12.7 Merksätze und Prüfungswissen zu Sniffing, Analyse und Fehlersuche
Diese Seite fasst die wichtigsten Inhalte zu Sniffing, Paketmitschnitt, Wireshark, tcpdump, systematischer Fehlersuche, Logs, Monitoring und Dokumentation zusammen.
Diese Themen sind besonders wichtig, weil sie in der Praxis und in Prüfungsaufgaben häufig miteinander verbunden werden.
Merksatz:
Netzwerkanalyse bedeutet:
messen,
prüfen,
vergleichen
und fachlich einordnen.
Grundidee der Netzwerkanalyse
Netzwerkanalyse soll klären, was wirklich passiert.
Dabei nutzt man:
- Fehlerbeschreibung
- OSI-Modell
- Paketmitschnitt
- Logs
- Monitoring
- Konfigurationsprüfung
- Vergleich mit funktionierenden Systemen
Ziel ist nicht, blind etwas zu ändern.
Ziel ist:
Ursache finden
Ursache nachweisen
Ursache beheben
Ergebnis dokumentieren
Merksatz:
Nicht raten,
sondern prüfen.
Sniffing
Sniffing bedeutet:
Netzwerkverkehr mitschneiden und analysieren.
Dabei werden Pakete sichtbar gemacht.
Man erkennt zum Beispiel:
- Quell- und Ziel-MAC
- Quell- und Ziel-IP
- Protokoll
- Port
- DNS-Anfragen
- TCP-Handshake
- TLS-Handshake
- DHCP-Ablauf
- ICMP-Meldungen
- Wiederholungen
- Resets
- Timeouts
Merksatz:
Sniffing zeigt den tatsächlichen Netzwerkverkehr.
Paketmitschnitt
Ein Paketmitschnitt ist eine Aufzeichnung von Netzwerkpaketen.
Er hilft bei Fragen wie:
Kommt das Paket an?
Antwortet das Ziel?
Wird DNS richtig gefragt?
Findet ein TCP-Handshake statt?
Gibt es Retransmissions?
Gibt es Resets?
Gibt es TLS-Fehler?
Gibt es ICMP-Fehler?
Kommt DHCP-DORA zustande?
Merksatz:
Paketmitschnitt ersetzt Vermutungen durch Messdaten.
PCAP-Datei
Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert.
Vorteile:
- spätere Analyse möglich
- Analyse mit Wireshark möglich
- Weitergabe an Fachabteilung möglich
- Beweissicherung bei Störungen
- Vergleich mit Logs möglich
Achtung:
PCAP-Dateien können sensible Daten enthalten.
Merksatz:
PCAP-Dateien wie vertrauliche Daten behandeln.
Datenschutz bei Paketmitschnitten
Paketmitschnitte können enthalten:
- IP-Adressen
- MAC-Adressen
- Hostnamen
- Benutzernamen
- Cookies
- Tokens
- unverschlüsselte Passwörter
- E-Mail-Inhalte
- personenbezogene Daten
- interne Strukturen
Deshalb:
nur mit berechtigtem Zweck
nur so lange wie nötig
nur relevanten Verkehr
sicher speichern
Zugriff begrenzen
nach Zweck löschen
Merksatz:
Sniffing ist technisch nützlich,
aber datenschutzrelevant.
Wireshark
Wireshark ist ein grafisches Werkzeug zur Paketanalyse.
Es zeigt:
- Paketliste
- Paketdetails
- Paketbytes
- Protokolle
- Filtermöglichkeiten
- Conversations
- Endpoints
- Expert Information
Wireshark eignet sich besonders gut, um Protokollabläufe sichtbar zu machen.
Merksatz:
Wireshark macht Netzwerkverkehr lesbar.
tcpdump
tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte.
Typische Nutzung:
auf Servern
auf Firewalls
auf Routern
per SSH
in minimalen Linux-Umgebungen
tcpdump kann Mitschnitte live anzeigen oder als PCAP-Datei speichern.
Merksatz:
tcpdump ist Paketmitschnitt auf der Kommandozeile.
tshark
tshark ist die Kommandozeilenversion von Wireshark.
Es eignet sich für:
- PCAP-Auswertung ohne GUI
- automatisierte Analyse
- Protokollauswertung
- Filterung
- Ausgabe bestimmter Felder
Merksatz:
tshark bringt Wireshark-Funktionen auf die Kommandozeile.
Capture Filter und Display Filter
Capture Filter:
bestimmen,
was überhaupt aufgezeichnet wird.
Display Filter:
bestimmen,
was nachträglich angezeigt wird.
| Filterart | Zeitpunkt | Wirkung |
|---|---|---|
| Capture Filter | vor oder während Aufnahme | begrenzt Aufzeichnung |
| Display Filter | nach Aufnahme | begrenzt Anzeige |
Merksatz:
Capture Filter spart Daten.
Display Filter hilft bei Analyse.
Wichtige Wireshark-Filter
| Fragestellung | Filteridee |
|---|---|
| bestimmte IP | ip.addr == 192.168.10.20 |
| Quell-IP | ip.src == 192.168.10.20 |
| Ziel-IP | ip.dst == 192.168.10.20 |
| TCP-Port | tcp.port == 443 |
| UDP-Port | udp.port == 53 |
| DNS | dns |
| ARP | arp |
| ICMP | icmp |
| HTTP | http |
| TLS | tls |
| TCP Reset | tcp.flags.reset == 1 |
| Retransmission | tcp.analysis.retransmission |
Merksatz:
Filter müssen zur Frage passen.
Wichtige tcpdump-Filter
| Ziel | Beispiel |
|---|---|
| Interface mitschneiden | tcpdump -i eth0 |
| keine Namensauflösung | tcpdump -nn -i eth0 |
| Host filtern | tcpdump -nn -i eth0 host 192.168.10.20 |
| Quelle filtern | tcpdump -nn -i eth0 src host 192.168.10.20 |
| Ziel filtern | tcpdump -nn -i eth0 dst host 192.168.10.20 |
| Port filtern | tcpdump -nn -i eth0 port 443 |
| TCP-Port | tcpdump -nn -i eth0 tcp port 443 |
| UDP-Port | tcpdump -nn -i eth0 udp port 53 |
| ICMP | tcpdump -nn -i eth0 icmp |
| ARP | tcpdump -nn -i eth0 arp |
| Datei schreiben | tcpdump -nn -i eth0 -w capture.pcap |
| Datei lesen | tcpdump -nn -r capture.pcap |
Merksatz:
tcpdump-Filter möglichst gezielt setzen.
Mitschnittort
Der Ort des Mitschnitts ist entscheidend.
Mögliche Stellen:
- Client
- Server
- Firewall
- Router
- Switch Mirror Port
- Reverse Proxy
- VPN-Gateway
- Container-Host
Je nach Ort sieht man andere Pakete.
Merksatz:
Der Mitschnittort entscheidet,
was sichtbar ist.
Port Mirroring
In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr.
Port Mirroring kopiert Verkehr von einem oder mehreren Switchports auf einen Analyseport.
Auch genannt:
SPAN
Merksatz:
Port Mirroring macht fremden Switch-Verkehr für Analyse sichtbar.
Promiscuous Mode
Promiscuous Mode bedeutet:
Die Netzwerkkarte nimmt auch Frames an,
die nicht direkt an ihre eigene MAC-Adresse gerichtet sind.
Wichtig:
In geswitchten Netzen reicht das allein oft nicht,
weil der Switch fremden Verkehr gar nicht an diesen Port sendet.
Merksatz:
Promiscuous Mode ersetzt kein Port Mirroring.
TCP-Handshake
TCP baut eine Verbindung mit drei Schritten auf:
SYN
SYN-ACK
ACK
Bedeutung:
SYN:
Client möchte Verbindung starten.
SYN-ACK:
Server antwortet und akzeptiert grundsätzlich.
ACK:
Client bestätigt.
Merksatz:
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
TCP-Fehlerbilder
| Beobachtung | mögliche Bedeutung |
|---|---|
| nur SYN-Wiederholungen | keine Antwort, Firewall, Routing oder Rückweg |
| SYN und RST | Port geschlossen oder Verbindung aktiv abgelehnt |
| viele Retransmissions | Paketverlust oder fehlende Bestätigung |
| Zero Window | Empfänger kann keine Daten aufnehmen |
| SYN, SYN-ACK, kein ACK | Rückweg oder Clientproblem |
| Handshake klappt, Anwendung fehlerhaft | höhere Schicht prüfen |
Merksatz:
TCP-Analyse beginnt beim Handshake.
UDP-Analyse
UDP hat keinen Verbindungsaufbau.
Es gibt keinen TCP-Handshake.
Bei UDP prüft man:
Anfrage gesendet?
Antwort zurück?
richtiger Port?
ICMP-Fehler?
Firewall blockiert?
Dienst antwortet?
Beispiele für UDP:
DNS
DHCP
NTP
SNMP
VoIP
Merksatz:
UDP hat keinen Handshake,
deshalb Anfrage und Antwort direkt prüfen.
DNS-Analyse
DNS ist häufig der erste Schritt vor einer Verbindung.
Prüfen:
Welcher DNS-Server wird gefragt?
Welcher Name wird gefragt?
Welche Antwort kommt zurück?
A oder AAAA?
NXDOMAIN?
falscher DNS-Server?
Split DNS?
Cache?
TTL?
Merksatz:
DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch.
DHCP-Analyse
Der klassische DHCP-Ablauf lautet:
Discover
Offer
Request
Acknowledge
Kurz:
DORA
Fehlerbilder:
Discover ohne Offer:
DHCP-Server oder Relay antwortet nicht.
Offer ohne Request:
Client akzeptiert Angebot nicht.
Request ohne Acknowledge:
Server bestätigt nicht.
Merksatz:
DHCP mit DORA prüfen.
ARP-Analyse
ARP löst im lokalen IPv4-Netz auf:
IPv4-Adresse zu MAC-Adresse
Typische ARP-Fehler:
viele ARP-Anfragen ohne Antwort
falsche MAC-Adresse
doppelte IP-Adresse
Gateway antwortet nicht
VLAN falsch
falsche Netzmaske
Merksatz:
ARP-Probleme sind lokale Schicht-2- oder Schicht-3-Probleme.
ICMP-Analyse
ICMP liefert Diagnose- und Fehlermeldungen.
Beispiele:
Echo Request
Echo Reply
Destination Unreachable
Time Exceeded
Fragmentation Needed
Wichtig:
ICMP ist mehr als Ping.
Merksatz:
ICMP-Meldungen können Ursachen sichtbar machen.
TLS-Analyse
Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt.
Man sieht aber häufig:
Client Hello
Server Hello
SNI
Zertifikatsinformationen
TLS-Version
Cipher-Auswahl
TLS Alert
Typische Probleme:
falscher Hostname
abgelaufenes Zertifikat
nicht vertrauenswürdige CA
inkompatible TLS-Version
unvollständige Zertifikatskette
Merksatz:
TLS schützt Inhalte,
aber der Handshake liefert Hinweise.
SNI
SNI steht für:
Server Name Indication
SNI zeigt beim TLS-Aufbau, welchen Hostnamen der Client erreichen möchte.
Wichtig bei:
mehreren HTTPS-Diensten auf einer IP-Adresse
Merksatz:
SNI zeigt den gewünschten HTTPS-Hostnamen.
HTTP-Analyse
Bei HTTP prüft man:
Methode
Host-Header
Pfad
Statuscode
Header
Weiterleitung
Antwortzeit
Anwendungsmeldung
Wichtige Statuscodes:
| Code | Bedeutung |
|---|---|
| 200 | OK |
| 301 / 302 | Weiterleitung |
| 400 | Bad Request |
| 401 | nicht authentifiziert |
| 403 | nicht berechtigt |
| 404 | nicht gefunden |
| 500 | interner Serverfehler |
| 502 | Bad Gateway |
| 503 | Dienst nicht verfügbar |
| 504 | Gateway Timeout |
Merksatz:
HTTP-Statuscodes helfen bei Schicht-7-Fehlern.
Ping richtig einordnen
Ping prüft ICMP-Erreichbarkeit.
Ping zeigt nicht:
ob TCP 443 offen ist
ob HTTPS funktioniert
ob DNS korrekt ist
ob Anmeldung klappt
ob Berechtigung besteht
ob Anwendung gesund ist
Merksatz:
Ping ist kein vollständiger Diensttest.
Porttest richtig einordnen
Ein Porttest zeigt:
Verbindung zum Port möglich oder nicht.
Er zeigt nicht automatisch:
Anwendung funktioniert
Login funktioniert
Zertifikat passt
Berechtigung stimmt
Datenbank erreichbar
API antwortet fachlich korrekt
Merksatz:
Offener Port heißt nicht:
Anwendung funktioniert.
Wichtige Analysewerkzeuge
| Werkzeug | Zweck |
|---|---|
| ping | ICMP-Erreichbarkeit |
| traceroute / tracert | Weg zum Ziel |
| nslookup | einfache DNS-Prüfung |
| dig | detaillierte DNS-Prüfung |
| curl | HTTP/HTTPS/API-Test |
| nc | Port- und Verbindungstest |
| Test-NetConnection | Windows-Porttest |
| ss | lokale Ports und Verbindungen |
| netstat | Netzwerkstatus, älter |
| openssl s_client | TLS- und Zertifikatsprüfung |
| tcpdump | Paketmitschnitt CLI |
| tshark | PCAP-Analyse CLI |
| Wireshark | grafische Paketanalyse |
| journalctl | Linux-Logs |
| Ereignisanzeige | Windows-Logs |
Merksatz:
Kein Werkzeug beantwortet alles.
Systematische Fehlersuche nach OSI
| Schicht | Prüfung |
|---|---|
| 1 | Kabel, Link, Signal, WLAN |
| 2 | MAC, VLAN, Switch, ARP |
| 3 | IP, Subnetz, Gateway, Routing |
| 4 | TCP, UDP, Ports, Firewall |
| 5 | Sitzung, Session, Timeout |
| 6 | TLS, Zertifikat, Codierung |
| 7 | Anwendung, DNS, DHCP, HTTP, Authentifizierung |
Merksatz:
OSI-Modell hilft,
den Fehlerbereich einzugrenzen.
Bottom-Up
Bottom-Up bedeutet:
von Schicht 1 nach oben prüfen.
Beispiel:
Kabel
Link
VLAN
IP
Gateway
Port
Dienst
Anwendung
Merksatz:
Bottom-Up beginnt beim Fundament.
Top-Down
Top-Down bedeutet:
bei der Anwendung beginnen
und nach unten prüfen.
Beispiel:
Webseite
HTTP-Status
TLS
Port
DNS
Routing
Link
Merksatz:
Top-Down beginnt beim sichtbaren Dienst.
Divide and Conquer
Divide and Conquer bedeutet:
Man prüft eine mittlere Ebene,
um den Suchbereich zu verkleinern.
Beispiel:
Ping geht,
aber Webdienst nicht.
Dann ist grob klar:
IP-Erreichbarkeit ist wahrscheinlich vorhanden,
aber Port,
Firewall,
TLS
oder Anwendung müssen weiter geprüft werden.
Merksatz:
Divide and Conquer halbiert den Suchbereich.
Fehlerbild sauber aufnehmen
Wichtige Fragen:
Wer ist betroffen?
Was funktioniert nicht?
Was funktioniert noch?
Seit wann?
Wo tritt der Fehler auf?
Intern oder extern?
LAN oder WLAN?
VPN oder lokal?
Nur ein Benutzer oder alle?
Welche Fehlermeldung?
Was wurde zuletzt geändert?
Merksatz:
Gute Fehlerbeschreibung ist Diagnosearbeit.
Typische Fehlerbilder
| Fehlerbild | erste Richtung |
|---|---|
| kein Link | Schicht 1 |
| 169.254.x.x | DHCP |
| Gateway nicht erreichbar | Schicht 2 / 3 |
| IP geht, Name nicht | DNS |
| Ping geht, Port nicht | Schicht 4 / Firewall / Dienst |
| Port offen, Anwendung fehlerhaft | Schicht 7 |
| Timeout | keine passende Antwort |
| Connection Refused | Dienst lehnt aktiv ab |
| 401 | Authentifizierung |
| 403 | Autorisierung |
| 404 | Pfad oder Ressource fehlt |
| 500 | Anwendung oder Server |
| 502 | Proxy zu Backend |
| Zertifikatswarnung | TLS, DNS, Zeit oder CA |
Merksatz:
Fehlerbild gibt Richtung,
aber noch keinen Beweis.
Authentifizierung und Autorisierung
Authentifizierung bedeutet:
Wer bist du?
Beispiele:
Benutzername
Passwort
MFA
Zertifikat
Token
Autorisierung bedeutet:
Was darfst du?
Beispiele:
Rolle
Gruppe
Rechte
Freigabe
API-Scope
Merksatz:
401 ist oft Authentifizierung.
403 ist oft Autorisierung.
Timeout und Connection Refused
Timeout:
Keine Antwort kommt zurück.
Mögliche Ursachen:
Firewall droppt
Routing fehlt
Rückweg fehlt
Ziel antwortet nicht
Connection Refused:
Ziel lehnt aktiv ab.
Mögliche Ursachen:
Dienst läuft nicht
falscher Port
Dienst lauscht nicht
Host lehnt ab
Merksatz:
Timeout = keine Antwort.
Refused = aktive Ablehnung.
MTU-Probleme
MTU steht für:
Maximum Transmission Unit
Typische Hinweise:
kleine Pakete funktionieren
große Übertragungen hängen
VPN instabil
Webseiten laden teilweise
Downloads brechen ab
viele Retransmissions
Fragmentation Needed fehlt oder wird blockiert
Merksatz:
Kleine Daten gehen,
große nicht:
MTU prüfen.
Logs
Logs zeigen Ereignisse und Entscheidungen.
Wichtige Logquellen:
- Firewall-Logs
- DNS-Logs
- DHCP-Logs
- VPN-Logs
- Webserver-Logs
- Reverse-Proxy-Logs
- Authentifizierungslogs
- Systemlogs
- Anwendungslogs
- Mailserver-Logs
- Datenbank-Logs
Merksatz:
Logs zeigen,
was Systeme entschieden oder gemeldet haben.
Monitoring
Monitoring überwacht Systeme und Dienste dauerhaft.
Es prüft zum Beispiel:
Erreichbarkeit
Antwortzeiten
CPU
RAM
Speicherplatz
Bandbreite
Paketverlust
Zertifikate
Dienste
Logs
Verbindungen
Merksatz:
Monitoring erkennt Probleme über Zeit.
Dokumentation
Gute Dokumentation enthält:
- Netzplan
- IP-Adressplan
- VLAN-Plan
- Firewall-Regeln
- NAT-Regeln
- DNS-Einträge
- DHCP-Scopes
- Serverrollen
- Dienste
- Ansprechpartner
- Änderungen
- Notfallverfahren
Merksatz:
Dokumentation ist ein Werkzeug für Fehlersuche.
Root Cause Analysis
Root Cause Analysis bedeutet:
die eigentliche Ursache finden.
Nicht nur:
Dienst neu starten
Sondern:
Warum ist der Dienst abgestürzt?
Warum war Speicher voll?
Warum gab es keinen Alarm?
Warum wurde die Änderung nicht getestet?
Merksatz:
Ursache beheben,
nicht nur Symptom beseitigen.
Workaround und Lösung
Workaround:
vorübergehende Umgehung
Lösung:
eigentliche Ursache wird beseitigt
Beispiel:
Workaround:
IP-Adresse statt DNS-Namen verwenden.
Ursache:
DNS-Eintrag falsch.
Lösung:
DNS-Eintrag korrigieren.
Merksatz:
Workaround ist nicht automatisch Lösung.
Eine Änderung pro Test
Bei Fehlersuche sollte man nicht viele Dinge gleichzeitig ändern.
Besser:
eine Hypothese bilden
einen Test durchführen
Ergebnis prüfen
dokumentieren
nächste Hypothese testen
Merksatz:
Mehrere Änderungen gleichzeitig verschleiern die Ursache.
Nach Änderung zuerst Änderung prüfen
Wenn ein Fehler nach einer Änderung auftritt, prüft man zuerst diese Änderung.
Beispiele:
Firewall-Regel geändert
DNS geändert
Zertifikat erneuert
VLAN geändert
Update installiert
Passwort geändert
Reverse Proxy angepasst
VPN geändert
Merksatz:
Die letzte Änderung ist oft der wichtigste Hinweis.
Sicherheitsbewusstsein bei Analyse
Analysewerkzeuge können sensible Informationen offenlegen.
Beispiele:
unverschlüsselte Passwörter
Tokens
Cookies
interne Hostnamen
IP-Adressbereiche
Benutzerinformationen
Fehlermeldungen
Konfigurationsdetails
Deshalb:
Zugriff beschränken
Dateien schützen
keine unnötigen Mitschnitte
Logs nicht ungeschützt teilen
Datenschutz beachten
Merksatz:
Diagnose darf keine neue Sicherheitslücke erzeugen.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was versteht man unter Sniffing?
- Wofür nutzt man Wireshark?
- Wofür nutzt man tcpdump?
- Was ist eine PCAP-Datei?
- Was ist Port Mirroring?
- Warum sieht man im Switch-Netz nicht automatisch allen Verkehr?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Wie erkennt man einen TCP-Handshake?
- Was bedeuten SYN, SYN-ACK und ACK?
- Was bedeutet RST?
- Was bedeutet Retransmission?
- Warum sieht man HTTPS-Inhalte nicht im Klartext?
- Was kann man bei DNS im Mitschnitt erkennen?
- Wie analysiert man DHCP?
- Warum reicht Ping nicht aus?
- Warum reicht ein Porttest nicht aus?
- Wie hilft das OSI-Modell bei der Fehlersuche?
- Was ist Bottom-Up?
- Was ist Top-Down?
- Was ist Divide and Conquer?
- Warum sind Logs wichtig?
- Warum ist Monitoring wichtig?
- Warum ist Dokumentation wichtig?
Typische Prüfungsfallen
Sniffing zeigt echten Verkehr.
Sniffing ist datenschutzrelevant.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark auf Kommandozeile.
PCAP-Dateien können sensible Daten enthalten.
In geswitchten Netzen sieht man nicht automatisch alles.
Port Mirroring kopiert Verkehr.
Promiscuous Mode reicht allein oft nicht.
Capture Filter begrenzen Aufnahme.
Display Filter begrenzen Anzeige.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN startet TCP-Verbindung.
SYN-ACK ist Serverantwort.
ACK bestätigt.
RST lehnt ab oder beendet.
Retransmission bedeutet erneutes Senden.
DNS früh prüfen.
DHCP-DORA kennen.
ICMP ist mehr als Ping.
HTTPS-Inhalte sind verschlüsselt.
TLS-Handshake kann trotzdem Hinweise liefern.
SNI zeigt gewünschten Hostnamen.
Ping prüft nicht den Dienst.
Port offen heißt nicht Anwendung funktioniert.
Timeout und Connection Refused unterscheiden.
401 ist Authentifizierung.
403 ist Autorisierung.
OSI-Modell hilft beim Eingrenzen.
Logs und Mitschnitt ergänzen sich.
Monitoring zeigt Zustand über Zeit.
Dokumentation beschleunigt Fehlersuche.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Sniffing | Mitschneiden von Netzwerkverkehr |
| Paketmitschnitt | Aufzeichnung von Paketen |
| PCAP | Datei mit Paketmitschnitt |
| Wireshark | grafisches Analysewerkzeug |
| tcpdump | Kommandozeilenwerkzeug für Mitschnitt |
| tshark | Wireshark auf Kommandozeile |
| Port Mirroring | Verkehr auf Analyseport kopieren |
| Promiscuous Mode | Netzwerkkarte nimmt fremde Frames an |
| Capture Filter | Filter vor der Aufnahme |
| Display Filter | Filter nach der Aufnahme |
| SYN | TCP-Verbindungsstart |
| SYN-ACK | TCP-Antwort des Servers |
| ACK | Bestätigung |
| RST | Reset, aktive Ablehnung oder Abbruch |
| Retransmission | erneutes Senden |
| ARP | IPv4-Adresse zu MAC-Adresse |
| ICMP | Diagnose- und Fehlermeldungsprotokoll |
| DNS | Namensauflösung |
| DHCP-DORA | Discover, Offer, Request, Acknowledge |
| SNI | Hostname im TLS-Handshake |
| TLS Alert | TLS-Fehlermeldung |
| Bottom-Up | von Schicht 1 nach oben prüfen |
| Top-Down | von Anwendung nach unten prüfen |
| Divide and Conquer | Suchbereich in der Mitte eingrenzen |
| Timeout | keine Antwort |
| Connection Refused | aktive Ablehnung |
| Authentifizierung | Identität prüfen |
| Autorisierung | Rechte prüfen |
| Log | Ereignisprotokoll |
| Monitoring | dauerhafte Überwachung |
| Root Cause | eigentliche Ursache |
| Workaround | vorübergehende Umgehung |
| Runbook | Schritt-für-Schritt-Anleitung |
IHK-sichere Gesamtformulierung
Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder tshark können Pakete untersucht werden, um DNS-Anfragen, ARP, ICMP, TCP-Handshakes, UDP-Kommunikation, DHCP-DORA, TLS-Handshakes, Resets, Retransmissions und Timeouts zu erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür wird häufig Port Mirroring benötigt. Das OSI-Modell hilft bei der Fehlersuche, indem Fehler schichtweise eingegrenzt werden. Ping und Porttests liefern nur Teilinformationen und ersetzen keine vollständige Prüfung von DNS, Routing, Firewall, NAT, Dienst, TLS, Anwendung, Logs und Berechtigungen. Logs, Monitoring und Dokumentation ergänzen Paketmitschnitte und sind wichtig, um Ursachen nachzuweisen und dauerhaft zu beheben.
Wichtigste Merksätze
Nicht raten,
sondern messen.
Sniffing zeigt echten Verkehr.
Paketmitschnitt zeigt Pakete.
Logs zeigen Ereignisse.
Monitoring zeigt Zustand über Zeit.
Dokumentation zeigt Aufbau und Änderungen.
Wireshark ist grafisch.
tcpdump ist Kommandozeile.
tshark ist Wireshark auf Kommandozeile.
PCAP-Dateien sind sensibel.
Mitschnittort ist entscheidend.
Port Mirroring kopiert Switch-Verkehr.
Capture Filter vor Aufnahme.
Display Filter nach Aufnahme.
TCP hat Handshake.
UDP hat keinen Handshake.
SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.
RST bedeutet aktive Ablehnung oder Abbruch.
Retransmission bedeutet erneutes Senden.
DNS immer früh prüfen.
DHCP mit DORA prüfen.
ARP ist lokal wichtig.
ICMP ist mehr als Ping.
TLS schützt Inhalte.
SNI zeigt Hostnamen.
HTTP-Statuscodes helfen bei Schicht 7.
Ping reicht nicht aus.
Port offen reicht nicht aus.
Timeout ist keine Antwort.
Connection Refused ist aktive Ablehnung.
401 ist Authentifizierung.
403 ist Autorisierung.
OSI-Modell grenzt Fehler ein.
Bottom-Up beginnt unten.
Top-Down beginnt oben.
Divide and Conquer grenzt mittig ein.
Eine Änderung pro Test.
Letzte Änderung zuerst prüfen.
Workaround ist nicht automatisch Lösung.
Root Cause suchen.
Ergebnisse dokumentieren.