# 12.7 Merksätze und Prüfungswissen zu Sniffing, Analyse und Fehlersuche Diese Seite fasst die wichtigsten Inhalte zu Sniffing, Paketmitschnitt, Wireshark, tcpdump, systematischer Fehlersuche, Logs, Monitoring und Dokumentation zusammen. Diese Themen sind besonders wichtig, weil sie in der Praxis und in Prüfungsaufgaben häufig miteinander verbunden werden. Merksatz: Netzwerkanalyse bedeutet: messen, prüfen, vergleichen und fachlich einordnen. --- **Grundidee der Netzwerkanalyse** Netzwerkanalyse soll klären, was wirklich passiert. Dabei nutzt man: - Fehlerbeschreibung - OSI-Modell - Paketmitschnitt - Logs - Monitoring - Konfigurationsprüfung - Vergleich mit funktionierenden Systemen Ziel ist nicht, blind etwas zu ändern. Ziel ist: Ursache finden Ursache nachweisen Ursache beheben Ergebnis dokumentieren Merksatz: Nicht raten, sondern prüfen. --- **Sniffing** Sniffing bedeutet: Netzwerkverkehr mitschneiden und analysieren. Dabei werden Pakete sichtbar gemacht. Man erkennt zum Beispiel: - Quell- und Ziel-MAC - Quell- und Ziel-IP - Protokoll - Port - DNS-Anfragen - TCP-Handshake - TLS-Handshake - DHCP-Ablauf - ICMP-Meldungen - Wiederholungen - Resets - Timeouts Merksatz: Sniffing zeigt den tatsächlichen Netzwerkverkehr. --- **Paketmitschnitt** Ein Paketmitschnitt ist eine Aufzeichnung von Netzwerkpaketen. Er hilft bei Fragen wie: Kommt das Paket an? Antwortet das Ziel? Wird DNS richtig gefragt? Findet ein TCP-Handshake statt? Gibt es Retransmissions? Gibt es Resets? Gibt es TLS-Fehler? Gibt es ICMP-Fehler? Kommt DHCP-DORA zustande? Merksatz: Paketmitschnitt ersetzt Vermutungen durch Messdaten. --- **PCAP-Datei** Paketmitschnitte werden häufig als PCAP oder PCAPNG gespeichert. Vorteile: - spätere Analyse möglich - Analyse mit Wireshark möglich - Weitergabe an Fachabteilung möglich - Beweissicherung bei Störungen - Vergleich mit Logs möglich Achtung: PCAP-Dateien können sensible Daten enthalten. Merksatz: PCAP-Dateien wie vertrauliche Daten behandeln. --- **Datenschutz bei Paketmitschnitten** Paketmitschnitte können enthalten: - IP-Adressen - MAC-Adressen - Hostnamen - Benutzernamen - Cookies - Tokens - unverschlüsselte Passwörter - E-Mail-Inhalte - personenbezogene Daten - interne Strukturen Deshalb: nur mit berechtigtem Zweck nur so lange wie nötig nur relevanten Verkehr sicher speichern Zugriff begrenzen nach Zweck löschen Merksatz: Sniffing ist technisch nützlich, aber datenschutzrelevant. --- **Wireshark** Wireshark ist ein grafisches Werkzeug zur Paketanalyse. Es zeigt: - Paketliste - Paketdetails - Paketbytes - Protokolle - Filtermöglichkeiten - Conversations - Endpoints - Expert Information Wireshark eignet sich besonders gut, um Protokollabläufe sichtbar zu machen. Merksatz: Wireshark macht Netzwerkverkehr lesbar. --- **tcpdump** tcpdump ist ein Kommandozeilenwerkzeug für Paketmitschnitte. Typische Nutzung: auf Servern auf Firewalls auf Routern per SSH in minimalen Linux-Umgebungen tcpdump kann Mitschnitte live anzeigen oder als PCAP-Datei speichern. Merksatz: tcpdump ist Paketmitschnitt auf der Kommandozeile. --- **tshark** tshark ist die Kommandozeilenversion von Wireshark. Es eignet sich für: - PCAP-Auswertung ohne GUI - automatisierte Analyse - Protokollauswertung - Filterung - Ausgabe bestimmter Felder Merksatz: tshark bringt Wireshark-Funktionen auf die Kommandozeile. --- **Capture Filter und Display Filter** Capture Filter: bestimmen, was überhaupt aufgezeichnet wird. Display Filter: bestimmen, was nachträglich angezeigt wird. | Filterart | Zeitpunkt | Wirkung | |---|---|---| | Capture Filter | vor oder während Aufnahme | begrenzt Aufzeichnung | | Display Filter | nach Aufnahme | begrenzt Anzeige | Merksatz: Capture Filter spart Daten. Display Filter hilft bei Analyse. --- **Wichtige Wireshark-Filter** | Fragestellung | Filteridee | |---|---| | bestimmte IP | ip.addr == 192.168.10.20 | | Quell-IP | ip.src == 192.168.10.20 | | Ziel-IP | ip.dst == 192.168.10.20 | | TCP-Port | tcp.port == 443 | | UDP-Port | udp.port == 53 | | DNS | dns | | ARP | arp | | ICMP | icmp | | HTTP | http | | TLS | tls | | TCP Reset | tcp.flags.reset == 1 | | Retransmission | tcp.analysis.retransmission | Merksatz: Filter müssen zur Frage passen. --- **Wichtige tcpdump-Filter** | Ziel | Beispiel | |---|---| | Interface mitschneiden | tcpdump -i eth0 | | keine Namensauflösung | tcpdump -nn -i eth0 | | Host filtern | tcpdump -nn -i eth0 host 192.168.10.20 | | Quelle filtern | tcpdump -nn -i eth0 src host 192.168.10.20 | | Ziel filtern | tcpdump -nn -i eth0 dst host 192.168.10.20 | | Port filtern | tcpdump -nn -i eth0 port 443 | | TCP-Port | tcpdump -nn -i eth0 tcp port 443 | | UDP-Port | tcpdump -nn -i eth0 udp port 53 | | ICMP | tcpdump -nn -i eth0 icmp | | ARP | tcpdump -nn -i eth0 arp | | Datei schreiben | tcpdump -nn -i eth0 -w capture.pcap | | Datei lesen | tcpdump -nn -r capture.pcap | Merksatz: tcpdump-Filter möglichst gezielt setzen. --- **Mitschnittort** Der Ort des Mitschnitts ist entscheidend. Mögliche Stellen: - Client - Server - Firewall - Router - Switch Mirror Port - Reverse Proxy - VPN-Gateway - Container-Host Je nach Ort sieht man andere Pakete. Merksatz: Der Mitschnittort entscheidet, was sichtbar ist. --- **Port Mirroring** In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr. Port Mirroring kopiert Verkehr von einem oder mehreren Switchports auf einen Analyseport. Auch genannt: SPAN Merksatz: Port Mirroring macht fremden Switch-Verkehr für Analyse sichtbar. --- **Promiscuous Mode** Promiscuous Mode bedeutet: Die Netzwerkkarte nimmt auch Frames an, die nicht direkt an ihre eigene MAC-Adresse gerichtet sind. Wichtig: In geswitchten Netzen reicht das allein oft nicht, weil der Switch fremden Verkehr gar nicht an diesen Port sendet. Merksatz: Promiscuous Mode ersetzt kein Port Mirroring. --- **TCP-Handshake** TCP baut eine Verbindung mit drei Schritten auf: SYN SYN-ACK ACK Bedeutung: SYN: Client möchte Verbindung starten. SYN-ACK: Server antwortet und akzeptiert grundsätzlich. ACK: Client bestätigt. Merksatz: SYN, SYN-ACK, ACK = TCP-Verbindung aufgebaut. --- **TCP-Fehlerbilder** | Beobachtung | mögliche Bedeutung | |---|---| | nur SYN-Wiederholungen | keine Antwort, Firewall, Routing oder Rückweg | | SYN und RST | Port geschlossen oder Verbindung aktiv abgelehnt | | viele Retransmissions | Paketverlust oder fehlende Bestätigung | | Zero Window | Empfänger kann keine Daten aufnehmen | | SYN, SYN-ACK, kein ACK | Rückweg oder Clientproblem | | Handshake klappt, Anwendung fehlerhaft | höhere Schicht prüfen | Merksatz: TCP-Analyse beginnt beim Handshake. --- **UDP-Analyse** UDP hat keinen Verbindungsaufbau. Es gibt keinen TCP-Handshake. Bei UDP prüft man: Anfrage gesendet? Antwort zurück? richtiger Port? ICMP-Fehler? Firewall blockiert? Dienst antwortet? Beispiele für UDP: DNS DHCP NTP SNMP VoIP Merksatz: UDP hat keinen Handshake, deshalb Anfrage und Antwort direkt prüfen. --- **DNS-Analyse** DNS ist häufig der erste Schritt vor einer Verbindung. Prüfen: Welcher DNS-Server wird gefragt? Welcher Name wird gefragt? Welche Antwort kommt zurück? A oder AAAA? NXDOMAIN? falscher DNS-Server? Split DNS? Cache? TTL? Merksatz: DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch. --- **DHCP-Analyse** Der klassische DHCP-Ablauf lautet: Discover Offer Request Acknowledge Kurz: DORA Fehlerbilder: Discover ohne Offer: DHCP-Server oder Relay antwortet nicht. Offer ohne Request: Client akzeptiert Angebot nicht. Request ohne Acknowledge: Server bestätigt nicht. Merksatz: DHCP mit DORA prüfen. --- **ARP-Analyse** ARP löst im lokalen IPv4-Netz auf: IPv4-Adresse zu MAC-Adresse Typische ARP-Fehler: viele ARP-Anfragen ohne Antwort falsche MAC-Adresse doppelte IP-Adresse Gateway antwortet nicht VLAN falsch falsche Netzmaske Merksatz: ARP-Probleme sind lokale Schicht-2- oder Schicht-3-Probleme. --- **ICMP-Analyse** ICMP liefert Diagnose- und Fehlermeldungen. Beispiele: Echo Request Echo Reply Destination Unreachable Time Exceeded Fragmentation Needed Wichtig: ICMP ist mehr als Ping. Merksatz: ICMP-Meldungen können Ursachen sichtbar machen. --- **TLS-Analyse** Bei TLS sieht man normalerweise nicht den verschlüsselten Inhalt. Man sieht aber häufig: Client Hello Server Hello SNI Zertifikatsinformationen TLS-Version Cipher-Auswahl TLS Alert Typische Probleme: falscher Hostname abgelaufenes Zertifikat nicht vertrauenswürdige CA inkompatible TLS-Version unvollständige Zertifikatskette Merksatz: TLS schützt Inhalte, aber der Handshake liefert Hinweise. --- **SNI** SNI steht für: Server Name Indication SNI zeigt beim TLS-Aufbau, welchen Hostnamen der Client erreichen möchte. Wichtig bei: mehreren HTTPS-Diensten auf einer IP-Adresse Merksatz: SNI zeigt den gewünschten HTTPS-Hostnamen. --- **HTTP-Analyse** Bei HTTP prüft man: Methode Host-Header Pfad Statuscode Header Weiterleitung Antwortzeit Anwendungsmeldung Wichtige Statuscodes: | Code | Bedeutung | |---:|---| | 200 | OK | | 301 / 302 | Weiterleitung | | 400 | Bad Request | | 401 | nicht authentifiziert | | 403 | nicht berechtigt | | 404 | nicht gefunden | | 500 | interner Serverfehler | | 502 | Bad Gateway | | 503 | Dienst nicht verfügbar | | 504 | Gateway Timeout | Merksatz: HTTP-Statuscodes helfen bei Schicht-7-Fehlern. --- **Ping richtig einordnen** Ping prüft ICMP-Erreichbarkeit. Ping zeigt nicht: ob TCP 443 offen ist ob HTTPS funktioniert ob DNS korrekt ist ob Anmeldung klappt ob Berechtigung besteht ob Anwendung gesund ist Merksatz: Ping ist kein vollständiger Diensttest. --- **Porttest richtig einordnen** Ein Porttest zeigt: Verbindung zum Port möglich oder nicht. Er zeigt nicht automatisch: Anwendung funktioniert Login funktioniert Zertifikat passt Berechtigung stimmt Datenbank erreichbar API antwortet fachlich korrekt Merksatz: Offener Port heißt nicht: Anwendung funktioniert. --- **Wichtige Analysewerkzeuge** | Werkzeug | Zweck | |---|---| | ping | ICMP-Erreichbarkeit | | traceroute / tracert | Weg zum Ziel | | nslookup | einfache DNS-Prüfung | | dig | detaillierte DNS-Prüfung | | curl | HTTP/HTTPS/API-Test | | nc | Port- und Verbindungstest | | Test-NetConnection | Windows-Porttest | | ss | lokale Ports und Verbindungen | | netstat | Netzwerkstatus, älter | | openssl s_client | TLS- und Zertifikatsprüfung | | tcpdump | Paketmitschnitt CLI | | tshark | PCAP-Analyse CLI | | Wireshark | grafische Paketanalyse | | journalctl | Linux-Logs | | Ereignisanzeige | Windows-Logs | Merksatz: Kein Werkzeug beantwortet alles. --- **Systematische Fehlersuche nach OSI** | Schicht | Prüfung | |---:|---| | 1 | Kabel, Link, Signal, WLAN | | 2 | MAC, VLAN, Switch, ARP | | 3 | IP, Subnetz, Gateway, Routing | | 4 | TCP, UDP, Ports, Firewall | | 5 | Sitzung, Session, Timeout | | 6 | TLS, Zertifikat, Codierung | | 7 | Anwendung, DNS, DHCP, HTTP, Authentifizierung | Merksatz: OSI-Modell hilft, den Fehlerbereich einzugrenzen. --- **Bottom-Up** Bottom-Up bedeutet: von Schicht 1 nach oben prüfen. Beispiel: Kabel Link VLAN IP Gateway Port Dienst Anwendung Merksatz: Bottom-Up beginnt beim Fundament. --- **Top-Down** Top-Down bedeutet: bei der Anwendung beginnen und nach unten prüfen. Beispiel: Webseite HTTP-Status TLS Port DNS Routing Link Merksatz: Top-Down beginnt beim sichtbaren Dienst. --- **Divide and Conquer** Divide and Conquer bedeutet: Man prüft eine mittlere Ebene, um den Suchbereich zu verkleinern. Beispiel: Ping geht, aber Webdienst nicht. Dann ist grob klar: IP-Erreichbarkeit ist wahrscheinlich vorhanden, aber Port, Firewall, TLS oder Anwendung müssen weiter geprüft werden. Merksatz: Divide and Conquer halbiert den Suchbereich. --- **Fehlerbild sauber aufnehmen** Wichtige Fragen: Wer ist betroffen? Was funktioniert nicht? Was funktioniert noch? Seit wann? Wo tritt der Fehler auf? Intern oder extern? LAN oder WLAN? VPN oder lokal? Nur ein Benutzer oder alle? Welche Fehlermeldung? Was wurde zuletzt geändert? Merksatz: Gute Fehlerbeschreibung ist Diagnosearbeit. --- **Typische Fehlerbilder** | Fehlerbild | erste Richtung | |---|---| | kein Link | Schicht 1 | | 169.254.x.x | DHCP | | Gateway nicht erreichbar | Schicht 2 / 3 | | IP geht, Name nicht | DNS | | Ping geht, Port nicht | Schicht 4 / Firewall / Dienst | | Port offen, Anwendung fehlerhaft | Schicht 7 | | Timeout | keine passende Antwort | | Connection Refused | Dienst lehnt aktiv ab | | 401 | Authentifizierung | | 403 | Autorisierung | | 404 | Pfad oder Ressource fehlt | | 500 | Anwendung oder Server | | 502 | Proxy zu Backend | | Zertifikatswarnung | TLS, DNS, Zeit oder CA | Merksatz: Fehlerbild gibt Richtung, aber noch keinen Beweis. --- **Authentifizierung und Autorisierung** Authentifizierung bedeutet: Wer bist du? Beispiele: Benutzername Passwort MFA Zertifikat Token Autorisierung bedeutet: Was darfst du? Beispiele: Rolle Gruppe Rechte Freigabe API-Scope Merksatz: 401 ist oft Authentifizierung. 403 ist oft Autorisierung. --- **Timeout und Connection Refused** Timeout: Keine Antwort kommt zurück. Mögliche Ursachen: Firewall droppt Routing fehlt Rückweg fehlt Ziel antwortet nicht Connection Refused: Ziel lehnt aktiv ab. Mögliche Ursachen: Dienst läuft nicht falscher Port Dienst lauscht nicht Host lehnt ab Merksatz: Timeout = keine Antwort. Refused = aktive Ablehnung. --- **MTU-Probleme** MTU steht für: Maximum Transmission Unit Typische Hinweise: kleine Pakete funktionieren große Übertragungen hängen VPN instabil Webseiten laden teilweise Downloads brechen ab viele Retransmissions Fragmentation Needed fehlt oder wird blockiert Merksatz: Kleine Daten gehen, große nicht: MTU prüfen. --- **Logs** Logs zeigen Ereignisse und Entscheidungen. Wichtige Logquellen: - Firewall-Logs - DNS-Logs - DHCP-Logs - VPN-Logs - Webserver-Logs - Reverse-Proxy-Logs - Authentifizierungslogs - Systemlogs - Anwendungslogs - Mailserver-Logs - Datenbank-Logs Merksatz: Logs zeigen, was Systeme entschieden oder gemeldet haben. --- **Monitoring** Monitoring überwacht Systeme und Dienste dauerhaft. Es prüft zum Beispiel: Erreichbarkeit Antwortzeiten CPU RAM Speicherplatz Bandbreite Paketverlust Zertifikate Dienste Logs Verbindungen Merksatz: Monitoring erkennt Probleme über Zeit. --- **Dokumentation** Gute Dokumentation enthält: - Netzplan - IP-Adressplan - VLAN-Plan - Firewall-Regeln - NAT-Regeln - DNS-Einträge - DHCP-Scopes - Serverrollen - Dienste - Ansprechpartner - Änderungen - Notfallverfahren Merksatz: Dokumentation ist ein Werkzeug für Fehlersuche. --- **Root Cause Analysis** Root Cause Analysis bedeutet: die eigentliche Ursache finden. Nicht nur: Dienst neu starten Sondern: Warum ist der Dienst abgestürzt? Warum war Speicher voll? Warum gab es keinen Alarm? Warum wurde die Änderung nicht getestet? Merksatz: Ursache beheben, nicht nur Symptom beseitigen. --- **Workaround und Lösung** Workaround: vorübergehende Umgehung Lösung: eigentliche Ursache wird beseitigt Beispiel: Workaround: IP-Adresse statt DNS-Namen verwenden. Ursache: DNS-Eintrag falsch. Lösung: DNS-Eintrag korrigieren. Merksatz: Workaround ist nicht automatisch Lösung. --- **Eine Änderung pro Test** Bei Fehlersuche sollte man nicht viele Dinge gleichzeitig ändern. Besser: eine Hypothese bilden einen Test durchführen Ergebnis prüfen dokumentieren nächste Hypothese testen Merksatz: Mehrere Änderungen gleichzeitig verschleiern die Ursache. --- **Nach Änderung zuerst Änderung prüfen** Wenn ein Fehler nach einer Änderung auftritt, prüft man zuerst diese Änderung. Beispiele: Firewall-Regel geändert DNS geändert Zertifikat erneuert VLAN geändert Update installiert Passwort geändert Reverse Proxy angepasst VPN geändert Merksatz: Die letzte Änderung ist oft der wichtigste Hinweis. --- **Sicherheitsbewusstsein bei Analyse** Analysewerkzeuge können sensible Informationen offenlegen. Beispiele: unverschlüsselte Passwörter Tokens Cookies interne Hostnamen IP-Adressbereiche Benutzerinformationen Fehlermeldungen Konfigurationsdetails Deshalb: Zugriff beschränken Dateien schützen keine unnötigen Mitschnitte Logs nicht ungeschützt teilen Datenschutz beachten Merksatz: Diagnose darf keine neue Sicherheitslücke erzeugen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was versteht man unter Sniffing? - Wofür nutzt man Wireshark? - Wofür nutzt man tcpdump? - Was ist eine PCAP-Datei? - Was ist Port Mirroring? - Warum sieht man im Switch-Netz nicht automatisch allen Verkehr? - Was ist der Unterschied zwischen Capture Filter und Display Filter? - Wie erkennt man einen TCP-Handshake? - Was bedeuten SYN, SYN-ACK und ACK? - Was bedeutet RST? - Was bedeutet Retransmission? - Warum sieht man HTTPS-Inhalte nicht im Klartext? - Was kann man bei DNS im Mitschnitt erkennen? - Wie analysiert man DHCP? - Warum reicht Ping nicht aus? - Warum reicht ein Porttest nicht aus? - Wie hilft das OSI-Modell bei der Fehlersuche? - Was ist Bottom-Up? - Was ist Top-Down? - Was ist Divide and Conquer? - Warum sind Logs wichtig? - Warum ist Monitoring wichtig? - Warum ist Dokumentation wichtig? --- **Typische Prüfungsfallen** Sniffing zeigt echten Verkehr. Sniffing ist datenschutzrelevant. Wireshark ist grafisch. tcpdump ist Kommandozeile. tshark ist Wireshark auf Kommandozeile. PCAP-Dateien können sensible Daten enthalten. In geswitchten Netzen sieht man nicht automatisch alles. Port Mirroring kopiert Verkehr. Promiscuous Mode reicht allein oft nicht. Capture Filter begrenzen Aufnahme. Display Filter begrenzen Anzeige. TCP hat Handshake. UDP hat keinen Handshake. SYN startet TCP-Verbindung. SYN-ACK ist Serverantwort. ACK bestätigt. RST lehnt ab oder beendet. Retransmission bedeutet erneutes Senden. DNS früh prüfen. DHCP-DORA kennen. ICMP ist mehr als Ping. HTTPS-Inhalte sind verschlüsselt. TLS-Handshake kann trotzdem Hinweise liefern. SNI zeigt gewünschten Hostnamen. Ping prüft nicht den Dienst. Port offen heißt nicht Anwendung funktioniert. Timeout und Connection Refused unterscheiden. 401 ist Authentifizierung. 403 ist Autorisierung. OSI-Modell hilft beim Eingrenzen. Logs und Mitschnitt ergänzen sich. Monitoring zeigt Zustand über Zeit. Dokumentation beschleunigt Fehlersuche. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Sniffing | Mitschneiden von Netzwerkverkehr | | Paketmitschnitt | Aufzeichnung von Paketen | | PCAP | Datei mit Paketmitschnitt | | Wireshark | grafisches Analysewerkzeug | | tcpdump | Kommandozeilenwerkzeug für Mitschnitt | | tshark | Wireshark auf Kommandozeile | | Port Mirroring | Verkehr auf Analyseport kopieren | | Promiscuous Mode | Netzwerkkarte nimmt fremde Frames an | | Capture Filter | Filter vor der Aufnahme | | Display Filter | Filter nach der Aufnahme | | SYN | TCP-Verbindungsstart | | SYN-ACK | TCP-Antwort des Servers | | ACK | Bestätigung | | RST | Reset, aktive Ablehnung oder Abbruch | | Retransmission | erneutes Senden | | ARP | IPv4-Adresse zu MAC-Adresse | | ICMP | Diagnose- und Fehlermeldungsprotokoll | | DNS | Namensauflösung | | DHCP-DORA | Discover, Offer, Request, Acknowledge | | SNI | Hostname im TLS-Handshake | | TLS Alert | TLS-Fehlermeldung | | Bottom-Up | von Schicht 1 nach oben prüfen | | Top-Down | von Anwendung nach unten prüfen | | Divide and Conquer | Suchbereich in der Mitte eingrenzen | | Timeout | keine Antwort | | Connection Refused | aktive Ablehnung | | Authentifizierung | Identität prüfen | | Autorisierung | Rechte prüfen | | Log | Ereignisprotokoll | | Monitoring | dauerhafte Überwachung | | Root Cause | eigentliche Ursache | | Workaround | vorübergehende Umgehung | | Runbook | Schritt-für-Schritt-Anleitung | --- **IHK-sichere Gesamtformulierung** Sniffing bezeichnet das Mitschneiden und Analysieren von Netzwerkverkehr. Mit Werkzeugen wie Wireshark, tcpdump oder tshark können Pakete untersucht werden, um DNS-Anfragen, ARP, ICMP, TCP-Handshakes, UDP-Kommunikation, DHCP-DORA, TLS-Handshakes, Resets, Retransmissions und Timeouts zu erkennen. In geswitchten Netzwerken sieht ein Client nicht automatisch den gesamten Verkehr; dafür wird häufig Port Mirroring benötigt. Das OSI-Modell hilft bei der Fehlersuche, indem Fehler schichtweise eingegrenzt werden. Ping und Porttests liefern nur Teilinformationen und ersetzen keine vollständige Prüfung von DNS, Routing, Firewall, NAT, Dienst, TLS, Anwendung, Logs und Berechtigungen. Logs, Monitoring und Dokumentation ergänzen Paketmitschnitte und sind wichtig, um Ursachen nachzuweisen und dauerhaft zu beheben. --- **Wichtigste Merksätze** Nicht raten, sondern messen. Sniffing zeigt echten Verkehr. Paketmitschnitt zeigt Pakete. Logs zeigen Ereignisse. Monitoring zeigt Zustand über Zeit. Dokumentation zeigt Aufbau und Änderungen. Wireshark ist grafisch. tcpdump ist Kommandozeile. tshark ist Wireshark auf Kommandozeile. PCAP-Dateien sind sensibel. Mitschnittort ist entscheidend. Port Mirroring kopiert Switch-Verkehr. Capture Filter vor Aufnahme. Display Filter nach Aufnahme. TCP hat Handshake. UDP hat keinen Handshake. SYN, SYN-ACK, ACK = TCP-Verbindung aufgebaut. RST bedeutet aktive Ablehnung oder Abbruch. Retransmission bedeutet erneutes Senden. DNS immer früh prüfen. DHCP mit DORA prüfen. ARP ist lokal wichtig. ICMP ist mehr als Ping. TLS schützt Inhalte. SNI zeigt Hostnamen. HTTP-Statuscodes helfen bei Schicht 7. Ping reicht nicht aus. Port offen reicht nicht aus. Timeout ist keine Antwort. Connection Refused ist aktive Ablehnung. 401 ist Authentifizierung. 403 ist Autorisierung. OSI-Modell grenzt Fehler ein. Bottom-Up beginnt unten. Top-Down beginnt oben. Divide and Conquer grenzt mittig ein. Eine Änderung pro Test. Letzte Änderung zuerst prüfen. Workaround ist nicht automatisch Lösung. Root Cause suchen. Ergebnisse dokumentieren.