# 12.5 Typische Netzwerkfehler und ihre Ursachen Netzwerkfehler können auf vielen verschiedenen Schichten entstehen. Ein sichtbares Problem ist oft nur ein Symptom. Beispiel: Webseite öffnet nicht. Das kann viele Ursachen haben: - DNS falsch - Server nicht erreichbar - Port blockiert - Zertifikat ungültig - Webserver down - Reverse Proxy falsch - Benutzer nicht berechtigt Merksatz: Ein Fehlerbild zeigt nur das Symptom, nicht automatisch die Ursache. --- **Warum Fehlerbilder wichtig sind** Fehlerbilder helfen, die Suche einzugrenzen. Man fragt: Was genau funktioniert nicht? Was funktioniert noch? Wer ist betroffen? Seit wann? Wurde etwas geändert? Ist der Fehler dauerhaft oder sporadisch? Gibt es eine Fehlermeldung? Je genauer das Fehlerbild, desto schneller findet man die Ursache. Merksatz: Gute Fehlerbeschreibung ist der erste Diagnoseschritt. --- **Fehlerbild: Kein Netzwerklink** Typische Anzeichen: - keine Link-LED - Netzwerkadapter zeigt getrennt - Switchport down - keine Verbindung über Kabel - keine Pakete sichtbar - kein DHCP Discover Mögliche Ursachen: - Kabel defekt - Kabel nicht richtig gesteckt - falscher Port - Switchport deaktiviert - Netzwerkkarte deaktiviert - SFP-Modul defekt - falsches Glasfasermodul - Stromversorgung fehlt Wahrscheinliche Schicht: Schicht 1 Merksatz: Kein Link ist meistens ein physisches Problem. --- **Fehlerbild: Link vorhanden, aber keine IP-Adresse** Typische Anzeichen: - Netzwerk verbunden - aber keine gültige IP-Adresse - Windows zeigt 169.254.x.x - DHCP schlägt fehl - keine Verbindung zum Gateway - Client meldet eingeschränkte Konnektivität Mögliche Ursachen: - DHCP-Server nicht erreichbar - DHCP-Scope voll - DHCP-Relay fehlt - falsches VLAN - Firewall blockiert UDP 67/68 - Switchport falsch konfiguriert - Client im falschen Netz - DHCP-Dienst gestoppt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Schicht 7 wegen DHCP Merksatz: 169.254.x.x deutet häufig auf DHCP-Probleme hin. --- **Fehlerbild: Falsche IP-Adresse** Typische Anzeichen: - Client hat IP aus falschem Netz - Gateway passt nicht - DNS passt nicht - Zugriff auf interne Dienste funktioniert nicht - nur manche Dienste erreichbar Mögliche Ursachen: - falsches VLAN - falscher DHCP-Scope - Rogue-DHCP-Server - statische IP falsch gesetzt - falsches WLAN - falsche Netzwerkdose - DHCP-Reservierung falsch Wahrscheinliche Schichten: Schicht 2 Schicht 3 Schicht 7 wegen DHCP Merksatz: Falsche IP bedeutet oft: falsches Netz oder falsche DHCP-Konfiguration. --- **Fehlerbild: Gateway nicht erreichbar** Typische Anzeichen: - lokale IP vorhanden - andere Geräte im Netz eventuell erreichbar - Internet nicht erreichbar - Ping zum Gateway schlägt fehl - Routing funktioniert nicht Mögliche Ursachen: - falsches Gateway eingetragen - Gateway offline - VLAN falsch - falsche Netzmaske - ARP funktioniert nicht - Firewall blockiert ICMP - Switchport im falschen VLAN - IP-Konflikt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Merksatz: Ohne Gateway keine Kommunikation in andere Netze. --- **Fehlerbild: Lokales Netz funktioniert, Internet nicht** Typische Anzeichen: - interne Server erreichbar - Gateway erreichbar - externe Webseiten nicht erreichbar - DNS oder Routing auffällig - nur Internetzugriff betroffen Mögliche Ursachen: - Standardroute fehlt - Internetrouter down - Firewall blockiert WAN - DNS falsch - NAT funktioniert nicht - Providerstörung - Proxy falsch - VPN verändert Routing - öffentliche Verbindung gestört Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 7 Merksatz: Intern geht, extern nicht: Gateway, DNS, NAT und Provider prüfen. --- **Fehlerbild: IP funktioniert, Name nicht** Typische Anzeichen: - Zugriff per IP funktioniert - Zugriff per DNS-Name funktioniert nicht - Browser meldet DNS-Fehler - nslookup liefert keine oder falsche Antwort - nur bestimmte Namen betroffen Mögliche Ursachen: - falscher DNS-Server - DNS-Eintrag fehlt - DNS-Eintrag zeigt falsch - DNS-Cache veraltet - Split DNS falsch - Suchsuffix falsch - interne Zone fehlt - IPv6-Record zeigt auf falsches Ziel Wahrscheinliche Schicht: Schicht 7 wegen DNS Merksatz: IP geht, Name nicht: DNS prüfen. --- **Fehlerbild: Name löst auf falsche IP auf** Typische Anzeichen: - DNS liefert Antwort - aber falscher Server wird erreicht - falsches Zertifikat erscheint - falsche Webseite wird angezeigt - intern und extern unterschiedliche Ergebnisse Mögliche Ursachen: - falscher A-Record - falscher AAAA-Record - falscher CNAME - Split DNS falsch - DNS-Cache alt - falscher DNS-Server - alte öffentliche IP - interne Zone überschreibt externe Zone Wahrscheinliche Schicht: Schicht 7 Merksatz: Falsche DNS-Antwort führt zum falschen Ziel. --- **Fehlerbild: Ping funktioniert, Dienst nicht** Typische Anzeichen: - Ziel antwortet auf Ping - aber Webseite, SSH, SMB oder RDP funktioniert nicht - Porttest schlägt fehl - Anwendung meldet Verbindungsfehler Mögliche Ursachen: - Dienst läuft nicht - Port blockiert - Host-Firewall blockiert - zentrale Firewall blockiert - Dienst lauscht auf falscher IP - falscher Port - falsches Protokoll - Anwendung falsch konfiguriert Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: Ping beweist nicht, dass ein Dienst funktioniert. --- **Fehlerbild: Port offen, Anwendung funktioniert nicht** Typische Anzeichen: - Porttest erfolgreich - TCP-Verbindung möglich - aber Anwendung liefert Fehler - HTTP 500 oder 502 - Login schlägt fehl - API antwortet mit Fehler - Dienst bricht Verbindung ab Mögliche Ursachen: - Anwendung defekt - Backend nicht erreichbar - Datenbankfehler - falsche Konfiguration - Authentifizierungsproblem - Berechtigung fehlt - falsches Datenformat - Zertifikatsproblem - Reverse Proxy falsch Wahrscheinliche Schichten: Schicht 5 Schicht 6 Schicht 7 Merksatz: Offener Port ist nur Verbindung, nicht Anwendungserfolg. --- **Fehlerbild: Timeout** Timeout bedeutet: Es kommt keine Antwort innerhalb der erwarteten Zeit. Typische Anzeichen: - Verbindung hängt - Browser lädt lange - SSH wartet und bricht ab - Porttest läuft ins Timeout - SYN-Wiederholungen im Mitschnitt Mögliche Ursachen: - Firewall droppt Pakete - Ziel nicht erreichbar - Routingproblem - Rückweg fehlt - Dienst antwortet nicht - falsche IP - NAT falsch - Provider blockiert Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 7 Merksatz: Timeout bedeutet meistens: keine passende Antwort kommt zurück. --- **Fehlerbild: Connection Refused** Connection Refused bedeutet: Das Zielsystem lehnt die Verbindung aktiv ab. Typische Anzeichen: - schnelle Fehlermeldung - TCP RST im Mitschnitt - Host erreichbar - Port nimmt keine Verbindung an Mögliche Ursachen: - Dienst läuft nicht - falscher Port - Dienst lauscht nur auf localhost - Host-Firewall lehnt aktiv ab - Anwendung nimmt keine Verbindung an - Dienst wurde gestoppt Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: Connection Refused heißt: Ziel erreichbar, aber Dienst nimmt nicht an. --- **Fehlerbild: Zugriff verweigert** Typische Anzeichen: - Anmeldung möglich - aber Ressource nicht zugänglich - HTTP 403 - SMB Zugriff verweigert - API meldet Forbidden - Anwendung zeigt keine Daten Mögliche Ursachen: - Gruppe fehlt - Rolle fehlt - Freigaberecht fehlt - Dateisystemrecht fehlt - API-Scope fehlt - falscher Mandant - Richtlinie blockiert - alte Session - Benutzer nicht autorisiert Wahrscheinliche Schicht: Schicht 7 Merksatz: Zugriff verweigert ist meistens ein Autorisierungsproblem. --- **Fehlerbild: Anmeldung schlägt fehl** Typische Anzeichen: - Login nicht möglich - HTTP 401 - falsche Zugangsdaten - MFA schlägt fehl - LDAP-Bind schlägt fehl - Kerberos-Fehler - Konto gesperrt Mögliche Ursachen: - Benutzername falsch - Passwort falsch - Konto gesperrt - Konto deaktiviert - Passwort abgelaufen - MFA nicht eingerichtet - Zeitabweichung - LDAP oder AD nicht erreichbar - falscher Identity Provider Wahrscheinliche Schicht: Schicht 7 Merksatz: Anmeldung fehlgeschlagen: Authentifizierung prüfen. --- **Fehlerbild: Zertifikatswarnung** Typische Anzeichen: - Browser warnt vor Zertifikat - Mailclient meldet Zertifikatsfehler - LDAPS oder HTTPS funktioniert nicht - Name passt nicht - Zertifikat abgelaufen - CA nicht vertrauenswürdig Mögliche Ursachen: - Zertifikat abgelaufen - falscher Hostname - falsches Zertifikat - Zwischenzertifikat fehlt - Systemzeit falsch - interne CA nicht vertraut - DNS zeigt auf falschen Server - Reverse Proxy liefert falsches Zertifikat Wahrscheinliche Schichten: Schicht 6 Schicht 7 Merksatz: Zertifikatsfehler mit Name, Zeit, CA und DNS prüfen. --- **Fehlerbild: Webseite zeigt 404** 404 bedeutet: Ressource nicht gefunden. Typische Ursachen: - falsche URL - falscher Pfad - Route fehlt - Datei fehlt - Reverse Proxy leitet falsch - Anwendung erwartet anderen Basis-Pfad - falscher virtueller Host Wahrscheinliche Schicht: Schicht 7 Merksatz: 404 bedeutet: Unter diesem Pfad wurde nichts gefunden. --- **Fehlerbild: Webseite zeigt 500** 500 bedeutet: interner Serverfehler. Typische Ursachen: - Fehler in Anwendung - Datenbank nicht erreichbar - Konfiguration falsch - fehlende Rechte - Anwendung abgestürzt - Speicherproblem - Backendfehler - Abhängigkeit fehlt Wahrscheinliche Schicht: Schicht 7 Merksatz: 500 ist meist ein Problem der Anwendung oder des Servers. --- **Fehlerbild: Webseite zeigt 502** 502 bedeutet: Bad Gateway Typisch bei Reverse Proxys. Mögliche Ursachen: - Backend nicht erreichbar - Backend läuft nicht - falscher Backend-Port - falsches Backend-Protokoll - DNS zum Backend falsch - Firewall blockiert Proxy zu Backend - Backend antwortet ungültig Wahrscheinliche Schicht: Schicht 7 Merksatz: 502 bedeutet oft: Proxy erreicht Backend nicht korrekt. --- **Fehlerbild: Webseite zeigt 503** 503 bedeutet: Dienst nicht verfügbar. Mögliche Ursachen: - Dienst gestoppt - Wartungsmodus - Server überlastet - Backend nicht verfügbar - Ressourcenmangel - Anwendung startet gerade - Load Balancer hat keine gesunden Backends Wahrscheinliche Schicht: Schicht 7 Merksatz: 503 bedeutet: Dienst ist aktuell nicht verfügbar. --- **Fehlerbild: Webseite zeigt 504** 504 bedeutet: Gateway Timeout Typisch: Proxy oder Gateway wartet zu lange auf Antwort vom Backend. Mögliche Ursachen: - Backend zu langsam - Backend hängt - Firewall blockiert Rückweg - Datenbank langsam - Timeout zu kurz - Netzwerkproblem zwischen Proxy und Backend Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: 504 bedeutet: Gateway wartet vergeblich auf Backend-Antwort. --- **Fehlerbild: Mail kommt nicht an** Typische Anzeichen: - Absender erhält Bounce - Empfänger sieht keine Mail - Mail landet im Spam - Mail verzögert sich - SMTP-Fehler - NDR wird erzeugt Mögliche Ursachen: - MX-Record falsch - SMTP-Port blockiert - Mailserver nicht zuständig - Spamfilter blockiert - SPF, DKIM oder DMARC falsch - Postfach voll - Domain falsch - TLS-Problem - Blacklisting Wahrscheinliche Schicht: Schicht 7 Merksatz: Mailfehler mit DNS, SMTP, Spamfilter und Logs prüfen. --- **Fehlerbild: SMB-Freigabe nicht erreichbar** Typische Anzeichen: - Netzlaufwerk verbindet nicht - `\\server\freigabe` funktioniert nicht - Zugriff verweigert - Freigabe nicht gefunden - Benutzer sieht Netzlaufwerk nicht Mögliche Ursachen: - DNS-Name falsch - TCP 445 blockiert - SMB-Dienst läuft nicht - Freigabe existiert nicht - Benutzer nicht berechtigt - Freigabe- oder Dateisystemrechte falsch - gespeicherte Zugangsdaten falsch - SMB-Version inkompatibel Wahrscheinliche Schichten: Schicht 4 Schicht 7 Merksatz: SMB-Probleme mit Name, Port, Dienst und Rechten prüfen. --- **Fehlerbild: VPN verbunden, aber keine internen Dienste** Typische Anzeichen: - VPN zeigt verbunden - interne Server nicht erreichbar - DNS intern funktioniert nicht - nur Internet geht - bestimmte Netze fehlen Mögliche Ursachen: - Route fehlt - Split Tunnel falsch - interne DNS-Server fehlen - Firewall-Regel VPN → LAN fehlt - Benutzergruppe nicht berechtigt - Rückweg fehlt - Zielserver-Firewall blockiert - falscher VPN-Adresspool Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 7 Merksatz: VPN verbunden heißt nicht automatisch: interne Ressourcen erlaubt. --- **Fehlerbild: Nur manche Webseiten gehen nicht** Typische Anzeichen: - viele Webseiten funktionieren - einzelne Seiten nicht - bestimmte Domains nicht erreichbar - Zertifikatsfehler nur bei bestimmten Seiten - DNS oder Proxy auffällig Mögliche Ursachen: - DNS-Problem für bestimmte Domain - Proxy blockiert - Firewall-Kategorie blockiert - Zertifikatsproblem - IPv6-Problem - MTU-Problem - CDN-Störung - Geoblocking - Browsercache - HSTS-Problem Wahrscheinliche Schichten: Schicht 3 Schicht 6 Schicht 7 Merksatz: Einzelne Webseiten betroffen: DNS, Proxy, Zertifikat und IPv6 prüfen. --- **Fehlerbild: Verbindung ist langsam** Typische Anzeichen: - Webseiten laden langsam - Downloads langsam - RDP verzögert - VoIP stockt - Dateiübertragung langsam - Anwendungen reagieren träge Mögliche Ursachen: - hohe Latenz - Paketverlust - geringe Bandbreite - WLAN-Störung - Duplexproblem - überlasteter Server - überlastete Firewall - DNS-Verzögerung - VPN-Overhead - MTU-Problem Wahrscheinliche Schichten: alle Schichten möglich Merksatz: Langsam ist ein eigenes Fehlerbild, nicht einfach „geht nicht“. --- **Fehlerbild: Verbindung bricht sporadisch ab** Typische Anzeichen: - Verbindung funktioniert zeitweise - SSH bricht ab - VPN trennt sich - WLAN verliert Verbindung - RDP friert ein - Downloads brechen ab Mögliche Ursachen: - WLAN-Störungen - Paketverlust - DHCP-Lease-Probleme - instabile Leitung - MTU-Problem - Firewall-Timeout - NAT-Timeout - Serverüberlastung - Energieoptionen am Client - Roaming-Probleme Wahrscheinliche Schichten: Schicht 1 bis 7 möglich Merksatz: Sporadische Fehler brauchen Zeitbezug, Logs und Monitoring. --- **Fehlerbild: Nur große Dateien oder große Webseiten brechen ab** Typische Anzeichen: - kleine Webseiten gehen - große Downloads brechen ab - VPN instabil - Uploads hängen - TLS-Verbindung startet, hängt aber später Mögliche Ursachen: - MTU-Problem - Fragmentierung blockiert - Paketverlust - Proxy-Timeout - Firewall-Timeout - Upload-Limit - Speicherproblem - schlechte Verbindung Wahrscheinliche Schichten: Schicht 3 Schicht 4 Schicht 6 Schicht 7 Merksatz: Kleine Daten gehen, große nicht: MTU und Paketverlust prüfen. --- **Fehlerbild: Nur ein VLAN hat Probleme** Typische Anzeichen: - andere Netze funktionieren - ein Standort oder Netzsegment betroffen - DHCP nur dort gestört - Gateway nur dort nicht erreichbar - bestimmtes WLAN betroffen Mögliche Ursachen: - VLAN-ID falsch - Trunk lässt VLAN nicht durch - Access-Port falsch - DHCP-Scope falsch - DHCP-Relay fehlt - Gateway des VLANs down - Firewall-Regel für VLAN fehlt - Routing für VLAN fehlt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Merksatz: Ein VLAN betroffen: VLAN, Gateway, DHCP und Routing prüfen. --- **Fehlerbild: Nur ein Standort hat Probleme** Typische Anzeichen: - andere Standorte funktionieren - WAN-Verbindung langsam oder down - lokale Dienste funktionieren, zentrale Dienste nicht - VPN oder MPLS gestört Mögliche Ursachen: - Standortleitung gestört - Router down - VPN-Tunnel down - Routingproblem - DNS lokal falsch - lokale Firewall blockiert - Bandbreite ausgelastet - Providerstörung Wahrscheinliche Schichten: Schicht 1 bis 4 Merksatz: Ein Standort betroffen: WAN, Router, VPN, DNS und lokale Infrastruktur prüfen. --- **Fehlerbild: Nur ein Benutzer hat Probleme** Typische Anzeichen: - andere Benutzer am gleichen Gerät funktionieren - Benutzer kann sich nicht anmelden - bestimmte Berechtigungen fehlen - Benutzer sieht Daten nicht - MFA funktioniert nicht Mögliche Ursachen: - Passwort falsch - Konto gesperrt - Gruppenmitgliedschaft fehlt - Rolle fehlt - Profilproblem - MFA falsch eingerichtet - Lizenz fehlt - gespeicherte Zugangsdaten falsch - Session alt Wahrscheinliche Schicht: Schicht 7 Merksatz: Einzelner Benutzer: Konto, Rechte und Profil prüfen. --- **Fehlerbild: Nur ein Client hat Probleme** Typische Anzeichen: - andere Clients funktionieren - gleicher Benutzer auf anderem Gerät funktioniert - lokaler Browserfehler - lokales Netzwerkproblem - falsche IP oder DNS nur auf diesem Client Mögliche Ursachen: - falsche IP-Konfiguration - falscher DNS - lokale Firewall - Proxy-Einstellungen - VPN aktiv oder falsch - Zertifikatsspeicher - Browsercache - Malware oder Sicherheitssoftware - Treiberproblem - defektes Kabel oder WLAN Wahrscheinliche Schichten: Schicht 1 bis 7 Merksatz: Einzelner Client: lokale Konfiguration prüfen. --- **Fehlerbild: Alle Benutzer haben Probleme** Typische Anzeichen: - mehrere Clients betroffen - Dienst generell nicht erreichbar - zentrale Anwendung gestört - viele Tickets gleichzeitig - Monitoring schlägt an Mögliche Ursachen: - Server down - DNS-Störung - DHCP-Störung - Firewall-Änderung - Zertifikat abgelaufen - Datenbank down - Providerstörung - zentrales Update fehlerhaft - Authentifizierungsdienst gestört Wahrscheinliche Schichten: zentrale Infrastruktur oder Dienst Merksatz: Alle betroffen: zentralen Dienst und Infrastruktur prüfen. --- **Fehlerbild: Nach Update funktioniert Dienst nicht** Typische Anzeichen: - Fehler begann direkt nach Update - Anwendung startet nicht - neue Fehlermeldung - alte Konfiguration nicht kompatibel - Abhängigkeiten fehlen Mögliche Ursachen: - Versionskonflikt - geänderte Konfigurationsoption - Dienst startet nicht - Rechte geändert - Datenbankmigration fehlgeschlagen - Zertifikat oder TLS geändert - Firewall- oder Portänderung - Cacheproblem Wahrscheinliche Schicht: meist Schicht 7, teilweise Schicht 4 bis 6 Merksatz: Nach Update zuerst Update, Logs und Kompatibilität prüfen. --- **Fehlerbild: Nach Firewall-Änderung funktioniert Dienst nicht** Typische Anzeichen: - Fehler direkt nach Regeländerung - bestimmte Verbindungen blockiert - nur bestimmte Richtung betroffen - Firewall-Logs zeigen Drops Mögliche Ursachen: - falsche Regelreihenfolge - falsche Quelle - falsches Ziel - falscher Port - TCP/UDP verwechselt - falsche Zone - NAT vergessen - Rückweg blockiert - temporäre Regel entfernt Wahrscheinliche Schicht: Schicht 3 / 4, je nach Firewall auch Schicht 7 Merksatz: Nach Firewall-Änderung: Regel, Richtung, NAT und Logs prüfen. --- **Fehlerbild: Nach DNS-Änderung falsches Ziel** Typische Anzeichen: - einige Clients erreichen neues Ziel - andere noch altes Ziel - Zertifikat passt nicht - falscher Server antwortet - interne und externe Antwort unterschiedlich Mögliche Ursachen: - DNS-Cache - TTL noch aktiv - falscher Record geändert - Split DNS vergessen - CNAME zeigt falsch - alter Record existiert noch - Client nutzt anderen DNS-Server Wahrscheinliche Schicht: Schicht 7 Merksatz: Nach DNS-Änderung: Cache, TTL und richtigen DNS-Server prüfen. --- **Fehlerbild: Nach Zertifikatserneuerung Fehler** Typische Anzeichen: - Browser warnt - TLS-Handshake scheitert - App verbindet nicht mehr - Reverse Proxy liefert altes Zertifikat - Zwischenzertifikat fehlt Mögliche Ursachen: - falsches Zertifikat installiert - Zertifikatskette unvollständig - privater Schlüssel passt nicht - Dienst nicht neu geladen - SNI falsch - Zertifikat enthält Namen nicht - Client vertraut CA nicht Wahrscheinliche Schichten: Schicht 6 Schicht 7 Merksatz: Zertifikatserneuerung braucht richtigen Namen, Schlüssel, Kette und Dienstreload. --- **Fehlerbild: Nach VLAN-Änderung keine Verbindung** Typische Anzeichen: - Client bekommt falsche oder keine IP - Gateway nicht erreichbar - bestimmter Switchport betroffen - WLAN-SSID betroffen - nur ein Netzsegment betroffen Mögliche Ursachen: - Access-Port falsches VLAN - Trunk erlaubt VLAN nicht - Native VLAN falsch - DHCP-Relay fehlt - Gateway für VLAN fehlt - Firewall-Regel für neues VLAN fehlt - Routing fehlt Wahrscheinliche Schichten: Schicht 2 Schicht 3 Merksatz: Nach VLAN-Änderung: VLAN-Zuordnung, Trunk, Gateway und DHCP prüfen. --- **Fehlerbild: Nach Passwortänderung Anwendung kaputt** Typische Anzeichen: - Dienst startet nicht - Anwendung kann Datenbank nicht erreichen - LDAP-Bind schlägt fehl - API-Zugriff schlägt fehl - wiederholte Loginfehler im Log Mögliche Ursachen: - Dienstkonto-Passwort geändert - Passwort nicht in Anwendung aktualisiert - Konto gesperrt - Secret falsch hinterlegt - Token abgelaufen - alte Session ungültig - gespeicherte Zugangsdaten falsch Wahrscheinliche Schicht: Schicht 7 Merksatz: Dienstkonten und gespeicherte Secrets bei Passwortänderungen beachten. --- **Erste Einordnung nach Fehlermeldung** | Fehlermeldung | erste Richtung | |---|---| | Kein Netzwerk | Schicht 1 bis 3 | | DNS-Name nicht gefunden | DNS | | Zeitüberschreitung | Routing, Firewall, Rückweg, Dienst | | Verbindung abgelehnt | Dienst oder Host-Firewall | | 401 Unauthorized | Authentifizierung | | 403 Forbidden | Autorisierung | | 404 Not Found | falscher Pfad oder Ressource fehlt | | 500 Internal Server Error | Anwendung oder Backend | | 502 Bad Gateway | Reverse Proxy oder Backend | | Zertifikat ungültig | TLS, DNS, Zeit oder CA | | Zugriff verweigert | Rechte | Merksatz: Fehlermeldung gibt Richtung, aber ersetzt keine Prüfung. --- **Erste Einordnung nach betroffener Menge** | Betroffen | wahrscheinliche Richtung | |---|---| | ein Benutzer | Konto, Rechte, MFA, Profil | | ein Client | lokale Konfiguration | | ein Raum | Switch, WLAN, VLAN | | ein VLAN | VLAN, DHCP, Gateway, Firewall | | ein Standort | WAN, Router, Provider, VPN | | alle Benutzer | zentraler Dienst oder Infrastruktur | | nur extern | DNS extern, NAT, Firewall, Provider | | nur intern | DNS intern, Routing, Hairpin NAT, Firewall | Merksatz: Betroffene Menge hilft, die Fehlerstelle einzugrenzen. --- **Erste Einordnung nach Änderung** | Letzte Änderung | zuerst prüfen | |---|---| | Firewall-Regel | Quelle, Ziel, Port, Richtung, Logs | | NAT-Regel | öffentliche IP, Ziel, Port, Protokoll | | DNS-Eintrag | Record, TTL, Cache, interner/externer DNS | | Zertifikat | Name, Kette, Schlüssel, Dienstreload | | VLAN | Access, Trunk, Gateway, DHCP | | Update | Logs, Version, Konfiguration, Abhängigkeiten | | Passwort | Dienstkonto, Secret, Sperrung | | VPN | Route, DNS, Benutzergruppe, Firewall | | Rechte | Gruppen, Rollen, ACLs, Session | Merksatz: Die letzte Änderung ist oft der wichtigste Hinweis. --- **Was man vermeiden sollte** Nicht vorschnell: Firewall ausschalten alle Ports öffnen Any-Any erlauben Rechte auf Vollzugriff setzen Zertifikatswarnungen ignorieren DNS wild ändern mehrere Dinge gleichzeitig ändern Logs ignorieren Fehlermeldung nur überfliegen Workaround als Lösung stehen lassen Merksatz: Schnelle unsaubere Änderungen erzeugen neue Probleme. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum ist ein Fehlerbild nur ein Symptom? - Was deutet auf ein DHCP-Problem hin? - Was bedeutet 169.254.x.x? - Warum reicht Ping nicht als Dienstprüfung? - Was bedeutet Timeout? - Was bedeutet Connection Refused? - Was bedeutet HTTP 401? - Was bedeutet HTTP 403? - Was bedeutet HTTP 404? - Was bedeutet HTTP 500? - Was bedeutet HTTP 502? - Warum kann DNS wie ein Firewallproblem wirken? - Warum kann ein Zertifikatsfehler durch DNS entstehen? - Wie grenzt man Fehler nach betroffenen Benutzern ein? - Warum ist die letzte Änderung wichtig? --- **Typische Prüfungsfallen** Symptom ist nicht Ursache. 169.254.x.x deutet auf DHCP-Problem. Ping reicht nicht für Dienstprüfung. Port offen reicht nicht für Anwendungserfolg. Timeout und Connection Refused unterscheiden. 401 ist Authentifizierung. 403 ist Autorisierung. 404 ist Ressource oder Pfad. 500 ist Anwendung oder Server. 502 ist häufig Proxy zu Backend. DNS früh prüfen. Zertifikat hängt mit Name, Zeit und Vertrauen zusammen. Einzelner Benutzer bedeutet oft Konto oder Rechte. Alle Benutzer bedeutet eher Infrastruktur. Nur intern oder nur extern getrennt prüfen. Letzte Änderung zuerst prüfen. Nicht mehrere Dinge gleichzeitig ändern. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Fehlerbild | sichtbares Symptom eines Problems | | Ursache | eigentlicher technischer Grund | | Symptom | beobachtbare Auswirkung | | Timeout | keine Antwort innerhalb der Zeit | | Connection Refused | Ziel lehnt aktiv ab | | APIPA | automatische 169.254.x.x-Adresse | | NXDOMAIN | DNS-Name existiert nicht | | HTTP 401 | nicht authentifiziert | | HTTP 403 | nicht berechtigt | | HTTP 404 | nicht gefunden | | HTTP 500 | interner Serverfehler | | HTTP 502 | Bad Gateway | | Rückweg | Antwortweg zurück zur Quelle | | Split DNS | intern und extern unterschiedliche DNS-Antwort | | Hairpin NAT | interner Zugriff über öffentliche Adresse | | Rogue DHCP | unerwünschter DHCP-Server | | Dienstkonto | Konto für Anwendung oder Dienst | | Workaround | vorübergehende Umgehung | | Root Cause | eigentliche Ursache | --- **IHK-sichere Kurzformulierung** Typische Netzwerkfehler müssen anhand ihres Fehlerbildes systematisch eingeordnet werden. Ein Symptom wie „Webseite öffnet nicht“ kann Ursachen auf verschiedenen OSI-Schichten haben, zum Beispiel DNS, Routing, Firewall, Port, TLS, Anwendung oder Berechtigung. Eine Adresse aus dem Bereich 169.254.0.0/16 deutet häufig auf ein DHCP-Problem hin. Ein erfolgreicher Ping beweist nicht, dass ein Dienst funktioniert, und ein offener Port beweist nicht, dass die Anwendung korrekt arbeitet. Timeout, Connection Refused, HTTP-Statuscodes, Zertifikatswarnungen und Zugriff-verweigert-Meldungen geben Hinweise auf die Fehlerursache, müssen aber durch Tests, Logs und Konfigurationsprüfung bestätigt werden. --- **Merksätze** Fehlerbild ist Symptom, nicht Ursache. Gute Fehlerbeschreibung spart Zeit. Kein Link: Schicht 1 prüfen. 169.254.x.x: DHCP prüfen. Gateway nicht erreichbar: Schicht 2 und 3 prüfen. IP geht, Name nicht: DNS prüfen. Ping geht, Dienst nicht: Port, Firewall und Dienst prüfen. Port offen, Anwendung kaputt: Schicht 7 prüfen. Timeout: keine passende Antwort. Connection Refused: Ziel lehnt aktiv ab. Zugriff verweigert: Autorisierung prüfen. Login fehlgeschlagen: Authentifizierung prüfen. Zertifikatsfehler: Name, Zeit, CA und DNS prüfen. 404: Pfad oder Ressource fehlt. 500: Anwendung oder Serverproblem. 502: Proxy erreicht Backend nicht sauber. 503: Dienst nicht verfügbar. 504: Gateway wartet zu lange. Mailfehler: DNS, SMTP und Logs prüfen. SMB-Fehler: TCP 445, Anmeldung und Rechte prüfen. VPN verbunden heißt nicht: Zugriff erlaubt. Langsam ist nicht gleich nicht erreichbar. Kleine Daten gehen, große nicht: MTU prüfen. Ein Benutzer: Konto und Rechte prüfen. Ein Client: lokale Konfiguration prüfen. Alle Benutzer: zentrale Infrastruktur prüfen. Letzte Änderung zuerst prüfen.