming, Cloud und Apps praktischer. Reticulum ist dagegen besonders stark bei dezentraler, sicherer und robuster Kommunikation – vor allem bei Mesh, Funk, LoRa, hoher Latenz, wenig Bandbreite und autonomen Netzen. Quellen / weiterführende Links Reticulum Manual: https://reticulum.network/manual/ What is Reticulum?: https://reticulum.network/manual/whatis.html Understanding Reticulum: https://reticulum.network/manual/understanding.html Cryptographic Primitives: https://reticulum.network/crypto.html GitHub-Projekt: https://github.com/markqvist/Reticulum 14. VPN, Intranet und Extranet 14.1 VPN, Intranet und Extranet VPN, Intranet und Extranet beschreiben verschiedene Möglichkeiten, wie Benutzer und Systeme auf interne oder geschützte Ressourcen zugreifen können. Diese Begriffe hängen eng zusammen, werden aber nicht gleich verwendet. Grundidee: Intranet: internes Netzwerk einer Organisation Extranet: kontrollierter Zugriff für externe Partner VPN: verschlüsselter Tunnel für Zugriff über ein unsicheres Netz Merksatz: Intranet ist intern. Extranet ist kontrolliert extern erweitert. VPN ist ein sicherer Tunnel. Warum ist dieses Kapitel wichtig? In Unternehmen arbeiten Benutzer nicht immer direkt im Firmennetz. Beispiele: - Homeoffice - Außendienst - externe Dienstleister - Partnerunternehmen - mehrere Standorte - Cloud-Dienste - mobile Geräte - Fernwartung - Zugriff auf interne Anwendungen Dafür braucht man sichere Zugriffskonzepte. Merksatz: Moderne Netzwerke enden nicht mehr nur am Bürogebäude. Intranet Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation. Es ist normalerweise nur für berechtigte interne Benutzer erreichbar. Typische Inhalte: - interne Webseiten - Dokumentationen - Mitarbeiterinformationen - interne Anwendungen - Ticketsystem - Zeiterfassung - Dateifreigaben - interne Wikis - interne Portale Merksatz: Intranet = internes Netz oder internes Portal für die Organisation. Intranet ist nicht automatisch das Internet Das Internet ist öffentlich. Das Intranet ist intern. Beispiel: Internet: öffentlich erreichbare Webseite einer Firma Intranet: internes Mitarbeiterportal derselben Firma Ein Intranet kann Webtechnik nutzen, ist aber nicht automatisch öffentlich erreichbar. Merksatz: Intranet nutzt oft Internet-Technik, ist aber intern beschränkt. Typische Intranet-Dienste Typische Dienste im Intranet: Dienst Beispiel internes Wiki Dokumentation Dateiablage SMB, SharePoint, Nextcloud interne Webanwendung Zeiterfassung Ticketsystem Helpdesk Monitoring Systemstatus Telefonbuch Mitarbeiterdaten Authentifizierung AD, LDAP, SSO interne APIs Anwendungskommunikation Merksatz: Intranet enthält interne Dienste, die nicht öffentlich sein sollen. Schutzbedarf im Intranet Auch interne Dienste brauchen Schutz. Warum? Nicht jeder interne Benutzer darf alles sehen. Ein kompromittierter Client kann Schaden verursachen. Gastgeräte dürfen nicht auf interne Systeme. IoT-Geräte sind nicht automatisch vertrauenswürdig. Malware kann sich intern ausbreiten. Merksatz: Intern heißt nicht automatisch sicher. Extranet Ein Extranet erweitert das Intranet kontrolliert für externe Parteien. Externe Parteien können sein: - Kunden - Lieferanten - Partnerunternehmen - Dienstleister - externe Techniker - Projektpartner Dabei erhalten sie nur Zugriff auf ausgewählte Ressourcen. Merksatz: Extranet = kontrollierter Zugriff für externe Berechtigte. Beispiel für ein Extranet Ein Unternehmen stellt einem Lieferanten ein Portal bereit. Der Lieferant darf dort: Bestellungen einsehen Liefertermine bestätigen Dokumente hochladen Rechnungen abrufen Der Lieferant darf aber nicht: interne Personalakten sehen interne Server verwalten alle Kundendaten abrufen auf das gesamte LAN zugreifen Merksatz: Extranet gibt gezielten Zugriff, nicht vollständigen internen Zugriff. Intranet und Extranet vergleichen Begriff Zugriff Zielgruppe Intranet intern Mitarbeitende und interne Systeme Extranet kontrolliert extern Partner, Kunden, Lieferanten Internet öffentlich grundsätzlich jeder VPN Tunnelzugriff berechtigte entfernte Benutzer oder Standorte Merksatz: Intranet intern, Extranet ausgewählt extern, Internet öffentlich. VPN VPN steht für: Virtual Private Network Ein VPN baut über ein unsicheres oder fremdes Netz einen geschützten Tunnel auf. Beispiel: Benutzer im Homeoffice → Internet → VPN-Tunnel → Firmennetz Der Verkehr wird dabei verschlüsselt übertragen. Merksatz: VPN verbindet entfernte Teilnehmer sicher mit einem Netzwerk. Warum nutzt man VPN? VPN wird genutzt, wenn sichere Kommunikation über unsichere Netze benötigt wird. Typische Gründe: - Homeoffice-Zugriff - Standortvernetzung - Fernwartung - Zugriff auf interne Server - verschlüsselte Verbindung über Internet - Schutz in öffentlichen Netzen - Zugriff auf interne Anwendungen - sichere Administration Merksatz: VPN schützt den Übertragungsweg durch einen verschlüsselten Tunnel. VPN-Tunnel Ein VPN-Tunnel ist eine logische verschlüsselte Verbindung. Die Daten werden eingepackt, verschlüsselt und über ein anderes Netz transportiert. Man spricht dabei oft von: Tunneling Merksatz: VPN-Tunnel transportiert geschützte Daten durch ein fremdes Netz. Tunneling einfach erklärt Beim Tunneling wird ein Paket in ein anderes Paket verpackt. Vereinfacht: internes Paket wird verschlüsselt und in äußeres Transportpaket eingepackt Das äußere Paket wird über das Internet übertragen. Am Ziel wird es wieder ausgepackt. Merksatz: Tunneling bedeutet: ein Paket wird durch ein anderes Netz getragen. Verschlüsselung beim VPN VPNs nutzen Verschlüsselung, damit Dritte den Inhalt nicht mitlesen können. Geschützt werden soll: - Dateninhalt - Zugangsdaten - interne Kommunikation - Dateiübertragungen - Administrationszugriffe - Anwendungsdaten Wichtig: Ein VPN schützt den Tunnel, aber nicht automatisch jedes Zielsystem. Merksatz: VPN verschlüsselt den Transportweg, ersetzt aber keine Zugriffskontrolle. Authentifizierung beim VPN Vor dem VPN-Zugriff muss geprüft werden, wer sich verbindet. Mögliche Verfahren: - Benutzername und Passwort - Zertifikat - MFA - Token - Smartcard - Geräteprüfung - SSO - Gruppenmitgliedschaft Merksatz: VPN braucht starke Authentifizierung. Autorisierung beim VPN Nach erfolgreicher Anmeldung muss geprüft werden, was der Benutzer darf. Beispiele: Support darf auf bestimmte Server. Externe Dienstleister dürfen nur auf Wartungssysteme. Mitarbeitende dürfen auf interne Anwendungen. Admins dürfen ins Managementnetz. Merksatz: VPN verbunden heißt nicht automatisch: Zugriff auf alles erlaubt. Remote-Access-VPN Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz. Beispiele: Homeoffice Außendienst Notebook unterwegs Administrator von extern mobiler Benutzer Ablauf: Benutzer startet VPN-Client. Benutzer authentifiziert sich. VPN-Tunnel wird aufgebaut. Benutzer erhält Zugriff auf erlaubte interne Ressourcen. Merksatz: Remote-Access-VPN verbindet einzelne Benutzer. Site-to-Site-VPN Site-to-Site-VPN verbindet ganze Standorte miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netzwerk zwei Firewalls miteinander Dabei baut nicht jeder Benutzer einzeln einen VPN-Client auf. Die Gateways verbinden die Netze. Merksatz: Site-to-Site-VPN verbindet Netzwerke. Remote-Access und Site-to-Site vergleichen Merkmal Remote-Access-VPN Site-to-Site-VPN verbindet einzelner Benutzer ganze Netze typischer Einsatz Homeoffice Standortvernetzung Client nötig meistens ja auf Endgerät meist nein Endpunkt Benutzergerät zu Gateway Gateway zu Gateway Zugriff benutzerbezogen netzbezogen Merksatz: Remote-Access = Benutzer. Site-to-Site = Standort. VPN-Gateway Ein VPN-Gateway ist der zentrale Gegenpunkt für VPN-Verbindungen. Es kann sein: - Firewall - Router - VPN-Appliance - Cloud-Gateway - Server - Zero-Trust-Gateway Aufgaben: VPN-Verbindungen annehmen Benutzer prüfen Tunnel aufbauen Verschlüsselung aushandeln Routen verteilen Zugriff kontrollieren Merksatz: VPN-Gateway ist der Zugangspunkt zum geschützten Netz. VPN-Client Der VPN-Client läuft auf dem Endgerät des Benutzers. Beispiele: Notebook Smartphone Tablet Admin-PC Aufgaben: Verbindung zum VPN-Gateway aufbauen Benutzer anmelden Tunnel erzeugen Routen setzen DNS übernehmen Verkehr durch Tunnel leiten Merksatz: VPN-Client baut den Tunnel vom Endgerät aus auf. VPN-Protokolle Häufige VPN-Techniken und Protokolle: - IPsec - IKEv2 - SSL-VPN / TLS-VPN - OpenVPN - WireGuard - L2TP/IPsec Je nach Umgebung unterscheiden sich: Sicherheit Geschwindigkeit Einrichtung Portnutzung Betriebssystemunterstützung Firewall-Freundlichkeit Merksatz: VPN ist ein Oberbegriff, dahinter können verschiedene Protokolle stehen. IPsec IPsec ist eine Protokollfamilie zur sicheren Kommunikation auf IP-Ebene. IPsec kann genutzt werden für: - Site-to-Site-VPN - Remote-Access-VPN - verschlüsselte Kommunikation zwischen Netzen IPsec arbeitet besonders nah an Schicht 3. Merksatz: IPsec schützt IP-Kommunikation. IKE IKE steht für: Internet Key Exchange IKE dient dazu, bei IPsec die Sicherheitsparameter und Schlüssel auszuhandeln. IKEv2 ist eine moderne Version. Merksatz: IKE handelt Schlüssel und Sicherheitsparameter für IPsec aus. SSL-VPN / TLS-VPN SSL-VPN ist ein älterer Begriff. Fachlich geht es meist um TLS-VPN. Dabei wird TLS genutzt, ähnlich wie bei HTTPS. Vorteile: oft firewallfreundlich häufig über TCP 443 möglich gut für Remote-Zugriff teilweise browserbasiert oder clientbasiert Merksatz: SSL-VPN meint meist TLS-basiertes VPN. OpenVPN OpenVPN ist eine verbreitete VPN-Lösung. Eigenschaften: nutzt TLS kann TCP oder UDP verwenden flexibel konfigurierbar oft für Remote-Access und Site-to-Site nutzbar benötigt meist Clientsoftware Merksatz: OpenVPN ist flexibel und TLS-basiert. WireGuard WireGuard ist ein modernes VPN-Protokoll. Eigenschaften: schlank schnell vergleichsweise einfache Konfiguration nutzt moderne Kryptografie arbeitet meist über UDP Wichtig: Sicherheit hängt trotzdem von richtiger Schlüsselverwaltung, Routen Firewall-Regeln und Zugriffskonzept ab. Merksatz: WireGuard ist modernes, schlankes VPN über UDP. L2TP/IPsec L2TP steht für: Layer 2 Tunneling Protocol L2TP selbst verschlüsselt nicht stark genug, deshalb wird es häufig mit IPsec kombiniert. Merksatz: L2TP wird für Sicherheit typischerweise mit IPsec kombiniert. Split Tunneling Split Tunneling bedeutet: Nur bestimmter Verkehr geht durch den VPN-Tunnel. Anderer Verkehr, zum Beispiel normales Internet, geht direkt über den lokalen Anschluss. Beispiel: Zugriff auf Firmennetz: durch VPN YouTube oder private Webseiten: direkt über lokalen Internetanschluss Merksatz: Split Tunneling leitet nur ausgewählten Verkehr durch VPN. Full Tunnel Full Tunnel bedeutet: Der gesamte Verkehr des Clients läuft durch den VPN-Tunnel. Auch Internetzugriffe gehen zuerst ins Firmennetz und von dort weiter ins Internet. Vorteile: zentrale Kontrolle zentrale Filterung einheitliche Sicherheitsrichtlinien Nachteile: mehr Last auf VPN und Internetanschluss der Firma höhere Latenz mehr Bandbreitenbedarf Merksatz: Full Tunnel leitet den gesamten Clientverkehr durch VPN. Split Tunnel und Full Tunnel vergleichen Merkmal Split Tunnel Full Tunnel Internetverkehr direkt lokal durch Firma Last auf VPN geringer höher zentrale Kontrolle geringer höher Latenz oft niedriger oft höher Sicherheitspolitik schwieriger einheitlich zentraler steuerbar Merksatz: Split Tunnel spart Last. Full Tunnel bietet mehr zentrale Kontrolle. VPN-Routing Damit ein VPN funktioniert, müssen passende Routen vorhanden sein. Der Client muss wissen: Welche Netze sind über VPN erreichbar? Beispiele: 192.168.10.0/24 über VPN 10.10.0.0/16 über VPN nur bestimmte Server über VPN Fehlt eine Route, geht der Verkehr nicht durch den Tunnel. Merksatz: VPN braucht passende Routen. VPN-DNS VPN-Benutzer müssen oft interne Namen auflösen können. Beispiele: intranet.firma.local fileserver.firma.local wiki.intern dc01.firma.local Dafür kann der VPN-Client interne DNS-Server bekommen. Typische Fehler: VPN verbunden, aber interne Namen lösen nicht auf. Merksatz: VPN braucht oft interne DNS-Einstellungen. Split DNS bei VPN Split DNS bedeutet: bestimmte Namen werden über interne DNS-Server aufgelöst, andere Namen über normale DNS-Server. Beispiel: firma.local → interner DNS über VPN öffentliche Webseiten → normaler DNS Merksatz: Split DNS sorgt dafür, dass interne Namen über VPN korrekt aufgelöst werden. VPN-Adresspool Ein VPN-Adresspool ist der IP-Adressbereich, aus dem VPN-Clients eine Adresse bekommen. Beispiel: VPN-Clients: 10.8.0.0/24 Wichtig: Der VPN-Adressbereich darf nicht mit bestehenden Netzen kollidieren. Problem: Wenn das Heimnetz des Benutzers denselben Bereich nutzt, kann Routing fehlschlagen. Merksatz: VPN-Adresspool muss eindeutig und konfliktfrei sein. Adresskonflikt bei VPN Ein häufiger Fehler: Heimnetz des Benutzers: 192.168.1.0/24 Firmennetz: 192.168.1.0/24 Dann weiß der Client nicht eindeutig, ob 192.168.1.50 lokal oder über VPN erreichbar ist. Folge: interne Server sind nicht erreichbar. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme. Firewall-Regeln für VPN VPN-Zugriff muss durch Firewall-Regeln gesteuert werden. Nicht gut: VPN → LAN any erlauben Besser: VPN-Gruppe Support → bestimmte Server TCP 3389 VPN-Gruppe Admin → Managementnetz SSH/RDP VPN-Gruppe Mitarbeiter → Intranet HTTPS VPN-Gruppe Dienstleister → nur Wartungssystem Merksatz: VPN-Zugriff nach Rolle und Bedarf begrenzen. VPN und Least Privilege Auch beim VPN gilt: nur notwendige Rechte erlauben. Ein VPN-Benutzer sollte nicht automatisch Zugriff auf das gesamte interne Netz erhalten. Warum? kompromittierter VPN-Client gestohlene Zugangsdaten Malware auf Heimgerät externe Dienstleister zu breite Angriffsfläche Merksatz: VPN ist Zugang, aber kein Freifahrtschein. VPN und MFA VPN-Zugänge sollten nach Möglichkeit mit MFA geschützt werden. Warum? Passwörter können gestohlen werden. Phishing kann Zugangsdaten abgreifen. Passwort-Wiederverwendung ist häufig. VPN-Zugang ist ein direkter Einstieg ins Netz. MFA erhöht die Sicherheit deutlich. Merksatz: VPN ohne MFA ist deutlich riskanter. VPN und Zertifikate VPNs können Zertifikate nutzen für: Serverauthentifizierung Clientauthentifizierung Gerätezulassung starke Identitätsprüfung Vorteil: nicht nur Passwort, sondern zusätzlich kryptografischer Nachweis. Wichtig: Zertifikate müssen verwaltet, erneuert und bei Verlust widerrufen werden. Merksatz: Zertifikate erhöhen VPN-Sicherheit, brauchen aber gutes Management. VPN und Gerätesicherheit Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. Deshalb ist wichtig: aktuelles Betriebssystem aktuelle Schutzsoftware Festplattenverschlüsselung Bildschirmsperre sichere Konfiguration kein kompromittiertes Gerät Gerätezertifikat oder Geräteprüfung Patchstand prüfen Merksatz: Unsicheres Endgerät plus VPN ist ein Risiko. VPN und öffentliche WLANs VPN kann in öffentlichen WLANs schützen, weil der Verkehr im Tunnel verschlüsselt wird. Aber: VPN schützt nicht vor allem. Weiterhin wichtig: HTTPS prüfen Phishing vermeiden Gerät aktuell halten keine fremden Zertifikate akzeptieren keine Warnungen ignorieren Merksatz: VPN hilft im öffentlichen WLAN, ersetzt aber kein sicheres Verhalten. VPN und Performance VPN kann die Leistung beeinflussen. Mögliche Ursachen: Verschlüsselungsaufwand längerer Weg zentrale Internetleitung Full Tunnel schwacher VPN-Gateway schlechte Clientverbindung MTU-Probleme Paketverlust hohe Latenz Merksatz: VPN kann sicher sein, aber Geschwindigkeit und Latenz beeinflussen. VPN und MTU VPN fügt zusätzliche Header hinzu. Dadurch kann die effektive Nutzlast kleiner werden. MTU-Probleme zeigen sich oft so: kleine Pakete funktionieren große Übertragungen hängen Webseiten laden teilweise VPN-Verbindung instabil RDP oder SSH bricht sporadisch ab Merksatz: Bei VPN-Problemen mit großen Daten an MTU denken. VPN und Logging VPN-Logs sind wichtig für Sicherheit und Fehlersuche. Sie zeigen: wer sich verbunden hat wann Verbindung aufgebaut wurde von welcher IP mit welchem Gerät ob MFA erfolgreich war welche VPN-IP vergeben wurde warum Verbindung getrennt wurde ob Fehler auftraten Merksatz: VPN-Zugriffe müssen nachvollziehbar sein. VPN und Monitoring VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Anzahl aktiver Verbindungen CPU-Auslastung RAM Bandbreite Tunnelstatus Fehlversuche Zertifikatsablauf Latenz Paketverlust Authentifizierungsfehler Merksatz: VPN ist kritische Infrastruktur und muss überwacht werden. Typische VPN-Fehler Häufige Fehler: - VPN baut nicht auf - Anmeldung schlägt fehl - MFA funktioniert nicht - Zertifikat ungültig - Client bekommt keine VPN-IP - Route fehlt - DNS fehlt - interne Dienste nicht erreichbar - nur manche Netze erreichbar - Adresskonflikt mit Heimnetz - Firewall blockiert - Split Tunnel falsch - Full Tunnel überlastet - MTU-Problem - Verbindung bricht ab Merksatz: VPN-Fehler können Authentifizierung, Routing, DNS, Firewall oder MTU betreffen. Fehlerbild: VPN verbindet nicht Mögliche Ursachen: - falscher Servername - Internetverbindung gestört - VPN-Gateway nicht erreichbar - falscher Port blockiert - Benutzername oder Passwort falsch - MFA schlägt fehl - Zertifikat ungültig - Clientversion inkompatibel - Konto gesperrt - Lizenz oder Berechtigung fehlt Merksatz: Wenn VPN nicht verbindet, zuerst Erreichbarkeit, Anmeldung und Zertifikate prüfen. Fehlerbild: VPN verbunden, aber kein interner Zugriff Mögliche Ursachen: - Route fehlt - DNS fehlt - Firewall-Regel fehlt - Benutzergruppe nicht berechtigt - falscher VPN-Adresspool - Adresskonflikt mit Heimnetz - Split Tunnel falsch - Zielsystem-Firewall blockiert - Rückweg fehlt Merksatz: VPN verbunden heißt nicht automatisch: interne Ressourcen erreichbar. Fehlerbild: Interne Namen gehen nicht Mögliche Ursachen: - interner DNS wird nicht verteilt - Split DNS falsch - DNS-Suffix fehlt - DNS-Anfragen gehen lokal statt durch VPN - interne Zone fehlt - Firewall blockiert DNS - falscher DNS-Server antwortet Merksatz: Bei VPN-Namensproblemen DNS und Split DNS prüfen. Fehlerbild: Nur manche internen Netze erreichbar Mögliche Ursachen: - Route für bestimmtes Netz fehlt - Firewall-Regel fehlt - Benutzergruppe darf nur bestimmte Netze - Rückroute fehlt - Zielnetz überschneidet sich mit lokalem Netz - ACL blockiert Merksatz: Teilweise Erreichbarkeit deutet oft auf Routing oder Berechtigung hin. Fehlerbild: VPN langsam Mögliche Ursachen: - Full Tunnel überlastet - hohe Latenz - schwache Internetleitung - VPN-Gateway ausgelastet - Paketverlust - MTU-Problem - WLAN instabil - Verschlüsselungsleistung begrenzt - zentraler Proxy langsam Merksatz: VPN-Langsamkeit mit Latenz, Paketverlust, MTU und Auslastung prüfen. Fehlerbild: VPN bricht ab Mögliche Ursachen: - instabile Internetverbindung - WLAN-Roaming - NAT-Timeout - Firewall-Timeout - Mobilfunkwechsel - Energiesparmodus - Clientproblem - Zertifikat oder Token läuft ab - Gateway überlastet - MTU-Problem Merksatz: VPN-Abbrüche brauchen Zeitbezug, Logs und Verbindungsmessung. VPN und Extranet unterscheiden Ein Extranet kann über VPN bereitgestellt werden, muss aber nicht. Beispiele: Extranet über Webportal: Partner meldet sich im Browser an. Extranet über VPN: Partner bekommt VPN-Zugang zu bestimmten Systemen. Wichtig: Extranet ist das Zugriffskonzept. VPN ist eine mögliche technische Umsetzung. Merksatz: Extranet beschreibt Zielgruppe und Zugriff. VPN beschreibt den Tunnel. Extranet-Sicherheit Extranet-Zugänge brauchen klare Begrenzung. Wichtig: - eigene Benutzerkonten - MFA - Rollen und Rechte - Protokollierung - Vertrags- und Zweckbindung - zeitliche Begrenzung - Zugriff nur auf benötigte Daten - keine gemeinsamen Konten - regelmäßige Prüfung - Sperrung nach Projektende Merksatz: Externe Zugänge müssen besonders sauber kontrolliert werden. Partnerzugriff Partnerzugriff sollte nicht ungefiltert ins interne Netz führen. Besser: Partnerportal API-Gateway Reverse Proxy dedizierte Extranet-Zone VPN mit begrenzten Regeln Bastion Host getrennte Benutzerrollen Merksatz: Partner nur auf das zugreifen lassen, was sie wirklich benötigen. Intranet über VPN Im Homeoffice greifen Benutzer oft per VPN auf das Intranet zu. Beispiel: Benutzer verbindet VPN. Danach öffnet er internes Wiki. DNS löst internen Namen auf. Firewall erlaubt VPN → Intranet HTTPS. Webserver prüft Anmeldung. Merksatz: Intranet-Zugriff über VPN braucht Tunnel, DNS, Firewall und Berechtigung. Intranet über Zero Trust Moderne Umgebungen nutzen teilweise Zero-Trust-Zugriffe statt klassischem Voll-VPN. Grundidee: Benutzer bekommt nicht Zugriff auf das ganze Netz, sondern nur auf einzelne Anwendungen. Prüfung: Identität Gerät Standort Risiko MFA Anwendung Richtlinie Merksatz: Zero Trust ersetzt oft breiten Netzwerkzugriff durch gezielten Anwendungszugriff. VPN und Zero Trust vergleichen Merkmal klassisches VPN Zero-Trust-Zugriff Zugriffsebene oft Netzwerkzugriff meist Anwendungszugriff Risiko breiter Zugriff möglich stärker begrenzter Zugriff Prüfung häufig beim Verbindungsaufbau kontinuierlicher und kontextbezogener Nutzung interne Netze einzelne Anwendungen Vorteil bewährt und flexibel feiner steuerbar Merksatz: VPN verbindet oft Netze. Zero Trust gibt gezielt Anwendungen frei. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VPN? - Wofür steht VPN? - Was ist ein VPN-Tunnel? - Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN? - Was ist ein VPN-Gateway? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum braucht VPN Routing? - Warum ist DNS bei VPN wichtig? - Warum können gleiche IP-Netze bei VPN Probleme verursachen? - Warum sollte VPN-Zugriff nicht automatisch das ganze LAN erlauben? - Warum ist MFA bei VPN sinnvoll? - Was ist ein Intranet? - Was ist ein Extranet? - Was ist der Unterschied zwischen Intranet, Extranet und Internet? - Warum ist ein Extranet besonders zu schützen? Typische Prüfungsfallen VPN bedeutet Virtual Private Network. VPN ist ein Tunnel, nicht automatisch ein komplettes Sicherheitskonzept. VPN schützt den Transportweg. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Berechtigungen. Remote-Access-VPN verbindet einzelne Benutzer. Site-to-Site-VPN verbindet Standorte oder Netze. Split Tunnel leitet nur ausgewählten Verkehr durch VPN. Full Tunnel leitet gesamten Verkehr durch VPN. VPN braucht passende Routen. VPN braucht oft interne DNS-Einstellungen. VPN verbunden heißt nicht: Zugriff auf alles erlaubt. Gleiche IP-Netze auf beiden Seiten erzeugen Routingprobleme. MFA erhöht VPN-Sicherheit. Externe Dienstleister nur begrenzt berechtigen. Intranet ist intern. Extranet ist kontrolliert für externe Berechtigte. Internet ist öffentlich. Extranet ist nicht automatisch VPN. VPN kann durch MTU-Probleme langsam oder instabil wirken. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung VPN Virtual Private Network VPN-Tunnel geschützte logische Verbindung Tunneling Einpacken von Daten in eine Tunnelverbindung Remote-Access-VPN VPN für einzelne Benutzer Site-to-Site-VPN VPN zwischen Netzwerken VPN-Gateway Gegenstelle für VPN-Verbindungen VPN-Client Software oder Gerät des Benutzers IPsec VPN-Technik auf IP-Ebene IKE Schlüsselaushandlung bei IPsec TLS-VPN VPN auf Basis von TLS OpenVPN verbreitete TLS-basierte VPN-Lösung WireGuard modernes schlankes VPN-Protokoll Split Tunnel nur ausgewählter Verkehr durch VPN Full Tunnel gesamter Verkehr durch VPN VPN-Adresspool IP-Bereich für VPN-Clients Split DNS getrennte DNS-Auflösung je nach Ziel Intranet internes Netzwerk oder internes Portal Extranet kontrollierter Zugriff für externe Berechtigte MFA Multi-Faktor-Authentifizierung Least Privilege nur notwendige Rechte Zero Trust kein automatisches Vertrauen IHK-sichere Kurzformulierung Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es wird genutzt, um einzelne Benutzer per Remote-Access-VPN oder ganze Standorte per Site-to-Site-VPN sicher mit internen Ressourcen zu verbinden. Für den VPN-Betrieb sind Authentifizierung, Verschlüsselung, Routing, DNS, Firewall-Regeln und Berechtigungen wichtig. Split Tunneling leitet nur ausgewählten Verkehr durch das VPN, während Full Tunnel den gesamten Clientverkehr durch den Tunnel führt. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation. Ein Extranet stellt ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen bereit. VPN-Zugriff sollte durch MFA, Rollen, Firewall-Regeln und Least Privilege abgesichert werden. Merksätze Intranet = intern. Extranet = kontrolliert extern erweitert. Internet = öffentlich. VPN = Virtual Private Network. VPN baut einen verschlüsselten Tunnel. VPN schützt den Transportweg. VPN ersetzt keine Rechteprüfung. VPN ersetzt keine Firewall-Regeln. Remote-Access-VPN verbindet Benutzer. Site-to-Site-VPN verbindet Netze. VPN-Gateway ist der Zugangspunkt. VPN-Client baut den Tunnel auf. IPsec schützt IP-Kommunikation. IKE handelt Schlüssel aus. TLS-VPN nutzt TLS. OpenVPN ist flexibel. WireGuard ist schlank und modern. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN braucht passende Routen. VPN braucht oft internes DNS. Split DNS hilft bei internen Namen. VPN-Adresspool darf sich nicht überschneiden. Gleiche Netze verursachen Routingprobleme. VPN-Zugriff nach Rolle begrenzen. MFA für VPN ist wichtig. Unsichere Endgeräte sind trotz VPN riskant. VPN kann durch MTU-Probleme instabil werden. VPN verbunden heißt nicht: alles erreichbar. Extranet ist Zugriffskonzept, VPN ist Tunneltechnik. Zero Trust gibt gezielter Zugriff auf Anwendungen. 14.2 VPN-Arten und VPN-Einsatzszenarien VPN ist nicht immer gleich VPN. Je nach Zweck, Benutzergruppe und Netzwerkaufbau gibt es unterschiedliche VPN-Arten. Die wichtigsten Einsatzszenarien sind: - Remote-Access-VPN - Site-to-Site-VPN - Client-to-Site-VPN - Host-to-Host-VPN - Extranet-VPN - Cloud-VPN - Admin-VPN - Fernwartungs-VPN Merksatz: Die VPN-Art richtet sich danach, wer oder was sicher verbunden werden soll. Warum unterscheidet man VPN-Arten? Nicht jede VPN-Verbindung hat denselben Zweck. Beispiele: Ein Mitarbeiter im Homeoffice braucht Zugriff auf interne Anwendungen. Zwei Firmenstandorte sollen dauerhaft verbunden werden. Ein externer Dienstleister soll nur einen Wartungsserver erreichen. Ein Unternehmen verbindet sein lokales Netz mit einem Cloud-Netz. Ein Administrator braucht sicheren Zugriff auf Managementsysteme. Diese Fälle haben unterschiedliche Anforderungen. Merksatz: Unterschiedliche VPN-Zwecke brauchen unterschiedliche Konzepte. Remote-Access-VPN Remote-Access-VPN verbindet einzelne Benutzer mit dem Unternehmensnetz. Typische Benutzer: - Homeoffice-Mitarbeiter - Außendienst - Administratoren - mobile Benutzer - Support-Mitarbeiter - externe Dienstleister Der Benutzer startet meist einen VPN-Client auf seinem Endgerät. Merksatz: Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen. Typischer Ablauf bei Remote-Access-VPN Ein typischer Ablauf: 1. Benutzer startet VPN-Client. 2. VPN-Client verbindet sich mit VPN-Gateway. 3. Benutzer authentifiziert sich. 4. MFA oder Zertifikat wird geprüft. 5. Tunnel wird aufgebaut. 6. Client erhält VPN-IP-Adresse. 7. Routen und DNS-Einstellungen werden gesetzt. 8. Zugriff auf erlaubte Ressourcen ist möglich. Merksatz: Remote-Access braucht Authentifizierung, Tunnel, IP, Routen und DNS. Remote-Access-VPN: Vorteile Vorteile: - sicherer Zugriff aus dem Homeoffice - Zugriff auf interne Dienste - zentrale Kontrolle - verschlüsselte Verbindung - flexibel für mobile Benutzer - oft schnell einrichtbar - gute Integration mit MFA möglich Merksatz: Remote-Access-VPN macht mobile Arbeit mit internen Diensten möglich. Remote-Access-VPN: Risiken Risiken: - gestohlene Zugangsdaten - unsichere private Endgeräte - Malware auf Client - zu breite Zugriffsrechte - fehlende MFA - unsichere Split-Tunnel-Regeln - verlorene Geräte - veraltete VPN-Clients Merksatz: Remote-Access ist nur sicher, wenn Endgerät, Benutzer und Rechte kontrolliert werden. Client-to-Site-VPN Client-to-Site-VPN ist im Grunde eine andere Bezeichnung für Remote-Access-VPN. Dabei verbindet sich ein einzelner Client mit einem Standort oder Unternehmensnetz. Beispiel: Notebook im Homeoffice → VPN-Gateway der Firma → internes Netz Merksatz: Client-to-Site = einzelner Client zum Firmennetz. Site-to-Site-VPN Site-to-Site-VPN verbindet ganze Netzwerke miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netz Unternehmen ↔ Partnernetz Hier verbinden meist Router, Firewalls oder VPN-Gateways die Standorte. Merksatz: Site-to-Site-VPN verbindet Netze, nicht einzelne Benutzer. Typischer Ablauf bei Site-to-Site-VPN Ein typischer Ablauf: 1. Gateway A baut Tunnel zu Gateway B auf. 2. Beide Gateways authentifizieren sich. 3. Verschlüsselung und Schlüssel werden ausgehandelt. 4. Netzbereiche werden definiert. 5. Routing wird eingerichtet. 6. Firewall-Regeln erlauben gewünschte Verbindungen. 7. Systeme beider Standorte kommunizieren über den Tunnel. Merksatz: Site-to-Site braucht Gateways, Netze, Routen und Firewall-Regeln. Site-to-Site-VPN: Vorteile Vorteile: - dauerhafte Standortverbindung - keine VPN-Clientsoftware auf jedem Endgerät nötig - zentrale Netz-zu-Netz-Kommunikation - gut für Niederlassungen - gut für Cloud-Anbindung - transparent für Benutzer Merksatz: Site-to-Site verbindet Standorte dauerhaft und zentral. Site-to-Site-VPN: Risiken Risiken: - zu große Netzfreigaben - falsches Routing - Überschneidung von IP-Netzen - kompromittierter Standort erreicht andere Netze - fehlende Segmentierung - schwache Schlüssel oder PSKs - fehlendes Monitoring - unklare Verantwortlichkeiten zwischen Organisationen Merksatz: Site-to-Site darf nicht automatisch alle Netze gegenseitig öffnen. Remote-Access und Site-to-Site im Vergleich Merkmal Remote-Access-VPN Site-to-Site-VPN verbindet Benutzergerät mit Netz Netz mit Netz typischer Zweck Homeoffice, mobiler Zugriff Standortvernetzung Endpunkt Client und Gateway Gateway und Gateway Benutzeranmeldung häufig benutzerbezogen häufig gatewaybezogen Clientsoftware meist notwendig für Endgeräte meist nicht Zugriffskontrolle Benutzer und Gruppen Netze und Firewall-Regeln Fehlerquellen Client, DNS, Routen, MFA Routing, IP-Überschneidung, Tunnel Merksatz: Remote-Access ist benutzerbezogen. Site-to-Site ist netzbezogen. Host-to-Host-VPN Host-to-Host-VPN verbindet zwei einzelne Systeme direkt miteinander. Beispiel: Server A ↔ Server B Einsatz: besonders schützenswerte Verbindung Kommunikation zwischen zwei Servern sichere Verbindung über unsicheres Netz spezielle Administrationsstrecken Merksatz: Host-to-Host-VPN verbindet einzelne Rechner direkt. Extranet-VPN Ein Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff. Beispiele: Lieferant greift auf Bestellportal zu. Dienstleister greift auf Wartungsserver zu. Partnerunternehmen greift auf gemeinsame Projektdaten zu. Wichtig: Zugriff stark begrenzen eigene Benutzerkonten MFA Protokollierung zeitliche Begrenzung keine pauschale LAN-Freigabe Merksatz: Extranet-VPN ist VPN-Zugriff für externe Berechtigte. Cloud-VPN Cloud-VPN verbindet ein lokales Netzwerk mit einem Cloud-Netzwerk. Beispiel: Unternehmensstandort ↔ Cloud-VPC oder Cloud-VNet Typischer Zweck: Zugriff auf Cloud-Server Hybrid-Cloud Datenbankverbindungen private Cloud-Dienste Migration Backup Standort-zu-Cloud-Kommunikation Merksatz: Cloud-VPN verbindet lokale Infrastruktur mit Cloud-Netzen. Admin-VPN Ein Admin-VPN ist ein besonders geschützter Zugang für Administratoren. Ziel: Managementsysteme sicher erreichen Beispiele: Firewall-Verwaltung Switch-Management Serveradministration Hypervisor Backup-Systeme Monitoring Managementnetz Wichtig: MFA separate Admin-Konten starke Protokollierung Zugriff nur auf Managementnetze keine Nutzung für Alltagsarbeit Merksatz: Admin-VPN sollte besonders stark abgesichert sein. Fernwartungs-VPN Fernwartungs-VPN wird für Support oder Wartung genutzt. Beispiele: Hersteller wartet Anlage. IT-Dienstleister wartet Server. externer Techniker greift auf Spezialgerät zu. Wichtig: zeitlich begrenzen nur benötigte Ziele erlauben Zugriff protokollieren Benutzer eindeutig zuordnen nach Wartung deaktivieren keine gemeinsamen Dauerzugänge Merksatz: Fernwartung braucht zeitlich und technisch begrenzten Zugriff. VPN für mobile Geräte Mobile Geräte können ebenfalls VPN nutzen. Beispiele: Smartphone Tablet Außendienstgerät mobiles Kassensystem MDM-verwaltetes Gerät Wichtig: Geräteverwaltung Gerätesperre Verschlüsselung Zertifikate MDM-Richtlinien App-Schutz Verlustfall beachten Merksatz: Mobile VPN-Zugänge brauchen Gerätekontrolle. Always-On-VPN Always-On-VPN bedeutet: Das Gerät baut automatisch eine VPN-Verbindung auf, sobald es Netzwerkzugang hat. Ziel: Benutzer muss VPN nicht manuell starten. Unternehmensrichtlinien greifen dauerhaft. interne Dienste sind automatisch erreichbar. Datenverkehr kann zentral kontrolliert werden. Merksatz: Always-On-VPN verbindet Geräte automatisch mit dem Unternehmensnetz. On-Demand-VPN On-Demand-VPN baut sich nur bei Bedarf auf. Beispiel: Benutzer ruft interne Domain auf. Gerät startet VPN automatisch. Vorteil: weniger dauerhafte Verbindung komfortabel für Benutzer gezielter Tunnelaufbau Merksatz: On-Demand-VPN startet, wenn eine bestimmte Ressource benötigt wird. Per-App-VPN Per-App-VPN bedeutet: Nur bestimmte Anwendungen nutzen den VPN-Tunnel. Beispiel: Unternehmens-App nutzt VPN. private Apps nutzen normales Internet. Vorteil: bessere Trennung zwischen privater und geschäftlicher Nutzung weniger Tunnelverkehr gezieltere Kontrolle Merksatz: Per-App-VPN leitet nur ausgewählte Apps durch VPN. VPN für BYOD BYOD steht für: Bring Your Own Device Dabei nutzen Benutzer private Geräte für berufliche Zwecke. VPN bei BYOD ist besonders kritisch. Wichtige Fragen: Ist das Gerät sicher? Ist es verwaltet? Gibt es MDM? Sind Firmendaten getrennt? Gibt es MFA? Kann Zugriff bei Verlust entfernt werden? Darf das private Gerät interne Netze erreichen? Merksatz: BYOD plus VPN braucht klare Sicherheitsregeln. VPN für Dienstleister Dienstleisterzugang sollte besonders eng geregelt werden. Besser: eigener VPN-Benutzer keine Sammelkonten MFA nur definierte Ziele zeitliche Freigabe Protokollierung Freigabeprozess regelmäßige Prüfung Deaktivierung nach Projektende Merksatz: Externe Dienstleister niemals pauschal ins interne Netz lassen. VPN für Standortvernetzung Bei Standortvernetzung sind wichtige Punkte: eindeutige IP-Netze stabile Internetanschlüsse passende Bandbreite Routing Firewall-Regeln Monitoring Redundanz Namensauflösung Zeitsynchronisation Dokumentation Merksatz: Standort-VPN braucht saubere Netzplanung. VPN für Cloud-Anbindung Bei Cloud-VPN sind wichtig: Cloud-Netzbereich lokaler Netzbereich Routingtabellen Security Groups Network Security Groups Cloud-Firewall DNS Bandbreite Latenz Hochverfügbarkeit Kosten Monitoring Merksatz: Cloud-VPN braucht Routing und Sicherheitsregeln auf beiden Seiten. VPN und IP-Adressplanung VPN funktioniert nur sauber, wenn Netze eindeutig sind. Problematisch: Heimnetz 192.168.1.0/24 und Firmennetz 192.168.1.0/24 Oder: Standort A 10.0.0.0/24 und Standort B 10.0.0.0/24 Folge: Routing wird uneindeutig. Merksatz: Überlappende Netze verursachen VPN-Probleme. VPN und Namensauflösung VPN-Benutzer brauchen oft interne DNS-Auflösung. Beispiele: intranet.firma.local fileserver.intern dc01.firma.local app01.servernetz.local Typische Fehler: VPN ist verbunden, aber Namen funktionieren nicht. Ursache häufig: interner DNS wird nicht verteilt DNS-Suffix fehlt Split DNS falsch Firewall blockiert DNS Merksatz: VPN braucht oft internes DNS. VPN und Routingtabellen Der VPN-Client oder das VPN-Gateway braucht passende Routen. Beispiel: Zielnetz 10.20.0.0/16 soll über VPN erreichbar sein. Dann muss eine Route existieren: 10.20.0.0/16 über VPN-Tunnel Fehlt diese Route, geht Verkehr eventuell ins lokale Netz oder ins Internet. Merksatz: Ohne Route kein Weg durch den Tunnel. VPN und Firewall-Zonen VPN-Verbindungen sollten in eigene Firewall-Zonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Admin VPN-Dienstleister Site-to-Site-Partner Cloud-VPN Extranet-VPN Vorteil: Regeln können gezielt nach Rolle oder Zweck erstellt werden. Merksatz: VPN-Zonen helfen, Zugriff sauber zu begrenzen. VPN und Gruppen VPN-Zugriff wird häufig über Gruppen gesteuert. Beispiele: Gruppe Mitarbeiter: Zugriff auf Intranet Gruppe Support: Zugriff auf Helpdesk-Systeme Gruppe Admin: Zugriff auf Managementnetz Gruppe Dienstleister: Zugriff nur auf Wartungsserver Merksatz: Gruppen helfen, VPN-Berechtigungen übersichtlich zu steuern. VPN und Rollenmodell Ein Rollenmodell beschreibt, welche Rolle welche Zugriffe bekommt. Beispiel: Rolle Zugriff Mitarbeiter Intranet, Dateiablage Support Ticketsystem, bestimmte Clients Admin Managementnetz Dienstleister definierter Wartungsserver Partner Extranet-Portal Merksatz: Rollenmodell verhindert pauschale VPN-Freigaben. VPN und MFA nach Risiko MFA sollte besonders bei externem Zugriff eingesetzt werden. Bei VPN ist MFA wichtig, weil der Zugang aus unsicheren Netzen kommt. Besonders kritisch: Admin-VPN Dienstleister-VPN Extranet-Zugänge Zugriff auf Servernetze Zugriff auf Managementsysteme Merksatz: Je kritischer der Zugriff, desto stärker die Authentifizierung. VPN und Zertifikatsbasierte Authentifizierung VPN kann neben Benutzerpasswort auch Zertifikate nutzen. Vorteile: Gerät kann eindeutig identifiziert werden. Passwort allein reicht nicht. verlorene Geräte können durch Zertifikatswiderruf gesperrt werden. Clientzugriff kann stärker kontrolliert werden. Wichtig: Zertifikate müssen erneuert, geschützt und bei Verlust widerrufen werden. Merksatz: Zertifikate binden VPN-Zugriff stärker an Geräte oder Identitäten. VPN und Pre-Shared Key Ein Pre-Shared Key ist ein vorher gemeinsam vereinbarter geheimer Schlüssel. Abkürzung: PSK PSK wird häufig bei Site-to-Site-VPNs genutzt. Risiken: schwacher PSK PSK wird selten gewechselt PSK ist mehreren Personen bekannt PSK wird unsicher dokumentiert Merksatz: PSK muss stark, geheim und kontrolliert verwaltet werden. VPN und Hochverfügbarkeit VPN kann kritisch für den Betrieb sein. Deshalb können sinnvoll sein: zwei VPN-Gateways redundante Internetanschlüsse automatische Umschaltung mehrere Standorte Monitoring Backup-Konfiguration dokumentierter Notfallzugang Merksatz: Kritische VPN-Zugänge brauchen Redundanz. VPN und Bandbreite VPN benötigt Bandbreite. Besonders relevant bei: Full Tunnel vielen Homeoffice-Benutzern Standortkopplung Dateiübertragung Backups Videokonferenzen Cloud-Zugriff über Zentrale Merksatz: VPN-Leistung hängt auch von Bandbreite und Gateway-Kapazität ab. VPN und Latenz Latenz ist die Verzögerung. VPN kann Latenz erhöhen, weil der Verkehr einen längeren Weg nimmt oder verschlüsselt verarbeitet wird. Besonders betroffen: Remote Desktop VoIP Datenbankanwendungen Echtzeitanwendungen interaktive Webanwendungen Merksatz: VPN kann Wege verlängern und Latenz erhöhen. VPN und Protokollwahl Die Protokollwahl beeinflusst Betrieb und Leistung. Beispiele: UDP ist oft besser für VPN-Performance. TCP über TCP kann bei manchen VPNs ungünstig sein. TCP 443 ist oft firewallfreundlich. UDP kann in manchen Netzen blockiert sein. IPsec braucht passende Ports und Protokolle. Merksatz: VPN-Protokoll muss zu Netzwerk, Sicherheit und Betrieb passen. TCP-over-TCP-Problem Wenn ein VPN über TCP läuft und darin wiederum TCP-Verkehr transportiert wird, können Leistungseinbußen entstehen. Grundidee: Zwei TCP-Schichten versuchen gleichzeitig, Verluste und Stau zu regeln. Das kann bei Paketverlust zu schlechter Performance führen. Merksatz: TCP im TCP-Tunnel kann Performanceprobleme verstärken. VPN und NAT-Traversal VPN-Verbindungen müssen oft durch NAT-Geräte. NAT-Traversal hilft, VPN-Verkehr durch NAT zu transportieren. Besonders relevant bei: IPsec hinter Routern Heimnetzen Mobilfunk Hotel-WLAN Provider-NAT Merksatz: NAT-Traversal hilft VPNs durch NAT-Umgebungen. VPN und CGNAT CGNAT kann eingehende Verbindungen erschweren. Für Remote-Access-VPN ist das oft weniger problematisch, wenn der Client nach außen zum VPN-Gateway verbindet. Für eigenes VPN-Gateway zuhause oder am kleinen Standort kann CGNAT problematisch sein, weil eingehende Verbindungen nicht direkt möglich sind. Merksatz: CGNAT stört vor allem, wenn ein VPN-Gateway von außen erreichbar sein muss. VPN und Logs nach Art unterscheiden Je nach VPN-Art sind andere Logs wichtig. Remote-Access: Benutzer Gerät MFA VPN-IP Gruppen Routen Site-to-Site: Tunnelstatus Peer-Adresse Phase 1 / Phase 2 Schlüssel Routen Security Associations Extranet: Partner Zugriffszeiten Zielsysteme Rollen Ablaufdatum Merksatz: VPN-Logs nach VPN-Art auswerten. Typische Fehler bei Remote-Access-VPN Häufige Fehler: - Benutzer kann sich nicht anmelden - MFA schlägt fehl - Zertifikat fehlt - VPN-Client veraltet - Client bekommt keine IP - interne Namen lösen nicht auf - Route fehlt - Zugriff wird durch Gruppe nicht erlaubt - lokales Heimnetz überschneidet sich - Endgerät unsicher oder nicht compliant Merksatz: Remote-Access-Fehler betreffen oft Benutzer, Client, DNS und Routen. Typische Fehler bei Site-to-Site-VPN Häufige Fehler: - Tunnel kommt nicht hoch - PSK stimmt nicht - Peer-Adresse falsch - Phase-1-Parameter falsch - Phase-2-Parameter falsch - Netze falsch definiert - Routing fehlt - Firewall-Regeln fehlen - IP-Netze überschneiden sich - einseitige Erreichbarkeit - NAT-Regeln stören Merksatz: Site-to-Site-Fehler betreffen oft Parameter, Netze, Routing und Firewall. Phase 1 und Phase 2 bei IPsec Bei IPsec spricht man häufig von Phase 1 und Phase 2. Vereinfacht: Phase 1: sichere Verbindung zwischen den VPN-Gateways aufbauen Phase 2: festlegen, welche Netze oder Daten über den Tunnel geschützt werden Typische Fehler: Parameter stimmen nicht überein. PSK falsch. Netze falsch definiert. Verschlüsselungsalgorithmen passen nicht. Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt die eigentlichen Netze. Security Association Security Association wird oft abgekürzt: SA Eine SA beschreibt ausgehandelte Sicherheitsparameter einer VPN-Verbindung. Dazu gehören zum Beispiel: Verschlüsselung Integritätsschutz Schlüssel Lebensdauer beteiligte Gegenstellen geschützte Netze Merksatz: SA beschreibt ausgehandelte VPN-Sicherheitsparameter. VPN-Fehlersuche nach Art VPN-Art zuerst prüfen Remote-Access Benutzer, MFA, Client, IP, DNS, Route Site-to-Site Tunnelstatus, Peer, PSK, Phase 1/2, Routen Cloud-VPN Cloud-Routing, Security Groups, lokale Firewall Extranet-VPN Partnerkonto, Rollen, Zielsysteme, Ablaufdatum Admin-VPN MFA, Adminrolle, Managementnetz, Logs Fernwartungs-VPN Zeitfenster, Zielsystem, Protokollierung Merksatz: Die VPN-Art bestimmt die Fehlersuche. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welche VPN-Arten gibt es? - Was ist Remote-Access-VPN? - Was ist Client-to-Site-VPN? - Was ist Site-to-Site-VPN? - Wofür nutzt man Extranet-VPN? - Wofür nutzt man Cloud-VPN? - Was ist ein Admin-VPN? - Warum braucht Fernwartungs-VPN besondere Kontrolle? - Was ist Always-On-VPN? - Was ist Per-App-VPN? - Warum sind überlappende IP-Netze bei VPN problematisch? - Warum sind VPN-Zonen sinnvoll? - Warum ist ein Rollenmodell für VPN wichtig? - Was ist ein Pre-Shared Key? - Was bedeutet Phase 1 und Phase 2 bei IPsec? - Was ist eine Security Association? Typische Prüfungsfallen VPN ist ein Oberbegriff. Remote-Access-VPN verbindet Benutzer. Client-to-Site ist praktisch Remote-Access. Site-to-Site-VPN verbindet Netze. Extranet-VPN ist für externe Berechtigte. Cloud-VPN verbindet lokale und Cloud-Netze. Admin-VPN besonders schützen. Fernwartungs-VPN zeitlich begrenzen. Always-On-VPN startet automatisch. On-Demand-VPN startet bei Bedarf. Per-App-VPN gilt nur für bestimmte Apps. BYOD braucht besondere Gerätekontrolle. VPN-Zugriff nicht pauschal erlauben. IP-Netze dürfen sich nicht überschneiden. VPN braucht DNS und Routing. VPN-Gruppen steuern Zugriff. PSK muss stark und geheim sein. Phase 1 und Phase 2 nicht verwechseln. VPN-Logs je nach VPN-Art auswerten. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Remote-Access-VPN Benutzer verbindet sich aus der Ferne Client-to-Site-VPN einzelner Client verbindet sich mit Firmennetz Site-to-Site-VPN zwei Netze werden verbunden Host-to-Host-VPN zwei einzelne Systeme werden verbunden Extranet-VPN VPN-Zugriff für externe Berechtigte Cloud-VPN Verbindung zwischen lokalem Netz und Cloud-Netz Admin-VPN besonders geschützter Adminzugang Fernwartungs-VPN Wartungszugang für Support oder Hersteller Always-On-VPN VPN startet automatisch dauerhaft On-Demand-VPN VPN startet nur bei Bedarf Per-App-VPN nur bestimmte Apps nutzen VPN BYOD private Geräte im beruflichen Einsatz VPN-Zone eigene Firewall-Zone für VPN-Verkehr VPN-Gruppe Gruppe zur Steuerung von VPN-Rechten PSK Pre-Shared Key NAT-Traversal VPN durch NAT ermöglichen Phase 1 IPsec-Aufbau zwischen Gateways Phase 2 IPsec-Schutz der eigentlichen Netze Security Association ausgehandelte Sicherheitsparameter Peer VPN-Gegenstelle Tunnelstatus Zustand einer VPN-Verbindung IHK-sichere Kurzformulierung VPNs können je nach Einsatzzweck unterschiedlich aufgebaut sein. Remote-Access-VPN oder Client-to-Site-VPN verbindet einzelne Benutzer mit internen Ressourcen, während Site-to-Site-VPN ganze Netzwerke oder Standorte miteinander verbindet. Extranet-VPN ermöglicht externen Partnern kontrollierten Zugriff, Cloud-VPN verbindet lokale Netze mit Cloud-Netzen, und Admin- oder Fernwartungs-VPNs dienen besonders geschützten Administrations- oder Wartungszugängen. Für alle VPN-Arten sind eindeutige IP-Netze, passende Routen, DNS, Firewall-Regeln, starke Authentifizierung, Rollenmodelle, Protokollierung und Monitoring wichtig. Bei IPsec sind Phase 1 und Phase 2 zu unterscheiden: Phase 1 baut die sichere Verbindung zwischen Gateways auf, Phase 2 definiert die geschützten Netze oder Datenströme. Merksätze VPN ist ein Oberbegriff. VPN-Art richtet sich nach Einsatzzweck. Remote-Access verbindet Benutzer. Client-to-Site verbindet Client mit Netz. Site-to-Site verbindet Netze. Host-to-Host verbindet einzelne Systeme. Extranet-VPN ist für externe Berechtigte. Cloud-VPN verbindet lokal mit Cloud. Admin-VPN besonders absichern. Fernwartungs-VPN zeitlich begrenzen. Always-On-VPN startet automatisch. On-Demand-VPN startet bei Bedarf. Per-App-VPN gilt nur für bestimmte Apps. BYOD braucht klare Sicherheitsregeln. Dienstleisterzugriff nie pauschal erlauben. Standort-VPN braucht Netzplanung. Cloud-VPN braucht Regeln auf beiden Seiten. Überlappende Netze vermeiden. VPN braucht Routen. VPN braucht oft internes DNS. VPN-Zonen trennen Zugriffe. Gruppen steuern Berechtigungen. Rollenmodell verhindert Pauschalzugriff. MFA schützt externe Zugänge. Zertifikate brauchen Verwaltung. PSK stark und geheim halten. Kritische VPNs überwachen. VPN kann Latenz erhöhen. TCP-over-TCP kann bremsen. NAT-Traversal hilft durch NAT. Phase 1 verbindet Gateways. Phase 2 schützt Netze. Security Association beschreibt VPN-Sicherheitsparameter. 14.3 VPN-Protokolle: IPsec, IKEv2, OpenVPN, WireGuard und TLS-VPN VPN ist ein Oberbegriff. Dahinter können unterschiedliche Protokolle und Techniken stehen. Die wichtigsten VPN-Protokolle und VPN-Techniken sind: - IPsec - IKEv2 - OpenVPN - WireGuard - TLS-VPN - L2TP/IPsec - PPTP als veraltetes Beispiel Merksatz: VPN beschreibt den Zweck. Das VPN-Protokoll beschreibt die technische Umsetzung. Warum gibt es verschiedene VPN-Protokolle? Nicht jedes VPN-Protokoll ist für denselben Zweck ideal. Unterschiede gibt es bei: - Sicherheit - Geschwindigkeit - Einrichtung - Firewall-Freundlichkeit - Betriebssystemunterstützung - Schlüsselaustausch - Authentifizierung - Ports und Protokollen - Wartbarkeit - Kompatibilität Merksatz: Das passende VPN-Protokoll hängt vom Einsatzfall ab. Wichtige Auswahlkriterien Bei der Auswahl eines VPN-Protokolls fragt man: Soll ein Benutzer oder ein Standort verbunden werden? Welche Betriebssysteme werden genutzt? Wird NAT verwendet? Gibt es Firewalls dazwischen? Ist hohe Geschwindigkeit wichtig? Wird MFA benötigt? Werden Zertifikate genutzt? Muss das VPN besonders einfach wartbar sein? Gibt es Unternehmensvorgaben? Gibt es Compliance-Anforderungen? Merksatz: VPN-Auswahl ist immer eine Kombination aus Sicherheit, Betrieb und Kompatibilität. IPsec IPsec steht für: Internet Protocol Security IPsec ist eine Protokollfamilie, die IP-Kommunikation absichern kann. IPsec wird häufig verwendet für: - Site-to-Site-VPN - Standortvernetzung - Cloud-VPN - Remote-Access-VPN - sichere Kommunikation zwischen Netzen Merksatz: IPsec schützt IP-Kommunikation auf Netzwerkebene. IPsec im OSI-Modell IPsec arbeitet besonders nah an Schicht 3. Warum? Es schützt IP-Pakete. Dadurch eignet sich IPsec gut, um ganze Netze miteinander zu verbinden. Beispiel: Standort A 192.168.10.0/24 ↔ Standort B 192.168.20.0/24 Merksatz: IPsec passt gut zu Netz-zu-Netz-Verbindungen. IPsec-Grundidee IPsec kann IP-Pakete schützen durch: - Verschlüsselung - Integritätsschutz - Authentifizierung - Schutz vor Manipulation - Schutz vor Wiederholungsangriffen Dabei werden Sicherheitsparameter zwischen den VPN-Gegenstellen ausgehandelt. Merksatz: IPsec schützt nicht nur vor Mitlesen, sondern auch vor Manipulation. IPsec Tunnel Mode Beim Tunnel Mode wird das ursprüngliche IP-Paket komplett eingepackt. Dabei entsteht ein neues äußeres IP-Paket. Typischer Einsatz: Site-to-Site-VPN Beispiel: internes Paket: 192.168.10.50 → 192.168.20.60 äußeres Paket: öffentliche IP Standort A → öffentliche IP Standort B Merksatz: Tunnel Mode schützt ganze IP-Pakete zwischen VPN-Gateways. IPsec Transport Mode Beim Transport Mode wird hauptsächlich die Nutzlast des IP-Pakets geschützt. Die ursprünglichen IP-Adressen bleiben Teil des äußeren Pakets. Typischer Einsatz: Host-zu-Host-Kommunikation In der Praxis ist für Standort-VPNs meist der Tunnel Mode wichtiger. Merksatz: Transport Mode schützt eher direkte Host-Kommunikation. ESP ESP steht für: Encapsulating Security Payload ESP ist ein wichtiger Bestandteil von IPsec. ESP kann bieten: - Verschlüsselung - Integritätsschutz - Authentifizierung ESP ist für viele IPsec-VPNs zentral. Merksatz: ESP schützt die Daten bei IPsec. AH AH steht für: Authentication Header AH bietet Authentifizierung und Integrität, aber keine Verschlüsselung des Inhalts. In vielen modernen IPsec-VPNs wird häufiger ESP verwendet. Merksatz: AH schützt Integrität, aber verschlüsselt nicht den Inhalt. IKE IKE steht für: Internet Key Exchange IKE wird genutzt, um bei IPsec Schlüssel und Sicherheitsparameter auszuhandeln. IKE regelt unter anderem: - Authentifizierung der Gegenstellen - Aushandlung von Verschlüsselung - Aushandlung von Integritätsschutz - Schlüsselerzeugung - Lebensdauer von Sicherheitsbeziehungen Merksatz: IKE handelt aus, wie IPsec gesichert wird. IKEv1 und IKEv2 IKEv1 ist älter. IKEv2 ist moderner und wird häufig bevorzugt. IKEv2 bietet Vorteile wie: stabilere Verbindungen bessere Unterstützung für Mobilität bessere Wiederverbindung einfachere Aushandlung gute Eignung für Remote-Access Merksatz: IKEv2 ist die modernere Variante von IKE. IPsec Phase 1 Bei IPsec wird häufig von Phase 1 gesprochen. Phase 1 bedeutet vereinfacht: Die VPN-Gegenstellen bauen eine sichere Steuerverbindung auf. Dabei wird geprüft: Wer ist die Gegenstelle? Welcher Schlüssel oder welches Zertifikat wird genutzt? Welche Verschlüsselung wird verwendet? Welche Integritätsprüfung wird verwendet? Wie lange gilt die Verbindung? Merksatz: Phase 1 sichert die Verbindung zwischen den VPN-Gateways. IPsec Phase 2 Phase 2 bedeutet vereinfacht: Es wird festgelegt, welche eigentlichen Daten oder Netze geschützt werden. Beispiele: 192.168.10.0/24 ↔ 192.168.20.0/24 Oder: bestimmter Host ↔ bestimmter Host Dabei werden Sicherheitsparameter für den eigentlichen Datenverkehr ausgehandelt. Merksatz: Phase 2 schützt die eigentlichen Nutzdaten oder Netze. Phase 1 und Phase 2 vergleichen Phase Aufgabe Phase 1 sichere Verbindung zwischen VPN-Gegenstellen aufbauen Phase 2 geschützte Netze oder Datenströme festlegen Phase 1 Fehler Tunnel kommt oft gar nicht hoch Phase 2 Fehler Tunnel steht teilweise, aber Daten fließen nicht korrekt Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt Netze. Security Association Security Association wird abgekürzt: SA Eine SA beschreibt ausgehandelte Sicherheitsparameter. Dazu gehören zum Beispiel: - Verschlüsselungsverfahren - Integritätsverfahren - Schlüssel - Lebensdauer - Gegenstellen - geschützte Netze - Richtung der Verbindung Merksatz: SA beschreibt, wie VPN-Verkehr geschützt wird. Pre-Shared Key Ein Pre-Shared Key wird abgekürzt: PSK Ein PSK ist ein vorher gemeinsam vereinbarter geheimer Schlüssel. Er wird häufig bei Site-to-Site-VPNs verwendet. Risiken: PSK ist zu kurz. PSK wird mehrfach verwendet. PSK wird unsicher gespeichert. PSK wird selten gewechselt. PSK ist zu vielen Personen bekannt. Merksatz: PSK muss stark, geheim und kontrolliert verwaltet werden. Zertifikate bei IPsec Statt PSK können VPNs Zertifikate verwenden. Vorteile: bessere Skalierbarkeit bessere Identitätsprüfung einzelne Zertifikate können widerrufen werden keine gemeinsamen Geheimnisse für alle Verbindungen gut für größere Umgebungen Wichtig: Zertifikate brauchen eine saubere PKI und Verwaltung. Merksatz: Zertifikate sind oft besser skalierbar als gemeinsame PSKs. NAT-Traversal bei IPsec IPsec kann Probleme mit NAT haben. Grund: NAT verändert IP-Adressen und manchmal Ports. NAT-Traversal hilft, IPsec durch NAT-Geräte zu transportieren. Typischer Begriff: NAT-T NAT-T kapselt IPsec-Verkehr so, dass er besser durch NAT-Umgebungen kommt. Merksatz: NAT-Traversal hilft IPsec durch NAT. Typische Ports und Protokolle bei IPsec Typisch relevant sind: Zweck Port / Protokoll IKE UDP 500 NAT-Traversal UDP 4500 ESP IP-Protokoll 50 AH IP-Protokoll 51 Wichtig: ESP und AH sind keine TCP- oder UDP-Ports, sondern eigene IP-Protokolle. Merksatz: IPsec ist nicht nur ein einzelner TCP-Port. OpenVPN OpenVPN ist eine verbreitete VPN-Lösung. Eigenschaften: - nutzt TLS - kann mit Zertifikaten arbeiten - kann UDP oder TCP verwenden - flexibel konfigurierbar - geeignet für Remote-Access und Site-to-Site - benötigt meist Clientsoftware Merksatz: OpenVPN ist flexibel und TLS-basiert. OpenVPN über UDP OpenVPN wird häufig über UDP betrieben. Vorteile: gute Performance weniger TCP-over-TCP-Probleme geeignet für VPN-Verkehr oft stabil bei Paketverlust Merksatz: OpenVPN über UDP ist häufig performanter. OpenVPN über TCP OpenVPN kann auch über TCP betrieben werden. Vorteile: kann in manchen Netzen leichter durch Firewalls TCP 443 wirkt ähnlich wie HTTPS-Verkehr manchmal nützlich in restriktiven Netzwerken Nachteile: TCP-over-TCP kann Performanceprobleme verursachen Merksatz: OpenVPN über TCP kann firewallfreundlich, aber langsamer sein. TCP-over-TCP-Problem Wenn ein VPN über TCP läuft und darin TCP-Verkehr transportiert wird, entstehen zwei TCP-Steuerungen übereinander. Beide versuchen: Paketverlust zu erkennen erneut zu senden Stau zu kontrollieren Das kann bei Paketverlust zu schlechter Leistung führen. Merksatz: TCP im TCP-Tunnel kann bremsen. WireGuard WireGuard ist ein modernes VPN-Protokoll. Eigenschaften: - schlank - schnell - vergleichsweise einfache Konfiguration - moderne Kryptografie - arbeitet typischerweise über UDP - gut für Remote-Access und Site-to-Site - Schlüssel stehen im Mittelpunkt Merksatz: WireGuard ist ein schlankes, modernes VPN-Protokoll über UDP. WireGuard-Grundidee WireGuard arbeitet mit öffentlichen und privaten Schlüsseln. Jeder Peer besitzt: privaten Schlüssel öffentlichen Schlüssel Die Gegenstelle kennt den öffentlichen Schlüssel. Zusätzlich werden Allowed IPs definiert. Allowed IPs bestimmen, welche IP-Adressen über den jeweiligen Peer geroutet werden. Merksatz: WireGuard arbeitet mit Peers, Schlüsseln und Allowed IPs. WireGuard Peer Ein Peer ist eine VPN-Gegenstelle. Beispiele: Notebook eines Benutzers Server Firewall Router Standort-Gateway Jeder Peer braucht passende Schlüssel und passende Routing-Angaben. Merksatz: Peer = WireGuard-Gegenstelle. Allowed IPs bei WireGuard Allowed IPs haben bei WireGuard zwei wichtige Bedeutungen: Welche Zielnetze gehen über diesen Peer? Welche Quell-IP-Adressen werden von diesem Peer akzeptiert? Beispiel: AllowedIPs = 10.8.0.2/32 für einen einzelnen Client. Oder: AllowedIPs = 192.168.20.0/24 für ein Standortnetz. Merksatz: Allowed IPs sind bei WireGuard Routing und Zugriffskontrolle zugleich. TLS-VPN TLS-VPN nutzt TLS als Grundlage für den sicheren Tunnel. Es wird oft auch SSL-VPN genannt, obwohl TLS fachlich der modernere Begriff ist. Einsatz: Remote-Access Webportale Clientbasierter Zugriff Zugriff über TCP 443 manchmal browserbasierter Zugriff Merksatz: SSL-VPN meint in der Praxis meistens TLS-VPN. TLS-VPN und HTTPS TLS-VPN kann firewallfreundlich sein, weil es häufig über TCP 443 läuft. Das ist derselbe Port, der auch für HTTPS genutzt wird. Vorteil: funktioniert oft in restriktiven Netzen besser Nachteil: Port 443 allein sagt nicht, ob es normaler Webverkehr oder VPN ist. Merksatz: TLS-VPN nutzt häufig Mechanismen ähnlich wie HTTPS. Clientless VPN Clientless VPN bedeutet: Benutzer greift über Browser auf ein Portal zu, ohne klassischen vollständigen VPN-Client. Beispiel: Webportal stellt interne Webanwendung bereit. Vorteile: einfacher Zugriff weniger Clientinstallation gut für einzelne Webanwendungen Nachteile: nicht für alle Protokolle geeignet weniger flexibel als vollständiger Tunnel Merksatz: Clientless VPN ist eher Portalzugriff als kompletter Netzwerktunnel. L2TP/IPsec L2TP steht für: Layer 2 Tunneling Protocol L2TP selbst bietet keine ausreichende Verschlüsselung. Deshalb wird es häufig mit IPsec kombiniert. Einsatz: ältere oder kompatible VPN-Setups bestimmte Betriebssystem-Clients Remote-Access Merksatz: L2TP braucht IPsec, wenn es sicher sein soll. PPTP PPTP steht für: Point-to-Point Tunneling Protocol PPTP ist veraltet und gilt nicht mehr als sicher. Es sollte in modernen Umgebungen nicht mehr verwendet werden. Merksatz: PPTP kennen, aber nicht mehr einsetzen. VPN-Protokolle vergleichen Protokoll Typischer Einsatz Kurzbewertung IPsec / IKEv2 Site-to-Site, Remote-Access etabliert, stark, komplexer OpenVPN Remote-Access, Site-to-Site flexibel, weit verbreitet WireGuard Remote-Access, Site-to-Site modern, schnell, schlank TLS-VPN Remote-Access oft firewallfreundlich L2TP/IPsec ältere Setups kompatibel, aber weniger modern PPTP veraltet nicht mehr sicher Merksatz: Moderne VPNs bevorzugen IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. VPN und Ports vergleichen Technik typische Ports / Protokolle IPsec IKE UDP 500 IPsec NAT-T UDP 4500 IPsec ESP IP-Protokoll 50 OpenVPN oft UDP 1194 oder TCP/UDP konfigurierbar WireGuard oft UDP 51820 TLS-VPN häufig TCP 443 L2TP UDP 1701 plus IPsec PPTP TCP 1723 plus GRE Wichtig: Ports können je nach Konfiguration abweichen. Merksatz: VPN-Fehlersuche braucht Wissen über verwendete Ports und Protokolle. VPN und Verschlüsselung VPN-Protokolle nutzen kryptografische Verfahren für: Vertraulichkeit Integrität Authentizität Schlüsselaustausch Wichtig: Nicht nur das VPN-Protokoll zählt, sondern auch die konkrete Konfiguration. Beispiele: alte Algorithmen vermeiden schwache Schlüssel vermeiden unsichere Protokolle abschalten Zertifikate korrekt prüfen aktuelle Software nutzen Merksatz: Sicheres VPN braucht sicheres Protokoll und sichere Konfiguration. VPN und Perfect Forward Secrecy Perfect Forward Secrecy wird oft abgekürzt: PFS PFS bedeutet vereinfacht: Selbst wenn ein langfristiger Schlüssel später kompromittiert wird, sollen alte Sitzungen nicht einfach nachträglich entschlüsselt werden können. PFS wird durch geeignete Schlüsselaustauschverfahren erreicht. Merksatz: PFS schützt alte Sitzungen besser bei späterem Schlüsselverlust. VPN und Schlüssel-Lebensdauer Viele VPNs arbeiten mit Schlüssel- oder SA-Lebensdauern. Nach Ablauf werden Schlüssel neu ausgehandelt. Zweck: Sicherheitsverbesserung Begrenzung der Datenmenge pro Schlüssel regelmäßige Erneuerung der Sicherheitsparameter Typischer Fehler: Gegenstellen haben stark unterschiedliche Lebensdauern oder inkompatible Einstellungen. Merksatz: VPN-Gegenstellen müssen bei Sicherheitsparametern zusammenpassen. VPN und Kompatibilität VPN-Probleme entstehen oft, wenn Gegenstellen unterschiedliche Einstellungen erwarten. Beispiele: Verschlüsselungsalgorithmus passt nicht. Hashverfahren passt nicht. DH-Gruppe passt nicht. PSK stimmt nicht. Zertifikat wird nicht vertraut. Phase-2-Netze passen nicht. Lebensdauer passt nicht. NAT-T ist unterschiedlich eingestellt. Merksatz: VPN-Gegenstellen müssen dieselbe Sprache sprechen. Typische IPsec-Fehler Häufige Fehler: - falscher Pre-Shared Key - falsche Peer-Adresse - Phase 1 passt nicht - Phase 2 passt nicht - falsche Netze definiert - Routing fehlt - Firewall blockiert UDP 500 oder UDP 4500 - ESP wird blockiert - NAT-T fehlt - Zertifikat ungültig - Uhrzeit falsch Merksatz: IPsec-Fehler liegen oft an Parametern, Routing oder Firewall. Typische OpenVPN-Fehler Häufige Fehler: - falsche Serveradresse - falscher Port - UDP blockiert - Zertifikat ungültig - Clientprofil falsch - Benutzer nicht berechtigt - Route fehlt - DNS fehlt - TLS-Handshake schlägt fehl - MTU-Problem Merksatz: OpenVPN-Fehler mit Profil, Zertifikat, Port, Route und DNS prüfen. Typische WireGuard-Fehler Häufige Fehler: - falscher öffentlicher Schlüssel - falscher privater Schlüssel - Allowed IPs falsch - Endpoint falsch - UDP-Port blockiert - Route fehlt - NAT oder Firewall blockiert - kein Persistent Keepalive bei NAT-Szenario - IP-Adresskonflikt - Gegenstelle antwortet nicht Merksatz: WireGuard-Fehler liegen oft an Schlüsseln, Allowed IPs, Endpoint oder Routing. Persistent Keepalive bei WireGuard Persistent Keepalive kann helfen, wenn ein WireGuard-Peer hinter NAT sitzt. Grund: NAT-Zuordnungen können nach einiger Zeit ablaufen. Mit Keepalive sendet der Peer regelmäßig kleine Pakete, damit die NAT-Zuordnung bestehen bleibt. Merksatz: Persistent Keepalive hilft WireGuard hinter NAT. Typische TLS-VPN-Fehler Häufige Fehler: - Portal nicht erreichbar - Zertifikat ungültig - MFA schlägt fehl - Benutzer nicht berechtigt - Clientplugin oder Clientsoftware fehlt - Richtlinie erlaubt Ziel nicht - DNS über VPN fehlt - Session läuft ab - Browser blockiert Inhalt Merksatz: TLS-VPN-Fehler betreffen oft Portal, Zertifikat, MFA oder Richtlinie. VPN-Protokoll und Firewall Für VPN-Verbindungen müssen Firewalls den passenden Verkehr erlauben. Zu prüfen: Welcher Port? TCP oder UDP? Eigenes IP-Protokoll? NAT beteiligt? Verbindung von innen nach außen oder von außen nach innen? Rückverkehr erlaubt? Provider blockiert etwas? Merksatz: VPN funktioniert nur, wenn Firewall und Protokoll zusammenpassen. VPN-Protokoll und NAT Manche VPN-Protokolle kommen besser mit NAT zurecht als andere. Wichtige Punkte: NAT verändert Adressen. Manche Protokolle verwenden eigene IP-Protokolle. UDP-basierte Protokolle brauchen NAT-Zuordnung. NAT-Traversal kann nötig sein. CGNAT kann eingehende Verbindungen verhindern. Merksatz: NAT ist bei VPN oft ein wichtiger Fehlerfaktor. VPN-Protokoll und Betriebssysteme Nicht jedes Betriebssystem unterstützt jedes VPN gleich gut. Zu prüfen: nativer Client vorhanden? Zusatzsoftware nötig? MDM-Unterstützung? Zertifikatsverwaltung möglich? MFA integrierbar? Always-On möglich? Per-App-VPN möglich? Benutzerfreundlichkeit? Merksatz: VPN-Protokoll muss auch zu den Endgeräten passen. VPN-Protokoll und Sicherheitspolitik Ein Unternehmen sollte festlegen: Welche VPN-Protokolle sind erlaubt? Welche sind verboten? Welche Algorithmen sind erlaubt? Wie werden Schlüssel verwaltet? Ist MFA Pflicht? Wie werden Zertifikate erneuert? Wie werden Logs gespeichert? Wer darf VPN nutzen? Welche Zugriffe sind erlaubt? Merksatz: VPN-Sicherheit braucht technische und organisatorische Vorgaben. Veraltete VPN-Verfahren vermeiden Veraltete oder schwache Verfahren sollten nicht mehr genutzt werden. Beispiele: PPTP vermeiden schwache PSKs vermeiden alte TLS-Versionen vermeiden unsichere Algorithmen vermeiden unsichere Hashverfahren vermeiden gemeinsame Konten vermeiden fehlende MFA vermeiden Merksatz: Veraltete VPN-Verfahren sind ein Sicherheitsrisiko. VPN-Protokolle in der Fehlersuche Bei VPN-Problemen zuerst klären: Welches VPN-Protokoll wird genutzt? Welcher Port wird genutzt? TCP oder UDP? Welche Gegenstellen? Remote-Access oder Site-to-Site? PSK oder Zertifikat? Welche Netze sollen durch den Tunnel? Welche Logs gibt es? Merksatz: Ohne Protokollwissen ist VPN-Fehlersuche ungenau. Checkliste: VPN-Protokoll prüfen 1. VPN-Art bestimmen. 2. VPN-Protokoll bestimmen. 3. Ports und Protokolle prüfen. 4. Firewall-Freigaben prüfen. 5. NAT oder CGNAT prüfen. 6. Authentifizierung prüfen. 7. Schlüssel oder Zertifikate prüfen. 8. Routen prüfen. 9. DNS prüfen. 10. Logs prüfen. 11. Sicherheitsparameter vergleichen. 12. Gegenstelle prüfen. Merksatz: VPN-Protokoll, Ports, Schlüssel, Routen und Logs gemeinsam prüfen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist IPsec? - Was ist IKE? - Wofür wird IKEv2 genutzt? - Was ist der Unterschied zwischen IPsec Tunnel Mode und Transport Mode? - Was ist ESP? - Was ist AH? - Was bedeutet Phase 1 bei IPsec? - Was bedeutet Phase 2 bei IPsec? - Was ist eine Security Association? - Was ist ein Pre-Shared Key? - Warum ist NAT-Traversal bei IPsec wichtig? - Was ist OpenVPN? - Was ist WireGuard? - Was bedeutet Allowed IPs bei WireGuard? - Was ist TLS-VPN? - Warum ist PPTP veraltet? - Warum kann TCP-over-TCP problematisch sein? Typische Prüfungsfallen VPN ist Oberbegriff, nicht ein einzelnes Protokoll. IPsec arbeitet nah an Schicht 3. IKE handelt Schlüssel aus. IKEv2 ist moderner als IKEv1. ESP schützt Daten bei IPsec. AH verschlüsselt nicht. Tunnel Mode ist wichtig für Site-to-Site. Transport Mode eher für Host-to-Host. Phase 1 verbindet Gateways. Phase 2 schützt Netze. SA beschreibt Sicherheitsparameter. PSK muss stark und geheim sein. UDP 500 und UDP 4500 bei IPsec kennen. ESP ist kein TCP- oder UDP-Port. OpenVPN kann UDP oder TCP nutzen. OpenVPN über UDP ist oft performanter. TCP-over-TCP kann bremsen. WireGuard nutzt Peers und Schlüssel. Allowed IPs bei WireGuard sind wichtig. TLS-VPN wird oft SSL-VPN genannt. L2TP braucht IPsec für Sicherheit. PPTP ist veraltet und unsicher. VPN-Sicherheit hängt auch von Konfiguration ab. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung VPN-Protokoll technische Umsetzung eines VPN IPsec Absicherung von IP-Kommunikation IKE Schlüsselaushandlung für IPsec IKEv2 moderne IKE-Version Tunnel Mode gesamtes IP-Paket wird geschützt eingepackt Transport Mode Nutzlast wird geschützt ESP IPsec-Bestandteil für Verschlüsselung und Integrität AH IPsec-Bestandteil für Authentizität und Integrität ohne Verschlüsselung Phase 1 sichere Verbindung zwischen VPN-Gegenstellen Phase 2 Schutz der eigentlichen Netze oder Datenströme SA Security Association PSK Pre-Shared Key NAT-T NAT-Traversal OpenVPN flexible TLS-basierte VPN-Lösung WireGuard modernes schlankes VPN-Protokoll Peer VPN-Gegenstelle bei WireGuard Allowed IPs Routing- und Zuordnungsangabe bei WireGuard TLS-VPN VPN auf Basis von TLS SSL-VPN ältere Bezeichnung für TLS-VPN Clientless VPN browserbasierter Portalzugriff L2TP/IPsec L2TP kombiniert mit IPsec PPTP veraltetes VPN-Protokoll TCP-over-TCP TCP-Verkehr in TCP-Tunnel Persistent Keepalive Keepalive für WireGuard hinter NAT IHK-sichere Kurzformulierung VPN ist ein Oberbegriff für verschlüsselte Tunnelverbindungen. Technisch können verschiedene Protokolle eingesetzt werden, zum Beispiel IPsec/IKEv2, OpenVPN, WireGuard oder TLS-VPN. IPsec arbeitet nah an der IP-Schicht und wird häufig für Site-to-Site-VPNs genutzt. IKE handelt dabei Schlüssel und Sicherheitsparameter aus. Bei IPsec beschreibt Phase 1 den Aufbau einer sicheren Verbindung zwischen den VPN-Gegenstellen, während Phase 2 die geschützten Netze oder Datenströme festlegt. OpenVPN ist TLS-basiert und kann über UDP oder TCP betrieben werden. WireGuard arbeitet mit Peers, öffentlichen und privaten Schlüsseln sowie Allowed IPs. TLS-VPN nutzt TLS und wird häufig für Remote-Access eingesetzt. Veraltete Verfahren wie PPTP sollten nicht mehr verwendet werden. Merksätze VPN ist ein Oberbegriff. VPN-Protokoll ist die technische Umsetzung. IPsec schützt IP-Kommunikation. IPsec arbeitet nah an Schicht 3. Tunnel Mode schützt ganze IP-Pakete. Transport Mode schützt eher Host-Kommunikation. ESP schützt Daten. AH verschlüsselt nicht. IKE handelt Schlüssel aus. IKEv2 ist moderner als IKEv1. Phase 1 verbindet Gateways. Phase 2 schützt Netze. SA beschreibt Sicherheitsparameter. PSK muss stark und geheim sein. Zertifikate sind gut für größere Umgebungen. NAT-T hilft IPsec durch NAT. UDP 500 gehört zu IKE. UDP 4500 gehört zu NAT-T. ESP ist IP-Protokoll 50. OpenVPN ist TLS-basiert. OpenVPN über UDP ist oft performanter. OpenVPN über TCP kann firewallfreundlich sein. TCP-over-TCP kann bremsen. WireGuard ist schlank und modern. WireGuard arbeitet mit Peers. Allowed IPs sind bei WireGuard sehr wichtig. Persistent Keepalive hilft hinter NAT. TLS-VPN nutzt TLS. SSL-VPN meint meist TLS-VPN. Clientless VPN ist Portalzugriff. L2TP braucht IPsec für Sicherheit. PPTP ist veraltet. Sicheres VPN braucht sichere Konfiguration. VPN-Fehler immer mit Protokoll, Ports, Schlüsseln, Routen und Logs prüfen. 14.4 VPN-Routing, DNS und Firewall-Regeln Ein VPN-Tunnel allein reicht nicht aus, damit interne Dienste erreichbar sind. Zusätzlich müssen passen: - IP-Adressbereiche - Routing - DNS - Firewall-Regeln - NAT-Regeln - Berechtigungen - Rückwege - Client-Konfiguration Merksatz: VPN verbunden heißt nicht automatisch: Ziel erreichbar. Warum Routing bei VPN wichtig ist Routing entscheidet, über welchen Weg ein Paket geschickt wird. Wenn ein Client per VPN verbunden ist, muss sein System wissen: Welche Ziele liegen im VPN? Welche Ziele liegen im lokalen Netz? Welche Ziele gehen direkt ins Internet? Fehlt eine passende Route, geht der Verkehr nicht durch den VPN-Tunnel. Merksatz: Ohne Route kein Weg durch den Tunnel. VPN-Routing einfach erklärt Beispiel: VPN-Client: 10.8.0.20 Firmennetz: 192.168.10.0/24 Damit der Client das Firmennetz erreicht, braucht er eine Route: Zielnetz 192.168.10.0/24 über VPN-Tunnel Wenn diese Route fehlt, sendet der Client die Pakete eventuell an sein lokales Gateway. Merksatz: Der Client muss wissen, welche Netze über VPN erreichbar sind. Routingtabelle Eine Routingtabelle enthält Wege zu Netzwerken. Sie beantwortet: Wohin schicke ich Pakete für dieses Zielnetz? Typische Einträge: Standardroute lokale Netzroute VPN-Route Hostroute spezifische Netzroute Merksatz: Routingtabelle = Wegweiser für IP-Pakete. Standardroute Die Standardroute wird genutzt, wenn keine spezifischere Route passt. Sie zeigt meist zum lokalen Internetrouter. Beispiel: 0.0.0.0/0 über lokales Gateway Bei Full Tunnel kann die Standardroute über VPN gesetzt werden. Merksatz: Standardroute ist der Weg für alles, was nicht genauer bekannt ist. Spezifischere Route gewinnt Routing arbeitet nach dem Prinzip: die genaueste passende Route gewinnt. Beispiel: 0.0.0.0/0 über lokales Gateway 192.168.10.0/24 über VPN Wenn Ziel 192.168.10.50 ist, gewinnt die spezifische VPN-Route. Merksatz: Genauere Route gewinnt vor allgemeiner Route. Split Tunnel Split Tunnel bedeutet: Nur bestimmte Netze gehen durch VPN. Beispiel: Firmennetze: durch VPN normales Internet: direkt lokal Vorteile: weniger Last auf VPN weniger Bandbreitenbedarf in der Firma oft bessere Performance für normale Internetdienste Nachteile: weniger zentrale Kontrolle Sicherheitsrichtlinien schwieriger einheitlich durchsetzbar Merksatz: Split Tunnel leitet nur ausgewählten Verkehr durch VPN. Full Tunnel Full Tunnel bedeutet: Der gesamte Verkehr läuft durch VPN. Auch Internetverkehr geht zuerst zum Unternehmen. Vorteile: zentrale Kontrolle zentrale Filterung einheitliche Sicherheitsrichtlinien bessere Protokollierung Nachteile: mehr Last höhere Latenz mehr Bandbreite nötig VPN-Gateway wird kritischer Merksatz: Full Tunnel leitet alles durch VPN. Split Tunnel und Full Tunnel vergleichen Merkmal Split Tunnel Full Tunnel Firmennetze über VPN über VPN Internetverkehr direkt lokal über VPN Last auf VPN geringer höher zentrale Kontrolle geringer höher Performance oft besser abhängig vom VPN Sicherheitspolitik schwieriger zentraler Merksatz: Split Tunnel spart Last. Full Tunnel gibt mehr Kontrolle. VPN-Adresspool Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse bekommen. Beispiel: 10.8.0.0/24 Ein Client erhält dann zum Beispiel: 10.8.0.20 Diese Adresse wird in Firewall-Regeln, Routing und Logs verwendet. Merksatz: VPN-Adresspool bestimmt, aus welchem Netz VPN-Clients kommen. VPN-Adresspool darf sich nicht überschneiden Der VPN-Adresspool darf sich nicht mit anderen Netzen überschneiden. Problematisch: VPN-Pool: 192.168.1.0/24 Heimnetz des Benutzers: 192.168.1.0/24 Dann ist unklar, ob 192.168.1.50 lokal oder über VPN erreichbar ist. Merksatz: Überlappende Netze verursachen VPN-Routingprobleme. Adresskonflikt mit Heimnetz Ein sehr häufiger VPN-Fehler: Firmennetz: 192.168.1.0/24 Heimnetz: 192.168.1.0/24 Der Client denkt dann oft: 192.168.1.x ist lokal und sendet Pakete nicht durch den VPN-Tunnel. Folge: interne Systeme sind nicht erreichbar. Merksatz: Häufige Heimnetzbereiche im Firmennetz vermeiden. Typische problematische Heimnetzbereiche Viele Heimrouter nutzen Standardnetze wie: 192.168.0.0/24 192.168.1.0/24 192.168.2.0/24 192.168.178.0/24 Wenn Unternehmen dieselben Netze intern nutzen, kann VPN-Zugriff aus dem Homeoffice Probleme machen. Merksatz: Für Firmennetze möglichst eindeutige, weniger typische Adressbereiche planen. Route fehlt Fehlt eine VPN-Route, kann der Tunnel verbunden sein, aber interne Netze sind trotzdem nicht erreichbar. Typisches Fehlerbild: VPN zeigt verbunden. Internet geht. interne IPs gehen nicht. interne Namen gehen nicht. nur VPN-Gateway erreichbar. Mögliche Ursache: Route zu internem Netz wurde nicht verteilt. Merksatz: VPN-Status grün heißt nicht: Routen stimmen. Route zum Zielnetz fehlt Beispiel: Ziel: 10.20.30.50 Benötigte Route: 10.20.30.0/24 über VPN Wenn nur 192.168.10.0/24 über VPN geroutet wird, ist 10.20.30.50 nicht erreichbar. Merksatz: Jedes gewünschte Zielnetz braucht eine passende Route. Rückroute fehlt Nicht nur der Client braucht eine Route zum Ziel. Auch das Zielnetz muss wissen, wie es zum VPN-Client zurückkommt. Beispiel: VPN-Client: 10.8.0.20 Server: 192.168.10.50 Der Server oder sein Gateway braucht einen Rückweg zu: 10.8.0.0/24 Merksatz: VPN braucht Hinweg und Rückweg. Asymmetrisches Routing bei VPN Asymmetrisches Routing bedeutet: Hinweg und Rückweg laufen über unterschiedliche Wege. Bei Firewalls kann das problematisch sein, weil Stateful Firewalls den Verbindungszustand verfolgen. Wenn die Antwort einen anderen Weg nimmt, kann sie blockiert werden. Merksatz: Stateful Firewalls brauchen passenden Hin- und Rückweg. VPN und NAT Manchmal wird NAT auch bei VPN genutzt. Beispiele: überlappende Netze müssen übersetzt werden VPN-Clients sollen mit bestimmter Quell-IP erscheinen Partnernetz darf interne echte Adressen nicht sehen Cloud-Netz erwartet bestimmte Adressbereiche Aber: NAT macht Fehlersuche komplizierter. Merksatz: NAT im VPN kann helfen, aber erschwert Analyse und Dokumentation. NAT bei überlappenden Netzen Wenn zwei Seiten dasselbe Netz verwenden, kann NAT eine technische Umgehung sein. Beispiel: Standort A: 192.168.1.0/24 Standort B: 192.168.1.0/24 Eine Seite wird für den Tunnel in ein anderes Netz übersetzt. Aber: Das ist meist komplizierter als saubere IP-Planung. Merksatz: NAT kann Adresskonflikte umgehen, ersetzt aber keine gute Netzplanung. VPN-DNS VPN-DNS sorgt dafür, dass interne Namen korrekt aufgelöst werden. Beispiele: intranet.firma.local fileserver.firma.local wiki.intern dc01.firma.local Dafür erhält der VPN-Client meist: interne DNS-Server DNS-Suffix Suchdomäne Split-DNS-Regeln Merksatz: VPN braucht oft interne DNS-Konfiguration. DNS-Server über VPN Der VPN-Client kann interne DNS-Server zugewiesen bekommen. Beispiel: DNS-Server: 192.168.10.10 Damit kann er interne Namen auflösen. Wenn der interne DNS-Server nicht erreichbar ist, funktioniert Namensauflösung trotz VPN nicht. Merksatz: Interner DNS muss über VPN erreichbar und erlaubt sein. DNS-Suffix Ein DNS-Suffix ergänzt kurze Namen. Beispiel: Benutzer gibt ein: fileserver Mit DNS-Suffix wird daraus: fileserver.firma.local Fehlt das DNS-Suffix, funktionieren kurze interne Namen eventuell nicht. Merksatz: DNS-Suffix hilft bei kurzen internen Namen. Split DNS Split DNS bedeutet: interne Namen werden über interne DNS-Server aufgelöst externe Namen werden normal oder öffentlich aufgelöst Beispiel: firma.local über VPN-DNS öffentliche Webseiten über normalen DNS Merksatz: Split DNS trennt interne und externe Namensauflösung. Fehlerbild: Interne Namen gehen nicht Mögliche Ursachen: - interner DNS wird nicht verteilt - DNS-Suffix fehlt - DNS-Anfragen gehen nicht durch VPN - DNS-Server über VPN nicht erreichbar - Firewall blockiert UDP/TCP 53 - Split DNS falsch - falscher DNS-Server antwortet - lokale DNS-Cache-Einträge sind alt Merksatz: VPN-Namensprobleme sind oft DNS- oder Split-DNS-Probleme. Fehlerbild: IP geht, Name nicht Wenn interne IP-Adresse funktioniert, aber interner Name nicht, liegt der Fehler meist bei DNS. Beispiel: 192.168.10.50 funktioniert. fileserver.firma.local funktioniert nicht. Prüfen: DNS-Server DNS-Suffix DNS-Record Firewall für DNS Split DNS Cache Merksatz: IP geht, Name nicht: DNS prüfen. VPN und Firewall-Regeln Ein VPN-Tunnel bedeutet nicht automatisch, dass alle Ziele erlaubt sind. Die Firewall muss regeln: Welche VPN-Gruppe darf wohin? Welche Ports sind erlaubt? Welche Protokolle sind erlaubt? Welche Richtung gilt? Welche Zone ist beteiligt? Wird der Zugriff protokolliert? Merksatz: VPN braucht gezielte Firewall-Regeln. VPN-Zone VPN-Verkehr sollte in eigene Firewall-Zonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Admin VPN-Dienstleister VPN-Partner Site-to-Site-Partner Cloud-VPN Vorteil: Regeln können gezielt und übersichtlich erstellt werden. Merksatz: VPN-Zonen verhindern pauschale Vermischung mit LAN. Regelprinzip für VPN Nicht gut: VPN → LAN any allow Besser: VPN-Mitarbeiter → Intranet HTTPS erlauben VPN-Support → bestimmte Clients RDP erlauben VPN-Admin → Managementnetz SSH/RDP erlauben VPN-Dienstleister → Wartungsserver erlauben Merksatz: VPN-Zugriff nach Rolle, Ziel und Dienst begrenzen. VPN und Least Privilege Least Privilege bedeutet: nur notwendige Rechte und Zugriffe erlauben. Bei VPN heißt das: nicht alle Netze nicht alle Ports nicht alle Benutzer nicht dauerhaft nicht ohne Protokollierung Merksatz: VPN-Zugang so eng wie möglich freigeben. VPN und Gruppen VPN-Zugriffe werden oft über Gruppen gesteuert. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admins VPN-Externe VPN-Cloud-Admins Gruppen steuern: Routen Firewall-Regeln DNS Zugriff auf Anwendungen MFA-Anforderungen Merksatz: Gruppen machen VPN-Zugriff verwaltbar. VPN und Benutzerrechte VPN-Zugang allein gibt noch keine Anwendungsrechte. Beispiel: Benutzer erreicht Dateiserver per VPN. Trotzdem braucht er: gültige Anmeldung Freigaberecht Dateisystemrecht Gruppenmitgliedschaft Merksatz: Netzwerkzugang ist nicht dasselbe wie Anwendungsberechtigung. VPN und Host-Firewall Auch wenn die zentrale Firewall Zugriff erlaubt, kann die lokale Firewall des Zielsystems blockieren. Beispiele: Windows Defender Firewall blockiert RDP. Linux-Firewall blockiert SSH. Server erlaubt nur internes LAN, aber nicht VPN-Pool. Merksatz: Zielsystem-Firewall muss VPN-Quellen ebenfalls erlauben. VPN und Serverdienste Der Zielserver muss auf dem richtigen Port lauschen. Prüfen: Dienst läuft? Dienst lauscht auf richtiger IP? Dienst lauscht auf richtigem Port? Dienst erlaubt VPN-Quellen? Anwendung erlaubt Benutzer? Logs zeigen Fehler? Merksatz: VPN erreicht nur Dienste, die auch wirklich laufen und erreichbar sind. VPN und Rückweg über Gateway Ein Server antwortet meist über sein Standardgateway. Wenn das Gateway keine Route zum VPN-Adresspool kennt, geht die Antwort falsch. Beispiel: Server will zu 10.8.0.20 antworten. Gateway kennt 10.8.0.0/24 nicht. Folge: Antwort kommt nicht zurück. Merksatz: Zielnetz muss den VPN-Pool zurückrouten können. VPN und interne Firewalls In größeren Netzen gibt es oft mehrere Firewalls. Beispiel: VPN-Gateway → Core-Firewall → Servernetz-Firewall → Host-Firewall Jede dieser Stellen kann blockieren. Merksatz: Bei VPN-Zugriff alle Filterstellen auf dem Weg prüfen. VPN und VLANs VPN-Benutzer können Zugriff auf bestimmte VLANs erhalten. Beispiele: Client-VLAN Server-VLAN Management-VLAN DMZ-VLAN Wichtig: VPN-Zugriff auf Management-VLAN besonders stark begrenzen. Merksatz: VLAN-Zugriff über VPN bewusst steuern. VPN und DMZ VPN-Gateways können in einer DMZ stehen. Warum? Sie sind von außen erreichbar und sollten vom internen LAN getrennt sein. Nach erfolgreichem VPN-Aufbau dürfen Benutzer nur über definierte Regeln weiter ins interne Netz. Merksatz: VPN-Gateway in DMZ, Zugriff ins LAN nur geregelt. VPN und Extranet Bei Extranet-Zugängen gilt besonders: externe Benutzer nur auf benötigte Systeme keine pauschale LAN-Freigabe eigene Benutzerkonten MFA Ablaufdatum Protokollierung regelmäßige Prüfung Merksatz: Extranet-VPN braucht besonders enge Regeln. VPN und Cloud-Netze Bei Cloud-VPN müssen beide Seiten passen. Lokale Seite: Routen Firewall NAT DNS Cloud-Seite: Routing Table Security Group Network Security Group Cloud Firewall Subnetze DNS Merksatz: Cloud-VPN braucht Regeln und Routen auf beiden Seiten. VPN und IPv6 VPN kann IPv4, IPv6 oder beides transportieren. Wichtig: Wenn IPv6 aktiv ist, müssen auch IPv6-Routen und IPv6-Firewall-Regeln stimmen. Problem: IPv4 funktioniert über VPN, aber IPv6 nimmt anderen Weg. Merksatz: Dual Stack bedeutet: IPv4 und IPv6 prüfen. VPN-Leak Ein VPN-Leak bedeutet: Verkehr geht unerwartet außerhalb des VPN-Tunnels. Beispiele: DNS-Leak: DNS-Anfragen gehen an lokalen Provider statt internen DNS. IPv6-Leak: IPv6-Verkehr geht direkt ins Internet statt durch VPN. Split-Tunnel-Fehlkonfiguration: sensible Ziele gehen nicht durch VPN. Merksatz: VPN-Leak bedeutet: Verkehr nimmt unerwartet den falschen Weg. DNS-Leak Ein DNS-Leak liegt vor, wenn DNS-Anfragen nicht wie vorgesehen über den VPN-DNS laufen. Folgen: interne Namen funktionieren nicht Provider sieht DNS-Anfragen Sicherheitsrichtlinien werden umgangen falsche Antworten werden genutzt Merksatz: DNS-Leak betrifft Namensauflösung außerhalb des gewünschten Weges. IPv6-Leak Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber der Client weiterhin IPv6 direkt nutzt. Folge: Verkehr kann außerhalb des VPNs laufen. Lösung: IPv6 korrekt tunneln oder IPv6 bewusst regeln Merksatz: IPv6 bei VPN nicht vergessen. VPN und Proxy Manche Unternehmen kombinieren VPN mit Proxy. Beispiele: Full Tunnel plus Webproxy Split Tunnel plus Cloudproxy Proxy nur für bestimmte Anwendungen PAC-Datei für Browser Fehlerquellen: falsche Proxy-Einstellungen Proxy nicht über VPN erreichbar Authentifizierung am Proxy schlägt fehl falsche Ausnahmen Merksatz: VPN und Proxy müssen zusammenpassen. VPN und Zertifikate Zertifikate können für VPN wichtig sein. Beispiele: Serverzertifikat des VPN-Gateways Clientzertifikat auf Endgerät Zertifikatskette interne CA Zertifikatswiderruf Ablaufdatum Fehler: Zertifikat abgelaufen Name passt nicht CA nicht vertraut Clientzertifikat fehlt CRL oder OCSP nicht erreichbar Merksatz: VPN-Zertifikate mit Name, Vertrauen, Gültigkeit und Widerruf prüfen. VPN und Zeit Korrekte Zeit ist wichtig für: Zertifikate Kerberos MFA Tokens Logs Sicherheitsprüfungen Wenn die Uhrzeit stark abweicht, können Anmeldungen oder Zertifikate fehlschlagen. Merksatz: VPN-Fehler können durch falsche Uhrzeit entstehen. VPN-Fehlersuche: Grundreihenfolge Eine sinnvolle Reihenfolge: 1. VPN-Art bestimmen. 2. VPN-Protokoll bestimmen. 3. Verbindungsstatus prüfen. 4. Authentifizierung prüfen. 5. VPN-IP prüfen. 6. Routen prüfen. 7. DNS prüfen. 8. Firewall-Regeln prüfen. 9. Zielsystem prüfen. 10. Rückweg prüfen. 11. Logs prüfen. 12. MTU und Performance prüfen. Merksatz: VPN-Fehlersuche braucht Tunnel, Route, DNS, Firewall und Zielsystem. Fehlerbild: VPN verbunden, aber Ziel-IP nicht erreichbar Mögliche Ursachen: - Route fehlt - Firewall blockiert - Zielsystem offline - Rückroute fehlt - Host-Firewall blockiert - VPN-Gruppe darf Ziel nicht erreichen - Adresskonflikt - NAT falsch - falsches Zielnetz Prüfen: VPN-IP Routingtabelle Firewall-Logs Zielsystem Rückweg Merksatz: Ziel-IP nicht erreichbar: Route, Firewall und Rückweg prüfen. Fehlerbild: VPN verbunden, interner Name nicht erreichbar Mögliche Ursachen: - DNS-Server nicht gesetzt - DNS-Suffix fehlt - Split DNS falsch - DNS-Server nicht erreichbar - Firewall blockiert DNS - falscher Record - Cache veraltet Prüfen: DNS-Server DNS-Antwort DNS-Suffix UDP/TCP 53 Split DNS Merksatz: Interner Name nicht erreichbar: DNS prüfen. Fehlerbild: Nur ein Dienst nicht erreichbar Mögliche Ursachen: - Port blockiert - Dienst läuft nicht - Host-Firewall blockiert - Benutzer nicht berechtigt - Anwendung lehnt VPN-Quelle ab - falscher Port - falsches Protokoll - Zertifikat oder TLS-Problem Prüfen: Porttest Dienststatus Firewall-Log Serverlog Berechtigungen Merksatz: Ein Dienst betroffen: Port, Dienst und Anwendung prüfen. Fehlerbild: Zugriff geht nur für manche Benutzer Mögliche Ursachen: - unterschiedliche VPN-Gruppen - unterschiedliche Routen - unterschiedliche Firewall-Regeln - Benutzerrechte fehlen - MFA-Richtlinie unterschiedlich - Clientprofil unterschiedlich - Gerätestatus unterschiedlich - Rolle fehlt Prüfen: Gruppenmitgliedschaft VPN-Profil Routen Rechte Logs Merksatz: Unterschiedliche Benutzer: Gruppen, Rollen und Profile prüfen. Fehlerbild: Zugriff geht nur von manchen Heimnetzen nicht Mögliche Ursachen: - Adresskonflikt mit Heimnetz - lokaler Router blockiert VPN - restriktives WLAN - Provider blockiert - CGNAT oder NAT-Probleme - IPv6 nimmt anderen Weg - DNS des Heimnetzes stört Merksatz: Manche Heimnetze betroffen: lokale Netze, NAT, DNS und IPv6 prüfen. Fehlerbild: VPN langsam oder instabil Mögliche Ursachen: - hohe Latenz - Paketverlust - MTU-Problem - WLAN-Probleme - Full Tunnel überlastet - VPN-Gateway ausgelastet - TCP-over-TCP - schwache Clientleistung - Providerproblem - Sicherheitsprüfung oder Proxy langsam Merksatz: VPN-Performance mit Latenz, Paketverlust, MTU und Auslastung prüfen. Checkliste: VPN-Routing VPN-IP erhalten? Route zum Zielnetz vorhanden? genaueste Route korrekt? Standardroute verändert? Split Tunnel oder Full Tunnel? Zielnetz überschneidet sich? Rückroute vorhanden? mehrere Gateways beteiligt? Routing auf Cloud-Seite korrekt? Routing auf Servernetz-Seite korrekt? Merksatz: VPN-Routing immer auf Client, Gateway und Zielnetz prüfen. Checkliste: VPN-DNS interner DNS gesetzt? DNS-Suffix gesetzt? Split DNS korrekt? UDP 53 erlaubt? TCP 53 erlaubt? interner DNS über VPN erreichbar? liefert DNS richtige IP? A und AAAA prüfen? Cache geleert oder geprüft? interner und externer DNS verglichen? Merksatz: DNS bei VPN immer aus Sicht des VPN-Clients prüfen. Checkliste: VPN-Firewall VPN-Zone korrekt? Quelle VPN-Pool korrekt? Benutzergruppe korrekt? Zielnetz korrekt? Zielhost korrekt? Port korrekt? TCP oder UDP korrekt? Richtung korrekt? Host-Firewall korrekt? Rückverkehr erlaubt? Logs zeigen Treffer? Merksatz: Firewall-Regeln für VPN genau wie andere Regeln prüfen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum reicht ein aufgebauter VPN-Tunnel allein nicht aus? - Warum ist Routing bei VPN wichtig? - Was ist ein VPN-Adresspool? - Warum sind überlappende Netze problematisch? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum ist DNS bei VPN wichtig? - Was ist Split DNS? - Was ist ein DNS-Leak? - Was ist ein IPv6-Leak? - Warum braucht VPN Firewall-Regeln? - Warum sollte VPN-Zugriff nach Rollen begrenzt werden? - Warum kann eine Host-Firewall VPN-Zugriffe blockieren? - Warum ist der Rückweg wichtig? - Wie geht man bei VPN-Fehlersuche systematisch vor? Typische Prüfungsfallen VPN verbunden heißt nicht: alles erreichbar. Route fehlt: Ziel nicht erreichbar. Rückroute fehlt: Antwort kommt nicht zurück. Genaueste Route gewinnt. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN-Adresspool muss eindeutig sein. Heimnetz und Firmennetz dürfen sich nicht überschneiden. DNS ist bei VPN häufige Fehlerquelle. IP geht, Name nicht: DNS prüfen. Interner DNS muss über VPN erreichbar sein. DNS-Suffix kann für kurze Namen nötig sein. Split DNS trennt interne und externe Namensauflösung. DNS-Leak bedeutet DNS außerhalb des gewünschten Weges. IPv6-Leak nicht vergessen. VPN braucht Firewall-Regeln. VPN-Zugriff nicht pauschal ins LAN erlauben. Host-Firewall auf Zielsystem prüfen. VPN-Gruppe beeinflusst Zugriff. Netzwerkzugang ist nicht Anwendungsberechtigung. Cloud-VPN braucht Regeln auf beiden Seiten. Zertifikate, Zeit und Logs bei VPN prüfen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung VPN-Routing Wege für Netze über VPN Routingtabelle Tabelle mit Wegen zu Zielnetzen Standardroute Route für alle nicht genauer bekannten Ziele spezifische Route genauere Route zu bestimmtem Netz Split Tunnel nur ausgewählter Verkehr über VPN Full Tunnel gesamter Verkehr über VPN VPN-Adresspool IP-Bereich für VPN-Clients Adresskonflikt gleiche Netze auf beiden Seiten Rückroute Antwortweg zurück zum VPN-Client asymmetrisches Routing Hin- und Rückweg unterschiedlich VPN-DNS DNS-Einstellungen für VPN-Clients DNS-Suffix Ergänzung für kurze Namen Split DNS getrennte DNS-Auflösung DNS-Leak DNS-Anfrage geht falschen Weg IPv6-Leak IPv6-Verkehr geht außerhalb VPN VPN-Zone Firewall-Zone für VPN-Verkehr VPN-Gruppe Gruppe zur Steuerung von VPN-Rechten Host-Firewall Firewall auf dem Zielsystem Cloud-VPN Verbindung zu Cloud-Netz Rückweg Antwortpfad zum Absender IHK-sichere Kurzformulierung Ein aufgebauter VPN-Tunnel allein reicht nicht aus, damit interne Ressourcen erreichbar sind. Zusätzlich müssen Routing, DNS, Firewall-Regeln, Rückwege und Berechtigungen stimmen. Der VPN-Client benötigt passende Routen zu den internen Zielnetzen. Bei Split Tunneling wird nur ausgewählter Verkehr durch das VPN geleitet, während bei Full Tunnel der gesamte Verkehr durch den VPN-Tunnel läuft. Der VPN-Adresspool darf sich nicht mit lokalen oder internen Netzen überschneiden, da sonst Routingprobleme entstehen. Für interne Namen müssen interne DNS-Server, DNS-Suffixe oder Split-DNS-Regeln korrekt gesetzt sein. VPN-Zugriffe sollten über eigene Firewall-Zonen, Gruppen und Least-Privilege-Regeln gesteuert werden. Merksätze VPN verbunden heißt nicht: Zugriff funktioniert. Ohne Route kein Weg. Ohne Rückroute keine Antwort. Genaueste Route gewinnt. Standardroute gilt nur, wenn nichts Spezifischeres passt. Split Tunnel leitet ausgewählten Verkehr. Full Tunnel leitet gesamten Verkehr. VPN-Adresspool muss eindeutig sein. Überlappende Netze vermeiden. Heimnetzkonflikte sind häufig. Jede Zielroute muss bekannt sein. NAT im VPN macht Analyse schwieriger. VPN-DNS ist wichtig für interne Namen. DNS-Suffix hilft bei Kurznamen. Split DNS trennt interne und externe Auflösung. IP geht, Name nicht: DNS prüfen. VPN braucht Firewall-Regeln. VPN-Zonen schaffen Übersicht. VPN-Zugriff nach Rollen begrenzen. Least Privilege gilt auch im VPN. Netzwerkzugang ist nicht Anwendungsrecht. Host-Firewall mitprüfen. Zielsystem muss Dienst bereitstellen. Rückweg über Gateway prüfen. Cloud-VPN braucht Regeln beidseitig. IPv6 bei VPN nicht vergessen. DNS-Leak bedeutet falscher DNS-Weg. IPv6-Leak bedeutet falscher IPv6-Weg. Zertifikate und Zeit können VPN beeinflussen. VPN-Fehlersuche braucht Tunnel, Route, DNS, Firewall, Zielsystem und Logs. 14.5 VPN-Sicherheit, Zugriffskontrolle und typische Risiken Ein VPN stellt einen sicheren Tunnel bereit. Aber: Ein VPN allein macht ein Netzwerk nicht automatisch sicher. Wichtig sind zusätzlich: - starke Authentifizierung - klare Berechtigungen - Firewall-Regeln - Protokollierung - Gerätesicherheit - Rollenmodell - regelmäßige Prüfung - Monitoring - saubere Dokumentation Merksatz: VPN ist ein Zugang ins Netz. Deshalb muss dieser Zugang besonders geschützt werden. Warum VPN-Sicherheit wichtig ist Ein VPN-Zugang kann sehr mächtig sein. Wenn ein Angreifer VPN-Zugang erhält, kann er je nach Konfiguration interne Systeme erreichen. Mögliche Folgen: - Zugriff auf interne Server - Zugriff auf Dateifreigaben - Ausbreitung von Malware - Angriff auf Managementsysteme - Datenabfluss - Manipulation interner Dienste - Umgehung äußerer Schutzmaßnahmen Merksatz: Ein schlecht abgesicherter VPN-Zugang ist ein großes Risiko. VPN ist kein Freifahrtschein Ein häufiger Fehler ist: Benutzer ist per VPN verbunden. Also darf er alles im internen Netz erreichen. Das ist unsicher. Besser: Benutzer bekommt nur Zugriff auf die Systeme, die er für seine Aufgabe braucht. Beispiele: Mitarbeiter: Intranet und Dateiablage Support: Ticketsystem und bestimmte Clients Administrator: Managementsysteme Dienstleister: nur definierter Wartungsserver Merksatz: VPN verbunden heißt nicht: Zugriff auf alles erlaubt. Authentifizierung Authentifizierung bedeutet: Wer bist du? Beim VPN wird geprüft, ob der Benutzer oder das Gerät wirklich berechtigt ist. Mögliche Faktoren: Benutzername Passwort Zertifikat MFA Token Smartcard Gerätezertifikat SSO biometrischer Faktor Merksatz: Authentifizierung prüft die Identität. Autorisierung Autorisierung bedeutet: Was darfst du? Nach erfolgreicher Anmeldung entscheidet das System, welche Ziele, Dienste und Anwendungen erlaubt sind. Beispiele: Zugriff auf Servernetz erlaubt? Zugriff auf Managementnetz erlaubt? Zugriff auf RDP erlaubt? Zugriff auf Datenbank verboten? Zugriff nur auf HTTPS erlaubt? Merksatz: Authentifizierung ist Anmeldung. Autorisierung ist Berechtigung. MFA bei VPN MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Beispiele: Passwort + Authenticator-App Passwort + Hardwaretoken Zertifikat + PIN Smartcard + PIN Warum wichtig? Passwörter können gestohlen werden. Phishing kann Zugangsdaten abgreifen. VPN ist aus dem Internet erreichbar. VPN-Zugang führt oft in interne Netze. Merksatz: VPN-Zugänge sollten möglichst mit MFA geschützt werden. MFA ist nicht unfehlbar MFA erhöht die Sicherheit deutlich, ist aber kein vollständiger Schutz. Risiken bleiben: Phishing MFA-Push-Fatigue gestohlene Session-Tokens unsicheres Endgerät Social Engineering schlecht konfigurierte Ausnahmen fehlende Gerätekontrolle Merksatz: MFA ist stark, aber kein Ersatz für weitere Schutzmaßnahmen. MFA-Push-Fatigue MFA-Push-Fatigue bedeutet: Ein Angreifer löst viele MFA-Anfragen aus, bis der Benutzer genervt oder aus Versehen bestätigt. Schutz: Number Matching kurze Hinweise zur Anfrage Schulung verdächtige Anfragen melden Rate Limiting keine blinde Bestätigung Merksatz: MFA-Anfragen niemals automatisch bestätigen. Zertifikatsbasierte VPN-Authentifizierung VPN kann Zertifikate verwenden. Dabei kann geprüft werden: Ist das Gerät zugelassen? Ist der Benutzer zugelassen? Ist das Zertifikat gültig? Wurde das Zertifikat widerrufen? Vertraut der Client dem VPN-Gateway? Vorteile: stärker als Passwort allein Gerätebindung möglich Widerruf einzelner Zertifikate möglich gut für verwaltete Geräte Merksatz: Zertifikate können VPN-Zugriffe stärker an Geräte oder Identitäten binden. Clientzertifikat Ein Clientzertifikat liegt auf dem Endgerät oder in einem sicheren Speicher. Es kann beweisen: Dieses Gerät oder dieser Benutzer ist berechtigt, sich am VPN anzumelden. Wichtig: privater Schlüssel schützen Zertifikat nicht kopieren verlorene Geräte sperren Zertifikat bei Austritt widerrufen Ablaufdatum überwachen Merksatz: Clientzertifikat ist nur sicher, wenn der private Schlüssel geschützt ist. Serverzertifikat Das Serverzertifikat des VPN-Gateways hilft dem Client zu prüfen: Verbinde ich mich wirklich mit dem richtigen VPN-Server? Fehler können sein: Zertifikat abgelaufen Name passt nicht CA nicht vertrauenswürdig Zertifikatskette unvollständig falsches Zertifikat auf Gateway Merksatz: Serverzertifikat schützt vor Verbindung zur falschen Gegenstelle. Zertifikatswiderruf Wenn ein Zertifikat nicht mehr vertrauenswürdig ist, muss es widerrufen werden. Gründe: Gerät verloren privater Schlüssel kompromittiert Benutzer ausgeschieden Dienstleisterzugang beendet Zertifikat falsch ausgestellt Widerruf kann geprüft werden über: CRL OCSP Merksatz: Zertifikate müssen widerrufen werden können. Benutzergruppen VPN-Zugriffe sollten über Gruppen gesteuert werden. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admins VPN-Dienstleister VPN-Partner Vorteil: Regeln bleiben übersichtlich. Rechte lassen sich zentral verwalten. Austritte und Rollenwechsel sind einfacher. Zugriff kann nach Aufgabe getrennt werden. Merksatz: Gruppen machen VPN-Berechtigungen verwaltbar. Rollenmodell Ein Rollenmodell beschreibt, welche Rolle welche Zugriffe bekommt. Beispiel: Rolle erlaubter Zugriff Mitarbeiter Intranet, Dateiablage Support Ticketsystem, bestimmte Clients Administrator Managementnetz, Serververwaltung Dienstleister definierter Wartungsserver Partner Extranet-Portal Cloud-Admin Cloud-Managementzugänge Merksatz: Rollenmodell verhindert pauschale Freigaben. Least Privilege beim VPN Least Privilege bedeutet: nur die Rechte, die wirklich benötigt werden. Beim VPN heißt das: keine pauschale LAN-Freigabe keine unnötigen Ports keine unnötigen Zielnetze keine Dauerzugänge für Externe keine gemeinsamen Konten keine Adminrechte für normale Benutzer Merksatz: VPN-Zugriff so eng wie möglich, so weit wie nötig. Need to Know beim VPN Need to Know bedeutet: Zugriff nur auf Informationen oder Systeme, die für die Aufgabe notwendig sind. Beispiel: Ein Lieferant braucht Zugriff auf Bestelldaten, aber nicht auf Personalakten. Ein Wartungsdienstleister braucht Zugriff auf eine Anlage, aber nicht auf das gesamte Servernetz. Merksatz: VPN-Zugriff nach Aufgabe begrenzen, nicht nach Bequemlichkeit. Zero Trust und VPN Zero Trust bedeutet: kein Zugriff wird automatisch vertraut. Auch nach VPN-Verbindung wird weiter geprüft: Wer ist der Benutzer? Welches Gerät wird genutzt? Ist MFA erfüllt? Ist das Gerät aktuell? Welche Anwendung wird aufgerufen? Welche Rolle hat der Benutzer? Ist der Zugriff ungewöhnlich? Merksatz: Zero Trust prüft Zugriff fortlaufend und kontextbezogen. Klassisches VPN und Zero Trust vergleichen Merkmal klassisches VPN Zero-Trust-Zugriff Zugriff oft Netzwerkzugriff meist Anwendungszugriff Prüfung häufig beim Tunnelaufbau kontinuierlicher Reichweite kann breit sein stärker begrenzt Risiko laterale Bewegung möglich weniger pauschaler Netzblick Vorteil bewährt, flexibel feiner steuerbar Merksatz: VPN verbindet oft ins Netz. Zero Trust gibt gezielt Anwendungen frei. Laterale Bewegung Laterale Bewegung bedeutet: Ein Angreifer bewegt sich nach dem ersten Zugriff weiter im internen Netz. Beispiel: Angreifer erhält VPN-Zugang. Danach scannt er interne Server. Anschließend greift er weitere Systeme an. Schutz: Segmentierung Firewall-Regeln Least Privilege Monitoring EDR getrennte Adminzugänge keine pauschale VPN-Freigabe Merksatz: VPN darf keine einfache Bewegung durchs ganze Netz ermöglichen. Netzsegmentierung Netzsegmentierung bedeutet: Das Netzwerk wird in getrennte Bereiche aufgeteilt. Beispiele: Clientnetz Servernetz Managementnetz DMZ Gastnetz IoT-Netz VPN-Zone Extranet-Zone Vorteil: Ein kompromittierter Bereich kann nicht automatisch alles erreichen. Merksatz: Segmentierung begrenzt Schäden. VPN-Zone Eine VPN-Zone ist eine eigene Sicherheitszone für VPN-Verkehr. Beispiele: VPN-Mitarbeiter-Zone VPN-Admin-Zone VPN-Dienstleister-Zone VPN-Partner-Zone Dadurch kann man Firewall-Regeln gezielt definieren. Merksatz: VPN-Zonen verhindern, dass VPN-Verkehr wie normales LAN behandelt wird. Admin-VPN besonders schützen Admin-Zugänge sind besonders kritisch. Admin-VPN sollte streng geschützt werden: separate Admin-Konten MFA Zertifikat Zugriff nur von verwalteten Geräten keine private Nutzung Zugriff nur auf Managementnetze Protokollierung Alarmierung bei Fehlversuchen regelmäßige Prüfung Merksatz: Admin-VPN ist Hochrisiko-Zugang. Dienstleister-VPN besonders begrenzen Externe Dienstleister sollten keinen breiten VPN-Zugriff erhalten. Sicherer ist: eigenes Konto pro Person keine Sammelkonten MFA zeitliche Begrenzung Zugriff nur auf Zielsystem Protokollierung Freigabeprozess Deaktivierung nach Wartung regelmäßige Prüfung Merksatz: Dienstleisterzugang muss eng, nachvollziehbar und zeitlich begrenzt sein. Sammelkonten vermeiden Sammelkonten sind gemeinsame Benutzerkonten, die mehrere Personen nutzen. Problem: keine eindeutige Zuordnung schwierige Nachvollziehbarkeit Passwort wird weitergegeben Sperrung einzelner Personen schwer Sicherheitsvorfälle schwer aufklärbar Merksatz: Jeder VPN-Benutzer braucht ein eigenes Konto. Zeitlich begrenzter Zugriff Manche VPN-Zugänge sollten nur für ein Zeitfenster aktiv sein. Beispiele: Wartung am Samstag Projektzugang für zwei Wochen externer Support während Störung temporäre Migration Nach Ende: Zugriff deaktivieren Regel entfernen Konto sperren Logs prüfen Dokumentation aktualisieren Merksatz: Temporärer Zugriff darf nicht dauerhaft bleiben. Offboarding Offboarding bedeutet: Zugriffe bei Austritt oder Rollenwechsel entfernen. Beim VPN wichtig: Konto deaktivieren Gruppenmitgliedschaft entfernen Zertifikate widerrufen Tokens sperren Gerätezugriff entziehen Dienstleisterzugänge prüfen Dokumentation aktualisieren Merksatz: Wer nicht mehr berechtigt ist, darf keinen VPN-Zugang behalten. Gerätesicherheit beim VPN Ein VPN-Client ist ein Einstiegspunkt ins interne Netz. Deshalb sollte das Gerät sicher sein. Wichtige Anforderungen: aktuelles Betriebssystem aktuelle Sicherheitsupdates Schutzsoftware Festplattenverschlüsselung Bildschirmsperre kein lokaler Admin für Alltagsnutzer sichere Konfiguration MDM oder Gerätemanagement keine Malware Merksatz: Unsicheres Gerät plus VPN ist gefährlich. Managed Device Ein Managed Device ist ein verwaltetes Gerät. Das Unternehmen kann Vorgaben prüfen und durchsetzen. Beispiele: Updates Verschlüsselung Gerätesperre Zertifikate VPN-Profil Sicherheitsrichtlinien Softwarestand Remote Wipe bei Verlust Merksatz: Verwaltete Geräte sind für VPN-Zugänge besser kontrollierbar. BYOD und VPN BYOD steht für: Bring Your Own Device Dabei nutzt ein Benutzer ein privates Gerät beruflich. Bei VPN ist das riskant, wenn das private Gerät nicht kontrolliert wird. Fragen: Ist das Gerät aktuell? Ist es verschlüsselt? Ist es kompromittiert? Gibt es MDM? Sind Firmen- und Privatdaten getrennt? Kann Zugriff bei Verlust entzogen werden? Merksatz: BYOD-VPN braucht klare Regeln und technische Kontrolle. Geräteprüfung vor VPN-Zugang Manche Umgebungen prüfen Geräte vor dem Zugriff. Prüfkriterien: aktueller Patchstand aktivierte Festplattenverschlüsselung aktive Schutzsoftware Gerätezertifikat vorhanden nicht gerootet oder jailbroken MDM-konform sichere Bildschirmperre Merksatz: Nicht jedes Gerät sollte automatisch VPN-Zugang bekommen. Posture Check Posture Check bedeutet: Der Sicherheitszustand eines Geräts wird geprüft. Beispiele: Ist Antivirus aktiv? Ist das Betriebssystem aktuell? Ist die Festplatte verschlüsselt? Ist das Gerät verwaltet? Ist ein Zertifikat vorhanden? Merksatz: Posture Check prüft, ob ein Gerät sicher genug für Zugriff ist. VPN und Malware Wenn ein Gerät mit Malware infiziert ist, kann VPN gefährlich werden. Risiken: Malware erreicht interne Systeme. Zugangsdaten werden abgegriffen. interne Server werden gescannt. Daten werden exfiltriert. Ransomware breitet sich aus. Schutz: Endgeräteschutz EDR Segmentierung Least Privilege Monitoring keine pauschalen Freigaben Merksatz: VPN kann Malware einen Weg ins interne Netz geben, wenn Zugriffe zu breit sind. VPN und Phishing Angreifer versuchen oft, VPN-Zugangsdaten zu stehlen. Typische Methoden: gefälschte Loginseiten gefälschte Support-Mails MFA-Abfragen auslösen Passwort-Wiederverwendung ausnutzen Schadsoftware auf Endgerät Schutz: MFA Schulung Passwortmanager Zertifikate verdächtige Logins erkennen klare Meldewege Merksatz: VPN-Zugangsdaten sind ein attraktives Angriffsziel. VPN und Brute Force Brute Force bedeutet: Angreifer probieren viele Zugangsdaten aus. Schutzmaßnahmen: MFA Account Lockout Rate Limiting starke Passwörter keine Standardkonten Geoblocking bei Bedarf Monitoring Alarmierung Merksatz: VPN-Loginversuche müssen überwacht und begrenzt werden. VPN und Passwort-Wiederverwendung Wenn Benutzer dasselbe Passwort bei mehreren Diensten verwenden, kann ein fremder Datenabfluss zum VPN-Risiko werden. Beispiel: Passwort aus privatem Dienst wird geleakt. Angreifer probiert es am VPN-Portal. Login funktioniert. Schutz: Passwortmanager eindeutige Passwörter MFA Leak-Erkennung Schulung Merksatz: Wiederverwendete Passwörter gefährden VPN-Zugänge. VPN und Logging VPN-Zugriffe sollten protokolliert werden. Wichtige Informationen: Benutzer Gerät Quell-IP Zeitpunkt VPN-IP Verbindungsdauer MFA-Ergebnis zugewiesene Gruppe Fehlergrund getrennte Verbindung Zielzugriffe je nach System Merksatz: VPN-Logs ermöglichen Nachvollziehbarkeit. VPN und Alarmierung Bestimmte VPN-Ereignisse sollten Alarm auslösen. Beispiele: viele fehlgeschlagene Logins Login aus ungewöhnlichem Land Admin-VPN außerhalb Arbeitszeit neues Gerät abgelaufenes Zertifikat Dienstleisterzugang außerhalb Zeitfenster ungewöhnlich lange Verbindung ungewöhnlich hoher Datenverkehr Merksatz: Kritische VPN-Ereignisse sollten nicht unbemerkt bleiben. VPN und Monitoring VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Tunnelstatus aktive Benutzer CPU des Gateways RAM Bandbreite Paketverlust Latenz Fehlversuche Zertifikatsablauf Lizenzgrenzen Verbindungsabbrüche Merksatz: VPN ist kritische Infrastruktur und gehört ins Monitoring. VPN und Protokollierung von Adminaktionen Bei Admin-VPN reicht oft nicht nur der Login. Zusätzlich wichtig: Welche Systeme wurden verwaltet? Welche Änderungen wurden durchgeführt? Welche Befehle wurden ausgeführt? Welche Tickets gehören dazu? Wer hat die Änderung freigegeben? Je nach Umgebung werden dafür Bastion Hosts, Jump Server oder Session Recording genutzt. Merksatz: Adminzugriffe müssen besonders nachvollziehbar sein. Bastion Host Ein Bastion Host ist ein besonders gehärteter Zwischenserver für administrative Zugriffe. Ablauf: Admin verbindet sich per VPN. Admin verbindet sich auf Bastion Host. Von dort geht es zu Zielsystemen. Vorteile: zentraler Kontrollpunkt bessere Protokollierung weniger direkte Zugriffe klare Zugriffspfade Merksatz: Bastion Host bündelt und kontrolliert Adminzugriffe. Jump Server Jump Server ist ein ähnlicher Begriff wie Bastion Host. Er dient als Sprungpunkt in geschützte Netze. Beispiele: Zugriff auf Servernetz Zugriff auf Managementnetz Zugriff auf OT-Netz Zugriff auf Cloud-Adminsysteme Merksatz: Jump Server verhindert direkte Adminzugriffe von beliebigen Clients. VPN und Managementnetz Managementnetze enthalten besonders kritische Systeme. Beispiele: Switch-Verwaltung Firewall-Verwaltung Hypervisor Backup-System Monitoring Storage-System Domain Controller Admin-Portale VPN-Zugriff auf Managementnetze sollte nur für berechtigte Admins erlaubt sein. Merksatz: Managementnetz niemals breit per VPN freigeben. VPN und DMZ Ein VPN-Gateway kann in einer DMZ stehen. Grund: Es ist von außen erreichbar. Nach erfolgreicher Anmeldung wird der Verkehr kontrolliert weitergeleitet. Wichtig: DMZ vom LAN trennen nur notwendige Regeln Gateway härten Logs prüfen Updates durchführen Monitoring aktivieren Merksatz: VPN-Gateway von außen erreichbar, LAN-Zugriff danach streng regeln. VPN und Patchmanagement VPN-Systeme müssen aktuell gehalten werden. Wichtig: VPN-Gateway patchen VPN-Client aktualisieren Betriebssystem aktualisieren Bibliotheken aktualisieren alte Protokolle deaktivieren bekannte Schwachstellen beachten Merksatz: VPN-Systeme sind internetnah und müssen aktuell bleiben. VPN und Hardening Hardening bedeutet: System sicher konfigurieren und unnötige Angriffsfläche reduzieren. Beim VPN: nur notwendige Protokolle aktivieren starke Kryptografie alte Verfahren deaktivieren Adminzugänge begrenzen Logs aktivieren MFA erzwingen Standardkonten entfernen sichere TLS-Konfiguration regelmäßige Prüfung Merksatz: Hardening verringert die Angriffsfläche. VPN und Backup der Konfiguration VPN-Konfigurationen sollten gesichert werden. Warum? Wiederherstellung nach Ausfall Fehlkonfiguration rückgängig machen Migration Vergleich nach Änderungen Disaster Recovery Wichtig: Backups sicher speichern, weil sie sensible Informationen enthalten können. Merksatz: VPN-Konfigurationsbackup sicher aufbewahren. VPN und Änderungsmanagement VPN-Änderungen sollten kontrolliert durchgeführt werden. Beispiele für Änderungen: neue Firewall-Regel neue VPN-Gruppe neuer Dienstleisterzugang Zertifikat erneuern Protokoll wechseln Gateway aktualisieren neue Route hinzufügen Wichtig: Zweck dokumentieren Test durchführen Rollback planen Verantwortlichen nennen Ticket oder Änderungsnachweis erfassen Merksatz: VPN-Änderungen brauchen Dokumentation und Rückweg. Typische VPN-Sicherheitsfehler Häufige Fehler: - VPN ohne MFA - gemeinsame Konten - zu breite Firewall-Regeln - VPN → LAN any allow - Adminzugriff ohne Trennung - Dienstleisterzugang dauerhaft aktiv - alte VPN-Protokolle - schwache PSKs - fehlende Logs - keine Alarmierung - unsichere Endgeräte - keine Zertifikatsprüfung - veraltete VPN-Gateways - fehlendes Offboarding Merksatz: Die meisten VPN-Risiken entstehen durch zu breite oder schlecht kontrollierte Zugriffe. Sichere VPN-Grundregeln 1. MFA aktivieren. 2. Eigene Konten pro Benutzer nutzen. 3. Keine Sammelkonten verwenden. 4. Rollenmodell erstellen. 5. VPN-Zonen nutzen. 6. Firewall-Regeln eng setzen. 7. Dienstleisterzugriffe zeitlich begrenzen. 8. Adminzugänge trennen. 9. Geräte prüfen. 10. Logs und Monitoring aktivieren. 11. Alte Protokolle deaktivieren. 12. Zertifikate verwalten. 13. Offboarding durchführen. 14. Änderungen dokumentieren. Merksatz: VPN-Sicherheit entsteht durch Technik, Prozesse und klare Rechte. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist VPN allein kein vollständiges Sicherheitskonzept? - Warum sollte VPN mit MFA abgesichert werden? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Warum sind Sammelkonten problematisch? - Warum sollte VPN-Zugriff nach Rollen begrenzt werden? - Was bedeutet Least Privilege beim VPN? - Warum sind Dienstleisterzugänge besonders kritisch? - Was ist ein Bastion Host? - Was ist ein Jump Server? - Warum ist Gerätesicherheit beim VPN wichtig? - Was ist ein Posture Check? - Warum sind VPN-Logs wichtig? - Welche Ereignisse sollten bei VPN alarmiert werden? - Warum muss ein VPN-Gateway gepatcht werden? - Welche typischen VPN-Sicherheitsfehler gibt es? Typische Prüfungsfallen VPN ist nicht automatisch sicher, nur weil es verschlüsselt. VPN schützt den Tunnel, aber nicht automatisch alle Zielsysteme. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Benutzerrechte. VPN ohne MFA ist riskant. Authentifizierung ist nicht Autorisierung. VPN verbunden heißt nicht: alles erlaubt. Sammelkonten sind schlecht nachvollziehbar. Dienstleisterzugänge zeitlich begrenzen. Adminzugänge getrennt behandeln. Managementnetz besonders schützen. BYOD braucht klare Regeln. Unsichere Endgeräte sind Risiko. Zertifikate brauchen Verwaltung und Widerruf. VPN-Logs sind sicherheitsrelevant. Monitoring erkennt ungewöhnliche Zugriffe. Patchmanagement für VPN-Gateways ist kritisch. Alte VPN-Protokolle vermeiden. Least Privilege gilt auch im VPN. Zero Trust kann breiten VPN-Zugriff reduzieren. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Authentifizierung Identität prüfen Autorisierung Rechte prüfen MFA Multi-Faktor-Authentifizierung Clientzertifikat Zertifikat für Benutzer oder Gerät Serverzertifikat Zertifikat des VPN-Gateways Zertifikatswiderruf Zertifikat für ungültig erklären CRL Zertifikatsperrliste OCSP Online-Prüfung von Zertifikatsstatus Benutzergruppe Gruppe zur Rechtevergabe Rollenmodell Zuordnung von Rollen zu Zugriffsrechten Least Privilege nur notwendige Rechte Need to Know Zugriff nur bei Bedarf Zero Trust kein automatisches Vertrauen laterale Bewegung Ausbreitung im internen Netz Segmentierung Trennung von Netzbereichen VPN-Zone eigene Sicherheitszone für VPN BYOD private Geräte im Unternehmenseinsatz Managed Device verwaltetes Gerät Posture Check Prüfung des Gerätezustands Bastion Host gehärteter Zwischenserver Jump Server Sprungserver für Adminzugriffe Hardening sichere Systemkonfiguration Offboarding Entfernen nicht mehr nötiger Zugriffe Sammelkonto gemeinsam genutztes Benutzerkonto IHK-sichere Kurzformulierung Ein VPN stellt einen geschützten Tunnel bereit, ist aber allein kein vollständiges Sicherheitskonzept. VPN-Zugriffe müssen durch starke Authentifizierung, möglichst MFA, Zertifikate, Benutzergruppen, Rollenmodelle, Firewall-Regeln, Least Privilege, Gerätesicherheit, Logging und Monitoring abgesichert werden. Authentifizierung prüft die Identität eines Benutzers oder Geräts, während Autorisierung festlegt, welche Ressourcen genutzt werden dürfen. Externe Dienstleister und Administratoren benötigen besonders streng begrenzte und nachvollziehbare Zugänge. Sammelkonten, pauschale LAN-Freigaben, fehlende MFA, veraltete VPN-Protokolle und unsichere Endgeräte sind typische Sicherheitsrisiken. Merksätze VPN ist ein Zugang ins Netz. VPN allein ist kein vollständiges Sicherheitskonzept. VPN schützt den Tunnel, nicht automatisch alle Ziele. Authentifizierung = Wer bist du? Autorisierung = Was darfst du? MFA schützt VPN-Zugänge deutlich besser. MFA ist wichtig, aber nicht unfehlbar. Zertifikate binden Zugriff an Identität oder Gerät. Privater Schlüssel muss geschützt werden. Zertifikate müssen widerrufen werden können. Gruppen steuern VPN-Zugriff. Rollenmodell verhindert Pauschalfreigaben. Least Privilege gilt auch im VPN. Need to Know begrenzt Informationszugriff. Zero Trust vertraut nicht automatisch. Laterale Bewegung verhindern. Segmentierung begrenzt Schäden. VPN-Zonen trennen Zugriffe. Admin-VPN besonders schützen. Dienstleister-VPN zeitlich begrenzen. Sammelkonten vermeiden. Offboarding konsequent durchführen. Unsichere Endgeräte sind Risiko. BYOD braucht klare Regeln. Posture Check prüft Gerätesicherheit. Malware auf VPN-Client gefährdet interne Systeme. VPN-Logins überwachen. Auffällige VPN-Ereignisse alarmieren. Bastion Host bündelt Adminzugriffe. Managementnetz niemals breit freigeben. VPN-Gateway patchen. Hardening reduziert Angriffsfläche. VPN-Änderungen dokumentieren. 14.6 VPN-Fehlersuche in der Praxis VPN-Probleme wirken oft so, als wäre „das Netzwerk kaputt“. Tatsächlich können VPN-Fehler an vielen Stellen entstehen: - Internetverbindung - VPN-Client - VPN-Gateway - Benutzeranmeldung - MFA - Zertifikat - Routing - DNS - Firewall - NAT - Zielsystem - Host-Firewall - Berechtigungen - MTU - Performance Merksatz: VPN-Fehlersuche ist nie nur Tunnelprüfung. Grundidee der VPN-Fehlersuche Ein VPN-Zugriff besteht aus mehreren Schritten. Vereinfacht: 1. Client erreicht VPN-Gateway. 2. Benutzer oder Gerät authentifiziert sich. 3. Tunnel wird aufgebaut. 4. Client erhält VPN-Konfiguration. 5. Routen werden gesetzt. 6. DNS wird gesetzt. 7. Firewall erlaubt Zugriff. 8. Zielsystem antwortet. 9. Anwendung erlaubt Zugriff. Wenn ein Schritt fehlschlägt, funktioniert der Zugriff nicht vollständig. Merksatz: VPN funktioniert nur, wenn alle Schritte der Zugriffskette passen. VPN-Fehlersuche nach Fehlerbild Wichtige erste Frage: Was genau funktioniert nicht? Typische Fehlerbilder: VPN verbindet gar nicht. VPN verbindet, aber interne IPs gehen nicht. VPN verbindet, aber interne Namen gehen nicht. VPN verbindet, aber nur bestimmte Dienste gehen nicht. VPN verbindet, aber Zugriff ist langsam. VPN verbindet, aber bricht ab. VPN funktioniert nur für manche Benutzer. VPN funktioniert nur aus manchen Netzen. Merksatz: Das Fehlerbild entscheidet, wo man zuerst sucht. Fehlerbild 1: VPN verbindet gar nicht Wenn VPN gar nicht verbindet, liegt der Fehler vor oder während des Tunnelaufbaus. Mögliche Ursachen: falsche VPN-Serveradresse Internetverbindung gestört VPN-Gateway nicht erreichbar Port oder Protokoll blockiert Benutzername falsch Passwort falsch Konto gesperrt MFA schlägt fehl Zertifikat ungültig Clientversion veraltet Lizenzproblem VPN-Dienst auf Gateway gestoppt Merksatz: Wenn VPN nicht verbindet, zuerst Erreichbarkeit, Anmeldung, MFA und Zertifikate prüfen. Prüfung: Ist das VPN-Gateway erreichbar? Vor der VPN-Anmeldung muss der Client das Gateway erreichen. Prüfen: DNS-Name des VPN-Gateways korrekt? öffentliche IP erreichbar? richtiger Port offen? TCP oder UDP korrekt? Firewall oder Provider blockiert? Gateway online? Wartungsfenster aktiv? Zertifikat gültig? Typische Fehler: falscher Hostname alte öffentliche IP DNS zeigt auf falsches Ziel Port am Gateway nicht offen UDP im fremden Netz blockiert Merksatz: Ohne erreichbares Gateway kein VPN-Tunnel. Prüfung: DNS-Name des VPN-Gateways Viele VPN-Clients verbinden sich zu einem Namen. Beispiel: vpn.firma.de Wenn dieser Name falsch auflöst, verbindet sich der Client zum falschen Ziel oder gar nicht. Prüfen: liefert DNS die richtige öffentliche IP? gibt es alte DNS-Einträge? ist der DNS-Cache veraltet? funktioniert Auflösung intern und extern gleich? wird IPv4 oder IPv6 verwendet? Merksatz: VPN-Gateway-Namen immer aus Sicht des Clients prüfen. Prüfung: Port und Protokoll Je nach VPN-Protokoll müssen andere Ports oder Protokolle erreichbar sein. Beispiele: VPN-Technik häufig relevant IPsec IKE UDP 500 IPsec NAT-T UDP 4500 IPsec ESP IP-Protokoll 50 OpenVPN häufig UDP 1194 oder konfiguriert WireGuard häufig UDP 51820 TLS-VPN häufig TCP 443 Wichtig: UDP und TCP nicht verwechseln. Merksatz: VPN-Fehlersuche braucht Kenntnis von Port und Protokoll. Fehlerbild 2: Anmeldung schlägt fehl Wenn das Gateway erreichbar ist, aber die Anmeldung fehlschlägt, liegt der Fehler eher bei Identität oder Richtlinie. Mögliche Ursachen: Benutzername falsch Passwort falsch Konto gesperrt Konto deaktiviert Passwort abgelaufen MFA nicht bestätigt MFA nicht eingerichtet Benutzer nicht in VPN-Gruppe Login nur von verwaltetem Gerät erlaubt Conditional Access blockiert Zertifikat fehlt oder ungültig Zeitabweichung Merksatz: Anmeldefehler sind meistens Authentifizierung oder Zugriffsrichtlinie. Authentifizierung und Autorisierung trennen Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiel: Benutzer meldet sich korrekt an, ist aber nicht in der VPN-Gruppe. Dann ist die Identität korrekt, aber der VPN-Zugriff nicht erlaubt. Merksatz: Erfolgreiche Anmeldung heißt nicht automatisch: VPN-Zugriff erlaubt. Fehlerbild 3: MFA schlägt fehl Mögliche Ursachen: Benutzer bestätigt nicht falsches Gerät registriert Authenticator-App nicht eingerichtet Uhrzeit falsch Push-Anfrage kommt nicht an Benutzer ist gesperrt Richtlinie verlangt anderen Faktor Number Matching falsch Angreifer löst Push-Fatigue aus Prüfen: MFA-Log Benutzerstatus registrierte Faktoren Uhrzeit Richtlinie Fehlermeldung Merksatz: MFA-Probleme immer mit Authentifizierungslogs prüfen. Fehlerbild 4: Zertifikatsfehler VPN-Zertifikate können auf Client- oder Serverseite Probleme verursachen. Mögliche Ursachen: Serverzertifikat abgelaufen Clientzertifikat abgelaufen Zertifikatskette unvollständig CA nicht vertrauenswürdig Name passt nicht Zertifikat widerrufen privater Schlüssel fehlt falsches Zertifikat ausgewählt Systemzeit falsch Merksatz: Zertifikatsfehler mit Name, Gültigkeit, CA, Schlüssel und Zeit prüfen. Fehlerbild 5: VPN verbindet, aber interne IPs gehen nicht Wenn VPN verbunden ist, aber interne IP-Adressen nicht erreichbar sind, liegt der Fehler meist nach dem Tunnelaufbau. Mögliche Ursachen: Route zum Zielnetz fehlt Rückroute fehlt Firewall-Regel fehlt Zielsystem offline Host-Firewall blockiert VPN-Gruppe darf Ziel nicht erreichen Adresskonflikt mit Heimnetz NAT falsch falscher VPN-Adresspool falsches Zielnetz Merksatz: VPN verbunden, aber IP nicht erreichbar: Route, Firewall, Rückweg und Zielsystem prüfen. Prüfung: VPN-IP erhalten? Ein VPN-Client bekommt häufig eine Adresse aus einem VPN-Adresspool. Beispiel: VPN-IP: 10.8.0.25 Prüfen: Hat der Client eine VPN-IP bekommen? Liegt sie im richtigen Pool? Passt der Pool zur Benutzergruppe? Gibt es doppelte Adressen? Ist der Pool voll? Wird die IP in Logs angezeigt? Merksatz: Ohne korrekte VPN-IP können Regeln und Routen nicht passen. Prüfung: Route zum Zielnetz Der Client braucht eine Route zum internen Zielnetz. Beispiel: Zielnetz: 192.168.20.0/24 Route: über VPN-Tunnel Fehlt diese Route, sendet der Client Pakete nicht durch VPN. Merksatz: Route zum Zielnetz ist Pflicht. Prüfung: Rückroute Das Zielsystem oder dessen Gateway muss wissen, wie es zum VPN-Client zurückkommt. Beispiel: VPN-Pool: 10.8.0.0/24 Servernetz: 192.168.20.0/24 Das Servernetz braucht einen Rückweg zu: 10.8.0.0/24 Merksatz: Ohne Rückroute sieht der Client keine Antwort. Prüfung: Firewall zwischen VPN und Ziel Auf dem Weg können mehrere Firewalls beteiligt sein. Beispiele: VPN-Gateway-Firewall Core-Firewall Servernetz-Firewall Host-Firewall auf dem Zielsystem Prüfen: Quelle ist VPN-Pool? Ziel ist korrekt? Port ist korrekt? TCP oder UDP korrekt? Benutzergruppe korrekt? Richtung korrekt? Logs zeigen Allow oder Deny? NAT verändert Quelle oder Ziel? Merksatz: Alle Filterstellen auf dem Weg prüfen. Prüfung: Host-Firewall Auch wenn das Netz den Zugriff erlaubt, kann das Zielsystem blockieren. Beispiele: Windows Firewall erlaubt RDP nur aus lokalem Subnetz. Linux-Firewall erlaubt SSH nur aus Adminnetz. Dienst erlaubt keine VPN-Quelladressen. Merksatz: Zielsystem-Firewall ist Teil der VPN-Fehlersuche. Fehlerbild 6: VPN verbindet, aber interne Namen gehen nicht Wenn IP-Adressen funktionieren, aber Namen nicht, ist DNS sehr wahrscheinlich betroffen. Mögliche Ursachen: interner DNS wird nicht gesetzt DNS-Suffix fehlt Split DNS falsch DNS-Anfragen gehen lokal raus DNS-Server über VPN nicht erreichbar Firewall blockiert UDP/TCP 53 falscher DNS-Record DNS-Cache veraltet IPv6-Antwort zeigt falschen Weg Merksatz: IP geht, Name nicht: DNS prüfen. Prüfung: DNS aus Sicht des VPN-Clients Wichtig ist nicht, was der Administrator auf dem Server sieht. Wichtig ist: Was sieht der VPN-Client? Prüfen: Welche DNS-Server nutzt der Client? Welche Suchdomäne ist gesetzt? Wird Split DNS verwendet? Welche Antwort liefert DNS? Wird A oder AAAA genutzt? Ist der interne DNS erreichbar? Gibt es DNS-Leaks? Merksatz: DNS immer dort prüfen, wo der Fehler auftritt. Fehlerbild 7: Nur bestimmte Dienste gehen nicht Wenn nur ein Dienst nicht funktioniert, ist der VPN-Tunnel wahrscheinlich grundsätzlich aktiv. Beispiele: Intranet geht, aber RDP nicht. DNS geht, aber SMB nicht. Ping geht, aber HTTPS nicht. Mögliche Ursachen: Port nicht erlaubt Dienst läuft nicht Host-Firewall blockiert Benutzer nicht berechtigt Anwendung lehnt VPN-Quelle ab Zertifikat oder TLS-Problem falscher Port falsches Protokoll Merksatz: Ein Dienst betroffen: Port, Dienst, Berechtigung und Anwendung prüfen. Dienstprüfung über VPN Bei einem einzelnen Dienst prüft man: Zielname korrekt? Ziel-IP korrekt? Port korrekt? TCP oder UDP? Dienst lauscht? Firewall erlaubt? Host-Firewall erlaubt? Anwendung antwortet? Benutzer berechtigt? Logs vorhanden? Merksatz: Dienstprüfung ist mehr als Ping. Fehlerbild 8: VPN funktioniert nur für manche Benutzer Wenn der Zugriff nur bei bestimmten Benutzern funktioniert, liegt der Fehler häufig bei Gruppen, Rollen oder Profilen. Mögliche Ursachen: falsche VPN-Gruppe Benutzer nicht berechtigt andere Routen andere DNS-Einstellungen andere Firewall-Regeln anderes VPN-Profil MFA-Richtlinie unterschiedlich Gerätestatus unterschiedlich Konto gesperrt Rolle fehlt Merksatz: Manche Benutzer betroffen: Gruppen, Profile und Rechte vergleichen. Vergleichsmethode bei Benutzerproblemen Vergleiche: funktionierender Benutzer mit fehlerhaftem Benutzer Prüfen: gleiche Gruppe? gleiches VPN-Profil? gleiche Routen? gleiche DNS-Server? gleiche Firewall-Zone? gleiche MFA-Richtlinie? gleiches Endgerät? gleiche Zielrechte? Merksatz: Vergleich zeigt, was beim fehlerhaften Benutzer anders ist. Fehlerbild 9: VPN funktioniert nur aus manchen Netzen Wenn VPN aus einem Heimnetz funktioniert, aus einem anderen aber nicht, liegt der Fehler oft außerhalb der Firma. Mögliche Ursachen: lokales Heimnetz überschneidet sich lokaler Router blockiert VPN Hotel-WLAN blockiert UDP Mobilfunk nutzt CGNAT Provider blockiert Ports DNS im Fremdnetz fehlerhaft IPv6 nimmt anderen Weg restriktives Gastnetz captive portal aktiv Merksatz: Fremde Netze können VPN-Protokolle blockieren oder stören. Adresskonflikt mit Heimnetz erkennen Typisches Problem: Heimnetz: 192.168.1.0/24 Firmennetz: 192.168.1.0/24 Symptom: VPN verbunden, aber Ziel im Firmennetz nicht erreichbar. Ursache: Client hält Ziel für lokal und sendet nicht durch den Tunnel. Merksatz: Gleiche Netze auf beiden Seiten sind ein klassischer VPN-Fehler. Fehlerbild 10: VPN langsam VPN-Langsamkeit kann viele Ursachen haben. Mögliche Ursachen: hohe Latenz Paketverlust schlechte WLAN-Verbindung Full Tunnel überlastet VPN-Gateway ausgelastet zentrale Internetleitung ausgelastet MTU-Problem TCP-over-TCP Proxy langsam schwacher Client Server langsam Datenbank langsam Merksatz: Langsam ist nicht gleich nicht erreichbar. Performance prüfen Bei VPN-Performance prüft man: Latenz Paketverlust Bandbreite Auslastung des Gateways Auslastung des Clients WLAN-Qualität MTU Tunnelart Full Tunnel oder Split Tunnel Zielserver Anwendung Tageszeit Merksatz: VPN-Performance braucht Messwerte, nicht Bauchgefühl. Fehlerbild 11: VPN bricht ab Mögliche Ursachen: instabile Internetverbindung WLAN-Roaming Mobilfunkwechsel NAT-Timeout Firewall-Timeout VPN-Clientfehler Token läuft ab Zertifikat läuft ab Gateway überlastet Energiesparmodus MTU-Problem Keepalive fehlt Merksatz: VPN-Abbrüche mit Zeitbezug, Logs und Verbindungsmessung prüfen. MTU-Probleme bei VPN VPN fügt zusätzliche Header hinzu. Dadurch kann die effektive Paketgröße sinken. Typische Symptome: kleine Webseiten gehen große Webseiten hängen Downloads brechen ab VPN wirkt instabil RDP friert ein SSH hängt bei viel Ausgabe große Dateiübertragung bricht ab Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. TCP-over-TCP bei VPN Wenn ein VPN über TCP läuft und darin TCP-Verkehr transportiert wird, kann Performance schlechter werden. Besonders bei Paketverlust stören sich die Steuerungsmechanismen. Typisch: langsame Dateiübertragung stockende Verbindungen hohe Latenz Wiederholungen Merksatz: TCP im TCP-Tunnel kann bremsen. NAT-Timeout Viele Router und Firewalls löschen inaktive NAT-Zuordnungen nach einiger Zeit. Folge: VPN-Verbindung wirkt verbunden, aber Daten fließen nicht mehr. Oder: Tunnel bricht ab. Lösungsideen: Keepalive passende Timeout-Werte stabile Verbindung geeignete VPN-Konfiguration Merksatz: NAT-Timeout kann VPN-Verbindungen still abbrechen lassen. VPN-Logs richtig auswerten VPN-Logs können zeigen: Verbindungsversuch Benutzer Quell-IP Gateway Authentifizierung MFA-Ergebnis Zertifikatsprüfung zugewiesene IP zugewiesene Gruppe Routen Trennungsgrund Fehlercode Phase-1- oder Phase-2-Fehler bei IPsec Merksatz: VPN-Logs zeigen, an welchem Schritt die Verbindung scheitert. Client-Logs VPN-Client-Logs sind wichtig, weil der Client oft mehr Details zum Fehler sieht. Sie zeigen zum Beispiel: DNS-Auflösung des Gateways Verbindungsversuch Zertifikatsfehler Authentifizierungsfehler gesetzte Routen gesetzte DNS-Server Tunnelstatus Abbruchgrund Merksatz: Client-Logs zeigen die Sicht des Endgeräts. Gateway-Logs VPN-Gateway-Logs zeigen die Sicht der Gegenstelle. Sie zeigen zum Beispiel: kommt der Client an? wird Benutzer erkannt? schlägt MFA fehl? wird Zertifikat akzeptiert? wird eine VPN-IP vergeben? welche Gruppe wird angewendet? welche Richtlinie greift? warum wird Verbindung getrennt? Merksatz: Gateway-Logs zeigen, was das VPN-System entschieden hat. Firewall-Logs bei VPN Firewall-Logs helfen nach dem Tunnelaufbau. Sie zeigen: Quelle aus VPN-Pool Zielsystem Port Protokoll erlaubte Verbindung blockierte Verbindung Regelname Zone NAT Rückverkehr Merksatz: Firewall-Logs zeigen, ob VPN-Verkehr wirklich erlaubt wird. Paketmitschnitt bei VPN Ein Paketmitschnitt kann helfen, wenn Logs nicht ausreichen. Mögliche Mitschnittorte: VPN-Client VPN-Gateway außen VPN-Gateway innen interne Firewall Zielserver Fragen: sendet der Client? kommt Verkehr am Gateway an? verlässt Verkehr das Gateway intern? kommt Verkehr am Ziel an? antwortet das Ziel? kommt Antwort zurück? Merksatz: Mehrere Mitschnittpunkte zeigen, wo Pakete verschwinden. VPN-Fehlersuche nach OSI-Modell Schicht VPN-Prüfung 1 Internetverbindung, WLAN, Kabel 2 lokales Netz, WLAN, VLAN 3 IP, Routing, VPN-Pool, Rückroute 4 TCP/UDP, Ports, Firewall 5 Session, Tunnelstabilität, Timeout 6 TLS, Zertifikate, Verschlüsselung 7 Login, MFA, DNS, Anwendung, Rechte Merksatz: Auch VPN-Probleme lassen sich nach OSI eingrenzen. Praktische Prüfreihenfolge Eine gute Reihenfolge: 1. Fehlerbild genau aufnehmen. 2. VPN-Art und Protokoll bestimmen. 3. Client-Internet prüfen. 4. VPN-Gateway-Erreichbarkeit prüfen. 5. Authentifizierung und MFA prüfen. 6. Zertifikate prüfen. 7. VPN-IP prüfen. 8. Routen prüfen. 9. DNS prüfen. 10. Firewall-Regeln prüfen. 11. Zielsystem und Host-Firewall prüfen. 12. Logs vergleichen. 13. Performance und MTU prüfen. 14. Ergebnis dokumentieren. Merksatz: Erst Tunnel, dann Route, dann DNS, dann Dienst. Checkliste: VPN verbindet nicht Gateway-Name korrekt? Gateway-IP korrekt? Internetverbindung vorhanden? Port und Protokoll erreichbar? VPN-Gateway online? Benutzerkonto aktiv? Passwort korrekt? MFA erfolgreich? Zertifikat gültig? Clientversion passend? Uhrzeit korrekt? Logs geprüft? Merksatz: Bei Verbindungsfehlern vorne in der Kette suchen. Checkliste: VPN verbunden, aber kein Zugriff VPN-IP erhalten? richtige Gruppe? Route zum Zielnetz vorhanden? Rückroute vorhanden? DNS korrekt? Firewall erlaubt? Host-Firewall erlaubt? Zielsystem online? Dienst läuft? Berechtigung vorhanden? Logs geprüft? Merksatz: Bei Zugriffproblemen nach dem Tunnel suchen. Checkliste: VPN langsam Latenz gemessen? Paketverlust gemessen? Bandbreite geprüft? WLAN geprüft? Full Tunnel oder Split Tunnel? Gateway ausgelastet? Client ausgelastet? MTU geprüft? TCP-over-TCP möglich? Zielserver langsam? Anwendung langsam? Tageszeit oder Lastspitzen? Merksatz: Langsamkeit mit Messwerten belegen. Checkliste: VPN bricht ab Abbruchzeitpunkt bekannt? Client-Log geprüft? Gateway-Log geprüft? Internetverbindung stabil? WLAN-Wechsel? Mobilfunkwechsel? NAT-Timeout? Keepalive aktiv? Zertifikat oder Token abgelaufen? Gateway überlastet? Energiesparmodus aktiv? MTU-Problem möglich? Merksatz: Abbrüche brauchen Zeitbezug und Logs. Typische Prüfungsfragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum reicht ein verbundener VPN-Tunnel nicht aus? - Welche Schritte prüft man bei VPN-Fehlersuche? - Warum sind Routen bei VPN wichtig? - Warum ist der Rückweg wichtig? - Warum können interne Namen trotz VPN nicht funktionieren? - Warum ist DNS bei VPN häufig eine Fehlerquelle? - Warum kann ein Dienst trotz VPN-Verbindung nicht erreichbar sein? - Warum können unterschiedliche Benutzer unterschiedliche VPN-Rechte haben? - Warum verursachen gleiche Netze auf beiden Seiten Probleme? - Was sind typische Ursachen für langsame VPN-Verbindungen? - Warum können MTU-Probleme bei VPN auftreten? - Welche Logs sind bei VPN wichtig? - Wie hilft ein Paketmitschnitt bei VPN-Fehlern? Typische Prüfungsfallen VPN verbunden heißt nicht: alles funktioniert. VPN-Status grün heißt nicht: Routen stimmen. Login erfolgreich heißt nicht: Zugriff erlaubt. Authentifizierung ist nicht Autorisierung. IP geht, Name nicht: DNS prüfen. Ping geht, Dienst nicht: Port und Anwendung prüfen. Ein Dienst betroffen: nicht ganzes VPN kaputt. Manche Benutzer betroffen: Gruppen und Profile vergleichen. Manche Heimnetze betroffen: Adresskonflikt prüfen. Gleiche Netze auf beiden Seiten sind problematisch. Route zum Ziel reicht nicht, Rückroute muss auch stimmen. Host-Firewall kann blockieren. DNS-Suffix und Split DNS beachten. UDP und TCP nicht verwechseln. MTU bei großen Datenproblemen prüfen. VPN-Logs und Firewall-Logs gemeinsam auswerten. Client-Sicht und Gateway-Sicht vergleichen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung VPN-Fehlersuche systematische Analyse von VPN-Problemen VPN-Gateway Gegenstelle für VPN-Verbindungen VPN-Client Endgerät oder Software des Benutzers VPN-IP Adresse aus dem VPN-Adresspool VPN-Profil Konfiguration für VPN-Zugriff VPN-Gruppe Gruppe zur Steuerung von Rechten Route Weg zu einem Zielnetz Rückroute Antwortweg zurück zum VPN-Client Split DNS getrennte DNS-Auflösung DNS-Leak DNS-Anfragen gehen falschen Weg Host-Firewall Firewall auf Zielsystem MTU maximale Paketgröße NAT-Timeout Ablauf einer NAT-Zuordnung Keepalive regelmäßiges Paket zum Offenhalten Client-Log Log aus Sicht des Endgeräts Gateway-Log Log aus Sicht des VPN-Systems Firewall-Log Log über erlaubten oder blockierten Verkehr TCP-over-TCP TCP-Verkehr in TCP-Tunnel Adresskonflikt gleiche Netze auf beiden Seiten IHK-sichere Kurzformulierung Bei der VPN-Fehlersuche muss zuerst das genaue Fehlerbild bestimmt werden. Ein VPN kann bereits beim Verbindungsaufbau, bei der Authentifizierung, bei MFA, bei Zertifikaten, beim Routing, bei DNS, bei Firewall-Regeln, beim Rückweg, beim Zielsystem oder bei Berechtigungen scheitern. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar sind. Der Client benötigt eine gültige VPN-IP, passende Routen, interne DNS-Einstellungen und die nötigen Firewall- und Benutzerrechte. Bei Performanceproblemen sind Latenz, Paketverlust, Bandbreite, MTU, Full Tunnel, Gateway-Auslastung und Client-Verbindung zu prüfen. Logs auf Client, VPN-Gateway, Firewall und Zielsystem helfen, den Fehler einzugrenzen. Merksätze VPN-Fehlersuche ist mehr als Tunnelprüfung. Erst Fehlerbild klären. VPN-Art bestimmen. VPN-Protokoll bestimmen. Gateway muss erreichbar sein. Port und Protokoll müssen passen. UDP und TCP nicht verwechseln. Authentifizierung prüft Identität. Autorisierung prüft Rechte. MFA-Logs bei MFA-Problemen prüfen. Zertifikate mit Name, CA, Gültigkeit und Zeit prüfen. VPN-IP muss korrekt sein. Route zum Zielnetz muss vorhanden sein. Rückroute muss vorhanden sein. Firewall-Regeln müssen VPN-Quelle erlauben. Host-Firewall nicht vergessen. IP geht, Name nicht: DNS prüfen. Interne Namen brauchen internes DNS. Nur ein Dienst betroffen: Port, Dienst und Rechte prüfen. Manche Benutzer betroffen: Gruppen und Profile prüfen. Manche Heimnetze betroffen: Adresskonflikt prüfen. VPN langsam: Latenz, Paketverlust, MTU und Auslastung prüfen. VPN bricht ab: Logs und Zeitbezug prüfen. Client-Logs zeigen Endgerätesicht. Gateway-Logs zeigen VPN-Systemsicht. Firewall-Logs zeigen Zugriffspfad. Paketmitschnitt zeigt, wo Pakete verschwinden. Erst Tunnel, dann Route, dann DNS, dann Dienst. Neue Seite Merksätze und Prüfungswissen zu VPN, Intranet und Extranet Diese Seite fasst die wichtigsten Inhalte zu VPN, Intranet, Extranet, VPN-Arten, VPN-Protokollen, Routing, DNS, Firewall-Regeln, Sicherheit und Fehlersuche zusammen. Dieses Kapitel ist besonders prüfungsrelevant, weil VPN nicht nur Verschlüsselung bedeutet, sondern auch Routing, Berechtigungen, DNS, Firewall, Authentifizierung und Sicherheit betrifft. Merksatz: VPN ist nicht nur ein Tunnel. VPN ist ein Zugriffskonzept mit Technik, Regeln und Sicherheit. Grundbegriffe Begriff Bedeutung Internet öffentliches weltweites Netzwerk Intranet internes Netzwerk oder internes Portal einer Organisation Extranet kontrollierter Zugriff für externe Berechtigte VPN geschützter Tunnel über ein fremdes oder unsicheres Netz Merksatz: Internet öffentlich. Intranet intern. Extranet kontrolliert extern. VPN sicherer Tunnel. Intranet Ein Intranet ist ein internes Netzwerk oder internes Informationssystem. Typische Inhalte: internes Wiki Mitarbeiterportal Ticketsystem Zeiterfassung Dateiablage interne Anwendungen interne APIs Monitoring interne Dokumentation Wichtig: Ein Intranet ist nicht automatisch öffentlich erreichbar. Merksatz: Intranet nutzt oft Webtechnik, ist aber intern beschränkt. Extranet Ein Extranet stellt ausgewählten externen Personen oder Organisationen kontrollierten Zugriff bereit. Beispiele: Lieferantenportal Kundenportal Partnerportal Dienstleisterzugang gemeinsamer Projektraum Wartungszugang Wichtig: Externe bekommen nur Zugriff auf bestimmte Ressourcen, nicht auf das ganze interne Netz. Merksatz: Extranet = ausgewählter externer Zugriff. VPN VPN steht für: Virtual Private Network Ein VPN baut über ein fremdes oder unsicheres Netz einen geschützten Tunnel auf. Typische Zwecke: Homeoffice Standortvernetzung Fernwartung Zugriff auf interne Dienste Cloud-Anbindung Adminzugriff Extranet-Zugriff Merksatz: VPN verbindet entfernte Benutzer oder Netze sicher mit geschützten Ressourcen. VPN-Tunnel Ein VPN-Tunnel transportiert Daten geschützt durch ein anderes Netz. Dabei werden Daten: eingepackt verschlüsselt übertragen am Ziel wieder ausgepackt Das nennt man: Tunneling Merksatz: Tunneling bedeutet: Daten werden in eine geschützte Verbindung eingepackt. VPN schützt nicht automatisch alles Ein VPN schützt vor allem den Übertragungsweg. Es ersetzt nicht: Firewall-Regeln Benutzerrechte MFA Gerätesicherheit Protokollierung Segmentierung Patchmanagement Anwendungsberechtigungen Merksatz: VPN schützt den Tunnel, aber nicht automatisch jedes Zielsystem. Remote-Access-VPN Remote-Access-VPN verbindet einzelne Benutzer mit internen Ressourcen. Typische Beispiele: Homeoffice-Mitarbeiter Außendienst Administrator mobiler Benutzer Support Dienstleister Merksatz: Remote-Access-VPN = Benutzer verbindet sich aus der Ferne. Client-to-Site-VPN Client-to-Site-VPN ist praktisch eine andere Bezeichnung für Remote-Access-VPN. Beispiel: Notebook → VPN-Gateway → Firmennetz Merksatz: Client-to-Site verbindet einen einzelnen Client mit einem Netz. Site-to-Site-VPN Site-to-Site-VPN verbindet ganze Netzwerke miteinander. Beispiele: Hauptstandort ↔ Niederlassung Firma ↔ Rechenzentrum Firma ↔ Cloud-Netz Unternehmen ↔ Partnernetz Merksatz: Site-to-Site-VPN = Netz verbindet sich mit Netz. Remote-Access und Site-to-Site unterscheiden Merkmal Remote-Access-VPN Site-to-Site-VPN verbindet einzelner Benutzer ganze Netze Endpunkte Client und Gateway Gateway und Gateway typischer Zweck Homeoffice Standortvernetzung Steuerung Benutzer, Gruppen, Profile Netze, Routen, Firewall Fehlerquellen Client, MFA, DNS, Routen Phase 1/2, Routing, Netze, Firewall Merksatz: Remote-Access ist benutzerbezogen. Site-to-Site ist netzbezogen. Weitere VPN-Arten VPN-Art Zweck Host-to-Host-VPN zwei einzelne Systeme verbinden Extranet-VPN externer Partnerzugriff Cloud-VPN lokales Netz mit Cloud-Netz verbinden Admin-VPN besonders geschützter Adminzugang Fernwartungs-VPN zeitlich begrenzter Supportzugang Always-On-VPN automatisch dauerhaft verbunden On-Demand-VPN startet bei Bedarf Per-App-VPN nur bestimmte Apps nutzen VPN Merksatz: VPN-Art richtet sich nach Einsatzzweck. VPN-Protokolle VPN ist ein Oberbegriff. Technische Umsetzungen können sein: IPsec IKEv2 OpenVPN WireGuard TLS-VPN L2TP/IPsec Veraltet: PPTP Merksatz: VPN ist der Zweck. Protokoll ist die technische Umsetzung. IPsec IPsec steht für: Internet Protocol Security IPsec schützt IP-Kommunikation. Typische Einsätze: Site-to-Site-VPN Cloud-VPN Standortvernetzung Remote-Access-VPN IPsec arbeitet nah an Schicht 3, weil IP-Pakete geschützt werden. Merksatz: IPsec schützt IP-Kommunikation auf Netzwerkebene. IKE und IKEv2 IKE steht für: Internet Key Exchange IKE handelt bei IPsec Schlüssel und Sicherheitsparameter aus. IKEv2 ist die modernere Variante. Merksatz: IKE handelt aus, wie IPsec abgesichert wird. IPsec Phase 1 und Phase 2 Phase Bedeutung Phase 1 sichere Verbindung zwischen VPN-Gegenstellen aufbauen Phase 2 geschützte Netze oder Datenströme festlegen Typische Einordnung: Phase-1-Fehler: Tunnel kommt oft gar nicht hoch. Phase-2-Fehler: Tunnel steht eventuell, aber Daten fließen nicht richtig. Merksatz: Phase 1 verbindet Gateways. Phase 2 schützt Netze. ESP und AH ESP steht für: Encapsulating Security Payload ESP kann bieten: Verschlüsselung Integrität Authentifizierung AH steht für: Authentication Header AH bietet Integrität und Authentifizierung, aber keine Verschlüsselung des Inhalts. Merksatz: ESP schützt Daten. AH verschlüsselt nicht. Wichtige IPsec-Ports und Protokolle Zweck Port oder Protokoll IKE UDP 500 NAT-Traversal UDP 4500 ESP IP-Protokoll 50 AH IP-Protokoll 51 Wichtig: ESP und AH sind keine TCP- oder UDP-Ports. Merksatz: IPsec ist nicht nur ein einzelner Port. OpenVPN OpenVPN ist eine flexible TLS-basierte VPN-Lösung. Eigenschaften: nutzt TLS kann UDP oder TCP verwenden kann Zertifikate nutzen ist flexibel konfigurierbar wird für Remote-Access und Site-to-Site genutzt Merksatz: OpenVPN ist flexibel und TLS-basiert. WireGuard WireGuard ist ein modernes, schlankes VPN-Protokoll. Wichtige Begriffe: Peer öffentlicher Schlüssel privater Schlüssel Allowed IPs Endpoint Persistent Keepalive WireGuard nutzt typischerweise UDP. Merksatz: WireGuard arbeitet mit Peers, Schlüsseln und Allowed IPs. Allowed IPs bei WireGuard Allowed IPs bestimmen bei WireGuard: welche Zielnetze über einen Peer gehen und gleichzeitig: welche Quelladressen von diesem Peer erwartet werden Merksatz: Allowed IPs sind bei WireGuard Routing und Zuordnung zugleich. TLS-VPN TLS-VPN nutzt TLS als Grundlage. Es wird oft noch SSL-VPN genannt. Typische Eigenschaften: häufig TCP 443 oft firewallfreundlich häufig für Remote-Access teilweise portalbasiert teilweise clientbasiert Merksatz: SSL-VPN meint in der Praxis meistens TLS-VPN. PPTP PPTP steht für: Point-to-Point Tunneling Protocol PPTP ist veraltet und gilt nicht mehr als sicher. Merksatz: PPTP kennen, aber nicht mehr einsetzen. Split Tunnel Split Tunnel bedeutet: Nur bestimmter Verkehr läuft durch das VPN. Beispiel: Firmennetze: durch VPN normales Internet: direkt lokal Vorteile: weniger Last oft bessere Performance Nachteile: weniger zentrale Kontrolle höhere Anforderungen an Sicherheitskonzept Merksatz: Split Tunnel leitet nur ausgewählten Verkehr durch VPN. Full Tunnel Full Tunnel bedeutet: Der gesamte Clientverkehr läuft durch das VPN. Auch Internetverkehr geht dann zuerst durch das Unternehmensnetz. Vorteile: zentrale Kontrolle einheitliche Filterung zentrale Protokollierung Nachteile: mehr Last höhere Latenz mehr Bandbreitenbedarf Merksatz: Full Tunnel leitet alles durch VPN. Split Tunnel und Full Tunnel vergleichen Merkmal Split Tunnel Full Tunnel Firmennetze über VPN über VPN Internetverkehr lokal direkt über VPN VPN-Last geringer höher zentrale Kontrolle geringer höher Performance oft besser abhängig von Gateway und Leitung Merksatz: Split Tunnel spart Last. Full Tunnel erhöht zentrale Kontrolle. VPN-Routing VPN braucht passende Routen. Der Client muss wissen: Welche Netze liegen hinter dem VPN? Beispiel: Zielnetz: 192.168.10.0/24 Route: über VPN-Tunnel Fehlt die Route, geht Verkehr eventuell ins lokale Netz oder ins Internet. Merksatz: Ohne Route kein Weg durch VPN. Rückroute Nicht nur der Client braucht eine Route zum Ziel. Das Zielnetz braucht auch einen Weg zurück zum VPN-Client. Beispiel: VPN-Pool: 10.8.0.0/24 Servernetz: 192.168.10.0/24 Das Servernetz muss wissen, wie es zu 10.8.0.0/24 zurückkommt. Merksatz: VPN braucht Hinweg und Rückweg. VPN-Adresspool Der VPN-Adresspool ist der IP-Bereich, aus dem VPN-Clients ihre VPN-Adresse erhalten. Beispiel: 10.8.0.0/24 Ein Client bekommt zum Beispiel: 10.8.0.25 Diese Adresse ist wichtig für: Routing Firewall-Regeln Logs Gruppenregeln Fehlersuche Merksatz: VPN-Adresspool bestimmt, aus welchem Netz VPN-Clients kommen. Adresskonflikte Ein häufiger VPN-Fehler: Firmennetz: 192.168.1.0/24 Heimnetz: 192.168.1.0/24 Dann weiß der Client nicht eindeutig, ob eine Adresse lokal oder über VPN erreichbar ist. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme. VPN-DNS VPN-Benutzer brauchen oft interne Namensauflösung. Beispiele: intranet.firma.local fileserver.firma.local dc01.firma.local wiki.intern Dafür werden benötigt: interner DNS-Server DNS-Suffix Split DNS Firewall-Regeln für DNS korrekte DNS-Records Merksatz: VPN braucht oft internes DNS. Split DNS Split DNS bedeutet: interne Namen werden über interne DNS-Server aufgelöst und: öffentliche Namen werden normal oder extern aufgelöst Beispiel: firma.local → interner DNS öffentliche Webseiten → normaler DNS Merksatz: Split DNS trennt interne und externe Namensauflösung. DNS-Leak Ein DNS-Leak bedeutet: DNS-Anfragen gehen unerwartet außerhalb des VPNs. Mögliche Folgen: interne Namen funktionieren nicht falsche DNS-Antworten Provider sieht DNS-Anfragen Sicherheitsrichtlinien werden umgangen Merksatz: DNS-Leak = DNS nimmt den falschen Weg. IPv6-Leak Ein IPv6-Leak kann entstehen, wenn VPN nur IPv4 tunnelt, aber IPv6 direkt am VPN vorbei ins Internet geht. Wichtig: IPv6 bewusst tunneln oder IPv6 bewusst filtern und regeln Merksatz: IPv6 bei VPN nicht vergessen. VPN-Firewall-Regeln Ein VPN-Tunnel darf nicht automatisch Zugriff auf alles geben. Firewall-Regeln sollten festlegen: Quelle Ziel Port Protokoll Richtung Zone Benutzergruppe Zweck Logging Merksatz: VPN braucht gezielte Firewall-Regeln. VPN-Zonen VPN-Verkehr sollte in eigene Sicherheitszonen eingeordnet werden. Beispiele: VPN-Mitarbeiter VPN-Support VPN-Admin VPN-Dienstleister VPN-Partner Cloud-VPN Vorteil: Zugriffe können sauber getrennt werden. Merksatz: VPN-Zonen verhindern pauschale LAN-Freigaben. Least Privilege beim VPN Least Privilege bedeutet: nur die Rechte, die wirklich nötig sind. Beim VPN heißt das: keine pauschale LAN-Freigabe keine unnötigen Ports keine unnötigen Zielnetze keine Dauerzugänge für Externe keine Sammelkonten Merksatz: VPN-Zugriff so eng wie möglich, so weit wie nötig. Authentifizierung Authentifizierung beantwortet: Wer bist du? Beim VPN möglich durch: Benutzername und Passwort Zertifikat MFA Token Smartcard Gerätezertifikat SSO Merksatz: Authentifizierung prüft Identität. Autorisierung Autorisierung beantwortet: Was darfst du? Beispiele: Darf Benutzer ins VPN? Darf Benutzer ins Servernetz? Darf Benutzer RDP nutzen? Darf Benutzer auf Dateiablage? Darf Dienstleister Wartungsserver erreichen? Merksatz: Autorisierung prüft Berechtigung. Authentifizierung und Autorisierung unterscheiden Begriff Frage Beispiel Authentifizierung Wer bist du? Login mit Passwort und MFA Autorisierung Was darfst du? Zugriff auf bestimmtes Netz erlaubt Merksatz: Anmeldung ist nicht automatisch Berechtigung. MFA bei VPN MFA steht für: Multi-Faktor-Authentifizierung Warum wichtig? VPN ist oft aus dem Internet erreichbar. Passwörter können gestohlen werden. Phishing ist häufig. VPN-Zugang führt oft zu internen Ressourcen. Merksatz: VPN-Zugänge sollten mit MFA geschützt werden. Zertifikate bei VPN VPN kann Zertifikate verwenden für: Serverauthentifizierung Clientauthentifizierung Gerätezulassung stärkere Identitätsprüfung Wichtig: Zertifikate müssen gültig sein, widerrufen werden können und zur richtigen CA gehören. Merksatz: Zertifikate erhöhen Sicherheit, brauchen aber Verwaltung. Gerätesicherheit Ein VPN-Client bringt ein entferntes Gerät näher an interne Systeme. Deshalb wichtig: aktuelles Betriebssystem Updates Gerätemanagement Festplattenverschlüsselung Schutzsoftware kein kompromittiertes Gerät sichere Konfiguration Posture Check Merksatz: Unsicheres Gerät plus VPN ist ein Risiko. BYOD und VPN BYOD bedeutet: Bring Your Own Device Private Geräte im VPN sind kritisch, wenn sie nicht verwaltet werden. Risiken: unklarer Patchstand keine Kontrolle Malware Datenabfluss fehlende Trennung privat/geschäftlich Merksatz: BYOD-VPN braucht klare Regeln und technische Kontrolle. Dienstleisterzugang Dienstleisterzugänge müssen besonders eng geregelt werden. Wichtig: eigenes Konto pro Person keine Sammelkonten MFA Zugriff nur auf Zielsystem zeitliche Begrenzung Protokollierung Deaktivierung nach Projektende Merksatz: Externe niemals pauschal ins interne Netz lassen. Admin-VPN Admin-VPN braucht besonderen Schutz. Wichtig: separate Admin-Konten MFA Zertifikate verwaltete Geräte Zugriff nur auf Managementnetze Bastion Host oder Jump Server Protokollierung Alarmierung Merksatz: Admin-VPN ist Hochrisiko-Zugang. Bastion Host und Jump Server Ein Bastion Host oder Jump Server ist ein besonders geschützter Zwischenserver. Zweck: Adminzugriffe bündeln direkte Zugriffe vermeiden Protokollierung verbessern Zugriffspfade kontrollieren Merksatz: Jump Server kontrolliert den Weg zu kritischen Systemen. VPN-Logging VPN-Logs sollten zeigen: Benutzer Gerät Quell-IP Zeitpunkt VPN-IP MFA-Ergebnis Gruppe Verbindungserfolg Fehlergrund Trennungsgrund Zielzugriffe je nach System Merksatz: VPN-Zugriffe müssen nachvollziehbar sein. VPN-Monitoring VPN-Infrastruktur sollte überwacht werden. Wichtige Werte: Tunnelstatus aktive Benutzer CPU RAM Bandbreite Fehlversuche Zertifikatsablauf Latenz Paketverlust Gateway-Verfügbarkeit Merksatz: VPN ist kritische Infrastruktur. VPN-Fehlersuche Grundreihenfolge Sinnvolle Reihenfolge: 1. Fehlerbild aufnehmen. 2. VPN-Art bestimmen. 3. VPN-Protokoll bestimmen. 4. Internetverbindung prüfen. 5. VPN-Gateway prüfen. 6. Authentifizierung und MFA prüfen. 7. Zertifikate prüfen. 8. VPN-IP prüfen. 9. Routen prüfen. 10. DNS prüfen. 11. Firewall prüfen. 12. Zielsystem prüfen. 13. Host-Firewall prüfen. 14. Logs prüfen. 15. MTU und Performance prüfen. Merksatz: Erst Tunnel, dann Route, dann DNS, dann Dienst. Typische VPN-Fehlerbilder Fehlerbild wahrscheinliche Richtung VPN verbindet nicht Gateway, Port, Login, MFA, Zertifikat VPN verbunden, IP geht nicht Route, Firewall, Rückweg, Zielsystem IP geht, Name nicht DNS, Split DNS, DNS-Suffix nur ein Dienst geht nicht Port, Dienst, Host-Firewall, Rechte nur manche Benutzer betroffen Gruppen, Profile, Rollen nur manche Heimnetze betroffen Adresskonflikt, NAT, Provider, IPv6 VPN langsam Latenz, Paketverlust, Bandbreite, MTU VPN bricht ab NAT-Timeout, WLAN, Keepalive, Token, Gateway Merksatz: Fehlerbild gibt die Richtung der Fehlersuche vor. VPN und MTU VPN fügt zusätzliche Header hinzu. Dadurch kann die nutzbare Paketgröße sinken. Typische Symptome: kleine Daten funktionieren große Downloads brechen ab Webseiten laden teilweise VPN wirkt instabil RDP friert ein SSH hängt bei viel Ausgabe Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. TCP-over-TCP TCP-over-TCP kann entstehen, wenn ein TCP-basierter VPN-Tunnel TCP-Verkehr transportiert. Problem: zwei TCP-Schichten versuchen gleichzeitig, Paketverlust und Stau zu regeln. Folge: schlechtere Performance bei Verlusten oder instabiler Verbindung Merksatz: TCP im TCP-Tunnel kann bremsen. NAT-Traversal NAT-Traversal hilft VPN-Verbindungen, durch NAT-Geräte zu funktionieren. Besonders relevant bei: IPsec Heimnetzen Mobilfunk Hotel-WLAN Provider-NAT Merksatz: NAT-Traversal hilft VPN durch NAT-Umgebungen. CGNAT CGNAT steht für: Carrier Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen zwischen vielen Kunden. Problem: eingehende Verbindungen zum eigenen VPN-Gateway sind schwierig oder unmöglich. Remote-Access vom Client nach außen ist oft weniger problematisch, wenn das Gateway öffentlich erreichbar ist. Merksatz: CGNAT stört besonders, wenn das VPN-Gateway von außen erreichbar sein muss. Intranet, Extranet und VPN unterscheiden Aussage richtig? Erklärung Intranet ist intern ja internes Netz oder internes Portal Extranet ist öffentlich nein nur kontrolliert für Externe Internet ist öffentlich ja grundsätzlich öffentlich erreichbar VPN ist ein Tunnel ja geschützte Verbindung VPN ist dasselbe wie Extranet nein Extranet ist Zugriffskonzept, VPN mögliche Technik VPN ersetzt Firewall nein Firewall-Regeln bleiben nötig VPN ersetzt Rechte nein Anwendung und Benutzerrechte bleiben nötig Merksatz: Begriffe sauber trennen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein VPN? - Wofür steht VPN? - Was ist ein VPN-Tunnel? - Was ist ein Intranet? - Was ist ein Extranet? - Was ist der Unterschied zwischen Intranet, Extranet und Internet? - Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN? - Was ist Split Tunneling? - Was ist Full Tunnel? - Warum braucht VPN Routing? - Warum ist DNS bei VPN wichtig? - Was ist Split DNS? - Warum sind überlappende Netze problematisch? - Warum sollte VPN mit MFA geschützt werden? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was ist IPsec? - Was ist IKE? - Was bedeuten Phase 1 und Phase 2 bei IPsec? - Was ist WireGuard? - Was sind Allowed IPs? - Warum ist PPTP veraltet? - Wie geht man bei VPN-Fehlersuche vor? Typische Prüfungsfallen VPN heißt Virtual Private Network. VPN ist nicht automatisch ein vollständiges Sicherheitskonzept. VPN schützt den Tunnel, aber nicht automatisch alle Zielsysteme. VPN ersetzt keine Firewall. VPN ersetzt keine Berechtigungen. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site ist praktisch Remote-Access. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Extranet ist nicht dasselbe wie VPN. Split Tunnel leitet nur ausgewählten Verkehr. Full Tunnel leitet alles durch VPN. VPN braucht Routen. VPN braucht Rückrouten. VPN braucht oft internes DNS. IP geht, Name nicht: DNS prüfen. Überlappende Netze vermeiden. Heimnetzkonflikte sind häufig. Authentifizierung ist nicht Autorisierung. MFA ist bei VPN wichtig. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. PPTP nicht mehr verwenden. IPsec Phase 1 und Phase 2 unterscheiden. ESP ist kein TCP- oder UDP-Port. WireGuard Allowed IPs genau prüfen. VPN-Logs und Firewall-Logs gemeinsam auswerten. VPN verbunden heißt nicht: alles erreichbar. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Internet öffentliches weltweites Netzwerk Intranet internes Netz oder internes Portal Extranet kontrollierter externer Zugriff VPN Virtual Private Network VPN-Tunnel geschützte logische Verbindung Tunneling Daten werden in Tunnelverbindung verpackt Remote-Access-VPN Benutzer verbindet sich aus der Ferne Client-to-Site-VPN einzelner Client zum Firmennetz Site-to-Site-VPN Netz-zu-Netz-Verbindung VPN-Gateway Gegenstelle für VPN-Verbindung VPN-Client Software oder Gerät des Benutzers IPsec Absicherung von IP-Kommunikation IKE Schlüsselaushandlung bei IPsec ESP IPsec-Bestandteil für Schutz der Daten AH IPsec-Bestandteil ohne Inhaltsverschlüsselung Phase 1 sichere Verbindung zwischen Gateways Phase 2 Schutz der eigentlichen Netze OpenVPN TLS-basierte VPN-Lösung WireGuard modernes schlankes VPN-Protokoll Allowed IPs Routing- und Peer-Zuordnung bei WireGuard TLS-VPN VPN auf TLS-Basis Split Tunnel ausgewählter Verkehr durch VPN Full Tunnel gesamter Verkehr durch VPN VPN-Adresspool IP-Bereich für VPN-Clients Rückroute Antwortweg zurück zum VPN-Client Split DNS getrennte interne und externe Namensauflösung DNS-Leak DNS-Anfragen nehmen falschen Weg IPv6-Leak IPv6-Verkehr läuft am VPN vorbei VPN-Zone Firewall-Zone für VPN-Verkehr MFA Multi-Faktor-Authentifizierung Least Privilege minimale notwendige Rechte Bastion Host gehärteter Zwischenserver Jump Server Sprungserver für Adminzugriffe MTU maximale Paketgröße NAT-Traversal VPN durch NAT ermöglichen CGNAT Provider-NAT für viele Kunden IHK-sichere Gesamtformulierung Ein VPN, also Virtual Private Network, stellt über ein unsicheres oder fremdes Netz einen geschützten Tunnel bereit. Es kann einzelne Benutzer per Remote-Access-VPN oder ganze Netzwerke per Site-to-Site-VPN verbinden. Ein Intranet ist ein internes Netzwerk oder internes Portal einer Organisation, während ein Extranet ausgewählten externen Partnern kontrollierten Zugriff auf bestimmte Ressourcen ermöglicht. Für VPN-Zugriffe sind nicht nur Verschlüsselung, sondern auch Authentifizierung, Autorisierung, MFA, Routing, Rückrouten, DNS, Split DNS, Firewall-Regeln, VPN-Zonen, Gerätesicherheit, Logging und Monitoring wichtig. Ein verbundener VPN-Tunnel bedeutet nicht automatisch, dass interne Ressourcen erreichbar oder erlaubt sind. Die Fehlersuche erfolgt systematisch über Gateway-Erreichbarkeit, Anmeldung, Zertifikate, VPN-IP, Routen, DNS, Firewall, Zielsysteme, Host-Firewall, Logs, MTU und Performance. Wichtigste Merksätze VPN = Virtual Private Network. VPN baut einen geschützten Tunnel. VPN ist nicht automatisch vollständige Sicherheit. VPN ersetzt keine Firewall-Regeln. VPN ersetzt keine Benutzerrechte. VPN verbunden heißt nicht: Zugriff erlaubt. Intranet ist intern. Extranet ist kontrolliert extern. Internet ist öffentlich. Remote-Access verbindet Benutzer. Site-to-Site verbindet Netze. Client-to-Site entspricht praktisch Remote-Access. VPN-Protokoll ist die technische Umsetzung. IPsec schützt IP-Kommunikation. IKE handelt Schlüssel aus. Phase 1 verbindet Gateways. Phase 2 schützt Netze. ESP schützt Daten. AH verschlüsselt nicht. OpenVPN ist TLS-basiert. WireGuard nutzt Peers und Allowed IPs. TLS-VPN wird oft SSL-VPN genannt. PPTP ist veraltet. Split Tunnel leitet ausgewählten Verkehr. Full Tunnel leitet alles. VPN braucht Route. VPN braucht Rückroute. VPN braucht oft internes DNS. Split DNS trennt Namensauflösung. Überlappende Netze vermeiden. Heimnetzkonflikte sind klassisch. VPN-Zugriff nach Rollen begrenzen. MFA für VPN nutzen. Dienstleisterzugänge zeitlich begrenzen. Admin-VPN besonders schützen. Unsichere Endgeräte sind Risiko. VPN-Logs sind wichtig. Monitoring gehört zu VPN. MTU bei großen Datenproblemen prüfen. Erst Tunnel, dann Route, dann DNS, dann Dienst. 15. Cloud und moderne Bereitstellungsmodelle 15.1 Cloud und moderne Bereitstellungsmodelle Cloud beschreibt die Bereitstellung von IT-Ressourcen über ein Netzwerk. Statt alle Systeme selbst lokal zu betreiben, können Unternehmen Rechenleistung, Speicher, Datenbanken, Anwendungen oder Plattformen bei einem Anbieter nutzen. Typische Cloud-Ressourcen: - virtuelle Server - Speicherplatz - Datenbanken - Container - Anwendungen - Entwicklungsplattformen - Backup-Dienste - Identitätsdienste - Netzwerkdienste - Sicherheitsdienste Merksatz: Cloud bedeutet: IT-Ressourcen werden als Dienst bereitgestellt. Warum ist Cloud wichtig? Cloud-Dienste sind in modernen IT-Umgebungen sehr verbreitet. Gründe: - schnelle Bereitstellung - flexible Skalierung - weniger eigene Hardware - weltweite Erreichbarkeit - nutzungsabhängige Kosten - viele fertige Dienste - hohe Automatisierbarkeit - gute Integration mit modernen Anwendungen Aber: Cloud bedeutet nicht automatisch weniger Verantwortung. Merksatz: Cloud vereinfacht Bereitstellung, ersetzt aber kein Sicherheits- und Betriebskonzept. Cloud einfach erklärt Klassisch: Unternehmen kauft Server. Server steht im eigenen Gebäude. IT installiert Betriebssystem. IT betreibt Anwendung. IT kümmert sich um Hardware, Strom, Kühlung, Backup und Ausfallsicherheit. Cloud: Anbieter stellt Ressourcen bereit. Unternehmen nutzt diese Ressourcen über Netzwerk oder Portal. Abrechnung erfolgt häufig nach Nutzung. Verantwortung wird je nach Modell zwischen Anbieter und Kunde geteilt. Merksatz: Cloud verlagert Teile der IT-Bereitstellung zu einem Anbieter. On-Premises On-Premises bedeutet: IT wird lokal im eigenen Unternehmen oder eigenen Rechenzentrum betrieben. Beispiele: eigener Serverraum eigenes Rechenzentrum eigene Hardware eigene Storage-Systeme eigene Netzwerkgeräte eigene Virtualisierung Vorteile: hohe Kontrolle direkte Verwaltung Daten bleiben im eigenen Betrieb individuelle Anpassung möglich Nachteile: Hardwarekosten Wartungsaufwand Skalierung langsamer eigene Verantwortung für Ausfallsicherheit Merksatz: On-Premises = lokal selbst betrieben. Cloud Cloud bedeutet: IT-Ressourcen werden über ein Netzwerk als Dienst genutzt. Beispiele: virtueller Server beim Cloud-Anbieter Cloud-Speicher gehostete Datenbank E-Mail aus der Cloud Backup in der Cloud Cloud-Identitätsdienst Containerplattform Merksatz: Cloud = IT-Ressourcen als Dienst. Hybrid Cloud Hybrid Cloud kombiniert lokale IT und Cloud. Beispiel: interne Server im eigenen Rechenzentrum plus Cloud-Dienste für Backup, Webanwendungen oder Skalierung Typische Einsatzfälle: schrittweise Migration sensible Systeme lokal skalierbare Dienste in Cloud Backup in Cloud Cloud-Anbindung per VPN Merksatz: Hybrid Cloud kombiniert On-Premises und Cloud. Multi Cloud Multi Cloud bedeutet: Ein Unternehmen nutzt mehrere Cloud-Anbieter. Beispiel: Anbieter A für virtuelle Server Anbieter B für E-Mail Anbieter C für Backup Anbieter D für KI-Dienste Vorteile: weniger Abhängigkeit von einem Anbieter passende Dienste pro Anbieter Ausfallsicherheit durch Verteilung Nachteile: höhere Komplexität unterschiedliche Portale unterschiedliche Sicherheitsmodelle schwierigeres Monitoring mehr Know-how nötig Merksatz: Multi Cloud = mehrere Cloud-Anbieter gleichzeitig. Public Cloud Public Cloud bedeutet: Cloud-Ressourcen werden von einem Anbieter für viele Kunden bereitgestellt. Beispiele: virtuelle Server Datenbanken Speicher Webdienste Cloud-Anwendungen Wichtig: Kunden teilen sich die Anbieterplattform, sind aber logisch voneinander getrennt. Merksatz: Public Cloud = gemeinsam genutzte Anbieterplattform mit logischer Trennung. Private Cloud Private Cloud bedeutet: Cloud-ähnliche Bereitstellung nur für eine Organisation. Sie kann laufen: im eigenen Rechenzentrum bei einem Dienstleister in einer dedizierten Umgebung Typische Merkmale: Selbstbedienung Automatisierung Virtualisierung Ressourcenpools interne Abrechnung oder Zuordnung zentrale Verwaltung Merksatz: Private Cloud = Cloud-Prinzipien für eine Organisation. Community Cloud Community Cloud bedeutet: Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt. Beispiele: Behörden Forschungseinrichtungen Gesundheitswesen Bildungseinrichtungen Ziel: gemeinsame Anforderungen gemeinsame Sicherheitsvorgaben gemeinsame Compliance Merksatz: Community Cloud wird von einer bestimmten Gemeinschaft genutzt. Cloud-Bereitstellungsmodelle Modell Kurze Erklärung On-Premises lokal selbst betrieben Public Cloud Cloud beim öffentlichen Anbieter Private Cloud Cloud für eine Organisation Hybrid Cloud Mischung aus lokal und Cloud Multi Cloud Nutzung mehrerer Cloud-Anbieter Community Cloud Cloud für bestimmte Organisationengruppe Merksatz: Bereitstellungsmodell beschreibt, wo und für wen Cloud-Ressourcen betrieben werden. Cloud-Service-Modelle Die wichtigsten Service-Modelle sind: - IaaS - PaaS - SaaS Diese Modelle beschreiben, wie viel Verantwortung der Anbieter übernimmt und wie viel der Kunde selbst verwaltet. Merksatz: Service-Modell beschreibt, welche Schichten als Dienst bereitgestellt werden. IaaS IaaS steht für: Infrastructure as a Service Dabei stellt der Anbieter grundlegende Infrastruktur bereit. Beispiele: virtuelle Maschinen virtuelle Netzwerke Block Storage Load Balancer Firewalls IP-Adressen Der Kunde verwaltet meist: Betriebssystem Updates im Betriebssystem Anwendungen Daten Benutzer Konfigurationen Merksatz: IaaS = virtuelle Infrastruktur statt eigener Hardware. PaaS PaaS steht für: Platform as a Service Dabei stellt der Anbieter eine Plattform bereit, auf der Anwendungen betrieben werden können. Beispiele: verwaltete Datenbank App-Plattform Web-App-Plattform Containerplattform Laufzeitumgebung Entwicklungsplattform Der Kunde verwaltet meist: Anwendung Daten Konfiguration Zugriff Der Anbieter verwaltet mehr vom Betriebssystem, Runtime und Infrastruktur. Merksatz: PaaS = Plattform für Anwendungen, ohne alles darunter selbst zu betreiben. SaaS SaaS steht für: Software as a Service Dabei nutzt der Kunde eine fertige Anwendung. Beispiele: E-Mail-Dienst Online-Office CRM-System Ticketsystem Cloud-Speicher Videokonferenzdienst Projektmanagement-Tool Der Anbieter betreibt: Anwendung Plattform Infrastruktur Updates Verfügbarkeit Der Kunde kümmert sich vor allem um: Benutzer Berechtigungen Daten Einstellungen Sicherheitsrichtlinien Merksatz: SaaS = fertige Software aus der Cloud. IaaS, PaaS und SaaS vergleichen Modell Anbieter stellt bereit Kunde verwaltet vor allem IaaS virtuelle Infrastruktur Betriebssystem, Anwendung, Daten PaaS Plattform und Laufzeitumgebung Anwendung, Daten, Konfiguration SaaS fertige Anwendung Benutzer, Daten, Einstellungen Merksatz: IaaS gibt viel Kontrolle. SaaS nimmt viel Betrieb ab. PaaS liegt dazwischen. Verantwortung bei Cloud In der Cloud wird Verantwortung geteilt. Der Anbieter ist nicht für alles verantwortlich. Der Kunde bleibt verantwortlich für viele Dinge, zum Beispiel: - Benutzerkonten - Berechtigungen - Daten - sichere Konfiguration - Passwörter und MFA - Netzfreigaben - Zugriffskonzepte - Compliance - Backup-Strategie je nach Dienst Merksatz: Cloud bedeutet geteilte Verantwortung. Shared Responsibility Model Shared Responsibility Model bedeutet: Anbieter und Kunde teilen sich Sicherheits- und Betriebsverantwortung. Je nach Service-Modell verändert sich die Aufteilung. Bei IaaS hat der Kunde mehr Verantwortung. Bei SaaS übernimmt der Anbieter mehr Betrieb, aber der Kunde bleibt für Benutzer, Daten und Berechtigungen verantwortlich. Merksatz: Je fertiger der Dienst, desto mehr Betrieb übernimmt der Anbieter, aber Kundendaten und Zugriffe bleiben Kundenthema. Beispiel Shared Responsibility bei IaaS Bei einer virtuellen Maschine in der Cloud: Anbieter verantwortet typischerweise: physische Hardware Rechenzentrum Strom Kühlung Virtualisierungsplattform Grundinfrastruktur Kunde verantwortet typischerweise: Betriebssystem Patches Firewall-Regeln Benutzerkonten Anwendung Daten Backup Sicherheitskonfiguration Merksatz: Cloud-VM ist nicht automatisch sicher gepatcht. Beispiel Shared Responsibility bei SaaS Bei einer SaaS-Anwendung: Anbieter verantwortet typischerweise: Betrieb der Anwendung Infrastruktur Plattform Updates technische Verfügbarkeit Kunde verantwortet typischerweise: Benutzerverwaltung Rollen MFA Datenklassifizierung Freigaben Aufbewahrung Konfiguration Schulung Merksatz: SaaS nimmt Betrieb ab, aber nicht die Verantwortung für Zugriffe und Daten. Virtualisierung in der Cloud Cloud basiert häufig auf Virtualisierung. Virtualisierung bedeutet: physische Hardware wird in mehrere virtuelle Ressourcen aufgeteilt. Beispiele: virtuelle Maschinen virtuelle Netzwerke virtuelle Festplatten virtuelle Firewalls virtuelle Load Balancer Merksatz: Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste. Container in der Cloud Container sind eine moderne Form der Anwendungsbereitstellung. Container enthalten: Anwendung Abhängigkeiten Laufzeitumgebung Sie teilen sich aber den Kernel des Hosts. Cloud-Dienste können Container bereitstellen, orchestrieren und skalieren. Merksatz: Container verpacken Anwendungen portabel und leichtgewichtig. Orchestrierung Orchestrierung bedeutet: automatisierte Verwaltung mehrerer Container oder Dienste. Aufgaben: Container starten Container stoppen Container verteilen Skalierung Updates Health Checks Netzwerke Secrets Rollbacks Merksatz: Orchestrierung verwaltet viele Container automatisch. Kubernetes Kubernetes ist eine verbreitete Plattform zur Container-Orchestrierung. Es verwaltet: Pods Services Deployments Skalierung Rollouts Netzwerke Konfigurationen Secrets Für Prüfungen reicht oft: Kubernetes orchestriert Container. Merksatz: Kubernetes verwaltet Container-Anwendungen in Clustern. Serverless Serverless bedeutet nicht, dass keine Server existieren. Es bedeutet: Der Kunde verwaltet keine einzelnen Server. Der Anbieter betreibt die Infrastruktur. Der Kunde stellt Funktionen oder Code bereit. Beispiele: Funktionen bei Ereignissen ausführen automatische Skalierung Abrechnung nach Ausführung oder Nutzung Merksatz: Serverless heißt: keine Serververwaltung durch den Kunden. Function as a Service Function as a Service wird abgekürzt: FaaS Dabei wird eine Funktion ausgeführt, wenn ein Ereignis eintritt. Beispiele: Datei wird hochgeladen. Funktion verarbeitet Datei. API-Aufruf startet Funktion. Zeitplan löst Funktion aus. Merksatz: FaaS führt einzelne Funktionen ereignisgesteuert aus. Cloud Storage Cloud Storage ist Speicherplatz aus der Cloud. Arten: Objektspeicher Blockspeicher Dateispeicher Typische Nutzung: Backups Dateien Archivierung Medien Logs Daten für Anwendungen statische Webseiten Merksatz: Cloud Storage stellt Speicher als Dienst bereit. Objektspeicher Objektspeicher speichert Daten als Objekte. Ein Objekt besteht typischerweise aus: Dateiinhalt Metadaten eindeutiger Name oder Schlüssel Typische Nutzung: Backups Bilder Videos Dokumente Archivdaten Logs Merksatz: Objektspeicher ist gut für große Mengen unstrukturierter Daten. Blockspeicher Blockspeicher stellt Speicherblöcke bereit, ähnlich wie eine Festplatte für einen Server. Typische Nutzung: virtuelle Maschinen Datenbanken Betriebssystemplatten Anwendungen mit Dateisystem Merksatz: Blockspeicher verhält sich eher wie eine virtuelle Festplatte. Dateispeicher Dateispeicher stellt Dateifreigaben bereit. Typische Nutzung: gemeinsame Dateisysteme Anwendungen mit gemeinsamen Dateien klassische Freigaben Benutzerdateien Merksatz: Dateispeicher arbeitet mit Ordnern und Dateien. Cloud-Netzwerke Cloud-Umgebungen haben eigene Netzwerkstrukturen. Typische Bestandteile: virtuelle Netzwerke Subnetze Routingtabellen Security Groups Network Security Groups Firewalls Load Balancer öffentliche IP-Adressen private IP-Adressen NAT-Gateways VPN-Gateways Merksatz: Cloud-Netzwerke müssen genauso geplant werden wie lokale Netzwerke. Virtuelles Netzwerk Ein virtuelles Netzwerk ist ein logisch getrenntes Netz in der Cloud. Es enthält: Subnetze virtuelle Maschinen Dienste Routing Sicherheitsregeln Je nach Anbieter heißt es unterschiedlich, zum Beispiel VPC oder VNet. Merksatz: Virtuelles Netzwerk ist das Cloud-Gegenstück zum eigenen Netzsegment. Subnetze in der Cloud Cloud-Netze werden in Subnetze aufgeteilt. Beispiele: Web-Subnetz App-Subnetz Datenbank-Subnetz Management-Subnetz Public Subnet Private Subnet Merksatz: Subnetze trennen Cloud-Ressourcen logisch. Public Subnet Ein Public Subnet enthält Ressourcen, die direkt oder indirekt mit dem Internet verbunden sein können. Beispiele: Load Balancer Bastion Host öffentlich erreichbarer Webserver Wichtig: Nicht jede Ressource sollte öffentlich erreichbar sein. Merksatz: Public Subnet nur für wirklich öffentliche Komponenten nutzen. Private Subnet Ein Private Subnet enthält interne Ressourcen. Beispiele: Datenbankserver interne Anwendung Backend interne APIs Verarbeitungssysteme Diese Ressourcen sind normalerweise nicht direkt aus dem Internet erreichbar. Merksatz: Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff. Security Group Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen. Sie steuert häufig: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group ist eine Firewall-Regelgruppe in der Cloud. Network Security Group Network Security Group wird oft abgekürzt: NSG Sie steuert Netzwerkverkehr auf Subnetz- oder Ressourceneebene, je nach Cloud-Plattform. Merksatz: NSG regelt Netzwerkzugriffe in Cloud-Netzen. Cloud-Firewall Eine Cloud-Firewall schützt Cloud-Netze oder Cloud-Dienste. Sie kann filtern nach: IP-Adresse Port Protokoll Richtung Anwendung Bedrohungssignatur Zone Merksatz: Auch in der Cloud braucht man Firewall-Regeln. Load Balancer Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Ziele können sein: virtuelle Maschinen Container Anwendungen Backends Vorteile: höhere Verfügbarkeit Lastverteilung Wartung einzelner Systeme möglich Skalierung Merksatz: Load Balancer verteilt Last auf mehrere Systeme. Auto Scaling Auto Scaling bedeutet: Ressourcen werden automatisch erhöht oder reduziert. Beispiel: Bei hoher Last werden mehr Instanzen gestartet. Bei geringer Last werden Instanzen beendet. Vorteile: bessere Anpassung an Last Kostenkontrolle höhere Verfügbarkeit Merksatz: Auto Scaling passt Ressourcen automatisch an Bedarf an. Cloud und Hochverfügbarkeit Cloud kann Hochverfügbarkeit unterstützen. Möglichkeiten: mehrere Verfügbarkeitszonen mehrere Regionen Load Balancer Auto Scaling replizierte Daten Backup Monitoring automatische Wiederherstellung Aber: Hochverfügbarkeit muss geplant und konfiguriert werden. Merksatz: Cloud ist nicht automatisch hochverfügbar. Verfügbarkeitszone Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region. Ziel: Ausfall einer Zone soll nicht automatisch alle Dienste betreffen. Beispiele: Zone A Zone B Zone C Merksatz: Verfügbarkeitszonen helfen, Ausfälle innerhalb einer Region abzufangen. Region Eine Region ist ein geografischer Standort eines Cloud-Anbieters. Beispiele: Deutschland Europa USA Asien Regionen sind wichtig für: Latenz Datenschutz Ausfallsicherheit Kosten Compliance Datenstandort Merksatz: Region bestimmt, wo Cloud-Ressourcen geografisch betrieben werden. Datenstandort Datenstandort bedeutet: In welchem Land oder welcher Region Daten gespeichert und verarbeitet werden. Wichtig wegen: Datenschutz rechtlichen Anforderungen Compliance Latenz Kundenanforderungen Unternehmensrichtlinien Merksatz: Datenstandort ist bei Cloud-Diensten sicherheits- und rechtsrelevant. Cloud-Kosten Cloud-Kosten entstehen häufig durch: Rechenleistung Speicher Datenübertragung Datenbanknutzung Lizenzen Load Balancer Backups Logs Monitoring öffentliche IP-Adressen Support Wichtig: Cloud ist flexibel, aber nicht automatisch günstiger. Merksatz: Cloud-Kosten müssen überwacht und geplant werden. OPEX und CAPEX CAPEX bedeutet: Investitionsausgaben Beispiel: Server kaufen Storage kaufen Netzwerkhardware kaufen OPEX bedeutet: Betriebsausgaben Beispiel: monatliche Cloud-Nutzung Mietmodell nutzungsabhängige Abrechnung Cloud verschiebt Kosten häufig von CAPEX zu OPEX. Merksatz: Cloud macht aus Kaufkosten häufig laufende Nutzungskosten. Pay as you go Pay as you go bedeutet: Man bezahlt nach Nutzung. Beispiele: pro Stunde pro GB pro Anfrage pro Benutzer pro Ausführung pro übertragenem Datenvolumen Vorteil: flexible Abrechnung Risiko: unerwartete Kosten bei Fehlkonfiguration oder hoher Nutzung Merksatz: Pay as you go ist flexibel, braucht aber Kostenkontrolle. Cloud-Sicherheit Cloud-Sicherheit umfasst: Identitätsmanagement MFA Rollen und Rechte Netzwerksicherheit Verschlüsselung Logging Monitoring Backup Patchmanagement sichere Konfiguration Datenklassifizierung Compliance Merksatz: Cloud-Sicherheit ist mehr als Anbieter auswählen. Identity and Access Management Identity and Access Management wird oft abgekürzt: IAM IAM regelt: Benutzer Gruppen Rollen Berechtigungen Servicekonten API-Schlüssel MFA Zugriff auf Ressourcen Merksatz: IAM entscheidet, wer was in der Cloud darf. Cloud-Rollen Cloud-Zugriffe sollten über Rollen gesteuert werden. Beispiele: Leser Administrator Netzwerkadministrator Sicherheitsadministrator Datenbankadministrator Entwickler Abrechnungszugriff Merksatz: Rollen helfen, Cloud-Rechte nach Aufgabe zu vergeben. Least Privilege in der Cloud Auch in der Cloud gilt: so wenig Rechte wie möglich, so viele wie nötig. Nicht gut: alle Benutzer sind Administratoren API-Schlüssel mit Vollzugriff öffentliche Speichercontainer Datenbank öffentlich erreichbar Managementport offen im Internet Merksatz: Least Privilege ist in der Cloud besonders wichtig. Cloud-Fehlkonfigurationen Viele Cloud-Sicherheitsvorfälle entstehen durch Fehlkonfigurationen. Beispiele: Speicher öffentlich lesbar Datenbank öffentlich erreichbar zu breite Security Group Adminrechte für zu viele Benutzer fehlende MFA offene Managementports unverschlüsselte Daten keine Logs keine Kostenlimits Merksatz: Cloud-Fehler entstehen häufig durch falsche Konfiguration, nicht durch defekte Technik. Cloud-Logging Cloud-Logs zeigen: Anmeldungen API-Aufrufe Änderungen an Ressourcen Netzwerkzugriffe Firewall-Entscheidungen Fehlermeldungen Sicherheitsereignisse Abrechnungsereignisse Wichtig: Logs aktivieren Logs schützen Logs zentral auswerten Aufbewahrung regeln Merksatz: Cloud-Logs zeigen, wer was wann geändert hat. Cloud-Monitoring Cloud-Monitoring überwacht: Verfügbarkeit CPU RAM Speicher Datenbanklast Netzwerkverkehr Fehlerquoten Antwortzeiten Kosten Zertifikate Sicherheitsereignisse Merksatz: Cloud-Monitoring ist für Betrieb, Sicherheit und Kostenkontrolle wichtig. Backup in der Cloud Cloud-Dienste brauchen Backup-Konzepte. Wichtig: Was wird gesichert? Wie oft? Wie lange? Wo wird gespeichert? Wer darf wiederherstellen? Wurde Wiederherstellung getestet? Ist Backup vor Löschung oder Ransomware geschützt? Merksatz: Cloud ersetzt nicht automatisch Backup. Cloud und Datenschutz Bei Cloud-Diensten müssen Datenschutzanforderungen beachtet werden. Wichtige Fragen: Welche Daten werden verarbeitet? Wo werden Daten gespeichert? Wer hat Zugriff? Gibt es Auftragsverarbeitung? Sind Daten verschlüsselt? Gibt es Löschkonzepte? Werden Logs personenbezogen? Welche Anbieterbedingungen gelten? Merksatz: Cloud-Nutzung braucht Datenschutzprüfung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Cloud Computing? - Was ist der Unterschied zwischen On-Premises und Cloud? - Was ist Public Cloud? - Was ist Private Cloud? - Was ist Hybrid Cloud? - Was ist Multi Cloud? - Was bedeutet IaaS? - Was bedeutet PaaS? - Was bedeutet SaaS? - Was ist das Shared Responsibility Model? - Wer ist bei einer Cloud-VM für Betriebssystemupdates verantwortlich? - Was ist Serverless? - Was ist Auto Scaling? - Was ist ein Load Balancer? - Warum ist IAM in der Cloud wichtig? - Warum ist Cloud nicht automatisch sicher? - Warum ist Cloud nicht automatisch günstiger? - Warum braucht Cloud Backup und Monitoring? Typische Prüfungsfallen Cloud bedeutet nicht automatisch Internetseite. Cloud bedeutet nicht automatisch weniger Verantwortung. On-Premises ist lokal selbst betrieben. Public Cloud ist Anbieterplattform für viele Kunden. Private Cloud ist Cloud-Prinzip für eine Organisation. Hybrid Cloud kombiniert lokal und Cloud. Multi Cloud nutzt mehrere Anbieter. IaaS ist virtuelle Infrastruktur. PaaS ist Plattform für Anwendungen. SaaS ist fertige Software. Shared Responsibility bedeutet geteilte Verantwortung. Cloud-VM muss der Kunde oft selbst patchen. SaaS-Benutzerrechte bleiben Kundenthema. Serverless heißt nicht serverfrei. Cloud ist nicht automatisch hochverfügbar. Cloud ist nicht automatisch günstiger. Pay as you go braucht Kostenkontrolle. IAM ist zentral für Cloud-Sicherheit. Öffentliche Speicherfreigaben sind gefährlich. Cloud braucht Backup, Logs und Monitoring. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Cloud IT-Ressourcen als Dienst On-Premises lokal selbst betrieben Public Cloud öffentliche Anbieterplattform Private Cloud Cloud für eine Organisation Hybrid Cloud Mischung aus lokal und Cloud Multi Cloud mehrere Cloud-Anbieter Community Cloud Cloud für bestimmte Gruppe IaaS Infrastructure as a Service PaaS Platform as a Service SaaS Software as a Service Shared Responsibility geteilte Verantwortung Virtualisierung Aufteilen physischer Ressourcen Container portable Anwendungseinheit Orchestrierung automatische Verwaltung vieler Dienste Kubernetes Container-Orchestrierung Serverless keine Serververwaltung durch Kunden FaaS Function as a Service Cloud Storage Speicher aus der Cloud Objektspeicher Speicher für Objekte mit Metadaten Blockspeicher virtuelle Festplatte Dateispeicher Dateifreigabe als Dienst VPC / VNet virtuelles Cloud-Netz Public Subnet öffentlich angebundenes Subnetz Private Subnet internes Cloud-Subnetz Security Group virtuelle Firewall-Regelgruppe Load Balancer verteilt Anfragen Auto Scaling automatische Skalierung Region geografischer Cloud-Standort Verfügbarkeitszone getrennte Zone innerhalb Region IAM Identitäts- und Rechteverwaltung CAPEX Investitionsausgaben OPEX Betriebsausgaben IHK-sichere Kurzformulierung Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Datenbanken, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst, während Public Cloud von einem Anbieter für viele Kunden bereitgestellt wird. Private Cloud nutzt Cloud-Prinzipien für eine Organisation, Hybrid Cloud kombiniert lokale IT und Cloud, und Multi Cloud nutzt mehrere Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Beim Shared Responsibility Model teilen sich Anbieter und Kunde die Verantwortung. Der Anbieter betreibt je nach Modell Teile der Infrastruktur, der Kunde bleibt aber für Benutzer, Daten, Berechtigungen, sichere Konfiguration, Backup, Monitoring und Compliance verantwortlich. Merksätze Cloud = IT-Ressourcen als Dienst. On-Premises = lokal selbst betrieben. Public Cloud = Anbieterplattform für viele Kunden. Private Cloud = Cloud für eine Organisation. Hybrid Cloud = lokal plus Cloud. Multi Cloud = mehrere Anbieter. IaaS = virtuelle Infrastruktur. PaaS = Plattform für Anwendungen. SaaS = fertige Software. Shared Responsibility = geteilte Verantwortung. Je fertiger der Dienst, desto mehr Betrieb übernimmt der Anbieter. Kundendaten und Zugriffe bleiben Kundenthema. Cloud-VM ist nicht automatisch gepatcht. SaaS braucht Benutzer- und Rechteverwaltung. Virtualisierung ist Grundlage vieler Cloud-Dienste. Container verpacken Anwendungen. Kubernetes orchestriert Container. Serverless heißt nicht serverfrei. FaaS führt Funktionen ereignisgesteuert aus. Cloud Storage kann Objekt, Block oder Datei sein. Cloud-Netze müssen geplant werden. Security Groups sind virtuelle Firewall-Regeln. Load Balancer verteilt Last. Auto Scaling passt Ressourcen automatisch an. Cloud ist nicht automatisch hochverfügbar. Region bestimmt Datenstandort. Cloud ist nicht automatisch günstiger. Pay as you go braucht Kostenkontrolle. IAM ist zentral für Cloud-Sicherheit. Least Privilege gilt auch in der Cloud. Cloud-Fehlkonfigurationen sind häufige Risiken. Cloud braucht Logs, Monitoring, Backup und Datenschutzprüfung. 15.2 IaaS, PaaS und SaaS im Detail IaaS, PaaS und SaaS sind die wichtigsten Cloud-Service-Modelle. Sie beschreiben, welche Teile der IT vom Anbieter bereitgestellt werden und welche Teile der Kunde selbst verwaltet. Die drei Begriffe stehen für: IaaS: Infrastructure as a Service PaaS: Platform as a Service SaaS: Software as a Service Merksatz: IaaS, PaaS und SaaS unterscheiden sich vor allem durch die Verantwortungsverteilung. Warum sind Service-Modelle wichtig? In Prüfungen und in der Praxis muss man erkennen können: Was betreibt der Anbieter? Was betreibt der Kunde? Wer ist für Updates verantwortlich? Wer kümmert sich um Benutzer? Wer sichert Daten? Wer konfiguriert die Anwendung? Wer schützt Zugänge? Das ist wichtig, weil Cloud nicht bedeutet, dass der Anbieter automatisch alles übernimmt. Merksatz: Cloud-Nutzung heißt nicht: keine eigene Verantwortung mehr. Grundidee der drei Modelle Vereinfacht: IaaS: Der Anbieter liefert die technische Infrastruktur. PaaS: Der Anbieter liefert zusätzlich die Plattform für Anwendungen. SaaS: Der Anbieter liefert die fertige Anwendung. Je weiter man von IaaS zu SaaS geht, desto mehr übernimmt der Anbieter. Merksatz: IaaS = viel Kontrolle. SaaS = viel fertiger Dienst. PaaS = dazwischen. Vergleich in Kurzform Modell Kunde bekommt Kunde verwaltet vor allem IaaS virtuelle Infrastruktur Betriebssystem, Anwendung, Daten PaaS Plattform für Anwendungen Anwendung, Daten, Konfiguration SaaS fertige Anwendung Benutzer, Rechte, Daten, Einstellungen Merksatz: Je fertiger der Dienst, desto weniger technische Basis verwaltet der Kunde selbst. IaaS im Detail IaaS bedeutet: Infrastructure as a Service Der Anbieter stellt grundlegende Infrastruktur bereit. Dazu gehören zum Beispiel: - virtuelle Maschinen - virtuelle Netzwerke - virtuelle Festplatten - Firewalls - Load Balancer - öffentliche IP-Adressen - private IP-Adressen - Snapshots - Storage - Routingtabellen Der Kunde baut darauf seine Systeme auf. Merksatz: IaaS ist wie ein gemieteter virtueller Serverraum. Typische IaaS-Beispiele Typische IaaS-Ressourcen: virtuelle Server virtuelle Router virtuelle Firewalls virtuelle Netzwerke Block Storage Object Storage Load Balancer VPN-Gateway Backup-Speicher Typische Nutzung: eigene Anwendungen betreiben eigene Server migrieren Testumgebungen aufbauen Entwicklungsumgebungen bereitstellen Disaster Recovery vorbereiten Merksatz: IaaS eignet sich, wenn man viel Kontrolle über Server und Netzwerk braucht. Was übernimmt der Anbieter bei IaaS? Der Anbieter übernimmt typischerweise: Rechenzentrum physische Server Stromversorgung Kühlung physische Netzwerkanbindung Hardwarewartung Virtualisierungsplattform Grundverfügbarkeit der Infrastruktur Der Kunde muss sich nicht selbst um physische Hardware kümmern. Merksatz: Bei IaaS übernimmt der Anbieter vor allem die physische und virtuelle Basis. Was übernimmt der Kunde bei IaaS? Der Kunde übernimmt typischerweise: Betriebssysteminstallation Betriebssystemupdates Benutzerkonten Firewall-Konfiguration Anwendungsinstallation Anwendungskonfiguration Daten Backups Monitoring Sicherheitskonfiguration Patches innerhalb der VM Merksatz: Eine Cloud-VM muss der Kunde meistens selbst administrieren. IaaS-Vorteile Vorteile: hohe Kontrolle flexible Servergrößen schnelle Bereitstellung keine eigene Hardwarebeschaffung gut für Migration vorhandener Server gut für individuelle Anwendungen skalierbare Infrastruktur netzwerktechnisch flexibel Merksatz: IaaS bietet viel Flexibilität und Kontrolle. IaaS-Nachteile Nachteile: Kunde muss viel selbst verwalten Betriebssystempflege bleibt notwendig Sicherheitskonfiguration bleibt Kundenthema Fehlkonfigurationen möglich Kosten können steigen Monitoring und Backup müssen geplant werden Know-how für Betrieb nötig Merksatz: IaaS nimmt Hardware ab, aber nicht den Serverbetrieb. IaaS-Prüfungsbeispiel Aufgabe: Ein Unternehmen betreibt eine virtuelle Linux-VM in der Cloud. Darauf läuft eine eigene Webanwendung. Frage: Wer ist für Betriebssystemupdates verantwortlich? Antwort: In der Regel der Kunde. Warum? Der Anbieter stellt die Infrastruktur. Der Kunde betreibt Betriebssystem und Anwendung. Merksatz: Cloud-VM heißt nicht: Anbieter patcht automatisch das Betriebssystem. PaaS im Detail PaaS bedeutet: Platform as a Service Der Anbieter stellt eine Plattform bereit, auf der Anwendungen betrieben werden können. Der Kunde muss sich nicht direkt um die darunterliegende Infrastruktur kümmern. Typische Bestandteile: Laufzeitumgebung Web-App-Plattform verwaltete Datenbank Middleware Build- und Deployment-Funktionen Skalierungsfunktionen Monitoring-Grundfunktionen Merksatz: PaaS ist eine fertige Plattform für eigene Anwendungen. Typische PaaS-Beispiele Typische PaaS-Angebote: verwaltete Datenbank Web-App-Service App-Plattform Containerplattform als Dienst Entwicklungsplattform API-Plattform Message Queue als Dienst Cache-Dienst Laufzeitumgebung für Code Typische Nutzung: eigene Anwendung bereitstellen, ohne Serverbetrieb im Detail zu übernehmen. Merksatz: PaaS ist gut, wenn man Anwendung betreiben will, aber weniger Serververwaltung möchte. Was übernimmt der Anbieter bei PaaS? Der Anbieter übernimmt typischerweise: physische Infrastruktur Virtualisierung Betriebssystembasis Laufzeitumgebung Plattformupdates Skalierungsmechanismen Teile des Monitorings Hochverfügbarkeitsfunktionen je nach Dienst Merksatz: Bei PaaS übernimmt der Anbieter mehr als bei IaaS. Was übernimmt der Kunde bei PaaS? Der Kunde übernimmt typischerweise: Anwendungscode Anwendungskonfiguration Daten Benutzer und Rollen Zugriffsschlüssel API-Konfiguration sichere Einstellungen fachliche Backups je nach Dienst Berechtigungen Datenschutz und Compliance Merksatz: Bei PaaS bleibt die Anwendung Kundenthema. PaaS-Vorteile Vorteile: weniger Serveradministration schnellere Entwicklung einfachere Skalierung integrierte Plattformfunktionen weniger Betriebssystempflege oft automatische Updates der Plattform gut für moderne Anwendungen häufig gute Integration in DevOps-Prozesse Merksatz: PaaS entlastet vom Betrieb der technischen Basis. PaaS-Nachteile Nachteile: weniger Kontrolle über darunterliegende Systeme Abhängigkeit von Plattformfunktionen mögliche Anbieterbindung Einschränkungen bei Spezialkonfigurationen Kostenmodell muss verstanden werden Fehlkonfigurationen weiterhin möglich Merksatz: PaaS nimmt Arbeit ab, kann aber stärker an den Anbieter binden. PaaS-Prüfungsbeispiel Aufgabe: Ein Unternehmen nutzt eine verwaltete Datenbank in der Cloud. Frage: Muss das Unternehmen den Datenbankserver selbst installieren? Antwort: Nein. Aber das Unternehmen bleibt verantwortlich für: Daten Benutzerrechte Zugriffskonfiguration Backup-Einstellungen je nach Dienst sichere Konfiguration Merksatz: Verwaltete Datenbank bedeutet nicht: keine Datenverantwortung. SaaS im Detail SaaS bedeutet: Software as a Service Der Kunde nutzt eine fertige Anwendung, die vom Anbieter betrieben wird. Typische Beispiele: E-Mail Online-Office CRM Ticketsystem Videokonferenzdienst Projektmanagement Cloud-Speicher Buchhaltungssystem Lernplattform Merksatz: SaaS ist fertige Software aus der Cloud. Was übernimmt der Anbieter bei SaaS? Der Anbieter übernimmt typischerweise: Anwendung Plattform Infrastruktur Updates Wartung Grundverfügbarkeit technische Skalierung technische Sicherheitsmaßnahmen Betrieb der Datenbank Betrieb der Server Merksatz: Bei SaaS übernimmt der Anbieter den größten Teil des technischen Betriebs. Was übernimmt der Kunde bei SaaS? Der Kunde übernimmt typischerweise: Benutzerkonten Rollen Berechtigungen MFA-Einstellungen Datenklassifizierung Freigaben Aufbewahrungsrichtlinien Löschkonzepte Schulung der Benutzer sichere Konfiguration Vertrags- und Datenschutzprüfung Merksatz: SaaS nimmt Betrieb ab, aber nicht Benutzer-, Rechte- und Datenverantwortung. SaaS-Vorteile Vorteile: schnell nutzbar keine eigene Serverinstallation automatische Updates durch Anbieter ortsunabhängiger Zugriff einfache Skalierung nach Benutzern oft geringe Einstiegshürde gute Zusammenarbeit weniger technischer Betrieb Merksatz: SaaS ist schnell einsatzbereit und reduziert Betriebsaufwand. SaaS-Nachteile Nachteile: weniger technische Kontrolle Abhängigkeit vom Anbieter Datenstandort prüfen Datenschutz prüfen Lizenzkosten beachten Internetabhängigkeit eingeschränkte Anpassbarkeit falsche Freigaben können Daten offenlegen Merksatz: SaaS ist bequem, braucht aber sorgfältige Rechte- und Datenschutzkontrolle. SaaS-Prüfungsbeispiel Aufgabe: Ein Unternehmen nutzt einen Cloud-E-Mail-Dienst. Frage: Wer ist für Benutzerrechte, MFA und Postfachfreigaben verantwortlich? Antwort: Der Kunde. Der Anbieter betreibt den Dienst, aber der Kunde verwaltet Zugriffe und Einstellungen. Merksatz: SaaS-Anbieter betreibt die Software, der Kunde verwaltet Nutzung und Zugriff. Verantwortungsschichten Man kann IT grob in Schichten betrachten: Daten Anwendung Laufzeitumgebung Middleware Betriebssystem Virtualisierung Server Speicher Netzwerk Rechenzentrum Je nach Service-Modell verschiebt sich Verantwortung. Merksatz: Service-Modelle verschieben Verantwortung zwischen Anbieter und Kunde. Verantwortung grob vergleichen Schicht IaaS PaaS SaaS Daten Kunde Kunde Kunde Benutzer und Rechte Kunde Kunde Kunde Anwendung Kunde Kunde Anbieter Laufzeitumgebung Kunde Anbieter Anbieter Betriebssystem Kunde Anbieter Anbieter Virtualisierung Anbieter Anbieter Anbieter Physische Server Anbieter Anbieter Anbieter Rechenzentrum Anbieter Anbieter Anbieter Merksatz: Daten, Benutzer und Rechte bleiben fast immer Kundenthema. Shared Responsibility Model Das Shared Responsibility Model beschreibt, wie sich Anbieter und Kunde Verantwortung teilen. Wichtig: Es gibt keine pauschale Antwort für alle Dienste. Die genaue Verantwortung hängt ab von: Service-Modell Anbieter Vertrag Dienstkonfiguration Sicherheitsoptionen Unternehmensrichtlinien Merksatz: Shared Responsibility immer konkret für den genutzten Dienst prüfen. Typischer Denkfehler Falsch: Das ist Cloud, also kümmert sich der Anbieter um Sicherheit. Richtig: Der Anbieter kümmert sich je nach Modell um Teile der Sicherheit. Der Kunde bleibt für sichere Nutzung, Konfiguration, Daten, Identitäten und Berechtigungen verantwortlich. Merksatz: Cloud-Sicherheit ist gemeinsame Verantwortung. Beispiel: Unsichere IaaS-Konfiguration Ein Unternehmen betreibt eine VM in der Cloud. Fehler: SSH offen für das gesamte Internet schwaches Passwort keine Updates keine Host-Firewall keine Backups keine Logs Obwohl die Cloud-Infrastruktur sicher betrieben wird, ist die VM unsicher konfiguriert. Merksatz: IaaS-Fehlkonfigurationen liegen oft beim Kunden. Beispiel: Unsichere PaaS-Konfiguration Ein Unternehmen nutzt eine verwaltete Datenbank. Fehler: Datenbank öffentlich erreichbar zu breite IP-Freigabe schwache Zugangsdaten keine Verschlüsselung erzwungen keine Backups aktiviert Adminzugang für zu viele Benutzer Merksatz: PaaS muss sicher konfiguriert werden. Beispiel: Unsichere SaaS-Konfiguration Ein Unternehmen nutzt Cloud-Speicher. Fehler: Ordner öffentlich freigegeben Gastzugriff zu breit erlaubt MFA nicht aktiviert alte Benutzerkonten aktiv externe Freigaben nicht geprüft keine Aufbewahrungsrichtlinien Merksatz: SaaS-Fehler entstehen oft durch falsche Freigaben und Rechte. Lift and Shift Lift and Shift bedeutet: bestehende Server oder Anwendungen werden möglichst unverändert in die Cloud verschoben. Beispiel: lokaler Windows-Server wird als Cloud-VM betrieben. Vorteil: schnelle Migration Nachteil: Cloud-Vorteile wie PaaS, Skalierung und Automatisierung werden oft nur teilweise genutzt. Merksatz: Lift and Shift verschiebt Systeme, modernisiert sie aber nicht automatisch. Cloud-native Cloud-native bedeutet: Anwendungen werden speziell für Cloud-Umgebungen entwickelt oder angepasst. Typische Merkmale: Skalierbarkeit Automatisierung Container Microservices API-orientierte Architektur Monitoring schnelle Bereitstellung Resilienz Merksatz: Cloud-native nutzt Cloud-Prinzipien bewusst aus. Managed Service Ein Managed Service ist ein Dienst, bei dem der Anbieter Betrieb und Wartung teilweise übernimmt. Beispiele: verwaltete Datenbank verwalteter Kubernetes-Cluster verwalteter Cache verwaltete Firewall verwaltetes Backup Merksatz: Managed Service reduziert Betriebsaufwand, aber nicht automatisch Kundenverantwortung. Self-Managed Self-Managed bedeutet: Der Kunde betreibt und verwaltet einen Dienst selbst. Beispiel: Datenbank selbst auf einer Cloud-VM installieren. Der Kunde ist dann verantwortlich für: Installation Updates Backup Sicherheit Monitoring Skalierung Wiederherstellung Merksatz: Self-Managed gibt Kontrolle, aber auch Betriebsverantwortung. Managed und Self-Managed vergleichen Merkmal Managed Service Self-Managed Betrieb Anbieter übernimmt mehr Kunde übernimmt mehr Kontrolle etwas geringer höher Wartung geringer für Kunden höher Flexibilität abhängig vom Dienst oft höher Verantwortung geteilt stärker beim Kunden Beispiel Cloud-Datenbank Datenbank auf eigener VM Merksatz: Managed spart Betrieb. Self-Managed gibt Kontrolle. As-a-Service-Prinzip As a Service bedeutet: Eine IT-Funktion wird als Dienst bereitgestellt. Neben IaaS, PaaS und SaaS gibt es weitere Begriffe. Beispiele: Backup as a Service Database as a Service Desktop as a Service Security as a Service Function as a Service Network as a Service Merksatz: As a Service bedeutet: Nutzung als Dienst statt vollständig eigener Betrieb. DaaS DaaS kann je nach Kontext bedeuten: Desktop as a Service oder: Database as a Service In Prüfungen muss man auf den Kontext achten. Desktop as a Service: virtuelle Desktops aus der Cloud Database as a Service: verwaltete Datenbank als Cloud-Dienst Merksatz: DaaS immer im Kontext lesen. FaaS FaaS steht für: Function as a Service Dabei werden einzelne Funktionen ausgeführt, wenn ein Ereignis eintritt. Beispiel: Datei wird hochgeladen. Funktion startet automatisch. Datei wird verarbeitet. FaaS gehört oft zum Serverless-Bereich. Merksatz: FaaS führt Code ereignisgesteuert aus. BaaS BaaS kann bedeuten: Backup as a Service oder: Backend as a Service Backup as a Service: Backups werden als Cloud-Dienst bereitgestellt. Backend as a Service: Backend-Funktionen für Anwendungen werden bereitgestellt, zum Beispiel Authentifizierung, Datenbank oder Push-Benachrichtigungen. Merksatz: BaaS ebenfalls immer im Kontext verstehen. XaaS XaaS steht für: Anything as a Service oder: Everything as a Service Es ist ein Sammelbegriff für viele Dienste, die als Cloud-Service bereitgestellt werden. Merksatz: XaaS ist ein Oberbegriff für Dienste aus der Cloud. Typische Einordnung von Beispielen Beispiel Service-Modell virtuelle Maschine IaaS virtueller Datenträger IaaS virtuelles Netzwerk IaaS verwaltete Datenbank PaaS Web-App-Plattform PaaS Containerplattform als Dienst PaaS fertiges E-Mail-System SaaS Online-Office SaaS CRM aus der Cloud SaaS Ticketsystem aus der Cloud SaaS einzelne Funktion bei Ereignis FaaS / Serverless Merksatz: Frage immer: Nutze ich Infrastruktur, Plattform oder fertige Software? Entscheidungshilfe Ziel passendes Modell maximale Kontrolle über Server IaaS eigene Anwendung ohne Serverbetrieb PaaS fertige Anwendung schnell nutzen SaaS Ereignisgesteuerte kleine Funktionen FaaS klassische Servermigration IaaS / Lift and Shift moderne skalierbare Anwendung PaaS / Container / Serverless Merksatz: Das Modell richtet sich nach Kontrolle, Aufwand und Anwendungszweck. Kostenunterschiede IaaS, PaaS und SaaS haben unterschiedliche Kostenmodelle. IaaS: VM-Laufzeit Speicher Netzwerkverkehr Backups PaaS: Dienstgröße Nutzung Datenbankleistung Anfragen Speicher SaaS: Benutzerlizenzen Funktionspakete Speicher Zusatzmodule Merksatz: Cloud-Kosten entstehen je nach Service-Modell unterschiedlich. Sicherheitsunterschiede IaaS: Kunde muss Server stark selbst absichern. PaaS: Kunde muss Anwendung, Daten und Zugriff absichern. SaaS: Kunde muss Benutzer, Rollen, Freigaben und Daten absichern. Merksatz: Sicherheit verlagert sich, verschwindet aber nicht. Betriebsunterschiede IaaS: viel Betrieb beim Kunden PaaS: mittlerer Betrieb beim Kunden SaaS: wenig technischer Betrieb beim Kunden Aber: Fachliche Administration bleibt bei allen Modellen wichtig. Merksatz: Weniger technischer Betrieb heißt nicht keine Administration. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet IaaS? - Was bedeutet PaaS? - Was bedeutet SaaS? - Worin unterscheiden sich IaaS, PaaS und SaaS? - Wer ist bei IaaS für Betriebssystemupdates verantwortlich? - Wer verwaltet bei SaaS Benutzer und Rechte? - Was bedeutet Shared Responsibility? - Warum ist eine Cloud-VM nicht automatisch sicher? - Was ist ein Managed Service? - Was ist Self-Managed? - Was bedeutet Lift and Shift? - Was bedeutet Cloud-native? - Was ist FaaS? - Warum ist Hashing oder Verschlüsselung allein kein Ersatz für Rechteverwaltung? - Warum bleibt der Kunde auch bei SaaS für Daten verantwortlich? Typische Prüfungsfallen IaaS ist nicht fertige Software. SaaS ist nicht eigener Server. PaaS liegt zwischen IaaS und SaaS. Cloud-VMs muss der Kunde oft selbst patchen. Verwaltete Datenbank heißt nicht: Daten sind automatisch korrekt geschützt. SaaS heißt nicht: alle Benutzerrechte sind automatisch sicher. Shared Responsibility gilt immer konkret je Dienst. Daten bleiben Kundenthema. Benutzer und Rechte bleiben Kundenthema. Backup muss geprüft werden. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch günstiger. Managed Service reduziert Betrieb, aber nicht Verantwortung. Lift and Shift modernisiert nicht automatisch. Serverless heißt nicht, dass keine Server existieren. FaaS führt Funktionen ereignisgesteuert aus. DaaS und BaaS im Kontext lesen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung IaaS Infrastructure as a Service PaaS Platform as a Service SaaS Software as a Service Shared Responsibility geteilte Verantwortung zwischen Anbieter und Kunde Cloud-VM virtuelle Maschine in der Cloud Managed Service Anbieter übernimmt Teile des Betriebs Self-Managed Kunde betreibt Dienst selbst Lift and Shift bestehendes System in Cloud verschieben Cloud-native speziell für Cloud-Prinzipien entwickelt FaaS Function as a Service DaaS je nach Kontext Desktop oder Database as a Service BaaS je nach Kontext Backup oder Backend as a Service XaaS Sammelbegriff für Dienste als Service Plattform Umgebung zum Ausführen von Anwendungen Runtime Laufzeitumgebung für Anwendungscode Middleware Software zwischen Betriebssystem und Anwendung Service-Modell beschreibt Verantwortungsverteilung Anbieter Cloud-Provider oder Dienstleister Kunde nutzende Organisation Rechteverwaltung Steuerung von Zugriffen Konfiguration technische und fachliche Einstellung eines Dienstes IHK-sichere Kurzformulierung IaaS, PaaS und SaaS sind Cloud-Service-Modelle, die beschreiben, welche IT-Schichten vom Anbieter bereitgestellt werden und welche der Kunde selbst verwaltet. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit, während der Kunde Betriebssystem, Anwendungen, Daten und Sicherheit innerhalb der Systeme verwaltet. Bei PaaS stellt der Anbieter zusätzlich Plattform und Laufzeitumgebung bereit, sodass der Kunde sich stärker auf Anwendung und Daten konzentriert. Bei SaaS nutzt der Kunde eine fertige Anwendung, bleibt aber für Benutzer, Rollen, Berechtigungen, Daten, Freigaben und sichere Konfiguration verantwortlich. Das Shared Responsibility Model beschreibt diese geteilte Verantwortung. Merksätze IaaS = Infrastructure as a Service. PaaS = Platform as a Service. SaaS = Software as a Service. IaaS liefert virtuelle Infrastruktur. PaaS liefert Plattform für Anwendungen. SaaS liefert fertige Software. IaaS gibt viel Kontrolle. SaaS nimmt viel Betrieb ab. PaaS liegt dazwischen. Cloud-VM muss Kunde meist selbst patchen. PaaS-Anwendung bleibt Kundenthema. SaaS-Rechte bleiben Kundenthema. Daten bleiben fast immer Kundenthema. Benutzer und Rollen bleiben fast immer Kundenthema. Shared Responsibility konkret prüfen. Cloud-Sicherheit ist gemeinsame Verantwortung. Managed Service reduziert Betriebsaufwand. Self-Managed erhöht Verantwortung. Lift and Shift verschiebt, modernisiert aber nicht automatisch. Cloud-native nutzt Cloud-Prinzipien. Serverless heißt keine Serververwaltung durch Kunden. FaaS führt Funktionen bei Ereignissen aus. XaaS ist Sammelbegriff. Frage immer: Infrastruktur, Plattform oder fertige Anwendung? Weniger technischer Betrieb heißt nicht: keine Administration. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch günstiger. 15.3 Public Cloud, Private Cloud, Hybrid Cloud und Multi Cloud Cloud kann unterschiedlich bereitgestellt werden. Die wichtigsten Cloud-Bereitstellungsmodelle sind: - Public Cloud - Private Cloud - Hybrid Cloud - Multi Cloud - Community Cloud Diese Modelle beschreiben, wo die Cloud betrieben wird, wer sie nutzt und wie stark sie vom Unternehmen selbst kontrolliert wird. Merksatz: Service-Modelle beschreiben, was bereitgestellt wird. Bereitstellungsmodelle beschreiben, wo und für wen es bereitgestellt wird. Warum Bereitstellungsmodelle wichtig sind Nicht jede Cloud ist gleich aufgebaut. Ein Unternehmen muss entscheiden: Sollen Dienste beim öffentlichen Anbieter laufen? Sollen sensible Systeme intern bleiben? Sollen lokale Systeme mit Cloud verbunden werden? Sollen mehrere Anbieter genutzt werden? Gibt es Datenschutz- oder Compliance-Anforderungen? Wie wichtig sind Kontrolle, Kosten, Skalierung und Verfügbarkeit? Merksatz: Das passende Cloud-Modell hängt von Technik, Sicherheit, Kosten und Anforderungen ab. Public Cloud Public Cloud bedeutet: Ein Cloud-Anbieter stellt Ressourcen für viele Kunden bereit. Die Kunden nutzen dieselbe Anbieterplattform, sind aber logisch voneinander getrennt. Typische Ressourcen: virtuelle Maschinen Speicher Datenbanken Webdienste Containerdienste KI-Dienste Identitätsdienste Monitoring Backup SaaS-Anwendungen Merksatz: Public Cloud ist Cloud beim öffentlichen Anbieter für viele Kunden. Public Cloud einfach erklärt Beispiel: Ein Unternehmen mietet virtuelle Server bei einem Cloud-Anbieter. Die Server laufen nicht im eigenen Serverraum, sondern im Rechenzentrum des Anbieters. Das Unternehmen verwaltet seine Ressourcen über: Webportal API Kommandozeile Automatisierung Infrastructure as Code Merksatz: Public Cloud wird über Anbieterplattformen bereitgestellt und verwaltet. Typische Public-Cloud-Eigenschaften Typische Eigenschaften: schnelle Bereitstellung hohe Skalierbarkeit nutzungsabhängige Abrechnung große Auswahl an Diensten weltweite Regionen standardisierte Plattform Self-Service API-Steuerung viele Automatisierungsmöglichkeiten Merksatz: Public Cloud ist schnell, flexibel und dienstorientiert. Public Cloud: Vorteile Vorteile: keine eigene Hardwarebeschaffung schnelle Bereitstellung flexible Skalierung viele fertige Dienste weltweite Verfügbarkeit nutzungsabhängige Kosten moderne Sicherheitsfunktionen Automatisierung gut möglich geeignet für wechselnde Last Merksatz: Public Cloud bietet Flexibilität und schnelle Bereitstellung. Public Cloud: Nachteile Nachteile: Abhängigkeit vom Anbieter laufende Kosten können unübersichtlich werden Datenschutz und Datenstandort prüfen Internetabhängigkeit weniger Kontrolle über physische Infrastruktur Fehlkonfigurationen möglich Anbieteränderungen können Auswirkungen haben Know-how für sichere Nutzung nötig Merksatz: Public Cloud braucht Kostenkontrolle, Sicherheitskonzept und klare Verantwortlichkeiten. Public Cloud und Mandantentrennung In der Public Cloud nutzen viele Kunden dieselbe Plattform. Damit Kunden getrennt bleiben, gibt es Mandantentrennung. Mandantentrennung bedeutet: Ressourcen eines Kunden sind logisch von anderen Kunden getrennt. Beispiele: eigene Benutzerverwaltung eigene virtuelle Netzwerke eigene Speicherbereiche eigene Zugriffsrechte eigene Abrechnung Merksatz: Public Cloud ist gemeinsam genutzt, aber logisch getrennt. Private Cloud Private Cloud bedeutet: Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt. Sie kann betrieben werden: im eigenen Rechenzentrum bei einem Dienstleister in einer dedizierten Umgebung Wichtig: Die Plattform wird nicht allgemein von vielen unabhängigen Kunden geteilt, sondern ist für eine Organisation bestimmt. Merksatz: Private Cloud ist Cloud für eine Organisation. Private Cloud einfach erklärt Beispiel: Ein Unternehmen betreibt im eigenen Rechenzentrum eine virtualisierte Plattform. Fachbereiche können dort selbst Ressourcen anfordern: virtuelle Maschinen Speicher Netzwerke Datenbanken Testumgebungen Die Bereitstellung erfolgt automatisiert und zentral verwaltet. Merksatz: Private Cloud nutzt Cloud-Prinzipien, aber in kontrollierter Umgebung. Typische Private-Cloud-Eigenschaften Typische Eigenschaften: mehr Kontrolle dedizierte Umgebung interne Sicherheitsvorgaben eigene Netzstruktur eigene Compliance-Vorgaben Automatisierung Self-Service Ressourcenpools interne Verrechnung möglich Merksatz: Private Cloud verbindet Cloud-Funktionen mit stärkerer Kontrolle. Private Cloud: Vorteile Vorteile: hohe Kontrolle über Umgebung besser an interne Vorgaben anpassbar Daten können im eigenen Betrieb bleiben eigene Sicherheitsarchitektur möglich geeignet für sensible Systeme Integration in bestehende Infrastruktur weniger Abhängigkeit von Public-Cloud-Anbieter Merksatz: Private Cloud ist interessant, wenn Kontrolle und Anpassung wichtig sind. Private Cloud: Nachteile Nachteile: eigene Hardware oder Dienstleister nötig höhere Betriebsverantwortung Skalierung begrenzter als Public Cloud Investitionskosten möglich eigenes Fachwissen nötig Wartung bleibt stärker beim Unternehmen Verfügbarkeit muss selbst geplant werden Merksatz: Private Cloud gibt Kontrolle, aber auch mehr Betriebsaufwand. Private Cloud ist nicht automatisch Cloud Nur weil Server virtualisiert sind, ist es noch nicht automatisch eine Private Cloud. Cloud-typische Merkmale sind zum Beispiel: Self-Service Automatisierung Ressourcenpooling schnelle Bereitstellung messbare Nutzung standardisierte Dienste zentrale Verwaltung Merksatz: Virtualisierung allein ist noch keine vollständige Private Cloud. Public Cloud und Private Cloud vergleichen Merkmal Public Cloud Private Cloud Betreiber öffentlicher Anbieter Unternehmen oder Dienstleister Nutzerkreis viele Kunden eine Organisation Kontrolle geringer über physische Basis höher Skalierung sehr hoch abhängig von eigener Kapazität Kostenmodell oft nutzungsabhängig oft Investition plus Betrieb Anpassbarkeit begrenzt durch Anbieter höher Datenstandort Anbieterregion wählen stärker selbst bestimmbar Merksatz: Public Cloud ist flexibler skalierbar. Private Cloud ist stärker kontrollierbar. Hybrid Cloud Hybrid Cloud bedeutet: Lokale IT oder Private Cloud wird mit Public Cloud kombiniert. Beispiele: internes Rechenzentrum plus Public-Cloud-Dienste Oder: Private Cloud plus Public Cloud Merksatz: Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud. Hybrid Cloud einfach erklärt Beispiel: Kundendatenbank läuft lokal. Webfrontend läuft in der Public Cloud. Backup wird zusätzlich in der Cloud gespeichert. Verbindung erfolgt über VPN oder dedizierte Leitung. So nutzt das Unternehmen lokale Kontrolle und Cloud-Flexibilität gleichzeitig. Merksatz: Hybrid Cloud verbindet zwei Welten. Typische Hybrid-Cloud-Szenarien Typische Szenarien: lokales Active Directory mit Cloud-Diensten verbinden lokale Server mit Cloud-Backup sichern Cloud-Webanwendung greift auf lokale Datenbank zu lokale Anwendung nutzt Cloud-Speicher Cloud als Ausweichstandort schrittweise Migration in die Cloud Lastspitzen in Cloud auslagern sensible Daten lokal, skalierbare Dienste in Cloud Merksatz: Hybrid Cloud wird oft für schrittweise Migration und flexible Erweiterung genutzt. Hybrid Cloud: Vorteile Vorteile: Kombination aus Kontrolle und Skalierung schrittweise Migration möglich sensible Systeme können lokal bleiben Cloud-Dienste ergänzen lokale IT Backup und Notfallkonzepte möglich flexible Lastverteilung bestehende Investitionen weiter nutzbar Merksatz: Hybrid Cloud ermöglicht Übergang und Kombination. Hybrid Cloud: Nachteile Nachteile: höhere Komplexität Netzwerkanbindung muss stabil sein VPN oder Direktverbindung nötig Identitätsmanagement muss zusammenpassen Monitoring über mehrere Umgebungen nötig Sicherheitsregeln müssen abgestimmt werden Datenflüsse müssen dokumentiert werden Fehlersuche wird komplexer Merksatz: Hybrid Cloud ist flexibel, aber technisch anspruchsvoller. Hybrid Cloud und Netzwerk Hybrid Cloud braucht eine sichere Verbindung zwischen Umgebungen. Möglichkeiten: Site-to-Site-VPN dedizierte Leitung Cloud-VPN SD-WAN private Verbindung zum Anbieter Wichtig: Routing DNS Firewall-Regeln Latenz Bandbreite Verschlüsselung Redundanz Merksatz: Hybrid Cloud steht und fällt mit sauberer Netzwerkanbindung. Hybrid Cloud und Identitäten Benutzer sollen oft sowohl lokale als auch Cloud-Dienste nutzen. Dafür braucht man ein Identitätskonzept. Beispiele: lokale Benutzerverwaltung Cloud-Verzeichnisdienst Synchronisierung Single Sign-On MFA Rollen Conditional Access Merksatz: Hybrid Cloud braucht einheitliche Identitäten und Zugriffskonzepte. Hybrid Cloud und Datenflüsse Bei Hybrid Cloud muss klar sein: Welche Daten liegen lokal? Welche Daten liegen in der Cloud? Welche Daten werden übertragen? Wer darf zugreifen? Wo werden Backups gespeichert? Welche Systeme kommunizieren miteinander? Welche Schnittstellen gibt es? Merksatz: Hybrid Cloud braucht dokumentierte Datenflüsse. Multi Cloud Multi Cloud bedeutet: Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig. Beispiel: Anbieter A für virtuelle Server Anbieter B für E-Mail und Office Anbieter C für Backup Anbieter D für KI- oder Datenanalyse Merksatz: Multi Cloud bedeutet mehrere Cloud-Anbieter parallel. Multi Cloud ist nicht dasselbe wie Hybrid Cloud Hybrid Cloud: Kombination aus lokaler IT und Cloud Multi Cloud: Nutzung mehrerer Cloud-Anbieter Beispiel: Nur Anbieter A und Anbieter B, ohne lokale Systeme: Multi Cloud, aber nicht zwingend Hybrid Cloud. Merksatz: Hybrid beschreibt lokal plus Cloud. Multi Cloud beschreibt mehrere Anbieter. Multi Cloud: Vorteile Vorteile: weniger Abhängigkeit von einem Anbieter passende Dienste je Anbieter nutzbar bessere Verhandlungsposition möglich Ausweichmöglichkeiten regulatorische oder regionale Anforderungen leichter erfüllbar Spezialdienste verschiedener Anbieter nutzbar Merksatz: Multi Cloud kann Anbieterabhängigkeit verringern. Multi Cloud: Nachteile Nachteile: höhere Komplexität unterschiedliche Bedienkonzepte unterschiedliche Sicherheitsmodelle mehrere IAM-Systeme schwierigeres Monitoring höhere Anforderungen an Know-how Kostenkontrolle komplizierter Datenübertragung zwischen Anbietern kann teuer sein Merksatz: Multi Cloud reduziert Abhängigkeit, erhöht aber Komplexität. Multi Cloud und Vendor Lock-in Vendor Lock-in bedeutet: Ein Unternehmen wird stark abhängig von einem Anbieter. Ursachen: proprietäre Dienste spezielle APIs spezielle Datenformate komplexe Migration hohe Ausstiegskosten Mitarbeitende kennen nur eine Plattform Multi Cloud kann Vendor Lock-in verringern, aber nicht automatisch verhindern. Merksatz: Vendor Lock-in bedeutet starke Anbieterabhängigkeit. Multi Cloud und Portabilität Portabilität bedeutet: Anwendungen oder Daten können leichter zwischen Umgebungen verschoben werden. Möglichkeiten: Container offene Standards standardisierte APIs Infrastructure as Code portable Datenformate automatisierte Deployments Aber: vollständig einfache Portabilität ist selten. Merksatz: Portabilität muss geplant werden. Community Cloud Community Cloud bedeutet: Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt. Beispiele: Behörden Forschung Bildung Gesundheitswesen bestimmte Branchen Verbände Gemeinsam sind oft: Sicherheitsanforderungen Datenschutzvorgaben Compliance-Regeln fachliche Anforderungen Merksatz: Community Cloud ist Cloud für eine bestimmte Gemeinschaft. Community Cloud: Vorteile Vorteile: gemeinsame Anforderungen können besser berücksichtigt werden branchenspezifische Vorgaben möglich Kosten können geteilt werden gemeinsame Standards spezielle Sicherheits- und Compliance-Anforderungen Merksatz: Community Cloud bündelt ähnliche Anforderungen mehrerer Organisationen. Community Cloud: Nachteile Nachteile: weniger flexibel als Public Cloud begrenzter Nutzerkreis Abstimmung zwischen Organisationen nötig Governance komplexer Angebot möglicherweise kleiner Verantwortlichkeiten müssen klar geregelt sein Merksatz: Community Cloud braucht klare gemeinsame Regeln. Cloud-Modelle im Vergleich Modell Kerngedanke Public Cloud Anbieterplattform für viele Kunden Private Cloud Cloud für eine Organisation Hybrid Cloud lokale/private IT plus Public Cloud Multi Cloud mehrere Cloud-Anbieter Community Cloud Cloud für Organisationen mit gemeinsamen Anforderungen Merksatz: Jedes Modell löst andere Anforderungen. Typische Entscheidungskriterien Wichtige Kriterien: Datenschutz Datenstandort Kosten Skalierbarkeit Kontrolle Verfügbarkeit Compliance Latenz vorhandene Systeme Know-how Sicherheitsanforderungen Anbieterabhängigkeit Integrationsaufwand Merksatz: Cloud-Modell nach Anforderungen auswählen, nicht nach Modewort. Datenstandort Datenstandort bedeutet: Wo werden Daten gespeichert und verarbeitet? Wichtig für: Datenschutz rechtliche Anforderungen Kundenanforderungen Latenz Compliance Vertragsbedingungen Beispiel: Daten müssen innerhalb der EU gespeichert werden. Merksatz: Datenstandort ist bei Cloud-Auswahl entscheidend. Compliance Compliance bedeutet: Einhaltung von Regeln, Gesetzen, Standards und internen Vorgaben. Bei Cloud relevant: Datenschutz Informationssicherheit Branchenvorgaben Auditierbarkeit Aufbewahrungsfristen Löschkonzepte Zugriffsnachweise Vertragsanforderungen Merksatz: Cloud muss zu rechtlichen und organisatorischen Vorgaben passen. Cloud und Latenz Latenz ist die Verzögerung bei der Datenübertragung. Sie ist wichtig bei: Echtzeitanwendungen Datenbankzugriffen Remote Desktop VoIP Produktionssystemen verteilten Anwendungen Ein weit entfernter Cloud-Standort kann höhere Latenz verursachen. Merksatz: Cloud-Region beeinflusst Latenz. Cloud und Bandbreite Cloud-Dienste brauchen passende Bandbreite. Relevant bei: Backups Dateiübertragung Videodaten Datenbankreplikation Migration Synchronisation Hybrid-Cloud-Anbindung Merksatz: Cloud-Nutzung kann viel Netzwerkverkehr erzeugen. Cloud und Datenübertragungskosten Bei Cloud können Datenübertragungen Kosten verursachen. Besonders wichtig: ausgehender Datenverkehr aus der Cloud Daten zwischen Regionen Daten zwischen Anbietern große Backups Replikation Downloads durch Benutzer Merksatz: Cloud-Traffic kann Kosten verursachen. Cloud und Verfügbarkeit Cloud-Anbieter stellen viele Möglichkeiten für Verfügbarkeit bereit. Aber: Der Kunde muss sie nutzen und konfigurieren. Beispiele: mehrere Zonen mehrere Regionen Load Balancer Replikation Backup Auto Scaling Monitoring Merksatz: Cloud bietet Möglichkeiten für Hochverfügbarkeit, aber nicht automatisch fertige Hochverfügbarkeit. Cloud und Ausfallsicherheit Ausfallsicherheit bedeutet: Ein Dienst bleibt trotz Störung nutzbar oder kann schnell wiederhergestellt werden. Wichtige Konzepte: Redundanz Backup Wiederherstellung Notfallplan mehrere Zonen mehrere Regionen regelmäßige Tests Merksatz: Ausfallsicherheit muss geplant, umgesetzt und getestet werden. Cloud und Verantwortung Auch beim Bereitstellungsmodell gilt: Verantwortung verschwindet nicht. Der Kunde muss prüfen: Wer betreibt was? Wer sichert was? Wer patcht was? Wer darf zugreifen? Wer überwacht? Wer reagiert bei Störung? Wer ist Ansprechpartner? Was steht im Vertrag? Merksatz: Cloud-Verantwortung muss klar geregelt sein. Cloud und Verträge Cloud-Nutzung braucht klare vertragliche Regelungen. Wichtige Punkte: Leistungsumfang Verfügbarkeit Supportzeiten Datenschutz Datenstandort Auftragsverarbeitung Kündigung Datenexport Wiederherstellung Sicherheitsmaßnahmen Haftung Merksatz: Cloud ist auch ein organisatorisches und vertragliches Thema. Service Level Agreement Service Level Agreement wird abgekürzt: SLA Ein SLA beschreibt zugesicherte Serviceleistungen. Beispiele: Verfügbarkeit Reaktionszeit Wiederherstellungszeit Supportzeit Leistungswerte Wichtig: SLA genau lesen. Hohe Prozentwerte bedeuten trotzdem mögliche Ausfallzeit. Merksatz: SLA beschreibt zugesicherte Servicequalität. SLA und Verfügbarkeit Verfügbarkeit wird oft in Prozent angegeben. Beispiele: Verfügbarkeit grobe Bedeutung 99 % deutlich mehr mögliche Ausfallzeit als 99,9 % 99,9 % höher verfügbar 99,99 % sehr hohe Verfügbarkeit 99,999 % extrem hohe Verfügbarkeit Wichtig: Je höher die Verfügbarkeit, desto aufwendiger und teurer ist sie meist. Merksatz: Mehr Neunen bedeuten weniger erlaubte Ausfallzeit, aber meist mehr Aufwand. Cloud und Exit-Strategie Eine Exit-Strategie beschreibt, wie man einen Cloud-Dienst wieder verlassen kann. Fragen: Wie exportiere ich Daten? In welchem Format bekomme ich Daten zurück? Wie lange dauert Migration? Welche Kosten entstehen? Welche Abhängigkeiten gibt es? Wie werden Daten beim Anbieter gelöscht? Gibt es Alternativen? Merksatz: Cloud-Einstieg braucht auch Cloud-Ausstiegsplan. Cloud und Datenportabilität Datenportabilität bedeutet: Daten können in ein anderes System oder zu einem anderen Anbieter übertragen werden. Wichtig: offene Formate Exportfunktionen dokumentierte Schnittstellen keine unnötigen proprietären Abhängigkeiten regelmäßige Exporttests Merksatz: Daten sollten nicht in einem Dienst gefangen sein. Cloud und Schatten-IT Schatten-IT bedeutet: Fachbereiche nutzen IT-Dienste ohne Wissen oder Freigabe der IT-Abteilung. Beispiele: private Cloud-Speicher nicht freigegebene SaaS-Tools eigene KI-Dienste externe Projektplattformen private Messenger Risiken: Datenschutzprobleme Datenabfluss fehlende Backups keine Rechtekontrolle keine Löschung bei Austritt keine Vertragsprüfung Merksatz: Schatten-IT entsteht oft, wenn offizielle Lösungen fehlen oder zu unpraktisch sind. Cloud Governance Cloud Governance beschreibt Regeln und Steuerung für Cloud-Nutzung. Dazu gehören: wer darf Cloud-Ressourcen erstellen? welche Dienste sind erlaubt? welche Regionen sind erlaubt? welche Sicherheitsstandards gelten? wie werden Kosten überwacht? wie werden Daten klassifiziert? wie werden Zugriffe geprüft? wie werden Änderungen dokumentiert? Merksatz: Cloud Governance sorgt für kontrollierte Cloud-Nutzung. Tagging Tagging bedeutet: Cloud-Ressourcen werden mit Schlagworten oder Metadaten markiert. Beispiele: Projekt Kostenstelle Verantwortlicher Umgebung Kritikalität Ablaufdatum Datenschutzklasse Vorteile: Kosten zuordnen Ressourcen finden Verantwortliche erkennen Aufräumen erleichtern Automatisierung ermöglichen Merksatz: Tags machen Cloud-Ressourcen verwaltbar. Cloud-Kostenkontrolle Kostenkontrolle ist wichtig, weil Cloud-Ressourcen schnell erstellt werden können. Maßnahmen: Budgets Alarme Tags Kostenstellen Rechtebegrenzung Abschalten ungenutzter Ressourcen passende Größen wählen Reservierungen prüfen Datenverkehr beobachten Merksatz: Cloud-Flexibilität braucht Kostenkontrolle. Typische Cloud-Fehlentscheidungen Häufige Fehler: Cloud-Modell ohne Anforderungen auswählen Datenschutz nicht prüfen Kosten nicht überwachen keine Exit-Strategie planen kein Backup-Konzept erstellen keine Rollen definieren Ressourcen öffentlich freigeben Multi Cloud ohne Know-how einführen Hybrid Cloud ohne Netzplanung starten SLA falsch verstehen Merksatz: Cloud muss geplant werden, nicht nur gebucht. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Public Cloud? - Was ist Private Cloud? - Was ist Hybrid Cloud? - Was ist Multi Cloud? - Was ist Community Cloud? - Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud? - Welche Vorteile hat Public Cloud? - Welche Vorteile hat Private Cloud? - Warum ist Hybrid Cloud komplexer? - Was bedeutet Vendor Lock-in? - Was bedeutet Datenstandort? - Was ist ein SLA? - Warum braucht Cloud eine Exit-Strategie? - Was ist Cloud Governance? - Warum ist Tagging sinnvoll? - Warum ist Cloud-Kostenkontrolle wichtig? Typische Prüfungsfallen Public Cloud ist nicht automatisch unsicher. Private Cloud ist nicht automatisch günstiger. Hybrid Cloud ist nicht einfach nur irgendeine Cloud. Multi Cloud ist nicht dasselbe wie Hybrid Cloud. Community Cloud ist für bestimmte Organisationengruppen. Virtualisierung allein ist noch keine Private Cloud. Cloud ist nicht automatisch hochverfügbar. Cloud ist nicht automatisch günstiger. Datenstandort prüfen. SLA genau lesen. Hohe Verfügbarkeit muss konfiguriert werden. Multi Cloud erhöht Komplexität. Hybrid Cloud braucht gute Netzplanung. Vendor Lock-in früh beachten. Exit-Strategie vor dem Wechsel planen. Schatten-IT ist ein Sicherheitsrisiko. Governance verhindert unkontrollierte Cloud-Nutzung. Tagging hilft bei Kosten und Verwaltung. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Public Cloud Cloud-Plattform für viele Kunden Private Cloud Cloud für eine Organisation Hybrid Cloud lokale/private IT plus Public Cloud Multi Cloud mehrere Cloud-Anbieter Community Cloud Cloud für Organisationen mit gemeinsamen Anforderungen Mandantentrennung logische Trennung verschiedener Kunden Vendor Lock-in starke Anbieterabhängigkeit Portabilität Übertragbarkeit von Daten oder Anwendungen Datenstandort Ort der Speicherung und Verarbeitung Compliance Einhaltung von Regeln und Vorgaben SLA Service Level Agreement Exit-Strategie Plan zum Verlassen eines Dienstes Datenportabilität Daten in anderes System übertragen können Schatten-IT nicht offiziell freigegebene IT-Nutzung Cloud Governance Regeln für Cloud-Nutzung Tagging Metadaten für Ressourcen Kostenkontrolle Überwachung und Steuerung von Cloud-Kosten Verfügbarkeit Dienst ist nutzbar Ausfallsicherheit Dienst bleibt trotz Störung verfügbar oder wird wiederhergestellt IHK-sichere Kurzformulierung Public Cloud bezeichnet Cloud-Dienste eines öffentlichen Anbieters, die von vielen Kunden genutzt werden, wobei die Kunden logisch voneinander getrennt sind. Private Cloud stellt Cloud-Funktionen für eine einzelne Organisation bereit und bietet mehr Kontrolle, aber auch mehr Betriebsverantwortung. Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, während Multi Cloud die Nutzung mehrerer Cloud-Anbieter beschreibt. Community Cloud wird von Organisationen mit gemeinsamen Anforderungen genutzt. Bei der Auswahl eines Cloud-Modells müssen Datenschutz, Datenstandort, Compliance, Kosten, Skalierbarkeit, Kontrolle, Verfügbarkeit, Latenz, Anbieterabhängigkeit und Exit-Strategie berücksichtigt werden. Merksätze Bereitstellungsmodell beschreibt, wo und für wen Cloud läuft. Public Cloud = Anbieterplattform für viele Kunden. Private Cloud = Cloud für eine Organisation. Hybrid Cloud = lokal oder privat plus Public Cloud. Multi Cloud = mehrere Anbieter. Community Cloud = gemeinsame Anforderungen. Public Cloud ist flexibel. Private Cloud gibt mehr Kontrolle. Hybrid Cloud kombiniert Welten. Multi Cloud reduziert Anbieterabhängigkeit, erhöht aber Komplexität. Hybrid ist nicht automatisch Multi Cloud. Multi Cloud ist nicht automatisch Hybrid. Virtualisierung allein ist keine Private Cloud. Mandantentrennung trennt Kunden logisch. Vendor Lock-in früh beachten. Portabilität planen. Datenstandort prüfen. Compliance beachten. Cloud-Region beeinflusst Latenz. Cloud-Traffic kann Kosten verursachen. Cloud ist nicht automatisch hochverfügbar. Hochverfügbarkeit muss geplant werden. SLA genau lesen. Exit-Strategie vor Nutzung bedenken. Datenportabilität ist wichtig. Schatten-IT vermeiden. Cloud Governance schafft Regeln. Tagging hilft bei Verwaltung und Kosten. Cloud-Kosten aktiv überwachen. Cloud muss geplant werden, nicht nur gebucht. 15.4 Cloud-Netzwerke, VPC, Subnetze und Security Groups Cloud-Dienste brauchen genau wie lokale Systeme ein Netzwerk. In der Cloud werden Netzwerke aber nicht mit physischen Switches und Routern aufgebaut, sondern überwiegend virtuell. Typische Bestandteile eines Cloud-Netzwerks: - virtuelles Netzwerk - Subnetze - Routingtabellen - Security Groups - Network Security Groups - virtuelle Firewalls - Load Balancer - öffentliche IP-Adressen - private IP-Adressen - NAT-Gateways - VPN-Gateways - DNS - Peering Merksatz: Cloud-Netzwerke sind virtuell, müssen aber genauso sauber geplant werden wie lokale Netzwerke. Warum Cloud-Netzwerke wichtig sind Viele Cloud-Fehler entstehen nicht durch die Anwendung, sondern durch Netzwerk- oder Sicherheitskonfiguration. Beispiele: virtuelle Maschine nicht erreichbar Datenbank öffentlich erreichbar Webserver hat falsche Security Group Subnetz hat keine passende Route Cloud-Dienst kann Backend nicht erreichen VPN zur Cloud funktioniert nicht DNS zeigt auf falsches Ziel Load Balancer erreicht keine Instanz Merksatz: Cloud-Probleme sind oft Netzwerk-, Routing- oder Firewall-Probleme. Virtuelles Netzwerk Ein virtuelles Netzwerk ist ein logisch getrenntes Netzwerk in der Cloud. Je nach Anbieter heißt es zum Beispiel: VPC VNet Virtual Network Virtual Private Cloud Es enthält Cloud-Ressourcen wie: virtuelle Maschinen Subnetze Datenbanken Load Balancer Container VPN-Gateways NAT-Gateways Merksatz: Virtuelles Netzwerk = eigenes logisch getrenntes Cloud-Netz. VPC VPC steht für: Virtual Private Cloud Eine VPC ist ein virtuelles, logisch isoliertes Netzwerk innerhalb einer Public Cloud. In einer VPC legt man fest: IP-Adressbereich Subnetze Routing Sicherheitsregeln Gateways Verbindungen zu anderen Netzen Merksatz: VPC ist ein privater Netzwerkbereich innerhalb der Cloud. VNet VNet steht für: Virtual Network Der Begriff wird in manchen Cloud-Plattformen für virtuelle Netzwerke verwendet. Die Grundidee ist ähnlich wie bei VPC: eigener IP-Bereich Subnetze Routing Sicherheitsregeln Cloud-Ressourcen Verbindungen zu anderen Netzen Merksatz: VNet und VPC beschreiben ähnliche Cloud-Netzwerk-Konzepte. IP-Adressbereich im Cloud-Netz Beim Anlegen eines Cloud-Netzes wird ein IP-Adressbereich festgelegt. Beispiel: 10.20.0.0/16 Daraus können mehrere Subnetze gebildet werden. Beispiele: 10.20.1.0/24 Web-Subnetz 10.20.2.0/24 App-Subnetz 10.20.3.0/24 Datenbank-Subnetz Wichtig: Der Adressbereich darf sich nicht ungewollt mit lokalen Netzen überschneiden. Merksatz: Cloud-IP-Planung muss zu lokaler Netzplanung passen. Subnetze in der Cloud Subnetze teilen ein virtuelles Netzwerk in kleinere Bereiche auf. Typische Subnetze: Web-Subnetz App-Subnetz Datenbank-Subnetz Management-Subnetz Public Subnet Private Subnet Gateway-Subnetz Vorteile: bessere Struktur gezielte Sicherheitsregeln getrennte Routingtabellen Trennung von öffentlichen und internen Ressourcen Merksatz: Subnetze strukturieren Cloud-Netze. Public Subnet Ein Public Subnet ist ein Subnetz, das direkt oder indirekt Zugang zum Internet haben kann. Typische Ressourcen: Load Balancer öffentlich erreichbarer Webserver Bastion Host NAT-Gateway Reverse Proxy Wichtig: Nicht jede Ressource in der Cloud gehört in ein Public Subnet. Merksatz: Public Subnet nur für Komponenten, die wirklich öffentlich erreichbar sein müssen. Private Subnet Ein Private Subnet enthält interne Ressourcen, die nicht direkt aus dem Internet erreichbar sein sollen. Typische Ressourcen: Datenbanken interne Backends interne APIs Anwendungssysteme Verarbeitungssysteme Container-Worker interne Dienste Merksatz: Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff. Public und Private Subnet vergleichen Merkmal Public Subnet Private Subnet Internetzugriff eingehend möglich normalerweise nicht direkt typische Systeme Load Balancer, Bastion Host Datenbank, Backend Schutzbedarf hoch sehr hoch Routing oft zum Internet Gateway oft über NAT oder interne Routen Ziel öffentliche Erreichbarkeit interne Verarbeitung Merksatz: Öffentlich erreichbare Systeme nach außen, interne Systeme nach innen trennen. Internet Gateway Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet. Es ermöglicht: eingehende Verbindungen aus dem Internet ausgehende Verbindungen ins Internet Ob eine Ressource wirklich erreichbar ist, hängt zusätzlich ab von: öffentlicher IP-Adresse Routingtabelle Security Group Firewall-Regeln Dienststatus Merksatz: Internet Gateway allein macht eine Ressource nicht automatisch erreichbar. NAT-Gateway Ein NAT-Gateway erlaubt internen Ressourcen, Verbindungen ins Internet aufzubauen, ohne selbst direkt aus dem Internet erreichbar zu sein. Beispiel: Datenbankserver im Private Subnet lädt Updates herunter aber: Internet kann nicht direkt zur Datenbank verbinden Merksatz: NAT-Gateway erlaubt ausgehenden Internetzugriff für private Ressourcen. Internet Gateway und NAT-Gateway vergleichen Merkmal Internet Gateway NAT-Gateway Zweck Verbindung Cloud-Netz ↔ Internet ausgehender Zugriff aus privaten Netzen eingehend aus Internet möglich, wenn erlaubt normalerweise nicht typischer Einsatz Public Subnet Private Subnet Schutzwirkung keine alleinige Schutzmaßnahme versteckt private Ressourcen vor direktem Zugriff Merksatz: Internet Gateway verbindet öffentlich. NAT-Gateway ermöglicht ausgehend. Routingtabellen in der Cloud Routingtabellen legen fest, wohin Pakete gesendet werden. Typische Ziele: lokales Cloud-Netz Internet Gateway NAT-Gateway VPN-Gateway Peering-Verbindung Firewall-Appliance andere Subnetze lokales Unternehmensnetz Merksatz: Routingtabellen bestimmen Wege im Cloud-Netz. Lokale Route Jedes Cloud-Netz hat normalerweise eine lokale Route. Diese erlaubt Kommunikation innerhalb des virtuellen Netzwerks. Beispiel: 10.20.0.0/16 local Damit können Subnetze innerhalb des Cloud-Netzes grundsätzlich miteinander kommunizieren, sofern Sicherheitsregeln es erlauben. Merksatz: Lokale Route erlaubt Kommunikation innerhalb des Cloud-Netzes. Route ins Internet Für Internetzugriff braucht ein Public Subnet typischerweise eine Route wie: 0.0.0.0/0 über Internet Gateway Für Private Subnets kann die Standardroute über ein NAT-Gateway gehen: 0.0.0.0/0 über NAT-Gateway Merksatz: Standardroute entscheidet, wohin unbekannte Ziele gehen. Route zum Firmennetz Bei Hybrid Cloud braucht die Cloud eine Route zum lokalen Unternehmensnetz. Beispiel: lokales Firmennetz: 192.168.10.0/24 Route in Cloud: 192.168.10.0/24 über VPN-Gateway Gleichzeitig braucht das Firmennetz eine Rückroute zum Cloud-Netz. Merksatz: Hybrid Cloud braucht Hin- und Rückroute. Rückroute in Cloud-Szenarien Viele Fehler entstehen, weil nur der Hinweg geplant wurde. Beispiel: Cloud-Server erreicht lokales System nicht. Oder: lokaler Client erreicht Cloud-Server, aber Antwort kommt nicht zurück. Mögliche Ursache: Rückroute fehlt Firewall blockiert Rückverkehr NAT verändert Adressen asymmetrisches Routing Merksatz: Auch in der Cloud gilt: Ohne Rückweg keine funktionierende Verbindung. Security Group Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen. Sie steuert meist: eingehenden Verkehr ausgehenden Verkehr Protokolle Ports Quellen Ziele Security Groups werden oft direkt einer Ressource zugeordnet, zum Beispiel einer virtuellen Maschine. Merksatz: Security Group = Firewall-Regeln direkt an der Cloud-Ressource. Inbound und Outbound Inbound bedeutet: eingehender Verkehr zur Ressource Outbound bedeutet: ausgehender Verkehr von der Ressource Beispiel Webserver: Inbound: TCP 443 von Internet erlaubt Outbound: Verbindung zur Datenbank oder zu Updateservern erlaubt Merksatz: Inbound und Outbound getrennt prüfen. Stateful Security Group Viele Security Groups arbeiten stateful. Stateful bedeutet: Wenn eine Verbindung erlaubt wurde, ist der Rückverkehr automatisch erlaubt. Beispiel: Client verbindet zu Webserver TCP 443. Antwortpakete des Webservers zurück zum Client werden automatisch zugeordnet. Merksatz: Stateful-Regeln merken sich Verbindungen. Network ACL Eine Network ACL ist eine Zugriffsliste auf Netzwerk- oder Subnetzebene. Je nach Cloud-Plattform kann sie: eingehende Regeln prüfen ausgehende Regeln prüfen stateless arbeiten Regelreihenfolge beachten Stateless bedeutet: Rückverkehr muss separat erlaubt werden. Merksatz: Network ACLs wirken oft näher am Subnetz und können stateless sein. Security Group und Network ACL vergleichen Merkmal Security Group Network ACL Ebene Ressource oder Instanz Subnetz oder Netzwerkebene Zustand oft stateful oft stateless Rückverkehr häufig automatisch erlaubt häufig separat nötig Einsatz feine Ressourcenregeln zusätzliche Netzgrenze Fehlerquelle falsche Quelle oder Port fehlender Rückverkehr oder Regelreihenfolge Merksatz: Security Group und Network ACL können beide blockieren. Network Security Group Network Security Group wird oft abgekürzt: NSG Eine NSG ist eine Regelgruppe, die Netzwerkverkehr auf Subnetz- oder Ressourceneebene steuern kann. Typische Angaben: Quelle Ziel Port Protokoll Richtung Priorität Aktion Beschreibung Merksatz: NSG ist eine Cloud-Regelgruppe für Netzwerkzugriffe. Regelreihenfolge und Priorität Manche Cloud-Regelwerke arbeiten mit Prioritäten. Dabei gilt: Regel mit höherer Priorität oder niedrigerer Nummer wird zuerst geprüft Je nach Plattform ist die genaue Logik unterschiedlich. Wichtig: spezifische Regeln vor allgemeinen Regeln Deny-Regeln beachten Standardregeln verstehen Merksatz: Regelreihenfolge kann entscheiden, ob Verkehr erlaubt oder blockiert wird. Quelle und Ziel in Cloud-Regeln In Cloud-Regeln können Quellen und Ziele sein: IP-Adressen Subnetze Security Groups Tags Service Accounts Load Balancer Cloud-Dienste Internet Beispiel: Webserver-Security-Group darf zur Datenbank-Security-Group auf TCP 5432. Das ist oft besser als: gesamtes Netz darf zur Datenbank. Merksatz: Cloud-Regeln möglichst gezielt formulieren. Öffentliche IP-Adresse Eine öffentliche IP-Adresse macht eine Ressource grundsätzlich aus dem Internet adressierbar. Aber erreichbar ist sie nur, wenn zusätzlich passen: Routing Security Group Firewall Dienst Betriebssystem-Firewall DNS Load Balancer Zertifikat Merksatz: Öffentliche IP allein reicht nicht für funktionierenden Zugriff. Private IP-Adresse Private IP-Adressen werden innerhalb des Cloud-Netzes genutzt. Typisch für: interne Kommunikation Datenbanken Backends interne APIs Server-zu-Server-Kommunikation Hybrid-Cloud-Verbindungen Merksatz: Private IPs sind für interne Kommunikation im Cloud-Netz. Öffentliche und private IP vergleichen Merkmal öffentliche IP private IP Erreichbarkeit aus Internet möglich nur intern oder über Verbindung Einsatz Webzugriff, Load Balancer Backend, Datenbank, interne Dienste Risiko höher geringer, aber nicht risikofrei Schutz Firewall, Security Group, TLS Segmentierung, Regeln, IAM Merksatz: Öffentlich nur, wenn es wirklich nötig ist. Load Balancer in der Cloud Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Ziele können sein: virtuelle Maschinen Container App-Instanzen Backends Servergruppen Aufgaben: Lastverteilung Health Checks Hochverfügbarkeit TLS-Terminierung Weiterleitung Skalierung unterstützen Merksatz: Load Balancer verteilt Anfragen und erhöht Verfügbarkeit. Health Check Ein Health Check prüft, ob ein Backend gesund ist. Beispiele: TCP-Port erreichbar? HTTP-Status 200? bestimmter Pfad antwortet? Anwendung meldet gesund? Antwortzeit akzeptabel? Wenn ein Backend ungesund ist, leitet der Load Balancer keinen Verkehr mehr dorthin. Merksatz: Health Check entscheidet, ob ein Backend Verkehr bekommt. Typische Load-Balancer-Fehler Häufige Fehler: Backend-Port falsch Health Check falscher Pfad Security Group blockiert Load Balancer Backend-Dienst läuft nicht TLS-Zertifikat falsch falscher Host-Header falsches Protokoll Backend in falschem Subnetz keine gesunden Ziele Merksatz: 502 oder 503 in der Cloud hängt oft mit Load Balancer oder Backend zusammen. Cloud-DNS Cloud-DNS verwaltet Namen für Cloud-Ressourcen. Typische Aufgaben: öffentliche DNS-Zonen private DNS-Zonen interne Namen Load-Balancer-Namen Service Discovery Hybrid-DNS Weiterleitung zu lokalen DNS-Servern Merksatz: Cloud-DNS verbindet Namen mit Cloud-Ressourcen. Private DNS-Zone Eine Private DNS-Zone ist nur innerhalb bestimmter Netzwerke sichtbar. Beispiel: app.internal.cloud Nur Systeme im Cloud-Netz oder verbundenen Netzen können diesen Namen auflösen. Merksatz: Private DNS ist für interne Cloud-Namen. Public DNS-Zone Eine Public DNS-Zone ist öffentlich abfragbar. Beispiel: www.firma.de Sie wird für öffentlich erreichbare Dienste genutzt. Wichtig: Öffentlicher DNS-Eintrag bedeutet nicht, dass Zugriff auch erlaubt ist. Merksatz: Public DNS ist sichtbar, Zugriff hängt trotzdem von Routing und Regeln ab. Cloud Peering Peering verbindet zwei virtuelle Netzwerke miteinander. Beispiel: VPC A ↔ VPC B Oder: VNet A ↔ VNet B Ziel: private Kommunikation zwischen Cloud-Netzen Wichtig: Routen Security Groups DNS Überschneidung von IP-Netzen Berechtigungen Merksatz: Peering verbindet Cloud-Netze privat miteinander. Peering ist kein Transit automatisch Ein häufiger Denkfehler: Wenn Netz A mit B verbunden ist und B mit C verbunden ist, kann A automatisch C erreichen. Das stimmt nicht immer. Viele Peering-Verbindungen sind nicht automatisch transitiv. Merksatz: Peering bedeutet nicht automatisch Durchleitung zu dritten Netzen. Transit Gateway oder Hub-and-Spoke In größeren Cloud-Netzen nutzt man oft zentrale Netzwerkarchitekturen. Beispiel: Hub-Netz mit Firewall, VPN, Internetzugang und zentralen Diensten Spoke-Netze für Anwendungen, Abteilungen oder Umgebungen Vorteil: zentrale Kontrolle einheitliches Routing bessere Segmentierung übersichtliche Sicherheitsregeln Merksatz: Hub-and-Spoke ordnet viele Cloud-Netze zentral. Cloud-VPN Cloud-VPN verbindet Cloud-Netze mit anderen Netzen. Beispiele: Cloud ↔ lokales Rechenzentrum Cloud ↔ Niederlassung Cloud ↔ andere Cloud Wichtig: passende IP-Netze Routing auf beiden Seiten Firewall-Regeln Verschlüsselung Monitoring Redundanz Merksatz: Cloud-VPN braucht Planung auf Cloud-Seite und lokaler Seite. Direktverbindung zur Cloud Neben VPN kann es direkte private Verbindungen zu Cloud-Anbietern geben. Eigenschaften: private Verbindung meist stabilere Leistung geringere Latenz möglich höhere Bandbreite möglich kein normaler Internetweg oft teurer und aufwendiger Merksatz: Direktverbindung kann für kritische Hybrid-Cloud-Szenarien sinnvoll sein. Bastion Host in der Cloud Ein Bastion Host ist ein besonders geschützter Sprungserver. Zweck: Adminzugriffe auf private Cloud-Ressourcen ermöglichen, ohne diese direkt ins Internet zu stellen. Beispiel: Admin → Bastion Host → private VM Wichtig: MFA Logging beschränkte Quellen regelmäßige Updates keine Dauerzugänge starke Härtung Merksatz: Bastion Host reduziert direkte öffentliche Adminzugriffe. Managementports nicht öffentlich öffnen Kritische Managementports sollten nicht offen im Internet liegen. Beispiele: SSH TCP 22 RDP TCP 3389 Datenbankports Admin-Weboberflächen Kubernetes-API Storage-Adminzugänge Besser: VPN Bastion Host Zero-Trust-Zugang private Subnetze eingeschränkte Quell-IP MFA Merksatz: Managementzugänge gehören nicht breit ins Internet. Cloud-Firewall Eine Cloud-Firewall kann zentrale Filterung übernehmen. Sie schützt zum Beispiel: Internetzugang Verbindungen zwischen Subnetzen Verbindung zu lokalen Netzen Cloud-zu-Cloud-Verkehr DMZ-ähnliche Bereiche Funktionen können sein: Paketfilter Stateful Inspection Anwendungskontrolle IDS/IPS URL-Filter Logging Merksatz: Cloud-Firewall ergänzt Security Groups und Netzsegmentierung. Cloud-Netzsegmentierung Auch in der Cloud sollte man Systeme trennen. Beispiele: Web-Schicht App-Schicht Datenbank-Schicht Management-Schicht Entwicklungsumgebung Testumgebung Produktionsumgebung DMZ-ähnliche Zone Merksatz: Cloud braucht Segmentierung wie lokale Netze. Drei-Schichten-Architektur in der Cloud Ein typisches Muster: Web-Schicht: öffentlich erreichbar über Load Balancer App-Schicht: nur intern vom Webserver erreichbar Datenbank-Schicht: nur von App-Servern erreichbar Vorteil: bessere Sicherheit klare Kommunikationswege weniger Angriffsfläche Merksatz: Datenbanken gehören normalerweise nicht direkt ins Internet. Umgebungen trennen Cloud-Ressourcen sollten nach Umgebung getrennt werden. Typische Umgebungen: Entwicklung Test Staging Produktion Warum? Testfehler sollen Produktion nicht stören. Rechte können getrennt werden. Kosten können getrennt werden. Änderungen werden kontrollierter. Sicherheitsregeln sind klarer. Merksatz: Entwicklung, Test und Produktion sauber trennen. Cloud-Netzwerk und IAM Netzwerkregeln allein reichen nicht. Auch Identitäten und Rechte sind wichtig. Beispiel: Benutzer darf Security Group ändern. Benutzer darf öffentliche IP vergeben. Benutzer darf Route zum Internet setzen. Benutzer darf Firewall-Regel öffnen. Diese Rechte können sicherheitskritisch sein. Merksatz: Wer Cloud-Netzwerke ändern darf, kann Sicherheit stark beeinflussen. Cloud-Netzwerk-Fehlkonfigurationen Häufige Fehler: Datenbank öffentlich erreichbar SSH offen für das ganze Internet RDP offen für das ganze Internet Security Group zu breit falsche Route ins Internet Private Subnet versehentlich öffentlich fehlende Rückroute falscher Load-Balancer-Health-Check keine Logs veraltete Bastion Hosts Peering ohne Sicherheitsprüfung Merksatz: Viele Cloud-Sicherheitsprobleme sind Netzwerk-Fehlkonfigurationen. Cloud-Netzwerk-Logging Wichtige Logquellen: Flow Logs Firewall-Logs Load-Balancer-Logs DNS-Logs VPN-Logs IAM-Logs Routing-Änderungen Security-Group-Änderungen WAF-Logs Merksatz: Netzwerklogs zeigen, welcher Verkehr erlaubt oder blockiert wurde. Flow Logs Flow Logs zeigen Netzwerkverbindungen auf Ebene von Metadaten. Sie enthalten typischerweise: Quelle Ziel Port Protokoll Aktion Zeit Datenmenge Interface oder Ressource Sie zeigen normalerweise nicht den vollständigen Paketinhalt. Merksatz: Flow Logs zeigen Verbindungsdaten, aber keinen kompletten Paketmitschnitt. Cloud-Netzwerk-Monitoring Überwacht werden sollten: VPN-Tunnelstatus Load Balancer Backend-Gesundheit Paketverlust Latenz Bandbreite Firewall-Drops DNS-Fehler öffentliche IPs ungewöhnlicher Datenverkehr Kosten durch Traffic Merksatz: Cloud-Netzwerk-Monitoring schützt Betrieb und Kosten. Cloud-Netzwerk-Fehlersuche Sinnvolle Reihenfolge: 1. Quelle und Ziel bestimmen. 2. IP-Adressen prüfen. 3. DNS prüfen. 4. Subnetz prüfen. 5. Routingtabelle prüfen. 6. Security Group prüfen. 7. Network ACL oder NSG prüfen. 8. Load Balancer prüfen. 9. Zielsystem und Dienst prüfen. 10. Host-Firewall prüfen. 11. Logs prüfen. 12. Rückweg prüfen. Merksatz: Auch in der Cloud gilt: DNS, Route, Firewall, Dienst und Rückweg prüfen. Fehlerbild: Cloud-VM nicht per SSH erreichbar Mögliche Ursachen: keine öffentliche IP DNS zeigt falsch Routing zum Internet fehlt Security Group blockiert TCP 22 Network ACL blockiert SSH-Dienst läuft nicht Host-Firewall blockiert falscher Benutzer oder Schlüssel Bastion Host nötig Quell-IP nicht erlaubt Merksatz: SSH-Fehler in Cloud mit IP, Route, Security Group, Dienst Schlüssel und Bastion prüfen. Fehlerbild: Webdienst in Cloud nicht erreichbar Mögliche Ursachen: DNS falsch Load Balancer falsch Zertifikat falsch Security Group blockiert TCP 443 Backend ungesund Health Check falsch Anwendung läuft nicht falscher Port private Ressource ohne öffentliche Freigabe WAF blockiert Merksatz: Webfehler in Cloud mit DNS, Load Balancer, Security Group, TLS und Backend prüfen. Fehlerbild: Cloud-Datenbank öffentlich erreichbar Das ist meistens ein Sicherheitsproblem. Mögliche Ursachen: Datenbank in Public Subnet öffentliche IP vergeben Security Group zu breit Firewall-Regel erlaubt 0.0.0.0/0 Authentifizierung schwach kein Private Endpoint falsches Routing Besser: Private Subnet Zugriff nur von App-Schicht Security Group gezielt keine öffentliche IP Verschlüsselung starke Authentifizierung Merksatz: Datenbanken gehören normalerweise nicht öffentlich ins Internet. Fehlerbild: Cloud und On-Premises erreichen sich nicht Mögliche Ursachen: VPN-Tunnel down Route in Cloud fehlt Route lokal fehlt Firewall blockiert Security Group blockiert IP-Netze überschneiden sich DNS falsch NAT falsch Rückroute fehlt Cloud-Gateway falsch konfiguriert Merksatz: Hybrid-Verbindungen brauchen Regeln und Routen auf beiden Seiten. Checkliste: Cloud-Netzwerk sicher planen IP-Adressbereich eindeutig wählen. Subnetze sauber trennen. Public und Private Subnets unterscheiden. Datenbanken nicht öffentlich bereitstellen. Managementzugänge nicht breit öffnen. Security Groups eng setzen. Rückwege planen. Hybrid-Routen dokumentieren. DNS-Konzept erstellen. Logging aktivieren. Monitoring einrichten. Änderungen dokumentieren. Rechte zur Netzwerkänderung begrenzen. Merksatz: Cloud-Netzwerk zuerst planen, dann Ressourcen bereitstellen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein virtuelles Netzwerk in der Cloud? - Was bedeutet VPC? - Was ist ein Subnetz in der Cloud? - Was ist der Unterschied zwischen Public Subnet und Private Subnet? - Was ist ein Internet Gateway? - Was ist ein NAT-Gateway? - Wofür nutzt man Routingtabellen in der Cloud? - Was ist eine Security Group? - Was ist eine Network ACL? - Was ist eine NSG? - Was ist der Unterschied zwischen öffentlicher und privater IP? - Wofür nutzt man einen Load Balancer? - Was ist ein Health Check? - Was ist Cloud Peering? - Warum ist Peering nicht automatisch transitiv? - Warum sollte eine Datenbank nicht öffentlich erreichbar sein? - Wie geht man bei Cloud-Netzwerk-Fehlersuche vor? Typische Prüfungsfallen Cloud-Netzwerke sind virtuell, aber echte Netzplanung bleibt nötig. VPC und VNet beschreiben virtuelle Cloud-Netze. Public Subnet ist nicht für alle Systeme geeignet. Private Subnet schützt vor direkter öffentlicher Erreichbarkeit. Internet Gateway allein reicht nicht für Zugriff. NAT-Gateway erlaubt typischerweise ausgehende Verbindungen. Routingtabellen bestimmen Wege. Rückroute nicht vergessen. Security Groups wirken wie virtuelle Firewalls. Network ACLs können zusätzlich blockieren. Stateful und stateless unterscheiden. Öffentliche IP bedeutet höheres Risiko. Datenbanken nicht öffentlich freigeben. Load Balancer braucht gesunde Backends. Health Check muss zum Dienst passen. Peering ist nicht automatisch transitiv. Cloud-Firewall ersetzt nicht saubere Segmentierung. Managementports nicht breit ins Internet öffnen. Cloud-Netzwerkänderungen sind sicherheitskritisch. Flow Logs zeigen Metadaten, nicht vollständige Pakete. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung virtuelles Netzwerk logisch getrenntes Cloud-Netz VPC Virtual Private Cloud VNet Virtual Network Subnetz Teilbereich eines Cloud-Netzes Public Subnet öffentlich angebundenes Subnetz Private Subnet internes Subnetz ohne direkte öffentliche Erreichbarkeit Internet Gateway Verbindung eines Cloud-Netzes zum Internet NAT-Gateway ausgehender Internetzugriff für private Ressourcen Routingtabelle Wege zu Zielnetzen lokale Route Route innerhalb des Cloud-Netzes Security Group virtuelle Firewall-Regelgruppe Network ACL Zugriffsliste auf Netzwerk- oder Subnetzebene NSG Network Security Group Stateful Rückverkehr wird automatisch zugeordnet Stateless Rückverkehr muss separat erlaubt werden öffentliche IP aus dem Internet adressierbare IP private IP interne Adresse im Cloud-Netz Load Balancer verteilt Anfragen auf Ziele Health Check Prüfung der Backend-Gesundheit Cloud-DNS Namensauflösung für Cloud-Ressourcen Private DNS-Zone interne DNS-Zone Public DNS-Zone öffentlich sichtbare DNS-Zone Peering Verbindung zwischen Cloud-Netzen Hub-and-Spoke zentrale Netzwerkarchitektur Cloud-VPN VPN-Verbindung zu Cloud-Netz Bastion Host gehärteter Sprungserver Flow Logs Metadaten zu Netzwerkverbindungen IHK-sichere Kurzformulierung Cloud-Netzwerke bestehen aus virtuellen Netzwerken wie VPC oder VNet, Subnetzen, Routingtabellen, Security Groups, Network ACLs, Gateways, Load Balancern und DNS. Public Subnets sind für öffentlich erreichbare Komponenten wie Load Balancer oder Bastion Hosts gedacht, während Private Subnets interne Ressourcen wie Datenbanken oder Backends schützen. Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet, während ein NAT-Gateway privaten Ressourcen ausgehenden Internetzugriff ermöglicht. Security Groups und NSGs wirken als virtuelle Firewall-Regeln. Bei Cloud-Netzwerk-Fehlern müssen DNS, IP-Adressen, Routing, Security Groups, Network ACLs, Load Balancer, Zielsysteme, Host-Firewalls und Rückwege geprüft werden. Merksätze Cloud-Netzwerke sind virtuell, aber echte Netzplanung bleibt nötig. VPC = Virtual Private Cloud. VNet = Virtual Network. Virtuelles Netzwerk ist logisch getrennt. IP-Bereiche sauber planen. Cloud-Netze dürfen sich nicht ungewollt überschneiden. Subnetze strukturieren Cloud-Ressourcen. Public Subnet für öffentliche Komponenten. Private Subnet für interne Komponenten. Datenbank nicht öffentlich erreichbar machen. Internet Gateway verbindet zum Internet. NAT-Gateway ermöglicht ausgehenden Zugriff. Routingtabellen bestimmen Wege. Standardroute entscheidet bei unbekannten Zielen. Hybrid Cloud braucht Hin- und Rückrouten. Security Group ist virtuelle Firewall. Inbound und Outbound getrennt prüfen. Stateful merkt sich Verbindungen. Stateless braucht separate Rückregeln. Network ACL kann zusätzlich blockieren. NSG steuert Netzwerkzugriffe. Öffentliche IP nur wenn nötig. Private IP für interne Kommunikation. Load Balancer verteilt Anfragen. Health Check prüft Backend-Gesundheit. Cloud-DNS kann öffentlich oder privat sein. Peering verbindet Cloud-Netze. Peering ist nicht automatisch transitiv. Hub-and-Spoke schafft zentrale Kontrolle. Cloud-VPN braucht Routen beidseitig. Bastion Host schützt Adminzugriffe. Managementports nicht breit öffnen. Segmentierung gilt auch in der Cloud. IAM beeinflusst Netzwerksicherheit. Flow Logs zeigen Verbindungsmetadaten. Cloud-Fehlersuche: DNS, Route, Security Group, Dienst, Rückweg. 15.5 Cloud-Sicherheit, IAM und Shared Responsibility Cloud-Sicherheit bedeutet nicht nur, dass der Cloud-Anbieter sichere Rechenzentren betreibt. Cloud-Sicherheit umfasst auch: - Identitäten - Benutzerkonten - Rollen - Berechtigungen - MFA - Netzwerksicherheit - Verschlüsselung - Logging - Monitoring - Backup - sichere Konfiguration - Datenschutz - Compliance Merksatz: Cloud-Sicherheit ist gemeinsame Verantwortung von Anbieter und Kunde. Warum Cloud-Sicherheit wichtig ist Cloud-Ressourcen sind oft schnell erstellt und über Netzwerke erreichbar. Dadurch entstehen typische Risiken: zu breite Berechtigungen öffentliche Speicherfreigaben offene Managementports fehlende MFA falsch konfigurierte Security Groups öffentliche Datenbanken ungeschützte API-Schlüssel fehlende Logs keine Kostenkontrolle falscher Datenstandort Merksatz: In der Cloud entstehen viele Risiken durch Fehlkonfiguration. Shared Responsibility Model Shared Responsibility Model bedeutet: Anbieter und Kunde teilen sich die Verantwortung. Der Anbieter ist je nach Dienst verantwortlich für: Rechenzentrum physische Sicherheit Hardware Grundinfrastruktur Plattformbetrieb Verfügbarkeit der angebotenen Dienste Der Kunde bleibt je nach Dienst verantwortlich für: Benutzer Rollen Daten Berechtigungen sichere Konfiguration Netzwerkfreigaben Anwendungssicherheit Backup-Konzept Compliance Merksatz: Cloud bedeutet geteilte Verantwortung, nicht abgegebene Verantwortung. Verantwortung hängt vom Service-Modell ab Die Verantwortung ist bei IaaS, PaaS und SaaS unterschiedlich verteilt. Bereich IaaS PaaS SaaS physisches Rechenzentrum Anbieter Anbieter Anbieter Hardware Anbieter Anbieter Anbieter Virtualisierung Anbieter Anbieter Anbieter Betriebssystem Kunde Anbieter Anbieter Anwendung Kunde Kunde Anbieter Daten Kunde Kunde Kunde Benutzer und Rechte Kunde Kunde Kunde sichere Konfiguration Kunde Kunde Kunde Merksatz: Daten, Benutzer und Rechte bleiben fast immer Kundenthema. Cloud-Irrtum: Anbieter macht alles sicher Falsch: Der Anbieter betreibt die Cloud, also ist automatisch alles sicher. Richtig: Der Anbieter schützt die Plattform. Der Kunde muss seine Nutzung sicher konfigurieren. Beispiel: Wenn ein Kunde einen Speicher öffentlich freigibt, ist das meist ein Konfigurationsfehler des Kunden. Merksatz: Sichere Plattform plus falsche Konfiguration bleibt unsicher. IAM IAM steht für: Identity and Access Management IAM regelt, wer auf welche Cloud-Ressourcen zugreifen darf. IAM umfasst: Benutzer Gruppen Rollen Berechtigungen Richtlinien Servicekonten API-Schlüssel MFA Zugriffsprotokolle Merksatz: IAM entscheidet, wer was in der Cloud darf. Identität Eine Identität ist ein Konto oder Objekt, das Zugriff erhalten kann. Beispiele: Benutzerkonto Administrator Entwickler Servicekonto Anwendung virtuelle Maschine Containerdienst Automatisierungsskript Merksatz: Nicht nur Menschen, auch Dienste können Identitäten haben. Benutzer Ein Benutzer ist eine menschliche Identität. Beispiele: Administrator Entwickler Supportmitarbeiter Fachbereich externer Dienstleister Benutzer sollten: eindeutig zugeordnet sein keine Sammelkonten nutzen MFA verwenden nur notwendige Rechte erhalten bei Austritt deaktiviert werden Merksatz: Jeder Benutzer braucht ein eigenes Konto. Gruppen Gruppen fassen Benutzer zusammen. Beispiel: Cloud-Admins Entwickler Leser Sicherheitsprüfer Datenbankadministratoren Netzwerkadministratoren Vorteil: Rechte werden nicht einzeln pro Benutzer vergeben, sondern über Gruppen verwaltet. Merksatz: Gruppen vereinfachen Rechteverwaltung. Rollen Eine Rolle beschreibt, welche Aufgaben und Berechtigungen eine Identität hat. Beispiele: Leser Administrator Netzwerkadministrator Sicherheitsadministrator Datenbankadministrator Abrechnungsadministrator Backup-Operator Merksatz: Rollen ordnen Rechte nach Aufgabe. Berechtigungen Berechtigungen legen fest, was erlaubt ist. Beispiele: virtuelle Maschine starten virtuelle Maschine löschen Speicher lesen Speicher schreiben Firewall-Regel ändern Benutzer anlegen Logs anzeigen Backup wiederherstellen Merksatz: Berechtigungen sind konkrete Erlaubnisse. Richtlinien Richtlinien beschreiben, welche Berechtigungen gelten. Sie können festlegen: wer etwas darf was erlaubt ist auf welche Ressource es gilt unter welchen Bedingungen es gilt was verboten ist Merksatz: Richtlinien verbinden Identitäten, Aktionen und Ressourcen. Least Privilege Least Privilege bedeutet: nur so viele Rechte wie nötig, so wenige wie möglich. In der Cloud ist das besonders wichtig, weil viele Aktionen große Auswirkungen haben können. Beispiele für riskante Rechte: alle Ressourcen löschen Firewall-Regeln ändern Speicher öffentlich freigeben Benutzerrechte vergeben API-Schlüssel erstellen Backups löschen Merksatz: Cloud-Rechte immer minimal vergeben. Need to Know Need to Know bedeutet: Zugriff nur auf Daten oder Systeme, die für die Aufgabe benötigt werden. Beispiel: Entwickler braucht Zugriff auf Testsysteme, aber nicht automatisch auf Produktionsdaten. Abrechnung braucht Kostenübersicht, aber keine Server-Adminrechte. Merksatz: Rechte nach Aufgabe, nicht nach Bequemlichkeit vergeben. Administratorrechte Administratorrechte sind besonders kritisch. Risiken: versehentliches Löschen falsche Firewall-Regeln öffentliche Freigaben Zugriff auf sensible Daten Rechteausweitung Änderung von Logs Manipulation von Backups Merksatz: Administratorrechte nur gezielt und kontrolliert vergeben. Privileged Access Management Privileged Access Management wird oft abgekürzt: PAM PAM bedeutet: besonders privilegierte Zugriffe werden kontrolliert, begrenzt überwacht und dokumentiert. Beispiele: zeitlich begrenzte Adminrechte Genehmigungsprozess MFA Session Logging Notfallkonto regelmäßige Rechteprüfung Merksatz: PAM schützt besonders mächtige Zugriffe. Just-in-Time-Zugriff Just-in-Time-Zugriff bedeutet: Rechte werden nur für einen begrenzten Zeitraum vergeben. Beispiel: Admin braucht für 2 Stunden erhöhte Rechte, um eine Wartung durchzuführen. Nach Ablauf werden die Rechte automatisch entzogen. Merksatz: Just-in-Time reduziert dauerhafte Adminrechte. Sammelkonten vermeiden Sammelkonten sind gemeinsame Konten, die mehrere Personen nutzen. Problem: keine eindeutige Zuordnung schlechte Nachvollziehbarkeit Passwortweitergabe schwieriges Offboarding Sicherheitsvorfälle schwer aufklärbar Merksatz: Cloud-Zugriffe müssen personengebunden nachvollziehbar sein. Servicekonto Ein Servicekonto ist eine Identität für einen Dienst oder eine Anwendung. Beispiele: Backup-Dienst Automatisierung CI/CD-Pipeline Monitoring Anwendung, die auf Speicher zugreift Skript, das Ressourcen erstellt Servicekonten sollten ebenfalls nur minimale Rechte erhalten. Merksatz: Servicekonten sind Maschinenidentitäten und brauchen genauso Rechtebegrenzung. API-Schlüssel API-Schlüssel erlauben Programmen oder Skripten Zugriff auf Cloud-Dienste. Risiken: Schlüssel wird versehentlich veröffentlicht Schlüssel liegt im Quellcode Schlüssel hat zu viele Rechte Schlüssel wird nie rotiert Schlüssel wird nach Projektende nicht gelöscht Merksatz: API-Schlüssel wie Passwörter behandeln. Secrets Secrets sind geheime Informationen. Beispiele: Passwörter API-Schlüssel private Schlüssel Tokens Datenbankzugangsdaten Zertifikate Secrets sollten nicht liegen in: Quellcode öffentlichen Repositories Klartextdateien Chatnachrichten ungeschützten Wikiseiten unverschlüsselten Backups Merksatz: Secrets gehören in geschützte Secret-Verwaltung. Secret Management Secret Management bedeutet: geheime Informationen sicher speichern, verteilen rotieren und widerrufen. Wichtig: Zugriff begrenzen Nutzung protokollieren Rotation ermöglichen keine Klartextspeicherung Notfallzugriff regeln alte Secrets entfernen Merksatz: Secret Management verhindert unkontrollierten Umgang mit Zugangsdaten. MFA in der Cloud MFA steht für: Multi-Faktor-Authentifizierung MFA sollte besonders gelten für: Administratoren externe Benutzer Zugriff auf sensible Daten Zugriff auf Abrechnung Zugriff auf IAM Zugriff auf Produktion Zugriff von unbekannten Geräten Merksatz: Cloud-Adminzugänge ohne MFA sind ein hohes Risiko. Conditional Access Conditional Access bedeutet: Zugriff wird von Bedingungen abhängig gemacht. Bedingungen können sein: Benutzerrolle Gerätetyp Gerätezustand Standort Risiko des Logins Anwendung MFA erfüllt Uhrzeit Netzwerk Beispiel: Adminzugriff nur mit MFA und verwaltetem Gerät. Merksatz: Conditional Access prüft Kontext vor Zugriff. Zero Trust in der Cloud Zero Trust bedeutet: keinem Zugriff automatisch vertrauen. Auch innerhalb der Cloud wird geprüft: Wer greift zu? Von welchem Gerät? Auf welche Ressource? Mit welchem Risiko? Mit welcher Rolle? Ist MFA erfüllt? Ist Zugriff ungewöhnlich? Merksatz: Zero Trust prüft jeden Zugriff kontextbezogen. Rollenbasierte Zugriffskontrolle Rollenbasierte Zugriffskontrolle wird oft abgekürzt: RBAC RBAC bedeutet: Rechte werden über Rollen vergeben. Beispiel: Rolle Leser: darf Ressourcen ansehen Rolle Netzwerkadministrator: darf Netzwerke verwalten Rolle Besitzer: darf fast alles verwalten Merksatz: RBAC macht Rechteverwaltung strukturierter. Attributbasierte Zugriffskontrolle Attributbasierte Zugriffskontrolle wird oft abgekürzt: ABAC ABAC entscheidet anhand von Attributen. Beispiele für Attribute: Abteilung Projekt Umgebung Datenklasse Standort Gerätestatus Tag Uhrzeit Merksatz: ABAC nutzt Eigenschaften für Zugriffsentscheidungen. RBAC und ABAC vergleichen Merkmal RBAC ABAC Grundlage Rollen Attribute Beispiel Admin, Leser, Entwickler Projekt, Tag, Standort, Datenklasse Vorteil übersichtlich sehr flexibel Nachteil Rollen können zu grob werden komplexer zu planen Einsatz klassische Rechtevergabe feinere Kontextregeln Merksatz: RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. Mandant und Tenant Ein Tenant ist ein logisch getrennter Bereich in einer Cloud- oder SaaS-Plattform. Er enthält typischerweise: Benutzer Gruppen Rollen Richtlinien Anwendungen Einstellungen Ressourcen Abrechnung Merksatz: Tenant = eigener Verwaltungsbereich in einer Cloud-Plattform. Mandantentrennung Mandantentrennung bedeutet: Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt. Wichtig bei: Public Cloud SaaS Hosting Multi-Tenant-Anwendungen Dienstleisterplattformen Merksatz: Mandantentrennung verhindert Vermischung fremder Kundenbereiche. Single Sign-On Single Sign-On wird abgekürzt: SSO SSO bedeutet: Benutzer melden sich einmal an und können mehrere Dienste nutzen. Vorteile: weniger Passwörter zentrale Anmeldung bessere Kontrolle einfacheres Offboarding MFA zentral möglich Merksatz: SSO vereinfacht Anmeldung und zentrale Zugriffskontrolle. Identity Provider Identity Provider wird oft abgekürzt: IdP Ein Identity Provider stellt Identitäten und Anmeldungen bereit. Er prüft zum Beispiel: Benutzername Passwort MFA Richtlinien Gruppen Rollen Merksatz: IdP ist die zentrale Stelle für Anmeldung. Föderation Föderation bedeutet: Eine Organisation vertraut der Anmeldung einer anderen Identitätsquelle. Beispiel: Benutzer meldet sich mit Unternehmensidentität bei einem Cloud-Dienst an. Der Cloud-Dienst muss das Passwort nicht selbst verwalten, sondern vertraut dem Identity Provider. Merksatz: Föderation verbindet Identitätswelten. SAML SAML steht für: Security Assertion Markup Language SAML wird häufig für Single Sign-On genutzt. Grundidee: Identity Provider bestätigt dem Dienst, dass der Benutzer erfolgreich angemeldet ist. Merksatz: SAML ermöglicht SSO zwischen Identitätsanbieter und Dienst. OAuth 2.0 OAuth 2.0 ist ein Autorisierungsstandard. Er wird genutzt, damit Anwendungen Zugriff auf Ressourcen erhalten können, ohne direkt das Benutzerpasswort zu kennen. Beispiel: Eine Anwendung darf auf Kalenderdaten zugreifen, nachdem der Benutzer zugestimmt hat. Merksatz: OAuth 2.0 regelt delegierte Autorisierung. OpenID Connect OpenID Connect baut auf OAuth 2.0 auf und ergänzt Authentifizierung. Es wird häufig für moderne Logins genutzt. Merksatz: OpenID Connect ergänzt OAuth 2.0 um Identitätsinformationen. Authentifizierung und Autorisierung in der Cloud Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiele: Benutzer meldet sich erfolgreich an. Das ist Authentifizierung. Benutzer darf eine VM löschen. Das ist Autorisierung. Merksatz: Anmeldung und Berechtigung immer unterscheiden. Cloud-Netzwerksicherheit Cloud-Netzwerksicherheit umfasst: VPC oder VNet Subnetze Security Groups NSGs Firewalls private Endpunkte VPN Peering Routing DNS WAF DDoS-Schutz Merksatz: Cloud-Sicherheit besteht aus IAM und Netzwerkschutz. Private Endpoint Ein Private Endpoint macht einen Cloud-Dienst über eine private IP im eigenen Cloud-Netz erreichbar. Vorteil: Zugriff muss nicht über das öffentliche Internet erfolgen. Beispiel: Anwendung greift auf Cloud-Datenbank über private Adresse zu. Merksatz: Private Endpoint hält Cloud-Dienste intern erreichbar. Public Endpoint Ein Public Endpoint ist öffentlich über das Internet erreichbar. Beispiele: öffentliche API Webanwendung öffentliches SaaS-Portal Storage-URL mit öffentlichem Zugriff Wichtig: Public Endpoints brauchen starke Zugriffskontrolle, TLS, Logging und Schutzregeln. Merksatz: Public Endpoint nur bewusst und abgesichert nutzen. WAF WAF steht für: Web Application Firewall Eine WAF schützt Webanwendungen vor typischen Angriffen. Beispiele: SQL Injection Cross-Site Scripting bösartige Requests ungewöhnliche Muster bekannte Angriffssignaturen Merksatz: WAF schützt Webanwendungen auf Anwendungsebene. DDoS-Schutz DDoS steht für: Distributed Denial of Service Dabei versuchen viele Systeme, einen Dienst durch massenhafte Anfragen zu überlasten. Cloud-Anbieter bieten oft Schutzfunktionen gegen DDoS-Angriffe. Merksatz: DDoS-Schutz soll Dienste trotz Massenangriffen verfügbar halten. Verschlüsselung in der Cloud Verschlüsselung ist wichtig für: Daten bei Übertragung Daten im Ruhezustand Backups Datenbanken Speicher Logs Schlüsselverwaltung Merksatz: Verschlüsselung schützt Daten, ersetzt aber keine Rechteverwaltung. Verschlüsselung während der Übertragung Daten während der Übertragung sollten verschlüsselt werden. Typische Technik: TLS Beispiele: HTTPS API-Aufrufe Datenbankverbindungen Verwaltungsschnittstellen SaaS-Zugriffe Merksatz: Daten unterwegs mit TLS schützen. Verschlüsselung im Ruhezustand Daten im Ruhezustand sind gespeicherte Daten. Beispiele: Datenbankdaten Dateien im Storage Backups Snapshots Logs virtuelle Festplatten Diese Daten sollten verschlüsselt gespeichert werden. Merksatz: Gespeicherte Daten ebenfalls verschlüsseln. Schlüsselverwaltung Verschlüsselung braucht Schlüssel. Wichtige Fragen: Wer erstellt Schlüssel? Wer verwaltet Schlüssel? Wer darf Schlüssel nutzen? Werden Schlüssel rotiert? Wo werden Schlüssel gespeichert? Was passiert bei Schlüsselverlust? Wer kann Daten entschlüsseln? Merksatz: Verschlüsselung ist nur so sicher wie die Schlüsselverwaltung. KMS KMS steht für: Key Management Service Ein KMS verwaltet kryptografische Schlüssel. Aufgaben: Schlüssel erzeugen Schlüssel speichern Schlüssel rotieren Zugriff auf Schlüssel steuern Nutzung protokollieren Schlüssel deaktivieren oder löschen Merksatz: KMS verwaltet Schlüssel für Cloud-Verschlüsselung. Kundenverwaltete Schlüssel Bei kundenverwalteten Schlüsseln kontrolliert der Kunde stärker, welche Schlüssel für Verschlüsselung genutzt werden. Vorteile: mehr Kontrolle eigene Richtlinien Schlüsselrotation steuerbar Zugriff besser begrenzbar Risiko: Schlüsselverlust kann Daten unbrauchbar machen. Merksatz: Mehr Schlüsselhoheit bedeutet auch mehr Verantwortung. Cloud-Logging Cloud-Logging ist sicherheitskritisch. Wichtige Logarten: Anmeldungen API-Aufrufe Rechteänderungen Netzwerkzugriffe Firewall-Entscheidungen Datenzugriffe Adminaktionen Fehlermeldungen Sicherheitsereignisse Kostenereignisse Merksatz: Cloud-Logs zeigen, wer was wann getan hat. Audit-Logs Audit-Logs dokumentieren administrative und sicherheitsrelevante Aktionen. Beispiele: Benutzer erstellt Rolle geändert Firewall geöffnet VM gelöscht Speicher öffentlich gemacht API-Schlüssel erstellt MFA deaktiviert Backup gelöscht Merksatz: Audit-Logs sind wichtig für Nachvollziehbarkeit. Cloud-Monitoring Cloud-Monitoring überwacht Betrieb und Sicherheit. Wichtige Werte: Verfügbarkeit CPU RAM Speicher Datenbanklast Netzwerkverkehr Loginfehler ungewöhnliche Zugriffe Kosten Zertifikatsablauf Backupstatus Merksatz: Monitoring erkennt technische und sicherheitsrelevante Probleme. SIEM SIEM steht für: Security Information and Event Management Ein SIEM sammelt und analysiert Sicherheitslogs aus verschiedenen Quellen. Ziel: Angriffe erkennen Auffälligkeiten korrelieren Alarmierungen erzeugen Sicherheitsvorfälle untersuchen Nachweise bereitstellen Merksatz: SIEM hilft, Sicherheitsereignisse zentral auszuwerten. Cloud-Backup Auch Cloud-Dienste brauchen Backup. Wichtige Fragen: Welche Daten werden gesichert? Wie oft? Wie lange? Wo werden Backups gespeichert? Wer darf wiederherstellen? Sind Backups verschlüsselt? Sind Backups vor Löschung geschützt? Wurde Wiederherstellung getestet? Merksatz: Cloud ist kein Ersatz für Backup. Ransomware-Schutz in der Cloud Auch Cloud-Daten können durch Ransomware betroffen sein. Risiken: synchronisierte verschlüsselte Dateien gelöschte Backups kompromittierte Adminzugänge manipulierte Datenbanken missbrauchte API-Schlüssel Schutz: MFA getrennte Adminrollen unveränderliche Backups Versionierung Least Privilege Monitoring schnelles Offboarding Merksatz: Ransomware-Schutz braucht Backup, Rechtebegrenzung und Monitoring. Immutable Backup Immutable bedeutet: unveränderlich Ein Immutable Backup kann für einen festgelegten Zeitraum nicht verändert oder gelöscht werden. Vorteil: Schutz vor versehentlicher Löschung Schutz vor Ransomware bessere Wiederherstellungschancen Merksatz: Unveränderliche Backups schützen vor Manipulation und Löschung. Datenschutz in der Cloud Cloud-Datenschutz fragt: Welche Daten werden verarbeitet? Wo werden Daten gespeichert? Wer hat Zugriff? Gibt es Auftragsverarbeitung? Sind Daten verschlüsselt? Gibt es Löschkonzepte? Wie werden Betroffenenrechte erfüllt? Werden Logs personenbezogen? Welche Unterauftragnehmer gibt es? Merksatz: Cloud-Dienste brauchen Datenschutzprüfung. Datenklassifizierung Datenklassifizierung bedeutet: Daten werden nach Schutzbedarf eingeteilt. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen geschäftskritisch Je höher der Schutzbedarf, desto strenger müssen Zugriff, Verschlüsselung, Logging und Speicherort geregelt sein. Merksatz: Schutzmaßnahmen richten sich nach Datenklasse. Compliance in der Cloud Compliance bedeutet: Einhaltung von Regeln, Gesetzen, Standards und internen Vorgaben. Cloud-relevant: Datenschutz Informationssicherheit Aufbewahrung Löschung Auditierbarkeit Zugriffskontrolle Datenstandort Vertragsprüfung Branchenvorgaben Merksatz: Cloud muss zu rechtlichen und organisatorischen Vorgaben passen. Cloud-Sicherheitsrichtlinie Eine Cloud-Sicherheitsrichtlinie sollte festlegen: erlaubte Dienste erlaubte Regionen Rollenmodell MFA-Pflicht Logging-Pflicht Verschlüsselung Backup-Vorgaben Tagging Kostenkontrolle Freigabeprozesse Umgang mit externen Benutzern Lösch- und Aufbewahrungsregeln Merksatz: Cloud-Sicherheit braucht klare Regeln. Cloud-Governance Cloud Governance bedeutet: Steuerung und Kontrolle der Cloud-Nutzung. Ziele: Sicherheit Kostenkontrolle Compliance Standardisierung klare Verantwortlichkeiten Vermeidung von Schatten-IT Nachvollziehbarkeit Ordnung in Ressourcen Merksatz: Governance sorgt dafür, dass Cloud kontrolliert genutzt wird. Typische Cloud-Sicherheitsfehler Häufige Fehler: MFA nicht aktiviert Adminrechte zu breit öffentliche Speicherfreigaben Datenbank öffentlich erreichbar Security Group erlaubt 0.0.0.0/0 auf Adminport API-Schlüssel im Quellcode Servicekonto mit Vollzugriff Logs deaktiviert Backups nicht getestet alte Benutzerkonten aktiv keine Kostenalarme kein Offboarding falsche Region keine Verschlüsselung keine Rechteprüfung Merksatz: Cloud-Sicherheitsfehler sind oft Konfigurationsfehler. Checkliste: Cloud-IAM sicher gestalten MFA für Admins erzwingen. Keine Sammelkonten nutzen. Benutzer eindeutig zuordnen. Gruppen und Rollen verwenden. Least Privilege umsetzen. Adminrechte zeitlich begrenzen. Servicekonten minimal berechtigen. API-Schlüssel schützen. Secrets nicht im Quellcode speichern. Regelmäßige Rechteprüfung durchführen. Offboarding konsequent umsetzen. Audit-Logs aktivieren. Merksatz: IAM ist die wichtigste Sicherheitsbasis in der Cloud. Checkliste: Cloud-Ressourcen sicher konfigurieren Öffentliche Erreichbarkeit prüfen. Managementports nicht öffentlich öffnen. Datenbanken privat bereitstellen. Security Groups eng setzen. Verschlüsselung aktivieren. Backups einrichten. Logs aktivieren. Monitoring einrichten. Tags setzen. Kostenalarme setzen. Region bewusst auswählen. Änderungen dokumentieren. Merksatz: Cloud-Ressourcen sicher konfigurieren, bevor sie produktiv genutzt werden. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Shared Responsibility Model? - Was ist IAM? - Warum ist IAM in der Cloud wichtig? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was bedeutet Least Privilege? - Was ist RBAC? - Was ist ABAC? - Was ist ein Tenant? - Was ist Mandantentrennung? - Warum sollte MFA für Cloud-Admins Pflicht sein? - Warum sind API-Schlüssel kritisch? - Was ist Secret Management? - Was ist ein Private Endpoint? - Was ist eine WAF? - Was ist ein KMS? - Warum ersetzt Verschlüsselung keine Rechteverwaltung? - Warum braucht Cloud Logging und Monitoring? - Warum ist Cloud kein Ersatz für Backup? - Was ist ein Immutable Backup? - Warum ist Datenklassifizierung wichtig? Typische Prüfungsfallen Cloud-Sicherheit ist gemeinsame Verantwortung. Anbieter ist nicht automatisch für Kundendatenrechte verantwortlich. Daten, Benutzer und Rechte bleiben fast immer Kundenthema. IAM ist zentral für Cloud-Sicherheit. Authentifizierung ist nicht Autorisierung. MFA für Admins ist besonders wichtig. Adminrechte nicht dauerhaft und breit vergeben. Servicekonten sind ebenfalls Identitäten. API-Schlüssel wie Passwörter behandeln. Secrets nicht im Quellcode speichern. RBAC arbeitet mit Rollen. ABAC arbeitet mit Attributen. Tenant ist ein Verwaltungsbereich. Mandantentrennung schützt Kundenbereiche. SSO vereinfacht zentrale Anmeldung. OAuth 2.0 ist Autorisierung. OpenID Connect ergänzt Authentifizierung. Private Endpoint vermeidet öffentlichen Zugriff. Public Endpoint braucht besonderen Schutz. WAF schützt Webanwendungen. Verschlüsselung ersetzt keine Zugriffsrechte. KMS verwaltet Schlüssel. Cloud-Logs müssen aktiv sein. Backup muss auch in der Cloud geplant werden. Immutable Backup schützt vor Löschung und Manipulation. Datenschutz und Compliance müssen geprüft werden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Shared Responsibility geteilte Verantwortung zwischen Anbieter und Kunde IAM Identity and Access Management Identität Konto oder Dienst mit Zugriff Benutzer menschliche Identität Gruppe Zusammenfassung von Benutzern Rolle Aufgabenbezogene Rechte Berechtigung konkrete Erlaubnis Richtlinie Regel für Zugriff Least Privilege minimale notwendige Rechte Need to Know Zugriff nur bei Bedarf PAM Kontrolle privilegierter Zugriffe Just-in-Time zeitlich begrenzte Rechte Servicekonto Identität für Dienst oder Anwendung API-Schlüssel Zugriffsschlüssel für Programme Secret geheime Information Secret Management Verwaltung geheimer Informationen MFA Multi-Faktor-Authentifizierung Conditional Access Zugriff abhängig von Bedingungen Zero Trust kein automatisches Vertrauen RBAC rollenbasierte Zugriffskontrolle ABAC attributbasierte Zugriffskontrolle Tenant logisch getrennter Verwaltungsbereich Mandantentrennung Trennung verschiedener Kundenbereiche SSO Single Sign-On IdP Identity Provider Föderation Vertrauen zwischen Identitätsquellen SAML SSO-Standard OAuth 2.0 delegierte Autorisierung OpenID Connect Authentifizierung auf Basis von OAuth 2.0 Private Endpoint privater Zugriff auf Cloud-Dienst Public Endpoint öffentlicher Zugriffspunkt WAF Web Application Firewall DDoS Überlastungsangriff KMS Key Management Service Audit-Log Nachweis sicherheitsrelevanter Aktionen SIEM zentrale Sicherheitslog-Auswertung Immutable Backup unveränderliches Backup Datenklassifizierung Einteilung nach Schutzbedarf Compliance Einhaltung von Vorgaben Cloud Governance Steuerung der Cloud-Nutzung IHK-sichere Kurzformulierung Cloud-Sicherheit basiert auf dem Shared Responsibility Model. Der Anbieter schützt je nach Service-Modell die Plattform, Infrastruktur und den Dienstbetrieb, während der Kunde für Benutzer, Rollen, Berechtigungen, Daten, sichere Konfiguration, Zugriffsschutz, Backup, Logging, Monitoring und Compliance verantwortlich bleibt. IAM, also Identity and Access Management, ist ein zentraler Bestandteil der Cloud-Sicherheit, da es regelt, wer welche Ressourcen nutzen oder verändern darf. Wichtige Prinzipien sind MFA, Least Privilege, rollenbasierte Rechtevergabe, sichere Servicekonten, Schutz von API-Schlüsseln, Secret Management, Logging, Verschlüsselung und regelmäßige Rechteprüfung. Cloud-Sicherheit entsteht durch Technik, Prozesse und klare Verantwortlichkeiten. Merksätze Cloud-Sicherheit ist gemeinsame Verantwortung. Anbieter schützt Plattform, Kunde schützt Nutzung und Daten. Daten, Benutzer und Rechte bleiben fast immer Kundenthema. IAM entscheidet, wer was darf. Nicht nur Menschen haben Identitäten. Servicekonten brauchen minimale Rechte. API-Schlüssel wie Passwörter behandeln. Secrets nicht im Quellcode speichern. MFA für Admins erzwingen. Authentifizierung = Wer bist du? Autorisierung = Was darfst du? Least Privilege gilt immer. Adminrechte zeitlich und fachlich begrenzen. Sammelkonten vermeiden. RBAC nutzt Rollen. ABAC nutzt Attribute. Tenant ist ein Cloud-Verwaltungsbereich. SSO vereinfacht zentrale Anmeldung. IdP prüft Identitäten. OAuth 2.0 ist Autorisierung. OpenID Connect ergänzt Authentifizierung. Private Endpoint hält Zugriff intern. Public Endpoint besonders schützen. WAF schützt Webanwendungen. DDoS-Schutz schützt Verfügbarkeit. Verschlüsselung ersetzt keine Rechte. KMS verwaltet Schlüssel. Audit-Logs zeigen Adminaktionen. SIEM wertet Sicherheitsereignisse zentral aus. Cloud ist kein Ersatz für Backup. Immutable Backup schützt vor Manipulation. Datenklassifizierung bestimmt Schutzbedarf. Cloud Governance schafft Regeln. Fehlkonfiguration ist eines der größten Cloud-Risiken. 15.6 Cloud-Speicher, Backup und Datenmanagement Cloud-Speicher ist Speicherplatz, der als Dienst über ein Netzwerk bereitgestellt wird. Er wird genutzt für: - Dateien - Backups - Datenbanken - Archive - Logs - Medien - virtuelle Festplatten - Anwendungsdaten - Dokumente - Wiederherstellung nach Ausfällen Merksatz: Cloud-Speicher ist Speicher als Dienst, aber kein automatisches Backup-Konzept. Warum Cloud-Speicher wichtig ist Daten sind für Unternehmen oft wichtiger als die Systeme selbst. Ein Server kann neu installiert werden. Aber verlorene Daten können kritisch sein. Cloud-Speicher hilft bei: zentraler Speicherung Skalierung weltweiter Verfügbarkeit Backup Archivierung Zusammenarbeit Datenanalyse Notfallwiederherstellung Merksatz: Cloud-Speicher muss nach Datenart, Zugriff, Schutzbedarf und Kosten geplant werden. Arten von Cloud-Speicher Die wichtigsten Speicherarten sind: - Objektspeicher - Blockspeicher - Dateispeicher - Archivspeicher - Datenbankspeicher - Backup-Speicher Merksatz: Nicht jeder Cloud-Speicher ist für denselben Zweck geeignet. Objektspeicher Objektspeicher speichert Daten als Objekte. Ein Objekt besteht typischerweise aus: Dateiinhalt Metadaten eindeutigem Namen oder Schlüssel Typische Nutzung: Backups Bilder Videos Dokumente Logs Archivdaten statische Webseiten große unstrukturierte Datenmengen Merksatz: Objektspeicher eignet sich gut für viele unstrukturierte Dateien. Objektspeicher einfach erklärt Bei Objektspeicher denkt man nicht zuerst an Ordner und Laufwerke, sondern an Objekte in einem Speicherbereich. Beispiel: Objekt: rechnung-2026-07.pdf Metadaten: Dateityp, Erstellungsdatum, Besitzer, Speicherklasse, Verschlüsselung Schlüssel: kunden/2026/rechnung-2026-07.pdf Merksatz: Objektspeicher arbeitet mit Objekten, Schlüsseln und Metadaten. Bucket Ein Bucket ist ein Speicherbehälter im Objektspeicher. Darin liegen Objekte. Beispiele: backup-produktiv dokumente-intern logs-archiv bilder-webseite Wichtig: Bucket-Berechtigungen sind sicherheitskritisch. Merksatz: Bucket = Speicherbehälter für Objekte. Bucket-Berechtigungen Ein häufiger Cloud-Fehler: Bucket ist öffentlich lesbar. Mögliche Folgen: vertrauliche Daten werden öffentlich personenbezogene Daten werden offengelegt Backups können heruntergeladen werden interne Dokumente sind sichtbar Angreifer finden Zugangsdaten oder Logs Merksatz: Öffentliche Buckets sind ein großes Sicherheitsrisiko. Objektspeicher: Vorteile Vorteile: sehr skalierbar gut für große Datenmengen Metadaten möglich oft hohe Haltbarkeit verschiedene Speicherklassen gut für Backup und Archiv Zugriff über APIs Versionierung möglich Merksatz: Objektspeicher ist stark bei Skalierung und unstrukturierten Daten. Objektspeicher: Nachteile Nachteile: nicht wie eine klassische Festplatte nicht ideal für jede Anwendung Latenz kann höher sein Zugriff meist über API Rechte müssen sauber gesetzt werden Kosten für Zugriff und Datenübertragung beachten Merksatz: Objektspeicher ist kein direkter Ersatz für jedes Dateisystem. Blockspeicher Blockspeicher stellt Speicherblöcke bereit, ähnlich wie eine Festplatte. Typische Nutzung: virtuelle Maschinen Betriebssystemplatten Datenbankserver Anwendungen mit Dateisystem leistungsabhängige Workloads Beispiele: virtuelle Systemplatte virtuelle Datenplatte Datenbankvolume Merksatz: Blockspeicher verhält sich wie eine virtuelle Festplatte. Blockspeicher: Vorteile Vorteile: gut für Betriebssysteme gut für Datenbanken geringe Latenz möglich Dateisystem frei wählbar an virtuelle Maschinen anbindbar Leistung oft wählbar Merksatz: Blockspeicher eignet sich für VMs und leistungsabhängige Anwendungen. Blockspeicher: Nachteile Nachteile: meist an einzelne Instanzen gebunden Verwaltung von Dateisystem bleibt nötig falsche Größe oder Leistung kann Kosten erzeugen Backup muss geplant werden nicht ideal für einfache Dateifreigaben zwischen vielen Systemen Merksatz: Blockspeicher braucht Administration wie eine Festplatte. Dateispeicher Dateispeicher stellt Speicher als Dateifreigabe bereit. Typische Nutzung: gemeinsame Dateien klassische Ordnerstrukturen Benutzerdateien Anwendungen mit gemeinsamem Dateisystem zentrale Ablagen Typische Protokolle: SMB NFS Merksatz: Dateispeicher arbeitet mit Ordnern, Dateien und Freigaben. Dateispeicher: Vorteile Vorteile: bekannte Ordnerstruktur gemeinsame Nutzung möglich geeignet für klassische Anwendungen SMB oder NFS möglich einfache Integration in viele Systeme Merksatz: Dateispeicher passt gut zu klassischen Freigaben. Dateispeicher: Nachteile Nachteile: Berechtigungen müssen sauber geplant werden Performance abhängig von Dienst und Netzwerk nicht immer so skalierbar wie Objektspeicher Kosten für Kapazität und Leistung beachten Backup und Versionierung prüfen Merksatz: Cloud-Dateifreigaben brauchen Rechtekonzept und Backup. Objekt-, Block- und Dateispeicher vergleichen Speicherart Typischer Einsatz Vergleich Objektspeicher Backups, Medien, Archive, Logs Objekt mit Metadaten Blockspeicher VM-Festplatten, Datenbanken virtuelle Festplatte Dateispeicher gemeinsame Dateien, klassische Freigaben Ordner und Dateien Merksatz: Objekt für große Datenmengen, Block für VM und Datenbank, Datei für Freigaben. Archivspeicher Archivspeicher ist für Daten gedacht, die selten benötigt werden. Beispiele: alte Backups Langzeitarchive gesetzliche Aufbewahrung abgeschlossene Projekte alte Logs historische Dokumente Vorteil: oft günstiger für langfristige Speicherung Nachteil: Wiederherstellung kann länger dauern Zugriff kann teurer sein Mindestaufbewahrungszeiten möglich Merksatz: Archivspeicher ist günstig für selten genutzte Daten, aber langsamer beim Zugriff. Hot, Cool und Archive Storage Viele Cloud-Anbieter unterscheiden Speicherklassen. Typische Idee: Speicherklasse Nutzung Hot häufig genutzte Daten Cool selten genutzte Daten Archive sehr selten genutzte Langzeitdaten Merksatz: Je seltener der Zugriff, desto günstiger oft die Speicherung, aber desto teurer oder langsamer der Zugriff. Lifecycle Management Lifecycle Management bedeutet: Daten werden automatisch nach Regeln verschoben oder gelöscht. Beispiele: Logs nach 30 Tagen in günstigere Speicherklasse verschieben. Backups nach 1 Jahr archivieren. temporäre Dateien nach 7 Tagen löschen. alte Versionen nach 90 Tagen entfernen. Merksatz: Lifecycle-Regeln steuern den Lebenszyklus von Daten. Versionierung Versionierung bedeutet: ältere Versionen einer Datei oder eines Objekts werden aufbewahrt. Vorteile: Wiederherstellung nach versehentlicher Änderung Schutz vor Überschreiben Hilfe bei Ransomware Nachvollziehbarkeit Aber: Versionen verbrauchen Speicher Kosten können steigen Löschregeln müssen geplant werden Merksatz: Versionierung schützt vor Änderungen, braucht aber Speicher- und Löschkonzept. Snapshots Ein Snapshot ist eine Momentaufnahme eines Systems oder Speichers. Typische Nutzung: VM-Zustand sichern Volume-Zustand sichern vor Update erstellen schnelle Wiederherstellung Testumgebung aus Produktivdaten erzeugen Wichtig: Snapshots sind nicht immer vollständiger Backup-Ersatz. Merksatz: Snapshot ist Momentaufnahme, aber nicht automatisch Backup-Strategie. Backup Backup bedeutet: Daten werden zusätzlich gesichert, damit sie bei Verlust wiederhergestellt werden können. Backup schützt vor: versehentlichem Löschen Hardwareausfall Fehlkonfiguration Ransomware Datenkorruption Benutzerfehler fehlerhaften Updates Ausfall eines Dienstes Merksatz: Backup ist nur wertvoll, wenn Wiederherstellung funktioniert. Cloud ist kein Backup Ein häufiger Denkfehler: Die Daten liegen in der Cloud, also brauche ich kein Backup. Das ist falsch. Auch in der Cloud können Daten verloren gehen durch: Benutzerfehler falsche Synchronisation Ransomware gelöschte Benutzer kompromittierte Adminzugänge Fehlkonfiguration abgelaufene Aufbewahrung defekte Anwendung Anbieterproblem Merksatz: Cloud-Speicherung ersetzt kein Backup-Konzept. Backup-Ziele Ein Backup-Konzept muss klären: Was wird gesichert? Wie oft wird gesichert? Wie lange wird gesichert? Wo wird gesichert? Wer darf wiederherstellen? Wie wird Wiederherstellung getestet? Wie wird Backup geschützt? Wie schnell muss Wiederherstellung sein? Wie viel Datenverlust ist tolerierbar? Merksatz: Backup ohne Wiederherstellungsziel ist unvollständig. RPO RPO steht für: Recovery Point Objective RPO beschreibt, wie viel Datenverlust maximal akzeptabel ist. Beispiel: RPO = 24 Stunden Bedeutung: Im schlimmsten Fall dürfen Daten der letzten 24 Stunden verloren gehen. Merksatz: RPO fragt: Wie viel Datenverlust ist erlaubt? RTO RTO steht für: Recovery Time Objective RTO beschreibt, wie schnell ein System wiederhergestellt sein muss. Beispiel: RTO = 4 Stunden Bedeutung: Das System soll innerhalb von 4 Stunden wieder verfügbar sein. Merksatz: RTO fragt: Wie lange darf Wiederherstellung dauern? RPO und RTO vergleichen Begriff Frage Beispiel RPO Wie viel Datenverlust ist erlaubt? maximal 1 Stunde Datenverlust RTO Wie lange darf Ausfall dauern? Wiederherstellung in 4 Stunden Merksatz: RPO betrifft Datenverlust. RTO betrifft Ausfallzeit. Backup-Arten Wichtige Backup-Arten: Vollbackup inkrementelles Backup differentielles Backup Snapshot Replikation Archivierung Merksatz: Backup-Art beeinflusst Speicherbedarf, Dauer und Wiederherstellung. Vollbackup Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung vollständiger Sicherungsstand unabhängig von vielen Zwischenschritten Nachteile: hoher Speicherbedarf längere Sicherungsdauer mehr Last Merksatz: Vollbackup ist vollständig, aber aufwendiger. Inkrementelles Backup Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Vorteile: weniger Speicherbedarf schneller als Vollbackup weniger Datenübertragung Nachteile: Wiederherstellung kann mehrere Sicherungen benötigen Backup-Kette muss intakt sein Merksatz: Inkrementell sichert nur neue Änderungen seit dem letzten Backup. Differentielles Backup Ein differentielles Backup sichert Änderungen seit dem letzten Vollbackup. Vorteile: Wiederherstellung einfacher als bei langen inkrementellen Ketten weniger aufwendig als tägliches Vollbackup Nachteile: wächst bis zum nächsten Vollbackup braucht mehr Speicher als inkrementell Merksatz: Differentiell sichert Änderungen seit dem letzten Vollbackup. Replikation Replikation bedeutet: Daten werden auf ein anderes System oder in eine andere Region kopiert. Ziel: höhere Verfügbarkeit schnellere Umschaltung Schutz vor Standortausfall Aber: Replikation ist nicht automatisch Backup. Warum? Fehler, Löschungen oder Ransomware können mit repliziert werden. Merksatz: Replikation schützt Verfügbarkeit, Backup schützt Wiederherstellung. Backup und Replikation vergleichen Merkmal Backup Replikation Zweck Wiederherstellung alter Stände Verfügbarkeit und Kopie schützt vor Löschen ja, wenn richtig aufbewahrt nicht unbedingt schützt vor Ransomware ja, wenn isoliert oder unveränderlich nicht unbedingt Zugriff meist Wiederherstellung nötig oft direkt nutzbar Risiko Backup zu alt Fehler wird mitkopiert Merksatz: Replikation ist kein Ersatz für Backup. 3-2-1-Regel Die 3-2-1-Regel ist eine bekannte Backup-Grundregel. Sie bedeutet: 3 Kopien der Daten 2 unterschiedliche Speichermedien oder Speicherarten 1 Kopie außer Haus oder getrennt vom Hauptsystem Für Cloud kann man ergänzen: eine Kopie unveränderlich oder besonders geschützt Merksatz: Mehrere getrennte Kopien schützen besser vor Datenverlust. Immutable Backup Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Vorteile: Schutz vor Ransomware Schutz vor versehentlicher Löschung Schutz vor kompromittierten Konten bessere Wiederherstellungschance Merksatz: Immutable Backup schützt vor Manipulation und Löschung. Air Gap Air Gap bedeutet: Eine Sicherung ist vom produktiven System getrennt. Klassisch: offline gelagertes Backup In Cloud-Konzepten: logisch getrennte Konten getrennte Berechtigungen unveränderliche Backups getrennte Regionen separate Backup-Tenants Merksatz: Air Gap bedeutet Trennung vom normalen Zugriffspfad. Backup-Verschlüsselung Backups enthalten oft sehr sensible Daten. Deshalb sollten Backups verschlüsselt werden. Wichtig: Schlüssel sicher verwalten Zugriff begrenzen Wiederherstellung testen Schlüsselverlust vermeiden Schlüsselrotation planen Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn Schlüssel verfügbar sind. Backup-Zugriffsrechte Nicht jeder Administrator sollte Backups löschen dürfen. Wichtige Regeln: getrennte Backup-Adminrolle Wiederherstellung nur berechtigte Personen Löschung stark begrenzen MFA für Backupverwaltung Protokollierung Genehmigung bei kritischen Aktionen Merksatz: Wer Backups löschen kann, kann Wiederherstellung verhindern. Restore Restore bedeutet: Daten werden aus einem Backup wiederhergestellt. Mögliche Arten: einzelne Datei wiederherstellen gesamtes Verzeichnis wiederherstellen Datenbank wiederherstellen VM wiederherstellen Anwendung wiederherstellen System in anderer Region wiederherstellen Merksatz: Backup ohne getesteten Restore ist unsicher. Restore-Test Ein Restore-Test prüft, ob eine Wiederherstellung wirklich funktioniert. Warum wichtig? Backup könnte unvollständig sein. Rechte könnten fehlen. Schlüssel könnten fehlen. Wiederherstellung dauert zu lange. Anwendung startet nicht. Daten sind inkonsistent. Merksatz: Erst Restore-Test zeigt, ob Backup wirklich brauchbar ist. Datenkonsistenz Datenkonsistenz bedeutet: Daten sind logisch korrekt und zusammenpassend. Problem: Wenn eine Datenbank während des Backups verändert wird, kann ein einfaches Dateibackup inkonsistent sein. Lösung: anwendungskonsistente Backups Datenbank-Dumps Snapshots mit Quiescing Transaktionslogs passende Backup-Agenten Merksatz: Datenbanken brauchen konsistente Backups. Datenbank-Backup Datenbanken brauchen besondere Backup-Verfahren. Wichtige Punkte: konsistenter Zustand Transaktionslogs Point-in-Time-Recovery regelmäßige Restore-Tests Verschlüsselung Aufbewahrung Rechtekontrolle Merksatz: Datenbankdateien einfach kopieren reicht oft nicht. Point-in-Time-Recovery Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbankzustand von gestern 14:35 Uhr wiederherstellen. Nützlich bei: versehentlicher Löschung fehlerhaftem Import falschem Update Ransomware Datenkorruption Merksatz: Point-in-Time-Recovery stellt gezielt einen Zeitpunkt wieder her. Aufbewahrungsfrist Aufbewahrungsfrist bedeutet: Wie lange Daten oder Backups gespeichert werden. Beispiele: tägliche Backups 30 Tage monatliche Backups 12 Monate Jahresarchive 10 Jahre Wichtig: technische Anforderungen rechtliche Vorgaben Datenschutz Speicherplatz Kosten Merksatz: Aufbewahrung muss fachlich, rechtlich und technisch passen. Löschkonzept Ein Löschkonzept beschreibt, wann Daten gelöscht werden. Wichtig bei: personenbezogenen Daten alten Backups Projektarchiven Logs temporären Dateien Testdaten Benutzerkonten Merksatz: Daten dürfen nicht unbegrenzt ohne Zweck gespeichert werden. Datenklassifizierung Datenklassifizierung bedeutet: Daten werden nach Schutzbedarf eingeteilt. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen geschäftskritisch Die Klasse bestimmt: Speicherort Verschlüsselung Zugriff Backup Aufbewahrung Logging Freigaben Merksatz: Datenklasse bestimmt Schutzmaßnahmen. Personenbezogene Daten Personenbezogene Daten sind Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen. Beispiele: Name Adresse E-Mail-Adresse Kundennummer Personalnummer IP-Adresse je nach Kontext Gesundheitsdaten Bewerbungsdaten Merksatz: Personenbezogene Daten brauchen besonderen Schutz. Datenminimierung Datenminimierung bedeutet: Nur Daten speichern, die wirklich benötigt werden. Cloud-Bezug: keine unnötigen Kopien keine unnötigen Exporte keine unnötigen Logs mit Personendaten keine ewigen Testdaten keine Vollkopien für einfache Tests Merksatz: Weniger unnötige Daten bedeuten weniger Risiko. Datenresidenz Datenresidenz bedeutet: Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden. Beispiel: Speicherung innerhalb der EU Wichtig für: Datenschutz Compliance Verträge Kundenanforderungen Branchenvorgaben Merksatz: Datenresidenz beschreibt, wo Daten liegen dürfen. Datenhoheit Datenhoheit bedeutet: Wer Kontrolle über Daten hat. Fragen: Wer darf Daten lesen? Wer darf Daten löschen? Wer darf Daten exportieren? Wer verwaltet Schlüssel? Wer kann Zugriff technisch erzwingen? Was passiert bei Anbieterwechsel? Merksatz: Datenhoheit ist Kontrolle über Zugriff, Nutzung und Verbleib von Daten. Datenportabilität Datenportabilität bedeutet: Daten können in ein anderes System übertragen werden. Wichtig: Exportfunktion offenes Format vollständige Daten Metadaten Berechtigungen Dokumentation Wiederimport möglich Merksatz: Datenportabilität ist wichtig für Anbieterwechsel und Exit-Strategie. Exit-Strategie für Daten Eine Exit-Strategie beschreibt, wie Daten aus einem Cloud-Dienst wieder herauskommen. Fragen: Wie werden Daten exportiert? In welchem Format? Wie lange dauert Export? Welche Kosten entstehen? Werden Metadaten mit exportiert? Werden Berechtigungen mit exportiert? Wie wird Löschung beim Anbieter bestätigt? Merksatz: Cloud-Einstieg braucht auch Daten-Ausstiegsplan. Cloud-Synchronisation Cloud-Synchronisation hält Daten zwischen Geräten oder Diensten auf gleichem Stand. Beispiele: Datei auf Notebook geändert Änderung wird in Cloud synchronisiert andere Geräte erhalten Änderung Risiko: versehentliche Löschung wird synchronisiert Ransomware verschlüsselt Dateien und Änderung wird synchronisiert falsche Version überschreibt richtige Version Merksatz: Synchronisation ist kein Backup. Cloud-Speicher und Ransomware Ransomware kann auch Cloud-Speicher betreffen. Beispiele: verschlüsselte Dateien werden synchronisiert Angreifer löscht Backups kompromittiertes Konto löscht Daten API-Schlüssel wird missbraucht Versionen werden entfernt Schutz: MFA Versionierung Immutable Backup getrennte Backup-Konten Least Privilege Monitoring Restore-Tests Merksatz: Cloud-Speicher braucht Ransomware-Schutz. Freigaben in Cloud-Speicher Cloud-Speicher bietet oft einfache Freigaben. Risiken: öffentlicher Link Link ohne Ablaufdatum Link ohne Passwort externe Benutzer nicht geprüft Ordner zu breit freigegeben alte Freigaben bleiben aktiv Download nicht eingeschränkt Merksatz: Cloud-Freigaben regelmäßig prüfen. Externe Freigaben Externe Freigaben erlauben Zugriff außerhalb der Organisation. Sicherheitsregeln: nur bei Bedarf zeitlich begrenzen Empfänger prüfen Passwort oder MFA nutzen Download einschränken Protokollierung aktivieren Freigaben regelmäßig entfernen Merksatz: Externe Freigaben sind kontrollierter Extranet-Zugriff. Cloud-Speicher und Berechtigungen Berechtigungen sollten festlegen: Wer darf lesen? Wer darf schreiben? Wer darf löschen? Wer darf freigeben? Wer darf externe Benutzer einladen? Wer darf Versionen löschen? Wer darf Aufbewahrung ändern? Merksatz: Speicherrechte müssen genauer sein als nur „Zugriff erlaubt“. Cloud-Speicher und Logs Wichtige Logs: Datei gelesen Datei geändert Datei gelöscht Datei geteilt externer Zugriff Download Adminänderung Berechtigung geändert Version gelöscht Aufbewahrung geändert Merksatz: Speicherlogs helfen, Datenzugriffe nachvollziehbar zu machen. Cloud-Speicher und Kosten Kosten entstehen durch: Speichergröße Speicherklasse Anzahl der Zugriffe Datenübertragung Wiederherstellung aus Archiv Versionen Snapshots Backups Replikation Logs Merksatz: Cloud-Speicher ist skalierbar, aber nicht automatisch billig. Typische Cloud-Speicherfehler Häufige Fehler: Bucket öffentlich lesbar keine Versionierung keine Backups keine Restore-Tests zu lange Aufbewahrung keine Löschregeln falsche Speicherklasse alte Snapshots vergessen API-Schlüssel im Speicher externe Freigaben nicht geprüft Backups im gleichen Konto wie Produktivdaten ungeschützt keine Verschlüsselung keine Logs Merksatz: Cloud-Speicherfehler entstehen oft durch Rechte, Freigaben, Aufbewahrung und fehlende Tests. Checkliste: Cloud-Speicher sicher nutzen Speicherart passend auswählen. Daten klassifizieren. Öffentliche Zugriffe vermeiden. Berechtigungen minimal vergeben. MFA für Admins erzwingen. Versionierung prüfen. Backup einrichten. Immutable Backup prüfen. Wiederherstellung testen. Verschlüsselung aktivieren. Schlüsselverwaltung klären. Aufbewahrungsfristen festlegen. Löschkonzept erstellen. Lifecycle-Regeln nutzen. Logs aktivieren. Kosten überwachen. Externe Freigaben regelmäßig prüfen. Merksatz: Cloud-Speicher braucht Technik, Rechte, Backup und Kostenkontrolle. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Objektspeicher? - Was ist Blockspeicher? - Was ist Dateispeicher? - Wofür nutzt man Archivspeicher? - Was ist ein Bucket? - Warum sind öffentliche Buckets gefährlich? - Was bedeutet Versionierung? - Was ist ein Snapshot? - Warum ist Cloud-Speicher kein automatisches Backup? - Was ist der Unterschied zwischen Backup und Replikation? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist die 3-2-1-Regel? - Was ist ein Immutable Backup? - Warum sind Restore-Tests wichtig? - Was ist Point-in-Time-Recovery? - Was bedeutet Datenklassifizierung? - Was bedeutet Datenresidenz? - Warum ist Synchronisation kein Backup? - Warum müssen externe Freigaben geprüft werden? Typische Prüfungsfallen Cloud-Speicher ist nicht automatisch Backup. Synchronisation ist kein Backup. Replikation ist kein Backup. Snapshot ist nicht immer vollständiger Backup-Ersatz. Backup ohne Restore-Test ist unsicher. Objektspeicher ist nicht dasselbe wie Blockspeicher. Blockspeicher ist eher virtuelle Festplatte. Dateispeicher ist eher klassische Freigabe. Bucket-Berechtigungen sind sicherheitskritisch. Öffentliche Buckets vermeiden. RPO betrifft Datenverlust. RTO betrifft Wiederherstellungszeit. Immutable Backup schützt vor Löschung und Manipulation. Backups müssen verschlüsselt und geschützt sein. Datenbanken brauchen konsistente Backups. Datenklassifizierung bestimmt Schutzmaßnahmen. Datenresidenz beschreibt Speicherort. Datenportabilität ist wichtig für Anbieterwechsel. Externe Freigaben regelmäßig prüfen. Cloud-Speicher verursacht auch Zugriffskosten, Versionierungskosten und Wiederherstellungskosten. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Cloud-Speicher Speicher als Dienst Objektspeicher Speicher für Objekte mit Metadaten Blockspeicher Speicher wie virtuelle Festplatte Dateispeicher Speicher als Ordner- und Dateifreigabe Archivspeicher Speicher für selten genutzte Langzeitdaten Bucket Speicherbehälter für Objekte Metadaten beschreibende Zusatzinformationen Speicherklasse Kosten- und Zugriffskategorie Lifecycle Management automatische Regeln für Verschieben oder Löschen Versionierung Aufbewahrung früherer Dateiversionen Snapshot Momentaufnahme eines Systems oder Speichers Backup zusätzliche Sicherung zur Wiederherstellung Restore Wiederherstellung aus Backup Restore-Test Prüfung der Wiederherstellung RPO maximal akzeptabler Datenverlust RTO maximal akzeptable Wiederherstellungszeit Vollbackup vollständige Sicherung inkrementelles Backup Änderungen seit letztem Backup differentielles Backup Änderungen seit letztem Vollbackup Replikation Kopie auf anderes System oder Region 3-2-1-Regel drei Kopien, zwei Medien, eine getrennte Kopie Immutable Backup unveränderliches Backup Air Gap getrennte Sicherung Point-in-Time-Recovery Wiederherstellung auf bestimmten Zeitpunkt Aufbewahrungsfrist Speicherdauer von Daten Löschkonzept Regelung zur Datenlöschung Datenklassifizierung Einteilung nach Schutzbedarf Datenresidenz Ort der Datenspeicherung Datenhoheit Kontrolle über Daten Datenportabilität Übertragbarkeit von Daten Exit-Strategie Plan zum Verlassen eines Dienstes Synchronisation Abgleich von Datenständen IHK-sichere Kurzformulierung Cloud-Speicher stellt Speicherplatz als Dienst bereit. Man unterscheidet vor allem Objektspeicher, Blockspeicher und Dateispeicher. Objektspeicher eignet sich für unstrukturierte Daten wie Backups, Medien, Logs und Archive. Blockspeicher wird häufig wie eine virtuelle Festplatte für virtuelle Maschinen oder Datenbanken genutzt. Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit. Cloud-Speicher ersetzt kein Backup-Konzept, da Löschungen, Fehlkonfigurationen, Ransomware oder falsche Synchronisation auch Cloud-Daten betreffen können. Wichtige Backup-Kennzahlen sind RPO für maximal tolerierbaren Datenverlust und RTO für maximal tolerierbare Wiederherstellungszeit. Backups müssen geschützt, verschlüsselt, regelmäßig getestet und passend aufbewahrt werden. Merksätze Cloud-Speicher = Speicher als Dienst. Nicht jeder Speicher passt zu jedem Zweck. Objektspeicher speichert Objekte mit Metadaten. Bucket = Speicherbehälter. Öffentliche Buckets sind gefährlich. Blockspeicher = virtuelle Festplatte. Dateispeicher = klassische Freigabe. Archivspeicher für selten genutzte Daten. Hot Storage für häufige Zugriffe. Archive Storage für seltene Zugriffe. Lifecycle-Regeln steuern Datenlebenszyklus. Versionierung schützt vor Überschreiben. Snapshot ist Momentaufnahme. Snapshot ist nicht automatisch Backup-Strategie. Cloud ist kein Backup. Synchronisation ist kein Backup. Replikation ist kein Backup. Backup schützt Wiederherstellung. Replikation schützt eher Verfügbarkeit. RPO = erlaubter Datenverlust. RTO = erlaubte Wiederherstellungszeit. Vollbackup sichert alles. Inkrementell sichert Änderungen seit letztem Backup. Differentiell sichert Änderungen seit letztem Vollbackup. 3-2-1-Regel schützt besser vor Datenverlust. Immutable Backup schützt vor Löschung. Air Gap trennt Backup vom Hauptsystem. Backup-Schlüssel sicher verwalten. Restore-Test ist Pflicht. Datenbanken brauchen konsistente Backups. Point-in-Time-Recovery stellt Zeitpunkt wieder her. Aufbewahrung und Löschung planen. Datenklassifizierung bestimmt Schutz. Datenresidenz beschreibt Speicherort. Datenportabilität für Anbieterwechsel beachten. Cloud-Freigaben regelmäßig prüfen. Speicherlogs aktivieren. Cloud-Speicher-Kosten überwachen. 15.7 Cloud-Betrieb, Monitoring, Skalierung und Kostenkontrolle Cloud-Dienste müssen auch nach der Einrichtung betrieben, überwacht und optimiert werden. Cloud bedeutet nicht: einmal erstellen und nie wieder anfassen Cloud-Betrieb umfasst: - Monitoring - Logging - Alarmierung - Kostenkontrolle - Skalierung - Patchmanagement - Backup-Prüfung - Sicherheitsprüfung - Rechteprüfung - Dokumentation - Automatisierung - Störungsbehandlung Merksatz: Cloud-Ressourcen brauchen laufenden Betrieb wie lokale IT-Systeme. Warum Cloud-Betrieb wichtig ist Cloud-Ressourcen lassen sich schnell erstellen. Das ist ein Vorteil, kann aber auch ein Risiko sein. Typische Probleme: Ressourcen werden vergessen. Kosten steigen unbemerkt. Logs sind nicht aktiviert. Backups werden nicht getestet. Sicherheitsregeln sind zu breit. Benutzerrechte bleiben zu lange bestehen. Dienste laufen dauerhaft, obwohl sie nicht mehr gebraucht werden. Merksatz: Cloud-Flexibilität braucht Kontrolle. Cloud-Betrieb einfach erklärt Beim Cloud-Betrieb geht es darum, Cloud-Dienste dauerhaft zuverlässig, sicher und wirtschaftlich zu betreiben. Dazu gehören Fragen wie: Läuft der Dienst? Ist der Dienst erreichbar? Ist die Leistung ausreichend? Gibt es Sicherheitsereignisse? Werden Kosten eingehalten? Funktionieren Backups? Sind Ressourcen richtig dimensioniert? Sind Rechte korrekt? Gibt es unnötige Ressourcen? Merksatz: Cloud-Betrieb verbindet Technik, Sicherheit und Kosten. Monitoring Monitoring bedeutet: Systeme und Dienste werden laufend überwacht. Ziel: Probleme früh erkennen, bevor Benutzer stark betroffen sind. Überwacht werden zum Beispiel: Verfügbarkeit CPU-Auslastung RAM-Auslastung Speicherplatz Netzwerkverkehr Antwortzeiten Fehlerquoten Datenbanklast Zertifikatsablauf Backupstatus Kosten Merksatz: Monitoring zeigt, ob Systeme gesund laufen. Metriken Metriken sind messbare Werte. Beispiele: CPU in Prozent RAM-Verbrauch freier Speicherplatz Anfragen pro Sekunde Antwortzeit in Millisekunden Fehlerrate Netzwerkdurchsatz Anzahl aktiver Benutzer Datenbankverbindungen Warteschlangenlänge Merksatz: Metriken liefern messbare Zustandswerte. Logs Logs sind Ereignisprotokolle. Sie zeigen, was in einem System passiert ist. Beispiele: Benutzeranmeldung API-Aufruf Fehler in Anwendung Firewall blockiert Verbindung Admin ändert Rolle Backup schlägt fehl Datenbank meldet Fehler Ressource wird gelöscht Merksatz: Logs zeigen Ereignisse und helfen bei Fehlersuche. Monitoring und Logging unterscheiden Begriff Frage Beispiel Monitoring Wie geht es dem System gerade? CPU 90 %, Dienst nicht erreichbar Logging Was ist passiert? Benutzer hat Firewall-Regel geändert Merksatz: Monitoring zeigt Zustand. Logs zeigen Ereignisse. Alarmierung Alarmierung bedeutet: Bei bestimmten Ereignissen oder Grenzwerten wird automatisch gewarnt. Beispiele: CPU über 90 % Speicher fast voll Dienst nicht erreichbar Backup fehlgeschlagen viele fehlgeschlagene Logins Kostenlimit fast erreicht Zertifikat läuft bald ab ungewöhnlich viel Datenverkehr Merksatz: Alarmierung macht Probleme sichtbar, bevor sie übersehen werden. Schwellwert Ein Schwellwert ist ein Grenzwert, ab dem eine Aktion ausgelöst wird. Beispiel: Wenn CPU länger als 10 Minuten über 85 % liegt, Alarm auslösen. Oder: Wenn Monatskosten 80 % des Budgets erreichen, Warnung senden. Merksatz: Schwellwerte steuern, wann gewarnt oder reagiert wird. Alert Fatigue Alert Fatigue bedeutet: Es gibt so viele Alarme, dass wichtige Alarme übersehen werden. Ursachen: zu niedrige Schwellwerte zu viele unwichtige Alarme keine Priorisierung Alarme ohne Handlungsempfehlung wiederholte Fehlalarme Schutz: Alarme sinnvoll priorisieren nur relevante Alarme erstellen klare Zuständigkeiten festlegen Alarme regelmäßig überprüfen Merksatz: Zu viele schlechte Alarme sind selbst ein Problem. Dashboard Ein Dashboard zeigt wichtige Betriebswerte übersichtlich an. Beispiele: Verfügbarkeit Auslastung Fehlerquote Kosten offene Alarme Backupstatus Zertifikate Sicherheitsereignisse aktive Ressourcen Merksatz: Dashboard = Überblick über wichtige Zustände. Cloud-Logging aktivieren Viele Cloud-Dienste erzeugen Logs nur dann vollständig, wenn Logging aktiviert oder richtig konfiguriert ist. Wichtig: Audit-Logs aktivieren Netzwerklogs aktivieren Anwendungslogs aktivieren Firewall-Logs aktivieren Load-Balancer-Logs aktivieren Aufbewahrung festlegen Zugriff auf Logs schützen Merksatz: Nicht vorhandene Logs helfen im Fehlerfall nicht. Audit-Logs Audit-Logs dokumentieren administrative Aktionen. Beispiele: Benutzer erstellt Rolle geändert VM gelöscht Firewall geöffnet Speicher öffentlich gemacht API-Schlüssel erzeugt MFA deaktiviert Backup gelöscht Merksatz: Audit-Logs zeigen, wer was wann geändert hat. Flow Logs Flow Logs zeigen Netzwerkverbindungen als Metadaten. Typische Angaben: Quelle Ziel Port Protokoll Zeit Aktion Datenmenge Schnittstelle Wichtig: Flow Logs zeigen meist nicht den vollständigen Inhalt der Pakete. Merksatz: Flow Logs helfen bei Netzwerk- und Firewall-Analyse. Log-Aufbewahrung Logs sollten nicht beliebig kurz oder beliebig lange gespeichert werden. Zu klären: Wie lange werden Logs benötigt? Gibt es rechtliche Vorgaben? Enthalten Logs personenbezogene Daten? Wer darf Logs lesen? Wie werden Logs geschützt? Wann werden Logs gelöscht? Merksatz: Log-Aufbewahrung braucht Sicherheits- und Datenschutzkonzept. Zentrales Logging Bei mehreren Cloud-Diensten sollten Logs zentral gesammelt werden. Vorteile: bessere Übersicht einfachere Suche Korrelation von Ereignissen Sicherheitsanalyse Nachvollziehbarkeit Alarmierung weniger Insellösungen Merksatz: Zentrales Logging erleichtert Betrieb und Sicherheitsanalyse. SIEM SIEM steht für: Security Information and Event Management Ein SIEM sammelt Sicherheitslogs aus verschiedenen Quellen und wertet sie aus. Ziel: Angriffe erkennen verdächtige Muster finden Alarme erzeugen Ereignisse korrelieren Nachweise liefern Merksatz: SIEM hilft bei zentraler Sicherheitsüberwachung. Cloud-Kostenkontrolle Cloud-Kosten können schnell steigen, wenn Ressourcen unkontrolliert genutzt werden. Kosten entstehen zum Beispiel durch: laufende virtuelle Maschinen Speicher Datenbanken Backups Snapshots Netzwerkverkehr Load Balancer öffentliche IP-Adressen Logs Monitoring Lizenzen Support Datenübertragung zwischen Regionen Merksatz: Cloud-Kosten entstehen nicht nur durch Server. Pay as you go Pay as you go bedeutet: bezahlt wird nach Nutzung. Beispiele: pro Stunde pro Sekunde pro GB pro Anfrage pro Benutzer pro Datenübertragung pro Ausführung Vorteil: flexibel Risiko: Fehlkonfiguration oder Dauerbetrieb kann teuer werden. Merksatz: Pay as you go braucht Überwachung. Budget Ein Budget legt fest, wie viel Geld für Cloud-Ressourcen geplant ist. Beispiele: Monatsbudget für Projekt Budget für Testumgebung Budget für Abteilung Budget für gesamte Cloud-Plattform Wichtig: Budget allein stoppt nicht immer automatisch Kosten. Oft braucht man zusätzlich Alarme oder Sperren. Merksatz: Budget macht Kosten sichtbar und planbar. Kostenalarm Ein Kostenalarm warnt, wenn Kosten einen bestimmten Wert erreichen. Beispiele: 50 % des Monatsbudgets erreicht 80 % des Monatsbudgets erreicht ungewöhnlicher Kostenanstieg unerwarteter Dienst verursacht Kosten Merksatz: Kostenalarme verhindern nicht alles, aber sie machen Kosten früh sichtbar. Kostenstelle Eine Kostenstelle ordnet Kosten einem Bereich zu. Beispiele: Projekt Abteilung Kunde Umgebung Team Anwendung In der Cloud erfolgt diese Zuordnung oft über: Tags Labels Ressourcengruppen Abonnements Accounts Projekte Merksatz: Kosten müssen verursachergerecht zugeordnet werden. Tagging Tagging bedeutet: Ressourcen werden mit Metadaten markiert. Beispiele: Projekt = CRM Umgebung = Produktion Verantwortlicher = IT-Betrieb Kostenstelle = 4711 Ablaufdatum = 2026-12-31 Schutzbedarf = vertraulich Vorteile: Kosten zuordnen Ressourcen finden Verantwortliche erkennen Automatisierung ermöglichen Aufräumen erleichtern Merksatz: Tags machen Cloud-Ressourcen verwaltbar. Untagged Resources Untagged Resources sind Ressourcen ohne Tags. Problem: Verantwortlicher unklar Kostenstelle unklar Zweck unklar Aufräumen schwierig Sicherheitsbewertung schwieriger Lebenszyklus unklar Merksatz: Ressourcen ohne Tags sind im Betrieb schwer kontrollierbar. Rightsizing Rightsizing bedeutet: Ressourcen passend dimensionieren. Beispiel: Eine VM hat 16 vCPU und 64 GB RAM, nutzt aber dauerhaft nur 5 %. Dann ist sie wahrscheinlich zu groß. Maßnahmen: kleinere Instanz wählen Datenbankklasse anpassen Speicherklasse ändern ungenutzte Ressourcen löschen Lastverhalten prüfen Merksatz: Rightsizing senkt Kosten durch passende Größe. Overprovisioning Overprovisioning bedeutet: Ressourcen sind größer bereitgestellt, als tatsächlich benötigt. Beispiele: zu große VM zu teure Datenbankklasse zu viel reservierter Speicher zu viele laufende Instanzen unnötig hohe Performanceklasse Merksatz: Overprovisioning kostet unnötig Geld. Underprovisioning Underprovisioning bedeutet: Ressourcen sind zu klein dimensioniert. Folgen: langsame Anwendung Ausfälle hohe Antwortzeiten Datenbankengpässe Fehler bei Lastspitzen schlechte Benutzererfahrung Merksatz: Zu klein spart kurzfristig Geld, kann aber Betrieb stören. Auto Scaling Auto Scaling bedeutet: Ressourcen werden automatisch erhöht oder reduziert. Beispiel: Bei hoher Last werden zusätzliche Instanzen gestartet. Bei geringer Last werden Instanzen beendet. Vorteile: bessere Anpassung an Last weniger manuelle Eingriffe bessere Verfügbarkeit Kosten können optimiert werden Merksatz: Auto Scaling passt Ressourcen automatisch an Last an. Horizontale Skalierung Horizontale Skalierung bedeutet: Es werden mehr Instanzen hinzugefügt. Beispiel: statt 1 Webserver laufen 3 Webserver Vorteil: Last kann verteilt werden Ausfallsicherheit steigt gut mit Load Balancer kombinierbar Merksatz: Horizontal skalieren = mehr Systeme. Vertikale Skalierung Vertikale Skalierung bedeutet: Ein einzelnes System wird größer gemacht. Beispiel: VM bekommt mehr CPU VM bekommt mehr RAM Datenbank bekommt größere Leistungsklasse Vorteil: oft einfacher Nachteil: Grenze durch maximale Größe eventuell Neustart nötig einzelnes System bleibt kritischer Merksatz: Vertikal skalieren = stärkeres System. Horizontale und vertikale Skalierung vergleichen Skalierungsart Bedeutung Beispiel horizontal mehr Instanzen drei Webserver statt einer vertikal größere Instanz mehr CPU und RAM für eine VM Merksatz: Horizontal = mehr. Vertikal = stärker. Scale Out und Scale Up Scale Out bedeutet: horizontal skalieren Scale Up bedeutet: vertikal skalieren Beispiele: Scale Out: mehr App-Instanzen starten Scale Up: größere Datenbankklasse wählen Merksatz: Scale Out = mehr Instanzen. Scale Up = größere Instanz. Scale In und Scale Down Scale In bedeutet: Instanzen reduzieren Scale Down bedeutet: einzelne Instanz verkleinern Beispiele: Scale In: von 5 Webservern auf 2 Webserver reduzieren Scale Down: VM von großer auf kleinere Größe ändern Merksatz: Scale In reduziert Anzahl. Scale Down reduziert Größe. Skalierungsregel Eine Skalierungsregel legt fest, wann skaliert wird. Beispiele: Wenn CPU länger als 10 Minuten über 70 %, dann eine Instanz hinzufügen. Wenn Warteschlange mehr als 100 Nachrichten hat, dann Worker erhöhen. Wenn CPU länger niedrig, dann Instanz entfernen. Merksatz: Skalierung braucht sinnvolle Regeln. Skalierung ist nicht nur CPU Skalierung kann abhängig sein von: CPU RAM Anzahl Anfragen Antwortzeit Warteschlangenlänge Datenbankverbindungen Netzwerkdurchsatz Fehlerrate Benutzerzahl Zeitplan Merksatz: CPU ist nur eine mögliche Skalierungsmetrik. Load Balancer und Skalierung Bei horizontaler Skalierung verteilt ein Load Balancer den Verkehr. Ablauf: neue Instanz startet Health Check prüft Instanz Load Balancer nimmt Instanz auf Verkehr wird verteilt Wenn Instanz ungesund ist, wird sie nicht genutzt. Merksatz: Auto Scaling und Load Balancer arbeiten oft zusammen. Health Check im Betrieb Ein Health Check prüft, ob ein Dienst gesund ist. Beispiele: HTTP 200 auf /health TCP-Port erreichbar Datenbankverbindung möglich Anwendung meldet Status „ok“ Merksatz: Health Check sollte echte Dienstfähigkeit prüfen, nicht nur offenen Port. Hochverfügbarkeit Hochverfügbarkeit bedeutet: Ein Dienst bleibt möglichst verfügbar, auch wenn einzelne Komponenten ausfallen. Mittel: mehrere Instanzen mehrere Zonen Load Balancer Replikation automatischer Neustart Monitoring Backup Notfallplan Merksatz: Hochverfügbarkeit muss geplant und getestet werden. Verfügbarkeitszone Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region. Vorteil: Fällt eine Zone aus, können andere Zonen weiterarbeiten. Cloud-Dienste sollten für hohe Verfügbarkeit oft über mehrere Zonen verteilt werden. Merksatz: Mehrere Zonen erhöhen Ausfallsicherheit innerhalb einer Region. Region Eine Region ist ein geografischer Standort eines Cloud-Anbieters. Regionen beeinflussen: Latenz Datenstandort Verfügbarkeit Kosten Datenschutz Compliance Merksatz: Region bewusst nach Technik, Recht und Kosten auswählen. Disaster Recovery Disaster Recovery bedeutet: Wiederherstellung nach schwerem Ausfall. Beispiele: Region fällt aus Datenbank beschädigt Ransomware-Angriff Fehlkonfiguration löscht Ressourcen kritischer Dienst fällt aus Dazu braucht man: Backups Wiederherstellungsplan Ersatzumgebung Dokumentation Tests klare Zuständigkeiten Merksatz: Disaster Recovery muss vor dem Notfall geplant werden. RTO im Cloud-Betrieb RTO steht für: Recovery Time Objective Es beschreibt, wie lange ein Dienst maximal ausfallen darf. Beispiel: RTO = 2 Stunden Dann soll der Dienst innerhalb von 2 Stunden wieder verfügbar sein. Merksatz: RTO beschreibt erlaubte Wiederherstellungszeit. RPO im Cloud-Betrieb RPO steht für: Recovery Point Objective Es beschreibt, wie viel Datenverlust maximal akzeptiert wird. Beispiel: RPO = 15 Minuten Dann dürfen höchstens Daten der letzten 15 Minuten verloren gehen. Merksatz: RPO beschreibt erlaubten Datenverlust. RTO und RPO im Betrieb vergleichen Begriff Frage RTO Wie lange darf der Dienst ausfallen? RPO Wie viele Daten dürfen verloren gehen? Merksatz: RTO = Zeit bis Wiederherstellung. RPO = Datenverlust bis Wiederherstellungspunkt. Patchmanagement in der Cloud Auch Cloud-Systeme brauchen Updates. Wer verantwortlich ist, hängt vom Service-Modell ab. IaaS: Kunde patcht Betriebssystem und Anwendung. PaaS: Anbieter patcht Plattform, Kunde patcht Anwendung und Abhängigkeiten. SaaS: Anbieter patcht Anwendung, Kunde prüft Einstellungen, Benutzer und Sicherheit. Merksatz: Patchverantwortung hängt vom Cloud-Modell ab. Wartungsfenster Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen oder Updates. Ziel: Änderungen kontrolliert durchführen Benutzer informieren Ausfallzeit planen Rollback vorbereiten Risiken reduzieren Merksatz: Wartungsfenster schaffen planbare Änderungen. Change Management Change Management bedeutet: Änderungen werden geplant, geprüft, freigegeben, umgesetzt und dokumentiert. Cloud-Beispiele: neue Firewall-Regel größere Datenbankklasse neue Region neue Rolle neue Backup-Regel neue Skalierungsregel neues Deployment Merksatz: Cloud-Änderungen brauchen Kontrolle und Dokumentation. Rollback Rollback bedeutet: Eine Änderung wird zurückgenommen. Beispiele: vorherige Anwendungsversion wiederherstellen alte Konfiguration laden Snapshot zurücksetzen Firewall-Regel zurücknehmen Deployment rückgängig machen Merksatz: Jede kritische Änderung braucht einen Rückweg. Automatisierung im Cloud-Betrieb Cloud-Betrieb wird häufig automatisiert. Beispiele: Ressourcen automatisch bereitstellen Backups automatisch erstellen Skalierung automatisch durchführen Alarme automatisch auslösen Tests automatisch starten Deployments automatisch ausrollen ungenutzte Ressourcen automatisch stoppen Merksatz: Automatisierung reduziert manuelle Fehler, braucht aber gute Regeln. Infrastructure as Code Infrastructure as Code wird oft abgekürzt: IaC Dabei wird Infrastruktur nicht manuell im Portal zusammengeklickt, sondern als Code beschrieben. Beispiele: Netzwerke Subnetze Firewall-Regeln virtuelle Maschinen Datenbanken Rollen Speicher Load Balancer Vorteile: wiederholbar dokumentiert versionierbar prüfbar automatisierbar Merksatz: IaC beschreibt Infrastruktur als Code. Configuration Drift Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Konfiguration ab. Ursachen: manuelle Änderungen Notfalländerungen unterschiedliche Umgebungen unvollständige Dokumentation fehlende Automatisierung Problem: Fehlersuche wird schwieriger. Sicherheit kann unbemerkt schlechter werden. Merksatz: Configuration Drift entsteht durch ungeplante Abweichungen. CI/CD im Cloud-Betrieb CI/CD steht für: Continuous Integration Continuous Delivery oder Continuous Deployment Ziel: Änderungen werden automatisiert gebaut, getestet und bereitgestellt. Cloud-Bezug: Anwendungen werden schneller und kontrollierter ausgeliefert. Rollbacks können einfacher werden. Tests werden automatisiert. Infrastruktur kann mitbereitgestellt werden. Merksatz: CI/CD automatisiert Entwicklung, Test und Bereitstellung. Blue-Green Deployment Blue-Green Deployment bedeutet: Es gibt zwei Umgebungen. Blue: aktuelle produktive Version Green: neue Version Nach erfolgreichem Test wird der Verkehr auf die neue Umgebung umgeschaltet. Vorteil: schneller Rollback möglich Merksatz: Blue-Green reduziert Risiko bei neuen Versionen. Canary Deployment Canary Deployment bedeutet: Eine neue Version wird zuerst nur für einen kleinen Teil der Benutzer freigegeben. Wenn keine Probleme auftreten, wird der Anteil erhöht. Vorteil: Fehler betreffen zunächst nur wenige Benutzer. Merksatz: Canary testet neue Versionen schrittweise im Echtbetrieb. Cloud-Betriebsdokumentation Dokumentiert werden sollten: Zweck der Ressource Verantwortlicher Kostenstelle Umgebung Datenklasse Netzverbindungen Backup-Regeln Monitoring Alarme Wiederherstellungsplan Sicherheitsregeln Änderungen Abhängigkeiten Merksatz: Was nicht dokumentiert ist, ist im Betrieb schwer beherrschbar. Runbook Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Betriebsaufgaben. Beispiele: Dienst neu starten Backup wiederherstellen Zertifikat erneuern Alarm bearbeiten Instanz skalieren Failover auslösen Benutzerzugriff prüfen Merksatz: Runbooks helfen, im Betrieb einheitlich zu handeln. Incident Response Incident Response bedeutet: Vorgehen bei Sicherheitsvorfällen oder größeren Störungen. Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Cloud-Beispiele: kompromittierter API-Schlüssel öffentlich freigegebener Speicher ungewöhnliche Kosten Adminzugang missbraucht Datenabfluss Ransomware Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. Service Level Agreement Service Level Agreement wird abgekürzt: SLA Ein SLA beschreibt zugesicherte Servicequalität. Beispiele: Verfügbarkeit Reaktionszeit Supportzeit Wiederherstellungszeit Leistungswerte Merksatz: SLA beschreibt, welche Leistung zugesichert wird. SLO SLO steht für: Service Level Objective Ein SLO ist ein internes oder technisches Ziel für einen Dienst. Beispiel: 99,9 % erfolgreiche Anfragen pro Monat Antwortzeit unter 300 ms für 95 % der Anfragen Merksatz: SLO beschreibt ein Ziel für Servicequalität. SLI SLI steht für: Service Level Indicator Ein SLI ist ein Messwert, mit dem ein SLO bewertet wird. Beispiele: Verfügbarkeit Fehlerrate Antwortzeit Durchsatz Latenz Merksatz: SLI ist der Messwert, SLO ist das Ziel. SLA, SLO und SLI vergleichen Begriff Bedeutung SLA vertragliche Zusage SLO Zielwert für Dienstqualität SLI Messwert zur Bewertung Merksatz: SLI misst. SLO setzt Ziel. SLA ist Zusage. Cloud-Fehlersuche im Betrieb Bei Cloud-Störungen systematisch prüfen: Was ist betroffen? Seit wann? Wurde etwas geändert? Welche Region? Welche Zone? Welche Ressource? Welche Logs? Welche Metriken? Welche Abhängigkeiten? Welche Kostenänderung? Welche Alarme? Welche Benutzer betroffen? Merksatz: Störungen immer mit Zeit, Änderung Metriken Logs und Abhängigkeiten prüfen. Typische Betriebsprobleme in der Cloud Häufige Probleme: Dienst nicht erreichbar Zertifikat abgelaufen Speicher voll Datenbank überlastet Kosten steigen plötzlich Backup fehlgeschlagen Load Balancer hat keine gesunden Ziele Security Group falsch geändert API-Schlüssel kompromittiert Rechte zu breit vergeben Region oder Zone gestört Skalierung greift nicht Merksatz: Cloud-Betrieb betrifft Verfügbarkeit, Sicherheit Leistung und Kosten. Checkliste: Cloud-Betrieb Monitoring aktivieren. Logs aktivieren. Alarme einrichten. Kostenalarme setzen. Tags pflegen. Verantwortliche dokumentieren. Backups prüfen. Restore-Tests durchführen. Rechte regelmäßig prüfen. Ressourcen richtig dimensionieren. ungenutzte Ressourcen löschen. Patchverantwortung klären. Runbooks erstellen. Änderungen dokumentieren. Incident Response vorbereiten. Merksatz: Cloud-Betrieb braucht regelmäßige Kontrolle. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum braucht Cloud Monitoring? - Was ist der Unterschied zwischen Monitoring und Logging? - Was ist ein Kostenalarm? - Warum ist Tagging sinnvoll? - Was bedeutet Rightsizing? - Was ist Overprovisioning? - Was ist Auto Scaling? - Was ist horizontale Skalierung? - Was ist vertikale Skalierung? - Was ist ein Health Check? - Was ist der Unterschied zwischen RTO und RPO? - Was ist Infrastructure as Code? - Was bedeutet Configuration Drift? - Was ist ein Runbook? - Was bedeutet Incident Response? - Was ist der Unterschied zwischen SLA, SLO und SLI? - Warum ist Cloud nicht automatisch wartungsfrei? Typische Prüfungsfallen Cloud ist nicht wartungsfrei. Monitoring zeigt Zustand. Logs zeigen Ereignisse. Ohne Logs keine gute Fehlersuche. Zu viele Alarme können schaden. Kosten entstehen auch durch Speicher, Traffic, Logs und Snapshots. Pay as you go braucht Kontrolle. Tags helfen bei Kosten und Verantwortung. Untagged Resources sind problematisch. Rightsizing spart Kosten. Overprovisioning kostet unnötig Geld. Underprovisioning stört Betrieb. Auto Scaling braucht sinnvolle Regeln. Horizontal bedeutet mehr Instanzen. Vertikal bedeutet größere Instanz. Hochverfügbarkeit muss geplant werden. Cloud ist nicht automatisch hochverfügbar. RTO betrifft Wiederherstellungszeit. RPO betrifft Datenverlust. Patchverantwortung hängt vom Service-Modell ab. Change Management gilt auch in der Cloud. Rollback vor Änderung planen. IaC macht Infrastruktur wiederholbar. Configuration Drift vermeiden. Runbooks helfen im Betrieb. SLA, SLO und SLI nicht verwechseln. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Cloud-Betrieb laufende Verwaltung von Cloud-Diensten Monitoring Überwachung von Zuständen Metrik messbarer Wert Logging Protokollierung von Ereignissen Audit-Log Protokoll administrativer Aktionen Flow Log Netzwerkverbindungsdaten Alarmierung automatische Warnung Schwellwert Grenzwert für Alarm oder Aktion Alert Fatigue Überforderung durch zu viele Alarme Dashboard Übersicht wichtiger Werte SIEM zentrale Sicherheitslog-Auswertung Kostenkontrolle Überwachung und Steuerung von Kosten Pay as you go Abrechnung nach Nutzung Budget geplanter Kostenrahmen Kostenalarm Warnung bei Kostenüberschreitung Kostenstelle Zuordnung von Kosten Tagging Metadaten an Ressourcen Rightsizing passende Ressourcengröße Overprovisioning zu große Ressourcen Underprovisioning zu kleine Ressourcen Auto Scaling automatische Anpassung von Ressourcen horizontale Skalierung mehr Instanzen vertikale Skalierung größere Instanz Scale Out horizontal erweitern Scale Up vertikal vergrößern Health Check Prüfung der Dienstgesundheit Hochverfügbarkeit hohe Verfügbarkeit trotz Fehler Disaster Recovery Wiederherstellung nach schwerem Ausfall RTO maximale Wiederherstellungszeit RPO maximaler Datenverlust Patchmanagement Verwaltung von Updates Change Management kontrollierte Änderungen Rollback Änderung zurücknehmen IaC Infrastructure as Code Configuration Drift Abweichung von Soll-Konfiguration CI/CD automatisierte Bereitstellung Runbook Betriebsanleitung Incident Response Reaktion auf Vorfälle SLA vertragliche Servicezusage SLO Zielwert für Servicequalität SLI Messwert für Servicequalität IHK-sichere Kurzformulierung Cloud-Betrieb umfasst die laufende Überwachung, Protokollierung, Alarmierung, Kostenkontrolle, Skalierung, Wartung, Sicherheitsprüfung und Dokumentation von Cloud-Diensten. Monitoring zeigt den aktuellen Zustand eines Systems, während Logging Ereignisse und Änderungen nachvollziehbar macht. Kostenkontrolle ist wichtig, weil Cloud-Ressourcen nach Nutzung abgerechnet werden und auch Speicher, Netzwerkverkehr, Backups, Logs, Snapshots und Lizenzen Kosten verursachen können. Auto Scaling passt Ressourcen automatisch an Last an. Horizontale Skalierung bedeutet mehr Instanzen, vertikale Skalierung bedeutet größere Instanzen. Für Ausfallsicherheit sind Hochverfügbarkeit, Backups, RTO, RPO, Runbooks, Change Management und Incident Response wichtig. Merksätze Cloud ist nicht wartungsfrei. Cloud-Betrieb braucht Monitoring. Monitoring zeigt Zustand. Logs zeigen Ereignisse. Audit-Logs zeigen Adminaktionen. Flow Logs zeigen Netzwerkverbindungen. Alarmierung macht Probleme sichtbar. Zu viele Alarme können wichtige Alarme verdecken. Dashboard gibt Überblick. SIEM wertet Sicherheitslogs zentral aus. Cloud-Kosten aktiv überwachen. Pay as you go braucht Kontrolle. Kosten entstehen auch durch Traffic, Speicher, Logs und Snapshots. Budget planen. Kostenalarme setzen. Tags pflegen. Untagged Resources vermeiden. Rightsizing spart Kosten. Overprovisioning kostet unnötig. Underprovisioning gefährdet Betrieb. Auto Scaling passt Ressourcen an. Horizontal = mehr Instanzen. Vertikal = stärkere Instanz. Scale Out = mehr. Scale Up = größer. Load Balancer verteilt Last. Health Check prüft Dienstgesundheit. Hochverfügbarkeit planen. Cloud ist nicht automatisch hochverfügbar. Region und Zone bewusst wählen. Disaster Recovery vorher planen. RTO = Wiederherstellungszeit. RPO = Datenverlust. Patchverantwortung hängt vom Service-Modell ab. Änderungen dokumentieren. Rollback vor Änderung planen. IaC beschreibt Infrastruktur als Code. Configuration Drift vermeiden. CI/CD automatisiert Bereitstellung. Runbooks helfen im Betrieb. Incident Response vorbereiten. SLI misst. SLO setzt Ziel. SLA ist Zusage. 15.8 Merksätze und Prüfungswissen zu Cloud und modernen Bereitstellungsmodellen Diese Seite fasst die wichtigsten Inhalte zu Cloud, Bereitstellungsmodellen, Service-Modellen, Cloud-Netzwerken, Cloud-Sicherheit, Cloud-Speicher, Backup, Monitoring, Skalierung und Kostenkontrolle zusammen. Cloud ist prüfungsrelevant, weil sie viele Themen verbindet: - Netzwerktechnik - Serverbetrieb - Virtualisierung - Sicherheit - Datenschutz - Backup - Kosten - Rechteverwaltung - Hochverfügbarkeit - Monitoring Merksatz: Cloud ist kein einzelnes Produkt, sondern ein Betriebs- und Bereitstellungsmodell für IT-Ressourcen. Cloud-Grundidee Cloud bedeutet: IT-Ressourcen werden über ein Netzwerk als Dienst bereitgestellt. Beispiele: virtuelle Server Speicher Datenbanken Anwendungen Plattformen Container Backup Identitätsdienste Netzwerkdienste Sicherheitsdienste Merksatz: Cloud = IT-Ressourcen als Dienst. Cloud ist nicht automatisch weniger Verantwortung Ein häufiger Denkfehler: Alles liegt in der Cloud, also kümmert sich der Anbieter um alles. Das ist falsch. Der Anbieter übernimmt je nach Modell bestimmte Aufgaben. Der Kunde bleibt verantwortlich für: Benutzer Rollen Berechtigungen Daten sichere Konfiguration Datenschutz Zugriffsschutz Backup-Konzept Kostenkontrolle Monitoring Compliance Merksatz: Cloud verlagert Verantwortung, sie beseitigt Verantwortung nicht. On-Premises On-Premises bedeutet: IT wird lokal selbst betrieben. Beispiele: eigener Serverraum eigenes Rechenzentrum eigene Hardware eigene Virtualisierung eigene Netzwerkinfrastruktur Vorteile: hohe Kontrolle direkte Verwaltung eigene Vorgaben Nachteile: Hardwarekosten Wartungsaufwand eigene Verantwortung für Ausfallsicherheit Merksatz: On-Premises = lokal selbst betrieben. Public Cloud Public Cloud bedeutet: Ein Anbieter stellt Cloud-Ressourcen für viele Kunden bereit. Eigenschaften: Anbieterplattform viele Kunden logische Mandantentrennung nutzungsabhängige Abrechnung schnelle Bereitstellung hohe Skalierbarkeit Merksatz: Public Cloud = öffentliche Anbieterplattform für viele Kunden. Private Cloud Private Cloud bedeutet: Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt. Sie kann laufen: im eigenen Rechenzentrum bei einem Dienstleister in einer dedizierten Umgebung Wichtig: Virtualisierung allein ist noch keine vollständige Private Cloud. Typische Cloud-Merkmale sind: Self-Service Automatisierung Ressourcenpooling schnelle Bereitstellung messbare Nutzung zentrale Verwaltung Merksatz: Private Cloud = Cloud für eine Organisation. Hybrid Cloud Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud. Beispiele: lokale Datenbank plus Cloud-Webanwendung lokales Rechenzentrum plus Cloud-Backup lokale Benutzerverwaltung plus Cloud-SaaS lokale Systeme plus Cloud-Skalierung Merksatz: Hybrid Cloud = lokal oder privat plus Public Cloud. Multi Cloud Multi Cloud bedeutet: Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig. Beispiel: Anbieter A für virtuelle Maschinen Anbieter B für Office und E-Mail Anbieter C für Backup Anbieter D für Datenanalyse Merksatz: Multi Cloud = mehrere Cloud-Anbieter parallel. Hybrid Cloud und Multi Cloud unterscheiden Begriff Kerngedanke Hybrid Cloud lokale/private IT plus Public Cloud Multi Cloud mehrere Cloud-Anbieter Hybrid und Multi Cloud kombiniert lokale IT plus mehrere Cloud-Anbieter Merksatz: Hybrid beschreibt die Verbindung lokal plus Cloud. Multi Cloud beschreibt mehrere Anbieter. Community Cloud Community Cloud bedeutet: Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt. Beispiele: Behörden Bildung Forschung Gesundheitswesen bestimmte Branchen Merksatz: Community Cloud = Cloud für eine bestimmte Gemeinschaft. Bereitstellungsmodelle im Überblick Modell Kurze Erklärung On-Premises lokal selbst betrieben Public Cloud Anbieterplattform für viele Kunden Private Cloud Cloud für eine Organisation Hybrid Cloud lokale/private IT plus Public Cloud Multi Cloud mehrere Cloud-Anbieter Community Cloud Cloud für Organisationen mit gemeinsamen Anforderungen Merksatz: Bereitstellungsmodell beschreibt, wo und für wen Cloud betrieben wird. Service-Modelle Die wichtigsten Cloud-Service-Modelle sind: - IaaS - PaaS - SaaS Sie beschreiben, welche IT-Schichten der Anbieter bereitstellt und welche der Kunde selbst verwaltet. Merksatz: Service-Modell beschreibt, was als Dienst bereitgestellt wird. IaaS IaaS steht für: Infrastructure as a Service Der Anbieter stellt virtuelle Infrastruktur bereit. Beispiele: virtuelle Maschinen virtuelle Netzwerke virtuelle Festplatten Load Balancer Firewalls IP-Adressen Storage Der Kunde verwaltet typischerweise: Betriebssystem Anwendungen Daten Patches innerhalb der VM Benutzer Sicherheitskonfiguration Merksatz: IaaS = virtuelle Infrastruktur statt eigener Hardware. PaaS PaaS steht für: Platform as a Service Der Anbieter stellt eine Plattform bereit, auf der Anwendungen laufen können. Beispiele: Web-App-Plattform verwaltete Datenbank Laufzeitumgebung Containerplattform API-Plattform Entwicklungsplattform Der Kunde verwaltet typischerweise: Anwendung Daten Konfiguration Benutzer Berechtigungen Merksatz: PaaS = Plattform für eigene Anwendungen. SaaS SaaS steht für: Software as a Service Der Kunde nutzt eine fertige Anwendung. Beispiele: E-Mail Online-Office CRM Ticketsystem Cloud-Speicher Videokonferenzdienst Projektmanagement Der Kunde verwaltet typischerweise: Benutzer Rollen Berechtigungen Daten Freigaben Einstellungen MFA Merksatz: SaaS = fertige Software aus der Cloud. IaaS, PaaS und SaaS vergleichen Modell Anbieter stellt bereit Kunde verwaltet vor allem IaaS virtuelle Infrastruktur Betriebssystem, Anwendung, Daten PaaS Plattform und Laufzeitumgebung Anwendung, Daten, Konfiguration SaaS fertige Anwendung Benutzer, Rechte, Daten, Einstellungen Merksatz: IaaS gibt viel Kontrolle. SaaS nimmt viel Betrieb ab. PaaS liegt dazwischen. Shared Responsibility Model Shared Responsibility Model bedeutet: Anbieter und Kunde teilen sich die Verantwortung. Je nach Service-Modell verschiebt sich diese Verantwortung. Bei IaaS: Kunde hat viel technische Verantwortung. Bei PaaS: Anbieter übernimmt Plattform, Kunde bleibt für Anwendung und Daten verantwortlich. Bei SaaS: Anbieter betreibt Anwendung, Kunde bleibt für Nutzung, Benutzer, Rechte und Daten verantwortlich. Merksatz: Cloud-Sicherheit ist gemeinsame Verantwortung. Wichtigste Regel zur Verantwortung Daten, Benutzer und Rechte bleiben fast immer Kundenthema. Auch bei SaaS muss der Kunde prüfen: Wer darf zugreifen? Welche Rollen gibt es? Ist MFA aktiv? Welche Daten liegen im Dienst? Welche Freigaben existieren? Wie werden Benutzer deaktiviert? Wie werden Daten gesichert oder exportiert? Merksatz: Je fertiger der Dienst, desto weniger Technikbetrieb, aber Daten und Zugriffe bleiben wichtig. Virtualisierung Virtualisierung bedeutet: physische Ressourcen werden in virtuelle Ressourcen aufgeteilt. Beispiele: virtuelle Maschinen virtuelle Netzwerke virtuelle Festplatten virtuelle Firewalls virtuelle Load Balancer Merksatz: Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste. Container Container verpacken Anwendungen mit ihren Abhängigkeiten. Sie enthalten typischerweise: Anwendung Bibliotheken Laufzeitumgebung Konfiguration Sie teilen sich den Kernel des Hosts. Merksatz: Container sind leichtgewichtige, portable Anwendungseinheiten. Kubernetes Kubernetes ist eine Plattform zur Container-Orchestrierung. Es verwaltet: Container Pods Services Deployments Skalierung Rollouts Netzwerke Konfigurationen Merksatz: Kubernetes orchestriert Container in Clustern. Serverless Serverless bedeutet nicht, dass keine Server existieren. Es bedeutet: Der Kunde verwaltet keine einzelnen Server. Der Anbieter betreibt die Infrastruktur. Der Kunde stellt Code, Funktionen oder Konfiguration bereit. Merksatz: Serverless = keine Serververwaltung durch den Kunden. FaaS FaaS steht für: Function as a Service Dabei werden einzelne Funktionen ereignisgesteuert ausgeführt. Beispiele: Datei hochgeladen API-Aufruf Zeitplan Nachricht in Warteschlange Merksatz: FaaS führt Funktionen bei Ereignissen aus. Cloud-Netzwerke Cloud-Netzwerke bestehen aus virtuellen Netzwerkkomponenten. Typische Bestandteile: VPC VNet Subnetze Routingtabellen Security Groups Network ACLs NSGs Internet Gateway NAT-Gateway VPN-Gateway Load Balancer DNS Peering Merksatz: Cloud-Netzwerke sind virtuell, brauchen aber echte Netzplanung. VPC und VNet VPC steht für: Virtual Private Cloud VNet steht für: Virtual Network Beide beschreiben ein logisch getrenntes Cloud-Netzwerk. Darin werden festgelegt: IP-Bereich Subnetze Routen Sicherheitsregeln Gateways Ressourcen Merksatz: VPC oder VNet = eigenes virtuelles Cloud-Netz. Public Subnet und Private Subnet Subnetztyp Zweck Public Subnet öffentlich erreichbare Komponenten Private Subnet interne Komponenten ohne direkten Internetzugriff Beispiele: Public Subnet: Load Balancer, Bastion Host, Reverse Proxy Private Subnet: Datenbank, Backend, interne API, Verarbeitungssystem Merksatz: Öffentlich nur, was wirklich öffentlich sein muss. Internet Gateway und NAT-Gateway Internet Gateway: verbindet Cloud-Netz mit dem Internet NAT-Gateway: erlaubt privaten Ressourcen ausgehenden Internetzugriff, ohne direkt eingehend erreichbar zu sein Merksatz: Internet Gateway verbindet öffentlich. NAT-Gateway erlaubt ausgehend für private Ressourcen. Security Group Eine Security Group ist eine virtuelle Firewall-Regelgruppe. Sie steuert: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group = Firewall-Regeln an Cloud-Ressourcen. Network ACL und NSG Network ACL: Zugriffsliste auf Netzwerk- oder Subnetzebene NSG: Network Security Group, Regelgruppe für Netzwerkzugriffe Wichtig: Je nach Plattform können Regeln stateful oder stateless sein. Merksatz: Security Groups, ACLs und NSGs können alle Zugriff beeinflussen. Stateful und Stateless Stateful bedeutet: Rückverkehr zu erlaubten Verbindungen wird automatisch zugeordnet. Stateless bedeutet: Rückverkehr muss separat erlaubt werden. Merksatz: Stateful merkt sich Verbindungen. Stateless prüft jedes Paket einzeln. Load Balancer Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Vorteile: Lastverteilung höhere Verfügbarkeit Skalierung Wartung einzelner Backends Health Checks Merksatz: Load Balancer verteilt Verkehr auf gesunde Ziele. Health Check Ein Health Check prüft, ob ein Backend gesund ist. Beispiele: TCP-Port erreichbar HTTP-Status 200 Anwendung meldet gesund Antwortzeit akzeptabel Merksatz: Health Check entscheidet, ob ein Backend Verkehr erhält. Peering Peering verbindet zwei Cloud-Netze privat miteinander. Wichtig: IP-Netze dürfen sich nicht überschneiden. Routen müssen passen. Sicherheitsregeln müssen passen. Peering ist nicht automatisch transitiv. Merksatz: Peering verbindet Netze, leitet aber nicht automatisch zu dritten Netzen weiter. Cloud-VPN Cloud-VPN verbindet Cloud-Netze mit anderen Netzen. Beispiele: Cloud ↔ lokales Rechenzentrum Cloud ↔ Niederlassung Cloud ↔ andere Cloud Wichtig: IP-Planung Routing Firewall-Regeln Verschlüsselung Monitoring Rückrouten Merksatz: Cloud-VPN braucht Regeln und Routen auf beiden Seiten. Cloud-Speicherarten Die wichtigsten Cloud-Speicherarten sind: - Objektspeicher - Blockspeicher - Dateispeicher - Archivspeicher Merksatz: Speicherart nach Einsatzzweck auswählen. Objektspeicher Objektspeicher speichert Daten als Objekte. Ein Objekt enthält: Inhalt Metadaten eindeutigen Schlüssel Typische Nutzung: Backups Bilder Videos Logs Archive Dokumente große unstrukturierte Datenmengen Merksatz: Objektspeicher eignet sich für viele unstrukturierte Daten. Bucket Ein Bucket ist ein Speicherbehälter für Objekte. Wichtig: Bucket-Berechtigungen sind sicherheitskritisch. Fehler: Bucket öffentlich lesbar Folge: vertrauliche Daten können offenliegen. Merksatz: Öffentliche Buckets vermeiden. Blockspeicher Blockspeicher verhält sich wie eine virtuelle Festplatte. Typische Nutzung: virtuelle Maschinen Betriebssystemplatten Datenbanken Anwendungen mit Dateisystem Merksatz: Blockspeicher = virtuelle Festplatte. Dateispeicher Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit. Typische Protokolle: SMB NFS Typische Nutzung: gemeinsame Dateien Benutzerdateien klassische Anwendungen zentrale Ablagen Merksatz: Dateispeicher = Freigabe mit Dateien und Ordnern. Backup in der Cloud Cloud ersetzt kein Backup. Auch Cloud-Daten können verloren gehen durch: Benutzerfehler Ransomware Fehlkonfiguration falsche Synchronisation gelöschte Benutzer kompromittierte Adminzugänge Anbieterproblem fehlerhafte Anwendung Merksatz: Cloud ist kein Backup. RPO und RTO RPO steht für: Recovery Point Objective Frage: Wie viel Datenverlust ist maximal erlaubt? RTO steht für: Recovery Time Objective Frage: Wie lange darf Wiederherstellung dauern? Merksatz: RPO = Datenverlust. RTO = Wiederherstellungszeit. Backup und Replikation Backup: dient der Wiederherstellung alter oder gesicherter Zustände Replikation: kopiert Daten auf ein anderes System oder in eine andere Region Wichtig: Replikation ist kein vollständiger Backup-Ersatz, weil Fehler und Löschungen mitkopiert werden können. Merksatz: Backup schützt Wiederherstellung. Replikation schützt eher Verfügbarkeit. 3-2-1-Regel Die 3-2-1-Regel bedeutet: 3 Kopien der Daten 2 unterschiedliche Speichermedien oder Speicherarten 1 Kopie außer Haus oder getrennt vom Hauptsystem Merksatz: Mehrere getrennte Kopien schützen besser. Immutable Backup Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Vorteile: Schutz vor Ransomware Schutz vor versehentlicher Löschung Schutz vor kompromittierten Konten Merksatz: Immutable Backup schützt vor Manipulation und Löschung. IAM IAM steht für: Identity and Access Management IAM regelt: Benutzer Gruppen Rollen Berechtigungen Richtlinien Servicekonten API-Schlüssel MFA Merksatz: IAM entscheidet, wer was in der Cloud darf. Authentifizierung und Autorisierung Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiel: Benutzer meldet sich an: Authentifizierung Benutzer darf eine VM löschen: Autorisierung Merksatz: Anmeldung und Berechtigung unterscheiden. MFA MFA steht für: Multi-Faktor-Authentifizierung MFA ist besonders wichtig für: Administratoren externe Benutzer Cloud-Portale IAM Abrechnung Produktion sensible Daten Merksatz: Cloud-Adminzugänge ohne MFA sind ein hohes Risiko. Least Privilege Least Privilege bedeutet: nur die Rechte vergeben, die wirklich benötigt werden. In der Cloud besonders wichtig, weil einzelne Rechte große Auswirkungen haben können. Beispiele: Speicher öffentlich machen Firewall öffnen VM löschen Backup löschen Rollen vergeben API-Schlüssel erstellen Merksatz: Cloud-Rechte minimal vergeben. Servicekonten und API-Schlüssel Servicekonten sind Identitäten für Dienste oder Anwendungen. API-Schlüssel erlauben Programmen Zugriff auf Cloud-Dienste. Risiken: zu viele Rechte Schlüssel im Quellcode keine Rotation keine Löschung nach Projektende Veröffentlichung in Repositories Merksatz: Servicekonten und API-Schlüssel wie kritische Zugangsdaten behandeln. Secrets Secrets sind geheime Informationen. Beispiele: Passwörter Tokens API-Schlüssel private Schlüssel Zertifikate Datenbankkennwörter Merksatz: Secrets gehören nicht in Quellcode, Tickets, Chats oder ungeschützte Dokumente. RBAC und ABAC RBAC: rollenbasierte Zugriffskontrolle ABAC: attributbasierte Zugriffskontrolle Modell Grundlage RBAC Rollen ABAC Attribute Merksatz: RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. Tenant und Mandantentrennung Ein Tenant ist ein logisch getrennter Verwaltungsbereich. Mandantentrennung bedeutet: Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt. Merksatz: Tenant = eigener Cloud-Verwaltungsbereich. SSO, SAML, OAuth 2.0 und OpenID Connect SSO: einmal anmelden, mehrere Dienste nutzen SAML: häufig für Single Sign-On genutzt OAuth 2.0: delegierte Autorisierung OpenID Connect: ergänzt OAuth 2.0 um Authentifizierung Merksatz: OAuth 2.0 ist Autorisierung. OpenID Connect ergänzt Authentifizierung. Verschlüsselung Cloud-Daten sollten geschützt werden: bei Übertragung und im Ruhezustand Bei Übertragung: TLS Im Ruhezustand: Speicherverschlüsselung Datenbankverschlüsselung Backup-Verschlüsselung Merksatz: Verschlüsselung schützt Daten, ersetzt aber keine Rechteverwaltung. KMS KMS steht für: Key Management Service Ein KMS verwaltet kryptografische Schlüssel. Aufgaben: Schlüssel erzeugen Schlüssel speichern Schlüssel rotieren Zugriff steuern Nutzung protokollieren Schlüssel deaktivieren Merksatz: KMS verwaltet Schlüssel für Cloud-Verschlüsselung. Logging und Monitoring Monitoring: zeigt aktuelle Zustände und Messwerte Logging: zeigt Ereignisse und Änderungen Beispiele für Logs: Audit-Logs Flow Logs Firewall-Logs Anwendungslogs IAM-Logs Load-Balancer-Logs Merksatz: Monitoring zeigt Zustand. Logging zeigt Ereignisse. SIEM SIEM steht für: Security Information and Event Management Ein SIEM sammelt und analysiert Sicherheitslogs. Ziele: Angriffe erkennen Alarme erzeugen Ereignisse korrelieren Nachweise liefern Merksatz: SIEM hilft bei zentraler Sicherheitsüberwachung. Kostenkontrolle Cloud-Kosten entstehen durch: Rechenleistung Speicher Datenbanken Backups Snapshots Logs Monitoring Netzwerkverkehr Load Balancer Lizenzen öffentliche IP-Adressen Support Merksatz: Cloud-Kosten entstehen nicht nur durch Server. Pay as you go Pay as you go bedeutet: Abrechnung nach Nutzung. Vorteil: flexibel Risiko: Fehlkonfiguration, Dauerbetrieb oder unerwartete Last können teuer werden. Merksatz: Pay as you go braucht Kostenüberwachung. Tagging Tagging bedeutet: Cloud-Ressourcen werden mit Metadaten markiert. Beispiele: Projekt Kostenstelle Verantwortlicher Umgebung Ablaufdatum Schutzbedarf Merksatz: Tags helfen bei Kosten, Verantwortung Ordnung und Automatisierung. Rightsizing Rightsizing bedeutet: Ressourcen passend dimensionieren. Zu groß: unnötige Kosten Zu klein: schlechte Leistung oder Ausfälle Merksatz: Rightsizing sucht die passende Ressourcengröße. Auto Scaling Auto Scaling passt Ressourcen automatisch an die Last an. Beispiel: mehr Instanzen bei hoher Last weniger Instanzen bei geringer Last Merksatz: Auto Scaling skaliert automatisch nach Regeln. Horizontale und vertikale Skalierung Skalierung Bedeutung horizontal mehr Instanzen vertikal größere Instanz Merksatz: Horizontal = mehr Systeme. Vertikal = stärkeres System. Hochverfügbarkeit Hochverfügbarkeit bedeutet: Dienste bleiben möglichst verfügbar, auch wenn einzelne Komponenten ausfallen. Mittel: mehrere Instanzen mehrere Verfügbarkeitszonen Load Balancer Replikation Monitoring Auto Scaling Backup Notfallplan Merksatz: Cloud ist nicht automatisch hochverfügbar. Region und Verfügbarkeitszone Region: geografischer Standort des Cloud-Anbieters Verfügbarkeitszone: getrenntes Rechenzentrumssegment innerhalb einer Region Merksatz: Region beeinflusst Datenstandort und Latenz. Zone beeinflusst Ausfallsicherheit innerhalb einer Region. SLA, SLO und SLI Begriff Bedeutung SLA vertragliche Servicezusage SLO Zielwert für Servicequalität SLI Messwert für Servicequalität Merksatz: SLI misst. SLO setzt Ziel. SLA ist Zusage. Infrastructure as Code Infrastructure as Code wird abgekürzt: IaC Dabei wird Infrastruktur als Code beschrieben. Beispiele: Netzwerke Subnetze Firewalls Rollen VMs Datenbanken Load Balancer Speicher Vorteile: wiederholbar versionierbar dokumentiert automatisierbar prüfbar Merksatz: IaC beschreibt Infrastruktur als Code. Configuration Drift Configuration Drift bedeutet: Die echte Konfiguration weicht von der geplanten Konfiguration ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Umgebungen Merksatz: Configuration Drift erschwert Betrieb und Sicherheit. Change Management und Rollback Change Management bedeutet: Änderungen werden geplant, geprüft, freigegeben, umgesetzt und dokumentiert. Rollback bedeutet: Änderung zurücknehmen. Merksatz: Jede kritische Änderung braucht Dokumentation und Rückweg. Runbook Ein Runbook ist eine Schritt-für-Schritt-Anleitung für Betriebsaufgaben. Beispiele: Backup wiederherstellen Alarm bearbeiten Zertifikat erneuern Dienst neu starten Failover auslösen Benutzerzugriff prüfen Merksatz: Runbooks helfen bei wiederholbaren Betriebsabläufen. Incident Response Incident Response bedeutet: Vorgehen bei Sicherheitsvorfällen oder größeren Störungen. Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vor dem Vorfall vorbereitet sein. Datenschutz und Compliance Cloud-Nutzung muss rechtliche und organisatorische Vorgaben beachten. Wichtige Fragen: Welche Daten werden verarbeitet? Wo werden Daten gespeichert? Wer hat Zugriff? Gibt es Auftragsverarbeitung? Sind Daten verschlüsselt? Gibt es Löschkonzepte? Werden Logs personenbezogen? Welche Verträge gelten? Merksatz: Cloud braucht Datenschutz- und Compliance-Prüfung. Datenklassifizierung Datenklassifizierung bedeutet: Daten werden nach Schutzbedarf eingeteilt. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen geschäftskritisch Merksatz: Datenklasse bestimmt Schutzmaßnahmen. Datenresidenz Datenresidenz bedeutet: Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden. Beispiel: Speicherung innerhalb der EU Merksatz: Datenresidenz beschreibt, wo Daten liegen dürfen. Vendor Lock-in Vendor Lock-in bedeutet: starke Abhängigkeit von einem Anbieter. Ursachen: proprietäre Dienste spezielle APIs spezielle Datenformate hohe Migrationskosten fehlende Portabilität Mitarbeitende kennen nur eine Plattform Merksatz: Vendor Lock-in früh beachten. Exit-Strategie Eine Exit-Strategie beschreibt, wie man einen Cloud-Dienst wieder verlassen kann. Fragen: Wie exportiere ich Daten? In welchem Format? Wie lange dauert Migration? Welche Kosten entstehen? Wie werden Daten beim Anbieter gelöscht? Gibt es Alternativen? Merksatz: Cloud-Einstieg braucht auch Cloud-Ausstiegsplan. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Cloud Computing? - Was ist On-Premises? - Was ist Public Cloud? - Was ist Private Cloud? - Was ist Hybrid Cloud? - Was ist Multi Cloud? - Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud? - Was bedeutet IaaS? - Was bedeutet PaaS? - Was bedeutet SaaS? - Was ist das Shared Responsibility Model? - Wer ist bei IaaS für Betriebssystemupdates verantwortlich? - Wer verwaltet bei SaaS Benutzer und Rechte? - Was ist eine VPC? - Was ist ein Public Subnet? - Was ist ein Private Subnet? - Was ist eine Security Group? - Was ist ein Load Balancer? - Was ist IAM? - Was bedeutet Least Privilege? - Was ist MFA? - Was ist ein API-Schlüssel? - Was ist ein Secret? - Was ist Objektspeicher? - Was ist Blockspeicher? - Was ist Dateispeicher? - Warum ist Cloud-Speicher kein Backup? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist Auto Scaling? - Was ist horizontale Skalierung? - Was ist vertikale Skalierung? - Was ist ein SLA? - Warum ist Cloud nicht automatisch sicher? - Warum ist Cloud nicht automatisch günstiger? Typische Prüfungsfallen Cloud ist nicht automatisch günstiger. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch hochverfügbar. Cloud ist nicht automatisch Backup. Anbieter übernimmt nicht automatisch alles. Daten, Benutzer und Rechte bleiben Kundenthema. Public Cloud ist nicht automatisch unsicher. Private Cloud ist nicht automatisch günstiger. Hybrid Cloud ist nicht Multi Cloud. Multi Cloud ist nicht automatisch Hybrid. Virtualisierung allein ist keine Private Cloud. IaaS ist Infrastruktur. PaaS ist Plattform. SaaS ist fertige Software. Cloud-VM muss Kunde oft selbst patchen. SaaS-Rechte bleiben Kundenthema. Serverless heißt nicht serverfrei. VPC und VNet sind virtuelle Cloud-Netze. Public Subnet nicht für Datenbanken nutzen. Private Subnet schützt vor direkter öffentlicher Erreichbarkeit. Security Group ist virtuelle Firewall. Öffentliche Buckets vermeiden. Synchronisation ist kein Backup. Replikation ist kein Backup. Snapshot ist nicht immer Backup. Backup ohne Restore-Test ist unsicher. RPO und RTO nicht verwechseln. IAM ist zentral für Cloud-Sicherheit. Authentifizierung ist nicht Autorisierung. MFA für Admins ist wichtig. API-Schlüssel wie Passwörter behandeln. Secrets nicht im Code speichern. Verschlüsselung ersetzt keine Rechteverwaltung. Monitoring und Logging unterscheiden. Pay as you go braucht Kostenkontrolle. Tags helfen bei Kosten und Verantwortung. Horizontal und vertikal unterscheiden. SLA, SLO und SLI nicht verwechseln. Exit-Strategie früh planen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Cloud IT-Ressourcen als Dienst On-Premises lokal selbst betrieben Public Cloud Anbieterplattform für viele Kunden Private Cloud Cloud für eine Organisation Hybrid Cloud lokale/private IT plus Cloud Multi Cloud mehrere Cloud-Anbieter Community Cloud Cloud für bestimmte Gemeinschaft IaaS Infrastructure as a Service PaaS Platform as a Service SaaS Software as a Service Shared Responsibility geteilte Verantwortung Virtualisierung Aufteilung physischer Ressourcen Container portable Anwendungseinheit Kubernetes Container-Orchestrierung Serverless keine Serververwaltung durch Kunden FaaS Function as a Service VPC Virtual Private Cloud VNet Virtual Network Public Subnet öffentlich angebundenes Subnetz Private Subnet internes Subnetz Security Group virtuelle Firewall-Regelgruppe Load Balancer verteilt Anfragen Health Check prüft Dienstgesundheit Peering Verbindung zwischen Cloud-Netzen Cloud-VPN VPN zu Cloud-Netz Objektspeicher Speicher für Objekte Bucket Speicherbehälter Blockspeicher virtuelle Festplatte Dateispeicher Datei- und Ordnerfreigabe Backup zusätzliche Sicherung Restore Wiederherstellung RPO maximaler Datenverlust RTO maximale Wiederherstellungszeit Immutable Backup unveränderliches Backup IAM Identity and Access Management MFA Multi-Faktor-Authentifizierung Least Privilege minimale notwendige Rechte API-Schlüssel Zugriffsschlüssel für Programme Secret geheime Information RBAC rollenbasierte Zugriffskontrolle ABAC attributbasierte Zugriffskontrolle Tenant Cloud-Verwaltungsbereich SSO Single Sign-On OAuth 2.0 delegierte Autorisierung OpenID Connect Authentifizierungserweiterung KMS Key Management Service Monitoring Zustandsüberwachung Logging Ereignisprotokollierung SIEM Sicherheitslog-Auswertung Pay as you go Abrechnung nach Nutzung Tagging Metadaten für Ressourcen Rightsizing passende Ressourcengröße Auto Scaling automatische Skalierung SLA vertragliche Servicezusage SLO Serviceziel SLI Servicemesswert IaC Infrastructure as Code Configuration Drift Abweichung von Soll-Konfiguration Runbook Betriebsanleitung Incident Response Reaktion auf Vorfälle Compliance Einhaltung von Vorgaben Datenresidenz erlaubter Speicherort Vendor Lock-in Anbieterabhängigkeit Exit-Strategie Plan zum Verlassen eines Dienstes IHK-sichere Gesamtformulierung Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Netzwerke, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst. Public Cloud wird von einem Anbieter für viele Kunden bereitgestellt, Private Cloud für eine einzelne Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, und Multi Cloud nutzt mehrere Cloud-Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Das Shared Responsibility Model beschreibt die geteilte Verantwortung zwischen Anbieter und Kunde. Auch in der Cloud bleiben Benutzer, Rechte, Daten, sichere Konfiguration, Backup, Monitoring, Kostenkontrolle, Datenschutz und Compliance wichtige Aufgaben des Kunden. Wichtigste Merksätze Cloud = IT-Ressourcen als Dienst. Cloud ist kein einzelnes Produkt. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch günstig. Cloud ist nicht automatisch hochverfügbar. Cloud ist kein Backup. On-Premises = lokal selbst betrieben. Public Cloud = Anbieterplattform für viele Kunden. Private Cloud = Cloud für eine Organisation. Hybrid Cloud = lokal plus Cloud. Multi Cloud = mehrere Anbieter. IaaS = Infrastruktur. PaaS = Plattform. SaaS = fertige Software. Shared Responsibility = geteilte Verantwortung. Daten bleiben Kundenthema. Benutzer bleiben Kundenthema. Rechte bleiben Kundenthema. Cloud-VM muss Kunde oft selbst patchen. SaaS braucht Rechteverwaltung. Serverless heißt keine Serververwaltung durch Kunden. VPC und VNet sind virtuelle Cloud-Netze. Public Subnet nur für öffentliche Komponenten. Private Subnet für interne Ressourcen. Datenbanken nicht öffentlich bereitstellen. Security Groups sind virtuelle Firewall-Regeln. Cloud-VPN braucht Routen beidseitig. Objektspeicher für unstrukturierte Daten. Blockspeicher für VMs und Datenbanken. Dateispeicher für Freigaben. Öffentliche Buckets vermeiden. Backup regelmäßig testen. RPO = Datenverlust. RTO = Wiederherstellungszeit. IAM entscheidet, wer was darf. MFA für Admins erzwingen. Least Privilege immer beachten. API-Schlüssel schützen. Secrets sicher verwalten. Verschlüsselung ersetzt keine Rechte. Monitoring zeigt Zustand. Logging zeigt Ereignisse. Kosten aktiv überwachen. Tags pflegen. Auto Scaling braucht Regeln. Horizontal = mehr Instanzen. Vertikal = größere Instanz. IaC macht Infrastruktur wiederholbar. Configuration Drift vermeiden. Runbooks helfen im Betrieb. Incident Response vorbereiten. Datenschutz und Compliance prüfen. Exit-Strategie früh planen. 16. Angriffe und Schutzmaßnahmen 16.1 Angriffe und Schutzmaßnahmen IT-Systeme und Netzwerke sind vielen möglichen Angriffen ausgesetzt. Ein Angriff kann sich richten gegen: - Vertraulichkeit - Integrität - Verfügbarkeit - Identitäten - Daten - Anwendungen - Netzwerke - Endgeräte - Server - Cloud-Dienste Merksatz: IT-Sicherheit schützt nicht nur Technik, sondern auch Daten, Prozesse und Verfügbarkeit. Grundziele der Informationssicherheit Die drei wichtigsten Grundziele sind: Vertraulichkeit Integrität Verfügbarkeit Diese drei Begriffe werden oft als Schutzziele bezeichnet. Merksatz: Vertraulichkeit, Integrität und Verfügbarkeit sind die Grundpfeiler der IT-Sicherheit. Vertraulichkeit Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen gelesen werden. Beispiele: Kundendaten Passwörter Personalakten Geschäftsgeheimnisse medizinische Daten interne Dokumente Zugangsdaten Angriffe auf Vertraulichkeit: Datenabfluss unberechtigter Zugriff Abhören Phishing gestohlene Zugangsdaten öffentlich freigegebene Cloud-Speicher Merksatz: Vertraulichkeit schützt vor unberechtigtem Lesen. Integrität Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele: Rechnung darf nicht manipuliert werden. Konfigurationsdatei darf nicht heimlich geändert werden. Softwarepaket darf nicht verfälscht werden. Logdatei darf nicht manipuliert werden. Angriffe auf Integrität: Manipulation Schadsoftware unberechtigte Änderungen Datenbankänderungen Man-in-the-Middle Supply-Chain-Angriffe Merksatz: Integrität schützt vor unbemerkter Veränderung. Verfügbarkeit Verfügbarkeit bedeutet: Systeme, Dienste und Daten sind bei Bedarf nutzbar. Beispiele: Webserver erreichbar E-Mail funktioniert Datenbank antwortet Backup kann wiederhergestellt werden Netzwerk ist verfügbar Cloud-Dienst läuft Angriffe auf Verfügbarkeit: DoS DDoS Ransomware Sabotage Überlastung Ausfall kritischer Komponenten Merksatz: Verfügbarkeit schützt die Nutzbarkeit von Systemen. CIA-Triade Die drei Schutzziele werden oft zusammengefasst als: Confidentiality Integrity Availability Deutsch: Vertraulichkeit Integrität Verfügbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität Verfügbarkeit. Authentizität Authentizität bedeutet: Die Echtheit einer Person, eines Systems oder einer Nachricht ist überprüfbar. Beispiele: Ist der Benutzer wirklich der richtige Benutzer? Ist der Server wirklich der richtige Server? Stammt die E-Mail wirklich vom angegebenen Absender? Ist das Zertifikat gültig? Merksatz: Authentizität schützt vor falscher Identität. Nichtabstreitbarkeit Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nicht glaubwürdig abgestritten werden. Beispiel: Eine digital signierte Bestellung kann einer Person oder Organisation zugeordnet werden. Mittel: digitale Signatur Protokollierung Zeitstempel eindeutige Benutzerkonten Merksatz: Nichtabstreitbarkeit sorgt für Nachweisbarkeit. Angriffsarten im Überblick Typische Angriffsarten: - Phishing - Social Engineering - Malware - Ransomware - DoS und DDoS - Man-in-the-Middle - Passwortangriffe - Brute Force - Credential Stuffing - Spoofing - Sniffing - SQL Injection - Cross-Site Scripting - Zero-Day-Angriff - Supply-Chain-Angriff - Insider-Bedrohung Merksatz: Angriffe können technisch, organisatorisch oder menschlich ansetzen. Angreiferziele Angreifer verfolgen unterschiedliche Ziele. Beispiele: Daten stehlen Geld erpressen Systeme verschlüsseln Zugangsdaten sammeln Dienste lahmlegen Systeme übernehmen Spionage betreiben Sabotage durchführen Rechenleistung missbrauchen interne Bewegung im Netz erreichen Merksatz: Angriffe haben ein Ziel, auch wenn sie zunächst zufällig wirken. Angriffsfläche Angriffsfläche bedeutet: alle Stellen, an denen ein System angegriffen werden kann. Beispiele: offene Ports Webanwendungen VPN-Zugänge Benutzerkonten E-Mail Cloud-Portale APIs veraltete Software unsichere Freigaben mobile Geräte externe Dienstleister Merksatz: Je größer die Angriffsfläche, desto mehr mögliche Angriffspunkte. Angriffsfläche reduzieren Maßnahmen: unnötige Dienste deaktivieren offene Ports schließen alte Software entfernen Standardkonten deaktivieren Rechte begrenzen MFA aktivieren Netzsegmentierung nutzen Systeme patchen öffentliche Zugriffe prüfen sichere Konfiguration verwenden Merksatz: Nicht benötigte Angriffsfläche entfernen. Schwachstelle Eine Schwachstelle ist eine Sicherheitslücke oder ein Fehler, der ausgenutzt werden kann. Beispiele: veraltete Software unsichere Konfiguration schwaches Passwort fehlende Zugriffskontrolle Programmierfehler offener Adminport öffentlich freigegebener Speicher Merksatz: Schwachstelle = ausnutzbare Sicherheitslücke. Bedrohung Eine Bedrohung ist ein mögliches Ereignis, das Schaden verursachen kann. Beispiele: Angreifer Malware Feuer Diebstahl Stromausfall Fehlbedienung Datenverlust Insider Merksatz: Bedrohung = mögliches schädliches Ereignis. Risiko Risiko beschreibt, wie wahrscheinlich ein Schaden ist und wie groß die Auswirkung wäre. Vereinfacht: Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe Beispiel: Ein öffentlich erreichbarer Server mit alter Software hat ein hohes Risiko. Merksatz: Risiko verbindet Wahrscheinlichkeit und Auswirkung. Schutzmaßnahme Eine Schutzmaßnahme reduziert ein Risiko. Beispiele: Patch einspielen MFA aktivieren Firewall-Regel setzen Backup erstellen Benutzer schulen Rechte begrenzen Verschlüsselung nutzen Monitoring aktivieren Merksatz: Schutzmaßnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung. Technische Schutzmaßnahmen Technische Schutzmaßnahmen sind zum Beispiel: Firewall Antivirus EDR IDS IPS Verschlüsselung MFA Patchmanagement Backup Netzwerksegmentierung Logging Monitoring Zugriffskontrolle sichere Konfiguration Merksatz: Technische Maßnahmen schützen Systeme direkt. Organisatorische Schutzmaßnahmen Organisatorische Schutzmaßnahmen sind zum Beispiel: Sicherheitsrichtlinien Schulungen Berechtigungskonzepte Notfallpläne Change Management Rollenverteilung Freigabeprozesse Offboarding Dokumentation Verantwortlichkeiten Merksatz: Organisation entscheidet, wie Sicherheit dauerhaft umgesetzt wird. Personelle Schutzmaßnahmen Personelle Schutzmaßnahmen betreffen Menschen. Beispiele: Schulung gegen Phishing klare Meldewege Sensibilisierung Vier-Augen-Prinzip sichere Passwortnutzung Umgang mit vertraulichen Daten Verhalten bei Sicherheitsvorfällen Merksatz: Menschen sind Teil der Sicherheit, nicht nur Risiko. Physische Schutzmaßnahmen Physische Schutzmaßnahmen schützen Räume, Geräte und Infrastruktur. Beispiele: Zutrittskontrolle abschließbare Serverräume Videoüberwachung Brandschutz USV Klimatisierung Schutz vor Diebstahl gesicherte Netzwerkschränke Merksatz: IT-Sicherheit beginnt auch bei physischem Schutz. Defense in Depth Defense in Depth bedeutet: mehrere Schutzschichten werden kombiniert. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring Wenn eine Schutzschicht versagt, sollen andere Schichten weiter schützen. Merksatz: Defense in Depth = Sicherheit durch mehrere Schichten. Least Privilege Least Privilege bedeutet: Benutzer, Dienste und Systeme bekommen nur die Rechte, die sie wirklich benötigen. Beispiele: normaler Benutzer kein lokaler Administrator Dienstkonto nur Zugriff auf benötigte Datenbank VPN-Benutzer nur auf notwendige Systeme Cloud-Rolle nur mit benötigten Aktionen Merksatz: Weniger Rechte bedeuten weniger Schaden bei Missbrauch. Need to Know Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe erforderlich sind. Beispiel: Personalabteilung sieht Personalakten. Support sieht technische Tickets. Praktikant sieht keine vertraulichen Finanzdaten. Merksatz: Nicht jeder muss alles wissen. Zero Trust Zero Trust bedeutet: keinem Zugriff automatisch vertrauen. Es wird geprüft: Benutzer Gerät Standort Risiko Anwendung Berechtigung MFA Gerätezustand Merksatz: Zero Trust heißt: immer prüfen, nie pauschal vertrauen. Phishing Phishing ist der Versuch, Benutzer zur Preisgabe vertraulicher Informationen zu verleiten. Ziele: Passwörter MFA-Codes Kreditkartendaten Zugangsdaten interne Informationen Typische Mittel: gefälschte E-Mails gefälschte Webseiten gefälschte Loginseiten angebliche Rechnungen angebliche Paketmeldungen angebliche Sicherheitswarnungen Merksatz: Phishing greift den Menschen über Täuschung an. Spear Phishing Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen. Beispiel: Angreifer schreibt eine E-Mail, die genau zu einer Firma, einem Projekt oder einer Rolle passt. Spear Phishing wirkt oft glaubwürdiger als Massenphishing. Merksatz: Spear Phishing ist gezieltes Phishing. Whaling Whaling ist Phishing gegen besonders wichtige Personen. Beispiele: Geschäftsführung Administratoren Finanzleitung Personalabteilung Projektleitung Merksatz: Whaling richtet sich gegen besonders wertvolle Ziele. Social Engineering Social Engineering nutzt menschliches Verhalten aus. Beispiele: Vertrauen erschleichen Zeitdruck erzeugen Hilfsbereitschaft ausnutzen Autorität vortäuschen Angst erzeugen Neugier ausnutzen Merksatz: Social Engineering manipuliert Menschen statt Technik. Schutz vor Phishing und Social Engineering Maßnahmen: Schulungen klare Meldewege MFA E-Mail-Filter sichere Passwortmanager keine Links blind anklicken Absender prüfen ungewöhnliche Anfragen hinterfragen Vier-Augen-Prinzip bei Zahlungen Sensibilisierung für Druck und Täuschung Merksatz: Technik und Schulung gemeinsam schützen besser. Malware Malware ist Schadsoftware. Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Cryptominer Merksatz: Malware ist Software mit schädlicher Funktion. Virus Ein Virus hängt sich an Dateien oder Programme und verbreitet sich, wenn diese ausgeführt oder weitergegeben werden. Merksatz: Virus braucht meist eine Wirtsdatei oder Benutzeraktion. Wurm Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen. Gefahr: schnelle Ausbreitung hohe Netzlast Infektion vieler Systeme Ausnutzung ungepatchter Systeme Merksatz: Wurm verbreitet sich selbstständig. Trojaner Ein Trojaner tarnt sich als nützliches oder harmloses Programm, enthält aber Schadfunktionen. Beispiele: angebliches Tool manipulierte Installationsdatei Fake-Update gecrackte Software Merksatz: Trojaner täuscht Nützlichkeit vor. Ransomware Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Folgen: Daten nicht verfügbar Betriebsunterbrechung Erpressung Datenabfluss möglich hohe Wiederherstellungskosten Merksatz: Ransomware greift vor allem Verfügbarkeit und oft auch Vertraulichkeit an. Schutz vor Ransomware Maßnahmen: Offline- oder Immutable-Backups regelmäßige Restore-Tests Patchmanagement EDR Makros einschränken Least Privilege Netzwerksegmentierung MFA E-Mail-Schutz keine lokalen Adminrechte Monitoring schnelle Isolation infizierter Systeme Merksatz: Gegen Ransomware sind Backups, Rechtebegrenzung und Segmentierung besonders wichtig. Spyware Spyware spioniert Benutzer oder Systeme aus. Beispiele: Tastatureingaben aufzeichnen Bildschirm erfassen Browserdaten auslesen Zugangsdaten stehlen Benutzerverhalten beobachten Merksatz: Spyware sammelt heimlich Informationen. Keylogger Ein Keylogger zeichnet Tastatureingaben auf. Ziel: Passwörter Zugangsdaten Nachrichten vertrauliche Eingaben Merksatz: Keylogger stehlen Eingaben. Rootkit Ein Rootkit versteckt Schadsoftware oder ermöglicht besonders tiefen Zugriff auf ein System. Ziel: Erkennung verhindern Kontrolle behalten Sicherheitssoftware umgehen System manipulieren Merksatz: Rootkits verstecken und verankern Angriffe tief im System. Botnet Ein Botnet ist ein Netzwerk kompromittierter Systeme, die von Angreifern gesteuert werden. Nutzung: DDoS Spam Credential Stuffing Malware-Verteilung Cryptomining Proxy-Missbrauch Merksatz: Botnet = viele fremdgesteuerte infizierte Systeme. DoS DoS steht für: Denial of Service Ziel: Ein Dienst wird durch Überlastung oder Störung unbenutzbar. Beispiel: Ein Server erhält so viele Anfragen, dass er nicht mehr antwortet. Merksatz: DoS greift die Verfügbarkeit an. DDoS DDoS steht für: Distributed Denial of Service Dabei kommt der Angriff von vielen Systemen gleichzeitig. Oft werden Botnetze genutzt. Merksatz: DDoS ist verteilter DoS-Angriff. Schutz vor DoS und DDoS Maßnahmen: DDoS-Schutzdienst Rate Limiting Load Balancer Content Delivery Network Firewall-Regeln Anycast Skalierung Monitoring Notfallplan Provider-Unterstützung Merksatz: DDoS-Schutz braucht Technik, Skalierung und Vorbereitung. Man-in-the-Middle Man-in-the-Middle wird oft abgekürzt: MitM Dabei sitzt ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Sitzung übernehmen Zertifikatswarnungen ausnutzen Zugangsdaten abfangen Merksatz: MitM greift Kommunikation zwischen zwei Parteien an. Schutz vor Man-in-the-Middle Maßnahmen: TLS korrekt nutzen Zertifikate prüfen keine Zertifikatswarnungen ignorieren VPN in unsicheren Netzen HSTS bei Webdiensten sichere WLANs Zertifikat-Pinning je nach Anwendung starke Authentifizierung Merksatz: TLS schützt nur, wenn Zertifikate korrekt geprüft werden. Sniffing Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Nützlich für Administratoren: Fehlersuche Analyse Protokollprüfung Gefährlich durch Angreifer: Zugangsdaten abfangen unverschlüsselte Daten lesen interne Kommunikation beobachten Merksatz: Sniffing ist Analysewerkzeug, kann aber missbraucht werden. Spoofing Spoofing bedeutet: eine falsche Identität oder Adresse wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing DNS-Spoofing E-Mail-Spoofing ARP-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. ARP-Spoofing ARP-Spoofing manipuliert die Zuordnung von IP-Adresse zu MAC-Adresse im lokalen Netz. Ziel: Verkehr über Angreifer leiten Man-in-the-Middle ermöglichen Kommunikation stören Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. DNS-Spoofing DNS-Spoofing manipuliert Namensauflösung. Beispiel: Benutzer ruft bank.example auf, wird aber auf falsche IP geleitet. Schutz: DNSSEC sichere DNS-Server TLS-Zertifikatsprüfung Monitoring keine unsicheren DNS-Quellen Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. Passwortangriffe Passwortangriffe versuchen, Zugangsdaten zu erraten, zu stehlen oder wiederzuverwenden. Typen: Brute Force Wörterbuchangriff Credential Stuffing Password Spraying Phishing Keylogger Merksatz: Passwortangriffe richten sich gegen Identitäten. Brute Force Brute Force bedeutet: viele mögliche Passwörter werden systematisch ausprobiert. Schutz: starke Passwörter MFA Sperrmechanismen Rate Limiting Monitoring keine Standardkonten Passwortmanager Merksatz: Brute Force wird durch Begrenzung und starke Authentifizierung erschwert. Credential Stuffing Credential Stuffing bedeutet: Angreifer nutzen bekannte Zugangsdaten aus früheren Datenlecks und probieren sie bei anderen Diensten aus. Schutz: keine Passwortwiederverwendung MFA Passwortmanager Leak-Prüfung ungewöhnliche Loginversuche erkennen Merksatz: Credential Stuffing nutzt wiederverwendete Passwörter. Password Spraying Password Spraying bedeutet: Ein Angreifer probiert wenige häufige Passwörter bei vielen Konten aus. Beispiel: Sommer2026! bei vielen Benutzern Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche auftreten. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Konten. Schutz vor Passwortangriffen Maßnahmen: MFA starke Passwortrichtlinien Passwortmanager keine Wiederverwendung Rate Limiting Account Lockout mit Bedacht Monitoring Risikoanalyse bei Logins Schulung Standardkonten deaktivieren Merksatz: MFA ist eine der wichtigsten Maßnahmen gegen Passwortmissbrauch. SQL Injection SQL Injection ist ein Angriff auf Datenbankabfragen. Dabei schleust ein Angreifer SQL-Code in Eingaben ein. Mögliche Folgen: Daten auslesen Daten verändern Login umgehen Daten löschen Anwendung manipulieren Merksatz: SQL Injection nutzt unsichere Eingaben in Datenbankabfragen aus. Schutz vor SQL Injection Maßnahmen: Prepared Statements parametrisierte Abfragen Eingabevalidierung Rechte der Datenbankbenutzer begrenzen Fehlerausgaben vermeiden Web Application Firewall sichere Programmierung Code Reviews Merksatz: Parametrisierte Abfragen sind zentral gegen SQL Injection. Cross-Site Scripting Cross-Site Scripting wird abgekürzt: XSS Dabei wird schädlicher Code in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Mögliche Folgen: Sessiondiebstahl Manipulation von Webseiten Phishing im Browser Aktionen im Namen des Benutzers Merksatz: XSS greift Benutzer über den Browser an. Schutz vor XSS Maßnahmen: Eingaben validieren Ausgaben korrekt escapen Content Security Policy HttpOnly Cookies sichere Frameworks nutzen keine ungeprüften HTML-Ausgaben Code Reviews Merksatz: Gegen XSS müssen Ausgaben korrekt behandelt werden. Zero-Day-Angriff Ein Zero-Day-Angriff nutzt eine Schwachstelle, für die noch kein Patch verfügbar ist oder die dem Hersteller noch nicht bekannt ist. Schutz ist schwierig, aber möglich durch: Defense in Depth EDR Segmentierung Least Privilege Monitoring WAF Härtung schnelle Reaktion Merksatz: Zero-Day bedeutet: Schwachstelle wird ausgenutzt, bevor ein regulärer Patch verfügbar ist. Supply-Chain-Angriff Ein Supply-Chain-Angriff richtet sich gegen Lieferkette oder Abhängigkeiten. Beispiele: manipuliertes Softwareupdate kompromittierte Bibliothek infizierter Installer unsicherer Dienstleisterzugang kompromittiertes Repository Merksatz: Supply-Chain-Angriff trifft Systeme über vertrauenswürdige Lieferwege. Schutz vor Supply-Chain-Angriffen Maßnahmen: Softwarequellen prüfen Signaturen prüfen Abhängigkeiten überwachen Updates aus vertrauenswürdigen Quellen Dienstleisterzugriffe begrenzen Code Reviews SBOM Paketquellen absichern CI/CD schützen Merksatz: Lieferkette ist Teil der IT-Sicherheit. Insider-Bedrohung Insider sind Personen mit internem Zugriff, die absichtlich oder unabsichtlich Schaden verursachen. Beispiele: unzufriedener Mitarbeiter Fehler durch Administrator fahrlässiger Umgang mit Daten kompromittiertes internes Konto externer Dienstleister mit zu vielen Rechten Merksatz: Nicht jede Bedrohung kommt von außen. Schutz vor Insider-Risiken Maßnahmen: Least Privilege Vier-Augen-Prinzip Logging Rechteprüfung Offboarding Aufgabentrennung Sensibilisierung klare Prozesse Monitoring keine Sammelkonten Merksatz: Nachvollziehbarkeit und Rechtebegrenzung senken Insider-Risiken. Patchmanagement Patchmanagement bedeutet: Sicherheitsupdates werden geplant, getestet, verteilt und kontrolliert. Wichtig für: Betriebssysteme Anwendungen Firmware Netzwerkgeräte Firewalls Cloud-Systeme Container-Images Abhängigkeiten Merksatz: Ungepatchte Systeme sind häufige Angriffsziele. Hardening Hardening bedeutet: Systeme werden sicher konfiguriert, indem unnötige Funktionen deaktiviert und sichere Einstellungen gesetzt werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern alte Protokolle abschalten sichere TLS-Versionen nutzen Adminzugriffe begrenzen Logging aktivieren Rechte minimieren Merksatz: Hardening reduziert Angriffsfläche. Firewall Eine Firewall filtert Netzwerkverkehr nach Regeln. Sie kann prüfen: Quelle Ziel Port Protokoll Richtung Zustand Anwendung je nach Firewalltyp Merksatz: Firewall begrenzt Netzwerkzugriffe. IDS und IPS IDS steht für: Intrusion Detection System Ein IDS erkennt verdächtige Aktivitäten und meldet sie. IPS steht für: Intrusion Prevention System Ein IPS kann verdächtige Aktivitäten zusätzlich blockieren. Merksatz: IDS erkennt. IPS blockiert zusätzlich. Antivirus und EDR Antivirus erkennt bekannte Schadsoftware. EDR steht für: Endpoint Detection and Response EDR überwacht Endgeräte tiefer und hilft bei Erkennung, Analyse und Reaktion auf Angriffe. Merksatz: Antivirus erkennt Schadsoftware. EDR unterstützt Erkennung und Reaktion auf Endgeräten. Backup als Schutzmaßnahme Backup schützt nicht vor jedem Angriff, aber es ermöglicht Wiederherstellung. Wichtig: regelmäßige Backups getrennte Speicherung Immutable Backup Restore-Tests Verschlüsselung Zugriffsschutz Dokumentation Merksatz: Backup ist eine Schutzmaßnahme gegen Datenverlust und Ransomware-Folgen. Monitoring und Logging als Schutzmaßnahme Monitoring und Logging helfen, Angriffe zu erkennen und aufzuklären. Wichtige Logs: Anmeldungen Adminaktionen Firewall-Entscheidungen VPN-Zugriffe EDR-Meldungen DNS-Anfragen Webserver-Logs Cloud-Audit-Logs Merksatz: Was nicht protokolliert wird, ist später schwer nachvollziehbar. Incident Response Incident Response bedeutet: strukturierte Reaktion auf Sicherheitsvorfälle. Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Sicherheitsvorfälle brauchen vorbereitete Abläufe. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was sind die Schutzziele der Informationssicherheit? - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist Phishing? - Was ist Social Engineering? - Was ist Malware? - Was ist Ransomware? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist Brute Force? - Was ist Credential Stuffing? - Was ist SQL Injection? - Was ist Cross-Site Scripting? - Was ist ein Zero-Day-Angriff? - Was ist ein Supply-Chain-Angriff? - Was bedeutet Least Privilege? - Was ist Defense in Depth? - Was ist der Unterschied zwischen IDS und IPS? - Warum sind Backups wichtig gegen Ransomware? - Warum ist Patchmanagement wichtig? Typische Prüfungsfallen Vertraulichkeit, Integrität und Verfügbarkeit sauber unterscheiden. Ransomware betrifft Verfügbarkeit und oft auch Vertraulichkeit. Phishing ist Täuschung, nicht nur eine technische Lücke. Social Engineering greift Menschen an. DoS kommt von einer Quelle oder allgemein einem Angriffspunkt. DDoS ist verteilt. IDS erkennt, IPS kann blockieren. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Replikation ersetzt kein Backup. MFA schützt nicht vor allen Angriffen, senkt aber Passwortmissbrauch stark. Firewall ersetzt kein Patchmanagement. Verschlüsselung ersetzt keine Zugriffskontrolle. Antivirus ersetzt kein Sicherheitskonzept. Zero-Day ist nicht durch normales Patchen allein lösbar. Supply Chain betrifft Lieferwege und Abhängigkeiten. Least Privilege reduziert Schaden. Defense in Depth kombiniert mehrere Maßnahmen. Logs müssen vor dem Vorfall aktiv sein. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Vertraulichkeit Schutz vor unberechtigtem Lesen Integrität Schutz vor unbemerkter Veränderung Verfügbarkeit Nutzbarkeit von Systemen und Daten Authentizität Echtheit einer Identität oder Nachricht Nichtabstreitbarkeit Handlung kann nachgewiesen werden Angriffsfläche Summe möglicher Angriffspunkte Schwachstelle ausnutzbare Sicherheitslücke Bedrohung mögliches schädliches Ereignis Risiko Wahrscheinlichkeit mal Auswirkung Schutzmaßnahme reduziert Risiko Defense in Depth mehrere Schutzschichten Least Privilege minimale notwendige Rechte Need to Know Zugriff nur bei Bedarf Zero Trust kein automatisches Vertrauen Phishing Täuschung zur Datenpreisgabe Spear Phishing gezieltes Phishing Whaling Phishing gegen wichtige Personen Social Engineering Manipulation von Menschen Malware Schadsoftware Virus Schadsoftware mit Wirtsdatei Wurm selbstverbreitende Schadsoftware Trojaner getarnte Schadsoftware Ransomware erpresserische Verschlüsselung oder Sperrung Spyware Spionagesoftware Keylogger zeichnet Tastatureingaben auf Rootkit versteckt und verankert Schadsoftware Botnet Netzwerk fremdgesteuerter Systeme DoS Dienstverweigerung DDoS verteilter DoS MitM Man-in-the-Middle Sniffing Mitschneiden von Verkehr Spoofing Vortäuschen falscher Identität ARP-Spoofing Manipulation lokaler IP-MAC-Zuordnung DNS-Spoofing Manipulation von Namensauflösung Brute Force systematisches Ausprobieren Credential Stuffing Nutzung geleakter Zugangsdaten Password Spraying wenige Passwörter gegen viele Konten SQL Injection Einschleusen von SQL-Code XSS Cross-Site Scripting Zero-Day ungepatchte oder unbekannte Schwachstelle Supply Chain Lieferkette und Abhängigkeiten Insider interne Bedrohung Patchmanagement Verwaltung von Sicherheitsupdates Hardening sichere Systemkonfiguration IDS Angriffserkennung IPS Angriffserkennung mit Blockierung EDR Endgeräteerkennung und Reaktion Incident Response Reaktion auf Sicherheitsvorfälle IHK-sichere Kurzformulierung Angriffe auf IT-Systeme können die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Typische Angriffe sind Phishing, Social Engineering, Malware, Ransomware, DoS, DDoS, Man-in-the-Middle, Spoofing, Passwortangriffe, SQL Injection, Cross-Site Scripting, Zero-Day- und Supply-Chain-Angriffe. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, MFA, Least Privilege, Netzwerksegmentierung, Backups, Monitoring, Logging, IDS/IPS, EDR, Schulungen und Incident Response. Ein gutes Sicherheitskonzept kombiniert mehrere Maßnahmen nach dem Prinzip Defense in Depth. Merksätze Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. CIA-Triade = Vertraulichkeit, Integrität, Verfügbarkeit. Authentizität prüft Echtheit. Nichtabstreitbarkeit schafft Nachweisbarkeit. Angriffsfläche reduzieren. Schwachstelle ist ausnutzbare Lücke. Bedrohung ist mögliches Schadereignis. Risiko = Wahrscheinlichkeit und Auswirkung. Schutzmaßnahmen senken Risiko. Defense in Depth kombiniert Schutzschichten. Least Privilege reduziert Schaden. Need to Know begrenzt Datenzugriff. Zero Trust vertraut nicht pauschal. Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Malware ist Schadsoftware. Wurm verbreitet sich selbstständig. Trojaner tarnt sich. Ransomware verschlüsselt oder sperrt. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. MitM sitzt zwischen Kommunikationspartnern. Sniffing kann Analyse oder Angriff sein. Spoofing täuscht Identität vor. Brute Force probiert systematisch. Credential Stuffing nutzt geleakte Zugangsdaten. SQL Injection greift Datenbankabfragen an. XSS greift Browserbenutzer an. Zero-Day ist schwer planbar. Supply Chain betrifft Lieferwege. Insider können intern Schaden verursachen. Patchmanagement schließt bekannte Lücken. Hardening reduziert Angriffsfläche. IDS erkennt. IPS blockiert zusätzlich. Backup hilft bei Wiederherstellung. Logs vor dem Vorfall aktivieren. Incident Response vorbereiten. 16.2 Malware, Ransomware und Schadsoftware im Detail Malware ist ein Sammelbegriff für Schadsoftware. Malware kann Systeme beschädigen, Daten ausspähen, Zugänge stehlen, Dateien verschlüsseln, Systeme fernsteuern oder Dienste stören. Typische Malware-Arten: - Virus - Wurm - Trojaner - Ransomware - Spyware - Keylogger - Rootkit - Botnet-Client - Cryptominer - Adware - Backdoor Merksatz: Malware ist Software mit schädlicher oder unerwünschter Funktion. Warum Malware gefährlich ist Malware kann verschiedene Schutzziele verletzen. Vertraulichkeit: Daten werden ausgespäht. Passwörter werden gestohlen. interne Informationen fließen ab. Integrität: Dateien werden verändert. Systeme werden manipuliert. Logs werden gelöscht. Verfügbarkeit: Systeme werden verschlüsselt. Dienste fallen aus. Dateien sind nicht mehr nutzbar. Merksatz: Malware kann Vertraulichkeit, Integrität und Verfügbarkeit gleichzeitig angreifen. Typische Infektionswege Malware gelangt häufig auf Systeme durch: E-Mail-Anhänge Phishing-Links manipulierte Webseiten unsichere Downloads gecrackte Software infizierte USB-Sticks ungepatchte Schwachstellen kompromittierte Updates unsichere Makros Remote-Zugänge gestohlene Zugangsdaten Supply-Chain-Angriffe Merksatz: Malware kommt oft über Menschen, Schwachstellen oder unsichere Softwarequellen ins System. Virus Ein Virus ist Schadsoftware, die sich an Dateien oder Programme anhängt. Er wird meist aktiv, wenn die infizierte Datei ausgeführt wird. Typische Merkmale: braucht oft eine Wirtsdatei verbreitet sich durch Weitergabe infizierter Dateien kann Dateien verändern oder beschädigen kann weitere Schadfunktionen nachladen Merksatz: Ein Virus hängt sich an Dateien oder Programme. Wurm Ein Wurm ist Schadsoftware, die sich selbstständig verbreiten kann. Er nutzt häufig: Netzwerkschwachstellen unsichere Dienste offene Ports ungepatchte Systeme schwache Zugangsdaten Gefahr: sehr schnelle Ausbreitung im Netzwerk Merksatz: Ein Wurm verbreitet sich selbstständig über Systeme oder Netzwerke. Virus und Wurm vergleichen Merkmal Virus Wurm Verbreitung meist über infizierte Datei selbstständig über Netzwerk braucht Wirtsdatei häufig ja nicht zwingend Tempo oft langsamer oft schnell typisches Risiko Dateiinfektion Massenausbreitung Merksatz: Virus braucht oft Hilfe. Wurm verbreitet sich selbst. Trojaner Ein Trojaner tarnt sich als nützliches oder harmloses Programm. Beispiele: angeblicher Installer gefälschtes Update gecrackte Software scheinbares Tool manipuliertes Dokument vermeintlicher Codec Mögliche Schadfunktionen: Zugangsdaten stehlen Backdoor öffnen weitere Malware nachladen System fernsteuerbar machen Daten ausspähen Merksatz: Ein Trojaner täuscht Nützlichkeit vor, enthält aber Schadfunktionen. Backdoor Eine Backdoor ist ein versteckter Zugang zu einem System. Angreifer nutzen Backdoors, um später erneut Zugriff zu bekommen. Beispiele: versteckter Benutzer geöffneter Port manipulierte Systemdatei geheimer Fernzugriff Schadsoftware mit Steuerkanal Merksatz: Backdoor = versteckter Hintereingang. Ransomware Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und anschließend Lösegeld fordert. Typische Folgen: Dateien nicht mehr nutzbar Server nicht verfügbar Produktionsausfall Datenabfluss Erpressung hohe Wiederherstellungskosten Vertrauensverlust Merksatz: Ransomware greift besonders die Verfügbarkeit an und oft zusätzlich die Vertraulichkeit. Ransomware-Ablauf vereinfacht Ein typischer Ablauf: 1. Erstzugriff über Phishing, Schwachstelle oder Zugangsdaten. 2. Angreifer verschafft sich weitere Rechte. 3. Angreifer bewegt sich im Netzwerk. 4. Backups werden gesucht oder gelöscht. 5. Daten werden kopiert. 6. Systeme und Dateien werden verschlüsselt. 7. Lösegeldforderung erscheint. Merksatz: Ransomware ist oft kein einzelner Moment, sondern eine Angriffskette. Double Extortion Double Extortion bedeutet: Angreifer verschlüsseln Daten und drohen zusätzlich mit Veröffentlichung gestohlener Daten. Dadurch wird nicht nur Verfügbarkeit, sondern auch Vertraulichkeit angegriffen. Merksatz: Double Extortion kombiniert Verschlüsselung und Datenabfluss. Schutz vor Ransomware Wichtige Schutzmaßnahmen: regelmäßige Backups Immutable Backups Offline-Backups Restore-Tests Patchmanagement EDR MFA Least Privilege Netzwerksegmentierung Makros einschränken keine lokalen Adminrechte E-Mail-Schutz Monitoring schnelle Isolation infizierter Systeme Merksatz: Gegen Ransomware helfen vor allem Backups, Rechtebegrenzung, Segmentierung und schnelle Reaktion. Warum Backups gegen Ransomware wichtig sind Wenn Daten verschlüsselt wurden, ist Wiederherstellung oft der wichtigste Weg zurück. Aber Backups helfen nur, wenn sie: vorhanden sind aktuell genug sind nicht mitverschlüsselt wurden nicht gelöscht wurden wiederherstellbar sind regelmäßig getestet wurden getrennt geschützt sind Merksatz: Backup ist nur dann Schutz, wenn Restore funktioniert. Immutable Backup bei Ransomware Immutable Backup bedeutet: Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Vorteile: Schutz vor Angreifern mit Adminzugang Schutz vor versehentlicher Löschung Schutz vor Ransomware bessere Wiederherstellungschance Merksatz: Immutable Backups erschweren das Löschen oder Manipulieren von Sicherungen. Spyware Spyware ist Schadsoftware, die Informationen heimlich sammelt. Mögliche Ziele: Passwörter Browserdaten E-Mails Tastatureingaben Bildschirmaufnahmen Dateien Nutzungsverhalten Zugangstokens Merksatz: Spyware spioniert Daten und Verhalten aus. Keylogger Ein Keylogger zeichnet Tastatureingaben auf. Ziele: Passwörter Zugangsdaten Kreditkartendaten Nachrichten interne Informationen Keylogger können sein: Software Hardware Bestandteil anderer Malware Merksatz: Keylogger stehlen Eingaben direkt an der Tastatur. Rootkit Ein Rootkit versteckt Schadsoftware oder Angreiferaktivitäten tief im System. Ziele: Erkennung verhindern Kontrolle behalten Prozesse verstecken Dateien verstecken Logs manipulieren Sicherheitssoftware umgehen Rootkits sind besonders kritisch, weil sie schwer zu erkennen und zu entfernen sein können. Merksatz: Rootkits verstecken Angriffe tief im System. Botnet-Client Ein Botnet-Client ist ein infiziertes System, das von Angreifern ferngesteuert wird. Viele solcher Systeme bilden ein Botnet. Nutzung: DDoS-Angriffe Spamversand Credential Stuffing Malware-Verteilung Cryptomining Proxy-Missbrauch Merksatz: Botnet = viele fremdgesteuerte infizierte Systeme. Cryptominer Ein Cryptominer missbraucht Rechenleistung, um Kryptowährung zu berechnen. Folgen: hohe CPU- oder GPU-Last hohe Stromkosten langsame Systeme Überhitzung Cloud-Kostenanstieg verringerte Systemleistung Merksatz: Cryptominer stiehlt Rechenleistung. Adware Adware zeigt unerwünschte Werbung an oder verändert Browser- und Systemeinstellungen. Mögliche Folgen: störende Werbung Browserumleitungen Tracking Installation weiterer unerwünschter Software reduzierte Benutzerfreundlichkeit Merksatz: Adware ist oft weniger zerstörerisch, aber trotzdem unerwünscht und riskant. Malware-Erkennung Malware kann erkannt werden durch: Antivirus EDR ungewöhnliche Prozesse ungewöhnliche Netzwerkverbindungen hohe CPU-Last geänderte Dateien verdächtige Autostarts Warnungen im SIEM auffällige DNS-Anfragen ungewöhnliche Loginversuche bekannte Signaturen Verhaltensanalyse Merksatz: Malware-Erkennung kombiniert Signaturen, Verhalten und Monitoring. Signaturbasierte Erkennung Signaturbasierte Erkennung nutzt bekannte Muster. Beispiel: bekannte Schadsoftware-Datei bekannte Hashwerte bekannte Codebestandteile bekannte Angriffsmuster Vorteil: gut gegen bekannte Malware Nachteil: schwächer gegen neue oder veränderte Malware Merksatz: Signaturen erkennen Bekanntes. Verhaltensbasierte Erkennung Verhaltensbasierte Erkennung achtet auf verdächtiges Verhalten. Beispiele: viele Dateien werden schnell verändert Prozess startet ungewöhnliche Befehle Programm öffnet unbekannte Netzwerkverbindung Benutzerkonto greift plötzlich auf viele Systeme zu Skript lädt ausführbare Datei nach Vorteil: kann auch neue oder veränderte Angriffe erkennen Merksatz: Verhaltenserkennung erkennt Auffälligkeiten, auch wenn die Datei noch unbekannt ist. Antivirus Antivirus-Software erkennt und blockiert bekannte Schadsoftware. Typische Funktionen: Dateiprüfung Echtzeitschutz Signaturprüfung Quarantäne Scans Erkennung bekannter Malware Grenze: Antivirus allein reicht nicht als Sicherheitskonzept. Merksatz: Antivirus ist wichtig, aber nur eine Schutzschicht. EDR EDR steht für: Endpoint Detection and Response EDR überwacht Endgeräte stärker als klassischer Antivirus. Typische Funktionen: Prozessüberwachung Verhaltensanalyse Angriffserkennung Isolation eines Endgeräts Untersuchung von Vorfällen zentrale Auswertung Reaktionsmaßnahmen Merksatz: EDR hilft, Angriffe auf Endgeräten zu erkennen und darauf zu reagieren. Quarantäne Quarantäne bedeutet: Eine verdächtige oder schädliche Datei wird isoliert. Ziel: Datei kann nicht weiter ausgeführt werden. Schaden wird begrenzt. Datei kann später untersucht werden. Merksatz: Quarantäne isoliert verdächtige Dateien. Isolation eines Endgeräts Wenn ein Gerät infiziert ist, sollte es schnell isoliert werden. Isolation bedeutet: vom Netzwerk trennen WLAN deaktivieren Netzwerkkabel ziehen EDR-Isolation nutzen VPN trennen Zugriff auf Server sperren Wichtig: Nicht unüberlegt ausschalten, wenn forensische Analyse benötigt wird. Merksatz: Infizierte Systeme schnell vom Netz trennen, aber Vorgehen dokumentieren. Malware und Rechte Malware hat oft nur die Rechte des Benutzers, unter dem sie ausgeführt wird. Wenn Benutzer lokale Adminrechte haben, kann Malware mehr Schaden anrichten. Schutz: keine lokalen Adminrechte für Alltag Least Privilege getrennte Admin-Konten Applikationskontrolle Rechteprüfung Merksatz: Weniger Benutzerrechte bedeuten weniger Malware-Schaden. Malware und Netzwerksegmentierung Wenn ein System infiziert ist, darf sich Malware nicht frei im Netzwerk bewegen können. Segmentierung hilft durch Trennung von: Clientnetz Servernetz Managementnetz Backupnetz Produktionsnetz Gastnetz IoT-Netz Merksatz: Segmentierung begrenzt Ausbreitung. Laterale Bewegung Laterale Bewegung bedeutet: Angreifer oder Malware bewegen sich nach dem ersten Zugriff weiter im Netzwerk. Beispiele: Zugriff von Client auf Dateiserver Zugriff auf weitere Clients Auslesen von Zugangsdaten Angriff auf Domain Controller Zugriff auf Backups Angriff auf Managementsysteme Merksatz: Laterale Bewegung ist Ausbreitung nach dem Erstzugriff. Schutz vor lateraler Bewegung Maßnahmen: Netzwerksegmentierung Firewall zwischen Netzbereichen Least Privilege keine lokalen Adminrechte getrennte Admin-Konten MFA EDR Monitoring sichere Passworthygiene Zugriff auf Adminfreigaben begrenzen Merksatz: Nach dem ersten kompromittierten System darf nicht das ganze Netz offen sein. Makros als Risiko Office-Makros können nützlich sein, werden aber oft für Malware missbraucht. Risiken: Makro lädt Schadsoftware nach Makro führt Befehle aus Makro startet Skripte Benutzer aktiviert Inhalt aus Täuschung Schutz: Makros aus dem Internet blockieren nur signierte Makros erlauben Benutzer schulen E-Mail-Anhänge prüfen Office-Härtung nutzen Merksatz: Makros nur erlauben, wenn sie wirklich benötigt und vertrauenswürdig sind. Skripte als Risiko Skripte können für Administration nützlich sein, aber auch von Angreifern missbraucht werden. Beispiele: PowerShell Bash JavaScript VBScript Python Batch-Dateien Risiken: Malware nachladen Dateien verschlüsseln Systeme ausspähen Befehle automatisieren Sicherheitssoftware umgehen Merksatz: Skripte sind mächtig und brauchen Kontrolle. Application Control Application Control bedeutet: Es wird gesteuert, welche Programme ausgeführt werden dürfen. Beispiele: nur freigegebene Anwendungen keine Ausführung aus Download-Ordner keine unbekannten Skripte keine unsignierten Programme Blockierung bekannter Risikopfade Merksatz: Application Control verhindert, dass beliebige Programme starten. Allowlisting Allowlisting bedeutet: Nur ausdrücklich erlaubte Programme oder Aktionen sind zugelassen. Vorteil: sehr restriktiv reduziert unbekannte Schadsoftware Nachteil: höherer Verwaltungsaufwand kann Benutzer einschränken muss gut gepflegt werden Merksatz: Allowlisting erlaubt nur Bekanntes und Freigegebenes. Blocklisting Blocklisting bedeutet: Bekannte schädliche Programme oder Aktionen werden verboten. Vorteil: einfacher einzuführen Nachteil: neue oder unbekannte Malware kann durchkommen Merksatz: Blocklisting verbietet Bekanntes, erlaubt aber Unbekanntes oft weiterhin. Patchmanagement gegen Malware Viele Malware-Angriffe nutzen bekannte Sicherheitslücken. Patchmanagement schützt, indem Updates geplant und eingespielt werden. Betroffen sind: Betriebssysteme Browser Office-Programme Serverdienste VPN-Gateways Firewalls Anwendungen Firmware Container-Images Merksatz: Ungepatchte Systeme sind leichte Ziele. E-Mail-Schutz gegen Malware Viele Malware-Angriffe beginnen per E-Mail. Schutzmaßnahmen: Spamfilter Malware-Scanner Linkprüfung Anhangprüfung Blockierung gefährlicher Dateitypen Makroregeln Absenderprüfung SPF, DKIM und DMARC Benutzerschulung Merksatz: E-Mail-Schutz ist eine wichtige erste Verteidigungslinie. Download-Schutz Downloads können Malware enthalten. Schutzmaßnahmen: nur vertrauenswürdige Quellen Signaturen prüfen Hashwerte prüfen keine gecrackte Software Browser-Schutz EDR Rechtebegrenzung Softwareverteilung zentral steuern Merksatz: Software nur aus vertrauenswürdigen Quellen installieren. USB-Geräte als Risiko USB-Geräte können Malware verbreiten oder Daten stehlen. Risiken: infizierter USB-Stick manipuliertes Eingabegerät Datenabfluss automatische Ausführung unbekannte Geräte Schutz: USB-Richtlinien Gerätekontrolle AutoRun deaktivieren Schulung nur freigegebene Geräte Verschlüsselung DLP je nach Umgebung Merksatz: Unbekannte USB-Geräte nicht vertrauen. DLP DLP steht für: Data Loss Prevention DLP soll verhindern, dass sensible Daten unkontrolliert abfließen. Beispiele: Blockieren von Uploads Warnung bei sensiblen Daten in E-Mail Schutz vor Kopieren auf USB Kontrolle von Cloud-Freigaben Erkennung von Kreditkartennummern oder Personaldaten Merksatz: DLP schützt vor unerwünschtem Datenabfluss. Malware und Cloud Auch Cloud-Umgebungen können von Malware betroffen sein. Beispiele: infizierte VM kompromittierter Container Malware in Storage gestohlene API-Schlüssel Cryptomining in Cloud-Instanzen Ransomware in synchronisiertem Cloud-Speicher Schutz: IAM MFA EDR für Cloud-VMs sichere Images Container-Scanning Security Groups Logging Kostenalarme Merksatz: Cloud schützt nicht automatisch vor Malware. Malware und Container Container können Schadsoftware enthalten, wenn Images unsicher sind. Risiken: manipuliertes Image veraltete Bibliothek unsichere Registry eingebettete Secrets Container läuft mit zu vielen Rechten unsichere Runtime-Konfiguration Schutz: Images scannen nur vertrauenswürdige Registries minimale Images keine Secrets im Image keine unnötigen Rechte regelmäßige Updates Merksatz: Container-Images müssen wie Software geprüft werden. Malware und Backups Backups können ebenfalls Malware enthalten. Problem: Wenn ein Backup bereits infizierte Dateien enthält, kann Malware nach Restore wieder aktiv werden. Wichtig: Backup-Zeitpunkt wählen Infektionszeitpunkt bestimmen Restore testen Systeme vor Wiederanbindung prüfen Backups nicht ungeprüft zurückspielen Merksatz: Restore nach Malware braucht sorgfältige Prüfung. Erste Maßnahmen bei Malware-Verdacht Sinnvolle Schritte: 1. Ruhe bewahren. 2. System vom Netzwerk isolieren. 3. Zeitpunkt und Symptome dokumentieren. 4. IT-Sicherheit oder Verantwortliche informieren. 5. Keine Beweise unnötig löschen. 6. Logs sichern. 7. Betroffene Konten prüfen. 8. Ausbreitung prüfen. 9. Ursache analysieren. 10. Bereinigung oder Neuaufbau planen. 11. Wiederherstellung testen. 12. Maßnahmen verbessern. Merksatz: Bei Malware zählt schnelle Eindämmung und saubere Dokumentation. Neuinstallation statt Bereinigung Bei schwerer Kompromittierung ist Neuinstallation oft sicherer als reine Bereinigung. Gründe: Rootkits schwer erkennbar Backdoors möglich Systemdateien manipuliert Rechte verändert Logs gelöscht Vertrauen ins System verloren Merksatz: Ein kompromittiertes System ist oft nicht mehr vollständig vertrauenswürdig. Typische Malware-Symptome Mögliche Anzeichen: System wird sehr langsam unbekannte Prozesse hohe CPU-Last viele Netzwerkverbindungen Dateien verschwinden Dateien werden verschlüsselt Antivirus meldet Fund ungewöhnliche Popups Browser leitet um Benutzerkonto verhält sich auffällig neue Autostart-Einträge unerklärliche Cloud-Kosten Merksatz: Malware zeigt sich oft durch ungewöhnliches Verhalten. Typische Schutzmaßnahmen gegen Malware Wichtige Maßnahmen: Patchmanagement Antivirus EDR E-Mail-Schutz MFA Least Privilege keine lokalen Adminrechte Makro-Schutz Application Control Netzwerksegmentierung regelmäßige Backups Immutable Backups Restore-Tests Monitoring Logging Benutzerschulung Incident Response Merksatz: Malware-Schutz braucht mehrere Schutzschichten. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Malware? - Was ist der Unterschied zwischen Virus und Wurm? - Was ist ein Trojaner? - Was ist Ransomware? - Warum ist Ransomware besonders gefährlich? - Was bedeutet Double Extortion? - Wie schützt man sich vor Ransomware? - Warum sind Backups gegen Ransomware wichtig? - Was ist Spyware? - Was ist ein Keylogger? - Was ist ein Rootkit? - Was ist ein Botnet? - Was ist ein Cryptominer? - Was ist der Unterschied zwischen Antivirus und EDR? - Was bedeutet Quarantäne? - Warum ist Netzwerksegmentierung gegen Malware wichtig? - Was ist laterale Bewegung? - Warum sind Makros ein Risiko? - Was ist Application Control? - Was ist DLP? - Warum reicht Antivirus allein nicht aus? Typische Prüfungsfallen Malware ist ein Oberbegriff. Virus und Wurm nicht verwechseln. Wurm verbreitet sich selbstständig. Trojaner tarnt sich als nützlich. Ransomware betrifft Verfügbarkeit und oft Vertraulichkeit. Double Extortion bedeutet Verschlüsselung plus Datenabfluss. Backup verhindert Ransomware nicht, ermöglicht aber Wiederherstellung. Replikation ersetzt kein Backup. Backup muss vor Manipulation geschützt sein. Antivirus allein reicht nicht. EDR erkennt und reagiert umfassender. Quarantäne bedeutet Isolation einer Datei. Infiziertes Gerät schnell isolieren. Lokale Adminrechte erhöhen Schaden. Segmentierung begrenzt Ausbreitung. Laterale Bewegung ist Bewegung im Netzwerk nach Erstzugriff. Makros und Skripte sind häufige Angriffsmittel. Allowlisting ist strenger als Blocklisting. Cloud ist nicht automatisch frei von Malware. Container-Images müssen geprüft werden. Restore nach Malware braucht Vorsicht. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Malware Schadsoftware Virus Schadsoftware mit Wirtsdatei Wurm selbstverbreitende Schadsoftware Trojaner getarnte Schadsoftware Backdoor versteckter Zugang Ransomware erpresserische Verschlüsselung oder Sperrung Double Extortion Verschlüsselung plus Datenabfluss Spyware Spionagesoftware Keylogger zeichnet Tastatureingaben auf Rootkit versteckt und verankert Schadsoftware Botnet Netzwerk fremdgesteuerter Systeme Botnet-Client infiziertes ferngesteuertes System Cryptominer missbraucht Rechenleistung Adware unerwünschte Werbesoftware Antivirus Schutz gegen bekannte Schadsoftware EDR Endpoint Detection and Response Quarantäne Isolation verdächtiger Dateien Isolation Trennung eines Systems vom Netzwerk laterale Bewegung Ausbreitung im Netzwerk Makro automatisierte Funktion in Dokumenten Application Control Steuerung erlaubter Programme Allowlisting nur Erlaubtes zulassen Blocklisting Bekanntes verbieten DLP Data Loss Prevention Restore Wiederherstellung Immutable Backup unveränderliches Backup Incident Response Reaktion auf Sicherheitsvorfall IHK-sichere Kurzformulierung Malware ist ein Oberbegriff für Schadsoftware wie Viren, Würmer, Trojaner, Ransomware, Spyware, Keylogger, Rootkits, Botnet-Clients und Cryptominer. Ein Virus hängt sich häufig an Dateien oder Programme an, während sich ein Wurm selbstständig über Netzwerke verbreiten kann. Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Schutzmaßnahmen gegen Malware sind Patchmanagement, Antivirus, EDR, MFA, Least Privilege, Netzwerksegmentierung, Makroschutz, Application Control, E-Mail-Schutz, Backups, Immutable Backups, Restore-Tests, Logging, Monitoring und Benutzerschulung. Merksätze Malware ist Schadsoftware. Virus hängt sich an Dateien. Wurm verbreitet sich selbstständig. Trojaner täuscht Nützlichkeit vor. Backdoor ist versteckter Zugang. Ransomware verschlüsselt oder sperrt. Double Extortion = Verschlüsselung plus Datenabfluss. Spyware spioniert. Keylogger stehlen Tastatureingaben. Rootkits verstecken Angriffe. Botnet besteht aus fremdgesteuerten Systemen. Cryptominer stiehlt Rechenleistung. Malware kann alle Schutzziele verletzen. Infektionswege sind oft E-Mail, Download, Schwachstelle oder Zugangsdaten. Antivirus erkennt vor allem bekannte Malware. EDR erkennt und reagiert tiefer. Signaturen erkennen Bekanntes. Verhaltenserkennung erkennt Auffälligkeiten. Quarantäne isoliert verdächtige Dateien. Infizierte Systeme schnell isolieren. Weniger Rechte bedeuten weniger Schaden. Segmentierung begrenzt Ausbreitung. Laterale Bewegung verhindern. Makros aus unsicheren Quellen blockieren. Skripte kontrollieren. Allowlisting ist strenger als Blocklisting. Patchmanagement schließt bekannte Lücken. E-Mail-Schutz ist wichtig. USB-Geräte nicht blind vertrauen. DLP schützt vor Datenabfluss. Cloud braucht ebenfalls Malware-Schutz. Container-Images prüfen. Backups können infizierte Daten enthalten. Restore nach Malware sorgfältig planen. Neuaufbau kann sicherer sein als Bereinigung. Malware-Schutz braucht mehrere Schichten. 16.3 Phishing, Social Engineering und Identitätsangriffe Viele Angriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit Täuschung. Angreifer versuchen, Menschen dazu zu bringen, - Zugangsdaten einzugeben - Links anzuklicken - Anhänge zu öffnen - MFA-Anfragen zu bestätigen - Geld zu überweisen - vertrauliche Informationen preiszugeben - Schadsoftware auszuführen - Sicherheitsregeln zu umgehen Merksatz: Social Engineering greift Menschen und Prozesse an, nicht nur Technik. Warum Phishing so gefährlich ist Phishing ist gefährlich, weil es normale Arbeitsabläufe ausnutzt. Beispiele: Rechnung prüfen Paketbenachrichtigung öffnen Passwort zurücksetzen Cloud-Datei ansehen Bewerbung herunterladen Supportanfrage beantworten dringende Chef-Anweisung befolgen Angreifer nutzen dabei: Zeitdruck Vertrauen Neugier Angst Hilfsbereitschaft Autorität Gewohnheit Merksatz: Phishing wirkt, weil es menschliches Verhalten ausnutzt. Phishing Phishing ist der Versuch, Benutzer durch Täuschung zur Preisgabe vertraulicher Informationen zu bringen. Ziele: Passwörter MFA-Codes Zugangstokens Bankdaten Kundendaten interne Informationen Cloud-Zugänge VPN-Zugänge E-Mail-Konten Typische Mittel: gefälschte E-Mail gefälschte Webseite gefälschtes Loginformular gefälschte Rechnung gefälschte Sicherheitswarnung gefälschter Cloud-Link Merksatz: Phishing täuscht Benutzer, damit sie selbst etwas Gefährliches tun. Typischer Phishing-Ablauf Ein typischer Ablauf: 1. Benutzer erhält eine täuschend echte Nachricht. 2. Nachricht erzeugt Druck oder Interesse. 3. Benutzer klickt Link oder öffnet Anhang. 4. Gefälschte Webseite fragt Zugangsdaten ab. 5. Benutzer gibt Daten ein. 6. Angreifer nutzt die Zugangsdaten. 7. Konto wird übernommen oder Malware wird ausgeführt. Merksatz: Phishing ist oft der Einstieg in größere Angriffe. Phishing per E-Mail E-Mail-Phishing ist besonders verbreitet. Typische Merkmale: angebliche Rechnung angebliche Lieferung angebliche Kontosperrung angebliche Passwortwarnung angebliche Cloud-Dateifreigabe angebliche Bewerbung angebliche Sicherheitsmeldung angeblicher Chefauftrag Merksatz: E-Mail ist ein häufiger Einstiegspunkt für Angriffe. Phishing per SMS Phishing per SMS wird oft genannt: Smishing Typische Beispiele: Paket konnte nicht zugestellt werden. Konto wurde gesperrt. Zahlung erforderlich. Sicherheitsprüfung notwendig. Link zur Sendungsverfolgung. Risiko: Benutzer klicken am Smartphone oft schneller auf Links. Merksatz: Smishing ist Phishing über SMS. Phishing per Telefon Phishing per Telefon wird oft genannt: Vishing Dabei ruft ein Angreifer an und gibt sich zum Beispiel aus als: IT-Support Bankmitarbeiter Chef Dienstleister Behörde Sicherheitsabteilung Ziel: Zugangsdaten erhalten MFA-Code erhalten Fernwartung starten Überweisung auslösen interne Informationen bekommen Merksatz: Vishing ist Phishing per Telefon. Phishing über Messenger Angriffe können auch über Messenger laufen. Beispiele: angebliche Nachricht von Kollegen gefälschter Supportkontakt Link zu Cloud-Datei dringende Zahlungsanweisung angebliches Problem mit Benutzerkonto QR-Code zu Loginseite Merksatz: Phishing ist nicht auf E-Mail beschränkt. QR-Phishing QR-Phishing wird auch Quishing genannt. Dabei führt ein QR-Code auf eine gefälschte Webseite. Risiko: Link ist vor dem Scannen schwer erkennbar. Smartphone zeigt Adresse oft nur verkürzt. Benutzer erwarten bei QR-Codes schnelle Aktion. Beispiele: gefälschter Paketaufkleber falsches WLAN-Portal falsche Zahlungsseite gefälschter Microsoft-Login Plakat oder E-Mail mit QR-Code Merksatz: QR-Code nicht automatisch vertrauen. Spear Phishing Spear Phishing ist gezieltes Phishing gegen bestimmte Personen, Teams oder Organisationen. Angreifer nutzen oft Informationen wie: Name Firma Rolle laufendes Projekt bekannte Kollegen verwendete Dienste Signatur Lieferanten interne Begriffe Dadurch wirkt die Nachricht glaubwürdiger. Merksatz: Spear Phishing ist gezielter und glaubwürdiger als Massenphishing. Whaling Whaling ist Phishing gegen besonders wichtige Personen. Ziele: Geschäftsführung Finanzleitung Personalabteilung Administratoren Projektleitung Geschäftsbereichsleitung Warum gefährlich? Diese Personen haben oft besondere Rechte, Informationen oder Entscheidungsbefugnisse. Merksatz: Whaling richtet sich gegen besonders wertvolle Ziele. CEO-Fraud CEO-Fraud ist eine Betrugsform, bei der Angreifer sich als Geschäftsführung oder Vorgesetzte ausgeben. Typisches Ziel: schnelle Überweisung Änderung von Bankdaten Herausgabe vertraulicher Informationen Einkauf von Gutscheinkarten Umgehung normaler Freigabeprozesse Typische Merkmale: sehr dringend vertraulich keine Rückfrage erwünscht ungewöhnliche Zahlungsdaten außerhalb normaler Prozesse Merksatz: CEO-Fraud nutzt Autorität und Zeitdruck. Business E-Mail Compromise Business E-Mail Compromise wird oft abgekürzt: BEC Dabei wird ein geschäftliches E-Mail-Konto kompromittiert oder täuschend echt nachgeahmt. Ziele: Rechnungsbetrug Änderung von Kontodaten interne Täuschung Phishing aus echtem Konto Zugriff auf Geschäftskommunikation Merksatz: BEC nutzt geschäftliche E-Mail-Kommunikation für Betrug. Fake Login Ein Fake Login ist eine gefälschte Anmeldeseite. Sie sieht oft aus wie: Microsoft 365 Google VPN-Portal Cloud-Speicher Bank Paketdienst Unternehmensportal Ziel: Zugangsdaten abgreifen Merksatz: Gefälschte Loginseiten sind ein Kernmittel von Phishing. Credential Harvesting Credential Harvesting bedeutet: Zugangsdaten werden gesammelt. Beispiele: gefälschte Loginseite Keylogger Phishing-Mail manipulierte Anwendung Malware unsichere Datenbank abgegriffene Browserdaten Merksatz: Credential Harvesting sammelt Zugangsdaten für spätere Angriffe. Session Hijacking Session Hijacking bedeutet: Ein Angreifer übernimmt eine bestehende Sitzung. Ziel: Zugriff erhalten, ohne das Passwort erneut eingeben zu müssen. Mögliche Mittel: gestohlene Session-Cookies gestohlene Tokens Malware im Browser unsichere Verbindung XSS kompromittiertes Endgerät Merksatz: Session Hijacking greift die laufende Anmeldung an. MFA-Bypass MFA macht Angriffe schwerer, aber nicht unmöglich. Mögliche Angriffe: MFA-Push-Fatigue Phishing mit Echtzeit-Weiterleitung gestohlene Session-Tokens kompromittiertes Endgerät Social Engineering beim Support unsichere Ausnahmen SIM-Swapping bei SMS-MFA Merksatz: MFA ist wichtig, aber keine alleinige Schutzmaßnahme. MFA-Push-Fatigue MFA-Push-Fatigue bedeutet: Angreifer lösen viele MFA-Push-Anfragen aus. Ziel: Benutzer bestätigt aus Versehen, aus Gewohnheit oder genervt. Schutz: Number Matching klare Anzeige von Ort und Anwendung Schulung Meldeweg für unerwartete MFA-Anfragen Rate Limiting verdächtige Anfragen blockieren Merksatz: Unerwartete MFA-Anfragen niemals bestätigen. SIM-Swapping SIM-Swapping bedeutet: Angreifer übernehmen die Mobilfunknummer eines Opfers. Ziel: SMS-Codes empfangen Passwortzurücksetzung durchführen Konten übernehmen Schutz: SMS-MFA möglichst vermeiden App-basierte MFA oder Hardwaretoken nutzen Mobilfunkkonto schützen ungewöhnliche Netzverluste beachten Merksatz: SMS als MFA-Faktor ist schwächer als sichere Authenticator- oder Hardwarelösungen. Social Engineering Social Engineering ist die Manipulation von Menschen, um Sicherheitsmaßnahmen zu umgehen. Angreifer nutzen zum Beispiel: Autorität Dringlichkeit Angst Hilfsbereitschaft Sympathie Neugier Gewohnheit Vertraulichkeit Merksatz: Social Engineering nutzt Psychologie als Angriffsmittel. Pretexting Pretexting bedeutet: Angreifer erfinden eine glaubwürdige Geschichte oder Rolle. Beispiele: angeblicher IT-Support angeblicher neuer Mitarbeiter angeblicher Dienstleister angebliche Bank angebliche Behörde angeblicher Kunde Ziel: Vertrauen erzeugen Informationen erhalten Aktionen auslösen Merksatz: Pretexting arbeitet mit erfundener glaubwürdiger Rolle. Baiting Baiting bedeutet: Angreifer legen einen Köder aus. Beispiele: USB-Stick mit Aufschrift „Gehälter“ kostenloser Download angebliches Tool Gutschein Gewinnspiel kostenlose Software Ziel: Benutzer soll etwas öffnen, installieren anschließen oder Daten eingeben. Merksatz: Baiting nutzt Neugier oder Vorteilserwartung. Tailgating Tailgating bedeutet: Eine unberechtigte Person folgt einer berechtigten Person in einen geschützten Bereich. Beispiele: Person folgt durch Sicherheitstür. Person trägt angeblich schwere Kisten. Person bittet freundlich, die Tür aufzuhalten. Merksatz: Tailgating umgeht physische Zutrittskontrolle. Shoulder Surfing Shoulder Surfing bedeutet: Angreifer beobachten Eingaben oder Bildschirme. Beispiele: Passwort beim Tippen ansehen PIN am Automaten beobachten Bildschirm im Zug mitlesen MFA-Code ablesen Schutz: Sichtschutzfolie Bildschirm sperren Umgebung beachten keine sensiblen Eingaben in unsicheren Umgebungen Merksatz: Shoulder Surfing nutzt Beobachtung. Dumpster Diving Dumpster Diving bedeutet: Angreifer durchsuchen Müll oder entsorgte Unterlagen. Ziele: Passwörter interne Dokumente Netzwerkpläne Rechnungen Kundendaten alte Datenträger Notizzettel Organigramme Schutz: Aktenvernichtung sichere Datenträgervernichtung Clean-Desk-Regel Entsorgungsprozesse Merksatz: Auch entsorgte Informationen können sicherheitskritisch sein. Identitätsangriffe Identitätsangriffe richten sich gegen Benutzerkonten, Rollen und Anmeldungen. Typische Angriffe: Phishing Brute Force Credential Stuffing Password Spraying Session Hijacking MFA-Missbrauch Kontoübernahme Rechteausweitung Merksatz: Wer Identität kontrolliert, kontrolliert oft den Zugriff. Account Takeover Account Takeover bedeutet: Ein Angreifer übernimmt ein Benutzerkonto. Mögliche Folgen: E-Mails lesen interne Daten abrufen Phishing aus echtem Konto senden Dateien löschen Rechte ausnutzen weitere Konten angreifen Regeln oder Weiterleitungen einrichten Merksatz: Kontoübernahme ist oft der Startpunkt für weitere Angriffe. Brute Force Brute Force bedeutet: viele Passwörter werden systematisch ausprobiert. Schutz: MFA Rate Limiting starke Passwörter Sperrmechanismen Monitoring keine Standardkonten Passwortmanager Merksatz: Brute Force wird durch Begrenzung und MFA erschwert. Credential Stuffing Credential Stuffing bedeutet: Angreifer nutzen geleakte Zugangsdaten aus anderen Diensten. Beispiel: Passwort aus altem Webshop-Leak wird am Firmenportal ausprobiert. Schutz: keine Passwortwiederverwendung MFA Passwortmanager Leak-Erkennung riskante Loginversuche erkennen Merksatz: Credential Stuffing nutzt wiederverwendete Passwörter. Password Spraying Password Spraying bedeutet: wenige häufige Passwörter werden gegen viele Konten getestet. Beispiele: Willkommen2026! Sommer2026! Passwort123! Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche auftreten. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Benutzer. Passwort-Wiederverwendung Passwort-Wiederverwendung bedeutet: dasselbe Passwort wird bei mehreren Diensten genutzt. Problem: Wird ein Dienst kompromittiert, können Angreifer das Passwort bei anderen Diensten ausprobieren. Schutz: Passwortmanager eindeutige Passwörter MFA Schulung Passwort-Leak-Prüfung Merksatz: Ein Passwort darf nicht mehrfach genutzt werden. Starke Passwörter Starke Passwörter sollten: lang sein nicht leicht erratbar sein nicht wiederverwendet werden nicht aus persönlichen Daten bestehen nicht in Listen bekannter Passwörter vorkommen Für viele Konten ist ein Passwortmanager sinnvoll. Merksatz: Länge und Einzigartigkeit sind wichtiger als komplizierte Merkhilfen. Passwortmanager Ein Passwortmanager hilft, für jeden Dienst ein eigenes starkes Passwort zu verwenden. Vorteile: eindeutige Passwörter lange Passwörter weniger Wiederverwendung Erkennung falscher Webseiten möglich sicherere Speicherung als Notizzettel Merksatz: Passwortmanager unterstützt starke und eindeutige Passwörter. Account Lockout Account Lockout bedeutet: Ein Konto wird nach mehreren fehlgeschlagenen Anmeldeversuchen gesperrt. Vorteil: Schutz vor Brute Force Risiko: Angreifer können viele Konten absichtlich sperren. Deshalb sinnvoll kombinieren mit: Rate Limiting Risikoanalyse MFA Monitoring differenzierten Sperrregeln Merksatz: Kontosperren helfen, müssen aber sinnvoll eingestellt sein. Rate Limiting Rate Limiting begrenzt, wie viele Anfragen oder Loginversuche in einer Zeit erlaubt sind. Beispiele: maximal 5 Loginversuche pro Minute begrenzte API-Anfragen Verzögerung nach Fehlversuchen Merksatz: Rate Limiting bremst automatisierte Angriffe. Captcha Captcha soll prüfen, ob ein Mensch oder ein automatisiertes Programm handelt. Einsatz: Loginformulare Registrierungen Passwortzurücksetzung öffentliche Formulare Grenze: Captchas sind keine vollständige Sicherheitsmaßnahme. Merksatz: Captcha erschwert Automatisierung, ersetzt aber keine sichere Authentifizierung. Phishing-Erkennungsmerkmale Mögliche Warnzeichen: ungewöhnlicher Absender unerwarteter Anhang dringende Aufforderung Drohung mit Sperrung ungewöhnliche Zahlungsaufforderung Rechtschreib- oder Formatfehler verkürzte Links Domain passt nicht Login wird über Link gefordert vertrauliche Daten werden verlangt Absenderadresse und Anzeigename passen nicht zusammen Merksatz: Bei Druck, ungewöhnlichem Link oder Datenabfrage vorsichtig sein. Links prüfen Bei Links prüfen: passt die Domain? ist die Verbindung HTTPS? ist die Adresse ungewöhnlich lang? gibt es Tippfehler in der Domain? wird eine bekannte Marke nachgeahmt? führt der Link über Weiterleitungen? ist es ein verkürzter Link? passt der Link zum erwarteten Dienst? Merksatz: Nicht der sichtbare Text zählt, sondern das echte Ziel des Links. Anhänge prüfen Gefährliche Anhänge können sein: ausführbare Dateien Makro-Dokumente Archive mit Passwort angebliche Rechnungen Skripte ISO-Dateien LNK-Dateien HTML-Dateien manipulierte PDFs Merksatz: Unerwartete Anhänge immer kritisch prüfen. Absender prüfen Bei E-Mails ist der Anzeigename leicht fälschbar. Zu prüfen: echte Absenderadresse Domain Antwortadresse Signatur Schreibstil Kontext ungewöhnliche Anfrage SPF, DKIM DMARC-Ergebnis je nach System Merksatz: Anzeigename allein beweist nichts. SPF SPF steht für: Sender Policy Framework SPF legt fest, welche Mailserver für eine Domain E-Mails senden dürfen. Merksatz: SPF prüft, ob ein sendender Mailserver zur Domain passt. DKIM DKIM steht für: DomainKeys Identified Mail DKIM nutzt digitale Signaturen, um zu prüfen, ob eine E-Mail unterwegs verändert wurde und ob sie zur sendenden Domain passt. Merksatz: DKIM signiert E-Mails kryptografisch. DMARC DMARC steht für: Domain-based Message Authentication, Reporting and Conformance DMARC baut auf SPF und DKIM auf. Es legt fest, wie Empfänger mit E-Mails umgehen sollen, die SPF oder DKIM nicht bestehen. Merksatz: DMARC gibt Richtlinien für den Umgang mit verdächtigen E-Mails. SPF, DKIM und DMARC einordnen Technik Zweck SPF prüft erlaubte sendende Mailserver DKIM prüft Signatur und Veränderung DMARC legt Richtlinie und Berichte fest Wichtig: Diese Techniken helfen gegen E-Mail-Spoofing, verhindern aber nicht jede Phishing-Mail. Merksatz: SPF, DKIM und DMARC verbessern E-Mail-Authentizität. Technische Schutzmaßnahmen gegen Phishing Maßnahmen: Spamfilter Malwarefilter Linkprüfung Anhangprüfung Sandboxing SPF DKIM DMARC MFA Conditional Access Passwortmanager Webfilter EDR DNS-Filter sichere Browserkonfiguration Merksatz: Phishing-Schutz braucht mehrere technische Schichten. Organisatorische Schutzmaßnahmen gegen Phishing Maßnahmen: Schulungen klare Meldewege Phishing-Simulationen Vier-Augen-Prinzip Zahlungsprozesse absichern Rückruf über bekannte Telefonnummer Sicherheitsrichtlinien Freigabeprozesse Notfallplan bei Kontoübernahme Merksatz: Prozesse schützen dort, wo Technik allein nicht reicht. Verhalten bei verdächtiger Nachricht Sinnvolles Vorgehen: 1. Nicht auf Links klicken. 2. Keine Anhänge öffnen. 3. Keine Zugangsdaten eingeben. 4. Absender und Domain prüfen. 5. Bei angeblichen internen Anfragen über bekannten Kanal nachfragen. 6. Nachricht melden. 7. Nicht weiterleiten, wenn dadurch Risiko entsteht. 8. IT oder Sicherheitsverantwortliche informieren. Merksatz: Bei Verdacht zuerst stoppen, prüfen und melden. Wenn Zugangsdaten eingegeben wurden Sofortmaßnahmen: Passwort ändern MFA-Sitzungen prüfen aktive Sitzungen beenden IT informieren Konto-Logs prüfen Weiterleitungsregeln prüfen verdächtige Geräte prüfen Tokens widerrufen betroffene Dienste prüfen weitere Benutzer warnen Merksatz: Nach Phishing zählt schnelle Reaktion. Wenn ein Anhang geöffnet wurde Sofortmaßnahmen: Gerät vom Netzwerk trennen IT informieren Datei nicht weiter öffnen Zeitpunkt dokumentieren E-Mail sichern EDR oder Antivirus prüfen Logs sichern betroffene Konten prüfen keine weiteren Systeme nutzen, bis Bewertung erfolgt Merksatz: Nach verdächtigem Anhang Gerät schnell isolieren. Kontoübernahme erkennen Anzeichen: unbekannte Loginorte neue Weiterleitungsregeln gelesene E-Mails ohne Benutzeraktion gesendete Phishing-Mails Passwortänderung MFA-Änderung neue Geräte ungewöhnliche Dateienzugriffe Rollenänderungen verdächtige API-Aktivität Merksatz: Kontoübernahme zeigt sich oft in Logs und ungewöhnlichen Kontoeinstellungen. E-Mail-Weiterleitungsregel als Risiko Nach Kontoübernahme legen Angreifer oft Weiterleitungsregeln an. Zweck: E-Mails mitlesen Rechnungen abfangen Antworten verstecken weitere Angriffe vorbereiten Prüfen: unbekannte Weiterleitungen versteckte Regeln Regeln zum Löschen Regeln zum Verschieben externe Empfänger Merksatz: Nach Kontoübernahme immer Weiterleitungsregeln prüfen. Schutz durch Conditional Access Conditional Access kann Logins abhängig machen von: Standort Gerät MFA Risiko Benutzergruppe Anwendung Netzwerk Gerätezustand Beispiele: Adminzugriff nur mit MFA Zugriff aus unbekanntem Land blockieren Zugriff nur von verwalteten Geräten Merksatz: Conditional Access erschwert missbräuchliche Logins. Schutz durch Schulung Benutzer sollten wissen: wie Phishing aussieht wie man Links prüft wie man Anhänge bewertet wie man verdächtige Nachrichten meldet warum MFA-Anfragen nicht blind bestätigt werden warum Passwörter eindeutig sein müssen warum Zahlungsprozesse eingehalten werden Merksatz: Schulung macht Benutzer zu aktiven Schutzfaktoren. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Phishing? - Was ist Spear Phishing? - Was ist Whaling? - Was ist Social Engineering? - Was ist CEO-Fraud? - Was ist Business E-Mail Compromise? - Was ist Smishing? - Was ist Vishing? - Was ist Credential Harvesting? - Was ist Session Hijacking? - Was ist MFA-Push-Fatigue? - Was ist SIM-Swapping? - Was ist Pretexting? - Was ist Tailgating? - Was ist Shoulder Surfing? - Was ist Credential Stuffing? - Was ist Password Spraying? - Welche Merkmale können auf Phishing hinweisen? - Was machen SPF, DKIM und DMARC? - Wie reagiert man auf eine verdächtige Phishing-Mail? - Warum sind Passwortmanager sinnvoll? Typische Prüfungsfallen Phishing ist nicht nur E-Mail. Social Engineering ist nicht rein technisch. Spear Phishing ist gezielt. Whaling betrifft besonders wichtige Personen. Smishing läuft über SMS. Vishing läuft über Telefon. CEO-Fraud nutzt Autorität. BEC nutzt geschäftliche E-Mail-Kommunikation. Anzeigename einer E-Mail beweist nichts. HTTPS allein beweist nicht, dass die Seite echt ist. MFA ist wichtig, aber nicht unfehlbar. Unerwartete MFA-Anfragen nicht bestätigen. Credential Stuffing nutzt geleakte Passwörter. Password Spraying probiert wenige Passwörter bei vielen Konten. Passwort-Wiederverwendung ist gefährlich. SPF, DKIM und DMARC helfen gegen Spoofing, verhindern aber nicht jedes Phishing. Verdächtige Nachrichten melden, nicht ignorieren. Nach Kontoübernahme Weiterleitungsregeln prüfen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Phishing Täuschung zur Preisgabe vertraulicher Daten Smishing Phishing per SMS Vishing Phishing per Telefon Quishing Phishing über QR-Code Spear Phishing gezieltes Phishing Whaling Phishing gegen wichtige Personen CEO-Fraud Betrug durch angebliche Chef-Anweisung BEC Business E-Mail Compromise Fake Login gefälschte Anmeldeseite Credential Harvesting Sammeln von Zugangsdaten Session Hijacking Übernahme einer laufenden Sitzung MFA-Bypass Umgehung oder Missbrauch von MFA MFA-Push-Fatigue viele MFA-Anfragen zur Ermüdung SIM-Swapping Übernahme einer Mobilfunknummer Social Engineering Manipulation von Menschen Pretexting erfundene glaubwürdige Geschichte Baiting Köder zur Täuschung Tailgating unberechtigtes Folgen durch Zutritt Shoulder Surfing Beobachten von Eingaben Dumpster Diving Informationssuche im Müll Account Takeover Kontoübernahme Brute Force systematisches Ausprobieren Credential Stuffing Nutzung geleakter Zugangsdaten Password Spraying wenige Passwörter gegen viele Konten Passwortmanager Verwaltung starker eindeutiger Passwörter Account Lockout Kontosperre nach Fehlversuchen Rate Limiting Begrenzung von Anfragen Captcha Mensch-Maschine-Prüfung SPF Prüfung erlaubter Mailserver DKIM kryptografische E-Mail-Signatur DMARC Richtlinie für SPF/DKIM-Ergebnisse Conditional Access Zugriff abhängig von Bedingungen IHK-sichere Kurzformulierung Phishing ist eine Form des Social Engineerings, bei der Angreifer Benutzer durch Täuschung dazu bringen, vertrauliche Informationen preiszugeben, Links anzuklicken, Anhänge zu öffnen oder gefährliche Aktionen auszuführen. Spear Phishing ist gezieltes Phishing, Whaling richtet sich gegen besonders wichtige Personen, Smishing erfolgt per SMS und Vishing per Telefon. Identitätsangriffe wie Credential Stuffing, Password Spraying, Brute Force, Session Hijacking und Kontoübernahmen zielen auf Benutzerkonten und Zugänge. Schutzmaßnahmen sind MFA, starke eindeutige Passwörter, Passwortmanager, Spam- und Malwarefilter, SPF, DKIM, DMARC, Conditional Access, Schulungen, klare Meldewege, Vier-Augen-Prinzip und schnelle Reaktion bei verdächtigen Vorfällen. Merksätze Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Phishing ist nicht nur E-Mail. Smishing = SMS-Phishing. Vishing = Telefon-Phishing. Quishing = QR-Code-Phishing. Spear Phishing ist gezielt. Whaling trifft wichtige Personen. CEO-Fraud nutzt Autorität. BEC nutzt geschäftliche E-Mails. Fake Login stiehlt Zugangsdaten. Credential Harvesting sammelt Zugangsdaten. Session Hijacking übernimmt Sitzungen. MFA ist wichtig, aber nicht unfehlbar. Unerwartete MFA-Anfragen niemals bestätigen. SIM-Swapping gefährdet SMS-MFA. Pretexting nutzt erfundene Rollen. Baiting nutzt Köder. Tailgating umgeht Zutrittskontrolle. Shoulder Surfing nutzt Beobachtung. Dumpster Diving nutzt weggeworfene Informationen. Identitätsangriffe zielen auf Konten. Account Takeover ist Kontoübernahme. Brute Force probiert systematisch. Credential Stuffing nutzt geleakte Zugangsdaten. Password Spraying verteilt wenige Passwörter auf viele Konten. Passwörter nicht wiederverwenden. Passwortmanager nutzen. Rate Limiting bremst Angriffe. Captcha ersetzt keine sichere Anmeldung. Anzeigename beweist nichts. Links immer auf echte Domain prüfen. Anhänge kritisch prüfen. SPF prüft erlaubte Mailserver. DKIM signiert E-Mails. DMARC legt Richtlinien fest. Technik und Schulung gemeinsam schützen. Verdächtige Nachrichten melden. Nach Phishing schnell reagieren. Nach Kontoübernahme Weiterleitungsregeln prüfen. 16.4 Netzwerkangriffe: DoS, DDoS, Spoofing und Man-in-the-Middle Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Identitäten oder Datenübertragung in Netzwerken. Sie können auf verschiedenen OSI-Schichten stattfinden. Typische Netzwerkangriffe sind: - DoS - DDoS - Man-in-the-Middle - ARP-Spoofing - DNS-Spoofing - IP-Spoofing - MAC-Spoofing - Sniffing - Session Hijacking - Rogue DHCP - Evil Twin - WLAN-Angriffe Merksatz: Netzwerkangriffe nutzen Schwächen in Kommunikation, Adressierung, Namensauflösung oder Erreichbarkeit aus. Warum Netzwerkangriffe gefährlich sind Netzwerke verbinden Systeme miteinander. Wenn ein Angreifer Netzwerkkommunikation beeinflusst, kann er unter Umständen: Daten mitlesen Daten verändern Benutzer auf falsche Ziele lenken Dienste überlasten Verbindungen unterbrechen Zugangsdaten abgreifen Sitzungen übernehmen interne Systeme erreichen Kommunikation manipulieren Merksatz: Wer Netzwerkverkehr kontrolliert, kann viele weitere Angriffe vorbereiten. DoS DoS steht für: Denial of Service Denial of Service bedeutet: Ein Dienst wird absichtlich so gestört, dass er nicht mehr nutzbar ist. Ziel: Verfügbarkeit angreifen Beispiele: Webserver antwortet nicht mehr. Anwendung ist überlastet. Netzwerkleitung ist voll. Firewall ist überfordert. Datenbank nimmt keine Verbindungen mehr an. Merksatz: DoS greift die Verfügbarkeit an. DoS einfach erklärt Ein Dienst kann nur eine begrenzte Menge an Anfragen verarbeiten. Wenn ein Angreifer sehr viele Anfragen sendet, kann der Dienst überlastet werden. Folge: normale Benutzer können den Dienst nicht mehr nutzen. Merksatz: DoS bedeutet: Dienst wird durch Störung oder Überlastung unbenutzbar. DDoS DDoS steht für: Distributed Denial of Service Distributed bedeutet: verteilt Bei DDoS kommt der Angriff von vielen Systemen gleichzeitig. Häufig werden Botnetze genutzt. Merksatz: DDoS ist ein verteilter DoS-Angriff. DoS und DDoS vergleichen Merkmal DoS DDoS Angriffsquelle eine oder wenige Quellen viele verteilte Quellen Abwehr oft einfacher deutlich schwieriger typische Technik Überlastung oder Störung massenhafte verteilte Überlastung Ziel Verfügbarkeit Verfügbarkeit Merksatz: DoS = Dienstverweigerung. DDoS = verteilte Dienstverweigerung. Typische DDoS-Ziele DDoS-Angriffe richten sich häufig gegen: Webseiten Online-Shops DNS-Server VPN-Gateways Firewalls Load Balancer APIs Gaming-Server Cloud-Dienste Unternehmensanschlüsse Merksatz: DDoS trifft oft öffentlich erreichbare Dienste. DDoS-Angriffsarten DDoS kann unterschiedliche Ebenen treffen. Beispiele: Volumenangriff: Leitung wird mit Datenverkehr überlastet. Protokollangriff: Netzwerk- oder Transportprotokolle werden ausgenutzt. Anwendungsschichtangriff: Webanwendung wird mit vielen echten oder scheinbar echten Anfragen belastet. Merksatz: DDoS kann Leitung, Protokoll oder Anwendung treffen. Volumenangriff Ein Volumenangriff versucht, möglichst viel Datenverkehr zu erzeugen. Ziel: Bandbreite überlasten Beispiele: sehr viele UDP-Pakete große Datenmengen reflektierter Verkehr Folge: legitimer Verkehr kommt nicht mehr durch. Merksatz: Volumenangriff überlastet die Bandbreite. Protokollangriff Ein Protokollangriff nutzt Eigenschaften von Netzwerkprotokollen aus. Ziel: Netzwerkgeräte, Firewalls, Load Balancer oder Serverzustände überlasten Beispiele: viele halboffene Verbindungen viele Verbindungsversuche ausgenutzte Protokollmechanismen Merksatz: Protokollangriff belastet Netzwerk- oder Transportmechanismen. Anwendungsschichtangriff Ein Anwendungsschichtangriff richtet sich gegen Dienste auf OSI-Schicht 7. Beispiele: viele HTTP-Anfragen teure Suchanfragen Loginversuche API-Anfragen Warenkorbaktionen Datenbanklast durch Webanfragen Problem: Der Angriff kann wie normaler Benutzerverkehr aussehen. Merksatz: Anwendungsschichtangriffe sind oft schwerer von echter Nutzung zu unterscheiden. Reflexionsangriff Bei einem Reflexionsangriff sendet der Angreifer Anfragen an fremde Server und fälscht dabei die Absenderadresse des Opfers. Die fremden Server antworten dann an das Opfer. Beispiele für missbrauchte Dienste: DNS NTP Memcached SSDP andere UDP-basierte Dienste Merksatz: Reflexionsangriff lenkt Antworten fremder Systeme auf das Opfer. Amplification Amplification bedeutet: Verstärkung Der Angreifer sendet eine kleine Anfrage, die eine deutlich größere Antwort erzeugt. Wenn die Antwort an das Opfer geht, wird der Angriff verstärkt. Merksatz: Amplification macht aus kleinen Anfragen große Angriffsdatenmengen. Schutz vor DoS und DDoS Mögliche Schutzmaßnahmen: DDoS-Schutzdienst Provider-Unterstützung Content Delivery Network Load Balancer Rate Limiting Anycast Firewall-Regeln Web Application Firewall Skalierung Monitoring Notfallplan Blackholing als Notmaßnahme Merksatz: DDoS-Schutz braucht Vorbereitung, weil man im Angriff oft wenig Zeit hat. Rate Limiting Rate Limiting begrenzt, wie viele Anfragen in einer bestimmten Zeit erlaubt sind. Beispiele: maximal 100 Anfragen pro Minute pro IP maximal 5 Loginversuche pro Minute API-Limit pro Benutzer Vorteil: automatisierte Überlastung wird erschwert. Merksatz: Rate Limiting begrenzt Anfragehäufigkeit. Anycast Anycast bedeutet: dieselbe IP-Adresse wird an mehreren Standorten angekündigt. Der Verkehr wird zum nächstgelegenen oder passenden Standort geleitet. Vorteil bei DDoS: Angriffslast kann verteilt werden. Merksatz: Anycast verteilt Verkehr auf mehrere Standorte. Blackholing Blackholing bedeutet: Verkehr zu einem Ziel wird verworfen. Das kann bei DDoS als Notmaßnahme genutzt werden. Nachteil: Der angegriffene Dienst ist dann ebenfalls nicht erreichbar. Merksatz: Blackholing schützt Infrastruktur, macht den Dienst aber meist unerreichbar. Man-in-the-Middle Man-in-the-Middle wird oft abgekürzt: MitM Dabei positioniert sich ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Anmeldedaten abgreifen Sitzung übernehmen Zertifikatswarnungen ausnutzen Benutzer auf falsche Dienste lenken Merksatz: MitM bedeutet: Angreifer sitzt zwischen Sender und Empfänger. Man-in-the-Middle einfach erklärt Normale Kommunikation: Client ↔ Server Mit Man-in-the-Middle: Client ↔ Angreifer ↔ Server Der Benutzer glaubt, direkt mit dem Server zu kommunizieren. Tatsächlich läuft die Kommunikation über den Angreifer. Merksatz: Bei MitM wird Kommunikation heimlich zwischengeschaltet. Typische MitM-Szenarien Beispiele: unsicheres WLAN gefälschter Access Point ARP-Spoofing im lokalen Netz DNS-Spoofing manipuliertes Gateway kompromittierter Router Proxy-Angriff gefälschtes Zertifikat Session-Cookie-Diebstahl Merksatz: MitM kann über WLAN, LAN, DNS, Router oder Zertifikate entstehen. Schutz vor Man-in-the-Middle Maßnahmen: TLS korrekt nutzen HTTPS erzwingen Zertifikatswarnungen nicht ignorieren VPN in unsicheren Netzen HSTS bei Webseiten sichere WLAN-Konfiguration ARP-Schutz in Switches DNSSEC je nach Einsatz sichere DNS-Resolver MFA Session-Cookies schützen Merksatz: TLS schützt nur dann, wenn Zertifikate korrekt geprüft werden. Sniffing Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Legitime Nutzung: Fehlersuche Protokollanalyse Performanceanalyse Sicherheitsanalyse Missbrauch: Passwörter abfangen Daten mitlesen interne Kommunikation analysieren Sitzungen übernehmen Schwachstellen finden Merksatz: Sniffing ist ein Werkzeug, das für Analyse oder Angriff genutzt werden kann. Sniffing und Verschlüsselung Unverschlüsselter Verkehr kann direkt lesbar sein. Beispiele für riskanten Klartextverkehr: HTTP Telnet FTP POP3 ohne TLS IMAP ohne TLS SMTP ohne TLS alte Protokolle Verschlüsselter Verkehr schützt Inhalte besser. Beispiele: HTTPS SSH SFTP FTPS IMAPS SMTPS VPN Merksatz: Verschlüsselung reduziert den Schaden durch Sniffing. Spoofing Spoofing bedeutet: Eine falsche Identität, Adresse oder Herkunft wird vorgetäuscht. Typische Arten: IP-Spoofing MAC-Spoofing ARP-Spoofing DNS-Spoofing E-Mail-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. IP-Spoofing IP-Spoofing bedeutet: Der Angreifer fälscht die Quell-IP-Adresse. Ziele: Herkunft verschleiern Reflexionsangriffe ermöglichen Filter umgehen Vertrauen in IP-Adressen ausnutzen Grenze: Bei TCP-Verbindungen ist IP-Spoofing schwieriger, weil Antworten an die gefälschte Adresse gehen. Merksatz: IP-Spoofing fälscht die Quell-IP-Adresse. MAC-Spoofing MAC-Spoofing bedeutet: Ein Gerät gibt sich mit einer anderen MAC-Adresse aus. Mögliche Ziele: MAC-Filter umgehen Identität im LAN vortäuschen Netzwerkzugang erschleichen Geräteverwechslung erzeugen Merksatz: MAC-Adressen können gefälscht werden und sind kein starker Sicherheitsnachweis. ARP ARP steht für: Address Resolution Protocol ARP ordnet im lokalen IPv4-Netz eine IP-Adresse einer MAC-Adresse zu. Beispiel: Welche MAC-Adresse hat 192.168.1.1? Antwort: 192.168.1.1 hat MAC-Adresse aa:bb:cc:dd:ee:ff Merksatz: ARP verbindet IPv4-Adressen mit MAC-Adressen im lokalen Netz. ARP-Spoofing ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz. Angreifer behauptet zum Beispiel: Ich bin das Gateway. Dann senden Clients ihren Verkehr an den Angreifer. Mögliche Folgen: Man-in-the-Middle Sniffing Sitzungsdiebstahl Verbindungsstörung Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. Schutz vor ARP-Spoofing Maßnahmen: Dynamic ARP Inspection DHCP Snooping statische ARP-Einträge in Sonderfällen Netzwerksegmentierung Switch-Sicherheitsfunktionen Verschlüsselung durch TLS Monitoring auf ARP-Anomalien Merksatz: Gegen ARP-Spoofing helfen Switch-Schutzfunktionen und Verschlüsselung. DNS DNS steht für: Domain Name System DNS löst Namen in IP-Adressen auf. Beispiel: www.example.de → 203.0.113.10 Merksatz: DNS übersetzt Namen in IP-Adressen. DNS-Spoofing DNS-Spoofing manipuliert die Namensauflösung. Ziel: Benutzer wird zu falscher IP-Adresse geleitet. Beispiel: Benutzer ruft eine echte Domain auf, landet aber auf einer gefälschten Webseite. Mögliche Folgen: Phishing Malware-Verteilung Man-in-the-Middle Datenabfluss Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. DNS-Cache-Poisoning DNS-Cache-Poisoning bedeutet: falsche DNS-Antworten werden in einem DNS-Cache gespeichert. Folge: Mehrere Benutzer erhalten falsche DNS-Antworten, bis der Cache abläuft oder korrigiert wird. Merksatz: DNS-Cache-Poisoning vergiftet zwischengespeicherte DNS-Antworten. Schutz vor DNS-Spoofing Maßnahmen: vertrauenswürdige DNS-Resolver DNSSEC DNS-over-TLS oder DNS-over-HTTPS je nach Umgebung Monitoring ungewöhnlicher DNS-Antworten TLS-Zertifikatsprüfung keine unbekannten DNS-Server per DHCP erlauben sichere Router- und DHCP-Konfiguration Merksatz: DNS-Schutz und TLS-Prüfung ergänzen sich. DNSSEC DNSSEC steht für: Domain Name System Security Extensions DNSSEC ermöglicht kryptografische Prüfung von DNS-Antworten. Ziel: Manipulation von DNS-Antworten erkennbar machen. Wichtig: DNSSEC verschlüsselt DNS-Anfragen nicht automatisch. Es prüft vor allem Echtheit und Integrität. Merksatz: DNSSEC schützt DNS-Integrität, aber nicht automatisch DNS-Vertraulichkeit. Rogue DHCP Rogue DHCP bedeutet: Ein nicht autorisierter DHCP-Server verteilt Netzwerkeinstellungen. Mögliche Folgen: falsches Gateway falscher DNS-Server falsche IP-Konfiguration Man-in-the-Middle Netzwerkstörungen Merksatz: Rogue DHCP verteilt falsche Netzwerkkonfiguration. Schutz vor Rogue DHCP Maßnahmen: DHCP Snooping Switchports absichern ungenutzte Ports deaktivieren Netzwerksegmentierung Monitoring physische Zugangskontrolle nur autorisierte DHCP-Server zulassen Merksatz: DHCP Snooping schützt vor unautorisierten DHCP-Servern. DHCP Snooping DHCP Snooping ist eine Switch-Sicherheitsfunktion. Sie unterscheidet: vertrauenswürdige Ports und nicht vertrauenswürdige Ports DHCP-Antworten sind nur auf vertrauenswürdigen Ports erlaubt. Merksatz: DHCP Snooping verhindert DHCP-Antworten von falschen Ports. Session Hijacking Session Hijacking bedeutet: Ein Angreifer übernimmt eine bestehende Sitzung. Mögliche Wege: Session-Cookie stehlen Token stehlen XSS Malware Man-in-the-Middle unsichere Verbindung kompromittiertes Endgerät Merksatz: Session Hijacking übernimmt eine laufende Anmeldung. Schutz vor Session Hijacking Maßnahmen: HTTPS überall HttpOnly Cookies Secure Cookies SameSite Cookies kurze Session-Laufzeiten Session-Rotation nach Login Schutz vor XSS MFA Geräte- und Standortprüfung Logout-Funktion Token widerrufen können Merksatz: Sitzungen müssen genauso geschützt werden wie Passwörter. WLAN-Angriffe WLAN ist besonders angreifbar, weil Funk nicht an Wände gebunden ist. Typische Risiken: schwache Verschlüsselung unsichere Passwörter Evil Twin Rogue Access Point unsichere Gastnetze Abhören unverschlüsselter Verbindungen Deauthentication-Angriffe falsche Captive Portals Merksatz: WLAN braucht starke Verschlüsselung und saubere Trennung. Evil Twin Ein Evil Twin ist ein gefälschter WLAN-Access-Point, der wie ein echtes WLAN aussieht. Ziel: Benutzer verbinden sich mit dem falschen WLAN. Folgen: Man-in-the-Middle Phishing Datenmitschnitt falsche Loginseiten Malware-Verteilung Merksatz: Evil Twin imitiert ein echtes WLAN. Rogue Access Point Ein Rogue Access Point ist ein nicht autorisierter Access Point im Netzwerk. Beispiele: Mitarbeiter steckt eigenen WLAN-Router an. Angreifer platziert Access Point im Gebäude. falsch konfigurierte Geräte öffnen WLAN. Risiko: Sicherheitsregeln werden umgangen. internes Netz wird unkontrolliert erreichbar. Merksatz: Rogue Access Point ist ein unerlaubter WLAN-Zugangspunkt. Schutz vor WLAN-Angriffen Maßnahmen: WPA2-Enterprise oder WPA3 nutzen starke Passwörter Gastnetz vom internen Netz trennen 802.1X Zertifikatsprüfung Rogue-AP-Erkennung regelmäßige WLAN-Überprüfung sichere Captive-Portals VPN in unsicheren WLANs keine offenen internen WLANs Merksatz: WLAN-Sicherheit braucht Verschlüsselung, Authentifizierung und Segmentierung. 802.1X 802.1X ist ein Standard für netzwerkbasierte Zugangskontrolle. Er wird genutzt bei: LAN WLAN Enterprise-Netzen Grundidee: Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Merksatz: 802.1X kontrolliert Netzwerkzugang vor der Freigabe. Netzwerksegmentierung gegen Angriffe Segmentierung trennt Netzbereiche voneinander. Beispiele: Clientnetz Servernetz Gastnetz Managementnetz Produktionsnetz Backupnetz WLAN-Gastnetz IoT-Netz Vorteil: Angriffe können sich schlechter ausbreiten. Zugriffe können gezielter gefiltert werden. Merksatz: Segmentierung begrenzt Schaden und Ausbreitung. Firewall-Regeln gegen Netzwerkangriffe Firewalls begrenzen, welche Kommunikation erlaubt ist. Gute Regeln sind: so eng wie möglich dokumentiert begründet regelmäßig geprüft nach Quelle, Ziel, Port und Protokoll definiert Merksatz: Firewall-Regeln sollen erlauben, was nötig ist, und blockieren, was nicht nötig ist. IDS und IPS gegen Netzwerkangriffe IDS: erkennt verdächtigen Netzwerkverkehr und meldet ihn IPS: erkennt verdächtigen Netzwerkverkehr und kann ihn blockieren Beispiele für Erkennung: Portscans bekannte Angriffssignaturen ungewöhnlicher Datenverkehr Exploit-Versuche verdächtige DNS-Anfragen Merksatz: IDS erkennt. IPS blockiert zusätzlich. Netzwerk-Monitoring Netzwerk-Monitoring hilft, Angriffe und Störungen zu erkennen. Überwacht werden können: Bandbreite Paketverlust Latenz ungewöhnliche Verbindungen DNS-Anfragen Firewall-Drops VPN-Zugriffe ARP-Anomalien DHCP-Anomalien Portscans DDoS-Anzeichen Merksatz: Netzwerk-Monitoring erkennt Auffälligkeiten im Datenverkehr. Typische Anzeichen für Netzwerkangriffe Mögliche Hinweise: plötzlich sehr hohe Netzwerklast viele fehlgeschlagene Verbindungen ungewöhnliche DNS-Antworten Benutzer landen auf falschen Webseiten Zertifikatswarnungen viele Loginversuche unbekannte DHCP-Server doppelte IP-Adressen ungewöhnliche ARP-Einträge unbekannte Access Points viele Firewall-Drops Merksatz: Netzwerkangriffe zeigen sich oft durch ungewöhnliche Muster. Fehlersuche bei Verdacht auf Netzwerkangriff Sinnvolle Reihenfolge: 1. Betroffene Systeme bestimmen. 2. Zeitpunkt eingrenzen. 3. Änderungen prüfen. 4. Netzwerklogs prüfen. 5. Firewall-Logs prüfen. 6. DNS prüfen. 7. DHCP prüfen. 8. ARP-Tabelle prüfen. 9. Routing prüfen. 10. Paketmitschnitt erstellen. 11. Benutzerberichte vergleichen. 12. Angriff eingrenzen. 13. Schutzmaßnahmen aktivieren. 14. Vorfall dokumentieren. Merksatz: Netzwerkangriffe systematisch mit Logs, Tabellen, Routen und Mitschnitten untersuchen. Typische Schutzmaßnahmen gegen Netzwerkangriffe Wichtige Maßnahmen: Firewall IDS IPS Netzwerksegmentierung VLANs sichere WLAN-Konfiguration WPA2-Enterprise oder WPA3 802.1X DHCP Snooping Dynamic ARP Inspection DNSSEC je nach Einsatz TLS VPN DDoS-Schutz Rate Limiting Monitoring Logging Patchmanagement sichere Router- und Switch-Konfiguration Merksatz: Netzwerkangriffsschutz besteht aus Technik, Konfiguration Überwachung und klaren Regeln. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein DoS-Angriff? - Was ist ein DDoS-Angriff? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist ein Man-in-the-Middle-Angriff? - Was bedeutet Sniffing? - Was bedeutet Spoofing? - Was ist IP-Spoofing? - Was ist MAC-Spoofing? - Was ist ARP-Spoofing? - Was ist DNS-Spoofing? - Was ist DNS-Cache-Poisoning? - Was ist DNSSEC? - Was ist Rogue DHCP? - Was ist DHCP Snooping? - Was ist Session Hijacking? - Was ist ein Evil Twin? - Was ist ein Rogue Access Point? - Wie schützt Netzwerksegmentierung gegen Angriffe? - Was ist der Unterschied zwischen IDS und IPS? - Welche Schutzmaßnahmen helfen gegen DDoS? Typische Prüfungsfallen DoS und DDoS unterscheiden. DDoS ist verteilt. DoS greift Verfügbarkeit an. MitM sitzt zwischen Kommunikationspartnern. Sniffing ist nicht automatisch Angriff, kann aber missbraucht werden. Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing betrifft lokale IPv4-Netze. DNS-Spoofing führt Namen zu falschen IP-Adressen. DNSSEC schützt Integrität, nicht automatisch Vertraulichkeit. Rogue DHCP verteilt falsche Netzwerkeinstellungen. DHCP Snooping schützt vor falschen DHCP-Servern. Session Hijacking betrifft laufende Sitzungen. WLAN ist wegen Funkreichweite besonders zu schützen. Evil Twin imitiert ein echtes WLAN. Rogue Access Point ist ein unerlaubter Access Point. MAC-Filter allein ist keine starke Sicherheit. TLS-Zertifikatswarnungen nicht ignorieren. Segmentierung begrenzt Ausbreitung. IDS erkennt, IPS blockiert zusätzlich. DDoS-Schutz muss vorbereitet sein. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung DoS Dienstverweigerung DDoS verteilte Dienstverweigerung Botnet viele fremdgesteuerte Systeme Volumenangriff Überlastung durch Datenmenge Protokollangriff Ausnutzung von Protokollmechanismen Anwendungsschichtangriff Überlastung einer Anwendung Reflexionsangriff Antworten fremder Systeme treffen Opfer Amplification Verstärkung kleiner Anfragen Rate Limiting Begrenzung von Anfragen Anycast gleiche IP an mehreren Standorten Blackholing Verwerfen von Verkehr MitM Man-in-the-Middle Sniffing Mitschneiden von Netzwerkverkehr Spoofing Vortäuschen falscher Identität IP-Spoofing gefälschte Quell-IP MAC-Spoofing gefälschte MAC-Adresse ARP Zuordnung IPv4 zu MAC im LAN ARP-Spoofing Manipulation von ARP-Zuordnungen DNS Namensauflösung DNS-Spoofing Manipulation von DNS-Antworten DNS-Cache-Poisoning falsche DNS-Antwort im Cache DNSSEC Schutz der DNS-Integrität Rogue DHCP unautorisierter DHCP-Server DHCP Snooping Schutz vor falschen DHCP-Servern Session Hijacking Übernahme einer laufenden Sitzung Evil Twin gefälschter WLAN-Access-Point Rogue Access Point unerlaubter Access Point 802.1X Netzwerkzugangskontrolle IDS Angriffserkennung IPS Angriffserkennung mit Blockierung IHK-sichere Kurzformulierung Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Adressierung oder Namensauflösung in Netzwerken. DoS und DDoS greifen die Verfügbarkeit von Diensten an, wobei DDoS von vielen verteilten Quellen ausgeht. Bei einem Man-in-the-Middle-Angriff befindet sich ein Angreifer zwischen zwei Kommunikationspartnern und kann Daten mitlesen oder manipulieren. Spoofing täuscht Identität oder Herkunft vor, zum Beispiel durch gefälschte IP-, MAC-, ARP- oder DNS-Informationen. Schutzmaßnahmen sind Firewalls, IDS/IPS, Netzwerksegmentierung, sichere WLAN-Konfiguration, TLS, VPN, DNSSEC, DHCP Snooping, Dynamic ARP Inspection, DDoS-Schutz, Rate Limiting, Monitoring und Logging. Merksätze Netzwerkangriffe treffen Kommunikation und Erreichbarkeit. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. DDoS-Schutz muss vorbereitet sein. Volumenangriff überlastet Bandbreite. Protokollangriff belastet Netzwerkmechanismen. Anwendungsschichtangriff trifft Dienste auf Schicht 7. Reflexionsangriff nutzt fremde Systeme. Amplification verstärkt Angriffsdaten. Rate Limiting begrenzt Anfragen. Anycast verteilt Verkehr. Blackholing verwirft Verkehr. MitM sitzt zwischen Client und Server. Sniffing schneidet Verkehr mit. Verschlüsselung schützt gegen Mitlesen. Spoofing täuscht Herkunft oder Identität vor. IP-Spoofing fälscht Quell-IP. MAC-Spoofing fälscht MAC-Adresse. ARP verbindet IPv4 und MAC. ARP-Spoofing manipuliert lokale Zuordnung. DNS übersetzt Namen in IP-Adressen. DNS-Spoofing führt zu falschen Zielen. DNSSEC schützt DNS-Integrität. Rogue DHCP verteilt falsche Einstellungen. DHCP Snooping schützt vor Rogue DHCP. Session Hijacking übernimmt Sitzungen. WLAN braucht starke Absicherung. Evil Twin imitiert echtes WLAN. Rogue Access Point ist unerlaubt. 802.1X kontrolliert Netzwerkzugang. Segmentierung begrenzt Ausbreitung. IDS erkennt. IPS blockiert zusätzlich. Netzwerk-Monitoring erkennt Auffälligkeiten. Logs und Mitschnitte helfen bei Analyse. 16.5 Webangriffe: SQL Injection, XSS, CSRF und unsichere Webanwendungen Webanwendungen sind häufige Angriffsziele, weil sie oft öffentlich erreichbar sind und direkt mit Benutzern, Datenbanken, APIs und Backend-Systemen kommunizieren. Typische Webangriffe sind: - SQL Injection - Cross-Site Scripting - Cross-Site Request Forgery - Directory Traversal - File Upload Attack - Session Hijacking - Broken Authentication - Broken Access Control - unsichere API - unsichere Fehlerausgaben - unsichere Konfiguration Merksatz: Webangriffe nutzen häufig fehlerhafte Eingaben, fehlende Zugriffskontrollen oder unsichere Sitzungen aus. Warum Webanwendungen gefährdet sind Webanwendungen sind oft besonders angreifbar, weil sie: öffentlich erreichbar sind Benutzeranfragen verarbeiten Datenbanken nutzen Dateien entgegennehmen Sitzungen verwalten APIs bereitstellen externe Dienste anbinden mit sensiblen Daten arbeiten Merksatz: Je mehr Eingaben und Schnittstellen eine Anwendung hat, desto größer ist die Angriffsfläche. Eingaben als Risiko Viele Webangriffe beginnen mit Benutzereingaben. Beispiele für Eingaben: Loginformular Suchfeld Kontaktformular URL-Parameter Cookie HTTP-Header Datei-Upload API-Request JSON-Daten Formularfelder Problem: Die Anwendung vertraut Eingaben zu stark oder verarbeitet sie unsicher. Merksatz: Benutzereingaben niemals blind vertrauen. Client und Server unterscheiden Client: Browser oder App des Benutzers Server: Webserver, Anwendung, API oder Backend-System Wichtig: Prüfungen im Browser allein reichen nicht aus. Warum? Ein Angreifer kann Browserprüfungen umgehen und direkt eigene Anfragen an den Server senden. Merksatz: Sicherheitsprüfungen müssen serverseitig erfolgen. Frontend-Validierung Frontend-Validierung prüft Eingaben im Browser. Beispiel: Pflichtfeld prüfen E-Mail-Format prüfen Zeichenanzahl begrenzen Vorteil: bessere Benutzerführung Nachteil: leicht umgehbar Merksatz: Frontend-Validierung hilft Benutzern, ist aber keine Sicherheitsgrenze. Backend-Validierung Backend-Validierung prüft Eingaben auf dem Server. Sie ist sicherheitsrelevant. Beispiele: Datentyp prüfen Wertebereich prüfen erlaubte Zeichen prüfen Dateityp prüfen Berechtigung prüfen Pflichtfelder prüfen Länge begrenzen Merksatz: Sicherheitsrelevante Prüfung gehört ins Backend. SQL Injection SQL Injection ist ein Angriff auf Datenbankabfragen. Dabei schleust ein Angreifer SQL-Code in Eingaben ein. Ziel: Daten auslesen Daten verändern Login umgehen Daten löschen Datenbankstruktur ausspähen Rechte ausweiten Merksatz: SQL Injection nutzt unsicher zusammengesetzte Datenbankabfragen aus. SQL Injection einfach erklärt Eine Anwendung erwartet zum Beispiel: Benutzername und Passwort Wenn die Anwendung Eingaben unsicher direkt in SQL einfügt, kann ein Angreifer die Abfrage manipulieren. Problem: Eingabe wird nicht mehr nur als Wert behandelt, sondern als Teil des SQL-Befehls. Merksatz: Bei SQL Injection wird Eingabe zu Befehl. Unsichere SQL-Abfrage als Prinzip Unsicheres Prinzip: SQL-Befehl wird aus Text und Benutzereingabe zusammengebaut. Beispielgedanke: SELECT ... WHERE user = Eingabe AND password = Eingabe Wenn Eingabe nicht sauber behandelt wird, kann sie die Logik der Abfrage verändern. Merksatz: SQL nicht durch ungeprüftes Zusammenkleben von Text und Eingaben bauen. Folgen von SQL Injection Mögliche Folgen: Login ohne gültiges Passwort Auslesen von Kundendaten Auslesen von Passworthashes Verändern von Datensätzen Löschen von Tabellen Manipulation von Bestellungen Zugriff auf interne Informationen vollständige Kompromittierung der Anwendung Merksatz: SQL Injection kann sehr schwere Datenbankangriffe ermöglichen. Schutz vor SQL Injection Wichtige Schutzmaßnahmen: Prepared Statements parametrisierte Abfragen Eingabevalidierung keine SQL-Verkettung mit Benutzereingaben Rechte der Datenbankbenutzer begrenzen Fehlermeldungen nicht detailliert ausgeben Code Reviews Web Application Firewall als zusätzliche Schicht Merksatz: Parametrisierte Abfragen sind die wichtigste Maßnahme gegen SQL Injection. Prepared Statements Prepared Statements trennen SQL-Befehl und Werte. Die Datenbank erkennt: Das ist der SQL-Befehl. Das sind nur Werte. Dadurch wird verhindert, dass Benutzereingaben als SQL-Code ausgeführt werden. Merksatz: Prepared Statements behandeln Eingaben als Daten, nicht als Befehl. Datenbankrechte begrenzen Die Webanwendung sollte nicht mit einem Datenbankkonto arbeiten, das mehr Rechte hat als nötig. Beispiel: Anwendung muss nur lesen und schreiben, aber keine Tabellen löschen. Dann sollte das Datenbankkonto auch keine DROP-Rechte haben. Merksatz: Weniger Datenbankrechte begrenzen Schaden bei Angriffen. Cross-Site Scripting Cross-Site Scripting wird abgekürzt: XSS Bei XSS wird schädlicher Code in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Meist geht es um JavaScript im Browser. Merksatz: XSS greift Benutzer über die Webseite und den Browser an. XSS einfach erklärt Eine Webseite zeigt Benutzereingaben wieder an. Beispiel: Kommentar Profilname Suchbegriff Chatnachricht Wenn die Eingabe nicht korrekt behandelt wird, kann ein Angreifer Skriptcode einfügen. Dieser Code läuft dann im Browser anderer Benutzer. Merksatz: XSS entsteht, wenn Eingaben ungefiltert als aktive Webseite ausgegeben werden. Folgen von XSS Mögliche Folgen: Session-Cookies stehlen Benutzeraktionen auslösen Webseiteninhalt manipulieren Phishing innerhalb echter Webseite Tokens auslesen Benutzer umleiten Schadcode nachladen Formulardaten abgreifen Merksatz: XSS kann echte Webseiten für Angriffe gegen Benutzer missbrauchen. Stored XSS Stored XSS bedeutet: Schadcode wird dauerhaft gespeichert. Beispiel: Kommentar mit Schadcode wird in Datenbank gespeichert. Wenn andere Benutzer die Seite öffnen, wird der Schadcode ausgeführt. Merksatz: Stored XSS bleibt gespeichert und trifft mehrere Benutzer. Reflected XSS Reflected XSS bedeutet: Schadcode wird über eine Anfrage eingeschleust und direkt in der Antwort zurückgegeben. Beispiel: manipulierter Link enthält Schadcode. Benutzer klickt den Link, die Webseite gibt den Inhalt zurück, Browser führt ihn aus. Merksatz: Reflected XSS funktioniert oft über manipulierte Links. DOM-based XSS DOM-based XSS entsteht, wenn JavaScript im Browser unsicher mit Daten arbeitet. Dabei muss der Schadcode nicht unbedingt vom Server direkt eingefügt werden. Problematisch sind zum Beispiel: unsichere Verarbeitung von URL-Fragmenten unsichere DOM-Manipulation ungeprüftes innerHTML unsichere Client-Skripte Merksatz: DOM-XSS entsteht im Browser durch unsicheren JavaScript-Code. Schutz vor XSS Wichtige Schutzmaßnahmen: Ausgaben korrekt escapen Eingaben validieren Content Security Policy HttpOnly Cookies Secure Cookies SameSite Cookies sichere Frameworks nutzen keine ungeprüften HTML-Ausgaben Code Reviews gefährliche Funktionen vermeiden Merksatz: Gegen XSS ist korrektes Escaping bei der Ausgabe besonders wichtig. Escaping Escaping bedeutet: Sonderzeichen werden so umgewandelt, dass sie nicht als Code ausgeführt werden. Beispiel: Ein kleiner-als-Zeichen wird nicht als HTML-Tag interpretiert, sondern als sichtbares Zeichen ausgegeben. Merksatz: Escaping macht aus potenziellem Code normalen Text. Content Security Policy Content Security Policy wird abgekürzt: CSP Eine CSP ist eine Sicherheitsrichtlinie im Browser. Sie kann festlegen: welche Skripte erlaubt sind von welchen Quellen Inhalte geladen werden dürfen ob Inline-Skripte erlaubt sind ob externe Ressourcen erlaubt sind Merksatz: CSP begrenzt, welche Inhalte der Browser ausführen darf. HttpOnly Cookie Ein HttpOnly Cookie kann nicht direkt durch JavaScript gelesen werden. Vorteil: erschwert Cookie-Diebstahl bei XSS Wichtig: HttpOnly schützt nicht vor allen XSS-Folgen, aber reduziert ein wichtiges Risiko. Merksatz: HttpOnly schützt Cookies vor direktem JavaScript-Zugriff. Secure Cookie Ein Secure Cookie wird nur über HTTPS übertragen. Vorteil: Cookie wird nicht über unverschlüsselte HTTP-Verbindungen gesendet. Merksatz: Secure Cookies gehören zu HTTPS-Webanwendungen. SameSite Cookie SameSite steuert, ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden. Es hilft besonders gegen CSRF. Mögliche Prinzipien: streng teilweise erlaubt ohne Einschränkung Merksatz: SameSite begrenzt Cookie-Versand bei fremden Webseiten. Cross-Site Request Forgery Cross-Site Request Forgery wird abgekürzt: CSRF Bei CSRF wird ein angemeldeter Benutzer dazu gebracht, unbewusst eine Aktion in einer Webanwendung auszulösen. Beispiel: Benutzer ist im Online-Portal angemeldet. Benutzer besucht eine bösartige Webseite. Diese Webseite löst im Hintergrund eine Anfrage an das Online-Portal aus. Merksatz: CSRF missbraucht eine bestehende Anmeldung für fremde Aktionen. CSRF einfach erklärt CSRF funktioniert, weil der Browser bei Anfragen an eine Webseite oft automatisch Cookies mitsendet. Wenn der Benutzer dort angemeldet ist, kann die Anfrage als gültig erscheinen. Mögliche Aktionen: E-Mail-Adresse ändern Passwortänderung starten Bestellung auslösen Einstellung ändern Benutzer hinzufügen Überweisung vorbereiten Merksatz: CSRF nutzt automatisch mitgesendete Sitzungsinformationen aus. Schutz vor CSRF Wichtige Schutzmaßnahmen: CSRF-Token SameSite Cookies Prüfung von Origin oder Referer erneute Bestätigung sensibler Aktionen MFA oder Passwortabfrage bei kritischen Aktionen keine zustandsändernden Aktionen per GET saubere Sessionverwaltung Merksatz: CSRF-Token schützen, weil fremde Seiten den gültigen Token nicht kennen. CSRF-Token Ein CSRF-Token ist ein zufälliger Wert, der in Formularen oder Anfragen mitgesendet wird. Die Anwendung prüft: Stimmt der Token zur Sitzung? Wenn nicht, wird die Aktion abgelehnt. Merksatz: CSRF-Token beweist, dass die Anfrage aus der echten Anwendung kommt. SQL Injection, XSS und CSRF vergleichen Angriff Ziel Kernproblem SQL Injection Datenbank Eingabe wird Teil von SQL XSS Browser anderer Benutzer Eingabe wird als Skript ausgeführt CSRF angemeldete Sitzung fremde Seite löst Aktion aus Merksatz: SQL Injection trifft Datenbank. XSS trifft Browser. CSRF missbraucht Sitzung. Directory Traversal Directory Traversal bedeutet: Ein Angreifer versucht, über Pfadangaben auf Dateien außerhalb des erlaubten Bereichs zuzugreifen. Beispielprinzip: Statt erlaubter Datei wird versucht, über Pfadbestandteile in übergeordnete Verzeichnisse zu gelangen. Mögliche Ziele: Konfigurationsdateien Passwortdateien Quellcode Logdateien Systemdateien Merksatz: Directory Traversal nutzt unsichere Dateipfade aus. Schutz vor Directory Traversal Maßnahmen: Dateinamen validieren erlaubte Dateien per ID statt Pfad auswählen Pfade normalisieren und prüfen Zugriff auf festes Verzeichnis begrenzen keine direkten Benutzereingaben als Dateipfad nutzen Rechte des Webserver-Prozesses begrenzen Merksatz: Benutzer sollten keine freien Systempfade bestimmen können. File Upload Attack Bei einem File Upload Attack lädt ein Angreifer eine gefährliche Datei hoch. Beispiele: ausführbares Skript Webshell Malware manipuliertes Bild Datei mit falscher Endung übergroße Datei Archivbombe Mögliche Folgen: Codeausführung Malware-Verteilung Speicherüberlastung Angriff auf andere Benutzer Datenabfluss Merksatz: Datei-Uploads sind gefährlich, wenn Inhalt, Typ und Speicherort nicht geprüft werden. Schutz bei Datei-Uploads Maßnahmen: erlaubte Dateitypen begrenzen Dateigröße begrenzen MIME-Type prüfen Dateiendung prüfen Inhalt prüfen Malware-Scan Dateien außerhalb des Webroots speichern zufällige Dateinamen verwenden Ausführrechte verhindern Uploads getrennt verarbeiten Merksatz: Hochgeladene Dateien nie ungeprüft ausführbar speichern. Webshell Eine Webshell ist ein hochgeladenes oder eingeschleustes Skript, mit dem Angreifer Befehle auf einem Server ausführen können. Risiko: vollständige Serverübernahme Datenabfluss weitere Angriffe Backdoor Merksatz: Webshell = Fernsteuerung über Webskript. Broken Authentication Broken Authentication bedeutet: Die Anmeldung oder Sitzungsverwaltung ist unsicher. Beispiele: schwache Passwortrichtlinien kein MFA Session läuft zu lange Session-ID wird nicht erneuert unsichere Passwortzurücksetzung Tokens werden unsicher gespeichert Brute Force nicht begrenzt Merksatz: Broken Authentication gefährdet Benutzerkonten und Sitzungen. Schutz gegen Broken Authentication Maßnahmen: MFA starke Passwortrichtlinien Passwortmanager unterstützen Rate Limiting sichere Passwortzurücksetzung Session-Rotation nach Login kurze Sitzungslaufzeiten je nach Risiko sichere Token-Speicherung Login-Monitoring Merksatz: Anmeldung und Sitzungen müssen besonders geschützt werden. Broken Access Control Broken Access Control bedeutet: Benutzer können auf Funktionen oder Daten zugreifen, für die sie keine Berechtigung haben. Beispiele: Benutzer sieht fremde Rechnung normaler Benutzer ruft Adminfunktion auf URL-ID wird geändert und fremde Daten erscheinen API gibt mehr Daten zurück als erlaubt versteckte Schaltfläche reicht als Schutz Merksatz: Zugriffskontrolle muss serverseitig geprüft werden. IDOR IDOR steht für: Insecure Direct Object Reference Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen. Beispiel: /rechnung/1001 wird geändert zu: /rechnung/1002 Wenn die Anwendung nicht prüft, ob diese Rechnung zum Benutzer gehört, liegt ein Fehler vor. Merksatz: IDOR ist fehlende Zugriffskontrolle bei direkten Objekt-IDs. Schutz gegen Broken Access Control Maßnahmen: serverseitige Berechtigungsprüfung Rollen- und Rechtekonzept Zugriff pro Objekt prüfen keine Sicherheit nur über versteckte Buttons Standardmäßig Zugriff verweigern Adminfunktionen getrennt schützen API-Berechtigungen prüfen Tests mit verschiedenen Benutzerrollen Merksatz: Jeder Zugriff muss auf dem Server autorisiert werden. Unsichere API APIs sind Schnittstellen zwischen Anwendungen. Risiken: fehlende Authentifizierung fehlende Autorisierung zu viele Daten in Antwort keine Rate Limits unsichere Tokens unsichere CORS-Konfiguration fehlende Eingabeprüfung detaillierte Fehlermeldungen Merksatz: APIs brauchen dieselben Sicherheitsprüfungen wie Weboberflächen. CORS CORS steht für: Cross-Origin Resource Sharing CORS steuert, welche fremden Webseiten im Browser auf eine API zugreifen dürfen. Unsichere CORS-Konfigurationen können gefährlich sein, wenn zu viele Ursprünge erlaubt werden. Merksatz: CORS regelt Browserzugriffe zwischen verschiedenen Ursprüngen. Rate Limiting bei APIs APIs sollten Anfragen begrenzen. Schutz gegen: Brute Force Scraping DDoS auf Anwendungsebene Missbrauch von API-Schlüsseln unbeabsichtigte Überlastung Merksatz: APIs brauchen Rate Limits gegen Missbrauch und Überlastung. Unsichere Fehlerausgaben Fehlermeldungen können Angreifern helfen. Problematische Informationen: Datenbankfehler Pfade Stacktraces Versionsnummern interne IP-Adressen verwendete Frameworks SQL-Abfragen geheime Konfigurationen Merksatz: Fehlermeldungen für Benutzer knapp, Details nur intern loggen. Security Headers Security Headers sind HTTP-Header, die Browser-Sicherheitsfunktionen steuern. Beispiele: Content-Security-Policy Strict-Transport-Security X-Content-Type-Options Referrer-Policy X-Frame-Options oder frame-ancestors Merksatz: Security Headers härten Webanwendungen im Browser. HSTS HSTS steht für: HTTP Strict Transport Security HSTS weist Browser an, eine Webseite nur per HTTPS aufzurufen. Vorteil: Schutz vor Downgrade auf HTTP Merksatz: HSTS erzwingt HTTPS im Browser. Clickjacking Clickjacking bedeutet: Benutzer werden dazu gebracht, auf etwas zu klicken, ohne zu erkennen, was sie tatsächlich anklicken. Oft wird eine echte Webseite unsichtbar oder überlagert eingebettet. Schutz: X-Frame-Options Content-Security-Policy frame-ancestors Merksatz: Clickjacking täuscht Benutzer bei Klickaktionen. Unsichere Konfiguration Unsichere Webkonfigurationen sind häufig. Beispiele: Standardpasswörter Debug-Modus aktiv Verzeichnislisting aktiv unnötige Dienste alte TLS-Versionen unsichere Cipher Suites fehlende Security Headers Adminoberfläche öffentlich erreichbar Testdaten in Produktion Beispielseiten aktiv Merksatz: Sichere Webanwendungen brauchen sichere Konfiguration. Verzeichnislisting Verzeichnislisting bedeutet: Webserver zeigt den Inhalt eines Ordners an, wenn keine Startdatei vorhanden ist. Risiko: Dateien werden sichtbar, die nicht sichtbar sein sollten. Beispiele: Backups alte Versionen Konfigurationsdateien Uploads Skripte Merksatz: Verzeichnislisting auf Webservern deaktivieren. Web Application Firewall Web Application Firewall wird abgekürzt: WAF Eine WAF filtert HTTP- und HTTPS-Anfragen. Sie kann helfen gegen: SQL Injection XSS bekannte Angriffsmuster bösartige Bots verdächtige Parameter bestimmte Protokollverstöße Wichtig: Eine WAF ersetzt keine sichere Programmierung. Merksatz: WAF ist zusätzliche Schutzschicht, kein Ersatz für sicheren Code. Secure Coding Secure Coding bedeutet: Software wird von Anfang an sicher entwickelt. Dazu gehören: Eingabevalidierung Ausgabe-Escaping parametrisierte Datenbankabfragen sichere Authentifizierung Zugriffskontrolle sichere Fehlerbehandlung sichere Sessionverwaltung sichere Dateiverarbeitung Code Reviews Sicherheitstests Merksatz: Sicherheit muss in der Entwicklung mitgedacht werden. Code Review Code Review bedeutet: Quellcode wird von anderen Personen geprüft. Ziele: Fehler finden Sicherheitsprobleme erkennen Qualität verbessern Wissen teilen Standards einhalten Merksatz: Code Reviews helfen, Sicherheitsfehler früh zu finden. Penetrationstest Ein Penetrationstest ist eine geplante Sicherheitsprüfung, bei der Systeme kontrolliert auf Schwachstellen getestet werden. Wichtig: klarer Auftrag definierter Umfang erlaubter Zeitraum Dokumentation keine unkontrollierte Beschädigung Bericht mit Maßnahmen Merksatz: Penetrationstest ist kontrollierte Angriffssimulation. Schwachstellenscan Ein Schwachstellenscan sucht automatisiert nach bekannten Schwachstellen. Er prüft zum Beispiel: veraltete Software offene Ports bekannte CVEs unsichere Dienste fehlende Patches schwache TLS-Konfiguration Merksatz: Schwachstellenscan findet bekannte Probleme, ersetzt aber keinen vollständigen Penetrationstest. OWASP OWASP steht für: Open Worldwide Application Security Project OWASP ist bekannt für Sicherheitswissen zu Webanwendungen, zum Beispiel Listen häufiger Webrisiken. Für Prüfungen ist wichtig: Webanwendungen brauchen systematische Sicherheitsmaßnahmen. Merksatz: OWASP steht für praxisnahes Webanwendungs-Sicherheitswissen. Typische Webschutzmaßnahmen Wichtige Maßnahmen: Eingaben validieren Ausgaben escapen Prepared Statements CSRF-Token sichere Cookies Security Headers HTTPS HSTS MFA Rate Limiting Rollen- und Rechteprüfung sichere Datei-Uploads sichere Fehlerbehandlung Logging Monitoring Code Reviews WAF Patchmanagement Merksatz: Websicherheit braucht sichere Entwicklung, sichere Konfiguration und Überwachung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist SQL Injection? - Wie schützt man sich vor SQL Injection? - Was sind Prepared Statements? - Was ist Cross-Site Scripting? - Was ist der Unterschied zwischen Stored XSS und Reflected XSS? - Wie schützt man sich vor XSS? - Was ist Cross-Site Request Forgery? - Wie schützen CSRF-Token? - Was ist Directory Traversal? - Warum sind Datei-Uploads gefährlich? - Was ist eine Webshell? - Was bedeutet Broken Authentication? - Was bedeutet Broken Access Control? - Was ist IDOR? - Warum muss Zugriff serverseitig geprüft werden? - Was ist CORS? - Warum brauchen APIs Rate Limiting? - Was ist HSTS? - Was ist Clickjacking? - Was ist eine WAF? - Warum ersetzt eine WAF keine sichere Programmierung? Typische Prüfungsfallen Frontend-Validierung ist keine Sicherheitsgrenze. Sicherheitsprüfung gehört ins Backend. SQL Injection betrifft Datenbankabfragen. Prepared Statements schützen gegen SQL Injection. XSS betrifft Browser anderer Benutzer. XSS-Schutz braucht korrektes Escaping. Stored XSS wird gespeichert. Reflected XSS kommt über Anfrage zurück. DOM-XSS entsteht im Browser. CSRF missbraucht bestehende Anmeldung. CSRF ist nicht dasselbe wie XSS. SameSite Cookies helfen gegen CSRF. Directory Traversal nutzt Dateipfade aus. Datei-Uploads nie ungeprüft ausführbar speichern. Webshell kann Server fernsteuerbar machen. Broken Authentication betrifft Anmeldung und Sitzung. Broken Access Control betrifft Berechtigungen. Versteckte Buttons sind keine Zugriffskontrolle. IDOR entsteht durch fehlende Objektprüfung. APIs brauchen Authentifizierung, Autorisierung und Rate Limits. Fehlerdetails nicht öffentlich anzeigen. HSTS erzwingt HTTPS. WAF ersetzt keinen sicheren Code. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Webangriff Angriff auf Webanwendung oder API Eingabevalidierung Prüfung von Benutzereingaben Frontend Browser- oder Client-Seite Backend Server-Seite SQL Injection Einschleusen von SQL-Code Prepared Statement getrennte SQL-Abfrage mit Parametern XSS Cross-Site Scripting Stored XSS dauerhaft gespeichertes XSS Reflected XSS XSS über zurückgespiegelte Anfrage DOM-XSS XSS durch Browser-DOM-Verarbeitung Escaping Umwandeln von Sonderzeichen CSP Content Security Policy HttpOnly Cookie nicht per JavaScript lesbar Secure Cookie Cookie nur über HTTPS SameSite Cookie-Regel für fremde Seiten CSRF Cross-Site Request Forgery CSRF-Token Schutzwert gegen CSRF Directory Traversal Zugriff über manipulierte Pfade File Upload Attack Angriff über hochgeladene Datei Webshell Webskript zur Fernsteuerung Broken Authentication unsichere Anmeldung oder Sitzung Broken Access Control fehlerhafte Zugriffskontrolle IDOR Zugriff über unsichere Objekt-ID API Programmierschnittstelle CORS Cross-Origin Resource Sharing Rate Limiting Begrenzung von Anfragen Security Headers HTTP-Sicherheitsheader HSTS HTTPS-Erzwingung Clickjacking Täuschung bei Klickaktionen WAF Web Application Firewall Secure Coding sichere Softwareentwicklung Code Review Prüfung von Quellcode Penetrationstest kontrollierte Angriffssimulation Schwachstellenscan automatisierte Suche bekannter Schwachstellen OWASP Organisation für Webanwendungssicherheit IHK-sichere Kurzformulierung Webangriffe richten sich gegen Webanwendungen, APIs, Sitzungen, Eingaben und Datenbanken. SQL Injection entsteht, wenn Benutzereingaben unsicher in Datenbankabfragen eingebaut werden; Schutz bieten Prepared Statements und parametrisierte Abfragen. Cross-Site Scripting schleust Skriptcode in Webseiten ein, der im Browser anderer Benutzer ausgeführt wird; Schutz bieten korrektes Escaping, sichere Frameworks, Content Security Policy und sichere Cookies. Cross-Site Request Forgery missbraucht eine bestehende Anmeldung, um ungewollte Aktionen auszulösen; Schutz bieten CSRF-Token und SameSite Cookies. Weitere Risiken sind unsichere Datei-Uploads, Directory Traversal, Broken Authentication, Broken Access Control, unsichere APIs und unsichere Konfiguration. Eine WAF kann unterstützen, ersetzt aber keine sichere Programmierung. Merksätze Webanwendungen sind häufig öffentlich erreichbar. Benutzereingaben niemals blind vertrauen. Frontend-Prüfung ist keine Sicherheitsgrenze. Sicherheitsprüfung gehört ins Backend. SQL Injection macht Eingabe zu SQL-Befehl. Prepared Statements trennen Befehl und Wert. Datenbankrechte begrenzen. XSS führt Skript im Browser aus. Stored XSS wird gespeichert. Reflected XSS kommt über Anfrage zurück. DOM-XSS entsteht im Browser. Escaping macht Code zu Text. CSP begrenzt ausführbare Inhalte. HttpOnly schützt Cookies vor JavaScript-Zugriff. Secure Cookie nur über HTTPS. SameSite hilft gegen CSRF. CSRF missbraucht bestehende Anmeldung. CSRF-Token schützt vor fremden Aktionen. SQL Injection, XSS und CSRF nicht verwechseln. Directory Traversal nutzt Pfade aus. Datei-Uploads streng prüfen. Webshell bedeutet Fernsteuerungsrisiko. Broken Authentication betrifft Anmeldung. Broken Access Control betrifft Rechte. IDOR ist fehlende Objektberechtigung. APIs brauchen dieselbe Sicherheit wie Weboberflächen. CORS nicht zu breit erlauben. Rate Limiting schützt APIs. Fehlerdetails nicht öffentlich anzeigen. Security Headers härten Browser-Schutz. HSTS erzwingt HTTPS. Clickjacking täuscht Klicks. WAF ist Zusatzschutz. WAF ersetzt keinen sicheren Code. Secure Coding früh einplanen. Code Reviews finden Fehler früh. Schwachstellenscan findet bekannte Probleme. Penetrationstest prüft kontrolliert tiefer. 16.6 Schwachstellen, Patchmanagement und Hardening Schwachstellen sind Sicherheitslücken, die von Angreifern ausgenutzt werden können. Sie können entstehen durch: - Programmierfehler - veraltete Software - unsichere Standardkonfiguration - schwache Passwörter - fehlende Zugriffskontrolle - offene Ports - unnötige Dienste - falsche Berechtigungen - unsichere Protokolle - fehlende Updates - menschliche Fehler Merksatz: Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke. Warum Schwachstellen gefährlich sind Schwachstellen können dazu führen, dass Angreifer: Systeme übernehmen Daten auslesen Daten verändern Dienste stören Malware einschleusen Rechte ausweiten interne Systeme erreichen Sicherheitsfunktionen umgehen Merksatz: Schwachstellen sind oft der Einstiegspunkt für Angriffe. Schwachstelle, Bedrohung und Risiko unterscheiden Begriff Bedeutung Beispiel Schwachstelle ausnutzbare Lücke ungepatchter Server Bedrohung mögliches schädliches Ereignis Angreifer nutzt Lücke aus Risiko Wahrscheinlichkeit und Auswirkung Serverübernahme mit Datenabfluss Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. Beispiele für technische Schwachstellen Typische technische Schwachstellen: veraltetes Betriebssystem ungepatchter Webserver veraltete VPN-Appliance unsichere TLS-Version Standardpasswort offener RDP-Port öffentlich erreichbare Datenbank unsichere API fehlende Eingabeprüfung fehlerhafte Zugriffskontrolle veraltete Bibliothek unsicheres Container-Image Merksatz: Technische Schwachstellen entstehen oft durch alte Versionen oder falsche Konfiguration. Beispiele für organisatorische Schwachstellen Organisatorische Schwachstellen sind zum Beispiel: keine Zuständigkeiten keine regelmäßigen Updates keine Rechteprüfung kein Backup-Konzept keine Restore-Tests keine Sicherheitsrichtlinie kein Offboarding-Prozess keine Dokumentation keine Notfallplanung keine Schulung Merksatz: Organisation kann genauso Schwachstelle sein wie Technik. Beispiele für menschliche Schwachstellen Menschliche Schwachstellen entstehen durch: fehlendes Sicherheitsbewusstsein Passwort-Wiederverwendung unkritisches Öffnen von Anhängen Bestätigen unbekannter MFA-Anfragen Weitergabe von Zugangsdaten Umgehen von Prozessen fehlende Schulung Zeitdruck Gewohnheit Merksatz: Menschen brauchen klare Prozesse und Schulung, nicht nur technische Regeln. CVE CVE steht für: Common Vulnerabilities and Exposures CVE ist eine standardisierte Kennung für bekannte Schwachstellen. Beispielprinzip: CVE-Jahr-Nummer Eine CVE beschreibt eine bekannte Schwachstelle, damit Hersteller, Administratoren und Sicherheitswerkzeuge eindeutig darüber sprechen können. Merksatz: CVE ist eine eindeutige Kennung für bekannte Schwachstellen. CVSS CVSS steht für: Common Vulnerability Scoring System CVSS bewertet, wie kritisch eine Schwachstelle ist. Der Wert liegt üblicherweise zwischen: 0,0 und 10,0 Je höher der Wert, desto kritischer ist die Schwachstelle. Merksatz: CVSS bewertet die Kritikalität einer Schwachstelle. CVSS richtig einordnen Ein hoher CVSS-Wert bedeutet: Schwachstelle ist technisch kritisch. Aber für die Praxis muss zusätzlich geprüft werden: Ist das System betroffen? Ist der Dienst erreichbar? Gibt es bereits Ausnutzung? Gibt es Schutzmaßnahmen? Sind sensible Daten betroffen? Ist das System geschäftskritisch? Gibt es einen Patch? Gibt es einen Workaround? Merksatz: CVSS hilft bei Priorisierung, ersetzt aber keine Risikoanalyse. Exploit Ein Exploit ist eine Methode oder ein Code, mit dem eine Schwachstelle ausgenutzt wird. Beispiele: Exploit für veralteten Webserver Exploit für ungepatchte VPN-Appliance Exploit für fehlerhafte Bibliothek Exploit für unsichere Eingabeprüfung Merksatz: Exploit = Ausnutzung einer Schwachstelle. Zero-Day-Schwachstelle Eine Zero-Day-Schwachstelle ist eine Schwachstelle, für die noch kein Patch verfügbar ist oder die dem Hersteller noch nicht bekannt ist. Ein Zero-Day-Angriff nutzt diese Schwachstelle aus. Schutz ist schwieriger, aber möglich durch: Defense in Depth Least Privilege Netzwerksegmentierung EDR WAF Monitoring Härtung schnelle Reaktion Merksatz: Zero-Day bedeutet: Angriff vor verfügbarem regulärem Patch. Patch Ein Patch ist eine Korrektur oder Aktualisierung. Ein Patch kann beheben: Sicherheitslücke Programmfehler Stabilitätsproblem Kompatibilitätsproblem Merksatz: Patch = Korrektur oder Sicherheitsupdate. Update und Upgrade unterscheiden Update: kleinere Aktualisierung Fehlerbehebung Sicherheitskorrektur Versionspflege Upgrade: größere Versionsänderung neue Hauptversion neue Funktionen größere technische Änderung Merksatz: Update ist meist kleiner. Upgrade ist meist größer. Patchmanagement Patchmanagement bedeutet: Updates werden geplant, geprüft, verteilt und kontrolliert. Patchmanagement betrifft: Betriebssysteme Anwendungen Browser Serverdienste Datenbanken Firewalls Router Switches VPN-Gateways Firmware Container-Images Bibliotheken Cloud-Systeme Merksatz: Patchmanagement ist die organisierte Verwaltung von Sicherheitsupdates. Warum Patchmanagement wichtig ist Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen, für die bereits Updates existieren. Ohne Patchmanagement bleiben Systeme unnötig angreifbar. Typische Folgen: Malware-Infektion Ransomware Datenabfluss Systemübernahme Ausfall laterale Bewegung im Netzwerk Merksatz: Ungepatchte Systeme sind leichte Ziele. Patchmanagement-Ablauf Ein sinnvoller Ablauf: 1. Systeme inventarisieren. 2. Schwachstelleninformationen prüfen. 3. Betroffenheit bewerten. 4. Kritikalität priorisieren. 5. Patch testen. 6. Wartungsfenster planen. 7. Patch ausrollen. 8. Funktion prüfen. 9. Erfolg dokumentieren. 10. Rest-Risiken bewerten. Merksatz: Patchmanagement braucht Überblick, Priorisierung, Test und Dokumentation. Inventarisierung Inventarisierung bedeutet: Es wird erfasst, welche Systeme, Software, Versionen und Komponenten vorhanden sind. Ohne Inventar ist unklar: Welche Systeme sind betroffen? Welche Version läuft? Wer ist verantwortlich? Wo muss gepatcht werden? Welche Systeme sind kritisch? Merksatz: Was nicht bekannt ist, kann nicht zuverlässig gepatcht werden. Asset Ein Asset ist ein Wert oder eine Ressource, die geschützt werden muss. Beispiele: Server Notebook Anwendung Datenbank Firewall Switch Cloud-Ressource Benutzerkonto Datenbestand Zertifikat API-Schlüssel Merksatz: Asset = schützenswerte Ressource. Asset Management Asset Management bedeutet: IT-Ressourcen werden erfasst, verwaltet bewertet und über ihren Lebenszyklus verfolgt. Wichtig für: Patchmanagement Lizenzmanagement Sicherheitsbewertung Kostenkontrolle Verantwortlichkeiten Notfallplanung Merksatz: Asset Management ist Grundlage für geordneten IT-Betrieb. Priorisierung von Patches Nicht alle Patches können immer gleichzeitig installiert werden. Priorisierung nach: Kritikalität der Schwachstelle Ausnutzbarkeit betroffene Systeme öffentliche Erreichbarkeit Geschäftskritikalität vorhandene Schutzmaßnahmen bekannte Angriffe Datenklassifizierung Aufwand und Risiko des Updates Merksatz: Kritische, ausnutzbare und öffentlich erreichbare Systeme zuerst patchen. Notfallpatch Ein Notfallpatch wird schnell eingespielt, wenn eine Schwachstelle besonders kritisch ist. Beispiele: aktive Ausnutzung bekannt öffentlich erreichbarer Dienst betroffen Ransomware nutzt Lücke aus keine ausreichende Schutzmaßnahme vorhanden Merksatz: Kritische Schwachstellen können außerplanmäßige Updates erfordern. Wartungsfenster Ein Wartungsfenster ist ein geplanter Zeitraum, in dem Änderungen durchgeführt werden. Ziele: Benutzer informieren Ausfallzeit planen Risiken reduzieren Rollback vorbereiten Verantwortliche erreichbar halten Merksatz: Wartungsfenster machen Änderungen planbar. Rollback Rollback bedeutet: Eine Änderung wird zurückgenommen. Beispiele: Patch deinstallieren Snapshot zurückspielen Konfiguration wiederherstellen alte Version aktivieren Backup wiederherstellen Wichtig: Rollback muss vor der Änderung geplant sein. Merksatz: Jede kritische Änderung braucht einen Rückweg. Patch testen Patches sollten geprüft werden, besonders bei kritischen Systemen. Zu prüfen: startet das System? läuft die Anwendung? funktionieren Dienste? gibt es Kompatibilitätsprobleme? funktionieren Schnittstellen? sind Performance-Probleme entstanden? funktioniert Backup weiterhin? Merksatz: Patchen ohne Test kann neue Störungen erzeugen. Patch-Erfolg prüfen Nach dem Patchen muss geprüft werden: Version aktualisiert? Schwachstelle geschlossen? Dienste laufen? Logs unauffällig? Monitoring grün? Benutzer können arbeiten? Schwachstellenscan bestätigt Erfolg? Merksatz: Patch abgeschlossen heißt: Wirkung und Betrieb geprüft. Patchmanagement und Dokumentation Dokumentiert werden sollten: betroffene Systeme alte Version neue Version Zeitpunkt Verantwortlicher Grund Testergebnis Rollback-Plan bekannte Probleme offene Rest-Risiken Merksatz: Dokumentation macht Änderungen nachvollziehbar. Firmware-Updates Firmware ist Software, die direkt auf Geräten läuft. Betroffene Geräte: Router Switches Firewalls Access Points Drucker NAS Serverhardware SSDs IoT-Geräte Firmware-Updates sind wichtig, weil Netzwerkgeräte oft dauerhaft erreichbar und sicherheitskritisch sind. Merksatz: Auch Netzwerkgeräte und Firmware müssen gepatcht werden. Patchmanagement bei Netzwerkgeräten Bei Netzwerkgeräten besonders beachten: Konfiguration sichern Firmware-Kompatibilität prüfen Wartungsfenster planen Redundanz prüfen Zugriff nach Update testen Rollback-Möglichkeit prüfen Monitoring beobachten Merksatz: Netzwerkgeräte-Updates brauchen besondere Vorsicht, weil sie Verbindungen beeinflussen. Patchmanagement bei Servern Bei Servern beachten: Dienste prüfen Abhängigkeiten prüfen Backups erstellen Wartungsfenster planen Neustarts berücksichtigen Anwendungskompatibilität prüfen Monitoring nach Update prüfen Merksatz: Serverpatches betreffen oft mehrere Dienste gleichzeitig. Patchmanagement bei Clients Bei Clients beachten: Betriebssystemupdates Browserupdates Office-Updates PDF-Reader E-Mail-Client VPN-Client Sicherheitssoftware Treiber lokale Anwendungen Merksatz: Clients sind häufige Einstiegspunkte und müssen aktuell bleiben. Patchmanagement bei Cloud Cloud-Patchverantwortung hängt vom Service-Modell ab. IaaS: Kunde patcht Betriebssystem, Anwendungen und eigene Dienste. PaaS: Anbieter patcht Plattform, Kunde patcht Anwendung, Code und Abhängigkeiten. SaaS: Anbieter patcht Anwendung, Kunde prüft Einstellungen, Benutzer, Rechte und Sicherheit. Merksatz: Cloud nimmt nicht jede Patchverantwortung ab. Patchmanagement bei Containern Container müssen ebenfalls gepflegt werden. Zu prüfen: Basisimage Bibliotheken Laufzeitumgebung Anwendungscode Paketabhängigkeiten Secrets im Image unsichere Konfiguration Container-Registry Maßnahmen: Images regelmäßig neu bauen Images scannen minimale Images nutzen veraltete Images ersetzen keine unnötigen Pakete installieren Merksatz: Container-Images altern und müssen aktualisiert werden. Dependency Management Dependency Management bedeutet: Abhängigkeiten einer Software werden verwaltet. Beispiele: Bibliotheken Frameworks Pakete Module Container-Basisimages Plugins Risiko: Eine verwundbare Bibliothek kann die ganze Anwendung gefährden. Merksatz: Auch Abhängigkeiten sind Teil der Sicherheit. SBOM SBOM steht für: Software Bill of Materials Eine SBOM listet Softwarebestandteile einer Anwendung auf. Beispiele: Bibliotheken Versionen Komponenten Abhängigkeiten Nutzen: schneller erkennen, ob eine bekannte Schwachstelle betroffen ist. Merksatz: SBOM ist eine Stückliste für Softwarebestandteile. Schwachstellenscan Ein Schwachstellenscan sucht automatisch nach bekannten Schwachstellen. Er prüft zum Beispiel: offene Ports Dienstversionen bekannte CVEs fehlende Patches unsichere TLS-Konfiguration Standarddienste schwache Konfigurationen verwundbare Bibliotheken Merksatz: Schwachstellenscan findet bekannte technische Probleme. Grenzen von Schwachstellenscans Ein Schwachstellenscan erkennt nicht alles. Grenzen: unbekannte Schwachstellen Logikfehler in Anwendungen komplexe Rechtefehler falsch bewertete Ergebnisse fehlende Zugangsdaten beim Scan Fehlalarme nicht erreichbare Systeme Merksatz: Schwachstellenscan unterstützt, ersetzt aber keine Sicherheitsanalyse. False Positive und False Negative False Positive: Ein Problem wird gemeldet, obwohl es nicht wirklich besteht. False Negative: Ein Problem wird nicht gemeldet, obwohl es besteht. Merksatz: Scan-Ergebnisse müssen bewertet werden. Penetrationstest Ein Penetrationstest ist eine kontrollierte Sicherheitsprüfung, bei der Angriffe simuliert werden. Ziel: Schwachstellen realistisch prüfen Angriffspfade erkennen Auswirkungen bewerten Maßnahmen ableiten Wichtig: schriftlicher Auftrag definierter Umfang erlaubter Zeitraum klare Regeln Abschlussbericht Merksatz: Penetrationstest ist kontrollierte Angriffssimulation. Schwachstellenscan und Penetrationstest vergleichen Merkmal Schwachstellenscan Penetrationstest Art automatisiert manuell und automatisiert Ziel bekannte Schwachstellen finden Angriffswege bewerten Tiefe eher breit tiefer und kontextbezogener Ergebnis Liste möglicher Schwachstellen bewerteter Sicherheitsbericht Grenze Fehlalarme möglich zeitlich und fachlich begrenzt Merksatz: Scan findet Hinweise. Penetrationstest bewertet Angriffsrealität. Hardening Hardening bedeutet: Systeme werden sicherer konfiguriert, indem unnötige Funktionen entfernt und sichere Einstellungen gesetzt werden. Ziel: Angriffsfläche reduzieren Merksatz: Hardening reduziert unnötige Angriffsmöglichkeiten. Warum Hardening wichtig ist Viele Systeme werden mit Standardfunktionen ausgeliefert, die nicht immer benötigt werden. Beispiele: Standardkonten Beispieldateien Testseiten offene Dienste unnötige Module alte Protokolle unsichere Standardwerte Verzeichnislisting Merksatz: Standardkonfiguration ist nicht automatisch sicher. Hardening-Grundregeln Wichtige Grundregeln: unnötige Dienste deaktivieren offene Ports reduzieren Standardpasswörter ändern Standardkonten deaktivieren sichere Protokolle nutzen alte Protokolle abschalten Rechte minimieren Logging aktivieren sichere Konfiguration dokumentieren Zugriff beschränken Updates einspielen Merksatz: Nur aktivieren, was wirklich benötigt wird. Betriebssystem-Hardening Maßnahmen: unnötige Dienste deaktivieren lokale Firewall aktivieren Benutzerrechte begrenzen sichere Passwortrichtlinien automatische Updates planen Protokollierung aktivieren unsichere Freigaben entfernen Adminzugriffe begrenzen Standardkonten prüfen Systemdateien schützen Merksatz: Betriebssysteme brauchen sichere Grundkonfiguration. Server-Hardening Maßnahmen: nur benötigte Rollen installieren Dienste auf notwendige Ports begrenzen Adminzugänge beschränken TLS korrekt konfigurieren Sicherheitsheader setzen Fehlerausgaben reduzieren Logs aktivieren Dateirechte prüfen Backup-Zugriff schützen Monitoring einrichten Merksatz: Server sollen nur notwendige Dienste bereitstellen. Webserver-Hardening Maßnahmen: Verzeichnislisting deaktivieren unnötige Module entfernen alte TLS-Versionen deaktivieren Security Headers setzen Fehlermeldungen begrenzen Standardseiten entfernen Upload-Verzeichnisse absichern Dateirechte begrenzen Adminoberflächen schützen Logs aktivieren Merksatz: Webserver nicht mit unsicheren Standardfunktionen betreiben. Datenbank-Hardening Maßnahmen: nicht öffentlich erreichbar machen starke Authentifizierung Datenbankbenutzerrechte begrenzen Standardkonten deaktivieren Verschlüsselung prüfen Backups schützen Logging aktivieren Netzwerkzugriff einschränken Sicherheitsupdates einspielen keine Testdaten in Produktion Merksatz: Datenbanken gehören besonders geschützt. Netzwerkgeräte-Hardening Maßnahmen: Standardpasswörter ändern Managementzugang beschränken unsichere Protokolle deaktivieren SSH statt Telnet HTTPS statt HTTP SNMP sicher konfigurieren Firmware aktuell halten ungenutzte Ports deaktivieren Konfiguration sichern Logging an zentralen Server senden Merksatz: Netzwerkgeräte sind sicherheitskritische Infrastruktur. Client-Hardening Maßnahmen: keine lokalen Adminrechte automatische Updates EDR oder Antivirus Makros einschränken Application Control Festplattenverschlüsselung Bildschirmsperre sichere Browserkonfiguration USB-Regeln Firewall aktivieren Merksatz: Clients sind häufige Einstiegspunkte und müssen gehärtet werden. Cloud-Hardening Maßnahmen: MFA erzwingen IAM minimal berechtigen öffentliche IPs begrenzen Security Groups eng setzen Storage nicht öffentlich freigeben Audit-Logs aktivieren Verschlüsselung aktivieren Schlüsselverwaltung klären Kostenalarme setzen ungenutzte Ressourcen löschen Standardrollen prüfen Merksatz: Cloud-Hardening bedeutet sichere Konfiguration von Identitäten, Netzwerken, Daten und Diensten. Container-Hardening Maßnahmen: minimale Images verwenden keine Root-Ausführung, wenn nicht nötig keine Secrets im Image Images scannen nur vertrauenswürdige Registries Schreibrechte begrenzen Netzwerkzugriffe begrenzen Ressourcenlimits setzen unnötige Tools entfernen Images regelmäßig neu bauen Merksatz: Container sollten klein, aktuell und rechtearm sein. Konfigurationsbaseline Eine Baseline ist eine festgelegte Standardkonfiguration. Sie beschreibt, wie ein System sicher eingerichtet sein soll. Beispiele: erlaubte Dienste Passwortregeln Logging-Einstellungen Firewall-Grundregeln Update-Einstellungen TLS-Vorgaben Rechtevorgaben Merksatz: Baseline = definierter sicherer Grundzustand. Configuration Drift Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Baseline ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Installationen ungeprüfte Anpassungen Merksatz: Configuration Drift macht Systeme uneinheitlich und schwerer sicher zu betreiben. Compliance-Scan Ein Compliance-Scan prüft, ob Systeme bestimmte Vorgaben erfüllen. Beispiele: Passwortregeln aktiv? Logging aktiv? Firewall aktiv? Verschlüsselung aktiv? unsichere Dienste deaktiviert? Standardkonten deaktiviert? Patchstand korrekt? Merksatz: Compliance-Scan prüft Einhaltung definierter Sicherheitsvorgaben. Change Management bei Sicherheit Sicherheitsänderungen sollten geplant und dokumentiert werden. Beispiele: Firewall-Regel ändern Adminrolle vergeben Dienst öffnen Patch einspielen Zertifikat erneuern TLS-Version ändern neue VPN-Gruppe erstellen Merksatz: Auch Sicherheitsänderungen brauchen Kontrolle. Vier-Augen-Prinzip Vier-Augen-Prinzip bedeutet: kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben. Beispiele: Adminrechte vergeben Firewall nach außen öffnen Backup löschen Produktivsystem ändern Zahlungsdaten ändern kritische Sicherheitseinstellung deaktivieren Merksatz: Vier-Augen-Prinzip reduziert Fehler und Missbrauch. Regelmäßige Überprüfung Sicherheitsmaßnahmen müssen regelmäßig geprüft werden. Zu prüfen: Patchstand offene Ports Benutzerrechte Adminrechte Firewall-Regeln Backups Restore-Tests Logs Zertifikate Cloud-Freigaben externe Zugänge Merksatz: Sicherheit ist ein laufender Prozess, kein einmaliger Zustand. Typische Fehler bei Patchmanagement Häufige Fehler: kein Inventar keine Zuständigkeit keine Priorisierung kritische Systeme werden vergessen Updates werden nie getestet kein Wartungsfenster kein Rollback-Plan Erfolg wird nicht geprüft Abhängigkeiten werden übersehen Firmware wird vergessen Container-Images bleiben alt Merksatz: Patchmanagement scheitert oft an Organisation, nicht nur an Technik. Typische Fehler bei Hardening Häufige Fehler: Standardpasswörter bleiben aktiv unnötige Dienste laufen offene Ports bleiben erreichbar alte Protokolle bleiben erlaubt Adminzugänge sind zu breit Logs sind deaktiviert Fehlermeldungen zeigen Details Cloud-Speicher ist öffentlich Testsysteme sind ungeschützt Baseline wird nicht kontrolliert Merksatz: Hardening muss überprüfbar und dauerhaft gepflegt sein. Checkliste: Schwachstellen reduzieren Assets erfassen. Versionen dokumentieren. Schwachstellenmeldungen prüfen. Kritikalität bewerten. Patches priorisieren. Updates testen. Wartungsfenster planen. Rollback vorbereiten. Patches ausrollen. Erfolg prüfen. Systeme härten. unnötige Dienste deaktivieren. Rechte begrenzen. Logs aktivieren. regelmäßige Scans durchführen. Maßnahmen dokumentieren. Merksatz: Schwachstellenmanagement verbindet Technik, Prozesse und Dokumentation. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist eine Schwachstelle? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist eine CVE? - Was ist CVSS? - Was ist ein Exploit? - Was ist ein Zero-Day? - Was ist Patchmanagement? - Warum ist Patchmanagement wichtig? - Welche Systeme müssen gepatcht werden? - Warum braucht man ein Inventar? - Wie priorisiert man Patches? - Was ist ein Notfallpatch? - Warum braucht man ein Wartungsfenster? - Was bedeutet Rollback? - Was ist Hardening? - Warum ist Standardkonfiguration nicht automatisch sicher? - Was ist eine Baseline? - Was bedeutet Configuration Drift? - Was ist ein Schwachstellenscan? - Was ist der Unterschied zwischen Schwachstellenscan und Penetrationstest? Typische Prüfungsfallen Schwachstelle, Bedrohung und Risiko nicht verwechseln. CVE benennt bekannte Schwachstellen. CVSS bewertet Kritikalität. Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse. Exploit nutzt eine Schwachstelle aus. Zero-Day hat noch keinen regulären Patch. Patchmanagement ist ein Prozess, nicht nur ein Klick auf Update. Ohne Inventar kein gutes Patchmanagement. Firmware und Netzwerkgeräte nicht vergessen. Container-Images müssen ebenfalls aktualisiert werden. Cloud nimmt nicht jede Patchpflicht ab. Patches priorisieren, nicht blind alles gleich behandeln. Kritische Systeme brauchen Test und Rollback. Hardening reduziert Angriffsfläche. Standardkonfiguration ist nicht automatisch sicher. Unnötige Dienste deaktivieren. Alte Protokolle abschalten. Baseline definiert sicheren Grundzustand. Configuration Drift regelmäßig prüfen. Schwachstellenscan findet bekannte Probleme, aber nicht alles. Penetrationstest ist kontrollierte Angriffssimulation. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Schwachstelle ausnutzbare Sicherheitslücke Bedrohung mögliches schädliches Ereignis Risiko Wahrscheinlichkeit und Auswirkung eines Schadens Schutzmaßnahme reduziert Risiko CVE eindeutige Kennung bekannter Schwachstellen CVSS Bewertung der Kritikalität einer Schwachstelle Exploit Ausnutzung einer Schwachstelle Zero-Day Schwachstelle ohne verfügbaren regulären Patch Patch Korrektur oder Sicherheitsupdate Update kleinere Aktualisierung Upgrade größere Versionsänderung Patchmanagement organisierte Verwaltung von Updates Inventarisierung Erfassung vorhandener Systeme Asset schützenswerte Ressource Asset Management Verwaltung von IT-Ressourcen Notfallpatch schneller Patch bei kritischer Schwachstelle Wartungsfenster geplanter Änderungszeitraum Rollback Rücknahme einer Änderung Firmware Software auf Geräten Dependency Management Verwaltung von Softwareabhängigkeiten SBOM Stückliste von Softwarebestandteilen Schwachstellenscan automatisierte Suche bekannter Schwachstellen False Positive fälschlich gemeldetes Problem False Negative nicht erkannter echter Fehler Penetrationstest kontrollierte Angriffssimulation Hardening sichere Systemhärtung Baseline definierter sicherer Grundzustand Configuration Drift Abweichung von Soll-Konfiguration Compliance-Scan Prüfung auf Einhaltung von Vorgaben Vier-Augen-Prinzip Prüfung durch mindestens zwei Personen IHK-sichere Kurzformulierung Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke in Technik, Konfiguration, Organisation oder Prozessen. Eine Bedrohung ist ein mögliches schädliches Ereignis, während Risiko die Kombination aus Eintrittswahrscheinlichkeit und Schadensauswirkung beschreibt. Bekannte Schwachstellen werden häufig mit CVE-Kennungen beschrieben und mit CVSS nach Kritikalität bewertet. Patchmanagement umfasst das Erfassen betroffener Systeme, Bewerten von Schwachstellen, Priorisieren, Testen, Einspielen und Dokumentieren von Updates. Hardening bedeutet, Systeme sicher zu konfigurieren, unnötige Dienste zu deaktivieren, Rechte zu begrenzen, unsichere Protokolle abzuschalten und sichere Baselines einzuhalten. Schwachstellenscans und Penetrationstests helfen, Sicherheitsprobleme zu erkennen und Maßnahmen abzuleiten. Merksätze Schwachstelle = ausnutzbare Lücke. Bedrohung = mögliches Schadereignis. Risiko = Wahrscheinlichkeit und Auswirkung. Schutzmaßnahme senkt Risiko. CVE benennt bekannte Schwachstellen. CVSS bewertet Kritikalität. Exploit nutzt Schwachstelle aus. Zero-Day hat noch keinen regulären Patch. Patch = Korrektur oder Sicherheitsupdate. Update kleiner, Upgrade größer. Patchmanagement ist ein Prozess. Ohne Inventar kein gutes Patchmanagement. Assets müssen bekannt sein. Kritische Patches priorisieren. Öffentlich erreichbare Systeme zuerst prüfen. Notfallpatch kann außerplanmäßig nötig sein. Wartungsfenster planen. Rollback vorbereiten. Patch-Erfolg prüfen. Firmware nicht vergessen. Netzwerkgeräte müssen aktualisiert werden. Clients sind häufige Einstiegspunkte. Cloud nimmt nicht jede Patchpflicht ab. Container-Images altern. Abhängigkeiten sind Teil der Sicherheit. SBOM zeigt Softwarebestandteile. Schwachstellenscan findet bekannte Probleme. False Positives prüfen. False Negatives bedenken. Penetrationstest prüft Angriffswege. Hardening reduziert Angriffsfläche. Standardkonfiguration ist nicht automatisch sicher. Unnötige Dienste deaktivieren. Rechte minimieren. Alte Protokolle abschalten. Baseline definiert sicheren Grundzustand. Configuration Drift vermeiden. Sicherheit regelmäßig überprüfen. Schwachstellenmanagement braucht Technik, Prozess und Dokumentation. 16.7 Sicherheitsmaßnahmen: Firewall, IDS, IPS, EDR, SIEM und Backup Sicherheitsmaßnahmen schützen Systeme, Netzwerke, Daten und Benutzer vor Angriffen. Es gibt nicht die eine Maßnahme, die alles schützt. Stattdessen werden mehrere Schutzmaßnahmen kombiniert. Typische Sicherheitsmaßnahmen sind: - Firewall - Netzwerksegmentierung - IDS - IPS - Antivirus - EDR - SIEM - MFA - Backup - Patchmanagement - Hardening - Logging - Monitoring - Schulung - Incident Response Merksatz: IT-Sicherheit entsteht durch mehrere Schutzschichten. Warum mehrere Schutzmaßnahmen nötig sind Einzelne Schutzmaßnahmen können versagen. Beispiele: Firewall-Regel ist zu breit. Benutzer fällt auf Phishing herein. Antivirus erkennt neue Malware nicht. Patch ist noch nicht verfügbar. Backup wurde nicht getestet. Passwort wurde wiederverwendet. Adminrechte wurden zu großzügig vergeben. Deshalb braucht man mehrere Schutzschichten. Merksatz: Sicherheit darf nicht von einer einzigen Maßnahme abhängen. Defense in Depth Defense in Depth bedeutet: Sicherheit durch mehrere Schutzschichten. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring plus Schulung Wenn eine Schutzschicht versagt, sollen andere Schichten den Schaden begrenzen. Merksatz: Defense in Depth = mehrschichtige Verteidigung. Prävention, Erkennung und Reaktion Sicherheitsmaßnahmen lassen sich grob einteilen in: Bereich Ziel Beispiele Prävention Angriff verhindern Firewall, MFA, Patchmanagement Erkennung Angriff erkennen IDS, EDR, SIEM, Logging Reaktion Schaden begrenzen Incident Response, Isolation, Restore Merksatz: Gute Sicherheit verhindert, erkennt und reagiert. Firewall Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Sie entscheidet, ob Verkehr erlaubt oder blockiert wird. Typische Kriterien: Quelle Ziel Port Protokoll Richtung Zustand der Verbindung Anwendung je nach Firewalltyp Benutzer je nach System Merksatz: Firewall = kontrollierte Netzwerkgrenze. Firewall-Aufgaben Eine Firewall kann: interne Netze schützen Internetzugriffe filtern DMZ absichern VPN-Zugänge begrenzen Serverdienste schützen Netzwerkbereiche trennen unerwünschten Verkehr blockieren Verbindungsversuche protokollieren Merksatz: Firewalls begrenzen, welche Kommunikation erlaubt ist. Paketfilter-Firewall Eine Paketfilter-Firewall prüft einzelne Pakete anhand einfacher Merkmale. Beispiele: Quell-IP Ziel-IP Quellport Zielport Protokoll Vorteil: schnell grundlegend wirksam Nachteil: erkennt nicht immer den Zusammenhang einer Verbindung versteht Anwendungen nur begrenzt Merksatz: Paketfilter prüfen grundlegende Paketinformationen. Stateful Firewall Eine Stateful Firewall merkt sich Verbindungszustände. Sie erkennt, ob ein Paket zu einer bestehenden erlaubten Verbindung gehört. Vorteil: Rückverkehr kann automatisch korrekt zugeordnet werden. Beispiel: Client baut Verbindung zu Webserver auf. Antwortpakete werden als zugehörig erkannt. Merksatz: Stateful Firewall kennt den Zustand von Verbindungen. Application Firewall Eine Application Firewall prüft Verkehr auf Anwendungsebene. Beispiele: HTTP-Anfragen Webanwendungsangriffe ungewöhnliche Parameter SQL-Injection-Muster XSS-Muster Protokollverstöße Eine Web Application Firewall ist eine spezielle Form für Webanwendungen. Merksatz: Application Firewall schaut tiefer in Anwendungsverkehr. Next-Generation Firewall Eine Next-Generation Firewall kann mehr als einfache Portfilterung. Typische Funktionen: Stateful Inspection Anwendungserkennung Benutzerbezug IDS/IPS-Funktionen URL-Filter Malware-Erkennung VPN Logging Richtlinien nach Anwendungen Merksatz: Next-Generation Firewall kombiniert mehrere Sicherheitsfunktionen. Firewall-Regeln richtig formulieren Gute Firewall-Regeln sind: notwendig eindeutig dokumentiert möglichst eng nach Quelle, Ziel, Port und Protokoll definiert regelmäßig geprüft Schlechte Regel: Any to Any allow Bessere Regel: Webserver darf TCP 5432 zur Datenbank auf bestimmter IP nutzen. Merksatz: Erlaube nur, was wirklich benötigt wird. Default Deny Default Deny bedeutet: standardmäßig ist alles verboten, nur ausdrücklich erlaubter Verkehr ist erlaubt. Vorteil: weniger ungewollte Kommunikation bessere Kontrolle geringere Angriffsfläche Merksatz: Default Deny ist sicherer als pauschales Erlauben. Firewall-Logging Firewall-Logs zeigen, welcher Verkehr erlaubt oder blockiert wurde. Typische Inhalte: Zeit Quelle Ziel Port Protokoll Aktion Regelname Interface Benutzer je nach System Merksatz: Firewall-Logs helfen bei Fehlersuche und Sicherheitsanalyse. Netzwerksegmentierung Netzwerksegmentierung bedeutet: Netzwerke werden in getrennte Bereiche aufgeteilt. Beispiele: Clientnetz Servernetz Managementnetz Gastnetz IoT-Netz Produktionsnetz Backupnetz DMZ Vorteil: Angriffe können sich schlechter ausbreiten. Zugriffe können gezielter gesteuert werden. Merksatz: Segmentierung begrenzt Schaden und Ausbreitung. VLANs als Segmentierung VLANs trennen Netzwerke logisch auf Schicht 2. Beispiele: VLAN 10 Clients VLAN 20 Server VLAN 30 Gäste VLAN 40 Management Zwischen VLANs sollte kontrolliert geroutet und gefiltert werden. Merksatz: VLAN trennt logisch, Firewall-Regeln steuern den Verkehr dazwischen. DMZ als Schutzmaßnahme Eine DMZ ist ein gesonderter Netzwerkbereich für öffentlich erreichbare Dienste. Typische Systeme: Webserver Reverse Proxy Mail-Gateway VPN-Gateway DNS-Server Ziel: öffentliche Dienste vom internen Netz trennen. Merksatz: DMZ schützt interne Netze vor direktem Zugriff aus dem Internet. IDS IDS steht für: Intrusion Detection System Ein IDS erkennt verdächtige Aktivitäten und meldet sie. Es blockiert normalerweise nicht selbst, sondern erzeugt Alarme. Beispiele für Erkennung: Portscan bekannte Angriffssignatur verdächtiger Netzwerkverkehr ungewöhnliche Loginversuche Exploit-Versuch Merksatz: IDS erkennt Angriffe, blockiert aber nicht zwingend. IPS IPS steht für: Intrusion Prevention System Ein IPS erkennt verdächtige Aktivitäten und kann sie zusätzlich blockieren. Beispiele: Verbindung abbrechen Paket verwerfen Quelle blockieren Angriffsmuster stoppen Merksatz: IPS erkennt und verhindert Angriffe aktiv. IDS und IPS vergleichen Merkmal IDS IPS Bedeutung Intrusion Detection System Intrusion Prevention System Hauptaufgabe erkennen und melden erkennen und blockieren Wirkung passiv oder beobachtend aktiv eingreifend Risiko Angriff wird nur gemeldet Fehlalarm kann legitimen Verkehr blockieren Merksatz: IDS meldet. IPS greift ein. Signaturbasierte Erkennung Signaturbasierte Erkennung sucht nach bekannten Mustern. Beispiele: bekannte Malware-Signatur bekannte Exploit-Anfrage bekannter Angriffspfad bekannter Hashwert bekannte Netzwerksequenz Vorteil: gut gegen bekannte Angriffe Nachteil: schwächer gegen neue oder veränderte Angriffe Merksatz: Signaturen erkennen Bekanntes. Anomaliebasierte Erkennung Anomaliebasierte Erkennung sucht nach ungewöhnlichem Verhalten. Beispiele: Benutzer meldet sich plötzlich aus fremdem Land an Server sendet ungewöhnlich viel Datenverkehr Client verbindet sich zu vielen internen Systemen Konto hat plötzlich viele Fehlversuche Prozess verschlüsselt viele Dateien Vorteil: kann neue Angriffe erkennen Nachteil: mehr Fehlalarme möglich Merksatz: Anomalieerkennung erkennt Abweichungen vom Normalverhalten. False Positive und False Negative False Positive: Ein Alarm wird ausgelöst, obwohl kein echter Angriff vorliegt. False Negative: Ein echter Angriff wird nicht erkannt. Beides ist problematisch. Merksatz: Sicherheitsalarme müssen bewertet und verbessert werden. Antivirus Antivirus-Software erkennt und blockiert bekannte Schadsoftware. Typische Funktionen: Dateiscan Echtzeitschutz Signaturprüfung Quarantäne Malware-Entfernung einfache Verhaltensprüfung Grenze: Antivirus allein reicht nicht gegen moderne Angriffe. Merksatz: Antivirus ist eine Schutzschicht, aber kein vollständiges Sicherheitskonzept. EDR EDR steht für: Endpoint Detection and Response EDR überwacht Endgeräte tiefer als klassischer Antivirus. Typische Funktionen: Prozessüberwachung Verhaltensanalyse Angriffserkennung Isolation eines Endgeräts Untersuchung von Vorfällen zentrale Verwaltung Reaktionsmaßnahmen Merksatz: EDR erkennt und untersucht Angriffe auf Endgeräten. Endpoint Ein Endpoint ist ein Endgerät oder System, das im Netzwerk genutzt wird. Beispiele: Notebook Desktop-PC Server virtuelle Maschine mobiles Gerät Cloud-VM Merksatz: Endpoint = Endsystem, auf dem Benutzer oder Dienste arbeiten. EDR-Reaktionen EDR kann bei einem Verdacht reagieren. Beispiele: Prozess beenden Datei isolieren Gerät vom Netzwerk trennen Verbindung blockieren Alarm erzeugen forensische Daten sammeln Datei in Quarantäne verschieben Merksatz: EDR ist nicht nur Erkennung, sondern auch Reaktion. XDR XDR steht für: Extended Detection and Response XDR erweitert Erkennung und Reaktion über mehrere Bereiche. Beispiele: Endgeräte E-Mail Netzwerk Cloud Identitäten Anwendungen Ziel: Ereignisse aus mehreren Quellen zusammenführen. Merksatz: XDR verbindet Sicherheitsdaten aus mehreren Bereichen. SIEM SIEM steht für: Security Information and Event Management Ein SIEM sammelt, speichert und analysiert Sicherheitsereignisse aus vielen Quellen. Quellen können sein: Firewalls Server Clients Cloud-Dienste IAM-Systeme VPN EDR IDS IPS Webserver Datenbanken Merksatz: SIEM ist zentrale Sicherheitslog-Auswertung. SIEM-Aufgaben Ein SIEM hilft bei: Angriffserkennung Korrelation von Ereignissen Alarmierung Nachvollziehbarkeit Compliance forensischer Analyse Reporting Incident Response Beispiel: Viele fehlgeschlagene Logins plus erfolgreicher Login aus fremdem Land plus Datenexport Das SIEM kann diese Ereignisse zusammenführen. Merksatz: SIEM erkennt Zusammenhänge, die einzelne Systeme allein nicht zeigen. Korrelation Korrelation bedeutet: mehrere Ereignisse werden miteinander in Beziehung gesetzt. Beispiel: Loginfehler danach erfolgreicher Login danach Rollenänderung danach Datenexport Ein einzelnes Ereignis wirkt vielleicht harmlos. Zusammen kann es verdächtig sein. Merksatz: Korrelation erkennt Muster über mehrere Logs hinweg. SOC SOC steht für: Security Operations Center Ein SOC überwacht Sicherheitsereignisse, bewertet Alarme und koordiniert Reaktionen. Aufgaben: Monitoring Analyse Alarmbewertung Incident Response Kommunikation Dokumentation Verbesserung von Regeln Merksatz: SOC ist die organisatorische Stelle für Sicherheitsüberwachung. SOAR SOAR steht für: Security Orchestration, Automation and Response SOAR automatisiert Sicherheitsabläufe. Beispiele: verdächtiges Konto automatisch sperren IP-Adresse blockieren Ticket erstellen EDR-Isolation auslösen Logdaten sammeln Benachrichtigung senden Merksatz: SOAR automatisiert Reaktionen auf Sicherheitsereignisse. MFA als Schutzmaßnahme MFA steht für: Multi-Faktor-Authentifizierung MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist. Faktoren können sein: Wissen: Passwort oder PIN Besitz: Smartphone, Token, Smartcard Sein: biometrisches Merkmal Merksatz: MFA reduziert Schaden durch gestohlene Passwörter. Starke Authentifizierung Starke Authentifizierung bedeutet: Anmeldung wird so abgesichert, dass ein einzelnes schwaches Passwort nicht ausreicht. Maßnahmen: MFA Hardwaretoken Zertifikate Conditional Access Risikoanalyse sichere Passwortregeln Passwortmanager Merksatz: Starke Anmeldung schützt Identitäten. Least Privilege als Schutzmaßnahme Least Privilege bedeutet: nur notwendige Rechte vergeben. Vorteile: weniger Schaden bei Kontoübernahme weniger Risiko durch Fehler weniger Angriffsfläche bessere Kontrolle Beispiele: Benutzer kein lokaler Admin Dienstkonto nur mit benötigten Rechten Datenbankkonto ohne unnötige Löschrechte Cloud-Rolle nur für konkrete Aufgabe Merksatz: Weniger Rechte bedeuten weniger möglicher Schaden. Backup als Schutzmaßnahme Backup schützt nicht direkt vor jedem Angriff, aber ermöglicht Wiederherstellung. Besonders wichtig bei: Ransomware versehentlichem Löschen Datenkorruption Fehlkonfiguration Hardwareausfall Systemkompromittierung Merksatz: Backup ist Schutz gegen Datenverlust und Ausfallfolgen. Gutes Backup-Konzept Ein gutes Backup-Konzept klärt: was gesichert wird wie oft gesichert wird wie lange gesichert wird wo gesichert wird wer Zugriff hat wie Wiederherstellung getestet wird wie Backups geschützt werden wie schnell wiederhergestellt werden muss wie viel Datenverlust erlaubt ist Merksatz: Backup ohne Restore-Test ist unvollständig. Immutable Backup Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht gelöscht oder verändert werden. Vorteile: Schutz vor Ransomware Schutz vor kompromittierten Adminzugängen Schutz vor versehentlicher Löschung Merksatz: Immutable Backups schützen Wiederherstellungsmöglichkeiten. Restore-Test Ein Restore-Test prüft, ob Wiederherstellung wirklich funktioniert. Zu prüfen: Daten vollständig? Anwendung startet? Rechte passen? Schlüssel vorhanden? Wiederherstellungszeit akzeptabel? Daten konsistent? Dokumentation korrekt? Merksatz: Nur getestete Backups sind verlässlich. Logging als Schutzmaßnahme Logging bedeutet: Ereignisse werden protokolliert. Wichtige Logs: Anmeldungen Adminaktionen Firewall-Entscheidungen Dateiänderungen Datenbankzugriffe VPN-Zugriffe Cloud-Audit-Logs EDR-Meldungen Webserver-Logs Merksatz: Logs machen Ereignisse nachvollziehbar. Monitoring als Schutzmaßnahme Monitoring überwacht Zustände und Metriken. Beispiele: ungewöhnliche Netzlast viele Loginfehler CPU-Spitzen Speicher voll Dienst nicht erreichbar Zertifikat läuft ab Backup fehlgeschlagen viele Firewall-Drops Merksatz: Monitoring erkennt Probleme früh. Alarmierung Alarmierung informiert Verantwortliche automatisch, wenn Grenzwerte oder Sicherheitsereignisse auftreten. Beispiele: Malware-Fund viele fehlgeschlagene Logins Adminrolle vergeben Backup fehlgeschlagen ungewöhnlicher Datenexport DDoS-Anzeichen Cloud-Kostenanstieg Merksatz: Alarmierung macht kritische Ereignisse sichtbar. Security Awareness Security Awareness bedeutet: Benutzer werden für Sicherheitsrisiken sensibilisiert. Themen: Phishing erkennen Passwörter sicher nutzen MFA-Anfragen richtig bewerten vertrauliche Daten schützen verdächtige Vorfälle melden sichere Nutzung von Cloud-Diensten Umgang mit USB-Geräten Social Engineering erkennen Merksatz: Schulung macht Benutzer zu einem Teil der Verteidigung. Incident Response Incident Response bedeutet: geplantes Vorgehen bei Sicherheitsvorfällen. Typische Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. Containment Containment bedeutet: einen Sicherheitsvorfall eindämmen. Beispiele: infiziertes Gerät isolieren Konto sperren API-Schlüssel widerrufen Firewall-Regel setzen VPN-Zugang deaktivieren kompromittierten Server vom Netz nehmen Ausbreitung stoppen Merksatz: Containment begrenzt Schaden und Ausbreitung. Eradication Eradication bedeutet: Ursache und Schadsoftware werden entfernt. Beispiele: Malware entfernen System neu aufsetzen Schwachstelle patchen Backdoor entfernen unsichere Konfiguration korrigieren kompromittierte Zugangsdaten ersetzen Merksatz: Eradication beseitigt die Ursache des Vorfalls. Recovery Recovery bedeutet: Systeme werden wiederhergestellt und kontrolliert in Betrieb genommen. Dazu gehören: Restore aus Backup Systeme prüfen Dienste starten Monitoring beobachten Benutzer informieren erneute Kompromittierung ausschließen Merksatz: Recovery bringt Systeme sicher zurück in den Betrieb. Lessons Learned Lessons Learned bedeutet: Nach einem Vorfall wird ausgewertet, was verbessert werden muss. Fragen: Wie kam es zum Vorfall? Was hat gut funktioniert? Was hat nicht funktioniert? Welche Maßnahmen fehlen? Welche Regeln müssen geändert werden? Welche Schulung ist nötig? Welche Technik muss verbessert werden? Merksatz: Jeder Vorfall sollte zu besserer Sicherheit führen. Physische Sicherheitsmaßnahmen IT-Sicherheit umfasst auch physischen Schutz. Beispiele: Zutrittskontrolle abschließbarer Serverraum Videoüberwachung Brandschutz USV Klimatisierung gesicherte Netzwerkschränke sichere Entsorgung von Datenträgern Merksatz: Ohne physischen Schutz kann technische Sicherheit umgangen werden. Organisatorische Sicherheitsmaßnahmen Organisatorische Maßnahmen regeln, wie Sicherheit umgesetzt wird. Beispiele: Sicherheitsrichtlinien Rollen und Verantwortlichkeiten Vier-Augen-Prinzip Freigabeprozesse Change Management Notfallhandbuch Berechtigungskonzept Schulungsplan Offboarding-Prozess Merksatz: Sicherheit braucht klare Prozesse und Verantwortlichkeiten. Technische Sicherheitsmaßnahmen Technische Maßnahmen schützen Systeme direkt. Beispiele: Firewall MFA Verschlüsselung EDR IDS IPS Backup Patchmanagement Hardening Netzwerksegmentierung Logging Monitoring Zugriffskontrolle Merksatz: Technische Maßnahmen wirken nur gut, wenn sie richtig konfiguriert und betrieben werden. Personelle Sicherheitsmaßnahmen Personelle Maßnahmen betreffen das Verhalten von Menschen. Beispiele: Schulungen Sensibilisierung klare Meldewege sichere Passwortnutzung Verhalten bei Phishing Umgang mit vertraulichen Daten Wissen über Social Engineering Merksatz: Menschen müssen wissen, wie sie sicher handeln sollen. Sicherheitsmaßnahmen nach Angriffsziel Angriffsziel passende Maßnahmen Passwortdiebstahl MFA, Passwortmanager, Schulung Malware EDR, Patchmanagement, Rechtebegrenzung Ransomware Backup, Immutable Backup, Segmentierung DDoS DDoS-Schutz, Rate Limiting, CDN Webangriffe Secure Coding, WAF, Code Review Datenabfluss DLP, Verschlüsselung, Rechtekonzept Insider-Risiko Logging, Least Privilege, Vier-Augen-Prinzip Kontoübernahme MFA, Conditional Access, Monitoring Merksatz: Maßnahme muss zum Risiko passen. Typische Kombinationen in der Praxis Beispiel Webserver: Firewall WAF Patchmanagement TLS Logging Monitoring Backup Rechtebegrenzung Beispiel Client: EDR Patchmanagement keine lokalen Adminrechte E-Mail-Schutz Makro-Schutz Schulung Beispiel Cloud: MFA IAM Security Groups Audit-Logs Verschlüsselung Backup Kostenalarme Merksatz: Unterschiedliche Systeme brauchen unterschiedliche Schutzpakete. Typische Fehler bei Sicherheitsmaßnahmen Häufige Fehler: nur eine Maßnahme einsetzen Firewall-Regeln nie prüfen Logs nicht aktivieren Alarme ignorieren Backups nicht testen MFA-Ausnahmen zu breit erlauben Adminrechte dauerhaft vergeben EDR nur installieren, aber nicht überwachen SIEM ohne klare Regeln betreiben Schulung vernachlässigen Incident Response nicht üben Merksatz: Sicherheitsmaßnahmen müssen betrieben, geprüft und verbessert werden. Checkliste: Schutzmaßnahmen sinnvoll kombinieren Risiken bestimmen. Schutzziele festlegen. Systeme inventarisieren. Firewall-Regeln prüfen. Segmentierung planen. MFA aktivieren. Rechte minimieren. Patchmanagement organisieren. Hardening durchführen. EDR einsetzen. Logs zentral sammeln. SIEM oder zentrale Auswertung nutzen. Backups schützen. Restore testen. Benutzer schulen. Incident Response vorbereiten. Maßnahmen regelmäßig prüfen. Merksatz: Sicherheit ist ein Prozess, kein einmaliger Zustand. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Defense in Depth? - Was ist eine Firewall? - Was ist der Unterschied zwischen Paketfilter und Stateful Firewall? - Was ist eine Next-Generation Firewall? - Was bedeutet Default Deny? - Warum ist Netzwerksegmentierung wichtig? - Was ist eine DMZ? - Was ist ein IDS? - Was ist ein IPS? - Was ist der Unterschied zwischen IDS und IPS? - Was ist EDR? - Was ist SIEM? - Was bedeutet Korrelation im SIEM? - Was ist ein SOC? - Was ist SOAR? - Warum ist MFA wichtig? - Warum ist Backup eine Sicherheitsmaßnahme? - Was ist ein Restore-Test? - Was ist Incident Response? - Was bedeutet Containment? - Warum sind Schulungen wichtig? Typische Prüfungsfallen Firewall ersetzt kein Patchmanagement. Antivirus ersetzt kein Sicherheitskonzept. IDS und IPS unterscheiden. IDS erkennt, IPS blockiert. EDR ist mehr als klassischer Antivirus. SIEM sammelt und korreliert Logs. SOC ist organisatorische Sicherheitsüberwachung. SOAR automatisiert Reaktionen. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Backup ohne Restore-Test ist unsicher. Immutable Backup schützt vor Manipulation. MFA schützt stark gegen Passwortmissbrauch, aber nicht gegen alles. Segmentierung begrenzt Ausbreitung. Default Deny ist sicherer als pauschales Erlauben. Logs müssen vor dem Vorfall aktiv sein. Alarme müssen bearbeitet werden. Schulungen sind Sicherheitsmaßnahme. Incident Response muss vorbereitet sein. Sicherheit braucht Technik, Organisation und Menschen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Sicherheitsmaßnahme Maßnahme zur Risikoreduzierung Defense in Depth mehrschichtige Verteidigung Prävention Angriff verhindern Erkennung Angriff feststellen Reaktion auf Angriff reagieren Firewall Filter für Netzwerkverkehr Paketfilter prüft grundlegende Paketdaten Stateful Firewall merkt sich Verbindungszustände Application Firewall prüft Anwendungsebene NGFW Next-Generation Firewall Default Deny standardmäßig alles blockieren Segmentierung Trennung von Netzbereichen VLAN logische Netztrennung DMZ Zone für öffentlich erreichbare Dienste IDS Intrusion Detection System IPS Intrusion Prevention System Signatur bekanntes Angriffsmuster Anomalie Abweichung vom Normalverhalten False Positive falscher Alarm False Negative nicht erkannter Angriff Antivirus Schutz gegen bekannte Schadsoftware EDR Endpoint Detection and Response Endpoint Endgerät oder Endsystem XDR erweiterte Erkennung und Reaktion SIEM zentrale Sicherheitslog-Auswertung Korrelation Verknüpfung mehrerer Ereignisse SOC Security Operations Center SOAR automatisierte Sicherheitsreaktion MFA Multi-Faktor-Authentifizierung Least Privilege minimale notwendige Rechte Backup zusätzliche Datensicherung Immutable Backup unveränderliches Backup Restore-Test Prüfung der Wiederherstellung Logging Ereignisprotokollierung Monitoring Zustandsüberwachung Alerting automatische Alarmierung Awareness Sicherheitsbewusstsein Incident Response Reaktion auf Sicherheitsvorfälle Containment Eindämmung Eradication Beseitigung der Ursache Recovery Wiederherstellung Lessons Learned Auswertung und Verbesserung IHK-sichere Kurzformulierung Sicherheitsmaßnahmen sollen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit reduzieren. Da einzelne Maßnahmen versagen können, werden mehrere Schutzschichten nach dem Prinzip Defense in Depth kombiniert. Firewalls begrenzen Netzwerkverkehr, Segmentierung trennt Netzbereiche, IDS erkennt Angriffe, IPS kann sie zusätzlich blockieren, EDR überwacht Endgeräte und SIEM sammelt und korreliert Sicherheitslogs. MFA schützt Identitäten, Least Privilege begrenzt Rechte, Backups und Restore-Tests sichern Wiederherstellung, und Incident Response regelt das Vorgehen bei Sicherheitsvorfällen. Gute IT-Sicherheit verbindet technische, organisatorische, personelle und physische Maßnahmen. Merksätze Sicherheit braucht mehrere Schutzschichten. Defense in Depth kombiniert Maßnahmen. Prävention verhindert. Erkennung erkennt. Reaktion begrenzt Schaden. Firewall filtert Netzwerkverkehr. Paketfilter prüft Paketdaten. Stateful Firewall kennt Verbindungen. Application Firewall prüft Anwendungsebene. Default Deny ist sicherer. Segmentierung begrenzt Ausbreitung. VLAN trennt logisch. DMZ schützt interne Netze. IDS erkennt Angriffe. IPS blockiert zusätzlich. Signaturen erkennen Bekanntes. Anomalien erkennen Abweichungen. False Positive ist falscher Alarm. False Negative ist verpasster Angriff. Antivirus ist nur eine Schutzschicht. EDR erkennt und reagiert auf Endgeräten. XDR verbindet mehrere Sicherheitsbereiche. SIEM sammelt und korreliert Logs. SOC überwacht Sicherheit organisatorisch. SOAR automatisiert Reaktionen. MFA schützt Identitäten. Least Privilege begrenzt Schaden. Backup hilft bei Wiederherstellung. Immutable Backup schützt Backups. Restore-Test beweist Backup-Nutzbarkeit. Logging macht Ereignisse nachvollziehbar. Monitoring erkennt Probleme. Alarmierung muss bearbeitet werden. Schulung ist Sicherheitsmaßnahme. Incident Response braucht Vorbereitung. Containment begrenzt Ausbreitung. Eradication beseitigt Ursache. Recovery stellt Betrieb wieder her. Lessons Learned verbessern Sicherheit. Sicherheit ist ein Prozess, kein einmaliger Zustand. 16.8 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen Diese Seite fasst die wichtigsten Inhalte zu Angriffen, Schwachstellen, Schadsoftware, Phishing, Netzwerkangriffen, Webangriffen und Schutzmaßnahmen zusammen. Das Thema ist prüfungsrelevant, weil es viele Bereiche verbindet: - Informationssicherheit - Netzwerktechnik - Betriebssysteme - Anwendungen - Benutzerkonten - Cloud - Backup - Datenschutz - Monitoring - Incident Response Merksatz: IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. Die drei wichtigsten Schutzziele Die wichtigsten Schutzziele der Informationssicherheit sind: Vertraulichkeit Integrität Verfügbarkeit Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen. Merksatz: Vertraulichkeit, Integrität und Verfügbarkeit immer sauber unterscheiden. Vertraulichkeit Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen gelesen werden. Beispiele: Kundendaten Passwörter Personalakten interne Dokumente Zugangsdaten Geschäftsgeheimnisse Angriffe auf Vertraulichkeit: Phishing Sniffing Spyware Datenabfluss unberechtigte Freigaben gestohlene Zugangsdaten Merksatz: Vertraulichkeit schützt vor unberechtigtem Lesen. Integrität Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele: Rechnung wird manipuliert. Datenbankeintrag wird verändert. Konfigurationsdatei wird heimlich angepasst. Softwareupdate wird verfälscht. Angriffe auf Integrität: Man-in-the-Middle Malware SQL Injection Supply-Chain-Angriff unberechtigte Änderung Merksatz: Integrität schützt vor unbemerkter Manipulation. Verfügbarkeit Verfügbarkeit bedeutet: Systeme, Dienste und Daten sind bei Bedarf nutzbar. Beispiele: Webseite erreichbar Datenbank verfügbar Netzwerk funktioniert Dateien sind nutzbar Backup kann wiederhergestellt werden Angriffe auf Verfügbarkeit: DoS DDoS Ransomware Sabotage Überlastung Systemausfall Merksatz: Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen. CIA-Triade CIA steht für: Confidentiality Integrity Availability Deutsch: Vertraulichkeit Integrität Verfügbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität Verfügbarkeit. Authentizität Authentizität bedeutet: Die Echtheit einer Person, eines Systems oder einer Nachricht ist überprüfbar. Beispiele: Ist der Benutzer wirklich der richtige Benutzer? Ist der Server wirklich der richtige Server? Stammt die Nachricht wirklich vom angegebenen Absender? Merksatz: Authentizität schützt vor falscher Identität. Nichtabstreitbarkeit Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nachgewiesen werden und nicht glaubwürdig abgestritten werden. Beispiele: digitale Signatur Zeitstempel Audit-Log eindeutiges Benutzerkonto Merksatz: Nichtabstreitbarkeit sorgt für Nachweisbarkeit. Schwachstelle, Bedrohung und Risiko Begriff Bedeutung Schwachstelle ausnutzbare Sicherheitslücke Bedrohung mögliches schädliches Ereignis Risiko Wahrscheinlichkeit und Auswirkung eines Schadens Schutzmaßnahme reduziert ein Risiko Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das Ereignis. Risiko ist die bewertete Gefahr. Angriffsfläche Angriffsfläche bedeutet: alle Stellen, an denen ein System angegriffen werden kann. Beispiele: offene Ports Webanwendungen Benutzerkonten VPN-Zugänge E-Mail APIs Cloud-Freigaben veraltete Software unsichere Dienste Merksatz: Je größer die Angriffsfläche, desto mehr mögliche Angriffspunkte. Angriffsfläche reduzieren Maßnahmen: unnötige Dienste deaktivieren offene Ports reduzieren Standardkonten deaktivieren starke Authentifizierung nutzen Systeme patchen Rechte begrenzen Netzbereiche segmentieren öffentliche Freigaben prüfen sichere Konfiguration verwenden Merksatz: Nicht benötigte Dienste und Zugänge entfernen. Malware Malware ist ein Oberbegriff für Schadsoftware. Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Cryptominer Merksatz: Malware ist Software mit schädlicher Funktion. Virus Ein Virus hängt sich häufig an Dateien oder Programme an und wird aktiv, wenn diese ausgeführt werden. Merksatz: Virus braucht oft eine Wirtsdatei oder Benutzeraktion. Wurm Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen. Merksatz: Wurm verbreitet sich selbstständig. Trojaner Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Merksatz: Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor. Ransomware Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Sie betrifft besonders: Verfügbarkeit und oft zusätzlich: Vertraulichkeit Merksatz: Ransomware greift Verfügbarkeit und bei Datenabfluss auch Vertraulichkeit an. Double Extortion Double Extortion bedeutet: Daten werden verschlüsselt und zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht. Merksatz: Double Extortion = Verschlüsselung plus Datenabfluss. Schutz vor Ransomware Wichtige Maßnahmen: Immutable Backups Offline-Backups regelmäßige Restore-Tests Patchmanagement EDR MFA Least Privilege keine lokalen Adminrechte Netzwerksegmentierung Monitoring schnelle Isolation betroffener Systeme Merksatz: Gegen Ransomware sind Backup, Rechtebegrenzung Segmentierung und schnelle Reaktion besonders wichtig. Phishing Phishing ist Täuschung, um Benutzer zur Preisgabe vertraulicher Informationen oder zu gefährlichen Aktionen zu bringen. Ziele: Passwörter MFA-Codes Zugangstokens Bankdaten Cloud-Zugänge VPN-Zugänge interne Informationen Merksatz: Phishing greift Menschen über Täuschung an. Social Engineering Social Engineering manipuliert Menschen, um Sicherheitsmaßnahmen zu umgehen. Angreifer nutzen: Zeitdruck Angst Autorität Hilfsbereitschaft Vertrauen Neugier Gewohnheit Merksatz: Social Engineering greift Verhalten und Prozesse an. Spear Phishing und Whaling Spear Phishing: gezieltes Phishing gegen bestimmte Personen oder Organisationen Whaling: Phishing gegen besonders wichtige Personen Beispiele für Whaling-Ziele: Geschäftsführung Finanzleitung Administratoren Personalabteilung Merksatz: Spear Phishing ist gezielt. Whaling trifft besonders wertvolle Ziele. Smishing, Vishing und Quishing Begriff Bedeutung Smishing Phishing per SMS Vishing Phishing per Telefon Quishing Phishing über QR-Code Merksatz: Phishing ist nicht auf E-Mail beschränkt. CEO-Fraud und BEC CEO-Fraud: Angreifer geben sich als Führungskraft aus und fordern dringende Aktionen. BEC: Business E-Mail Compromise, Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation. Merksatz: CEO-Fraud und BEC nutzen Vertrauen, Autorität und Geschäftsprozesse. Identitätsangriffe Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen. Typische Formen: Brute Force Credential Stuffing Password Spraying Phishing Session Hijacking MFA-Missbrauch Account Takeover Merksatz: Wer Identitäten kontrolliert, kontrolliert oft den Zugriff. Brute Force Brute Force bedeutet: Passwörter werden systematisch ausprobiert. Schutz: starke Passwörter MFA Rate Limiting Sperrmechanismen Monitoring Merksatz: Brute Force wird durch Begrenzung und MFA erschwert. Credential Stuffing Credential Stuffing bedeutet: geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert. Schutz: eindeutige Passwörter Passwortmanager MFA Leak-Erkennung Merksatz: Credential Stuffing nutzt Passwort-Wiederverwendung. Password Spraying Password Spraying bedeutet: wenige häufige Passwörter werden gegen viele Konten getestet. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Benutzer. MFA MFA steht für: Multi-Faktor-Authentifizierung MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist. Merksatz: MFA reduziert Schaden durch gestohlene Passwörter. MFA ist nicht unfehlbar Mögliche Angriffe trotz MFA: MFA-Push-Fatigue gestohlene Session-Tokens Phishing mit Echtzeit-Weiterleitung kompromittiertes Endgerät Social Engineering beim Support SIM-Swapping bei SMS-MFA Merksatz: MFA ist sehr wichtig, aber kein vollständiger Ersatz für Sicherheitskonzept. DoS und DDoS DoS: Denial of Service DDoS: Distributed Denial of Service Unterschied: Angriff Bedeutung DoS Dienst wird gestört oder überlastet DDoS verteilter DoS von vielen Quellen Merksatz: DoS und DDoS greifen Verfügbarkeit an. DDoS-Schutz Maßnahmen: DDoS-Schutzdienst Provider-Unterstützung CDN Anycast Load Balancer Rate Limiting Firewall-Regeln WAF Monitoring Notfallplan Merksatz: DDoS-Schutz muss vorbereitet sein. Man-in-the-Middle Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Zugangsdaten abgreifen Sitzungen übernehmen Merksatz: MitM sitzt zwischen Sender und Empfänger. Schutz vor Man-in-the-Middle Maßnahmen: TLS korrekt nutzen Zertifikate prüfen Zertifikatswarnungen nicht ignorieren VPN in unsicheren Netzen HSTS sichere WLAN-Konfiguration DNS-Schutz MFA Merksatz: TLS schützt nur, wenn Zertifikate korrekt geprüft werden. Sniffing Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Es kann genutzt werden für: Fehlersuche oder missbraucht werden für: Abhören Passwortdiebstahl Sitzungsdiebstahl Merksatz: Sniffing ist Werkzeug und Risiko zugleich. Spoofing Spoofing bedeutet: Herkunft, Adresse oder Identität wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing ARP-Spoofing DNS-Spoofing E-Mail-Spoofing Merksatz: Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz. Mögliche Folge: Man-in-the-Middle Schutz: DHCP Snooping Dynamic ARP Inspection Segmentierung TLS Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. DNS-Spoofing DNS-Spoofing manipuliert die Namensauflösung. Folge: Benutzer wird zu falscher IP-Adresse geleitet. Schutz: vertrauenswürdige DNS-Resolver DNSSEC TLS-Zertifikatsprüfung sichere DHCP-Konfiguration Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. Rogue DHCP Rogue DHCP bedeutet: ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen. Mögliche Folgen: falsches Gateway falscher DNS-Server Man-in-the-Middle Netzwerkstörung Schutz: DHCP Snooping Switchport-Sicherheit Monitoring physische Zugangskontrolle Merksatz: Rogue DHCP verteilt falsche Netzwerkkonfiguration. WLAN-Angriffe Typische WLAN-Angriffe: Evil Twin Rogue Access Point unsichere Verschlüsselung falsches Captive Portal Deauthentication Mitschneiden unverschlüsselter Kommunikation Schutz: WPA2-Enterprise oder WPA3 802.1X starke Passwörter Zertifikatsprüfung Gastnetztrennung Rogue-AP-Erkennung Merksatz: WLAN braucht Verschlüsselung, Authentifizierung und Segmentierung. Webangriffe Typische Webangriffe: SQL Injection Cross-Site Scripting Cross-Site Request Forgery Directory Traversal File Upload Attack Broken Authentication Broken Access Control unsichere APIs unsichere Fehlerausgaben Merksatz: Webangriffe nutzen oft Eingaben, Sitzungen oder Berechtigungen aus. SQL Injection SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Folgen: Daten auslesen Daten verändern Login umgehen Daten löschen Schutz: Prepared Statements parametrisierte Abfragen Eingabevalidierung Datenbankrechte begrenzen Merksatz: SQL Injection macht Eingabe zu Datenbankbefehl. Cross-Site Scripting Cross-Site Scripting wird abgekürzt: XSS Dabei wird Skriptcode in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Schutz: Ausgabe escapen Eingaben validieren Content Security Policy HttpOnly Cookies sichere Frameworks Merksatz: XSS greift Benutzer über den Browser an. CSRF CSRF steht für: Cross-Site Request Forgery Dabei wird eine bestehende Anmeldung missbraucht, um ungewollte Aktionen auszulösen. Schutz: CSRF-Token SameSite Cookies Origin-Prüfung erneute Bestätigung kritischer Aktionen Merksatz: CSRF missbraucht eine gültige Sitzung. SQL Injection, XSS und CSRF unterscheiden Angriff Ziel Kernproblem SQL Injection Datenbank Eingabe wird SQL-Befehl XSS Browser anderer Benutzer Eingabe wird Skript CSRF bestehende Sitzung fremde Seite löst Aktion aus Merksatz: SQL Injection trifft Datenbank. XSS trifft Browser. CSRF missbraucht Sitzung. Broken Authentication Broken Authentication bedeutet: Anmeldung oder Sitzungsverwaltung ist unsicher. Beispiele: kein MFA schwache Passwörter unsichere Passwortzurücksetzung zu lange Sessions Tokens unsicher gespeichert Merksatz: Broken Authentication gefährdet Konten und Sitzungen. Broken Access Control Broken Access Control bedeutet: Benutzer können auf Daten oder Funktionen zugreifen, für die sie keine Berechtigung haben. Beispiele: fremde Rechnung über geänderte ID anzeigen Adminfunktion als normaler Benutzer aufrufen API gibt fremde Daten zurück Merksatz: Zugriffskontrolle muss serverseitig geprüft werden. IDOR IDOR steht für: Insecure Direct Object Reference Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen. Merksatz: IDOR ist fehlende Objektberechtigung. Schwachstellenmanagement Schwachstellenmanagement bedeutet: Schwachstellen erkennen, bewerten, priorisieren, beheben und dokumentieren. Dazu gehören: Inventarisierung CVE-Bewertung CVSS-Einordnung Patchmanagement Schwachstellenscans Penetrationstests Hardening Dokumentation Merksatz: Schwachstellenmanagement ist ein dauerhafter Prozess. CVE und CVSS CVE: eindeutige Kennung für bekannte Schwachstellen CVSS: Bewertung der Kritikalität einer Schwachstelle Merksatz: CVE benennt. CVSS bewertet. Exploit und Zero-Day Exploit: Methode oder Code zur Ausnutzung einer Schwachstelle Zero-Day: Schwachstelle, für die noch kein regulärer Patch verfügbar ist oder die noch nicht öffentlich bekannt war Merksatz: Exploit nutzt eine Lücke. Zero-Day nutzt eine ungepatchte oder unbekannte Lücke. Patchmanagement Patchmanagement bedeutet: Updates werden geplant, getestet, verteilt geprüft und dokumentiert. Betroffen sind: Betriebssysteme Anwendungen Browser Datenbanken Firewalls Router Switches Firmware Container-Images Bibliotheken Cloud-Systeme Merksatz: Patchmanagement ist organisierte Update-Verwaltung. Patchmanagement-Ablauf Typischer Ablauf: 1. Systeme inventarisieren. 2. Schwachstellen prüfen. 3. Betroffenheit bewerten. 4. Kritikalität priorisieren. 5. Patch testen. 6. Wartungsfenster planen. 7. Patch ausrollen. 8. Funktion prüfen. 9. Erfolg dokumentieren. 10. Rest-Risiko bewerten. Merksatz: Patchmanagement braucht Inventar, Priorisierung, Test, Rollback und Dokumentation. Hardening Hardening bedeutet: Systeme werden sicherer konfiguriert, indem unnötige Funktionen deaktiviert und sichere Einstellungen gesetzt werden. Beispiele: unnötige Dienste deaktivieren offene Ports reduzieren Standardpasswörter ändern alte Protokolle abschalten Rechte minimieren Logging aktivieren Adminzugriffe begrenzen Merksatz: Hardening reduziert Angriffsfläche. Baseline Eine Baseline ist ein definierter sicherer Grundzustand. Beispiele: erlaubte Dienste Passwortregeln Update-Einstellungen Logging-Pflicht Firewall-Grundregeln TLS-Vorgaben Rechtevorgaben Merksatz: Baseline = festgelegte sichere Standardkonfiguration. Configuration Drift Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Baseline ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Installationen Merksatz: Configuration Drift macht Systeme schwerer sicher zu betreiben. Firewall Eine Firewall filtert Netzwerkverkehr. Sie prüft zum Beispiel: Quelle Ziel Port Protokoll Richtung Verbindungszustand Anwendung je nach Firewalltyp Merksatz: Firewall begrenzt Netzwerkzugriffe. Default Deny Default Deny bedeutet: standardmäßig ist alles verboten, nur ausdrücklich erlaubter Verkehr ist erlaubt. Merksatz: Default Deny ist sicherer als pauschales Erlauben. IDS und IPS IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS greift ein. Antivirus, EDR und XDR Antivirus: erkennt vor allem bekannte Schadsoftware EDR: Endpoint Detection and Response, erkennt und untersucht Angriffe auf Endgeräten XDR: Extended Detection and Response, verbindet mehrere Sicherheitsbereiche Merksatz: EDR ist umfassender als klassischer Antivirus. SIEM, SOC und SOAR SIEM: sammelt und korreliert Sicherheitslogs SOC: Security Operations Center, organisatorische Stelle für Sicherheitsüberwachung SOAR: automatisiert Sicherheitsreaktionen Merksatz: SIEM sammelt Daten. SOC bewertet. SOAR automatisiert Reaktionen. Backup Backup ist eine zusätzliche Sicherung zur Wiederherstellung. Wichtig: regelmäßig geschützt verschlüsselt getrennt dokumentiert getestet Merksatz: Backup ohne Restore-Test ist unsicher. Immutable Backup Immutable Backup bedeutet: Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schutz gegen: Ransomware versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt Wiederherstellungsmöglichkeiten. Incident Response Incident Response bedeutet: strukturierte Reaktion auf Sicherheitsvorfälle. Typische Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. Containment, Eradication und Recovery Phase Bedeutung Containment Vorfall eindämmen Eradication Ursache beseitigen Recovery Systeme wiederherstellen Merksatz: Erst eindämmen, dann Ursache beseitigen, dann sicher wiederherstellen. Defense in Depth Defense in Depth bedeutet: mehrere Schutzschichten werden kombiniert. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring plus Schulung Merksatz: Sicherheit darf nicht von einer einzigen Maßnahme abhängen. Technische, organisatorische, personelle und physische Maßnahmen Maßnahmenart Beispiele technisch Firewall, MFA, EDR, Backup, Verschlüsselung organisatorisch Richtlinien, Prozesse, Verantwortlichkeiten personell Schulung, Awareness, klare Meldewege physisch Zutrittskontrolle, Serverraum, Brandschutz Merksatz: Sicherheit besteht aus Technik, Organisation, Menschen und physischem Schutz. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was sind die drei Schutzziele der Informationssicherheit? - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist Malware? - Was ist der Unterschied zwischen Virus und Wurm? - Was ist Ransomware? - Was ist Phishing? - Was ist Social Engineering? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist SQL Injection? - Was ist XSS? - Was ist CSRF? - Was ist CVE? - Was ist CVSS? - Was ist Patchmanagement? - Was ist Hardening? - Was ist eine Firewall? - Was ist der Unterschied zwischen IDS und IPS? - Was ist EDR? - Was ist SIEM? - Warum sind Backups wichtig? - Was ist Incident Response? - Was bedeutet Defense in Depth? Typische Prüfungsfallen Vertraulichkeit, Integrität und Verfügbarkeit nicht verwechseln. Ransomware betrifft nicht nur Verfügbarkeit, sondern oft auch Vertraulichkeit. Malware ist ein Oberbegriff. Virus und Wurm unterscheiden. Phishing ist nicht nur E-Mail. Social Engineering ist nicht rein technisch. DoS und DDoS unterscheiden. DDoS ist verteilt. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Herkunft oder Identität vor. DNSSEC schützt Integrität, nicht automatisch Vertraulichkeit. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen gegen SQL Injection. Frontend-Validierung ist keine Sicherheitsgrenze. Zugriffskontrolle muss serverseitig erfolgen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse. Patchmanagement ist ein Prozess. Hardening ist sichere Konfiguration. Firewall ersetzt kein Patchmanagement. Antivirus ersetzt kein Sicherheitskonzept. IDS erkennt, IPS blockiert zusätzlich. EDR ist mehr als Antivirus. SIEM sammelt und korreliert Logs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Backup ohne Restore-Test ist unsicher. Security Awareness ist eine Schutzmaßnahme. Incident Response muss vorbereitet sein. Sicherheit ist ein Prozess, kein einmaliger Zustand. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Vertraulichkeit Schutz vor unberechtigtem Lesen Integrität Schutz vor unbemerkter Veränderung Verfügbarkeit Nutzbarkeit von Systemen und Daten Authentizität Echtheit einer Identität oder Nachricht Nichtabstreitbarkeit Nachweisbarkeit einer Handlung Schwachstelle ausnutzbare Sicherheitslücke Bedrohung mögliches schädliches Ereignis Risiko Wahrscheinlichkeit und Auswirkung Angriffsfläche Summe möglicher Angriffspunkte Malware Schadsoftware Virus Schadsoftware mit Wirtsdatei Wurm selbstverbreitende Schadsoftware Trojaner getarnte Schadsoftware Ransomware erpresserische Verschlüsselung oder Sperrung Phishing Täuschung zur Datenpreisgabe Social Engineering Manipulation von Menschen Brute Force systematisches Ausprobieren Credential Stuffing Nutzung geleakter Zugangsdaten Password Spraying wenige Passwörter gegen viele Konten DoS Dienstverweigerung DDoS verteilte Dienstverweigerung MitM Man-in-the-Middle Sniffing Mitschneiden von Verkehr Spoofing Vortäuschen falscher Identität ARP-Spoofing Manipulation lokaler IP-MAC-Zuordnung DNS-Spoofing Manipulation von DNS-Antworten Rogue DHCP unautorisierter DHCP-Server Evil Twin gefälschter WLAN-Access-Point SQL Injection Einschleusen von SQL-Code XSS Cross-Site Scripting CSRF Cross-Site Request Forgery IDOR unsichere direkte Objekt-ID CVE Kennung bekannter Schwachstellen CVSS Kritikalitätsbewertung Exploit Ausnutzung einer Schwachstelle Zero-Day ungepatchte oder unbekannte Schwachstelle Patchmanagement organisierte Update-Verwaltung Hardening sichere Systemhärtung Baseline sicherer Grundzustand Configuration Drift Abweichung von Soll-Konfiguration Firewall Filter für Netzwerkverkehr IDS Angriffserkennung IPS Angriffserkennung mit Blockierung Antivirus Schutz gegen bekannte Schadsoftware EDR Endpoint Detection and Response XDR Extended Detection and Response SIEM Sicherheitslog-Auswertung SOC Security Operations Center SOAR automatisierte Sicherheitsreaktion MFA Multi-Faktor-Authentifizierung Least Privilege minimale notwendige Rechte Backup zusätzliche Datensicherung Immutable Backup unveränderliches Backup Restore-Test Prüfung der Wiederherstellung Incident Response Reaktion auf Sicherheitsvorfälle Defense in Depth mehrschichtige Verteidigung IHK-sichere Gesamtformulierung Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth. Wichtigste Merksätze IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist Wahrscheinlichkeit und Auswirkung. Angriffsfläche reduzieren. Malware ist Schadsoftware. Virus hängt sich an Dateien. Wurm verbreitet sich selbstständig. Trojaner tarnt sich. Ransomware verschlüsselt oder sperrt. Double Extortion bedeutet Verschlüsselung plus Datenabfluss. Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Phishing ist nicht nur E-Mail. MFA schützt stark, aber nicht gegen alles. Passwörter nicht wiederverwenden. DoS und DDoS greifen Verfügbarkeit an. DDoS ist verteilt. MitM sitzt zwischen Sender und Empfänger. Sniffing kann nützlich sein, aber auch missbraucht werden. Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing betrifft lokale Netze. DNS-Spoofing führt zu falschen Zielen. Rogue DHCP verteilt falsche Netzwerkeinstellungen. WLAN braucht starke Absicherung. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen vor SQL Injection. Escaping schützt vor XSS. CSRF-Token schützen vor CSRF. Zugriffskontrolle immer serverseitig prüfen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Patchmanagement ist ein Prozess. Hardening reduziert Angriffsfläche. Baseline definiert sicheren Grundzustand. Configuration Drift vermeiden. Firewall begrenzt Netzwerkzugriffe. Default Deny ist sicherer. IDS erkennt. IPS blockiert zusätzlich. EDR schützt Endgeräte tiefer als Antivirus. SIEM korreliert Sicherheitslogs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Restore-Test ist Pflicht. Immutable Backup schützt vor Manipulation. Incident Response vorbereiten. Defense in Depth kombiniert Schutzschichten. Sicherheit ist ein dauerhafter Prozess. 16.7 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen Diese Seite fasst die wichtigsten Inhalte zu Angriffen, Schwachstellen, Schadsoftware, Phishing, Netzwerkangriffen, Webangriffen und Schutzmaßnahmen zusammen. Das Thema ist prüfungsrelevant, weil es viele Bereiche verbindet: - Informationssicherheit - Netzwerktechnik - Betriebssysteme - Anwendungen - Benutzerkonten - Cloud - Backup - Datenschutz - Monitoring - Incident Response Merksatz: IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. Die drei wichtigsten Schutzziele Die wichtigsten Schutzziele der Informationssicherheit sind: Vertraulichkeit Integrität Verfügbarkeit Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen. Merksatz: Vertraulichkeit, Integrität und Verfügbarkeit immer sauber unterscheiden. Vertraulichkeit Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen gelesen werden. Beispiele: Kundendaten Passwörter Personalakten interne Dokumente Zugangsdaten Geschäftsgeheimnisse Angriffe auf Vertraulichkeit: Phishing Sniffing Spyware Datenabfluss unberechtigte Freigaben gestohlene Zugangsdaten Merksatz: Vertraulichkeit schützt vor unberechtigtem Lesen. Integrität Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele: Rechnung wird manipuliert. Datenbankeintrag wird verändert. Konfigurationsdatei wird heimlich angepasst. Softwareupdate wird verfälscht. Angriffe auf Integrität: Man-in-the-Middle Malware SQL Injection Supply-Chain-Angriff unberechtigte Änderung Merksatz: Integrität schützt vor unbemerkter Manipulation. Verfügbarkeit Verfügbarkeit bedeutet: Systeme, Dienste und Daten sind bei Bedarf nutzbar. Beispiele: Webseite erreichbar Datenbank verfügbar Netzwerk funktioniert Dateien sind nutzbar Backup kann wiederhergestellt werden Angriffe auf Verfügbarkeit: DoS DDoS Ransomware Sabotage Überlastung Systemausfall Merksatz: Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen. CIA-Triade CIA steht für: Confidentiality Integrity Availability Deutsch: Vertraulichkeit Integrität Verfügbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität Verfügbarkeit. Authentizität Authentizität bedeutet: Die Echtheit einer Person, eines Systems oder einer Nachricht ist überprüfbar. Beispiele: Ist der Benutzer wirklich der richtige Benutzer? Ist der Server wirklich der richtige Server? Stammt die Nachricht wirklich vom angegebenen Absender? Merksatz: Authentizität schützt vor falscher Identität. Nichtabstreitbarkeit Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nachgewiesen werden und nicht glaubwürdig abgestritten werden. Beispiele: digitale Signatur Zeitstempel Audit-Log eindeutiges Benutzerkonto Merksatz: Nichtabstreitbarkeit sorgt für Nachweisbarkeit. Schwachstelle, Bedrohung und Risiko Begriff Bedeutung Schwachstelle ausnutzbare Sicherheitslücke Bedrohung mögliches schädliches Ereignis Risiko Wahrscheinlichkeit und Auswirkung eines Schadens Schutzmaßnahme reduziert ein Risiko Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das Ereignis. Risiko ist die bewertete Gefahr. Angriffsfläche Angriffsfläche bedeutet: alle Stellen, an denen ein System angegriffen werden kann. Beispiele: offene Ports Webanwendungen Benutzerkonten VPN-Zugänge E-Mail APIs Cloud-Freigaben veraltete Software unsichere Dienste Merksatz: Je größer die Angriffsfläche, desto mehr mögliche Angriffspunkte. Angriffsfläche reduzieren Maßnahmen: unnötige Dienste deaktivieren offene Ports reduzieren Standardkonten deaktivieren starke Authentifizierung nutzen Systeme patchen Rechte begrenzen Netzbereiche segmentieren öffentliche Freigaben prüfen sichere Konfiguration verwenden Merksatz: Nicht benötigte Dienste und Zugänge entfernen. Malware Malware ist ein Oberbegriff für Schadsoftware. Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Cryptominer Merksatz: Malware ist Software mit schädlicher Funktion. Virus Ein Virus hängt sich häufig an Dateien oder Programme an und wird aktiv, wenn diese ausgeführt werden. Merksatz: Virus braucht oft eine Wirtsdatei oder Benutzeraktion. Wurm Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen. Merksatz: Wurm verbreitet sich selbstständig. Trojaner Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Merksatz: Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor. Ransomware Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Sie betrifft besonders: Verfügbarkeit und oft zusätzlich: Vertraulichkeit Merksatz: Ransomware greift Verfügbarkeit und bei Datenabfluss auch Vertraulichkeit an. Double Extortion Double Extortion bedeutet: Daten werden verschlüsselt und zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht. Merksatz: Double Extortion = Verschlüsselung plus Datenabfluss. Schutz vor Ransomware Wichtige Maßnahmen: Immutable Backups Offline-Backups regelmäßige Restore-Tests Patchmanagement EDR MFA Least Privilege keine lokalen Adminrechte Netzwerksegmentierung Monitoring schnelle Isolation betroffener Systeme Merksatz: Gegen Ransomware sind Backup, Rechtebegrenzung Segmentierung und schnelle Reaktion besonders wichtig. Phishing Phishing ist Täuschung, um Benutzer zur Preisgabe vertraulicher Informationen oder zu gefährlichen Aktionen zu bringen. Ziele: Passwörter MFA-Codes Zugangstokens Bankdaten Cloud-Zugänge VPN-Zugänge interne Informationen Merksatz: Phishing greift Menschen über Täuschung an. Social Engineering Social Engineering manipuliert Menschen, um Sicherheitsmaßnahmen zu umgehen. Angreifer nutzen: Zeitdruck Angst Autorität Hilfsbereitschaft Vertrauen Neugier Gewohnheit Merksatz: Social Engineering greift Verhalten und Prozesse an. Spear Phishing und Whaling Spear Phishing: gezieltes Phishing gegen bestimmte Personen oder Organisationen Whaling: Phishing gegen besonders wichtige Personen Beispiele für Whaling-Ziele: Geschäftsführung Finanzleitung Administratoren Personalabteilung Merksatz: Spear Phishing ist gezielt. Whaling trifft besonders wertvolle Ziele. Smishing, Vishing und Quishing Begriff Bedeutung Smishing Phishing per SMS Vishing Phishing per Telefon Quishing Phishing über QR-Code Merksatz: Phishing ist nicht auf E-Mail beschränkt. CEO-Fraud und BEC CEO-Fraud: Angreifer geben sich als Führungskraft aus und fordern dringende Aktionen. BEC: Business E-Mail Compromise, Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation. Merksatz: CEO-Fraud und BEC nutzen Vertrauen, Autorität und Geschäftsprozesse. Identitätsangriffe Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen. Typische Formen: Brute Force Credential Stuffing Password Spraying Phishing Session Hijacking MFA-Missbrauch Account Takeover Merksatz: Wer Identitäten kontrolliert, kontrolliert oft den Zugriff. Brute Force Brute Force bedeutet: Passwörter werden systematisch ausprobiert. Schutz: starke Passwörter MFA Rate Limiting Sperrmechanismen Monitoring Merksatz: Brute Force wird durch Begrenzung und MFA erschwert. Credential Stuffing Credential Stuffing bedeutet: geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert. Schutz: eindeutige Passwörter Passwortmanager MFA Leak-Erkennung Merksatz: Credential Stuffing nutzt Passwort-Wiederverwendung. Password Spraying Password Spraying bedeutet: wenige häufige Passwörter werden gegen viele Konten getestet. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Benutzer. MFA MFA steht für: Multi-Faktor-Authentifizierung MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist. Merksatz: MFA reduziert Schaden durch gestohlene Passwörter. MFA ist nicht unfehlbar Mögliche Angriffe trotz MFA: MFA-Push-Fatigue gestohlene Session-Tokens Phishing mit Echtzeit-Weiterleitung kompromittiertes Endgerät Social Engineering beim Support SIM-Swapping bei SMS-MFA Merksatz: MFA ist sehr wichtig, aber kein vollständiger Ersatz für Sicherheitskonzept. DoS und DDoS DoS: Denial of Service DDoS: Distributed Denial of Service Unterschied: Angriff Bedeutung DoS Dienst wird gestört oder überlastet DDoS verteilter DoS von vielen Quellen Merksatz: DoS und DDoS greifen Verfügbarkeit an. DDoS-Schutz Maßnahmen: DDoS-Schutzdienst Provider-Unterstützung CDN Anycast Load Balancer Rate Limiting Firewall-Regeln WAF Monitoring Notfallplan Merksatz: DDoS-Schutz muss vorbereitet sein. Man-in-the-Middle Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Zugangsdaten abgreifen Sitzungen übernehmen Merksatz: MitM sitzt zwischen Sender und Empfänger. Schutz vor Man-in-the-Middle Maßnahmen: TLS korrekt nutzen Zertifikate prüfen Zertifikatswarnungen nicht ignorieren VPN in unsicheren Netzen HSTS sichere WLAN-Konfiguration DNS-Schutz MFA Merksatz: TLS schützt nur, wenn Zertifikate korrekt geprüft werden. Sniffing Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Es kann genutzt werden für: Fehlersuche oder missbraucht werden für: Abhören Passwortdiebstahl Sitzungsdiebstahl Merksatz: Sniffing ist Werkzeug und Risiko zugleich. Spoofing Spoofing bedeutet: Herkunft, Adresse oder Identität wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing ARP-Spoofing DNS-Spoofing E-Mail-Spoofing Merksatz: Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz. Mögliche Folge: Man-in-the-Middle Schutz: DHCP Snooping Dynamic ARP Inspection Segmentierung TLS Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. DNS-Spoofing DNS-Spoofing manipuliert die Namensauflösung. Folge: Benutzer wird zu falscher IP-Adresse geleitet. Schutz: vertrauenswürdige DNS-Resolver DNSSEC TLS-Zertifikatsprüfung sichere DHCP-Konfiguration Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. Rogue DHCP Rogue DHCP bedeutet: ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen. Mögliche Folgen: falsches Gateway falscher DNS-Server Man-in-the-Middle Netzwerkstörung Schutz: DHCP Snooping Switchport-Sicherheit Monitoring physische Zugangskontrolle Merksatz: Rogue DHCP verteilt falsche Netzwerkkonfiguration. WLAN-Angriffe Typische WLAN-Angriffe: Evil Twin Rogue Access Point unsichere Verschlüsselung falsches Captive Portal Deauthentication Mitschneiden unverschlüsselter Kommunikation Schutz: WPA2-Enterprise oder WPA3 802.1X starke Passwörter Zertifikatsprüfung Gastnetztrennung Rogue-AP-Erkennung Merksatz: WLAN braucht Verschlüsselung, Authentifizierung und Segmentierung. Webangriffe Typische Webangriffe: SQL Injection Cross-Site Scripting Cross-Site Request Forgery Directory Traversal File Upload Attack Broken Authentication Broken Access Control unsichere APIs unsichere Fehlerausgaben Merksatz: Webangriffe nutzen oft Eingaben, Sitzungen oder Berechtigungen aus. SQL Injection SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Folgen: Daten auslesen Daten verändern Login umgehen Daten löschen Schutz: Prepared Statements parametrisierte Abfragen Eingabevalidierung Datenbankrechte begrenzen Merksatz: SQL Injection macht Eingabe zu Datenbankbefehl. Cross-Site Scripting Cross-Site Scripting wird abgekürzt: XSS Dabei wird Skriptcode in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Schutz: Ausgabe escapen Eingaben validieren Content Security Policy HttpOnly Cookies sichere Frameworks Merksatz: XSS greift Benutzer über den Browser an. CSRF CSRF steht für: Cross-Site Request Forgery Dabei wird eine bestehende Anmeldung missbraucht, um ungewollte Aktionen auszulösen. Schutz: CSRF-Token SameSite Cookies Origin-Prüfung erneute Bestätigung kritischer Aktionen Merksatz: CSRF missbraucht eine gültige Sitzung. SQL Injection, XSS und CSRF unterscheiden Angriff Ziel Kernproblem SQL Injection Datenbank Eingabe wird SQL-Befehl XSS Browser anderer Benutzer Eingabe wird Skript CSRF bestehende Sitzung fremde Seite löst Aktion aus Merksatz: SQL Injection trifft Datenbank. XSS trifft Browser. CSRF missbraucht Sitzung. Broken Authentication Broken Authentication bedeutet: Anmeldung oder Sitzungsverwaltung ist unsicher. Beispiele: kein MFA schwache Passwörter unsichere Passwortzurücksetzung zu lange Sessions Tokens unsicher gespeichert Merksatz: Broken Authentication gefährdet Konten und Sitzungen. Broken Access Control Broken Access Control bedeutet: Benutzer können auf Daten oder Funktionen zugreifen, für die sie keine Berechtigung haben. Beispiele: fremde Rechnung über geänderte ID anzeigen Adminfunktion als normaler Benutzer aufrufen API gibt fremde Daten zurück Merksatz: Zugriffskontrolle muss serverseitig geprüft werden. IDOR IDOR steht für: Insecure Direct Object Reference Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen. Merksatz: IDOR ist fehlende Objektberechtigung. Schwachstellenmanagement Schwachstellenmanagement bedeutet: Schwachstellen erkennen, bewerten, priorisieren, beheben und dokumentieren. Dazu gehören: Inventarisierung CVE-Bewertung CVSS-Einordnung Patchmanagement Schwachstellenscans Penetrationstests Hardening Dokumentation Merksatz: Schwachstellenmanagement ist ein dauerhafter Prozess. CVE und CVSS CVE: eindeutige Kennung für bekannte Schwachstellen CVSS: Bewertung der Kritikalität einer Schwachstelle Merksatz: CVE benennt. CVSS bewertet. Exploit und Zero-Day Exploit: Methode oder Code zur Ausnutzung einer Schwachstelle Zero-Day: Schwachstelle, für die noch kein regulärer Patch verfügbar ist oder die noch nicht öffentlich bekannt war Merksatz: Exploit nutzt eine Lücke. Zero-Day nutzt eine ungepatchte oder unbekannte Lücke. Patchmanagement Patchmanagement bedeutet: Updates werden geplant, getestet, verteilt geprüft und dokumentiert. Betroffen sind: Betriebssysteme Anwendungen Browser Datenbanken Firewalls Router Switches Firmware Container-Images Bibliotheken Cloud-Systeme Merksatz: Patchmanagement ist organisierte Update-Verwaltung. Patchmanagement-Ablauf Typischer Ablauf: 1. Systeme inventarisieren. 2. Schwachstellen prüfen. 3. Betroffenheit bewerten. 4. Kritikalität priorisieren. 5. Patch testen. 6. Wartungsfenster planen. 7. Patch ausrollen. 8. Funktion prüfen. 9. Erfolg dokumentieren. 10. Rest-Risiko bewerten. Merksatz: Patchmanagement braucht Inventar, Priorisierung, Test, Rollback und Dokumentation. Hardening Hardening bedeutet: Systeme werden sicherer konfiguriert, indem unnötige Funktionen deaktiviert und sichere Einstellungen gesetzt werden. Beispiele: unnötige Dienste deaktivieren offene Ports reduzieren Standardpasswörter ändern alte Protokolle abschalten Rechte minimieren Logging aktivieren Adminzugriffe begrenzen Merksatz: Hardening reduziert Angriffsfläche. Baseline Eine Baseline ist ein definierter sicherer Grundzustand. Beispiele: erlaubte Dienste Passwortregeln Update-Einstellungen Logging-Pflicht Firewall-Grundregeln TLS-Vorgaben Rechtevorgaben Merksatz: Baseline = festgelegte sichere Standardkonfiguration. Configuration Drift Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Baseline ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Installationen Merksatz: Configuration Drift macht Systeme schwerer sicher zu betreiben. Firewall Eine Firewall filtert Netzwerkverkehr. Sie prüft zum Beispiel: Quelle Ziel Port Protokoll Richtung Verbindungszustand Anwendung je nach Firewalltyp Merksatz: Firewall begrenzt Netzwerkzugriffe. Default Deny Default Deny bedeutet: standardmäßig ist alles verboten, nur ausdrücklich erlaubter Verkehr ist erlaubt. Merksatz: Default Deny ist sicherer als pauschales Erlauben. IDS und IPS IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS greift ein. Antivirus, EDR und XDR Antivirus: erkennt vor allem bekannte Schadsoftware EDR: Endpoint Detection and Response, erkennt und untersucht Angriffe auf Endgeräten XDR: Extended Detection and Response, verbindet mehrere Sicherheitsbereiche Merksatz: EDR ist umfassender als klassischer Antivirus. SIEM, SOC und SOAR SIEM: sammelt und korreliert Sicherheitslogs SOC: Security Operations Center, organisatorische Stelle für Sicherheitsüberwachung SOAR: automatisiert Sicherheitsreaktionen Merksatz: SIEM sammelt Daten. SOC bewertet. SOAR automatisiert Reaktionen. Backup Backup ist eine zusätzliche Sicherung zur Wiederherstellung. Wichtig: regelmäßig geschützt verschlüsselt getrennt dokumentiert getestet Merksatz: Backup ohne Restore-Test ist unsicher. Immutable Backup Immutable Backup bedeutet: Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schutz gegen: Ransomware versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt Wiederherstellungsmöglichkeiten. Incident Response Incident Response bedeutet: strukturierte Reaktion auf Sicherheitsvorfälle. Typische Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. Containment, Eradication und Recovery Phase Bedeutung Containment Vorfall eindämmen Eradication Ursache beseitigen Recovery Systeme wiederherstellen Merksatz: Erst eindämmen, dann Ursache beseitigen, dann sicher wiederherstellen. Defense in Depth Defense in Depth bedeutet: mehrere Schutzschichten werden kombiniert. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring plus Schulung Merksatz: Sicherheit darf nicht von einer einzigen Maßnahme abhängen. Technische, organisatorische, personelle und physische Maßnahmen Maßnahmenart Beispiele technisch Firewall, MFA, EDR, Backup, Verschlüsselung organisatorisch Richtlinien, Prozesse, Verantwortlichkeiten personell Schulung, Awareness, klare Meldewege physisch Zutrittskontrolle, Serverraum, Brandschutz Merksatz: Sicherheit besteht aus Technik, Organisation, Menschen und physischem Schutz. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was sind die drei Schutzziele der Informationssicherheit? - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist Malware? - Was ist der Unterschied zwischen Virus und Wurm? - Was ist Ransomware? - Was ist Phishing? - Was ist Social Engineering? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist SQL Injection? - Was ist XSS? - Was ist CSRF? - Was ist CVE? - Was ist CVSS? - Was ist Patchmanagement? - Was ist Hardening? - Was ist eine Firewall? - Was ist der Unterschied zwischen IDS und IPS? - Was ist EDR? - Was ist SIEM? - Warum sind Backups wichtig? - Was ist Incident Response? - Was bedeutet Defense in Depth? Typische Prüfungsfallen Vertraulichkeit, Integrität und Verfügbarkeit nicht verwechseln. Ransomware betrifft nicht nur Verfügbarkeit, sondern oft auch Vertraulichkeit. Malware ist ein Oberbegriff. Virus und Wurm unterscheiden. Phishing ist nicht nur E-Mail. Social Engineering ist nicht rein technisch. DoS und DDoS unterscheiden. DDoS ist verteilt. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Herkunft oder Identität vor. DNSSEC schützt Integrität, nicht automatisch Vertraulichkeit. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen gegen SQL Injection. Frontend-Validierung ist keine Sicherheitsgrenze. Zugriffskontrolle muss serverseitig erfolgen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse. Patchmanagement ist ein Prozess. Hardening ist sichere Konfiguration. Firewall ersetzt kein Patchmanagement. Antivirus ersetzt kein Sicherheitskonzept. IDS erkennt, IPS blockiert zusätzlich. EDR ist mehr als Antivirus. SIEM sammelt und korreliert Logs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Backup ohne Restore-Test ist unsicher. Security Awareness ist eine Schutzmaßnahme. Incident Response muss vorbereitet sein. Sicherheit ist ein Prozess, kein einmaliger Zustand. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Vertraulichkeit Schutz vor unberechtigtem Lesen Integrität Schutz vor unbemerkter Veränderung Verfügbarkeit Nutzbarkeit von Systemen und Daten Authentizität Echtheit einer Identität oder Nachricht Nichtabstreitbarkeit Nachweisbarkeit einer Handlung Schwachstelle ausnutzbare Sicherheitslücke Bedrohung mögliches schädliches Ereignis Risiko Wahrscheinlichkeit und Auswirkung Angriffsfläche Summe möglicher Angriffspunkte Malware Schadsoftware Virus Schadsoftware mit Wirtsdatei Wurm selbstverbreitende Schadsoftware Trojaner getarnte Schadsoftware Ransomware erpresserische Verschlüsselung oder Sperrung Phishing Täuschung zur Datenpreisgabe Social Engineering Manipulation von Menschen Brute Force systematisches Ausprobieren Credential Stuffing Nutzung geleakter Zugangsdaten Password Spraying wenige Passwörter gegen viele Konten DoS Dienstverweigerung DDoS verteilte Dienstverweigerung MitM Man-in-the-Middle Sniffing Mitschneiden von Verkehr Spoofing Vortäuschen falscher Identität ARP-Spoofing Manipulation lokaler IP-MAC-Zuordnung DNS-Spoofing Manipulation von DNS-Antworten Rogue DHCP unautorisierter DHCP-Server Evil Twin gefälschter WLAN-Access-Point SQL Injection Einschleusen von SQL-Code XSS Cross-Site Scripting CSRF Cross-Site Request Forgery IDOR unsichere direkte Objekt-ID CVE Kennung bekannter Schwachstellen CVSS Kritikalitätsbewertung Exploit Ausnutzung einer Schwachstelle Zero-Day ungepatchte oder unbekannte Schwachstelle Patchmanagement organisierte Update-Verwaltung Hardening sichere Systemhärtung Baseline sicherer Grundzustand Configuration Drift Abweichung von Soll-Konfiguration Firewall Filter für Netzwerkverkehr IDS Angriffserkennung IPS Angriffserkennung mit Blockierung Antivirus Schutz gegen bekannte Schadsoftware EDR Endpoint Detection and Response XDR Extended Detection and Response SIEM Sicherheitslog-Auswertung SOC Security Operations Center SOAR automatisierte Sicherheitsreaktion MFA Multi-Faktor-Authentifizierung Least Privilege minimale notwendige Rechte Backup zusätzliche Datensicherung Immutable Backup unveränderliches Backup Restore-Test Prüfung der Wiederherstellung Incident Response Reaktion auf Sicherheitsvorfälle Defense in Depth mehrschichtige Verteidigung IHK-sichere Gesamtformulierung Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth. Wichtigste Merksätze IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist Wahrscheinlichkeit und Auswirkung. Angriffsfläche reduzieren. Malware ist Schadsoftware. Virus hängt sich an Dateien. Wurm verbreitet sich selbstständig. Trojaner tarnt sich. Ransomware verschlüsselt oder sperrt. Double Extortion bedeutet Verschlüsselung plus Datenabfluss. Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Phishing ist nicht nur E-Mail. MFA schützt stark, aber nicht gegen alles. Passwörter nicht wiederverwenden. DoS und DDoS greifen Verfügbarkeit an. DDoS ist verteilt. MitM sitzt zwischen Sender und Empfänger. Sniffing kann nützlich sein, aber auch missbraucht werden. Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing betrifft lokale Netze. DNS-Spoofing führt zu falschen Zielen. Rogue DHCP verteilt falsche Netzwerkeinstellungen. WLAN braucht starke Absicherung. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen vor SQL Injection. Escaping schützt vor XSS. CSRF-Token schützen vor CSRF. Zugriffskontrolle immer serverseitig prüfen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Patchmanagement ist ein Prozess. Hardening reduziert Angriffsfläche. Baseline definiert sicheren Grundzustand. Configuration Drift vermeiden. Firewall begrenzt Netzwerkzugriffe. Default Deny ist sicherer. IDS erkennt. IPS blockiert zusätzlich. EDR schützt Endgeräte tiefer als Antivirus. SIEM korreliert Sicherheitslogs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Restore-Test ist Pflicht. Immutable Backup schützt vor Manipulation. Incident Response vorbereiten. Defense in Depth kombiniert Schutzschichten. Sicherheit ist ein dauerhafter Prozess. 17. Praxis – Netzwerkadministration und Systemzugriff Windows --> Linux SSH-KEY-LOGIN (Windows → Ubuntu) Key auf Windows erstellen ssh-keygen -t ed25519 → Dateien: C:\Users.ssh\id_ed25519 (PRIVATE) C:\Users.ssh\id_ed25519.pub (PUBLIC) Public Key per SCP auf den Server kopieren (in Windows) scp $env:USERPROFILE.ssh\id_ed25519.pub admini@192.168.33.XXX:~/id_ed25519.pub Auf dem Server: Key in authorized_keys eintragen (in Linux) ssh admini@ 192.168.33.XXX mkdir -p ~/.ssh cat ~/id_ed25519.pub >> ~/.ssh/authorized_keys rm ~/id_ed25519.pub Auf dem Server: Rechte setzen (sonst kann SSH ablehnen) chmod 700 ~/.ssh chmod 600 ~/.ssh/authorized_keys Test von Windows ssh admini@ 192.168.33.XXX 17.1 Praxis – Netzwerkadministration und Systemzugriff In der Netzwerkadministration geht es darum, IT-Systeme, Netzwerke, Benutzer, Dienste und Zugriffe sicher zu verwalten. Dabei werden technische Werkzeuge, Berechtigungen, Protokolle und Sicherheitsregeln kombiniert. Typische Aufgaben sind: - Systeme administrieren - Netzwerkfehler suchen - Benutzerrechte verwalten - Remotezugriffe einrichten - Dienste prüfen - Logs auswerten - Konfigurationen dokumentieren - Sicherheitsregeln kontrollieren - Backups prüfen - Updates einspielen Merksatz: Netzwerkadministration ist die praktische Verwaltung von Systemen, Diensten, Zugriffen und Verbindungen. Warum Systemzugriff wichtig ist Administratoren brauchen Zugriff auf Systeme, um sie zu verwalten. Gleichzeitig sind Adminzugänge besonders kritisch. Ein kompromittierter Adminzugang kann ermöglichen: Serverübernahme Datenzugriff Rechteänderungen Firewalländerungen Löschen von Backups Manipulation von Logs Installation von Malware Zugriff auf weitere Systeme Merksatz: Adminzugänge sind mächtig und müssen besonders geschützt werden. Typische Verwaltungszugriffe Typische Arten des Systemzugriffs: SSH RDP Weboberfläche Konsole VPN Remote-Support-Tool Managementnetz API Cloud-Portal Verzeichnisdienst Merksatz: Je mächtiger der Zugriff, desto stärker muss er abgesichert werden. Lokaler Zugriff Lokaler Zugriff bedeutet: Administrator arbeitet direkt am Gerät oder an einer lokalen Konsole. Beispiele: Serverkonsole Monitor und Tastatur am Gerät lokale Anmeldung am Notebook lokale Shell physische Konsole im Serverraum Vorteil: funktioniert oft auch, wenn Netzwerkdienste gestört sind Nachteil: physischer Zugang nötig Merksatz: Lokaler Zugriff ist direkter Zugriff am System. Remotezugriff Remotezugriff bedeutet: Ein System wird aus der Ferne administriert. Beispiele: SSH auf Linux-Server RDP auf Windows-Server Weboberfläche eines Routers VPN ins Firmennetz Cloud-Konsole Remote-Support-Sitzung Merksatz: Remotezugriff ermöglicht Verwaltung ohne direkten physischen Zugang. Remotezugriff als Risiko Remotezugänge sind attraktive Ziele für Angreifer. Risiken: Brute Force Passwortdiebstahl Phishing unsichere Ports ungepatchte Dienste fehlende MFA zu breite Firewall-Regeln veraltete Remote-Software öffentlich erreichbare Adminoberflächen Merksatz: Remotezugänge niemals unnötig offen ins Internet stellen. Sichere Grundregeln für Remotezugriff Wichtige Regeln: nur notwendige Remotezugänge erlauben MFA nutzen starke Authentifizierung verwenden Zugriff über VPN oder Bastion Host Adminports nicht breit öffentlich öffnen Quell-IP einschränken Logging aktivieren Benutzer eindeutig zuordnen keine Sammelkonten nutzen Rechte minimal vergeben Zugriffe regelmäßig prüfen Merksatz: Remotezugriff braucht Authentifizierung, Zugriffsbeschränkung Logging und Rechtebegrenzung. SSH SSH steht für: Secure Shell SSH wird vor allem genutzt, um Linux-, Unix- oder Netzwerkgeräte sicher aus der Ferne zu verwalten. SSH ermöglicht: verschlüsselte Kommandozeile sichere Anmeldung Dateiübertragung je nach Werkzeug Tunnelung Verwaltung von Servern Verwaltung von Netzwerkgeräten Merksatz: SSH ist ein verschlüsselter Fernzugriff auf die Kommandozeile. SSH-Port Der Standardport für SSH ist: TCP 22 Wichtig: Ein offener SSH-Port im Internet ist ein häufiges Angriffsziel. Schutzmaßnahmen: Zugriff per VPN Zugriff über Bastion Host Quell-IP begrenzen Schlüssel statt Passwort nutzen MFA je nach Umgebung Loginversuche begrenzen Logs überwachen Merksatz: SSH ist sicher verschlüsselt, aber der Zugang muss trotzdem geschützt werden. SSH mit Passwort SSH kann mit Benutzername und Passwort genutzt werden. Risiko: Passwörter können erraten, gestohlen oder wiederverwendet werden. Schutz: starke Passwörter MFA Rate Limiting Fail2ban oder vergleichbare Schutzmechanismen keine Standardkonten keine Root-Anmeldung direkt Merksatz: SSH-Passwortlogin ist möglich, aber stärker angreifbar als Schlüsselanmeldung. SSH mit Schlüssel Bei SSH-Schlüsseln wird ein Schlüsselpaar verwendet. Es besteht aus: privatem Schlüssel und öffentlichem Schlüssel Der öffentliche Schlüssel liegt auf dem Server. Der private Schlüssel bleibt beim Benutzer. Merksatz: SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel. Privater SSH-Schlüssel Der private Schlüssel ist geheim. Er darf nicht: weitergegeben werden öffentlich gespeichert werden in Repositories liegen in Tickets kopiert werden in Chatnachrichten stehen unverschlüsselt auf fremden Geräten liegen Merksatz: Der private SSH-Schlüssel ist wie ein sehr starkes Passwort zu behandeln. Öffentlicher SSH-Schlüssel Der öffentliche Schlüssel darf auf Servern hinterlegt werden. Er ermöglicht, dass sich der passende private Schlüssel authentifizieren kann. Wichtig: öffentlicher Schlüssel ist nicht geheim, aber seine Zuordnung muss korrekt verwaltet werden. Merksatz: Öffentlicher Schlüssel auf Server, privater Schlüssel beim Benutzer. SSH-Schlüssel und Passphrase Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden. Vorteil: Wenn der Schlüssel gestohlen wird, kann er nicht sofort ohne Passphrase genutzt werden. Merksatz: SSH-Schlüssel zusätzlich mit Passphrase schützen. Root-Login über SSH Direkter Root-Login über SSH ist riskant. Besser: normaler Benutzer meldet sich an danach Rechteerhöhung mit sudo Vorteile: bessere Nachvollziehbarkeit weniger direkte Angriffsfläche Benutzeraktionen besser zuordenbar Merksatz: Direkten Root-Login vermeiden. sudo sudo erlaubt, einzelne Befehle mit erhöhten Rechten auszuführen. Vorteile: normale Anmeldung ohne dauerhafte Adminrechte gezielte Rechtevergabe bessere Protokollierung weniger Risiko als dauerhafte Root-Sitzung Merksatz: sudo ermöglicht kontrollierte Rechteerhöhung. RDP RDP steht für: Remote Desktop Protocol RDP wird häufig genutzt, um Windows-Systeme grafisch aus der Ferne zu verwalten. Der Standardport ist: TCP 3389 Merksatz: RDP ist grafischer Remotezugriff auf Windows-Systeme. RDP als Risiko RDP ist ein häufiges Angriffsziel, wenn es direkt aus dem Internet erreichbar ist. Risiken: Brute Force Credential Stuffing Exploits gegen ungepatchte Dienste Ransomware-Einstieg gestohlene Zugangsdaten fehlende MFA Merksatz: RDP sollte nicht direkt und breit aus dem Internet erreichbar sein. RDP sicher nutzen Schutzmaßnahmen: RDP nur über VPN RDP Gateway verwenden MFA nutzen Quell-IP einschränken starke Passwörter Account Lockout Network Level Authentication Updates einspielen Logs überwachen Adminrechte begrenzen Merksatz: RDP über VPN oder Gateway absichern. Weboberflächen Viele Systeme werden über Weboberflächen verwaltet. Beispiele: Router Firewalls Switches NAS Drucker Hypervisor Cloud-Portale Monitoring-Systeme Backup-Systeme Risiken: Standardpasswörter fehlende Updates unsichere TLS-Konfiguration öffentliche Erreichbarkeit schwache Rechteverwaltung fehlende MFA Merksatz: Admin-Weboberflächen gehören nicht ungeschützt ins Internet. Weboberflächen sicher betreiben Maßnahmen: nur intern oder über VPN erreichbar machen starke Passwörter MFA wenn möglich HTTPS nutzen Zertifikate prüfen Standardkonten deaktivieren Updates einspielen Zugriff protokollieren Rollen und Rechte begrenzen Merksatz: Webadministration braucht Zugriffsschutz, Verschlüsselung und Updates. VPN für Administration VPN ermöglicht, dass Administratoren sicher in ein internes Netz gelangen. Vorteile: Adminports müssen nicht direkt öffentlich sein Zugriff kann zentral gesteuert werden MFA kann vorgeschaltet werden interne Dienste bleiben privat Logs können zentral ausgewertet werden Merksatz: VPN schützt Adminzugänge, ersetzt aber keine Rechteverwaltung. Bastion Host Ein Bastion Host ist ein besonders geschützter Sprungserver. Ablauf: Administrator verbindet sich zum Bastion Host und von dort zum Zielsystem Vorteile: weniger direkte Adminzugänge zentrale Protokollierung Zugriff kontrollierbarer Zielsysteme bleiben privat Merksatz: Bastion Host bündelt und schützt Adminzugriffe. Jump Server Jump Server ist ein ähnlicher Begriff wie Bastion Host. Er dient als Zwischensystem, um interne Systeme zu administrieren. Wichtig: stark härten MFA nutzen Zugriff protokollieren Benutzer eindeutig zuordnen keine unnötigen Tools installieren regelmäßig patchen Merksatz: Jump Server ist ein kontrollierter Sprungpunkt für Administration. Managementnetz Ein Managementnetz ist ein eigenes Netz für administrative Zugriffe. Darin liegen zum Beispiel: Verwaltungsinterfaces Hypervisor-Management Switch-Management Firewall-Management Server-Management Backup-Management Storage-Management Ziel: Managementzugriffe vom normalen Benutzernetz trennen. Merksatz: Managementzugänge gehören in ein getrenntes Managementnetz. Warum Managementnetz wichtig ist Wenn Managementschnittstellen im normalen Clientnetz erreichbar sind, können kompromittierte Clients leichter Adminsysteme angreifen. Ein getrenntes Managementnetz reduziert: Angriffsfläche laterale Bewegung unkontrollierte Zugriffe Risiko durch Malware versehentliche Änderungen Merksatz: Managementnetz schützt besonders kritische Verwaltungszugänge. Out-of-Band-Management Out-of-Band-Management bedeutet: Verwaltung erfolgt über einen getrennten Verwaltungsweg, unabhängig vom normalen Produktionsnetz. Beispiele: iLO iDRAC IPMI serielle Konsole separates Managementinterface Vorteil: Zugriff auch bei Störung des normalen Systems möglich Risiko: sehr mächtiger Zugriff, deshalb besonders schützen Merksatz: Out-of-Band-Management ist mächtig und muss streng abgesichert werden. Benutzerkonten Benutzerkonten sind Grundlage für Zugriff. Wichtige Regeln: persönliches Konto pro Benutzer keine Sammelkonten starke Passwörter MFA bei kritischen Zugängen Rollen und Gruppen nutzen Rechte regelmäßig prüfen Konten bei Austritt deaktivieren Admin- und Benutzerkonto trennen Merksatz: Zugriffe müssen eindeutig Personen zugeordnet werden können. Sammelkonten Sammelkonten sind Konten, die mehrere Personen gemeinsam nutzen. Problem: keine eindeutige Nachvollziehbarkeit Passwortweitergabe schwieriges Offboarding schlechte Protokollierung höheres Missbrauchsrisiko Merksatz: Sammelkonten vermeiden, besonders bei Administrationszugängen. Admin- und Benutzerkonto trennen Administratoren sollten nicht ständig mit Adminrechten arbeiten. Besser: normales Benutzerkonto für Alltag separates Adminkonto für Administration Vorteile: weniger Schaden durch Phishing weniger Malware-Risiko bessere Kontrolle klarere Protokollierung Merksatz: Adminrechte nur verwenden, wenn sie wirklich benötigt werden. Least Privilege in der Administration Least Privilege bedeutet: nur notwendige Rechte vergeben. Beispiele: Helpdesk darf Passwörter zurücksetzen, aber keine Server löschen. Datenbankadmin darf Datenbank verwalten, aber keine Firewall ändern. Netzwerkadmin darf Switches verwalten, aber keine Personalakten lesen. Merksatz: Adminrechte nach Aufgabe trennen. Rollenbasierte Rechtevergabe Rollenbasierte Rechtevergabe bedeutet: Rechte werden über Rollen oder Gruppen vergeben. Beispiele: Helpdesk Serveradministration Netzwerkadministration Datenbankadministration Backup-Operator Sicherheitsadministrator Leser Vorteile: übersichtlicher leichter zu prüfen einfacher beim Onboarding und Offboarding Merksatz: Rollen vereinfachen Berechtigungsverwaltung. Privileged Access Management Privileged Access Management wird oft abgekürzt: PAM PAM kontrolliert besonders mächtige Zugriffe. Funktionen können sein: zeitlich begrenzte Adminrechte Genehmigungspflicht MFA Sitzungsaufzeichnung Passworttresor Protokollierung Notfallzugriff Merksatz: PAM schützt besonders kritische Adminrechte. Just-in-Time-Administration Just-in-Time-Administration bedeutet: Adminrechte werden nur für einen begrenzten Zeitraum aktiviert. Beispiel: Admin erhält für 1 Stunde Rechte zur Wartung. Danach werden Rechte automatisch entzogen. Merksatz: Just-in-Time reduziert dauerhafte Adminrechte. Protokollierung von Adminzugriffen Adminaktionen sollten protokolliert werden. Wichtige Informationen: Benutzer Zeitpunkt Quellsystem Zielsystem ausgeführte Aktion Erfolg oder Fehler geänderte Konfiguration verwendetes Konto Merksatz: Adminzugriffe müssen nachvollziehbar sein. Audit-Logs Audit-Logs dokumentieren sicherheitsrelevante Aktionen. Beispiele: Benutzer angelegt Rolle geändert Firewall-Regel geändert Dienst gestoppt Backup gelöscht Schlüssel erstellt Adminrechte vergeben Systemkonfiguration verändert Merksatz: Audit-Logs zeigen, wer was wann geändert hat. Logschutz Logs müssen geschützt werden, weil Angreifer sie manipulieren oder löschen könnten. Maßnahmen: zentrale Logsammlung eingeschränkte Schreibrechte getrennte Speicherung unveränderliche Logs je nach Bedarf Zeitstempel Zugriffskontrolle regelmäßige Prüfung Merksatz: Logs sind nur wertvoll, wenn sie vollständig und vertrauenswürdig sind. Zeitserver und Logs Für Logauswertung müssen Systeme die gleiche Zeitbasis haben. Dafür wird NTP genutzt. Wenn Zeiten stark abweichen, wird die Analyse schwieriger. Beispiel: Firewall-Log, Server-Log und Authentifizierungslog passen zeitlich nicht zusammen. Merksatz: Saubere Zeit synchronisation ist wichtig für Loganalyse. Dokumentation in der Administration Dokumentiert werden sollten: Systeme IP-Adressen Hostnamen Zuständigkeiten Zugangskonzepte Rollen Firewall-Regeln Dienste Abhängigkeiten Backup-Regeln Wartungsfenster Änderungen Notfallzugriffe Merksatz: Gute Dokumentation macht Administration nachvollziehbar und wartbar. Change Management Change Management bedeutet: Änderungen werden geplant, geprüft, freigegeben, umgesetzt und dokumentiert. Beispiele: Firewall-Regel ändern Benutzerrechte erweitern Serverdienst aktualisieren VPN-Gruppe anlegen Zertifikat erneuern Backup-Plan ändern Switch-Konfiguration anpassen Merksatz: Änderungen brauchen Kontrolle und Dokumentation. Vier-Augen-Prinzip Vier-Augen-Prinzip bedeutet: kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben. Beispiele: Adminrechte vergeben Backup löschen Firewall ins Internet öffnen Produktivsystem ändern Daten exportieren Notfallzugang aktivieren Merksatz: Vier-Augen-Prinzip reduziert Fehler und Missbrauch. Offboarding Offboarding bedeutet: Zugriffe werden entfernt, wenn eine Person das Unternehmen verlässt oder eine Rolle wechselt. Zu prüfen: Benutzerkonto Gruppenmitgliedschaften VPN-Zugang SSH-Schlüssel Cloud-Zugänge lokale Adminrechte API-Schlüssel geteilte Freigaben Geräte E-Mail-Weiterleitungen Merksatz: Nicht entfernte Zugänge sind ein Sicherheitsrisiko. Onboarding Onboarding bedeutet: neue Benutzer erhalten benötigte Zugänge. Wichtig: nach Rolle vergeben nur notwendige Rechte dokumentieren MFA einrichten Schulung durchführen Verantwortlichkeiten klären Merksatz: Onboarding sollte geordnet über Rollen und Prozesse laufen. Break-Glass-Konto Ein Break-Glass-Konto ist ein Notfallkonto. Es wird genutzt, wenn normale Adminwege nicht funktionieren. Beispiele: Identitätsdienst gestört MFA-System ausgefallen zentrale Anmeldung nicht möglich Administratoren ausgesperrt Wichtig: stark schützen selten nutzen Nutzung protokollieren regelmäßig prüfen Zugriff begrenzen Notfallprozess dokumentieren Merksatz: Break-Glass-Konto ist Notfallzugang, kein Alltagskonto. Sichere Administrationsregeln Wichtige Regeln: keine Adminarbeit mit Alltagskonto keine Sammelkonten MFA für Adminzugänge Remotezugriff nur kontrolliert Adminports nicht offen ins Internet Zugriffe protokollieren Rechte regelmäßig prüfen Änderungen dokumentieren Notfallzugänge absichern Offboarding ernst nehmen Merksatz: Administration braucht technische und organisatorische Kontrolle. Typische Praxisfehler Häufige Fehler: RDP offen im Internet SSH mit Passwort und schwachem Passwort Standardpasswort auf Weboberfläche gleiche Adminzugänge für mehrere Personen keine MFA alte Benutzerkonten aktiv Adminrechte dauerhaft vergeben keine Logs keine Dokumentation Managementinterfaces im Clientnetz Backups ohne Zugriffsschutz Notfallkonto ungeprüft Merksatz: Viele Sicherheitsprobleme entstehen durch bequeme, aber unsichere Administration. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Remotezugriff? - Was ist SSH? - Wofür wird SSH genutzt? - Was ist der Standardport von SSH? - Warum ist SSH mit Schlüsseln sicherer als nur Passwort? - Was ist RDP? - Was ist der Standardport von RDP? - Warum sollte RDP nicht offen im Internet stehen? - Was ist ein Bastion Host? - Was ist ein Jump Server? - Was ist ein Managementnetz? - Was bedeutet Out-of-Band-Management? - Warum sollten Admin- und Benutzerkonto getrennt werden? - Warum sind Sammelkonten problematisch? - Was bedeutet Least Privilege? - Was ist PAM? - Was bedeutet Just-in-Time-Administration? - Warum sind Audit-Logs wichtig? - Warum ist NTP für Logs wichtig? - Was ist ein Break-Glass-Konto? - Was ist Offboarding? Typische Prüfungsfallen Remotezugriff ist praktisch, aber sicherheitskritisch. SSH ist verschlüsselt, aber trotzdem angreifbar, wenn Zugang schlecht geschützt ist. SSH-Standardport ist TCP 22. RDP-Standardport ist TCP 3389. RDP nicht breit öffentlich freigeben. Admin-Weboberflächen nicht öffentlich bereitstellen. VPN schützt Transport, ersetzt aber keine Rechteverwaltung. Bastion Host ist ein Sprungserver. Managementnetz vom Clientnetz trennen. Out-of-Band-Management besonders schützen. Sammelkonten vermeiden. Admin- und Alltagskonto trennen. Least Privilege gilt auch für Administratoren. PAM schützt privilegierte Zugriffe. Just-in-Time reduziert dauerhafte Adminrechte. Audit-Logs müssen vor dem Vorfall aktiv sein. Logs brauchen korrekte Zeitbasis. NTP hilft bei zeitlich korrekter Loganalyse. Offboarding muss alle Zugänge entfernen. Break-Glass-Konto ist Notfallzugang, kein normales Admin-Konto. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Netzwerkadministration Verwaltung von Netzwerken und Systemen Systemzugriff Zugriff auf IT-Systeme zur Nutzung oder Verwaltung lokaler Zugriff direkter Zugriff am Gerät Remotezugriff Zugriff aus der Ferne SSH verschlüsselter Kommandozeilenzugriff privater Schlüssel geheimer Teil eines SSH-Schlüsselpaares öffentlicher Schlüssel Teil des Schlüsselpaares auf dem Server sudo kontrollierte Rechteerhöhung RDP grafischer Remotezugriff auf Windows-Systeme Weboberfläche Verwaltung über Browser VPN verschlüsselter Zugang zu internem Netz Bastion Host besonders geschützter Sprungserver Jump Server Zwischensystem für Administration Managementnetz getrenntes Netz für Verwaltung Out-of-Band-Management Verwaltung über getrennten Verwaltungsweg Benutzerkonto persönliche Identität im System Sammelkonto gemeinsam genutztes Konto Adminkonto Konto mit erhöhten Rechten Least Privilege minimale notwendige Rechte Rollenmodell Rechtevergabe über Rollen PAM Privileged Access Management Just-in-Time zeitlich begrenzte Rechte Audit-Log Protokoll sicherheitsrelevanter Aktionen Logschutz Schutz vor Manipulation oder Verlust von Logs NTP Zeitsynchronisation Dokumentation nachvollziehbare Beschreibung von Systemen und Änderungen Change Management kontrollierter Änderungsprozess Vier-Augen-Prinzip Prüfung durch mindestens zwei Personen Offboarding Entfernen nicht mehr benötigter Zugänge Onboarding geordnete Vergabe neuer Zugänge Break-Glass-Konto Notfallkonto IHK-sichere Kurzformulierung Netzwerkadministration umfasst die praktische Verwaltung von Systemen, Diensten, Netzwerken und Zugängen. Remotezugriffe wie SSH, RDP, Weboberflächen, VPN, Bastion Hosts oder Managementnetze ermöglichen Administration aus der Ferne, sind aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff, RDP dem grafischen Fernzugriff auf Windows-Systeme. Adminzugänge sollten nicht direkt und breit aus dem Internet erreichbar sein, sondern durch VPN, Bastion Host, MFA, Quell-IP-Beschränkung, Logging und Least Privilege abgesichert werden. Persönliche Benutzerkonten, getrennte Admin- und Alltagskonten, Audit-Logs, Change Management, Offboarding und geschützte Notfallkonten sind wichtige Grundlagen sicherer Administration. Merksätze Netzwerkadministration verwaltet Systeme, Dienste, Zugriffe und Verbindungen. Adminzugänge sind besonders kritisch. Remotezugriff braucht starke Absicherung. SSH = verschlüsselter Kommandozeilenzugriff. SSH nutzt standardmäßig TCP 22. Privater SSH-Schlüssel bleibt geheim. Öffentlicher SSH-Schlüssel liegt auf dem Server. SSH-Schlüssel mit Passphrase schützen. Direkten Root-Login vermeiden. sudo kontrolliert Rechteerhöhung. RDP = grafischer Windows-Remotezugriff. RDP nutzt standardmäßig TCP 3389. RDP nicht breit ins Internet öffnen. Admin-Weboberflächen intern oder über VPN bereitstellen. VPN schützt Zugang, ersetzt aber keine Rechteverwaltung. Bastion Host ist ein geschützter Sprungserver. Jump Server ist ein Zwischensystem für Administration. Managementnetz vom normalen Clientnetz trennen. Out-of-Band-Management besonders schützen. Persönliche Konten statt Sammelkonten. Admin- und Alltagskonto trennen. Least Privilege gilt auch für Admins. Rollen vereinfachen Rechtevergabe. PAM schützt privilegierte Zugriffe. Just-in-Time reduziert dauerhafte Adminrechte. Adminaktionen protokollieren. Audit-Logs zeigen sicherheitsrelevante Änderungen. Logs vor Manipulation schützen. NTP ist wichtig für Loganalyse. Dokumentation ist Teil sicherer Administration. Änderungen kontrolliert durchführen. Vier-Augen-Prinzip bei kritischen Aktionen nutzen. Offboarding entfernt alte Zugänge. Break-Glass-Konto ist nur für Notfälle. Sichere Administration braucht Technik, Prozesse und Nachvollziehbarkeit. 17.2 SSH, RDP und sichere Fernadministration im Detail Fernadministration bedeutet, dass Systeme aus der Ferne verwaltet werden. Dafür werden Protokolle, Zugriffswege, Benutzerkonten, Berechtigungen und Sicherheitsmaßnahmen kombiniert. Typische Fernadministration: - Linux-Server per SSH verwalten - Windows-Server per RDP verwalten - Firewall über Weboberfläche konfigurieren - Switch per SSH administrieren - NAS oder Router über Managementoberfläche verwalten - Cloud-Systeme über Portal oder API steuern - Zugriff über VPN oder Bastion Host absichern Merksatz: Fernadministration ist praktisch, aber sicherheitskritisch. Warum Fernadministration abgesichert werden muss Remotezugänge sind besonders interessant für Angreifer, weil sie direkten Zugriff auf Systeme ermöglichen können. Risiken: Passwortangriffe Brute Force Credential Stuffing Phishing gestohlene SSH-Schlüssel offene RDP-Ports veraltete Remote-Dienste fehlende MFA schwache Firewall-Regeln kompromittierte Admin-Konten Merksatz: Ein unsicherer Fernzugriff kann zum Einstiegspunkt für einen kompletten Angriff werden. Grundregel für Fernadministration Adminzugänge sollten nicht unnötig direkt aus dem Internet erreichbar sein. Besser: Zugriff über VPN oder Zugriff über Bastion Host oder Zugriff nur von festen Quell-IP-Adressen oder Zugriff über ein getrenntes Managementnetz Merksatz: Adminzugänge nicht breit öffentlich bereitstellen. SSH SSH steht für: Secure Shell SSH ist ein verschlüsseltes Protokoll für entfernten Zugriff auf eine Kommandozeile. SSH wird häufig genutzt für: Linux-Server Unix-Systeme Netzwerkgeräte Firewalls Switches Router NAS-Systeme Git-Zugriffe Dateiübertragung mit SFTP oder SCP Standardport: TCP 22 Merksatz: SSH ist sicherer Fernzugriff auf die Kommandozeile. Was SSH schützt SSH schützt die Verbindung durch Verschlüsselung. Dadurch werden geschützt: Zugangsdaten bei der Übertragung Befehle Ausgaben Dateiübertragungen Sitzungsdaten Wichtig: SSH verschlüsselt die Verbindung, aber schützt nicht automatisch vor schwachen Passwörtern, gestohlenen Schlüsseln oder falsch vergebenen Rechten. Merksatz: SSH schützt den Transport, aber nicht jede Fehlkonfiguration. SSH-Authentifizierung SSH kann verschiedene Anmeldearten nutzen. Typisch sind: Passwortauthentifizierung oder Schlüsselbasierte Authentifizierung Zusätzlich möglich: MFA Zertifikatsbasierte SSH-Anmeldung zentrale Benutzerverwaltung Zugriff über Bastion Host Merksatz: SSH braucht starke Authentifizierung, nicht nur Verschlüsselung. SSH mit Passwort Bei SSH mit Passwort meldet sich ein Benutzer mit Benutzername und Passwort an. Vorteil: einfach einzurichten Nachteile: anfällig gegen Brute Force anfällig gegen gestohlene Passwörter Risiko durch Passwortwiederverwendung schwierig bei vielen Servern sicher zu verwalten Merksatz: SSH-Passwortlogin ist einfach, aber sicherheitlich schwächer als Schlüsselanmeldung. SSH mit Schlüsselpaar Bei SSH mit Schlüsselpaar gibt es zwei Schlüssel: privater Schlüssel und öffentlicher Schlüssel Der öffentliche Schlüssel liegt auf dem Server. Der private Schlüssel bleibt beim Administrator. Nur wer den passenden privaten Schlüssel besitzt, kann sich authentifizieren. Merksatz: Öffentlicher Schlüssel auf den Server, privater Schlüssel bleibt geheim beim Benutzer. Privater Schlüssel Der private SSH-Schlüssel ist geheim. Er darf nicht: weitergegeben werden in Git-Repositories liegen in Tickets kopiert werden in Chatnachrichten stehen unverschlüsselt auf fremden Systemen liegen auf gemeinsam genutzten Netzlaufwerken liegen Merksatz: Der private SSH-Schlüssel ist wie ein besonders kritisches Passwort. Öffentlicher Schlüssel Der öffentliche SSH-Schlüssel ist nicht geheim. Er wird auf Systemen hinterlegt, auf die der Benutzer zugreifen darf. Trotzdem muss er verwaltet werden. Wichtig: alte Schlüssel entfernen Schlüssel Personen zuordnen Schlüssel bei Austritt löschen keine unbekannten Schlüssel erlauben Berechtigungen regelmäßig prüfen Merksatz: Öffentliche Schlüssel sind nicht geheim, aber ihre Zuordnung ist sicherheitsrelevant. Passphrase für SSH-Schlüssel Ein privater SSH-Schlüssel sollte mit einer Passphrase geschützt werden. Vorteil: Wenn der Schlüssel gestohlen wird, kann er nicht sofort genutzt werden. Nachteil: Benutzer muss Passphrase eingeben oder sicher mit einem Agent arbeiten. Merksatz: Passphrase schützt den privaten Schlüssel zusätzlich. SSH-Agent Ein SSH-Agent kann private Schlüssel nach Eingabe der Passphrase temporär bereithalten. Vorteil: Benutzer muss Passphrase nicht bei jeder Verbindung neu eingeben. Risiko: ein kompromittiertes System kann unter Umständen den Agent missbrauchen. Merksatz: SSH-Agent ist praktisch, muss aber bewusst genutzt werden. SSH-Agent-Forwarding SSH-Agent-Forwarding leitet die Authentifizierung über ein Zwischensystem weiter. Beispiel: Administrator → Bastion Host → Zielserver Risiko: Wenn der Bastion Host kompromittiert ist, kann Agent-Forwarding missbraucht werden. Besser je nach Umgebung: ProxyJump kurzlebige Zertifikate Bastion-Lösung mit Protokollierung gezielte Schlüsselverwaltung Merksatz: Agent-Forwarding nur nutzen, wenn Risiko und Bedarf klar sind. SSH über Bastion Host Ein Bastion Host ist ein geschützter Sprungserver. Vorteile: Zielserver müssen nicht öffentlich erreichbar sein. Zugriff kann zentral protokolliert werden. Firewall-Regeln werden einfacher. Adminzugriffe laufen kontrollierter. Beispielprinzip: Administrator verbindet sich zuerst zum Bastion Host. Danach erfolgt der Zugriff auf interne Server. Merksatz: Bastion Host schützt interne Systeme vor direktem Adminzugriff aus dem Internet. SSH ProxyJump ProxyJump ist eine SSH-Funktion, um über einen Zwischensystem zu einem Zielserver zu gelangen. Prinzip: lokaler Rechner → Bastion Host → Zielserver Vorteil: Zielserver muss nur vom Bastion Host erreichbar sein. Merksatz: ProxyJump ermöglicht SSH-Zugriff über einen Sprungserver. Root-Login per SSH Direkter Root-Login über SSH ist riskant. Nachteile: Angreifer kennt den Benutzernamen root. Aktionen sind schwerer einzelnen Personen zuzuordnen. Root hat sofort volle Rechte. Brute-Force-Ziel ist eindeutig. Besser: Anmeldung mit persönlichem Benutzerkonto danach Rechteerhöhung mit sudo Merksatz: Direkten Root-Login vermeiden, persönliche Konten und sudo nutzen. sudo bei Fernadministration sudo erlaubt, einzelne Befehle mit erhöhten Rechten auszuführen. Vorteile: Adminrechte nur bei Bedarf bessere Nachvollziehbarkeit weniger Risiko durch Alltagssitzungen gezieltere Rechtevergabe Protokollierung möglich Merksatz: sudo trennt normale Anmeldung und administrative Rechte. SSH sicher konfigurieren Wichtige Maßnahmen: Passwortlogin deaktivieren, wenn Schlüsselbetrieb sauber eingerichtet ist direkte Root-Anmeldung deaktivieren nur benötigte Benutzer erlauben SSH-Zugriff per Firewall begrenzen MFA prüfen starke Schlüssel verwenden alte Schlüssel entfernen Loginversuche überwachen Systeme aktuell halten Logs auswerten Merksatz: SSH-Sicherheit entsteht durch Schlüssel, Rechte, Regeln und Überwachung. SSH-Logs SSH-Logs zeigen Anmeldeversuche und Fehler. Typische Hinweise: erfolgreiche Anmeldung fehlgeschlagene Anmeldung ungültiger Benutzer falscher Schlüssel falsches Passwort viele Versuche von einer IP Verbindungsabbrüche Merksatz: SSH-Logs helfen, Angriffe und Fehlkonfigurationen zu erkennen. Typische SSH-Fehlerbilder Häufige Ursachen: falscher Benutzername falscher Hostname falsche IP-Adresse Firewall blockiert TCP 22 SSH-Dienst läuft nicht Schlüssel nicht hinterlegt falsche Dateirechte beim Schlüssel privater Schlüssel passt nicht Root-Login deaktiviert Passwortlogin deaktiviert Server-Key hat sich geändert Merksatz: SSH-Fehler können an Netzwerk, Dienst, Benutzer, Schlüssel oder Berechtigung liegen. Host Key bei SSH Ein SSH-Server besitzt einen Host Key. Dieser dient dazu, den Server wiederzuerkennen. Beim ersten Verbinden wird der Host Key gespeichert. Wenn sich der Host Key später unerwartet ändert, erscheint eine Warnung. Mögliche Ursachen: Server wurde neu installiert Host Key wurde erneuert falscher Server wird erreicht Man-in-the-Middle-Angriff möglich Merksatz: SSH-Host-Key-Warnungen nicht blind ignorieren. RDP RDP steht für: Remote Desktop Protocol RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme. Standardport: TCP 3389 Typische Nutzung: Windows-Server administrieren Remote-Desktop-Sitzung Zugriff auf grafische Anwendungen Fernwartung interner Systeme Merksatz: RDP ist grafischer Fernzugriff auf Windows-Systeme. RDP-Risiken RDP ist ein häufiges Angriffsziel. Risiken: Brute Force Credential Stuffing Exploits gegen ungepatchte Systeme Ransomware-Einstieg Passwortdiebstahl fehlende MFA unsichere Freigabe ins Internet schwache Kontosperrregeln Merksatz: RDP offen im Internet ist ein hohes Risiko. RDP sicher betreiben Schutzmaßnahmen: RDP nur über VPN RDP Gateway nutzen MFA nutzen Network Level Authentication aktivieren Quell-IP einschränken starke Passwörter Account Lockout Updates einspielen Adminrechte begrenzen Logs überwachen Merksatz: RDP gehört hinter VPN, Gateway oder andere Zugriffsschutzmaßnahmen. Network Level Authentication Network Level Authentication wird abgekürzt: NLA NLA verlangt Authentifizierung, bevor eine vollständige RDP-Sitzung aufgebaut wird. Vorteile: reduziert Angriffsfläche spart Serverressourcen erschwert bestimmte Angriffe Anmeldung erfolgt früher im Verbindungsaufbau Merksatz: NLA schützt RDP, bevor die vollständige Sitzung entsteht. RDP Gateway Ein RDP Gateway bündelt RDP-Zugriffe. Statt viele Systeme direkt per RDP erreichbar zu machen, verbinden sich Benutzer zum Gateway. Vorteile: zentraler Zugriffspunkt bessere Protokollierung MFA möglich interne Systeme bleiben privater Regeln zentral steuerbar Merksatz: RDP Gateway reduziert direkte RDP-Erreichbarkeit interner Systeme. RDP und VPN RDP sollte häufig nur nach VPN-Verbindung erreichbar sein. Vorteile: RDP-Port nicht öffentlich Benutzer vorher authentifiziert Zugriff kann auf interne Netze begrenzt werden MFA kann am VPN greifen Firewall-Regeln einfacher Wichtig: VPN ersetzt keine RDP-Sicherheit. Benutzerrechte und Logs bleiben wichtig. Merksatz: VPN schützt den Zugang, aber nicht automatisch das Zielsystem. RDP-Logs RDP-Zugriffe sollten protokolliert werden. Zu prüfen: erfolgreiche Anmeldungen fehlgeschlagene Anmeldungen ungewöhnliche Uhrzeiten unbekannte Quelladressen viele Fehlversuche neue Benutzer Admin-Anmeldungen Sitzungsabbrüche Merksatz: RDP-Logs sind wichtig für Angriffserkennung und Nachvollziehbarkeit. Webbasierte Administrationsoberflächen Viele Systeme haben Weboberflächen. Beispiele: Firewall Router Switch NAS Drucker Hypervisor Backup-System Monitoring-System Cloud-Dienst Container-Plattform Merksatz: Weboberflächen sind bequem, aber oft sehr mächtig. Risiken von Admin-Weboberflächen Typische Risiken: öffentlich erreichbar Standardpasswort aktiv fehlende MFA veraltete Firmware unsicheres TLS schwache Rollenverwaltung XSS oder CSRF unsichere Sessionverwaltung fehlende Logs Merksatz: Admin-Weboberflächen nicht ungeschützt bereitstellen. Admin-Weboberflächen absichern Maßnahmen: nur intern erreichbar machen Zugriff über VPN Quell-IP beschränken MFA aktivieren HTTPS nutzen gültige Zertifikate einsetzen Standardkonten deaktivieren starke Passwörter Updates einspielen Rollen begrenzen Logs aktivieren Merksatz: Admin-Weboberflächen brauchen Zugriffsschutz, Verschlüsselung, Updates und Logging. VPN als Zugriffsschutz VPN kann Fernzugriff absichern, indem interne Dienste nicht direkt öffentlich erreichbar sind. Vorteile: zentrale Authentifizierung MFA möglich verschlüsselter Tunnel interne Adressen bleiben privat Zugriff über Gruppen steuerbar Logs zentral auswertbar Merksatz: VPN ist ein sicherer Zugangspfad, aber kein Ersatz für Berechtigungen. Bastion Host und Jump Server Bastion Host oder Jump Server dienen als kontrollierter Sprungpunkt. Typische Eigenschaften: besonders gehärtet stark überwacht nur für Administration gedacht MFA geschützt protokolliert Zugriffe hat eingeschränkten Zugriff auf Zielsysteme Merksatz: Bastion Host und Jump Server bündeln administrative Zugriffe. Managementnetz Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz. Darin liegen: Switch-Management Firewall-Management Server-Management Hypervisor-Management Storage-Management Backup-Management Out-of-Band-Management Merksatz: Managementschnittstellen gehören nicht ins normale Clientnetz. Out-of-Band-Management Out-of-Band-Management nutzt einen getrennten Verwaltungsweg. Beispiele: iLO iDRAC IPMI serielle Konsole separates Managementinterface Vorteil: Zugriff auch bei Störungen des normalen Systems möglich Risiko: extrem mächtiger Zugriff Merksatz: Out-of-Band-Management besonders stark schützen. API-Zugriff für Administration Viele moderne Systeme werden über APIs verwaltet. Beispiele: Cloud-APIs Firewall-APIs Monitoring-APIs Backup-APIs Container-APIs Automatisierungsschnittstellen Risiken: API-Schlüssel gestohlen Token zu viele Rechte fehlendes Rate Limiting unsichere Speicherung keine Protokollierung Schlüssel nicht rotiert Merksatz: API-Zugänge sind Adminzugänge und müssen genauso geschützt werden. API-Schlüssel und Tokens API-Schlüssel und Tokens erlauben Zugriff auf Systeme. Sie dürfen nicht: im Quellcode stehen in öffentlichen Repositories liegen in Tickets kopiert werden in Chatverläufen stehen unverschlüsselt gespeichert werden dauerhaft ohne Prüfung aktiv bleiben Merksatz: API-Schlüssel wie Passwörter behandeln. Sichere Speicherung von Zugangsdaten Zugangsdaten sollten sicher verwaltet werden. Geeignete Mittel: Passwortmanager Secret Manager PAM-System verschlüsselte Tresore zentrale Identitätsverwaltung Zugriff nach Rollen regelmäßige Prüfung Ungeeignet: Textdateien Excel-Listen ohne Schutz Screenshots Chatnachrichten Notizzettel Quellcode gemeinsam genutzte Klartextdokumente Merksatz: Zugangsdaten gehören in sichere Verwaltung, nicht in Klartextablagen. Least Privilege bei Fernadministration Fernzugriffe sollten nur die Rechte erhalten, die für die Aufgabe nötig sind. Beispiele: Support darf Dienste neu starten, aber keine Firewall löschen. Backup-Operator darf Sicherungen prüfen, aber keine Benutzer anlegen. Netzwerkadmin darf Switches verwalten, aber keine Personaldaten lesen. Merksatz: Remotezugriff immer nach Aufgabe und Rolle begrenzen. Zeitlich begrenzte Zugriffe Administrative Zugriffe sollten möglichst nicht dauerhaft bestehen. Möglichkeiten: Just-in-Time-Rechte temporäre VPN-Gruppen befristete Dienstleisterzugänge zeitlich begrenzte Adminrollen Ablaufdatum für Konten automatische Deaktivierung Merksatz: Dauerhafte Adminrechte erhöhen das Risiko. Dienstleisterzugänge Externe Dienstleisterzugänge sind besonders kritisch. Zu beachten: klare Freigabe begrenzte Rechte zeitliche Befristung MFA Protokollierung keine Sammelkonten Zugriff nur auf benötigte Systeme Abschaltung nach Auftrag vertragliche Regelungen Merksatz: Dienstleisterzugänge müssen begrenzt, überwacht und wieder entfernt werden. MFA für Fernadministration MFA sollte besonders für Remotezugriffe genutzt werden. Wichtig für: VPN Cloud-Portal RDP Gateway Admin-Weboberflächen PAM Bastion Host Identitätsdienst kritische APIs Merksatz: Fernadministration ohne MFA ist ein erhöhtes Risiko. Logging bei Fernadministration Protokolliert werden sollten: wer sich angemeldet hat wann Zugriff erfolgte von welcher Quelle auf welches Ziel welche Aktion ausgeführt wurde ob Zugriff erfolgreich war ob Fehler auftraten welche Rechte genutzt wurden Merksatz: Fernadministration muss nachvollziehbar sein. Session Recording Session Recording bedeutet: administrative Sitzungen werden aufgezeichnet. Möglich bei: Bastion Hosts PAM-Systemen RDP Gateways SSH-Proxies Remote-Support-Systemen Nutzen: Nachvollziehbarkeit forensische Analyse Schulung Missbrauchserkennung Merksatz: Session Recording erhöht Nachvollziehbarkeit bei kritischen Zugriffen. Timeouts und automatische Trennung Remote-Sitzungen sollten bei Inaktivität getrennt werden. Vorteile: weniger Risiko bei vergessenen Sitzungen geringere Angriffsfläche weniger Missbrauch offener Sessions Beispiele: SSH-Timeout RDP-Session-Timeout VPN-Timeout Websession-Timeout Adminportal-Timeout Merksatz: Offene Admin-Sitzungen nicht unbegrenzt laufen lassen. Sperren nach Fehlversuchen Viele fehlgeschlagene Loginversuche können auf Angriffe hinweisen. Schutz: Account Lockout Rate Limiting IP-Blockierung Fail2ban oder vergleichbare Mechanismen MFA Alarmierung Wichtig: Sperrregeln sinnvoll einstellen, damit kein einfacher Denial-of-Service gegen Benutzerkonten entsteht. Merksatz: Fehlversuche begrenzen, aber Sperrlogik kontrolliert planen. Fail2ban als Prinzip Fail2ban ist ein Beispiel für einen Schutzmechanismus, der Logs auswertet und bei vielen Fehlversuchen Quellen blockieren kann. Prinzip: Log prüfen Muster erkennen IP-Adresse temporär sperren Merksatz: Logbasierte Sperren können Brute-Force-Angriffe bremsen. Fernadministration und Change Management Fernadministration sollte nicht bedeuten, dass Änderungen unkontrolliert erfolgen. Auch remote gilt: Änderung planen Risiko bewerten Wartungsfenster prüfen Backup oder Snapshot prüfen Rollback vorbereiten Änderung dokumentieren Funktion testen Logs kontrollieren Merksatz: Remoteänderungen brauchen denselben Prozess wie lokale Änderungen. Fernadministration und Notfallzugriff Für Notfälle braucht es definierte Zugriffswege. Beispiele: Break-Glass-Konto Out-of-Band-Zugang Ersatz-VPN lokale Konsole Notfallpasswort im Tresor dokumentierte Wiederherstellung Wichtig: Notfallzugang stark schützen Nutzung protokollieren regelmäßig testen nicht im Alltag verwenden Merksatz: Notfallzugriff vorbereiten, aber streng kontrollieren. Typische Fehler bei Fernadministration Häufige Fehler: RDP direkt im Internet offen SSH mit schwachem Passwort Root-Login erlaubt private Schlüssel ungeschützt alte SSH-Schlüssel nicht entfernt Admin-Weboberfläche öffentlich keine MFA keine Logs Sammelkonten Adminrechte dauerhaft vergeben Dienstleisterzugang nicht deaktiviert Managementnetz fehlt API-Schlüssel im Code Merksatz: Viele Remoteprobleme entstehen durch Bequemlichkeit und fehlende Kontrolle. Checkliste: sichere Fernadministration Remotezugänge erfassen. Öffentliche Erreichbarkeit prüfen. Nur notwendige Ports freigeben. VPN oder Bastion Host nutzen. MFA aktivieren. Persönliche Konten verwenden. Sammelkonten vermeiden. Admin- und Benutzerkonto trennen. Least Privilege umsetzen. SSH-Schlüssel verwalten. Root-Login vermeiden. RDP nicht direkt öffentlich machen. Weboberflächen absichern. Logs aktivieren. Fehlversuche überwachen. Notfallzugänge schützen. Dienstleisterzugänge befristen. Änderungen dokumentieren. Zugriffe regelmäßig prüfen. Merksatz: Sichere Fernadministration braucht Technik, Rechtekonzept, Protokollierung und klare Prozesse. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist SSH? - Wofür wird SSH verwendet? - Welchen Standardport nutzt SSH? - Warum sind SSH-Schlüssel sicherer als reine Passwortanmeldung? - Was ist der Unterschied zwischen privatem und öffentlichem SSH-Schlüssel? - Warum sollte der private SSH-Schlüssel geschützt werden? - Was ist ein SSH Host Key? - Warum sollte Root-Login per SSH vermieden werden? - Was ist sudo? - Was ist RDP? - Welchen Standardport nutzt RDP? - Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? - Was ist Network Level Authentication? - Was ist ein RDP Gateway? - Was ist ein Bastion Host? - Was ist ein Jump Server? - Was ist ein Managementnetz? - Was ist Out-of-Band-Management? - Warum sind API-Schlüssel wie Passwörter zu behandeln? - Warum ist MFA bei Fernadministration wichtig? - Warum ist Logging bei Remotezugriffen wichtig? Typische Prüfungsfallen SSH ist verschlüsselt, aber nicht automatisch sicher konfiguriert. SSH nutzt standardmäßig TCP 22. RDP nutzt standardmäßig TCP 3389. RDP offen im Internet ist riskant. VPN ersetzt keine Benutzerrechte. MFA ersetzt kein Rechtekonzept. SSH-Schlüssel brauchen Schutz. Privater Schlüssel bleibt geheim. Öffentlicher Schlüssel gehört auf Zielsysteme. Host-Key-Warnungen nicht blind ignorieren. Root-Login vermeiden. sudo kontrolliert Rechteerhöhung. Bastion Host ist ein geschützter Sprungserver. Managementnetz vom Clientnetz trennen. Out-of-Band-Zugriff ist besonders kritisch. Admin-Weboberflächen nicht öffentlich bereitstellen. API-Tokens wie Zugangsdaten behandeln. Dienstleisterzugänge befristen. Logs müssen aktiv sein, bevor ein Vorfall passiert. Session Recording kann Nachvollziehbarkeit erhöhen. Notfallzugang ist kein Alltagszugang. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Fernadministration Verwaltung von Systemen aus der Ferne SSH verschlüsselter Kommandozeilenzugriff SSH-Port TCP 22 Passwortauthentifizierung Anmeldung mit Passwort Schlüsselbasierte Authentifizierung Anmeldung mit Schlüsselpaar privater Schlüssel geheimer Schlüsselteil beim Benutzer öffentlicher Schlüssel Schlüsselteil auf dem Server Passphrase Schutzwort für privaten Schlüssel SSH-Agent hält Schlüssel temporär bereit Agent-Forwarding Weiterleitung der SSH-Authentifizierung Bastion Host geschützter Sprungserver ProxyJump SSH-Verbindung über Zwischensystem Root-Login direkte Anmeldung als Root sudo kontrollierte Rechteerhöhung Host Key Identität des SSH-Servers RDP grafischer Windows-Fernzugriff RDP-Port TCP 3389 NLA Network Level Authentication RDP Gateway zentraler RDP-Zugriffspunkt Admin-Weboberfläche Verwaltungssystem im Browser VPN verschlüsselter Zugang ins interne Netz Jump Server Zwischensystem für Administration Managementnetz getrenntes Verwaltungsnetz Out-of-Band-Management Verwaltung über separaten Weg API-Zugriff Administration über Programmierschnittstelle API-Schlüssel Zugangsschlüssel für API Token Zugriffsnachweis für Dienste Secret Manager sichere Verwaltung geheimer Werte PAM Verwaltung privilegierter Zugriffe Just-in-Time zeitlich begrenzte Rechte Dienstleisterzugang externer Administrationszugang Session Recording Aufzeichnung administrativer Sitzungen Timeout automatische Trennung bei Inaktivität Account Lockout Kontosperre nach Fehlversuchen Rate Limiting Begrenzung von Anfragen Fail2ban logbasierte Sperre bei Fehlversuchen Break-Glass-Konto Notfallzugang IHK-sichere Kurzformulierung Fernadministration ermöglicht die Verwaltung von Systemen aus der Ferne, ist aber sicherheitskritisch. SSH dient dem verschlüsselten Kommandozeilenzugriff und nutzt standardmäßig TCP-Port 22. Eine schlüsselbasierte SSH-Anmeldung ist sicherer als reine Passwortanmeldung, wenn der private Schlüssel geschützt und alte Schlüssel entfernt werden. RDP dient dem grafischen Fernzugriff auf Windows-Systeme und nutzt standardmäßig TCP-Port 3389. RDP sollte nicht direkt aus dem Internet erreichbar sein, sondern über VPN, RDP Gateway oder andere Zugriffsschutzmaßnahmen abgesichert werden. Für sichere Fernadministration sind MFA, Least Privilege, persönliche Konten, Logging, Bastion Hosts, Managementnetze, abgesicherte Weboberflächen, geschützte API-Schlüssel und dokumentierte Notfallzugänge wichtig. Merksätze Fernadministration ist praktisch, aber sicherheitskritisch. Adminzugänge nicht breit öffentlich bereitstellen. SSH = Secure Shell. SSH nutzt TCP 22. SSH verschlüsselt den Transport. SSH braucht trotzdem sichere Authentifizierung. Passwortlogin ist einfacher, aber schwächer. SSH-Schlüssel bestehen aus privatem und öffentlichem Schlüssel. Privater Schlüssel bleibt geheim. Öffentlicher Schlüssel liegt auf dem Server. Passphrase schützt privaten Schlüssel. Agent-Forwarding bewusst nutzen. Bastion Host schützt interne Systeme. ProxyJump verbindet über Sprungserver. Root-Login vermeiden. sudo für kontrollierte Rechteerhöhung nutzen. SSH-Logs prüfen. Host-Key-Warnungen ernst nehmen. RDP = Remote Desktop Protocol. RDP nutzt TCP 3389. RDP nicht direkt ins Internet öffnen. RDP über VPN oder Gateway absichern. NLA schützt RDP vor vollständigem Sitzungsaufbau. Admin-Weboberflächen nicht öffentlich bereitstellen. VPN schützt Zugang, aber ersetzt keine Rechte. Managementnetz trennt Verwaltungszugriffe. Out-of-Band-Management besonders schützen. API-Schlüssel wie Passwörter behandeln. Secrets sicher speichern. Least Privilege auch remote anwenden. Dienstleisterzugänge befristen. MFA für Fernadministration nutzen. Remotezugriffe protokollieren. Session Recording kann Nachvollziehbarkeit erhöhen. Timeouts für Admin-Sitzungen setzen. Fehlversuche begrenzen. Notfallzugänge streng kontrollieren. Sichere Fernadministration braucht Technik, Prozesse und Kontrolle. 17.3 Benutzer, Gruppen, Rechte und Zugriffskontrolle in der Praxis In der Systemadministration müssen Benutzer, Gruppen, Rollen und Berechtigungen sauber verwaltet werden. Ziel ist: Benutzer sollen genau die Zugriffe bekommen, die sie für ihre Arbeit benötigen. Nicht mehr. Nicht weniger. Merksatz: Rechteverwaltung sorgt dafür, dass Benutzer nur auf erlaubte Systeme, Dienste und Daten zugreifen können. Warum Rechteverwaltung wichtig ist Fehlerhafte Rechte können zu schweren Sicherheitsproblemen führen. Mögliche Folgen: unberechtigter Datenzugriff versehentliches Löschen Manipulation von Daten Missbrauch von Adminrechten Datenabfluss Datenschutzverletzung Ransomware-Ausbreitung fehlende Nachvollziehbarkeit Merksatz: Falsche Rechte sind ein Sicherheitsrisiko. Benutzerkonto Ein Benutzerkonto ist eine digitale Identität in einem System. Es enthält typischerweise: Benutzername Kennwort oder andere Anmeldemethode Gruppenmitgliedschaften Rollen Berechtigungen Profilinformationen Anmeldeinformationen Status aktiv oder deaktiviert Merksatz: Benutzerkonto = digitale Identität eines Benutzers. Persönliche Benutzerkonten Jeder Benutzer sollte ein eigenes Konto haben. Vorteile: Aktionen sind nachvollziehbar. Rechte können gezielt vergeben werden. Offboarding ist einfacher. Passwörter müssen nicht geteilt werden. Sicherheitsvorfälle lassen sich besser untersuchen. Merksatz: Ein Benutzer, ein persönliches Konto. Sammelkonten Sammelkonten sind Konten, die von mehreren Personen gemeinsam genutzt werden. Beispiele: admin support praktikant lager service teamkonto Probleme: keine eindeutige Zuordnung Passwortweitergabe schwieriges Offboarding schlechte Protokollierung höheres Missbrauchsrisiko Merksatz: Sammelkonten vermeiden, besonders bei administrativen Zugängen. Gruppen Gruppen fassen Benutzer zusammen. Beispiel: Alle Benutzer der Buchhaltung kommen in Gruppe Buchhaltung. Dann können Rechte der Gruppe gegeben werden, statt jedem Benutzer einzeln. Vorteile: übersichtlich leichter zu verwalten einfacher bei neuen Benutzern einfacher bei Rollenwechsel weniger Einzelberechtigungen Merksatz: Rechte möglichst über Gruppen vergeben. Rollen Eine Rolle beschreibt eine Aufgabe oder Funktion. Beispiele: Helpdesk Netzwerkadministrator Serveradministrator Datenbankadministrator Backup-Operator Standardbenutzer Abteilungsleitung Leser Bearbeiter Prüfer Merksatz: Rolle beschreibt Aufgabe, Gruppe kann Rechte technisch bündeln. Rollenbasierte Zugriffskontrolle Rollenbasierte Zugriffskontrolle wird abgekürzt: RBAC RBAC steht für: Role-Based Access Control Dabei werden Rechte über Rollen vergeben. Beispiel: Rolle Helpdesk darf Passwörter zurücksetzen. Rolle Backup-Operator darf Backups prüfen. Rolle Netzwerkadministrator darf Switches verwalten. Merksatz: RBAC vergibt Rechte nach Rollen. Attributbasierte Zugriffskontrolle Attributbasierte Zugriffskontrolle wird abgekürzt: ABAC ABAC steht für: Attribute-Based Access Control Dabei werden Zugriffe anhand von Eigenschaften entschieden. Beispiele für Attribute: Abteilung Standort Gerätetyp Uhrzeit Sicherheitsstatus des Geräts Datenklassifizierung Benutzerrolle Merksatz: ABAC entscheidet nach Eigenschaften und Bedingungen. RBAC und ABAC vergleichen Modell Grundlage Beispiel RBAC Rolle Helpdesk darf Passwörter zurücksetzen ABAC Attribute Zugriff nur aus Firmennetz und mit verwaltetem Gerät Merksatz: RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. Berechtigung Eine Berechtigung beschreibt, was ein Benutzer oder Dienst tun darf. Beispiele: Datei lesen Datei schreiben Datei löschen Benutzer anlegen Passwort zurücksetzen Server neu starten Firewall-Regel ändern Datenbank abfragen Backup wiederherstellen Merksatz: Berechtigung = erlaubte Aktion auf ein Ziel. Recht und Rolle unterscheiden Recht: einzelne Erlaubnis Rolle: Bündel aus mehreren Rechten für eine Aufgabe Beispiel: Recht: Benutzer darf Ticket lesen. Rolle: Supportmitarbeiter darf Tickets lesen, bearbeiten und schließen. Merksatz: Rechte sind einzelne Erlaubnisse. Rollen bündeln Rechte. Least Privilege Least Privilege bedeutet: Jeder Benutzer, Dienst und Prozess erhält nur die Rechte, die wirklich benötigt werden. Beispiele: Standardbenutzer ohne lokale Adminrechte Dienstkonto nur mit Zugriff auf benötigte Datenbank Praktikant nur mit Zugriff auf Schulungsunterlagen Backup-Operator darf Backups prüfen, aber keine Benutzer verwalten Merksatz: So wenig Rechte wie möglich, so viele wie nötig. Need to Know Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe erforderlich sind. Beispiel: Personalabteilung darf Personalakten sehen. IT-Support muss nicht automatisch Gehaltsdaten sehen. Projektteam sieht nur Projektdaten. Merksatz: Nicht jeder muss alles sehen können. Trennung von Aufgaben Aufgabentrennung bedeutet: kritische Aufgaben werden auf mehrere Personen oder Rollen verteilt. Beispiele: Eine Person beantragt Änderung. Andere Person gibt Änderung frei. Eine Person erstellt Zahlung. Andere Person bestätigt Zahlung. Eine Person richtet Backup ein. Andere Person prüft Restore-Test. Merksatz: Aufgabentrennung reduziert Fehler und Missbrauch. Vier-Augen-Prinzip Beim Vier-Augen-Prinzip prüft oder genehmigt mindestens eine zweite Person eine kritische Aktion. Typische Aktionen: Adminrechte vergeben Firewall nach außen öffnen Backup löschen Produktivsystem ändern Benutzer mit hohen Rechten anlegen kritische Daten exportieren Merksatz: Kritische Änderungen nicht allein freigeben. Administrative Konten Administrative Konten haben erhöhte Rechte. Beispiele: lokaler Administrator Domänenadministrator Cloud-Administrator Firewall-Administrator Datenbankadministrator Backup-Administrator Root-Konto Merksatz: Administrative Konten sind besonders schützenswert. Admin- und Alltagskonto trennen Administratoren sollten zwei Konten haben: normales Benutzerkonto für Alltag separates Adminkonto für Administration Vorteile: weniger Risiko bei Phishing weniger Malware-Schaden bessere Nachvollziehbarkeit weniger dauerhafte Rechte klarere Trennung von Aufgaben Merksatz: Nicht dauerhaft mit Adminrechten arbeiten. Lokale Adminrechte Lokale Adminrechte auf Clients sind riskant. Risiken: Malware kann mehr Schaden anrichten. Benutzer kann Sicherheitssoftware deaktivieren. Programme können ungeprüft installiert werden. Einstellungen können verändert werden. Angreifer kann Rechte ausnutzen. Merksatz: Lokale Adminrechte nur vergeben, wenn sie wirklich nötig sind. Domänenadministrator Ein Domänenadministrator hat sehr weitreichende Rechte in einer Windows-Domäne. Risiko: Kompromittierung kann das gesamte Netzwerk betreffen. Schutz: nur wenige Personen MFA getrennte Admin-Konten keine Nutzung für Alltag Protokollierung regelmäßige Rechteprüfung sichere Admin-Arbeitsstationen Merksatz: Domänenadminrechte gehören zu den kritischsten Rechten. Root Root ist das höchste Benutzerkonto auf vielen Unix- und Linux-Systemen. Root kann: Dateien ändern Benutzer verwalten Dienste steuern Rechte setzen Systemkonfiguration ändern Sicherheitsmechanismen beeinflussen Merksatz: Root hat volle Kontrolle über das System. sudo sudo erlaubt, einzelne Befehle mit erhöhten Rechten auszuführen. Vorteile: keine dauerhafte Root-Sitzung nötig Aktionen besser nachvollziehbar Rechte können gezielter vergeben werden direkte Root-Anmeldung kann vermieden werden Merksatz: sudo ermöglicht kontrollierte Rechteerhöhung. Dienstkonto Ein Dienstkonto ist ein Konto, das von einem Dienst, einer Anwendung oder einem automatisierten Prozess genutzt wird. Beispiele: Datenbankzugriff einer Webanwendung Backupdienst Monitoring-Agent Synchronisationsdienst API-Integration geplante Aufgabe Merksatz: Dienstkonten sind technische Identitäten für Dienste. Risiken bei Dienstkonten Dienstkonten sind oft kritisch, weil sie dauerhaft laufen. Risiken: zu viele Rechte Passwort läuft nie ab Passwort wird im Klartext gespeichert Konto wird nicht überwacht Konto bleibt nach Projektende aktiv Nutzung ist schwer nachvollziehbar Schlüssel oder Tokens werden nicht rotiert Merksatz: Dienstkonten müssen genauso verwaltet werden wie Benutzerkonten. Dienstkonten sicher betreiben Maßnahmen: nur notwendige Rechte eindeutiger Zweck Dokumentation keine interaktive Anmeldung, wenn nicht nötig starke Geheimnisse Secret Manager nutzen regelmäßige Rotation Monitoring Deaktivierung nach Nutzungsende keine gemeinsamen Allzweckkonten Merksatz: Dienstkonto immer zweckgebunden und rechtearm einrichten. Gruppenrichtlinien Gruppenrichtlinien werden in Windows-Umgebungen genutzt, um Einstellungen zentral zu verwalten. Beispiele: Passwortregeln Bildschirmsperre Firewall-Einstellungen Laufwerkszuordnung Softwareverteilung Sicherheitsoptionen Einschränkung von Makros lokale Administratoren Update-Einstellungen Merksatz: Gruppenrichtlinien setzen zentrale Regeln für Benutzer und Computer. Verzeichnisdienst Ein Verzeichnisdienst verwaltet Identitäten und Ressourcen zentral. Typische Inhalte: Benutzer Gruppen Computer Rollen Organisationseinheiten Richtlinien Zugriffsrechte Beispiele: Active Directory LDAP-basierte Verzeichnisse Cloud-Verzeichnisdienste Merksatz: Verzeichnisdienst = zentrale Verwaltung von Identitäten und Objekten. Active Directory Active Directory ist ein Verzeichnisdienst von Microsoft. Es wird häufig genutzt für: Benutzerverwaltung Gruppenverwaltung Computerverwaltung zentrale Anmeldung Gruppenrichtlinien Rechteverwaltung Domänenstruktur Merksatz: Active Directory verwaltet Benutzer, Gruppen, Computer und Richtlinien zentral. LDAP LDAP steht für: Lightweight Directory Access Protocol LDAP ist ein Protokoll, mit dem Verzeichnisdienste abgefragt und genutzt werden können. Beispiele: Benutzer suchen Gruppen prüfen Anmeldung gegen Verzeichnisdienst Informationen aus Verzeichnis abrufen Merksatz: LDAP ist ein Protokoll für den Zugriff auf Verzeichnisdienste. Authentifizierung Authentifizierung bedeutet: Nachweis der Identität. Frage: Wer bist du? Beispiele: Anmeldung mit Passwort Anmeldung mit Zertifikat Anmeldung mit MFA Anmeldung per Smartcard Anmeldung mit SSH-Schlüssel Merksatz: Authentifizierung prüft die Identität. Autorisierung Autorisierung bedeutet: Prüfung der Berechtigung. Frage: Was darfst du? Beispiele: Darf Benutzer Datei öffnen? Darf Benutzer Drucker verwalten? Darf Benutzer Server neu starten? Darf Benutzer Adminbereich nutzen? Darf Benutzer Datenbank ändern? Merksatz: Autorisierung prüft die erlaubten Aktionen. Authentifizierung und Autorisierung unterscheiden Begriff Frage Beispiel Authentifizierung Wer bist du? Benutzer meldet sich an Autorisierung Was darfst du? Benutzer darf Datei lesen Merksatz: Erst Identität prüfen, dann Rechte prüfen. ACL ACL steht für: Access Control List Eine ACL ist eine Zugriffskontrollliste. Sie legt fest, wer auf ein Objekt zugreifen darf und welche Aktionen erlaubt sind. Beispiele: Datei lesen Ordner schreiben Freigabe nutzen Netzwerkverkehr erlauben Drucker verwalten Merksatz: ACL legt Zugriffsrechte auf Objekte fest. Dateirechte Dateirechte bestimmen, wer Dateien oder Ordner nutzen darf. Typische Rechte: lesen schreiben ausführen ändern löschen Besitz übernehmen Rechte ändern Merksatz: Dateirechte schützen Daten vor unberechtigtem Zugriff. Lesen, Schreiben und Ausführen Lesen: Dateiinhalt anzeigen Schreiben: Datei verändern oder erstellen Ausführen: Programm oder Skript starten Merksatz: Lesen sieht Daten. Schreiben verändert Daten. Ausführen startet Code. Vererbung von Rechten Rechte können von übergeordneten Ordnern an Unterordner und Dateien vererbt werden. Vorteil: weniger Einzelkonfiguration Risiko: falsche Rechte können sich auf viele Dateien auswirken. Merksatz: Vererbte Rechte erleichtern Verwaltung, können aber große Wirkung haben. Freigaberechte und NTFS-Rechte In Windows-Umgebungen gibt es oft: Freigaberechte und NTFS-Rechte Freigaberechte: gelten beim Zugriff über Netzwerkfreigabe NTFS-Rechte: gelten auf Dateisystemebene Wichtig: Beim Netzwerkzugriff wirkt die restriktivere Kombination. Merksatz: Freigaberechte und NTFS-Rechte zusammen betrachten. Besitz von Dateien Der Besitzer einer Datei oder eines Ordners hat besondere Bedeutung. Er kann je nach System Rechte beeinflussen oder ändern. Wichtig: Besitzrechte nicht unkontrolliert vergeben. Merksatz: Besitz kann Rechteverwaltung beeinflussen. Umask Umask ist ein Konzept in Unix- und Linux-Systemen. Sie legt fest, welche Standardrechte bei neuen Dateien oder Ordnern entfernt werden. Beispielprinzip: Neue Datei erhält nicht automatisch alle möglichen Rechte, weil umask bestimmte Rechte wegnimmt. Merksatz: umask beeinflusst Standardrechte neuer Dateien und Ordner. chmod chmod ist ein Befehl unter Unix- und Linux-Systemen, um Dateirechte zu ändern. Rechtearten: lesen schreiben ausführen für: Besitzer Gruppe andere Merksatz: chmod ändert Dateirechte. chown chown ist ein Befehl unter Unix- und Linux-Systemen, um Besitzer und Gruppe einer Datei oder eines Ordners zu ändern. Merksatz: chown ändert Besitzer oder Gruppe. Dateirechte unter Linux: Grundidee Linux unterscheidet bei Dateirechten typischerweise: Besitzer Gruppe Andere Rechte: r = read = lesen w = write = schreiben x = execute = ausführen Merksatz: Linux-Dateirechte bestehen aus Besitzer, Gruppe, Andere und den Rechten r, w, x. Beispiel für Linux-Rechte Beispiel: rwxr-x--- Bedeutung: Besitzer: lesen, schreiben, ausführen Gruppe: lesen, ausführen Andere: keine Rechte Merksatz: Linux-Rechte werden für Besitzer, Gruppe und Andere getrennt betrachtet. Besondere Linux-Rechte Neben normalen Rechten gibt es besondere Rechte. Beispiele: SetUID SetGID Sticky Bit Diese Rechte können sicherheitskritisch sein, weil sie Ausführung, Gruppenzuordnung oder Löschverhalten beeinflussen. Merksatz: Sonderrechte unter Linux bewusst prüfen. SetUID SetUID bewirkt, dass ein Programm mit den Rechten des Dateibesitzers ausgeführt wird. Risiko: Wenn ein SetUID-Programm unsicher ist, kann es Rechteausweitung ermöglichen. Merksatz: SetUID kann Rechte erhöhen und ist sicherheitskritisch. SetGID SetGID kann bewirken, dass ein Programm mit Gruppenrechten ausgeführt wird oder dass neue Dateien in einem Ordner eine bestimmte Gruppe erhalten. Merksatz: SetGID beeinflusst Gruppenrechte. Sticky Bit Sticky Bit wird häufig bei gemeinsam genutzten Verzeichnissen verwendet. Es sorgt dafür, dass Benutzer dort nicht beliebig Dateien anderer Benutzer löschen können. Beispiel: /tmp Merksatz: Sticky Bit schützt Dateien in gemeinsamen Verzeichnissen vor fremdem Löschen. Rechteprüfung in der Praxis Bei Zugriffsproblemen prüfen: Welcher Benutzer ist angemeldet? In welchen Gruppen ist der Benutzer? Welche Rechte hat die Datei? Welche Rechte hat der Ordner? Gibt es vererbte Rechte? Gibt es Freigaberechte? Gibt es NTFS-Rechte? Gibt es ACLs? Gibt es lokale oder zentrale Gruppen? Gibt es Deny-Regeln? Gibt es Sonderrechte? Merksatz: Zugriffsprobleme immer systematisch von Benutzer, Gruppe, Objekt und Regel prüfen. Deny-Regeln Deny bedeutet: Zugriff ausdrücklich verweigern. Deny-Regeln können erlaubende Rechte übersteuern. Risiko: falsch gesetzte Deny-Regeln verursachen schwer erkennbare Zugriffsprobleme. Merksatz: Deny-Regeln sparsam und bewusst verwenden. Zugriff verweigert Wenn ein Benutzer „Zugriff verweigert“ erhält, kann das viele Ursachen haben. Mögliche Ursachen: Benutzer nicht in richtiger Gruppe fehlende Dateirechte fehlende Freigaberechte Deny-Regel falscher Besitzer Vererbung unterbrochen falsche Anmeldung abgelaufenes Konto gesperrtes Konto fehlende Lizenz Anwendung prüft eigene Rechte Merksatz: Zugriff verweigert ist nicht automatisch ein Passwortproblem. Onboarding Onboarding bedeutet: neue Benutzer erhalten benötigte Zugänge, Geräte und Rechte. Gutes Onboarding enthält: persönliches Benutzerkonto passende Gruppen passende Rollen MFA-Einrichtung Geräteausgabe Schulung Passwortmanager Sicherheitsrichtlinien Dokumentation Merksatz: Onboarding vergibt Zugänge kontrolliert nach Aufgabe. Rollenwechsel Bei einem Rollenwechsel müssen Rechte angepasst werden. Beispiel: Benutzer wechselt von Support zu Einkauf. Dann müssen alte Rechte entfernt und neue Rechte vergeben werden. Wichtig: Rechte nicht nur hinzufügen, sondern auch nicht mehr benötigte entfernen. Merksatz: Rollenwechsel braucht Rechteentzug und Rechtevergabe. Offboarding Offboarding bedeutet: Zugänge werden entfernt, wenn Benutzer ausscheiden oder keinen Zugriff mehr benötigen. Zu prüfen: Benutzerkonto deaktivieren Gruppen entfernen VPN-Zugang entfernen E-Mail-Zugriff regeln Cloud-Zugänge entfernen SSH-Schlüssel löschen API-Tokens widerrufen Geräte zurückgeben lokale Adminrechte entfernen Weiterleitungen prüfen Merksatz: Offboarding verhindert alte, vergessene Zugänge. Regelmäßige Rechteprüfung Rechte sollten regelmäßig überprüft werden. Zu prüfen: aktive Benutzer deaktivierte Benutzer Adminrechte Gruppenmitgliedschaften Dienstkonten externe Dienstleister lokale Administratoren Cloud-Rollen Freigaben SSH-Schlüssel Merksatz: Rechte altern und müssen regelmäßig geprüft werden. Rezertifizierung von Rechten Rezertifizierung bedeutet: Verantwortliche bestätigen regelmäßig, ob Rechte noch benötigt werden. Beispiel: Abteilungsleiter prüft, ob seine Mitarbeitenden noch Zugriff auf bestimmte Daten brauchen. Merksatz: Rezertifizierung verhindert angesammelte Altberechtigungen. Rechteausweitung Rechteausweitung bedeutet: Ein Benutzer oder Angreifer erhält höhere Rechte als vorgesehen. Arten: vertikale Rechteausweitung: normaler Benutzer wird Administrator horizontale Rechteausweitung: Benutzer greift auf Daten anderer Benutzer gleicher Ebene zu Merksatz: Rechteausweitung ist Zugriff über das erlaubte Maß hinaus. Privilegieneskalation Privilegieneskalation bedeutet: Rechte werden erhöht, zum Beispiel von normalem Benutzer zu Administrator. Ursachen: Schwachstelle Fehlkonfiguration unsichere Dienste falsche Dateirechte zu breite sudo-Regeln unsichere Dienstkonten Merksatz: Privilegieneskalation ist Erhöhung von Rechten. Horizontale Rechteausweitung Horizontale Rechteausweitung bedeutet: Ein Benutzer greift auf Daten eines anderen Benutzers mit ähnlicher Rolle zu. Beispiel: Benutzer 1001 sieht Rechnung von Benutzer 1002, obwohl er nur eigene Rechnungen sehen darf. Merksatz: Horizontal bedeutet: Zugriff auf fremde Daten gleicher Ebene. Vertikale Rechteausweitung Vertikale Rechteausweitung bedeutet: Ein Benutzer erhält höhere Rechte. Beispiel: normaler Benutzer kann Adminfunktion ausführen. Merksatz: Vertikal bedeutet: Zugriff auf höhere Berechtigungsstufe. Auditierung von Rechten Auditierung bedeutet: Rechte und Zugriffe werden geprüft und dokumentiert. Ziele: Missbrauch erkennen alte Rechte entfernen Compliance erfüllen Datenschutz verbessern Nachvollziehbarkeit schaffen Merksatz: Rechte müssen nicht nur vergeben, sondern auch geprüft werden. Typische Praxisfehler bei Benutzerrechten Häufige Fehler: Rechte direkt auf einzelne Benutzer vergeben zu viele lokale Adminrechte Sammelkonten alte Benutzer aktiv Dienstkonten mit zu vielen Rechten keine Dokumentation keine regelmäßige Prüfung Admin- und Alltagskonto nicht getrennt Gruppen unübersichtlich Deny-Regeln falsch gesetzt Rechte bei Rollenwechsel nur hinzugefügt Merksatz: Rechteverwaltung wird unsicher, wenn sie nicht gepflegt wird. Checkliste: Rechte sauber verwalten Persönliche Konten verwenden. Sammelkonten vermeiden. Gruppen statt Einzelrechte nutzen. Rollen definieren. Least Privilege anwenden. Need to Know beachten. Admin- und Alltagskonto trennen. Dienstkonten dokumentieren. Dienstkonten rechtearm einrichten. Onboarding standardisieren. Rollenwechsel prüfen. Offboarding konsequent durchführen. Rechte regelmäßig prüfen. Adminrechte besonders kontrollieren. Audit-Logs aktivieren. Notfallkonten absichern. Merksatz: Gute Rechteverwaltung ist dauerhaft gepflegt, dokumentiert und nachvollziehbar. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Benutzerkonto? - Warum sind persönliche Benutzerkonten wichtig? - Warum sind Sammelkonten problematisch? - Warum sollte man Rechte über Gruppen vergeben? - Was ist eine Rolle? - Was bedeutet RBAC? - Was bedeutet ABAC? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was bedeutet Least Privilege? - Was bedeutet Need to Know? - Warum sollten Admin- und Alltagskonto getrennt werden? - Was ist ein Dienstkonto? - Warum sind Dienstkonten kritisch? - Was ist ein Verzeichnisdienst? - Was ist Active Directory? - Was ist LDAP? - Was ist eine ACL? - Was ist der Unterschied zwischen Freigaberechten und NTFS-Rechten? - Was bedeutet chmod? - Was bedeutet chown? - Was ist SetUID? - Was ist Offboarding? - Warum ist regelmäßige Rechteprüfung wichtig? Typische Prüfungsfallen Authentifizierung und Autorisierung nicht verwechseln. Benutzerkonto ist Identität, Berechtigung ist erlaubte Aktion. Rechte möglichst über Gruppen vergeben. Rollen bündeln Rechte. Sammelkonten vermeiden. Least Privilege bedeutet minimale notwendige Rechte. Need to Know bezieht sich auf Informationsbedarf. Admin- und Alltagskonto trennen. Lokale Adminrechte erhöhen Risiko. Dienstkonten sind technische Identitäten. Dienstkonten brauchen klare Rechtebegrenzung. Active Directory ist ein Verzeichnisdienst. LDAP ist ein Protokoll für Verzeichniszugriff. ACL ist Zugriffskontrollliste. Freigaberechte und NTFS-Rechte zusammen betrachten. Deny-Regeln können erlaubende Regeln übersteuern. Zugriff verweigert kann viele Ursachen haben. Rollenwechsel bedeutet alte Rechte entfernen. Offboarding muss alle Zugänge entfernen. Rechte regelmäßig prüfen. SetUID ist sicherheitskritisch. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Benutzerkonto digitale Identität eines Benutzers persönliches Konto Konto für genau eine Person Sammelkonto gemeinsam genutztes Konto Gruppe Zusammenfassung von Benutzern Rolle Aufgabe mit passenden Rechten RBAC rollenbasierte Zugriffskontrolle ABAC attributbasierte Zugriffskontrolle Berechtigung erlaubte Aktion Recht einzelne Erlaubnis Least Privilege minimale notwendige Rechte Need to Know Zugriff nur bei Informationsbedarf Aufgabentrennung kritische Aufgaben trennen Vier-Augen-Prinzip Prüfung durch zweite Person Adminkonto Konto mit erhöhten Rechten lokaler Administrator Admin auf einem einzelnen System Domänenadministrator Admin mit weitreichenden Domänenrechten Root höchstes Konto auf Unix/Linux sudo kontrollierte Rechteerhöhung Dienstkonto technische Identität für Dienste Gruppenrichtlinie zentrale Windows-Einstellung Verzeichnisdienst zentrale Verwaltung von Identitäten Active Directory Microsoft-Verzeichnisdienst LDAP Protokoll für Verzeichnisdienste Authentifizierung Identität prüfen Autorisierung Berechtigung prüfen ACL Zugriffskontrollliste Dateirechte Rechte auf Dateien und Ordner Vererbung Weitergabe von Rechten Freigaberechte Rechte auf Netzwerkfreigabe NTFS-Rechte Rechte auf Windows-Dateisystemebene umask Standardrechte unter Unix/Linux beeinflussen chmod Dateirechte ändern chown Besitzer oder Gruppe ändern SetUID Ausführung mit Besitzerrechten SetGID Ausführung oder Dateien mit Gruppenbezug Sticky Bit Schutz in gemeinsamen Verzeichnissen Deny ausdrückliche Verweigerung Onboarding geregelte Zugangsvergabe Offboarding geregelter Rechteentzug Rezertifizierung regelmäßige Bestätigung von Rechten Rechteausweitung Zugriff über erlaubtes Maß hinaus Privilegieneskalation Erhöhung von Rechten Auditierung Prüfung und Dokumentation IHK-sichere Kurzformulierung Benutzer-, Gruppen- und Rechteverwaltung sorgt dafür, dass Personen und Dienste nur die Zugriffe erhalten, die sie für ihre Aufgaben benötigen. Benutzer sollten persönliche Konten verwenden, Sammelkonten sollten vermieden werden. Rechte werden möglichst über Gruppen und Rollen vergeben, zum Beispiel nach dem RBAC-Prinzip. Authentifizierung prüft die Identität eines Benutzers, Autorisierung prüft seine Berechtigungen. Wichtige Grundsätze sind Least Privilege, Need to Know, Trennung von Admin- und Alltagskonto, kontrollierte Dienstkonten, regelmäßige Rechteprüfung und konsequentes Offboarding. Dateirechte, ACLs, Freigaberechte, NTFS-Rechte und Linux-Rechte müssen systematisch geprüft werden, wenn Zugriffsprobleme auftreten. Merksätze Rechteverwaltung schützt Daten und Systeme. Benutzerkonto = digitale Identität. Ein Benutzer, ein persönliches Konto. Sammelkonten vermeiden. Rechte möglichst über Gruppen vergeben. Rolle beschreibt Aufgabe. RBAC vergibt Rechte nach Rollen. ABAC entscheidet nach Eigenschaften. Berechtigung = erlaubte Aktion. Rechte sind einzelne Erlaubnisse. Rollen bündeln Rechte. Least Privilege = minimale notwendige Rechte. Need to Know = Zugriff nur bei Bedarf. Adminrechte besonders schützen. Admin- und Alltagskonto trennen. Lokale Adminrechte vermeiden. Root hat volle Kontrolle. sudo ermöglicht kontrollierte Rechteerhöhung. Dienstkonten sind technische Identitäten. Dienstkonten rechtearm betreiben. Gruppenrichtlinien setzen zentrale Regeln. Verzeichnisdienste verwalten Identitäten zentral. Active Directory ist ein Verzeichnisdienst. LDAP ist ein Protokoll für Verzeichniszugriff. Authentifizierung fragt: Wer bist du? Autorisierung fragt: Was darfst du? ACL legt Zugriffe fest. Lesen sieht Daten. Schreiben verändert Daten. Ausführen startet Code. Freigaberechte und NTFS-Rechte zusammen prüfen. Linux-Rechte bestehen aus Besitzer, Gruppe, Andere und r, w, x. chmod ändert Rechte. chown ändert Besitzer oder Gruppe. SetUID ist sicherheitskritisch. Deny-Regeln bewusst einsetzen. Zugriff verweigert hat viele mögliche Ursachen. Onboarding vergibt Rechte kontrolliert. Rollenwechsel braucht Rechteentzug. Offboarding entfernt alte Zugänge. Rechte regelmäßig prüfen. Rezertifizierung verhindert Altberechtigungen. Privilegieneskalation erhöht Rechte. Gute Rechteverwaltung ist nachvollziehbar, dokumentiert und regelmäßig geprüft. 17.4 Logs, Monitoring und Dienstprüfung in der Praxis Logs, Monitoring und Dienstprüfung gehören zu den wichtigsten Werkzeugen in der Systemadministration. Sie helfen dabei, - Fehler zu erkennen - Angriffe zu erkennen - Ursachen einzugrenzen - Änderungen nachzuvollziehen - Dienste zu überwachen - Ausfälle schneller zu beheben - Sicherheitsvorfälle zu untersuchen - Betrieb zu dokumentieren Merksatz: Logs zeigen, was passiert ist. Monitoring zeigt, was gerade passiert oder sich anbahnt. Warum Logs wichtig sind Logs protokollieren Ereignisse auf Systemen, Diensten, Anwendungen und Netzwerkkomponenten. Beispiele: Benutzer meldet sich an. Dienst startet. Dienst stoppt. Fehler tritt auf. Firewall blockiert Verbindung. Backup schlägt fehl. Admin ändert Konfiguration. SSH-Login wird abgelehnt. Webserver liefert Fehlercode. Datenbank meldet Verbindungsfehler. Merksatz: Ohne Logs ist Fehlersuche oft nur Raten. Warum Monitoring wichtig ist Monitoring überwacht den Zustand von Systemen und Diensten. Typische Fragen: Ist der Server erreichbar? Läuft der Dienst? Ist die Festplatte voll? Ist die CPU überlastet? Ist genug Arbeitsspeicher frei? Ist das Backup erfolgreich? Antwortet die Webseite? Läuft das Zertifikat bald ab? Gibt es ungewöhnlich viele Loginfehler? Merksatz: Monitoring erkennt Probleme früh, bevor Benutzer sie melden. Logs und Monitoring unterscheiden Bereich Zweck Beispiel Logs Ereignisse nachvollziehen Benutzerlogin fehlgeschlagen Monitoring Zustand überwachen CPU dauerhaft bei 95 Prozent Alerting Verantwortliche alarmieren Backup fehlgeschlagen Reporting Verlauf dokumentieren Verfügbarkeit im Monat Merksatz: Logs erklären Ereignisse. Monitoring beobachtet Zustände. Alerting meldet kritische Abweichungen. Typische Logquellen Wichtige Logquellen in der Praxis: Betriebssystemlogs Anwendungslogs Webserverlogs Datenbanklogs Authentifizierungslogs SSH-Logs RDP-Logs Firewall-Logs VPN-Logs DNS-Logs DHCP-Logs E-Mail-Logs Backup-Logs Cloud-Audit-Logs EDR-Logs SIEM-Ereignisse Merksatz: Jede wichtige Komponente sollte nachvollziehbare Logs erzeugen. Betriebssystemlogs Betriebssystemlogs zeigen Ereignisse des Systems. Beispiele: Start und Stopp des Systems Kernelmeldungen Treiberprobleme Benutzeranmeldungen Dienststarts Dienstfehler Speicherprobleme Hardwarefehler Merksatz: Betriebssystemlogs sind die Grundlage vieler Fehleranalysen. Anwendungslogs Anwendungslogs stammen von Programmen oder Diensten. Beispiele: Webanwendung meldet Fehler. Datenbankverbindung schlägt fehl. API gibt Fehler zurück. Anwendung kann Datei nicht schreiben. Lizenzprüfung schlägt fehl. Benutzeraktion wird protokolliert. Merksatz: Anwendungslogs zeigen, was innerhalb der Anwendung passiert. Authentifizierungslogs Authentifizierungslogs zeigen Anmeldeereignisse. Beispiele: erfolgreiche Anmeldung fehlgeschlagene Anmeldung gesperrtes Konto falsches Passwort unbekannter Benutzer MFA-Fehler Anmeldung von ungewöhnlichem Ort Rechteerhöhung mit sudo Adminlogin Merksatz: Authentifizierungslogs sind wichtig für Sicherheit und Zugriffskontrolle. Firewall-Logs Firewall-Logs zeigen, welcher Verkehr erlaubt oder blockiert wurde. Typische Informationen: Zeit Quell-IP Ziel-IP Quellport Zielport Protokoll Aktion Regelname Interface Benutzer je nach System Merksatz: Firewall-Logs helfen bei Verbindungsproblemen und Angriffserkennung. VPN-Logs VPN-Logs zeigen Zugriffe über VPN. Typische Informationen: Benutzer Anmeldezeit Abmeldezeit Quell-IP zugewiesene VPN-IP Authentifizierungsergebnis MFA-Status Verbindungsabbrüche Fehlercodes Merksatz: VPN-Logs zeigen, wer wann aus der Ferne verbunden war. DNS-Logs DNS-Logs zeigen Namensauflösungen. Beispiele: welcher Client fragt welchen Namen an? welcher Name wird häufig abgefragt? gibt es verdächtige Domains? gibt es Namensauflösungsfehler? nutzt ein Client ungewöhnliche DNS-Ziele? Merksatz: DNS-Logs helfen bei Fehlersuche und Malware-Erkennung. DHCP-Logs DHCP-Logs zeigen automatische IP-Vergaben. Typische Informationen: MAC-Adresse vergebene IP-Adresse Hostname Lease-Zeit Zeitpunkt DHCP-Server Fehler bei Vergabe Merksatz: DHCP-Logs helfen, IP-Konflikte und Clientzuordnungen nachzuvollziehen. Webserverlogs Webserverlogs zeigen Zugriffe auf Webseiten und APIs. Typische Informationen: Client-IP Zeitpunkt HTTP-Methode URL Statuscode Antwortgröße User-Agent Referrer Antwortzeit Merksatz: Webserverlogs zeigen, welche Anfragen ein Webdienst erhalten hat. HTTP-Statuscodes in Logs Wichtige HTTP-Statuscode-Gruppen: Bereich Bedeutung 2xx erfolgreich 3xx Weiterleitung 4xx Clientfehler 5xx Serverfehler Beispiele: 200: Anfrage erfolgreich 301 oder 302: Weiterleitung 401: nicht authentifiziert 403: verboten 404: nicht gefunden 500: interner Serverfehler 502: fehlerhafte Antwort vom Backend 503: Dienst nicht verfügbar Merksatz: 4xx deutet oft auf Client- oder Berechtigungsproblem. 5xx deutet oft auf Server- oder Backendproblem. Backup-Logs Backup-Logs zeigen, ob Sicherungen erfolgreich waren. Zu prüfen: Backup gestartet? Backup abgeschlossen? Datenmenge plausibel? Fehler aufgetreten? Ziel erreichbar? Speicherplatz ausreichend? Verschlüsselung aktiv? Aufbewahrung korrekt? Restore-Test durchgeführt? Merksatz: Backup gilt erst als zuverlässig, wenn Erfolg und Wiederherstellung geprüft wurden. Cloud-Audit-Logs Cloud-Audit-Logs zeigen sicherheitsrelevante Aktionen in Cloud-Umgebungen. Beispiele: Benutzer angemeldet Rolle geändert Firewall-Regel geöffnet Speicher öffentlich gemacht API-Schlüssel erzeugt VM gestartet Datenbank gelöscht Backup geändert MFA deaktiviert Merksatz: Cloud-Audit-Logs zeigen, wer was in der Cloud geändert hat. Loglevel Logs haben oft verschiedene Schweregrade. Typische Loglevel: Loglevel Bedeutung Debug sehr detaillierte Informationen für Fehlersuche Info normale Betriebsinformation Warning Warnung, noch kein vollständiger Fehler Error Fehler ist aufgetreten Critical schwerer Fehler mit hoher Auswirkung Fatal Dienst oder Anwendung kann nicht weiterarbeiten Merksatz: Nicht jede Warnung ist ein Ausfall, aber Warnungen können frühe Hinweise sein. Debug-Logs Debug-Logs sind sehr detailliert. Vorteil: helfen bei genauer Fehlersuche Nachteil: erzeugen viele Daten können sensible Informationen enthalten können Performance belasten Merksatz: Debug-Logging gezielt aktivieren und danach wieder reduzieren. Logrotation Logrotation bedeutet: Logdateien werden regelmäßig umbenannt, archiviert komprimiert oder gelöscht. Ziel: Festplatte läuft nicht voll. Logs bleiben übersichtlich. Aufbewahrung wird kontrolliert. Merksatz: Ohne Logrotation können Logs Speicherplatzprobleme verursachen. Logaufbewahrung Logaufbewahrung legt fest, wie lange Logs gespeichert werden. Zu beachten: gesetzliche Vorgaben Datenschutz Sicherheitsanforderungen Speicherplatz Nachvollziehbarkeit forensische Analyse interne Richtlinien Merksatz: Logs so lange wie nötig, aber nicht unbegrenzt ohne Grund speichern. Datenschutz bei Logs Logs können personenbezogene Daten enthalten. Beispiele: Benutzername IP-Adresse E-Mail-Adresse Zeitpunkte Geräteinformationen aufgerufene URLs Standortinformationen Deshalb wichtig: Zugriff begrenzen Aufbewahrung regeln Zweck festlegen sensible Inhalte vermeiden Protokollierung dokumentieren Merksatz: Logs sind sicherheitsrelevant, aber auch datenschutzrelevant. Zentrale Logsammlung Zentrale Logsammlung bedeutet: Logs mehrerer Systeme werden an einem zentralen Ort gesammelt. Vorteile: bessere Suche bessere Korrelation Schutz vor lokaler Manipulation einfachere Auswertung bessere Nachvollziehbarkeit Grundlage für SIEM Merksatz: Zentrale Logs helfen, Ereignisse systemübergreifend zu verstehen. Syslog Syslog ist ein verbreiteter Standard zur Übertragung von Logmeldungen. Häufig genutzt bei: Linux-Systemen Netzwerkgeräten Firewalls Switches Routern Appliances Merksatz: Syslog transportiert Logmeldungen zu einem Logserver. Windows-Ereignisanzeige Windows-Systeme verwenden Ereignisprotokolle. Typische Bereiche: Anwendung Sicherheit System Setup weitergeleitete Ereignisse Wichtige Ereignisse: Anmeldung Fehlanmeldung Dienstfehler Richtlinienänderung Kontoänderung Systemfehler Merksatz: Die Windows-Ereignisanzeige ist zentrale Logquelle auf Windows-Systemen. journalctl Auf vielen Linux-Systemen werden Systemlogs über systemd-journald verwaltet. Das Werkzeug zur Anzeige heißt: journalctl Typische Nutzung: Systemmeldungen anzeigen Logs eines Dienstes prüfen Logs seit bestimmtem Zeitpunkt prüfen Bootvorgänge untersuchen Merksatz: journalctl zeigt systemd-Journal-Logs auf Linux-Systemen. Dienstprüfung Dienstprüfung bedeutet: Es wird geprüft, ob ein Dienst läuft, erreichbar ist und korrekt arbeitet. Zu prüfen: läuft der Dienst? lauscht der Port? ist die Konfiguration korrekt? gibt es Fehlerlogs? antwortet der Dienst? erreicht er Backend-Systeme? gibt es Berechtigungsprobleme? wurde etwas geändert? Merksatz: Dienst läuft nicht automatisch gleich Dienst funktioniert vollständig. Dienststatus Der Dienststatus zeigt, ob ein Dienst gestartet, gestoppt oder fehlerhaft ist. Beispiele: running stopped failed active inactive disabled Merksatz: Dienststatus ist der erste Blick, aber nicht die vollständige Prüfung. Portprüfung Ein Dienst kann nur erreicht werden, wenn er auf einem Port lauscht und der Netzwerkweg erlaubt ist. Zu prüfen: lauscht der Dienst auf richtiger IP? lauscht der Dienst auf richtigem Port? blockiert lokale Firewall? blockiert Netzwerkfirewall? stimmt DNS? stimmt Routing? ist der Dienst nur lokal gebunden? Merksatz: Dienst erreichbar bedeutet: Prozess, Port, Firewall, DNS und Routing müssen passen. Dienst lauscht nur lokal Ein Dienst kann nur auf localhost lauschen. Beispiel: 127.0.0.1 Dann ist er nur vom eigenen System erreichbar. Wenn andere Systeme zugreifen sollen, muss geprüft werden, ob der Dienst auf der passenden Netzwerkschnittstelle lauscht. Merksatz: 127.0.0.1 bedeutet nur lokal auf demselben System. Typische Dienstfehler Häufige Ursachen: Dienst nicht gestartet falsche Konfiguration Port bereits belegt fehlende Berechtigung Zertifikat abgelaufen Datenbank nicht erreichbar DNS-Fehler Firewall blockiert Speicher voll falsche Zugangsdaten Update hat Abhängigkeit geändert Merksatz: Dienstfehler entstehen oft durch Konfiguration, Abhängigkeiten Berechtigungen oder Ressourcen. Abhängigkeiten von Diensten Viele Dienste hängen von anderen Diensten ab. Beispiele: Webanwendung braucht Datenbank. Anwendung braucht Redis oder Cache. Login braucht Verzeichnisdienst. Backup braucht Speicherziel. Monitoring braucht Netzwerkzugriff. E-Mail-Dienst braucht DNS. Merksatz: Bei Fehlern immer auch abhängige Dienste prüfen. Metriken im Monitoring Metriken sind messbare Werte. Typische Metriken: CPU-Auslastung RAM-Nutzung Festplattenbelegung I/O-Last Netzwerklast Paketverlust Latenz Antwortzeit Fehlerquote Anzahl Loginfehler Queue-Länge Verfügbarkeit Merksatz: Metriken zeigen messbare Zustände von Systemen und Diensten. CPU-Auslastung Hohe CPU-Auslastung kann bedeuten: Dienst ist überlastet Prozess hängt Malware oder Cryptominer aktiv zu viele Anfragen schlecht optimierte Anwendung Backup oder Scan läuft Hardware zu schwach Merksatz: Hohe CPU ist ein Symptom, nicht automatisch die Ursache. RAM-Nutzung Hohe RAM-Nutzung kann bedeuten: Anwendung braucht viel Speicher Speicherleck zu viele Prozesse Caching falsche Dimensionierung Containerlimit zu klein Datenbank nutzt Speicher intensiv Merksatz: RAM-Auslastung immer im Zusammenhang mit Anwendung und System bewerten. Festplattenbelegung Volle Festplatten verursachen viele Probleme. Mögliche Folgen: Dienst stoppt Datenbank kann nicht schreiben Logs können nicht gespeichert werden Updates schlagen fehl Backup schlägt fehl System wird instabil Merksatz: Volle Festplatte ist eine häufige Ursache für Dienstfehler. I/O-Last I/O beschreibt Ein- und Ausgabe auf Speichergeräten. Hohe I/O-Last kann auftreten durch: Datenbank Backup Virenscan Logflut große Dateioperationen langsamen Speicher zu viele gleichzeitige Zugriffe Merksatz: Hohe I/O-Last kann Systeme langsam machen, auch wenn CPU frei ist. Netzwerklast Netzwerklast zeigt, wie stark eine Verbindung genutzt wird. Hohe Netzwerklast kann entstehen durch: Backup Dateiübertragung Streaming DDoS Malware Synchronisation falsche Schleife große Updates Merksatz: Netzwerklast immer mit Quelle, Ziel und Anwendung betrachten. Latenz und Paketverlust Latenz: Verzögerung bei der Übertragung Paketverlust: Pakete gehen verloren Folgen: langsame Verbindungen Verbindungsabbrüche schlechte Sprachqualität langsame Remote-Sitzungen Timeouts schlechte Anwendungserfahrung Merksatz: Latenz und Paketverlust beeinflussen spürbar die Qualität von Netzwerkdiensten. Antwortzeit Antwortzeit beschreibt, wie lange ein Dienst für eine Antwort braucht. Beispiele: Webseite lädt langsam. API antwortet verzögert. Datenbankabfrage dauert lange. Login dauert ungewöhnlich lange. Merksatz: Dienst ist erreichbar, kann aber trotzdem zu langsam sein. Verfügbarkeit Verfügbarkeit beschreibt, ob ein Dienst nutzbar ist. Monitoring kann prüfen: Ping TCP-Port HTTP-Antwort API-Antwort Login-Test Datenbankverbindung Zertifikat Backup-Erfolg Merksatz: Verfügbarkeit sollte aus Sicht der Nutzung geprüft werden. Health Check Ein Health Check prüft, ob ein Dienst gesund ist. Beispiele: Prozess läuft Port offen HTTP-Status 200 Datenbank erreichbar Abhängigkeiten funktionieren Antwortzeit im Grenzwert Merksatz: Ein guter Health Check prüft mehr als nur, ob ein Prozess läuft. Alerting Alerting bedeutet: Bei kritischen Zuständen wird automatisch alarmiert. Beispiele: Festplatte über 90 Prozent Dienst nicht erreichbar Backup fehlgeschlagen Zertifikat läuft bald ab viele Loginfehler CPU dauerhaft sehr hoch ungewöhnlicher Datenexport Firewall blockiert ungewöhnlich viel Merksatz: Monitoring ohne sinnvolles Alerting wird leicht übersehen. Alarmmüdigkeit Alarmmüdigkeit entsteht, wenn zu viele unwichtige Alarme erzeugt werden. Folge: wichtige Alarme werden ignoriert. Gegenmaßnahmen: sinnvolle Schwellwerte Prioritäten Eskalationsregeln Alarmzusammenfassung regelmäßige Anpassung klare Zuständigkeit Merksatz: Zu viele schlechte Alarme sind fast so problematisch wie keine Alarme. Schwellwerte Schwellwerte legen fest, wann ein Alarm ausgelöst wird. Beispiele: Festplatte über 90 Prozent CPU länger als 10 Minuten über 95 Prozent Zertifikat läuft in 14 Tagen ab Backup zweimal hintereinander fehlgeschlagen Merksatz: Schwellwerte sollten zur Kritikalität des Dienstes passen. SLA, SLO und SLI in der Praxis SLI: Messwert SLO: Zielwert SLA: vertragliche Zusage Beispiel: SLI: gemessene Verfügbarkeit SLO: 99,9 Prozent Verfügbarkeit als internes Ziel SLA: 99,5 Prozent vertraglich zugesichert Merksatz: SLI misst. SLO setzt Ziel. SLA ist Zusage. Uptime und Verfügbarkeit Uptime beschreibt, wie lange ein System ohne Unterbrechung läuft. Verfügbarkeit beschreibt, ob ein Dienst für Benutzer nutzbar ist. Wichtig: Ein Server kann laufen, aber die Anwendung kann trotzdem nicht funktionieren. Merksatz: Uptime ist nicht automatisch Dienstverfügbarkeit. Zertifikatsüberwachung TLS-Zertifikate laufen ab. Wenn ein Zertifikat abläuft, können Benutzer Warnungen erhalten oder Dienste funktionieren nicht mehr. Monitoring sollte prüfen: Ablaufdatum Hostname passt Zertifikatskette gültig richtige Zertifizierungsstelle automatische Erneuerung funktioniert Merksatz: Abgelaufene Zertifikate sind vermeidbare Ausfälle. Backup-Monitoring Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Lauf Fehlermeldungen Datenmenge Laufzeit Speicherziel verfügbare Kapazität Verschlüsselung Aufbewahrung Restore-Test Merksatz: Backup-Erfolg muss aktiv überwacht werden. Logauswertung bei Sicherheitsvorfällen Bei Verdacht auf Sicherheitsvorfall helfen Logs. Zu prüfen: ungewöhnliche Loginzeiten viele Fehlversuche neue Adminrechte neue Benutzer neue Weiterleitungsregeln Datenexporte verdächtige DNS-Anfragen ungewöhnliche Prozesse Firewall-Drops VPN-Zugriffe EDR-Meldungen Merksatz: Sicherheitsvorfälle lassen sich nur gut untersuchen, wenn Logs vorhanden und geschützt sind. Zeitliche Korrelation Zeitliche Korrelation bedeutet: Ereignisse aus verschiedenen Logs werden zeitlich zusammengeführt. Beispiel: 10:01 VPN-Login 10:03 Adminrechte vergeben 10:05 Zugriff auf Dateiserver 10:10 Datenexport Merksatz: Korrelation zeigt Zusammenhänge, die einzelne Logs allein nicht zeigen. NTP und Zeitbasis NTP steht für: Network Time Protocol NTP synchronisiert Systemzeiten. Warum wichtig? Logs verschiedener Systeme müssen zeitlich vergleichbar sein. Ohne korrekte Zeit: Ereignisse sind schwer zuzuordnen. Sicherheitsanalyse wird ungenau. Nachweise werden schwieriger. Merksatz: Gemeinsame Zeitbasis ist wichtig für Logs und Forensik. Manipulationsschutz für Logs Logs können für Angreifer gefährlich sein, weil sie Spuren enthalten. Deshalb versuchen Angreifer oft, Logs zu löschen oder zu verändern. Schutz: zentrale Logsammlung eingeschränkte Rechte unveränderliche Speicherung regelmäßige Sicherung getrennte Systeme Alarm bei Logausfall Auditierung Merksatz: Logs müssen vor Manipulation geschützt werden. Dashboard Ein Dashboard zeigt wichtige Zustände übersichtlich an. Beispiele: Systemstatus Dienstverfügbarkeit CPU und RAM Netzwerkstatus Backupstatus Sicherheitsalarme Zertifikatsstatus offene Incidents Merksatz: Dashboard zeigt schnell, wo Aufmerksamkeit nötig ist. Runbook Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Situationen. Beispiele: Dienst ausgefallen Backup fehlgeschlagen Zertifikat abgelaufen Speicherplatz voll Benutzerkonto gesperrt VPN funktioniert nicht Malware-Verdacht Merksatz: Runbooks helfen, Fehler schneller und einheitlicher zu beheben. Dokumentation bei Störungen Bei Störungen sollte dokumentiert werden: Zeitpunkt betroffene Systeme Symptome Fehlermeldungen Logs getroffene Maßnahmen Verantwortliche Ursache Lösung Restprobleme Lessons Learned Merksatz: Gute Dokumentation verhindert, dass derselbe Fehler immer wieder neu gesucht wird. Typische Praxisreihenfolge bei Dienstproblemen Sinnvolle Reihenfolge: 1. Ist das Problem reproduzierbar? 2. Wer ist betroffen? 3. Seit wann besteht das Problem? 4. Gab es Änderungen? 5. Läuft der Dienst? 6. Lauscht der Port? 7. Ist DNS korrekt? 8. Ist Netzwerkverbindung möglich? 9. Blockiert eine Firewall? 10. Gibt es Fehlerlogs? 11. Sind Abhängigkeiten erreichbar? 12. Sind Ressourcen ausreichend? 13. Funktioniert Authentifizierung? 14. Ist ein Zertifikat abgelaufen? 15. Wurde die Lösung dokumentiert? Merksatz: Fehlersuche wird schneller, wenn sie systematisch erfolgt. Typische Fehler bei Logs und Monitoring Häufige Fehler: Logs nicht aktiviert Logs nur lokal gespeichert Logs werden zu früh gelöscht Logs enthalten zu viele sensible Daten keine zentrale Auswertung keine Zeitsynchronisation keine Alarmierung zu viele unwichtige Alarme Backupfehler werden nicht bemerkt Zertifikatsablauf wird nicht überwacht Dienst läuft, aber Anwendung wird nicht geprüft niemand ist für Alarme zuständig Merksatz: Monitoring muss betrieben und gepflegt werden, sonst verliert es seinen Nutzen. Checkliste: Logs und Monitoring sinnvoll einrichten Wichtige Systeme erfassen. Wichtige Dienste erfassen. Relevante Logs aktivieren. Logaufbewahrung festlegen. Datenschutz beachten. Zentrale Logsammlung nutzen. Zeitsynchronisation per NTP sicherstellen. Kritische Metriken überwachen. Schwellwerte definieren. Alarmwege festlegen. Zuständigkeiten klären. Backup-Erfolg überwachen. Zertifikate überwachen. Health Checks einrichten. Runbooks erstellen. Alarme regelmäßig prüfen. Dokumentation aktuell halten. Merksatz: Logs und Monitoring brauchen Planung, Zuständigkeit und regelmäßige Pflege. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum sind Logs wichtig? - Was ist der Unterschied zwischen Logging und Monitoring? - Welche Logquellen gibt es? - Was sind Authentifizierungslogs? - Wofür nutzt man Firewall-Logs? - Wofür nutzt man VPN-Logs? - Was zeigen Webserverlogs? - Was bedeuten HTTP-Statuscodes 4xx und 5xx? - Was ist Logrotation? - Warum ist Logaufbewahrung wichtig? - Warum sind Logs datenschutzrelevant? - Was ist zentrale Logsammlung? - Was ist Syslog? - Was ist journalctl? - Was ist ein Health Check? - Was ist Alerting? - Was ist Alarmmüdigkeit? - Warum ist NTP für Logs wichtig? - Was ist ein Dashboard? - Was ist ein Runbook? - Warum sollte Backup-Monitoring eingerichtet werden? Typische Prüfungsfallen Logs und Monitoring nicht verwechseln. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet kritische Zustände. Ohne Logs ist Sicherheitsanalyse schwierig. Lokale Logs können manipuliert werden. Zentrale Logsammlung verbessert Nachvollziehbarkeit. Logs können personenbezogene Daten enthalten. Logrotation verhindert volle Festplatten. Debug-Logs nicht dauerhaft unnötig aktiv lassen. Dienst läuft nicht automatisch gleich Anwendung funktioniert. 4xx bedeutet meist Client- oder Berechtigungsproblem. 5xx bedeutet meist Server- oder Backendproblem. Uptime ist nicht automatisch Verfügbarkeit. Health Check sollte mehr prüfen als Prozessstatus. Backup-Erfolg aktiv überwachen. Zertifikatsablauf überwachen. NTP ist wichtig für zeitliche Korrelation. Zu viele Alarme führen zu Alarmmüdigkeit. Runbooks helfen bei wiederkehrenden Störungen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Log protokolliertes Ereignis Logging Aufzeichnung von Ereignissen Monitoring Überwachung von Zuständen Alerting automatische Alarmierung Reporting Auswertung über Zeitraum Betriebssystemlog Log des Betriebssystems Anwendungslog Log einer Anwendung Authentifizierungslog Log zu Anmeldungen Firewall-Log Log zu erlaubtem und blockiertem Verkehr VPN-Log Log zu VPN-Verbindungen DNS-Log Log zu Namensauflösungen DHCP-Log Log zu IP-Vergaben Webserverlog Log zu HTTP-Anfragen HTTP-Statuscode Ergebnis einer Webanfrage Backup-Log Log zu Sicherungen Audit-Log Log sicherheitsrelevanter Aktionen Loglevel Schweregrad einer Logmeldung Debug detaillierte Fehlersuche Info normale Information Warning Warnung Error Fehler Critical schwerer Fehler Logrotation Verwaltung alter Logdateien Logaufbewahrung Dauer der Speicherung zentrale Logsammlung Sammlung von Logs an zentralem Ort Syslog Standard für Logmeldungen Ereignisanzeige Windows-Loganzeige journalctl Werkzeug für systemd-Journal Dienstprüfung Prüfung eines Dienstes Portprüfung Prüfung erreichbarer Ports Metrik messbarer Wert CPU-Auslastung Prozessorlast RAM-Nutzung Arbeitsspeichernutzung I/O-Last Last durch Ein- und Ausgabe Latenz Verzögerung Paketverlust verlorene Netzwerkpakete Antwortzeit Dauer bis zur Antwort Verfügbarkeit Nutzbarkeit eines Dienstes Health Check Gesundheitsprüfung eines Dienstes Schwellwert Grenze für Alarm SLI Service-Messwert SLO Service-Zielwert SLA vertragliche Servicezusage NTP Zeitsynchronisation Dashboard Übersicht wichtiger Zustände Runbook Schritt-für-Schritt-Anleitung IHK-sichere Kurzformulierung Logs protokollieren Ereignisse auf Systemen, Anwendungen, Netzwerkkomponenten und Sicherheitsdiensten. Monitoring überwacht aktuelle Zustände und Metriken wie Verfügbarkeit, CPU-Auslastung, Speicherplatz, Antwortzeiten, Backup-Erfolg und Zertifikatslaufzeiten. Alerting informiert Verantwortliche automatisch bei kritischen Abweichungen. Für eine sinnvolle Analyse sollten wichtige Logs zentral gesammelt, geschützt, mit korrekter Zeitbasis versehen und datenschutzgerecht aufbewahrt werden. Dienstprüfung umfasst die Kontrolle von Dienststatus, Port, Firewall, DNS, Routing, Logs, Ressourcen und Abhängigkeiten. Logs, Monitoring, Health Checks, Dashboards und Runbooks helfen, Fehler schneller zu erkennen, Sicherheitsvorfälle zu untersuchen und den Betrieb nachvollziehbar zu dokumentieren. Merksätze Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet kritische Abweichungen. Ohne Logs ist Fehlersuche schwierig. Ohne Monitoring werden Probleme oft zu spät erkannt. Authentifizierungslogs zeigen Anmeldungen. Firewall-Logs zeigen erlaubten und blockierten Verkehr. VPN-Logs zeigen Fernzugriffe. DNS-Logs helfen bei Namensauflösung und Sicherheit. DHCP-Logs helfen bei IP-Zuordnung. Webserverlogs zeigen HTTP-Anfragen. 2xx bedeutet erfolgreich. 3xx bedeutet Weiterleitung. 4xx bedeutet Client- oder Berechtigungsproblem. 5xx bedeutet Server- oder Backendproblem. Backup-Logs regelmäßig prüfen. Cloud-Audit-Logs zeigen Änderungen in der Cloud. Debug-Logs nicht dauerhaft unnötig aktiv lassen. Logrotation schützt vor voller Festplatte. Logs können personenbezogene Daten enthalten. Zentrale Logsammlung verbessert Nachvollziehbarkeit. Syslog transportiert Logmeldungen. Windows nutzt Ereignisprotokolle. journalctl zeigt systemd-Journal-Logs. Dienststatus ist nur der erste Schritt. Port, Firewall, DNS und Routing mitprüfen. 127.0.0.1 bedeutet nur lokal erreichbar. Abhängige Dienste prüfen. Metriken zeigen messbare Zustände. Hohe CPU ist Symptom, nicht automatisch Ursache. Volle Festplatte verursacht viele Dienstfehler. Uptime ist nicht automatisch Verfügbarkeit. Health Check soll echte Nutzbarkeit prüfen. Zu viele Alarme führen zu Alarmmüdigkeit. NTP ist wichtig für Logauswertung. Logs vor Manipulation schützen. Dashboard schafft Überblick. Runbooks beschleunigen wiederkehrende Fehlerbehebung. Störungen dokumentieren. Logs und Monitoring brauchen Pflege. 17.5 Netzwerk- und Systembefehle in der Praxis Administratoren nutzen Befehle, um Systeme, Netzwerke, Dienste, Verbindungen, IP-Konfigurationen und Fehlerzustände zu prüfen. Typische Ziele sind: - IP-Adresse prüfen - Gateway prüfen - DNS prüfen - Erreichbarkeit testen - Routing prüfen - offene Ports prüfen - aktive Verbindungen anzeigen - Dienste prüfen - Logs anzeigen - Benutzerrechte prüfen - Systemressourcen prüfen Merksatz: Befehle helfen, Vermutungen durch konkrete Informationen zu ersetzen. Warum Befehle wichtig sind Grafische Oberflächen zeigen oft nur einen Teil der Informationen. Befehle sind wichtig, weil sie: schnell sind genaue Ausgaben liefern automatisierbar sind auch per SSH funktionieren bei Servern ohne GUI nutzbar sind Fehlersuche systematisch machen gut dokumentierbare Ergebnisse liefern Merksatz: Kommandozeilenwerkzeuge sind praktische Diagnosewerkzeuge. Befehle richtig einordnen Ein einzelner Befehl löst selten das ganze Problem. Wichtig ist die Reihenfolge: 1. IP-Konfiguration prüfen. 2. Gateway prüfen. 3. DNS prüfen. 4. Ziel erreichen. 5. Port prüfen. 6. Dienst prüfen. 7. Logs prüfen. 8. Änderungen prüfen. 9. Ursache dokumentieren. Merksatz: Nicht blind Befehle ausführen, sondern systematisch prüfen. Windows und Linux unterscheiden Viele Befehle unterscheiden sich je nach Betriebssystem. Beispiele: Aufgabe Windows Linux/macOS IP-Konfiguration anzeigen ipconfig ip addr oder ifconfig Routing anzeigen route print ip route oder netstat -rn DNS testen nslookup dig oder nslookup Erreichbarkeit testen ping ping Route verfolgen tracert traceroute Verbindungen anzeigen netstat ss oder netstat Dienste prüfen services.msc, sc systemctl Logs anzeigen Ereignisanzeige journalctl, Logdateien Merksatz: Gleiche Aufgabe, anderes Werkzeug je nach System. IP-Konfiguration prüfen Die IP-Konfiguration zeigt, wie ein System im Netzwerk eingebunden ist. Zu prüfen: IP-Adresse Subnetzmaske oder Präfix Standardgateway DNS-Server DHCP oder statische Adresse Netzwerkschnittstelle IPv4 und IPv6 Verbindung aktiv oder getrennt Merksatz: Ohne korrekte IP-Konfiguration funktioniert keine saubere Netzwerkkommunikation. ipconfig unter Windows Unter Windows zeigt ipconfig die IP-Konfiguration an. Typische Informationen: IPv4-Adresse IPv6-Adresse Subnetzmaske Standardgateway DNS-Suffix Adaptername Typische Nutzung: IP-Adresse prüfen Gateway prüfen DHCP-Zuweisung prüfen DNS-Server prüfen Merksatz: ipconfig zeigt die Netzwerkkonfiguration unter Windows. ipconfig /all ipconfig /all zeigt detailliertere Informationen. Zusätzlich sichtbar: MAC-Adresse DHCP aktiviert oder nicht DHCP-Server DNS-Server Lease-Zeit Hostname DNS-Suffix Adapterbeschreibung Merksatz: ipconfig /all ist genauer als einfaches ipconfig. ip addr unter Linux Unter Linux zeigt ip addr IP-Adressen und Schnittstellen an. Typische Informationen: Interface-Name IPv4-Adresse IPv6-Adresse MAC-Adresse Status der Schnittstelle Präfixlänge Beispiele für Interface-Namen: eth0 ens18 enp0s3 wlan0 lo Merksatz: ip addr zeigt IP-Adressen und Netzwerkinterfaces unter Linux. ifconfig ifconfig ist ein älteres Werkzeug, das auf vielen Systemen noch bekannt ist. Es zeigt ebenfalls Netzwerkschnittstellen und IP-Adressen. Wichtig: Auf modernen Linux-Systemen wird häufig ip aus dem iproute2-Paket bevorzugt. Merksatz: ifconfig ist bekannt, ip ist auf modernen Linux-Systemen oft aktueller. MAC-Adresse prüfen Die MAC-Adresse ist die Hardwareadresse einer Netzwerkschnittstelle. Sie ist wichtig für: DHCP-Zuordnung Switch-MAC-Tabellen Wake-on-LAN Netzwerkzugangskontrolle Fehlersuche auf Schicht 2 Merksatz: MAC-Adresse hilft bei Layer-2-Analyse. Gateway prüfen Das Standardgateway wird benötigt, wenn ein Ziel außerhalb des eigenen Netzes liegt. Fehlt das Gateway, funktioniert meist nur Kommunikation im lokalen Netz. Typische Symptome: lokale Geräte erreichbar Internet nicht erreichbar andere Netze nicht erreichbar DNS-Server außerhalb des Netzes nicht erreichbar Merksatz: Ohne Gateway kein Weg in andere Netze. Routing anzeigen unter Windows Unter Windows zeigt route print die Routing-Tabelle. Zu prüfen: Standardroute Zielnetze Gateway Interface Metrik IPv4-Routen IPv6-Routen Merksatz: route print zeigt, wohin Windows Pakete senden will. Routing anzeigen unter Linux Unter Linux zeigt ip route die Routing-Tabelle. Wichtig sind: default route lokale Netzroute Gateway Interface spezielle Routen Metrik Merksatz: ip route zeigt Routingentscheidungen unter Linux. Standardroute Die Standardroute wird genutzt, wenn keine spezifischere Route passt. Sie wird oft angezeigt als: 0.0.0.0/0 oder: default Merksatz: Standardroute ist der allgemeine Weg zu unbekannten Netzen. Spezifischste Route gewinnt Wenn mehrere Routen passen, wird die spezifischste Route verwendet. Beispiel: Route zu 192.168.1.0/24 ist spezifischer als 0.0.0.0/0. Merksatz: Die genaueste passende Route gewinnt. ping ping testet, ob ein Ziel per ICMP erreichbar ist. Es prüft: Ziel antwortet? Paketlaufzeit? Paketverlust? Namensauflösung indirekt, wenn ein Name genutzt wird Merksatz: ping prüft grundlegende Erreichbarkeit per ICMP. ping richtig interpretieren ping erfolgreich: Ziel antwortet per ICMP. ping fehlgeschlagen bedeutet nicht automatisch: Ziel ist aus. Mögliche Ursachen: Firewall blockiert ICMP Ziel blockiert ICMP Routingproblem DNS-Problem Ziel offline Gatewayproblem Paketverlust Merksatz: Kein ping ist ein Hinweis, aber kein endgültiger Beweis. ping mit IP-Adresse Ping auf IP-Adresse prüft vor allem: Netzwerkweg Routing ICMP-Erreichbarkeit Beispielprinzip: ping 192.168.1.1 Wenn IP-Ping funktioniert, aber Name nicht, liegt der Fehler häufig bei DNS. Merksatz: IP-Ping trennt Netzwerkprüfung von Namensauflösung. ping mit Hostname Ping auf Hostname prüft zusätzlich DNS. Beispielprinzip: ping server.example.local Wenn Hostname nicht aufgelöst wird, kann ping gar nicht zum eigentlichen Ziel starten. Merksatz: Hostname-Ping prüft DNS und Erreichbarkeit zusammen. DNS prüfen DNS-Probleme sind häufige Ursachen für Netzwerkfehler. Zu prüfen: richtiger DNS-Server eingetragen? DNS-Server erreichbar? Name existiert? richtige IP wird geliefert? interner oder externer DNS? Split-DNS bei VPN? DNS-Cache veraltet? Merksatz: Wenn IP funktioniert, aber Name nicht, ist DNS verdächtig. nslookup nslookup fragt DNS-Einträge ab. Es kann genutzt werden für: Name zu IP-Adresse IP-Adresse zu Name bestimmten DNS-Server testen DNS-Fehler eingrenzen Merksatz: nslookup prüft Namensauflösung. dig dig ist ein häufiges DNS-Werkzeug unter Linux und macOS. Es zeigt detaillierte DNS-Antworten. Nützlich für: A-Record AAAA-Record MX-Record TXT-Record CNAME DNS-Serververgleich Antwortzeiten TTL Merksatz: dig zeigt DNS-Antworten sehr detailliert. DNS-Recordtypen Wichtige DNS-Recordtypen: Record Bedeutung A Name zu IPv4-Adresse AAAA Name zu IPv6-Adresse CNAME Alias auf anderen Namen MX Mailserver einer Domain TXT Textinformationen, oft SPF oder Verifikation NS zuständige Nameserver PTR Reverse DNS, IP zu Name Merksatz: DNS besteht aus unterschiedlichen Recordtypen für unterschiedliche Aufgaben. DNS-Cache Betriebssysteme und Anwendungen können DNS-Antworten zwischenspeichern. Vorteil: schnellere Namensauflösung Nachteil: alte Einträge können Fehler verursachen. Merksatz: DNS-Cache kann veraltete Antworten liefern. tracert unter Windows tracert zeigt den Weg zu einem Ziel über mehrere Router. Es hilft bei: Routingproblemen Paketverlust unterwegs falschem Weg Abbruch an bestimmtem Hop Erkennung von Übergabepunkten Merksatz: tracert zeigt Zwischenstationen auf dem Weg zum Ziel. traceroute unter Linux und macOS traceroute erfüllt ähnlich wie tracert die Aufgabe, den Weg zum Ziel sichtbar zu machen. Je nach System können unterschiedliche Protokolle genutzt werden. Merksatz: traceroute hilft, den Netzwerkpfad einzugrenzen. Traceroute richtig interpretieren Ein Sternchen oder fehlende Antwort bedeutet nicht automatisch, dass dort ein Fehler ist. Mögliche Ursachen: Router antwortet nicht auf Traceroute ICMP wird blockiert Rate Limiting Firewall-Regel Paket geht trotzdem weiter Wichtig ist: Kommt das Ziel am Ende an? Wo beginnt der Ausfall? Sind mehrere Ziele betroffen? Merksatz: Traceroute-Ausgaben brauchen Interpretation. netstat netstat zeigt Netzwerkverbindungen, lauschende Ports und Routinginformationen. Typische Nutzung: aktive Verbindungen prüfen offene Ports prüfen lokale Dienste finden Verbindungszustände anzeigen Merksatz: netstat zeigt Netzwerkstatus und Verbindungen. ss unter Linux ss ist ein modernes Werkzeug unter Linux, um Sockets und Netzwerkverbindungen anzuzeigen. Es ersetzt häufig netstat. Typische Informationen: lauschende Ports aktive TCP-Verbindungen UDP-Sockets Prozesszuordnung je nach Option Merksatz: ss zeigt schnell offene Ports und Verbindungen unter Linux. Offene Ports prüfen Offene Ports zeigen, welche Dienste erreichbar sein könnten. Zu prüfen: lauscht ein Dienst? auf welcher IP lauscht er? TCP oder UDP? nur localhost oder extern? welcher Prozess nutzt den Port? sollte der Port offen sein? Merksatz: Ein offener Port ist ein möglicher Zugangspunkt. localhost und 0.0.0.0 unterscheiden 127.0.0.1: Dienst ist nur lokal erreichbar. 0.0.0.0: Dienst lauscht auf allen IPv4-Schnittstellen. Konkrete IP-Adresse: Dienst lauscht nur auf dieser Schnittstelle. Merksatz: 127.0.0.1 ist lokal. 0.0.0.0 ist auf allen Schnittstellen. TCP-Verbindungszustände Typische TCP-Zustände: Zustand Bedeutung LISTEN Dienst wartet auf Verbindungen ESTABLISHED Verbindung besteht TIME_WAIT Verbindung wurde beendet, Zustand läuft aus SYN_SENT Verbindungsaufbau gestartet SYN_RECEIVED Verbindungsaufbau teilweise angekommen CLOSE_WAIT Gegenseite hat geschlossen, lokale Seite noch nicht Merksatz: TCP-Zustände helfen, Verbindungsprobleme einzugrenzen. Port erreichbar testen Um zu prüfen, ob ein Port erreichbar ist, kann je nach System ein Werkzeug genutzt werden. Beispiele für Prinzipien: TCP-Verbindung zu Zielport testen HTTP-Antwort testen Dienstprotokoll prüfen Zu beachten: Port offen bedeutet nicht automatisch, dass die Anwendung korrekt funktioniert. Merksatz: Porttest prüft Erreichbarkeit, nicht vollständige Anwendungsfunktion. telnet als Porttest telnet kann technisch genutzt werden, um einfache TCP-Verbindungen zu testen. Wichtig: Telnet als Verwaltungsprotokoll ist unsicher, weil es unverschlüsselt ist. Einordnung: Telnet zur Administration vermeiden. Als einfacher Porttest historisch bekannt, aber moderne Alternativen bevorzugen. Merksatz: Telnet nicht für sichere Administration verwenden. curl curl ruft URLs und APIs über die Kommandozeile ab. Nützlich für: HTTP-Status prüfen Header prüfen API testen Zertifikatsprobleme erkennen Weiterleitungen prüfen Antwortzeiten grob prüfen Webserver-Erreichbarkeit testen Merksatz: curl ist ein wichtiges Werkzeug für Web- und API-Tests. HTTP mit curl prüfen Mit curl kann geprüft werden: Antwortet der Webserver? Welcher Statuscode kommt zurück? Gibt es Weiterleitungen? Wird HTTPS genutzt? Stimmen Header? Kommt eine Fehlermeldung? Merksatz: curl prüft Webdienste direkter als ein Browser. wget wget kann Dateien oder Webseiten über HTTP, HTTPS oder FTP herunterladen. Nützlich für: Download testen Erreichbarkeit prüfen automatisierte Abrufe Spiegeln einfacher Inhalte Merksatz: wget dient vor allem zum Abrufen und Herunterladen. Dienststatus unter Linux prüfen Auf vielen Linux-Systemen wird systemctl genutzt. Typische Prüfungen: läuft der Dienst? ist der Dienst aktiviert? ist der Dienst fehlgeschlagen? wann wurde er gestartet? welche Fehlermeldung gibt es? Merksatz: systemctl prüft und verwaltet systemd-Dienste. journalctl für Dienstlogs journalctl zeigt Logs des systemd-Journals. Nützlich für: Fehler eines Dienstes prüfen Logs seit Start ansehen aktuelle Meldungen verfolgen Bootprobleme analysieren Merksatz: journalctl und systemctl gehören bei Linux-Dienstfehlern zusammen. Dienste unter Windows prüfen Unter Windows können Dienste geprüft werden über: Dienste-Verwaltung Ereignisanzeige Task-Manager PowerShell sc Zu prüfen: Dienst gestartet? Starttyp korrekt? Abhängigkeiten erfüllt? Fehler im Ereignisprotokoll? Dienstkonto korrekt? Berechtigungen vorhanden? Merksatz: Windows-Dienstfehler stehen oft zusätzlich in der Ereignisanzeige. Prozessprüfung Prozesse zeigen, welche Programme gerade laufen. Zu prüfen: läuft der Prozess? verbraucht er viel CPU? verbraucht er viel RAM? startet er immer wieder neu? gehört er zum erwarteten Dienst? läuft er mit welchem Benutzer? Merksatz: Dienstprobleme zeigen sich oft auch in Prozessen. Ressourcen prüfen Systemressourcen beeinflussen Dienste. Wichtige Ressourcen: CPU RAM Festplatte I/O Netzwerk offene Dateien Prozesslimits Merksatz: Ein Dienst kann fehlschlagen, obwohl Netzwerk und Konfiguration richtig sind, wenn Ressourcen fehlen. Speicherplatz prüfen Volle Datenträger sind häufige Fehlerursachen. Folgen: Logs können nicht geschrieben werden. Datenbank stoppt. Updates schlagen fehl. Anwendung kann keine Dateien speichern. Backup bricht ab. System wird instabil. Merksatz: Bei Dienstproblemen immer Speicherplatz prüfen. df unter Linux df zeigt die Belegung von Dateisystemen. Nützlich für: freie Kapazität prüfen volle Partitionen erkennen Mountpunkte prüfen Merksatz: df zeigt, wie voll Dateisysteme sind. du unter Linux du zeigt, wie viel Speicher bestimmte Ordner oder Dateien belegen. Nützlich für: große Ordner finden Logwachstum prüfen Speicherfresser eingrenzen Merksatz: df zeigt Dateisysteme. du zeigt Ordner- und Dateigrößen. top und htop top zeigt laufende Prozesse und Ressourcennutzung. htop ist eine komfortablere Variante, wenn installiert. Nützlich für: CPU-lastige Prozesse finden RAM-Verbrauch prüfen Prozesszustände ansehen Systemlast beurteilen Merksatz: top und htop zeigen laufende Prozesse und Last. Task-Manager unter Windows Der Task-Manager zeigt: laufende Prozesse CPU-Auslastung Arbeitsspeicher Datenträgerlast Netzwerk Autostart Benutzer Dienste Merksatz: Task-Manager ist ein schneller Überblick über Windows-Systemlast. PowerShell in der Administration PowerShell ist eine Verwaltungs- und Automatisierungsumgebung unter Windows. Sie wird genutzt für: Benutzerverwaltung Dienste prüfen Prozesse prüfen Dateien verwalten Netzwerk prüfen Ereignislogs auswerten Microsoft-365-Administration Automatisierung Merksatz: PowerShell ist ein zentrales Administrationswerkzeug unter Windows. Ereignisanzeige unter Windows Die Ereignisanzeige zeigt Windows-Logs. Wichtige Bereiche: Anwendung Sicherheit System Typische Nutzung: Dienstfehler prüfen Anmeldeereignisse prüfen Treiberfehler prüfen Systemfehler analysieren Sicherheitsereignisse ansehen Merksatz: Windows-Fehleranalyse führt häufig zur Ereignisanzeige. whoami whoami zeigt, unter welchem Benutzer man angemeldet ist. Nützlich bei: Rechteproblemen falscher Anmeldung Skriptausführung Dienstkontenprüfung Remote-Sitzungen Merksatz: Erst prüfen, wer man auf dem System wirklich ist. Gruppenmitgliedschaften prüfen Gruppenmitgliedschaften bestimmen oft Rechte. Zu prüfen: ist Benutzer in richtiger Gruppe? fehlt eine Gruppe? ist eine alte Gruppe noch aktiv? greifen Gruppenrichtlinien? wurde Anmeldung neu gestartet? Merksatz: Viele Rechteprobleme sind Gruppenprobleme. Hostname prüfen Der Hostname identifiziert ein System im Netzwerk. Wichtig für: DNS Dokumentation Zertifikate Monitoring Logs Inventarisierung Merksatz: Hostname, DNS-Name Zertifikat und Dokumentation sollten zusammenpassen. Datum und Uhrzeit prüfen Falsche Uhrzeit kann Probleme verursachen. Beispiele: Zertifikatsfehler Kerberos-Probleme Logauswertung falsch MFA-Probleme geplante Aufgaben laufen falsch Token ungültig Merksatz: Zeitabweichungen verursachen viele schwer erkennbare Fehler. Umgebungsvariablen Umgebungsvariablen beeinflussen Programme und Skripte. Beispiele: PATH HOME USER TEMP Proxy-Einstellungen Anwendungskonfiguration Zugangspfade Merksatz: Falsche Umgebungsvariablen können Programme anders verhalten lassen. Konfigurationsdateien prüfen Viele Dienste werden über Konfigurationsdateien gesteuert. Zu prüfen: Syntax korrekt? Pfade richtig? Ports richtig? Zugangsdaten korrekt? Zertifikate richtig eingetragen? Änderungen dokumentiert? Dienst nach Änderung neu geladen? Merksatz: Kleine Fehler in Konfigurationen können ganze Dienste stoppen. Änderungen prüfen Bei neuen Fehlern ist die wichtigste Frage oft: Was wurde zuletzt geändert? Mögliche Änderungen: Update Firewall-Regel Zertifikat Passwort DNS-Eintrag DHCP-Änderung Routing Dienstkonfiguration Berechtigung Netzwerkverkabelung Cloud-Regel Merksatz: Neue Fehler hängen oft mit letzten Änderungen zusammen. Systematische Fehlersuche mit Befehlen Sinnvolle Reihenfolge: 1. Eigenes System prüfen. 2. IP-Konfiguration prüfen. 3. Gateway prüfen. 4. DNS prüfen. 5. Ziel per IP testen. 6. Ziel per Name testen. 7. Route verfolgen. 8. Port prüfen. 9. Dienststatus prüfen. 10. Logs prüfen. 11. Ressourcen prüfen. 12. Berechtigungen prüfen. 13. Änderungen prüfen. 14. Ergebnis dokumentieren. Merksatz: Systematische Befehlsnutzung spart Zeit. Typische Fehlerbilder und passende Prüfung Fehlerbild Erste Prüfungen Kein Internet IP, Gateway, DNS, Router Name geht nicht DNS, DNS-Server, Cache IP geht, Name nicht DNS prüfen Dienst nicht erreichbar Port, Firewall, Dienststatus Webseite 404 URL, Webserver, Pfad Webseite 500 Anwendung, Backend, Logs Login schlägt fehl Benutzer, Passwort, MFA, Logs Zugriff verweigert Gruppen, Rechte, ACL Langsame Verbindung Latenz, Paketverlust, Last Zertifikatsfehler Uhrzeit, Zertifikat, Hostname Merksatz: Fehlerbild bestimmt die nächste sinnvolle Prüfung. Typische Praxisfehler Häufige Fehler: DNS wird zu spät geprüft nur ping genutzt Firewall vergessen Gateway nicht geprüft IPv4 und IPv6 verwechselt falsches Interface betrachtet Dienststatus geprüft, aber Port nicht Port offen, aber Anwendung nicht getestet Logs nicht gelesen letzte Änderungen ignoriert Rechteproblem als Netzwerkproblem behandelt Merksatz: Fehlersuche braucht mehrere Blickwinkel. Checkliste: Netzwerk- und Systemprüfung IP-Adresse prüfen. Subnetz prüfen. Gateway prüfen. DNS-Server prüfen. Ping zur Gateway-IP testen. Ping zur Ziel-IP testen. Namensauflösung testen. Route prüfen. Port prüfen. Dienststatus prüfen. Prozess prüfen. Logs prüfen. Firewall prüfen. Ressourcen prüfen. Benutzer und Rechte prüfen. Zertifikate und Uhrzeit prüfen. letzte Änderungen prüfen. Ergebnis dokumentieren. Merksatz: Erst Grundlagen prüfen, dann Spezialfälle. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wofür nutzt man ipconfig? - Wofür nutzt man ipconfig /all? - Wofür nutzt man ip addr? - Was zeigt eine Routing-Tabelle? - Was ist eine Standardroute? - Wofür nutzt man ping? - Warum beweist ein fehlgeschlagener ping nicht immer, dass ein Ziel offline ist? - Wie prüft man DNS? - Was macht nslookup? - Was macht dig? - Wofür nutzt man tracert oder traceroute? - Was zeigt netstat? - Was zeigt ss? - Was bedeutet LISTEN? - Was bedeutet ESTABLISHED? - Warum ist 127.0.0.1 besonders? - Wofür nutzt man curl? - Was prüft systemctl? - Was zeigt journalctl? - Warum sollte man Logs prüfen? - Warum ist Speicherplatzprüfung wichtig? - Warum ist die Frage nach letzten Änderungen wichtig? Typische Prüfungsfallen ping prüft ICMP, nicht automatisch jeden Dienst. Kein ping kann durch Firewall entstehen. IP funktioniert, Name nicht: DNS prüfen. Hostname funktioniert nicht automatisch, wenn IP funktioniert. Standardroute ist wichtig für fremde Netze. Spezifischste Route gewinnt. tracert und traceroute zeigen Zwischenstationen, aber nicht jeder Hop antwortet. Offener Port bedeutet nicht, dass Anwendung vollständig funktioniert. 127.0.0.1 ist nur lokal. 0.0.0.0 bedeutet alle IPv4-Schnittstellen. LISTEN bedeutet Dienst wartet auf Verbindung. ESTABLISHED bedeutet Verbindung besteht. Telnet ist als Administrationsprotokoll unsicher. curl ist nützlich für Webtests. Dienst läuft nicht automatisch gleich Dienst funktioniert. Logs liefern oft den entscheidenden Hinweis. Volle Festplatte ist eine häufige Fehlerursache. Uhrzeitfehler können Zertifikate und Anmeldung stören. Letzte Änderungen immer prüfen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung ipconfig Windows-IP-Konfiguration anzeigen ipconfig /all detaillierte Windows-Netzwerkinformationen ip addr Linux-IP-Adressen anzeigen ifconfig älteres Werkzeug für Netzwerkschnittstellen MAC-Adresse Hardwareadresse einer Netzwerkschnittstelle Gateway Übergang in andere Netze Routing-Tabelle Liste möglicher Netzwerkwege Standardroute allgemeiner Weg zu unbekannten Netzen ping ICMP-Erreichbarkeit testen ICMP Kontrollprotokoll für Netzwerkmeldungen nslookup DNS-Abfragewerkzeug dig detailliertes DNS-Abfragewerkzeug DNS-Cache zwischengespeicherte DNS-Antworten tracert Windows-Wegverfolgung zum Ziel traceroute Linux/macOS-Wegverfolgung zum Ziel netstat Netzwerkverbindungen anzeigen ss moderne Socketanzeige unter Linux Port logischer Dienstzugang LISTEN Dienst wartet auf Verbindungen ESTABLISHED Verbindung besteht localhost lokaler Rechner 127.0.0.1 lokale Loopback-Adresse 0.0.0.0 alle IPv4-Schnittstellen curl Web- und API-Anfragen testen wget Dateien oder Webseiten abrufen systemctl systemd-Dienste verwalten journalctl systemd-Logs anzeigen Dienststatus Zustand eines Dienstes Prozess laufendes Programm df Dateisystembelegung anzeigen du Ordner- und Dateigrößen anzeigen top Prozess- und Lastanzeige htop komfortablere Prozessanzeige Task-Manager Windows-Prozess- und Leistungsanzeige PowerShell Windows-Verwaltung und Automatisierung Ereignisanzeige Windows-Loganzeige whoami aktueller Benutzer Hostname Name eines Systems Umgebungsvariable System- oder Programmeinstellung IHK-sichere Kurzformulierung Netzwerk- und Systembefehle dienen dazu, Fehler systematisch einzugrenzen und Zustände zu prüfen. Mit ipconfig oder ip addr wird die IP-Konfiguration geprüft, mit route print oder ip route die Routing-Tabelle. ping testet grundlegende Erreichbarkeit per ICMP, nslookup oder dig prüfen DNS, tracert oder traceroute zeigen den Weg zum Ziel. netstat oder ss zeigen offene Ports und Verbindungen. curl prüft Webdienste und APIs. systemctl und journalctl helfen bei der Prüfung von Diensten und Logs unter Linux, während unter Windows Task-Manager, Ereignisanzeige und PowerShell wichtige Werkzeuge sind. Bei der Fehlersuche sollten IP-Konfiguration, Gateway, DNS, Route, Port, Dienststatus, Logs, Ressourcen, Rechte und letzte Änderungen systematisch geprüft werden. Merksätze Befehle ersetzen Vermutungen durch Fakten. Erst Grundlagen prüfen, dann Spezialfälle. IP-Konfiguration ist die Basis. Gateway führt in andere Netze. Ohne Gateway meist kein Zugriff auf fremde Netze. Routing-Tabelle zeigt Netzwerkwege. Standardroute ist Weg für unbekannte Ziele. Spezifischste Route gewinnt. ping prüft ICMP. Kein ping ist kein endgültiger Beweis. IP-Ping trennt DNS von Netzwerkprüfung. Hostname-Ping prüft DNS mit. Wenn IP geht, aber Name nicht: DNS prüfen. nslookup prüft DNS. dig zeigt DNS detailliert. DNS-Cache kann veraltet sein. tracert und traceroute zeigen den Weg. Nicht jeder Hop muss antworten. netstat zeigt Verbindungen. ss zeigt Sockets unter Linux. Offene Ports prüfen. 127.0.0.1 ist lokal. 0.0.0.0 bedeutet alle Schnittstellen. LISTEN wartet auf Verbindungen. ESTABLISHED ist aktive Verbindung. Port offen heißt nicht Anwendung gesund. Telnet nicht zur sicheren Administration nutzen. curl prüft Webdienste. wget lädt Inhalte ab. systemctl prüft Dienste. journalctl zeigt Dienstlogs. Windows nutzt Ereignisanzeige. Prozesse und Ressourcen mitprüfen. Volle Festplatte verursacht viele Fehler. df zeigt Dateisystembelegung. du findet große Ordner. top zeigt Prozesslast. Task-Manager zeigt Windows-Systemlast. whoami prüft aktuellen Benutzer. Gruppenmitgliedschaften beeinflussen Rechte. Hostname muss zur Dokumentation passen. Falsche Uhrzeit verursacht Zertifikats- und Loginprobleme. Konfigurationen sorgfältig prüfen. Letzte Änderungen sind oft der Schlüssel. Fehlersuche systematisch dokumentieren. 17.6 Dateiübertragung, Freigaben und sichere Datenzugriffe in der Praxis In der Administration müssen Dateien häufig zwischen Systemen, Benutzern, Servern und Diensten übertragen oder gemeinsam bereitgestellt werden. Typische Beispiele: - Konfigurationsdateien übertragen - Logdateien herunterladen - Backups ablegen - Installationsdateien bereitstellen - Benutzerfreigaben einrichten - Projektordner bereitstellen - Dateien zwischen Servern synchronisieren - Daten sicher mit externen Personen austauschen Merksatz: Dateiübertragung und Freigaben brauchen immer Technik, Rechtekonzept und Sicherheitsregeln. Warum Dateiübertragung sicherheitskritisch ist Dateien können sensible Informationen enthalten. Beispiele: Kundendaten Zugangsdaten Konfigurationsdateien Zertifikate private Schlüssel Backups Logdateien Personalunterlagen interne Dokumente Quellcode Risiken: Datenabfluss unberechtigter Zugriff Manipulation Malware-Verteilung Verlust von Vertraulichkeit falsche Berechtigungen versehentlich öffentliche Freigaben Merksatz: Dateien sind oft genauso kritisch wie Datenbanken. Grundfragen vor jeder Freigabe Vor einer Freigabe sollte geklärt werden: Wer braucht Zugriff? Auf welche Daten? Mit welchen Rechten? Von welchem Ort? Für welchen Zeitraum? Muss Zugriff protokolliert werden? Müssen Daten verschlüsselt übertragen werden? Müssen Daten verschlüsselt gespeichert werden? Merksatz: Keine Freigabe ohne Zweck, Berechtigung und Begrenzung. Lesen, Schreiben und Löschen Die wichtigsten Dateiaktionen sind: lesen schreiben löschen Lesen: Datei anzeigen oder herunterladen Schreiben: Datei verändern oder neue Datei erstellen Löschen: Datei entfernen Merksatz: Schreibrechte sind gefährlicher als Leserechte. Löschrechte sind besonders kritisch. Minimal notwendige Rechte Nicht jeder Benutzer braucht Vollzugriff. Beispiele: Leser: darf Dateien öffnen, aber nicht verändern Bearbeiter: darf Dateien ändern Besitzer: darf Rechte ändern Administrator: darf technische Verwaltung durchführen Merksatz: So wenig Rechte wie möglich, so viele wie nötig. Freigabe und Dateisystem unterscheiden Bei Dateizugriff gibt es oft mehrere Ebenen. Beispiel Windows: Freigaberechte und NTFS-Rechte Beispiel Linux: Samba-Freigaberechte und Linux-Dateirechte Wichtig: Beide Ebenen müssen zusammenpassen. Merksatz: Freigabe erlaubt Zugang. Dateisystemrechte entscheiden zusätzlich, was wirklich möglich ist. SMB SMB steht für: Server Message Block SMB wird häufig für Datei- und Druckerfreigaben in Windows-Netzwerken genutzt. Typische Nutzung: Netzlaufwerke gemeinsame Ordner Druckerfreigaben Benutzerprofile Abteilungsfreigaben Dateiserver Standardport: TCP 445 Merksatz: SMB ist das typische Protokoll für Windows-Dateifreigaben. SMB in der Praxis Beispiele: \\server\freigabe Netzlaufwerk verbinden Abteilungsordner bereitstellen Scanner speichert in Netzwerkordner Anwendung greift auf zentrale Dateien zu Merksatz: SMB-Freigaben sind praktisch, aber müssen sauber berechtigt werden. SMB-Sicherheit Wichtige Maßnahmen: alte SMB-Versionen deaktivieren keine Gastzugriffe starke Authentifizierung Rechte über Gruppen vergeben Freigaben nicht unnötig breit setzen Zugriff protokollieren Adminfreigaben schützen Netzwerkzugriff begrenzen Verschlüsselung prüfen Backups schützen Merksatz: SMB-Freigaben niemals pauschal für alle öffnen. SMB-Versionen Ältere SMB-Versionen sind unsicherer. Besonders alte Versionen sollten vermieden werden, wenn sie nicht zwingend benötigt werden. Wichtig: moderne SMB-Versionen nutzen alte Kompatibilität nur bewusst aktivieren Altgeräte prüfen Risiken dokumentieren Merksatz: Alte SMB-Versionen erhöhen das Sicherheitsrisiko. NFS NFS steht für: Network File System NFS wird häufig in Unix-, Linux- und Serverumgebungen genutzt. Typische Nutzung: gemeinsame Verzeichnisse Serverfreigaben Linux-Dateiserver Virtualisierungsspeicher Container- oder Anwendungsdaten Backup-Ziele Merksatz: NFS ist ein typisches Dateifreigabeprotokoll in Unix- und Linux-Umgebungen. NFS-Sicherheit Bei NFS wichtig: erlaubte Clients begrenzen Exporte sauber konfigurieren Schreibrechte nur wenn nötig Root-Zugriff einschränken Netzwerksegmentierung nutzen Firewall-Regeln setzen NFS-Version beachten Berechtigungen auf Dateisystemebene prüfen Merksatz: NFS-Zugriff immer auf notwendige Clients begrenzen. FTP FTP steht für: File Transfer Protocol FTP dient zur Dateiübertragung. Problem: klassisches FTP überträgt Daten und Zugangsdaten unverschlüsselt. Standardports: TCP 21 für Steuerverbindung Datenverbindungen je nach aktivem oder passivem Modus Merksatz: Klassisches FTP ist unsicher, weil es unverschlüsselt ist. Warum FTP problematisch ist Bei klassischem FTP können mitgelesen werden: Benutzername Passwort Dateinamen Dateiinhalt Befehle Risiko: Sniffing Passwortdiebstahl Datenabfluss Manipulation bei unsicherem Netzwerk Merksatz: FTP nicht für vertrauliche Daten oder unsichere Netze verwenden. SFTP SFTP steht für: SSH File Transfer Protocol SFTP nutzt SSH als sichere Grundlage. Standardport: TCP 22 Vorteile: verschlüsselte Übertragung SSH-Authentifizierung Schlüsselanmeldung möglich häufig auf Servern verfügbar besser geeignet als klassisches FTP Merksatz: SFTP ist sichere Dateiübertragung über SSH. SCP SCP steht für: Secure Copy SCP wird für Dateiübertragung über SSH genutzt. Typische Nutzung: Datei auf Server kopieren Datei vom Server herunterladen Dateien zwischen Systemen übertragen Einordnung: ebenfalls verschlüsselt über SSH Merksatz: SCP kopiert Dateien verschlüsselt über SSH. SFTP und SCP vergleichen Merkmal SFTP SCP Grundlage SSH SSH Zweck Dateiübertragung mit Dateiverwaltung einfaches Kopieren Bedienung eher wie Dateisitzung eher Kopierbefehl Verschlüsselung ja ja Standardport TCP 22 TCP 22 Merksatz: SFTP und SCP nutzen SSH, sind aber nicht dasselbe wie FTP. FTPS FTPS bedeutet: FTP mit TLS-Verschlüsselung FTPS ist nicht dasselbe wie SFTP. FTPS nutzt FTP-Technik mit TLS. SFTP nutzt SSH. Merksatz: FTPS = FTP über TLS. SFTP = Dateiübertragung über SSH. FTP, FTPS und SFTP vergleichen Protokoll Verschlüsselung Grundlage Einordnung FTP nein FTP unsicher in Klartext FTPS ja FTP plus TLS verschlüsseltes FTP SFTP ja SSH sichere Dateiübertragung über SSH Merksatz: SFTP und FTPS nicht verwechseln. HTTPS-Dateidownload Dateien können auch über HTTPS bereitgestellt werden. Beispiele: Downloadportal Cloudspeicher-Link Softwaredownload internes Webportal API-Dateiabruf Vorteile: verschlüsselte Übertragung browserfähig gut für Downloads Zugriff über Webauthentifizierung möglich Risiken: öffentliche Links falsche Rechte abgelaufene Links fehlen keine Zugriffskontrolle versehentliche Veröffentlichung Merksatz: HTTPS schützt die Übertragung, aber nicht automatisch die Freigaberechte. WebDAV WebDAV erweitert HTTP, damit Dateien über Webprotokolle verwaltet werden können. Typische Nutzung: Netzlaufwerk über Webzugriff Dokumentenablage Dateiablage über HTTPS Zusammenarbeit über Webserver Merksatz: WebDAV ermöglicht Dateiverwaltung über HTTP oder HTTPS. Cloud-Speicherfreigaben Cloud-Speicherfreigaben sind verbreitet. Beispiele: Linkfreigabe Freigabe an Benutzer Freigabe an Gruppe externe Freigabe geteilte Ordner Ablaufdatum für Links Risiken: Link öffentlich weitergegeben falsche Person berechtigt Schreibrechte statt Leserechte kein Ablaufdatum keine MFA keine Protokollierung Merksatz: Cloud-Freigaben regelmäßig prüfen. Linkfreigabe Eine Linkfreigabe erlaubt Zugriff über einen Link. Mögliche Varianten: jeder mit Link kann lesen jeder mit Link kann bearbeiten nur bestimmte Personen können zugreifen Link mit Passwort Link mit Ablaufdatum Merksatz: Jeder-mit-Link-Freigaben sind besonders kritisch. Ablaufdatum für Freigaben Freigaben sollten zeitlich begrenzt werden, wenn sie nur vorübergehend benötigt werden. Beispiele: externer Projektpartner Bewerbungsunterlagen temporärer Austausch Dienstleisterzugang Merksatz: Temporäre Freigaben brauchen ein Ablaufdatum. Externe Freigaben Externe Freigaben erlauben Zugriff außerhalb der Organisation. Risiken: falsche Empfänger Datenabfluss unkontrolliertes Weiterleiten fehlende MFA unklare Verantwortlichkeit Datenschutzproblem Schutz: nur bei Bedarf Genehmigung Ablaufdatum Passwort oder MFA Protokollierung Datenklassifizierung beachten Merksatz: Externe Freigaben nur bewusst und kontrolliert einsetzen. Datenklassifizierung bei Freigaben Nicht jede Datei darf gleich behandelt werden. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen Je höher der Schutzbedarf, desto strenger müssen Freigabe, Verschlüsselung und Protokollierung sein. Merksatz: Schutzbedarf bestimmt Freigaberegeln. Verschlüsselung bei Übertragung Daten sollten bei Übertragung verschlüsselt werden. Geeignete Protokolle: SFTP SCP FTPS HTTPS VPN SMB-Verschlüsselung je nach Umgebung Unsicher oder kritisch: FTP Telnet HTTP bei vertraulichen Daten unverschlüsselte Protokolle Merksatz: Vertrauliche Daten nicht unverschlüsselt übertragen. Verschlüsselung bei Speicherung Daten können auch im Ruhezustand verschlüsselt werden. Beispiele: Festplattenverschlüsselung Serververschlüsselung Datenbankverschlüsselung Backup-Verschlüsselung Cloud-Speicherverschlüsselung verschlüsselte Archive Merksatz: Verschlüsselung bei Speicherung schützt bei Diebstahl oder unberechtigtem Zugriff auf Speicher. Passwortgeschützte Archive Archive können mit Passwort geschützt werden. Beispiele: ZIP mit Passwort 7z mit Passwort Wichtig: Passwort getrennt vom Archiv übermitteln starke Verschlüsselung nutzen Passwort nicht in derselben E-Mail senden sichere Alternative prüfen Merksatz: Passwort und Datei nicht über denselben unsicheren Kanal senden. Prüfsummen Prüfsummen helfen, Dateien auf Integrität zu prüfen. Beispiele: SHA-256 SHA-512 Zweck: feststellen, ob Datei verändert wurde Download prüfen Übertragungsfehler erkennen Manipulation erkennen Merksatz: Prüfsumme prüft Integrität, aber nicht automatisch Vertrauenswürdigkeit. Digitale Signatur bei Dateien Eine digitale Signatur kann prüfen, ob eine Datei vom erwarteten Herausgeber stammt und nicht verändert wurde. Beispiele: signierte Softwarepakete signierte Skripte signierte Installationsdateien Merksatz: Signatur prüft Herkunft und Integrität. Malware-Risiko bei Dateiübertragung Dateien können Malware enthalten. Risiken: Makros in Dokumenten Skripte ausführbare Dateien manipulierte PDFs Archive mit Schadsoftware ISO-Dateien LNK-Dateien Webshells bei Uploads Schutz: Malware-Scan Dateitypen begrenzen Makros blockieren Uploads prüfen Benutzer schulen nur vertrauenswürdige Quellen Merksatz: Dateiübertragung kann auch Malware übertragen. Upload-Verzeichnisse Upload-Verzeichnisse sind besonders kritisch. Schutzmaßnahmen: keine Ausführung erlauben Dateitypen begrenzen Dateigröße begrenzen zufällige Dateinamen Malware-Scan Speicherung außerhalb des Webroots Rechte begrenzen Protokollierung Merksatz: Hochgeladene Dateien dürfen nicht ungeprüft ausführbar sein. Synchronisation Synchronisation hält Dateien an mehreren Orten gleich. Beispiele: Cloud-Sync Ordnersynchronisation Server-zu-Server-Sync Notebook und Cloudspeicher mobile Geräte Risiko: Löschungen werden synchronisiert Ransomware verschlüsselt synchronisierte Dateien falsche Version überschreibt richtige Datei Datenabfluss durch falsche Freigabe Merksatz: Synchronisation ist kein Backup. Backup und Dateiübertragung unterscheiden Dateiübertragung: bewegt oder kopiert Dateien Synchronisation: hält Orte gleich Backup: erstellt wiederherstellbare Sicherungen mit Aufbewahrung Merksatz: Kopie, Sync und Backup sind nicht dasselbe. Versionierung Versionierung speichert ältere Dateiversionen. Vorteile: versehentliche Änderungen rückgängig machen ältere Stände wiederherstellen Ransomware-Schäden begrenzen Bearbeitungsverlauf nachvollziehen Grenze: Versionierung ersetzt kein vollständiges Backup. Merksatz: Versionierung hilft, aber ersetzt kein Backup-Konzept. DLP DLP steht für: Data Loss Prevention DLP soll verhindern, dass sensible Daten unkontrolliert abfließen. Beispiele: blockiert Upload vertraulicher Dateien warnt bei Versand personenbezogener Daten verhindert Kopieren auf USB kontrolliert Cloud-Freigaben erkennt Kreditkartendaten oder Personaldaten Merksatz: DLP schützt vor unerwünschtem Datenabfluss. Freigabeprotokollierung Freigaben sollten protokolliert werden. Wichtige Fragen: Wer hat Datei geöffnet? Wer hat Datei geändert? Wer hat Datei gelöscht? Wer hat Freigabe erstellt? Wer hat extern geteilt? Wann wurde Zugriff genutzt? Von welchem Gerät oder welcher IP? Merksatz: Kritische Datenzugriffe müssen nachvollziehbar sein. Besitzer von Freigaben Jede Freigabe sollte einen Verantwortlichen haben. Aufgaben: Zweck prüfen Berechtigungen prüfen alte Freigaben entfernen externe Zugriffe kontrollieren Datenklassifizierung beachten Löschung oder Archivierung entscheiden Merksatz: Freigaben ohne Verantwortlichen werden schnell unübersichtlich. Freigaben regelmäßig prüfen Zu prüfen: Gibt es unnötige Freigaben? Gibt es Jeder- oder Everyone-Rechte? Gibt es externe Benutzer? Gibt es Schreibrechte, obwohl Leserechte reichen? Gibt es alte Projektordner? Gibt es Freigaben ohne Besitzer? Gibt es sensible Daten in falschen Ordnern? Merksatz: Freigaben altern und müssen regelmäßig bereinigt werden. Typische Fehler bei Freigaben Häufige Fehler: Jeder hat Vollzugriff externe Links ohne Ablaufdatum Schreibrechte statt Leserechte alte Benutzer noch berechtigt Gastzugriff aktiv sensible Daten in öffentlichen Ordnern Freigabe ohne Besitzer keine Protokollierung keine Klassifizierung Synchronisation wird als Backup verstanden Merksatz: Die häufigste Freigabenpanne ist zu breiter Zugriff. Fehlersuche bei Dateiübertragung Bei Problemen prüfen: Ist Ziel erreichbar? Stimmt DNS? Stimmt Port? Blockiert Firewall? Ist Protokoll korrekt? Stimmen Benutzername und Passwort? Hat Benutzer Rechte? Ist Speicherplatz frei? Ist Datei gesperrt? Ist Pfad korrekt? Ist Zertifikat gültig? Gibt es Logs? Ist Dateiname erlaubt? Ist Datei zu groß? Merksatz: Dateiübertragungsfehler können Netzwerk-, Rechte-, Speicher- oder Protokollprobleme sein. Fehlerbild: Zugriff verweigert Mögliche Ursachen: Benutzer nicht berechtigt Gruppe fehlt falsche Anmeldung Freigaberecht fehlt Dateisystemrecht fehlt Deny-Regel aktiv Datei gesperrt Konto deaktiviert externe Freigabe abgelaufen MFA oder Conditional Access blockiert Merksatz: Zugriff verweigert ist meistens ein Rechte- oder Identitätsproblem. Fehlerbild: Verbindung nicht möglich Mögliche Ursachen: Server offline DNS falsch Port blockiert Dienst läuft nicht Firewall blockiert VPN fehlt falsches Protokoll Routingproblem falsche Adresse Zugriff nur intern erlaubt Merksatz: Keine Verbindung zuerst mit Netzwerk, Port und Dienst prüfen. Fehlerbild: Dateiübertragung langsam Mögliche Ursachen: geringe Bandbreite hohe Latenz Paketverlust viele kleine Dateien Virenscan langsamer Datenträger WLAN-Probleme VPN-Overhead Serverlast Cloud-Limitierung Merksatz: Langsame Dateiübertragung kann an Netzwerk, Speicher oder Anwendung liegen. Checkliste: sichere Dateiübertragung und Freigaben Zweck der Freigabe klären. Datenklassifizierung prüfen. Benutzer oder Gruppen festlegen. Nur notwendige Rechte vergeben. Schreibrechte begrenzen. Externe Freigaben begründen. Ablaufdatum setzen. Verschlüsselte Übertragung nutzen. Unsichere Protokolle vermeiden. Zugriff protokollieren. Freigaben regelmäßig prüfen. Alte Zugriffe entfernen. Malware-Scan für Uploads nutzen. Backups getrennt planen. Synchronisation nicht als Backup ansehen. Verantwortlichen für Freigabe benennen. Merksatz: Sichere Freigaben sind begrenzt, verschlüsselt, dokumentiert und regelmäßig geprüft. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist SMB? - Wofür wird SMB genutzt? - Welchen Standardport nutzt SMB? - Was ist NFS? - Wofür wird NFS genutzt? - Warum ist klassisches FTP unsicher? - Was ist SFTP? - Was ist SCP? - Was ist FTPS? - Was ist der Unterschied zwischen SFTP und FTPS? - Warum sollte man vertrauliche Daten verschlüsselt übertragen? - Was ist eine Linkfreigabe? - Warum sind Jeder-mit-Link-Freigaben kritisch? - Warum ist ein Ablaufdatum bei Freigaben sinnvoll? - Was ist DLP? - Warum ist Synchronisation kein Backup? - Was ist Versionierung? - Was prüft eine Prüfsumme? - Was prüft eine digitale Signatur? - Warum sind Upload-Verzeichnisse gefährlich? Typische Prüfungsfallen FTP ist unverschlüsselt. SFTP ist nicht FTP mit TLS. FTPS ist nicht SFTP. SFTP nutzt SSH. SCP nutzt SSH. SMB nutzt typischerweise TCP 445. Freigaberechte und Dateisystemrechte zusammen prüfen. Schreibrechte nicht vergeben, wenn Leserechte reichen. Jeder-mit-Link ist besonders kritisch. Externe Freigaben brauchen Kontrolle. Ablaufdatum reduziert Risiko. HTTPS schützt Übertragung, aber nicht automatisch Berechtigung. Prüfsumme prüft Integrität, nicht automatisch Vertrauenswürdigkeit. Digitale Signatur prüft Herkunft und Integrität. Uploads können Malware enthalten. Synchronisation ist kein Backup. Versionierung ersetzt kein vollständiges Backup. DLP schützt vor Datenabfluss. Zugriff verweigert ist nicht automatisch ein Netzwerkproblem. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Dateiübertragung Kopieren oder Bewegen von Dateien Freigabe bereitgestellter Zugriff auf Dateien oder Ordner Leserecht Datei anzeigen oder herunterladen Schreibrecht Datei ändern oder erstellen Löschrecht Datei entfernen SMB Windows-Dateifreigabeprotokoll TCP 445 Standardport für SMB NFS Network File System FTP unverschlüsseltes Dateiübertragungsprotokoll SFTP Dateiübertragung über SSH SCP sicheres Kopieren über SSH FTPS FTP mit TLS HTTPS-Download Dateiabruf über verschlüsseltes Webprotokoll WebDAV Dateiverwaltung über HTTP oder HTTPS Linkfreigabe Zugriff über Link externe Freigabe Freigabe außerhalb der Organisation Ablaufdatum zeitliche Begrenzung einer Freigabe Datenklassifizierung Einteilung nach Schutzbedarf Verschlüsselung bei Übertragung Schutz während Transport Verschlüsselung bei Speicherung Schutz ruhender Daten Prüfsumme Integritätsprüfung einer Datei digitale Signatur Herkunfts- und Integritätsprüfung Upload-Verzeichnis Speicherort für hochgeladene Dateien Synchronisation Abgleich von Dateien zwischen Orten Backup wiederherstellbare Sicherung Versionierung Speicherung älterer Dateiversionen DLP Data Loss Prevention Freigabeprotokollierung Nachvollziehen von Zugriffen IHK-sichere Kurzformulierung Dateiübertragung und Freigaben dienen dazu, Dateien zwischen Benutzern, Systemen und Diensten bereitzustellen oder zu übertragen. Dabei müssen Vertraulichkeit, Integrität und Verfügbarkeit beachtet werden. SMB wird häufig für Windows-Dateifreigaben genutzt und verwendet typischerweise TCP-Port 445. NFS wird häufig in Unix- und Linux-Umgebungen eingesetzt. Klassisches FTP ist unsicher, weil es unverschlüsselt überträgt. SFTP und SCP nutzen SSH, FTPS nutzt FTP mit TLS. Freigaben sollten nach Least Privilege eingerichtet, regelmäßig geprüft, protokolliert und bei externem Zugriff zeitlich begrenzt werden. Synchronisation ist kein Backup, da Änderungen oder Löschungen mit übertragen werden können. Merksätze Dateien können sehr sensible Informationen enthalten. Keine Freigabe ohne Zweck. Rechte so eng wie möglich vergeben. Schreibrechte nur bei Bedarf. Löschrechte besonders vorsichtig vergeben. Freigabe und Dateisystemrechte zusammen prüfen. SMB ist typisch für Windows-Freigaben. SMB nutzt typischerweise TCP 445. Alte SMB-Versionen vermeiden. NFS ist typisch für Unix- und Linux-Freigaben. NFS-Zugriff auf notwendige Clients begrenzen. FTP ist unverschlüsselt. FTP nicht für vertrauliche Daten nutzen. SFTP nutzt SSH. SCP kopiert über SSH. FTPS ist FTP mit TLS. SFTP und FTPS nicht verwechseln. HTTPS schützt Übertragung, aber nicht automatisch Rechte. Jeder-mit-Link ist kritisch. Externe Freigaben kontrollieren. Temporäre Freigaben mit Ablaufdatum versehen. Schutzbedarf bestimmt Freigaberegeln. Vertrauliche Daten verschlüsselt übertragen. Passwort und Datei getrennt übermitteln. Prüfsumme prüft Integrität. Signatur prüft Herkunft und Integrität. Dateiübertragung kann Malware übertragen. Upload-Verzeichnisse besonders absichern. Synchronisation ist kein Backup. Versionierung hilft, ersetzt aber kein Backup. DLP schützt vor Datenabfluss. Freigaben brauchen Verantwortliche. Freigaben regelmäßig prüfen. Zugriff verweigert ist oft ein Rechteproblem. Keine Verbindung ist oft Netzwerk, Port oder Dienst. Sichere Freigaben sind begrenzt, dokumentiert und regelmäßig geprüft. 17.7 Backup, Restore und Notfallmaßnahmen in der Praxis Backups, Wiederherstellung und Notfallmaßnahmen gehören zu den wichtigsten Aufgaben in der Systemadministration. Sie sorgen dafür, dass Systeme und Daten nach Fehlern, Ausfällen oder Angriffen wiederhergestellt werden können. Typische Situationen: - Datei versehentlich gelöscht - Datenbank beschädigt - Server ausgefallen - Ransomware-Angriff - Hardware defekt - falsche Konfiguration eingespielt - Update fehlgeschlagen - Benutzerkonto kompromittiert - Cloud-Ressource gelöscht - Standort nicht erreichbar Merksatz: Backup ist nicht nur Datensicherung, sondern Teil der Wiederherstellungsstrategie. Warum Backup wichtig ist Daten können auf viele Arten verloren gehen. Ursachen: Bedienfehler Hardwaredefekt Softwarefehler Malware Ransomware Sabotage Diebstahl Feuer Wasserschaden Stromausfall fehlerhafte Updates falsche Synchronisation Cloud-Fehlkonfiguration Merksatz: Backup schützt nicht vor jedem Vorfall, aber es ermöglicht Wiederherstellung. Backup und Restore unterscheiden Backup: Sicherung von Daten, Systemen oder Konfigurationen Restore: Wiederherstellung aus einer Sicherung Wichtig: Ein Backup ist nur dann wertvoll, wenn der Restore funktioniert. Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. Backup allein reicht nicht Ein Backup-Konzept ist unvollständig, wenn nicht geklärt ist: was gesichert wird wie oft gesichert wird wohin gesichert wird wie lange gesichert wird wer Zugriff hat wie wiederhergestellt wird wie Restore getestet wird wie Backups geschützt werden wie schnell Systeme wieder laufen müssen Merksatz: Backup ohne Restore-Plan ist nur halbe Sicherheit. Restore-Test Ein Restore-Test prüft, ob eine Wiederherstellung wirklich funktioniert. Zu prüfen: Daten vollständig? Datei lesbar? Datenbank konsistent? Anwendung startet? Rechte korrekt? Konfiguration passend? Schlüssel vorhanden? Wiederherstellungszeit akzeptabel? Dokumentation korrekt? Merksatz: Nur getestete Backups sind verlässliche Backups. Typische Backup-Ziele Backups können gespeichert werden auf: lokaler Festplatte NAS Backup-Server Bandlaufwerk externer Festplatte Cloud-Speicher Objektspeicher zweitem Standort Offline-Medium Immutable Storage Merksatz: Backup-Ziel muss zum Schutzbedarf passen. Lokales Backup Ein lokales Backup liegt in derselben Umgebung wie das Hauptsystem. Vorteile: schnelle Wiederherstellung einfache Verwaltung gute Kontrolle geringe Latenz Nachteile: anfällig bei Feuer, Diebstahl, Ransomware oder Standortausfall Merksatz: Lokales Backup ist schnell, aber nicht ausreichend gegen Standortausfall. Externes Backup Ein externes Backup liegt getrennt vom Hauptsystem. Beispiele: zweiter Standort Cloud-Speicher ausgelagerte Festplatte Bandsicherung außerhalb des Gebäudes Vorteil: Schutz bei Standortschaden Merksatz: Externes Backup schützt besser gegen lokale Katastrophen. Offline-Backup Ein Offline-Backup ist nicht dauerhaft mit dem produktiven System verbunden. Vorteile: besserer Schutz gegen Ransomware besserer Schutz gegen versehentliches Löschen besserer Schutz gegen kompromittierte Adminzugänge Beispiele: getrennte Festplatte Band abgeschottetes Backup-System zeitweise getrenntes Speichermedium Merksatz: Offline-Backup ist nicht dauerhaft erreichbar und dadurch besser geschützt. Immutable Backup Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schützt gegen: Ransomware versehentliche Löschung kompromittierte Adminzugänge Manipulation von Sicherungen Merksatz: Immutable Backup schützt die Wiederherstellungsmöglichkeit. 3-2-1-Regel Die 3-2-1-Regel lautet: 3 Kopien der Daten 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Beispiel: Produktivdaten Backup auf NAS zusätzliches Backup in Cloud oder auf Offline-Medium Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen. 3-2-1-1-0-Regel Eine erweiterte Variante ist: 3 Kopien 2 unterschiedliche Medien 1 Kopie extern 1 Kopie offline oder immutable 0 Fehler bei Restore-Tests Merksatz: Die 0 steht für fehlerfrei getestete Wiederherstellung. Vollbackup Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung vollständige Sicherung weniger Abhängigkeit von anderen Sicherungen Nachteile: benötigt viel Speicherplatz dauert länger erzeugt mehr Last Merksatz: Vollbackup sichert alles, braucht aber mehr Zeit und Speicher. Inkrementelles Backup Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Das letzte Backup kann sein: Vollbackup oder anderes inkrementelles Backup Vorteile: schnell spart Speicherplatz Nachteile: Wiederherstellung benötigt mehrere Sicherungen Kette darf nicht beschädigt sein Merksatz: Inkrementell sichert Änderungen seit dem letzten Backup. Differenzielles Backup Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup. Vorteile: Wiederherstellung einfacher als bei langer inkrementeller Kette weniger Speicher als tägliches Vollbackup Nachteile: wächst bis zum nächsten Vollbackup Merksatz: Differenziell sichert Änderungen seit dem letzten Vollbackup. Vollbackup, inkrementell und differenziell vergleichen Backup-Art Sichert Vorteil Nachteil Vollbackup alles einfache Wiederherstellung viel Speicher und Zeit inkrementell Änderungen seit letztem Backup schnell und platzsparend Restore braucht Backup-Kette differenziell Änderungen seit letztem Vollbackup Restore einfacher als inkrementell wächst mit der Zeit Merksatz: Vollbackup ist vollständig. Inkrementell bezieht sich auf letztes Backup. Differenziell bezieht sich auf letztes Vollbackup. Snapshot Ein Snapshot ist eine Momentaufnahme eines Systems, Datenträgers, Dateisystems oder einer VM. Snapshots sind nützlich vor: Updates Konfigurationsänderungen Tests Softwareinstallationen Migrationen Wichtig: Snapshot ist nicht automatisch ein vollständiges Backup. Merksatz: Snapshot hilft bei schneller Rückkehr, ersetzt aber kein Backup-Konzept. Warum Snapshot kein vollständiges Backup ist Snapshots liegen oft auf demselben System oder Speicher. Risiken: Speicher defekt Ransomware erreicht Snapshot Snapshot-Kette beschädigt Speicherplatz läuft voll Snapshot wird versehentlich gelöscht Standortausfall betrifft Snapshot ebenfalls Merksatz: Snapshot ist praktisch, aber kein Ersatz für getrennte Sicherung. Image-Backup Ein Image-Backup sichert ein komplettes Systemabbild. Typische Inhalte: Betriebssystem Anwendungen Konfiguration Dateien Bootinformationen Vorteil: gesamtes System kann wiederhergestellt werden Merksatz: Image-Backup sichert ein komplettes Systemabbild. Dateibasiertes Backup Ein dateibasiertes Backup sichert ausgewählte Dateien und Ordner. Geeignet für: Benutzerdateien Projektdaten Dokumente Konfigurationsdateien Exportdateien Merksatz: Dateibasiertes Backup sichert ausgewählte Dateien und Ordner. Datenbank-Backup Datenbanken brauchen besondere Sicherungsverfahren. Wichtig: Konsistenz Transaktionen Schreibzugriffe Zeitpunkt der Sicherung Wiederherstellungstest Point-in-Time-Recovery je nach System Merksatz: Datenbankdateien nicht blind kopieren, sondern datenbankgerechte Backups nutzen. Konsistentes Backup Ein konsistentes Backup stellt sicher, dass Daten in einem gültigen Zustand gesichert werden. Beispiel: Eine Datenbank darf nicht mitten in einer Transaktion unsauber kopiert werden. Mittel: Datenbankdump Anwendungsstopp Snapshot mit Anwendungskonsistenz Backup-Agent Transaktionslogs Merksatz: Konsistenz ist bei Datenbanken und Anwendungen besonders wichtig. Point-in-Time-Recovery Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbank wird auf den Zustand von 10:15 Uhr zurückgesetzt. Nützlich bei: versehentlichem Löschen Datenbankfehler fehlerhafter Import beschädigten Daten Merksatz: Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her. RPO RPO steht für: Recovery Point Objective Frage: Wie viel Datenverlust ist maximal akzeptabel? Beispiel: RPO 1 Stunde bedeutet: Es dürfen höchstens Daten von einer Stunde verloren gehen. Merksatz: RPO beschreibt maximal akzeptablen Datenverlust. RTO RTO steht für: Recovery Time Objective Frage: Wie lange darf die Wiederherstellung dauern? Beispiel: RTO 4 Stunden bedeutet: Der Dienst soll spätestens nach 4 Stunden wieder laufen. Merksatz: RTO beschreibt maximal akzeptable Wiederherstellungszeit. RPO und RTO unterscheiden Begriff Frage Beispiel RPO Wie viel Datenverlust ist erlaubt? maximal 1 Stunde RTO Wie lange darf Wiederherstellung dauern? maximal 4 Stunden Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung. Backup-Frequenz Die Backup-Frequenz beschreibt, wie oft gesichert wird. Sie hängt ab von: Änderungsrate der Daten Schutzbedarf RPO Speicherplatz Systemlast Wiederherstellungsanforderung Kosten Merksatz: Je kleiner das erlaubte RPO, desto häufiger muss gesichert werden. Aufbewahrungszeit Die Aufbewahrungszeit beschreibt, wie lange Backups behalten werden. Zu beachten: gesetzliche Vorgaben interne Regeln Speicherplatz Datenschutz Wiederherstellungsbedarf Schutz vor später entdeckten Fehlern Merksatz: Backups müssen lange genug, aber nicht unbegrenzt ohne Grund aufbewahrt werden. Retention Retention bedeutet: Aufbewahrungsregel für Backups. Beispiele: tägliche Backups 14 Tage behalten wöchentliche Backups 8 Wochen behalten monatliche Backups 12 Monate behalten Merksatz: Retention regelt, wann alte Backups gelöscht werden. Großvater-Vater-Sohn-Prinzip Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema. Typisch: Sohn: tägliche Sicherung Vater: wöchentliche Sicherung Großvater: monatliche Sicherung Merksatz: Großvater-Vater-Sohn kombiniert tägliche, wöchentliche und monatliche Backups. Backup-Verschlüsselung Backups sollten verschlüsselt werden, besonders wenn sie sensible Daten enthalten oder extern gespeichert werden. Wichtig: Schlüssel sicher aufbewahren Zugriff begrenzen Wiederherstellung mit Schlüssel testen Schlüsselverlust vermeiden Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn der Schlüssel verfügbar ist. Backup-Zugriffsrechte Backups enthalten oft besonders viele Daten. Deshalb müssen Zugriffe streng begrenzt werden. Zu vermeiden: Jeder kann Backups lesen. normales Benutzerkonto kann Backups löschen. Backup-Admin nutzt Alltagskonto. Ransomware kann Backup-Speicher erreichen. Dienstkonto hat zu viele Rechte. Merksatz: Backups brauchen stärkeren Schutz als viele Produktivdaten. Backup und Ransomware Ransomware versucht häufig, Backups zu löschen oder zu verschlüsseln. Schutzmaßnahmen: Immutable Backup Offline-Backup getrennte Zugangsdaten getrenntes Backupnetz keine normalen Schreibrechte MFA für Backup-Konsole Backup-Logs überwachen Restore regelmäßig testen Merksatz: Backups müssen vor dem Angreifer geschützt werden, nicht nur vor Datenverlust. Backup-Netz Ein Backup-Netz ist ein getrenntes Netzwerk für Backup-Verkehr oder Backup-Systeme. Vorteile: weniger Angriffsfläche weniger Störung des Produktivnetzes bessere Kontrolle Schutz vor lateraler Bewegung gezieltere Firewall-Regeln Merksatz: Backup-Systeme sollten nicht frei aus jedem Netz erreichbar sein. Backup-Monitoring Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Lauf Fehlermeldungen Datenmenge Laufzeit Speicherziel Kapazität Verschlüsselung Aufbewahrung Restore-Tests Merksatz: Ein fehlgeschlagenes Backup muss auffallen, bevor ein Restore gebraucht wird. Backup-Logs Backup-Logs zeigen, was bei einer Sicherung passiert ist. Zu prüfen: Startzeit Endzeit Erfolg oder Fehler gesicherte Datenmenge übersprungene Dateien Warnungen Zielsystem Speicherplatz Berechtigungsfehler Merksatz: Backup-Logs regelmäßig auswerten. Restore-Reihenfolge Bei Wiederherstellung ist die Reihenfolge wichtig. Beispiele: Netzwerk zuerst dann Verzeichnisdienst dann Speicher dann Datenbank dann Anwendung dann Benutzerzugriff Merksatz: Systeme hängen voneinander ab; Restore braucht Reihenfolge. Abhängigkeiten beim Restore Vor einem Restore prüfen: Welche Systeme hängen voneinander ab? Welche Datenbanken werden benötigt? Welche Zugangsdaten werden gebraucht? Welche Zertifikate werden gebraucht? Welche DNS-Namen müssen stimmen? Welche Firewall-Regeln sind nötig? Welche Speicherziele sind erreichbar? Welche Versionen passen zusammen? Merksatz: Restore scheitert oft an vergessenen Abhängigkeiten. Notfallhandbuch Ein Notfallhandbuch beschreibt, was bei schweren Störungen oder Sicherheitsvorfällen zu tun ist. Inhalte: Ansprechpartner Prioritäten Systeme Wiederherstellungsreihenfolge Zugangsdatenablage Kommunikationswege Eskalationswege Backup-Orte Restore-Anleitungen externe Dienstleister Entscheidungsbefugnisse Merksatz: Im Notfall darf nicht erst gesucht werden, wer was weiß. Notfallkontaktliste Eine Notfallkontaktliste enthält wichtige Kontakte. Beispiele: interne IT Geschäftsleitung Datenschutzbeauftragte Sicherheitsverantwortliche Internetprovider Cloud-Anbieter Hardware-Support Softwaredienstleister Versicherer Behörden je nach Vorfall Merksatz: Notfallkontakte müssen aktuell und erreichbar sein. Priorisierung im Notfall Nicht jedes System ist gleich wichtig. Zu priorisieren nach: Geschäftsprozesse kritische Dienste Benutzeranzahl Datenklassifizierung Abhängigkeiten RTO RPO Sicherheitslage rechtliche Anforderungen Merksatz: Im Notfall zuerst die wichtigsten Dienste wiederherstellen. Business Continuity Business Continuity bedeutet: Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen. Dazu gehören: Notfallplanung Ersatzprozesse Backup Wiederanlauf Kommunikation Verantwortlichkeiten Tests Merksatz: Business Continuity betrachtet nicht nur IT, sondern den Betrieb insgesamt. Disaster Recovery Disaster Recovery beschreibt die Wiederherstellung von IT nach schweren Störungen. Beispiele: Rechenzentrumsausfall Brand Ransomware massiver Hardwaredefekt Cloud-Ausfall Datenverlust Merksatz: Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall. Failover Failover bedeutet: Ein Dienst wird bei Ausfall automatisch oder manuell auf ein Ersatzsystem umgeschaltet. Beispiele: zweiter Server übernimmt zweite Firewall übernimmt anderer Standort übernimmt Datenbank-Replikat wird aktiv Merksatz: Failover reduziert Ausfallzeit, ersetzt aber kein Backup. Redundanz Redundanz bedeutet: wichtige Komponenten sind mehrfach vorhanden. Beispiele: zwei Netzteile zwei Firewalls mehrere Server mehrere Internetleitungen RAID Cluster mehrere Standorte Merksatz: Redundanz erhöht Verfügbarkeit, ersetzt aber kein Backup. Replikation Replikation bedeutet: Daten werden auf ein anderes System kopiert, oft nahezu in Echtzeit. Vorteile: schnelle Umschaltung höhere Verfügbarkeit Risiko: Fehler, Löschung oder Verschlüsselung können mitrepliziert werden. Merksatz: Replikation ist kein Backup. Backup, Redundanz und Replikation unterscheiden Begriff Ziel Grenze Backup Wiederherstellung alter Zustände Restore dauert Redundanz Ausfall vermeiden oder abfedern schützt nicht vor Datenfehlern Replikation Daten auf zweitem System aktuell halten Fehler werden oft mitkopiert Merksatz: Backup schützt Wiederherstellung. Redundanz schützt Verfügbarkeit. Replikation hält Daten aktuell. Notfallübung Eine Notfallübung testet, ob Notfallpläne funktionieren. Zu prüfen: Erreichen wir Kontakte? Finden wir Dokumentation? Funktionieren Zugänge? Können wir Backups wiederherstellen? Stimmen RTO und RPO? Funktioniert Kommunikation? Wer entscheidet was? Wo fehlen Informationen? Merksatz: Notfallpläne müssen geübt werden. Kommunikation im Notfall Im Notfall muss klar sein: Wer informiert wen? Wer entscheidet? Welche Kanäle werden genutzt? Was wird Benutzern gesagt? Was wird Kunden gesagt? Was wird dokumentiert? Wer spricht mit Dienstleistern? Wer spricht mit Behörden, falls nötig? Merksatz: Schlechte Kommunikation verschlimmert technische Notfälle. Dokumentation beim Restore Beim Restore dokumentieren: Grund der Wiederherstellung Zeitpunkt betroffene Systeme verwendetes Backup Restore-Schritte Probleme Dauer Ergebnis Datenverlust beteiligte Personen Nacharbeiten Merksatz: Restore-Dokumentation hilft bei Nachvollziehbarkeit und Verbesserung. Nacharbeiten nach Restore Nach einem Restore prüfen: Funktioniert der Dienst? Sind Daten vollständig? Stimmen Benutzerrechte? Sind Logs aktiv? Funktionieren Backups wieder? Ist Monitoring aktiv? Sind Zertifikate gültig? Sind Schnittstellen erreichbar? Gibt es Sicherheitslücken? Muss Ursache behoben werden? Merksatz: Nach Restore ist die Arbeit nicht automatisch beendet. Typische Fehler bei Backup und Restore Häufige Fehler: Backups nie getestet Backupziel voll Backup läuft mit Fehlern Backups nicht verschlüsselt Schlüssel nicht auffindbar Backups im selben Netz wie Ransomware keine Offline- oder Immutable-Kopie nur Synchronisation statt Backup Datenbank unsauber gesichert Restore-Reihenfolge unbekannt Dokumentation veraltet alte Systeme nicht mehr kompatibel Merksatz: Der häufigste Backup-Fehler ist: Man merkt das Problem erst beim Restore. Checkliste: Backup-Konzept prüfen Welche Daten sind kritisch? Welche Systeme sind kritisch? RPO festlegen. RTO festlegen. Backup-Art wählen. Backup-Frequenz festlegen. Aufbewahrung festlegen. Backup-Ziel festlegen. Verschlüsselung prüfen. Zugriffsschutz prüfen. Offline- oder Immutable-Kopie planen. Backup-Logs überwachen. Restore regelmäßig testen. Notfallhandbuch erstellen. Verantwortlichkeiten festlegen. Dokumentation aktuell halten. Merksatz: Backup-Konzept muss geplant, geschützt, überwacht und getestet werden. Checkliste: Restore durchführen Vorfall bewerten. Ursache eingrenzen. Passendes Backup auswählen. Integrität des Backups prüfen. Abhängigkeiten prüfen. Zielsystem vorbereiten. Restore durchführen. Funktion testen. Rechte prüfen. Logs prüfen. Monitoring prüfen. Backupbetrieb wieder aktivieren. Benutzer informieren. Ergebnis dokumentieren. Ursache dauerhaft beheben. Merksatz: Restore ist ein kontrollierter Prozess, nicht nur Zurückkopieren von Dateien. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Backup? - Was ist ein Restore? - Warum ist ein Restore-Test wichtig? - Was bedeutet die 3-2-1-Regel? - Was ist ein Vollbackup? - Was ist ein inkrementelles Backup? - Was ist ein differenzielles Backup? - Was ist ein Snapshot? - Warum ersetzt ein Snapshot kein Backup? - Was ist ein Image-Backup? - Warum brauchen Datenbanken besondere Backups? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist Retention? - Was ist das Großvater-Vater-Sohn-Prinzip? - Warum sollten Backups verschlüsselt werden? - Was ist ein Immutable Backup? - Warum ist Replikation kein Backup? - Was ist Disaster Recovery? - Was ist Business Continuity? - Was ist ein Notfallhandbuch? Typische Prüfungsfallen Backup und Restore unterscheiden. Backup verhindert keinen Angriff. Backup ermöglicht Wiederherstellung. Backup ohne Restore-Test ist unsicher. Synchronisation ist kein Backup. Replikation ist kein Backup. Redundanz ist kein Backup. Snapshot ist nicht automatisch Backup. Vollbackup sichert alles. Inkrementell sichert seit letztem Backup. Differenziell sichert seit letztem Vollbackup. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Backups müssen geschützt werden. Backups können Ziel von Ransomware sein. Verschlüsselung braucht Schlüsselverwaltung. Datenbank-Backups müssen konsistent sein. Restore braucht Reihenfolge. Notfallhandbuch aktuell halten. Notfallpläne müssen getestet werden. Nach Restore Funktion und Sicherheit prüfen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Backup Sicherung von Daten oder Systemen Restore Wiederherstellung aus Sicherung Restore-Test Prüfung der Wiederherstellung lokales Backup Sicherung in gleicher Umgebung externes Backup Sicherung an getrenntem Ort Offline-Backup nicht dauerhaft verbundenes Backup Immutable Backup unveränderliches Backup 3-2-1-Regel drei Kopien, zwei Medien, eine externe Kopie Vollbackup vollständige Sicherung inkrementelles Backup Änderungen seit letztem Backup differenzielles Backup Änderungen seit letztem Vollbackup Snapshot Momentaufnahme Image-Backup vollständiges Systemabbild dateibasiertes Backup Sicherung ausgewählter Dateien Datenbank-Backup konsistente Sicherung einer Datenbank Point-in-Time-Recovery Wiederherstellung zu bestimmtem Zeitpunkt RPO maximal akzeptabler Datenverlust RTO maximal akzeptable Wiederherstellungszeit Backup-Frequenz Häufigkeit der Sicherung Retention Aufbewahrungsregel Großvater-Vater-Sohn Backup-Rotationsschema Backup-Verschlüsselung Schutz gesicherter Daten Backup-Netz getrenntes Netz für Backup Backup-Monitoring Überwachung von Sicherungen Notfallhandbuch Anleitung für schwere Störungen Business Continuity Aufrechterhaltung von Geschäftsprozessen Disaster Recovery IT-Wiederherstellung nach schwerem Vorfall Failover Umschaltung auf Ersatzsystem Redundanz mehrfach vorhandene Komponenten Replikation Kopie aktueller Daten auf anderes System Notfallübung Test des Notfallplans IHK-sichere Kurzformulierung Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen, während Restore die Wiederherstellung aus dieser Sicherung bezeichnet. Backups schützen nicht direkt vor Angriffen oder Ausfällen, ermöglichen aber die Wiederherstellung nach Datenverlust, Ransomware, Fehlkonfiguration oder Hardwaredefekt. Wichtige Konzepte sind Vollbackup, inkrementelles Backup, differenzielles Backup, Snapshot, Image-Backup, RPO, RTO, Retention, 3-2-1-Regel, Offline-Backup und Immutable Backup. Backups müssen geschützt, verschlüsselt, überwacht und regelmäßig durch Restore-Tests geprüft werden. Replikation, Redundanz und Synchronisation ersetzen kein Backup. Ein gutes Notfallkonzept umfasst Wiederherstellungsreihenfolge, Verantwortlichkeiten, Notfallhandbuch, Kommunikation und regelmäßige Übungen. Merksätze Backup = Sicherung. Restore = Wiederherstellung. Backup ohne Restore-Test ist unsicher. Backup schützt nicht vor jedem Vorfall, aber ermöglicht Wiederherstellung. Synchronisation ist kein Backup. Replikation ist kein Backup. Redundanz ist kein Backup. Snapshot ist nicht automatisch Backup. Lokales Backup ist schnell, aber nicht genug gegen Standortausfall. Externes Backup schützt gegen Standortschaden. Offline-Backup schützt gegen dauerhaften Zugriff durch Angreifer. Immutable Backup schützt vor Veränderung und Löschung. 3-2-1 reduziert Gesamtrisiko. Vollbackup sichert alles. Inkrementell sichert Änderungen seit letztem Backup. Differenziell sichert Änderungen seit letztem Vollbackup. Datenbank-Backups müssen konsistent sein. Point-in-Time-Recovery stellt einen Zeitpunkt wieder her. RPO = erlaubter Datenverlust. RTO = erlaubte Wiederherstellungszeit. Backup-Frequenz hängt vom RPO ab. Retention regelt Aufbewahrung. Verschlüsseltes Backup braucht verfügbaren Schlüssel. Backups brauchen strenge Zugriffsrechte. Ransomware greift oft Backups an. Backup-Monitoring ist Pflicht. Backup-Logs regelmäßig prüfen. Restore braucht Reihenfolge. Abhängigkeiten vor Restore prüfen. Notfallhandbuch aktuell halten. Business Continuity betrachtet Geschäftsprozesse. Disaster Recovery betrachtet IT-Wiederherstellung. Failover reduziert Ausfallzeit. Notfallpläne üben. Kommunikation im Notfall vorbereiten. Restore dokumentieren. Nach Restore Funktion, Sicherheit und Backupbetrieb prüfen. 17.8 Dokumentation, Change Management und sichere Administration in der Praxis Dokumentation und Change Management sorgen dafür, dass IT-Systeme nachvollziehbar, wartbar und sicher betrieben werden können. In der Praxis reicht es nicht, dass ein System irgendwie funktioniert. Wichtig ist auch: - Was wurde eingerichtet? - Warum wurde es eingerichtet? - Wer ist verantwortlich? - Welche Abhängigkeiten gibt es? - Welche Zugangsdaten oder Rollen werden benötigt? - Welche Änderungen wurden durchgeführt? - Wie kann ein Fehler behoben werden? - Wie kann das System wiederhergestellt werden? Merksatz: Gute Administration ist nicht nur Technik, sondern auch Nachvollziehbarkeit. Warum Dokumentation wichtig ist Ohne Dokumentation entstehen viele Probleme. Beispiele: niemand kennt die IP-Adresse eines Servers Firewall-Regeln sind unverständlich Passwörter oder Schlüssel sind unklar verwaltet Abhängigkeiten sind unbekannt alte Systeme werden vergessen Fehler werden mehrfach gesucht Vertretung ist schwierig Notfälle dauern länger Änderungen können nicht nachvollzogen werden Merksatz: Was nicht dokumentiert ist, ist im Betrieb schwer kontrollierbar. Dokumentation als Sicherheitsmaßnahme Dokumentation ist auch eine Sicherheitsmaßnahme. Sie hilft bei: Rechteprüfung Notfallmaßnahmen Backup und Restore Schwachstellenmanagement Patchmanagement Incident Response Auditierung Zugriffskontrolle Change Management Betriebssicherheit Merksatz: Gute Dokumentation reduziert Fehler, Ausfallzeiten und Sicherheitsrisiken. Was dokumentiert werden sollte Typische Inhalte: Systeme Server Netzwerkgeräte IP-Adressen Hostnamen Dienste Ports Firewall-Regeln VLANs Subnetze DNS-Einträge DHCP-Bereiche Benutzerrollen Gruppen Backup-Ziele Restore-Abläufe Zertifikate Lizenzen Wartungsverträge Verantwortliche Notfallkontakte Merksatz: Dokumentiert werden sollte alles, was für Betrieb, Sicherheit und Wiederherstellung wichtig ist. Systemdokumentation Eine Systemdokumentation beschreibt ein einzelnes System oder einen Dienst. Typische Inhalte: Systemname Zweck Standort IP-Adresse Betriebssystem installierte Dienste offene Ports Abhängigkeiten verantwortliche Person Backup-Regel Monitoring-Regel Wartungsfenster Besonderheiten Wiederherstellungsschritte Merksatz: Systemdokumentation erklärt, wofür ein System da ist und wie es betrieben wird. Netzwerkdokumentation Eine Netzwerkdokumentation beschreibt Aufbau und Kommunikation im Netzwerk. Typische Inhalte: Netzplan Subnetze VLANs Router Switches Firewalls WLANs VPNs IP-Adressbereiche DHCP-Bereiche DNS-Struktur Trunk-Ports Access-Ports Uplinks WAN-Anbindungen Merksatz: Netzwerkdokumentation macht Verbindungen und Abhängigkeiten sichtbar. IP-Adressdokumentation IP-Adressen sollten nachvollziehbar verwaltet werden. Zu dokumentieren: IP-Adresse Hostname Gerät Standort Zweck MAC-Adresse bei Bedarf DHCP oder statisch VLAN Verantwortlicher Reservierung Datum der Änderung Merksatz: IP-Adressen nicht nur merken, sondern sauber verwalten. IPAM IPAM steht für: IP Address Management IPAM beschreibt die strukturierte Verwaltung von IP-Adressen, Subnetzen und Zuordnungen. Vorteile: weniger IP-Konflikte bessere Übersicht klare Reservierungen einfachere Fehlersuche bessere Planung saubere Dokumentation Merksatz: IPAM ist geordnete IP-Adressverwaltung. Netzplan Ein Netzplan stellt die Netzwerkstruktur grafisch dar. Er kann zeigen: Standorte Router Firewalls Switches Server Clients VLANs Subnetze DMZ VPN-Verbindungen Internetzugänge wichtige Dienste Merksatz: Netzplan zeigt, wie Systeme miteinander verbunden sind. Physischer und logischer Netzplan Physischer Netzplan: zeigt Geräte, Kabel, Ports, Racks und Standorte Logischer Netzplan: zeigt VLANs, Subnetze, Routing, Firewall-Zonen und Dienste Merksatz: Physisch zeigt Verkabelung. Logisch zeigt Kommunikationsstruktur. Portdokumentation Bei Switches und Netzwerkgeräten sollten Ports dokumentiert werden. Zu dokumentieren: Portnummer angeschlossenes Gerät VLAN Access oder Trunk Geschwindigkeit PoE Beschreibung Patchpanel-Port Raum oder Dose Merksatz: Portdokumentation spart Zeit bei Fehlersuche und Umzügen. Firewall-Dokumentation Firewall-Regeln sollten verständlich dokumentiert sein. Wichtige Angaben: Regelname Zweck Quelle Ziel Port Protokoll Richtung Aktion Verantwortlicher Datum Ablaufdatum bei temporären Regeln Ticket oder Änderungsnummer Merksatz: Jede Firewall-Regel braucht einen Zweck. Temporäre Firewall-Regeln Temporäre Regeln sollten ein Ablaufdatum haben. Problem ohne Ablaufdatum: Testregel bleibt dauerhaft aktiv. Angriffsfläche wächst. Niemand kennt den Zweck. Regel wird vergessen. Merksatz: Temporäre Regeln ohne Ablaufdatum werden oft zu dauerhaften Risiken. DNS-Dokumentation DNS-Einträge sollten sauber gepflegt werden. Zu dokumentieren: Name IP-Adresse Recordtyp Zweck Verantwortlicher TTL internes oder externes DNS betroffener Dienst Änderungsdatum Merksatz: DNS ist kritisch, weil viele Dienste von Namen abhängig sind. Zertifikatsdokumentation Zertifikate müssen überwacht und dokumentiert werden. Wichtige Angaben: Domainname Aussteller Ablaufdatum verwendeter Dienst Speicherort Erneuerungsverfahren Verantwortlicher automatische Erneuerung ja oder nein Merksatz: Abgelaufene Zertifikate verursachen vermeidbare Ausfälle. Backup-Dokumentation Backup-Dokumentation beschreibt, was wie gesichert wird. Wichtige Angaben: System Datenumfang Backup-Art Backup-Ziel Frequenz Aufbewahrung Verschlüsselung Verantwortlicher letzter Restore-Test Wiederherstellungsanleitung Merksatz: Backup-Dokumentation muss auch den Restore beschreiben. Berechtigungsdokumentation Berechtigungen sollten nachvollziehbar dokumentiert werden. Zu dokumentieren: Rolle Gruppe Zweck zugeordnete Rechte Verantwortlicher Genehmigungsprozess Rezertifizierung Kritikalität externe Zugriffe Merksatz: Rechte müssen erklärbar und überprüfbar sein. Betriebsdokumentation Betriebsdokumentation beschreibt, wie ein System im Alltag betrieben wird. Inhalte: Start und Stopp Wartung Updates Monitoring Logs Backup typische Fehler Eskalationswege Ansprechpartner Notfallmaßnahmen Merksatz: Betriebsdokumentation hilft beim täglichen Betrieb. Runbook Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen. Beispiele: Dienst neu starten Zertifikat erneuern Backup prüfen Speicherplatz freigeben Benutzer entsperren VPN-Störung prüfen Datenbank wiederherstellen Notfallzugang aktivieren Merksatz: Runbook macht Abläufe wiederholbar und nachvollziehbar. Standard Operating Procedure Standard Operating Procedure wird oft abgekürzt: SOP Eine SOP beschreibt einen standardisierten Ablauf. Beispiele: Benutzer anlegen Notebook ausgeben Server patchen Firewall-Regel beantragen Backup-Restore testen Sicherheitsvorfall melden Merksatz: SOP = standardisierte Vorgehensweise. Wissensdatenbank Eine Wissensdatenbank sammelt wiederverwendbares Wissen. Beispiele: Fehlerlösungen Anleitungen Standardprozesse häufige Fragen Konfigurationshinweise Netzpläne Checklisten Lessons Learned Merksatz: Wissensdatenbank verhindert, dass Wissen nur in einzelnen Köpfen bleibt. Dokumentation aktuell halten Dokumentation ist nur hilfreich, wenn sie aktuell bleibt. Typische Probleme: Server wurde geändert, Dokumentation nicht IP-Adresse wurde geändert, Liste nicht Firewall-Regel wurde gelöscht, Dokumentation nicht Dienst wurde umgezogen, Runbook nicht angepasst Merksatz: Veraltete Dokumentation kann gefährlicher sein als keine Dokumentation, weil sie falsche Sicherheit gibt. Dokumentationsqualität Gute Dokumentation ist: verständlich aktuell auffindbar vollständig genug nicht unnötig kompliziert einheitlich strukturiert versioniert überprüfbar für Vertretung nutzbar Merksatz: Dokumentation muss im Alltag nutzbar sein. Change Management Change Management bedeutet: Änderungen werden kontrolliert geplant, bewertet, freigegeben, umgesetzt, getestet und dokumentiert. Typische Änderungen: Firewall-Regel ändern Server aktualisieren DNS-Eintrag ändern Zertifikat erneuern Benutzerrechte ändern neue Software installieren Netzwerk umkonfigurieren Backup-Plan ändern Cloud-Rolle vergeben Datenbank migrieren Merksatz: Change Management kontrolliert Änderungen im IT-Betrieb. Warum Change Management wichtig ist Unkontrollierte Änderungen führen oft zu Fehlern. Beispiele: Dienst fällt aus Firewall blockiert Anwendung falscher DNS-Eintrag Benutzer verlieren Zugriff Backup läuft nicht mehr Sicherheitslücke entsteht Dokumentation stimmt nicht mehr niemand weiß, was geändert wurde Merksatz: Viele Störungen entstehen durch nicht dokumentierte Änderungen. Change Ein Change ist eine geplante Änderung an einem IT-System, einem Dienst, einer Konfiguration oder einem Prozess. Beispiele: Update installieren VLAN ändern Server verschieben Rechte anpassen Zertifikat ersetzen neue Anwendung bereitstellen Merksatz: Change = geplante Änderung im IT-Betrieb. Standard Change Ein Standard Change ist eine wiederkehrende, bekannte und risikoarme Änderung. Beispiele: Standardbenutzer anlegen Drucker zuweisen Routineupdate nach Prozess Passwort zurücksetzen freigegebene Standardsoftware installieren Merkmale: häufig durchgeführt dokumentierter Ablauf geringes Risiko meist vorab genehmigt Merksatz: Standard Change ist bekannte Routineänderung. Normal Change Ein Normal Change ist eine geplante Änderung, die bewertet und freigegeben werden muss. Beispiele: neue Firewall-Regel größeres Update neue Serverrolle Änderung an Produktivdatenbank Netzwerkänderung Umzug eines Dienstes Merksatz: Normal Change braucht Prüfung und Freigabe. Emergency Change Ein Emergency Change ist eine dringende Änderung, die schnell durchgeführt werden muss. Beispiele: kritische Sicherheitslücke schließen Produktionsausfall beheben kompromittierten Zugang sperren Firewall-Regel im Angriff anpassen defekten Dienst kurzfristig umstellen Wichtig: auch Emergency Changes müssen nachträglich dokumentiert werden. Merksatz: Emergency Change ist dringend, aber nicht dokumentationsfrei. Change Request Ein Change Request ist ein Änderungsantrag. Typische Inhalte: Beschreibung der Änderung Grund betroffene Systeme Risiko geplanter Zeitpunkt Verantwortlicher Testplan Rollback-Plan Freigabe Kommunikationsbedarf Merksatz: Change Request beschreibt, was geändert werden soll und warum. Risikobewertung bei Changes Vor Änderungen sollte das Risiko bewertet werden. Fragen: Welche Systeme sind betroffen? Welche Benutzer sind betroffen? Kann es Ausfall geben? Gibt es Sicherheitsrisiken? Gibt es Abhängigkeiten? Gibt es ein Backup? Gibt es einen Rollback-Plan? Wurde getestet? Wann ist ein geeignetes Wartungsfenster? Merksatz: Änderung ohne Risikobewertung ist Blindflug. Wartungsfenster Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen. Ziel: Auswirkungen auf Benutzer reduzieren Beteiligte informieren Ressourcen einplanen Rollback ermöglichen Monitoring beobachten Merksatz: Wartungsfenster reduziert Betriebsrisiken bei Änderungen. Rollback-Plan Ein Rollback-Plan beschreibt, wie eine Änderung rückgängig gemacht werden kann. Beispiele: Backup zurückspielen Snapshot zurücksetzen alte Konfigurationsdatei wiederherstellen alte Softwareversion installieren DNS-Eintrag zurücksetzen Firewall-Regel entfernen Merksatz: Vor Änderung wissen, wie man zurückkommt. Testplan Ein Testplan beschreibt, wie geprüft wird, ob eine Änderung erfolgreich war. Beispiele: Dienst startet Webseite erreichbar Login funktioniert Datenbank erreichbar Backup läuft Monitoring grün Benutzer kann arbeiten Logs zeigen keine Fehler Merksatz: Change ist erst abgeschlossen, wenn Funktion geprüft wurde. Kommunikation bei Changes Bei Änderungen müssen betroffene Personen informiert werden. Zu klären: Wer ist betroffen? Wann findet Änderung statt? Welche Einschränkungen gibt es? Wie lange dauert es? Was ist nach der Änderung zu prüfen? Wer ist Ansprechpartner? Was passiert bei Problemen? Merksatz: Gute Kommunikation verhindert unnötige Störungen und Rückfragen. Change-Freigabe Kritische Änderungen sollten freigegeben werden. Mögliche Freigaben durch: Systemverantwortliche IT-Leitung Fachbereich Sicherheitsverantwortliche Datenschutz Change Advisory Board je nach Organisation Merksatz: Kritische Änderungen nicht ungeprüft durchführen. Change Advisory Board Change Advisory Board wird oft abgekürzt: CAB Ein CAB bewertet und genehmigt wichtige Änderungen. Es prüft zum Beispiel: Risiko Auswirkung Zeitpunkt Abhängigkeiten Rollback Kommunikation Priorität Merksatz: CAB koordiniert wichtige Changes. Configuration Management Configuration Management bedeutet: Konfigurationen von Systemen werden strukturiert verwaltet. Dazu gehören: Soll-Zustand Ist-Zustand Änderungen Versionen Abhängigkeiten Dokumentation Standardisierung Merksatz: Configuration Management hält technische Zustände kontrollierbar. Configuration Item Configuration Item wird oft abgekürzt: CI Ein CI ist ein verwaltetes Element der IT-Umgebung. Beispiele: Server Anwendung Datenbank Switch Firewall Laptop Dienst Lizenz Zertifikat virtuelle Maschine Merksatz: CI = verwaltetes IT-Element. CMDB CMDB steht für: Configuration Management Database Eine CMDB enthält Informationen über Configuration Items und deren Beziehungen. Beispiele: Server gehört zu Anwendung Anwendung nutzt Datenbank Datenbank läuft auf VM VM liegt auf Host Dienst nutzt Zertifikat Firewall-Regel erlaubt Zugriff Merksatz: CMDB zeigt Systeme und Abhängigkeiten strukturiert. Asset Management Asset Management verwaltet IT-Vermögenswerte. Beispiele: Geräte Server Laptops Monitore Smartphones Lizenzen Verträge Zubehör Ziel: wissen, was vorhanden ist, wem es gehört, wo es ist und welchen Status es hat Merksatz: Asset Management verwaltet IT-Bestand. Inventarisierung Inventarisierung ist die Erfassung von IT-Objekten. Zu erfassen: Gerätename Seriennummer Standort Benutzer IP-Adresse Betriebssystem Softwarestand Garantie Kaufdatum Zustand Verantwortlicher Merksatz: Ohne Inventar ist Verwaltung und Sicherheit unvollständig. Lizenzmanagement Lizenzmanagement stellt sicher, dass Software korrekt lizenziert ist. Zu prüfen: Anzahl installierter Lizenzen Anzahl gekaufter Lizenzen Lizenzbedingungen Laufzeiten Abonnements Wartungsverträge Nutzerzuordnung Auditfähigkeit Merksatz: Lizenzmanagement verhindert Unterlizenzierung, unnötige Kosten und Auditprobleme. Versionierung von Konfigurationen Konfigurationen sollten versioniert werden. Vorteile: Änderungen nachvollziehen alte Zustände wiederherstellen Fehler vergleichen Zusammenarbeit ermöglichen Rollback erleichtern Beispiele: Firewall-Konfiguration Switch-Konfiguration Skripte Webserver-Konfiguration Infrastrukturdefinitionen Merksatz: Versionierung macht Änderungen nachvollziehbar. Konfigurationsbackup Viele Geräte brauchen eigene Konfigurationsbackups. Beispiele: Switches Router Firewalls WLAN-Controller NAS Hypervisor Backup-Systeme Merksatz: Nicht nur Daten, auch Konfigurationen sichern. Passwort- und Secret-Dokumentation Passwörter, Tokens und Schlüssel gehören nicht in normale Dokumentation. Sie gehören in sichere Systeme wie: Passwortmanager Secret Manager PAM-System verschlüsselter Tresor Dokumentation sollte nur beschreiben: wo Secret verwaltet wird wer Zugriff beantragen darf wofür es genutzt wird Merksatz: Dokumentation beschreibt Secrets, speichert sie aber nicht im Klartext. Sichere Ablage von Dokumentation Dokumentation kann selbst sensible Informationen enthalten. Beispiele: Netzpläne IP-Adressen Firewall-Regeln Adminwege Backup-Orte Systemdetails Notfallprozesse Schutzmaßnahmen: Zugriff begrenzen Rollen nutzen Versionierung Backup Verschlüsselung je nach Schutzbedarf Änderungsverlauf regelmäßige Prüfung Merksatz: IT-Dokumentation ist selbst schützenswert. Lessons Learned Lessons Learned bedeutet: Aus Fehlern, Störungen und Projekten werden Verbesserungen abgeleitet. Fragen: Was ist passiert? Warum ist es passiert? Was hat gut funktioniert? Was hat nicht funktioniert? Welche Dokumentation fehlte? Welche Prozesse müssen angepasst werden? Welche technische Maßnahme fehlt? Wie verhindern wir Wiederholung? Merksatz: Lessons Learned macht Erfahrungen nutzbar. Post-Incident-Review Ein Post-Incident-Review ist die Auswertung nach einem Vorfall. Ziel: Ursache verstehen Reaktion bewerten Dokumentation verbessern Sicherheitslücken schließen Prozesse anpassen Wiederholung verhindern Merksatz: Nach einem Vorfall sollte nicht nur repariert, sondern gelernt werden. Typische Praxisfehler Häufige Fehler: keine Dokumentation veraltete Dokumentation IP-Adressen nur im Kopf Firewall-Regeln ohne Zweck temporäre Regeln ohne Ablaufdatum keine Netzpläne keine Restore-Anleitung keine Verantwortlichen Änderungen ohne Ticket kein Rollback-Plan keine Kommunikation Secrets in Klartextdokumenten Konfigurationen nicht gesichert Lizenzen nicht geprüft Merksatz: Fehlende Dokumentation wird spätestens im Notfall teuer. Checkliste: gute IT-Dokumentation Systeme erfassen. Dienste erfassen. IP-Adressen dokumentieren. Netzpläne pflegen. Firewall-Regeln beschreiben. DNS-Einträge dokumentieren. Zertifikate überwachen. Backup und Restore beschreiben. Rechte und Rollen dokumentieren. Verantwortliche benennen. Runbooks erstellen. Notfallkontakte pflegen. Änderungen versionieren. Dokumentation regelmäßig prüfen. Zugriff auf Dokumentation absichern. Merksatz: Dokumentation muss aktuell, auffindbar und verständlich sein. Checkliste: Change Management Änderung beschreiben. Grund nennen. Betroffene Systeme bestimmen. Risiko bewerten. Abhängigkeiten prüfen. Backup oder Snapshot prüfen. Wartungsfenster festlegen. Testplan erstellen. Rollback-Plan erstellen. Freigabe einholen. Betroffene informieren. Änderung durchführen. Funktion testen. Monitoring prüfen. Dokumentation aktualisieren. Ergebnis abschließen. Merksatz: Change Management begleitet die Änderung von Planung bis Abschluss. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist IT-Dokumentation wichtig? - Was gehört in eine Systemdokumentation? - Was gehört in eine Netzwerkdokumentation? - Was ist ein Netzplan? - Was ist der Unterschied zwischen physischem und logischem Netzplan? - Was ist IPAM? - Warum sollten Firewall-Regeln dokumentiert werden? - Warum brauchen temporäre Regeln ein Ablaufdatum? - Warum müssen Zertifikate dokumentiert werden? - Was ist ein Runbook? - Was ist eine SOP? - Was ist Change Management? - Was ist ein Change Request? - Was ist ein Standard Change? - Was ist ein Normal Change? - Was ist ein Emergency Change? - Was ist ein Rollback-Plan? - Was ist ein Wartungsfenster? - Was ist ein CAB? - Was ist eine CMDB? - Was ist Asset Management? - Warum sollten Konfigurationen versioniert werden? Typische Prüfungsfallen Dokumentation ist keine Nebensache. Veraltete Dokumentation kann falsche Entscheidungen verursachen. Netzplan und IP-Liste sind nicht dasselbe. Physischer Netzplan zeigt Verkabelung. Logischer Netzplan zeigt Netzwerkstruktur. Firewall-Regeln brauchen Zweck und Verantwortlichen. Temporäre Regeln brauchen Ablaufdatum. Zertifikate müssen vor Ablauf überwacht werden. Runbook ist konkrete Anleitung. SOP ist standardisierter Ablauf. Change Management verhindert unkontrollierte Änderungen. Emergency Change muss nachträglich dokumentiert werden. Rollback-Plan vor Änderung erstellen. Testplan nach Änderung durchführen. Wartungsfenster reduziert Auswirkungen. CMDB zeigt IT-Elemente und Beziehungen. Asset Management verwaltet Bestand. Secrets gehören nicht in Klartextdokumentation. Konfigurationen sollten gesichert und versioniert werden. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Dokumentation nachvollziehbare Beschreibung von IT-Systemen Systemdokumentation Beschreibung eines Systems oder Dienstes Netzwerkdokumentation Beschreibung der Netzwerkstruktur IPAM IP Address Management Netzplan grafische Darstellung eines Netzwerks physischer Netzplan Darstellung von Geräten, Kabeln und Ports logischer Netzplan Darstellung von VLANs, Subnetzen und Routing Portdokumentation Zuordnung von Switchports und Anschlüssen Firewall-Dokumentation Beschreibung von Firewall-Regeln DNS-Dokumentation Verwaltung von DNS-Einträgen Zertifikatsdokumentation Übersicht über Zertifikate und Ablaufdaten Backup-Dokumentation Beschreibung von Sicherung und Wiederherstellung Betriebsdokumentation Anleitung für laufenden Betrieb Runbook Schritt-für-Schritt-Anleitung SOP Standard Operating Procedure Wissensdatenbank Sammlung wiederverwendbaren Wissens Change Management kontrollierter Änderungsprozess Change geplante Änderung Standard Change bekannte risikoarme Routineänderung Normal Change geplante Änderung mit Prüfung Emergency Change dringende Änderung Change Request Änderungsantrag Wartungsfenster geplanter Zeitraum für Änderungen Rollback-Plan Plan zur Rücknahme einer Änderung Testplan Prüfung nach einer Änderung CAB Change Advisory Board Configuration Management strukturierte Verwaltung von Konfigurationen CI Configuration Item CMDB Configuration Management Database Asset Management Verwaltung von IT-Bestand Inventarisierung Erfassung von IT-Objekten Lizenzmanagement Verwaltung von Softwarelizenzen Konfigurationsbackup Sicherung technischer Konfigurationen Lessons Learned Erkenntnisse aus Fehlern oder Projekten Post-Incident-Review Auswertung nach einem Vorfall IHK-sichere Kurzformulierung Dokumentation und Change Management sind wichtige Bestandteile sicherer und zuverlässiger IT-Administration. Dokumentation beschreibt Systeme, Netzwerke, IP-Adressen, Dienste, Firewall-Regeln, Berechtigungen, Backups, Zertifikate, Verantwortlichkeiten und Notfallmaßnahmen. Change Management sorgt dafür, dass Änderungen geplant, bewertet, freigegeben, durchgeführt, getestet und dokumentiert werden. Wichtige Elemente sind Change Request, Risikobewertung, Wartungsfenster, Testplan, Rollback-Plan, Kommunikation und Aktualisierung der Dokumentation. Eine CMDB kann Configuration Items und deren Beziehungen verwalten, während Asset Management den IT-Bestand erfasst. Gute Dokumentation muss aktuell, verständlich, geschützt und für Betrieb sowie Notfälle nutzbar sein. Merksätze Gute Administration ist nachvollziehbar. Dokumentation reduziert Fehler. Dokumentation ist Sicherheitsmaßnahme. Systeme, Dienste, Netze und Rechte dokumentieren. IP-Adressen sauber verwalten. IPAM hilft bei IP-Adressverwaltung. Netzplan zeigt Verbindungen. Physischer Netzplan zeigt Verkabelung. Logischer Netzplan zeigt Kommunikation. Firewall-Regeln brauchen Zweck. Temporäre Regeln brauchen Ablaufdatum. DNS-Dokumentation verhindert Namenschaos. Zertifikate vor Ablauf überwachen. Backup-Dokumentation muss Restore enthalten. Rechte müssen nachvollziehbar sein. Runbook ist Schritt-für-Schritt-Anleitung. SOP ist standardisierter Ablauf. Wissensdatenbank hält Wissen verfügbar. Dokumentation aktuell halten. Veraltete Dokumentation kann gefährlich sein. Change Management kontrolliert Änderungen. Change Request beschreibt Änderung. Standard Change ist Routine. Normal Change braucht Prüfung. Emergency Change ist dringend, aber nicht dokumentationsfrei. Risiko vor Änderung bewerten. Wartungsfenster planen. Rollback vor Änderung planen. Testplan nach Änderung durchführen. Betroffene informieren. CAB bewertet wichtige Changes. Configuration Management verwaltet technische Zustände. CI ist verwaltetes IT-Element. CMDB zeigt Beziehungen. Asset Management verwaltet Bestand. Inventarisierung ist Grundlage für Betrieb und Sicherheit. Lizenzmanagement verhindert Kosten- und Auditprobleme. Konfigurationen versionieren. Konfigurationen sichern. Secrets nicht in Klartext dokumentieren. Dokumentation selbst schützen. Lessons Learned verbessern Prozesse. Nach Vorfällen auswerten und verbessern. 17.9 Merksätze und Prüfungswissen zu Netzwerkadministration und Systemzugriff Diese Seite fasst die wichtigsten Inhalte aus dem Kapitel Praxis, Netzwerkadministration und Systemzugriff zusammen. In diesem Kapitel ging es um praktische Aufgaben der Systemintegration: - sichere Fernadministration - SSH und RDP - Benutzer und Rechte - Gruppen und Rollen - Logging und Monitoring - Dienstprüfung - Netzwerkbefehle - Dateiübertragung und Freigaben - Backup und Restore - Dokumentation - Change Management Merksatz: Netzwerkadministration verbindet Technik, Sicherheit, Betrieb und Dokumentation. Grundidee der Netzwerkadministration Netzwerkadministration bedeutet: Systeme, Netzwerke, Dienste, Benutzer, Zugriffe und Konfigurationen verwalten. Typische Aufgaben: Server prüfen Benutzer anlegen Rechte vergeben Netzwerkfehler suchen Remotezugriff absichern Logs auswerten Backups kontrollieren Dienste überwachen Änderungen dokumentieren Merksatz: Administration ist nicht nur Einrichten, sondern laufender sicherer Betrieb. Systemzugriff Systemzugriff bedeutet: Zugriff auf ein IT-System zur Nutzung, Verwaltung oder Fehlerbehebung. Arten: lokaler Zugriff Remotezugriff Weboberfläche SSH RDP VPN Bastion Host Managementnetz Cloud-Portal API Merksatz: Je mächtiger der Zugriff, desto stärker muss er abgesichert werden. Lokaler Zugriff Lokaler Zugriff erfolgt direkt am Gerät. Beispiele: Serverkonsole lokale Anmeldung Tastatur und Monitor physische Konsole im Serverraum Vorteil: funktioniert oft auch bei Netzwerkproblemen Nachteil: physischer Zugang nötig Merksatz: Lokaler Zugriff ist direkter Zugriff am System. Remotezugriff Remotezugriff bedeutet: Zugriff aus der Ferne. Beispiele: SSH RDP VPN Weboberfläche Remote-Support-Tool Cloud-Konsole Risiko: Remotezugänge sind häufige Angriffsziele. Merksatz: Remotezugriff ist praktisch, aber sicherheitskritisch. SSH SSH steht für: Secure Shell SSH dient dem verschlüsselten Fernzugriff auf eine Kommandozeile. Typische Nutzung: Linux-Server Unix-Systeme Netzwerkgeräte Firewalls Switches Router NAS-Systeme Dateiübertragung mit SFTP oder SCP Standardport: TCP 22 Merksatz: SSH = verschlüsselter Kommandozeilenzugriff. SSH-Sicherheit SSH sollte sicher betrieben werden. Wichtige Maßnahmen: Schlüssel statt Passwort nutzen privaten Schlüssel schützen Passphrase verwenden Root-Login vermeiden sudo nutzen Zugriff per Firewall begrenzen MFA prüfen alte Schlüssel entfernen Logs überwachen Host-Key-Warnungen ernst nehmen Merksatz: SSH ist verschlüsselt, aber nur mit sicherer Konfiguration wirklich sicher. Privater und öffentlicher SSH-Schlüssel SSH-Schlüsselpaar: privater Schlüssel und öffentlicher Schlüssel Privater Schlüssel: bleibt geheim beim Benutzer Öffentlicher Schlüssel: wird auf Zielsystemen hinterlegt Merksatz: Öffentlicher Schlüssel auf Server, privater Schlüssel bleibt geheim. SSH Host Key Der SSH Host Key identifiziert den Server. Wenn sich der Host Key unerwartet ändert, kann das bedeuten: Server wurde neu installiert falscher Server wird erreicht Man-in-the-Middle-Angriff möglich Merksatz: SSH-Host-Key-Warnungen nicht blind ignorieren. RDP RDP steht für: Remote Desktop Protocol RDP ermöglicht grafischen Fernzugriff auf Windows-Systeme. Standardport: TCP 3389 Merksatz: RDP = grafischer Windows-Fernzugriff. RDP-Sicherheit RDP sollte nicht breit direkt im Internet erreichbar sein. Schutzmaßnahmen: VPN nutzen RDP Gateway nutzen MFA aktivieren Network Level Authentication nutzen Quell-IP einschränken starke Passwörter Account Lockout Updates einspielen Logs überwachen Merksatz: RDP offen im Internet ist ein hohes Risiko. VPN VPN ermöglicht verschlüsselten Zugriff auf ein internes Netzwerk. Vorteile: Adminports müssen nicht öffentlich sein Zugriff zentral steuerbar MFA möglich interne Dienste bleiben privat bessere Protokollierung möglich Wichtig: VPN ersetzt keine Rechteverwaltung. Merksatz: VPN schützt den Zugang, aber nicht automatisch das Zielsystem. Bastion Host und Jump Server Ein Bastion Host oder Jump Server ist ein geschützter Sprungserver. Prinzip: Administrator verbindet sich zum Sprungserver und von dort zum Zielsystem Vorteile: weniger direkte Adminzugänge zentrale Protokollierung kontrollierter Zugriff interne Systeme bleiben besser geschützt Merksatz: Bastion Host bündelt und schützt Adminzugriffe. Managementnetz Ein Managementnetz trennt administrative Zugriffe vom normalen Benutzernetz. Darin liegen zum Beispiel: Switch-Management Firewall-Management Server-Management Storage-Management Backup-Management Hypervisor-Management Merksatz: Managementschnittstellen gehören nicht ins normale Clientnetz. Out-of-Band-Management Out-of-Band-Management nutzt einen getrennten Verwaltungsweg. Beispiele: iLO iDRAC IPMI serielle Konsole Vorteil: Zugriff auch bei Störungen möglich Risiko: sehr mächtiger Zugriff Merksatz: Out-of-Band-Management besonders stark schützen. Benutzerkonto Ein Benutzerkonto ist eine digitale Identität. Es enthält typischerweise: Benutzername Anmeldedaten Gruppenmitgliedschaften Rollen Berechtigungen Status Merksatz: Benutzerkonto = digitale Identität. Persönliche Konten Jeder Benutzer sollte ein eigenes persönliches Konto haben. Vorteile: Aktionen nachvollziehbar Rechte gezielt verwaltbar Offboarding einfacher keine Passwortweitergabe bessere Sicherheitsanalyse Merksatz: Ein Benutzer, ein Konto. Sammelkonten Sammelkonten werden von mehreren Personen genutzt. Probleme: keine eindeutige Nachvollziehbarkeit Passwortweitergabe schwieriges Offboarding höheres Missbrauchsrisiko schlechte Protokollierung Merksatz: Sammelkonten vermeiden, besonders bei Adminzugängen. Gruppen und Rollen Gruppen fassen Benutzer technisch zusammen. Rollen beschreiben Aufgaben oder Funktionen. Beispiele: Helpdesk Netzwerkadministrator Serveradministrator Backup-Operator Standardbenutzer Leser Bearbeiter Merksatz: Gruppen vereinfachen Rechtevergabe. Rollen beschreiben Aufgaben. RBAC RBAC steht für: Role-Based Access Control Dabei werden Rechte anhand von Rollen vergeben. Beispiel: Rolle Helpdesk darf Passwörter zurücksetzen. Merksatz: RBAC vergibt Rechte nach Rollen. ABAC ABAC steht für: Attribute-Based Access Control Dabei werden Zugriffe anhand von Eigenschaften entschieden. Beispiele: Standort Gerätetyp Uhrzeit Sicherheitsstatus des Geräts Abteilung Datenklassifizierung Merksatz: ABAC entscheidet nach Eigenschaften und Bedingungen. Authentifizierung und Autorisierung Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiel: Benutzer meldet sich an. Danach wird geprüft, ob er Datei lesen darf. Merksatz: Erst Identität prüfen, dann Berechtigung prüfen. Least Privilege Least Privilege bedeutet: nur notwendige Rechte vergeben. Beispiele: Benutzer ohne lokale Adminrechte Dienstkonto nur mit benötigten Datenbankrechten Support nur mit passenden Supportrechten Adminrechte nur bei Bedarf Merksatz: So wenig Rechte wie möglich, so viele wie nötig. Need to Know Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe benötigt werden. Merksatz: Nicht jeder muss alles sehen können. Admin- und Alltagskonto trennen Administratoren sollten zwei Konten nutzen: normales Benutzerkonto und separates Adminkonto Vorteile: weniger Risiko durch Phishing weniger Malware-Schaden bessere Nachvollziehbarkeit weniger dauerhafte Rechte Merksatz: Nicht dauerhaft mit Adminrechten arbeiten. Dienstkonto Ein Dienstkonto ist eine technische Identität für Dienste, Anwendungen oder automatisierte Prozesse. Beispiele: Backupdienst Monitoring-Agent Webanwendung mit Datenbankzugriff API-Integration geplante Aufgabe Merksatz: Dienstkonten sind technische Identitäten und müssen rechtearm sein. Offboarding Offboarding bedeutet: Zugänge werden entfernt, wenn Benutzer ausscheiden oder keinen Zugriff mehr benötigen. Zu prüfen: Benutzerkonto Gruppen VPN SSH-Schlüssel Cloud-Zugänge API-Tokens lokale Adminrechte Geräte E-Mail-Weiterleitungen Merksatz: Alte Zugänge sind ein Sicherheitsrisiko. Regelmäßige Rechteprüfung Rechte sollten regelmäßig geprüft werden. Besonders wichtig: Adminrechte lokale Administratoren Dienstkonten externe Dienstleister Gruppenmitgliedschaften Cloud-Rollen Freigaben SSH-Schlüssel Merksatz: Rechte altern und müssen gepflegt werden. Logs Logs sind protokollierte Ereignisse. Beispiele: Anmeldung Fehlanmeldung Dienststart Dienstfehler Firewall-Block VPN-Verbindung Backup-Fehler Adminänderung Merksatz: Logs zeigen, was passiert ist. Monitoring Monitoring überwacht Zustände und Metriken. Beispiele: Verfügbarkeit CPU-Auslastung RAM-Nutzung Speicherplatz Antwortzeit Backup-Erfolg Zertifikatslaufzeit Dienststatus Merksatz: Monitoring zeigt, was gerade passiert oder sich anbahnt. Logging, Monitoring und Alerting unterscheiden Begriff Zweck Logging Ereignisse aufzeichnen Monitoring Zustände überwachen Alerting bei kritischen Zuständen alarmieren Reporting Verlauf auswerten Merksatz: Logs erklären Ereignisse. Monitoring beobachtet Zustände. Alerting meldet Probleme. Wichtige Logquellen Typische Logquellen: Betriebssystemlogs Anwendungslogs Authentifizierungslogs Firewall-Logs VPN-Logs DNS-Logs DHCP-Logs Webserverlogs Backup-Logs Cloud-Audit-Logs EDR-Logs Merksatz: Wichtige Systeme brauchen nachvollziehbare Logs. Zentrale Logsammlung Zentrale Logsammlung bedeutet: Logs mehrerer Systeme werden zentral gesammelt. Vorteile: bessere Suche bessere Korrelation Schutz vor lokaler Manipulation bessere Sicherheitsanalyse Grundlage für SIEM Merksatz: Zentrale Logs helfen, Zusammenhänge systemübergreifend zu erkennen. NTP und Logs NTP synchronisiert Systemzeiten. Warum wichtig? Logs verschiedener Systeme müssen zeitlich vergleichbar sein. Merksatz: Gemeinsame Zeitbasis ist wichtig für Loganalyse und Forensik. Dienstprüfung Dienstprüfung bedeutet: prüfen, ob ein Dienst läuft, erreichbar ist und korrekt arbeitet. Zu prüfen: Dienststatus Port Firewall DNS Routing Logs Ressourcen Abhängigkeiten Berechtigungen Merksatz: Dienst läuft nicht automatisch gleich Dienst funktioniert. Netzwerkbefehle Wichtige Befehle und Werkzeuge: Aufgabe Windows Linux/macOS IP anzeigen ipconfig ip addr Routing anzeigen route print ip route DNS prüfen nslookup dig, nslookup Erreichbarkeit prüfen ping ping Route verfolgen tracert traceroute Verbindungen anzeigen netstat ss, netstat Dienst prüfen services.msc, sc, PowerShell systemctl Logs prüfen Ereignisanzeige journalctl Merksatz: Gleiche Aufgabe, anderes Werkzeug je nach Betriebssystem. ping ping testet Erreichbarkeit per ICMP. Wichtig: fehlgeschlagener ping beweist nicht automatisch, dass ein Ziel offline ist. Mögliche Ursachen: ICMP blockiert Firewall Routingproblem DNS-Problem Ziel offline Paketverlust Merksatz: ping ist ein Hinweis, aber kein vollständiger Diensttest. DNS-Prüfung DNS wird geprüft mit: nslookup oder dig Typische Regel: IP funktioniert, Name nicht: DNS prüfen. Merksatz: DNS-Probleme sind häufige Ursachen für Verbindungsfehler. tracert und traceroute tracert oder traceroute zeigen den Weg zum Ziel über Zwischenstationen. Wichtig: Nicht jeder Hop muss antworten. Sternchen bedeuten nicht automatisch Ausfall. Merksatz: Traceroute-Ausgaben müssen interpretiert werden. netstat und ss netstat und ss zeigen Netzwerkverbindungen und lauschende Ports. Wichtige Zustände: LISTEN: Dienst wartet auf Verbindungen. ESTABLISHED: Verbindung besteht. Merksatz: Offene Ports zeigen mögliche Dienstzugänge. localhost und 0.0.0.0 127.0.0.1: nur lokal auf demselben System erreichbar 0.0.0.0: Dienst lauscht auf allen IPv4-Schnittstellen Merksatz: 127.0.0.1 ist lokal. 0.0.0.0 ist überall auf dem Host. curl curl testet Webdienste und APIs. Nützlich für: HTTP-Statuscode Header Weiterleitungen HTTPS API-Antwort Erreichbarkeit Merksatz: curl prüft Webdienste direkter als ein Browser. systemctl und journalctl systemctl: Dienste prüfen und verwalten journalctl: systemd-Logs anzeigen Merksatz: systemctl zeigt Dienststatus. journalctl zeigt passende Logs. Dateiübertragung und Freigaben Dateiübertragung und Freigaben müssen sicher geplant werden. Zu klären: Wer braucht Zugriff? Welche Daten? Welche Rechte? Wie lange? Intern oder extern? Wird protokolliert? Wird verschlüsselt übertragen? Merksatz: Keine Freigabe ohne Zweck und Berechtigung. SMB SMB steht für: Server Message Block Typische Nutzung: Windows-Dateifreigaben Netzlaufwerke Druckerfreigaben Standardport: TCP 445 Merksatz: SMB ist typisch für Windows-Dateifreigaben. NFS NFS steht für: Network File System Typische Nutzung: Unix- und Linux-Freigaben Serverfreigaben Virtualisierungsspeicher Backup-Ziele Merksatz: NFS ist typisch für Unix- und Linux-Umgebungen. FTP, FTPS, SFTP und SCP Protokoll Grundlage Verschlüsselung FTP FTP nein FTPS FTP plus TLS ja SFTP SSH ja SCP SSH ja Merksatz: FTP ist unverschlüsselt. FTPS ist FTP mit TLS. SFTP ist Dateiübertragung über SSH. SCP kopiert über SSH. Synchronisation ist kein Backup Synchronisation hält Daten an mehreren Orten gleich. Problem: Löschung, Fehler oder Ransomware-Verschlüsselung können mitsynchronisiert werden. Merksatz: Synchronisation ist kein Backup. Backup Backup bedeutet: Sicherung von Daten, Systemen oder Konfigurationen. Restore bedeutet: Wiederherstellung aus einer Sicherung. Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. Restore-Test Ein Restore-Test prüft, ob Wiederherstellung wirklich funktioniert. Zu prüfen: Daten vollständig? Anwendung startet? Rechte korrekt? Datenbank konsistent? Schlüssel vorhanden? Zeit akzeptabel? Merksatz: Nur getestete Backups sind verlässlich. Backup-Arten Backup-Art Bedeutung Vollbackup sichert alles inkrementell Änderungen seit letztem Backup differenziell Änderungen seit letztem Vollbackup Snapshot Momentaufnahme Image-Backup vollständiges Systemabbild dateibasiert ausgewählte Dateien und Ordner Merksatz: Backup-Art nach Wiederherstellungsziel wählen. RPO und RTO RPO: Recovery Point Objective maximal akzeptabler Datenverlust RTO: Recovery Time Objective maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Wiederherstellungszeit. 3-2-1-Regel Die 3-2-1-Regel lautet: 3 Kopien 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen. Immutable und Offline Backup Immutable Backup: kann für eine festgelegte Zeit nicht verändert oder gelöscht werden Offline Backup: ist nicht dauerhaft verbunden Vorteil: besserer Schutz gegen Ransomware und Manipulation Merksatz: Backups müssen vor Angreifern geschützt werden. Redundanz, Replikation und Backup unterscheiden Begriff Ziel Backup Wiederherstellung alter Zustände Redundanz Ausfall abfedern Replikation Daten aktuell auf zweites System kopieren Merksatz: Redundanz und Replikation ersetzen kein Backup. Dokumentation Dokumentation beschreibt Systeme, Netzwerke, Dienste, Rechte, Änderungen und Notfallmaßnahmen. Typische Inhalte: Systeme IP-Adressen Hostnamen Dienste Ports Firewall-Regeln VLANs DNS-Einträge Zertifikate Backups Verantwortliche Runbooks Merksatz: Gute Dokumentation macht Betrieb nachvollziehbar. Netzplan Ein Netzplan zeigt die Netzwerkstruktur. Physischer Netzplan: Geräte, Kabel, Ports, Racks, Standorte Logischer Netzplan: VLANs, Subnetze, Routing, Firewall-Zonen, Dienste Merksatz: Physisch zeigt Verkabelung. Logisch zeigt Kommunikationsstruktur. IPAM IPAM steht für: IP Address Management IPAM verwaltet IP-Adressen, Subnetze und Zuordnungen. Merksatz: IPAM verhindert IP-Chaos und IP-Konflikte. Runbook und SOP Runbook: Schritt-für-Schritt-Anleitung für konkrete Aufgaben oder Störungen SOP: Standard Operating Procedure, standardisierter Ablauf Merksatz: Runbook hilft bei konkreter Ausführung. SOP beschreibt standardisierte Vorgehensweise. Change Management Change Management bedeutet: Änderungen werden geplant, bewertet, freigegeben, umgesetzt, getestet und dokumentiert. Merksatz: Change Management verhindert unkontrollierte Änderungen. Change-Arten Change-Art Bedeutung Standard Change bekannte risikoarme Routineänderung Normal Change geplante Änderung mit Prüfung Emergency Change dringende Änderung Merksatz: Emergency Change ist dringend, aber nicht dokumentationsfrei. Change Request Ein Change Request ist ein Änderungsantrag. Typische Inhalte: Beschreibung Grund betroffene Systeme Risiko Zeitpunkt Testplan Rollback-Plan Freigabe Kommunikation Merksatz: Change Request beschreibt, was geändert werden soll und warum. Rollback-Plan Ein Rollback-Plan beschreibt, wie eine Änderung zurückgenommen wird. Beispiele: Backup zurückspielen Snapshot zurücksetzen alte Konfiguration wiederherstellen alte Version installieren DNS zurücksetzen Firewall-Regel entfernen Merksatz: Vor Änderung wissen, wie man zurückkommt. CMDB CMDB steht für: Configuration Management Database Sie enthält Informationen über verwaltete IT-Elemente und deren Beziehungen. Beispiele: Server Anwendung Datenbank Firewall Zertifikat Lizenz Dienst Merksatz: CMDB zeigt, welche IT-Elemente zusammenhängen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Netzwerkadministration? - Was ist Remotezugriff? - Was ist SSH? - Welchen Port nutzt SSH? - Was ist RDP? - Welchen Port nutzt RDP? - Warum sollte RDP nicht offen im Internet stehen? - Was ist ein Bastion Host? - Was ist ein Managementnetz? - Was ist Out-of-Band-Management? - Warum sind persönliche Konten wichtig? - Warum sind Sammelkonten problematisch? - Was ist RBAC? - Was ist ABAC? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was bedeutet Least Privilege? - Was ist ein Dienstkonto? - Was ist Offboarding? - Warum sind Logs wichtig? - Was ist der Unterschied zwischen Logging und Monitoring? - Warum ist NTP für Logs wichtig? - Was macht ping? - Was prüft nslookup? - Was prüft traceroute? - Was zeigen netstat oder ss? - Was ist SMB? - Was ist SFTP? - Warum ist FTP unsicher? - Warum ist Synchronisation kein Backup? - Was ist Backup? - Was ist Restore? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist die 3-2-1-Regel? - Was ist ein Netzplan? - Was ist IPAM? - Was ist Change Management? - Was ist ein Rollback-Plan? - Was ist eine CMDB? Typische Prüfungsfallen SSH ist verschlüsselt, aber nicht automatisch sicher konfiguriert. SSH nutzt TCP 22. RDP nutzt TCP 3389. RDP nicht direkt öffentlich bereitstellen. VPN ersetzt keine Rechteverwaltung. Bastion Host ist ein Sprungserver. Managementnetz vom Clientnetz trennen. Out-of-Band-Zugriff ist besonders kritisch. Sammelkonten vermeiden. Admin- und Alltagskonto trennen. Authentifizierung und Autorisierung unterscheiden. Least Privilege gilt auch für Administratoren. Dienstkonten brauchen minimale Rechte. Offboarding muss alle Zugänge entfernen. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet kritische Abweichungen. Ohne NTP sind Logzeiten schwer vergleichbar. Dienst läuft nicht automatisch gleich Anwendung funktioniert. ping prüft ICMP, nicht jeden Dienst. Kein ping kann Firewall sein. IP funktioniert, Name nicht: DNS prüfen. Offener Port bedeutet nicht Anwendung gesund. 127.0.0.1 ist nur lokal. FTP ist unverschlüsselt. SFTP ist nicht FTPS. SMB nutzt TCP 445. Synchronisation ist kein Backup. Replikation ist kein Backup. Redundanz ist kein Backup. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Snapshot ist nicht automatisch Backup. Dokumentation muss aktuell sein. Secrets gehören nicht in Klartextdokumentation. Emergency Change muss nachträglich dokumentiert werden. Rollback vor Änderung planen. Wichtige Begriffe kurz erklärt Begriff Kurze Erklärung Netzwerkadministration Verwaltung von Netzwerken und Systemen Systemzugriff Zugriff auf ein IT-System Remotezugriff Zugriff aus der Ferne SSH verschlüsselter Kommandozeilenzugriff RDP grafischer Windows-Fernzugriff VPN verschlüsselter Zugang ins interne Netz Bastion Host geschützter Sprungserver Jump Server Zwischensystem für Administration Managementnetz getrenntes Verwaltungsnetz Out-of-Band separater Verwaltungsweg Benutzerkonto digitale Identität Gruppe Zusammenfassung von Benutzern Rolle Aufgabe mit Rechten RBAC rollenbasierte Zugriffskontrolle ABAC attributbasierte Zugriffskontrolle Authentifizierung Identität prüfen Autorisierung Rechte prüfen Least Privilege minimale notwendige Rechte Dienstkonto technische Identität Offboarding Entfernen alter Zugänge Log protokolliertes Ereignis Monitoring Überwachung von Zuständen Alerting automatische Alarmierung NTP Zeitsynchronisation Health Check Dienstgesundheitsprüfung ping ICMP-Erreichbarkeitstest nslookup DNS-Prüfung dig detaillierte DNS-Prüfung tracert Windows-Wegverfolgung traceroute Wegverfolgung unter Linux/macOS netstat Netzwerkverbindungen anzeigen ss Socketanzeige unter Linux curl Web- und API-Test SMB Windows-Dateifreigabeprotokoll NFS Network File System FTP unverschlüsselte Dateiübertragung FTPS FTP mit TLS SFTP Dateiübertragung über SSH SCP Kopieren über SSH Backup Sicherung Restore Wiederherstellung RPO maximaler Datenverlust RTO maximale Wiederherstellungszeit Immutable Backup unveränderliches Backup Snapshot Momentaufnahme Redundanz mehrfach vorhandene Komponenten Replikation Kopie aktueller Daten Dokumentation nachvollziehbare Beschreibung Netzplan grafische Netzwerkdarstellung IPAM IP-Adressverwaltung Runbook Schritt-für-Schritt-Anleitung SOP Standardprozess Change Management kontrollierter Änderungsprozess Rollback Rücknahme einer Änderung CMDB Datenbank verwalteter IT-Elemente IHK-sichere Gesamtformulierung Netzwerkadministration umfasst den sicheren Betrieb und die Verwaltung von Systemen, Netzwerken, Diensten, Benutzern, Zugängen und Konfigurationen. Remotezugriffe wie SSH und RDP müssen durch VPN, Bastion Hosts, Managementnetze, MFA, Logging und Least Privilege abgesichert werden. Benutzer sollten persönliche Konten nutzen, Rechte sollten über Gruppen und Rollen vergeben und regelmäßig geprüft werden. Logs, Monitoring, Alerting und NTP sind wichtig für Fehlersuche, Sicherheit und Nachvollziehbarkeit. Netzwerkbefehle wie ping, nslookup, traceroute, netstat, ss, curl, ipconfig, ip addr, route print und ip route helfen bei systematischer Analyse. Dateiübertragung und Freigaben müssen verschlüsselt, berechtigt und dokumentiert erfolgen. Backups müssen geschützt, überwacht und durch Restore-Tests geprüft werden. Dokumentation und Change Management stellen sicher, dass Systeme nachvollziehbar betrieben und Änderungen kontrolliert durchgeführt werden. Wichtigste Merksätze Netzwerkadministration ist laufender Betrieb. Adminzugänge besonders schützen. Remotezugriff ist sicherheitskritisch. SSH nutzt TCP 22. RDP nutzt TCP 3389. RDP nicht offen ins Internet stellen. VPN schützt Zugang, ersetzt aber keine Rechte. Bastion Host schützt interne Systeme. Managementnetz trennt Verwaltung. Persönliche Konten statt Sammelkonten. Admin- und Alltagskonto trennen. RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. Authentifizierung fragt: Wer bist du? Autorisierung fragt: Was darfst du? Least Privilege gilt immer. Dienstkonten rechtearm betreiben. Offboarding entfernt alte Zugänge. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet Probleme. NTP macht Logs vergleichbar. Dienst läuft nicht automatisch gleich Dienst funktioniert. ping prüft ICMP. DNS mit nslookup oder dig prüfen. traceroute zeigt den Weg. netstat und ss zeigen Verbindungen. curl prüft Webdienste. SMB nutzt TCP 445. FTP ist unsicher, weil unverschlüsselt. SFTP nutzt SSH. FTPS nutzt FTP mit TLS. Synchronisation ist kein Backup. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Replikation ersetzt kein Backup. Redundanz ersetzt kein Backup. Dokumentation muss aktuell sein. Change Management kontrolliert Änderungen. Rollback vor Änderung planen. Notfallzugänge streng schützen. Sichere Administration braucht Technik, Prozesse, Rechte, Logs und Dokumentation. 17.10 Prüfungsvorbereitung und Wiederholung Prüfungsvorbereitung und Wiederholung Dieses Kapitel dient zur gezielten Wiederholung vor der Prüfung. Es verbindet die wichtigsten Themen aus: - Netzwerktechnik - OSI-Modell - TCP/IP - IP-Adressierung - Subnetting - Routing - Switching - VLAN - DNS - DHCP - Firewalls - NAT - VPN - Cloud - Sicherheit - Administration - Fehlersuche Merksatz: Prüfungsvorbereitung bedeutet nicht nur Auswendiglernen, sondern Zusammenhänge erkennen. Warum Wiederholung wichtig ist Viele Prüfungsthemen hängen zusammen. Beispiel: Ein Client kommt nicht ins Internet. Dafür können mehrere Themen relevant sein: IP-Adresse Subnetzmaske Gateway DNS DHCP Routing Firewall NAT VLAN WLAN Proxy VPN Dienstverfügbarkeit Merksatz: In der Prüfung wird selten nur ein einzelnes Thema isoliert geprüft. Typische Prüfungslogik Prüfungsaufgaben fragen oft nicht direkt: Was ist DNS? Sondern eher: Ein Client kann eine Webseite nicht über den Namen erreichen, aber die IP-Adresse funktioniert. Welche Ursache ist wahrscheinlich? Gesuchte Antwort: DNS-Problem Merksatz: Prüfungen testen Anwendung von Wissen, nicht nur Definitionen. Wichtigste Grundregel bei Netzwerkfehlern Immer systematisch prüfen: 1. Physische Verbindung 2. IP-Konfiguration 3. Gateway 4. DNS 5. Routing 6. Firewall 7. Dienst 8. Anwendung 9. Logs 10. Änderungen Merksatz: Erst Grundlagen, dann Spezialfälle. OSI-Modell als Prüfungswerkzeug Das OSI-Modell hilft, Fehler schichtweise einzugrenzen. OSI-Schicht Name Typische Prüfung 1 Bitübertragung Kabel, Signal, Link 2 Sicherung MAC, Switch, VLAN, ARP 3 Vermittlung IP, Routing, ICMP 4 Transport TCP, UDP, Ports 5 Sitzung Session, Verbindungssitzung 6 Darstellung TLS, Codierung, Verschlüsselung 7 Anwendung DNS, DHCP, HTTP, SMTP, SMB Merksatz: OSI hilft, Fehler strukturiert zu suchen. TCP/IP-Modell wiederholen Das TCP/IP-Modell ist praxisnaher als das OSI-Modell. TCP/IP-Schicht Entspricht grob OSI Beispiele Anwendung OSI 5 bis 7 HTTP, DNS, SMTP, DHCP Transport OSI 4 TCP, UDP Internet OSI 3 IP, ICMP, Routing Netzzugang OSI 1 bis 2 Ethernet, WLAN, MAC Merksatz: TCP/IP ist das praktische Internetmodell. Kapselung wiederholen Beim Senden werden Daten schrittweise verpackt. Beispiel: Anwendung erzeugt Daten. TCP ergänzt Portinformationen. IP ergänzt IP-Adressen. Ethernet ergänzt MAC-Adressen. Bits werden übertragen. Beim Empfangen wird alles wieder entpackt. Merksatz: Kapselung bedeutet: Jede Schicht ergänzt eigene Steuerinformationen. PDU-Begriffe wiederholen Schicht Einheit Anwendung Daten Transport Segment oder Datagramm Internet / Netzwerk Paket Sicherung Frame Bitübertragung Bits Merksatz: Daten werden zu Segmenten, Paketen, Frames und Bits. MAC-Adresse wiederholen Eine MAC-Adresse arbeitet auf Schicht 2. Sie dient der lokalen Zustellung im selben Netzwerksegment. Wichtig: MAC-Adressen werden von Switches genutzt. MAC-Adressen ändern sich an jedem Router-Hop. MAC-Adressen sind nicht für Routing über Netze hinweg zuständig. Merksatz: MAC-Adresse = lokale Zustellung im LAN. IP-Adresse wiederholen Eine IP-Adresse arbeitet auf Schicht 3. Sie dient der logischen Adressierung über Netzgrenzen hinweg. Wichtig: IP-Adressen werden für Routing genutzt. IP-Adressen bestehen aus Netzanteil und Hostanteil. Subnetzmaske oder Präfix bestimmt die Aufteilung. Merksatz: IP-Adresse = logische Adresse für Routing. Port wiederholen Ports arbeiten auf Schicht 4. Sie ordnen Netzwerkverkehr einem Dienst oder Prozess zu. Beispiele: TCP 80 HTTP TCP 443 HTTPS TCP 22 SSH TCP 3389 RDP TCP 25 SMTP UDP 53 DNS UDP 67 und 68 DHCP Merksatz: Port = Dienstadresse auf einem Host. MAC, IP und Port unterscheiden Begriff Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 logische Adressierung und Routing Port 4 Zuordnung zu Dienst oder Anwendung Merksatz: MAC findet Gerät im lokalen Netz. IP findet Netz und Host. Port findet Dienst. IPv4-Grundlagen wiederholen IPv4-Adressen bestehen aus 32 Bit. Sie werden meist dezimal in vier Oktetten dargestellt. Beispiel: 192.168.1.10 Dazu gehört eine Subnetzmaske oder Präfixlänge. Beispiel: 192.168.1.10/24 Merksatz: IPv4-Adresse plus Präfix bestimmt Netz und Host. Private IPv4-Adressbereiche Wichtige private IPv4-Bereiche: Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IP-Adressen werden im Internet nicht direkt geroutet. Subnetzmaske wiederholen Die Subnetzmaske trennt Netzanteil und Hostanteil. Beispiel: /24 bedeutet: 24 Bit Netzanteil, 8 Bit Hostanteil Bei IPv4 gilt: Hostanzahl = 2 hoch Hostbits minus 2 Das minus 2 steht meist für: Netzadresse und Broadcastadresse Merksatz: Mehr Hostbits bedeuten mehr mögliche Hosts. Häufige Präfixe Präfix Maske Adressen nutzbare Hosts /24 255.255.255.0 256 254 /25 255.255.255.128 128 126 /26 255.255.255.192 64 62 /27 255.255.255.224 32 30 /28 255.255.255.240 16 14 /29 255.255.255.248 8 6 /30 255.255.255.252 4 2 Merksatz: Pro zusätzlichem Netzbit halbiert sich die Hostanzahl. Subnetting-Grundregel Wenn der Präfix größer wird: mehr Netzbits weniger Hostbits kleinere Subnetze Wenn der Präfix kleiner wird: weniger Netzbits mehr Hostbits größere Subnetze Merksatz: /25 ist kleiner als /24. /23 ist größer als /24. Broadcast wiederholen Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie dient dazu, alle Hosts im Subnetz zu erreichen. Beispiel bei: 192.168.1.0/24 Broadcast: 192.168.1.255 Merksatz: Broadcast = letzte Adresse im IPv4-Subnetz. Netzadresse wiederholen Die Netzadresse ist die erste Adresse eines Subnetzes. Sie beschreibt das Netzwerk selbst. Beispiel bei: 192.168.1.0/24 Netzadresse: 192.168.1.0 Merksatz: Netzadresse = erste Adresse im Subnetz. Erste und letzte nutzbare Adresse Bei einem normalen IPv4-Subnetz gilt: erste nutzbare Adresse: Netzadresse plus 1 letzte nutzbare Adresse: Broadcastadresse minus 1 Beispiel: Netz: 192.168.1.0/24 erste nutzbare: 192.168.1.1 letzte nutzbare: 192.168.1.254 Merksatz: Erste nutzbare = Netzadresse + 1. Letzte nutzbare = Broadcast - 1. Gateway wiederholen Das Standardgateway ist der Router, über den ein Host andere Netze erreicht. Ohne Gateway funktioniert meist nur Kommunikation im eigenen Subnetz. Merksatz: Gateway = Ausgang in andere Netze. DNS wiederholen DNS übersetzt Namen in IP-Adressen. Beispiel: www.example.com wird zu: IP-Adresse Typische Fehler: falscher DNS-Server DNS-Server nicht erreichbar falscher DNS-Eintrag DNS-Cache veraltet Split-DNS bei VPN falsch Merksatz: Wenn IP funktioniert, aber Name nicht: DNS prüfen. DHCP wiederholen DHCP verteilt automatisch Netzwerkkonfiguration. Typische Informationen: IP-Adresse Subnetzmaske Gateway DNS-Server Lease-Zeit Merksatz: DHCP nimmt Clients die manuelle IP-Konfiguration ab. DHCP-Ablauf DORA DORA steht für: Discover Offer Request Acknowledge Ablauf: Client sucht DHCP-Server. Server bietet Adresse an. Client fordert Adresse an. Server bestätigt die Vergabe. Merksatz: DHCP-DORA = Discover, Offer, Request, Acknowledge. ARP wiederholen ARP löst IPv4-Adresse in MAC-Adresse auf. Es funktioniert im lokalen Netz. Beispiel: Wer hat 192.168.1.1? Antwort: MAC-Adresse des Gateways Merksatz: ARP verbindet IPv4 und MAC im lokalen Netz. Switching wiederholen Ein Switch arbeitet hauptsächlich auf Schicht 2. Er lernt MAC-Adressen an Ports und leitet Frames passend weiter. Wenn die Ziel-MAC unbekannt ist, wird geflutet. Merksatz: Switch lernt MAC-Adressen und baut eine MAC-Adresstabelle. VLAN wiederholen VLANs trennen ein physisches Netzwerk logisch in mehrere getrennte Netze. Vorteile: bessere Struktur weniger Broadcastverkehr pro Segment Sicherheitszonen Trennung von Abteilungen Trennung von Gastnetz und internem Netz Merksatz: VLAN trennt logisch auf Schicht 2. Access-Port und Trunk-Port Access-Port: gehört zu einem VLAN meist für Endgeräte Trunk-Port: transportiert mehrere VLANs meist zwischen Switches, Router oder Firewall Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. Routing wiederholen Routing verbindet verschiedene IP-Netze. Router entscheiden anhand der Routing-Tabelle, wohin Pakete weitergeleitet werden. Merksatz: Routing verbindet Netze. Routing-Tabelle wiederholen Eine Routing-Tabelle enthält: Zielnetz Gateway oder Next Hop Interface Metrik Wichtig: Die spezifischste passende Route gewinnt. Merksatz: Routing-Tabelle bestimmt den nächsten Weg. ICMP wiederholen ICMP wird für Kontroll- und Fehlermeldungen genutzt. Typische Werkzeuge: ping traceroute Merksatz: ICMP hilft bei Diagnose, ist aber kein Transportprotokoll für Anwendungen. TCP wiederholen TCP ist verbindungsorientiert und zuverlässig. Eigenschaften: Verbindungsaufbau Reihenfolge Bestätigung Wiederholung verlorener Daten Flusskontrolle Fehlererkennung Merksatz: TCP = zuverlässig und verbindungsorientiert. UDP wiederholen UDP ist verbindungslos und schlanker. Eigenschaften: kein Verbindungsaufbau keine eingebaute Zustellgarantie wenig Overhead schnell Typische Anwendungen: DNS DHCP VoIP Streaming Gaming Merksatz: UDP = schnell und verbindungslos. TCP und UDP vergleichen Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit hoch keine eingebaute Garantie Reihenfolge wird gesichert nicht garantiert Overhead höher geringer Beispiele HTTP, HTTPS, SSH, SMTP DNS, DHCP, VoIP Merksatz: TCP sicherer in der Zustellung. UDP schneller und einfacher. NAT wiederholen NAT steht für: Network Address Translation NAT übersetzt IP-Adressen. Häufigster Fall: private interne IP-Adressen werden beim Internetzugriff in eine öffentliche IP-Adresse übersetzt. Merksatz: NAT übersetzt Adressen. PAT wiederholen PAT steht für: Port Address Translation Dabei nutzen viele interne Geräte eine öffentliche IP-Adresse und werden über Ports unterschieden. Merksatz: PAT ermöglicht vielen Clients Internetzugriff über eine öffentliche IP. Portweiterleitung wiederholen Portweiterleitung leitet eingehenden Verkehr von außen an einen internen Dienst weiter. Beispiel: Extern TCP 443 wird weitergeleitet zu internem Webserver TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. Firewall wiederholen Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Typische Kriterien: Quelle Ziel Port Protokoll Richtung Zustand Benutzer je nach System Anwendung je nach System Merksatz: Firewall entscheidet, welcher Verkehr erlaubt oder blockiert wird. DMZ wiederholen Eine DMZ ist ein getrenntes Netzwerksegment für öffentlich erreichbare Dienste. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: interne Netze schützen Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. VPN wiederholen VPN stellt einen verschlüsselten Tunnel her. Typische Arten: Remote-Access-VPN Site-to-Site-VPN Merksatz: VPN verbindet Netze oder Benutzer sicher über unsichere Netze. Cloud-Modelle wiederholen Modell Bedeutung IaaS virtuelle Infrastruktur PaaS Plattform für Anwendungen SaaS fertige Anwendung Merksatz: IaaS bietet Infrastruktur. PaaS bietet Plattform. SaaS bietet fertige Software. Cloud-Bereitstellungsmodelle wiederholen Modell Bedeutung Public Cloud öffentlich angebotene Cloud Private Cloud Cloud für eine Organisation Hybrid Cloud Kombination aus lokal und Cloud Multi Cloud mehrere Cloud-Anbieter Merksatz: Hybrid beschreibt Mischung der Betriebsorte. Multi Cloud beschreibt mehrere Anbieter. Shared Responsibility wiederholen In der Cloud teilen sich Anbieter und Kunde Verantwortung. Grundidee: Anbieter schützt die Cloud-Infrastruktur. Kunde schützt seine Daten, Identitäten, Konfigurationen und Zugriffe. Merksatz: Cloud-Anbieter übernimmt nicht automatisch alle Sicherheitsaufgaben. Informationssicherheit wiederholen Wichtige Schutzziele: Vertraulichkeit Integrität Verfügbarkeit Zusätzlich wichtig: Authentizität Nichtabstreitbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität, Verfügbarkeit. Typische Angriffe wiederholen Wichtige Angriffe: Malware Ransomware Phishing Social Engineering DoS DDoS Man-in-the-Middle Spoofing SQL Injection XSS CSRF Brute Force Credential Stuffing Merksatz: Angriff immer dem betroffenen Schutzziel zuordnen. Typische Schutzmaßnahmen wiederholen Wichtige Schutzmaßnahmen: Patchmanagement Hardening Firewall IDS IPS EDR SIEM MFA Backup Netzwerksegmentierung Least Privilege Monitoring Logging Schulung Incident Response Merksatz: Sicherheit entsteht durch mehrere Schutzschichten. Backup wiederholen Backup bedeutet: Sicherung von Daten, Systemen oder Konfigurationen. Restore bedeutet: Wiederherstellung aus Backup. Wichtig: Backup ohne Restore-Test ist unsicher. Merksatz: Backup ist erst sicher, wenn Restore getestet wurde. RPO und RTO wiederholen RPO: maximal akzeptabler Datenverlust RTO: maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Wiederherstellungszeit. Prüfungsvorgehen bei Rechenaufgaben Bei Rechenaufgaben wichtig: Einheiten beachten. Bits und Bytes unterscheiden. Mbit/s und MB/s nicht verwechseln. Netzadresse und Broadcast prüfen. Hostanzahl mit Hostbits berechnen. Zwischenschritte sauber notieren. Ergebnis auf Plausibilität prüfen. Merksatz: Viele Fehler entstehen durch Einheiten und Präfixe. Bit und Byte wiederholen 1 Byte besteht aus: 8 Bit Beispiele: 100 Mbit/s ist nicht dasselbe wie: 100 MB/s Umrechnung: Bit durch 8 = Byte Byte mal 8 = Bit Merksatz: Bit ist klein b. Byte ist großes B. Typische Einheitenfallen Schreibweise Bedeutung b Bit B Byte kbit Kilobit kB Kilobyte Mbit Megabit MB Megabyte Gbit Gigabit GB Gigabyte Merksatz: Großes B ist Byte. Kleines b ist Bit. Prüfungsstrategie bei Fehlersuche Bei Fehlersuche: Problem genau lesen. Symptome markieren. Betroffene Systeme erkennen. Funktioniert IP? Funktioniert DNS? Ist Gateway korrekt? Ist Dienst erreichbar? Ist Port offen? Gibt es Firewall-Regeln? Gab es Änderungen? Was ist die wahrscheinlichste Ursache? Merksatz: Symptome zuerst, Lösung danach. Signalwörter in Prüfungsaufgaben Typische Signalwörter: Signalwort Hinweis IP geht, Name nicht DNS lokal geht, Internet nicht Gateway oder NAT nur ein VLAN betroffen VLAN oder Routing nur ein Dienst betroffen Port, Dienst, Firewall alle Dienste langsam Netzwerk, Last, DNS oder Speicher Anmeldung schlägt fehl Authentifizierung oder Konto Zugriff verweigert Autorisierung oder Rechte Zertifikatswarnung Zertifikat, Hostname oder Zeit nach Update defekt Änderung, Version, Kompatibilität nur extern nicht erreichbar Firewall, NAT, DNS, Provider Merksatz: Signalwörter zeigen die Richtung der Fehlersuche. Typische IHK-Prüfungsfallen OSI-Schichten verwechseln. TCP und UDP verwechseln. MAC, IP und Port verwechseln. DNS und DHCP verwechseln. NAT und Portweiterleitung verwechseln. Firewall und Router verwechseln. VLAN trennt Schicht 2, Routing verbindet Netze. ping prüft ICMP, nicht jeden Dienst. Kein ping bedeutet nicht automatisch Ziel offline. IP funktioniert, Name nicht: DNS prüfen. RDP nutzt TCP 3389. SSH nutzt TCP 22. SMB nutzt TCP 445. HTTPS nutzt TCP 443. DHCP nutzt UDP 67 und 68. DNS nutzt häufig UDP 53, je nach Fall auch TCP 53. FTP ist unverschlüsselt. SFTP ist nicht FTPS. Backup, Replikation und Synchronisation unterscheiden. RPO und RTO unterscheiden. Authentifizierung und Autorisierung unterscheiden. Least Privilege nicht mit Need to Know verwechseln. Prüfungsantworten kurz und fachlich formulieren Eine gute Prüfungsantwort ist: fachlich korrekt kurz begründet auf die Aufgabe bezogen ohne unnötiges Ausschweifen Schlechtes Beispiel: Vielleicht liegt es am Internet. Besser: Da die Verbindung zur IP-Adresse funktioniert, aber die Namensauflösung fehlschlägt, liegt wahrscheinlich ein DNS-Problem vor. Merksatz: Antwort immer aus dem Fehlerbild begründen. Beispiel: DNS-Fehler erkennen Fehlerbild: Webseite ist per IP erreichbar, aber nicht per Namen. Wahrscheinliche Ursache: DNS-Problem Prüfung: DNS-Server prüfen nslookup oder dig nutzen DNS-Cache prüfen richtigen DNS-Server konfigurieren Merksatz: IP ja, Name nein: DNS. Beispiel: Gateway-Fehler erkennen Fehlerbild: Client erreicht lokale Systeme, aber keine externen Netze. Wahrscheinliche Ursache: Standardgateway fehlt oder ist falsch. Prüfung: IP-Konfiguration prüfen Gateway prüfen Routing-Tabelle prüfen Gateway anpingen Merksatz: Lokal ja, extern nein: Gateway prüfen. Beispiel: Firewall-Fehler erkennen Fehlerbild: Server ist erreichbar, aber bestimmter Dienst nicht. Mögliche Ursache: Port wird blockiert Dienst läuft nicht Firewall-Regel fehlt Prüfung: Dienststatus prüfen Port prüfen Firewall-Regeln prüfen Logs prüfen Merksatz: Host erreichbar, Dienst nicht: Port, Dienst und Firewall prüfen. Beispiel: Rechteproblem erkennen Fehlerbild: Benutzer kann sich anmelden, aber Datei nicht öffnen. Wahrscheinliche Ursache: Autorisierungs- oder Berechtigungsproblem Prüfung: Gruppenmitgliedschaft Freigaberechte Dateisystemrechte ACL Deny-Regeln Merksatz: Anmeldung erfolgreich, Zugriff verweigert: Rechte prüfen. Beispiel: Zertifikatsproblem erkennen Fehlerbild: Browser meldet Zertifikatswarnung. Mögliche Ursachen: Zertifikat abgelaufen Hostname passt nicht Zertifikatskette unvollständig Systemzeit falsch falsches Zertifikat installiert Merksatz: Zertifikatsfehler: Ablauf, Name, Kette und Zeit prüfen. Checkliste: letzte Wiederholung vor der Prüfung OSI-Schichten sicher können. TCP/IP-Modell sicher können. MAC, IP und Port unterscheiden. Private IP-Bereiche kennen. Subnetting üben. Netzadresse und Broadcast berechnen. Gateway, DNS und DHCP unterscheiden. TCP und UDP vergleichen. Standardports wiederholen. NAT, PAT und Portweiterleitung unterscheiden. Firewall-Regeln verstehen. VLAN und Routing unterscheiden. VPN-Arten wiederholen. Cloud-Modelle unterscheiden. Sicherheitsangriffe zuordnen. Schutzmaßnahmen nennen können. Backup, Restore, RPO und RTO unterscheiden. Rechte, Rollen und Gruppen verstehen. Logging, Monitoring und Alerting unterscheiden. Fehlersuche systematisch erklären. Merksatz: Wer sauber zuordnet, löst viele Prüfungsaufgaben sicherer. IHK-sichere Kurzformulierung In der Prüfungsvorbereitung sollten Netzwerkthemen nicht isoliert, sondern im Zusammenhang wiederholt werden. Das OSI-Modell hilft bei der strukturierten Fehlersuche, während das TCP/IP-Modell die praktische Kommunikation beschreibt. MAC-Adressen arbeiten auf Schicht 2, IP-Adressen auf Schicht 3 und Ports auf Schicht 4. DNS löst Namen auf, DHCP verteilt Netzwerkkonfiguration und das Gateway verbindet einen Host mit anderen Netzen. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und schlank. Firewalls filtern Verkehr, NAT übersetzt Adressen, VPNs verschlüsseln Verbindungen und Backups ermöglichen Wiederherstellung. Bei Prüfungsaufgaben sollten Symptome genau gelesen, Signalwörter erkannt und Lösungen fachlich kurz begründet werden. Wichtigste Merksätze Prüfungsvorbereitung heißt Zusammenhänge verstehen. Erst Aufgabe lesen, dann Lösung ableiten. OSI hilft bei Fehlersuche. TCP/IP beschreibt praktische Kommunikation. Kapselung verpackt Daten schichtweise. MAC ist Schicht 2. IP ist Schicht 3. Port ist Schicht 4. MAC lokal, IP logisch, Port Dienst. IPv4 hat 32 Bit. Präfix bestimmt Netz- und Hostanteil. Pro Netzbit weniger halbiert sich die Hostanzahl. Pro Hostbit mehr verdoppelt sich die Hostanzahl. Netzadresse ist erste Adresse. Broadcast ist letzte Adresse. Gateway führt in andere Netze. DNS löst Namen auf. DHCP verteilt IP-Konfiguration. ARP löst IPv4 zu MAC auf. Switch lernt MAC-Adressen. VLAN trennt logisch. Routing verbindet Netze. ICMP hilft bei Diagnose. TCP ist zuverlässig. UDP ist schnell und verbindungslos. NAT übersetzt Adressen. PAT nutzt Ports zur Zuordnung. Firewall filtert Verkehr. DMZ trennt öffentliche Dienste. VPN verschlüsselt Verbindungen. IaaS, PaaS und SaaS unterscheiden. Public, Private, Hybrid und Multi Cloud unterscheiden. Vertraulichkeit, Integrität und Verfügbarkeit unterscheiden. Angriff dem Schutzziel zuordnen. Schutzmaßnahmen kombinieren. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Bit und Byte unterscheiden. IP funktioniert, Name nicht: DNS prüfen. Lokal geht, extern nicht: Gateway prüfen. Host geht, Dienst nicht: Port, Dienst und Firewall prüfen. Anmeldung geht, Zugriff nicht: Rechte prüfen. Zertifikatsfehler: Ablauf, Name, Kette und Zeit prüfen. Signalwörter erkennen. Prüfungsantwort kurz, fachlich und begründet formulieren. 18. Prüfungsvorbereitung und Wiederholung 18.1 Prüfungsstrategie: Aufgaben richtig lesen und sicher beantworten In Prüfungen reicht Fachwissen allein nicht aus. Wichtig ist auch, Aufgaben richtig zu lesen, Signalwörter zu erkennen und Antworten fachlich passend zu formulieren. Viele Fehler entstehen nicht, weil das Thema unbekannt ist, sondern weil die Aufgabenstellung falsch verstanden wird. Merksatz: Erst verstehen, dann antworten. Warum Aufgabenlesen so wichtig ist Prüfungsaufgaben enthalten oft Hinweise, die direkt zur Lösung führen. Diese Hinweise stehen zum Beispiel in: Fehlerbeschreibung IP-Konfiguration Netzplan Tabellen Protokollausgabe Logmeldung Benutzerbeschreibung Rahmenbedingungen Einschränkungen Formulierung der Frage Merksatz: Die Lösung steht oft indirekt schon in der Aufgabe. Typischer Fehler: zu schnell antworten Ein häufiger Prüfungsfehler ist: Man erkennt ein bekanntes Stichwort und antwortet sofort aus dem Gedächtnis. Problem: Die Aufgabe fragt vielleicht etwas anderes. Beispiel: In der Aufgabe steht DNS, aber gefragt ist nicht: Was ist DNS? Sondern: Warum funktioniert die Namensauflösung nur im VPN? Dann geht es wahrscheinlich um: Split-DNS DNS-Server VPN-Konfiguration interne und externe Namensauflösung Merksatz: Nicht auf das erste bekannte Wort springen. Drei-Schritte-Methode Bei jeder Prüfungsaufgabe hilft eine einfache Methode: 1. Aufgabenstellung genau lesen. 2. Gegebene Informationen markieren. 3. Antwort direkt auf die Frage formulieren. Merksatz: Frage, Hinweise, Antwort. Schritt 1: Aufgabenstellung genau lesen Wichtige Fragen: Was wird wirklich gefragt? Soll ich erklären? Soll ich berechnen? Soll ich vergleichen? Soll ich begründen? Soll ich eine Maßnahme nennen? Soll ich einen Fehler finden? Soll ich eine Konfiguration bewerten? Merksatz: Die Operatoren bestimmen, wie ausführlich die Antwort sein muss. Operatoren in Prüfungsaufgaben Operatoren sind Arbeitsaufträge. Typische Operatoren: Operator Bedeutung nennen kurze Stichpunkte oder Begriffe beschreiben sachlich darstellen erklären Zusammenhang verständlich machen begründen warum etwas so ist vergleichen Gemeinsamkeiten und Unterschiede berechnen rechnerisch ermitteln ermitteln aus Angaben ableiten bewerten fachlich einschätzen erläutern ausführlicher erklären zuordnen Begriffe passend einordnen Merksatz: Operator beachten, sonst ist die Antwort schnell zu kurz oder zu lang. Nennen Wenn die Aufgabe „nennen“ verlangt, reichen meist kurze Begriffe. Beispiel: Nennen Sie zwei Vorteile von VLANs. Mögliche Antwort: Trennung von Broadcast-Domänen bessere Segmentierung erhöhte Sicherheit durch logische Netztrennung Merksatz: Nennen = kurz und direkt. Beschreiben Bei „beschreiben“ soll ein Sachverhalt dargestellt werden. Beispiel: Beschreiben Sie die Aufgabe eines DHCP-Servers. Mögliche Antwort: Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Standardgateway und DNS-Server zu. Merksatz: Beschreiben = was passiert? Erklären Bei „erklären“ soll der Zusammenhang klar werden. Beispiel: Erklären Sie, warum ein Client ohne Standardgateway keine Internetverbindung hat. Mögliche Antwort: Das Standardgateway ist der Router in andere Netze. Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen, aber keine externen Netze wie das Internet. Merksatz: Erklären = Zusammenhang zeigen. Begründen Bei „begründen“ muss ein Warum enthalten sein. Beispiel: Begründen Sie, warum RDP nicht direkt aus dem Internet erreichbar sein sollte. Mögliche Antwort: RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe, Credential Stuffing und Exploits. Deshalb sollte RDP über VPN, Gateway, MFA und Firewall-Beschränkungen abgesichert werden. Merksatz: Begründen = Aussage plus Warum. Vergleichen Bei „vergleichen“ sollten mindestens zwei Dinge gegenübergestellt werden. Beispiel: Vergleichen Sie TCP und UDP. Mögliche Antwort: Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit bestätigt und wiederholt Daten keine eingebaute Zustellgarantie Overhead höher geringer Beispiele HTTP, HTTPS, SSH DNS, DHCP, VoIP Merksatz: Vergleichen = Unterschiede und Gemeinsamkeiten sichtbar machen. Berechnen Bei „berechnen“ muss ein Ergebnis aus Zahlen abgeleitet werden. Typische Themen: Subnetting Hostanzahl Netzadresse Broadcastadresse Übertragungszeit Speicherbedarf Verfügbarkeit RPO/RTO Datenrate Kosten Merksatz: Berechnen = Einheit, Formel und Ergebnis sauber beachten. Bewerten Bei „bewerten“ soll fachlich eingeschätzt werden. Beispiel: Bewerten Sie, ob eine öffentliche SMB-Freigabe im Internet sinnvoll ist. Mögliche Antwort: Eine öffentliche SMB-Freigabe ist aus Sicherheitsgründen kritisch, da SMB ein häufig angegriffenes Protokoll ist und Dateifreigaben sensible Daten enthalten können. Besser wäre ein Zugriff über VPN, SFTP oder eine abgesicherte Plattform mit Authentifizierung, Protokollierung und Rechtebegrenzung. Merksatz: Bewerten = fachliche Einschätzung mit Begründung. Aufgabentext markieren Beim Lesen sollten wichtige Informationen gedanklich markiert werden. Besonders wichtig: IP-Adressen Subnetzmasken Gateways DNS-Server Ports Protokolle Fehlermeldungen betroffene Systeme Zeitpunkt letzte Änderung Benutzerrechte Sicherheitsanforderungen Merksatz: Zahlen, Fehler und Einschränkungen sind meistens prüfungsrelevant. Signalwörter erkennen Viele Aufgaben enthalten typische Signalwörter. Signalwort oder Fehlerbild Wahrscheinliche Richtung IP erreichbar, Name nicht DNS lokales Netz erreichbar, Internet nicht Gateway, NAT oder Firewall nur bestimmter Port geht nicht Firewall, Dienst oder Port alle Benutzer betroffen zentraler Dienst oder Netzwerk nur ein Benutzer betroffen Konto, Rechte oder Client nach Update Änderung, Version oder Kompatibilität Zertifikatswarnung Zertifikat, Hostname, Zeit Zugriff verweigert Autorisierung, ACL, Gruppe Anmeldung fehlgeschlagen Authentifizierung falsche IP automatisch erhalten DHCP IP 169.254.x.x keine gültige DHCP-Adresse nur ein VLAN betroffen VLAN, Routing oder Firewall Verbindung langsam Last, Latenz, Paketverlust oder DNS Merksatz: Signalwörter zeigen, wo die Fehlersuche beginnen sollte. Aufgaben mit Netzplan Bei Aufgaben mit Netzplan zuerst prüfen: Welche Netze gibt es? Welche Subnetze sind eingetragen? Wo ist das Gateway? Welche VLANs gibt es? Wo steht die Firewall? Wo findet NAT statt? Welche Dienste stehen in der DMZ? Welche Verbindung ist erlaubt? Welche Verbindung ist blockiert? Merksatz: Netzplan zuerst verstehen, dann Fehler suchen. Aufgaben mit Tabellen Tabellen enthalten oft konkrete Hinweise. Zu prüfen: stimmen IP-Adressen? passen Subnetzmasken? ist Gateway im gleichen Netz? sind DNS-Server plausibel? sind Ports korrekt? sind VLANs richtig zugeordnet? sind Rechte korrekt? sind Kosten oder Zeiten korrekt? Merksatz: Tabellen nicht überfliegen, sondern systematisch prüfen. Aufgaben mit Logs Logs zeigen Ereignisse. Bei Logaufgaben prüfen: Zeitpunkt Quelle Ziel Benutzer Fehlermeldung Statuscode Port Dienst erfolgreiche oder fehlgeschlagene Aktion wiederholte Muster Merksatz: Logs beantworten oft: Wer, wann, was, von wo, mit welchem Ergebnis? Aufgaben mit HTTP-Statuscodes HTTP-Statuscodes richtig einordnen: Statuscode Bedeutung 200 erfolgreich 301 / 302 Weiterleitung 400 fehlerhafte Anfrage 401 nicht authentifiziert 403 verboten 404 nicht gefunden 500 interner Serverfehler 502 Fehler beim Gateway oder Backend 503 Dienst nicht verfügbar Merksatz: 4xx deutet eher auf Client, Anfrage oder Rechte. 5xx deutet eher auf Server, Anwendung oder Backend. Aufgaben mit IP-Konfiguration Bei IP-Konfiguration prüfen: IP-Adresse vorhanden? Subnetzmaske korrekt? Gateway im gleichen Netz? DNS-Server korrekt? DHCP oder statisch? doppelte IP möglich? APIPA-Adresse vorhanden? IPv4 oder IPv6 relevant? Merksatz: IP, Maske, Gateway und DNS gemeinsam prüfen. APIPA erkennen APIPA-Adressen liegen im Bereich: 169.254.0.0/16 Sie entstehen, wenn ein Client keine gültige DHCP-Adresse erhält. Typisches Fehlerbild: Client hat 169.254.x.x und erreicht keine normalen Netzdienste. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. Gateway im gleichen Netz prüfen Das Gateway muss für den Client lokal erreichbar sein. Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Problem: Gateway liegt nicht im gleichen Subnetz. Merksatz: Standardgateway muss im erreichbaren lokalen Netz liegen. DNS-Problem sicher erkennen Typisches Fehlerbild: ping auf IP-Adresse funktioniert ping oder Zugriff per Name funktioniert nicht Wahrscheinliche Ursache: DNS Prüfen: DNS-Server DNS-Eintrag DNS-Suffix Split-DNS DNS-Cache Merksatz: IP ja, Name nein: DNS. Firewall-Problem sicher erkennen Typisches Fehlerbild: Zielhost ist erreichbar, aber bestimmter Dienst nicht. Mögliche Ursachen: Firewall blockiert Port Dienst läuft nicht Dienst lauscht auf falscher Schnittstelle NAT oder Portweiterleitung fehlt Prüfen: Port Dienststatus Firewall-Regel Logs Merksatz: Host ja, Dienst nein: Port, Dienst, Firewall. Rechteproblem sicher erkennen Typisches Fehlerbild: Anmeldung funktioniert, Zugriff auf Datei oder Anwendung aber nicht. Wahrscheinliche Ursache: Autorisierung oder Berechtigung Prüfen: Gruppe Rolle ACL Freigaberecht Dateisystemrecht Deny-Regel Lizenz Anwendungseinstellung Merksatz: Login ja, Zugriff nein: Rechte. Authentifizierungsproblem sicher erkennen Typisches Fehlerbild: Benutzer kann sich nicht anmelden. Mögliche Ursachen: falsches Passwort Konto gesperrt Konto deaktiviert MFA-Problem Verzeichnisdienst nicht erreichbar Uhrzeitproblem Zertifikatsproblem abgelaufenes Passwort Merksatz: Anmeldung scheitert: Authentifizierung prüfen. Zeitproblem erkennen Falsche Uhrzeit kann viele Fehler verursachen. Typische Auswirkungen: Zertifikatsfehler Kerberos-Fehler MFA-Probleme ungültige Tokens falsche Log-Zuordnung geplante Aufgaben laufen falsch Merksatz: Bei Zertifikat, Kerberos und Logs immer auch Zeit prüfen. Subnetting-Aufgaben richtig angehen Bei Subnetting immer klären: Welche Adresse ist gegeben? Welcher Präfix ist gegeben? Wie viele Hostbits gibt es? Wie viele Adressen gibt es? Wie viele nutzbare Hosts gibt es? Wie groß ist die Blockgröße? Wo beginnt das Netz? Wo endet das Netz? Merksatz: Subnetting ist systematische Grenzberechnung. Subnetting-Reihenfolge Sinnvolle Reihenfolge: 1. Präfix bestimmen. 2. Hostbits berechnen. 3. Gesamtadressen berechnen. 4. Nutzbare Hosts berechnen. 5. Blockgröße bestimmen. 6. Netzadresse bestimmen. 7. Broadcastadresse bestimmen. 8. erste und letzte nutzbare Adresse bestimmen. Merksatz: Immer in derselben Reihenfolge rechnen. Hostanzahl berechnen Formel: nutzbare Hosts = 2 hoch Hostbits minus 2 Beispiel: /26 Hostbits: 32 - 26 = 6 Adressen: 2 hoch 6 = 64 Nutzbare Hosts: 64 - 2 = 62 Merksatz: Hostbits bestimmen die Hostanzahl. Blockgröße erkennen Die Blockgröße zeigt, in welchen Schritten Subnetze springen. Beispiel: /26 entspricht Maske 255.255.255.192 Blockgröße: 256 - 192 = 64 Subnetze im letzten Oktett: 0 64 128 192 Merksatz: Blockgröße = 256 minus interessanter Maskenwert. Netzadresse und Broadcast finden Beispiel: IP: 192.168.1.70/26 Blockgröße: 64 Subnetze: 192.168.1.0 192.168.1.64 192.168.1.128 192.168.1.192 Die Adresse 70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 Netzadresse: 192.168.1.64 Broadcast: 192.168.1.127 Nutzbar: 192.168.1.65 bis 192.168.1.126 Merksatz: IP-Adresse liegt immer in genau einem Subnetzbereich. Standardports sicher wiederholen Dienst Protokoll Port SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS UDP/TCP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 IMAP TCP 143 HTTPS TCP 443 SMB TCP 445 SMTPS TCP 465 IMAPS TCP 993 POP3S TCP 995 RDP TCP 3389 Merksatz: Ports nicht nur auswendig lernen, sondern Dienst und Protokoll verstehen. TCP oder UDP in der Prüfung Typische Zuordnung: TCP: wenn zuverlässige Verbindung wichtig ist UDP: wenn geringe Verzögerung oder einfache Anfrage wichtig ist Beispiele: HTTP nutzt TCP, weil Webseiten vollständig übertragen werden sollen. DNS nutzt häufig UDP, weil einzelne Anfragen schnell beantwortet werden. VoIP nutzt häufig UDP, weil Verzögerung schlimmer ist als einzelner Paketverlust. Merksatz: TCP = Zuverlässigkeit. UDP = wenig Overhead. Sicherheitsaufgaben richtig beantworten Bei Sicherheitsfragen immer prüfen: Welches Schutzziel ist betroffen? Welche Schwachstelle wird ausgenutzt? Welche Bedrohung liegt vor? Welche Maßnahme reduziert das Risiko? Ist die Maßnahme technisch, organisatorisch, personell oder physisch? Merksatz: Sicherheitsantworten mit Schutzziel und Maßnahme begründen. Schutzziele zuordnen Schutzziel Typische Verletzung Vertraulichkeit unberechtigtes Lesen Integrität unbemerkte Veränderung Verfügbarkeit Dienst oder Daten nicht nutzbar Authentizität falsche Identität Nichtabstreitbarkeit Handlung nicht nachweisbar Merksatz: Erst Schutzziel erkennen, dann Schutzmaßnahme nennen. Schutzmaßnahmen zuordnen Risiko passende Maßnahme Passwortdiebstahl MFA, Passwortmanager Malware EDR, Patchmanagement, Rechtebegrenzung Ransomware Backup, Immutable Backup, Segmentierung DDoS DDoS-Schutz, CDN, Rate Limiting Datenabfluss DLP, Verschlüsselung, Rechtekonzept unsichere Freigabe Least Privilege, Ablaufdatum, Audit veraltete Software Patchmanagement Fehlkonfiguration Change Management, Vier-Augen-Prinzip unklare Vorfälle Logging, SIEM, Monitoring Merksatz: Maßnahme muss zum Risiko passen. Antworten nicht zu allgemein formulieren Zu allgemein: Man sollte das sicherer machen. Besser: Der Zugriff sollte über VPN und MFA abgesichert werden, damit der Administrationsdienst nicht direkt aus dem Internet erreichbar ist und gestohlene Passwörter allein nicht ausreichen. Merksatz: Konkrete Maßnahme plus Grund nennen. Fachbegriffe korrekt verwenden Häufige Verwechslungen vermeiden: Nicht verwechseln Unterschied Authentifizierung / Autorisierung Identität prüfen / Rechte prüfen DNS / DHCP Namen auflösen / IP-Konfiguration verteilen NAT / PAT Adresse übersetzen / Port zur Zuordnung nutzen IDS / IPS erkennen / erkennen und blockieren SFTP / FTPS SSH-basiert / FTP mit TLS Backup / Replikation Wiederherstellung alter Stände / aktuelle Kopie Redundanz / Backup Verfügbarkeit / Wiederherstellung RPO / RTO Datenverlust / Wiederherstellungszeit VLAN / Subnetz Layer-2-Trennung / Layer-3-Netz Switch / Router Frames im LAN / Pakete zwischen Netzen Merksatz: Fachbegriffe sauber trennen bringt Punkte. Prüfungsantwort bei Fehlersuche aufbauen Gute Struktur: 1. Wahrscheinliche Ursache nennen. 2. Begründung aus Fehlerbild geben. 3. Prüfung oder Maßnahme nennen. Beispiel: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Der DNS-Server und der entsprechende DNS-Eintrag sollten mit nslookup oder dig geprüft werden. Merksatz: Ursache, Begründung, Prüfung. Prüfungsantwort bei Sicherheitsmaßnahme aufbauen Gute Struktur: 1. Risiko nennen. 2. Maßnahme nennen. 3. Wirkung erklären. Beispiel: Das Risiko besteht im Passwortdiebstahl durch Phishing. Als Maßnahme sollte MFA eingesetzt werden. Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus. Merksatz: Risiko, Maßnahme, Wirkung. Prüfungsantwort bei Vergleich aufbauen Gute Struktur: 1. Gemeinsamkeit nennen. 2. Unterschied nennen. 3. Einsatzbeispiel nennen. Beispiel: TCP und UDP sind Transportprotokolle. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und hat weniger Overhead. TCP wird zum Beispiel bei HTTPS genutzt, UDP häufig bei DNS oder VoIP. Merksatz: Gemeinsamkeit, Unterschied, Beispiel. Prüfungsantwort bei Berechnung aufbauen Gute Struktur: 1. gegebene Werte nennen 2. Formel oder Regel anwenden 3. Ergebnis mit Einheit angeben 4. Plausibilität prüfen Beispiel: Bei /26 gibt es 6 Hostbits. 2 hoch 6 ergibt 64 Adressen. Davon sind 62 nutzbar, da Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Merksatz: Ergebnis immer mit Einheit oder Bedeutung angeben. Wenn mehrere Antworten möglich sind Manche Aufgaben erlauben mehrere sinnvolle Lösungen. Dann wichtig: Maßnahme fachlich begründen und zur Aufgabenstellung passend wählen Beispiel: RDP absichern Mögliche Maßnahmen: VPN RDP Gateway MFA Quell-IP-Beschränkung NLA Account Lockout Logging Merksatz: Mehrere Maßnahmen sind möglich, aber sie müssen zum Problem passen. Wenn eine Aufgabe nach „zwei Maßnahmen“ fragt Dann genau zwei nennen, nicht zehn. Besser: 1. MFA aktivieren, damit ein gestohlenes Passwort allein nicht ausreicht. 2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken, damit der Dienst nicht breit aus dem Internet erreichbar ist. Merksatz: Gefragte Anzahl beachten. Wenn eine Aufgabe nach Vorteilen und Nachteilen fragt Antwort sauber trennen. Beispiel: Maßnahme Vorteil Nachteil Cloud-Backup externer Standort, skalierbar abhängig von Internet und Anbieter lokales Backup schneller Restore Risiko bei Standortausfall Merksatz: Vorteile und Nachteile nicht vermischen. Wenn eine Aufgabe nach Reihenfolge fragt Reihenfolge ist besonders wichtig bei: DHCP-Ablauf TCP-Verbindungsaufbau Backup-Restore Incident Response Fehlersuche Change Management Kapselung OSI-Schichten Merksatz: Bei Reihenfolgeaufgaben keine Schritte vertauschen. Typische Reihenfolgen wiederholen DHCP: Discover Offer Request Acknowledge Incident Response: erkennen bewerten eindämmen beseitigen wiederherstellen verbessern Change Management: planen bewerten freigeben umsetzen testen dokumentieren Fehlersuche: physisch IP Gateway DNS Routing Firewall Dienst Logs Merksatz: Reihenfolgen sind klassische Prüfungspunkte. Wenn du unsicher bist Bei Unsicherheit hilft: Aufgabe nochmals lesen. Signalwörter suchen. OSI-Schicht zuordnen. Schutzziel zuordnen. Ausschlussverfahren nutzen. Grundbegriffe sauber verwenden. Antwort knapp begründen. Merksatz: Unsicherheit wird kleiner, wenn man strukturiert bleibt. Typische Prüfungsfehler vermeiden Häufige Fehler: Frage nicht genau gelesen Operator ignoriert zu allgemein geantwortet falsche Anzahl genannt Einheiten verwechselt Bit und Byte verwechselt IP und DNS verwechselt Authentifizierung und Autorisierung verwechselt Backup und Replikation verwechselt keine Begründung gegeben Maßnahme passt nicht zum Risiko Fachwort falsch benutzt Merksatz: Viele Punkte gehen durch ungenaue Formulierung verloren. Checkliste: Aufgabe bearbeiten Aufgabenstellung vollständig lesen. Operator markieren. Zahlen und technische Angaben markieren. Fehlerbild erkennen. Betroffene Schicht zuordnen. Signalwörter beachten. Gefragte Anzahl beachten. Antwort direkt zur Frage formulieren. Fachbegriffe korrekt verwenden. Kurz begründen. Ergebnis mit Einheit angeben. Plausibilität prüfen. Merksatz: Jede Antwort muss zur Frage passen. Checkliste: technische Fehlersuche in Prüfungsaufgaben Ist das Kabel oder WLAN plausibel? Hat der Client eine IP-Adresse? Passt die Subnetzmaske? Ist das Gateway korrekt? Funktioniert lokale Kommunikation? Funktioniert IP-Kommunikation? Funktioniert DNS? Ist Routing korrekt? Blockiert eine Firewall? Läuft der Dienst? Lauscht der richtige Port? Gibt es Rechteprobleme? Gibt es Loghinweise? Gab es Änderungen? Merksatz: Fehlersuche von unten nach oben denken. Checkliste: Sicherheitsfrage beantworten Schutzziel bestimmen. Schwachstelle erkennen. Bedrohung benennen. Risiko beschreiben. passende Maßnahme nennen. Wirkung erklären. technische und organisatorische Maßnahmen unterscheiden. Least Privilege prüfen. Logging und Monitoring beachten. Backup und Restore berücksichtigen. Merksatz: Sicherheit immer mit Risiko und Wirkung begründen. Checkliste: Rechenaufgabe prüfen Einheit lesen. Bit oder Byte unterscheiden. Präfix beachten. Formel richtig anwenden. Zwischenschritt prüfen. Ergebnis mit Einheit angeben. Plausibilität prüfen. bei Subnetting Netz und Broadcast beachten. bei Übertragung Datenmenge und Datenrate passend umrechnen. Merksatz: Rechenfehler entstehen oft durch Einheitenfehler. IHK-sichere Kurzformulierung Bei Prüfungsaufgaben sollte zuerst die Aufgabenstellung genau gelesen und der Operator erkannt werden. Begriffe wie nennen, erklären, vergleichen, begründen oder berechnen bestimmen die Art der Antwort. Technische Hinweise wie IP-Adressen, Subnetzmasken, Ports, Fehlermeldungen, Logs und Signalwörter müssen sorgfältig ausgewertet werden. Bei Fehlersuche hilft das OSI-Modell, um systematisch von physischer Verbindung über IP, DNS, Routing, Firewall, Dienst und Anwendung zu prüfen. Gute Prüfungsantworten nennen die wahrscheinliche Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Schutzziel, Risiko, Maßnahme und Wirkung klar verbunden werden. Merksätze Erst verstehen, dann antworten. Operator bestimmt Antwortform. Nennen heißt kurz. Erklären heißt Zusammenhang zeigen. Begründen heißt Warum nennen. Vergleichen heißt gegenüberstellen. Berechnen heißt mit Einheit arbeiten. Signalwörter ernst nehmen. Netzpläne zuerst verstehen. Tabellen systematisch prüfen. Logs beantworten: wer, wann, was, von wo, mit welchem Ergebnis. 4xx eher Client oder Rechte. 5xx eher Server oder Backend. 169.254.x.x deutet auf DHCP-Problem. Gateway muss lokal erreichbar sein. IP ja, Name nein: DNS. Host ja, Dienst nein: Port, Dienst, Firewall. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. Zertifikatsfehler: Ablauf, Name, Kette, Zeit. Subnetting immer gleich lösen. Hostbits bestimmen Hostanzahl. Blockgröße hilft bei Netzgrenzen. Ports sicher wiederholen. TCP steht für Zuverlässigkeit. UDP steht für wenig Overhead. Sicherheitsfragen mit Schutzziel beantworten. Maßnahme muss zum Risiko passen. Fachbegriffe sauber trennen. Gute Fehlerantwort: Ursache, Begründung, Prüfung. Gute Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Gefragte Anzahl beachten. Reihenfolgen nicht vertauschen. Bei Unsicherheit strukturiert bleiben. Jede Antwort muss zur Frage passen. 18.2 Typische Prüfungsaufgaben und Musterantworten Diese Seite enthält typische Aufgabenformen, wie sie in Prüfungen zur Netzwerktechnik, Administration und IT-Sicherheit vorkommen können. Ziel ist nicht, Antworten auswendig zu lernen. Ziel ist, zu erkennen: - Was fragt die Aufgabe? - Welche Hinweise stehen im Text? - Welches Thema ist betroffen? - Welche Antwort ist fachlich passend? - Wie formuliere ich kurz und prüfungssicher? Merksatz: Gute Prüfungsantworten sind kurz, fachlich und direkt auf die Aufgabe bezogen. Aufgabe 1: DNS-Fehler erkennen Aufgabe: Ein Client kann eine Webseite über die IP-Adresse erreichen, aber nicht über den Domainnamen. Nennen Sie eine wahrscheinliche Ursache. Musterantwort: Wahrscheinlich liegt ein DNS-Problem vor. Da die IP-Adresse erreichbar ist, funktioniert die grundsätzliche Netzwerkverbindung. Der Name wird aber nicht korrekt in eine IP-Adresse aufgelöst. Prüfung: DNS-Server prüfen. DNS-Eintrag prüfen. nslookup oder dig verwenden. DNS-Cache prüfen. Merksatz: IP funktioniert, Name nicht: DNS prüfen. Aufgabe 2: Gateway-Fehler erkennen Aufgabe: Ein Client erreicht andere Geräte im gleichen Subnetz, aber keine Systeme im Internet. Welche Einstellung ist wahrscheinlich falsch oder fehlt? Musterantwort: Wahrscheinlich fehlt das Standardgateway oder es ist falsch konfiguriert. Das Gateway wird benötigt, um Ziele außerhalb des eigenen Subnetzes zu erreichen. Prüfung: IP-Konfiguration prüfen. Gateway-Adresse prüfen. Routing-Tabelle prüfen. Gateway anpingen. Merksatz: Lokal erreichbar, extern nicht: Gateway prüfen. Aufgabe 3: DHCP-Problem erkennen Aufgabe: Ein Windows-Client hat die IP-Adresse 169.254.23.18. Was bedeutet das? Musterantwort: Die Adresse liegt im APIPA-Bereich 169.254.0.0/16. Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten. Prüfung: DHCP-Server prüfen. Netzwerkverbindung prüfen. VLAN prüfen. DHCP-Scope prüfen. DHCP-Relay prüfen. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. Aufgabe 4: Subnetz prüfen Aufgabe: Ein Client hat die Adresse 192.168.10.50/24. Als Gateway ist 192.168.20.1 eingetragen. Warum funktioniert der Zugriff in andere Netze nicht? Musterantwort: Das Gateway liegt nicht im gleichen Subnetz wie der Client. Bei /24 gehört der Client zum Netz 192.168.10.0/24. Das Gateway 192.168.20.1 liegt im Netz 192.168.20.0/24 und ist daher lokal nicht erreichbar. Merksatz: Das Standardgateway muss im lokalen Subnetz erreichbar sein. Aufgabe 5: Netzadresse berechnen Aufgabe: Ermitteln Sie die Netzadresse zu 192.168.1.70/26. Lösung: /26 bedeutet: 64 Adressen pro Subnetz. Subnetzbereiche: 192.168.1.0 bis 192.168.1.63 192.168.1.64 bis 192.168.1.127 192.168.1.128 bis 192.168.1.191 192.168.1.192 bis 192.168.1.255 Die Adresse 192.168.1.70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 Netzadresse: 192.168.1.64 Broadcastadresse: 192.168.1.127 Nutzbare Hosts: 192.168.1.65 bis 192.168.1.126 Merksatz: Erst Blockgröße bestimmen, dann Bereich finden. Aufgabe 6: Hostanzahl berechnen Aufgabe: Wie viele nutzbare Hosts sind in einem /27-Netz möglich? Lösung: IPv4 hat 32 Bit. /27 bedeutet 27 Netzbits. Hostbits: 32 - 27 = 5 Adressen: 2 hoch 5 = 32 Nutzbare Hosts: 32 - 2 = 30 Antwort: 30 nutzbare Hosts Merksatz: Nutzbare Hosts = 2 hoch Hostbits minus 2. Aufgabe 7: TCP und UDP vergleichen Aufgabe: Vergleichen Sie TCP und UDP. Musterantwort: Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit bestätigt und wiederholt Daten keine eingebaute Zustellgarantie Reihenfolge wird sichergestellt nicht garantiert Overhead höher geringer Beispiele HTTP, HTTPS, SSH DNS, DHCP, VoIP Kurzform: TCP ist verbindungsorientiert und zuverlässig. UDP ist verbindungslos, schneller und hat weniger Overhead. Merksatz: TCP = zuverlässig. UDP = schlank. Aufgabe 8: Port einem Dienst zuordnen Aufgabe: Ordnen Sie den Port TCP 443 einem Dienst zu. Antwort: TCP 443 gehört zu HTTPS. Erklärung: HTTPS ist HTTP über TLS und wird für verschlüsselte Webkommunikation genutzt. Merksatz: HTTPS nutzt TCP 443. Aufgabe 9: SSH-Port nennen Aufgabe: Welchen Standardport nutzt SSH? Antwort: SSH nutzt standardmäßig TCP 22. Zusatz: SSH dient dem verschlüsselten Fernzugriff auf die Kommandozeile und kann auch für SFTP oder SCP genutzt werden. Merksatz: SSH = TCP 22. Aufgabe 10: RDP absichern Aufgabe: Ein Unternehmen betreibt RDP direkt erreichbar aus dem Internet. Nennen Sie zwei Sicherheitsmaßnahmen. Musterantwort: 1. RDP nur über VPN oder RDP-Gateway erreichbar machen, damit der Dienst nicht direkt aus dem Internet angreifbar ist. 2. MFA aktivieren, damit ein gestohlenes Passwort allein nicht für den Zugriff ausreicht. Weitere mögliche Maßnahmen: Quell-IP einschränken Network Level Authentication aktivieren Account Lockout einrichten starke Passwörter erzwingen Logs überwachen Systeme patchen Merksatz: RDP nicht direkt und breit ins Internet öffnen. Aufgabe 11: VLAN erklären Aufgabe: Erklären Sie den Zweck von VLANs. Musterantwort: VLANs teilen ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche auf. Dadurch können zum Beispiel Abteilungen, Gäste, Server oder Managementschnittstellen voneinander getrennt werden. VLANs reduzieren Broadcastbereiche und verbessern Struktur und Sicherheit. Merksatz: VLAN trennt logisch auf Schicht 2. Aufgabe 12: Access-Port und Trunk-Port unterscheiden Aufgabe: Unterscheiden Sie Access-Port und Trunk-Port. Musterantwort: Porttyp Bedeutung Access-Port gehört normalerweise zu genau einem VLAN und wird meist für Endgeräte genutzt Trunk-Port transportiert mehrere VLANs und wird meist zwischen Switches, Routern oder Firewalls genutzt Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. Aufgabe 13: ARP erklären Aufgabe: Wofür wird ARP verwendet? Musterantwort: ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Ein Host nutzt ARP, um die MAC-Adresse des Zielsystems oder des Gateways zu ermitteln. Merksatz: ARP verbindet IPv4-Adresse und MAC-Adresse im lokalen Netz. Aufgabe 14: MAC, IP und Port zuordnen Aufgabe: Ordnen Sie MAC-Adresse, IP-Adresse und Port den passenden OSI-Schichten zu. Antwort: Begriff OSI-Schicht Aufgabe MAC-Adresse Schicht 2 lokale Zustellung im LAN IP-Adresse Schicht 3 logische Adressierung und Routing Port Schicht 4 Zuordnung zu Dienst oder Anwendung Merksatz: MAC lokal, IP logisch, Port Dienst. Aufgabe 15: NAT und PAT unterscheiden Aufgabe: Unterscheiden Sie NAT und PAT. Musterantwort: NAT übersetzt IP-Adressen. PAT ist eine spezielle Form von NAT, bei der zusätzlich Ports verwendet werden, damit mehrere interne Geräte über eine öffentliche IP-Adresse kommunizieren können. Merksatz: NAT übersetzt Adressen. PAT nutzt zusätzlich Ports. Aufgabe 16: Portweiterleitung erklären Aufgabe: Was ist eine Portweiterleitung? Musterantwort: Eine Portweiterleitung leitet eingehenden Verkehr auf einem bestimmten Port von einer öffentlichen Adresse an einen internen Dienst weiter. Dadurch kann ein interner Server von außen erreichbar gemacht werden. Beispiel: extern TCP 443 wird weitergeleitet auf internen Webserver TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. Aufgabe 17: Firewall-Regel bewerten Aufgabe: Eine Firewall-Regel erlaubt Any to Any. Bewerten Sie diese Regel. Musterantwort: Die Regel ist sicherheitskritisch, weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt. Dadurch wird die Angriffsfläche stark vergrößert. Besser ist eine möglichst genaue Regel mit definierter Quelle, definiertem Ziel, benötigtem Port, Protokoll und dokumentiertem Zweck. Merksatz: Firewall-Regeln so eng wie möglich formulieren. Aufgabe 18: DMZ erklären Aufgabe: Was ist eine DMZ? Musterantwort: Eine DMZ ist ein getrenntes Netzwerksegment für öffentlich erreichbare Dienste, zum Beispiel Webserver, Reverse Proxy oder Mail-Gateway. Sie trennt diese Systeme vom internen Netz, damit ein kompromittierter öffentlicher Dienst nicht direkt Zugriff auf interne Systeme erhält. Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. Aufgabe 19: VPN-Arten unterscheiden Aufgabe: Unterscheiden Sie Remote-Access-VPN und Site-to-Site-VPN. Musterantwort: VPN-Art Bedeutung Remote-Access-VPN einzelner Benutzer verbindet sich aus der Ferne mit einem Netzwerk Site-to-Site-VPN zwei Netzwerke oder Standorte werden miteinander verbunden Merksatz: Remote-Access verbindet Benutzer. Site-to-Site verbindet Standorte. Aufgabe 20: IaaS, PaaS und SaaS unterscheiden Aufgabe: Unterscheiden Sie IaaS, PaaS und SaaS. Musterantwort: Modell Bedeutung Beispiel IaaS virtuelle Infrastruktur virtuelle Maschine PaaS Plattform für Anwendungen verwaltete Datenbank oder App-Plattform SaaS fertige Anwendung E-Mail-Dienst oder CRM im Browser Merksatz: IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software. Aufgabe 21: Shared Responsibility erklären Aufgabe: Erklären Sie das Shared-Responsibility-Modell in der Cloud. Musterantwort: Beim Shared-Responsibility-Modell teilen sich Cloud-Anbieter und Kunde die Verantwortung. Der Anbieter schützt die Cloud-Infrastruktur. Der Kunde bleibt verantwortlich für seine Daten, Identitäten, Zugriffsrechte, Konfigurationen und Nutzung der Dienste. Merksatz: Cloud bedeutet nicht, dass der Anbieter alles absichert. Aufgabe 22: Schutzziel zuordnen Aufgabe: Ein Angreifer verändert unbemerkt eine Konfigurationsdatei. Welches Schutzziel ist betroffen? Antwort: Integrität Begründung: Integrität bedeutet, dass Daten nicht unbemerkt verändert werden dürfen. Merksatz: Unbemerkte Veränderung betrifft Integrität. Aufgabe 23: Ransomware-Schutzziel zuordnen Aufgabe: Ransomware verschlüsselt Firmendaten. Welches Schutzziel ist hauptsächlich betroffen? Antwort: Verfügbarkeit Begründung: Die Daten sind nicht mehr nutzbar. Wenn zusätzlich Daten gestohlen und veröffentlicht werden, ist auch Vertraulichkeit betroffen. Merksatz: Ransomware betrifft Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit. Aufgabe 24: Phishing-Maßnahmen nennen Aufgabe: Nennen Sie zwei Maßnahmen gegen Phishing. Musterantwort: 1. MFA einsetzen, damit gestohlene Passwörter allein nicht ausreichen. 2. Benutzer schulen, damit verdächtige E-Mails, Links und Anhänge besser erkannt werden. Weitere mögliche Maßnahmen: E-Mail-Filter SPF, DKIM und DMARC Passwortmanager Meldeprozess sichere Browserkonfiguration Merksatz: Gegen Phishing helfen Technik und Schulung zusammen. Aufgabe 25: IDS und IPS unterscheiden Aufgabe: Was ist der Unterschied zwischen IDS und IPS? Musterantwort: Ein IDS erkennt verdächtige Aktivitäten und meldet sie. Ein IPS erkennt verdächtige Aktivitäten ebenfalls, kann sie aber zusätzlich aktiv blockieren. Merksatz: IDS meldet. IPS blockiert zusätzlich. Aufgabe 26: SIEM erklären Aufgabe: Was ist die Aufgabe eines SIEM? Musterantwort: Ein SIEM sammelt, speichert und korreliert Sicherheitslogs aus verschiedenen Systemen. Dadurch können sicherheitsrelevante Zusammenhänge erkannt und Alarme erzeugt werden. Merksatz: SIEM sammelt und verbindet Sicherheitsereignisse. Aufgabe 27: Authentifizierung und Autorisierung unterscheiden Aufgabe: Unterscheiden Sie Authentifizierung und Autorisierung. Musterantwort: Begriff Frage Beispiel Authentifizierung Wer bist du? Benutzer meldet sich mit Passwort und MFA an Autorisierung Was darfst du? Benutzer darf eine Datei lesen Merksatz: Authentifizierung prüft Identität. Autorisierung prüft Rechte. Aufgabe 28: Least Privilege erklären Aufgabe: Erklären Sie das Prinzip Least Privilege. Musterantwort: Least Privilege bedeutet, dass Benutzer, Dienste und Prozesse nur die Rechte erhalten, die sie für ihre Aufgabe wirklich benötigen. Dadurch wird der mögliche Schaden bei Fehlern oder Angriffen begrenzt. Merksatz: So wenig Rechte wie möglich, so viele wie nötig. Aufgabe 29: Dienstkonto erklären Aufgabe: Was ist ein Dienstkonto? Musterantwort: Ein Dienstkonto ist eine technische Identität, die von einem Dienst, einer Anwendung oder einem automatisierten Prozess genutzt wird. Es sollte nur die Rechte besitzen, die für den jeweiligen Zweck erforderlich sind. Merksatz: Dienstkonten sind technische Identitäten und müssen rechtearm sein. Aufgabe 30: Offboarding begründen Aufgabe: Warum ist Offboarding sicherheitsrelevant? Musterantwort: Beim Offboarding werden nicht mehr benötigte Zugänge entfernt. Wenn alte Benutzerkonten, VPN-Zugänge, SSH-Schlüssel oder Cloud-Rollen aktiv bleiben, können sie später missbraucht werden. Merksatz: Alte Zugänge sind Sicherheitsrisiken. Aufgabe 31: Logs und Monitoring unterscheiden Aufgabe: Unterscheiden Sie Logging und Monitoring. Musterantwort: Begriff Bedeutung Logging Ereignisse werden protokolliert Monitoring Zustände und Metriken werden überwacht Beispiel: Log: Benutzeranmeldung fehlgeschlagen. Monitoring: CPU-Auslastung dauerhaft über 90 Prozent. Merksatz: Logs zeigen Ereignisse. Monitoring zeigt Zustände. Aufgabe 32: NTP bei Logs erklären Aufgabe: Warum ist NTP für die Logauswertung wichtig? Musterantwort: NTP synchronisiert die Systemzeit. Bei der Analyse von Logs müssen Ereignisse verschiedener Systeme zeitlich korrekt zugeordnet werden können. Ohne gemeinsame Zeitbasis wird die Fehlersuche und Sicherheitsanalyse erschwert. Merksatz: Gleiche Zeitbasis macht Logs vergleichbar. Aufgabe 33: HTTP-Statuscode einordnen Aufgabe: Ein Webserver liefert den Statuscode 403. Was bedeutet das? Antwort: 403 bedeutet verboten. Der Client ist zwar grundsätzlich am Server, darf aber auf die angeforderte Ressource nicht zugreifen. Merksatz: 403 = verboten. Aufgabe 34: HTTP 500 einordnen Aufgabe: Eine Webanwendung liefert HTTP 500. Wo liegt das Problem wahrscheinlich? Musterantwort: HTTP 500 weist auf einen internen Serverfehler hin. Die Ursache liegt wahrscheinlich in der Anwendung, im Backend, in einer Abhängigkeit oder in der Serverkonfiguration. Merksatz: 5xx deutet eher auf Server oder Backend. Aufgabe 35: SMB erklären Aufgabe: Wofür wird SMB verwendet und welchen Standardport nutzt es? Musterantwort: SMB wird für Datei- und Druckerfreigaben genutzt, besonders in Windows-Netzwerken. Der Standardport ist TCP 445. Merksatz: SMB = Dateifreigaben, TCP 445. Aufgabe 36: FTP und SFTP unterscheiden Aufgabe: Warum ist FTP unsicher und was ist der Vorteil von SFTP? Musterantwort: Klassisches FTP überträgt Daten und Zugangsdaten unverschlüsselt. SFTP nutzt SSH und überträgt Dateien verschlüsselt. Dadurch sind Zugangsdaten und Dateiinhalt besser geschützt. Merksatz: FTP unverschlüsselt. SFTP über SSH verschlüsselt. Aufgabe 37: SFTP und FTPS unterscheiden Aufgabe: Unterscheiden Sie SFTP und FTPS. Musterantwort: SFTP ist Dateiübertragung über SSH. FTPS ist FTP mit TLS-Verschlüsselung. Beide übertragen verschlüsselt, basieren aber auf unterschiedlichen Protokollen. Merksatz: SFTP ist nicht FTPS. Aufgabe 38: Synchronisation und Backup unterscheiden Aufgabe: Warum ist Synchronisation kein Backup? Musterantwort: Synchronisation hält Daten an mehreren Orten gleich. Wenn eine Datei gelöscht, beschädigt oder durch Ransomware verschlüsselt wird, kann diese Änderung mitsynchronisiert werden. Ein Backup speichert dagegen wiederherstellbare ältere Stände. Merksatz: Sync hält gleich. Backup stellt wieder her. Aufgabe 39: RPO und RTO unterscheiden Aufgabe: Unterscheiden Sie RPO und RTO. Musterantwort: Begriff Bedeutung RPO maximal akzeptabler Datenverlust RTO maximal akzeptable Wiederherstellungszeit Beispiel: RPO 1 Stunde: maximal Datenverlust von 1 Stunde. RTO 4 Stunden: System soll spätestens nach 4 Stunden wieder laufen. Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung. Aufgabe 40: Restore-Test begründen Aufgabe: Warum sind Restore-Tests wichtig? Musterantwort: Restore-Tests prüfen, ob Backups tatsächlich wiederhergestellt werden können. Ohne Restore-Test ist unklar, ob Daten vollständig, lesbar, konsistent und rechtzeitig wiederherstellbar sind. Merksatz: Backup ohne Restore-Test ist unsicher. Aufgabe 41: Snapshot bewerten Aufgabe: Warum ersetzt ein Snapshot kein Backup? Musterantwort: Ein Snapshot liegt oft auf demselben System oder Speicher wie die Produktivdaten. Bei Speicherdefekt, Ransomware, versehentlicher Löschung oder Standortausfall kann auch der Snapshot betroffen sein. Ein Backup sollte getrennt, geschützt und wiederherstellbar sein. Merksatz: Snapshot ist Momentaufnahme, aber kein vollständiges Backup-Konzept. Aufgabe 42: 3-2-1-Regel erklären Aufgabe: Erklären Sie die 3-2-1-Regel. Musterantwort: Die 3-2-1-Regel bedeutet: Es gibt drei Kopien der Daten, auf zwei unterschiedlichen Speicherarten, davon eine Kopie extern oder getrennt vom Hauptsystem. Merksatz: 3 Kopien, 2 Medien, 1 externe Kopie. Aufgabe 43: Dokumentation begründen Aufgabe: Warum ist IT-Dokumentation wichtig? Musterantwort: IT-Dokumentation macht Systeme, IP-Adressen, Dienste, Rechte, Firewall-Regeln, Backups und Abhängigkeiten nachvollziehbar. Sie hilft bei Fehlersuche, Vertretung, Notfällen, Audits und sicheren Änderungen. Merksatz: Dokumentation macht Betrieb nachvollziehbar. Aufgabe 44: Change Management erklären Aufgabe: Was ist Change Management? Musterantwort: Change Management ist ein kontrollierter Prozess für Änderungen an IT-Systemen. Änderungen werden geplant, bewertet, freigegeben, umgesetzt, getestet und dokumentiert. Merksatz: Change Management verhindert unkontrollierte Änderungen. Aufgabe 45: Rollback-Plan erklären Aufgabe: Warum ist ein Rollback-Plan wichtig? Musterantwort: Ein Rollback-Plan beschreibt, wie eine Änderung rückgängig gemacht werden kann, falls sie fehlschlägt. Dadurch können Ausfallzeiten und Folgeschäden reduziert werden. Merksatz: Vor Änderung wissen, wie man zurückkommt. Aufgabe 46: Emergency Change bewerten Aufgabe: Muss ein Emergency Change dokumentiert werden? Antwort: Ja. Ein Emergency Change ist zwar dringend, muss aber spätestens nachträglich dokumentiert werden. Sonst sind Ursache, Wirkung, Risiko und geänderte Konfiguration später nicht nachvollziehbar. Merksatz: Dringend heißt nicht dokumentationsfrei. Aufgabe 47: Runbook erklären Aufgabe: Was ist ein Runbook? Musterantwort: Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Aufgaben oder Störungen. Es beschreibt, wie eine bestimmte administrative Aufgabe oder Fehlerbehebung durchgeführt wird. Merksatz: Runbook = konkrete Schritt-für-Schritt-Anleitung. Aufgabe 48: CMDB erklären Aufgabe: Was ist eine CMDB? Musterantwort: Eine CMDB ist eine Configuration Management Database. Sie enthält Informationen über verwaltete IT-Elemente, sogenannte Configuration Items, und deren Beziehungen. Beispiele: Server Anwendungen Datenbanken Firewalls Zertifikate Lizenzen Merksatz: CMDB zeigt IT-Elemente und ihre Beziehungen. Aufgabe 49: Fehlersuche strukturieren Aufgabe: Ein Benutzer meldet, dass er eine interne Anwendung nicht erreichen kann. Nennen Sie eine sinnvolle Prüfungsreihenfolge. Musterantwort: 1. Prüfen, ob nur ein Benutzer oder mehrere betroffen sind. 2. IP-Konfiguration des Clients prüfen. 3. DNS-Auflösung prüfen. 4. Erreichbarkeit des Servers per IP prüfen. 5. Port und Dienst prüfen. 6. Firewall-Regeln prüfen. 7. Logs der Anwendung und des Servers prüfen. 8. Letzte Änderungen prüfen. Merksatz: Fehlersuche systematisch eingrenzen. Aufgabe 50: Sicherheitsmaßnahme passend auswählen Aufgabe: Ein Unternehmen möchte verhindern, dass ein gestohlenes Passwort allein für den Zugriff auf Cloud-Dienste reicht. Welche Maßnahme ist passend? Antwort: Multi-Faktor-Authentifizierung Begründung: MFA fordert zusätzlich zum Passwort einen weiteren Faktor, zum Beispiel einen Token, eine App-Bestätigung oder eine Smartcard. Dadurch reicht ein gestohlenes Passwort allein nicht aus. Merksatz: Gestohlenes Passwort allein verhindern: MFA. Musterformulierung für Fehlerdiagnose Gute Antwortform: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name jedoch nicht aufgelöst wird. Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden. Struktur: Ursache plus Begründung plus Prüfung Merksatz: Ursache, Begründung, Prüfung. Musterformulierung für Sicherheitsmaßnahmen Gute Antwortform: Das Risiko besteht im unberechtigten Zugriff durch gestohlene Zugangsdaten. Als Maßnahme sollte MFA aktiviert werden. Dadurch reicht ein Passwort allein nicht mehr aus, um Zugriff zu erhalten. Struktur: Risiko plus Maßnahme plus Wirkung Merksatz: Risiko, Maßnahme, Wirkung. Musterformulierung für Vergleiche Gute Antwortform: TCP und UDP sind Transportprotokolle. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und hat weniger Overhead. TCP eignet sich für vollständige Datenübertragung, UDP für zeitkritische Anwendungen wie VoIP. Struktur: Gemeinsamkeit plus Unterschied plus Beispiel Merksatz: Gemeinsamkeit, Unterschied, Beispiel. Musterformulierung für Bewertungen Gute Antwortform: Die Lösung ist kritisch, weil der Administrationsdienst direkt aus dem Internet erreichbar ist. Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits. Sicherer wäre ein Zugriff über VPN oder Bastion Host mit MFA und Protokollierung. Struktur: Einschätzung plus Risiko plus bessere Maßnahme Merksatz: Bewertung braucht fachliche Begründung. Typische Prüfungsfallen auf dieser Seite Antwort nicht auf die Frage bezogen. Operator übersehen. Nur Begriff genannt, obwohl Erklärung verlangt war. Keine Begründung gegeben. Maßnahme genannt, aber Wirkung nicht erklärt. DNS und DHCP verwechselt. Authentifizierung und Autorisierung verwechselt. NAT und PAT verwechselt. SFTP und FTPS verwechselt. RPO und RTO verwechselt. Backup und Synchronisation verwechselt. VLAN und Subnetz gleichgesetzt. Firewallproblem behauptet, ohne Port oder Dienst zu prüfen. Ping als vollständigen Diensttest verstanden. Snapshot als vollständiges Backup bezeichnet. Merksatz: Viele Fehler entstehen durch ungenaue Begriffe. Checkliste: Musterantwort prüfen Vor Abgabe prüfen: Habe ich die Frage beantwortet? Habe ich die geforderte Anzahl genannt? Habe ich den Operator beachtet? Habe ich Fachbegriffe korrekt verwendet? Habe ich kurz begründet? Habe ich bei Berechnungen eine Einheit angegeben? Habe ich bei Fehlersuche Ursache und Prüfung genannt? Habe ich bei Sicherheit Risiko und Maßnahme verbunden? Merksatz: Eine kurze richtige Antwort ist besser als eine lange ungenaue Antwort. IHK-sichere Kurzformulierung Typische Prüfungsaufgaben prüfen nicht nur Definitionen, sondern die Anwendung von Wissen auf Fehlerbilder, Sicherheitsrisiken und technische Szenarien. Gute Antworten nennen die wahrscheinliche Ursache, begründen sie mit den Angaben aus der Aufgabe und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Schutzmaßnahme und Wirkung verbunden werden. Bei Vergleichen sollten Unterschiede klar gegenübergestellt werden. Bei Berechnungen müssen Einheit, Präfix, Formel und Ergebnis stimmen. Fachbegriffe wie DNS, DHCP, Authentifizierung, Autorisierung, NAT, PAT, SFTP, FTPS, Backup, Replikation, RPO und RTO müssen sauber unterschieden werden. Merksätze Musterantworten zeigen Struktur, nicht Auswendiglernen. Gute Antworten sind kurz und fachlich. Ursache aus Fehlerbild ableiten. Maßnahme passend zum Risiko wählen. IP geht, Name nicht: DNS. Lokal geht, extern nicht: Gateway. 169.254.x.x: DHCP-Problem. Host erreichbar, Dienst nicht: Port, Dienst, Firewall. Login geht, Zugriff nicht: Rechte. SSH nutzt TCP 22. RDP nutzt TCP 3389. SMB nutzt TCP 445. HTTPS nutzt TCP 443. VLAN trennt logisch. Routing verbindet Netze. NAT übersetzt Adressen. PAT nutzt Ports. IDS meldet. IPS blockiert zusätzlich. MFA schützt gegen Passwortmissbrauch. SIEM sammelt und korreliert Logs. Backup ohne Restore-Test ist unsicher. Sync ist kein Backup. Replikation ist kein Backup. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Dokumentation macht Betrieb nachvollziehbar. Change Management kontrolliert Änderungen. Rollback vor Änderung planen. Dringend heißt nicht dokumentationsfrei. Fachbegriffe sauber verwenden. Antwort immer zur Aufgabe passend formulieren. 18.3 Prüfungschecklisten nach Themen Diese Seite dient als kompakte Wiederholung, um kurz vor der Prüfung die wichtigsten Themen systematisch zu prüfen. Sie ist nach Themenbereichen aufgebaut. Ziel ist: - Lücken erkennen - Begriffe sauber unterscheiden - typische Fehler vermeiden - prüfungssichere Kurzantworten vorbereiten - Zusammenhänge wiederholen Merksatz: Eine Checkliste hilft, Wissen geordnet zu wiederholen. Checkliste: OSI-Modell Das solltest du sicher können: OSI-Schichten 1 bis 7 benennen. Aufgabe jeder Schicht erklären. typische Protokolle und Geräte zuordnen. Fehlerbilder passenden Schichten zuordnen. Kapselung erklären. PDUs zuordnen. Schicht Name Typische Begriffe 7 Anwendung HTTP, DNS, DHCP, SMTP 6 Darstellung TLS, Verschlüsselung, Codierung 5 Sitzung Session, Sitzungsaufbau 4 Transport TCP, UDP, Ports 3 Vermittlung IP, Routing, ICMP 2 Sicherung MAC, Ethernet, Switch, VLAN, ARP 1 Bitübertragung Kabel, Signal, Stecker, Funk Merksatz: OSI ist ein Denkmodell für Kommunikation und Fehlersuche. Checkliste: TCP/IP-Modell Das solltest du sicher können: TCP/IP-Schichten benennen. TCP/IP-Schichten grob OSI zuordnen. Protokolle passend einordnen. Unterschied zwischen OSI und TCP/IP erklären. TCP/IP-Schicht Entspricht grob OSI Beispiele Anwendung 5 bis 7 HTTP, DNS, DHCP, SMTP Transport 4 TCP, UDP Internet 3 IP, ICMP Netzzugang 1 bis 2 Ethernet, WLAN, MAC Merksatz: TCP/IP ist praxisnäher, OSI ist feiner aufgeteilt. Checkliste: Kapselung Das solltest du sicher können: Daten werden beim Senden schrittweise verpackt. Jede Schicht ergänzt eigene Steuerinformationen. Beim Empfangen wird entkapselt. MAC, IP und Port gehören zu unterschiedlichen Schichten. Reihenfolge beim Senden: Anwendungsdaten Segment oder Datagramm Paket Frame Bits Merksatz: Kapselung bedeutet: jede Schicht ergänzt ihren eigenen Header. Checkliste: MAC, IP und Port Begriff Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 logische Adressierung und Routing Port 4 Zuordnung zu Dienst oder Anwendung Typische Prüfungsfalle: MAC-Adresse wird nicht über Router hinweg weiterverwendet. IP-Adresse bleibt für Routing relevant. Port zeigt den Dienst auf dem Zielhost. Merksatz: MAC lokal, IP über Netze, Port zum Dienst. Checkliste: IPv4 Das solltest du sicher können: IPv4 besteht aus 32 Bit. Darstellung in vier Oktetten. Netzanteil und Hostanteil unterscheiden. Präfixschreibweise verstehen. private IPv4-Bereiche kennen. Netzadresse, Broadcast und nutzbare Hosts bestimmen. Private Bereiche: Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. Checkliste: Subnetting Das solltest du sicher können: Präfix in Netzbits und Hostbits zerlegen. Hostanzahl berechnen. Blockgröße bestimmen. Netzadresse finden. Broadcastadresse finden. erste und letzte nutzbare Adresse bestimmen. größere und kleinere Präfixe richtig einordnen. Formel: nutzbare Hosts = 2 hoch Hostbits minus 2 Beispiel: /26 Hostbits: 32 - 26 = 6 Adressen: 64 Nutzbare Hosts: 62 Merksatz: Mehr Hostbits bedeuten mehr Hosts. Mehr Netzbits bedeuten kleinere Subnetze. Checkliste: häufige IPv4-Präfixe Präfix Maske Adressen nutzbare Hosts /24 255.255.255.0 256 254 /25 255.255.255.128 128 126 /26 255.255.255.192 64 62 /27 255.255.255.224 32 30 /28 255.255.255.240 16 14 /29 255.255.255.248 8 6 /30 255.255.255.252 4 2 Merksatz: Von /24 zu /25 halbiert sich die Anzahl der Adressen. Von /25 zu /24 verdoppelt sie sich. Checkliste: IPv6 Das solltest du sicher können: IPv6 hat 128 Bit. Schreibweise in hexadezimalen Blöcken. führende Nullen können weggelassen werden. einmalige Kürzung mit doppeltem Doppelpunkt möglich. kein klassischer IPv4-Broadcast. SLAAC und DHCPv6 grob einordnen. Link-Local-Adressen erkennen. Wichtige Begriffe: Global Unicast Link-Local Multicast SLAAC DHCPv6 Präfix Merksatz: IPv6 ist nicht einfach nur längeres IPv4. Checkliste: Gateway und Routing Das solltest du sicher können: Gateway ist Router in andere Netze. Ohne Gateway meist nur lokales Netz erreichbar. Routing-Tabelle enthält Zielnetz, Gateway, Interface und Metrik. spezifischste Route gewinnt. Standardroute ist Weg für unbekannte Ziele. Typisches Fehlerbild: lokal erreichbar, Internet nicht erreichbar Wahrscheinlich: Gateway, NAT oder Firewall Merksatz: Gateway führt aus dem eigenen Netz heraus. Checkliste: DNS Das solltest du sicher können: DNS löst Namen in IP-Adressen auf. DNS kann auch Reverse Lookup liefern. wichtige Recordtypen kennen. DNS-Probleme von IP-Problemen unterscheiden. nslookup oder dig als Prüfwerkzeuge kennen. Wichtige Records: Record Bedeutung A Name zu IPv4 AAAA Name zu IPv6 CNAME Alias MX Mailserver TXT Textinformationen NS Nameserver PTR Reverse DNS Merksatz: IP funktioniert, Name nicht: DNS prüfen. Checkliste: DHCP Das solltest du sicher können: DHCP verteilt IP-Konfiguration automatisch. DHCP vergibt IP-Adresse, Maske, Gateway, DNS und Lease-Zeit. DORA-Ablauf kennen. APIPA erkennen. DHCP-Relay grob verstehen. DORA: Discover Offer Request Acknowledge APIPA: 169.254.0.0/16 Merksatz: 169.254.x.x bedeutet häufig: kein DHCP erhalten. Checkliste: ARP Das solltest du sicher können: ARP löst IPv4-Adresse in MAC-Adresse auf. ARP funktioniert im lokalen Netz. ARP wird benötigt, um Frames an das lokale Ziel oder Gateway zu senden. ARP-Spoofing als Angriff kennen. Merksatz: ARP verbindet IPv4 und MAC im lokalen Netz. Checkliste: Switching Das solltest du sicher können: Switch arbeitet hauptsächlich auf Schicht 2. Switch lernt MAC-Adressen. MAC-Adresstabelle ordnet MACs Ports zu. unbekannte Ziel-MAC führt zu Flooding. Broadcasts werden im VLAN verteilt. Schleifen können Broadcast-Stürme verursachen. Merksatz: Switches leiten Frames anhand von MAC-Adressen weiter. Checkliste: VLAN Das solltest du sicher können: VLAN trennt logisch auf Schicht 2. VLANs bilden getrennte Broadcast-Domänen. Access-Port und Trunk-Port unterscheiden. Inter-VLAN-Routing benötigt Router oder Layer-3-Switch. VLANs verbessern Struktur und Sicherheit, ersetzen aber keine Firewall. Porttyp Bedeutung Access-Port ein VLAN, meistens Endgerät Trunk-Port mehrere VLANs, meistens Verbindung zwischen Netzwerkgeräten Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. Checkliste: STP Das solltest du sicher können: STP verhindert Schleifen auf Schicht 2. Schleifen können Broadcast-Stürme verursachen. STP blockiert redundante Pfade logisch. Redundanz ist möglich, ohne Schleife aktiv zu nutzen. Merksatz: STP schützt vor Layer-2-Schleifen. Checkliste: TCP Das solltest du sicher können: TCP ist verbindungsorientiert. TCP ist zuverlässig. TCP nutzt Bestätigungen. TCP kann verlorene Daten erneut übertragen. TCP stellt Reihenfolge sicher. TCP nutzt Ports. TCP hat mehr Overhead als UDP. Typische Dienste: HTTP HTTPS SSH SMTP IMAP POP3 RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. Checkliste: UDP Das solltest du sicher können: UDP ist verbindungslos. UDP hat wenig Overhead. UDP garantiert keine Zustellung. UDP garantiert keine Reihenfolge. UDP ist gut für schnelle oder zeitkritische Kommunikation. Typische Dienste: DNS DHCP VoIP Streaming Gaming Merksatz: UDP = schnell, schlank und verbindungslos. Checkliste: Standardports Dienst Protokoll Port FTP TCP 21 SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS UDP/TCP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 IMAP TCP 143 HTTPS TCP 443 SMB TCP 445 SMTPS TCP 465 IMAPS TCP 993 POP3S TCP 995 RDP TCP 3389 Merksatz: Ports mit Dienst, Protokoll und Zweck lernen. Checkliste: NAT, PAT und Portweiterleitung Das solltest du sicher können: NAT übersetzt IP-Adressen. PAT nutzt zusätzlich Ports. PAT ermöglicht vielen Clients eine öffentliche IP. Portweiterleitung macht internen Dienst extern erreichbar. NAT ist keine vollwertige Firewall. Portweiterleitung erhöht Angriffsfläche. Merksatz: NAT übersetzt Adressen. PAT unterscheidet über Ports. Portweiterleitung veröffentlicht Dienste. Checkliste: Firewall Das solltest du sicher können: Firewall filtert Verkehr. Regeln enthalten Quelle, Ziel, Port, Protokoll, Richtung und Aktion. Default Deny ist sicherer. Any-to-Any ist kritisch. Stateful Firewall kennt Verbindungszustände. Firewall-Logs helfen bei Fehlersuche. Merksatz: Firewall-Regeln so eng wie möglich formulieren. Checkliste: DMZ Das solltest du sicher können: DMZ ist getrenntes Netz für öffentlich erreichbare Dienste. DMZ schützt internes Netz. DMZ-Systeme dürfen nur notwendige Verbindungen haben. typische Systeme sind Webserver, Reverse Proxy, Mail-Gateway und VPN-Gateway. Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. Checkliste: VPN Das solltest du sicher können: VPN verschlüsselt Verbindung über unsichere Netze. Remote-Access-VPN verbindet Benutzer. Site-to-Site-VPN verbindet Standorte. VPN ersetzt keine Rechteverwaltung. VPN braucht Authentifizierung, Routing, DNS und Firewall-Regeln. Merksatz: VPN schützt den Transportweg, aber nicht automatisch alle Zugriffe. Checkliste: Cloud Das solltest du sicher können: IaaS, PaaS und SaaS unterscheiden. Public, Private, Hybrid und Multi Cloud unterscheiden. Shared Responsibility erklären. IAM als Zugriffskontrolle verstehen. Security Groups grob einordnen. Kostenkontrolle und Monitoring beachten. Modell Bedeutung IaaS Infrastruktur PaaS Plattform SaaS fertige Anwendung Merksatz: Cloud bedeutet geteilte Verantwortung. Checkliste: IT-Sicherheit Das solltest du sicher können: Vertraulichkeit, Integrität und Verfügbarkeit unterscheiden. Authentizität und Nichtabstreitbarkeit kennen. Schwachstelle, Bedrohung und Risiko unterscheiden. technische, organisatorische, personelle und physische Maßnahmen unterscheiden. Merksatz: Schutzmaßnahme immer zum Risiko und Schutzziel passend wählen. Checkliste: typische Angriffe Angriff Kurzbeschreibung Malware Schadsoftware Ransomware verschlüsselt oder sperrt Daten Phishing Täuschung zur Datenpreisgabe Social Engineering Manipulation von Menschen DoS Dienstüberlastung DDoS verteilter DoS MitM Angreifer zwischen Kommunikationspartnern Spoofing Identität oder Herkunft vortäuschen SQL Injection SQL-Code einschleusen XSS Skript im Browser ausführen CSRF gültige Sitzung missbrauchen Brute Force systematisches Ausprobieren Merksatz: Angriff erkennen, Schutzziel zuordnen, Maßnahme nennen. Checkliste: Schutzmaßnahmen Risiko Maßnahme Passwortdiebstahl MFA Malware EDR, Patchmanagement Ransomware Backup, Segmentierung DDoS DDoS-Schutz, CDN Datenabfluss DLP, Verschlüsselung unsichere Rechte Least Privilege alte Software Patchmanagement Fehlkonfiguration Change Management unklare Vorfälle Logging, SIEM Phishing Schulung, MFA, Mailfilter Merksatz: Gute Sicherheit besteht aus mehreren Schutzschichten. Checkliste: Benutzer und Rechte Das solltest du sicher können: Benutzerkonto als digitale Identität erklären. persönliche Konten statt Sammelkonten. Gruppen und Rollen unterscheiden. RBAC und ABAC grob erklären. Authentifizierung und Autorisierung unterscheiden. Least Privilege erklären. Admin- und Alltagskonto trennen. Dienstkonten rechtearm betreiben. Offboarding konsequent durchführen. Merksatz: Rechte müssen notwendig, nachvollziehbar und regelmäßig geprüft sein. Checkliste: Logs und Monitoring Das solltest du sicher können: Logging und Monitoring unterscheiden. Alerting erklären. typische Logquellen nennen. zentrale Logsammlung erklären. NTP-Bedeutung für Logs kennen. Health Checks verstehen. Backup-Monitoring erklären. Zertifikatsüberwachung beachten. Begriff Bedeutung Logging Ereignisse aufzeichnen Monitoring Zustände überwachen Alerting alarmieren Reporting auswerten Merksatz: Logs zeigen Ereignisse. Monitoring zeigt Zustände. Checkliste: Netzwerkbefehle Aufgabe Windows Linux/macOS IP prüfen ipconfig ip addr Routing prüfen route print ip route DNS prüfen nslookup dig Erreichbarkeit prüfen ping ping Route verfolgen tracert traceroute Verbindungen prüfen netstat ss Dienst prüfen services.msc, PowerShell systemctl Logs prüfen Ereignisanzeige journalctl Merksatz: Befehle liefern Fakten für die Fehlersuche. Checkliste: Dateiübertragung Das solltest du sicher können: SMB, NFS, FTP, FTPS, SFTP und SCP unterscheiden. FTP als unverschlüsselt erkennen. SFTP und FTPS nicht verwechseln. SMB-Port TCP 445 kennen. Freigabe- und Dateisystemrechte gemeinsam prüfen. Synchronisation nicht mit Backup verwechseln. Merksatz: SFTP nutzt SSH. FTPS nutzt FTP mit TLS. Checkliste: Backup und Restore Das solltest du sicher können: Backup und Restore unterscheiden. Restore-Test begründen. Vollbackup, inkrementell und differenziell unterscheiden. Snapshot einordnen. RPO und RTO unterscheiden. 3-2-1-Regel erklären. Immutable und Offline Backup erklären. Redundanz, Replikation und Synchronisation von Backup unterscheiden. Merksatz: Backup ohne Restore-Test ist unsicher. Checkliste: Dokumentation und Change Management Das solltest du sicher können: Dokumentation als Betriebs- und Sicherheitsmaßnahme erklären. Systemdokumentation, Netzwerkdokumentation und Runbook unterscheiden. IPAM erklären. Netzplan erklären. Change Management erklären. Standard Change, Normal Change und Emergency Change unterscheiden. Rollback-Plan erklären. CMDB und Configuration Item grob einordnen. Merksatz: Änderungen müssen geplant, getestet, dokumentiert und bei Bedarf rückgängig machbar sein. Checkliste: typische Fehlerbilder Fehlerbild Wahrscheinliche Richtung IP geht, Name nicht DNS Lokal geht, Internet nicht Gateway, NAT, Firewall 169.254.x.x DHCP Host erreichbar, Dienst nicht Port, Dienst, Firewall Anmeldung scheitert Authentifizierung Anmeldung geht, Zugriff nicht Autorisierung, Rechte Zertifikatswarnung Zertifikat, Hostname, Zeit nur ein VLAN betroffen VLAN, Routing, Firewall nach Update defekt Änderung, Version, Kompatibilität Dateiübertragung langsam Netzwerk, Speicher, Last Backup nicht nutzbar Restore-Test, Konsistenz, Schlüssel Merksatz: Fehlerbild zuerst einordnen, dann Maßnahme ableiten. Checkliste: Prüfungsantwort formulieren Eine gute Antwort enthält: klare Ursache Bezug zur Aufgabe Fachbegriff kurze Begründung passende Prüfung oder Maßnahme Einheit bei Berechnung keine unnötigen Ausschweifungen Struktur bei Fehler: Ursache Begründung Prüfung Struktur bei Sicherheit: Risiko Maßnahme Wirkung Merksatz: Kurz, fachlich, begründet. Checkliste: Rechenaufgaben Vor Abgabe prüfen: Bit oder Byte? Mbit oder MB? Präfix korrekt? Netzbits und Hostbits korrekt? Netzadresse korrekt? Broadcast korrekt? nutzbare Hosts korrekt? Einheit angegeben? Ergebnis plausibel? Merksatz: Einheitenfehler sind klassische Prüfungsfehler. Checkliste: letzte 10 Minuten vor Abgabe Name und Aufgabe prüfen. Alle Teilaufgaben beantwortet? Gefragte Anzahl eingehalten? Einheiten ergänzt? Rechenwege plausibel? Fachbegriffe korrekt? Tabellen vollständig? Netzadresse und Broadcast geprüft? RPO und RTO nicht verwechselt? DNS und DHCP nicht verwechselt? Authentifizierung und Autorisierung nicht verwechselt? Antwort lesbar und eindeutig? Merksatz: Die letzten Minuten bringen oft noch sichere Punkte. IHK-sichere Kurzformulierung Prüfungschecklisten helfen dabei, Themen systematisch zu wiederholen und typische Fehler zu vermeiden. Besonders wichtig sind die sichere Zuordnung von OSI-Schichten, MAC-Adresse, IP-Adresse und Port, die Unterscheidung von DNS und DHCP, Gateway und Routing, TCP und UDP, NAT und PAT, Authentifizierung und Autorisierung sowie Backup, Replikation und Synchronisation. Bei Fehlerbildern sollte zuerst das Symptom eingeordnet und anschließend eine passende Prüfung oder Maßnahme genannt werden. Gute Prüfungsantworten sind kurz, fachlich korrekt, begründet und direkt auf die Aufgabenstellung bezogen. Merksätze Checklisten ordnen Wiederholung. OSI hilft bei Fehlersuche. TCP/IP ist praxisnah. Kapselung verpackt Daten. MAC ist Schicht 2. IP ist Schicht 3. Port ist Schicht 4. IPv4 hat 32 Bit. Private Adressen werden nicht direkt im Internet geroutet. Subnetting immer systematisch lösen. Mehr Hostbits bedeuten mehr Hosts. Gateway führt in andere Netze. DNS löst Namen auf. DHCP verteilt Konfiguration. ARP löst IPv4 zu MAC auf. Switch lernt MAC-Adressen. VLAN trennt logisch. STP verhindert Schleifen. TCP ist zuverlässig. UDP ist schlank. Ports mit Dienst und Protokoll lernen. NAT übersetzt Adressen. PAT nutzt Ports. Firewall filtert Verkehr. DMZ trennt öffentliche Dienste. VPN verschlüsselt Verbindungen. Cloud bedeutet geteilte Verantwortung. Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. Rechte regelmäßig prüfen. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Befehle liefern Fakten. FTP ist unverschlüsselt. SFTP ist nicht FTPS. Backup ohne Restore-Test ist unsicher. Replikation ist kein Backup. Dokumentation macht Betrieb nachvollziehbar. Change Management kontrolliert Änderungen. Fehlerbild bestimmt Prüfweg. Prüfungsantwort: kurz, fachlich, begründet. 18.4 Merksätze und Prüfungswissen zur Prüfungsvorbereitung Diese Seite fasst die wichtigsten Punkte zur Prüfungsvorbereitung zusammen. Sie dient als Abschluss für das Kapitel Prüfungsvorbereitung und Wiederholung. Im Mittelpunkt stehen: - Aufgaben richtig lesen - Operatoren beachten - Signalwörter erkennen - Fehlerbilder einordnen - Fachbegriffe sauber verwenden - Rechenaufgaben systematisch lösen - Antworten kurz und prüfungssicher formulieren Merksatz: Prüfungsvorbereitung heißt: Wissen verstehen, anwenden und sauber formulieren. Wichtigste Grundregel Die wichtigste Regel in der Prüfung lautet: Erst die Aufgabe verstehen, dann antworten. Nicht sofort auf bekannte Stichwörter reagieren. Immer prüfen: Was wird wirklich gefragt? Welche Informationen sind gegeben? Welche Einschränkungen stehen in der Aufgabe? Wie viele Antworten werden verlangt? Soll ich nennen, erklären, begründen, vergleichen oder berechnen? Merksatz: Die Aufgabenstellung entscheidet, wie die Antwort aussehen muss. Operatoren sicher beachten Operator Erwartung nennen kurze Begriffe oder Stichpunkte beschreiben sachlich darstellen erklären Zusammenhang deutlich machen begründen Warum nennen vergleichen Unterschiede und Gemeinsamkeiten darstellen berechnen rechnerisch ermitteln bewerten fachlich einschätzen zuordnen passend einordnen Merksatz: Wer den Operator ignoriert, beantwortet schnell die falsche Frage. Antworten nach Operator formulieren Beispiel „nennen“: Zwei Vorteile von VLANs sind logische Netztrennung und kleinere Broadcast-Domänen. Beispiel „erklären“: VLANs trennen ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche. Dadurch können Geräte verschiedener Abteilungen oder Sicherheitszonen getrennt werden. Beispiel „begründen“: VLANs erhöhen die Struktur und Sicherheit, weil Broadcastverkehr begrenzt und Zugriffe zwischen Netzbereichen gezielter geregelt werden können. Merksatz: Gleicher Begriff, andere Antworttiefe je nach Operator. Signalwörter erkennen Signalwörter zeigen oft direkt die Richtung der Lösung. Signalwort oder Fehlerbild Wahrscheinliches Thema IP erreichbar, Name nicht DNS 169.254.x.x DHCP lokal erreichbar, extern nicht Gateway, NAT, Firewall Host erreichbar, Dienst nicht Port, Dienst, Firewall Anmeldung fehlgeschlagen Authentifizierung Zugriff verweigert Autorisierung, Rechte Zertifikatswarnung Zertifikat, Hostname, Zeit nur ein VLAN betroffen VLAN, Routing, Firewall nach Update defekt Change, Version, Kompatibilität viele fehlgeschlagene Logins Brute Force, Passwortangriff verschlüsselte Dateien Ransomware gestohlene Zugangsdaten Phishing, Credential Theft Backup nicht lesbar Restore-Test, Konsistenz, Schlüssel Merksatz: Signalwörter sind Hinweise, keine Zufälle. Typische Fehlerbilder sicher zuordnen Fehlerbild Erste Prüfung kein Netzwerk Kabel, WLAN, Link, IP kein Internet Gateway, DNS, NAT, Firewall Name funktioniert nicht DNS falsche automatische IP DHCP Dienst nicht erreichbar Port, Dienststatus, Firewall Datei nicht zugreifbar Rechte, Gruppe, ACL Login nicht möglich Konto, Passwort, MFA, Verzeichnisdienst Webseite 404 URL, Pfad, Webserver Webseite 500 Anwendung, Backend, Logs Zertifikatsfehler Ablaufdatum, Hostname, Kette, Uhrzeit langsame Verbindung Latenz, Paketverlust, Last, DNS Merksatz: Fehlerbild zuerst einordnen, dann gezielt prüfen. OSI-Modell als Prüfungswerkzeug Das OSI-Modell hilft, Fehler strukturiert einzugrenzen. Schicht Typische Fehler 1 Kabel defekt, kein Link, falscher Stecker 2 VLAN falsch, MAC-Problem, ARP, Switchport 3 IP falsch, Gateway falsch, Routingfehler 4 Port blockiert, TCP/UDP-Problem 5 Sitzung abgelaufen, Sessionproblem 6 TLS, Zertifikat, Codierung 7 DNS, DHCP, HTTP, SMTP, SMB Merksatz: Von unten nach oben prüfen: physisch, Netzwerk, Dienst, Anwendung. MAC, IP und Port nicht verwechseln Begriff Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 logische Adressierung über Netze Port 4 Zuordnung zu einem Dienst Merksatz: MAC findet lokal. IP findet das Zielnetz. Port findet den Dienst. DNS und DHCP nicht verwechseln DNS: löst Namen in IP-Adressen auf DHCP: verteilt IP-Konfiguration automatisch Beispiel DNS-Problem: IP funktioniert, Name nicht. Beispiel DHCP-Problem: Client erhält 169.254.x.x oder keine passende IP-Konfiguration. Merksatz: DNS beantwortet: Wie heißt die IP? DHCP beantwortet: Welche IP bekomme ich? Gateway und DNS unterscheiden Gateway: Weg in andere Netze DNS: Namensauflösung Typisches Gateway-Problem: lokales Netz erreichbar, Internet nicht Typisches DNS-Problem: IP erreichbar, Name nicht Merksatz: Gateway ist der Weg. DNS ist das Telefonbuch. TCP und UDP sicher unterscheiden Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zustellung zuverlässig keine eingebaute Garantie Reihenfolge wird gesichert nicht garantiert Overhead höher geringer Einsatz vollständige Datenübertragung schnelle oder zeitkritische Kommunikation Merksatz: TCP = zuverlässig. UDP = schlank. Wichtige Ports sicher können Dienst Port FTP TCP 21 SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS UDP/TCP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 IMAP TCP 143 HTTPS TCP 443 SMB TCP 445 SMTPS TCP 465 IMAPS TCP 993 POP3S TCP 995 RDP TCP 3389 Merksatz: Ports immer mit Dienst und Protokoll lernen. Subnetting-Prüfungswissen Bei Subnetting immer gleich vorgehen: 1. Präfix bestimmen. 2. Hostbits berechnen. 3. Adressanzahl berechnen. 4. nutzbare Hosts berechnen. 5. Blockgröße bestimmen. 6. Netzadresse finden. 7. Broadcastadresse finden. 8. erste und letzte nutzbare Adresse bestimmen. Formel: nutzbare Hosts = 2 hoch Hostbits minus 2 Merksatz: Subnetting wird einfacher, wenn die Reihenfolge immer gleich bleibt. Subnetting-Merksätze IPv4 hat 32 Bit. Präfix gibt die Netzbits an. Hostbits = 32 minus Präfix. Mehr Netzbits bedeuten kleinere Netze. Mehr Hostbits bedeuten mehr Hosts. Netzadresse ist die erste Adresse. Broadcastadresse ist die letzte Adresse. Erste nutzbare Adresse = Netzadresse plus 1. Letzte nutzbare Adresse = Broadcastadresse minus 1. Pro zusätzlichem Netzbit halbiert sich die Hostanzahl. Pro zusätzlichem Hostbit verdoppelt sich die Hostanzahl. Merksatz: Präfix größer: Netz kleiner. Präfix kleiner: Netz größer. NAT, PAT und Portweiterleitung unterscheiden NAT: übersetzt IP-Adressen PAT: übersetzt zusätzlich Ports, damit mehrere interne Clients eine öffentliche IP nutzen können Portweiterleitung: leitet eingehenden Verkehr auf einen internen Dienst weiter Merksatz: NAT übersetzt Adressen. PAT unterscheidet über Ports. Portweiterleitung veröffentlicht einen Dienst. Firewall-Prüfungswissen Eine Firewall filtert Verkehr anhand von Regeln. Typische Regelbestandteile: Quelle Ziel Port Protokoll Richtung Aktion Zustand Zweck Sichere Grundregel: Default Deny Das bedeutet: Standardmäßig blockieren, nur benötigten Verkehr erlauben. Merksatz: Firewall-Regeln so eng wie möglich formulieren. VPN-Prüfungswissen Remote-Access-VPN: einzelner Benutzer verbindet sich mit einem Netzwerk Site-to-Site-VPN: zwei Netzwerke oder Standorte werden verbunden Wichtig: VPN verschlüsselt den Transportweg, ersetzt aber keine Rechteverwaltung. Merksatz: VPN schützt Verbindung, nicht automatisch jede Berechtigung. Cloud-Prüfungswissen IaaS: virtuelle Infrastruktur PaaS: Plattform für Anwendungen SaaS: fertige Anwendung Public Cloud: öffentlich angebotene Cloud Private Cloud: Cloud für eine Organisation Hybrid Cloud: Kombination aus lokal und Cloud Multi Cloud: Nutzung mehrerer Cloud-Anbieter Merksatz: IaaS, PaaS und SaaS beschreiben Servicemodelle. Public, Private, Hybrid und Multi Cloud beschreiben Bereitstellungsmodelle. Shared Responsibility Beim Shared-Responsibility-Modell teilen sich Cloud-Anbieter und Kunde die Verantwortung. Anbieter: Infrastruktur der Cloud Kunde: Daten Identitäten Zugriffe Konfigurationen Anwendungen je nach Modell Merksatz: Cloud-Anbieter übernimmt nicht automatisch alles. Sicherheitsbegriffe sicher unterscheiden Begriff Bedeutung Vertraulichkeit Schutz vor unberechtigtem Lesen Integrität Schutz vor unbemerkter Veränderung Verfügbarkeit Nutzbarkeit von Systemen und Daten Authentizität Echtheit einer Identität oder Nachricht Nichtabstreitbarkeit Nachweisbarkeit einer Handlung Schwachstelle ausnutzbare Lücke Bedrohung mögliches schädliches Ereignis Risiko Wahrscheinlichkeit und Auswirkung Maßnahme reduziert Risiko Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das Ereignis. Risiko ist die bewertete Gefahr. Angriffe sicher zuordnen Angriff Typisches Ziel Phishing Zugangsdaten, Identitäten Ransomware Verfügbarkeit, oft auch Vertraulichkeit DDoS Verfügbarkeit Man-in-the-Middle Vertraulichkeit und Integrität SQL Injection Datenbank XSS Browser anderer Benutzer CSRF gültige Sitzung Brute Force Passwort Credential Stuffing wiederverwendete Zugangsdaten Spoofing Identität oder Herkunft Merksatz: Angriff immer dem Ziel und Schutzziel zuordnen. Schutzmaßnahmen sicher zuordnen Risiko passende Maßnahme gestohlenes Passwort MFA zu viele Rechte Least Privilege Malware EDR, Patchmanagement Ransomware Backup, Immutable Backup, Segmentierung DDoS DDoS-Schutz, CDN, Rate Limiting unsichere Freigaben Rechteprüfung, Ablaufdatum fehlende Nachvollziehbarkeit Logging, SIEM Fehlkonfiguration Change Management unsichere Benutzer Schulung, Awareness veraltete Software Patchmanagement Merksatz: Maßnahme muss direkt zum Risiko passen. Authentifizierung und Autorisierung Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiel: Benutzer meldet sich mit Passwort und MFA an. Danach wird geprüft, ob er auf einen Ordner zugreifen darf. Merksatz: Erst Identität, dann Rechte. Least Privilege und Need to Know Least Privilege: nur notwendige Rechte Need to Know: nur notwendige Informationen Beispiel: Ein Supportmitarbeiter braucht vielleicht Zugriff auf Gerätedaten, aber nicht auf Gehaltsdaten. Merksatz: Least Privilege begrenzt Rechte. Need to Know begrenzt Informationen. Backup, Replikation und Synchronisation unterscheiden Backup: wiederherstellbare Sicherung alter Zustände Replikation: aktuelle Kopie auf anderem System Synchronisation: Abgleich zwischen Speicherorten Risiko: Fehler, Löschung oder Ransomware können bei Replikation oder Synchronisation mit übertragen werden. Merksatz: Sync und Replikation sind kein Backup. RPO und RTO RPO: maximal akzeptabler Datenverlust RTO: maximal akzeptable Wiederherstellungszeit Beispiel: RPO 1 Stunde: maximal 1 Stunde Datenverlust RTO 4 Stunden: Dienst soll spätestens nach 4 Stunden wieder laufen Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung. Logging, Monitoring und Alerting unterscheiden Logging: Ereignisse werden aufgezeichnet Monitoring: Zustände werden überwacht Alerting: bei kritischen Zuständen wird alarmiert Reporting: Zustände werden über einen Zeitraum ausgewertet Merksatz: Logs zeigen Ereignisse. Monitoring zeigt Zustände. Alerting meldet Probleme. Wichtige Befehle sicher einordnen Aufgabe Werkzeug IP-Konfiguration Windows ipconfig IP-Konfiguration Linux ip addr Routing Windows route print Routing Linux ip route DNS prüfen nslookup, dig Erreichbarkeit prüfen ping Weg verfolgen tracert, traceroute Verbindungen anzeigen netstat, ss Webdienst prüfen curl Linux-Dienst prüfen systemctl Linux-Logs prüfen journalctl Windows-Logs prüfen Ereignisanzeige Merksatz: Befehle liefern Fakten, keine Vermutungen. Typische Prüfungsfallen DNS und DHCP verwechseln. Gateway und DNS verwechseln. MAC, IP und Port verwechseln. TCP und UDP verwechseln. NAT, PAT und Portweiterleitung verwechseln. VLAN und Subnetz gleichsetzen. Firewall und Router verwechseln. Authentifizierung und Autorisierung verwechseln. Backup, Replikation und Synchronisation verwechseln. RPO und RTO verwechseln. SFTP und FTPS verwechseln. IDS und IPS verwechseln. Redundanz als Backup bezeichnen. Snapshot als vollständiges Backup bezeichnen. ping als vollständigen Diensttest verstehen. Merksatz: Prüfungsfallen sind oft Begriffsfallen. Gute Antwortstruktur bei Fehlersuche Struktur: Ursache Begründung Prüfung Beispiel: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden. Merksatz: Fehlerantwort: Ursache, Begründung, Prüfung. Gute Antwortstruktur bei Sicherheitsfragen Struktur: Risiko Maßnahme Wirkung Beispiel: Das Risiko besteht im Missbrauch gestohlener Zugangsdaten. Durch MFA reicht ein gestohlenes Passwort allein nicht mehr aus. Dadurch wird die Wahrscheinlichkeit eines unberechtigten Zugriffs reduziert. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Gute Antwortstruktur bei Vergleichen Struktur: Gemeinsamkeit Unterschied Beispiel Beispiel: TCP und UDP sind Transportprotokolle. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und hat weniger Overhead. TCP wird zum Beispiel bei HTTPS genutzt, UDP häufig bei DNS oder VoIP. Merksatz: Vergleich: Gemeinsamkeit, Unterschied, Beispiel. Gute Antwortstruktur bei Berechnungen Struktur: gegebene Werte Formel oder Regel Rechenschritt Ergebnis mit Einheit Plausibilitätsprüfung Beispiel: Bei /27 gibt es 5 Hostbits. 2 hoch 5 ergibt 32 Adressen. Davon sind 30 nutzbar, weil Netzadresse und Broadcastadresse nicht für Hosts genutzt werden. Merksatz: Berechnung immer mit Bedeutung des Ergebnisses angeben. Letzte Prüfungsminute Kurz vor Abgabe prüfen: Habe ich alle Teilfragen beantwortet? Habe ich die geforderte Anzahl genannt? Habe ich Einheiten ergänzt? Habe ich Fachbegriffe sauber verwendet? Habe ich DNS und DHCP nicht verwechselt? Habe ich RPO und RTO nicht verwechselt? Habe ich bei Subnetting Netzadresse und Broadcast geprüft? Habe ich bei Sicherheitsfragen die Maßnahme begründet? Habe ich bei Fehlersuche eine Prüfung genannt? Merksatz: Die letzte Kontrolle verhindert einfache Punktverluste. IHK-sichere Gesamtformulierung Für die Prüfung ist entscheidend, Aufgabenstellungen genau zu lesen, Operatoren zu beachten und technische Hinweise richtig einzuordnen. Netzwerkfehler sollten systematisch nach OSI-Modell geprüft werden: physische Verbindung, IP-Konfiguration, Gateway, DNS, Routing, Firewall, Dienst und Anwendung. Wichtige Begriffe wie MAC-Adresse, IP-Adresse, Port, DNS, DHCP, TCP, UDP, NAT, PAT, Authentifizierung, Autorisierung, Backup, Replikation, RPO und RTO müssen sauber unterschieden werden. Gute Antworten sind kurz, fachlich korrekt und begründet. Bei Fehlersuche werden Ursache, Begründung und Prüfung genannt. Bei Sicherheitsfragen werden Risiko, Maßnahme und Wirkung verbunden. Wichtigste Merksätze Erst Aufgabe verstehen, dann antworten. Operator beachten. Signalwörter erkennen. Fehlerbild einordnen. OSI als Fehlersuche nutzen. MAC ist lokal. IP ist logisch. Port ist Dienst. DNS löst Namen auf. DHCP verteilt Konfiguration. Gateway führt in andere Netze. TCP ist zuverlässig. UDP ist schlank. NAT übersetzt Adressen. PAT nutzt Ports. Portweiterleitung veröffentlicht Dienste. Firewall filtert Verkehr. VPN schützt Verbindung. Cloud bedeutet geteilte Verantwortung. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. Backup ist Wiederherstellungsvorsorge. Replikation ist kein Backup. Synchronisation ist kein Backup. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. Logging zeigt Ereignisse. Monitoring zeigt Zustände. Alerting meldet Probleme. Befehle liefern Fakten. Prüfungsfallen sind oft Begriffsfallen. Fehlerantwort: Ursache, Begründung, Prüfung. Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Vergleich: Gemeinsamkeit, Unterschied, Beispiel. Berechnung: Regel, Ergebnis, Einheit. Kurz, fachlich, begründet. 19. Notizen, Cheatsheets und Spickzettel 19.1 Notizen, Cheatsheets und Spickzettel Dieses Kapitel enthält kompakte Spickzettel für die schnelle Wiederholung. Es ist kein neues großes Theoriekapitel, sondern eine Sammlung wichtiger Übersichten. Ziel ist: - kurz vor der Prüfung schnell wiederholen - Begriffe sicher unterscheiden - Standardwerte griffbereit haben - typische Fehlerbilder schneller erkennen - Rechenwege kompakt nachschlagen - prüfungssichere Kurzantworten vorbereiten Merksatz: Spickzettel ersetzen kein Verständnis, helfen aber beim schnellen Wiederholen. Wofür dieses Kapitel gedacht ist Dieses Kapitel eignet sich besonders für: letzte Wiederholung vor Klassenarbeit oder Prüfung schnelles Nachschlagen Vergleich ähnlicher Begriffe Wiederholung von Ports Subnetting-Übersicht OSI-Zuordnung Fehlerdiagnose Sicherheitsbegriffe Backup-Begriffe Cloud-Modelle Admin-Befehle Merksatz: Dieses Kapitel ist für kompakte Wiederholung, nicht für lange Erklärungen. Aufbau der Spickzettel Die Spickzettel sollten möglichst kurz und übersichtlich bleiben. Sinnvolle Seiten in diesem Kapitel: 19.1 Notizen, Cheatsheets und Spickzettel 19.2 OSI- und TCP/IP-Spickzettel 19.3 Standardports-Spickzettel 19.4 Subnetting-Spickzettel 19.5 DNS, DHCP, Gateway und NAT Spickzettel 19.6 TCP, UDP, ICMP und ARP Spickzettel 19.7 VLAN, Switching, Routing und Firewall Spickzettel 19.8 Sicherheitsbegriffe und Angriffe Spickzettel 19.9 Backup, Restore, RPO und RTO Spickzettel 19.10 Admin-Befehle und Fehlersuche Spickzettel 19.11 Prüfungs-Signalwörter und Musterformulierungen Merksatz: Kapitel 19 ist die Kurzfassung der wichtigsten Prüfungsthemen. Was ein guter Spickzettel leisten soll Ein guter Spickzettel ist: kurz eindeutig fachlich korrekt schnell überfliegbar tabellarisch prüfungsnah ohne unnötige Theorie mit klaren Merksätzen Er sollte nicht: lange Texte wiederholen ganze Kapitel ersetzen unklare Abkürzungen enthalten Begriffe vermischen zu viele Randthemen enthalten Merksatz: Spickzettel müssen schnell lesbar sein. Die wichtigsten Grundregeln für die Prüfung Aufgabe genau lesen. Operator beachten. Signalwörter erkennen. Gefragte Anzahl beachten. Fachbegriffe sauber verwenden. Ergebnis mit Einheit angeben. Bei Fehlern systematisch prüfen. Bei Sicherheit Risiko und Maßnahme verbinden. Bei Vergleichen Unterschiede klar darstellen. Bei Berechnungen Plausibilität prüfen. Merksatz: Viele Punkte gehen nicht durch fehlendes Wissen verloren, sondern durch ungenaue Antworten. Mini-Spickzettel: OSI-Schichten Schicht Name Typische Begriffe 7 Anwendung HTTP, DNS, DHCP, SMTP, SMB 6 Darstellung TLS, Verschlüsselung, Codierung 5 Sitzung Session, Sitzung, Wiederaufnahme 4 Transport TCP, UDP, Ports 3 Vermittlung IP, Routing, ICMP 2 Sicherung MAC, Ethernet, Switch, VLAN, ARP 1 Bitübertragung Kabel, Signal, Stecker, Funk Merksatz: OSI hilft bei der Fehlersuche von unten nach oben. Mini-Spickzettel: TCP/IP-Modell TCP/IP-Schicht OSI-Zuordnung Beispiele Anwendung OSI 5 bis 7 HTTP, DNS, DHCP, SMTP Transport OSI 4 TCP, UDP Internet OSI 3 IP, ICMP, Routing Netzzugang OSI 1 bis 2 Ethernet, WLAN, MAC Merksatz: TCP/IP ist praxisnah, OSI ist genauer aufgeteilt. Mini-Spickzettel: MAC, IP und Port Begriff Schicht Aufgabe MAC-Adresse 2 lokale Zustellung im LAN IP-Adresse 3 logische Adressierung über Netze Port 4 Zuordnung zu Dienst oder Anwendung Merksatz: MAC findet lokal. IP findet das Zielnetz. Port findet den Dienst. Mini-Spickzettel: wichtige Ports Dienst Port FTP TCP 21 SSH TCP 22 Telnet TCP 23 SMTP TCP 25 DNS UDP/TCP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 IMAP TCP 143 HTTPS TCP 443 SMB TCP 445 SMTPS TCP 465 IMAPS TCP 993 POP3S TCP 995 RDP TCP 3389 Merksatz: Ports immer mit Dienst, Protokoll und Zweck lernen. Mini-Spickzettel: Subnetting Wichtige Regeln: IPv4 hat 32 Bit. Hostbits = 32 minus Präfix. nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse im Subnetz. Broadcastadresse = letzte Adresse im Subnetz. erste nutzbare Adresse = Netzadresse + 1. letzte nutzbare Adresse = Broadcastadresse - 1. Merksatz: Präfix größer bedeutet: kleineres Netz. Präfix kleiner bedeutet: größeres Netz. Mini-Spickzettel: häufige Präfixe Präfix Maske Adressen nutzbare Hosts /24 255.255.255.0 256 254 /25 255.255.255.128 128 126 /26 255.255.255.192 64 62 /27 255.255.255.224 32 30 /28 255.255.255.240 16 14 /29 255.255.255.248 8 6 /30 255.255.255.252 4 2 Merksatz: Jeder Präfixschritt nach rechts halbiert die Adressanzahl. Mini-Spickzettel: private IPv4-Bereiche Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. Mini-Spickzettel: DNS und DHCP Begriff Aufgabe Typisches Fehlerbild DNS Namen in IP-Adressen auflösen IP geht, Name nicht DHCP IP-Konfiguration automatisch verteilen 169.254.x.x oder falsche IP Gateway Weg in andere Netze lokal geht, Internet nicht Merksatz: DNS gibt Namen eine Adresse. DHCP gibt Clients eine Konfiguration. Gateway führt in andere Netze. Mini-Spickzettel: TCP und UDP Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit hoch keine eingebaute Garantie Reihenfolge wird gesichert nicht garantiert Overhead höher geringer Beispiele HTTPS, SSH, SMTP DNS, DHCP, VoIP Merksatz: TCP = zuverlässig. UDP = schnell und schlank. Mini-Spickzettel: NAT, PAT und Portweiterleitung Begriff Bedeutung NAT übersetzt IP-Adressen PAT übersetzt zusätzlich Ports Portweiterleitung leitet externen Port an internen Dienst weiter Merksatz: NAT übersetzt Adressen. PAT unterscheidet über Ports. Portweiterleitung veröffentlicht Dienste. Mini-Spickzettel: Firewall und DMZ Begriff Bedeutung Firewall filtert Netzwerkverkehr Default Deny standardmäßig blockieren, nur Erlaubtes freigeben Any to Any sehr breite und kritische Regel DMZ getrenntes Netz für öffentlich erreichbare Dienste Merksatz: Firewall-Regeln so eng wie möglich formulieren. Mini-Spickzettel: VPN VPN-Art Bedeutung Remote-Access-VPN einzelner Benutzer verbindet sich mit Netzwerk Site-to-Site-VPN zwei Netzwerke oder Standorte werden verbunden Wichtig: VPN verschlüsselt den Transportweg, ersetzt aber keine Berechtigungen. Merksatz: VPN schützt Verbindung, nicht automatisch Rechte. Mini-Spickzettel: Cloud Modell Bedeutung IaaS virtuelle Infrastruktur PaaS Plattform für Anwendungen SaaS fertige Anwendung Bereitstellung Bedeutung Public Cloud öffentlich angebotene Cloud Private Cloud Cloud für eine Organisation Hybrid Cloud Kombination aus lokal und Cloud Multi Cloud mehrere Cloud-Anbieter Merksatz: IaaS, PaaS und SaaS sind Servicemodelle. Public, Private, Hybrid und Multi Cloud sind Bereitstellungsmodelle. Mini-Spickzettel: Sicherheitsziele Schutzziel Bedeutung Vertraulichkeit Schutz vor unberechtigtem Lesen Integrität Schutz vor unbemerkter Veränderung Verfügbarkeit Nutzbarkeit von Systemen und Daten Authentizität Echtheit einer Identität oder Nachricht Nichtabstreitbarkeit Nachweisbarkeit einer Handlung Merksatz: CIA = Vertraulichkeit, Integrität, Verfügbarkeit. Mini-Spickzettel: Angriffe Angriff Kurzbeschreibung Phishing Täuschung zur Datenpreisgabe Ransomware verschlüsselt oder sperrt Daten DDoS verteilter Angriff auf Verfügbarkeit Man-in-the-Middle Angreifer sitzt zwischen Kommunikationspartnern Spoofing Identität oder Herkunft wird vorgetäuscht SQL Injection SQL-Code wird eingeschleust XSS Skript wird im Browser ausgeführt CSRF gültige Sitzung wird missbraucht Brute Force systematisches Ausprobieren Credential Stuffing geleakte Zugangsdaten werden erneut genutzt Merksatz: Angriff erkennen, Schutzziel zuordnen, Maßnahme nennen. Mini-Spickzettel: Schutzmaßnahmen Risiko Maßnahme gestohlenes Passwort MFA zu viele Rechte Least Privilege Malware EDR, Patchmanagement Ransomware Backup, Segmentierung, Immutable Backup DDoS DDoS-Schutz, CDN, Rate Limiting Datenabfluss DLP, Verschlüsselung, Rechtekonzept Fehlkonfiguration Change Management, Vier-Augen-Prinzip unklare Vorfälle Logging, SIEM, Monitoring Phishing Schulung, MFA, Mailfilter Merksatz: Maßnahme muss zum Risiko passen. Mini-Spickzettel: Authentifizierung und Autorisierung Begriff Frage Beispiel Authentifizierung Wer bist du? Anmeldung mit Passwort und MFA Autorisierung Was darfst du? Zugriff auf Datei erlaubt oder verboten Merksatz: Erst Identität prüfen, dann Rechte prüfen. Mini-Spickzettel: Backup Begriff Bedeutung Backup Sicherung Restore Wiederherstellung Vollbackup sichert alles inkrementell Änderungen seit letztem Backup differenziell Änderungen seit letztem Vollbackup Snapshot Momentaufnahme RPO maximaler Datenverlust RTO maximale Wiederherstellungszeit Immutable Backup unveränderliches Backup Merksatz: Backup ohne Restore-Test ist unsicher. Mini-Spickzettel: Backup, Sync und Replikation Begriff Ziel Wichtig Backup alte Zustände wiederherstellen schützt Wiederherstellung Synchronisation Orte gleich halten Fehler werden oft übernommen Replikation aktuelle Kopie bereitstellen ersetzt kein Backup Redundanz Ausfall abfedern ersetzt kein Backup Merksatz: Sync, Replikation und Redundanz sind kein Backup. Mini-Spickzettel: Logging und Monitoring Begriff Bedeutung Logging Ereignisse aufzeichnen Monitoring Zustände überwachen Alerting bei kritischen Zuständen alarmieren Reporting Verlauf auswerten SIEM Sicherheitslogs sammeln und korrelieren NTP Zeit synchronisieren Merksatz: Logs zeigen Ereignisse. Monitoring zeigt Zustände. Mini-Spickzettel: Admin-Befehle Aufgabe Windows Linux/macOS IP prüfen ipconfig ip addr Routing prüfen route print ip route DNS prüfen nslookup dig Erreichbarkeit prüfen ping ping Weg verfolgen tracert traceroute Verbindungen prüfen netstat ss Webdienst prüfen PowerShell oder Browser curl Dienst prüfen services.msc, PowerShell systemctl Logs prüfen Ereignisanzeige journalctl Merksatz: Befehle liefern Fakten für die Fehlersuche. Mini-Spickzettel: typische Fehlerbilder Fehlerbild Wahrscheinliche Richtung IP geht, Name nicht DNS lokal geht, Internet nicht Gateway, NAT, Firewall 169.254.x.x DHCP Host erreichbar, Dienst nicht Port, Dienst, Firewall Anmeldung scheitert Authentifizierung Anmeldung geht, Zugriff nicht Autorisierung, Rechte Zertifikatswarnung Zertifikat, Hostname, Zeit nur ein VLAN betroffen VLAN, Routing, Firewall nach Update defekt Change, Version, Kompatibilität Backup nicht nutzbar Restore-Test, Konsistenz, Schlüssel Merksatz: Fehlerbild bestimmt die erste sinnvolle Prüfung. Mini-Spickzettel: Antwortstruktur Bei Fehlersuche: Ursache Begründung Prüfung Beispiel: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Der DNS-Server sollte mit nslookup oder dig geprüft werden. Bei Sicherheitsfragen: Risiko Maßnahme Wirkung Beispiel: Das Risiko besteht im Missbrauch gestohlener Zugangsdaten. MFA reduziert dieses Risiko, weil ein Passwort allein nicht mehr ausreicht. Merksatz: Antwort kurz, fachlich und begründet formulieren. Welche Spickzettel danach sinnvoll sind Die nächsten Seiten können einzelne Spickzettel ausführlicher und sauber getrennt darstellen: OSI- und TCP/IP-Spickzettel Standardports-Spickzettel Subnetting-Spickzettel DNS-DHCP-Gateway-Spickzettel Sicherheitsbegriffe-Spickzettel Backup-Spickzettel Admin-Befehle-Spickzettel Prüfungs-Signalwörter-Spickzettel Merksatz: Erst Gesamtübersicht, dann einzelne Spickzettel. IHK-sichere Kurzformulierung Notizen, Cheatsheets und Spickzettel dienen der schnellen Wiederholung wichtiger Prüfungsinhalte. Sie fassen zentrale Begriffe, Standardports, OSI-Schichten, Subnetting-Regeln, Fehlerbilder, Sicherheitsmaßnahmen, Backup-Begriffe und Administrationsbefehle kompakt zusammen. Ein guter Spickzettel ist kurz, eindeutig, fachlich korrekt und schnell lesbar. Er ersetzt nicht das Verständnis der Themen, hilft aber dabei, kurz vor der Prüfung Begriffe sicher zu unterscheiden und typische Aufgaben schneller einzuordnen. Merksätze Spickzettel sind Kurzfassungen. Spickzettel ersetzen kein Verständnis. OSI hilft bei Fehlersuche. TCP/IP ist praxisnah. MAC ist lokal. IP ist logisch. Port ist Dienst. DNS löst Namen auf. DHCP verteilt Konfiguration. Gateway führt in andere Netze. TCP ist zuverlässig. UDP ist schlank. NAT übersetzt Adressen. PAT nutzt Ports. Firewall filtert Verkehr. DMZ trennt öffentliche Dienste. VPN verschlüsselt Verbindung. Cloud bedeutet geteilte Verantwortung. CIA bedeutet Vertraulichkeit, Integrität und Verfügbarkeit. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. Backup braucht Restore-Test. Sync ist kein Backup. Replikation ist kein Backup. Logs zeigen Ereignisse. Monitoring zeigt Zustände. Befehle liefern Fakten. Fehlerbilder geben Hinweise. Antwortstruktur bringt Punkte. Kurz, fachlich, begründet. 19.2 OSI- und TCP/IP-Spickzettel Dieser Spickzettel fasst die wichtigsten Punkte zum OSI-Modell und TCP/IP-Modell kompakt zusammen. Er dient zur schnellen Wiederholung vor Prüfung, Klassenarbeit oder praktischer Fehlersuche. Merksatz: OSI ist das Denkmodell. TCP/IP ist das Praxismodell. OSI-Modell Überblick Schicht Name Hauptaufgabe Typische Begriffe 7 Anwendungsschicht Netzwerkdienste für Anwendungen HTTP, DNS, DHCP, SMTP, SMB 6 Darstellungsschicht Datenformat, Codierung, Verschlüsselung TLS, SSL, Zeichensatz, Kompression 5 Sitzungsschicht Sitzungen aufbauen, halten, beenden Session, Token, Cookie, Timeout 4 Transportschicht Ende-zu-Ende-Kommunikation TCP, UDP, Ports 3 Vermittlungsschicht logische Adressierung und Routing IP, ICMP, Router, Gateway 2 Sicherungsschicht lokale Übertragung im Netzwerksegment MAC, Ethernet, Switch, VLAN, ARP 1 Bitübertragungsschicht Übertragung von Bits als Signale Kabel, Funk, Stecker, Signal Merksatz: OSI-Schichten von oben: Anwendung, Darstellung, Sitzung, Transport, Vermittlung, Sicherung, Bitübertragung. OSI-Schichten kurz erklärt Schicht Kurzbeschreibung 7 Anwendung Protokolle und Dienste, mit denen Anwendungen kommunizieren 6 Darstellung Daten werden passend dargestellt, codiert, komprimiert oder verschlüsselt 5 Sitzung Kommunikationssitzungen werden verwaltet 4 Transport Daten werden Prozessen über Ports zugeordnet 3 Vermittlung Pakete werden über Netze hinweg geroutet 2 Sicherung Frames werden im lokalen Netz über MAC-Adressen übertragen 1 Bitübertragung Bits werden elektrisch, optisch oder per Funk übertragen Merksatz: Je höher die Schicht, desto näher an der Anwendung. Je niedriger die Schicht, desto näher am Medium. TCP/IP-Modell Überblick TCP/IP-Schicht Entspricht grob OSI Hauptaufgabe Beispiele Anwendung OSI 5 bis 7 Anwendungsprotokolle HTTP, DNS, DHCP, SMTP Transport OSI 4 Ende-zu-Ende-Kommunikation TCP, UDP Internet OSI 3 Adressierung und Routing IP, ICMP Netzzugang OSI 1 bis 2 lokale Übertragung Ethernet, WLAN, MAC Merksatz: TCP/IP fasst mehrere OSI-Schichten zusammen. OSI-Modell und TCP/IP-Modell vergleichen OSI-Modell TCP/IP-Modell theoretisches Referenzmodell praxisnahes Internetmodell 7 Schichten meistens 4 Schichten feiner aufgeteilt gröber zusammengefasst gut für Fehlersuche und Erklärung gut für reale Protokolle Darstellung und Sitzung getrennt in Anwendung zusammengefasst Merksatz: OSI erklärt genauer. TCP/IP beschreibt die praktische Internetkommunikation. Zuordnung OSI zu TCP/IP OSI-Schicht OSI-Name TCP/IP-Schicht 7 Anwendung Anwendung 6 Darstellung Anwendung 5 Sitzung Anwendung 4 Transport Transport 3 Vermittlung Internet 2 Sicherung Netzzugang 1 Bitübertragung Netzzugang Merksatz: TCP/IP-Anwendungsschicht umfasst OSI 5, 6 und 7. Kapselung beim Senden Beim Senden werden Daten schrittweise verpackt. Reihenfolge: Anwendung erzeugt Daten. Transportschicht ergänzt TCP- oder UDP-Informationen. Internetschicht ergänzt IP-Adressen. Sicherungsschicht ergänzt MAC-Adressen. Bitübertragungsschicht überträgt Bits als Signal. Merksatz: Jede Schicht ergänzt eigene Steuerinformationen. Entkapselung beim Empfangen Beim Empfangen werden die Verpackungen wieder entfernt. Reihenfolge: Bits werden empfangen. Frame wird geprüft. IP-Paket wird ausgewertet. TCP- oder UDP-Information wird ausgewertet. Daten werden an die Anwendung übergeben. Merksatz: Empfangen ist Kapselung rückwärts. PDU-Begriffe PDU bedeutet: Protocol Data Unit Damit ist die Dateneinheit einer Schicht gemeint. Schicht PDU Anwendung Daten Transport Segment bei TCP, Datagramm bei UDP Vermittlung / Internet Paket Sicherung Frame Bitübertragung Bits Merksatz: Daten werden zu Segmenten, Paketen, Frames und Bits. Adressarten nach Schicht Adressart Schicht Zweck MAC-Adresse Schicht 2 lokale Zustellung im LAN IP-Adresse Schicht 3 logische Zustellung über Netze Portnummer Schicht 4 Zuordnung zu Dienst oder Prozess Name / URL Schicht 7 menschenlesbarer Zugriff auf Dienste Merksatz: MAC lokal. IP logisch. Port Dienst. Name Anwendung. Schicht 1: Bitübertragung Aufgabe: Bits als elektrische, optische oder Funk-Signale übertragen. Typische Themen: Kabel Stecker Glasfaser Funk Signalqualität Dämpfung Link Geschwindigkeit Duplex Auto-Negotiation Typische Fehler: Kabel defekt Stecker falsch kein Link falsche Geschwindigkeit Störung Dämpfung zu hoch Merksatz: Schicht 1 fragt: Kommt überhaupt ein Signal an? Schicht 2: Sicherung Aufgabe: lokale Kommunikation im gleichen Netzwerksegment. Typische Themen: Ethernet MAC-Adresse Switch VLAN ARP Frame MAC-Adresstabelle STP Broadcast Typische Fehler: falsches VLAN Switchport falsch ARP-Problem MAC-Flooding Loop Broadcast-Sturm Duplexproblem Merksatz: Schicht 2 fragt: Funktioniert die lokale Zustellung? Schicht 3: Vermittlung Aufgabe: Kommunikation zwischen verschiedenen Netzen. Typische Themen: IP-Adresse Subnetzmaske Gateway Routing ICMP Router NAT IPv4 IPv6 Typische Fehler: falsche IP-Adresse falsche Subnetzmaske falsches Gateway fehlende Route Routingfehler NAT-Problem ICMP blockiert Merksatz: Schicht 3 fragt: Findet das Paket den Weg ins Zielnetz? Schicht 4: Transport Aufgabe: Daten dem richtigen Dienst oder Prozess zuordnen. Typische Themen: TCP UDP Ports Verbindungsaufbau Zustellung Flusskontrolle Segment Datagramm Typische Fehler: Port blockiert Dienst lauscht nicht falsches Protokoll TCP-Verbindung scheitert UDP-Antwort fehlt Firewall blockiert Port Merksatz: Schicht 4 fragt: Ist der richtige Dienst über den richtigen Port erreichbar? Schicht 5: Sitzung Aufgabe: Kommunikationssitzungen verwalten. Typische Themen: Session Sitzung Token Cookie Timeout Wiederaufnahme Sitzungs-ID Typische Fehler: Session abgelaufen Cookie fehlt Token ungültig Sitzung wird getrennt Load Balancer ohne Session Persistence Merksatz: Schicht 5 fragt: Bleibt die Kommunikationssitzung bestehen? Schicht 6: Darstellung Aufgabe: Daten passend darstellen, codieren, komprimieren oder verschlüsseln. Typische Themen: TLS SSL Zertifikat Zeichensatz Codierung Kompression Dateiformat Typische Fehler: Zertifikat abgelaufen Hostname passt nicht falscher Zeichensatz TLS-Version inkompatibel Zertifikatskette fehlerhaft Merksatz: Schicht 6 fragt: Können die Daten richtig dargestellt und geschützt werden? Schicht 7: Anwendung Aufgabe: Dienste und Protokolle für Anwendungen bereitstellen. Typische Themen: HTTP HTTPS DNS DHCP SMTP IMAP POP3 SMB LDAP SNMP NTP Typische Fehler: DNS löst nicht auf DHCP vergibt keine IP Webseite liefert Fehler Mailversand funktioniert nicht Freigabe nicht erreichbar Anwendung falsch konfiguriert Merksatz: Schicht 7 fragt: Funktioniert der konkrete Anwendungsdienst? Fehlersuche nach OSI-Modell Sinnvolle Reihenfolge: 1. Schicht 1: Kabel, Link, WLAN, Signal 2. Schicht 2: VLAN, MAC, Switch, ARP 3. Schicht 3: IP, Maske, Gateway, Routing 4. Schicht 4: TCP, UDP, Port, Firewall 5. Schicht 5 bis 7: Session, TLS, DNS, DHCP, HTTP, Anwendung Merksatz: Erst Verbindung, dann Adresse, dann Dienst, dann Anwendung. Typische Fehlerbilder nach Schichten Fehlerbild Wahrscheinliche Schicht kein Link am Switchport Schicht 1 falsches VLAN Schicht 2 ARP findet keine MAC-Adresse Schicht 2 falsche IP-Adresse Schicht 3 Gateway falsch Schicht 3 Route fehlt Schicht 3 Port nicht erreichbar Schicht 4 TCP-Verbindung scheitert Schicht 4 Session läuft ab Schicht 5 Zertifikatswarnung Schicht 6 DNS-Name wird nicht aufgelöst Schicht 7 HTTP 500 Schicht 7 Merksatz: Fehlerbild einer Schicht zuordnen, dann gezielt prüfen. Typische Protokolle nach Schicht Protokoll Schicht Zweck Ethernet 2 lokale Frame-Übertragung ARP 2 / zwischen 2 und 3 IPv4 zu MAC auflösen IP 3 logische Adressierung ICMP 3 Diagnose und Fehlermeldungen TCP 4 zuverlässiger Transport UDP 4 verbindungsloser Transport TLS 6 Verschlüsselung und Zertifikate DNS 7 Namensauflösung DHCP 7 automatische IP-Konfiguration HTTP 7 Webkommunikation SMTP 7 E-Mail-Versand SMB 7 Datei- und Druckfreigaben Merksatz: Protokolle immer ihrer Aufgabe zuordnen, nicht nur auswendig lernen. Typische Geräte nach Schicht Gerät Typische Schicht Aufgabe Kabel 1 Signal übertragen Repeater 1 Signal weitergeben Hub 1 Bits an alle Ports weitergeben Switch 2 Frames anhand MAC weiterleiten Access Point 2 WLAN-Zugang ins LAN Router 3 Netze verbinden Layer-3-Switch 3 Routing zwischen VLANs Firewall 3 bis 7 Verkehr filtern Load Balancer 4 bis 7 Verkehr verteilen Proxy 7 Anwendungsverkehr vermitteln Merksatz: Geräte können je nach Funktion auf mehreren Schichten arbeiten. Wichtige Prüfungsfalle: Gerät nicht starr einordnen Ein Gerät kann mehrere Funktionen haben. Beispiele: Eine Firewall kann auf Schicht 3 IPs filtern, auf Schicht 4 Ports filtern und auf Schicht 7 Anwendungen prüfen. Ein Layer-3-Switch kann switchen und routen. Ein Access Point arbeitet für WLAN-Zugang hauptsächlich auf Schicht 2, kann aber zusätzliche Sicherheitsfunktionen bieten. Merksatz: Entscheidend ist die Funktion, nicht nur der Gerätename. Typische Werkzeuge nach Schicht Werkzeug Hilft bei Kabeltester Schicht 1 Switchport-Status Schicht 1 / 2 ARP-Tabelle Schicht 2 ping Schicht 3 traceroute / tracert Schicht 3 ipconfig / ip addr Schicht 3 route print / ip route Schicht 3 netstat / ss Schicht 4 nslookup / dig Schicht 7 curl Schicht 7 Wireshark mehrere Schichten Merksatz: Das richtige Werkzeug hängt von der vermuteten Schicht ab. Mini-Diagnose: IP geht, Name nicht Fehlerbild: Zugriff per IP-Adresse funktioniert. Zugriff per Name funktioniert nicht. Wahrscheinliche Schicht: Schicht 7 Wahrscheinliches Thema: DNS Prüfen: DNS-Server DNS-Eintrag DNS-Suffix DNS-Cache Split-DNS bei VPN Merksatz: IP ja, Name nein: DNS. Mini-Diagnose: lokal geht, extern nicht Fehlerbild: Geräte im gleichen Netz sind erreichbar. Internet oder andere Netze nicht. Wahrscheinliche Schicht: Schicht 3 Wahrscheinliches Thema: Gateway, Routing, NAT oder Firewall Prüfen: Gateway Routing-Tabelle NAT Firewall-Regeln Providerverbindung Merksatz: Lokal ja, extern nein: Gateway und Routing prüfen. Mini-Diagnose: Host geht, Dienst nicht Fehlerbild: Server ist per ping erreichbar. Anwendung oder Dienst aber nicht. Wahrscheinliche Schicht: Schicht 4 bis 7 Wahrscheinliches Thema: Port, Dienststatus, Firewall oder Anwendung Prüfen: Port offen? Dienst läuft? Firewall erlaubt? Dienst lauscht auf richtiger Schnittstelle? Logs prüfen. Merksatz: Host erreichbar heißt nicht, dass der Dienst funktioniert. Mini-Diagnose: Zertifikatswarnung Fehlerbild: Browser oder Anwendung meldet Zertifikatsfehler. Wahrscheinliche Schicht: Schicht 6 Prüfen: Ablaufdatum Hostname Zertifikatskette Uhrzeit falsches Zertifikat TLS-Konfiguration Merksatz: Zertifikatsfehler: Name, Ablauf, Kette und Zeit prüfen. Mini-Diagnose: falsche automatische IP Fehlerbild: Client hat 169.254.x.x. Wahrscheinliche Schicht: Schicht 7 mit DHCP, aber Ursache kann auch Schicht 1, 2 oder 3 sein. Prüfen: Netzwerkverbindung VLAN DHCP-Server DHCP-Scope DHCP-Relay Firewall Lease-Bereich Merksatz: 169.254.x.x bedeutet: DHCP wurde nicht erfolgreich erreicht. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Nennen Sie die sieben OSI-Schichten. - Ordnen Sie TCP/IP-Schichten den OSI-Schichten zu. - Erklären Sie Kapselung. - Was ist eine PDU? - Ordnen Sie MAC-Adresse, IP-Adresse und Port den passenden Schichten zu. - Auf welcher Schicht arbeitet ein Switch? - Auf welcher Schicht arbeitet ein Router? - Welche Schicht ist bei DNS betroffen? - Welche Schicht ist bei Routing betroffen? - Welche Schicht ist bei TCP und UDP betroffen? - Warum hilft das OSI-Modell bei der Fehlersuche? - Warum ist TCP/IP praxisnäher als OSI? - Warum kann eine Firewall mehreren Schichten zugeordnet werden? Typische Prüfungsfallen OSI und TCP/IP verwechseln. TCP/IP-Anwendungsschicht nur mit OSI 7 gleichsetzen. MAC-Adresse der falschen Schicht zuordnen. IP-Adresse mit MAC-Adresse verwechseln. Port als Schicht-3-Thema einordnen. Switch und Router verwechseln. DNS und DHCP beide einfach nur als „Netzwerk“ bezeichnen. TLS nur als Anwendung sehen, obwohl es zur Darstellung/Verschlüsselung passt. ping als vollständigen Anwendungstest verstehen. Gerät starr einer Schicht zuordnen, obwohl die Funktion entscheidend ist. Merksatz: Nicht der Name entscheidet, sondern die Aufgabe im Kommunikationsprozess. IHK-sichere Kurzformulierung Das OSI-Modell ist ein siebenschichtiges Referenzmodell zur Beschreibung von Netzwerkkommunikation und Fehlersuche. Die Schichten reichen von der Bitübertragungsschicht bis zur Anwendungsschicht. Das TCP/IP-Modell ist praxisnäher und besteht meist aus Anwendung, Transport, Internet und Netzzugang. Dabei entspricht die TCP/IP-Anwendungsschicht grob den OSI-Schichten 5 bis 7, die Transportschicht OSI 4, die Internetschicht OSI 3 und die Netzzugangsschicht OSI 1 bis 2. Bei der Kapselung ergänzt jede Schicht eigene Steuerinformationen. MAC-Adressen gehören zu Schicht 2, IP-Adressen zu Schicht 3 und Ports zu Schicht 4. Für die Fehlersuche hilft das OSI-Modell, Probleme systematisch von unten nach oben einzugrenzen. Merksätze OSI ist das Denkmodell. TCP/IP ist das Praxismodell. OSI hat 7 Schichten. TCP/IP hat meistens 4 Schichten. TCP/IP-Anwendung umfasst OSI 5 bis 7. TCP/IP-Transport entspricht OSI 4. TCP/IP-Internet entspricht OSI 3. TCP/IP-Netzzugang umfasst OSI 1 bis 2. Kapselung verpackt Daten schrittweise. Entkapselung entpackt Daten schrittweise. PDU bedeutet Protocol Data Unit. Daten werden zu Segmenten, Paketen, Frames und Bits. MAC-Adresse ist Schicht 2. IP-Adresse ist Schicht 3. Port ist Schicht 4. Name oder URL ist Schicht 7. Schicht 1 prüft Signal. Schicht 2 prüft lokale Zustellung. Schicht 3 prüft Routing. Schicht 4 prüft Ports. Schicht 5 prüft Sitzungen. Schicht 6 prüft Darstellung und Verschlüsselung. Schicht 7 prüft den Anwendungsdienst. Switch arbeitet hauptsächlich auf Schicht 2. Router arbeitet auf Schicht 3. Firewall kann mehrere Schichten betreffen. DNS ist Anwendungsschicht. DHCP ist Anwendungsschicht. TCP und UDP sind Transportschicht. IP und ICMP gehören zur Vermittlungsschicht. ARP verbindet IPv4 und MAC im lokalen Netz. Fehler immer schichtweise eingrenzen. Erst Verbindung, dann Adresse, dann Dienst, dann Anwendung. 19.3 Standardports-Spickzettel Dieser Spickzettel fasst wichtige Standardports kompakt zusammen. Er ist besonders wichtig für: - Firewall-Regeln - Fehlersuche - Protokollzuordnung - Sicherheitsfragen - Prüfungsaufgaben - Netzwerkdokumentation Merksatz: Ports zeigen, welcher Dienst auf einem Host angesprochen wird. Grundidee: Was ist ein Port? Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem System angesprochen wird. Beispiel: IP-Adresse: Welcher Host? Port: Welcher Dienst auf diesem Host? Beispiel: 192.168.1.10:443 Bedeutung: Host 192.168.1.10 Dienst auf Port 443 Merksatz: IP findet den Host. Port findet den Dienst. Port und OSI-Schicht Ports gehören zur Transportschicht. OSI-Schicht: Schicht 4 Protokolle: TCP UDP Merksatz: Ports sind Schicht 4. TCP und UDP bei Ports Ein Port allein reicht nicht immer aus. Wichtig ist auch, ob TCP oder UDP verwendet wird. Beispiel: TCP 53 und UDP 53 sind nicht dasselbe, auch wenn die Portnummer gleich ist. Merksatz: Portnummer immer zusammen mit TCP oder UDP betrachten. Well-Known Ports Well-Known Ports sind bekannte Standardports. Bereich: 0 bis 1023 Beispiele: TCP 22 SSH TCP 80 HTTP TCP 443 HTTPS UDP 53 DNS Merksatz: Well-Known Ports sind bekannte Dienstports. Registered Ports Registered Ports liegen im Bereich: 1024 bis 49151 Sie werden häufig von Anwendungen, Diensten oder Herstellern genutzt. Beispiele: TCP 3306 MySQL TCP 5432 PostgreSQL TCP 8080 alternativer HTTP-Port Merksatz: Registered Ports werden oft von Anwendungen genutzt. Dynamic oder Ephemeral Ports Dynamische Ports werden häufig für Clientverbindungen genutzt. Bereich: 49152 bis 65535 Beispiel: Client verbindet sich von zufälligem hohen Quellport zu Server TCP 443. Merksatz: Server lauscht meist auf bekanntem Port. Client nutzt oft dynamischen Quellport. Quellport und Zielport Bei einer Verbindung gibt es: Quell-IP Quellport Ziel-IP Zielport Beispiel: Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Bedeutung: Client nutzt dynamischen Quellport. Server nutzt Zielport HTTPS. Merksatz: Zielport zeigt meist den angesprochenen Dienst. Wichtige Standardports Gesamtübersicht Dienst Protokoll Port Zweck FTP Control TCP 21 klassische FTP-Steuerverbindung FTP Data TCP 20 klassische FTP-Datenverbindung im aktiven Modus SSH TCP 22 verschlüsselter Kommandozeilenzugriff Telnet TCP 23 unverschlüsselter Fernzugriff SMTP TCP 25 E-Mail-Versand zwischen Mailservern DNS UDP/TCP 53 Namensauflösung DHCP Server UDP 67 DHCP-Server DHCP Client UDP 68 DHCP-Client HTTP TCP 80 unverschlüsselte Webkommunikation POP3 TCP 110 E-Mail-Abruf NTP UDP 123 Zeitsynchronisation IMAP TCP 143 E-Mail-Abruf und Synchronisation SNMP UDP 161 Netzwerkmanagement SNMP Trap UDP 162 SNMP-Ereignismeldungen LDAP TCP/UDP 389 Verzeichnisdienst HTTPS TCP 443 verschlüsselte Webkommunikation SMB TCP 445 Datei- und Druckfreigaben SMTPS TCP 465 SMTP über TLS Syslog UDP 514 Logübertragung LDAPS TCP 636 LDAP über TLS IMAPS TCP 993 IMAP über TLS POP3S TCP 995 POP3 über TLS RDP TCP 3389 Remote Desktop PostgreSQL TCP 5432 Datenbankdienst HTTP Alternate TCP 8080 alternativer Webport Merksatz: Port, Protokoll und Dienst zusammen lernen. Webports Dienst Protokoll Port Bedeutung HTTP TCP 80 unverschlüsselte Webseite HTTPS TCP 443 verschlüsselte Webseite HTTP Alternate TCP 8080 alternativer Webdienst HTTPS Alternate TCP 8443 alternativer verschlüsselter Webdienst Merksatz: HTTP ist unverschlüsselt. HTTPS ist verschlüsselt. HTTP und HTTPS unterscheiden HTTP: Hypertext Transfer Protocol nutzt meist TCP 80 keine Transportverschlüsselung HTTPS: HTTP über TLS nutzt meist TCP 443 verschlüsselte Verbindung Merksatz: HTTPS = HTTP plus TLS. E-Mail-Ports Dienst Protokoll Port Zweck SMTP TCP 25 Mailserver zu Mailserver Submission TCP 587 E-Mail-Versand durch Clients mit Authentifizierung SMTPS TCP 465 SMTP über TLS POP3 TCP 110 E-Mail abrufen POP3S TCP 995 POP3 verschlüsselt IMAP TCP 143 E-Mail synchronisieren IMAPS TCP 993 IMAP verschlüsselt Merksatz: SMTP sendet. POP3 und IMAP empfangen. SMTP, POP3 und IMAP unterscheiden SMTP: E-Mails senden POP3: E-Mails abrufen, eher einfaches Herunterladen IMAP: E-Mails auf Server synchron verwalten Merksatz: SMTP raus. POP3 und IMAP rein. DNS-Ports Dienst Protokoll Port Zweck DNS UDP 53 normale DNS-Abfragen DNS TCP 53 große Antworten, Zonentransfers, bestimmte Spezialfälle Merksatz: DNS nutzt häufig UDP 53, kann aber auch TCP 53 nutzen. DHCP-Ports Dienst Protokoll Port Bedeutung DHCP Server UDP 67 Server empfängt Anfragen DHCP Client UDP 68 Client empfängt Antworten Merksatz: DHCP nutzt UDP 67 und 68. DHCP und Broadcast DHCP nutzt am Anfang Broadcast, weil der Client noch keine vollständige IP-Konfiguration hat. Ablauf: Discover Offer Request Acknowledge Merksatz: DHCP-DORA gehört zu UDP 67 und 68. Fernadministration-Ports Dienst Protokoll Port Sicherheit SSH TCP 22 verschlüsselt Telnet TCP 23 unverschlüsselt, unsicher RDP TCP 3389 verschlüsselt möglich, stark absichern Merksatz: SSH statt Telnet. RDP nicht offen ins Internet stellen. SSH SSH steht für: Secure Shell Standardport: TCP 22 Nutzung: sichere Kommandozeile SFTP SCP Administration von Servern und Netzwerkgeräten Merksatz: SSH = sicherer Fernzugriff über TCP 22. Telnet Telnet nutzt: TCP 23 Problem: unverschlüsselte Übertragung Risiko: Zugangsdaten können mitgelesen werden. Merksatz: Telnet ist unsicher und sollte vermieden werden. RDP RDP steht für: Remote Desktop Protocol Standardport: TCP 3389 Nutzung: grafischer Fernzugriff auf Windows-Systeme Sicherheit: möglichst über VPN, RDP-Gateway, MFA und Firewall-Beschränkung Merksatz: RDP = TCP 3389, aber nicht offen ins Internet. Dateiübertragungs- und Freigabeports Dienst Protokoll Port Zweck FTP Data TCP 20 FTP-Datenkanal aktiv FTP Control TCP 21 FTP-Steuerkanal SFTP TCP 22 Dateiübertragung über SSH FTPS TCP 21 oder 990 FTP mit TLS SMB TCP 445 Datei- und Druckfreigaben NFS TCP/UDP 2049 Unix-/Linux-Dateifreigaben Merksatz: SFTP nutzt SSH. SMB nutzt TCP 445. FTP, FTPS und SFTP FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS-Verschlüsselung nutzt FTP-Grundlage SFTP: Dateiübertragung über SSH nutzt TCP 22 Merksatz: FTPS ist FTP mit TLS. SFTP ist Dateiübertragung über SSH. SMB SMB steht für: Server Message Block Standardport: TCP 445 Nutzung: Windows-Dateifreigaben Druckerfreigaben Netzlaufwerke Merksatz: SMB = Dateifreigaben über TCP 445. NFS NFS steht für: Network File System Standardport: TCP/UDP 2049 Nutzung: Unix- und Linux-Dateifreigaben Serverfreigaben Virtualisierungsspeicher Backupziele Merksatz: NFS ist typisch für Unix- und Linux-Umgebungen. Verzeichnisdienst-Ports Dienst Protokoll Port Zweck LDAP TCP/UDP 389 Verzeichnisdienst LDAPS TCP 636 LDAP über TLS Kerberos TCP/UDP 88 Authentifizierungsprotokoll Merksatz: LDAP fragt Verzeichnisinformationen ab. Kerberos dient der Authentifizierung. LDAP und LDAPS LDAP: Lightweight Directory Access Protocol nutzt meist TCP/UDP 389 LDAPS: LDAP über TLS nutzt meist TCP 636 Merksatz: LDAPS = LDAP verschlüsselt. Kerberos Kerberos ist ein Authentifizierungsprotokoll. Standardport: TCP/UDP 88 Wichtig: Zeitabweichungen können Kerberos-Probleme verursachen. Merksatz: Kerberos braucht korrekte Zeit. Zeit und Management Dienst Protokoll Port Zweck NTP UDP 123 Zeitsynchronisation SNMP UDP 161 Netzwerkmanagement SNMP Trap UDP 162 Ereignismeldung vom Gerät Syslog UDP 514 Logübertragung Merksatz: NTP sorgt für gleiche Zeit. SNMP überwacht Geräte. Syslog sammelt Logs. NTP NTP steht für: Network Time Protocol Standardport: UDP 123 Wichtig für: Logs Zertifikate Kerberos Tickets Zeitstempel geplante Aufgaben Merksatz: Ohne korrekte Zeit wird Fehlersuche schwerer. SNMP SNMP steht für: Simple Network Management Protocol Standardports: UDP 161 für Abfragen UDP 162 für Traps Nutzung: Netzwerkgeräte überwachen Status abfragen Messwerte erfassen Ereignisse melden Merksatz: SNMP fragt ab, SNMP Trap meldet Ereignisse. Syslog Syslog dient zur Übertragung von Logmeldungen. Standardport: UDP 514 Nutzung: zentrale Logsammlung Firewall-Logs Switch-Logs Router-Logs Server-Logs Merksatz: Syslog transportiert Logmeldungen. Datenbankports Dienst Protokoll Port Zweck MySQL / MariaDB TCP 3306 Datenbankdienst PostgreSQL TCP 5432 Datenbankdienst Microsoft SQL Server TCP 1433 Datenbankdienst MongoDB TCP 27017 Datenbankdienst Merksatz: Datenbankports sollten nicht unnötig öffentlich erreichbar sein. Sicherheitsregel für Datenbankports Datenbanken sollten normalerweise nur erreichbar sein für: Anwendungserver Adminnetz Backupsysteme Monitoring Nicht sinnvoll: Datenbank direkt öffentlich ins Internet stellen. Merksatz: Datenbankports gehören nicht offen ins Internet. Typische Proxy- und Alternativports Dienst Protokoll Port Zweck HTTP Alternate TCP 8080 alternativer Webdienst HTTPS Alternate TCP 8443 alternativer HTTPS-Dienst Proxy TCP 3128 häufig genutzter Proxy-Port SOCKS Proxy TCP 1080 SOCKS-Proxy Merksatz: 8080 und 8443 werden oft für Weboberflächen oder Testdienste genutzt. Portbereiche kompakt Bereich Name Bedeutung 0 bis 1023 Well-Known Ports bekannte Systemdienste 1024 bis 49151 Registered Ports registrierte Anwendungsports 49152 bis 65535 Dynamic / Ephemeral Ports dynamische Clientports Merksatz: Niedrige Ports sind oft Serverdienste. Hohe Ports sind oft Client-Quellports. Ports in Firewall-Regeln Firewall-Regeln sollten enthalten: Quelle Ziel Protokoll Zielport Aktion Richtung Zweck Beispiel: Quelle Ziel Protokoll Port Aktion Zweck Client-Netz Webserver TCP 443 erlauben HTTPS-Zugriff Adminnetz Server TCP 22 erlauben SSH-Administration Internet Datenbank TCP 5432 blockieren Datenbank schützen Merksatz: Firewall-Regeln immer so genau wie möglich formulieren. Any-to-Any-Regeln Any-to-Any bedeutet: jede Quelle zu jedem Ziel Problem: sehr große Angriffsfläche schlechte Nachvollziehbarkeit unnötige Freigaben hohes Sicherheitsrisiko Merksatz: Any-to-Any ist fast immer kritisch. Ports bei Fehlersuche Wenn ein Dienst nicht erreichbar ist, prüfen: Läuft der Dienst? Lauscht der Dienst auf dem richtigen Port? Lauscht der Dienst auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Ist NAT oder Portweiterleitung korrekt? Stimmt TCP oder UDP? Zeigen Logs Fehler? Merksatz: Host erreichbar heißt nicht, dass der Port erreichbar ist. Typische Fehlerbilder mit Ports Fehlerbild Mögliche Ursache Ping funktioniert, Webseite nicht TCP 80 oder 443, Webdienst oder Firewall SSH nicht erreichbar TCP 22 blockiert, Dienst aus, falscher Port RDP nicht erreichbar TCP 3389 blockiert, RDP deaktiviert, VPN fehlt DNS funktioniert nicht UDP/TCP 53 blockiert oder DNS-Server falsch DHCP funktioniert nicht UDP 67/68, VLAN oder DHCP-Relay SMB-Freigabe nicht erreichbar TCP 445 blockiert oder Rechteproblem Mailversand schlägt fehl SMTP-Port, Authentifizierung oder Mailserver Datenbank nicht erreichbar Datenbankport, Firewall oder Dienststatus Merksatz: Bei Dienstproblemen immer Port, Protokoll und Dienststatus prüfen. TCP-Status kurz einordnen Status Bedeutung LISTEN Dienst wartet auf eingehende Verbindung ESTABLISHED Verbindung besteht SYN_SENT Verbindungsaufbau gestartet TIME_WAIT Verbindung wurde beendet, Wartephase CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht Merksatz: LISTEN zeigt: Ein Dienst wartet auf Verbindungen. Portscanner fachlich einordnen Ein Portscanner prüft, welche Ports auf einem Ziel erreichbar sind. Nutzung: Sicherheitsprüfung Fehlersuche Inventarisierung Prüfung von Firewall-Regeln Wichtig: Nur mit Erlaubnis einsetzen. Merksatz: Portscan zeigt erreichbare Dienste, aber nicht automatisch deren Sicherheit. Ports und Sicherheit Offene Ports bedeuten: ein Dienst ist erreichbar Risiko: Angriffsfläche steigt Sicherheitsmaßnahmen: nur notwendige Ports öffnen Dienste patchen starke Authentifizierung Firewall einschränken Logging aktivieren nicht benötigte Dienste deaktivieren keine Adminports öffentlich bereitstellen Merksatz: Jeder offene Port ist eine mögliche Angriffsfläche. Besonders kritische Ports Kritisch bei direkter Internet-Erreichbarkeit: TCP 22 SSH TCP 3389 RDP TCP 445 SMB TCP 3306 MySQL TCP 5432 PostgreSQL TCP 1433 Microsoft SQL Server TCP 23 Telnet Warum kritisch? Adminzugänge Dateifreigaben Datenbanken unverschlüsselte Protokolle häufige Angriffsziele Merksatz: Admin-, Datei- und Datenbankports nicht frei ins Internet stellen. Prüfungsfalle: Port offen bedeutet nicht Zugriff erlaubt Ein offener Port bedeutet: Dienst ist grundsätzlich erreichbar. Aber Zugriff kann trotzdem scheitern durch: falsche Zugangsdaten fehlende Rechte Anwendungskonfiguration Zertifikatsproblem IP-Beschränkung MFA Lizenz interne Fehlermeldung Merksatz: Port offen heißt nicht automatisch: Anwendung funktioniert vollständig. Prüfungsfalle: Ping ersetzt keinen Porttest Ping prüft ICMP. Ping prüft nicht automatisch, ob ein TCP- oder UDP-Dienst erreichbar ist. Beispiel: ping auf Webserver funktioniert aber TCP 443 ist blockiert Ergebnis: Webseite trotzdem nicht erreichbar. Merksatz: Ping prüft Host-Erreichbarkeit, nicht den Dienst. Prüfungsfalle: gleicher Port, anderes Protokoll Beispiel: DNS nutzt UDP 53 und DNS kann TCP 53 nutzen. Eine Firewall-Regel nur für TCP 53 reicht nicht immer aus. Merksatz: TCP und UDP getrennt beachten. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welchen Port nutzt SSH? - Welchen Port nutzt HTTPS? - Welchen Port nutzt RDP? - Welchen Port nutzt SMB? - Welche Ports nutzt DHCP? - Warum nutzt DNS UDP und TCP 53? - Warum ist Telnet unsicher? - Warum sollte RDP nicht direkt im Internet erreichbar sein? - Was ist der Unterschied zwischen Quellport und Zielport? - Was ist ein Well-Known Port? - Warum ist ein offener Datenbankport kritisch? - Warum ersetzt ping keinen Porttest? - Welche Angaben gehören in eine Firewall-Regel? Typische Prüfungsfallen TCP und UDP nicht angegeben. Portnummer richtig, aber falsches Protokoll. DNS nur als UDP betrachten, TCP 53 vergessen. DHCP-Ports 67 und 68 verwechseln. SSH und Telnet verwechseln. SFTP und FTPS verwechseln. SMTP, POP3 und IMAP verwechseln. RDP öffentlich erlauben. SMB öffentlich erlauben. Datenbankport öffentlich erlauben. Ping als Diensttest verstehen. Offenen Port mit erfolgreicher Anmeldung verwechseln. Merksatz: Portwissen muss immer mit Dienst, Protokoll und Sicherheitswirkung verbunden werden. IHK-sichere Kurzformulierung Ports dienen auf der Transportschicht zur Zuordnung von Netzwerkverkehr zu Diensten oder Prozessen. Ein Zielport zeigt meist den angesprochenen Dienst, zum Beispiel TCP 22 für SSH, TCP 443 für HTTPS, TCP 445 für SMB oder TCP 3389 für RDP. Dabei muss immer zwischen TCP und UDP unterschieden werden. DNS nutzt häufig UDP 53, kann aber auch TCP 53 verwenden. DHCP nutzt UDP 67 für den Server und UDP 68 für den Client. Offene Ports vergrößern die Angriffsfläche und sollten über Firewall-Regeln nur gezielt freigegeben werden. Besonders Admin-, Datei- und Datenbankports sollten nicht unnötig öffentlich erreichbar sein. Merksätze Port = Dienstadresse auf einem Host. Ports gehören zu OSI-Schicht 4. Port immer mit TCP oder UDP nennen. Zielport zeigt meist den Dienst. Quellport ist beim Client oft dynamisch. Well-Known Ports liegen bei 0 bis 1023. SSH nutzt TCP 22. Telnet nutzt TCP 23 und ist unsicher. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. SMTP nutzt TCP 25. Submission nutzt TCP 587. POP3 nutzt TCP 110. IMAP nutzt TCP 143. SMB nutzt TCP 445. RDP nutzt TCP 3389. NTP nutzt UDP 123. SNMP nutzt UDP 161 und 162. LDAP nutzt 389. LDAPS nutzt 636. Kerberos nutzt 88. MySQL nutzt TCP 3306. PostgreSQL nutzt TCP 5432. SFTP nutzt SSH und damit TCP 22. FTPS ist FTP mit TLS. FTP ist unverschlüsselt. Jeder offene Port ist Angriffsfläche. Ping ersetzt keinen Porttest. Port offen heißt nicht automatisch Anwendung funktioniert. Datenbankports nicht öffentlich freigeben. Adminports stark absichern. Firewall-Regeln genau formulieren. Any-to-Any ist kritisch. 19.4 Subnetting-Spickzettel Dieser Spickzettel fasst die wichtigsten Regeln für IPv4-Subnetting kompakt zusammen. Er ist besonders wichtig für: - Netzadresse berechnen - Broadcastadresse berechnen - nutzbare Hostadressen bestimmen - Hostanzahl berechnen - Subnetze vergleichen - Subnetzmasken verstehen - Prüfungsaufgaben schneller lösen Merksatz: Subnetting ist das Aufteilen eines IP-Netzes in kleinere Teilnetze. Grundidee von Subnetting Eine IPv4-Adresse besteht aus: Netzanteil und Hostanteil Der Netzanteil sagt: Zu welchem Netzwerk gehört die Adresse? Der Hostanteil sagt: Welches Gerät innerhalb dieses Netzwerks ist gemeint? Merksatz: Netzanteil findet das Netz. Hostanteil findet den Host im Netz. IPv4-Grundregel IPv4-Adressen haben immer: 32 Bit Beispiel: 192.168.1.10 Diese Adresse besteht aus vier Oktetten. Ein Oktett hat: 8 Bit Vier Oktette: 4 × 8 Bit = 32 Bit Merksatz: IPv4 = 32 Bit. Präfixschreibweise Beispiel: 192.168.1.10/24 Das /24 bedeutet: 24 Bit Netzanteil Da IPv4 insgesamt 32 Bit hat: 32 - 24 = 8 Hostbits Merksatz: Präfix = Anzahl der Netzbits. Subnetzmaske Die Subnetzmaske zeigt, welcher Teil der IP-Adresse zum Netz gehört. Beispiel: Präfix Subnetzmaske /24 255.255.255.0 /25 255.255.255.128 /26 255.255.255.192 /27 255.255.255.224 /28 255.255.255.240 /29 255.255.255.248 /30 255.255.255.252 Merksatz: Subnetzmaske und Präfix beschreiben dieselbe Aufteilung. Netzbits und Hostbits Formel: Hostbits = 32 - Präfix Beispiele: Präfix Netzbits Hostbits /24 24 8 /25 25 7 /26 26 6 /27 27 5 /28 28 4 /29 29 3 /30 30 2 Merksatz: Je mehr Netzbits, desto weniger Hostbits. Hostanzahl berechnen Formel: nutzbare Hosts = 2 hoch Hostbits minus 2 Warum minus 2? eine Adresse ist die Netzadresse eine Adresse ist die Broadcastadresse Beispiel: /26 Hostbits: 32 - 26 = 6 Gesamtadressen: 2 hoch 6 = 64 Nutzbare Hosts: 64 - 2 = 62 Merksatz: Nutzbare Hosts = 2 hoch Hostbits minus 2. Wichtige Präfixe auswendig können Präfix Maske Gesamtadressen nutzbare Hosts /24 255.255.255.0 256 254 /25 255.255.255.128 128 126 /26 255.255.255.192 64 62 /27 255.255.255.224 32 30 /28 255.255.255.240 16 14 /29 255.255.255.248 8 6 /30 255.255.255.252 4 2 Merksatz: Von /24 zu /25 halbiert sich die Adressanzahl. Von /25 zu /24 verdoppelt sich die Adressanzahl. Präfix größer oder kleiner Wenn der Präfix größer wird: mehr Netzbits weniger Hostbits kleinere Subnetze weniger Hosts pro Subnetz Beispiel: /25 ist kleiner als /24 Wenn der Präfix kleiner wird: weniger Netzbits mehr Hostbits größere Subnetze mehr Hosts pro Subnetz Beispiel: /23 ist größer als /24 Merksatz: Präfix größer: Netz kleiner. Präfix kleiner: Netz größer. Netzadresse Die Netzadresse ist die erste Adresse eines Subnetzes. Sie bezeichnet das Netz selbst. Beispiel: 192.168.1.0/24 Netzadresse: 192.168.1.0 Merksatz: Netzadresse = erste Adresse im Subnetz. Broadcastadresse Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie dient dazu, alle Hosts im Subnetz zu erreichen. Beispiel: 192.168.1.0/24 Broadcastadresse: 192.168.1.255 Merksatz: Broadcastadresse = letzte Adresse im Subnetz. Erste und letzte nutzbare Hostadresse Erste nutzbare Adresse: Netzadresse + 1 Letzte nutzbare Adresse: Broadcastadresse - 1 Beispiel: Netz: 192.168.1.0/24 Netzadresse: 192.168.1.0 erste nutzbare: 192.168.1.1 letzte nutzbare: 192.168.1.254 Broadcast: 192.168.1.255 Merksatz: Erste nutzbare = Netzadresse + 1. Letzte nutzbare = Broadcast - 1. Blockgröße Die Blockgröße zeigt, in welchen Schritten Subnetze beginnen. Formel: Blockgröße = 256 - interessanter Maskenwert Beispiel: /26 Subnetzmaske: 255.255.255.192 Interessanter Maskenwert: 192 Blockgröße: 256 - 192 = 64 Subnetzschritte: 0 64 128 192 Merksatz: Blockgröße hilft, Netzgrenzen schnell zu finden. Interessanter Maskenwert Der interessante Maskenwert ist das Oktett, in dem die Subnetzmaske nicht 255 und nicht 0 ist. Beispiele: Präfix Maske interessanter Wert /25 255.255.255.128 128 /26 255.255.255.192 192 /27 255.255.255.224 224 /28 255.255.255.240 240 /29 255.255.255.248 248 /30 255.255.255.252 252 Merksatz: Interessanter Wert ist dort, wo die Subnetze springen. Blockgrößen der häufigen Präfixe Präfix Maske Blockgröße /24 255.255.255.0 256 /25 255.255.255.128 128 /26 255.255.255.192 64 /27 255.255.255.224 32 /28 255.255.255.240 16 /29 255.255.255.248 8 /30 255.255.255.252 4 Merksatz: Blockgröße und Gesamtadressen sind bei einfachen Subnetzen gleich groß. Subnetzbereiche bei /25 Ausgangsnetz: 192.168.1.0/24 Aufteilung in /25: Subnetz Bereich nutzbare Hosts Broadcast 192.168.1.0/25 192.168.1.0 bis 192.168.1.127 192.168.1.1 bis 192.168.1.126 192.168.1.127 192.168.1.128/25 192.168.1.128 bis 192.168.1.255 192.168.1.129 bis 192.168.1.254 192.168.1.255 Merksatz: /25 teilt ein /24 in zwei gleich große Netze. Subnetzbereiche bei /26 Ausgangsnetz: 192.168.1.0/24 Aufteilung in /26: Subnetz Bereich nutzbare Hosts Broadcast 192.168.1.0/26 192.168.1.0 bis 192.168.1.63 192.168.1.1 bis 192.168.1.62 192.168.1.63 192.168.1.64/26 192.168.1.64 bis 192.168.1.127 192.168.1.65 bis 192.168.1.126 192.168.1.127 192.168.1.128/26 192.168.1.128 bis 192.168.1.191 192.168.1.129 bis 192.168.1.190 192.168.1.191 192.168.1.192/26 192.168.1.192 bis 192.168.1.255 192.168.1.193 bis 192.168.1.254 192.168.1.255 Merksatz: /26 teilt ein /24 in vier Netze mit je 64 Adressen. Subnetzbereiche bei /27 Ausgangsnetz: 192.168.1.0/24 Blockgröße: 32 Subnetze beginnen bei: 0 32 64 96 128 160 192 224 Beispiel: 192.168.1.96/27 Bereich: 192.168.1.96 bis 192.168.1.127 nutzbar: 192.168.1.97 bis 192.168.1.126 Broadcast: 192.168.1.127 Merksatz: /27 springt in 32er-Schritten. Subnetzbereiche bei /28 Ausgangsnetz: 192.168.1.0/24 Blockgröße: 16 Subnetze beginnen bei: 0 16 32 48 64 80 96 112 128 144 160 176 192 208 224 240 Beispiel: 192.168.1.80/28 Bereich: 192.168.1.80 bis 192.168.1.95 nutzbar: 192.168.1.81 bis 192.168.1.94 Broadcast: 192.168.1.95 Merksatz: /28 springt in 16er-Schritten. Subnetzaufgabe Schritt für Schritt Beispiel: 192.168.1.70/26 Schritt 1: Präfix: /26 Schritt 2: Hostbits: 32 - 26 = 6 Schritt 3: Adressen: 2 hoch 6 = 64 Schritt 4: nutzbare Hosts: 64 - 2 = 62 Schritt 5: Blockgröße: 64 Schritt 6: Subnetzbereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 Schritt 7: 70 liegt im Bereich 64 bis 127 Ergebnis: Wert Ergebnis Netzadresse 192.168.1.64 erste nutzbare Adresse 192.168.1.65 letzte nutzbare Adresse 192.168.1.126 Broadcastadresse 192.168.1.127 nutzbare Hosts 62 Merksatz: IP-Adresse liegt immer in genau einem Subnetzbereich. Prüfungsaufgabe: 192.168.10.130/25 Gegeben: 192.168.10.130/25 Präfix: /25 Hostbits: 32 - 25 = 7 Adressen: 2 hoch 7 = 128 Nutzbare Hosts: 126 Blockgröße: 128 Subnetzbereiche: 192.168.10.0 bis 192.168.10.127 192.168.10.128 bis 192.168.10.255 Die Adresse 192.168.10.130 liegt im zweiten Bereich. Wert Ergebnis Netzadresse 192.168.10.128 erste nutzbare Adresse 192.168.10.129 letzte nutzbare Adresse 192.168.10.254 Broadcastadresse 192.168.10.255 nutzbare Hosts 126 Merksatz: Bei /25 gibt es zwei Bereiche: 0 bis 127 und 128 bis 255. Prüfungsaufgabe: 10.0.5.200/27 Gegeben: 10.0.5.200/27 Präfix: /27 Hostbits: 32 - 27 = 5 Adressen: 2 hoch 5 = 32 Nutzbare Hosts: 30 Blockgröße: 32 Subnetzbereiche im letzten Oktett: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 128 bis 159 160 bis 191 192 bis 223 224 bis 255 Die Adresse 200 liegt im Bereich: 192 bis 223 Wert Ergebnis Netzadresse 10.0.5.192 erste nutzbare Adresse 10.0.5.193 letzte nutzbare Adresse 10.0.5.222 Broadcastadresse 10.0.5.223 nutzbare Hosts 30 Merksatz: Bei /27 springt das letzte Oktett in 32er-Blöcken. Prüfungsaufgabe: 172.16.8.14/28 Gegeben: 172.16.8.14/28 Präfix: /28 Hostbits: 32 - 28 = 4 Adressen: 2 hoch 4 = 16 Nutzbare Hosts: 14 Blockgröße: 16 Subnetzbereiche im letzten Oktett: 0 bis 15 16 bis 31 32 bis 47 48 bis 63 Die Adresse 14 liegt im Bereich: 0 bis 15 Wert Ergebnis Netzadresse 172.16.8.0 erste nutzbare Adresse 172.16.8.1 letzte nutzbare Adresse 172.16.8.14 Broadcastadresse 172.16.8.15 nutzbare Hosts 14 Wichtig: 172.16.8.14 ist hier die letzte nutzbare Hostadresse, nicht die Broadcastadresse. Merksatz: Broadcast ist bei /28 immer die letzte Adresse des 16er-Blocks. Subnetzmaske aus Präfix ableiten Präfix Binär im letzten interessanten Oktett Dezimal /25 10000000 128 /26 11000000 192 /27 11100000 224 /28 11110000 240 /29 11111000 248 /30 11111100 252 Merksatz: Einsen stehen für Netzbits. Nullen stehen für Hostbits. Binärwerte im Oktett Bitwert Dezimalwert 10000000 128 01000000 64 00100000 32 00010000 16 00001000 8 00000100 4 00000010 2 00000001 1 Merksatz: Oktettwerte: 128, 64, 32, 16, 8, 4, 2, 1. Subnetzmasken binär verstehen Beispiel: /26 Binär: 11111111.11111111.11111111.11000000 Dezimal: 255.255.255.192 Bedeutung: 26 Einsen für Netzbits 6 Nullen für Hostbits Merksatz: Subnetzmaske ist eine Folge von Einsen und danach Nullen. Hosts oder Subnetze berechnen Wenn gefragt wird: Wie viele Hosts passen in ein Subnetz? Dann: Hostbits bestimmen. Wenn gefragt wird: Wie viele Subnetze entstehen? Dann: geliehene Netzbits bestimmen. Beispiel: /24 wird in /26 aufgeteilt. Geliehene Bits: 26 - 24 = 2 Anzahl Subnetze: 2 hoch 2 = 4 Merksatz: Hostbits berechnen Hosts. geliehene Netzbits berechnen Subnetze. Subnetze aus einem Ausgangsnetz berechnen Beispiel: 192.168.1.0/24 soll in /26-Netze geteilt werden. Geliehene Bits: 26 - 24 = 2 Anzahl Subnetze: 2 hoch 2 = 4 Adressen je Subnetz: 64 Subnetze: 192.168.1.0/26 192.168.1.64/26 192.168.1.128/26 192.168.1.192/26 Merksatz: Neue Subnetze beginnen im Abstand der Blockgröße. Benötigte Hostanzahl bestimmen Wenn gefragt wird: Welches kleinste Subnetz braucht man für 50 Hosts? Dann prüfen: Präfix nutzbare Hosts /27 30 /26 62 /25 126 Für 50 Hosts reicht: /26 Warum? /27 hat nur 30 nutzbare Hosts. /26 hat 62 nutzbare Hosts. Merksatz: Immer das kleinste passende Subnetz wählen. Beispiel: 100 Hosts benötigt Gesucht: kleinstes Subnetz für mindestens 100 Hosts Prüfen: Präfix nutzbare Hosts /26 62 /25 126 /24 254 Ergebnis: /25 Begründung: /26 reicht nicht, /25 reicht. Merksatz: Nicht zu klein, nicht unnötig groß planen. VLSM-Grundidee VLSM steht für: Variable Length Subnet Mask Bedeutung: unterschiedlich große Subnetze innerhalb eines größeren Netzes Beispiel: Servernetz braucht 50 Hosts Büronetz braucht 100 Hosts Punkt-zu-Punkt-Verbindung braucht 2 Hosts Dann werden unterschiedlich große Präfixe verwendet. Merksatz: VLSM passt Subnetzgrößen an den Bedarf an. VLSM-Grundregel Bei VLSM plant man meist: größte Netze zuerst danach kleinere Netze Warum? Große Netze brauchen größere zusammenhängende Adressbereiche. Merksatz: VLSM: erst große Netze, dann kleine Netze. CIDR-Grundidee CIDR steht für: Classless Inter-Domain Routing Bedeutung: klassenlose Schreibweise mit Präfix Beispiel: 192.168.1.0/24 Vorteil: flexible Netzgrößen Merksatz: CIDR ist die moderne Schreibweise mit Schrägstrich-Präfix. Private IPv4-Bereiche Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. Sonderfall /31 und /32 In klassischen Prüfungsaufgaben wird meist mit: Netzadresse und Broadcastadresse gerechnet. Daher gilt dort oft: nutzbare Hosts = 2 hoch Hostbits minus 2 Sonderfälle: /31 kann bei Punkt-zu-Punkt-Verbindungen verwendet werden. /32 beschreibt eine einzelne Hostadresse. Merksatz: Für Standard-IHK-Aufgaben meistens mit minus 2 rechnen, außer die Aufgabe nennt ausdrücklich Sonderfälle. Typische Prüfungsfallen Präfix größer mit größerem Netz verwechseln. Netzadresse als Hostadresse verwenden. Broadcastadresse als Hostadresse verwenden. Minus 2 bei nutzbaren Hosts vergessen. Gateway außerhalb des Subnetzes eintragen. Blockgröße falsch berechnen. /25 und /26 verwechseln. Subnetzmaske falsch zu Präfix zuordnen. IP-Adresse liegt nicht im angenommenen Bereich. erste und letzte nutzbare Adresse vertauschen. VLSM nicht mit größtem Netz beginnen. Merksatz: Die meisten Subnetting-Fehler entstehen durch falsche Grenzen. Prüfungsfalle: Gateway außerhalb des Subnetzes Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Problem: Client-Netz: 192.168.10.0/24 Gateway-Netz: 192.168.20.0/24 Das Gateway ist nicht im gleichen lokalen Subnetz. Merksatz: Standardgateway muss für den Client lokal erreichbar sein. Prüfungsfalle: Broadcast als Host verwenden Beispiel: Netz: 192.168.1.64/26 Bereich: 192.168.1.64 bis 192.168.1.127 Broadcast: 192.168.1.127 Nicht als Host verwenden: 192.168.1.127 Merksatz: Broadcastadresse ist keine Hostadresse. Prüfungsfalle: Netzadresse als Host verwenden Beispiel: Netz: 192.168.1.64/26 Netzadresse: 192.168.1.64 Nicht als Host verwenden: 192.168.1.64 Merksatz: Netzadresse ist keine Hostadresse. Schnelle Subnetting-Reihenfolge Bei jeder Aufgabe: 1. Präfix lesen. 2. Hostbits berechnen. 3. Hostanzahl berechnen. 4. Blockgröße bestimmen. 5. Subnetzbereich finden. 6. Netzadresse bestimmen. 7. Broadcast bestimmen. 8. nutzbare Hosts bestimmen. Merksatz: Immer gleiche Reihenfolge, weniger Fehler. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Wie viele nutzbare Hosts hat ein /26-Netz? - Welche Subnetzmaske gehört zu /27? - Welche Netzadresse gehört zu einer bestimmten IP mit Präfix? - Welche Broadcastadresse gehört zu einem Subnetz? - Welche erste und letzte nutzbare Adresse gibt es? - Welches kleinste Subnetz reicht für eine bestimmte Hostanzahl? - Liegen zwei IP-Adressen im gleichen Subnetz? - Ist das Gateway korrekt konfiguriert? - Wie viele Subnetze entstehen aus einer Aufteilung? - Warum darf die Broadcastadresse nicht als Hostadresse genutzt werden? IHK-sichere Kurzformulierung Subnetting teilt ein IPv4-Netz in kleinere Teilnetze auf. Eine IPv4-Adresse besteht aus 32 Bit. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die restlichen Bits bilden den Hostanteil. Die Anzahl der nutzbaren Hosts berechnet sich in klassischen IPv4-Subnetzen mit 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Die erste nutzbare Adresse ist Netzadresse plus 1, die letzte nutzbare Adresse ist Broadcastadresse minus 1. Die Blockgröße hilft, Subnetzgrenzen schnell zu finden. Merksätze IPv4 hat 32 Bit. Präfix = Netzbits. Hostbits = 32 minus Präfix. Mehr Netzbits bedeuten kleinere Netze. Mehr Hostbits bedeuten mehr Hosts. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse. Broadcastadresse = letzte Adresse. Erste nutzbare = Netzadresse + 1. Letzte nutzbare = Broadcast - 1. Blockgröße = 256 minus interessanter Maskenwert. /24 hat 254 nutzbare Hosts. /25 hat 126 nutzbare Hosts. /26 hat 62 nutzbare Hosts. /27 hat 30 nutzbare Hosts. /28 hat 14 nutzbare Hosts. /29 hat 6 nutzbare Hosts. /30 hat 2 nutzbare Hosts. Präfix größer heißt: Netz kleiner. Präfix kleiner heißt: Netz größer. Gateway muss im lokalen Subnetz liegen. Netzadresse nicht als Host verwenden. Broadcastadresse nicht als Host verwenden. VLSM: größte Netze zuerst. CIDR ist die Schreibweise mit Präfix. Subnetting immer in gleicher Reihenfolge lösen. 19.5 DNS, DHCP, Gateway und NAT Spickzettel Dieser Spickzettel fasst vier sehr häufige Prüfungsthemen zusammen: - DNS - DHCP - Gateway - NAT Diese Begriffe werden in Aufgaben oft gemeinsam geprüft, weil sie für normalen Netzwerkzugriff zusammenwirken. Merksatz: DNS findet Namen. DHCP verteilt Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. Grundidee im Überblick Begriff Hauptaufgabe Typisches Fehlerbild DNS Namen in IP-Adressen auflösen IP geht, Name nicht DHCP IP-Konfiguration automatisch verteilen 169.254.x.x oder falsche IP Gateway Weg in andere Netze bereitstellen lokal geht, Internet nicht NAT private Adressen in öffentliche Adressen übersetzen intern geht, extern nicht oder Portweiterleitung fehlerhaft Merksatz: Jeder Begriff löst ein anderes Problem. DNS kurz erklärt DNS steht für: Domain Name System Aufgabe: DNS übersetzt Namen in IP-Adressen. Beispiel: www.example.com wird aufgelöst zu: einer IPv4- oder IPv6-Adresse Merksatz: DNS ist das Namenssystem des Netzwerks. DNS-Frage in der Prüfung Typisches Fehlerbild: Webseite ist per IP-Adresse erreichbar, aber nicht per Domainname. Wahrscheinliche Ursache: DNS-Problem Mögliche Ursachen: falscher DNS-Server DNS-Server nicht erreichbar falscher DNS-Eintrag DNS-Cache veraltet DNS-Suffix falsch Split-DNS bei VPN falsch Firewall blockiert DNS Merksatz: IP ja, Name nein: DNS prüfen. Wichtige DNS-Records Record Bedeutung A Name zu IPv4-Adresse AAAA Name zu IPv6-Adresse CNAME Alias auf anderen Namen MX Mailserver einer Domain TXT Textinformationen, zum Beispiel SPF NS zuständiger Nameserver PTR Reverse DNS, IP-Adresse zu Name Merksatz: A ist IPv4. AAAA ist IPv6. MX ist Mail. PTR ist rückwärts. DNS und Ports DNS nutzt: UDP 53 und bei Bedarf TCP 53 UDP 53: normale DNS-Abfragen TCP 53: große Antworten, Zonentransfers oder bestimmte Spezialfälle Merksatz: DNS ist meistens UDP 53, aber TCP 53 nicht vergessen. DNS-Prüfung mit Werkzeugen Typische Werkzeuge: nslookup dig ping mit Namen Browser-Test DNS-Cache prüfen Wichtig: ping auf Name testet DNS und ICMP zusammen. Besser für reine DNS-Prüfung: nslookup oder dig Merksatz: DNS gezielt mit nslookup oder dig prüfen. DNS-Cache Ein DNS-Cache speichert bereits aufgelöste Namen. Vorteile: schnellere Namensauflösung weniger DNS-Anfragen Problem: veraltete Einträge können Fehler verursachen. Merksatz: DNS-Cache kann alte Informationen enthalten. DNS-Suffix Ein DNS-Suffix ergänzt unvollständige Namen. Beispiel: server01 kann ergänzt werden zu: server01.firma.local Typische Fehler: falsches Suchsuffix anderes Suffix im VPN interner Name wird extern nicht gefunden Merksatz: DNS-Suffix hilft bei kurzen internen Namen. Split-DNS Split-DNS bedeutet: interne und externe DNS-Auflösung können unterschiedliche Antworten liefern. Beispiel: intern: intranet.firma.de zeigt auf private IP-Adresse extern: intranet.firma.de ist nicht erreichbar oder zeigt auf öffentliche Adresse Typisch bei: VPN Intranet internen Diensten Hybrid-Umgebungen Merksatz: Split-DNS kann je nach Standort unterschiedliche IPs liefern. DHCP kurz erklärt DHCP steht für: Dynamic Host Configuration Protocol Aufgabe: DHCP verteilt automatisch Netzwerkkonfiguration an Clients. Typische Informationen: IP-Adresse Subnetzmaske Standardgateway DNS-Server Lease-Zeit weitere Optionen Merksatz: DHCP erspart manuelle IP-Konfiguration. DHCP-DORA DORA beschreibt den DHCP-Ablauf: Schritt Bedeutung Discover Client sucht DHCP-Server Offer Server bietet Konfiguration an Request Client fordert angebotene Konfiguration an Acknowledge Server bestätigt die Vergabe Merksatz: DHCP-DORA: Discover, Offer, Request, Acknowledge. DHCP und Ports DHCP nutzt: Rolle Protokoll Port DHCP-Server UDP 67 DHCP-Client UDP 68 Merksatz: DHCP nutzt UDP 67 und UDP 68. DHCP und Broadcast Ein Client hat zu Beginn oft noch keine gültige IP-Adresse. Deshalb nutzt DHCP am Anfang Broadcast. Grund: Der Client kennt den DHCP-Server noch nicht. Der Client hat noch keine vollständige Netzwerkkonfiguration. Merksatz: DHCP beginnt häufig mit Broadcast. APIPA APIPA steht für: Automatic Private IP Addressing Bereich: 169.254.0.0/16 Bedeutung: Der Client hat keine gültige DHCP-Adresse erhalten und vergibt sich selbst eine automatische Adresse. Typisches Fehlerbild: Client hat 169.254.x.x und erreicht keine normalen Netzressourcen. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. DHCP-Scope Ein DHCP-Scope ist ein Adressbereich, aus dem DHCP Adressen vergeben darf. Beispiel: 192.168.10.100 bis 192.168.10.200 Zu einem Scope gehören oft: IP-Bereich Subnetzmaske Gateway DNS-Server Lease-Zeit Ausschlüsse Reservierungen Merksatz: DHCP-Scope = Adresspool für automatische Vergabe. DHCP-Lease Eine Lease ist die zeitlich begrenzte Vergabe einer IP-Adresse. Bedeutung: Ein Client erhält eine Adresse nicht für immer, sondern für eine bestimmte Lease-Zeit. Vorteil: Adressen können später wiederverwendet werden. Merksatz: DHCP-Lease = zeitlich begrenzte IP-Vergabe. DHCP-Reservierung Eine DHCP-Reservierung weist einem bestimmten Gerät immer dieselbe IP-Adresse zu. Meist anhand der: MAC-Adresse Typisch für: Drucker Server NAS Netzwerkgeräte wichtige Clients Merksatz: Reservierung bedeutet: automatisch, aber immer dieselbe Adresse. DHCP-Relay Ein DHCP-Relay leitet DHCP-Anfragen in ein anderes Netz weiter. Warum nötig? DHCP-Broadcasts werden normalerweise nicht über Router weitergeleitet. Beispiel: Client in VLAN 20 DHCP-Server in VLAN 10 Dann braucht man oft: DHCP-Relay Merksatz: DHCP-Relay hilft, wenn Client und DHCP-Server in unterschiedlichen Netzen sind. DHCP-Fehlerbilder Fehlerbild Mögliche Ursache 169.254.x.x DHCP nicht erreicht falsches Gateway falsche DHCP-Option falscher DNS-Server falsche DHCP-Option keine Adresse mehr frei Scope erschöpft nur ein VLAN betroffen DHCP-Relay oder VLAN falsch manche Geräte bekommen falsche IP falscher Scope oder falsches VLAN Gerät bekommt alte IP Lease oder Reservierung prüfen Merksatz: DHCP-Probleme betreffen IP-Konfiguration, nicht Namensauflösung. Gateway kurz erklärt Das Standardgateway ist der Router, über den ein Host andere Netze erreicht. Ohne Gateway kann ein Host normalerweise nur mit Geräten im eigenen Subnetz kommunizieren. Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.10.1 Merksatz: Gateway = Ausgang in andere Netze. Gateway muss im lokalen Netz liegen Das Gateway muss für den Client lokal erreichbar sein. Falsches Beispiel: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Problem: Client liegt im Netz 192.168.10.0/24. Gateway liegt im Netz 192.168.20.0/24. Der Client erreicht sein Gateway nicht lokal. Merksatz: Standardgateway muss im gleichen lokalen Subnetz erreichbar sein. Gateway-Fehler in der Prüfung Typisches Fehlerbild: Client erreicht lokale Geräte, aber keine externen Netze. Wahrscheinliche Ursache: Gateway fehlt oder Gateway falsch Auch möglich: Routingfehler NAT-Problem Firewall blockiert Providerverbindung gestört Merksatz: Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall prüfen. Routing kurz erklärt Routing bedeutet: Weiterleitung von Paketen zwischen verschiedenen IP-Netzen. Ein Router entscheidet anhand seiner Routing-Tabelle, wohin ein Paket weitergeleitet wird. Routing-Tabelle enthält typischerweise: Zielnetz Next Hop Interface Metrik Merksatz: Routing verbindet Netze. Standardroute Eine Standardroute ist die Route für alle Ziele, für die keine speziellere Route existiert. Schreibweise IPv4: 0.0.0.0/0 Merksatz: Standardroute = Weg für unbekannte Ziele. Spezifischste Route gewinnt Wenn mehrere Routen passen, wird die spezifischste Route verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt. NAT kurz erklärt NAT steht für: Network Address Translation Aufgabe: NAT übersetzt IP-Adressen. Häufiger Einsatz: private interne IPv4-Adressen werden beim Zugriff ins Internet in eine öffentliche IPv4-Adresse übersetzt. Merksatz: NAT übersetzt Adressen. Warum NAT verwendet wird Gründe: private IPv4-Adressen im LAN nutzen öffentliche IPv4-Adressen sparen interne Adressen nach außen verbergen Internetzugriff für viele Clients ermöglichen Wichtig: NAT ist keine vollständige Sicherheitsmaßnahme. Merksatz: NAT hilft bei Adressübersetzung, ersetzt aber keine Firewall. Private IPv4-Bereiche Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. PAT kurz erklärt PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Portnummern zur Zuordnung genutzt werden. Zweck: viele interne Clients können über eine öffentliche IP-Adresse ins Internet. Merksatz: PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen. NAT und PAT vergleichen Begriff Bedeutung Typischer Einsatz NAT übersetzt IP-Adressen private zu öffentliche IP PAT übersetzt IP-Adressen und Ports viele Clients über eine öffentliche IP Portweiterleitung leitet externen Port intern weiter internen Dienst von außen erreichbar machen Merksatz: NAT übersetzt Adressen. PAT unterscheidet Verbindungen über Ports. Portweiterleitung kurz erklärt Portweiterleitung bedeutet: eingehender Verkehr auf einem externen Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentliche IP: TCP 443 wird weitergeleitet an: interner Webserver: TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. Portweiterleitung und Risiko Portweiterleitung erhöht die Angriffsfläche, weil ein interner Dienst von außen erreichbar wird. Deshalb prüfen: Ist der Dienst wirklich nötig? Ist der Dienst gepatcht? Gibt es starke Authentifizierung? Gibt es TLS? Gibt es Logging? Gibt es Firewall-Beschränkungen? Gibt es eine DMZ? Gibt es Alternativen wie VPN? Merksatz: Portweiterleitung nur gezielt und dokumentiert einsetzen. DNS, DHCP, Gateway und NAT zusammen Ein normaler Client braucht oft: IP-Adresse von DHCP Subnetzmaske von DHCP Gateway von DHCP DNS-Server von DHCP Gateway für andere Netze NAT für Internetzugriff mit privater IPv4-Adresse DNS für Namensauflösung Merksatz: Internetzugriff braucht meistens mehrere korrekt zusammenspielende Bausteine. Beispiel: Client kommt nicht ins Internet Prüfreihenfolge: 1. Hat der Client eine gültige IP-Adresse? 2. Passt die Subnetzmaske? 3. Ist das Gateway eingetragen? 4. Liegt das Gateway im gleichen Subnetz? 5. Ist das Gateway erreichbar? 6. Funktioniert Zugriff auf externe IP? 7. Funktioniert DNS? 8. Funktioniert NAT? 9. Blockiert eine Firewall? Merksatz: Erst IP und Gateway, dann DNS, dann NAT und Firewall. Beispiel: Webseite per IP erreichbar, per Name nicht Fehlerbild: Zugriff auf 93.184.216.34 funktioniert. Zugriff auf www.example.com funktioniert nicht. Wahrscheinliche Ursache: DNS Prüfen: DNS-Server eingetragen? DNS-Server erreichbar? DNS-Eintrag korrekt? anderer DNS-Server testen? DNS-Cache leeren? Merksatz: Wenn IP funktioniert, ist die Grundverbindung nicht das Hauptproblem. Beispiel: Client hat 169.254.x.x Fehlerbild: Client hat APIPA-Adresse. Wahrscheinliche Ursache: DHCP nicht erreichbar Prüfen: Kabel oder WLAN VLAN DHCP-Server DHCP-Scope DHCP-Relay Firewall Switchport Merksatz: APIPA heißt: automatische Notadresse statt gültiger DHCP-Adresse. Beispiel: lokal erreichbar, Internet nicht Fehlerbild: Client erreicht Server im eigenen Netz. Internet funktioniert nicht. Mögliche Ursachen: Gateway fehlt Gateway falsch Routingfehler NAT fehlt Firewall blockiert DNS bei Namenszugriff zusätzlich möglich Merksatz: Lokale Kommunikation beweist nicht, dass Gateway und NAT funktionieren. Beispiel: Portweiterleitung funktioniert nicht Mögliche Ursachen: falscher externer Port falsche interne IP falscher interner Port Dienst läuft nicht lokale Firewall blockiert Router-Firewall blockiert NAT-Regel fehlt doppelte NAT-Umgebung öffentlicher DNS zeigt falsch Provider blockiert Port Merksatz: Bei Portweiterleitung immer externen Port, internes Ziel, Dienst und Firewall prüfen. Doppeltes NAT Doppeltes NAT bedeutet: Verkehr wird durch zwei NAT-Geräte übersetzt. Beispiel: Provider-Router und dahinter eigener Router Problem: Portweiterleitungen werden schwieriger, weil beide Geräte korrekt konfiguriert sein müssen. Merksatz: Doppeltes NAT erschwert eingehende Verbindungen. CGNAT CGNAT steht für: Carrier-Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf. Problem: Eigene Portweiterleitungen von außen funktionieren oft nicht direkt, weil der Kunde keine eigene öffentliche IPv4-Adresse hat. Merksatz: Bei CGNAT ist eingehender Zugriff von außen eingeschränkt. DNS bei Portweiterleitung Für externen Zugriff braucht man oft zusätzlich DNS. Beispiel: app.firma.de zeigt auf: öffentliche IP-Adresse Dann leitet NAT/Firewall weiter auf: internen Server Mögliche Fehler: DNS zeigt auf falsche öffentliche IP alter DNS-Cache falscher A-Record Split-DNS-Konflikt Merksatz: DNS findet die öffentliche Adresse, NAT leitet zum internen Dienst. NAT und Firewall unterscheiden Begriff Aufgabe NAT Adressen übersetzen Firewall Verkehr erlauben oder blockieren Wichtig: In vielen Geräten sind NAT und Firewall kombiniert. Fachlich bleiben es unterschiedliche Funktionen. Merksatz: NAT übersetzt. Firewall filtert. DNS und DHCP unterscheiden Begriff Aufgabe DNS Namen auflösen DHCP IP-Konfiguration verteilen Prüfungsfalle: Ein Client mit 169.254.x.x hat zuerst ein DHCP-Problem, nicht direkt ein DNS-Problem. Merksatz: DHCP gibt die Konfiguration. DNS nutzt danach diese Konfiguration. Gateway und NAT unterscheiden Begriff Aufgabe Gateway Router in andere Netze NAT Übersetzung von Adressen Prüfungsfalle: Ein Gateway kann vorhanden sein, aber NAT kann trotzdem fehlen oder falsch sein. Merksatz: Gateway leitet weiter. NAT übersetzt. Typische Prüfungsfallen DNS und DHCP verwechseln. Gateway und DNS verwechseln. NAT als Firewall bezeichnen. PAT nicht als Port Address Translation erkennen. Portweiterleitung mit normalem ausgehendem NAT verwechseln. Gateway außerhalb des Client-Subnetzes eintragen. DHCP-Relay vergessen. APIPA nicht erkennen. DNS nur mit UDP 53 verbinden und TCP 53 vergessen. Private IPv4-Adressen als öffentlich routbar ansehen. CGNAT bei eingehenden Verbindungen ignorieren. Merksatz: Die meisten Fehler entstehen durch Verwechslung der Aufgaben. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht DNS? - Was macht DHCP? - Was bedeutet DORA? - Welche Ports nutzt DHCP? - Welche Ports nutzt DNS? - Was bedeutet eine Adresse aus 169.254.0.0/16? - Was ist ein DHCP-Scope? - Was ist eine DHCP-Reservierung? - Was ist ein DHCP-Relay? - Was ist ein Standardgateway? - Warum muss das Gateway im lokalen Subnetz erreichbar sein? - Was ist NAT? - Was ist PAT? - Was ist eine Portweiterleitung? - Warum ersetzt NAT keine Firewall? - Warum funktioniert Zugriff per IP, aber nicht per Name? IHK-sichere Kurzformulierung DNS, DHCP, Gateway und NAT erfüllen unterschiedliche Aufgaben im Netzwerk. DNS löst Namen in IP-Adressen auf. DHCP verteilt automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Gateway und DNS-Server. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. NAT übersetzt IP-Adressen, häufig private interne IPv4-Adressen in eine öffentliche Adresse. PAT nutzt zusätzlich Ports, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung macht interne Dienste von außen erreichbar und erhöht dadurch die Angriffsfläche. Typische Fehlerbilder sind: IP funktioniert, Name nicht = DNS; 169.254.x.x = DHCP; lokal funktioniert, Internet nicht = Gateway, Routing, NAT oder Firewall. Merksätze DNS löst Namen auf. DHCP verteilt IP-Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. PAT nutzt Ports. Portweiterleitung veröffentlicht Dienste. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. DHCP-DORA: Discover, Offer, Request, Acknowledge. 169.254.x.x deutet auf DHCP-Problem. DHCP-Scope ist der Adresspool. DHCP-Lease ist zeitlich begrenzte Vergabe. DHCP-Reservierung gibt einem Gerät immer dieselbe IP. DHCP-Relay leitet DHCP-Anfragen in andere Netze. Gateway muss im lokalen Subnetz erreichbar sein. Standardroute ist 0.0.0.0/0. Spezifischste Route gewinnt. Private IPv4-Adressen werden im Internet nicht direkt geroutet. NAT ersetzt keine Firewall. NAT übersetzt, Firewall filtert. DNS findet die öffentliche Adresse, NAT leitet nach intern weiter. Doppeltes NAT erschwert Portweiterleitungen. CGNAT erschwert eingehende Verbindungen. IP ja, Name nein: DNS. 169.254.x.x: DHCP. Lokal ja, extern nein: Gateway, Routing, NAT, Firewall. Host ja, Dienst nein: Port, Dienst, Firewall. 19.6 TCP, UDP, ICMP und ARP Spickzettel Dieser Spickzettel fasst vier wichtige Netzwerkprotokolle kompakt zusammen: - TCP - UDP - ICMP - ARP Diese Protokolle tauchen häufig in Prüfungsaufgaben, Fehlersuche und Netzwerkanalyse auf. Merksatz: TCP und UDP transportieren Daten. ICMP hilft bei Diagnose. ARP findet MAC-Adressen im lokalen Netz. Grundübersicht Protokoll Schicht Hauptaufgabe TCP OSI-Schicht 4 zuverlässiger verbindungsorientierter Transport UDP OSI-Schicht 4 schneller verbindungsloser Transport ICMP OSI-Schicht 3 Kontroll- und Fehlermeldungen ARP zwischen Schicht 2 und 3 IPv4-Adresse zu MAC-Adresse auflösen Merksatz: TCP und UDP gehören zur Transportschicht. ICMP gehört zur Netzwerkschicht. ARP verbindet IPv4 und Ethernet im lokalen Netz. TCP kurz erklärt TCP steht für: Transmission Control Protocol Eigenschaften: verbindungsorientiert zuverlässig bestätigt Daten überträgt verlorene Daten erneut stellt Reihenfolge sicher nutzt Ports hat mehr Overhead als UDP Typische Anwendungen: HTTPS HTTP SSH SMTP IMAP POP3 SMB RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. TCP-Verbindungsaufbau TCP baut vor der Datenübertragung eine Verbindung auf. Der Verbindungsaufbau heißt: Three-Way Handshake Ablauf: 1. SYN 2. SYN-ACK 3. ACK Bedeutung: Client möchte Verbindung aufbauen. Server bestätigt und antwortet. Client bestätigt endgültig. Merksatz: TCP startet mit SYN, SYN-ACK, ACK. TCP-Zuverlässigkeit TCP sorgt für zuverlässige Übertragung durch: Sequenznummern Bestätigungen erneute Übertragung Reihenfolgeprüfung Fehlererkennung Flusskontrolle Merksatz: TCP merkt, ob Daten angekommen sind. TCP-Ports TCP nutzt Ports, um Daten einem Dienst oder Prozess zuzuordnen. Beispiele: Dienst TCP-Port SSH 22 HTTP 80 HTTPS 443 SMTP 25 IMAP 143 SMB 445 RDP 3389 Merksatz: TCP-Port zeigt den angesprochenen Dienst. Typische TCP-Status Status Bedeutung LISTEN Dienst wartet auf eingehende Verbindungen SYN_SENT Client versucht Verbindung aufzubauen SYN_RECEIVED Server hat SYN erhalten und geantwortet ESTABLISHED Verbindung besteht FIN_WAIT Verbindung wird beendet TIME_WAIT Verbindung wurde beendet, Wartephase CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht Merksatz: LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. TCP-Fehlerbilder Fehlerbild Mögliche Ursache Verbindung kommt nicht zustande Port blockiert, Dienst aus, Firewall SYN_SENT bleibt stehen Ziel antwortet nicht oder Firewall blockiert Verbindung bricht ab Timeout, Anwendung, Netzwerkproblem Dienst lauscht nicht Dienst nicht gestartet oder falsche Schnittstelle viele Verbindungen offen Last, Angriff oder Anwendung hängt Merksatz: TCP-Fehler betreffen oft Port, Dienst, Firewall oder Verbindung. UDP kurz erklärt UDP steht für: User Datagram Protocol Eigenschaften: verbindungslos schnell wenig Overhead keine eingebaute Zustellgarantie keine eingebaute Reihenfolgegarantie keine erneute Übertragung durch UDP selbst nutzt Ports Typische Anwendungen: DNS DHCP VoIP Streaming Gaming NTP SNMP Merksatz: UDP = schnell, schlank und verbindungslos. Warum UDP verwendet wird UDP wird verwendet, wenn geringe Verzögerung wichtiger ist als perfekte Zustellung. Beispiele: Sprache bei VoIP soll sofort ankommen. Ein verlorenes Sprachpaket ist weniger schlimm als lange Verzögerung. DNS-Anfragen sind klein und sollen schnell beantwortet werden. Streaming kann einzelne Verluste oft besser verkraften als Verzögerung. Merksatz: UDP ist sinnvoll, wenn Geschwindigkeit wichtiger ist als eingebaute Zuverlässigkeit. UDP-Ports Dienst UDP-Port DNS 53 DHCP Server 67 DHCP Client 68 NTP 123 SNMP 161 SNMP Trap 162 Merksatz: UDP-Port zeigt ebenfalls den angesprochenen Dienst, aber ohne TCP-Verbindungsaufbau. UDP-Fehlerbilder Fehlerbild Mögliche Ursache keine Antwort auf DNS UDP 53 blockiert, DNS-Server falsch DHCP funktioniert nicht UDP 67/68, VLAN, DHCP-Relay Zeit stimmt nicht NTP UDP 123 blockiert oder Server falsch SNMP liefert keine Werte Community, Rechte, UDP 161, Firewall VoIP abgehackt Paketverlust, Jitter, Latenz Merksatz: UDP-Probleme erkennt man oft an fehlenden Antworten oder Qualitätseinbußen. TCP und UDP vergleichen Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Aufbau Three-Way Handshake kein Verbindungsaufbau Zuverlässigkeit eingebaut nicht eingebaut Reihenfolge wird gesichert nicht garantiert Overhead höher geringer Geschwindigkeit eher langsamer eher schneller Beispiele HTTPS, SSH, SMTP DNS, DHCP, VoIP Merksatz: TCP = zuverlässig. UDP = wenig Overhead. Wann TCP? TCP eignet sich, wenn Daten vollständig und korrekt ankommen müssen. Beispiele: Webseite laden Datei übertragen E-Mail senden Remotezugriff Datenbankverbindung Dateifreigabe Merksatz: TCP für vollständige und zuverlässige Übertragung. Wann UDP? UDP eignet sich, wenn Geschwindigkeit, geringe Verzögerung oder einfache Anfrage-Antwort-Kommunikation wichtig ist. Beispiele: DNS DHCP VoIP Livestreaming Online-Gaming Zeitabgleich Merksatz: UDP für schnelle und zeitkritische Kommunikation. ICMP kurz erklärt ICMP steht für: Internet Control Message Protocol Aufgabe: Kontroll- Fehler- und Diagnosemeldungen im IP-Netz Typische Nutzung: ping traceroute Fehlermeldungen bei nicht erreichbaren Zielen Merksatz: ICMP transportiert keine Anwendungsdaten, sondern Kontrollinformationen. ICMP und OSI-Schicht ICMP gehört zur Netzwerkschicht. OSI-Schicht: Schicht 3 Grund: ICMP arbeitet mit IP und meldet Probleme bei IP-Kommunikation. Merksatz: ICMP gehört zu Schicht 3. ping ping nutzt ICMP Echo Request und Echo Reply. Aufgabe: Erreichbarkeit eines Ziels testen Wichtig: Ping prüft nicht, ob ein bestimmter TCP- oder UDP-Dienst funktioniert. Beispiel: Ping funktioniert, aber HTTPS auf TCP 443 ist blockiert. Merksatz: ping prüft ICMP-Erreichbarkeit, nicht den Anwendungsdienst. traceroute und tracert traceroute oder tracert zeigen den Weg zum Ziel über Router. Nutzung: Pfad prüfen Routingprobleme eingrenzen Paketlaufzeit grob erkennen Hops sichtbar machen Wichtig: Nicht jeder Router antwortet auf ICMP oder Traceroute. Sternchen bedeuten nicht automatisch, dass der gesamte Weg defekt ist. Merksatz: traceroute zeigt den Weg, aber Ausgaben müssen interpretiert werden. ICMP-Fehlerbilder Fehlerbild Mögliche Bedeutung ping erfolgreich Ziel antwortet auf ICMP ping fehlgeschlagen Ziel offline, ICMP blockiert, Routingproblem hohe Antwortzeit Latenz, Last oder lange Strecke Paketverlust Netzproblem, Überlastung oder Funkproblem traceroute bricht ab Firewall, Routing, ICMP-Filter einzelne Hops antworten nicht Router antwortet nicht auf ICMP, Weg kann trotzdem funktionieren Merksatz: Kein ping bedeutet nicht automatisch: Ziel ist offline. ICMP und Firewall ICMP kann in Firewalls erlaubt oder blockiert werden. Vorteil von ICMP erlauben: bessere Diagnose einfachere Fehlersuche Grund für Einschränkung: weniger Informationspreisgabe Schutz gegen bestimmte Missbrauchsarten Sicherheitsrichtlinie Merksatz: ICMP blockieren kann Fehlersuche erschweren. ARP kurz erklärt ARP steht für: Address Resolution Protocol Aufgabe: IPv4-Adresse in MAC-Adresse auflösen Einsatzbereich: lokales Netzwerksegment Beispiel: Ein Client möchte das Gateway 192.168.1.1 erreichen. Dafür braucht er die MAC-Adresse des Gateways. Diese ermittelt er mit ARP. Merksatz: ARP findet die MAC-Adresse zu einer IPv4-Adresse im lokalen Netz. Warum ARP nötig ist IP-Adressen werden für logische Kommunikation genutzt. Ethernet im lokalen Netz braucht aber MAC-Adressen. Deshalb muss ein Host wissen: Welche MAC-Adresse gehört zur Ziel-IP? Für Ziele außerhalb des eigenen Netzes gilt: Der Client ermittelt per ARP die MAC-Adresse des Gateways, nicht die MAC-Adresse des entfernten Zielservers. Merksatz: Für entfernte Ziele wird lokal die MAC des Gateways benötigt. ARP-Ablauf Typischer Ablauf: 1. Host prüft: Liegt Ziel im eigenen Subnetz? 2. Wenn Ziel lokal ist: ARP fragt nach MAC-Adresse des Zielhosts. 3. Wenn Ziel extern ist: ARP fragt nach MAC-Adresse des Gateways. 4. Antwort wird in ARP-Tabelle gespeichert. Merksatz: ARP arbeitet nur im lokalen Netz. ARP Request und ARP Reply ARP Request: Frage per Broadcast: Wer hat diese IP-Adresse? ARP Reply: Antwort per Unicast: Diese IP-Adresse gehört zu dieser MAC-Adresse. Merksatz: ARP Request ist Broadcast. ARP Reply ist Antwort mit MAC-Adresse. ARP-Tabelle Die ARP-Tabelle speichert bekannte Zuordnungen. Beispiel: IPv4-Adresse zu MAC-Adresse Vorteil: nicht bei jedem Paket neu fragen Problem: falsche oder alte Einträge können Fehler verursachen. Merksatz: ARP-Tabelle ist der lokale Zwischenspeicher für IP-zu-MAC. ARP und Gateway Wenn ein Ziel nicht im eigenen Subnetz liegt, sendet der Client das Ethernet-Frame an die MAC-Adresse des Gateways. Wichtig: IP-Ziel bleibt der entfernte Host. MAC-Ziel ist lokal das Gateway. Merksatz: IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. ARP-Fehlerbilder Fehlerbild Mögliche Ursache lokaler Host nicht erreichbar ARP, VLAN, Switch, Firewall, Ziel aus Gateway nicht erreichbar falsches Gateway, ARP, VLAN, Router aus doppelte IP-Adresse ARP springt zwischen MAC-Adressen falsche MAC-Zuordnung ARP-Spoofing oder Cache-Problem nur lokales Netz betroffen Schicht 2 oder ARP prüfen Merksatz: ARP-Probleme betreffen lokale IPv4-Kommunikation. ARP-Spoofing ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection statische ARP-Einträge in Sonderfällen Netzwerksegmentierung Switch-Sicherheitsfunktionen Verschlüsselung höherer Schichten Monitoring Merksatz: ARP vertraut lokalen Antworten und kann missbraucht werden. TCP, UDP, ICMP und ARP gemeinsam einordnen Frage Wahrscheinliches Thema Ist der Dienst über Port erreichbar? TCP oder UDP Funktioniert Namensauflösung? DNS über UDP/TCP 53 Funktioniert IP-Erreichbarkeit grob? ICMP Wie kommt IPv4 zur MAC-Adresse? ARP Warum geht ping, aber Webseite nicht? ICMP geht, TCP 80/443 prüfen Warum geht lokale Kommunikation nicht? ARP, VLAN, Switch, IP Warum geht Gateway nicht? ARP, Gateway-IP, VLAN, Router Merksatz: Unterschiedliche Protokolle beantworten unterschiedliche Diagnosefragen. Beispiel: Ping funktioniert, HTTPS nicht Fehlerbild: ping zum Server funktioniert. Webseite über HTTPS funktioniert nicht. Bedeutung: ICMP-Erreichbarkeit ist vorhanden. Mögliche Ursachen: TCP 443 blockiert Webserver läuft nicht Zertifikatsproblem Reverse Proxy fehlerhaft Anwendung fehlerhaft Firewall-Regel fehlt Merksatz: ping erfolgreich heißt nicht, dass HTTPS funktioniert. Beispiel: DNS funktioniert nicht Fehlerbild: Name wird nicht aufgelöst. Mögliche Protokolle: DNS über UDP 53 DNS über TCP 53 Mögliche Ursachen: DNS-Server falsch DNS-Server nicht erreichbar Port 53 blockiert falscher DNS-Eintrag DNS-Cache Split-DNS Merksatz: DNS-Probleme sind meist Schicht 7, nutzen aber TCP oder UDP auf Schicht 4. Beispiel: DHCP funktioniert nicht Fehlerbild: Client erhält 169.254.x.x. Beteiligte Protokolle: DHCP über UDP 67 und 68 Mögliche Ursachen: DHCP-Server nicht erreichbar falsches VLAN DHCP-Relay fehlt Scope erschöpft Firewall blockiert Netzwerkverbindung fehlerhaft Merksatz: DHCP-Fehler können durch Schicht 1, 2, 3 oder 7 verursacht werden. Beispiel: lokales Ziel nicht erreichbar Fehlerbild: Client und Server sollen im gleichen Subnetz sein, erreichen sich aber nicht. Mögliche Prüfungen: IP-Adresse Subnetzmaske VLAN Switchport ARP-Tabelle lokale Firewall doppelte IP-Adresse Merksatz: Im gleichen Subnetz sind ARP, VLAN und lokale Firewall besonders wichtig. Beispiel: externes Ziel nicht erreichbar Fehlerbild: Ziel liegt außerhalb des eigenen Subnetzes. Beteiligte Schritte: Client prüft Zielnetz. Client sendet an Gateway. ARP ermittelt MAC-Adresse des Gateways. Router leitet IP-Paket weiter. NAT oder Firewall können beteiligt sein. Merksatz: Externe Kommunikation braucht Gateway und Routing. Typische Werkzeuge Werkzeug Hilft bei ping ICMP-Erreichbarkeit traceroute / tracert Weg über Router arp ARP-Tabelle anzeigen ip neigh Nachbartabelle unter Linux ipconfig /all IP-Konfiguration Windows ip addr IP-Konfiguration Linux netstat Verbindungen und Ports ss Sockets und Ports unter Linux nslookup DNS prüfen dig DNS detailliert prüfen tcpdump Pakete mitschneiden Wireshark Pakete grafisch analysieren Merksatz: Werkzeug passend zur vermuteten Schicht wählen. Prüfungsfalle: ping falsch interpretieren Ping kann fehlschlagen, obwohl der Dienst erreichbar ist. Mögliche Gründe: ICMP blockiert Ziel antwortet nicht auf ping Firewall filtert ICMP Ping kann funktionieren, obwohl der Dienst nicht erreichbar ist. Mögliche Gründe: TCP-Port blockiert Anwendung läuft nicht TLS-Problem Rechteproblem Merksatz: ping ist Diagnose, aber kein vollständiger Funktionstest. Prüfungsfalle: ARP nur im lokalen Netz ARP funktioniert nicht über Router hinweg. Für entfernte Ziele wird nicht die MAC-Adresse des Zielservers gesucht, sondern die MAC-Adresse des Gateways. Merksatz: ARP kennt nur lokale Nachbarn. Prüfungsfalle: TCP und UDP nicht vermischen TCP 53 und UDP 53 sind unterschiedliche Regeln. TCP 443 und UDP 443 sind nicht automatisch dasselbe. Eine Firewall-Regel muss das richtige Transportprotokoll erlauben. Merksatz: Portnummer ohne TCP oder UDP ist unvollständig. Prüfungsfalle: UDP ist nicht automatisch unsicher UDP hat keine eingebaute Zustellgarantie. Das bedeutet aber nicht automatisch, dass UDP „schlecht“ oder „unsicher“ ist. Es ist für bestimmte Anwendungen sinnvoll, zum Beispiel DNS, DHCP, VoIP oder NTP. Merksatz: UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist TCP? - Was ist UDP? - Vergleichen Sie TCP und UDP. - Was ist der TCP Three-Way Handshake? - Warum nutzt DNS häufig UDP? - Warum eignet sich UDP für VoIP? - Was macht ICMP? - Wofür wird ping verwendet? - Warum ersetzt ping keinen Diensttest? - Was zeigt traceroute? - Was macht ARP? - Warum wird bei externen Zielen die MAC-Adresse des Gateways benötigt? - Was ist ARP-Spoofing? - Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden? IHK-sichere Kurzformulierung TCP und UDP sind Transportprotokolle der OSI-Schicht 4. TCP ist verbindungsorientiert und zuverlässig. Es nutzt einen Verbindungsaufbau, Bestätigungen und erneute Übertragung verlorener Daten. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, VoIP oder NTP. ICMP arbeitet auf Schicht 3 und dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Für Ziele außerhalb des eigenen Subnetzes wird per ARP die MAC-Adresse des Gateways ermittelt. Merksätze TCP ist zuverlässig. TCP ist verbindungsorientiert. TCP nutzt Ports. TCP startet mit SYN, SYN-ACK, ACK. UDP ist verbindungslos. UDP ist schnell und schlank. UDP hat keine eingebaute Zustellgarantie. UDP nutzt ebenfalls Ports. TCP und UDP gehören zu Schicht 4. ICMP gehört zu Schicht 3. ICMP dient Diagnose und Fehlermeldungen. ping nutzt ICMP. ping ist kein vollständiger Diensttest. traceroute zeigt den Weg über Router. Nicht jeder Hop muss antworten. ARP löst IPv4 zu MAC auf. ARP arbeitet lokal. ARP Request ist Broadcast. ARP Reply liefert die MAC-Adresse. ARP-Tabelle speichert Zuordnungen. Für externe Ziele wird die MAC des Gateways genutzt. IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. ARP-Spoofing kann Verkehr umleiten. TCP 53 und UDP 53 getrennt beachten. Portnummer immer mit TCP oder UDP nennen. Host erreichbar heißt nicht Dienst erreichbar. ICMP blockiert heißt nicht automatisch Ziel offline. UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. 19.7 VLAN, Switching, Routing und Firewall Spickzettel Dieser Spickzettel fasst vier zentrale Netzwerkthemen kompakt zusammen: - Switching - VLAN - Routing - Firewall Diese Themen hängen in Prüfungsaufgaben oft zusammen, weil sie bestimmen, wie Geräte im lokalen Netz kommunizieren und wie Verkehr zwischen Netzen erlaubt oder blockiert wird. Merksatz: Switches verbinden Geräte im LAN. VLANs trennen logisch. Routing verbindet Netze. Firewalls filtern Verkehr. Grundübersicht Begriff Hauptaufgabe Typische Schicht Switch Frames im lokalen Netz weiterleiten OSI-Schicht 2 VLAN logische Trennung innerhalb eines Switch-Netzes OSI-Schicht 2 Router IP-Netze miteinander verbinden OSI-Schicht 3 Firewall Verkehr erlauben oder blockieren Schicht 3 bis 7 Merksatz: VLAN trennt. Routing verbindet. Firewall entscheidet, was erlaubt ist. Switching kurz erklärt Ein Switch verbindet Geräte in einem lokalen Netzwerk. Er arbeitet hauptsächlich auf: OSI-Schicht 2 Er leitet Ethernet-Frames anhand von MAC-Adressen weiter. Merksatz: Switches arbeiten mit MAC-Adressen. MAC-Adresstabelle Ein Switch lernt, welche MAC-Adresse an welchem Port erreichbar ist. Beispiel: MAC-Adresse Switchport AA:AA:AA:AA:AA:01 Port 1 AA:AA:AA:AA:AA:02 Port 2 AA:AA:AA:AA:AA:03 Port 3 Der Switch lernt aus der Quell-MAC-Adresse eingehender Frames. Merksatz: Switch lernt aus Quell-MAC-Adressen. Switching-Ablauf Wenn ein Frame beim Switch ankommt: 1. Switch liest die Quell-MAC-Adresse. 2. Switch speichert: Diese MAC-Adresse ist an diesem Port erreichbar. 3. Switch liest die Ziel-MAC-Adresse. 4. Wenn Ziel-MAC bekannt ist: Frame wird gezielt an den passenden Port gesendet. 5. Wenn Ziel-MAC unbekannt ist: Frame wird geflutet. Merksatz: Bekannte Ziel-MAC: gezielte Weiterleitung. Unbekannte Ziel-MAC: Flooding. Flooding Flooding bedeutet: Der Switch sendet einen Frame an alle Ports im VLAN, außer an den Eingangsport. Flooding passiert bei: unbekannter Ziel-MAC-Adresse Broadcast bestimmten Multicast-Fällen Merksatz: Flooding ist nicht immer Fehler, sondern bei unbekannter Ziel-MAC normal. Broadcast Broadcast bedeutet: Nachricht an alle Geräte im lokalen Broadcast-Bereich. Beispiel: ARP Request Broadcast bleibt normalerweise innerhalb: eines VLANs beziehungsweise einer Broadcast-Domäne Merksatz: Broadcast erreicht alle Geräte im gleichen VLAN. Broadcast-Domäne Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden. Ohne VLAN: oft gesamtes Switch-Netz Mit VLAN: jedes VLAN ist eigene Broadcast-Domäne Merksatz: VLANs trennen Broadcast-Domänen. VLAN kurz erklärt VLAN steht für: Virtual Local Area Network Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Netzbereiche. Beispiele: VLAN 10 Verwaltung VLAN 20 Clients VLAN 30 Server VLAN 40 Gäste VLAN 99 Management Merksatz: VLAN = logische Trennung auf Schicht 2. Warum VLANs verwendet werden Vorteile: logische Netztrennung kleinere Broadcast-Domänen bessere Struktur Trennung von Abteilungen Trennung von Gästen und internem Netz Trennung von Servern und Clients Managementnetz separat halten Sicherheitszonen ermöglichen Merksatz: VLANs verbessern Struktur, Übersicht und Sicherheit. VLAN ist keine vollständige Firewall Ein VLAN trennt auf Schicht 2. Aber: Kommunikation zwischen VLANs ist über Routing möglich. Deshalb braucht man für Sicherheit zusätzlich: Router-Regeln Firewall-Regeln ACLs Merksatz: VLAN trennt logisch, Firewall kontrolliert Verkehr. Access-Port Ein Access-Port gehört normalerweise zu genau einem VLAN. Typische Nutzung: Client Drucker Telefon Access Point im einfachen Betrieb Arbeitsplatzgerät Beispiel: Port 5 ist Access-Port in VLAN 20. Ein angeschlossenes Endgerät muss das VLAN meist nicht kennen. Merksatz: Access-Port = ein VLAN für Endgeräte. Trunk-Port Ein Trunk-Port transportiert mehrere VLANs. Typische Nutzung: Verbindung zwischen Switches Verbindung zu Router Verbindung zu Firewall Verbindung zu Hypervisor Verbindung zu VLAN-fähigem Access Point Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. Access-Port und Trunk-Port vergleichen Porttyp VLAN-Anzahl Typische Nutzung Access-Port ein VLAN Endgeräte Trunk-Port mehrere VLANs Switch, Router, Firewall, Hypervisor Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. VLAN-Tagging Bei Trunk-Verbindungen müssen Frames einem VLAN zugeordnet werden. Dafür wird meistens verwendet: IEEE 802.1Q Dabei bekommt der Frame einen VLAN-Tag. Merksatz: 802.1Q markiert Frames mit VLAN-Information. Untagged und Tagged Untagged: Frame enthält keinen sichtbaren VLAN-Tag für das Endgerät. Typisch: Access-Port Tagged: Frame enthält VLAN-Information. Typisch: Trunk-Port Merksatz: Access meist untagged. Trunk meist tagged. Native VLAN Das Native VLAN ist das VLAN, dessen Frames auf einem Trunk untagged übertragen werden können. Wichtig: Native VLAN muss auf beiden Seiten passend konfiguriert sein. Risiko: Fehlkonfiguration kann zu unerwarteter Kommunikation führen. Merksatz: Native VLAN auf Trunks bewusst und einheitlich konfigurieren. Management-VLAN Ein Management-VLAN dient der Verwaltung von Netzwerkgeräten. Darin liegen zum Beispiel: Switch-Management Access-Point-Management Firewall-Management Monitoring Administrationszugriffe Merksatz: Managementzugänge nicht ins normale Clientnetz legen. Gast-VLAN Ein Gast-VLAN trennt Gäste vom internen Netz. Typische Regeln: Zugriff ins Internet erlaubt Zugriff auf interne Server blockiert Zugriff auf Managementnetz blockiert Merksatz: Gastnetz vom internen Netz trennen. Voice-VLAN Ein Voice-VLAN wird für IP-Telefone genutzt. Vorteile: Sprachverkehr getrennt vom normalen Clientverkehr QoS leichter möglich bessere Übersicht getrennte Sicherheitsregeln möglich Merksatz: Voice-VLAN trennt Telefonie vom normalen Datenverkehr. Inter-VLAN-Routing VLANs sind getrennte Layer-2-Netze. Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können, braucht man Routing. Das nennt man: Inter-VLAN-Routing Möglich über: Router Layer-3-Switch Firewall Merksatz: VLANs trennen. Inter-VLAN-Routing verbindet sie wieder gezielt. Router-on-a-Stick Router-on-a-Stick bedeutet: Ein Router verbindet mehrere VLANs über eine Trunk-Verbindung. Der Router hat logische Subinterfaces, zum Beispiel: VLAN 10 VLAN 20 VLAN 30 Merksatz: Router-on-a-Stick routet mehrere VLANs über einen Trunk. Layer-3-Switch Ein Layer-3-Switch kann: switchen auf Schicht 2 und routen auf Schicht 3 Typische Nutzung: schnelles Routing zwischen VLANs im internen Netz Merksatz: Layer-3-Switch verbindet Switching und Routing. Routing kurz erklärt Routing bedeutet: Pakete zwischen verschiedenen IP-Netzen weiterleiten. Ein Router entscheidet anhand der Routing-Tabelle, wohin ein IP-Paket gesendet wird. Merksatz: Routing verbindet IP-Netze. Routing-Tabelle Eine Routing-Tabelle enthält typischerweise: Zielnetz Präfix Next Hop Interface Metrik Beispiel: Zielnetz Next Hop Bedeutung 192.168.10.0/24 direkt verbunden lokales Netz 192.168.20.0/24 192.168.10.1 über Router erreichbar 0.0.0.0/0 192.168.10.254 Standardroute Merksatz: Routing-Tabelle bestimmt den nächsten Weg. Standardroute Die Standardroute ist die Route für alle Ziele, für die keine spezifischere Route vorhanden ist. IPv4-Schreibweise: 0.0.0.0/0 Typisch: Weg zum Internetrouter Merksatz: Standardroute = Route für unbekannte Ziele. Spezifischste Route gewinnt Wenn mehrere Routen passen, wird die Route mit dem längsten passenden Präfix verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt. Gateway Das Standardgateway ist der Router, über den ein Client andere Netze erreicht. Wichtig: Das Gateway muss im lokalen Subnetz des Clients erreichbar sein. Merksatz: Gateway = Ausgang aus dem eigenen Netz. Firewall kurz erklärt Eine Firewall filtert Netzwerkverkehr. Sie entscheidet anhand von Regeln: erlauben oder blockieren Typische Kriterien: Quelle Ziel Port Protokoll Richtung Benutzer Anwendung Zustand Zeit Zone Merksatz: Firewall = kontrollierter Verkehr zwischen Bereichen. Firewall-Regel Eine gute Firewall-Regel enthält: Quelle Ziel Dienst oder Port Protokoll Richtung Aktion Zweck Verantwortlichen Datum Beispiel: Quelle Ziel Protokoll Port Aktion Zweck Client-VLAN Webserver-DMZ TCP 443 erlauben HTTPS-Zugriff Gast-VLAN internes Servernetz any any blockieren internes Netz schützen Admin-VLAN Switch-Management TCP 22 erlauben SSH-Administration Merksatz: Jede Firewall-Regel braucht einen Zweck. Default Deny Default Deny bedeutet: Standardmäßig ist alles verboten. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteil: kleinere Angriffsfläche bessere Kontrolle weniger unbeabsichtigte Freigaben Merksatz: Erst blockieren, dann gezielt erlauben. Any-to-Any Any-to-Any bedeutet: jede Quelle zu jedem Ziel Problem: sehr breite Freigabe schlechte Nachvollziehbarkeit große Angriffsfläche Sicherheitszonen werden umgangen Merksatz: Any-to-Any ist in der Regel kritisch. Stateful Firewall Eine Stateful Firewall merkt sich den Zustand einer Verbindung. Beispiel: Client startet HTTPS-Verbindung nach außen. Antwortpakete werden automatisch zugelassen, weil sie zur bestehenden Verbindung gehören. Merksatz: Stateful Firewall kennt Verbindungszustände. Stateless Firewall Eine Stateless Firewall betrachtet Pakete einzeln, ohne Verbindungszustand zu merken. Sie prüft nur einzelne Paketinformationen, zum Beispiel: Quelle Ziel Port Protokoll Merksatz: Stateless Firewall kennt keinen Verbindungszustand. Firewall-Zonen Firewall-Zonen teilen Netzbereiche nach Schutzbedarf. Beispiele: Internet DMZ internes Netz Servernetz Clientnetz Gastnetz Managementnetz Merksatz: Zonen helfen, Sicherheitsregeln strukturiert aufzubauen. DMZ DMZ steht für: Demilitarized Zone Eine DMZ ist ein getrenntes Netz für öffentlich erreichbare Dienste. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: interne Netze schützen, wenn ein öffentlich erreichbarer Dienst kompromittiert wird. Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. ACL ACL steht für: Access Control List Eine ACL ist eine Liste von Regeln, die Zugriff erlauben oder verweigern. Einsatz: Router Switches Firewalls Betriebssysteme Anwendungen Merksatz: ACL = Regelbasierte Zugriffskontrolle. VLAN und Firewall zusammendenken VLANs trennen Netzbereiche. Firewalls regeln, welcher Verkehr zwischen diesen Bereichen erlaubt ist. Beispiel: Quelle Ziel Erlaubt? Grund Client-VLAN Internet ja normaler Zugriff Gast-VLAN internes Servernetz nein Schutz interner Daten Admin-VLAN Management-VLAN ja Administration Server-VLAN Datenbank-VLAN nur benötigter Port Least Privilege Merksatz: VLAN ohne Regeln ist nur Trennung. Firewall macht daraus kontrollierte Sicherheit. Typisches Fehlerbild: falsches VLAN Symptome: Client bekommt keine passende IP-Adresse. Client erreicht lokale Systeme nicht. DHCP funktioniert nicht. Gerät ist im falschen Netz. nur ein Switchport betroffen. Prüfen: Access-Port-VLAN Trunk erlaubt VLAN? VLAN existiert? DHCP-Scope passt? Switchport aktiv? Dokumentation korrekt? Merksatz: Falsches VLAN führt oft zu falscher oder fehlender IP-Konfiguration. Typisches Fehlerbild: Trunk falsch konfiguriert Symptome: mehrere VLANs funktionieren nicht ein bestimmtes VLAN fehlt auf zweitem Switch Access Points liefern falsche Netze Hypervisor-VLANs nicht erreichbar Prüfen: Trunk-Port aktiv? VLANs erlaubt? Tagging korrekt? Native VLAN gleich? Gegenstelle passend konfiguriert? Merksatz: Trunk-Probleme betreffen oft mehrere VLANs. Typisches Fehlerbild: Routing fehlt Symptome: Geräte im gleichen VLAN erreichen sich. Geräte in anderen VLANs nicht. Gateway erreichbar, aber Zielnetz nicht. Prüfen: Routing-Tabelle Gateway Layer-3-Switch oder Router Inter-VLAN-Routing Firewall-Regeln Rückroute Merksatz: Gleiches VLAN geht, anderes Netz nicht: Routing und Firewall prüfen. Typisches Fehlerbild: Firewall blockiert Symptome: Zielhost erreichbar, aber bestimmter Dienst nicht. Porttest schlägt fehl. Firewall-Log zeigt Drop oder Deny. nach Regeländerung funktioniert Dienst nicht mehr. Prüfen: Quelle Ziel Port Protokoll Richtung Zone NAT Regelreihenfolge Logs Merksatz: Host erreichbar, Dienst nicht: Port, Dienst und Firewall prüfen. Typisches Fehlerbild: Rückroute fehlt Bei Kommunikation zwischen Netzen muss nicht nur der Hinweg funktionieren, sondern auch der Rückweg. Symptom: Anfrage geht raus, Antwort kommt nicht zurück. Ursachen: Rückroute fehlt falsches Gateway asymmetrisches Routing Firewall blockiert Rückverkehr NAT falsch Merksatz: Netzwerkkommunikation braucht Hinweg und Rückweg. STP kurz erklärt STP steht für: Spanning Tree Protocol Aufgabe: Schleifen auf Schicht 2 verhindern. Warum wichtig? Layer-2-Schleifen können Broadcast-Stürme verursachen. Merksatz: STP verhindert Switch-Schleifen. Broadcast-Sturm Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden. Folgen: Netz wird langsam Switches stark belastet Clients verlieren Verbindung Dienste brechen ab Merksatz: Layer-2-Schleifen können das Netz lahmlegen. Port Security Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind. Ziel: unautorisierte Geräte erschweren einfache Angriffe reduzieren Portmissbrauch begrenzen Merksatz: Port Security kontrolliert MAC-Adressen am Switchport. 802.1X 802.1X ist portbasierte Netzwerkzugangskontrolle. Prinzip: Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Typisch mit: RADIUS Zertifikat Benutzerkonto Merksatz: 802.1X prüft Zugriff vor Netzzugang. Switching, Routing und Firewall unterscheiden Begriff Aufgabe Typische Entscheidung Switching Frames im LAN weiterleiten Welche MAC an welchem Port? Routing Pakete zwischen Netzen weiterleiten Welcher nächste Hop? Firewall Verkehr filtern Erlauben oder blockieren? Merksatz: Switch leitet lokal. Router leitet zwischen Netzen. Firewall entscheidet über Erlaubnis. Typische Prüfungsfallen VLAN und Subnetz gleichsetzen. Access-Port und Trunk-Port verwechseln. VLAN ohne Routing als netzübergreifende Verbindung verstehen. Firewall und Router gleichsetzen. Routing vergessen, wenn VLANs miteinander sprechen sollen. Firewall-Regeln ohne Richtung betrachten. Rückroute vergessen. Gateway außerhalb des Subnetzes eintragen. Any-to-Any als unkritisch ansehen. VLAN als vollständige Sicherheitsmaßnahme betrachten. Switch nur als „Verteiler“ ohne MAC-Lernen beschreiben. Merksatz: Viele Fehler entstehen, weil Trennung, Weiterleitung und Filterung vermischt werden. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht ein Switch? - Was ist eine MAC-Adresstabelle? - Was bedeutet Flooding? - Was ist ein VLAN? - Warum setzt man VLANs ein? - Was ist eine Broadcast-Domäne? - Was ist der Unterschied zwischen Access-Port und Trunk-Port? - Was bedeutet 802.1Q? - Was ist Inter-VLAN-Routing? - Was macht ein Router? - Was ist eine Standardroute? - Was bedeutet: spezifischste Route gewinnt? - Was macht eine Firewall? - Was ist Default Deny? - Warum ist Any-to-Any kritisch? - Was ist eine DMZ? - Was ist STP? - Warum kann eine Rückroute wichtig sein? IHK-sichere Kurzformulierung Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Frames anhand von MAC-Adressen weiter. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. Damit Geräte aus unterschiedlichen VLANs kommunizieren können, ist Inter-VLAN-Routing über Router, Layer-3-Switch oder Firewall nötig. Routing verbindet IP-Netze anhand von Routing-Tabellen. Eine Firewall filtert Verkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll und Aktion. VLANs trennen Netze, Firewalls kontrollieren den erlaubten Verkehr zwischen ihnen. Merksätze Switches arbeiten mit MAC-Adressen. Switch lernt aus Quell-MAC-Adressen. Unbekannte Ziel-MAC führt zu Flooding. Broadcast erreicht alle Geräte im gleichen VLAN. VLAN trennt logisch auf Schicht 2. VLANs bilden eigene Broadcast-Domänen. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. 802.1Q markiert VLAN-Frames. Access meist untagged. Trunk meist tagged. Managementzugänge gehören nicht ins Clientnetz. Gast-VLAN vom internen Netz trennen. VLAN ist keine vollständige Firewall. Inter-VLAN-Routing verbindet VLANs gezielt. Routing verbindet IP-Netze. Standardroute ist 0.0.0.0/0. Spezifischste Route gewinnt. Gateway führt aus dem eigenen Netz. Firewall filtert Verkehr. Default Deny ist sicherer. Any-to-Any ist kritisch. Stateful Firewall kennt Verbindungen. Stateless Firewall prüft Pakete einzeln. DMZ trennt öffentliche Dienste. ACL ist eine Regelliste für Zugriff. Rückroute nicht vergessen. STP verhindert Layer-2-Schleifen. Broadcast-Sturm kann ein Netz lahmlegen. Port Security kontrolliert MAC-Adressen. 802.1X prüft Netzzugang. Switch leitet lokal. Router leitet zwischen Netzen. Firewall entscheidet, ob Verkehr erlaubt ist. 19.8 Sicherheitsbegriffe und Angriffe Spickzettel Dieser Spickzettel fasst wichtige Begriffe der IT-Sicherheit und typische Angriffe kompakt zusammen. Er ist besonders wichtig für: - Prüfungsaufgaben zur Informationssicherheit - Angriffsszenarien - Schutzmaßnahmen - Risikoanalyse - Sicherheitskonzepte - Fehlersuche bei Sicherheitsvorfällen Merksatz: Sicherheit bedeutet: Risiken erkennen, Schutzziele verstehen und passende Maßnahmen auswählen. Grundidee der Informationssicherheit Informationssicherheit schützt Informationen und IT-Systeme vor: unberechtigtem Zugriff Manipulation Ausfall Missbrauch Datenverlust Täuschung Sabotage Merksatz: Informationssicherheit schützt Daten, Systeme Prozesse und Zugriffe. Die drei wichtigsten Schutzziele Die wichtigsten Schutzziele werden oft als CIA-Triade bezeichnet. Schutzziel Bedeutung Beispielverletzung Vertraulichkeit Schutz vor unberechtigtem Lesen Kundendaten werden gestohlen Integrität Schutz vor unbemerkter Veränderung Konfiguration wird manipuliert Verfügbarkeit Systeme und Daten sind nutzbar Server ist durch DDoS nicht erreichbar Merksatz: CIA = Confidentiality, Integrity, Availability. Auf Deutsch: Vertraulichkeit, Integrität, Verfügbarkeit. Vertraulichkeit Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen, Systemen oder Prozessen gelesen werden. Beispiele für Verletzungen: Datenabfluss unberechtigter Zugriff mitgelesene Passwörter verlorener Laptop ohne Verschlüsselung falsch freigegebener Cloud-Ordner Schutzmaßnahmen: Verschlüsselung Rechtekonzept MFA Zugriffskontrolle DLP sichere Freigaben Merksatz: Vertraulichkeit schützt vor unberechtigtem Mitlesen. Integrität Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele für Verletzungen: manipulierte Konfigurationsdatei veränderte Überweisung geänderte Logdatei manipuliertes Softwarepaket beschädigte Datenbank Schutzmaßnahmen: Hashwerte digitale Signaturen Rechtebegrenzung Versionskontrolle Logging Vier-Augen-Prinzip Merksatz: Integrität schützt vor unbemerkter Veränderung. Verfügbarkeit Verfügbarkeit bedeutet: Systeme, Dienste und Daten stehen bei Bedarf zur Verfügung. Beispiele für Verletzungen: Serverausfall DDoS-Angriff Ransomware Stromausfall defekte Festplatte Netzwerkstörung Schutzmaßnahmen: Redundanz Backup Monitoring Patchmanagement DDoS-Schutz Notfallplan Merksatz: Verfügbarkeit schützt die Nutzbarkeit. Weitere Schutzziele Schutzziel Bedeutung Authentizität Echtheit einer Identität oder Nachricht Nichtabstreitbarkeit Handlung kann später nicht glaubhaft bestritten werden Nachvollziehbarkeit Ereignisse können geprüft und rekonstruiert werden Zurechenbarkeit Aktionen können einer Identität zugeordnet werden Merksatz: Authentizität fragt: Ist es echt? Nichtabstreitbarkeit fragt: Kann die Handlung nachgewiesen werden? Authentizität Authentizität bedeutet: Echtheit einer Identität, Nachricht oder Quelle. Beispiele: Ist der Server wirklich der richtige Server? Ist die E-Mail wirklich vom angegebenen Absender? Ist der Benutzer wirklich die angemeldete Person? Schutzmaßnahmen: Zertifikate digitale Signaturen MFA sichere Authentifizierung DNSSEC je nach Einsatz Merksatz: Authentizität schützt vor Täuschung über Identität oder Herkunft. Nichtabstreitbarkeit Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nicht glaubhaft abgestritten werden. Beispiele: digitale Signatur revisionssichere Logs protokollierte Freigaben signierte Dokumente Merksatz: Nichtabstreitbarkeit macht Handlungen nachweisbar. Schwachstelle, Bedrohung und Risiko Begriff Bedeutung Beispiel Schwachstelle ausnutzbare Lücke ungepatchter Server Bedrohung mögliches schädliches Ereignis Angreifer nutzt Lücke aus Risiko Wahrscheinlichkeit und Auswirkung Datenverlust durch Angriff Maßnahme reduziert Risiko Patch installieren Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. Angriff Ein Angriff ist der Versuch, eine Schwachstelle auszunutzen oder ein Schutzziel zu verletzen. Beispiele: Passwortangriff Malware-Infektion Phishing DDoS SQL Injection Man-in-the-Middle Merksatz: Angriff = aktiver Versuch, Schaden oder unberechtigten Zugriff zu erreichen. Malware Malware bedeutet: Schadsoftware Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Merksatz: Malware ist der Oberbegriff für Schadsoftware. Virus Ein Virus hängt sich an Dateien oder Programme an und verbreitet sich, wenn diese ausgeführt oder weitergegeben werden. Merksatz: Virus braucht meist eine Wirtsdatei oder Aktion zur Verbreitung. Wurm Ein Wurm verbreitet sich selbstständig über Netzwerke, ohne zwingend eine Wirtsdatei zu benötigen. Risiko: schnelle Ausbreitung Netzlast Masseninfektion Merksatz: Wurm verbreitet sich selbstständig. Trojaner Ein Trojaner tarnt sich als nützliches oder harmloses Programm, enthält aber schädliche Funktionen. Merksatz: Trojaner täuscht Nutzen vor. Ransomware Ransomware verschlüsselt oder sperrt Daten und fordert häufig Lösegeld. Betroffene Schutzziele: Verfügbarkeit bei Datenabfluss zusätzlich: Vertraulichkeit Schutzmaßnahmen: Offline-Backup Immutable Backup Patchmanagement EDR Segmentierung Least Privilege Restore-Test Merksatz: Ransomware betrifft vor allem Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit. Spyware und Keylogger Spyware: spioniert Daten aus Keylogger: zeichnet Tastatureingaben auf Ziel: Passwörter Zugangsdaten vertrauliche Informationen Merksatz: Spyware und Keylogger gefährden besonders Vertraulichkeit. Rootkit Ein Rootkit versteckt Schadsoftware oder Angreiferzugriff tief im System. Ziel: Erkennung erschweren dauerhaften Zugriff sichern Spuren verbergen Merksatz: Rootkit versteckt Kompromittierung. Botnet Ein Botnet besteht aus vielen kompromittierten Geräten, die zentral gesteuert werden. Nutzung: DDoS Spam Credential Stuffing Malware-Verteilung Kryptomining Merksatz: Botnet = viele fremdgesteuerte kompromittierte Geräte. Phishing Phishing ist Täuschung, um vertrauliche Daten zu erhalten. Typische Ziele: Passwörter MFA-Codes Bankdaten Zugangsdaten interne Informationen Kanäle: E-Mail SMS Messenger Telefon QR-Code gefälschte Webseiten Merksatz: Phishing täuscht Benutzer zur Preisgabe von Daten. Spear Phishing Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen. Merkmale: persönlicher Bezug glaubwürdiger Absender Bezug auf echte Projekte gezielte Vorbereitung Merksatz: Spear Phishing ist gezielter und oft glaubwürdiger. Whaling Whaling ist Phishing gegen besonders wichtige Personen. Beispiele: Geschäftsführung Abteilungsleitung Administratoren Personen mit Zahlungsfreigaben Merksatz: Whaling zielt auf große oder besonders wertvolle Ziele. Social Engineering Social Engineering nutzt menschliches Verhalten, Vertrauen oder Druck aus. Beispiele: falscher IT-Support dringender Anruf vom angeblichen Chef gefälschter Lieferant Besucher ohne Berechtigung manipulierte E-Mail Merksatz: Social Engineering greift Menschen an, nicht nur Technik. CEO-Fraud CEO-Fraud ist ein Betrug, bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben. Ziel: Zahlung auslösen vertrauliche Daten erhalten schnelle Entscheidung erzwingen Merksatz: CEO-Fraud nutzt Autorität und Zeitdruck. Brute Force Brute Force bedeutet: systematisches Ausprobieren vieler Passwörter. Schutzmaßnahmen: starke Passwörter Account Lockout Rate Limiting MFA Monitoring Passwortmanager Merksatz: Brute Force probiert viele Möglichkeiten aus. Password Spraying Password Spraying bedeutet: ein häufiges Passwort wird gegen viele Konten getestet. Beispiel: Winter2026! gegen viele Benutzerkonten. Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche stattfinden. Merksatz: Password Spraying: ein Passwort, viele Konten. Credential Stuffing Credential Stuffing nutzt bereits geleakte Zugangsdaten. Prinzip: Benutzer verwenden Passwörter oft mehrfach. Angreifer testen: bekannte E-Mail-Passwort-Kombinationen bei anderen Diensten. Schutzmaßnahmen: MFA Passwortmanager einzigartige Passwörter Leak-Prüfung Monitoring Merksatz: Credential Stuffing nutzt wiederverwendete Passwörter. DoS DoS steht für: Denial of Service Ziel: Dienst überlasten oder nicht mehr verfügbar machen Betroffenes Schutzziel: Verfügbarkeit Merksatz: DoS greift Verfügbarkeit an. DDoS DDoS steht für: Distributed Denial of Service Unterschied zu DoS: Angriff kommt verteilt von vielen Systemen. Häufig aus: Botnetzen Schutzmaßnahmen: DDoS-Schutz CDN Rate Limiting Filterung Skalierung Provider-Schutz Merksatz: DDoS = verteilter Angriff auf Verfügbarkeit. Man-in-the-Middle Man-in-the-Middle wird oft abgekürzt: MitM Dabei sitzt der Angreifer zwischen zwei Kommunikationspartnern. Ziele: mitlesen verändern umleiten Sitzung übernehmen Schutzmaßnahmen: TLS Zertifikatsprüfung VPN HSTS sichere WLANs ARP-Schutz Merksatz: MitM gefährdet Vertraulichkeit und Integrität. Spoofing Spoofing bedeutet: Identität, Adresse Absender oder Herkunft wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing DNS-Spoofing E-Mail-Spoofing ARP-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. ARP-Spoofing ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection Netzwerksegmentierung Switch-Sicherheitsfunktionen Monitoring Verschlüsselung höherer Schichten Merksatz: ARP-Spoofing betrifft lokale IPv4-Kommunikation. DNS-Spoofing DNS-Spoofing liefert falsche DNS-Antworten. Ziel: Benutzer auf falsche Server umleiten Risiken: Phishing Malware Credential Theft Man-in-the-Middle Schutzmaßnahmen: DNSSEC je nach Einsatz vertrauenswürdige DNS-Server TLS-Zertifikatsprüfung Monitoring Merksatz: DNS-Spoofing manipuliert Namensauflösung. SQL Injection SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Ziel: Daten auslesen Daten verändern Anmeldung umgehen Daten löschen Schutzmaßnahmen: Prepared Statements Parametrisierung Eingabevalidierung Rechtebegrenzung der Datenbankkonten Web Application Firewall sichere Fehlerausgaben Merksatz: SQL Injection betrifft unsichere Datenbankabfragen. XSS XSS steht für: Cross-Site Scripting Dabei wird schädlicher Skriptcode in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Ziele: Session stehlen Benutzeraktionen manipulieren Inhalte verändern Phishing innerhalb einer Webseite Schutzmaßnahmen: Output Encoding Eingabevalidierung Content Security Policy HttpOnly-Cookies sichere Frameworks Merksatz: XSS greift Benutzer im Browser an. CSRF CSRF steht für: Cross-Site Request Forgery Dabei wird eine gültige Sitzung des Benutzers missbraucht, um ungewollte Aktionen auszuführen. Beispiel: Benutzer ist angemeldet. Angreifer bringt ihn dazu, eine Aktion im Hintergrund auszulösen. Schutzmaßnahmen: CSRF-Token SameSite-Cookies erneute Bestätigung kritischer Aktionen Origin-Prüfung Merksatz: CSRF missbraucht eine bestehende Sitzung. Zero-Day Ein Zero-Day ist eine Schwachstelle, für die es noch keinen bekannten Patch gibt oder die gerade erst bekannt wurde. Risiko: hohe Gefahr, weil Schutzmaßnahmen noch nicht vollständig verfügbar sind. Merksatz: Zero-Day = Schwachstelle ohne fertige Standardlösung. Supply-Chain-Angriff Ein Supply-Chain-Angriff zielt auf Lieferkette, Softwareabhängigkeiten oder Dienstleister. Beispiele: kompromittiertes Update manipuliertes Paket unsicherer Dienstleisterzugang kompromittierte Bibliothek Schutzmaßnahmen: Signaturprüfung SBOM Dependency-Scanning Lieferantenprüfung Least Privilege für Dienstleister Monitoring Merksatz: Supply-Chain-Angriff kommt über Abhängigkeiten. Insider Threat Insider Threat bedeutet: Gefahr durch Personen innerhalb der Organisation oder mit berechtigtem Zugriff. Beispiele: absichtlicher Datenabfluss fahrlässige Fehlkonfiguration Missbrauch von Adminrechten unbemerkter Zugriff nach Rollenwechsel Schutzmaßnahmen: Least Privilege Rechteprüfung Vier-Augen-Prinzip Logging Trennung von Aufgaben Offboarding Merksatz: Insider haben bereits Zugriff, deshalb sind Rechte und Logs wichtig. Technische Schutzmaßnahmen Beispiele: Firewall IDS IPS EDR Antivirus Verschlüsselung MFA Backup Netzwerksegmentierung Patchmanagement Hardening SIEM Merksatz: Technische Maßnahmen wirken direkt auf Systeme und Daten. Organisatorische Schutzmaßnahmen Beispiele: Sicherheitsrichtlinien Berechtigungskonzept Notfallplan Change Management Vier-Augen-Prinzip Schulungskonzept Incident-Response-Prozess Rollen und Verantwortlichkeiten Merksatz: Organisatorische Maßnahmen regeln Abläufe und Verantwortung. Personelle Schutzmaßnahmen Beispiele: Schulungen Awareness Rollenklärung Verpflichtung auf Vertraulichkeit Hintergrundprüfungen je nach Rolle Sensibilisierung für Phishing Merksatz: Personelle Maßnahmen betreffen Menschen und Verhalten. Physische Schutzmaßnahmen Beispiele: Zutrittskontrolle Serverraum abschließen Brandmeldeanlage USV Klimatisierung Diebstahlschutz Videoüberwachung je nach Rechtslage Merksatz: Physische Sicherheit schützt Räume, Geräte und Infrastruktur. Defense in Depth Defense in Depth bedeutet: Sicherheit durch mehrere Schutzschichten. Beispiele: Firewall Segmentierung MFA EDR Logging Backup Schulung Patchmanagement Merksatz: Nicht eine Maßnahme allein, sondern mehrere Schichten schützen besser. Least Privilege Least Privilege bedeutet: Benutzer, Dienste und Prozesse erhalten nur die Rechte, die sie wirklich benötigen. Ziel: Schaden bei Fehlern oder Angriffen begrenzen. Merksatz: So wenig Rechte wie möglich, so viele wie nötig. Zero Trust Zero Trust bedeutet: keinem Zugriff automatisch vertrauen. Grundidee: Identität prüfen Gerät prüfen Kontext prüfen Zugriff begrenzen kontinuierlich überwachen Merksatz: Zero Trust heißt: Vertrauen wird geprüft, nicht vorausgesetzt. MFA MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Faktoren: Wissen: Passwort Besitz: Token, Smartphone, Smartcard Sein: biometrisches Merkmal Merksatz: MFA sorgt dafür, dass ein Passwort allein nicht reicht. IDS und IPS System Bedeutung Aufgabe IDS Intrusion Detection System erkennt und meldet Angriffe IPS Intrusion Prevention System erkennt und blockiert Angriffe Merksatz: IDS meldet. IPS blockiert zusätzlich. EDR EDR steht für: Endpoint Detection and Response Aufgabe: Endgeräte überwachen verdächtiges Verhalten erkennen Reaktion ermöglichen Angriffe analysieren Merksatz: EDR schützt und überwacht Endgeräte. SIEM SIEM steht für: Security Information and Event Management Aufgabe: Logs sammeln Sicherheitsereignisse korrelieren Alarme erzeugen Vorfälle analysieren Nachvollziehbarkeit verbessern Merksatz: SIEM verbindet Sicherheitsereignisse aus vielen Quellen. Patchmanagement Patchmanagement sorgt dafür, dass Sicherheitsupdates geplant, getestet und eingespielt werden. Ziel: bekannte Schwachstellen schließen Merksatz: Patchmanagement reduziert bekannte Risiken. Hardening Hardening bedeutet: Systeme sicherer konfigurieren, indem unnötige Funktionen entfernt oder eingeschränkt werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern sichere Protokolle verwenden unsichere Ports schließen Rechte begrenzen Logging aktivieren Merksatz: Hardening verringert die Angriffsfläche. Backup als Sicherheitsmaßnahme Backup schützt besonders gegen: Datenverlust Ransomware Fehlkonfiguration versehentliche Löschung Hardwaredefekt Wichtig: Restore-Test Offline-Backup Immutable Backup Zugriffsschutz Verschlüsselung Merksatz: Backup ist Wiederherstellungsvorsorge. Angriffe und Schutzziele zuordnen Angriff Betroffenes Schutzziel Datenabfluss Vertraulichkeit Manipulation Integrität DDoS Verfügbarkeit Ransomware Verfügbarkeit, eventuell Vertraulichkeit Man-in-the-Middle Vertraulichkeit und Integrität Phishing Authentizität, Vertraulichkeit Spoofing Authentizität Logmanipulation Integrität und Nachvollziehbarkeit Merksatz: Erst Schutzziel erkennen, dann passende Maßnahme nennen. Risiko und Maßnahme zuordnen Risiko passende Maßnahme gestohlenes Passwort MFA zu viele Rechte Least Privilege Malware EDR, Patchmanagement Ransomware Backup, Segmentierung, Immutable Backup DDoS DDoS-Schutz, CDN, Rate Limiting Datenabfluss Verschlüsselung, DLP, Rechtekonzept unsichere Freigaben Rechteprüfung, Ablaufdatum, Logging Fehlkonfiguration Change Management, Vier-Augen-Prinzip unklare Sicherheitsvorfälle Logging, SIEM, Monitoring Phishing Awareness, Mailfilter, MFA Merksatz: Maßnahme muss direkt zum Risiko passen. Typische Prüfungsfallen Vertraulichkeit, Integrität und Verfügbarkeit verwechseln. Schwachstelle, Bedrohung und Risiko gleichsetzen. Phishing nur als technisches Problem sehen. Ransomware nur als Vertraulichkeitsproblem sehen. DDoS nicht der Verfügbarkeit zuordnen. IDS und IPS verwechseln. MFA als Ersatz für Rechtekonzept verstehen. Backup als Schutz vor Angriff statt Wiederherstellungsvorsorge beschreiben. Zero Trust als einzelnes Produkt verstehen. Hardening und Patchmanagement verwechseln. Brute Force und Credential Stuffing verwechseln. Merksatz: Sicherheitsaufgaben prüfen oft saubere Begriffsabgrenzung. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist Malware? - Was ist Ransomware? - Was ist Phishing? - Was ist Social Engineering? - Was ist ein DDoS-Angriff? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist SQL Injection? - Was ist XSS? - Was ist CSRF? - Was ist MFA? - Was ist Least Privilege? - Was ist der Unterschied zwischen IDS und IPS? - Was ist SIEM? - Was ist Hardening? - Warum ist Backup bei Ransomware wichtig? IHK-sichere Kurzformulierung Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Kombination aus Eintrittswahrscheinlichkeit und Auswirkung. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Schulung. Merksätze Sicherheit schützt Schutzziele. CIA bedeutet Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Authentizität schützt Echtheit. Nichtabstreitbarkeit macht Handlungen nachweisbar. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. Maßnahme reduziert Risiko. Malware ist Schadsoftware. Virus braucht meist eine Wirtsdatei. Wurm verbreitet sich selbstständig. Trojaner täuscht Nutzen vor. Ransomware verschlüsselt oder sperrt Daten. Phishing täuscht Benutzer. Social Engineering greift Menschen an. Brute Force probiert viele Passwörter. Password Spraying: ein Passwort, viele Konten. Credential Stuffing nutzt geleakte Zugangsdaten. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Identität oder Herkunft vor. SQL Injection betrifft Datenbankabfragen. XSS betrifft Browser anderer Benutzer. CSRF missbraucht eine gültige Sitzung. Zero-Day ist eine neue oder ungepatchte Schwachstelle. Supply-Chain-Angriff kommt über Abhängigkeiten. Insider Threat kommt von innen oder mit berechtigtem Zugriff. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. IDS meldet. IPS blockiert zusätzlich. EDR schützt Endgeräte. SIEM korreliert Sicherheitsereignisse. Patchmanagement schließt bekannte Lücken. Hardening verringert Angriffsfläche. Backup ist Wiederherstellungsvorsorge. Defense in Depth nutzt mehrere Schutzschichten. Zero Trust prüft Vertrauen kontinuierlich. Maßnahme muss zum Risiko passen. 19.9 Backup, Restore, RPO und RTO Spickzettel Dieser Spickzettel fasst die wichtigsten Begriffe rund um Datensicherung, Wiederherstellung und Notfallplanung kompakt zusammen. Er ist besonders wichtig für: - Backup-Konzepte - Restore-Aufgaben - Ransomware-Schutz - Notfallplanung - Verfügbarkeitsanforderungen - Prüfungsfragen zu RPO und RTO Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. Grundübersicht Begriff Bedeutung Backup Sicherung von Daten, Systemen oder Konfigurationen Restore Wiederherstellung aus einer Sicherung RPO maximal akzeptabler Datenverlust RTO maximal akzeptable Wiederherstellungszeit Retention Aufbewahrungsregel für Backups Restore-Test Prüfung, ob Wiederherstellung funktioniert 3-2-1-Regel Grundregel für mehrere Backup-Kopien Immutable Backup unveränderliches Backup Offline-Backup nicht dauerhaft verbundenes Backup Merksatz: Ein Backup ist nur dann wertvoll, wenn der Restore funktioniert. Backup kurz erklärt Backup bedeutet: Daten, Systeme, Anwendungen oder Konfigurationen werden gesichert, damit sie später wiederhergestellt werden können. Typische Sicherungsobjekte: Dateien Datenbanken virtuelle Maschinen Server Konfigurationen Benutzerprofile Cloud-Daten Anwendungen Systemeinstellungen Merksatz: Backup schützt nicht direkt vor Fehlern, aber ermöglicht Wiederherstellung. Restore kurz erklärt Restore bedeutet: Wiederherstellung von Daten, Systemen oder Konfigurationen aus einem Backup. Beispiele: gelöschte Datei wiederherstellen Datenbank auf früheren Zustand zurücksetzen Server nach Defekt wiederherstellen Konfiguration nach Fehler zurückspielen Merksatz: Restore ist der eigentliche Beweis, dass ein Backup brauchbar ist. Backup und Restore unterscheiden Begriff Frage Ziel Backup Was wird gesichert? Datenverlust vorbeugen Restore Wie wird wiederhergestellt? Betrieb wiederherstellen Merksatz: Backup ist Vorbereitung. Restore ist Wiederherstellung im Ernstfall. Warum Restore-Tests wichtig sind Ein Restore-Test prüft, ob ein Backup wirklich nutzbar ist. Zu prüfen: Daten vollständig? Dateien lesbar? Datenbank konsistent? Anwendung startet? Rechte korrekt? Schlüssel vorhanden? Wiederherstellungszeit akzeptabel? Dokumentation korrekt? Merksatz: Backup ohne Restore-Test ist unsicher. Typische Backup-Arten Backup-Art Bedeutung Vorteil Nachteil Vollbackup sichert alle ausgewählten Daten einfache Wiederherstellung viel Speicher und Zeit inkrementelles Backup sichert Änderungen seit letztem Backup schnell, wenig Speicher Restore braucht Backup-Kette differenzielles Backup sichert Änderungen seit letztem Vollbackup Restore einfacher als inkrementell wächst bis zum nächsten Vollbackup Snapshot Momentaufnahme schnelle Rückkehr möglich ersetzt kein vollständiges Backup Image-Backup vollständiges Systemabbild komplettes System wiederherstellbar größerer Speicherbedarf dateibasiertes Backup ausgewählte Dateien und Ordner gezielt und flexibel kein komplettes Systemabbild Merksatz: Backup-Art nach Wiederherstellungsziel auswählen. Vollbackup Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung weniger Abhängigkeiten vollständiger Sicherungsstand Nachteile: benötigt viel Speicherplatz dauert länger erzeugt mehr Last Merksatz: Vollbackup sichert alles, braucht aber mehr Speicher und Zeit. Inkrementelles Backup Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Das letzte Backup kann sein: Vollbackup oder inkrementelles Backup Vorteile: schnell spart Speicherplatz Nachteile: Wiederherstellung braucht mehrere Sicherungen Backup-Kette darf nicht beschädigt sein Merksatz: Inkrementell = Änderungen seit letztem Backup. Differenzielles Backup Ein differenzielles Backup sichert Änderungen seit dem letzten Vollbackup. Vorteile: Restore einfacher als bei langer inkrementeller Kette weniger Speicher als tägliches Vollbackup Nachteile: wird bis zum nächsten Vollbackup immer größer Merksatz: Differenziell = Änderungen seit letztem Vollbackup. Snapshot Ein Snapshot ist eine Momentaufnahme eines Systems, Datenträgers, Dateisystems oder einer virtuellen Maschine. Typische Nutzung: vor Updates vor Konfigurationsänderungen vor Tests vor Softwareinstallationen Wichtig: Snapshot ist nicht automatisch ein vollwertiges Backup. Merksatz: Snapshot hilft bei schneller Rückkehr, ersetzt aber kein Backup-Konzept. Warum Snapshot kein Backup ersetzt Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten. Risiken: Speicherdefekt betrifft Snapshot ebenfalls Ransomware kann Snapshot erreichen Snapshot kann gelöscht werden Snapshot-Kette kann beschädigt werden Speicherplatz kann volllaufen Standortausfall betrifft alles gemeinsam Merksatz: Backup muss getrennt, geschützt und wiederherstellbar sein. Image-Backup Ein Image-Backup sichert ein komplettes Systemabbild. Enthalten sein können: Betriebssystem Anwendungen Konfiguration Dateien Bootinformationen Vorteil: gesamtes System kann wiederhergestellt werden Merksatz: Image-Backup = komplettes Systemabbild. Dateibasiertes Backup Ein dateibasiertes Backup sichert ausgewählte Dateien oder Ordner. Geeignet für: Dokumente Benutzerdateien Projektdaten Konfigurationsdateien Exporte einzelne Verzeichnisse Merksatz: Dateibasiertes Backup sichert gezielt ausgewählte Inhalte. Datenbank-Backup Datenbanken brauchen besondere Sicherungsverfahren. Wichtig: Konsistenz laufende Transaktionen Schreibzugriffe Transaktionslogs Zeitpunkt der Sicherung Wiederherstellbarkeit Merksatz: Datenbanken nicht einfach blind als Datei kopieren. Konsistentes Backup Ein konsistentes Backup stellt sicher, dass Daten in einem gültigen Zustand gesichert werden. Beispiel: Eine Datenbank darf nicht mitten in einer unvollständigen Transaktion unsauber kopiert werden. Mögliche Verfahren: Datenbankdump Backup-Agent Anwendungskonsistenter Snapshot Transaktionslogs Wartungsfenster Merksatz: Konsistenz ist besonders bei Datenbanken wichtig. Point-in-Time-Recovery Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbank auf Zustand von 10:15 Uhr zurücksetzen. Nützlich bei: versehentlichem Löschen fehlerhaftem Import beschädigten Daten falscher Änderung Merksatz: Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her. RPO RPO steht für: Recovery Point Objective Frage: Wie viel Datenverlust ist maximal akzeptabel? Beispiel: RPO 1 Stunde Bedeutung: Es dürfen höchstens Daten von einer Stunde verloren gehen. Merksatz: RPO = maximal akzeptabler Datenverlust. RTO RTO steht für: Recovery Time Objective Frage: Wie lange darf die Wiederherstellung dauern? Beispiel: RTO 4 Stunden Bedeutung: Der Dienst soll spätestens nach 4 Stunden wieder laufen. Merksatz: RTO = maximal akzeptable Wiederherstellungszeit. RPO und RTO vergleichen Begriff Frage Beispiel RPO Wie viel Datenverlust ist erlaubt? maximal 1 Stunde Datenverlust RTO Wie lange darf Wiederherstellung dauern? System läuft nach spätestens 4 Stunden Merksatz: RPO betrifft Datenverlust. RTO betrifft Zeit bis Wiederherstellung. RPO und Backup-Frequenz Je kleiner das RPO, desto häufiger muss gesichert werden. Beispiel: RPO mögliche Backup-Frequenz 24 Stunden tägliches Backup 1 Stunde stündliches Backup oder kontinuierliche Sicherung wenige Minuten Replikation plus Backup-Konzept oder spezielle Lösung Merksatz: Backup-Frequenz muss zum RPO passen. RTO und Wiederherstellung Das RTO hängt ab von: Backup-Größe Restore-Geschwindigkeit Netzwerkgeschwindigkeit Speicherleistung Systemkomplexität Abhängigkeiten Personal Dokumentation Tests Merksatz: RTO wird nicht nur durch Backup bestimmt, sondern durch den gesamten Wiederherstellungsprozess. Retention Retention bedeutet: Aufbewahrungsregel für Backups. Beispiele: tägliche Backups 14 Tage behalten wöchentliche Backups 8 Wochen behalten monatliche Backups 12 Monate behalten Merksatz: Retention regelt, wie lange Backups behalten werden. Aufbewahrungszeit Die Aufbewahrungszeit hängt ab von: gesetzlichen Vorgaben internen Regeln Speicherplatz Datenschutz Wiederherstellungsbedarf Kosten Risiko später entdeckter Fehler Merksatz: Backups müssen lange genug, aber nicht unbegrenzt ohne Grund aufbewahrt werden. Großvater-Vater-Sohn-Prinzip Das Großvater-Vater-Sohn-Prinzip ist ein Rotationsschema. Typisch: Sohn: tägliche Sicherung Vater: wöchentliche Sicherung Großvater: monatliche Sicherung Merksatz: Großvater-Vater-Sohn kombiniert tägliche, wöchentliche und monatliche Backups. 3-2-1-Regel Die 3-2-1-Regel lautet: 3 Kopien der Daten 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Beispiel: Produktivdaten Backup auf NAS zusätzliches Backup extern oder in Cloud Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen. 3-2-1-1-0-Regel Erweiterte Variante: 3 Kopien 2 unterschiedliche Medien 1 Kopie extern 1 Kopie offline oder immutable 0 Fehler bei Restore-Tests Merksatz: Die 0 steht für fehlerfrei getestete Wiederherstellung. Offline-Backup Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden. Beispiele: getrennte Festplatte Band ausgelagertes Medium abgeschottetes Backup-System Vorteil: besserer Schutz gegen Ransomware und versehentliche Löschung Merksatz: Offline-Backup ist nicht dauerhaft erreichbar. Immutable Backup Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schützt gegen: Ransomware Manipulation versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt die Wiederherstellungsmöglichkeit. Backup-Verschlüsselung Backups sollten verschlüsselt werden, besonders bei sensiblen Daten oder externer Speicherung. Wichtig: Schlüssel sicher aufbewahren Zugriff begrenzen Wiederherstellung mit Schlüssel testen Schlüsselverlust vermeiden Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn der Schlüssel verfügbar ist. Backup-Zugriffsrechte Backups enthalten oft besonders viele Daten. Deshalb müssen Zugriffe streng begrenzt werden. Wichtig: keine normalen Benutzerrechte auf Backup-Speicher getrennte Adminrechte MFA für Backup-Konsole keine unnötigen Löschrechte Dienstkonten rechtearm halten Zugriff protokollieren Merksatz: Backups brauchen starken Zugriffsschutz. Backup und Ransomware Ransomware versucht häufig, Backups zu löschen oder zu verschlüsseln. Schutzmaßnahmen: Offline-Backup Immutable Backup getrennte Zugangsdaten getrenntes Backupnetz MFA Monitoring Restore-Test Rechtebegrenzung Merksatz: Backups müssen auch vor Angreifern geschützt werden. Backup-Monitoring Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Backup-Lauf Fehlermeldungen Datenmenge Laufzeit Speicherplatz Aufbewahrung Verschlüsselung Restore-Test ungewöhnliche Löschungen Merksatz: Ein fehlgeschlagenes Backup muss auffallen, bevor ein Restore benötigt wird. Backup-Logs Backup-Logs zeigen, was bei einer Sicherung passiert ist. Zu prüfen: Startzeit Endzeit Erfolg oder Fehler gesicherte Datenmenge übersprungene Dateien Warnungen Zielsystem Speicherplatz Berechtigungsfehler Merksatz: Backup-Logs regelmäßig prüfen. Redundanz Redundanz bedeutet: wichtige Komponenten sind mehrfach vorhanden. Beispiele: zwei Netzteile RAID mehrere Server mehrere Internetleitungen Cluster zweite Firewall Ziel: Ausfall vermeiden oder abfedern Merksatz: Redundanz erhöht Verfügbarkeit, ersetzt aber kein Backup. Replikation Replikation bedeutet: Daten werden auf ein anderes System kopiert, oft nahezu aktuell. Vorteile: schnelle Umschaltung aktuelle Kopie höhere Verfügbarkeit Risiko: Fehler, Löschung oder Ransomware können mitrepliziert werden. Merksatz: Replikation ist kein Backup. Synchronisation Synchronisation bedeutet: Daten werden zwischen Speicherorten abgeglichen. Problem: Löschung, Fehler oder Verschlüsselung können mitsynchronisiert werden. Merksatz: Synchronisation hält Daten gleich, stellt aber nicht automatisch alte Stände wieder her. Backup, Redundanz, Replikation und Synchronisation vergleichen Begriff Ziel Ersetzt Backup? Backup alte Zustände wiederherstellen ja, ist Backup Redundanz Ausfall abfedern nein Replikation aktuelle Kopie bereitstellen nein Synchronisation Datenstände abgleichen nein Merksatz: Redundanz, Replikation und Synchronisation ersetzen kein Backup. Notfallhandbuch Ein Notfallhandbuch beschreibt, was bei schweren Störungen zu tun ist. Inhalte: Ansprechpartner Systeme Prioritäten Wiederherstellungsreihenfolge Backup-Orte Restore-Anleitungen Zugangsdatenablage Kommunikationswege Eskalationswege Merksatz: Im Notfall darf nicht erst gesucht werden, wer was weiß. Restore-Reihenfolge Bei Wiederherstellung ist die Reihenfolge wichtig. Beispiel: Netzwerk Verzeichnisdienst Speicher Datenbank Anwendung Benutzerzugriff Merksatz: Restore braucht Reihenfolge, weil Systeme voneinander abhängen. Business Continuity Business Continuity bedeutet: Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen. Dazu gehören: Notfallplanung Ersatzprozesse Kommunikation Verantwortlichkeiten Wiederanlauf Tests Merksatz: Business Continuity betrachtet den Betrieb insgesamt. Disaster Recovery Disaster Recovery beschreibt: Wiederherstellung der IT nach schweren Störungen. Beispiele: Ransomware Brand Rechenzentrumsausfall Hardwaredefekt Cloud-Ausfall massiver Datenverlust Merksatz: Disaster Recovery ist IT-Wiederherstellung nach schwerem Vorfall. Failover Failover bedeutet: Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet. Möglich: automatisch oder manuell Beispiele: zweite Firewall übernimmt Datenbank-Replikat wird aktiv anderer Server übernimmt Dienst Merksatz: Failover reduziert Ausfallzeit, ersetzt aber kein Backup. Typische Fehlerbilder Fehlerbild Wahrscheinliche Ursache Backup angeblich erfolgreich, Restore geht nicht Restore nie getestet Backupziel voll Speicherplatz oder Retention falsch Datenbank nach Restore beschädigt kein konsistentes Datenbank-Backup Ransomware verschlüsselt Backups mit Backup online und beschreibbar Backup nicht lesbar Medium defekt oder Datei beschädigt verschlüsseltes Backup nicht nutzbar Schlüssel fehlt Restore dauert zu lange RTO nicht realistisch geprüft zu viel Datenverlust RPO nicht eingehalten alte Datei fehlt Retention zu kurz Dienst startet nach Restore nicht Abhängigkeiten vergessen Merksatz: Backup-Probleme fallen oft erst beim Restore auf. Typische Prüfungsfallen Backup und Restore verwechseln. Backup ohne Restore-Test als sicher ansehen. Snapshot als vollständiges Backup bezeichnen. Replikation als Backup bezeichnen. Synchronisation als Backup bezeichnen. Redundanz als Backup bezeichnen. RPO und RTO verwechseln. Retention mit RPO verwechseln. Datenbankdateien ohne Konsistenz sichern. Backup-Verschlüsselung ohne Schlüsselverwaltung planen. Ransomware-Schutz für Backups vergessen. Notfallhandbuch nicht berücksichtigen. Merksatz: In Prüfungen wird oft gefragt, was kein Backup ersetzt. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein Backup? - Was ist ein Restore? - Warum ist ein Restore-Test wichtig? - Was ist ein Vollbackup? - Was ist ein inkrementelles Backup? - Was ist ein differenzielles Backup? - Was ist ein Snapshot? - Warum ersetzt ein Snapshot kein Backup? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist Retention? - Was bedeutet die 3-2-1-Regel? - Was ist ein Immutable Backup? - Warum ist ein Offline-Backup sinnvoll? - Warum ist Replikation kein Backup? - Warum ist Synchronisation kein Backup? - Warum ersetzt Redundanz kein Backup? - Was ist Disaster Recovery? - Was ist Business Continuity? - Warum müssen Backups gegen Ransomware geschützt werden? IHK-sichere Kurzformulierung Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Backups sollten nach geeigneten Regeln aufbewahrt, überwacht, geschützt, verschlüsselt und durch Offline- oder Immutable-Kopien gegen Ransomware abgesichert werden. Replikation, Synchronisation, Redundanz und Snapshots ersetzen kein vollständiges Backup-Konzept. Merksätze Backup = Sicherung. Restore = Wiederherstellung. Backup ohne Restore-Test ist unsicher. Vollbackup sichert alles. Inkrementell sichert seit letztem Backup. Differenziell sichert seit letztem Vollbackup. Snapshot ist Momentaufnahme. Snapshot ersetzt kein vollständiges Backup. Image-Backup sichert ein Systemabbild. Datenbank-Backups müssen konsistent sein. Point-in-Time-Recovery stellt einen Zeitpunkt wieder her. RPO = Datenverlust. RTO = Wiederherstellungszeit. Retention = Aufbewahrungsregel. Backup-Frequenz muss zum RPO passen. Restore-Prozess muss zum RTO passen. 3-2-1 reduziert Gesamtrisiko. 3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests. Offline-Backup ist nicht dauerhaft verbunden. Immutable Backup ist unveränderlich. Verschlüsseltes Backup braucht Schlüssel. Backups brauchen starke Rechtebegrenzung. Backups müssen vor Ransomware geschützt werden. Backup-Monitoring ist Pflicht. Backup-Logs regelmäßig prüfen. Redundanz ist kein Backup. Replikation ist kein Backup. Synchronisation ist kein Backup. Failover ist kein Backup. Notfallhandbuch hilft im Ernstfall. Restore braucht Reihenfolge. Business Continuity betrachtet Geschäftsprozesse. Disaster Recovery betrachtet IT-Wiederherstellung. Im Notfall zählt nicht nur, ob ein Backup existiert, sondern ob es schnell und korrekt wiederhergestellt werden kann. 19.10. Admin-Befehle und Fehlersuche Spickzettel Dieser Spickzettel fasst wichtige Befehle und Werkzeuge für Netzwerkadministration, Systemprüfung und Fehlersuche kompakt zusammen. Er ist besonders wichtig für: - IP-Konfiguration prüfen - DNS prüfen - Routing prüfen - Ports prüfen - Dienste prüfen - Logs prüfen - Erreichbarkeit testen - Fehler systematisch eingrenzen Merksatz: Befehle liefern Fakten, keine Vermutungen. Grundidee der Fehlersuche Bei Netzwerkproblemen immer systematisch prüfen. Sinnvolle Reihenfolge: 1. physische Verbindung 2. IP-Konfiguration 3. Gateway 4. DNS 5. Routing 6. Firewall 7. Port 8. Dienst 9. Anwendung 10. Logs Merksatz: Erst Verbindung, dann Adresse, dann Dienst, dann Anwendung. Windows- und Linux-Werkzeuge im Überblick Aufgabe Windows Linux/macOS IP-Konfiguration anzeigen ipconfig ip addr detaillierte IP-Konfiguration ipconfig /all ip addr, ip link Routing anzeigen route print ip route DNS prüfen nslookup dig, nslookup Erreichbarkeit prüfen ping ping Weg zum Ziel prüfen tracert traceroute Verbindungen anzeigen netstat ss, netstat Ports prüfen netstat, PowerShell ss, netstat Webdienst prüfen PowerShell, Browser curl Dienste prüfen services.msc, sc, PowerShell systemctl Logs prüfen Ereignisanzeige journalctl Prozesse prüfen Task-Manager, tasklist ps, top Speicherplatz prüfen Explorer, PowerShell df, du Benutzer prüfen whoami whoami, id Merksatz: Gleiche Aufgabe, anderes Werkzeug je nach Betriebssystem. IP-Konfiguration prüfen Windows: ipconfig ipconfig /all Linux/macOS: ip addr ip link Wichtige Angaben: IP-Adresse Subnetzmaske oder Präfix Standardgateway DNS-Server MAC-Adresse DHCP aktiviert ja oder nein Lease-Informationen Interface-Status Merksatz: IP, Maske, Gateway und DNS immer zusammen prüfen. ipconfig ipconfig zeigt unter Windows die IP-Konfiguration. Wichtige Ausgaben: IPv4-Adresse Subnetzmaske Standardgateway Mit: ipconfig /all sieht man zusätzlich: DNS-Server DHCP-Status MAC-Adresse Lease-Zeiten Adapterdetails Merksatz: ipconfig /all zeigt die wichtigen Details. ip addr ip addr zeigt unter Linux die IP-Adressen der Netzwerkschnittstellen. Wichtige Punkte: Interface-Name IPv4-Adresse IPv6-Adresse Präfix Status MAC-Adresse Beispiele für Interface-Namen: eth0 ens18 enp0s3 wlan0 Merksatz: ip addr ist unter Linux der Standard für IP-Adressen. ip link ip link zeigt den Zustand von Netzwerkschnittstellen. Wichtige Angaben: Interface aktiv oder inaktiv MAC-Adresse MTU Link-Status Typische Begriffe: UP DOWN Merksatz: ip link hilft, den Interface-Status zu prüfen. Gateway prüfen Windows: ipconfig route print Linux/macOS: ip route Wichtig: Gateway muss im lokalen Subnetz erreichbar sein. Typisches Fehlerbild: lokale Geräte erreichbar, Internet nicht erreichbar Merksatz: Lokal ja, extern nein: Gateway prüfen. Routing prüfen Windows: route print Linux/macOS: ip route Wichtige Angaben: Zielnetz Gateway oder Next Hop Interface Metrik Standardroute Standardroute IPv4: 0.0.0.0/0 oder unter Linux oft: default Merksatz: Routing-Tabelle zeigt, wohin Pakete gesendet werden. route print route print zeigt unter Windows die Routing-Tabelle. Wichtig sind: Netzwerkziel Netzmaske Gateway Schnittstelle Metrik Typische Prüfung: Gibt es eine Standardroute? Ist das Gateway korrekt? Gibt es eine spezifische Route zum Zielnetz? Merksatz: route print zeigt den Weg aus Sicht des Windows-Clients. ip route ip route zeigt unter Linux die Routing-Tabelle. Typische Ausgabe enthält: default via 192.168.1.1 dev eth0 Bedeutung: Standardroute über Gateway 192.168.1.1 über Interface eth0 Merksatz: default ist die Standardroute. ping ping prüft Erreichbarkeit mit ICMP. Typische Nutzung: Ziel-IP testen Gateway testen DNS-Namen testen Wichtig: ping prüft ICMP, nicht automatisch den Dienst. Beispiel: ping funktioniert, aber HTTPS kann trotzdem blockiert sein. Merksatz: ping ist ein Erreichbarkeitstest, kein vollständiger Diensttest. ping richtig interpretieren Ergebnis Mögliche Bedeutung Antwort kommt Ziel antwortet auf ICMP keine Antwort Ziel offline, ICMP blockiert, Routingproblem, Firewall hohe Zeit Latenz, Last, lange Strecke Paketverlust Funkproblem, Überlastung, Leitungsproblem Name wird nicht gefunden DNS-Problem IP geht, Name nicht DNS prüfen Merksatz: Kein ping heißt nicht automatisch, dass das Ziel offline ist. DNS prüfen Windows: nslookup Linux/macOS: dig nslookup Prüfen: Wird der Name aufgelöst? Welche IP wird geliefert? Welcher DNS-Server antwortet? Ist der Record korrekt? Gibt es interne und externe Unterschiede? Merksatz: DNS gezielt mit nslookup oder dig prüfen. nslookup nslookup prüft Namensauflösung. Nützlich für: A-Record prüfen AAAA-Record prüfen DNS-Server testen Fehler bei Namensauflösung erkennen Typisches Fehlerbild: IP-Adresse funktioniert, Name funktioniert nicht Wahrscheinlich: DNS-Problem Merksatz: nslookup prüft DNS, nicht den eigentlichen Dienst. dig dig zeigt DNS-Abfragen detailliert an. Nützlich für: genaue DNS-Antworten Recordtypen TTL Antwortserver Debugging Vergleich verschiedener DNS-Server Typische Recordtypen: A AAAA MX CNAME TXT NS PTR Merksatz: dig ist besonders hilfreich für detaillierte DNS-Prüfung. tracert und traceroute Windows: tracert Linux/macOS: traceroute Aufgabe: Weg zum Ziel über Router anzeigen Nützlich für: Routingprobleme eingrenzen Hops sichtbar machen Latenzen grob erkennen Unterbrechungen lokalisieren Merksatz: traceroute zeigt den Weg, aber nicht jeder Hop muss antworten. traceroute richtig interpretieren Beobachtung Mögliche Bedeutung erster Hop fehlt Gateway oder lokales Netz prüfen Abbruch nach bestimmtem Hop Firewall, Routing, Provider einzelne Sternchen Hop antwortet nicht, Weg kann trotzdem funktionieren hohe Latenz ab bestimmtem Hop Engstelle oder lange Strecke Ziel antwortet nicht Ziel blockiert oder nicht erreichbar Merksatz: Sternchen bedeuten nicht automatisch Totalausfall. netstat netstat zeigt Netzwerkverbindungen und lauschende Ports. Nützlich für: offene Ports anzeigen bestehende Verbindungen prüfen Dienst lauscht ja oder nein Quell- und Zielports sehen TCP-Status prüfen Typische Zustände: LISTEN ESTABLISHED TIME_WAIT CLOSE_WAIT Merksatz: netstat zeigt, welche Verbindungen und Ports aktiv sind. ss ss ist unter Linux ein modernes Werkzeug für Sockets und Ports. Nützlich für: lauschende Ports TCP-Verbindungen UDP-Sockets Prozesszuordnung je nach Berechtigung schnelle Portprüfung lokal Merksatz: ss ersetzt auf vielen Linux-Systemen netstat. TCP-Status kurz erklärt Status Bedeutung LISTEN Dienst wartet auf Verbindungen ESTABLISHED Verbindung besteht SYN_SENT Verbindungsaufbau gestartet SYN_RECEIVED SYN empfangen und beantwortet TIME_WAIT Verbindung beendet, Wartephase CLOSE_WAIT Gegenseite hat beendet, lokale Anwendung noch nicht Merksatz: LISTEN bedeutet: Dienst lauscht. Portprüfung Bei Dienstproblemen prüfen: Läuft der Dienst? Lauscht der Dienst auf dem richtigen Port? Lauscht er auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Stimmt TCP oder UDP? Ist NAT oder Portweiterleitung korrekt? Merksatz: Host erreichbar heißt nicht, dass der Port erreichbar ist. localhost, 127.0.0.1 und 0.0.0.0 127.0.0.1: Loopback-Adresse nur lokal auf demselben System erreichbar localhost: Name für lokalen Rechner 0.0.0.0: Dienst lauscht auf allen IPv4-Schnittstellen des Hosts Merksatz: 127.0.0.1 ist lokal. 0.0.0.0 bedeutet alle Interfaces. curl curl prüft Webdienste, APIs und HTTP-Antworten. Nützlich für: HTTP-Statuscode Weiterleitungen Header TLS-Verbindung API-Antwort Erreichbarkeit ohne Browser Proxy-Fehler Backend-Fehler Merksatz: curl prüft Webdienste direkter als ein Browser. HTTP-Statuscodes Statuscode Bedeutung 200 erfolgreich 301 / 302 Weiterleitung 400 fehlerhafte Anfrage 401 nicht authentifiziert 403 verboten 404 nicht gefunden 500 interner Serverfehler 502 Gateway oder Backend-Fehler 503 Dienst nicht verfügbar 504 Gateway Timeout Merksatz: 4xx deutet eher auf Client, Anfrage oder Rechte. 5xx deutet eher auf Server, Anwendung oder Backend. Dienste prüfen unter Linux Wichtige Werkzeuge: systemctl journalctl systemctl prüft und verwaltet Dienste. journalctl zeigt Logs von systemd-Diensten. Merksatz: systemctl zeigt den Dienststatus. journalctl zeigt die Logs. systemctl systemctl wird genutzt für: Dienststatus prüfen Dienst starten Dienst stoppen Dienst neu starten Dienst aktivieren Dienst deaktivieren Typische Prüfung: Läuft der Dienst? Ist der Dienst beim Booten aktiviert? Gibt es Fehler beim Start? Merksatz: systemctl beantwortet: Läuft der Dienst? journalctl journalctl zeigt Logs unter systemd. Nützlich für: Dienstfehler Startprobleme Abstürze Berechtigungsfehler Konfigurationsfehler Zeitliche Eingrenzung Merksatz: journalctl beantwortet: Warum hat der Dienst Probleme? Dienste prüfen unter Windows Wichtige Werkzeuge: services.msc Task-Manager Ereignisanzeige PowerShell sc Typische Fragen: Läuft der Dienst? Ist der Starttyp korrekt? Gibt es Fehlermeldungen? Gibt es Abhängigkeiten? Merksatz: Unter Windows helfen Diensteverwaltung und Ereignisanzeige. Windows-Ereignisanzeige Die Ereignisanzeige zeigt Windows-Logs. Wichtige Bereiche: Anwendung Sicherheit System Setup Nützlich für: Anmeldefehler Dienstfehler Systemfehler Treiberprobleme Sicherheitsereignisse Merksatz: Windows-Logs stehen in der Ereignisanzeige. Prozesse prüfen Windows: Task-Manager tasklist Linux/macOS: ps top htop Nützlich für: hohe CPU-Last hoher RAM-Verbrauch hängende Prozesse Prozess läuft ja oder nein Prozess-ID finden Merksatz: Prozess läuft nicht automatisch gleich Dienst erreichbar. Speicherplatz prüfen Linux/macOS: df du Windows: Explorer Datenträgerverwaltung PowerShell Wichtige Fragen: Ist das Dateisystem voll? Ist die Logpartition voll? Ist genug Speicher für Backup oder Update vorhanden? Wächst eine Datei ungewöhnlich stark? Merksatz: Volle Datenträger verursachen viele Dienstprobleme. df und du df zeigt freien Speicher auf Dateisystemen. du zeigt Speicherverbrauch von Dateien und Ordnern. Unterschied: df: Wie voll ist das Dateisystem? du: Welcher Ordner verbraucht Speicher? Merksatz: df zeigt Gesamtfüllstand. du zeigt Verursacher. Benutzer und Rechte prüfen Windows: whoami whoami /groups Linux/macOS: whoami id groups Prüfen: Welcher Benutzer bin ich? In welchen Gruppen bin ich? Habe ich die nötigen Rechte? Wird ein anderes Konto verwendet? Merksatz: Anmeldung erfolgreich heißt nicht automatisch Zugriff erlaubt. Dateirechte prüfen unter Linux Wichtige Begriffe: Besitzer Gruppe Rechte Lesen Schreiben Ausführen Typische Werkzeuge: ls -l chmod chown Merksatz: Linux-Rechte bestehen aus Besitzer, Gruppe und anderen. Freigaberechte prüfen Bei Dateifreigaben prüfen: Freigaberechte Dateisystemrechte Gruppenmitgliedschaft Deny-Regeln Vererbung Benutzerkontext Merksatz: Bei Freigaben zählen oft Freigaberechte und Dateisystemrechte zusammen. Logs allgemein prüfen Wichtige Fragen: Wann trat der Fehler auf? Welches System meldet den Fehler? Welcher Benutzer ist betroffen? Welche Quelle und welches Ziel? Welche Fehlermeldung? Wiederholt sich das Muster? Gab es kurz vorher Änderungen? Merksatz: Logs beantworten: wer, wann, was, von wo, mit welchem Ergebnis. Zeit und NTP prüfen Korrekte Zeit ist wichtig für: Logs Zertifikate Kerberos MFA Tokens geplante Aufgaben Forensik Typische Fehler: Zertifikatswarnung Kerberos-Fehler ungültige Tokens falsche Log-Reihenfolge Merksatz: Bei Zertifikaten, Kerberos und Logs immer auch Zeit prüfen. Firewall prüfen Bei Firewall-Verdacht prüfen: Quelle Ziel Port Protokoll Richtung Zone Regelreihenfolge NAT Logs lokale Firewall Netzwerkfirewall Merksatz: Firewallprüfung braucht Quelle, Ziel, Port und Protokoll. NAT und Portweiterleitung prüfen Prüfen: öffentliche IP korrekt? DNS zeigt auf richtige öffentliche IP? externer Port korrekt? interne Ziel-IP korrekt? interner Port korrekt? Dienst läuft intern? lokale Firewall erlaubt? Router-Firewall erlaubt? doppeltes NAT? CGNAT? Merksatz: Portweiterleitung braucht DNS, NAT, Firewall und laufenden Dienst. Typische Fehlerbilder und erste Prüfung Fehlerbild Erste Prüfung keine IP-Adresse DHCP, Kabel, WLAN, VLAN 169.254.x.x DHCP nicht erreicht lokales Netz geht, Internet nicht Gateway, Routing, NAT IP geht, Name nicht DNS ping geht, Webseite nicht Port, Dienst, Firewall Login geht, Zugriff nicht Rechte, Gruppe, ACL Anmeldung scheitert Konto, Passwort, MFA, Verzeichnisdienst Zertifikatswarnung Zertifikat, Hostname, Uhrzeit Dienst startet nicht Logs, Konfiguration, Abhängigkeiten alles langsam Last, DNS, Netzwerk, Speicher Merksatz: Fehlerbild bestimmt den ersten sinnvollen Test. Mini-Workflow: Client kommt nicht ins Internet Prüfen: 1. IP-Adresse vorhanden? 2. APIPA-Adresse 169.254.x.x? 3. Subnetzmaske korrekt? 4. Gateway eingetragen? 5. Gateway erreichbar? 6. externe IP erreichbar? 7. DNS-Auflösung funktioniert? 8. Firewall oder Proxy? 9. NAT oder Provider? Merksatz: Erst IP, dann Gateway, dann DNS, dann Firewall und NAT. Mini-Workflow: Webseite nicht erreichbar Prüfen: 1. Name wird aufgelöst? 2. Ziel-IP erreichbar? 3. TCP 80 oder 443 erreichbar? 4. Webserver läuft? 5. TLS-Zertifikat gültig? 6. Reverse Proxy korrekt? 7. Anwendung liefert Fehler? 8. Logs prüfen. Merksatz: Webfehler können DNS, Port, TLS, Proxy oder Anwendung betreffen. Mini-Workflow: Datei-Freigabe nicht erreichbar Prüfen: 1. Netzwerkverbindung? 2. Namensauflösung? 3. Server erreichbar? 4. SMB-Port TCP 445 erreichbar? 5. Benutzer angemeldet? 6. Freigaberechte? 7. Dateisystemrechte? 8. Gruppenmitgliedschaft? 9. Firewall? 10. Logs? Merksatz: Freigabeprobleme können Netzwerk oder Rechte sein. Mini-Workflow: SSH nicht erreichbar Prüfen: 1. Ziel-IP erreichbar? 2. TCP 22 erreichbar? 3. SSH-Dienst läuft? 4. Firewall erlaubt Zugriff? 5. richtige Quell-IP erlaubt? 6. Benutzer erlaubt? 7. Schlüssel korrekt? 8. Host-Key-Warnung prüfen. 9. Logs prüfen. Merksatz: SSH-Probleme können Port, Dienst, Schlüssel, Benutzer oder Firewall sein. Mini-Workflow: DNS-Problem Prüfen: 1. DNS-Server eingetragen? 2. DNS-Server erreichbar? 3. richtiger Record vorhanden? 4. interner oder externer DNS? 5. DNS-Suffix korrekt? 6. Split-DNS relevant? 7. DNS-Cache veraltet? 8. Firewall blockiert UDP/TCP 53? Merksatz: IP ja, Name nein: DNS prüfen. Mini-Workflow: DHCP-Problem Prüfen: 1. Client im richtigen VLAN? 2. Switchport korrekt? 3. DHCP-Server aktiv? 4. DHCP-Scope frei? 5. DHCP-Relay korrekt? 6. Firewall erlaubt DHCP? 7. Reservierung oder Ausschluss? 8. Lease erneuern. Merksatz: 169.254.x.x: DHCP, VLAN oder Relay prüfen. Mini-Workflow: Dienst startet nicht Prüfen: 1. Dienststatus 2. Logs 3. Konfigurationsdatei 4. Berechtigungen 5. Abhängigkeiten 6. belegter Port 7. Speicherplatz 8. Zertifikate oder Schlüssel 9. letzte Änderung Merksatz: Dienstfehler stehen oft in Logs. Mini-Workflow: langsames Netzwerk Prüfen: Latenz Paketverlust DNS-Auflösung WLAN-Signal Bandbreite Duplex oder Link-Geschwindigkeit CPU oder RAM Speicher-I/O Firewall oder Proxy Serverlast Merksatz: Langsamkeit ist kein einzelner Fehler, sondern muss eingegrenzt werden. Prüfungsfalle: Befehl ohne Interpretation Ein Befehl allein löst noch keine Aufgabe. Schlecht: ping ausführen. Besser: Mit ping wird geprüft, ob das Ziel per ICMP erreichbar ist. Wenn die IP erreichbar ist, der Name aber nicht, sollte DNS geprüft werden. Merksatz: In der Prüfung nicht nur Befehl nennen, sondern Zweck erklären. Prüfungsfalle: ping als Diensttest ping prüft ICMP. ping prüft nicht: HTTPS SSH SMB Datenbank Anmeldung Rechte Anwendung Merksatz: ping erfolgreich heißt nicht, dass der Dienst funktioniert. Prüfungsfalle: DNS und Dienst verwechseln Wenn ein Name nicht aufgelöst wird, ist zuerst DNS zu prüfen. Wenn der Name aufgelöst wird, aber die Anwendung nicht funktioniert, sind eher Port, Dienst, Firewall, TLS oder Anwendung zu prüfen. Merksatz: DNS findet die Adresse. Der Dienst muss danach trotzdem funktionieren. Prüfungsfalle: Rechteproblem als Netzwerkproblem deuten Fehlerbild: Benutzer kann sich anmelden, aber Datei nicht öffnen. Wahrscheinlich: Autorisierung, Gruppenmitgliedschaft, ACL oder Freigaberecht Nicht zuerst: DNS Gateway NAT Merksatz: Login ja, Zugriff nein: Rechte prüfen. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Welcher Befehl zeigt die IP-Konfiguration unter Windows? - Welcher Befehl zeigt IP-Adressen unter Linux? - Wie prüft man DNS? - Was prüft ping? - Warum ersetzt ping keinen Diensttest? - Was zeigt tracert oder traceroute? - Wie prüft man Routing? - Wie erkennt man, ob ein Dienst auf einem Port lauscht? - Was bedeutet LISTEN? - Wie prüft man Linux-Dienste? - Wie prüft man Windows-Logs? - Warum ist NTP wichtig für Logs? - Welche Schritte sind sinnvoll, wenn ein Client nicht ins Internet kommt? - Wie grenzt man ein Firewallproblem ein? IHK-sichere Kurzformulierung Bei der Netzwerk- und Systemfehlersuche sollten zuerst Fakten gesammelt werden. Unter Windows zeigt ipconfig die IP-Konfiguration, unter Linux ip addr. Routing wird mit route print oder ip route geprüft. DNS wird gezielt mit nslookup oder dig geprüft. ping testet ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest. tracert oder traceroute zeigen den Weg über Router. netstat oder ss zeigen Verbindungen und lauschende Ports. systemctl prüft Linux-Dienste, journalctl zeigt deren Logs. Unter Windows helfen Diensteverwaltung und Ereignisanzeige. Gute Fehlersuche erfolgt systematisch: Verbindung, IP, Gateway, DNS, Routing, Firewall, Port, Dienst, Anwendung und Logs. Merksätze Befehle liefern Fakten. Erst prüfen, dann vermuten. IP, Maske, Gateway und DNS zusammen prüfen. ipconfig zeigt Windows-IP-Konfiguration. ip addr zeigt Linux-IP-Konfiguration. route print zeigt Windows-Routing. ip route zeigt Linux-Routing. ping prüft ICMP. ping ist kein Diensttest. nslookup prüft DNS. dig prüft DNS detailliert. tracert und traceroute zeigen den Weg. netstat zeigt Verbindungen und Ports. ss zeigt Sockets und Ports unter Linux. LISTEN heißt: Dienst wartet auf Verbindungen. ESTABLISHED heißt: Verbindung besteht. 127.0.0.1 ist lokal. 0.0.0.0 bedeutet alle Interfaces. curl prüft Webdienste. systemctl prüft Dienststatus. journalctl zeigt Logs. Windows-Logs stehen in der Ereignisanzeige. df zeigt Dateisystemfüllstand. du zeigt Ordnerverbrauch. whoami zeigt den Benutzerkontext. Logs beantworten: wer, wann, was, von wo, mit welchem Ergebnis. NTP macht Logzeiten vergleichbar. Firewallprüfung braucht Quelle, Ziel, Port und Protokoll. Portweiterleitung braucht DNS, NAT, Firewall und Dienst. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway. Host ja, Dienst nein: Port, Dienst, Firewall. Login ja, Zugriff nein: Rechte. Dienst startet nicht: Logs prüfen. 19.11 Prüfungs-Signalwörter und Musterformulierungen Dieser Spickzettel hilft dabei, Prüfungsaufgaben schneller einzuordnen und Antworten fachlich sauber zu formulieren. Er ist besonders wichtig für: - Fehlersuche - Sicherheitsfragen - Begründungsaufgaben - Vergleichsaufgaben - kurze IHK-Antworten - typische Fehlerbilder - Operatoren in Aufgabenstellungen Merksatz: Signalwörter zeigen oft, in welche Richtung die Lösung geht. Grundidee In Prüfungsaufgaben stehen oft Hinweise, die direkt zur Lösung führen. Diese Hinweise können sein: IP-Adressen Subnetzmasken Ports Protokolle Fehlermeldungen Logeinträge Benutzerbeschreibung Zeitpunkte letzte Änderungen betroffene Systeme Begriffe wie „nur intern“, „nur extern“, „nach Update“ oder „Zugriff verweigert“ Merksatz: Die Aufgabe genau lesen, bevor du antwortest. Operatoren erkennen Operator Erwartete Antwort nennen kurze Begriffe oder Stichpunkte beschreiben sachlich darstellen erklären Zusammenhang deutlich machen begründen Warum nennen vergleichen Unterschiede und Gemeinsamkeiten darstellen berechnen rechnerisch ermitteln ermitteln aus gegebenen Informationen ableiten bewerten fachlich einschätzen zuordnen passend einordnen erläutern ausführlicher erklären Merksatz: Der Operator bestimmt, wie tief die Antwort sein muss. Nennen Bei „nennen“ reichen kurze Begriffe. Beispielaufgabe: Nennen Sie zwei Vorteile von VLANs. Musterantwort: logische Netztrennung kleinere Broadcast-Domänen Merksatz: Nennen = kurz und direkt. Beschreiben Bei „beschreiben“ soll ein Sachverhalt dargestellt werden. Beispielaufgabe: Beschreiben Sie die Aufgabe eines DHCP-Servers. Musterantwort: Ein DHCP-Server weist Clients automatisch Netzwerkkonfigurationen wie IP-Adresse, Subnetzmaske, Standardgateway und DNS-Server zu. Merksatz: Beschreiben = was passiert? Erklären Bei „erklären“ muss der Zusammenhang deutlich werden. Beispielaufgabe: Erklären Sie, warum ein Client ohne Standardgateway keine Internetverbindung hat. Musterantwort: Das Standardgateway ist der Router in andere Netze. Ohne Standardgateway kann der Client nur Ziele im eigenen Subnetz erreichen, aber keine externen Netze wie das Internet. Merksatz: Erklären = Zusammenhang zeigen. Begründen Bei „begründen“ muss ein Warum enthalten sein. Beispielaufgabe: Begründen Sie, warum RDP nicht direkt aus dem Internet erreichbar sein sollte. Musterantwort: RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe, Credential Stuffing und Exploits. Deshalb sollte RDP nur über VPN, RDP-Gateway, MFA und Firewall-Beschränkungen erreichbar sein. Merksatz: Begründen = Aussage plus Warum. Vergleichen Bei „vergleichen“ müssen Unterschiede und Gemeinsamkeiten sichtbar werden. Beispielaufgabe: Vergleichen Sie TCP und UDP. Musterantwort: Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit eingebaut keine eingebaute Garantie Overhead höher geringer Beispiele HTTPS, SSH DNS, DHCP, VoIP Merksatz: Vergleichen = gegenüberstellen. Bewerten Bei „bewerten“ soll eine fachliche Einschätzung gegeben werden. Beispielaufgabe: Bewerten Sie eine Firewall-Regel, die Any-to-Any erlaubt. Musterantwort: Die Regel ist sicherheitskritisch, weil sie Verkehr von jeder Quelle zu jedem Ziel erlaubt. Dadurch entsteht eine große Angriffsfläche. Besser ist eine genaue Regel mit definierter Quelle, definiertem Ziel, Port, Protokoll und dokumentiertem Zweck. Merksatz: Bewerten = Einschätzung mit Begründung. Berechnen Bei „berechnen“ muss ein Ergebnis aus Zahlen ermittelt werden. Wichtig: Einheit beachten Formel oder Regel nutzen Zwischenschritte prüfen Ergebnis mit Bedeutung angeben Beispiel: /27 hat 5 Hostbits. 2 hoch 5 ergibt 32 Adressen. 30 Adressen sind nutzbar, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Merksatz: Berechnen = Ergebnis mit Einheit oder Bedeutung. Signalwörter bei DNS Signalwort oder Fehlerbild Bedeutung IP erreichbar, Name nicht DNS-Problem Domain wird nicht gefunden DNS prüfen interner Name funktioniert nur im Büro Split-DNS oder VPN-DNS Webseite per IP erreichbar Grundverbindung funktioniert falscher Server bei Namenszugriff falscher DNS-Eintrag alter Name zeigt noch auf alte IP DNS-Cache oder alter Record Musterformulierung: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht korrekt aufgelöst wird. Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden. Merksatz: IP ja, Name nein: DNS. Signalwörter bei DHCP Signalwort oder Fehlerbild Bedeutung 169.254.x.x DHCP nicht erreicht keine gültige IP-Adresse DHCP, Kabel, WLAN oder VLAN prüfen falsches Gateway automatisch erhalten DHCP-Option falsch falscher DNS-Server automatisch erhalten DHCP-Option falsch nur ein VLAN betroffen DHCP-Relay oder VLAN prüfen Adresspool erschöpft DHCP-Scope voll Musterformulierung: Die Adresse 169.254.x.x liegt im APIPA-Bereich. Der Client hat wahrscheinlich keine gültige Adresse von einem DHCP-Server erhalten. DHCP-Server, VLAN, Scope und DHCP-Relay sollten geprüft werden. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. Signalwörter bei Gateway und Routing Signalwort oder Fehlerbild Bedeutung lokale Geräte erreichbar, Internet nicht Gateway, Routing, NAT oder Firewall Gateway fehlt keine Kommunikation in andere Netze Gateway außerhalb des Subnetzes Gateway lokal nicht erreichbar nur andere Netze nicht erreichbar Routing prüfen Rückantwort kommt nicht an Rückroute oder Firewall prüfen spezifische Ziele gehen, andere nicht Routing-Tabelle prüfen Musterformulierung: Wahrscheinlich ist das Standardgateway falsch oder fehlt, da lokale Ziele erreichbar sind, externe Netze jedoch nicht. Das Gateway muss im lokalen Subnetz des Clients liegen. Merksatz: Lokal ja, extern nein: Gateway prüfen. Signalwörter bei Firewall und Ports Signalwort oder Fehlerbild Bedeutung Host erreichbar, Dienst nicht Port, Dienst oder Firewall ping funktioniert, HTTPS nicht TCP 443, Webdienst oder Firewall Porttest schlägt fehl Firewall oder Dienst prüfen nach Regeländerung defekt Firewall-Regel prüfen nur ein Dienst betroffen Port oder Dienst prüfen Zugriff von intern geht, extern nicht NAT, Firewall oder DNS prüfen Musterformulierung: Da der Host erreichbar ist, aber der Dienst nicht funktioniert, sollten Port, Dienststatus und Firewall-Regeln geprüft werden. Merksatz: Host ja, Dienst nein: Port, Dienst, Firewall. Signalwörter bei VLAN und Switching Signalwort oder Fehlerbild Bedeutung nur ein Switchport betroffen Access-Port, VLAN oder Portstatus falsche IP im Clientnetz falsches VLAN oder DHCP-Scope mehrere VLANs auf Verbindung fehlen Trunk prüfen ein VLAN fehlt auf zweitem Switch VLAN auf Trunk nicht erlaubt Broadcast-Sturm Layer-2-Schleife, STP prüfen Gerät in falschem Netz VLAN-Zuordnung prüfen Musterformulierung: Wahrscheinlich ist der Switchport dem falschen VLAN zugeordnet. Dadurch erhält der Client eine falsche oder keine passende IP-Konfiguration. Access-Port, VLAN und DHCP-Scope sollten geprüft werden. Merksatz: Falsches VLAN führt oft zu falscher IP-Konfiguration. Signalwörter bei Authentifizierung Signalwort oder Fehlerbild Bedeutung Anmeldung fehlgeschlagen Authentifizierung Passwort falsch Authentifizierung Konto gesperrt Authentifizierung MFA-Code wird nicht akzeptiert MFA oder Zeitproblem Verzeichnisdienst nicht erreichbar AD, LDAP oder Netzwerk prüfen Kerberos-Fehler Zeit, Domäne oder Ticket prüfen Musterformulierung: Da bereits die Anmeldung fehlschlägt, liegt wahrscheinlich ein Authentifizierungsproblem vor. Konto, Passwort, MFA, Verzeichnisdienst und Systemzeit sollten geprüft werden. Merksatz: Anmeldung scheitert: Authentifizierung prüfen. Signalwörter bei Autorisierung und Rechten Signalwort oder Fehlerbild Bedeutung Zugriff verweigert Autorisierung oder Berechtigung Anmeldung funktioniert, Datei nicht Rechteproblem nur ein Benutzer betroffen Konto, Gruppe oder Rechte Gruppe fehlt Rollen- oder Gruppenmitgliedschaft Freigabe sichtbar, Datei nicht lesbar Dateisystemrechte prüfen Deny-Regel vorhanden verweigernde Regel beachten Musterformulierung: Da die Anmeldung funktioniert, der Zugriff auf die Ressource aber verweigert wird, liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor. Gruppenmitgliedschaft, Freigaberechte, Dateisystemrechte und ACLs sollten geprüft werden. Merksatz: Login ja, Zugriff nein: Rechte prüfen. Signalwörter bei Zertifikaten und TLS Signalwort oder Fehlerbild Bedeutung Zertifikatswarnung Zertifikat prüfen Zertifikat abgelaufen Ablaufdatum Name passt nicht CN oder SAN passt nicht zum Hostnamen Kette nicht vertrauenswürdig CA oder Zwischenzertifikat fehlt Fehler nur auf einem Client Truststore oder Uhrzeit prüfen plötzlich ungültig Ablauf, Erneuerung oder Zeitproblem Musterformulierung: Bei einer Zertifikatswarnung sollten Ablaufdatum, Hostname, Zertifikatskette und Systemzeit geprüft werden. Häufig ist das Zertifikat abgelaufen oder passt nicht zum verwendeten Namen. Merksatz: Zertifikatsfehler: Ablauf, Name, Kette, Zeit. Signalwörter bei Webfehlern Fehlerbild Bedeutung HTTP 200 erfolgreich HTTP 301 / 302 Weiterleitung HTTP 400 fehlerhafte Anfrage HTTP 401 nicht authentifiziert HTTP 403 verboten HTTP 404 nicht gefunden HTTP 500 interner Serverfehler HTTP 502 Gateway oder Backend-Fehler HTTP 503 Dienst nicht verfügbar HTTP 504 Gateway Timeout Musterformulierung: Ein HTTP-Statuscode aus dem 5xx-Bereich deutet eher auf ein serverseitiges Problem hin, zum Beispiel Anwendung, Backend, Gateway oder Serverkonfiguration. Merksatz: 4xx eher Client, Anfrage oder Rechte. 5xx eher Server, Anwendung oder Backend. Signalwörter bei Backup und Restore Signalwort oder Fehlerbild Bedeutung Backup vorhanden, Wiederherstellung geht nicht Restore-Test fehlt oder Backup defekt zu viel Datenverlust RPO nicht eingehalten Wiederherstellung dauert zu lange RTO nicht eingehalten Snapshot vorhanden nicht automatisch vollständiges Backup Replikat vorhanden Replikation ist kein Backup Datenbank beschädigt nach Restore kein konsistentes Backup verschlüsseltes Backup nicht nutzbar Schlüssel fehlt Ransomware verschlüsselt Backup Backup nicht offline oder immutable Musterformulierung: Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Replikation, Synchronisation und Snapshots ersetzen kein vollständiges Backup-Konzept. Merksatz: Backup ohne Restore-Test ist unsicher. Signalwörter bei Sicherheit Signalwort oder Fehlerbild Wahrscheinliches Thema Daten werden mitgelesen Vertraulichkeit Daten wurden verändert Integrität Dienst nicht erreichbar Verfügbarkeit Identität vorgetäuscht Authentizität, Spoofing viele Loginversuche Brute Force geleakte Passwörter genutzt Credential Stuffing ein Passwort gegen viele Konten Password Spraying gefälschte E-Mail Phishing oder Spoofing verschlüsselte Dateien Ransomware Dienst überlastet DoS oder DDoS Musterformulierung: Das betroffene Schutzziel ist Verfügbarkeit, da der Dienst nicht mehr nutzbar ist. Eine passende Maßnahme wäre DDoS-Schutz, Monitoring und ein Notfallkonzept. Merksatz: Sicherheitsfrage: Schutzziel, Risiko, Maßnahme. Signalwörter bei Malware und Ransomware Signalwort oder Fehlerbild Bedeutung Dateien verschlüsselt Ransomware Lösegeldforderung Ransomware Tastatureingaben mitgeschnitten Keylogger Daten werden ausgespäht Spyware Programm tarnt sich als nützlich Trojaner verbreitet sich selbstständig Wurm viele kompromittierte Geräte Botnet Schadsoftware tief versteckt Rootkit Musterformulierung: Ransomware beeinträchtigt vor allem die Verfügbarkeit, weil Daten nicht mehr nutzbar sind. Bei zusätzlichem Datenabfluss ist auch die Vertraulichkeit betroffen. Wichtige Maßnahmen sind Offline- oder Immutable-Backups, Segmentierung, Patchmanagement und Restore-Tests. Merksatz: Ransomware: Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit. Signalwörter bei Cloud Signalwort oder Fehlerbild Bedeutung virtuelle Maschine IaaS verwaltete Plattform PaaS fertige Anwendung im Browser SaaS mehrere Cloud-Anbieter Multi Cloud lokal plus Cloud Hybrid Cloud öffentliche Cloud eines Anbieters Public Cloud eigene Cloud für Organisation Private Cloud Wer ist verantwortlich? Shared Responsibility Zugriff auf Cloud-Ressourcen IAM Musterformulierung: Beim Shared-Responsibility-Modell schützt der Cloud-Anbieter die Cloud-Infrastruktur, während der Kunde für Daten, Identitäten, Zugriffsrechte und Konfigurationen verantwortlich bleibt. Merksatz: Cloud bedeutet geteilte Verantwortung. Signalwörter bei Change Management Signalwort oder Fehlerbild Bedeutung nach Update defekt Change prüfen Änderung nicht dokumentiert Change Management fehlt schnelle Notfalländerung Emergency Change wiederkehrende risikoarme Änderung Standard Change geplante Änderung mit Freigabe Normal Change Rückkehr zum alten Zustand Rollback Änderung außerhalb Arbeitszeit Wartungsfenster Auswirkungen vorab prüfen Risikobewertung Musterformulierung: Da der Fehler nach einer Änderung aufgetreten ist, sollte der Change geprüft werden. Wichtig sind Änderungsbeschreibung, Zeitpunkt, betroffene Systeme, Testplan und Rollback-Plan. Merksatz: Nach Änderung defekt: Change prüfen. Gute Musterformulierung: Fehlersuche Struktur: Ursache Begründung Prüfung Muster: Wahrscheinlich liegt ein DNS-Problem vor, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Der DNS-Server und der DNS-Eintrag sollten mit nslookup oder dig geprüft werden. Merksatz: Fehlerantwort: Ursache, Begründung, Prüfung. Gute Musterformulierung: Sicherheitsmaßnahme Struktur: Risiko Maßnahme Wirkung Muster: Das Risiko besteht im Missbrauch gestohlener Zugangsdaten. Als Maßnahme sollte MFA eingesetzt werden. Dadurch reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff aus. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Gute Musterformulierung: Vergleich Struktur: Gemeinsamkeit Unterschied Beispiel Muster: TCP und UDP sind Transportprotokolle. TCP ist verbindungsorientiert und zuverlässig, UDP ist verbindungslos und hat weniger Overhead. TCP wird zum Beispiel bei HTTPS genutzt, UDP häufig bei DNS oder VoIP. Merksatz: Vergleich: Gemeinsamkeit, Unterschied, Beispiel. Gute Musterformulierung: Bewertung Struktur: Einschätzung Risiko bessere Maßnahme Muster: Die Lösung ist kritisch, weil RDP direkt aus dem Internet erreichbar ist. Dadurch steigt das Risiko für Brute-Force-Angriffe und Exploits. Sicherer wäre ein Zugriff über VPN oder RDP-Gateway mit MFA und Protokollierung. Merksatz: Bewertung braucht eine fachliche Begründung. Gute Musterformulierung: Berechnung Struktur: Regel Rechenschritt Ergebnis Bedeutung Muster: Bei /26 gibt es 6 Hostbits. 2 hoch 6 ergibt 64 Adressen. Davon sind 62 nutzbar, weil Netzadresse und Broadcastadresse nicht für Hosts verwendet werden. Merksatz: Berechnung: Regel, Rechenschritt, Ergebnis, Bedeutung. Kurzformulierungen für häufige Antworten Thema Kurzformulierung DNS DNS löst Namen in IP-Adressen auf. DHCP DHCP verteilt IP-Konfiguration automatisch. Gateway Das Gateway verbindet den Client mit anderen Netzen. NAT NAT übersetzt IP-Adressen. PAT PAT nutzt zusätzlich Ports zur Zuordnung. VLAN VLAN trennt ein physisches Netz logisch. Routing Routing verbindet verschiedene IP-Netze. Firewall Eine Firewall filtert Verkehr anhand von Regeln. VPN VPN verschlüsselt eine Verbindung über unsichere Netze. MFA MFA verlangt mehr als einen Authentifizierungsfaktor. Backup Backup ist eine Sicherung zur späteren Wiederherstellung. Restore Restore ist die Wiederherstellung aus einem Backup. Merksatz: Kurzantworten müssen fachlich sauber sein. Antworten vermeiden Ungenaue Antworten: Das Internet geht nicht. Der Server ist kaputt. Vielleicht Firewall. Man muss es sicherer machen. Backup ist vorhanden, also ist alles sicher. VLAN macht alles sicher. Ping geht, also funktioniert der Dienst. Besser: Die IP-Kommunikation funktioniert, aber die Namensauflösung nicht. Daher sollte DNS geprüft werden. Der Host ist erreichbar, aber der Dienst auf TCP 443 nicht. Daher sollten Webdienst, Port und Firewall-Regeln geprüft werden. Merksatz: Keine Vermutungen ohne Bezug zum Fehlerbild. Gefragte Anzahl beachten Wenn die Aufgabe fragt: Nennen Sie zwei Maßnahmen. Dann genau zwei klare Maßnahmen nennen. Beispiel: 1. MFA aktivieren, damit gestohlene Passwörter allein nicht ausreichen. 2. Zugriff per Firewall auf VPN- oder feste Quell-IP-Adressen beschränken, damit der Dienst nicht breit aus dem Internet erreichbar ist. Merksatz: Gefragte Anzahl einhalten. Antwort bei mehreren möglichen Ursachen Wenn mehrere Ursachen möglich sind, die wahrscheinlichste anhand des Fehlerbilds nennen. Beispiel: IP funktioniert, Name nicht Nicht antworten: Firewall, Kabel, Server, Internet Besser: DNS ist am wahrscheinlichsten, da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Merksatz: Wahrscheinlichste Ursache aus dem Hinweis ableiten. Typische Prüfungsfallen Operator übersehen. Signalwort ignoriert. Fachbegriff falsch verwendet. DNS und DHCP verwechselt. Gateway und DNS verwechselt. Authentifizierung und Autorisierung verwechselt. RPO und RTO verwechselt. NAT und Firewall gleichgesetzt. Ping als Diensttest verstanden. Snapshot als Backup bezeichnet. Maßnahme ohne Wirkung genannt. Ursache ohne Begründung genannt. Rechenaufgabe ohne Einheit beantwortet. Merksatz: Viele Punktverluste entstehen durch ungenaue Formulierungen. Checkliste vor Abgabe Habe ich die Frage wirklich beantwortet? Habe ich den Operator beachtet? Habe ich die gefragte Anzahl eingehalten? Habe ich Fachbegriffe korrekt verwendet? Habe ich kurz begründet? Habe ich bei Fehlern eine Prüfung genannt? Habe ich bei Sicherheit eine Wirkung genannt? Habe ich bei Berechnung eine Einheit oder Bedeutung angegeben? Habe ich keine unnötigen Vermutungen geschrieben? Merksatz: Kurz, fachlich, begründet. Typische IHK-Fragen In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet der Operator „erklären“? - Warum ist bei Prüfungsaufgaben das Fehlerbild wichtig? - Wie erkennt man ein DNS-Problem? - Wie erkennt man ein DHCP-Problem? - Wie erkennt man ein Gateway-Problem? - Wie erkennt man ein Rechteproblem? - Wie erkennt man ein Authentifizierungsproblem? - Wie sollte eine Antwort zur Fehlersuche aufgebaut sein? - Wie sollte eine Antwort zu Sicherheitsmaßnahmen aufgebaut sein? - Warum reicht es nicht, nur „Firewall prüfen“ zu schreiben? - Warum muss eine Maßnahme zum Risiko passen? - Warum muss bei Berechnungen eine Einheit angegeben werden? IHK-sichere Kurzformulierung Prüfungs-Signalwörter helfen dabei, Fehlerbilder und Aufgabenstellungen schneller richtig einzuordnen. Wenn eine IP-Adresse erreichbar ist, ein Name aber nicht, liegt wahrscheinlich ein DNS-Problem vor. Eine Adresse aus 169.254.0.0/16 deutet auf ein DHCP-Problem hin. Wenn lokale Ziele erreichbar sind, externe Netze aber nicht, sind Gateway, Routing, NAT oder Firewall zu prüfen. Wenn eine Anmeldung funktioniert, der Zugriff aber verweigert wird, liegt wahrscheinlich ein Autorisierungs- oder Berechtigungsproblem vor. Gute Prüfungsantworten nennen die Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung oder Maßnahme. Bei Sicherheitsfragen sollten Risiko, Maßnahme und Wirkung verbunden werden. Merksätze Erst Aufgabe lesen, dann antworten. Operator beachten. Signalwort erkennen. Fehlerbild einordnen. Nennen heißt kurz. Erklären heißt Zusammenhang zeigen. Begründen heißt Warum nennen. Vergleichen heißt gegenüberstellen. Bewerten heißt fachlich einschätzen. Berechnen heißt mit Einheit arbeiten. IP ja, Name nein: DNS. 169.254.x.x: DHCP. Lokal ja, extern nein: Gateway, Routing, NAT, Firewall. Host ja, Dienst nein: Port, Dienst, Firewall. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. Zertifikatsfehler: Ablauf, Name, Kette, Zeit. Nach Update defekt: Change prüfen. Backup ohne Restore-Test ist unsicher. Fehlerantwort: Ursache, Begründung, Prüfung. Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Vergleich: Gemeinsamkeit, Unterschied, Beispiel. Bewertung: Einschätzung, Risiko, bessere Maßnahme. Berechnung: Regel, Ergebnis, Bedeutung. Gefragte Anzahl beachten. Fachbegriffe sauber verwenden. Keine Vermutungen ohne Bezug zum Fehlerbild. Kurz, fachlich, begründet. 20. TRAINER FÜR ALLE KAPITEL 20.1 Trainer – Grundlagen und OSI-Modell Diese Trainer-Seite wiederholt die Grundlagen der Netzwerktechnik, das OSI-Modell, das TCP/IP-Modell und die wichtigsten Begriffe zur Kommunikation im Netzwerk. Ziel ist nicht nur Auswendiglernen, sondern sicheres Zuordnen in typischen IHK-Aufgaben. Merksatz: OSI ist das Denkmodell. TCP/IP ist das Praxismodell. Die Fehlersuche erfolgt systematisch nach Schichten. Lernziele Nach dieser Seite solltest du sicher können: - die sieben OSI-Schichten nennen - OSI und TCP/IP unterscheiden - Protokolle passenden Schichten zuordnen - MAC-Adresse, IP-Adresse und Port unterscheiden - Kapselung erklären - typische Fehlerbilder einer Schicht zuordnen - Prüfungsfragen kurz und fachlich beantworten Kurzüberblick: OSI-Modell Schicht Name Hauptaufgabe 7 Anwendungsschicht Dienste für Anwendungen 6 Darstellungsschicht Datenformat, Codierung, Verschlüsselung 5 Sitzungsschicht Sitzungen verwalten 4 Transportschicht Ende-zu-Ende-Kommunikation, Ports 3 Vermittlungsschicht IP-Adressierung und Routing 2 Sicherungsschicht lokale Kommunikation über MAC-Adressen 1 Bitübertragungsschicht Bits als Signale übertragen Merksatz: Von unten nach oben: Signal, Frame, Paket, Segment, Sitzung, Darstellung, Anwendung. Kurzüberblick: TCP/IP-Modell TCP/IP-Schicht Entspricht grob OSI Beispiele Anwendung OSI 5 bis 7 HTTP, DNS, DHCP, SMTP Transport OSI 4 TCP, UDP Internet OSI 3 IP, ICMP Netzzugang OSI 1 bis 2 Ethernet, WLAN, MAC Merksatz: TCP/IP fasst OSI-Schichten zusammen. Aufgabe 1 Ordne die Begriffe der passenden OSI-Schicht zu: Begriff OSI-Schicht MAC-Adresse ? IP-Adresse ? Portnummer ? DNS ? Kabel ? Antwort anzeigen Begriff OSI-Schicht MAC-Adresse Schicht 2 IP-Adresse Schicht 3 Portnummer Schicht 4 DNS Schicht 7 Kabel Schicht 1 Merksatz: MAC = lokal. IP = logisch. Port = Dienst. DNS = Anwendung. Kabel = Signal. Aufgabe 2 Welche Aussage ist richtig? A: Ein Switch arbeitet hauptsächlich mit IP-Adressen. B: Ein Router arbeitet hauptsächlich mit MAC-Adressen. C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen. D: DNS gehört zur Bitübertragungsschicht. Antwort anzeigen Richtig ist: C: Ein Switch arbeitet hauptsächlich mit MAC-Adressen. Begründung: Ein Switch arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter. Aufgabe 3 Welche Aussage beschreibt das TCP/IP-Modell am besten? A: Es hat immer genau sieben Schichten. B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation. C: Es ersetzt IP-Adressen durch MAC-Adressen. D: Es wird nur für WLAN verwendet. Antwort anzeigen Richtig ist: B: Es ist ein praxisnahes Modell für reale Netzwerkkommunikation. Begründung: Das OSI-Modell ist ein theoretisches Referenzmodell mit sieben Schichten. Das TCP/IP-Modell ist praxisnäher und wird zur Beschreibung realer Internetkommunikation genutzt. Aufgabe 4 Ordne die TCP/IP-Schichten den OSI-Schichten zu. TCP/IP-Schicht OSI-Schichten Anwendung ? Transport ? Internet ? Netzzugang ? Antwort anzeigen TCP/IP-Schicht OSI-Schichten Anwendung OSI 5 bis 7 Transport OSI 4 Internet OSI 3 Netzzugang OSI 1 bis 2 Merksatz: TCP/IP-Anwendung umfasst OSI-Sitzung, Darstellung und Anwendung. Aufgabe 5 Ein Benutzer kann einen Server per IP-Adresse erreichen, aber nicht per Namen. Welches Thema ist am wahrscheinlichsten betroffen? Antwort anzeigen Wahrscheinlich betroffen: DNS Begründung: Wenn die IP-Adresse erreichbar ist, aber der Name nicht funktioniert, ist die Grundverbindung wahrscheinlich vorhanden. Das Problem liegt wahrscheinlich bei der Namensauflösung. IHK-sichere Antwort: Da die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird, sollte DNS geprüft werden. Aufgabe 6 Ein Client hat die Adresse: 169.254.12.34 Was bedeutet das typischerweise? Antwort anzeigen Das ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige IP-Adresse von einem DHCP-Server erhalten. Typische Ursachen: DHCP-Server nicht erreichbar falsches VLAN DHCP-Scope erschöpft DHCP-Relay fehlt Netzwerkverbindung fehlerhaft Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. Aufgabe 7 Ein Client erreicht Geräte im eigenen Netz, aber keine Ziele im Internet. Was sollte zuerst geprüft werden? Antwort anzeigen Zuerst prüfen: Standardgateway Weitere mögliche Ursachen: Routing NAT Firewall DNS bei Zugriff über Namen Begründung: Wenn lokale Kommunikation funktioniert, aber externe Netze nicht erreichbar sind, fehlt häufig der Weg aus dem eigenen Netz. Merksatz: Lokal ja, extern nein: Gateway prüfen. Aufgabe 8 Was bedeutet Kapselung? Antwort anzeigen Kapselung bedeutet: Beim Senden werden Daten von Schicht zu Schicht weitergegeben und jede Schicht ergänzt eigene Steuerinformationen. Beispiel: Anwendungsdaten werden zu TCP-Segmenten, IP-Paketen, Ethernet-Frames und schließlich Bits. IHK-sichere Kurzformulierung: Kapselung beschreibt das Verpacken von Daten durch die einzelnen Netzwerkschichten. Jede Schicht ergänzt eigene Informationen, die für die Kommunikation auf dieser Schicht benötigt werden. Aufgabe 9 Bringe die PDU-Begriffe in die richtige Reihenfolge von oben nach unten. Bits Paket Daten Frame Segment Antwort anzeigen Richtige Reihenfolge von oben nach unten: Daten Segment Paket Frame Bits Zuordnung: Schicht PDU Anwendung Daten Transport Segment oder Datagramm Vermittlung Paket Sicherung Frame Bitübertragung Bits Aufgabe 10 Welche OSI-Schicht ist betroffen, wenn ein Netzwerkkabel defekt ist? Antwort anzeigen Betroffen ist: OSI-Schicht 1 Begründung: Ein defektes Kabel betrifft die physische Signalübertragung. Merksatz: Kabel, Stecker, Funk und Signal gehören zu Schicht 1. Aufgabe 11 Welche OSI-Schicht ist betroffen, wenn ein Gerät im falschen VLAN ist? Antwort anzeigen Betroffen ist hauptsächlich: OSI-Schicht 2 Begründung: VLANs trennen Netzbereiche auf Layer 2. Ein falsches VLAN kann dazu führen, dass ein Gerät im falschen Broadcast-Bereich landet oder eine falsche IP-Konfiguration erhält. Aufgabe 12 Welche OSI-Schicht ist betroffen, wenn die Subnetzmaske falsch ist? Antwort anzeigen Betroffen ist: OSI-Schicht 3 Begründung: IP-Adresse, Subnetzmaske, Gateway und Routing gehören zur Vermittlungsschicht. Merksatz: IP-Konfiguration ist Schicht 3. Aufgabe 13 Welche OSI-Schicht ist betroffen, wenn TCP 443 durch eine Firewall blockiert wird? Antwort anzeigen Betroffen ist mindestens: OSI-Schicht 4 Begründung: TCP und Ports gehören zur Transportschicht. TCP 443 ist der typische Port für HTTPS. Wichtig: Eine Firewall kann je nach Funktion auch auf mehreren Schichten arbeiten. Aufgabe 14 Welche OSI-Schicht ist betroffen, wenn ein TLS-Zertifikat abgelaufen ist? Antwort anzeigen Betroffen ist hauptsächlich: OSI-Schicht 6 Begründung: TLS, Zertifikate Verschlüsselung und Darstellung gehören zur Darstellungsschicht. Merksatz: Zertifikatsfehler: Schicht 6. Aufgabe 15 Welche OSI-Schicht ist betroffen, wenn ein Webserver HTTP 500 zurückgibt? Antwort anzeigen Betroffen ist hauptsächlich: OSI-Schicht 7 Begründung: HTTP ist ein Anwendungsprotokoll. Ein HTTP-500-Fehler deutet auf einen serverseitigen Anwendungsfehler hin. Merksatz: HTTP-Statuscodes gehören zur Anwendungsschicht. Aufgabe 16 Welche Aussage zu ping ist richtig? A: ping prüft immer, ob eine Webseite funktioniert. B: ping prüft ICMP-Erreichbarkeit. C: ping prüft, ob TCP 443 offen ist. D: ping ersetzt einen DNS-Test. Antwort anzeigen Richtig ist: B: ping prüft ICMP-Erreichbarkeit. Begründung: ping nutzt ICMP. Ein erfolgreicher ping bedeutet nicht automatisch, dass ein bestimmter Dienst wie HTTPS, SSH oder SMB funktioniert. Merksatz: ping ist kein Diensttest. Aufgabe 17 Was ist der Unterschied zwischen Authentifizierung und Autorisierung? Antwort anzeigen Authentifizierung: Prüfung der Identität. Beispiel: Benutzer meldet sich mit Passwort und MFA an. Autorisierung: Prüfung der Berechtigung. Beispiel: Benutzer darf eine Datei lesen oder nicht. Merksatz: Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Aufgabe 18 Ein Benutzer kann sich anmelden, aber nicht auf eine Datei zugreifen. Was ist wahrscheinlicher: Authentifizierungsproblem oder Autorisierungsproblem? Antwort anzeigen Wahrscheinlicher ist: Autorisierungsproblem Begründung: Die Anmeldung funktioniert bereits. Das Problem liegt daher wahrscheinlich bei Berechtigungen, Gruppen, ACLs, Freigaberechten oder Dateisystemrechten. Merksatz: Login ja, Zugriff nein: Rechte prüfen. Aufgabe 19 Was ist der Unterschied zwischen TCP und UDP? Antwort anzeigen TCP: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher mehr Overhead UDP: verbindungslos schneller weniger Overhead keine eingebaute Zustellgarantie Beispiele: TCP UDP HTTPS DNS SSH DHCP SMTP VoIP SMB NTP Merksatz: TCP = zuverlässig. UDP = schnell und schlank. Aufgabe 20 Was macht ARP? Antwort anzeigen ARP steht für: Address Resolution Protocol Aufgabe: ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Beispiel: Ein Client möchte sein Gateway erreichen. Dafür benötigt er die MAC-Adresse des Gateways. Diese ermittelt er mit ARP. Merksatz: ARP findet MAC-Adressen im lokalen IPv4-Netz. Aufgabe 21 Ein Host möchte ein Ziel außerhalb des eigenen Subnetzes erreichen. Welche MAC-Adresse wird im lokalen Ethernet-Frame verwendet? Antwort anzeigen Verwendet wird: die MAC-Adresse des Standardgateways Begründung: Das IP-Ziel bleibt der entfernte Zielhost. Aber lokal wird das Frame an den nächsten Hop gesendet, also an das Gateway. Merksatz: IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. Aufgabe 22 Was ist der Unterschied zwischen Switch und Router? Antwort anzeigen Switch: arbeitet hauptsächlich auf Schicht 2 leitet Frames anhand von MAC-Adressen weiter verbindet Geräte im lokalen Netz Router: arbeitet auf Schicht 3 leitet Pakete anhand von IP-Adressen weiter verbindet unterschiedliche IP-Netze Merksatz: Switch verbindet lokal. Router verbindet Netze. Aufgabe 23 Was ist der Unterschied zwischen VLAN und Subnetz? Antwort anzeigen VLAN: logische Trennung auf Schicht 2 Subnetz: logische IP-Aufteilung auf Schicht 3 Wichtig: In der Praxis wird einem VLAN häufig ein eigenes IP-Subnetz zugeordnet. Fachlich sind VLAN und Subnetz aber nicht dasselbe. Merksatz: VLAN = Layer 2. Subnetz = Layer 3. Aufgabe 24 Warum braucht man Inter-VLAN-Routing? Antwort anzeigen VLANs sind voneinander getrennte Layer-2-Bereiche. Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können, braucht man Routing zwischen diesen Netzen. Das nennt man: Inter-VLAN-Routing Möglich über: Router Layer-3-Switch Firewall Merksatz: VLANs trennen. Routing verbindet gezielt. Aufgabe 25 Was ist der Unterschied zwischen NAT und Firewall? Antwort anzeigen NAT: übersetzt IP-Adressen Firewall: erlaubt oder blockiert Verkehr anhand von Regeln Wichtig: Viele Geräte kombinieren NAT und Firewall. Fachlich bleiben es unterschiedliche Funktionen. Merksatz: NAT übersetzt. Firewall filtert. Aufgabe 26 Was ist PAT? Antwort anzeigen PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden, um viele interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden. Merksatz: PAT nutzt Ports zur Zuordnung mehrerer Verbindungen. Aufgabe 27 Warum ist eine Any-to-Any-Firewall-Regel kritisch? Antwort anzeigen Any-to-Any ist kritisch, weil dadurch jede Quelle zu jedem Ziel kommunizieren darf. Risiken: große Angriffsfläche schlechte Nachvollziehbarkeit Umgehung von Sicherheitszonen unnötige Freigaben Besser: genaue Regeln mit Quelle, Ziel, Port, Protokoll und Zweck. Merksatz: Firewall-Regeln so genau wie möglich formulieren. Aufgabe 28 Was bedeutet Default Deny? Antwort anzeigen Default Deny bedeutet: Standardmäßig ist Verkehr verboten. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteil: bessere Kontrolle kleinere Angriffsfläche weniger ungewollte Freigaben Merksatz: Erst blockieren, dann gezielt erlauben. Aufgabe 29 Was ist der Unterschied zwischen RPO und RTO? Antwort anzeigen RPO: Recovery Point Objective maximal akzeptabler Datenverlust RTO: Recovery Time Objective maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung. Aufgabe 30 Warum ersetzt ein Snapshot kein Backup? Antwort anzeigen Ein Snapshot ersetzt kein Backup, weil er oft auf demselben Speicher oder System liegt wie die Produktivdaten. Risiken: Speicherdefekt betrifft Snapshot ebenfalls Ransomware kann Snapshot erreichen Snapshot kann gelöscht werden Speicherplatz kann volllaufen Merksatz: Snapshot ist Momentaufnahme, aber kein vollständiges Backup-Konzept. Aufgabe 31 Ordne die Angriffe dem passenden Schutzziel zu. Angriff Schutzziel DDoS ? Datenabfluss ? Manipulation einer Konfigurationsdatei ? Ransomware ? Antwort anzeigen Angriff Schutzziel DDoS Verfügbarkeit Datenabfluss Vertraulichkeit Manipulation einer Konfigurationsdatei Integrität Ransomware Verfügbarkeit, bei Datenabfluss auch Vertraulichkeit Merksatz: Erst Schutzziel erkennen, dann Maßnahme auswählen. Aufgabe 32 Was ist der Unterschied zwischen IDS und IPS? Antwort anzeigen IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS blockiert. Aufgabe 33 Was bedeutet Least Privilege? Antwort anzeigen Least Privilege bedeutet: Benutzer, Dienste und Prozesse erhalten nur die Rechte, die sie für ihre Aufgabe wirklich benötigen. Ziel: Schaden bei Fehlern oder Angriffen begrenzen. Merksatz: So wenig Rechte wie möglich, so viele wie nötig. Aufgabe 34 Was bedeutet MFA? Antwort anzeigen MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Beispiele: Wissen: Passwort Besitz: Smartphone, Token, Smartcard Sein: biometrisches Merkmal Merksatz: MFA sorgt dafür, dass ein Passwort allein nicht reicht. Aufgabe 35 Was ist der Unterschied zwischen Brute Force, Password Spraying und Credential Stuffing? Antwort anzeigen Brute Force: viele Passwortversuche gegen ein Konto oder Ziel Password Spraying: ein häufiges Passwort gegen viele Konten Credential Stuffing: bereits geleakte Zugangsdaten werden bei anderen Diensten getestet Merksatz: Brute Force: viele Versuche. Password Spraying: ein Passwort, viele Konten. Credential Stuffing: geleakte Zugangsdaten. Aufgabe 36 Was bedeutet Hardening? Antwort anzeigen Hardening bedeutet: ein System sicherer zu konfigurieren, indem unnötige Funktionen deaktiviert und Angriffsflächen reduziert werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern unsichere Protokolle abschalten Rechte begrenzen Logging aktivieren Updates einspielen Merksatz: Hardening verringert die Angriffsfläche. Aufgabe 37 Was ist der Unterschied zwischen IaaS, PaaS und SaaS? Antwort anzeigen IaaS: Infrastructure as a Service virtuelle Infrastruktur, zum Beispiel virtuelle Maschinen, Netzwerk und Speicher PaaS: Platform as a Service verwaltete Plattform für Anwendungen SaaS: Software as a Service fertige Anwendung aus der Cloud Merksatz: IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software. Aufgabe 38 Was bedeutet Shared Responsibility in der Cloud? Antwort anzeigen Shared Responsibility bedeutet: Cloud-Anbieter und Kunde teilen sich die Verantwortung. Typisch: Anbieter schützt die Cloud-Infrastruktur. Kunde schützt Daten, Identitäten, Zugriffsrechte, Konfigurationen und Anwendungen je nach Modell. Merksatz: Cloud bedeutet geteilte Verantwortung. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Ein Client erreicht die Webseite per IP-Adresse, aber nicht per Namen. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Internet kaputt. Antwort B: Wahrscheinlich liegt ein DNS-Problem vor, weil die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt eine wahrscheinliche Ursache und begründet sie mit dem Fehlerbild. Merksatz: Ursache, Begründung, Prüfung. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? Antwort A: Weil das nicht gut ist. Antwort B: RDP ist ein häufiges Angriffsziel für Brute-Force-Angriffe und Exploits. Sicherer ist der Zugriff über VPN oder RDP-Gateway mit MFA und Firewall-Beschränkung. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt ein konkretes Risiko und passende Schutzmaßnahmen. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Mini-Prüfung: 10 schnelle Zuordnungen Frage Antwort DNS gehört zu welcher OSI-Schicht? Schicht 7 TCP gehört zu welcher OSI-Schicht? Schicht 4 IP gehört zu welcher OSI-Schicht? Schicht 3 MAC gehört zu welcher OSI-Schicht? Schicht 2 Kabel gehört zu welcher OSI-Schicht? Schicht 1 HTTPS nutzt typischerweise welchen Port? TCP 443 SSH nutzt typischerweise welchen Port? TCP 22 SMB nutzt typischerweise welchen Port? TCP 445 DHCP nutzt welche Ports? UDP 67 und 68 DNS nutzt welchen Port? UDP/TCP 53 Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema IP geht, Name nicht DNS 169.254.x.x DHCP lokal geht, extern nicht Gateway, Routing, NAT oder Firewall Host erreichbar, Dienst nicht Port, Dienst oder Firewall Login geht, Zugriff nicht Autorisierung / Rechte Anmeldung scheitert Authentifizierung Zertifikatswarnung TLS/Zertifikat nach Update defekt Change prüfen Daten verschlüsselt und Lösegeldforderung Ransomware sehr viele Loginversuche Brute Force IHK-sichere Kurzformulierung Das OSI-Modell hilft, Netzwerkkommunikation und Fehler systematisch einzuordnen. Schicht 1 betrifft Signale und Medien, Schicht 2 lokale Kommunikation mit MAC-Adressen, Schicht 3 IP-Adressierung und Routing, Schicht 4 Transport mit TCP, UDP und Ports und Schicht 7 Anwendungsprotokolle wie DNS, DHCP und HTTP. Das TCP/IP-Modell ist praxisnäher und fasst mehrere OSI-Schichten zusammen. Bei der Fehlersuche sollte man Fehlerbilder auswerten: IP erreichbar, Name nicht deutet auf DNS hin; 169.254.x.x deutet auf DHCP hin; lokal erreichbar, extern nicht deutet auf Gateway, Routing, NAT oder Firewall hin. Gute Prüfungsantworten nennen Ursache, Begründung und passende Prüfung oder Maßnahme. Merksätze OSI ist das Denkmodell. TCP/IP ist das Praxismodell. Schicht 1: Signal. Schicht 2: MAC und VLAN. Schicht 3: IP und Routing. Schicht 4: TCP, UDP und Ports. Schicht 7: Dienste und Anwendungen. MAC ist lokal. IP ist logisch. Port ist Dienstzuordnung. DNS löst Namen auf. DHCP verteilt IP-Konfiguration. Gateway führt in andere Netze. NAT übersetzt Adressen. Firewall filtert Verkehr. ping prüft ICMP, nicht den Dienst. IP ja, Name nein: DNS. 169.254.x.x: DHCP. Lokal ja, extern nein: Gateway prüfen. Host ja, Dienst nein: Port prüfen. Login ja, Zugriff nein: Rechte prüfen. TCP ist zuverlässig. UDP ist schnell und verbindungslos. ARP löst IPv4 zu MAC auf. VLAN trennt logisch. Routing verbindet Netze. Backup ohne Restore-Test ist unsicher. RPO ist Datenverlust. RTO ist Wiederherstellungszeit. IDS meldet. IPS blockiert. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. Hardening reduziert Angriffsfläche. Gute Prüfungsantwort: Ursache, Begründung, Prüfung. 20.2 Trainer – Schicht 1 / Übertragungsmedien, Verkabelung Diese Trainer-Seite wiederholt Übertragungsmedien, Verkabelung, Signalqualität und die OSI-Schicht 1. Ziel ist, typische Prüfungsfragen zu Kabeln, LWL, WLAN, Dämpfung, Duplex, Auto-Negotiation und physikalischer Fehlersuche sicher zu beantworten. Merksatz: Schicht 1 fragt: Kommt überhaupt ein Signal an? Lernziele Nach dieser Seite solltest du sicher können: - Kupfer, LWL und WLAN unterscheiden - Koaxialkabel, Twisted Pair und Glasfaser einordnen - Dämpfung erklären - Duplex und Auto-Negotiation erklären - typische Schicht-1-Fehler erkennen - passende Prüfmaßnahmen nennen - Übertragungsmedien nach Einsatzzweck auswählen Kurzüberblick: Übertragungsmedien Medium Signalart Typische Nutzung Twisted Pair elektrisch LAN-Verkabelung Koaxialkabel elektrisch ältere Netze, Kabelanschluss, Antennentechnik Lichtwellenleiter optisch hohe Bandbreite, lange Strecken WLAN Funk drahtlose Netzwerkverbindung Merksatz: Kupfer überträgt elektrisch. LWL überträgt optisch. WLAN überträgt per Funk. Kurzüberblick: OSI-Schicht 1 OSI-Schicht 1 heißt: Bitübertragungsschicht Aufgabe: Bits als Signale übertragen. Typische Themen: Kabel Stecker Funk Licht elektrische Signale Dämpfung Störungen Link Geschwindigkeit Duplex Auto-Negotiation Merksatz: Schicht 1 kümmert sich um die physische Übertragung. Aufgabe 1 Welche OSI-Schicht ist betroffen, wenn ein Netzwerkkabel defekt ist? Antwort anzeigen Betroffen ist: OSI-Schicht 1 Begründung: Ein defektes Kabel betrifft die physische Signalübertragung. Kabel, Stecker, Funk, Licht und elektrische Signale gehören zur Bitübertragungsschicht. Merksatz: Kabelproblem = Schicht 1. Aufgabe 2 Ordne die Medien der richtigen Signalart zu. Medium Signalart Twisted Pair ? Lichtwellenleiter ? WLAN ? Koaxialkabel ? Antwort anzeigen Medium Signalart Twisted Pair elektrisch Lichtwellenleiter optisch WLAN Funk Koaxialkabel elektrisch Merksatz: Kupfer elektrisch, Glasfaser optisch, WLAN Funk. Aufgabe 3 Was ist Twisted-Pair-Kabel? Antwort anzeigen Twisted-Pair-Kabel ist ein Kupferkabel, bei dem Adernpaare miteinander verdrillt sind. Ziel der Verdrillung: Störungen reduzieren Übersprechen verringern Signalqualität verbessern Typische Nutzung: Ethernet-LAN Merksatz: Twisted Pair = verdrillte Kupferadern für LAN. Aufgabe 4 Warum sind die Adernpaare bei Twisted-Pair-Kabeln verdrillt? Antwort anzeigen Die Adernpaare sind verdrillt, um elektromagnetische Störungen und Übersprechen zu reduzieren. Dadurch wird die Signalqualität verbessert. Merksatz: Verdrillung schützt vor Störungen. Aufgabe 5 Welche Aussage ist richtig? A: LWL überträgt Daten elektrisch. B: Twisted Pair überträgt Daten optisch. C: LWL überträgt Daten mit Licht. D: WLAN nutzt MAC-Adressen nicht. Antwort anzeigen Richtig ist: C: LWL überträgt Daten mit Licht. Begründung: Lichtwellenleiter übertragen Signale optisch und eignen sich besonders für hohe Bandbreiten und lange Strecken. Aufgabe 6 Nenne zwei Vorteile von Lichtwellenleitern gegenüber Kupferkabeln. Antwort anzeigen Mögliche Vorteile: hohe Bandbreite große Reichweite unempfindlicher gegen elektromagnetische Störungen galvanische Trennung schwerer unbemerkt abzuhören als Kupfer IHK-sichere Antwort: Lichtwellenleiter ermöglichen hohe Übertragungsraten über lange Strecken und sind unempfindlich gegenüber elektromagnetischen Störungen. Aufgabe 7 Nenne zwei Nachteile von Lichtwellenleitern. Antwort anzeigen Mögliche Nachteile: empfindlicher gegenüber Knicken aufwendigere Montage spezielle Spleiß- oder Stecktechnik nötig oft teurere aktive Komponenten Verschmutzung an Steckern kann Probleme verursachen Merksatz: LWL ist leistungsfähig, aber empfindlich bei Montage und Handhabung. Aufgabe 8 Was ist Dämpfung? Antwort anzeigen Dämpfung bedeutet: Das Signal wird auf dem Übertragungsweg schwächer. Ursachen: Kabellänge schlechte Stecker Knicke schlechte Spleiße Störungen minderwertiges Kabel Verschmutzung bei LWL Merksatz: Dämpfung = Signalverlust auf dem Weg. Aufgabe 9 Welche Folge kann zu hohe Dämpfung haben? Antwort anzeigen Mögliche Folgen: Verbindungsabbrüche Paketverluste geringere Übertragungsrate instabile Verbindung kein Link hohe Fehlerrate Merksatz: Zu viel Dämpfung macht Verbindungen langsam, instabil oder unmöglich. Aufgabe 10 Was bedeutet „Link“ bei einer Netzwerkschnittstelle? Antwort anzeigen Link bedeutet: Die physische Verbindung zwischen zwei Netzwerkkomponenten ist erkannt. Beispiel: Netzwerkkarte und Switchport erkennen, dass eine Verbindung besteht. Wichtig: Link vorhanden heißt nicht automatisch, dass IP, DNS oder Anwendung funktionieren. Merksatz: Link bedeutet physische Verbindung, nicht vollständige Netzwerkfunktion. Aufgabe 11 Ein Switchport zeigt keinen Link. Nenne vier mögliche Ursachen. Antwort anzeigen Mögliche Ursachen: Kabel defekt Stecker nicht richtig eingesteckt falscher Port Netzwerkkarte deaktiviert Switchport deaktiviert Gegenstelle ausgeschaltet falsches oder beschädigtes Patchkabel SFP-Modul defekt LWL-Stecker verschmutzt Merksatz: Kein Link: zuerst Schicht 1 prüfen. Aufgabe 12 Was bedeutet Half-Duplex? Antwort anzeigen Half-Duplex bedeutet: Ein Gerät kann senden oder empfangen, aber nicht gleichzeitig beides. Beispiel: Funkgerät-Prinzip: Einer spricht, der andere hört. Merksatz: Half-Duplex = nicht gleichzeitig senden und empfangen. Aufgabe 13 Was bedeutet Full-Duplex? Antwort anzeigen Full-Duplex bedeutet: Ein Gerät kann gleichzeitig senden und empfangen. Typisch bei: modernen Ethernet-Verbindungen über Switches Merksatz: Full-Duplex = gleichzeitig senden und empfangen. Aufgabe 14 Warum ist ein Duplex-Mismatch problematisch? Antwort anzeigen Ein Duplex-Mismatch entsteht, wenn eine Seite Full-Duplex und die andere Seite Half-Duplex verwendet. Folgen: schlechte Performance Kollisionen Paketverluste viele Fehler auf dem Interface langsame oder instabile Verbindung Merksatz: Duplex-Mismatch verursacht oft schwer erkennbare Performance-Probleme. Aufgabe 15 Was bedeutet Auto-Negotiation? Antwort anzeigen Auto-Negotiation bedeutet: Netzwerkgeräte handeln automatisch Geschwindigkeit und Duplexmodus aus. Beispiel: 1 Gbit/s Full-Duplex Vorteil: weniger manuelle Konfiguration Problem: Fehlkonfiguration oder alte Geräte können falsche Werte aushandeln. Merksatz: Auto-Negotiation handelt Geschwindigkeit und Duplex aus. Aufgabe 16 Welche Angaben gehören typischerweise zu einer Schicht-1-Prüfung? Antwort anzeigen Typische Prüfungen: Kabel korrekt gesteckt? Link vorhanden? Port aktiv? Gegenstelle eingeschaltet? richtige Geschwindigkeit? richtiger Duplexmodus? Kabel beschädigt? Stecker beschädigt? LWL sauber? WLAN-Signal ausreichend? Merksatz: Schicht 1 prüft Medium, Signal und Verbindung. Aufgabe 17 Was ist der Unterschied zwischen einem Hub und einem Switch? Antwort anzeigen Hub: arbeitet vereinfacht auf Schicht 1 sendet eingehende Bits an alle Ports weiter keine MAC-Adresstabelle gemeinsame Kollisionsdomäne Switch: arbeitet hauptsächlich auf Schicht 2 lernt MAC-Adressen leitet Frames gezielt weiter Merksatz: Hub verteilt blind. Switch leitet gezielt. Aufgabe 18 Was ist ein Repeater? Antwort anzeigen Ein Repeater verstärkt oder regeneriert Signale, damit sie über größere Strecken übertragen werden können. Typische Schicht: OSI-Schicht 1 Merksatz: Repeater verlängert physische Signalübertragung. Aufgabe 19 Was ist ein Medienkonverter? Antwort anzeigen Ein Medienkonverter verbindet unterschiedliche Übertragungsmedien. Beispiel: Kupfer-Ethernet zu Glasfaser Typischer Einsatz: Übergang von Twisted Pair auf LWL Merksatz: Medienkonverter verbindet Kupfer und LWL. Aufgabe 20 Was ist ein SFP-Modul? Antwort anzeigen SFP steht für: Small Form-factor Pluggable Ein SFP-Modul ist ein steckbares Transceiver-Modul, zum Beispiel für Glasfaser- oder Kupferverbindungen. Typische Nutzung: Switches Router Firewalls Servernetzwerkkarten Merksatz: SFP ist ein steckbares Modul für Netzwerkverbindungen. Aufgabe 21 Warum kann ein verschmutzter LWL-Stecker Probleme verursachen? Antwort anzeigen Ein verschmutzter LWL-Stecker kann das Lichtsignal dämpfen oder stören. Folgen: hohe Fehlerrate instabile Verbindung niedrige Signalqualität kein Link Merksatz: LWL-Stecker müssen sauber sein, weil Licht präzise übertragen wird. Aufgabe 22 Was ist der Unterschied zwischen Singlemode und Multimode bei LWL? Antwort anzeigen Singlemode: für sehr lange Strecken geeignet kleiner Faserkern meist Laserlicht Multimode: eher für kürzere Strecken im Gebäude oder Rechenzentrum größerer Faserkern meist kürzere Reichweite als Singlemode Merksatz: Singlemode für lange Strecken. Multimode für kürzere Strecken. Aufgabe 23 Welche Aussage ist richtig? A: Multimode ist immer besser als Singlemode. B: Singlemode eignet sich eher für lange Strecken. C: LWL ist stärker von elektromagnetischen Störungen betroffen als Kupfer. D: LWL nutzt elektrische Signale. Antwort anzeigen Richtig ist: B: Singlemode eignet sich eher für lange Strecken. Begründung: Singlemode-LWL wird typischerweise für größere Entfernungen verwendet, während Multimode häufig für kürzere Strecken genutzt wird. Aufgabe 24 Was bedeutet strukturierte Verkabelung? Antwort anzeigen Strukturierte Verkabelung bedeutet: eine geplante, normierte und dokumentierte Verkabelungsstruktur in Gebäuden oder Standorten. Typische Bereiche: Primärbereich: Standort- oder Gebäudeanbindung Sekundärbereich: Steigbereich zwischen Etagen Tertiärbereich: Etagenverkabelung bis zum Arbeitsplatz Merksatz: Strukturierte Verkabelung sorgt für Ordnung, Erweiterbarkeit und Wartbarkeit. Aufgabe 25 Ordne die Bereiche der strukturierten Verkabelung zu. Bereich Bedeutung Primärbereich ? Sekundärbereich ? Tertiärbereich ? Antwort anzeigen Bereich Bedeutung Primärbereich Standort- oder Gebäudeanbindung Sekundärbereich Steigbereich zwischen Etagen Tertiärbereich Etagenverkabelung bis zum Arbeitsplatz Merksatz: Primär weit, Sekundär Etagen, Tertiär Arbeitsplatz. Aufgabe 26 Was ist ein Patchpanel? Antwort anzeigen Ein Patchpanel ist ein Verteilerfeld, an dem feste Gebäudeverkabelung endet. Von dort werden Verbindungen mit Patchkabeln zum Switch hergestellt. Vorteil: übersichtliche Verkabelung einfache Änderungen bessere Dokumentation Merksatz: Patchpanel verbindet feste Verkabelung mit flexibler Patchung. Aufgabe 27 Was ist der Unterschied zwischen Installationskabel und Patchkabel? Antwort anzeigen Installationskabel: fest verlegt meist in Wänden, Kabelkanälen oder Gebäudestruktur Patchkabel: flexible kurze Verbindung zum Beispiel zwischen Patchpanel und Switch oder zwischen Netzwerkdose und Endgerät Merksatz: Installationskabel fest. Patchkabel flexibel. Aufgabe 28 Was ist WLAN als Übertragungsmedium? Antwort anzeigen WLAN ist ein drahtloses Übertragungsmedium. Es nutzt Funkwellen, um Daten zwischen Endgeräten und Access Points zu übertragen. Typische Vorteile: Mobilität flexible Nutzung weniger Kabelbedarf Typische Nachteile: Störungen geteiltes Medium Reichweitenbegrenzung Sicherheitsrisiken bei falscher Konfiguration Merksatz: WLAN ist flexibel, aber störanfälliger als Kabel. Aufgabe 29 Warum ist WLAN ein geteiltes Medium? Antwort anzeigen WLAN ist ein geteiltes Medium, weil mehrere Geräte denselben Funkkanal verwenden können. Folge: Geräte müssen sich die verfügbare Funkzeit teilen. Dadurch können entstehen: geringere Datenrate pro Gerät höhere Latenz Kollisionen oder Wartezeiten Leistungseinbruch bei vielen Clients Merksatz: WLAN-Bandbreite wird geteilt. Aufgabe 30 Nenne vier typische Ursachen für schlechtes WLAN. Antwort anzeigen Mögliche Ursachen: zu große Entfernung zum Access Point Wände oder Hindernisse Störungen durch andere Funknetze zu viele Clients falscher Kanal schlechte Access-Point-Position alte WLAN-Standards schlechte Antennenausrichtung zu hohe oder zu niedrige Sendeleistung Merksatz: WLAN-Probleme hängen oft mit Signal, Störung, Kanal und Auslastung zusammen. Aufgabe 31 Was bedeutet MIMO? Antwort anzeigen MIMO steht für: Multiple Input Multiple Output Bedeutung: Mehrere Antennen werden genutzt, um Datenübertragung zu verbessern. Vorteile: höhere Datenrate bessere Funkleistung bessere Ausnutzung des Funkkanals Merksatz: MIMO nutzt mehrere Antennen. Aufgabe 32 Was ist der Unterschied zwischen MIMO und MU-MIMO? Antwort anzeigen MIMO: mehrere Antennen für bessere Übertragung MU-MIMO: Multi User MIMO Access Point kann mehrere Clients effizienter gleichzeitig bedienen Merksatz: MU-MIMO verbessert die Bedienung mehrerer Nutzer. Aufgabe 33 Was ist EIRP? Antwort anzeigen EIRP steht für: Equivalent Isotropically Radiated Power Bedeutung: effektive abgestrahlte Sendeleistung bezogen auf einen isotropen Strahler. Wichtig bei WLAN: gesetzliche Grenzwerte Antennengewinn Sendeleistung Merksatz: EIRP beschreibt die wirksame abgestrahlte Leistung. Aufgabe 34 Was bedeutet dB oder Dezibel? Antwort anzeigen Dezibel ist eine logarithmische Einheit, mit der Verhältnisse beschrieben werden. In Netzwerken und Funktechnik wird dB genutzt für: Dämpfung Verstärkung Antennengewinn Signalpegel Merksatz: dB beschreibt Verhältnisse, nicht einfach normale lineare Werte. Aufgabe 35 Welche Aussage zu WLAN-Sicherheit ist richtig? A: Ein versteckter WLAN-Name ersetzt Verschlüsselung. B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN. C: MAC-Filter allein ist eine starke Sicherheitsmaßnahme. D: Gäste sollten immer im internen VLAN sein. Antwort anzeigen Richtig ist: B: WPA2 oder WPA3 schützt WLAN besser als offenes WLAN. Begründung: WLAN sollte verschlüsselt und sicher authentifiziert werden. Gäste sollten getrennt vom internen Netz betrieben werden. Merksatz: WLAN-Sicherheit braucht Verschlüsselung, starke Zugangsdaten und Netztrennung. Aufgabe 36 Warum sollte ein Gast-WLAN getrennt vom internen Netz sein? Antwort anzeigen Ein Gast-WLAN sollte getrennt sein, damit Gäste nicht auf interne Systeme zugreifen können. Schutz: interne Server Clients Drucker Managementoberflächen sensible Daten Typische Umsetzung: eigenes VLAN Firewall-Regeln nur Internetzugriff erlauben Merksatz: Gast-WLAN gehört nicht ins interne Netz. Aufgabe 37 Ein Arbeitsplatz hat keine Netzwerkverbindung. Nenne eine sinnvolle Prüf-Reihenfolge auf Schicht 1. Antwort anzeigen Sinnvolle Reihenfolge: 1. Kabel steckt korrekt? 2. Link-LED aktiv? 3. anderes Patchkabel testen? 4. anderen Switchport testen? 5. Netzwerkdose prüfen? 6. Endgerät-Netzwerkkarte aktiv? 7. Switchport administrativ aktiv? 8. Geschwindigkeit und Duplex prüfen? Merksatz: Bei „keine Verbindung“ zuerst physisch prüfen. Aufgabe 38 Ein Server hat Link, aber die Verbindung ist extrem langsam und instabil. Welche Schicht-1-Themen können Ursache sein? Antwort anzeigen Mögliche Ursachen: defektes Kabel schlechte Steckverbindung Duplex-Mismatch falsche Geschwindigkeit hohe Dämpfung Störungen beschädigter Port fehlerhaftes SFP-Modul LWL-Stecker verschmutzt Merksatz: Link vorhanden heißt nicht, dass die Signalqualität gut ist. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Ein Client hat keine Netzwerkverbindung. Nennen Sie eine erste sinnvolle Prüfmaßnahme. Antwort A: Server neu installieren. Antwort B: Zuerst sollte geprüft werden, ob die physische Verbindung besteht, also Kabel, Stecker, Link-LED und Switchport. Antwort anzeigen B ist besser. Begründung: Bei fehlender Netzwerkverbindung beginnt die Fehlersuche auf Schicht 1. Erst wenn Link und physische Verbindung passen, werden IP, Gateway, DNS und Dienste geprüft. Merksatz: Erst Schicht 1, dann höhere Schichten. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum kann LWL sinnvoller sein als Kupfer? Antwort A: Weil Glasfaser moderner ist. Antwort B: LWL ist für hohe Bandbreiten und lange Strecken geeignet und unempfindlich gegenüber elektromagnetischen Störungen. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete technische Vorteile und ist damit prüfungssicherer. Merksatz: Nicht „moderner“ schreiben, sondern technischen Nutzen nennen. Mini-Prüfung: schnelle Zuordnung Frage Antwort Welche OSI-Schicht ist für Kabel und Signale zuständig? Schicht 1 Wie heißt OSI-Schicht 1? Bitübertragungsschicht Welches Medium nutzt Licht? LWL Welches Medium nutzt Funk? WLAN Welches Medium nutzt elektrische Signale? Kupfer Was bedeutet Dämpfung? Signalverlust Was bedeutet Full-Duplex? gleichzeitig senden und empfangen Was bedeutet Half-Duplex? senden oder empfangen, nicht gleichzeitig Was macht Auto-Negotiation? Geschwindigkeit und Duplex automatisch aushandeln Was verbindet Kupfer und LWL? Medienkonverter Was ist ein SFP? steckbares Transceiver-Modul Was ist ein Patchpanel? Verteilerfeld für Gebäudeverkabelung Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema kein Link am Switchport Schicht 1 Link vorhanden, aber viele Fehler Kabel, Duplex, Dämpfung, Port WLAN langsam und instabil Signal, Störung, Kanal, Auslastung LWL-Link instabil Stecker, Dämpfung, SFP, Faser nur ein Arbeitsplatz betroffen Kabel, Dose, Patchpanel, Switchport mehrere Dosen auf Etage betroffen Verteilung, Switch, Patchfeld Verbindung bricht bei Bewegung ab Kabel oder Stecker beschädigt nach Austausch kein Link falsches Kabel, falsches Modul, Portkonfiguration IHK-sichere Kurzformulierung Die OSI-Schicht 1 ist die Bitübertragungsschicht. Sie beschreibt die physische Übertragung von Bits als elektrische, optische oder Funksignale. Typische Themen sind Kabel, Stecker, Funk, Lichtwellenleiter, Signalqualität, Dämpfung, Link, Geschwindigkeit, Duplex und Auto-Negotiation. Kupferkabel wie Twisted Pair übertragen elektrische Signale, Lichtwellenleiter übertragen optische Signale und WLAN nutzt Funk. Bei Störungen ohne Link oder mit instabiler Verbindung sollte zuerst die physische Verbindung geprüft werden, zum Beispiel Kabel, Stecker, Switchport, Link-LED, SFP-Modul, Dämpfung und Duplexmodus. Merksätze Schicht 1 ist die Bitübertragungsschicht. Schicht 1 überträgt Bits als Signale. Kupfer überträgt elektrisch. LWL überträgt optisch. WLAN überträgt per Funk. Twisted Pair nutzt verdrillte Adernpaare. Verdrillung reduziert Störungen. LWL eignet sich für hohe Bandbreite und lange Strecken. Singlemode eignet sich eher für lange Strecken. Multimode eignet sich eher für kürzere Strecken. Dämpfung bedeutet Signalverlust. Zu hohe Dämpfung verursacht Fehler oder Verbindungsabbrüche. Link bedeutet physische Verbindung erkannt. Link heißt nicht automatisch, dass IP oder Anwendung funktionieren. Half-Duplex sendet oder empfängt. Full-Duplex sendet und empfängt gleichzeitig. Auto-Negotiation handelt Geschwindigkeit und Duplex aus. Duplex-Mismatch verursacht Performance-Probleme. Hub verteilt blind. Switch leitet gezielt. Repeater regeneriert Signale. Medienkonverter verbindet Medien. SFP ist ein steckbares Transceiver-Modul. Patchpanel verbindet feste Verkabelung mit Patchkabeln. Installationskabel ist fest verlegt. Patchkabel ist flexibel. WLAN ist ein geteiltes Medium. WLAN-Probleme hängen oft mit Signal, Störung, Kanal und Auslastung zusammen. Gast-WLAN gehört getrennt vom internen Netz. Bei keiner Verbindung zuerst Schicht 1 prüfen. Erst Kabel, Link und Port prüfen, dann IP, DNS und Anwendung. 20.3 Trainer – Schicht 2 / Ethernet, MAC-Adressen, Switching, VLAN und ARP Diese Trainer-Seite wiederholt die OSI-Schicht 2, Ethernet, MAC-Adressen, Switching, VLANs und ARP. Ziel ist, typische Prüfungsfragen zur lokalen Netzwerkkommunikation sicher zu lösen. Merksatz: Schicht 2 fragt: Funktioniert die lokale Zustellung im gleichen Netzwerksegment? Lernziele Nach dieser Seite solltest du sicher können: - OSI-Schicht 2 einordnen - MAC-Adressen erklären - Ethernet-Frames verstehen - Switching erklären - MAC-Adresstabellen nutzen - Flooding und Broadcast unterscheiden - VLANs einordnen - Access-Port und Trunk-Port unterscheiden - ARP erklären - typische Schicht-2-Fehler erkennen Kurzüberblick: OSI-Schicht 2 OSI-Schicht 2 heißt: Sicherungsschicht Aufgabe: Datenübertragung im lokalen Netzwerksegment organisieren. Typische Begriffe: Ethernet Frame MAC-Adresse Switch VLAN ARP Broadcast MAC-Adresstabelle STP Loop Broadcast-Sturm Merksatz: Schicht 2 arbeitet lokal mit Frames und MAC-Adressen. Kurzüberblick: Schicht 2 und Schicht 3 Thema Schicht Zweck MAC-Adresse 2 lokale Zustellung Ethernet-Frame 2 lokale Dateneinheit Switch 2 Weiterleitung im LAN VLAN 2 logische Trennung IP-Adresse 3 logische Adressierung Routing 3 Verbindung zwischen Netzen Merksatz: MAC lokal. IP logisch. Switch lokal. Router zwischen Netzen. Aufgabe 1 Wie heißt OSI-Schicht 2? Antwort anzeigen OSI-Schicht 2 heißt: Sicherungsschicht Englisch: Data Link Layer Aufgabe: lokale Übertragung von Frames über MAC-Adressen. Merksatz: Schicht 2 = Sicherungsschicht. Aufgabe 2 Welche Adresse gehört zu OSI-Schicht 2? A: IP-Adresse B: MAC-Adresse C: Portnummer D: URL Antwort anzeigen Richtig ist: B: MAC-Adresse Begründung: MAC-Adressen werden auf OSI-Schicht 2 zur lokalen Zustellung im LAN verwendet. Merksatz: MAC-Adresse = Schicht 2. Aufgabe 3 Was ist eine MAC-Adresse? Antwort anzeigen Eine MAC-Adresse ist eine Hardware-Adresse einer Netzwerkschnittstelle. Sie dient zur lokalen Kommunikation im Netzwerksegment. Beispiel: AA:BB:CC:11:22:33 Typisch: 48 Bit lang hexadezimale Schreibweise Merksatz: MAC-Adresse identifiziert eine Netzwerkschnittstelle im lokalen Netz. Aufgabe 4 Was ist ein Ethernet-Frame? Antwort anzeigen Ein Ethernet-Frame ist die Dateneinheit auf OSI-Schicht 2. Er enthält unter anderem: Ziel-MAC-Adresse Quell-MAC-Adresse Nutzdaten Prüfinformationen Merksatz: Ethernet überträgt Frames. Aufgabe 5 Welche Informationen sind typisch in einem Ethernet-Frame enthalten? Bestandteil Enthalten? Ziel-MAC-Adresse ? Quell-MAC-Adresse ? Ziel-Port TCP 443 ? IP-Nutzdaten ? Antwort anzeigen Bestandteil Enthalten? Ziel-MAC-Adresse ja Quell-MAC-Adresse ja Ziel-Port TCP 443 nicht direkt Schicht 2, sondern Teil der höheren Schichten IP-Nutzdaten ja, als Nutzdaten im Frame Merksatz: Der Frame transportiert höhere Schichten als Nutzdaten. Aufgabe 6 Was macht ein Switch? Antwort anzeigen Ein Switch verbindet Geräte im lokalen Netzwerk. Er arbeitet hauptsächlich auf OSI-Schicht 2 und leitet Ethernet-Frames anhand von MAC-Adressen weiter. Merksatz: Switch = lokale Weiterleitung anhand MAC-Adressen. Aufgabe 7 Wie lernt ein Switch seine MAC-Adresstabelle? Antwort anzeigen Ein Switch lernt aus der Quell-MAC-Adresse eingehender Frames. Wenn ein Frame an Port 3 ankommt, merkt sich der Switch: Diese Quell-MAC-Adresse ist über Port 3 erreichbar. Merksatz: Switch lernt aus Quell-MAC-Adressen. Aufgabe 8 Ein Switch kennt die Ziel-MAC-Adresse. Was passiert? Antwort anzeigen Der Switch leitet den Frame gezielt an den Port weiter, an dem die Ziel-MAC-Adresse bekannt ist. Merksatz: bekannte Ziel-MAC: gezielte Weiterleitung. Aufgabe 9 Ein Switch kennt die Ziel-MAC-Adresse nicht. Was passiert? Antwort anzeigen Der Switch flutet den Frame. Das bedeutet: Er sendet den Frame an alle Ports im gleichen VLAN, außer an den Eingangsport. Merksatz: unbekannte Ziel-MAC: Flooding. Aufgabe 10 Was bedeutet Flooding? Antwort anzeigen Flooding bedeutet: Ein Switch sendet einen Frame an alle Ports im gleichen VLAN, außer an den Port, über den der Frame gekommen ist. Flooding passiert bei: unbekannter Ziel-MAC-Adresse Broadcast bestimmten Multicast-Fällen Merksatz: Flooding ist nicht immer ein Fehler. Aufgabe 11 Was ist ein Broadcast? Antwort anzeigen Ein Broadcast ist eine Nachricht an alle Geräte im gleichen Broadcast-Bereich. Beispiel: ARP Request Broadcasts bleiben normalerweise im gleichen VLAN. Merksatz: Broadcast erreicht alle Geräte im gleichen VLAN. Aufgabe 12 Was ist eine Broadcast-Domäne? Antwort anzeigen Eine Broadcast-Domäne ist der Bereich, in dem Broadcasts verteilt werden. Ohne VLAN: oft gesamtes Switch-Netz Mit VLAN: jedes VLAN ist eine eigene Broadcast-Domäne Merksatz: VLANs trennen Broadcast-Domänen. Aufgabe 13 Was ist ein VLAN? Antwort anzeigen VLAN steht für: Virtual Local Area Network Ein VLAN trennt ein physisches Netzwerk logisch in mehrere getrennte Layer-2-Bereiche. Beispiele: VLAN 10 Verwaltung VLAN 20 Clients VLAN 30 Server VLAN 40 Gäste Merksatz: VLAN = logische Trennung auf Schicht 2. Aufgabe 14 Nenne zwei Gründe für den Einsatz von VLANs. Antwort anzeigen Mögliche Gründe: logische Netztrennung kleinere Broadcast-Domänen bessere Struktur Trennung von Abteilungen Trennung von Gästen und internem Netz Trennung von Servern und Clients separate Managementnetze IHK-sichere Antwort: VLANs werden eingesetzt, um Netzbereiche logisch zu trennen und Broadcast-Domänen zu verkleinern. Aufgabe 15 Ist ein VLAN dasselbe wie ein IP-Subnetz? Antwort anzeigen Nein. VLAN: logische Trennung auf OSI-Schicht 2 IP-Subnetz: logische IP-Aufteilung auf OSI-Schicht 3 Wichtig: In der Praxis bekommt ein VLAN häufig ein eigenes IP-Subnetz. Fachlich sind VLAN und Subnetz aber nicht dasselbe. Merksatz: VLAN = Layer 2. Subnetz = Layer 3. Aufgabe 16 Was ist ein Access-Port? Antwort anzeigen Ein Access-Port gehört normalerweise zu genau einem VLAN. Typische Nutzung: PC Drucker Telefon normales Endgerät Das Endgerät muss das VLAN meist nicht selbst kennen. Merksatz: Access-Port = ein VLAN für Endgeräte. Aufgabe 17 Was ist ein Trunk-Port? Antwort anzeigen Ein Trunk-Port transportiert mehrere VLANs über eine Verbindung. Typische Nutzung: Verbindung zwischen Switches Verbindung zu Router Verbindung zu Firewall Verbindung zu Hypervisor Verbindung zu VLAN-fähigem Access Point Merksatz: Trunk-Port = mehrere VLANs über eine Verbindung. Aufgabe 18 Ordne zu. Porttyp Bedeutung Access-Port ? Trunk-Port ? Antwort anzeigen Porttyp Bedeutung Access-Port ein VLAN, typisch für Endgeräte Trunk-Port mehrere VLANs, typisch zwischen Netzwerkgeräten Merksatz: Access = ein VLAN. Trunk = mehrere VLANs. Aufgabe 19 Was bedeutet VLAN-Tagging? Antwort anzeigen VLAN-Tagging bedeutet: Ein Ethernet-Frame enthält eine VLAN-Information. Häufiger Standard: IEEE 802.1Q Typisch bei: Trunk-Verbindungen Merksatz: 802.1Q markiert Frames mit VLAN-Information. Aufgabe 20 Was ist der Unterschied zwischen untagged und tagged? Antwort anzeigen Untagged: Frame enthält keinen VLAN-Tag für das Endgerät. Typisch: Access-Port Tagged: Frame enthält VLAN-Information. Typisch: Trunk-Port Merksatz: Access meist untagged. Trunk meist tagged. Aufgabe 21 Was ist ARP? Antwort anzeigen ARP steht für: Address Resolution Protocol Aufgabe: ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Beispiel: Der Client kennt die IP-Adresse des Gateways, braucht aber für Ethernet die MAC-Adresse des Gateways. Merksatz: ARP findet die MAC-Adresse zu einer IPv4-Adresse. Aufgabe 22 Warum braucht man ARP? Antwort anzeigen IPv4 arbeitet mit IP-Adressen. Ethernet im lokalen Netz benötigt aber MAC-Adressen. ARP verbindet diese beiden Ebenen, indem eine IPv4-Adresse einer MAC-Adresse zugeordnet wird. Merksatz: IP sagt, welches Ziel gemeint ist. MAC sagt, wohin lokal gesendet wird. Aufgabe 23 Ein Client möchte einen Server im gleichen Subnetz erreichen. Welche MAC-Adresse wird verwendet? Antwort anzeigen Verwendet wird: die MAC-Adresse des Zielservers Begründung: Das Ziel liegt im gleichen lokalen Subnetz. Der Client kann daher direkt lokal per Ethernet an die MAC-Adresse des Zielservers senden. Merksatz: gleiches Subnetz: MAC des Zielhosts. Aufgabe 24 Ein Client möchte einen Server in einem anderen Subnetz erreichen. Welche MAC-Adresse wird verwendet? Antwort anzeigen Verwendet wird: die MAC-Adresse des Standardgateways Begründung: Das Ziel liegt außerhalb des lokalen Subnetzes. Der Client sendet das Ethernet-Frame lokal an das Gateway. Das IP-Ziel bleibt aber der entfernte Server. Merksatz: anderes Subnetz: MAC des Gateways. Aufgabe 25 Was ist ein ARP Request? Antwort anzeigen Ein ARP Request ist eine Anfrage per Broadcast. Vereinfacht: Wer hat diese IPv4-Adresse? Beispiel: Wer hat 192.168.1.1? Merksatz: ARP Request = Broadcast-Frage. Aufgabe 26 Was ist ein ARP Reply? Antwort anzeigen Ein ARP Reply ist die Antwort auf einen ARP Request. Vereinfacht: Diese IPv4-Adresse gehört zu dieser MAC-Adresse. Merksatz: ARP Reply liefert die MAC-Adresse. Aufgabe 27 Was ist eine ARP-Tabelle? Antwort anzeigen Die ARP-Tabelle speichert bekannte Zuordnungen: IPv4-Adresse zu MAC-Adresse Vorteil: Der Host muss nicht für jedes Paket erneut per ARP fragen. Merksatz: ARP-Tabelle = Zwischenspeicher für IP-zu-MAC. Aufgabe 28 Was ist ARP-Spoofing? Antwort anzeigen ARP-Spoofing ist ein Angriff, bei dem falsche ARP-Antworten gesendet werden. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection Netzwerksegmentierung Switch-Sicherheitsfunktionen Monitoring Verschlüsselung höherer Schichten Merksatz: ARP-Spoofing manipuliert lokale IP-zu-MAC-Zuordnungen. Aufgabe 29 Was ist STP? Antwort anzeigen STP steht für: Spanning Tree Protocol Aufgabe: Layer-2-Schleifen verhindern Warum wichtig? Schleifen können Broadcast-Stürme verursachen und das Netzwerk stark belasten oder lahmlegen. Merksatz: STP verhindert Switch-Schleifen. Aufgabe 30 Was ist ein Broadcast-Sturm? Antwort anzeigen Ein Broadcast-Sturm entsteht, wenn Broadcasts durch Schleifen immer wieder weitergeleitet werden. Folgen: Netz wird langsam Switches werden überlastet Clients verlieren Verbindung Dienste brechen ab Merksatz: Layer-2-Schleifen können das Netzwerk lahmlegen. Aufgabe 31 Ein Client bekommt eine IP-Adresse aus dem falschen Netz. Welches Schicht-2-Thema ist naheliegend? Antwort anzeigen Naheliegend ist: falsches VLAN Begründung: Wenn ein Client am falschen VLAN hängt, kann er vom falschen DHCP-Scope eine Adresse erhalten. Merksatz: falsches VLAN: häufig falsche IP-Konfiguration. Aufgabe 32 Ein Client bekommt keine DHCP-Adresse. Nur dieser eine Switchport ist betroffen. Welche Ursachen sind wahrscheinlich? Antwort anzeigen Mögliche Ursachen: Switchport deaktiviert falsches Access-VLAN Kabel oder Dose defekt Port Security blockiert VLAN nicht korrekt zugewiesen Endgerät defekt Merksatz: Nur ein Port betroffen: Port, VLAN, Kabel und Endgerät prüfen. Aufgabe 33 Mehrere VLANs funktionieren zwischen zwei Switches nicht richtig. Was sollte geprüft werden? Antwort anzeigen Prüfen: Trunk-Port aktiv? VLANs auf Trunk erlaubt? VLANs auf beiden Switches vorhanden? Tagging korrekt? Native VLAN passend? Gegenstelle korrekt konfiguriert? Merksatz: Mehrere VLANs betroffen: Trunk prüfen. Aufgabe 34 Ein Gerät ist im richtigen IP-Subnetz, aber lokale Kommunikation funktioniert trotzdem nicht. Welche Schicht-2-Themen können Ursache sein? Antwort anzeigen Mögliche Ursachen: falsches VLAN ARP-Problem lokale Firewall Switchport blockiert Port Security MAC-Adresstabelle fehlerhaft oder veraltet Duplex- oder Linkproblem Merksatz: Gleiches Subnetz heißt nicht automatisch, dass Layer 2 sauber funktioniert. Aufgabe 35 Was ist Port Security? Antwort anzeigen Port Security begrenzt, welche oder wie viele MAC-Adressen an einem Switchport erlaubt sind. Ziel: unautorisierte Geräte erschweren einfache Angriffe reduzieren Portmissbrauch begrenzen Merksatz: Port Security kontrolliert MAC-Adressen am Switchport. Aufgabe 36 Was ist 802.1X? Antwort anzeigen 802.1X ist portbasierte Netzwerkzugangskontrolle. Prinzip: Ein Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Typisch mit: RADIUS Zertifikaten Benutzerkonto Merksatz: 802.1X prüft Zugriff vor Netzzugang. Aufgabe 37 Welche Aussage ist richtig? A: VLANs ersetzen immer eine Firewall. B: VLANs trennen Broadcast-Domänen. C: VLANs gehören ausschließlich zu OSI-Schicht 7. D: Ein Access-Port transportiert immer mehrere VLANs. Antwort anzeigen Richtig ist: B: VLANs trennen Broadcast-Domänen. Begründung: VLANs trennen Layer-2-Bereiche logisch. Sie ersetzen aber keine Firewall, wenn Verkehr zwischen VLANs kontrolliert werden soll. Merksatz: VLAN trennt. Firewall kontrolliert. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Warum braucht man für Kommunikation zwischen VLANs Routing? Antwort A: Weil VLANs sonst nicht modern genug sind. Antwort B: VLANs sind getrennte Layer-2-Bereiche. Damit Geräte aus verschiedenen VLANs miteinander kommunizieren können, müssen die jeweiligen IP-Netze über einen Router, Layer-3-Switch oder eine Firewall geroutet werden. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt die technische Trennung auf Schicht 2 und den Bedarf für Routing auf Schicht 3. Merksatz: VLANs trennen. Routing verbindet. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Ein Switch sendet einen Frame an alle Ports im VLAN. Ist das automatisch ein Fehler? Antwort A: Ja, immer. Antwort B: Nein. Bei unbekannter Ziel-MAC-Adresse oder Broadcast ist Flooding normales Verhalten. Es wird erst problematisch, wenn durch Schleifen oder Fehlkonfigurationen dauerhaft sehr viel Broadcast- oder Flooding-Verkehr entsteht. Antwort anzeigen B ist besser. Begründung: Flooding ist ein normales Switching-Verhalten, wenn die Ziel-MAC-Adresse unbekannt ist. Es ist nicht automatisch ein Fehler. Merksatz: Flooding normal, Broadcast-Sturm kritisch. Aufgabe 40 Was ist die wichtigste Unterscheidung zwischen MAC-Adresse, IP-Adresse und Port? Antwort anzeigen MAC-Adresse: lokale Zustellung auf Schicht 2 IP-Adresse: logische Adressierung auf Schicht 3 Port: Zuordnung zu Dienst oder Prozess auf Schicht 4 Merksatz: MAC lokal. IP logisch. Port Dienst. Mini-Prüfung: schnelle Zuordnung Frage Antwort Welche OSI-Schicht ist Ethernet? Schicht 2 Welche OSI-Schicht ist MAC? Schicht 2 Welche OSI-Schicht ist VLAN? Schicht 2 Welche OSI-Schicht ist IP? Schicht 3 Welche OSI-Schicht ist TCP? Schicht 4 Was leitet ein Switch weiter? Frames Woran orientiert sich ein Switch? MAC-Adressen Was lernt ein Switch aus eingehenden Frames? Quell-MAC-Adresse Was passiert bei unbekannter Ziel-MAC? Flooding Was trennt VLAN? Broadcast-Domänen Was macht ARP? IPv4 zu MAC auflösen Was verhindert STP? Layer-2-Schleifen Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinliches Thema Client im falschen Netz falsches VLAN nur ein Switchport betroffen Access-Port, Kabel, Port Security mehrere VLANs über Switchverbindung betroffen Trunk Broadcasts legen Netz lahm Loop, STP, Broadcast-Sturm lokale IP erreichbar, aber MAC ändert sich ständig doppelte IP oder ARP-Spoofing gleiches Subnetz, aber keine lokale Kommunikation VLAN, ARP, Firewall, Switchport DHCP nur in einem VLAN defekt VLAN, DHCP-Relay, DHCP-Scope Gerät bekommt falschen DHCP-Bereich falsches VLAN IHK-sichere Kurzformulierung Die OSI-Schicht 2 ist die Sicherungsschicht. Sie organisiert die lokale Kommunikation im Netzwerksegment. Ethernet nutzt Frames, die unter anderem Quell- und Ziel-MAC-Adressen enthalten. Ein Switch arbeitet hauptsächlich auf Schicht 2 und leitet Frames anhand seiner MAC-Adresstabelle weiter. Diese Tabelle lernt er aus den Quell-MAC-Adressen eingehender Frames. Ist die Ziel-MAC unbekannt, wird der Frame im VLAN geflutet. VLANs trennen ein physisches Netzwerk logisch in mehrere Broadcast-Domänen. Access-Ports gehören meist zu einem VLAN, Trunk-Ports transportieren mehrere VLANs mit VLAN-Tagging nach IEEE 802.1Q. ARP löst im lokalen IPv4-Netz IP-Adressen in MAC-Adressen auf. Merksätze Schicht 2 ist die Sicherungsschicht. Schicht 2 arbeitet mit Frames. Ethernet nutzt Frames. MAC-Adresse gehört zu Schicht 2. Switches arbeiten hauptsächlich auf Schicht 2. Switches leiten anhand von MAC-Adressen weiter. Switch lernt aus Quell-MAC-Adressen. Bekannte Ziel-MAC: gezielte Weiterleitung. Unbekannte Ziel-MAC: Flooding. Broadcast erreicht alle Geräte im gleichen VLAN. VLANs trennen Broadcast-Domänen. VLAN ist Layer 2. Subnetz ist Layer 3. VLAN und Subnetz sind nicht dasselbe. Access-Port = ein VLAN. Trunk-Port = mehrere VLANs. 802.1Q markiert VLAN-Frames. Access meist untagged. Trunk meist tagged. VLAN trennt. Firewall kontrolliert. Inter-VLAN-Kommunikation braucht Routing. ARP löst IPv4 zu MAC auf. ARP arbeitet lokal. ARP Request ist Broadcast. ARP Reply liefert die MAC-Adresse. Gleiches Subnetz: MAC des Zielhosts. Anderes Subnetz: MAC des Gateways. IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. STP verhindert Layer-2-Schleifen. Broadcast-Sturm kann ein Netz lahmlegen. Port Security kontrolliert MAC-Adressen. 802.1X prüft Netzzugang. Falsches VLAN führt oft zu falscher IP-Konfiguration. Mehrere VLANs betroffen: Trunk prüfen. Nur ein Port betroffen: Port, VLAN, Kabel und Endgerät prüfen. 20.4 Trainer – Schicht 3 / IPv4, Subnetze, Routing, Gateway und ICMP Trainer – IPv4, Subnetze, Routing, Gateway und ICMP Diese Trainer-Seite wiederholt die OSI-Schicht 3, IPv4-Adressen, Subnetze, Routing, Gateway und ICMP. Ziel ist, typische Prüfungsfragen zu IP-Konfiguration, Subnetting, Gateway-Fehlern, Routing und Ping/Traceroute sicher zu lösen. Merksatz: Schicht 3 fragt: Findet das Paket den Weg ins richtige Zielnetz? Lernziele Nach dieser Seite solltest du sicher können: - OSI-Schicht 3 einordnen - IPv4-Adresse, Subnetzmaske Gateway und DNS unterscheiden - Netzadresse und Broadcastadresse bestimmen - nutzbare Hostadressen erkennen - Gateway-Fehler erkennen - Routing erklären - ICMP, ping und traceroute einordnen - typische Schicht-3-Fehlerbilder lösen Kurzüberblick: OSI-Schicht 3 OSI-Schicht 3 heißt: Vermittlungsschicht oder: Netzwerkschicht Aufgabe: logische Adressierung Routing zwischen Netzen Weiterleitung von IP-Paketen Typische Begriffe: IPv4 IPv6 IP-Adresse Subnetzmaske Präfix Netzadresse Broadcastadresse Gateway Router Routing-Tabelle ICMP ping traceroute Merksatz: Schicht 3 arbeitet mit IP-Adressen und Routing. Kurzüberblick: Schicht 2 und Schicht 3 Thema Schicht Zweck MAC-Adresse 2 lokale Zustellung Ethernet-Frame 2 lokale Übertragung IP-Adresse 3 logische Adressierung Subnetzmaske 3 Netz- und Hostanteil trennen Gateway 3 Weg in andere Netze Router 3 Netze verbinden ICMP 3 Diagnose und Fehlermeldungen Merksatz: MAC bringt lokal zum nächsten Hop. IP beschreibt das logische Ziel. Aufgabe 1 Wie heißt OSI-Schicht 3? Antwort anzeigen OSI-Schicht 3 heißt: Vermittlungsschicht oder: Netzwerkschicht Englisch: Network Layer Aufgabe: logische Adressierung und Routing zwischen IP-Netzen. Merksatz: Schicht 3 = IP und Routing. Aufgabe 2 Welche Adresse gehört zu OSI-Schicht 3? A: MAC-Adresse B: IP-Adresse C: Portnummer D: URL Antwort anzeigen Richtig ist: B: IP-Adresse Begründung: IP-Adressen gehören zur OSI-Schicht 3 und dienen der logischen Adressierung in Netzwerken. Merksatz: IP-Adresse = Schicht 3. Aufgabe 3 Was ist die Aufgabe einer IPv4-Adresse? Antwort anzeigen Eine IPv4-Adresse identifiziert einen Host logisch in einem IP-Netz. Sie wird verwendet, damit Pakete zu einem bestimmten Zielsystem gesendet werden können. Beispiel: 192.168.1.50 Merksatz: IP-Adresse = logische Adresse eines Hosts. Aufgabe 4 Wie viele Bit hat eine IPv4-Adresse? Antwort anzeigen Eine IPv4-Adresse hat: 32 Bit Sie besteht aus: 4 Oktetten Jedes Oktett hat: 8 Bit Beispiel: 192.168.1.10 Merksatz: IPv4 = 32 Bit = 4 Oktette. Aufgabe 5 Was bedeutet die Schreibweise /24? Antwort anzeigen Die Schreibweise /24 bedeutet: 24 Bit gehören zum Netzanteil. Da IPv4 insgesamt 32 Bit hat: 32 - 24 = 8 Hostbits Merksatz: Präfix = Anzahl der Netzbits. Aufgabe 6 Welche Subnetzmaske gehört zu /24? Antwort anzeigen Zu /24 gehört: 255.255.255.0 Begründung: Die ersten 24 Bit sind Netzbits. Das entspricht drei vollständigen Oktetten mit 255. Merksatz: /24 = 255.255.255.0. Aufgabe 7 Welche Subnetzmaske gehört zu /26? Antwort anzeigen Zu /26 gehört: 255.255.255.192 Begründung: /26 bedeutet: 26 Netzbits. 24 Bit sind: 255.255.255.0 zusätzlich 2 Netzbits im letzten Oktett: 11000000 = 192 Merksatz: /26 = 255.255.255.192. Aufgabe 8 Wie viele nutzbare Hosts hat ein /26-Netz? Antwort anzeigen Berechnung: Hostbits = 32 - 26 = 6 Gesamtadressen = 2 hoch 6 = 64 nutzbare Hosts = 64 - 2 = 62 Antwort: 62 nutzbare Hosts Merksatz: nutzbare Hosts = 2 hoch Hostbits minus 2. Aufgabe 9 Wie viele nutzbare Hosts hat ein /27-Netz? Antwort anzeigen Berechnung: Hostbits = 32 - 27 = 5 Gesamtadressen = 2 hoch 5 = 32 nutzbare Hosts = 32 - 2 = 30 Antwort: 30 nutzbare Hosts Merksatz: /27 hat 30 nutzbare Hosts. Aufgabe 10 Welche Aussage ist richtig? A: Je größer der Präfix, desto größer das Netz. B: Je größer der Präfix, desto kleiner das Netz. C: /27 ist größer als /24. D: /30 hat mehr Hosts als /24. Antwort anzeigen Richtig ist: B: Je größer der Präfix, desto kleiner das Netz. Begründung: Ein größerer Präfix bedeutet mehr Netzbits und weniger Hostbits. Merksatz: Präfix größer: Netz kleiner. Aufgabe 11 Bestimme Hostbits und nutzbare Hosts. Präfix Hostbits nutzbare Hosts /24 ? ? /25 ? ? /26 ? ? /27 ? ? Antwort anzeigen Präfix Hostbits nutzbare Hosts /24 8 254 /25 7 126 /26 6 62 /27 5 30 Merksatz: Von /24 zu /25 halbiert sich die Adressanzahl. Von /25 zu /26 halbiert sie sich wieder. Aufgabe 12 Was ist die Netzadresse? Antwort anzeigen Die Netzadresse ist die erste Adresse eines Subnetzes. Sie bezeichnet das Netz selbst und wird nicht als normale Hostadresse verwendet. Beispiel: 192.168.1.0/24 Netzadresse: 192.168.1.0 Merksatz: Netzadresse = erste Adresse im Subnetz. Aufgabe 13 Was ist die Broadcastadresse? Antwort anzeigen Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie dient dazu, alle Hosts in diesem Subnetz zu erreichen. Beispiel: 192.168.1.0/24 Broadcastadresse: 192.168.1.255 Merksatz: Broadcastadresse = letzte Adresse im Subnetz. Aufgabe 14 Welche Adressen sind in einem normalen IPv4-Subnetz nicht als Hostadresse nutzbar? Antwort anzeigen Nicht als normale Hostadressen nutzbar sind: Netzadresse Broadcastadresse Begründung: Die Netzadresse bezeichnet das Subnetz selbst. Die Broadcastadresse adressiert alle Hosts im Subnetz. Merksatz: Erste und letzte Adresse sind nicht für Hosts. Aufgabe 15 Bestimme die Daten für: 192.168.1.70/26 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /26 gilt: Blockgröße 64 Subnetzbereiche: 192.168.1.0 bis 192.168.1.63 192.168.1.64 bis 192.168.1.127 192.168.1.128 bis 192.168.1.191 192.168.1.192 bis 192.168.1.255 Die Adresse 192.168.1.70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 Wert Ergebnis Netzadresse 192.168.1.64 erste nutzbare Adresse 192.168.1.65 letzte nutzbare Adresse 192.168.1.126 Broadcastadresse 192.168.1.127 nutzbare Hosts 62 Merksatz: IP liegt immer in genau einem Subnetzbereich. Aufgabe 16 Bestimme die Daten für: 10.0.5.200/27 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? Antwort anzeigen Bei /27 gilt: Blockgröße 32 Bereiche im letzten Oktett: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 128 bis 159 160 bis 191 192 bis 223 224 bis 255 Die Adresse 200 liegt im Bereich: 192 bis 223 Wert Ergebnis Netzadresse 10.0.5.192 erste nutzbare Adresse 10.0.5.193 letzte nutzbare Adresse 10.0.5.222 Broadcastadresse 10.0.5.223 Merksatz: /27 springt in 32er-Schritten. Aufgabe 17 Was ist die Blockgröße bei /28? Antwort anzeigen Zu /28 gehört die Maske: 255.255.255.240 Blockgröße: 256 - 240 = 16 Antwort: 16 Merksatz: /28 springt in 16er-Schritten. Aufgabe 18 Welche kleinste Netzgröße reicht für mindestens 50 Hosts? A: /27 B: /26 C: /28 D: /30 Antwort anzeigen Richtig ist: B: /26 Begründung: /27 hat 30 nutzbare Hosts. Das reicht nicht. /26 hat 62 nutzbare Hosts. Das reicht. Merksatz: Immer das kleinste passende Subnetz wählen. Aufgabe 19 Welche kleinste Netzgröße reicht für mindestens 100 Hosts? Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts /24 = 254 nutzbare Hosts Ergebnis: /25 Begründung: /26 reicht nicht, /25 reicht. Merksatz: Bedarf prüfen, dann kleinstes passendes Netz wählen. Aufgabe 20 Liegen diese beiden IP-Adressen im gleichen /24-Netz? 192.168.10.20/24 192.168.10.200/24 Antwort anzeigen Ja. Bei /24 ist das Netz: 192.168.10.0/24 Nutzbarer Bereich: 192.168.10.1 bis 192.168.10.254 Beide Adressen liegen im gleichen Netz. Merksatz: Gleiches /24: gleiche ersten drei Oktette. Aufgabe 21 Liegen diese beiden IP-Adressen im gleichen /24-Netz? 192.168.10.20/24 192.168.11.20/24 Antwort anzeigen Nein. Erste Adresse liegt im Netz: 192.168.10.0/24 Zweite Adresse liegt im Netz: 192.168.11.0/24 Merksatz: Bei /24 entscheidet das dritte Oktett über das Netz. Aufgabe 22 Liegen diese beiden IP-Adressen im gleichen /26-Netz? 192.168.1.70/26 192.168.1.100/26 Antwort anzeigen Ja. Bei /26 gilt Blockgröße 64. Bereich: 192.168.1.64 bis 192.168.1.127 Beide Adressen liegen in diesem Bereich. Merksatz: /26-Bereiche: 0-63, 64-127, 128-191, 192-255. Aufgabe 23 Liegen diese beiden IP-Adressen im gleichen /26-Netz? 192.168.1.70/26 192.168.1.130/26 Antwort anzeigen Nein. 192.168.1.70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 192.168.1.130 liegt im Bereich: 192.168.1.128 bis 192.168.1.191 Merksatz: Unterschiedliche Subnetzbereiche brauchen Routing. Aufgabe 24 Was ist ein Standardgateway? Antwort anzeigen Das Standardgateway ist der Router, über den ein Host Ziele außerhalb seines eigenen Subnetzes erreicht. Ohne korrektes Gateway kann ein Client normalerweise nur lokal kommunizieren. Merksatz: Gateway = Ausgang in andere Netze. Aufgabe 25 Warum muss das Gateway im lokalen Subnetz des Clients liegen? Antwort anzeigen Das Gateway muss lokal erreichbar sein, damit der Client sein Ethernet-Frame an die MAC-Adresse des Gateways senden kann. Wenn das Gateway außerhalb des lokalen Subnetzes liegt, kann der Client es nicht direkt erreichen. Merksatz: Gateway muss für den Client lokal erreichbar sein. Aufgabe 26 Prüfe die Konfiguration: Client: 192.168.10.50/24 Gateway: 192.168.20.1 Ist das korrekt? Antwort anzeigen Nein. Client-Netz: 192.168.10.0/24 Gateway liegt im Netz: 192.168.20.0/24 Das Gateway liegt nicht im lokalen Subnetz des Clients. Merksatz: Gateway außerhalb des Subnetzes ist falsch. Aufgabe 27 Ein Client erreicht andere Geräte im gleichen Netz, aber nicht das Internet. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinliche Ursachen: Gateway fehlt Gateway falsch Routingproblem NAT fehlt oder fehlerhaft Firewall blockiert DNS zusätzlich bei Zugriff über Namen Erste Prüfung: Standardgateway Merksatz: Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall prüfen. Aufgabe 28 Was ist Routing? Antwort anzeigen Routing bedeutet: Weiterleitung von IP-Paketen zwischen verschiedenen IP-Netzen. Ein Router nutzt seine Routing-Tabelle, um den nächsten Hop oder das Ausgangsinterface zu bestimmen. Merksatz: Routing verbindet IP-Netze. Aufgabe 29 Was enthält eine Routing-Tabelle typischerweise? Antwort anzeigen Eine Routing-Tabelle enthält typischerweise: Zielnetz Präfix oder Netzmaske Next Hop Interface Metrik Merksatz: Routing-Tabelle bestimmt den nächsten Weg. Aufgabe 30 Was ist eine Standardroute? Antwort anzeigen Eine Standardroute ist die Route für alle Ziele, für die keine spezifischere Route existiert. IPv4-Schreibweise: 0.0.0.0/0 Typisch: Weg zum Internetrouter Merksatz: Standardroute = Weg für unbekannte Ziele. Aufgabe 31 Was bedeutet: „Die spezifischste Route gewinnt“? Antwort anzeigen Wenn mehrere Routen zu einem Ziel passen, wird die Route mit dem längsten passenden Präfix verwendet. Beispiel: 192.168.10.0/24 ist spezifischer als: 192.168.0.0/16 Merksatz: Längster passender Präfix gewinnt. Aufgabe 32 Was ist ICMP? Antwort anzeigen ICMP steht für: Internet Control Message Protocol Aufgabe: Kontroll- Fehler- und Diagnosemeldungen im IP-Netz Typische Nutzung: ping traceroute Merksatz: ICMP hilft bei Diagnose auf Schicht 3. Aufgabe 33 Was prüft ping? Antwort anzeigen ping prüft, ob ein Ziel per ICMP Echo Request und Echo Reply erreichbar ist. Wichtig: ping prüft nicht, ob ein bestimmter Dienst wie HTTPS, SSH oder SMB funktioniert. Merksatz: ping prüft ICMP-Erreichbarkeit, nicht den Dienst. Aufgabe 34 Ping auf eine IP-Adresse funktioniert, aber ping auf den Namen nicht. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Die IP-Kommunikation funktioniert, aber der Name wird nicht korrekt aufgelöst. Merksatz: IP ja, Name nein: DNS. Aufgabe 35 Ping funktioniert, aber die Webseite über HTTPS funktioniert nicht. Was ist wahrscheinlich? Antwort anzeigen Ping prüft nur ICMP. Mögliche Ursachen: TCP 443 blockiert Webserver läuft nicht Firewall blockiert TLS-Problem Reverse Proxy fehlerhaft Anwendung defekt Merksatz: Ping erfolgreich heißt nicht, dass HTTPS funktioniert. Aufgabe 36 Was zeigt traceroute oder tracert? Antwort anzeigen traceroute oder tracert zeigt den Weg zum Ziel über Router. Es zeigt typischerweise: Hops Antwortzeiten mögliche Unterbrechungen Wichtig: Nicht jeder Router antwortet. Sternchen bedeuten nicht automatisch, dass der gesamte Weg defekt ist. Merksatz: traceroute zeigt den Weg, muss aber interpretiert werden. Aufgabe 37 Was bedeutet eine Adresse aus 169.254.0.0/16? Antwort anzeigen Das ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten und sich selbst eine automatische Adresse gegeben. Merksatz: 169.254.x.x: DHCP nicht erreicht. Aufgabe 38 Welche privaten IPv4-Bereiche gibt es? Antwort anzeigen Private IPv4-Bereiche: Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Ein Client erreicht lokale Geräte, aber keine externen Netze. Nennen Sie eine wahrscheinliche Ursache. Antwort A: DNS ist immer kaputt. Antwort B: Wahrscheinlich fehlt das Standardgateway oder es ist falsch konfiguriert, weil lokale Kommunikation funktioniert, externe Netze aber nicht erreichbar sind. Antwort anzeigen B ist besser. Begründung: Die Antwort leitet die Ursache aus dem Fehlerbild ab. Wichtig: DNS kann zusätzlich betroffen sein, wenn nur Namen nicht funktionieren. Wenn aber externe IP-Ziele nicht erreichbar sind, sind Gateway, Routing, NAT oder Firewall wahrscheinlicher. Merksatz: Fehlerbild genau lesen. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum ersetzt ping keinen vollständigen Diensttest? Antwort A: Weil ping alt ist. Antwort B: ping prüft nur ICMP-Erreichbarkeit. Ein Dienst wie HTTPS, SSH oder SMB kann trotzdem blockiert, gestoppt oder falsch konfiguriert sein. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt fachlich, was ping prüft und was ping nicht prüft. Merksatz: ping prüft Host-Erreichbarkeit, nicht Dienstfunktion. Mini-Prüfung: schnelle Zuordnung Frage Antwort Welche OSI-Schicht ist IP? Schicht 3 Welche OSI-Schicht ist Routing? Schicht 3 Welche OSI-Schicht ist ICMP? Schicht 3 Wie viele Bit hat IPv4? 32 Bit Was bedeutet /24? 24 Netzbits Welche Maske hat /24? 255.255.255.0 Welche Maske hat /26? 255.255.255.192 Wie viele nutzbare Hosts hat /26? 62 Was ist die Netzadresse? erste Adresse im Subnetz Was ist die Broadcastadresse? letzte Adresse im Subnetz Was ist das Gateway? Router in andere Netze Was ist 0.0.0.0/0? Standardroute Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema 169.254.x.x DHCP nicht erreicht lokale Geräte erreichbar, Internet nicht Gateway, Routing, NAT, Firewall IP erreichbar, Name nicht DNS ping geht, HTTPS nicht Port, Dienst, Firewall, TLS, Anwendung Gateway außerhalb des Subnetzes falsche IP-Konfiguration anderes Subnetz nicht erreichbar Routing oder Firewall traceroute endet früh Routing, Firewall oder Provider Broadcastadresse als Host eingetragen falsche IP-Konfiguration Netzadresse als Host eingetragen falsche IP-Konfiguration Rückantwort kommt nicht an Rückroute, Gateway oder Firewall IHK-sichere Kurzformulierung Die OSI-Schicht 3 ist die Vermittlungs- oder Netzwerkschicht. Sie ist für logische Adressierung und Routing zwischen IP-Netzen zuständig. IPv4-Adressen haben 32 Bit und werden mit einer Subnetzmaske oder einem Präfix in Netz- und Hostanteil aufgeteilt. Die Netzadresse ist die erste Adresse eines Subnetzes, die Broadcastadresse die letzte Adresse. Beide werden in normalen IPv4-Subnetzen nicht als Hostadressen verwendet. Das Standardgateway ist der Router, über den ein Client andere Netze erreicht und muss im lokalen Subnetz erreichbar sein. ICMP dient Kontroll- und Diagnosemeldungen, zum Beispiel bei ping oder traceroute. ping prüft ICMP-Erreichbarkeit, ersetzt aber keinen Port- oder Diensttest. Merksätze Schicht 3 ist die Vermittlungsschicht. Schicht 3 arbeitet mit IP-Adressen. Routing verbindet IP-Netze. IPv4 hat 32 Bit. Präfix = Netzbits. Hostbits = 32 minus Präfix. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse im Subnetz. Broadcastadresse = letzte Adresse im Subnetz. Netzadresse nicht als Host verwenden. Broadcastadresse nicht als Host verwenden. Erste nutzbare Adresse = Netzadresse + 1. Letzte nutzbare Adresse = Broadcastadresse - 1. Präfix größer: Netz kleiner. Präfix kleiner: Netz größer. /24 hat 254 nutzbare Hosts. /25 hat 126 nutzbare Hosts. /26 hat 62 nutzbare Hosts. /27 hat 30 nutzbare Hosts. /28 hat 14 nutzbare Hosts. Gateway = Ausgang in andere Netze. Gateway muss im lokalen Subnetz liegen. Standardroute = 0.0.0.0/0. Spezifischste Route gewinnt. ICMP gehört zu Schicht 3. ping prüft ICMP. ping ist kein Diensttest. traceroute zeigt den Weg über Router. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. 169.254.x.x: DHCP nicht erreicht. Rückroute nicht vergessen. 20.5 Trainer - Schicht 4 / TCP, UDP, Ports und Schicht 4 Diese Trainer-Seite wiederholt die OSI-Schicht 4, TCP, UDP, Ports und typische Fehlerbilder auf der Transportschicht. Ziel ist, Prüfungsfragen zu zuverlässiger Übertragung, verbindungsloser Übertragung, Portnummern, Dienstzuordnung und Firewall-Fehlersuche sicher zu beantworten. Merksatz: Schicht 4 fragt: Ist der richtige Dienst über den richtigen Port erreichbar? Lernziele Nach dieser Seite solltest du sicher können: - OSI-Schicht 4 einordnen - TCP und UDP unterscheiden - Ports erklären - Quellport und Zielport unterscheiden - wichtige Standardports nennen - TCP-Verbindungsaufbau erklären - typische TCP-Status einordnen - Portprobleme erkennen - erklären, warum ping keinen Porttest ersetzt Kurzüberblick: OSI-Schicht 4 OSI-Schicht 4 heißt: Transportschicht Aufgabe: Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen. Typische Begriffe: TCP UDP Port Segment Datagramm Verbindungsaufbau Three-Way Handshake LISTEN ESTABLISHED Merksatz: Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu. TCP kurz erklärt TCP steht für: Transmission Control Protocol Eigenschaften: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher sendet verlorene Daten erneut nutzt Ports Typische Dienste: HTTPS SSH SMTP IMAP SMB RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. UDP kurz erklärt UDP steht für: User Datagram Protocol Eigenschaften: verbindungslos schnell wenig Overhead keine eingebaute Zustellgarantie keine eingebaute Reihenfolgegarantie nutzt Ports Typische Dienste: DNS DHCP NTP SNMP VoIP Streaming Merksatz: UDP = schnell, schlank und verbindungslos. Aufgabe 1 Wie heißt OSI-Schicht 4? Antwort anzeigen OSI-Schicht 4 heißt: Transportschicht Englisch: Transport Layer Aufgabe: Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen. Merksatz: Schicht 4 = TCP, UDP und Ports. Aufgabe 2 Welche Protokolle gehören typisch zu OSI-Schicht 4? A: TCP und UDP B: IP und ICMP C: Ethernet und ARP D: HTTP und DNS Antwort anzeigen Richtig ist: A: TCP und UDP Begründung: TCP und UDP sind Transportprotokolle und gehören zur OSI-Schicht 4. Merksatz: TCP und UDP = Transportschicht. Aufgabe 3 Was ist ein Port? Antwort anzeigen Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem Host angesprochen wird. Beispiel: 192.168.1.10:443 Bedeutung: Host: 192.168.1.10 Dienst: Port 443 Merksatz: IP findet den Host. Port findet den Dienst. Aufgabe 4 Welche OSI-Schicht ist für Portnummern zuständig? Antwort anzeigen Portnummern gehören zu: OSI-Schicht 4 Begründung: Ports werden von TCP und UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Merksatz: Ports = Schicht 4. Aufgabe 5 Was ist der Unterschied zwischen IP-Adresse und Port? Antwort anzeigen IP-Adresse: identifiziert den Host logisch im Netzwerk Port: identifiziert den Dienst oder Prozess auf diesem Host Beispiel: 192.168.1.10:22 192.168.1.10 = Host 22 = SSH-Dienst Merksatz: IP = welcher Rechner? Port = welcher Dienst? Aufgabe 6 Was ist der Unterschied zwischen Quellport und Zielport? Antwort anzeigen Quellport: Port auf dem sendenden System beim Client oft dynamisch Zielport: Port des angesprochenen Dienstes auf dem Server Beispiel: Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Hier ist 52344 der Quellport und 443 der Zielport. Merksatz: Zielport zeigt meistens den Dienst. Aufgabe 7 Welche Aussage ist richtig? A: TCP ist verbindungslos. B: UDP garantiert die Reihenfolge der Pakete. C: TCP ist verbindungsorientiert und zuverlässig. D: Ports gehören zu OSI-Schicht 3. Antwort anzeigen Richtig ist: C: TCP ist verbindungsorientiert und zuverlässig. Begründung: TCP baut eine Verbindung auf, bestätigt Daten und kann verlorene Daten erneut übertragen. Merksatz: TCP = zuverlässig. Aufgabe 8 Welche Aussage ist richtig? A: UDP ist immer besser als TCP. B: UDP ist verbindungslos und hat wenig Overhead. C: UDP baut immer einen Three-Way Handshake auf. D: UDP nutzt keine Ports. Antwort anzeigen Richtig ist: B: UDP ist verbindungslos und hat wenig Overhead. Begründung: UDP verzichtet auf einen Verbindungsaufbau und auf eingebaute Zustellgarantien. Dadurch ist es schlanker und schneller, aber weniger zuverlässig als TCP. Merksatz: UDP = verbindungslos und schlank. Aufgabe 9 Vergleiche TCP und UDP. Merkmal TCP UDP Verbindung ? ? Zuverlässigkeit ? ? Overhead ? ? Beispiel ? ? Antwort anzeigen Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit eingebaut keine eingebaute Garantie Overhead höher geringer Beispiel HTTPS, SSH, SMB DNS, DHCP, VoIP Merksatz: TCP für zuverlässige Übertragung. UDP für schnelle und schlanke Kommunikation. Aufgabe 10 Was ist der TCP Three-Way Handshake? Antwort anzeigen Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP. Ablauf: 1. SYN 2. SYN-ACK 3. ACK Bedeutung: Client fragt Verbindung an. Server bestätigt und antwortet. Client bestätigt die Verbindung. Merksatz: TCP startet mit SYN, SYN-ACK, ACK. Aufgabe 11 Warum hat TCP mehr Overhead als UDP? Antwort anzeigen TCP hat mehr Overhead, weil es zusätzliche Funktionen bietet. Dazu gehören: Verbindungsaufbau Bestätigungen Sequenznummern erneute Übertragung Reihenfolgeprüfung Flusskontrolle Merksatz: TCP ist aufwendiger, weil es Zuverlässigkeit bietet. Aufgabe 12 Warum wird UDP häufig für DNS verwendet? Antwort anzeigen DNS-Anfragen sind oft klein und sollen schnell beantwortet werden. UDP ist dafür geeignet, weil es wenig Overhead hat und keinen TCP-Verbindungsaufbau benötigt. Wichtig: DNS kann bei Bedarf auch TCP 53 nutzen. Merksatz: DNS nutzt häufig UDP 53, aber TCP 53 nicht vergessen. Aufgabe 13 Warum eignet sich UDP für VoIP? Antwort anzeigen Bei VoIP ist geringe Verzögerung wichtig. Ein verlorenes Sprachpaket ist meist weniger schlimm als eine stark verspätete Übertragung. UDP ist dafür geeignet, weil es schnell und verbindungslos arbeitet. Merksatz: VoIP braucht geringe Latenz, daher ist UDP sinnvoll. Aufgabe 14 Ordne zu. Dienst TCP oder UDP? Port SSH ? ? HTTPS ? ? DNS ? ? DHCP Server ? ? RDP ? ? SMB ? ? Antwort anzeigen Dienst TCP oder UDP? Port SSH TCP 22 HTTPS TCP 443 DNS UDP/TCP 53 DHCP Server UDP 67 RDP TCP 3389 SMB TCP 445 Merksatz: Portnummer immer mit TCP oder UDP lernen. Aufgabe 15 Welchen Port nutzt SSH typischerweise? Antwort anzeigen SSH nutzt typischerweise: TCP 22 SSH steht für: Secure Shell Merksatz: SSH = TCP 22. Aufgabe 16 Welchen Port nutzt HTTPS typischerweise? Antwort anzeigen HTTPS nutzt typischerweise: TCP 443 HTTPS bedeutet: HTTP über TLS Merksatz: HTTPS = TCP 443. Aufgabe 17 Welche Ports nutzt DHCP? Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und 68. Aufgabe 18 Welchen Port nutzt DNS? Antwort anzeigen DNS nutzt: UDP 53 und bei Bedarf: TCP 53 Merksatz: DNS = UDP/TCP 53. Aufgabe 19 Welchen Port nutzt SMB typischerweise? Antwort anzeigen SMB nutzt typischerweise: TCP 445 SMB wird genutzt für: Datei- und Druckfreigaben Netzlaufwerke Merksatz: SMB = TCP 445. Aufgabe 20 Welchen Port nutzt RDP typischerweise? Antwort anzeigen RDP nutzt typischerweise: TCP 3389 RDP steht für: Remote Desktop Protocol Merksatz: RDP = TCP 3389. Aufgabe 21 Was bedeutet LISTEN bei TCP? Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Ein Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet auf Verbindung. Aufgabe 22 Was bedeutet ESTABLISHED bei TCP? Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht. Client und Server haben eine aktive Verbindung aufgebaut. Merksatz: ESTABLISHED = Verbindung besteht. Aufgabe 23 Was bedeutet SYN_SENT? Antwort anzeigen SYN_SENT bedeutet: Der Client hat einen Verbindungsaufbau gestartet und wartet auf eine Antwort. Mögliche Ursache, wenn es hängen bleibt: Ziel antwortet nicht Firewall blockiert Dienst läuft nicht Routingproblem Merksatz: SYN_SENT hängt oft bei fehlender Antwort. Aufgabe 24 Ein Host ist per ping erreichbar, aber SSH funktioniert nicht. Was ist wahrscheinlich? Antwort anzeigen Ping prüft ICMP. SSH nutzt TCP 22. Mögliche Ursachen: TCP 22 blockiert SSH-Dienst läuft nicht SSH lauscht auf anderem Port Firewall blockiert Zugriff nur aus bestimmten Netzen erlaubt Benutzer oder Schlüssel falsch Merksatz: Host erreichbar heißt nicht, dass der Dienst erreichbar ist. Aufgabe 25 Ein Webserver antwortet nicht auf HTTPS, ping funktioniert aber. Was sollte geprüft werden? Antwort anzeigen Zu prüfen: TCP 443 erreichbar? Webserver läuft? Dienst lauscht auf Port 443? Firewall erlaubt TCP 443? Reverse Proxy korrekt? TLS-Zertifikat korrekt? Anwendung fehlerfrei? Merksatz: ping geht, HTTPS nicht: TCP 443, Dienst und Firewall prüfen. Aufgabe 26 Warum ersetzt ping keinen Porttest? Antwort anzeigen ping prüft ICMP-Erreichbarkeit. ping prüft nicht: TCP 22 TCP 443 TCP 445 UDP 53 Dienststatus Anmeldung Rechte Anwendung Merksatz: ping prüft Host-Erreichbarkeit, nicht Dienstfunktion. Aufgabe 27 Welche Angaben braucht man für eine saubere Firewall-Regel? Antwort anzeigen Eine saubere Firewall-Regel enthält: Quelle Ziel Protokoll Port Richtung Aktion Zweck Beispiel: Quelle: Adminnetz Ziel: Server Protokoll: TCP Port: 22 Aktion: erlauben Zweck: SSH-Administration Merksatz: Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll. Aufgabe 28 Warum ist die Angabe „Port 53 erlauben“ ungenau? Antwort anzeigen Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. Bei DNS ist wichtig: UDP 53 für normale Abfragen TCP 53 für große Antworten, Zonentransfers oder bestimmte Spezialfälle Merksatz: Portnummer ohne TCP oder UDP ist unvollständig. Aufgabe 29 Was ist ein Well-Known Port? Antwort anzeigen Well-Known Ports sind bekannte Standardports. Bereich: 0 bis 1023 Beispiele: TCP 22 SSH TCP 80 HTTP TCP 443 HTTPS UDP/TCP 53 DNS Merksatz: Well-Known Ports sind bekannte Dienstports. Aufgabe 30 Was sind dynamische oder ephemeral Ports? Antwort anzeigen Dynamische Ports werden häufig von Clients als Quellports verwendet. Bereich: 49152 bis 65535 Beispiel: Client nutzt Quellport 52344 und verbindet sich zu Server TCP 443. Merksatz: Server hat bekannten Zielport. Client nutzt oft dynamischen Quellport. Aufgabe 31 Ein Client verbindet sich zu einem Webserver. Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Welcher Port zeigt den Webdienst? Antwort anzeigen Der Webdienst wird durch den Zielport angezeigt: TCP 443 Der Quellport 52344 ist ein dynamischer Clientport. Merksatz: Zielport zeigt den Dienst. Aufgabe 32 Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute-Force-Angriffe Credential Stuffing Exploits unberechtigter Fernzugriff Sicherer: VPN RDP-Gateway MFA Firewall-Beschränkung auf bekannte Quellnetze Logging Merksatz: RDP nicht offen ins Internet stellen. Aufgabe 33 Warum sollte SMB nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein. Risiken: Datenabfluss Malware-Ausbreitung Brute Force Ausnutzung von Schwachstellen Zugriff auf interne Freigaben Merksatz: SMB gehört nicht offen ins Internet. Aufgabe 34 Was ist der Unterschied zwischen FTP, FTPS und SFTP? Antwort anzeigen FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS-Verschlüsselung SFTP: Dateiübertragung über SSH nutzt TCP 22 Merksatz: FTPS = FTP mit TLS. SFTP = Dateiübertragung über SSH. Aufgabe 35 Welche Aussage ist richtig? A: SFTP nutzt normalerweise TCP 22. B: SFTP ist dasselbe wie FTPS. C: FTP ist immer verschlüsselt. D: SMB nutzt UDP 53. Antwort anzeigen Richtig ist: A: SFTP nutzt normalerweise TCP 22. Begründung: SFTP läuft über SSH und nutzt daher typischerweise TCP 22. Merksatz: SFTP gehört zu SSH, nicht zu FTPS. Aufgabe 36 Ein Dienst ist auf dem Server installiert, aber von außen nicht erreichbar. Welche Schicht-4-Prüfungen sind sinnvoll? Antwort anzeigen Sinnvolle Prüfungen: Lauscht der Dienst auf dem erwarteten Port? Nutzt er TCP oder UDP? Lauscht er auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Ist NAT oder Portweiterleitung korrekt? Gibt es Logs? Merksatz: Bei Dienstproblemen Port, Protokoll, Dienststatus und Firewall prüfen. Aufgabe 37 Ein DNS-Server antwortet nicht. Welche Portregel könnte fehlen? Antwort anzeigen Möglicherweise fehlt: UDP 53 und je nach Fall auch: TCP 53 Begründung: DNS nutzt meistens UDP 53, kann aber auch TCP 53 verwenden. Merksatz: DNS-Firewallregel: UDP 53 nicht vergessen, TCP 53 mitdenken. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Ein Server ist pingbar, aber die Webseite funktioniert nicht. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Netzwerk kaputt. Antwort B: ICMP-Erreichbarkeit ist vorhanden, aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein, nicht laufen oder falsch konfiguriert sein. Antwort anzeigen B ist besser. Begründung: Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP und Dienst-Erreichbarkeit über TCP-Port. Merksatz: Fehlerbild genau nach Protokoll einordnen. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden? Antwort A: Weil das immer so ist. Antwort B: TCP und UDP sind unterschiedliche Transportprotokolle. Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53. Deshalb müssen Protokoll und Port gemeinsam angegeben werden. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt, warum die Protokollangabe technisch relevant ist. Merksatz: Port plus Protokoll nennen. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum eignet sich TCP für Dateiübertragung? Antwort A: Weil TCP halt normal ist. Antwort B: TCP eignet sich, weil es verbindungsorientiert und zuverlässig ist, Daten bestätigt, verlorene Daten erneut überträgt und die Reihenfolge sicherstellt. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die technischen Eigenschaften, die bei Dateiübertragung wichtig sind. Merksatz: Bei Begründungen immer die passende Eigenschaft nennen. Mini-Prüfung: schnelle Zuordnung Frage Antwort Welche OSI-Schicht ist TCP? Schicht 4 Welche OSI-Schicht ist UDP? Schicht 4 Welche OSI-Schicht sind Ports? Schicht 4 Wofür steht TCP? Transmission Control Protocol Wofür steht UDP? User Datagram Protocol Was ist TCP? verbindungsorientiert und zuverlässig Was ist UDP? verbindungslos und schlank Wie startet TCP? SYN, SYN-ACK, ACK Was bedeutet LISTEN? Dienst wartet auf Verbindung Was bedeutet ESTABLISHED? Verbindung besteht Welcher Port ist SSH? TCP 22 Welcher Port ist HTTPS? TCP 443 Welcher Port ist SMB? TCP 445 Welcher Port ist RDP? TCP 3389 Welcher Port ist DNS? UDP/TCP 53 Welche Ports nutzt DHCP? UDP 67 und 68 Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema ping geht, SSH nicht TCP 22, SSH-Dienst, Firewall ping geht, HTTPS nicht TCP 443, Webdienst, Firewall, TLS DNS antwortet nicht UDP/TCP 53, DNS-Server, Firewall DHCP funktioniert nicht UDP 67/68, VLAN, Relay, Scope Dienst lauscht nicht Dienststatus oder Portkonfiguration Port offen, Login scheitert Authentifizierung Port offen, Zugriff verweigert Autorisierung SYN_SENT bleibt stehen keine Antwort, Firewall, Dienst oder Routing RDP aus Internet erreichbar Sicherheitsrisiko SMB öffentlich erreichbar hohes Sicherheitsrisiko IHK-sichere Kurzformulierung Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist. Merksätze Schicht 4 ist die Transportschicht. TCP und UDP gehören zu Schicht 4. Ports gehören zu Schicht 4. IP findet den Host. Port findet den Dienst. Zielport zeigt meist den Dienst. Quellport ist beim Client oft dynamisch. TCP ist verbindungsorientiert. TCP ist zuverlässig. TCP bestätigt Daten. TCP stellt Reihenfolge sicher. TCP startet mit SYN, SYN-ACK, ACK. UDP ist verbindungslos. UDP ist schlank. UDP hat keine eingebaute Zustellgarantie. UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. SSH nutzt TCP 22. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. SMB nutzt TCP 445. RDP nutzt TCP 3389. LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. ping ist kein Porttest. Host erreichbar heißt nicht Dienst erreichbar. Portnummer ohne TCP oder UDP ist unvollständig. Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll. RDP nicht offen ins Internet stellen. SMB nicht offen ins Internet stellen. SFTP nutzt SSH und damit TCP 22. FTPS ist FTP mit TLS. Bei Dienstproblemen: Port, Protokoll, Dienststatus und Firewall prüfen. 20.6 Trainer – Schicht 4 / TCP, UDP, Ports und Schicht 4 Diese Trainer-Seite wiederholt die OSI-Schicht 4, TCP, UDP, Ports und typische Fehlerbilder auf der Transportschicht. Ziel ist, Prüfungsfragen zu zuverlässiger Übertragung, verbindungsloser Übertragung, Portnummern, Dienstzuordnung und Firewall-Fehlersuche sicher zu beantworten. Merksatz: Schicht 4 fragt: Ist der richtige Dienst über den richtigen Port erreichbar? Lernziele Nach dieser Seite solltest du sicher können: - OSI-Schicht 4 einordnen - TCP und UDP unterscheiden - Ports erklären - Quellport und Zielport unterscheiden - wichtige Standardports nennen - TCP-Verbindungsaufbau erklären - typische TCP-Status einordnen - Portprobleme erkennen - erklären, warum ping keinen Porttest ersetzt Kurzüberblick: OSI-Schicht 4 OSI-Schicht 4 heißt: Transportschicht Aufgabe: Ende-zu-Ende-Kommunikation zwischen Anwendungen ermöglichen. Typische Begriffe: TCP UDP Port Segment Datagramm Verbindungsaufbau Three-Way Handshake LISTEN ESTABLISHED Merksatz: Schicht 4 ordnet Netzwerkverkehr dem richtigen Dienst zu. TCP kurz erklärt TCP steht für: Transmission Control Protocol Eigenschaften: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher sendet verlorene Daten erneut nutzt Ports Typische Dienste: HTTPS SSH SMTP IMAP SMB RDP Merksatz: TCP = zuverlässig und verbindungsorientiert. UDP kurz erklärt UDP steht für: User Datagram Protocol Eigenschaften: verbindungslos schnell wenig Overhead keine eingebaute Zustellgarantie keine eingebaute Reihenfolgegarantie nutzt Ports Typische Dienste: DNS DHCP NTP SNMP VoIP Streaming Merksatz: UDP = schnell, schlank und verbindungslos. Aufgabe 1 Wie heißt OSI-Schicht 4? Antwort anzeigen OSI-Schicht 4 heißt: Transportschicht Englisch: Transport Layer Aufgabe: Kommunikation zwischen Anwendungen oder Prozessen über Ports ermöglichen. Merksatz: Schicht 4 = TCP, UDP und Ports. Aufgabe 2 Welche Protokolle gehören typisch zu OSI-Schicht 4? A: TCP und UDP B: IP und ICMP C: Ethernet und ARP D: HTTP und DNS Antwort anzeigen Richtig ist: A: TCP und UDP Begründung: TCP und UDP sind Transportprotokolle und gehören zur OSI-Schicht 4. Merksatz: TCP und UDP = Transportschicht. Aufgabe 3 Was ist ein Port? Antwort anzeigen Ein Port ist eine logische Nummer, mit der ein Dienst oder Prozess auf einem Host angesprochen wird. Beispiel: 192.168.1.10:443 Bedeutung: Host: 192.168.1.10 Dienst: Port 443 Merksatz: IP findet den Host. Port findet den Dienst. Aufgabe 4 Welche OSI-Schicht ist für Portnummern zuständig? Antwort anzeigen Portnummern gehören zu: OSI-Schicht 4 Begründung: Ports werden von TCP und UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Merksatz: Ports = Schicht 4. Aufgabe 5 Was ist der Unterschied zwischen IP-Adresse und Port? Antwort anzeigen IP-Adresse: identifiziert den Host logisch im Netzwerk Port: identifiziert den Dienst oder Prozess auf diesem Host Beispiel: 192.168.1.10:22 192.168.1.10 = Host 22 = SSH-Dienst Merksatz: IP = welcher Rechner? Port = welcher Dienst? Aufgabe 6 Was ist der Unterschied zwischen Quellport und Zielport? Antwort anzeigen Quellport: Port auf dem sendenden System beim Client oft dynamisch Zielport: Port des angesprochenen Dienstes auf dem Server Beispiel: Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Hier ist 52344 der Quellport und 443 der Zielport. Merksatz: Zielport zeigt meistens den Dienst. Aufgabe 7 Welche Aussage ist richtig? A: TCP ist verbindungslos. B: UDP garantiert die Reihenfolge der Pakete. C: TCP ist verbindungsorientiert und zuverlässig. D: Ports gehören zu OSI-Schicht 3. Antwort anzeigen Richtig ist: C: TCP ist verbindungsorientiert und zuverlässig. Begründung: TCP baut eine Verbindung auf, bestätigt Daten und kann verlorene Daten erneut übertragen. Merksatz: TCP = zuverlässig. Aufgabe 8 Welche Aussage ist richtig? A: UDP ist immer besser als TCP. B: UDP ist verbindungslos und hat wenig Overhead. C: UDP baut immer einen Three-Way Handshake auf. D: UDP nutzt keine Ports. Antwort anzeigen Richtig ist: B: UDP ist verbindungslos und hat wenig Overhead. Begründung: UDP verzichtet auf einen Verbindungsaufbau und auf eingebaute Zustellgarantien. Dadurch ist es schlanker und schneller, aber weniger zuverlässig als TCP. Merksatz: UDP = verbindungslos und schlank. Aufgabe 9 Vergleiche TCP und UDP. Merkmal TCP UDP Verbindung ? ? Zuverlässigkeit ? ? Overhead ? ? Beispiel ? ? Antwort anzeigen Merkmal TCP UDP Verbindung verbindungsorientiert verbindungslos Zuverlässigkeit eingebaut keine eingebaute Garantie Overhead höher geringer Beispiel HTTPS, SSH, SMB DNS, DHCP, VoIP Merksatz: TCP für zuverlässige Übertragung. UDP für schnelle und schlanke Kommunikation. Aufgabe 10 Was ist der TCP Three-Way Handshake? Antwort anzeigen Der TCP Three-Way Handshake ist der Verbindungsaufbau bei TCP. Ablauf: 1. SYN 2. SYN-ACK 3. ACK Bedeutung: Client fragt Verbindung an. Server bestätigt und antwortet. Client bestätigt die Verbindung. Merksatz: TCP startet mit SYN, SYN-ACK, ACK. Aufgabe 11 Warum hat TCP mehr Overhead als UDP? Antwort anzeigen TCP hat mehr Overhead, weil es zusätzliche Funktionen bietet. Dazu gehören: Verbindungsaufbau Bestätigungen Sequenznummern erneute Übertragung Reihenfolgeprüfung Flusskontrolle Merksatz: TCP ist aufwendiger, weil es Zuverlässigkeit bietet. Aufgabe 12 Warum wird UDP häufig für DNS verwendet? Antwort anzeigen DNS-Anfragen sind oft klein und sollen schnell beantwortet werden. UDP ist dafür geeignet, weil es wenig Overhead hat und keinen TCP-Verbindungsaufbau benötigt. Wichtig: DNS kann bei Bedarf auch TCP 53 nutzen. Merksatz: DNS nutzt häufig UDP 53, aber TCP 53 nicht vergessen. Aufgabe 13 Warum eignet sich UDP für VoIP? Antwort anzeigen Bei VoIP ist geringe Verzögerung wichtig. Ein verlorenes Sprachpaket ist meist weniger schlimm als eine stark verspätete Übertragung. UDP ist dafür geeignet, weil es schnell und verbindungslos arbeitet. Merksatz: VoIP braucht geringe Latenz, daher ist UDP sinnvoll. Aufgabe 14 Ordne zu. Dienst TCP oder UDP? Port SSH ? ? HTTPS ? ? DNS ? ? DHCP Server ? ? RDP ? ? SMB ? ? Antwort anzeigen Dienst TCP oder UDP? Port SSH TCP 22 HTTPS TCP 443 DNS UDP/TCP 53 DHCP Server UDP 67 RDP TCP 3389 SMB TCP 445 Merksatz: Portnummer immer mit TCP oder UDP lernen. Aufgabe 15 Welchen Port nutzt SSH typischerweise? Antwort anzeigen SSH nutzt typischerweise: TCP 22 SSH steht für: Secure Shell Merksatz: SSH = TCP 22. Aufgabe 16 Welchen Port nutzt HTTPS typischerweise? Antwort anzeigen HTTPS nutzt typischerweise: TCP 443 HTTPS bedeutet: HTTP über TLS Merksatz: HTTPS = TCP 443. Aufgabe 17 Welche Ports nutzt DHCP? Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und 68. Aufgabe 18 Welchen Port nutzt DNS? Antwort anzeigen DNS nutzt: UDP 53 und bei Bedarf: TCP 53 Merksatz: DNS = UDP/TCP 53. Aufgabe 19 Welchen Port nutzt SMB typischerweise? Antwort anzeigen SMB nutzt typischerweise: TCP 445 SMB wird genutzt für: Datei- und Druckfreigaben Netzlaufwerke Merksatz: SMB = TCP 445. Aufgabe 20 Welchen Port nutzt RDP typischerweise? Antwort anzeigen RDP nutzt typischerweise: TCP 3389 RDP steht für: Remote Desktop Protocol Merksatz: RDP = TCP 3389. Aufgabe 21 Was bedeutet LISTEN bei TCP? Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Ein Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet auf Verbindung. Aufgabe 22 Was bedeutet ESTABLISHED bei TCP? Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht. Client und Server haben eine aktive Verbindung aufgebaut. Merksatz: ESTABLISHED = Verbindung besteht. Aufgabe 23 Was bedeutet SYN_SENT? Antwort anzeigen SYN_SENT bedeutet: Der Client hat einen Verbindungsaufbau gestartet und wartet auf eine Antwort. Mögliche Ursache, wenn es hängen bleibt: Ziel antwortet nicht Firewall blockiert Dienst läuft nicht Routingproblem Merksatz: SYN_SENT hängt oft bei fehlender Antwort. Aufgabe 24 Ein Host ist per ping erreichbar, aber SSH funktioniert nicht. Was ist wahrscheinlich? Antwort anzeigen Ping prüft ICMP. SSH nutzt TCP 22. Mögliche Ursachen: TCP 22 blockiert SSH-Dienst läuft nicht SSH lauscht auf anderem Port Firewall blockiert Zugriff nur aus bestimmten Netzen erlaubt Benutzer oder Schlüssel falsch Merksatz: Host erreichbar heißt nicht, dass der Dienst erreichbar ist. Aufgabe 25 Ein Webserver antwortet nicht auf HTTPS, ping funktioniert aber. Was sollte geprüft werden? Antwort anzeigen Zu prüfen: TCP 443 erreichbar? Webserver läuft? Dienst lauscht auf Port 443? Firewall erlaubt TCP 443? Reverse Proxy korrekt? TLS-Zertifikat korrekt? Anwendung fehlerfrei? Merksatz: ping geht, HTTPS nicht: TCP 443, Dienst und Firewall prüfen. Aufgabe 26 Warum ersetzt ping keinen Porttest? Antwort anzeigen ping prüft ICMP-Erreichbarkeit. ping prüft nicht: TCP 22 TCP 443 TCP 445 UDP 53 Dienststatus Anmeldung Rechte Anwendung Merksatz: ping prüft Host-Erreichbarkeit, nicht Dienstfunktion. Aufgabe 27 Welche Angaben braucht man für eine saubere Firewall-Regel? Antwort anzeigen Eine saubere Firewall-Regel enthält: Quelle Ziel Protokoll Port Richtung Aktion Zweck Beispiel: Quelle: Adminnetz Ziel: Server Protokoll: TCP Port: 22 Aktion: erlauben Zweck: SSH-Administration Merksatz: Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll. Aufgabe 28 Warum ist die Angabe „Port 53 erlauben“ ungenau? Antwort anzeigen Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. Bei DNS ist wichtig: UDP 53 für normale Abfragen TCP 53 für große Antworten, Zonentransfers oder bestimmte Spezialfälle Merksatz: Portnummer ohne TCP oder UDP ist unvollständig. Aufgabe 29 Was ist ein Well-Known Port? Antwort anzeigen Well-Known Ports sind bekannte Standardports. Bereich: 0 bis 1023 Beispiele: TCP 22 SSH TCP 80 HTTP TCP 443 HTTPS UDP/TCP 53 DNS Merksatz: Well-Known Ports sind bekannte Dienstports. Aufgabe 30 Was sind dynamische oder ephemeral Ports? Antwort anzeigen Dynamische Ports werden häufig von Clients als Quellports verwendet. Bereich: 49152 bis 65535 Beispiel: Client nutzt Quellport 52344 und verbindet sich zu Server TCP 443. Merksatz: Server hat bekannten Zielport. Client nutzt oft dynamischen Quellport. Aufgabe 31 Ein Client verbindet sich zu einem Webserver. Client: 192.168.1.50:52344 Server: 93.184.216.34:443 Welcher Port zeigt den Webdienst? Antwort anzeigen Der Webdienst wird durch den Zielport angezeigt: TCP 443 Der Quellport 52344 ist ein dynamischer Clientport. Merksatz: Zielport zeigt den Dienst. Aufgabe 32 Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute-Force-Angriffe Credential Stuffing Exploits unberechtigter Fernzugriff Sicherer: VPN RDP-Gateway MFA Firewall-Beschränkung auf bekannte Quellnetze Logging Merksatz: RDP nicht offen ins Internet stellen. Aufgabe 33 Warum sollte SMB nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein. Risiken: Datenabfluss Malware-Ausbreitung Brute Force Ausnutzung von Schwachstellen Zugriff auf interne Freigaben Merksatz: SMB gehört nicht offen ins Internet. Aufgabe 34 Was ist der Unterschied zwischen FTP, FTPS und SFTP? Antwort anzeigen FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS-Verschlüsselung SFTP: Dateiübertragung über SSH nutzt TCP 22 Merksatz: FTPS = FTP mit TLS. SFTP = Dateiübertragung über SSH. Aufgabe 35 Welche Aussage ist richtig? A: SFTP nutzt normalerweise TCP 22. B: SFTP ist dasselbe wie FTPS. C: FTP ist immer verschlüsselt. D: SMB nutzt UDP 53. Antwort anzeigen Richtig ist: A: SFTP nutzt normalerweise TCP 22. Begründung: SFTP läuft über SSH und nutzt daher typischerweise TCP 22. Merksatz: SFTP gehört zu SSH, nicht zu FTPS. Aufgabe 36 Ein Dienst ist auf dem Server installiert, aber von außen nicht erreichbar. Welche Schicht-4-Prüfungen sind sinnvoll? Antwort anzeigen Sinnvolle Prüfungen: Lauscht der Dienst auf dem erwarteten Port? Nutzt er TCP oder UDP? Lauscht er auf der richtigen Schnittstelle? Blockiert die lokale Firewall? Blockiert eine Netzwerkfirewall? Ist NAT oder Portweiterleitung korrekt? Gibt es Logs? Merksatz: Bei Dienstproblemen Port, Protokoll, Dienststatus und Firewall prüfen. Aufgabe 37 Ein DNS-Server antwortet nicht. Welche Portregel könnte fehlen? Antwort anzeigen Möglicherweise fehlt: UDP 53 und je nach Fall auch: TCP 53 Begründung: DNS nutzt meistens UDP 53, kann aber auch TCP 53 verwenden. Merksatz: DNS-Firewallregel: UDP 53 nicht vergessen, TCP 53 mitdenken. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Ein Server ist pingbar, aber die Webseite funktioniert nicht. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Netzwerk kaputt. Antwort B: ICMP-Erreichbarkeit ist vorhanden, aber der Webdienst auf TCP 80 oder TCP 443 könnte blockiert sein, nicht laufen oder falsch konfiguriert sein. Antwort anzeigen B ist besser. Begründung: Die Antwort unterscheidet zwischen Host-Erreichbarkeit per ICMP und Dienst-Erreichbarkeit über TCP-Port. Merksatz: Fehlerbild genau nach Protokoll einordnen. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Warum muss man bei Firewall-Regeln TCP und UDP unterscheiden? Antwort A: Weil das immer so ist. Antwort B: TCP und UDP sind unterschiedliche Transportprotokolle. Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53. Deshalb müssen Protokoll und Port gemeinsam angegeben werden. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt, warum die Protokollangabe technisch relevant ist. Merksatz: Port plus Protokoll nennen. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum eignet sich TCP für Dateiübertragung? Antwort A: Weil TCP halt normal ist. Antwort B: TCP eignet sich, weil es verbindungsorientiert und zuverlässig ist, Daten bestätigt, verlorene Daten erneut überträgt und die Reihenfolge sicherstellt. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die technischen Eigenschaften, die bei Dateiübertragung wichtig sind. Merksatz: Bei Begründungen immer die passende Eigenschaft nennen. Mini-Prüfung: schnelle Zuordnung Frage Antwort Welche OSI-Schicht ist TCP? Schicht 4 Welche OSI-Schicht ist UDP? Schicht 4 Welche OSI-Schicht sind Ports? Schicht 4 Wofür steht TCP? Transmission Control Protocol Wofür steht UDP? User Datagram Protocol Was ist TCP? verbindungsorientiert und zuverlässig Was ist UDP? verbindungslos und schlank Wie startet TCP? SYN, SYN-ACK, ACK Was bedeutet LISTEN? Dienst wartet auf Verbindung Was bedeutet ESTABLISHED? Verbindung besteht Welcher Port ist SSH? TCP 22 Welcher Port ist HTTPS? TCP 443 Welcher Port ist SMB? TCP 445 Welcher Port ist RDP? TCP 3389 Welcher Port ist DNS? UDP/TCP 53 Welche Ports nutzt DHCP? UDP 67 und 68 Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema ping geht, SSH nicht TCP 22, SSH-Dienst, Firewall ping geht, HTTPS nicht TCP 443, Webdienst, Firewall, TLS DNS antwortet nicht UDP/TCP 53, DNS-Server, Firewall DHCP funktioniert nicht UDP 67/68, VLAN, Relay, Scope Dienst lauscht nicht Dienststatus oder Portkonfiguration Port offen, Login scheitert Authentifizierung Port offen, Zugriff verweigert Autorisierung SYN_SENT bleibt stehen keine Antwort, Firewall, Dienst oder Routing RDP aus Internet erreichbar Sicherheitsrisiko SMB öffentlich erreichbar hohes Sicherheitsrisiko IHK-sichere Kurzformulierung Die OSI-Schicht 4 ist die Transportschicht. Sie sorgt dafür, dass Daten dem richtigen Dienst oder Prozess zugeordnet werden. Dafür nutzen TCP und UDP Portnummern. TCP ist verbindungsorientiert und zuverlässig. Es baut eine Verbindung über den Three-Way Handshake auf, bestätigt Daten und kann verlorene Daten erneut übertragen. UDP ist verbindungslos, schlank und hat keine eingebaute Zustellgarantie. Es eignet sich für schnelle oder zeitkritische Kommunikation wie DNS, DHCP, NTP oder VoIP. Bei der Fehlersuche muss zwischen Host-Erreichbarkeit und Dienst-Erreichbarkeit unterschieden werden. ping prüft ICMP, aber nicht, ob ein TCP- oder UDP-Port erreichbar ist. Merksätze Schicht 4 ist die Transportschicht. TCP und UDP gehören zu Schicht 4. Ports gehören zu Schicht 4. IP findet den Host. Port findet den Dienst. Zielport zeigt meist den Dienst. Quellport ist beim Client oft dynamisch. TCP ist verbindungsorientiert. TCP ist zuverlässig. TCP bestätigt Daten. TCP stellt Reihenfolge sicher. TCP startet mit SYN, SYN-ACK, ACK. UDP ist verbindungslos. UDP ist schlank. UDP hat keine eingebaute Zustellgarantie. UDP ist nicht schlechter, sondern für andere Anforderungen gebaut. SSH nutzt TCP 22. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS nutzt UDP und TCP 53. DHCP nutzt UDP 67 und 68. SMB nutzt TCP 445. RDP nutzt TCP 3389. LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. ping ist kein Porttest. Host erreichbar heißt nicht Dienst erreichbar. Portnummer ohne TCP oder UDP ist unvollständig. Firewall-Regeln brauchen Quelle, Ziel, Port und Protokoll. RDP nicht offen ins Internet stellen. SMB nicht offen ins Internet stellen. SFTP nutzt SSH und damit TCP 22. FTPS ist FTP mit TLS. Bei Dienstproblemen: Port, Protokoll, Dienststatus und Firewall prüfen. 20.7 Trainer - Schicht 5-7 Sitzung, Darstellung, Anwendung Diese Trainer-Seite wiederholt die oberen OSI-Schichten: - Schicht 5 Sitzungsschicht - Schicht 6 Darstellungsschicht - Schicht 7 Anwendungsschicht Ziel ist, typische Prüfungsfragen zu Sessions, TLS, Zertifikaten, DNS, DHCP, HTTP, E-Mail, Dateifreigaben und Anwendungsfehlern sicher zu beantworten. Merksatz: Schicht 5 hält Sitzungen. Schicht 6 stellt Daten dar und schützt sie. Schicht 7 stellt Netzwerkdienste für Anwendungen bereit. Lernziele Nach dieser Seite solltest du sicher können: - OSI-Schicht 5, 6 und 7 unterscheiden - Session, Cookie und Token einordnen - TLS und Zertifikate erklären - typische Zertifikatsfehler erkennen - DNS und DHCP einordnen - HTTP-Statuscodes unterscheiden - E-Mail-Protokolle zuordnen - Datei- und Freigabeprotokolle unterscheiden - typische Anwendungsfehler prüfen Kurzüberblick: obere OSI-Schichten OSI-Schicht Name Hauptaufgabe Beispiele 7 Anwendungsschicht Netzwerkdienste für Anwendungen HTTP, DNS, DHCP, SMTP, SMB 6 Darstellungsschicht Datenformat, Codierung, Verschlüsselung TLS, Zertifikate, Zeichensatz 5 Sitzungsschicht Sitzungen aufbauen, halten, beenden Session, Cookie, Token, Timeout Merksatz: 5 = Sitzung. 6 = Darstellung und Verschlüsselung. 7 = Anwendungsdienste. Aufgabe 1 Wie heißt OSI-Schicht 5? Antwort anzeigen OSI-Schicht 5 heißt: Sitzungsschicht Englisch: Session Layer Aufgabe: Kommunikationssitzungen aufbauen, verwalten und beenden. Merksatz: Schicht 5 = Sitzungen. Aufgabe 2 Wie heißt OSI-Schicht 6? Antwort anzeigen OSI-Schicht 6 heißt: Darstellungsschicht Englisch: Presentation Layer Aufgabe: Datenformat, Codierung, Kompression und Verschlüsselung darstellen oder umwandeln. Merksatz: Schicht 6 = Darstellung, Format und Verschlüsselung. Aufgabe 3 Wie heißt OSI-Schicht 7? Antwort anzeigen OSI-Schicht 7 heißt: Anwendungsschicht Englisch: Application Layer Aufgabe: Netzwerkdienste für Anwendungen bereitstellen. Beispiele: HTTP DNS DHCP SMTP IMAP SMB Merksatz: Schicht 7 = Anwendungsprotokolle. Aufgabe 4 Ordne die Begriffe der richtigen OSI-Schicht zu. Begriff OSI-Schicht Session ? TLS-Zertifikat ? HTTP ? DNS ? Cookie ? Zeichensatz ? Antwort anzeigen Begriff OSI-Schicht Session Schicht 5 TLS-Zertifikat Schicht 6 HTTP Schicht 7 DNS Schicht 7 Cookie Schicht 5 / Anwendungskontext Zeichensatz Schicht 6 Merksatz: Session = 5. TLS = 6. HTTP und DNS = 7. Aufgabe 5 Was ist eine Session? Antwort anzeigen Eine Session ist eine zusammenhängende Kommunikationssitzung zwischen Client und Server. Beispiel: Benutzer meldet sich bei einer Webanwendung an. Die Anwendung merkt sich über eine Session, dass der Benutzer angemeldet ist. Typische Begriffe: Session-ID Cookie Token Timeout Merksatz: Session = zusammenhängende Sitzung. Aufgabe 6 Was ist ein Session-Timeout? Antwort anzeigen Ein Session-Timeout beendet eine Sitzung nach einer bestimmten Zeit ohne Aktivität oder nach Ablauf einer festgelegten Zeit. Zweck: Sicherheit erhöhen verlassene Sitzungen beenden Ressourcen freigeben Merksatz: Timeout beendet inaktive oder abgelaufene Sitzungen. Aufgabe 7 Ein Benutzer wird ständig aus einer Webanwendung abgemeldet. Welche OSI-Schicht ist wahrscheinlich betroffen? Antwort anzeigen Wahrscheinlich betroffen: OSI-Schicht 5 Mögliche Ursachen: Session-Timeout zu kurz Cookie wird nicht gespeichert Token läuft ab Load Balancer ohne Session Persistence Browser blockiert Cookies Merksatz: Ständige Abmeldung: Session, Cookie oder Token prüfen. Aufgabe 8 Was ist ein Cookie im Webkontext? Antwort anzeigen Ein Cookie ist eine kleine Information, die der Browser für eine Webseite speichert. Nutzung: Session-ID speichern Login-Status unterstützen Einstellungen speichern Warenkorb erhalten Sicherheitsattribute: Secure HttpOnly SameSite Merksatz: Cookie kann helfen, eine Sitzung wiederzuerkennen. Aufgabe 9 Was bedeutet das Cookie-Attribut Secure? Antwort anzeigen Secure bedeutet: Das Cookie soll nur über HTTPS übertragen werden. Ziel: Schutz vor Übertragung über unverschlüsselte Verbindungen. Merksatz: Secure-Cookie nur über HTTPS. Aufgabe 10 Was bedeutet das Cookie-Attribut HttpOnly? Antwort anzeigen HttpOnly bedeutet: Das Cookie soll nicht durch JavaScript ausgelesen werden können. Ziel: Risiko bei XSS-Angriffen reduzieren. Merksatz: HttpOnly erschwert Cookie-Diebstahl per JavaScript. Aufgabe 11 Was bedeutet das Cookie-Attribut SameSite? Antwort anzeigen SameSite steuert, ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden. Ziel: Schutz gegen CSRF-Angriffe verbessern. Merksatz: SameSite hilft gegen CSRF. Aufgabe 12 Was ist TLS? Antwort anzeigen TLS steht für: Transport Layer Security Aufgabe: verschlüsselte und abgesicherte Kommunikation ermöglichen. TLS schützt unter anderem: Vertraulichkeit Integrität Authentizität des Servers über Zertifikate Typisch bei: HTTPS Merksatz: TLS verschlüsselt und schützt die Verbindung. Aufgabe 13 Welche OSI-Schicht passt am besten zu TLS und Zertifikaten? Antwort anzeigen Am besten passt: OSI-Schicht 6 Begründung: TLS, Zertifikate, Verschlüsselung und Darstellung der Daten werden typischerweise der Darstellungsschicht zugeordnet. Merksatz: TLS und Zertifikate: Schicht 6. Aufgabe 14 Was ist ein Zertifikat? Antwort anzeigen Ein Zertifikat bestätigt die Identität eines Servers oder einer Stelle. Es enthält unter anderem: Namen des Inhabers öffentlichen Schlüssel Aussteller Gültigkeitszeitraum Signatur der Zertifizierungsstelle Zweck: Serverauthentizität prüfen verschlüsselte Verbindung absichern Merksatz: Zertifikat bestätigt: Dieser Server ist der richtige. Aufgabe 15 Nenne vier typische Zertifikatsfehler. Antwort anzeigen Typische Fehler: Zertifikat abgelaufen Hostname passt nicht Zertifikatskette unvollständig Zertifizierungsstelle nicht vertrauenswürdig Systemzeit falsch falsches Zertifikat installiert Merksatz: Zertifikatsfehler: Ablauf, Name, Kette, Vertrauen, Zeit. Aufgabe 16 Ein Browser zeigt eine Zertifikatswarnung. Was sollte geprüft werden? Antwort anzeigen Prüfen: Ablaufdatum des Zertifikats Hostname / SAN / CN Zertifikatskette vertrauenswürdige CA Systemzeit des Clients richtiges Zertifikat auf dem Server Merksatz: Zertifikatswarnung: Ablauf, Name, Kette und Zeit prüfen. Aufgabe 17 Was ist der Unterschied zwischen HTTP und HTTPS? Antwort anzeigen HTTP: unverschlüsselte Webkommunikation typischer Port: TCP 80 HTTPS: HTTP über TLS verschlüsselte Webkommunikation typischer Port: TCP 443 Merksatz: HTTPS = HTTP plus TLS. Aufgabe 18 Welche OSI-Schicht ist HTTP? Antwort anzeigen HTTP gehört zu: OSI-Schicht 7 Begründung: HTTP ist ein Anwendungsprotokoll für Webkommunikation. Merksatz: HTTP = Anwendungsschicht. Aufgabe 19 Ordne HTTP-Statuscodes zu. Statuscode Bedeutung 200 ? 301 / 302 ? 401 ? 403 ? 404 ? 500 ? 502 ? 503 ? Antwort anzeigen Statuscode Bedeutung 200 erfolgreich 301 / 302 Weiterleitung 401 nicht authentifiziert 403 verboten 404 nicht gefunden 500 interner Serverfehler 502 Gateway oder Backend-Fehler 503 Dienst nicht verfügbar Merksatz: 4xx eher Client, Anfrage oder Rechte. 5xx eher Server, Anwendung oder Backend. Aufgabe 20 Was bedeutet HTTP 401? Antwort anzeigen HTTP 401 bedeutet: nicht authentifiziert Der Benutzer ist nicht oder nicht korrekt angemeldet. Merksatz: 401 = Anmeldung fehlt oder ungültig. Aufgabe 21 Was bedeutet HTTP 403? Antwort anzeigen HTTP 403 bedeutet: verboten Der Benutzer ist zwar möglicherweise bekannt, hat aber keine Berechtigung für die Ressource. Merksatz: 403 = Zugriff verboten. Aufgabe 22 Was bedeutet HTTP 404? Antwort anzeigen HTTP 404 bedeutet: nicht gefunden Die angeforderte Ressource existiert unter dieser Adresse nicht oder ist nicht erreichbar. Merksatz: 404 = Ressource nicht gefunden. Aufgabe 23 Was bedeutet HTTP 500? Antwort anzeigen HTTP 500 bedeutet: interner Serverfehler Das Problem liegt eher auf Serverseite, zum Beispiel in Anwendung, Konfiguration oder Backend. Merksatz: 500 = serverseitiger Anwendungsfehler. Aufgabe 24 Was bedeutet HTTP 502? Antwort anzeigen HTTP 502 bedeutet: Bad Gateway Typisch bei: Reverse Proxy Load Balancer Gateway Mögliche Ursache: Backend nicht erreichbar Backend antwortet fehlerhaft falsche Proxy-Konfiguration Merksatz: 502: Gateway oder Proxy erreicht Backend nicht korrekt. Aufgabe 25 Was ist DNS? Antwort anzeigen DNS steht für: Domain Name System Aufgabe: Namen in IP-Adressen auflösen. Beispiel: www.example.com wird zu: IPv4- oder IPv6-Adresse OSI-Schicht: Schicht 7 Merksatz: DNS löst Namen auf. Aufgabe 26 IP-Adresse funktioniert, Name funktioniert nicht. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Die IP-Kommunikation funktioniert, aber die Namensauflösung funktioniert nicht korrekt. Prüfen: DNS-Server DNS-Eintrag DNS-Cache DNS-Suffix Split-DNS Merksatz: IP ja, Name nein: DNS. Aufgabe 27 Was ist DHCP? Antwort anzeigen DHCP steht für: Dynamic Host Configuration Protocol Aufgabe: automatische Verteilung von Netzwerkkonfigurationen. Typische Informationen: IP-Adresse Subnetzmaske Standardgateway DNS-Server Lease-Zeit OSI-Schicht: Schicht 7 Merksatz: DHCP verteilt IP-Konfiguration. Aufgabe 28 Was bedeutet DHCP-DORA? Antwort anzeigen DORA beschreibt den DHCP-Ablauf: Discover Offer Request Acknowledge Merksatz: DHCP-DORA: Discover, Offer, Request, Acknowledge. Aufgabe 29 Welche Ports nutzt DHCP? Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und 68. Aufgabe 30 Was bedeutet 169.254.x.x? Antwort anzeigen 169.254.x.x ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige Adresse per DHCP erhalten und sich selbst eine automatische Adresse gegeben. Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. Aufgabe 31 Was ist SMTP? Antwort anzeigen SMTP steht für: Simple Mail Transfer Protocol Aufgabe: E-Mails senden Typische Nutzung: Mailserver zu Mailserver Mailversand durch Clients je nach Port und Konfiguration Merksatz: SMTP sendet E-Mails. Aufgabe 32 Was ist IMAP? Antwort anzeigen IMAP steht für: Internet Message Access Protocol Aufgabe: E-Mails auf dem Mailserver abrufen und synchron verwalten. Vorteil: E-Mails bleiben serverseitig verwaltet und sind auf mehreren Geräten synchron. Merksatz: IMAP synchronisiert E-Mails. Aufgabe 33 Was ist POP3? Antwort anzeigen POP3 steht für: Post Office Protocol Version 3 Aufgabe: E-Mails vom Server abrufen. Typisch: eher einfaches Herunterladen von E-Mails Merksatz: POP3 ruft E-Mails ab, IMAP synchronisiert sie. Aufgabe 34 Ordne E-Mail-Protokolle zu. Protokoll Aufgabe SMTP ? IMAP ? POP3 ? Antwort anzeigen Protokoll Aufgabe SMTP E-Mail senden IMAP E-Mail abrufen und synchron verwalten POP3 E-Mail abrufen Merksatz: SMTP raus. IMAP und POP3 rein. Aufgabe 35 Was ist SMB? Antwort anzeigen SMB steht für: Server Message Block Aufgabe: Datei- und Druckfreigaben im Netzwerk bereitstellen. Typische Nutzung: Netzlaufwerke Windows-Freigaben Druckerfreigaben Typischer Port: TCP 445 Merksatz: SMB = Dateifreigaben über TCP 445. Aufgabe 36 Was ist der Unterschied zwischen FTP, FTPS und SFTP? Antwort anzeigen FTP: klassisches File Transfer Protocol meist TCP 21 unverschlüsselt FTPS: FTP mit TLS SFTP: Dateiübertragung über SSH meist TCP 22 Merksatz: FTPS = FTP mit TLS. SFTP = Dateiübertragung über SSH. Aufgabe 37 Ein Benutzer kann sich anmelden, aber eine Datei nicht öffnen. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: Autorisierungs- oder Berechtigungsproblem Begründung: Die Anmeldung funktioniert bereits. Das Problem liegt daher eher bei Rechten, Gruppen, ACLs, Freigaberechten oder Dateisystemrechten. Merksatz: Login ja, Zugriff nein: Rechte prüfen. Aufgabe 38 Ein Benutzer kann sich nicht anmelden. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: Authentifizierungsproblem Mögliche Ursachen: falsches Passwort Konto gesperrt MFA-Problem Verzeichnisdienst nicht erreichbar Zeitproblem bei Kerberos oder Token Merksatz: Anmeldung scheitert: Authentifizierung prüfen. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Ein Browser zeigt HTTP 500. Was bedeutet das? Antwort A: Das Internet ist kaputt. Antwort B: HTTP 500 deutet auf einen internen Serverfehler hin, zum Beispiel in Anwendung, Konfiguration oder Backend. Server- und Anwendungslogs sollten geprüft werden. Antwort anzeigen B ist besser. Begründung: Die Antwort ordnet den Statuscode fachlich korrekt ein und nennt eine sinnvolle Prüfung. Merksatz: 5xx: Server, Anwendung oder Backend prüfen. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum ist HTTPS sicherer als HTTP? Antwort A: Weil das Schloss im Browser angezeigt wird. Antwort B: HTTPS nutzt HTTP über TLS. Dadurch wird die Verbindung verschlüsselt und die Identität des Servers kann über Zertifikate geprüft werden. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die technischen Sicherheitsfunktionen: Verschlüsselung und Zertifikatsprüfung. Merksatz: HTTPS = HTTP plus TLS. Mini-Prüfung: schnelle Zuordnung Frage Antwort Welche OSI-Schicht ist Session? Schicht 5 Welche OSI-Schicht ist TLS? Schicht 6 Welche OSI-Schicht ist HTTP? Schicht 7 Welche OSI-Schicht ist DNS? Schicht 7 Welche OSI-Schicht ist DHCP? Schicht 7 Was macht DNS? Namen auflösen Was macht DHCP? IP-Konfiguration verteilen Was macht SMTP? E-Mail senden Was macht IMAP? E-Mail synchron abrufen Was macht POP3? E-Mail abrufen Was macht SMB? Datei- und Druckfreigaben Was bedeutet HTTP 404? nicht gefunden Was bedeutet HTTP 500? interner Serverfehler Was bedeutet 401? nicht authentifiziert Was bedeutet 403? verboten Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema ständig ausgeloggt Session, Cookie, Token Zertifikatswarnung TLS, Zertifikat, Zeit IP geht, Name nicht DNS 169.254.x.x DHCP HTTP 401 Authentifizierung HTTP 403 Autorisierung / Rechte HTTP 404 Ressource nicht gefunden HTTP 500 Server oder Anwendung HTTP 502 Gateway, Proxy oder Backend Login ja, Datei nein Berechtigung Anmeldung scheitert Authentifizierung SMB nicht erreichbar TCP 445, Firewall, Rechte, Dienst IHK-sichere Kurzformulierung Die oberen OSI-Schichten behandeln Sitzungen, Darstellung und Anwendungsdienste. Schicht 5 verwaltet Sitzungen, zum Beispiel Session-IDs, Cookies, Token und Timeouts. Schicht 6 ist für Darstellung, Codierung, Kompression und Verschlüsselung zuständig; TLS und Zertifikate werden häufig hier eingeordnet. Schicht 7 stellt Anwendungsprotokolle bereit, zum Beispiel HTTP, DNS, DHCP, SMTP, IMAP, POP3 und SMB. DNS löst Namen in IP-Adressen auf, DHCP verteilt Netzwerkkonfigurationen. HTTP-Statuscodes helfen bei der Fehlersuche: 401 bedeutet nicht authentifiziert, 403 verboten, 404 nicht gefunden und 500 interner Serverfehler. Bei Anwendungsfehlern sollten Dienst, Port, DNS, Rechte, TLS und Logs gezielt geprüft werden. Merksätze Schicht 5 ist die Sitzungsschicht. Schicht 6 ist die Darstellungsschicht. Schicht 7 ist die Anwendungsschicht. Session, Cookie und Token gehören zur Sitzungsverwaltung. Timeout beendet Sitzungen. TLS schützt Verbindungen. Zertifikate prüfen Serveridentität. Zertifikatsfehler: Ablauf, Name, Kette, Vertrauen, Zeit. HTTP ist Schicht 7. HTTPS = HTTP plus TLS. HTTP nutzt TCP 80. HTTPS nutzt TCP 443. DNS löst Namen auf. DNS nutzt UDP und TCP 53. DHCP verteilt IP-Konfiguration. DHCP nutzt UDP 67 und 68. DHCP-DORA: Discover, Offer, Request, Acknowledge. 169.254.x.x deutet auf DHCP-Problem hin. SMTP sendet E-Mails. IMAP synchronisiert E-Mails. POP3 ruft E-Mails ab. SMB stellt Datei- und Druckfreigaben bereit. SMB nutzt TCP 445. FTP ist unverschlüsselt. FTPS ist FTP mit TLS. SFTP nutzt SSH. 401 = nicht authentifiziert. 403 = verboten. 404 = nicht gefunden. 500 = interner Serverfehler. 502 = Gateway oder Backend-Fehler. IP ja, Name nein: DNS. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. 5xx: Server, Anwendung oder Backend prüfen. 20.8 Trainer – Firewall, NAT, PAT, Portweiterleitung und DMZ Diese Trainer-Seite wiederholt Firewalls, NAT, PAT, Portweiterleitung und DMZ. Ziel ist, typische Prüfungsfragen zu Sicherheitszonen, Firewall-Regeln, Adressübersetzung, öffentlichen Diensten und Fehlersuche sicher zu beantworten. Merksatz: Firewall filtert. NAT übersetzt. PAT nutzt Ports. DMZ trennt öffentliche Dienste vom internen Netz. Lernziele Nach dieser Seite solltest du sicher können: - Firewall und NAT unterscheiden - Firewall-Regeln fachlich sauber beschreiben - Default Deny erklären - Any-to-Any-Regeln bewerten - NAT, PAT und Portweiterleitung unterscheiden - private IPv4-Adressen einordnen - DMZ erklären - Sicherheitszonen verstehen - typische Fehler bei Firewall, NAT und Portweiterleitung erkennen Kurzüberblick Begriff Hauptaufgabe Firewall Verkehr erlauben oder blockieren NAT IP-Adressen übersetzen PAT IP-Adressen und Ports übersetzen Portweiterleitung externen Port auf internen Dienst weiterleiten DMZ öffentlich erreichbare Dienste vom internen Netz trennen Default Deny standardmäßig blockieren, nur gezielt erlauben Any-to-Any jede Quelle zu jedem Ziel, meist kritisch Merksatz: Nicht alles, was auf demselben Gerät läuft, ist fachlich dasselbe. Aufgabe 1 Was macht eine Firewall? Antwort anzeigen Eine Firewall filtert Netzwerkverkehr. Sie entscheidet anhand von Regeln, ob Verkehr erlaubt oder blockiert wird. Typische Kriterien: Quelle Ziel Port Protokoll Richtung Zone Benutzer Anwendung Zustand der Verbindung Merksatz: Firewall = kontrollierter Verkehr. Aufgabe 2 Welche Angaben gehören in eine saubere Firewall-Regel? Antwort anzeigen Eine saubere Firewall-Regel enthält: Quelle Ziel Protokoll Port Richtung Aktion Zweck Verantwortlicher Datum oder Änderungsgrund Beispiel: Quelle Ziel Protokoll Port Aktion Zweck Adminnetz Server TCP 22 erlauben SSH-Administration Internet Datenbank TCP 5432 blockieren Datenbank schützen Clientnetz Webserver-DMZ TCP 443 erlauben HTTPS-Zugriff Merksatz: Firewall-Regeln brauchen Quelle, Ziel, Port, Protokoll und Zweck. Aufgabe 3 Was bedeutet Default Deny? Antwort anzeigen Default Deny bedeutet: Standardmäßig ist Verkehr verboten. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteile: kleinere Angriffsfläche bessere Kontrolle weniger unbeabsichtigte Freigaben klarere Sicherheitsstruktur Merksatz: Erst blockieren, dann gezielt erlauben. Aufgabe 4 Warum ist eine Any-to-Any-Regel kritisch? Antwort anzeigen Any-to-Any bedeutet: jede Quelle zu jedem Ziel Risiken: sehr große Angriffsfläche schlechte Nachvollziehbarkeit Sicherheitszonen werden umgangen unnötige Freigaben Fehler schwerer erkennbar Besser: genaue Regel mit Quelle, Ziel, Port, Protokoll und dokumentiertem Zweck. Merksatz: Any-to-Any ist fast immer kritisch. Aufgabe 5 Was ist der Unterschied zwischen Stateless Firewall und Stateful Firewall? Antwort anzeigen Stateless Firewall: prüft jedes Paket einzeln merkt sich keinen Verbindungszustand Stateful Firewall: merkt sich bestehende Verbindungen lässt Antwortpakete zu bestehenden Verbindungen automatisch zu Beispiel: Client startet HTTPS-Verbindung nach außen. Stateful Firewall erkennt, dass die Antwortpakete zur bestehenden Verbindung gehören. Merksatz: Stateful Firewall kennt Verbindungszustände. Aufgabe 6 Was ist eine Firewall-Zone? Antwort anzeigen Eine Firewall-Zone ist ein Netzbereich mit bestimmtem Schutzbedarf. Beispiele: Internet DMZ internes Netz Servernetz Clientnetz Gastnetz Managementnetz Ziel: Regeln übersichtlich nach Sicherheitsbereichen aufbauen. Merksatz: Zonen strukturieren Sicherheitsregeln. Aufgabe 7 Was ist eine DMZ? Antwort anzeigen DMZ steht für: Demilitarized Zone Eine DMZ ist ein getrenntes Netzwerk für Dienste, die von außen erreichbar sein müssen. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: öffentliche Dienste vom internen Netz trennen. Merksatz: DMZ trennt öffentliche Dienste vom internen Netz. Aufgabe 8 Warum stellt man öffentlich erreichbare Server nicht direkt ins interne Netz? Antwort anzeigen Öffentlich erreichbare Server haben eine größere Angriffsfläche. Wenn ein solcher Server kompromittiert wird, soll der Angreifer nicht direkt Zugriff auf interne Systeme erhalten. Deshalb werden solche Systeme in eine DMZ gestellt und durch Firewall-Regeln vom internen Netz getrennt. Merksatz: Öffentliche Dienste gehören in eine getrennte Zone. Aufgabe 9 Welche Regel ist sicherer? A: Internet zu internes Netz, any, erlauben B: Internet zu Webserver-DMZ, TCP 443, erlauben Antwort anzeigen Sicherer ist: B Begründung: Die Regel ist gezielter. Sie erlaubt nur HTTPS-Verkehr zum Webserver in der DMZ. Regel A erlaubt dagegen sehr breit Verkehr aus dem Internet ins interne Netz. Merksatz: Je genauer die Regel, desto besser kontrollierbar. Aufgabe 10 Was ist NAT? Antwort anzeigen NAT steht für: Network Address Translation Aufgabe: IP-Adressen übersetzen. Typischer Einsatz: private interne IPv4-Adressen werden beim Zugriff ins Internet in eine öffentliche IPv4-Adresse übersetzt. Merksatz: NAT übersetzt Adressen. Aufgabe 11 Warum wird NAT häufig eingesetzt? Antwort anzeigen Gründe: private IPv4-Adressen intern nutzen öffentliche IPv4-Adressen sparen vielen Clients Internetzugriff ermöglichen interne Adressen nach außen verbergen Wichtig: NAT ersetzt keine Firewall. Merksatz: NAT hilft bei Adressübersetzung, ist aber kein vollständiges Sicherheitskonzept. Aufgabe 12 Welche privaten IPv4-Bereiche gibt es? Antwort anzeigen Private IPv4-Bereiche: Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. Aufgabe 13 Was ist PAT? Antwort anzeigen PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Portnummern genutzt werden. Zweck: Viele interne Clients können über eine öffentliche IP-Adresse ins Internet, weil Verbindungen über Ports unterschieden werden. Merksatz: PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen. Aufgabe 14 Was ist der Unterschied zwischen NAT und PAT? Antwort anzeigen NAT: übersetzt IP-Adressen PAT: übersetzt IP-Adressen und Ports Typischer Praxisfall: Viele interne Geräte nutzen über PAT eine gemeinsame öffentliche IP-Adresse. Merksatz: NAT übersetzt Adressen. PAT übersetzt Adressen und Ports. Aufgabe 15 Was ist Portweiterleitung? Antwort anzeigen Portweiterleitung bedeutet: Eingehender Verkehr auf einem externen Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentliche IP: TCP 443 wird weitergeleitet an: interner Webserver: 192.168.10.20 TCP 443 Merksatz: Portweiterleitung macht interne Dienste von außen erreichbar. Aufgabe 16 Warum erhöht Portweiterleitung die Angriffsfläche? Antwort anzeigen Portweiterleitung macht einen internen Dienst von außen erreichbar. Dadurch kann der Dienst aus dem Internet angegriffen werden. Risiken: Exploits Brute-Force-Angriffe Fehlkonfiguration Datenabfluss DoS Schutzmaßnahmen: nur notwendige Ports freigeben Dienst patchen starke Authentifizierung TLS nutzen Logging aktivieren Zugriff einschränken DMZ verwenden Merksatz: Jeder veröffentlichte Port ist eine mögliche Angriffsfläche. Aufgabe 17 Was ist der Unterschied zwischen ausgehendem NAT und Portweiterleitung? Antwort anzeigen Ausgehendes NAT: interne Clients greifen nach außen zu private IP wird nach außen übersetzt Portweiterleitung: externe Clients greifen auf internen Dienst zu externer Port wird nach intern weitergeleitet Merksatz: NAT nach außen ist nicht dasselbe wie Zugriff von außen nach innen. Aufgabe 18 Was ist der Unterschied zwischen NAT und Firewall? Antwort anzeigen NAT: übersetzt Adressen Firewall: erlaubt oder blockiert Verkehr Wichtig: Viele Geräte kombinieren beide Funktionen. Fachlich bleiben sie verschieden. Merksatz: NAT übersetzt. Firewall filtert. Aufgabe 19 Ein Client erreicht lokale Geräte, aber keine Internetziele. Welche Themen sind wahrscheinlich? Antwort anzeigen Mögliche Ursachen: Standardgateway fehlt Standardgateway falsch Routingfehler NAT fehlt oder fehlerhaft Firewall blockiert Providerverbindung gestört DNS zusätzlich bei Zugriff über Namen Merksatz: Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall prüfen. Aufgabe 20 Ein Client erreicht eine externe IP-Adresse, aber keine Webseite per Namen. Ist NAT wahrscheinlich das Hauptproblem? Antwort anzeigen Eher nein. Wenn externe IP-Adressen erreichbar sind, funktionieren Gateway, Routing und NAT wahrscheinlich grundsätzlich. Wenn nur Namen nicht funktionieren, ist DNS wahrscheinlicher. Merksatz: IP ja, Name nein: DNS. Aufgabe 21 Eine Portweiterleitung auf einen internen Webserver funktioniert nicht. Nenne mögliche Ursachen. Antwort anzeigen Mögliche Ursachen: falscher externer Port falsche interne IP-Adresse falscher interner Port Webdienst läuft nicht Dienst lauscht nicht auf richtiger Schnittstelle lokale Firewall blockiert Router-Firewall blockiert NAT-Regel fehlt oder falsch DNS zeigt auf falsche öffentliche IP doppeltes NAT CGNAT beim Provider Zertifikat oder Anwendung fehlerhaft Merksatz: Portweiterleitung braucht DNS, NAT, Firewall und laufenden Dienst. Aufgabe 22 Was ist doppeltes NAT? Antwort anzeigen Doppeltes NAT bedeutet: Verkehr wird durch zwei NAT-Geräte übersetzt. Beispiel: Provider-Router und dahinter eigener Router Problem: Portweiterleitungen werden schwieriger, weil beide Geräte korrekt konfiguriert werden müssen. Merksatz: Doppeltes NAT erschwert eingehende Verbindungen. Aufgabe 23 Was ist CGNAT? Antwort anzeigen CGNAT steht für: Carrier-Grade NAT Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf. Problem: Der Kunde hat oft keine eigene öffentlich erreichbare IPv4-Adresse. Eingehende Portweiterleitungen funktionieren dadurch meist nicht direkt. Merksatz: CGNAT erschwert Zugriff von außen auf eigene Dienste. Aufgabe 24 Warum kann eine Portweiterleitung trotz korrekter Router-Regel nicht funktionieren, wenn der Provider CGNAT nutzt? Antwort anzeigen Bei CGNAT liegt die öffentliche IPv4-Adresse nicht direkt am eigenen Router. Der Router ist hinter einer NAT-Struktur des Providers. Dadurch erreichen eingehende Verbindungen die eigene Portweiterleitung nicht direkt. Merksatz: Ohne eigene öffentliche IPv4-Adresse ist Portweiterleitung von außen schwierig. Aufgabe 25 Was ist Hairpin NAT oder NAT Loopback? Antwort anzeigen Hairpin NAT oder NAT Loopback bedeutet: Ein interner Client greift über die öffentliche Adresse oder Domain auf einen internen Dienst zu. Der Router leitet die Verbindung wieder zurück ins interne Netz. Problem: Nicht jeder Router unterstützt das sauber. Merksatz: Hairpin NAT betrifft internen Zugriff über externe Adresse. Aufgabe 26 Warum kann ein Dienst intern funktionieren, aber extern nicht? Antwort anzeigen Mögliche Ursachen: Portweiterleitung fehlt externe Firewall blockiert öffentliche IP falsch DNS zeigt falsch doppeltes NAT CGNAT Dienst bindet nur an interne Adresse Zertifikat oder Hostname falsch Provider blockiert Port Merksatz: Intern erreichbar heißt nicht automatisch extern erreichbar. Aufgabe 27 Warum kann ein Dienst extern funktionieren, aber intern über die öffentliche Domain nicht? Antwort anzeigen Mögliche Ursachen: Hairpin NAT fehlt Split-DNS fehlt interne DNS-Auflösung zeigt auf falsche Adresse Firewall-Regel für internen Zugriff fehlt Zertifikat oder Hostname passt nicht Merksatz: Externe Domain intern nutzen: Hairpin NAT oder Split-DNS prüfen. Aufgabe 28 Was ist Split-DNS im Zusammenhang mit internen Diensten? Antwort anzeigen Split-DNS bedeutet: Ein Name kann intern und extern unterschiedlich aufgelöst werden. Beispiel: extern: app.firma.de zeigt auf öffentliche IP intern: app.firma.de zeigt auf interne IP Vorteil: interne Clients können den Dienst direkt intern erreichen, ohne Hairpin NAT zu benötigen. Merksatz: Split-DNS kann interne und externe Wege trennen. Aufgabe 29 Ein Webserver in der DMZ soll aus dem Internet erreichbar sein. Welche Regel ist sinnvoll? Antwort anzeigen Sinnvolle Regel: Quelle: Internet Ziel: Webserver in der DMZ Protokoll: TCP Port: 443 Aktion: erlauben Zweck: HTTPS-Zugriff auf Webserver Wichtig: Nicht pauschal Zugriff vom Internet ins interne Netz erlauben. Merksatz: Öffentlich nur den benötigten Dienst freigeben. Aufgabe 30 Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank. Wie sollte die Regel aussehen? Antwort anzeigen Gezielte Regel: Quelle: Webserver-DMZ Ziel: Datenbankserver intern Protokoll: TCP Port: Datenbankport, zum Beispiel 5432 oder 3306 Aktion: erlauben Zweck: Anwendung greift auf Datenbank zu Wichtig: Nur exakt benötigten Zugriff erlauben. Kein Any-to-Any zwischen DMZ und internem Netz. Merksatz: DMZ zu intern nur minimal und gezielt erlauben. Aufgabe 31 Warum sollte ein Datenbankserver nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen Ein Datenbankserver enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation DoS Besser: Zugriff nur vom Anwendungsserver Firewall-Beschränkung kein direkter Internetzugriff starke Authentifizierung Monitoring Merksatz: Datenbankports gehören nicht offen ins Internet. Aufgabe 32 Was ist eine gute Regel für ein Gastnetz? Antwort anzeigen Typische Regeln: Gastnetz zu Internet: erlauben Gastnetz zu internem Netz: blockieren Gastnetz zu Managementnetz: blockieren Gastnetz zu Servernetz: blockieren, außer ausdrücklich benötigte Dienste Merksatz: Gastnetz nur ins Internet, nicht ins interne Netz. Aufgabe 33 Was ist eine gute Regel für ein Managementnetz? Antwort anzeigen Ein Managementnetz sollte nur für Administration genutzt werden. Typische Regeln: Adminnetz zu Servern: benötigte Adminports erlauben Adminnetz zu Switches: SSH oder HTTPS erlauben normale Clientnetze zu Management: blockieren Internet zu Management: blockieren Merksatz: Managementzugänge besonders schützen. Aufgabe 34 Ein Porttest von außen schlägt fehl. Welche Punkte prüfst du? Antwort anzeigen Prüfen: richtige öffentliche IP? DNS zeigt auf richtige IP? Portweiterleitung korrekt? externe Firewall erlaubt? interne Firewall erlaubt? Dienst läuft intern? Dienst lauscht auf richtigem Port? Dienst lauscht auf richtiger Schnittstelle? doppeltes NAT? CGNAT? Provider blockiert Port? Merksatz: Externer Porttest: DNS, NAT, Firewall, Dienst und Provider prüfen. Aufgabe 35 Warum reicht die Aussage „Firewall prüfen“ in der Prüfung oft nicht aus? Antwort anzeigen Die Aussage ist zu ungenau. Besser ist: Quelle prüfen Ziel prüfen Port prüfen Protokoll prüfen Richtung prüfen Zone prüfen Regelreihenfolge prüfen Firewall-Logs prüfen Merksatz: Firewallprüfung braucht konkrete Angaben. Aufgabe 36 Was ist Regelreihenfolge bei Firewalls? Antwort anzeigen Viele Firewalls verarbeiten Regeln in einer bestimmten Reihenfolge. Eine frühere Regel kann spätere Regeln überdecken. Beispiel: Eine Block-Regel vor einer Erlauben-Regel kann Zugriff verhindern. Merksatz: Bei Firewalls auch Regelreihenfolge prüfen. Aufgabe 37 Welche Antwort ist besser? Aufgabe: Warum ersetzt NAT keine Firewall? Antwort A: Weil NAT anders heißt. Antwort B: NAT übersetzt IP-Adressen. Eine Firewall entscheidet dagegen, welcher Verkehr erlaubt oder blockiert wird. NAT kann interne Adressen verbergen, ersetzt aber keine gezielte Zugriffskontrolle. Antwort anzeigen B ist besser. Begründung: Die Antwort trennt die Funktionen fachlich korrekt. Merksatz: NAT übersetzt, Firewall kontrolliert. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Warum ist eine DMZ sinnvoll? Antwort A: Weil man das bei Servern macht. Antwort B: Eine DMZ trennt öffentlich erreichbare Dienste vom internen Netz. Wenn ein Server in der DMZ kompromittiert wird, soll der Zugriff auf interne Systeme durch Firewall-Regeln begrenzt bleiben. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den Sicherheitszweck der DMZ. Merksatz: DMZ begrenzt Schaden bei öffentlichen Diensten. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Eine Portweiterleitung funktioniert nicht. Nennen Sie sinnvolle Prüfungen. Antwort A: Router ist wahrscheinlich kaputt. Antwort B: Es sollten öffentliche IP, DNS, externer Port, interne Ziel-IP, interner Port, Dienststatus, lokale Firewall, Router-Firewall, doppeltes NAT und CGNAT geprüft werden. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt systematisch die beteiligten Komponenten. Merksatz: Portweiterleitung ist Zusammenspiel aus DNS, NAT, Firewall und Dienst. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum ist Any-to-Any kritisch? Antwort A: Weil viel erlaubt ist. Antwort B: Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel. Dadurch entsteht eine große Angriffsfläche, Sicherheitszonen werden umgangen und die Regel ist schwer nachvollziehbar. Besser sind gezielte Regeln mit Quelle, Ziel, Port, Protokoll und Zweck. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Risiken und eine bessere Alternative. Merksatz: Bewertung braucht Risiko und bessere Maßnahme. Mini-Prüfung: schnelle Zuordnung Frage Antwort Was macht eine Firewall? Verkehr filtern Was macht NAT? IP-Adressen übersetzen Was macht PAT? IP-Adressen und Ports übersetzen Was macht Portweiterleitung? externen Port nach intern weiterleiten Was bedeutet DMZ? getrennte Zone für öffentliche Dienste Was bedeutet Default Deny? standardmäßig blockieren Warum ist Any-to-Any kritisch? zu breite Freigabe Was sind private IPv4-Bereiche? 10/8, 172.16/12, 192.168/16 Was ist CGNAT? NAT beim Provider Was ist doppeltes NAT? zwei NAT-Geräte hintereinander Was ist Split-DNS? interne und externe Namensauflösung unterschiedlich Was ist Hairpin NAT? interner Zugriff über öffentliche Adresse Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinliches Thema lokal geht, Internet nicht Gateway, Routing, NAT, Firewall externe IP geht, Name nicht DNS Portweiterleitung extern geht nicht NAT, Firewall, DNS, Dienst, CGNAT intern geht, extern nicht Portweiterleitung, Firewall, öffentliche IP extern geht, intern über Domain nicht Hairpin NAT oder Split-DNS nur bestimmter Port geht nicht Firewall, Dienst, Portregel DMZ-Server erreicht Datenbank nicht Regel DMZ zu intern prüfen Gastnetz erreicht interne Server Firewall-Regeln oder VLAN-Trennung falsch Datenbank öffentlich erreichbar Sicherheitsrisiko Any-to-Any-Regel vorhanden Sicherheitsrisiko IHK-sichere Kurzformulierung Eine Firewall filtert Netzwerkverkehr anhand von Regeln wie Quelle, Ziel, Port, Protokoll, Richtung und Aktion. NAT übersetzt IP-Adressen, während PAT zusätzlich Portnummern nutzt, damit mehrere interne Clients über eine öffentliche IP-Adresse kommunizieren können. Portweiterleitung leitet eingehenden Verkehr von einem externen Port an einen internen Dienst weiter und erhöht dadurch die Angriffsfläche. Eine DMZ ist ein getrenntes Netzwerk für öffentlich erreichbare Dienste, damit diese vom internen Netz getrennt sind. Default Deny bedeutet, dass Verkehr standardmäßig blockiert und nur gezielt erlaubt wird. Any-to-Any-Regeln sind kritisch, weil sie sehr breite Kommunikation erlauben und Sicherheitszonen umgehen können. Merksätze Firewall filtert. NAT übersetzt. PAT nutzt Ports. Portweiterleitung veröffentlicht interne Dienste. DMZ trennt öffentliche Dienste vom internen Netz. Default Deny ist sicherer als alles erlauben. Any-to-Any ist kritisch. Firewall-Regeln brauchen Quelle, Ziel, Port, Protokoll, Richtung und Zweck. Stateful Firewall kennt Verbindungen. Stateless Firewall prüft Pakete einzeln. NAT ersetzt keine Firewall. Private IPv4-Adressen werden im Internet nicht direkt geroutet. 10.0.0.0/8 ist privat. 172.16.0.0/12 ist privat. 192.168.0.0/16 ist privat. PAT ermöglicht vielen Clients eine öffentliche IP. Portweiterleitung erhöht die Angriffsfläche. Öffentliche Dienste gehören in eine DMZ. Datenbankports gehören nicht offen ins Internet. Gastnetz gehört nicht ins interne Netz. Managementzugänge besonders schützen. Doppeltes NAT erschwert Portweiterleitungen. CGNAT erschwert eingehende Verbindungen. Hairpin NAT betrifft internen Zugriff über öffentliche Adresse. Split-DNS kann interne und externe Wege trennen. Portweiterleitung braucht DNS, NAT, Firewall und Dienst. Firewallprüfung braucht konkrete Angaben. Regelreihenfolge beachten. DMZ zu intern nur minimal erlauben. Je genauer die Regel, desto besser kontrollierbar. 20.9 Trainer – VPN, Intranet, Extranet und sicherer Fernzugriff Diese Trainer-Seite wiederholt VPN, Intranet, Extranet, VPN-Arten, VPN-Protokolle, VPN-Routing, DNS und typische Fehler beim sicheren Fernzugriff. Ziel ist, typische Prüfungsfragen zu verschlüsseltem Zugriff, Standortvernetzung, Remote-Arbeit und VPN-Fehlersuche sicher zu beantworten. Merksatz: VPN verbindet sicher über unsichere Netze. Intranet ist intern. Extranet ist kontrollierter Zugriff für Externe. Lernziele Nach dieser Seite solltest du sicher können: - VPN erklären - Intranet und Extranet unterscheiden - Remote-Access-VPN und Site-to-Site-VPN unterscheiden - VPN-Protokolle grob einordnen - Split-Tunneling und Full-Tunneling erklären - VPN-Routing und VPN-DNS verstehen - typische VPN-Fehler erkennen - Sicherheitsmaßnahmen für VPN nennen - VPN von normaler Portweiterleitung unterscheiden Kurzüberblick Begriff Bedeutung VPN verschlüsselte Verbindung über ein unsicheres Netz Remote-Access-VPN einzelner Benutzer verbindet sich ins Firmennetz Site-to-Site-VPN zwei Standorte oder Netze werden verbunden Intranet internes Netz einer Organisation Extranet kontrollierter Zugriff für externe Partner Split-Tunneling nur bestimmter Verkehr läuft durch VPN Full-Tunneling gesamter Verkehr läuft durch VPN VPN-Gateway Gegenstelle für VPN-Verbindungen Merksatz: VPN ist der Tunnel. Intranet ist intern. Extranet ist kontrolliert extern. Aufgabe 1 Was ist ein VPN? Antwort anzeigen VPN steht für: Virtual Private Network Ein VPN stellt eine geschützte Verbindung über ein unsicheres Netz her, zum Beispiel über das Internet. Typische Ziele: Vertraulichkeit Integrität Authentifizierung sicherer Fernzugriff Merksatz: VPN = verschlüsselter Tunnel über unsicheres Netz. Aufgabe 2 Warum nutzt man VPN? Antwort anzeigen VPN wird genutzt für: sicheren Fernzugriff Homeoffice Standortvernetzung Zugriff auf interne Dienste geschützte Administration sichere Kommunikation über das Internet Merksatz: VPN ermöglicht sicheren Zugriff auf interne Ressourcen. Aufgabe 3 Was ist ein Intranet? Antwort anzeigen Ein Intranet ist ein internes Netzwerk oder internes Informationssystem einer Organisation. Typische Inhalte: interne Webseiten interne Dokumente interne Anwendungen interne Dateiablagen interne Kommunikation Zugriff: normalerweise nur für berechtigte interne Benutzer. Merksatz: Intranet = internes Netz oder internes Informationssystem. Aufgabe 4 Was ist ein Extranet? Antwort anzeigen Ein Extranet ist ein kontrollierter Zugriff auf interne Dienste für externe Personen oder Organisationen. Beispiele: Lieferantenportal Kundenportal Partnerzugang externer Dienstleisterzugriff Wichtig: Zugriff ist begrenzt und kontrolliert. Merksatz: Extranet = kontrollierter Zugriff für Externe. Aufgabe 5 Was ist der Unterschied zwischen Intranet und Extranet? Antwort anzeigen Intranet: internes Netzwerk oder interne Dienste für eigene Organisation Extranet: kontrollierter Zugriff für externe Partner, Kunden oder Dienstleister Merksatz: Intranet intern. Extranet kontrolliert extern. Aufgabe 6 Was ist ein Remote-Access-VPN? Antwort anzeigen Remote-Access-VPN bedeutet: Ein einzelner Benutzer oder Client verbindet sich von außen sicher ins Firmennetz. Typische Nutzung: Homeoffice Außendienst Administratorzugriff Zugriff auf interne Anwendungen Merksatz: Remote-Access-VPN = einzelner Benutzer ins Netz. Aufgabe 7 Was ist ein Site-to-Site-VPN? Antwort anzeigen Site-to-Site-VPN bedeutet: Zwei Netzwerke oder Standorte werden über einen VPN-Tunnel verbunden. Beispiele: Hauptstandort zu Filiale Rechenzentrum zu Cloud-Netz Firma zu Partnernetz Merksatz: Site-to-Site-VPN = Netz zu Netz. Aufgabe 8 Ordne zu. VPN-Art Bedeutung Remote-Access-VPN ? Site-to-Site-VPN ? Antwort anzeigen VPN-Art Bedeutung Remote-Access-VPN einzelner Benutzer verbindet sich ins Firmennetz Site-to-Site-VPN zwei Standorte oder Netze werden verbunden Merksatz: Remote Access = Benutzer. Site-to-Site = Standort. Aufgabe 9 Was ist ein VPN-Gateway? Antwort anzeigen Ein VPN-Gateway ist die Gegenstelle, an der VPN-Verbindungen aufgebaut werden. Beispiele: Firewall Router VPN-Server Cloud-VPN-Gateway Aufgabe: VPN-Tunnel terminieren Benutzer oder Gegenstelle authentifizieren Verkehr entschlüsseln und weiterleiten Merksatz: VPN-Gateway = Eingangspunkt des VPN-Tunnels. Aufgabe 10 Was bedeutet Tunnel bei VPN? Antwort anzeigen Ein Tunnel bedeutet: Daten werden in eine geschützte Verbindung eingepackt und über ein anderes Netz transportiert. Der eigentliche Datenverkehr ist dabei für das unsichere Netz geschützt. Merksatz: Tunnel = geschützter Transportweg durch ein anderes Netz. Aufgabe 11 Welche Schutzziele unterstützt VPN besonders? Antwort anzeigen VPN unterstützt besonders: Vertraulichkeit Integrität Authentizität Begründung: Daten werden verschlüsselt, Manipulationen können erkannt werden und Gegenstellen werden authentifiziert. Merksatz: VPN schützt nicht nur den Weg, sondern auch Identität und Datenintegrität. Aufgabe 12 Was ist Split-Tunneling? Antwort anzeigen Split-Tunneling bedeutet: Nur bestimmter Verkehr läuft durch den VPN-Tunnel. Beispiel: Zugriff auf Firmennetz läuft durch VPN. normaler Internetverkehr läuft direkt ins Internet. Vorteil: weniger Last auf VPN-Gateway oft bessere Internetgeschwindigkeit Risiko: weniger zentrale Kontrolle des gesamten Verkehrs Merksatz: Split-Tunneling = nur ausgewählter Verkehr durch VPN. Aufgabe 13 Was ist Full-Tunneling? Antwort anzeigen Full-Tunneling bedeutet: Der gesamte Netzwerkverkehr des Clients läuft durch den VPN-Tunnel. Beispiel: interne Dienste Internetzugriff DNS Webverkehr alles wird über das Firmennetz geleitet. Vorteil: zentrale Kontrolle einheitliche Sicherheitsrichtlinien Nachteil: mehr Last auf VPN-Infrastruktur Merksatz: Full-Tunneling = gesamter Verkehr durch VPN. Aufgabe 14 Vergleiche Split-Tunneling und Full-Tunneling. Merkmal Split-Tunneling Full-Tunneling Verkehr durch VPN ? ? Last auf VPN ? ? zentrale Kontrolle ? ? typisches Risiko ? ? Antwort anzeigen Merkmal Split-Tunneling Full-Tunneling Verkehr durch VPN nur ausgewählter Verkehr gesamter Verkehr Last auf VPN geringer höher zentrale Kontrolle geringer stärker typisches Risiko weniger Kontrolle über Direktverkehr VPN-Gateway stärker belastet Merksatz: Split spart Last. Full gibt mehr Kontrolle. Aufgabe 15 Was ist IPsec? Antwort anzeigen IPsec ist eine Protokollfamilie zur Absicherung von IP-Kommunikation. Typische Nutzung: Site-to-Site-VPN Remote-Access-VPN Eigenschaften: Verschlüsselung Integritätsschutz Authentifizierung Merksatz: IPsec sichert IP-Verkehr. Aufgabe 16 Was ist IKEv2? Antwort anzeigen IKEv2 steht für: Internet Key Exchange Version 2 Aufgabe: Aufbau und Aushandlung von IPsec-Verbindungen unterstützen. IKEv2 wird häufig zusammen mit IPsec genutzt. Merksatz: IKEv2 hilft beim Aufbau von IPsec-VPNs. Aufgabe 17 Was ist OpenVPN? Antwort anzeigen OpenVPN ist eine VPN-Lösung, die häufig TLS zur Absicherung verwendet. Typische Nutzung: Remote-Access-VPN flexible VPN-Szenarien Eigenschaften: weit verbreitet zertifikatsbasiert möglich über TCP oder UDP betreibbar Merksatz: OpenVPN nutzt häufig TLS und ist flexibel einsetzbar. Aufgabe 18 Was ist WireGuard? Antwort anzeigen WireGuard ist ein modernes VPN-Protokoll. Eigenschaften: schlank vergleichsweise einfach konfigurierbar nutzt moderne Kryptografie häufig gute Performance Merksatz: WireGuard ist ein schlankes modernes VPN-Protokoll. Aufgabe 19 Was ist ein TLS-VPN? Antwort anzeigen Ein TLS-VPN nutzt TLS zur Absicherung der Verbindung. Typisch: Zugriff über VPN-Client teilweise Zugriff über Browserportal sichere Verbindung über bekannte Web-Techniken Merksatz: TLS-VPN nutzt TLS für geschützte Kommunikation. Aufgabe 20 Ordne die VPN-Protokolle grob zu. Begriff Einordnung IPsec ? IKEv2 ? OpenVPN ? WireGuard ? TLS-VPN ? Antwort anzeigen Begriff Einordnung IPsec Sicherung von IP-Kommunikation IKEv2 Aushandlung und Aufbau von IPsec OpenVPN flexible VPN-Lösung, häufig TLS-basiert WireGuard modernes schlankes VPN-Protokoll TLS-VPN VPN über TLS-gesicherte Verbindung Merksatz: IPsec sichert IP. IKEv2 handelt IPsec aus. OpenVPN und TLS-VPN nutzen TLS-Techniken. WireGuard ist modern und schlank. Aufgabe 21 Warum braucht ein VPN Authentifizierung? Antwort anzeigen VPN muss prüfen, wer oder was sich verbinden darf. Mögliche Verfahren: Benutzername und Passwort MFA Zertifikate Schlüssel Geräteprüfung Ziel: nur berechtigte Benutzer oder Standorte dürfen Zugriff erhalten. Merksatz: VPN ohne starke Authentifizierung ist ein hohes Risiko. Aufgabe 22 Warum ist MFA bei VPN sinnvoll? Antwort anzeigen MFA schützt, wenn ein Passwort gestohlen wurde. Ohne MFA reicht ein gestohlenes Passwort eventuell für VPN-Zugriff. Mit MFA wird zusätzlich ein zweiter Faktor benötigt. Merksatz: VPN plus MFA schützt besser gegen Passwortmissbrauch. Aufgabe 23 Welche Risiken entstehen bei offenem VPN-Zugang ohne MFA? Antwort anzeigen Risiken: Passwortmissbrauch Brute-Force-Angriffe Credential Stuffing unberechtigter Zugriff ins interne Netz laterale Bewegung nach erfolgreichem Login Datenabfluss Merksatz: VPN-Zugang ist ein Eingang ins Netz und muss stark geschützt werden. Aufgabe 24 Was ist VPN-Routing? Antwort anzeigen VPN-Routing bestimmt, welche Zielnetze über den VPN-Tunnel erreichbar sind. Beispiele: 10.10.0.0/16 über VPN 192.168.50.0/24 über VPN Wichtig: Routen müssen auf Client, VPN-Gateway und Gegenseite passen. Merksatz: VPN-Tunnel allein reicht nicht. Die Routen müssen stimmen. Aufgabe 25 Ein VPN verbindet sich erfolgreich, aber interne Server sind nicht erreichbar. Welche Ursachen sind wahrscheinlich? Antwort anzeigen Mögliche Ursachen: fehlende VPN-Route falsche Route Firewall-Regel blockiert DNS löst falsch auf Benutzer hat keine Berechtigung Zielnetz nicht erlaubt Rückroute fehlt IP-Adresskonflikt Merksatz: VPN verbunden heißt nicht automatisch, dass alle internen Dienste erreichbar sind. Aufgabe 26 Was ist ein IP-Adresskonflikt bei VPN? Antwort anzeigen Ein IP-Adresskonflikt entsteht, wenn das lokale Netz des Benutzers denselben IP-Bereich nutzt wie das entfernte Firmennetz. Beispiel: Heimnetz: 192.168.1.0/24 Firmennetz: 192.168.1.0/24 Problem: Der Client kann nicht eindeutig entscheiden, ob ein Ziel lokal oder über VPN erreichbar ist. Merksatz: Gleiche Netze auf beiden Seiten verursachen VPN-Routingprobleme. Aufgabe 27 Warum ist DNS bei VPN wichtig? Antwort anzeigen Interne Dienste werden oft über interne Namen angesprochen. Beispiele: intranet.firma.local fileserver.intern app.firma.de intern VPN muss häufig passende DNS-Server oder DNS-Suffixe bereitstellen. Merksatz: VPN braucht oft internes DNS. Aufgabe 28 VPN ist verbunden. Zugriff per interner IP funktioniert, aber per Name nicht. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DNS-Problem im VPN Mögliche Ursachen: falscher DNS-Server DNS-Server nicht über VPN erreichbar DNS-Suffix fehlt Split-DNS falsch DNS-Cache veraltet Merksatz: VPN-IP ja, VPN-Name nein: VPN-DNS prüfen. Aufgabe 29 Was ist Split-DNS bei VPN? Antwort anzeigen Split-DNS bedeutet: interne und externe DNS-Auflösung liefern unterschiedliche Antworten. Beispiel: intern über VPN: app.firma.de zeigt auf private IP extern: app.firma.de zeigt auf öffentliche IP Merksatz: Split-DNS sorgt dafür, dass interne Namen über VPN passend aufgelöst werden. Aufgabe 30 Warum kann eine Firewall VPN-Verkehr blockieren? Antwort anzeigen Firewalls können VPN-Verkehr blockieren, wenn benötigte Protokolle oder Ports nicht erlaubt sind. Außerdem können Regeln nach erfolgreichem VPN-Aufbau den Zugriff auf interne Ziele blockieren. Prüfen: VPN-Aufbau erlaubt? Zielnetz erlaubt? Benutzergruppe erlaubt? Port zum Ziel erlaubt? Richtung korrekt? Logs prüfen. Merksatz: VPN braucht Regeln für Tunnelaufbau und Zielzugriff. Aufgabe 31 Warum ist ein VPN sicherer als eine direkte Portweiterleitung auf RDP? Antwort anzeigen Bei direkter Portweiterleitung ist RDP direkt aus dem Internet erreichbar. Risiken: Brute Force Exploits Credential Stuffing Bei VPN: RDP ist nicht direkt öffentlich erreichbar. Erst nach VPN-Authentifizierung ist Zugriff möglich. Zusätzlich sinnvoll: MFA Firewall-Regeln Logging Zugriff nur für Adminnetz oder Benutzergruppen Merksatz: VPN schützt Adminzugriffe besser als direkt veröffentlichte Ports. Aufgabe 32 Ist VPN automatisch sicher? Antwort anzeigen Nein. VPN muss sicher konfiguriert werden. Wichtige Maßnahmen: MFA starke Authentifizierung aktuelle VPN-Software sichere Verschlüsselung Rechtebegrenzung Logging Zugriff nach Gruppen Geräteprüfung keine unnötigen Zielnetze freigeben Merksatz: VPN ist nur so sicher wie seine Konfiguration. Aufgabe 33 Was ist Least Privilege bei VPN? Antwort anzeigen Least Privilege bei VPN bedeutet: Benutzer erhalten nur Zugriff auf die Netze und Dienste, die sie wirklich benötigen. Beispiele: Dienstleister nur auf einen Server Mitarbeiter nur auf benötigte Anwendungen Adminzugriff nur aus Adminrollen Merksatz: VPN-Zugang nicht pauschal ins gesamte Netz erlauben. Aufgabe 34 Was sollte bei VPN protokolliert werden? Antwort anzeigen Sinnvolle Logs: erfolgreiche Anmeldungen fehlgeschlagene Anmeldungen Benutzername Quell-IP Zeitpunkt zugewiesene VPN-IP verwendete Authentifizierung getrennte Verbindungen auffällige Loginversuche Zugriff auf Zielsysteme je nach System Merksatz: VPN-Logs sind wichtig für Sicherheit und Fehlersuche. Aufgabe 35 Was ist ein Site-to-Site-VPN zwischen Firma und Cloud? Antwort anzeigen Ein Site-to-Site-VPN zwischen Firma und Cloud verbindet: lokales Firmennetz mit Cloud-Netzwerk Beispiel: internes Rechenzentrum zu Cloud-VPC oder virtuellem Netzwerk Ziel: private Kommunikation zwischen Standorten und Cloud-Ressourcen. Merksatz: Site-to-Site kann auch On-Premises und Cloud verbinden. Aufgabe 36 Ein Site-to-Site-VPN ist aufgebaut, aber nur eine Richtung funktioniert. Welche Ursachen sind möglich? Antwort anzeigen Mögliche Ursachen: Rückroute fehlt Firewall blockiert Rückverkehr falsche Phase-2-Netze bei IPsec NAT-Regel greift falsch asymmetrisches Routing Security Group oder Cloud-Firewall blockiert lokale ACL blockiert Merksatz: Kommunikation braucht Hinweg und Rückweg. Aufgabe 37 Was ist ein VPN-Client? Antwort anzeigen Ein VPN-Client ist die Software oder Funktion auf dem Endgerät, die eine VPN-Verbindung zum VPN-Gateway aufbaut. Beispiele: Firmenlaptop mit VPN-Software Smartphone mit VPN-Profil Betriebssystemeigener VPN-Client Merksatz: VPN-Client baut den Tunnel zum Gateway auf. Aufgabe 38 Welche Antwort ist besser? Aufgabe: VPN ist verbunden, aber interne Namen funktionieren nicht. Was prüfen Sie? Antwort A: Internet ist kaputt. Antwort B: Da interne IP-Adressen erreichbar sind, interne Namen aber nicht, sollte die DNS-Konfiguration des VPN geprüft werden, insbesondere interner DNS-Server, DNS-Suffix, Split-DNS und Erreichbarkeit des DNS-Servers. Antwort anzeigen B ist besser. Begründung: Die Antwort leitet die Prüfung aus dem Fehlerbild ab und unterscheidet IP-Erreichbarkeit von Namensauflösung. Merksatz: IP ja, Name nein: DNS. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Warum sollte ein Dienstleister über VPN nicht automatisch Zugriff auf das gesamte Netz erhalten? Antwort A: Weil Dienstleister extern sind. Antwort B: Nach dem Least-Privilege-Prinzip sollte ein Dienstleister nur Zugriff auf die Systeme und Dienste erhalten, die er für seine Aufgabe benötigt. Dadurch wird das Risiko bei kompromittierten Zugangsdaten oder Fehlverhalten begrenzt. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt das Prinzip und erklärt die Sicherheitswirkung. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum ist VPN besser als RDP direkt ins Internet weiterzuleiten? Antwort A: VPN klingt sicherer. Antwort B: Bei direkter RDP-Portweiterleitung ist der RDP-Dienst öffentlich erreichbar und damit Angriffen ausgesetzt. Bei VPN muss sich der Benutzer zuerst am VPN authentifizieren. Erst danach kann der Zugriff auf RDP zusätzlich per Firewall, MFA und Berechtigungen eingeschränkt werden. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt das konkrete Risiko und beschreibt die bessere Schutzwirkung. Merksatz: Nicht Adminports veröffentlichen, sondern sicheren Zugang davor setzen. Mini-Prüfung: schnelle Zuordnung Frage Antwort Wofür steht VPN? Virtual Private Network Was macht ein VPN? verschlüsselte Verbindung über unsicheres Netz Was ist Remote-Access-VPN? Benutzer verbindet sich ins Firmennetz Was ist Site-to-Site-VPN? Netz verbindet sich mit Netz Was ist Intranet? internes Netz oder interne Dienste Was ist Extranet? kontrollierter Zugriff für Externe Was ist Split-Tunneling? nur bestimmter Verkehr durch VPN Was ist Full-Tunneling? gesamter Verkehr durch VPN Was ist ein VPN-Gateway? Gegenstelle des VPN-Tunnels Warum MFA bei VPN? Passwort allein reicht nicht Warum VPN-DNS? interne Namen auflösen Was ist IP-Adresskonflikt? gleiche Netze lokal und remote Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinliches Thema VPN verbindet nicht Zugangsdaten, MFA, Gateway, Netzwerk, Firewall VPN verbunden, aber kein internes Ziel erreichbar Route, Firewall, Berechtigung, Zielnetz interne IP geht, Name nicht VPN-DNS nur ein internes Netz erreichbar VPN-Routen oder Berechtigungen Verbindung bricht regelmäßig ab Timeout, Netzwerk, WLAN, Client, Gateway Site-to-Site nur in eine Richtung Rückroute oder Firewall Heimnetz und Firmennetz gleich IP-Adresskonflikt Dienstleister sieht zu viele Systeme Least Privilege fehlt RDP direkt offen Sicherheitsrisiko VPN-Loginversuche sehr häufig Brute Force oder Credential Stuffing IHK-sichere Kurzformulierung Ein VPN ist ein virtuelles privates Netzwerk, das eine geschützte Verbindung über ein unsicheres Netz wie das Internet herstellt. Remote-Access-VPN verbindet einzelne Benutzer sicher mit einem Firmennetz, während Site-to-Site-VPN zwei Netzwerke oder Standorte verbindet. Intranet bezeichnet interne Dienste einer Organisation, Extranet kontrollierten Zugriff für externe Partner oder Dienstleister. Split-Tunneling leitet nur bestimmten Verkehr durch den VPN-Tunnel, Full-Tunneling den gesamten Verkehr. Für VPN-Sicherheit sind starke Authentifizierung, MFA, aktuelle Software, passende Firewall-Regeln, Logging und Least Privilege wichtig. Eine erfolgreiche VPN-Verbindung bedeutet nicht automatisch, dass Routing, DNS und Zugriffsrechte korrekt funktionieren. Merksätze VPN = Virtual Private Network. VPN verbindet sicher über unsichere Netze. Remote-Access-VPN = Benutzer ins Netz. Site-to-Site-VPN = Netz zu Netz. Intranet = intern. Extranet = kontrolliert extern. VPN-Gateway = Gegenstelle des Tunnels. Tunnel = geschützter Transportweg. Split-Tunneling = nur ausgewählter Verkehr über VPN. Full-Tunneling = gesamter Verkehr über VPN. IPsec sichert IP-Kommunikation. IKEv2 hilft beim IPsec-Aufbau. OpenVPN nutzt häufig TLS. WireGuard ist schlank und modern. TLS-VPN nutzt TLS. VPN braucht starke Authentifizierung. MFA schützt VPN-Zugang. VPN ist ein Eingang ins Netz. VPN verbunden heißt nicht: alle Dienste funktionieren. VPN braucht passende Routen. VPN braucht oft internes DNS. IP ja, Name nein: DNS. Gleiche Netze lokal und remote verursachen Routingprobleme. Kommunikation braucht Hinweg und Rückweg. Dienstleisterzugriff nach Least Privilege begrenzen. VPN-Logs sind wichtig. RDP nicht direkt ins Internet weiterleiten. Adminzugriffe besser über VPN, MFA und Firewall beschränken. VPN ist nur so sicher wie seine Konfiguration. 20.10 Trainer – Cloud, Bereitstellungsmodelle, IAM und Shared Responsibility Diese Trainer-Seite wiederholt Cloud-Grundlagen, Bereitstellungsmodelle, Servicemodelle, Cloud-Netzwerke, IAM, Sicherheit und typische Prüfungsfragen zur Cloud. Ziel ist, IaaS, PaaS, SaaS, Public Cloud, Private Cloud, Hybrid Cloud, Multi Cloud und Shared Responsibility sicher zu unterscheiden. Merksatz: Cloud bedeutet: IT-Ressourcen werden flexibel über ein Netzwerk bereitgestellt. Die Verantwortung ist dabei geteilt. Lernziele Nach dieser Seite solltest du sicher können: - Cloud Computing erklären - IaaS, PaaS und SaaS unterscheiden - Public Cloud, Private Cloud, Hybrid Cloud und Multi Cloud unterscheiden - Shared Responsibility erklären - IAM einordnen - Cloud-Netzwerke grob verstehen - Security Groups, VPCs und Subnetze einordnen - typische Cloud-Fehlerbilder erkennen - Cloud-Kosten und Skalierung fachlich erklären Kurzüberblick Begriff Bedeutung Cloud Computing Bereitstellung von IT-Ressourcen über ein Netzwerk IaaS virtuelle Infrastruktur PaaS verwaltete Plattform SaaS fertige Software Public Cloud Cloud eines öffentlichen Anbieters Private Cloud Cloud nur für eine Organisation Hybrid Cloud Kombination aus lokal und Cloud Multi Cloud Nutzung mehrerer Cloud-Anbieter IAM Identitäts- und Zugriffsverwaltung Shared Responsibility geteilte Verantwortung zwischen Anbieter und Kunde Merksatz: IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software. Aufgabe 1 Was bedeutet Cloud Computing? Antwort anzeigen Cloud Computing bedeutet: IT-Ressourcen werden über ein Netzwerk bereitgestellt und können flexibel genutzt, skaliert und abgerechnet werden. Beispiele: virtuelle Server Speicher Datenbanken Anwendungen Plattformdienste Netzwerkdienste Merksatz: Cloud = IT-Ressourcen flexibel über Netzwerk nutzen. Aufgabe 2 Nenne typische Vorteile von Cloud Computing. Antwort anzeigen Typische Vorteile: flexible Skalierung schnelle Bereitstellung nutzungsabhängige Abrechnung weniger eigene Hardware weltweite Verfügbarkeit verwaltete Dienste hohe Automatisierbarkeit schnelle Erweiterbarkeit Merksatz: Cloud ist besonders stark bei Flexibilität, Skalierung und schneller Bereitstellung. Aufgabe 3 Nenne typische Nachteile oder Risiken von Cloud Computing. Antwort anzeigen Typische Nachteile oder Risiken: Abhängigkeit vom Anbieter Datenschutzanforderungen falsche Konfigurationen Kostenkontrolle notwendig Netzwerkabhängigkeit Vendor Lock-in geteilte Verantwortung kann missverstanden werden Zugriffsschutz muss sauber geplant werden Merksatz: Cloud nimmt Arbeit ab, aber nicht die Verantwortung für sichere Nutzung. Aufgabe 4 Was ist IaaS? Antwort anzeigen IaaS steht für: Infrastructure as a Service Bedeutung: Der Anbieter stellt grundlegende Infrastruktur bereit. Beispiele: virtuelle Maschinen virtuelle Netzwerke Speicher Firewalls Load Balancer Der Kunde verwaltet häufig selbst: Betriebssystem Anwendungen Patches im Gastbetriebssystem Konfiguration Merksatz: IaaS = virtuelle Infrastruktur. Aufgabe 5 Was ist PaaS? Antwort anzeigen PaaS steht für: Platform as a Service Bedeutung: Der Anbieter stellt eine verwaltete Plattform für Anwendungen bereit. Beispiele: App-Plattform verwaltete Datenbank Laufzeitumgebung Containerplattform Entwicklungsplattform Der Kunde kümmert sich eher um: Anwendung Daten Konfiguration Zugriffsrechte Merksatz: PaaS = Plattform für Anwendungen. Aufgabe 6 Was ist SaaS? Antwort anzeigen SaaS steht für: Software as a Service Bedeutung: Der Anbieter stellt eine fertige Anwendung bereit, die der Kunde nutzt. Beispiele: E-Mail-Dienst Office-Anwendung im Browser CRM-System Ticketsystem Cloud-Speicheranwendung Der Kunde verwaltet meist: Benutzer Rollen Daten Einstellungen Zugriffsrechte Merksatz: SaaS = fertige Software nutzen. Aufgabe 7 Ordne zu. Modell Bedeutung IaaS ? PaaS ? SaaS ? Antwort anzeigen Modell Bedeutung IaaS virtuelle Infrastruktur PaaS verwaltete Plattform SaaS fertige Anwendung Merksatz: IaaS unten, PaaS in der Mitte, SaaS oben. Aufgabe 8 Welche Aussage passt zu IaaS? A: Fertige Anwendung im Browser B: Virtuelle Maschine mit eigenem Betriebssystem C: Nur E-Mail-Postfach ohne Serververwaltung D: Kein Netzwerk notwendig Antwort anzeigen Richtig ist: B: Virtuelle Maschine mit eigenem Betriebssystem Begründung: IaaS stellt Infrastruktur bereit, zum Beispiel virtuelle Maschinen, Speicher und Netzwerke. Das Betriebssystem und Anwendungen werden oft vom Kunden verwaltet. Merksatz: Virtuelle Maschine = typisches IaaS-Beispiel. Aufgabe 9 Welche Aussage passt zu SaaS? A: Der Kunde installiert und patcht das Betriebssystem selbst. B: Der Kunde nutzt eine fertige Anwendung. C: Der Kunde baut ein eigenes Rechenzentrum. D: Der Kunde verwaltet die Hardware des Anbieters. Antwort anzeigen Richtig ist: B: Der Kunde nutzt eine fertige Anwendung. Begründung: SaaS bedeutet, dass eine fertige Software als Dienst bereitgestellt wird. Merksatz: SaaS = benutzen statt betreiben. Aufgabe 10 Was ist der Unterschied zwischen IaaS, PaaS und SaaS? Antwort anzeigen IaaS: virtuelle Infrastruktur, viel Verantwortung beim Kunden PaaS: verwaltete Plattform, Kunde bringt Anwendung und Daten SaaS: fertige Anwendung, Kunde verwaltet hauptsächlich Nutzung, Daten, Benutzer und Rechte Merksatz: Je mehr Richtung SaaS, desto mehr übernimmt der Anbieter. Aufgabe 11 Was ist Public Cloud? Antwort anzeigen Public Cloud bedeutet: Cloud-Ressourcen werden von einem öffentlichen Cloud-Anbieter bereitgestellt und von vielen Kunden getrennt genutzt. Eigenschaften: hohe Skalierbarkeit nutzungsabhängige Abrechnung Anbieter betreibt Infrastruktur Mandantentrennung wichtig Merksatz: Public Cloud = Cloud eines öffentlichen Anbieters. Aufgabe 12 Was ist Private Cloud? Antwort anzeigen Private Cloud bedeutet: Cloud-Umgebung wird nur für eine Organisation betrieben. Möglich: im eigenen Rechenzentrum bei einem Dienstleister dediziert für eine Organisation Vorteile: mehr Kontrolle individuelle Anpassung besondere Compliance-Anforderungen leichter steuerbar Merksatz: Private Cloud = Cloud nur für eine Organisation. Aufgabe 13 Was ist Hybrid Cloud? Antwort anzeigen Hybrid Cloud bedeutet: lokale IT oder Private Cloud wird mit Public-Cloud-Ressourcen kombiniert. Beispiele: lokales Rechenzentrum plus Cloud-Backup lokale Anwendung plus Cloud-Datenbank lokales Firmennetz plus Cloud-VPC über VPN Merksatz: Hybrid Cloud = lokal und Cloud kombiniert. Aufgabe 14 Was ist Multi Cloud? Antwort anzeigen Multi Cloud bedeutet: Eine Organisation nutzt mehrere Cloud-Anbieter. Beispiel: Anbieter A für Infrastruktur Anbieter B für Datenanalyse Anbieter C für Office-Dienste Gründe: Vermeidung von Abhängigkeit passende Dienste verschiedener Anbieter nutzen Ausfallsicherheit Kostenoptimierung Merksatz: Multi Cloud = mehrere Cloud-Anbieter. Aufgabe 15 Ordne zu. Modell Bedeutung Public Cloud ? Private Cloud ? Hybrid Cloud ? Multi Cloud ? Antwort anzeigen Modell Bedeutung Public Cloud Cloud eines öffentlichen Anbieters Private Cloud Cloud nur für eine Organisation Hybrid Cloud Kombination aus lokal oder privat und Public Cloud Multi Cloud Nutzung mehrerer Cloud-Anbieter Merksatz: Hybrid beschreibt Kombination von Umgebungen. Multi beschreibt mehrere Anbieter. Aufgabe 16 Was bedeutet Shared Responsibility? Antwort anzeigen Shared Responsibility bedeutet: Cloud-Anbieter und Kunde teilen sich die Verantwortung für Sicherheit und Betrieb. Der Anbieter ist typischerweise verantwortlich für: physische Infrastruktur Rechenzentrum Grundplattform Hardware Der Kunde ist typischerweise verantwortlich für: Daten Benutzer Berechtigungen Konfigurationen Anwendungen je nach Modell Merksatz: Cloud-Sicherheit ist geteilte Verantwortung. Aufgabe 17 Warum ist Shared Responsibility wichtig? Antwort anzeigen Shared Responsibility ist wichtig, weil Kunden oft fälschlich glauben, der Cloud-Anbieter sei für alles verantwortlich. In Wirklichkeit bleiben viele Aufgaben beim Kunden, zum Beispiel: Benutzerrechte Datenklassifizierung Zugriffsschutz sichere Konfiguration Backup Verschlüsselung Monitoring Merksatz: Cloud-Anbieter schützt die Cloud. Kunde schützt seine Nutzung der Cloud. Aufgabe 18 Wer ist bei SaaS typischerweise für Benutzer und Rechte verantwortlich? Antwort anzeigen Typischerweise: der Kunde Begründung: Auch wenn der Anbieter die Anwendung betreibt, muss der Kunde seine Benutzer, Gruppen, Rollen, Daten und Freigaben korrekt verwalten. Merksatz: SaaS nimmt Betrieb ab, aber nicht Rechteverwaltung. Aufgabe 19 Wer ist bei IaaS typischerweise für das Gastbetriebssystem verantwortlich? Antwort anzeigen Typischerweise: der Kunde Begründung: Bei IaaS stellt der Anbieter die virtuelle Infrastruktur bereit. Betriebssystem, Patches, Dienste und Anwendungen in der virtuellen Maschine werden häufig vom Kunden verwaltet. Merksatz: IaaS bedeutet mehr Kundenverantwortung als SaaS. Aufgabe 20 Was ist IAM? Antwort anzeigen IAM steht für: Identity and Access Management Bedeutung: Verwaltung von Identitäten, Rollen, Rechten und Zugriffen. Typische Aufgaben: Benutzer verwalten Rollen definieren Berechtigungen vergeben MFA erzwingen Service Accounts verwalten Zugriff protokollieren Merksatz: IAM entscheidet, wer was darf. Aufgabe 21 Warum ist IAM in der Cloud besonders wichtig? Antwort anzeigen Cloud-Ressourcen sind oft über das Internet erreichbar und können schnell erstellt, geändert oder gelöscht werden. Fehlerhafte Berechtigungen können zu: Datenabfluss Missbrauch von Ressourcen Kostenexplosion unberechtigtem Zugriff Manipulation führen. Merksatz: In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter. Aufgabe 22 Was bedeutet Least Privilege im Cloud-Kontext? Antwort anzeigen Least Privilege bedeutet: Benutzer, Rollen, Dienste und Anwendungen erhalten nur die Berechtigungen, die sie wirklich benötigen. Beispiele: Entwickler darf Logs lesen, aber keine Produktionsdatenbank löschen. Anwendung darf in einen Speicher schreiben, aber keine Benutzer verwalten. Dienstkonto darf nur auf benötigte Ressourcen zugreifen. Merksatz: In der Cloud keine pauschalen Adminrechte vergeben. Aufgabe 23 Was ist MFA im Cloud-Kontext? Antwort anzeigen MFA steht für: Multi-Faktor-Authentifizierung Bedeutung: Anmeldung benötigt mehr als nur ein Passwort. Beispiele für Faktoren: Wissen: Passwort Besitz: Smartphone, Token, Smartcard Sein: biometrisches Merkmal Merksatz: MFA schützt Cloud-Konten gegen Passwortmissbrauch. Aufgabe 24 Was ist ein Service Account? Antwort anzeigen Ein Service Account ist ein Konto, das von Diensten, Anwendungen oder Automatisierungen genutzt wird. Risiken: zu viele Rechte Schlüssel liegen unsicher Zugriff wird nicht überwacht Konto wird nach Projektende nicht entfernt Schutzmaßnahmen: Least Privilege Schlüsselrotation kurze Laufzeiten Logging keine geteilten Geheimnisse im Klartext Merksatz: Service Accounts brauchen besonders saubere Rechteverwaltung. Aufgabe 25 Was ist eine VPC? Antwort anzeigen VPC steht für: Virtual Private Cloud Bedeutung: logisch getrenntes virtuelles Netzwerk in einer Cloud-Umgebung. Typische Bestandteile: Subnetze Routing-Tabellen Security Groups Gateways Firewalls VPN-Anbindungen Merksatz: VPC = virtuelles Cloud-Netzwerk. Aufgabe 26 Was ist ein Cloud-Subnetz? Antwort anzeigen Ein Cloud-Subnetz ist ein IP-Adressbereich innerhalb eines virtuellen Cloud-Netzwerks. Typische Unterscheidung: öffentliches Subnetz privates Subnetz Öffentliches Subnetz: Ressourcen können über passende Regeln und öffentliche Adresse aus dem Internet erreichbar sein. Privates Subnetz: Ressourcen sind nicht direkt öffentlich erreichbar. Merksatz: Subnetze strukturieren Cloud-Netzwerke. Aufgabe 27 Was ist eine Security Group? Antwort anzeigen Eine Security Group ist eine regelbasierte Zugriffskontrolle für Cloud-Ressourcen. Sie steuert typischerweise: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group ist wie eine ressourcennahe Firewall-Regelgruppe. Aufgabe 28 Was ist der Unterschied zwischen Security Group und klassischer Netzwerkfirewall? Antwort anzeigen Security Group: häufig direkt an Cloud-Ressourcen gebunden regelt Zugriff auf einzelne Ressourcen oder Gruppen Klassische Firewall: oft zentrale Netzwerkkomponente oder Appliance kontrolliert Verkehr zwischen Netzen oder Zonen Wichtig: Beide kontrollieren Verkehr, aber an unterschiedlichen Stellen. Merksatz: Security Groups sind Cloud-nahe Zugriffskontrolle. Aufgabe 29 Warum sollte eine Cloud-Datenbank nicht öffentlich erreichbar sein? Antwort anzeigen Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation Kosten oder Last durch Missbrauch Besser: privates Subnetz Zugriff nur von Anwendungsservern Security Group einschränken starke Authentifizierung Verschlüsselung Logging Merksatz: Datenbanken nicht öffentlich freigeben. Aufgabe 30 Was bedeutet Skalierung? Antwort anzeigen Skalierung bedeutet: Ressourcen werden an Bedarf angepasst. Vertikale Skalierung: eine Ressource wird größer gemacht Beispiel: mehr CPU oder RAM für eine VM Horizontale Skalierung: mehrere Instanzen werden hinzugefügt Beispiel: mehrere Webserver hinter einem Load Balancer Merksatz: Vertikal = größer. Horizontal = mehr. Aufgabe 31 Was ist Auto Scaling? Antwort anzeigen Auto Scaling bedeutet: Ressourcen werden automatisch erhöht oder reduziert, abhängig von definierten Bedingungen. Beispiele: CPU-Auslastung hoch: zusätzliche Instanz starten Last niedrig: Instanz entfernen Vorteile: bessere Verfügbarkeit flexible Leistung Kostenkontrolle bei richtiger Konfiguration Merksatz: Auto Scaling passt Ressourcen automatisch an Last an. Aufgabe 32 Was ist ein Load Balancer? Antwort anzeigen Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Beispiele: mehrere Webserver mehrere Anwendungsserver Vorteile: bessere Verfügbarkeit Lastverteilung Wartung einzelner Instanzen leichter möglich Skalierung Merksatz: Load Balancer verteilt Verkehr. Aufgabe 33 Was bedeutet Cloud-Kostenkontrolle? Antwort anzeigen Cloud-Kostenkontrolle bedeutet: Nutzung, Ressourcen Speicher Datenverkehr Lizenzen und laufende Dienste überwachen. Maßnahmen: Budgets Alarme Tags Abschalten ungenutzter Ressourcen passende Größen wählen Reservierungen oder Pläne prüfen Speicherklassen nutzen Merksatz: Cloud ist flexibel, aber nicht automatisch günstig. Aufgabe 34 Warum sind Tags in der Cloud nützlich? Antwort anzeigen Tags sind Metadaten an Ressourcen. Nutzung: Kostenstellen zuordnen Besitzer erkennen Umgebung kennzeichnen Projektzuordnung Automatisierung Compliance Beispiele: Projekt = Webshop Umgebung = Produktion Besitzer = IT-Team Merksatz: Tags helfen bei Ordnung, Kosten und Automatisierung. Aufgabe 35 Was ist Vendor Lock-in? Antwort anzeigen Vendor Lock-in bedeutet: starke Abhängigkeit von einem Anbieter, weil Dienste, Schnittstellen oder Datenformate schwer wechselbar sind. Risiken: Wechsel wird teuer Migration wird schwierig Preiserhöhungen schwer vermeidbar technische Abhängigkeiten Merksatz: Vendor Lock-in erschwert Anbieterwechsel. Aufgabe 36 Was ist ein Cloud-Backup? Antwort anzeigen Cloud-Backup bedeutet: Daten oder Systeme werden in einer Cloud-Umgebung gesichert. Wichtig: Zugriffsschutz Verschlüsselung Retention Restore-Test Schutz gegen Ransomware regionale Speicherung Kosten Merksatz: Auch Cloud-Backups müssen getestet und geschützt werden. Aufgabe 37 Warum ersetzt Cloud-Synchronisation kein Backup? Antwort anzeigen Synchronisation gleicht Datenstände ab. Problem: Löschungen Verschlüsselung durch Ransomware Fehländerungen beschädigte Dateien können mitsynchronisiert werden. Backup braucht: alte Versionen Retention Restore-Möglichkeit Schutz vor Manipulation Merksatz: Sync hält gleich. Backup stellt alte Stände wieder her. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Wer ist in der Cloud für Sicherheit verantwortlich? Antwort A: Nur der Cloud-Anbieter. Antwort B: Die Verantwortung ist geteilt. Der Anbieter schützt die Cloud-Infrastruktur, der Kunde bleibt je nach Modell für Daten, Benutzer, Rechte, Konfigurationen und Anwendungen verantwortlich. Antwort anzeigen B ist besser. Begründung: Die Antwort beschreibt das Shared-Responsibility-Modell korrekt. Merksatz: Cloud-Sicherheit ist geteilte Verantwortung. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Warum ist eine öffentlich erreichbare Cloud-Datenbank kritisch? Antwort A: Weil Datenbanken wichtig sind. Antwort B: Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche erheblich. Es drohen Brute-Force-Angriffe, Ausnutzung von Schwachstellen, Datenabfluss und Manipulation. Besser ist der Betrieb in einem privaten Subnetz mit Zugriff nur durch benötigte Anwendungen. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Risiken und eine bessere Schutzmaßnahme. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Was ist der Unterschied zwischen IaaS und SaaS? Antwort A: SaaS ist irgendwie mehr fertig. Antwort B: Bei IaaS stellt der Anbieter virtuelle Infrastruktur bereit, zum Beispiel virtuelle Maschinen, Speicher und Netzwerke. Der Kunde verwaltet häufig Betriebssystem und Anwendung. Bei SaaS nutzt der Kunde eine fertige Anwendung und verwaltet hauptsächlich Benutzer, Daten, Rechte und Einstellungen. Antwort anzeigen B ist besser. Begründung: Die Antwort grenzt beide Modelle fachlich sauber voneinander ab. Merksatz: Modelle immer über Verantwortlichkeit und Bereitstellung erklären. Mini-Prüfung: schnelle Zuordnung Frage Antwort Was bedeutet IaaS? Infrastructure as a Service Was bedeutet PaaS? Platform as a Service Was bedeutet SaaS? Software as a Service Was ist IaaS? virtuelle Infrastruktur Was ist PaaS? verwaltete Plattform Was ist SaaS? fertige Anwendung Was ist Public Cloud? Cloud eines öffentlichen Anbieters Was ist Private Cloud? Cloud nur für eine Organisation Was ist Hybrid Cloud? lokal oder privat plus Public Cloud Was ist Multi Cloud? mehrere Cloud-Anbieter Was ist IAM? Identitäts- und Zugriffsverwaltung Was ist VPC? virtuelles Cloud-Netzwerk Was ist Security Group? ressourcennahe Firewall-Regelgruppe Was ist Auto Scaling? automatische Anpassung von Ressourcen Was ist Vendor Lock-in? starke Anbieterabhängigkeit Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinliches Thema Benutzer sieht zu viele Cloud-Ressourcen IAM / Rechte zu breit Cloud-Datenbank öffentlich erreichbar Security Group oder Netzwerk falsch Kosten steigen unerwartet Kostenkontrolle, ungenutzte Ressourcen Anwendung langsam bei Lastspitzen Skalierung oder Load Balancer prüfen VM nicht erreichbar Security Group, Route, Subnetz, Firewall SaaS-Dateien falsch geteilt Freigaben und Berechtigungen prüfen Cloud-Backup nicht wiederherstellbar Restore-Test fehlt gelöschte Datei verschwindet überall Sync statt Backup Anbieterwechsel sehr schwierig Vendor Lock-in Cloud-Ressource ohne Besitzer fehlende Tags oder Dokumentation IHK-sichere Kurzformulierung Cloud Computing bezeichnet die Bereitstellung von IT-Ressourcen über ein Netzwerk. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit. Bei PaaS nutzt der Kunde eine verwaltete Plattform für Anwendungen. Bei SaaS wird eine fertige Anwendung bereitgestellt. Public Cloud ist die Cloud eines öffentlichen Anbieters, Private Cloud eine Cloud für eine Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud und Multi Cloud nutzt mehrere Anbieter. Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung: Der Anbieter schützt die Cloud-Infrastruktur, der Kunde bleibt je nach Modell für Daten, Identitäten, Rechte, Konfigurationen und Anwendungen verantwortlich. Merksätze Cloud = IT-Ressourcen über Netzwerk. Cloud ist flexibel, aber nicht automatisch sicher. Cloud ist flexibel, aber nicht automatisch günstig. IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software. Virtuelle Maschine ist typisch IaaS. Verwaltete Plattform ist typisch PaaS. Fertige Anwendung ist typisch SaaS. Public Cloud = öffentlicher Anbieter. Private Cloud = nur für eine Organisation. Hybrid Cloud = lokal oder privat plus Cloud. Multi Cloud = mehrere Anbieter. Hybrid beschreibt Kombination von Umgebungen. Multi beschreibt mehrere Anbieter. Shared Responsibility = geteilte Verantwortung. Anbieter schützt die Cloud. Kunde schützt seine Nutzung der Cloud. IAM entscheidet, wer was darf. Cloud-Identitäten sind besonders wichtig. MFA schützt Cloud-Konten. Least Privilege gilt auch in der Cloud. Service Accounts brauchen minimale Rechte. VPC = virtuelles Cloud-Netzwerk. Subnetze strukturieren Cloud-Netze. Security Groups kontrollieren Zugriff. Datenbanken nicht öffentlich freigeben. Vertikal skalieren = größer machen. Horizontal skalieren = mehr Instanzen. Auto Scaling passt Ressourcen automatisch an. Load Balancer verteilt Verkehr. Tags helfen bei Kosten, Ordnung und Automatisierung. Vendor Lock-in erschwert Anbieterwechsel. Cloud-Sync ist kein Backup. Auch Cloud-Backups brauchen Restore-Tests. 20.11 Trainer – Angriffe, Schutzmaßnahmen und IT-Sicherheit Diese Trainer-Seite wiederholt typische Angriffe, Schutzziele, Risiken und passende Schutzmaßnahmen. Ziel ist, Sicherheitsfragen in der Prüfung sauber einzuordnen: - Welches Schutzziel ist betroffen? - Welche Angriffsmethode liegt vor? - Welche Maßnahme passt dazu? - Warum ist die Maßnahme sinnvoll? Merksatz: Sicherheitsfragen bestehen oft aus: Schutzziel, Risiko, Maßnahme und Wirkung. Lernziele Nach dieser Seite solltest du sicher können: - Vertraulichkeit, Integrität und Verfügbarkeit unterscheiden - Schwachstelle, Bedrohung und Risiko erklären - typische Angriffe erkennen - Malware-Arten unterscheiden - Phishing und Social Engineering einordnen - Passwortangriffe unterscheiden - Webangriffe grob erklären - IDS, IPS, EDR und SIEM unterscheiden - passende Schutzmaßnahmen auswählen - prüfungssichere Sicherheitsantworten formulieren Kurzüberblick: Schutzziele Schutzziel Bedeutung Beispiel Vertraulichkeit Schutz vor unberechtigtem Lesen Datenabfluss Integrität Schutz vor unbemerkter Veränderung manipulierte Datei Verfügbarkeit Systeme und Daten sind nutzbar DDoS oder Ausfall Authentizität Echtheit prüfen echter Server oder echter Benutzer Nachvollziehbarkeit Ereignisse rekonstruieren Logs und Protokolle Merksatz: CIA = Confidentiality, Integrity, Availability. Deutsch: Vertraulichkeit, Integrität, Verfügbarkeit. Kurzüberblick: Angriffe und Maßnahmen Angriff oder Risiko Passende Maßnahme gestohlenes Passwort MFA zu viele Rechte Least Privilege bekannte Sicherheitslücke Patchmanagement unnötige Dienste Hardening Ransomware Offline- oder Immutable-Backup Phishing Awareness, Mailfilter, MFA DDoS DDoS-Schutz, Rate Limiting, CDN Man-in-the-Middle TLS, Zertifikatsprüfung, VPN SQL Injection Prepared Statements XSS Output Encoding, CSP, HttpOnly unklare Vorfälle Logging, SIEM, Monitoring Merksatz: Maßnahme muss zum Risiko passen. Aufgabe 1 Was bedeutet Vertraulichkeit? Antwort anzeigen Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen, Systemen oder Prozessen gelesen werden. Beispielverletzung: Kundendaten werden unberechtigt ausgelesen. Passende Maßnahmen: Verschlüsselung Rechtekonzept MFA Zugriffskontrolle DLP Merksatz: Vertraulichkeit schützt vor unberechtigtem Mitlesen. Aufgabe 2 Was bedeutet Integrität? Antwort anzeigen Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispielverletzung: Eine Konfigurationsdatei wird manipuliert. Passende Maßnahmen: Hashwerte digitale Signaturen Rechtebegrenzung Versionskontrolle Logging Merksatz: Integrität schützt vor unbemerkter Veränderung. Aufgabe 3 Was bedeutet Verfügbarkeit? Antwort anzeigen Verfügbarkeit bedeutet: Systeme, Dienste und Daten stehen bei Bedarf zur Verfügung. Beispielverletzung: Ein Server ist durch DDoS nicht erreichbar. Passende Maßnahmen: Redundanz Monitoring Backup DDoS-Schutz Notfallplan Merksatz: Verfügbarkeit schützt Nutzbarkeit. Aufgabe 4 Ordne das Schutzziel zu. Ereignis Schutzziel Daten werden gestohlen ? Datei wird manipuliert ? Server ist nicht erreichbar ? Absender wird gefälscht ? Antwort anzeigen Ereignis Schutzziel Daten werden gestohlen Vertraulichkeit Datei wird manipuliert Integrität Server ist nicht erreichbar Verfügbarkeit Absender wird gefälscht Authentizität Merksatz: Lesen = Vertraulichkeit. Verändern = Integrität. Ausfall = Verfügbarkeit. Echtheit = Authentizität. Aufgabe 5 Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? Antwort anzeigen Schwachstelle: ausnutzbare Lücke Beispiel: ungepatchter Server Bedrohung: mögliches schädliches Ereignis Beispiel: Angreifer nutzt die Lücke aus Risiko: bewertete Gefahr aus Wahrscheinlichkeit und Auswirkung Beispiel: Datenverlust durch Angriff auf den ungepatchten Server Merksatz: Schwachstelle = Lücke. Bedrohung = mögliches Ereignis. Risiko = bewertete Gefahr. Aufgabe 6 Was ist Malware? Antwort anzeigen Malware bedeutet: Schadsoftware Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Merksatz: Malware ist der Oberbegriff für Schadsoftware. Aufgabe 7 Was ist der Unterschied zwischen Virus, Wurm und Trojaner? Antwort anzeigen Virus: hängt sich an Dateien oder Programme an verbreitet sich meist durch Ausführung oder Weitergabe Wurm: verbreitet sich selbstständig über Netzwerke Trojaner: tarnt sich als nützliches Programm, enthält aber schädliche Funktionen Merksatz: Virus braucht oft Wirt. Wurm verbreitet sich selbst. Trojaner täuscht Nutzen vor. Aufgabe 8 Was ist Ransomware? Antwort anzeigen Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und häufig Lösegeld fordert. Betroffene Schutzziele: Verfügbarkeit bei Datenabfluss zusätzlich: Vertraulichkeit Passende Maßnahmen: Offline-Backup Immutable Backup Patchmanagement EDR Segmentierung Least Privilege Restore-Test Merksatz: Ransomware betrifft vor allem Verfügbarkeit. Aufgabe 9 Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig? Antwort anzeigen Ransomware versucht häufig, auch Backups zu löschen oder zu verschlüsseln. Offline-Backups sind nicht dauerhaft verbunden. Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden. Dadurch bleibt eine Wiederherstellungsmöglichkeit erhalten. Merksatz: Backups müssen vor Angreifern geschützt werden. Aufgabe 10 Was ist Phishing? Antwort anzeigen Phishing ist Täuschung, um vertrauliche Daten oder Zugangsdaten zu erhalten. Typische Kanäle: E-Mail SMS Messenger Telefon QR-Code gefälschte Webseite Ziele: Passwörter MFA-Codes Bankdaten Zugangsdaten Merksatz: Phishing täuscht Benutzer zur Preisgabe von Daten. Aufgabe 11 Was ist Spear Phishing? Antwort anzeigen Spear Phishing ist gezieltes Phishing gegen bestimmte Personen, Abteilungen oder Organisationen. Merkmale: persönlicher Bezug glaubwürdiger Absender Bezug auf echte Projekte gezielte Vorbereitung Merksatz: Spear Phishing ist gezielt und oft glaubwürdiger. Aufgabe 12 Was ist Social Engineering? Antwort anzeigen Social Engineering nutzt menschliches Verhalten, Vertrauen, Hilfsbereitschaft oder Zeitdruck aus. Beispiele: falscher IT-Support angeblicher Chef fordert Zahlung gefälschter Lieferant Besucher ohne Berechtigung manipulierter Anruf Merksatz: Social Engineering greift Menschen an, nicht nur Technik. Aufgabe 13 Was ist CEO-Fraud? Antwort anzeigen CEO-Fraud ist ein Betrug, bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben. Ziel: Zahlung auslösen vertrauliche Daten erhalten schnelle Entscheidung erzwingen Typische Methode: Autorität und Zeitdruck ausnutzen Merksatz: CEO-Fraud nutzt Autorität und Druck. Aufgabe 14 Was ist Brute Force? Antwort anzeigen Brute Force bedeutet: systematisches Ausprobieren vieler Passwörter. Schutzmaßnahmen: starke Passwörter MFA Account Lockout Rate Limiting Monitoring Passwortmanager Merksatz: Brute Force probiert viele Möglichkeiten aus. Aufgabe 15 Was ist Password Spraying? Antwort anzeigen Password Spraying bedeutet: ein häufiges Passwort wird gegen viele Konten getestet. Beispiel: Winter2026! gegen viele Benutzerkonten. Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche stattfinden. Merksatz: Password Spraying: ein Passwort, viele Konten. Aufgabe 16 Was ist Credential Stuffing? Antwort anzeigen Credential Stuffing nutzt bereits geleakte Zugangsdaten. Prinzip: bekannte E-Mail-Passwort-Kombinationen werden bei anderen Diensten ausprobiert. Grund: Benutzer verwenden Passwörter oft mehrfach. Schutzmaßnahmen: MFA Passwortmanager einzigartige Passwörter Leak-Prüfung Monitoring Merksatz: Credential Stuffing nutzt wiederverwendete geleakte Passwörter. Aufgabe 17 Ordne zu. Angriff Beschreibung Brute Force ? Password Spraying ? Credential Stuffing ? Antwort anzeigen Angriff Beschreibung Brute Force viele Passwortversuche Password Spraying ein Passwort gegen viele Konten Credential Stuffing geleakte Zugangsdaten bei anderen Diensten testen Merksatz: Brute Force = viele Versuche. Spraying = ein Passwort, viele Konten. Stuffing = geleakte Daten. Aufgabe 18 Was ist DoS? Antwort anzeigen DoS steht für: Denial of Service Ziel: einen Dienst überlasten oder nicht mehr verfügbar machen Betroffenes Schutzziel: Verfügbarkeit Merksatz: DoS greift Verfügbarkeit an. Aufgabe 19 Was ist DDoS? Antwort anzeigen DDoS steht für: Distributed Denial of Service Unterschied zu DoS: Angriff kommt verteilt von vielen Systemen. Häufige Quelle: Botnetze Schutzmaßnahmen: DDoS-Schutz CDN Rate Limiting Filterung Provider-Schutz Skalierung Merksatz: DDoS = verteilter Angriff auf Verfügbarkeit. Aufgabe 20 Was ist Man-in-the-Middle? Antwort anzeigen Man-in-the-Middle bedeutet: Ein Angreifer sitzt zwischen zwei Kommunikationspartnern. Ziele: mitlesen verändern umleiten Sitzung übernehmen Betroffene Schutzziele: Vertraulichkeit Integrität Schutzmaßnahmen: TLS Zertifikatsprüfung VPN HSTS sichere WLANs Merksatz: MitM gefährdet Vertraulichkeit und Integrität. Aufgabe 21 Was ist Spoofing? Antwort anzeigen Spoofing bedeutet: Identität, Adresse, Absender oder Herkunft wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing DNS-Spoofing E-Mail-Spoofing ARP-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. Aufgabe 22 Was ist ARP-Spoofing? Antwort anzeigen ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz. Ziel: Datenverkehr umleiten Man-in-the-Middle ermöglichen Kommunikation stören Schutzmaßnahmen: Dynamic ARP Inspection Netzwerksegmentierung Switch-Sicherheitsfunktionen Monitoring Verschlüsselung höherer Schichten Merksatz: ARP-Spoofing betrifft lokale IPv4-Kommunikation. Aufgabe 23 Was ist DNS-Spoofing? Antwort anzeigen DNS-Spoofing liefert falsche DNS-Antworten. Ziel: Benutzer auf falsche Server umleiten. Risiken: Phishing Malware Credential Theft Man-in-the-Middle Schutzmaßnahmen: vertrauenswürdige DNS-Server DNSSEC je nach Einsatz TLS-Zertifikatsprüfung Monitoring Merksatz: DNS-Spoofing manipuliert Namensauflösung. Aufgabe 24 Was ist SQL Injection? Antwort anzeigen SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Ziele: Daten auslesen Daten verändern Anmeldung umgehen Daten löschen Schutzmaßnahmen: Prepared Statements Parametrisierung Eingabevalidierung Rechtebegrenzung für Datenbankkonten sichere Fehlerausgaben Merksatz: SQL Injection betrifft unsichere Datenbankabfragen. Aufgabe 25 Was ist XSS? Antwort anzeigen XSS steht für: Cross-Site Scripting Dabei wird schädlicher Skriptcode in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Ziele: Session stehlen Benutzeraktionen manipulieren Inhalte verändern Phishing innerhalb einer Webseite Schutzmaßnahmen: Output Encoding Eingabevalidierung Content Security Policy HttpOnly-Cookies Merksatz: XSS greift Benutzer im Browser an. Aufgabe 26 Was ist CSRF? Antwort anzeigen CSRF steht für: Cross-Site Request Forgery Dabei wird eine gültige Sitzung eines Benutzers missbraucht, um ungewollte Aktionen auszuführen. Schutzmaßnahmen: CSRF-Token SameSite-Cookies erneute Bestätigung kritischer Aktionen Origin-Prüfung Merksatz: CSRF missbraucht eine bestehende Sitzung. Aufgabe 27 Ordne Webangriffe zu. Angriff Kurzbeschreibung SQL Injection ? XSS ? CSRF ? Antwort anzeigen Angriff Kurzbeschreibung SQL Injection SQL-Code in Eingaben einschleusen XSS Skriptcode im Browser anderer Benutzer ausführen CSRF gültige Sitzung für ungewollte Aktion missbrauchen Merksatz: SQLi betrifft Datenbankabfragen. XSS betrifft Browser. CSRF betrifft Sitzungen. Aufgabe 28 Was ist ein Zero-Day? Antwort anzeigen Ein Zero-Day ist eine Schwachstelle, für die es noch keinen bekannten oder verfügbaren Patch gibt oder die gerade erst bekannt wurde. Risiko: hohe Gefahr, weil Standardmaßnahmen noch nicht vollständig verfügbar sind. Merksatz: Zero-Day = neue oder ungepatchte Schwachstelle. Aufgabe 29 Was ist ein Supply-Chain-Angriff? Antwort anzeigen Ein Supply-Chain-Angriff zielt auf Lieferketten, Softwareabhängigkeiten oder Dienstleister. Beispiele: kompromittiertes Update manipuliertes Softwarepaket unsichere Bibliothek kompromittierter Dienstleisterzugang Schutzmaßnahmen: Signaturprüfung Dependency-Scanning Lieferantenprüfung Least Privilege Monitoring Merksatz: Supply-Chain-Angriff kommt über Abhängigkeiten. Aufgabe 30 Was bedeutet Insider Threat? Antwort anzeigen Insider Threat bedeutet: Gefahr durch Personen innerhalb der Organisation oder mit berechtigtem Zugriff. Beispiele: absichtlicher Datenabfluss fahrlässige Fehlkonfiguration Missbrauch von Adminrechten Zugriff nach Rollenwechsel nicht entfernt Schutzmaßnahmen: Least Privilege Rechteprüfung Vier-Augen-Prinzip Logging Offboarding Merksatz: Insider haben bereits Zugriff, deshalb sind Rechte und Logs wichtig. Aufgabe 31 Was bedeutet Least Privilege? Antwort anzeigen Least Privilege bedeutet: Benutzer, Dienste und Prozesse erhalten nur die Rechte, die sie wirklich benötigen. Ziel: Schaden bei Fehlern oder Angriffen begrenzen. Merksatz: So wenig Rechte wie möglich, so viele wie nötig. Aufgabe 32 Was bedeutet MFA? Antwort anzeigen MFA steht für: Multi-Faktor-Authentifizierung Dabei werden mehrere Faktoren kombiniert. Faktoren: Wissen: Passwort Besitz: Token, Smartphone, Smartcard Sein: biometrisches Merkmal Merksatz: MFA sorgt dafür, dass ein Passwort allein nicht reicht. Aufgabe 33 Was ist Hardening? Antwort anzeigen Hardening bedeutet: Systeme sicherer konfigurieren, indem unnötige Funktionen deaktiviert oder eingeschränkt werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern unsichere Protokolle abschalten Rechte begrenzen sichere Einstellungen setzen Logging aktivieren Merksatz: Hardening verringert die Angriffsfläche. Aufgabe 34 Was ist Patchmanagement? Antwort anzeigen Patchmanagement sorgt dafür, dass Sicherheitsupdates geplant, getestet und eingespielt werden. Ziel: bekannte Schwachstellen schließen. Merksatz: Patchmanagement reduziert bekannte Risiken. Aufgabe 35 Was ist der Unterschied zwischen IDS und IPS? Antwort anzeigen IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt Angriffe und blockiert zusätzlich Merksatz: IDS meldet. IPS blockiert. Aufgabe 36 Was ist EDR? Antwort anzeigen EDR steht für: Endpoint Detection and Response Aufgabe: Endgeräte überwachen verdächtiges Verhalten erkennen Reaktion ermöglichen Angriffe analysieren Merksatz: EDR schützt und überwacht Endgeräte. Aufgabe 37 Was ist SIEM? Antwort anzeigen SIEM steht für: Security Information and Event Management Aufgabe: Logs sammeln Sicherheitsereignisse korrelieren Alarme erzeugen Vorfälle analysieren Nachvollziehbarkeit verbessern Merksatz: SIEM verbindet Sicherheitsereignisse aus vielen Quellen. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Ein Dienst ist durch sehr viele Anfragen nicht mehr erreichbar. Welches Schutzziel ist betroffen? Antwort A: Vertraulichkeit, weil alles geheim ist. Antwort B: Verfügbarkeit, weil der Dienst nicht mehr nutzbar ist. Antwort anzeigen B ist besser. Begründung: Wenn ein Dienst nicht mehr erreichbar oder nutzbar ist, ist die Verfügbarkeit betroffen. Merksatz: Ausfall = Verfügbarkeit. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Warum ist MFA eine sinnvolle Maßnahme gegen gestohlene Passwörter? Antwort A: Weil MFA moderner ist. Antwort B: MFA verlangt zusätzlich zum Passwort einen weiteren Faktor. Dadurch reicht ein gestohlenes Passwort allein nicht mehr aus, um Zugriff zu erhalten. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die konkrete Schutzwirkung. Merksatz: Maßnahme immer mit Wirkung erklären. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum ist Hardening sinnvoll? Antwort A: Weil man Systeme härter macht. Antwort B: Hardening reduziert die Angriffsfläche, indem unnötige Dienste, Standardzugänge, unsichere Protokolle und zu weitgehende Rechte entfernt oder eingeschränkt werden. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt, wie Hardening wirkt und warum es sicherheitsrelevant ist. Merksatz: Fachbegriff plus Wirkung nennen. Mini-Prüfung: schnelle Zuordnung Frage Antwort Vertraulichkeit schützt vor was? unberechtigtem Lesen Integrität schützt vor was? unbemerkter Veränderung Verfügbarkeit schützt was? Nutzbarkeit Was ist Malware? Schadsoftware Was ist Ransomware? Verschlüsselung oder Sperrung gegen Lösegeld Was ist Phishing? Täuschung zur Datenpreisgabe Was ist DDoS? verteilter Angriff auf Verfügbarkeit Was ist MitM? Angreifer zwischen Kommunikationspartnern Was ist Spoofing? Vortäuschen von Identität oder Herkunft Was ist SQL Injection? SQL-Code in Eingaben einschleusen Was ist XSS? Skriptcode im Browser anderer Benutzer Was ist CSRF? Missbrauch einer bestehenden Sitzung Was macht IDS? melden Was macht IPS? blockieren Was macht SIEM? Sicherheitsereignisse korrelieren Mini-Prüfung: Angriff und Maßnahme Angriff oder Risiko passende Maßnahme gestohlenes Passwort MFA zu viele Rechte Least Privilege ungepatchter Server Patchmanagement unnötige Dienste Hardening Ransomware Offline- oder Immutable-Backup Phishing Awareness, Mailfilter, MFA SQL Injection Prepared Statements XSS Output Encoding, CSP, HttpOnly DDoS DDoS-Schutz, Rate Limiting Man-in-the-Middle TLS, Zertifikatsprüfung unklare Vorfälle Logging, SIEM kompromittiertes Endgerät EDR Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema viele Loginversuche Brute Force ein Passwort gegen viele Konten Password Spraying geleakte Zugangsdaten werden getestet Credential Stuffing gefälschte Loginseite Phishing angeblicher Chef fordert Zahlung CEO-Fraud Dateien verschlüsselt, Lösegeldforderung Ransomware Dienst überlastet DoS oder DDoS falsche DNS-Antwort DNS-Spoofing Verkehr wird umgeleitet Man-in-the-Middle SQL-Fehler nach Eingabe SQL Injection fremdes Skript im Browser XSS Aktion über bestehende Sitzung ausgelöst CSRF IHK-sichere Kurzformulierung Informationssicherheit schützt die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall. Eine Schwachstelle ist eine ausnutzbare Lücke, eine Bedrohung ein mögliches schädliches Ereignis und ein Risiko die bewertete Gefahr. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, Brute Force, Credential Stuffing, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, XSS und CSRF. Passende Schutzmaßnahmen sind unter anderem MFA, Least Privilege, Patchmanagement, Hardening, Firewall, IDS, IPS, EDR, SIEM, Backup, Segmentierung und Awareness. Merksätze Sicherheit schützt Schutzziele. CIA bedeutet Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Authentizität schützt Echtheit. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. Maßnahme reduziert Risiko. Malware ist Schadsoftware. Virus braucht meist eine Wirtsdatei. Wurm verbreitet sich selbstständig. Trojaner täuscht Nutzen vor. Ransomware verschlüsselt oder sperrt Daten. Phishing täuscht Benutzer. Social Engineering greift Menschen an. Brute Force probiert viele Passwörter. Password Spraying: ein Passwort, viele Konten. Credential Stuffing nutzt geleakte Zugangsdaten. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Identität oder Herkunft vor. SQL Injection betrifft Datenbankabfragen. XSS betrifft Browser anderer Benutzer. CSRF missbraucht eine gültige Sitzung. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Rechte. Patchmanagement schließt bekannte Lücken. Hardening reduziert Angriffsfläche. IDS meldet. IPS blockiert. EDR schützt Endgeräte. SIEM korreliert Sicherheitsereignisse. Backup ist Wiederherstellungsvorsorge. Maßnahme muss zum Risiko passen. Sicherheitsantwort: Risiko, Maßnahme, Wirkung. 20.12 Trainer – Backup, Restore, RPO, RTO und Notfallmaßnahmen Diese Trainer-Seite wiederholt Backup, Restore, RPO, RTO, Retention, Restore-Test, Ransomware-Schutz und Notfallmaßnahmen. Ziel ist, typische Prüfungsfragen zu Datensicherung, Wiederherstellung, Backup-Arten, Notfallplanung und Verfügbarkeit sicher zu beantworten. Merksatz: Backup ist die Sicherung. Restore ist die Wiederherstellung. Ein Backup ist nur so gut wie sein getesteter Restore. Lernziele Nach dieser Seite solltest du sicher können: - Backup und Restore unterscheiden - Vollbackup, inkrementelles Backup und differenzielles Backup unterscheiden - RPO und RTO erklären - Retention erklären - Restore-Tests begründen - 3-2-1-Regel erklären - Offline- und Immutable-Backups einordnen - Snapshots, Replikation, Synchronisation und Redundanz von Backup unterscheiden - typische Backup-Fehler erkennen - Notfallmaßnahmen fachlich beschreiben Kurzüberblick Begriff Bedeutung Backup Sicherung von Daten, Systemen oder Konfigurationen Restore Wiederherstellung aus einer Sicherung RPO maximal akzeptabler Datenverlust RTO maximal akzeptable Wiederherstellungszeit Retention Aufbewahrungsregel für Backups Restore-Test Prüfung, ob Wiederherstellung funktioniert Offline-Backup nicht dauerhaft verbundenes Backup Immutable Backup unveränderliches Backup Notfallhandbuch Anleitung für Störungen und Wiederanlauf Merksatz: RPO fragt: Wie viel Datenverlust ist erlaubt? RTO fragt: Wie lange darf die Wiederherstellung dauern? Aufgabe 1 Was ist ein Backup? Antwort anzeigen Ein Backup ist eine Sicherung von Daten, Systemen, Anwendungen oder Konfigurationen. Ziel: Daten oder Systeme nach Fehler, Ausfall, Löschung, Defekt oder Angriff wiederherstellen können. Beispiele: Dateisicherung Datenbanksicherung VM-Backup Systemabbild Konfigurationsbackup Merksatz: Backup = Sicherung zur späteren Wiederherstellung. Aufgabe 2 Was ist ein Restore? Antwort anzeigen Restore bedeutet: Wiederherstellung von Daten, Systemen oder Konfigurationen aus einem Backup. Beispiele: gelöschte Datei wiederherstellen Datenbank auf früheren Zustand zurücksetzen Server nach Ausfall wiederherstellen Konfiguration zurückspielen Merksatz: Restore = Wiederherstellung aus Backup. Aufgabe 3 Was ist der Unterschied zwischen Backup und Restore? Antwort anzeigen Backup: Daten werden gesichert. Restore: gesicherte Daten werden wiederhergestellt. Merksatz: Backup ist Vorbereitung. Restore ist der Ernstfall. Aufgabe 4 Warum ist ein Restore-Test wichtig? Antwort anzeigen Ein Restore-Test prüft, ob ein Backup wirklich nutzbar ist. Ohne Restore-Test weiß man nicht sicher: ob Daten vollständig sind ob Dateien lesbar sind ob Datenbanken konsistent sind ob Schlüssel vorhanden sind ob Rechte stimmen ob die Wiederherstellungszeit ausreicht Merksatz: Backup ohne Restore-Test ist unsicher. Aufgabe 5 Was ist ein Vollbackup? Antwort anzeigen Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung vollständiger Sicherungsstand weniger Abhängigkeiten Nachteile: benötigt viel Speicherplatz dauert länger erzeugt mehr Last Merksatz: Vollbackup sichert alles, braucht aber mehr Speicher und Zeit. Aufgabe 6 Was ist ein inkrementelles Backup? Antwort anzeigen Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Das letzte Backup kann sein: Vollbackup oder inkrementelles Backup Vorteile: schnell spart Speicherplatz Nachteile: Restore braucht die Backup-Kette beschädigte Kette kann Wiederherstellung gefährden Merksatz: Inkrementell = Änderungen seit letztem Backup. Aufgabe 7 Was ist ein differenzielles Backup? Antwort anzeigen Ein differenzielles Backup sichert alle Änderungen seit dem letzten Vollbackup. Vorteile: Restore einfacher als bei langer inkrementeller Kette weniger Speicherbedarf als tägliches Vollbackup Nachteile: wird bis zum nächsten Vollbackup immer größer Merksatz: Differenziell = Änderungen seit letztem Vollbackup. Aufgabe 8 Ordne die Backup-Arten zu. Backup-Art Bedeutung Vollbackup ? inkrementelles Backup ? differenzielles Backup ? Antwort anzeigen Backup-Art Bedeutung Vollbackup sichert alle ausgewählten Daten inkrementelles Backup sichert Änderungen seit letztem Backup differenzielles Backup sichert Änderungen seit letztem Vollbackup Merksatz: Voll = alles. Inkrementell = seit letztem Backup. Differenziell = seit letztem Vollbackup. Aufgabe 9 Was ist ein Snapshot? Antwort anzeigen Ein Snapshot ist eine Momentaufnahme eines Systems, Datenträgers, Dateisystems oder einer virtuellen Maschine. Typische Nutzung: vor Updates vor Tests vor Konfigurationsänderungen Wichtig: Ein Snapshot ersetzt kein vollständiges Backup. Merksatz: Snapshot = Momentaufnahme, nicht automatisch Backup. Aufgabe 10 Warum ersetzt ein Snapshot kein Backup? Antwort anzeigen Snapshots liegen oft auf demselben System oder Speicher wie die Produktivdaten. Risiken: Speicherdefekt betrifft Snapshot ebenfalls Ransomware kann Snapshot erreichen Snapshot kann gelöscht werden Snapshot-Kette kann beschädigt werden Speicherplatz kann volllaufen Merksatz: Backup muss getrennt, geschützt und wiederherstellbar sein. Aufgabe 11 Was bedeutet RPO? Antwort anzeigen RPO steht für: Recovery Point Objective Bedeutung: maximal akzeptabler Datenverlust. Beispiel: RPO 1 Stunde Bedeutung: Es dürfen höchstens Daten von einer Stunde verloren gehen. Merksatz: RPO = Datenverlust. Aufgabe 12 Was bedeutet RTO? Antwort anzeigen RTO steht für: Recovery Time Objective Bedeutung: maximal akzeptable Wiederherstellungszeit. Beispiel: RTO 4 Stunden Bedeutung: Der Dienst soll spätestens nach 4 Stunden wieder laufen. Merksatz: RTO = Zeit bis Wiederherstellung. Aufgabe 13 Ordne zu. Begriff Frage RPO ? RTO ? Antwort anzeigen Begriff Frage RPO Wie viel Datenverlust ist maximal erlaubt? RTO Wie lange darf die Wiederherstellung maximal dauern? Merksatz: RPO betrifft Daten. RTO betrifft Zeit. Aufgabe 14 Ein Unternehmen sagt: Es dürfen maximal 2 Stunden Daten verloren gehen. Welcher Begriff ist gemeint? Antwort anzeigen Gemeint ist: RPO Begründung: Es geht um maximal akzeptablen Datenverlust. Merksatz: Datenverlust = RPO. Aufgabe 15 Ein Unternehmen sagt: Der Dienst muss spätestens nach 6 Stunden wieder verfügbar sein. Welcher Begriff ist gemeint? Antwort anzeigen Gemeint ist: RTO Begründung: Es geht um die maximal akzeptable Wiederherstellungszeit. Merksatz: Wiederherstellungszeit = RTO. Aufgabe 16 Warum muss die Backup-Frequenz zum RPO passen? Antwort anzeigen Wenn das RPO klein ist, muss häufiger gesichert werden. Beispiel: RPO 24 Stunden: tägliches Backup kann reichen. RPO 1 Stunde: stündliches Backup oder kontinuierliche Sicherung nötig. Merksatz: Je kleiner das RPO, desto häufiger muss gesichert werden. Aufgabe 17 Warum muss der Restore-Prozess zum RTO passen? Antwort anzeigen Das RTO beschreibt, wie schnell ein Dienst wiederhergestellt sein muss. Der Restore-Prozess muss daher schnell genug sein. Einflussfaktoren: Backup-Größe Netzwerkgeschwindigkeit Speicherleistung Abhängigkeiten Personal Dokumentation Tests Merksatz: RTO wird durch den gesamten Wiederherstellungsprozess bestimmt. Aufgabe 18 Was bedeutet Retention? Antwort anzeigen Retention bedeutet: Aufbewahrungsregel für Backups. Beispiele: tägliche Backups 14 Tage behalten wöchentliche Backups 8 Wochen behalten monatliche Backups 12 Monate behalten Merksatz: Retention regelt, wie lange Backups behalten werden. Aufgabe 19 Was ist die 3-2-1-Regel? Antwort anzeigen Die 3-2-1-Regel lautet: 3 Kopien der Daten 2 unterschiedliche Speicherarten 1 Kopie extern oder getrennt Beispiel: Produktivdaten Backup auf NAS zusätzliches externes oder Cloud-Backup Merksatz: 3-2-1 reduziert das Risiko, dass alle Kopien gleichzeitig verloren gehen. Aufgabe 20 Was bedeutet die 3-2-1-1-0-Regel? Antwort anzeigen Die 3-2-1-1-0-Regel ist eine erweiterte Backup-Regel. Sie bedeutet: 3 Kopien 2 unterschiedliche Medien 1 Kopie extern 1 Kopie offline oder immutable 0 Fehler bei Restore-Tests Merksatz: Die 0 steht für fehlerfrei getestete Wiederherstellung. Aufgabe 21 Was ist ein Offline-Backup? Antwort anzeigen Ein Offline-Backup ist nicht dauerhaft mit dem Produktivsystem verbunden. Beispiele: getrennte Festplatte Band ausgelagertes Medium abgeschottetes Backup-System Vorteil: besserer Schutz gegen Ransomware und versehentliche Löschung. Merksatz: Offline-Backup ist nicht dauerhaft erreichbar. Aufgabe 22 Was ist ein Immutable Backup? Antwort anzeigen Immutable bedeutet: unveränderlich. Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schützt gegen: Ransomware Manipulation versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt die Wiederherstellungsmöglichkeit. Aufgabe 23 Warum sind Offline- oder Immutable-Backups bei Ransomware wichtig? Antwort anzeigen Ransomware versucht häufig, auch Backups zu löschen oder zu verschlüsseln. Offline-Backups sind nicht dauerhaft verbunden. Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden. Dadurch bleibt eine Wiederherstellung möglich. Merksatz: Backups müssen auch vor Angreifern geschützt werden. Aufgabe 24 Was ist Backup-Verschlüsselung? Antwort anzeigen Backup-Verschlüsselung schützt Sicherungsdaten vor unberechtigtem Lesen. Wichtig: Schlüssel sicher aufbewahren Zugriff begrenzen Wiederherstellung mit Schlüssel testen Schlüsselverlust vermeiden Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn der Schlüssel verfügbar ist. Aufgabe 25 Warum brauchen Backups besondere Zugriffsrechte? Antwort anzeigen Backups enthalten oft besonders viele oder besonders sensible Daten. Risiken bei zu breiten Rechten: Datenabfluss Manipulation Löschung Ransomware kann Backups verschlüsseln Maßnahmen: getrennte Adminrechte MFA keine normalen Benutzerrechte auf Backup-Speicher Löschrechte begrenzen Zugriffe protokollieren Merksatz: Backups brauchen starken Zugriffsschutz. Aufgabe 26 Was ist Backup-Monitoring? Antwort anzeigen Backup-Monitoring prüft, ob Sicherungen erfolgreich laufen. Zu überwachen: letzter erfolgreicher Backup-Lauf Fehlermeldungen Datenmenge Laufzeit Speicherplatz Retention ungewöhnliche Löschungen Restore-Test Merksatz: Fehlgeschlagene Backups müssen auffallen, bevor ein Restore nötig ist. Aufgabe 27 Was ist ein Datenbank-Backup? Antwort anzeigen Ein Datenbank-Backup sichert eine Datenbank so, dass sie konsistent wiederhergestellt werden kann. Wichtig: laufende Transaktionen Schreibzugriffe Transaktionslogs Konsistenz Wiederherstellungszeitpunkt Merksatz: Datenbanken nicht einfach blind als Datei kopieren. Aufgabe 28 Was bedeutet Point-in-Time-Recovery? Antwort anzeigen Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbank auf Zustand von 10:15 Uhr zurücksetzen. Nützlich bei: versehentlichem Löschen fehlerhaftem Import falscher Änderung beschädigten Daten Merksatz: Point-in-Time-Recovery stellt gezielt einen früheren Zeitpunkt wieder her. Aufgabe 29 Was ist Replikation? Antwort anzeigen Replikation bedeutet: Daten werden auf ein anderes System kopiert, oft nahezu aktuell. Vorteil: schnelle Umschaltung aktuelle Kopie höhere Verfügbarkeit Risiko: Fehler, Löschung oder Ransomware können mitrepliziert werden. Merksatz: Replikation ist kein Backup. Aufgabe 30 Was ist Synchronisation? Antwort anzeigen Synchronisation bedeutet: Daten werden zwischen Speicherorten abgeglichen. Problem: Löschungen, Fehländerungen, beschädigte Dateien oder Ransomware-Verschlüsselung können mitsynchronisiert werden. Merksatz: Synchronisation hält Daten gleich, stellt aber nicht automatisch alte Stände wieder her. Aufgabe 31 Was ist Redundanz? Antwort anzeigen Redundanz bedeutet: wichtige Komponenten sind mehrfach vorhanden. Beispiele: RAID zwei Netzteile mehrere Server zweite Firewall mehrere Internetleitungen Ziel: Ausfall vermeiden oder abfedern. Wichtig: Redundanz ersetzt kein Backup. Merksatz: Redundanz erhöht Verfügbarkeit, stellt aber keine alten Datenstände wieder her. Aufgabe 32 Ordne zu. Begriff Ersetzt Backup? Snapshot ? Replikation ? Synchronisation ? Redundanz ? Antwort anzeigen Begriff Ersetzt Backup? Snapshot nein Replikation nein Synchronisation nein Redundanz nein Begründung: Diese Verfahren können nützlich sein, ersetzen aber kein vollständiges Backup-Konzept mit Restore-Möglichkeit. Merksatz: Nicht alles, was Daten kopiert oder verfügbar hält, ist ein Backup. Aufgabe 33 Was ist ein Notfallhandbuch? Antwort anzeigen Ein Notfallhandbuch beschreibt, was bei schweren Störungen zu tun ist. Inhalte: Ansprechpartner Prioritäten Systeme Wiederherstellungsreihenfolge Backup-Orte Restore-Anleitungen Kommunikationswege Eskalationswege Merksatz: Im Notfall darf nicht erst gesucht werden, wer was weiß. Aufgabe 34 Warum ist die Restore-Reihenfolge wichtig? Antwort anzeigen Systeme hängen oft voneinander ab. Beispielhafte Reihenfolge: Netzwerk Verzeichnisdienst Speicher Datenbank Anwendung Benutzerzugriff Wenn Abhängigkeiten fehlen, starten Dienste eventuell nicht korrekt. Merksatz: Restore braucht Reihenfolge, weil Systeme voneinander abhängen. Aufgabe 35 Was ist Disaster Recovery? Antwort anzeigen Disaster Recovery beschreibt: Wiederherstellung der IT nach schweren Störungen. Beispiele: Ransomware Brand Rechenzentrumsausfall massiver Datenverlust Hardwaredefekt Cloud-Ausfall Merksatz: Disaster Recovery = IT-Wiederherstellung nach schwerem Vorfall. Aufgabe 36 Was ist Business Continuity? Antwort anzeigen Business Continuity bedeutet: Geschäftsprozesse sollen trotz Störung weiterlaufen oder schnell wieder anlaufen. Dazu gehören: Notfallplanung Ersatzprozesse Kommunikation Verantwortlichkeiten Wiederanlauf Tests Merksatz: Business Continuity betrachtet den Betrieb insgesamt. Aufgabe 37 Was ist Failover? Antwort anzeigen Failover bedeutet: Ein Dienst wird bei Ausfall auf ein Ersatzsystem umgeschaltet. Möglich: automatisch oder manuell Beispiele: zweite Firewall übernimmt Datenbank-Replikat wird aktiv anderer Server übernimmt Dienst Wichtig: Failover ersetzt kein Backup. Merksatz: Failover reduziert Ausfallzeit, ist aber kein Backup. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Warum reicht es nicht, nur Backups zu erstellen? Antwort A: Weil man mehr machen muss. Antwort B: Backups müssen regelmäßig überwacht und durch Restore-Tests geprüft werden. Nur so ist sichergestellt, dass Daten vollständig, lesbar und innerhalb der geforderten Zeit wiederherstellbar sind. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Anforderungen: Monitoring, Restore-Test, Vollständigkeit und Wiederherstellungszeit. Merksatz: Backup braucht Prüfung. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Warum ist Replikation kein Backup? Antwort A: Weil es anders heißt. Antwort B: Replikation erstellt eine aktuelle Kopie. Fehler, Löschungen oder Ransomware-Verschlüsselungen können jedoch mitrepliziert werden. Ein Backup muss auch ältere Zustände wiederherstellen können. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den fachlichen Unterschied zwischen aktueller Kopie und wiederherstellbaren alten Ständen. Merksatz: Replikation ist Verfügbarkeit, Backup ist Wiederherstellung. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Was bedeutet RPO 1 Stunde? Antwort A: Das Backup dauert eine Stunde. Antwort B: RPO 1 Stunde bedeutet, dass maximal Daten aus einer Stunde verloren gehen dürfen. Die Backup-Frequenz oder Sicherungsmethode muss dazu passen. Antwort anzeigen B ist besser. Begründung: RPO beschreibt Datenverlust, nicht die Dauer des Backups. Merksatz: RPO nicht mit Backup-Dauer verwechseln. Mini-Prüfung: schnelle Zuordnung Frage Antwort Was ist Backup? Sicherung Was ist Restore? Wiederherstellung Was bedeutet RPO? maximal akzeptabler Datenverlust Was bedeutet RTO? maximal akzeptable Wiederherstellungszeit Was bedeutet Retention? Aufbewahrungsregel Was ist Vollbackup? sichert alle ausgewählten Daten Was ist inkrementell? Änderungen seit letztem Backup Was ist differenziell? Änderungen seit letztem Vollbackup Was ist Snapshot? Momentaufnahme Was ist Offline-Backup? nicht dauerhaft verbunden Was ist Immutable Backup? unveränderliches Backup Was ist Restore-Test? Prüfung der Wiederherstellung Mini-Prüfung: Fehlerbild erkennen Fehlerbild Wahrscheinlichstes Thema Backup vorhanden, Restore geht nicht Restore-Test fehlt oder Backup defekt zu viel Datenverlust RPO nicht eingehalten Wiederherstellung dauert zu lange RTO nicht eingehalten Datenbank nach Restore beschädigt kein konsistentes Backup Backupziel voll Retention oder Speicherplatz Ransomware verschlüsselt Backups mit Backup online und beschreibbar verschlüsseltes Backup nicht nutzbar Schlüssel fehlt alte Datei fehlt Retention zu kurz Replikat enthält auch gelöschte Daten Replikation ist kein Backup Dienst startet nach Restore nicht Abhängigkeiten oder Reihenfolge vergessen IHK-sichere Kurzformulierung Ein Backup ist eine Sicherung von Daten, Systemen oder Konfigurationen. Restore bezeichnet die Wiederherstellung aus dieser Sicherung. Ein Backup ist nur zuverlässig, wenn die Wiederherstellung regelmäßig getestet wird. Vollbackups sichern alle ausgewählten Daten, inkrementelle Backups sichern Änderungen seit dem letzten Backup und differenzielle Backups sichern Änderungen seit dem letzten Vollbackup. RPO beschreibt den maximal akzeptablen Datenverlust, RTO die maximal akzeptable Wiederherstellungszeit. Retention legt fest, wie lange Backups aufbewahrt werden. Snapshots, Replikation, Synchronisation, Redundanz und Failover ersetzen kein vollständiges Backup-Konzept. Gegen Ransomware helfen besonders Offline- oder Immutable-Backups und regelmäßige Restore-Tests. Merksätze Backup = Sicherung. Restore = Wiederherstellung. Backup ohne Restore-Test ist unsicher. Vollbackup sichert alles. Inkrementell sichert seit letztem Backup. Differenziell sichert seit letztem Vollbackup. Snapshot ist Momentaufnahme. Snapshot ersetzt kein Backup. Datenbanken brauchen konsistente Backups. Point-in-Time-Recovery stellt einen Zeitpunkt wieder her. RPO = Datenverlust. RTO = Wiederherstellungszeit. Retention = Aufbewahrungsregel. Backup-Frequenz muss zum RPO passen. Restore-Prozess muss zum RTO passen. 3-2-1 reduziert Gesamtrisiko. 3-2-1-1-0 ergänzt Offline oder Immutable und fehlerfreie Restore-Tests. Offline-Backup ist nicht dauerhaft verbunden. Immutable Backup ist unveränderlich. Verschlüsseltes Backup braucht Schlüssel. Backups brauchen starke Rechtebegrenzung. Backup-Monitoring ist Pflicht. Backup-Logs regelmäßig prüfen. Redundanz ist kein Backup. Replikation ist kein Backup. Synchronisation ist kein Backup. Failover ist kein Backup. Notfallhandbuch hilft im Ernstfall. Restore braucht Reihenfolge. Business Continuity betrachtet Geschäftsprozesse. Disaster Recovery betrachtet IT-Wiederherstellung. Im Notfall zählt nicht, ob ein Backup irgendwo existiert, sondern ob es korrekt und rechtzeitig wiederhergestellt werden kann. 20.13 Trainer – Gemischte Fehlersuche nach dem OSI-Modell Diese Trainer-Seite wiederholt die systematische Fehlersuche nach dem OSI-Modell. Ziel ist, Fehlerbilder nicht wild zu raten, sondern sauber einzuordnen: - Welche Schicht ist betroffen? - Was funktioniert noch? - Was funktioniert nicht? - Welche Prüfung passt als nächstes? - Welche Ursache ist am wahrscheinlichsten? Merksatz: Gute Fehlersuche beginnt nicht mit Vermutung, sondern mit Eingrenzung. Lernziele Nach dieser Seite solltest du sicher können: - Fehler systematisch nach OSI-Schichten eingrenzen - typische Fehlerbilder erkennen - passende Prüfwerkzeuge auswählen - IP, DNS, Gateway, Firewall, Port, Dienst und Rechte unterscheiden - aus Symptomen wahrscheinliche Ursachen ableiten - prüfungssichere Antworten formulieren Grundprinzip der Fehlersuche Bei Netzwerkproblemen immer fragen: 1. Gibt es eine physische Verbindung? 2. Ist die lokale Verbindung korrekt? 3. Stimmt die IP-Konfiguration? 4. Ist das Zielnetz erreichbar? 5. Ist der Port oder Dienst erreichbar? 6. Funktioniert die Anwendung? 7. Gibt es Berechtigungs- oder Authentifizierungsprobleme? Merksatz: Erst Verbindung prüfen, dann Adresse, dann Dienst, dann Anwendung. OSI-Fehlersuche im Überblick Schicht Thema Typische Prüfung 1 Kabel, Signal, Link Link-LED, Kabel, Port 2 MAC, VLAN, Switch VLAN, MAC-Tabelle, ARP 3 IP, Gateway, Routing IP-Konfiguration, ping, traceroute 4 TCP, UDP, Ports Porttest, Dienst lauscht? 5 Sitzung Session, Timeout, Cookie 6 TLS, Zertifikat Zertifikat, Verschlüsselung 7 Anwendung DNS, HTTP, Dienst, Logs Merksatz: Jede Schicht hat eigene Fehlerbilder. Aufgabe 1 Ein Client hat keine Link-LED am Netzwerkanschluss. Welche Schicht ist zuerst betroffen? Antwort anzeigen Zuerst betroffen ist: OSI-Schicht 1 Begründung: Keine Link-LED deutet auf ein physisches Problem hin. Prüfen: Kabel Stecker Netzwerkdose Switchport Netzwerkkarte Gegenstelle Merksatz: Kein Link: Schicht 1 prüfen. Aufgabe 2 Ein Client hat die IP-Adresse: 169.254.23.10 Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DHCP-Problem Begründung: 169.254.x.x ist eine APIPA-Adresse. Der Client hat wahrscheinlich keine gültige IP-Adresse vom DHCP-Server erhalten. Prüfen: DHCP-Server VLAN DHCP-Scope DHCP-Relay Netzwerkverbindung Merksatz: 169.254.x.x: DHCP nicht erreicht. Aufgabe 3 Ein Client kann Geräte im gleichen Netz erreichen, aber keine externen Netze. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: Gateway, Routing, NAT oder Firewall Erste Prüfung: Standardgateway Begründung: Lokale Kommunikation funktioniert. Der Fehler liegt wahrscheinlich beim Weg in andere Netze. Merksatz: Lokal ja, extern nein: Gateway prüfen. Aufgabe 4 Ein Client erreicht eine Webseite per IP-Adresse, aber nicht per Namen. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Die IP-Kommunikation funktioniert. Nur die Namensauflösung funktioniert nicht. Prüfen: DNS-Server DNS-Eintrag DNS-Cache DNS-Suffix Split-DNS Merksatz: IP ja, Name nein: DNS. Aufgabe 5 Ein Server ist per ping erreichbar, aber SSH funktioniert nicht. Was ist wahrscheinlich? Antwort anzeigen Ping prüft ICMP. SSH nutzt TCP 22. Mögliche Ursachen: TCP 22 blockiert SSH-Dienst läuft nicht SSH lauscht auf anderem Port lokale Firewall blockiert Netzwerkfirewall blockiert Benutzer oder Schlüssel falsch Merksatz: ping geht, Dienst nicht: Port, Dienst und Firewall prüfen. Aufgabe 6 Ein Webserver ist per ping erreichbar, aber HTTPS funktioniert nicht. Was sollte geprüft werden? Antwort anzeigen Prüfen: TCP 443 erreichbar? Webserver läuft? Dienst lauscht auf Port 443? Firewall erlaubt TCP 443? Reverse Proxy korrekt? TLS-Zertifikat korrekt? Anwendung läuft? Merksatz: ping ist kein HTTPS-Test. Aufgabe 7 Ein Browser zeigt HTTP 404. Was bedeutet das? Antwort anzeigen HTTP 404 bedeutet: nicht gefunden Die angeforderte Ressource existiert unter dieser Adresse nicht oder ist dort nicht erreichbar. Prüfen: URL Pfad Routing der Webanwendung Webserver-Konfiguration Reverse Proxy Merksatz: 404 = Ressource nicht gefunden. Aufgabe 8 Ein Browser zeigt HTTP 500. Was bedeutet das? Antwort anzeigen HTTP 500 bedeutet: interner Serverfehler Das Problem liegt eher auf Serverseite. Prüfen: Anwendungslogs Webserverlogs Backend Datenbank Konfiguration Berechtigungen Merksatz: 500 = Server, Anwendung oder Backend prüfen. Aufgabe 9 Ein Browser zeigt HTTP 502. Was bedeutet das häufig? Antwort anzeigen HTTP 502 bedeutet: Bad Gateway Typisch bei: Reverse Proxy Load Balancer Gateway Mögliche Ursachen: Backend nicht erreichbar Backend-Port falsch Backend-Dienst läuft nicht DNS intern falsch Proxy-Konfiguration falsch Merksatz: 502: Proxy oder Gateway erreicht Backend nicht korrekt. Aufgabe 10 Ein Benutzer kann sich anmelden, aber nicht auf eine Datei zugreifen. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: Autorisierungs- oder Berechtigungsproblem Begründung: Die Anmeldung funktioniert. Der Zugriff auf die Ressource ist aber nicht erlaubt. Prüfen: Gruppenmitgliedschaft ACLs Freigaberechte Dateisystemrechte Rollen Merksatz: Login ja, Zugriff nein: Rechte prüfen. Aufgabe 11 Ein Benutzer kann sich gar nicht anmelden. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: Authentifizierungsproblem Mögliche Ursachen: falsches Passwort Konto gesperrt MFA-Problem Verzeichnisdienst nicht erreichbar Zertifikat abgelaufen Zeitproblem Merksatz: Anmeldung scheitert: Authentifizierung prüfen. Aufgabe 12 Ein Client bekommt eine IP-Adresse aus dem falschen Netz. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: falsches VLAN Begründung: Wenn ein Client im falschen VLAN landet, erhält er eventuell eine Adresse aus dem falschen DHCP-Scope. Prüfen: Access-VLAN am Switchport Trunk-Konfiguration DHCP-Scope Dokumentation Merksatz: Falsches Netz: VLAN prüfen. Aufgabe 13 Mehrere VLANs funktionieren über eine Switch-Verbindung nicht. Was sollte geprüft werden? Antwort anzeigen Prüfen: Trunk-Port aktiv? VLANs erlaubt? VLANs auf beiden Switches vorhanden? 802.1Q-Tagging korrekt? Native VLAN passend? Gegenstelle korrekt konfiguriert? Merksatz: Mehrere VLANs betroffen: Trunk prüfen. Aufgabe 14 Ein einzelner Client kann keine Verbindung herstellen, andere Clients im gleichen Raum funktionieren. Was ist wahrscheinlich? Antwort anzeigen Mögliche Ursachen: Patchkabel defekt Netzwerkdose defekt Switchport deaktiviert falsches Access-VLAN Netzwerkkarte deaktiviert Port Security blockiert Client-Konfiguration falsch Merksatz: Nur ein Gerät betroffen: lokal am Gerät, Kabel oder Port suchen. Aufgabe 15 Alle Clients in einem VLAN haben kein Internet. Was ist wahrscheinlicher als ein einzelnes defektes Patchkabel? Antwort anzeigen Wahrscheinlicher sind zentrale Ursachen: Gateway des VLANs Firewall-Regel Routing NAT DHCP-Konfiguration VLAN-Trunk DNS, falls nur Namen betroffen sind Merksatz: Viele Geräte betroffen: zentrale Komponente prüfen. Aufgabe 16 Ein Client kann externe IP-Adressen erreichen, aber keine Webseiten per Domain. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Der Weg ins Internet funktioniert. Nur die Namensauflösung funktioniert nicht. Prüfen: DNS-Server DNS-Erreichbarkeit DNS-Einträge DNS-Cache Merksatz: Externe IP ja, Domain nein: DNS. Aufgabe 17 Ein Dienst funktioniert intern, aber nicht von außen über das Internet. Was sollte geprüft werden? Antwort anzeigen Prüfen: öffentliche IP DNS Portweiterleitung Router-Firewall lokale Firewall Dienststatus Dienstport doppeltes NAT CGNAT Provider-Portblockade Merksatz: Intern ja, extern nein: NAT, Firewall, DNS und öffentliche IP prüfen. Aufgabe 18 Ein Dienst funktioniert von außen, aber intern nicht über die öffentliche Domain. Was ist wahrscheinlich? Antwort anzeigen Mögliche Ursachen: Hairpin NAT fehlt Split-DNS fehlt interne DNS-Auflösung falsch Firewall-Regel für internen Zugriff fehlt Merksatz: Externe Domain intern: Hairpin NAT oder Split-DNS prüfen. Aufgabe 19 VPN ist verbunden, aber interne Namen funktionieren nicht. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: VPN-DNS-Problem Prüfen: interner DNS-Server gesetzt? DNS-Server über VPN erreichbar? DNS-Suffix vorhanden? Split-DNS korrekt? DNS-Cache veraltet? Merksatz: VPN-IP ja, VPN-Name nein: VPN-DNS prüfen. Aufgabe 20 VPN ist verbunden, aber interne IP-Ziele sind nicht erreichbar. Was ist wahrscheinlich? Antwort anzeigen Mögliche Ursachen: VPN-Route fehlt Zielnetz nicht erlaubt Firewall blockiert Rückroute fehlt IP-Adresskonflikt Berechtigung fehlt Merksatz: VPN verbunden heißt nicht automatisch: Routen und Regeln stimmen. Aufgabe 21 Ein Heimnetz und Firmennetz nutzen beide 192.168.1.0/24. Warum ist das bei VPN problematisch? Antwort anzeigen Problem: Der Client kann nicht eindeutig entscheiden, ob 192.168.1.x lokal oder über VPN erreichbar sein soll. Folge: Routingprobleme interne Dienste nicht erreichbar Merksatz: Gleiche Netze lokal und remote verursachen VPN-Probleme. Aufgabe 22 Ein Zertifikat ist abgelaufen. Welches typische Fehlerbild entsteht? Antwort anzeigen Typisches Fehlerbild: Browser oder Client zeigt Zertifikatswarnung. Mögliche Folgen: HTTPS-Verbindung wird blockiert Benutzer erhält Sicherheitswarnung API-Clients lehnen Verbindung ab Prüfen: Ablaufdatum Hostname Zertifikatskette Systemzeit Merksatz: Zertifikatswarnung: Ablauf, Name, Kette und Zeit prüfen. Aufgabe 23 Ein HTTPS-Zertifikat passt nicht zum Hostnamen. Was ist die Ursache? Antwort anzeigen Ursache: Der aufgerufene Name steht nicht passend im Zertifikat. Prüfen: Common Name Subject Alternative Name verwendete Domain Reverse Proxy falsches Zertifikat Merksatz: Zertifikat muss zum aufgerufenen Namen passen. Aufgabe 24 Ein Dienst startet nach einem Restore nicht. Was sollte geprüft werden? Antwort anzeigen Prüfen: Abhängigkeiten Datenbank erreichbar? Rechte korrekt? Konfiguration vorhanden? Zertifikate vorhanden? DNS korrekt? Ports frei? Logs auswerten Restore-Reihenfolge eingehalten? Merksatz: Restore braucht Abhängigkeiten und Reihenfolge. Aufgabe 25 Nach einem Update funktioniert ein Dienst nicht mehr. Was sollte geprüft werden? Antwort anzeigen Prüfen: Änderungsprotokoll Konfigurationsänderungen Dienststatus Logs Ports Abhängigkeiten Berechtigungen Kompatibilität Rollback-Möglichkeit Merksatz: Nach Änderung: Change, Logs und Rollback prüfen. Aufgabe 26 Ein Backup ist vorhanden, aber die Wiederherstellung schlägt fehl. Was wurde wahrscheinlich versäumt? Antwort anzeigen Wahrscheinlich: Restore-Test Weitere mögliche Ursachen: Backup beschädigt Schlüssel fehlt Rechte fehlen Datenbank nicht konsistent gesichert Backup-Kette unvollständig Dokumentation fehlt Merksatz: Backup ohne Restore-Test ist unsicher. Aufgabe 27 Ein Server ist sehr langsam, aber nicht komplett ausgefallen. Was sollte geprüft werden? Antwort anzeigen Prüfen: CPU-Auslastung RAM Festplatten-I/O Speicherplatz Netzwerkfehler Paketverluste Latenz Logs laufende Prozesse Datenbanklast Merksatz: Langsamkeit braucht Messwerte, nicht nur Vermutung. Aufgabe 28 Ein Dienst ist nicht erreichbar. Der Port lauscht aber lokal auf 127.0.0.1. Warum kann das ein Problem sein? Antwort anzeigen 127.0.0.1 ist localhost. Wenn ein Dienst nur auf 127.0.0.1 lauscht, ist er nur lokal auf dem Server erreichbar, nicht von anderen Systemen. Prüfen: Bind-Adresse Dienstkonfiguration Firewall Merksatz: 127.0.0.1 heißt: nur lokal erreichbar. Aufgabe 29 Ein Dienst lauscht auf 0.0.0.0. Was bedeutet das? Antwort anzeigen 0.0.0.0 bedeutet bei einem lauschenden Dienst: Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems. Wichtig: Ob er wirklich erreichbar ist, hängt zusätzlich von Firewall, Routing und Netzwerk ab. Merksatz: 0.0.0.0 heißt: alle IPv4-Interfaces. Aufgabe 30 Ein Porttest schlägt fehl, obwohl der Dienst läuft. Was kann die Ursache sein? Antwort anzeigen Mögliche Ursachen: Dienst lauscht nur auf localhost lokale Firewall blockiert Netzwerkfirewall blockiert falscher Port falsches Protokoll TCP/UDP NAT-Regel fehlt Routingproblem Ziel-IP falsch Merksatz: Dienst läuft heißt nicht automatisch: Dienst ist von außen erreichbar. Aufgabe 31 Ein DNS-Eintrag wurde geändert, aber Clients nutzen noch die alte IP. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DNS-Cache oder TTL Prüfen: Client-DNS-Cache DNS-Server-Cache TTL des Eintrags welcher DNS-Server gefragt wird Merksatz: DNS-Änderungen wirken nicht immer sofort. Aufgabe 32 Ein Client erhält keine IP-Adresse, aber nur in einem bestimmten VLAN. Was sollte geprüft werden? Antwort anzeigen Prüfen: DHCP-Scope für dieses VLAN DHCP-Relay Gateway im VLAN VLAN-Trunk Firewall-Regeln DHCP-Server erreichbar? Merksatz: DHCP pro VLAN braucht passenden Scope und Weg zum Server. Aufgabe 33 Ein Client kann den DNS-Server nicht erreichen. Welche Folgen kann das haben? Antwort anzeigen Folgen: Namen werden nicht aufgelöst Webseiten per Domain funktionieren nicht interne Dienste per Name funktionieren nicht Anmeldung oder Dienste können verzögert sein Anwendungen finden Backend-Systeme nicht Merksatz: Ohne DNS funktionieren viele Dienste scheinbar nicht, obwohl IP-Kommunikation möglich sein kann. Aufgabe 34 Ein Benutzer meldet: „Das Internet geht nicht.“ Welche Rückfragen oder Prüfungen sind sinnvoll? Antwort anzeigen Sinnvoll prüfen: Betrifft es nur eine Webseite oder alle? Geht Zugriff per IP? Geht DNS-Auflösung? IP-Adresse korrekt? Gateway erreichbar? andere Clients betroffen? WLAN oder Kabel? Proxy oder VPN aktiv? Firewall oder Filter? Merksatz: „Internet geht nicht“ erst in konkrete Symptome zerlegen. Aufgabe 35 Ein Benutzer meldet: „Der Server ist nicht erreichbar.“ Welche Eingrenzung ist sinnvoll? Antwort anzeigen Sinnvoll prüfen: Welcher Server? per Name oder IP? ping erreichbar? Port erreichbar? Dienst läuft? nur ein Benutzer betroffen? Rechteproblem? DNS korrekt? Firewall-Regel geändert? Logs vorhanden? Merksatz: Server nicht erreichbar kann DNS, Routing, Port, Dienst oder Rechte bedeuten. Aufgabe 36 Ordne Fehlerbilder den Themen zu. Fehlerbild Thema keine Link-LED ? 169.254.x.x ? IP geht, Name nicht ? ping geht, HTTPS nicht ? HTTP 500 ? Login geht, Zugriff nicht ? Antwort anzeigen Fehlerbild Thema keine Link-LED Schicht 1 / physische Verbindung 169.254.x.x DHCP IP geht, Name nicht DNS ping geht, HTTPS nicht TCP 443, Webdienst, Firewall, TLS HTTP 500 Server, Anwendung, Backend Login geht, Zugriff nicht Autorisierung / Rechte Merksatz: Fehlerbild zuerst genau einordnen. Aufgabe 37 Welche Antwort ist besser? Aufgabe: Ein Client erreicht externe IP-Adressen, aber keine Domains. Nennen Sie eine wahrscheinliche Ursache. Antwort A: Internet ist kaputt. Antwort B: Wahrscheinlich liegt ein DNS-Problem vor, da externe IP-Adressen erreichbar sind, aber Namen nicht aufgelöst werden. Antwort anzeigen B ist besser. Begründung: Die Antwort leitet die Ursache aus dem Fehlerbild ab und nennt DNS als konkrete Prüfung. Merksatz: Ursache aus Symptom ableiten. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Ein Dienst ist per ping erreichbar, aber der Port 443 ist nicht erreichbar. Was prüfen Sie? Antwort A: Den Monitor. Antwort B: Ich prüfe, ob der Webdienst läuft, ob er auf TCP 443 lauscht, ob lokale oder zentrale Firewalls TCP 443 blockieren und ob NAT oder Portweiterleitung korrekt eingerichtet sind. Antwort anzeigen B ist besser. Begründung: Die Antwort trennt Host-Erreichbarkeit von Dienst-Erreichbarkeit und nennt konkrete Prüfungen. Merksatz: ping ist kein Porttest. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Nach einem Update funktioniert ein Dienst nicht mehr. Was tun Sie? Antwort A: Alles neu installieren. Antwort B: Ich prüfe Dienststatus, Logs, geänderte Konfigurationen, Abhängigkeiten, Ports und Berechtigungen. Falls nötig, nutze ich den vorbereiteten Rollback-Plan. Antwort anzeigen B ist besser. Begründung: Die Antwort ist systematisch und berücksichtigt Change Management. Merksatz: Nach Änderung: gezielt prüfen, nicht blind neu installieren. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum ist systematische Fehlersuche besser als Raten? Antwort A: Weil das professioneller klingt. Antwort B: Systematische Fehlersuche grenzt den Fehler anhand von Schichten, Symptomen und Messwerten ein. Dadurch werden Ursachen schneller gefunden und unnötige Änderungen vermieden. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den Nutzen: Eingrenzung, Messbarkeit und Vermeidung unnötiger Änderungen. Merksatz: Fehlersuche braucht Struktur. Mini-Prüfung: typische Fehlerbilder Fehlerbild Wahrscheinlichstes Thema keine Link-LED Kabel, Port, Schicht 1 Link ja, aber falsches Netz VLAN oder DHCP 169.254.x.x DHCP nicht erreicht lokale Kommunikation ja, Internet nein Gateway, Routing, NAT, Firewall externe IP ja, Name nein DNS ping ja, SSH nein TCP 22, SSH-Dienst, Firewall ping ja, HTTPS nein TCP 443, Webdienst, Firewall, TLS HTTP 401 Authentifizierung HTTP 403 Autorisierung HTTP 404 Ressource nicht gefunden HTTP 500 Anwendung oder Server HTTP 502 Proxy, Gateway oder Backend VPN verbunden, IP ja, Name nein VPN-DNS Restore schlägt fehl Restore-Test, Backup, Schlüssel, Rechte Mini-Prüfung: passende Werkzeuge Prüfung Werkzeug oder Ort IP-Konfiguration prüfen ipconfig, ip addr Gateway prüfen route print, ip route Erreichbarkeit per ICMP ping Weg zum Ziel prüfen tracert, traceroute DNS prüfen nslookup, dig offene Ports prüfen ss, netstat, Porttest HTTP prüfen Browser, curl Dienststatus prüfen systemctl, Diensteverwaltung Logs prüfen journalctl, Event Viewer, Anwendungslogs Firewall prüfen Firewall-Regeln und Logs Rechte prüfen Gruppen, ACLs, Rollen Backup prüfen Backup-Job, Restore-Test IHK-sichere Kurzformulierung Systematische Fehlersuche bedeutet, ein Problem anhand von Symptomen, Schichten und Messwerten einzugrenzen. Zuerst wird geprüft, ob eine physische Verbindung besteht. Danach folgen lokale Kommunikation, IP-Konfiguration, Gateway, Routing, DNS, Ports, Dienste, Anwendung und Berechtigungen. Typische Fehlerbilder helfen bei der Einordnung: 169.254.x.x deutet auf DHCP hin, IP erreichbar aber Name nicht deutet auf DNS hin, lokale Kommunikation aber kein Internet deutet auf Gateway, Routing, NAT oder Firewall hin. ping prüft nur ICMP und ersetzt keinen Port- oder Diensttest. Gute Prüfungsantworten nennen eine wahrscheinliche Ursache, begründen sie mit dem Fehlerbild und nennen eine passende Prüfung. Merksätze Fehlersuche beginnt mit Eingrenzung. Erst Schicht 1, dann höhere Schichten. Kein Link: Kabel, Port, Gegenstelle prüfen. Falsches Netz: VLAN oder DHCP prüfen. 169.254.x.x: DHCP nicht erreicht. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. IP ja, Name nein: DNS. ping ja, Dienst nein: Port, Dienst und Firewall. ping ist kein Porttest. HTTP 401: nicht authentifiziert. HTTP 403: verboten. HTTP 404: nicht gefunden. HTTP 500: interner Serverfehler. HTTP 502: Gateway, Proxy oder Backend. VPN verbunden heißt nicht: Routen, DNS und Rechte stimmen. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. Nach Änderung: Change, Logs und Rollback prüfen. Backup ohne Restore-Test ist unsicher. Viele Geräte betroffen: zentrale Komponente prüfen. Ein Gerät betroffen: lokales Problem prüfen. Gute Antwort: Ursache, Begründung, Prüfung. Nicht raten, sondern messen. 20.14 Trainer – Gemischte Prüfungsaufgaben AP1/AP2 Netzwerktechnik Diese Trainer-Seite ist eine gemischte Wiederholung über die wichtigsten Themen der Netzwerktechnik. Sie verbindet: - OSI-Modell - TCP/IP - IPv4 und Subnetting - DNS und DHCP - Switching und VLAN - Routing und Gateway - TCP, UDP und Ports - Firewall, NAT und DMZ - VPN und Cloud - Sicherheit - Backup und Fehlersuche Ziel ist, prüfungsnah zu üben und Themen nicht isoliert, sondern im Zusammenhang zu erkennen. Merksatz: In der Prüfung steht selten nur ein Fachbegriff. Meist musst du aus einem Fehlerbild das richtige Thema ableiten. Lernziele Nach dieser Seite solltest du sicher können: - gemischte Netzwerkaufgaben einordnen - Fehlerbilder fachlich erkennen - passende Begriffe verwenden - kurze IHK-sichere Antworten formulieren - typische Prüfungsfallen vermeiden - technische Ursache und passende Maßnahme verbinden Aufgabe 1 Ein Client hat folgende Konfiguration: IPv4-Adresse: 192.168.10.50 Subnetzmaske: 255.255.255.0 Gateway: 192.168.20.1 Der Client erreicht lokale Geräte, aber keine externen Netze. Was ist falsch? Antwort anzeigen Das Gateway ist falsch. Begründung: Der Client liegt im Netz: 192.168.10.0/24 Das Gateway liegt im Netz: 192.168.20.0/24 Das Standardgateway muss im lokalen Subnetz des Clients liegen. IHK-sichere Antwort: Das Gateway befindet sich nicht im gleichen Subnetz wie der Client. Dadurch kann der Client das Gateway lokal nicht erreichen und keine Pakete in andere Netze senden. Aufgabe 2 Ein Client hat die Adresse: 169.254.44.12 Was bedeutet das? Antwort anzeigen Das ist eine APIPA-Adresse. Bedeutung: Der Client hat wahrscheinlich keine gültige IP-Adresse per DHCP erhalten. Mögliche Ursachen: DHCP-Server nicht erreichbar falsches VLAN DHCP-Scope erschöpft DHCP-Relay fehlt Netzwerkverbindung fehlerhaft Merksatz: 169.254.x.x deutet auf DHCP-Problem hin. Aufgabe 3 Ein Benutzer kann eine interne Webseite per IP-Adresse öffnen, aber nicht über den Namen. Welches Thema ist wahrscheinlich betroffen? Antwort anzeigen Wahrscheinlich betroffen: DNS Begründung: Die IP-Kommunikation funktioniert. Nur die Namensauflösung funktioniert nicht. IHK-sichere Antwort: Da der Zugriff per IP-Adresse funktioniert, aber der Name nicht aufgelöst wird, sollte die DNS-Konfiguration geprüft werden. Aufgabe 4 Ein Server ist per ping erreichbar, aber HTTPS funktioniert nicht. Nenne drei mögliche Ursachen. Antwort anzeigen Mögliche Ursachen: TCP 443 wird durch eine Firewall blockiert Webserver-Dienst läuft nicht Dienst lauscht nicht auf TCP 443 TLS-Zertifikat fehlerhaft Reverse Proxy falsch konfiguriert Anwendung fehlerhaft Merksatz: ping prüft ICMP, nicht HTTPS. Aufgabe 5 Ein Switchport ist als Access-Port im falschen VLAN konfiguriert. Welche Folge kann das haben? Antwort anzeigen Mögliche Folgen: Client landet im falschen Netz Client erhält falsche DHCP-Adresse lokale Dienste sind nicht erreichbar Gateway passt nicht Sicherheitszonen werden umgangen IHK-sichere Antwort: Der Client wird logisch dem falschen Layer-2-Netz zugeordnet. Dadurch kann er eine falsche IP-Konfiguration erhalten oder nicht mit den vorgesehenen Systemen kommunizieren. Aufgabe 6 Was ist der Unterschied zwischen VLAN und Subnetz? Antwort anzeigen VLAN: logische Trennung auf OSI-Schicht 2 Subnetz: logische IP-Aufteilung auf OSI-Schicht 3 Wichtig: In der Praxis bekommt ein VLAN oft ein eigenes Subnetz. Fachlich sind VLAN und Subnetz aber nicht dasselbe. Merksatz: VLAN = Layer 2. Subnetz = Layer 3. Aufgabe 7 Warum braucht Kommunikation zwischen VLANs Routing? Antwort anzeigen VLANs sind getrennte Layer-2-Bereiche. Damit Geräte aus unterschiedlichen VLANs miteinander kommunizieren können, muss Verkehr zwischen den jeweiligen IP-Netzen geroutet werden. Möglich über: Router Layer-3-Switch Firewall Merksatz: VLANs trennen. Routing verbindet gezielt. Aufgabe 8 Ein Client möchte ein Ziel außerhalb seines Subnetzes erreichen. Welche MAC-Adresse wird im Ethernet-Frame verwendet? Antwort anzeigen Verwendet wird: die MAC-Adresse des Standardgateways Begründung: Das IP-Ziel bleibt der entfernte Zielhost. Lokal wird das Frame aber an den nächsten Hop gesendet, also an das Gateway. Merksatz: IP zeigt zum Endziel. MAC zeigt zum nächsten lokalen Hop. Aufgabe 9 Was macht ARP? Antwort anzeigen ARP löst im lokalen IPv4-Netz eine IP-Adresse in eine MAC-Adresse auf. Beispiel: Der Client kennt die IP-Adresse des Gateways, braucht aber die MAC-Adresse, um ein Ethernet-Frame senden zu können. Merksatz: ARP findet MAC-Adressen im lokalen IPv4-Netz. Aufgabe 10 Bestimme für: 192.168.5.130/25 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /25 gilt: Blockgröße 128 Bereiche: 192.168.5.0 bis 192.168.5.127 192.168.5.128 bis 192.168.5.255 192.168.5.130 liegt im zweiten Bereich. Wert Ergebnis Netzadresse 192.168.5.128 erste nutzbare Adresse 192.168.5.129 letzte nutzbare Adresse 192.168.5.254 Broadcastadresse 192.168.5.255 nutzbare Hosts 126 Aufgabe 11 Bestimme für: 10.10.10.77/26 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? Antwort anzeigen Bei /26 gilt: Blockgröße 64 Bereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 77 liegt im Bereich 64 bis 127. Wert Ergebnis Netzadresse 10.10.10.64 erste nutzbare Adresse 10.10.10.65 letzte nutzbare Adresse 10.10.10.126 Broadcastadresse 10.10.10.127 Aufgabe 12 Welche kleinste Netzgröße reicht für mindestens 60 Hosts? Antwort anzeigen Benötigt: mindestens 60 nutzbare Hosts Prüfung: /27 = 30 nutzbare Hosts /26 = 62 nutzbare Hosts Antwort: /26 Begründung: /26 ist das kleinste der genannten passenden Netze, weil es 62 nutzbare Hostadressen bietet. Aufgabe 13 Welche kleinste Netzgröße reicht für mindestens 120 Hosts? Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts Antwort: /25 Merksatz: Bedarf prüfen, dann kleinstes passendes Netz wählen. Aufgabe 14 Warum ist die Broadcastadresse nicht als Hostadresse nutzbar? Antwort anzeigen Die Broadcastadresse ist die letzte Adresse eines IPv4-Subnetzes. Sie adressiert alle Hosts in diesem Subnetz und wird daher nicht einem einzelnen Host zugewiesen. Merksatz: Erste Adresse = Netz. Letzte Adresse = Broadcast. Aufgabe 15 Was ist der Unterschied zwischen TCP und UDP? Antwort anzeigen TCP: verbindungsorientiert zuverlässig bestätigt Daten stellt Reihenfolge sicher UDP: verbindungslos schlank schnell keine eingebaute Zustellgarantie Merksatz: TCP = zuverlässig. UDP = schnell und schlank. Aufgabe 16 Ordne Ports zu. Dienst Protokoll und Port SSH ? HTTP ? HTTPS ? DNS ? DHCP ? SMB ? RDP ? Antwort anzeigen Dienst Protokoll und Port SSH TCP 22 HTTP TCP 80 HTTPS TCP 443 DNS UDP/TCP 53 DHCP UDP 67/68 SMB TCP 445 RDP TCP 3389 Merksatz: Portnummer immer mit TCP oder UDP lernen. Aufgabe 17 Warum ist die Aussage „Port 53 freigeben“ ungenau? Antwort anzeigen Die Aussage ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. DNS nutzt meistens UDP 53, kann aber auch TCP 53 verwenden. IHK-sichere Antwort: Bei Firewall-Regeln müssen Port und Transportprotokoll angegeben werden, da TCP und UDP getrennte Protokolle sind. Aufgabe 18 Was bedeutet LISTEN bei TCP? Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Ein Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet. Aufgabe 19 Was bedeutet ESTABLISHED bei TCP? Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht. Merksatz: ESTABLISHED = Verbindung aktiv. Aufgabe 20 Was ist der Unterschied zwischen NAT und Firewall? Antwort anzeigen NAT: übersetzt IP-Adressen Firewall: erlaubt oder blockiert Verkehr anhand von Regeln Wichtig: Viele Geräte kombinieren beide Funktionen. Fachlich bleiben sie aber unterschiedlich. Merksatz: NAT übersetzt. Firewall filtert. Aufgabe 21 Was ist PAT? Antwort anzeigen PAT steht für: Port Address Translation PAT ist eine Form von NAT, bei der zusätzlich Ports genutzt werden, um mehrere interne Verbindungen über eine öffentliche IP-Adresse zu unterscheiden. Merksatz: PAT nutzt Ports zur Zuordnung mehrerer Verbindungen. Aufgabe 22 Was ist Portweiterleitung? Antwort anzeigen Portweiterleitung bedeutet: Eingehender Verkehr auf einem externen Port wird an einen internen Dienst weitergeleitet. Beispiel: öffentliche IP TCP 443 zu interner Webserver 192.168.10.20 TCP 443 Merksatz: Portweiterleitung veröffentlicht einen internen Dienst. Aufgabe 23 Warum ist eine Any-to-Any-Firewall-Regel kritisch? Antwort anzeigen Any-to-Any erlaubt Verkehr von jeder Quelle zu jedem Ziel. Risiken: große Angriffsfläche schlechte Nachvollziehbarkeit Sicherheitszonen werden umgangen unnötige Freigaben Besser: genaue Regeln mit Quelle, Ziel, Port, Protokoll und Zweck. Merksatz: Je genauer die Regel, desto sicherer und nachvollziehbarer. Aufgabe 24 Was ist eine DMZ? Antwort anzeigen Eine DMZ ist ein getrenntes Netzwerk für Dienste, die von außen erreichbar sein müssen. Beispiele: Webserver Reverse Proxy Mail-Gateway VPN-Gateway Ziel: öffentliche Dienste vom internen Netz trennen. Merksatz: DMZ begrenzt Schaden bei öffentlichen Diensten. Aufgabe 25 Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation Besser: Zugriff nur vom Anwendungsserver Firewall-Beschränkung privates Netz oder DMZ-Konzept starke Authentifizierung Monitoring Merksatz: Datenbankports gehören nicht offen ins Internet. Aufgabe 26 Was ist der Unterschied zwischen Remote-Access-VPN und Site-to-Site-VPN? Antwort anzeigen Remote-Access-VPN: einzelner Benutzer verbindet sich ins Firmennetz Site-to-Site-VPN: zwei Netze oder Standorte werden verbunden Merksatz: Remote Access = Benutzer. Site-to-Site = Standort oder Netz. Aufgabe 27 VPN ist verbunden, aber interne Namen funktionieren nicht. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: VPN-DNS-Problem Prüfen: interner DNS-Server DNS-Suffix Split-DNS Erreichbarkeit des DNS-Servers DNS-Cache Merksatz: VPN-IP ja, VPN-Name nein: VPN-DNS prüfen. Aufgabe 28 VPN ist verbunden, aber interne IP-Ziele sind nicht erreichbar. Was ist wahrscheinlich? Antwort anzeigen Mögliche Ursachen: VPN-Route fehlt Zielnetz nicht erlaubt Firewall blockiert Rückroute fehlt IP-Adresskonflikt Benutzergruppe hat keine Berechtigung Merksatz: VPN verbunden heißt nicht automatisch: Routing und Regeln stimmen. Aufgabe 29 Was bedeutet Shared Responsibility in der Cloud? Antwort anzeigen Shared Responsibility bedeutet: Cloud-Anbieter und Kunde teilen sich die Verantwortung. Anbieter: schützt Infrastruktur, Rechenzentrum und Plattform je nach Modell. Kunde: bleibt verantwortlich für Daten, Benutzer, Rechte, Konfigurationen und Anwendungen je nach Modell. Merksatz: Anbieter schützt die Cloud. Kunde schützt seine Nutzung der Cloud. Aufgabe 30 Ordne Cloud-Modelle zu. Modell Bedeutung IaaS ? PaaS ? SaaS ? Antwort anzeigen Modell Bedeutung IaaS virtuelle Infrastruktur PaaS verwaltete Plattform SaaS fertige Anwendung Merksatz: IaaS = Infrastruktur. PaaS = Plattform. SaaS = Software. Aufgabe 31 Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud? Antwort anzeigen Hybrid Cloud: Kombination aus lokaler oder privater IT und Public Cloud Multi Cloud: Nutzung mehrerer Cloud-Anbieter Merksatz: Hybrid beschreibt Kombination von Umgebungen. Multi beschreibt mehrere Anbieter. Aufgabe 32 Warum ist IAM in der Cloud besonders wichtig? Antwort anzeigen Cloud-Ressourcen sind oft schnell erreichbar, skalierbar und über Netzwerke zugänglich. Fehlerhafte Rechte können führen zu: Datenabfluss unberechtigtem Zugriff Manipulation Kostenexplosion Löschung von Ressourcen Merksatz: In der Cloud sind Identitäten oft der wichtigste Sicherheitsperimeter. Aufgabe 33 Ordne Schutzziele zu. Ereignis Schutzziel Daten werden gelesen ? Datei wird manipuliert ? Dienst fällt aus ? Absender wird gefälscht ? Antwort anzeigen Ereignis Schutzziel Daten werden gelesen Vertraulichkeit Datei wird manipuliert Integrität Dienst fällt aus Verfügbarkeit Absender wird gefälscht Authentizität Merksatz: Lesen = Vertraulichkeit. Verändern = Integrität. Ausfall = Verfügbarkeit. Echtheit = Authentizität. Aufgabe 34 Was ist der Unterschied zwischen Brute Force, Password Spraying und Credential Stuffing? Antwort anzeigen Brute Force: viele Passwortversuche Password Spraying: ein häufiges Passwort gegen viele Konten Credential Stuffing: geleakte Zugangsdaten werden bei anderen Diensten getestet Merksatz: Brute Force = viele Versuche. Spraying = ein Passwort gegen viele Konten. Stuffing = geleakte Zugangsdaten. Aufgabe 35 Ordne Webangriffe zu. Angriff Beschreibung SQL Injection ? XSS ? CSRF ? Antwort anzeigen Angriff Beschreibung SQL Injection SQL-Code in Eingaben einschleusen XSS Skriptcode im Browser anderer Benutzer ausführen CSRF gültige Sitzung für ungewollte Aktion missbrauchen Merksatz: SQLi betrifft Datenbankabfragen. XSS betrifft Browser. CSRF betrifft Sitzungen. Aufgabe 36 Welche Maßnahme passt zu welchem Risiko? Risiko Maßnahme gestohlenes Passwort ? ungepatchter Server ? zu viele Rechte ? unnötige Dienste ? Ransomware ? Antwort anzeigen Risiko Maßnahme gestohlenes Passwort MFA ungepatchter Server Patchmanagement zu viele Rechte Least Privilege unnötige Dienste Hardening Ransomware Offline- oder Immutable-Backups und Restore-Test Merksatz: Maßnahme muss zum Risiko passen. Aufgabe 37 Was ist der Unterschied zwischen IDS und IPS? Antwort anzeigen IDS: erkennt und meldet Angriffe IPS: erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS blockiert. Aufgabe 38 Was ist der Unterschied zwischen Backup, Replikation und Synchronisation? Antwort anzeigen Backup: sichert Daten zur Wiederherstellung alter Zustände Replikation: erzeugt eine möglichst aktuelle Kopie auf anderem System Synchronisation: gleicht Daten zwischen Speicherorten ab Wichtig: Replikation und Synchronisation ersetzen kein Backup, weil Fehler, Löschungen oder Ransomware mit übertragen werden können. Merksatz: Backup stellt wieder her. Replikation hält aktuell. Synchronisation gleicht ab. Aufgabe 39 Was bedeuten RPO und RTO? Antwort anzeigen RPO: Recovery Point Objective maximal akzeptabler Datenverlust RTO: Recovery Time Objective maximal akzeptable Wiederherstellungszeit Merksatz: RPO = Datenverlust. RTO = Zeit bis Wiederherstellung. Aufgabe 40 Warum ist ein Restore-Test wichtig? Antwort anzeigen Ein Restore-Test prüft, ob Backups wirklich wiederherstellbar sind. Ohne Restore-Test ist unklar: ob Daten vollständig sind ob Daten lesbar sind ob Schlüssel vorhanden sind ob Rechte stimmen ob die Wiederherstellungszeit passt Merksatz: Backup ohne Restore-Test ist unsicher. Aufgabe 41 Welche Antwort ist besser? Aufgabe: Ein Benutzer kann sich anmelden, aber nicht auf eine Datei zugreifen. Was ist wahrscheinlich? Antwort A: Das Netzwerk ist kaputt. Antwort B: Wahrscheinlich liegt ein Berechtigungsproblem vor, da die Authentifizierung funktioniert, der Zugriff auf die Ressource aber verweigert wird. Antwort anzeigen B ist besser. Begründung: Die Antwort trennt Authentifizierung und Autorisierung. Merksatz: Login ja, Zugriff nein: Rechte prüfen. Aufgabe 42 Welche Antwort ist besser? Aufgabe: Warum ist MFA sinnvoll? Antwort A: Weil es sicherer ist. Antwort B: MFA verlangt zusätzlich zum Passwort einen weiteren Faktor. Dadurch reicht ein gestohlenes Passwort allein nicht aus, um Zugriff zu erhalten. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt die konkrete Schutzwirkung. Merksatz: Maßnahme mit Wirkung erklären. Aufgabe 43 Welche Antwort ist besser? Aufgabe: Warum ersetzt ein Snapshot kein Backup? Antwort A: Weil Snapshot und Backup verschiedene Wörter sind. Antwort B: Snapshots liegen oft auf demselben System oder Speicher. Bei Speicherdefekt, Löschung oder Ransomware können sie ebenfalls betroffen sein. Ein Backup muss getrennt, geschützt und wiederherstellbar sein. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt die fachliche Ursache und Anforderungen an ein Backup. Merksatz: Fachbegriff plus Begründung. Aufgabe 44 Welche Antwort ist besser? Aufgabe: Warum ist eine öffentlich erreichbare Datenbank kritisch? Antwort A: Weil Datenbanken wichtig sind. Antwort B: Eine öffentlich erreichbare Datenbank erhöht die Angriffsfläche. Es drohen Brute-Force-Angriffe, Ausnutzung von Schwachstellen, Datenabfluss und Manipulation. Besser ist Zugriff nur aus benötigten Netzen oder vom Anwendungsserver. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt Risiko, Folgen und bessere Maßnahme. Merksatz: Sicherheitsantwort: Risiko, Maßnahme, Wirkung. Aufgabe 45 Welche Antwort ist besser? Aufgabe: Warum ist systematische Fehlersuche wichtig? Antwort A: Weil man dann professionell wirkt. Antwort B: Systematische Fehlersuche grenzt den Fehler anhand von Symptomen, Schichten und Messwerten ein. Dadurch werden Ursachen schneller gefunden und unnötige Änderungen vermieden. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den Nutzen der systematischen Vorgehensweise. Merksatz: Nicht raten, sondern eingrenzen. Mini-Prüfung: Gesamtzuordnung Fehlerbild oder Begriff Thema keine Link-LED Schicht 1 MAC-Adresse Schicht 2 IP-Adresse Schicht 3 TCP-Port Schicht 4 TLS-Zertifikat Schicht 6 HTTP Schicht 7 169.254.x.x DHCP IP ja, Name nein DNS ping ja, HTTPS nein Port, Dienst, Firewall, TLS falsches Netz nach DHCP VLAN oder DHCP RDP aus Internet offen Sicherheitsrisiko Datenbank öffentlich erreichbar Sicherheitsrisiko Backup nicht wiederherstellbar Restore-Test fehlt Dienst nach Update defekt Change, Logs, Rollback VPN verbunden, Name geht nicht VPN-DNS Mini-Prüfung: Begriffe kurz erklären Begriff Kurzantwort VLAN logische Trennung auf Schicht 2 Subnetz logische IP-Aufteilung auf Schicht 3 Gateway Router in andere Netze DNS Namensauflösung DHCP automatische IP-Konfiguration NAT Adressübersetzung PAT Adress- und Portübersetzung DMZ getrennte Zone für öffentliche Dienste VPN verschlüsselter Tunnel IAM Identitäts- und Rechteverwaltung MFA Anmeldung mit mehreren Faktoren Least Privilege nur nötige Rechte vergeben Hardening Angriffsfläche reduzieren RPO maximaler Datenverlust RTO maximale Wiederherstellungszeit Mini-Prüfung: typische Prüfungsfallen Falle Richtig denken ping geht, also Dienst geht falsch, ping prüft nur ICMP VLAN ist dasselbe wie Subnetz falsch, VLAN Layer 2, Subnetz Layer 3 NAT ist Firewall falsch, NAT übersetzt, Firewall filtert Cloud-Anbieter ist für alles verantwortlich falsch, Shared Responsibility Snapshot ist Backup falsch, Snapshot ersetzt kein Backup Sync ist Backup falsch, Sync gleicht nur ab Portnummer ohne TCP/UDP reicht ungenau Loginproblem und Rechteproblem sind gleich falsch, Authentifizierung und Autorisierung unterscheiden Any-to-Any ist praktisch kritisch, zu breite Freigabe Mehr Rechte lösen Probleme unsicher, Least Privilege beachten IHK-sichere Kurzformulierung Bei gemischten Netzwerkaufgaben ist entscheidend, das Fehlerbild systematisch einzuordnen. Keine Link-Anzeige deutet auf Schicht 1 hin, MAC-Adressen und VLANs auf Schicht 2, IP-Adressen und Routing auf Schicht 3, TCP, UDP und Ports auf Schicht 4. DNS-Probleme zeigen sich häufig dadurch, dass eine IP-Adresse erreichbar ist, ein Name aber nicht. DHCP-Probleme erkennt man oft an APIPA-Adressen aus 169.254.0.0/16. Firewall-Regeln müssen Quelle, Ziel, Port, Protokoll und Zweck enthalten. NAT übersetzt Adressen, während Firewalls Verkehr filtern. VPN-Verbindungen benötigen neben dem Tunnel auch passende Routen, DNS und Berechtigungen. Sicherheitsantworten sollten Risiko, Maßnahme und Wirkung enthalten. Backup-Fragen müssen Restore, RPO, RTO und Restore-Tests berücksichtigen. Merksätze Erst Fehlerbild lesen, dann Thema zuordnen. Kein Link: Schicht 1. MAC: Schicht 2. IP: Schicht 3. TCP und UDP: Schicht 4. TLS: Schicht 6. HTTP und DNS: Schicht 7. VLAN ist Layer 2. Subnetz ist Layer 3. Switch arbeitet mit MAC-Adressen. Router arbeitet mit IP-Adressen. Gateway führt in andere Netze. DNS löst Namen auf. DHCP verteilt IP-Konfiguration. 169.254.x.x: DHCP nicht erreicht. ping ist kein Diensttest. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. ping ja, Port nein: Dienst, Port oder Firewall. NAT übersetzt. Firewall filtert. PAT nutzt Ports. DMZ trennt öffentliche Dienste. VPN braucht Tunnel, Route, DNS und Rechte. Cloud bedeutet geteilte Verantwortung. IAM entscheidet, wer was darf. MFA schützt gegen Passwortmissbrauch. Least Privilege begrenzt Schaden. Patchmanagement schließt bekannte Lücken. Hardening reduziert Angriffsfläche. Backup ist Wiederherstellungsvorsorge. Restore-Test beweist, dass Backup nutzbar ist. RPO = Datenverlust. RTO = Wiederherstellungszeit. Gute Prüfungsantwort: Ursache, Begründung, passende Prüfung oder Maßnahme. Nicht raten, sondern fachlich eingrenzen. 20.15 Trainer – Abschlussprüfung Netzwerktechnik Gesamtwiederholung Diese Seite ist die Abschlussseite des Netzwerktechnik-Trainers. Sie dient als letzte Gesamtwiederholung vor einer Klassenarbeit, AP1, AP2 oder vor dem Eintragen eigener Lernnotizen. Ziel ist, alle Kernbereiche noch einmal kompakt, prüfungsnah und mit typischen Antwortmustern zu wiederholen. Merksatz: Am Ende zählt nicht, ob man Begriffe kennt, sondern ob man sie im Fehlerbild richtig anwendet. Lernziele Nach dieser Abschlussseite solltest du sicher können: - Netzwerkprobleme nach OSI-Schichten einordnen - Standardbegriffe kurz erklären - typische Fehlerbilder erkennen - passende Prüfungen nennen - Sicherheitsrisiken bewerten - technische Maßnahmen begründen - kurze prüfungssichere Antworten formulieren Abschluss-Checkliste: OSI-Modell Schicht Name Kernthema Typische Begriffe 7 Anwendung Netzwerkdienste HTTP, DNS, DHCP, SMTP, SMB 6 Darstellung Format und Verschlüsselung TLS, Zertifikate, Codierung 5 Sitzung Sitzungen Session, Cookie, Token, Timeout 4 Transport Ports und Transport TCP, UDP, Port 3 Vermittlung IP und Routing IP, Subnetz, Gateway, ICMP 2 Sicherung lokale Zustellung MAC, Ethernet, VLAN, Switch 1 Bitübertragung physische Übertragung Kabel, Funk, Link, Signal Merksatz: 1 Kabel. 2 MAC. 3 IP. 4 Port. 5 Sitzung. 6 TLS. 7 Anwendung. Abschluss-Checkliste: Fehlerbilder Fehlerbild Wahrscheinlichstes Thema keine Link-LED Kabel, Port, Schicht 1 falsches Netz VLAN oder DHCP 169.254.x.x DHCP nicht erreicht lokal erreichbar, extern nicht Gateway, Routing, NAT, Firewall IP erreichbar, Name nicht DNS ping funktioniert, Dienst nicht Port, Dienst oder Firewall HTTPS-Warnung TLS-Zertifikat HTTP 401 Authentifizierung HTTP 403 Autorisierung HTTP 404 Ressource nicht gefunden HTTP 500 Server oder Anwendung HTTP 502 Proxy, Gateway oder Backend VPN verbunden, Name geht nicht VPN-DNS Login geht, Datei nicht Rechteproblem Backup vorhanden, Restore geht nicht Restore-Test oder Backup defekt Abschluss-Checkliste: Standardports Dienst Protokoll und Port FTP TCP 21 SSH TCP 22 SFTP TCP 22 SMTP TCP 25 DNS UDP/TCP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 NTP UDP 123 IMAP TCP 143 SNMP UDP 161 HTTPS TCP 443 SMB TCP 445 SMTPS TCP 465 IMAPS TCP 993 POP3S TCP 995 RDP TCP 3389 Merksatz: Portnummer immer mit TCP oder UDP lernen. Abschluss-Checkliste: IPv4 und Subnetting Präfix Subnetzmaske nutzbare Hosts /24 255.255.255.0 254 /25 255.255.255.128 126 /26 255.255.255.192 62 /27 255.255.255.224 30 /28 255.255.255.240 14 /29 255.255.255.248 6 /30 255.255.255.252 2 Merksätze: Hostbits = 32 minus Präfix. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse. Broadcastadresse = letzte Adresse. Erste und letzte Adresse sind im normalen IPv4-Subnetz nicht für Hosts. Abschluss-Checkliste: private IPv4-Bereiche Bereich CIDR 10.0.0.0 bis 10.255.255.255 10.0.0.0/8 172.16.0.0 bis 172.31.255.255 172.16.0.0/12 192.168.0.0 bis 192.168.255.255 192.168.0.0/16 Merksatz: Private IPv4-Adressen werden im Internet nicht direkt geroutet. Abschluss-Checkliste: Begriffe kurz erklären Begriff Kurzantwort MAC-Adresse lokale Adresse einer Netzwerkschnittstelle IP-Adresse logische Adresse eines Hosts Port Dienst- oder Prozesszuordnung Gateway Router in andere Netze DNS löst Namen in IP-Adressen auf DHCP verteilt IP-Konfiguration automatisch ARP löst IPv4-Adresse in MAC-Adresse auf VLAN logische Trennung auf Schicht 2 Subnetz logische IP-Aufteilung auf Schicht 3 NAT übersetzt IP-Adressen PAT übersetzt IP-Adressen und Ports DMZ getrennte Zone für öffentliche Dienste VPN verschlüsselter Tunnel über unsicheres Netz IAM Identitäts- und Rechteverwaltung MFA Authentifizierung mit mehreren Faktoren Backup Sicherung Restore Wiederherstellung Abschluss-Checkliste: Sicherheit Risiko passende Maßnahme gestohlenes Passwort MFA zu viele Rechte Least Privilege bekannte Sicherheitslücke Patchmanagement unnötige Dienste Hardening Ransomware Offline- oder Immutable-Backup Phishing Awareness, Mailfilter, MFA SQL Injection Prepared Statements XSS Output Encoding, CSP, HttpOnly CSRF CSRF-Token, SameSite-Cookies Man-in-the-Middle TLS, Zertifikatsprüfung, VPN DDoS DDoS-Schutz, Rate Limiting, CDN unklare Vorfälle Logging, SIEM, Monitoring Merksatz: Risiko, Maßnahme, Wirkung. Abschluss-Checkliste: Backup Begriff Bedeutung Backup Sicherung Restore Wiederherstellung RPO maximal akzeptabler Datenverlust RTO maximal akzeptable Wiederherstellungszeit Retention Aufbewahrungsregel Vollbackup sichert alle ausgewählten Daten inkrementelles Backup Änderungen seit letztem Backup differenzielles Backup Änderungen seit letztem Vollbackup Snapshot Momentaufnahme Offline-Backup nicht dauerhaft verbunden Immutable Backup unveränderliches Backup Restore-Test Prüfung der Wiederherstellung Merksatz: Backup ohne Restore-Test ist unsicher. Prüfungssimulation 1 Ein Client meldet: „Ich komme nicht ins Internet.“ Du stellst fest: - IP-Adresse ist 192.168.10.55/24 - Gateway ist 192.168.10.1 - Ping auf 192.168.10.1 funktioniert - Ping auf 8.8.8.8 funktioniert - Aufruf von Webseiten per Domain funktioniert nicht Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: DNS-Problem Begründung: Gateway und externe IP-Adresse sind erreichbar. Der Weg ins Internet funktioniert also grundsätzlich. Wenn nur Domains nicht funktionieren, ist die Namensauflösung wahrscheinlich gestört. IHK-sichere Antwort: Da externe IP-Adressen erreichbar sind, aber Domainnamen nicht funktionieren, sollte die DNS-Konfiguration geprüft werden, insbesondere DNS-Server, DNS-Erreichbarkeit und DNS-Cache. Prüfungssimulation 2 Ein Client meldet: „Ich bekomme keine Netzwerkverbindung.“ Du stellst fest: - keine Link-LED - keine IP-Adresse - andere Clients am Switch funktionieren Was prüfst du zuerst? Antwort anzeigen Zuerst prüfen: Schicht 1 Konkret: Kabel Stecker Netzwerkdose Switchport Netzwerkkarte anderes Patchkabel anderen Port Begründung: Keine Link-LED deutet zuerst auf ein physisches Problem hin. IHK-sichere Antwort: Zuerst wird die physische Verbindung geprüft, weil ohne Link keine höhere Netzwerkschicht zuverlässig funktionieren kann. Prüfungssimulation 3 Ein Benutzer kann sich anmelden, aber nicht auf eine Freigabe zugreifen. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: Autorisierungs- oder Berechtigungsproblem Begründung: Die Authentifizierung funktioniert, weil die Anmeldung erfolgreich ist. Der Zugriff auf die Ressource wird aber verweigert. Prüfen: Gruppenmitgliedschaft Freigaberechte Dateisystemrechte ACLs Rollen Merksatz: Login ja, Zugriff nein: Rechte prüfen. Prüfungssimulation 4 Ein Webserver ist per ping erreichbar, aber die Webseite öffnet nicht. Was ist wichtig? Antwort anzeigen Wichtig: ping prüft nur ICMP. Zu prüfen: TCP 80 oder TCP 443 erreichbar? Webserver-Dienst läuft? Dienst lauscht auf richtigem Port? Firewall blockiert? TLS-Zertifikat korrekt? Reverse Proxy oder Anwendung fehlerhaft? IHK-sichere Antwort: Die ICMP-Erreichbarkeit zeigt nur, dass der Host erreichbar ist. Für die Webseite müssen zusätzlich Port, Dienst, Firewall und Anwendung geprüft werden. Prüfungssimulation 5 Ein Server steht in der DMZ. Er soll aus dem Internet per HTTPS erreichbar sein und auf eine interne Datenbank zugreifen. Welche Regeln sind sinnvoll? Antwort anzeigen Sinnvolle Regeln: Quelle Ziel Protokoll Port Aktion Zweck Internet Webserver-DMZ TCP 443 erlauben HTTPS-Zugriff Webserver-DMZ interne Datenbank TCP Datenbankport erlauben Anwendung benötigt Datenbank Internet interne Datenbank TCP Datenbankport blockieren Datenbank schützen DMZ internes Netz any any blockieren, außer benötigte Regeln Schutz des internen Netzes IHK-sichere Antwort: Nur der benötigte HTTPS-Zugriff auf den Webserver wird aus dem Internet erlaubt. Der Zugriff vom Webserver zur internen Datenbank wird gezielt auf den notwendigen Port beschränkt. Direkter Zugriff aus dem Internet auf die Datenbank wird blockiert. Prüfungssimulation 6 Ein VPN verbindet sich erfolgreich, aber interne Server sind nur per IP-Adresse erreichbar, nicht per Namen. Was ist wahrscheinlich? Antwort anzeigen Wahrscheinlich: VPN-DNS-Problem Prüfen: interner DNS-Server wird per VPN gesetzt? DNS-Server ist über VPN erreichbar? DNS-Suffix ist korrekt? Split-DNS funktioniert? DNS-Cache veraltet? IHK-sichere Antwort: Da interne IP-Adressen erreichbar sind, aber Namen nicht aufgelöst werden, sollte die DNS-Konfiguration des VPN geprüft werden. Prüfungssimulation 7 Ein Unternehmen nutzt Cloud-Speicher. Ein Benutzer teilt versehentlich einen Ordner öffentlich. Welches Thema ist betroffen? Antwort anzeigen Betroffen: Vertraulichkeit Ursache: falsche Freigabe oder zu breite Berechtigung Maßnahmen: Berechtigungen einschränken Freigaben regelmäßig prüfen Least Privilege MFA DLP Audit-Logs Sensibilisierung IHK-sichere Antwort: Durch die öffentliche Freigabe können unberechtigte Personen Daten lesen. Damit ist die Vertraulichkeit betroffen. Die Freigabe sollte entfernt, die Berechtigungen geprüft und die Zugriffe protokolliert ausgewertet werden. Prüfungssimulation 8 Ein Server wurde durch Ransomware verschlüsselt. Die Backups liegen dauerhaft erreichbar auf einer Netzfreigabe und wurden ebenfalls verschlüsselt. Was war das Problem? Antwort anzeigen Problem: Backups waren dauerhaft online und beschreibbar erreichbar. Dadurch konnte Ransomware auch die Backups verschlüsseln. Bessere Maßnahmen: Offline-Backup Immutable Backup getrennte Backup-Rechte MFA für Backup-Administration Restore-Tests Monitoring IHK-sichere Antwort: Backups müssen gegen Manipulation und Verschlüsselung geschützt werden. Offline- oder Immutable-Backups verhindern, dass Ransomware alle Sicherungen gleichzeitig zerstört. Prüfungssimulation 9 Ein Administrator soll erklären, warum ein Snapshot kein vollständiges Backup ersetzt. Formuliere eine gute Antwort. Antwort anzeigen Gute Antwort: Ein Snapshot ist eine Momentaufnahme, liegt aber häufig auf demselben System oder Speicher wie die Produktivdaten. Bei Speicherdefekt, Löschung, Ransomware oder beschädigter Snapshot-Kette kann er ebenfalls betroffen sein. Ein Backup muss getrennt, geschützt wiederherstellbar und regelmäßig getestet sein. Merksatz: Snapshot ist hilfreich, aber kein vollständiges Backup-Konzept. Prüfungssimulation 10 Ein Cloud-Anbieter stellt eine SaaS-Anwendung bereit. Ein Kunde vergibt allen Benutzern Adminrechte. Wer ist für dieses Problem verantwortlich? Antwort anzeigen Verantwortlich ist typischerweise: der Kunde Begründung: Bei SaaS betreibt der Anbieter die Anwendung. Der Kunde bleibt aber für Benutzer, Rollen, Daten, Berechtigungen und Konfigurationen verantwortlich. IHK-sichere Antwort: Nach dem Shared-Responsibility-Modell ist der Kunde für die korrekte Rechtevergabe verantwortlich. Der Anbieter stellt die SaaS-Anwendung bereit, aber Benutzer- und Berechtigungsverwaltung bleiben Aufgabe des Kunden. Prüfungssimulation 11 Ein Dienstleister benötigt Zugriff auf einen Server. Er bekommt VPN-Zugriff auf das gesamte interne Netz. Bewerte das. Antwort anzeigen Bewertung: Das ist kritisch. Grund: Der Dienstleister erhält mehr Zugriff als notwendig. Besser: Least Privilege Zugriff nur auf benötigten Server nur benötigte Ports zeitlich begrenzter Zugriff MFA Logging separate Rolle oder Gruppe IHK-sichere Antwort: Der Zugriff sollte nach dem Least-Privilege-Prinzip eingeschränkt werden. Ein Dienstleister sollte nur auf die Systeme und Dienste zugreifen können, die er für seine Aufgabe benötigt. Dadurch wird das Risiko bei Missbrauch oder kompromittierten Zugangsdaten reduziert. Prüfungssimulation 12 Ein Unternehmen öffnet RDP direkt ins Internet, damit Administratoren leichter zugreifen können. Bewerte das. Antwort anzeigen Bewertung: Das ist ein hohes Sicherheitsrisiko. Risiken: Brute Force Credential Stuffing Exploits unberechtigter Fernzugriff Besser: VPN RDP-Gateway MFA Firewall-Beschränkung auf bekannte Quellnetze Logging IHK-sichere Antwort: RDP sollte nicht direkt aus dem Internet erreichbar sein. Sicherer ist ein Zugriff über VPN oder RDP-Gateway mit MFA, Zugriffsbeschränkung und Protokollierung. Abschluss: typische IHK-Antwortmuster Fehlersuche Wahrscheinlich liegt ein Problem bei [Thema] vor, weil [Symptom] funktioniert, aber [Symptom] nicht funktioniert. Daher sollte [konkrete Prüfung] geprüft werden. Beispiel: Wahrscheinlich liegt ein DNS-Problem vor, weil die IP-Adresse erreichbar ist, der Name aber nicht aufgelöst wird. Daher sollten DNS-Server, DNS-Eintrag und DNS-Cache geprüft werden. Sicherheitsbewertung Das ist kritisch, weil [Risiko]. Eine geeignete Maßnahme ist [Maßnahme], weil dadurch [Wirkung] erreicht wird. Beispiel: Eine öffentlich erreichbare Datenbank ist kritisch, weil sie direkt aus dem Internet angegriffen werden kann. Besser ist, den Zugriff nur aus dem Anwendungsserver-Netz zu erlauben und die Datenbank in einem privaten Netz zu betreiben. Vergleich [Begriff A] bedeutet [Erklärung]. [Begriff B] bedeutet [Erklärung]. Der wesentliche Unterschied ist [Unterschied]. Beispiel: NAT übersetzt IP-Adressen. Eine Firewall erlaubt oder blockiert Verkehr anhand von Regeln. Der wesentliche Unterschied ist, dass NAT Adressen übersetzt, während die Firewall Verkehr filtert. Backup-Frage RPO beschreibt den maximal akzeptablen Datenverlust. RTO beschreibt die maximal akzeptable Wiederherstellungszeit. Die Backup-Frequenz muss zum RPO passen, der Restore-Prozess zum RTO. Zusätzlich müssen Restore-Tests durchgeführt werden. Cloud-Frage Beim Shared-Responsibility-Modell teilen sich Anbieter und Kunde die Verantwortung. Der Anbieter schützt die Cloud-Infrastruktur. Der Kunde bleibt je nach Modell für Daten, Benutzer, Rechte, Konfigurationen und Anwendungen verantwortlich. Letzte Wiederholung: 30 Sekunden OSI 1: Kabel, Link, Signal. OSI 2: MAC, Switch, VLAN. OSI 3: IP, Gateway, Routing. OSI 4: TCP, UDP, Ports. OSI 5: Session, Cookie, Token. OSI 6: TLS, Zertifikat, Verschlüsselung. OSI 7: HTTP, DNS, DHCP, SMB. DNS: Name zu IP. DHCP: IP-Konfiguration automatisch. ARP: IPv4 zu MAC. NAT: Adresse übersetzen. Firewall: Verkehr filtern. VPN: verschlüsselter Tunnel. Backup: Sicherung. Restore: Wiederherstellung. RPO: Datenverlust. RTO: Wiederherstellungszeit. MFA: Passwort allein reicht nicht. Least Privilege: nur nötige Rechte. Hardening: Angriffsfläche reduzieren. Patchmanagement: bekannte Lücken schließen. Abschluss-Merksätze Fehlerbild zuerst lesen. Nicht raten, sondern eingrenzen. IP ja, Name nein: DNS. Lokal ja, extern nein: Gateway, Routing, NAT oder Firewall. ping ja, Dienst nein: Port, Dienst oder Firewall. Login ja, Zugriff nein: Rechte. Anmeldung scheitert: Authentifizierung. 169.254.x.x: DHCP nicht erreicht. VLAN ist Layer 2. Subnetz ist Layer 3. NAT ist nicht Firewall. Snapshot ist nicht Backup. Sync ist nicht Backup. Cloud ist geteilte Verantwortung. Portnummer ohne TCP oder UDP ist unvollständig. Sicherheitsantworten brauchen Risiko, Maßnahme und Wirkung. Gute Prüfungsantworten sind kurz, fachlich und begründet. Stand dieses Trainers Mit dieser Seite ist der gemischte Netzwerktechnik-Trainer inhaltlich abgeschlossen. Weitere sinnvolle Ergänzungen wären nur noch separate Spezialtrainer, zum Beispiel: - reiner Subnetting-Rechentrainer - reiner Ports-Trainer - reiner Firewall-Regel-Trainer - reiner Fehlersuche-Trainer mit Fällen - reiner Sicherheitsmaßnahmen-Trainer - AP1-Simulation mit Zeitdruck - AP2-Simulation mit komplexem Szenario Diese wären eigene zusätzliche Trainerseiten und keine notwendige Fortsetzung dieses Kapitels. 20.16 Spezialtrainer – Subnetting-Rechentrainer Dieser Spezialtrainer ist eine zusätzliche Übungsseite. Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen. Diese Seite dient nur als vertiefender Rechentrainer für IPv4-Subnetting. Ziel ist, Subnetting-Aufgaben schneller, sicherer und prüfungsnah zu lösen. Merksatz: Subnetting ist Übungssache. Immer zuerst Präfix, Hostbits, Blockgröße und Adressbereich bestimmen. Lernziele Nach dieser Seite solltest du sicher können: - Präfix und Subnetzmaske zuordnen - Hostbits bestimmen - nutzbare Hosts berechnen - Netzadresse bestimmen - Broadcastadresse bestimmen - ersten und letzten Host bestimmen - kleinste passende Netzgröße auswählen - typische Subnetting-Fallen vermeiden Subnetting-Grundformeln Gesucht Formel oder Regel Hostbits 32 minus Präfix Gesamtadressen 2 hoch Hostbits nutzbare Hosts Gesamtadressen minus 2 Netzadresse erste Adresse im Subnetz Broadcastadresse letzte Adresse im Subnetz erster Host Netzadresse plus 1 letzter Host Broadcastadresse minus 1 Merksatz: Erste Adresse ist Netzadresse. Letzte Adresse ist Broadcastadresse. Wichtige Präfixe Präfix Subnetzmaske Blockgröße nutzbare Hosts /24 255.255.255.0 256 254 /25 255.255.255.128 128 126 /26 255.255.255.192 64 62 /27 255.255.255.224 32 30 /28 255.255.255.240 16 14 /29 255.255.255.248 8 6 /30 255.255.255.252 4 2 Merksatz: Je größer der Präfix, desto kleiner das Netz. Aufgabe 1 Bestimme für: 192.168.1.45/24 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /24 gilt: Subnetzmaske: 255.255.255.0 Blockgröße: 256 Wert Ergebnis Netzadresse 192.168.1.0 erste nutzbare Adresse 192.168.1.1 letzte nutzbare Adresse 192.168.1.254 Broadcastadresse 192.168.1.255 nutzbare Hosts 254 Aufgabe 2 Bestimme für: 192.168.1.130/25 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /25 gilt: Blockgröße: 128 Bereiche: 192.168.1.0 bis 192.168.1.127 192.168.1.128 bis 192.168.1.255 192.168.1.130 liegt im zweiten Bereich. Wert Ergebnis Netzadresse 192.168.1.128 erste nutzbare Adresse 192.168.1.129 letzte nutzbare Adresse 192.168.1.254 Broadcastadresse 192.168.1.255 nutzbare Hosts 126 Aufgabe 3 Bestimme für: 192.168.1.70/26 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /26 gilt: Blockgröße: 64 Bereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 192.168.1.70 liegt im Bereich 64 bis 127. Wert Ergebnis Netzadresse 192.168.1.64 erste nutzbare Adresse 192.168.1.65 letzte nutzbare Adresse 192.168.1.126 Broadcastadresse 192.168.1.127 nutzbare Hosts 62 Aufgabe 4 Bestimme für: 192.168.1.190/26 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? Antwort anzeigen Bei /26 gilt: Blockgröße: 64 Bereiche: 0 bis 63 64 bis 127 128 bis 191 192 bis 255 192.168.1.190 liegt im Bereich 128 bis 191. Wert Ergebnis Netzadresse 192.168.1.128 erste nutzbare Adresse 192.168.1.129 letzte nutzbare Adresse 192.168.1.190 Broadcastadresse 192.168.1.191 Wichtig: 192.168.1.190 ist hier die letzte nutzbare Hostadresse, nicht die Broadcastadresse. Aufgabe 5 Bestimme für: 10.0.0.33/27 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /27 gilt: Blockgröße: 32 Bereiche: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 10.0.0.33 liegt im Bereich 32 bis 63. Wert Ergebnis Netzadresse 10.0.0.32 erste nutzbare Adresse 10.0.0.33 letzte nutzbare Adresse 10.0.0.62 Broadcastadresse 10.0.0.63 nutzbare Hosts 30 Aufgabe 6 Bestimme für: 10.0.0.95/27 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? Antwort anzeigen Bei /27 gilt: Blockgröße: 32 Bereiche: 0 bis 31 32 bis 63 64 bis 95 96 bis 127 10.0.0.95 liegt im Bereich 64 bis 95. Wert Ergebnis Netzadresse 10.0.0.64 erste nutzbare Adresse 10.0.0.65 letzte nutzbare Adresse 10.0.0.94 Broadcastadresse 10.0.0.95 Wichtig: 10.0.0.95 ist hier die Broadcastadresse und nicht als Hostadresse nutzbar. Aufgabe 7 Bestimme für: 172.16.5.17/28 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /28 gilt: Blockgröße: 16 Bereiche: 0 bis 15 16 bis 31 32 bis 47 172.16.5.17 liegt im Bereich 16 bis 31. Wert Ergebnis Netzadresse 172.16.5.16 erste nutzbare Adresse 172.16.5.17 letzte nutzbare Adresse 172.16.5.30 Broadcastadresse 172.16.5.31 nutzbare Hosts 14 Aufgabe 8 Bestimme für: 172.16.5.31/28 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? Antwort anzeigen Bei /28 gilt: Blockgröße: 16 172.16.5.31 liegt im Bereich 16 bis 31. Wert Ergebnis Netzadresse 172.16.5.16 erste nutzbare Adresse 172.16.5.17 letzte nutzbare Adresse 172.16.5.30 Broadcastadresse 172.16.5.31 Wichtig: 172.16.5.31 ist die Broadcastadresse und nicht als Hostadresse nutzbar. Aufgabe 9 Bestimme für: 192.168.20.200/29 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /29 gilt: Blockgröße: 8 Bereiche um 200: 192 bis 199 200 bis 207 192.168.20.200 liegt im Bereich 200 bis 207. Wert Ergebnis Netzadresse 192.168.20.200 erste nutzbare Adresse 192.168.20.201 letzte nutzbare Adresse 192.168.20.206 Broadcastadresse 192.168.20.207 nutzbare Hosts 6 Wichtig: 192.168.20.200 ist hier die Netzadresse und nicht als Hostadresse nutzbar. Aufgabe 10 Bestimme für: 192.168.20.206/29 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? Antwort anzeigen Bei /29 gilt: Blockgröße: 8 192.168.20.206 liegt im Bereich 200 bis 207. Wert Ergebnis Netzadresse 192.168.20.200 erste nutzbare Adresse 192.168.20.201 letzte nutzbare Adresse 192.168.20.206 Broadcastadresse 192.168.20.207 Aufgabe 11 Bestimme für: 10.10.10.10/30 Wert Ergebnis Netzadresse ? erste nutzbare Adresse ? letzte nutzbare Adresse ? Broadcastadresse ? nutzbare Hosts ? Antwort anzeigen Bei /30 gilt: Blockgröße: 4 Bereiche: 0 bis 3 4 bis 7 8 bis 11 12 bis 15 10.10.10.10 liegt im Bereich 8 bis 11. Wert Ergebnis Netzadresse 10.10.10.8 erste nutzbare Adresse 10.10.10.9 letzte nutzbare Adresse 10.10.10.10 Broadcastadresse 10.10.10.11 nutzbare Hosts 2 Merksatz: /30 wird klassisch oft für Punkt-zu-Punkt-Verbindungen genutzt. Aufgabe 12 Welche kleinste Netzgröße reicht für mindestens 12 Hosts? Antwort anzeigen Prüfung: /29 = 6 nutzbare Hosts /28 = 14 nutzbare Hosts Antwort: /28 Begründung: /29 reicht nicht. /28 bietet 14 nutzbare Hostadressen. Aufgabe 13 Welche kleinste Netzgröße reicht für mindestens 25 Hosts? Antwort anzeigen Prüfung: /28 = 14 nutzbare Hosts /27 = 30 nutzbare Hosts Antwort: /27 Aufgabe 14 Welche kleinste Netzgröße reicht für mindestens 55 Hosts? Antwort anzeigen Prüfung: /27 = 30 nutzbare Hosts /26 = 62 nutzbare Hosts Antwort: /26 Aufgabe 15 Welche kleinste Netzgröße reicht für mindestens 100 Hosts? Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts Antwort: /25 Aufgabe 16 Welche kleinste Netzgröße reicht für mindestens 200 Hosts? Antwort anzeigen Prüfung: /25 = 126 nutzbare Hosts /24 = 254 nutzbare Hosts Antwort: /24 Aufgabe 17 Liegen diese Hosts im gleichen Netz? 192.168.1.10/24 192.168.1.200/24 Antwort anzeigen Ja. Beide liegen im Netz: 192.168.1.0/24 Bereich: 192.168.1.0 bis 192.168.1.255 Nutzbare Hosts: 192.168.1.1 bis 192.168.1.254 Aufgabe 18 Liegen diese Hosts im gleichen Netz? 192.168.1.10/24 192.168.2.10/24 Antwort anzeigen Nein. 192.168.1.10/24 liegt im Netz: 192.168.1.0/24 192.168.2.10/24 liegt im Netz: 192.168.2.0/24 Für Kommunikation zwischen diesen Netzen wird Routing benötigt. Aufgabe 19 Liegen diese Hosts im gleichen Netz? 192.168.1.70/26 192.168.1.100/26 Antwort anzeigen Ja. Bei /26 gilt Blockgröße 64. Beide liegen im Bereich: 192.168.1.64 bis 192.168.1.127 Aufgabe 20 Liegen diese Hosts im gleichen Netz? 192.168.1.70/26 192.168.1.130/26 Antwort anzeigen Nein. 192.168.1.70 liegt im Bereich: 192.168.1.64 bis 192.168.1.127 192.168.1.130 liegt im Bereich: 192.168.1.128 bis 192.168.1.191 Für Kommunikation zwischen diesen Netzen wird Routing benötigt. Aufgabe 21 Liegen diese Hosts im gleichen Netz? 10.0.0.33/27 10.0.0.62/27 Antwort anzeigen Ja. Bei /27 gilt Blockgröße 32. Beide liegen im Bereich: 10.0.0.32 bis 10.0.0.63 Nutzbare Hosts: 10.0.0.33 bis 10.0.0.62 Aufgabe 22 Liegen diese Hosts im gleichen Netz? 10.0.0.33/27 10.0.0.64/27 Antwort anzeigen Nein. 10.0.0.33 liegt im Bereich: 10.0.0.32 bis 10.0.0.63 10.0.0.64 liegt im Bereich: 10.0.0.64 bis 10.0.0.95 Wichtig: 10.0.0.64 ist in diesem zweiten Bereich sogar die Netzadresse. Aufgabe 23 Prüfe die Hostadresse: 192.168.5.0/24 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Nein. Bei /24 ist: 192.168.5.0 die Netzadresse. Sie ist nicht als normale Hostadresse nutzbar. Aufgabe 24 Prüfe die Hostadresse: 192.168.5.255/24 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Nein. Bei /24 ist: 192.168.5.255 die Broadcastadresse. Sie ist nicht als normale Hostadresse nutzbar. Aufgabe 25 Prüfe die Hostadresse: 192.168.5.254/24 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Ja. Bei 192.168.5.0/24 ist der nutzbare Bereich: 192.168.5.1 bis 192.168.5.254 Die Adresse 192.168.5.254 ist die letzte nutzbare Hostadresse. Aufgabe 26 Prüfe die Hostadresse: 192.168.5.128/25 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Nein. Bei /25 gibt es zwei Bereiche: 192.168.5.0 bis 192.168.5.127 192.168.5.128 bis 192.168.5.255 Die Adresse 192.168.5.128 ist die Netzadresse des zweiten Bereichs. Aufgabe 27 Prüfe die Hostadresse: 192.168.5.129/25 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Ja. 192.168.5.129 liegt im zweiten /25-Netz: Netzadresse: 192.168.5.128 Broadcast: 192.168.5.255 nutzbarer Bereich: 192.168.5.129 bis 192.168.5.254 Aufgabe 28 Prüfe die Hostadresse: 10.0.0.63/26 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Nein. Bei /26 gilt Blockgröße 64. Der Bereich 0 bis 63 hat: Netzadresse: 10.0.0.0 Broadcastadresse: 10.0.0.63 Die Adresse 10.0.0.63 ist die Broadcastadresse. Aufgabe 29 Prüfe die Hostadresse: 10.0.0.64/26 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Nein. Bei /26 gilt Blockgröße 64. Der zweite Bereich beginnt bei: 10.0.0.64 Das ist die Netzadresse dieses Subnetzes. Aufgabe 30 Prüfe die Hostadresse: 10.0.0.65/26 Ist diese Adresse als Hostadresse nutzbar? Antwort anzeigen Ja. Bei /26 und Bereich 64 bis 127 gilt: Netzadresse: 10.0.0.64 Broadcastadresse: 10.0.0.127 nutzbarer Bereich: 10.0.0.65 bis 10.0.0.126 Aufgabe 31 Eine Abteilung benötigt 5 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht? Antwort anzeigen Prüfung: /30 = 2 nutzbare Hosts /29 = 6 nutzbare Hosts Antwort: /29 Aufgabe 32 Eine Abteilung benötigt 14 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht? Antwort anzeigen Antwort: /28 Begründung: /28 bietet 14 nutzbare Hostadressen. Aufgabe 33 Eine Abteilung benötigt 15 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht? Antwort anzeigen Prüfung: /28 = 14 nutzbare Hosts /27 = 30 nutzbare Hosts Antwort: /27 Merksatz: 15 passt nicht mehr in /28. Aufgabe 34 Eine Abteilung benötigt 62 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht? Antwort anzeigen Antwort: /26 Begründung: /26 bietet genau 62 nutzbare Hostadressen. Aufgabe 35 Eine Abteilung benötigt 63 nutzbare IP-Adressen. Welche kleinste Netzgröße reicht? Antwort anzeigen Prüfung: /26 = 62 nutzbare Hosts /25 = 126 nutzbare Hosts Antwort: /25 Merksatz: 63 passt nicht mehr in /26. Aufgabe 36 Warum wird bei der Hostanzahl meistens minus 2 gerechnet? Antwort anzeigen In normalen IPv4-Subnetzen sind zwei Adressen reserviert: Netzadresse Broadcastadresse Deshalb gilt: nutzbare Hosts = Gesamtadressen minus 2 Beispiel /26: 64 Gesamtadressen 64 - 2 = 62 nutzbare Hosts Aufgabe 37 Welche Subnetzmaske gehört zu /27? Antwort anzeigen Zu /27 gehört: 255.255.255.224 Begründung: Im letzten Oktett sind 3 zusätzliche Netzbits gesetzt: 11100000 = 224 Aufgabe 38 Welche Subnetzmaske gehört zu /28? Antwort anzeigen Zu /28 gehört: 255.255.255.240 Begründung: Im letzten Oktett sind 4 zusätzliche Netzbits gesetzt: 11110000 = 240 Aufgabe 39 Welche Subnetzmaske gehört zu /29? Antwort anzeigen Zu /29 gehört: 255.255.255.248 Begründung: Im letzten Oktett sind 5 zusätzliche Netzbits gesetzt: 11111000 = 248 Aufgabe 40 Welche Subnetzmaske gehört zu /30? Antwort anzeigen Zu /30 gehört: 255.255.255.252 Begründung: Im letzten Oktett sind 6 zusätzliche Netzbits gesetzt: 11111100 = 252 Mini-Prüfung: Präfixe Präfix Maske nutzbare Hosts /24 255.255.255.0 254 /25 255.255.255.128 126 /26 255.255.255.192 62 /27 255.255.255.224 30 /28 255.255.255.240 14 /29 255.255.255.248 6 /30 255.255.255.252 2 Mini-Prüfung: Blockgrößen Präfix Blockgröße im letzten Oktett /25 128 /26 64 /27 32 /28 16 /29 8 /30 4 Merksatz: Blockgröße = 256 minus interessanter Maskenwert. Typische Subnetting-Fallen Falle Richtige Denkweise Netzadresse als Host verwenden erste Adresse ist reserviert Broadcastadresse als Host verwenden letzte Adresse ist reserviert /27 größer als /24 denken größerer Präfix bedeutet kleineres Netz Hostanzahl ohne minus 2 Netz- und Broadcastadresse abziehen VLAN mit Subnetz gleichsetzen VLAN Layer 2, Subnetz Layer 3 Gateway außerhalb des Subnetzes Gateway muss lokal erreichbar sein falsche Blockgröße 256 minus Maskenwert rechnen IP nur grob ansehen immer Subnetzbereich bestimmen IHK-sichere Kurzformulierung Beim Subnetting wird eine IPv4-Adresse mit einer Subnetzmaske oder einem Präfix in Netzanteil und Hostanteil aufgeteilt. Der Präfix gibt an, wie viele Bits zum Netzanteil gehören. Die Hostbits ergeben sich aus 32 minus Präfix. Die Anzahl der nutzbaren Hosts beträgt 2 hoch Hostbits minus 2, weil Netzadresse und Broadcastadresse nicht als normale Hostadressen verwendet werden. Die Netzadresse ist die erste Adresse im Subnetz, die Broadcastadresse die letzte Adresse. Um den richtigen Adressbereich zu finden, wird die Blockgröße bestimmt und geprüft, in welchem Bereich die gegebene IP-Adresse liegt. Merksätze Präfix = Netzbits. Hostbits = 32 minus Präfix. Nutzbare Hosts = 2 hoch Hostbits minus 2. Netzadresse = erste Adresse. Broadcastadresse = letzte Adresse. Erste nutzbare Adresse = Netzadresse plus 1. Letzte nutzbare Adresse = Broadcastadresse minus 1. Größerer Präfix bedeutet kleineres Netz. Kleinerer Präfix bedeutet größeres Netz. /24 hat 254 Hosts. /25 hat 126 Hosts. /26 hat 62 Hosts. /27 hat 30 Hosts. /28 hat 14 Hosts. /29 hat 6 Hosts. /30 hat 2 Hosts. /25 springt in 128er-Schritten. /26 springt in 64er-Schritten. /27 springt in 32er-Schritten. /28 springt in 16er-Schritten. /29 springt in 8er-Schritten. /30 springt in 4er-Schritten. Gateway muss im lokalen Subnetz liegen. VLAN ist nicht Subnetz. Subnetting wird sicher durch Wiederholung. 20.17 Spezialtrainer – Standardports und Dienste Dieser Spezialtrainer ist eine zusätzliche Übungsseite. Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen. Diese Seite dient nur als vertiefender Trainer für Standardports, Dienste, TCP, UDP und typische Port-Fehlerbilder. Ziel ist, Portnummern nicht nur auswendig zu lernen, sondern in Prüfungsaufgaben richtig anzuwenden. Merksatz: IP findet den Host. Port findet den Dienst. Protokoll sagt, ob TCP oder UDP gemeint ist. Lernziele Nach dieser Seite solltest du sicher können: - wichtige Standardports nennen - TCP und UDP bei Ports unterscheiden - typische Dienste zuordnen - Firewall-Regeln genauer formulieren - Port-Fehlerbilder erkennen - erklären, warum ping keinen Porttest ersetzt - unsichere Dienste erkennen - sichere Alternativen nennen Kurzüberblick: wichtigste Ports Dienst Protokoll und Port Zweck FTP TCP 21 Dateiübertragung, unverschlüsselt SSH TCP 22 sichere Fernadministration SFTP TCP 22 Dateiübertragung über SSH SMTP TCP 25 E-Mail-Übertragung DNS UDP/TCP 53 Namensauflösung DHCP Server UDP 67 DHCP-Server DHCP Client UDP 68 DHCP-Client HTTP TCP 80 Web unverschlüsselt POP3 TCP 110 E-Mail-Abruf NTP UDP 123 Zeitsynchronisation IMAP TCP 143 E-Mail-Abruf und Synchronisation SNMP UDP 161 Netzwerkmanagement HTTPS TCP 443 Web verschlüsselt SMB TCP 445 Datei- und Druckfreigaben SMTPS TCP 465 SMTP über TLS IMAPS TCP 993 IMAP über TLS POP3S TCP 995 POP3 über TLS RDP TCP 3389 Remote Desktop Merksatz: Portnummer immer zusammen mit TCP oder UDP lernen. Aufgabe 1 Welchen Port nutzt SSH typischerweise? Antwort anzeigen SSH nutzt typischerweise: TCP 22 SSH steht für: Secure Shell Nutzung: sichere Fernadministration verschlüsselte Kommandozeile SFTP Merksatz: SSH = TCP 22. Aufgabe 2 Welchen Port nutzt HTTPS typischerweise? Antwort anzeigen HTTPS nutzt typischerweise: TCP 443 HTTPS bedeutet: HTTP über TLS Nutzung: verschlüsselte Webkommunikation Merksatz: HTTPS = TCP 443. Aufgabe 3 Welchen Port nutzt HTTP typischerweise? Antwort anzeigen HTTP nutzt typischerweise: TCP 80 Wichtig: HTTP ist unverschlüsselt. Besser für sensible Daten: HTTPS über TCP 443 Merksatz: HTTP = TCP 80. HTTPS = TCP 443. Aufgabe 4 Welchen Port nutzt DNS? Antwort anzeigen DNS nutzt: UDP 53 und bei Bedarf auch: TCP 53 Typisch: normale DNS-Abfragen häufig UDP 53 größere Antworten, Zonentransfers oder bestimmte Fälle TCP 53 Merksatz: DNS = UDP/TCP 53. Aufgabe 5 Welche Ports nutzt DHCP? Antwort anzeigen DHCP nutzt: UDP 67 für den DHCP-Server UDP 68 für den DHCP-Client Merksatz: DHCP = UDP 67 und UDP 68. Aufgabe 6 Welchen Port nutzt SMB typischerweise? Antwort anzeigen SMB nutzt typischerweise: TCP 445 Nutzung: Datei- und Druckfreigaben Netzlaufwerke Windows-Freigaben Merksatz: SMB = TCP 445. Aufgabe 7 Welchen Port nutzt RDP typischerweise? Antwort anzeigen RDP nutzt typischerweise: TCP 3389 RDP steht für: Remote Desktop Protocol Merksatz: RDP = TCP 3389. Aufgabe 8 Welchen Port nutzt NTP? Antwort anzeigen NTP nutzt typischerweise: UDP 123 NTP steht für: Network Time Protocol Aufgabe: Zeitsynchronisation Merksatz: NTP = UDP 123. Aufgabe 9 Welchen Port nutzt SNMP? Antwort anzeigen SNMP nutzt typischerweise: UDP 161 SNMP steht für: Simple Network Management Protocol Aufgabe: Netzwerkgeräte überwachen und verwalten Merksatz: SNMP = UDP 161. Aufgabe 10 Ordne die Webports zu. Dienst Protokoll und Port HTTP ? HTTPS ? Antwort anzeigen Dienst Protokoll und Port HTTP TCP 80 HTTPS TCP 443 Merksatz: HTTP unverschlüsselt. HTTPS verschlüsselt mit TLS. Aufgabe 11 Ordne die E-Mail-Protokolle zu. Dienst Protokoll und Port SMTP ? POP3 ? IMAP ? SMTPS ? POP3S ? IMAPS ? Antwort anzeigen Dienst Protokoll und Port SMTP TCP 25 POP3 TCP 110 IMAP TCP 143 SMTPS TCP 465 POP3S TCP 995 IMAPS TCP 993 Merksatz: SMTP sendet. POP3 und IMAP empfangen. S am Ende bedeutet verschlüsselte Variante. Aufgabe 12 Was macht SMTP? Antwort anzeigen SMTP steht für: Simple Mail Transfer Protocol Aufgabe: E-Mails senden und zwischen Mailservern übertragen. Typischer Port: TCP 25 Merksatz: SMTP sendet E-Mails. Aufgabe 13 Was macht POP3? Antwort anzeigen POP3 steht für: Post Office Protocol Version 3 Aufgabe: E-Mails vom Server abrufen. Typischer Port: TCP 110 Verschlüsselte Variante: POP3S über TCP 995 Merksatz: POP3 ruft E-Mails ab. Aufgabe 14 Was macht IMAP? Antwort anzeigen IMAP steht für: Internet Message Access Protocol Aufgabe: E-Mails auf dem Server abrufen und synchron verwalten. Typischer Port: TCP 143 Verschlüsselte Variante: IMAPS über TCP 993 Merksatz: IMAP synchronisiert E-Mails. Aufgabe 15 Was ist der Unterschied zwischen POP3 und IMAP? Antwort anzeigen POP3: einfacher E-Mail-Abruf traditionell eher Herunterladen vom Server IMAP: serverseitige Verwaltung Synchronisation über mehrere Geräte Ordnerstruktur bleibt serverseitig erhalten Merksatz: POP3 ruft ab. IMAP synchronisiert. Aufgabe 16 Ordne Dateiübertragungsprotokolle zu. Dienst Protokoll und Port Sicherheit FTP ? ? SFTP ? ? FTPS ? ? Antwort anzeigen Dienst Protokoll und Port Sicherheit FTP TCP 21 unverschlüsselt SFTP TCP 22 über SSH verschlüsselt FTPS TCP 21 oder weitere Ports je nach Modus FTP mit TLS Merksatz: FTP ist unverschlüsselt. SFTP nutzt SSH. FTPS ist FTP mit TLS. Aufgabe 17 Warum ist FTP unsicher? Antwort anzeigen FTP ist unsicher, weil es klassisch unverschlüsselt überträgt. Risiken: Zugangsdaten können mitgelesen werden Daten können mitgelesen werden Man-in-the-Middle möglich Bessere Alternativen: SFTP FTPS HTTPS-basierter Upload Merksatz: FTP nicht für sensible Daten verwenden. Aufgabe 18 Was ist der Unterschied zwischen SFTP und FTPS? Antwort anzeigen SFTP: Dateiübertragung über SSH typischerweise TCP 22 FTPS: FTP mit TLS-Verschlüsselung basiert auf FTP Wichtig: SFTP und FTPS sind nicht dasselbe. Merksatz: SFTP = SSH. FTPS = FTP mit TLS. Aufgabe 19 Warum ist „Port 53 freigeben“ ungenau? Antwort anzeigen Die Angabe ist ungenau, weil nicht klar ist, ob TCP 53, UDP 53 oder beides gemeint ist. Bei Firewall-Regeln müssen angegeben werden: Quelle Ziel Protokoll Port Aktion Merksatz: Portnummer ohne TCP oder UDP ist unvollständig. Aufgabe 20 Warum ist „Port 443 erlauben“ in einer Firewall-Regel noch nicht vollständig? Antwort anzeigen Es fehlen wichtige Angaben: Quelle Ziel Protokoll Richtung Aktion Zweck Besser: Quelle: Internet Ziel: Webserver-DMZ Protokoll: TCP Port: 443 Aktion: erlauben Zweck: HTTPS-Zugriff Merksatz: Firewall-Regeln brauchen mehr als nur eine Portnummer. Aufgabe 21 Was bedeutet LISTEN bei einem TCP-Port? Antwort anzeigen LISTEN bedeutet: Ein Dienst wartet auf eingehende Verbindungen. Beispiel: Webserver lauscht auf TCP 443. Merksatz: LISTEN = Dienst wartet auf Verbindung. Aufgabe 22 Was bedeutet ESTABLISHED bei TCP? Antwort anzeigen ESTABLISHED bedeutet: Eine TCP-Verbindung besteht aktiv. Beispiel: Client hat eine HTTPS-Verbindung zum Server aufgebaut. Merksatz: ESTABLISHED = Verbindung besteht. Aufgabe 23 Was bedeutet SYN_SENT? Antwort anzeigen SYN_SENT bedeutet: Der Client hat einen TCP-Verbindungsaufbau gestartet und wartet auf Antwort. Wenn es hängen bleibt, sind möglich: Ziel nicht erreichbar Port blockiert Dienst antwortet nicht Firewall blockiert Routingproblem Merksatz: SYN_SENT zeigt: Anfrage raus, Antwort fehlt. Aufgabe 24 Was bedeutet TIME_WAIT? Antwort anzeigen TIME_WAIT ist ein TCP-Zustand nach dem Schließen einer Verbindung. Er sorgt dafür, dass verspätete Pakete einer alten Verbindung nicht mit neuen Verbindungen verwechselt werden. Merksatz: TIME_WAIT nach Verbindungsende ist normal. Aufgabe 25 Ein Server ist per ping erreichbar, aber TCP 22 ist nicht erreichbar. Was ist wahrscheinlich? Antwort anzeigen Ping prüft ICMP. TCP 22 ist SSH. Mögliche Ursachen: SSH-Dienst läuft nicht SSH lauscht auf anderem Port lokale Firewall blockiert Netzwerkfirewall blockiert Zugriff nur aus bestimmten Netzen erlaubt Dienst lauscht nur auf localhost Merksatz: Host erreichbar heißt nicht: Dienst erreichbar. Aufgabe 26 Ein Webserver ist intern auf TCP 443 erreichbar, aber nicht von außen. Was sollte geprüft werden? Antwort anzeigen Prüfen: öffentliche IP DNS Portweiterleitung Router-Firewall lokale Firewall Dienststatus doppeltes NAT CGNAT Provider blockiert Port Merksatz: Intern ja, extern nein: NAT, Firewall, DNS und öffentliche IP prüfen. Aufgabe 27 Ein Dienst läuft, lauscht aber nur auf 127.0.0.1. Was bedeutet das? Antwort anzeigen 127.0.0.1 ist localhost. Wenn ein Dienst nur auf 127.0.0.1 lauscht, ist er nur lokal auf dem Server erreichbar. Andere Geräte können ihn nicht direkt erreichen. Prüfen: Bind-Adresse Dienstkonfiguration Firewall Merksatz: 127.0.0.1 = nur lokal. Aufgabe 28 Ein Dienst lauscht auf 0.0.0.0. Was bedeutet das? Antwort anzeigen 0.0.0.0 bedeutet bei einem lauschenden Dienst: Der Dienst lauscht auf allen IPv4-Schnittstellen des Systems. Wichtig: Ob der Dienst erreichbar ist, hängt zusätzlich von Firewall, Routing, NAT und Berechtigungen ab. Merksatz: 0.0.0.0 = alle IPv4-Interfaces. Aufgabe 29 Warum ersetzt ping keinen Porttest? Antwort anzeigen ping prüft ICMP-Erreichbarkeit. ping prüft nicht: TCP-Port UDP-Port Dienststatus Anwendung Anmeldung Berechtigungen Beispiel: Ein Server kann auf ping antworten, obwohl TCP 443 blockiert ist. Merksatz: ping prüft den Host, nicht den Dienst. Aufgabe 30 Welche Werkzeuge oder Methoden eignen sich zur Portprüfung? Antwort anzeigen Mögliche Prüfungen: Dienststatus prüfen Firewall-Logs prüfen Porttest vom Client aus ss oder netstat auf dem Server curl für HTTP/HTTPS Verbindungsprüfung mit geeigneten Tools Logs des Dienstes prüfen Wichtig: Immer TCP oder UDP beachten. Merksatz: Portprüfung braucht Richtung, Ziel, Protokoll und Dienststatus. Aufgabe 31 Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute Force Credential Stuffing Exploits unberechtigter Fernzugriff Besser: VPN RDP-Gateway MFA Zugriff nur von bekannten Quellnetzen Logging Merksatz: RDP nicht offen ins Internet stellen. Aufgabe 32 Warum sollte SMB nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen SMB ist für Datei- und Druckfreigaben gedacht und sollte nicht öffentlich erreichbar sein. Risiken: Datenabfluss Malware-Ausbreitung Brute Force Ausnutzung von Schwachstellen Zugriff auf interne Freigaben Merksatz: SMB gehört nicht offen ins Internet. Aufgabe 33 Warum sollte Telnet nicht verwendet werden? Antwort anzeigen Telnet überträgt unverschlüsselt. Risiken: Zugangsdaten können mitgelesen werden Sitzungen können mitgelesen werden Man-in-the-Middle-Angriffe möglich Sichere Alternative: SSH Merksatz: Telnet unsicher, SSH sicherer. Aufgabe 34 Ordne sichere und unsichere Varianten zu. Unsicherer Dienst Sicherere Alternative Telnet ? FTP ? HTTP ? POP3 ? IMAP ? Antwort anzeigen Unsicherer Dienst Sicherere Alternative Telnet SSH FTP SFTP oder FTPS HTTP HTTPS POP3 POP3S IMAP IMAPS Merksatz: Unverschlüsselte Dienste vermeiden, wenn sensible Daten übertragen werden. Aufgabe 35 Welcher Port passt zu welchem Dienst? Port Dienst 22 ? 53 ? 67/68 ? 80 ? 123 ? 443 ? 445 ? 3389 ? Antwort anzeigen Port Dienst 22 SSH / SFTP 53 DNS 67/68 DHCP 80 HTTP 123 NTP 443 HTTPS 445 SMB 3389 RDP Aufgabe 36 Welcher Dienst passt zu welchem Port? Dienst Port SSH ? DNS ? DHCP ? HTTP ? HTTPS ? SMB ? RDP ? NTP ? Antwort anzeigen Dienst Port SSH TCP 22 DNS UDP/TCP 53 DHCP UDP 67/68 HTTP TCP 80 HTTPS TCP 443 SMB TCP 445 RDP TCP 3389 NTP UDP 123 Aufgabe 37 Ein DNS-Server ist nicht erreichbar. Welche Firewall-Regel könnte fehlen? Antwort anzeigen Möglicherweise fehlt: UDP 53 und je nach Fall auch: TCP 53 Saubere Regel: Quelle: Clientnetz Ziel: DNS-Server Protokoll: UDP und TCP Port: 53 Aktion: erlauben Merksatz: DNS braucht meistens UDP 53, TCP 53 mitdenken. Aufgabe 38 Ein Client erhält keine DHCP-Adresse. Welche Ports sind relevant? Antwort anzeigen Relevant sind: UDP 67 UDP 68 Zusätzlich prüfen: DHCP-Server VLAN DHCP-Relay DHCP-Scope Firewall-Regeln Merksatz: DHCP = UDP 67 und 68. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Ein Server ist pingbar, aber die Webseite funktioniert nicht. Was prüfen Sie? Antwort A: Der Server ist erreichbar, also ist alles gut. Antwort B: ping prüft nur ICMP. Für die Webseite müssen TCP 80 oder TCP 443, Webdienst, Firewall, TLS und Anwendung geprüft werden. Antwort anzeigen B ist besser. Begründung: Die Antwort unterscheidet Host-Erreichbarkeit und Dienst-Erreichbarkeit. Merksatz: ping ist kein Diensttest. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Warum ist eine Firewall-Regel mit „Port 443 erlauben“ unvollständig? Antwort A: Weil man noch mehr schreiben kann. Antwort B: Für eine saubere Firewall-Regel fehlen Quelle, Ziel, Protokoll, Richtung, Aktion und Zweck. Außerdem muss TCP 443 genannt werden, weil Portnummern ohne Transportprotokoll ungenau sind. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt fachlich, welche Angaben in einer Regel fehlen. Merksatz: Firewall-Regel vollständig formulieren. Mini-Prüfung: Ports auswendig Dienst Protokoll und Port FTP TCP 21 SSH TCP 22 SFTP TCP 22 SMTP TCP 25 DNS UDP/TCP 53 DHCP Server UDP 67 DHCP Client UDP 68 HTTP TCP 80 POP3 TCP 110 NTP UDP 123 IMAP TCP 143 SNMP UDP 161 HTTPS TCP 443 SMB TCP 445 SMTPS TCP 465 IMAPS TCP 993 POP3S TCP 995 RDP TCP 3389 Mini-Prüfung: Fehlerbilder Fehlerbild Wahrscheinlichstes Thema ping geht, SSH nicht TCP 22, SSH-Dienst, Firewall ping geht, HTTPS nicht TCP 443, Webdienst, Firewall, TLS DNS antwortet nicht UDP/TCP 53 DHCP funktioniert nicht UDP 67/68, DHCP, VLAN, Relay SMB-Freigabe nicht erreichbar TCP 445, Firewall, SMB-Dienst RDP geht nicht TCP 3389, RDP-Dienst, Firewall Dienst nur lokal erreichbar bindet nur an 127.0.0.1 Port offen, Login scheitert Authentifizierung Port offen, Zugriff verweigert Autorisierung SYN_SENT bleibt stehen Antwort fehlt, Firewall, Routing oder Dienst Typische Prüfungsfallen Falle Richtig denken Portnummer ohne TCP/UDP unvollständig ping ersetzt Porttest falsch DNS nur UDP meistens UDP, aber TCP mitdenken SFTP und FTPS gleichsetzen falsch HTTP und HTTPS gleichsetzen falsch RDP ins Internet öffnen Sicherheitsrisiko SMB ins Internet öffnen Sicherheitsrisiko Dienst läuft = Dienst erreichbar nicht automatisch 127.0.0.1 als Bind-Adresse übersehen nur lokal erreichbar Firewall-Regel ohne Quelle und Ziel unvollständig IHK-sichere Kurzformulierung Ports gehören zur OSI-Schicht 4 und werden von TCP oder UDP genutzt, um Daten dem richtigen Dienst oder Prozess zuzuordnen. Eine IP-Adresse identifiziert den Host, der Port den Dienst. Standardports sollten immer zusammen mit dem Transportprotokoll gelernt werden, zum Beispiel SSH TCP 22, DNS UDP/TCP 53, HTTP TCP 80, HTTPS TCP 443, SMB TCP 445 und RDP TCP 3389. ping prüft nur ICMP-Erreichbarkeit und ersetzt keinen Port- oder Diensttest. Für Firewall-Regeln reicht eine Portnummer allein nicht aus; benötigt werden Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. Merksätze IP findet den Host. Port findet den Dienst. Ports gehören zu Schicht 4. TCP und UDP unterscheiden. Portnummer ohne TCP oder UDP ist unvollständig. SSH = TCP 22. SFTP = TCP 22. DNS = UDP/TCP 53. DHCP = UDP 67 und 68. HTTP = TCP 80. HTTPS = TCP 443. SMB = TCP 445. RDP = TCP 3389. NTP = UDP 123. SMTP sendet E-Mails. IMAP synchronisiert E-Mails. POP3 ruft E-Mails ab. FTP ist unverschlüsselt. SFTP nutzt SSH. FTPS ist FTP mit TLS. Telnet vermeiden, SSH nutzen. HTTP vermeiden, HTTPS nutzen. ping ist kein Porttest. Host erreichbar heißt nicht: Dienst erreichbar. LISTEN heißt: Dienst wartet. ESTABLISHED heißt: Verbindung besteht. SYN_SENT heißt: Anfrage raus, Antwort fehlt. 127.0.0.1 heißt: nur lokal. 0.0.0.0 heißt: alle IPv4-Interfaces. RDP nicht offen ins Internet stellen. SMB nicht offen ins Internet stellen. Firewall-Regeln brauchen Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. 20.18 Spezialtrainer – Firewall-Regeln und Sicherheitszonen Dieser Spezialtrainer ist eine zusätzliche Übungsseite. Der allgemeine Netzwerktechnik-Trainer ist bereits abgeschlossen. Diese Seite dient nur als vertiefender Trainer für Firewall-Regeln, Sicherheitszonen, DMZ, VLAN-Trennung und typische Prüfungsformulierungen. Ziel ist, Firewall-Aufgaben sauber, vollständig und prüfungssicher zu beantworten. Merksatz: Eine Firewall-Regel ohne Quelle, Ziel, Protokoll, Port, Aktion und Zweck ist unvollständig. Lernziele Nach dieser Seite solltest du sicher können: - Firewall-Regeln vollständig formulieren - Quelle, Ziel, Port und Protokoll unterscheiden - Sicherheitszonen erklären - DMZ-Regeln bewerten - Any-to-Any-Regeln kritisch einordnen - Default Deny erklären - typische Fehlkonfigurationen erkennen - sichere Alternativen zu breiten Freigaben nennen Grundaufbau einer Firewall-Regel Eine saubere Firewall-Regel enthält mindestens: Bestandteil Bedeutung Quelle Von wo kommt der Verkehr? Ziel Wohin geht der Verkehr? Protokoll TCP, UDP, ICMP oder anderes Port Welcher Dienst ist gemeint? Richtung Eingehend oder ausgehend Aktion Erlauben oder blockieren Zweck Warum gibt es diese Regel? Merksatz: Quelle, Ziel, Protokoll, Port, Aktion, Zweck. Typische Sicherheitszonen Zone Bedeutung Internet unsicheres externes Netz DMZ Zone für öffentlich erreichbare Dienste internes Netz interne Clients und Systeme Servernetz interne Server Managementnetz Administration von Systemen Gastnetz Netz für Gäste oder fremde Geräte VPN-Netz Netz für entfernte Benutzer Backup-Netz Netz für Sicherungen und Wiederherstellung Merksatz: Zonen trennen Systeme nach Schutzbedarf. Aufgabe 1 Was ist eine Firewall? Antwort anzeigen Eine Firewall ist ein System, das Netzwerkverkehr anhand von Regeln erlaubt oder blockiert. Typische Kriterien: Quelle Ziel Protokoll Port Richtung Zone Benutzer Anwendung Verbindungszustand Merksatz: Firewall = kontrollierter Netzwerkverkehr. Aufgabe 2 Warum reicht die Regel „Port 443 erlauben“ nicht aus? Antwort anzeigen Die Regel ist unvollständig. Es fehlen: Quelle Ziel Protokoll Richtung Aktion Zweck Besser: Quelle: Internet Ziel: Webserver-DMZ Protokoll: TCP Port: 443 Aktion: erlauben Zweck: HTTPS-Zugriff auf Webserver Merksatz: Port allein ist keine vollständige Firewall-Regel. Aufgabe 3 Warum ist „Port 53 erlauben“ ungenau? Antwort anzeigen Es fehlt das Transportprotokoll. DNS nutzt: UDP 53 und bei Bedarf: TCP 53 Eine Regel für TCP 53 erlaubt nicht automatisch UDP 53. Merksatz: Portnummer immer mit TCP oder UDP nennen. Aufgabe 4 Was bedeutet Default Deny? Antwort anzeigen Default Deny bedeutet: Standardmäßig ist Verkehr blockiert. Nur ausdrücklich erlaubter Verkehr wird zugelassen. Vorteile: kleinere Angriffsfläche bessere Kontrolle weniger unbeabsichtigte Freigaben klare Sicherheitsstruktur Merksatz: Erst blockieren, dann gezielt erlauben. Aufgabe 5 Was ist eine Any-to-Any-Regel? Antwort anzeigen Any-to-Any bedeutet: jede Quelle zu jedem Ziel Meist zusätzlich: alle Ports alle Protokolle erlauben Das ist kritisch, weil sehr viel Verkehr ungeprüft zugelassen wird. Merksatz: Any-to-Any ist eine sehr breite Freigabe. Aufgabe 6 Warum ist Any-to-Any kritisch? Antwort anzeigen Risiken: große Angriffsfläche schlechte Nachvollziehbarkeit Sicherheitszonen werden umgangen unnötige Freigaben laterale Bewegung wird erleichtert Fehler schwerer erkennbar Besser: gezielte Regeln mit Quelle, Ziel, Port, Protokoll und Zweck. Merksatz: Je breiter die Regel, desto größer das Risiko. Aufgabe 7 Welche Regel ist besser? A: Quelle: internes Netz Ziel: any Port: any Aktion: erlauben B: Quelle: Clientnetz Ziel: DNS-Server Protokoll: UDP/TCP Port: 53 Aktion: erlauben Zweck: DNS-Auflösung Antwort anzeigen B ist besser. Begründung: Die Regel ist genauer. Sie erlaubt nur den benötigten DNS-Verkehr zum vorgesehenen DNS-Server. Regel A ist zu breit, weil sie jeden Verkehr zu jedem Ziel erlaubt. Merksatz: Genau erlauben, nicht pauschal freigeben. Aufgabe 8 Ein Webserver in der DMZ soll öffentlich per HTTPS erreichbar sein. Formuliere eine passende Regel. Antwort anzeigen Passende Regel: Quelle Ziel Protokoll Port Aktion Zweck Internet Webserver-DMZ TCP 443 erlauben HTTPS-Zugriff Wichtig: Keine pauschale Freigabe vom Internet ins interne Netz. Merksatz: Öffentlich nur den benötigten Dienst freigeben. Aufgabe 9 Ein Webserver in der DMZ braucht Zugriff auf eine interne Datenbank. Formuliere eine möglichst sichere Regel. Antwort anzeigen Beispielregel: Quelle Ziel Protokoll Port Aktion Zweck Webserver-DMZ interner Datenbankserver TCP 5432 erlauben Anwendung benötigt Datenbank Wichtig: Nur der konkrete Webserver darf auf den konkreten Datenbankserver zugreifen. Nur der benötigte Datenbankport wird erlaubt. Kein Any-to-Any zwischen DMZ und internem Netz. Merksatz: DMZ zu intern nur minimal und gezielt erlauben. Aufgabe 10 Warum sollte eine Datenbank nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen Eine Datenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel. Risiken: Brute Force Exploits Datenabfluss Manipulation DoS Besser: Zugriff nur vom Anwendungsserver privates Netz Firewall-Beschränkung starke Authentifizierung Logging Merksatz: Datenbankports gehören nicht offen ins Internet. Aufgabe 11 Ein Gastnetz soll eingerichtet werden. Welche Regeln sind sinnvoll? Antwort anzeigen Typische Regeln: Quelle Ziel Aktion Zweck Gastnetz Internet erlauben Internetzugriff für Gäste Gastnetz internes Netz blockieren interne Systeme schützen Gastnetz Servernetz blockieren Server schützen Gastnetz Managementnetz blockieren Administration schützen Merksatz: Gastnetz nur ins Internet, nicht ins interne Netz. Aufgabe 12 Ein Managementnetz soll geschützt werden. Welche Regeln sind sinnvoll? Antwort anzeigen Sinnvolle Regeln: Adminnetz zu Servern: benötigte Adminports erlauben Adminnetz zu Switches: SSH oder HTTPS erlauben Clientnetz zu Managementnetz: blockieren Gastnetz zu Managementnetz: blockieren Internet zu Managementnetz: blockieren Zusätzlich: MFA Logging getrennte Admin-Konten Least Privilege Merksatz: Managementzugänge besonders schützen. Aufgabe 13 Ein Clientnetz soll nur DNS zum internen DNS-Server nutzen dürfen. Formuliere die Regel. Antwort anzeigen Regel: Quelle Ziel Protokoll Port Aktion Zweck Clientnetz interner DNS-Server UDP/TCP 53 erlauben DNS-Auflösung Optional zusätzlich: Clientnetz zu externen DNS-Servern blockieren, wenn DNS zentral kontrolliert werden soll. Merksatz: DNS-Regeln brauchen UDP 53, TCP 53 mitdenken. Aufgabe 14 Ein Clientnetz soll per HTTPS ins Internet. Formuliere eine sinnvolle Regel. Antwort anzeigen Regel: Quelle Ziel Protokoll Port Aktion Zweck Clientnetz Internet TCP 443 erlauben HTTPS-Webzugriff Je nach Umgebung zusätzlich: HTTP TCP 80 erlauben oder blockieren Proxy verwenden Webfilter einsetzen Logging aktivieren Merksatz: Webzugriff gezielt und protokolliert erlauben. Aufgabe 15 Ein Clientnetz soll nicht direkt auf Server-Managementports zugreifen. Welche Regel ist sinnvoll? Antwort anzeigen Sinnvolle Block-Regel: Quelle Ziel Protokoll Port Aktion Zweck Clientnetz Servernetz TCP 22, 3389 blockieren direkte Administration verhindern Besser: Administration nur aus Adminnetz erlauben. Merksatz: Normale Clients sollen keine Adminports erreichen. Aufgabe 16 Warum sollte SSH nur aus dem Adminnetz erlaubt sein? Antwort anzeigen SSH ist ein Administrationszugang. Wenn SSH aus allen Netzen erreichbar ist, steigt das Risiko für: Brute Force Missbrauch gestohlener Zugangsdaten laterale Bewegung unautorisierte Administration Besser: Quelle auf Adminnetz beschränken MFA oder Schlüssel nutzen Logging aktivieren Merksatz: Adminzugänge nur aus Adminnetzen erlauben. Aufgabe 17 Warum sollte RDP nicht direkt aus dem Internet erreichbar sein? Antwort anzeigen RDP ist ein häufiges Angriffsziel. Risiken: Brute Force Credential Stuffing Exploits unberechtigter Zugriff Sicherer: VPN RDP-Gateway MFA Zugriff nur von bekannten Quellnetzen Logging Merksatz: RDP nicht offen ins Internet stellen. Aufgabe 18 Warum sollte SMB nicht zwischen allen Netzen erlaubt sein? Antwort anzeigen SMB ermöglicht Datei- und Druckfreigaben. Risiken bei breiter Freigabe: Datenabfluss Malware-Ausbreitung laterale Bewegung Zugriff auf interne Freigaben Ausnutzung von Schwachstellen Besser: SMB nur gezielt zwischen benötigten Systemen erlauben. Merksatz: SMB breit freigeben ist riskant. Aufgabe 19 Was bedeutet Regelreihenfolge bei Firewalls? Antwort anzeigen Viele Firewalls verarbeiten Regeln von oben nach unten. Die erste passende Regel entscheidet. Problem: Eine breite Erlauben-Regel kann spätere Block-Regeln wirkungslos machen. Oder: Eine frühe Block-Regel kann spätere Erlauben-Regeln überdecken. Merksatz: Firewall-Regeln auch in der richtigen Reihenfolge prüfen. Aufgabe 20 Eine Erlauben-Regel existiert, aber der Zugriff funktioniert nicht. Was sollte geprüft werden? Antwort anzeigen Prüfen: Regelreihenfolge Quelle korrekt? Ziel korrekt? Protokoll korrekt? Port korrekt? Richtung korrekt? Zone korrekt? NAT-Regel nötig? Rückverkehr erlaubt oder stateful? lokale Firewall auf Zielsystem Dienst läuft? Logs prüfen Merksatz: Eine Regel allein beweist noch nicht, dass der Zugriff funktioniert. Aufgabe 21 Was ist eine Stateful Firewall? Antwort anzeigen Eine Stateful Firewall merkt sich den Zustand von Verbindungen. Wenn ein Client eine Verbindung nach außen startet, kann die Firewall passende Antwortpakete automatisch erlauben. Vorteil: Rückverkehr muss nicht immer manuell als eigene Regel definiert werden. Merksatz: Stateful Firewall kennt Verbindungszustände. Aufgabe 22 Was ist eine Stateless Firewall? Antwort anzeigen Eine Stateless Firewall prüft Pakete einzeln. Sie merkt sich keinen Verbindungszustand. Folge: Regeln für Hin- und Rückrichtung müssen genauer berücksichtigt werden. Merksatz: Stateless Firewall kennt keine Verbindungshistorie. Aufgabe 23 Was ist der Unterschied zwischen Firewall und ACL? Antwort anzeigen ACL steht für: Access Control List Eine ACL ist eine Liste von Regeln, die Zugriff erlaubt oder blockiert. Eine Firewall kann ACL-ähnliche Regeln nutzen, bietet aber je nach System weitere Funktionen: Zustandsprüfung Logging NAT Anwendungskontrolle Benutzerbezug IDS/IPS-Funktionen Merksatz: ACL ist Regelliste. Firewall ist oft umfassenderes Schutzsystem. Aufgabe 24 Was ist eine Security Group in der Cloud? Antwort anzeigen Eine Security Group ist eine ressourcennahe Zugriffskontrolle in Cloud-Umgebungen. Sie steuert typischerweise: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group ist wie eine Cloud-nahe Firewall-Regelgruppe. Aufgabe 25 Eine Cloud-VM ist nicht per SSH erreichbar. Was sollte geprüft werden? Antwort anzeigen Prüfen: Security Group erlaubt TCP 22? Quelle korrekt eingeschränkt? VM hat richtige IP? Route ins Subnetz korrekt? Network ACL korrekt? lokale Firewall der VM? SSH-Dienst läuft? SSH lauscht auf TCP 22? Benutzer oder Schlüssel korrekt? Merksatz: Cloud-Zugriff braucht Security Group, Route, lokale Firewall und Dienst. Aufgabe 26 Eine Webanwendung in der Cloud soll öffentlich erreichbar sein, die Datenbank aber nicht. Welche Grundidee ist richtig? Antwort anzeigen Richtig: Webserver oder Load Balancer öffentlich erreichbar machen. Datenbank in privatem Subnetz betreiben. Zugriff auf Datenbank nur vom Anwendungsserver erlauben. Security Group der Datenbank eng einschränken. Merksatz: Web nach außen, Datenbank privat. Aufgabe 27 Ein VPN-Benutzer soll nur einen Server erreichen dürfen. Welche Regel ist sinnvoll? Antwort anzeigen Beispielregel: Quelle Ziel Protokoll Port Aktion Zweck VPN-Benutzergruppe Dienstleister Zielserver TCP 22 erlauben Wartung durch Dienstleister Zusätzlich blockieren: VPN-Dienstleister zu restlichem internen Netz Merksatz: VPN-Zugriff nach Least Privilege begrenzen. Aufgabe 28 Warum ist „VPN-Benutzer dürfen alles im internen Netz“ kritisch? Antwort anzeigen Risiken: kompromittierte VPN-Zugangsdaten führen zu großem Schaden laterale Bewegung im Netz möglich Dienstleister sehen zu viele Systeme Angriffe können sich leichter ausbreiten Besser: Zugriff nach Gruppen nur benötigte Zielsysteme nur benötigte Ports Logging MFA Merksatz: VPN ist ein Eingang ins Netz, kein Freifahrtschein. Aufgabe 29 Ein Backup-Server soll besonders geschützt werden. Welche Regeln sind sinnvoll? Antwort anzeigen Sinnvolle Grundidee: Nur Backup-Clients oder Backup-Agenten dürfen zum Backup-Server kommunizieren. Normale Benutzer dürfen nicht direkt auf Backup-Speicher zugreifen. Administration nur aus Adminnetz. Löschrechte stark begrenzen. Backup-Logs und Monitoring erlauben. Beispiel: Quelle Ziel Aktion Zweck Backup-Clients Backup-Server erlauben Sicherung durchführen Clientnetz Backup-Speicher blockieren Schutz vor Manipulation Adminnetz Backup-Server erlauben Administration Internet Backup-Server blockieren Schutz vor Angriffen Merksatz: Backups brauchen besonders strenge Zugriffskontrolle. Aufgabe 30 Warum ist eine Firewall-Regel ohne Zweck problematisch? Antwort anzeigen Ohne Zweck ist später unklar: warum die Regel existiert ob sie noch benötigt wird wer verantwortlich ist ob sie entfernt werden kann welches Risiko sie abdeckt Folge: Regelwerke werden unübersichtlich und unsichere Altregeln bleiben bestehen. Merksatz: Jede Firewall-Regel braucht eine Begründung. Aufgabe 31 Was ist eine Regelwerksprüfung? Antwort anzeigen Eine Regelwerksprüfung kontrolliert bestehende Firewall-Regeln. Geprüft wird: Ist die Regel noch nötig? Ist Quelle und Ziel genau genug? Ist der Port korrekt? Ist Any-to-Any vorhanden? Gibt es doppelte Regeln? Gibt es ungenutzte Regeln? Ist der Zweck dokumentiert? Gibt es Ablaufdaten für temporäre Regeln? Merksatz: Firewall-Regeln müssen regelmäßig aufgeräumt werden. Aufgabe 32 Was ist eine temporäre Firewall-Regel? Antwort anzeigen Eine temporäre Regel ist nur für begrenzte Zeit gedacht. Beispiele: Wartung Migration Test Fehleranalyse Wichtig: Ablaufdatum dokumentieren Verantwortlichen nennen nach Nutzung entfernen Merksatz: Temporäre Regeln dürfen nicht dauerhaft vergessen werden. Aufgabe 33 Was ist Logging bei Firewall-Regeln? Antwort anzeigen Logging bedeutet: Erlaubter oder blockierter Verkehr wird protokolliert. Nutzen: Fehlersuche Sicherheitsanalyse Nachvollziehbarkeit Erkennen von Angriffen Regelwerksprüfung Merksatz: Firewall-Logs zeigen, was wirklich passiert. Aufgabe 34 Ein Zugriff funktioniert nicht. Im Firewall-Log steht „Deny TCP 443“. Was bedeutet das? Antwort anzeigen Bedeutung: Verkehr zu TCP 443 wurde blockiert. Prüfen: Ist der Zugriff gewollt? Quelle korrekt? Ziel korrekt? Regel fehlt? Regelreihenfolge falsch? falsche Zone? falscher Port? Merksatz: Deny im Log ist ein konkreter Hinweis, keine Vermutung. Aufgabe 35 Ein Zugriff soll blockiert sein, aber er funktioniert trotzdem. Was sollte geprüft werden? Antwort anzeigen Prüfen: Gibt es eine frühere Allow-Regel? Regelreihenfolge korrekt? falsche Quelle oder falsches Ziel? falsche Zone? anderer Port oder anderes Protokoll? NAT verändert Ziel oder Quelle? Verbindung bereits bestehend bei Stateful Firewall? Logs prüfen Merksatz: Wenn Block nicht wirkt, Regelreihenfolge und Matching prüfen. Aufgabe 36 Welche Antwort ist besser? Aufgabe: Warum ist eine Any-to-Any-Regel unsicher? Antwort A: Weil sie zu offen ist. Antwort B: Eine Any-to-Any-Regel erlaubt Verkehr von jeder Quelle zu jedem Ziel. Dadurch werden Sicherheitszonen umgangen, die Angriffsfläche wird stark vergrößert und laterale Bewegung im Netzwerk wird erleichtert. Besser sind gezielte Regeln mit Quelle, Ziel, Protokoll, Port und Zweck. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt Risiko, Wirkung und bessere Maßnahme. Merksatz: Sicherheitsbewertung braucht Begründung. Aufgabe 37 Welche Antwort ist besser? Aufgabe: Warum soll ein Gastnetz nicht auf interne Server zugreifen? Antwort A: Weil Gäste fremd sind. Antwort B: Geräte im Gastnetz sind nicht vertrauenswürdig. Zugriff auf interne Server würde das Risiko für Datenabfluss, Malware-Ausbreitung und unberechtigten Zugriff erhöhen. Deshalb sollte das Gastnetz nur ins Internet dürfen und vom internen Netz getrennt werden. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Risiken und eine passende Maßnahme. Merksatz: Risiko und Maßnahme verbinden. Aufgabe 38 Welche Antwort ist besser? Aufgabe: Eine Datenbank soll aus dem Internet erreichbar sein. Bewerten Sie das. Antwort A: Datenbank ist wichtig, also geht das. Antwort B: Das ist kritisch, weil eine öffentlich erreichbare Datenbank direkt Angriffen wie Brute Force, Exploits, Datenabfluss und Manipulation ausgesetzt ist. Besser ist, die Datenbank in einem privaten Netz zu betreiben und nur Zugriff vom Anwendungsserver auf den benötigten Port zu erlauben. Antwort anzeigen B ist besser. Begründung: Die Antwort bewertet fachlich und nennt eine sichere Alternative. Merksatz: Öffentlich erreichbare Datenbanken vermeiden. Aufgabe 39 Welche Antwort ist besser? Aufgabe: Warum sollten Firewall-Regeln dokumentiert werden? Antwort A: Damit man mehr Unterlagen hat. Antwort B: Dokumentation macht nachvollziehbar, warum eine Regel existiert, wer verantwortlich ist, welchen Zweck sie erfüllt und ob sie noch benötigt wird. Dadurch können unsichere oder veraltete Regeln später entfernt werden. Antwort anzeigen B ist besser. Begründung: Die Antwort erklärt den betrieblichen und sicherheitstechnischen Nutzen. Merksatz: Dokumentation hilft Sicherheit und Betrieb. Aufgabe 40 Welche Antwort ist besser? Aufgabe: Ein Dienst funktioniert nicht. Was prüfen Sie an der Firewall? Antwort A: Firewall an oder aus. Antwort B: Ich prüfe Quelle, Ziel, Protokoll, Port, Richtung, Zone, Regelreihenfolge und Firewall-Logs. Zusätzlich prüfe ich, ob NAT oder eine lokale Firewall auf dem Zielsystem beteiligt ist. Antwort anzeigen B ist besser. Begründung: Die Antwort nennt konkrete Prüfpunkte und ist damit prüfungssicher. Merksatz: Firewall prüfen heißt: Regel-Matching konkret prüfen. Mini-Prüfung: vollständige Regelangaben Fehlende Angabe Warum wichtig? Quelle bestimmt, wer senden darf Ziel bestimmt, wohin gesendet wird Protokoll TCP, UDP, ICMP unterscheiden Port Dienst genau bestimmen Richtung eingehend oder ausgehend Aktion erlauben oder blockieren Zweck spätere Nachvollziehbarkeit Zone Sicherheitsbereich erkennen Mini-Prüfung: sichere Grundregeln Situation Sichere Grundidee Webserver öffentlich nur TCP 443 zur DMZ erlauben Datenbank nicht öffentlich, nur Appserver erlauben Gastnetz Internet erlauben, intern blockieren Managementnetz nur Adminnetz darf zugreifen VPN-Dienstleister nur benötigte Ziele und Ports Backup-Server kein normaler Benutzerzugriff DNS Clientnetz zu DNS-Server UDP/TCP 53 RDP nicht direkt aus Internet SMB nicht breit zwischen allen Netzen temporäre Regel Ablaufdatum und Verantwortlichen dokumentieren Mini-Prüfung: typische Fehlerbilder Fehlerbild Wahrscheinliches Thema Zugriff trotz Block-Regel möglich Regelreihenfolge, falsches Matching Zugriff trotz Allow-Regel nicht möglich Regelreihenfolge, Zone, Port, NAT, lokale Firewall nur ein Port funktioniert nicht Firewall-Regel oder Dienst DMZ-Server erreicht internes Ziel nicht DMZ-zu-intern-Regel fehlt Gastnetz erreicht interne Server Zonentrennung fehlerhaft VPN-Benutzer sieht alles Least Privilege fehlt Datenbank aus Internet erreichbar kritische Fehlkonfiguration Backup-Speicher für Clients offen Ransomware-Risiko Firewall-Regel unbekannter Zweck Dokumentationsproblem Deny im Log Firewall blockiert konkret Typische Prüfungsfallen Falle Richtig denken Portnummer ohne TCP/UDP unvollständig Quelle und Ziel vergessen Regel nicht prüfungssicher Any-to-Any als einfache Lösung Sicherheitsrisiko DMZ mit internem Netz gleichsetzen falsch, DMZ ist getrennte Zone VLAN ersetzt Firewall falsch, VLAN trennt nur Layer 2 NAT ersetzt Firewall falsch, NAT übersetzt RDP direkt ins Internet hohes Risiko Datenbank öffentlich hohes Risiko Gastnetz darf intern zugreifen falsch temporäre Regel bleibt dauerhaft Regelwerksrisiko IHK-sichere Kurzformulierung Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Eine vollständige Regel enthält Quelle, Ziel, Protokoll, Port, Richtung, Aktion und Zweck. Nach dem Default-Deny-Prinzip wird Verkehr standardmäßig blockiert und nur gezielt erlaubt. Any-to-Any-Regeln sind kritisch, weil sie Verkehr von jeder Quelle zu jedem Ziel erlauben, Sicherheitszonen umgehen und die Angriffsfläche erhöhen. Öffentlich erreichbare Dienste sollten in einer DMZ betrieben werden. Zugriffe aus der DMZ ins interne Netz müssen minimal und zweckgebunden erlaubt werden. Management-, Gast-, VPN- und Backup-Netze benötigen besonders klare Zugriffsbeschränkungen. Firewall-Logs, Regelreihenfolge und Dokumentation sind wichtig für Fehlersuche und Sicherheit. Merksätze Firewall filtert Verkehr. NAT übersetzt Adressen. VLAN trennt Layer 2. Firewall kontrolliert Verkehr zwischen Zonen. Default Deny ist sicherer als Default Allow. Erst blockieren, dann gezielt erlauben. Any-to-Any ist kritisch. Jede Regel braucht Quelle. Jede Regel braucht Ziel. Jede Regel braucht Protokoll. Jede Regel braucht Port. Jede Regel braucht Aktion. Jede Regel braucht Zweck. Portnummer ohne TCP oder UDP ist unvollständig. DMZ trennt öffentliche Dienste vom internen Netz. DMZ zu intern nur minimal erlauben. Gastnetz nicht ins interne Netz lassen. Managementnetz besonders schützen. VPN-Zugriff nach Least Privilege. Backup-Systeme besonders schützen. RDP nicht direkt ins Internet. SMB nicht breit freigeben. Datenbanken nicht öffentlich erreichbar machen. Regelreihenfolge beachten. Firewall-Logs auswerten. Temporäre Regeln mit Ablaufdatum dokumentieren. Unbenutzte Regeln entfernen. Gute Firewall-Antwort: Risiko, Regel, Wirkung. 21. INTERAKTIVER TRAINER – Netzwerktechnik Interaktive Übungen und Rechner zur Netzwerktechnik – passend für IHK-Vorbereitung, Wiederholung und praktisches Verständnis. 21.1 Trainer – Datenübertragung und Bandbreite Trainer im Vollbild öffnen 21.2 Trainer – Routing, Subnetting und Fehlersuche Trainer im Vollbild öffnen 21.2 Trainer – Routing, Subnetting und Fehlersuche Trainer im Vollbild öffnen